|
Infektion mit Worm.Allaple.Win32.27020 ? Guten Tag, Ich habe mich vielleicht mit einem Wurm Infiziert, dem Worm.Allaple.Win32.27020. Dieser stammt aus einem Emulator da nach dem starten des NO$GBA 2.8b Emulator ich erst hinterher einen Check auf VirusTotal habe durchführen lassen. Dort wurde mir von Cillya angezeigt das in der exe des Emulators dieser Wurm ist und meine frage ist jetzt wie kann ich herausfinden ob er auf meinem System ist oder nicht? MfG PTX |
moin :kaffee: So kann dir das niemand sagen. :glaskugel: Zumindest der Link zu VT wäre notwendig gewesen. Zitat:
|
Hallo cosinus, Das ist lediglich die Erklärung was mir Cillya angezeigt hat, ich hatte ja den genauen Namen des Schädlings den Zillya mir angezeigt hat in meinem Post veröffentlicht. Ich werde aber gleich wenn ich am Laptop bin einen Link nachreichen. MfG [Edit] So hier ist der versprochene Link von VT, ich hoffe das er weiter hilft. https://www.virustotal.com/de/file/e62a072fd2970547f012e2af356d3b280c9a854da161c9644f3ffece5793aa01/analysis/1458579927/ |
Wieso nimmst du eigentlich so einen merkwürdig unbekannt-exotischen Virenscanner??? :wtf: Hast mal deinen VT-Link richtig angeschaut? Nur dieses zillya sieht da angeblich einen Schädling. |
Ja sicher habe ich mir die Scan Ergebnisse angeschaut, oder glaubst du ich würde sonst hier fragen? Sag mir wenn ich mich irre aber ist das hier nicht der Bereich den ihr verlinkt habt wenn man sich nicht sicher ist ob man einen Virus hat? Und ich würde echt mal gerne wissen wie du drauf kommst das ich einen exotischen Virenscanner nehme... Was kann ich denn dafür wenn die da bei VT diese Engine haben und mir da bei den ganzen Engines von Zillya was angezeigt wird? |
Oje, dann hab ich dich falsch verstanden :D Ich dachte du hast nen Virenscanner von zillya installiert. Ich dachte erst, das könnte der Name deiner Freundin sein oder so :D Also: in deinem besagten VT-Link sieht man nur einen Fund. Wo reintheoretisch 50 Scanner hätten anschlagen können. Du kannst ganz sicher davon ausgehen, dass es ein Fehlalarm ist, wenn nur ein Scanner anschlägt und v.a. dann, wenn es solchen "noname" Dinger wie zillya sind. Oder die für ihre Fehlalarme bekannt sind wie zB ClamAV. Natürlich heißt das nicht, dass dann die Malwarefreiheit garantiert ist. Es gibt keine 100% sichere Methode, die Abwesenheit von Schadcode zu beweisen. Also heißt es: man traut dem Herausgeber der Software oder eben nicht. |
Liste der Anhänge anzeigen (Anzahl: 1) Na dann haben wir das ja jetzt geklärt :Boogie: Also ich habe gestern beobachtet das mein Laptop einfach ausgegangen ist, also bzw. das System plötzlich gefreezt wurde und ich es auf die Brutale Art neustarten musste. Mein Laptop ist grade mal drei Wochen alt und das ist nicht normal... Zudem zeigt mir mein Taskmanager zwei komische Prozesse im Autostart an. Ich habe dir mal nen Screenshot gemacht. Es sind keinerlei Informationen zu dem Programm oder was auch immer es ist zu finden, ich denke das ich mir doch was eingefangen habe und würde gerne mit deiner Hilfe mal schauen ob wir da nicht doch irgendwo was finden was sich nicht auf meinem System zu befinden hat. Womit soll ich anfangen zu scannen? MfG |
