Druckbare Version
Hallo,
Ich wurde Infiziert ich weis nicht vonw as ich weis nicht von wem und ich weis nicht was es für ein Virus/Trojaner/Botnet ist :)
Ich weis nur das mein Steam Account alle Freunde gelöscht hat und ich weis das mein internet seit 3 Tagen ziemlich langsam ist..
Villeicht ist hier jemand erfahren und kann mir mal helfen :)
Hijackthis laden posten,
netstat -b checken welche verbindungen ausgehen
Junge, lies die Stickies - die sind nicht umsonst da. http://free-hack.com/erkennung-hilfe...ziert-bin.html
http://free-hack.com/erkennung-hilfe...n-posting.html - Eher mal hier nachlesen!
Gruß,
Apex
1.formatiere dein pc dann sollte alles wieder clean sein.
2.beim nächstes mal vlt SUFU nutzen.
Das mit dem formatieren ist immer eine Lösung mit der man eig. nicht leben kann.
Mann muss alles wieder neu aufspielen.
Ich denke mal sie sucht was anderes.
Schau mal hier vll hilft dir das weiter.
http://free-hack.com/erkennung-hilfe...e-antwort.html
Wenn dein System startet und fertig geladen hast gehst du auf:
Ausführen -> cmd -> und gibt dort "netstat -n" ein.
Jetzt siehst du einen Host/IP, nun weisst du wer dir den Trojaner gegeben hatt :)
Geh auch im Autostart gucken, mit:
Ausführen -> msconfig -> Spalte Systemstart.
Wenn du was verdächtiges siehst mach einfach den Hacken weg dann sollte das Ding (Wenn es low ist) nichtmehr aufstarten.
Ansonsten Pc Formatieren.
Mfg Chillerz.
WARUM ?!!!!Zitat:
Zitat von Specia!
Unter jedem Hilfe Thread den ich im Inet finde steht von min 10 Schlümpfen ,wie dir, das man den Pc formatieren soll !!!! Wie wärs wenn man einfach gleich einen neuen Pc kauft? Das einzigste was man formatieren soll sind solch sinfreie Posts wie du ihn geschrieben hast."Nur weil Ameisen im Haus sind, räumst du doch auch nicht alles aus und renovierst dein Haus neu"
Jetzt zur Lösung:
1.Look Vorposter
2. Kannst du Updates durchführen zb AntiVir
3. Schau mal ob in deinem Browser ein Proxy eingestellt ist
!!! Alles muss auf Automatisch sein, nicht manuel.
4. In deinen Win Einstellungen kann man auch einen Proxy einstellen
5. Hijack und dein Avira drüber laufen lassen
6. Anti Spyware drüber laufen lassen
7. Wenn das ales nicht hilft, dann schreib mir eine Pm ich schau mir mal deinen Pc näher an, Sehr viele Möglichkeiten hat man da nicht.
@katerlysator:Zitat:
Das einzigste was man formatieren soll sind solch sinfreie Posts wie du.ihn geschrieben hast."Nur weil Ameisen im
Haus sind, räumst du doch.auch nicht alles aus und renovierst d
ein Haus neu"
schon mal etwas von Sicherheitskonzepten gehört? :rolleyes:
Sowas wie "Ein kompromittiertes System ist nicht vertrauenswürdig" ?
Du willst mit Avira & Hijackthis & Anti-Spy-sonstwas (oder einfach durch Remote-draufschauen) auf einem laufenden System Rootkits erkennen?
Aha. Krass. Respekt.
Ich würde mir noch nichtmal die Säuberung von ordentlicher Ring3 Malware zutrauen wollen, da man danach immer noch nicht garantieren kann, alles erwischt zu haben.
Über Ring0 aka Rootkits ganz zu schweigen. Wenn man sich über einen 0-Day Exploit infiziert, bekommt man i.R auch keinen billigen NET Bot drauf ;). Viel Spass, mit TCPView oder netstat irgendwelchen Netzwerkverkehr erkennen zu wollen, der über einen eigenen TCP/IP Stack läuft.
