Guten Abend

ich habe mir kurz nach Silvester einen Wurm eingefangen, der meinen Rechner über zugerichtet hatte. Da es sowieso an der Zeit war, mal wieder neu auf zu setzen, fand ich das jedoch nicht weiter schlimm. Ich hatte also meine heruntergeladenen Daten auf die externe Platte gepackt, Festplatten komplett gelöscht und Windows neu draufgepackt..

Später erhielt ich von der Cablecom (Schweiz) einen Brief, in welchem stand:

Cablecom wurde von dritter Stelle darauf aufmerksam gemacht, dass über ihren hispeed internet-Anschluss Viren/Würmer/Trojaner (Malware) verschickt wurde[..] anhand der unten aufgeführten Angaben stelen wir fest, dass die aufgezeichnete IP-Adresse zum angegebenen Datum Ihrem hispeed-Internetanschluss zugeordnet war..

Ich dachte zuerst, dass es sich um den von mir erkannten Wurm handelt, jedoch war das angegebene Datum von nach meiner Neuinstallation. Ich liess also Malwarebytes laufen, was jedoch zu keinem Ergebnis führte. Da ich nichts weiter bemerkte, dachte ich mir, dass die sich irrten oder tatsächlich den bereits gelöschten Wurm ansprechen würden und machte mir nichts weiter draus..

Nun habe ich heute jedoch erneut den selben Brief mit einem anderen Vorfalldatum erhalten, worauf ich gleich sämtliche von euch empfohlenen Schritte durchgeführt habe.

Ist es möglich, oder besser, wie wahrscheinlich ist es, dass sich ein Schädling auf meiner externen Platte befindet und von dort immer wieder auf den rechner zugreift? Falls dies der Fall ist, wie kann ich es erkennen und vor allem das Problem lösen?

Ich wäre sehr froh, wenn sich jemand mal die Logs anschauen könnte und mich für weitere Schritte instruieren würde.

hier erstmal meine logfiles:


Malwarebyte:

Malwarebytes' Anti-Malware 1.32
Datenbank Version: 1618
Windows 5.1.2600 Service Pack 2

22.02.2009 16:25:06
mbam-log-2009-02-22 (16-25-06).txt

Scan-Methode: Vollständiger Scan (C:\|D:\|H:\|)
Durchsuchte Objekte: 112419
Laufzeit: 1 hour(s), 6 minute(s), 47 second(s)

Infizierte Speicherprozesse: 0
Infizierte Speichermodule: 0
Infizierte Registrierungsschlüssel: 0
Infizierte Registrierungswerte: 0
Infizierte Dateiobjekte der Registrierung: 1
Infizierte Verzeichnisse: 0
Infizierte Dateien: 0

Infizierte Speicherprozesse:
(Keine bösartigen Objekte gefunden)

Infizierte Speichermodule:
(Keine bösartigen Objekte gefunden)

Infizierte Registrierungsschlüssel:
(Keine bösartigen Objekte gefunden)

Infizierte Registrierungswerte:
(Keine bösartigen Objekte gefunden)

Infizierte Dateiobjekte der Registrierung:
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Advanced\Folder\Hidden\SHOWALL\CheckedValue (Hijack.System.Hidden) -> Bad: (0) Good: (1) -> Quarantined and deleted successfully.

Infizierte Verzeichnisse:
(Keine bösartigen Objekte gefunden)

Infizierte Dateien:
(Keine bösartigen Objekte gefunden)
         

Hijackthis:

Logfile of Trend Micro HijackThis v2.0.2
Scan saved at 22:56:41, on 23.02.2009
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)
Boot mode: Normal

