spoolsv.exe im Tempverzeichnis
 

Moin,
nachdem ich nun auf etlichen Wegen versucht habe meinem Trojanerbefall Herr zu werden, gebe ich nun auf und erhoffe mir Hilfe.

Aufgefallen ist mir das vermeintliche Problem, als aus heiterm Himmel Viren/Trojaner (weiß leider nicht mehr welche) im TempVerzeichnis gefunden wurden. Ich dachte mir zunächst nicht viel dabei und rechnete damit, dass diese wohl von irgendeiner Website dorthingelangt sind - aber ja von AVG entdeckt und vernichtet wurden.
Misstrauisch wurde ich dann jedoch, als sich die Funde häuften. Ich schaute mir das TempVerzeichnis einmal an und fand dort eine spoolsv.exe und einen Odner "~tmp" welcher als SystemDatei markiert war und somit versteckt wurde. Darin befinden sich Ordner mit kryptischen Namen (zB lvprf07) mit Programmen, die unscheinbare Namen (zB csrss.exe) tragen.

Ich machte mich daran alle mir merkwürdig vorkommenden Prozesse zu beenden und löschte das TempVerzeichnis. Außerdem durchsuchte ich den Autostart. Leider tauchte der Ordner (~tmp) und die spoolsv.exe immer wieder auf. Dann überwachte ich den TempOrdner einmal mit dem Sysinternals Filemon und musste feststellen, dass ganz normale Anwendungen von mir (zB RocketDock oder UltraVNC) scheinbar auf den Ordner zugreifen.

Habe deswegen noch folgende Tools zur Hilfe genommen, leider hat bis heute nichts an dem Erscheinen vom Ordner geändert:

• AVG free komplett scan (keine Befunde)
• a-squared Free 3.5 Scan (Trace.Registry Einträge gefunden und entfernt)
• Blacklight Rootkit Scan (keine Befunde)
• Simply Super Software Torjan Remover (verdächte und versteckte Starteinträge gefunden und entfernt)

Nun habe ich auch einmal HijackThis darüberlaufen lassen:

Gerade bin ich durch das Forum noch auf Malwarebytes Anti-Malware gestoßen, dass werde ich auch noch einmal drüberlaufen lassen. Ansonsten dachte ich noch an einen Knoopcillin-Scan und im Notfall bleibt wohl nur eine Reinstallation vom System ... meine arme Zeit!:(

Hallo und :hallo:

Acker diese Punkte für weitere Analysen ab:

1.) Stell sicher, daß Dir auch alle Dateien angezeigt werden, danach folgende Dateien bei Virustotal.com auswerten lassen und alle Ergebnisse posten, und zwar so, daß man die der einzelnen Virenscanner sehen kann. Bitte mit Dateigrößen und Prüfsummen:
Die Tilden durch die vollständigen Namen ersetzen.

2.) Deaktiviere die Systemwiederherstellung, im Verlauf der Infektion wurden auch Malwaredateien in Wiederherstellungspunkten mitgesichert - die sind alle nun unbrauchbar, da ein Zurücksetzen des System durch einen Wiederherstellungspunkt das System wahrscheinlich wieder infizieren würde.

3.) Führe dieses MBR-Tool aus und poste die Ausgabe

4.) Blacklight und Malwarebytes Antimalware ausführen und Logfiles posten (Wächter Deines Virenscanner vor dem Scannen deaktivieren!)

5.) Führe Silentrunners nach dieser Anleitung aus und poste das Logfile (mit Codetags umschlossen), falls es zu groß sein sollte kannst Du es (gezippt) bei file-upload.net hochladen und hier verlinken.

6.) Mach auch ein Filelisting mit diesem script:

• Script abspeichern per Rechtsklick, speichern unter auf dem Desktop
• Doppelklick auf listing8.cmd auf dem Desktop
• nach kurzer Zeit erscheint eine listing.txt auf dem Desktop

Diese listing.txt z.B. bei File-Upload.net hochladen und hier verlinken, da dieses Logfile zu groß fürs Board ist.

