| |
| |||||||
Plagegeister aller Art und deren Bekämpfung: Verdacht auf SpywareWindows 7 Wenn Du nicht sicher bist, ob Du dir Malware oder Trojaner eingefangen hast, erstelle hier ein Thema. Ein Experte wird sich mit weiteren Anweisungen melden und Dir helfen die Malware zu entfernen oder Unerwünschte Software zu deinstallieren bzw. zu löschen. Bitte schildere dein Problem so genau wie möglich. Sollte es ein Trojaner oder Viren Problem sein wird ein Experte Dir bei der Beseitigug der Infektion helfen. |
26.12.2013, 03:36
| #1 |
 |  Verdacht auf Spyware Hallo! Ich habe den Verdacht, dass ich unerwünschte Spyware auf meinem PC hatte oder habe. Wie komme ich auf diese Vermutung? In einem Online-Spiel (Guild Wars 2) habe ich spät mittags am 23.12. noch ca. 830 Gold gehabt. Als ich mich ausloggte und abends wieder einloggte, jedoch erst um Mitternacht herum wieder meinen Goldbetrag ansah, waren es nur noch 692 Gold. Ich habe in dem sog. Handelsposten keinerlei Gegenstände bestellt oder gekauft für solch eine hohe Goldsumme (was sich auch beweisen lässt im Spiel). Das Support-Team habe ich auch angeschrieben. Sie konnten keinen nicht autorisierten Fremdzugriff feststellen. Ich habe aber die Vermutung, dass es sich um einen Keylogger handeln könnte. Nachdem das vorgefallen ist, habe ich meine Accountsicherheit durch ein spezielles Autorisierungsverfahren mittels Google Authenticator erhöht, sodass immer ein bestimmter Code eingegeben werden muss, bevor man sich einloggen kann. Das sollte zukünftige Fremdzugriffe hoffentlich verhindern. Um das Problem als Ganzes anzugehen, habe ich mir die Software Malwarebytes heruntergeladen und u.a. einen Quick-Scan laufen lassen. Es wurden über 70 kritische Dateien gefunden, die ich dann entfernt habe. Das ist eine Menge, finde ich. Es wäre großartig, wenn jemand anhand der Logfiles beurteilen könnte, ob sich tatsächlich ein Keylogger in meinem System befunden haben könnte oder befindet. Ich habe nämlich keine Erklärung, warum ich plötzlich in dem Spiel 140 Gold weniger hatte. Das Komische daran ist, dass sonst alle anderen Gegenstände und Materialien weiterhin vorhanden sind. Es sind "nur" diese 140 Gold (was ein paar Wochen Spielzeit sind für mich). Würdet ihr eigentlich empfehlen, die Vollversion von Malwarebytes zu kaufen, wenn sich darin noch ein Protector befindet, der Spyware erst gar nicht zulässt? Und sollten die schädlichen Dateien in der Quarantäne aufbewahrt werden oder gelöscht werden? Ich habe zur Sicherheit mehrere Scans gemacht heute, aber gefunden wurde nur beim ersten Quick-Scan etwas. Als ein Word-Dokument habe ich die Quarantäne angehängt (ich weiß nicht, ob man das hier noch tun muss) und den Fundort (falls das der Fundort ist). Beim vollständigen Scan wurde nichts mehr gefunden. Ich poste somit nur die LOG-Dateien des 1. Quick-Scans: Code:
