Updateprobleme mit der Antivirensoftware

[LongM]

Hi Leute, folgendes problem:

Ich hatte kürzlich einen Trojaner der fleißig meine daten ins net gesendet hat und als antivir ihn endich erkannt hat war es schon zu spät.... Also erste Amtshandlung daten auf ner anderen platte gesichert und alles auf dem rechner platt gemacht und windows neu drauf, nun kommt das eigentliche problem; ich wollte zuerst wieder antivir auf den rechner installieren(hab ich auch erstma gemacht) aber das hatte probleme beim updaten und ich war eh nichtmehr so beigestert von diesem programm, da es ja das virus erst viel zu spät erkannt hat und dann auch nicht richtig entfernen konnte... also hab ich mich nach nem neuen programm umgeschaut und hab nur gutes über avast! gehört. Nur hat das programm auch ein problem es kann sich von alleine nicht updaten und wenn ich das update manuell ausführen will kommt eine windowsfehlermeldung:

- avast.setup hat ein Problem festgestellt und muss beendet werden. -

Ich war auf der herstellerseite hab da nach ner lösung gesucht und hab auch gegoogelt aber zu dem problem scheints keine ratschläge zu geben...

ich habe mir die setupdatei von avast! von 3 verschiedenen quellen heruntergeladen und jeweils neu installiert, hat auch nix gebracht.

Die winfirewall ist an und avast darf aufs web zugreifen, eine andere firewall hab ich net, außer im router das ist eine fritzbox.

Hoffe ihr könnt mir helfen, hab langsam den caffee auf !

 

[-CF-]

Du hast nicht geschrieben, welches Betriebssystem du benutzt. Diese Info ist aber unentbehrlich.

Es ist möglich, dass Malware den Virenscanner in seiner normalen Funktion beeinflusst. Da du neu installiert hast, ist das zumindest unwahrscheinlich.

Bist du mit Administrator-Rechten angemeldet?

 

[LongM]

Ich benutze Windows xp pro sp2 und unter Benutzerkonten steht bei meinem Profil Administrator!

Mir ist gerade noch was aufgefallen immer wenn ich irgendeine installation ausführe wird ein ordner mit der bezeichnung "install_temp_318" erstellt nicht mehr gelöscht? Ist das system evtl. fehlerhaft installiert worden?

 

[-CF-]

Kommt mir schon etwas verdächtig vor. Zu diesem Ordner lässt sich mit mit z.b. google.de schon was finden, leider aber nichts Konkretes. Sind auffallend viele russische Seiten dabei.

Wenn das Problem weiter besteht, kannst du mal ein Logfile von Hijackthis posten.

http://www.hijackthis.de/

 

[LongM]

Also Hijackthis sagt:

Logfile of HijackThis v1.99.1
Scan saved at 17:43:36, on 10.03.2008
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\Programme\Alwil Software\Avast4\aswUpdSv.exe
C:\Programme\Alwil Software\Avast4\ashServ.exe
C:\WINDOWS\system32\spoolsv.exe
C:\WINDOWS\SOUNDMAN.EXE
C:\PROGRA~1\ALWILS~1\Avast4\ashDisp.exe
C:\Programme\ICQ6\ICQ.exe
C:\WINDOWS\system32\nvsvc32.exe
C:\Programme\Alwil Software\Avast4\ashMaiSv.exe
C:\Programme\Alwil Software\Avast4\ashWebSv.exe
C:\PROGRA~1\Mozilla Firefox\firefox.exe
C:\WINDOWS\explorer.exe
C:\Dokumente und Einstellungen\KurtChose\Desktop\hijackthis_199\HijackThis.exe

