| |
| |||||||
Plagegeister aller Art und deren Bekämpfung: "Your Privacy is in Danger" Virusbefall -Alles (anscheinend) clean, bis auf Rootkit-Windows 7 Wenn Du nicht sicher bist, ob Du dir Malware oder Trojaner eingefangen hast, erstelle hier ein Thema. Ein Experte wird sich mit weiteren Anweisungen melden und Dir helfen die Malware zu entfernen oder Unerwünschte Software zu deinstallieren bzw. zu löschen. Bitte schildere dein Problem so genau wie möglich. Sollte es ein Trojaner oder Viren Problem sein wird ein Experte Dir bei der Beseitigug der Infektion helfen. |
 |
26.09.2008, 14:47
| #1 |
| |  "Your Privacy is in Danger" Virusbefall -Alles (anscheinend) clean, bis auf Rootkit- Hallo zusammen, vorweg : ich kenne mich zwar mit der Bedienung usw. von PC´s relativ gut aus und bin darin auch sicher.....von Viren etc. habe ich allerdings gar keine Ahnung. Vor 2 Tagen habe ich einen runtergeladenen Crack, ( ja ich weiß , selbst schuld ), ohne ihn vorher zu scannen benutzt.Die Folgen davon waren extrem unschön.Der Desktop Hintergrund wurde durch ein rotes Bild ersetzt (nur scheinbar,denn man konnte das Bild per Drag & Drop skalieren,und sogar schließen),auf dem Bild stand der aussagekräftige Satz : "Your Privacy is in Danger".Neben der Zeitanzeige stand : "Virus Alert!" .Es öffnete sich auch ein Popup-Fenster,in dem ein Fakevirenscanner lief und mir mehrere Hundert gefundene Schädlinge im System vorgaukeln wollte.Ziel davon war es,dass man ein ominöses Antivirentool bezahlen sollte,welches angeblich das System bereinigen würde. Der Taskmanager wurde vom Administrator gesperrt,ebenso die Anzeigeeigenschaften die man per Rechtsklick auf den Desktop erreicht.Meine beiden Partitionen waren im Arbeitsplatz & Explorer nicht mehr sichtbar (obwohl sie natürlich ordnungsgemäß funktionierten).Das Startmenu war auch total kastriert und nicht wieder richtig hinzubekommen. Zur Krönung hatte/habe ich Depp gerade keinen Widerherstellungspunkt.Auch den kostenlosen Avira AntiVir Personal Virenscanner hatte ich eben zu diesem Zeitpunkt gerade deinstalliert (deshalb auch kein scan des archives -falls es überhaupt was erkannt hätte). Ich habe dann den Avira Scanner sofort installiert und alles scannen lassen.Auf meiner Systempartition C: , wurden auch ein paar trojaner gefunden und gelöscht.Der Scanner fand jedoch auch Rootkits,die er aber nicht löschen konnte ,sondern nur in Quarantäne verschieben. Ich habe es dann noch mit einer Beta Version von Kaspersky probiert,die ich noch gepackt auf der Datenpartition D: hatte.Jedoch konnte keiner der beiden Virenscanner den Ursprung dieser ganzen Veränderungen am System beheben. Ich habe dann im Internet über die Tools "SmitfraudFix" und "HijackThis" gelesen.Für die richtige Benutzung bzw. Auswertung des HijackThis-Logfiles fehlt mir allerdings wiegesagt das nötige Know How in diesem Bereich.Ich habe dann SmitfraudFix im Abgesicherten Modus laufen lassen,zuerst halt einen Scan durchführen lassen und dann die 2. Option gewählt...bereinigen. Das hat auch ziemlichen Erfolg gehabt,so weit ich das als Laie beurteilen kann.Sämtliche visuell erkennbaren Virusauswirkungen waren danach (vermeintlich) beseitigt.Was ich allerdings, bei einem erneuten Scan mit SmitfraudFix und auch mit dem Avira Scanner, erneut angezeigt bekam, waren die Rootkits. Obwohl die ganzen sichtbaren Veränderungen am System behoben sind,finde ich trotzdem das mein Rechner,vor allem im Internet langsamer läuft als er es sonst tat.Was auch komisch ist,ist dass ich des öfteren wenn ich auf einen Link klicke auf eine ganz andere Seite geleitet werde,copy & paste ich die mit den Links verbundenen Adressen jedoch