Ich glaube ich bin infiziert.

Druckbare Version

14.04.2009, 11:07
cl9wn

Ich glaube ich bin infiziert.

Na toll, ich hab gerade erst formatiert!!!

Hijackthis:

Code:

Logfile of Trend Micro HijackThis v2.0.2 Scan saved at 12:03:41, on 14.04.2009 Platform: Windows XP SP3 (WinNT 5.01.2600) MSIE: Internet Explorer v7.00 (7.00.6000.16705) Boot mode: Normal Running processes: C:\WINXP\System32\smss.exe C:\WINXP\system32\winlogon.exe C:\WINXP\system32\services.exe C:\WINXP\system32\lsass.exe C:\WINXP\system32\Ati2evxx.exe C:\WINXP\system32\svchost.exe C:\WINXP\System32\svchost.exe C:\WINXP\system32\Ati2evxx.exe C:\WINXP\system32\spoolsv.exe D:\Programme\Avira\AntiVir Desktop\sched.exe C:\WINXP\Explorer.EXE D:\Programme\Avira\AntiVir Desktop\avgnt.exe D:\Programme\Avira\AntiVir Desktop\avguard.exe d:\Programme\CodeGear\RAD Studio\6.0\bin\BSQLServer.exe C:\WINXP\Microsoft.NET\Framework\v2.0.50727\mscorsvw.exe D:\Programme\Java\jre6\bin\jqs.exe d:\Programme\Sandboxie\SbieSvc.exe C:\WINXP\System32\TUProgSt.exe d:\Programme\S.A.D\CyberGhost VPN\CGVPNCliService.exe C:\WINXP\system32\wbem\wmiapsrv.exe C:\WINXP\system32\ctfmon.exe D:\Programme\Spybot - Search & Destroy\SpybotSD.exe C:\WINXP\system32\cmd.exe C:\WINXP\system32\svchost.exe D:\Programme\Trend Micro\HijackThis\HijackThis.exe R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = http://go.microsoft.com/fwlink/?LinkId=54896 R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://go.microsoft.com/fwlink/?LinkId=69157 R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://go.microsoft.com/fwlink/?LinkId=69157 R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://go.microsoft.com/fwlink/?LinkId=54896 R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = http://go.microsoft.com/fwlink/?LinkId=54896 R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = http://go.microsoft.com/fwlink/?LinkId=69157 R0 - HKLM\Software\Microsoft\Internet Explorer\Search,SearchAssistant = R0 - HKLM\Software\Microsoft\Internet Explorer\Search,CustomizeSearch = O2 - BHO: AcroIEHelperStub - {18DF081C-E8AD-4283-A596-FA578C2EBDC3} - C:\Programme\Gemeinsame Dateien\Adobe\Acrobat\ActiveX\AcroIEHelperShim.dll O2 - BHO: Java(tm) Plug-In 2 SSV Helper - {DBC80044-A445-435b-BC74-9C25C1C588A9} - D:\Programme\Java\jre6\bin\jp2ssv.dll O2 - BHO: JQSIEStartDetectorImpl - {E7E6F031-17CE-4C07-BC86-EABFE594F69C} - D:\Programme\Java\jre6\lib\deploy\jqs\ie\jqs_plugin.dll O4 - HKLM\..\Run: [avgnt] "D:\Programme\Avira\AntiVir Desktop\avgnt.exe" /min O4 - HKUS\S-1-5-19\..\Run: [CTFMON.EXE] C:\WINXP\system32\CTFMON.EXE (User 'LOKALER DIENST') O4 - HKUS\S-1-5-19\..\RunOnce: [nltide_2] regsvr32 /s /n /i:U shell32 (User 'LOKALER DIENST') O4 - HKUS\S-1-5-20\..\Run: [CTFMON.EXE] C:\WINXP\system32\CTFMON.EXE (User 'NETZWERKDIENST') O4 - HKUS\S-1-5-20\..\RunOnce: [nltide_2] regsvr32 /s /n /i:U shell32 (User 'NETZWERKDIENST') O4 - HKUS\S-1-5-18\..\Run: [CTFMON.EXE] C:\WINXP\system32\CTFMON.EXE (User 'SYSTEM') O4 - HKUS\S-1-5-18\..\RunOnce: [nltide_2] regsvr32 /s /n /i:U shell32 (User 'SYSTEM') O4 - HKUS\.DEFAULT\..\Run: [CTFMON.EXE] C:\WINXP\system32\CTFMON.EXE (User 'Default user') O4 - HKUS\.DEFAULT\..\RunOnce: [nltide_2] regsvr32 /s /n /i:U shell32 (User 'Default user') O8 - Extra context menu item: Nach Microsoft &Excel exportieren - res://D:\PROGRA~1\MICROS~1\OFFICE11\EXCEL.EXE/3000 O9 - Extra button: Recherchieren - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - D:\PROGRA~1\MICROS~1\OFFICE11\REFIEBAR.DLL O9 - Extra button: (no name) - {e2e2dd38-d088-4134-82b7-f2ba38496583} - C:\WINXP\Network Diagnostic\xpnetdiag.exe O9 - Extra 'Tools' menuitem: @xpsp3res.dll,-20001 - {e2e2dd38-d088-4134-82b7-f2ba38496583} - C:\WINXP\Network Diagnostic\xpnetdiag.exe O9 - Extra button: ICQ6 - {E59EB121-F339-4851-A3BA-FE49C35617C2} - d:\Programme\ICQ6.5\ICQ.exe O9 - Extra 'Tools' menuitem: ICQ6 - {E59EB121-F339-4851-A3BA-FE49C35617C2} - d:\Programme\ICQ6.5\ICQ.exe O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe O10 - Unknown file in Winsock LSP: c:\winxp\system32\prxernsp.dll O10 - Unknown file in Winsock LSP: c:\winxp\system32\prxerdrv.dll O10 - Unknown file in Winsock LSP: c:\winxp\system32\prxerdrv.dll O23 - Service: Avira AntiVir Planer (AntiVirSchedulerService) - Avira GmbH - D:\Programme\Avira\AntiVir Desktop\sched.exe O23 - Service: Avira AntiVir Guard (AntiVirService) - Avira GmbH - D:\Programme\Avira\AntiVir Desktop\avguard.exe O23 - Service: Ati HotKey Poller - ATI Technologies Inc. - C:\WINXP\system32\Ati2evxx.exe O23 - Service: ATI Smart - Unknown owner - C:\WINXP\system32\ati2sgag.exe O23 - Service: BlackfishSQL - CodeGear - d:\Programme\CodeGear\RAD Studio\6.0\bin\BSQLServer.exe O23 - Service: CyberGhost VPN Client (CGVPNCliSrvc) - mobile concepts GmbH - d:\Programme\S.A.D\CyberGhost VPN\CGVPNCliService.exe O23 - Service: getPlus(R) Helper - NOS Microsystems Ltd. - C:\Programme\NOS\bin\getPlus_HelperSvc.exe O23 - Service: Java Quick Starter (JavaQuickStarterService) - Sun Microsystems, Inc. - D:\Programme\Java\jre6\bin\jqs.exe O23 - Service: Remote Packet Capture Protocol v.0 (experimental) (rpcapd) - CACE Technologies - C:\Programme\WinPcap\rpcapd.exe O23 - Service: Sandboxie Service (SbieSvc) - tzuk - d:\Programme\Sandboxie\SbieSvc.exe O23 - Service: TuneUp Drive Defrag-Dienst (TuneUp.Defrag) - TuneUp Software - C:\WINXP\System32\TuneUpDefragService.exe O23 - Service: TuneUp Program Statistics Service (TuneUp.ProgramStatisticsSvc) - TuneUp Software - C:\WINXP\System32\TUProgSt.exe -- End of file - 5692 bytes

