Home » Viren, Trojaner & Malware Forum » Radix ---> IRP hooks-Prüfung ---> Fund(?) ----> Bluescreen » Themenansicht
Radix ---> IRP hooks-Prüfung ---> Fund(?) ----> Bluescreen |
||
|---|---|---|
| #0
| ||
|
08.03.2010, 00:38
...neu hier
Beiträge: 9 |
||
 
|
|
|
|
08.03.2010, 00:56
Moderator
Beiträge: 5694 |
#2
Hallo und herzlich Willkommen auf Protecus.de
Um ein infiziertes System zu bereinigen bedarf es neben Zeit auch die Beachtung folgender Punkte: • Halte Dich an die Anweisungen des jeweiligen Helfers. • Falls Du externen Speichermedien (USB Sticks, Festplatten) hast, dann schliesse die vor der Reinigung an. • Während der Reinigung solltest Du weder Programme installieren noch deinstallieren, welche nicht ausdrücklich verlangt werden. • Bitte arbeite jeden Schritt der Reihe nach ab. • Falls bei einem Schritt Probleme auftauchen, poste was du bereits hast und melde Dich mit dem Problembeschreiben. • Die Bereinigung ist erst beendet wenn der jeweilige Helfer das OK gibt. • Wenn die Kiste wieder flott läuft heisst das nicht, dass das Sytem auch sauber ist. • Bei geschäftlich genutzten Rechner sollte der zuständige IT Verantwortliche beigezogen werden. • Ein Support unsererseits kann unter Umständen bei einem Firmenrechner abgelehnt werden. • Bei illegaler Software besteht die Möglichkeit, dass der Support eingestellt wird. • Jegliche Cracks oder Keygens werden weder gefördert noch akzeptiert. • Bei stark infizierten Systemen vorallem wenn Backdoors oder Rootkits involviert sind kann es vorkommen, dass ein Helfer zum Neuaufsetzen rät. • In letzter Instanz ist dann immer der User welcher entscheidet. Vista und Win7 User: Alle Programme und Tools, die wir anordnen, immer mit Rechtsklick und Als Administrator ausführen. Schritt 1 Kannst Du auf Deinem Computer alle Dateien und Datei-Endungen sehen? Falls nein, bitte diese Einstellungen in den Ordneroptionen vornehmen. Schritt 2 Rootkit-Suche mit Gmer Was sind Rootkits? Wichtig: Bei jedem Rootkit-Scans soll/en: • alle anderen Programme gegen Viren, Spyware, usw. deaktiviert sein, • keine Verbindung zu einem Netzwerk/Internet bestehen (WLAN nicht vergessen), • nichts am Rechner getan werden, • nach jedem Scan der Rechner neu gestartet werden. • Nicht vergessen, nach dem Rootkit-Scan die Security-Programme wieder einzuschalten! Lade Dir Gmer von dieser Seite herunter (auf den Button Download EXE drücken) und das Programm auf dem Desktop speichern. • Gmer ist geeignet für => NT/W2K/XP/VISTA. • Alle anderen Programme sollen geschlossen sein. • Starte gmer.exe (hat einen willkürlichen Programm-Namen). • Vista-User mit Rechtsklick und als Administrator starten. • Gmer startet automatisch einen ersten Scan. • Sollte sich ein Fenster mit folgender Warnung öffnen: Code WARNING !!! • Unbedingt auf "No" klicken, anschließend über den Copy-Button das bisherige Resultat in die Zwischenablage zu kopieren. • Füge das Log aus der Zwischenablage mit STRG + V in Deine Antwort in Deinem Thread ein. . • Falls das nicht der Fall war, wähle nun den Reiter "Rootkit/Malware", • Hake an: System, Sections, IAT/EAT, Devices, Modules, Processes, Threads, Libraries, Services, Registry und Files. • Wichtig: "Show all" darf nicht angehakt sein! • Starte den Scan durch Drücken des Buttons "Scan". Mache nichts am Computer während der Scan läuft. • Wenn der Scan fertig ist klicke auf "Copy" um das Log in die Zwischenablage zu kopieren. Mit "Ok" wird Gmer beendet. • Füge das Log aus der Zwischenablage in Deine Antwort hier ein (mit STRG + V). Antiviren-Programm und sonstige Scanner wieder einschalten, bevor Du ins Netz gehst! Nun das Logfile in Code-Tags posten. Schritt 3 Systemscan mit OTL Lade Dir bitte OTL von Oldtimer herunter und speichere es auf Deinem Desktop >Doppelklick auf die OTL.exe -->Vista User: Rechtsklick auf die OTL.exe und "als Administrator ausführen" wählen >Oben findest Du ein Kästchen mit Output. Wähle bitte Minimal Output >Unter Extra Registry, wähle bitte Use SafeList >Klicke nun auf Run Scan links oben >Wenn der Scan beendet wurde werden 2 Logfiles erstellt >Poste die Logfiles in Code-Tags hier in den Thread. |
|
|
|
|
|
|
08.03.2010, 21:49
...neu hier
Themenstarter Beiträge: 9 |
#3
Danke für den Hinweis! Hier also schonmal das Logfile von Gmer. Ich bin übrigens vor ca einem Monat von KIS auf Antivir Premium gewechselt (falls das eine Rolle spielt).
