[EXPERTEN] Bootsektor-Virus / Rootkit o.u.ä

Weil jedes mal wenn ich Avira Antivir installieren will schläg es fehl kurz vor Schluß und es werden neue Dateien Hinzugefügt, laut Ad-Aware wurden 9 infizierte Host Dateien gefunden und 2 Cookies nach einem neu Install.

Und die CD ist auf keinen Fall verseucht und der PC war nicht am INET dran.


Das war nur eins von wenigen beispielen, der Rest ist eig auch nicht erwähnenswert weil ich das meiste schon gar nicht mehr weiss ;'(



Was wäre jetzt erstmal am sinnvollsten?

Lade dir Hijackthis herunter und poste hier den log.

Hier die Log-File:

Logfile of Trend Micro HijackThis v2.0.2
Scan saved at 21:43:48, on 08.01.2009
Platform: Windows Vista SP1 (WinNT 6.00.1905)
MSIE: Internet Explorer v7.00 (7.00.6001.18000)
Boot mode: Normal

Running processes:
C:\Windows\system32\Dwm.exe
C:\Windows\Explorer.EXE
C:\Program Files\Windows Defender\MSASCui.exe
C:\Windows\System32\rundll32.exe
C:\Windows\system32\taskeng.exe
C:\Windows\RtHDVCpl.exe
E:\Kaspersky Internet Security 2009\avp.exe
C:\Program Files\Internet Explorer\iexplore.exe
C:\Program Files\Internet Explorer\iexplore.exe
E:\Mozilla Firefox\firefox.exe
E:\HijackThis\HijackThis.exe

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = http://go.microsoft.com/fwlink/?LinkId=54896
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://go.microsoft.com/fwlink/?LinkId=69157
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://go.microsoft.com/fwlink/?LinkId=69157
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://go.microsoft.com/fwlink/?LinkId=54896
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = http://go.microsoft.com/fwlink/?LinkId=54896
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = http://go.microsoft.com/fwlink/?LinkId=69157
R0 - HKLM\Software\Microsoft\Internet Explorer\Search,SearchAssistant =
R0 - HKLM\Software\Microsoft\Internet Explorer\Search,CustomizeSearch =
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName =
O1 - Hosts: ::1 localhost
O2 - BHO: IEVkbdBHO - {59273AB4-E7D3-40F9-A1A8-6FA9CCA1862C} - E:\Kaspersky Internet Security 2009\ievkbd.dll
O4 - HKLM\..\Run: [Windows Defender] %ProgramFiles%\Windows Defender\MSASCui.exe -hide
O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\Windows\system32\NvCpl.dll,NvStartup
O4 - HKLM\..\Run: [NvMediaCenter] RUNDLL32.EXE C:\Windows\system32\NvMcTray.dll,NvTaskbarInit
O4 - HKLM\..\Run: [RtHDVCpl] RtHDVCpl.exe
O4 - HKLM\..\Run: [Skytel] Skytel.exe
O4 - HKLM\..\Run: [AVP] "E:\Kaspersky Internet Security 2009\avp.exe"
O4 - HKLM\..\Run: [F-PROT Antivirus Tray application] C:\Program Files\FRISK Software\F-PROT Antivirus for Windows\FProtTray.exe
O4 - HKCU\..\Run: [WindowsWelcomeCenter] rundll32.exe oobefldr.dll,ShowWelcomeCenter
O4 - HKUS\S-1-5-19\..\Run: [Sidebar] %ProgramFiles%\Windows Sidebar\Sidebar.exe /detectMem (User 'LOKALER DIENST')
O4 - HKUS\S-1-5-19\..\Run: [WindowsWelcomeCenter] rundll32.exe oobefldr.dll,ShowWelcomeCenter (User 'LOKALER DIENST')
O4 - HKUS\S-1-5-20\..\Run: [Sidebar] %ProgramFiles%\Windows Sidebar\Sidebar.exe /detectMem (User 'NETZWERKDIENST')
O9 - Extra button: Statistik für den Schutz des Web-Datenverkehrs - {1F460357-8A94-4D71-9CA3-AA4ACF32ED8E} - E:\Kaspersky Internet Security 2009\SCIEPlgn.dll
O13 - Gopher Prefix:
O20 - AppInit_DLLs: E:\KASPER~2\mzvkbd.dll,E:\KASPER~2\mzvkbd3.dll,E:\KASPER~2\adialhk.dll,E:\KASPER~2\kloehk.dll
O23 - Service: Roxio SAIB Service (9734BF6A-2DCD-40f0-BAB0-5AAFEEBE1269) - Unknown owner - C:\Program Files\Roxio\BackOnTrack\Disaster Recovery\SaibSVC.exe
O23 - Service: Lavasoft Ad-Aware Service (aawservice) - Lavasoft - E:\Ad-Aware\aawservice.exe
O23 - Service: Kaspersky Internet Security (AVP) - Kaspersky Lab - E:\Kaspersky Internet Security 2009\avp.exe
O23 - Service: BOTService - Sonic Solutions - C:\Program Files\Roxio\BackOnTrack\Instant Restore\BOTService.exe
O23 - Service: F-PROT Antivirus for Windows system (FPAVServer) - FRISK Software International - C:\Program Files\FRISK Software\F-PROT Antivirus for Windows\FPAVServer.exe
O23 - Service: NVIDIA Display Driver Service (nvsvc) - NVIDIA Corporation - C:\Windows\system32\nvvsvc.exe

