| |
| |||||||
Log-Analyse und Auswertung: drive-by InfektionWindows 7 Wenn Du Dir einen Trojaner eingefangen hast oder ständig Viren Warnungen bekommst, kannst Du hier die Logs unserer Diagnose Tools zwecks Auswertung durch unsere Experten posten. Um Viren und Trojaner entfernen zu können, muss das infizierte System zuerst untersucht werden: Erste Schritte zur Hilfe. Beachte dass ein infiziertes System nicht vertrauenswürdig ist und bis zur vollständigen Entfernung der Malware nicht verwendet werden sollte.XML. |
06.02.2012, 22:16
| #1 |
 |  drive-by Infektion Moin, diesmal hats meinen Privatrechner erwischt: Browser schließt sich, trojaner fake alert öffnet sich und fährt nach etwa 1 Minute den Rechner runter. Dann Reboot Endlosschleife. PC im abgesicherten Modus gestartet und MBAM drübergelassen. 14 Infektionen entfernt. Code:
ATTFilter Datenbank Version: v2012.02.06.01
Windows XP Service Pack 3 x86 NTFS (Abgesichertenmodus/Netzwerkfähig)
Internet Explorer 8.0.6001.18702
whw :: WOLFI [Administrator]
06.02.2012 08:20:31
mbam-log-2012-02-06 (08-20-31).txt
Art des Suchlaufs: Vollständiger Suchlauf
Aktivierte Suchlaufeinstellungen: Speicher | Autostart | Registrierung | Dateisystem | Heuristiks/Extra | HeuristiKs/Shuriken | PUP | PUM
Deaktivierte Suchlaufeinstellungen: P2P
Durchsuchte Objekte: 359426
Laufzeit: 25 Minute(n), 2 Sekunde(n)
Infizierte Speicherprozesse: 0
(Keine bösartigen Objekte gefunden)
Infizierte Speichermodule: 0
(Keine bösartigen Objekte gefunden)
Infizierte Registrierungsschlüssel: 1
HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\SETUP.EXE (Trojan.Downloader) -> Erfolgreich gelöscht und in Quarantäne gestellt.
Infizierte Registrierungswerte: 0
(Keine bösartigen Objekte gefunden)
Infizierte Dateiobjekte der Registrierung: 0
(Keine bösartigen Objekte gefunden)
Infizierte Verzeichnisse: 0
(Keine bösartigen Objekte gefunden)
Infizierte Dateien: 13
D:\Dokumente und Einstellungen\All Users\oai4szz4hk.exe (Trojan.Downloader) -> Erfolgreich gelöscht und in Quarantäne gestellt.
D:\Dokumente und Einstellungen\whw\Lokale Einstellungen\Temp\53.tmp (Trojan.FakeAlert) -> Erfolgreich gelöscht und in Quarantäne gestellt.
D:\Dokumente und Einstellungen\whw\Lokale Einstellungen\Temp\yr0.2454877279474008.exe (Trojan.Agent) -> Erfolgreich gelöscht und in Quarantäne gestellt.
D:\Dokumente und Einstellungen\whw\Lokale Einstellungen\Temp\yr0.8905098614885456.exe (Trojan.Agent) -> Erfolgreich gelöscht und in Quarantäne gestellt.
D:\Dokumente und Einstellungen\whw\Lokale Einstellungen\Temp\~!#4.tmp (Trojan.FakeAlert) -> Erfolgreich gelöscht und in Quarantäne gestellt.
D:\Dokumente und Einstellungen\whw\Lokale Einstellungen\Temp\~!#52.tmp (Trojan.FakeAlert) -> Erfolgreich gelöscht und in Quarantäne gestellt.
D:\System Volume Information\_restore{09325496-3B6D-45E0-AC3B-6991FBA2284E}\RP215\A0054796.exe (Trojan.FakeAlert) -> Erfolgreich gelöscht und in Quarantäne gestellt.
D:\System Volume Information\_restore{09325496-3B6D-45E0-AC3B-6991FBA2284E}\RP215\A0054798.sys (Trojan.FakeAlert) -> Erfolgreich gelöscht und in Quarantäne gestellt.
D:\WINDOWS\Temp\7.tmp (Trojan.FakeAlert.FS) -> Erfolgreich gelöscht und in Quarantäne gestellt.
D:\WINDOWS\Temp\hdgfsh.exe (Trojan.Ransom) -> Erfolgreich gelöscht und in Quarantäne gestellt.
D:\WINDOWS\Temp\kcdzw.exe (Trojan.Ransom) -> Erfolgreich gelöscht und in Quarantäne gestellt.
D:\WINDOWS\Temp\_ex-68.exe (Trojan.Agent.PE5) -> Erfolgreich gelöscht und in Quarantäne gestellt.
D:\WINDOWS\Temp\bqyggs\setup.exe (Trojan.Downloader) -> Erfolgreich gelöscht und in Quarantäne gestellt.
