Hallo Trojaner-Board,
ich habe seit ungefähr heute einen ziemlich hartnäckigen Virus, der mir noch den letzten Nerv raubt.
Bemerkt habe ich den Virus durch das wohlmögliche Scriptkiddy, dass es für cool hielt den Remote Client Chat bei mir aufzumachen und mich anzuschreiben. Wie auch immer habe ich direkt das Internet gekappt und am anderen Pc nachgegoogelt.
Es stellte sich heraus, dass ich im System32 Ordner einen Unterordner namens Install mit einer Server.exe hatte und dazu noch einige unbekannte Dateien im Temp Ordner die ungefähr so aussahen:
xXx.xXx
Ein Kurz und Flashscan mit MalwareBytes ergab, dass ich mir doch einiges eingefangen habe. Das komische ist, dass die Dateien nach Neustart, trotz der Löschung der Server.exe wieder da waren.
Naja schnell HiJackThis angemacht und die suspekten Einträge mit dem gelben Kreuz gefixxt und danach wieder einen Malwarebytes Scan durchgeführt. Danach kehrte zumindestens die Server.exe nicht mehr wieder.
Aufgefallen ist mir noch, dass die infizierten Dateien erst heute am 27.09 aufgetaucht sind, obwohl ich garnichts runtergeladen habe.
Wie auch immer habe ich mal hier ein paar Logs für euch (Die HiJackThis Logs sind leider verloren gegangen :S):
Code:
Malwarebytes' Anti-Malware 1.46
www.malwarebytes.org
Datenbank Version: 4652
Windows 6.1.7600
Internet Explorer 8.0.7600.16385
27.09.2010 16:04:03
mbam-log-2010-09-27 (16-04-03).txt
Art des Suchlaufs: Quick-Scan
Durchsuchte Objekte: 133543
Laufzeit: 3 Minute(n), 30 Sekunde(n)
Infizierte Speicherprozesse: 0
Infizierte Speichermodule: 0
Infizierte Registrierungsschlüssel: 1
Infizierte Registrierungswerte: 4
Infizierte Dateiobjekte der Registrierung: 0
Infizierte Verzeichnisse: 0
Infizierte Dateien: 3
Infizierte Speicherprozesse:
(Keine bösartigen Objekte gefunden)
Infizierte Speichermodule:
(Keine bösartigen Objekte gefunden)
Infizierte Registrierungsschlüssel:
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Active Setup\Installed Components\{b4w86xtl-7n0q-asxx-ua46-qw847rx21l7d} (Generic.Bot.H) -> Quarantined and deleted successfully.
Infizierte Registrierungswerte:
HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\hkcu (Backdoor.SpyNet) -> Quarantined and deleted successfully.
HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run\policies (Backdoor.SpyNet) -> Quarantined and deleted successfully.
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\hklm (Backdoor.SpyNet) -> Quarantined and deleted successfully.
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run\policies (Backdoor.SpyNet) -> Quarantined and deleted successfully.
Infizierte Dateiobjekte der Registrierung:
(Keine bösartigen Objekte gefunden)
Infizierte Verzeichnisse:
(Keine bösartigen Objekte gefunden)
Infizierte Dateien:
C:\Windows\install\server.exe (Generic.Bot.H) -> Quarantined and deleted successfully.
C:\Users\Max\AppData\Roaming\cglogs.dat (Malware.Trace) -> Quarantined and deleted successfully.
C:\Users\Max\AppData\Local\Temp\XxX.xXx (Malware.Trace) -> Quarantined and deleted successfully.