Daraus ist aber leider nicht so viel zu erkenne, glaube ich?

Habe ich getan, ging zum Glück sehr schnell ;-)

Leider aber auch ohne fund.


Lasse gerade nochmal Ad-Aware drüber laufen, vielleicht zeigt er mir ja nochmal / wieder die Host-Datei an.


Aber was nun, bin mir aufjedenfall sicher das hier gar nichts mehr stimmt :-/



Vorallem wenn einmal ein Rootkit drinne ist werden die meisten Programme ja eh unbrauchbar gemacht, meines wissens nach?!


Edit:

Wollte vorhin auch mal Linux (Ubuntu) installieren ging aber auch nicht da kam ein Fehler, der früher nicht kam...

dann scan nochmal im abgesicherten modus.

habe ich doch bereits im abgesicherten modus.

ad-aware wollte ich vorhin updaten da zeigte er an das er umgeleitet wird und ob ich das update abbrechen will, was ich dann gemacht habe.

ein späteres update ging dann anscheinent ohne umleitung.


wenn ich von der vista cd zur reperaturkonsole gehe und folgendes eingebe:

bootrec.exe /fixmbr geht es ganz normal aber bei
bootrec.exe /fixboot steht da Die Datei exestiert nicht.


falls es weiter hilft?!

Dann haste nichs hijackthis log is clean
Der Scan ist clean

Du hast meiner meiung keinen virus.
Scane nochmal im abgesicherten Modus,wenn dann ncish gefunden wird,kann ich dir auch nicht weiter helfen,dann musste auf die erfahrenderen User warten.

Der o20 eintrag wurde nicht beachtet?
Darf man fragen,wie die neuinstalation vonstatten geht?Dies geht aus den bisherigen angaben nicht hervor.
 

Habe ihn gerade eben wieder neu aufgesetzt.

Windwos Vista CD rein ganz normal gebootet, dann in die Reperaturkonsole und bootrec /fixmbr & /fixboot ausgeführt was jetzt komischerweise ohne ".exe" ging.


Dann eben Avira Antivir installiert da keim wieder ein Fehler (Fehlercode: 2).
Zonealarm noch drauf inzwischen 9 zugriffs-versuche auf meinen PC.

