Windows 10 im August aus laufendem Win7Ultimate geupdatet, danach richtig üble Rootkit + Spyware Infektion...
 

...eingefangen. Ich habe einen core-i7, auf dem Win10Pro64 Bit läuft und ein paar Linuxe auf einer externen, die ich aber als Quelle fast ausschließen kann, da komplett verschlüsselt und nicht in Betrieb z.Zt.
Das Windows läuft auf einer 250er SSD, und gestern Abend habe ich mit der Todsünde angefangen, ein paar andere Drives wieder einzubauen.
Musste danach noch mehrfach einen Clean Install machen, zuletzt mit der Build 1511, weil ich erst die gesamte Platte whipen musste... Ich habe in den letzten Wochen Logs ohne Ende gelesen, weil ich privat sowieso gerade mit dem Thema "auffrische".

Es war teilweise wirklich erschreckend und auch ein Bisschen beeindruckend, was der Typ drauf hatte. Offensichtlich war ich nach dem Update am Anfang noch nicht gegen Shellshock gepatcht, das zeigen mehrere Wireshark-Logs, bei denen ich Live dabei war.
Außerdem habe ich in diversen Logfiles immer wieder was vom MIG-Rootkit gelesen, und als ich eines Abends auf meiner Couch auf dem Tablet das Buch "Rootkit Analysis" oder so ähnlich gelesen habe, waren morgens in der PDF Datei bestimmte Seiten markiert, sachen von meinen Datenträgern verschwunden, anders angeordnet usw.
Impressive - und Scary.
Dazu immer wieder Bluescreens, gestern auf *diesem* Windows 10 gleich drei hintereinander, zweimal Pagefault in nonpaged area, einmal "clock watchdog timeout", oder auch "IRQ not less or equal"... Wobei ich gleichzeitig probleme hatte eine DVBC-Karte zu installieren und den Nvidiatreiber zu updaten. Die BSODs müssen also nicht von der Malware kommen.

Ich habe jetzt eine Routerkaskade gebaut und hänge so hinter zwei Hardwarefirewalls, die so ziemlich alles geben was sie haben an Port-Filtering und IP-Blocking. Die Windows Firewall ist extrem aggro eingestellt.

Außerdem habe ich heute zum 8. Mal Windows10Pro neu installiert und so langsam das Gefühl, ich sehe Land.
Leider ist es immer noch so, dass immer wieder Netzwerkshares auftauchen, die ich gerade erst gelöscht habe, und ich auf ganze Festplatten nicht zugreifen kann, weil ich nicht Besitzer bin. Ich bin nur Administrator ;) (und das auch nur, bis der Scheiß vorbei ist).
Ich fange mal an mit den beiden angeforderten Logs und schau mal, was ich dann noch so habe.
Ich kann jetzt natürlich auch noch logs der letzten Monate hochladen, aber dass da was immer noch nicht stimmt sehe ich sogar selber :/

Dann hier noch zwei Whireshark-Logs, ich glaube das war eine der Live Attacken...
Beim Analysieren der Logs sind mir in den letzten Wochen immer wieder folgende IPs aufgefallen, vielleicht kommen die jmd. bekannt vor:
203.72.43.33
192.192.192.168 (!) Linkes Ding, mein Standardgateway ist nämlich pdefault 192.168.192.1
104.43.235.245
158.85.58.118
239.255.255.250
244.0.0.252
asa552.ais.ipsec.net

Allerdings habe ich vor ein paar Wochen so ziemlich alle gängigen Blacklists abgefragt, da waren sie noch nicht als C2s registriert.
Besonders aktiv waren 203.72.43.33 und 239.255.255.250... Als ich auf die Frechheit kam, nebenher beide mal mit Nmap zu bearbeiten, war es, als hätte ich in ein Hornissennest gestochen...