manuell in meine Browser Adressleiste,komme ich ganz normal auf die gewünschte Seite. Als Browser benutze ich die neueste Version von Mozilla Firefox.Mein Betriebssystem ist Windows XP Professional (Service Pack 3).Im Rechner ist folgendes verbaut: -Prozessor: AMD Athlon 64 X2 4000+ -Mainboard: Winfast NF-MCP55 Nforce 570 SLI Chipsatz -RAM: 2 GB PC-800 -Grafikkarte: Club 3D NVIDIA GeForce 8600 GT -Festplatte: 320 GB Samsung HD321KJ Die Rootkits befinden sich,wie auch aus der angehängten rapport.txt von SmitfraudFix ersichtlich ist,an folgenden Stellen (die Namen der Dateien sind ja auch ersichtlich). C:\WINDOWS\system32\tdssservers.dat C:\WINDOWS\system32\tdssadw.dll C:\WINDOWS\system32\tdssinit.dll C:\WINDOWS\system32\tdssl.dll C:\WINDOWS\system32\tdsslog.dll C:\WINDOWS\system32\tdssmain.dll C:\WINDOWS\system32\drivers\tdssserv.sys Dass sie versteckt sind, also per Arbeitsplatz etc. nicht zu sehen, brauche ich eigtl. gar nicht zu sagen. Ich habe auch schon einen Thread gelesen wo es um dieses "Your Privacy is in Danger" ging,sowie die Anleitung hier für HijackThis.Nur leider habe ich da von der Auswertung des HijackThis-Logs absolut nichts verstanden,und ich habe Angst damit mein System ganz abzuschießen wenn ich es einfach mal auf blauen Dunst hin benutze.Außerdem hat SmitfraudFix die ganzen per Auge erkennbaren Veränderungen & Schäden ja auch anscheinend behoben.Es geht halt im eigtl. Sinne um die Rootkits,bzw. es wäre sehr nett,wenn mir jmd. der Ahnung davon hat erklären könnte was dieser ganze Virus inkl. den Rootkits als primäres Ziel hat und ob ich das alles noch so bereinigt bekomme oder lieber alles Formatieren und neuinstallieren sollte(was ich natürlich gern umgehen würde). Ich hänge die aktuelle rapport.txt von SmitfraudFix und das aktuelle Logfile von HijackThis an.Wäre nett wenn ihr euch die mal angucken könntet und vielleicht Rat hättet ob und wie ich die Rootkits bereinigen könnte oder ob evtl. sogar noch andere Sachen nicht in Ordnung sind in den Files. Logfile of Trend Micro HijackThis v2.0.2 Scan saved at 15:32:28, on 26.09.2008 Platform: Windows XP SP3 (WinNT 5.01.2600) MSIE: Internet Explorer v6.00 SP3 (6.00.2900.5512) Boot mode: Normal Running processes: C:\WINDOWS\System32\smss.exe C:\WINDOWS\system32\winlogon.exe C:\WINDOWS\system32\services.exe C:\WINDOWS\system32\lsass.exe C:\WINDOWS\system32\svchost.exe C:\WINDOWS\System32\svchost.exe C:\WINDOWS\system32\spoolsv.exe C:\Programme\Avira\AntiVir PersonalEdition Classic\sched.exe C:\Programme\Avira\AntiVir PersonalEdition Classic\avgnt.exe C:\Programme\Avira\AntiVir PersonalEdition Classic\avguard.exe C:\Programme\NVIDIA Corporation\nTune\nTuneService.exe C:\WINDOWS\system32\nvsvc32.exe C:\WINDOWS\system32\PnkBstrA.exe C:\WINDOWS\system32\PnkBstrB.exe C:\WINDOWS\System32\svchost.exe C:\WINDOWS\system32\wscntfy.exe C:\WINDOWS\explorer.exe C:\Programme\Adobe\Acrobat 7.0\Reader\AcroRd32.exe C:\Programme\Mozilla Firefox\firefox.exe C:\WINDOWS\system32\rundll32.exe C:\Programme\Trend Micro\HijackThis\HijackThis.exe O4 - HKLM\..\Run: [avgnt] "C:\Programme\Avira\AntiVir PersonalEdition Classic\avgnt.exe" /min O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\system32\NvCpl.dll,NvStartup O4 - HKLM\..