Rootkit.Agent ...\drivers\rgdaig.sys

« 03.01.10, 00:05:25 »

Hallo Leute! Erstmal FROHES NEUES JAHR

Doch so froh ist es bei mir leider nicht..
Malwarebytes beanstandet bei mir folgende Datei als infiziert: C:\Windows\System32\drivers\rgdaig.sys [749KB]

Nach ich Malwarebytes die Datei löschen lasse, und wieder neustarte, ist diese Datei wieder da. Wenn ich sie manuell löschen will, kommt die Fehlermeldung mit: Die Quelldatei oder vom Quelldatenträger kann nicht gelesen werden. [Wiederholen oder Beenden]

Wenn ich versuche, die Datei mit dem Shredder von Spybot S&D zu löschen kommt folgendes: Ein an das System angeschlossenes Gerät funktioniert nicht. [Ok]

AntiVir, Spybot S&D, Hijackthis erkennen die Datei nicht als schädlich.

Nun die Frage: "Fehler" von Malwarebytes oder doch etwas schädliches?!

Hoffe ihr könnt mir weiterhelfen.

MfG Hagbard

« 03.01.10, 02:30:21 »

hallo,

Zitat

C:\Windows\System32\drivers\rgdaig.sys

bei virustotal.com hochladen & auswerten lassen.

mfg Zidane

« 03.01.10, 12:13:08 »

Wenn ich versuche die Datei dort hochzuladen kommt wieder die Fehlermeldung:

« 03.01.10, 12:29:59 »

Erweckt doch etwas neugier

Rootkit-Suche

Einige Scans auf Dateien, Prozesse und Registryeinträge, die vor den meisten anderen Scannern versteckt werden (durch ein sogenanntes Rootkit). Während dieser Scans soll(en):

alle anderen Scanner gegen Viren, Spyware, usw. deaktiviert sein,
keine Verbindung zu einem Netzwerk/Internet bestehen (WLAN nicht vergessen),
nichts am Rechner getan werden,
nach jedem Scan der Rechner neu gestartet werden.

Gmer scannen lassen

Lade Dir Gmer von dieser Seite herunter
(auf den Button Download EXE drücken) und das Programm auf dem Desktop speichern.
Gmer ist geeignet für => NT/W2K/XP/VISTA.
Alle anderen Programme sollen geschlossen sein.
Starte gmer.exe (Programm hat einen willkürlichen Programm-Namen).
Vista-User mit Rechtsklick und als Administrator starten.
Sollte sich ein Fenster mit folgender Warnung öffnen:

WARNING !!!
GMER has found system modification, which might have been caused by ROOTKIT activity.
Do you want to fully scan your system ?
Unbedingt auf "No" klicken.

Starte den Scan mit "Scan". Mache nichts am Computer während der Scan läuft.
Wenn der Scan fertig ist klicke auf "Copy" um das Log in die Zwischenablage zu kopieren. Mit "Ok" wird Gmer beendet.
Füge das Log aus der Zwischenablage in Deine Antwort hier ein.

Antiviren-Programm und sonstige Scanner wieder einschalten, bevor Du ins Netz gehst!

Nun das Logfile in Code-Tags posten.

« 03.01.10, 12:52:10 »

Code: [Auswählen]

GMER 1.0.15.15281 - http://www.gmer.net
Rootkit scan 2010-01-03 12:50:28
Windows 6.1.7600 
Running: gylzbj0p.exe; Driver: C:\Users\Nina\AppData\Local\Temp\kxldqpow.sys


---- System - GMER 1.0.15 ----

SSDT            93D2D1AC                                                                                                            ZwCreateThread
SSDT            93D2D198                                                                                                            ZwOpenProcess
SSDT            93D2D19D                                                                                                            ZwOpenThread
SSDT            93D2D1A7                                                                                                            ZwTerminateProcess

