Durch die Suche wurde ja der xpdx-Ordner bereits geöffnet.

Schau mal, ob Du in den Spalten rechtsseitig im großen Fensterbereich einen Eintrag der Datei C:\WINDOWS\system32\xpdx.sys erkennen kannst, der hinter "ImagePath" steht.

Wenn ja, lautet der Eintrag auf xpdx.sys oder xpdx.0ys?

Ja, hinbekommen würd ich es... Windows CD hab ich auch. Steht nur nicht gaaanz oben auf der Liste meiner Lieblingshobbies... Bis ich den wieder so hab, wie er jetzt ist... (abgesehen von der Malware natürlich ) Mein Baby! Und ich mag ihn doch gar nicht anders haben... (wieder abgesehen von der Malware natürlich)...

Ich verpack die Dateien dann und schick sie dir rüber. Lass dich dann wieder wissen wenn ich sie losgeschickt habe...

Der endet auf ...xpdx.sys

Zitat von danira

Der endet auf ...xpdx.sys

Das deutet für mich auf Folgendes hin:

1.) Der Schädling ist definitiv aktiv gewesen - das zeigt der Registry-Eintrag.

2.) Seine Komponenten befinden sich auch in Systemordnern, allerdings umbenannt. Das deutet darauf hin, dass ein Virenscanner sie mal erkannt und dann umbenannt hatte. Welcher Virenscanner war bis dato bei Dir im Einsatz?

3.) Die Malware stammt ca. von Ende Mai / Anfang Juni diesen Jahres. Somit ist es nicht unwahrscheinlich, dass der Zeitpunkt der Ersteinfektion bereits etwas zurückliegt. Hattest Du vor einigen Wochen mal eine Warnmeldung Deines Virenscanners mitbekommen? Oder vielleicht kürzlich, abgesehen von eScan?

Okay, is losgeschickt!!!

OK, hab ich. Während ich mir die Dateien ansehe, beantwortest Du noch meine Nachfragen aus dem vorigen Posting? Das wäre nett.

Sorry, mein Baby hat mich gerad ein wenig im Stich gelassen... System wurde wieder runtergefahren, is aber bei "Abmelden" hängen geblieben...

Aber jetzt bin ich wieder da!

Zu deinen Fragen!

Bis vor ca. 4 Wochen hatte ich Avast genutzt, regelmäßig einmal die Woche den Bootscan gemacht, bis sich immer wenn ich ins Internet gegangen bin eine 2. Registerkarte mit so einer "Porno-Werbung" öffnete. Avast fand nix und somit hatte ich dann den Online-Scanner von F-Secure nochmal drüber laufen lassen, der dann auch nen "Trojan.Clicker" (oder so ähnlich?) fand! (War Spybot übrigens auch entgangen...) wurde automatisch gelöscht und alles war Supi. Hab Avast dann net mehr so wirklich getraut und mich vorerst für die Testversion von F-Secure entschieden! Hatte auch nix zu meckern... Naja, eben bis vor ein paar Tagen... Den Rest kennst du ja...

Aber Warnmeldungen... Naja, Avast sagt einem ja immer diese Angriffsversuche in einem kleinen Fenster unten rechts im IE, aber sonst... Nee, da hätt ich ja gleich gehandelt!

Und wie siehts bei dir aus?

Die bei Dir vorliegende Rootkit-Datei als auch jene, die beim Ausführen der Installationsdatei erstellt wird, sind identisch.

Es handelt sich um Schädlinge dieser Kategorie:
Sometimes bad things come in small packages
Mal/RKRustok-A - Rootkit - Sophos threat analysis

Diese Klassifizierungen bestätigen die Vermutung des Zeitraums Ende Mai / Anfang Juni. Nichts desto trotz findet nur einen sehr unzureichende Erkennung durch Virenscanner statt.

Dieser Schädling wird unter anderem dazu genutzt, Spam über das infizierte System zu versenden. Leider ermöglichen die Schädlinge auch den Zugriff von Extern, insofern kann ich nicht genau sagen, ob weitere Veränderungen / Manipulationen an Deinem System vorgenommen wurden bzw. welche.

Mh... Alles shit!

Wat mach ich 'n 'nu!? Meinst es macht keinen Sinn zu versuchen das alles wegzulöschen, mh?

Zitat von danira

Sorry, mein Baby hat mich gerad ein wenig im Stich gelassen... System wurde wieder runtergefahren, is aber bei "Abmelden" hängen geblieben...

Eine Frage dazu: Passiert das Herunterfahren nur, wenn Du online bist, oder auch ohne Internetverbindung?

Bis vor ca. 4 Wochen hatte ich Avast genutzt, regelmäßig einmal die Woche den Bootscan gemacht,

Kann man sich fast sparen. Ein Onlinescan über Kaspersky z.B. ist da nicht weniger effizient.

bis sich immer wenn ich ins Internet gegangen bin eine 2. Registerkarte mit so einer "Porno-Werbung" öffnete.

Im Internet Explorer wahrscheinlich. Kannst Du Dich erinnern, zuvor auf "zwielichtigen" Seiten gewesen zu sein oder etwas installiert zu haben?

Avast fand nix und somit hatte ich dann den Online-Scanner von F-Secure nochmal drüber laufen lassen, der dann auch nen "Trojan.Clicker" (oder so ähnlich?) fand! (War Spybot übrigens auch entgangen...)

