Trojaner-Board - Trojaner über eigene Website - alles probiert, Problem nach wie vor

Trojaner-Board (https://www.trojaner-board.de/)

- Plagegeister aller Art und deren Bekämpfung (https://www.trojaner-board.de/plagegeister-aller-art-deren-bekaempfung/)

- - Trojaner über eigene Website - alles probiert, Problem nach wie vor (https://www.trojaner-board.de/121100-trojaner-eigene-website-alles-probiert-problem.html)

Trojaner über eigene Website - alles probiert, Problem nach wie vor

Hello @ All.

ich habe mir über eine offizielle Seite einer Hundeschule-Website (die ich vor zwei Jahren mit Joomla selbst programmiert habe) einen Trojaner eingefangen und der macht Probleme. Ich beschreibe mein Problem von Anfang an...

Vorab zur Info:
Diese Website wurde gehackt. Die nötigen Joomla-Sicherheitsanweisungen habe ich alle befolgt (Website komplett gelöscht, Datenbank gelöscht, alles neu aufgesetzt, Sicherheitslücken geschlossen, Passwörter alle geändert, Systemupdate gemacht, usw...).

Was macht der Trojaner/Virus?
Wenn du auf die Homepage über deinen Browser gehst (hxxp://www.hundeschule-breitenlee.at) passiert nichts, es bleibt alles ganz normal. Jetzt sucht man aber über google.at nach "Hundeschule Breitenlee", kommt man wieder auf Google. Sobald du wieder über den Browser auf die Website gelangen willst, kommst du trotzdem wieder auf die Google Seite. Daher habe ich die Homepage komplett gelöscht und bin nach den Sicherheitsangaben von Joomla vorgegangen.

Jetzt zum PC
Jetzt habe ich aber einen Trojaner am PC. Die Problem besteht über Google nach wie vor und der Trojaner lässt sich am PC nicht wirklich finden.
Habe die Software "Malwarebytes Anti Malware" mehrmals durchsuchen lassen und mit dem "CCleaner" mal alles entfernt, aber keine Hinweise.
Plötzlich springt das "Malwarebytes - Fenster" auf nachdem ich auf die Website der Hundeschule gehen wollte und es steht folgendes:

Zitat:

2012/08/02 21:38:47 +0200 MARS phillip IP-BLOCK 37.221.161.3 (Type: outgoing, Port: 60303, Process: firefox.exe)

Danach bin ich auf eine polnische Seite gekommen die sich sofort wieder geschlossen hat.

Etwas hat Malwarebytes gefunden (weis aber nicht, ob das zusammenhängt, denn mein Problem besteht nach wie vor)

Zitat:

atenbank Version: v2012.07.01.06

Windows 7 Service Pack 1 x64 NTFS
Internet Explorer 9.0.8112.16421
phillip :: MARS [Administrator]

01.07.2012 18:47:43
mbam-log-2012-07-01 (18-47-43).txt

Art des Suchlaufs: Vollständiger Suchlauf
Aktivierte Suchlaufeinstellungen: Speicher | Autostart | Registrierung | Dateisystem | Heuristiks/Extra | HeuristiKs/Shuriken | PUP | PUM
Deaktivierte Suchlaufeinstellungen: P2P
Durchsuchte Objekte: 394622
Laufzeit: 12 Minute(n), 17 Sekunde(n)

Infizierte Speicherprozesse: 0
(Keine bösartigen Objekte gefunden)

Infizierte Speichermodule: 0
(Keine bösartigen Objekte gefunden)

Infizierte Registrierungsschlüssel: 0
(Keine bösartigen Objekte gefunden)

Infizierte Registrierungswerte: 0
(Keine bösartigen Objekte gefunden)

Infizierte Dateiobjekte der Registrierung: 2
HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\Explorer|NoViewContextMenu (PUM.RightClick.Disabled) -> Bösartig: (1) Gut: (0) -> Erfolgreich ersetzt und in Quarantäne gestellt.
HKLM\SOFTWARE\Policies\Microsoft\Internet Explorer\Restrictions|NoBrowserContextMenu (PUM.RightClick.Disabled) -> Bösartig: (1) Gut: (0) -> Erfolgreich ersetzt und in Quarantäne gestellt.

Infizierte Verzeichnisse: 1
C:\Users\phillip\AppData\Roaming\svchost (Trojan.Agent.Gen) -> Erfolgreich gelöscht und in Quarantäne gestellt.

Infizierte Dateien: 3
C:\RECYCLER\S-1-5-18\Dc6\C_Users\phillip\AppData\Local\Temp\0_0u_l.exe (Backdoor.Agent.H) -> Erfolgreich gelöscht und in Quarantäne gestellt.
C:\_OTL\MovedFiles\07012012_170054\C_Users\phillip\AppData\Local\Temp\0_0u_l.exe (Backdoor.Agent.H) -> Erfolgreich gelöscht und in Quarantäne gestellt.
C:\Users\phillip\AppData\Roaming\cglogs.dat (Malware.Trace) -> Erfolgreich gelöscht und in Quarantäne gestellt.

