Absicherung des Systems nach BDS/Sinowal.knfa Infektion

ole90 · 27.12.2011, 13:54

Hallo Leute,

Ich hatte gerade ein hartnäckiges Malwareproblem, und bin mir nun nicht sicher ob meine stümperhafter Rettungsversuch ohne Expertenhilfe erfolgreich war...

Bevor ich mich hier eingelesen habe, las ich bei Google, dass Trojaner wie Sinowal nur durch ein Neuaufsetzen von Windows zu beseitigen seien, dies wäre auf meinem Netbook nicht möglich und dessen Verlust ohnehin verschmerzbar. Entsprechend habe ich einfach alles an Programmen draufgehetzt... Folglich leider auch keine Logs zur Verfügung sondern nur eine Ereignisliste der Funde in Antivir:

HTML-Code:

Exportierte Ereignisse:

12/26/2011 10:55 PM [System Scanner] Malware gefunden
      Die Datei 'Masterbootsektor HD0'
      enthielt einen Virus oder unerwünschtes Programm 'BDS/Sinowal.knfal' [backdoor].
      Durchgeführte Aktion(en):
      Enthält ein Erkennungsmuster des (gefährlichen) Backdoorprogrammes 
      BDS/Sinowal.knfal.

12/26/2011 10:55 PM [System Scanner] Malware gefunden
      Die Datei 'Masterbootsektor HD0'
      enthielt einen Virus oder unerwünschtes Programm 'BDS/Sinowal.knfal' [backdoor].
      Durchgeführte Aktion(en):
      Enthält ein Erkennungsmuster des (gefährlichen) Backdoorprogrammes 
      BDS/Sinowal.knfal.

12/26/2011 10:55 PM [System Scanner] Malware gefunden
      Die Datei 'Bootsektor 'D:\''
      enthielt einen Virus oder unerwünschtes Programm 'BDS/Sinowal.knfal' [backdoor].
      Durchgeführte Aktion(en):
      Enthält ein Erkennungsmuster des (gefährlichen) Backdoorprogrammes 
      BDS/Sinowal.knfal.

12/26/2011 10:55 PM [System Scanner] Malware gefunden
      Die Datei 'Bootsektor 'C:\''
      enthielt einen Virus oder unerwünschtes Programm 'BDS/Sinowal.knfal' [backdoor].
      Durchgeführte Aktion(en):
      Enthält ein Erkennungsmuster des (gefährlichen) Backdoorprogrammes 
      BDS/Sinowal.knfal.

12/26/2011 10:55 PM [System Scanner] Malware gefunden
      Die Datei 'Masterbootsektor HD0'
      enthielt einen Virus oder unerwünschtes Programm 'BDS/Sinowal.knfal' [backdoor].
      Durchgeführte Aktion(en):
      Enthält ein Erkennungsmuster des (gefährlichen) Backdoorprogrammes 
      BDS/Sinowal.knfal.

12/26/2011 10:49 PM [Echtzeit Scanner] Malware in Bootsektor gefunden
      Im Bootsektor von Laufwerk 'D:' wurde ein Virus oder 
      unerwünschtes Programm 'BDS/Sinowal.knfal' [backdoor] gefunden.
      Ausgeführte Aktion: Zugriff verweigern

12/26/2011 10:49 PM [Echtzeit Scanner] Malware in Bootsektor gefunden
      Im Masterbootsektor von Laufwerk 'Masterbootsektor HD0' wurde ein Virus oder 
      unerwünschtes Programm 'BDS/Sinowal.knfal' [backdoor] gefunden.
      Ausgeführte Aktion: Zugriff verweigern

12/26/2011 10:49 PM [Echtzeit Scanner] Malware in Bootsektor gefunden
      Im Masterbootsektor von Laufwerk 'Masterbootsektor HD0' wurde ein Virus oder 
      unerwünschtes Programm 'BDS/Sinowal.knfal' [backdoor] gefunden.
      Ausgeführte Aktion: Zugriff verweigern

