| |
| |||||||
Log-Analyse und Auswertung: Evtl. Malware eingefangen weil plötzlich WLAN-Security inaktiv?Windows 7 Wenn Du Dir einen Trojaner eingefangen hast oder ständig Viren Warnungen bekommst, kannst Du hier die Logs unserer Diagnose Tools zwecks Auswertung durch unsere Experten posten. Um Viren und Trojaner entfernen zu können, muss das infizierte System zuerst untersucht werden: Erste Schritte zur Hilfe. Beachte dass ein infiziertes System nicht vertrauenswürdig ist und bis zur vollständigen Entfernung der Malware nicht verwendet werden sollte.XML. |
 |
12.06.2013, 21:44
| #1 |
 |  Evtl. Malware eingefangen weil plötzlich WLAN-Security inaktiv? Guten Abend allerseits, vor ein bis zwei Wochen hatte ich das Phänomen, dass in meinem Router plötzlich die Security-Einstellungen für das WLAN zurückgesetzt worden waren, d.h. statt WPA2 war gar nichts mehr eingestellt. Zuvor hatte ich ein Remake eines Spiels (KaM) gespielt und dabei einen Server gestartet, den das Spiel dummerweise in seiner öffentlichen Lobby angezeigt haben muss (es versuchten mehrfach Fremde in meine Partie einzusteigen). Ich vermute deshalb, dass das Remake evtl. noch Lücken hat, die da jemand ausgenutzt haben könnte um bei mir "einzusteigen". Alternativ könnte sich natürlich jemand in den Router (D-LINK 524, > 1 Jahr alt, also keine Firmware-Updates mehr; Lücken dürfte es nach den letzten Nachrichten genug geben) gehackt haben. Jedenfalls habe ich dadurch Angst, dass mir evtl. Malware untergeschoben wurde, denn außer mir kommt keiner auf den Router und am Tag zuvor lief die WLAN-Verbindung noch abgesichert. Da ich seit einiger Zeit hier im Forum mitlese habe ich mal ein paar Scans gestartet. Es wäre nett, wenn mal jemand einen Blick drauf werfen könnte - für mich als Halblaie war auf den ersten Blick nichts verwerfliches drin (wobei ich ab der Treiberschicht und drunter aber auch raus bin). 0. Defogger Code:
ATTFilter defogger_disable by jpshortstuff (23.02.10.1)
Log created at 17:21 on 12/06/2013 (Martin)
Checking for autostart values...
HKCU\~\Run values retrieved.
HKLM\~\Run values retrieved.
Checking for services/drivers...
SPTD -> Disabled (Service running -> reboot required)
-=E.O.F=-
2. GMER: Rechner startete sich während des Scans offenbar neu - eine Log-Datei wurde nicht erstellt. Deshalb bin ich mal wie in folgendem Thread weiter verfahren: http://www.trojaner-board.de/136443-...ten-cache.html 3. Zoek - die Kommandos einfach aus o.g. Thread übernommen (evtl. "bad practise", aber die Analogie zum Gmer-Problem aus o.g. Thread schien mir sehr passend) Code:
ATTFilter emptyclsid;
chromelook;
autoclean;
startupall;
filesrcm;
firefoxlook;
4. TDSSKiller (TDSSKiller.2.8.16.0_12.06.2013_19.51.31_log.txt) 5. Malwarebytes Anti-Malware (mbam-log-2013-06-12 (20-03-23).txt) 6. AdwCleaner (AdwCleaner[S1].txt) Hier hat mich der folgende Teil stutzig gemacht: Code:
ATTFilter **** [Dienste] ****
Gestoppt & Gelöscht : DvmMDES
***** [Dateien / Ordner] *****
Ordner Gelöscht : C:\ProgramData\boost_interprocess