*hust*. Wie gesagt - die üblichen 0815 VB6/NET Bots sollte man nicht als das Maß aller Dinge ansehen *g*.Zitat:
Sehr viele Möglichkeiten hat man da nicht.
Btw:
Dir ist schon klar, dass auch MS ganz offiziell Neuaufsetzen empfielt?
http://technet.microsoft.com/en-us/library/cc512587.aspx
(usw, ich habe nur Ausschnitte zitiert)Zitat:
Cleaning a Compromised System
So, you didn’t patch the system and it got hacked. What to do? Well, let’s see:
- You can’t clean a compromised system by patching it. Patching only removes the vulnerability. Upon getting into your system, the attacker probably ensured that there were several other ways to get back in.
- You can’t clean a compromised system by removing the back doors. You can never guarantee that you found all the back doors the attacker put in. The fact that you can’t find any more may only mean you don’t know where to look, or that the system is so compromised that what you are seeing is not actually what is there.
- You can’t clean a compromised system by using some “vulnerability remover.” Let’s say you had a system hit by Blaster. A number of vendors (including Microsoft) published vulnerability removers for Blaster. Can you trust a system that had Blaster after the tool is run? I wouldn’t. If the system was vulnerable to Blaster, it was also vulnerable to a number of other attacks. Can you guarantee that none of those have been run against it? I didn’t think so.
- You can’t clean a compromised system by using a virus scanner. To tell you the truth, a fully compromised system can’t be trusted. Even virus scanners must at some level rely on the system to not lie to them.
- You can’t clean a compromised system by reinstalling the operating system over the existing installation.
- You can’t trust any data copied from a compromised system. Once an attacker gets into a system, all the data on it may be modified.
- The only way to clean a compromised system is to flatten and rebuild. That’s right. If you have a system that has been completely compromised, the only thing you can do is to flatten the system (reformat the system disk) and rebuild it from scratch (reinstall Windows and your applications). Alternatively, you could of course work on your resume instead, but I don’t want to see you doing that.
Denn am Ende ist der Säuberungsaufwand häufig eher größer als der Aufwand zum Neuaufsetzen, wogegen man beim letzteren
viel mehr Sicherheit hat.
PS: es gibt sowas wie Backups - man setzt ein System einmal auf, richtet alles ein und macht davon ein Backup.
Dann kann man mit wenigen Klicks alles wiederherstellen lassen.
da ich mir dachte das es quatsch wäre nen neues thema aufzumachen poste ich mein problem hier mit rein... mein hauptproblem/e sind das zeichen wie ^´ doppelt auf dem bildschirm kommen und meine explorer.exe abstürzt.
was ich bisher getan habe:
spybot
avira
eset onlinescan
ad-ware
und hijackthis (was mich daran bissl verwirrt ist das hier nur ie und kein eintrag vom firefox vorhanden ist)
bei dem letzteren traue ich mich nicht so ran und poste deshalb mal die file
ich hoffe könnt mir helfen:)Zitat:
Logfile of Trend Micro HijackThis v2.0.4
Scan saved at 20:56:48, on 02.11.2010
