TR/crypt.ZPACK.gen lässt sich nicht endgültig löschen!
 

Hallo!

Mein Freund hat ein Problem mit seinem Laptop (Fujitsu Simens Amilo, Betriebssystem: Windows Vista Home Premium). Da er sich gar nicht damit auskennt, hab ich schon mein Bestes versucht, schaffe aber auch nicht es zu beheben und hoffe nun, dass mir hier jemand helfen kann.

Seit einiger Zeit meldet der Computer "Ein kritischer Fehler ist aufgetreten. Windows wird in einer Minute neu gestartet" und in einem weiteren Fenster "Anwendungen für Controller und Dienste werden geschlossen". Dies geschiet NUR, wenn eine Verbindung mit dem Internet hergestellt ist!

Ich hab dann zuerst mal Avira einen Systemscan machen lassen. Das Ergebnis war der folgende Fund:
c:\windows\system32\drivers\ffxnspz.sys ist das Trojanische Pferd Crypt.ZPACK.gen
Ich habe den Virus dann in Quarantäne verschoben. Dies hat zwar funktioniert, aber der Virus entsteht an der selben Stelle immer wieder neu/lässt sich nicht wirklich löschen. Wenn man Avira nocheinmal durchlaufen lässt, findet es den Virus erneut...

Ich habe dann versucht im abgesicherten Modus das System eine Systemwiederherrstellung zu machen. Diese konnte auch erfolgreich abgeschlossen werden, jedoch ist auch der Virus weiterhin vorhanden (habe verschiedene Wiederherrstellungszeitpunkte ausprobiert, die auf jeden Fall vor dem Befall befunden haben müssen).

Ich hab nun die Logs erstellt und unten angehängt.
GMER hat gemeldet: "WARNING GMER has found system modification causes gy ROOTKIT activity"
MBAM findet den selben Virus wie Avira, doch auch mit diesem Programm kann er nicht endgültig gelöscht werden. :confused:

Leider gibt es für den Laptop keine Recovery CD, Backup o.ä. Ansonsten hätte ich das System schon längst platt gemacht...
Ich hoffe mir kann jemand helfen!
Vielen Dank!

1. deinstaliere spybot es stört die reinigung.
2. neustart.
3.
bitte erstelle und poste ein combofix log.
Ein Leitfaden und Tutorium zur Nutzung von ComboFix

Erstmal danke für die Antwort.
Spybot ist deinstaliert, der Log ist unten angehängt.

start programme zubehör editor, reinkopieren:


Killall::
Rootkit::
c:\windows\system32\drivers\ffxnspz.sys
Driver::
ffxnspz
Registry::
[-HKEY_LOCAL_MACHINE\system\ControlSet001\Services\ffxnspz]



Datei speichern unter, ort, dort wo sich combofix.exe befindet.
typ alle dateien, name cfscript.txt

ziehe cfscript auf combofix, programm startet log posten

So. Bitteschön

neustarten.
avira
http://www.trojaner-board.de/54192-a...tellungen.html
avira 10 so instalieren bzw. dann konfigurieren. wenn du die konfiguration übernommen hast, update das programm.
bitte auch unter verwaltung, planer, scan auftrag, darauf achten, das dieser über lokale laufwerke läuft! sonst werden die einstellungen nicht gültig.
den update auftrag auf 1x pro tag einstellen.
und "nachhohlen falls zeit überschritten" auswählen
klicke dann auf "lokaler schutz" "lokale laufwerke" eventuelle funde in quarantäne, log posten.

Avira hat keinen Fund mehr gemeldet. Die Datei ist aus dem Systemordner verschwunden.
War es das nun?
Vielen Dank schon mal!!!

Hier noch der Log:

Avira AntiVir Personal
Erstellungsdatum der Reportdatei: Montag, 7. März 2011 19:35

Es wird nach 2469928 Virenstämmen gesucht.

