|
aus web.de fremail wurden selbständig mails versandt hallo, am letzten montag erhielt ich in outlook eine unzustellbarkeitsnotiz einer von meinem freemail account versandten mail. ich hatte aber nichts mit outlook (outlook 2007 12.0.xxx) versendet. daraufhin meldete ich mich direkt bei freemail an und stellte fest, daß im ausgangskorb eine spam-mail an empfänger aus ehemals versendeten mails (nicht aus dem adressbuch) erstellt worden war. angelehnt an den threat "http://www.trojaner-board.de/104595-...am-mails.html" und dem tipp von cosinus habe ich zunächst malewarbyts -ohne befund- und dann den eset online scanner laufen lassen, befund s. logfile anbei. was ist jetzt noch zu tun, damit das system wieder sicher ist? danke+gruss h. |
Bitte trotzdem alle Logs von Malwarebytes posten. |
anbei die malewarebyte-logdatei... |
CustomScan mit OTL Falls noch nicht vorhanden, lade Dir bitte OTL von Oldtimer herunter und speichere es auf Deinem Desktop
Code: netsvcs
|
@cosinus, beim lauf von otl.exe erschien während des laufes lt. statuszeile ""getting folder structure..." die fehlermeldung "otl - out of memory". ich werde den rechner nochmals neu starten und otl noch einmal ausführen. allerdings bin ich nun bis donnnerstag auf dienstreise und kann das erst im anschluß machen. bis dahin danke+gruss h. |
Liste der Anhänge anzeigen (Anzahl: 1) hi, anbei der speicherüberlauffehler von otl.exe (nach neustart und dem schließen aller sonst laufenden programm, es ist win7 mit 3gb ram installiert) gruss h. |
Dann probier einen normalen Scan (kein CustomScan) Systemscan mit OTL Lade Dir bitte OTL von Oldtimer herunter und speichere es auf Deinem Desktop
|
hi cosinus, anbei die log-files - bin gespannt auf das analyseergebnis. danke+gruss h. |
noch einmal... ich glaube, ich hatte beim 1. versuch die 'extra registrierung' nicht auf "benutze safe list" eingestellt. h. |
Mach einen OTL-Fix, beende alle evtl. geöffneten Programme, auch Virenscanner deaktivieren (!), starte OTL und kopiere folgenden Text in die "Custom Scan/Fixes" Box (unten in OTL): (das ":OTL" muss mitkopiert werden!!!) Code: :OTLDas Logfile müsste geöffnet werden, wenn Du nach dem Fixen auf ok klickst, poste das bitte. Evtl. wird der Rechner neu gestartet. Die mit diesem Script gefixten Einträge, Dateien und Ordner werden zur Sicherheit nicht vollständig gelöscht, es wird eine Sicherheitskopie auf der Systempartition im Ordner "_OTL" erstellt. Hinweis: Das obige Script ist nur für diesen einen User in dieser Situtation erstellt worden. Es ist auf keinen anderen Rechner portierbar und darf nicht anderweitig verwandt werden, da es das System nachhaltig schädigen kann! |
hi Arne, viel kam nicht heraus (zwischendurch erschien eine fehlermeldung, in etwa "can' create ....\host datei). das otl-fenster mit "don't interrupt" in der statuszeile war nach 20h immer noch aktiv. nach manuellem neustart wurde beigefügte protokoll-datei angezeigt. kannst Du damit bzw. was kannst Du damit (und dem bisherigen) anfangen? danke+gruss henning |
Starte neu und wiederhol den Fix, notfalls machst du das im abgesicherten Modus. |
hi, anbei nun die log datei nachdem ich otl im abgesicherten modus habe laufen lassen. bin gespannt auf Dein/Euer analyseergebnis! by the way: erbringt Ihr/erbringst Du die unterstützung hier rein privat, bzw. woher habt Ihr das know how + die zeit für die m.E. sehr fundierte unterstützung? danke+gruss henning |
Bitte nun dieses Tool von Kaspersky ausführen und das Log posten => http://www.trojaner-board.de/82358-t...entfernen.html Das Tool so einstellen wie unten im Bild angegeben - klick auf change parameters und setze die Haken wie im folgenden Screenshot abgebildet, Dann auf Start Scan klicken und wenn es durch ist auf den Button Report klicken um das Log anzuzeigen. Dieses bitte komplett posten. Wenn du das Log nicht findest oder den Inhalt kopieren und in dein Posting übertragen kannst, dann schau bitte direkt auf deiner Windows-Systempartition nach, da speichert der TDSS-Killer seine Logs. Hinweis: Bitte nichts voreilig mit dem TDSS-Killer löschen! Falls Objekte vom TDSS-Killer bemängelt werden, alle mit der Aktion "skip" behandeln und hier nur das Log posten! http://saved.im/mtkwmtcxexhp/setting...8_16-25-18.jpg Falls du durch die Infektion auf deine Dokumente/Eigenen Dateien nicht zugreifen kannst, Verknüpfungen auf dem Desktop oder im Startmenü unter "alle Programme" fehlen, bitte unhide ausführen: Downloade dir bitte unhide.exe und speichere diese Datei auf deinem Desktop. Starte das Tool und es sollten alle Dateien und Ordner wieder sichtbar sein. ( Könnte eine Weile dauern ) http://www.trojaner-board.de/images/icons/icon4.gif Windows-Vista und Windows-7-User müssen das Tool per Rechtsklick als Administrator ausführen! http://www.trojaner-board.de/images/icons/icon4.gif |
anbei das log von tdsskiller.exe danke+gruss henning |
Dann bitte jetzt CF ausführen: ComboFix Ein Leitfaden und Tutorium zur Nutzung von ComboFix
Combofix darf ausschließlich ausgeführt werden, wenn ein Kompetenzler dies ausdrücklich empfohlen hat! Solltest du nach der Ausführung von Combofix Probleme beim Starten von Anwendungen haben und Meldungen erhalten wie Zitat:
|
hi, anbei die soeben erzeugte log-datei von combifix... bin gespannt auf das analyseergebnis. danke+gruss henning |
Ok. Bitte nun Logs mit GMER und OSAM erstellen und posten. GMER stürzt häufiger ab, wenn das Tool auch beim 2. Mal nicht will, lass es einfach weg und führ nur OSAM aus - die Online-Abfrage durch OSAM bitte überspringen. Bei OSAM bitte darauf auch achten, dass Du das Log auch als *.log und nicht *.html oder so abspeicherst. Hinweis: Zum Entpacken von OSAM bitte WinRAR oder 7zip verwenden! Stell auch unbedingt den Virenscanner ab, besonders der Scanner von McAfee meldet oft einen Fehalarm in OSAM! Downloade dir bitte  aswMBR.exe und speichere die Datei auf deinem Desktop.
Wichtig: Drücke keinesfalls einen der Fix Buttons ohne Anweisung Hinweis: Sollte der Scan Button ausgeblendet sein, schließe das Tool und starte es erneut. Sollte der Scan abbrechen und das Programm abstürzen, dann teile mir das mit und wähle unter AV Scan die Einstellung (none). |
hi Arne, anbei die neuen log-files.... danke+gruss henning |
Sieht ok aus. Mach bitte zur Kontrolle Vollscans mit Malwarebytes und SASW und poste die Logs. Denk dran beide Tools zu updaten vor dem Scan!! Anschließend über den OnlineScanner von ESET eine zusätzliche Meinung zu holen ist auch nicht verkehrt: ESET Online Scanner
|
@Arne, anbei die 2 log-files. ESET habe ich zwar laufen lassen aber leider die ausgabe der ergebnisse verpaßt (es wurde kein fund diagnostiziert) danke+gruss henning |
Sieht ok aus, da wurden nur Cookies gefunden. Noch Probleme oder weitere Funde in der Zwischenzeit? |
Danke für die bisherige unterstützung, Arne! im moment gibt es keinen neuen funde. welches von den diversen tools, die Du zum durchsuchen vorgeschlagen hast, ist das geeignetste - oder muß ich jedesmal alles (otl, malwarebytes, tdskiller, superspyware, combofix, gmer, osam, aswmbr) durchfürhren bzw. in welcher reihenfolge? zwei "ungereimtheiten" habe ich noch seit dem durchführen der o.g. anlaysen: mein starmoney gibt beim starten "der star money online update konnte nicht gestartet werden, da das profilverzeichnis nicht existiert" aus und seit heute erscheint bei Avira Free Antivirus "bei dem versuch das internet update zu starten ist folgender fehler aufgetreten: planer ist nicht gestartet" (auch bei manuellem aufruf zum update). eine idee für den zusammenhang und die lösung der o.g. punkte? danke+gruss henning |
Starmoney musst du wohl neu installieren. Dann wären wir durch! :abklatsch: Die Programme, die hier zum Einsatz kamen, können alle wieder runter. CF kann über Start, Ausführen mit combofix /uninstall entfernt werden. Melde dich falls es da Fehlermeldungen zu gibt. Malwarebytes zu behalten ist kein Fehler. Kannst ja 1x im Monat damit scannen, aber immer vorher ans Update denken. Bitte abschließend die Updates prüfen, unten mein Leitfaden dazu. Um in Zukunft die Aktualität der installierten Programme besser im Überblick zu halten, kannst du zB Secunia PSI verwenden. Für noch mehr Sicherheit solltest Du nach der beseitigten Infektion auch möglichst alle Passwörter ändern. Microsoftupdate Windows XP: Besuch mit dem IE die MS-Updateseite und lass Dir alle wichtigen Updates installieren. Windows Vista/7: Anleitung Windows-Update PDF-Reader aktualisieren Ein veralteter AdobeReader stellt ein großes Sicherheitsrisiko dar. Du solltest daher besser alte Versionen vom AdobeReader über Systemsteuerung => Software bzw. Programme und Funktionen deinstallieren, indem Du dort auf "Adobe Reader x.0" klickst und das Programm entfernst. (falls du AdobeReader installiert hast) Ich empfehle einen alternativen PDF-Reader wie PDF Xchange Viewer, SumatraPDF oder Foxit PDF Reader, die sind sehr viel schlanker und flotter als der AdobeReader. Flashplayer Bitte überprüf bei der Gelegenheit auch die Aktualität des Flashplayers => Adobe - Andere Version des Adobe Flash Player installieren (Alternativ bei Chip => http://filepony.de/?q=Flash+Player) Natürlich auch darauf achten, dass andere installierte Browser wie zB Firefox, Opera oder Chrome aktuell sind. Java-Update Veraltete Java-Installationen sind ein Sicherheitsrisiko, daher solltest Du die alten Versionen löschen (falls vorhanden, am besten mit JavaRa) und auf die neuste aktualisieren. Beende dazu alle Programme (v.a. die Browser), klick danach auf Start, Systemsteuerung, Software und deinstalliere darüber alle aufgelisteten Java-Versionen. Lad Dir danach von hier das aktuelle Java SE Runtime Environment (JRE) herunter und installiere es. |
vielen dank für den ausführlichen wie fundierten support, Arne! falls ich wieder einmal nicht weiter kommen sollte, melde ich mich gern wieder. gruss+happy chritsmas time henning |
| Alle Zeitangaben in WEZ +1. Es ist jetzt 17:58 Uhr. |
Copyright ©2000-2025, Trojaner-Board
