| |
| |||||||
Log-Analyse und Auswertung: Trojaner/KeyloggerWindows 7 Wenn Du Dir einen Trojaner eingefangen hast oder ständig Viren Warnungen bekommst, kannst Du hier die Logs unserer Diagnose Tools zwecks Auswertung durch unsere Experten posten. Um Viren und Trojaner entfernen zu können, muss das infizierte System zuerst untersucht werden: Erste Schritte zur Hilfe. Beachte dass ein infiziertes System nicht vertrauenswürdig ist und bis zur vollständigen Entfernung der Malware nicht verwendet werden sollte.XML. |
 |
24.09.2008, 17:27
| #1 |
 |  Trojaner/Keylogger Hallihallo, Ich denke ich habe einen Keylogger und Trojaner auf meinem PC. > Er wurde fremd gesteuert und Passwörter ausgelesen. Ich wollte nochmal HJT posten damit ihr mir vielleicht auch sagen könnt wie ich es wegbekomme =/ Code:
ATTFilter Logfile of Trend Micro HijackThis v2.0.2 Scan saved at 18:22:00, on 24.09.2008 Platform: Windows XP SP2 (WinNT 5.01.2600) MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180) Boot mode: Normal Running processes: E:\WINDOWS\System32\smss.exe E:\WINDOWS\system32\winlogon.exe E:\WINDOWS\system32\services.exe E:\WINDOWS\system32\lsass.exe E:\WINDOWS\system32\Ati2evxx.exe E:\WINDOWS\system32\svchost.exe E:\WINDOWS\System32\svchost.exe E:\WINDOWS\system32\Ati2evxx.exe E:\WINDOWS\Explorer.EXE E:\WINDOWS\system32\spoolsv.exe E:\Programme\Avira\AntiVir PersonalEdition Classic\sched.exe E:\Programme\Avira\AntiVir PersonalEdition Classic\avguard.exe E:\Programme\avmwlanstick\FRITZWLANMini.exe E:\WINDOWS\RTHDCPL.EXE E:\Programme\Napster\napster.exe E:\WINDOWS\system32\ctfmon.exe E:\Programme\MSN Messenger\MsnMsgr.Exe E:\Programme\Steam\Steam.exe E:\Programme\ICQ6\ICQ.exe E:\Programme\ATI Technologies\ATI.ACE\Core-Static\ccc.exe E:\Programme\MessengerDiscovery\MessengerDiscovery Live.exe E:\WINDOWS\system32\svchost.exe E:\Programme\avmwlanstick\WlanNetService.exe E:\WINDOWS\System32\svchost.exe E:\WINDOWS\system32\wuauclt.exe E:\Programme\Avira\AntiVir PersonalEdition Classic\avscan.exe E:\Programme\Internet Explorer\IEXPLORE.EXE E:\Programme\Gemeinsame Dateien\Softwin\BitDefender Communicator\xcommsvr.exe E:\Programme\Gemeinsame Dateien\Softwin\BitDefender Scan Server\bdss.exe E:\Programme\Softwin\BitDefender8\bdmcon.exe E:\Programme\Softwin\BitDefender8\bdnagent.exe E:\Programme\Softwin\BitDefender8\bdswitch.exe E:\Dokumente und Einstellungen\Administrator\Lokale Einstellungen\Temporary Internet Files\Content.IE5\TQVEUDBH\HiJackThis[1].exe R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://schuelervz.net/ R1 - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings,ProxyOverride = fritz.box;192.168.178.1;192.168.178.254;169.254.1.1 O2 - BHO: AcroIEHelperStub - {18DF081C-E8AD-4283-A596-FA578C2EBDC3} - E:\Programme\Gemeinsame Dateien\Adobe\Acrobat\ActiveX\AcroIEHelperShim.dll O2 - BHO: (no name) - {7E853D72-626A-48EC-A868-BA8D5E23E045} - (no file) O2 - BHO: Google Toolbar Helper - {AA58ED58-01DD-4d91-8333-CF10577473F7} - e:\programme\google\googletoolbar1.dll O2 - BHO: Google Toolbar Notifier BHO - {AF69DE43-7D58-4638-B6FA-CE66B5AD205D} - E:\Programme\Google\GoogleToolbarNotifier\3.1.807.1746\swg.dll O3 - Toolbar: &Google - {2318C2B1-4965-11d4-9B18-009027A5CD4F} - e:\programme\google\googletoolbar1.dll O4 - HKLM\..