Home » Viren, Trojaner & Malware Forum » Rootkit verdacht ->veränderte disk.sys, immer wieder 2.exe, psexec » Themenansicht
Rootkit verdacht ->veränderte disk.sys, immer wieder 2.exe, psexec |
||
|---|---|---|
| #0
| ||
|
07.10.2009, 10:14
...neu hier
Beiträge: 10 |
||
 
|
|
|
|
07.10.2009, 10:42
Member
Beiträge: 3716 |
#2
Hi, bitte zeige auch einen Scan mit MalwareBytes.
Obwohl das beste sein wird, den Rechner zu formatieren, da es ein Firmen pc ist, und ihr sicher nicht wollt, dass ihr ausgespät werdet. Wie siehts aus mit einem Upgrade auf kaspersky 2010? Kaspersky 6 ist doch schon recht alt. |
|
|
|
|
|
|
07.10.2009, 10:56
...neu hier
Themenstarter Beiträge: 10 |
#3
den rechner zu formatieren wäre sehr unguenstig und ist eigentlich nur die allerletzte alternative. ausserdem müssten dafür auch noch einge daten gesichert werden und ich weiss nicht wie groß die wahrscheinlichkeit ist beim backup die infektion mit zu sichern. Ein Upgrade auf Kaspersky 2010 ist aus kostengründen einfach gerade nicht möglich. Wobei ich mit Kaspersky auch nur schlechte erfahrungen gemacht habe und lieber wechseln würde. Scan mit malwarebytes wird gemacht. ich habe während der scans bisher den virenscanner deaktiviert um konflikte zu vermeiden. reicht das oder sollt eich die scans lieber im abgesicherten modus durchführen. welche chancen hab ich mit einem linux livesystem die probleme komplett los zu werden?
Edit: und würde formatieren überhaupt helfen falls es ein rootkit ist? Dieser Beitrag wurde am 07.10.2009 um 11:01 Uhr von ChrisG editiert.
|
|
|
|
|
|
|
07.10.2009, 11:17
Member
Beiträge: 3716 |
#4
Hallo, du solltest dich dann evtl. nach einer billigeren Alternative umsehen, dein Av ist aber definitiv zu alt. ist das Backup auf CD oder auf dem PC?
Die scans im normalen modus ohne Internetverbindung ausführen. Das Problem bei Rootkits ist nun mal, dass sie deinen PC ausspionieren und evtl. enderungen fornehmen, die nicht rückgängig zu machen sind, je nach dem wie sensibel die Daten sind, würde ich zum formatieren raten. Aber lass uns erst mal sehen, was die Scans ergeben. |
|
|
|
|
|
|
07.10.2009, 12:32
...neu hier
Themenstarter Beiträge: 10 |
#5
es existiert ein backup auf nem datenserver (der bisher sauber zu sein scheint) das ist allerdings ca. eine woche alt und daher nicht ganz ausreichend
Edit: das mit dem AV aussuchen ist so ne sache ...wir haben halt kaspersky lizensen bis mitte 2010 die ein upgrade auf 2010 nicht hergeben... ich sehe schwarz fuer einen frueheren umstieg... ausserdem habe ich gerade festgestellt dass es fuer dir business reihe von kaspersky kein AV 2010 gibt... da gibts nur 6 ... also ist das vielleicht nur eine andere versions philosophie Dieser Beitrag wurde am 07.10.2009 um 12:38 Uhr von ChrisG editiert.
|
|
|
|
|
|
|
07.10.2009, 13:03
Member
Beiträge: 3716 |
#6
aso ich dachte es gäbe zu mindest die Version 7. Was währe denn zu sichern, dokumente? Wie sieht es bei euch mit der Verwendung von wechseldatenträgern aus und der Verwendung der Autorunfunktion, dies könnte zb ein Grund für Infektionen sein.
|
|
|
|
|
|
|
07.10.2009, 13:55
...neu hier
Themenstarter Beiträge: 10 |
#7
hier nun erstmal das gmer log
Code GMER 1.0.15.15125 - http://www.gmer.net |
|
|
|
|
|
|
07.10.2009, 14:06
Member
Beiträge: 3716 |
#8
sieht so weit io aus.
