Hatte gerade erstmals eine interessante Malware die sich plötzlich zu erkennen gab:
Ich surfte im Internet und suchte Dinge für meinen Minecraftserver, als sich plötzlich ein lustiges Programm der "Bundespolizei" auftat.
Ich wäre auf Seiten gewesen mit Kinderpornographie, Sodomie, habe Datein auf meinem Rechner mit solchem Inhalt, veschickte Spam und E-Mails mit terroristischem Inhalt. Ein pädophiler Terrorist also.
Da die Behörden aber nur fair sind durfte ich die Strafe in Höhe von 100 Euro sofort per Paysafecard oder Ukash begleichen.
Dieses Programm schaltete sich also vor meine gesamten Programme und ich konnte nichts mehr machen - bis auf Alt+ f4. Aber da ich den Taskmanager nicht öffnen konnte um den Explorer wieder herzustellen war es ziemlich unnütz.
Also abgesichter Modus angeschmissen und Virenscanner an. Wieder nur der übliche Tenga:32 Scheiß, doch der bleibt einfach mal wo er ist.
Also Registry und Systemstart via MsConfig auf und einfach mal 2 verdächtige Sachen gelöscht bzw. deaktiviert:
"SearchAnonymizer" aus dem Hause "OSC" und dann noch "Spice Lynn Overt Exalt Pip" von "IBM Corp.".
Ich sehe das Programm von IBM jedoch zum ersten Mal, wesshalb ich an seiner Echtheit zweifel.
Habe es jedoch auch nicht im üblichen Virusordner der Registry gefunden, also "Run", sondern nur den "Searchanonymizer". Den also gelöscht, das Spice fiech aus dem Autostart genommen und es funktioniert wieder.
Nur möchte ich doch sicher sein, dass dieser Müll entgültig von der Platte ist.
Kann mir da jemand helfen, kennt jemand die Datein, oder das Programm?
Wenn die Programme gelöscht sind (auch im Taskmanager nachschauen!) muss eine Systemwiederherstellung auf die Tage v o r dem Befall gemacht werden. Dann ist wieder alles OK. Hier die Anleitung zu dem Thema: Übrigens, den Taskmanager bekommt man kurz bevor der Desktop erscheint (2-3 Mal schnell Strg-Alt-Enf drücken). Dort kann man dann die Dateien löschen.
Die Anleitung oben hat gut funktioniert, aber man muss höllenschnell sein, denn wenn sich der Desktop im Hintergrund fertigstellt, kommt wieder das BKA Fenster und überdeckt den Taskmanager. Ich hatte bestimmt 5 bis 6 Mal versucht. Dann ganz schnell die Prozesse aufgerufen und die unbekannten Prozesse gekillt. Dann ging's.
Sooo meine Freunde. Ich finde die Länge zwar ein wenig übertrieben, aber hier sind wie gewünscht die Logfiles:
RSIT Info:
Code:
info.txt logfile of random's system information tool 1.09 2011-12-02 20:56:45
======Uninstall list======
Streich ich mal, ist zu lang!
======System event log======
Computer Name: Felix-PC
Event Code: 7036
Message: Dienst "WinHTTP-Web Proxy Auto-Discovery-Dienst" befindet sich jetzt im Status "Beendet".
Record Number: 209750
Source Name: Service Control Manager
Time Written: 20110827143707.107000-000
Event Type: Informationen
User:
Computer Name: Felix-PC
Event Code: 7036
Message: Dienst "Software Protection" befindet sich jetzt im Status "Beendet".
Record Number: 209749
Source Name: Service Control Manager
Time Written: 20110827142450.958600-000
Event Type: Informationen
User:
Computer Name: Felix-PC
Event Code: 7036
Message: Dienst "Shellhardwareerkennung" befindet sich jetzt im Status "Beendet".
Record Number: 209748
Source Name: Service Control Manager
Time Written: 20110827142237.048200-000
Event Type: Informationen
User:
Computer Name: Felix-PC
Event Code: 7036
Message: Dienst "Multimediaklassenplaner" befindet sich jetzt im Status "Beendet".
Record Number: 209747
Source Name: Service Control Manager
Time Written: 20110827142234.209000-000
Event Type: Informationen
User:
Computer Name: Felix-PC
Event Code: 7036
Message: Dienst "WinHTTP-Web Proxy Auto-Discovery-Dienst" befindet sich jetzt im Status "Ausgeführt".
Record Number: 209746
Source Name: Service Control Manager
Time Written: 20110827142037.099800-000
Event Type: Informationen
User:
=====Application event log=====
Computer Name: Felix-PC
Event Code: 102
Message: Windows (2688) Windows: Das Datenbankmodul (6.01.7601.0000) hat eine neue Instanz gestartet (0).