\Run: [AVMWlanClient] E:\Programme\avmwlanstick\FRITZWLANMini.exe O4 - HKLM\..\Run: [Verknüpfung mit der High Definition Audio-Eigenschaftenseite] HDAShCut.exe O4 - HKLM\..\Run: [RTHDCPL] RTHDCPL.EXE O4 - HKLM\..\Run: [Alcmtr] ALCMTR.EXE O4 - HKLM\..\Run: [StartCCC] "E:\Programme\ATI Technologies\ATI.ACE\Core-Static\CLIStart.exe" O4 - HKLM\..\Run: [Adobe Reader Speed Launcher] "E:\Programme\Adobe\Reader 9.0\Reader\Reader_sl.exe" O4 - HKLM\..\Run: [NapsterShell] E:\Programme\Napster\napster.exe /systray O4 - HKLM\..\Run: [KernelFaultCheck] %systemroot%\system32\dumprep 0 -k O4 - HKLM\..\Run: [IP Changer 2.0] "E:\Programme\Plustech Inc\IP Changer 2.0\IPChanger.exe" O4 - HKLM\..\Run: [avgnt] "E:\Programme\Avira\AntiVir PersonalEdition Classic\avgnt.exe" /min O4 - HKLM\..\Run: [BDMCon] "E:\Programme\Softwin\BitDefender8\bdmcon.exe" O4 - HKLM\..\Run: [BDNewsAgent] "E:\Programme\Softwin\BitDefender8\bdnagent.exe" O4 - HKCU\..\Run: [CTFMON.EXE] E:\WINDOWS\system32\ctfmon.exe O4 - HKCU\..\Run: [swg] E:\Programme\Google\GoogleToolbarNotifier\GoogleToolbarNotifier.exe O4 - HKCU\..\Run: [MsnMsgr] "E:\Programme\MSN Messenger\MsnMsgr.Exe" /background O4 - HKCU\..\Run: [Steam] "E:\Programme\Steam\Steam.exe" -silent O4 - HKCU\..\Run: [ICQ] "E:\Programme\ICQ6\ICQ.exe" silent O4 - HKUS\S-1-5-19\..\Run: [CTFMON.EXE] E:\WINDOWS\system32\CTFMON.EXE (User 'LOKALER DIENST') O4 - HKUS\S-1-5-20\..\Run: [CTFMON.EXE] E:\WINDOWS\system32\CTFMON.EXE (User 'NETZWERKDIENST') O4 - HKUS\S-1-5-18\..\Run: [CTFMON.EXE] E:\WINDOWS\system32\CTFMON.EXE (User 'SYSTEM') O4 - HKUS\.DEFAULT\..\Run: [CTFMON.EXE] E:\WINDOWS\system32\CTFMON.EXE (User 'Default user') O4 - Startup: Alaplaya Launcher.lnk = E:\Programme\alaplaya\launcher\AlaplayaLauncher.exe O9 - Extra button: ICQ6 - {E59EB121-F339-4851-A3BA-FE49C35617C2} - E:\Programme\ICQ6\ICQ.exe O9 - Extra 'Tools' menuitem: ICQ6 - {E59EB121-F339-4851-A3BA-FE49C35617C2} - E:\Programme\ICQ6\ICQ.exe O16 - DPF: {17492023-C23A-453E-A040-C7C580BBF700} (Windows Genuine Advantage Validation Tool) - http://go.microsoft.com/fwlink/?linkid=39204 O16 - DPF: {4BFD075D-C36E-4F28-BB0A-5D472795197A} (PowerLoader Class) - http://www.powerchallenge.com/applet/PowerLoader.cab O16 - DPF: {5D637FAD-E202-48D1-8F18-5B9C459BD1E3} (Image Uploader Control) - http://static.pe.schuelervz.net/photouploader/ImageUploader5.cab?nocache=1219777810 O16 - DPF: {B8BE5E93-A60C-4D26-A2DC-220313175592} (MSN Games - Installer) - http://messenger.zone.msn.com/binary/ZIntro.cab56649.cab O16 - DPF: {C3F79A2B-B9B4-4A66-B012-3EE46475B072} (MessengerStatsClient Class) - http://messenger.zone.msn.com/binary/MessengerStatsPAClient.cab56907.cab O18 - Protocol: alaplaya - {60E6FD61-FA26-4706-BF07-C55B3A49E66C} - E:\WINDOWS\system32\alading.dll O23 - Service: Adobe LM Service - Adobe Systems - E:\Programme\Gemeinsame Dateien\Adobe Systems Shared\Service\Adobelmsvc.exe O23 - Service: Avira AntiVir Personal - Free Antivirus Planer (AntiVirScheduler) - Avira GmbH - E:\Programme\Avira\AntiVir