Zurück   Trojaner-Board > Malware entfernen > Log-Analyse und Auswertung

Log-Analyse und Auswertung: SYN-flood, suche nach Quelle

Windows 7 Wenn Du Dir einen Trojaner eingefangen hast oder ständig Viren Warnungen bekommst, kannst Du hier die Logs unserer Diagnose Tools zwecks Auswertung durch unsere Experten posten. Um Viren und Trojaner entfernen zu können, muss das infizierte System zuerst untersucht werden: Erste Schritte zur Hilfe. Beachte dass ein infiziertes System nicht vertrauenswürdig ist und bis zur vollständigen Entfernung der Malware nicht verwendet werden sollte.

Antwort
Alt 07.08.2006, 00:03   #1
Sonderzeichen
 
SYN-flood, suche nach Quelle - Standard

SYN-flood, suche nach Quelle



Hi,

habe seit einer Lan Probleme mit so ziemlich allen Programmen außer ICQ (auch das geht manchmal nicht) ins Internet zu kommen.
Außerdem haben sich bei Windows der Anmelde-/Beenden- und der Task-Manager-Dialog vom neuen Design zu diesem alten grauen Design verändert.

Durch netstat habe ich rausgefunden, dass irgendein Programm anscheinend versucht über die Ports 1286 und die folgenden bei "microsoft-ds" eine SYN-flood-Attacke auszulösen.

Leider hab ich den entpsrechenden Prozess noch nicht gefunden. Ad Aware hat zwar drei Wurmsignaturen (des selben Wurms) in 3 Dateinen gefunden, die ich gelöscht/in Quarantäne habe, aber die Probleme bleiben. Antivir findet gar nichts. Vielleicht bekommt ihr ja was über das Log raus oder habt andere Vorschläge.

(Ich weiß, ist ziemlich viel Zeug, falls ihr andere Vorschläge habt, was ich davon nicht brauche, wäre ich euch auch dankbar. )

Logfile of HijackThis v1.99.1
Scan saved at 22:36:41, on 06.08.2006
Platform: Windows XP SP1 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP1 (6.00.2800.1106)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\Programme\Ahead\InCD\InCDsrv.exe
C:\WINDOWS\system32\spoolsv.exe
C:\Programme\AntiVir PersonalEdition Classic\sched.exe
C:\Programme\AntiVir PersonalEdition Classic\avguard.exe
C:\WINDOWS\System32\nvsvc32.exe
C:\Programme\Analog Devices\SoundMAX\SMAgent.exe
C:\WINDOWS\Explorer.EXE
C:\WINDOWS\Mixer.exe
C:\Program Files\ASUS\Probe\AsusProb.exe
C:\Programme\Gemeinsame Dateien\Real\Update_OB\realsched.exe
C:\Programme\AntiVir PersonalEdition Classic\avgnt.exe
C:\WINDOWS\System32\ctfmon.exe
C:\Programme\g3OnlineTimer\g3OnlineTimer.exe
C:\Programme\Logitech\MouseWare\system\em_exec.exe
C:\Dokumente und Einstellungen\***\Desktop\HijackThis.exe