\Run: [BM4f35b99b] Rundll32.exe "C:\WINDOWS\system32\wtspnggo.dll",s O4 - HKUS\S-1-5-19\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 'LOKALER DIENST') O4 - HKUS\S-1-5-20\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 'NETZWERKDIENST') O4 - HKUS\S-1-5-18\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 'SYSTEM') O4 - HKUS\.DEFAULT\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 'Default user') O9 - Extra button: (no name) - {e2e2dd38-d088-4134-82b7-f2ba38496583} - C:\WINDOWS\Network Diagnostic\xpnetdiag.exe O9 - Extra 'Tools' menuitem: @xpsp3res.dll,-20001 - {e2e2dd38-d088-4134-82b7-f2ba38496583} - C:\WINDOWS\Network Diagnostic\xpnetdiag.exe O9 - Extra button: ICQ6 - {E59EB121-F339-4851-A3BA-FE49C35617C2} - C:\Programme\ICQ6\ICQ.exe O9 - Extra 'Tools' menuitem: ICQ6 - {E59EB121-F339-4851-A3BA-FE49C35617C2} - C:\Programme\ICQ6\ICQ.exe O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe O23 - Service: Avira AntiVir Personal - Free Antivirus Planer (AntiVirScheduler) - Avira GmbH - C:\Programme\Avira\AntiVir PersonalEdition Classic\sched.exe O23 - Service: Avira AntiVir Personal - Free Antivirus Guard (AntiVirService) - Avira GmbH - C:\Programme\Avira\AntiVir PersonalEdition Classic\avguard.exe O23 - Service: Application Driver Auto Removal Service (01) (appdrvrem01) - Protection Technology - C:\WINDOWS\System32\appdrvrem01.exe O23 - Service: InstallDriver Table Manager (IDriverT) - Macrovision Corporation - C:\Programme\Gemeinsame Dateien\InstallShield\Driver\11\Intel 32\IDriverT.exe O23 - Service: nTune Service (nTuneService) - NVIDIA - C:\Programme\NVIDIA Corporation\nTune\nTuneService.exe O23 - Service: NVIDIA Display Driver Service (NVSvc) - NVIDIA Corporation - C:\WINDOWS\system32\nvsvc32.exe O23 - Service: PnkBstrA - Unknown owner - C:\WINDOWS\system32\PnkBstrA.exe O23 - Service: PnkBstrB - Unknown owner - C:\WINDOWS\system32\PnkBstrB.exe O23 - Service: TuneUp Drive Defrag-Dienst (TuneUp.Defrag) - TuneUp Software GmbH - C:\WINDOWS\System32\TuneUpDefragService.exe -- End of file - 3530 bytes SmitFraudFix v2.354 Scan done at 15:21:19,20, 26.09.2008 Run from C:\Dokumente und Einstellungen\**** *****\Desktop\System Tools\SmitfraudFix OS: Microsoft Windows XP [Version 5.1.2600] - Windows_NT The filesystem type is Fix run in normal mode »»»»»»»»»»»»»»»»»»»»»»»» Process C:\WINDOWS\System32\smss.exe C:\WINDOWS\system32\winlogon.exe C:\WINDOWS\system32\services.exe C:\WINDOWS\system32\lsass.exe C:\WINDOWS\system32\svchost.exe C:\WINDOWS\System32\svchost.exe C:\WINDOWS\system32\spoolsv.exe C:\Programme\Avira\AntiVir PersonalEdition Classic\sched.exe C:\Programme\Avira\AntiVir PersonalEdition Classic\avgnt.exe C:\Programme\Avira\AntiVir PersonalEdition Classic\avguard.exe C:\Programme\NVIDIA Corporation\nTune\nTuneService.exe C:\WINDOWS\system32\nvsvc32.exe C:\WINDOWS\system32\PnkBstrA.exe C:\WINDOWS\system32\PnkBstrB.exe C:\WINDOWS\System32\svchost.exe C:\WINDOWS\system32\wscntfy.exe C:\WINDOWS\explorer.exe C:\Programme\Adobe\Acrobat 7.0\Reader\AcroRd32.exe C:\Programme\Mozilla Firefox\firefox.exe C:\WINDOWS\system32\rundll32.exe C:\WINDOWS\system32\cmd.exe »»»»»»»»»»»»»»»»»»»»»»»» hosts »»»»»»»»»»»»»»»»»»»»»»»» C:\ »»»»»»»»»»»»»»»»»»»»»»»» C:\WINDOWS »»»»»»»»»»»»»»»»»»»»»»»» C:\WINDOWS\system »»»»»»»»»»»»»»»»»»»»»»»» C:\WINDOWS\Web »»»»»»»»»»»»»»»»»»»»»»»» C:\WINDOWS\system32 C:\WINDOWS\system32\tdssservers.dat detected, use a Rootkit scanner C:\WINDOWS\system32\tdssadw.dll detected, use a Rootkit scanner C:\WINDOWS\system32\tdssinit.dll detected, use a Rootkit scanner C:\WINDOWS\system32\tdssl.dll detected, use a Rootkit scanner C:\WINDOWS\system32\tdsslog.dll detected, use a Rootkit scanner C:\WINDOWS\system32\tdssmain.dll detected, use a Rootkit scanner C:\WINDOWS\system32\drivers\tdssserv.sys detected, use a Rootkit scanner »»»»»»»»»»»»»»»»»»»»»»»» C:\WINDOWS\system32\LogFiles »»»»»»»»»»»»»»»»»»»»»»»» C:\Dokumente und Einstellungen\**** ***** »»»»»»»»»»»»»»»»»»»»»»»» C:\Dokumente und Einstellungen\**** *****\Application Data »»»»»»»»»»»»»»»»»»»»»»»» Start Menu »»»»»»»»»»»»»»»»»»»»»»»» C:\DOKUME~1\******~1\FAVORI~1 »»»»»»»»»»»»»»»»»»»»»»»» Desktop »»»»»»»»»»»»»»»»»»»»»»»» C:\Programme »»»»»»»»»»»»»»»»»»»»»»»» Corrupted keys »»»»»»»»»»»»»»»»»»»»»»»» Desktop Components »»»»»»»»»»»»»»»»»»»»»»»» o4Patch !!!Attention, following keys are not inevitably infected!!! o4Patch Credits: Malware Analysis & Diagnostic Code: S!Ri »»»»»»»»»»»»»»»»»»»»»»»» IEDFix !!!Attention, following keys are not inevitably infected!!! IEDFix Credits: Malware Analysis & Diagnostic Code: S!Ri »»»»»»»»»»»»»»»»»»»»»»»» VACFix !!!Attention, following keys are not inevitably infected!!! VACFix Credits: Malware Analysis & Diagnostic Code: S!Ri »»»»»»»»»»»»»»»»»»»»»»»» 404Fix !!!Attention, following keys are not inevitably infected!!! 404Fix Credits: Malware Analysis & Diagnostic Code: S!Ri »»»»»»»»»»»»»»»»»»»»»»»» AntiXPVSTFix !!!Attention, following keys are not inevitably infected!!! AntiXPVSTFix Credits: Malware Analysis & Diagnostic Code: S!Ri »»»»»»»»»»»»»»»»»»»»»»»» Sharedtaskscheduler !!!Attention, following keys are not inevitably infected!!! SrchSTS.exe by S!Ri Search SharedTaskScheduler's .dll »»»»»»»»»»»»»»»»»»»»»»»» AppInit_DLLs !!!Attention, following keys are not inevitably infected!!! [HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Windows] "AppInit_DLLs"="" »»»»»»»»»»»»»»»»»»»»»»»» Winlogon !!!Attention, following keys are not inevitably infected!!! [HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon] "Userinit"="C:\\WINDOWS\\system32\\userinit.exe," "System"="" »»»»»»»»»»»»»»»»»»»»»»»» RK »»»»»»»»»»»»»»»»»»»»»»»» DNS HKLM\SYSTEM\CS3\Services\Tcpip\..\{F06813B0-5121-4868-AE50-CA3821758CB5}: DhcpNameServer=192.168.1.1 HKLM\SYSTEM\CS3\Services\Tcpip\Parameters: DhcpNameServer=192.168.1.1 »»»»»»»»»»»»»»»»»»»»»»»» Scanning for wininet.dll infection »»»»»»»»»»»»»»»»»»»»»»»» End Danke auf jeden Fall schonmal fürs Lesen. MfG, M.Hummelsheim Geändert von michi001 (26.09.2008 um 15:13 Uhr) |
|
26.09.2008, 17:26
| #2 |
  |  "Your Privacy is in Danger" Virusbefall -Alles (anscheinend) clean, bis auf Rootkit- Anleitung SmitfraudFix:
__________________Lade dir dieses Tool -> SmitfraudFix
und anschliessend bitte noch Malwarebytes drüber jagen. Geändert von erty (26.09.2008 um 17:44 Uhr) |
|
26.09.2008, 17:58
| #3 |
| | "Your Privacy is in Danger" Virusbefall -Alles (anscheinend) clean, bis auf Rootkit- Hi und danke für die Antwort,
__________________SmitfraudFix hatte ich ja schon benutzt und cleanen lassen.....damit hatte ich ja alles bis auf die Rootkits wegbekommen.Steht ja auch im post. Aber Malwarebytes kannte ich noch nicht und hatte ich demnach auch noch nicht benutzt. Malwarebytes hat die Rootkits alle erkannt und gelöscht.Es hat sogar noch einiges mehr gefunden. In der rapport.txt von SmitfraudFix sind die Rootkits,die vorher ja drin waren, auf jeden Fall weg.Hat Malwarebytes das also killen können? SmitFraudFix v2.354 Scan done at 18:54:23,62, 26.09.2008 Run from C:\Dokumente und Einstellungen\**** *****\Desktop\System Tools\SmitfraudFix OS: Microsoft Windows XP [Version 5.1.2600] - Windows_NT The filesystem type is NTFS Fix run in normal mode »»»»»»»»»»»»»»»»»»»»»»»» Process C:\WINDOWS\System32\smss.exe C:\WINDOWS\system32\winlogon.exe C:\WINDOWS\system32\services.exe C:\WINDOWS\system32\lsass.exe C:\WINDOWS\system32\svchost.exe C:\WINDOWS\System32\svchost.exe C:\WINDOWS\system32\spoolsv.exe C:\Programme\Avira\AntiVir PersonalEdition Classic\sched.exe C:\WINDOWS\Explorer.EXE C:\Programme\Avira\AntiVir PersonalEdition Classic\avgnt.exe C:\Programme\Spyware Terminator\SpywareTerminatorShield.exe C:\Programme\PeerGuardian2\pg2.exe C:\Programme\Avira\AntiVir PersonalEdition Classic\avguard.exe