Virus entdeckt, Systemwiederherstellung gescheitert usw

MANOLYA · 18.02.2011, 14:23

Guten Tag an alle,

ich wollte den Grund für das langsame Hochfahren meines Notebooks und den Grund für die hohe CPU-Auslastung herausfinden, da habe ich im Internet mögliche Gründe gefunden wie Virus etc.
So habe ich mit dem Spyware Terminator eine komplette Prüfung durchgeführt. Es gab auch einige Funde, die von SpywareTerminator entfernt wurden (die aber von AntiVir nicht entdeckt wurden).
Hat aber auch nichts gebracht.
Die CPU-Auslatung spielt immer noch verrückt- Bsp von 2% auf 100% oder liegt im höheren Bereich.
Als letzte Lösung dachte ich mir eine Systemwiederherstellung mit dem Application&Support-Disc würde das Problem lösen, ging nicht->folgende Meldung: Recovery failed.
Dann habe ich es mit der Recovery Disc versucht, hat auch nicht geklappt.
-> folgende Meldung: Stop: c000021a {Fatal Sytem Error} the initial session process or system process terminated unexpectedly with a status of 0x00000000 (0xc0000001 0x0010034C) The Sytem has been shut down.

Ich kann aber mein Notebook immernoch nutzen.

Ich hoffe Ihr könnt mir weiterhelfen. Oder soll ich es direkt an die Firma schicken, habe noch Garantie.
Aber hab bedenken, da der Fehler bzw. Virus durch meine Benutzung verursacht sein könnte und dass ich dann bezahlen muss.

Was soll ich machen?

Danke Euch im Voraus.

Gruß

Manolya

P.S.
Medion MD 96850
Vista Home Premium 32-Bit

**Leonixx** · 18.02.2011, 15:53

Hi,

bitte Anleitung abarbeiten.

http://www.modernboard.de/viren-wuer...-beachten.html

MANOLYA · 18.02.2011, 17:10

Der Ccleaner verunsichert mich, ich weiß nicht, was ich alles löschen soll bzw. muss. Ich will nichts falsches löschen.

Zitat:

Zweiter Schritt
Malwarebytes laden wie hier beschrieben. Komplett Scan durchführen. Nicht vergessen manuell die Datenbank upzudaten. Logfile posten.

Datenbank updaten

Was muss ich ganau darunter verstehen?

**Leonixx** · 18.02.2011, 17:16

Ccleaner, einfach auf Starte Cleaner klicken, damit temporärer Müll gelöscht wird.

Malwarebytes muss man manuell Updaten. Bei der ersten Installation bzw. Start fragt das Programm nach, ob ein Update durchgeführt werden soll. Das ist das Signaturupdate um Schädlinge zu identifizieren. Wenn nicht dann Programm öffnen und auf den Reiter Aktualisierung, Suche nach Aktualisierung klicken.

MANOLYA · 18.02.2011, 23:42

Ok mit dem Ccleaner habe ich einige Dinge gelöscht, ich weiß nicht ob es zu viele oder zu wenige waren...

Malware durchgeführt, ist als Anhang dabei.

Gleich komm RSIT. Und hier sind die 2 Dateien.

Und was nun?

P.S. Soll ich wieder die installierten Programme deinstallieren bzw was sollte ich auf jeden Fall behalten?!

**Leonixx** · 19.02.2011, 06:51

Bei Virustotal prüfen. Anleitung in meiner Sig.
C:\Windows\system32\MFH264Dec.dll

Online Scan mit Eset durchführen. Anleitung abarbeiten wie beschrieben. Poste Logfile.

Kostenlose Online Scanner

MANOLYA · 19.02.2011, 15:15

0 VT Community user(s) with a total of 0 reputation credit(s) say(s) this sample is goodware. 0 VT Community user(s) with a total of 0 reputation credit(s) say(s) this sample is malware.
File name:
file-1842450_dll
Submission date:
2011-02-12 17:52:55 (UTC)
Current status:
finished
Result:
0 /40 (0.0%)

