C:\Stealer.exe

cäptencool · 24.08.2009, 19:38

Hay leute mir ist heute was aufgefallen : ich habe folgene dateien die NICHT von mir kommen : C:\Stealer.exe , C:\Copie de server .. die 2 textdokumente kommen bestimmt von einen prog. auf mein pc : C:\myfile.txt , C:\RecorderSDKLog.txt kennnt das jemand ?? ich habe AntiVir Free , CCleaner und Malwarebytes Anti-Malware .. schon mal THX
mfg. cäptencool

handball10 · 24.08.2009, 20:06

Hallo cäptencool und

lade doch mal die beiden .exe-Dateien hier hoch:
VirusTotal - Kostenloser online Viren- und Malwarescanner

Und poste anschließend die Ergebnisse.

Arbeite bitte anschließend folgende Liste ab Punkt 2 ab:
http://www.trojaner-board.de/69886-a...-beachten.html

Poste bitte alle anfallenden Logfiles.

Gruß
Handball10

cäptencool · 24.08.2009, 20:17

danke für die schnelle antwort also der stealer hat folgenes ergebniss : h**p://www.virustotal.com/de/analisis/ebe186f76f8ce8b3e6938bc3ccae2f8b40da7892978e931e2bf2eca007bfd3ea-1251141798
vom server ist das ergebniss : h**p://www.virustotal.com/de/analisis/5b702d836af37bf43d14007790301638865cdd470501657884c6bcc8bf729ee8-1251141933 .. ich arbeite mich jetzt am punkt 2 durch ...

handball10 · 24.08.2009, 20:25

Die Links funktionieren nicht...

poste das Ergebnis hier rein.
Inklusive aller Angaben (MD5, Sha....)

Gruß
Handball10

cäptencool · 24.08.2009, 20:28

Also Stealer :
Datei Stealer.exe empfangen 2009.08.24 19:12:49 (UTC)
Status: Beendet
Ergebnis: 14/41 (34.15%)
Filter Filter
Drucken der Ergebnisse Drucken der Ergebnisse
Antivirus Version letzte aktualisierung Ergebnis
a-squared 4.5.0.24 2009.08.24 Net-Worm.Win32.Kolab!IK
AhnLab-V3 5.0.0.2 2009.08.24 -
AntiVir 7.9.1.3 2009.08.24 -
Antiy-AVL 2.0.3.7 2009.08.24 Trojan/Win32.Agent.gen
Authentium 5.1.2.4 2009.08.23 -
Avast 4.8.1335.0 2009.08.24 Win32:Trojan-gen {Other}
AVG 8.5.0.406 2009.08.24 Generic14.ZYN
BitDefender 7.2 2009.08.24 -
CAT-QuickHeal 10.00 2009.08.24 TrojanPSW.Dybalom.dx
ClamAV 0.94.1 2009.08.24 -
Comodo 2083 2009.08.24 -
DrWeb 5.0.0.12182 2009.08.24 BackDoor.IRC.Bot.127
eSafe 7.0.17.0 2009.08.24 -
eTrust-Vet 31.6.6697 2009.08.24 -
F-Prot 4.4.4.56 2009.08.23 -
F-Secure 8.0.14470.0 2009.08.24 -
Fortinet 3.120.0.0 2009.08.24 -
GData 19 2009.08.24 Win32:Trojan-gen {Other}
Ikarus T3.1.1.68.0 2009.08.24 Net-Worm.Win32.Kolab
Jiangmin 11.0.800 2009.08.23 Trojan/Refroso.lw
K7AntiVirus 7.10.826 2009.08.24 -
Kaspersky 7.0.0.125 2009.08.24 -
McAfee 5719 2009.08.24 -
McAfee+Artemis 5719 2009.08.24 -
McAfee-GW-Edition 6.8.5 2009.08.24 -
Microsoft 1.4903 2009.08.24 -
NOD32 4364 2009.08.24 Win32/Kolab.DNK
Norman 2009.08.24 W32/Malware.ICUA
nProtect 2009.1.8.0 2009.08.24 -
Panda 10.0.0.14 2009.08.24 -
PCTools 4.4.2.0 2009.08.24 -
Prevx 3.0 2009.08.24 -
Rising 21.43.62.00 2009.08.24 -
Sophos 4.44.0 2009.08.24 -
Sunbelt 3.2.1858.2 2009.08.24 -
Symantec 1.4.4.12 2009.08.24 -
TheHacker 6.3.4.3.386 2009.08.22 -
TrendMicro 8.950.0.1094 2009.08.24 -
VBA32 3.12.10.9 2009.08.24 Trojan.Win32.Refroso.fyk
ViRobot 2009.8.24.1899 2009.08.24 Trojan.Win32.Agent.380928.F
VirusBuster 4.6.5.0 2009.08.24 Trojan.Ceeinject.Gen
weitere Informationen
File size: 50688 bytes
MD5 : fb67f73f76a7f9bea8e5e8779443ef86
SHA1 : b2c1df9ac7021f6f6aa9b5c07b066c760bad5110
SHA256: ebe186f76f8ce8b3e6938bc3ccae2f8b40da7892978e931e2bf2eca007bfd3ea
PEInfo: PE Structure information

