|
Evtl. Malware eingefangen weil plötzlich WLAN-Security inaktiv? Guten Abend allerseits, vor ein bis zwei Wochen hatte ich das Phänomen, dass in meinem Router plötzlich die Security-Einstellungen für das WLAN zurückgesetzt worden waren, d.h. statt WPA2 war gar nichts mehr eingestellt. Zuvor hatte ich ein Remake eines Spiels (KaM) gespielt und dabei einen Server gestartet, den das Spiel dummerweise in seiner öffentlichen Lobby angezeigt haben muss (es versuchten mehrfach Fremde in meine Partie einzusteigen). Ich vermute deshalb, dass das Remake evtl. noch Lücken hat, die da jemand ausgenutzt haben könnte um bei mir "einzusteigen". Alternativ könnte sich natürlich jemand in den Router (D-LINK 524, > 1 Jahr alt, also keine Firmware-Updates mehr; Lücken dürfte es nach den letzten Nachrichten genug geben) gehackt haben. Jedenfalls habe ich dadurch Angst, dass mir evtl. Malware untergeschoben wurde, denn außer mir kommt keiner auf den Router und am Tag zuvor lief die WLAN-Verbindung noch abgesichert. Da ich seit einiger Zeit hier im Forum mitlese habe ich mal ein paar Scans gestartet. Es wäre nett, wenn mal jemand einen Blick drauf werfen könnte - für mich als Halblaie war auf den ersten Blick nichts verwerfliches drin (wobei ich ab der Treiberschicht und drunter aber auch raus bin). 0. Defogger Code: defogger_disable by jpshortstuff (23.02.10.1)2. GMER: Rechner startete sich während des Scans offenbar neu - eine Log-Datei wurde nicht erstellt. Deshalb bin ich mal wie in folgendem Thread weiter verfahren: http://www.trojaner-board.de/136443-...ten-cache.html 3. Zoek - die Kommandos einfach aus o.g. Thread übernommen (evtl. "bad practise", aber die Analogie zum Gmer-Problem aus o.g. Thread schien mir sehr passend) Code: emptyclsid;4. TDSSKiller (TDSSKiller.2.8.16.0_12.06.2013_19.51.31_log.txt) 5. Malwarebytes Anti-Malware (mbam-log-2013-06-12 (20-03-23).txt) 6. AdwCleaner (AdwCleaner[S1].txt) Hier hat mich der folgende Teil stutzig gemacht: Code: **** [Dienste] ****Hier schreibt jemand, dass der Ordner scheinbar von Diablo 3 immer wieder angelegt wird - das habe ich auch installiert, ist also möglicherweise nix schlimmes. Dass DvmMDES gelöscht wurde wundert mich ein wenig, vielleicht kann mir das jemand erklären. Google war hier nicht ganz eindeutig, mir ist nicht ganz klar, ob das nicht ne normale Windows-Altlast o.ä. ist. 7. DDS (DDS.txt, Attach.txt) 8. Junkware Removal Tool (JRT.txt) 9. Nochmal OTL (OTL2.txt; Extra.txt wurde scheinbar nicht angelegt) Ergänzende Hinweise: - Firefox und Iron (statt Chrome) laufen als PortableApps, haben ihre Profile also woanders liegen als im Windows-Nutzerordner (falls die Scanner nur dort suchen) - Von schädlichen Seiten halte ich mich i.A. fern, lade Software nur aus seriösen Quellen, surfe mit Adblock & NoScript und versuche alles aktuell zu halten (klappt mal mehr mal weniger gut, z.B. wegen Release-Verzögerung bei PortableApps) Vielleicht kann mir ja jemand einen Hinweis geben, ob ich mir was böses eingefangen habe (bzw. mir untergeschoben wurde nachdem wie eingangs beschrieben offenbar auch Router-Zugriff bestand). Besten Dank jedenfalls schon mal im Voraus! |
Hallo und :hallo: Dem Internet ist es egal ob dein WLAN verschlüsselt oder unverschlüsselt ist; davon bekommen andere Internetteilnehmer überhaupt nichts mit, die WLAN-Verschlüsselung bezieht sich "nur" auf deinen Bereich zwischen Router und deinem Endgerät (zB ein Notebook oder Smartphone) Normalerweise müsste Windows aber auch warnen, wenn man versucht, eine Verbindung mit einem unverschlüsselten Funknetzwerk zu verbinden. Abgesehen davon, sollte eigentlich die Verbindung nicht zustandekommen, da das gespeicherte WLAN-Profil (vom verschlüsselten) so nicht ausreicht um mit eine Verbindung mit einem veränderten/anderen WLAN aufzubauen. Dein WLAN ist aber nun wieder verschlüsselt? Hast du noch andere Hinweise Schädlinge? Sind Virenscanner jemals fündig geworden? Wenn ja bitte alle Logs dazu posten. Und bitte direkt in den Beitrag in CODE-Tags.  Lesestoff:Posten in CODE-Tags Die Logfiles anzuhängen oder sogar vorher in ein ZIP, RAR, 7Z-Archive zu packen erschwert mir massiv die Arbeit, es sei denn natürlich die Datei wäre ansonsten zu gross für das Forum. Um die Logfiles in eine CODE-Box zu stellen gehe so vor:
|
Einen schönen guten Morgen, das mit dem WLAN ist mir alles bekannt und ich hatte es sofort wieder abgesichert als mir das auffiel (leider erst am nächsten Tag; der Rechner, auf dem dieses Remake-Spiel läuft ist nämlich per LAN verbunden, darum fiel es mir erst am nächsten Tag am Arbeitsrechner auf). Ich hatte überhaupt erst gemerkt, dass etwas nicht stimmt, weil die WLAN-Geräte sich nicht mehr über das verschlüsselte Profil verbinden konnten. Mein Gedankengang war der: Wenn jemand es schafft bei mir reinzukommen und die WLAN-Sicherheit zu deaktivieren, warum sollte er sich damit zufrieden geben und mir nicht gleich noch ein Souvenier hinterlassen? Daher jetzt meine Angst, dass ich mir was eingefangen haben könnte. Mein Avira hat sich bisher nicht gemeldet. ps: Vielen Dank für die schnelle Antwort, das hat mich schwer beeindruckt :-) |
Bevor wir uns an die Arbeit machen, möchte ich dich bitten, folgende Punkte vollständig und aufmerksam zu lesen.
