WTF ?? Was war das ?!??!

[Dead-Hawk]

Da bin ich nur 5 min nicht da und schon ist schon wieder irgendetwas faul

Da hat man nun 10000ende Firewalls und dann sowas !!

Die Situation : Ich war ganz gemütlich Essen holen, auf meinem Desktop alles normal, Musik dudelt so vor sich hin - ich komme nach 5min wieder und dann DAS



und sowas



Wure ich gehackt ? Oder war das nur ein Joke Programm, habe Firewall, Prozess überwacher, Virenscanner usw.... Bin ich jetzt akut gefärdet ??? Werde mir gleich mal die Kaspersky Firewall runterladen, die von Kerio hat ja völlig versagt

Was soll ich da jetzt machen ? Habe wertvolles Material auf meinem Computer das auf keine Fall gestohlen, bzw weitergeleitet werden darf !!!!! HELP

 

[SolidSnake]

Also ich denk nicht das sich da einer durch die Walls etc gehackt hat und dann auf dem Bildschirm mit der Paint Sprühdose was schreibt. haste mal n Freund an deinen Rechner gelassen oda so? Ich denk da hat dich einfach nur einer verarscht

 

[Dead-Hawk]

Ne außer mir war niemand da, außerdem hatte ich an beiden Bildschirmen den Hintergrund den man beim ersten Bild sehne kann, bloß ohne dieses Hacked

 

[Phunsoldier]

Ich empfehl dir, mal nen Virenscanner durchlaufen zu lassen. falls du keinen hast, probier House Call. Dann am besten nochmal schauen, welche Ports bei dir offen sind. Dazu gibt es auch spezielle Seiten im Inet.
Am besten sicherst du auch noch deine wichtigen Dokumente, glaube aber nicht, dass da jemand Interesse dran hat.
MfG Phunsoldier

 

[Dead-Hawk]

Danke für die schnellen Antworten, war grad auf der Seite die auf Bild 1 zu sehen ist, was Hooster down bedeuten soll ist mir allerdings ein Rätsel

Hab grade nochmal alles durgeschaut und werde mich nochmal neu ins Internet anmelden und die Ports checken

Edit: So habe jetzt nochmal die Routerfirewall erneuert und mir Kerio Anti Hacker runtergeladen sowie Registry und Systemeinträge gescannt und Ports kontrolliert .. wenn die was dagelassen hätten, hätt ich es auch gefunden

Hoffentlich wars dass ... puh *seufz*

Allerdings hab ich schon seit einiger Zeit ( 2 Wochen ) einen dummen Virus, der bisher scheinbar noch nicht behoben werden kann, denn man zwar löschen kann, der aber immer wieder kommt. Der Virus trägt bei Ad-aware die Bezeichnung *Windows* und hat sich dort in der Registry versteckt -- macht eigentlich nichts schlimmes, aber er nervt ---> er deaktiviert die kompletten Administrator Zugriffsrechte wie den Zugriff auf CMD, Regedit, Taskmanager und Wiederherstellungskonsole solange bis man ihn wieder löscht - was ja leider nichts bringt

Wenn mir da wer helfen kann wäre ich unglaubich glücklich

 

[mortician]

Hoi
Mal vielleicht noch nen PortScan, ob Trojaner Ports oderso offen sind.
Oder gar aktiv.
´gruß

 

[silenthunter]

ich denke das war "nur" nen virus. will den hacker sehen (es sei der is nen bisschen vor-pupertär), der so deutlich zeigt dass er da war. und die wahrscheinlichkeit, dass nen einfacher pc gehackt wird, is eh ziemlich gering

 

[Thing]

Welchen Virenscanner haste denn? An deiner Stelle würd ich das Teil ausm Fenster schmeißen. Seit Wochen nen Virus drauf und der Scanner kann das System von dem Parasiten nicht befreien!?
Installiere Kaspersky 6 und lasse mal nen komplette Untersuchung durchlaufen. Bin mir sicher, danach wirste die nächsten Jahre das Wort Virus nicht mal mehr in den Mund nehmen.

