Trojaner-Board - Hillfe bin infiziert worden

Trojaner-Board (https://www.trojaner-board.de/)

- Plagegeister aller Art und deren Bekämpfung (https://www.trojaner-board.de/plagegeister-aller-art-deren-bekaempfung/)

- - Hillfe bin infiziert worden - 500 Euro Rechnung!!!! (https://www.trojaner-board.de/2063-hillfe-infiziert-worden-500-euro-rechnung.html)

<blockquote>Zitat:<hr />Original erstellt von The Gunner:
Der Trojaner war auf dem Server. Meine Mutter hat wahrscheinlich wieder irgendein Mail oder so was einfach geöffnet.[/QUOTE]Typischer Fall von "selbst schuld". Auf einem Server arbeitet man nicht.
<blockquote>Zitat:<hr />Also bitte hellft mir.[/QUOTE]Forensik bei einem gehackten Server? Du kennst die üblichen Stundensätze? ;)
<blockquote>Zitat:<hr />Ich kann mir aber nicht erklären warum die Rechnung so hoch war.[/QUOTE]Ich nehme an, bei eurem ISDN bezahlt ihr pro Minute und ihr habt keine Flatrate. Vermutlich war euer Server die ganze zeit mit dem Internet verbunden, weil der Trojaner Daten versendet oder empfangen hat. Vielleicht hat sogar jemand einen DDOS-Zombie plaziert...

ciao

<blockquote>Zitat:<hr />Original erstellt von Heike:
@vampire,
aber wir beide würden Gunner doch die Hilfe-Datei senden, oder?
Er muß sie doch auch für die Enkel aufheben, er ist doch in die Geschichte der Fernwartungsprogramme eingegangen. :D

@all,
gunner ist in der Hilfe nur ein Name, der zufällig gewählt wurde und mit keiner Person in Verbindung gebracht werden sollte. [/QUOTE]@Heike
natürlich würden wir das tun, alles andere wäre eine unterlassungssünde... ;)

<blockquote>Zitat:<hr />Original erstellt von Cobra:
Du mußt bloß einen neuen Minotor (sic) kaufen, dann hat der Spuk ein Ende.

DFTT

Cobra [/QUOTE]LOL das wäre mit der Grafikkarte _mit_ PRO nicht passiert :D *scnr*

<blockquote>Zitat:<hr />Gunni:
Interessant ist auch noch, dass in letzter Zeit plötzlich auf dem Bildschirm so anrüchige Sachen erschienen sind....
[/QUOTE]jetzt mal im Ernst: Anrüchige Sachen wären mit neuem Monitor noch schöner gewesen :D

@The Gunner
bist Du sicher, dass es sich um die Datei

Isass.exe handelt und nicht um die Datei Lsass.exe?

Die Datei Lsass.exe gehört nämlich zu den Systemdateien.
<zitat>
Windows NT4/2000/XP only. LSASS is the Local Security Authentication Server. It verifies the validity of user logons to your PC/Server (in technical jargon : it generates the process that is responsible for authenticating users for the Winlogon service).
<Zitat ende>
Gruß
T_R_G

Trotz des Hohn und Spotts den du hier erntest, versuche ich mal eine erste Analyse:
Es könnte sicherlich ein Trojanersein und du solltest überlegen, ob du zB im Rahmen deiner regelmäßigen Besuche auf einem Forum etwas heruntergeladen hast, was einen Trojaner darstellen könnte. Du könntest einen fertigen Trojaner erhalten haben, als auch dir selber einen isntaliert haben, den nun ein anderer ausnutzt. Dafür empehle ich die Nutzung von KAV, das du über alle angeschlossenen Computer laufen lassen solltest.
So liesen sich auch Viren entdecken!
Auf dem Server sollte schnellstmöglich ein Update gemacht werden! Gerade Win Server haben dies regelmäßig nötig! Wenn der Server von einem Virus befallen ist, kann es sein, dass er ununterbrochen Viren versendet!(windowsupdate.com)
Weiterhin sollten alle angeschlossenen Computer auf Spyware mit Aadaware oder Spybot Search and Destroy untersucht werden. Da du, wie üblich, kaum etwas über euer System gesagt hast, wäre es auch möglich, das du spyware auf dem Rechner hast, die permantent irgendetwas gesendet hat und deswegen die Internetverbindung offen gehalten hat!
Für weiteres solltet ihr euch jemanden besorgen, der sich damit auskennt! Es gibt Arbeiten, die man dir nicht unbedingt zutrauen wird und die dir auch keine erklären wird, da das Grundwissen bei dir einfach fehlt!
PAra

Hi Leute!