Code GMER 1.0.15.15281 - http://www.gmer.net Und hier die beiden Logfiles von OTL Code OTL Extras logfile created on: 08.03.2010 22:00:57 - Run 1 Code OTL logfile created on: 08.03.2010 22:00:57 - Run 1 Würde mich über Einschätzungen freuen. Dieser Beitrag wurde am 08.03.2010 um 22:20 Uhr von CottonEyejoe editiert.
|
|
|
|
|
|
|
08.03.2010, 23:04
Moderator
Beiträge: 5694 |
#4
Schritt 1
Das hier wird ein grosses Problem sein: Zitat 1,47 Gb Free Space | 1,58% Space FreeSchau dass Du möglichst viel Platz freischaufeln kannst auf dr Partition C:/ Du hast eine sehr kleine Festplatte. Aufrüsten ein Thema? Also deinstalliere die Programme welche nicht wirklich benötigt werden. Z.b. das hier. Benötigst Du es noch?? Gehe nicht davon aus. Also weg damit unter Start --> Systemsteuerung --> Software. Zitat Steganos Live Encryption Engine 13Schritt 2 Entferne Kaspersky mit diesem Removaltool vollständig vom System. Schritt 3 Fixen mit OTL • Starte bitte die OTL.exe. Vista-User mit Rechtsklick "als Administrator starten" • Kopiere nun den Inhalt in die  Textbox.Code :OTL• Schliesse bitte nun alle Programme. • Klicke nun bitte auf den Run Fix Button. • Klick auf  .• OTL kann gegebenfalls einen Neustart verlangen. Bitte dies zulassen. • Nach dem Neustart findest Du ein Textdokument. Kopiere nun den Inhalt hier in Code-Tags in Deinen Thread Schritt 4 Zitat E:\starter.exeWas war hier bei E: angeschlossen? Schritt 5 Malwarebytes Anti-Malware Lade MBAM herunter, installiere es und wähle bei Reiter: -> “Update“> “Suche nach Aktualisierungen“ -> “Einstellungen“> “Beende Internet Explorer während des Löschvorgangs“ -> “Scanner”> "Quickscan durchfuehren". Wenn am Ende Infizierungen gefunden werden, diese anhaken und entfernen lassen. Starte dein Rechner neu Schritt 6 Nun kontrollieren wir den Master Boot Record,ob alles in Ordnung ist: • Downloade die MBR.exe von Gmer und • speichere das Programm auf Deinem Desktop. • Mache einen Doppelklick auf das Programm, um es zu starten. • Wenn Dein Antiviren-Programm anschlägt, bitte ignorieren bzw. die Aktion zulassen. • Nun wirst Du ein Logfile auf Deinem Desktop namens mbr.log finden. • Poste mir den Inhalt dieser Logdatei hier in den Thread. |
|
|
|
|
|
|
09.03.2010, 01:44
...neu hier
Themenstarter Beiträge: 9 |
#5
Sooo bin jetzt durch
 . Hier die Ergebnisse.Schritt 1 Habe gut aufgeräumt. Einige Programme deinstalliert und Dateien gelöscht/auf externe Festplatte verschoben. Habe jetzt 30,4 Gb frei. Denke dadurch kann ich mir ein aufrüsten sparen, oder ? Das System läuft seitdem auch schon (subjektiv) schneller.  Schritt 2 Das Tool meldet "Kaspersky Anti-Virus was not detected" Hinweis: Hatte erst KIS 2009 drauf. Habe dann auf KIS 2010 geupgradet, ohne zuvor KIS 2009 zu deinstallieren. Als ich mich entschlossen habe, auf Antivir umzusteigen, habe ich das KIS 2010 Removaltool aus dem Kaspersky-Forum benutzt. Schritt 3 Code
Schritt 4 Das müsste die externe Festplatte von einem Kumpel sein die vor 1-2 Monaten einmal angeschlossen war. Schritt 5 Code
Schritt 6 Code