Hier schreibt jemand, dass der Ordner scheinbar von Diablo 3 immer wieder angelegt wird - das habe ich auch installiert, ist also möglicherweise nix schlimmes. Dass DvmMDES gelöscht wurde wundert mich ein wenig, vielleicht kann mir das jemand erklären. Google war hier nicht ganz eindeutig, mir ist nicht ganz klar, ob das nicht ne normale Windows-Altlast o.ä. ist. 7. DDS (DDS.txt, Attach.txt) 8. Junkware Removal Tool (JRT.txt) 9. Nochmal OTL (OTL2.txt; Extra.txt wurde scheinbar nicht angelegt) Ergänzende Hinweise: - Firefox und Iron (statt Chrome) laufen als PortableApps, haben ihre Profile also woanders liegen als im Windows-Nutzerordner (falls die Scanner nur dort suchen) - Von schädlichen Seiten halte ich mich i.A. fern, lade Software nur aus seriösen Quellen, surfe mit Adblock & NoScript und versuche alles aktuell zu halten (klappt mal mehr mal weniger gut, z.B. wegen Release-Verzögerung bei PortableApps) Vielleicht kann mir ja jemand einen Hinweis geben, ob ich mir was böses eingefangen habe (bzw. mir untergeschoben wurde nachdem wie eingangs beschrieben offenbar auch Router-Zugriff bestand). Besten Dank jedenfalls schon mal im Voraus! |
|
12.06.2013, 22:25
| #2 |
| /// Winkelfunktion /// TB-Süch-Tiger™   | Evtl. Malware eingefangen weil plötzlich WLAN-Security inaktiv? Hallo und
__________________ Dem Internet ist es egal ob dein WLAN verschlüsselt oder unverschlüsselt ist; davon bekommen andere Internetteilnehmer überhaupt nichts mit, die WLAN-Verschlüsselung bezieht sich "nur" auf deinen Bereich zwischen Router und deinem Endgerät (zB ein Notebook oder Smartphone) Normalerweise müsste Windows aber auch warnen, wenn man versucht, eine Verbindung mit einem unverschlüsselten Funknetzwerk zu verbinden. Abgesehen davon, sollte eigentlich die Verbindung nicht zustandekommen, da das gespeicherte WLAN-Profil (vom verschlüsselten) so nicht ausreicht um mit eine Verbindung mit einem veränderten/anderen WLAN aufzubauen. Dein WLAN ist aber nun wieder verschlüsselt? Hast du noch andere Hinweise Schädlinge? Sind Virenscanner jemals fündig geworden? Wenn ja bitte alle Logs dazu posten. Und bitte direkt in den Beitrag in CODE-Tags.  Lesestoff:Posten in CODE-Tags Die Logfiles anzuhängen oder sogar vorher in ein ZIP, RAR, 7Z-Archive zu packen erschwert mir massiv die Arbeit, es sei denn natürlich die Datei wäre ansonsten zu gross für das Forum. Um die Logfiles in eine CODE-Box zu stellen gehe so vor:
__________________ |
|
13.06.2013, 07:03
| #3 |
| | Evtl. Malware eingefangen weil plötzlich WLAN-Security inaktiv? Einen schönen guten Morgen,
__________________das mit dem WLAN ist mir alles bekannt und ich hatte es sofort wieder abgesichert als mir das auffiel (leider erst am nächsten Tag; der Rechner, auf dem dieses Remake-Spiel läuft ist nämlich per LAN verbunden, darum fiel es mir erst am nächsten Tag am Arbeitsrechner auf). Ich hatte überhaupt erst gemerkt, dass etwas nicht stimmt, weil die WLAN-Geräte sich nicht mehr über das verschlüsselte Profil verbinden konnten. Mein Gedankengang war der: Wenn jemand es schafft bei mir reinzukommen und die WLAN-Sicherheit zu deaktivieren, warum sollte er sich damit zufrieden geben und mir nicht gleich noch ein Souvenier hinterlassen? Daher jetzt meine Angst, dass ich mir was eingefangen haben könnte. Mein Avira hat sich bisher nicht gemeldet. ps: Vielen Dank für die schnelle Antwort, das hat mich schwer beeindruckt :-) |
|
13.06.2013, 09:42
| #4 |
| /// Winkelfunktion /// TB-Süch-Tiger™ | Evtl. Malware eingefangen weil plötzlich WLAN-Security inaktiv? Bevor wir uns an die Arbeit machen, möchte ich dich bitten, folgende Punkte vollständig und aufmerksam zu lesen.
