Tag auch! Bisher nur stiller mitleser jetzt selbst betroffener einer Infection...

Da meine Schwester aus unwissenheit die Website kino.to benutzt hat (nicht besuchen!) darf ich mich jetzt mit dem Bot der Website rumärgern!

O4 - HKLM\..\Run: [6;WG[(/_(CG·(/G(C)3;O([(·(C(ê6;;;f£(¿ê;;;;f£(¿;»s{;Ë;;³;+;;;;;;;Ì;;;;;;;;;;<;;;;;k(6;G(6;_(6;w;;;;;/;;;;;O(6;[(6;·(6;C(6;;|£(»';ê;;;;€wÌ;¿ß;E(ê;;;;ê%;;;»';µ;;Ë;fS(WGS(f_(G_(ê;;;;€wv;¿G_(ê6;;;‘f_(G_(4 ;/;&k(Gk(/O(GO(G_(ê2;;;»';µ;;Ë;fS(WGO(/k(CGS(f_(O(G_(Gk(4¿;3;&£(¿(({;3;;ƒ;;;;;;;;Ì;;;;;¿;;;;;9;;;;6£(6;k(6;Ë;;;;;6;;;;;O(6;ê;;;;?';;ê6;;;…/_(¥6;Æ;6;»;?';;?';w;ê;;;;G_(k({1;';Wk(+;±·;êÓ<;;©?3;;;1&;3;ê;;;;ê{;;;/_(r·(Æ[/g(1);Ë;/g([&G(*g(GG(ê*;;;?3;;;1,;';¿;;;Ã{;3;+;§;;;;;;;;Ì;;;;;;;;;;9;;;;;_(:6;;;;;;G(6;;;¿;;;;;9;;;;;k(-;g(9;;9;:t((;3›6|G(;d/G("L3{ (a·(–6eg(/g(/w(1Ã;';/w((yÁ;6;#_(3;g((w(;%G_(/k(_#¹;;3k(Pg(™6a·(œ6B$,*g(w°;;Àß(k¡(;4/k(j#C;;;ÊÀÿ<»s{;/;¯;³;;;;;;;;;;;;;;w;;;;;/;;;;;#<;G(6;k(<;_(<;w;;;;;/;;;;;g(9;(9;w(9;9;;3G';|£(;:t((;ß;/k(G£(:Û;Ö;8'<þ_(3_(2{;Ù;3k(2·;Ü;/;_(k(;+GË;/k(G£(:Û;Ö;8'<þ_(3_(2{;Ù;3k(2O;Ü;/;_(k(;ß(/k(G£(:Û;Ö;8'<þ_(3_(2{;Ù;3k(2·;Ü;/;_(k(;;¿;;»s{;';';›;;;;;;;;Ì;;;;;Ë;;;;;6;;;;;£(6;¿;;;;;9;;;;;_(<;k(<;êo;;;f(TË;äkÿ(ê6;;
O4 - HKCU\..\Run: [;±;4
;;m(/3(1;3;êp;;;/3(4,;3;&S()3;+(((/(3;o(((3(;8GS(ê;;;;$bw9;2GS(?6$•wÉ9;ê6;;;/O(]J6ß6ôOÉ9;þGO(]J6v±;;ß6ôê6;;;‘f#;uê;;;;G#GO(]J6v-;;¸6;=6';;;;`GS(qê/;;;…"No(ê6;;;/S(rÿ(3{/(1;Ë;ê;;;;/(aÃ�6$Ø("+(/3(1û;';/3(G#GO(]J6v±;;v"³;;+(3;o(((3(;sGS(qê/;;;…"No(ê6;;;/S(rÿ(3{/(1;Ë;/([+(G#GO(]J6v±;;v"F/;+(/;o((;h:Û;ýÖ;#/"L.{GO(ÏoÓG#GO(]J6v±;;vC;;ƒƒ69;Gb~6"èÛ;;Êß(G#GO(]J6v±;;v¥3;;Êß;G#GO(]J6v±;;v¥1;;1/O(MÞ;;9;Êê;;;; o(4,;3;&S(*o(;:u*;;;"JË;»s{;3;“;9;;;;;;;Ì;;;;;¿;;;;;9;;;;6G(9;S(6;+;;;;;.;;;;;+(6;(6;(6;/(6;<;o(9;(9;(9;3(9;/g(fo(ê6;;;~o(/;ß9ƒo(;;ê;;;;ê;;;;Ào(Ë;(-%;6;¸/;33;±g;ê;;;;Ào(Ë;(-%;6;¸;;ê;;;;ê6;;;Ào(Ë;(-%;6;¸/;/{(Ë;<;G{(ê6;;;Ào(Ë;(-%;6;¸;;33;±{;~o(';ê;;;;fo(/£(µ8;/;f{(W/g(µË;/;fc(ê/;;;Gc(>W(G{(1Æ;';W1É;;;"Q(1Ì;/;*(/{(Ë;<;G{(ê6;;;…ê<;;;©fs(T';w¸6ê;;;;/k(33;±g;ê6;;;…OË(§6ê;;;;/_(Gs(ê<;;;G3(¯6 (1¿;/;ì(;Ô¬ÓfG(*(GG(%G_(Gk(G£(*9;"»;;GG(%G_(ê6;;;‘Gk(G£(*9;"»;;GG(%G_(ê9;;;‘Gk(G£(*9;"»;;/_(`3(6/k(MË(À6u,9ê;;;;/_(Gs(ê<;;;G;(,9ê;;;