INT 0x1F        \SystemRoot\system32\halmacpi.dll [url=http://www.computerhilfen.de/fachbegriffe-h-Hardware.html](Hardware[/url] Abstraction Layer DLL/Microsoft Corporation)                            83031AF8
INT 0x37        \SystemRoot\system32\halmacpi.dll [url=http://www.computerhilfen.de/fachbegriffe-h-Hardware.html](Hardware[/url] Abstraction Layer DLL/Microsoft Corporation)                            83031104
INT 0xC1        \SystemRoot\system32\halmacpi.dll [url=http://www.computerhilfen.de/fachbegriffe-h-Hardware.html](Hardware[/url] Abstraction Layer DLL/Microsoft Corporation)                            830313F4
INT 0xD1        \SystemRoot\system32\halmacpi.dll [url=http://www.computerhilfen.de/fachbegriffe-h-Hardware.html](Hardware[/url] Abstraction Layer DLL/Microsoft Corporation)                            8301A2D8
INT 0xDF        \SystemRoot\system32\halmacpi.dll [url=http://www.computerhilfen.de/fachbegriffe-h-Hardware.html](Hardware[/url] Abstraction Layer DLL/Microsoft Corporation)                            830311DC
INT 0xE1        \SystemRoot\system32\halmacpi.dll [url=http://www.computerhilfen.de/fachbegriffe-h-Hardware.html](Hardware[/url] Abstraction Layer DLL/Microsoft Corporation)                            83031958
INT 0xE3        \SystemRoot\system32\halmacpi.dll [url=http://www.computerhilfen.de/fachbegriffe-h-Hardware.html](Hardware[/url] Abstraction Layer DLL/Microsoft Corporation)                            830316F8
INT 0xFD        \SystemRoot\system32\halmacpi.dll [url=http://www.computerhilfen.de/fachbegriffe-h-Hardware.html](Hardware[/url] Abstraction Layer DLL/Microsoft Corporation)                            83031F2C
INT 0xFE        \SystemRoot\system32\halmacpi.dll [url=http://www.computerhilfen.de/fachbegriffe-h-Hardware.html](Hardware[/url] Abstraction Layer DLL/Microsoft Corporation)                            830321A8

---- Kernel code sections - GMER 1.0.15 ----

.text           ntkrnlpa.exe!ZwSaveKeyEx + 13AD                                                                                     82C4A579 1 [url=http://www.computerhilfen.de/fachbegriffe-b-Byte.html]Byte[/url]  [06]
.text           ntkrnlpa.exe!KiDispatchInterrupt + 5A2                                                                              82C6EF52 19 Bytes  [E0, 0F, BA, F0, 07, 73, 09, ...] {LOOPNZ 0x11; MOV EDX, 0x97307f0; MOV CR4, EAX; OR AL, 0x80; MOV CR4, EAX; RET ; MOV ECX, CR3}
.text           ntkrnlpa.exe!RtlSidHashLookup + 34C                                                                                 82C7684C 4 Bytes  [AC, D1, D2, 93] {LODSB ; RCL EDX, 0x1; XCHG EBX, EAX}
.text           ntkrnlpa.exe!RtlSidHashLookup + 4E8                                                                                 82C769E8 4 Bytes  [98, D1, D2, 93] {CWDE ; RCL EDX, 0x1; XCHG EBX, EAX}
.text           ntkrnlpa.exe!RtlSidHashLookup + 508                                                                                 82C76A08 4 Bytes  CALL 5599078F 
.text           ntkrnlpa.exe!RtlSidHashLookup + 7B8                                                                                 82C76CB8 4 Bytes  [A7, D1, D2, 93] {CMPSD ; RCL EDX, 0x1; XCHG EBX, EAX}
?               System32\Drivers\spmz.sys                                                                                           Das System kann den angegebenen Pfad nicht finden. !
?               System32\Drivers\rgdaig.sys                                                                                         Ein an das System angeschlossenes Gerät funktioniert nicht. !
.text           USBPORT.SYS!DllUnload                                                                                               8E64BCA0 5 Bytes  JMP 864A31D8 
.text           C:\Windows\system32\DRIVERS\atikmdag.sys                                                                            section is writeable [0x8EE40000, 0x2CB74C, 0xE8000020]
.text           adrotd0y.SYS                                                                                                        8F3B7000 12 Bytes  [44, C8, 01, 83, EE, C6, 01, ...]
.text           adrotd0y.SYS                                                                                                        8F3B700D 9 Bytes  [A7, 01, 83, 48, CB, 01, 83, ...] {CMPSD ; ADD [EBX-0x7cfe34b8], EAX; ADD [EAX], AL}
.text           adrotd0y.SYS                                                                                                        8F3B7017 170 Bytes  [00, DE, B7, F0, 88, E6, B5, ...]
.text           adrotd0y.SYS                                                                                                        8F3B70C3 8 Bytes  [00, 00, 00, 00, 00, 00, 00, ...] {ADD [EAX], AL; ADD [EAX], AL; ADD [EAX], AL; ADD [EAX], AL}
.text           adrotd0y.SYS                                                                                                        8F3B70CE 4 Bytes  [00, 00, 00, 00] {ADD [EAX], AL; ADD [EAX], AL}
.text           ...                                                                                                                 
.text           peauth.sys                                                                                                          97D51C9D 28 Bytes  [44, 7F, AC, 51, A9, 47, 60, ...]
.text           peauth.sys                                                                                                          97D51CC1 28 Bytes  [44, 7F, AC, 51, A9, 47, 60, ...]
PAGE            peauth.sys                                                                                                          97D57B9B 72 Bytes  [20, 2F, 74, B2, 91, E1, 33, ...]
PAGE            peauth.sys                                                                                                          97D57BEC 111 Bytes  [AE, 7E, 6C, 81, F4, CF, 6C, ...]
PAGE            peauth.sys                                                                                                          97D57E20 101 Bytes  [49, 76, E6, 3A, D4, 9A, 1D, ...]
PAGE            ...                                                                                                                 