Note: Sollte ich drei Tage nichts von mir hören lassen, so melde dich bitte in diesem Strang => Erinnerung an meinem Thread. Nervige "Wann geht es weiter" Nachrichten enden mit Schließung deines Themas. Auch ich habe ein Leben abseits des Trojaner-Boards. Rootkitscan mit GMER Bitte lade dir  GMER herunter: (Dateiname zufällig)
Tauchen Probleme auf?
Anschließend bitte MBAR ausführen: Malwarebytes Anti-Rootkit (MBAR) Downloade dir bitte  Malwarebytes Anti-Rootkit und speichere es auf deinem Desktop.
Starte keine andere Datei in diesem Ordner ohne Anweisung eines Helfers
__________________ Logfiles bitte immer in CODE-Tags posten  |
|
13.06.2013, 10:21
| #5 |
| | Evtl. Malware eingefangen weil plötzlich WLAN-Security inaktiv? Hallo cosinus, im abgesicherten Modus und ohne Devices funktionierte GMER jetzt problemlos (danke für den Tipp): GMER Logfile: Code:
ATTFilter GMER 2.1.19163 - hxxp://www.gmer.net
Rootkit scan 2013-06-13 11:12:53
Windows 6.1.7601 Service Pack 1 x64 \Device\Harddisk1\DR1 -> \Device\Ide\IdeDeviceP3T0L0-6 INTEL_SSDSA2M080G2GC rev.2CV102HD 74,53GB
Running: pp8ir4vf.exe; Driver: C:\Users\Martin\AppData\Local\Temp\awddypow.sys
---- Registry - GMER 2.1 ----
Reg HKLM\SYSTEM\CurrentControlSet\services\sptd\Cfg\14919EA49A8F3B4AA3CF1058D9A64CEC
Reg HKLM\SYSTEM\CurrentControlSet\services\sptd\Cfg\14919EA49A8F3B4AA3CF1058D9A64CEC@u0 0x00 0x00 0x00 0x00 ...
Reg HKLM\SYSTEM\CurrentControlSet\services\sptd\Cfg\14919EA49A8F3B4AA3CF1058D9A64CEC@h0 0
Reg HKLM\SYSTEM\CurrentControlSet\services\sptd\Cfg\14919EA49A8F3B4AA3CF1058D9A64CEC@hdf12 0x4E 0xD4 0x8F 0x8E ...
Reg HKLM\SYSTEM\ControlSet002\services\sptd\Cfg\14919EA49A8F3B4AA3CF1058D9A64CEC (not active ControlSet)
Reg HKLM\SYSTEM\ControlSet002\services\sptd\Cfg\14919EA49A8F3B4AA3CF1058D9A64CEC@u0 0x00 0x00 0x00 0x00 ...
Reg HKLM\SYSTEM\ControlSet002\services\sptd\Cfg\14919EA49A8F3B4AA3CF1058D9A64CEC@h0 0
Reg HKLM\SYSTEM\ControlSet002\services\sptd\Cfg\14919EA49A8F3B4AA3CF1058D9A64CEC@hdf12 0x4E 0xD4 0x8F 0x8E ...
Reg HKCU\Software\Microsoft\Windows NT\CurrentVersion\AppCompatFlags\Compatibility Assistant\Persisted@C:\Users\Martin\appdata\local\logitech\xae webcam-software\logishrd\lu2.0\LogitechUpdate.exe 1
---- EOF - GMER 2.1 ----
MBAM brachte das gleiche Ergebnis wie mein gestriger Scan: Code:
ATTFilter Malwarebytes Anti-Malware 1.75.0.1300 www.malwarebytes.org Datenbank Version: v2013.06.12.06 Windows 7 Service Pack 1 x64 NTFS (Abgesichertenmodus/Netzwerkfähig) Internet Explorer 9.0.8112.16421 Martin :: MARTMAN [Administrator] 13.06.2013 11:16:13 mbam-log-2013-06-13 (11-16-13).txt Art des Suchlaufs: Quick-Scan Aktivierte Suchlaufeinstellungen: Speicher | Autostart | Registrierung | Dateisystem | Heuristiks/Extra | HeuristiKs/Shuriken | PUP | PUM Deaktivierte Suchlaufeinstellungen: P2P Durchsuchte Objekte: 225865 Laufzeit: 1 Minute(n), 10 Sekunde(n) Infizierte Speicherprozesse: 0 (Keine bösartigen Objekte gefunden) Infizierte Speichermodule: 0 (Keine bösartigen Objekte gefunden) Infizierte Registrierungsschlüssel: 0 (Keine bösartigen Objekte gefunden) Infizierte Registrierungswerte: 0 (Keine bösartigen Objekte gefunden) Infizierte Dateiobjekte der Registrierung: 0 (Keine bösartigen Objekte gefunden) Infizierte Verzeichnisse: 0 (Keine bösartigen Objekte gefunden) Infizierte Dateien: 0 (Keine bösartigen Objekte gefunden) (Ende) |
|
13.06.2013, 10:42
| #6 |
| /// Winkelfunktion /// TB-Süch-Tiger™ | Evtl. Malware eingefangen weil plötzlich WLAN-Security inaktiv? Bitte die Anleitungen richtig lesen und umsetzen, es war von Malwarebytes Anti-Rootkit die Rede, nicht von Malwarebytes-Anti-Malware Hätte doch beim Lesen der Anleitung auffallen müssen, dass sich die Instruktionen auf MBAM nicht anwenden lassen 
__________________ --> Evtl. Malware eingefangen weil plötzlich WLAN-Security inaktiv? |
|
13.06.2013, 12:47
| #7 |
| | Evtl. Malware eingefangen weil plötzlich WLAN-Security inaktiv? Sorry, verlesen. Ich erklär den Gedankengang dazu jetzt mal nicht erst, warum mich die Bilder in der Anleitung nicht "aufgeschreckt" haben. Hier jetzt das MBAR-Log: Code:
ATTFilter Malwarebytes Anti-Rootkit BETA 1.06.0.1003
www.malwarebytes.org
Database version: v2013.06.13.04
Windows 7 Service Pack 1 x64 FAT32
Internet Explorer 9.0.8112.16421
Martin :: MARTMAN [administrator]
13.06.2013 13:35:11
mbar-log-2013-06-13 (13-35-11).txt
Scan type: Quick scan
Scan options enabled: Anti-Rootkit | Drivers | MBR | Physical Sectors | Memory | Startup | Registry | File System | Heuristics/Extra | Heuristics/Shuriken | PUM | P2P
Scan options disabled: Deep Anti-Rootkit Scan | PUP
Objects scanned: 243334
Time elapsed: 5 minute(s), 21 second(s)
Memory Processes Detected: 0
(No malicious items detected)
Memory Modules Detected: 0
(No malicious items detected)
Registry Keys Detected: 0
(No malicious items detected)
Registry Values Detected: 0
(No malicious items detected)
Registry Data Items Detected: 0
(No malicious items detected)
Folders Detected: 0
(No malicious items detected)
Files Detected: 0
(No malicious items detected)
Physical Sectors Detected: 0
(No malicious items detected)
(end)
|
|
13.06.2013, 13:26
| #8 |
| /// Winkelfunktion /// TB-Süch-Tiger™ | Evtl. Malware eingefangen weil plötzlich WLAN-Security inaktiv? Die Logs sind soweit unauffällig... Wie verhält sich dein Rechner denn? Merkwürdig oder ansonstn völlig normal, bis auf die Tatsache, dass das WLAN seine Verschlüsselung vergaß?