Hier noch ein Logg:
Code:
Malwarebytes' Anti-Malware 1.46
www.malwarebytes.org
Datenbank Version: 4652
Windows 6.1.7600
Internet Explorer 8.0.7600.16385
27.09.2010 16:09:08
mbam-log-2010-09-27 (16-09-08).txt
Art des Suchlaufs: Quick-Scan
Durchsuchte Objekte: 133028
Laufzeit: 3 Minute(n), 20 Sekunde(n)
Infizierte Speicherprozesse: 0
Infizierte Speichermodule: 0
Infizierte Registrierungsschlüssel: 0
Infizierte Registrierungswerte: 4
Infizierte Dateiobjekte der Registrierung: 0
Infizierte Verzeichnisse: 0
Infizierte Dateien: 5
Infizierte Speicherprozesse:
(Keine bösartigen Objekte gefunden)
Infizierte Speichermodule:
(Keine bösartigen Objekte gefunden)
Infizierte Registrierungsschlüssel:
(Keine bösartigen Objekte gefunden)
Infizierte Registrierungswerte:
HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\hkcu (Backdoor.Bot.M) -> Quarantined and deleted successfully.
HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run\policies (Backdoor.Bot.M) -> Quarantined and deleted successfully.
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\hklm (Backdoor.Bot.M) -> Quarantined and deleted successfully.
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run\policies (Backdoor.Bot.M) -> Quarantined and deleted successfully.
Infizierte Dateiobjekte der Registrierung:
(Keine bösartigen Objekte gefunden)
Infizierte Verzeichnisse:
(Keine bösartigen Objekte gefunden)
Infizierte Dateien:
C:\Users\Max\AppData\Roaming\cglogs.dat (Malware.Trace) -> Quarantined and deleted successfully.
C:\Users\Max\AppData\Roaming\install\server.exe (Backdoor.Bot.M) -> Quarantined and deleted successfully.
C:\Users\Max\AppData\Local\Temp\UuU.uUu (Malware.Trace) -> Quarantined and deleted successfully.
C:\Users\Max\AppData\Local\Temp\XxX.xXx (Malware.Trace) -> Delete on reboot.
C:\Windows\install\server.exe (Backdoor.SpyNet) -> Not selected for removal.
Nach dem Logg, habe ich mit HiJackThis weitergearbeitet, was das Problem einigermaßen eingedämmt hat (MalwareBytes fand danach kein einziges Schadprogramm mehr).
Hier habe ich dann noch einen interessanten Protectionlock (auch von MalwareBytes):
Code:
03:47:04 Max DETECTION C:\Windows\install\server.exe Backdoor.SpyNet DENY
04:13:07 Max DETECTION C:\Users\Max\AppData\Local\Temp\XxX.xXx Malware.Trace DENY
07:18:00 Max IP-BLOCK 66.235.126.122
07:18:00 Max IP-BLOCK 66.235.126.122
07:19:04 Max IP-BLOCK 66.235.126.122
07:19:04 Max IP-BLOCK 66.235.126.122
07:22:32 Max IP-BLOCK 66.235.126.122
07:22:32 Max IP-BLOCK 66.235.126.122
07:26:08 Max IP-BLOCK 66.235.126.122
07:26:08 Max IP-BLOCK 66.235.126.122
07:30:01 Max IP-BLOCK 66.235.126.122
07:30:01 Max IP-BLOCK 66.235.126.122
07:31:29 Max IP-BLOCK 66.235.126.122