( base data )
entrypointaddress.: 0x44CA
timedatestamp.....: 0x4A8AFDF3 (Tue Aug 18 21:16:03 2009)
machinetype.......: 0x14C (Intel I386)

( 4 sections )
name viradd virsiz rawdsiz ntrpy md5
.text 0x1000 0x36AE 0x3800 5.91 37eef84849e6cf7d1d5881ce12c17af9
.rdata 0x5000 0x85A 0xA00 4.62 945c8d509feda2c135d2dd62a4332164
.data 0x6000 0xB40 0x800 5.99 88fdf6d9973f83cdba1e2d8282f829ab
.rsrc 0x7000 0x7770 0x7800 7.48 f2dc4cf81570a0a35592886934572035

( 5 imports )

> kernel32.dll: GetModuleHandleA, GetStartupInfoA, CreateThread, Sleep
> msvcp60.dll: __Tidy@_$basic_string@DU_$char_traits@D@std@@V_$allocator@D@2@@std@@AAEX_N@Z, __C@_1___Nullstr@_$basic_string@DU_$char_traits@D@std@@V_$allocator@D@2@@std@@CAPBDXZ@4DB, _find@_$basic_string@DU_$char_traits@D@std@@V_$allocator@D@2@@std@@QBEIPBDII@Z, _npos@_$basic_string@DU_$char_traits@D@std@@V_$allocator@D@2@@std@@2IB, _substr@_$basic_string@DU_$char_traits@D@std@@V_$allocator@D@2@@std@@QBE_AV12@II@Z, _replace@_$basic_string@DU_$char_traits@D@std@@V_$allocator@D@2@@std@@QAEAAV12@IIABV12@II@Z, __1_$basic_string@DU_$char_traits@D@std@@V_$allocator@D@2@@std@@QAE@XZ, _assign@_$basic_string@DU_$char_traits@D@std@@V_$allocator@D@2@@std@@QAEAAV12@PBDI@Z
> msvcrt.dll: sprintf, _controlfp, __set_app_type, __p__fmode, __p__commode, _adjust_fdiv, __setusermatherr, _initterm, __getmainargs, _acmdln, exit, _XcptFilter, _exit, _EH_prolog, strcat, atoi, strlen, _except_handler3, memcpy, memset, __2@YAPAXI@Z, _stricmp, malloc, getenv, memmove, strcmp, __CxxFrameHandler
> ole32.dll: CoInitialize
> user32.dll: SendMessageA, SetFocus, ShowWindow, MessageBoxA, PostQuitMessage, DestroyWindow, DefWindowProcA, UnregisterClassA, DispatchMessageA, CreateWindowExA, TranslateMessage, GetMessageA, LoadCursorA, RegisterClassExA

( 0 exports )
TrID : File type identification
Win32 Executable Generic (42.3%)
Win32 Dynamic Link Library (generic) (37.6%)
Generic Win/DOS Executable (9.9%)
DOS Executable Generic (9.9%)
Autodesk FLIC Image File (extensions: flc, fli, cel) (0.0%)
ssdeep: 1536:dnpbxGJLb03wvUxzLRWZRrGzdR8nSDyl8gc:PxG5b03hxPRcczgm
PEiD : -
RDS : NSRL Reference Data Set
-