7.) Poste ein neues Hijackthis Logfile, nimm dazu diese umbenannte hijackthis.exe
Editiere die Links und privaten Infos!!

ciao, andreas

Oh klasse ... viel zu tun :lach: ... ich war allerdings in der Zeit nicht untätig und habe Anti-Malware durchlaufen lassen, wobei einige Sachen gefunden wurden (siehe Log, habe bis jetzt noch kein weiteres mal durchlaufen lassen - dauert ja 1 1/2 Stunden je Run) ... außerdem habe ich mir mittels Sysinternals Autoruns einmal den Startup angeschaut und einen Autostart auf die spoolsv.exe im Tempverzeichnis entfernt.
Leider habe ich vor deinem Post bereits die fraglichen Dateien gelöscht und konnte sie somit nicht mehr hochladen. Allerdings überwache ich seit dem auch mittels Filemon mein Tempverzeichnis und muss sagen, dass sich dieses, bis jetzt, nicht mit uminösen Dateien gefüllt hat. Allerdings versuchten einige Anwendungen auf die spoolsv.exe im Temp Verzeichnis zuzugreifen. Hier einmal Ausschnitte aus dem Log:

Jedenfalls bin ich gerade sehr zuversichtlich, den Trojaner bereits losgeworden zu sein.

Aber die angeforderten Logs habe ich natürlich noch gemacht ^^

MBR-Tool
BlackLight
Anti-Malware
der Silentrunner kommt einfach in einen extra Post

HiJackThis
Ich hoffe, dass ich nichts vergessen habe ... wegen dem HiJackThis, da habe ich jedoch erst einmal meine installierte Version genommen. War mir nicht ganz sicher, wie ich genau verfahren soll. Runterladen, umbenennen, ausführen? bzw. warum diese Version der Installierten überhaupt vorzuziehen ist?

Ach genau ... danke für die freundliche Begrüßung und vor allem für die schnelle Hilfe!

Silentrunner

Macht nichts. Da sind schon wieder Neue. Also nochmal mit diesen Dateien:
Man könnte fast den Eindruck bekommen, als wenn jemand bei dir auf dem Rechner ist.
Du irrst dich.
Du musst löschen, so steht es auch in der Anleitung.
Runterladen, ausführen.

Wir müssen schwerere Geschütze auffahren:
1.) ComboFix

Ein Leitfaden und Tutorium zur Nutzung von ComboFix

• Lade dir das Tool hier herunter auf den Desktop -> KLICK

Das Programm jedoch noch nicht starten sondern zuerst folgendes tun:

• Schliesse alle Anwendungen und Programme, vor allem deine Antiviren-Software und andere Hintergrundwächter, sowie deinen Internetbrowser.
  Vermeide es auch explizit während das Combofix läuft die Maus und Tastatur zu benutzen.

• Dann folgende Anleitung durchlesen und abarbeiten -> CCleaner Systembereinigung

• Starte nun die combofix.exe von deinem Desktop aus, bestätige die Warnmeldungen und lass dein System durchsuchen.

• Im Anschluss öffnet sich automatisch eine combofix.txt, diesen Inhalt bitte abkopieren und in deinen Beitrag einfügen. Das log findest du außerdem unter: C:\ComboFix.txt.

Wichtiger Hinweis:

Combofix darf ausschließlich ausgeführt werden wenn ein Kompetenzler dies ausdrücklich empfohlen hat!
Es sollte nie auf eigene Initiative hin ausgeführt werden! Eine falsche Benutzung kann ernsthafte Computerprobleme nach sich ziehen und eine Bereinigung der Infektion noch erschweren.

Hinweis: Combofix verhindert die Autostart Funktion aller CD / DVD und USB - Laufwerken um so eine Verbeitung einzudämmen. Wenn es hierdurch zu Problemen kommt, diese im Thread posten.

Poste alle Logfiles bitte mit Codetags umschlossen (#-Button) also so:

2.) Mach auch ein Filelisting mit diesem script:

• Script abspeichern per Rechtsklick, speichern unter auf dem Desktop
• Doppelklick auf listing8.cmd auf dem Desktop
• nach kurzer Zeit erscheint eine listing.txt auf dem Desktop

Diese listing.txt z.B. bei File-Upload.net hochladen und hier verlinken, da dieses Logfile zu groß fürs Board ist.

3.) Poste ein neues Hijackthis Logfile, nimm dazu diese umbenannte hijackthis.exe
Editiere die Links und privaten Infos!!

ciao, andreas

Hmmm ... bevor ich mich an ComboFix mache ... ich habe noch einmal einen Anti-Malware-Durchlauf gemacht ... und dieser hat keinen Befund mehr gebracht:

Soll ich trotzdem noch mit ComboFix loslegen?

Lass zuerst die Dateien überprüfen und mache die anderen Listings. Wichtig ist auch ein neues HJT-Log. Danach sehen wir weiter.

ciao, andreas

Die Casino.exe ist clean (habe ich auch irgendwann mal installiert, um mir das mal anzuschauen ^^).