07:31:29 Max IP-BLOCK 66.235.126.122
07:48:13 Max MESSAGE Protection started successfully
07:48:16 Max MESSAGE IP Protection started successfully
07:54:57 Max IP-BLOCK 216.18.239.117
07:55:05 Max IP-BLOCK 216.18.239.117
07:55:05 Max IP-BLOCK 216.18.239.117
07:55:05 Max IP-BLOCK 216.18.239.117
07:55:13 Max IP-BLOCK 216.18.239.117
07:55:13 Max IP-BLOCK 216.18.239.117
07:55:21 Max IP-BLOCK 216.18.239.117
07:55:21 Max IP-BLOCK 216.18.239.117
07:55:21 Max IP-BLOCK 216.18.239.117
07:56:18 Max IP-BLOCK 216.18.239.117
07:56:18 Max IP-BLOCK 216.18.239.117
07:56:18 Max IP-BLOCK 216.18.239.116
07:56:18 Max IP-BLOCK 216.18.239.116
07:56:42 Max IP-BLOCK 216.18.239.117
07:56:42 Max IP-BLOCK 216.18.239.117
07:56:50 Max IP-BLOCK 216.18.239.117
07:56:50 Max IP-BLOCK 216.18.239.117
07:56:50 Max IP-BLOCK 216.18.239.116
07:56:50 Max IP-BLOCK 216.18.239.116
07:56:58 Max IP-BLOCK 216.18.239.117
07:56:58 Max IP-BLOCK 216.18.239.117
07:57:14 Max IP-BLOCK 216.18.239.117
07:57:14 Max IP-BLOCK 216.18.239.117
07:57:22 Max IP-BLOCK 216.18.239.114
07:57:22 Max IP-BLOCK 216.18.239.114
08:31:16 Max IP-BLOCK 66.235.126.122
08:31:16 Max IP-BLOCK 66.235.126.122
15:03:20 Max MESSAGE Protection started successfully
15:03:23 Max MESSAGE IP Protection started successfully
15:40:17 Max DETECTION C:\Users\Max\AppData\Local\Temp\XxX.xXx Malware.Trace QUARANTINE
15:40:18 Max DETECTION C:\Users\Max\AppData\Local\Temp\XxX.xXx Malware.Trace DENY
15:40:19 Max DETECTION C:\Users\Max\AppData\Local\Temp\XxX.xXx Malware.Trace DENY
15:40:37 Max DETECTION C:\Users\Max\AppData\Local\Temp\XxX.xXx Malware.Trace DENY
15:40:53 Max DETECTION C:\Users\Max\AppData\Local\Temp\XxX.xXx Malware.Trace DENY
15:40:57 Max DETECTION C:\Users\Max\AppData\Local\Temp\XxX.xXx Malware.Trace DENY
15:59:05 Max MESSAGE Protection started successfully
15:59:09 Max MESSAGE IP Protection started successfully
16:03:35 Max DETECTION C:\Windows\install\server.exe Backdoor.SpyNet ALLOW
16:07:43 Max MESSAGE Protection started successfully
16:07:46 Max MESSAGE IP Protection started successfully
16:12:29 Max MESSAGE Protection started successfully
16:12:32 Max MESSAGE IP Protection started successfully
16:19:47 Max DETECTION C:\Users\Max\AppData\Local\Temp\XxX.xXx Malware.Trace QUARANTINE
16:24:24 Max MESSAGE Protection started successfully
16:24:27 Max MESSAGE IP Protection started successfully
16:24:43 Max DETECTION C:\USERS\MAX\APPDATA\LOCAL\TEMP\XXX.XXX Malware.Trace QUARANTINE
16:24:44 Max ERROR Quarantine failed: UtilityReadFile failed with error code 2
16:28:22 Max DETECTION C:\USERS\MAX\APPDATA\LOCAL\TEMP\XXX.XXX Malware.Trace DENY
16:32:22 Max IP-BLOCK 77.91.227.9
16:32:22 Max IP-BLOCK 77.91.227.9