(Ende)
Im Windos eventlog noch diverse rote Kreuze, aber windows bootet wieder. Zeitweise kein Zugriff auf google. Netzwerktraffic gesnifft mit wireshark, ca 45MB http get's in 12 Minuten. Sieht nach verborgenem adware-Trojaner aus. MBAM findet nix mehr. GMER meint was zu finden GMER Logfile: Code:
ATTFilter GMER 1.0.15.15641 - hxxp://www.gmer.net
Rootkit scan 2012-02-06 21:10:41
Windows 5.1.2600 Service Pack 3 Harddisk0\DR0 -> \Device\Ide\IdeDeviceP2T0L0-16 WDC_WD3200BEVT-63ZCT0 rev.11.01A11
Running: 4qd8ibvh.exe; Driver: D:\DOKUME~1\whw\LOKALE~1\Temp\pxtdqpob.sys
---- Kernel code sections - GMER 1.0.15 ----
.text atapi.sys B9F10852 1 Byte [CC] {INT 3 }
? D:\WINDOWS\system32\DRIVERS\mrxsmb.sys suspicious PE modification
---- User code sections - GMER 1.0.15 ----
.text D:\WINDOWS\System32\svchost.exe[1184] ntdll.dll!NtProtectVirtualMemory 7C91D6EE 5 Bytes JMP 015E000A
.text D:\WINDOWS\System32\svchost.exe[1184] ntdll.dll!NtWriteVirtualMemory 7C91DFAE 5 Bytes JMP 015F000A
.text D:\WINDOWS\System32\svchost.exe[1184] ntdll.dll!KiUserExceptionDispatcher 7C91E47C 5 Bytes JMP 015D000C
? D:\WINDOWS\System32\svchost.exe[1184] D:\WINDOWS\System32\smss.exe image checksum mismatch; time/date stamp mismatch;
.text D:\WINDOWS\System32\ping.exe[2804] ntdll.dll!NtCreateProcess 7C91D14E 5 Bytes JMP 00BA000A
.text D:\WINDOWS\System32\ping.exe[2804] ntdll.dll!NtCreateProcessEx 7C91D15E 5 Bytes JMP 00BB000A
.text D:\WINDOWS\System32\ping.exe[2804] ntdll.dll!NtProtectVirtualMemory 7C91D6EE 5 Bytes JMP 00A5000A
.text D:\WINDOWS\System32\ping.exe[2804] ntdll.dll!NtWriteVirtualMemory 7C91DFAE 5 Bytes JMP 00A6000A
.text D:\WINDOWS\System32\ping.exe[2804] ntdll.dll!KiUserExceptionDispatcher 7C91E47C 5 Bytes JMP 00A4000C
.text D:\WINDOWS\System32\ping.exe[2804] USER32.dll!GetCursorPos 7E37974E 5 Bytes JMP 00BE000A
.text D:\WINDOWS\System32\ping.exe[2804] USER32.dll!WindowFromPoint 7E379766 5 Bytes JMP 00BF000A
.text D:\WINDOWS\System32\ping.exe[2804] USER32.dll!GetForegroundWindow 7E379823 5 Bytes JMP 00C0000A
.text D:\WINDOWS\System32\ping.exe[2804] ole32.dll!CoCreateInstance 774CF1BC 5 Bytes JMP 00BD000A
---- Kernel IAT/EAT - GMER 1.0.15 ----
IAT \SystemRoot\system32\DRIVERS\mrxsmb.sys[HAL.dll!HalAllocateCommonBuffer] 32726472
IAT \SystemRoot\system32\DRIVERS\mrxsmb.sys[HAL.dll!WRITE_PORT_ULONG] 6264725C
IAT \SystemRoot\system32\DRIVERS\mrxsmb.sys[HAL.dll!HalGetBusDataByOffset] 735C7373
IAT \SystemRoot\system32\DRIVERS\mrxsmb.sys[HAL.dll!HalGetInterruptVector] 6D2E626D
IAT \SystemRoot\system32\DRIVERS\mrxsmb.sys[HAL.dll!IoFlushAdapterBuffers] 735C7872
IAT \SystemRoot\system32\DRIVERS\mrxsmb.sys[HAL.dll!HalAssignSlotResources] 6563626D
IAT \SystemRoot\system32\DRIVERS\mrxsmb.sys[HAL.dll!HalStartProfileInterrupt] 632E6264
IAT \SystemRoot\system32\DRIVERS\mrxsmb.sys[HAL.dll!HalDisplayString] 90900000
IAT \SystemRoot\system32\DRIVERS\mrxsmb.sys[HAL.dll!HalRequestIpi] 8B909090
IAT \SystemRoot\system32\DRIVERS\mrxsmb.sys[HAL.dll!HalGetEnvironmentVariable] EC8B55FF
IAT \SystemRoot\system32\DRIVERS\mrxsmb.sys[HAL.dll!HalSetTimeIncrement] FC658351
IAT \SystemRoot\system32\DRIVERS\mrxsmb.sys[HAL.dll!HalSetRealTimeClock] 57565300
IAT \SystemRoot\system32\DRIVERS\mrxsmb.sys[tdi.sys!CTESignal] 56A90E2F
IAT \SystemRoot\system32\DRIVERS\mrxsmb.sys[tdi.sys!TdiDeregisterNetAddress] F65815FF
IAT \SystemRoot\system32\DRIVERS\mrxsmb.sys[tdi.sys!TdiDeregisterProvider] 3D8BA90D
IAT \SystemRoot\system32\DRIVERS\mrxsmb.sys[tdi.sys!TdiRegisterPnPHandlers] [A912B208] \SystemRoot\system32\DRIVERS\mrxsmb.sys (Windows NT SMB Minirdr/Microsoft Corporation)
IAT \SystemRoot\system32\DRIVERS\mrxsmb.sys[tdi.sys!TdiBuildNetbiosAddressEa] B208FF81
IAT \SystemRoot\system32\DRIVERS\mrxsmb.sys[tdi.sys!TdiDeregisterNetAddress] 1E75A912
IAT \SystemRoot\system32\DRIVERS\mrxsmb.sys[tdi.sys!CTEInitString] 15FFCE8B
IAT \SystemRoot\system32\DRIVERS\mrxsmb.sys[tdi.sys!TdiBuildNetbiosAddress] [A90DF654] \SystemRoot\system32\DRIVERS\mrxsmb.sys (Windows NT SMB Minirdr/Microsoft Corporation)
