verdacht auf pc-infektion

[Corugen]

/E
problem behoben, danke
---


hi.

ich hab den verdacht das ich mir 'nen trojaner oder wurm eingefangen hab aber kann nichts finden.

folgendes ist passiert:
ich war gestern mittag mit 'nem schlecht gepatchtem win xp ohne firewall online, nach etwa 2 stunden kam dann 'ne fehlermeldung. "zuviele service.exe, rechner wird zur sicherheit runtergefahren *60sec countdown*" (sorry, weiß sie nicht mehr genau, aber ist denke ich bekannt).
hab dann erstmal mit "shutdown -a" den unmittelbaren zeitdruck entfernt. als ich dann das controlcenter von antivir geöffnet hab bermerkte ich das der guard deaktiviert wurde und sich nicht mehr aktivieren lässt.
daraufhin wollte ich in den taskmanager reinschauhen aber der lies sich nicht starten.
dann:
- stromzufuhr unterbrochen
- knopicillin gebootet, bekomme keine internetverbindung hin (usb-modem wird nicht erkannt), mit altem sophos und bitdefender gescannt, nichts gefunden
- wieder xp, im abgesichterten modus gestartet
- antivir und taskmgr.exe manuell gelöscht (über systemsteuerung->software ging ersteres nicht)
- nod32 instaliert (imo ein guter scanner mit 'ner starken heuristik)
- mit alter datenbank (mai 07) gescannt, nichts gefunden
- normaler neustart, interneteinwahl, nod aktualisiert, neustart im abgesichterten modus
- nod32 scannen lassen, nichts gefunden, normaler neustart
- nod32 intensiv scannen lassen, nichts gefunden

da ließ ich es auf 'nen versuch ankommen.
- antivir frisch instaliert, gemeinsam mit nod in den autostart, normaler neustart
- rechner läuft etwas langsamer als normal, webseiten bauen sich deutlich langsamer auf, der antivir-guard kommt irgendwie nicht mit den temporären dateien von nod klar.
- nod deinstaliert, rechner läuft wieder normal schnell, webseiten ein wenig langsamer
- 20 minuten später, rechner wird langsamer
- ins controlcenter von antivir geschaut, guard wurde deaktiviert und lässt sich nicht mehr aktivieren, im abgesichterten modus neugestartet
- anitvir runter (diesmal gings über "software"), nod drauf, neustart im abgesicherten modus, normaler neustart
- hijackthis drüber, nichts verdächtiges
- whirshark und active ports gestartet, interneteinwahl, kein verkehr
- update für spybot und ad-aware gezogen, normaler neustart
- beide drüber laufen lassen, nichts gefunden, update für nod, im abgesichteren modus neugestartet
- nod nochmal drüber, nichts gefunden
- normaler neustart, rechner verhält sich normal

so, und da steh ich nun und weiß nicht was ich machen soll :/
help anyone? :[

vielen dank im voraus.


mfg

ps. sorry für keine groß-/kleinschreibung, die notebook-tastatur nervt auch so schon genug.

 

[Seelenschneider]

...hast du mal mit HJackThis nach geschaut ?

Seele

 

[Corugen]

ja, hab ich gemacht, leider nichts auffälliges zu sehen.
die normalen programme die laufen sind alle erwünscht, die in system32\ alle bekannt.
bei den Ox-diensten das gleiche.
hijackthis.de sieht es ebenso.

log posten is leider etwas schwierig, will den betroffenen rechner erstmal so gut wie möglich isoliert lassen. ist aber imo auch nicht nötig.


mfg

 

[Seelenschneider]

...da fällt mir noch spontan die Systemwiederherstellung ein. So könntest du dein Prob auch lösen

 

[Corugen]

oh, ich wusste doch das ich was vergessen hatte^^
systemwiederherstellung auf den 10.07 hat auch nicht geholfen.
ich weiß aber nicht mehr wann genau ich das gemacht hab, wenn ich nicht weiterkomme versuch ich's zur not nochmal damit.

mfg

 

[SIndrome_X]

Evtl findet das hier was.
Is ne zusammenstellung von (ich glaube 10) Spywaretools und als freeware gestellt.

Bei mir hats damals gefunzt, versuchen würd ich's einfach mal.

