Virus.Win32.Themida!IKThema ist geschlossen! |
||
|---|---|---|
Thema ist geschlossen! |
||
| #0
| ||
|
26.03.2010, 21:32
Member
Beiträge: 122 |
||
 
|
|
|
|
27.03.2010, 03:10
Moderator
Beiträge: 5694 |
#2
Hallo und herzlich Willkommen auf Protecus.de
Um ein infiziertes System zu bereinigen bedarf es neben Zeit auch die Beachtung folgender Punkte: • Halte Dich an die Anweisungen des jeweiligen Helfers. • Falls Du externen Speichermedien (USB Sticks, Festplatten) hast, dann schliesse die vor der Reinigung an. • Während der Reinigung solltest Du weder Programme installieren noch deinstallieren, welche nicht ausdrücklich verlangt werden. • Bitte arbeite jeden Schritt der Reihe nach ab. • Falls bei einem Schritt Probleme auftauchen, poste was du bereits hast und melde Dich mit dem Problembeschreiben. • Die Bereinigung ist erst beendet wenn der jeweilige Helfer das OK gibt. • Wenn die Kiste wieder flott läuft heisst das nicht, dass das Sytem auch sauber ist. • Bei geschäftlich genutzten Rechner sollte der zuständige IT Verantwortliche beigezogen werden. • Ein Support unsererseits kann unter Umständen bei einem Firmenrechner abgelehnt werden. • Bei illegaler Software besteht die Möglichkeit, dass der Support eingestellt wird. • Jegliche Cracks oder Keygens werden weder gefördert noch akzeptiert. • Bei stark infizierten Systemen vorallem wenn Backdoors oder Rootkits involviert sind kann es vorkommen, dass ein Helfer zum Neuaufsetzen rät. • In letzter Instanz ist dann immer der User welcher entscheidet. Vista und Win7 User: Alle Programme und Tools, die wir anordnen, immer mit Rechtsklick und Als Administrator ausführen. Es handelt sich um Laufzeitpacker: http://www.avira.com/de/threats/section/details/id_vir/4935/pck_themida.html Zitat ...Laufzeitpacker wie UPX können EXE-Dateien komprimieren, wobei sie weiter ausführbar bleiben.Woher Du das hast weisst Du am besten  Meisten als Anhang eines Email oder so.Schritt 1 Kannst Du auf Deinem Computer alle Dateien und Datei-Endungen sehen? Falls nein, bitte diese Einstellungen in den Ordneroptionen vornehmen. Schritt 2 Systemscan mit OTL Lade Dir bitte OTL von Oldtimer herunter und speichere es auf Deinem Desktop >Doppelklick auf die OTL.exe -->Vista User: Rechtsklick auf die OTL.exe und "als Administrator ausführen" wählen >Oben findest Du ein Kästchen mit Output. Wähle bitte Minimal Output >Unter Extra Registry, wähle bitte Use SafeList >Klicke nun auf Run Scan links oben >Wenn der Scan beendet wurde werden 2 Logfiles erstellt >Poste die Logfiles in Code-Tags hier in den Thread. Schritt 3 Rootkit-Suche mit Gmer Was sind Rootkits? Wichtig: Bei jedem Rootkit-Scans soll/en: • alle anderen Programme gegen Viren, Spyware, usw. deaktiviert sein, • keine Verbindung zu einem Netzwerk/Internet bestehen (WLAN nicht vergessen), • nichts am Rechner getan werden, • nach jedem Scan der Rechner neu gestartet werden. • Nicht vergessen, nach dem Rootkit-Scan die Security-Programme wieder einzuschalten! Lade Dir Gmer von dieser Seite herunter (auf den Button Download EXE drücken) und das Programm auf dem Desktop speichern. • Gmer ist geeignet für => NT/W2K/XP/VISTA. • Alle anderen Programme sollen geschlossen sein. • Starte gmer.exe (hat einen willkürlichen Programm-Namen). • Vista-User mit Rechtsklick und als Administrator starten. • Gmer startet automatisch einen ersten Scan. • Sollte sich ein Fenster mit