Backdoor oder Trojaner noch immer auf meinem System?
 

Hallo erstmal!

Ich wende mich heute hier an euch, weil ich vor ca. 14 Tagen bemerkte, dass ich allmählich die Kontrolle über meinen Firmenlaptop verlor und ausspioniert wurde. Leider konnte ich den Übeltäter bisher nichtmal identifizieren und kann nur die mir aufgefallen Symptome umschreiben: Es wurden Logfiles mit dubiosen Endungen erstellt denen man beim Wachsen zusehen konnte. Diese enthielten meine Dateiverzeichnisse, Textfragmente von mir Geschriebenem, Installierte Software und deren Key´s, Kamerabilder und was weiß ich noch alles mehr. Einstellungen die ich vornahm, wurden wieder geändert (z.B. versteckte Dateien einblenden wurde durch einen "Hide" Shell-Eintrag ausgehebelt). Rechte in der Registry wurden mir entzogen. Neue Dienste wurden erstellt und an bestehenden die Rechte übernommen. Genauso die Prozesse. Nicht-PnP Treiber wurden erstellt. Und das Übel scheint seine Handlungen immer vor deren Ausführung "unsichtbar" zu machen. Überall in der Registry, den Diensten und Prozessen tauchen dann immer mehr dubiose Root-Befehle und merkwürdige Strings die mit einer Verschlüsselung aufhören. Datei-Endungen wurden in Ihrer Funktion geändert, Virenkiller haben mitten im Scannen einfach aufgehört und sich ohne Meldungen einfach beendet. Bei G-Data kam sogar mitten in der Installation die Meldung der Dienst "Windows Installer" stünde nicht zur Verfügung.

Ich habe mein System mittlerweile bestimmt 10 mal neu aufgesetzt, zuletzt mit der Befehlsfolge: fixmbr, fixboot, format c: und hatte bis gestern Abend auch ein recht gutes Gefühl den Hund endlich losgeworden zu sein, aber nun habe ich doch wieder Bedenken. Der "Bootkit-Remover" meldete mir den Fund eines "Unknown Boot code"...

Habe Anleitung A abgearbeitet, wobei es zu erwähnen gibt, dass mir beim Ausführen der gmer.exe ein svchost-Dienst eine 100%-CPU-Last beschert hat und ich daraufhin nicht mehr normal herunterfahren konnte. Hier die benötigten Logfiles:



Die OTL-File mußte ich wohl wegen Ihrer Größe anhängen.


Kann mir denn bitte bitte jemand helfen und mir sagen, ob mein XPS nun sauber ist oder nicht? Da ich nichtmal weiß was ich mir da eingefangen hatte und wie ich mich davor schützen kann, trau ich mich zur Zeit nicht an meine gesicherten Dateien (die sind ja viel. oder sogar bestimmt auch "verseuch") Ich verdiene mit diesem Laptop meinen Lebensunterhalt und bin mit meinem Latein sowie meinen Nerven echt am Ende. Darum wäre euch euch für eine schnelle Hilfe wirklich sehr dankbar.

Eine Formatierung überlebt kein Schädling. Hast Du danach Setups wieder ausgeführt, die auch vom infizierten System verarbeitet wurden?

Wurde vor dem ersten Gang ins Internet zumindest das SP3 offline eingespielt? Erst dann kannst Du rel. gefahrlos ins Internet und weitere Updates installieren lassen.

Erster Gang ins Internet zwar nur mit SP2, aber dafür erst NIS 2011 und dann direkt über den Sicherheitscenter die Updates abgerufen (natürlich inkl. SP3).

Bisher hab ich bis auf 5 Excel-Dateien, die ich wirklich dringend zum Arbeiten benötigte, überhaupt keine Datei aufgespielt und auch kein Setup von irgendetwas das infiziert sein könnte. Alles Original-CD´s bzw. beim jeweiligen Hersteller direkt von dessen Homepage gedownloadet, außer etlichen Prüfprogrammen von eurer Seite. Die Excel-Dateien musste ich mir allerdings über einen USB-Stick von einer vielleicht infizierten Platte holen. Diese liefen allerdings zuerst durch Lavasoft Ad-Aware und AVG IS auf einem anderen Laptop (den habe ich heute nach mit DBAN platt gemacht und neu aufgesetzt), dann durch Malwarebytes und den NIS auf meinem Firmenlaptop. Keinerlei Meldung.

Auf der evtl. infizierten Platte liegen allerdings noch ca. 350 GB Daten (leider auch Setup´s) welche ich unbedingt brauche. Was kann ich mehr tun um mich weitestgehend zu schützen? Ich arbeite eigentlich sehr akribisch und kann mir absolut nicht vorstellen, wie ich mir das Teil wieder und wieder einfangen konnte. Ich hatte mein XP neu aufgesetzt und weder eine Internet-Verbindung noch eine Datei per USB-Stick aufgespielt und trotzdem wurden neue Nicht-PnP-Treiber installiert und immer mehr unbekannte Prozesse eingerichtet, ohne dass ich neue Programme oder Hardware installiert habe. Ich kann nur vermuten dass es an meiner Formatierungsweise lag und der Backdoor (vermute ich zumindest) sich in der MBR verborg. Leider konnte ich das Übel bisher ja leider nicht mal identifizieren und bin deshalb immer noch besorgt...