Record Number: 53521
Source Name: ESENT
Time Written: 20110726161204.000000-000
Event Type: Informationen
User:
Computer Name: Felix-PC
Event Code: 5617
Message: Die Subsysteme des Windows-Verwaltungsinstrumentationsdienstes wurden erfolgreich initialisiert.
Record Number: 53520
Source Name: Microsoft-Windows-WMI
Time Written: 20110726161200.000000-000
Event Type: Informationen
User:
Computer Name: Felix-PC
Event Code: 5611
Message: Vom Windows-Verwaltungsinstrumentationsdienst wurde ein inkonsistentes Herunterfahren des Systems festgestellt.
Record Number: 53519
Source Name: Microsoft-Windows-WMI
Time Written: 20110726161157.000000-000
Event Type: Informationen
User:
Computer Name: FELIX-PC
Event Code: 0
Message: Der Dienst wurde gestartet.
Record Number: 53518
Source Name: SearchAnonymizer
Time Written: 20110726161155.000000-000
Event Type: Informationen
User:
Computer Name: FELIX-PC
Event Code: 5615
Message: Der Windows-Verwaltungsinstrumentationsdienst wurde erfolgreich gestartet.
Record Number: 53517
Source Name: Microsoft-Windows-WMI
Time Written: 20110726161152.000000-000
Event Type: Informationen
User:
=====Security event log=====
Computer Name: Felix-PC
Event Code: 4608
Message: Windows wird gestartet.
Dieses Ereignis wird protokolliert, wenn LSASS.EXE gestartet und das Überwachungssubsystem initialisiert wird.
Record Number: 41503
Source Name: Microsoft-Windows-Security-Auditing
Time Written: 20110506105747.918800-000
Event Type: Überwachung erfolgreich
User:
Computer Name: Felix-PC
Event Code: 1100
Message: Der Ereignisprotokollierungsdienst wurde heruntergefahren.
Record Number: 41502
Source Name: Microsoft-Windows-Eventlog
Time Written: 20110506062210.937150-000
Event Type: Überwachung erfolgreich
User:
Computer Name: Felix-PC
Event Code: 4672
Message: Einer neuen Anmeldung wurden besondere Rechte zugewiesen.
Antragsteller:
Sicherheits-ID: S-1-5-18
Kontoname: SYSTEM
Kontodomäne: NT-AUTORITÄT
Anmelde-ID: 0x3e7
Berechtigungen: SeAssignPrimaryTokenPrivilege
SeTcbPrivilege
SeSecurityPrivilege
SeTakeOwnershipPrivilege
SeLoadDriverPrivilege
SeBackupPrivilege
SeRestorePrivilege
SeDebugPrivilege
SeAuditPrivilege
SeSystemEnvironmentPrivilege
SeImpersonatePrivilege
Record Number: 41501
Source Name: Microsoft-Windows-Security-Auditing
Time Written: 20110506062208.940350-000
Event Type: Überwachung erfolgreich
User:
Computer Name: Felix-PC
Event Code: 4624
Message: Ein Konto wurde erfolgreich angemeldet.
Antragsteller:
Sicherheits-ID: S-1-5-18
Kontoname: FELIX-PC$
Kontodomäne: KINO
Anmelde-ID: 0x3e7
Anmeldetyp: 5
Neue Anmeldung:
Sicherheits-ID: S-1-5-18
Kontoname: SYSTEM
Kontodomäne: NT-AUTORITÄT
Anmelde-ID: 0x3e7
Anmelde-GUID: {00000000-0000-0000-0000-000000000000}
Prozessinformationen:
Prozess-ID: 0x248
Prozessname: C:\Windows\System32\services.exe
Netzwerkinformationen:
Arbeitsstationsname:
Quellnetzwerkadresse: -
Quellport: -
Detaillierte Authentifizierungsinformationen:
Anmeldeprozess: Advapi
Authentifizierungspaket: Negotiate
Übertragene Dienste: -
Paketname (nur NTLM): -
Schlüssellänge: 0
Dieses Ereignis wird beim Erstellen einer Anmeldesitzung generiert. Es wird auf dem Computer generiert, auf den zugegriffen wurde.
Die Antragstellerfelder geben das Konto auf dem lokalen System an, von dem die Anmeldung angefordert wurde. Dies ist meistens ein Dienst wie der Serverdienst oder ein lokaler Prozess wie "Winlogon.exe" oder "Services.exe".
Das Anmeldetypfeld gibt den jeweiligen Anmeldetyp an. Die häufigsten Typen sind 2 (interaktiv) und 3 (Netzwerk).
Die Felder für die neue Anmeldung geben das Konto an, für das die Anmeldung erstellt wurde, d. h. das angemeldete Konto.
