|
Virtumonde :( Hallo Experten, Ich sitze hier vor dem Rechner meiner Frau und bekomme langsam einen Anfall... Die Geschichte: Über einen vermeintlichen CODEC-Update hat sie sich virtumonde eingefangen. Ich bin seit längerer Zeit damit beschäftigt die Nachwehen zu bekämpfen - aber leider irgendwie erfolglos... Das System: Windows XP, SP3; das System sollte (eigentlic) aktuell sein, da die Updates zeitnah eingespielt werden. Kaspersky Internet Suite 2009 soll das Teil schützen (seit heute, Norton 360 habe ich nach den unbefriedigenden Ergebnissen bei der Suche nach Virtumonde gefeuert). Beim Starten von Windows fällt mir auf dass immer kurzzeitig ein Fenster aufgeht welches man normalerweise beim Starten durch Drücken der F8-Taste erhält; selbiges schliesst sich dann nach 2 oder 3 Sekunden wieder und Windows fährt hoch. Verschiedenste Virenscanner finden verschiedene Bedrohungen, deren Eliminierung aber nur bis zum nächsten Systemstart erfolgreich sind. Welche das waren weiss ich leider nicht mehr...ein Trojan.Generic war dabei, und Kaspersky hat beim letzten Durchlauf einen "Trojan-Downloader.WMA.GetCodec.w" gefunden... Ich vermute daher einen Dropper oder einen Backdoor, muss aber zugeben dass ich von solchen Dingen wenig Ahnung habe - deshalb bin ich ja hier ;) Also fangen wir mal an...der Hijack-log: Logfile of Trend Micro HijackThis v2.0.2 Scan saved at 11:01:29 p.m., on 23/02/2009 Platform: Windows XP SP3 (WinNT 5.01.2600) MSIE: Internet Explorer v7.00 (7.00.6000.16791) Boot mode: Normal Running processes: C:\WINDOWS\System32\smss.exe C:\WINDOWS\system32\winlogon.exe C:\WINDOWS\system32\services.exe C:\WINDOWS\system32\lsass.exe C:\WINDOWS\system32\Ati2evxx.exe C:\WINDOWS\system32\svchost.exe C:\WINDOWS\System32\svchost.exe C:\WINDOWS\system32\svchost.exe C:\WINDOWS\system32\spoolsv.exe C:\WINDOWS\system32\Ati2evxx.exe C:\WINDOWS\Explorer.EXE C:\Programme\Google\Update\GoogleUpdate.exe C:\Programme\ATI Technologies\ATI Systemsteuerung\atiptaxx.exe C:\Programme\Synaptics\SynTP\SynTPEnh.exe C:\Programme\Hewlett-Packard\HP Quick Launch Buttons\QlbCtrl.exe C:\Programme\Synaptics\SynTP\SynTPLpr.exe C:\Programme\hpq\HP Wireless Assistant\HP Wireless Assistant.exe C:\Programme\iTunes\iTunesHelper.exe C:\WINDOWS\system32\ctfmon.exe C:\Programme\Skype\Phone\Skype.exe C:\Programme\Gemeinsame Dateien\Apple\Mobile Device Support\bin\AppleMobileDeviceService.exe C:\Programme\Bonjour\mDNSResponder.exe C:\Programme\Java\jre6\bin\jqs.exe C:\Programme\Gemeinsame Dateien\LightScribe\LSSrvc.exe C:\WINDOWS\System32\TUProgSt.exe C:\Programme\Hewlett-Packard\Shared\hpqwmiex.exe C:\Programme\Windows Desktop Search\WindowsSearch.exe C:\Programme\iPod\bin\iPodService.exe C:\PROGRA~1\hpq\Shared\HPQTOA~1.EXE C:\Programme\internet explorer\iexplore.exe C:\Programme\Trend Micro\HijackThis\HijackThis.exe R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.yahoo.com/ R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://go.microsoft.com/fwlink/?LinkId=69157 R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://go.microsoft.com/fwlink/?LinkId=54896 R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.yahoo.com/ R1 - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings,ProxyOverride = *.local O2 - BHO: AcroIEHelperStub - {18DF081C-E8AD-4283-A596-FA578C2EBDC3} - C:\Programme\Gemeinsame Dateien\Adobe\Acrobat\ActiveX\AcroIEHelperShim.dll O2 - BHO: Skype add-on (mastermind) - {22BF413B-C6D2-4d91-82A9-A0F997BA588C} - C:\Programme\Skype\Toolbars\Internet Explorer\SkypeIEPlugin.dll O2 - BHO: IEVkbdBHO - {59273AB4-E7D3-40F9-A1A8-6FA9CCA1862C} - C:\Programme\Kaspersky Lab\Kaspersky Internet Security 2009\ievkbd.dll O2 - BHO: NCO 2.0 IE BHO - {602ADB0E-4AFF-4217-8AA1-95DAC4DFA408} - (no file) O2 - BHO: Symantec Intrusion Prevention - {6D53EC84-6AAE-4787-AEEE-F4628F01010C} - C:\PROGRA~1\GEMEIN~1\SYMANT~1\IDS\IPSBHO.dll (file missing) O2 - BHO: Java(tm) Plug-In SSV Helper - {761497BB-D6F0-462C-B6EB-D4DAF1D92D43} - C:\Programme\Java\jre6\bin\ssv.dll O2 - BHO: Windows Live Aplicación auxiliar de inicio de sesión - {9030D464-4C02-4ABF-8ECC-5164760863C6} - C:\Programme\Gemeinsame Dateien\Microsoft Shared\Windows Live\WindowsLiveLogin.dll O2 - BHO: Google Toolbar Notifier BHO - {AF69DE43-7D58-4638-B6FA-CE66B5AD205D} - C:\Programme\Google\GoogleToolbarNotifier\5.0.926.3450\swg.dll O2 - BHO: Java(tm) Plug-In 2 SSV Helper - {DBC80044-A445-435b-BC74-9C25C1C588A9} - C:\Programme\Java\jre6\bin\jp2ssv.dll O2 - BHO: JQSIEStartDetectorImpl - {E7E6F031-17CE-4C07-BC86-EABFE594F69C} - C:\Programme\Java\jre6\lib\deploy\jqs\ie\jqs_plugin.dll O3 - Toolbar: (no name) - {7FEBEFE3-6B19-4349-98D2-FFB09D4B49CA} - (no file) O4 - HKLM\..\Run: [ATIPTA] "C:\Programme\ATI Technologies\ATI Systemsteuerung\atiptaxx.exe" O4 - HKLM\..\Run: [SynTPEnh] C:\Programme\Synaptics\SynTP\SynTPEnh.exe O4 - HKLM\..\Run: [Apoint] C:\Programme\Apoint2K\Apoint.exe O4 - HKLM\..\Run: [QlbCtrl.exe] C:\Programme\Hewlett-Packard\HP Quick Launch Buttons\QlbCtrl.exe /Start O4 - HKLM\..\Run: [SynTPLpr] C:\Programme\Synaptics\SynTP\SynTPLpr.exe O4 - HKLM\..\Run: [hpWirelessAssistant] C:\Programme\hpq\HP Wireless Assistant\HP Wireless Assistant.exe O4 - HKLM\..\Run: [Cpqset] C:\Programme\HPQ\Default Settings\cpqset.exe O4 - HKLM\..\Run: [SynTPStart] C:\Programme\Synaptics\SynTP\SynTPStart.exe O4 - HKLM\..\Run: [AVP] "C:\Programme\Kaspersky Lab\Kaspersky Internet Security 2009\avp.exe" O4 - HKLM\..\Run: [QuickTime Task] "C:\Programme\QuickTime\QTTask.exe" -atboottime O4 - HKLM\..\Run: [iTunesHelper] "C:\Programme\iTunes\iTunesHelper.exe" O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\ctfmon.exe O4 - HKCU\..\Run: [Skype] "C:\Programme\Skype\Phone\Skype.exe" /nosplash /minimized O4 - HKUS\S-1-5-18\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'SYSTEM') O4 - HKUS\.DEFAULT\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'Default user') O4 - Global Startup: Windows Search.lnk = C:\Programme\Windows Desktop Search\WindowsSearch.exe O8 - Extra context menu item: Add to Google Photos Screensa&ver - res://C:\WINDOWS\system32\GPhotos.scr/200 O8 - Extra context menu item: E&xport to Microsoft Excel - res://C:\PROGRA~1\MICROS~3\Office10\EXCEL.EXE/3000 O8 - Extra context menu item: Hinzufügen zu Anti-Banner - C:\Programme\Kaspersky Lab\Kaspersky Internet Security 2009\ie_banner_deny.htm O9 - Extra button: Statistik für den Schutz des Web-Datenverkehrs - {1F460357-8A94-4D71-9CA3-AA4ACF32ED8E} - C:\Programme\Kaspersky Lab\Kaspersky Internet Security 2009\SCIEPlgn.dll O9 - Extra button: Skype - {77BF5300-1474-4EC7-9980-D32B190E9B07} - C:\Programme\Skype\Toolbars\Internet