---- Kernel IAT/EAT - GMER 1.0.15 ----

IAT             \SystemRoot\system32\DRIVERS\atapi.sys[ataport.SYS!AtaPortReadPortUchar]                                            [88E0F042] \SystemRoot\System32\Drivers\spmz.sys
IAT             \SystemRoot\system32\DRIVERS\atapi.sys[ataport.SYS!AtaPortWritePortUchar]                                           [88E0F6D6] \SystemRoot\System32\Drivers\spmz.sys
IAT             \SystemRoot\system32\DRIVERS\atapi.sys[ataport.SYS!AtaPortWritePortBufferUshort]                                    [88E0F800] \SystemRoot\System32\Drivers\spmz.sys
IAT             \SystemRoot\system32\DRIVERS\atapi.sys[ataport.SYS!AtaPortReadPortBufferUshort]                                     [88E0F13E] \SystemRoot\System32\Drivers\spmz.sys
IAT             \SystemRoot\System32\Drivers\adrotd0y.SYS[ataport.SYS!AtaPortNotification]                                          00147880
IAT             \SystemRoot\System32\Drivers\adrotd0y.SYS[ataport.SYS!AtaPortQuerySystemTime]                                       78800C75
IAT             \SystemRoot\System32\Drivers\adrotd0y.SYS[ataport.SYS!AtaPortReadPortUchar]                                         06750015
IAT             \SystemRoot\System32\Drivers\adrotd0y.SYS[ataport.SYS!AtaPortStallExecution]                                        C25DC033
IAT             \SystemRoot\System32\Drivers\adrotd0y.SYS[ataport.SYS!AtaPortWritePortUchar]                                        458B0008
IAT             \SystemRoot\System32\Drivers\adrotd0y.SYS[ataport.SYS!AtaPortWritePortUlong]                                        6A006A08
IAT             \SystemRoot\System32\Drivers\adrotd0y.SYS[ataport.SYS!AtaPortGetPhysicalAddress]                                    50056A24
IAT             \SystemRoot\System32\Drivers\adrotd0y.SYS[ataport.SYS!AtaPortConvertPhysicalAddressToUlong]                         005AB7E8
IAT             \SystemRoot\System32\Drivers\adrotd0y.SYS[ataport.SYS!AtaPortGetScatterGatherList]                                  0001B800
IAT             \SystemRoot\System32\Drivers\adrotd0y.SYS[ataport.SYS!AtaPortGetParentBusType]                                      C25D0000
IAT             \SystemRoot\System32\Drivers\adrotd0y.SYS[ataport.SYS!AtaPortRequestCallback]                                       CCCC0008
IAT             \SystemRoot\System32\Drivers\adrotd0y.SYS[ataport.SYS!AtaPortWritePortBufferUshort]                                 CCCCCCCC
IAT             \SystemRoot\System32\Drivers\adrotd0y.SYS[ataport.SYS!AtaPortGetUnCachedExtension]                                  CCCCCCCC
IAT             \SystemRoot\System32\Drivers\adrotd0y.SYS[ataport.SYS!AtaPortCompleteRequest]                                       CCCCCCCC
IAT             \SystemRoot\System32\Drivers\adrotd0y.SYS[ataport.SYS!AtaPortCopyMemory]                                            53EC8B55
IAT             \SystemRoot\System32\Drivers\adrotd0y.SYS[ataport.SYS!AtaPortEtwTraceLog]                                           800C5D8B
IAT             \SystemRoot\System32\Drivers\adrotd0y.SYS[ataport.SYS!AtaPortCompleteAllActiveRequests]                             7500117B
IAT             \SystemRoot\System32\Drivers\adrotd0y.SYS[ataport.SYS!AtaPortReleaseRequestSenseIrb]                                127B806A
IAT             \SystemRoot\System32\Drivers\adrotd0y.SYS[ataport.SYS!AtaPortBuildRequestSenseIrb]                                  80647500
IAT             \SystemRoot\System32\Drivers\adrotd0y.SYS[ataport.SYS!AtaPortReadPortBufferUshort]                                  7500137B
IAT             \SystemRoot\System32\Drivers\adrotd0y.SYS[ataport.SYS!AtaPortInitialize]                                            157B805E
IAT             \SystemRoot\System32\Drivers\adrotd0y.SYS[ataport.SYS!AtaPortGetDeviceBase]                                         56587500
IAT             \SystemRoot\System32\Drivers\adrotd0y.SYS[ataport.SYS!AtaPortDeviceStateChange]                                     8008758B