Danke für deine tolle Anleitung! Eine Frage am Rande: Ist es ratsam bei Avira-Antivir Premium den sicheren Startmodus zu wählen. (siehe http://www.avira.com/de/support/faqdetails.php?id=506 Habe bei der Installation den normalen Startmodus gewählt der ja auch empfohlen wird. Dieser Beitrag wurde am 09.03.2010 um 01:50 Uhr von CottonEyejoe editiert.
|
|
|
|
|
|
|
09.03.2010, 08:35
Moderator
Beiträge: 5694 |
#6
Also das mit dem sicheren Startmodus ist natürlich Dir überlassen. Aber ich denke das dies nicht nötig ist. Zumal es jedesmal den Start verlangsamt und dies markant.
Ich will sicher gehen, dass die atapi sicher nicht verändert wurde. Deshalb mache noch folgendes: Schritt 1 Java aktualisieren Deine Javaversion ist nicht aktuell. Da einige Schädlinge (z. B. Vundo) über Java-Exploits in das System eindringen, deinstalliere zunächst alle vorhandenen Java-Versionen über Systemsteuerung => Software => deinstallieren. Starte den Rechner neu. Downloade nun die Offline-Version von Java (Java SE Runtime Environment (JRE) 6 Update 18) von SUN. Wenn Du auf Download geklickt hast, erscheint eine Seite, wo Du das Betriebssystem auswählen musst (also Windows) und ein Häkchen bei "I agree" setzen musst. Dann auf den Button "Continue" klicken. Dort die jre-6u18-windows-i586.exe downloaden und anschließend installieren, eventuell angebotene Toolbars nicht mitinstallieren. Schritt 2 Scan mit SystemLook Lade SystemLook von jpshortstuff von einem der folgenden Spiegel herunter und speichere das Tool auf dem Desktop. Download Mirror #1 - Download Mirror #2 • Doppelklick auf die SystemLook.exe, um das Tool zu starten. Vista-User mit Rechtsklick und als Administrator starten. • Kopiere den Inhalt der folgenden Codebox in das Textfeld des Tools: Code :filefind• Klicke nun auf den Button Look, um den Scan zu starten. • Wenn der Suchlauf beendet ist, wird sich Dein Editor mit den Ergebnissen öffnen, diese hier in den Thread posten. • Die Ergebnisse werden auf dem Desktop als SystemLook.txt gespeichert. Schritt 3 Malware mit Combofix beseitigen Lade Combofix von einem der folgenden Download-Spiegel herunter: BleepingComputer.com - ForoSpyware.com und speichere das Programm auf den Desktop, nicht woanders hin, das ist wichtig! Beachte die ausführliche Original-Anleitung. Vorbereitung und wichtige Hinweise • Bitte während des Scans mit Combofix Antiviren- sowie Antispy-Programme, die Firewall und evtl. vorhandenes Skript-Blocking (Norton) deaktivieren. • Liste der zu deaktivierenden Programme. Bei Unklarheiten bitte vorher fragen. • Bitte während des Laufs von Combofix nicht in das Combofix-Fenster klicken. • Das könnte Dein System einfrieren oder hängen bleiben lassen. • Es kann circa eine Viertelstunde dauern, bis der Scan fertig ist. • ComboFix wird Deine Einstellungen in Bezug auf den Bildschirmschoner zurücksetzen. • Diese Einstellungen kannst Du nach Beendigung unserer Bereinigung wieder ändern. • Mache nichts anderes, wenn es Dir nicht gelungen ist, Combofix laufen zu lassen. • Teile uns das mit und warte auf unsere Anweisungen. Kurzanleitung zur Installation der Wiederherstellungskonsole und zur Anwendung • Doppelklicke auf die ComboFix.exe und