Hi zusammen ein acc wurde bei mir gehackt. Ich hab bereits verschiedene Spyware Programme über den Rechner laufen lassen. Spybots Search& Destroy Ad Aware Trojaner Remover Antivir. Die Programme konnten alle nichts finden. Ich habe zudem jetzt Hijack genutz. Und unter anderem die Online auswertung verwendet die es ja im Netz gibt. Da ich allerdings Windows7 Verwende bin ich mir nicht sicher ob er alles richtig erkannt hat. Weil er sich beschwerte das einige Prozesse nicht im System 32 laufen. Daher hier mein logfile

Logfile of Trend Micro HijackThis v2.0.2
Scan saved at 16:04:12, on 02.11.2009
Platform: Unknown Windows (WinNT 6.01.3504)
MSIE: Internet Explorer v8.00 (8.00.7600.16385)
Boot mode: Normal

Running processes:
C:\Users\Stephan Simon\AppData\Roaming\Dropbox\bin\Dropbox.exe
C:\Program Files (x86)\Microsoft Office\Office12\ONENOTEM.EXE
C:\Program Files (x86)\Avira\AntiVir Desktop\avgnt.exe
C:\Program Files (x86)\iTunes\iTunes.exe
C:\Program Files (x86)\Spybot - Search & Destroy\TeaTimer.exe
C:\Program Files (x86)\Lavasoft\Ad-Aware\AAWTray.exe
C:\Program Files (x86)\Mozilla Firefox\firefox.exe
C:\Users\Stephan Simon\Downloads\HiJackThis.exe