Platform: Windows 7 (WinNT 6.00.3504)
MSIE: Internet Explorer v8.00 (8.00.7600.16671)
Boot mode: Normal
Running processes:
D:\Program Files (x86)\Analog Devices\SoundMAX\SoundMAX.exe
D:\Program Files (x86)\RivaTuner v2.24 MSI Master Overclocking Arena 2009 edition\RivaTuner.exe
D:\Program Files (x86)\CPU-Control\CPU_Control.exe
D:\Program Files (x86)\Sony Ericsson\Sony Ericsson PC Suite\SEPCSuite.exe
D:\Program Files (x86)\DAEMON Tools Lite\DTLite.exe
D:\Program Files (x86)\DSL-Manager\DslMgr.exe
D:\Program Files (x86)\Elaborate Bytes\VirtualCloneDrive\VCDDaemon.exe
D:\Program Files (x86)\avmwlanstick\WLanGUI.exe
D:\Windows\SysWOW64\Ctxfihlp.exe
D:\Program Files (x86)\ASUS\AI Suite\AiNap\AiNap.exe
D:\Program Files (x86)\Analog Devices\Core\smax4pnp.exe
D:\Program Files (x86)\Avira\AntiVir Desktop\avgnt.exe
D:\Program Files (x86)\ASUS\SmartDoctor\SmartDoctor.exe
D:\Windows\SysWOW64\CTXFISPI.EXE
D:\Program Files (x86)\Mozilla Firefox\firefox.exe
D:\Program Files (x86)\Lavasoft\Ad-Aware\AAWTray.exe
D:\Program Files (x86)\Mozilla Firefox\plugin-container.exe
D:\Program Files (x86)\Lavasoft\Ad-Aware\Ad-Aware.exe
D:\Program Files (x86)\VirtualDJ\virtualdj.exe
D:\Program Files (x86)\Trend Micro\HiJackThis\HiJackThis.exe
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = Bing
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = eBay - eine der größten deutschen Shopping-Websites
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = MSN.com
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = Bing
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = Bing
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = MSN.com
R0 - HKLM\Software\Microsoft\Internet Explorer\Search,SearchAssistant =
R0 - HKLM\Software\Microsoft\Internet Explorer\Search,CustomizeSearch =
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Local Page = D:\Windows\SysWOW64\blank.htm
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName =
R3 - URLSearchHook: (no name) - - (no file)
O2 - BHO: Spybot-S&D IE Protection - {53707962-6F74-2D53-2644-206D7942484F} - D:\Program Files (x86)\Spybot - Search & Destroy\SDHelper.dll
O2 - BHO: Windows Live ID Sign-in Helper - {9030D464-4C02-4ABF-8ECC-5164760863C6} - D:\Program Files (x86)\Common Files\Microsoft Shared\Windows Live\WindowsLiveLogin.dll
O2 - BHO: URLRedirectionBHO - {B4F3A835-0E21-4959-BA22-42B3008E02FF} - D:\PROGRA~2\MICROS~1\Office14\URLREDIR.DLL
O3 - Toolbar: Toolbar fuer eBay - {000E148C-F7A7-445A-9044-93BF6CE09ECB} - D:\Users\Stefan\AppData\Roaming\Toolbars\Toolbar fuer eBay\ebay.dll
O4 - HKLM\..\Run: [VirtualCloneDrive] "D:\Program Files (x86)\Elaborate Bytes\VirtualCloneDrive\VCDDaemon.exe" /s
O4 - HKLM\..\Run: [AVMWlanClient] D:\Program Files (x86)\avmwlanstick\wlangui.exe
O4 - HKLM\..\Run: [CTxfiHlp] CTXFIHLP.EXE
O4 - HKLM\..\Run: [Ai Nap] "D:\Program Files (x86)\ASUS\AI Suite\AiNap\AiNap.exe"
O4 - HKLM\..\Run: [QFan Help] "D:\Program Files (x86)\ASUS\AI Suite\QFan3\QFanHelp.exe"
O4 - HKLM\..\Run: [Cpu Level Up] "D:\Program Files (x86)\ASUS\AI Suite\CPU Level UPEx\CpuLevelUp.exe" -r
O4 - HKLM\..\Run: [CloneCDTray] "D:\Program Files (x86)\SlySoft\CloneCD\CloneCDTray.exe" /s
