Laptop wahrscheinlich kompromittiert (ging nachts von alleine an) - Plattmachen
 

Hallo,
wie es der Titel sagt gehe ich davon aus, dass mein Laptop kompromittiert ist und irgendwer durch eine Hintertür (Backdoor) diesen kontrolliert und evl. als Datenhost o.ä. missbraucht. Hatt eben einen schönen Text geschrieben der das Ganze ausführlich begründet, leider habe ich es geschafft aus Versehen den Browser zu schließen deswegen jetzt nur die "lite"-Version.
-Brauchte Prog zum Umwandeln von .wma zu .mp3...
-Die .exe war ein Virus, nach dem öffnen tummelten sich einige "neue" .exe`n im Taskmgr, dafür hat sich die runtergeladene Datei selbst gelöscht.
-Infektion manuell beseitigt, soweit das möglich war, schien auch erfolgreich:
-Ynr.exe, Ynp.exe, Ynq.exe (Yfguhjk.exe, bei dem bin ich nicht sicher), digital signiert (MSE die ganze Zeit taub und blind...), "It Is Gold Software" "ISeven" - alles gelöscht, Registry-Einträge ebenfalls. Befanden sich in C:\Benutzer\~\Appdata\Local\temp\
-danach Ruhe, bis der Laptop auf einmal nachts um 6 Uhr morgens an war
-Suche förderte in der Nacht erstellte Dateien u.a. in C:\Windows\Temp\FirstUX 90 .bmp Dateien zutage mit Zugriffsrechten für 70 "Unbekanntes Konto (S-1-5-21-124525095-708259637-1543 ...)" (aber nicht für mich, musste mich erst eintragen... oO).
-Auf den Bildern war schlussendlich nichts zu erkennen, nur schwarz mit nem weißen Fleck in der Mitte.
-Dateinen "aus der Nacht" noch vorhanden

-ansonsten von der Uni aus erstmal _alle_ Passwörter zu Mail-Accs etc. geändert
-Wenn der Lappi nicht in Benutzung ist (wie jetzt) sind Akku und Netzteil raus
-Handy und Ipod werden per Netzteil geladen und sonst nirgendwo angeschlossen
-Benutze den Laptop noch, aber gebe nirgendwo Passwörter ein o.ä. (außer hier im Forum ;P)

Soo... weil ich ein gründlicher Mensch bin, dachte ich ich mache den Laptop gleich mal platt, sicher ist sicher und habe ich sowieso lange nicht mehr gemacht.
Jetzt die erste Frage: wenn das Programm einigermaßen clever ist, hat es sich sicher ziemlich tief eingegraben... wie kann ich sichergehen, dass es eine Neuinstallation (Ganze HD (langsam) formatieren + neu partitionieren + nochmal (langsam) formatieren) nicht überlebt? Die Methode kann auch gerne brutal sein, hauptsache ich kann 100% sicher sein dass das System dann wieder "jungfräulich" ist.
Zweite Frage: An dem Lappi waren mein Handy, mein Ipod und eine SD-Karte angeschlossen. Wie kann ich die überprüfen/säubern? Bei Ipod und SD-Karte sollte das relativ einfach sein, das Handy plattzumachen geht aber auf keinen Fall! (Es sei denn es ist mit Sicherheit verseucht, aber bis jetzt ist mir nichts aufgefallen)

So noch die Logfiles:

OTL-Logfile
MBAM log
HJT habe ich auch mal laufen lassen, aber das hat nix gefunden. bei mbr.exe ging nur für Sekundenbruchteile die schwarze Kommandokonsole auf, sonst passierte nichts, kA ob das gefunzt hat.

Mfg Mata

PS: Wenn ich ein Cracker wäre, würde ich doch wohl als erstes versuchen, die bei euch empfohlenen Scanner und Progs zu blocken, oder nicht?

PPS: Könnte mir gut vorstellen dass rpcnet.exe kompromittiert ist. Zwar ganz nützlich sollte der Laptop mal geklaut werden, aber sehr umstritten. Aber ich kenne mich ja nicht aus, vllt spinne ich auch nur Müll zusammen. :/

Hallo und :hallo:

Durch eine Formatierung bzw. durch eine Neuinstallation des Betriebssystem stellst du sicher, dass alle Schädlinge/Backdoors gelöscht werden. Es gibt keinen sichereren Weg als format c: plus Neuinstallation

Sofern die Dinger überhaupt befallen wurden. Datenkarten, USB-Laufwerke etc. werden wenn überhaupt von einem Schädling so modifiziert, dass eine autorun.inf erzeugt und eine schädliche EXE Datei irgendwo abgelegt wird, mit dem Ziel, den nächsten Windowsrechner zu befallen, da diese standardmäßig die automatische Wiedergabe aktiv haben.

Nabend, und danke =)
Hm, auf meinem PC (also nicht der Laptop) könnte ich da die Geräte anschließen und von dort aus scannen? Autoplay ist eine der ersten Sachen die ich nach ner Neuinstallation deaktiviere, oder meinst du etwas anderes mit "automatischer Wiedergabe"? Wenn ja, was für ein Programm kannst du mir erstmal zum Scannen empfehlen? Eignet sich da MBAM?
Gruß Mata

PS: Hab jetzt gelesen dass man für mbr.exe Antivir etc. ausschalten muss, da es ja selbst ein Rootkit ist... werd das gleich noch mal ausführen.

EDIT: mbr blieb diesmal etwas länger offen und hat folgendes log generiert:
Naja den Laptop werde ich sowieso neu aufsetzen, selbst wenn mbr nichts findet. Will mir auf einer Partition Unix installieren. ;) Und sicher ist sicher.

Ich pushe den mal weil er schon auf Seite 3 gelandet ist...
Mfg

Du willst doch eh neu aufsetzen...
Was genau soll denn noch gklärt werden? :wtf:

Na, ob ich mein Handy, Ipod und die SD-Karte an meinen anderen PC anschließen kann wenn da Autorun aus ist und womit ich die dann am besten scanne. Oder würde ich die Autorun.inf im Windows-Explorer (oder mit Total Commander) sehen?
Gruß Mata

Wenn autorun komplett deaktiviert ist kannste die anschließen. Eine evtl vorhandene autorun.inf siehst du wenn alle Dateien angezeigt werden, also versteckte Dateien und geschützte Systemdateien.

Super, danke für deinen Rat. ;)
Jetzt muss ich nur noch Zeit finden den Rechner neu aufzusetzen...
Gruß Mata