Explorer\SkypeIEPlugin.dll O9 - Extra button: (no name) - {e2e2dd38-d088-4134-82b7-f2ba38496583} - C:\WINDOWS\Network Diagnostic\xpnetdiag.exe O9 - Extra 'Tools' menuitem: @xpsp3res.dll,-20001 - {e2e2dd38-d088-4134-82b7-f2ba38496583} - C:\WINDOWS\Network Diagnostic\xpnetdiag.exe O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe O16 - DPF: {0CCA191D-13A6-4E29-B746-314DEE697D83} (Facebook Photo Uploader 5 Control) - http://upload.facebook.com/controls/2008.10.10_v5.5.8/FacebookPhotoUploader5.cab O16 - DPF: {5ED80217-570B-4DA9-BF44-BE107C0EC166} (Windows Live Safety Center Base Module) - http://cdn.scan.onecare.live.com/resource/download/scanner/wlscbase6662.cab O16 - DPF: {6A344D34-5231-452A-8A57-D064AC9B7862} (Symantec Download Manager) - https://webdl.symantec.com/activex/symdlmgr.cab O16 - DPF: {6E32070A-766D-4EE6-879C-DC1FA91D2FC3} (MUWebControl Class) - http://update.microsoft.com/microsoftupdate/v6/V5Controls/en/x86/client/muweb_site.cab?1231176000281 O16 - DPF: {6F15128C-E66A-490C-B848-5000B5ABEEAC} (HP Download Manager) - https://h20436.www2.hp.com/ediags/dex/secure/HPDEXAXO.cab O16 - DPF: {73ECB3AA-4717-450C-A2AB-D00DAD9EE203} (GMNRev Class) - http://h20270.www2.hp.com/ediags/gmn2/install/HPProductDetection.cab O16 - DPF: {8AD9C840-044E-11D1-B3E9-00805F499D93} (Java Runtime Environment 1.6.0) - http://dl8-cdn-01.sun.com/s/ESD5/JSCDL/jre/6u11-b90/jinstall-6u11-windows-i586-jc.cab?e=1231180049158&h=d53d6bbad039aef775b5f16f63816c23/&filename=jinstall-6u11-windows-i586-jc.cab O16 - DPF: {BDBDE413-7B1C-4C68-A8FF-C5B2B4090876} (F-Secure Online Scanner 3.3) - http://support.f-secure.com/ols/fscax.cab O16 - DPF: {D27CDB6E-AE6D-11CF-96B8-444553540000} (Shockwave Flash Object) - http://fpdownload2.macromedia.com/get/shockwave/cabs/flash/swflash.cab O18 - Protocol: skype4com - {FFC8B962-9B40-4DFF-9458-1830C7DD7F5D} - C:\PROGRA~1\GEMEIN~1\Skype\SKYPE4~1.DLL O23 - Service: Apple Mobile Device - Apple Inc. - C:\Programme\Gemeinsame Dateien\Apple\Mobile Device Support\bin\AppleMobileDeviceService.exe O23 - Service: Ati HotKey Poller - ATI Technologies Inc. - C:\WINDOWS\system32\Ati2evxx.exe O23 - Service: Kaspersky Internet Security (AVP) - Kaspersky Lab - C:\Programme\Kaspersky Lab\Kaspersky Internet Security 2009\avp.exe O23 - Service: Servicio Bonjour (Bonjour Service) - Apple Inc. - C:\Programme\Bonjour\mDNSResponder.exe O23 - Service: Google Update Service (gupdate1c98944ae7af066) (gupdate1c98944ae7af066) - Google Inc. - C:\Programme\Google\Update\GoogleUpdate.exe O23 - Service: Google Software Updater (gusvc) - Google - C:\Programme\Google\Common\Google Updater\GoogleUpdaterService.exe O23 - Service: hpqwmiex - Hewlett-Packard Development Company, L.P. - C:\Programme\Hewlett-Packard\Shared\hpqwmiex.exe O23 - Service: Servicio del iPod (iPod Service) - Apple Inc. - C:\Programme\iPod\bin\iPodService.exe O23 - Service: Java Quick Starter (JavaQuickStarterService) - Sun Microsystems, Inc. - C:\Programme\Java\jre6\bin\jqs.exe O23 - Service: LightScribeService Direct Disc Labeling Service (LightScribeService) - Hewlett-Packard Company - C:\Programme\Gemeinsame Dateien\LightScribe\LSSrvc.exe O23 - Service: TuneUp Drive Defrag-Dienst (TuneUp.Defrag) - TuneUp Software - C:\WINDOWS\System32\TuneUpDefragService.exe O23 - Service: TuneUp Program Statistics Service (TuneUp.ProgramStatisticsSvc) - TuneUp Software - C:\WINDOWS\System32\TUProgSt.exe -- End of file - 9102 bytes |
