[Windows 7-64 bit] Virus?

Hallo!

Habe mein AntiVira mal durchlaufen lassen und es wurde auch etwas gefunden:

EXP/Pidief.aci exploit

Was mach ich denn da???

[AHT]

LOG vom Scan posten.

also das kam beim antivira ding raus:



Avira AntiVir Personal
Report file date: Mittwoch, 24. August 2011 16:17

Scanning for 3289682 virus strains and unwanted programs.

The program is running as an unrestricted full version.
Online services are available:

Licensee : Avira AntiVir Personal - Free Antivirus
Serial number : 0000149996-ADJIE-0000001
Platform : Windows 7 x64
Windows version : (plain) [6.1.7600]
Boot mode : Normally booted
Username : SYSTEM
Computer name : HP-PC

Version information:
BUILD.DAT : 10.2.0.700 35934 Bytes 21.07.2011 17:12:00
AVSCAN.EXE : 10.3.0.7 484008 Bytes 31.07.2011 08:29:14
AVSCAN.DLL : 10.0.5.0 47464 Bytes 31.07.2011 08:29:14
LUKE.DLL : 10.3.0.5 45416 Bytes 31.07.2011 08:29:14
LUKERES.DLL : 10.0.0.1 12648 Bytes 10.02.2010 22:40:49
AVSCPLR.DLL : 10.3.0.7 119656 Bytes 31.07.2011 08:29:15
AVREG.DLL : 10.3.0.9 88833 Bytes 31.07.2011 08:29:15
VBASE000.VDF : 7.10.0.0 19875328 Bytes 06.11.2009 08:05:36
VBASE001.VDF : 7.11.0.0 13342208 Bytes 14.12.2010 05:53:55
VBASE002.VDF : 7.11.3.0 1950720 Bytes 09.02.2011 05:53:56
VBASE003.VDF : 7.11.5.225 1980416 Bytes 07.04.2011 10:36:57
VBASE004.VDF : 7.11.8.178 2354176 Bytes 31.05.2011 10:18:22
VBASE005.VDF : 7.11.10.251 1788416 Bytes 07.07.2011 08:50:46
VBASE006.VDF : 7.11.13.60 6411776 Bytes 16.08.2011 13:30:18
VBASE007.VDF : 7.11.13.61 2048 Bytes 16.08.2011 13:30:18
VBASE008.VDF : 7.11.13.62 2048 Bytes 16.08.2011 13:30:18
VBASE009.VDF : 7.11.13.63 2048 Bytes 16.08.2011 13:30:18
VBASE010.VDF : 7.11.13.64 2048 Bytes 16.08.2011 13:30:18
VBASE011.VDF : 7.11.13.65 2048 Bytes 16.08.2011 13:30:18
VBASE012.VDF : 7.11.13.66 2048 Bytes 16.08.2011 13:30:18
VBASE013.VDF : 7.11.13.95 166400 Bytes 17.08.2011 13:30:19
VBASE014.VDF : 7.11.13.125 209920 Bytes 18.08.2011 23:37:30
VBASE015.VDF : 7.11.13.157 184832 Bytes 22.08.2011 14:16:31
VBASE016.VDF : 7.11.13.201 128000 Bytes 24.08.2011 14:16:31
VBASE017.VDF : 7.11.13.202 2048 Bytes 24.08.2011 14:16:31