12/26/2011 10:49 PM [Echtzeit Scanner] Malware in Bootsektor gefunden
      Im Bootsektor von Laufwerk 'C:' wurde ein Virus oder 
      unerwünschtes Programm 'BDS/Sinowal.knfal' [backdoor] gefunden.
      Ausgeführte Aktion: Zugriff verweigern

12/26/2011 9:42 PM [System Scanner] Malware gefunden
      Die Datei 'Masterbootsektor HD0'
      enthielt einen Virus oder unerwünschtes Programm 'BDS/Sinowal.knfal' [backdoor].
      Durchgeführte Aktion(en):
      Enthält ein Erkennungsmuster des (gefährlichen) Backdoorprogrammes 
      BDS/Sinowal.knfal.

12/26/2011 9:42 PM [System Scanner] Malware gefunden
      Die Datei 'Masterbootsektor HD0'
      enthielt einen Virus oder unerwünschtes Programm 'BDS/Sinowal.knfal' [backdoor].
      Durchgeführte Aktion(en):
      Enthält ein Erkennungsmuster des (gefährlichen) Backdoorprogrammes 
      BDS/Sinowal.knfal.

12/26/2011 9:42 PM [System Scanner] Malware gefunden
      Die Datei 'Bootsektor 'D:\''
      enthielt einen Virus oder unerwünschtes Programm 'BDS/Sinowal.knfal' [backdoor].
      Durchgeführte Aktion(en):
      Enthält ein Erkennungsmuster des (gefährlichen) Backdoorprogrammes 
      BDS/Sinowal.knfal.

12/26/2011 9:42 PM [System Scanner] Malware gefunden
      Die Datei 'Bootsektor 'C:\''
      enthielt einen Virus oder unerwünschtes Programm 'BDS/Sinowal.knfal' [backdoor].
      Durchgeführte Aktion(en):
      Enthält ein Erkennungsmuster des (gefährlichen) Backdoorprogrammes 
      BDS/Sinowal.knfal.

12/26/2011 9:42 PM [System Scanner] Malware gefunden
      Die Datei 'Masterbootsektor HD0'
      enthielt einen Virus oder unerwünschtes Programm 'BDS/Sinowal.knfal' [backdoor].
      Durchgeführte Aktion(en):
      Enthält ein Erkennungsmuster des (gefährlichen) Backdoorprogrammes 
      BDS/Sinowal.knfal.

12/26/2011 9:41 PM [Echtzeit Scanner] Malware in Bootsektor gefunden
      Im Masterbootsektor von Laufwerk 'Masterbootsektor HD0' wurde ein Virus oder 
      unerwünschtes Programm 'BDS/Sinowal.knfal' [backdoor] gefunden.
      Ausgeführte Aktion: Zugriff verweigern

12/26/2011 9:41 PM [Echtzeit Scanner] Malware in Bootsektor gefunden
      Im Bootsektor von Laufwerk 'D:' wurde ein Virus oder 
      unerwünschtes Programm 'BDS/Sinowal.knfal' [backdoor] gefunden.
      Ausgeführte Aktion: Zugriff verweigern

12/26/2011 9:41 PM [Echtzeit Scanner] Malware in Bootsektor gefunden
      Im Masterbootsektor von Laufwerk 'Masterbootsektor HD0' wurde ein Virus oder 
      unerwünschtes Programm 'BDS/Sinowal.knfal' [backdoor] gefunden.
      Ausgeführte Aktion: Zugriff verweigern

12/26/2011 9:41 PM [Echtzeit Scanner] Malware in Bootsektor gefunden
      Im Bootsektor von Laufwerk 'C:' wurde ein Virus oder 
      unerwünschtes Programm 'BDS/Sinowal.knfal' [backdoor] gefunden.
      Ausgeführte Aktion: Zugriff verweigern

12/26/2011 1:20 PM [Echtzeit Scanner] Malware in Bootsektor gefunden
      Im Bootsektor von Laufwerk 'C:' wurde ein Virus oder 
      unerwünschtes Programm 'BDS/Sinowal.knfal' [backdoor] gefunden.
      Ausgeführte Aktion: Zugriff verweigern

