Virus, der Antivirenseiten blockiert.

GoodFella · 03.02.2009, 05:38

Hi,
ist das erste Mal, dass ich mit einem Schädling nicht allein fertig werde, deshalb mein Post jetzt hier.

Zuerst ein paar Details:
Windows XP SP3
Sygate Personal Firefall Pro 5.5 build 2170
Erst wurde ein Pc im LAN befallen, dann meiner selbst.

Symptome:
- Jegliche Herstellerseiten von Antivirussoftware und Microsoft sind per DNS nicht auflösbar, d.h. der Virus hat offensichtlich seine eigene Firewall
- pro Sekunde versucht svchost.exe 200 Verbindungen zu zufälligen IPs herzustellen
- Festplatte arbeitet
- PC ist langsam, aber nicht sehr
- selten Beenden sich manche Anwendungen per Fehlermeldung, z.B. Firefox und svchost.exe

Hier ein HJT-Log:

Code:

ATTFilter

Logfile of HijackThis v1.99.1
Scan saved at 05:35:07, on 03.02.2009
Platform: Windows XP SP3 (WinNT 5.01.2600)
MSIE: Internet Explorer v7.00 (7.00.6000.16674)

Running processes:
C:\WINXP\System32\smss.exe
C:\WINXP\system32\winlogon.exe
C:\WINXP\system32\services.exe
C:\WINXP\system32\lsass.exe
C:\WINXP\system32\svchost.exe
C:\WINXP\System32\svchost.exe
C:\Programme\Sygate\SPF\Smc.exe
C:\WINXP\System32\svchost.exe
C:\WINXP\System32\svchost.exe
C:\WINXP\system32\spoolsv.exe
C:\WINXP\Explorer.EXE
C:\WINXP\System32\svchost.exe
C:\Programme\Avira\AntiVir PersonalEdition Classic\sched.exe
C:\Programme\Mozilla Firefox\firefox.exe
C:\Programme\uTorrent\utorrent.exe
C:\Programme\EditPlus 2\editplus.exe
C:\Programme\hijackthis\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = file:///C:/Home/Home.html
R0 - HKLM\Software\Microsoft\Internet Explorer\Search,SearchAssistant = 
R0 - HKLM\Software\Microsoft\Internet Explorer\Search,CustomizeSearch = 
O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Programme\Adobe\Acrobat 5.0\Reader\ActiveX\AcroIEHelper.ocx
O2 - BHO: SSVHelper Class - {761497BB-D6F0-462C-B6EB-D4DAF1D92D43} - C:\Programme\Java\jre1.6.0_07\bin\ssv.dll
O4 - HKLM\..\Run: [SmcService] C:\PROGRA~1\Sygate\SPF\smc.exe -startgui
O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINXP\system32\NvCpl.dll,NvStartup
O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programme\Java\jre1.6.0_07\bin\ssv.dll
O9 - Extra 'Tools' menuitem: Sun Java Konsole - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programme\Java\jre1.6.0_07\bin\ssv.dll
O17 - HKLM\System\CCS\Services\Tcpip\..\{CC602D56-2624-4D66-93E5-2F14FB6DC172}: NameServer = 192.168.0.1
O18 - Protocol: livecall - {828030A1-22C1-4009-854F-8E305202313F} - C:\PROGRA~1\MSNMES~1\MSGRAP~1.DLL
O18 - Protocol: msnim - {828030A1-22C1-4009-854F-8E305202313F} - C:\PROGRA~1\MSNMES~1\MSGRAP~1.DLL
O18 - Protocol: skype4com - {FFC8B962-9B40-4DFF-9458-1830C7DD7F5D} - C:\PROGRA~1\GEMEIN~1\Skype\SKYPE4~1.DLL
O23 - Service: Avira AntiVir Personal - Free Antivirus Planer (AntiVirScheduler) - Avira GmbH - C:\Programme\Avira\AntiVir PersonalEdition Classic\sched.exe
O23 - Service: Avira AntiVir Personal - Free Antivirus Guard (AntiVirService) - Avira GmbH - C:\Programme\Avira\AntiVir PersonalEdition Classic\avguard.exe
O23 - Service: DF - Sysinternals - www.sysinternals.com - C:\DOKUME~1\ANONYM~1\LOKALE~1\Temp\DF.exe
O23 - Service: Firebird Server - MAGIX Instance (FirebirdServerMAGIXInstance) - MAGIX® - C:\Programme\MAGIX\Common\Database\bin\fbserver.exe
O23 - Service: MySQL - Unknown owner - C:\Programme\MySQL\MySQL.exe (file missing)
O23 - Service: NVIDIA Display Driver Service (NVSvc) - NVIDIA Corporation - C:\WINXP\system32\nvsvc32.exe
O23 - Service: OQC - Sysinternals - www.sysinternals.com - C:\DOKUME~1\ANONYM~1\LOKALE~1\Temp\OQC.exe
O23 - Service: PnkBstrA - Unknown owner - C:\WINXP\system32\PnkBstrA.exe
O23 - Service: Sandboxie Service (SbieSvc) - tzuk - C:\Programme\Sandboxie\SbieSvc.exe
O23 - Service: Sygate Personal Firewall Pro (SmcService) - Sygate Technologies, Inc. - C:\Programme\Sygate\SPF\Smc.exe
O23 - Service: Messenger USN Journal Reader-Service für freigegebene Ordner (usnjsvc) - Unknown owner - C:\Programme\MSN Messenger\usnsvc.exe (file missing)

