BOO/Alureon.A boot sector virus [Festplatten mit AES verschlüsselt]

Dieses Thema im Forum "Viren, Trojaner & Malware" wurde erstellt von Astarot, 29. Dezember 2010 .

Schlagworte:
Status des Themas:
Es sind keine weiteren Antworten möglich.
  1. 29. Dezember 2010
    Guten Morgen.
    haben gestern mein System neu aufgesetzt und als ich antivir installierte kam, das ich einen "BOO/Alureon.A" habe.
    Habe nun schon google stundenlang gequelt und das ohne richtigen Erfolg.

    Weiß nur so viel, ich muss den Bootsector neu schreiben.. wie ich das jedenfalls mache ist mir noch ein rätzel.

    Da HiJackThis nix findet (auch nicht mit abgesicherten modus und umbenennen usw) hau ich mal den Antivir Log mit rein (hoffe ihr verzeit mir das):

    Code:
    

Avira AntiVir Personal
Erstellungsdatum der Reportdatei: Mittwoch, 29. Dezember 2010 00:36

Es wird nach 2306293 Virenstämmen gesucht.

Das Programm läuft als uneingeschränkte Vollversion.
Online-Dienste stehen zur Verfügung.

Lizenznehmer : Avira AntiVir Personal - FREE Antivirus
Seriennummer : 0000149996-ADJIE-0000001
Plattform : Windows 7 x64
Windowsversion : (plain) [6.1.7600]
Boot Modus : Normal gebootet
Benutzername : Astarot
Computername : ASTAROT-PC