 

[Dead-Hawk]

Also ich habe die neuste Version von Ad-aware Professional, hat mir bischer eigentlih immer gute Diesnste geleistet, aber die Idee mit dem Kaspersky Virensucher werde ich auf jedenfall auch ausprobieren. Hoffentlich hast du recht un der Virus ist dann wirklich für immer weg

 

[dagod]

Du hast dir den CIA Trojaner eingefangen.

Es gibt zum entfernen 2 Möglichkeiten:
-Der Hacker entfernt ihn
-Du formatierst deine Boot Partition

Danach ist es natürlich wichtig, dass du nicht nochmal die Installationsdatei ausführst und den Trojaner wieder installierst, deshalb machst du noch einen Virenscan und löscht alles, was der erkennt...
Wenn du Pech hast, ist der Trojaner gestealtht, d.h. geschützt vor gängigen anti-Viren Programmen, in dem Fall müsstest du ALLES formatieren....

Ohne formatieren der Boot-Partition haste aber keine Chance, der komtm immer wieder... -.-

 

[Cyberonic]

h**p/www.xblock.com/product_show.php?id=882

Hier gibts Infos zum Removal, sollte es wirklich der von dagog angesprochene CIA Trojan sein.

 

[Dead-Hawk]

Dank für die Tipps, werde ich gelich mal versuchen, habe schon oft bei Google geschaut, aber die dort erklärten Möglichkeiten haben bei mir alle nicht funktioniert, naja , vielleicht schaff ichs ja jetzt

Edit : Das tool muss man ja kaufen .... gibts da nicht auch eins umsonst ?? Grundsätzlich aber sehr erschreckend was der macht ... der MUSSS unbedingt wieder weg

 

[azumi]

setz dein system neu auf und benütz am besten nix von MS außer das OS...
es gibt viel zu viele exploits für den internet explorer, da bringen auch die ganzen nutzlosen firewalls nix

 

[Dead-Hawk]

setz dein system neu auf und benütz am besten nix von MS außer das OS...

Meinst du damit das ich formatieren soll ? Darauf hab ich keine Lust, außerdem hab ich viel zu viele Daten auf mienem PC und keine Ahnung wo ich die solange lagernsoll

Ich habe für mein Nootbook noch wiederherstellungs CDs : AlienRecovery heißen die oder so

 

[azumi]

wiederherstellungs cds bringen rein gar nix da die schadsoftware, sollte es eine sein nicht vom sys gefegt wird mach ne eigene partition für win und installier dir da ein neues sys rein.

dir wird nix anderes übrigbleiben wenn du ein sauberes sys haben magst...

und mal ganz ehrlich... dieses ganze zeugs wie prozessüberwacher, spywareschutz, softwarefirewall kannst alles in die tonne kloppen wenn du dienste auf deinem rechner laufen hast

 

[Dead-Hawk]

Ich hab jetzt ne Anleitung gefunden wie man das Ding loswerden kann, wenn die nicht funktioniert, wird mir wohl nichts anderes übrig bleiben als zu formatieren

CIA 1.2 Removal Instructions
Kill the following processes
45534355.exe
462ac4c3.exe
client.exe
server builder.exe
server.exe
Unregister the following DLLs and reboot
cjpg.dll
pspv.dll
Delete these registry entries
HKEY_CURRENT_USER\software\microsoft\windows nt\currentversion\windows\run\runtime process
Remove the following files
45534355.exe
462ac4c3.exe
add.php
apple mac.skn
c..i.a 1.2 tutorial.doc
c.i.a blue.skn
cjpg.dll
client.exe
client.ini
editor.ini
list.cgi
log.cgi
passdevil.skn
pspv.dll
readme.txt
server builder.exe
server.exe
Windows\system\okl.okl
the matrix.skn
thumbs.db
tz's pager.skn

 

[azumi]

kopier heir doch mal ein log deiner laufenden prozesse rein.
vll ist daraus ersichtlich was kaputt is...

hijackthis ist dazu zu empfehlen!

