Avira Support Forum

Hallo,
bei der letzten Rookits-Prüfung wurden 4 versteckte Objekte festgestellt. Kann man aus dem Protokoll erkennen ob eine Gefahr besteht? Wie kann man versteckte Objekte entfernen, wenn sie gefährlich sind? Das Protokoll lege ich bei. Besten Dank,
Klaus Mattel



Avira AntiVir Premium
Erstellungsdatum der Reportdatei: Montag, 22. November 2010 12:33

Es wird nach 3074710 Virenstämmen gesucht.

Das Programm läuft als uneingeschränkte Vollversion.
Online-Dienste stehen zur Verfügung.

Lizenznehmer : xxx
Seriennummer : xxx
Plattform : Windows XP
Windowsversion : (Service Pack 3) [5.1.2600]
Boot Modus : Normal gebootet
Benutzername : xxx
Computername : KLAUS

Versionsinformationen:
BUILD.DAT : 10.0.0.628 35935 Bytes 16.11.2010 14:56:00
AVSCAN.EXE : 10.0.3.1 434344 Bytes 21.11.2010 12:28:02
AVSCAN.DLL : 10.0.3.0 56168 Bytes 21.11.2010 12:28:01
LUKE.DLL : 10.0.2.3 104296 Bytes 21.11.2010 12:28:36
LUKERES.DLL : 10.0.0.0 13672 Bytes 21.11.2010 12:28:36
VBASE000.VDF : 7.10.0.0 19875328 Bytes 06.11.2009 12:25:50
VBASE001.VDF : 7.10.1.0 1372672 Bytes 19.11.2009 12:25:56
VBASE002.VDF : 7.10.3.1 3143680 Bytes 20.01.2010 12:26:09
VBASE003.VDF : 7.10.3.75 996864 Bytes 26.01.2010 12:26:13
VBASE004.VDF : 7.10.4.203 1579008 Bytes 05.03.2010 12:26:20
VBASE005.VDF : 7.10.6.82 2494464 Bytes 15.04.2010 12:26:31
VBASE006.VDF : 7.10.7.218 2294784 Bytes 02.06.2010 12:26:41
VBASE007.VDF : 7.10.9.165 4840960 Bytes 23.07.2010 12:27:01
VBASE008.VDF : 7.10.11.133 3454464 Bytes 13.09.2010 12:27:16
VBASE009.VDF : 7.10.13.80 2265600 Bytes 02.11.2010 12:27:26
VBASE010.VDF : 7.10.13.81 2048 Bytes 02.11.2010 12:27:26
VBASE011.VDF : 7.10.13.82 2048 Bytes 02.11.2010 12:27:26
VBASE012.VDF : 7.10.13.83 2048 Bytes 02.11.2010 12:27:26
VBASE013.VDF : 7.10.13.116 147968 Bytes 04.11.2010 12:27:27
VBASE014.VDF : 7.10.13.147 146944 Bytes 07.11.2010 12:27:27
VBASE015.VDF : 7.10.13.180 123904 Bytes 09.11.2010 12:27:28
VBASE016.VDF : 7.10.13.211 122368 Bytes 11.11.2010 12:27:29
VBASE017.VDF : 7.10.13.243 147456 Bytes 15.11.2010 12:27:29
VBASE018.VDF : 7.10.14.15 142848 Bytes 17.11.2010 12:27:30
VBASE019.VDF : 7.10.14.41 134144 Bytes 19.11.2010 12:27:30
VBASE020.VDF : 7.10.14.42 2048 Bytes 19.11.2010 12:27:31
VBASE021.VDF : 7.10.14.43 2048 Bytes 19.11.2010 12:27:31
VBASE022.VDF : 7.10.14.44 2048 Bytes 19.11.2010 12:27:31
VBASE023.VDF : 7.10.14.45 2048 Bytes 19.11.2010 12:27:31
VBASE024.VDF : 7.10.14.46 2048 Bytes 19.11.2010 12:27:31
VBASE025.VDF : 7.10.14.47 2048 Bytes 19.11.2010 12:27:31
VBASE026.VDF : 7.10.14.48 2048 Bytes 19.11.2010 12:27:31
VBASE027.VDF : 7.10.14.49 2048 Bytes 19.11.2010 12:27:31