IAT \SystemRoot\system32\DRIVERS\mrxsmb.sys[tdi.sys!TdiDeregisterAddressChangeHandler] 5FFC458B
IAT \SystemRoot\system32\DRIVERS\mrxsmb.sys[tdi.sys!TdiDeregisterDeviceObject] C2C95B5E
IAT \SystemRoot\system32\DRIVERS\mrxsmb.sys[tdi.sys!TdiCopyMdlToBuffer] 3F8B000C
---- User IAT/EAT - GMER 1.0.15 ----
IAT D:\WINDOWS\System32\svchost.exe[1184] @ D:\WINDOWS\System32\smss.exe [ntdll.dll!NtTerminateProcess] 83EC8B55
IAT D:\WINDOWS\System32\svchost.exe[1184] @ D:\WINDOWS\System32\smss.exe [ntdll.dll!NtRaiseHardError] 458D74EC
IAT D:\WINDOWS\System32\svchost.exe[1184] @ D:\WINDOWS\System32\smss.exe [ntdll.dll!RtlInitUnicodeString] 15FF50F8
IAT D:\WINDOWS\System32\svchost.exe[1184] @ D:\WINDOWS\System32\smss.exe [ntdll.dll!RtlAdjustPrivilege] [029AF014] D:\WINDOWS\System32\smss.exe (Windows NT-Sitzungs-Manager/Microsoft Corporation)
IAT D:\WINDOWS\System32\svchost.exe[1184] @ D:\WINDOWS\System32\smss.exe [ntdll.dll!RtlFreeHeap] 01FC7531
IAT D:\WINDOWS\System32\svchost.exe[1184] @ D:\WINDOWS\System32\smss.exe [ntdll.dll!RtlUpcaseUnicodeChar] 458DF875
IAT D:\WINDOWS\System32\svchost.exe[1184] @ D:\WINDOWS\System32\smss.exe [ntdll.dll!RtlUnicodeStringToInteger] 15FF508C
IAT D:\WINDOWS\System32\svchost.exe[1184] @ D:\WINDOWS\System32\smss.exe [ntdll.dll!RtlAllocateHeap] [029AF004] D:\WINDOWS\System32\smss.exe (Windows NT-Sitzungs-Manager/Microsoft Corporation)
IAT D:\WINDOWS\System32\svchost.exe[1184] @ D:\WINDOWS\System32\smss.exe [ntdll.dll!RtlFreeUnicodeString] 458D086A
IAT D:\WINDOWS\System32\svchost.exe[1184] @ D:\WINDOWS\System32\smss.exe [ntdll.dll!DbgPrintEx] 458D50F8
IAT D:\WINDOWS\System32\svchost.exe[1184] @ D:\WINDOWS\System32\smss.exe [ntdll.dll!RtlExtendedIntegerMultiply] 15FF508C
IAT D:\WINDOWS\System32\svchost.exe[1184] @ D:\WINDOWS\System32\smss.exe [ntdll.dll!NtQueryVolumeInformationFile] [029AF000] D:\WINDOWS\System32\smss.exe (Windows NT-Sitzungs-Manager/Microsoft Corporation)
IAT D:\WINDOWS\System32\svchost.exe[1184] @ D:\WINDOWS\System32\smss.exe [ntdll.dll!NtOpenFile] 508C458D
IAT D:\WINDOWS\System32\svchost.exe[1184] @ D:\WINDOWS\System32\smss.exe [ntdll.dll!NtClose] F00815FF
IAT D:\WINDOWS\System32\svchost.exe[1184] @ D:\WINDOWS\System32\smss.exe [ntdll.dll!wcslen] 458B029A
IAT D:\WINDOWS\System32\svchost.exe[1184] @ D:\WINDOWS\System32\smss.exe [ntdll.dll!wcscpy] E84533E4
IAT D:\WINDOWS\System32\svchost.exe[1184] @ D:\WINDOWS\System32\smss.exe [ntdll.dll!NtQueryInformationProcess] 33EC4533
IAT D:\WINDOWS\System32\svchost.exe[1184] @ D:\WINDOWS\System32\smss.exe [ntdll.dll!NtCreatePagingFile] C3C9F045
IAT D:\WINDOWS\System32\svchost.exe[1184] @ D:\WINDOWS\System32\smss.exe [ntdll.dll!NtSetInformationFile] 8BEC8B55
IAT D:\WINDOWS\System32\svchost.exe[1184] @ D:\WINDOWS\System32\smss.exe [ntdll.dll!NtQueryInformationFile] EC833040
IAT D:\WINDOWS\System32\svchost.exe[1184] @ D:\WINDOWS\System32\smss.exe [ntdll.dll!DbgPrint] 57565314
IAT D:\WINDOWS\System32\svchost.exe[1184] @ D:\WINDOWS\System32\smss.exe [ntdll.dll!NtQuerySystemInformation] D98B388B
IAT D:\WINDOWS\System32\svchost.exe[1184] @ D:\WINDOWS\System32\smss.exe [ntdll.dll!_allmul] EB04708D
IAT D:\WINDOWS\System32\svchost.exe[1184] @ D:\WINDOWS\System32\smss.exe [ntdll.dll!NtSetSecurityObject] 46B70F20
IAT D:\WINDOWS\System32\svchost.exe[1184] @ D:\WINDOWS\System32\smss.exe [ntdll.dll!RtlSetOwnerSecurityDescriptor] 30448D1A
IAT D:\WINDOWS\System32\svchost.exe[1184] @ D:\WINDOWS\System32\smss.exe [ntdll.dll!RtlSetDaclSecurityDescriptor] F0F0681C
IAT D:\WINDOWS\System32\svchost.exe[1184] @ D:\WINDOWS\System32\smss.exe [ntdll.dll!RtlAddAccessAllowedAce] 4F50029A
IAT D:\WINDOWS\System32\svchost.exe[1184] @ D:\WINDOWS\System32\smss.exe [ntdll.dll!RtlCreateAcl] 00DCAFE8
IAT D:\WINDOWS\System32\svchost.exe[1184] @ D:\WINDOWS\System32\smss.exe [ntdll.dll!RtlCreateSecurityDescriptor] 85595900
IAT D:\WINDOWS\System32\svchost.exe[1184] @ D:\WINDOWS\System32\smss.exe [ntdll.dll!RtlAllocateAndInitializeSid] 811374C0
IAT D:\WINDOWS\System32\svchost.exe[1184] @ D:\WINDOWS\System32\smss.exe [ntdll.dll!RtlDosPathNameToNtPathName_U] 00011CC6
