Webseite via FTP/FileZilla gehackt, Viren "JS/BlacoleRef.W.234" und "EXP/Pdfka.EL.831" gefunden

UED · 19.02.2013, 20:48

Da sehe ich evtl. das Problem. Gab/gibt es nicht Viren, welche auch nicht durch formatieren verschwinden? Viren, die im MBR sitzen? Wie dem auch sei, hier ist das Log:

Code:

ATTFilter

MBRCheck, version 1.2.3
(c) 2010, AD

Command-line:			
Windows Version:		Windows 7 Ultimate Edition
Windows Information:		Service Pack 1 (build 7601), 64-bit
Base Board Manufacturer:	ASUSTeK Computer INC.
BIOS Manufacturer:		American Megatrends Inc.
System Manufacturer:		System manufacturer
System Product Name:		System Product Name
Logical Drives Mask:		0x0000003d

Kernel Drivers (total 173):
  0x02C02000 \SystemRoot\system32\ntoskrnl.exe
  0x031E9000 \SystemRoot\system32\hal.dll
  0x00BD1000 \SystemRoot\system32\kdcom.dll
  0x00C49000 \SystemRoot\system32\mcupdate_AuthenticAMD.dll
  0x00C56000 \SystemRoot\system32\PSHED.dll
  0x00C6A000 \SystemRoot\system32\CLFS.SYS
  0x00CC8000 \SystemRoot\system32\CI.dll
  0x00ED4000 \SystemRoot\system32\drivers\Wdf01000.sys
  0x00F96000 \SystemRoot\system32\drivers\WDFLDR.SYS
  0x01068000 \SystemRoot\System32\Drivers\sptd.sys
  0x01000000 \SystemRoot\system32\drivers\ACPI.sys
  0x01057000 \SystemRoot\system32\drivers\WMILIB.SYS
  0x011DB000 \SystemRoot\system32\drivers\msisadrv.sys
  0x011E5000 \SystemRoot\system32\drivers\vdrvroot.sys
  0x00FA6000 \SystemRoot\system32\drivers\pci.sys
  0x00FD9000 \SystemRoot\System32\drivers\partmgr.sys
  0x00E00000 \SystemRoot\system32\drivers\volmgr.sys
  0x00E15000 \SystemRoot\System32\drivers\volmgrx.sys
  0x011F2000 \SystemRoot\system32\drivers\pciide.sys
  0x00E71000 \SystemRoot\system32\drivers\PCIIDEX.SYS
  0x00E81000 \SystemRoot\System32\drivers\mountmgr.sys
  0x00D88000 \SystemRoot\system32\drivers\vmbus.sys
  0x00E9B000 \SystemRoot\system32\drivers\winhv.sys
  0x00EAF000 \SystemRoot\system32\drivers\atapi.sys
  0x00DC4000 \SystemRoot\system32\drivers\ataport.SYS
  0x00EB8000 \SystemRoot\system32\drivers\amdxata.sys
  0x01235000 \SystemRoot\system32\drivers\fltmgr.sys
  0x01281000 \SystemRoot\system32\drivers\fileinfo.sys
  0x01404000 \SystemRoot\System32\Drivers\Ntfs.sys
  0x01295000 \SystemRoot\System32\Drivers\msrpc.sys
  0x015A7000 \SystemRoot\System32\Drivers\ksecdd.sys
  0x012F3000 \SystemRoot\System32\Drivers\cng.sys
  0x015C2000 \SystemRoot\System32\drivers\pcw.sys
  0x015D3000 \SystemRoot\System32\Drivers\Fs_Rec.sys