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = http://go.microsoft.com/fwlink/?LinkId=54896
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://go.microsoft.com/fwlink/?LinkId=69157
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://go.microsoft.com/fwlink/?LinkId=69157
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://go.microsoft.com/fwlink/?LinkId=54896
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = http://go.microsoft.com/fwlink/?LinkId=54896
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = http://go.microsoft.com/fwlink/?LinkId=69157
R0 - HKLM\Software\Microsoft\Internet Explorer\Search,SearchAssistant =
R0 - HKLM\Software\Microsoft\Internet Explorer\Search,CustomizeSearch =
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Local Page = C:\Windows\SysWOW64\blank.htm
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName =
F2 - REG:system.ini: UserInit=userinit.exe
O2 - BHO: AskBar BHO - {201f27d4-3704-41d6-89c1-aa35e39143ed} - C:\Program Files (x86)\AskBarDis\bar\bin\askBar.dll
O2 - BHO: Spybot-S&D IE Protection - {53707962-6F74-2D53-2644-206D7942484F} - C:\Program Files (x86)\Spybot - Search & Destroy\SDHelper.dll
O2 - BHO: Java(tm) Plug-In 2 SSV Helper - {DBC80044-A445-435b-BC74-9C25C1C588A9} - C:\Program Files (x86)\Java\jre6\bin\jp2ssv.dll
O3 - Toolbar: Foxit Toolbar - {3041d03e-fd4b-44e0-b742-2d9b88305f98} - C:\Program Files (x86)\AskBarDis\bar\bin\askBar.dll
O4 - HKLM\..\Run: [avgnt] "C:\Program Files (x86)\Avira\AntiVir Desktop\avgnt.exe" /min
O4 - HKLM\..\Run: [StartCCC] "C:\Program Files (x86)\ATI Technologies\ATI.ACE\Core-Static\CLIStart.exe" MSRun
O4 - HKLM\..\Run: [TrojanScanner] C:\Program Files (x86)\Trojan Remover\Trjscan.exe /boot
O4 - HKCU\..\Run: [Sidebar] C:\Program Files\Windows Sidebar\sidebar.exe /autoRun
O4 - HKCU\..\Run: [SpybotSD TeaTimer] C:\Program Files (x86)\Spybot - Search & Destroy\TeaTimer.exe
O4 - Startup: Dropbox.lnk = Stephan Simon\AppData\Roaming\Dropbox\bin\Dropbox.exe
O4 - Startup: OneNote 2007 Bildschirmausschnitt- und Startprogramm.lnk = C:\Program Files (x86)\Microsoft Office\Office12\ONENOTEM.EXE
O9 - Extra button: An OneNote senden - {2670000A-7350-4f3c-8081-5663EE0C6C49} - C:\PROGRA~2\MICROS~1\Office12\ONBttnIE.dll
O9 - Extra 'Tools' menuitem: An OneNote s&enden - {2670000A-7350-4f3c-8081-5663EE0C6C49} - C:\PROGRA~2\MICROS~1\Office12\ONBttnIE.dll
O9 - Extra button: Research - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - C:\PROGRA~2\MICROS~1\Office12\REFIEBAR.DLL
O9 - Extra button: (no name) - {DFB852A3-47F8-48C4-A200-58CAB36FD2A2} - C:\Program Files (x86)\Spybot - Search & Destroy\SDHelper.dll
O9 - Extra 'Tools' menuitem: Spybot - Search && Destroy Configuration - {DFB852A3-47F8-48C4-A200-58CAB36FD2A2} - C:\Program Files (x86)\Spybot - Search & Destroy\SDHelper.dll
O13 - Gopher Prefix:
O18 - Protocol: skype4com - {FFC8B962-9B40-4DFF-9458-1830C7DD7F5D} - C:\PROGRA~2\COMMON~1\Skype\SKYPE4~1.DLL
O23 - Service: @%SystemRoot%\system32\Alg.exe,-112 (ALG) - Unknown owner - C:\Windows\System32\alg.exe (file missing)
O23 - Service: AMD External Events Utility - Unknown owner - C:\Windows\system32\atiesrxx.exe (file missing)
O23 - Service: Avira AntiVir Planer (AntiVirSchedulerService) - Avira GmbH - C:\Program Files (x86)\Avira\AntiVir Desktop\sched.exe
O23 - Service: Avira AntiVir Guard (AntiVirService) - Avira GmbH - C:\Program Files (x86)\Avira\AntiVir Desktop\avguard.exe
O23 - Service: Apple Mobile Device - Apple Inc. - C:\Program Files (x86)\Common Files\Apple\Mobile Device Support\bin\AppleMobileDeviceService.exe
O23 - Service: Bonjour-Dienst (Bonjour Service) - Apple Inc. - C:\Program Files (x86)\Bonjour\mDNSResponder.exe
O23 - Service: @%SystemRoot%\system32\efssvc.dll,-100 (EFS) - Unknown owner - C:\Windows\System32\lsass.exe (file missing)
O23 - Service: @%systemroot%\system32\fxsresm.dll,-118 (Fax) - Unknown owner - C:\Windows\system32\fxssvc.exe (file missing)
O23 - Service: iPod-Dienst (iPod Service) - Apple Inc. - C:\Program Files\iPod\bin\iPodService.exe
O23 - Service: @keyiso.dll,-100 (KeyIso) - Unknown owner - C:\Windows\system32\lsass.exe (file missing)
O23 - Service: Lavasoft Ad-Aware Service - Lavasoft - C:\Program Files (x86)\Lavasoft\Ad-Aware\AAWService.exe
O23 - Service: @comres.dll,-2797 (MSDTC) - Unknown owner - C:\Windows\System32\msdtc.exe (file missing)
O23 - Service: @%SystemRoot%\System32\netlogon.dll,-102 (Netlogon) - Unknown owner - C:\Windows\system32\lsass.exe (file missing)
O23 - Service: @%systemroot%\system32\psbase.dll,-300 (ProtectedStorage) - Unknown owner - C:\Windows\system32\lsass.exe (file missing)
O23 - Service: @%systemroot%\system32\Locator.exe,-2 (RpcLocator) - Unknown owner - C:\Windows\system32\locator.exe (file missing)
O23 - Service: @%SystemRoot%\system32\samsrv.dll,-1 (SamSs) - Unknown owner - C:\Windows\system32\lsass.exe (file missing)
O23 - Service: SBSD Security Center Service (SBSDWSCService) - Safer Networking Ltd. - C:\Program Files (x86)\Spybot - Search & Destroy\SDWinSec.exe
O23 - Service: @%SystemRoot%\system32\snmptrap.exe,-3 (SNMPTRAP) - Unknown owner - C:\Windows\System32\snmptrap.exe (file missing)
O23 - Service: @%systemroot%\system32\spoolsv.exe,-1 (Spooler) - Unknown owner - C:\Windows\System32\spoolsv.exe (file missing)
O23 - Service: @%SystemRoot%\system32\sppsvc.exe,-101 (sppsvc) - Unknown owner - C:\Windows\system32\sppsvc.exe (file missing)
O23 - Service: @%SystemRoot%\system32\ui0detect.exe,-101 (UI0Detect) - Unknown owner - C:\Windows\system32\UI0Detect.exe (file missing)
O23 - Service: @%SystemRoot%\system32\vaultsvc.dll,-1003 (VaultSvc) - Unknown owner - C:\Windows\system32\lsass.exe (file missing)
O23 - Service: @%SystemRoot%\system32\vds.exe,-100 (vds) - Unknown owner - C:\Windows\System32\vds.exe (file missing)
O23 - Service: @%systemroot%\system32\vssvc.exe,-102 (VSS) - Unknown owner - C:\Windows\system32\vssvc.exe (file missing)
O23 - Service: @%systemroot%\system32\wbengine.exe,-104 (wbengine) - Unknown owner - C:\Windows\system32\wbengine.exe (file missing)
O23 - Service: @%Systemroot%\system32\wbem\wmiapsrv.exe,-110 (wmiApSrv) - Unknown owner - C:\Windows\system32\wbem\WmiApSrv.exe (file missing)
O23 - Service: @%PROGRAMFILES%\Windows Media Player\wmpnetwk.exe,-101 (WMPNetworkSvc) - Unknown owner - C:\Program Files (x86)\Windows Media Player\wmpnetwk.exe (file missing)