12/26/2011 1:20 PM [Echtzeit Scanner] Malware in Bootsektor gefunden
      Im Masterbootsektor von Laufwerk 'Masterbootsektor HD0' wurde ein Virus oder 
      unerwünschtes Programm 'BDS/Sinowal.knfal' [backdoor] gefunden.
      Ausgeführte Aktion: Zugriff verweigern

12/26/2011 1:20 PM [Echtzeit Scanner] Malware in Bootsektor gefunden
      Im Bootsektor von Laufwerk 'D:' wurde ein Virus oder 
      unerwünschtes Programm 'BDS/Sinowal.knfal' [backdoor] gefunden.
      Ausgeführte Aktion: Zugriff verweigern

12/26/2011 1:20 PM [Echtzeit Scanner] Malware in Bootsektor gefunden
      Im Masterbootsektor von Laufwerk 'Masterbootsektor HD0' wurde ein Virus oder 
      unerwünschtes Programm 'BDS/Sinowal.knfal' [backdoor] gefunden.
      Ausgeführte Aktion: Zugriff verweigern

12/26/2011 3:32 AM [System Scanner] Malware gefunden
      Die Datei 'Bootsektor 'C:\''
      enthielt einen Virus oder unerwünschtes Programm 'BDS/Sinowal.knfal' [backdoor].
      Durchgeführte Aktion(en):
      Enthält ein Erkennungsmuster des (gefährlichen) Backdoorprogrammes 
      BDS/Sinowal.knfal.

12/26/2011 3:32 AM [System Scanner] Malware gefunden
      Die Datei 'Bootsektor 'D:\''
      enthielt einen Virus oder unerwünschtes Programm 'BDS/Sinowal.knfal' [backdoor].
      Durchgeführte Aktion(en):
      Enthält ein Erkennungsmuster des (gefährlichen) Backdoorprogrammes 
      BDS/Sinowal.knfal.

12/26/2011 3:32 AM [System Scanner] Malware gefunden
      Die Datei 'Masterbootsektor HD0'
      enthielt einen Virus oder unerwünschtes Programm 'BDS/Sinowal.knfal' [backdoor].
      Durchgeführte Aktion(en):
      Enthält ein Erkennungsmuster des (gefährlichen) Backdoorprogrammes 
      BDS/Sinowal.knfal.

12/14/2011 10:49 AM [System Scanner] Malware gefunden
      Die Datei 'C:\Dokumente und Einstellungen\Ole\Lokale 
      Einstellungen\Anwendungsdaten\Sun\Java\Deployment\cache\6.0\24\1abba318-5b1681a2
      '
      enthielt einen Virus oder unerwünschtes Programm 'EXP/2010-0840.P.1' [exploit].
      Durchgeführte Aktion(en):
      Die Datei wurde ins Quarantäneverzeichnis unter dem Namen '4b4dd5d3.qua' 
      verschoben!

12/13/2011 11:26 PM [System Scanner] Malware gefunden
      Die Datei 'C:\Dokumente und Einstellungen\Ole\Lokale 
      Einstellungen\Anwendungsdaten\Opera\Opera\cache\g_005E\opr05IYR.tmp'
      enthielt einen Virus oder unerwünschtes Programm 'JS/ScrInj.K' [virus].
      Durchgeführte Aktion(en):
      Die Datei wurde ins Quarantäneverzeichnis unter dem Namen '4db97045.qua' 
      verschoben!

12/13/2011 11:25 PM [Echtzeit Scanner] Malware gefunden
      In der Datei 'C:\Dokumente und Einstellungen\Ole\Lokale 
      Einstellungen\Anwendungsdaten\Opera\Opera\cache\g_005E\opr05IYR.tmp'
      wurde ein Virus oder unerwünschtes Programm 'JS/ScrInj.K' [virus] gefunden.
      Ausgeführte Aktion: Übergeben an Scanner

12/11/2011 3:30 PM [System Scanner] Malware gefunden
      Die Datei 'C:\Dokumente und 
      Einstellungen\Ole\Anwendungsdaten\Sun\Java\Deployment\cache\6.0\51\8cd4f3-154dd9
      5b'
      enthielt einen Virus oder unerwünschtes Programm 'BDS/Sinowal.223658' 
      [backdoor].
      Durchgeführte Aktion(en):
      Die Datei wurde ins Quarantäneverzeichnis unter dem Namen '4c551aa2.qua' 
      verschoben!

