Spybot search and destroy 1.6 startet nach Virenbefall nicht mehr

Mach für weitere Analysen erstmal einen Vollscan mit Malwarebytes. Denk dran, dass dieses Tool vor jedem Scan auch manuell aktualisiert werden muss!!

Erstell danach Logfiles mit OTL und poste sie. Am besten zipst Du alle Logs in eine (ZIP-)Datei und lädst sie bei http://www.file-upload.net hoch und verlinkst das ganze hier.

Eine Anleitung zu Malwarebytes und OTL findest Du notfalls auch im TB:

http://www.trojaner-board.de/51187-anleitung-malwarebytes-anti-malware.html

http://www.trojaner-board.de/85104-otl-otlogfile-oldtimer.html


BTW: Es dauert bestimmt nicht lange, bis die ersten Schwarz-Weißer-Denker hier posten und ein FORMAT C verordnen. Bitte diese Zeitgenossen - falls sie hier denn die Formatierungsverordnung posten - einfach nur ignorieren. Danke.

Hallo Cosinus,

O.K.

Ich habe OTR mit Protokoll laufen lassen und Malwarebytes installiert. Bei OTR hatte ich keine Probleme, bei Marwarebytes habe ich den gleichen Effekt wie bei Spybot. Ich starte es, die Maus wird kurz zur Sanduhr, es passiert aber nichts weiter. Ich habe dann aber noch HiJackthis laufen lassen.

Alle Protokolldateien habe ich als ZIP File unter http://www.file-upload.net/download-2848168/Andreas-kiel.zip.html hochgeladen.

Kannst Du damit etwas anfangen?

Vielen Dank im voraus,

Andreas 

Hallo Cosinus,

die oberste Datei ist kein Verzeichnis sondern eine 0-Byte Datei ohne Extension. Die anderen Dateien kenne ich nicht, die INI enthält allerdings Papierformate, sodaß ich von Treibern für einen OKI Netzwerkdrucker ausgehe (was auch vom Erstellungsdatum dieser Dateien passen würde).
Ich habe die aber vorsichtshalber gelöscht bzw. vom System entfernt.

Ich habe jetzt auch Mal "Emsisoft Anti-Malware" durchlaufen lassen und der hat noch in einem Temp Ordner einen "Win32.Parite.A!IK" Virus gefunden und entfernt.

Jetzt kann ich Symantec Antivirus, Emsisoft Anti-Malware sowie Spybot (Über Boot CD) ohne weitere Virenmeldungen laufen lassen.

Leider startet Spybot und auch Malwarebytes' Anti-Malware immer noch nicht.

Hast Du oder jemand Anders noch weitere Ideen, was da noch im "Argen" sein kann?

Vielen Dank im voraus,

Andreas
 

Führ mal CF aus wie hier abgebildet => http://tinyurl.com/3a9d85h

  Jaaaaaaaaaaaaaaaaaaaaa, Geiiiiiiiiil!!!!!!

Hallo Cosinus 

das wars.

Cofi hat ein Rootkit in der termdd.sys gefunden und ausgetauscht und nun funktioniert alles wieder.

Finde ich ja echt crazy, daß die anderen Programme (incl. Rootkit revealer) das nicht gefunden haben.

Sei es drum,

vielen, vielen Dank für Deine Hilfe,

Andreas

Poste bitte das Log von Combofix

Hi Cosinus,

o.k.:

ComboFix 10-09-27.05 - user 29.09.2010   8:19.1.2 - x86
Microsoft Windows XP Professional  5.1.2600.3.1252.49.1031.18.2046.1428 [GMT 2:00]
ausgeführt von:: c:\dokumente und einstellungen\user\Desktop\Cofi.exe
AV: Symantec Endpoint Protection *On-access scanning disabled* (Updated) {FB06448E-52B8-493A-90F3-E43226D3305C}
FW: Symantec Endpoint Protection *disabled* {BE898FE3-CD0B-4014-85A9-03DB9923DDB6}
.

((((((((((((((((((((((((((((((((((((   Weitere Löschungen   ))))))))))))))))))))))))))))))))))))))))))))))))
.

