| Jana Bella | 14.06.2021 21:07 |
ROOTKIT AUF WINDOWS 7 FINDEN "GMER AUSWERTUNG" exe!KiCpuId + 978
Guten Abend liebe Leute ,
ich bin die Jana und IT Studentin an einer TU .
Ich weiss ganz sicher das ich mir ein Rootkit eingefangen habe.
Höchstwahrscheinlich über eine jpg pdf drive by attake oder einfach durch einen gezielten Hackerangriff.
An unserer Universität gibt es einige gute Computer Schüler .
Manchetesten auch einfach andere aus . Jetzt möchte ich auch mal etwas dagegen unternehmen .
In meinen Bekanntenkreis ist durchgesickert das mir jemand von denen ein Rootkit drauf gespielt hat.
und was ich an den letzten Abenden an meinen Computer und im Netz gemacht habe.
Jetzt will ich natürlich gegenmaßnahmen ergreifen und das Rootkit zweifelsfrei finden , ohne den PC neu Aufsetzen zu müssen.
Ich hoffe Jemand kann mir hier dabei helfen . Ich revanchiere mich auch gerne dafür :party:
Ich habe bereits mit Malewarebytes TDSS Killer und anderen Tools danach gesucht .
Nichts wurde gefunden , auch kein Wunder bei einen Rootkit .
Jetzt habe ich noch mit GMER einen Scan gemacht und Auffälligkeiten festgestellt.
Gmer zeigt mir die Log Datei : Code:
---- Kernel code sections - GMER 2.2 ----
.text C:\Windows\system32\ntoskrnl.exe!KiCpuId + 978 fffff80002cf9682 1 byte [21]
---- Registry - GMER 2.2 ----
Reg HKLM\SYSTEM\CurrentControlSet\services\BTHPORT\Parameters\Keys\402cf4d80747
Reg HKLM\SYSTEM\ControlSet002\services\BTHPORT\Parameters\Keys\402cf4d80747 (not active ControlSet)
---- EOF - GMER 2.2 ----
Bei geöffneten Firefox Browser sogar noch mehr :
GMER 2.2.19882 - hxxp://www.gmer.net
Rootkit scan 2021-06-14 21:35:02
Windows 6.1.7601 Service Pack 1 x64 \Device\Harddisk0\DR0 -> \Device\Ide\IdeDeviceP0T0L0-0 INTEL_SSDSA2BW160G3H rev.4PC10365 149,05GB
Running: swf5n4yz.exe; Driver: C:\Users\Privat\AppData\Local\Temp\ugdiapob.sys
---- Kernel code sections - GMER 2.2 ----
.text C:\Windows\system32\ntoskrnl.exe!KiCpuId + 978 fffff80002cf9682 1 byte [21]
---- User code sections - GMER 2.2 ----
.text C:\Program Files\Mozilla Firefox\firefox.exe[1700] C:\Windows\SYSTEM32\ntdll.dll!LdrLoadDll 000000007771ac90 13 bytes {MOV R11, 0x7fefae7b630; JMP R11}
.text C:\Program Files\Mozilla Firefox\firefox.exe[1700] C:\Windows\system32\kernel32.dll!SetUnhandledExceptionFilter 0000000077428bc0 13 bytes {MOV R11, 0x7feefc711e4; JMP R11}
.text C:\Program Files\Mozilla Firefox\firefox.exe[1700] C:\Windows\system32\kernel32.dll!RtlInstallFunctionTableCallback 000000007745b7b0 13 bytes {MOV R11, 0x7fefae82674; JMP R11}
.text C:\Program Files\Mozilla Firefox\firefox.exe[1700] C:\Windows\system32\USER32.dll!GetWindowInfo 0000000077548a24 13 bytes {MOV R11, 0x7feef978fd0; JMP R11}
.text C:\Program Files\Mozilla Firefox\firefox.exe[1052] C:\Windows\SYSTEM32\ntdll.dll!NtSetInformationThread 0000000077699870 7 bytes [48, B8, 0C, B9, 43, 3F, 01]
.text C:\Program Files\Mozilla Firefox\firefox.exe[1052] C:\Windows\SYSTEM32\ntdll.dll!NtSetInformationThread + 8 0000000077699878 6 bytes {ADD [RAX], AL; JMP RAX}
.text C:\Program Files\Mozilla Firefox\firefox.exe[1052] C:\Windows\SYSTEM32\ntdll.dll!NtOpenThreadToken 00000000776999e0 3 bytes [48, B8, 64]
.text C:\Program Files\Mozilla Firefox\firefox.exe[1052] C:\Windows\SYSTEM32\ntdll.dll!NtOpenThreadToken + 4 00000000776999e4 3 bytes [43, 3F, 01]
.text ... * 2
.text C:\Program Files\Mozilla Firefox\firefox.exe[1052] C:\Windows\SYSTEM32\ntdll.dll!NtOpenProcess 0000000077699a00 7 bytes [48, B8, E0, B7, 43, 3F, 01]
.text C:\Program Files\Mozilla Firefox\firefox.exe[1052] C:\Windows\SYSTEM32\ntdll.dll!NtOpenProcess + 8 0000000077699a08 7 bytes {ADD [RAX], AL; JMP RAX}
.text C:\Program Files\Mozilla Firefox\firefox.exe[1052] C:\Windows\SYSTEM32\ntdll.dll!NtSetInformationFile 0000000077699a10 3 bytes [48, B8, E0]