Bei der Installation von Zonealarm kam auch was ganz komisches siehe Bild 1: (Sorry Imageshack und so funktioniert iwie nicht.)
http://www.load.to/LjoMQyLGCk/zonealarm.jpg

Hier noch der Avira Fehler:
http://www.load.to/pRFgo72ZxQ/avira.jpg


Was mir noch auffällt es sind teilweise verschiedene IPs die versuchen auf meinen PC zu kommen und wer weiss wie viele es schon geschafft haben... :-/
http://www.load.to/QtoH7qYC2Z/zonelabs.jpg


Edit:
Habe sogar Darik's Boot And Nuke 7fach überschreiben lassen und davor mit MBRWork 4.0 hieß es glaube ich den MBR reseten lassen, wtf? einfach nur hab sowas noch nie erlebt -.-"

Und Avira Rescure CD hat auf den BOOTSEKTOR kein zugriff, wäre es auch denkbar das ein Virus im BIOS sitzt?? 



Nochmal ein edit mit der neuen Logfile und was noch war nachem Reboot wegen Zonealarm installation wurden 245 Registry einträge geändert o.ä. einzigste was ich zwischen drin lesen konnte war die spoolsv.exe.

Zudem noch 3 Windwos-Updates obwohl ich sie abbgebrochen hatte zu Downloaden -.-

Naja jetzt warte ich mal auf antwort bevor ich noch zu unützes Zeug erwähne.

Danke schonmal...:

Logfile of Trend Micro HijackThis v2.0.2
Scan saved at 00:02:20, on 09.01.2009
Platform: Windows Vista SP1 (WinNT 6.00.1905)
MSIE: Internet Explorer v7.00 (7.00.6001.18000)
Boot mode: Normal

Running processes:
C:\Windows\system32\Dwm.exe
C:\Windows\system32\taskeng.exe
C:\Program Files\Windows Defender\MSASCui.exe
C:\Windows\System32\rundll32.exe
C:\Windows\RtHDVCpl.exe
E:\Avira\AntiVir PersonalEdition Classic\avgnt.exe
E:\ZoneAlarm\zlclient.exe
e:\Mozilla Firefox\firefox.exe
C:\Windows\explorer.exe
C:\Windows\system32\SearchFilterHost.exe
E:\HijackThis\HijackThis.exe

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = http://go.microsoft.com/fwlink/?LinkId=54896
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://go.microsoft.com/fwlink/?LinkId=69157
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://go.microsoft.com/fwlink/?LinkId=69157
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://go.microsoft.com/fwlink/?LinkId=54896
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = http://go.microsoft.com/fwlink/?LinkId=54896
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = http://go.microsoft.com/fwlink/?LinkId=69157
R0 - HKLM\Software\Microsoft\Internet Explorer\Search,SearchAssistant =
R0 - HKLM\Software\Microsoft\Internet Explorer\Search,CustomizeSearch =
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName =
O1 - Hosts: ::1 localhost
O4 - HKLM\..\Run: [Windows Defender] %ProgramFiles%\Windows Defender\MSASCui.exe -hide
O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\Windows\system32\NvCpl.dll,NvStartup
O4 - HKLM\..\Run: [NvMediaCenter] RUNDLL32.EXE C:\Windows\system32\NvMcTray.dll,NvTaskbarInit
O4 - HKLM\..\Run: [RtHDVCpl] RtHDVCpl.exe
O4 - HKLM\..\Run: [Skytel] Skytel.exe
O4 - HKLM\..\Run: [avgnt] "E:\Avira\AntiVir PersonalEdition Classic\avgnt.exe" /min
O4 - HKLM\..\Run: [ZoneAlarm Client] "e:\ZoneAlarm\zlclient.exe"
O4 - HKUS\S-1-5-19\..\Run: [Sidebar] %ProgramFiles%\Windows Sidebar\Sidebar.exe /detectMem (User 'LOKALER DIENST')
O4 - HKUS\S-1-5-19\..\Run: [WindowsWelcomeCenter] rundll32.exe oobefldr.dll,ShowWelcomeCenter (User 'LOKALER DIENST')
O4 - HKUS\S-1-5-20\..\Run: [Sidebar] %ProgramFiles%\Windows Sidebar\Sidebar.exe /detectMem (User 'NETZWERKDIENST')
O13 - Gopher Prefix:
O23 - Service: Roxio SAIB Service (9734BF6A-2DCD-40f0-BAB0-5AAFEEBE1269) - Unknown owner - C:\Program Files\Roxio\BackOnTrack\Disaster Recovery\SaibSVC.exe
O23 - Service: Avira AntiVir Personal - Free Antivirus Planer (AntiVirScheduler) - Avira GmbH - E:\Avira\AntiVir PersonalEdition Classic\sched.exe
O23 - Service: Avira AntiVir Personal - Free Antivirus Guard (AntiVirService) - Avira GmbH - E:\Avira\AntiVir PersonalEdition Classic\avguard.exe
O23 - Service: BOTService - Sonic Solutions - C:\Program Files\Roxio\BackOnTrack\Instant Restore\BOTService.exe
O23 - Service: NVIDIA Display Driver Service (nvsvc) - NVIDIA Corporation - C:\Windows\system32\nvvsvc.exe
O23 - Service: TrueVector Internet Monitor (vsmon) - Check Point Software Technologies LTD - C:\Windows\System32\ZoneLabs\vsmon.exe