« 03.01.10, 12:52:52 »

Code: [Auswählen]


---- Devices - GMER 1.0.15 ----

Device          \FileSystem\Ntfs \Ntfs                                                                                              8619DF20
Device          \FileSystem\Ntfs \Ntfs                                                                                              850761F8
Device          \Driver\volmgr \Device\VolMgrControl                                                                                850711F8
Device          \Driver\NetBT \Device\NetBT_Tcpip_{8ABD2825-B0BF-49A4-B97B-FD479758ECD9}                                            863051F8
Device          \Driver\usbohci \Device\USBPDO-0                                                                                    864A41F8
Device          \Driver\usbehci \Device\USBPDO-1                                                                                    864A51F8
Device          \Driver\PCI_PNP8608 \Device\00000053                                                                                spmz.sys
Device          \Driver\nvstor \Device\00000062                                                                                     850741F8
Device          \Driver\volmgr \Device\HarddiskVolume1                                                                              850711F8

AttachedDevice  \Driver\volmgr \Device\HarddiskVolume1                                                                              fvevol.sys (BitLocker Drive Encryption Driver/Microsoft Corporation)
AttachedDevice  \Driver\volmgr \Device\HarddiskVolume1                                                                              rdyboost.sys (ReadyBoost Driver/Microsoft Corporation)

Device          \Driver\volmgr \Device\HarddiskVolume2                                                                              850711F8

AttachedDevice  \Driver\volmgr \Device\HarddiskVolume2                                                                              fvevol.sys (BitLocker Drive Encryption Driver/Microsoft Corporation)
AttachedDevice  \Driver\volmgr \Device\HarddiskVolume2                                                                              rdyboost.sys (ReadyBoost Driver/Microsoft Corporation)