@vampire

<blockquote>Zitat:<hr /> mach's einfach mal, hol dir assasin 2.0, du kommst auch drin vor...

hier darf ich den link dahin nicht posten (ich weiss du hast ihn vergessen) sonst wäre ich dir gern behilflich...
[/QUOTE]Du kannst ja hier einfach den Text hinschreiben.

@Lucky

<blockquote>Zitat:<hr /> Willst du denn Trojaner garnicht weg haben?
Und ausserdem ist mir kein Trojaner bekannt, der Telefonrechnung in die Höhe treibt. [/QUOTE]Klar will ich ihn weg haben und habe ihn bereits weg, aber ich bin nicht sicher ob der Trojaner die hohen Kosten verursacht hat.

Gibt es denn einen Trojaner der die ganze Zeit die Leitung offen hällt, also man die ganze Zeit online ist? Komisch ist nur, dass ich am meisten beim Moonlight surf ausgegeben habe, aber um diese Zeit war ich gar nie drin und zu dieser Zeit sind die Tarife ja am günstigsten.

Wie kann ich nun kontrollieren ob wieder alles Ok ist mit der Verbindung, also ob ich immer noch so hoche Rechnungen habe, ohne auf die Rechnung warten zu müssen?

@raman

<blockquote>Zitat:<hr /> Man kann schlecht sagen, was der Trojaner angerichtet hat, da wir ja niocht genau wissen, wie euer System aufgebaut/konfiguriert ist. Es kann durchaus sein, das der Trojaner nur ein "Hallo ich bin hier, connectet mich" ausgesand hat, aber aufgrund eures Routers niemand von ausserhalb in der lage war, kontakt zu dem Trojaner aufzunehmen.
[/QUOTE]Ja. Eben es ist ein Windows 2000 Server mit Router. Wenn niemand in der Lage war Kontakt aufzunehmen, warum dann die hohe Rechnung?

<blockquote>Zitat:<hr /> ( Keine Flaterate, oder?), [/QUOTE]Nein keine Flatrate.

<blockquote>Zitat:<hr /> aber wenn der Trojaner 20 Tage auf dem Rechner ist und ihr dadurch 24 Std. taeglich online gewesen seit, [/QUOTE]Trojaner war wahrscheinlich mehr als 20 Tage drauf. Die hohe Rechnung die wir gekriegt haben ist ja noch vom letzten Monat. Die Rechnung dieses Monates folgt erst noch. Ich weiss nicht wann der Trojaner letzten Monat draufgekommen ist.

<blockquote>Zitat:<hr /> Nutzt ihr denn eine Internet Chat Software? Kann deine Mutter was dazu sagen? Unbekannte Email oder aehnlich? [/QUOTE]Nein keine Internet Chat Software. Unbekannt Email, glaube schon. Also es kam ja plötzlich so ein blödes Fenster auf dem Bildschirm. Und bei meiner Mutter kam mal bei einem Email ne Meldung das da irgendein unbekannter Virus gefunden wurde, aber es war ja eigentlich nur ein Word Dok. und bei Word Doks können ja keine Viren drin sein.

<blockquote>Zitat:<hr /> ("Woran erkenne ich, ob ich einen Irc-Client habe?") [/QUOTE]Kommt schon, sagt es mir. Was ist denn das schlimme an IRC Trojanern?

<blockquote>Zitat:<hr /> Sicherlich ist sowas nicht schön und ich wünsche das niemanden (auch nicht Dir), aber wenn jemand wie Du, mit 0,000000000 Peilung von irgendeiner Materie, mit RATs rumspielst, dann muss das zwangsläufig so kommen.
[/QUOTE]Es war nicht meine Schuld. Ich bin nie am Server und habe da auch nichts ausgeführt.

@Heike

<blockquote>Zitat:<hr /> aber wir beide würden Gunner doch die Hilfe-Datei senden, oder?
[/QUOTE]Welche Hilfe Datei?

<blockquote>Zitat:<hr /> Forensik bei einem gehackten Server? Du kennst die üblichen Stundensätze?
[/QUOTE]Wie?

<blockquote>Zitat:<hr /> Vielleicht hat sogar jemand einen DDOS-Zombie plaziert... [/QUOTE]Was ist ein DDOS-Zombie?