--
End of file - 7211 bytes

Ich würde ungern meinen Rechner platt machen vorallem wo ich momentan nichts finde. Die Menge an zu sichernden Daten wäre ziemlich groß : / und ob das System dann sauber ist weiß ich dann leider auch nicht mit 100% Sicherheit.

Hallo Eti



Ich brauche eine Übersicht von deinem System. Lade dir den CCleaner herunter und führe das Programm nach Anleitung aus. Ich hätte auch gerne eine Liste der installierten Programme. Gehe dazu im CCleaner auf Extras und klicke dort auf Als Textdatei speichern.

Systemscan mit OTL

Lade Dir bitte OTL von Oldtimer herunter und speichere es auf Deinem Desktop

* Doppelklick auf die OTL.exe
* Vista User: Rechtsklick auf die OTL.exe und "als Administrator ausführen" wählen
* Oben findest Du ein Kästchen mit Output. Wähle bitte Minimal Output
* Unter Extra Registry, wähle bitte Use SafeList
* Klicke nun auf Run Scan links oben
* Wenn der Scan beendet wurde werden 2 Logfiles erstellt
* Poste die Logfiles hier in den Thread.

http://filepony.de/download-otl/

Danach bitte einen Komplettscan mit http://www.trojaner-board.de/51187-a...i-malware.html. Alle logs bitte als Anhang an deine Antwort. Manche logs sind recht groß um sie "am Stück" zu posten und ich habe den Vorteil daß ich sie mir direkt im Editor ansehen kann.

Gruß

Acid

So das letzte Programm läuft noch aber häng ich gleich nach. Hab meinen User Namen mal ersetzt der muss ja nicht drin stehen. Ansonsten alles so gemacht wie du gesagt hast. Kollege meinte ich soll Fragen ob man damit auch Keyloger findet.