IAT D:\WINDOWS\System32\svchost.exe[1184] @ D:\WINDOWS\System32\smss.exe [ntdll.dll!RtlExpandEnvironmentStrings_U] 75FF8500
IAT D:\WINDOWS\System32\svchost.exe[1184] @ D:\WINDOWS\System32\smss.exe [ntdll.dll!NtQueryValueKey] 5FC033DC
IAT D:\WINDOWS\System32\svchost.exe[1184] @ D:\WINDOWS\System32\smss.exe [ntdll.dll!swprintf] C2C95B5E
IAT D:\WINDOWS\System32\svchost.exe[1184] @ D:\WINDOWS\System32\smss.exe [ntdll.dll!NtOpenKey] 468B0008
IAT D:\WINDOWS\System32\svchost.exe[1184] @ D:\WINDOWS\System32\smss.exe [ntdll.dll!NtSetValueKey] F4458908
IAT D:\WINDOWS\System32\svchost.exe[1184] @ D:\WINDOWS\System32\smss.exe [ntdll.dll!NtCreateKey] 8B0C468B
IAT D:\WINDOWS\System32\svchost.exe[1184] @ D:\WINDOWS\System32\smss.exe [ntdll.dll!NtCreateFile] 45890473
IAT D:\WINDOWS\System32\svchost.exe[1184] @ D:\WINDOWS\System32\smss.exe [ntdll.dll!NtReadFile] 74F685F0
IAT D:\WINDOWS\System32\svchost.exe[1184] @ D:\WINDOWS\System32\smss.exe [ntdll.dll!_chkstk] D8BB8D77
IAT D:\WINDOWS\System32\svchost.exe[1184] @ D:\WINDOWS\System32\smss.exe [ntdll.dll!wcsstr] 57000000
IAT D:\WINDOWS\System32\svchost.exe[1184] @ D:\WINDOWS\System32\smss.exe [ntdll.dll!_wcsupr] 9B015068
IAT D:\WINDOWS\System32\svchost.exe[1184] @ D:\WINDOWS\System32\smss.exe [ntdll.dll!NtMakeTemporaryObject] 8D426A02
IAT D:\WINDOWS\System32\svchost.exe[1184] @ D:\WINDOWS\System32\smss.exe [ntdll.dll!NtCreateSymbolicLinkObject] 4E50FC45
IAT D:\WINDOWS\System32\svchost.exe[1184] @ D:\WINDOWS\System32\smss.exe [ntdll.dll!NtOpenDirectoryObject] F0E015FF
IAT D:\WINDOWS\System32\svchost.exe[1184] @ D:\WINDOWS\System32\smss.exe [ntdll.dll!wcsncpy] C085029A
IAT D:\WINDOWS\System32\svchost.exe[1184] @ D:\WINDOWS\System32\smss.exe [ntdll.dll!RtlAnsiStringToUnicodeString] 458D537C
IAT D:\WINDOWS\System32\svchost.exe[1184] @ D:\WINDOWS\System32\smss.exe [ntdll.dll!RtlInitAnsiString] 046A50EC
IAT D:\WINDOWS\System32\svchost.exe[1184] @ D:\WINDOWS\System32\smss.exe [ntdll.dll!_stricmp] 50F8458D
IAT D:\WINDOWS\System32\svchost.exe[1184] @ D:\WINDOWS\System32\smss.exe [ntdll.dll!NtCreateSection] 75FF096A
IAT D:\WINDOWS\System32\svchost.exe[1184] @ D:\WINDOWS\System32\smss.exe [ntdll.dll!LdrVerifyImageMatchesChecksum] DC15FFFC
IAT D:\WINDOWS\System32\svchost.exe[1184] @ D:\WINDOWS\System32\smss.exe [ntdll.dll!NtCreateDirectoryObject] 85029AF0
IAT D:\WINDOWS\System32\svchost.exe[1184] @ D:\WINDOWS\System32\smss.exe [ntdll.dll!RtlSetEnvironmentVariable] 8B317CC0
IAT D:\WINDOWS\System32\svchost.exe[1184] @ D:\WINDOWS\System32\smss.exe [ntdll.dll!LdrUnloadDll] 452BF845
IAT D:\WINDOWS\System32\svchost.exe[1184] @ D:\WINDOWS\System32\smss.exe [ntdll.dll!LdrGetProcedureAddress] F0453BF4
IAT D:\WINDOWS\System32\svchost.exe[1184] @ D:\WINDOWS\System32\smss.exe [ntdll.dll!RtlInitString] [006A2673] D:\WINDOWS\System32\xpsp2res.dll (Service Pack 2-Meldungen/Microsoft Corporation)
IAT D:\WINDOWS\System32\svchost.exe[1184] @ D:\WINDOWS\System32\smss.exe [ntdll.dll!LdrLoadDll] FFFC75FF
IAT D:\WINDOWS\System32\svchost.exe[1184] @ D:\WINDOWS\System32\smss.exe [ntdll.dll!RtlCompareUnicodeString] 9AF0D415
IAT D:\WINDOWS\System32\svchost.exe[1184] @ D:\WINDOWS\System32\smss.exe [ntdll.dll!RtlEqualString] 7CC08502
IAT D:\WINDOWS\System32\svchost.exe[1184] @ D:\WINDOWS\System32\smss.exe [ntdll.dll!memmove] 0C4D8B17
IAT D:\WINDOWS\System32\svchost.exe[1184] @ D:\WINDOWS\System32\smss.exe [ntdll.dll!_wcsicmp] 1F8B018B
IAT D:\WINDOWS\System32\svchost.exe[1184] @ D:\WINDOWS\System32\smss.exe [ntdll.dll!RtlCreateUnicodeString] 8908558B
IAT D:\WINDOWS\System32\svchost.exe[1184] @ D:\WINDOWS\System32\smss.exe [ntdll.dll!RtlDosSearchPath_U] 5F8BC21C
IAT D:\WINDOWS\System32\svchost.exe[1184] @ D:\WINDOWS\System32\smss.exe [ntdll.dll!RtlQueryEnvironmentVariable_U] C25C8904
IAT D:\WINDOWS\System32\svchost.exe[1184] @ D:\WINDOWS\System32\smss.exe [ntdll.dll!RtlEqualUnicodeString] 01894004
IAT D:\WINDOWS\System32\svchost.exe[1184] @ D:\WINDOWS\System32\smss.exe [ntdll.dll!RtlAppendUnicodeToString] FFFC75FF
