Ganz ehrlich, wir können wir an dieser Stelle mit dem Bereinigen aufhören, sowohl Blacklight als auch GMER (unter der Ausführung von Combofix) haben Dir per Rootkit versteckte Objtekt angezeigt - da würde ich nicht mehr bereinigen. Du solltest Dich ans Neuaufsetzen machen.

Geh an einen sauberen PC und ändere von da aus sämtliche Im Internet benutzte Kennwörter. Wenn Du Onlinebanking betreibst, solltest Du Dein Konto im Auge behalten und evtl. eine Sperre in Betracht ziehen.

Ich würde gern aber noch wissen was sich hinter den versteckten Objekten verbirgt - mehr dazu später heute...

OK, ich hatte das schon befürchtet. Allerdings würde mich noch interessieren, wo das Mistding herkommt. Ich treibe mich weder auf einschlägigen Seiten herum noch installiere wild irgendwelche Software.

Bin da für jeden Tipp dankbar. Schöner Sch... Werde sicherheitshalber Konto im Auge behalten und Passes ändern, obwohl ich (fast) sicher bin, dass das Mistding nicht 'rausgekommen' ist.

Danke soweit, LG
Steffi

Zitat von SteffiA

Allerdings würde mich noch interessieren, wo das Mistding herkommt.

Evtl. wenn man an die schädliche Datei herankommt und diese bei Virustotal auswerten kann. Dann könnte man sehen welcher Schädling das ist (sofern bekannt!!) und dann lässt sich evtl auch abschätzen, welche Infektionsquelle in Frage kommt.

Aber wie erwähnt, dazu mehr später. Bin gerade "unterwegs"

Ich setz mich mal dazu und guck was passiert. Bin ja gar nicht neugierig.

lg myrtille

Zitat von myrtille

Ich setz mich mal dazu und guck was passiert. Bin ja gar nicht neugierig.

lg myrtille

Na, dann schmeiß ich mal die Mikrowelle an und gebe eine Runde Popcorn aus *g*

Wenn das System soweiso im *zensiert* ist , spiele ich vorher noch ein wenig mit GMER und Sophos Anti-Rootkit rum, aber nicht ehe ich brav auf Root24's Rückmeldung gewartet habe.

Erwischt...

Habe die exe Datei kopiert und als txt abgespeichert. Die Analyse bei Virustotal ergab dies hier:

 Datei test.txt empfangen 2008.09.30 15:42:05 (CET)
Status: Beendet
Ergebnis: 6/36 (16.67%)
Filter Filter
Drucken der Ergebnisse Drucken der Ergebnisse
Antivirus 	Version 	letzte aktualisierung 	Ergebnis
AhnLab-V3 	- 	- 	-
AntiVir 	- 	- 	-
Authentium 	- 	- 	-
Avast 	- 	- 	Win32:Gamona
AVG 	- 	- 	Win32/Heur
BitDefender 	- 	- 	-
CAT-QuickHeal 	- 	- 	-
ClamAV 	- 	- 	-
DrWeb 	- 	- 	-
eSafe 	- 	- 	Suspicious File
eTrust-Vet 	- 	- 	-
Ewido 	- 	- 	-
F-Prot 	- 	- 	-
F-Secure 	- 	- 	Suspicious:W32/Malware!Gemini
Fortinet 	- 	- 	-
GData 	- 	- 	Win32:Gamona
Ikarus 	- 	- 	-
K7AntiVirus 	- 	- 	-
Kaspersky 	- 	- 	-
McAfee 	- 	- 	-
Microsoft 	- 	- 	-
NOD32 	- 	- 	-
Norman 	- 	- 	-
Panda 	- 	- 	-
PCTools 	- 	- 	-
Prevx1 	- 	- 	Suspicious
Rising 	- 	- 	-
SecureWeb-Gateway 	- 	- 	-
Sophos 	- 	- 	-
Sunbelt 	- 	- 	-
Symantec 	- 	- 	-
TheHacker 	- 	- 	-
TrendMicro 	- 	- 	-
VBA32 	- 	- 	-
ViRobot 	- 	- 	-
VirusBuster 	- 	- 	-
weitere Informationen
MD5: 99faa05177ce42b7c18ccacf81852611
SHA1: d6fe3bbd9f4d3f88a73e7b4a684ba60b6c576be6
SHA256: 0d284c1840b14ea5afabb835c44e4b3df58ba02847c64f1095aaf6f36efa6ede
SHA512: 14344ea5793edb49425d62ab22cf5c767e201c69cc9c32fe45d7f27a21c5f80ce6d3d46797066d17febc764b415b0ab5633ab0b1b2eec098317ecf874e93d2bb
         