Wie gesagt, ich kenn ich mit diesem Thema nicht wirklich aus, vielleicht finde ich hier ja hilfe oder einen Tipp, welches Programm hier abhilfe schaffen kann. Hab angst um meine Passwörter, Bankdaten usw...

Wenn ihr einen gutgeschützten PC habt, könnt ihr das über Google gerne ausprobieren.

Vielen Dank für die Hilfe
Phil

ich schau mal, hast du noch nen backup der infizierten files?
auf dem pc ist außerdem noch n backdoor

danke dir!!! backup hab ich nicht mehr, da ich vor lauter "angst" alles gelöscht habe. außer es gibt über "Malwarebytes" irgendwo einen Backup-Knopf zum rauszippen? wahrscheinlich nicht...

hi
erstelle mir mal ein backup der momentanen website, evtl. auch der datenbank falls möglich, und lads mir bei
File-Upload.net - Ihr kostenloser File Hoster!
hoch, du verteilst im moment malware, wenn das erledigt ist, nimm die page offline

könnt nen rootkit sein was du da verteilst, ich guck mal

Ja, wobei alles geändert wurde und neu aufgesetzt.
Habe auch schon beim hoster nachgefragt... da ist nichts auffälliges bei den Logfiles (FTP-Logs, usw... ) zu erkennen.

hier der link zum download:
GELÖSCHT
Ach ja, hast du das mit Google schon probiert und nach der Seite gesucht? Passiert wahrscheinlich jetzt auch noch nach dem Site-Update oder?

link nicht hier im forum posten.
ja man bekommt beim ersten mal nen backdoor, also muss mit der seite was sein

lusstig, deine page ists nicht, da ist eher der ganze server gehackt :p

hmmmm... das is blöd.
wobei das komischerweise - bis auf diese Hundeschule-Seite - keine Seite betrifft. Also bei Google gibt's keine Probleme, nur bei der Hundeschule.
Blöde Frage mal...
Wenn ich jetzt mal den ganzen Server runter saug, hättest du einen Tipp für mich, nach welcher Datei / verlinkung oder Endung ich suchen muss in einem Quelltext oder so?

Das wird wohl eine Suche nach der Nad im Heuhaufen werden oder? *gg*
Danke dir für die Hilfe...

nein, alle seiten die auf der ip:
178.77.80.201
liegen sind betroffen
unteranderem deine, aber noch 30 andere.
dein hoster ist auch nicht grad dafür bekannt, schnell zu reagieren, aber mal gucken

Danke für die Info ;))

hab grad mit dem Hoster telefoniert. Es gäbe nichts auffälliges.
Lediglich ein Hinweis, dass eine meiner Seiten gehackt wurde (das ist jetzt schon zwei Monte her und die ist mittlerweile komplett gelöscht). Er meinte, es kann sein, dass das vl. noch "Nachwirkungen" sind.
Das Problem mit Google bezeichnet er so, dass Google daran Schuld ist und kein Trojaner... na ja.
Danke dir für die Hilfe, ich saug grad den ganzen Server runter und suche mal. Das mit Google versteh ich halt wirklich nicht.

lg

das ist blödsinn, alle seiten dort sind betroffen
sind das denn deine seiten alle?
ist das ne service nummer oder ne kostenlose telefon nummer?

nö, die bieten hier kostenlosen 24/h Support an und der hat sich das angeblich alles angesehen... aber richtige Techniker sind erst ab 9 Uhr wieder da.

ja, alles meine Seiten. Hab mir hier mal einen virtuellen Server genommen.
Aber alles schon mal gesichert.

Ach ja, zu dem Thema gibt es viele Antworten von Google selbst:

Zitat:

hxxp://productforums.google.com/forum/#!searchin/webmaster-de/Referers/webmaster-de/h0UXCKkjsyw/ji2Ki89AguQJ

oder hier mal auch so eine Art lösungsansatz... aber ich komm nicht drauf, wo das sein soll:

Zitat:

hxxp://www.rexswain.com/cgi-bin/httpview.cgi?url=hxxp://cofitnes.ru/mimosa%3F5&uag=Mozilla/5.0+%28Windows+NT+6.1%3B+WOW64%3B+rv:14.0%29+Gecko/20100101+Firefox/14.0.1&ref=google.de&aen=&req=GET&ver=1.1&fmt=TXT

na ja, alles einfach löschen will ich ehrlich gesagt auch nicht *g*...

naja, aber willst du das sich leute infizieren? deine seiten verteilen wie gesagt malware
poste mir mal die namen deiner seite.
nicht die links

Werde sie dann eh offline nehmen aber muss jetzt noch paar sachen überprüfen und einiges auszuschließen, außerdem lädt der server noch runter...

Naja z.b.:
Minime Kindermoden
Claudia Stöckl
Hundeschule Breitenlee
TV akademie . (österreich endung)
Nails in the city

nicht zb, alle.
werd mcih dann auch mal mit dem hoster unterhalten.
du musst dann übrigens deinn pc neu machen, du hast nen backdoor.

