Trojaner-Board - Email-Account versendet selbstständig Spam

Trojaner-Board (https://www.trojaner-board.de/)

- Log-Analyse und Auswertung (https://www.trojaner-board.de/log-analyse-auswertung/)

- - Email-Account versendet selbstständig Spam (https://www.trojaner-board.de/113473-email-account-versendet-selbststaendig-spam.html)

Email-Account versendet selbstständig Spam

Hallo verehrte Kämpfer an der Viren-Front,

ich habe folgendes Problem:
Gestern hat mein aol.com Emailaccount selbstständig Spam-Mails an mein Adressbuch gesendet. Ein einloggen in den Account war dann nicht mehr möglich, da von AOL gesperrt und eine Freischaltung nicht mehr funktionierte.

Habe dann einen Scan mit Avira am Laptop laufen lassen. Ergebnis waren 15 Meldungen (im Anhang). Gefundene Dateien wurden vom Programm in Quarantäne verschoben und dann anschließend von mir gelöscht über Avira.

Anschließend habe ich am nicht infiziertem Rechner alle wichtigen Passwörter geändert.

Bevor mir der Email-Fehler auffiel, habe ich mich auf dem mutmaßlich infizierten Rechner beim Online-Banking eingeloggt. Beim Versuch das Passwort dort zu ändern, kam ich im Anschluss mit meinen Anmeldedaten nicht rein.
Account wurde sofort telefonisch gesperrt, Buchungen wurden bis heute mittag keine vorgenommen. Meine Beraterin hat aber im System auch nur meinen Zugriff von nachmittags und den LogIn-Versuch zum ändern des PW im System gehabt. Keine vorhergehende Änderung des PW von dritter Seite. Kann daher nicht zu 100% sagen, ob ich mich da nicht evtl in der Hektik vertippt habe und der Acc dann dicht war.

Logs nach Anweisung im Anhang.

Über Hilfe würde ich mich sehr freuen.
Bis auf den geplätteten AOL-Account, den ich mangels Support wohl abschreiben kann, ist bislang kein Schaden entstanden. Natürlich würde ich aber meinen Laptop gern wieder guten Gewissens nutzen können, ohne Angst vor Keyloggern o.ä.

Beste Grüße und danke!

Bitte erstmal routinemäßig einen Vollscan mit malwarebytes machen und Log posten. =>ALLE lokalen Datenträger (außer CD/DVD) überprüfen lassen!
Denk daran, dass Malwarebytes vor jedem Scan manuell aktualisiert werden muss! Außerdem müssen alle Funde entfernt werden.

Falls Logs aus älteren Scans mit Malwarebytes vorhanden sind, bitte auch davon alle posten!

ESET Online Scanner

Hier findest du eine bebilderte Anleitung zu ESET Online Scanner
Lade und starte Eset Online Scanner
Setze einen Haken bei Ja, ich bin mit den Nutzungsbedingungen einverstanden und klicke auf Starten.
Aktiviere die "Erkennung von eventuell unerwünschten Anwendungen" und wähle folgende Einstellungen.
Klicke auf Starten.
Die Signaturen werden heruntergeladen, der Scan beginnt automatisch.
Klicke am Ende des Suchlaufs auf Fertig stellen.
Schließe das Fenster von ESET.
Explorer öffnen.
C:\Programme\Eset\EsetOnlineScanner\log.txt (bei 64 Bit auch C:\Programme (x86)\Eset\EsetOnlineScanner\log.txt) suchen und mit Deinem Editor öffnen (bebildert).
Logfile hier posten.
Deinstallation: Systemsteuerung => Software / Programme deinstallieren => Eset Online Scanner V3 entfernen.
Manuell folgenden Ordner löschen und Papierkorb leeren => C:\Programme\Eset

Bitte alles nach Möglichkeit hier in CODE-Tags posten.

Wird so gemacht:

[code] hier steht das Log [/code]

Und das ganze sieht dann so aus:

Code:

hier steht das Log

Hallo Arne,

danke für die Antwort. Anbei die Logs:

Malwarebytes:

Code:

Malwarebytes Anti-Malware (Test) 1.61.0.1400

www.malwarebytes.org
 

Datenbank Version: v2012.04.12.08
 

Windows 7 Service Pack 1 x86 NTFS

Internet Explorer 8.0.7601.17514

***:: WORKSTATION [Administrator]
 

Schutz: Aktiviert
 

13.04.2012 00:03:06

mbam-log-2012-04-13 (00-03-06).txt
 

Art des Suchlaufs: Vollständiger Suchlauf

Aktivierte Suchlaufeinstellungen: Speicher | Autostart | Registrierung | Dateisystem | Heuristiks/Extra | HeuristiKs/Shuriken | PUP | PUM

Deaktivierte Suchlaufeinstellungen: P2P

Durchsuchte Objekte: 411778

Laufzeit: 1 Stunde(n), 13 Minute(n), 45 Sekunde(n)
 

Infizierte Speicherprozesse: 0

(Keine bösartigen Objekte gefunden)
 

Infizierte Speichermodule: 0

(Keine bösartigen Objekte gefunden)
 

Infizierte Registrierungsschlüssel: 1

HKCU\SOFTWARE\Microsoft\Windows\CurrentVersion\Uninstall\William Hill Poker (PUP.Casino) -> Erfolgreich gelöscht und in Quarantäne gestellt.
 

Infizierte Registrierungswerte: 0

(Keine bösartigen Objekte gefunden)
 

Infizierte Dateiobjekte der Registrierung: 0

(Keine bösartigen Objekte gefunden)
 

Infizierte Verzeichnisse: 0

(Keine bösartigen Objekte gefunden)
 

Infizierte Dateien: 2

C:\Poker\William Hill Poker\_SetupPoker_c6838e_en.exe (PUP.Casino) -> Erfolgreich gelöscht und in Quarantäne gestellt.

C:\Westwood\AR2\Ra2.exe (Trojan.FakeAlert) -> Erfolgreich gelöscht und in Quarantäne gestellt.
 

(Ende)

ESET:

Code:

ESETSmartInstaller@High as downloader log:

all ok

# version=7

# OnlineScannerApp.exe=1.0.0.1

# OnlineScanner.ocx=1.0.0.6583

# api_version=3.0.2

# EOSSerial=e5801829c02da44b9a980db0b49344bf

# end=stopped

# remove_checked=false

# archives_checked=true

# unwanted_checked=true

# unsafe_checked=false

# antistealth_checked=true

# utc_time=2012-04-12 07:34:49

# local_time=2012-04-12 09:34:49 (+0100, Mitteleuropäische Sommerzeit)

# country="Germany"

# lang=1033

# osver=6.1.7601 NT Service Pack 1

# compatibility_mode=1797 16775165 100 94 102401 70792227 0 0

# compatibility_mode=4096 16777215 100 0 0 0 0 0

# compatibility_mode=5893 16776573 100 94 100349 85890162 0 0

# compatibility_mode=8192 67108863 100 0 159 159 0 0

# scanned=4196

# found=0

# cleaned=0

# scan_time=318

ESETSmartInstaller@High as downloader log:

all ok

esets_scanner_update returned -1 esets_gle=53251

# version=7

# OnlineScannerApp.exe=1.0.0.1

# OnlineScanner.ocx=1.0.0.6583

# api_version=3.0.2

# EOSSerial=e5801829c02da44b9a980db0b49344bf

# end=finished

# remove_checked=false

# archives_checked=true

# unwanted_checked=true

# unsafe_checked=false

# antistealth_checked=true

# utc_time=2012-04-12 09:54:01

# local_time=2012-04-12 11:54:01 (+0100, Mitteleuropäische Sommerzeit)

# country="Germany"

# lang=1033

# osver=6.1.7601 NT Service Pack 1

# compatibility_mode=1797 16775165 100 94 102766 70792592 0 0

# compatibility_mode=4096 16777215 100 0 0 0 0 0

# compatibility_mode=5893 16776573 100 94 100714 85890527 0 0

# compatibility_mode=8192 67108863 100 0 524 524 0 0

# scanned=189617

# found=0

# cleaned=0

# scan_time=8306

Seit gestern keine weiteren Probleme mit geklauten Passwörtern o.ä.

Vielen Dank und beste Grüße

Sören

Malwarebytes erstellt bei jedem Scanvorgang genau ein Log. Hast du in der Vergangenheit schonmal mit Malwarebytes gescannt?
Wenn ja dann stehen auch alle Logs zu jedem Scanvorgang im Reiter Logdateien. Bitte alle posten, die dort sichtbar sind.

Hi Arne,

ich war zuvor so schlau, einmal nur die Hälfte zu lesen in deiner Anleitung und nur den Quickscan auszuführen. Log dazu hier:

Code:

Malwarebytes Anti-Malware (Test) 1.61.0.1400

www.malwarebytes.org
 

Datenbank Version: v2012.04.12.08
 

Windows 7 Service Pack 1 x86 NTFS

Internet Explorer 8.0.7601.17514

Sören Heidekorn :: WORKSTATION [Administrator]
 

Schutz: Aktiviert
 

12.04.2012 20:58:27

mbam-log-2012-04-12 (20-58-27).txt
 

Art des Suchlaufs: Quick-Scan

Aktivierte Suchlaufeinstellungen: Speicher | Autostart | Registrierung | Dateisystem | Heuristiks/Extra | HeuristiKs/Shuriken | PUP | PUM

Deaktivierte Suchlaufeinstellungen: P2P

Durchsuchte Objekte: 233826

Laufzeit: 18 Minute(n), 55 Sekunde(n)
 

Infizierte Speicherprozesse: 0

(Keine bösartigen Objekte gefunden)
 

Infizierte Speichermodule: 0

(Keine bösartigen Objekte gefunden)
 

Infizierte Registrierungsschlüssel: 0

(Keine bösartigen Objekte gefunden)
 

Infizierte Registrierungswerte: 0

(Keine bösartigen Objekte gefunden)
 

Infizierte Dateiobjekte der Registrierung: 0

(Keine bösartigen Objekte gefunden)
 

Infizierte Verzeichnisse: 0

(Keine bösartigen Objekte gefunden)
 

Infizierte Dateien: 1

C:\Users\Sören Heidekorn\Downloads\SetupPoker_c6838e_en.exe (PUP.Casino) -> Erfolgreich gelöscht und in Quarantäne gestellt.
 

(Ende)

Wie ist das generell bzgl des Email-acc - wäre es genauso denkbar, das jemand auf die Daten bei AOL Zugriff bekommen hat und dann ohne Einfluss meines Rechners mein Konto erwischt hat?

Besten Dank und ein schönes Wochenende!

Gruß

Sören

Sieht noch bialng zimlich unauffällig aus.
Hast du mittlerweile das Passwort bzw. die Passwörter geändert und wenn ja wird das Konto immer noch angeblich missbraucht?

Hi Arne,

Danke fürs Prüfen!

PW sind schon seit drei Tagen geändert. Ist auch bislang nirgendwo was ungewöhnliches mehr passiert. Konto bei AOL ist immer noch gesperrt - Entsperrung funktioniert nicht und Support ist für die alten AOL-Konten auch nicht mehr zu kriegen. Habe das Konto nun gedanklich schon abgehakt.
Da seit einer Woche nix mehr passiert ist und auf meinem Rechner nix weiter auffällig ist, steigt die Hoffnung, dass das Problem irgendwo bei AOL lag.

Ich denke ich warte nun einfach mal ab, ob noch was kommt.

Schönen Sonntag noch

Gruß

Sören