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\spoolsv.exe
C:\WINDOWS\Explorer.EXE
C:\WINDOWS\AGRSMMSG.exe
C:\WINDOWS\System32\ezSP_Px.exe
C:\Programme\Canon\MyPrinter\BJMyPrt.exe
C:\Programme\sony\keyboard closure setup\KSWServ.exe
C:\Programme\sony\usbsircs\usbsircs.exe
C:\Programme\Canon\IJPLM\IJPLMSVC.EXE
C:\WINDOWS\System32\irdvxc.exe
C:\WINDOWS\System32\svchost.exe
C:\Programme\Mozilla Firefox\firefox.exe
D:\Downloads\HiJackThis2009\HiJackThisMutha.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = h***://www.club-vaio.sony-europe.com/
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = h***://www.club-vaio.sony-europe.com/
O2 - BHO: AcroIEHelperStub - {18DF081C-E8AD-4283-A596-FA578C2EBDC3} - C:\Programme\Gemeinsame Dateien\Adobe\Acrobat\ActiveX\AcroIEHelperShim.dll
O4 - HKLM\..\Run: [AGRSMMSG] AGRSMMSG.exe
O4 - HKLM\..\Run: [ezShieldProtector for Px] C:\WINDOWS\System32\ezSP_Px.exe
O4 - HKLM\..\Run: [RECOVMSG] C:\Programme\Sony\VAIO Application Recovery Utility\bin\RecovMsg.exe
O4 - HKLM\..\Run: [ISP] C:\Programme\sony\ISPselector\ISPselector.exe /SCHEDULER
O4 - HKLM\..\Run: [QuickTime Task] "C:\Programme\QuickTime\QTTask.exe" -atboottime
O4 - HKLM\..\Run: [Adobe Reader Speed Launcher] "C:\Programme\Adobe\Reader 9.0\Reader\Reader_sl.exe"
O4 - HKLM\..\Run: [CanonSolutionMenu] C:\Programme\Canon\SolutionMenu\CNSLMAIN.exe /logon
O4 - HKLM\..\Run: [CanonMyPrinter] C:\Programme\Canon\MyPrinter\BJMyPrt.exe /logon
O4 - HKLM\..\Run: [KernelFaultCheck] %systemroot%\system32\dumprep 0 -k
O4 - HKUS\S-1-5-19\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 'LOKALER DIENST')
O4 - HKUS\S-1-5-20\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 'NETZWERKDIENST')
O4 - HKUS\S-1-5-18\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 'SYSTEM')
O4 - HKUS\.DEFAULT\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 'Default user')
O4 - Global Startup: Keyboard Closure Setup.lnk = ?
O4 - Global Startup: Remocon-Treiber.lnk = ?
O8 - Extra context menu item: Nach Microsoft &Excel exportieren - res://C:\PROGRA~1\MICROS~2\OFFICE11\EXCEL.EXE/3000
O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programme\Java\j2re1.4.2_01\bin\npjpi142_01.dll
O9 - Extra 'Tools' menuitem: Sun Java Konsole - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programme\Java\j2re1.4.2_01\bin\npjpi142_01.dll
O9 - Extra button: Recherchieren - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - C:\PROGRA~1\MICROS~2\OFFICE11\REFIEBAR.DLL
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe
O14 - IERESET.INF: START_PAGE_URL=h***://www.club-vaio.sony-europe.com/
O23 - Service: Inkjet Printer/Scanner Extended Survey Program (IJPLMSVC) - Unknown owner - C:\Programme\Canon\IJPLM\IJPLMSVC.EXE
O23 - Service: Network helper Service (MSDisk) - Unknown owner - C:\WINDOWS\System32\irdvxc.exe

--
End of file - 3498 bytes
         

Software:

Adobe Flash Player 10 Plugin
Adobe Reader 9 - Deutsch
Agere Systems AC'97 Modem
Apple Software Update
Applian FLV Player
Canon MP Navigator EX 2.0
Canon MP630 series Benutzerregistrierung
Canon MP630 series MP Drivers
Canon Utilities Easy-PhotoPrint EX
Canon Utilities My Printer
Canon Utilities Solution Menu
CCleaner (remove only)
CD-LabelPrint
Free M4a to MP3 Converter 6.0
HijackThis 2.0.2
Inkjet Printer/Scanner Extended Survey Program
ISP Selector (Deutsch)
Java 2 Runtime Environment, SE v1.4.2_01
Keyboard Closure Setup 
K-Lite Codec Pack 4.5.3 (Full)
Malwarebytes' Anti-Malware
Microsoft Office Professional Edition 2003
Mozilla Firefox (3.0.6)
QuickTime
SiS Compatible VGA V2.21a
VAIO BrightColor Wallpaper
VAIO Clock Screen Saver
VAIO DeepSea Wallpaper
VAIO Remote Commander Utility 6.2
VAIO System Information
Windows XP Service Pack 2
WinRAR
         

Ich habe mir Mühe gegeben, alle eure Regeln und Angaben zu befolgen und hoffe, dass der Thread nicht wieder gelöscht wird..

Vielen Dank schonmal im Voraus für eure Hilfe!

Gruss, mpc101

Zitat von mpc101

Malwarebyte:
[CODE]Malwarebytes' Anti-Malware 1.32 <--- nicht aktuell
Datenbank Version: 1618 <--- veraltet

Lade dir bitte die aktuelle Version von Malwarebytes Anti-Malware runter und starte dann ein Update. Anschließend einen neuen Scan durchführen, dann sollte er fündig werden.

Danach SUPERAntiSpyware runterladen und die Anleitung befolgen. (Updaten nicht vergessen)

Untersuche deine Externe Festplatte sehr gründlich auf Viren (Avira Antivir auf aggressive Einstellungen) und Malwarebytes solltest du auch dort drüberlaufen lassen.

Du kannst dann schonmal die Windows CD rauskramen und dich auf ein weiteres Neuaufsetzen einstellen. ServicePack 3 installieren nicht vergessen.

