Zurück   Trojaner-Board > Malware entfernen > Plagegeister aller Art und deren Bekämpfung

Plagegeister aller Art und deren Bekämpfung: Schreibzugriff auf ACPI

Windows 7 Wenn Du nicht sicher bist, ob Du dir Malware oder Trojaner eingefangen hast, erstelle hier ein Thema. Ein Experte wird sich mit weiteren Anweisungen melden und Dir helfen die Malware zu entfernen oder Unerwünschte Software zu deinstallieren bzw. zu löschen. Bitte schildere dein Problem so genau wie möglich. Sollte es ein Trojaner oder Viren Problem sein wird ein Experte Dir bei der Beseitigug der Infektion helfen.

Antwort
Alt 22.11.2006, 02:21   #1
SystemPro
 
Schreibzugriff auf ACPI - Standard

Schreibzugriff auf ACPI



Hi leute, ich habe mal den ACPI Bios Reg Schlüssel extrahiert und am Anfang davon steht folgendes, wenn man es im Hex Editor anschaut:

..S.c.h.l...s.s.e.l.n.a.m.e.:. .H.K.E.Y._.L.O.C.A.L._.M.A.C.H.I.N.E.\.H.A.R.D.W.A.R.E.\.A.C.P.I.\.D.S.D.T.\.N.V.I.D.I.A.\.A.W.R.D.A.C.P.I.\.0.0.0.0.1.0.0.0.....K.l.a.s.s.e.n.n.a.m.e .:. .<.K.E.I.N.E. .K.L.A.S.S.E.>.....L.e.t.z.t.e.r. .S.c.h.r.e.i.b.z.u.g.r.i.f.f.:. .2.2...1.1...2.0.0.6. .-. .0.1.:.2.0.....W.e.r.t. .0..... . .N.a.m.e.:. .0.0.0.0.0.0.0.0..... . .T.y.p.:. .R.E.G._.B.I.N.A.R.Y..... . .D.a.t.e.n.:. .....0.0.0.0.0.0.0.0

Letzter Schreibzugriff ist das normal? Sieht das nicht schwer nach dem Beweis eines ACPI Infekts aus?

Alt 22.11.2006, 02:44   #2
cosinus
/// Winkelfunktion
/// TB-Süch-Tiger™
 
Schreibzugriff auf ACPI - Standard

Schreibzugriff auf ACPI



Äh...
Ein Schreibzugriff in die Registry = Infektion?
Schon klar, eine unter einem Adminkonto erstellte Malware hat auch die Rechte überall in der Registry herumzufuhrwerken.
Poste ein Hijackthis-Logfile.
__________________

__________________

Alt 22.11.2006, 03:14   #3
SystemPro
 
Schreibzugriff auf ACPI - Standard

Schreibzugriff auf ACPI



naja, wahrscheinlich ein standard Zugriff, warum steht eigentlich in den ACPI DSDT Dump Alexfg drin? Ich glaube das steht bei den meisten PCs drin.

HijackLog
C:\WINDOWS\regedit.exe
C:\PROGRA~1\Free Download Manager\fdm.exe
C:\WINDOWS\system32\svchost.exe
C:\Programme\Gemeinsame Dateien\G DATA\AVKProxy\AVKProxy.exe
C:\Programme\Internet Explorer\iexplore.exe
D:\HijackThis.exe
C:\WINDOWS\Explorer.EXE
C:\WINDOWS\system32\taskmgr.exe
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\aaksrv.exe
C:\WINDOWS\system32\svchost.exe
C:\Programme\Sygate\SPF\smc.exe
C:\WINDOWS\System32\svchost.exe
C:\Programme\Advanced Anti Keylogger\aak.exe