O4 - HKLM\..\Run: [SoundMAXPnP] D:\Program Files (x86)\Analog Devices\Core\smax4pnp.exe
O4 - HKLM\..\Run: [avgnt] "D:\Program Files (x86)\Avira\AntiVir Desktop\avgnt.exe" /min
O4 - HKCU\..\Run: [CPU_Control] D:\Program Files (x86)\CPU-Control\CPU_Control.exe
O4 - HKCU\..\Run: [Sidebar] D:\Program Files\Windows Sidebar\sidebar.exe /autoRun
O4 - HKCU\..\Run: [Sony Ericsson PC Suite] "D:\Program Files (x86)\Sony Ericsson\Sony Ericsson PC Suite\SEPCSuite.exe" /systray /nologon
O4 - HKCU\..\Run: [DAEMON Tools Lite] "D:\Program Files (x86)\DAEMON Tools Lite\DTLite.exe" -autorun
O4 - HKCU\..\Run: [ICQ] "D:\Program Files (x86)\ICQ7.0\ICQ.exe" silent loginmode=4
O4 - HKUS\S-1-5-19\..\Run: [Sidebar] %ProgramFiles%\Windows Sidebar\Sidebar.exe /autoRun (User 'LOCAL SERVICE')
O4 - HKUS\S-1-5-19\..\RunOnce: [mctadmin] D:\Windows\System32\mctadmin.exe (User 'LOCAL SERVICE')
O4 - HKUS\S-1-5-20\..\Run: [Sidebar] %ProgramFiles%\Windows Sidebar\Sidebar.exe /autoRun (User 'NETWORK SERVICE')
O4 - HKUS\S-1-5-20\..\RunOnce: [mctadmin] D:\Windows\System32\mctadmin.exe (User 'NETWORK SERVICE')
O4 - Startup: DSL-Manager.lnk = D:\Program Files (x86)\DSL-Manager\DslMgr.exe
O8 - Extra context menu item: add to &BOM - D:\\PROGRA~2\\BIET-O~1\\\\AddToBOM.hta
O8 - Extra context menu item: An OneNote s&enden - res://D:\PROGRA~1\MICROS~2\Office14\ONBttnIE.dll/105
O8 - Extra context menu item: Nach Microsoft E&xcel exportieren - res://D:\PROGRA~1\MICROS~2\Office14\EXCEL.EXE/3000
O8 - Extra context menu item: Nach Microsoft E&xel exportieren - res://D:\PROGRA~2\MICROS~1\Office12\EXCEL.EXE/3000
O9 - Extra button: An OneNote senden - {2670000A-7350-4f3c-8081-5663EE0C6C49} - D:\Program Files (x86)\Microsoft Office\Office14\ONBttnIE.dll
O9 - Extra 'Tools' menuitem: An OneNote s&enden - {2670000A-7350-4f3c-8081-5663EE0C6C49} - D:\Program Files (x86)\Microsoft Office\Office14\ONBttnIE.dll
O9 - Extra button: Verknüpfte &OneNote-Notizen - {789FE86F-6FC4-46A1-9849-EDE0DB0C95CA} - D:\Program Files (x86)\Microsoft Office\Office14\ONBttnIELinkedNotes.dll
O9 - Extra 'Tools' menuitem: Verknüpfte &OneNote-Notizen - {789FE86F-6FC4-46A1-9849-EDE0DB0C95CA} - D:\Program Files (x86)\Microsoft Office\Office14\ONBttnIELinkedNotes.dll
O9 - Extra button: ICQ7 - {88EB38EF-4D2C-436D-ABD3-56B232674062} - D:\Program Files (x86)\ICQ7.0\ICQ.exe
O9 - Extra 'Tools' menuitem: ICQ7 - {88EB38EF-4D2C-436D-ABD3-56B232674062} - D:\Program Files (x86)\ICQ7.0\ICQ.exe
O9 - Extra button: (no name) - {DFB852A3-47F8-48C4-A200-58CAB36FD2A2} - D:\Program Files (x86)\Spybot - Search & Destroy\SDHelper.dll
O9 - Extra 'Tools' menuitem: Spybot - Search && Destroy Configuration - {DFB852A3-47F8-48C4-A200-58CAB36FD2A2} - D:\Program Files (x86)\Spybot - Search & Destroy\SDHelper.dll
O10 - Unknown file in Winsock LSP: d:\program files (x86)\common files\microsoft shared\windows live\wlidnsp.dll
O10 - Unknown file in Winsock LSP: d:\program files (x86)\common files\microsoft shared\windows live\wlidnsp.dll
O16 - DPF: {D27CDB6E-AE6D-11CF-96B8-444553540000} (Shockwave Flash Object) - http://fpdownload2.macromedia.com/ge...sh/swflash.cab
O16 - DPF: {F6ACF75C-C32C-447B-9BEF-46B766368D29} (Creative Software AutoUpdate Support Package) - http://ccfiles.creative.com/Web/soft...5109/CTPID.cab