16:32:54 Max IP-BLOCK 77.91.227.9
16:34:57 Max DETECTION C:\USERS\MAX\APPDATA\LOCAL\TEMP\XXX.XXX Malware.Trace DENY
16:39:00 Max DETECTION C:\USERS\MAX\APPDATA\LOCAL\TEMP\XXX.XXX Malware.Trace DENY
16:39:05 Max DETECTION C:\USERS\MAX\APPDATA\LOCAL\TEMP\XXX.XXX Malware.Trace DENY
16:41:58 Max DETECTION C:\USERS\MAX\APPDATA\LOCAL\TEMP\XXX.XXX Malware.Trace DENY
16:49:30 Max MESSAGE IP Protection stopped
16:49:33 Max MESSAGE Database updated successfully
16:49:34 Max MESSAGE IP Protection started successfully
16:55:38 Max MESSAGE Protection started successfully
16:55:42 Max MESSAGE IP Protection started successfully
16:57:43 Max IP-BLOCK 195.68.160.27
16:57:43 Max IP-BLOCK 195.68.160.229
16:57:43 Max IP-BLOCK 195.68.160.229
16:59:35 Max IP-BLOCK 195.68.160.27
17:18:11 Max DETECTION C:\USERS\MAX\APPDATA\LOCAL\TEMP\XXX.XXX Malware.Trace QUARANTINE
17:18:12 Max ERROR Quarantine failed: UtilityReadFile failed with error code 2
17:20:52 Max IP-BLOCK 195.24.76.98
17:20:52 Max IP-BLOCK 195.24.76.98
17:55:26 Max MESSAGE Protection started successfully
17:55:29 Max MESSAGE IP Protection started successfully
17:55:37 Max IP-BLOCK 208.73.210.125
17:56:19 Max DETECTION C:\USERS\MAX\APPDATA\LOCAL\TEMP\XXX.XXX Malware.Trace QUARANTINE
17:56:19 Max IP-BLOCK 208.73.210.125
17:56:19 Max IP-BLOCK 208.73.210.125
17:56:19 Max IP-BLOCK 208.73.210.125
17:56:20 Max ERROR Quarantine failed: UtilityReadFile failed with error code 2
17:56:27 Max IP-BLOCK 208.73.210.125
17:56:27 Max IP-BLOCK 208.73.210.125
17:56:27 Max IP-BLOCK 208.73.210.125
17:59:34 Max IP-BLOCK 212.95.32.165
17:59:42 Max IP-BLOCK 212.95.32.165
18:09:53 Max DETECTION C:\USERS\MAX\APPDATA\LOCAL\TEMP\XXX.XXX Malware.Trace DENY
18:10:08 Max IP-BLOCK 208.73.210.125
18:10:46 Max DETECTION C:\USERS\MAX\APPDATA\LOCAL\TEMP\XXX.XXX Malware.Trace DENY
18:10:56 Max IP-BLOCK 208.73.210.125
18:25:32 Max IP-BLOCK 195.68.160.27
18:32:05 Max IP-BLOCK 208.73.210.125
19:10:25 Max IP-BLOCK 212.95.32.165
19:10:25 Max IP-BLOCK 212.95.32.165
19:10:33 Max IP-BLOCK 212.95.32.165
19:11:43 Max MESSAGE IP Protection stopped
19:11:43 Max MESSAGE IP Protection started successfully
19:55:24 Max IP-BLOCK 78.46.104.42
20:31:22 Max DETECTION C:\USERS\MAX\APPDATA\LOCAL\TEMP\XXX.XXX Malware.Trace QUARANTINE
20:31:23 Max ERROR Quarantine failed: UtilityReadFile failed with error code 2
20:31:24 Max IP-BLOCK 208.73.210.125
20:31:32 Max IP-BLOCK 208.73.210.125
Jetzt scheint das Problem fasst gelöst zu sein, nur komischerweiße kehrt die Datei XXX.XXX immer wieder :S
Naja ich hoffe mal das mir irgendjemand hier helfen kann.
Ich danke schonmal im Vorraus.
MfG Blaze (Max :))
Nachtrag:
Ich nutze Windows 7 64 Bit Ultimate Edition.
