Hallo, liebe Trojaner-Board-Community,

ich habe Dienstag ein für mich persönlich enorm beängstigendes Erlebnis gehabt, mit dem ich bis heute nicht wirklich gut klarkomme: Während ich für die Uni an einem kleinen Multiplayer-Spiel programmiert habe, wurde mir die Kontrolle über meine Maus entrissen. Mehr dazu gleich, zunächst einmal mein Anliegen: Ich würde gern wissen, was genau passiert sein kann. Ich benötige keine Hilfe zum Entfernen etwaiger Malware, da ich den PC zunächst nicht mehr benutzen und in meinen Semesterferien neu aufsetzen werde und vorher aufgund diverser Projekte ohnehin keine Zeit habe, mich intensiv darum zu kümmern. Für meinen momentanen emotionalen Zustand wäre es aber sehr wichtig, eine ungefähre Idee davon zu haben, was wahrscheinlich geschehen ist, zurzeit fühle ich mich nämlich so, als wäre bei mir eingebrochen worden (natürlich nur in der Light-Version).

Jetzt also erst einmal zur Schilderung der Situation: Wie gesagt, ich habe gerade an meinem Spiel gearbeitet (auf Windows 7, Administratorenkonto, mittlerweile weiß ich, dass das dumm ist). Dafür habe ich in Java mithilfe von ServerSockets einen Server aufgesetzt, auf localhost mit dem Port 9001. Der lief während des Tages immer mal wieder beim Testen, aber immer nur für 10-20 Sekunden. Exakt in dem Moment, in dem besagte Situation eingetreten ist, lief er auch wieder. Ich wollte gerade den Client starten, als mein Bildschirm plötzlich kurz flackerte, dann hatte ich keine Kontrolle mehr über meine Maus. Sie bewegte sich von selbst, steuerte auf die Tastkleiste zu und klickte auf ein paar Programmsymbole (Windows Snipping Tool und Skype). Ich bekam Panik, drückte auf Strg+Alt+Entf, der Bildschirm wurde kurz dunkel und der Bildschirm, in dem man den Task-Manager aufrufen kann, öffnete sich. Immer noch in Panik und deshalb nicht wirklich rational handelnd öffnete ich den Task-Manager, hatte dann aber natürlich wieder keine Kontrolle über die Maus, die das Startmenü öffnen wollte - und in dem Moment hab ich dann den PC ausgeschaltet (über den Power-Knopf). Mir ist leider nicht eingefallen, erstmal das LAN-Kabel zu ziehen, um zu überprüfen, ob die Geschichte dann aufhört.

Einen Hardware-Defekt kann ich so gut wie ausschließen. Das ist danach und davor nicht aufgetaucht, die Bewegungen waren sehr menschlich und die Maus hat ein wenig gelaggt, ist also nicht so smooth über den Bildschirm gewandert wie normalerweise - das Ganze sah exakt so aus wie Remote Desktop.

Eine halbe Stunde später habe ich den PC wieder gestartet, ohne Internet, da war dann natürlich nichts mehr. Ich habe dann erst einmal mein AV-Programm (avast) durchlaufen lassen, das erwartungsgemäß nichts gefunden hat. Danach habe ich Spybot, Malwarebytes Anti-Malware und die Malwarebytes Anti-Rootkit-Beta durchlaufen lassen, aber ohne irgendwelche Funde (abgesehen von zwei Logfiles von AZLyrics im Chrome-Ordner, das wird allerdings kaum in irgendeiner Art und Weise problematisch sein). Seitdem habe ich den PC nicht mehr angeschaltet und habe das wie gesagt eine ganze Weile lang auch nicht vor.

Ich habe dann gestern mit meinem Programmierungs-Prof gesprochen, der, denke ich, recht kompetent ist. Er hat mir zunächst versichert, dass mein Server mit der Geschichte nichts zu tun haben, mich also niemand gehackt haben kann, weil der Server bei mir lief. Seiner Meinung nach habe ich, wahrscheinlich schon seit längerem dann, ein Rootkit drauf - das sei die einzige Möglichkeit, dass jemand einfach so Remote-Zugriff auf meinen PC haben kann. Das erscheint mir so an sich erstmal logisch, zumal ich ja keine Malware auf meinem PC finden konnte, das aber im Falle eines Rootkits auch nicht weiter unwahrscheinlich ist (ich werde mir nächste Woche wahrscheinlich eine Linux-Live-CD brennen und die Programme von dort aus starten, habe gelesen, dass sich Rootkits dadurch leichter entdecken lassen, weil sie nicht gestartet sind; außerdem werde ich überprüfen, ob in meinem UEFI Secure-Boot eingeschaltet ist, um zumindest auszuschließen, dass sich was im BIOS eingenistet hat). Das hat mir, zugegebenermaßen, Angst gemacht, insbesondere, weil ich nicht genau weiß, wo ich mir das eingefangen haben sollte. Höchstwahrscheinlich über eine Website, vielleicht einen Werbebanner oder ein JS-Script. Ich surfe zwar eigentlich immer mit Adblock, aber das muss im Endeffekt ja nichts heißen. Ich gebe auch zu, dass ich in der Vergangenheit für zwei bestimmte Programme Cracks benutzt habe - das tue ich allerdings nicht mehr, seit ich mich aus moralischen Gründen von derartigen Aktivitäten komplett verabschiedet habe.