O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\system32\NvCpl.dll,NvStartup
O4 - HKLM\..\Run: [nwiz] nwiz.exe /install
O4 - HKLM\..\Run: [NvMediaCenter] RUNDLL32.EXE C:\WINDOWS\system32\NvMcTray.dll,NvTaskbarInit
O4 - HKLM\..\Run: [SoundMan] SOUNDMAN.EXE
O4 - HKLM\..\Run: [avast!] C:\PROGRA~1\ALWILS~1\Avast4\ashDisp.exe
O4 - HKCU\..\Run: [ICQ] "C:\Programme\ICQ6\ICQ.exe" silent
O4 - HKCU\..\Run: [KillCopy] "C:\WINDOWS\system32\killcopy.exe" /kcresume /startup
O4 - Global Startup: Microsoft Office.lnk = C:\Programme\Microsoft Office\Office10\OSA.EXE
O8 - Extra context menu item: Nach Microsoft &Excel exportieren - res://C:\PROGRA~1\MICROS~2\Office10\EXCEL.EXE/3000
O9 - Extra button: ICQ6 - {E59EB121-F339-4851-A3BA-FE49C35617C2} - C:\Programme\ICQ6\ICQ.exe
O9 - Extra 'Tools' menuitem: ICQ6 - {E59EB121-F339-4851-A3BA-FE49C35617C2} - C:\Programme\ICQ6\ICQ.exe
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe
O16 - DPF: {0EB0E74A-2A76-4AB3-A7FB-9BD8C29F7F75} (CKAVWebScan Object) - http://www.kaspersky.com/kos/german/partner/de/kavwebscan_unicode.cab
O20 - Winlogon Notify: droute - C:\WINDOWS\SYSTEM32\droute.dll
O23 - Service: avast! iAVS4 Control Service (aswUpdSv) - ALWIL Software - C:\Programme\Alwil Software\Avast4\aswUpdSv.exe
O23 - Service: avast! Antivirus - ALWIL Software - C:\Programme\Alwil Software\Avast4\ashServ.exe
O23 - Service: avast! Mail Scanner - Unknown owner - C:\Programme\Alwil Software\Avast4\ashMaiSv.exe" /service (file missing)
O23 - Service: avast! Web Scanner - Unknown owner - C:\Programme\Alwil Software\Avast4\ashWebSv.exe" /service (file missing)
O23 - Service: NVIDIA Display Driver Service (NVSvc) - NVIDIA Corporation - C:\WINDOWS\system32\nvsvc32.exe

 

[LongM]

Achja den onlinescan bei kaspersky hab ich direkt nach der windowsinstallation gemacht, da war nichts gefunden worden...

 

[Seelenschneider]

...versuchs mal im abgesicherten Modus. Hier gibt es auch noch was zu PC-Sicherheit --> Klick mich

Seele

 

[LongM]

was soll ich im abgesicherten modus versuchen? Den onlinescan oder hijackthis?

€: Danke für das klickmich hab alles gemacht was da aufgeführt ist und der rootkitdetective hat zwei versteckte prozesse gefunden:

drout.dll
rotr.sys

die hängen beide auf C\WINDOWS\system32\

was mach ich jetzt? Ich habe bei diesem programm nur eine renameoption ?

 

[LongM]

Also das erste problem hat sich erledigt, hab einfach die avastquelle von gandalfs sicherheitsguide genommen und es ging, aber auch erst nachdem ich den Haxdoor backdoor Trojaner entfernen konnte... Also alles im grünen danke für die gedankenanstöße

 

[-CF-]

Du solltest dir vielleicht noch Gedanken machen, wie du dir die Teile eingefangen hast. Du hast ja Windows neu gemacht, und der Rechner war trotzdem bzw. kurze Zeit später infiziert...

 

[LongM]

Ja, das frag ich mich allerdings auch... ich vermute das irgendeine setupdatei von einem programm(browser, messenger etc.) infiziert war. Eine andere möglichkeit fällt mir gerade nicht ein

€: Für theorien hab ich immer ein offenes ohr

 

[LongM]

So nur zur info, das war ein trojaner der sich über eine email verbreitet hat. Ich weiß zwar jetzt nicht konkret dass ich eine verdächtige email geöffnet habe, aber das bestätig nur die tatsache das es auf jeden fall ein gut verstecktes virus war...