Malwarebytes':
Malwarebytes' Anti-Malware 1.32
Datenbank Version: 1632
Windows 6.0.6001 Service Pack 1

09.01.2009 00:51:06
mbam-log-2009-01-09 (00-51-06).txt

Scan-Methode: Vollständiger Scan (C:\|D:\|E:\|)
Durchsuchte Objekte: 107272
Laufzeit: 30 minute(s), 54 second(s)

Infizierte Speicherprozesse: 0
Infizierte Speichermodule: 0
Infizierte Registrierungsschlüssel: 0
Infizierte Registrierungswerte: 0
Infizierte Dateiobjekte der Registrierung: 0
Infizierte Verzeichnisse: 0
Infizierte Dateien: 0

Infizierte Speicherprozesse:
(Keine bösartigen Objekte gefunden)

Infizierte Speichermodule:
(Keine bösartigen Objekte gefunden)

Infizierte Registrierungsschlüssel:
(Keine bösartigen Objekte gefunden)

Infizierte Registrierungswerte:
(Keine bösartigen Objekte gefunden)

Infizierte Dateiobjekte der Registrierung:
(Keine bösartigen Objekte gefunden)

Infizierte Verzeichnisse:
(Keine bösartigen Objekte gefunden)

Infizierte Dateien:
(Keine bösartigen Objekte gefunden)


#########################################################
#########################################################
Die 30 neuesten Dateien im Ordner Windows:
 
***** ***** ***** ***** ***** 
***** Scanning C:\Windows ***** 
***** ***** ***** ***** ***** 
 
 08.01.2009 WindowsUpdate.log 23 57:616.534 
 08.01.2009 bootstat.dat 23 37:67.584 
 08.01.2009 PFRO.log 23 36:5.130 
 08.01.2009 xpsp1hfm.log 23 17:380 
 08.01.2009 TSSysprep.log 23 00:1.355 
 08.01.2009 DtcInstall.log 22 57:3.257 
 27.08.2008 SkyTel.exe 16 55:1.833.504 
 27.08.2008 RtlUpd.exe 16 55:1.206.816 
 27.08.2008 RtHDVCpl.exe 16 55:6.281.760 
 21.01.2008 WindowsShell.Manifest 03 43:749 
 21.01.2008 regedit.exe 03 24:134.656 
 21.01.2008 bfsvc.exe 03 24:58.880 
 21.01.2008 fveupdate.exe 03 24:13.312 
 21.01.2008 explorer.exe 03 24:2.927.104 
 21.01.2008 HelpPane.exe 03 24:498.176 
 21.01.2008 notepad.exe 03 23:151.040 
 02.11.2006 win.ini 14 04:144 
 02.11.2006 WMSysPr9.prx 13 35:316.640 
 02.11.2006 twunk_16.exe 13 34:49.680 
 02.11.2006 twain_32.dll 13 34:50.688 
 02.11.2006 twunk_32.exe 13 34:31.232 
 02.11.2006 twain.dll 13 34:94.784 
 02.11.2006 winhlp32.exe 10 45:9.216 
 02.11.2006 hh.exe 10 45:14.848 
 02.11.2006 mib.bin 08 46:43.131 
 05.10.2006 FSC_LOGO_POSITIVE_JPG_MIDDLE.BMP 09 40:57.656 
 19.09.2006 HomePremium.xml 12 41:8.328 
 