Darf ich dich was fragen? Was heisst neu machen? Kann man eine Backdoor nicht schließen?
Du meinst, dass mir der provider den server abdreht?

weist ichaich weis noch nicht wo das problem liegt
ich brauch die liste der seiten.

Ich schick sie dir als PN

vielleicht hilft ein logfile auch:

HiJackthis Logfile:

Code:

Logfile of Trend Micro HijackThis v2.0.4

Scan saved at 02:20:16, on 03.08.2012

Platform: Windows 7 SP1 (WinNT 6.00.3505)

MSIE: Internet Explorer v9.00 (9.00.8112.16447)

Boot mode: Normal
 

Running processes:

D:\Program Files (x86)\DAEMON Tools Lite\DTLite.exe

C:\Users\phillip\AppData\Roaming\Dropbox\bin\Dropbox.exe

C:\Program Files (x86)\Renesas Electronics\USB 3.0 Host Controller Driver\Application\nusb3mon.exe

D:\Program Files (x86)\iTunes\iTunesHelper.exe

C:\Program Files (x86)\Common Files\Java\Java Update\jusched.exe

C:\Program Files (x86)\Malwarebytes' Anti-Malware\mbamgui.exe

D:\Program Files (x86)\Microsoft Office\Office14\OUTLOOK.EXE

C:\Program Files (x86)\Common Files\Adobe\CS5ServiceManager\CS5ServiceManager.exe

D:\Program Files (x86)\Mozilla Firefox\firefox.exe

D:\Program Files (x86)\Mozilla Firefox\plugin-container.exe

C:\Windows\SysWOW64\Macromed\Flash\FlashPlayerPlugin_11_3_300_268.exe

C:\Windows\SysWOW64\Macromed\Flash\FlashPlayerPlugin_11_3_300_268.exe

C:\Users\phillip\Desktop\HiJackThis204.exe
 

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Bar = Preserve

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = Bing

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = about:blank

R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = MSN Deutschland: Hotmail, Skype Download und Messenger sowie Nachrichten, Unterhaltung, Video, Sport, Lifestyle, Finanzen, Auto uvm. bei MSN

R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = Bing

R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = Bing

R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = MSN Deutschland: Hotmail, Skype Download und Messenger sowie Nachrichten, Unterhaltung, Video, Sport, Lifestyle, Finanzen, Auto uvm. bei MSN

R0 - HKLM\Software\Microsoft\Internet Explorer\Search,SearchAssistant = 

R0 - HKLM\Software\Microsoft\Internet Explorer\Search,CustomizeSearch = 

R1 - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings,ProxyOverride = *.local

R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = 

F2 - REG:system.ini: UserInit=userinit.exe,

O2 - BHO: HP Print Enhancer - {0347C33E-8762-4905-BF09-768834316C61} - C:\Program Files (x86)\HP\Digital Imaging\Smart Web Printing\hpswp_printenhancer.dll

O2 - BHO: ContributeBHO Class - {074C1DC5-9320-4A9A-947D-C042949C6216} - D:\PROGRAM FILES\Adobe CS5\Adobe Contribute CS5\Plugins\IEPlugin\contributeieplugin.dll

O2 - BHO: AcroIEHelperStub - {18DF081C-E8AD-4283-A596-FA578C2EBDC3} - C:\Program Files (x86)\Common Files\Adobe\Acrobat\ActiveX\AcroIEHelperShim.dll

O2 - BHO: Groove GFS Browser Helper - {72853161-30C5-4D22-B7F9-0BBC1D38A37E} - D:\PROGRA~3\MICROS~1\Office14\GROOVEEX.DLL

O2 - BHO: Java(tm) Plug-In SSV Helper - {761497BB-D6F0-462C-B6EB-D4DAF1D92D43} - C:\Program Files (x86)\Java\jre7\bin\ssv.dll

O2 - BHO: Windows Live ID-Anmelde-Hilfsprogramm - {9030D464-4C02-4ABF-8ECC-5164760863C6} - C:\Program Files (x86)\Common Files\Microsoft Shared\Windows Live\WindowsLiveLogin.dll

O2 - BHO: Windows Live Messenger Companion Helper - {9FDDE16B-836F-4806-AB1F-1455CBEFF289} - C:\Program Files (x86)\Windows Live\Companion\companioncore.dll

O2 - BHO: Adobe PDF Conversion Toolbar Helper - {AE7CD045-E861-484f-8273-0445EE161910} - C:\Program Files (x86)\Common Files\Adobe\Acrobat\ActiveX\AcroIEFavClient.dll

O2 - BHO: URLRedirectionBHO - {B4F3A835-0E21-4959-BA22-42B3008E02FF} - D:\PROGRA~3\MICROS~1\Office14\URLREDIR.DLL

O2 - BHO: Bing Bar Helper - {d2ce3e00-f94a-4740-988e-03dc2f38c34f} - "C:\Program Files (x86)\Microsoft\BingBar\BingExt.dll" (file missing)