.text C:\Program Files\Mozilla Firefox\firefox.exe[1052] C:\Windows\SYSTEM32\ntdll.dll!NtSetInformationFile + 4 0000000077699a14 3 bytes [43, 3F, 01]
.text ... * 2
.text C:\Program Files\Mozilla Firefox\firefox.exe[1052] C:\Windows\SYSTEM32\ntdll.dll!NtOpenThreadTokenEx 0000000077699a90 3 bytes [48, B8, 88]
.text C:\Program Files\Mozilla Firefox\firefox.exe[1052] C:\Windows\SYSTEM32\ntdll.dll!NtOpenThreadTokenEx + 4 0000000077699a94 3 bytes [43, 3F, 01]
.text ... * 2
.text C:\Program Files\Mozilla Firefox\firefox.exe[1052] C:\Windows\SYSTEM32\ntdll.dll!NtOpenProcessTokenEx 0000000077699aa0 3 bytes [48, B8, 1C]
.text C:\Program Files\Mozilla Firefox\firefox.exe[1052] C:\Windows\SYSTEM32\ntdll.dll!NtOpenProcessTokenEx + 4 0000000077699aa4 3 bytes [43, 3F, 01]
.text ... * 2
.text C:\Program Files\Mozilla Firefox\firefox.exe[1052] C:\Windows\SYSTEM32\ntdll.dll!NtOpenFile 0000000077699ad0 7 bytes [48, B8, 70, B7, 43, 3F, 01]
.text C:\Program Files\Mozilla Firefox\firefox.exe[1052] C:\Windows\SYSTEM32\ntdll.dll!NtOpenFile + 8 0000000077699ad8 6 bytes {ADD [RAX], AL; JMP RAX}
.text C:\Program Files\Mozilla Firefox\firefox.exe[1052] C:\Windows\SYSTEM32\ntdll.dll!NtQueryAttributesFile 0000000077699b70 3 bytes [48, B8, B8]
.text C:\Program Files\Mozilla Firefox\firefox.exe[1052] C:\Windows\SYSTEM32\ntdll.dll!NtQueryAttributesFile + 4 0000000077699b74 3 bytes [43, 3F, 01]
.text ... * 2
.text C:\Program Files\Mozilla Firefox\firefox.exe[1052] C:\Windows\SYSTEM32\ntdll.dll!NtCreateFile 0000000077699cf0 7 bytes [48, B8, 34, B6, 43, 3F, 01]
.text C:\Program Files\Mozilla Firefox\firefox.exe[1052] C:\Windows\SYSTEM32\ntdll.dll!NtCreateFile + 8 0000000077699cf8 6 bytes {ADD [RAX], AL; JMP RAX}
.text C:\Program Files\Mozilla Firefox\firefox.exe[1052] C:\Windows\SYSTEM32\ntdll.dll!NtOpenProcessToken 000000007769a760 3 bytes [48, B8, 04]
.text C:\Program Files\Mozilla Firefox\firefox.exe[1052] C:\Windows\SYSTEM32\ntdll.dll!NtOpenProcessToken + 4 000000007769a764 3 bytes [43, 3F, 01]
.text ... * 2
.text C:\Program Files\Mozilla Firefox\firefox.exe[1052] C:\Windows\SYSTEM32\ntdll.dll!NtOpenThread 000000007769a7b0 3 bytes [48, B8, 40]
.text C:\Program Files\Mozilla Firefox\firefox.exe[1052] C:\Windows\SYSTEM32\ntdll.dll!NtOpenThread + 4 000000007769a7b4 3 bytes [43, 3F, 01]
.text ... * 2
.text C:\Program Files\Mozilla Firefox\firefox.exe[1052] C:\Windows\SYSTEM32\ntdll.dll!NtQueryFullAttributesFile 000000007769a900 3 bytes [48, B8, CC]
.text C:\Program Files\Mozilla Firefox\firefox.exe[1052] C:\Windows\SYSTEM32\ntdll.dll!NtQueryFullAttributesFile + 4 000000007769a904 3 bytes [43, 3F, 01]
.text ... * 2
.text C:\Program Files\Mozilla Firefox\firefox.exe[1052] C:\Windows\SYSTEM32\ntdll.dll!LdrLoadDll 000000007771ac90 13 bytes {MOV R11, 0x7fefae7b630; JMP R11}
.text C:\Program Files\Mozilla Firefox\firefox.exe[1052] C:\Windows\system32\kernel32.dll!TlsFree + 8 00000000774205d8 13 bytes {MOV R11, 0x7feeffb89e8; JMP R11}
.text C:\Program Files\Mozilla Firefox\firefox.exe[1052] C:\Windows\system32\kernel32.dll!TlsAlloc + 8 0000000077426148 13 bytes {MOV R11, 0x7feeffb899c; JMP R11}
.text C:\Program Files\Mozilla Firefox\firefox.exe[1052] C:\Windows\system32\kernel32.dll!RtlInstallFunctionTableCallback 000000007745b7b0 13 bytes {MOV R11, 0x7fefae82674; JMP R11}
---- Registry - GMER 2.2 ----
DIE KERNELDATEI : C:\Windows\system32\ntoskrnl.exe!KiCpuId + 978
kommt mir sehr verdächtig vor welche auch GMER anzeigt . Es soll auch Rootkits geben die nur bei geöffneten Browser (wie bei mir Firefox) aktiv sind .
Wer kann mir da bitte fachkundigen Rat geben und mir helfen den Übeltäter auf die Schkiche zu kommen .
Ganz Liebe Grüße Jana Bella :zunge: |