  0x0167E000 \SystemRoot\system32\drivers\ndis.sys
  0x01770000 \SystemRoot\system32\drivers\NETIO.SYS
  0x017D0000 \SystemRoot\System32\Drivers\ksecpkg.sys
  0x01800000 \SystemRoot\System32\drivers\tcpip.sys
  0x01600000 \SystemRoot\System32\drivers\fwpkclnt.sys
  0x01649000 \SystemRoot\system32\drivers\vmstorfl.sys
  0x01365000 \SystemRoot\system32\drivers\volsnap.sys
  0x01659000 \SystemRoot\System32\Drivers\spldr.sys
  0x013B1000 \SystemRoot\System32\drivers\rdyboost.sys
  0x01661000 \SystemRoot\system32\DRIVERS\NBVol.sys
  0x015DD000 \SystemRoot\system32\DRIVERS\NBVolUp.sys
  0x015E6000 \SystemRoot\System32\Drivers\mup.sys
  0x013EB000 \SystemRoot\System32\drivers\hwpolicy.sys
  0x00C00000 \SystemRoot\System32\DRIVERS\fvevol.sys
  0x01200000 \SystemRoot\system32\DRIVERS\disk.sys
  0x01AF0000 \SystemRoot\system32\DRIVERS\CLASSPNP.SYS
  0x01B20000 \SystemRoot\System32\Drivers\BtHidBus.sys
  0x01B5B000 \SystemRoot\system32\DRIVERS\cdrom.sys
  0x01B85000 \SystemRoot\System32\Drivers\Null.SYS
  0x01B8E000 \SystemRoot\System32\Drivers\Beep.SYS
  0x01B95000 \SystemRoot\System32\drivers\vga.sys
  0x01BA3000 \SystemRoot\System32\drivers\VIDEOPRT.SYS
  0x01BC8000 \SystemRoot\System32\drivers\watchdog.sys
  0x01BD8000 \SystemRoot\System32\DRIVERS\RDPCDD.sys
  0x01BE1000 \SystemRoot\system32\drivers\rdpencdd.sys
  0x01BEA000 \SystemRoot\system32\drivers\rdprefmp.sys
  0x01BF3000 \SystemRoot\System32\Drivers\Msfs.SYS
  0x01A00000 \SystemRoot\System32\Drivers\Npfs.SYS
  0x01A11000 \SystemRoot\system32\DRIVERS\tdx.sys
  0x01A33000 \SystemRoot\system32\DRIVERS\TDI.SYS
  0x01A40000 \SystemRoot\system32\drivers\afd.sys
  0x02ED3000 \SystemRoot\System32\DRIVERS\netbt.sys
  0x02F18000 \SystemRoot\system32\drivers\ws2ifsl.sys
  0x02F23000 \SystemRoot\system32\DRIVERS\wfplwf.sys
  0x02F2C000 \SystemRoot\system32\DRIVERS\pacer.sys
  0x02F52000 \SystemRoot\system32\DRIVERS\netbios.sys
  0x02F61000 \SystemRoot\system32\DRIVERS\serial.sys
  0x02F7E000 \SystemRoot\system32\DRIVERS\wanarp.sys
  0x02F99000 \??\C:\Windows\system32\Treiber\vmm.sys
  0x02FE6000 \SystemRoot\system32\drivers\termdd.sys
  0x02E00000 \SystemRoot\system32\DRIVERS\rdbss.sys
  0x02E51000 \SystemRoot\system32\drivers\nsiproxy.sys
  0x02E5D000 \SystemRoot\system32\drivers\mssmbios.sys
  0x02E68000 \SystemRoot\System32\drivers\discache.sys
  0x040A2000 \SystemRoot\system32\drivers\csc.sys
  0x04125000 \SystemRoot\System32\Drivers\dfsc.sys
  0x04143000 \SystemRoot\system32\DRIVERS\blbdrive.sys
