|
Eventuell Informationen zum GEMA Virus Wie am Titel zu erkennen ist habe ich mir vor kurzem den GEMA virus eingefangen, auch wenn das nicht mein Grund ist hier zu posten da ich mit dem Virus zurecht komme, gehe ich mal kurz darauf ein. Ich ging um etwa 1:00 heute ins Bett um für etwa 4 stunden zu schlafen, als ich dann um etwa 5:10 meinen Bildschirm angemacht habe hab ich auch schon den Virus mit der GEMA zu sehen bekommen. Da ich keinen anderen Internetfähigen PC bei mir hatte habe ich erstmal einen reset durchgeführt, und den PC normal wieder gestartet. Anschließend habe ich den Task-Manager gestartet und den gema Prozess (welcher sehr offensichtlich als solcher zu sehen war) abgeschossen bevor er etwas sperren konnte (hat 1 mal versucht sich wieder zu starten, aber dann "aufgegeben"). Nun habe ich mir schnell im Internet alle Informationen zu dem Virus gesucht die ich auf die schnelle finden konnte und hier im forum 2 Verzeichnisse dabei gefunden in denen das Programm war: C:\ProgramData\gema\gema.exe C:\Users\X\AppData\Roaming\gema\gema.exe Also erstmal endgültig gelöscht damit mein einziger verwendbarer PC nicht vor meinen Augen die fliege macht. Ich habe Avast und konnte bestätigen das es momentan noch nicht in der Lage ist den Virus zu erkennen, entsprechend war der echtzeitschutz relativ unnütz. Allerdings konnte ich den log von Avast mit dem erstellungsdatum der oben genannten Datei nutzen um die Datei ausfindig zu machen von denen der Virus nach ProgramData kopiert wurde: C:\Users\X\AppData\Local\Temp\cgs8h0.exe Ich würde wenn möglich gerne dazu beitragen zu verstehen wie man sich den Virus einfängt. 100% sicher bin ich mir nicht aber ich denke ich kann einiges auschließen. Der Virus wurde um 1:12 installiert. Die letzte Webseite die ich besucht habe war dict.cc (online-Wörterbuch) um 1:00, und 90 minuten davor war ich auf youtube, lediglich ein einzelner Seitenaufruf. Ich glaube aber das diese Seiten damit nix zu tun haben, dafür gibt es einfach keine Anzeichen. Der letzte (zumindest bewusst getätigte) download liegt auch einige Stunden zurück, und da das nix suspektes oder auch nur unbekanntes war geh ich mal schwer davon aus das es das auch nicht war. Ich bin zwar nicht extrem erfahren was Viren angeht aber ich würde schon sagen das ich ne Menge mehr davon verstehe als der durchschnittliche User. Mein letzter Virus den ich hatte ist schon etwa 4 Jahre her, was dafür spricht das ich weiß mich von allen gefährlichen quellen für Viren fernzuhalten. Nun zum eigentlichen Teil und hoffentlich interessanten Teil. Ich habe vor kurzem den VLC Media Player aktualisiert habe und siehe an was ich in oben besagter cgs8h0.exe in der Beschreibung finde: Datei: cgs8h0.exe Firma: the VideoLAN Team was sich von der Beschreibung des VLC selbst nur minimal unterscheidet: Datei: vlc.exe Firma: VideoLAN Ich bin mir ja sicher das die Leute von VLC den virus nicht programmiert haben aber dem nach zu schließen wird es vermutlich irgendwas mit dem VLC zu tun gehabt haben. Jener war zu der Zeit zwar geschlossen, aber wenn es eine sicherheitslücke im VLC gibt schätze ich mal hätte man den internen downloader des VLC missbrauchen können. Nun meine frage: irgendeine Idee wie ich herausfinden kann ob VLC der täter ist und was es mit dieser doch sehr auffälligen "Firma" in der Beschreibung zu tun haben könnte? |
hi, hast du die datei noch? falls ja, mal hochladen bitte: Trojaner-Board Upload Channel und bescheid geben wenn dies erledigt wurde |
