Home » Viren, Trojaner & Malware Forum » Ehemaliges Viren-/Trojaner-/Rootkitproblem?? » Themenansicht
Ehemaliges Viren-/Trojaner-/Rootkitproblem?? |
||
|---|---|---|
| #0
| ||
|
05.08.2010, 23:05
...neu hier
Beiträge: 6 |
||
 
|
|
|
|
05.08.2010, 23:30
Moderator
Beiträge: 5694 |
#2
Hallo und herzlich Willkommen auf Protecus.de
Um ein infiziertes System zu bereinigen bedarf es neben Zeit auch die Beachtung folgender Punkte: • Halte Dich an die Anweisungen des jeweiligen Helfers. • Falls Du externen Speichermedien (USB Sticks, Festplatten) hast, dann schliesse die vor der Reinigung an. • Während der Reinigung solltest Du weder Programme installieren noch deinstallieren, welche nicht ausdrücklich verlangt werden. • Bitte arbeite jeden Schritt der Reihe nach ab. • Falls bei einem Schritt Probleme auftauchen, poste was du bereits hast und melde Dich mit dem Problembeschreiben. • Die Bereinigung ist erst beendet wenn der jeweilige Helfer das OK gibt. • Wenn die Kiste wieder flott läuft heisst das nicht, dass das Sytem auch sauber ist. • Bei geschäftlich genutzten Rechner sollte der zuständige IT Verantwortliche beigezogen werden. • Ein Support unsererseits kann unter Umständen bei einem Firmenrechner abgelehnt werden. • Bei illegaler Software besteht die Möglichkeit, dass der Support eingestellt wird. • Jegliche Cracks oder Keygens werden weder gefördert noch akzeptiert. • Bei stark infizierten Systemen vorallem wenn Backdoors oder Rootkits involviert sind kann es vorkommen, dass ein Helfer zum Neuaufsetzen rät. • In letzter Instanz ist dann immer der User welcher entscheidet. Vista und Win7 User: Alle Programme und Tools, die wir anordnen, immer mit Rechtsklick und Als Administrator ausführen. Schritt 1 Datei-Überprüfung Folgende Datei/en (siehe Codebox) bei VirusTotal online überprüfen lassen. Dafür musst Du jede Datei einzeln über den Button "Durchsuchen" und "Senden der Datei" nach VirusTotal hochladen und prüfen lassen. Wenn VirusTotal die Datei empfangen hat, wird sie diese mit mehreren Anti-Virus-Scannern prüfen und die Ergebnisse anzeigen. Sollte VirusTotal melden, dass die Datei bereits überpüft wurde, lasse sie trotzdem über den Button "Analysiere die Datei" erneut prüfen. Wenn das Ergebnis vorliegt, den kleinen Button "Filter" links oberhalb der Ergebnisse drücken, dann das Ergebnis (egal wie es aussieht und dabei auch die Zeilen mit Namen und Größe der Datei, MD5 und SHA1 kopieren) hier posten. Solltest Du die Datei/en nicht finden oder hochladen können, dann teile uns das ebenfalls mit. Solltest Du die Datei/en nicht finden, überprüfe, ob folgende Einstellungen richtig gesetzt sind. Zitat c:\windows\system32\17102E92FA.sysSchritt 2 Systemscan mit OTL Lade Dir bitte OTL von Oldtimer herunter und speichere es auf Deinem Desktop. • Doppelklick auf die OTL.exe • Vista und Windows 7 User: Rechtsklick auf die OTL.exe und "als Administrator ausführen" wählen. • Oben findest Du ein Kästchen mit Ausgabe. Wähle bitte Minimal-Ausgabe • Unter Extra-Registrierung wähle bitte Benutze SafeList. • Mache Häckchen bei LOP- und Purity-Prüfung. • Klicke nun auf Scan links oben.  • Wenn der Scan beendet wurde werden zwei Logfiles erstellt. Du findest die Logfiles auf Deinem Desktop => OTL.txt und Extras.txt • Poste die Logfiles in Code-Tags hier in den Thread. Schritt 3 Rootkit-Suche mit Gmer Was sind Rootkits? Wichtig: Bei jedem Rootkit-Scans soll/en: • alle anderen Programme gegen Viren, Spyware, usw. deaktiviert sein, • keine Verbindung zu einem Netzwerk/Internet bestehen (WLAN nicht vergessen), • nichts am Rechner getan werden, • nach jedem Scan der Rechner neu gestartet werden. • Nicht vergessen, nach dem Rootkit-Scan die Security-Programme wieder einzuschalten! Lade Dir Gmer von dieser Seite herunter (auf den Button Download EXE drücken) und das Programm auf dem Desktop speichern. • Gmer ist geeignet für => NT/W2K/XP/VISTA. • Alle anderen Programme sollen geschlossen