IAT D:\WINDOWS\System32\svchost.exe[1184] @ D:\WINDOWS\System32\smss.exe [ntdll.dll!RtlAppendUnicodeStringToString] 9AF0D815
IAT D:\WINDOWS\System32\svchost.exe[1184] @ D:\WINDOWS\System32\smss.exe [ntdll.dll!NtWaitForSingleObject] 40C78302
IAT D:\WINDOWS\System32\svchost.exe[1184] @ D:\WINDOWS\System32\smss.exe [ntdll.dll!NtResumeThread] 8F75F685
IAT D:\WINDOWS\System32\svchost.exe[1184] @ D:\WINDOWS\System32\smss.exe [ntdll.dll!RtlDestroyProcessParameters] E940C033
IAT D:\WINDOWS\System32\svchost.exe[1184] @ D:\WINDOWS\System32\smss.exe [ntdll.dll!RtlCreateUserProcess] FFFFFF67
IAT D:\WINDOWS\System32\svchost.exe[1184] @ D:\WINDOWS\System32\smss.exe [ntdll.dll!RtlCreateProcessParameters] 51EC8B55
IAT D:\WINDOWS\System32\svchost.exe[1184] @ D:\WINDOWS\System32\smss.exe [ntdll.dll!RtlUnlockBootStatusData] 0173A051
IAT D:\WINDOWS\System32\svchost.exe[1184] @ D:\WINDOWS\System32\smss.exe [ntdll.dll!RtlGetSetBootStatusData] 5653029B
IAT D:\WINDOWS\System32\svchost.exe[1184] @ D:\WINDOWS\System32\smss.exe [ntdll.dll!RtlLockBootStatusData] C0BE0F57
IAT D:\WINDOWS\System32\svchost.exe[1184] @ D:\WINDOWS\System32\smss.exe [ntdll.dll!NtDisplayString] 7D89FF33
IAT D:\WINDOWS\System32\svchost.exe[1184] @ D:\WINDOWS\System32\smss.exe [ntdll.dll!sprintf] DC2AE8F8
IAT D:\WINDOWS\System32\svchost.exe[1184] @ D:\WINDOWS\System32\smss.exe [ntdll.dll!NtDuplicateObject] DC8B0000
IAT D:\WINDOWS\System32\svchost.exe[1184] @ D:\WINDOWS\System32\smss.exe [ntdll.dll!RtlLengthSid] 45C7F633
IAT D:\WINDOWS\System32\svchost.exe[1184] @ D:\WINDOWS\System32\smss.exe [ntdll.dll!RtlGetAce] 001000FC
IAT D:\WINDOWS\System32\svchost.exe[1184] @ D:\WINDOWS\System32\smss.exe [ntdll.dll!RtlPrefixUnicodeString] FC458B00
IAT D:\WINDOWS\System32\svchost.exe[1184] @ D:\WINDOWS\System32\smss.exe [ntdll.dll!NtQuerySymbolicLinkObject] 0F73F83B
IAT D:\WINDOWS\System32\svchost.exe[1184] @ D:\WINDOWS\System32\smss.exe [ntdll.dll!NtOpenSymbolicLinkObject] 11E8C72B
IAT D:\WINDOWS\System32\svchost.exe[1184] @ D:\WINDOWS\System32\smss.exe [ntdll.dll!NtQueryDirectoryObject] 8B0000DC
IAT D:\WINDOWS\System32\svchost.exe[1184] @ D:\WINDOWS\System32\smss.exe [ntdll.dll!NtRequestWaitReplyPort] 2BC38BF4
IAT D:\WINDOWS\System32\svchost.exe[1184] @ D:\WINDOWS\System32\smss.exe [ntdll.dll!RtlFindMessage] 8DF88BC6
IAT D:\WINDOWS\System32\svchost.exe[1184] @ D:\WINDOWS\System32\smss.exe [ntdll.dll!NtSetEvent] 5750FC45
IAT D:\WINDOWS\System32\svchost.exe[1184] @ D:\WINDOWS\System32\smss.exe [ntdll.dll!NtSetSystemInformation] FF056A56
IAT D:\WINDOWS\System32\svchost.exe[1184] @ D:\WINDOWS\System32\smss.exe [ntdll.dll!NtCreateEvent] 9AF0D015
IAT D:\WINDOWS\System32\svchost.exe[1184] @ D:\WINDOWS\System32\smss.exe [ntdll.dll!RtlLeaveCriticalSection] 00043D02
IAT D:\WINDOWS\System32\svchost.exe[1184] @ D:\WINDOWS\System32\smss.exe [ntdll.dll!RtlEnterCriticalSection] D574C000
IAT D:\WINDOWS\System32\svchost.exe[1184] @ D:\WINDOWS\System32\smss.exe [ntdll.dll!wcscat] 047DC085
IAT D:\WINDOWS\System32\svchost.exe[1184] @ D:\WINDOWS\System32\smss.exe [ntdll.dll!LdrQueryImageFileExecutionOptions] 60EBC033
IAT D:\WINDOWS\System32\svchost.exe[1184] @ D:\WINDOWS\System32\smss.exe [ntdll.dll!NtDelayExecution] F003C033
IAT D:\WINDOWS\System32\svchost.exe[1184] @ D:\WINDOWS\System32\smss.exe [ntdll.dll!NtInitializeRegistry] 468D016A
IAT D:\WINDOWS\System32\svchost.exe[1184] @ D:\WINDOWS\System32\smss.exe [ntdll.dll!RtlQueryRegistryValues] 18685038
IAT D:\WINDOWS\System32\svchost.exe[1184] @ D:\WINDOWS\System32\smss.exe [ntdll.dll!NtDeleteValueKey] FF029AF1
IAT D:\WINDOWS\System32\svchost.exe[1184] @ D:\WINDOWS\System32\smss.exe [ntdll.dll!RtlCreateEnvironment] 9AF0CC15
IAT D:\WINDOWS\System32\svchost.exe[1184] @ D:\WINDOWS\System32\smss.exe [ntdll.dll!RtlCreateUserThread] 75C08402
IAT D:\WINDOWS\System32\svchost.exe[1184] @ D:\WINDOWS\System32\smss.exe [ntdll.dll!NtCreatePort] 85068B08
IAT D:\WINDOWS\System32\svchost.exe[1184] @ D:\WINDOWS\System32\smss.exe [ntdll.dll!RtlInitializeCriticalSection] EBE375C0