ATTFilter Malwarebytes Anti-Malware 1.75.0.1300 www.malwarebytes.org Datenbank Version: v2013.12.24.07 Windows 7 Service Pack 1 x64 NTFS Internet Explorer 11.0.9600.16476 Marcel :: MARS [Administrator] 25.12.2013 01:31:50 mbam-log-2013-12-25 (01-31-50).txt Art des Suchlaufs: Quick-Scan Aktivierte Suchlaufeinstellungen: Speicher | Autostart | Registrierung | Dateisystem | Heuristiks/Extra | HeuristiKs/Shuriken | PUP | PUM Deaktivierte Suchlaufeinstellungen: P2P Durchsuchte Objekte: 229223 Laufzeit: 4 Minute(n), 10 Sekunde(n) Infizierte Speicherprozesse: 1 C:\ProgramData\IBUpdaterService\ibsvc.exe (Adware.InstallBrain) -> 356 -> Löschen bei Neustart. Infizierte Speichermodule: 0 (Keine bösartigen Objekte gefunden) Infizierte Registrierungsschlüssel: 41 HKLM\SYSTEM\CurrentControlSet\Services\IBUpdaterService (Adware.InstallBrain) -> Erfolgreich gelöscht und in Quarantäne gestellt. HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Uninstall\Updater Service (Adware.InstallBrain) -> Erfolgreich gelöscht und in Quarantäne gestellt. HKCR\AppID\{C26644C4-2A12-4CA6-8F2E-0EDE6CF018F3} (PUP.Optional.Delta.A) -> Erfolgreich gelöscht und in Quarantäne gestellt. HKCR\CLSID\{58124A0B-DC32-4180-9BFF-E0E21AE34026} (PUP.Optional.Iminent.A) -> Erfolgreich gelöscht und in Quarantäne gestellt. HKCR\CLSID\{57CADC46-58FF-4105-B733-5A9F3FC9783C} (PUP.Optional.Iminent.A) -> Erfolgreich gelöscht und in Quarantäne gestellt. HKCR\ComObject.DeskbarEnabler.1 (PUP.Optional.Iminent.A) -> Erfolgreich gelöscht und in Quarantäne gestellt. HKCR\ComObject.DeskbarEnabler (PUP.Optional.Iminent.A) -> Erfolgreich gelöscht und in Quarantäne gestellt. HKCR\TypeLib\{EC4085F2-8DB3-45A6-AD0B-CA289F3C5D7E} (PUP.Optional.Iminent.A) -> Erfolgreich gelöscht und in Quarantäne gestellt. HKCR\Interface\{2A42D13C-D427-4787-821B-CF6973855778} (PUP.Optional.Iminent.A) -> Erfolgreich gelöscht und in Quarantäne gestellt. HKCR\Toolbar3.TBSB01620.1 (PUP.Optional.Iminent.A) -> Erfolgreich gelöscht und in Quarantäne gestellt. HKCR\Toolbar3.TBSB01620 (PUP.Optional.Iminent.A) -> Erfolgreich gelöscht und in Quarantäne gestellt. HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Browser Helper Objects\{58124A0B-DC32-4180-9BFF-E0E21AE34026} (PUP.Optional.Iminent.A) -> Erfolgreich gelöscht und in Quarantäne gestellt. HKCU\SOFTWARE\Microsoft\Windows\CurrentVersion\Ext\Settings\{58124A0B-DC32-4180-9BFF-E0E21AE34026} (PUP.Optional.Iminent.A) -> Erfolgreich gelöscht und in Quarantäne gestellt. HKCU\SOFTWARE\Microsoft\Windows\CurrentVersion\Ext\Stats\{58124A0B-DC32-4180-9BFF-E0E21AE34026} (PUP.Optional.Iminent.A) -> Erfolgreich gelöscht und in Quarantäne gestellt. HKCR\CLSID\{977AE9CC-AF83-45E8-9E03-E2798216E2D5} (PUP.Optional.Iminent.A) -> Erfolgreich gelöscht und in Quarantäne gestellt. HKCR\TBSB01620.TBSB01620.3 (PUP.Optional.Iminent.A) -> Erfolgreich