Hallo,
vermutlich habe ich mich mit Bifrost infiziert und bräuchte daher mal Fachmännische Hilfe.
Seit einiger Zeit meldet die Sygate Firewall nach jedem Start das opera.exe sich mit einer Webseite verbinden will.Habe dann mal nachgeforscht.Ich habe herausgefunden das sich dieser Trojaner immer mit dem Namen das jeweiligen Standard Browser tarnt.Ändere ich den Standard Browser zu IE,versucht bei nächsten Neustart sich IE mit der selben Webseite zu verbinden,mit einem Prozessviewer konnte ich aber sehen das es nicht die Original exe der Browser waren,sondern ganz gut getarnte Kopien.Ein beenden des Prozess brachte nur kurzen Erfolg ,nach wenigen Minuten war die exe wieder Aktiv.
Ich forsche nun schon die ganze Nacht,habe sämtliche Programme durch getestet:
Ad-aware,spybot,AVG-antispyware,super-anti-spyware,antivir,trendmicro-onlinescan und diverse andere Tools,mit keinem brauchbarem Ergebnis,es wird nichts gefunden und selber finde ich auch nichts!!
Mit einem Programm das erweiterte Startmenü Eintrage und dll anzeigt habe ich nun endlich einen mir verdächtigen Eintrag gefunden,die berühmte WIN32.exe.
Bei virustotal hoch geladen und siehe da ich hab die Sau erwischt.
Aber komischer weise ich will es kaum glauben hat der Trojaner den Geist aufgegeben!!!!!!!!
Durch Tools die ich immer noch am Testen war hatte ich ein paar mal 100% Auslastung und das System hing,plötzlich kam ein kleine Popup Fenster für 2-3 sec.Ich konnte leider nur den Fenstertitel erkennen „Themida“... seit dem geht die Firewall nicht mehr los und der Trojaner scheint nicht mehr Aktiv zu sein,keine verdächtigen Prozesse mehr die ins Internet wollen.
Nun bin ich mir nicht wirklich sicher ob nun alles vorbei ist,der Registry Eintrag der exe hat sich übrigens von selbst gelöscht!??Den kompletten Pfad kann ich leider nicht mehr nennen,es war aber unter : HKLM\SOFTWARE\Microsoft\Active Setup\Installed Components zu finden.
Ich poste mal alles was ich habe und es wäre sehr nett wenn jemand nach schauen könnte.
Sygate Firewall Code:
File Version : 9.25.8827.0
File Description : Opera Internet Browser (Opera.exe)
File Path : D:\Programme\Opera\Opera.exe
Process ID : 0x5B4 (Heximal) 1460 (Decimal)
Connection origin : local initiated
Protocol : TCP
Local Address : 192.168.0.2
Local Port : 1091
Remote Name : kawazx.no-ip.org
Remote Address : 80.123.25.226
Remote Port : 2000 (CALLBOOK)
Ethernet packet details:
Ethernet II (Packet Length: 76)
Destination: 00-c0-02-ed-9e-66
Source: 00-0d-87-3a-ce-c6
Type: IP (0x0800)
Internet Protocol
Version: 4
Header Length: 20 bytes
Flags:
.1.. = Don't fragment: Set
..0. = More fragments: Not set
Fragment offset:0
Time to live: 64
Protocol: 0x6 (TCP - Transmission Control Protocol)
Header checksum: 0x1647 (Correct)
Source: 192.168.0.2
Destination: 80.123.25.226
Transmission Control Protocol (TCP)
Source port: 1091
Destination port: 2000
Sequence number: 940078668
Acknowledgment number: 0
Header length: 28
Flags:
0... .... = Congestion Window Reduce (CWR): Not set
.0.. .... = ECN-Echo: Not set
..0. .... = Urgent: Not set
...0 .... = Acknowledgment: Not set
.... 0... = Push: Not set
.... .0.. = Reset: Not set
.... ..1. = Syn: Set
.... ...0 = Fin: Not set
Checksum: 0xb05d (Correct)
Data (0 Bytes)
Binary dump of the packet:
0000: 00 C0 02 ED 9E 66 00 0D : 87 3A CE C6 08 00 45 00 | .....f...:....E.