Device          \Driver\cdrom \Device\CdRom0                                                                                        863091F8
Device          \Driver\atapi \Device\Ide\IdeDeviceP0T0L0-0                                                                         850731F8
Device          \Driver\atapi \Device\Ide\IdePort0                                                                                  850731F8
Device          \Driver\atapi \Device\Ide\IdePort1                                                                                  850731F8
Device          \Driver\cdrom \Device\CdRom1                                                                                        863091F8
Device          \Driver\cdrom \Device\CdRom2                                                                                        863091F8
Device          \Driver\NetBT \Device\NetBt_Wins_Export                                                                             863051F8
Device          \Driver\ACPI_HAL \Device\0000004b                                                                                   halmacpi.dll [url=http://www.computerhilfen.de/fachbegriffe-h-Hardware.html](Hardware[/url] Abstraction Layer DLL/Microsoft Corporation)
Device          \Driver\nvstor \Device\RaidPort0                                                                                    850741F8
Device          \Driver\nvstor \Device\RaidPort1                                                                                    850741F8
Device          \Driver\sptd \Device\1258587358                                                                                     spmz.sys
Device          \Driver\usbohci \Device\USBFDO-0                                                                                    864A41F8
Device          \Driver\usbehci \Device\USBFDO-1                                                                                    864A51F8
Device          \Driver\adrotd0y \Device\Scsi\adrotd0y1Port4Path0Target0Lun0                                                        8650A1F8
Device          \Driver\adrotd0y \Device\Scsi\adrotd0y1                                                                             8650A1F8
Device          \Driver\adrotd0y \Device\Scsi\adrotd0y1Port4Path0Target1Lun0                                                        8650A1F8

---- [url=http://www.computerhilfen.de/fachbegriffe-r-Registry.html]Registry[/url] - GMER 1.0.15 ----

