Windows 8: Backdoorfund von Avira-Echtzeitscanner
 

Hallo,

der Echtzeitscanner von Avira hat vor gut 2 Wochen den Fund des Backdoorprogrammes BDS/KillWin.DG gemeldet.

(Funddatum war der 21.05., ich habe nur in der Quarantäne auf nochmal überprüfen geklickt.)

Als ich dann allerdings auf die Ereignisanzeige gegangen bin, musste ich feststellen, dass der gleiche Fund schon mehrmals über den Tag verteilt festgestellt wurde, mir jedoch nicht angezeigt wurde. Ich weiß nicht genau, was die Aktion 'Zugriff verweigern' konkret bedeutet. Nach der Avira Hilfe sollte es eigentlich nur die Möglichkeit des Löschens und Übergebens an Scanner geben, der die Datei dann in die Quarantäne verschiebt. Erst am Abend als ich meinen Laptop gerade aufgeklappt habe, ist unten dann ein Pop-Up-Fenster aufgetaucht, mit dem ich den Fund an den System-Scanner übergeben habe.

War der Virus dann mindestens den ganzen Tag noch aktiv, obwohl er eigentlich schon gefunden wurde?
Bzw. in der Virenbeschreibung steht ja Betriebssystem Win XP/Vista/7, heißt das, das der Virus nur dadrauf läuft und ich eigentlich gar nichts zu befürchten brauche, wenn ich Win8 habe?

Ich war dann erstmal nicht mehr wirklich im Internet, nur kurz 1-2 mal, um Avira upzudaten und war manchmal offline dran und hab verschiedene Scans mit Avira durchgeführt, die aber allesamt negativ waren. Nur für kurze Zeit, waren auf einmal 2 versteckte Objekte im Scan zu finden, die dann nach einem Neustart aber nicht mehr gefunden wurde.

Ich weiß nicht, ob das evtl. etwas damit zu tun haben könnte, aber mein Laptop zeigt mir seit noch nicht allzu langer Zeit plötzlich wieder an, dass ich ein Wiederherstellungsmedium erstellen sollte, obwohl ich das eigentlich direkt zu Beginn bereits gemacht habe.
Eine andere Sache, die ich nicht wirklich einschätzen kann, ist, dass bei der vorinstallierten App des Audiorecorders im Task-Manager bei den Eigenschaften unter Sicherheit zwei Unbekannte Konten mit einer langen Zahlenfolge hintendran gelistet sind. Das habe ich sonst bei keinem anderen Prozess gefunden.
Ich weiß auch nicht wirklich wie der Virus auf meinen Laptop kommen konnte, da ich zu der Zeit des Fundes nur den Google Übersetzer und Youtube verwendet habe (man braucht doch schon eine große Sicherheitslücke, damit einfach so ein Virus auf den PC landen kann oder?) und der Echtzeitscanner doch nicht aufeinmal ein Virus findet, das schon länger aktiv ist oder?

Ich wollte einfach mal eine fachkundige Meinung einholen, ob mein PC nun sauber und insbesondere sicher ist oder ob noch etwas zu machen wäre, insbesondere weil ich in einem anderen Thread gelesen habe, dass man bei einem Backdoorbefall eigentlich direkt neuaufsetzen sollte.

Vielen Dank schon einmal im Voraus!

Hier sind noch die Scans von GMER und FRST.

FRST.txt

FRST Logfile:
--- --- ---


Addition.txt
[CODE]Additional
FRST Logfile:
--- --- ---


GMER.txt

hi,

Downloade dir bitte Malwarebytes Anti-Rootkit und speichere es auf deinem Desktop.

• Starte bitte die mbar.exe.
• Folge den Anweisungen auf deinem Bildschirm gemäß Anleitung zu Malwarebytes Anti-Rootkit
• Aktualisiere unbedingt die Datenbank und erlaube dem Tool, dein System zu scannen.
• Klicke auf den CleanUp Button und erlaube den Neustart.
• Während dem Neustart wird MBAR die gefundenen Objekte entfernen, also bleib geduldig.
• Nach dem Neustart starte die mbar.exe erneut.
• Sollte nochmal was gefunden werden, wiederhole den CleanUp Prozess.

Das Tool wird im erstellten Ordner eine Logfile ( mbar-log-<Jahr-Monat-Tag>.txt ) erzeugen. Bitte poste diese hier.

Starte keine andere Datei in diesem Ordner ohne Anweisung eines Helfers

Downloade dir bitte TDSSKiller.exe und speichere diese Datei auf dem Desktop

• Starte die TDSSKiller.exe - Einstellen wie in der Anleitung zu TDSSKiller beschrieben.
• Drücke Start Scan
  
• Sollten infizierte Objekte gefunden werden, wähle keinesfalls Cure. Wähle Skip und klicke auf Continue.
  TDSSKiller wird eine Logfile auf deinem Systemlaufwerk speichern (Meistens C:\)
  Als Beispiel: C:\TDSSKiller.<Version_Datum_Uhrzeit>log.txt

Poste den Inhalt bitte in jedem Fall hier in deinen Thread.

Nach dem Entpacken von Malwarebytes Anti-Rootkit kommt folgendes Fenster:

"Probable rootkit activity detected:

Rootkit value "AppInit_Dlls" has been found, which may be cuased by rootkit activity.

Note: Rpess "No" button if you're not sure. If the tool chrashes or terminates unexpectedly during a system scan, restart the tool and press "Yes" should this message appear again.

Do you want to remove this value and restart the tool?"

Beide Scans sind negativ ausgefallen.

Malwarebytes
Die eben genannte Fehlermeldung kommt aber nach erneutem Öffnen wieder.

TDSSKiller:

hi,

Downloade Dir bitte Malwarebytes Anti-Malware

• Installiere das Programm in den vorgegebenen Pfad. (Bebilderte Anleitung zu MBAM)
• Starte Malwarebytes' Anti-Malware (MBAM).
• Klicke im Anschluss auf Scannen, wähle den Bedrohungssuchlauf aus und klicke auf Suchlauf starten.
• Lass am Ende des Suchlaufs alle Funde (falls vorhanden) in die Quarantäne verschieben. Klicke dazu auf Auswahl entfernen.
• Lass deinen Rechner ggf. neu starten, um die Bereinigung abzuschließen.
• Starte MBAM, klicke auf Verlauf und dann auf Anwendungsprotokolle.
• Wähle das neueste Scan-Protokoll aus und klicke auf Export. Wähle Textdatei (.txt) aus und speichere die Datei als mbam.txt auf dem Desktop ab. Das Logfile von MBAM findest du hier.
• Füge den Inhalt der mbam.txt mit deiner nächsten Antwort hinzu.

Downloade Dir bitte AdwCleaner auf deinen Desktop.

• Schließe alle offenen Programme und Browser. Bebilderte Anleitung zu AdwCleaner.
• Starte die AdwCleaner.exe mit einem Doppelklick.
• Stimme den Nutzungsbedingungen zu.
• Klicke auf Optionen und vergewissere dich, dass die folgenden Punkte ausgewählt sind:
  • "Tracing" Schlüssel löschen
  • Winsock Einstellungen zurücksetzen
  • Proxy Einstellungen zurücksetzen
  • Internet Explorer Richtlinien zurücksetzen
  • Chrome Richtlinien zurücksetzen
  • Stelle sicher, dass alle 5 Optionen wie hier dargestellt, ausgewählt sind
• Klicke auf Suchlauf und warte bis dieser abgeschlossen ist.
• Klicke nun auf Löschen und bestätige auftretende Hinweise mit Ok.
• Dein Rechner wird automatisch neu gestartet. Nach dem Neustart öffnet sich eine Textdatei. Poste mir deren Inhalt mit deiner nächsten Antwort.
• Die Logdatei findest du auch unter C:\AdwCleaner\AdwCleaner[Cx].txt. (x = fortlaufende Nummer).

Beende bitte Deine Schutzsoftware um eventuelle Konflikte zu vermeiden.
Bitte lade Junkware Removal Tool auf Deinen Desktop

• Starte das Tool mit Doppelklick. Ab Windows Vista (oder höher) bitte mit Rechtsklick "als Administrator ausführen" starten.
• Drücke eine beliebige Taste, um das Tool zu starten.
• Je nach System kann der Scan eine Weile dauern.
• Wenn das Tool fertig ist wird das Logfile (JRT.txt) auf dem Desktop gespeichert und automatisch geöffnet.
• Bitte poste den Inhalt der JRT.txt in Deiner nächsten Antwort.

und ein frisches FRST log bitte.

Guten Abend,

hier die Logfiles:

mbam.txt

AdwCleaner

Kleine Frage, was wurde da eigentlich genau aus der Registrierungsdatenbank gelöscht, weil mir eigentlich keine Funde angezeigt wurden?


JRT.txt

Auch hier die kleine Frage, wieso das Programm denn den Ordner in Firefox geleert hat.

Und hier noch FRST.txt


FRST Logfile:
--- --- ---


Und Addition.txt
[CODE]Additional
FRST Logfile:
--- --- ---

ESET Online Scanner

• Hier findest du eine bebilderte Anleitung zu ESET Online Scanner
• Lade und starte Eset Online Scanner
• Setze einen Haken bei Ja, ich bin mit den Nutzungsbedingungen einverstanden und klicke auf Starten.
• Aktiviere die "Erkennung von eventuell unerwünschten Anwendungen" und wähle folgende Einstellungen.
• Klicke auf Starten.
• Die Signaturen werden heruntergeladen, der Scan beginnt automatisch.
• Klicke am Ende des Suchlaufs auf Fertig stellen.
• Schließe das Fenster von ESET.
• Explorer öffnen.
• C:\Programme\Eset\EsetOnlineScanner\log.txt (bei 64 Bit auch C:\Programme (x86)\Eset\EsetOnlineScanner\log.txt) suchen und mit Deinem Editor öffnen (bebildert).
• Logfile hier posten.
• Deinstallation: Systemsteuerung => Software / Programme deinstallieren => Eset Online Scanner V3 entfernen.
• Manuell folgenden Ordner löschen und Papierkorb leeren => C:\Programme\Eset

Downloade Dir bitte SecurityCheck und:

• Speichere es auf dem Desktop.
• Starte SecurityCheck.exe und folge den Anweisungen in der DOS-Box.
• Wenn der Scan beendet wurde sollte sich ein Textdokument (checkup.txt) öffnen.

Poste den Inhalt bitte hier.

und ein frisches FRST log bitte. Noch Probleme? :)

Akute Probleme gab es ja zum Glück von Anfang an keine.
Die Fragen bleiben halt noch etwas bestehen ;)
Aber trotzdem schon einmal vielen Dank :)

Eset
SecurityCheck
Und die neuen FRST-Logs. Kann man da noch irgendwas auffälliges herauslesen?


FRST Logfile:
--- --- ---


Addition.txt
[CODE]Additional
FRST Logfile:
--- --- ---

Java updaten. Logs sind sauber. welche Fragen? :)

Windows 8: Backdoorfund von Avira-Echtzeitscanner
 

Java kann ich eigentlich gleich komplett deinstallieren.

Das klingt aufjedenfall schonmal gut :)
Vielen Dank für deine Hilfe.

Zu den Fragen (ich versuche, mich nur auf die wichtigsten zu reduzieren ;) ) :

1. Gibt es eine Erkärung, wieso die Erkennung durch Avira etwas merkwürdig verlaufen ist? (7mal erkannt, bevor es dem Benutzer über das standardmäßige Pop-Up-Fenster gemeldet wurde)?

2. Ist es wahrscheinlicher, dass der Virus schon längere Zeit auf dem PC war oder das der Echtzeitscanner diesen direkt erkannt hat, als er auf den Rechner kam?

3. Kann man etwas über die zwei versteckten Objekte sagen, die Avira für eine Sitzung gefunden hat? (Nach Neustart nicht mehr) Lag das möglicherweise an einer halb abgeschlossenen Systemaktualisierung?
(Der Suchlauf nach versteckten Objekten wird begonnen.
Fehler in der ARK Library
Versteckter Thread
\Device\HarddiskV)

4. Gibt es eine Erklärung dafür, dass mich mein Rechner seit noch nicht allzu langer Zeit wieder dazu auffordert, ein Wiederherstellungsmedium zu erstellen, obwohl ich das eigentlich direkt zu Beginn gemacht habe?

5. Wieso wird in den Eigenschaften des Prozesses vom Audiorekorder ein unbekanntes Konto angezeigt (s. Bild)?

6. Diese Fehlermeldung zu Beginn von Malwarebytes Anti-Rootkit ist ungefährlich?

"Probable rootkit activity detected:

Rootkit value "AppInit_Dlls" has been found, which may be caused by rootkit activity.

Note: Press "No" button if you're not sure. If the tool chrashes or terminates unexpectedly during a system scan, restart the tool and press "Yes" should this message appear again.

Do you want to remove this value and restart the tool?"

7. Wieso hat der AdwCleaner die im Log angezeigten Registrierungsschlüssel gelöscht?

8. Wieso hat das JRT Tool den im Log angegebenen Ordner von Firefox gelöscht und sollte man das immer wieder mal tun?

9. Ist ein Rootkit eigentlich gleichzeit auch das Programm, das schädliche Prozesse ausführt oder dient es nur dazu, immer wieder schädliche Programme reinzulassen bzw. zu verstecken und sind diese versteckten Programme dann genauso schwer auffindbar wie das Rootkit? Und gibt es eigentlich irgendwelche Hinweise, die auf einen gut versteckten Rootkit hindeuten (Ich meine jezt allgemein bei der gewöhnlichen Nutzung)?

10. Mbar, Mbam, TdssKiller und Eset kann ich als Scanner nach den hier angegeben Einstellungen immer wieder mal laufen lassen oder?

11. Noch eine letzte Sicherheitsfrage: Bei Youtube ist mir aufgefallen, dass dort aktuell der HTML5-Videoplayer standardmäßig genutzt wird. Ist der sicher oder sollte ich wieder auf den Flash-Player umsteigen?

Sind jezt doch einige Fragen geworden, auch wenn mir klar ist, dass die nicht alle eindeutig beantwortbar sind :)
Das ist einfach die Neugierde ;)

Vielen Dank noch einmal, dass ich mich jezt wieder sicher fühlen kann :) :dankeschoen:
Malware halte ich mir zum Glück normal erfolgreich fern, aber wenn es dann doch irgendwie einmal durchkommt, wird mir dieses eigentlich viel zu unbekannte Technikzeugs immer etwas suspekt ;)

Wenn, dann nur vom Avira Support :)
Ich denke immer noch dass das Ganze ein Fehlalarm von Avira war. Wir haben Adware entfernt, aber da war kein Backdoor.
3 und 4 weiß ich nicht. 6 ist normal. Unbekannte Konten werden immer angezeigt, werden von Windows selbst angelegt.
Weil die beiden Tools Adware entfernen :)
Ein Rootkit wirst du nicht merken, ausser den AV sagt es dir.
https://blog.kaspersky.de/was-ist-ein-rootkit/853/
MBAM ja, ESET auch, Rest würde ich lassen.
Definitiv HTML5
HTML5 und Flash im Vergleich - Das Erbe von Flash - Software - PC-WELT

2. Ich könnte vielleicht mal dem Avira Support die Datei zu kommen lassen, damit die prüfen können, ob das evtl. ein Fehlalarm war, das müsste ja eigentlich möglich sein.

7. und 8.
War das eBay.ink dann wirklich Adware? Das war eigentlich vorinstalliert auf dem System bzw. ist ja nur eine Verknüpfung oder war die Adware dann in den Registrierungsschlüsseln?

-------------------------------------------------------------------------------
Jezt wollte ich mich eigentlich noch einmal für das Beantworten der Fragen bedanken und die ganze Sache abschließen, allerdings wurde gerade eben beim Mbam-Scan eine infizierte Datei gefunden.

Kann man irgendetwas über das Ding sagen?

Währenddessen hat sich Avira zweimal gemeldet (wobei komischerweise wieder nur einmal ein Pop-Up-Fenster erschienen ist). Das eine Mal aufjedenfall, als es um das Verschieben in die Quarantäne ging, deshalb denke ich, dass das damit zusammenhängt. Das Verschieben müsste durch den Neustart dann ja trotzdem geklappt haben.

Ich habe gleich noch mal einen FRST-Scan gemacht.

FRST.txt

FRST Logfile:
--- --- ---


Addition.txt
[CODE]Additional
FRST Logfile:
--- --- ---

die Quarantine.exe gehört zu AdwCleaner oder JRT, also Fehlalarm.

Avira ist witzig, immer wenn wir mit unsern Tools arbeiten wollen wird der Zugriff auf die Registry gesperrt, auch wenn Avira aus ist. Aber Malware darf auf den Rechner......

Windows 8: Backdoorfund von Avira-Echtzeitscanner
 

Ok, alles klar. Ich hatte schon gehofft, dass das etwas in der Art ist.

Dann hoffe ich, dass es jezt erstmal wieder eine lange Zeit ruhig ist :)
Vielen Dank noch einmal für die Hilfe! :daumenhoc

Gern Geschehen :)