Es ist nicht die cgs8h0.exe aber ich habe eine der 2 gema.exe'n archiviert und habe sie hochgeladen. Alle drei dateien hatten die selbe größe, das selbe symbol und auch sonst überschneidende Eigenschaften, ich gehe also auch davon aus das alle 3 gleich sind abgesehen vom namen. Finde dort ebenfalls VideoLAN in in der vermeintlichen Firma. Ich musste die Datei allerdings wiederherstellen da obwohl ich sie bereits archivieren wollte sie nach äußerer Ablenkung schön gelöscht habe. Avast ist jetzt allerdings in der lage den Virus zu erkennen und ist auch sofort drauf angesprungen also ist die Datei wohl im Ursprungszustand. |
eingefangen hast du es dir evtl. über sicherheitslücken. mal schauen. Combofix darf ausschließlich ausgeführt werden, wenn dies von einem Team Mitglied angewiesen wurde!Downloade dir bitte Combofix von einem dieser Downloadspiegel Link 1 Link 2 WICHTIG - Speichere Combofix auf deinem Desktop
Wenn Combofix fertig ist, wird es eine Logfile erstellen. Bitte poste die C:\Combofix.txt in deiner nächsten Antwort. Hinweis: Solltest du nach dem Neustart folgende Fehlermeldung erhalten Zitat:
|
So hab Combofix wie genannt ausgeführt, Komplikationen gab es keine. Hab selbst mal einen neugierigen blick in den log geworfen aber wie zu erwarten nix ungewöhnliches gefunden, abseits vielleicht von ein paar Programmen und Treibern die ich wiedererkannt habe. Combofix hat allerdings noch eine gema.exe in system32 gefunden. Im nachhinein wundere ich mich das ich da nicht schon selbst nachgeschaut habe. Die Datei habe ich mir mal in der Qoobox kurz angeschaut, gleicher name, gleiche größe und gleiches Erstelldatum. Also vermutlich nicht mehr als die 4te Kopie. Zu den anderen gelöschten Dateien kann ich nichts sagen ausser das ich mich schon ein bisschen wundere das er AppLocale gelöscht hat. Nebenbei erwähnt sei schonmal das ich immer mit dem Haupt Administrator Konto arbeite, eine Entscheidung mit Risiken und Vorteilen die ich für mich selbst abgewägt habe. Ich habe in anderen Themen gelesen das bei ihnen der Task-Manager gesperrt wurde was bei mir nicht der fall war, könnte das daran liegen? Naja hier der log: Code: ComboFix 12-03-29.02 - Administrator 29.03.2012 16:09:30.1.4 - x64 |
malwarebytes: Downloade Dir bitte Malwarebytes
|
Naja, da ist nun mal nichts neues bei rumgekommen: Code: Malwarebytes Anti-Malware 1.60.1.1000Übrigens, da steht zwar keine Aktion durchgeführt, aber auch lediglich weil ich den Virus nach erstellen des logs endgültig gelöscht habe. Gibt es da sonst noch möglichkeiten rauszufinden wo der her kam? |
durch sicherheitslücken, die wir jetzt schließen. lade den CCleaner standard: CCleaner Download - CCleaner 3.17.1689 falls der CCleaner bereits instaliert, überspringen. instalieren, öffnen, extras, liste der instalierten programme, als txt speichern. öffnen. hinter, jedes von dir benötigte programm, schreibe notwendig. hinter, jedes, von dir nicht benötigte, unnötig. hinter, dir unbekannte, unbekannt. liste posten. |
Das sollte ja nicht unnötig kompliziert werden da sich in dieser Liste keine mir unbekannten Programme aufhalten. Code: Bekannt - Erwünscht/Benötigt |
da hätten wir ne mögliche infektions quelle, veraltetes java. deinstaliere: Java Download der kostenlosen Java-Software downloade java jre, instalieren. und die nicht benötigten weg. öffne ccleaner, analysieren, ccleaner starten. öffne otl, bereinigen neustarten. |
Java ist veraltet, Tatsache. Normalerweise achte ich darauf sowas aktuell zu halten aber da ist mir wohl irgendwann mal was entgangen. Ich bedanke mich erstmal für die hilfe, ich hatte zwar ursprünglich eher vor zu versuchen Informationen für andere bereitzustellen aber etwas professionelle Unterstützung kann ja nicht schaden. Zumindest denke ich mal das mein PC jetzt nicht noch noch sauberer wird, oder gibt es noch was zu tun? |
