Kann trotz Authentificators von Blizzard in WoW gehackt werden und denke ich habe einen Trojaner o.Ä.
 

Sehr geehrte Damen und Herren,
Seit 3 Tagen nun wird mein World of Warcraft Account von einem Hacker geplagt, der mich trotz des Authentificators von Blizzard hacken kann. Blizzard hat mir auf Anfrage eine E-Mail zukommen lassen, die mir helfen sollte den Trojaner zu beseitigen.

Das sollte über HijackThis passieren, wo ich eine Himym.dll Datei finden und beseitigen sollte. Leider habe ich diese Datei nicht gefunden. Auch weitere Suche im Internet nach ähnlichen Trojanern (Disker.dll) hat in meinen (HijackThis)Logs keinen Fund erbracht.

Ich habe auch mein Smartphone auf Viren/Trojaner überprüft. Hierbei bin ich jedoch unsicher wie gut ich das gemacht habe. Der Battle.Net Authentificator ist mit meinem Handy verbunden. Ich bekomme immer, wenn sich jemand einloggt eine Nachricht auf mein Handy, wo ich akzeptieren muss, dass das okay ist. Bei dem Hacker ist das jedoch nicht der Fall.

Hier sind erstmal meine Logs:

Die Addition Datei und Malwarebytes sind im Anhang.
Ich danke jedem, der mal einen Blick drauf wirft und versucht mir zu helfen.

Wer erzählt sowas?
Hijackthis wird seit fast 10 Jahren nicht mehr benutzt!

Das stand in der E-Mail, die ich von Blizzard erhalten habe.

Hier die E-Mail

"Hallo!

Vielen Dank für Ihre Rückmeldung bezüglich Ihrem Account.

Da dieser innerhalb kürzester Zeit zwei mal kompromittiert worden ist, obwohl Sie mit einem Authenticator abgesichert sind, gehen wir davon aus, dass für den Fremdzugriff auf Ihren Account ein Trojaner verantwortlich ist, welcher mit einem Tool zur Verwaltung der Addons für World of Warcraft auf das System geschmuggelt wurde und die Logindaten auf dem Weg zwischen Spielclient und Server abfängt: <hxxp://de.wikipedia.org/wiki/Man-in-the-middle-Angriff>

Bitte begeben Sie Sich auf diese Seite (hxxp://www.hijackthis.de/de) und laden Sie das Program ""HijackThis"" runter. (Oben rechts)

Klicken Sie danach in HijackThis auf die Option für den Systemscan mit Erstellung einer Log-Datei. Den Text, der so erstellten Datei müssen Sie so wie er ist in das Textfeld der oben verlinkten Seite einfügen, um eine Auswertung zu erhalten.

Sollten Sie in der Auswertung eine Datei mit der Bezeichnung ""himym.dll"" finden, wurde Ihr PC infiziert und Ihr Account ist trotz des Authenticators stark gefährdet.

Deinstallieren Sie den Addon-Client von Ihrem System und leeren Sie auch den Papierkorb. Stellen Sie sicher, dass Ihr Rechner über ein Netzwerkkabel an den Router angeschlossen ist.
Starten Sie das System dann im abgesicherten Modus mit Netzwerktreibern. Falls Sie nicht wissen, wie das gemacht wird, findet Sie hier eine Anleitung dafür. <hxxp://eu.battle.net/support/de/article/abgesicherter-modus>

Laden Sie in diesem Modus die kostenlose Version des Programms ""Malwarebytes"" herunter, installiert Sie es und bringen es auf den aktuellen Stand.
Lassen Sie daraufhin (noch immer im abgesicherten Modus) einen vollen Systemscan durchführen und entfernen Sie gegebenenfalls gefundene Schadsoftware. Startet Sie den Rechner danach neu und lassen Sie ihn normal hochfahren.

Erstellen Sie daraufhin bitte erneut ein Log mit HijackThis und prüfen, ob die erwähnte himym.dll noch immer dort auftaucht."

Der Blizzard-Support empfiehlt Hijackthis? :wtf:

Wir verwenden HJT schon seit Jahren nicht mehr. Weil das Tool einfach unbrauchbar ist, es scannt einfach viele Bereiche nicht. Siehe auch http://www.trojaner-board.de/95173-b...es-posten.html

Davon mal abgesehen find ich das auch schon ganz schon zweifelhaft, alles an einem Dateinamen festzumachen. Es mag sein, dass es einen bestimmten Infostealer gibt, der als Komponente die erwähnte himym.dll hat aber es gibt auch genug Malware mit wechselnden Dateinamen. Also nur weil keine himym.dll zu sehen ist, heißt das noch lange nix.

Ich kenne mich da leider nicht genügend aus um das zu bewerten, aber wie gesagt, hat mir der Weg, den mir Blizzard empfohlen hat sowieso nicht weiter geholfen. :)

Was issen jetzt mit den anderen Logs. Die sollst du auch in CODE-Tags posten.