 

[Dead-Hawk]

Logfile of HijackThis v1.99.1
Scan saved at 12:21:33, on 12.04.2006
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\spoolsv.exe
C:\Programme\AlienGUIse\wbload.exe
C:\WINDOWS\Explorer.EXE
C:\WINDOWS\system32\CTsvcCDA.EXE
C:\Programme\Sunbelt Software\Personal Firewall 4\kpf4ss.exe
C:\Programme\Alias\Maya7.0\docs\wrapper.exe
C:\Programme\Sunbelt Software\Personal Firewall 4\kpf4gui.exe
C:\WINDOWS\system32\svchost.exe
C:\Programme\Alias\Maya7.0\docs\jre\bin\java.exe
C:\Programme\Sunbelt Software\Personal Firewall 4\kpf4gui.exe
C:\WINDOWS\system32\wscntfy.exe
C:\WINDOWS\CTHELPER.EXE
C:\Programme\Creative\Sound Blaster Audigy 2\DVDAudio\CTDVDDET.EXE
C:\Programme\Creative\Sound Blaster Audigy 2\Surround Mixer\CTSysVol.exe
C:\Programme\Creative\Sound Blaster Audigy 2\Feature Mode Utility\CTModUtl.exe
C:\Programme\Creative\Shared Files\Module Loader\DLLML.exe
C:\Programme\iTunes\iTunesHelper.exe
C:\Programme\internet explorer\iexplore.exe
C:\Programme\Creative\MediaSource\Detector\CTDetect.exe
C:\Programme\iPod\bin\iPodService.exe
C:\Programme\Creative\Sound Blaster Audigy 2\Feature Mode Utility\CTAPR.exe
C:\Programme\Messenger\msmsgs.exe
C:\Programme\Spybot - Search & Destroy\TeaTimer.exe
C:\PROGRA~1\Lavasoft\AD-AWA~1\Ad-Watch.exe
C:\Programme\Sony\CONNECTAutoUpdate\CONNECTAUTrayApp.exe
C:\Programme\Gemeinsame Dateien\Sony Shared\GMR\GMRMan.exe
C:\Programme\Sony\CONNECTAutoUpdate\CONNECTAutoUpdate.exe
C:\Programme\Mozilla Firefox\firefox.exe
C:\Programme\Webroot\Spy Sweeper\SpySweeper.exe
C:\Programme\Webroot\Spy Sweeper\WRSSSDK.exe
C:\Programme\iTunes\iTunes.exe
C:\Programme\Creative\Sound Blaster Audigy 2\Surround Mixer\SurMixer.exe
C:\Programme\Creative\Sound Blaster Audigy 2\Equalizer\CTEQ.exe
C:\Programme\WinRAR\WinRAR.exe
C:\DOKUME~1\Besitzer\LOKALE~1\Temp\Rar$EX00.141\HijackThis.exe