Ich hab hier noch eine hjt-logfile von meinem mittlerweile auch neu aufgesetztem zweitem Notebook (vielleicht hilft die ja):

Wie sehen denn die bisher geposteten Files aus? System sauber?

Und vielen Dank dass Du Dich meinem Problem annimmst.

Security-Suites sind schonmal Murks, weil die Dinger kontraproduktiv sind. Lies einfach mal hier, ich denke dann sollte es etwas klarer werden:

Die Vertrauensbrecher c't Editorial über Internet Security Suites und warum sie idR nichts taugen
Oberthal online: Personal Firewalls: Sinnvoll oder sinnfrei?
personal firewalls ? Wiki ? ubuntuusers.de
NT-Dienste sicher konfigurieren und abschalten (Windows 2000/XP) - www.ntsvcfg.de
microsoft.public.de.security.heimanwender FAQ

Dann wirst Du feststellen, dass es einfach nur unnötig ist, sich das System mit einer weiteren "Schutzkomponente" zu verhunzen... :rolleyes:

Malwarebefall vermeiden kannst Du sowieso nur, wenn Du selbst Dein verhalten in den Griff bekommst => Kompromittierung unvermeidbar?


Was für Setups? Liegen die nicht noch gesichert auf externen Medien wie LTO-Bänder oder DVDs? :wtf:
Wenn keine Backups vorliegen frag ich mich, was das für eine Firma ist, die so große Risikobereitschaft hat, auf wichtige Backups zu verzichten :stirn:


Erstmal gibt es so keinen Hinweis auf Befall und direkt nach einer Formatierung sind die Schädlinge garantiert weg, weil das infizierte Windows ja gelöscht wurde. Die Logs sind unauffällig und Malwarebytes hat auch nichts gefunden.


Nur weil Du ein Prozess nicht sofort kennst, heißt das nicht, dass da was Böses hintersteckt. :rolleyes:



Das ist über DBAN ausgeschlossen, jedenfalls wenn man das gesamte Laufwerk löscht und nicht nur einzelne Partitionen. Was genau hast Du also gemacht?

Um den MBR zu prüfen:

Downloade Dir bitte MBRCheck (by a_d_13) und speichere die Datei auf dem Desktop.

• Doppelklick auf die MBRCheck.exe.
  Vista und Win7 User mit Rechtsklick "als Administrator starten"
• Das Tool braucht nur eine Sekunde.
• Danach solltest du eine MBRCheck_<Datum>_<Uhrzeit>.txt auf dem Desktop finden.

Poste mir bitte den Inhalt des .txt Dokumentes

Also nachdem gestern Abend Ad-Aware auf meinem privaten mit DBAN gesäubertes Notebook auf einem meiner Sticks eine Trojanermeldung brachte und ich wusste dass diese Datei auch schon auf meinem Firmenrechner ist, installierte ich dort auch Ad-Aware. Und obwohl NIS und Malwarebytes vor bei keinem Scan was meldete:

Ad-Aware und NIS fanden dann übrigens heute morgen nichts mehr, dafür nun aber Malwarebytes:

Ich habe bisher zwar noch keinerlei Merkwürdigkeiten an meinem System feststellen können, möchte aber keinerlei Risiko mehr eingehen und werde die Platten meines XPS nun auch mit DBAN formatieren und ihn zum xten Mal neu aufsetzen. Aber um das Übel endlich zu identifizieren (glaube auch nicht, dass die 2 gefundenen wohl relativ harmlosen Kandidaten mein einziges Problem sind bzw. waren) und mich zukünftig zu schützen, macht es vielleicht Sinn hier noch mal die wichtigsten logfiles zu posten:

Malwarebytes:

Defogger:

Gmer:

GMER Logfile:
--- --- ---


OTL:

Musste ich aufgrund seiner Größe wieder anhängen.


Und hier noch der MBR-Check:

So ich hoffe Du kannst mir nun vielleicht doch noch weiterhelfen. Übrigens, wir sind ein mittelständiges Unternehmen mit knapp 70 Mitarbeitern und können uns leider keine eigenen IT´lers leisten und ich vermute auch nicht hinter jedem Prozess etwas komisches, doch ich kenne meine letztendlich immer mit viel Mühe, Hingabe und Zeit aufgesetzte Kiste. Da werden normalerweise nicht ständig lauter mir unbekannte Nicht-PnP Treiber installiert oder zig Prozesse gestartet die meinen Rechner am Ende sogar in die Knie zwingen. Mag sein, dass ich zur Zeit etwas überreagiere, aber ein gebranntes Kind scheut eben das Feuer...