|
|
|
|
|
|
|
08.10.2009, 12:39
...neu hier
Themenstarter Beiträge: 10 |
#9
malwarebytes hat nichts gefunden
laut kaspersky heisst das ding "PDM.irpTableChanged" leider sind aber 99% der informationen die man dazu im netz findet auf russisch oder in einer anderen sprache die ich leider nicht ausreichend beherrsche  hat jeman noch nen vorschlag was ich tun sollte um fest zu stellen was los ist? avira rescue cd funktioniert auf dem rechner leider nicht, der kriegt irgendwie nicht alle laufwerke gemountet was mir auch schon komisch vor kommt. ich probiers gerade nochmal mit der rescue cd von kaspersky... mal schaun was die sagta |
|
|
|
|
|
|
08.10.2009, 12:59
Member
Beiträge: 3716 |
#10
ic hinformiere mich mal, ich kenne ihn leider auch nicht. iptable sieht aber nach linux aus. kannst du, wenn Kaspersky durch ist, bitte das Log speichern und einstellen?
|
|
|
|
|
|
|
08.10.2009, 13:20
...neu hier
Themenstarter Beiträge: 10 |
#11
Zitat virenfinder postetenicht IPtable sonder IRPtable ... iptables kenn ich  und ja wenn der scan fertig poste ich das log... kann aber nen moment dauern
|
|
|
|
|
|
|
08.10.2009, 14:35
Member
Beiträge: 3716 |
#12
uups hab mich verlesen sorry.
|
|
|
|
|
|
Um auf dieses Thema zu ANTWORTEN
bitte erst » hier kostenlos registrieren!!
bitte erst » hier kostenlos registrieren!!
Folgende Themen könnten Dich auch interessieren:
Seite(n): 1
Copyright © 2024, Protecus.de - Protecus Team - Impressum / Mediadaten
ich habe folgendes Problem ich betreue momentan ein kleines firmennetzwerk und habe immer wieder probeleme mit einem bestimmten rechner.
bei uns ist dauerhaft kaspersky in version 6 aktiv und wird auch täglich geupdated. das komplette netzwerk befindet sich hinter einer relativ restriktiv eingestellten hardware firewall.
trotzdem werde ich auf besagtem rechner die viren nicht los. angefangen hatte es damit dass kaspersky immer wieder eine 2.exe im system32 fand, diese loeschte und die datei ein paar h später doch wieder da war. abhilfe schaffte nur eine linux antivirus cd aus der ct mit bitdefender, antivir und kaspersky.
da das keinen dauerhaften erfolg brachte (keine 2.exe mehr dafuer aber psexec) habe ich mich an den business support von kaspersky gewendet. dort wurde mir empfohlen mit der 30 tage testversion des neuen kaspersky 2010 im abgesichterten modus zu scannen. gesagt getan. es gab auch einige funde in den wiederherstellungspunkten von windows und im system und system32.
merkwürdig daran: einige probleme konten nicht behoben werden da die dateien plötzlich nicht mehr vorhanden waren. Dazu kommt dass sich der dateiname der scheinbar infizierten dateien geändert hat wenn ich nur mit dem mauszeiger ueber den eintrag im scan bericht gegangen bin. Nach dem Neustart zeigt Kaspersky 2010 jetzt an dass auf grund von aenderungen in der disk.sys ein rootkit vermutet wird. Mit wird allerdings nur angeboten die ausführung zu erlauben oder die ausführung dauerhaft zu erlauben. Sehr witzig! Ich habe den rechner jetzt erstmal vom netzwerk getrennt und lasse gerade mit gmer einen scan laufen. wenn der fertig ist kann ich noch ein hijackthis log anfertigen lassen und werde anschließend die beiden log und den bericht von kaspersky hier posten. Tut mir leid dass ich noch keine virennamen nennen konnte aber so gut war mein gedächnis gerade nicht. Lässt sich irgendwie festellen auf welchem weg sich der nutzer diese viren eingefangen hat?