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Bar = hxxp://www.google.de/ie
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = hxxp://www.google.de/
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = hxxp://www.google.de
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = hxxp://www.google.de
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = hxxp://www.google.de
R0 - HKLM\Software\Microsoft\Internet Explorer\Search,SearchAssistant =
R0 - HKLM\Software\Microsoft\Internet Explorer\Search,CustomizeSearch =
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Local Page = \blank.htm
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Local Page = \blank.htm
O2 - BHO: Adobe PDF Reader Link Helper - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Programme\Adobe\Acrobat 7.0\ActiveX\AcroIEHelper.dll
O2 - BHO: SSVHelper Class - {761497BB-D6F0-462C-B6EB-D4DAF1D92D43} - C:\Programme\Java\jre1.5.0_06\bin\ssv.dll
O2 - BHO: (no name) - {BBE59AF5-EE22-4A3A-AB26-3F774D1B4216} - C:\Programme\FolderBox\FolderBox.dll
O2 - BHO: FDMIECookiesBHO Class - {CC59E0F9-7E43-44FA-9FAA-8377850BF205} - C:\Programme\Free Download Manager\iefdmcks.dll
O4 - HKLM\..\Run: [SmcService] C:\PROGRA~1\Sygate\SPF\smc.exe -startgui
O4 - HKLM\..\Run: [amd_dc_opt] "C:\Programme\AMD\amd_dc_opt\amd_dc_opt.exe"
O4 - HKLM\..\Run: [ATICCC] "C:\Programme\ATI Technologies\ATI.ACE\cli.exe" runtime -Delay
O4 - HKLM\..\Run: [KernelFaultCheck] %systemroot%\system32\dumprep 0 -k
O4 - HKCU\..\Run: [AAK] C:\Programme\Advanced Anti Keylogger\aak.exe /silent
O4 - HKCU\..\Run: [Free Download Manager] C:\Programme\Free Download Manager\fdm.exe -autorun
O8 - Extra context menu item: Download all with Free Download Manager - file://C:\Programme\Free Download Manager\dlall.htm
O8 - Extra context menu item: Download selected with Free Download Manager - file://C:\Programme\Free Download Manager\dlselected.htm
O8 - Extra context menu item: Download with Free Download Manager - file://C:\Programme\Free Download Manager\dllink.htm
O11 - Options group: [INTERNATIONAL] International*
O16 - DPF: {6414512B-B978-451D-A0D8-FCFDF33E833C} (WUWebControl Class) - hxxp://update.microsoft.com/windowsupdate/v6/V5Controls/en/x86/client/wuweb_site.cab
O17 - HKLM\System\CCS\Services\Tcpip\..\{A8F22A02-958E-4C55-A383-0130E18803C5}: NameServer = 192.168.0.1
O18 - Protocol: msnim - {828030A1-22C1-4009-854F-8E305202313F} - "C:\PROGRA~1\MSNMES~1\msgrapp.dll" (file missing)
O20 - AppInit_DLLs: system32\aakah.dll
O20 - Winlogon Notify: SDNotify - C:\Programme\MaxAntiSpyware\SDNotify.dll
O21 - SSODL: WPDShServiceObj - {AAA288BA-9A4C-45B0-95D7-94D524869DB5} - C:\WINDOWS\system32\WPDShServiceObj.dll
O23 - Service: aaksrv - Spydex, Inc. - C:\WINDOWS\system32\aaksrv.exe
O23 - Service: AntiVir PersonalEdition Classic Planer (AntiVirScheduler) - Avira GmbH - C:\Programme\AntiVir PersonalEdition Classic\sched.exe
O23 - Service: AntiVir PersonalEdition Classic Guard (AntiVirService) - AVIRA GmbH - C:\Programme\AntiVir PersonalEdition Classic\avguard.exe
O23 - Service: AOL Connectivity Service (AOL ACS) - America Online, Inc. - C:\PROGRA~1\GEMEIN~1\aol\ACS\AOLacsd.exe
O23 - Service: Ati HotKey Poller - ATI Technologies Inc. - C:\WINDOWS\system32\Ati2evxx.exe
O23 - Service: ATI Smart - Unknown owner - C:\WINDOWS\system32\ati2sgag.exe
O23 - Service: AVG7 Alert Manager Server (Avg7Alrt) - GRISOFT, s.r.o. - C:\PROGRA~1\Grisoft\AVGFRE~1\avgamsvr.exe
O23 - Service: AVG7 Update Service (Avg7UpdSvc) - GRISOFT, s.r.o. - C:\PROGRA~1\Grisoft\AVGFRE~1\avgupsvc.exe
O23 - Service: AVKProxy - G DATA Software AG - C:\Programme\Gemeinsame Dateien\G DATA\AVKProxy\AVKProxy.exe
O23 - Service: AVK Service (AVKService) - Unknown owner - C:\Programme\G DATA AntiVirus praesentiert von AOL\AVKService.exe
O23 - Service: Sygate Personal Firewall Pro (SmcService) - Sygate Technologies, Inc. - C:\Programme\Sygate\SPF\smc.exe
O23 - Service: TuneUp WinStyler Theme Service (TUWinStylerThemeSvc) - TuneUp Software GmbH - C:\Programme\TuneUp Utilities 2004\WinStylerThemeSvc.exe

Achso nebenbei wäre auch interessant zu wissen, was ihr von AAntiKeyloggers Meinungen über angebliche Screenshot MOdule halten, sieht mir eher wie eine Reihe Fehlalarme aus oder?

__________________

Geändert von SystemPro (22.11.2006 um 03:24 Uhr)

Alt 22.11.2006, 12:44   #4
cosinus
/// Winkelfunktion
/// TB-Süch-Tiger™
 
Schreibzugriff auf ACPI - Standard

Schreibzugriff auf ACPI



Könntest Du mal das komplette Logfile posten? Der Kopf mit den Infos über Windows und IE fehlt, reiche den bitte nach. Sonst konnte ich nichts Verdächtiges sehen.
Zitat:
Achso nebenbei wäre auch interessant zu wissen, was ihr von AAntiKeyloggers Meinungen über angebliche Screenshot MOdule halten, sieht mir eher wie eine Reihe Fehlalarme aus oder?
Sieht nach Fehlalarmen aus, ja.
Wenn Du immer noch Schälingsbefall vermutest, könntest Du zuerst ja mal mit Blacklight das System checken. Poste dann das Ergebnis.
__________________
"Die Wahrheit ist normalerweise nur eine Entschuldigung für einen Mangel an Fantasie." (Elim Garak)

Das Trojaner-Board unterstützen
Warum Linux besser als Windows ist!

Antwort

Themen zu Schreibzugriff auf ACPI
anfang, beweis, bios, editor, folge, folgendes, hex, leute, schlüssel, schwer




Zum Thema Schreibzugriff auf ACPI - Hi leute, ich habe mal den ACPI Bios Reg Schlüssel extrahiert und am Anfang davon steht folgendes, wenn man es im Hex Editor anschaut: ..S.c.h.l...s.s.e.l.n.a.m.e.:. .H.K.E.Y._.L.O.C.A.L._.M.A.C.H.I.N.E.\.H.A.R.D.W.A.R.E.\.A.C.P.I.\.D.S.D.T.\.N.V.I.D.I.A.\.A.W.R.D.A.C.P.I.\.0.0.0.0.1.0.0.0.....K.l.a.s.s.e.n.n.a.m.e .:. .<.K.E.I.N.E. .K.L.A.S.S.E.>.....L.e.t.z.t.e.r. .S.c.h.r.e.i.b.z.u.g.r.i.f.f.:. - Schreibzugriff auf ACPI...
Archiv
Du betrachtest: Schreibzugriff auf ACPI auf Trojaner-Board

Search Engine Optimization by vBSEO ©2011, Crawlability, Inc.