C:\Windows\explorer.exe nimmt Verbindung mit turbo*.planet-school.de auf
 

Hallo liebe Trojaner-Board-Helfer!

Vor eininigen Monaten habe ich mittels des Programms currports von nirsoft festgestellt, dass der Windows Explorer eine TCP-Verbindung zu turboamy.planet-school.de aufgebaut hatte. Ich habe diese Website daraufhin in der Datei C:\Windows\system32\drivers\etc\hosts der IP-Adresse 127.0.0.1 zugeordnet. Eine Suche im Internet ergab damals keine Hinweise auf dieses Verhalten und die Suche mit Avira Antivir und Gmer ergab keine Auffälligkeiten.

Am Montag dieser Woche stellte ich überrascht fest, dass der Windows Explorer jetzt eine Verbindung zu turbolrrr.planet-school.de aufgebaut hatte. Wieder ergaben die Suche mit den ebend genannten Programmen keine Auffälligkeiten. Beim Scan des Windows Explorer bei Virus Total war nur McAfee-GW-Edition der Meinung folgende Malware erkannt zu haben: Heuristic.Lookslike.Trojan.Crypt.K
Alle anderen Scanner hatten an der Datei nichts auszusetzen. Meine erneute Suche im Internet brachte jetzt folgenden Board-Beitrag als einzigen Treffer: h**p://www.trojaner-board.de/73272-trojaner-der-explorer-exe.html
Leider konnte (oder wollte) ihm keiner helfen.

Ich vermute jedoch, dass irgendein Rootkit meinen Rechner zur Drohne gemacht hat und bitte deshalb um eure Hilfe. Bin gerne bereit weitere Tools zur Suche einzusetzen und auch einige Zeit zu investieren.

Malwarebytes Anti-Malware liefert folgendes Log:
Hijack This liefert folgendes Ergebnis:
Und dass ist die Liste der installierten Software (aus Hijack This):

Hallo Trojaner-Board-Helfer,

nachdem die Zieladresse auf turboliesel.planet-school.de "umgesprungen" ist, habe ich weitere Recherchen unternommen.
Alle Websites (turbo*.planet-school.de) verweisen auf die IP-Adresse 194.116.187.25. Eine Google-Suche mit dieser IP-Adresse als einzigen Suchbegriff ergab 150 Treffer, von denen mir 43 angezeigt wurden. In etlichen Treffern rühmten sich Leute in (Hacker-)Foren damit diverse Websites mit dieser IP-Adresse gehackt zu haben (Foren u.a. arabic-m.com, zone-h.net, zone-h.com).
Sind das weitere Hinweise auf einen Trojaner?

*******
Anmerkung

Malwarebytes' Anti-Malware 1.38
Datenbank Version: 2403


Du hast dein Malwarebytes nicht Aktualliesiert vor dem Scan
Es gibt bereits Version 1.39

Ende
*******

Ich hab den Hoster damals angeschrieben aber die wollten mich nicht auf dem
laufenden halten. Die dachten ja auch noch das es war bringen würde um einen
Trojaner zu entfernen einen Virenscanner zu installieren der jedoch auch bei
der vermutlichen Infektion schon bestand.

Ich habe derartige Verbindungen nicht mehr. Eventuell hat der Trojanerersteller alle Clients entfernt oder ich habe es damals manuelle irgendwie geschafft das Ding los zu werden. IP ist in meiner Hostdatei ebenfalls auf 127.0.0.1 umgeroutet.

Danke für den Hinweis, dass Malewarebytes _nach_ meinem Scan (man beachte das Datum) seine SW aktualisiert hat. Auch die neue Version hat nichts gefunden:
Welche Maßnahmen kann ich noch ergreifen?

Hast du die Verbindung immer oder nur manchmal?

Kann man vielleicht mit einem Sniffer checken was da versendet wird?

Hallo,

hab mich extra hier angemeldet weil ich glaube die "Ursache" dafür gefunden zu haben. Nachdem mir das heute mittag selbst zum ersten mal aufgefallen ist und ich dann natürlich alles mögliche ausprobiert habe konnte ich es tatsächlich wieder reproduzieren und zwar so:

Ich benutze schon seit längerem das Programm NetSpeedMonitor ( w*w.floriangilles.com/software/ ), lässt man dieses nun nach Updates suchen und schaut sich dann die TCP-View Einträge an erscheint genau der oben beschriebene Eintrag (explorer.exe TCP turbolrrr.planet-school.de:http CLOSE_WAIT)

Und genau das gleiche Programm haben wir beide auch - nur ist es normal, dass man dann auch in der explorer.exe die Verbindung sieht?

