| |
| |||||||
Log-Analyse und Auswertung: Myspace VirusWindows 7 Wenn Du Dir einen Trojaner eingefangen hast oder ständig Viren Warnungen bekommst, kannst Du hier die Logs unserer Diagnose Tools zwecks Auswertung durch unsere Experten posten. Um Viren und Trojaner entfernen zu können, muss das infizierte System zuerst untersucht werden: Erste Schritte zur Hilfe. Beachte dass ein infiziertes System nicht vertrauenswürdig ist und bis zur vollständigen Entfernung der Malware nicht verwendet werden sollte.XML |
 |
12.01.2009, 00:12
| #1 |
| |  Myspace Virus Folgendes... Ich war gerade auf Myspace und hab ganz normal wie immer, ein paar Profile angeklickt. Ich klicke zum nächsten Profil, und auf einmal gehts ab...schwarzer Bildschirm, MSN Fenster öffnen sich, schickt ne Nachricht an ein paar Kontakte, ich hab dann Firefox per Taskmanager (bzw. Prozess beenden) geschlossen. Am Ende hatte ich nur mehr einen schwarzen Bildschirm mit meinem geöffnetem Task. Ich konnte mit alt+tab noch zwischen tasks wechseln, aber nichts weiter. Links oben in der Ecke von meinem Bildschirm, stand "please wait. adjusting screen", da ging aber nix weiter. Dieser Link wurde an ein paar, aber nicht an alle MSN Kontakte geschickt: does this link work for you? h**p://*** Ich hab meinen Pc resettet. Er startete auch wieder, aber er öffnete kein MSN, Icq etc. beim Start, zumindest dachte ich das. Es dauerte nur ziemlich lange. Jetzt braucht er ziemlich lange um Programme zu öffnen und mein Hintergrund war schwarz. Hab ihn wieder verändert. Ich hoffe ihr könnt mir helfen, ohne, dass ich formatieren muss^^ HJT Logfile: Logfile of Trend Micro HijackThis v2.0.2 Scan saved at 00:10:28, on 12.01.2009 Platform: Windows XP SP3 (WinNT 5.01.2600) MSIE: Internet Explorer v7.00 (7.00.6000.16762) Boot mode: Normal Running processes: C:\WINDOWS\System32\smss.exe C:\WINDOWS\system32\winlogon.exe C:\WINDOWS\system32\services.exe C:\WINDOWS\system32\lsass.exe C:\WINDOWS\system32\svchost.exe C:\WINDOWS\System32\svchost.exe C:\WINDOWS\system32\spoolsv.exe C:\Programme\Avira\AntiVir PersonalEdition Classic\avguard.exe C:\WINDOWS\Explorer.EXE C:\WINDOWS\system32\RUNDLL32.EXE C:\WINDOWS\system32\RunDll32.exe C:\Programme\Avira\AntiVir PersonalEdition Classic\avgnt.exe C:\Programme\Java\jre6\bin\jusched.exe C:\Programme\Winamp\winampa.exe C:\WINDOWS\vVX1000.exe C:\WINDOWS\system32\ctfmon.exe C:\Programme\Windows Live\Messenger\MsnMsgr.Exe C:\Programme\ICQ6.5\ICQ.exe C:\Programme\Winamp Remote\bin\OrbTray.exe C:\windows\system\explorer.exe C:\Programme\Avira\AntiVir PersonalEdition Classic\sched.exe C:\Programme\Google\Common\Google Updater\GoogleUpdaterService.exe C:\Programme\Microsoft LifeCam\MSCamS32.exe C:\Programme\CDBurnerXP\NMSAccessU.exe C:\WINDOWS\system32\nvsvc32.exe C:\WINDOWS\system32\PnkBstrA.exe C:\WINDOWS\system32\PnkBstrB.exe C:\WINDOWS\system32\svchost.exe C:\Programme\Mozilla Firefox\firefox.exe c:\programme\avira\antivir personaledition classic\avcenter.exe C:\Programme\Avira\AntiVir PersonalEdition Classic\avscan.exe C:\Programme\Windows