O2 - BHO: Java(tm) Plug-In 2 SSV Helper - {DBC80044-A445-435b-BC74-9C25C1C588A9} - C:\Program Files (x86)\Java\jre7\bin\jp2ssv.dll

O2 - BHO: SmartSelect - {F4971EE7-DAA0-4053-9964-665D8EE6A077} - C:\Program Files (x86)\Common Files\Adobe\Acrobat\ActiveX\AcroIEFavClient.dll

O2 - BHO: HP Smart BHO Class - {FFFFFFFF-CF4E-4F2B-BDC2-0E72E116A856} - C:\Program Files (x86)\HP\Digital Imaging\Smart Web Printing\hpswp_BHO.dll

O3 - Toolbar: Contribute Toolbar - {517BDDE4-E3A7-4570-B21E-2B52B6139FC7} - D:\PROGRAM FILES\Adobe CS5\Adobe Contribute CS5\Plugins\IEPlugin\contributeieplugin.dll

O3 - Toolbar: Adobe PDF - {47833539-D0C5-4125-9FA8-0819E2EAAC93} - C:\Program Files (x86)\Common Files\Adobe\Acrobat\ActiveX\AcroIEFavClient.dll

O3 - Toolbar: Bing Bar - {8dcb7100-df86-4384-8842-8fa844297b3f} - "C:\Program Files (x86)\Microsoft\BingBar\BingExt.dll" (file missing)

O4 - HKLM\..\Run: [NUSB3MON] "C:\Program Files (x86)\Renesas Electronics\USB 3.0 Host Controller Driver\Application\nusb3mon.exe"

O4 - HKLM\..\Run: [JMB36X IDE Setup] C:\Windows\RaidTool\xInsIDE.exe

O4 - HKLM\..\Run: [BCSSync] "D:\Program Files (x86)\Microsoft Office\Office14\BCSSync.exe" /DelayServices

O4 - HKLM\..\Run: [AdobeCS5ServiceManager] "C:\Program Files (x86)\Common Files\Adobe\CS5ServiceManager\CS5ServiceManager.exe" -launchedbylogin

O4 - HKLM\..\Run: [SwitchBoard] C:\Program Files (x86)\Common Files\Adobe\SwitchBoard\SwitchBoard.exe

O4 - HKLM\..\Run: [Adobe ARM] "C:\Program Files (x86)\Common Files\Adobe\ARM\1.0\AdobeARM.exe"

O4 - HKLM\..\Run: [APSDaemon] "C:\Program Files (x86)\Common Files\Apple\Apple Application Support\APSDaemon.exe"

O4 - HKLM\..\Run: [QuickTime Task] "C:\Program Files (x86)\QuickTime\QTTask.exe" -atboottime

O4 - HKLM\..\Run: [iTunesHelper] "D:\Program Files (x86)\iTunes\iTunesHelper.exe"

O4 - HKLM\..\Run: [SunJavaUpdateSched] "C:\Program Files (x86)\Common Files\Java\Java Update\jusched.exe"

O4 - HKLM\..\Run: [Malwarebytes' Anti-Malware] "C:\Program Files (x86)\Malwarebytes' Anti-Malware\mbamgui.exe" /starttray

O4 - HKCU\..\Run: [DAEMON Tools Lite] "D:\Program Files (x86)\DAEMON Tools Lite\DTLite.exe" -autorun

O4 - Startup: Dropbox.lnk = phillip\AppData\Roaming\Dropbox\bin\Dropbox.exe

O6 - HKLM\Software\Policies\Microsoft\Internet Explorer\Restrictions present

O9 - Extra button: @C:\Program Files (x86)\Windows Live\Companion\companionlang.dll,-600 - {0000036B-C524-4050-81A0-243669A86B9F} - C:\Program Files (x86)\Windows Live\Companion\companioncore.dll

O9 - Extra button: @C:\Program Files (x86)\Windows Live\Writer\WindowsLiveWriterShortcuts.dll,-1004 - {219C3416-8CB2-491a-A3C7-D9FCDDC9D600} - C:\Program Files (x86)\Windows Live\Writer\WriterBrowserExtension.dll

O9 - Extra 'Tools' menuitem: @C:\Program Files (x86)\Windows Live\Writer\WindowsLiveWriterShortcuts.dll,-1003 - {219C3416-8CB2-491a-A3C7-D9FCDDC9D600} - C:\Program Files (x86)\Windows Live\Writer\WriterBrowserExtension.dll

O9 - Extra button: An OneNote senden - {2670000A-7350-4f3c-8081-5663EE0C6C49} - D:\Program Files (x86)\Microsoft Office\Office14\ONBttnIE.dll

O9 - Extra 'Tools' menuitem: An OneNote s&enden - {2670000A-7350-4f3c-8081-5663EE0C6C49} - D:\Program Files (x86)\Microsoft Office\Office14\ONBttnIE.dll

O9 - Extra button: Verknüpfte &OneNote-Notizen - {789FE86F-6FC4-46A1-9849-EDE0DB0C95CA} - D:\Program Files (x86)\Microsoft Office\Office14\ONBttnIELinkedNotes.dll