gelöscht und in Quarantäne gestellt. HKCR\TBSB01620.TBSB01620 (PUP.Optional.Iminent.A) -> Erfolgreich gelöscht und in Quarantäne gestellt. HKCU\SOFTWARE\Microsoft\Windows\CurrentVersion\Ext\Settings\{977AE9CC-AF83-45E8-9E03-E2798216E2D5} (PUP.Optional.Iminent.A) -> Erfolgreich gelöscht und in Quarantäne gestellt. HKCU\SOFTWARE\Microsoft\Windows\CurrentVersion\Ext\Stats\{977AE9CC-AF83-45E8-9E03-E2798216E2D5} (PUP.Optional.Iminent.A) -> Erfolgreich gelöscht und in Quarantäne gestellt. HKCU\SOFTWARE\Microsoft\Windows\CurrentVersion\Ext\Settings\{18DBB6CE-3148-4FEC-B481-103CB3290427} (PUP.Optional.SpeedAnalysis.A) -> Erfolgreich gelöscht und in Quarantäne gestellt. HKCU\SOFTWARE\Microsoft\Windows\CurrentVersion\Ext\Settings\{A09AB6EB-31B5-454C-97EC-9B294D92EE2A} (PUP.Optional.Iminent.A) -> Erfolgreich gelöscht und in Quarantäne gestellt. HKCU\SOFTWARE\Microsoft\Windows\CurrentVersion\Ext\Stats\{A09AB6EB-31B5-454C-97EC-9B294D92EE2A} (PUP.Optional.Iminent.A) -> Erfolgreich gelöscht und in Quarantäne gestellt. HKCU\SOFTWARE\Microsoft\Windows\CurrentVersion\Ext\Settings\{A9337080-7CBF-4E3E-80C1-3867BEDD88E0} (PUP.Optional.ZuluGames) -> Erfolgreich gelöscht und in Quarantäne gestellt. HKLM\SOFTWARE\Microsoft\Internet Explorer\Low Rights\ElevationPolicy\{68B81CCD-A80C-4060-8947-5AE69ED01199} (PUP.Optional.Iminent.A) -> Erfolgreich gelöscht und in Quarantäne gestellt. HKLM\SOFTWARE\Microsoft\Internet Explorer\Low Rights\ElevationPolicy\{E6B969FB-6D33-48d2-9061-8BBD4899EB08} (PUP.Optional.Iminent.A) -> Erfolgreich gelöscht und in Quarantäne gestellt. HKCR\CLSID\{3BDF4CE9-E81D-432B-A55E-9F0570CE811F} (PUP.Optional.Iminent.A) -> Erfolgreich gelöscht und in Quarantäne gestellt. HKCR\TypeLib\{C4BAE205-5E02-4E32-876E-F34B4E2D000C} (PUP.Optional.Iminent.A) -> Erfolgreich gelöscht und in Quarantäne gestellt. HKCR\Interface\{01221FCC-4BFB-461C-B08C-F6D2DF309921} (PUP.Optional.Iminent.A) -> Erfolgreich gelöscht und in Quarantäne gestellt. HKCR\TbCommonUtils.CommonUtils.1 (PUP.Optional.Iminent.A) -> Erfolgreich gelöscht und in Quarantäne gestellt. HKCR\TbCommonUtils.CommonUtils (PUP.Optional.Iminent.A) -> Erfolgreich gelöscht und in Quarantäne gestellt. HKCR\TypeLib\{B87F8B63-7274-43FD-87FA-09D3B7496148} (PUP.Optional.Iminent.A) -> Erfolgreich gelöscht und in Quarantäne gestellt. HKCR\Interface\{452AE416-9A97-44CA-93DA-D0F15C36254F} (PUP.Optional.Iminent.A) -> Erfolgreich gelöscht und in Quarantäne gestellt. HKCU\SOFTWARE\BabylonToolbar (PUP.Optional.BabylonToolBar.A) -> Erfolgreich gelöscht und in Quarantäne gestellt. HKCU\Software\1ClickDownload (PUP.Optional.1ClickDownload.A) -> Erfolgreich gelöscht und in Quarantäne gestellt. HKCU\Software\DataMngr (PUP.Optional.DataMngr.A) -> Erfolgreich gelöscht und in Quarantäne gestellt. HKCU\Software\Conduit\FF (PUP.Optional.Conduit.A) -> Erfolgreich