Hier noch Datei OTL3 die war leider viel zu groß.

Und das Log noch

Malwarebytes' Anti-Malware 1.41
Datenbank Version: 3089
Windows 6.1.7600

02.11.2009 19:55:28
mbam-log-2009-11-02 (19-55-28).txt

Scan-Methode: Vollständiger Scan (C:\|D:\|)
Durchsuchte Objekte: 216595
Laufzeit: 25 minute(s), 55 second(s)

Infizierte Speicherprozesse: 0
Infizierte Speichermodule: 0
Infizierte Registrierungsschlüssel: 0
Infizierte Registrierungswerte: 0
Infizierte Dateiobjekte der Registrierung: 1
Infizierte Verzeichnisse: 0
Infizierte Dateien: 0

Infizierte Speicherprozesse:
(Keine bösartigen Objekte gefunden)

Infizierte Speichermodule:
(Keine bösartigen Objekte gefunden)

Infizierte Registrierungsschlüssel:
(Keine bösartigen Objekte gefunden)

Infizierte Registrierungswerte:
(Keine bösartigen Objekte gefunden)

Infizierte Dateiobjekte der Registrierung:
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\Explorer\NoActiveDesktopChanges (Hijack.DisplayProperties) -> Bad: (1) Good: (0) -> Quarantined and deleted successfully.

Infizierte Verzeichnisse:
(Keine bösartigen Objekte gefunden)

Infizierte Dateien:
(Keine bösartigen Objekte gefunden)

Hallo Eti

Das log von MBAM fehlt noch.

So das letzte Programm läuft noch aber häng ich gleich nach. Hab meinen User Namen mal ersetzt der muss ja nicht drin stehen. Ansonsten alles so gemacht wie du gesagt hast. Kollege meinte ich soll Fragen ob man damit auch Keyloger findet.

Username muss nicht sein. Und wenn du einen keylogger hast gehe ich mal davon aus daß wir ihn finden werden. Jetzt geh ich erstmal die logs durch.

Gruß

Acid

Hab ihn nochmal als Anhang hier reingehängt. Ich wollte mich schonmal bedanken das du dir die ganze Arbeit machst

Hallo Eti

Bitte nicht deine Beiträge editieren sondern immer neu posten, sonst könnte ich noch was übersehen.

Als nächstes GMER

Bevor mit GMER gescant werden kann müssen erst einige Dinge erledigt werden:

Alle Scanner gegen Viren, Spyware und sonstiges müssen deaktiviert werden
Alle Netzwerk- und Internetverbindungen trennen (auch WLAN)
Beim Scan nichts am Rechner machen
Nach dem Scan den Rechner neustarten

Der GMER Scan:

* GMER auf den Desktop herunter laden.
* Gmer ist geeignet für => NT/W2K/XP/VISTA.
* Alle geöffneten Programme schließen (auch den Browser) Hintergrundprogramme nach Möglichkeit beenden
* Gmer.exe starten
* Vista-User müssen das Programm als Administrator starten
* Den Scan mit "Scan" starten. Nichts am Rechner machen während der Scan läuft.
* Wenn der Scan fertig ist auf "Copy" klicken um das Log in die Zwischenablage zu kopieren. Mit "Ok" wird GMER beendet.
* Das Log entweder direkt als Antwort posten oder als Textdatei auf den Desktop speichern falls erst der Neustart durchgeführt wird.

Falls sich ein Fenster mit folgender Warnung öffnet:
WARNING !!!
GMER has found system modification, which might have been caused by ROOTKIT activity.
Do you want to fully scan your system ?
Unbedingt auf "No" klicken.

Alle Scanner unbedingt einschalten bevor eine Internetverbindung hergestellt wird!

Gruß

Acid

GMER verträgt sich wohl nicht mit Windows 7, gibt die Meldungen vorm Scan aus.

"C:\Windows\system32\config\sytem: DS System kann die angegebene Datei nicht finden"

Trotzdem hier das log file

GMER 1.0.15.15163 - http://www.gmer.net
Rootkit scan 2009-11-02 20:28:50
Windows 6.1.7600
Running: vm8fcje4.exe


---- Registry - GMER 1.0.15 ----

Reg HKCU\Software\Microsoft\Windows\CurrentVersion\Explorer\StartPage\NewShortcuts@C:\Users\Stephan Simon\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\SUPER \xa9 Version 2009.bld.36 (June 10, 2009)\SUPER \xa9.lnk 1
Reg HKCU\Software\Microsoft\Windows\CurrentVersion\Explorer\StartPage\NewShortcuts@C:\ProgramData\Microsoft\Windows\Start Menu\Programs\SUPER \xa9 Version 2009.bld.36 (June 10, 2009)\SUPER \xa9.lnk 1

---- EOF - GMER 1.0.15 ----

Hab auch als Admin ausführen verwendet

Hallo Eti

Lass uns ein anderes Tool probieren, SysProt.

Rootkitsuche mit SysProt

• Lade dir SysProt auf den Desktop und starte das Tool
• Gehe dort auf den Reiter "Log"
• Setze nun einen Haken bei:
  • Kernel Modules
  • Kernel Hooks
  • Hidden Files
  • Und unten bei "Hidden Objects Only"
• Drücke nun auf "Create Log"
• Es erscheint nach einem kurzen Scan die ein Dialogfenster. Wähle dort "Scan All Drives"
• Wenn der Scan abgeschlossen ist, beende SysProt.
• Poste den gesamten Inhalt der "SysProtLog.txt", die auf dem Desktop zu finden ist.

Gruß

Acid

Ich hab es mal ausgeführt, er meinte aber das er als mit Admin rechten laufen muss die ich ihm aber gegeben habe. Von daher weiß ich nicht ob die Ergebniss Stimmen er war auch direkt fertig nachdem ich start angeklickt hatte : /

SysProt AntiRootkit v1.0.1.0
by swatkat

******************************************************************************************
******************************************************************************************
******************************************************************************************
******************************************************************************************
No Hidden Kernel Modules found

******************************************************************************************
******************************************************************************************
No Kernel Hooks found

******************************************************************************************
******************************************************************************************
No hidden files/folders found

Hast du SysProt per rechtsklick und dann "Als Administrator...." gestartet? Falls nicht, mach das noch mal. Nur zur Kontrolle.

Gruß

Acid

Ja hab ich er meint dazu nur service.Sysprot needs to be run with Admin privileges.

Sehr komisch. Ich nutze auch Windows 7 und bei mir läuft das Programm ohne Probleme.

Probieren wir was anderes.

Lade dir Lop S&D herunter.

Führe Lop S&D.exe per Doppelklick aus.
Wähle die Sprache deiner Wahl und anschließend die Option 1 (Suche)
Warte bis der Scanbericht erstellt wird (Du findest ihn unter C:\lopR.txt, sollte der Bericht nicht erscheinen)

Gruß

Acid

--------------------\\ Lop S&D 4.2.5-0 XP/Vista

Microsoft Windows 7 Professional ( v6.1.7600 )
x64-based PC ( Multiprocessor Free : Intel(R) Core(TM)2 CPU 6600 @ 2.40GHz )
BIOS : Default System BIOS
USER : User1 ( Administrator )
BOOT : Normal boot
C:\ (Local Disk) - NTFS - Total:232 Go (Free:181 Go)
D:\ (Local Disk) - NTFS - Total:465 Go (Free:99 Go)
E:\ (CD or DVD)
G:\ (Local Disk) - FAT32 - Total:232 Go (Free:77 Go)

"C:\Lop SD" ( MAJ : 19-12-2008|23:40 )
Option : [1] ( 03.11.2009|16:48 )

[ UAC => 1 ]