VBASE028.VDF : 7.10.14.50 2048 Bytes 19.11.2010 12:27:31
VBASE029.VDF : 7.10.14.51 2048 Bytes 19.11.2010 12:27:31
VBASE030.VDF : 7.10.14.52 2048 Bytes 19.11.2010 12:27:31
VBASE031.VDF : 7.10.14.58 74240 Bytes 22.11.2010 11:18:35
Engineversion : 8.2.4.112
AEVDF.DLL : 8.1.2.1 106868 Bytes 21.11.2010 12:27:47
AESCRIPT.DLL : 8.1.3.47 1294716 Bytes 22.11.2010 11:18:45
AESCN.DLL : 8.1.7.2 127349 Bytes 22.11.2010 11:18:43
AESBX.DLL : 8.1.3.2 254324 Bytes 22.11.2010 11:18:46
AERDL.DLL : 8.1.9.2 635252 Bytes 21.11.2010 12:27:44
AEPACK.DLL : 8.2.3.11 471416 Bytes 21.11.2010 12:27:43
AEOFFICE.DLL : 8.1.1.10 201084 Bytes 22.11.2010 11:18:43
AEHEUR.DLL : 8.1.2.44 3076471 Bytes 22.11.2010 11:18:42
AEHELP.DLL : 8.1.14.0 246134 Bytes 21.11.2010 12:27:35
AEGEN.DLL : 8.1.4.2 401781 Bytes 22.11.2010 11:18:37
AEEMU.DLL : 8.1.3.0 393589 Bytes 22.11.2010 11:18:36
AECORE.DLL : 8.1.18.1 196984 Bytes 22.11.2010 11:18:35
AEBB.DLL : 8.1.1.0 53618 Bytes 21.11.2010 12:27:33
AVWINLL.DLL : 10.0.0.0 19304 Bytes 21.11.2010 12:24:11
AVPREF.DLL : 10.0.0.0 44904 Bytes 21.11.2010 12:28:00
AVREP.DLL : 10.0.0.8 62209 Bytes 21.11.2010 12:28:01
AVREG.DLL : 10.0.3.2 53096 Bytes 21.11.2010 12:28:01
AVSCPLR.DLL : 10.0.3.1 83816 Bytes 21.11.2010 12:28:02
AVARKT.DLL : 10.0.0.14 227176 Bytes 21.11.2010 12:27:49
AVEVTLOG.DLL : 10.0.0.8 203112 Bytes 21.11.2010 12:27:54
SQLITE3.DLL : 3.6.19.0 355688 Bytes 21.11.2010 12:28:44
AVSMTP.DLL : 10.0.0.17 63848 Bytes 21.11.2010 12:28:04
NETNT.DLL : 10.0.0.0 11624 Bytes 21.11.2010 12:28:36
RCIMAGE.DLL : 10.0.0.32 2631528 Bytes 21.11.2010 12:24:16
RCTEXT.DLL : 10.0.58.0 98152 Bytes 21.11.2010 12:24:16

Konfiguration für den aktuellen Suchlauf:
Job Name..............................: Suche nach Rootkits und aktiver Malware
Konfigurationsdatei...................: C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\Avira\AntiVir Desktop\PROFILES\rootkit.avp
Protokollierung.......................: niedrig
Primäre Aktion........................: interaktiv
Sekundäre Aktion......................: ignorieren
Durchsuche Masterbootsektoren.........: ein
Durchsuche Bootsektoren...............: ein
Durchsuche aktive Programme...........: ein
Laufende Programme erweitert..........: ein
Durchsuche Registrierung..............: ein
Suche nach Rootkits...................: ein
Integritätsprüfung von Systemdateien..: aus
Datei Suchmodus.......................: Alle Dateien
Durchsuche Archive....................: ein
Rekursionstiefe einschränken..........: 20
Archiv Smart Extensions...............: ein
Makrovirenheuristik...................: ein
Dateiheuristik........................: hoch