Netstat -a:

http://img151.imageshack.us/img151/8546/netstat.jpg

Es tauchen ab und zu im netstat komische ports auf ... ich hoffe es is nix, wär nett wenn das mal jemand checken könnte.
14.04.2009, 11:14
mbeezy

c:\winxp\system32\prxerdrv.dll

Lad die Datei mal auf Virustotal hoch und poste die Ergebnisse.
14.04.2009, 11:15
GregorSamsa

Mach mal netstat -b

Und ich glaub kaum dass das was ist... Allerhöchstens die, die über theplanet.com laufen...
14.04.2009, 11:22
kingweed

Hat dein AV die aktuellsten Virendefinitionen? Dann lass mal den scannen.
GGf. auch mal Adaware drüber laufen lassen.
14.04.2009, 11:26
hpoc

Ich würde mal behaupten selbstschuld. Ich kann es ja gerne nochmals schreiben.
Programme (Stealer, Crypter, RATs) wo ihr nicht den Source Code dazu habt und ihn versteht,
solltet ihr es nicht mit dem System öffenen wo ihr Produktiv benutzt.
Verwendet für solche Sachen ein Testsystem.
14.04.2009, 11:30
cl9wn

Zitat:

Zitat von hpoc

Ich würde mal behaupten selbstschuld. Ich kann es ja gerne nochmals schreiben.
Programme (Stealer, Crypter, RATs) wo ihr nicht den Source Code dazu habt und ihn versteht,
solltet ihr es nicht mit dem System öffenen wo ihr Produktiv benutzt.
Verwendet für solche Sachen ein Testsystem.