Jetzt kommt allerdings der Teil, den ich nicht verstehe: Warum hat, wer auch immer Zugriff auf meinen PC hatte, auf sich aufmerksam gemacht, indem er die Steuerung über meine Maus übernommen hat? Wenn ich ein Rootkit habe und beispielsweise Teil eines Botnetzes bin, dürfte es doch eigentlich im Interesse der Verursacher der Infektion sein, möglichst unerkannt zu bleiben, oder nicht? Derjenige muss doch damit rechnen, dass ich meinen PC plattmachen werde, sobald ich mitbekomme, dass da irgendwas nicht stimmt?
Mein Prof meinte, dass den Verantwortlichen vielleicht aufgefallen ist, dass ich einen Server laufen habe und nachschauen wollten, ob ich damit vielleicht ihr Netz angreifen will oder sonst eine unnormale Aktivität stattfindet. Das halte ich aber für enorm unwahrscheinlich, denn das könnten sie doch auch, ohne meine Maus zu steuern, oder nicht? Zumindest, wenn ein Rootkit der Verursacher ist?

Meine Fragen jetzt also:

- Was kann die Ursache für die beschriebene Situation sein? Ist ein Rootkit wahrscheinlich? Kann es doch sein, dass mein Server in irgendeiner Art dafür verantwortlich ist? Gibt es noch eine andere Möglihckeit?
- Ist es wahrscheinlich, dass der/die Angreifer beispielsweise Betreiber eines Botnetzes sind oder hätten sie sich dann nicht bemerkbar gemacht? War es vielleicht doch eher ein einzelner Angreifer, der es zufällig auf mich abgesehen hat?
- Ich surfe auf meinem Laptop, von dem ich gerade schreibe, natürlich mehr oder weniger dieselben Seiten an wie von meinem PC - ist es wahrscheinlich, dass der auch infiziert ist?
- Wie gesagt werde ich meinen PC, sobald ich dafür Zeit habe, runderneuern. Ich bin gerade durch diese Geschehnisse etwas paranoid und habe zurzeit sogar vor sämtlichen Word-Dokumenten auf meiner externen Festplatte Angst. Übertreibe ich da?

Ich bin für jede Antwort dankbar, meine Nerven liegen grad ein wenig blank. Ich habe bisher weder merkwürdige Kontoaktivitäten festgestellt, noch wurde in irgendeinem Dienst, den ich zurzeit benutze, das Passwort ohne mein Zutun geändert. Das habe ich natürlich direkt nach der Situation getan, allerdings über meinen Laptop - und wie gesagt, zu 100 % vertraue ich dem auch nicht, bin aber auf ihn angewiesen, weil ich damit arbeiten muss.

Port 9001 ? Hast du was mit Tor gebastelt?
Hast du in deiner Firewall eine Ausnahme hinzugefügt NUR für deine Anwendung bzw Programm, Applikation? Wenn nicht ist das ein toller Port der gern für Remot genutzt wird.
Lässt sich auf dem System dann noch Java ausführen wird es eng.
Du hast dir mit Sicherheit durch die dubiosen Downloads was eingefangen.
Richtig gehandelt hast du ja schon mal, dass du den PC nicht mehr benutzt und von einem anderen (sauberen ?) System deine Passwörter geändert hast.
An einen Bios-Schädling glaube ich nicht. Ich denke eher dein System wurde übernommen.
Wenn derjenige nicht vorsichtig ist und vor alem neugierig ist, kannst du die Maus wandern sehen.

Zunächst einmal vielen, vielen Dank für deine Antwort!

Ich habe die Grundstruktur nach einem Codebeispiel aus dem Netz gebastelt, da war 9001 angegeben und den habe ich nicht geändert. Und nein, ich habe keine Ausnahme hinzugefügt, ich muss dazu sagen, dass Netzwerkprogrammierung ein relativ neues Feld für mich ist. Meinst du also, dass es doch möglich ist, dass jemand sich durch den offenen Server über diesen Port Zugang verschafft hat und ich entsprechend vielleicht einfach Pech hatte, dass er in dem Moment ausgerechnet mich angepingt hat?