Scan mit Farbar's Recovery Scan Tool (FRST) Bitte lade dir die passende Version von Farbar's Recovery Scan Tool auf deinen Desktop:  FRST 32-Bit | FRST 64-Bit(Wenn du nicht sicher bist: Lade beide Versionen oder unter Start > Computer (Rechtsklick) > Eigenschaften nachschauen)
 Lesestoff:Posten in CODE-Tags Die Logfiles anzuhängen oder sogar vorher in ein ZIP, RAR oder 7Z-Archiv zu packen erschwert mir massiv die Arbeit. Auch wenn die Logs für einen Beitrag zu groß sein sollten, bitte ich dich die Logs direkt und notfalls über mehrere Beiträge verteilt zu posten. Um die Logfiles in eine CODE-Box zu stellen gehe so vor:
|
Danke für die Hilfe. Wie kann ich denn die zwei Logfiles in einem Post veröffentlichen? Jedesmal kommt ne Meldung von wegen Limit, ich kann doch jetzt nicht bis 120000 die ganzen Zeichen da zählen damit es passt... Kann ich nicht die beiden Logs als Datei anhängen oder zumindest das FRST.txt denn die hat über 500000 Zeichen. Addition.txt Code: Zusätzliches Untersuchungsergebnis von Farbar Recovery Scan Tool (x64) Version:05-03-2016 01 |
FRST.txt Chronologisch gesplittet Code: Untersuchungsergebnis von Farbar Recovery Scan Tool (FRST) (x64) Version:05-03-2016 01 |
Code: 2016-03-12 12:19 - 2014-10-29 02:12 - 00516608 _____ (Microsoft Corporation) C:\Windows\system32\es.dll |
Code: 2016-03-12 12:18 - 2014-10-29 01:43 - 00165376 _____ (Microsoft Corporation) C:\Windows\SysWOW64\PortableDeviceTypes.dll |
Code: 2016-03-12 12:17 - 2014-10-29 02:53 - 00075264 _____ (Microsoft Corporation) C:\Windows\system32\dpapimig.exe |
Code: 2016-03-12 11:47 - 2015-08-22 14:42 - 00012128 _____ (Microsoft Corporation) C:\Windows\SysWOW64\api-ms-win-crt-environment-l1-1-0.dllSorry cosinus aber anders ging es nicht als die FRST.txt so zu posten, das Limit ist bei weitem überschritten aber das wird sicher bekannt sein. |
Zitat:
|
Reicht es denn FRST als Admin zu starten oder muss ich es am besten unter dem Admin Konto laufen lassen? |
Zitat:
|
Okay habe ich erledigt. FRST.txt Code: Untersuchungsergebnis von Farbar Recovery Scan Tool (FRST) (x64) Version:05-03-2016 01 |
Code: 2016-03-12 12:19 - 2014-10-29 02:15 - 00809472 _____ (Microsoft Corporation) C:\Windows\SysWOW64\ReAgent.dll |
Code: 2016-03-12 12:18 - 2014-10-29 01:43 - 00264192 _____ (Microsoft Corporation) C:\Windows\SysWOW64\BioCredProv.dll |
Code: 2016-03-12 12:17 - 2014-10-29 02:53 - 00262144 _____ (Microsoft Corporation) C:\Windows\system32\dot3svc.dll |
Code: 2016-03-12 11:47 - 2015-08-22 14:42 - 00012640 _____ (Microsoft Corporation) C:\Windows\SysWOW64\api-ms-win-crt-heap-l1-1-0.dll |
Addition.txt Code: Zusätzliches Untersuchungsergebnis von Farbar Recovery Scan Tool (x64) Version:05-03-2016 01Dem betroffenen Konto habe ich Administrator Rechte gegeben aber im FRST Logfile steht unten trotzdem folgendes: ACHTUNG: ==> Auf den BCD konnte nicht zugegriffen werden. der Benutzer ist kein Administrator Warum??? |
