|
Intrustion Detection Alarm von Kaspersky --> Bildschirm Flackert
(https://www.trojaner-board.de/79554-intrustion-detection-alarm-kaspersky-bildschirm-flackert.html)
Intrustion Detection Alarm von Kaspersky --> Bildschirm Flackert Hallo, ich nutze Win XP SP3 mit Kaspersky Antivirus 6.0. Vor 2 - 3 Wiochen hatte es mich erwischt und ich hatte einen Virus / Trojaner auf meinem Rechenr. Er war betiltelt als "f.bat" und hatte sich immer wieder selbst gestartet. Ich bin nach einfach einer Anleitung zur beseitigung unter anderem auch hier gefolgt. Entfernt habe ich das ganze dann mit Malwarebytes Anti-Malware. Hier der Report: Code: Malwarebytes' Anti-Malware 1.41Jetzt ist es seit einigen Tagen so, dass mir immer sporadisch vom Anti-Hacker (Kaspersky) eine Intrusion Warnung angezeigt wird. Jetzt auch gerade beim eröffnen dieses Themas: (19.11.2009 04:37:07 Intrusion.Generic.TCP.Flags.Bad.Combine.attack 85.13.143.91 TCP 2182). Normalerweise lehnt Kaspersky diese immer ab aber da diese Meldungen unter anderem auch während ich Online Poke spiele kommen und ich manchmal dann keine Verbindung mehr habe, habe ich letztens auch ein paar erlaubt. Wäre ja alles nicht so wild, aber nun habe ich heute wieder einen Intrusion Versuch erlaubt und dann hat mein Bildschrim angefangen zu flackern. Das pssiert jetzt auch während ich Poker spiele, und eine Intusion Meldung komme und ich diese auch nicht erlaube. Hier einfach mal noch 2 Meldungen die gespeichert sind: 19.11.2009 04:25:27 Intrusion.Generic.TCP.Flags.Bad.Combine.attack 93.191.193.6 TCP 34597 19.11.2009 04:20:34 Intrusion.Generic.TCP.Flags.Bad.Combine.attack 212.77.189.194 TCP 16144 Letstens habe ich dann nochmal einen Sxan mit Anti-Malware gemacht, nachdem die erste meldung über eine Intusion kam. Hier der Report: Code: Malwarebytes' Anti-Malware 1.41Was kann ich denn machen? Ist jemand auf meinem System? Wie soll ich am besten vorgehen? Hier sind auch nochmal die Logs von HijackThis http://rapidshare.com/files/309046578/info.txt http://rapidshare.com/files/309047148/log.txt Vielen Dank |
Kannst Du die Logs bitte woanders hochladen? Bei rapidshare als Free-User brauchts ewig bis man sich das laden darf :balla: Es gibt hier im TB auch eine Anhangsfunktion. Besser als rapidshare finde ich aber file-upload.net. |
Hier nochmal die 2 Files: http://www.file-upload.net/download-2022975/info.txt.html http://www.file-upload.net/download-2022978/log.txt.html |
Ist das zufällig ein Bürorechner? Ich seh da rel. viel versicherungsrelevante Software drauf oder nutzt Du den PC nur privat für Deine Angelegenheiten wie Versicherung und so? :confused: |
Bin Vermittler, daher auch einiges an Versicherungssoftware installiert. Aber es ist ein Laptop, sorry hatte ich nicht erwähnt. Hab aber auch gedacht, das dass nicht relevant ist. Hab ein HP EliteBook 6930p. Hoffe das hilft. |
Hallo, wenn Du da beruflich drauf angewiesen bist, musst Du auf jeden Fall an regelmäßige Backups denken, oder ist bei Dir da schon so eine Lösung, denkst Du daran immer? Vllt auch mal überlegen, ob Du mit diesem "Business-Notebook" unbedingt private Sachen machen musst, private Dinge nicht auf ein separates günstiges Notebook oder "Billig"-Desktop-PC verlagerst. Auf jeden Fall diese Regeln immer einhalten: 1) Sei misstrauisch im Internet und v.a. bei unbekannten E-Mails, sei vorsichtig bei der Herausgabe persönlicher Daten!! 2) Halte Windows und alle verwendeten Programme immer aktuell 3) Führe regelmäßig Backups auf externe Medien durch 4) Arbeite mit eingeschränkten Rechten 5) Nutze sichere Programme wie zB Opera oder Firefox zum Surfen statt den IE, zum Mailen Thunderbird statt Outlook Express - E-Mails nur als reinen text anzeigen lassen Alles noch genauer erklärt steht hier => Kompromittierung unvermeidbar? Danach würde ich vorschlagen, Du machst einen Durchlauf mit Combofix, Du solltest aber, weil Du ja beruflich auf das Teil angewiesen bist, ein Image des jetzigen Zustands, so dass Du auf jeden Fall zu dem jetzigen Zeitpunkt wieder zurück kannst. Geht mit Programmen wie zB DriveSnapshot oder Acronis TrueImage oder auch mit kostenlosen Tools wie CloneZilla. Am einfachsten und unkompliziertesten ist es aber mit Acronis, kostet aber auch ein wenig, das Geld ist aber in Backup-Software sehr sinnvoll angelegt. Wenn das Backup dann auf eine externe Platte oder so erfolgt ist: ComboFix Ein Leitfaden und Tutorium zur Nutzung von ComboFix
http://saved.im/mtm0nzyzmzd5/cofi.jpg
Combofix darf ausschließlich ausgeführt werden, wenn ein Kompetenzler dies ausdrücklich empfohlen hat! |
Hallo cosinus, erstmal vielen Dank für deine Antwort. Habe alles genaustens befolgt und nun ist hier das log (musste es in 2 Antworten schreiben wegen der länge): Code: ComboFix 09-11-22.04 - *** 23.11.2009 3:45.1.2 - x86 |
... Code: (((((((((((((((((((((((((((( Autostartpunkte der Registrierung ))))))))))))))))))))))))))))))))))))))))Gruß Tarik |
Rootkitbefall seh ich nicht, keine Anzeichen. Wie ist es um das Notebook nun bestellt? Wie sieht Dein Backup-Konzept nun aus? |
Hey, also Laptop hat erst gestern Abend wieder Intrusions gemeldet :pukeface: . So ca. alle 3 Std. kommt eine Meldung. Geflackert hat der Bildschrim nur noch einmal, aber die Verbindung ist nachdem die Medlung kommt für ca. 30 Sec. nicht mehr nutzbar. Das äußert sich darin, dass wenn ich ne Webadresse eingebe ich die Medung bekomme, dass ich nicht connected bin oder die Adresse nicht verfügbat sei... Dann warte ich kurz oder versuch es nochmal und dann klappt es wieder. Bin ich aber immer noch. Noch eine zusätzliche Info, ich gebe über UMTS ins Netz, aber ich denke mal, dass macht nicht wirklich n Unterschied. In meinen Firewall-Regeln habe ich die Folgende gefunden, glaube aber die ist ok so, da es sich um nen vnc client handelt. Aber wieso steckt der in einem "TEMP" Verzeichnis? Code: [winvnc.exe]Allerdings gibt es ein Image bei Uns in der Zentrale so, das dass ganze System im Ausgangszustand ist. Heißt für mich allerdings einschicken und locker 1 Woche ohne Laptop und so versuche ich das so zu Managen. Denkst du, dass meine Daten aktuell ausgepäht werden? Passwörter im PW-Manager z.B? Oder PW die ich eingebe? Ich hatte noch nie so nervige Warnungen... Was ist denn jetzt die Beste vorgehensweise? Kann ich da selbst noch was tun, oder muss ich das gute Stück einschicken? Also das mit Windoof ist ja echt verflixt :killpc: . Mit meinem Ubuntu gibts so Probleme net... Vielen Dank für deine Hilfe Gruß Tarik |
Zitat:
Zitat:
Leer mal bitte alle Temppfade mit dem CCleaner und überprüfe ob das dann auch weg ist. Zitat:
|
Hey, also das die Angriffe nicht vom Notebook stammen ist mir schon klar. Aber allerdings bekomme ich diese Meldungen erst seit ein Paar Wochen. Das Notebook habe ich allerdings schon seit einem Jahr. Ich werde jetzt allerdings, wie von dir empfohlen erst mal die Windows Firewall nutzen und mal schauen was dann passiert. WinVNC liegt nicht mehr in dem "Temp" Verzeichnis sondern es ist wirklich nur noch die Regel vorhanden, allerdings kann ich mich nicht erinnern das ganze dort installiert zu, bzw. überhaupt! Das ganze wundert mich schon... Besonders da ich meine ganzen Firewallregeln vor 4 Tagen gelöscht habe. Und nur noch Regeln einzeln bestätigt habe um die Verbindungen zu zulassen, bzw. um dann Regeln zu erstellen. Ich habe den Laptop geleast. Ist also rein rechtlich nicht meiner. Allerdings darf ich damit so alles machen was ich will... Gruß Tarik |
| Alle Zeitangaben in WEZ +1. Es ist jetzt 10:41 Uhr. |
Copyright ©2000-2025, Trojaner-Board