__________________ Logfiles bitte immer in CODE-Tags posten |
|
13.06.2013, 13:31
| #9 |
| | Evtl. Malware eingefangen weil plötzlich WLAN-Security inaktiv? Eigentlich völlig normal bis auf die WLAN-Geschichte. Der Rest der Router-Konfiguration blieb auch unverändert. |
|
13.06.2013, 13:37
| #10 |
| /// Winkelfunktion /// TB-Süch-Tiger™ | Evtl. Malware eingefangen weil plötzlich WLAN-Security inaktiv? Mach bitte zur Kontrolle einen Vollscan mit Malwarebytes Anti-Malware (MBAM) (falls du vor kurzem erst einen Vollscan gemacht hast, reicht auch ein Quickscan (spart Zeit), das dann mir bitte auch mitteilen) Hinweis: Denk bitte vorher daran, Malwarebytes Anti-Malware über den Updatebutton zu aktualisieren! Anschließend über den OnlineScanner von ESET eine zusätzliche Meinung zu holen ist auch nicht verkehrt: ESET Online Scanner
__________________ Logfiles bitte immer in CODE-Tags posten |
|
14.06.2013, 15:24
| #11 |
| | Evtl. Malware eingefangen weil plötzlich WLAN-Security inaktiv? Hallo cosinus, nur zur Info: Aus Zeitgründen werde ich das erst nächste Woche schaffen. Ich melde mich dann ab Montag wieder. Bis dahin ein schönes Wochenende! |
|
14.06.2013, 15:28
| #12 |
| /// Winkelfunktion /// TB-Süch-Tiger™ | Evtl. Malware eingefangen weil plötzlich WLAN-Security inaktiv? Ok, schönes Wochenende
__________________ Logfiles bitte immer in CODE-Tags posten |
|
19.06.2013, 17:48
| #13 |
| | Evtl. Malware eingefangen weil plötzlich WLAN-Security inaktiv? Hallo cosinus, hier das MBAM-Log: Code:
ATTFilter Malwarebytes Anti-Malware 1.75.0.1300 www.malwarebytes.org Datenbank Version: v2013.06.19.01 Windows 7 Service Pack 1 x64 NTFS Internet Explorer 9.0.8112.16421 Martin :: MARTMAN [Administrator] 19.06.2013 08:07:16 MBAM-log-2013-06-19 (11-57-58).txt Art des Suchlaufs: Vollständiger Suchlauf (C:\|D:\|E:\|H:\|J:\|) Aktivierte Suchlaufeinstellungen: Speicher | Autostart | Registrierung | Dateisystem | Heuristiks/Extra | HeuristiKs/Shuriken | PUP | PUM Deaktivierte Suchlaufeinstellungen: P2P Durchsuchte Objekte: 1261000 Laufzeit: 2 Stunde(n), 50 Minute(n), 32 Sekunde(n) Infizierte Speicherprozesse: 0 (Keine bösartigen Objekte gefunden) Infizierte Speichermodule: 0 (Keine bösartigen Objekte gefunden) Infizierte Registrierungsschlüssel: 0 (Keine bösartigen Objekte gefunden) Infizierte Registrierungswerte: 0 (Keine bösartigen Objekte gefunden) Infizierte Dateiobjekte der Registrierung: 0 (Keine bösartigen Objekte gefunden) Infizierte Verzeichnisse: 0 (Keine bösartigen Objekte gefunden) Infizierte Dateien: 22 H:\NirSoft Utilities\nirsoft_package_1.18.12.zip (HackTool.Asterisk) -> Keine Aktion durchgeführt. H:\_Archiv\180\Miniprog\Revelation.exe (HackTool.Snadboy) -> Keine Aktion durchgeführt. H:\_Archiv\Archiv\Miniprog, Progs + Co\MINIPROG\Revelation.exe (HackTool.Snadboy) -> Keine Aktion durchgeführt. H:\_Archiv\Software without installation\_Hacking\pwlview\PWLVIEW.EXE (HackTool.PWSTool) -> Keine Aktion durchgeführt. H:\_Archiv\___Von CDs\Miniprog, Progs + Co\MINIPROG\Revelation.exe (HackTool.Snadboy) -> Keine Aktion durchgeführt. H:\_quarry\daemon403-x86 [ADWARE-WhenU.a.327].ex_ (Adware.WhenU) -> Keine Aktion durchgeführt. H:\__BURN\_Software\_Burning\Daemon Tools\daemon403-x86 [ADWARE-WhenU.a.327].ex_ (Adware.WhenU) -> Keine Aktion durchgeführt. H:\_____Farbrausch\farbrausch-fr_public-1718bfe.zip (Malware.Packer.Krunchy) -> Keine Aktion durchgeführt. H:\_____Farbrausch\farbrausch-fr_public-fd8954e [branch vs2010].zip (Malware.Packer.Krunchy) -> Keine Aktion durchgeführt. H:\_________deliver\Chip\_WLAN\nirsoft_package_1.06.zip (HackTool.Asterisk) -> Keine Aktion durchgeführt. H:\_________deliver\Chip\_WLAN\nirsoft_package_1.06\NirSoft\iehv.exe (PUP.HistoryTool) -> Keine Aktion durchgeführt. H:\_________deliver\Chip\_WLAN\nirsoft_package_1.06\NirSoft\iepv.exe (PUP.PSW.Passview) -> Keine Aktion durchgeführt. H:\_________deliver\Chip\_WLAN\nirsoft_package_1.06\NirSoft\lsasecretsview-x64.exe (PUP.PwdDump) -> Keine Aktion durchgeführt. H:\_________deliver\Chip\_WLAN\nirsoft_package_1.06\NirSoft\netpass-x64.exe (PUP.NetworkPasswordTool) -> Keine Aktion durchgeführt. H:\_________deliver\Chip\_WLAN\nirsoft_package_1.06\NirSoft\produkey-x64.exe (PUP.PSWTool.ProductKey) -> Keine Aktion durchgeführt. H:\_________deliver\Chip\_WLAN\nirsoft_package_1.06\NirSoft\produkey.exe (PUP.PSWTool.ProductKey) -> Keine Aktion durchgeführt. H:\_________deliver\Chip\_WLAN\nirsoft_package_1.06\NirSoft\wirelesskeyview-x64.exe (PUP.WirelessKeyView) -> Keine Aktion durchgeführt. H:\_________deliver\Chip\_WLAN\nirsoft_package_1.06\NirSoft\wirelesskeyview.exe (PUP.WirelessKeyView) -> Keine Aktion durchgeführt. H:\_________deliver\Chip\_WLAN\nirsoft_package_1.06\NirSoft\wirelessnetview.exe (PUP.WirelessNetworkTool) -> Keine Aktion durchgeführt. H:\_________deliver\Software\eac-0.99pb5.exe (Adware.ADON) -> Keine Aktion durchgeführt. H:\_________deliver\Software\unlocker1.8.7.exe (Adware.Clicker) -> Keine Aktion durchgeführt. H:\_________deliver\Software\wirelessnetview126.zip (PUP.WirelessNetworkTool) -> Keine Aktion durchgeführt. (Ende) Bzgl. ESET: Bedeutet "Online Scanner" auch hier, dass jede Datei ins Internet übertragen und dort gescannt wird? Dann dürfte das bei mir Jahre dauern. |
|
19.06.2013, 18:53
| #14 |
| /// Winkelfunktion /// TB-Süch-Tiger™ | Evtl. Malware eingefangen weil plötzlich WLAN-Security inaktiv? In diesem Fall wird zB Daemon-Tools angemeckert, weil dieser Installer potentiell Adware nachinstallieren kann. Aber sonst bin ich auch deiner Meinung, die "Hacktools" scheinen nicht schädlich zu sein. Und nein, der OnlineScanner lädt nicht jede Datei hoch. Die Engine läuft lokal auf deinem Rechner, alles andere wäre ziemlich sinnfrei.
__________________ Logfiles bitte immer in CODE-Tags posten |
|
20.06.2013, 10:03
| #15 |
| | Evtl. Malware eingefangen weil plötzlich WLAN-Security inaktiv? Aaah, ok. Es gibt ja auch "echte" "Online" Scanner, deshalb dachte ich das. Gut, dann werde ich ESET die Tage durchlaufen lassen, meld mich dann wieder. Dauert leider immer etwas, weil z.B. ein Avira Komplettscan schon einen ganzen Tag braucht (hab grad einen Komplettscan laufen - hatte ich gestartet nachdem ich dir hier geantwortet hatte - und der ist nach 12h bei 80% :-/ ) Soweit ich weiß sammeln übrigens neuere Versionen von Daemon Tools Infos darüber welche Images man mountet und schicken die an den Daemon Tools Server (Stichwort: Datenkrake). Ich hatte jetzt vermutet, dass die Meldung dazu sich genau darauf bezieht, d.h. dass diese Funktion evtl. in Version 4.03 schon drin ist. |
|
| Themen zu Evtl. Malware eingefangen weil plötzlich WLAN-Security inaktiv? |
| adblock, aktiv, anti-malware, autostart, code, dateien, folge, forum, gehackt, gelöscht, gmer, junkware, junkware removal tool, log-datei, malware, malwarebytes, neu, ordner, reboot, rechner, required, router, seite, seiten, server, software, suche, tool, wlan, wpa2 |
Linear-Darstellung