Beginn des Suchlaufs: Montag, 22. November 2010 12:33

Der Suchlauf nach versteckten Objekten wird begonnen.
HKEY_LOCAL_MACHINE\Software\Microsoft\Cryptography\RNG\seed
[HINWEIS] Der Registrierungseintrag ist nicht sichtbar.
HKEY_LOCAL_MACHINE\System\ControlSet001\Control\Session Manager\pendingfilerenameoperations
[HINWEIS] Der Registrierungseintrag ist nicht sichtbar.
c:\programme\analog devices\soundmax\spkrmonx.exe
c:\Programme\Analog Devices\SoundMAX\spkrmonx.exe
[HINWEIS] Der Prozess ist nicht sichtbar.
c:\programme\analog devices\soundmax\spkrmonx.exe

Der Suchlauf über gestartete Prozesse wird begonnen:
Durchsuche Prozess 'update.exe' - '44' Modul(e) wurden durchsucht
Durchsuche Prozess 'rsmsink.exe' - '28' Modul(e) wurden durchsucht
Durchsuche Prozess 'wuauclt.exe' - '43' Modul(e) wurden durchsucht
Durchsuche Prozess 'wuauclt.exe' - '38' Modul(e) wurden durchsucht
Durchsuche Prozess 'wuauclt.exe' - '42' Modul(e) wurden durchsucht
Durchsuche Prozess 'dllhost.exe' - '45' Modul(e) wurden durchsucht
Durchsuche Prozess 'vssvc.exe' - '48' Modul(e) wurden durchsucht
Durchsuche Prozess 'avscan.exe' - '66' Modul(e) wurden durchsucht
Durchsuche Prozess 'avcenter.exe' - '105' Modul(e) wurden durchsucht
Durchsuche Prozess 'avmailc.exe' - '30' Modul(e) wurden durchsucht
Durchsuche Prozess 'AVWEBGRD.EXE' - '37' Modul(e) wurden durchsucht
Durchsuche Prozess 'avshadow.exe' - '26' Modul(e) wurden durchsucht
Durchsuche Prozess 'avguard.exe' - '72' Modul(e) wurden durchsucht
Durchsuche Prozess 'MRT.exe' - '34' Modul(e) wurden durchsucht
Durchsuche Prozess 'mrtstub.exe' - '11' Modul(e) wurden durchsucht
Durchsuche Prozess 'windows-kb890830-v3.10[1].exe' - '29' Modul(e) wurden durchsucht
Durchsuche Prozess 'SoftonicDownloader_fuer_microsoft-windows-tool-zum-entfernen-bosartiger-software.exe' - '91' Modul(e) wurden durchsucht
Durchsuche Prozess 'plugin-container.exe' - '62' Modul(e) wurden durchsucht
Durchsuche Prozess 'firefox.exe' - '117' Modul(e) wurden durchsucht
Durchsuche Prozess 'msdtc.exe' - '40' Modul(e) wurden durchsucht
Durchsuche Prozess 'dllhost.exe' - '59' Modul(e) wurden durchsucht
Durchsuche Prozess 'alg.exe' - '35' Modul(e) wurden durchsucht
Durchsuche Prozess 'spkrmon.exe' - '24' Modul(e) wurden durchsucht
Durchsuche Prozess 'MDM.EXE' - '23' Modul(e) wurden durchsucht
Durchsuche Prozess 'DTSRVC.exe' - '14' Modul(e) wurden durchsucht
Durchsuche Prozess 'dtsslsrv.exe' - '31' Modul(e) wurden durchsucht
Durchsuche Prozess 'floater.exe' - '18' Modul(e) wurden durchsucht
Durchsuche Prozess 'dthtml.exe' - '42' Modul(e) wurden durchsucht
Durchsuche Prozess 'ctfmon.exe' - '27' Modul(e) wurden durchsucht
Durchsuche Prozess 'avgnt.exe' - '59' Modul(e) wurden durchsucht
Durchsuche Prozess 'wpctrl.exe' - '25' Modul(e) wurden durchsucht
Durchsuche Prozess 'lviewj.exe' - '19' Modul(e) wurden durchsucht
Durchsuche Prozess 'hkcmd.exe' - '32' Modul(e) wurden durchsucht
Durchsuche Prozess 'svchost.exe' - '34' Modul(e) wurden durchsucht
Durchsuche Prozess 'Explorer.EXE' - '119' Modul(e) wurden durchsucht
Durchsuche Prozess 'sched.exe' - '46' Modul(e) wurden durchsucht
Durchsuche Prozess 'spoolsv.exe' - '53' Modul(e) wurden durchsucht
Durchsuche Prozess 'svchost.exe' - '38' Modul(e) wurden durchsucht
Durchsuche Prozess 'svchost.exe' - '33' Modul(e) wurden durchsucht
Durchsuche Prozess 'svchost.exe' - '177' Modul(e) wurden durchsucht
Durchsuche Prozess 'svchost.exe' - '39' Modul(e) wurden durchsucht
Durchsuche Prozess 'svchost.exe' - '51' Modul(e) wurden durchsucht
Durchsuche Prozess 'lsass.exe' - '59' Modul(e) wurden durchsucht
Durchsuche Prozess 'services.exe' - '36' Modul(e) wurden durchsucht
Durchsuche Prozess 'winlogon.exe' - '66' Modul(e) wurden durchsucht
Durchsuche Prozess 'csrss.exe' - '12' Modul(e) wurden durchsucht
Durchsuche Prozess 'smss.exe' - '2' Modul(e) wurden durchsucht