Ich hoffe, Ihr könnt mir irgendwie sagen, wie es weitergehen soll, zur Not auch nochmal mit Neuinstallation... Irgendwas habe ich offensichtlich ja jedes Mal falschgemacht danach...

Ach so, bevor ichs vergesse: Hier ging es nicht nur um Portscans, sondern um Identitäbsdiebstahl, denn mein Google-Konto und mein GMX-Konto wurden gehackt, genau wie Amazon und ein paar weniger wichtige Sachen.
Ich muss mir halt auch erst irgendwie Passwort-Reuse abgewöhnen, geht nicht von heute auf morgen :(

Danke, und ein Schönes WE allen

Fast hätte ich was Wichtiges vergessen.
Ich kenne Eure Einstellung zu Keygens etc., bin ja auch schon seit Jahren hier immer mal wieder aktiv, und habe inzwischen dieselbe entwickelt. Trotzdem kann es sein, dass in meinen Logs Spuren von derartigem auftauchen, das gebe ich mal gleich vorab zu. Die Windows 10 Neuinstallation sollte mich von allen Altlasten aus XP und 7- Zeiten befreien.
Und ja, ich weiß dass auf einer der Festplatten ein Ordner voller Malware liegt. Weil ich mir bei der Durcharbeit irgendeines Buches gelegentlich mal Samples in IDAPro anschaue und, wie gesagt, gerade in das Thema hereinarbeite.
Da es bei mir beruflich wohl eher Richtung Netzwerkadministration oder Softwareentwicklung geht, als Richtung Hacking for fun, werde ich damit auch nicht aufhören können.

Aber dass ich eine eigene Maschine für solche "Ausflüge" brauche, weiß ich inzwischen selber, und ab sofort gibt es auch nur noch separate Platten und nix mehr mit VM-Ware etc...
Ich hoffe daher, dass Ihr mir trotzdem helfen könnt.
Danke!

Hi

Dein Windows stammt aus welcher Quelle? Bzw mit welchem Installationsmedium wurde es aufgesetzt?

Da du Cracks und Keygens selbst erwähnst, hast du selbige auf dieser Installation ausgeführt?

Hallo,
nein, natürlich nicht, selbst für das Windows 7 Ultimate, aus dem ich das initial-Upgrade gemacht habe, hatte ich einen legitimen Key, und beim Neuaufsetzen wird Win10 auch immer sofort als aktiviert anerkannt.
Die ersten zwei drei Mal habe ich eine Windows10 ISO aus dem Sommer genommen, wegen dem Update-Wahnsinn nach dem ersten Systemstart habe ich dann aber zuletzt, wie oben beschrieben, die ISO Build 1115 genommen, die es zeitweise bei Microsoft gab, aber auch bei chip.de oder sonstwo.
Das ist also ein legales Windows 10, zumindest nach meinem Verständnis...
Wie gesagt, ich will ja gerade komplett raus aus der Warez-Szene, eigentlich auch weg von Windows, hin zu Linux, was ich parallel schon länger mitlaufen lasse (andere Maschine, ganz praktisch zum Sniffen im eigenen Netz).

Wie gesagt, es ist gut möglich dass auf der einen uralten 1 GIG Platte (drei Partitionen, eine müsste ein bootbares Win7 sein, von dem aus ich aber NICHT das Upgrade gemacht habe) irgendwas an Keygens rumliegt, aber aktiv benutzt werden die höchstens noch beim reverse engeneering.

PS: Wieso fragst Du? Sieht mein Windows gecrackt aus? Wenn es bei der Analyse weiterhilft, setze ich es mit dem gleichen Installationsmedium nochmal neu auf, klemme alle anderen Platten ab und mache neue Logs direkt nach der Installation... Führt wahrscheinlich sowieso kein Weg dran vorbei...
Übrigens, der Grund, warum nur private Benutzerkonten existieren und kein @hotmail-Account ist der, dass ich meinen Zugang sperren lassen musste, weil er gehackt wurde... Bin noch dabei, mit Microsoft eine Lösung zu finden wie ich mich neu legitimieren kann.

*push*
Hat wirklich niemand eine Idee, wie ich weiter vorgehen sollte?

Adware/Junkware/Toolbars entfernen

1. Schritt: Malwarebytes

Downloade Dir bitte Malwarebytes Anti-Malware

• Installiere das Programm in den vorgegebenen Pfad. (Bebilderte Anleitung zu MBAM)
• Starte Malwarebytes' Anti-Malware (MBAM).
• Klicke im Anschluss auf Scannen, wähle den Bedrohungssuchlauf aus und klicke auf Suchlauf starten.
• Lass am Ende des Suchlaufs alle Funde (falls vorhanden) in die Quarantäne verschieben. Klicke dazu auf Auswahl entfernen.
• Lass deinen Rechner ggf. neu starten, um die Bereinigung abzuschließen.
• Starte MBAM, klicke auf Verlauf und dann auf Anwendungsprotokolle.
• Wähle das neueste Scan-Protokoll aus und klicke auf Export. Wähle Textdatei (.txt) aus und speichere die Datei als mbam.txt auf dem Desktop ab. Das Logfile von MBAM findest du hier.
• Füge den Inhalt der mbam.txt mit deiner nächsten Antwort hinzu.

(alte Versionen von adwCleaner und falls vorhanden JRT vorher löschen, danach neu runterladen auf den Desktop!)

2. Schritt: adwCleaner

Downloade Dir bitte AdwCleaner auf deinen Desktop.

• Schließe alle offenen Programme und Browser. Bebilderte Anleitung zu AdwCleaner.
• Starte die AdwCleaner.exe mit einem Doppelklick.
• Stimme den Nutzungsbedingungen zu.
• Klicke auf Optionen und vergewissere dich, dass die folgenden Punkte ausgewählt sind:
  • "Tracing" Schlüssel löschen
  • Winsock Einstellungen zurücksetzen
  • Proxy Einstellungen zurücksetzen
  • Internet Explorer Richtlinien zurücksetzen
  • Chrome Richtlinien zurücksetzen
  • Stelle sicher, dass alle 5 Optionen wie hier dargestellt, ausgewählt sind
• Klicke auf Suchlauf und warte bis dieser abgeschlossen ist.
• Klicke nun auf Löschen und bestätige auftretende Hinweise mit Ok.
• Dein Rechner wird automatisch neu gestartet. Nach dem Neustart öffnet sich eine Textdatei. Poste mir deren Inhalt mit deiner nächsten Antwort.
• Die Logdatei findest du auch unter C:\AdwCleaner\AdwCleaner[Cx].txt. (x = fortlaufende Nummer).

3. Schritt: JRT - Junkware Removal Tool

Beende bitte Deine Schutzsoftware um eventuelle Konflikte zu vermeiden.
Bitte lade Junkware Removal Tool auf Deinen Desktop

• Starte das Tool mit Doppelklick. Ab Windows Vista (oder höher) bitte mit Rechtsklick "als Administrator ausführen" starten.
• Drücke eine beliebige Taste, um das Tool zu starten.
• Je nach System kann der Scan eine Weile dauern.
• Wenn das Tool fertig ist wird das Logfile (JRT.txt) auf dem Desktop gespeichert und automatisch geöffnet.
• Bitte poste den Inhalt der JRT.txt in Deiner nächsten Antwort.

4. Schritt: Frisches Log mit FRST

Bitte lade dir die passende Version von Farbar's Recovery Scan Tool auf deinen Desktop: FRST 32-Bit | FRST 64-Bit
(Wenn du nicht sicher bist: Lade beide Versionen oder unter Start > Computer (Rechtsklick) > Eigenschaften nachschauen)

• Starte jetzt FRST.
• Ändere ungefragt keine der Checkboxen und klicke auf Untersuchen.
• Die Logdateien werden nun erstellt und befinden sich danach auf deinem Desktop.
• Poste mir die FRST.txt und nach dem ersten Scan auch die Addition.txt in deinem Thread (#-Symbol im Eingabefenster der Webseite anklicken)

Hy,
danke erstmal für Deine Unterstützung! Ich habe den Rechner jetzt zwei Tage praktisch nicht angefasst, und trotzdem war Windows nach dem Start völlig unbenutzbar. Ich musste daher neu aufsetzen, das hier ist ein brandneues Win10Pro 64 Bit.
Das Einzige, was ich gemacht habe, waren ein zweiter Useraccount ohne Adminrechte und das manuelle Festlegen meiner Ethernet-Einstellungen (als alles auf Automatik stand war es mir nicht möglich, aktuelle Virenscanner zu laden!). Außerdem habe ich im Domänenprofil und im Öffentlichen Profil die Firewall komplett dichtgemacht (in- und Outbound).

Sogar die Updates laufen im Hintergrund noch, und es sind längst noch nicht alle Treiber installiert. Ich habe trotzdem alles in der Reihenfolge gemacht wie von Dir vorgegeben, zwar als "Normaluser", aber natürlich mit Adminrechten per Rechtsklick. Keine Funde, aber ein geänderter Computername ist mir schon mal aufgefallen, den ich so nicht eingegeben habe.
Hier die Logs:
....Tja, hier sollten nun Logs stehen, leider ist es mir nicht möglich, diese zu öffnen, bzw. sie sind nicht mehr vorhanden. Ich werde also die Updates noch kurz laufen lassen und dann alles nochmal machen, mit abgeklemmtem Internet......

Krasse Sache, es ist mir nicht möglich, die Logs von meinem PC aus zu posten, bin jetzt per Tablet und HSDPA online.
MBAM:
[CODE] Malwarebytes Anti-Malware
www.malwarebytes.org

Suchlaufdatum: 16.12.2015
Suchlaufzeit: 01:30
Protokolldatei: mbam.txt
Administrator: Ja

Version: 2.2.0.1024
Malware-Datenbank: v2015.12.15.07
Rootkit-Datenbank: v2015.12.07.01
Lizenz: Kostenlose Version
Malware-Schutz: Deaktiviert
Schutz vor b�sartigen Websites: Deaktiviert
Selbstschutz: Deaktiviert

Betriebssystem: Windows 10
CPU: x64
Dateisystem: NTFS
Benutzer: Admin

Suchlauftyp: Bedrohungssuchlauf
Ergebnis: Abgeschlossen
Durchsuchte Objekte: 390671
Abgelaufene Zeit: 3 Min., 54 Sek.

Speicher: Aktiviert
Start: Aktiviert
Dateisystem: Aktiviert
Archive: Aktiviert
Rootkits: Aktiviert
Heuristik: Aktiviert
PUP: Aktiviert
PUM: Aktiviert

Prozesse: 0
(keine b�sartigen Elemente erkannt)

Module: 0
(keine b�sartigen Elemente erkannt)

Registrierungsschl�ssel: 0
(keine b�sartigen Elemente erkannt)

Registrierungswerte: 0
(keine b�sartigen Elemente erkannt)

Registrierungsdaten: 0
(keine b�sartigen Elemente erkannt)

Ordner: 0
(keine b�sartigen Elemente erkannt)

Dateien: 0
(keine b�sartigen Elemente erkannt)

Physische Sektoren: 0
(keine b�sartigen Elemente erkannt)


(end)[ /CODE]

--- --- ---

[CODE]
FRST Logfile:
--- --- ---

Meine Güte, da hat aber jemand schwer was dagegen gehabt, dass die Logs online gehen.
Also, ich hab ja schon einiges erlebt, aber diesmal... Windows, unbenutzbar, direkt nach der Installation...