IAT D:\WINDOWS\System32\svchost.exe[1184] @ D:\WINDOWS\System32\smss.exe [ntdll.dll!NtSetInformationProcess] [68006A3C] D:\WINDOWS\System32\rsaenh.dll (Microsoft Enhanced Cryptographic Provider/Microsoft Corporation)
IAT D:\WINDOWS\System32\svchost.exe[1184] @ D:\WINDOWS\System32\smss.exe [ntdll.dll!RtlCreateTagHeap] 00040000
IAT D:\WINDOWS\System32\svchost.exe[1184] @ D:\WINDOWS\System32\smss.exe [ntdll.dll!NtSetInformationThread] F07415FF
IAT D:\WINDOWS\System32\svchost.exe[1184] @ D:\WINDOWS\System32\smss.exe [ntdll.dll!NtQueryInformationToken] F88B029A
IAT D:\WINDOWS\System32\svchost.exe[1184] @ D:\WINDOWS\System32\smss.exe [ntdll.dll!NtOpenThreadToken] 2974FF85
IAT D:\WINDOWS\System32\svchost.exe[1184] @ D:\WINDOWS\System32\smss.exe [ntdll.dll!NtImpersonateClientOfPort] FF016A57
IAT D:\WINDOWS\System32\svchost.exe[1184] @ D:\WINDOWS\System32\smss.exe [ntdll.dll!NtConnectPort] 15FF4476
IAT D:\WINDOWS\System32\svchost.exe[1184] @ D:\WINDOWS\System32\smss.exe [ntdll.dll!NtCompleteConnectPort] [029AF020] D:\WINDOWS\System32\smss.exe (Windows NT-Sitzungs-Manager/Microsoft Corporation)
IAT D:\WINDOWS\System32\svchost.exe[1184] @ D:\WINDOWS\System32\smss.exe [ntdll.dll!NtAcceptConnectPort] 127CC085
IAT D:\WINDOWS\System32\svchost.exe[1184] @ D:\WINDOWS\System32\smss.exe [ntdll.dll!NtOpenProcess] 8B0C75FF
IAT D:\WINDOWS\System32\svchost.exe[1184] @ D:\WINDOWS\System32\smss.exe [ntdll.dll!NtReplyWaitReceivePort] 0875FFCE
IAT D:\WINDOWS\System32\svchost.exe[1184] @ D:\WINDOWS\System32\smss.exe [ntdll.dll!RtlExitUserThread] 81E8C78B
IAT D:\WINDOWS\System32\svchost.exe[1184] @ D:\WINDOWS\System32\smss.exe [ntdll.dll!NtReplyPort] 89FFFFFE
IAT D:\WINDOWS\System32\svchost.exe[1184] @ D:\WINDOWS\System32\smss.exe [ntdll.dll!RtlSetThreadIsCritical] FF57F845
IAT D:\WINDOWS\System32\svchost.exe[1184] @ D:\WINDOWS\System32\smss.exe [ntdll.dll!NtWaitForMultipleObjects] 9AF02415
IAT D:\WINDOWS\System32\svchost.exe[1184] @ D:\WINDOWS\System32\smss.exe [ntdll.dll!RtlSetProcessIsCritical] F8458B02
IAT D:\WINDOWS\System32\svchost.exe[1184] @ D:\WINDOWS\System32\smss.exe [ntdll.dll!RtlUnicodeStringToAnsiString] 5FEC658D
IAT D:\WINDOWS\System32\svchost.exe[1184] @ D:\WINDOWS\System32\smss.exe [ntdll.dll!NtAdjustPrivilegesToken] C2C95B5E
IAT D:\WINDOWS\System32\svchost.exe[1184] @ D:\WINDOWS\System32\smss.exe [ntdll.dll!NtOpenProcessToken] 8B550008
IAT D:\WINDOWS\System32\svchost.exe[1184] @ D:\WINDOWS\System32\smss.exe [ntdll.dll!RtlUnhandledExceptionFilter] 3CEC81EC
IAT D:\WINDOWS\System32\svchost.exe[1184] @ D:\WINDOWS\System32\smss.exe [ntdll.dll!RtlUnwind] 56000002
IAT D:\WINDOWS\System32\svchost.exe[1184] @ D:\WINDOWS\System32\smss.exe [ntdll.dll!NtQueryVirtualMemory] E856F08B
IAT D:\WINDOWS\System32\svchost.exe[1184] @ D:\WINDOWS\System32\smss.exe [ntdll.dll!DbgBreakPoint] 0000DB36
IAT D:\WINDOWS\System32\svchost.exe[1184] @ D:\WINDOWS\System32\smss.exe [ntdll.dll!RtlNormalizeProcessParams] [00803D59] D:\WINDOWS\System32\xpsp2res.dll (Service Pack 2-Meldungen/Microsoft Corporation)
---- Devices - GMER 1.0.15 ----
Device \FileSystem\Cdfs \Cdfs DLAIFS_M.SYS (Drive Letter Access Component/Roxio)
---- Modules - GMER 1.0.15 ----
Module (noname) (*** hidden *** ) A9133000-A914D000 (106496 bytes)
---- Threads - GMER 1.0.15 ----
Thread System [4:132] 83E2C39F
Thread System [4:396] 83DF30F4
---- Processes - GMER 1.0.15 ----
Process D:\WINDOWS\System32\ping.exe (*** hidden *** ) 2804
---- Registry - GMER 1.0.15 ----
Reg HKLM\SYSTEM\CurrentControlSet\Services\sptd\Cfg\0D79C293C1ED61418462E24595C90D04
Reg HKLM\SYSTEM\CurrentControlSet\Services\sptd\Cfg\0D79C293C1ED61418462E24595C90D04@h0 0
Reg HKLM\SYSTEM\CurrentControlSet\Services\sptd\Cfg\0D79C293C1ED61418462E24595C90D04@ujdew 0x31 0x1D 0x8E 0xE9 ...
Reg HKLM\SYSTEM\ControlSet002\Services\sptd\Cfg\0D79C293C1ED61418462E24595C90D04 (not active ControlSet)
Reg HKLM\SYSTEM\ControlSet002\Services\sptd\Cfg\0D79C293C1ED61418462E24595C90D04@h0 0
Reg HKLM\SYSTEM\ControlSet002\Services\sptd\Cfg\0D79C293C1ED61418462E24595C90D04@ujdew 0x31 0x1D 0x8E 0xE9 ...
