vorsicht - malware unterwegs !!!

Auch wenn es nicht ganz hierher passt,

habe das Gefühl das ein ungebetener Gast sich auf meinem Rechner breitmacht.

kennt jemand diese Meldung direkt nach dem Hochfahren?

Wenn ja... es ist definitiv kein Flash-Player Upgrade
Bei genauer Betrachtung wird der User manipuliert den Balken anzuklicken um weiterlesen zu können. Macromedia würde sowas nie ins Netz stellen.

Fenster nur via Task-Manager killen.

Weiterhin gibt es eine Menge Vorgänge im Background, die mir nicht ganz klar sind. Habe mal via Filemon Einige aufgelistet:

05:18:54 ???:7E7049A3 Open C:\WINDOWS\LMHOSTS NOTFOUND OPENEXISTING READWRITE COMPATIBILITY

05:19:52 Explorer:FFE1BF3F FindOpen C:\WINDOWS\STARTMENÜ\*.* SUCCESS .
05:19:52 Explorer:FFE1BF3F FindNext C:\WINDOWS\STARTMENÜ\*.* SUCCESS ..
05:19:52 Explorer:FFE1BF3F FindNext C:\WINDOWS\STARTMENÜ\*.* SUCCESS Programme
05:19:52 Explorer:FFE1BF3F FindNext C:\WINDOWS\STARTMENÜ\*.* SUCCESS EditPad.lnk
05:19:52 Explorer:FFE1BF3F FindNext C:\WINDOWS\STARTMENÜ\*.* SUCCESS HTML Editor.lnk
05:19:52 Explorer:FFE1BF3F FindNext C:\WINDOWS\STARTMENÜ\*.* SUCCESS Zwischenablage.lnk
05:19:52 Explorer:FFE1BF3F FindNext C:\WINDOWS\STARTMENÜ\*.* SUCCESS Thumbs 2000.lnk
05:19:52 Explorer:FFE1BF3F FindNext C:\WINDOWS\STARTMENÜ\*.* SUCCESS Nero - Burning Rom.lnk
05:19:52 Explorer:FFE1BF3F FindNext C:\WINDOWS\STARTMENÜ\*.* SUCCESS descript.ion
05:19:52 Explorer:FFE1BF3F FindNext C:\WINDOWS\STARTMENÜ\*.* SUCCESS Neues Office-Dokument.lnk
05:19:52 Explorer:FFE1BF3F FindNext C:\WINDOWS\STARTMENÜ\*.* SUCCESS Office-Dokument öffnen.lnk
05:19:52 Explorer:FFE1BF3F FindNext C:\WINDOWS\STARTMENÜ\*.* SUCCESS ACDSee 4.0.lnk
05:19:52 Explorer:FFE1BF3F FindNext C:\WINDOWS\STARTMENÜ\*.* NOMORE
05:19:52 Explorer:FFE1BF3F FindClose C:\WINDOWS\STARTMENÜ\*.* SUCCESS

05:19:54 ???:FFE71393 Attributes C:\WINDOWS SUCCESS GetAttributes
05:19:54 ???:FFE71393 Attributes C:\WINDOWS\EDITPAD.EXE SUCCESS GetAttributes
05:19:54 ???:FFE71393 Directory C:\WINDOWS\EDITPAD.EXE SUCCESS QUERY
05:19:54 ???:FFE71393 Open C:\WINDOWS\EDITPAD.EXE SUCCESS OPENEXISTING READONLY DENYWRITE
05:19:54 ???:FFE71393 Seek C:\WINDOWS\EDITPAD.EXE SUCCESS Beginning Offset: 296 / New offset: 296
05:19:54 ???:FFE71393 Seek C:\WINDOWS\EDITPAD.EXE SUCCESS Beginning Offset: 296 / New offset: 296
05:19:54 ???:FFE71393 Directory C:\WINDOWS\EDITPAD.EXE SUCCESS QUERY
05:19:54 ???:FFE71393 Attributes C:\WINDOWS\WINSPOOL.DRV NOTFOUND GetAttributes
05:19:54 ???:FFE71393 Attributes C:\WINDOWS\SYSTEM\WINSPOOL.DRV SUCCESS GetAttributes
05:19:54 ???:FFE71393 Directory C:\WINDOWS\SYSTEM\WINSPOOL.DRV SUCCESS QUERY

05:20:02 Explorer:FFE1BF3F Close C:\PROGRAMME\GEMEINSAME DATEIEN\MICROSOFT SHARED\WEB FOLDERS\MSONSEXT.DLL SUCCESS CLOSE_FINAL

hijackthis hat diese mir nicht bekannte Einträge gezeigt:

O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\PROGRAMME\ADOBE\ACROBAT 5.0\READER\ACTIVEX\ACROIEHELPER.OCX

O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINDOWS\SYSTEM\MSDXM.OCX

C:\WINDOWS\SYSTEM\WMIEXE.EXE

Vermutlich sind die meisten hier aufgeführten Vorgänge völlig normal. Evtl. ist nur Einer dubios bzw bösartig.