Hier habe ich nochmal einen Hijackthislog mit dem zurzeitigen Status:
Code:
Logfile of Trend Micro HijackThis v2.0.2
Scan saved at 21:00:48, on 27.09.2010
Platform: Unknown Windows (WinNT 6.01.3504)
MSIE: Internet Explorer v8.00 (8.00.7600.16385)
Boot mode: Normal
Running processes:
C:\Program Files (x86)\Common Files\Java\Java Update\jusched.exe
C:\Program Files (x86)\D-Link\DWA-547 revA\wirelesscm.exe
C:\Users\Max\Desktop\selektra\ich_80\Selektra.exe
C:\Users\Public\Games\botten\wow.exe
C:\Users\Max\Desktop\selektra\hunter_80_2\Selektra.exe
C:\Users\Public\Games\botten\wow.exe
C:\Users\Max\Desktop\selektra\hunter_80_3\Selektra.exe
C:\Users\Public\Games\botten\wow.exe
C:\Users\Max\Desktop\selektra\paladin_80\Selektra.exe
C:\Users\Public\Games\botten\wow.exe
C:\Users\Max\Desktop\starter\WindowPlacer\WindowPlacer.exe
C:\Program Files (x86)\QIP 2010\qip.exe
C:\Program Files (x86)\Malwarebytes' Anti-Malware\mbamgui.exe
C:\Users\Max\Desktop\selektra\hunter_80\Selektra.exe
C:\Users\Public\Games\botten\wow.exe
C:\Program Files (x86)\Mozilla Firefox\firefox.exe
C:\Program Files (x86)\Mozilla Firefox\plugin-container.exe
C:\Users\Max\Desktop\Launcher beta\Launcher.exe
C:\Users\Max\Desktop\selektra\smx2\smx_eu\Biylendsey\Selektra.exe
C:\Users\Max\Desktop\selektra\smx2\smx_eu\Ginaysel\Selektra.exe
C:\Users\Public\Games\botten\wow.exe
C:\Users\Public\Games\botten\wow.exe
C:\Program Files (x86)\Trend Micro\HijackThis\HijackThis.exe
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = hxxp://go.microsoft.com/fwlink/?LinkId=54896
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = hxxp://go.microsoft.com/fwlink/?LinkId=69157
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = hxxp://go.microsoft.com/fwlink/?LinkId=69157
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = hxxp://go.microsoft.com/fwlink/?LinkId=54896
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = hxxp://go.microsoft.com/fwlink/?LinkId=54896
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = hxxp://go.microsoft.com/fwlink/?LinkId=69157
R0 - HKLM\Software\Microsoft\Internet Explorer\Search,SearchAssistant =
R0 - HKLM\Software\Microsoft\Internet Explorer\Search,CustomizeSearch =
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Local Page = C:\Windows\SysWOW64\blank.htm
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName =
O2 - BHO: Windows Live Anmelde-Hilfsprogramm - {9030D464-4C02-4ABF-8ECC-5164760863C6} - C:\Program Files (x86)\Common Files\Microsoft Shared\Windows Live\WindowsLiveLogin.dll
O4 - HKLM\..\Run: [SunJavaUpdateSched] "C:\Program Files (x86)\Common Files\Java\Java Update\jusched.exe"
O4 - HKUS\S-1-5-19\..\Run: [Sidebar] %ProgramFiles%\Windows Sidebar\Sidebar.exe /autoRun (User 'LOKALER DIENST')
O4 - HKUS\S-1-5-19\..\RunOnce: [mctadmin] C:\Windows\System32\mctadmin.exe (User 'LOKALER DIENST')
O4 - HKUS\S-1-5-20\..\Run: [Sidebar] %ProgramFiles%\Windows Sidebar\Sidebar.exe /autoRun (User 'NETZWERKDIENST')
O4 - HKUS\S-1-5-20\..\RunOnce: [mctadmin] C:\Windows\System32\mctadmin.exe (User 'NETZWERKDIENST')