Danke für deine Antwort!

Malwarebytes ist momentan offenbar down, dh man kann nix updaten..

ich habe versucht die neue version mit dem im forum geposteten link (filepony)
runterzuladen, aber wenn ich diese installieren will geht da was schief..

der assistent meldet sofort nachdem ich auf installieren klicke, dass die installation erfolgreich abgeschlossen sei. jedoch ohne dass irgendwas installiert wurde.. Es wurde zwar auf C: ein Programmordner erstellt, der ist aber leer..

Hoffe, dass Malwarebytes bald wieder funzt, dann werde ich deine Schritte ausführen.. jetzt werde ich also erstmal Avira Antivir auf meine externen lalufwerke loslassen.. bericht folgt!



EDIT: wollte jetzt gerade SUPERAntiSpyware runterladen jedoch bekomme ich auch hier die gleiche Fehlermeldung:

Der Server unter www.superantispyware.com konnte nicht gefunden werden.
         

Der Server unter www.malwarebytes.org konnte nicht gefunden werden.
         

sind die beiden sites wirklich gerade down oder ist mein Viech etwa so intelligent, dass es seine schlimmsten feinde von mir fernhält???

Was sowieso offensichtlich war, hat sich jetzt noch bestätigt..
das war natürlich mein Mistviech, welches alle gängigen Seiten bekannter Antivirusfirmen blockierte.

Habe nun bereits zum zweiten mal neu aufgesetzt..
Offenbar ist auch meine externe Festplatte infiziert, denn bevor ich diese wieder angeschlossen hatte, war alles gut. Später wurden bereits wieder die Seiten blockiert.. Jedoch glaube ich, dass die Probleme erst zurückkamen, nachdem ich Schlaumeier Software von der externen Platte auf den Rechner installiert habe.. D.h. ich habe also grosse Hoffnung, die ca 300GB an Daten, welche mir zum Teil schon sehr wichtig sind, retten zu können.

Nun stimmt es, dass es unwahrscheinlich ist, dass sich lediglich vom anschliessen der Platte wieder was bei mir einnistet?
Anschliessen muss ich das Ding ja ohnehin wieder, damit ich überhaupt scannen kann. ich hoffe doch sehr, dass ich den Schweinehund aufspüren und eliminieren kann, ohne, dass ich meine ganzen Daten verliere. Die sind mir nämlich fast wichtiger als meine Schrottkiste. (ca 5 Jahre alt)

http://gmer.net/ lade dir dort bitte Cachtme und GMER auf den Desktop.

Starte Catchme, nachdem es fertig ist, erscheint ein Log auf deinem Desktop. Den Inhalt kopieren und hier einfügen.

Anschließend GMER starten. Der Reiter Rootkit sollte ausgewählt sein. Starte den Scan und wenn er fertig ist, auf "Copy" drücken und das Ergebnis hier einfügen. Sollte der Log zu lang sein, in 2 Teilen posten oder bei http://www.file-upload.net/ hochladen und link zum Download posten.

Alles klar, hab ich beides gemacht.

Catchme:

catchme 0.2 W2K/XP/Vista - userland rootkit detector by Gmer, 17 October 2006
h**p://www.gmer.net

scanning hidden processes ...

scanning hidden services ...

scanning hidden autostart entries ...

scanning hidden files ...

scan completed successfully
hidden processes: 0
hidden services: 0
hidden files: 0
         

Gmer:

GMER 1.0.14.14536 - h**p://www.gmer.net
Rootkit scan 2009-02-24 20:01:55
Windows 5.1.2600 Service Pack 3


---- System - GMER 1.0.14 ----

SSDT            E1482F70                     ZwConnectPort

---- Devices - GMER 1.0.14 ----

AttachedDevice  \FileSystem\Ntfs \Ntfs       SYMEVENT.SYS (Symantec Event Library/Symantec Corporation)
AttachedDevice  \Driver\Tcpip \Device\Ip     SYMTDI.SYS (Norton Internet Security Filter/Symantec Corporation)
AttachedDevice  \Driver\Tcpip \Device\Tcp    SYMTDI.SYS (Norton Internet Security Filter/Symantec Corporation)
AttachedDevice  \Driver\Tcpip \Device\Udp    SYMTDI.SYS (Norton Internet Security Filter/Symantec Corporation)
AttachedDevice  \Driver\Tcpip \Device\RawIp  SYMTDI.SYS (Norton Internet Security Filter/Symantec Corporation)
AttachedDevice  \FileSystem\Fastfat \Fat     SYMEVENT.SYS (Symantec Event Library/Symantec Corporation)

---- EOF - GMER 1.0.14 ----
         

Ich lass in der Zwischenzeit mal die anderen Proggis laufen, die du mir empfohlen hast.

Gruss, mpc