Server :
Datei Copie_de_server.exe empfangen 2009.08.24 19:16:56 (UTC)
Status: Beendet
Ergebnis: 12/41 (29.27%)
Filter Filter
Drucken der Ergebnisse Drucken der Ergebnisse
Antivirus Version letzte aktualisierung Ergebnis
a-squared 4.5.0.24 2009.08.24 Trojan-Downloader.Win32.Pher!IK
AhnLab-V3 5.0.0.2 2009.08.24 -
AntiVir 7.9.1.3 2009.08.24 -
Antiy-AVL 2.0.3.7 2009.08.24 Trojan/Win32.Refroso.gen
Authentium 5.1.2.4 2009.08.23 -
Avast 4.8.1335.0 2009.08.24 Win32:Inject-UX
AVG 8.5.0.406 2009.08.24 Dropper.Generic.AVEN
BitDefender 7.2 2009.08.24 -
CAT-QuickHeal 10.00 2009.08.24 -
ClamAV 0.94.1 2009.08.24 -
Comodo 2083 2009.08.24 -
DrWeb 5.0.0.12182 2009.08.24 BackDoor.Bifrost.8
eSafe 7.0.17.0 2009.08.24 -
eTrust-Vet 31.6.6697 2009.08.24 -
F-Prot 4.4.4.56 2009.08.23 -
F-Secure 8.0.14470.0 2009.08.24 -
Fortinet 3.120.0.0 2009.08.24 -
GData 19 2009.08.24 -
Ikarus T3.1.1.68.0 2009.08.24 Trojan-Downloader.Win32.Pher
Jiangmin 11.0.800 2009.08.23 Trojan/Refroso.lv
K7AntiVirus 7.10.826 2009.08.24 -
Kaspersky 7.0.0.125 2009.08.24 -
McAfee 5719 2009.08.24 -
McAfee+Artemis 5719 2009.08.24 -
McAfee-GW-Edition 6.8.5 2009.08.24 Heuristic.LooksLike.Trojan.Dldr.FakeVimes.C
Microsoft 1.4903 2009.08.24 VirTool:Win32/CeeInject.gen!AJ
NOD32 4364 2009.08.24 a variant of Win32/Injector.XH
Norman 2009.08.24 -
nProtect 2009.1.8.0 2009.08.24 -
Panda 10.0.0.14 2009.08.24 -
PCTools 4.4.2.0 2009.08.24 -
Prevx 3.0 2009.08.24 -
Rising 21.43.62.00 2009.08.24 -
Sophos 4.44.0 2009.08.24 -
Sunbelt 3.2.1858.2 2009.08.24 -
Symantec 1.4.4.12 2009.08.24 -
TheHacker 6.3.4.3.386 2009.08.22 -
TrendMicro 8.950.0.1094 2009.08.24 -
VBA32 3.12.10.9 2009.08.24 Trojan-Downloader.Win32.Agent.cmsb
ViRobot 2009.8.24.1899 2009.08.24 -
VirusBuster 4.6.5.0 2009.08.24 Trojan.Ceeinject.Gen.3
weitere Informationen
File size: 196096 bytes
MD5 : 314dac89a26fe8041b007dd44ef938aa
SHA1 : 67d545ccb2a3a2db4d5cbfc148574f9bfec722b7
SHA256: 5b702d836af37bf43d14007790301638865cdd470501657884c6bcc8bf729ee8
PEInfo: PE Structure information

( base data )
entrypointaddress.: 0x4A84
timedatestamp.....: 0x4A8AFE36 (Tue Aug 18 21:17:10 2009)
machinetype.......: 0x14C (Intel I386)

