| |
| |||||||
Plagegeister aller Art und deren Bekämpfung: Rootkit und JavaAgent InfektionWindows 7 Wenn Du nicht sicher bist, ob Du dir Malware oder Trojaner eingefangen hast, erstelle hier ein Thema. Ein Experte wird sich mit weiteren Anweisungen melden und Dir helfen die Malware zu entfernen oder Unerwünschte Software zu deinstallieren bzw. zu löschen. Bitte schildere dein Problem so genau wie möglich. Sollte es ein Trojaner oder Viren Problem sein wird ein Experte Dir bei der Beseitigug der Infektion helfen. |
 |
| |
01.08.2011, 15:44
| #1 |
| |  Rootkit und JavaAgent Infektion Hi zusammen, vor einigen Tagen hat sich mein avast! nach einem vollständigen Suchlauf mit einem Rootkit-Fund gemeldet. Die gefundenen Dateien konnten nicht in Quarantäne verschoben, sondern nur gelöscht werden. Die abschließend vorgeschlagene Startzeitüberprüfung förderte dann mehrere Java:Agent-Infektionen zutage die auch nur gelöscht werden konnten. Seitdem hat sich avast! nach einigen Suchläufen immer wieder mal mit einem erneuten Rootkit-Fund gemeldet. Daraufhin habe ich Malwarebytes Anti-Malware durchlaufen lassen, allerdings ohne Befund. Nun wende ich mich mit Hoffnung auf Hilfe an euch. Ich hoffe ich konnte mein Problem einigermaßen genau schildern, bin leider nur Laie in Computerfragen. Anbei die Logdateien von avast!, MBAM und OTL: OTL.txt bifindet sich als .zip im Anhang OTL hat kein Extras.txt erstellt, ich hoffe das ist richtig so. avast! Code:
ATTFilter 07/20/2011 15:14
Scan aller lokalen Laufwerke
Datei C:\Users\***\AppData\Local\Temp\jar_cache1415001605569610981.tmp|>google\kilop.class ist infiziert von Java:Agent-HP [Expl], Gelöscht
Datei C:\Users\***\AppData\Local\Temp\jar_cache1415001605569610981.tmp|>google\lighmap.class ist infiziert von Java:Agent-HQ [Expl], Gelöscht
Datei C:\Users\***\AppData\Local\Temp\YgO3QtrP.rar.part|>[biribiri] [Nanana Nana] Fundamental Eleven [FULL]\[biribiri] Fundamental.11 088.jpg Fehler 42126 {RAR-Archiv ist beschädigt.}
Datei C:\Users\***\AppData\LocalLow\Sun\Java\Deployment\cache\6.0\13\5fe3888d-136e0c20|>lort\border.class ist infiziert von Java:Agent-GJ [Expl], Gelöscht
Datei C:\Users\***\AppData\LocalLow\Sun\Java\Deployment\cache\6.0\13\5fe3888d-136e0c20|>lort\cooter.class ist infiziert von Java:Agent-DR [Expl], Gelöscht
Datei C:\Users\***\AppData\LocalLow\Sun\Java\Deployment\cache\6.0\13\5fe3888d-136e0c20|>lort\object2.class ist infiziert von Java:Agent-GL [Expl], Gelöscht
Datei C:\Users\***\AppData\LocalLow\Sun\Java\Deployment\cache\6.0\13\5fe3888d-136e0c20|>lort\object4.class ist infiziert von Java:Agent-GK [Expl], Gelöscht
Datei C:\Users\***\AppData\LocalLow\Sun\Java\Deployment\cache\6.0\13\5fe3888d-136e0c20|>menu\edit.class ist infiziert von Java:Agent-GO [Expl], Gelöscht
Datei C:\Users\***\AppData\LocalLow\Sun\Java\Deployment\cache\6.0\13\5fe3888d-136e0c20|>menu\file.class ist infiziert von Java:Agent-GM [Expl], Gelöscht
Datei C:\Users\***\AppData\LocalLow\Sun\Java\Deployment\cache\6.0\13\5fe3888d-136e0c20|>menu\help.class ist infiziert von Java:Agent-GN [Expl], Gelöscht
Datei C:\Users\***\AppData\LocalLow\Sun\Java\Deployment\cache\6.0\13\5fe3888d-136e0c20|>menu\property.class ist infiziert von Java:Agent-DU [Expl], Gelöscht
Datei C:\Users\***\AppData\LocalLow\Sun\Java\Deployment\cache\6.0\55\5d636d77-3f451d13|>pap.class ist infiziert von Java:Agent-GD [Expl], Gelöscht
Datei C:\Users\***\AppData\LocalLow\Sun\Java\Deployment\cache\6.0\55\5d636d77-3f451d13|>log.class ist infiziert von Java:Agent-GB [Expl], Gelöscht
Datei C:\Users\***\AppData\LocalLow\Sun\Java\Deployment\cache\6.0\55\5d636d77-3f451d13|>yuk.class ist infiziert von Java:Agent-GC [Expl], Gelöscht
Datei D:\Programme\Steam\steamapps\common\the guild ii\sfx\speech.zip|>M2\_LAWSUIT_4_ACCUSAL_C_CHARGES_BLACKMAIL_TOMALE_+0.ogg Fehler 42125 {ZIP-Archiv ist beschädigt.}
Datei D:\Programme\Steam\steamapps\common\the guild ii\sfx\speech.zip|>M2\_LAWSUIT_4_ACCUSAL_C_CHARGES_CALUMNY_TOMALE_+1.ogg Fehler 42125 {ZIP-Archiv ist beschädigt.}
Datei D:\Programme\Steam\steamapps\common\the guild ii\sfx\speech.zip|>M2\_LAWSUIT_4_ACCUSAL_C_CHARGES_MURDER_TOMALE_+0.ogg Fehler 42125 {ZIP-Archiv ist beschädigt.}
Datei D:\Programme\Steam\steamapps\common\the guild ii\sfx\speech.zip|>M2\_LAWSUIT_4_ACCUSAL_C_CHARGES_RAIDING_TOFEMALE_+0.ogg Fehler 42125 {ZIP-Archiv ist beschädigt.}