Infizierte Kopie von c:\windows\system32\drivers\termdd.sys wurde gefunden und desinfiziert
Kopie von - Kitty had a snack :p wurde wiederhergestellt
.
(((((((((((((((((((((((   Dateien erstellt von 2010-08-28 bis 2010-09-29  ))))))))))))))))))))))))))))))
.

2010-09-28 12:34 . 2010-09-28 12:36   --------   dc-h--w-   c:\windows\ie8
2010-09-27 12:57 . 2010-09-28 10:59   --------   d-----w-   c:\programme\Emsisoft Anti-Malware
2010-09-27 12:39 . 2010-09-27 12:39   --------   d-----w-   c:\programme\Emsisoft HiJackFree
2010-09-27 09:50 . 2010-04-29 10:19   38224   ----a-w-   c:\windows\system32\drivers\mbamswissarmy.sys
2010-09-27 09:50 . 2010-09-27 09:50   --------   d-----w-   c:\dokumente und einstellungen\All Users\Anwendungsdaten\Malwarebytes
2010-09-27 09:50 . 2010-04-29 10:19   20952   ----a-w-   c:\windows\system32\drivers\mbam.sys
2010-09-27 09:50 . 2010-09-27 09:50   --------   d-----w-   c:\programme\Malwarebytes' Anti-Malware
2010-09-24 12:03 . 2010-09-24 12:03   --------   d-----w-   c:\programme\Safer Networking
2010-09-24 10:02 . 2010-09-24 10:02   --------   d-----w-   c:\programme\Spybot - Search & Destroy
2010-09-24 07:32 . 2010-09-24 07:32   --------   d-----w-   c:\dokumente und einstellungen\user\OkiData
2010-09-16 08:37 . 2010-08-17 13:17   58880   ------w-   c:\windows\system32\dllcache\spoolsv.exe
2010-09-16 08:36 . 2010-06-18 17:44   293888   ------w-   c:\windows\system32\dllcache\winsrv.dll
2010-09-16 08:35 . 2010-04-16 15:36   406016   ------w-   c:\windows\system32\dllcache\usp10.dll

.
((((((((((((((((((((((((((((((((((((   Find3M Bericht   ))))))))))))))))))))))))))))))))))))))))))))))))))))))
.
2010-09-29 05:59 . 2007-05-04 08:15   --------   d-----w-   c:\programme\Symantec AntiVirus
2010-09-28 12:43 . 2007-05-22 11:21   --------   d-----w-   c:\programme\PostDa
2010-09-28 10:35 . 2008-10-13 10:41   --------   d-----w-   c:\dokumente und einstellungen\All Users\Anwendungsdaten\Google Updater
2010-09-24 12:09 . 2006-11-15 03:24   --------   d-----w-   c:\programme\BAE
2010-09-24 10:20 . 2004-08-13 12:40   85198   ----a-w-   c:\windows\system32\perfc007.dat
2010-09-24 10:20 . 2004-08-13 12:40   460334   ----a-w-   c:\windows\system32\perfh007.dat
2010-09-24 10:02 . 2007-05-02 08:13   --------   d-----w-   c:\dokumente und einstellungen\All Users\Anwendungsdaten\Spybot - Search & Destroy
2010-09-23 09:30 . 2007-05-02 08:01   --------   d-----w-   c:\programme\Eudora
2010-09-23 09:29 . 2006-11-15 03:24   --------   d-----w-   c:\programme\Google
2010-09-22 05:16 . 2007-05-02 07:16   27776   ----a-w-   c:\dokumente und einstellungen\user\Lokale Einstellungen\Anwendungsdaten\GDIPFONTCACHEV1.DAT
2010-08-17 13:17 . 2004-08-13 12:40   58880   ----a-w-   c:\windows\system32\spoolsv.exe
2010-07-26 04:14 . 2009-05-27 05:55   161920   ----a-w-   c:\windows\system32\drivers\WpsHelper.sys
2010-07-22 15:48 . 2004-08-13 12:40   590848   ----a-w-   c:\windows\system32\rpcrt4.dll
2010-07-22 09:49 . 2008-05-05 05:25   5632   ----a-w-   c:\windows\system32\xpsp4res.dll
.