folge den Anweisungen. • Akzeptiere die Bedingungen (Disclaimer) mit "Ja". • ComboFix wird schauen, ob die Microsoft-Windows-Wiederherstellungskonsole installiert ist. Dies ist Teil des Prozesses. Angesichts der Art von Malware Infizierungen, die es heute gibt, wird dringend empfohlen, diese Wiederherstellungskonsole auf dem PC installiert zu haben, bevor jegliche Reinigung von Malware durchgeführt wird. • Folge den Anweisungen, um ComboFix das Herunterladen und Installieren der Wiederherstellungskonsole zu ermöglichen und stimme dem Lizenzvertrag (EULA) zu, sobald Du dazu aufgefordert wirst. ** Zur Information: Sollte die Wiederherstellungskonsole schon installiert sein, so wird ComboFix seine Malware-Entfernungsprozedur normal fortfahren.  Sobald die Wiederherstellungskonsole durch ComboFix installiert wurde, solltest Du folgende Nachricht sehen:  Klicke "Ja", um mit dem Suchlauf nach Malware fortzufahren. Wenn ComboFix fertig ist, wird es ein Log erstellen (bitte warten, das dauert einen Moment). Unbedingt warten, bis sich das Combofix-Fenster geschlossen hat und das Logfile im Editor erscheint. Bitte poste die Log-Dateien C:\ComboFix.txt und C:\Qoobox\Add-Remove Programs.txt in Code-Tags hier in den Thread. Hinweis: Combofix macht aus verschiedenen Gründen den Internet Explorer zum Standard-Browser und erstellt ein IE-Icon auf dem Desktop. Das IE-Desktop-Icon kannst Du nach der Bereinigung wieder löschen und Deinen bevorzugten Browser wieder als Standard-Browser einstellen. Combofix nicht auf eigene Faust einsetzen. Wenn keine entsprechende Infektion vorliegt, kann das den Rechner lahmlegen und/oder nachhaltig schädigen! Schritt 4 • Eset Online Scanner (NOD32) • Unterstützte Betriebssysteme: Microsoft Windows 98/ME/NT 4.0/2000/XP und Windows Vista • Anmerkung für Vista-User: Bitte den Browser unbedingt als Administrator starten. • Voraussetzung: Internet Explorer (IE) 5.0 oder höher • Haken bei "YES, I accept the Terms of Use" machen • Start • ActiveX-Steuerelement installieren • Start • Signaturen werden heruntergeladen • Haken machen bei "Remove found threads" • Haken machen bei "Remove found threads" und "Scan unwanted applications" • Scan • Scanende • Browser schließen • Explorer öffnen • C:\Programme\EsetOnlineScanner\log.txt • Log hier posten • Deinstallation: Systemsteuerung => Software => Eset Online Scanner entfernen. |
|
|
|
|
|
|
09.03.2010, 18:47
...neu hier
Themenstarter Beiträge: 9 |
#7
Schritt 1
Erldedigt. Was mich gewundert hat, ist dass in der Liste (Systemsteuerung => Software => deinstallieren) nur "JRE 6 Update 17" stand, im darauf folgenden Deinstallationsprozess jedoch von "JRE 6 Update 12" die Rede war. Jedenfalls warb danach kein Java-Eintrag mehr vorhanden. Schritt 2 Code SystemLook v1.0 by jpshortstuff (11.01.10) Schritt 3 Combofix.txt Code
Add-Remove Programs.txt Code
Schritt 4 Code
Gruss in die Schweiz ^^ edit: Vor Kaspersky habe ich kurze Zeit NIS (müsste 2009 gewesen sein evtl 2010) genutzt. Dieses habe ich dann mit Nortons Removaltool entfernt. Dieser Beitrag wurde am 09.03.2010 um 19:07 Uhr von CottonEyejoe editiert.