12/11/2011 3:30 PM [System Scanner] Malware gefunden
      Die Datei 'C:\Dokumente und 
      Einstellungen\Ole\Anwendungsdaten\Sun\Java\Deployment\cache\6.0\24\61df1718-55a9
      e2e1'
      enthielt einen Virus oder unerwünschtes Programm 'EXP/2011-3544.A' [exploit].
      Durchgeführte Aktion(en):
      Die Datei wurde ins Quarantäneverzeichnis unter dem Namen '54c2354b.qua' 
      verschoben!

12/10/2011 6:53 PM [System Scanner] Malware gefunden
      Die Datei 'C:\Dokumente und Einstellungen\Ole\Lokale 
      Einstellungen\Anwendungsdaten\Opera\Opera\cache\sesn\opr055QW.tmp'
      enthielt einen Virus oder unerwünschtes Programm 'EXP/CVE-2010-1885.AU' 
      [exploit].
      Durchgeführte Aktion(en):
      Beim Versuch eine Sicherungskopie der Datei anzulegen ist ein Fehler 
      aufgetreten und die Datei wurde nicht gelöscht. Fehlernummer: 26003.
      Die Datei konnte nicht gelöscht werden!
      Es wird versucht die Aktion mit Hilfe der ARK Library durchzuführen.
      Die Datei konnte nicht ins Quarantäneverzeichnis verschoben werden!
      Die Datei existiert nicht!

12/10/2011 6:53 PM [System Scanner] Malware gefunden
      Die Datei 'C:\Dokumente und Einstellungen\Ole\Lokale 
      Einstellungen\Anwendungsdaten\Opera\Opera\cache\sesn\opr055QW.tmp'
      enthielt einen Virus oder unerwünschtes Programm 'EXP/CVE-2010-1885.AU' 
      [exploit].
      Durchgeführte Aktion(en):
      Die Datei wurde ins Quarantäneverzeichnis unter dem Namen '4de13c3a.qua' 
      verschoben!

12/10/2011 6:52 PM [Echtzeit Scanner] Malware gefunden
      In der Datei 'C:\Dokumente und Einstellungen\Ole\Lokale 
      Einstellungen\Anwendungsdaten\Opera\Opera\cache\sesn\opr055QW.tmp'
      wurde ein Virus oder unerwünschtes Programm 'EXP/CVE-2010-1885.AU' [exploit] 
      gefunden.
      Ausgeführte Aktion: Zugriff verweigern

12/10/2011 6:51 PM [Echtzeit Scanner] Malware gefunden
      In der Datei 'C:\Dokumente und Einstellungen\Ole\Lokale 
      Einstellungen\Anwendungsdaten\Opera\Opera\cache\sesn\opr055QW.tmp'
      wurde ein Virus oder unerwünschtes Programm 'EXP/CVE-2010-1885.AU' [exploit] 
      gefunden.
      Ausgeführte Aktion: Übergeben an Scanner

12/7/2011 8:36 AM [System Scanner] Malware gefunden
      Die Datei 'C:\Dokumente und 
      Einstellungen\Ole\Anwendungsdaten\Sun\Java\Deployment\cache\6.0\38\4538e266-27d0
      04b4'
      enthielt einen Virus oder unerwünschtes Programm 'EXP/Java.Dldr.A' [exploit].
      Durchgeführte Aktion(en):
      Die Datei wurde ins Quarantäneverzeichnis unter dem Namen '4df9b3e2.qua' 
      verschoben!