((((((((((((((((((((((((((((   Autostartpunkte der Registrierung   ))))))))))))))))))))))))))))))))))))))))
.
.
*Hinweis* leere Einträge & legitime Standardeinträge werden nicht angezeigt.
REGEDIT4

[HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
"swg"="c:\programme\Google\GoogleToolbarNotifier\GoogleToolbarNotifier.exe" [2007-07-17 68856]

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
"NDPS"="c:\windows\system32\dpmw32.exe" [2004-05-17 32859]
"NWTRAY"="NWTRAY.EXE" [2002-03-12 28672]
"ccApp"="c:\programme\Gemeinsame Dateien\Symantec Shared\ccApp.exe" [2009-05-27 115560]

[HKEY_USERS\.DEFAULT\Software\Microsoft\Windows\CurrentVersion\Run]
"CTFMON.EXE"="c:\windows\system32\CTFMON.EXE" [2008-04-14 15360]

c:\dokumente und einstellungen\All Users\Startmen\Programme\Autostart\
PostDa.lnk - c:\programme\PostDa\PostDa.exe [2000-1-8 172032]
Spybot - Search & Destroy.lnk - c:\programme\Spybot - Search & Destroy\SpybotSD.exe [2010-9-24 5365592]

[HKEY_LOCAL_MACHINE\software\microsoft\windows\currentversion\policies\system]
"CompatibleRUPSecurity"= 1 (0x1)

[hkey_local_machine\software\microsoft\windows\currentversion\explorer\ShellExecuteHooks]
"{EDB0E980-90BD-11D4-8599-0008C7D3B6F8}"= "c:\programme\Eudora\EuShlExt.dll" [2006-08-17 86016]

[HKEY_LOCAL_MACHINE\system\currentcontrolset\control\lsa]
Authentication Packages   REG_MULTI_SZ      msv1_0 nwv1_0

[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SafeBoot\Minimal\ccEvtMgr]
@="Service"

[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SafeBoot\Minimal\ccSetMgr]
@="Service"

[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SafeBoot\Minimal\Symantec Antivirus]
@="Service"

[HKEY_LOCAL_MACHINE\software\microsoft\windows\currentversion\run-]
"SoundMAXPnP"=c:\programme\Analog Devices\Core\smax4pnp.exe

[HKEY_LOCAL_MACHINE\software\microsoft\security center\Monitoring\SymantecAntiVirus]
"DisableMonitoring"=dword:00000001

[HKEY_LOCAL_MACHINE\software\microsoft\security center\Monitoring\SymantecFirewall]
"DisableMonitoring"=dword:00000001

[HKLM\~\services\sharedaccess\parameters\firewallpolicy\standardprofile]
"EnableFirewall"= 0 (0x0)

[HKLM\~\services\sharedaccess\parameters\firewallpolicy\standardprofile\AuthorizedApplications\List]
"%windir%\\system32\\sessmgr.exe"=
"%windir%\\Network Diagnostic\\xpnetdiag.exe"=
"c:\\Programme\\Symantec AntiVirus\\Smc.exe"=
"c:\\Programme\\Symantec AntiVirus\\SNAC.EXE"=
"c:\\Programme\\Gemeinsame Dateien\\Symantec Shared\\ccApp.exe"=

[HKLM\~\services\sharedaccess\parameters\firewallpolicy\standardprofile\GloballyOpenPorts\List]
"3389:TCP"= 3389:TCP:@xpsp2res.dll,-22009

R2 a2AntiMalware;Emsisoft Anti-Malware 5.0 - Service;c:\programme\Emsisoft Anti-Malware\a2service.exe [27.09.2010 14:57 2909536]
R3 a2acc;a2acc;c:\programme\Emsisoft Anti-Malware\a2accx86.sys [27.09.2010 14:57 72808]
R3 EraserUtilRebootDrv;EraserUtilRebootDrv;c:\programme\Gemeinsame Dateien\Symantec Shared\EENGINE\EraserUtilRebootDrv.sys [27.05.2010 14:10 102448]
S2 gupdate;Google Update Service (gupdate);c:\programme\Google\Update\GoogleUpdate.exe [06.01.2010 09:11 135664]
S3 COH_Mon;COH_Mon;c:\windows\system32\drivers\COH_Mon.sys [27.05.2009 07:54 23888]
S3 UEGZAGN;UEGZAGN;c:\dokume~1\user\LOKALE~1\Temp\UEGZAGN.exe --> c:\dokume~1\user\LOKALE~1\Temp\UEGZAGN.exe [?]
.
Inhalt des "geplante Tasks" Ordners

