|
Immer neue Probleme: prun.tmp net.net Trojan.Agent swaw.tmp ODiag.evt Hallo, nun hat's mich wohl leider auch mal erwischt und ich würde Euch gerne um Hilfe bitten. Nach ein paar Meldungen meiner installierten GData Internet Security und einigen Merkwürdigkeiten im Verhalten meines MSI Wind Netbooks (u.a. teilweise extrem langsam, Maus spinnt manchmal etc.) habe ich mir auf Euren Seiten hier im Forum eine Menge an Infos geholt und auch die diversen empfohlenen Tools heruntergeladen. Ganz offensichtlich habe ich mir irgendetwas durch meine eigene Blödheit eingefangen, da ich aus Bequemlichkeitsgründen mit Adminrechten eingeloggt und im Netz unterwegs war - und irgendwas bei der Firewall bzw. dem Virenschutzprogramm durchgerutscht sein muss. Anscheinend hat sich da etwas ziemlich ins System gegraben und ich hätte die Kiste wohl auch schon längst neu aufgesetzt, wenn es eben nicht ein kleines Netbook ohne Laufwerk wäre und ich die nächsten Tage auch noch unterwegs bin. Zudem habe ich Bedenken, dass ja vielleicht auch die auf dem Netbook enthaltenen Daten der "Recovery-CD" befallen sind - und Formatieren macht ja ohne Recoverymöglichkeit irgendwie nicht wirklich Sinn... *etwas ratlos gugg"... :( Ich werde mal versuchen, möglichst alles halbwegs chronologisch aufzulisten, was die letzten Tage vorgefallen ist und evtl. von Wichtigkeit sein könnte. Vorsicht, wird wohl ein Roman... ;o) Der ganze Ärger fing mit zwei gefundenen Dateien an, worauf hin ich mir dann auch mal die Protokolle mit einigen seltsamen Dingen angesehen habe: Laut G Data Internet Security sind folgende Dateien in Quarantäne Code: 24.10.2009 21:44Code: 23.10.2009 02:09 Nach einigem Sammeln von Infos in Eurem Forum habe ich daraufhin einige Tools laufen lassen. Malwarebyte's Anti-Malware findet am 25.10. (Trojan.Agent) und (Malware.Trace) und entfernt diese (siehe nachstehende Logs): Code: Malwarebytes' Anti-Malware 1.41Code: Malwarebytes' Anti-Malware 1.41Bei erneuten Scans finden dann weder Malwarebyte's Anti-Malware, SUPERAntiSpyware und Blacklight etwas Verdächtiges. Immer noch ein wenig verunsichert, ob der Rechner nun wirklich clean ist, surfe ich dann zumindest mal mit einem Account ohne Admin-Rechte, in mein web.de-Postfach oder auf andere Seiten wie ebay habe ich mich aus Sicherheitsgründen bisher auch nicht mehr eingeloggt - wahrscheinlich auch ganz gut so: Am 26.10. bin ich als User mit eingeschränkten Rechten eingeloggt uns starte Firefox, das WLAN war jedoch noch getrennt. Unten in der Taskleiste erscheint "Update" und die Firewall poppt hoch: Ein Prozeß namens "swaw.tmp" (der auch in der Liste im Taskmanager zu sehen ist) möchte auf die URL "hioprxmetn.com" zugreifen... Das Spannende daran: Die Datei "swaw.tmp" ist nach Suche über die Festplatten nirgendwo zu finden, ein gleich auf die obengenannte Meldung folgender Scan mit Blacklight bleibt ohne Warnung, Blacklight findet scheinbar nichts Verdächtiges und listet diese Datei "swaw.tmp" als offensichtlich normalen Prozeß mit allen anderen üblicherweise laufenden Prozessen auf. Nun gingen mal wieder alle Alarmglocken bei mir an, also erstmal Malwarebyte's Anti-Malware gestartet. Das Programm hatte sich dann mehrfach nach kurzer Laufzeit aufgehängt, auch wenn ich es mit "Ausführen als" mit Admin-Rechten startete. Das Merkwürdige daran war, dass er einmal von etwa 3, 4 Anläufen eine Meldung brachte, dass etwas gefunden wurde - was aber leider dank abgeschmiertem Programm nicht mehr nachzuvollziehen war. Als bei einem weiteren Versuch wieder etwas angezeigt wurde, habe ich schnell einen Screenshot davon gemacht: Leider kann ich Euch den Screenshot nicht direkt einbinden, da