Reg             HKLM\SYSTEM\CurrentControlSet\services\rgdaig@Type                                                                  1
Reg             HKLM\SYSTEM\CurrentControlSet\services\rgdaig@Start                                                                 0
Reg             HKLM\SYSTEM\CurrentControlSet\services\rgdaig@ErrorControl                                                          0
Reg             HKLM\SYSTEM\CurrentControlSet\services\rgdaig@Group                                                                 Boot [url=http://www.computerhilfen.de/fachbegriffe-b-Bus.html]Bus[/url] Extender
Reg             HKLM\SYSTEM\CurrentControlSet\services\sptd\Cfg@s1                                                                  771343423
Reg             HKLM\SYSTEM\CurrentControlSet\services\sptd\Cfg@s2                                                                  285507792
Reg             HKLM\SYSTEM\CurrentControlSet\services\sptd\Cfg@h0                                                                  1
Reg             HKLM\SYSTEM\CurrentControlSet\services\sptd\Cfg\14919EA49A8F3B4AA3CF1058D9A64CEC                                    
Reg             HKLM\SYSTEM\CurrentControlSet\services\sptd\Cfg\14919EA49A8F3B4AA3CF1058D9A64CEC@p0                                 C:\Program Files\DAEMON Tools Lite\
Reg             HKLM\SYSTEM\CurrentControlSet\services\sptd\Cfg\14919EA49A8F3B4AA3CF1058D9A64CEC@u0                                 0xD4 0xC3 0x97 0x02 ...
Reg             HKLM\SYSTEM\CurrentControlSet\services\sptd\Cfg\14919EA49A8F3B4AA3CF1058D9A64CEC@h0                                 0
Reg             HKLM\SYSTEM\CurrentControlSet\services\sptd\Cfg\14919EA49A8F3B4AA3CF1058D9A64CEC@hdf12                              0x38 0x88 0xD6 0x7A ...
Reg             HKLM\SYSTEM\CurrentControlSet\services\sptd\Cfg\14919EA49A8F3B4AA3CF1058D9A64CEC\00000001                           
Reg             HKLM\SYSTEM\CurrentControlSet\services\sptd\Cfg\14919EA49A8F3B4AA3CF1058D9A64CEC\00000001@a0                        0x20 0x01 0x00 0x00 ...
Reg             HKLM\SYSTEM\CurrentControlSet\services\sptd\Cfg\14919EA49A8F3B4AA3CF1058D9A64CEC\00000001@hdf12                     0xD9 0x3F 0x92 0xE9 ...
Reg             HKLM\SYSTEM\CurrentControlSet\services\sptd\Cfg\14919EA49A8F3B4AA3CF1058D9A64CEC\00000001\gdq0                      
Reg             HKLM\SYSTEM\CurrentControlSet\services\sptd\Cfg\14919EA49A8F3B4AA3CF1058D9A64CEC\00000001\gdq0@hdf12                0x81 0x46 0x30 0x1E ...
Reg             HKLM\SYSTEM\CurrentControlSet\services\sptd\Cfg\14919EA49A8F3B4AA3CF1058D9A64CEC\00000001\gdq1                      
Reg             HKLM\SYSTEM\CurrentControlSet\services\sptd\Cfg\14919EA49A8F3B4AA3CF1058D9A64CEC\00000001\gdq1@hdf12                0x11 0xF0 0x8E 0x33 ...
Reg             HKLM\SYSTEM\ControlSet002\services\rgdaig@Type                                                                      1
Reg             HKLM\SYSTEM\ControlSet002\services\rgdaig@Start                                                                     0
Reg             HKLM\SYSTEM\ControlSet002\services\rgdaig@ErrorControl                                                              0
Reg             HKLM\SYSTEM\ControlSet002\services\rgdaig@Group                                                                     Boot [url=http://www.computerhilfen.de/fachbegriffe-b-Bus.html]Bus[/url] Extender
Reg             HKLM\SYSTEM\ControlSet002\services\sptd\Cfg\14919EA49A8F3B4AA3CF1058D9A64CEC (not active ControlSet)                
Reg             HKLM\SYSTEM\ControlSet002\services\sptd\Cfg\14919EA49A8F3B4AA3CF1058D9A64CEC@p0                                     C:\Program Files\DAEMON Tools Lite\
Reg             HKLM\SYSTEM\ControlSet002\services\sptd\Cfg\14919EA49A8F3B4AA3CF1058D9A64CEC@u0                                     0xD4 0xC3 0x97 0x02 ...
Reg             HKLM\SYSTEM\ControlSet002\services\sptd\Cfg\14919EA49A8F3B4AA3CF1058D9A64CEC@h0                                     0
Reg             HKLM\SYSTEM\ControlSet002\services\sptd\Cfg\14919EA49A8F3B4AA3CF1058D9A64CEC@hdf12                                  0x38 0x88 0xD6 0x7A ...
Reg             HKLM\SYSTEM\ControlSet002\services\sptd\Cfg\14919EA49A8F3B4AA3CF1058D9A64CEC\00000001 (not active ControlSet)       
Reg             HKLM\SYSTEM\ControlSet002\services\sptd\Cfg\14919EA49A8F3B4AA3CF1058D9A64CEC\00000001@a0                            0x20 0x01 0x00 0x00 ...
Reg             HKLM\SYSTEM\ControlSet002\services\sptd\Cfg\14919EA49A8F3B4AA3CF1058D9A64CEC\00000001@hdf12                         0xD9 0x3F 0x92 0xE9 ...
Reg             HKLM\SYSTEM\ControlSet002\services\sptd\Cfg\14919EA49A8F3B4AA3CF1058D9A64CEC\00000001\gdq0 (not active ControlSet)  
Reg             HKLM\SYSTEM\ControlSet002\services\sptd\Cfg\14919EA49A8F3B4AA3CF1058D9A64CEC\00000001\gdq0@hdf12                    0x81 0x46 0x30 0x1E ...
Reg             HKLM\SYSTEM\ControlSet002\services\sptd\Cfg\14919EA49A8F3B4AA3CF1058D9A64CEC\00000001\gdq1 (not active ControlSet)  
Reg             HKLM\SYSTEM\ControlSet002\services\sptd\Cfg\14919EA49A8F3B4AA3CF1058D9A64CEC\00000001\gdq1@hdf12                    0x11 0xF0 0x8E 0x33 ...

---- EOF - GMER 1.0.15 ----

« 03.01.10, 13:10:29 »

Poste mir bitte die aktuelle Logfile von Malwarebytes
Starte Malwarebytes--> Reiter Scan-Berichte--> klick auf den aktuellsten Bericht--> es öffnet sich automatisch ein Text-Dokument
(nicht neu scannen)

schritt 2

Scan mit SystemLook

Lade SystemLook von jpshortstuff von einem der folgenden Spiegel herunter und speichere das Tool auf dem Desktop.