Datei D:\Programme\Steam\steamapps\common\the guild ii\sfx\speech.zip|>M2\_LAWSUIT_4_ACCUSAL_C_CHARGES_RAIDING_TOFEMALE_+1.ogg Fehler 42125 {ZIP-Archiv ist beschädigt.}
Datei D:\Programme\Steam\steamapps\common\the guild ii\sfx\speech.zip|>M2\_LAWSUIT_4_ACCUSAL_C_CHARGES_SHARED_TOFEMALE_+0.ogg Fehler 42125 {ZIP-Archiv ist beschädigt.}
Datei D:\Programme\Steam\steamapps\common\the guild ii\sfx\speech.zip|>M2\_LAWSUIT_4_ACCUSAL_E_THEREST_MANYEVIDENCES_TOMALE_+1.ogg Fehler 42125 {ZIP-Archiv ist beschädigt.}
Datei D:\Programme\Steam\steamapps\common\the guild ii\sfx\speech.zip|>M2\_LAWSUIT_5_DEFENSE_A_LAW_HARD_+1.ogg Fehler 42125 {ZIP-Archiv ist beschädigt.}
Datei D:\Programme\Steam\steamapps\common\the guild ii\sfx\speech.zip|>M2\_LAWSUIT_5_DEFENSE_B_DEFENDER_SPEAKS_NOTGUILTY_+2.ogg Fehler 42125 {ZIP-Archiv ist beschädigt.}
Datei D:\Programme\Steam\steamapps\common\the guild ii\sfx\speech.zip|>M2\_LAWSUIT_6_DECISION_A_APPROPRIATEQ_INTRO_+0.ogg Fehler 42125 {ZIP-Archiv ist beschädigt.}
Datei D:\Programme\Steam\steamapps\common\the guild ii\sfx\speech.zip|>M2\_LAWSUIT_6_DECISION_B_JUDGE_DECISION_GUILTY_BUT_MILD_TOBOTH_+1.ogg Fehler 42125 {ZIP-Archiv ist beschädigt.}
Anzahl durchsuchter Ordner: 30166
Anzahl der geprüften Dateien: 563088
Anzahl infizierter Dateien: 13
Code:
ATTFilter Malwarebytes' Anti-Malware 1.51.1.1800
www.malwarebytes.org
Datenbank Version: 7219
Windows 6.1.7601 Service Pack 1
Internet Explorer 9.0.8112.16421
21.07.2011 11:31:07
mbam-log-2011-07-21 (11-31-07).txt
Art des Suchlaufs: Vollständiger Suchlauf (B:\|C:\|D:\|K:\|)
Durchsuchte Objekte: 299433
Laufzeit: 16 Minute(n), 21 Sekunde(n)
Infizierte Speicherprozesse: 0
Infizierte Speichermodule: 0
Infizierte Registrierungsschlüssel: 0
Infizierte Registrierungswerte: 0
Infizierte Dateiobjekte der Registrierung: 0
Infizierte Verzeichnisse: 0
Infizierte Dateien: 0
Infizierte Speicherprozesse:
(Keine bösartigen Objekte gefunden)
Infizierte Speichermodule:
(Keine bösartigen Objekte gefunden)
Infizierte Registrierungsschlüssel:
(Keine bösartigen Objekte gefunden)
Infizierte Registrierungswerte:
(Keine bösartigen Objekte gefunden)
Infizierte Dateiobjekte der Registrierung:
(Keine bösartigen Objekte gefunden)
Infizierte Verzeichnisse:
(Keine bösartigen Objekte gefunden)
Infizierte Dateien:
(Keine bösartigen Objekte gefunden)
|
|
02.08.2011, 07:18
| #2 | ||
| /// Helfer-Team    | Rootkit und JavaAgent Infektion Hallo und Herzlich Willkommen!
__________________ Bevor wir unsere Zusammenarbeit beginnen, [Bitte Vollständig lesen]: Zitat:
Wichtig: Alle Befehle bitte als Administrator ausführen! rechte Maustaste auf die Eingabeaufforderung und "als Administrator ausführen" auswählen Auf der angewählten Anwendung einen Rechtsklick (rechte Maustaste) und "Als Administrator ausführen" wählen! 1. lade Dir HijackThis 2.0.4 von *von hier* herunter HijackThis starten→ "Do a system scan and save a logfile" klicken→ das erhaltene Logfile "markieren" → "kopieren"→ hier in deinem Thread (rechte Maustaste) "einfügen" 2. Ich würde gerne noch all deine installierten Programme sehen: Lade dir das Tool Ccleaner herunter → Download installieren (Software-Lizenzvereinbarung lesen, falls angeboten wird "Füge CCleaner Yahoo! Toolbar hinzu" abwählen)→ starten→ falls nötig - unter Options settings-> "german" einstellen dann klick auf "Extra (um die installierten Programme auch anzuzeigen)→ weiter auf "Als Textdatei speichern..." wird eine Textdatei (*.txt) erstellt, kopiere dazu den Inhalt und füge ihn da ein Zitat:
** Möglichst nicht ins internet gehen, kein Online-Banking, File-sharing, Chatprogramme usw grußkira
__________________ |
|
02.08.2011, 09:50
| #3 |
| | Rootkit und JavaAgent Infektion Hallo kira,
__________________danke für die schnelle Antwort.  Hier das Hijack-This Log: Code:
ATTFilter Logfile of Trend Micro HijackThis v2.0.4 Scan saved at 10:42:59, on 02.08.2011 Platform: Windows 7 SP1 (WinNT 6.00.3505) MSIE: Internet Explorer v9.00 (9.00.8112.16421) Boot mode: Normal Running processes: D:\Programme\Steam\Steam.exe D:\Programme\Spybot - Search & Destroy\TeaTimer.exe D:\Programme\Kies\KiesTrayAgent.exe D:\Programme\Kies\External\FirmwareUpdate\KiesPDLR.exe D:\Programme\PSI\psi_tray.exe C:\Program Files\Alwil Software\Avast5\AvastUI.exe C:\Program Files (x86)\Razer\Imperator\RazerImperatorTray.exe C:\Program Files (x86)\Razer\Lycosa\razerhid.exe D:\Programme\PowerDVD9\PDVD9Serv.exe C:\Program