Antivirus Version Last Update Result
AhnLab-V3 2011.02.06.00 2011.02.06 -
AntiVir 7.11.3.52 2011.02.12 -
Antiy-AVL 2.0.3.7 2011.02.12 -
Avast 4.8.1351.0 2011.02.12 -
Avast5 5.0.677.0 2011.02.12 -
AVG 10.0.0.1190 2011.02.12 -
BitDefender 7.2 2011.02.12 -
CAT-QuickHeal 11.00 2011.02.12 -
ClamAV 0.96.4.0 2011.02.12 -
Commtouch 5.2.11.5 2011.02.12 -
Comodo 7662 2011.02.12 -
DrWeb 5.0.2.03300 2011.02.12 -
eTrust-Vet 36.1.8154 2011.02.11 -
F-Prot 4.6.2.117 2011.02.04 -
F-Secure 9.0.16160.0 2011.02.12 -
Fortinet 4.2.254.0 2011.02.12 -
GData 21 2011.02.12 -
Ikarus T3.1.1.97.0 2011.02.12 -
Jiangmin 13.0.900 2011.02.12 -
K7AntiVirus 9.83.3836 2011.02.12 -
McAfee 5.400.0.1158 2011.02.12 -
McAfee-GW-Edition 2010.1C 2011.02.12 -
Microsoft 1.6502 2011.02.12 -
NOD32 5868 2011.02.12 -
Norman 6.07.03 2011.02.12 -
nProtect 2011-01-27.01 2011.02.02 -
Panda 10.0.3.5 2011.02.12 -
PCTools 7.0.3.5 2011.02.12 -
Prevx 3.0 2011.02.12 -
Rising 23.44.05.00 2011.02.12 -
Sophos 4.61.0 2011.02.12 -
SUPERAntiSpyware 4.40.0.1006 2011.02.12 -
Symantec 20101.3.0.103 2011.02.12 -
TheHacker 6.7.0.1.126 2011.02.10 -
TrendMicro 9.200.0.1012 2011.02.12 -
TrendMicro-HouseCall 9.200.0.1012 2011.02.12 -
VBA32 3.12.14.3 2011.02.11 -
VIPRE 8394 2011.02.12 -
ViRobot 2011.2.12.4307 2011.02.12 -
VirusBuster 13.6.196.0 2011.02.12 -

Antivirus Version Last Update Result
AhnLab-V3 2011.02.06.00 2011.02.06 -
AntiVir 7.11.3.52 2011.02.12 -
Antiy-AVL 2.0.3.7 2011.02.12 -
Avast 4.8.1351.0 2011.02.12 -
Avast5 5.0.677.0 2011.02.12 -
AVG 10.0.0.1190 2011.02.12 -
BitDefender 7.2 2011.02.12 -
CAT-QuickHeal 11.00 2011.02.12 -
ClamAV 0.96.4.0 2011.02.12 -
Commtouch 5.2.11.5 2011.02.12 -
Comodo 7662 2011.02.12 -
DrWeb 5.0.2.03300 2011.02.12 -
eTrust-Vet 36.1.8154 2011.02.11 -
F-Prot 4.6.2.117 2011.02.04 -
F-Secure 9.0.16160.0 2011.02.12 -
Fortinet 4.2.254.0 2011.02.12 -
GData 21 2011.02.12 -
Ikarus T3.1.1.97.0 2011.02.12 -
Jiangmin 13.0.900 2011.02.12 -
K7AntiVirus 9.83.3836 2011.02.12 -
McAfee 5.400.0.1158 2011.02.12 -
McAfee-GW-Edition 2010.1C 2011.02.12 -
Microsoft 1.6502 2011.02.12 -
NOD32 5868 2011.02.12 -
Norman 6.07.03 2011.02.12 -
nProtect 2011-01-27.01 2011.02.02 -
Panda 10.0.3.5 2011.02.12 -
PCTools 7.0.3.5 2011.02.12 -
Prevx 3.0 2011.02.12 -
Rising 23.44.05.00 2011.02.12 -
Sophos 4.61.0 2011.02.12 -
SUPERAntiSpyware 4.40.0.1006 2011.02.12 -
Symantec 20101.3.0.103 2011.02.12 -
TheHacker 6.7.0.1.126 2011.02.10 -
TrendMicro 9.200.0.1012 2011.02.12 -
TrendMicro-HouseCall 9.200.0.1012 2011.02.12 -
VBA32 3.12.14.3 2011.02.11 -
VIPRE 8394 2011.02.12 -
ViRobot 2011.2.12.4307 2011.02.12 -
VirusBuster 13.6.196.0 2011.02.12 -
Additional information
Show all
MD5 : bc5e45cb2304afb4d2ef2fd9c41299af
SHA1 : bb026d4bf5d4b4311f2bb0f219eaa1dd9efd65ae
SHA256: b5a147100b0307b1a7653fb654847ef8ceb16d1f28415dbcd7 308da75293fd83
ssdeep: 24576:vSJXrttRYo1PdmT5mqC3grn4oEsoULDAWvNUxcAYn:KF nHdkCQtp
File size : 979456 bytes
First seen: 2011-02-08 19:37:20
Last seen : 2011-02-12 17:52:55
Magic: PE32 executable for MS Windows (DLL) (console) Intel 80386 32-bit
TrID:
DirectShow filter (65.5%)
Win64 Executable Generic (27.8%)
Win32 Executable Generic (2.7%)
Win32 Dynamic Link Library (generic) (2.4%)
Generic Win/DOS Executable (0.6%)
sigcheck:
publisher....: Microsoft Corporation
copyright....: (c) Microsoft Corporation. All rights reserved.
product......: Microsoft_ Windows_ Operating System
description..: Microsoft DTV-DVD Video Decoder
original name: MSMPEG2VDEC.dll
internal name: MSMPEG2VDEC.dll
file version.: 7.0.6002.18392 (vistasp2_gdr.110120-0254)
comments.....: n/a
signers......: -
signing date.: -
verified.....: Unsigned
PEiD: -
PEInfo: PE structure information