folgender Warnung öffnen: Code WARNING !!! • Unbedingt auf "No" klicken, anschließend über den Copy-Button das bisherige Resultat in die Zwischenablage zu kopieren. • Füge das Log aus der Zwischenablage mit STRG + V in Deine Antwort in Deinem Thread ein. . • Falls das nicht der Fall war, wähle nun den Reiter "Rootkit/Malware", • Hake an: System, Sections, IAT/EAT, Devices, Modules, Processes, Threads, Libraries, Services, Registry und Files. • Wichtig: "Show all" darf nicht angehakt sein! • Starte den Scan durch Drücken des Buttons "Scan". Mache nichts am Computer während der Scan läuft. • Wenn der Scan fertig ist klicke auf "Copy" um das Log in die Zwischenablage zu kopieren. Mit "Ok" wird Gmer beendet. • Füge das Log aus der Zwischenablage in Deine Antwort hier ein (mit STRG + V). Antiviren-Programm und sonstige Scanner wieder einschalten, bevor Du ins Netz gehst! Nun das Logfile in Code-Tags posten. |
|
|
|
|
|
|
27.03.2010, 11:41
Member
Themenstarter Beiträge: 122 |
#3
Hallo, lieber Swisstreasure,
gaaaanz lieben Dank für Deine schnelle Hilfe, aber es war falscher Alarm. Zum Glück :-)! Gerade hat A-Squared free diese 2 Dateien wieder freigelassen. Dankeschön :-). Liebe Grüße Kathrin __________ Ich habe keine Ahnung, aber ich weiß das Ziel . Dann finde ich die optimalste Lösung!
|
|
|
|
|
|
|
27.03.2010, 15:30
Moderator
Beiträge: 5694 |
#4
Um welche Datei hat es sich dann gehandelt? Wäre noch interessant
|
|
|
|
|
|
|
09.04.2010, 16:56
Member
Themenstarter Beiträge: 122 |
#5
Hallo, lieber Swisstreasure,
sorry für meine späte Antwort, aber besser spät als nie ;-)! Die Dateien hießen: Hewlett-Packard Digital Imaging bin Hpqdirec.exe Windows $ NT Service Pack Uninstall$ ntkrnlmp.exe.000 ST5 Unst.exe Einen echten Trojaner (TR/Agent.102400.CP) hat mir Avira rausgefischt. Der lauerte in der Datei: C:\System Volume Information\_restore{186DA31E-F7F2-473D-8AAA-F3FC9C19CB0D}\RP391\A0056261.exe. Habe ihn eingesperrt :-). Seit einigen Tagen geht das Update vom Malwarebytes 1.45 nicht mehr. Die Fehlermeldung lautet: MBAM Error Updating (12150,0,Winhttp Query Headers). Was ist denn da wieder los? Habe schon gegoogelt, aber nichts gefunden. Bin gespannt. Dankeschön im Voraus. Liebe Grüße Kathrin __________ Ich habe keine Ahnung, aber ich weiß das Ziel . Dann finde ich die optimalste Lösung!
|
|
|
|
|
|
|
10.04.2010, 12:02
Moderator
Beiträge: 5694 |
#6
Hast Du die Freeversion? Und evtl eine Neuintsallation versucht? Du könntest auch versuchen Kurzzeitig deinen Virenscanner abzuschalten beim Update.
|
|
|
|
|
|
|
14.04.2010, 10:50
Member
Themenstarter Beiträge: 122 |
#7
Hallo, lieber Swisstreasure,
ja, ich habe die Freeversion von Malwarebytes. Neuinstallation war vergebliche Mühe. Immer noch diese Fehlermeldung und keine Updates möglich. Ich vermute mal, ich muss bei Malwarebytes irgendwo was manuell einfügen, damit die Updates wieder funzen. Wenn ich nur wüsste, was und wo ;-)??? Ich habe Windows XP Pro und den Firefox. Bin gespannt. Dankeschön. Liebe Grüße Kathrin __________ Ich habe keine Ahnung, aber ich weiß das Ziel . Dann finde ich die optimalste Lösung!
|
|
|
|
|
|
|
14.04.2010, 16:16
Moderator
Beiträge: 5694 |
#8
Also ich will einmal sicher gehen dass wirklich nichts mehr schädliches auf dem Sytem lauert. Arbeite durch was im ersten Post von mir steht.
|
|
|
|
|
|
|
14.04.2010, 18:23
Member
Themenstarter Beiträge: 122 |
#9
Hier hast Du :-).
