|
Evtl. Malware eingefangen weil plötzlich WLAN-Security inaktiv? Guten Abend allerseits, vor ein bis zwei Wochen hatte ich das Phänomen, dass in meinem Router plötzlich die Security-Einstellungen für das WLAN zurückgesetzt worden waren, d.h. statt WPA2 war gar nichts mehr eingestellt. Zuvor hatte ich ein Remake eines Spiels (KaM) gespielt und dabei einen Server gestartet, den das Spiel dummerweise in seiner öffentlichen Lobby angezeigt haben muss (es versuchten mehrfach Fremde in meine Partie einzusteigen). Ich vermute deshalb, dass das Remake evtl. noch Lücken hat, die da jemand ausgenutzt haben könnte um bei mir "einzusteigen". Alternativ könnte sich natürlich jemand in den Router (D-LINK 524, > 1 Jahr alt, also keine Firmware-Updates mehr; Lücken dürfte es nach den letzten Nachrichten genug geben) gehackt haben. Jedenfalls habe ich dadurch Angst, dass mir evtl. Malware untergeschoben wurde, denn außer mir kommt keiner auf den Router und am Tag zuvor lief die WLAN-Verbindung noch abgesichert. Da ich seit einiger Zeit hier im Forum mitlese habe ich mal ein paar Scans gestartet. Es wäre nett, wenn mal jemand einen Blick drauf werfen könnte - für mich als Halblaie war auf den ersten Blick nichts verwerfliches drin (wobei ich ab der Treiberschicht und drunter aber auch raus bin). 0. Defogger Code: defogger_disable by jpshortstuff (23.02.10.1)2. GMER: Rechner startete sich während des Scans offenbar neu - eine Log-Datei wurde nicht erstellt. Deshalb bin ich mal wie in folgendem Thread weiter verfahren: http://www.trojaner-board.de/136443-...ten-cache.html 3. Zoek - die Kommandos einfach aus o.g. Thread übernommen (evtl. "bad practise", aber die Analogie zum Gmer-Problem aus o.g. Thread schien mir sehr passend) Code: emptyclsid;4. TDSSKiller (TDSSKiller.2.8.16.0_12.06.2013_19.51.31_log.txt) 5. Malwarebytes Anti-Malware (mbam-log-2013-06-12 (20-03-23).txt) 6. AdwCleaner (AdwCleaner[S1].txt) Hier hat mich der folgende Teil stutzig gemacht: Code: **** [Dienste] ****Hier schreibt jemand, dass der Ordner scheinbar von Diablo 3 immer wieder angelegt wird - das habe ich auch installiert, ist also möglicherweise nix schlimmes. Dass DvmMDES gelöscht wurde wundert mich ein wenig, vielleicht kann mir das jemand erklären. Google war hier nicht ganz eindeutig, mir ist nicht ganz klar, ob das nicht ne normale Windows-Altlast o.ä. ist. 7. DDS (DDS.txt, Attach.txt) 8. Junkware Removal Tool (JRT.txt) 9. Nochmal OTL (OTL2.txt; Extra.txt wurde scheinbar nicht angelegt) Ergänzende Hinweise: - Firefox und Iron (statt Chrome) laufen als PortableApps, haben ihre Profile also woanders liegen als im Windows-Nutzerordner (falls die Scanner nur dort suchen) - Von schädlichen Seiten halte ich mich i.A. fern, lade Software nur aus seriösen Quellen, surfe mit Adblock & NoScript und versuche alles aktuell zu halten (klappt mal mehr mal weniger gut, z.B. wegen Release-Verzögerung bei PortableApps) Vielleicht kann mir ja jemand einen Hinweis geben, ob ich mir was böses eingefangen habe (bzw. mir untergeschoben wurde nachdem wie eingangs beschrieben offenbar auch Router-Zugriff bestand). Besten Dank jedenfalls schon mal im Voraus! |