|
|
|
|
|
|
|
09.03.2010, 21:39
Moderator
Beiträge: 5694 |
#8
Schritt 1
CD-Emulatoren mit DeFogger deaktivieren Du hast CD-Emulatoren wie Alcohol, DaemonTools oder ähnliche auf diesem Computer installiert. Da diese Emulatoren mit Rootkit-Technik arbeiten, können sie die Fahndung nach bösartigen Rootkits verfälschen und erschweren. Aus diesem Grund bitte entweder das folgende Tool zum Deaktivieren laufen lassen oder die Software über Systemsteuerung => Software/Programme deinstallieren. Berichte mir, für welche Variante Du Dich entschieden hast. Die Deaktivierung können wir nach der Bereinigung rückgängig machen. Lade DeFogger herunter und speichere es auf Deinem Desktop. Doppelklicke DeFogger, um das Tool zu starten. • Es öffnet sich das Programm-Fenster des Tools. • Klick auf den Button Disable, um die CD- Emulation-Treiber zu deaktivieren. • Klicke Ja, um fortzufahren. • Wenn die Nachricht 'Finished!' erscheint, • klicke OK. • DeFogger wird nun einen Reboot erfragen - klicke OK • Poste mir das defogger_disable.log hier in den Thread. Keinesfalls die Treiber reaktivieren, bevor es angewiesen wird. Schritt 2 Bei Dir scheint sich etwas im Master Boot Record festgesetzt zu haben, wie das obige Ergebnis zeigt. Du hast jetzt zwei Möglichkeiten, den Master Boot Record (MBR) wieder in Ordnung zu bringen, die erste zeigt Dir auf, wie Du das mit Windows eigenen Mitteln machen kannst, die zweite, wie es mit dem Tool mbr.exe zu machen ist. MBR wiederherstellen Entweder so: • Lege die Installations-CD von XP oder Windows 2000 in das CD-Laufwerk ein und starte den Computer neu. • Bootet der Computer nicht von CD, musst Du im BIOS-Setup des PCs die Boot-Reihenfolge umstellen, so dass die CD vor der Festplatte verwendet wird. • Während des Bootens erkennt das Startprogramm auf der CD eine gegebenenfalls vorhandene bootfähige Partition auf der Festplatte, stoppt das Hochfahren und fährt erst auf einen beliebigen Tastendruck hin mit dem Booten fort. • Beim ersten Bildschirm des Windows-Setup-Programms wähle "R" und im nächsten Screen "K" für das Laden der Wiederherstellungskonsole. • Nun gebe folgenden Befehl ein: • fixmbr oder so: • Kopiere die Datei mbr.exe nach C:\Windows\system32 • Start => ausführen => cmd (da reinschreiben) => OK • es öffnet sich ein Dosfenster • bitte dort nach dem Prompt eingeben: mbr.exe -f (Enter drücken) • und ggfs. den Anweisungen folgen. Schritt 3 Zweiter Lauf mit Gmer • Starte Gmer erneut. • Dieses Mal machst Du einen Rechtsklick links in das weiße Feld und wählst im Kontext-Menü "Only non MS files". • Dann klickst Du auf "Scan" und erlaubst damit Gmer erneut zu scannen. • Wenn der Scan fertig ist, klickst Du auf den "Copy"-Button, womit der Inhalt ins Clipboard kopiert wird. • Nun einen Rechtsklick auf den Desktop, wähle "Textdokument", was ein leeres Dokument auf dem Desktop erstellt. • Öffne das Textdokument per Doppelklick, Rechtsklick im Textfeld und "Einfügen". • Speichere das Dokument und poste mir den Inhalt hier in den Thread. Schritt 4 Rootkitscan mit RootRepeal • Gehe hierhin, scrolle runter und downloade RootRepeal.zip. • Entpacke die Datei auf Deinen Desktop. • Doppelklicke die RootRepeal.exe, um den Scanner zu starten. • Klicke auf den Reiter Report und dann auf den Button