Dann wirst du FRST explizit mal als Admin starten müssen: Rechtsklick => als Administrator ausführen |
Ich dachte das erübrigt sich wenn ich dem Konto Administrator Rechte gebe. |
Siehst du ja :rofl: Normalerweise ist das ja auch so. Aber vllt ist deine UAC verstellt oder so. Mach es doch bitte einfach wie ich beschrieben hab mit dem Rechtsklick, dann sehen wir weiter. |
Ich habe es doch so gemacht und wollte lediglich wissen wodran das jetzt genau liegt. Also Fakt ist ich habe nicht die UAC verstellt, das hat ja seinen Grund das sowas existiert... FRST.txt Code: Untersuchungsergebnis von Farbar Recovery Scan Tool (FRST) (x64) Version:05-03-2016 01 |
Code: 2016-03-12 12:19 - 2014-10-29 02:10 - 00516096 _____ (Microsoft Corporation) C:\Windows\SysWOW64\wmdrmsdk.dll |
Code: 2016-03-12 12:18 - 2014-10-29 01:42 - 00865280 _____ (Microsoft Corporation) C:\Windows\SysWOW64\FirewallControlPanel.dll |
Code: 2016-03-12 12:17 - 2014-10-29 02:53 - 00027648 _____ (Microsoft Corporation) C:\Windows\SysWOW64\rpcnsh.dll |
Code: 2016-03-12 11:47 - 2015-08-22 14:35 - 00020832 _____ (Microsoft Corporation) C:\Windows\system32\api-ms-win-crt-math-l1-1-0.dll |
Addition.txt Code: Zusätzliches Untersuchungsergebnis von Farbar Recovery Scan Tool (x64) Version:05-03-2016 01 |
Zitat:
Ist das ein gewerblich gentuztes System oder gar ein Büro-PC? |
Das ist ein Proxy von einer Klinik in der ich momentan bin. Ein Squid Proxy oderso ähnlich. |
Du bist da Patient? Oder Mitarbeiter an einem Klink-PC??? Bitte mal genauer und Klartext! :kloppen: |
Ich bin dort Patient und da ich eine Reha mache darf man hier auch über die Klinik ins Netz. Aber das geht halt nur über diesen blöden Proxy. Naja aber meine frage ist jetzt warum dich das so Interessiert? :wtf: Das will ich aber jetzt genauer wissen, dürftest du mir sonst nicht helfen oder wie? Ich will doch bloß meinen Laptop wieder frei von dem Wurm da haben oder was sonst diese komischen Prozesse im Hintergrund verursachen, und nicht zu vergessen das ich nie an der UAC gewesen bin und die Vergabe der Admin Rechte an mein User Konto nicht ausgereicht haben um FRST vernünftig laufen zu lassen...... |
Weil ich wissen wollte was es mit dem Teil auf sich hat! Aber da du ein Patient bist ist die Sache doch nun geklärt. Malwarebytes Anti-Rootkit (MBAR) Downloade dir bitte  Malwarebytes Anti-Rootkit und speichere es auf deinem Desktop.
Starte keine andere Datei in diesem Ordner ohne Anweisung eines Helfers |
Hier ist die Logdatei von mbar. Code: Malwarebytes Anti-Rootkit BETA 1.9.3.1001 |
Adware/Junkware/Toolbars entfernen Alte Versionen von adwCleaner und falls vorhanden JRT vorher löschen, danach neu runterladen auf den Desktop! Virenscanner jetzt vor dem Einsatz dieser Tools bitte komplett deaktivieren! 1. Schritt: adwCleaner Downloade Dir bitte  AdwCleaner auf deinen Desktop.