Hallo und :hallo: Dem Internet ist es egal ob dein WLAN verschlüsselt oder unverschlüsselt ist; davon bekommen andere Internetteilnehmer überhaupt nichts mit, die WLAN-Verschlüsselung bezieht sich "nur" auf deinen Bereich zwischen Router und deinem Endgerät (zB ein Notebook oder Smartphone) Normalerweise müsste Windows aber auch warnen, wenn man versucht, eine Verbindung mit einem unverschlüsselten Funknetzwerk zu verbinden. Abgesehen davon, sollte eigentlich die Verbindung nicht zustandekommen, da das gespeicherte WLAN-Profil (vom verschlüsselten) so nicht ausreicht um mit eine Verbindung mit einem veränderten/anderen WLAN aufzubauen. Dein WLAN ist aber nun wieder verschlüsselt? Hast du noch andere Hinweise Schädlinge? Sind Virenscanner jemals fündig geworden? Wenn ja bitte alle Logs dazu posten. Und bitte direkt in den Beitrag in CODE-Tags.  Lesestoff:Posten in CODE-Tags Die Logfiles anzuhängen oder sogar vorher in ein ZIP, RAR, 7Z-Archive zu packen erschwert mir massiv die Arbeit, es sei denn natürlich die Datei wäre ansonsten zu gross für das Forum. Um die Logfiles in eine CODE-Box zu stellen gehe so vor:
|
Einen schönen guten Morgen, das mit dem WLAN ist mir alles bekannt und ich hatte es sofort wieder abgesichert als mir das auffiel (leider erst am nächsten Tag; der Rechner, auf dem dieses Remake-Spiel läuft ist nämlich per LAN verbunden, darum fiel es mir erst am nächsten Tag am Arbeitsrechner auf). Ich hatte überhaupt erst gemerkt, dass etwas nicht stimmt, weil die WLAN-Geräte sich nicht mehr über das verschlüsselte Profil verbinden konnten. Mein Gedankengang war der: Wenn jemand es schafft bei mir reinzukommen und die WLAN-Sicherheit zu deaktivieren, warum sollte er sich damit zufrieden geben und mir nicht gleich noch ein Souvenier hinterlassen? Daher jetzt meine Angst, dass ich mir was eingefangen haben könnte. Mein Avira hat sich bisher nicht gemeldet. ps: Vielen Dank für die schnelle Antwort, das hat mich schwer beeindruckt :-) |
Bevor wir uns an die Arbeit machen, möchte ich dich bitten, folgende Punkte vollständig und aufmerksam zu lesen.
Note: Sollte ich drei Tage nichts von mir hören lassen, so melde dich bitte in diesem Strang => Erinnerung an meinem Thread. Nervige "Wann geht es weiter" Nachrichten enden mit Schließung deines Themas. Auch ich habe ein Leben abseits des Trojaner-Boards. Rootkitscan mit GMER Bitte lade dir  GMER herunter: (Dateiname zufällig)
Tauchen Probleme auf?
Anschließend bitte MBAR ausführen: Malwarebytes Anti-Rootkit (MBAR) Downloade dir bitte  Malwarebytes Anti-Rootkit und speichere es auf deinem Desktop.
Starte keine andere Datei in diesem Ordner ohne Anweisung eines Helfers |
Hallo cosinus, im abgesicherten Modus und ohne Devices funktionierte Gmer jetzt problemlos (danke für den Tipp): GMER Logfile: Code: GMER 2.1.19163 - hxxp://www.gmer.netMBAM brachte das gleiche Ergebnis wie mein gestriger Scan: Code: Malwarebytes Anti-Malware 1.75.0.1300 |
Bitte die Anleitungen richtig lesen und umsetzen, es war von Malwarebytes Anti-Rootkit die Rede, nicht von Malwarebytes-Anti-Malware :) Hätte doch beim Lesen der Anleitung auffallen müssen, dass sich die Instruktionen auf MBAM nicht anwenden lassen :wtf: |
Sorry, verlesen. Ich erklär den Gedankengang dazu jetzt mal nicht erst, warum mich die Bilder in der Anleitung nicht "aufgeschreckt" haben. Hier jetzt das MBAR-Log: Code: Malwarebytes Anti-Rootkit BETA 1.06.0.1003 |
Die Logs sind soweit unauffällig... Wie verhält sich dein Rechner denn? Merkwürdig oder ansonstn völlig normal, bis auf die Tatsache, dass das WLAN seine Verschlüsselung vergaß? |
Eigentlich völlig normal bis auf die WLAN-Geschichte. Der Rest der Router-Konfiguration blieb auch unverändert. |
Mach bitte zur Kontrolle einen Vollscan mit Malwarebytes Anti-Malware (MBAM) (falls du vor kurzem erst einen Vollscan gemacht hast, reicht auch ein Quickscan (spart Zeit), das dann mir bitte auch mitteilen) Hinweis: Denk bitte vorher daran, Malwarebytes Anti-Malware über den Updatebutton zu aktualisieren! Anschließend über den OnlineScanner von ESET eine zusätzliche Meinung zu holen ist auch nicht verkehrt: ESET Online Scanner
|
Hallo cosinus, nur zur Info: Aus Zeitgründen werde ich das erst nächste Woche schaffen. Ich melde mich dann ab Montag wieder. Bis dahin ein schönes Wochenende! |
Ok, schönes Wochenende :) |
Hallo cosinus, hier das MBAM-Log: Code: Malwarebytes Anti-Malware 1.75.0.1300Bzgl. ESET: Bedeutet "Online Scanner" auch hier, dass jede Datei ins Internet übertragen und dort gescannt wird? Dann dürfte das bei mir Jahre dauern. |
In diesem Fall wird zB Daemon-Tools angemeckert, weil dieser Installer potentiell Adware nachinstallieren kann. Aber sonst bin ich auch deiner Meinung, die "Hacktools" scheinen nicht schädlich zu sein. Und nein, der OnlineScanner lädt nicht jede Datei hoch. Die Engine läuft lokal auf deinem Rechner, alles andere wäre ziemlich sinnfrei. |
Aaah, ok. Es gibt ja auch "echte" "Online" Scanner, deshalb dachte ich das. Gut, dann werde ich ESET die Tage durchlaufen lassen, meld mich dann wieder. Dauert leider immer etwas, weil z.B. ein Avira Komplettscan schon einen ganzen Tag braucht (hab grad einen Komplettscan laufen - hatte ich gestartet nachdem ich dir hier geantwortet hatte - und der ist nach 12h bei 80% :-/ ) Soweit ich weiß sammeln übrigens neuere Versionen von Daemon Tools Infos darüber welche Images man mountet und schicken die an den Daemon Tools Server (Stichwort: Datenkrake). Ich hatte jetzt vermutet, dass die Meldung dazu sich genau darauf bezieht, d.h. dass diese Funktion evtl. in Version 4.03 schon drin ist. |
So, hier das ESET-Log: Code: ESETSmartInstaller@High as downloader log: |
Sieht soweit ok aus :daumenhoc Wegen Cookies und anderer Dinge im Web: Um die Pest von vornherein zu blocken (also TrackingCookies, Werbebanner etc.) müsstest du dir mal sowas wie MVPS Hosts File anschauen => Blocking Unwanted Parasites with a Hosts File - sinnvollerweise solltest du alle 4 Wochen mal bei MVPS nachsehen, ob er eine neue Hosts Datei herausgebracht hat. Info: Cookies sind keine Schädlinge direkt, aber es besteht die Gefahr der missbräuchlichen Verwendung (eindeutige Wiedererkennung zB für gezielte Werbung o.ä. => HTTP-Cookie ) Ansonsten gibt es noch gute Cookiemanager, Erweiterungen für den Firefox zB wäre da CookieCuller Wenn du aber damit leben kannst, dich bei jeder Browsersession überall neu einzuloggen (zB Facebook, Ebay, GMX, oder auch Trojaner-Board) dann stell den Browser einfach so ein, dass einfach alles beim Beenden des Browser inkl. Cookies gelöscht wird. Ist dein System nun wieder in Ordnung oder gibt's noch andere Funde oder Probleme? |
Hi cosinus, das Problem war ja, dass unklar war, wodurch die WLAN-Sicherung deaktiviert wurde. Falls sich jemand eingehackt hat scheint er also keine Malware hinterlassen zu haben, da wir jetzt ja nichts gefunden haben. Insofern sind wir wohl durch - vielen Dank für die Hilfe :-) Mein Browser ist schon sicher, ist ein Firefox Portable (damit wird eh immer alles gelöscht) mit installiertem NoScript und Adblock Plus. Von MVPS hatte ich hier im Forum schon gelesen, das werd ich bei nächster Gelegenheit einstellen. Hatte bisher Spyware Blaster Portable, der macht ja etwas ähnliches mit der Hosts-Datei. |
Dann wären wir durch! :daumenhoc Falls du noch Lob oder Kritik loswerden möchtest => Lob, Kritik und Wünsche - Trojaner-Board Die Programme, die hier zum Einsatz kamen, können alle wieder runter. Combofix entfernen (nur relevant wenn es hier benutzt wurde!) : Start/Ausführen (Tastenkombination WIN+R), dort den Befehl combofix /uninstall eintippen und ausführen Mit Hilfe von OTL kannst du auch viele andere Tools entfernen: Starte dazu einfach OTL und klicke auf Bereinigung. Dies wird die meisten Tools entfernen, die wir zur Bereinigung benötigt haben. Sollte etwas bestehen bleiben, bitte mit Rechtsklick --> Löschen entfernen. Malwarebytes zu behalten ist zu empfehlen. Kannst ja 1x im Monat damit einen Vollscan machen, aber immer vorher ans Update denken. Bitte abschließend die Updates prüfen, unten mein Leitfaden dazu. Um in Zukunft die Aktualität der installierten Programme besser im Überblick zu halten, kannst du zB Secunia PSI verwenden. Für noch mehr Sicherheit solltest Du nach der beseitigten Infektion auch möglichst alle Passwörter ändern. Microsoftupdate Windows XP:Besuch mit dem IE die MS-Updateseite und lass Dir alle wichtigen Updates installieren. Windows Vista/7: Start, Systemsteuerung, Windows-Update PDF-Reader aktualisieren Ein veralteter AdobeReader stellt ein großes Sicherheitsrisiko dar. Du solltest daher besser alte Versionen vom AdobeReader über Systemsteuerung => Software bzw. Programme und Funktionen deinstallieren, indem Du dort auf "Adobe Reader x.0" klickst und das Programm entfernst. (falls du AdobeReader installiert hast) Ich empfehle einen alternativen PDF-Reader wie PDF Xchange Viewer, SumatraPDF oder Foxit PDF Reader, die sind sehr viel schlanker und flotter als der AdobeReader. Bitte überprüf bei der Gelegenheit auch die Aktualität des Flashplayers: Prüfen => Adobe - Flash Player Downloadlinks findest du hier => Browsers and Plugins - FilePony.de Alle Plugins im Firefox-Browser kannst du auch ganz einfach hier auf Aktualität prüfen => https://www.mozilla.org/de/plugincheck Natürlich auch darauf achten, dass andere installierte Browser wie zB Firefox, Opera oder Chrome aktuell sind. Java-Update Veraltete Java-Installationen sind ein großes Sicherheitsrisiko, daher solltest Du die alten Versionen deinstallieren. Beende dazu alle Programme (v.a. die Browser), klick danach auf Start, Systemsteuerung, Software (bzw. Programme und Funktionen) und deinstalliere darüber alle aufgelisteten Java-Versionen. Lad Dir danach von hier das aktuelle Java SE Runtime Environment (JRE) herunter und installiere es. |
| Alle Zeitangaben in WEZ +1. Es ist jetzt 13:33 Uhr. |
Copyright ©2000-2025, Trojaner-Board
