Prob. mit dem Netzugang - HJT Log anbei

[Nikita]

Der Befehl lautet

svv check >test.txt

Achso, die 1.x ist asbach. 2.2 ist derzeit die neuste Version..
http://www.invisiblethings.org/tools.html#SVV

[Miko13]

Hallo Nikita,

ich war berufsbedingt einige Tage nicht am Rechner, daher folgt das svv Ergebnis erst jetzt:

SYSTEM INFECTION LEVEL: 4
0 - BLUE
1 - GREEN
2 - YELLOW
3 - ORANGE
--> 4 - RED
5 - DEEPRED

SUSPECTED modifications detected. System is probably infected!
There is a chance however, although quite unlikely, that the changes are not introduced by a rootkit, but rather by kernel itself
Analyze the changes manually (/m) before proceeding with 'fix' command!

(ohjeeee.... *seufz*)

Schöne Grüße,
Miko

[Nikita]

das habe ich mir gedacht.
versuchen wir es mal einzukreisen: kopiere bitte alles ab, was erscheint
Beispiel:

WARNING: Service Table redirection detected
origKiServiceTbl: 0x804e26a8 - 0x804e2ba8
currKiServiceTbl: 0x81fb2b58 - 0x81fb2ffc

verifying module: [ ntdll.dll] 92%... |
verifying module: [ svv.exe] 92%... /
verifying module: [ ntdll.dll] 93%... -
verifying module: [ kernel32.dll] 94%... \

-------------------------------------------------------------------------------

Multi_AV
http://virus-protect.org/multiavtool.html
* klicke "3" - McAfee -- es erscheint ein leeres DOS-Fenster.
- man muss eingeben, was gescannt werden soll
- C:\Windows\System32 dann beginnt der Scan, man sollte dann auch scannen lassen:
- C:\Windows
- C:\

klicke "6 --> der PC wird neustarten --> suche die 3 Scanreporte in C:\AV-CLS und kopiere sie

[Miko13]

Hallo Nikita,

in der test.txt von heute morgen war nichts außer dem enthalten, was ich hier gepostet habe.

Ich habe dann versucht, das Programm heute abend nochmal durchlaufen zu lassen, allerdings passiert jetzt folgendes:

1. Ich erhalte auf der DOS-Ebene 'Error Code: Getting List of Kernel Modules'

oder (häufiger):

2. Systemabsturz - Blue Screen Meldung: PFN_List_Corrupt (Tech-Info: 0x0000004E (0x0000000, 0x00000689, 0x000153D8, 0x00000000))

*argh*

Schöne Grüße,
Miko

[Miko13]

So... und weil auch sonst alles gut läuft bekomme ich bei Multi-AV nach dem Eingeben der '3' die Meldung 'update.ini not opened for use', wonach sich das DOS-Fenster wieder schließt und ich wieder auf der Auswahlebene bin. Leider finde ich auch nirgendwo einen anderen Link zu der Software.

Verzweifelte Grüße
Miko

[Miko13]

Hallo Nikita,

jetzt hat es auf einmal geklappt mit svv. Nachdem ich mir die test.txt dann auch mal genauer angesehen habe, ist mir auch die erste Zeile aufgefallen, die ich heute morgen wohl übersehen haben muss:


verifying module: [ ntoskrnl.exe] 0%... -
verifying module: [ ftdisk.sys] 10%... \
verifying module: [ disk.sys] 13%... \
verifying module: [ Ntfs.sys] 17%... /
verifying module: [ NDIS.sys] 18%... -
verifying module: [ TDI.SYS] 43%... |
verifying module: [ tcpip.sys] 65%... /
verifying module: [ afd.sys] 65%... -
verifying module: [ ntdll.dll] 93%... \
verifying module: [ kernel32.dll] 94%... |
verifying module: [ PSAPI.DLL] 94%... /
verifying module: [ WS2_32.dll] 95%... -
verifying module: [ ADVAPI32.dll] 97%... /
verifying module: [ USER32.dll] 99%... \

ntoskrnl.exe (804d7000 - 806fe000)... suspected! (verdict = 4).

Ich hoffe, Du kannst damit mehr anfangen als ich!

Schöne Grüße,
Miko

[Nikita]

es kann sein, dass die ntoskrnl.exe defekt oder verseucht ist.
Du solltest versuchen, sie durch eine saubere von der XP-CD zu ersetzen.

Defekte ntoskrnl.exe wiederherstellen

Das ändern des Bootscreens erfordert eine Modifizierung oder das Ersetzen der ntoskrnl.exe.
Wenn dabei etwas daneben geht, bootet XP nicht mehr.