Die dubiosen Downloads kommen halt von der Boerse und sind Exemplare von bekannten "Herstellern". Mittlerweile kann ich mir aber gut vorstellen, dass die ihre eigenen Botnetze haben. Und das würde dann bedeuten, dass ich da wahrscheinlich schon viele Jahre Mitglied bin...

Die Maus ist ja nicht einmal "gewandert", sie wurde gezielt gesteuert. Das war entsprechend sicherlich auch kein Versehen, aber das lässt mich halt eigentlich auch nicht an eine Angreifer"gruppe", die Botnetze betreibt, glauben, sondern eher an einen einzelnen Angreifer...

Zitat von AquaClassic

Die Maus ist ja nicht einmal "gewandert", sie wurde gezielt gesteuert. Das war entsprechend sicherlich auch kein Versehen, aber das lässt mich halt eigentlich auch nicht an eine Angreifer"gruppe", die Botnetze betreibt, glauben, sondern eher an einen einzelnen Angreifer...

100%-ig.
Am besten, wie du schon sagtest, richtig Platt machen.
Aber mich würde zb interessieren was da noch an Schadsoft noch so rumwerkelt.
Obwohl das dann verlorene Zeit wäre.

Ich werde auf jeden Fall nochmal die beiden Malwarebytes-Programme von ner Live-CD starten. Wie gesagt, ansonsten wurde nichts gefunden, wenn ich also Malware auf dem PC habe, hat sie sich sehr gut versteckt. Ich achte ansonsten auch darauf, das Teil möglichst clean zu halten.

Da wir anscheinend beide von einem einzelnen Angreifer ausgehen, der noch nicht einmal darum bemüht war, seine Anwesenheit zu verschleiern - was hältst du für die wahrscheinlichste Angriffsquelle? Kann es tatsächlich über meinen Server passiert sein, obwohl der codemäßig nicht wirklich was vom Client annimmt? Kann er sich da übers Netz irgendwie reinhacken und dann seinen eigenen Code ausführen, mir Malware draufspielen oder meinen PC übernehmen? Oder muss ich die Malware schon vorher draufgehabt haben - und wenn ja, ist es dann wahrscheinlich, dass er mich vor der Mausübernahme schon länger ausspioniert hat, obwohl ich weder Geld- noch Passwortverlust festgestellt habe?

Entschuldige die vielen Fragen, wie gesagt, das beschäftigt mich grad sehr.

Für andere Meinungen bin ich natürlich auch weiterhin dankbar. (:

Um all das zu erfahren müsste man einen Portscan machen, welche offen sind, bzw welche zusätzlich geöffnet wurden.
Durch Schadsoftware kann so einiges dran manipuliert worden sein.

Kann es sein, dass ein Mit-Student über dein PC bescheid weiss? Bzw was du mit dem Server machst und wie du ihn konfiguriert hast?
Nicht dass er dir einen Schritt vorraus ist und dir mal kurz über die Schulter schauen wollte.
Natürlich kann eine Schadsoftware lange auf dem PC verbleiben, bis sich eine Gelegenheit bietet aktiv zu werden.
Er könnte dich auch schon länger als Ziel haben. Der andere bekommt es ja mit wann du dich einloggst.
Zudem kannst du ja mal die Ereignisanzeige durchforsten.
Es kann ja auch sein, dass ein Schadcode einen Buffer-Overflow erzeugt hat und ein Absturz (Ereignis-IDs 1001)von einem Programm die Folge war.

Dann werde ich Montag, wenn ich wieder zu Hause bin, mal einen Portscan machen und das Ereignisprotokoll studieren. Kannst du mir ein Programm empfehlen, bzw. mir sagen wonach ich in den Protokollen suchen sollte?

Einen Mitstudenten als Ursache schließe ich aus, da weiß niemand Bescheid. Meine Mitbewohner sind es sicherlich auch nicht gewesen, die kenne ich seit langem, die haben weder das Know-How, noch würden sie jemals auf die Idee kommen.

Ich verstehe halt nicht, warum sich jemand, der vor längerem eine Schadsoftware bei mir installiert hat, sich jetzt plötzlich bemerkbar machen sollte. Ist für mich unlogisch. Aber wer weiß, was in seinem Kopf abgeht...

Schau mal unter Windowsprotokolle und dort bei Anwendungen nach, ob sich da was zu der besagten Uhrzeit was getan hat.