Files (x86)\Cyberlink\Shared files\brs.exe C:\Program Files (x86)\Common Files\Java\Java Update\jusched.exe D:\Programme\Malwarebytes' Anti-Malware\mbamgui.exe C:\Program Files (x86)\DivX\DivX Update\DivXUpdate.exe C:\Program Files (x86)\Razer\Lycosa\razertra.exe C:\Program Files (x86)\Adobe\Reader 10.0\Reader\Reader_sl.exe D:\Programme\Trend Micro\HiJackThis\HiJackThis.exe R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = hxxp://go.microsoft.com/fwlink/?LinkId=69157 R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = hxxp://go.microsoft.com/fwlink/?LinkId=54896 R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = hxxp://go.microsoft.com/fwlink/?LinkId=54896 R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = hxxp://go.microsoft.com/fwlink/?LinkId=69157 R0 - HKLM\Software\Microsoft\Internet Explorer\Search,SearchAssistant = R0 - HKLM\Software\Microsoft\Internet Explorer\Search,CustomizeSearch = R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Local Page = R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Local Page = C:\Windows\SysWOW64\blank.htm R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = F2 - REG:system.ini: UserInit=userinit.exe O2 - BHO: AcroIEHelperStub - {18DF081C-E8AD-4283-A596-FA578C2EBDC3} - C:\Program Files (x86)\Common Files\Adobe\Acrobat\ActiveX\AcroIEHelperShim.dll O2 - BHO: Increase performance and video formats for your HTML5 <video> - {326E768D-4182-46FD-9C16-1449A49795F4} - D:\Programme\DivX\DivX Plus Web Player\ie\DivXHTML5\DivXHTML5.dll O2 - BHO: Spybot-S&D IE Protection - {53707962-6F74-2D53-2644-206D7942484F} - D:\PROGRA~1\SPYBOT~1\SDHelper.dll O2 - BHO: (no name) - {5C255C8A-E604-49b4-9D64-90988571CECB} - (no file) O2 - BHO: Search Helper - {6EBF7485-159F-4bff-A14F-B9E3AAC4465B} - C:\Program Files (x86)\Microsoft\Search Enhancement Pack\Search Helper\SEPsearchhelperie.dll O2 - BHO: Windows Live Anmelde-Hilfsprogramm - {9030D464-4C02-4ABF-8ECC-5164760863C6} - C:\Program Files (x86)\Common Files\Microsoft Shared\Windows Live\WindowsLiveLogin.dll O2 - BHO: Java(tm) Plug-In 2 SSV Helper - {DBC80044-A445-435b-BC74-9C25C1C588A9} - C:\Program Files (x86)\Java\jre6\bin\jp2ssv.dll O2 - BHO: Windows Live Toolbar Helper - {E15A8DC0-8516-42A1-81EA-DC94EC1ACF10} - C:\Program Files (x86)\Windows Live\Toolbar\wltcore.dll O3 - Toolbar: &Windows Live Toolbar - {21FA44EF-376D-4D53-9B0F-8A89D3229068} - C:\Program Files (x86)\Windows Live\Toolbar\wltcore.dll O4 - HKLM\..\Run: [StartCCC] "C:\Program Files (x86)\ATI Technologies\ATI.ACE\Core-Static\CLIStart.exe" MSRun O4 - HKLM\..\Run: [avast5] "C:\Program Files\Alwil Software\Avast5\avastUI.exe" /nogui O4 - HKLM\..\Run: [Razer Imperator Driver] C:\Program Files (x86)\Razer\Imperator\RazerImperatorTray.exe O4 - HKLM\..\Run: [Lycosa] "C:\Program Files (x86)\Razer\Lycosa\razerhid.exe" O4 - HKLM\..\Run: [RemoteControl9] D:\Programme\PowerDVD9\PDVD9Serv.exe O4 - HKLM\..\Run: [BDRegion] C:\Program Files (x86)\Cyberlink\Shared files\brs.exe O4 - HKLM\..\Run: [UpdatePSTShortCut] "D:\Programme\Blu-ray Disc Suite\MUITransfer\MUIStartMenu.exe" "D:\Programme\Blu-ray Disc Suite" UpdateWithCreateOnce "Software\CyberLink\PowerStarter" O4 - HKLM\..\Run: [Adobe ARM] "C:\Program Files (x86)\Common Files\Adobe\ARM\1.0\AdobeARM.exe" O4 - HKLM\..\Run: [SunJavaUpdateSched] "C:\Program Files (x86)\Common Files\Java\Java Update\jusched.exe" O4 - HKLM\..\Run: [amd_dc_opt] C:\Program Files (x86)\AMD\Dual-Core Optimizer\amd_dc_opt.exe O4 - HKLM\..\Run: [Malwarebytes' Anti-Malware] "D:\Programme\Malwarebytes' Anti-Malware\mbamgui.exe" /starttray O4 - HKLM\..\Run: [DivXUpdate] "C:\Program Files (x86)\DivX\DivX Update\DivXUpdate.exe" /CHECKNOW O4 - HKCU\..\Run: [Sidebar] %ProgramFiles%\Windows Sidebar\Sidebar.exe /autoRun O4 - HKCU\..\RunOnce: [mctadmin] C:\Windows\System32\mctadmin.exe O4 - HKUS\S-1-5-19\..\Run: [Sidebar] %ProgramFiles%\Windows Sidebar\Sidebar.exe /autoRun (User 'LOKALER DIENST') O4 - HKUS\S-1-5-19\..\RunOnce: [mctadmin] C:\Windows\System32\mctadmin.exe (User 'LOKALER DIENST') O4 - HKUS\S-1-5-20\..\Run: [Sidebar] %ProgramFiles%\Windows Sidebar\Sidebar.exe /autoRun (User 'NETZWERKDIENST') O4 - HKUS\S-1-5-20\..\RunOnce: [mctadmin] C:\Windows\System32\mctadmin.exe (User 'NETZWERKDIENST') O4 - HKUS\S-1-5-21-1259703937-3739694991-476427962-1003\..\Run: [Sidebar] C:\Program Files\Windows Sidebar\sidebar.exe /autoRun (User '***') O4 - HKUS\S-1-5-21-1259703937-3739694991-476427962-1003\..