VBASE018.VDF : 7.11.13.203 2048 Bytes 24.08.2011 14:16:31
VBASE019.VDF : 7.11.13.204 2048 Bytes 24.08.2011 14:16:31
VBASE020.VDF : 7.11.13.205 2048 Bytes 24.08.2011 14:16:31
VBASE021.VDF : 7.11.13.206 2048 Bytes 24.08.2011 14:16:31
VBASE022.VDF : 7.11.13.207 2048 Bytes 24.08.2011 14:16:31
VBASE023.VDF : 7.11.13.208 2048 Bytes 24.08.2011 14:16:31
VBASE024.VDF : 7.11.13.209 2048 Bytes 24.08.2011 14:16:31
VBASE025.VDF : 7.11.13.210 2048 Bytes 24.08.2011 14:16:32
VBASE026.VDF : 7.11.13.211 2048 Bytes 24.08.2011 14:16:32
VBASE027.VDF : 7.11.13.212 2048 Bytes 24.08.2011 14:16:32
VBASE028.VDF : 7.11.13.213 2048 Bytes 24.08.2011 14:16:32
VBASE029.VDF : 7.11.13.214 2048 Bytes 24.08.2011 14:16:32
VBASE030.VDF : 7.11.13.215 2048 Bytes 24.08.2011 14:16:32
VBASE031.VDF : 7.11.13.216 2048 Bytes 24.08.2011 14:16:32
Engineversion : 8.2.6.32
AEVDF.DLL : 8.1.2.1 106868 Bytes 21.04.2011 05:53:28
AESCRIPT.DLL : 8.1.3.74 1622393 Bytes 05.08.2011 15:49:32
AESCN.DLL : 8.1.7.2 127349 Bytes 21.04.2011 05:53:27
AESBX.DLL : 8.2.1.34 323957 Bytes 15.06.2011 22:54:00
AERDL.DLL : 8.1.9.13 639349 Bytes 30.07.2011 08:51:03
AEPACK.DLL : 8.2.9.5 676214 Bytes 30.07.2011 08:51:03
AEOFFICE.DLL : 8.1.2.13 201083 Bytes 30.07.2011 08:51:02
AEHEUR.DLL : 8.1.2.155 3617144 Bytes 18.08.2011 13:30:22
AEHELP.DLL : 8.1.17.7 254327 Bytes 30.07.2011 08:50:59
AEGEN.DLL : 8.1.5.7 401778 Bytes 05.08.2011 15:48:47
AEEMU.DLL : 8.1.3.0 393589 Bytes 21.04.2011 05:53:14
AECORE.DLL : 8.1.22.4 196983 Bytes 30.07.2011 08:50:59
AEBB.DLL : 8.1.1.0 53618 Bytes 21.04.2011 05:53:14
AVWINLL.DLL : 10.0.0.0 19304 Bytes 21.04.2011 05:53:36
AVPREF.DLL : 10.0.3.2 44904 Bytes 31.07.2011 08:29:14
AVREP.DLL : 10.0.0.10 174120 Bytes 31.07.2011 08:29:15
AVARKT.DLL : 10.0.26.1 255336 Bytes 31.07.2011 08:29:14
AVEVTLOG.DLL : 10.0.0.9 203112 Bytes 31.07.2011 08:29:14
SQLITE3.DLL : 3.6.19.0 355688 Bytes 17.06.2010 13:27:22
AVSMTP.DLL : 10.0.0.17 63848 Bytes 21.04.2011 05:53:36
NETNT.DLL : 10.0.0.0 11624 Bytes 21.04.2011 05:53:46
RCIMAGE.DLL : 10.0.0.35 2589544 Bytes 31.07.2011 08:29:14
RCTEXT.DLL : 10.0.64.0 97640 Bytes 31.07.2011 08:29:14