  0x04154000 \SystemRoot\system32\DRIVERS\avkmgr.sys
  0x0415E000 \SystemRoot\system32\DRIVERS\avipbb.sys
  0x04185000 \SystemRoot\system32\DRIVERS\tunnel.sys
  0x041AB000 \SystemRoot\system32\DRIVERS\amdk8.sys
  0x13243000 \SystemRoot\system32\DRIVERS\nvlddmkm.sys
  0x03E4F000 \SystemRoot\System32\drivers\dxgkrnl.sys
  0x03F43000 \SystemRoot\System32\drivers\dxgmms1.sys
  0x13F37000 \SystemRoot\system32\DRIVERS\Rt64win7.sys
  0x03F89000 \SystemRoot\system32\DRIVERS\usbohci.sys
  0x03F94000 \SystemRoot\system32\DRIVERS\USBPORT.SYS
  0x03FEA000 \SystemRoot\system32\DRIVERS\usbehci.sys
  0x03E00000 \SystemRoot\system32\drivers\HDAudBus.sys
  0x03E24000 \SystemRoot\system32\DRIVERS\fdc.sys
  0x03E31000 \SystemRoot\system32\DRIVERS\parport.sys
  0x13FBC000 \SystemRoot\system32\DRIVERS\ASACPI.sys
  0x13FC4000 \SystemRoot\system32\drivers\i8042prt.sys
  0x13FE2000 \SystemRoot\system32\drivers\kbdclass.sys
  0x13FF1000 \SystemRoot\system32\DRIVERS\serenum.sys
  0x04000000 \SystemRoot\System32\Drivers\avf0ay0v.SYS
  0x13200000 \SystemRoot\System32\Drivers\SCSIPORT.SYS
  0x0404C000 \SystemRoot\System32\Drivers\albcxcfc.SYS
  0x1322F000 \SystemRoot\system32\drivers\wmiacpi.sys
  0x13238000 \SystemRoot\System32\Drivers\btnetBus.sys
  0x03FFB000 \SystemRoot\System32\Drivers\btcombus.sys
  0x1323E000 \SystemRoot\System32\Drivers\IvtBtBus.sys
  0x041C2000 \SystemRoot\system32\DRIVERS\VMNetSrv.sys
  0x041D7000 \SystemRoot\system32\drivers\CompositeBus.sys
  0x041E7000 \SystemRoot\System32\Drivers\RootMdm.sys
  0x041EF000 \SystemRoot\system32\drivers\modem.sys
  0x02E77000 \SystemRoot\system32\DRIVERS\AgileVpn.sys
  0x02E8D000 \SystemRoot\system32\DRIVERS\rasl2tp.sys
  0x02EB1000 \SystemRoot\system32\DRIVERS\ndistapi.sys
  0x04499000 \SystemRoot\system32\DRIVERS\ndiswan.sys
  0x044C8000 \SystemRoot\system32\DRIVERS\raspppoe.sys
  0x044E3000 \SystemRoot\system32\DRIVERS\raspptp.sys
  0x04504000 \SystemRoot\system32\DRIVERS\rassstp.sys
  0x0451E000 \SystemRoot\system32\DRIVERS\tap0901t.sys
  0x0452B000 \SystemRoot\system32\DRIVERS\rdpbus.sys
  0x04536000 \SystemRoot\system32\drivers\mouclass.sys
  0x04545000 \SystemRoot\system32\drivers\swenum.sys
  0x04547000 \SystemRoot\system32\drivers\ks.sys
  0x0458A000 \SystemRoot\system32\DRIVERS\umbus.sys
  0x0459C000 \SystemRoot\system32\DRIVERS\usbhub.sys
  0x04400000 \SystemRoot\system32\DRIVERS\flpydisk.sys
  0x0440B000 \SystemRoot\System32\Drivers\NDProxy.SYS