Code
Hast Du darin schon was gefunden? Soll ich noch mit Gmer scannen? Bin gespannt. Dankeschön. Liebe Grüße Kathrin __________ Ich habe keine Ahnung, aber ich weiß das Ziel . Dann finde ich die optimalste Lösung!
|
|
|
|
|
|
|
14.04.2010, 19:20
Moderator
Beiträge: 5694 |
#10
Ja lass GMER noch scannen. Melde mich dann später und schau mir die Logs an.
Und das zweite Log von OTL das extra.txt fehlt noch. |
|
|
|
|
|
|
14.04.2010, 21:27
Member
Themenstarter Beiträge: 122 |
#11
Sorry, hatte das 2. Log gelöscht :-). Habe gerade nochmal gescannt. Wozu braucht man denn 2 Logs?
Code
Morgen kommt der Rest. Bis dann. Dankeschön. __________ Ich habe keine Ahnung, aber ich weiß das Ziel . Dann finde ich die optimalste Lösung!
|
|
|
|
|
|
|
16.04.2010, 11:20
Moderator
Beiträge: 5694 |
#12
Wo bleibt der Rest? :O)
|
|
|
|
|
|
|
16.04.2010, 21:41
Member
Themenstarter Beiträge: 122 |
#13
Sorry, aber Gmer ist ziemlich komisch. Habe es als Admin ausgeführt, keine Sekunde ging es, es zeigte nur 5 Zeilen an, das schien mir zu wenig, ich dachte, der Scan ist stecken geblieben :-), habe auf Scan geklickt, nach über einer Stunde war alles durchgescannt. Hoffentlich hat der Komplettscan keinen Schaden angerichtet. Habe den Scan als Log-Datei gespeichert und finde ihn jetzt nicht wieder ;-)!
Oder als welche Datei muss ich den Scan speichern? AlsText-Datei??? Dankeschön im Voraus. Liebe Grüße Kathrin __________ Ich habe keine Ahnung, aber ich weiß das Ziel . Dann finde ich die optimalste Lösung!
|
|
|
|
|
|
|
17.04.2010, 04:31
Moderator
Beiträge: 5694 |
#14
wenn Du nach dem Scan Copy klickst und dann hier auf einfüen dann sollte es klappen.
Hier eine Alternative: Rootkitscan mit RootRepeal • Gehe hierhin, scrolle runter und downloade RootRepeal.zip. • Entpacke die Datei auf Deinen Desktop. • Doppelklicke die RootRepeal.exe, um den Scanner zu starten. • Klicke auf den Reiter Report und dann auf den Button Scan. • Mache einen Haken bei den folgenden Elementen und klicke Ok. . Drivers Files Processes SSDT Stealth Objects Hidden Services Shadow SSDT . • Im Anschluss wirst Du gefragt, welche Laufwerke gescannt werden sollen. • Wähle C:\ und klicke wieder Ok. • Der Suchlauf beginnt automatisch, es wird eine Weile dauern, bitte Geduld. • Wenn der Suchlauf beendet ist, klicke auf Save Report. • Speichere das Logfile als RootRepeal.txt auf dem Desktop. • Kopiere den Inhalt hier in den Thread. |
|
|
|
|
|
|
17.04.2010, 19:47
Member
Themenstarter Beiträge: 122 |
#15
Hallo, lieber Swisstreasure,
hier isser endlich ;-): ROOTREPEAL (c) AD, 2007-2009 ================================================== Scan Start Time: 2010/04/17 19:13 Program Version: Version 1.3.5.0 Windows Version: Windows XP SP3 ================================================== Drivers ------------------- Name: dump_atapi.sys Image Path: C:\WINDOWS\System32\Drivers\dump_atapi.sys Address: 0xF68FE000 Size: 98304 File Visible: No Signed: - Status: - Name: dump_WMILIB.SYS Image Path: C:\WINDOWS\System32\Drivers\dump_WMILIB.SYS Address: 0xF8A8C000 Size: 8192 File Visible: No Signed: - Status: - Name: rootrepeal.sys Image Path: C:\WINDOWS\system32\drivers\rootrepeal.sys Address: 0xF353B000 Size: 49152 File Visible: No Signed: - Status: - SSDT ------------------- #: 025 Function Name: NtClose Status: Hooked by "C:\WINDOWS\system32\drivers\SbFw.sys" at address 0xf6adef7c #: 037 Function Name: NtCreateFile Status: Hooked by "C:\WINDOWS\system32\drivers\SbFw.sys" at address 0xf6ade684 #: 041 Function Name: NtCreateKey Status: Hooked by "<unknown>" at address 0xf8c67a1e #: 047 Function Name: NtCreateProcess Status: Hooked by "C:\WINDOWS\system32\drivers\SbFw.sys" at address 0xf6addcac #: 048 Function Name: NtCreateProcessEx Status: Hooked by "C:\WINDOWS\system32\drivers\SbFw.sys" at address 0xf6addbb8 #: 053 Function Name: NtCreateThread Status: Hooked by "<unknown>" at address 0xf8c67a14 #: 062 Function Name: NtDeleteFile Status: Hooked by "C:\WINDOWS\system32\drivers\SbFw.sys" at address 0xf6adf02c #: 063 Function Name: NtDeleteKey Status: Hooked by "<unknown>" at address 0xf8c67a23 #: 065 Function Name: NtDeleteValueKey Status: Hooked by "<unknown>" at address 0xf8c67a2d #: 097 Function Name: NtLoadDriver Status: Hooked by "C:\WINDOWS\system32\drivers\sbhips.sys" at address 0xf871801c #: 098 Function Name: NtLoadKey Status: Hooked by "<unknown>" at address 0xf8c67a32 #: 108 Function Name: NtMapViewOfSection Status: Hooked by "C:\WINDOWS\system32\drivers\sbhips.sys" at address 0xf8718168 #: 116 Function Name: NtOpenFile Status: Hooked by "C:\WINDOWS\system32\drivers\SbFw.sys" at address 0xf6ade970 #: 119 Function Name: NtOpenKey Status: Hooked by "C:\WINDOWS\system32\drivers\SbFw.sys" at address 0xf6adb3e6 #: 122 Function Name: NtOpenProcess Status: Hooked by "<unknown>" at address 0xf8c67a00 #: 128 Function Name: NtOpenThread Status: Hooked by "<unknown>" at address 0xf8c67a05 #: 193 Function Name: NtReplaceKey Status: Hooked by "<unknown>" at address 0xf8c67a3c #: 204 Function Name: NtRestoreKey Status: Hooked by "<unknown>" at address 0xf8c67a37 #: 206 Function Name: NtResumeThread Status: Hooked by "C:\WINDOWS\system32\drivers\SbFw.sys" at address 0xf6ade308 #: 224 Function Name: NtSetInformationFile Status: Hooked by "C:\WINDOWS\system32\drivers\SbFw.sys" at address 0xf6adeca8 #: 247 Function Name: NtSetValueKey Status: Hooked by "<unknown>" at address 0xf8c67a28 #: 257 Function Name: NtTerminateProcess Status: Hooked by "<unknown>" at address 0xf8c67a0f #: 274 Function Name: NtWriteFile Status: Hooked by "C:\WINDOWS\system32\drivers\SbFw.sys" at address 0xf6adebfc ==EOF== Bin schon mächtig gespannt. Dankeschön im Voraus. Bis bald. Liebe Grüße Kathrin __________ Ich habe keine Ahnung, aber ich weiß das Ziel . Dann finde ich die optimalste Lösung!
|
|
|
|
|
|
Um auf dieses Thema zu ANTWORTEN
bitte erst » hier kostenlos registrieren!!
bitte erst » hier kostenlos registrieren!!
Folgende Themen könnten Dich auch interessieren:
Copyright © 2024, Protecus.de - Protecus Team - Impressum / Mediadaten
gestern habe ich ihn erstmals gefunden mit A-Squared free und in Quarantäne geschickt, heute war er wieder da und schon im System Volume!
Wie werde ich das Viech wieder los???
Wie gefährlich ist Themida und was macht er?
Wie schnell wird er aktiv und was ist der Auslöser dafür?
Bin für schnelle Hilfe sehr dankbar.
Bis bald also. Dankeschön im Voraus.
Liebe Grüße
Kathrin
__________
Ich habe keine Ahnung, aber ich weiß das Ziel