Versionsinformationen:
BUILD.DAT : 10.0.0.609 31824 Bytes 13.12.2010 09:29:00
AVSCAN.EXE : 10.0.3.5 435368 Bytes 13.12.2010 07:39:20
AVSCAN.DLL : 10.0.3.0 56168 Bytes 13.12.2010 07:39:37
LUKE.DLL : 10.0.3.2 104296 Bytes 13.12.2010 07:39:26
LUKERES.DLL : 10.0.0.0 13672 Bytes 14.01.2010 10:59:47
VBASE000.VDF : 7.10.0.0 19875328 Bytes 06.11.2009 08:05:36
VBASE001.VDF : 7.11.0.0 13342208 Bytes 14.12.2010 23:35:48
VBASE002.VDF : 7.11.0.1 2048 Bytes 14.12.2010 23:35:49
VBASE003.VDF : 7.11.0.2 2048 Bytes 14.12.2010 23:35:49
VBASE004.VDF : 7.11.0.3 2048 Bytes 14.12.2010 23:35:49
VBASE005.VDF : 7.11.0.4 2048 Bytes 14.12.2010 23:35:49
VBASE006.VDF : 7.11.0.5 2048 Bytes 14.12.2010 23:35:49
VBASE007.VDF : 7.11.0.6 2048 Bytes 14.12.2010 23:35:49
VBASE008.VDF : 7.11.0.7 2048 Bytes 14.12.2010 23:35:49
VBASE009.VDF : 7.11.0.8 2048 Bytes 14.12.2010 23:35:49
VBASE010.VDF : 7.11.0.9 2048 Bytes 14.12.2010 23:35:49
VBASE011.VDF : 7.11.0.10 2048 Bytes 14.12.2010 23:35:50
VBASE012.VDF : 7.11.0.11 2048 Bytes 14.12.2010 23:35:50
VBASE013.VDF : 7.11.0.52 128000 Bytes 16.12.2010 23:35:51
VBASE014.VDF : 7.11.0.91 226816 Bytes 20.12.2010 23:35:54
VBASE015.VDF : 7.11.0.122 136192 Bytes 21.12.2010 23:35:55
VBASE016.VDF : 7.11.0.156 122880 Bytes 24.12.2010 23:35:57
VBASE017.VDF : 7.11.0.185 146944 Bytes 27.12.2010 23:35:58
VBASE018.VDF : 7.11.0.186 2048 Bytes 27.12.2010 23:35:59
VBASE019.VDF : 7.11.0.187 2048 Bytes 27.12.2010 23:35:59
VBASE020.VDF : 7.11.0.188 2048 Bytes 27.12.2010 23:35:59
VBASE021.VDF : 7.11.0.189 2048 Bytes 27.12.2010 23:35:59
VBASE022.VDF : 7.11.0.190 2048 Bytes 27.12.2010 23:35:59
VBASE023.VDF : 7.11.0.191 2048 Bytes 27.12.2010 23:35:59
VBASE024.VDF : 7.11.0.192 2048 Bytes 27.12.2010 23:35:59
VBASE025.VDF : 7.11.0.193 2048 Bytes 27.12.2010 23:35:59
VBASE026.VDF : 7.11.0.194 2048 Bytes 27.12.2010 23:35:59
VBASE027.VDF : 7.11.0.195 2048 Bytes 27.12.2010 23:36:00
VBASE028.VDF : 7.11.0.196 2048 Bytes 27.12.2010 23:36:00
VBASE029.VDF : 7.11.0.197 2048 Bytes 27.12.2010 23:36:00
VBASE030.VDF : 7.11.0.198 2048 Bytes 27.12.2010 23:36:00
VBASE031.VDF : 7.11.0.211 53248 Bytes 28.12.2010 23:36:01
Engineversion : 8.2.4.126 
AEVDF.DLL : 8.1.2.1 106868 Bytes 13.12.2010 07:39:16
AESCRIPT.DLL : 8.1.3.48 1286524 Bytes 13.12.2010 07:39:16
AESCN.DLL : 8.1.7.2 127349 Bytes 13.12.2010 07:39:16
AESBX.DLL : 8.1.3.2 254324 Bytes 13.12.2010 07:39:16
AERDL.DLL : 8.1.9.2 635252 Bytes 13.12.2010 07:39:16
AEPACK.DLL : 8.2.4.5 512375 Bytes 28.12.2010 23:36:20
AEOFFICE.DLL : 8.1.1.10 201084 Bytes 13.12.2010 07:39:15
AEHEUR.DLL : 8.1.2.57 3142008 Bytes 28.12.2010 23:36:17
AEHELP.DLL : 8.1.16.0 246136 Bytes 13.12.2010 07:39:10
AEGEN.DLL : 8.1.5.0 397685 Bytes 13.12.2010 07:39:10
AEEMU.DLL : 8.1.3.0 393589 Bytes 13.12.2010 07:39:10
AECORE.DLL : 8.1.19.0 196984 Bytes 13.12.2010 07:39:10
AEBB.DLL : 8.1.1.0 53618 Bytes 13.12.2010 07:39:10
AVWINLL.DLL : 10.0.0.0 19304 Bytes 13.12.2010 07:39:20
AVPREF.DLL : 10.0.0.0 44904 Bytes 13.12.2010 07:39:19
AVREP.DLL : 10.0.0.8 62209 Bytes 17.06.2010 13:26:53
AVREG.DLL : 10.0.3.2 53096 Bytes 13.12.2010 07:39:19
AVSCPLR.DLL : 10.0.3.2 84328 Bytes 13.12.2010 07:39:20
AVARKT.DLL : 10.0.22.6 231784 Bytes 13.12.2010 07:39:17
AVEVTLOG.DLL : 10.0.0.8 203112 Bytes 13.12.2010 07:39:18
SQLITE3.DLL : 3.6.19.0 355688 Bytes 17.06.2010 13:27:02
AVSMTP.DLL : 10.0.0.17 63848 Bytes 13.12.2010 07:39:20
NETNT.DLL : 10.0.0.0 11624 Bytes 17.06.2010 13:27:01
RCIMAGE.DLL : 10.0.0.26 2550120 Bytes 28.01.2010 12:10:08
RCTEXT.DLL : 10.0.58.0 98152 Bytes 13.12.2010 07:39:38