Es kann durchaus passieren, dass Scanner etwas übersehen:
Computersicherheit - Virenscanner

wurde automatisch gelöscht und alles war Supi.

Wahrscheinlich stammen daher die Umbenennungen.

Hab Avast dann net mehr so wirklich getraut und mich vorerst für die Testversion von F-Secure entschieden! Hatte auch nix zu meckern... Naja, eben bis vor ein paar Tagen... Den Rest kennst du ja...

Die jetzt von eScan gefundenen Dateien, (die Du auch mir zugeschickt hast), waren zum jetzigen Zeitpunkt nicht mehr aktiv (sie waren es aber zum damaligen - was damals noch alles installiert wurde, ich daher nicht nachvollziehbar).

Es ist somit a) möglich, dass noch unentdeckte Komponenten von vor vier Wochen überdauert, etwas nachgeladen haben und nun für die Probleme verantwortlich sind, oder b), dass über die gleiche Lücke wie vor vier Wochen nun neue Schädlinge auf das System gelangt sind. Führe daher bitte einmal diesen Scan durch und berichte nach Scanende über etwaig gefundene Sicherheitslücken.

Aber Warnmeldungen... Naja, Avast sagt einem ja immer diese Angriffsversuche in einem kleinen Fenster unten rechts im IE, aber sonst... Nee, da hätt ich ja gleich gehandelt!

Vernachlässigbar. Wichtig ist die Systemintegrität, die System- und Programmkonfiguration. Virenscanner können weniger ausrichten als man gemeinhin denkt.

Zitat von danira

Wat mach ich 'n 'nu!? Meinst es macht keinen Sinn zu versuchen das alles wegzulöschen, mh?

Du kannst die vier Dateien freilich weglöschen - sie sind ohnehin umbenannt und derzeit nicht mehr aktiv. Genau deswengen wird diese Maßnahme aber nicht Dein akut vorliegendes Problem lösen. Siehe dazu Punkte a) und b) in meinem vorigen Posting.

Eine Frage dazu: Passiert das Herunterfahren nur, wenn Du online bist, oder auch ohne Internetverbindung?

Das passiert nur wenn ich online bin.

Im Internet Explorer wahrscheinlich. Kannst Du Dich erinnern, zuvor auf "zwielichtigen" Seiten gewesen zu sein oder etwas installiert zu haben?

*grins* Nein, auf zwielichtigen Seiten treib ich mich in der Regel nicht rum... Etwas installiert zu haben... *denkdenkdenk* Im Moment wüsst ich da nichts...

Es ist somit a) möglich, dass noch unentdeckte Komponenten von vor vier Wochen überdauert, etwas nachgeladen haben und nun für die Probleme verantwortlich sind

Du meinst, die dann vom Scanner auch nicht erkannt werden?

Wichtig ist die Systemintegrität, die System- und Programmkonfiguration.

Schätze da sollt ich mich dann nochmal genauestens durchfuchsen...

Du kannst die vier Dateien freilich weglöschen - sie sind ohnehin umbenannt und derzeit nicht mehr aktiv. Genau deswengen wird diese Maßnahme aber nicht Dein akut vorliegendes Problem lösen. Siehe dazu Punkte a) und b) in meinem vorigen Posting.

Och mann... *schmoll* Allet Miste!!!


So, den Scan für ich dann jetzt gleich durch!!!

Liebe Grüße,

Danira

Um sich dem Problem analystisch nochmal von einer anderen Seite zu nähern:

Zitat von danira

Sobald ich im Internet bin dauert es nur ein paar Minuten bis ich die Meldung bekomme: "Services:exe hat ein Problem festgestellt und muss beendet werden"

1.) Lade Dir von hier den Process Explorer als zip-Datei herunter.
2.) Speichere es und entpack das Archiv in einem beliebigen separaten neuen Ordner, starte die Datei procexp.exe.
3.) Markiere im "Process"-Baum linksseitig die Datei "services.exe" mit einfachem Linksklick.
4.) Klick anschließend oben in der Symbolleiste auf das kleine Symbol "View DLLs" (sechstes von links), sodass nach dem Klick ein kleines Zahnrädchen sichtbar geworden ist.
5.) Klick sodann in der Menüleiste auf File, Save as, und speichere das Ergebnis wie vorgeschlagen als services.exe.txt ab.
6.) Öffne diese txt-Datei, kopiere ihren Inhalt und poste ihn hier.

Ich kann den scan nicht machen... Der Scanner scannt nicht! *grins* Hat Probleme mein Java zu laden...

Mach mich dann zuvor an deinen nächsten Vorschlag!

Zitat von danira

Mach mich dann zuvor an deinen nächsten Vorschlag!

Exakt, richtig.
Wenn Du das gemacht hast, geh bitte wie folgt vor:

1.) Öffne Start, Systemsteuerung, Verwaltung, Ereignisanzeige.
2.) Markiere linksseitig "System" mit einfachem Linksklick.
3.) Wähle im Menü "Aktion": Liste exportieren.
4.) Speichere sie als ereignisanzeige.txt ab, wobei als Dateityp darunter "Text (Tabulator getrennt)" stehen sollte.
5.) Öffne diese Datei und poste auch deren Inhalt hier.