[[ basic data ]]
entrypointaddress: 0xC77B2
timedatestamp....: 0x4D38436C (Thu Jan 20 14:15:08 2011)
machinetype......: 0x14C (Intel I386)

[[ 6 section(s) ]]
name, viradd, virsiz, rawdsiz, ntropy, md5
.text, 0x1000, 0xD892D, 0xD8A00, 6.54, 276a97c04134b7204f9ee097fa2c7e33
RT_CODE, 0xDA000, 0xF5E4, 0xF600, 6.23, 71c394094aa0da866d60ee5789a7b54c
.data, 0xEA000, 0x15C8, 0xE00, 3.51, 5c64721e0a8bb7934ebf1a98b926a62f
RT_DATA, 0xEC000, 0x1508, 0x1600, 4.3, 3f850ff710c55480014c8ad067b62b90
.rsrc, 0xEE000, 0x420, 0x600, 2.57, f56e541165c3f5f1e04091553f265cc8
.reloc, 0xEF000, 0x43B4, 0x4400, 5.6, 84ee3c332b71f23d0283fe543aed03f4

[[ 6 import(s) ]]
advapi32.dll: RegQueryValueExW, RegCloseKey, TraceEvent, RegOpenKeyExW
evr.dll: MFCreateVideoSampleFromSurface, MFCreateVideoMediaType, MFCreateDXSurfaceBuffer
kernel32.dll: FreeLibrary, LoadLibraryW, InterlockedExchange, Sleep, InterlockedCompareExchange, QueryPerformanceCounter, InterlockedIncrement, GetCurrentThreadId, GetCurrentProcessId, GetSystemTimeAsFileTime, TerminateProcess, GetCurrentProcess, UnhandledExceptionFilter, SetUnhandledExceptionFilter, InterlockedDecrement, DisableThreadLibraryCalls, GetVersionExW, InterlockedPushEntrySList, QueryDepthSList, InterlockedPopEntrySList, InitializeSListHead, CreateThread, ResumeThread, GetExitCodeThread, SetThreadAffinityMask, GetProcessAffinityMask, GetTickCount, ResetEvent, EnterCriticalSection, LeaveCriticalSection, DeleteCriticalSection, InitializeCriticalSection, SetEvent, WaitForMultipleObjects, CloseHandle, SetThreadPriority, GetThreadPriority, GetCurrentThread, GetProcAddress, WaitForSingleObject, CreateEventW, GetEnvironmentVariableW, InterlockedExchangeAdd
mfplat.dll: MFCreateAttributes, MFCreateSample, MFCreateMemoryBuffer
msvcrt.dll: _CIlog, _ftol2_sse, _vsnwprintf, _terminate@@YAXXZ, _purecall, __CxxFrameHandler3, memcpy, _except_handler4_common, _adjust_fdiv, _amsg_exit, _initterm, _XcptFilter, free, _endthreadex, calloc, _aligned_free, _aligned_malloc, rand, srand, qsort, _callnewh, malloc, memset, _ftol2
ole32.dll: PropVariantClear

[[ 2 export(s) ]]
DllCanUnloadNow, DllGetClassObject
ExifTool:
file metadata
CharacterSet: Unicode
CodeSize: 950272
CompanyName: Microsoft Corporation
EntryPoint: 0xc77b2
FileDescription: Microsoft DTV-DVD Video Decoder
FileFlagsMask: 0x003f
FileOS: Windows NT 32-bit
FileSize: 956 kB
FileSubtype: 0
FileType: Win32 DLL
FileVersion: 7.0.6002.18392 (vistasp2_gdr.110120-0254)
FileVersionNumber: 7.0.6002.18392
ImageVersion: 6.0
InitializedDataSize: 30208
InternalName: MSMPEG2VDEC.dll
LanguageCode: English (U.S.)
LegalCopyright: Microsoft Corporation. All rights reserved.
LinkerVersion: 8.0
MIMEType: application/octet-stream
MachineType: Intel 386 or later, and compatibles
OSVersion: 6.0
ObjectFileType: Dynamic link library
OriginalFilename: MSMPEG2VDEC.dll
PEType: PE32
ProductName: Microsoft Windows Operating System
ProductVersion: 7.0.6002.18392
ProductVersionNumber: 7.0.6002.18392
Subsystem: Windows command line
SubsystemVersion: 6.0
TimeStamp: 2011:01:20 15:15:08+01:00
UninitializedDataSize: 0
Symantec reputation:Suspicious.Insight