Reg HKLM\SOFTWARE\Classes\{1A493EAC-93D3-4646-B911-4697A475FF4B}
Reg HKLM\SOFTWARE\Classes\{1A493EAC-93D3-4646-B911-4697A475FF4B}@ 0xB9 0xB5 0x0C 0xE1 ...
Reg HKLM\SOFTWARE\Classes\{20EF7B60-CE85-4048-A409-02CB203268EE}
Reg HKLM\SOFTWARE\Classes\{20EF7B60-CE85-4048-A409-02CB203268EE}@ 0xA3 0x54 0xEB 0xE0 ...
Reg HKLM\SOFTWARE\Classes\{242E582C-66A8-478C-8BCA-0AF9F1D38D39}
Reg HKLM\SOFTWARE\Classes\{242E582C-66A8-478C-8BCA-0AF9F1D38D39}@ 0x18 0xA4 0xDA 0xE0 ...
Reg HKLM\SOFTWARE\Classes\{29638F0C-042B-4B50-A2D2-8E8E7CA71E4F}
Reg HKLM\SOFTWARE\Classes\{29638F0C-042B-4B50-A2D2-8E8E7CA71E4F}@ 0xD5 0xBA 0x90 0xE0 ...
Reg HKLM\SOFTWARE\Classes\{3B84C2D7-708C-48EF-8ED7-0C5FC0F030C6}
Reg HKLM\SOFTWARE\Classes\{3B84C2D7-708C-48EF-8ED7-0C5FC0F030C6}@ 0x1D 0x82 0x57 0xE0 ...
Reg HKLM\SOFTWARE\Classes\{47BF077C-44C6-42B1-8F88-ADE2585DD2ED}
Reg HKLM\SOFTWARE\Classes\{47BF077C-44C6-42B1-8F88-ADE2585DD2ED}@ 0x15 0x0E 0x07 0xE2 ...
Reg HKLM\SOFTWARE\Classes\{787E3340-6D04-4BF3-BCC2-2AD3630471CE}
Reg HKLM\SOFTWARE\Classes\{787E3340-6D04-4BF3-BCC2-2AD3630471CE}@ 0xA3 0x71 0x06 0xE0 ...
Reg HKLM\SOFTWARE\Classes\{92561398-2ED8-42AF-86E2-66FA8E9DC46E}
Reg HKLM\SOFTWARE\Classes\{92561398-2ED8-42AF-86E2-66FA8E9DC46E}@ 0x1A 0x30 0xA6 0xE0 ...
Reg HKLM\SOFTWARE\Classes\{97A98033-9FA1-4E80-A339-59787B43CC89}
Reg HKLM\SOFTWARE\Classes\{97A98033-9FA1-4E80-A339-59787B43CC89}@ 0xD7 0x0C 0x26 0xE2 ...
Reg HKLM\SOFTWARE\Classes\{A82EB336-567D-4F41-A63E-8113AD8B6903}
Reg HKLM\SOFTWARE\Classes\{A82EB336-567D-4F41-A63E-8113AD8B6903}@ 0x2F 0x6F 0x44 0xE0 ...
Reg HKLM\SOFTWARE\Classes\{B67DA794-42D6-4DFE-AE29-0334338228C9}
Reg HKLM\SOFTWARE\Classes\{B67DA794-42D6-4DFE-AE29-0334338228C9}@ 0x93 0x84 0x19 0xE0 ...
Reg HKLM\SOFTWARE\Classes\{C4B20040-7D5A-4558-9E19-B7DF94366F97}
Reg HKLM\SOFTWARE\Classes\{C4B20040-7D5A-4558-9E19-B7DF94366F97}@ 0xA3 0x1A 0xB5 0xE2 ...
Reg HKLM\SOFTWARE\Classes\{C514227C-0AF4-44BB-816A-E9483A4302C9}
Reg HKLM\SOFTWARE\Classes\{C514227C-0AF4-44BB-816A-E9483A4302C9}@ 0x30 0x91 0xC7 0xE0 ...
Reg HKLM\SOFTWARE\Classes\{C55AC07F-5B51-486C-811A-750184298D58}
Reg HKLM\SOFTWARE\Classes\{C55AC07F-5B51-486C-811A-750184298D58}@ 0x8B 0x67 0xFE 0xE0 ...
Reg HKLM\SOFTWARE\Classes\{C7A40493-BF23-4B53-AB2A-4A923B3EE34B}
Reg HKLM\SOFTWARE\Classes\{C7A40493-BF23-4B53-AB2A-4A923B3EE34B}@ 0x9D 0xBE 0x33 0xE0 ...
Reg HKLM\SOFTWARE\Classes\{E14E55A7-29C8-4389-8E5A-3EF964510FCA}
Reg HKLM\SOFTWARE\Classes\{E14E55A7-29C8-4389-8E5A-3EF964510FCA}@ 0x4B 0xD0 0x65 0xE0 ...
Reg HKLM\SOFTWARE\Classes\{F5E30566-7C8F-4037-A8FF-A7382E251C56}
Reg HKLM\SOFTWARE\Classes\{F5E30566-7C8F-4037-A8FF-A7382E251C56}@ 0x02 0x43 0xB9 0xE0 ...