gelöscht und in Quarantäne gestellt. HKCU\SOFTWARE\SWEETIM (PUP.Optional.SweetIM.A) -> Erfolgreich gelöscht und in Quarantäne gestellt. HKLM\SOFTWARE\Google\Chrome\Extensions\bgnnidmnbdkmhfkjgdnngciimpdgohok (PUP.Optional.ATDheNetTVAp.A) -> Erfolgreich gelöscht und in Quarantäne gestellt. HKLM\SOFTWARE\Google\Chrome\Extensions\gflandjopdloblmlcoiidmncpinmmacn (PUP.Optional.Zulagames.A) -> Erfolgreich gelöscht und in Quarantäne gestellt. HKLM\Software\Iminent (PUP.Optional.Iminent.A) -> Erfolgreich gelöscht und in Quarantäne gestellt. HKLM\SOFTWARE\SWEETIM (PUP.Optional.SweetIM.A) -> Erfolgreich gelöscht und in Quarantäne gestellt. Infizierte Registrierungswerte: 6 HKCU\SOFTWARE\Microsoft\Internet Explorer\Toolbar\WebBrowser|{977AE9CC-AF83-45E8-9E03-E2798216E2D5} (PUP.Optional.Iminent.A) -> Daten: Ìéz—ƒ¯èEžây‚âÕ -> Erfolgreich gelöscht und in Quarantäne gestellt. HKLM\SOFTWARE\Microsoft\Internet Explorer\Toolbar|{977AE9CC-AF83-45E8-9E03-E2798216E2D5} (PUP.Optional.Iminent.A) -> Daten: -> Erfolgreich gelöscht und in Quarantäne gestellt. HKCU\SOFTWARE\Microsoft\Internet Explorer\Toolbar\WebBrowser\{977AE9CC-AF83-45E8-9E03-E2798216E2D5} (PUP.Optional.Iminent.A) -> Daten: -> Erfolgreich gelöscht und in Quarantäne gestellt. HKLM\SOFTWARE\Microsoft\Internet Explorer\Toolbar\{977AE9CC-AF83-45E8-9E03-E2798216E2D5} (PUP.Optional.Iminent.A) -> Daten: -> Erfolgreich gelöscht und in Quarantäne gestellt. HKCU\Software\SweetIM|simapp_id (PUP.Optional.SweetIM.A) -> Daten: {E38A5AE0-3002-11E2-8CDF-001F3F0697DB} -> Erfolgreich gelöscht und in Quarantäne gestellt. HKLM\Software\SweetIM|simapp_id (PUP.Optional.SweetIM.A) -> Daten: {E38A5AE0-3002-11E2-8CDF-001F3F0697DB} -> Erfolgreich gelöscht und in Quarantäne gestellt. Infizierte Dateiobjekte der Registrierung: 1 HKCR\scrfile\shell\open\command| (Broken.OpenCommand) -> Bösartig: () Gut: ("%1" /S) -> Löschen bei Neustart. Infizierte Verzeichnisse: 6 C:\ProgramData\IBUpdaterService (Adware.InstallBrain) -> Löschen bei Neustart. C:\Users\Marcel\AppData\Roaming\Babylon (PUP.Optional.Babylon.A) -> Erfolgreich gelöscht und in Quarantäne gestellt. C:\Users\Marcel\AppData\Roaming\SpeedAnalysis2 (PUP.Optional.SpeedAnalysis.A) -> Erfolgreich gelöscht und in Quarantäne gestellt. C:\Program Files (x86)\IMinent Toolbar (PUP.Optional.Iminent.A) -> Erfolgreich gelöscht und in Quarantäne gestellt. C:\Users\Marcel\AppData\Roaming\zulagames (PUP.Optional.Zulagames.A) -> Erfolgreich gelöscht und in Quarantäne gestellt. C:\Users\Marcel\AppData\Roaming\File Scout (PUP.Optional.FileScout.A) -> Erfolgreich gelöscht und in Quarantäne gestellt. Infizierte Dateien: 23 C:\ProgramData\IBUpdaterService\ibsvc.exe (Adware.InstallBrain) -> Löschen bei Neustart. C:\Program Files (x86)\IMinent Toolbar\tbcore3.dll (PUP.Optional.Iminent.A) -> Erfolgreich gelöscht und in Quarantäne