Das sind die Einträge die ich nicht loswerde - erst garnicht finde....

Falls jemand Erfahrungen damit hat, bitte her damit, ist erlich akut!

mfg

PS: Die keys sind zulang als das mir der Path angezeigt werden könnte

Ähm....

Also ich hab mit dieser Site kein Problem....

Da muss deine Schwester warscheinlich irgendwo rauf geklickt sein und hat sich damit was eingefangen!

Aber von Kino.to kommt das nicht....

Gruss BIOTEC

Edit* Mein Problem hat sich gelöst!

Es weiß wovon ich spreche wenn ich sage das Kino.to unsicher ist, wer interesse an näheren Informationen hat ~> PN!

Falls du die Website mit einem Standartbrowser benutzt hast kannst du mit großer wahrscheinlichkeit davon ausgehen das du ebensfalls infiziert bist.

mfg

edit: Wahrscheinlich ja, die Seite ist mittels G-Pack infiziert was ein Klicken oder sonstiges unnötig macht, ein einfaches Besuchen der Website reicht aus.

Es entbehrt sämtlicher Vernunft, solch eine Seite zu besuchen.
Das schreit förmlich nach Problemen. Filme im Netz gucken, als Stream und das alles scheinbar semi-legal...naja.-> Nächstes mal brain.exe benutzen.

Du hast anscheinend schon einen Hijackthis-Log erstellt.
Stelle diesen hier rein.... benutze "code" .
Den Log könntest du derweil auch bei VirusTotal - Kostenloser online Viren- und Malwarescanner auswerten lassen.
Ergebnis hier posten.

Edit* Mein Problem hat sich gelöst!

Mein HijackThis log:

Logfile of Trend Micro HijackThis v2.0.2
Scan saved at 14:54:53, on 06.02.2009
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)
Boot mode: Normal

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\Explorer.EXE
C:\WINDOWS\system32\svchost.exe
C:\Programme\QIP Infium\infium.exe
C:\Programme\Mozilla Firefox\firefox.exe
C:\Programme\Winamp\winamp.exe
C:\WINDOWS\system32\notepad.exe
C:\Programme\Trend Micro\HijackThis\HijackThis.exe