Soll das heissen dass ich auf jeden fall infiziert bin? Sry aber solche beiträge helfen mir recht wenig. Crypter und stealer dergleichen habe ich bisher nicht benutzt seit dem Formatieren. Nur das TS2 Pack hier von Free-Hack.

Netstat -b:

http://img14.imageshack.us/img14/1815/netstat2.jpg
14.04.2009, 11:33
hpoc

Gib mal Link und ich schau es mir an.
14.04.2009, 11:35
cl9wn

http://free-hack.com/showthread.php?t=1478

(Auf serials.ws war ich auch mal seit dem formatieren, hab gehört die Seite soll unsicher sein)

btw: Ist es normal, dass dich CTF loader immer wieder neu ins autostart reinmacht?
14.04.2009, 11:36
GregorSamsa

Das war nicht das komplette netstat listing - lass das mal laufen, bis es fertig ist und gib nochmal.

Oder shcua mal mit TCPVIEW von Sysinternals - da solltest du auch gute Info's bekommen
14.04.2009, 11:40
hpoc

Und wenn du "netstat -b" verwendest, solltest du die alles schliessen bis auf die Eingabeaufforderung.
Wenn du natürlich auf solche Webseiten gehst, musst du damit rechnen das du dich infiszieren könntest.
Hast du dann ein Cracker runtergeladen oder nur ein Serial angeschaut?
14.04.2009, 11:47
DarkFire

Zitat:

Zitat von cl9wn

btw: Ist es normal, dass dich CTF loader immer wieder neu ins autostart reinmacht?

Link
14.04.2009, 12:01
cl9wn

Hab mir lediglich serials angeschaut. Außerdem habe ich alle Programme von dem TS2 Pack, welche ich benutz hab (einige hat AV vorher gelöscht) immer mit Sandbox gestartet.
14.04.2009, 12:07
hpoc

Darum meinte ich ein Testsystem und keine (VMware, Sandbox).
Wie man schon öffters gesehen haben, schauen gwissen "Trojaner" ob die läuft und dann macht es nichts.
14.04.2009, 12:30
cl9wn

Hm also AV-Proggis finden nichts ... infektion eher unwahrscheinlich?
14.04.2009, 13:06
CYSER

Hast du denn bis jetzt irgendwelche beschwerden mit deinem Pc? Oder wie hast du Verdacht geschöpft?
14.04.2009, 14:39
cl9wn

Ne hab nur bei netstat ein paar ports gesehen die ich nich zuordnen konnte...

... und hier nochma netstat -b... hab gewartet, mehr kam nicht:

http://img206.imageshack.us/img206/7715/unbenannte.jpg
14.04.2009, 15:02
Imperial

Also das einzigewas ich af Serials.ws mache ist mir keys zu besoregn, und immer mit Firewall an. Cracks besorge ich mir ausschließlich von gamecopyworld
14.04.2009, 15:42
cl9wn

Kann jetzt noch einer was zu meinem vorletzten Post sagen? Wegen dem netstat? Siehts sauber aus? Im Autostart bei mir ist übrigends NUR AVGuard aktiviert und viel mehr einträge gibts auch nicht.
14.04.2009, 16:03
GregorSamsa

Netstat zeigt nur eine "verdächtige" Verbindung an, und die geht hier auf die F-H Homepage :D

Da sollte also nix schlimmes sein =)
14.04.2009, 16:22
superman123456

ich bin aber infiziert ich habe mir den Crypter da runter geladen der da infiziert war und jeden falls mein steam account ist weg ... und in der leiste unten rechts wo uhr und so angezeigt würd da würd mein avira antivir symbol nicht mehr angezeigt aber wenn ich auf desktop klicke auf avira symbol den öffnet sich avira und ist auch aktiv aber würd nicht in der leiste unten angezeigt viren hat er haufene gefunden aber sind alle schon gelöscht habe antivir 5 mal scannen lassen da hat er denn nix mehr angezeigt aber das symbol fehlt immer noch... was kann ich noch tuhn????
14.04.2009, 16:28
GregorSamsa

Tatsache ist, das du selber schuld bist -.-

Und wir können dir auch nicht mehr helfen.
Es gibt keine aktiven Verbindungen, die irgendwie "gefährlich" aussehen.

Und was ist mit der Datei: c:\winxp\system32\prxerdrv.dll
Das hatte soulstoned dir im 2 Post geschrieben...