PersonalEdition Classic\sched.exe O23 - Service: Avira AntiVir Personal - Free Antivirus Guard (AntiVirService) - Avira GmbH - E:\Programme\Avira\AntiVir PersonalEdition Classic\avguard.exe O23 - Service: Ati HotKey Poller - ATI Technologies Inc. - E:\WINDOWS\system32\Ati2evxx.exe O23 - Service: ATI Smart - Unknown owner - E:\WINDOWS\system32\ati2sgag.exe O23 - Service: AVM WLAN Connection Service - AVM Berlin - E:\Programme\avmwlanstick\WlanNetService.exe O23 - Service: BitDefender Scan Server (bdss) - Unknown owner - E:\Programme\Gemeinsame Dateien\Softwin\BitDefender Scan Server\bdss.exe O23 - Service: Google Updater Service (gusvc) - Google - E:\Programme\Google\Common\Google Updater\GoogleUpdaterService.exe O23 - Service: TuneUp WinStyler Theme Service (TUWinStylerThemeSvc) - TuneUp Software GmbH - E:\Programme\TuneUpUtilities2006\WinStylerThemeSvc.exe O23 - Service: BitDefender Communicator (XCOMM) - Softwin - E:\Programme\Gemeinsame Dateien\Softwin\BitDefender Communicator\xcommsvr.exe -- End of file - 6601 bytes Danke mfG KekseTiger |
|
24.09.2008, 17:36
| #2 | |||
   | Trojaner/Keylogger Lade mal die beiden dateien bei Virustotal hoch und poste die vollständigen berichte!
__________________Zitat:
Zitat:
Zitat:
|
|
24.09.2008, 17:39
| #3 | |
 | Trojaner/Keylogger Hallo Keksetiger
__________________ Zitat:
Mache einen Scan mit Malwarebytes und Poste das Log! Lasse natürlich alles gefundene entfernen! EDIT: Tayk war schneller!
__________________ |
|
24.09.2008, 18:09
| #4 |
| | Trojaner/Keylogger Hallo. Also, Ich weiß es daher das mein PC fremdgesteuert wurde da ich nichts machen konnte un zusehen musste wie mein PC schrieb, klickte etc. Teilweise auch "gelähmt" wurde also ich nichts mit TaskMessanger und Taskleiste machen konnte... Hier mal der Scan von einem. (Sorry kenn mich nicht aus und poste einfach mal alles was da stand^^) Code:
ATTFilter
weitere Informationen
File size: 32256 bytes
MD5...: a6002585a1892fc5b6b3c6a0511d2428
SHA1..: 7d967ae799d7c037ea08eaf8cc23c842f25ed66a
SHA256: 1135977351cfd7b34f57fc950c3c3949f154ebd2c12a181cf5748e6fa96b5483
SHA512: 729da9cb1dc9add2b31725d053d6fd69d5cdb05e40ff038b9b4c51cc4b56c378
c1a9f0e10e7164b7cda91e86d7b6cb3e1defc895439e9e843a683687eb65cb20
PEiD..: -
TrID..: File type identification
DirectShow filter (52.6%)
Windows OCX File (32.2%)
Win32 Executable MS Visual C++ (generic) (9.8%)
Win32 Executable Generic (2.2%)
Win32 Dynamic Link Library (generic) (1.9%)
PEInfo: PE Structure information
( base data )
entrypointaddress.: 0x100045d8
timedatestamp.....: 0x485ba391 (Fri Jun 20 12:33:21 2008)
machinetype.......: 0x14c (I386)
( 5 sections )
name viradd virsiz rawdsiz ntrpy md5
.text 0x1000 0x3c21 0x3e00 6.33 277517c316bad8bf7f6468a45e7294ff
.rdata 0x5000 0x1d94 0x1e00 4.56 d25ad6323b8927595cb073ecb7cd5ca5
.data 0x7000 0xbac 0x400 4.66 31e7fd1dc4bd08ef1c59bd2e15c28e97
.rsrc 0x8000 0x1188 0x1200 4.91 e572fc727d5e7c1cefe1f3364f3bf811
.reloc 0xa000 0x726 0x800 5.68 ad70360bb43ccc700a669edef3a9f2fd
( 7 imports )
> WININET.dll: InternetOpenW, InternetOpenUrlW, InternetReadFile, InternetCloseHandle
