Trojaner-Board - Windows 8.1: Hat sich der Trojaner komplett installiert oder nicht?

Seite 2 von 3

100 Beiträge dieses Themas auf einer Seite anzeigen

Trojaner-Board (https://www.trojaner-board.de/)

- Log-Analyse und Auswertung (https://www.trojaner-board.de/log-analyse-auswertung/)

- - Windows 8.1: Hat sich der Trojaner komplett installiert oder nicht? (https://www.trojaner-board.de/151289-windows-8-1-hat-trojaner-komplett-installiert.html)

cosinus

21.03.2014 15:22

Das war nur Datenmüll in TEMP
Außerdem stand noch etwas mehr dirn in der fixlist und es wurde auch protokolliert was adwcleaner und JRT gelöscht habem

demiurg

21.03.2014 16:29

okay, danke für die Antwort.

So wie ichs sehe hat JRT nichts entfernt.

adwcleaner hat einen Registry Eintrag gelöscht und die Browser-Profile geleert. Ich nehme an etwas konkretes war nicht vorhanden. Gehe ich mit meiner Angabe richtig?

cosinus

21.03.2014 16:46

Code:

***** [ Files / Folders ] *****
 

Folder Deleted : C:\Program Files (x86)\MyPC Backup

File Deleted : C:\ProgramData\Microsoft\Windows\Start Menu\Programs\Search.lnk
 
 

***** [ Registry ] *****
 

Key Deleted : HKLM\SOFTWARE\Classes\CLSID\{1AA60054-57D9-4F99-9A55-D0FBFBE7ECD3}

Steht doch eindeutig da, was adwcleaner gelöscht hat

Was ist mit den Logs der beiden Kontrollscans?

demiurg

21.03.2014 16:54

.ink sind doch Verknüpfungen, nicht?

Du meinst die Kontrollscans von Farbar?

Aus den Farbarscans werde ich leider nicht klug :D

Die muss wahrscheinlich der Fachmann lesen.

cosinus

21.03.2014 18:42

Verknüpfungen haben die Endung*.LNK nicht *.INK
bei *.lnk ist es ein kleines l (L) kein großes i (I)

Und nein mit den Kontrollscans meinte ich MBAM und ESET. Davon wollte ich die Logs sehen, egal ob Fund oder kein Fund!

demiurg

21.03.2014 18:50

ah, danke für die Auskunft.

Malwarebytes:

Code:

Malwarebytes Anti-Rootkit BETA 1.07.0.1009

www.malwarebytes.org
 

Database version: v2014.03.21.04
 

Windows 8 x64 NTFS

Internet Explorer 11.0.9600.16521

Luca :: LUSOYO [administrator]
 

21.3.14 12:15:54

mbar-log-2014-03-21 (12-15-54).txt
 

Scan type: Quick scan

Scan options enabled: Anti-Rootkit | Drivers | MBR | Physical Sectors | Memory | Startup | Registry | File System | Heuristics/Extra | Heuristics/Shuriken

Scan options disabled: 

Objects scanned: 247609

Time elapsed: 6 minute(s), 
 

Memory Processes Detected: 0

(No malicious items detected)
 

Memory Modules Detected: 0

(No malicious items detected)
 

Registry Keys Detected: 0

(No malicious items detected)
 

Registry Values Detected: 0

(No malicious items detected)
 

Registry Data Items Detected: 0

(No malicious items detected)
 

Folders Detected: 0

(No malicious items detected)
 

Files Detected: 0

(No malicious items detected)
 

Physical Sectors Detected: 0

(No malicious items detected)
 

(end)

ESET ist bei 10%

cosinus

21.03.2014 18:57

Ok, lass ESET zu Ende laufen. Danach bitte Malwarebytes Anti-Malware denn du hast Anti-Rootkit ausgeführt, ersteres solltest du aber scannen lassen :)

demiurg

21.03.2014 22:50

MBAM

Code:

Malwarebytes Anti-Malware 1.75.0.1300

www.malwarebytes.org
 

Database version: v2014.03.21.07
 

Windows 8 x64 NTFS

Internet Explorer 11.0.9600.16521

Luca :: LUSOYO [administrator]
 

21.3.14 19:04:42

mbam-log-2014-03-21 (19-04-42).txt
 

Scan type: Quick scan

Scan options enabled: Memory | Startup | Registry | File System | Heuristics/Extra | Heuristics/Shuriken | PUP | PUM

Scan options disabled: P2P

Objects scanned: 219371

Time elapsed: 2 minute(s), 8 second(s)
 

Memory Processes Detected: 0

(No malicious items detected)
 

Memory Modules Detected: 0

(No malicious items detected)
 

Registry Keys Detected: 0

(No malicious items detected)
 

Registry Values Detected: 0

(No malicious items detected)
 

Registry Data Items Detected: 0

(No malicious items detected)
 

Folders Detected: 0

(No malicious items detected)
 

Files Detected: 0

(No malicious items detected)
 

(end)

ESET

Code:

ESETSmartInstaller@High as downloader log:

all ok

# version=8

# OnlineScannerApp.exe=1.0.0.1

# OnlineScanner.ocx=1.0.0.6920

# api_version=3.0.2

# EOSSerial=bd0afe7dbcaf2b41a1bf90b49cee40cf

# engine=17543

# end=stopped

# remove_checked=false

# archives_checked=true

# unwanted_checked=false

# unsafe_checked=false

# antistealth_checked=true

# utc_time=2014-03-21 11:50:53

# local_time=2014-03-21 12:50:53 (+0100, W. Europe Standard Time)

# country="United Kingdom"

# lang=1033

# osver=6.2.9200 NT 

# compatibility_mode=5893 16776573 100 94 59799 12718950 0 0

# scanned=6641

# found=0

# cleaned=0

# scan_time=1529

ESETSmartInstaller@High as downloader log:

all ok

ESETSmartInstaller@High as downloader log:

all ok

# version=8

# OnlineScannerApp.exe=1.0.0.1

# OnlineScanner.ocx=1.0.0.6920

# api_version=3.0.2

# EOSSerial=bd0afe7dbcaf2b41a1bf90b49cee40cf

# engine=17552

# end=finished

# remove_checked=false

# archives_checked=true

# unwanted_checked=false

# unsafe_checked=false

# antistealth_checked=true

# utc_time=2014-03-21 09:35:36

# local_time=2014-03-21 10:35:36 (+0100, W. Europe Standard Time)

# country="United Kingdom"

# lang=1033

# osver=6.2.9200 NT 

# compatibility_mode=5893 16776573 100 94 28497 12754033 0 0

# scanned=422582

# found=0

# cleaned=0

# scan_time=9151

cosinus

22.03.2014 20:57

TFC - Temp File Cleaner

Lade dir

TFC (TempFileCleaner von Oldtimer) herunter und speichere es auf den Desktop.

Öffne die TFC.exe.
Vista und Win 7 User mit Rechtsklick "als Administrator starten".
Schließe alle anderen Programme.
Drücke auf den Button Start.
Falls du zu einem Neustart aufgefordert wirst, bestätige diesen.

Sieht soweit ok aus :daumenhoc

Wegen Cookies und anderer Dinge im Web: Um die Pest von vornherein zu blocken (also TrackingCookies, Werbebanner etc.) müsstest du dir mal sowas wie MVPS Hosts File anschauen => Blocking Unwanted Parasites with a Hosts File - sinnvollerweise solltest du alle 4 Wochen mal bei MVPS nachsehen, ob er eine neue Hosts Datei herausgebracht hat. Um Usertracking zu verhindern kann man gut die Firefox-Erweiterung Ghostery verwenden.

Info: Cookies sind keine Schädlinge direkt, aber es besteht die Gefahr der missbräuchlichen Verwendung (eindeutige Wiedererkennung zB für gezielte Werbung o.ä. => HTTP-Cookie )

Ansonsten gibt es noch gute Cookiemanager, Erweiterungen für den Firefox zB wäre da CookieCuller
Wenn du aber damit leben kannst, dich bei jeder Browsersession überall neu einzuloggen (zB Facebook, Ebay, GMX, oder auch Trojaner-Board) dann stell den Browser einfach so ein, dass einfach alles beim Beenden des Browser inkl. Cookies gelöscht wird.

Ist dein System nun wieder in Ordnung oder gibt's noch andere Funde oder Probleme?

demiurg

23.03.2014 00:47

TFC liess ich mal durch, hat 500mb Temps gelöscht, danke!

Ghostery, NoScript und ABP laufen bei mir standartmässig.

Ich hab noch ein paar Fragen:

1. Denkst du das Zertifikat kann wieder aktiviert werden?

2. Firefox hat bei mir eine RAM Benützung von 300-800 MB und die CPU Belastung ,vorallem wenn Facebook offen ist; von 10%-30% (i5-4200) ist das Besorgniserregend (irgendwas das sich in Firefox eingeschlichen hat) oder normal.

3. Würdest du mir davon abraten auf dieser Maschine Onlinebanking zu machen, bis ich sie neu aufgesetzt habe?

4. Nützt es was, wenn ich morgens noch Knoppix drüberlaufen lasse, oder ist das overkill?

Dann mal herzlichen Dank ür deine aufgewendete Zeit!!

Gruss

cosinus

23.03.2014 01:13

Zitat:

1. Denkst du das Zertifikat kann wieder aktiviert werden?

Wieso fragst du das jetzt schon wieder, das Thema hatten wir doch!

Zitat:

2. Firefox hat bei mir eine RAM Benützung von 300-800 MB und die CPU Belastung ,vorallem wenn Facebook offen ist; von 10%-30% (i5-4200) ist das Besorgniserregend (irgendwas das sich in Firefox eingeschlichen hat) oder normal.

Ja das ist bei Facebook so.
Mal davon abgesehen hat man den RAM im Rechner, damit er auch genutzt wird und niht einfach nur brach rumliegt im Rechner.
Man hat keinen Nutzen davon wenn man zB 8 GiB RAM im Rechner hat davon aber ständig/immer mehrere GiB frei sind. Dann kann man sich gleich die Menge an RAM sparen wenn der RAM eh nie genutzt wird.

Zitat:

3. Würdest du mir davon abraten auf dieser Maschine Onlinebanking zu machen, bis ich sie neu aufgesetzt habe?

Nein warum? Außer etwas Adware wurde nichts gefunden. Und naja dein Office Crack.
Klingt mir alles aber ein wenig absurd, auf der einen Seite bist du jetzt ziemlich übervorsichtig kurz davor hattest aber noch ein Office Crack im System. Das passt nicht zusammen.

Zitat:

4. Nützt es was, wenn ich morgens noch Knoppix drüberlaufen lasse, oder ist das overkill?

Was hast du da bitte vor? Knoppix ist ein Live-Betriebssystem und kein Analysetool

demiurg

23.03.2014 01:25

Ich bin übervorsichtig da ich mir sicher bin, dass das .rtf file das Ziel hatte meinen PC zu infiszieren, der Office-Crack jedoch (zumindest primär) nicht (wird auch von vielen verwendet und bis jetzt habe ich noch nichts schlimmes darüber gehört).
Auch glaube ich kaum, dass das .rtf File die Adware installieren wollte und kann fast nicht glauben, dass das Zertifikatverweigern mich geschützt hat. Hört man doch, dass es teilweise bereits reicht eine infisierte Website zu öffnen.

Ich nehme an, es besteht die Möglichkeit, das sich Schadcode im Windowsbetrieb tarnen kann, unter Linux jedoch nicht.

cosinus

23.03.2014 01:42

Zitat:

Ich bin übervorsichtig da ich mir sicher bin, dass das .rtf file das Ziel hatte meinen PC zu infiszieren,

Und deswegen fragst du jetzt ob du es reakivieren sollst :confused: sry kann ich nicht nachvollziehen diese Denkweise

Zitat:

Auch glaube ich kaum, dass das .rtf File die Adware installieren wollte

Es wurde nirgends erwähnt, dass ein Zertifikat Adware installiert

Zitat:

Ich nehme an, es besteht die Möglichkeit, das sich Schadcode im Windowsbetrieb tarnen kann, unter Linux jedoch nicht.

Nochmal: Knoppix ist ein Betriebssystem, kein Analysetool.
Wenn es dein Gewissen beruhigt, dann starte den Rechner von der Kaspersky Rescue Disc die auf Linux basiert, damit kannst du von außen den Rechner auf Viren checken.

demiurg

23.03.2014 01:51

So wie ichs vertehe wollte die wurde aus der .rtf Datei die 47B...exe exportiert, und diese veruschte dann, mit dem Zertifikat Zugriff auf mein System zu erlangen. Falls diese 47B....exe nun vollkommen unschädlich gemacht wurde, kann das Zertifikat auch wieder verwendet werden, da es auch für durchaus seriöse Software verwendet wird. (Ich denke ich werde das Zertifikat vorsichtshaber deaktiviert lassen)

Mit der Aussage:

Zitat:

Auch glaube ich kaum, dass das .rtf File die Adware installieren wollte

Meinte ich: Ich nehme an durch das Zertifikat sollte etwas gröberes als nur die Adware eingeschleist werden. Daraus folgere ich, dass entweder:

- die Infektion nicht stattfinden konnte (wäre ich super glücklich drüber)
- die Infektion stattgefunden hat, die Analysetools sie jedoch nicht aufspüren konnten

Wahrscheinlich bin ich schon etwas paranoid, ich habe jedoch bis jetzt noch keine rfahrungen mit Viren gemacht und will nur auf Nummer ischer gehen.

cosinus

23.03.2014 02:05

Was ist denn jetzt noch an Problemen offen?

Alle Zeitangaben in WEZ +1. Es ist jetzt 01:35 Uhr.

Seite 2 von 3

100 Beiträge dieses Themas auf einer Seite anzeigen

1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 18 19 20 21 22 23 24 25 26 27 28 29 30 31 32 33 34 35 36 37 38 39 40 41 42 43 44 45 46 47 48 49 50 51 52 53 54 55 56 57 58 59 60 61 62 63 64 65 66 67 68 69 70 71 72 73 74 75 76 77 78 79 80 81 82 83 84 85 86 87 88 89 90 91 92 93 94 95 96 97 98 99 100 101 102 103 104 105 106 107 108 109 110 111 112 113 114 115 116 117 118 119 120 121 122 123 124 125 126 127 128 129 130 131