\Run: [KiesPDLR] D:\Programme\Kies\External\FirmwareUpdate\KiesPDLR.exe (User '***') O4 - S-1-5-21-1259703937-3739694991-476427962-1003 Startup: CurseClientStartup.ccip (User '***') O4 - S-1-5-21-1259703937-3739694991-476427962-1003 User Startup: CurseClientStartup.ccip (User '***') O4 - Global Startup: Secunia PSI Tray.lnk = D:\Programme\PSI\psi_tray.exe O9 - Extra button: In Blog veröffentlichen - {219C3416-8CB2-491a-A3C7-D9FCDDC9D600} - C:\Program Files (x86)\Windows Live\Writer\WriterBrowserExtension.dll O9 - Extra 'Tools' menuitem: In Windows Live Writer in Blog veröffentliche&n - {219C3416-8CB2-491a-A3C7-D9FCDDC9D600} - C:\Program Files (x86)\Windows Live\Writer\WriterBrowserExtension.dll O9 - Extra button: (no name) - {DFB852A3-47F8-48C4-A200-58CAB36FD2A2} - D:\PROGRA~1\SPYBOT~1\SDHelper.dll O9 - Extra 'Tools' menuitem: Spybot - Search & Destroy Configuration - {DFB852A3-47F8-48C4-A200-58CAB36FD2A2} - D:\PROGRA~1\SPYBOT~1\SDHelper.dll O11 - Options group: [ACCELERATED_GRAPHICS] Accelerated graphics O15 - ProtocolDefaults: '@ivt' protocol is in My Computer Zone, should be Intranet Zone O15 - ProtocolDefaults: 'file' protocol is in My Computer Zone, should be Internet Zone O15 - ProtocolDefaults: 'ftp' protocol is in My Computer Zone, should be Internet Zone O15 - ProtocolDefaults: 'http' protocol is in My Computer Zone, should be Internet Zone O15 - ProtocolDefaults: 'https' protocol is in My Computer Zone, should be Internet Zone O23 - Service: Adobe Acrobat Update Service (AdobeARMservice) - Adobe Systems Incorporated - C:\Program Files (x86)\Common Files\Adobe\ARM\1.0\armsvc.exe O23 - Service: @%SystemRoot%\system32\Alg.exe,-112 (ALG) - Unknown owner - C:\Windows\System32\alg.exe (file missing) O23 - Service: AMD External Events Utility - Unknown owner - C:\Windows\system32\atiesrxx.exe (file missing) O23 - Service: avast! Antivirus - AVAST Software - C:\Program Files\Alwil Software\Avast5\AvastSvc.exe O23 - Service: CyberLink Product - 2011/05/13 00:45:50 (CLKMSVC10_90112E0A) - CyberLink - D:\Programme\PowerDVD9\NavFilter\kmsvc.exe O23 - Service: @%SystemRoot%\system32\efssvc.dll,-100 (EFS) - Unknown owner - C:\Windows\System32\lsass.exe (file missing) O23 - Service: @%systemroot%\system32\fxsresm.dll,-118 (Fax) - Unknown owner - C:\Windows\system32\fxssvc.exe (file missing) O23 - Service: @keyiso.dll,-100 (KeyIso) - Unknown owner - C:\Windows\system32\lsass.exe (file missing) O23 - Service: MBAMService - Malwarebytes Corporation - D:\Programme\Malwarebytes' Anti-Malware\mbamservice.exe O23 - Service: @comres.dll,-2797 (MSDTC) - Unknown owner - C:\Windows\System32\msdtc.exe (file missing) O23 - Service: @%SystemRoot%\System32\netlogon.dll,-102 (Netlogon) - Unknown owner - C:\Windows\system32\lsass.exe (file missing) O23 - Service: @%systemroot%\system32\psbase.dll,-300 (ProtectedStorage) - Unknown owner - C:\Windows\system32\lsass.exe (file missing) O23 - Service: @%systemroot%\system32\Locator.exe,-2 (RpcLocator) - Unknown owner - C:\Windows\system32\locator.exe (file missing) O23 - Service: @%SystemRoot%\system32\samsrv.dll,-1 (SamSs) - Unknown owner - C:\Windows\system32\lsass.exe (file missing) O23 - Service: SBSD Security Center Service (SBSDWSCService) - Safer Networking Ltd. - D:\Programme\Spybot - Search & Destroy\SDWinSec.exe O23 - Service: Secunia PSI Agent - Secunia - D:\Programme\PSI\PSIA.exe O23 - Service: Secunia Update Agent - Secunia - D:\Programme\PSI\sua.exe O23 - Service: @%SystemRoot%\system32\snmptrap.exe,-3 (SNMPTRAP) - Unknown owner - C:\Windows\System32\snmptrap.exe (file missing) O23 - Service: @%systemroot%\system32\spoolsv.exe,-1 (Spooler) - Unknown owner - C:\Windows\System32\spoolsv.exe (file missing) O23 - Service: @%SystemRoot%\system32\sppsvc.exe,-101 (sppsvc) - Unknown owner - C:\Windows\system32\sppsvc.exe (file missing) O23 - Service: Steam Client Service - Valve Corporation - C:\Program Files (x86)\Common Files\Steam\SteamService.exe O23 - Service: @%SystemRoot%\system32\ui0detect.exe,-101 (UI0Detect) - Unknown owner - C:\Windows\system32\UI0Detect.exe (file missing) O23 - Service: @%SystemRoot%\system32\vaultsvc.dll,-1003 (VaultSvc) - Unknown owner - C:\Windows\system32\lsass.exe (file missing) O23 - Service: @%SystemRoot%\system32\vds.exe,-100 (vds) - Unknown owner - C:\Windows\System32\vds.exe (file missing) O23 - Service: @%systemroot%\system32\vssvc.exe,-102 (VSS) - Unknown owner - C:\Windows\system32\vssvc.exe (file missing) O23 - Service: @%SystemRoot%\system32\Wat\WatUX.exe,-601 (WatAdminSvc) - Unknown owner - C:\Windows\system32\Wat\WatAdminSvc.exe (file missing) O23 - Service: @%systemroot%\system32\wbengine.exe,-104 (wbengine) - Unknown owner - C:\Windows\system32\wbengine.exe (file missing) O23 - Service: @%Systemroot%\system32\wbem\wmiapsrv.exe,-110 (wmiApSrv) - Unknown owner - C:\Windows\system32\wbem\WmiApSrv.exe (file missing) -- End of file - 10220 bytes Code:
ATTFilter 7-Zip 9.20 (x64 edition) Igor Pavlov 31.07.2011 4,53MB 9.20.00.0
AC3Filter 1.63b Alexander Vigovsky 13.07.2011 1.63b
Adobe Flash Player 10 ActiveX Adobe Systems Incorporated 21.07.2011 6,00MB 10.3.181.34
Adobe Flash Player 10 Plugin Adobe Systems Incorporated 29.07.2011 6,00MB 10.3.181.34
Adobe Reader X (10.1.0) - Deutsch Adobe Systems Incorporated 17.06.2011 165,4MB 10.1.0
ATI Catalyst Install Manager ATI Technologies, Inc. 30.12.2010 22,4MB 3.0.800.0
avast! Free Antivirus AVAST Software 04.07.2011 6.0.1203.0
CCleaner Piriform 01.08.2011 3.09
Curse Client Curse 04.07.2011 4.0.1.112
CyberLink BD Advisor 2.0 12.05.2011
CyberLink Blu-ray Disc Suite CyberLink Corp. 12.05.2011 16,6MB 6.0.3226
CyberLink PowerDVD 9 CyberLink Corp. 12.05.2011 192,8MB 9.0.2919.52
DivX-Setup DivX, LLC 29.07.2011 2.5.0.15
Dual-Core Optimizer AMD 14.07.2011 86,00KB 1.1.4.0169
Empire: Total War The Creative Assembly 05.05.2011
Grand Theft Auto: Episodes from Liberty City Rockstar 05.05.2011
HiJackThis Trend Micro 01.08.2011 0,36MB 1.0.0
Java(TM) 6 Update 26 Oracle 12.03.2011 94,8MB 6.0.260
Malwarebytes' Anti-Malware Version 1.51.1.1800 Malwarebytes Corporation 20.07.2011 13,4MB 1.51.1.1800
Microsoft .NET Framework 4 Client Profile Microsoft Corporation 27.06.2010 38,8MB 4.0.30319
Microsoft .NET Framework 4 Client Profile DEU Language Pack Microsoft Corporation 27.06.2010 2,94MB 4.0.30319
Microsoft Office 2010 Microsoft Corporation 16.05.2010 6,31MB 14.0.4763.1000
Microsoft Silverlight Microsoft Corporation 29.07.2011 108,5MB 4.0.60531.0
Microsoft SQL Server 2005 Compact Edition [ENU] Microsoft Corporation 10.08.2010 1,72MB 3.1.0000
Microsoft Sync Framework Runtime Native v1.0 (x86) Microsoft Corporation 10.08.2010 0,61MB 1.0.1215.0
Microsoft Sync Framework Services Native v1.0 (x86) Microsoft Corporation 10.08.2010 1,45MB 1.0.1215.0
Microsoft Visual C++ 2005 Redistributable Microsoft Corporation 30.07.2011 0,29MB 8.0.61001
Microsoft Visual C++ 2008 Redistributable - x64 9.0.30729.17 Microsoft Corporation 21.02.2011 0,77MB 9.0.30729
Microsoft Visual C++ 2008 Redistributable - x64 9.0.30729.6161 Microsoft Corporation 30.07.2011 0,77MB 9.0.30729.6161
Microsoft Visual C++ 2008 Redistributable - x86 9.0.21022 Microsoft Corporation 14.07.2011 1,42MB 9.0.21022
Microsoft Visual C++ 2008 Redistributable - x86 9.0.30729.4148 Microsoft Corporation 03.01.2010 0,58MB 9.0.30729.4148
Microsoft Visual C++ 2008 Redistributable - x86 9.0.30729.6161 Microsoft Corporation 30.07.2011 0,59MB 9.0.30729.6161
Mozilla Firefox 5.0 (x86 de) Mozilla 21.06.2011 32,5MB 5.0
Mozilla Thunderbird (5.0) Mozilla 21.07.2011 5.0 (de)
Razer Imperator Razer USA Ltd. 21.02.2011 13,3MB 1.02.01
Razer Lycosa Razer USA Ltd. 24.02.2011 3.00.0000
Realtek High Definition Audio Driver Realtek Semiconductor Corp. 30.12.2010 6.0.1.6066
Samsung Kies Samsung Electronics Co., Ltd. 05.07.2011 184,5MB 2.0.1.11053_99
SAMSUNG USB Driver for Mobile Phones SAMSUNG Electronics Co., Ltd. 05.07.2011 41,5MB 1.3.2410.0
Secunia PSI (2.0.0.3003) 21.07.2011
Spybot - Search & Destroy Safer Networking Limited 21.02.2011 1.6.2
StarCraft II Blizzard Entertainment 14.06.2011 1.3.4.18701
Steam Valve Corporation 21.02.2011 1,49MB 1.0.0.0
TeamSpeak 3 Client TeamSpeak Systems GmbH 21.02.2011
The Guild II 26.05.2011
The Guild II - Pirates of the European Seas 26.05.2011
The Guild II: Renaissance 26.05.2011
Torchlight Runic Games, Inc. 10.03.2011
VLC media player 1.1.11 VideoLAN 17.07.2011 1.1.11
Warhammer® 40,000®: Dawn of War® II – Retribution™ Relic 10.03.2011
Warhammer® 40,000™: Dawn of War® II Relic 24.02.2011
Warhammer® 40,000™: Dawn of War® II – Chaos Rising™ Relic 27.02.2011
Windows Live Anmelde-Assistent Microsoft Corporation 10.08.2010 1,94MB 5.000.818.5
Windows Live Essentials Microsoft Corporation 10.08.2010 14.0.8117.0416
