|
Reste (mailbot o.ä.) nach "rootkit.bagle" infektion Hallo zusammen, da ich nicht weiterkomme, wende ich mich mal vertrauensvoll an dieses Forum. Nachdem ich neulich ein aggressives Bagle Rootkit entfernen musste, habe ich noch mit einer unschönen Kleinigkeit zu kämpfen: Mein Rechner versucht in Abständen die ich nicht definieren kann, Mails über verschiedene SMTP Server zu versenden. Mal ist es hotmail, mal ein litauischer provider usw. Die Google Suche nach den angesprochenen IPs brachte keine Hinweise auf bestimmte Seuchen ans Tageslicht. Die ersten Zeichen waren das der Antivir Mailgard Dienst sich beendet hat wenn der versand gestartet hat. Allerdings hat mein Provider diesen Versand bemerkt und mich auf das Problem aufmerksam gemacht. (peinlich peinlich....) Leider gaukeln mir Antivir, MBAM, Spybot, und die anderen üblichen einen sauberen Rechner vor. Meine Analysen mit diversen Prozessnalysewerkzeugen sind leider erfolglos geblieben. Das Mistding ist scheinbar nicht ständig im Speicher. Mein Rechner versendet akut nichts mehr, da die Software Firewall dieses jetzt per Regel verhindert, aber leider versucht er es doch noch. Da ich alle Wiederherstellungskonsolen und auch eine zweite partition mit XP habe kann ich wenn gewünscht auch unter anderen voraussetzungen suchen, allerdings sieht es von da aus auch viel zu clean aus... Hier sind die Logs: Ich beginne ganz unüblich mit Zonealarm, da man hier sieht, dass ich mir das Problem nicht ausdenke. ZoneAlarm verzeichnet das Ereignis mit folgenden zwei Einträgen. Man beachte die ca. 2500 Verbindungsversuche, die jedesmal in dieser Größenordnung liegen. Code: Beschreibung Host Process for Windows Services wurde für das Versenden von E-Mail-Nachrichten gesperrt. Verwenden Sie die Programmliste, um E-Mail-Sendeberechtigungen für dieses Programm zuzulassen.Code: Beschreibung Antivirus MailScanner Service wurde für das Versenden von E-Mail-Nachrichten gesperrt. Verwenden Sie die Programmliste, um E-Mail-Sendeberechtigungen für dieses Programm zuzulassen.HJT: Code: Logfile of Trend Micro HijackThis v2.0.2Code: Adobe Flash Player 10 PluginMBAM: so sauber sind auch die logs von Antivir Premium und Co. Code: Malwarebytes' Anti-Malware 1.36vielen Dank an alle, die etwas zur Lösung beitragen können! Das Bagleopfer :) |
Nach einer Bagleinfektion ist es das beste, das Neuaufsetzen des Systems die einzig vernünftige Methode, den Rechner wieder sauber zu bekommen. Lass dennoch Dr.Web CureIt unf PrevX laufen. mfg, Kaos |
Hallo, zuerst einmal vielen Dank für deine schnelle Antwort. Sicher ist es nett gemeint und für viele User auch dass Beste mit einem frischen System zu starten, allerdings sehe ich mich nicht in dieser Riege dieser User - die ich mal ganz frech in die Schublade "Wegwerfgesellschaft" stecke. Bitte schreibt mir nicht, dass ich mein System "neu aufsetzen" soll. Damit ist weder meinem Verständnis um diesen Schädling auf die Sprünge geholfen, noch profitieren andere User davon. Es ist zwar schön wenn man hier "Laienhelfern" das Gefühl gibt anderen zu helfen, aber de facto ist es auch keine echte Hilfe. Bitte versteh meinen Post nicht falsch. Er ist weder persönlich gemeint, noch soll er einen Angriff darstellen. Es ist halt nur genau das eingetreten, was ich -nach lektüre vieler threads heir- vermutet habe..... Falls jemand wirklich sachdienliche Informationen oder Tipps hat, wäre ich sehr dankbar. UPDATE: "findykill" - ich glaube ich bin mittlerweile an kaum einem dieser undurchsichtigen und unsymphatischen tools nicht vorbeigekommen - hat noch ein paar bagle reste in der registry (waren allerdings deadlinks) gefunden. Leider überschreibt findykill seine logs immer wieder und hängt keinen timestamp o.ä. dran. Hat nichts an der Situation geändert. Nachdem ich ein Skript geschrieben habe was alle Dateien einer Liste zu virustotal hochlädt, und die %SYSTEMROOT%\system32\csrss.exe oder wars die die lsass.exe eine Infektionswahrscheinlichkeit von 10% aufwies, habe ich diese beiden getauscht... in den Firewallogs wird diese executable auch aktiv bevor der Mailversuch gestartet wird. Leider war die logfunktion im Skript nciht wirklich ausgereift -war aber auch spät in der Nacht. Dafür waren dann Ende alle Dateien angeblich sauber und auch der Mailversuch ist unterblieben. Es ist schade das es wenig Detailinformationen über die betroffenen Ecken im OS gibt, denn insbesondere wenn man mit volume shadowing, wiederherstellungskonsolen, PE-Umgebungen, zweitem OS mit R/W Zugriff etc. umgehen kann, findet man doch nur sehr mühsam die Informationen wie man per Hand - aber dafür mit System und Erfolg - der Sache herr werden kann. Stattdessen soll man sein Glück in die Hände von zum Teil recht dubios anmutenden Tools legen..... Auch ich konnte die Sache erst durch ein kleines stupides skript abstellen. Verrückt. das Bagleopfer |