Scheint was neues zu sein. Wenn Du magst, sende mir davon eine Kopie an

root240@XXXarcorXXX.de

(die XXX bitte entfernen, die dienen als Spamschutz)

C:\DOKUME~1\xxx\LOKALE~1\Temp\jatmlano.sys
C:\WINDOWS\HKCYDLL.dll
         

Falls auffindbar bzw. sichtbar auch bei Virustotal auswerten lassen und Ergebnisse posten. Dann geht's los:

Combofix - Scripten

1. Starte das Notepad (Start / Ausführen / notepad[Enter])

2. Jetzt füge mit copy/paste den ganzen Inhalt der untenstehenden Codebox in das Notepad Fenster ein. (Deine XXX mit dem richtigen Namen wieder ersetzen!!)

Collect::
C:\DOKUME~1\xxx\LOKALE~1\Temp\jatmlano.sys
C:\WINDOWS\HKCYDLL.dll

DirLook::
c:\WINDOWS\system32\.d98b63cad1f348ac
C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\arwnkhwz
C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\xazgvipg

Rootkit::
c:\WINDOWS\system32\.d98b63cad1f348ac\d98b63cad1f348ac.AT.config
C:\WINDOWS\system32\.d98b63cad1f348ac\d98b63cad1f348ac.exe
c:\WINDOWS\system32\.d98b63cad1f348ac\d98b63cad1f348ac.core.dll
c:\WINDOWS\system32\.d98b63cad1f348ac\d98b63cad1f348ac.ServerPlugin.config
         

3. Speichere im Notepad als CFScript.txt auf dem Desktop.

4. Deaktivere den Guard Deines Antivirenprogramms und eine eventuell vorhandene Software Firewall.
(Auch Guards von Ad-, Spyware Programmen und den Tea Timer (wenn vorhanden) !)

5. Dann ziehe die CFScript.txt auf die ComboFix.exe, so wie es im unteren Bild zu sehen ist. Damit wird Combofix neu gestartet.



6. Nach dem Neustart (es wird gefragt ob Du neustarten willst), poste bitte die folgenden Log Dateien:
Combofix.txt

Hinweis: Das obige Script ist nur für diesen einen User in dieser Situtation erstellt worden. Es ist auf keinen anderen Rechner portierbar und darf nicht anderweitig verwandt werden, da es das System nachhaltig schädigen kann!

--

Danach: (auch hier die xxx durch das richtige ersetzen!!)

Anleitung Avenger (by swandog46)

Lade dir das Tool Avenger und speichere es auf dem Desktop:

• Doppelklick auf das Avenger-Symbol

• Kopiere nun folgenden Text in das weiße Feld bei -> "input script here"

files to delete:
C:\DOKUME~1\xxx\LOKALE~1\Temp\jatmlano.sys
C:\WINDOWS\HKCYDLL.dll

folders to delete:
c:\WINDOWS\system32\.d98b63cad1f348ac
C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\arwnkhwz
C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\xazgvipg

registry keys to delete:
HKLM\System\ControlSet001\Services\d98b63cad1f348ac

drivers to delete:
jatmlano
         

• Schliesse nun alle Programme und Browser-Fenster

• Um den Avenger zu starten klicke auf -> Execute
• Dann bestätigen mit "Yes" das der Rechner neu startet

• Nachdem das System neu gestartet ist, findest du einen Report vom Avenger unter -> C:\avenger.txt

• Öffne die Datei mit dem Editor und kopiere den gesamten Text in deinen Beitrag hier am Trojaner-Board.