hi, naja, dein pc hat leider keine weiteren nützlichen infos hergegeben, dass sample kannte ich schon (datei beschreibung ist übrigens frei erfunden) hat ja keine digitale signatur, aber das macht ja nichts du könntest deinen pc noch absichern: als antimalware programm würde ich emsisoft empfehlen. diese haben für mich den besten schutz kostet aber etwas. http://www.trojaner-board.de/103809-...i-malware.html testversion: Meine Antivirus-Empfehlung: Emsisoft Anti-Malware insbesondere wenn du onlinebanking, einkäufe, sonstige zahlungsabwicklungen oder ähnlich wichtiges, wie zb berufliches machst, also sensible daten zu schützen sind, solltest du in sicherheitssoftware investieren. vor dem aktivieren der lizenz die 30 tage testzeitraum ausnutzen. kostenlos, aber eben nicht ganz so gut wäre avast zu empfehlen. http://www.trojaner-board.de/110895-...antivirus.html sag mir welches du nutzt, dann gebe ich konfigurationshinweise. bitte dein bisheriges av deinstalieren die folgende anleitung ist umfangreich, dass ist mir klar, sie sollte aber umgesetzt werden, da nur dann dein pc sicher ist. stelle so viele fragen wie nötig, ich arbeite gern alles mit dir durch! http://www.trojaner-board.de/96344-a...-rechners.html Starte bitte mit der Passage, Windows Vista und Windows 7 Bitte beginne damit, Windows Updates zu instalieren. Am besten geht dies, wenn du über Start, Suchen gehst, und dort Windows Updates eingibst. Prüfe unter "Einstellungen ändern" dass folgendes ausgewählt ist: - Updates automatisch Instalieren, - Täglich - Uhrzeit wählen - Bitte den gesammten rest anhaken, außer: - detailierte benachichtungen anzeigen, wenn neue Microsoft software verfügbar ist. Klicke jetzt die Schaltfläche "OK" Klicke jetzt "nach Updates suchen". Bitte instaliere zunächst wichtige Updates. Es wird nötig sein, den PC zwischendurch neu zu starten. falls dies der Fall ist, musst du erneut über Start, Suchen, Windows Update aufrufen, auf Updates suchen klicken und die nächsten instalieren. Mache das selbe bitte mit den optionalen Updates. Bitte übernimm den rest so, wie es im Abschnitt windows 7 / Vista zu lesen ist. aus dem Abschnitt xp, bitte den punkt "datenausführungsverhinderung, dep" übernehmen. als browser rate ich dir zu chrome: Installation von Google Chrome für mehrere Nutzerkonten - Google Chrome-Hilfe anleitung lesen bitte falls du nen andern nutzen willst, sags mir dann muss ich teile der nun folgenden anleitung Sandboxie Die devinition einer Sandbox ist hier nachzulesen: Sandbox Kurz gesagt, man kann Programme fast 100 %ig isuliert vom System ausführen. Der Vorteil liegt klar auf der Hand, wenn über den Browser Schadcode eingeschläust wird, kann dieser nicht nach außen dringen. Download Link: Sandboxie Download - Sandboxie 3.66 anleitung: http://www.trojaner-board.de/71542-a...sandboxie.html ausführliche anleitung als pdf, auch abarbeiten: Sandbox Einstellungen | bitte folgende zusatz konfiguration machen: sandboxie control öffnen, menü sandbox anklicken, defauldbox wählen. dort klicke auf sandbox einstellungen. beschrenkungen, bei programm start und internet zugriff schreibe: chrome.exe dann gehe auf anwendungen, webbrowser, chrome. dort aktiviere alles außer gesammten profil ordner freigeben. Wie du evtl. schon gesehen hast, kannst du einige Funktionen nicht nutzen. Dies ist nur in der Vollversion nötig, zu deren Kauf ich dir rate. Du kannst zb unter "Erzwungene Programmstarts" festlegen, dass alle Browser in der Sandbox starten. Ansonsten musst du immer auf "Sandboxed webbrowser" klicken bzw Rechtsklick, in Sandboxie starten. Eine lebenslange Lizenz kostet 30 €, und ist auf allen deinen PC's nutzbar. Weiter mit: Maßnahmen für ALLE Windows-Versionen alles komplett durcharbeiten anmerkung zu file hippo. in den settings zusätzlich auswählen: Run updateChecker when Windows starts Backup Programm: in meiner Anleitung ist bereits ein Backup Programm verlinkt, als Alternative bietet sich auch das Windows eigene Backup Programm an: http://www.trojaner-board.de/82962-w...en-backup.html Dies ist aber leider nur für Windows 7 Nutzer vernünftig nutzbar. Alle Anderen sollten sich aber auf jeden fall auch ein Backup Programm instalieren, denn dies kann unter Umständen sehr wichtig sein, zum Beispiel, wenn die Festplatte einmal kaputt ist. Zum Schluss, die allgemeinen sicherheitstipps beachten, wenn es dich betrifft, den Tipp zum Onlinebanking beachten und alle Passwörter ändern bitte auch lesen, wie mache ich programme für alle sichtbar: Programme für alle Konten nutzbar machen - PCtipp.ch - Praxis & Hilfe surfe jetzt also nur noch im standard nutzer konto und dort in der sandbox. wenn du die kostenlose version nutzt, dann mit klick auf sandboxed web browser, wenn du die bezahlversion hast, kannst du erzwungene programm starts festlegen, dann wird sandboxie immer gestartet wenn du nen browser aufrufst. wenn du mit der maus über den browser fährst sollte der eingerahmt sein, dann bist du im sandboxed web browser |
Nun das ist ein bisschen sehr viel zum durcharbeiten, zu mal ich mich aktuell um einen Job kümmern muss. Es ist aber offensichtlich Fakt das die Zeiten des sicheren W7 vorbei sind und das etwas mehr Prävention nicht schaden könnte, also bin ich gerne bereit die Zeit zu investieren. Anstatt alles in einem rutsch zu machen werde ich mich da systematisch in Schritten durcharbeiten. Ich hab den Beitrag schon einmal komplett gelesen und hake schonmal einige Sachen ab, und lass auch die eine oder andere Frage hier. Kleine nebeninformation zu mir selbst: ich habe vor kurzem mein Abitur mit einer informationstechnischen Ausbildung abgeschlossen und hab viel mit Technik zu tun. Ich vertrage also ein bisschen Fachsprache, es gibt also auch keinen Grund mich mit Details zu verschonen wenn ich was nicht/falsch verstehe :killpc: Zu meinem System: Windows 7 Avast Free Firefox Zu Windows Updates: Mein PC ist auf dem neuesten Stand und alle einstellungen sind so eingestellt. Außer das ich Windows Update auf "Updates Herunterladen, aber Installation manuell durchführen" eingestellt habe, das aber auch lediglich weil ich regelmäßig zu verschiedenen Zeiten mit dem PC arbeite und ein eigenwillig neustartender PC mehr schaden als alles andere anrichtet. Ich habe aber von je her darauf geachtet alle Updates noch am selben tag zu installieren, nur eben zu einem moment an dem der Neustart nicht stört, es kommt also aufs selbe raus, wenn die Updates nicht sogar noch schneller drauf sind. Backups: Ich nutze bereits die Windows 7 interne Backup Funktion, es wird aber wohl in kürze Zeit für das nächste Backup. Zudem ist meine Systemplatte in einem RAID1 Verbund, also 100% Redundanz, die Festplatten sind der selbe Typ aber aus unterschiedlicher Produktion, es ist also auf so ziemlich alles geachtet. Browser: Ich verwende wie oben genannt Firefox und das aus vielen Gründen. Die Idee mit der Sandbox ist aber schon sehr einleuchtend, die Anleitung dazu werde ich mir definitiv noch durchlesen. Antivirenprogramm: Wie ebenfalls oben genannt verwende ich Avast und bin an sich sehr zufrieden damit, es steht ja auch in deiner Empfehlung für eine freie alternative. Ich habe zwar mehr als genug Geld um für kostenpflichtige Software aufzukommen allerdings noch kein gesichertes einkommen, bin