Die andere ist jedoch scheinbar infiziert:
Dann habe ich noch einmal den Silentrunner beschäftigt und auch die listing8.cmd ausgeführt und die Ergebnisse auf meinem Webspace abgelegt:
http://home.arcor.de/psycho_lippo/listing.txt
http://home.arcor.de/psycho_lippo/silentrunner.txt

Und zu guter Letzt noch ein einmal das HijackThisLog:

Es gefällt mir nicht, das MAM den nicht erkannt hat. Selbst wenn kein Antivirenprogramm angesprungen wäre, das muss einer sein. Auf die Schnelle hab ich auch nichts dazu gefunden.

Starte HJT => Do a system scan only => Markiere:
=> Fix checked

Neustart => Kontrolliere ob sie weg sind. Die Listings schaue ich mir gleich noch an.

Mache in der Zwischenzeit mal zwei Onlinescans bei:

Kaspersky Online-Scanner und
Prevx CSI - FREE Malware Scanner

Poste die Logs!

ciao, andreas

Kann es sein, dass du um 18:30 Uhr ein Windowsupdate gefahren hast? Es geht mir um diese Datei: nhcdriver.sys

Lass folgende Dateien bei Virustotal überprüfen:
und poste die Ergebnisse.

ciao, andreas

Guten Morgen,
ich bin doch ehrlich gesagt etwas schockiert, dass sich diese Biester so tief bei mir eingegraben haben. Sind ja überall ...

Erst einmal habe ich mich daran gemacht die sessmgr und die Breadcrumps Adressbar Einträge zu entfernen ... nach einem Neustart sind sie auch nicht wieder aufgetaucht, wie das Log zeigt:
Danach habe ich mich daran gemacht die Dateien bei Virustotal zu scannen. Die cmstp und msinit sind beide infiziert ... wie soll ich mit solchen Dateien eigentlich verfahren? Löschen? Die C:\WINDOWS\sessmgr.exe gibt es ja auch noch.

cmstp.exe
Zu dem Windowsupdate, dass ist ein interessanter Punkt. Ich habe das automatische Update nämlich deaktiviert, da ich Probleme damit hatte - eine svhost hatte 99% wenn er updaten wollte. Dachte es handle sich dabei um ein Problem von Windows und wollte dies mit WindowsFixes beseitigen (gibt hierzu ja ein bekanntes Problem). Hat jedoch nichts geholfen, deswegen habe ich es immer manuell angestoßen ... wenn updates auf meinem anderen Rechner waren.

Als mir das aufgefallen ist, habe ich natürlich auch die svhost auf einen Virus überprüft (bei Virustotal), habe aber nichts gefunden.

Werde mich dann mal daran machen die OnlineScanner zu mobilisieren.

Halli hallo.

@ john.doe: Ist dir eigentlich klar was du hier grade versuchst zu bereinigen?
Ich denke nicht oder?
Du versuchst einen SdBot zu beseitigen der über IRC Kanäle wahrscheinlich die ganze Zeit munter mit seinem Schöpfer kommuniziert.
Ich tippe auf einen W32/Tilebot der mitlerweile fleißig Malware nachgeladen hat.
Wenn man sich traut sowas zu bereinigen dann sollte man das ganze etwas anders angehen..

@ lippo: Ich empfehle dir dringend deinen Rechner physikalisch vom Internet zu trennen! Das heisst LAN-Kabel ziehen! Der Schädling spioniert dich nämlich grade fleißig aus...

Danach ist die einzig sichere Variante den Rechner platt zu machen. Alles andere wäre ziemlich sinnfrei und mit einem hohen Risiko behaftet.

Bereinigung nach einer Kompromitierung

Hinweis: Die Analyse eines Virenscanners ist völlig unzureichend, um Aussagen über das System zu machen, kann aber als Hilfsmittel eingesetzt werden, sofern er von einem sauberen System aus betrieben wird.

Leider tauchen momentan immer mehr Schädlinge auf die sich in den Master Boot Record, kurz MBR einschreiben. Dieser wird bei einer herkömmlichen Neuinstallation nicht komplett überschrieben und stellt somit ein erhebliches Sicherheitsrisiko dar. Vor der Neuinstallation sollte daher sichergegangen werden, dass der MBR in Ordnung ist.

Master Boot Record überprüfen:

Lade dir die mbr.exe von gmer auf den Desktop und führe die Datei aus.

