Hallo Allerseits,

Mein PC hängt zusammen mit noch zwei anderen Computern an einem Router von Netgear. Wir nutzen alle WinXP.
Neulich habe ich mir die berüchtigte "Windows Recovery Suite" eingefangen. Zurzeit boote ich nur noch mit Live-CDs (desinfec't bzw Ultimate-Boot-Disk). Anscheinend ist das Windows System dermaßen verseucht, dass ich von einer Bereinigung abgesehen habe und stattdessen Windows neu aufspielen möchte.

Jetzt zu meiner eigentlichen Frage: Ist es möglich, dass unser Netzwerk infiziert ist? Wenn ja, wie finde ich es heraus? Wie desinfiziere ich es?

Und noch eine Frage nebenbei: Ist es ungefährlich, von der Boot-Disk aus Passwörter zu ändern? Oder sollte man das besser später mit dem ganz frischen System machen?

Vorab schonmal Danke für eure Hilfe ;-)

Hallo und

Von der Bootdisk aus kannst du alle Passwörter ändern.
Erstell mal Logs - siehe unten - von EINEM Rechner, dem infizierten PC. Bitte nicht Logs von mehreren Rechnern hier rein posten, pro PC ein Strang. mach erstmal nur einen PC und später können wir bei Bedarf die anderen in einem separaten Strang analysieren.


Bitte routinemäßig einen Vollscan mit Malwarebytes machen und Log posten.
Denk daran, dass Malwarebytes vor jedem Scan manuell aktualisiert werden muss!

Falls Logs aus älteren Scans mit Malwarebytes vorhanden sind, bitte auch davon alle posten!

Danach OTL:

Systemscan mit OTL

Lade Dir bitte OTL von Oldtimer herunter und speichere es auf Deinem Desktop

• Doppelklick auf die OTL.exe
• Vista User: Rechtsklick auf die OTL.exe und "als Administrator ausführen" wählen
• Oben findest Du ein Kästchen mit Output. Wähle bitte Minimal Output
• Unter Extra Registry, wähle bitte Use SafeList
• Klicke nun auf Run Scan links oben
• Wenn der Scan beendet wurde werden 2 Logfiles erstellt
• Poste die Logfiles hier in den Thread.

Danke für die schnelle Antwort.
Gut hier erstmal die Malwarebytes-Logs.
Zu MBAM is außerdem zu sagen, dass das Programm bereits vor dem Befall bzw vor den auftauchenden Symptomen installiert war. Ich hab dann versucht, MBAM im abgesichterten Modus mit Netzwerktreibern zu aktualisieren, vorher rkill gemacht. Bei der Aktualisierung trat folgendes Problem auf: Sobald der Aktualisierungsbalken voll war hat er wieder von vorne angefangen, zu laden. Das auch so 5-6 mal, dann kam die Meldung "Aktualisieren nicht möglich, Zugriff verweigert." .
Dann hab ich mir einen MBAM-Installer von dem Live-System aus heruntergeladen und es mit dieser "neuen" Version noch mal versucht. Damit lief dann auch alles wunderbar, ziemlich viel Malware gefunden. Diese habe ich dann erstmal in Quarantäne gesteckt.
Im Anhang sind auch noch Logs von SuperAntiSpyware. Die ließen sich erst nicht hochladen, dann hab ich kurzerhand die Endung von ".log" in ".txt" umbenannt, denke das dürfte keine Probleme bereiten. Die Malware, die SUPERAntiSpyware gefunden hat, hab ich auch in Quarantäne gesteckt.
Die OTL-files kommen, sobald sie fertig sind.
Nichtsdestotrotz werde ich das System neu aufspielen, wenn alles geklärt ist. ;-)


PS: Nochmal die Frage: was könnt ihr mir über mögliche Risiken im Netzwerk sagen? Von den restlichen Rechnern war noch keiner seit dem Befall an.

Hier die OTL-Files.
Hab OTL auf D:/ ausgeführt, hoffe dass das nicht falsch war ...

C:\eXplorer.exe (Worm.AutoRun) -> Not selected for removal.

Warum entfernst du den nicht?

Die eXplorer.exe ist die umbenannte rkill.exe.
hxxp://www.bleepingcomputer.com/download/anti-virus/rkill

Zitat:"This renamed copy may trigger an alert from MBAM. It can be ignored and is safe."

Ok, dachte es wär ein Schädling.

Mach einen OTL-Fix, beende alle evtl. geöffneten Programme, auch Virenscanner deaktivieren (!), starte OTL und kopiere folgenden Text in die "Custom Scan/Fixes" Box (unten in OTL): (das ":OTL" muss mitkopiert werden!!!)

:OTL
O32 - HKLM CDRom: AutoRun - 1
O32 - AutoRun File - [2009.02.26 18:48:29 | 000,000,047 | -H-- | M] () - C:\AUTOEXEC.BAT -- [ NTFS ]
O33 - MountPoints2\{1d890796-fafd-11df-97fc-0018f30772fb}\Shell\AutoRun\command - "" = E:\Menu.exe
[2011.03.25 01:21:22 | 000,000,392 | -H-- | M] () -- C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\18210612-INFECTED
[2011.03.25 01:18:45 | 000,000,823 | -H-- | M] () -- C:\Dokumente und Einstellungen\Mathieu01\Desktop\Windows Recovery.lnk
@Alternate Data Stream - 304 bytes -> C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\TEMP:05EE1EEF

:Commands
[purity]
[resethosts]
[emptytemp]
         

Klick dann oben links auf den Button Fix!
Das Logfile müsste geöffnet werden, wenn Du nach dem Fixen auf ok klickst, poste das bitte. Evtl. wird der Rechner neu gestartet.

Die mit diesem Script gefixten Einträge, Dateien und Ordner werden zur Sicherheit nicht vollständig gelöscht, es wird eine Sicherheitskopie auf der Systempartition im Ordner "_OTL" erstellt.