sein. • Starte gmer.exe (hat einen willkürlichen Programm-Namen). • Vista-User mit Rechtsklick und als Administrator starten. • Gmer startet automatisch einen ersten Scan. • Sollte sich ein Fenster mit folgender Warnung öffnen: Code WARNING !!! • Unbedingt auf "No" klicken, anschließend über den Copy-Button das bisherige Resultat in die Zwischenablage zu kopieren. • Füge das Log aus der Zwischenablage mit STRG + V in Deine Antwort in Deinem Thread ein. . • Falls das nicht der Fall war, wähle nun den Reiter "Rootkit/Malware", • Hake an: System, Sections, IAT/EAT, Devices, Modules, Processes, Threads, Libraries, Services, Registry und Files. • Wichtig: "Show all" darf nicht angehakt sein! • Starte den Scan durch Drücken des Buttons "Scan". Mache nichts am Computer während der Scan läuft. • Wenn der Scan fertig ist klicke auf "Copy" um das Log in die Zwischenablage zu kopieren. Mit "Ok" wird Gmer beendet. • Füge das Log aus der Zwischenablage in Deine Antwort hier ein (mit STRG + V). Antiviren-Programm und sonstige Scanner wieder einschalten, bevor Du ins Netz gehst! Nun das Logfile in Code-Tags posten. |
|
|
|
|
|
|
06.08.2010, 00:37
...neu hier
Themenstarter Beiträge: 6 |
#3
Code Datei 17102E92FA.sys empfangen 2010.08.05 22:06:40 (UTC) Code Datei A3DA537E26.sys empfangen 2010.08.05 22:10:42 (UTC)Ich habe mich an Deine Anweisungen gehalten, aber OTL stürzt beim Scannen der Internet-Explorer-Settings ab, genau so wie GMER... |
|
|
|
|
|
|
06.08.2010, 01:00
Moderator
Beiträge: 5694 |
#4
Dann versuche es einmal im abgesicherten Modus.
Gehe in den abgesicherten Modus (Link bitte unbedingt anklicken & lesen!) von windows Drücke beim Hochfahren des rechners [F8] (bei win xp) solange, bis du eine auswahlmöglichkeit hast. Wähle hier:Abgesicherter Modus mit Netzwerktreibern |
|
|
|
|
|
|
06.08.2010, 01:13
...neu hier
Themenstarter Beiträge: 6 |
#5
Leider ohne Erfolg bzw. beide Anwendungen an den gleichen Stellen abgestürzt.
|
|
|
|
|
|
|
06.08.2010, 01:32
Moderator
Beiträge: 5694 |
#6
Downloade OTS.exe und speichere es unbedingt auf Deinem Desktop.
Doppelklick auf die OTS.exe Wenn Dein Anti-Viren-Programm bei OTS Meldung macht, erlaube es. • Mache einen Haken bei "Scan All Users und Include MD5". • Kopiere folgenden Text in die  Box.Code %SYSTEMDRIVE%\*.exe• Unter der  Box klicke auf den  Button.Hacke nun folgende Einträge an: • Reg- Active Sub Paths • App Paths • Approved Shell Extensions • Disabled MS Config Items • Drivers32 • NetSvcs • File Lop Check • File Purity Check Mache währenddessen nichts anderes an dem Rechner. Wenn der Scan durchgeführt ist (Scan complete!), öffnet sich der Editor mit dem Logfile. Auch zu finden auf dem Desktop ( OTS.txt ) • Schließe nun alle laufenden Programme sowie deinen Browser. • Klicke auf den  links oben, um die Untersuchung zu startenHänge diese Log bitte hier an, die ist nicht gerade kurz. |
|
|
|
|
|
|
06.08.2010, 01:59
...neu hier
Themenstarter Beiträge: 6 |
#7
Das klappt immer noch nicht. Ich habe mal einen Screenshot beigefügt.
Du schriebst: "Mache währenddessen nichts anderes an dem Rechner. Wenn der Scan durchgeführt ist (Scan complete!), öffnet sich der Editor mit dem Logfile." Aber zu diesem Zeitpunkt ist doch noch kein Scan gestartet worden??? Der kommt doch später: "• Schließe nun alle laufenden Programme sowie deinen Browser. • Klicke auf den "Run Scan"links oben, um die Untersuchung zu starten" Anhang: Zwischenablage01.jpg
|
|
|
|
|
|
|
06.08.2010, 02:02
Moderator
Beiträge: 5694 |
#8
Wo ist der Screenshot?
|
|
|
|
|
|
|
06.08.2010, 02:02
Moderator
Beiträge: 5694 |
#9
Also wenn RunScan drückst passiert was?
|
|
|
|
|
|
|
06.08.2010, 17:40
...neu hier
Themenstarter Beiträge: 6 |
#10
Den Screenshot hatte ich an die Nachricht von 1:59 Uhr angehängt, oder guck einfach hier http://board.protecus.de/download.php?id=344035.Zwischenablage01.jpg. Genau bis zu diesem Punkt scannt es fleißig, danach stürzt das Programm ab.