 

[yafate]

wie stehts mit online scanner panda soft fällt mir da als erstes ein http://www.infectedornot.com/germany/

bei knopicillin kann man soweit ich weiß auch aktuelle viren deffs mit auf die cd brennen...müssteste n freund von dir oder so machen

bei bedarf würd ich infos dazu raussuchen

yafate

 

[Corugen]

systemwiederherstellung nochmal vesucht, hat nicht geklappt. es ist leider auch nur ein punkt vorhanden.

hitman pro 2 (das von SIndrome_X) versucht, das spyware- und adware-zeug hab ich größtenteils schon, die beiden virenscanner (trendmicro, mcafee) verursachten beim download einen programmabsturz.

yafate, online-scan ist leider nicht möglich, mittlerweile können keine webseiten mehr aufgerufen werden. es fängt an zu laden aber auch nach 5 minuten ist noch nichts zu sehen, egal welche seite ich versuche.
jo, infos wie das mit den aktuellen deff auf cd geht wären nett.

mittlerweile startet auch das controlcenter von nod nicht mehr ("Fehler bei der Kommunikation mit dem NOD32 Kernel Dienst") weswegen der aktiv-guard anscheinend auch nicht läuft.

avast! hätte ich noch da, aber viel hoffnung hab ich dafür nicht.


mfg

 

[shyeah]

Sicher, dass du einen HW-Defekt ausschließen kannst? Fast schrottreife HDs zeigen manchmal genau solche Symtome

 

[yafate]

mist kein scanner zur hand also old skool per tasten ^^

usb-stick hilft mit

knoppicillin bietet auch die möglichkeit, siganturen von der festplatte oder von einem usb-stick einzuspielen. legen sie dazu direkt auf dem laufwerk beziehungsweise stick ein verzeichnis mit namen "k5update" an. es muss auf höchster ebene liegen und darf sich nicht in einem unterverzeichnis befinden. kopieren sie die aktuellen signatur-updates von den herstellerseiten in das k5update-verzeichnis. die urls lauten: "- download.bitdefender.com/updates/bitdefender_v7/cumulative.zip" "- download.f-secure.com/latest/latest.zip" "- www.sophos.com/downloads/ide/409_ides.zip"
damit das knoppicillin die archive finden und zuordnen kann, müssen sie sie noch in Bitdefender.zip, F-Secure.zip beziehungsweise Sophos.zip umbenennen (groß kleinschreibung beachten). auf andren laufwerken im system sollten sich keine weiteren k5update-verzeichnisse befinden, damit es kein durcheinander gibt. in der menuesteuerung können sie dann beispielsweise im untemenu "virentest" die funktion "virensignaturen von lokalem laufwerk aktualisieren" anwählen. sie weist knoppicillin an , auf allen erkannten partitionen und eingesteckten usb-sicks nach einem k5update-verzeichnis mit signaturen zu suchen. sie erhalten rückmeldung, ob updates gefunden wurden.

äääächts
hoffe es hilft

 

[virusette]

Ich hatte letztens so einen Fall. Antivir downgeloadet, die IVDF (hier) aktuell ebenfalls downgeloadet, beides auf einem sauberen Rechner auf einen Stick gepackt.

Den Kandidaten im abgesicherten modus gebootet, Antivir deinstalliert und vom Stick neu installiert, die IVDF manuell eingespielt und schon hatte er einige Viren gefunden und danach lies sich das System wieder steuern.
Der wahrscheinliche primäre Übeltäter war ein Vundo (Virtumundo).

Alternative 1: In einem sauberen und sicheren Rechner die platte einhängen und dort scannen lassen.

Alternative 2: auf einer freien Partition ein Ubuntu installieren, Clamav oder Antivir draufknallen und von dort aus scannen. Vielleicht erkennt Ubuntu sogar Dein Modem. Zuminest kannst Du aber Deine Daten raussichern um sauber neuzuinstallieren.

 

[Corugen]

@virusette:
die ivdf lässt sich nicht manuell einspielen, fehlermeldung "Aktualisieren der Virendefinitionsdatei ist fehlgeschlagen".
alternative 1 geht nur schwierig.
zu alternative 2, ich hab zwei platten drinnen, eine ist c: und die andere partitioniert in f:, g: und h:. nachträglich kann man keine weitere partition erstellen, oder? also müsste ich eine der vorhanden 4 formatieren? (wäre dann wahrscheinlich gleich direkt c: )

@yafate:
oha, vielen dank für deine 0ldsch00l-sk1llz ^_^
werd ich nun mal versuchen.


mfg


/E
@shyeah:
nein, ist nicht auszuschließen. eher im gegenteil, ist schon ein paar jahre alt die platte.
ich sehe aber keinen zusammenhang zwischen den symptomen und einer defekten hd

 

[Megapixel]

Das gleiche Problem habe ich momentan auch. Nach einiger zeit erscheint: services.exe hat ein Problem erkannt und muss beendet werden. Danach kommt das Fensterchen indem steht, dass der PC ein NT-Autoritätsproblem und herruntergefahren wird.