O9 - Extra 'Tools' menuitem: Verknüpfte &OneNote-Notizen - {789FE86F-6FC4-46A1-9849-EDE0DB0C95CA} - D:\Program Files (x86)\Microsoft Office\Office14\ONBttnIELinkedNotes.dll

O9 - Extra button: HP Smart Web Printing ein- oder ausblenden - {DDE87865-83C5-48c4-8357-2F5B1AA84522} - C:\Program Files (x86)\HP\Digital Imaging\Smart Web Printing\hpswp_BHO.dll

O10 - Unknown file in Winsock LSP: c:\program files (x86)\common files\microsoft shared\windows live\wlidnsp.dll

O10 - Unknown file in Winsock LSP: c:\program files (x86)\common files\microsoft shared\windows live\wlidnsp.dll

O11 - Options group: [ACCELERATED_GRAPHICS] Accelerated graphics

O15 - Trusted Zone: hxxp://*.alipay.com

O15 - Trusted Zone: hxxp://*.alisoft.com

O15 - Trusted Zone: hxxp://*.taobao.com

O18 - Protocol: wlpg - {E43EF6CD-A37A-4A9B-9E6F-83F89B8E6324} - C:\Program Files (x86)\Windows Live\Photo Gallery\AlbumDownloadProtocolHandler.dll

O18 - Filter hijack: text/xml - {807573E5-5146-11D5-A672-00B0D022E945} - C:\Program Files (x86)\Common Files\Microsoft Shared\OFFICE14\MSOXMLMF.DLL

O23 - Service: Acronis OS Selector Reinstall Service (AcronisOSSReinstallSvc) - Unknown owner - C:\Program Files (x86)\Common Files\Acronis\Acronis Disk Director\oss_reinstall_svc.exe

O23 - Service: Adobe Acrobat Update Service (AdobeARMservice) - Adobe Systems Incorporated - C:\Program Files (x86)\Common Files\Adobe\ARM\1.0\armsvc.exe

O23 - Service: Adobe Flash Player Update Service (AdobeFlashPlayerUpdateSvc) - Adobe Systems Incorporated - C:\Windows\SysWOW64\Macromed\Flash\FlashPlayerUpdateService.exe

O23 - Service: @%SystemRoot%\system32\Alg.exe,-112 (ALG) - Unknown owner - C:\Windows\System32\alg.exe (file missing)

O23 - Service: Apple Mobile Device - Apple Inc. - C:\Program Files (x86)\Common Files\Apple\Mobile Device Support\AppleMobileDeviceService.exe

O23 - Service: Dienst "Bonjour" (Bonjour Service) - Apple Inc. - C:\Program Files\Bonjour\mDNSResponder.exe

O23 - Service: @%SystemRoot%\system32\efssvc.dll,-100 (EFS) - Unknown owner - C:\Windows\System32\lsass.exe (file missing)

O23 - Service: @%systemroot%\system32\fxsresm.dll,-118 (Fax) - Unknown owner - C:\Windows\system32\fxssvc.exe (file missing)

O23 - Service: Google Updater Service (gusvc) - Google - C:\Program Files (x86)\Google\Common\Google Updater\GoogleUpdaterService.exe

O23 - Service: InstallDriver Table Manager (IDriverT) - Macrovision Corporation - C:\Program Files (x86)\Common Files\InstallShield\Driver\1050\Intel 32\IDriverT.exe

O23 - Service: iPod-Dienst (iPod Service) - Apple Inc. - C:\Program Files\iPod\bin\iPodService.exe

O23 - Service: @keyiso.dll,-100 (KeyIso) - Unknown owner - C:\Windows\system32\lsass.exe (file missing)

O23 - Service: MBAMService - Malwarebytes Corporation - C:\Program Files (x86)\Malwarebytes' Anti-Malware\mbamservice.exe

O23 - Service: Mozilla Maintenance Service (MozillaMaintenance) - Mozilla Foundation - C:\Program Files (x86)\Mozilla Maintenance Service\maintenanceservice.exe

O23 - Service: @comres.dll,-2797 (MSDTC) - Unknown owner - C:\Windows\System32\msdtc.exe (file missing)

O23 - Service: @%SystemRoot%\System32\netlogon.dll,-102 (Netlogon) - Unknown owner - C:\Windows\system32\lsass.exe (file missing)

O23 - Service: NVIDIA Driver Helper Service (NVSvc) - Unknown owner - C:\Windows\system32\nvvsvc.exe (file missing)

O23 - Service: orgaMAX Mobil Service (orgaMAXMobileService) - deltra Business Software GmbH & Co. KG - D:\orgaMAX\orgamaxmobil_service.exe

O23 - Service: @%systemroot%\system32\psbase.dll,-300 (ProtectedStorage) - Unknown owner - C:\Windows\system32\lsass.exe (file missing)

O23 - Service: @%systemroot%\system32\Locator.exe,-2 (RpcLocator) - Unknown owner - C:\Windows\system32\locator.exe (file missing)