2. Schritt: JRT - Junkware Removal Tool Beende bitte Deine Schutzsoftware um eventuelle Konflikte zu vermeiden.
3. Schritt: Frisches Log mit FRST Bitte lade dir die passende Version von Farbar's Recovery Scan Tool auf deinen Desktop: FRST 32-Bit | FRST 64-Bit(Wenn du nicht sicher bist: Lade beide Versionen oder unter Start > Computer (Rechtsklick) > Eigenschaften nachschauen)
|
So ich habe hier das adwCleaner Logfile der frisch runtergeladenen adwCleaner Version für dich. Code: # AdwCleaner v5.105 - Bericht erstellt am 25/03/2016 um 23:49:06Hier die JRT.txt Code: ~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~ |
FRST.txt Code: Untersuchungsergebnis von Farbar Recovery Scan Tool (FRST) (x64) Version:05-03-2016 01 |
Code: 2016-03-12 12:19 - 2014-10-29 02:15 - 00809472 _____ (Microsoft Corporation) C:\Windows\SysWOW64\ReAgent.dll |
Code: 2016-03-12 12:18 - 2014-10-29 01:43 - 00264192 _____ (Microsoft Corporation) C:\Windows\SysWOW64\BioCredProv.dll |
Code: 2016-03-12 12:17 - 2014-10-29 02:53 - 00262144 _____ (Microsoft Corporation) C:\Windows\system32\dot3svc.dll |
Code: 2016-03-12 11:47 - 2015-08-22 14:42 - 00012640 _____ (Microsoft Corporation) C:\Windows\SysWOW64\api-ms-win-crt-heap-l1-1-0.dll |
Additions.txt Code: Zusätzliches Untersuchungsergebnis von Farbar Recovery Scan Tool (x64) Version:05-03-2016 01Ich habe zwei Fragen, was bedeutet das? [-] Schlüssel Gelöscht : HKLM\SOFTWARE\Microsoft\SystemCertificates\AuthRoot\Certificates\3679CA35668772304D30A5FB873B0FA77BB70D54 und das: :: "Tracing" Schlüssel gelöscht ? Und was bedeutet das: File System: 1 Successfully deleted: C:\Windows\prefetch\REVO UNINSTALLER FREE 1.95.EX-94975FE2.pf (File) Registry: 2 Successfully deleted: HKCU\Software\Microsoft\Internet Explorer\SearchScopes\{BAE421FD-94C8-4133-9109-9A4C45D044B3} (Registry Key) Successfully deleted: HKLM\Software\Microsoft\Internet Explorer\SearchScopes\{BAE421FD-94C8-4133-9109-9A4C45D044B3} (Registry Key) ? Das da was gelöscht wurde ist mir auch klar aber was genau hat es damit jetzt auf sich gehabt, denn den Revo Uninstaller habe ich von der Homepage von denen downgeloadet. Und vor allem Interessiert mich mal was mit diesem root Certifikat jetzt wahr, sowas ist doch auch in Windows drin oder nicht? Habe mal gelesen das Hersteller über solche Zertifikate quasie von Haus aus Trojaner einbauen, wahr das so ein Zertifikat? Grüße Achja und irgendwas hat sich verändert, denn der Suchlauf mit FRST ging diesesmal bestimmt 5mal so schnell wie beim ersten durchlauf: Das ist ja schonmal Super :daumenhoc Ich würde mich allerdings echt über ein wenig Informationen freuen, zum Beispiel woran du jetzt genau gesehen hast das da was auf meinem System ist, und ich würde mich echt über ein paar Links freuen zu Seiten wo man sich mal ein wenig in das Hintergrundwissen von Windows einlesen kann, wie Windows arbeitet, am besten so geschrieben das man dann auch gleich Wissen vermittelt bekommt wie man sein System sicher einstellen kann, was man beachten sollte und was man auf jeden Fall nicht machen sollte um sein System sauber zu halten, und wie man die Firewall richtig einstellt und und und... Ich möchte das alles gerne Wissen aber ich finde einfach nichts gescheites darüber im Netz.:heulen: Nen schönen Abend noch und danke erstmal für deine Hilfe cosinus, ich hoffe das nichts mehr in den neuen Logs zu finden ist. |
FRST-Fix Virenscanner jetzt bitte komplett deaktivieren, damit sichergestellt ist, dass der Fix sauber durchläuft! Drücke bitte die Windowstaste + R Taste und schreibe notepad in das Ausführen Fenster. Kopiere nun folgenden Text aus der Code-Box in das leere Textdokument Code: emptytemp:Speichere diese bitte als Fixlist.txt auf deinem Desktop (oder dem Verzeichnis in dem sich FRST befindet).