Hier die Lösung: Zunächst muss der Rechner von der CD gebootet werden. Bei Aufforderung die R-Taste drücken um in die Wiederherstellungskonsole zu gelangen. Nun muss in das System32 Verzeichnis gewechselt werden.Danach wird die Datei von der CD kopiert.
Die Befehle müssen Sie dazu in dieser Reihenfolge eingeben:

cd Windows\system32
ren ntoskrnl.exe ntoskrnl.old (benennt die derzeitige Datei um)
expand x\i386\ntoskrnl.ex_ (x= eigenen CD-Romlaufwerksbuchstabe einsetzen)
exit
Die CD entfernen und den Rechner neu booten. Die Datei ist wiederhergestellt.
http://www.supernature-forum.de/vbb/arc ... 25399.html

Da ntoskrnl.exe unter anderem den Netbios-Traffic regelt, solltest du netbios abschalten, falls du an einem Einzelplatzrechner sitzt

Allerdings wäre es eine Maßnahme, überhaupt unbenötigte Dienste abzuschalten. Bei einem Einzelplatzsystem hilft das Script unter
http://www.ntsvcfg.de/

-------------------------------------------------------------------------------------------------


Multi_AV
http://virus-protect.org/multiavtool.html
scanne mit den anderen drei scannern (und berichte), du solltest die Internetverbindung aktiv haben, damit sich die Tools updaten koennen)

[Miko13]

Hallo Nikita,

ich habe heute morgen die G-Data Software neu aufgespielt, da ich nach dem Start des Rechners im Minutentakt 'Buffer-Overrun'-Meldungen in Bezug auf den AVK-Wächter bekam.

Seitdem funktioniert Multi-AV auch mit Option 3, daher hier die Scanergebnisse:

1. Sys32:

03/09/2006 14:43:37

Scanning C: [VAIO]
Scanning C:\WINDOWS\SYSTEM32\*.*

Summary report on C:\WINDOWS\SYSTEM32\*.*
File(s)
Total files: ........... 6620
Clean: ................. 6608
Possibly Infected: ..... 0
Cleaned: ............... 0
Non-critical Error(s): 1

Time: 00:05.28

2. Windows:

03/09/2006 14:51:50

Scanning C: [VAIO]
Scanning C:\WINDOWS\*.*

Summary report on C:\WINDOWS\*.*
File(s)
Total files: ........... 65521
Clean: ................. 65503
Possibly Infected: ..... 0
Cleaned: ............... 0
Non-critical Error(s): 1


Time: 00:31.14

3. C
Virus Scan Report File
Virus Scan Information

McAfee VirusScan for Win32 v4.40.0
Copyright (c) 1992-2004 Networks Associates Technology Inc. All rights reserved.
(408) 988-3832 LICENSED COPY - Sep 23 2004

Scan engine v4.4.00 for Win32.
Virus data file v4713 created Mar 08 2006
Scanning for 181921 viruses, trojans and variants.

Virus Scan Results



03/09/2006 15:39:02

Scanning C: [VAIO]

C:\svv.sys ...
Found trojan or variant New Malware.z !!!
Please send a copy of the file to McAfee
The file or process has been deleted.

Scanning C:\*.*
C:\Dokumente und Einstellungen\Miko\Desktop\Security\svv\svv-1.0-public.zip\SVV.SYS ...
Found trojan or variant New Malware.z !!!
Please send a copy of the file to McAfee

C:\Dokumente und Einstellungen\Miko\Desktop\Security\svv\svv.sys ...
Found trojan or variant New Malware.z !!!
Please send a copy of the file to McAfee
The file or process has been deleted.

C:\Dokumente und Einstellungen\Miko\Desktop\Security\svv-2.2-bin.zip\SVV.SYS ...
Found trojan or variant New Malware.z !!!
Please send a copy of the file to McAfee

C:\Dokumente und Einstellungen\Miko\Eigene Dateien\Handy\Software\Videocon\Patch mpgable broadcaster.exe\Patch mpgable broadcaster.exe ...

Found potentially unwanted program Tool-TPatch.
The file or process has been deleted.

Summary report on C:\*.*
File(s)
Total files: ........... 231867
Clean: ................. 231766
Possibly Infected: ..... 4
Cleaned: ............... 0
Deleted: ............... 3
Non-critical Error(s): 3

Time: 00:53.29

Soviel dazu, um die ntoskrnl.exe kümmere ich mich jetzt...

Schöne Grüße,
Miko

[Miko13]

Ich habe es fast befürchtet:

Da ich einen Vaio Desktop habe, besteht meine Windowsversion nur aus einer sog. 'Vaio Sicherheitskopie und Dokumentationsdisc'. D.h. ich kann mein System entweder komplett wieder herstellen oder ich kann es sein lassen - andere Optionen gibt es nicht. Ich werde noch mal im Büro nachsehen, ob der dortige Rechner für eine einzelne Windowsversion. Sollte das nicht der Fall sein - kann ich diese Datei auch einzeln von einem anderen System kopieren oder muss sie genau auf mein System abgestimmt sein, d.h. wirklich installiert werden?

Schöne Grüße,
Miko

[Nikita]

Multi_AV hat mein schoenes Tool [svv-1.0-public.zip\SVV.SYS] als Virus erkannt... nun ja.. ansonsten nichts gefunden...

die ntoskrnl.exe ...sollte schon zu deinem System gehoeren....

---------------------------------------------------------------------------------------

deine XP-CD zur Hand haben (hast du eine ?? )

Start - Ausführen - schreib/kopiere rein:

sfc /scannow

nun wird Windows auf Fehler überprüft.