Ende des Suchlaufs: Montag, 22. November 2010 12:46
Benötigte Zeit: 13:20 Minute(n)

Der Suchlauf wurde vollständig durchgeführt.

0 Verzeichnisse wurden überprüft
2183 Dateien wurden geprüft
0 Viren bzw. unerwünschte Programme wurden gefunden
0 Dateien wurden als verdächtig eingestuft
0 Dateien wurden gelöscht
0 Viren bzw. unerwünschte Programme wurden repariert
0 Dateien wurden in die Quarantäne verschoben
0 Dateien wurden umbenannt
0 Dateien konnten nicht durchsucht werden
2183 Dateien ohne Befall
1 Archive wurden durchsucht
0 Warnungen
0 Hinweise
314769 Objekte wurden beim Rootkitscan durchsucht
4 Versteckte Objekte wurden gefunden

Hi,

Quoted from "klausmattel"

Kann man aus dem Protokoll erkennen ob eine Gefahr besteht?

Nein - oder höchstens insofern, als dir im Protokoll ja kein FUND gemeldet wird.

Windows und auch manche Anwendungen verstecken von Haus aus so manches - das, und eben nur den Umstand, dass da versteckte Objekte vorhanden sind, meldet Antivir in der V 10 vermehrt - dies hat, wie du bei Durchsicht des Forums leicht feststellen kannst, schon wiederholt für Verunsicherung gesorgt...

Bei Unklarheiten ist Rückfragen sicher nicht verkehrt, zuvor aber nach Möglichkeit eine Recherche mit der Forumsuche und/oder der Suchmaschine deines Vertrauens durchzuführen, aber auch nicht...