O18 - Filter hijack: text/xml - {807573E5-5146-11D5-A672-00B0D022E945} - D:\Program Files (x86)\Common Files\Microsoft Shared\OFFICE14\MSOXMLMF.DLL
O20 - AppInit_DLLs: AnyDiscHelp.dll
O22 - SharedTaskScheduler: Windows DreamScene - {E31004D1-A431-41B8-826F-E902F9D95C81} - D:\Windows\SysWow64\DreamScene.dll
O23 - Service: Andrea ADI Filters Service (AEADIFilters) - Unknown owner - D:\Windows\system32\AEADISRV.EXE (file missing)
O23 - Service: @%SystemRoot%\system32\Alg.exe,-112 (ALG) - Unknown owner - D:\Windows\System32\alg.exe (file missing)
O23 - Service: Avira AntiVir Planer (AntiVirSchedulerService) - Avira GmbH - D:\Program Files (x86)\Avira\AntiVir Desktop\sched.exe
O23 - Service: Avira AntiVir Guard (AntiVirService) - Avira GmbH - D:\Program Files (x86)\Avira\AntiVir Desktop\avguard.exe
O23 - Service: ATK Fast User Switch Service (ATKFUSService) - Unknown owner - D:\Windows\system32\ATKFUSService.exe (file missing)
O23 - Service: AVM WLAN Connection Service - AVM Berlin - D:\Program Files (x86)\avmwlanstick\WlanNetService.exe
O23 - Service: Creative ALchemy AL6 Licensing Service - Creative Labs - D:\Program Files (x86)\Common Files\Creative Labs Shared\Service\AL6Licensing.exe
O23 - Service: Creative Audio Engine Licensing Service - Creative Labs - D:\Program Files (x86)\Common Files\Creative Labs Shared\Service\CTAELicensing.exe
O23 - Service: Creative Audio Service (CTAudSvcService) - Creative Technology Ltd - D:\Program Files (x86)\Creative\Shared Files\CTAudSvc.exe
O23 - Service: Dragon Age: Origins - Content Updater (DAUpdaterSvc) - BioWare - G:\Dragon Age\bin_ship\DAUpdaterSvc.Service.exe
O23 - Service: Defragmentation-Service (DfSdkS) - mst software GmbH, Germany - D:\Program Files (x86)\Ashampoo\Ashampoo WinOptimizer 6\Dfsdks.exe
O23 - Service: @%SystemRoot%\system32\efssvc.dll,-100 (EFS) - Unknown owner - D:\Windows\System32\lsass.exe (file missing)
O23 - Service: Emma Device Management (EmmaDevMgmtSvc) - Sony Ericsson Mobile Communications - D:\Program Files (x86)\Common Files\Sony Ericsson\Emma Core\Services64\EmmaDeviceMgmt.exe
O23 - Service: Emma Update Management (EmmaUpdMgmtSvc) - Sony Ericsson Mobile Communications - D:\Program Files (x86)\Common Files\Sony Ericsson\Emma Core\Services64\EmmaUpdateMgmt.exe
O23 - Service: @%systemroot%\system32\fxsresm.dll,-118 (Fax) - Unknown owner - D:\Windows\system32\fxssvc.exe (file missing)
O23 - Service: HDD & SSD access service - BinarySense Ltd. - D:\Program Files (x86)\Common Files\BinarySense\disksvc.exe
O23 - Service: InstallDriver Table Manager (IDriverT) - Macrovision Corporation - D:\Program Files (x86)\Common Files\InstallShield\Driver\11\Intel 32\IDriverT.exe
O23 - Service: @keyiso.dll,-100 (KeyIso) - Unknown owner - D:\Windows\system32\lsass.exe (file missing)
O23 - Service: KMService - Unknown owner - D:\Windows\system32\srvany.exe
O23 - Service: Lavasoft Ad-Aware Service - Lavasoft - D:\Program Files (x86)\Lavasoft\Ad-Aware\AAWService.exe
O23 - Service: @comres.dll,-2797 (MSDTC) - Unknown owner - D:\Windows\System32\msdtc.exe (file missing)