|
Hi und frohe Ostern falls du es noch rechtzeitig liest. Hier der fixlog. Code: Entferungsergebnis von Farbar Recovery Scan Tool (x64) Version:05-03-2016 01 |
Okay, dann Kontrollscans mit (1) MBAM, (2) ESET und (3) SecurityCheck bitte: 1. Schritt: MBAM Downloade Dir bitte  Malwarebytes Anti-Malware
2. Schritt: ESET ESET Online Scanner
3. Schritt: SecurityCheck Downloade Dir bitte  SecurityCheck und:
|
Hey cosinus, ich habe soweit alles durchlaufen lassen und hier sind die Logs. mbam: Code: Malwarebytes Anti-MalwareCode: ESETSmartInstaller@High as downloader log:Code: Results of screen317's Security Check version 1.009 Jetzt mal ne Frage, der Security Check hat mir angezeigt das mein Java (32bit) outdated ist, brauche ich überhaupt die 32bit Version, ich habe doch ein 64bit System? Und wie komme ich in die Einstellungen zum Updaten, ich finde Java weder in meiner Software Liste, noch im 32 oder 64bit Programme Ordner... |
Die Frage ist, ob du Java überhaupt brauchst! 32-Bit-Programme, die du hast und auf Java angewiesen sind, verstehen nur 32-Bit Du hast Java aber tatsächlich nicht installiert :D SC zeigt nur diesen verwirrenden Eintrag an. Stempel es als Bug ab. Den Fund im Emu direkt von der Anbieterseite sollte man als Fehlalarm abstempeln. Sieht soweit ok aus :daumenhoc Ist dein System nun wieder in Ordnung oder gibt's noch andere Funde oder Probleme? |
Liste der Anhänge anzeigen (Anzahl: 1) Naja eigentlich ja nicht, genau so wenig wie den Flash-Player der sich ab Werk durch die Recovery-DVD mit installiert hat. Und diesen Shockwave-Player doch auch nicht da ich Chrome nutze oder doch? Naja was mich immer noch stutzig macht sind diese zwei Ominösen Programme im Autostart. Ich habe ein Bild im Anhang, wenn es geht können wir dieser Sache ja nochmal auf den Grund gehen und wie sieht es mit meinen Firewall Regeln aus, sollte da was verbessert werden oder nicht, und ist Kaspersky wirklich so gut oder was empfiehlst du mir als AV-Lösung/Security Paket? Und andere Funde sind bisher nicht aufgetaucht, ich gebe mr auch Mühe es zu vermeiden aber würde gerne wissen wie man ein echte Meldung von ner false-Positive Meldung unterscheidet damit ich in Zukunft besser ein wenig alleine zurecht komme. MfG |
NA und "program" sind da jetzt echt wenig aussagekräftig! Ich denke da an Programmen die deinstalliert wurden aber wo mal wieder die Deinstallation nicht alles weggeräumt hat Dann wären wir durch! :daumenhoc Wenn Du möchtest, kannst Du hier sagen, ob Du mit mir und meiner Hilfe zufrieden warst...:dankeschoen:und/oder das Forum mit einer kleinen Spende http://www.trojaner-board.de/extra/spende.png unterstützen. :applaus: Abschließend müssen wir noch ein paar Schritte unternehmen, um deinen Pc aufzuräumen und abzusichern. http://deeprybka.trojaner-board.de/b...cleanupneu.png Cleanup: (Die Reihenfolge ist hier entscheidend) Falls Defogger verwendet wurde: Erneut starten und auf Re-enable klicken. Falls Combofix verwendet wurde: http://deeprybka.trojaner-board.de/b.../combofix2.pngCombofix deinstallieren
Alle Logs gepostet? Dann lade Dir bitte http://filepony.de/icon/tiny/delfix.pngDelFix herunter.