Vllt. hat auch Avira n Prob, oder n Stealer o.ä. hat Avira kaputtgehauen, dir deinen Acc geklaut und ist dann heimlich, still und leise verschwunden...
14.04.2009, 16:32
FeaR

Internetkabel ziehen, eine Datensicherung machen und Windows neu raufhauen, ist meines erachtens die beste Lösung, da man sich nie sicher sein kann, ob nicht doch noch irgendwo was versteckt ist, selbst ein ein Antivir Programm nichts mehr anzeigt.

Nachdem du Windows neu drauf hast, zieh Dir ein Backup und Installiere Dir eine VM ( Virtual Machine, wie z.b VMWare oder Windows Virtual PC 2007), auf der du solche Programme denn laufen bzw testen kannst.

Und das mit dem Steam Account, wenn du noch den Kaufbeleg und oder die CD/DVD Hülle mit Key hast, kopiere bzw Fotographiere sie und schick die Unterlagen zu Steam, die setzen denn dein Account zurück.

Viel Glück, hoffe ich konnte Dir helfen.

Mfg

FeaR

Edit:

GregorSamsa solche Beiträge sind nicht sonderlich förderlich und sind einfach nur Sinnlos. Wenn du keine Lust hast jemanden zu helfen, denn lass es einfach und nerv nicht mit solchen dummen Beiträgen
14.04.2009, 16:35
GregorSamsa

FeaR: ich hab schon genug dazu geschrieben - das war nicht mein einziger Beitrag.

Und ich hab ihm gesagt, was passiert sein _könnte_... Und trotzdem sollte er halt nächstesmal aufpassen...
14.04.2009, 16:40
superman123456

mit den Crypter hier bei FH das wusste ja vorher groß keiner das er infiziert war wurde ja erst später mit geteilt das er infiziert ist und darum wurde der jenige auch gesperrt...die datei hier prxerdrv.dll habe ich nicht... mein steam account ist seit gestern schon weg und seit heute ist es mit antivir...wo und wie könnte ich nach schauen ob ich irgend welche verbindungen habe zum anderen pc oder so???
14.04.2009, 16:44
GregorSamsa

Entweder mit TCPVIEW (gut) oder netstat (schlecht)
14.04.2009, 16:44
FeaR

Geh auf die Seite von http://www.hijackthis.de/de, lad Dir das Tool ( oben rechts auf der Seite), lass dir ein Logfile erstellen und kopiere dieses denn in die Textbox auf der Mainpage.
Nach der Auswertung siehst du denn, ob irgendwelche Verbindungen vorhanden sind, die nicht sein sollten.

Aber der Test ist keine 100%tige Sicherheit, ob du jetzt ein Trojaner hast oder nicht, setz vorsichtshalber dein Computer neu auf.

Mfg

FeaR
14.04.2009, 16:47
GregorSamsa

Das einzige, was HiJackThis sagt, ist die datei:
c:\winxp\system32\prxernsp.dll
14.04.2009, 17:03
superman123456

so antivir geht wieder habe es neu installt... werde es mal machen mit hijack this und schauen nach dieser datei prxernsp.dll ohh antivir hat grad ein keylogger gefunden aber gelöscht...

antivir findet jetzt auf ein mal wo ich es neu install habe TR/Keylogger.owa.2 <-- davon hat er genau 56 stück gefunden und gelöscht das problem ist ich habe mir ein FUD Crypter gekauft mit hardware id und wenn ich jetzt neu aufsetze den geht doch der Crypter nicht mehr da ich doch den ne andere hardware id habe oder nicht??

wie wäre jetzt jetzt nun wenn ich neu aufsetze geht den mein Fud Crypter noch????

wie wäre jetzt jetzt nun wenn ich neu aufsetze geht den mein Fud Crypter noch????
14.04.2009, 18:26
Phantom

Zitat:

Zitat von superman123456

wie wäre jetzt jetzt nun wenn ich neu aufsetze geht den mein Fud Crypter noch????

Natürlich geht Dein Crypter danach noch !

Schließlich ist ja die Rede von einer Hardware ID, und wenn Du Dein Betriebssystem neu aufsetzt, hast Du ja logischerweise nichts an Deiner Hardware geändert, sondern nur an der Software ;-)
14.04.2009, 18:58
GregorSamsa

Könnt natürlich auch was in dem Crypter drinnegehangen haben...
14.04.2009, 19:10
Bozok

Superman hijacke nicht das Thema von anderen!
Zu threadersteller: Nichts außergewöhnliches, die Http Verbindungen sind vllt nur Werbung etc von Seiten!