|
Schreibzugriff auf ACPI Hi leute, ich habe mal den ACPI Bios Reg Schlüssel extrahiert und am Anfang davon steht folgendes, wenn man es im Hex Editor anschaut: ..S.c.h.l...s.s.e.l.n.a.m.e.:. .H.K.E.Y._.L.O.C.A.L._.M.A.C.H.I.N.E.\.H.A.R.D.W.A.R.E.\.A.C.P.I.\.D.S.D.T.\.N.V.I.D.I.A.\.A.W.R.D.A.C.P.I.\.0.0.0.0.1.0.0.0.....K.l.a.s.s.e.n.n.a.m.e .:. .<.K.E.I.N.E. .K.L.A.S.S.E.>.....L.e.t.z.t.e.r. .S.c.h.r.e.i.b.z.u.g.r.i.f.f.:. .2.2...1.1...2.0.0.6. .-. .0.1.:.2.0.....W.e.r.t. .0..... . .N.a.m.e.:. .0.0.0.0.0.0.0.0..... . .T.y.p.:. .R.E.G._.B.I.N.A.R.Y..... . .D.a.t.e.n.:. .....0.0.0.0.0.0.0.0 Letzter Schreibzugriff ist das normal? Sieht das nicht schwer nach dem Beweis eines ACPI Infekts aus? |
Äh...:confused: Ein Schreibzugriff in die Registry = Infektion? Schon klar, eine unter einem Adminkonto erstellte Malware hat auch die Rechte überall in der Registry herumzufuhrwerken. ;) Poste ein Hijackthis-Logfile. |
naja, wahrscheinlich ein standard Zugriff, warum steht eigentlich in den ACPI DSDT Dump Alexfg drin? Ich glaube das steht bei den meisten PCs drin. HijackLog C:\WINDOWS\regedit.exe C:\PROGRA~1\Free Download Manager\fdm.exe C:\WINDOWS\system32\svchost.exe C:\Programme\Gemeinsame Dateien\G DATA\AVKProxy\AVKProxy.exe C:\Programme\Internet Explorer\iexplore.exe D:\HijackThis.exe C:\WINDOWS\Explorer.EXE C:\WINDOWS\system32\taskmgr.exe C:\WINDOWS\System32\smss.exe C:\WINDOWS\system32\winlogon.exe C:\WINDOWS\system32\services.exe C:\WINDOWS\system32\lsass.exe C:\WINDOWS\system32\aaksrv.exe C:\WINDOWS\system32\svchost.exe C:\Programme\Sygate\SPF\smc.exe C:\WINDOWS\System32\svchost.exe C:\Programme\Advanced Anti Keylogger\aak.exe R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Bar = hxxp://www.google.de/ie R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = hxxp://www.google.de/ R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = hxxp://www.google.de R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = hxxp://www.google.de R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = hxxp://www.google.de R0 - HKLM\Software\Microsoft\Internet Explorer\Search,SearchAssistant = R0 - HKLM\Software\Microsoft\Internet Explorer\Search,CustomizeSearch = R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Local Page = \blank.htm R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Local Page = \blank.htm O2 - BHO: Adobe PDF Reader Link Helper - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Programme\Adobe\Acrobat 7.0\ActiveX\AcroIEHelper.dll O2 - BHO: SSVHelper Class - {761497BB-D6F0-462C-B6EB-D4DAF1D92D43} - C:\Programme\Java\jre1.5.0_06\bin\ssv.dll O2 - BHO: (no name) - {BBE59AF5-EE22-4A3A-AB26-3F774D1B4216} - C:\Programme\FolderBox\FolderBox.dll O2 - BHO: FDMIECookiesBHO Class - {CC59E0F9-7E43-44FA-9FAA-8377850BF205} - C:\Programme\Free Download Manager\iefdmcks.dll O4 - HKLM\..\Run: [SmcService] C:\PROGRA~1\Sygate\SPF\smc.exe -startgui O4 - HKLM\..\Run: [amd_dc_opt] "C:\Programme\AMD\amd_dc_opt\amd_dc_opt.exe" O4 - HKLM\..\Run: [ATICCC] "C:\Programme\ATI Technologies\ATI.ACE\cli.exe" runtime -Delay O4 - HKLM\..\Run: [KernelFaultCheck] %systemroot%\system32\dumprep 0 -k O4 - HKCU\..