R1 - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings,ProxyOverride = *.local
O2 - BHO: SSVHelper Class - {761497BB-D6F0-462C-B6EB-D4DAF1D92D43} - C:\Programme\Java\jre1.6.0_07\bin\ssv.dll
O3 - Toolbar: Veoh Web Player Video Finder - {0FBB9689-D3D7-4f7a-A2E2-585B10099BFC} - C:\Programme\Veoh Networks\VeohWebPlayer\VeohIEToolbar.dll
O4 - HKLM\..\Run: [6;WG[(/_(CG·(/G(C)3;O([(·(C(ê6;;;f£(¿ê;;;;f£(¿;»s{;Ë;;³;+;;;;;;;Ì;;;;;;;;;;<;;;;;k(6;G(6;_(6;w;;;;;/;;;;;O(6;[(6;·(6;C(6;;|£(»';ê;;;;€wÌ;¿ß;E(ê;;;;ê%;;;»';µ;;Ë;fS(WGS(f_(G_(ê;;;;€wv;¿G_(ê6;;;‘f_(G_(4 ;/;&k(Gk(/O(GO(G_(ê2;;;»';µ;;Ë;fS(WGO(/k(CGS(f_(O(G_(Gk(4¿;3;&£(¿(({;3;;ƒ;;;;;;;;Ì;;;;;¿;;;;;9;;;;6£(6;k(6;Ë;;;;;6;;;;;O(6;ê;;;;?';;ê6;;;…/_(¥6;Æ;6;»;?';;?';w;ê;;;;G_(k({1;';Wk(+;±·;êÓ<;;©?3;;;1&;3;ê;;;;ê{;;;/_(r·(Æ[/g(1);Ë;/g([&G(*g(GG(ê*;;;?3;;;1,;';¿;;;Ã{;3;+;§;;;;;;;;Ì;;;;;
;;;;;9;;;;;_(:6;;;;;;G(6;;;¿;;;;;9;;;;;k(-;g(9;;9;:t((;3›6|G(;d/G("L3{ (a·(–6eg(/g(/w(1Ã;';/w((yÁ;6;#_(3;g((w(;%G_(/k(_#¹;;3k(Pg(™6a·(œ6B$,*g(w°;;Àß(k¡(;4/k(j#C;;;ÊÀÿ<»s{;/;¯;³;;;;;;;;;;;;;;w;;;;;/;;;;;#<;G(6;k(<;_(<;w;;;;;/;;;;;g(9;(9;w(9;9;;3G';|£(;:t((;ß;/k(G£(:Û;Ö;8'<þ_(3_(2{;Ù;3k(2·;Ü;/;_(k(;+GË;/k(G£(:Û;Ö;8'<þ_(3_(2{;Ù;3k(2O;Ü;/;_(k(;ß(/k(G£(:Û;Ö;8'<þ_(3_(2{;Ù;3k(2·;Ü;/;_(k(;;¿;;»s{;';';›;;;;;;;;Ì;;;;;Ë;;;;;6;;;;;£(6;¿;;;;;9;;;;;_(<;k(<;êo;;;f(TË;äkÿ(ê6;;
O4 - HKCU\..\Run: [;±;4
;;m(/3(1;3;êp;;;/3(4,;3;&S()3;+(((/(3;o(((3(;8GS(ê;;;;$bw9;2GS(?6$•wÉ9;ê6;;;/O(]J6ß6ôOÉ9;þGO(]J6v±;;ß6ôê6;;;‘f#;uê;;;;G#GO(]J6v-;;¸6;=6';;;;`GS(qê/;;;…"No(ê6;;;/S(rÿ(3{/(1;Ë;ê;;;;/(aÃ�6$Ø("+(/3(1û;';/3(G#GO(]J6v±;;v"³;;+(3;o(((3(;sGS(qê/;;;…"No(ê6;;;/S(rÿ(3{/(1;Ë;/([+(G#GO(]J6v±;;v"F/;+(/;o((;h:Û;ýÖ;#/"L.{GO(ÏoÓG#GO(]J6v±;;vC;;ƒƒ69;Gb~6"èÛ;