Hi, jeder der Mal nen Bagle ausgeführt hat, wird ein Neuaufsetzen empfehlen, das hat nichts mit Pseudo- oder nicht Pseudo zu tun. Bagle nimmt tiefgreifende Veränderungen im System vor, zerstört ausführbare Dateien und überschreibt Dateien. Je nach Tool kannst du die Infektion zwar entfernt haben, aber den Zustand von vor dem Befall wirst du damit trotzdem nie wieder erreichen. Hast du nach der Entfernung von Bagle Antivir und ZoneAlarm neuinstalliert BEVOR du den Rechner neugestartet hast? Ansonsten hast du dir Bagle wahrscheinlich grad wieder installiert. Deswegen empfehlen wir in der Regel Neuaufsetzen, auch wenn es tools wie FindyKill gibt, die den Befall erfolgreich löschen können. Derartige Programme sind allerdings hauptsächlich für den Forengebrauch gedacht, daher ist es in der Regel nciht notwendig groß Logs umzubenennen, da man das Tool eigentlich nicht häufiger als 1-2 Mal braucht und die Berichte auf dem Forum hinterlegt werden. Diese dubiosen Programme werden allerdings sehr gründlich getestet und regelmäßig überprüft. ;) Ist nicht so, dass so gar keiner weiß wo die herkommen und was sie tun. ;) Kann man das FindyKill log von der Bereinigung mal sehen, oder wurde das bereits überschrieben? |
Hallo myrtille, vielen Dank für deine Zeit! leider habe ich das relevante FindyKill Log nicht mehr. Ist einfach eigene dusseligkeit von mir, dass ich es nicht weggesichert habe. Außer der autark arbeitenden Komponente mass-mailer war der Bagle komplett weg. Nach jedem kleinsten Schritt habe ich Virenscanner und Firewall de- und wieder neuinstalliert was zwar viel Zeit gekostet hat, erschien nach den Informationen die ich über Bagle hatte allerdings sinnvoll. Du hast recht, das die von mir so abgekanzelten Tools mit viel Liebe und besten Absichten geschrieben werden. Dennoch kochen alle, sowohl Menschen die Sachen wie Bagle proggen, als auch die, die etwas dagegen unternehmen auch nur mit Wasser - und den Möglichkeiten des Betriebssystems. Bisher habe ich halt alle Systemprobleme durch händisches Eingreifen in den Griff bekommen. Ist nunmal mein Beruf. Dafür sorge ich ja auch vor und halte mir sichere Zugänge offen. Und da soll ich an meinem Experimentiersystem vor einem rootkit kapitulieren? Deshalb ist die Aussage "Bagle nimmt tiefgreifende Veränderungen im System vor, zerstört ausführbare Dateien und überschreibt Dateien." .... daher "neu installieren" zwar schön und gut, aber hunderprozentig nichts was sich nicht rückgängig machen lässt. Die Virenfunktionsbeschreibungen der großen AV-Hersteller sind so mager, das ich mir vorkomme wie bei der pingeligen Recherche zu einer wissenschaftlichen Arbeit :( Ein Betriebssystem ist ja jetzt kein Hexenwerk (wie für mich z.B. HF-Technik oder andere Voodootechniken) OK, andere Menschen sehen es wahrscheinlich genau andersherum, aber so hat jeder seine Ecke. Dennoch finde ich es klasse, das sich hier so viele Menschen Zeit nehmen und Mühe geben anderen zu helfen! :daumenhoc Selbst wenn es nur eine Sensibilisierung ist, werden sich dadurch viele Menschen erstmalig der Problematik bewusst. Mich spornt es auf jeden Fall an, den von mir begangenen Fehler (Finger schneller als Hirn) auch selbst wieder zu beheben. Das lässt mich etwas über die aktuellen Techniken lernen und gibt routine, falls ich so etwas mal machen muss, und "neu aufsetzen" gar nicht zur Diskussion steht. das Bagleopfer |
Hi, bevor du das nächste Mal in den abg. Modus via MSConfig wechselst, solltest du noch überprüfen ob der abg. Modus repariert wurde (wurde wahrscheinlich von FindyKill erledigt) sonst findet man sich schnell in einer Endlosbootschleife wieder. (Die du sicherlich reparieren kannst, aber man muss es ja nicht erzwingen ;) ) Auf der Seite von FindyKill finden sich noch ein paar Infos zu Bagle, allerdings auf französisch. Link. Allerdings sind die öffnetlichen Infos in der Tat relativ mager. lg myrtille |
| Alle Zeitangaben in WEZ +1. Es ist jetzt 00:12 Uhr. |
Copyright ©2000-2025, Trojaner-Board