Auch Systemwiederherstellung funzt nicht. Sasser und Blaster hab ich abgescannt, die sinds nicht. Als Virenschutz läuft bei mir Ad-aware und Kaspersky 7.0 + ne Firewall.

Allerdings erscheint auch beim Hochfahren die Meldung, dass die Grafikkarte nicht mit ausreichend Strom versorgt wird.

Desweiteren kann ich nicht mehr "automatische Updates" des SP 2 aktivieren.

Könnte evtl. das Netzteil defekt sein und deshalb erscheinen diese Meldungen?

 

[Superpapagei]

Also meine Tipps sind
1. Immer nen Hardwarerouter gegen Neuinfektionen. Ich werde versuchen nie wieder ohne so ein Gerät ins Netz zu gehen.
und
2. Wenn ich den Verdacht habe das mein System ernsthaft infiziert ist -> Daten sichern auf einer DVD -> System neu aufspielen -> DVD mit frischem Rechner scannen.. Dabei sind Images sehr nützlich das reduziert die Installationszeit und Konfiguratonszeit enorm.

Ich mach im Zeitalter von Onlinebanking etc. keine Experiemente mit evtl aktuellen Rootkits oder was auch immer. Dafür ist mir meine Datesicherheit zu wichtig.

 

[ScHwEnScH]

Nur auf einen Router wuerde ich mich nicht verlassen...

Linux-System ohne Internetzugang
Ein virtualisiertes System (Windoof oder Linux, je nach Geschmack)

Flash, Java, Javascript abgeschaltet und alternative Software .
Images vom virtualisierten System auf 2 verschiedenen Datentraegern (NAS und DVD) erleichtern das aufspielen bei Fehlern (Windoof ) oder Infektion durch hirnloses Email-Anhang-oeffnen.

Achja und finger weg von meiner Paranoia!
Micha

Gute Nacht Lektuere: Ich bin ein Virenlink!!11einzzweidrei

 

[virusette]

@corugen und @megapixel

Klingt nach Sasser bzw. Nachfahren und ihr habt nur SP1. Richtig? Also:

- hier die aktuellste Version downloaden und installieren. Damit werden alle nötigen Updates inklusive SP2 downgeloadet und zu einem CD-Images zusammengestellt, welches ihr natürlich brennt. Es sind um die 600 MB, dauert also ein bischen.
- Antivir oder einen anderen Virenscanner downloaden, der einen Virenwächter/Guard hat und auf CD brennen.

Die Downloads sollten zwangsläufig auf einem sauberen Rechner gemacht werden und gebrannt werde. Wenn man nur einen Rechner hat, kann man dafür z.B. ein Live Linux (Knoppix etc) benutzen. Oder zu einem Kumpel gehen, zum Computerkabinett in der Schule etc.

!!!!! NETZWERKKABEL/MODEMKABEL ABZIEHEN !!!!!

- Windows neu installieren. Beim Partitionieren die bisherige Windowspartition löschen und neu anlegen und anschließend beim Formatieren NICHT die schnelle Variante nehmen. Kommt ja nicht auf die Idee, Windows über sich selbst drüberinstallieren zu lassen.
- Die auf CD vorhandenen Treiber für Graka etc installieren
- Jetzt die oben beschriebene Update-CD installieren
- Virenscanner installieren und aktivieren
- alle verbliebenen Daten sofort auf Viren scannen.

ERST JETZT DARF DAS NETZWERKKABEL WIEDER REIN

Und kauft Euch einen Router. Neuware kostet ab etwa 30 EUR. Ein Router hätte genau solche Schädlinge zuverlässig verhindert.

 

[virusette]

@ScHwEnScH

So sicher VMs auch sein mögen, sie schränkten dennoch teilweise extrem ein. Das Hauptproblem bei den ganzen verseuchten Windows-Installationen sind fehlende Lizenzen und damit Updates, die Ignoranz oder Lernresistenz gegenüber dem ganzen Komplex Schadsoftware und dem "ich-muss-auf-alles-Raufklicken-Syndrom".