ich nicht weiß, wo ich ihn jetzt mal eben schnell ins Netz hochladen kann... Demnach sollten nun also die Dateien c:\windows\system32\config\ODiag.evt und c:\windows\system32\config\OSession.evt mit einem Rootkit.Agent.H versucht sein - na prima... :balla: Nach dem Versuch, Info's über die Dateien ODiag.evt und OSession.evt zu bekommen (müssen wohl im Zusammenhang mit Microsoft Office auf dem Rechner sein, Office Diagnostics und Office Session oder so was?) habe ich dann mal versucht, diese zu löschen, da ich ohnehin kein Office nutze und auf dem Rechner nur eine nicht aktivierte 60-Tage Testversion enthalten ist - keine Chance, da lässt sich nichts löschen, nicht mal kopieren kann ich diese Dateien. Mittlerweile bin ich ein wenig unsicher, ab diese beiden Dateien wirklich infiziert waren bzw. sind, denn ich bekomme mit keinem Programm mehr irgendeine Warnung. Mehrere Komplettscans von Malwarebyte's Anti-Malware, SUPERAntiSpyware und Blacklight unter dem Admin-Account blieben ohne Ergebnis, laut diesen Programmen sollte mein Rechner wieder clean sein - aber ich traue dem Frieden nicht... Nachdem ich gestern Crapcleaner und heute darauf hin nochmal die 3 oben genannten Programme habe laufen lassen, gab es keinerlei Warnmeldungen. SUPERAntiSpyware hat bei mittlerweile 5 Komplettscans nichts gefunden, die letzten Ergebnisse von Malwarebyte's Anti-Malware und Blacklight: Code: Malwarebytes' Anti-Malware 1.41Code: 10/27/09 15:20:08 [Info]: BlackLight Engine 2.2.1092 initializedFortsetzung folgt... |
Fortsetzung Heute habe ich dann nochmal den GMER Rootkit Scanner installiert und laufen lassen: Code: GMER 1.0.15.15163 - http://www.gmer.netAls letztes nun noch ein aktueller Log von HijackThis: Code: Logfile of Trend Micro HijackThis v2.0.2Merci vielmals und viele Grüße Wolfgang |
*nochmal vorsichtig auf die erste Seite schieb*... Hmm, ich hoffe mal, dass ich nicht gegen irgendwelche Regeln im Board verstossen habe, wenn dem so sein sollte, lasst es mich bitte wissen, ja? Oder waren meine Info's einfach zu umfangreich? :rolleyes: Vielleicht ist auch meine Fragestellung nicht rübergekommen: Ich traue den letzten Meldungen der ganzen Tools nach all dem Durcheinander auf dem Rechner nicht, kann es sein, dass da doch noch etwas auf meiner Kiste herumgeistert? Was kann ich denn noch tun, um das weitestgehend auszuschliessen? Was mir noch durch den Kopf geht im Zusammenhang mit meinem Problem: Gibt es denn evtl. eine Möglichkeit, so ein Netbook wie mein MSI Wind ohne Laufwerk mit irgendwelchen empfehlenswerten Tools von einem USB-Stick zu booten und nach Viren etc. zu scannen, ohne dass das System schon läuft? Es wäre echt klasse, wenn sich mal jemand die Mühe machen kann, sich mein Problem anzusehen. :dankeschoen: Merci und viele Grüße Wolfgang |
Das Problem bei dir ist leider so, das sehr viele Dateien von der infektion betroffen sind. Darunter auch einige Systemdateien. Es waere hier am sinnvollsten den Rechner neu aufzusetzen. Man kann versuchen mit Combofix noch einiges reparieren zu lassen, aber selbst das wird dir dein System nicht in den "Orginalzustand" vor der Infektion zurueckversetzen koennen. |