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Bar = http://www.google.de
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = www.alienware.co.uk/Mothership?Comp...E3D4532313931373526706F3D504F2D45353531353241
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://www.alienware.de
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Local Page =
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName =
R3 - Default URLSearchHook is missing
F3 - REG:win.ini: load=C:\WINDOWS\system32\scvhost.exe
F3 - REG:win.ini: run=C:\WINDOWS\system32\scvhost.exe
O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Programme\Adobe\Acrobat 7.0\ActiveX\AcroIEHelper.dll
O3 - Toolbar: Yahoo! Toolbar mit Pop-Up-Blocker - {EF99BD32-C1FB-11D2-892F-0090271D4F88} - C:\Programme\Yahoo!\Companion\Installs\cpn\yt.dll
O4 - HKLM\..\Run: [Generic Host Process] C:\WINDOWS\system32\scvhost.exe
O4 - HKLM\..\Run: [CTHelper] CTHELPER.EXE
O4 - HKLM\..\Run: [CTDVDDET] "C:\Programme\Creative\Sound Blaster Audigy 2\DVDAudio\CTDVDDET.EXE"
O4 - HKLM\..\Run: [CTSysVol] "C:\Programme\Creative\Sound Blaster Audigy 2\Surround Mixer\CTSysVol.exe" /r
O4 - HKLM\..\Run: [CTFeatureModeUtility] C:\Programme\Creative\Sound Blaster Audigy 2\Feature Mode Utility\CTModUtl.exe
O4 - HKLM\..\Run: [AudioDrvEmulator] "C:\Programme\Creative\Shared Files\Module Loader\DLLML.exe" -1 AudioDrvEmulator "C:\Programme\Creative\Shared Files\Module Loader\Audio Emulator\AudDrvEm.dll"
O4 - HKLM\..\Run: [iTunesHelper] "C:\Programme\iTunes\iTunesHelper.exe"
O4 - HKLM\..\Run: [NeroFilterCheck] C:\Programme\Gemeinsame Dateien\Ahead\Lib\NeroCheck.exe
O4 - HKLM\..\Run: [NWEReboot] C:\WINDOWS\UNNeroVision.exe /REMOVE="C:\DOKUME~1\Besitzer\LOKALE~1\Temp\RarSFX0"
O4 - HKLM\..\Run: [SpySweeper] "C:\Programme\Webroot\Spy Sweeper\SpySweeper.exe" /startintray
O4 - HKLM\..\RunServices: [Generic Host Process] C:\WINDOWS\system32\scvhost.exe
O4 - HKLM\..\RunOnce: [AceUtils] "C:\Programme\Ace Utilities\au.exe" /ebh
O4 - HKCU\..\Run: [Creative Detector] C:\Programme\Creative\MediaSource\Detector\CTDetect.exe /R
O4 - HKCU\..\Run: [MSMSGS] "C:\Programme\Messenger\msmsgs.exe" /background
O4 - HKCU\..\Run: [SpybotSD TeaTimer] C:\Programme\Spybot - Search & Destroy\TeaTimer.exe
O4 - HKCU\..\Run: [AWMON] "C:\PROGRA~1\Lavasoft\AD-AWA~1\Ad-Watch.exe"
O4 - Startup: Adobe Gamma.lnk = C:\Programme\Gemeinsame Dateien\Adobe\Calibration\Adobe Gamma Loader.exe
O4 - Global Startup: Adobe Reader - Schnellstart.lnk = C:\Programme\Adobe\Acrobat 7.0\Reader\reader_sl.exe
O4 - Global Startup: CONNECTAUTrayApp.lnk = C:\Programme\Sony\CONNECTAutoUpdate\CONNECTAUTrayApp.exe
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe
O14 - IERESET.INF: START_PAGE_URL=http/www.alienware.de
O16 - DPF: {6414512B-B978-451D-A0D8-FCFDF33E833C} (WUWebControl Class) - http://update.microsoft.com/windowsupdate/v6/V5Controls/en/x86/client/wuweb_site.cab?1144235998921
O20 - Winlogon Notify: WB - C:\Programme\AlienGUIse\fastload.dll
O20 - Winlogon Notify: WRNotifier - C:\WINDOWS\SYSTEM32\WRLogonNTF.dll
O23 - Service: Adobe LM Service - Adobe Systems - C:\Programme\Gemeinsame Dateien\Adobe Systems Shared\Service\Adobelmsvc.exe
O23 - Service: Creative Service for CDROM Access - Creative Technology Ltd - C:\WINDOWS\system32\CTsvcCDA.EXE
O23 - Service: InstallDriver Table Manager (IDriverT) - Macrovision Corporation - C:\Programme\Gemeinsame Dateien\InstallShield\Driver\1050\Intel 32\IDriverT.exe
O23 - Service: iPodService - Apple Computer, Inc. - C:\Programme\iPod\bin\iPodService.exe
O23 - Service: Sunbelt Kerio Personal Firewall 4 (KPF4) - Sunbelt Software - C:\Programme\Sunbelt Software\Personal Firewall 4\kpf4ss.exe
O23 - Service: Maya 7.0 Documentation Server (maya70docserver) - Unknown owner - C:\Programme\Alias\Maya7.0\docs\wrapper.exe
O23 - Service: MSCSPTISRV - Sony Corporation - C:\Programme\Gemeinsame Dateien\Sony Shared\AVLib\MSCSPTISRV.exe
O23 - Service: PACSPTISVR - Sony Corporation - C:\Programme\Gemeinsame Dateien\Sony Shared\AVLib\PACSPTISVR.exe
O23 - Service: Sony SCSI Helper Service - Sony Corporation - C:\Programme\Gemeinsame Dateien\Sony Shared\Fsk\SonySCSIHelperService.exe
O23 - Service: Sony SPTI Service (SPTISRV) - Sony Corporation - C:\Programme\Gemeinsame Dateien\Sony Shared\AVLib\SPTISRV.exe
O23 - Service: Webroot Spy Sweeper Engine (svcWRSSSDK) - Webroot Software, Inc. - C:\Programme\Webroot\Spy Sweeper\WRSSSDK.exe