O23 - Service: @%SystemRoot%\System32\netlogon.dll,-102 (Netlogon) - Unknown owner - D:\Windows\system32\lsass.exe (file missing)
O23 - Service: Netzmanager Infrastruktur Informationssystem Dienst (Netzmanager Service) - Deutsche Telekom AG - D:\Program Files\Netzmanager\NMInfraIS2\Netzmanager_Service.e xe
O23 - Service: NVIDIA Display Driver Service (nvsvc) - Unknown owner - D:\Windows\system32\nvvsvc.exe (file missing)
O23 - Service: Sony Ericsson OMSI download service (OMSI download service) - Unknown owner - D:\Program Files (x86)\Sony Ericsson\Sony Ericsson PC Suite\SupServ.exe
O23 - Service: @%systemroot%\system32\psbase.dll,-300 (ProtectedStorage) - Unknown owner - D:\Windows\system32\lsass.exe (file missing)
O23 - Service: @%systemroot%\system32\Locator.exe,-2 (RpcLocator) - Unknown owner - D:\Windows\system32\locator.exe (file missing)
O23 - Service: @%SystemRoot%\system32\samsrv.dll,-1 (SamSs) - Unknown owner - D:\Windows\system32\lsass.exe (file missing)
O23 - Service: SBSD Security Center Service (SBSDWSCService) - Safer Networking Ltd. - D:\Program Files (x86)\Spybot - Search & Destroy\SDWinSec.exe
O23 - Service: @%SystemRoot%\system32\snmptrap.exe,-3 (SNMPTRAP) - Unknown owner - D:\Windows\System32\snmptrap.exe (file missing)
O23 - Service: @%systemroot%\system32\spoolsv.exe,-1 (Spooler) - Unknown owner - D:\Windows\System32\spoolsv.exe (file missing)
O23 - Service: @%SystemRoot%\system32\sppsvc.exe,-101 (sppsvc) - Unknown owner - D:\Windows\system32\sppsvc.exe (file missing)
O23 - Service: NVIDIA Stereoscopic 3D Driver Service (Stereo Service) - NVIDIA Corporation - D:\Program Files (x86)\NVIDIA Corporation\3D Vision\nvSCPAPISvr.exe
O23 - Service: DSL-Manager (TDslMgrService) - T-Systems Enterprise Services GmbH - D:\Program Files (x86)\DSL-Manager\DslMgrSvc.exe
O23 - Service: @%SystemRoot%\system32\ui0detect.exe,-101 (UI0Detect) - Unknown owner - D:\Windows\system32\UI0Detect.exe (file missing)
O23 - Service: @%SystemRoot%\system32\vaultsvc.dll,-1003 (VaultSvc) - Unknown owner - D:\Windows\system32\lsass.exe (file missing)
O23 - Service: @%SystemRoot%\system32\vds.exe,-100 (vds) - Unknown owner - D:\Windows\System32\vds.exe (file missing)
O23 - Service: @%systemroot%\system32\vssvc.exe,-102 (VSS) - Unknown owner - D:\Windows\system32\vssvc.exe (file missing)
O23 - Service: @%SystemRoot%\system32\Wat\WatUX.exe,-601 (WatAdminSvc) - Unknown owner - D:\Windows\system32\Wat\WatAdminSvc.exe (file missing)
O23 - Service: @%systemroot%\system32\wbengine.exe,-104 (wbengine) - Unknown owner - D:\Windows\system32\wbengine.exe (file missing)
O23 - Service: @%Systemroot%\system32\wbem\wmiapsrv.exe,-110 (wmiApSrv) - Unknown owner - D:\Windows\system32\wbem\WmiApSrv.exe (file missing)
O23 - Service: @%PROGRAMFILES%\Windows Media Player\wmpnetwk.exe,-101 (WMPNetworkSvc) - Unknown owner - D:\Program Files (x86)\Windows Media Player\wmpnetwk.exe (file missing)
--
End of file - 12959 bytes
O10 - Unknown file in Winsock LSP: d:\program files (x86)\common files\microsoft shared\windows live\wlidnsp.dll
Prüfen Sie Ihre Festplatte mit Spybot S&D von Kolla.de oder LSPFix von Cexx.org! Diese Einträge sollten nicht manuell gelöscht werden! Beste Möglichkeit zur Reparatur bietet LSPFix von Cexx.org.