0010: 00 30 C8 AA 40 00 40 06 : 47 16 C0 A8 00 02 50 7B | .0..@.@.G.....P{
0020: 19 E2 04 43 07 D0 38 08 : 76 4C 00 00 00 00 70 02 | ...C..8.vL....p.
0030: 40 00 5D B0 00 00 02 04 : 05 B4 01 01 04 02 6E 6F | @.]...........no
0040: 2D 69 70 03 6F 72 67 00 : 00 01 00 01 | -ip.org.....
Highjackthis Code:
Logfile of HijackThis v1.99.1
Scan saved at 17:01:56, on 18.01.2008
Platform: Windows 2000 SP4 (WinNT 5.00.2195)
MSIE: Internet Explorer v6.00 SP1 (6.00.2800.1106)
Running processes:
D:\WINNT\System32\smss.exe
D:\WINNT\system32\winlogon.exe
D:\WINNT\system32\services.exe
D:\WINNT\system32\lsass.exe
D:\WINNT\system32\svchost.exe
D:\WINNT\system32\spoolsv.exe
D:\Programme\Lavasoft\Ad-Aware 2007\aawservice.exe
D:\Programme\Avira\AntiVir PersonalEdition Classic\sched.exe
D:\Programme\Avira\AntiVir PersonalEdition Classic\avguard.exe
D:\Programme\Grisoft\AVG Anti-Spyware 7.5\guard.exe
D:\WINNT\System32\svchost.exe
D:\WINNT\system32\regsvc.exe
D:\Programme\Sygate\SPF\smc.exe
D:\WINNT\System32\WBEM\WinMgmt.exe
D:\WINNT\Explorer.EXE
D:\Programme\Avira\AntiVir PersonalEdition Classic\avgnt.exe
D:\Programme\Saitek\Software\SaiMfd.exe
D:\Programme\Microsoft ActiveSync\Wcescomm.exe
D:\PROGRA~1\MICROS~2\rapimgr.exe
D:\Programme\Pinnacle\Shared Files\Programs\Scheduler\PCLEScheduler.exe
D:\Programme\Microsoft Office\Office10\WINWORD.EXE
D:\WINNT\msagent\AgentSvr.exe
D:\Programme\Hijackthis\HijackThis.exe
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://192.168.0.1/
O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - D:\Programme\Adobe\Acrobat 5.0\Reader\ActiveX\AcroIEHelper.ocx
O2 - BHO: Spybot-S&D IE Protection - {53707962-6F74-2D53-2644-206D7942484F} - D:\PROGRA~1\SPYBOT~1\SDHelper.dll
O2 - BHO: SSVHelper Class - {761497BB-D6F0-462C-B6EB-D4DAF1D92D43} - D:\Programme\Java\jre1.6.0_03\bin\ssv.dll
O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - D:\WINNT\System32\msdxm.ocx
O4 - HKLM\..\Run: [Synchronization Manager] mobsync.exe /logon
O4 - HKLM\..\Run: [avgnt] "D:\Programme\Avira\AntiVir PersonalEdition Classic\avgnt.exe" /min
O4 - HKLM\..\Run: [Cmaudio] RunDll32 cmicnfg.cpl,CMICtrlWnd
O4 - HKLM\..\Run: [WinampAgent] D:\Programme\Winamp\winampa.exe
O4 - HKLM\..\Run: [QuickTime Task] "D:\Programme\QuickTime\qttask.exe" -atboottime
O4 - HKLM\..\Run: [SiSPower] Rundll32.exe SiSPower.dll,ModeAgent
O4 - HKLM\..\Run: [NeroFilterCheck] D:\WINNT\system32\NeroCheck.exe
O4 - HKLM\..\Run: [CHZ FreeMeX] D:\freemex\FREEMEX.EXE
O4 - HKLM\..\Run: [Profiler] D:\Programme\Saitek\Software\ProfilerU.exe
O4 - HKLM\..\Run: [SaiMfd] D:\Programme\Saitek\Software\SaiMfd.exe