gestellt. C:\Users\Marcel\AppData\Roaming\File Scout\filescout.exe (PUP.Optional.FileScout.A) -> Erfolgreich gelöscht und in Quarantäne gestellt. C:\ProgramData\IBUpdaterService\repository.xml (Adware.InstallBrain) -> Erfolgreich gelöscht und in Quarantäne gestellt. C:\Users\Marcel\AppData\Roaming\Babylon\log_file.txt (PUP.Optional.Babylon.A) -> Erfolgreich gelöscht und in Quarantäne gestellt. C:\Users\Marcel\AppData\Roaming\SpeedAnalysis2\speedanalysis.crx (PUP.Optional.SpeedAnalysis.A) -> Erfolgreich gelöscht und in Quarantäne gestellt. C:\Program Files (x86)\IMinent Toolbar\IMinent_Toolbar.crc (PUP.Optional.Iminent.A) -> Erfolgreich gelöscht und in Quarantäne gestellt. C:\Program Files (x86)\IMinent Toolbar\arrow_refresh.png (PUP.Optional.Iminent.A) -> Erfolgreich gelöscht und in Quarantäne gestellt. C:\Program Files (x86)\IMinent Toolbar\basis.xml (PUP.Optional.Iminent.A) -> Erfolgreich gelöscht und in Quarantäne gestellt. C:\Program Files (x86)\IMinent Toolbar\cog.png (PUP.Optional.Iminent.A) -> Erfolgreich gelöscht und in Quarantäne gestellt. C:\Program Files (x86)\IMinent Toolbar\computer_delete.png (PUP.Optional.Iminent.A) -> Erfolgreich gelöscht und in Quarantäne gestellt. C:\Program Files (x86)\IMinent Toolbar\icons.bmp (PUP.Optional.Iminent.A) -> Erfolgreich gelöscht und in Quarantäne gestellt. C:\Program Files (x86)\IMinent Toolbar\IMinent_Toolbar.dll (PUP.Optional.Iminent.A) -> Erfolgreich gelöscht und in Quarantäne gestellt. C:\Program Files (x86)\IMinent Toolbar\info.txt (PUP.Optional.Iminent.A) -> Erfolgreich gelöscht und in Quarantäne gestellt. C:\Program Files (x86)\IMinent Toolbar\TbCommonUtils.dll (PUP.Optional.Iminent.A) -> Erfolgreich gelöscht und in Quarantäne gestellt. C:\Program Files (x86)\IMinent Toolbar\TbHelper2.exe (PUP.Optional.Iminent.A) -> Erfolgreich gelöscht und in Quarantäne gestellt. C:\Program Files (x86)\IMinent Toolbar\uninstall.exe (PUP.Optional.Iminent.A) -> Erfolgreich gelöscht und in Quarantäne gestellt. C:\Program Files (x86)\IMinent Toolbar\update.exe (PUP.Optional.Iminent.A) -> Erfolgreich gelöscht und in Quarantäne gestellt. C:\Program Files (x86)\IMinent Toolbar\version.txt (PUP.Optional.Iminent.A) -> Erfolgreich gelöscht und in Quarantäne gestellt. C:\Users\Marcel\AppData\Roaming\speedanalysis.ico (PUP.Optional.SpeedAnalysis2.A) -> Erfolgreich gelöscht und in Quarantäne gestellt. C:\Users\Marcel\AppData\Roaming\zulagames\zulagames.crx (PUP.Optional.Zulagames.A) -> Erfolgreich gelöscht und in Quarantäne gestellt. C:\Users\Marcel\AppData\Roaming\zulagames\icon.ico (PUP.Optional.Zulagames.A) -> Erfolgreich gelöscht und in Quarantäne gestellt. C:\Users\Marcel\AppData\Roaming\File Scout\uninst.exe (PUP.Optional.FileScout.A) -> Erfolgreich gelöscht und in Quarantäne gestellt. (Ende) Geändert von icemankimi (26.12.2013 um 03:51 Uhr) |
Baum-Darstellung