Ah, sorry.

Der ist von gestern, wo ich das erste mal bemerkt hatte was los ist. Ich kann auch einen von heute schicken aber der findet gerade nichts mehr, deswegen dachte ich der hier ist sinnvoller.

1. Schritt: Malwarebytes Anti-Rootkit (MBAR)

Downloade dir bitte Malwarebytes Anti-Rootkit und speichere es auf deinem Desktop.

• Starte bitte die mbar.exe.
• Folge den Anweisungen auf deinem Bildschirm gemäß Anleitung zu Malwarebytes Anti-Rootkit
• Aktualisiere unbedingt die Datenbank und erlaube dem Tool, dein System zu scannen.
• Klicke auf den CleanUp Button und erlaube den Neustart.
• Während dem Neustart wird MBAR die gefundenen Objekte entfernen, also bleib geduldig.
• Nach dem Neustart starte die mbar.exe erneut.
• Sollte nochmal was gefunden werden, wiederhole den CleanUp Prozess.

Das Tool wird im erstellten Ordner eine Logfile ( mbar-log-<Jahr-Monat-Tag>.txt ) erzeugen. Bitte poste diese hier.

Starte keine andere Datei in diesem Ordner ohne Anweisung eines Helfers




2. Schritt: Kaspersky TDSS-Killer

Downloade dir bitte TDSSKiller.exe und speichere diese Datei auf dem Desktop

• Starte die TDSSKiller.exe - Einstellen wie in der Anleitung zu TDSSKiller beschrieben.
• Drücke Start Scan
  
• Sollten infizierte Objekte gefunden werden, wähle keinesfalls Cure. Wähle Skip und klicke auf Continue.
  TDSSKiller wird eine Logfile auf deinem Systemlaufwerk speichern (Meistens C:\)
  Als Beispiel: C:\TDSSKiller.<Version_Datum_Uhrzeit>log.txt

Poste den Inhalt bitte in jedem Fall hier in deinen Thread.

1. 2.

Anleitungen bitte richtig lesen; der tdsskiller wurde falsch eingestellt

Entschuldigung, aber ich finde nicht, was ich falsch gemacht habe. Kannst du mir bitte sagen, was ich machen soll?
Ich habe das Programm heruntergeladen, habe es gestartet (es gab keine Updates), habe die 3 Häkchen bei additional options gesetzt und dann noch auf start scan gedrückt.

Vielleicht bin ich noch zu müde aber ich sehe es gerade wirklich nicht.:headbang:

Auch wenn ich die Häkchen setze ist der im Manual Mode :(

Adware/Junkware/Toolbars entfernen

Alte Versionen von adwCleaner und falls vorhanden JRT vorher löschen, danach neu runterladen auf den Desktop!
Virenscanner jetzt vor dem Einsatz dieser Tools bitte komplett deaktivieren!

1. Schritt: adwCleaner

Downloade Dir bitte AdwCleaner auf deinen Desktop.

• Schließe alle offenen Programme und Browser. Bebilderte Anleitung zu AdwCleaner.
• Starte die AdwCleaner.exe mit einem Doppelklick.
• Stimme den Nutzungsbedingungen zu.
• Klicke auf Optionen und vergewissere dich, dass die folgenden Punkte ausgewählt sind:
  • "Tracing" Schlüssel löschen
  • Winsock Einstellungen zurücksetzen
  • Proxy Einstellungen zurücksetzen
  • Internet Explorer Richtlinien zurücksetzen
  • Chrome Richtlinien zurücksetzen
  • Stelle sicher, dass alle 5 Optionen wie hier dargestellt, ausgewählt sind
• Klicke auf Suchlauf und warte bis dieser abgeschlossen ist.
• Klicke nun auf Löschen und bestätige auftretende Hinweise mit Ok.
• Dein Rechner wird automatisch neu gestartet. Nach dem Neustart öffnet sich eine Textdatei. Poste mir deren Inhalt mit deiner nächsten Antwort.
• Die Logdatei findest du auch unter C:\AdwCleaner\AdwCleaner[Cx].txt. (x = fortlaufende Nummer).

2. Schritt: JRT - Junkware Removal Tool

Beende bitte Deine Schutzsoftware um eventuelle Konflikte zu vermeiden.
Bitte lade Junkware Removal Tool auf Deinen Desktop

• Starte das Tool mit Doppelklick. Ab Windows Vista (oder höher) bitte mit Rechtsklick "als Administrator ausführen" starten.
• Drücke eine beliebige Taste, um das Tool zu starten.
• Je nach System kann der Scan eine Weile dauern.
• Wenn das Tool fertig ist wird das Logfile (JRT.txt) auf dem Desktop gespeichert und automatisch geöffnet.
• Bitte poste den Inhalt der JRT.txt in Deiner nächsten Antwort.