O23 - Service: @%SystemRoot%\system32\samsrv.dll,-1 (SamSs) - Unknown owner - C:\Windows\system32\lsass.exe (file missing)

O23 - Service: @%SystemRoot%\system32\snmptrap.exe,-3 (SNMPTRAP) - Unknown owner - C:\Windows\System32\snmptrap.exe (file missing)

O23 - Service: @%systemroot%\system32\spoolsv.exe,-1 (Spooler) - Unknown owner - C:\Windows\System32\spoolsv.exe (file missing)

O23 - Service: @%SystemRoot%\system32\sppsvc.exe,-101 (sppsvc) - Unknown owner - C:\Windows\system32\sppsvc.exe (file missing)

O23 - Service: NVIDIA Stereoscopic 3D Driver Service (Stereo Service) - NVIDIA Corporation - C:\Program Files (x86)\NVIDIA Corporation\3D Vision\nvSCPAPISvr.exe

O23 - Service: SwitchBoard - Adobe Systems Incorporated - C:\Program Files (x86)\Common Files\Adobe\SwitchBoard\SwitchBoard.exe

O23 - Service: @%SystemRoot%\system32\ui0detect.exe,-101 (UI0Detect) - Unknown owner - C:\Windows\system32\UI0Detect.exe (file missing)

O23 - Service: @%SystemRoot%\system32\vaultsvc.dll,-1003 (VaultSvc) - Unknown owner - C:\Windows\system32\lsass.exe (file missing)

O23 - Service: @%SystemRoot%\system32\vds.exe,-100 (vds) - Unknown owner - C:\Windows\System32\vds.exe (file missing)

O23 - Service: @%systemroot%\system32\vssvc.exe,-102 (VSS) - Unknown owner - C:\Windows\system32\vssvc.exe (file missing)

O23 - Service: @%SystemRoot%\system32\Wat\WatUX.exe,-601 (WatAdminSvc) - Unknown owner - C:\Windows\system32\Wat\WatAdminSvc.exe (file missing)

O23 - Service: @%systemroot%\system32\wbengine.exe,-104 (wbengine) - Unknown owner - C:\Windows\system32\wbengine.exe (file missing)

O23 - Service: @%Systemroot%\system32\wbem\wmiapsrv.exe,-110 (wmiApSrv) - Unknown owner - C:\Windows\system32\wbem\WmiApSrv.exe (file missing)

O23 - Service: @%PROGRAMFILES%\Windows Media Player\wmpnetwk.exe,-101 (WMPNetworkSvc) - Unknown owner - C:\Program Files (x86)\Windows Media Player\wmpnetwk.exe (file missing)
 

--

End of file - 12718 bytes

--- --- ---

nein, den pc machen wir dann wie gesagt neu.
wir könnten auch erst den pc neu machen und dann die page, um sicher zu gehen.
übrigens ist die htaccess datei hier verendert, die leitet dich, wie ichs gesagt hab, auf ne russische seite

kannst ja dann auch mal bescheid geben, wenn du mit allem fertig bist

bin momentan in der arbeit und nicht zu Hause.
paar der Domains (die ich dir geschickt habe) sind wieder online und nach den Joomla-Richtlinien ausgebessert. Die Hundeschule noch nicht. Aber ein kleiner Erfolg is ja schon da :) Danke dir.

Morgen kommt mein PC drann, alles löschen und neu machen. Ooooh mann, wenn ich daran denke alles neu aufzubauen, wird mir jetzt schnon übel :(

sag mal, hast du irgendeinen Programmvorschlag für Malware u. Virus, die ich von Anfang an am PC haben sollte? Dann saug ich mir die heute Nacht noch runter und sicher mir alles bevor der PC wieder ins Netz kommt...

weist du wie man formatiert:
kurze anleitung.
windows cd einlegen, neustart, f12 drücken, cd laufwerk wählen, weiter, bis du bei den partitionen bist, optioen, formatieren wählen, bestätigen.
achtung: wenn bei der neu instalation daten nach windows.old verschoben werden sollen, abbrechen, erneut formatieren
danach:
als antimalware programm würde ich emsisoft empfehlen.
diese haben für mich den besten schutz kostet aber etwas.
http://www.trojaner-board.de/103809-...i-malware.html
testversion:
Meine Antivirus-Empfehlung: Emsisoft Anti-Malware
insbesondere wenn du onlinebanking, einkäufe, sonstige zahlungsabwicklungen oder ähnlich wichtiges, wie zb berufliches machst, also sensible daten zu schützen sind, solltest du in sicherheitssoftware investieren.
vor dem aktivieren der lizenz die 30 tage testzeitraum ausnutzen.

kostenlos, aber eben nicht ganz so gut wäre avast zu empfehlen.
http://www.trojaner-board.de/110895-...antivirus.html

sag mir welches du nutzt, dann gebe ich konfigurationshinweise.
bitte dein bisheriges av deinstalieren
die folgende anleitung ist umfangreich, dass ist mir klar, sie sollte aber umgesetzt werden, da nur dann dein pc sicher ist. stelle so viele fragen wie nötig, ich arbeite gern alles mit dir durch!