|
|
|
|
|
|
|
06.08.2010, 21:01
Moderator
Beiträge: 5694 |
#11
Schritt 1
CD-Emulatoren mit DeFogger deaktivieren Du hast CD-Emulatoren wie Alcohol, DaemonTools oder ähnliche auf diesem Computer installiert. Da diese Emulatoren mit Rootkit-Technik arbeiten, können sie die Fahndung nach bösartigen Rootkits verfälschen und erschweren. Aus diesem Grund bitte entweder das folgende Tool zum Deaktivieren laufen lassen oder die Software über Systemsteuerung => Software/Programme deinstallieren. Berichte mir, für welche Variante Du Dich entschieden hast. Die Deaktivierung können wir nach der Bereinigung rückgängig machen. Lade DeFogger herunter und speichere es auf Deinem Desktop. Doppelklicke DeFogger, um das Tool zu starten. • Es öffnet sich das Programm-Fenster des Tools. • Klick auf den Button Disable, um die CD- Emulation-Treiber zu deaktivieren. • Klicke Ja, um fortzufahren. • Wenn die Nachricht 'Finished!' erscheint, • klicke OK. • DeFogger wird nun einen Reboot erfragen - klicke OK • Poste mir das defogger_disable.log hier in den Thread. Keinesfalls die Treiber reaktivieren, bevor es angewiesen wird. Schritt 2 Combofix mit Skript laufen lassen • Denke daran, während des Laufs von Combofix Dein Antiviren-Programm temporär abzustellen. Danach wieder anstellen nicht vergessen! • Wichtig: Bewege nicht die Maus über das ComboFix-Fenster oder klicke in dieses hinein. Dies kann dazu führen, dass ComboFix sich aufhängt. Anwendung • Öffne notepad (Start => Ausführen => notepad (reinschreiben) => ok) oder einen Editor Deiner Wahl und kopiere alles aus der nachfolgenden Codebox in ein leeres Dokument: Code File::• Speichere dies als CFScript.txt auf Deinem Desktop. Achte darauf, dass bei Dateityp "All types" aktiv ist. .  . • In Bezug auf obiges Bild, ziehe CFScript.txt in die ComboFix.exe • Wenn ComboFix fertig ist, wird es ein Log erstellen, C:\ComboFix.txt. Unbedingt warten, bis sich das Combofix-Fenster geschlossen hat und das Logfile im Editor erscheint. Bitte füge es hier als Antwort ein. Hinweis für Mitleser: Obiges Combofix-Script ist ausschließlich für diesen User in dieser Situtation erstellt worden. Auf keinen Fall auf anderen Rechnern anwenden, das kann andere Systeme nachhaltig schädigen! |
|
|
|
|
|
|
08.08.2010, 20:49
...neu hier
Themenstarter Beiträge: 6 |
#12
Hi!
Ich fürchte, mit der Problembehebung wird es nichts mehr. Der Rechner hat wohl einen Festplattenschaden. Habe sie in einem anderen PC getestet und als zweite Platte überprüft, wo physikalische Schäden gemeldet wurden. Werde wohl eine neue kaufen müssen. Danke Dir trotzdem für Deine großartige Hilfe. Werde dem Board treu bleiben! |
|
|
|
|
|
Um auf dieses Thema zu ANTWORTEN
bitte erst » hier kostenlos registrieren!!
bitte erst » hier kostenlos registrieren!!
Folgende Themen könnten Dich auch interessieren:
Seite(n): 1
Copyright © 2024, Protecus.de - Protecus Team - Impressum / Mediadaten
Erstmal ein Riesenkompliment für die Arbeit, die ihr hier leistet. Nur durch Eure Hilfe bin ich überhaupt so weit gekommen. Nun zu meinen Problemen:
Vor ein paar Tagen startete mein Firefox nicht mehr, es wurde gemeldet, dass der Vorgang
"written" nicht ausgeführt werden könne. Plötzlich öffneten immer wieder fremde Adressen
englischsprachiger Herkunft, wenn ich im mir verbliebenen Internet-Explorer auf "Seite im
nächsten Tab öffnen" ging. Mitunter brauchte ich vier Versuche, bis die richtige Seite
aufging. Nachdem ich nach einiger erfolgloser Herumprobiererei mein System auf einen
älteren Punkt wiederherstellte, war zwar das Firefox-Problem gelöst, aber auch dort poppten
diese fremden Seiten ohne Inhalt auf. Ich deinstallierte den alten Scanner (Sophos) und
installierte Abira und stellte ihn in puncto Heuristik scharf. Es wurden insgesamt 42
Infizierungen gefunden. Mir war es zudem nicht möglich, eine automatische Logfile-
Auswertung mit Hijackthis auszuführen. Die Verbindung wurde immer wieder zurückgesetzt.
Ich konnte das Logfile auch hier nicht posten und sogar auch nicht mailen!
Ich ließ Malewarebytes einen Komplettscan machen und siehe da, es wurden wieder 6
Infizierungen gefunden. Doch das Problem mit den Logfiles und der aufpoppenden Seiten
blieb.
Dank Argus kam ich zu Combofix, dass nun wieder Infizierungen, diesmal mit Rootkits
feststellte. Nun kann ich wieder Logfiles auswerten und die "Fensterproblematik" ist auch
verschwunden. Erstmal dafür: DANKE, DANKE, DANKE!!!!!
Aber ich frage mich nun natürlich, war es das wirklich? Darum poste ich das Combofile-Log
anschliessend und bitte um Eure Stellungnahme. Vielen Dank vorab:
Code