Note: Sollte ich drei Tage nichts von mir hören lassen, so melde dich bitte in diesem Strang => Erinnerung an meinem Thread. Nervige "Wann geht es weiter" Nachrichten enden mit Schließung deines Themas. Auch ich habe ein Leben abseits des Trojaner-Boards. Rootkitscan mit GMER Bitte lade dir  GMER herunter: (Dateiname zufällig)
Tauchen Probleme auf?
Anschließend bitte MBAR ausführen: Malwarebytes Anti-Rootkit (MBAR) Downloade dir bitte  Malwarebytes Anti-Rootkit und speichere es auf deinem Desktop.
Starte keine andere Datei in diesem Ordner ohne Anweisung eines Helfers |
Hallo cosinus, im abgesicherten Modus und ohne Devices funktionierte Gmer jetzt problemlos (danke für den Tipp): GMER Logfile: Code: GMER 2.1.19163 - hxxp://www.gmer.netMBAM brachte das gleiche Ergebnis wie mein gestriger Scan: Code: Malwarebytes Anti-Malware 1.75.0.1300 |
Bitte die Anleitungen richtig lesen und umsetzen, es war von Malwarebytes Anti-Rootkit die Rede, nicht von Malwarebytes-Anti-Malware :) Hätte doch beim Lesen der Anleitung auffallen müssen, dass sich die Instruktionen auf MBAM nicht anwenden lassen :wtf: |
Sorry, verlesen. Ich erklär den Gedankengang dazu jetzt mal nicht erst, warum mich die Bilder in der Anleitung nicht "aufgeschreckt" haben. Hier jetzt das MBAR-Log: Code: Malwarebytes Anti-Rootkit BETA 1.06.0.1003 |
Die Logs sind soweit unauffällig... Wie verhält sich dein Rechner denn? Merkwürdig oder ansonstn völlig normal, bis auf die Tatsache, dass das WLAN seine Verschlüsselung vergaß? |
Eigentlich völlig normal bis auf die WLAN-Geschichte. Der Rest der Router-Konfiguration blieb auch unverändert. |
Mach bitte zur Kontrolle einen Vollscan mit Malwarebytes Anti-Malware (MBAM) (falls du vor kurzem erst einen Vollscan gemacht hast, reicht auch ein Quickscan (spart Zeit), das dann mir bitte auch mitteilen) Hinweis: Denk bitte vorher daran, Malwarebytes Anti-Malware über den Updatebutton zu aktualisieren! Anschließend über den OnlineScanner von ESET eine zusätzliche Meinung zu holen ist auch nicht verkehrt: ESET Online Scanner
|
Hallo cosinus, nur zur Info: Aus Zeitgründen werde ich das erst nächste Woche schaffen. Ich melde mich dann ab Montag wieder. Bis dahin ein schönes Wochenende! |
Ok, schönes Wochenende :) |
Hallo cosinus, hier das MBAM-Log: Code: Malwarebytes Anti-Malware 1.75.0.1300Bzgl. ESET: Bedeutet "Online Scanner" auch hier, dass jede Datei ins Internet übertragen und dort gescannt wird? Dann dürfte das bei mir Jahre dauern. |
In diesem Fall wird zB Daemon-Tools angemeckert, weil dieser Installer potentiell Adware nachinstallieren kann. Aber sonst bin ich auch deiner Meinung, die "Hacktools" scheinen nicht schädlich zu sein. Und nein, der OnlineScanner lädt nicht jede Datei hoch. Die Engine läuft lokal auf deinem Rechner, alles andere wäre ziemlich sinnfrei. |
Aaah, ok. Es gibt ja auch "echte" "Online" Scanner, deshalb dachte ich das. Gut, dann werde ich ESET die Tage durchlaufen lassen, meld mich dann wieder. Dauert leider immer etwas, weil z.B. ein Avira Komplettscan schon einen ganzen Tag braucht (hab grad einen Komplettscan laufen - hatte ich gestartet nachdem ich dir hier geantwortet hatte - und der ist nach 12h bei 80% :-/ ) Soweit ich weiß sammeln übrigens neuere Versionen von Daemon Tools Infos darüber welche Images man mountet und schicken die an den Daemon Tools Server (Stichwort: Datenkrake). Ich hatte jetzt vermutet, dass die Meldung dazu sich genau darauf bezieht, d.h. dass diese Funktion evtl. in Version 4.03 schon drin ist. |
| Alle Zeitangaben in WEZ +1. Es ist jetzt 20:30 Uhr. |
Copyright ©2000-2025, Trojaner-Board