 
Die 50 neuesten Dateien im Ordner Windows\system32:
 
***** ***** ***** ***** ***** 
***** Scanning C:\Windows\system32 ***** 
***** ***** ***** ***** ***** 
 
 09.01.2009 perfi007.dat 07 53:290.748 
 09.01.2009 perfd007.dat 07 53:36.916 
 09.01.2009 Vista.txt 01 02:1.447 
 09.01.2009 7B296FB0-376B-497e-B012-9C450E1B7327-2P-1.C7483456-A289-439d-8115-601632D005A0 00 53:3.712 
 09.01.2009 7B296FB0-376B-497e-B012-9C450E1B7327-2P-0.C7483456-A289-439d-8115-601632D005A0 00 53:3.712 
 08.01.2009 perfh009.dat 23 44:586.980 
 08.01.2009 perfc009.dat 23 44:101.052 
 08.01.2009 perfh007.dat 23 44:618.192 
 08.01.2009 perfc007.dat 23 44:122.636 
 08.01.2009 PerfStringBackup.INI 23 44:1.418.794 
 08.01.2009 vsconfig.xml 23 32:5.571 
 08.01.2009 FNTCACHE.DAT 23 02:228.840 
 08.01.2009 license.rtf 23 00:54.990 
 16.10.2008 wuaueng.dll 22 13:1.809.944 
 16.10.2008 wuapi.dll 22 12:561.688 
 16.10.2008 wuauclt.exe 22 09:51.224 
 16.10.2008 wups2.dll 22 09:43.544 
 16.10.2008 wups.dll 22 08:34.328 
 16.10.2008 wucltux.dll 21 56:1.524.736 
 16.10.2008 wudriver.dll 21 55:83.456 
 16.10.2008 wuwebv.dll 14 08:162.064 
 16.10.2008 wuapp.exe 13 56:31.232 
 27.08.2008 RTSndMgr.cpl 16 55:547.360 
 27.08.2008 RtkPgExt.dll 16 55:806.432 
 27.08.2008 RtkCoInst.dll 16 55:41.504 
 27.08.2008 RtkApoApi.dll 16 55:285.216 
 27.08.2008 RtkAPO.dll 16 55:2.303.008 
 01.08.2008 NVCOSMB.DLL 09 46:122.880 
 01.08.2008 nvusmb.exe 09 45:453.152 
 01.08.2008 nvuninst.exe 09 45:453.152 
 01.08.2008 nvsmb.nvu 09 42:2.344 
 15.07.2008 NVCOSMU.DLL 08 12:118.784 
 15.07.2008 nvusmu.exe 08 11:446.464 
 08.07.2008 nvvsvc.exe 07 37:118.784 
 08.07.2008 nvcolor.exe 07 37:154.144 
 08.07.2008 nvcod130.dll 07 37:118.784 
 08.07.2008 nvcod.dll 07 37:118.784 
 08.07.2008 nvapps.xml 07 37:189.001 
 08.07.2008 nvapi.dll 07 37:442.368 
 08.07.2008 nvvitvsr.dll 07 37:4.143.648 
 08.07.2008 nvvitvs.dll 07 37:3.783.200 
 08.07.2008 nvcpl.cpl 07 37:420.384 
 08.07.2008 nvcpl.dll 07 37:13.535.776 
 08.07.2008 nvcplui.exe 07 37:768.544 
 08.07.2008 nvcpluir.dll 07 37:1.079.840 
 08.07.2008 nvudisp.exe 07 37:446.464 
 08.07.2008 nvgamesr.dll 07 37:3.430.944 
 
 
***** ***** ***** ***** ***** 
***** Scanning C:\Windows\system32\drivers\etc\hosts ***** 
***** ***** ***** ***** ***** 
#
# For example:
#
#      102.54.94.97     rhino.acme.com          # source server
#       38.25.63.10     x.acme.com              # x client host