2010-09-29 c:\windows\Tasks\Google Software Updater.job
- c:\programme\Google\Common\Google Updater\GoogleUpdaterService.exe [2007-05-02 06:24]

2010-09-29 c:\windows\Tasks\GoogleUpdateTaskMachineCore.job
- c:\programme\Google\Update\GoogleUpdate.exe [2010-01-06 07:10]

2010-09-28 c:\windows\Tasks\GoogleUpdateTaskMachineUA.job
- c:\programme\Google\Update\GoogleUpdate.exe [2010-01-06 07:10]
.
.
------- Zusätzlicher Suchlauf -------
.
uStart Page = hxxp://www.google.de/
TCP: {45DA6C33-FD7D-4B26-A2FB-150CD9520C5C} = 134.245.1.36,134.245.10.7
FF - ProfilePath - c:\dokumente und einstellungen\user\Anwendungsdaten\Mozilla\Firefox\Profiles\4l6hlqja.default\
FF - plugin: c:\programme\Google\Google Earth\plugin\npgeplugin.dll
FF - plugin: c:\programme\Google\Google Updater\2.4.1536.6592\npCIDetect13.dll
FF - plugin: c:\programme\Google\Update\1.2.183.23\npGoogleOneClick8.dll
FF - plugin: c:\programme\Java\jre1.5.0_16\bin\NPJava11.dll
FF - plugin: c:\programme\Java\jre1.5.0_16\bin\NPJava12.dll
FF - plugin: c:\programme\Java\jre1.5.0_16\bin\NPJava13.dll
FF - plugin: c:\programme\Java\jre1.5.0_16\bin\NPJava14.dll
FF - plugin: c:\programme\Java\jre1.5.0_16\bin\NPJava32.dll
FF - plugin: c:\programme\Java\jre1.5.0_16\bin\NPJPI150_16.dll
FF - plugin: c:\programme\Java\jre1.5.0_16\bin\NPOJI610.dll
FF - HiddenExtension: Microsoft .NET Framework Assistant: {20a82645-c095-46ed-80e3-08825760534b} - c:\windows\Microsoft.NET\Framework\v3.5\Windows Presentation Foundation\DotNetAssistantExtension\
.
- - - - Entfernte verwaiste Registrierungseinträge - - - -

SafeBoot-Symantec Antvirus



**************************************************************************

catchme 0.3.1398 W2K/XP/Vista - rootkit/stealth malware detector by Gmer, http://www.gmer.net
Rootkit scan 2010-09-29 08:25
Windows 5.1.2600 Service Pack 3 NTFS

Scanne versteckte Prozesse...

Scanne versteckte Autostarteinträge...

Scanne versteckte Dateien...

Scan erfolgreich abgeschlossen
versteckte Dateien: 0

**************************************************************************
.
--------------------- Gesperrte Registrierungsschluessel ---------------------

[HKEY_LOCAL_MACHINE\software\Microsoft\Windows\CurrentVersion\Installer\UserData\LocalSystem\Components\Ø•€|ÿÿÿÿ•€|ù•6~*]
"7040110900063D11C8EF10054038389C"="C?\\WINDOWS\\system32\\FM20ENU.DLL"

[HKEY_LOCAL_MACHINE\software\Microsoft\Windows\CurrentVersion\Installer\UserData\LocalSystem\Components\h–€|ÿÿÿÿ¤•€|ù•6~*]
"7040110900063D11C8EF10054038389C"="C?\\WINDOWS\\system32\\FM20ENU.DLL"