;Êß(G#GO(]J6v±;;v¥3;;Êß;G#GO(]J6v±;;v¥1;;1/O(MÞ;;9;Êê;;;; o(4,;3;&S(*o(;:u*;;;"JË;»s{;3;“;9;;;;;;;Ì;;;;;¿;;;;;9;;;;6G(9;S(6;+;;;;;.;;;;;+(6;(6;(6;/(6;<;o(9;(9;(9;3(9;/g(fo(ê6;;;~o(/;ß9ƒo(;;ê;;;;ê;;;;Ào(Ë;(-%;6;¸/;33;±g;ê;;;;Ào(Ë;(-%;6;¸;;ê;;;;ê6;;;Ào(Ë;(-%;6;¸/;/{(Ë;<;G{(ê6;;;Ào(Ë;(-%;6;¸;;33;±{;~o(';ê;;;;fo(/£(µ8;/;f{(W/g(µË;/;fc(ê/;;;Gc(>W(G{(1Æ;';W1É;;;"Q(1Ì;/;*(/{(Ë;<;G{(ê6;;;…ê<;;;©fs(T';w¸6ê;;;;/k(33;±g;ê6;;;…OË(§6ê;;;;/_(Gs(ê<;;;G3(¯6 (1¿;/;ì(;Ô¬ÓfG(*(GG(%G_(Gk(G£(*9;"»;;GG(%G_(ê6;;;‘Gk(G£(*9;"»;;GG(%G_(ê9;;;‘Gk(G£(*9;"»;;/_(`3(6/k(MË(À6u,9ê;;;;/_(Gs(ê<;;;G;(,9ê;;;
O4 - HKUS\S-1-5-19\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'LOKALER DIENST')
O4 - HKUS\S-1-5-20\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'NETZWERKDIENST')
O4 - HKUS\S-1-5-18\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'SYSTEM')
O4 - HKUS\.DEFAULT\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'Default user')
O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programme\Java\jre1.6.0_07\bin\ssv.dll
O9 - Extra 'Tools' menuitem: Sun Java Konsole - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programme\Java\jre1.6.0_07\bin\ssv.dll
O9 - Extra button: ICQ6 - {E59EB121-F339-4851-A3BA-FE49C35617C2} - C:\Programme\ICQ6\ICQ.exe
O9 - Extra 'Tools' menuitem: ICQ6 - {E59EB121-F339-4851-A3BA-FE49C35617C2} - C:\Programme\ICQ6\ICQ.exe
O9 - Extra button: Klicke hier um das Projekt xp-AntiSpy zu unterstützen - {0e921e80-267a-42aa-aee4-60b9a1222a44} - C:\Programme\xp-AntiSpy\sponsoring\sponsor.html (HKCU)
O9 - Extra 'Tools' menuitem: Unterstützung für xp-AntiSpy - {0e921e80-267a-42aa-aee4-60b9a1222a44} - C:\Programme\xp-AntiSpy\sponsoring\sponsor.html (HKCU)
O10 - Unknown file in Winsock LSP: c:\windows\system32\prxernsp.dll
O10 - Unknown file in Winsock LSP: c:\windows\system32\prxerdrv.dll
O10 - Unknown file in Winsock LSP: c:\windows\system32\prxerdrv.dll
O23 - Service: NVIDIA Display Driver Service (NVSvc) - NVIDIA Corporation - C:\WINDOWS\system32\nvsvc32.exe
O23 - Service: StyleXPService - Unknown owner - C:\Programme\TGTSoft\StyleXP\StyleXPService.exe