Man kann mit Windows auch mit aktivierten Java/Jacascript und Flash unterwegs sein ohne sich mit Adware oder Viren zu infizieren. Allerdings nicht mit der ungebildeten Naivität, die viel zu viel User haben.

 

[Superpapagei]

Nachtrag zum Hardwarerouter,
Also natürlich nicht nur Router, AVirensoftware muss schon sein.
Der Rest ist dann wie Virusette sagt Eigenverantwortlichkeit und etwas menschliche Logik bzw Verstand.

So ein HardwareRouter ist meiner Ansicht nach die beste Möglichkeit um gerade bei technisch nicht besonders interessierten Nutzern die Risiken zu minieren.

 

[ScHwEnScH]

@ScHwEnScH

So sicher VMs auch sein mögen, sie schränkten dennoch teilweise extrem ein. Das Hauptproblem bei den ganzen verseuchten Windows-Installationen sind fehlende Lizenzen und damit Updates, die Ignoranz oder Lernresistenz gegenüber dem ganzen Komplex Schadsoftware und dem "ich-muss-auf-alles-Raufklicken-Syndrom".

Man kann mit Windows auch mit aktivierten Java/Jacascript und Flash unterwegs sein ohne sich mit Adware oder Viren zu infizieren. Allerdings nicht mit der ungebildeten Naivität, die viel zu viel User haben.

Dessen bin ich mir bewusst, allerdings werden wir wohl kaum etwas gegen diese, sich in den Koepfen der meisten (l)User eingenistete Naivitaet unternehmen koennen. Das die Mehrheit der Internet, respektive W!ndows User, frei nach dem Standart "Gehirn aus, Browser auf" handeln ist schon seit laengerem bekannt. Meine Horror Visionen und Ausblicke der naechsten Jahrzente sehen duester aus.

Solange, diese Damen und Herren sich nicht beherrschen koennen und weiterhin auf den "Gewinne noch heute" Banner klicken, kann man wohl nichts anderes machen als sie in ihrer Freiheit einzuschraenken. Es tut mir ja auch fuer meine Familie/Freunde/Bekannte Leid, dass diese sozusagen keine Rechte mehr haben, aber wenn sie unbedingt wollen das ihr Rechner sicher ist, soweit das heutzutage noch moeglich ist, aber nicht auf gut gemeinte Ratschlaege hoeren, dann haben sie entweder mit den Konsequenzen, eingeschraenkter nicht-Hauptbenutzer mit eingerichteten Gruppenrichtlinien etc. zu leben oder auf meine Hilfe zu verzichten.

Auf fehlende Lizenzen werde ich hier jetzt nicht auch noch eingehen, denn das wuerde den Rahmen dann wirklich sprengen. Das einzige was ich noch hinzu zufuegen habe ist, dass Micro$ofts Support einigermassen gut ist, solange man sich die Rechte auf diesen auch erkauft hat. Wer nichts zahlen will soll was anderes benutzten und gluecklich werden, aber nicht als Virenmutterschiff im Internet rumduempeln.

Zurueck an die Arbeit...
Micha

PS: virusette: Es ist immerwieder schoen deine Postings zu lesen. Gruende zaehle ich nicht auf, ansonsten wuerde ich wohl jedes mal wenn ich aufstehe ausrutschen.

 

[Corugen]

so..., zwischenstand:
- knopicillin offline-update hat funktioniert, alle drei scanner drüber laufen lassen, alle nichts gefunden.
- antivir offline-update nochmal versucht, diesmal im normalen modus, hat funktioniert. ist gerade im abgesicherten modus am scannen.


bitte allgemeine sicherheitsdiskussionen (so richtig sie auch sein mögen) in den entsprechenden threads führen.
ich bin alles andere als jemand der sich gut auskennt aber es reicht aus um zu wissen was ich mache bzw. welchen gefahren ich mich damit aussetze. wer damit ein problem hat kann sich gerne denken "wegen solchen idioten gibt's soviele bot-netzwerke", usw. und brauch mir ja nicht zu helfen. dankeschön.
(no offense!)


mfg


/E
@virusette:
"nur sp1" ist nicht richtig, es ist kein sp instaliert^^

- antivir ist durch, nichts gefunden.


/E
problem behoben, vielen dank an alle.