Da ich, wie oben erwähnt, keine Antivirensoftware herunterladen kann und auch fast alle Hilfestellungen gesperrt werden, da diese ebenfalls auf jenen Seiten sind, kann ich mir nicht mehr selbst helfen, würde mich echt freuen, wenn sich jemand die Mühe machen könnte, uns zu helfen, wir sitzen hier
ganz schön auf dem Trockenen

edit: konnte über chip.de Malwarebytes Antimalware runterladen, hier das Log:

Code:

ATTFilter

Scan-Methode: Quick-Scan
Durchsuchte Objekte: 47664
Laufzeit: 2 minute(s), 46 second(s)

Infizierte Speicherprozesse: 0
Infizierte Speichermodule: 0
Infizierte Registrierungsschlüssel: 0
Infizierte Registrierungswerte: 0
Infizierte Dateiobjekte der Registrierung: 2
Infizierte Verzeichnisse: 0
Infizierte Dateien: 0

Infizierte Speicherprozesse:
(Keine bösartigen Objekte gefunden)

Infizierte Speichermodule:
(Keine bösartigen Objekte gefunden)

Infizierte Registrierungsschlüssel:
(Keine bösartigen Objekte gefunden)

Infizierte Registrierungswerte:
(Keine bösartigen Objekte gefunden)

Infizierte Dateiobjekte der Registrierung:
HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Advanced\Start_ShowMyDocs (Hijack.StartMenu) -> Bad: (0) Good: (1) -> No action taken.
HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\Explorer\NoSMHelp (Hijack.Help) -> Bad: (1) Good: (0) -> No action taken.

Infizierte Verzeichnisse:
(Keine bösartigen Objekte gefunden)

Infizierte Dateien:
(Keine bösartigen Objekte gefunden)

..beide wurden entfernt, das Problem blieb bestehen.

GoodFella · 03.02.2009, 09:52

ein Update:
- Sophos Anti-Rootkit brachte kein Ergebnis
- Ich habe mit Rootkit Unhooker alles unhooked was mir sinnvoll erschien
- Exterminate It! brachte 0 Resultate
- habe ein paar Dateien gelöscht, die innerhalb der letzten 24h in mein Windows-Verzeichnis erstellt wurden, Temp / Caches gelöscht
- habe eine Seite gefunden, mit deren Hilfe ich das Blocken der Antivirenseite teilweise umgehen kann: http://youtube-unblock.com/
- habe ausgeschlossen, dass es sich um Fantibag.B handelt
- meine hosts file enthält keine zusätzlichen Einträge
- Windows Firewall ist aus

..alles natürlich ohne Erfolg. Wäre wohl jemand so freundlich, sich dem anzunehmen?