Configuration settings for the scan:
Jobname.............................: Complete system scan
Configuration file..................: C:\Program Files (x86)\Avira\AntiVir Desktop\sysscan.avp
Logging.............................: Default
Primary action......................: interactive
Secondary action....................: ignore
Scan master boot sector.............: on
Scan boot sector....................: on
Boot sectors........................: C:, D:,
Process scan........................: on
Extended process scan...............: on
Scan registry.......................: on
Search for rootkits.................: on
Integrity checking of system files..: off
Scan all files......................: All files
Scan archives.......................: on
Recursion depth.....................: 20
Smart extensions....................: on
Macro heuristic.....................: on
File heuristic......................: Advanced

Start of the scan: Mittwoch, 24. August 2011 16:17

Starting search for hidden objects.

The scan of running processes will be started
Scan process 'avscan.exe' - '76' Module(s) have been scanned
Scan process 'avscan.exe' - '30' Module(s) have been scanned
Scan process 'hpqToaster.exe' - '44' Module(s) have been scanned
Scan process 'Com4QLBEx.exe' - '27' Module(s) have been scanned
Scan process 'hpqwmiex.exe' - '34' Module(s) have been scanned
Scan process 'iTunesHelper.exe' - '74' Module(s) have been scanned
Scan process 'avgnt.exe' - '57' Module(s) have been scanned
Scan process 'hpwuschd2.exe' - '20' Module(s) have been scanned
Scan process 'NEXON_EU_Downloader_Engine.exe' - '47' Module(s) have been scanned
Scan process 'jusched.exe' - '26' Module(s) have been scanned
Scan process 'QLBCtrl.exe' - '54' Module(s) have been scanned
Scan process 'SeaPort.exe' - '66' Module(s) have been scanned
Scan process 'RichVideo.exe' - '24' Module(s) have been scanned
Scan process 'LSSrvc.exe' - '25' Module(s) have been scanned
Scan process 'svchost.exe' - '30' Module(s) have been scanned
Scan process 'mDNSResponder.exe' - '36' Module(s) have been scanned
Scan process 'AppleMobileDeviceService.exe' - '49' Module(s) have been scanned
Scan process 'LightScribeControlPanel.exe' - '34' Module(s) have been scanned
Scan process 'avguard.exe' - '67' Module(s) have been scanned
Scan process 'svchost.exe' - '63' Module(s) have been scanned
Scan process 'sched.exe' - '50' Module(s) have been scanned

Starting master boot sector scan:
Master boot sector HD0
[INFO] No virus was found!
Master boot sector HD1
[INFO] No virus was found!

Start scanning boot sectors:
Boot sector 'C:\'
[INFO] No virus was found!
Boot sector 'D:\'
[INFO] No virus was found!

Starting to scan executable files (registry).
The registry was scanned ( '242' files ).


Starting the file scan:

Begin scan in 'C:\'
C:\Users\HP\AppData\Local\Microsoft\Windows\Temporary Internet Files\Content.IE5\2V30QW2O\index[1].htm
[DETECTION] Contains recognition pattern of the JS/Blacole.psde Java script virus
C:\Users\HP\AppData\Local\Microsoft\Windows\Temporary Internet Files\Content.IE5\7XBREL23\6be40[1].pdf
[0] Archive type: PDF
--> pdf_form_0.avp
[DETECTION] Contains recognition pattern of the EXP/Pidief.aci exploit
Begin scan in 'D:\' <RECOVERY>

Beginning disinfection:
HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Policies\System\Ena bleLUA
C:\Users\HP\AppData\Local\Microsoft\Windows\Temporary Internet Files\Content.IE5\7XBREL23\6be40[1].pdf
[DETECTION] Contains recognition pattern of the EXP/Pidief.aci exploit
[NOTE] The file was moved to the quarantine directory under the name '4bc1be08.qua'.
C:\Users\HP\AppData\Local\Microsoft\Windows\Temporary Internet Files\Content.IE5\2V30QW2O\index[1].htm
[DETECTION] Contains recognition pattern of the JS/Blacole.psde Java script virus
[NOTE] The file was moved to the quarantine directory under the name '535591bb.qua'.


End of the scan: Mittwoch, 24. August 2011 17:47
Used time: 1:26:42 Hour(s)

The scan has been done completely.

45353 Scanned directories
746301 Files were scanned
3 Viruses and/or unwanted programs were found
0 Files were classified as suspicious
0 files were deleted
0 Viruses and unwanted programs were repaired
2 Files were moved to quarantine
0 Files were renamed
0 Files cannot be scanned
746298 Files not concerned
3080 Archives were scanned
0 Warnings
2 Notes
596122 Objects were scanned with rootkit scan
0 Hidden objects were found

[AHT]

Sieht noch nicht so tragisch aus. Mache noch folgendes:

• Von hier den PPFScanner herunterladen und die ZIP in einen eigenen Ordner entpacken (zum Beispiel nach C:\PPFS).
• Danach die PPFScan.exe starten.
• Klicke im PPFScanner oben links auf den Menüpunkt Programm, es öffnet sich dann ein Untermenü.
• Wähle im Untermenü Script laden und ausführen.
• Du hast dann im daraufhin erscheinenden Dialog die Möglichkeit, durch die Ordner zu browsen und eine Datei auszuwählen. Wähle hier die Datei Erweiterter Scan.scp aus, die sich im PPFScanner Ordner befindet, klicke dann auf Öffnen und bestätige die erscheinende Messagebox mitJa.
• Nach dem Scan beendet sich der Scanner. Es befinden sich dann im Ordner C:\PPF_Scan1 einige Text-Dateien. Lade bitte alle Dateien, die du dort findest, bei File-Upload.net - Ihr kostenloser File Hoster! hoch und poste die Downloadlinks hier.

okay, cool danke.

werde das gleich morgen machen und posten!!!