( 4 sections )
name viradd virsiz rawdsiz ntrpy md5
.text 0x1000 0x3C7F 0x3E00 5.74 a73147c0de5a8bef67f0871423d543f5
.rdata 0x5000 0x950 0xA00 4.97 7e63d08dfa03a5a7d90e2fdcafc451aa
.data 0x6000 0xB40 0x800 5.92 7e6a4b28e8dd8f1d188b4ef78f3c8ac3
.rsrc 0x7000 0x2A970 0x2AA00 7.96 95af691038235f0bc46b57b3868a1fa6

( 5 imports )

> kernel32.dll: GetModuleHandleA, GetStartupInfoA, CreateThread, Sleep
> msvcp60.dll: __0_$basic_string@DU_$char_traits@D@std@@V_$allocator@D@2@@std@@QAE@ABV_$allocator@D@1@@Z, _find@_$basic_string@DU_$char_traits@D@std@@V_$allocator@D@2@@std@@QBEIABV12@I@Z, __0_$basic_string@DU_$char_traits@D@std@@V_$allocator@D@2@@std@@QAE@PBDABV_$allocator@D@1@@Z, _length@_$basic_string@DU_$char_traits@D@std@@V_$allocator@D@2@@std@@QBEIXZ, _substr@_$basic_string@DU_$char_traits@D@std@@V_$allocator@D@2@@std@@QBE_AV12@II@Z, _c_str@_$basic_string@DU_$char_traits@D@std@@V_$allocator@D@2@@std@@QBEPBDXZ, __4_$basic_string@DU_$char_traits@D@std@@V_$allocator@D@2@@std@@QAEAAV01@PBD@Z, __1_$basic_string@DU_$char_traits@D@std@@V_$allocator@D@2@@std@@QAE@XZ, _size@_$basic_string@DU_$char_traits@D@std@@V_$allocator@D@2@@std@@QBEIXZ, _replace@_$basic_string@DU_$char_traits@D@std@@V_$allocator@D@2@@std@@QAEAAV12@IIABV12@@Z, _npos@_$basic_string@DU_$char_traits@D@std@@V_$allocator@D@2@@std@@2IB
> msvcrt.dll: __2@YAPAXI@Z, _controlfp, __set_app_type, __p__fmode, __p__commode, _adjust_fdiv, __setusermatherr, _initterm, __getmainargs, _acmdln, exit, _XcptFilter, _exit, __CxxFrameHandler, strcat, atoi, strlen, _except_handler3, memcpy, memset, _stricmp, sprintf, malloc, getenv, memmove, strcmp
> ole32.dll: CoInitialize
> user32.dll: SendMessageA, ShowWindow, SetFocus, MessageBoxA, DefWindowProcA, PostQuitMessage, DestroyWindow, UnregisterClassA, DispatchMessageA, TranslateMessage, GetMessageA, CreateWindowExA, LoadCursorA, RegisterClassExA

( 0 exports )
TrID : File type identification
Win32 Executable Generic (42.3%)
Win32 Dynamic Link Library (generic) (37.6%)
Generic Win/DOS Executable (9.9%)
DOS Executable Generic (9.9%)
Autodesk FLIC Image File (extensions: flc, fli, cel) (0.0%)
ssdeep: 3072:jl2B4bFf0aVNdpzl3eRmEQW5ugrnOYROyeWImW/WCHHUIinfIHPK0KkVgunuI9Sy:B2B4bFfbVNdp50ms5ukT2UWuU0IiboV9
PEiD : -
RDS : NSRL Reference Data Set
-

cäptencool · 24.08.2009, 20:35

Malwarebytes' Anti-Malware 1.40
Datenbank Version: 2610
Windows 5.1.2600 Service Pack 3

24.08.2009 21:34:55
mbam-log-2009-08-24 (21-34-55).txt

Scan-Methode: Vollständiger Scan (C:\|D:\|)
Durchsuchte Objekte: 155916
Laufzeit: 14 minute(s), 26 second(s)

Infizierte Speicherprozesse: 1
Infizierte Speichermodule: 0
Infizierte Registrierungsschlüssel: 2
Infizierte Registrierungswerte: 1
Infizierte Dateiobjekte der Registrierung: 0
Infizierte Verzeichnisse: 0
Infizierte Dateien: 1

Infizierte Speicherprozesse:
C:\Dokumente und Einstellungen\Dustin\Anwendungsdaten\Microsoft\winlog.exe (Trojan.Agent) -> Unloaded process successfully.