O4 - HKLM\..\Run: [nwiz] nwiz.exe /install
O4 - HKLM\..\Run: [NvMediaCenter] RUNDLL32.EXE C:\WINDOWS\System32\NvMcTray.dll,NvTaskbarInit
O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\System32\NvCpl.dll,NvStartup
O4 - HKLM\..\Run: [Logitech Utility] Logi_MwX.Exe
O4 - HKLM\..\Run: [KernelFaultCheck] %systemroot%\system32\dumprep 0 -k
O4 - HKLM\..\Run: [C-Media Mixer] Mixer.exe /startup
O4 - HKLM\..\Run: [ASUS Probe] C:\Program Files\ASUS\Probe\AsusProb.exe
O4 - HKLM\..\Run: [TkBellExe] "C:\Programme\Gemeinsame Dateien\Real\Update_OB\realsched.exe" -osboot
O4 - HKLM\..\Run: [ICQ Lite] "C:\Programme\ICQLite\ICQLite.exe" -minimize
O4 - HKLM\..\Run: [avgnt] "C:\Programme\AntiVir PersonalEdition Classic\avgnt.exe" /min
O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\ctfmon.exe
O4 - Startup: g3OnlineTimer.lnk = C:\Programme\g3OnlineTimer\g3OnlineTimer.exe
O4 - Startup: Watch.lnk = C:\WINDOWS\twain_32\A4CIS600\WATCH.exe
O4 - Global Startup: Adobe Gamma Loader.lnk = C:\Programme\Gemeinsame Dateien\Adobe\Calibration\Adobe Gamma Loader.exe
O8 - Extra context menu item: Nach Microsoft &Excel exportieren - res://C:\PROGRA~1\MICROS~2\OFFICE11\EXCEL.EXE/3000
O9 - Extra button: ICQ Pro - {6224f700-cba3-4071-b251-47cb894244cd} - C:\PROGRA~1\ICQ\ICQ.exe
O9 - Extra 'Tools' menuitem: ICQ - {6224f700-cba3-4071-b251-47cb894244cd} - C:\PROGRA~1\ICQ\ICQ.exe
O9 - Extra button: Recherchieren - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - C:\PROGRA~1\MICROS~2\OFFICE11\REFIEBAR.DLL
O9 - Extra button: ICQ Lite - {B863453A-26C3-4e1f-A54D-A2CD196348E9} - C:\Programme\ICQLite\ICQLite.exe
O9 - Extra 'Tools' menuitem: ICQ Lite - {B863453A-26C3-4e1f-A54D-A2CD196348E9} - C:\Programme\ICQLite\ICQLite.exe
O23 - Service: AntiVir PersonalEdition Classic Planer (AntiVirScheduler) - Avira GmbH - C:\Programme\AntiVir PersonalEdition Classic\sched.exe
O23 - Service: AntiVir PersonalEdition Classic Guard (AntiVirService) - AVIRA GmbH - C:\Programme\AntiVir PersonalEdition Classic\avguard.exe
O23 - Service: InstallDriver Table Manager (IDriverT) - Macrovision Corporation - C:\Programme\Gemeinsame Dateien\InstallShield\Driver\11\Intel 32\IDriverT.exe
O23 - Service: InCD Helper (InCDsrv) - Ahead Software AG - C:\Programme\Ahead\InCD\InCDsrv.exe
O23 - Service: NVIDIA Display Driver Service (NVSvc) - NVIDIA Corporation - C:\WINDOWS\System32\nvsvc32.exe
O23 - Service: SoundMAX Agent Service (SoundMAX Agent Service (default)) - Analog Devices, Inc. - C:\Programme\Analog Devices\SoundMAX\SMAgent.exe



EDIT: Habe den Prozess nvsvc32.exe beendet, woraufhin die SYN-Anfragen nichtmehr rausgehen und ich normal ins Internet komme. Da ich keine Ahnung habe, ob ein Löschen und eine Treiberneuinstallation genügt, hab ich erstmal alles in der Richtung gelassen und warte auf Antworten.

Geändert von Sonderzeichen (07.08.2006 um 00:48 Uhr)

Alt 07.08.2006, 10:09   #2
BataAlexander
> MalwareDB
 
SYN-flood, suche nach Quelle - Standard

SYN-flood, suche nach Quelle



Hallo,

nvsvc32.exe gehört in der Regel zu Nvida Treibern, sollte also kein Problem darstellen. Es gibt Prozesse mit ähnlichen Namen, die versuchen sich als solcher im System zu tarnen, hast DU Dich nicht verschrieben?

Führe mal den Befehl netstat -bv in der Konsole aus ( Start / Ausführen / cmd [Enter] ).
Pürfe die laufenden Prozesse und schaue, welches diese Anfragen macht.
Ports oberhalb 1023 sind frei verfügbar, daher ist anhand dessen schwer zu sagen, welche Anwendung diesen öffnet.

Weiterhin fehtl Dir SP2, was Deine Probleme wohl herbeigeführt haben kann. Warum ist es nicht installiert?

Gruß

Schrulli
__________________

__________________

Alt 07.08.2006, 14:29   #3
Sonderzeichen
 
SYN-flood, suche nach Quelle - Standard

SYN-flood, suche nach Quelle



Danke erstmal für die Antwort!

Habe leider oben was falsches geschrieben. Antivir hatte den Wurm gefunden:
Enthält die Signatur des Wurmes WORM/Korgo.W:
system32\ftpupd.exe
system32\uiovyyh.exe
Und eine dritte Datei, die woanders lag, hab ich leider schon gelöscht.