Hi, Mittlerweile habe ich nun auch die Boardregeln gelesen und hoffentlich verstanden - ich werde mein Bestes tun :crazy: Wahrscheinlich habe ich auch das falsche Unterforum für meinen Fred gewählt - entschuldigt das bitte, vielleicht kann es der Admin ja verschieben ? Nun also nochmal der Reihe nach: 1. Meine Frau hat sich am Wochenende den Virtumonde eingefangen, so hat ihn jedenfalls der Spyware Doctor klassifiziert. Limewire sei Dank...ich werde das mal deinstallieren, erwische ich sie nochmal mit irgendwelchem P2P-Mist => :twak: Nach einigen arbeitssamen Stunden und mit Hilfe diverser Software, dieses Boards und google hat sich die Situation scheinbar etwas gebessert; am Anfang ging ja gar nichts mehr, ich musste alles über den Task-Manager starten; mittlerweile funktioniert die Kiste, aber so richtig vertrauen kann ich der Sache dann doch leider nicht; das, was ich über den Virtumonde so gelesen habe gibt mir glaube ich allen Anlass dazu :confused: Falls euch bei der Analyse etwas im wahrsten Sinne des Wortes "spanisch" vorkommt kann ich euch "beruhigen"...meine Frau ist spanisch-sprachig, von daher sind da auch einige Programme auf spanisch installiert. Es wäre daher wirklich nett wenn mir einer der anwesenden Experten dabei helfen könnte wieder Vertrauen in das System zu gewinnen - das wäre natürlich durch ein Neuaufsetzen am einfachsten, ich würde dabei aber viele Daten verlieren; und derzeit mag ich die nicht einmal auf einer externen Platte etc. sichern, da ich nicht weiss was, ob und wie die Dateien verseucht sind... Was mich derzeit vor allen Dingen noch stutzig macht ist, dass beim Hochfahren ein Bild hochkommt welches man eigentlich vom Drücken der F8-Taste kennt. Das System zeigt die Wahlmöglichkeit an entweder die Recovery Konsole oder Windows XP zu starten. Kann dies evtl. damit zusammenhängen dass die Recovery-Konsole vorher nicht installiert war ? Ausserdem hat die Geschwindigkeit der Internetverbindung doch spürbar nachgelassen, es dauert alles ein wenig länger...aber das ist evtl. auch ein anderes Thema... 2. Kaspersky Internet Security 2009 wurde von mir wie in der Anleitung von "undoreal" konfiguriert. Die vollständige Suche brachte folgendes Ergebnis: Code: 3. CC-Cleaner bringt nach mehreren Durchläufen folgende Resultate: 3.1. Für die Bereinigung: Code: Code: Keine Fehler gefundenCode: Malwarebytes' Anti-Malware 1.34Code: Logfile of Trend Micro HijackThis v2.0.26. Installierte Programme: Code: Adobe Flash Player 10 ActiveX |
Virtumonde (Querverweis auf anderen Thread) Hallo Experten, Ich habe meinen Thread leider im falschen Unterforum aufgemacht - eigentlich gehört der hierhin...Tschuldigung ! Da ich nicht doppelt posten möchte, würde ich den/die Admin(s) mal bitten, den Thread hierher zu verschieben. Der Thread ist zu finden unter: http://www.trojaner-board.de/70356-virtumonde.html Danke ! |
Zitat:
|
Hallo GCSunny, Danke fürs Verschieben :daumenhoc:daumenhoc:daumenhoc Vielleicht hat ja irgendwann mal wer Zeit kurz über die logs zu schauen... |
| Alle Zeitangaben in WEZ +1. Es ist jetzt 08:36 Uhr. |
Copyright ©2000-2025, Trojaner-Board