  0x05C0F000 \SystemRoot\system32\drivers\viahduaa.sys
  0x05DA9000 \SystemRoot\system32\drivers\portcls.sys
  0x04420000 \SystemRoot\system32\drivers\drmk.sys
  0x05DE6000 \SystemRoot\system32\drivers\ksthunk.sys
  0x04442000 \SystemRoot\system32\DRIVERS\usbccgp.sys
  0x05DEC000 \SystemRoot\system32\DRIVERS\USBD.SYS
  0x05DEE000 \SystemRoot\system32\DRIVERS\dc3d.sys
  0x05C00000 \SystemRoot\system32\DRIVERS\HIDPARSE.SYS
  0x0445F000 \SystemRoot\system32\DRIVERS\hidusb.sys
  0x0446D000 \SystemRoot\system32\DRIVERS\HIDCLASS.SYS
  0x04486000 \SystemRoot\system32\drivers\kbdhid.sys
  0x02EBD000 \SystemRoot\system32\DRIVERS\mouhid.sys
  0x01AC9000 \SystemRoot\system32\DRIVERS\point64.sys
  0x06219000 \SystemRoot\system32\DRIVERS\udfs.sys
  0x000D0000 \SystemRoot\System32\win32k.sys
  0x0626E000 \SystemRoot\System32\drivers\Dxapi.sys
  0x0627A000 \SystemRoot\System32\Drivers\crashdmp.sys
  0x06288000 \SystemRoot\System32\Drivers\dump_dumpata.sys
  0x06294000 \SystemRoot\System32\Drivers\dump_atapi.sys
  0x0629D000 \SystemRoot\System32\Drivers\dump_dumpfve.sys
  0x062B0000 \SystemRoot\system32\DRIVERS\monitor.sys
  0x005C0000 \SystemRoot\System32\TSDDD.dll
  0x00640000 \SystemRoot\System32\cdd.dll
  0x062BE000 \SystemRoot\system32\drivers\luafv.sys
  0x062E1000 \SystemRoot\system32\DRIVERS\avgntflt.sys
  0x06301000 \SystemRoot\system32\DRIVERS\lltdio.sys
  0x06316000 \SystemRoot\system32\DRIVERS\rspndr.sys
  0x0632E000 \SystemRoot\system32\drivers\HTTP.sys
  0x01B25000 \SystemRoot\System32\DRIVERS\srvnet.sys
  0x01216000 \SystemRoot\system32\DRIVERS\bowser.sys
  0x06200000 \SystemRoot\System32\drivers\mpsdrv.sys
  0x070E9000 \SystemRoot\system32\DRIVERS\mrxsmb.sys
  0x07116000 \SystemRoot\system32\DRIVERS\mrxsmb10.sys
  0x07164000 \SystemRoot\system32\DRIVERS\mrxsmb20.sys
  0x07188000 \SystemRoot\System32\DRIVERS\srv2.sys
  0x07000000 \SystemRoot\System32\DRIVERS\srv.sys
  0x07098000 \??\C:\Windows\system32\drivers\DRHARD64.sys
  0x070A0000 \??\C:\Windows\system32\drivers\DRHMSR64.sys
  0x086C5000 \SystemRoot\system32\drivers\peauth.sys
  0x0876B000 \SystemRoot\System32\Drivers\secdrv.SYS
  0x08776000 \SystemRoot\System32\drivers\tcpipreg.sys
  0x08600000 \SystemRoot\system32\DRIVERS\asyncmac.sys
  0x0860B000 \SystemRoot\system32\DRIVERS\USBSTOR.SYS
  0x08626000 \??\C:\Users\UED\AppData\Local\Temp\uwldapow.sys
  0x77BD0000 \Windows\System32\ntdll.dll
  0x47FD0000 \Windows\System32\smss.exe
  0xFFEF0000 \Windows\System32\apisetschema.dll