127.0.0.1       localhost
::1             localhost
 
 

***** ***** ***** ***** ***** 
***** Scanning Processe ***** 
***** ***** ***** ***** ***** 
 

Abbildname                     PID Sitzungsname       Sitz.-Nr. Speichernutzung
========================= ======== ================ =========== ===============
System Idle Process              0 Services                   0            12 K
System                           4 Services                   0         7.292 K
smss.exe                       456 Services                   0           768 K
csrss.exe                      532 Services                   0         5.988 K
wininit.exe                    576 Services                   0         3.972 K
csrss.exe                      588 Console                    1        12.784 K
services.exe                   620 Services                   0         5.916 K
lsass.exe                      632 Services                   0         3.008 K
lsm.exe                        644 Services                   0         4.152 K
winlogon.exe                   748 Console                    1         5.836 K
svchost.exe                    836 Services                   0         6.520 K
nvvsvc.exe                     880 Services                   0         3.276 K
svchost.exe                    908 Services                   0         6.964 K
svchost.exe                    948 Services                   0        34.472 K
BOTService.exe                1032 Services                   0        11.768 K
svchost.exe                   1060 Services                   0        12.940 K
svchost.exe                   1192 Services                   0       104.140 K
svchost.exe                   1204 Services                   0        63.856 K
audiodg.exe                   1256 Services                   0        18.428 K
SLsvc.exe                     1288 Services                   0        10.916 K
svchost.exe                   1340 Services                   0        11.404 K
rundll32.exe                  1456 Console                    1         6.608 K
svchost.exe                   1552 Services                   0        16.812 K
vsmon.exe                     1624 Services                   0        21.612 K
spoolsv.exe                   1844 Services                   0         9.140 K
svchost.exe                   1888 Services                   0        15.288 K
SaibSVC.exe                    324 Services                   0         3.768 K
svchost.exe                   1296 Services                   0         5.308 K
svchost.exe                   1532 Services                   0         7.212 K
svchost.exe                   1956 Services                   0         3.504 K
SearchIndexer.exe             2060 Services                   0        18.348 K
WUDFHost.exe                  2152 Services                   0         5.828 K
taskeng.exe                   2656 Services                   0         5.492 K
dwm.exe                       2900 Console                    1         5.400 K
taskeng.exe                   2972 Console                    1        10.724 K
mobsync.exe                   3136 Console                    1         6.348 K
MSASCui.exe                   3344 Console                    1        12.232 K
rundll32.exe                  3364 Console                    1         5.336 K
RtHDVCpl.exe                  3424 Console                    1         8.224 K
zlclient.exe                  3528 Console                    1        10.180 K
explorer.exe                  3396 Console                    1        57.028 K
avguard.exe                   3636 Services                   0        16.456 K
avgnt.exe                     3816 Console                    1         1.844 K
sched.exe                     3096 Services                   0           720 K
SearchProtocolHost.exe        3500 Services                   0        11.112 K
firefox.exe                   3480 Console                    1        54.496 K
conime.exe                    3648 Console                    1         3.232 K
SearchFilterHost.exe          3320 Services                   0         5.584 K
explorer.exe                   824 Console                    1        20.628 K
cmd.exe                       2740 Console                    1         3.024 K
tasklist.exe                   636 Console                    1         4.792 K
WmiPrvSE.exe                  2468 Services                   0         5.972 K
 
 

Microsoft Windows [Version 6.0.6001]

sorry weiss grad nicht was du von mir willst^^

steht da halt so is das eine nicht verbreitete version?!

verwechselst du da nicht gerade xp mit vista? 


naja ich formatiere jetzt nochmal mit dos und reste danach nochmals den mbr...


hoffe euch fällt evtl schon was auf woran es liegen könnte

SO BIN JETZT FERTIG WIEDER DAS GLEICHE DISASTER *help pls*



LG Sven 

..du meinst das Problem Antivir zu installieren?
Welchen Antivirus hattest du denn vorher?