Scheint infiziert zu sein.
Alle AV's hast du einzeln getestet? Blos nicht mehrere gleichzeitig, das führt zu Problemen bei Kernel Hooks etc.
Probier mal LSPFix, ansonsten melde dich nochmal
für die zeit, welche ich nicht hier war (krankheitsbedingt), hat sich zum glück kaum etwas hier verändert, schnelle und gute kompetenz der community:).
so nun zur eigentlichen antwort..wurde alles nacheinander gescannt,
lspfix habe ich grad ma runtergeladen und meinte "no problem found".
könnte jedoch noch 2 berichte von OTL anbieten
@EvilKniefel: Könnte daran liegen, das deine Systempartition nicht auf C liegt, bzw %SystemRoot% nicht richtig gesetzt ist.
Ansonsten fällt mir nichts ungewöhnliches auf.
Wie hat sich die Infektion bemerkbar gemacht?
hast du dir die logfile eig ma angeschaut?Zitat:
format c: ?
Zitat:
Zitat von Clode
is nen zustand, aber keine lösung in meinen augen.
bin auch hier um nochn bissl was zu lernen, den rechner in den urzustand zurückzubomben habe ich bereits gelernt:confused:
EvilKniefel: nach was trat das denn auf? Sprich: Crack o.ä. installiert? Irgendwas runtergeladenes ausgeführt?
hm, angefangen hat es vor 2 wochen... wollte ma schaun obs im netz nicht auch bissl stuffseiten mit angehobenere audioqualy gibt.. nunja, als das erste fenster aufging vonwegen spywareprogramm kaufen wusste ich was los war.. paar popupfenster gingen auch auf und systemwiederherstellungskonsole wurde deaktiviert (schlüssel in regedit gesetzt).Zitat:
Wie hat sich die Infektion bemerkbar gemacht?
der spaß wurde alles behoben.
seit 2 tagen muckt meine explorer.exe rum. einzigstens installs waren fallout new vegas und neue nvidia treiber soweit ich mich erinnern kann
und wenn ich 2mal ^^ drücke kommt ^^^^.Zitat:
Also wenn ich bei mir 2x die Taste [°^] drücke kommt auch " ^^ " raus und ich denke das ist kein Virus.. genauso wenn ich 2x die Taste [`,] drücke kommt " ´´ " raus ;)
am release von fallout wird es nicht liegen, bzw am crack, nen kollege von mir hat das selbe betriebssystem+release und hat keine problemeZitat:
EvilKniefel: nach was trat das denn auf? Sprich: Crack o.ä. installiert? Irgendwas runtergeladenes ausgeführt?
Das verhalten der ^-Taste könnte auf KeyboardHooks hinweisen.
Was ist das für ein Programm:
O4 - HKUS\S-1-5-19\..\RunOnce: [mctadmin] D:\Windows\System32\mctadmin.exe (User 'LOCAL SERVICE')
?
Scann mal bei Virustotal o.ä.