http://www.trojaner-board.de/96344-a...-rechners.html
Starte bitte mit der Passage, Windows Vista und Windows 7
Bitte beginne damit, Windows Updates zu instalieren.
Am besten geht dies, wenn du über Start, Suchen gehst, und dort Windows Updates eingibst.
Prüfe unter "Einstellungen ändern" dass folgendes ausgewählt ist:
- Updates automatisch Instalieren,
- Täglich
- Uhrzeit wählen
- Bitte den gesammten rest anhaken, außer:
- detailierte benachichtungen anzeigen, wenn neue Microsoft software verfügbar ist.
Klicke jetzt die Schaltfläche "OK"
Klicke jetzt "nach Updates suchen".
Bitte instaliere zunächst wichtige Updates.
Es wird nötig sein, den PC zwischendurch neu zu starten. falls dies der Fall ist, musst du erneut über Start, Suchen, Windows Update aufrufen, auf Updates suchen klicken und die nächsten instalieren.
Mache das selbe bitte mit den optionalen Updates.
Bitte übernimm den rest so, wie es im Abschnitt windows 7 / Vista zu lesen ist.
aus dem Abschnitt xp, bitte den punkt "datenausführungsverhinderung, dep" übernehmen.
als browser rate ich dir zu chrome:
Installation von Google Chrome für mehrere Nutzerkonten - Google Chrome-Hilfe
anleitung lesen bitte
falls du nen andern nutzen willst, sags mir dann muss ich teile der nun folgenden anleitung

Sandboxie
Die devinition einer Sandbox ist hier nachzulesen:
Sandbox
Kurz gesagt, man kann Programme fast 100 %ig isuliert vom System ausführen.

Der Vorteil liegt klar auf der Hand, wenn über den Browser Schadcode eingeschläust wird, kann dieser nicht nach außen dringen.
Download Link:
Sandboxie Download - Sandboxie 3.72

anleitung:
http://www.trojaner-board.de/71542-a...sandboxie.html
ausführliche anleitung als pdf, auch abarbeiten:
Sandbox Einstellungen |

bitte folgende zusatz konfiguration machen:
sandboxie control öffnen, menü sandbox anklicken, defauldbox wählen.
dort klicke auf sandbox einstellungen.
beschrenkungen, bei programm start und internet zugriff schreibe:
chrome.exe
dann gehe auf anwendungen, webbrowser, chrome.
dort aktiviere alles außer gesammten profil ordner freigeben.
Wie du evtl. schon gesehen hast, kannst du einige Funktionen nicht nutzen.
Dies ist nur in der Vollversion nötig, zu deren Kauf ich dir rate.
Du kannst zb unter "Erzwungene Programmstarts" festlegen, dass alle Browser in der Sandbox starten.
Ansonsten musst du immer auf "Sandboxed webbrowser" klicken bzw Rechtsklick, in Sandboxie starten.
Eine lebenslange Lizenz kostet 30 €, und ist auf allen deinen PC's nutzbar.

Weiter mit:
Maßnahmen für ALLE Windows-Versionen
alles komplett durcharbeiten
anmerkung zu file hippo.
in den settings zusätzlich auswählen:
hide beta updates.
Run updateChecker when Windows starts

Backup Programm:
in meiner Anleitung ist bereits ein Backup Programm verlinkt, als Alternative bietet sich auch das Windows eigene Backup Programm an:
http://www.trojaner-board.de/82962-w...en-backup.html
Dies ist aber leider nur für Windows 7 Nutzer vernünftig nutzbar.
Alle Anderen sollten sich aber auf jeden fall auch ein Backup Programm instalieren, denn dies kann unter Umständen sehr wichtig sein, zum Beispiel, wenn die Festplatte einmal kaputt ist.

Zum Schluss, die allgemeinen sicherheitstipps beachten, wenn es dich betrifft, den Tipp zum Onlinebanking beachten und alle Passwörter ändern
bitte auch lesen, wie mache ich programme für alle sichtbar:
Programme für alle Konten nutzbar machen - PCtipp.ch - Praxis & Hilfe
surfe jetzt also nur noch im standard nutzer konto und dort in der sandbox.
wenn du die kostenlose version nutzt, dann mit klick auf sandboxed web browser, wenn du die bezahlversion hast, kannst du erzwungene programm starts festlegen, dann wird sandboxie immer gestartet wenn du nen browser aufrufst.
wenn du mit der maus über den browser fährst sollte der eingerahmt sein, dann bist du im sandboxed web browser

passwort sicherheit:
jeder dienst benötigt ein eigenes, mindestens 12-stelliges passwort
bei der passwort verwaltung und erstellung hilft roboform
Passwort Manager, Formular Ausfueller, Passwort Management | RoboForm Passwort Manager
anleitung:
RoboForm-Bedienungsanleitung: Passwort-Manager, Verwalten von Passwörtern und persönlichen Daten

Hello,

bin gestern den ganzen Tag gesessen um alles zu sichern und alles neu und genau nach Anleitung aufzusetzen. Was habe ich jetzt alles gemacht.