Windows Live Sync Microsoft Corporation 10.08.2010 2,79MB 14.0.8117.416
Windows Live-Uploadtool Microsoft Corporation 10.08.2010 0,22MB 14.0.8014.1029
Windows Media Encoder 9 Series 27.05.2011
WinRAR 24.02.2011
World of Warcraft Blizzard Entertainment 28.06.2011 4.2.0.14333
World of Warcraft Public Test Blizzard Entertainment 14.05.2011 0.0.0.0
Xvid 1.2.2 final uninstall Xvid team (Koepi) 30.05.2011 1.2
|
|
03.08.2011, 05:51
| #4 |
| /// Helfer-Team | Rootkit und JavaAgent Infektion 1. Schliesse alle Programme einschliesslich Internet Explorer und fixe mit Hijackthis die Einträge aus der nachfolgenden Codebox (HijackThis starten→ "Do a system scan only"→ Einträge auswählen→ Häckhen setzen→ "Fix checked" klicken→ PC neu aufstarten): HijackThis erstellt ein Backup, Falls bei "Fixen" etwas schief geht, kann man unter "View the list of backups"- die Objekte wiederherstellen Code:
ATTFilter O4 - HKCU\..\RunOnce: [mctadmin] C:\Windows\System32\mctadmin.exe
O4 - HKUS\S-1-5-19\..\RunOnce: [mctadmin] C:\Windows\System32\mctadmin.exe (User 'LOKALER DIENST')
O4 - HKUS\S-1-5-20\..\RunOnce: [mctadmin] C:\Windows\System32\mctadmin.exe (User 'NETZWERKDIENST')
poste erneut - nach der vorgenommenen Reinigungsaktion: TrendMicro™ HijackThis™ -Logfile - Keine offenen Fenster, solang bis HijackThis läuft!! ► Rechtsklick auf HijackThis-> "Als administrator ausführen" wählen...
__________________ Warnung!: Vorsicht beim Rechnungen per Email mit ZIP-Datei als Anhang! Kann mit einen Verschlüsselungs-Trojaner infiziert sein! Anhang nicht öffnen, in unserem Forum erst nachfragen! Sichere regelmäßig deine Daten, auf CD/DVD, USB-Sticks oder externe Festplatten, am besten 2x an verschiedenen Orten! Bitte diese Warnung weitergeben, wo Du nur kannst! |
|
03.08.2011, 11:39
| #5 |
| | Rootkit und JavaAgent Infektion Ok, hab alles wie beschrieben durchgeführt hier ist der neue HijackThis-Scan: Code:
ATTFilter Logfile of Trend Micro HijackThis v2.0.4 Scan saved at 11:06:53, on 03.08.2011 Platform: Windows 7 SP1 (WinNT 6.00.3505) MSIE: Internet Explorer v9.00 (9.00.8112.16421) Boot mode: Normal Running processes: D:\Programme\Kies\KiesTrayAgent.exe D:\Programme\Kies\External\FirmwareUpdate\KiesPDLR.exe C:\Program Files\Alwil Software\Avast5\AvastUI.exe C:\Program Files (x86)\Razer\Lycosa\razerhid.exe D:\Programme\PowerDVD9\PDVD9Serv.exe C:\Program Files (x86)\Cyberlink\Shared files\brs.exe C:\Program Files (x86)\Common Files\Java\Java Update\jusched.exe C:\Program Files (x86)\DivX\DivX Update\DivXUpdate.exe C:\Users\***\Desktop\HiJackThis.exe R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = hxxp://go.microsoft.com/fwlink/?LinkId=69157 R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = hxxp://go.microsoft.com/fwlink/?LinkId=54896 R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = hxxp://go.microsoft.com/fwlink/?LinkId=54896 R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = hxxp://go.microsoft.com/fwlink/?LinkId=69157 R0 - HKLM\Software\Microsoft\Internet Explorer\Search,SearchAssistant = R0 - HKLM\Software\Microsoft\Internet Explorer\Search,CustomizeSearch = R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Local Page = R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Local Page = C:\Windows\SysWOW64\blank.htm R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = F2 - REG:system.ini: UserInit=userinit.exe O2 - BHO: AcroIEHelperStub - {18DF081C-E8AD-4283-A596-FA578C2EBDC3} - C:\Program Files (x86)\Common Files\Adobe\Acrobat\ActiveX\AcroIEHelperShim.dll O2 - BHO: Increase performance and video formats for your HTML5 <video> - {326E768D-4182-46FD-9C16-1449A49795F4} - D:\Programme\DivX\DivX Plus Web Player\ie\DivXHTML5\DivXHTML5.dll O2 - BHO: Spybot-S&D IE Protection - {53707962-6F74-2D53-2644-206D7942484F} - D:\PROGRA~1\SPYBOT~1\SDHelper.dll O2 - BHO: (no name) - {5C255C8A-E604-49b4-9D64-90988571CECB} - (no file) O2 - BHO: Search Helper - {6EBF7485-159F-4bff-A14F-B9E3AAC4465B} - C:\Program Files (x86)\Microsoft\Search Enhancement Pack\Search Helper\SEPsearchhelperie.dll O2 - BHO: Windows Live Anmelde-Hilfsprogramm - {9030D464-4C02-4ABF-8ECC-5164760863C6} - C:\Program Files (x86)\Common Files\Microsoft Shared\Windows Live\WindowsLiveLogin.dll O2 - BHO: Java(tm) Plug-In 2 SSV Helper - {DBC80044-A445-435b-BC74-9C25C1C588A9} - C:\Program Files (x86)\Java\jre6\bin\jp2ssv.dll O2 - BHO: Windows Live Toolbar Helper - {E15A8DC0-8516-42A1-81EA-DC94EC1ACF10} - C:\Program Files (x86)\Windows Live\Toolbar\wltcore.dll O3 - Toolbar: &Windows Live Toolbar - {21FA44EF-376D-4D53-9B0F-8A89D3229068} - C:\Program Files (x86)\Windows Live\Toolbar\wltcore.dll O4 - HKLM\..