\Run: [AAK] C:\Programme\Advanced Anti Keylogger\aak.exe /silent O4 - HKCU\..\Run: [Free Download Manager] C:\Programme\Free Download Manager\fdm.exe -autorun O8 - Extra context menu item: Download all with Free Download Manager - file://C:\Programme\Free Download Manager\dlall.htm O8 - Extra context menu item: Download selected with Free Download Manager - file://C:\Programme\Free Download Manager\dlselected.htm O8 - Extra context menu item: Download with Free Download Manager - file://C:\Programme\Free Download Manager\dllink.htm O11 - Options group: [INTERNATIONAL] International* O16 - DPF: {6414512B-B978-451D-A0D8-FCFDF33E833C} (WUWebControl Class) - hxxp://update.microsoft.com/windowsupdate/v6/V5Controls/en/x86/client/wuweb_site.cab O17 - HKLM\System\CCS\Services\Tcpip\..\{A8F22A02-958E-4C55-A383-0130E18803C5}: NameServer = 192.168.0.1 O18 - Protocol: msnim - {828030A1-22C1-4009-854F-8E305202313F} - "C:\PROGRA~1\MSNMES~1\msgrapp.dll" (file missing) O20 - AppInit_DLLs: system32\aakah.dll O20 - Winlogon Notify: SDNotify - C:\Programme\MaxAntiSpyware\SDNotify.dll O21 - SSODL: WPDShServiceObj - {AAA288BA-9A4C-45B0-95D7-94D524869DB5} - C:\WINDOWS\system32\WPDShServiceObj.dll O23 - Service: aaksrv - Spydex, Inc. - C:\WINDOWS\system32\aaksrv.exe O23 - Service: AntiVir PersonalEdition Classic Planer (AntiVirScheduler) - Avira GmbH - C:\Programme\AntiVir PersonalEdition Classic\sched.exe O23 - Service: AntiVir PersonalEdition Classic Guard (AntiVirService) - AVIRA GmbH - C:\Programme\AntiVir PersonalEdition Classic\avguard.exe O23 - Service: AOL Connectivity Service (AOL ACS) - America Online, Inc. - C:\PROGRA~1\GEMEIN~1\aol\ACS\AOLacsd.exe O23 - Service: Ati HotKey Poller - ATI Technologies Inc. - C:\WINDOWS\system32\Ati2evxx.exe O23 - Service: ATI Smart - Unknown owner - C:\WINDOWS\system32\ati2sgag.exe O23 - Service: AVG7 Alert Manager Server (Avg7Alrt) - GRISOFT, s.r.o. - C:\PROGRA~1\Grisoft\AVGFRE~1\avgamsvr.exe O23 - Service: AVG7 Update Service (Avg7UpdSvc) - GRISOFT, s.r.o. - C:\PROGRA~1\Grisoft\AVGFRE~1\avgupsvc.exe O23 - Service: AVKProxy - G DATA Software AG - C:\Programme\Gemeinsame Dateien\G DATA\AVKProxy\AVKProxy.exe O23 - Service: AVK Service (AVKService) - Unknown owner - C:\Programme\G DATA AntiVirus praesentiert von AOL\AVKService.exe O23 - Service: Sygate Personal Firewall Pro (SmcService) - Sygate Technologies, Inc. - C:\Programme\Sygate\SPF\smc.exe O23 - Service: TuneUp WinStyler Theme Service (TUWinStylerThemeSvc) - TuneUp Software GmbH - C:\Programme\TuneUp Utilities 2004\WinStylerThemeSvc.exe Achso nebenbei wäre auch interessant zu wissen, was ihr von AAntiKeyloggers Meinungen über angebliche Screenshot MOdule halten, sieht mir eher wie eine Reihe Fehlalarme aus oder? http://i7.tinypic.com/4g7zlux.png |
Könntest Du mal das komplette Logfile posten? Der Kopf mit den Infos über Windows und IE fehlt, reiche den bitte nach. Sonst konnte ich nichts Verdächtiges sehen. Zitat:
Wenn Du immer noch Schälingsbefall vermutest, könntest Du zuerst ja mal mit Blacklight das System checken. Poste dann das Ergebnis. |
| Alle Zeitangaben in WEZ +1. Es ist jetzt 07:03 Uhr. |
Copyright ©2000-2025, Trojaner-Board