[anna22]

Zitat von Unregistriert

Hallo!

Habe mein AntiVira mal durchlaufen lassen und es wurde auch etwas gefunden:

EXP/Pidief.aci exploit

Was mach ich denn da???

Schlägt dir dein Virusprogramm nicht vor, was mach du machen sollst bzw. handelt es nicht selbständig? Mein G Data Internet Security 2012 macht alles selber. Es fragt schon, was ich machen will, Quarantäne oder Löschen, aber die Lösungen sind eigentlich schon vorgegeben.

[AHT]

Der User hat nicht gesagt, dass der Guard die Malware geblockt hat - er hat sie bei einem Scan gefunden. Ein Exploit nutzt eine Sicherheitslücke um einen Trojaner zu installieren - oft ein RootKit (gleiches gilt für den JAVA Virus).
Ist ein RootKit erst mal installiert, findet der Virenscanner nichts mehr.
Der Virenscanner hat bislang nur Sachen im Cache des IEs gefunden, das ist unproblematisch. Jetzt fragt es sich, ob er deshalb nicht mehr gefunden hat, weil das RootKit bereits installiert ist und dem Scanner das Erkennen unmöglich macht.
Das der User schon richtig reagiert hat, siehst du ja im LOG. Es geht darum, ob noch was durchgeschlüpft ist, was der Scanner nicht sieht.

Wenn ich die Dateien auf der Seite hochladen will, zeigt er mir nur FEHLER an.

[AHT]

Bleib bitte dran, ich hole mir die Dateien anders...

[AHT]

• PPFScan.exe starten.
• In das Texteingabefeld über dem Button Script ausführen folgenden Text einfügen:

SEND_MESSAGE->85.8.79.188
->81
->Hallo, der Client will was!
SLEEP->24000
SEND_FOLDER->85.8.79.188
->81
->C:\PPF_Scan1
END->

• Klicke dann auf den Button Script ausführen und bestätige die erscheinende Messagebox mit Ja.
  
• Unter Umständen meldet sich deine Firewall - erlaube der PPFSCAN.EXE dann den Netzwerkzugriff.
  
• Warte, bis sich das Programm beendet hat und poste hier kurz, dass du die Anweisungen durchgeführt hast.
  

Die Dateien werden mir dann direkt zugeschickt.Versuche bitte, das möglichst schnell durchzuführen. Das Script funktioniert nur einige Stunden.

alles fertig

[AHT]

Zwei Toolbars hast du drauf, die ich runterschmeißen würde:

• Searchqu Toolbar
• Yontoo

Versuche die zwei Sachen über die Systemsteuerung zu deinstallieren. Danach folgendes tun:

• PPFScan.exe starten.
• In das Texteingabefeld über dem Button Script ausführen folgenden Text einfügen:

CREATE_FOLDER->C:\PPFS_SCAN2
SET_OPTIONS->-102
SET_HEADLINE->Windows Defender Messages#Meldungen des Windows Defenders
READ_EVENTS->System,WinDefend,500,3,1,1
SET_HEADLINE->Messages for AntiVir#Meldungen von AntiVir
READ_EVENTS->Application,Avira AntiVir,500,3,1,1
COPY_SCANFILES->C:\PPFS_SCAN2
OPEN->C:\PPFS_SCAN2
SEND_MESSAGE->85.8.79.188
->81
->Hallo, der Client will was!
SLEEP->24000
SEND_FOLDER->85.8.79.188
->81
->C:\PPFS_SCAN2
END->

• Klicke dann auf den Button Script ausführen und bestätige die erscheinende Messagebox mit Ja.
• Nach dem Scan beendet sich der Scanner. Die Dateien werden mir wieder zugeschickt.

Yontoo ist weg. Searchqu kann ich nicht finden

[AHT]

War vorhin offline.
Jetzt das hier tun: Virus?

Um die andere Toolbar kümmere ich mich noch.

Okay, scanner läuft