Trojaner-Board - svchost.exe|Verbindet sich zu VIELEN IP´s

Trojaner-Board (https://www.trojaner-board.de/)

- Log-Analyse und Auswertung (https://www.trojaner-board.de/log-analyse-auswertung/)

- - svchost.exe|Verbindet sich zu VIELEN IP´s (https://www.trojaner-board.de/73497-svchost-exe-verbindet-vielen-ip-s.html)

Mir ist gerade ein Fehler aufgefallen EDIT: Funktion ging irgendwie auch nicht

http://bleikrone.de/log.txt
http://bleikrone.de/info.txt

Port 25, du versendest wie ein Weltmeister Spams. Trenne grundsätzlich die Verbindung zum Internet, falls du sie nicht zwingend brauchst, sonst wird es dir bald gehen wie dem hier => http://www.trojaner-board.de/66946-r...infiziert.html (Punkt 1)

1.) Deinstalliere

ApexDC++
AltBinz

Es tangiert mich nur peripher, dass du daran hängst. Wenn du mir beweisen kannst, dass du dich nicht mit Downloads über diese Programme infiziert hast, dann darfst du die behalten, ansonsten kommen die weg.

2.) Starte HJT => Do a system scan only => Markiere:

Code:

Alle R0, R1, O3, O9, O16 und O20-Einträge

O4 - HKUS\S-1-5-18\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'SYSTEM')

O4 - HKUS\S-1-5-18\..\Run: [msnmsgr] "C:\Programme\Windows Live\Messenger\msnmsgr.exe" /background (User 'SYSTEM')

O4 - HKUS\.DEFAULT\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'Default user')

=> Fix checked => Neustart

Warnung! Benutzung des Scriptes auf eigene Gefahr. Ich lösche alles, das ich nicht kenne. Falls nach dem Script keine Besserung eintritt => Neuinstallation

3.) Scripten mit Combofix

Öffne den Editor (Start => Zubehör => Editor ) kopiere nun folgenden Text in das weiße Feld:

Code:

KILLALL::
 

Driver::

a58cadbc

ah66ppwl

MHN
 

Registry::

[-HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\Notify\bfbbpmpa]

[HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run]

"Google Update"=-

[-HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Internet Explorer\Toolbar]
 

Folder::

C:\Programme\Spybot - Search & Destroy

C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\Spybot - Search & Destroy

C:\Config.Msi

C:\Programme\altbinz

C:\rsit

C:\Dokumente und Einstellungen\bown\Lokale Einstellungen\Anwendungsdaten\Google\Update

C:\Programme\ApexDC++
 

File::

C:\WINDOWS\system32\Log.txt

C:\WINDOWS\system32\bfbbpmpa.dll

C:\WINDOWS\tasks\AppleSoftwareUpdate.job

C:\WINDOWS\tasks\GoogleUpdateTaskUserS-1-5-21-1060284298-507921405-682003330-1003.job
 

DirLook::

C:\Programme\aaa

C:\Programme\QuickPar

Speichere diese Datei nun auf dem Desktop unter -> cfscript.txt

Nun die Datei cfscript.txt mit der rechten Maustaste auf das Sysmbol von Combofix ziehen!

http://users.pandora.be/bluepatchy/m...s/CFScript.gif

Danach das Combofix nochmal ausführen, das System neu starten und das Log von Combofix posten

Hinweis: Das obige Script ist nur für diesen einen User in dieser Situtation erstellt worden. Es ist auf keinen anderen Rechner portierbar und darf nicht anderweitig verwandt werden, da es das System nachhaltig schädigen kann.

ciao, andreas

Okkey hab ich so gemacht, den Log stell ich wieder als Link da.

http://bleikrone.de/log.txt

Da ist er. Du hattest da noch einen zweiten RAT (SubSeven), von dem dich allerdings Spybot bewahrt hat (oder auch nicht). Dem Rechner wirst du nie wieder vertrauen können.

Scripten mit Combofix

Öffne den Editor (Start => Zubehör => Editor ) kopiere nun folgenden Text in das weiße Feld:

Code:

KILLALL::
 

Registry::

[-HKEY_LOCAL_MACHINE\software\microsoft\active setup\installed components\vphou]

[HKLM\~\services\sharedaccess\parameters\firewallpolicy\standardprofile]

"EnableFirewall"=-

[-HKEY_LOCAL_MACHINE\software\microsoft\windows\currentversion\run-]

[HKEY_LOCAL_MACHINE\software\microsoft\security center]

"AntiVirusDisableNotify"=-

"UpdatesDisableNotify"=-
 

File::

c:\windows\system32\vphou.exe

Speichere diese Datei nun auf dem Desktop unter -> cfscript.txt

Nun die Datei cfscript.txt mit der rechten Maustaste auf das Sysmbol von Combofix ziehen!

http://users.pandora.be/bluepatchy/m...s/CFScript.gif

Danach das Combofix nochmal ausführen, das System neu starten und das Log von Combofix posten

Hui, aber warum werd ich ihm nie wieder trauen können?
Aber er ist mein bester Freund ;) *haha* warn witz ^^

http://bleikrone.de/log.txt

Entweder das falsche Log oder das falsche Script. :(

ciao, andreas

p.s.: Das richtige findest du mit:

Start => Ausführen => c:\combofix.txt => OK.