Hinweis: DelFix entfernt u.a. alle verwendeten Programme, die Quarantäne unserer Scanner, den Java-Cache und löscht sich abschließend selbst. Starte Deinen Rechner abschließend neu. Sollten jetzt noch Programme aus unserer Bereinigung übrig sein, kannst Du diese bedenkenlos löschen. http://deeprybka.trojaner-board.de/b...ast/schild.png Absicherung: Beim Betriebsystem Windows die automatischen Updates aktivieren. Auch die sicherheitsrelevante Software sollte immer nur in der aktuellsten Version vorliegen: Browser Java Flash-Player PDF-Reader Sicherheitslücken in deren alten Versionen werden dazu ausgenutzt, um beim einfachen Besuch einer manipulierten Website per "Drive-by" Malware zu installieren. Ich empfehle z.B. die Verwendung von Mozilla Firefox statt des Internet Explorers. Zudem lassen sich mit dem Firefox auch PDF-Dokumente öffnen. Aktiviere eine Firewall. Die in Windows integrierte genügt im Normalfall völlig. Verwende ein einziges der folgenden Antivirusprogramme mit Echtzeitscanner und stets aktueller Signaturendatenbank: Microsoft Security Essentials (MSE) ist ab Windows 8 fest eingebaut, wenn du also Windows 8, 8.1 oder 10 und dich für MSE entschieden hast, brauchst du nicht extra MSE zu installieren. Bei Windows 7 muss es aber manuell installiert oder über die Windows Updates als optionales Update bezogen werden. Selbstverständlich ist ein legales/aktiviertes Windows Voraussetzung dafür. Zusätzlich kannst Du Deinen PC regelmäßig mit Malwarebytes Anti-Malware und/oder mit dem ESET Online Scanner scannen. Optional: http://filepony.de/icon/noscript.png NoScript verhindert das Ausführen von aktiven Inhalten (Java, JavaScript, Flash,...) für sämtliche Websites. Man kann aber nach dem Prinzip einer Whitelist festlegen, auf welchen Seiten Scripts erlaubt werden sollen. NoScript kann gerade bei technisch nicht allzu versierten Nutzern beim Surfen zum Nervfaktor werden; ob das Tool geeignet ist, muss jeder selbst mal ausprobieren und dann für sich entscheiden. Alternativen zu NoScript (wenn um das das Verhindern von Usertracking und Werbung auf Webseiten) geht wären da Ghostery oder uBlock. Ghostery ist eine sehr bekannte Erweiterung, die aber auch in Kritik geraten ist, vgl. dazu bitte diesen Thread => Ghostery schleift Werbung durch http://filepony.de/icon/malwarebytes_anti_exploit.pngMalwarebytes Anti Exploit: Schützt die Anwendungen des Computers vor der Ausnutzung bekannter Schwachstellen. Lade Software von einem sauberen Portal wie http://filepony.de/images/microbanner.gif. Wähle beim Installieren von Software immer die benutzerdefinierte Option und entferne den Haken bei allen optional angebotenen Toolbars oder sonstigen, fürs Programm, irrelevanten Ergänzungen. Um Adware wieder los zu werden, empfiehlt sich zunächst die Deinstallation sowie die anschließende Resteentfernung mit Adwcleaner . Abschließend noch ein paar grundsätzliche Bemerkungen: Ändere regelmäßig Deine wichtigen Online-Passwörter und erstelle regelmäßig Backups Deiner wichtigen Dateien oder des Systems. Der Nutzen von Registry-Cleanern, Optimizern usw. zur Performancesteigerung ist umstritten. Ich empfehle deshalb, die Finger von der Registry zu lassen und lieber die windowseigene Datenträgerbereinigung zu verwenden. Hinweis: Bitte gib mir eine kurze Rückmeldung wenn alles erledigt ist und keine Fragen mehr vorhanden sind, so dass ich dieses Thema aus meinen Abos löschen kann. |
Okay ich habe Delfix laufen gelassen und alle Tools soweit entfernt. Den Link zum bedanken habe ich auch benutzt, ich werde auch ne kleine Spende rüberwachsen lassen. Aber ist es denn nicht möglich cosinus mir ein paar nützliche Links mit Quellen für Wissen zu geben wie Windows funktioniert, wo Viren andocken, wie man sie aufspürt und selbstständig entfernt, wie man sein System gut absichert, halt ein bisschen Hintergrund und Insiderwissen? Muss ja nicht öffentlich sein, geht auch per pn und wer weiß, vielleicht bin ich ja irgendwann für euch noch zu gebrauchen. ;) |
| Alle Zeitangaben in WEZ +1. Es ist jetzt 17:07 Uhr. |
Copyright ©2000-2025, Trojaner-Board