Processes (total 62):
       0 System Idle Process
       4 System
     280 C:\Windows\System32\smss.exe
     376 csrss.exe
     428 C:\Windows\System32\wininit.exe
     448 csrss.exe
     484 C:\Windows\System32\services.exe
     508 C:\Windows\System32\lsass.exe
     516 C:\Windows\System32\lsm.exe
     572 C:\Windows\System32\winlogon.exe
     656 C:\Windows\System32\svchost.exe
     728 C:\Windows\System32\nvvsvc.exe
     752 C:\Program Files (x86)\NVIDIA Corporation\3D Vision\nvSCPAPISvr.exe
     784 C:\Windows\System32\svchost.exe
     884 C:\Windows\System32\svchost.exe
     924 C:\Windows\System32\svchost.exe
     952 C:\Windows\System32\svchost.exe
     380 C:\Windows\System32\svchost.exe
     672 C:\Windows\System32\svchost.exe
    1076 C:\Windows\System32\svchost.exe
    1204 C:\Windows\System32\spoolsv.exe
    1276 C:\Program Files\NVIDIA Corporation\Display\nvxdsync.exe
    1288 C:\Windows\System32\nvvsvc.exe
    1332 C:\Program Files (x86)\Avira\AntiVir Desktop\sched.exe
    1356 C:\Windows\System32\svchost.exe
    1660 C:\Program Files (x86)\Avira\AntiVir Desktop\avguard.exe
    1712 C:\Program Files (x86)\IVT Corporation\BlueSoleil\BlueSoleilCS.exe
    1752 C:\Program Files (x86)\IVT Corporation\BlueSoleil\BsMobileCS.exe
    1804 C:\Windows\System32\svchost.exe
    1912 C:\Windows\System32\svchost.exe
    2028 C:\Windows\System32\svchost.exe
    1596 C:\Program Files\Common Files\Microsoft Shared\Windows Live\WLIDSVC.EXE
    1392 WmiPrvSE.exe
    2116 C:\Program Files\Common Files\Microsoft Shared\Windows Live\WLIDSVCM.EXE
    2240 C:\Windows\System32\taskhost.exe
    2288 C:\Windows\System32\dwm.exe
    2328 C:\Windows\explorer.exe
    2544 C:\Program Files\Microsoft Device Center\itype.exe
    2564 C:\Program Files\Microsoft Device Center\ipoint.exe
    2572 C:\Program Files (x86)\DAEMON Tools Pro\DTAgent.exe
    2676 C:\Program Files (x86)\Avira\AntiVir Desktop\avgnt.exe
    2696 C:\Program Files (x86)\IVT Corporation\BlueSoleil\BtTray.exe
    2704 C:\Program Files (x86)\DivX\DivX Update\DivXUpdate.exe
    2796 C:\Program Files (x86)\DAEMON Tools Pro\DTShellHlp.exe
    3064 C:\Program Files\NVIDIA Corporation\Display\nvtray.exe
    3004 C:\Program Files (x86)\Avira\AntiVir Desktop\avshadow.exe
    1768 C:\Windows\System32\conhost.exe
    1216 C:\Program Files (x86)\IVT Corporation\BlueSoleil\BsHelpCS.exe
     992 C:\Windows\System32\SearchIndexer.exe
    3512 C:\Program Files\Windows Media Player\wmpnetwk.exe
    3736 C:\Windows\System32\svchost.exe
    3960 C:\Program Files (x86)\Nero\Update\NASvc.exe
    3424 C:\Windows\notepad.exe
    3316 C:\Program Files\Internet Explorer\iexplore.exe
    1960 C:\Program Files\Internet Explorer\iexplore.exe
    4888 C:\Program Files\Internet Explorer\iexplore.exe
     584 C:\Windows\System32\audiodg.exe
    4612 C:\Windows\System32\SearchProtocolHost.exe
    1168 C:\Windows\System32\SearchFilterHost.exe
     820 C:\Windows\System32\dllhost.exe
    1736 C:\Users\UED\Desktop\MBRCheck.exe
    4176 C:\Windows\System32\conhost.exe