Ad Aware hat folgendes gefunden und gelöscht:

WIN32.TROJAN.DOWNLOADER
»»»»»»»»»»»»»»»»»»»»»»»»»»»»»»»»»»»»»»
obj[12]=Regkey : PopCapLoader.PopCapLoaderCtrl2
obj[13]=Regkey : PopCapLoader.PopCapLoaderCtrl2.1
obj[14]=Regkey : Software\microsoft\windows\currentversion\moduleusage\C:/WINDOWS/Downloaded Program Files/popcaploader.dll
obj[15]=RegValue : Software\microsoft\windows\currentversion\moduleusage\C:/WINDOWS/Downloaded Program Files/popcaploader.dll "{DF780F87-FF2B-4DF8-92D0-73DB16A1543A}"
obj[16]=RegValue : Software\Microsoft\Windows\CurrentVersion\SharedDLLs "C:\WINDOWS\Downloaded Program Files\popcaploader.dll"
obj[20]=File : c:\/windows/downloaded program files/popcaploader.dll

HiJackThis hatte im ersten Durchlauf noch das gefunden:
O16 - h**p://arcade.icq.com/carlo/zuma/popcaploader_v5.cab
Ebenfalls gelöscht.
Da es danach nicht aufgehört hat, hab ich das weggelassen...im Nachhinein wohl nicht ganz so clever von mir..

nvsvc32.exe war die Nvidia-Treiberdatei, das war mir bewusst. Hatte irgendwo gelesen, dass die auch infiziert sein kann.
Nach einem Neustart passiert trotzdem nichts mehr, was ja dafür sprechen würde, dass ich mich da geirrt habe und das ganze vielleicht durch die Löschung der oben genannten Dateien aufgehört hat!?

Bei netstat -bv passiert nichts (Hilfe wird aufgerufen), sicher dass du -bv meinst? Bei mir sind bei netstat nur die Parameter (?) -a, -e, -n, -o, -p, -r und -s möglich, schreibt zumindest die Hilfe.

SP2 wird nachgeholt.
__________________

Alt 07.08.2006, 18:22   #4
BataAlexander
> MalwareDB
 
SYN-flood, suche nach Quelle - Standard

SYN-flood, suche nach Quelle



Hallo,

habe mich natürlich verschrieben netstat -r meinte ich.
Mit den neuen Informationen lege ich Dir aber eher einen eScan ans Herz. die Anleitung bitte genau lesen. Hinterher das escan_neu.txt hier posten und nicht wundern, wenn eScan viel ausspuckt, es ist etwas paronoid.

Gruß

Schrulli
__________________
If every computer is running a diverse ecosystem, crackers will have
no choice but to resort to small-scale, targetted attacks, and the
days of mass-market malware will be over
[...].
Stuart Udall

Alt 08.08.2006, 14:11   #5
Sonderzeichen
 
SYN-flood, suche nach Quelle - Standard

SYN-flood, suche nach Quelle



Hallo,

habe das mal ausprobiert, nach kurzer Zeit den kompletten Scan aber auf die Nacht verschoben.

~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~
Infektionsmeldungen
~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~
Mon Aug 07 23:35:03 2006 => Object "gain.gator Spyware/Adware" found in File System! Action Taken: Entries Removed.
Mon Aug 07 23:35:03 2006 => Object "gain.gator Spyware/Adware" found in File System! Action Taken: Entries Removed.
Mon Aug 07 23:35:03 2006 => Object "gain.gator Spyware/Adware" found in File System! Action Taken: Entries Removed.
~~~~~~~~~~~
Dateien
~~~~~~~~~~~
~~~~ Infected files
~~~~~~~~~~~
~~~~~~~~~~~
~~~~ Offending files
~~~~~~~~~~~
~~~~~~~~~~~
~~~~ Tagged files
~~~~~~~~~~~
Tue Aug 08 01:54:17 2006 => File C:\mIRC\mirc.exe tagged as not-a-virus:Client-IRC.Win32.mIRC.614. No Action Taken.
~~~~~~~~~~~
Ordner
~~~~~~~~~~~
~~~~~~~~~~~
Registry
~~~~~~~~~~~
Mon Aug 07 23:35:03 2006 => Offending Key found: HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings\ZoneMap\Domains\gator.com !!!
Mon Aug 07 23:35:03 2006 => Offending Key found: HKLM\Software\Microsoft\Windows\CurrentVersion\Internet Settings\p3p\history\gator.com !!!
Mon Aug 07 23:35:03 2006 => Offending Key found: HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings\p3p\history\gator.com !!!
~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~
Statistiken:
~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~
Mon Aug 07 23:35:00 2006 => Total Errors: 3
Mon Aug 07 23:59:41 2006 => Total Errors: 220
Tue Aug 08 04:00:59 2006 => Total Errors: 1
Mon Aug 07 23:35:00 2006 => Time Elapsed: 00:01:06
Mon Aug 07 23:59:41 2006 => Time Elapsed: 00:08:35
Tue Aug 08 04:00:59 2006 => Time Elapsed: 02:25:22
Mon Aug 07 23:35:00 2006 => Total Objects Scanned: 3725
Mon Aug 07 23:59:40 2006 => Total Objects Scanned: 21626
Tue Aug 08 04:00:59 2006 => Total Objects Scanned: 85657
Mon Aug 07 23:35:03 2006 => Virus Database Date: 8/7/2006
Mon Aug 07 23:41:23 2006 => Virus Database Date: 8/7/2006
Mon Aug 07 23:49:10 2006 => Virus Database Date: 8/7/2006
Mon Aug 07 23:59:41 2006 => Virus Database Date: 8/7/2006
Tue Aug 08 00:00:08 2006 => Virus Database Date: 8/7/2006
Tue Aug 08 01:33:11 2006 => Virus Database Date: 8/7/2006
Tue Aug 08 04:00:59 2006 => Virus Database Date: 8/7/2006
Tue Aug 08 06:05:08 2006 => Virus Database Date: 8/7/2006
~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~
--------------------------------------------------
C:\Bases_X\LOG\MWAV.LOG
--------------------------------------------------

Sieht ja aus, als ob ich das Problem los wäre oder?
Jetzt muss ich nur noch rausfinden, wie ich den Beenden-Dialog und den Task-Manager wieder im neuen Design hinkriege.


Geändert von Sonderzeichen (08.08.2006 um 14:19 Uhr)

Antwort

Themen zu SYN-flood, suche nach Quelle
ad aware, adobe, antivir, asus, avira, desktop, dll, einstellungen, excel, explorer, frage, helper, hijack, hijackthis, internet, internet explorer, keine ahnung, löschen, microsoft-ds, netstat, nvidia, programme, prozess, quara, rundll, software, syn-flood, system, windows, windows xp



Ähnliche Themen: SYN-flood, suche nach Quelle


  1. Suche nach einem Programm
    Alles rund um Windows - 09.02.2014 (3)
  2. Trojaner nach ominöser E-Mail von vertrauter Quelle?
    Log-Analyse und Auswertung - 14.09.2012 (25)
  3. SYN Flood Problem
    Plagegeister aller Art und deren Bekämpfung - 22.05.2012 (1)
  4. Suche nach angepasstem Script nach Gema-Virus und weißen Bildschirm mit ...
    Plagegeister aller Art und deren Bekämpfung - 25.03.2012 (1)
  5. vermute virus nach installation einer .exe datei aus nicht 100%sicherer Quelle.
    Log-Analyse und Auswertung - 07.12.2011 (7)
  6. netzwerkzusammenbrüche nach UDP FLOOD
    Log-Analyse und Auswertung - 20.09.2011 (12)
  7. Suche nach Schädling
    Plagegeister aller Art und deren Bekämpfung - 16.09.2011 (1)
  8. SYN Flood im Routerlog
    Log-Analyse und Auswertung - 30.05.2011 (2)
  9. Auf der Suche nach dem passenden Arbeitsspeicher ...
    Netzwerk und Hardware - 21.05.2011 (36)
  10. Suche nach neuem Prozessor
    Netzwerk und Hardware - 22.02.2010 (14)
  11. BDS/Flood.IRC.2
    Log-Analyse und Auswertung - 11.01.2010 (3)
  12. Die Suche nach der Ur-Firewall
    Antiviren-, Firewall- und andere Schutzprogramme - 12.11.2008 (22)
  13. SYN-Flood-Problem
    Plagegeister aller Art und deren Bekämpfung - 11.01.2008 (0)
  14. Suche nach Netzwerkgerät ?!?
    Alles rund um Windows - 20.10.2004 (5)
  15. irc/flood.cm?
    Plagegeister aller Art und deren Bekämpfung - 08.01.2004 (2)
  16. Auf der Suche nach der dümmsten Sicherheitsmaßnahme
    Netzwerk und Hardware - 25.02.2003 (8)

Zum Thema SYN-flood, suche nach Quelle - Hi, habe seit einer Lan Probleme mit so ziemlich allen Programmen außer ICQ (auch das geht manchmal nicht) ins Internet zu kommen. Außerdem haben sich bei Windows der Anmelde-/Beenden- und - SYN-flood, suche nach Quelle...
Archiv
Du betrachtest: SYN-flood, suche nach Quelle auf Trojaner-Board

Search Engine Optimization by vBSEO ©2011, Crawlability, Inc.