<blockquote>Zitat:<hr /> bist Du sicher, dass es sich um die Datei

Isass.exe handelt und nicht um die Datei Lsass.exe?
[/QUOTE]Ich denke schon es war die Isass.exe. Sie wurde ja auch vom Virenprogramm erkannt und entfernt. Und befindet sich die Lsass.exe im selben Verzeichnis?

<blockquote>Zitat:<hr /> Da du, wie üblich, kaum etwas über euer System gesagt hast, wäre es auch möglich, das du spyware auf dem Rechner hast, die permantent irgendetwas gesendet hat und deswegen die Internetverbindung offen gehalten hat! [/QUOTE]Was soll ich denn übers System sagen? Wie kriege ich die Spyware vom Rechner?

Also ich die Rechnung gesehen habe und gemerkt habe, dass so ein Trojaner drauf ist, habe ich mal auf den Router geschaut und gesehen, dass eine Leitung (der zwei ISDN Leitungen) dauernd besetzt war. Als ich dann den Trojaner weg gemacht habe waren beide Leitungen wieder frei. Als ich dann aber in I Net ging war die Leitung wieder besetzt und als ich raus ging war sie immer noch besetzt, aber nach ca. 5 min. erlosch das Licht. Braucht ein Router immer so lange um das zu merken?

Komisch ist nur, dass die Virensoftware erst so spät Alarm geschlagen hat. Ich meine sie macht ja jeden Tag einen check.

Wie kann ich das anstellen, dass wir die Rechnung (und die folgende) nicht zahlen müssen?

Kennt jemand den Trojaner der mich befallen hat?

[ 28. April 2003, 12:48: Beitrag editiert von: The Gunner ]

"Ja. Eben es ist ein Windows 2000 Server mit Router. Wenn niemand in der Lage war Kontakt aufzunehmen, warum dann die hohe Rechnung?"

Ganz einfach, der Trojaner koennte ja andauernt Pings in richtung Internet gesendet haben und durch diesen Traffic wird die Verbindung halt aufrecht erhalten. Dann kommt schon schnell mal 500 Euro zusammen, nur durch die Gebuehr an euren Provider.
Greif doch mal den Vorschlag von "Paranoia" auf und hol dir jemanden, der mehr Wissen in Bezug auf Malware oder Computer im allgemeinen hat. Wer hat euch denn den Router und die Rechner eingerichtet. Die Person wird euch mehr verraten koennen, zum Beispiel, wie ihr den Router so einstellt, das er nicht erst nach fuenf Minuten den "Hoerer" auflegt. ;)

Ich muss nochmal eben "Nachtreten", selbstverstaendlich koenne Word Dokumente Viren enthalten, und je nachdem wie Outlook/Windows eingestellt ist, muss eine doc-Endung noch lange keine Word Dokument sein. Ansonsten, beherzige, was "Paranoia" dir zu erklaeren versucht.

[ 28. April 2003, 13:15: Beitrag editiert von: raman ]

<blockquote>Zitat:<hr /> Was soll ich denn übers System sagen? Wie kriege ich die Spyware vom Rechner?
[/QUOTE]A. Wieviele Computer mit welchen BetriebsSystemen an was für einem Router?
B. Lesen sollte helfen! Ich habe zwei Programme zum entdecken von Spyware genannt und das du mit diesen (Aadaware und Spybot Search&Destroy) jeden angeschlossenen Computer scannen sollst)!

<blockquote>Zitat:<hr /> Wie kann ich das anstellen, dass wir die Rechnung (und die folgende) nicht zahlen müssen? [/QUOTE]Wahrscheinlich gar nicht!
Im Moment sieht es für mich so aus, als wäre aus bis jetzt nicht bekanntem Grund die Internetverbindung offen gehalten. Dies zu überwachen ist eure Verantwortung! Die Internetverbindung stand und somit müßt ihr sie bezahlen. Ihr könntet höchsten im Falle einer Trojanerinfektion, falls ihr denjenigen erwischt, der euch diesen Trojaner untergeschoben hat, versuchen diesen zu verklagen. Die Wahrscheinlichkeit ihn zu kriegen und auch noch zu erfolgreich zu verklagen halte ich für geringer als 6 richtige beim Lotto (1 zu 14 Millionen!).
Hohlt euch einen Fachmann und lasst die Systemsicherheit kontrolieren und den Router konfigurieren.
Danach sollte sich jemand bei euch darüber kundig machen. Das beginnt mit lesen und verstehen(nicht mit fragen) und wird mindestens 6 Monate dauern! Zuerst die Bedienunganleitungen der Software und dann Bücher über Sicherheit am Computer und deren Administration. Danach Internetseiten zum Thema. Ein langer und steiniger Weg, aber wenn ihr ein Netzwerk mit einem Server im Haus habt, sollte wohl einer ihn gehen.
Para

[ 28. April 2003, 16:50: Beitrag editiert von: Paranoia ]

@Para:

Ist nicht was dran an dem satz:

"Wer mit dem feuer spielt, verbrennt sich irgendwann die Finger"?