Wenn du weißt welches Programm das ausgelöst haben könnte, empfehle ich zusätzlich Sandbox analysen.
seit 2 tagen muckt meine explorer.exe rum. einzigstens installs waren fallout new vegas und neue nvidia treiber soweit ich mich erinnern kann
vllt wars ha mit iwas gebindet... -.-* würds nochmal auf prüfen
Wenn die Tastatur schon gehookt wird, möchte jemand auch an diese rankommen.
Behalte doch mal die Verbindungen im Auge. Vielleicht lässt sich so entlarven was (oder gar: wer) dahinter steckt.
Also du könntest das ganze mal auf HijackThis Logfileauswertung auswerten lassen und die entsprechenden Ergebnisse anschauen...
Sieht aber nicht allzu schön aus... Du hast 13 Schädliche Einträge und 10 Unbekannte
Solltest du mal fixen oder die Festplatte formatieren ;D
Soweit ich das beurteilen kann ist das eine Komponente von Windows 7. Korrekterweise in %SYSTEMROOT%\System32 vorhanden, außerdem eine versteckte Datei. Die Dateigröße sollte 93184 Bytes betragen. Prozessname MCTadmin.Zitat:
Zitat von GregorSamsa
Kann außer als Lokaler Dienst auch als Netzwerkdienst gestartet werden.
greetz
c
@GregorSamsa
datei zum hochladen nicht vorhanden... ist auch nicht hidden, mir grad auchn rätsel
@shoei
habe ich vorhin nochmal online scannen lassen
@clode
werde ich nachher ma schaun, war ja glaube netstat-a oder?
werde ma die kiste rebooten und ma schaun was ovp so für protokolle ausspuckt
1. Sind das Empfehlungen von HijackThis, daher bitte ich doch um genauere Untersuchung der Dateien.
2. Clode, du redest immernoch quatsch, tut mir leid. Fehlerhafte Tastaturhooks zeugen nicht von können, genausowenig kann man groß was anfangen mit einer IP die per netstat -b herausgefunden wird.
Schon Userland Rootkits können ohne Probleme die Verbindungen verstecken.
3. Ist formatieren keine Alternative. Bisher hab ich sämtliche Malware, und das war einiges, ohne formatieren entfernen können.
Glaubst du ;)Zitat:
Zitat von GregorSamsa
Es ist außerdem nicht möglich Verbindungen komplett zu verstecken.
hm dreht sich mir jetzt schon der magen um, aber wenn niemanden was bei den logs auffällt siehts wohl ganz danach ausZitat:
Zitat von shoei
Wieso so kompliziert???
Autoruns - Download - CHIP Online
zeigt sogar den pfad an ...
Bitte das nächste mal in unseren NoPast-Service reinstecken, das boomt den Inhalt komplett.
Und wenn ich hier noch einmal lesen muss, dass der User einfach formatieren soll, der kriegt nen Lebensban, versprochen!
thema für mich beendet, habe die kiste um paar tage zurückgestellt und läuft.
bedanke mich für die hilfe, auch wenns mit dem normalen entfernen nicht geklapt hat.
mfg
naja wenns nen dicker fetter trojaner war dann hilft nichts paar tage zurückstellen...
Achja fürs nächste mal .: es gibt eine neue version der security/fw lösung "comodo" die ziemlich gut abschneidet. Ich bin echt überrascht. :) Es wurden einige fehler behoben und schon damals konnte sich die SOftware sehen lassen. Nun ist sie wesentlich besser. Unbekannte daten werden vorab in einer gesicherten sandbox umgebung gestartet. Man kann dann im nachhinein entscheiden ob man die datei normal ausführen will. Man muss aber nicht ,im sandbox mode lässt es sich ,resourcen schonend ,gut arbeiten. Es gibt noch weitere ,zahlreiceh features. Ich kann comodo nur jedem empfehlen.
Aber vorweg, wenn das System natürlich schon kompromitiert wurde ,ist selbst eine gute Security lösung problematisch. Von dem her, haben einige schon recht mit der aussage, dass ein format die obligatorisch beste Lösung ist. ;)
LG
vince