> KERNEL32.dll: lstrlenW, lstrcpyW, GetLastError, InitializeCriticalSection, DeleteCriticalSection, InterlockedIncrement, InterlockedDecrement, lstrcmpiW, LeaveCriticalSection, EnterCriticalSection, HeapDestroy, lstrcpynW, GetModuleFileNameW, FreeLibrary, GetProcAddress, MultiByteToWideChar, HeapAlloc, HeapCreate, lstrcatW, DisableThreadLibraryCalls, lstrlenA, SizeofResource, LoadResource, FindResourceW, LoadLibraryExW, CreateProcessW, InterlockedCompareExchange, Sleep, InterlockedExchange, QueryPerformanceCounter, GetTickCount, VirtualQuery, GetSystemInfo, VirtualAlloc, VirtualProtect, GetVersionExW, TerminateProcess, GetCurrentProcess, UnhandledExceptionFilter, SetUnhandledExceptionFilter, LoadLibraryW, GetSystemTimeAsFileTime, GetCurrentProcessId, GetCurrentThreadId, IsDebuggerPresent
> USER32.dll: MessageBoxA, wsprintfW, CharPrevW, CharNextW
> ADVAPI32.dll: RegEnumKeyExW, RegEnumValueW, RegQueryInfoKeyW, RegSetValueExW, RegOpenKeyExW, RegCreateKeyExW, RegCloseKey, RegDeleteValueW, RegDeleteKeyW, RegQueryValueExW
> ole32.dll: CoTaskMemRealloc, CoTaskMemAlloc, CoTaskMemFree, CoCreateInstance
> OLEAUT32.dll: -, -, -, -, -, -
> MSVCR90.dll: _onexit, _lock, __dllonexit, _unlock, __clean_type_info_names_internal, __type_info_dtor_internal_method@type_info@@QAEXXZ, _crt_debugger_hook, __CppXcptFilter, memcmp, memset, malloc, free, __3@YAXPAX@Z, realloc, memcpy, __2@YAPAXI@Z, __CxxFrameHandler3, _purecall, _wtoi, _wcsnicmp, _wcsicmp, wcstok, _wcsdup, _except_handler4_common, _terminate@@YAXXZ, _encode_pointer, _malloc_crt, _encoded_null, _decode_pointer, _initterm, _initterm_e, _amsg_exit, _adjust_fdiv
( 4 exports )
DllCanUnloadNow, DllGetClassObject, DllRegisterServer, DllUnregisterServer
KekseTiger EDIT: Scan von Virustotal für E:\WINDOWS\system32\alading.dll Geändert von KekseTiger (24.09.2008 um 18:19 Uhr) |
|
24.09.2008, 19:18
| #5 |
| | Trojaner/Keylogger Hier noch der MALWAREBYTE Scan: Code:
ATTFilter Malwarebytes' Anti-Malware 1.28
Datenbank Version: 1202
Windows 5.1.2600 Service Pack 2
24.09.2008 20:17:56
mbam-log-2008-09-24 (20-17-56).txt
Scan-Methode: Vollständiger Scan (C:\|D:\|E:\|)
Durchsuchte Objekte: 123237
Laufzeit: 48 minute(s), 54 second(s)
Infizierte Speicherprozesse: 0
Infizierte Speichermodule: 0
Infizierte Registrierungsschlüssel: 0
Infizierte Registrierungswerte: 0
Infizierte Dateiobjekte der Registrierung: 0
Infizierte Verzeichnisse: 1
Infizierte Dateien: 4
Infizierte Speicherprozesse:
(Keine bösartigen Objekte gefunden)
Infizierte Speichermodule:
(Keine bösartigen Objekte gefunden)
Infizierte Registrierungsschlüssel:
(Keine bösartigen Objekte gefunden)
Infizierte Registrierungswerte:
(Keine bösartigen Objekte gefunden)
Infizierte Dateiobjekte der Registrierung:
(Keine bösartigen Objekte gefunden)
Infizierte Verzeichnisse:
E:\WINDOWS\system32\system32 (Trojan.Agent) -> Quarantined and deleted successfully.
Infizierte Dateien:
C:\WINDOWS\system32\cmdow.exe (Malware.Tool) -> Quarantined and deleted successfully.
E:\WINDOWS\system32\cmdow.exe (Malware.Tool) -> Quarantined and deleted successfully.
E:\WINDOWS\system32\system32\klog.dat (Trojan.Agent) -> Quarantined and deleted successfully.