Hoffentlich findeti hr was - werde auch noch mal nach obriger Liste kontrollieren, führe aber grad Spy Sweeper aus

 

[azumi]

erster großer fehler: MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180) - am besten gleich deinstallen

ansonsten sieht dass irgendwie recht zugemüllt aus

C:\Programme\AlienGUIse\wbload.exe
:\WINDOWS\system32\CTsvcCDA.EXE

sagt mir jetz auf anhieb nix.

ansonsten hast du recht viel "schutzsoftware" doppelt und dreifach laufen, sowas beißt sich ungemein...

ich hab hier zb immer nur die sachen laufen die ich gerade brauche, und sonst GAR NIX im speicher...

 

[Thing]

Herrgott,

nicht formatieren! Das wäre wirklich die letzte Lösung! Probiere Kaspersky aus. Wenns nicht klappen sollte, werde ich mal schauen ob ich das Tool für dich irgendwo auftreiben könnte.

 

[bbkhacki]

Hallöchen,

würd mal sagen das hier is net des wahre... Hab dei Log mal durch den Online Check gejagt und dabei kam raus, dass du wahrscheinlich en Trojaner hasch names: SDBOT.N...

Hier mal ein Link zur Auswertung... Link

Hier kannsch was über den Trojaner lesen...

Hier was zur Entfernung!

 

[nafets]

F3 - REG:win.ini: load=C:\WINDOWS\system32\scvhost.exe
F3 - REG:win.ini: run=C:\WINDOWS\system32\scvhost.exe
O4 - HKLM\..\Run: [Generic Host Process] C:\WINDOWS\system32\scvhost.exe

Ist auf jeden Fall schlecht & gehört gefixt!

Ansonsten hast du ja einiges Chaos am Rechner!

Edit: Zu langsam!

 

[Dead-Hawk]

Chaos mag sein, aber geordnetes Chaos, außerdem kostet es mich keine Performance

C:\Programme\AlienGUIse\wbload.exe

Ist ein Interface-veränderer von Alienware -> kann ich nur empfehlen ist cool

F3 - REG:win.ini: load=C:\WINDOWS\system32\scvhost.exe
F3 - REG:win.ini: run=C:\WINDOWS\system32\scvhost.exe
O4 - HKLM\..\Run: [Generic Host Process] C:\WINDOWS\system32\scvhost.exe

Werde ich sofort löschen

würd mal sagen das hier is net des wahre... Hab dei Log mal durch den Online Check gejagt und dabei kam raus, dass du wahrscheinlich en Trojaner hasch names: SDBOT.N...

Hier mal ein Link zur Auswertung... Link

Hier kannsch was über den Trojaner lesen...

Hier was zur Entfernung!

Das haste allerdings recht, bin aber auch selber schuld - downloade n Keygen und beachte nicht das vorher schon gewarnt wurde das es sich hierbei um nen Virus handelt - weiß auch net was ich mir dabei gedacht habe , naja ist das erste mal das mir sowas passiert

 

[bbkhacki]

Hmm naja man lernt aus seinen Fehlern... Hoff ich zumindest...

Also i würd jetzt mal den Trojaner nach meinem Link oben löschen!
Net die Einträge einzeln! Mach mal des was oben in des Anleitung steht und dann post dei Hijack Log nochmal. Die Einträge sind ja dann auch weg wenn du ihn entfernt hasch...

Ciao

 

[marx]

Ich würd auch sagen Formatieren: die letzte Lösung.


Hol dir wirklich kasperky oder dergleichen lass drüberlaufen und dann wird sichs wahrscheinlich erledigt haben.

mfg marx