Live\Messenger\usnsvc.exe C:\Programme\Skype\Phone\Skype.exe C:\Programme\Winamp\winamp.exe C:\Programme\Skype\Plugin Manager\skypePM.exe C:\WINDOWS\Microsoft.NET\Framework\v3.0\Windows Communication Foundation\infocard.exe C:\Programme\Trend Micro\HijackThis\HijackThis.exe R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = h**p://go.microsoft.com/fwlink/?LinkId=69157 R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = h**p://go.microsoft.com/fwlink/?LinkId=54896 R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = h**p://go.microsoft.com/fwlink/?LinkId=54896 R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = h**p://go.microsoft.com/fwlink/?LinkId=69157 R3 - URLSearchHook: Winamp Search Class - {57BCA5FA-5DBB-45a2-B558-1755C3F6253B} - C:\Programme\Winamp Toolbar\winamptb.dll O2 - BHO: Adobe PDF Reader - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Programme\Gemeinsame Dateien\Adobe\Acrobat\ActiveX\AcroIEHelper.dll O2 - BHO: Winamp Toolbar Loader - {25CEE8EC-5730-41bc-8B58-22DDC8AB8C20} - C:\Programme\Winamp Toolbar\winamptb.dll O2 - BHO: Java(tm) Plug-In SSV Helper - {761497BB-D6F0-462C-B6EB-D4DAF1D92D43} - C:\Programme\Java\jre6\bin\ssv.dll O2 - BHO: Google Toolbar Notifier BHO - {AF69DE43-7D58-4638-B6FA-CE66B5AD205D} - C:\Programme\Google\GoogleToolbarNotifier\5.0.926.3450\swg.dll O2 - BHO: Java(tm) Plug-In 2 SSV Helper - {DBC80044-A445-435b-BC74-9C25C1C588A9} - C:\Programme\Java\jre6\bin\jp2ssv.dll O2 - BHO: JQSIEStartDetectorImpl - {E7E6F031-17CE-4C07-BC86-EABFE594F69C} - C:\Programme\Java\jre6\lib\deploy\jqs\ie\jqs_plugin.dll O3 - Toolbar: Winamp Toolbar - {EBF2BA02-9094-4c5a-858B-BB198F3D8DE2} - C:\Programme\Winamp Toolbar\winamptb.dll O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\system32\NvCpl.dll,NvStartup O4 - HKLM\..\Run: [NvMediaCenter] RUNDLL32.EXE C:\WINDOWS\system32\NvMcTray.dll,NvTaskbarInit O4 - HKLM\..\Run: [JMB36X IDE Setup] C:\WINDOWS\RaidTool\xInsIDE.exe O4 - HKLM\..\Run: [36X Raid Configurer] C:\WINDOWS\system32\xRaidSetup.exe boot O4 - HKLM\..\Run: [C6501Sound] RunDll32 c6501.cpl,CMICtrlWnd O4 - HKLM\..\Run: [avgnt] "C:\Programme\Avira\AntiVir PersonalEdition Classic\avgnt.exe" /min O4 - HKLM\..\Run: [LXCECATS] rundll32 C:\WINDOWS\System32\spool\DRIVERS\W32X86\3\LXCEtime.dll,_RunDLLEntry@16 O4 - HKLM\..\Run: [SunJavaUpdateSched] "C:\Programme\Java\jre6\bin\jusched.exe" O4 - HKLM\..\Run: [M-Audio Taskbar Icon] C:\WINDOWS\System32\M-AudioTaskBarIcon.exe O4 - HKLM\..\Run: [H2O] C:\Programme\SyncroSoft\Pos\H2O\cledx.exe O4 - HKLM\..\Run: [CanonSolutionMenu] C:\Programme\Canon\SolutionMenu\CNSLMAIN.exe /logon O4 - HKLM\..\Run: [CanonMyPrinter] C:\Programme\Canon\MyPrinter\BJMyPrt.exe /logon O4 - HKLM\..\Run: [WinampAgent] C:\Programme\Winamp\winampa.exe O4 - HKLM\..\Run: [VX1000] C:\WINDOWS\vVX1000.exe O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\ctfmon.exe O4 - HKCU\..\Run: [MsnMsgr] "C:\Programme\Windows Live\Messenger\MsnMsgr.Exe" /background O4 - HKCU\..\Run: [ICQ] "C:\Programme\ICQ6.5\ICQ.exe" silent O4 - HKCU\..