Hi Ralf, danke für Deine Antwort, die mir aber im Moment leider nicht wirklich weiterhilft... ;) Klar wäre ein komplettes Neuaufsetzen des Rechners die sinnvollste Option. Wie ich schon geschrieben hatte, handelt es sich ja bei dem Rechner, um ein Netbook ohne Laufwerk und die "Recovery-CD" ist irgendwo auf der Platte. Wenn dieser Rechner tatsächlich noch befallen ist, könnten das doch auch diese Recovery-Dateien sein, oder? Oder sind diese Daten absolut sicher? Da ich momentan unterwegs bin, die Kiste brauche und nicht so bald an meinen Rechner zuhause komme, habe ich da echt ein Problem. Mal abgesehen davon, dass die Sourcen für benötigte Programme natürlich zuhause liegen, wäre die wohl sicherste Methode (=Formatieren und neu aufsetzen) gleichbedeutend damit, dass ich den Rechner auch einfach die nächsten Wochen in der Tasche liegen lassen kann. Dass ich bei allen Scan- und Bereinigungstools nie 100% sicher sein kann, dass nicht doch noch was im System ist, ist schon klar - aber ich würde natürlich gerne so viel wie möglich ausschliessen, damit ich nun die nächsten Tage nicht komplett ohne Rechner da sitze... Any ideas? Viele Grüße Wolfgang |
Die "Recoverydaten" sollten sicher sein, da diese vom System nicht ohne weiteres eingesehen werden koennen. Du kannst gerne Combofix nutzen, denke aber daran, das bei der Reinigung auch etwas schief gehen koennte! Hier ist eine Anleitung zu Combofix, aber wenn du gerade sehr auf den Rechner angewiesen bist, dieser einigermassen stabiel lauft und nicht unbedingt ins Internet braucht, solltest du es nicht nutzen! Ein Leitfaden und Tutorium zur Nutzung von ComboFix Lade es von http://download.bleepingcomputer.com/sUBs/ComboFix.exe und speichere es als test.exe auf den Desktop Danach schliesse alle Fenster, deaktiviere alle Hintergrundwaechter (AV und z.B. Spybots Tea-Timer) starte die combofix.exe, lies die Informationen auf den auftauchenden Fenstern und beantworte sie danach mit Ja. Der Scan mit Combofix kann einige Zeit in Anspruch nehmen, also habe etwas Geduld. Waehrend des Scans bitte nichts am Rechner unternehmen Es kann moeglich sein, das der Rechner zwischendurch neu gestartet wird. Nach Scanende wird ein Report angezeigt, den bitte kopieren und in deinem Thread einfuegen. Nutze immer eine aktuelle Version von Combofix, auch wenn du "deine" erst vor einem Tag heruntergeladen hast. Um Combofix unter Vista(32 Bit) nutzen zu koennen muss man es als Administrator starten. Also rechte Maustaste auf die Combofix.exe und "Als Administrator ausfuehren" waehlen. |
Hi Ralf, danke für Deine Unterstützung! Ich habe Combofix gemäß der von Dir angegebenen Quelle mit den dortigen Anweisungen installiert und ausgeführt. Ich blicke in dem Log nicht wirklich durch, habe aber zumindest leichte Hoffnung, dass ich den Rechner vielleicht noch ein paar Tage nutzen kann. Code: ComboFix 09-10-27.08 - UMTS 28.10.2009 22:12.1.2 - NTFSx86Danke schon mal, viele Grüße Wolfgang |
Zumindest hat dir CF die infizierte Systemdatei durch ein Orginal ersetzt. In dem Zustand kannst du ersteinmal weiterarbeiten, bis du die Zeit zum neu aufsetzen findest. deinstalliere Combofix noch ueber start/ausfuehren, gebe dort combofix /uninstall ein und druecke enter.. |
Hi Ralf, nach ein paar Tagen Rechner-Abstinenz erst nochmal ein dickes :dankeschoen: für Deine Unterstützung. Ist die Deinstallation von Combofix aus Sicherheitsgründen erforderlich oder sollte ich nicht damit (bzw. anderen Tools?) ab und an bis zum Neuaufsetzen des Netbooks scannen, damit ich mir nicht wieder etwas einfange? Ganz offensichtlich hat die Security-Suite von GData ja nicht ausgereicht, um mir die Kiste halbwegs clean zu halten... :mad: Thanks und viele Grüße Wolfgang |
Combofix solltest du deinstallieren, da dir das jetzt keinen Nutzen bringt und es eigentlich nur dafuer gedacht ist zu helfen, wenn alles andere versagt. Combofix ist zudem sehr "maechtig". Da sollte man nicht aus Verdacht heraus nutzen. Anders sieht das bei Malwarebytes aus. Das sollte man durchaus oeffters nutzen und natuerlich aktualisieren! |
| Alle Zeitangaben in WEZ +1. Es ist jetzt 22:20 Uhr. |
Copyright ©2000-2025, Trojaner-Board