\Run: [StartCCC] "C:\Program Files (x86)\ATI Technologies\ATI.ACE\Core-Static\CLIStart.exe" MSRun O4 - HKLM\..\Run: [avast5] "C:\Program Files\Alwil Software\Avast5\avastUI.exe" /nogui O4 - HKLM\..\Run: [Razer Imperator Driver] C:\Program Files (x86)\Razer\Imperator\RazerImperatorTray.exe O4 - HKLM\..\Run: [Lycosa] "C:\Program Files (x86)\Razer\Lycosa\razerhid.exe" O4 - HKLM\..\Run: [RemoteControl9] D:\Programme\PowerDVD9\PDVD9Serv.exe O4 - HKLM\..\Run: [BDRegion] C:\Program Files (x86)\Cyberlink\Shared files\brs.exe O4 - HKLM\..\Run: [UpdatePSTShortCut] "D:\Programme\Blu-ray Disc Suite\MUITransfer\MUIStartMenu.exe" "D:\Programme\Blu-ray Disc Suite" UpdateWithCreateOnce "Software\CyberLink\PowerStarter" O4 - HKLM\..\Run: [Adobe ARM] "C:\Program Files (x86)\Common Files\Adobe\ARM\1.0\AdobeARM.exe" O4 - HKLM\..\Run: [SunJavaUpdateSched] "C:\Program Files (x86)\Common Files\Java\Java Update\jusched.exe" O4 - HKLM\..\Run: [amd_dc_opt] C:\Program Files (x86)\AMD\Dual-Core Optimizer\amd_dc_opt.exe O4 - HKLM\..\Run: [Malwarebytes' Anti-Malware] "D:\Programme\Malwarebytes' Anti-Malware\mbamgui.exe" /starttray O4 - HKLM\..\Run: [DivXUpdate] "C:\Program Files (x86)\DivX\DivX Update\DivXUpdate.exe" /CHECKNOW O4 - HKCU\..\Run: [Sidebar] %ProgramFiles%\Windows Sidebar\Sidebar.exe /autoRun O4 - HKUS\S-1-5-19\..\Run: [Sidebar] %ProgramFiles%\Windows Sidebar\Sidebar.exe /autoRun (User 'LOKALER DIENST') O4 - HKUS\S-1-5-20\..\Run: [Sidebar] %ProgramFiles%\Windows Sidebar\Sidebar.exe /autoRun (User 'NETZWERKDIENST') O4 - HKUS\S-1-5-21-1259703937-3739694991-476427962-1003\..\Run: [Sidebar] C:\Program Files\Windows Sidebar\sidebar.exe /autoRun (User '***') O4 - HKUS\S-1-5-21-1259703937-3739694991-476427962-1003\..\Run: [KiesHelper] D:\Programme\Kies\KiesHelper.exe /s (User '***') O4 - HKUS\S-1-5-21-1259703937-3739694991-476427962-1003\..\Run: [KiesTrayAgent] D:\Programme\Kies\KiesTrayAgent.exe (User '***') O4 - HKUS\S-1-5-21-1259703937-3739694991-476427962-1003\..\Run: [KiesPDLR] D:\Programme\Kies\External\FirmwareUpdate\KiesPDLR.exe (User '***') O4 - S-1-5-21-1259703937-3739694991-476427962-1003 Startup: CurseClientStartup.ccip (User '***') O4 - S-1-5-21-1259703937-3739694991-476427962-1003 User Startup: CurseClientStartup.ccip (User '***') O4 - Global Startup: Secunia PSI Tray.lnk = D:\Programme\PSI\psi_tray.exe O9 - Extra button: In Blog veröffentlichen - {219C3416-8CB2-491a-A3C7-D9FCDDC9D600} - C:\Program Files (x86)\Windows Live\Writer\WriterBrowserExtension.dll O9 - Extra 'Tools' menuitem: In Windows Live Writer in Blog veröffentliche&n - {219C3416-8CB2-491a-A3C7-D9FCDDC9D600} - C:\Program Files (x86)\Windows Live\Writer\WriterBrowserExtension.dll O9 - Extra button: (no name) - {DFB852A3-47F8-48C4-A200-58CAB36FD2A2} - D:\PROGRA~1\SPYBOT~1\SDHelper.dll O9 - Extra 'Tools' menuitem: Spybot - Search & Destroy Configuration - {DFB852A3-47F8-48C4-A200-58CAB36FD2A2} - D:\PROGRA~1\SPYBOT~1\SDHelper.dll O11 - Options group: [ACCELERATED_GRAPHICS] Accelerated graphics O15 - ProtocolDefaults: '@ivt' protocol is in My Computer Zone, should be Intranet Zone O15 - ProtocolDefaults: 'file' protocol is in My Computer Zone, should be Internet Zone O15 - ProtocolDefaults: 'ftp' protocol is in My Computer Zone, should be Internet Zone O15 - ProtocolDefaults: 'http' protocol is in My Computer Zone, should be Internet Zone O15 - ProtocolDefaults: 'https' protocol is in My Computer Zone, should be Internet Zone O23 - Service: Adobe Acrobat Update Service (AdobeARMservice) - Adobe Systems Incorporated - C:\Program Files (x86)\Common Files\Adobe\ARM\1.0\armsvc.exe O23 - Service: @%SystemRoot%\system32\Alg.exe,-112 (ALG) - Unknown owner - C:\Windows\System32\alg.exe (file missing) O23 - Service: AMD External Events Utility - Unknown owner - C:\Windows\system32\atiesrxx.exe (file missing) O23 - Service: avast! Antivirus - AVAST Software - C:\Program Files\Alwil Software\Avast5\AvastSvc.exe O23 - Service: CyberLink Product - 2011/05/13 00:45:50 (CLKMSVC10_90112E0A) - CyberLink - D:\Programme\PowerDVD9\NavFilter\kmsvc.exe O23 - Service: @%SystemRoot%\system32\efssvc.dll,-100 (EFS) - Unknown owner - C:\Windows\System32\lsass.exe (file missing) O23 - Service: @%systemroot%\system32\fxsresm.dll,-118 (Fax) - Unknown owner - C:\Windows\system32\fxssvc.exe (file missing) O23 - Service: @keyiso.dll,-100 (KeyIso) - Unknown owner - C:\Windows\system32\lsass.exe (file missing) O23 - Service: MBAMService - Malwarebytes Corporation - D:\Programme\Malwarebytes' Anti-Malware\mbamservice.exe O23 - Service: @comres.dll,-2797 (MSDTC) - Unknown owner - C:\Windows\System32\msdtc.exe (file missing) O23 - Service: @%SystemRoot%\System32\netlogon.dll,-102 (Netlogon) - Unknown owner - C:\Windows\system32\lsass.exe (file missing) O23 - Service: @%systemroot%\system32\psbase.dll,-300 (ProtectedStorage) - Unknown owner - C:\Windows\system32\lsass.exe (file missing) O23 - Service: @%systemroot%\system32\Locator.exe,-2 (RpcLocator) - Unknown owner - C:\Windows\system32\locator.exe (file missing) O23 - Service: @%SystemRoot%\system32\samsrv.dll,-1 (SamSs) - Unknown owner - C:\Windows\system32\lsass.exe (file missing) O23 - Service: SBSD Security Center Service (SBSDWSCService) - Safer Networking Ltd. - D:\Programme\Spybot - Search & Destroy\SDWinSec.exe O23 - Service: Secunia PSI Agent - Secunia - D:\Programme\PSI\PSIA.exe O23 - Service: Secunia Update Agent - Secunia - D:\Programme\PSI\sua.exe O23 - Service: @%SystemRoot%\system32\snmptrap.exe,-3 (SNMPTRAP) - Unknown owner - C:\Windows\System32\snmptrap.exe (file missing) O23 - Service: @%systemroot%\system32\spoolsv.exe,-1 (Spooler) - Unknown owner - C:\Windows\System32\spoolsv.exe (file missing) O23 - Service: @%SystemRoot%\system32\sppsvc.exe,-101 (sppsvc) - Unknown owner - C:\Windows\system32\sppsvc.exe (file missing) O23 - Service: Steam Client Service - Valve Corporation - C:\Program Files (x86)\Common Files\Steam\SteamService.exe O23 - Service: @%SystemRoot%\system32\ui0detect.exe,-101 (UI0Detect) - Unknown owner - C:\Windows\system32\UI0Detect.exe (file missing) O23 - Service: @%SystemRoot%\system32\vaultsvc.dll,-1003 (VaultSvc) - Unknown owner - C:\Windows\system32\lsass.exe (file missing) O23 - Service: @%SystemRoot%\system32\vds.exe,-100 (vds) - Unknown owner - C:\Windows\System32\vds.exe (file missing) O23 - Service: @%systemroot%\system32\vssvc.exe,-102 (VSS) - Unknown owner - C:\Windows\system32\vssvc.exe (file missing) O23 - Service: @%SystemRoot%\system32\Wat\WatUX.exe,-601 (WatAdminSvc) - Unknown owner - C:\Windows\system32\Wat\WatAdminSvc.exe (file missing) O23 - Service: @%systemroot%\system32\wbengine.exe,-104 (wbengine) - Unknown owner - C:\Windows\system32\wbengine.exe (file missing) O23 - Service: @%Systemroot%\system32\wbem\wmiapsrv.exe,-110 (wmiApSrv) - Unknown owner - C:\Windows\system32\wbem\WmiApSrv.exe (file missing) -- End of file - 9861 bytes Gruß Becherhalter |
|
04.08.2011, 04:30
| #6 |
| /// Helfer-Team | Rootkit und JavaAgent Infektion den Bericht zu finden, gehe auf C: -> Programme und Avast im Avast Ordner schauen 1. Schliesse alle Programme einschliesslich Internet Explorer und fixe mit Hijackthis die Einträge aus der nachfolgenden Codebox (HijackThis starten→ "Do a system scan only"→ Einträge auswählen→ Häckhen setzen→ "Fix checked" klicken→ PC neu aufstarten): HijackThis erstellt ein Backup, Falls bei "Fixen" etwas schief geht, kann man unter "View the list of backups"- die Objekte wiederherstellen Code:
ATTFilter O15 - ProtocolDefaults: '@ivt' protocol is in My Computer Zone, should be Intranet Zone
O15 - ProtocolDefaults: 'file' protocol is in My Computer Zone, should be Internet Zone
O15 - ProtocolDefaults: 'ftp' protocol is in My Computer Zone, should be Internet Zone
O15 - ProtocolDefaults: 'http' protocol is in My Computer Zone, should be Internet Zone
O15 - ProtocolDefaults: 'https' protocol is in My Computer Zone, should be Internet Zone
poste erneut - nach der vorgenommenen Reinigungsaktion: TrendMicro™ HijackThis™ -Logfile - Keine offenen Fenster, solang bis HijackThis läuft!! 3. erneut einen Scan mit OTL:
►
__________________ --> Rootkit und JavaAgent Infektion |
|
| Themen zu Rootkit und JavaAgent Infektion |
| anti-malware, appdata, avast, cache, code, dateien, defender, explorer, extras.txt, fehler, gelöscht, google, infektion, infiziert, jar_cache, java, malwarebytes, mbam, object, ordner, problem, programme, rootkit, steam, temp, überprüfung |
Hybrid-Darstellung