Konkret würde ich meinen wollen, es handelt sich um:
spkrmonx.exe: Treiber der Soundkarte;
PendingFileRenameOperations:
Windows speichert hier alle Umbenenn- und Löschaktionen, die im laufenden Systembetrieb nicht durchgeführt werden können, weil besagte Dateien immer in Benutzung sind.
Microsoft\Cryptography\RNG\seed- gehört zur Windows CryptoAPI
http://forum.antivir.de/wbb/index.php?pa…123#post1004123

Ich hänge mich hier mal ein:
Heißt das oben Gesagte, wenn

0 Viren bzw. unerwünschte Programme, 0 Quarantäne, 0 Warnungen

bestehen, sind die versteckten Dateien ungefährlich?
Ich bekomme in ständigem Wechsel 0 bis 10 versteckte Dateien gemeldet. Ich würde zu gerne einschätzen können, ab wann ich skeptisch sein muß!! Ich habe auch schon Oktober 2010 mal konkret nachgefragt. damals waren die versteckten Objekte ungefährlich. mich interessiert genau wie klausmattel, ob ich selber auch Einschätzungen vornehmen kann, bzw. wie ich mich selbst informieren kann.
genfra

Quoted

Ich bekomme in ständigem Wechsel 0 bis 10 versteckte Dateien gemeldet

Vielleicht solltest Du mal kurz einen Reportbericht reinstellen.

Quoted

0 Viren bzw. unerwünschte Programme, 0 Quarantäne, 0 Warnungen

das ist aber ok.

Trotzdem mal gucken ?

hier mal meines:

Quoted

Ende des Suchlaufs: Sonntag, 22. April 2012 01:23
Benötigte Zeit: 1:00:26 Stunde(n)

Der Suchlauf wurde vollständig durchgeführt.

25767 Verzeichnisse wurden überprüft
375525 Dateien wurden geprüft
0 Viren bzw. unerwünschte Programme wurden gefunden
0 Dateien wurden als verdächtig eingestuft
0 Dateien wurden gelöscht
0 Viren bzw. unerwünschte Programme wurden repariert
0 Dateien wurden in die Quarantäne verschoben
0 Dateien wurden umbenannt
0 Dateien konnten nicht durchsucht werden
375525 Dateien ohne Befall
3886 Archive wurden durchsucht
0 Warnungen
64 Hinweise
534092 Objekte wurden beim Rootkitscan durchsucht
64 Versteckte Objekte wurden gefunden

meine versteckten sind vom diesem Systemthread, wo momentan daran gearbeitet wird. (diese 64 versteckten) <<<<<< http://forum.avira.com/wbb/index.php?pag…threadID=143785

Erst mal Danke für die Information.
Komme wohl nochmal darauf zurück, im Moment hängt es mit dem Schreiben! Was das wohl wieder ist?

Quoted from "genfra"

im Moment hängt es mit dem Schreiben! Was das wohl wieder ist?

Habe ich auch ab und zu. das liegt am Server. Nicht an Dir.

Kann auch an t-online liegen, denn da bin ich . Ist heute auch etwas zäh.....

So, ich versuch es noch mal.

Ende des Suchlaufs: Sonntag, 22. April 2012 10:59
Benötigte Zeit: 1:14:34 Stunde(n)

Der Suchlauf wurde vollständig durchgeführt.

41016 Verzeichnisse wurden überprüft
597554 Dateien wurden geprüft
0 Viren bzw. unerwünschte Programme wurden gefunden
0 Dateien wurden als verdächtig eingestuft
0 Dateien wurden gelöscht
0 Viren bzw. unerwünschte Programme wurden repariert
0 Dateien wurden in die Quarantäne verschoben
0 Dateien wurden umbenannt
0 Dateien konnten nicht durchsucht werden
597554 Dateien ohne Befall
9591 Archive wurden durchsucht
0 Warnungen
9 Hinweise
417760 Objekte wurden beim Rootkitscan durchsucht
10 Versteckte Objekte wurden gefunden

Nach meiner laienhaften Einschätzung sieht es gut aus.
Trotzdem wüßt ich gerne, wie ich an Informationen komme, die Gefährlichkeit selbst einzuschätzen.
Danke fürs gucken.