GoodFella · 03.02.2009, 19:31

update:
AntiVir und AVG haben beide nichts gefunden. Ich brauche glaube ich irgendwas, dass Kernelmode hooks entfernt.

Ich habe mit Rootkit Unhooker alle nicht zuordenbaren Treiber gedumpt, als .txt, das nach .rar umbenannt werden muss, angehängt.

Combofix hängt sich übrigens bei Installation mit einer Fehlermeldung in prep.com auf.

GoodFella · 03.02.2009, 20:15

Ich habe gerade versucht, mit Malwarebytes im Abgesicherten Modus zu scannen, hier das log:

Code:

ATTFilter

Malwarebytes' Anti-Malware 1.33
Datenbank Version: 1654
Windows 5.1.2600 Service Pack 3

03.01.2009 20:01:03
mbam-log-2009-01-03 (20-01-03).txt

Scan-Methode: Quick-Scan
Durchsuchte Objekte: 46569
Laufzeit: 11 minute(s), 58 second(s)

Infizierte Speicherprozesse: 0
Infizierte Speichermodule: 0
Infizierte Registrierungsschlüssel: 0
Infizierte Registrierungswerte: 0
Infizierte Dateiobjekte der Registrierung: 0
Infizierte Verzeichnisse: 0
Infizierte Dateien: 1

Infizierte Speicherprozesse:
(Keine bösartigen Objekte gefunden)

Infizierte Speichermodule:
(Keine bösartigen Objekte gefunden)

Infizierte Registrierungsschlüssel:
(Keine bösartigen Objekte gefunden)

Infizierte Registrierungswerte:
(Keine bösartigen Objekte gefunden)

Infizierte Dateiobjekte der Registrierung:
(Keine bösartigen Objekte gefunden)

Infizierte Verzeichnisse:
(Keine bösartigen Objekte gefunden)

Infizierte Dateien:
C:\WINXP\system32\1.tmp (Trojan.Agent) -> Quarantined and deleted successfully.

Offensichtlich wurde etwas seit dem letzten Scan hinzugekommenes gefunden, was auch entfernt wurde, ich denke, der eigentlich Schädlich hat einen zweiten heruntergeladen und gespeichert.

Mit RkUnhooker kann ich eine bestimmte jedesmal per Zufallsgenerator erstellte .sys datei aus diversen Systemfunktionen aushooken, kommt jedoch nach Neustart wieder (s.Anhang)

Ich weiss echt nicht mehr weiter, weiss einer von euch Rat?

john.doe · 03.02.2009, 20:20

Hallo und

Durch deine Aktionen machst du es uns nicht wirklich leichter. Stoppe jede eigene Aktion.

GMER - Rootkit Detection

Lade GMER von hier
entpacke es auf den Dektop
Doppelklick auf gmer.exe
Der Reiter Rootkit oben ist schon angewählt

Drücke Scan, Der Vorgang kann je nach System 3 - 10min dauern
nach Beendigung des Scan, drücke "Copy"
nun kannst Du das Ergebnis hier einfügen. Sollte das Log zu lang sein, dann lade es bei einem Filehoster wie z.B. File-Upload.net hoch und poste den Link.
Sollte GMER sagen "Gmer hasen´t found any System Modifikation", so hat GMER keine Einträge gefunden.

ciao, andreas

GoodFella · 03.02.2009, 20:40

Sir yes Sir,
tue wie mir befohlen

hier das Log (hochgeladen, da zu lang):
File-Upload.net - gmer_log.txt

Diese zwei Einträge waren rot unterlegt:

Code:

ATTFilter

Service   C:\WINXP\system32\svchost.exe (*** hidden *** )                                                        [AUTO] qslipmwcn                                                                                                                                                                                                                                                                               <-- ROOTKIT !!!
Service   C:\WINXP\system32\svchost.exe (*** hidden *** )                                                        [AUTO] zogulkwu

Danke für Deine Zeit.

Virus, der Antivirenseiten blockiert.

Plagegeister aller Art und deren Bekämpfung: Virus, der Antivirenseiten blockiert.