\Run: [Orb] "C:\Programme\Winamp Remote\bin\OrbTray.exe" /background O4 - HKCU\..\Run: [SystemExplorer] C:\windows\system\explorer.exe O4 - HKUS\S-1-5-19\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'LOKALER DIENST') O4 - HKUS\S-1-5-20\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'NETZWERKDIENST') O4 - HKUS\S-1-5-18\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'SYSTEM') O4 - HKUS\.DEFAULT\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'Default user') O8 - Extra context menu item: &Winamp Search - C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\Winamp Toolbar\ieToolbar\resources\en-US\local\search.html O8 - Extra context menu item: Nach Microsoft E&xel exportieren - res://C:\PROGRA~1\MICROS~3\Office12\EXCEL.EXE/3000 O9 - Extra button: An OneNote senden - {2670000A-7350-4f3c-8081-5663EE0C6C49} - C:\PROGRA~1\MICROS~3\Office12\ONBttnIE.dll O9 - Extra 'Tools' menuitem: An OneNote s&enden - {2670000A-7350-4f3c-8081-5663EE0C6C49} - C:\PROGRA~1\MICROS~3\Office12\ONBttnIE.dll O9 - Extra button: Research - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - C:\PROGRA~1\MICROS~3\Office12\REFIEBAR.DLL O9 - Extra button: ICQ6 - {E59EB121-F339-4851-A3BA-FE49C35617C2} - C:\Programme\ICQ6.5\ICQ.exe O9 - Extra 'Tools' menuitem: ICQ6 - {E59EB121-F339-4851-A3BA-FE49C35617C2} - C:\Programme\ICQ6.5\ICQ.exe O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe O16 - DPF: {C3F79A2B-B9B4-4A66-B012-3EE46475B072} (MessengerStatsClient Class) - h**p://messenger.zone.msn.com/binary/MessengerStatsPAClient.cab56907.cab O16 - DPF: {D27CDB6E-AE6D-11CF-96B8-444553540000} (Shockwave Flash Object) - h**p://fpdownload2.macromedia.com/get/shockwave/cabs/flash/swflash.cab O18 - Protocol: skype4com - {FFC8B962-9B40-4DFF-9458-1830C7DD7F5D} - C:\PROGRA~1\GEMEIN~1\Skype\SKYPE4~1.DLL O23 - Service: AntiVir PersonalEdition Classic Planer (AntiVirScheduler) - Avira GmbH - C:\Programme\Avira\AntiVir PersonalEdition Classic\sched.exe O23 - Service: AntiVir PersonalEdition Classic Guard (AntiVirService) - Avira GmbH - C:\Programme\Avira\AntiVir PersonalEdition Classic\avguard.exe O23 - Service: Google Updater Service (gusvc) - Google - C:\Programme\Google\Common\Google Updater\GoogleUpdaterService.exe O23 - Service: Inkjet Printer/Scanner Extended Survey Program (IJPLMSVC) - Unknown owner - C:\Programme\Canon\IJPLM\IJPLMSVC.EXE O23 - Service: Java Quick Starter (JavaQuickStarterService) - Sun Microsystems, Inc. - C:\Programme\Java\jre6\bin\jqs.exe O23 - Service: lxce_device - Lexmark International, Inc. - C:\WINDOWS\system32\lxcecoms.exe O23 - Service: NMSAccessU - Unknown owner - C:\Programme\CDBurnerXP\NMSAccessU.exe O23 - Service: NVIDIA Display Driver Service (NVSvc) - NVIDIA Corporation - C:\WINDOWS\system32\nvsvc32.exe O23 - Service: PnkBstrA - Unknown owner - C:\WINDOWS\system32\PnkBstrA.exe O23 - Service: PnkBstrB - Unknown owner - C:\WINDOWS\system32\PnkBstrB.exe -- End of file - 7754 bytes Geändert von GUA (12.01.2009 um 17:33 Uhr) Grund: link editiert |
|
12.01.2009, 00:35
| #2 |
| /// AVZ-Toolkit Guru   | Myspace Virus Halli hallo.