Das hab ich sogar schon getan. Ich hatte ein paar Minuten vorher zwei Anmeldevorgänge, die unter "Anonymous" liefen - beim PC-Namen stand allerdings der Name des PCs meines Mitbewohners und beide Anmeldungen wurden direkt danach wieder abgemeldet (wenn ich das richtig in Erinnerung habe). Diese Anmeldevorgänge kamen auch nicht das erste Mal vor, aber es war in allen Stichproben die ich überprüft habe der PC meines Mitbewohners, und wie gesagt, der ist garantiert nicht der Verursacher. Ansonsten ist mir nichts besonderes aufgefallen, aber ich werde das definitiv nochmal überprüfen (und zeitlich auch etwas zurückgehen, zumindest meine gesamte Session an dem Tag ansehen).

So, ich habe mir das alles nochmal durchgelesen.
Deine Codebeispiele..... sind die aus einer sicheren Quelle?
Wenn du mal hier und da was verwendet hast, gibt das alles einen Sinn, dass dadurch der PC übernommen wurde.
Fakt ist ja, dass du die Kontrolle über deinen PC abgegeben hast.
Nun liegt es an dir, wie du damit umgehen kannst.
Als Paranoid kannst du den Router auf Werkseinstellungen zurücksetzen und beide Passwörter neu, dir eine neue Platte kaufen und das Win neu darauf installieren und als Beweis die alte Platte ne Weile behalten, falls du bedenken hast, dass was illegales mit /oder auf deinen PC geschehen ist.
Ansonsten Router auf Werkseinstellungen zurücksetzen und beide Passwörter neu, den MBR der Platte neu, Win neu installieren. Ab jetzt vorsichtiger sein.

Aber bedenke, ein Mitbewohner kann in 10sek deinen PC mit einem USB-Stick in einen Zombie verwandeln, auch ohne Kenntnisse. Denn du wärst nicht der erste, dem ein Kumpel vom Mitbewohner gesagt wird "wollen wir mal sehen was er so treibt am PC ?"

Ja, das sind sie ziemlich sicher - die beschränken sich auch auf die ganz normale Standardarchitektur, sprich, da sind garantiert keine Backdoors eingebaut, das hätte ich sonst auch gemerkt, dafür sollten meine Javakenntnisse ausreichen.

Routerpasswort ist schon geändert, aber das mit den Werkseinstellungen werde ich nochmal machen. Neue Platte werd ich nicht kaufen, der Rest sollte ausreichen.

Und wie gesagt, meinem Mitbewohner vertraue ich voll und ganz, ich kenne ihn seit 10 Jahren und weiß, dass er so etwas nicht machen würde. Der Angreifer kommt mit Sicherheit woanders her. Mal schauen ob ich noch mehr Informationen aus meinem PC bekomme woher genau.

Ok, ich wollte absolut niemanden auf die Füsse treten.
Ich wollte auch die Fehlersuche in diese Richtung abchecken.

Vielleicht wurde der PC deines Mitbewohners gehackt- und der Angreifer ging über seinen PC auf deinen. Die Anmeldungen von seinem PC benötigen jedenfalls eine Erklärung, und wenn er das nicht war (wie du beteuerst) ist sein PC wahrscheinlich auch befallen.

An ein Botnetz glaube ich nicht, eher daran dass eines der Programme die du als "Crack " heruntergeladen hast von einem Skript Kid manipuliert wurde (z.B. durch im Internet erhältliche Programmzusätze) und dieses Skript Kid sucht jetzt nach Verwendungsmöglichkeiten für den PC: Das erklärt auch die Dummheit die Maus remote zu steuern während du am Bildschirm sitzst.

Auch dir vielen Dank für deine Antwort!

Ich hatte jetzt gedacht, dass sein PC sich vielleicht übers LAN bei meinem anmeldet, um etwaige Daten auszutauschen? Klingt das irgendwie realistisch? Ansonsten müsste ich mir natürlich Gedanken darüber machen, wie ich mich davor schützen kann, gibt es denn eine Möglichkeit, keine Verbindung mehr zu seinem PC zuzulassen, falls er keinen Anlass sieht, Maßnahmen bei sich zu ergreifen?

Zu den Anonymous-Anmeldungen habe ich im Netz das hier gefunden:

The "anonymous" logon has been part of Windows domains for a long time--in short, it is the permission that allows other computers to find yours in the Network Neighborhood, find what file shares or printers you are sharing, etc.

Klingt erstmal nicht nach einem verdächtigen Vorgang, oder?

Und @Ostseesand, kein Problem! Ganz im Gegenteil, ich bin dir dankbar für jede aufgezeigte Möglichkeit.

OK, war grad etwas überrascht da ich nicht gewohnt bin dass ein PC ungefragt das Netzwerk scant. Anscheinend dienen diese Anonymous Logins unter Win dazu, nach freigegebenen Ressourcen (Ordnern, Druckern etc.) zu suchen:

Unexpected anonymous login in Windows security logs - Server Fault

Sollte also per Se kein Problem sein, unterbinden kannst du das natürlich trotzdem falls Ihr diese Dinge nicht nutzt.