O4 - Startup: Malwarebytes' Anti-Malware.lnk = C:\Program Files (x86)\Malwarebytes' Anti-Malware\mbamgui.exe
O13 - Gopher Prefix:
O18 - Protocol: skype4com - {FFC8B962-9B40-4DFF-9458-1830C7DD7F5D} - C:\PROGRA~2\COMMON~1\Skype\SKYPE4~1.DLL
O23 - Service: @%SystemRoot%\system32\Alg.exe,-112 (ALG) - Unknown owner - C:\Windows\System32\alg.exe (file missing)
O23 - Service: @%SystemRoot%\system32\efssvc.dll,-100 (EFS) - Unknown owner - C:\Windows\System32\lsass.exe (file missing)
O23 - Service: @%systemroot%\system32\fxsresm.dll,-118 (Fax) - Unknown owner - C:\Windows\system32\fxssvc.exe (file missing)
O23 - Service: JumpStart Wi-Fi Protected Setup (jswpsapi) - Atheros Communications, Inc. - C:\Program Files (x86)\D-Link\DWA-547 revA\jswpsapi.exe
O23 - Service: @keyiso.dll,-100 (KeyIso) - Unknown owner - C:\Windows\system32\lsass.exe (file missing)
O23 - Service: MBAMService - Malwarebytes Corporation - C:\Program Files (x86)\Malwarebytes' Anti-Malware\mbamservice.exe
O23 - Service: @comres.dll,-2797 (MSDTC) - Unknown owner - C:\Windows\System32\msdtc.exe (file missing)
O23 - Service: @%SystemRoot%\System32\netlogon.dll,-102 (Netlogon) - Unknown owner - C:\Windows\system32\lsass.exe (file missing)
O23 - Service: @%systemroot%\system32\psbase.dll,-300 (ProtectedStorage) - Unknown owner - C:\Windows\system32\lsass.exe (file missing)
O23 - Service: @%systemroot%\system32\Locator.exe,-2 (RpcLocator) - Unknown owner - C:\Windows\system32\locator.exe (file missing)
O23 - Service: @%SystemRoot%\system32\samsrv.dll,-1 (SamSs) - Unknown owner - C:\Windows\system32\lsass.exe (file missing)
O23 - Service: @%SystemRoot%\system32\snmptrap.exe,-3 (SNMPTRAP) - Unknown owner - C:\Windows\System32\snmptrap.exe (file missing)
O23 - Service: @%systemroot%\system32\spoolsv.exe,-1 (Spooler) - Unknown owner - C:\Windows\System32\spoolsv.exe (file missing)
O23 - Service: @%SystemRoot%\system32\sppsvc.exe,-101 (sppsvc) - Unknown owner - C:\Windows\system32\sppsvc.exe (file missing)
O23 - Service: @%SystemRoot%\system32\ui0detect.exe,-101 (UI0Detect) - Unknown owner - C:\Windows\system32\UI0Detect.exe (file missing)
O23 - Service: @%SystemRoot%\system32\vaultsvc.dll,-1003 (VaultSvc) - Unknown owner - C:\Windows\system32\lsass.exe (file missing)
O23 - Service: @%SystemRoot%\system32\vds.exe,-100 (vds) - Unknown owner - C:\Windows\System32\vds.exe (file missing)
O23 - Service: @%systemroot%\system32\vssvc.exe,-102 (VSS) - Unknown owner - C:\Windows\system32\vssvc.exe (file missing)
O23 - Service: @%systemroot%\system32\wbengine.exe,-104 (wbengine) - Unknown owner - C:\Windows\system32\wbengine.exe (file missing)
O23 - Service: @%Systemroot%\system32\wbem\wmiapsrv.exe,-110 (wmiApSrv) - Unknown owner - C:\Windows\system32\wbem\WmiApSrv.exe (file missing)
O23 - Service: @%PROGRAMFILES%\Windows Media Player\wmpnetwk.exe,-101 (WMPNetworkSvc) - Unknown owner - C:\Program Files (x86)\Windows Media Player\wmpnetwk.exe (file missing)
--
End of file - 6116 bytes
Was mir gerade auffällt ist, dass immer wenn mein System die XXX.XXX Datei feststellt, gleichzeitig eine Verbindung geblockt wird.
