Troj/Crypt.XPACK.Gen2
 

Hi @ all,

alles hat damit angefangen, dass meine Vistapartition auf einmal
nicht mehr booten konnte.

Anhand des Startprotokolls sah ich folgendes:


Nach dem Start über das Avira Antivir Rescue System
wurde bei mir folgender Trojaner entdeckt:

TR/Crypt.XPACK.Gen2


Log-Auszug aus Avira Antivir Rescue System:

Avira / Linux Version 1.9.152.0
Copyright (c) 2010 by Avira GmbH
All rights reserved.
engine set: 8.2.4.140
VDF Version: 7.11.1.145

Scan start time: Sun Jan 16 14:26:33 2011

configuration file: /etc/avira/scancl.conf
WARNING: [Unexpected end of file]

...
/media/Devices/sda2/Users/xxxxxx/trb/winve/pcwVistaPE1.3a.zip --> pcwVistaPE1.3/Tools/SetupVirtualCloneDrive5432.exe
ALERT: [TR/Crypt.XPACK.Gen2]

/media/Devices/sda2/Windows/System32/Boot/winload.exe.bak <<< Is the Trojan horse TR/Crypt.XPACK.Gen2 [renamed]
ALERT: [TR/Crypt.XPACK.Gen2]

/media/Devices/sda2/Windows/System32/winload.exe.bak <<< Is the Trojan horse TR/Crypt.XPACK.Gen2 [renamed]
WARNING: [File is encrypted]
...


[Mein System:

Dual-Boot Betrieb:
- Windows Vista Home Premium 32 Bit --> befallene Partition
- Windows 7 Professional 32 Bit (in Ordnung)]


Da die Partition immer noch nicht booten kann und der Trojaner trotzdem
noch auf dem System sein könnte, hoffe ich, das mir jemand helfen kann.

Vielen Dank schon im Voraus

Was heißt denn auf einmal? Was genau wurde davor gemacht?

Am Anfang hatte ich gemerkt, dass Vista etwas langsamer lief.
Dann tauchte irgendwann ein Hinweisfenster von Kaspersky Security auf,
mit der Meldung das der keyboard.sys-Treiber verändert wurde.
Das Merkwürdige daran war, das es nur die Option "Ignorieren" gab.
Und eines Tages lief Vista überhaupt nicht mehr, auch nicht über die F8 Optionen.

Ohne Grund passiert das nicht. Was hast du da gerade gemacht? Was installiert? Wenn ja, was genau?

Es ist leider schon ein paar Tage her.
Aber ich weiß, das ich mir sämtliche Versionen von Framework heruntergeladen
und installiert habe (Quelle war zum einen die Microsoft Homepage und zum anderen
das MS Programm MBSA 2.2), in der Hoffnung, dass das Firmwareupdateprogramm
meines MP3 Players (Censo) nun unter Vista laufen würde.
Der Grund war, das bei dem Updatevorgang immer ein Abbruch kam mit der Meldung:
Winsock: Verbindung wurde aufgrund einer Zeitüberschreitung oder eines anderen Fehlers getrennt.
In einigen Foren las ich, das dies auf einem side-by-side Problem lag.

Sieht nach einem Fehlalarm aus oder ein Schädling hat diese Datei gepatcht :balla:
Das schon beachtet => Vista: Beim Start erscheint "\Windows\System32\ winload.exe konnte nicht gefunden werden"

Ja, die Systemstartreparatur kenne ich schon. :pfeiff:

Ich muss hinzufügen, dass dieses Dual Boot System
mit einem externen Tool (Paragon) erstellt wurde.
Zudem waren die Optionen auf "andere Partition verstecken"
eingestellt.

Da muss ich passen. Solche Super-Spezial-Extra-Tools mag ich nicht :nixda:

Ok, habe die Änderungen des Bootmanagers rückgängig gemacht.
(Leider sehe ich nun unter Win7 auch die Vistapartition...)

Jetzt sehe unter Vista wieder nur den Mauszeiger.

Wieso leider? Was ist daran ein Nachteil? Eher ein Vorteil, wenn du unter Win7 mal an Daten ran musst, die auf der Vistapartition gespeichert sind.

Die zwei Betriebssysteme liegen zwar nah beieinander aber es kann
immer noch zu (möglichen) Konflikten kommen.
Außerdem halte ich es für sicherer über copy an die Daten
heranzukommen ;)

Leider kann ich Vista immer noch nicht ordnungsgemäß booten (siehe winload).
Welche Lösungsansätze gäbe es dafür?

Bzw. welche Logs soll ich posten?

Muss man das verstehen oder soll man den Zusammenhang erraten oder die :glaskugel: fragen?
Wie soll ich was von A nach B kopieren, wenn die Vista-Partition nicht sichtbar ist unter Win7?
Was für Konflikte sollen da aufreten?

Den Link hab ich dir gepostet. Bekomm ja kein Feedback von dir. :nixda:

Ich meinte damit den (DOS) COPY Befehl, war leider nicht ganz offensichtlich. Sry.
(Voraussetzung ist natürlich, das beide Partionen sichtbar sind.)

Zum Link:


Die Systemstartreparatur gibt folgendes aus:

...
(Sämtliche Fehlercodes besitzen den Eintrag 0x0)

Anzahl der Fehlerursachen = 1

Gefundene Fehlerursache:

Der Startstatus besagt, dass das Betriebssystem erfolgreich gestartet wurde.
...


Es wird trotzdem nur ein schwarzer Bildschirm angezeigt.

Und was ist daran sicherer? Dieser COPY-Befehl ist scheise wenn du größe Datenmengen bzw. einen großen Ordner mit vielen Unterverzeichnissen und Dateien kopieren willst. Was machst du da wenn es irgendwo an einer Datei abbricht? Dann ist XCOPY oder gar ROBOCOPY noch besser.

Dann wirds wohl auf nachträgliche Datensicherung und Neuinstallation von Vista hinauslaufen. Wobei ich aber nicht verstehen kann, warum man Win7 und Vista parallel (Dualboot) installiert haben muss. Wär es statt Vista XP oder 2000 hätte ich das eher verstanden. Und statt Parallelinstallation hätte man auch mti VMWare oder sowas eine VM mit entsprechendem Betriebssystem einrichten können.

Den Copy Befehl (in all seinen Varianten) musste ich schon einmal
ausführen, als ein paar Treiber beschädigt waren.
Das war noch zu XP Zeiten auf einem anderen Rechner. :crazy:

Könnte man zumindest den abgesicherten Modus von Vista
wieder hinbekommen (siehe Copy)? Ich hatte mir mal eine
Install DVD gebastelt, jedoch leider nur auf der Basis einer
Enterprise ISO.
Die für den Bootvorgang benötigten Dateien müssten doch
identisch sein.

Ich habe gestern noch einen Scan mit Clam Av durchführen lassen.
Dabei kam folgendes heraus: