Trojaner-Board - svchost.exe greift auf passwort gesichertes PDF (und mehr?) zu

Trojaner-Board (https://www.trojaner-board.de/)

- Log-Analyse und Auswertung (https://www.trojaner-board.de/log-analyse-auswertung/)

- - svchost.exe greift auf passwort gesichertes PDF (und mehr?) zu (https://www.trojaner-board.de/135809-svchost-exe-greift-passwort-gesichertes-pdf-mehr.html)

Sieht ok aus. Wir sollten fast durch sein. Mach bitte zur Kontrolle einen Vollscan mit Malwarebytes Anti-Malware (MBAM) (falls du vor kurzem erst einen Vollscan gemacht hast, reicht auch ein Quickscan (spart Zeit), das dann mir bitte auch mitteilen)

Hinweis: Denk bitte vorher daran, Malwarebytes Anti-Malware über den Updatebutton zu aktualisieren!

Anschließend über den OnlineScanner von ESET eine zusätzliche Meinung zu holen ist auch nicht verkehrt:

ESET Online Scanner

Hier findest du eine bebilderte Anleitung zu ESET Online Scanner
Lade und starte Eset Online Scanner
Setze einen Haken bei Ja, ich bin mit den Nutzungsbedingungen einverstanden und klicke auf Starten.
Aktiviere die "Erkennung von eventuell unerwünschten Anwendungen" und wähle folgende Einstellungen.
Klicke auf Starten.
Die Signaturen werden heruntergeladen, der Scan beginnt automatisch.
Klicke am Ende des Suchlaufs auf Fertig stellen.
Schließe das Fenster von ESET.
Explorer öffnen.
C:\Programme\Eset\EsetOnlineScanner\log.txt (bei 64 Bit auch C:\Programme (x86)\Eset\EsetOnlineScanner\log.txt) suchen und mit Deinem Editor öffnen (bebildert).
Logfile hier posten.
Deinstallation: Systemsteuerung => Software / Programme deinstallieren => Eset Online Scanner V3 entfernen.
Manuell folgenden Ordner löschen und Papierkorb leeren => C:\Programme\Eset

Sollte ich bei Funden diese dann entfernen, wie es in der Anleitung steht oder erstmal drauf lassen?

Und mir fällt gerade auf, dass jetzt ab und an der Sound kommt, als hätte ich ein USB-Gerät entfernt. Woher könnte das kommen?

Die Fund emit MBAM löschen, ESET nix löschen nur Log posten

MBAM-Log:

Code:

Malwarebytes Anti-Malware 1.75.0.1300

www.malwarebytes.org
 

Datenbank Version: v2013.06.07.05
 

Windows 7 Service Pack 1 x64 NTFS

Internet Explorer 10.0.9200.16576

Fabian :: FABIAN-PC [Administrator]
 

07.06.2013 15:39:18

mbam-log-2013-06-07 (15-39-18).txt
 

Art des Suchlaufs: Vollständiger Suchlauf (C:\|)

Aktivierte Suchlaufeinstellungen: Speicher | Autostart | Registrierung | Dateisystem | Heuristiks/Extra | HeuristiKs/Shuriken | PUP | PUM

Deaktivierte Suchlaufeinstellungen: P2P

Durchsuchte Objekte: 525779

Laufzeit: 1 Stunde(n), 1 Minute(n), 41 Sekunde(n)
 

Infizierte Speicherprozesse: 0

(Keine bösartigen Objekte gefunden)
 

Infizierte Speichermodule: 0

(Keine bösartigen Objekte gefunden)
 

Infizierte Registrierungsschlüssel: 0

(Keine bösartigen Objekte gefunden)
 

Infizierte Registrierungswerte: 0

(Keine bösartigen Objekte gefunden)
 

Infizierte Dateiobjekte der Registrierung: 0

(Keine bösartigen Objekte gefunden)
 

Infizierte Verzeichnisse: 0

(Keine bösartigen Objekte gefunden)
 

Infizierte Dateien: 1

C:\Program Files (x86)\Need for Speed(TM) Hot Pursuit\NFSHP_Activator.exe (RiskWare.Tool.CK) -> Erfolgreich gelöscht und in Quarantäne gestellt.
 

(Ende)

Und ESET:

Code:

ESETSmartInstaller@High as downloader log:

all ok

# version=8

# OnlineScannerApp.exe=1.0.0.1

# OnlineScanner.ocx=1.0.0.6920

# api_version=3.0.2

# EOSSerial=3af7f39f5a7fcd4ab228c953b33f444a

# engine=14021

# end=stopped

# remove_checked=false

# archives_checked=true

# unwanted_checked=false

# unsafe_checked=false

# antistealth_checked=true

# utc_time=2013-06-07 05:42:47

# local_time=2013-06-07 07:42:47 (+0100, Mitteleuropäische Sommerzeit)

# country="Germany"

# lang=1033

# osver=6.1.7601 NT Service Pack 1

# compatibility_mode=1289 16777213 100 96 9600565 129621539 0 0

# compatibility_mode=5893 16776573 100 94 27877 122256817 0 0

# scanned=178849

# found=1

# cleaned=0

# scan_time=8947

sh=0000000000000000000000000000000000000000 ft=- fh=0000000000000000 vn="a variant of Win32/Packed.VMProtect.AAD trojan" ac=I fn="C:\Users\Fabian\Documents\Downloads\NFS HP.iso"

ESETSmartInstaller@High as downloader log:

all ok

# version=8

# OnlineScannerApp.exe=1.0.0.1

# OnlineScanner.ocx=1.0.0.6920

# api_version=3.0.2

# EOSSerial=3af7f39f5a7fcd4ab228c953b33f444a

# engine=14023

# end=stopped

# remove_checked=false

# archives_checked=true

# unwanted_checked=false

# unsafe_checked=false

# antistealth_checked=true

# utc_time=2013-06-08 08:27:56

# local_time=2013-06-08 10:27:56 (+0100, Mitteleuropäische Sommerzeit)

# country="Germany"

# lang=1033

# osver=6.1.7601 NT Service Pack 1

# compatibility_mode=1289 16777213 100 96 9653674 129674648 0 0

# compatibility_mode=5893 16776573 100 94 80986 122309926 0 0

# scanned=12226

# found=0

# cleaned=0

# scan_time=28028

ESETSmartInstaller@High as downloader log:

all ok

# version=8

# OnlineScannerApp.exe=1.0.0.1

# OnlineScanner.ocx=1.0.0.6920

# api_version=3.0.2

# EOSSerial=3af7f39f5a7fcd4ab228c953b33f444a

# engine=14023

# end=finished

# remove_checked=false

# archives_checked=true

# unwanted_checked=false

# unsafe_checked=false

# antistealth_checked=true

# utc_time=2013-06-08 11:20:56

# local_time=2013-06-08 01:20:56 (+0100, Mitteleuropäische Sommerzeit)

# country="Germany"

# lang=1033

# osver=6.1.7601 NT Service Pack 1

# compatibility_mode=1289 16777213 100 96 9667654 129685028 0 0

# compatibility_mode=5893 16776573 100 94 91366 122320306 0 0

# scanned=308097

# found=1

# cleaned=0

# scan_time=10083

sh=0000000000000000000000000000000000000000 ft=- fh=0000000000000000 vn="a variant of Win32/Packed.VMProtect.AAD trojan" ac=I fn="C:\Users\Fabian\Documents\Downloads\NFS HP.iso"

Zitat:

C:\Users\Fabian\Documents\Downloads\NFS HP.iso
C:\Program Files (x86)\Need for Speed(TM) Hot Pursuit\NFSHP_Activator.exe (RiskWare.Tool.CK)

Warum musst du so einen Crack-/Keygenmist verwenden?! :balla: :pfui:

Nutze den Rechner nicht allein. Interessant, was sich so findet.. :twak: Sorry..
Sollte ich das Programm deinstallieren bzw. die Datei löschen?

Ist dir klar, was derartige Cracks/Keygens eigentlich bedeuten? Das ist illegale Software, normalerweise bereinigen wir solche Rechner nicht auf denen wir soetwas finden. Dann ist formatieren und Neuinstallation angesagt.

Zitat:

C:\Program Files (x86)\Need for Speed(TM) Hot Pursuit

Lösch diesen Crackmist und auch das Spiel deinstallieren

Ja das ist mir klar. Auch dass ich verantwortlich bin für das, was auf meinem Rechner ist, wenn auch nicht von mir installiert/geladen. Mein Umgang mit meinem Rechner, was das Ausleihen angeht hat sich eh schon geändert, seit ich sehe was so damit passiert. -.-
Meinst du ich sollte komplett formatieren? Ist eigentlich etwas sehr aufwändig und wäre sehr ärgerlich für einen Schaden den jemand anderes verursacht hat.

EDIT: Sehe gerade, dass noch etwas unter dem Zitat stand. Deinstalliere und lösche nun erstmal!

Also die Datei und das Spiel sind jetzt weg!

Ist das Problem nun dadurch gelöst?
Wenn ja, wie werde ich die ganzen Scanner wieder los?

Sieht soweit ok aus :daumenhoc

Wegen Cookies und anderer Dinge im Web: Um die Pest von vornherein zu blocken (also TrackingCookies, Werbebanner etc.) müsstest du dir mal sowas wie MVPS Hosts File anschauen => Blocking Unwanted Parasites with a Hosts File - sinnvollerweise solltest du alle 4 Wochen mal bei MVPS nachsehen, ob er eine neue Hosts Datei herausgebracht hat.

Info: Cookies sind keine Schädlinge direkt, aber es besteht die Gefahr der missbräuchlichen Verwendung (eindeutige Wiedererkennung zB für gezielte Werbung o.ä. => HTTP-Cookie )

Ansonsten gibt es noch gute Cookiemanager, Erweiterungen für den Firefox zB wäre da CookieCuller
Wenn du aber damit leben kannst, dich bei jeder Browsersession überall neu einzuloggen (zB Facebook, Ebay, GMX, oder auch Trojaner-Board) dann stell den Browser einfach so ein, dass einfach alles beim Beenden des Browser inkl. Cookies gelöscht wird.

Ist dein System nun wieder in Ordnung oder gibt's noch andere Funde oder Probleme?

Die beiden Sachen werde ich mir mal in Ruhe anschauen und denke auch installieren.
Sonst ist mir an dem PC nichts mehr aufgefallen. Vielen Dank dir auf jeden Fall! :applaus:
Eine Frage aber noch, gibt es Dinge, die ich beachten sollte bei der Deinstallation von der ganzen Scan-Software etc.?

Dann wären wir durch! :daumenhoc

Falls du noch Lob oder Kritik loswerden möchtest => Lob, Kritik und Wünsche - Trojaner-Board

Die Programme, die hier zum Einsatz kamen, können alle wieder runter.

Combofix entfernen (nur relevant wenn es hier benutzt wurde!) : Start/Ausführen (Tastenkombination WIN+R), dort den Befehl combofix /uninstall eintippen und ausführen

Mit Hilfe von OTL kannst du auch viele andere Tools entfernen: Starte dazu einfach OTL und klicke auf Bereinigung.
Dies wird die meisten Tools entfernen, die wir zur Bereinigung benötigt haben. Sollte etwas bestehen bleiben, bitte mit Rechtsklick --> Löschen entfernen.

Malwarebytes zu behalten ist zu empfehlen. Kannst ja 1x im Monat damit einen Vollscan machen, aber immer vorher ans Update denken.

Bitte abschließend die Updates prüfen, unten mein Leitfaden dazu. Um in Zukunft die Aktualität der installierten Programme besser im Überblick zu halten, kannst du zB Secunia PSI verwenden.
Für noch mehr Sicherheit solltest Du nach der beseitigten Infektion auch möglichst alle Passwörter ändern.

Microsoftupdate
Windows XP:Besuch mit dem IE die MS-Updateseite und lass Dir alle wichtigen Updates installieren.
Windows Vista/7: Start, Systemsteuerung, Windows-Update

PDF-Reader aktualisieren
Ein veralteter AdobeReader stellt ein großes Sicherheitsrisiko dar. Du solltest daher besser alte Versionen vom AdobeReader über Systemsteuerung => Software bzw. Programme und Funktionen deinstallieren, indem Du dort auf "Adobe Reader x.0" klickst und das Programm entfernst. (falls du AdobeReader installiert hast)

Ich empfehle einen alternativen PDF-Reader wie PDF Xchange Viewer, SumatraPDF oder Foxit PDF Reader, die sind sehr viel schlanker und flotter als der AdobeReader.

Bitte überprüf bei der Gelegenheit auch die Aktualität des Flashplayers:
Prüfen => Adobe - Flash Player
Downloadlinks findest du hier => Browsers and Plugins - FilePony.de

Alle Plugins im Firefox-Browser kannst du auch ganz einfach hier auf Aktualität prüfen => https://www.mozilla.org/de/plugincheck

Natürlich auch darauf achten, dass andere installierte Browser wie zB Firefox, Opera oder Chrome aktuell sind.

Java-Update
Veraltete Java-Installationen sind ein großes Sicherheitsrisiko, daher solltest Du die alten Versionen deinstallieren. Beende dazu alle Programme (v.a. die Browser), klick danach auf Start, Systemsteuerung, Software (bzw. Programme und Funktionen) und deinstalliere darüber alle aufgelisteten Java-Versionen. Lad Dir danach von hier das aktuelle Java SE Runtime Environment (JRE) herunter und installiere es.

Perfekt! Das werde ich später dann alles mal in Angriff nehmen. Falls Probleme auftauchen sollte, melde ich mich.

Nochmals vielen Dank für deine Hilfe! =) und einen schönen sonnigen Tag!

Hi! Also bisher verhält sich der PC normal, zumindest so weit ich das mitbekomme, aber es wurde auch nichts mehr gefunden; also danke nochmal für die Hilfe!
Ich würde nur gerne jetzt meinen Account und den Thread hier löschen, nur kann ich nirgendwo finden wo es geht..

Wir löschen keine Threads....
Und wozu muss dein Account gelöscht werden? Nutze ihn einfach nicht mehr.