Meine C: Festplatte komplett formatiert, Windows 7 ordnungsgemäß installiert. Alle Windowsupdates und Einstellungen so wie beschrieben - durchgeführt.

Ich habe mir jetzt folgendes zugelegt:

- Emsisoft Anti-Malware und die Firewall (momentan noch in der 30-Tage Testversion, aber habe mir die Tests angesehen und werde mir das Paket wahrscheinlich kaufen). Wie gesagt, für Software zahle ich auch was und hab nichts gecracktes auf dem PC.

- Sandboxie in der Freeware-Version ist schon mal installiert.
Als Standardbrowser habe ich immer den Firefox gehabt (gewohnheit und zum websiteerstellen einfach gut) und zum Testen den InternetExplorer. Würde ich gerne so beibehalten, wenn das geht.

Zur Sandboxie habe ich eine Frage. Bei Neuinstallationen von Programmen wie z.B. das komplette MS-Office2012er Paket hat er mich gefragt, ob ich dies zur Sandbox hinzufügen möchte oder nicht. Ist das für alle Programme ratsam oder nicht?

Sonst habe ich deine Punkte abgearbeitet und jetzt geht's ans installieren meiner Softwareprogramme.

hi,
niemand hat behauptet, das du gecrackte software nutzt :-)
emsi konfig:
emsisoft öffnen, einstellungen klicken.
geplanter scan.
wähle starten um, ich persönlich hab monatlich, kannst aber auch wöchendlich einstellen.
uhrzeit, und bei monatlich ebenfalls datum wählen.
unsichtbar, falls du das scan fenster nicht sehen möchtest.
und verpasste scans nachholen.
auto update:
intervall, täglich, stündlich von 00.00 bis 23.59
heißt jede stunde updates.
einstellung: update
am antimalware network teilnemen.
die andern beiden haken, beta updates und zusätzliche sprachen, nicht setzen.

rest bleibt.
klicke jetzt auf wächter:
dort auf wächter.
verhaltensanalyse aktivieren, alles selektieren.
jetzt auf alarme:
aktiviere dort comunety basierte alarm reduktion.
unter anderem dafür gibt es das antimalware network.
die comunety basierte alarm reduktion betrifft die verhaltensanalyse.
emsisoft gibt, bei einigen programmen, meldungen raus, weil das verhalten des programmes dies notwendig macht.
da manche user sich damit nicht auskennen, was keine schande ist, :-) wird hier geprüft, wie viele nutzer haben programm x erlaubt oder blockiert.
hier haben wir im moment 90 % eingestellt, also wenn 90 % sagen, das programm ist io, wird ne erlauben regel angelegt, wenn sie sagen, programm x ist bösartig, automatisch blockiert.
wenn du dir das allein zutraust, musst du den haken nicht setzen.
wenn zb nur 70 % aller user sagen programm x ist gut oder bösartig, wird dir dies in einer grafik angezeigt
jetzt auf datei wächter.
standard atkion für erkannte objekte, alarmieren.
surf schutz:
hier alles auf blockieren mit info.
wenn es eine seite gibt, die versehens blockiert wird, kanns du die direkt über das popup erlauben was es bei der blockierung gibt, oder über host regeln.
wenn dir diese info popups nicht gefallen musst du alles auf unsichtbar blockieren stellen, aber drann denken, zu prüfen wenn du ne seite hast, die nicht geladen wird, ob emsi sie geblockt hatt.

das wäre es, hoffe es war verständlich.

firefox und sandboxie:
gib dann anstelle der chrome.exe folgendes frei:
iexplore.exe
firefox.exe
plugin-container.exe

dann, unter anwendungen, webbrowser, freigaben für ff und internet explorer setzen, außer gesammten profil ordner.
du hast office aber außerhalb der sandbox instaliert?

VIELEN VIELEN Dank für die ausführliche Info.
werde das gleich heute nach der arbeit so umsetzen.

Der PC ist wieder voll da. Seit gestern lass ich den meine anderen Festplatten scannen. Dauert bis zu 12 Stunden sagt Emi.

ja, office hab ich außerhalb der sandbox instaliert. Aber bei der Installation div. Programme öffnet sich ja automatisch ein Fenster von Sandbox wo du Programme hinzufügen und entfernen kannst (wo das fenster im nachhinein ist, keine ahnung, das hab ich nimmer gefunden), Office hab ich rausgenommen.

Ach ja und zusätzlich habe ich mir jetzt für div. Tests einen Virtuellen PC (Windows XP von Microsoft) runtergeladen. Der ist von allen Laufwerken meines Rechners getrennt um schlimmes zu verhindern.

hi,
ja es gibt einige programme denen sandboxie das zugreifen erlaubt aus kompatibilitäts gründen, emsisoft zb, office muss da nicht unbedingt zugelassen werden, das ist richtig.
weitere scans deiner platten sollten in zukunft schneller gehen.
wie siehts mit den websites aus, schon mit den tipps weitergekommen
oder machst du das dann später.