Scan. • Mache einen Haken bei den folgenden Elementen und klicke Ok. . Drivers Files Processes SSDT Stealth Objects Hidden Services Shadow SSDT . • Im Anschluss wirst Du gefragt, welche Laufwerke gescannt werden sollen. • Wähle C:\ und klicke wieder Ok. • Der Suchlauf beginnt automatisch, es wird eine Weile dauern, bitte Geduld. • Wenn der Suchlauf beendet ist, klicke auf Save Report. • Speichere das Logfile als RootRepeal.txt auf dem Desktop. • Kopiere den Inhalt hier in den Thread. |
|
|
|
|
|
|
10.03.2010, 20:08
...neu hier
Themenstarter Beiträge: 9 |
#9
Schritt 1
Ich habe Daemontools deinstalliert und dann noch zusätzlich Defogger eingesetzt, da ich nicht sicher bin, ob ich noch einen anderen Emulator installiert habe. Hier das Logfile: Code
Schritt 2 Da ich meine Windows-CD nicht finden konnte, habe ich mbr.exe bei http://virus-protect.org/artikel/tools/mbr.html heruntergeladen und nach deiner anleitung ausgeführt. Das Logfile: Code
Schritt 3 Der Gmer-Scan hat nur wenige Sekunden gedauert. Mir ist aufgefallen, dass im Log ein Treiber von Nvidia auftaucht. Meine Grafikkarte ist von ATI. Außerdem tauchen Einträge von bereits deinstallierten Kaspersky und Symantec Produkten und von Hamachi (auch deinstalliert) auf. Sollte ich diese entfernen und wenn ja wie ? Code
|
|
|
|
|
|
|
10.03.2010, 20:10
...neu hier
Themenstarter Beiträge: 9 |
#10
Musste es teilen, da es zu lang für einen Post war.
Code
Schritt 4 [Code) ROOTREPEAL (c) AD, 2007-2009 ================================================== Scan Start Time: 2010/03/10 18:31 Program Version: Version 1.3.5.0 Windows Version: Windows XP Media Center Edition SP3 ================================================== Drivers ------------------- Name: dump_diskdump.sys Image Path: C:\WINDOWS\System32\Drivers\dump_diskdump.sys Address: 0xB541C000 Size: 16384 File Visible: No Signed: - Status: - Name: dump_viamraid.sys Image Path: C:\WINDOWS\System32\Drivers\dump_viamraid.sys Address: 0xBA1AE000 Size: 61440 File Visible: No Signed: - Status: - Name: rootrepeal.sys Image Path: C:\WINDOWS\system32\drivers\rootrepeal.sys Address: 0xACE21000 Size: 49152 File Visible: No Signed: - Status: - Hidden/Locked Files ------------------- Path: C:\hiberfil.sys Status: Locked to the Windows API! SSDT ------------------- #: 041 Function Name: NtCreateKey Status: Hooked by "<unknown>" at address 0xf7b95f26 #: 053 Function Name: NtCreateThread Status: Hooked by "<unknown>" at address 0xf7b95f1c #: 063 Function Name: NtDeleteKey Status: Hooked by "<unknown>" at address 0xf7b95f2b #: 065 Function Name: NtDeleteValueKey Status: Hooked by "<unknown>" at address 0xf7b95f35 #: 098 Function Name: NtLoadKey Status: Hooked by "<unknown>" at address 0xf7b95f3a #: 122 Function Name: NtOpenProcess Status: Hooked by "<unknown>" at address 0xf7b95f08 #: 128 Function Name: NtOpenThread Status: Hooked by "<unknown>" at address 0xf7b95f0d #: 193 Function Name: NtReplaceKey Status: Hooked by "<unknown>" at address 0xf7b95f44 #: 204 Function Name: NtRestoreKey Status: Hooked by "<unknown>" at address 0xf7b95f3f #: 247 Function Name: NtSetValueKey Status: Hooked by "<unknown>" at address 0xf7b95f30 #: 257 Function Name: NtTerminateProcess Status: Hooked by "<unknown>" at address 0xf7b95f17 ==EOF== [/Code] Kannst du mir bitte noch sagen, was es mit dieser Festplatte auf sich hat nach der du gefragt hast ? E:\starter.exe Fotos\nach riga\P1010169.JPG E:\Toshiba\more4you.exe Kann man erkennen ob mein Laptop sich dort infiziert hat? Soll ich den Besitzer der Festplatte warnen, damit sich die Malware nicht noch weiter verbreitet? Vielen Dank nochmal! Kann ich ja gar nicht oft genug sagen... edit: Verdammt.. Habe mir gerade noch einmal deinen ersten Post durchgelesen und gemerkt, dass ich diese beiden Punkte nicht befolgt habe: Falls Du externen Speichermedien (USB Sticks, Festplatten) hast, dann schliesse die vor der Reinigung an. • Während der Reinigung solltest Du weder Programme installieren noch deinstallieren, welche nicht ausdrücklich verlangt werden. Deinstalliert habe ich heute neben Daemontools noch andere Programme. Leider fällt mir gerade nicht ein welche. Installiert habe ich gestern oder vorgestern Unlocker. Externe Festplatten besitze ich 3 Stück. Außerdem habe ich einen USB-Stick. Alle 4 waren während der Scans nicht angeschlossen. Soll ich jetzt alle Scans neu machen? Dieser Beitrag wurde am 10.03.2010 um 20:18 Uhr von CottonEyejoe editiert.
|
|
|
|
|
|
|
10.03.2010, 20:24
Moderator
Beiträge: 5694 |
#11
Das kann ich Dir leider nicht sagen. Starter.exe kann auch einfach auf der Festplatte sein um diese dann als Programm zu starten.
Da more4you.exe ist tatsächlich ein Programm von Toshiba. Ich denke nicht das Du Dich dort infiziert hast. Interessieren würde mich aus welcher Quelle Du dies hast: Zitat C:\Programme\Sports Interactive\Football Manager 2009\fm91_t1.exe probably a variant of Win32/Agent trojan (cleaned by deleting - quarantined)Schritt 1 Dr. Web CureIt! Downloade Dr. Web CureIt! und speichere es auf Deinem Desktop. Dr. Web CureIt! ist für alle Computer mit MS Windows 95OSR2/ 98/Me/NT 4.0/2000/XP/2003/Vista Betriebssysteme geeignet. • Schalte Dein Antiviren-Programm ab. • Starte die launch.exe durch Doppelklick. • Dr. Web CureIt! legt nun automatisch einen eigenen Order in Deinem Userprofil an: C:\Dokumente und Einstellungen\<DeinBenutzername>\DoctorWeb • Klicke auf "Starten". • Breche die Schnellüberprüfung ab. (durch Klick auf den viereckigen grünen Button (rechts in der Mitte). • Stelle bei dem Reiter "Scannen" auf "Komplett scannen" um. • Starte nun den Komplett-Scan durch Klick auf den dreieckigen Button. • Wenn Funde gemacht werden, bitte desinfizieren lassen, sollte das nicht möglich sein, die Funde verschieben lassen. • Wenn der Scan beendet ist und Funde zu verzeichnen waren: im Menü auf Datei und Berichtliste speichern und als DrWeb.cvs auf Deinem Desktop speichern. • Poste den Inhalt von DrWeb.cvs hier in den Thread. Schritt 2 Nun die Frage hast Du irgendwelche Probleme noch? Schritt 3 Schauen wir uns nochmals wegen KIS und NIS um  Erneuter Systemscan mit OTL • Doppelklick auf die OTL.exe • Vista User: [COLOR=green]Rechtsklick auf die OTL.exe und "als Administrator ausführen" wählen[/COLOR] • Oben findest Du ein Kästchen mit Output. Wähle bitte Minimal Output • Unter Extra Registry, wähle bitte [COLOR=green]Use SafeList[/COLOR] • Klicke nun auf Run Scan links oben • Wenn der Scan beendet wurde werden 2 Logfiles erstellt • Poste die Logfiles in Code-Tags hier in den Thread. |