Teil 2 kommt auch.

O16 - DPF: {7530BFB8-7293-4D34-9923-61A11451AFC5} - http://download.eset.com/special/eos/OnlineScanner.cab muss ich das machen?

Noch eine Frage, haben andere Zugriff auf mein Notebook bzw. auch auf mein Internet. Zbsp das jmd anderes die Kontrolle hat oder sowas in der Art?
Wenn ja, was soll ich mit dem Internet machen, da ein PC via Kabel angeschlossen ist, also ist der PC auch gefährdet??

MANOLYA · 19.02.2011, 18:15

Hier ist die Auswertung bzw. log-Datei.

Nochmal die Frage muss ich das machen / was ist das??
O16 - DPF: {7530BFB8-7293-4D34-9923-61A11451AFC5} - http://download.eset.com/special/eos/OnlineScanner.cab

Noch eine Frage, haben andere Zugriff auf mein Notebook bzw. auch auf mein Internet. Zbsp das jmd anderes die Kontrolle hat oder sowas in der Art?
Wenn ja, was soll ich mit dem Internet machen, da ein PC via Kabel angeschlossen ist, also ist der PC auch gefährdet??

Zitat:

Zitat von MANOLYA

P.S. Soll ich wieder die installierten Programme (RSIIT, Malwarebytes, Ccleaner) deinstallieren bzw was sollte ich auf jeden Fall behalten?!

**Leonixx** · 19.02.2011, 20:09

Zitat:

P.S. Soll ich wieder die installierten Programme (RSIIT, Malwarebytes, Ccleaner) deinstallieren bzw was sollte ich auf jeden Fall behalten?!

RSIT ist nur zur Auswertung gedacht. Ccleaner und Malwarebytes behalten.

Die Funde sehen mir doch eher nach Fehlalarm aus.

Wie sehen die Probleme aus?

MANOLYA · 19.02.2011, 20:16

1.

Zitat:

Zitat von Leonixx

Die Funde sehen mir doch eher nach Fehlalarm aus.

Inwiefern??

2.

Zitat:

Zitat von Leonixx

Wie sehen die Probleme aus?

Wie bereits geseagt, ich habe im Internet nach den Gründen gesucht, warum mein Notebook langsam hoch fährt, Ursachen könnten unter anderem Viren, Trojaner etc. sein.
Und der Spyware Terminater hat auch etwas gefunden und dann wieder entfernt.
Ich habe auch eine Systemwiederherstellung veruscht , ging nicht

Zitat:

Dann habe ich es mit der Recovery Disc versucht, hat auch nicht geklappt.
-> folgende Meldung: Stop: c000021a {Fatal Sytem Error} the initial session process or system process terminated unexpectedly with a status of 0x00000000 (0xc0000001 0x0010034C) The Sytem has been shut down.

Nun ist meine Frage,liegt es an den Funden bzw. Trojaner oder warum kann ich keine Sytemwiederherstellung führen??

3.

Zitat:

Bei mehr als 3-5 Trojaner auf dem System, sollte man sein System neu installieren.

Werden Schädlinge gefunden, die die DNS im System umleiten und so der PC von der Ukraine ferngesteuert wird, sollte sofort das System neu installiert werden, sowie der Router zurückgesetzt werden und die Zugangsdaten neu eingeben.
Zudem sollte dann folgendes gemacht werden.
Alle Passwörter zu Onlineaktivitäten ändern.
• persönliche Kennwort (für den Zugang)
• Passwort (Webkennwort)
• E-Mail-Passwort
• FTP-Passwort
• WLAN-Verschlüsselung
• Dienste kontrollieren, ob dort Premiumdienste unerlaubt gebucht wurden.
Niemals gleiche Passwörter verwenden für Mail und Ebay, Skype, Messenger usw.
Denn ein Mailaccount ist schneller gehackt als man denkt und dann werden die Passwörter in etlichen Online-Portalen durchprobiert.

Bin ich davon betroffen?