Konfiguration für den aktuellen Suchlauf:
Job Name..............................: Kurze Systemprüfung nach Installation
Konfigurationsdatei...................: c:\program files (x86)\avira\antivir desktop\setupprf.dat
Protokollierung.......................: niedrig
Primäre Aktion........................: interaktiv
Sekundäre Aktion......................: ignorieren
Durchsuche Masterbootsektoren.........: ein
Durchsuche Bootsektoren...............: ein
Durchsuche aktive Programme...........: ein
Durchsuche Registrierung..............: ein
Suche nach Rootkits...................: aus
Integritätsprüfung von Systemdateien..: aus
Datei Suchmodus.......................: Intelligente Dateiauswahl
Durchsuche Archive....................: ein
Rekursionstiefe einschränken..........: 20
Archiv Smart Extensions...............: ein
Makrovirenheuristik...................: ein
Dateiheuristik........................: mittel

Beginn des Suchlaufs: Mittwoch, 29. Dezember 2010 00:36

Der Suchlauf über gestartete Prozesse wird begonnen:
Durchsuche Prozess 'avscan.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'avcenter.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'avconfig.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'avgnt.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'sched.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'avguard.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'setup.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'presetup.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'avira_antivir_personal_de609.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'plugin-container.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'firefox.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'winampa.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'TrueCrypt.exe' - '1' Modul(e) wurden durchsucht

Der Suchlauf über die Masterbootsektoren wird begonnen:
Masterbootsektor HD0
 [INFO] Es wurde kein Virus gefunden!
Masterbootsektor HD1
 [FUND] Enthält Code des Bootsektorvirus BOO/Alureon.A
 [HINWEIS] Der Sektor wurde nicht neu geschrieben!
Masterbootsektor HD2
 [INFO] Es wurde kein Virus gefunden!

Der Suchlauf über die Bootsektoren wird begonnen:

Der Suchlauf auf Verweise zu ausführbaren Dateien (Registry) wird begonnen:

Die Registry wurde durchsucht ( '159' Dateien ).



Ende des Suchlaufs: Mittwoch, 29. Dezember 2010 00:37
Benötigte Zeit: 00:22 Minute(n)

Der Suchlauf wurde vollständig durchgeführt.

 0 Verzeichnisse wurden überprüft
 605 Dateien wurden geprüft
 1 Viren bzw. unerwünschte Programme wurden gefunden
 0 Dateien wurden als verdächtig eingestuft
 0 Dateien wurden gelöscht
 0 Viren bzw. unerwünschte Programme wurden repariert
 0 Dateien wurden in die Quarantäne verschoben
 0 Dateien wurden umbenannt
 0 Dateien konnten nicht durchsucht werden
 605 Dateien ohne Befall
 3 Archive wurden durchsucht
 0 Warnungen
 1 Hinweise
    Ein weiteres Prtoblem ist, das ich beide Platten (eine SSD, mit 120gb[Systhemplatte] und eine 1Tb-Festplatte) mit Truecrypt verschlüsselt habe(AES)


    Ich könnt heulen... was soll ich machen? ;(



    EDIT: Habe gerade mal nur die SSD-Systemplatte eingebaut gehabt und die andere abgemacht und habe bei der ssd den Bootsector gescannt(mit antivir) und es hat nichts gefunden

    d.h. der virus liegt nur auf der alten Festplatte... wie ich ihn wegbekomme weiß ich jedoch immer noch nicht?(

    Ach so: auf der alten Platte wo das virus drauf ist, befinden sich noch keine Daten drauf
     
  3. 29. Dezember 2010
    AW: BOO/Alureon.A boot sector virus [Festplatten mit AES verschlüsselt]

    Hi,

    da keine Daten vorhanden sind versuche mal folgendes:

    - MBRs löschen und neu anlegen (Mit Windows CD) Anleitung
    - System gemäß folgender Anleitung neu aufsetzen (falls nötig)

    Du solltest alle PWs ändern und kein Onlinebanking oder andere Einkäufe starten.

    Anschliessend nochmal einen AviraScan + MBR Check und Logs posten

    Gruß
    R0cka
     
  4. 29. Dezember 2010
    AW: BOO/Alureon.A boot sector virus [Festplatten mit AES verschlüsselt]

    vielen dfank, hat funktioniert!
    Bw is raus!

    ~close~
     
  5. Video Script

    Videos zum Themenbereich

    * gefundene Videos auf YouTube, anhand der Überschrift.