|
|
|
|
|
|
12.03.2010, 15:59
...neu hier
Themenstarter Beiträge: 9 |
#12
Sooo... DrWeb hat gestern fast 8 Stunden gebraucht, deswegen erst heute ^^
Die fm91_t1.exe hab ich mal irgendwo runtergeladen, aber das Spiel ist schon längst wieder deinstalliert. Schritt 1 Mir ist nicht ganz klar wie ich den Inhalt der Excel-Datei hier rein posten kann, deswegen füge ich sie an. Die Funde sind von meiner ältesten externen Festplatte, die mir eigentlich nur als Archiv dient. Es sind nur Dateien von meinem ersten PC drauf. Ich habe davon noch nichts auf meinem Laptop (bewusst) ausgeführt. Die anderen externen Festplatten und der USB-Stick waren auch angeschlossen. Schritt 2 Nö, läuft alles rund Schritt 3 Extras.txt Code
OTL.txt Code
Beim OTL-Scan war keine externe Festplatte/USB-Stick angeschlossen. Anhang: DrWeb.csv
|
|
|
|
|
|
|
12.03.2010, 19:55
Moderator
Beiträge: 5694 |
||
|
|
|
|
|
13.03.2010, 17:46
...neu hier
Themenstarter Beiträge: 9 |
#14
Naja ist ja bekanntlich einfacher als jedes mal die richtige CD/DVD rauszukramen... Mir war damals jedoch nicht bewusst, dass so eine große Malware-Gefahr besteht.
|
|
|
|
|
|
|
13.03.2010, 19:21
Moderator
Beiträge: 5694 |
#15
Lass die Finger davon. Bei 99% aller Cracks oder Keygens ist gleichzeiti noch Malware mit bei!!
Du hast Glück dass ich dies erst jetzt gesehen habe, da ich dies nicht unterstütze. Schritt 1 Tool-Bereinigung mit OTL Wir werden nun die CleanUp!-Funktion von OTL nutzen, um die meisten Programme, die wir zur Bereinigung installiert haben, wieder von Deinem System zu löschen. • Doppelklick auf OTL.exe um das Programm auszuführen. Vista-User bitte per Rechtsklick und "Ausführen als Administrator" starten. • Klicke auf den Button "CleanUp!" • OTM fragt eventuell nach einem Neustart. Sollte es dies tun, so lasse dies bitte zu. Anmerkung: Nach dem Neustart werden OTL und andere Helferprogramme, die Du im Laufe der Bereinigung heruntergeladen hast, nicht mehr vorhanden sein. Sie wurden entfernt. Es ist daher Ok, wenn diese Programme nicht mehr vorhanden sind. Sollten noch welche übrig geblieben sein, lösche sie manuell. Schritt 2 Mach bitte noch folgende Onlinescans: FSecure und Bitdefender |
|
|
|
|
|
Um auf dieses Thema zu ANTWORTEN
bitte erst » hier kostenlos registrieren!!
bitte erst » hier kostenlos registrieren!!
Folgende Themen könnten Dich auch interessieren:
Copyright © 2024, Protecus.de - Protecus Team - Impressum / Mediadaten
eben habe ich Radix Anti-Rootkit (v 1.0.0.9), von meinem USB-Stick aus, ausgeführt. Bis zum Punkt ISP-Hook alles ohne Ergebnis. Dort wird dann allerdings etwas angezeigt (siehe Screenshots). Kurz darauf erscheint der Bluescreen und das Notebook rebootet. Der Bluescreen und die Zeilen "was hooked by" und "is hidden" machen mir Sorgen ^^, allerdings weiß ich nicht wirklich wie die Situation zu bewerten ist und hoffe Eure Hilfe. Die Datei nach "was hooked by" scheint bei jedem Scan eine andere zu sein, deswegen lade ich 2 Screenshots hoch.
Nutze Windows XP 32 Bit (SP 3), Avira Antivir Premium (findet beim Systemscan Nichts, bei Heuristik auf "hoch"). Ich habe normalerweise keine Bluescreens und auch keine offensichtlichen "Malware-Probleme".
freundliche Grüße
Yann
[URL=http://img502.imageshack.us/i/snap0037.jpg/]