---- Files - GMER 1.0.15 ----
File D:\Dokumente und Einstellungen\NetworkService\Lokale Einstellungen\Temporary Internet Files\Content.IE5\VW536B8W\result[2].php 0 bytes
File D:\WINDOWS\$NtUninstallKB14502$\2984020346 0 bytes
File D:\WINDOWS\$NtUninstallKB14502$\2984020346\@ 2048 bytes
File D:\WINDOWS\$NtUninstallKB14502$\2984020346\cfg.ini 168 bytes
File D:\WINDOWS\$NtUninstallKB14502$\2984020346\Desktop.ini 4608 bytes
File D:\WINDOWS\$NtUninstallKB14502$\2984020346\L 0 bytes
File D:\WINDOWS\$NtUninstallKB14502$\2984020346\L\uonarkpi 456320 bytes
File D:\WINDOWS\$NtUninstallKB14502$\2984020346\oemid 4 bytes
File D:\WINDOWS\$NtUninstallKB14502$\2984020346\U 0 bytes
File D:\WINDOWS\$NtUninstallKB14502$\2984020346\U\00000001.@ 2048 bytes
File D:\WINDOWS\$NtUninstallKB14502$\2984020346\U\00000002.@ 224768 bytes
File D:\WINDOWS\$NtUninstallKB14502$\2984020346\U\00000004.@ 1024 bytes
File D:\WINDOWS\$NtUninstallKB14502$\2984020346\U\80000000.@ 66048 bytes
File D:\WINDOWS\$NtUninstallKB14502$\2984020346\U\80000004.@ 12800 bytes
File D:\WINDOWS\$NtUninstallKB14502$\2984020346\U\80000032.@ 73216 bytes
File D:\WINDOWS\$NtUninstallKB14502$\2984020346\version 862 bytes
File D:\WINDOWS\$NtUninstallKB14502$\3000371874 0 bytes
---- EOF - GMER 1.0.15 ----
und auch aswMBR scheint noch was zu finden Code:
ATTFilter aswMBR version 0.9.9.1532 Copyright(c) 2011 AVAST Software
Run date: 2012-02-06 21:50:08
-----------------------------
21:50:08.559 OS Version: Windows 5.1.2600 Service Pack 3
21:50:08.559 Number of processors: 2 586 0xF0B
21:50:08.559 ComputerName: WOLFI UserName: whw
21:50:09.043 Initialize success
21:52:43.952 AVAST engine defs: 12020601
21:53:00.561 Disk 0 (boot) \Device\Harddisk0\DR0 -> \Device\Ide\IdeDeviceP2T0L0-16
21:53:00.561 Disk 0 Vendor: WDC_WD3200BEVT-63ZCT0 11.01A11 Size: 305245MB BusType: 3
21:53:00.671 Disk 0 MBR read successfully
21:53:00.671 Disk 0 MBR scan
21:53:00.686 Disk 0 Windows XP default MBR code
21:53:00.718 Disk 0 Partition 1 80 (A) 06 FAT16 MSDOS5.0 502 MB offset 63
21:53:00.718 Disk 0 Partition - 00 0F Extended LBA 152115 MB offset 1028160
21:53:00.780 Disk 0 Partition 2 00 07 HPFS/NTFS NTFS 39997 MB offset 1028223
21:53:00.780 Disk 0 Partition - 00 05 Extended 517 MB offset 82943595
21:53:00.843 Disk 0 Partition 3 00 82 Linux swap 517 MB offset 82943658
21:53:00.858 Disk 0 Partition - 00 05 Extended 10009 MB offset 165919320
21:53:00.905 Disk 0 Partition 4 00 83 Linux 10009 MB offset 84003948
21:53:00.905 Disk 0 Partition - 00 05 Extended 2047 MB offset 187478550
21:53:01.343 Disk 0 Partition 5 00 06 FAT16 2047 MB offset 104502888
21:53:01.343 Disk 0 Partition - 00 05 Extended 10009 MB offset 212170455
21:53:01.530 Disk 0 Partition 6 00 07 HPFS/NTFS NTFS 10009 MB offset 108695853
21:53:01.530 Disk 0 Partition - 00 05 Extended 10009 MB offset 236862360
21:53:01.608 Disk 0 Partition 7 00 07 HPFS/NTFS NTFS 10009 MB offset 129194793
21:53:01.608 Disk 0 Partition - 00 05 Extended 20002 MB offset 277860240
21:53:01.655 Disk 0 Partition 8 00 07 HPFS/NTFS NTFS 20002 MB offset 149693733
21:53:01.655 Disk 0 Partition - 00 05 Extended 20002 MB offset 339324930
21:53:01.733 Disk 0 Partition 9 00 07 HPFS/NTFS NTFS 20002 MB offset 190659483
21:53:01.780 Disk 0 scanning sectors +312560640
21:53:02.061 Disk 0 scanning D:\WINDOWS\system32\drivers
21:53:24.624 File: D:\WINDOWS\system32\drivers\mrxsmb.sys **INFECTED** Win32:Smadow [Rtk]
21:53:49.500 Disk 0 trace - called modules:
21:53:49.531 ntkrnlpa.exe CLASSPNP.SYS disk.sys >>UNKNOWN [0xa9136ff0]<<
21:53:49.531 1 nt!IofCallDriver -> \Device\Harddisk0\DR0[0x83f58ab8]
21:53:49.531 3 CLASSPNP.SYS[ba0f8fd7] -> nt!IofCallDriver -> [0x837926c8]
21:53:49.531 \Driver\00000843[0x8389ee30] -> IRP_MJ_CREATE -> 0xa9136ff0
21:53:50.047 AVAST engine scan D:\WINDOWS
21:54:34.328 AVAST engine scan D:\WINDOWS\system32
22:03:01.403 AVAST engine scan D:\WINDOWS\system32\drivers
22:03:25.607 File: D:\WINDOWS\system32\drivers\mrxsmb.sys **INFECTED** Win32:Smadow [Rtk]
22:04:01.530 AVAST engine scan D:\Dokumente und Einstellungen\whw
22:08:08.711 Disk 0 MBR has been saved successfully to "D:\Dokumente und Einstellungen\whw\Desktop\MBR.dat"
22:08:08.711 The log file has been saved successfully to "D:\Dokumente und Einstellungen\whw\Desktop\aswMBR.txt"
 ach ja: vermutlich java exploit: was ich aus den Browserlogs (seamonkey 1.1.19) <ja ich weiß> und java logs gesehen habe, wurde 6 Sekunden nach dem letzten Aufruf einer dt. Shopping website der JRE geladen , und etwa 2 Minuten später fuhr dann der Browser runter (war inzwischen im Heise Forum) Kann die verdächtige URL gerne per PM schicken. Geändert von popeye2 (06.02.2012 um 22:34 Uhr) |
| Themen zu drive-by Infektion |
| 80000000.@, alert, aswmbr, avast, classpnp.sys, computer, dateisystem, desktop.ini, diverse, drive-by infektion, einstellungen, fake, gelöscht, hal.dll, harddisk, heuristiks/extra, heuristiks/shuriken, infected, internet, kaputt, log, log file, ntdll.dll, registry, scan, sekunden, software, svchost.exe, system, temp, trojaner, windows, windows xp, wireshark, öffnet |
Baum-Darstellung