Hm, da bin ich leider überfragt, beschäftige mich normal nicht mit sowas. Aber ich denke mal einer von den Experten hier müsste dazu was sagen können ?

Sollte das wirklich kein normales Verhalten sein könnte man mal beim Autor des Programms nachfragen, aber ich denke nicht dass es irgendwie schädlich/böse ist.

Hallo Herr xxxxxx,

Folgenden Kommentar können Sie im Forum posten:

Bei NetSpeedMonitor handelt es sich um eine Toolbar (nsm.dll), welche abgeschirmt innerhalb des explorer.exe Hostprozesses läuft. Der Hostprozess selber ist dabei für die Verwaltung und dessen Darstellung in der Taskleiste verantwortlich (siehe Konzept der dynamischen Bibliotheken in Windows). NetSpeedMonitor fragt in regelmäßigen Abständen die URL http://www.floriangilles.com/v/netspeedmonitor (Webhoster: planet-school.de / ps-webhosting.de) ab, ob eine neue Version des Programms verfügbar ist. Die automatische Updateüberprüfung kann in den Einstellungen problemlos deaktiviert werden. Ich kann ihnen hiermit versichern, dass NetSpeedMonitor keinen Trojaner oder ähnliche Methoden enthält, um Nutzerinformationen auszuspähen.

Viele Grüsse,
Florian

Dieses Verhalten von NetSpeedMonitor habe ich auch festgestellt, jedoch taucht dieser Zugriff bei meiner Firewall Zonealarm ausgehend vom Modul winlogon.exe auf und will auch auf die Website floriangilles.com zugreifen (nicht jedoch auf turbo*.planet-school.de). Beide Sites werden jedoch unter der selben IP-Adresse gehosted (194.116.187.25). Habe nun seit Tagen keinen weiteren Zugriffsversuch auf turbo*.planet-school.de verzeichnen können. Musste dafür aber feststellen, dass jeder Aufruf der Adresse www.floriangilles.de im Firefox (3.5.1) einen entsprechenden Sperreintrag (habe in Zonealarm die o.g. IP-Adresse als gesperrte Seite eingetragen) produziert, aber immer mit dem Verweis auf den Verursacher winlogon.exe (und nicht wie ich erwartet habe mit dem Verursacher firefox.exe).
Da die IP-Adresse von www.planet-school.de auch 194.116.187.11 lautet vermute ich eher, dass die IP-Adresse 194.116.187.25 wirklich gehackt wurde und dort entsprechende Schad-SW hinterlassen wurde, die durch den Verbindungsversuch von NetSpeedMonitor durch die Firewall auf mein System gelangt ist und sich immer noch geschickt verbergen kann. Werde deshalb nächstes Wochenende den Rechner neu aufsetzen.

Kannst ihn ja diesbezüglich nochmal anschreiben.

@Shook

Habs auch mal getestet.
Also bei mir erscheint im Firewall-Log eigentlich alles normal (soweit ich das beurteilen kann).
Bei Aufruf über den Browser landet firefox.exe im Log und bei Update-Versuch über das Programm ist es explorer.exe

Von winlogon keine Spur, die wollte auch noch nie Zugriff zum Internet :confused:

Hats du Zonealarm Free genutzt dann würde ich es auch mal versuchen?

Nein, hab Comodo

Danke für eure Antworten.

Also bei mir versucht z.Zt. nur noch winlogon.exe Verbindung zu floriangilles.com aufzunehmen.

Werde ich morgen tun.

So, weil ich heute viel Zeit hab dachte ich mir teste mal mit ein paar Scannern, so siehts aus:

Avast (offline): nichts gefunden :)
Spybot (offline): nichts gefunden :)
Eset (online): nichts gefunden :)
Kaspersky (online): nichts gefunden :)
Trend Micro (online): nichts gefunden :)

a-squared (offline): beschwert sich über 2 Dateien die zum Videoload-Manager von T-Online gehören den ich seit letzter Woche hab :rolleyes:

Wenn ihr wollt poste ich auch noch ein HJT-Log, oder müsste ich dann extra einen neuen Thread eröffnen ?