Der Gunner hat laut seinen Postings auf dem RB mit Sachen gespielt, die er in keinster Weise versteht, die er aber "1337" findet.
Er ist selbst schuld und dass er dafür Spott erntet ist denke ich mehr als legitim.

<blockquote>Zitat:<hr />Original erstellt von Jason:
@Para:

Ist nicht was dran an dem satz:

"Wer mit dem feuer spielt, verbrennt sich irgendwann die Finger"?

Der Gunner hat laut seinen Postings auf dem RB mit Sachen gespielt, die er in keinster Weise versteht, die er aber "1337" findet.
Er ist selbst schuld und dass er dafür Spott erntet ist denke ich mehr als legitim. [/QUOTE]Sicherlich, nur zahlen müssen wohl seine Eltern...
Deswegen denke ich halt: Genug des Spottes, helfen wir ihm mal...
Para

Helfen ist so ne Sache, er hat keine Chance.
Er hat den trojaner aktiv ausgeführt und hat seinen router eben so konfiguriert, dass outbound traffic alleine schon ausreicht, um die verbindung aufrecht zu halten.
Selbst wenn er den Trojanerursprung finden _sollte_ - wie soll er beweisen, dass die verbindung nur durch den Trojaner aufrecht erhalten wurde?

Sollten wir nicht den Eltern helfen? ;)

In einem anderen Forum stand mal, dass jemand mit gewissen Dingen nicht mehr arbeiten konnte, weil der Vater den Router entsprechend konfiguriert hat. Das wäre doch auch eine Lösung, die dem Vater/Mutter von Gunner bestimmt gefallen könnte. :D :D

Sagte ja selber, das ich die Hilfe nur soweit realistisch sehe, das der Trojaner entfernt wird...(wobei ich mir immer noch nicht sicher bin, das es ein solcher war...trotz der Anzeichen)
Eine sicher Routerconfig für Gunner wäre sicher gut!
Para

@The Gunner
nur mal aus Interesse:
für welchen Zeitraum sind denn die 500,-- Euronen angefallen (müsste sich doch aus der Rechnung ergeben). Die "Gesprächsdauer" wird doch normalerweise angegeben.
Wenn Du z.B. 1 Woche online warst macht das 10.080 Minuten. Bei 500,-- Euro sind das ein Preis von 4,96 ct pro Minute. Bei welchem Provider bist Du denn?
Gruß
T_R_G

<blockquote>Zitat:<hr />(...)Danach sollte sich jemand bei euch darüber kundig machen. Das beginnt mit lesen und verstehen(nicht mit fragen) und wird mindestens 6 Monate dauern! Zuerst die Bedienunganleitungen der Software und dann Bücher über Sicherheit am Vomputer und deren Administration. Danach Internetseiten zum Thema. Ein langer und steiniger Weg, aber wenn ihr ein Netzwerk mit einem Server im Haus habt, sollte wohl einer ihn gehen.
Para [/QB][/QUOTE]Ich sag´s ja... Aber Gunner meint wohl mit Fragen allein das goldene Ziel erreichen zu können. So kommen dann auch die Postings von ihm zustande, bei denen man immer nur kopfschüttelnd vorm Monitor sitzt [img]tongue.gif[/img] .

Übrigens, und das möcht ich schon nochmal anmerken, weil das in einem Posting so klang, hat sich Gunner sicherlich nichts durch den "Besuch auf entsprechenden Foren" eingefangen. Solltest Du damit das RB gemeint haben, fällt diese Theorie schonmal weg, da sowas da net gemacht wird [img]graemlins/kloppen.gif[/img] .

Meiner Meinung nach war´s sicherlich kein Dialer, sondern die "Unaufmerksamkeit", daß niemand kontrolliert hat, ob die Inet-Verbindung auch wirklich unterbrochen wird (und das über mehrere Wochen). Ich mein, ich könnte es auch böse formulieren, wenn man dann noch in Betracht zieht, daß man halbwegs von den Dingen Ahnung haben sollte, wenn man schon einen Server betreibt (vorallem beruflich)... [img]graemlins/teufel3.gif[/img]