Sollte ein MBR Rootkit gefunden worde sein, das wird im log durch den Ausdruck indiziert, musst du eine Bereinigung vornehmen.

Downloade dir dafür die mbr.bat.txt von BataAlexander und speichere sie neben der mbr.exe auf dem Desktop.
Ändere die Endung der mbr.txt.bat in mbr.bat Eine vernünftige Ordneransicht ist dafür nötig.
Dann führe die mbr.bat. durch einen Doppelklick aus.
Dabei muss sich die mbr.exe von gmer ebenfalls auf dem Desktop befinden!

Der MBR wird bereinigt und es erscheint ein log. Dieses log solltest du hier posten!

Nachdem das O.k. durch deinen Helfer gegeben wurde kannst du mit der sicheren Neuinstallation beginnen.

Lies dir bitte bevor du dich an die Arbeit machst folgende Anleitung ganz genau durch:

Neuaufsetzen des Systems mit abschließender Absicherung.

Wenn du diese Anleitung zum Neuaufsetzen nicht ganz genau befolgst ist das Neuaufsetzen sinnlos!

Alle Festplatten müssen komplett formatiert werden!

Daten solltest du am besten keine sichern.
Wenn du sehr wichtige, unersetzliche Dateien sichern möchtest so musst du dies nach strengen Kriterien tun:

a) Die Datei darf nicht ausführbar sein. Das heisst sie darf keine der hier aufgeführte Dateiendung haben. Beachte bitte, dass einige Schädlinge ihre Dateiendung tarnen. Abhilfe schafft hier eine vernünftige Ordneransicht.

b) Jede Datei sollte, bevor sie wieder auf den frischen Rechner gelangt mit MWAV/eScan durchsucht werden.

c) Auch wenn du die Punkte a) und b) ganz genau einhältst sind die Dateien nicht vertrauenswürdig!!
Schädlinge können auch nicht-ausführbare Dateien wie .mp3 .doc usw. infizieren!! Und MWAV sowie andere AV-Scanner findet nur einen Bruchteil aller infizierten Dateien!

Nachdem du neuaufgesetzt hast musst du unbedingt alle Passwörter und Zugangsaccounts ändern!!!

Bis eben dachte ich, dass ich heute Nachmittag endlich wieder arbeiten könnte. Jetzt klingt es jedoch mehr nach, dass mein WE für die Neuinstallation draufgehen wird. Denn leider habe ich viele wichtige Dateien auf dem Rechner, die ich natürlich erst mal sichern (und laut Anleitung auch noch scannen müsste).

Ich habe gerade das MBR-Tool über die Batch-Datei gestartet und folgendes Log herausbekommen:
Gibt es den die Möglichkeit meinen Rechner von einem Livesystem zu scannen, um herauszufinden was gerade so auf meinem Rechner vorgeht? Außerdem gäbe es doch auch die Möglichkeit den Netzwerkverkehr zu überwachen oder?

Ach so ... den Kaspersky Scanner kriege ich nicht zum Laufen, der sagt immer das meine Lizenz abgelaufen sei und beim anderen Link, dort finde ich nur einen Scanner zum Download.

Und ich glaube mittlerweile auch nicht, dass ein Rootkit auf dem Rechner ist - immerhin meldet Blacklight nichts.

gut, dann kannst du weitermachen das System neuaufzusetzen..

Neuaufsetzen geht schneller als den Müll zu bereinigen!

Die gibt es; wird aber nichts bringen.

Wie und womit? Wenn das so einfach wäre...
Die Schädlinge Tunneln die Überwachung oder arbeiten über eine reverse Connection.

Brauchst du eh nicht mehr... Der online Scanner taugt sowieso nicht viel...

Blacklight findet vllt. 10% aller Rootkits!

Und selbst mächtige Tools wie gmer können hintergangen werden...

Übrigens glaube ich auch nicht, dass bei dir ein Rootkit läuft...

Ok ... du bist der Profi ^^ ... allerdings würde mich die Analyse trotzdem reizen, da ich im Netzwerk (in dem sich auch der infizierte Laptop befindet), noch zwei weitere Rechner habe (unter anderem, der von dem ich schreibe) und diese dann doch auch gerne einmal checken würde.

Ich dachte hier erst einmal an Wireshark, wobei es natürlich schwierig ist vom versuchten System aus damit zu agieren. Alternativ könnte ich im ProzessExplorer einmal schauen welche Prozesse nach draußen funken. Weil sich so ein Trojaner ja nicht ohne Rootkit als Prozess verstecken kann - oder?