Infizierte Speichermodule:
(Keine bösartigen Objekte gefunden)

Infizierte Registrierungsschlüssel:
HKEY_CURRENT_USER\SOFTWARE\Bifrost (Backdoor.Bifrose) -> Quarantined and deleted successfully.
HKEY_LOCAL_MACHINE\SOFTWARE\Bifrost (Backdoor.Bifrose) -> Quarantined and deleted successfully.

Infizierte Registrierungswerte:
HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\winlog.exe (Trojan.Agent) -> Quarantined and deleted successfully.

Infizierte Dateiobjekte der Registrierung:
(Keine bösartigen Objekte gefunden)

Infizierte Verzeichnisse:
(Keine bösartigen Objekte gefunden)

Infizierte Dateien:
C:\Dokumente und Einstellungen\Dustin\Anwendungsdaten\Microsoft\winlog.exe (Trojan.Agent) -> Quarantined and deleted successfully.

handball10 · 24.08.2009, 20:35

hi,

die Ergebnisse gehen im Endeffekt auf ein Neuaufsetzen aus...

Code:

ATTFilter

DrWeb 5.0.0.12182 2009.08.24 BackDoor.IRC.Bot.127
DrWeb 5.0.0.12182 2009.08.24 BackDoor.Bifrost.8

Lade die beiden Dateien bitte hier hoch:
http://www.trojaner-board.de/54791-a...ner-board.html

Der sicherste Weg ist Neuaufsetzen:
http://www.trojaner-board.de/51262-a...sicherung.html

Ändere anschließend ALLE dein Passwörter!

Zum Thema
→ dein "Freund" ist das hier: Bifrost (trojan horse) - Wikipedia, the free encyclopedia

Viel Erfolg.

Gruß
Handball10

BataAlexander · 24.08.2009, 20:35

Setze den Rechner neu auf, ändere alle deine Passwörter und Pass auf,
was du dir im netz so runterlädst.
Bifrost "fliegt" nicht auf den Rechner wie Heike so schon sagt.

Bata

cäptencool · 24.08.2009, 20:42

aba ich lad mir immer alles von Chip oder so .... und von keinen seiten wo ich mir nicht sicher bin .. // hat den jetzt irgendein sack meine pws ??

BataAlexander · 24.08.2009, 20:47

Zitat:

Zitat von cäptencool

hat den jetzt irgendein sack meine pws ??

Aber heißt das

und ja und deine Bilder, deine word/Excel/sonstigen Dokumente und wenn er will Mitschnitte deines Mikrophones.
Aber das wollen die eher selten.
Über das Einfallstor musst du dir Gedanken machen und vorsorge treffen.
Emails/USB sticks oder das internet halt.

Bata

cäptencool · 24.08.2009, 20:53

jah sry ich nimm meistens die kürzeste form .. na tolle scheiße eyy .. naja werd dann morgen damit anfangen DANKE an euch ...schon wider nur abend mit schlechten nachrichten

cäptencool · 25.08.2009, 17:56

erstmal danke für eure Hilfe !! ich habe mein System neu aufgesetzt ... und habe mal nachgesehen ich habe keine stealer exe mehr

aber ist die exe jetzt wircklich weg oder muss ich noch irgendwas tun ?

handball10 · 25.08.2009, 18:05

Wenn du nacch der Anleitung neuaufgesetzt hast, dann ist dein Bifrost weg.

Kannst ja nochmal zur sicherheit Malwarebytes AntiMalware herunterladen und ausführen...

Gruß
Handball10

Blackdragon · 25.08.2009, 18:06

Das wichtigste ist nachdem Formatieren das Absichern des Systems ,damit das nicht nocheinmal passiert.
Denke auch daran,die Brain.exe in System Ordner abzulegen. Ist das wichtigste überhaupt^^.
Naja,man darf ja nicht mit Steinen werfen, wenn man im Glashaus sitzt

MFG,
Black

BataAlexander · 25.08.2009, 19:21

Für mich wäre das wichtigste, die Passwörter zu ändern...