--------------------\\ Ordner Verzeichnis unter Local

[02.11.2009|22:12] C:\Users\User1~1\AppData\Local\Anwendungsdaten
[02.11.2009|22:34] C:\Users\User1~1\AppData\Local\Apple
[03.11.2009|00:16] C:\Users\User1~1\AppData\Local\Apple Computer
[02.11.2009|22:33] C:\Users\User1~1\AppData\Local\ATI
[03.11.2009|10:28] C:\Users\User1~1\AppData\Local\Blizzard Entertainment
[03.11.2009|12:56] C:\Users\User1~1\AppData\Local\GDIPFONTCACHEV1.DAT
[02.11.2009|22:18] C:\Users\User1~1\AppData\Local\IconCache.db
[03.11.2009|13:07] C:\Users\User1~1\AppData\Local\Microsoft
[03.11.2009|12:38] C:\Users\User1~1\AppData\Local\Microsoft Help
[02.11.2009|22:16] C:\Users\User1~1\AppData\Local\Mozilla
[03.11.2009|16:45] C:\Users\User1~1\AppData\Local\Temp
[02.11.2009|22:12] C:\Users\User1~1\AppData\Local\Temporary Internet Files
[02.11.2009|22:50] C:\Users\User1~1\AppData\Local\Thunderbird
[02.11.2009|22:12] C:\Users\User1~1\AppData\Local\Verlauf
[02.11.2009|22:12] C:\Users\User1~1\AppData\Local\VirtualStore
[2|Datei(en),] C:\Users\User1~1\AppData\Local\Bytes
[15|Verzeichnis(se),] C:\Users\User1~1\AppData\Local\Bytes frei

--------------------\\ Geplante Aufgaben unter C:\Windows\Tasks

[02.11.2009 22:24][--ah-----] C:\Windows\tasks\SA.DAT
[14.07.2009 06:08][--a------] C:\Windows\tasks\SCHEDLGU.TXT

--------------------\\ Ordner Verzeichnis unter C:\ProgramData

[02.11.2009|22:35] C:\ProgramData\{0DD0EEEE-2A7C-411C-9243-1AE62F445FC3}
[02.11.2009|22:11] C:\ProgramData\Anwendungsdaten
[02.11.2009|22:34] C:\ProgramData\Apple
[02.11.2009|22:35] C:\ProgramData\Apple Computer
[14.07.2009|06:08] C:\ProgramData\Application Data
[02.11.2009|22:33] C:\ProgramData\ATI
[02.11.2009|22:43] C:\ProgramData\Avira
[02.11.2009|23:03] C:\ProgramData\Blizzard
[03.11.2009|09:59] C:\ProgramData\Blizzard Entertainment
[14.07.2009|06:08] C:\ProgramData\Desktop
[14.07.2009|06:08] C:\ProgramData\Documents
[02.11.2009|22:11] C:\ProgramData\Dokumente
[02.11.2009|22:11] C:\ProgramData\Favoriten
[14.07.2009|06:08] C:\ProgramData\Favorites
[03.11.2009|12:56] C:\ProgramData\Microsoft
[03.11.2009|13:16] C:\ProgramData\Microsoft Help
[02.11.2009|22:51] C:\ProgramData\NOS
[02.11.2009|22:44] C:\ProgramData\Spybot - Search & Destroy
[14.07.2009|06:08] C:\ProgramData\Start Menu
[02.11.2009|22:11] C:\ProgramData\Startmenü
[14.07.2009|06:08] C:\ProgramData\Templates
[02.11.2009|22:11] C:\ProgramData\Vorlagen
[0|Datei(en),] C:\ProgramData\Bytes
[24|Verzeichnis(se),] C:\ProgramData\Bytes frei

Hallo Eti

Probiere es nocheinmal mit SysProt. Die .exe muss sich direkt auf dem Desktop befinden, also nicht in einem Verzeichnis. Dann halt per rechtsklick "Als Admin...." starten.

Gruß

Acid