also etwas vorsichtig bezüglich dem Kauf von Sachen für die ich immer wieder bezahlen muss. Ich ziehe es zwar definitiv in Erwägung aber bin mir noch nicht sicher. Kleine Frage hierzu, was ist mit der Premium Version von Avast wenn die freie schon akzeptabel ist? Konto: Der PC wird ausschließlich von mir verwendet, andere Konten gibt es nicht. Wie in einem post vorher schon erwähnt habe ich es mir zur Angewohnheit gemacht das Hauptadministrator Konto zu verwenden, was viele Gründe hat. Vor allem das ich in meinen diversen Tätigkeiten ständig in Probleme gelaufen bin wenn ich auch nur ein normales Administrator Konto verwende. Windows 7 geht da schon wesentlich besser mit um als XP oder gar Vista aber da ich mit meinem PC viel und in vielen Bereichen arbeite ist es schon ein sehr großes Problem wenn Windows mir beim Arbeiten ständig Probleme bereitet, ich möchte mir die Erfahrung eines eingeschränkten Kontos nichtmal so wirklich vorstellen. Dazu noch ne frage: Gehe ich richtig in der annahme das ein Virus mir nicht den Task-Manager über dieses Konto sperren kann wenn ich jenes Konto verwende? Benutzerkontensteuerung: Hier habe ich die Einstellungen zeitweise runtergesetzt weil auch diese mich gerne mal hin und wieder am arbeiten und vor allem am programmieren gehindert hat. Ich werde es erstmal ne zeit mit der maximalen Einstellung versuchen und mal sehen wie es läuft, ich hoffe einfach das es nicht wieder Problem damit gibt. Das ist aber eine Weile her also mögen Updates da viel positive Veränderung mit sich gebracht haben, was ich hoffe. |
hi, avast premium würd ich nicht kaufen, da gibts bessere alternativen wie emsisoft. na als richtiger admin würd ich schon gar nicht arbeiten, du öffnest damit schadsoftware tür und thor. "Dazu noch ne frage: Gehe ich richtig in der annahme das ein Virus mir nicht den Task-Manager über dieses Konto sperren kann wenn ich jenes Konto verwende?" auf welches konto ist deine frage bezogen? |
Kurz zur Sandbox: Ich habe das Program mal installiert und ausprobiert und kann sagen ich bin ziemlich begeistert. Alles funktioniert reibungslos und Firefox kommt mir eher schneller als langsamer vor. Firefox immer in der Sandbox zu starten ist auch kein Problem da ich das Logo in der Startleiste einfach austauschen kann, so das ich die Sandbox im Endeffekt nicht mal bemerke. Das die Verwendung des Hauptadmin Kontos mir nicht gerade Sicherheit beschert weiß ich ja, ich sollte mich vermutlich mal ausgiebiger mit den pros und cons beschäftigen um abzuwägen ob ich dieses Risiko weiter eingehen will. So wie ich das verstanden habe missbraucht manche Schadsoftware den Hauptadmin account um anderen accounts den Zugriff auf Sachen wie den Task-Manager zu verwehren sowie systemweitere Veränderungen vorzunehmen als anderen Kontos möglich, was vermutlich besonders dann einfach ist wenn dieser wie unter Normalzuständen kein Passwort verfügt. Und mal ehrlich, wer von den normalen PC-Nutzern hat auf seinem Hauptadmin account ein Passwort oder hat das Konto auch nur je gesehen? Sollte ein eigenes Passwort für dieses Konto nicht eine der ersten sicherheitsmaßnahmen sein? Wenn das Hauptadmin Konto kein Passwort hat dürfte die Verwendung eines anderen Kontos wohl kaum einen Unterschied machen wenn der Virus das Hauptadmin Konto eh problemlos verwenden kann. Sehe ich das alles richtig oder ist da irgendwo ein denkfehler? Und nochmal zu der Frage in deinem Post: Der Hauptadmin account sollte nicht in der Lage sein sich selbst den Zugriff auf etwas wie den Task-Manager zu verwehren, oder? |
| Alle Zeitangaben in WEZ +1. Es ist jetzt 17:35 Uhr. |
Copyright ©2000-2025, Trojaner-Board