C:\Programme\NVIDIA Corporation\NetworkAccessManager\Apache Group\Apache2\bin\apache.exe C:\Programme\NVIDIA Corporation\NetworkAccessManager\bin\nSvcIp.exe C:\Programme\NVIDIA Corporation\NetworkAccessManager\bin\nSvcLog.exe C:\Programme\NVIDIA Corporation\nTune\nTuneService.exe C:\Programme\NVIDIA Corporation\NetworkAccessManager\Apache Group\Apache2\bin\apache.exe C:\WINDOWS\system32\nvsvc32.exe C:\WINDOWS\system32\PnkBstrA.exe C:\WINDOWS\system32\PnkBstrB.exe C:\Programme\Spyware Terminator\sp_rsser.exe C:\WINDOWS\System32\svchost.exe C:\Programme\NVIDIA Corporation\NetworkAccessManager\bin\nSvcAppFlt.exe C:\WINDOWS\system32\wscntfy.exe C:\Programme\Malwarebytes' Anti-Malware\mbam.exe C:\Programme\Spyware Terminator\SpywareTerminator.exe C:\Programme\Mozilla Firefox\firefox.exe C:\PROGRA~1\Crawler\Toolbar\CToolbar.exe C:\Dokumente und Einstellungen\**** *****\Desktop\System Tools\SmitfraudFix\Policies.exe C:\WINDOWS\system32\cmd.exe »»»»»»»»»»»»»»»»»»»»»»»» hosts »»»»»»»»»»»»»»»»»»»»»»»» C:\ »»»»»»»»»»»»»»»»»»»»»»»» C:\WINDOWS »»»»»»»»»»»»»»»»»»»»»»»» C:\WINDOWS\system »»»»»»»»»»»»»»»»»»»»»»»» C:\WINDOWS\Web »»»»»»»»»»»»»»»»»»»»»»»» C:\WINDOWS\system32 »»»»»»»»»»»»»»»»»»»»»»»» C:\WINDOWS\system32\LogFiles »»»»»»»»»»»»»»»»»»»»»»»» C:\Dokumente und Einstellungen\**** ***** »»»»»»»»»»»»»»»»»»»»»»»» C:\Dokumente und Einstellungen\**** *****\Application Data »»»»»»»»»»»»»»»»»»»»»»»» Start Menu »»»»»»»»»»»»»»»»»»»»»»»» C:\DOKUME~1\******~1\FAVORI~1 »»»»»»»»»»»»»»»»»»»»»»»» Desktop »»»»»»»»»»»»»»»»»»»»»»»» C:\Programme »»»»»»»»»»»»»»»»»»»»»»»» Corrupted keys »»»»»»»»»»»»»»»»»»»»»»»» Desktop Components »»»»»»»»»»»»»»»»»»»»»»»» o4Patch !!!Attention, following keys are not inevitably infected!!! o4Patch Credits: Malware Analysis & Diagnostic Code: S!Ri »»»»»»»»»»»»»»»»»»»»»»»» IEDFix !!!Attention, following keys are not inevitably infected!!! »»»»»»»»»»»»»»»»»»»»»»»» VACFix !!!Attention, following keys are not inevitably infected!!! VACFix Credits: Malware Analysis & Diagnostic Code: S!Ri »»»»»»»»»»»»»»»»»»»»»»»» 404Fix !!!Attention, following keys are not inevitably infected!!! 404Fix Credits: Malware Analysis & Diagnostic Code: S!Ri »»»»»»»»»»»»»»»»»»»»»»»» AntiXPVSTFix !!!Attention, following keys are not inevitably infected!!! AntiXPVSTFix Credits: Malware Analysis & Diagnostic Code: S!Ri »»»»»»»»»»»»»»»»»»»»»»»» Sharedtaskscheduler !!!Attention, following keys are not inevitably infected!!! SrchSTS.exe by S!Ri Search SharedTaskScheduler's .dll »»»»»»»»»»»»»»»»»»»»»»»» AppInit_DLLs !!!Attention, following keys are not inevitably infected!!! [HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Windows] "AppInit_DLLs"="" »»»»»»»»»»»»»»»»»»»»»»»» Winlogon !!!Attention, following keys are not inevitably infected!!! [HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon] "Userinit"="C:\\WINDOWS\\system32\\userinit.exe," "System"="" »»»»»»»»»»»»»»»»»»»»»»»» RK »»»»»»»»»»»»»»»»»»»»»»»» DNS Description: NVIDIA nForce Networking Controller - Paketplaner-Miniport DNS Server Search Order: 192.168.1.1 HKLM\SYSTEM\CCS\Services\Tcpip\..\{F06813B0-5121-4868-AE50-CA3821758CB5}: DhcpNameServer=192.168.1.1 HKLM\SYSTEM\CS2\Services\Tcpip\..\{F06813B0-5121-4868-AE50-CA3821758CB5}: DhcpNameServer=192.168.1.1 HKLM\SYSTEM\CS3\Services\Tcpip\..\{F06813B0-5121-4868-AE50-CA3821758CB5}: DhcpNameServer=192.168.1.1 HKLM\SYSTEM\CCS\Services\Tcpip\Parameters: DhcpNameServer=192.168.1.1 HKLM\SYSTEM\CS2\Services\Tcpip\Parameters: DhcpNameServer=192.168.1.1 HKLM\SYSTEM\CS3\Services\Tcpip\Parameters: DhcpNameServer=192.168.1.1 »»»»»»»»»»»»»»»»»»»»»»»» Scanning for wininet.dll infection »»»»»»»»»»»»»»»»»»»»»»»» End |
|