12/7/2011 8:36 AM [System Scanner] Malware gefunden
      Die Datei 'C:\Dokumente und 
      Einstellungen\Ole\Anwendungsdaten\Sun\Java\Deployment\cache\6.0\10\e785aca-2d44f
      e96'
      enthielt einen Virus oder unerwünschtes Programm 'EXP/CVE-2010-0840.CE' 
      [exploit].
      Durchgeführte Aktion(en):
      Die Datei wurde ins Quarantäneverzeichnis unter dem Namen '556b9c47.qua' 
      verschoben!

12/7/2011 12:05 AM [System Scanner] Malware gefunden
      Die Datei 'C:\Dokumente und Einstellungen\Ole\Lokale 
      Einstellungen\Anwendungsdaten\Opera\Opera\cache\sesn\opr04RX0.tmp'
      enthielt einen Virus oder unerwünschtes Programm 'EXP/CVE-2010-1885.AU' 
      [exploit].
      Durchgeführte Aktion(en):
      Die Datei wurde ins Quarantäneverzeichnis unter dem Namen '4c590109.qua' 
      verschoben!

12/7/2011 12:04 AM [Echtzeit Scanner] Malware gefunden
      In der Datei 'C:\Dokumente und Einstellungen\Ole\Lokale 
      Einstellungen\Anwendungsdaten\Opera\Opera\cache\sesn\opr04RX0.tmp'
      wurde ein Virus oder unerwünschtes Programm 'EXP/CVE-2010-1885.AU' [exploit] 
      gefunden.
      Ausgeführte Aktion: Zugriff verweigern

12/7/2011 12:04 AM [Echtzeit Scanner] Malware gefunden
      In der Datei 'C:\Dokumente und Einstellungen\Ole\Lokale 
      Einstellungen\Anwendungsdaten\Opera\Opera\cache\sesn\opr04RX0.tmp'
      wurde ein Virus oder unerwünschtes Programm 'EXP/CVE-2010-1885.AU' [exploit] 
      gefunden.
      Ausgeführte Aktion: Übergeben an Scanner

Neben Antivir Systemscans hatte ich auch den Norton Power Eraser und den Sophos ant-rootkit durchlaufen lassen, mehrmals an verschiedenen Tagen als das System bereits infiziert war. Keines von beiden hat jemals was gefunden

Avira Antivir hat hingegen immer 3 mal nach dem Neustart des Systems angeschlagen, siehe Berichte oben. Habe dann den TDSS Killer laufen lassen, und der hat auch was gefunden und entfernt (Ich weiß, dumm kein log zu machen). Danach ohne Probleme Combifix laufen lassen, aber keine Idee ob der was gefunden hat.

Anschließend habe ich MAM, Super Antispyware und aswMBR laufen lassen, überall keine Funde. Nach dem Neustart ebenfalls keine Meldung mehr von Antivir. Das lässt mich hoffen dass der Trojaner beseitigt ist, doch durch meine fehlenden Kentnisse und unkoordiniertes Vorgehen kann ich nicht ausschliessen dass noch reste vorhanden sind oder der PC nun anfällig für eine erneute Infektion ist.

Was ich mir von diesem Thread erhoffe:

1. Ich wäre euch sehr dankbar wenn ich unter eurer Anleitung noch einmal die entsprechenden Programme durchlaufen lassen könnte und dann entsprechend auch Logs posten um eine noch bestehende Infektion auszuschliessen.
2. In einem anderen Thread über Sinowal las ich folgendes Zitat von "Chris4You":

Zitat:

Die Firewall muss noch dicht gemacht werden (tidy.tmp\svchost.exe)..

Wäre für eine Anleitung hierzu dankbar. Ansonsten habe ich schon die Systemwiederherstellung deaktiviert und die Punkte zur Absicherung des Systems hier im Forum befolgt.

Grüsse
Ole90

Absicherung des Systems nach BDS/Sinowal.knfa Infektion

Plagegeister aller Art und deren Bekämpfung: Absicherung des Systems nach BDS/Sinowal.knfa Infektion

Absicherung des Systems nach BDS/Sinowal.knfa Infektion

Ähnliche Themen: Absicherung des Systems nach BDS/Sinowal.knfa Infektion