Download Mirror #1 - Download Mirror #2

Doppelklick auf die SystemLook.exe, um das Tool zu starten.
Vista-User mit Rechtsklick und als Administrator starten.
Kopiere den Inhalt der folgenden Codebox in das Textfeld des Tools:

Code: [Auswählen]

:filefind
rgdaig*
:regfind
rgdaig

Klicke nun auf den Button Look, um den Scan zu starten.
Wenn der Suchlauf beendet ist, wird sich Dein Editor mit den Ergebnissen öffnen, diese hier in den Thread posten.
Die Ergebnisse werden auf dem Desktop als SystemLook.txt gespeichert.

schritt 3

CustomScan mit OTL

Falls noch nicht vorhanden, lade Dir bitte OTL von Oldtimer herunter und speichere es auf Deinem Desktop

Starte bitte die OTL.exe.
Vista-User mit Rechtsklick "als Administrator starten"
Kopiere nun den Inhalt in die Textbox.

Code: [Auswählen]

netsvcs
msconfig
safebootminimal
safebootnetwork
activex
drivers32
%SYSTEMDRIVE%\*.exe
/md5start
eventlog.dll
scecli.dll
netlogon.dll
cngaudit.dll
sceclt.dll
ntelogon.dll
logevent.dll
iaStor.sys
nvstor.sys
atapi.sys
IdeChnDr.sys
viasraid.sys
AGP440.sys
vaxscsi.sys
nvatabus.sys
viamraid.sys
nvata.sys
nvgts.sys
iastorv.sys
ViPrt.sys
eNetHook.dll
ahcix86.sys
KR10N.sys
nvstor32.sys
/md5stop
%systemroot%\*. /mp /s
%PROGRAMFILES%\*.
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\WindowsUpdate\Auto Update\Results\Install|LastSuccessTime /rs
CREATERESTOREPOINT

Schliesse bitte nun alle Programme. (Wichtig)
Klicke nun bitte auf den Quick Scan Button.
Klick auf .
Kopiere nun den Inhalt aus OTL.txt und Extra.txt hier in Code-Tags[/url] in Deinen Thread

Die OTL Log ist sehr lange, kannst sie auch bei einem Filehoster hochladen

« 03.01.10, 13:48:31 »

Code: [Auswählen]

Malwarebytes' Anti-Malware 1.43
Datenbank Version: 3477
Windows 6.1.7600
Internet Explorer 8.0.7600.16385

02.01.2010 20:20:06
mbam-log-2010-01-02 (20-20-06).txt

Scan-Methode: Vollständiger Scan (C:\|D:\|)
Durchsuchte Objekte: 212048
Laufzeit: 26 minute(s), 45 second(s)

Infizierte Speicherprozesse: 0
Infizierte Speichermodule: 0
Infizierte Registrierungsschlüssel: 0
Infizierte Registrierungswerte: 0
Infizierte Dateiobjekte der Registrierung: 0
Infizierte Verzeichnisse: 0
Infizierte Dateien: 1

Infizierte Speicherprozesse:
(Keine bösartigen Objekte gefunden)

Infizierte Speichermodule:
(Keine bösartigen Objekte gefunden)

Infizierte Registrierungsschlüssel:
(Keine bösartigen Objekte gefunden)

Infizierte Registrierungswerte:
(Keine bösartigen Objekte gefunden)

Infizierte Dateiobjekte der Registrierung:
(Keine bösartigen Objekte gefunden)

Infizierte Verzeichnisse:
(Keine bösartigen Objekte gefunden)

Infizierte Dateien:
C:\Windows\System32\drivers\rgdaig.sys (Rootkit.Agent) -> Quarantined and deleted successfully.

« 03.01.10, 13:50:20 »

Code: [Auswählen]

SystemLook v1.0 by jpshortstuff (29.08.09)
Log created at 13:49 on 03/01/2010 by Nina (Administrator - Elevation successful)

========== filefind ==========

Searching for "rgdaig*"
C:\Users\Nina\AppData\Roaming\Microsoft\Windows\Recent\rgdaig sys hochladen.lnk	--a--- 624 bytes	[11:12 03/01/2010]	[11:12 03/01/2010] C7F3E5979AE3A765AE53A5CFC79C530D
C:\Users\Nina\Desktop\rgdaig sys hochladen.JPG	--a--- 17262 bytes	[11:12 03/01/2010]	[11:12 03/01/2010] 6045954C2332A5AB697317264A2AD296
C:\Windows\System32\drivers\rgdaig.sys	--a--- 767488 bytes	[11:39 02/01/2010]	[12:49 03/01/2010] (Unable to calculate MD5)