__________________Die schädliche Datei wird grade ausgewertet. Bei deiner Problembeschreibung ist aber eigentlich klar, dass du eine Hintertür im System hast. Trenne den Rechner physikalisch vom Netz. => LAN-Stecker ziehen! GMER - Rootkit Detection
Systemanalyse
__________________ |
|
12.01.2009, 10:02
| #3 |
| /// AVZ-Toolkit Guru | Myspace Virus Ergebnis ist da:
__________________Das angebliche WindowsMediaPlugin.exe ist ein TR/Spy.Agent.qhc. Ändere alle deine Passwörter und ZugangsAccounts von einem def. sauberen PC aus!
__________________ |
|
12.01.2009, 16:19
| #4 |
| | Myspace Virus vielen dank für die schnelle hilfe! hab die schritte befolgt, hier der rapidsharelink der avz_sysinfo.zip http://rapidshare.com/files/182458397/avz_sysinfo.zip.html dann werd ich mich mal an die arbeit machen und meine passwörter ändern. zwar etwas umständlich am alten pc mit 256mb ram, aber muss sein  |
|
12.01.2009, 22:05
| #5 | |
| /// AVZ-Toolkit Guru | Myspace Virus Der Rechner ist höchstgradig kompromitiert! Falls du online Banking betreiben solltest benachrichtige deine Bank. Und ändere auf jeden Fall jedes einzelne Passwort aller deiner Internet Acc! Insb. die bei denen es um Geld oder Informationen geht: e-Mail, online-Banking, e-Bay usw. Folgende erste Hilfe soll es dir nur ermöglichen ohne zu große Komplikationen neuaufzusetzten! Der Rechner ist hinterher keines Falls sauber! Führe mit AVZ folgendes Skript aus (File -> Custom Skript): Code:
ATTFilter begin
SetAVZGuardStatus(True);
SearchRootkit(true,true);
TerminateProcessByName('c:\windows\system\explorer.exe');
TerminateProcessByName('c:\programme\winamp remote\bin\orbtray.exe');
TerminateProcessByName('c:\programme\winamp remote\bin\orb.exe');
DelBHO('{92780B25-18CC-41C8-B9BE-3C9C571A8263}');
DelBHO('{2670000A-7350-4f3c-8081-5663EE0C6C49}');
StopService('oreans32');
SetServiceStart('oreans32', 4);
DeleteService('oreans32');
TerminateProcessByName('c:\programme\winamp\winampa.exe');
TerminateProcessByName('c:\programme\cdburnerxp\nmsaccessu.exe');
TerminateProcessByName('c:\programme\syncrosoft\pos\h2o\cledx.exe');
BC_DeleteFile('C:\WINDOWS\KIZNEU~1.SCR');
BC_DeleteFile('c:\programme\winamp remote\bin\orb.exe');
BC_DeleteFile('c:\windows\system\explorer.exe');
BC_DeleteFile('c:\programme\winampremote\bin\orbtray.exe');
BC_DeleteFile('C:\WINDOWS\system32\drivers\oreans32.sys');
BC_ImportDeletedList;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.
Bereinigung nach einer Kompromitierung Hinweis: Die Analyse eines Virenscanners ist völlig unzureichend, um Aussagen über das System zu machen, kann aber als Hilfsmittel eingesetzt werden, sofern er von einem sauberen System aus betrieben wird. Leider tauchen momentan immer mehr Schädlinge auf die sich in den Master Boot Record, kurz MBR einschreiben. Dieser wird bei einer herkömmlichen Neuinstallation nicht komplett überschrieben und stellt somit ein erhebliches Sicherheitsrisiko dar. Vor der Neuinstallation sollte daher sichergegangen werden, dass der MBR in Ordnung ist. Master Boot Record überprüfen: Lade dir die mbr.exe von GMER auf den Desktop und führe die Datei aus. Sollte ein MBR Rootkit gefunden worde sein, das wird im log durch den Ausdruck Zitat:
Downloade dir dafür die mbr.bat.txt von BataAlexander und speichere sie neben der mbr.exe auf dem Desktop.Nachdem das O.k. durch deinen Helfer gegeben wurde kannst du mit der sicheren Neuinstallation beginnen. Lies dir bitte bevor du dich an die Arbeit machst folgende Anleitung ganz genau durch:Nachdem du neuaufgesetzt hast musst du unbedingt alle Passwörter und Zugangsaccounts ändern!!!
__________________ - Sämtliche Hilfestellungen im Forum werden ohne Gewährleistung oder Haftung gegeben - Geändert von undoreal (12.01.2009 um 22:20 Uhr) |
|
13.01.2009, 16:06
| #6 |
| | Myspace Virus gut, das klingt sehr schlecht... mal angenommen ich hätte eine neue festplatte hier, würde diese statt der alten austauschen, gibts da irgendeine art wie die neue festplatte wieder infiziert werden könnte? weil das hört sich alles ziemlich so an, als gäbe es beinahe keine aussicht, auf ein sicheres system.. die daten, die mir zur zeit am wichtigsten sind hab ich ZUM GLÜCK ein paar stunden bevor ich den virus hatte auf einem usbstick gespeichert! onlinebanking betreibe ich zum glück nicht, habe auch sonst keine wichtigen accounts, meine accounts von ein paar foren + myspace interessiert wohl niemandem |
|
13.01.2009, 19:41
| #7 | |||
| /// AVZ-Toolkit Guru | Myspace VirusZitat:
Zitat:
Zitat:
Das ist nicht nötig. Formatiere sie nach Anleitung und setzte ebenfalls nach Anleitung neu auf. Danach ist die Platte definitiv sauber!
__________________ - Sämtliche Hilfestellungen im Forum werden ohne Gewährleistung oder Haftung gegeben - |
|
13.01.2009, 20:06
| #8 | |
| | Myspace VirusZitat:
ich dachte, der virus kam erst, als ich auf die myspaceseite ging, oder war es womöglich ein anderer grund? der virus machte sich nämlich genau in dem moment, als ich auf die seite kam bemerkbar. sind auch nur 7 mp3`s, die worddokumente kann ich ja ausdrucken. tut mir leid, aber bin ziemlich planlos auf dem gebiet. dateien verschicken sollte ich jetzt wohl auch nicht, bis ich formatiert habe mbr.log sieht anscheinend gut aus, glück gehabt. Code:
ATTFilter Stealth MBR rootkit detector 0.2.4 by Gmer, *ttp://www.gmer.net
device: opened successfully
user: MBR read successfully
kernel: MBR read successfully
user & kernel MBR OK
nochmal vielen dank für die schnelle und vor allem sehr gut erklärte hilfe! |
|
13.01.2009, 21:12
| #9 | |||
| /// AVZ-Toolkit Guru | Myspace VirusZitat:
Zitat:
Zitat:
MBR ist in Ordnung. Dann kannst du weitermachen.
__________________ - Sämtliche Hilfestellungen im Forum werden ohne Gewährleistung oder Haftung gegeben - |
|
| Themen zu Myspace Virus |
| adobe, alt+tab, antivir, auf einmal, avira, bho, bildschirm, cdburnerxp, einstellungen, explorer, firefox, google, hijack, hijackthis, hkus\s-1-5-18, internet, internet explorer, logfile, mozilla, object, plug-in, prozess, rundll, senden, software, system, taskmanager, virus, windows, windows xp |
Linear-Darstellung