[HKEY_LOCAL_MACHINE\software\Microsoft\Windows\CurrentVersion\Installer\UserData\LocalSystem\Components\€–€|ÿÿÿÿÀ•€|ù•6~*]
"7040110900063D11C8EF10054038389C"="C?\\WINDOWS\\system32\\FM20ENU.DLL"
.
Zeit der Fertigstellung: 2010-09-29  08:27:44
ComboFix-quarantined-files.txt  2010-09-29 06:27

Vor Suchlauf: 16 Verzeichnis(se), 145.056.735.232 Bytes frei
Nach Suchlauf: 19 Verzeichnis(se), 145.085.468.672 Bytes frei

WindowsXP-KB310994-SP2-Pro-BootDisk-DEU.exe
[boot loader]
timeout=2
default=multi(0)disk(0)rdisk(0)partition(2)\WINDOWS
[operating systems]
c:\cmdcons\BOOTSECT.DAT="Microsoft Windows Recovery Console" /cmdcons
UnsupportedDebug="do not select this" /debug
multi(0)disk(0)rdisk(0)partition(2)\WINDOWS="Microsoft Windows XP Professional" /noexecute=optin /fastdetect
[spybotsd]
timeout.old=30

- - End Of File - - 95E3AE545615D79AFED0CB389D902ED3


Jetzt scheint aber alles wieder "normal" zu laufen.

Identisches habe ich bei dem 2. befallenen Rechner gemacht und auch der läuft wieder.

Kannst Du noch etwas beunruhigendes im Logfile sehen?

Bis dann,

Andreas 

Da müssen wir nochmal ran. Wir müssen Scripten mit CF so wie hier abgebildet => http://tinyurl.com/3al24be

Nimm aber als Text für das CFScript das hier:

Hallo Cosinus,

ich habe jetzt Cofi Noch Mal mit Deinen Angaben durchlaufen lassen und poste das log:

das hat nicht geklappt, da ich die 16.000 Zeichen überschreite. Ich lade es also hoch: http://www.file-upload.net/download-2867419/Andreas-Kiel.zip.html.  Als 2. Anhang poste ich das log des 2. befallenen Rechners, aber der scheint mir nichts weiter eingefangen zu haben. Vielleicht kannst Du Dir die beiden logs noch Mal ansehen.

Sehe ich das richtig, daß jetzt alles O.K. ist?

Worauf muß man bei diesem Log eigentlich achten bzw. gibt es eine Doku dafür (falls das noch Mal vorkommt)?

Dankeschön, bis dann,

Andreas

CF ist so nicht dokumentiert, auf jeden Fallnicht öffentlich 
Ich weiß hört sich blöd an, aber das CF-Team will nicht, dass jeder die Doku lesen kann.

Edit: Wieso seh ich im Log nicht, dass Du das CFscript  nicht benutzt hast? Wurde CF danach nochmal aber normal ausgeführt?

Hallo Cosinus,

ich hatte das Loginscript nicht richtig benannt, sodaß ich eine Fehlermeldung bzgl. eines falsch benannten Scriptes erhielt. Dann habe ich es richtig gemacht und das Protokoll gepostet. Leider hatte ich erst am nächsten Tag gesehen, daß mein Post aufgrund der über 16000 Zeichen gar nicht angenommen wurde. Da ich inzwischen ja mehrere Logs hatte, wollte ich auf Nummer sicher gehen und habe CoFi (eigentlich noch Mal mit dem Script) noch Mal laufen lassen.

Sehe ich das richtig, daß Cofi bei Ausführung auf dem Desktop nach einem möglichen Script sucht und bei fehlerhafter Benennung anmeckert und bei richtiger Benennung dieses ohne weiteres Feedbacks benutzt?

Sehe ich das richtig, daß Cofi bei Ausführung auf dem Desktop  nach einem möglichen Script sucht und bei fehlerhafter Benennung anmeckert und bei richtiger Benennung dieses ohne weiteres Feedbacks benutzt?

hi, hab genau das gleiche problem.. vor einer woche haben weiterleitungen auf werbeseiten begonnen, die einfach laden obwohl man ein anderes suchergebniss anklickt. spybot startet jetzt auch nicht mehr. danke