========== regfind ==========

Searching for "rgdaig"
[HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Enum\Root\LEGACY_RGDAIG]
[HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Enum\Root\LEGACY_RGDAIG\0000]
"Service"="rgdaig"
[HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Enum\Root\LEGACY_RGDAIG\0000]
"Service"="rgdaig"
[HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Enum\Root\LEGACY_RGDAIG\0000]
"Service"="rgdaig"
[HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Enum\Root\LEGACY_RGDAIG\0000]
"Service"="rgdaig"
[HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Enum\Root\LEGACY_RGDAIG\0000\Control]
"ActiveService"="rgdaig"
[HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\services\rgdaig]
[HKEY_LOCAL_MACHINE\SYSTEM\ControlSet002\Enum\Root\LEGACY_RGDAIG]
[HKEY_LOCAL_MACHINE\SYSTEM\ControlSet002\Enum\Root\LEGACY_RGDAIG\0000]
"Service"="rgdaig"
[HKEY_LOCAL_MACHINE\SYSTEM\ControlSet002\Enum\Root\LEGACY_RGDAIG\0000]
"Service"="rgdaig"
[HKEY_LOCAL_MACHINE\SYSTEM\ControlSet002\Enum\Root\LEGACY_RGDAIG\0000]
"Service"="rgdaig"
[HKEY_LOCAL_MACHINE\SYSTEM\ControlSet002\Enum\Root\LEGACY_RGDAIG\0000]
"Service"="rgdaig"
[HKEY_LOCAL_MACHINE\SYSTEM\ControlSet002\services\rgdaig]
[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Enum\Root\LEGACY_RGDAIG]
[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Enum\Root\LEGACY_RGDAIG\0000]
"Service"="rgdaig"
[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Enum\Root\LEGACY_RGDAIG\0000]
"Service"="rgdaig"
[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Enum\Root\LEGACY_RGDAIG\0000]
"Service"="rgdaig"
[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Enum\Root\LEGACY_RGDAIG\0000]
"Service"="rgdaig"
[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Enum\Root\LEGACY_RGDAIG\0000\Control]
"ActiveService"="rgdaig"
[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\services\rgdaig]

-=End Of File=-

« 03.01.10, 14:03:32 »

Hier die Dateien von OTL:
http://www.file-upload.net/download-2125730/OTL.Txt.html
http://www.file-upload.net/download-2125731/Extras.Txt.html

« 03.01.10, 14:16:17 »

Willst Du bereinigen oder Formatieren ?

« 03.01.10, 14:19:38 »

Ich denke ich werde wohl das zweitere machen müssen...
Oder meinst du, dass das Bereinigen ausreichen würde?

« 03.01.10, 14:21:57 »

Klar kann es entfernen, nur die Leute hier halten nicht viel davon.

Ist deine Entscheidung

« 03.01.10, 14:23:30 »

Würde es gerne mit dem Entfernen versuchen.
Bin auch eher einer der "Übervorsichtigen" und formatieren gerne Aber es ist der PC meiner Freundin Die mag das nicht so gerne...

Wenn du noch Zeit und Lust dazu hast, dann gerne Entfernen.

« 03.01.10, 14:31:59 »

Win7 wird aber nit ganz so einfach

Fixen mit OTL

Starte bitte die OTL.exe.
Vista und Win7 User mit Rechtsklick "als Administrator starten"
Kopiere nun den Inhalt in die Textbox.

Code: [Auswählen]

:Services
rgdaig
:Reg
:Files
C:\Windows\System32\drivers\rgdaig.sys
:Commands
[purity]
[Reboot]

Schliesse bitte nun alle Programme.
Klicke nun bitte auf den Run Fix Button.
Klick auf .
OTL kann gegebenfalls einen Neustart verlangen. Bitte dies zulassen.
Nach dem Neustart findest Du ein Textdokument.

Kopiere nun den Inhalt hier in Deinen Thread[/list]

« Dem Antivirus Programm sagen, dass es kein Virus ist!?		Internet Explorer öffnet automatisch »

Rootkit.Agent ...\drivers\rgdaig.sys

Antworten zu Rootkit.Agent ...\drivers\rgdaig.sys: