|
Mass Send Mail Saut geraumer Zeit blockiert meine Firewall immer schubweise ausgehende smtp Verbindungen aur verschiedene Server. Hier in kleiner Auszug aus der Logfile: Zitat:
Anbei noch ein hijackthis log. Bin für jede Hilfe dankbar. |
Zitat:
Lass sie mal bei Virustotal scannen und wenn du schon dabei bist scannst du diese Datei auch noch Zitat:
Markus |
Hi Markus, die beiden Dateien sind vertrauenswürdig, hab sie selber so Installiert. SRVANY.EXE sorgt dafür, dass RMClock als Prozess läuft und remoteterm.exe ist ne kleine Anwendung die ich brauchen um die Fernbedienung meiner Fernsehkarte zu benutzen. Files trotzdem mal gescannt: SRVANY: kein treffer nur Fortinet 2.77.0.0 05.17.2006 SrvAny meckert rum. remoteterm: no virus found |
Nun denn ist mein Latein fast am Ende. Scanne dein System noch mit Blacklight und Rootkitrevealer. Sonst soll mal ein Netzwerkspezi von hier drüber fliegn - erübrigt sich meistens im Laufe des Tages von selbst. mfg, Markus |
Zitat:
|
Hallo, werde noch nicht vollkommen schlau aus dem Rootkitrevealer Log, ist auch nicht gerade meine Stärke. Schau mal ob folgende Datei existiert: C:\WINDOWS\System32\Drivers\sysbus32.sys Außerdem löschst du mal deine Temp Dateien mit Cleanup! und postest die vier Logfiles der Datfind.bat, aber nur die Dateien der letzten drei Monate abkopieren! Grüße Wildone |
Also die Datei existiert nicht. Hier die Logs Zitat:
Zitat:
Zitat:
Zitat:
|
Hallo, hmm, ich kann nichts finden, bis auf diese alte Infektion vom 15.02., diese Dateien kannst du auf jeden Fall mal löschen, wird aber nichts an dem eigentlichen Problem ändern: 15.02.2006 21:13 43 drsmartload2.dat 15.02.2006 21:12 0 winsysupd81.dat 15.02.2006 21:12 0 gimmygames1.dat 15.02.2006 21:10 3.054 secure32.html 15.02.2006 21:09 76.800 kl1.exe 15.02.2006 21:09 0 uniq (alle auf C:\Windows) Mache mal noch zwei Sachen, erstens suche mal allgemein auf deinem system ob die Datei sysbus32.sys zu finden ist. Außerdem scannst mal noch mit Blacklight und postest das Log(wird automatisch im selben Pfad erstellt, fsbl**.txt). Außwerdem überprüfst du mal folgende Dateien hier unsd postest das jeweilige Ergebnis: 17.02.2006 09:56 235.750 rYsauto.dll 17.02.2006 09:43 235.750 rJssapi.dll 17.02.2006 09:19 235.750 bztsprx2.dll 16.02.2006 19:39 236.699 n0l80a3ued.dll 15.02.2006 21:12 32.984 msnscps.dll 15.02.2006 21:11 16.384 barseek.dll (alle System32 Ordner) Und poste danach nochmal die vier Logfiles, dieseas mal alle Einträge von diesem Jahr. Grüße Wildone |
Danke schonma für deinen Einsatz: Also hier nochma die 4 Logfiles: Zitat:
Zitat:
Zitat:
Zitat:
Zitat:
Zitat:
Zitat:
Zitat:
Zitat:
... could not acquire necessary privileges (SeDebugPrivilege ) |
Hallo, das sind zwar alles Trojaner, aber höchstwahrscheinlich auch nicht die Ursache für dein Problem. Lösche mal noch diese Dateien: 17.02.2006 09:56 235.750 rYsauto.dll 17.02.2006 09:43 235.750 rJssapi.dll 17.02.2006 09:19 235.750 bztsprx2.dll 16.02.2006 19:39 236.699 n0l80a3ued.dll 15.02.2006 21:12 32.984 msnscps.dll 15.02.2006 21:11 16.384 barseek.dll Blacklight Log kommt noch? Edit Bist du als Administrator angemeldet? Grüße Wildone |
Nein. Aber hab die Datei als Admin gestartet. barseek lässt sich nicht löschen. |
|
unhackme hat das mit sysbus32 entfernt. Kille jetzt die barseek und starte neu. Was ist mit den InprocServer32 Einträgen? |
Hallo, Zitat:
Zitat:
Grüße Wildone |
Zitat:
Log gabs leider nicht, aber es wurde nur der Registry Eintrag gelöscht. |
Hallo, Zitat:
Aber ich denke das wir das Problem immernoch nicht beseitigt haben. Du solltest eine Neuinstallation mal in Erwägung ziehen. Gerade weil der Verdacht auf ein Rootkit+Mailbot sehr nahe liegt. Und Rootkits graben sich so tief in das System ein das sie quasi nicht zu beseitigen sind. Eine Anleitung wie du beim Neuaufsetzen vorgehen solltest findest du hier. Grüße Wildone |
Neuaufsetzen wäre ein harter Schlag. Gibs keine andere Möglichkeit? |
Hallo, ich sehe eigentlich keine Alternative. Außerdem solltest du mal dein Verhalten im Internet hinterfragen, da war ja jetzt schon das ein oder andere auf deinem System... In Kurzform, keine Dateien aus unseriösen Quellen(Crackseiten, P2P, Mailanhänge...) ausführen. Und ansonsten die Tipps in der Anleitung beachten. Grüße Wildone |
Du wirst dich wundern, und ich wundere mich umso mehr, dass soviele Dateien drauf sind. Bin nur in nem eingeschränkten Konto. Benutze nur Firefox und lade auch eigentlich keine illegale Sachen runter, bis auf einen Crack vor nem halben Jahr wo ich mir auch SpySheriff gefangen hatte ( war mein persönlicher Fehler ). Den hatte ich aber entfernt. Desweiteren frage ich mich, warum mein Virenscanner keiner der Sachen gefunden hat? Hmm und seitdem der PC heute an ist, sind noch keine Smtp versuche rausgegangen. |
Hallo, hmm, eigentlich vorbildliches Verhalten, aber Spysheriff hast du eben nicht entfernt, denn Teile der entfernten Dateien waren noch von Spysheriff. Und wie konnten die bei einem eingeschränkten Benutzerkonto in den System32 Ordner kommen? Ansonsten scheinst du ja ganz gute Absicherungsmaßnahmen durchzuführen. Aber so wie ich das sehe hast du da was ganz übles auf dem System, und das versucht auch noch andere zu infizieren(ev. tunnelt es auch deine Desktopfirewall). Wenn du das System in einen vertrauenswürdigen Zustand zurückversetzen willst wäre ein Neuaufsetzen meiner Meinung die einzig sinnvolle Möglichkeit. Grüße Wildone |
Hmm okay vielen Dank für die Hilfe, dann setz ich mich ma eben an Backups, und dieses mal erstelle ich mir nen Image von meiner fertigen Installation. Noch ne kurze Frage: Wieso hat TrendMicro keiner der infizierten Dateien erkannt? |
Hallo, schwierige Frage. Eigentlich hätte das Programm sie erkennen müssen, schließlich ist diese Infektion nicht gerade neu. Vielleicht wurde der Scanner von Malware manipuliert, oder er hat einfach seine Schwächen bei dieser Infektion, genaues weiß man nicht. Ansonsten würde ich mich aber auch zukünftig nicht auf AV Programme verlassen, und wie schon beschrieben die Schleusen dicht machen. Wenn erstmal eine Infektion da ist, ist in den meisten Fällen das Kuind schon im Brunnen. Grüße Wildone |
Ok danke für deine Hilfe, ich meld mich wenn alles neu installiert ist. Werde gitarrespielend den Rechern neu installiern :teufel3: |
Sodele, scheint alles gut gelaufen zu sein. Vielen Dank nochma |
| Alle Zeitangaben in WEZ +1. Es ist jetzt 15:03 Uhr. |
Copyright ©2000-2025, Trojaner-Board