Das Programm läuft als uneingeschränkte Vollversion.
Online-Dienste stehen zur Verfügung.

Lizenznehmer : Avira AntiVir Personal - FREE Antivirus
Seriennummer :
Plattform : Windows Vista
Windowsversion : (plain) [6.0.6000]
Boot Modus : Normal gebootet
Benutzername :
Computername :

Versionsinformationen:
BUILD.DAT : 10.0.0.611 Bytes 14.01.2011 13:28:00
AVSCAN.EXE : 10.0.3.5 435368 Bytes 10.01.2011 13:22:56
AVSCAN.DLL : 10.0.3.0 56168 Bytes 10.01.2011 13:23:14
LUKE.DLL : 10.0.3.2 104296 Bytes 10.01.2011 13:23:03
LUKERES.DLL : 10.0.0.0 13672 Bytes 14.01.2010 10:59:47
VBASE000.VDF : 7.10.0.0 19875328 Bytes 06.11.2009 08:05:36
VBASE001.VDF : 7.11.0.0 13342208 Bytes 14.12.2010 13:23:11
VBASE002.VDF : 7.11.3.0 1950720 Bytes 09.02.2011 18:09:09
VBASE003.VDF : 7.11.3.1 2048 Bytes 09.02.2011 18:09:09
VBASE004.VDF : 7.11.3.2 2048 Bytes 09.02.2011 18:09:09
VBASE005.VDF : 7.11.3.3 2048 Bytes 09.02.2011 18:09:09
VBASE006.VDF : 7.11.3.4 2048 Bytes 09.02.2011 18:09:09
VBASE007.VDF : 7.11.3.5 2048 Bytes 09.02.2011 18:09:10
VBASE008.VDF : 7.11.3.6 2048 Bytes 09.02.2011 18:09:10
VBASE009.VDF : 7.11.3.7 2048 Bytes 09.02.2011 18:09:10
VBASE010.VDF : 7.11.3.8 2048 Bytes 09.02.2011 18:09:10
VBASE011.VDF : 7.11.3.9 2048 Bytes 09.02.2011 18:09:10
VBASE012.VDF : 7.11.3.10 2048 Bytes 09.02.2011 18:09:10
VBASE013.VDF : 7.11.3.59 157184 Bytes 14.02.2011 18:09:12
VBASE014.VDF : 7.11.3.97 120320 Bytes 16.02.2011 18:09:15
VBASE015.VDF : 7.11.3.148 128000 Bytes 19.02.2011 18:09:22
VBASE016.VDF : 7.11.3.183 140288 Bytes 22.02.2011 18:09:25
VBASE017.VDF : 7.11.3.216 124416 Bytes 24.02.2011 18:09:28
VBASE018.VDF : 7.11.3.251 159232 Bytes 28.02.2011 18:09:32
VBASE019.VDF : 7.11.4.33 148992 Bytes 02.03.2011 18:09:36
VBASE020.VDF : 7.11.4.73 150016 Bytes 06.03.2011 18:09:39
VBASE021.VDF : 7.11.4.74 2048 Bytes 06.03.2011 18:09:39
VBASE022.VDF : 7.11.4.75 2048 Bytes 06.03.2011 18:09:39
VBASE023.VDF : 7.11.4.76 2048 Bytes 06.03.2011 18:09:39
VBASE024.VDF : 7.11.4.77 2048 Bytes 06.03.2011 18:09:39
VBASE025.VDF : 7.11.4.78 2048 Bytes 06.03.2011 18:09:39
VBASE026.VDF : 7.11.4.79 2048 Bytes 06.03.2011 18:09:39
VBASE027.VDF : 7.11.4.80 2048 Bytes 06.03.2011 18:09:40
VBASE028.VDF : 7.11.4.81 2048 Bytes 06.03.2011 18:09:40
VBASE029.VDF : 7.11.4.82 2048 Bytes 06.03.2011 18:09:41
VBASE030.VDF : 7.11.4.83 2048 Bytes 06.03.2011 18:09:41
VBASE031.VDF : 7.11.4.97 92672 Bytes 07.03.2011 18:09:43
Engineversion : 8.2.4.180
AEVDF.DLL : 8.1.2.1 106868 Bytes 10.01.2011 13:22:51
AESCRIPT.DLL : 8.1.3.56 1261945 Bytes 07.03.2011 18:10:58
AESCN.DLL : 8.1.7.2 127349 Bytes 10.01.2011 13:22:49
AESBX.DLL : 8.1.3.2 254324 Bytes 10.01.2011 13:22:49
AERDL.DLL : 8.1.9.2 635252 Bytes 10.01.2011 13:22:49
AEPACK.DLL : 8.2.4.11 520566 Bytes 07.03.2011 18:10:49
AEOFFICE.DLL : 8.1.1.17 205177 Bytes 07.03.2011 18:10:38
AEHEUR.DLL : 8.1.2.83 3338613 Bytes 07.03.2011 18:10:37
AEHELP.DLL : 8.1.16.1 246134 Bytes 07.03.2011 18:10:01
AEGEN.DLL : 8.1.5.2 397683 Bytes 07.03.2011 18:09:57
AEEMU.DLL : 8.1.3.0 393589 Bytes 10.01.2011 13:22:42
AECORE.DLL : 8.1.19.2 196983 Bytes 07.03.2011 18:09:51
AEBB.DLL : 8.1.1.0 53618 Bytes 10.01.2011 13:22:41
AVWINLL.DLL : 10.0.0.0 19304 Bytes 10.01.2011 13:22:56
AVPREF.DLL : 10.0.0.0 44904 Bytes 10.01.2011 13:22:55
AVREP.DLL : 10.0.0.8 62209 Bytes 17.06.2010 13:26:53
AVREG.DLL : 10.0.3.2 53096 Bytes 10.01.2011 13:22:55
AVSCPLR.DLL : 10.0.3.2 84328 Bytes 10.01.2011 13:22:56
AVARKT.DLL : 10.0.22.6 231784 Bytes 10.01.2011 13:22:51
AVEVTLOG.DLL : 10.0.0.8 203112 Bytes 10.01.2011 13:22:54
SQLITE3.DLL : 3.6.19.0 355688 Bytes 17.06.2010 13:27:02
AVSMTP.DLL : 10.0.0.17 63848 Bytes 10.01.2011 13:22:56
NETNT.DLL : 10.0.0.0 11624 Bytes 17.06.2010 13:27:01
RCIMAGE.DLL : 10.0.0.26 2550120 Bytes 28.01.2010 12:10:08
RCTEXT.DLL : 10.0.58.0 98152 Bytes 10.01.2011 13:23:15

Konfiguration für den aktuellen Suchlauf:
Job Name..............................: Lokale Laufwerke
Konfigurationsdatei...................: C:\Program Files\Avira\AntiVir Desktop\alldrives.avp
Protokollierung.......................: niedrig
Primäre Aktion........................: interaktiv
Sekundäre Aktion......................: ignorieren
Durchsuche Masterbootsektoren.........: ein
Durchsuche Bootsektoren...............: ein
Bootsektoren..........................: C:, D:, E:, F:,
Durchsuche aktive Programme...........: ein
Durchsuche Registrierung..............: ein
Suche nach Rootkits...................: ein
Integritätsprüfung von Systemdateien..: ein
Optimierter Suchlauf..................: ein
Datei Suchmodus.......................: Intelligente Dateiauswahl
Durchsuche Archive....................: ein
Rekursionstiefe einschränken..........: 10
Archiv Smart Extensions...............: ein
Makrovirenheuristik...................: ein
Dateiheuristik........................: hoch
Abweichende Gefahrenkategorien........: +PCK,+PFS,+SPR,

Beginn des Suchlaufs: Montag, 7. März 2011 19:35

Der Suchlauf nach versteckten Objekten wird begonnen.

Der Suchlauf über gestartete Prozesse wird begonnen:
Durchsuche Prozess 'avscan.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'avcenter.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'avgnt.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'MSASCui.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'ehmsas.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'soffice.bin' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'soffice.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'wmpnscfg.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'sidebar.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'ehtray.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'jusched.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'PIFSvc.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'RtHDVCpl.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'igfxpers.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'hkcmd.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'igfxtray.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'igfxsrvc.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'Explorer.EXE' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'Dwm.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'taskeng.exe' - '1' Modul(e) wurden durchsucht

Untersuchung der Systemdateien wird begonnen:
Signiert -> 'C:\Windows\system32\svchost.exe'
Signiert -> 'C:\Windows\system32\winlogon.exe'
Signiert -> 'C:\Windows\explorer.exe'
Signiert -> 'C:\Windows\system32\smss.exe'
Signiert -> 'C:\Windows\system32\wininet.DLL'
Signiert -> 'C:\Windows\system32\wsock32.DLL'
Signiert -> 'C:\Windows\system32\ws2_32.DLL'
Signiert -> 'C:\Windows\system32\services.exe'
Signiert -> 'C:\Windows\system32\lsass.exe'
Signiert -> 'C:\Windows\system32\csrss.exe'
Signiert -> 'C:\Windows\system32\drivers\kbdclass.sys'
Signiert -> 'C:\Windows\system32\spoolsv.exe'
Signiert -> 'C:\Windows\system32\alg.exe'
Signiert -> 'C:\Windows\system32\wuauclt.exe'
Signiert -> 'C:\Windows\system32\advapi32.DLL'
Signiert -> 'C:\Windows\system32\user32.DLL'
Signiert -> 'C:\Windows\system32\gdi32.DLL'
Signiert -> 'C:\Windows\system32\kernel32.DLL'
Signiert -> 'C:\Windows\system32\ntdll.DLL'
Signiert -> 'C:\Windows\system32\ntoskrnl.exe'
Signiert -> 'C:\Windows\system32\ctfmon.exe'
Die Systemdateien wurden durchsucht ('21' Dateien)

Der Suchlauf über die Masterbootsektoren wird begonnen:
Masterbootsektor HD0
[INFO] Es wurde kein Virus gefunden!
[INFO] Bitte starten Sie den Suchlauf erneut mit Administratorrechten
Masterbootsektor HD1
[INFO] Es wurde kein Virus gefunden!
[INFO] Bitte starten Sie den Suchlauf erneut mit Administratorrechten

Der Suchlauf über die Bootsektoren wird begonnen:
Bootsektor 'C:\'
[INFO] Es wurde kein Virus gefunden!
[INFO] Bitte starten Sie den Suchlauf erneut mit Administratorrechten
Bootsektor 'D:\'
[INFO] Es wurde kein Virus gefunden!
[INFO] Bitte starten Sie den Suchlauf erneut mit Administratorrechten
Bootsektor 'E:\'
[INFO] Es wurde kein Virus gefunden!

Der Suchlauf auf Verweise zu ausführbaren Dateien (Registry) wird begonnen:
Die Registry wurde durchsucht ( '337' Dateien ).


Der Suchlauf über die ausgewählten Dateien wird begonnen:

Beginne mit der Suche in 'C:\' <System>
Beginne mit der Suche in 'D:\' <DATA>
Beginne mit der Suche in 'E:\'
Beginne mit der Suche in 'F:\'
Der zu durchsuchende Pfad F:\ konnte nicht geöffnet werden!
Systemfehler [21]: Das Gerät ist nicht bereit.


Ende des Suchlaufs: Montag, 7. März 2011 20:29
Benötigte Zeit: 54:04 Minute(n)

Der Suchlauf wurde vollständig durchgeführt.