Die Netzwerkfelder geben die Quelle einer Remoteanmeldeanforderung an. der Arbeitsstationsname ist nicht immer verfügbar und kann in manchen Fällen leer bleiben.
Die Felder für die Authentifizierungsinformationen enthalten detaillierte Informationen zu dieser speziellen Anmeldeanforderung.
- Die Anmelde-GUID ist ein eindeutiger Bezeichner, der verwendet werden kann, um dieses Ereignis mit einem KDC-Ereignis zu korrelieren.
- Die übertragenen Dienste geben an, welche Zwischendienste an der Anmeldeanforderung beteiligt waren.
- Der Paketname gibt das in den NTLM-Protokollen verwendete Unterprotokoll an.
- Die Schlüssellänge gibt die Länge des generierten Sitzungsschlüssels an. Wenn kein Sitzungsschlüssel angefordert wurde, ist dieser Wert 0.
Record Number: 41500
Source Name: Microsoft-Windows-Security-Auditing
Time Written: 20110506062208.940350-000
Event Type: Überwachung erfolgreich
User:
Computer Name: Felix-PC
Event Code: 4647
Message: Benutzerinitiierte Abmeldung:
Antragsteller:
Sicherheits-ID: S-1-5-21-1445889084-2299264055-3788391365-1000
Kontoname: Felix
Kontodomäne: Felix-PC
Anmelde-ID: 0x5984b
Dieses Ereignis wird generiert, wenn eine Abmeldung initiiert wird. Es kann keine weitere benutzerinitiierte Aktivität erfolgen. Dieses Ereignis kann als Abmeldeereignis interpretiert werden.
Record Number: 41499
Source Name: Microsoft-Windows-Security-Auditing
Time Written: 20110506062207.614350-000
Event Type: Überwachung erfolgreich
User:
======Environment variables======
"ComSpec"=%SystemRoot%\system32\cmd.exe
"FP_NO_HOST_CHECK"=NO
"OS"=Windows_NT
"Path"=%CommonProgramFiles%\Microsoft Shared\Windows Live;C:\Program Files (x86)\PHP\;%SystemRoot%\system32;%SystemRoot%;%SystemRoot%\System32\Wbem;%SYSTEMROOT%\System32\WindowsPowerShell\v1.0\;C:\Program Files (x86)\Common Files\Roxio Shared\DLLShared\;C:\Program Files (x86)\Common Files\Roxio Shared\10.0\DLLShared\;C:\Program Files (x86)\ATI Technologies\ATI.ACE\Core-Static;C:\Program Files (x86)\QuickTime Alternative\QTSystem
"PATHEXT"=.COM;.EXE;.BAT;.CMD;.VBS;.VBE;.JS;.JSE;.WSF;.WSH;.MSC
"PROCESSOR_ARCHITECTURE"=AMD64
"TEMP"=%SystemRoot%\TEMP
"TMP"=%SystemRoot%\TEMP
"USERNAME"=SYSTEM
"windir"=%SystemRoot%
"PSModulePath"=%SystemRoot%\system32\WindowsPowerShell\v1.0\Modules\
"NUMBER_OF_PROCESSORS"=4
"PROCESSOR_LEVEL"=6
"PROCESSOR_IDENTIFIER"=Intel64 Family 6 Model 23 Stepping 7, GenuineIntel
"PROCESSOR_REVISION"=1707
"RoxioCentral"=C:\Program Files (x86)\Common Files\Roxio Shared\10.0\Roxio Central36\
"PHPRC"=C:\Program Files (x86)\PHP\
"VBOX_INSTALL_PATH"=C:\Program Files\Oracle\VirtualBox\
-----------------EOF-----------------
Malwarebytes' Anti-Malware 1.51.2.1300
www.malwarebytes.org
Datenbank Version: 8290
Windows 6.1.7601 Service Pack 1
Internet Explorer 8.0.7601.17514
02.12.2011 20:54:58
mbam-log-2011-12-02 (20-54-58).txt
Art des Suchlaufs: Vollständiger Suchlauf (C:\|D:\|)
Durchsuchte Objekte: 595854
Laufzeit: 1 Stunde(n), 37 Minute(n), 3 Sekunde(n)
Infizierte Speicherprozesse: 0
Infizierte Speichermodule: 0
Infizierte Registrierungsschlüssel: 2
Infizierte Registrierungswerte: 0
Infizierte Dateiobjekte der Registrierung: 0
Infizierte Verzeichnisse: 1
Infizierte Dateien: 8
Infizierte Speicherprozesse:
(Keine bösartigen Objekte gefunden)
Infizierte Speichermodule:
(Keine bösartigen Objekte gefunden)
Infizierte Registrierungsschlüssel:
HKEY_CURRENT_USER\SOFTWARE\Bifrost (Bifrose.Trace) -> Quarantined and deleted successfully.