24.08.2009, 20:25	#4
handball10 /// Helfer-Team	$C:\Stealer.exe - Standard$ C:\Stealer.exe Die Links funktionieren nicht... poste das Ergebnis hier rein. Inklusive aller Angaben (MD5, Sha....) Gruß Handball10 __________________ Lustige Rechtschreibfehler des Trojanischen Pferdes "Trojan.Win32.FraudPack.ajn" Lustige Rechtschreibfehler von "XP Deluxe Protector" - Neu !!

25.08.2009, 18:05	#13
handball10 /// Helfer-Team	$C:\Stealer.exe - Standard$ C:\Stealer.exe Wenn du nacch der Anleitung neuaufgesetzt hast, dann ist dein Bifrost weg. Kannst ja nochmal zur sicherheit Malwarebytes AntiMalware herunterladen und ausführen... Gruß Handball10 __________________ Lustige Rechtschreibfehler des Trojanischen Pferdes "Trojan.Win32.FraudPack.ajn" Lustige Rechtschreibfehler von "XP Deluxe Protector" - Neu !!

25.08.2009, 19:21	#15
BataAlexander > MalwareDB	$C:\Stealer.exe - Standard$ C:\Stealer.exe Für mich wäre das wichtigste, die Passwörter zu ändern... __________________ If every computer is running a diverse ecosystem, crackers will have no choice but to resort to small-scale, targetted attacks, and the days of mass-market malware will be over[...]. Stuart Udall

C:\Stealer.exe

Plagegeister aller Art und deren Bekämpfung: C:\Stealer.exe

C:\Stealer.exe

C:\Stealer.exe

C:\Stealer.exe

C:\Stealer.exe

C:\Stealer.exe

C:\Stealer.exe

C:\Stealer.exe

C:\Stealer.exe

C:\Stealer.exe

C:\Stealer.exe

C:\Stealer.exe

C:\Stealer.exe

C:\Stealer.exe

C:\Stealer.exe

C:\Stealer.exe

Ähnliche Themen: C:\Stealer.exe

24.08.2009, 19:38	#1
cäptencool	$C:\Stealer.exe - Standard$ C:\Stealer.exe Hay leute mir ist heute was aufgefallen : ich habe folgene dateien die NICHT von mir kommen : C:\Stealer.exe , C:\Copie de server .. die 2 textdokumente kommen bestimmt von einen prog. auf mein pc : C:\myfile.txt , C:\RecorderSDKLog.txt kennnt das jemand ?? ich habe AntiVir Free , CCleaner und Malwarebytes Anti-Malware .. schon mal THX mfg. cäptencool

24.08.2009, 20:42	#9
cäptencool	$C:\Stealer.exe - Standard$ C:\Stealer.exe aba ich lad mir immer alles von Chip oder so .... und von keinen seiten wo ich mir nicht sicher bin .. // hat den jetzt irgendein sack meine pws ??

24.08.2009, 20:53	#11
cäptencool	$C:\Stealer.exe - Standard$ C:\Stealer.exe jah sry ich nimm meistens die kürzeste form .. na tolle scheiße eyy .. naja werd dann morgen damit anfangen DANKE an euch ...schon wider nur abend mit schlechten nachrichten

25.08.2009, 17:56	#12
cäptencool	$C:\Stealer.exe - Standard$ C:\Stealer.exe erstmal danke für eure Hilfe !! ich habe mein System neu aufgesetzt ... und habe mal nachgesehen ich habe keine stealer exe mehr aber ist die exe jetzt wircklich weg oder muss ich noch irgendwas tun ?

25.08.2009, 18:06	#14
Blackdragon	$C:\Stealer.exe - Beitrag$ C:\Stealer.exe Das wichtigste ist nachdem Formatieren das Absichern des Systems ,damit das nicht nocheinmal passiert. Denke auch daran,die Brain.exe in System Ordner abzulegen. Ist das wichtigste überhaupt^^. Naja,man darf ja nicht mit Steinen werfen, wenn man im Glashaus sitzt MFG, Black