Entschuldigung mein Fehler hier das Richtige ;)

http://bleikrone.de/ComboFix.txt

1.) Was meldet NetLimiter?

2.) Deaktiviere den Wächter von NOD32.

3.) Packe den Ordner c:\qoobox mit Zip oder Rar, lade das Archiv bei einem Filehoster hoch (z.B. www.materialordner.de) und schicke mir den Link als PN.

4.) Aktiviere den Wächter von NOD32.

5.) Erstelle ein Filelisting.

Lade die Datei listing0.bat auf deinen Desktop
Doppelklicke auf listing0.bat
Am Ende befindet sich eine Datei listing.txt auf dem Desktop. Die bei einem Filehoster (z.B. Materialordner.de) hochladen und hier den Link posten.

6.) GMER - Rootkit Detection

http://pic.leech.it/i/ab0bc/635985fgmer60.jpg

Lade Trallala von file-upload.net
Klick auf Download (rechts in der Mitte) und speichere es auf den Desktop
Doppelklick auf Trallala.exe
Drücke Scan, Der Vorgang kann je nach System 3 - 10min dauern
nach Beendigung des Scan, drücke "Copy"
nun kannst Du das Ergebnis hier einfügen. Sollte das Log zu lang sein, dann lade es bei einem Filehoster wie z.B. Materialordner hoch und poste den Link.
Sollte Gmer sagen "Gmer hasen´t found any System Modifikation", so hat Gmer keine Einträge gefunden.

ciao, andreas

NetLimiter zeigt immer noch an das er verbinden will, aber hab den Port bzw. die Verbindung erstmal gekappt von dem Dienst svchost.exe

hier die txt. datein ich denk mal du wirst jetzt schon bei deiner Freundin sein :bussi:

Ich wünsch dir ein erholsames verlängertes Wochenende ; )

http://bleikrone.de/gmer.txt

http://bleikrone.de/listing.txt

Warum hast du die listing.txt editiert?

ciao, andreas

Wie meinst Editiert Oo ?
hab einfach das listinig.txt aufm Server gehauen hab damit nichts gemacht.

Windows benutzt als Zeilenendekennung 0d 0a, so ist es auch im gmerlog zu sehen, aber im listing.txt ist nur 0a. Das ist unter Unix/Linux üblich, wird allerdings auch von einigen Editoren benutzt, aber weder das ursprüngliche Listing noch das evtl. benutzte Listing von Notepad benutzen 0a sondern 0d 0a.

Ergo: Da hat jemand editiert und ich wüsste jetzt gerne warum.

Das ist mir übrigens aufgefallen, als ich die Links angeklickt habe. Beim Gmerlog hat Opera das als Textdatei angezeigt, bei listing.txt kam die Speicherndialogbox, weil Opera mit nur 0a nichts anfangen konnte.

ciao, andreas

Oo Bahnhof... ich werd sofort alles beide nochmal machen, und nochmal Posten,

So , habs nochmal gemacht, genauso wie ichs gestern gemacht hatte hoffentlich fehlt nichts.

http://bleikrone.de/gmer.txt

http://bleikrone.de/listing.txt

1.) Blacklight ausführen und Logfile posten (Wächter Deines Virenscanner vor dem Scannen deaktivieren!)

2.) Führe Superantispyware nach dieser Anleitung aus und poste das Log: http://www.trojaner-board.de/51871-a...tispyware.html

3.) CureIT Dr.Web

Downloade Dr.Web CureIt!
Speichere es auf deinem Desktop.
Entpacke es in einen eigenen Ordner.
Lies nun zuerst die deutsche Anleitung und drucke sie dir aus.

Lass alle Malware in den Quarantaene Ordner verschieben.
Ignoriere eventuelle Warnungen seitens deines AV Programms, du kannst auch offline gehen und -> dann dein AV Programm während des Scannens mit Dr.Web CureIt! abstellen.
Vergiss bitte nicht, dein AV Programm nach dem Scan wieder anzustellen.

Speichere das Logfile - siehe Anleitung - und poste es.

4.) Panda Active Scan

Folgende Seite führt dich durch die Installation: PandaActiveScan2.0 Installation

Drücke auf Jetzt Scannen!

Eine Registrierung ist nicht erforderlich!

Nachdem der Scan abgeschlossen ist drücke auf das Text-Icon Export und speichere das log auf dem Desktop.
Öffne die Datei ActiveScan.txt die sich nun auf deinem Desktop befindet und poste uns den Inhalt.

5.) Überprüfe den Rechner mit dem AVP-Tool sowie mit PrevXCSI.

ciao, andreas