HKEY_CURRENT_USER\SOFTWARE\BIFROST1.2 (Bifrose.Trace) -> Quarantined and deleted successfully.
Infizierte Registrierungswerte:
(Keine bösartigen Objekte gefunden)
Infizierte Dateiobjekte der Registrierung:
(Keine bösartigen Objekte gefunden)
Infizierte Verzeichnisse:
c:\Users\Felix\AppData\Roaming\Bifrost (Backdoor.Bifrose) -> Quarantined and deleted successfully.
Infizierte Dateien:
c:\program files (x86)\image-line\toxic biohazard\toxic biohazard.dll (Trojan.Backdoor) -> Quarantined and deleted successfully.
c:\program files (x86)\metin2_germany ungepatched\mc.exe (Trojan.Downloader) -> Quarantined and deleted successfully.
c:\program files (x86)\microsoft games\age of empires ii\age2_x1\age2_x1.exe (Trojan.FakeMS) -> Not selected for removal.
c:\Users\Felix\AppData\Local\Temp\0.6652047066690363.exe (Trojan.Zbot.CBCGen) -> Quarantined and deleted successfully.
c:\Users\Felix\AppData\LocalLow\Sun\Java\deployment\cache\6.0\40\5a0fc8a8-3aed3dbf (Trojan.Zbot.CBCGen) -> Quarantined and deleted successfully.
c:\Users\Felix\Desktop\sonstiges\bifrost 1.2.1d\LOIC.exe (PUP.HackTool.LOIC) -> Not selected for removal.
c:\Users\Felix\downloads\everest poker.exe (PUP.Casino) -> Not selected for removal.
c:\Users\Public\downloads\Postal 2\apocalypseweekend\System\ori\postal2.exe (Virus.Tenga) -> Not selected for removal.
Viel Spaß beim Lesen.
P.s.: Was sind diese Tenga Viren eigentlich? Hab das Gefühl ich hab mir die bei einer Lan eingefangen, vorher hat der Scanner nie etwas gesagt. Zudem laufen die .exe normal.
Wenn ein Spiel in der Bundesrepublik nicht so ohne weiteres erworben werden darf, man nehme Postal 2, muss man doch auf Sicherheitskopien zurückgreifen.
Die russichen Seiten kommen von QIP, welches ich genutzt hatte um HTML Codes via ICQ zu versenden, klappt mit QIP aber nicht sonderlich, darum habe ich jetzt ein neues Programm. Nur leider hatte sich QIP reingefressen.
Dass etwas mit FL nicht stimmt möchte ich mal ausschließen, es sei denn der Tenga sitzt da drin. Soll sich ja verbreiten wie Schimmelpilz.
Jedenfalls hat Avast nichts gemeldet von FL und ich habe heute noch damit gearbeitet.
Die AOE2 Datei ist zwar ein Crack, aber nur aus Bequemlichkeit, hab doch keine Lust immer die CD reinzulegen. Läuft rund und hatte bis jetzt keinen negativen Effekt.
Was diese Kikin ist frag ich mich jedoch auch, kann mich an kein gleichnamiges Programm erinnern, finde auch auf meinem Rechner keines.
FL Scan
ie_kikin ist sauber laut Virustotal, habe das Programm jedoch trotzdem deinstalliert. Schien ein Crashreporter zu sein.
Aber ein gutes hatte die Sache schonmal. Durch CCleaner schmiert mein Rechner nun nichtmehr mittels Bluescreen ab wenn ich ihn 30 Minuten unbenutzt stehen lasse. Super!
Malware versendet- von wo? Hallo zusammen
Wir haben heute einen Brief unseres Providers bekommen.
Dass von einem unserer PC's Viren/Würmer/Trojaner versendet wurde.
...
Schalala
Viren, Würmer, Spyware
6
07.06.2011 16:10
Malware Hallo ihr lieben,
mein PC sagt mir das ich 21 Malware habe. Wie kann ich diese wieder los bekommen? Der PC hängt und spinnt total rum.
Hab...
~~Daniela~~
Viren, Würmer, Spyware
5
06.05.2011 20:03
malware directx.exe hi leute seit drei wochen wird bei mir und meiner frau von avira im verzeichnis users\username\appdata\roaming\DirectX.exe als malware angezeigt....
MatzeMeier
Viren, Würmer, Spyware
12
02.04.2011 08:12
Malware Moin!
Was passiert eigentlich mit der Malware und den Viren, die bei Antivir in der Quarantäne liegen? Kann ich die einfach löschen?
mikety
Malware Bundespolizei 
Linear-Darstellung