14119 Verzeichnisse wurden überprüft
405316 Dateien wurden geprüft
0 Viren bzw. unerwünschte Programme wurden gefunden
0 Dateien wurden als verdächtig eingestuft
0 Dateien wurden gelöscht
0 Viren bzw. unerwünschte Programme wurden repariert
0 Dateien wurden in die Quarantäne verschoben
0 Dateien wurden umbenannt
0 Dateien konnten nicht durchsucht werden
405316 Dateien ohne Befall
3914 Archive wurden durchsucht
0 Warnungen
0 Hinweise
75642 Objekte wurden beim Rootkitscan durchsucht
0 Versteckte Objekte wurden gefunden

noch nicht.
Systemscan mit OTL
download otl:
http://filepony.de/download-otl/

Doppelklick auf die OTL.exe
(user von Windows 7 und Vista: Rechtsklick als Administrator ausführen)
1. Oben findest Du ein Kästchen mit Output. Wähle bitte Minimal Output
2. Hake an "scan all users"
3. Unter "Extra Registry wähle:
"Use Safelist" "LOP Check" "Purity Check"
4. Kopiere in die Textbox:
netsvcs
msconfig
safebootminimal
safebootnetwork
activex
drivers32
%ALLUSERSPROFILE%\Application Data\*.
%ALLUSERSPROFILE%\Application Data\*.exe /s
%APPDATA%\*.
%APPDATA%\*.exe /s
%SYSTEMDRIVE%\*.exe
/md5start
userinit.exe
eventlog.dll
scecli.dll
netlogon.dll
cngaudit.dll
ws2ifsl.sys
sceclt.dll
ntelogon.dll
winlogon.exe
logevent.dll
user32.DLL
explorer.exe
iaStor.sys
nvstor.sys
atapi.sys
IdeChnDr.sys
viasraid.sys
AGP440.sys
vaxscsi.sys
nvatabus.sys
viamraid.sys
nvata.sys
nvgts.sys
iastorv.sys
ViPrt.sys
eNetHook.dll
ahcix86.sys
KR10N.sys
nvstor32.sys
ahcix86s.sys
/md5stop
%systemroot%\system32\drivers\*.sys /lockedfiles
%systemroot%\System32\config\*.sav
%systemroot%\*. /mp /s
%systemroot%\system32\*.dll /lockedfiles
CREATERESTOREPOINT
5. Klicke "Scan"
6. 2 reporte werden erstellt:
OTL.Txt
Extras.Txt
beide posten

Logs sind im Anhang.

vista sp1:
Detail Seite Windows Vista Service Pack 1 Five Language Standalone (KB936330)
servicepack2 für vista:
Detail Seite Windows Server 2008 Service Pack 2 und Windows Vista Service Pack 2 - Five Language Standalone (KB948465)
internet explorer 8:
Mit Sicherheit ins Internet.
windows update:
Microsoft Windows Update
hier instalierst du so lange updates, bis es keine neuen mehr gibt.
windows updates automatisch laden/instalieren:
Aktivieren oder Deaktivieren von automatischen Updates
damit dein system ab sofort immer aktuell bleibt.

Und dann ist es fertig?

frag mich doch nicht nach jedem scrhitt "ist dann fertig" ich sags dir schon... :-)

Ok. Ich hab nun alles runtergeladen, Windows upgedatet und automatische Updates aktiviert.

wir kommen dem ende näher :-)
lade den ccleaner slim:
Piriform - Builds
falls der ccleaner bereits instaliert, überspringen.
instalieren, öffnen, extras, liste der instalierten programme, als txt speichern. öffnen.
hinter, jedes von dir benötigte programm, schreibe notwendig.
hinter, jedes, von dir nicht benötigte, unnötig.
hinter, dir unbekannte, unbekannt.
liste posten.

Alles klar. :)
So bitte schön.