--
End of file - 4771 bytes

Nicht alle durcheinander!!!
Bitte jedes Problem ein einzelner Thread!!!->Aulinger2000

Mach einen neuen auf und halte dich genau an die NUB. Das soll heißen beschreibe dein Problem grundlegend. Was hast du gemacht, Wie ist es passiert usw...

Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)

Verusche erstmal dein System auf den neusten Stand zu bekommen.
XP SP3 und IE7!

Da meine Schwester(...)kino.to (...) Bot der Website rumärgern!

Wie heisst der denn? Sollte in deinem Antivierenprogramm in Ergebnissen/Protokoll Funde, oder der Gleichen vermerkt sein.

Ich benutze Firefox, nicht IE - daran liegt es aber nicht, es existieren bereits exploits für IE 7 sowie für FF 3

Den Bot mit einem Einfachen AV zu finden wird wohl kaum möglich sein schließlich sprechen wir hier nicht von von Kindern augesetzen Trojanern, sondern von einem großen Botnet - den genauen Namen weiß ich leider nicht, würde aber auch nichts bringen, wenn ich die Reg. einträge loswerden würde ware ich schon zufrieden.

mfg

Zitat von Maloh

Ich benutze Firefox, nicht IE - daran liegt es aber nicht,

Das ist nicht so ganz richtig. Mit dem IE7 update kommen noch Sicherheitsupdates mit, die wichtig sind!

Natürlich sind diese wichtig aber gegen die besagte Software kaum wirksam, näheres per PN

wäre euch sehr verbunden wenn ihr mir mit dem Reg. Eintrag helfen könntet!

GMER - Rootkit Detection

- Lade GMER von hier
- entpacke es auf den Dektop
- Doppelklick auf gmer.exe
- Der Reiter Rootkit oben ist schon angewählt
- Drücke Scan, Der Vorgang kann je nach System 3 - 10min dauern
- nach Beendigung des Scan, drücke "Copy"
- nun kannst Du das Ergebnis hier einfügen. Sollte der Log zu lang sein, dann lade ihn bei einem Filehoster wie z.B. File-Upload.net - Ihr kostenloser File Hoster! hoch und poste den Link.
-Sollte GMER sagen "Gmer hasen´t found any System Modifikation", so hat GMER keine Einträge gefunden.

Ich möchte in diesem Zusammenhang jetzt aber mal entschieden vor dieser kino.to-Seite warnen, nachdem ich sie gerade besucht habe.

Die sind ja sehr besorgt um meine Sicherheit, erstmal bieten sie mir "Windows Antivirus Security 2009" an. Da darf ich dann für 79 Euros ein Halbjahresabo bei einem "neuartigen Such- und Recherchedienst im Internet, der für sie nach kostenlosen und freizugänglichen Anti-Viren-Programmen weltweit recherchiert" abschließen. Der Aufmachung der Seite nach bekomme ich anscheinend AVG-Free zum Download angeboten, genau weiß ich es aber nicht, da ich keine Lust hatte, diesen Vertrag abzuschließen.

Aber nicht genug damit: kino.to empfiehlt auch die Verwendung von Firefox und bietet natürlich auch gleich einen Download an. Da darf ich dann für 192 Euro ein Zweijahresabo abschließen um eine veraltete Version (3.05) des Firefox herunterzuladen.

Zitat von KarlKarl

Ich möchte in diesem Zusammenhang jetzt aber mal entschieden vor dieser kino.to-Seite warnen, nachdem ich sie gerade besucht habe.

Die sind ja sehr besorgt um meine Sicherheit, erstmal bieten sie mir "Windows Antivirus Security 2009" an. Da darf ich dann für 79 Euros ein Halbjahresabo bei einem "neuartigen Such- und Recherchedienst im Internet, der für sie nach kostenlosen und freizugänglichen Anti-Viren-Programmen weltweit recherchiert" abschließen. Der Aufmachung der Seite nach bekomme ich anscheinend AVG-Free zum Download angeboten, genau weiß ich es aber nicht, da ich keine Lust hatte, diesen Vertrag abzuschließen.

Aber nicht genug damit: kino.to empfiehlt auch die Verwendung von Firefox und bietet natürlich auch gleich einen Download an. Da darf ich dann für 192 Euro ein Zweijahresabo abschließen um eine veraltete Version (3.05) des Firefox herunterzuladen.

Erweiterte Warnung: Besucht diese seite AUF KEINEN FALL! Sie ist Backdoored (G-Pack) und der alleinige Besuch kann euch Infecten!
Und jetzt versucht nicht mir zu widersprechen ich weiß wovon ich rede!