26.09.2008, 18:07
| #4 |
| | "Your Privacy is in Danger" Virusbefall -Alles (anscheinend) clean, bis auf Rootkit- Du solltest smitfraudfix mit Option 2 im abgesicherten Modus laufen lassen! Hast du das gemacht? |
|
26.09.2008, 18:39
| #5 |
| | "Your Privacy is in Danger" Virusbefall -Alles (anscheinend) clean, bis auf Rootkit- Habe ich doch bereits in der Eröffnung des Threads geschrieben^^ Aber ich wiederhole es gerne nochmal,mein erster Post war ja auch ziemlich lang.... Ja : ich habe SmitfraudFix im abgesicherten Modus laufen lassen und Ja : ich habe die 2. Option (bereinigen) laufen lassen. Dies brachte wiegesagt eine komplette Behebung der visuell erkennbaren Virusauswirkungen (abgeschalteter Taskmanager,Partitionen nicht mehr im Arbeitsplatz angezeigt etc. .....). Das Problem war halt, dass, wie du auch in der rapport.txt aus meinem 1. post siehst,immer noch rootkits im system32 ordner waren,welche SmitfraudFix selber nicht cleanen konnte. Habe dann, wie ich schon auf deinen ersten Post geantwortet habe,Malwarebytes laufen lassen (danke für den Tip). Es hat auch anscheinend besagte Rootkits erkannt und gelöscht.Denn in der neuen rapport.txt von SmitfraudFix,die ich in meiner Antwort auf deinen ersten Beitrag auch gepostet hab,ist unter system32, nach ausführen von Malwarebytes, nun keins der vorher eingetragenen Rootkits mehr da. Soweit ich das als Laie in diesem Bereich beurteilen kann,müsste dein Tip mit Malwarebytes also funktioniert haben. Hier nochmal ---> rapport.txt (bevor ich durch deinen Tip Malwarebytes habe laufen lassen) SmitFraudFix v2.354 Scan done at 15:21:19,20, 26.09.2008 Run from C:\Dokumente und Einstellungen\**** *****\Desktop\System Tools\SmitfraudFix OS: Microsoft Windows XP [Version 5.1.2600] - Windows_NT The filesystem type is Fix run in normal mode »»»»»»»»»»»»»»»»»»»»»»»» Process C:\WINDOWS\System32\smss.exe C:\WINDOWS\system32\winlogon.exe C:\WINDOWS\system32\services.exe C:\WINDOWS\system32\lsass.exe C:\WINDOWS\system32\svchost.exe C:\WINDOWS\System32\svchost.exe C:\WINDOWS\system32\spoolsv.exe C:\Programme\Avira\AntiVir PersonalEdition Classic\sched.exe C:\Programme\Avira\AntiVir PersonalEdition Classic\avgnt.exe C:\Programme\Avira\AntiVir PersonalEdition Classic\avguard.exe C:\Programme\NVIDIA Corporation\nTune\nTuneService.exe C:\WINDOWS\system32\nvsvc32.exe C:\WINDOWS\system32\PnkBstrA.exe C:\WINDOWS\system32\PnkBstrB.exe C:\WINDOWS\System32\svchost.exe C:\WINDOWS\system32\wscntfy.exe C:\WINDOWS\explorer.exe C:\Programme\Adobe\Acrobat 7.0\Reader\AcroRd32.exe C:\Programme\Mozilla Firefox\firefox.exe C:\WINDOWS\system32\rundll32.exe C:\WINDOWS\system32\cmd.exe »»»»»»»»»»»»»»»»»»»»»»»» hosts »»»»»»»»»»»»»»»»»»»»»»»» C:\ »»»»»»»»»»»»»»»»»»»»»»»» C:\WINDOWS »»»»»»»»»»»»»»»»»»»»»»»» C:\WINDOWS\system »»»»»»»»»»»»»»»»»»»»»»»» C:\WINDOWS\Web »»»»»»»»»»»»»»»»»»»»»»»» C:\WINDOWS\system32 C:\WINDOWS\system32\tdssservers.dat detected, use a Rootkit scanner C:\WINDOWS\system32\tdssadw.dll detected, use a Rootkit scanner C:\WINDOWS\system32\tdssinit.dll detected, use a Rootkit scanner C:\WINDOWS\system32\tdssl.dll detected, use a Rootkit scanner C:\WINDOWS\system32\tdsslog.dll detected, use a Rootkit scanner C:\WINDOWS\system32\tdssmain.dll detected, use a Rootkit scanner C:\WINDOWS\system32\drivers\tdssserv.sys detected, use a Rootkit scanner »»»»»»»»»»»»»»»»»»»»»»»» C:\WINDOWS\system32\LogFiles »»»»»»»»»»»»»»»»»»»»»»»» C:\Dokumente und Einstellungen\**** ***** »»»»»»»»»»»»»»»»»»»»»»»» C:\Dokumente und Einstellungen\**** *****\Application Data »»»»»»»»»»»»»»»»»»»»»»»» Start Menu »»»»»»»»»»»»»»»»»»»»»»»» C:\DOKUME~1\******~1\FAVORI~1 »»»»»»»»»»»»»»»»»»»»»»»» Desktop »»»»»»»»»»»»»»»»»»»»»»»» C:\Programme »»»»»»»»»»»»»»»»»»»»»»»» Corrupted keys »»»»»»»»»»»»»»»»»»»»»»»» Desktop Components »»»»»»»»»»»»»»»»»»»»»»»» o4Patch !!!Attention, following keys are not inevitably infected!!! o4Patch Credits: Malware Analysis & Diagnostic Code: S!Ri »»»»»»»»»»»»»»»»»»»»»»»» IEDFix !!!Attention, following keys are not inevitably infected!!! IEDFix Credits: Malware Analysis & Diagnostic Code: S!Ri »»»»»»»»»»»»»»»»»»»»»»»» VACFix !!!Attention, following keys are not inevitably infected!!! VACFix Credits: Malware Analysis & Diagnostic Code: S!Ri »»»»»»»»»»»»»»»»»»»»»»»» 404Fix !!!Attention, following keys are not inevitably infected!!! 404Fix Credits: Malware Analysis & Diagnostic Code: S!Ri »»»»»»»»»»»»»»»»»»»»»»»» AntiXPVSTFix !!!Attention, following keys are not inevitably infected!!! AntiXPVSTFix Credits: Malware Analysis & Diagnostic Code: S!Ri »»»»»»»»»»»»»»»»»»»»»»»» Sharedtaskscheduler !!!Attention, following keys are not inevitably infected!!! SrchSTS.exe by S!Ri Search SharedTaskScheduler's .dll »»»»»»»»»»»»»»»»»»»»»»»» AppInit_DLLs !!!Attention, following keys are not inevitably infected!!! [HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Windows] "AppInit_DLLs"="" »»»»»»»»»»»»»»»»»»»»»»»» Winlogon !!!Attention, following keys are not inevitably infected!!! [HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon] "Userinit"="C:\\WINDOWS\\system32\\userinit.ex e," "System"="" »»»»»»»»»»»»»»»»»»»»»»»» RK »»»»»»»»»»»»»»»»»»»»»»»» DNS HKLM\SYSTEM\CS3\Services\Tcpip\..\{F06813B0-5121-4868-AE50-CA3821758CB5}: DhcpNameServer=192.168.1.1 HKLM\SYSTEM\CS3\Services\Tcpip\Parameters: DhcpNameServer=192.168.1.1 »»»»»»»»»»»»»»»»»»»»»»»» Scanning for wininet.dll infection »»»»»»»»»»»»»»»»»»»»»»»» End Und hier nochmal ---> rapport.txt (nachdem ich Malwarebytes benutzt habe) SmitFraudFix v2.354 Scan done at 18:54:23,62, 26.09.2008 Run from C:\Dokumente und Einstellungen\**** *****\Desktop\System Tools\SmitfraudFix OS: Microsoft Windows XP [Version 5.1.2600] - Windows_NT The filesystem type is NTFS Fix run in normal mode »»»»»»»»»»»»»»»»»»»»»»»» Process C:\WINDOWS\System32\smss.exe C:\WINDOWS\system32\winlogon.exe C:\WINDOWS\system32\services.exe C:\WINDOWS\system32\lsass.exe C:\WINDOWS\system32\svchost.exe C:\WINDOWS\System32\svchost.exe C:\WINDOWS\system32\spoolsv.exe C:\Programme\Avira\AntiVir PersonalEdition Classic\sched.exe C:\WINDOWS\Explorer.EXE C:\Programme\Avira\AntiVir PersonalEdition Classic\avgnt.exe C:\Programme\Spyware Terminator\SpywareTerminatorShield.exe C:\Programme\PeerGuardian2\pg2.exe C:\Programme\Avira\AntiVir PersonalEdition Classic\avguard.exe C:\Programme\NVIDIA Corporation\NetworkAccessManager\Apache Group\Apache2\bin\apache.exe C:\Programme\NVIDIA Corporation\NetworkAccessManager\bin\nSvcIp.exe C:\Programme\NVIDIA Corporation\NetworkAccessManager\bin\nSvcLog.exe C:\Programme\NVIDIA Corporation\nTune\nTuneService.exe C:\Programme\NVIDIA Corporation\NetworkAccessManager\Apache Group\Apache2\bin\apache.exe C:\WINDOWS\system32\nvsvc32.exe C:\WINDOWS\system32\PnkBstrA.exe C:\WINDOWS\system32\PnkBstrB.exe C:\Programme\Spyware Terminator\sp_rsser.exe C:\WINDOWS\System32\svchost.exe C:\Programme\NVIDIA Corporation\NetworkAccessManager\bin\nSvcAppFlt.ex e C:\WINDOWS\system32\wscntfy.exe C:\Programme\Malwarebytes' Anti-Malware\mbam.exe C:\Programme\Spyware Terminator\SpywareTerminator.exe C:\Programme\Mozilla Firefox\firefox.exe C:\PROGRA~1\Crawler\Toolbar\CToolbar.exe C:\Dokumente und Einstellungen\**** *****\Desktop\System Tools\SmitfraudFix\Policies.exe C:\WINDOWS\system32\cmd.exe »»»»»»»»»»»»»»»»»»»»»»»» hosts »»»»»»»»»»»»»»»»»»»»»»»» C:\ »»»»»»»»»»»»»»»»»»»»»»»» C:\WINDOWS »»»»»»»»»»»»»»»»»»»»»»»» C:\WINDOWS\system »»»»»»»»»»»»»»»»»»»»»»»» C:\WINDOWS\Web »»»»»»»»»»»»»»»»»»»»»»»» C:\WINDOWS\system32 »»»»»»»»»»»»»»»»»»»»»»»» C:\WINDOWS\system32\LogFiles »»»»»»»»»»»»»»»»»»»»»»»» C:\Dokumente und Einstellungen\**** ***** »»»»»»»»»»»»»»»»»»»»»»»» C:\Dokumente und Einstellungen\**** *****\Application Data »»»»»»»»»»»»»»»»»»»»»»»» Start Menu »»»»»»»»»»»»»»»»»»»»»»»» C:\DOKUME~1\******~1\FAVORI~1 »»»»»»»»»»»»»»»»»»»»»»»» Desktop »»»»»»»»»»»»»»»»»»»»»»»» C:\Programme »»»»»»»»»»»»»»»»»»»»»»»» Corrupted keys »»»»»»»»»»»»»»»»»»»»»»»» Desktop Components »»»»»»»»»»»»»»»»»»»»»»»» o4Patch !!!Attention, following keys are not inevitably infected!!! o4Patch Credits: Malware Analysis & Diagnostic Code: S!Ri »»»»»»»»»»»»»»»»»»»»»»»» IEDFix !!!Attention, following keys are not inevitably infected!!! »»»»»»»»»»»»»»»»»»»»»»»» VACFix !!!Attention, following keys are not inevitably infected!!! VACFix Credits: Malware Analysis & Diagnostic Code: S!Ri »»»»»»»»»»»»»»»»»»»»»»»» 404Fix !!!Attention, following keys are not inevitably infected!!! 404Fix Credits: Malware Analysis & Diagnostic Code: S!Ri »»»»»»»»»»»»»»»»»»»»»»»» AntiXPVSTFix !!!Attention, following keys are not inevitably infected!!! AntiXPVSTFix Credits: Malware Analysis & Diagnostic Code: S!Ri »»»»»»»»»»»»»»»»»»»»»»»» Sharedtaskscheduler !!!Attention, following keys are not inevitably infected!!! SrchSTS.exe by S!Ri Search SharedTaskScheduler's .dll »»»»»»»»»»»»»»»»»»»»»»»» AppInit_DLLs !!!Attention, following keys are not inevitably infected!!! [HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Windows] "AppInit_DLLs"="" »»»»»»»»»»»»»»»»»»»»»»»» Winlogon !!!Attention, following keys are not inevitably infected!!! [HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon] "Userinit"="C:\\WINDOWS\\system32\\userinit.ex e," "System"="" »»»»»»»»»»»»»»»»»»»»»»»» RK »»»»»»»»»»»»»»»»»»»»»»»» DNS Description: NVIDIA nForce Networking Controller - Paketplaner-Miniport DNS Server Search Order: 192.168.1.1 HKLM\SYSTEM\CCS\Services\Tcpip\..\{F06813B0-5121-4868-AE50-CA3821758CB5}: DhcpNameServer=192.168.1.1 HKLM\SYSTEM\CS2\Services\Tcpip\..\{F06813B0-5121-4868-AE50-CA3821758CB5}: DhcpNameServer=192.168.1.1 HKLM\SYSTEM\CS3\Services\Tcpip\..\{F06813B0-5121-4868-AE50-CA3821758CB5}: DhcpNameServer=192.168.1.1 HKLM\SYSTEM\CCS\Services\Tcpip\Parameters: DhcpNameServer=192.168.1.1 HKLM\SYSTEM\CS2\Services\Tcpip\Parameters: DhcpNameServer=192.168.1.1 HKLM\SYSTEM\CS3\Services\Tcpip\Parameters: DhcpNameServer=192.168.1.1 »»»»»»»»»»»»»»»»»»»»»»»» Scanning for wininet.dll infection »»»»»»»»»»»»»»»»»»»»»»»» End Wiegesagt : Als Laie denke ich natürlich jetzt, dass das/die Rootkit/s erfolgreich mit Malwarebytes eleminiert wurde/n ,aufgrund der Tatsache dass die neue rapport.txt nach dem Einsatz von Malwarebytes,die Einträge unter System32 nicht mehr hat. Wenn dem so ist....danke ich dir für den Tip mit Malwarebytes und für deine Zeit. Geändert von michi001 (26.09.2008 um 18:56 Uhr) |
|
| Themen zu "Your Privacy is in Danger" Virusbefall -Alles (anscheinend) clean, bis auf Rootkit- |
| abgesicherten modus, amd athlon, analysis, antivirus, application, attention, avg, avira, bedienung, browser, ctfmon.exe, das bild, desktop, drivers, einstellungen, hijack, hijackthis, hkus\s-1-5-18, internet, internet explorer, kaspersky, malware, mehrere, mozilla, nvidia geforce 8600, popup-fenster, rootkit, rundll, scan, software, system, system tools, taskmanager, trojaner, trojaner gefunden, tuneup.defrag, userinit.exe, viren, virus, virus alert, virus alert!, windows, windows xp, windows xp sp3, windows\system32\drivers, xp sp3 |
Linear-Darstellung