Quoted

0 Viren bzw. unerwünschte Programme wurden gefunden
0 Dateien wurden als verdächtig eingestuft
0 Dateien wurden gelöscht
0 Viren bzw. unerwünschte Programme wurden repariert
0 Dateien wurden in die Quarantäne verschoben
0 Dateien wurden umbenannt
0 Dateien konnten nicht durchsucht werden

sieht gut aus

nur bist Du bitte so lieb und zeigst uns noch die versteckten Objekte. Danke

Quoted

10 Versteckte Objekte wurden gefunden
9 Hinweise

so richtig?

Der Suchlauf nach versteckten Objekten wird begonnen.
HKEY_LOCAL_MACHINE\System\ControlSet001\Control\Class\{4D36E972-E325-11CE-BFC1-08002BE10318}\0012\Linkage\UpperBind
[HINWEIS] Der Registrierungseintrag ist nicht sichtbar.
HKEY_LOCAL_MACHINE\System\ControlSet001\Control\Network\{4D36E972-E325-11CE-BFC1-08002BE10318}\{6BC3D5C1-DC40-4DDD-A16E-6C9036F3044A}\Connection\Name
[HINWEIS] Der Registrierungseintrag ist nicht sichtbar.
HKEY_LOCAL_MACHINE\System\ControlSet001\Control\Network\{4d36e975-e325-11ce-bfc1-08002be10318}\{6B683E0E-1505-488C-8053-3C1301924246}\Linkage\Bind
[HINWEIS] Der Registrierungseintrag ist nicht sichtbar.
HKEY_LOCAL_MACHINE\System\ControlSet001\Control\Network\{4d36e975-e325-11ce-bfc1-08002be10318}\{6B683E0E-1505-488C-8053-3C1301924246}\Linkage\Route
[HINWEIS] Der Registrierungseintrag ist nicht sichtbar.
HKEY_LOCAL_MACHINE\System\ControlSet001\Control\Network\{4d36e975-e325-11ce-bfc1-08002be10318}\{6B683E0E-1505-488C-8053-3C1301924246}\Linkage\Export
[HINWEIS] Der Registrierungseintrag ist nicht sichtbar.
HKEY_LOCAL_MACHINE\System\ControlSet001\services\iphlpsvc\Teredo\PreviousState\00-1e-2a-5a-d5-36\TeredoAddress
[HINWEIS] Der Registrierungseintrag ist nicht sichtbar.
HKEY_LOCAL_MACHINE\System\ControlSet001\services\iphlpsvc\Teredo\PreviousState\00-1e-2a-5a-d5-36\TeredoAddress
HKEY_LOCAL_MACHINE\System\ControlSet001\services\Tcpip\Parameters\Interfaces\{94CD322A-D6DC-48F4-BFA5-3CF3BC480ED1}\DhcpInterfaceOptions
[HINWEIS] Der Registrierungseintrag ist nicht sichtbar.
HKEY_USERS\.DEFAULT\Software\Classes\Local Settings\MuiCache\1AC
[HINWEIS] Der Registrierungseintrag ist nicht sichtbar.
HKEY_USERS\S-1-5-21-2613116020-2869487782-1692070899-1000\Software\Microsoft\Windows\CurrentVersion\Internet Settings\5.0\Cache\Extensible Cache\MSHist012012032620120402
[HINWEIS] Der Registrierungseintrag ist nicht sichtbar.

Quoted from "genfra"

so richtig?

Ja -

Die Einträge sind unkritisch -

Rajo

Genau , die sind ok. Habe ich auch ab und zu.

Danke noch mal. Beruhigt bin ich jetzt.
Wär schön, wenn ich selber mehr verstehen würde, wann es kritisch ist. Ist wohl eine Erfahrungssache.
Schönen Abend

Ebenfalls schönen Abend !