\\.\C: --> \\.\PhysicalDrive0 at offset 0x00000000`06500000  (NTFS)

PhysicalDrive0 Model Number: WDCWD2500JB-75GVA0, Rev: 08.02D08

      Size  Device Name          MBR Status
  --------------------------------------------
    232 GB  \\.\PhysicalDrive0   Windows 7 MBR code detected
            SHA1: 4379A3D43019B46FA357F7DD6A53B45A3CA8FB79


Done!

markusg · 19.02.2013, 20:49

ist der normale MBR code, sehe aber trotzdem nichts weiter im log.
klickts nur während der browser offen ist?

UED · 19.02.2013, 20:57

Das Klicken scheint entweder überall oder wie es mir scheint, in bestimmten Fenstern zu sein.
Die Bedienung des PC's wird dadurch erschwert. Im Explorer werden durch die Maus Ordner verschoben (wenn ich über einen anderen mit der Maus fahre), ich markiere mehrere Ordner, Ordner-Namen könnten umbenannt werden (wenn ich direkt über den Namen bin).
Genauso schlimm ist es im Internet, es ist riskant, mit der Maus über Links zu fahren, da diese geöffnet werden könnten, Fenster werden verkleinert/maximiert, wenn die Maus über der Titelleiste ist. Die Registerkarten werden verschoben, wie immer dann, wenn ich dort mit der Maus bin.

Das Ganze ist sehr kurios.

markusg · 19.02.2013, 21:10

ok, dann tipp wie auf seite 1, neu aufsetzen.
1. Datenrettung:

deaktiviere Autorun: http://www.trojaner-board.de/83238-a...sschalten.html
dann sichere Daten auf nen externen datenträger: http://www.trojaner-board.de/82533-d...ted-magic.html
Bilder, Dokumente, Musik Videos (persönliches) http://www.trojaner-board.de/71715-k...iendungen.html

2. Formatieren, Windows neu instalieren:

nutzt du eine Windows CD: http://www.trojaner-board.de/51262-a...sicherung.html
recovery cd oder recovery partition.
falls dies ein fertig pc ist, nenne hersteller + typ.
Keine Windows 7 DVD? http://www.trojaner-board.de/100776-...-download.html

3. PC absichern: http://www.trojaner-board.de/96344-a...-rechners.html
ich werde außerdem noch weitere punkte dazu posten.
4. alle Passwörter ändern!
5. nach PC Absicherung, die gesicherten Daten prüfen und falls sauber: zurückspielen.
6. werde ich dann noch was zum absichern von Onlinebanking mit Chip Card Reader + Star Money sagen.

UED · 20.02.2013, 17:29

Alles klar, ich werde heute nun die Festplatte formatieren und Windows neu aufsetzen.
Aber ich mache mir Sorgen. Was ist, wenn der nicht gefundene Schädling gegen das Formatieren resistent ist? Wieso konnten wir ihn überhaupt nicht finden und meine Maus nervt mich immer noch? Oh je...

markusg · 20.02.2013, 17:34

er ist nicht resistent gegen das formatieen.
hast du eine Windows cd, dann achte darauf, alle Partitionen zu löschen und neu zu erstellen.
man kann eben mit programmen und fernwartung nur einen begränzten teil abdecken.

UED · 20.02.2013, 17:46

Verteilt sich sich eigentlich ZeroAccess oder mein Maus-Virus über das Netzwerk? Ich sitze hier an einem Router mit zwei anderen Computern, auf beiden sind keine Anzeichen zu erkennen.
Hoffentlich sitzt das Vieh nicht im MBR...

markusg · 20.02.2013, 17:47

Nein.

19.02.2013, 20:49	#32
markusg /// Malware-holic	Webseite via FTP/FileZilla gehackt, Viren "JS/BlacoleRef.W.234" und "EXP/Pdfka.EL.831" gefunden ist der normale MBR code, sehe aber trotzdem nichts weiter im log. klickts nur während der browser offen ist? __________________ __________________

20.02.2013, 17:47	#38
markusg /// Malware-holic	Webseite via FTP/FileZilla gehackt, Viren "JS/BlacoleRef.W.234" und "EXP/Pdfka.EL.831" gefunden Nein. __________________ -Verdächtige mails bitte an uns zur Analyse weiterleiten: markusg.trojaner-board@web.de Weiterleiten Anleitung: http://markusg.trojaner-board.de Mails bitte vorerst nach obiger Anleitung an markusg.trojaner-board@web.de Weiterleiten Wenn Ihr uns unterstützen möchtet

Webseite via FTP/FileZilla gehackt, Viren "JS/BlacoleRef.W.234" und "EXP/Pdfka.EL.831" gefunden

Plagegeister aller Art und deren Bekämpfung: Webseite via FTP/FileZilla gehackt, Viren "JS/BlacoleRef.W.234" und "EXP/Pdfka.EL.831" gefunden