O4 - HKLM\..\Run: [SmcService] D:\PROGRA~1\Sygate\SPF\smc.exe -startgui
O4 - HKLM\..\Run: [!AVG Anti-Spyware] "D:\Programme\Grisoft\AVG Anti-Spyware 7.5\avgas.exe" /minimized
O4 - HKCU\..\Run: [H/PC Connection Agent] "D:\Programme\Microsoft ActiveSync\Wcescomm.exe"
O4 - HKCU\..\Run: [D:\Programme\NetMeter\NetMeter.exe] D:\Programme\NetMeter\NetMeter.exe
O4 - Startup: HDDlife.lnk = D:\Programme\BinarySense\HDDlife\HDDlifePro.exe
O4 - Global Startup: Pinnacle Scheduler.lnk = D:\Programme\Pinnacle\Shared Files\Programs\Scheduler\PCLEScheduler.exe
O4 - Global Startup: Microsoft Office.lnk = D:\Programme\Microsoft Office\Office10\OSA.EXE
O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - D:\Programme\Java\jre1.6.0_03\bin\ssv.dll
O9 - Extra 'Tools' menuitem: Sun Java Konsole - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - D:\Programme\Java\jre1.6.0_03\bin\ssv.dll
O9 - Extra button: Create Mobile Favorite - {2EAF5BB1-070F-11D3-9307-00C04FAE2D4F} - D:\PROGRA~1\MICROS~2\INetRepl.dll
O9 - Extra button: (no name) - {2EAF5BB2-070F-11D3-9307-00C04FAE2D4F} - D:\PROGRA~1\MICROS~2\INetRepl.dll
O9 - Extra 'Tools' menuitem: Mobilen Favoriten erstellen... - {2EAF5BB2-070F-11D3-9307-00C04FAE2D4F} - D:\PROGRA~1\MICROS~2\INetRepl.dll
O9 - Extra button: (no name) - {DFB852A3-47F8-48C4-A200-58CAB36FD2A2} - D:\PROGRA~1\SPYBOT~1\SDHelper.dll
O9 - Extra 'Tools' menuitem: Spybot - Search & Destroy Configuration - {DFB852A3-47F8-48C4-A200-58CAB36FD2A2} - D:\PROGRA~1\SPYBOT~1\SDHelper.dll
O16 - DPF: {6414512B-B978-451D-A0D8-FCFDF33E833C} (WUWebControl Class) - http://www.update.microsoft.com/windowsupdate/v6/V5Controls/en/x86/client/wuweb_site.cab?1197140828018
O20 - Winlogon Notify: !SASWinLogon - D:\Programme\****************\SASWINLO.dll
O20 - Winlogon Notify: ActiveSync - D:\WINNT\SYSTEM32\WcesWlgn.dll
O23 - Service: Ad-Aware 2007 Service (aawservice) - Lavasoft AB - D:\Programme\Lavasoft\Ad-Aware 2007\aawservice.exe
O23 - Service: AntiVir PersonalEdition Classic Planer (AntiVirScheduler) - Avira GmbH - D:\Programme\Avira\AntiVir PersonalEdition Classic\sched.exe
O23 - Service: AntiVir PersonalEdition Classic Guard (AntiVirService) - Avira GmbH - D:\Programme\Avira\AntiVir PersonalEdition Classic\avguard.exe
O23 - Service: AVG Anti-Spyware Guard - GRISOFT s.r.o. - D:\Programme\Grisoft\AVG Anti-Spyware 7.5\guard.exe
O23 - Service: Verwaltungsdienst für die Verwaltung logischer Datenträger (dmadmin) - VERITAS Software Corp. - D:\WINNT\System32\dmadmin.exe
O23 - Service: Sygate Personal Firewall Pro (SmcService) - Sygate Technologies, Inc. - D:\Programme\Sygate\SPF\smc.exe