E:\Dokumente und Einstellungen\Administrator\Anwendungsdaten\addon.dat (Malware.Trace) -> Quarantined and deleted successfully.
|
|
24.09.2008, 19:43
| #6 | ||
 | Trojaner/KeyloggerZitat:
 Zitat:
Denke daran, alle Passwörter von einem "sauberen" PC zu ändern, denn sie sind einem Dritten bekannt.
__________________ --> Trojaner/Keylogger |
|
24.09.2008, 19:47
| #7 | |
| | Trojaner/KeyloggerZitat:
 Aber im normalfall spürt man nicht direkt eine Fernsteuerung! |
|
24.09.2008, 19:50
| #8 |
| | Trojaner/Keylogger neuinstallation wirklich nötig? kann ich nicht einfach den file löschen und ein saubren runterziehen?? Ja das hat ihm anscheind Spaß gemacht ._. |
|
24.09.2008, 20:31
| #9 |
| | Trojaner/Keylogger das Keylogger-File an sich ist total ungefährlich, man muß es auch nicht ersetzen, löschen würde ausreichen.  Du weißt nicht, was bei Dir sonst noch verändert ist, Neuinstallation ist der Weg, den Du nutzen solltest. Und danach sei etwas vorsichtiger, so etwas fliegt nicht auf den PC, Du hast geklickt, um den Server zu installieren.
__________________ Es ist besser für das, was man ist, gehasst, als für das, was man nicht ist, geliebt zu werden. (Kettcar) |
|
01.06.2010, 12:27
| #10 | |
| | Trojaner/Keylogger Hallo, Zuerst mal ich bin neu hier und bin mir also nicht sicher ob das in den richtigen Bereich fällt. Ich hab die SuFu benutzt u kein neues Thema erstellt. Also mein Problem ist, dass seit einer Stunde irgendwer meine Maus steuert. Erst fiel es mir im InternetBrowser auf, da texte immer markiert wurden wenn ich mit der Maus drüber fuhr, oder links einfach geöffnet wurden wenn die maus drüber strich. Ich dachte erst es wär ein maus problem, und hab in den Systemsteuerung das Maus Menü aufrufen wollen, doch es wurden immer andere Menus geöffnet, z.b. Farbverwaltung oder die Ansicht wurde geändert. Da ich gestern auf einer Lan-Party war vermute ich es könnte einer meiner "Freunde" gewesen sein. Also öffnete ich den Editor um sicherzugehn und schrieb "hey wer bist du?". Die "Person" antwortete mir nicht direkt aber als ich in der nächsten Zeile etwas schrieb funkten immer wieder mehrere Buchstaben dazwischen die ich ga nicht gedrückt hatte, außerdem wurden meine Fenster geschlossen u minimiert bevor ich überhaupt draufklicken konnte, der Mauszeiger sich aber darauf befand. Ich macht einen Virenscan mit AntiVir und dieser besagte nur dass eine versteckte Datei gefunden wurde. Zitat:
Ich hab meine IP-Adresse geändert u seitdem passiert nichts mehr. Es wäre nett wenn ihr mir helfen könnt, da mein PC noch ziemlich neu ist u ich nicht will, dass er voll mit böser Software ist. Danke im Voraus klabi |
|
01.06.2010, 13:34
| #11 |
| | Trojaner/Keylogger Edit: Neue Information das Programm oder die "Person" hat in meim Facebook chat u in den Editor neue Sätze geschrieben, nämlich Sachen wie: call of duty 4 d3 you prototype trailer Jack Jonhs 7.Staffel 8.Staffel und call of duty 4 d3 wiederholt Entschuldigt meine Schreibweise u Tippfehler, es ist nur ziemlich schwer zu schreiben wenn irgendwas immer mit der maus u tastatur dazwischen funkt Es fällt mir grad auf dass die Sachen die er schreibt alle auf meinem PC sind Gestern hab ich prototype trailer geyoutubed u ich hab den Ordner 8.Staffel u 7. Staffel Außerdem das SPiel COD 4 |
|
| Themen zu Trojaner/Keylogger |
| administrator, adobe, antivir, antivirus, avgnt, avgnt.exe, avira, bho, content.ie5, defender, einstellungen, explorer, fremd, google, hijack, hijackthis, hkus\s-1-5-18, icq, internet, internet explorer, logfile, microsoft, programme, server, software, stick, system, trojaner, windows, windows xp |
Linear-Darstellung