Vor Zwei Tagen gab es die ersten Anzeichen:
- Opera wurde mit einem Schlag suuuuuuperlangsam und hat sich dann irgendwann völlig aufgehängt.

Wer kennt ähnliche Probs und welche Lösungen gibt es dagegen ?

Mit was für einem Schei** hab ich es hier zu tun ?

ina

Normaler Update-Hinweis ? Ja oder Nein ?

NEIN, da ich sämtliche automatische Abfragen nach Updates oder Upgrades allen Programmen (auch Solche von Macromedia) verboten habe... und ich mittlerweile einige Jahre ohne solche Fenster ausgekommen bin.

Der Rechner liegt stealth in einem LAN hinter einem Gateway-Router mit Firewall und ansonsten macht ZoneAlarm alle anderen Ports dicht.

Kann ich mir nur über bösartige Werbung oder bösartige Page geholt haben. E-Mails sind ausgeschlossen. ICQ, Skype u. Co gibts hier nicht.

ina

Zitat von "Jobsti84"

http://superantispyware.com/superantispywarefreevspro.html

Laden, installieren, Full system scan, und alles is ok!

Zum Registra aufräumen würde ich nochmal" Spybot Search & Destroy" drüber hauen, evtl nochmal Ad-Aware.

Die 3 Programm reichen völlig aus!
Wobei der erstere eigentlich schon alles böse killt.

MfG

Werde ich probieren...vielen Dank für für die Tipps.

Wenn Jemand nochwas weiss...bitte posten.

ina

SUPERAntiSpyware hat lediglich den Browser Hijacker.Internet Explorer Settings Hijack beanstandet ( :roll: )

Hat also noch kein befriedigendes Ergebnis gebracht. Entweder ist alles easy und ich hab keine Untermieter auf meinem Rechner oder das Prob steckt tiefer im System. :?

Macht es evtl. Sinn die Registry auf den Stand von einigen Wochen zuvor zurückzusetzen?

ina

Jobsti

nöö, noch nicht...da Du größeren Stellenwert auf SUPERAntiblalba gelegt hat.

Ich möchte meinen Rechner nicht mit zig Virenscannern "belasten". Wenn ich nach dieser Methode verfahren würde hätte ich am Ende keine Probs wegen Viren u.Co sondern wegen Programmen, die sich gegenseitig auskicken wollen.

Ich hatte in den letzten 10 Jahren exakt zweimal ein derartiges Prob. Liegt wahrscheinlich daran, das ich aus Überzeugung veraltete Progs. bzw. nie die neueste Technik verwende.

Ich wäre eher an einem feinchirurgischem Geheimrezept interessiert als an einem allgemeinem Dampfhammer.

Trotzdem vielen Dank für Deine wirklich gut gemeinten Tipps. Werde dennoch das Prog. erstmal auf der Platte behalten.

PS: ADAware war bereits auf meinem Rechner installiert und hat nur die üblichen Verdächtigen gefunden. Tracking Cookies u.s.w. Also nix wirklich Bedrohliches. Sowas fliegt immer 8kantig raus, auch ohne AdAware.

ina

hijackthis hat nix wirklich beanstandet. Die oben gezeigten Einträge waren nur mir suspect. Mittlerweile bin ich der Meinung das Diese i.O. sind.

Geht man bei hijackthis auf jeden einzelnen Eintrag ein (Info-Box) müsste eigentlich der ganze Rechner gefixt werden, da in jeder Datei ein Potenzial stecken kann.

Habe einen Anhaltspunkt für mein Prob. gefunden:

Zitat

Vorsicht bei Grußkarten-Mails!
Der darin enthaltene Link zeigt auf Malware.
Es werden mal wieder vermeintliche Grußkarten-Mails verschickt. Die unverhofft eintreffenden Mails tragen einen Betreff wie „Sie haben eine Grusskarte bekommen.“ und als Absender eine Adresse „@all-yours.net“. Der Link in der Mail führt auf eine Website „all-yours.2288.org“. Dort wird dem Besucher ein vorgeblicher „Flash_Player_Installer“ aufgenötigt - egal ob man die neuste Flash-Version installiert hat oder gar keine. Die ca. 13 KB große EXE-Datei ist Malware - ein Trojanisches Pferd, das weitere Schädlinge aus dem Internet nachlädt.

Quelle: http://www.tu-berlin.de/www/software/w…-03.shtml#06206

Keine Ahnung wo ich mir den geholt habe. Fremde Mails, Grußkarten und sonstige Attachments von fremden Absendern werden von mir im Normalfall nie geöffnet. (Ähhh...Öhmm, grübel.... eine Freundin hat mir gestern ganz stolz ihre Seite bei myspace gezeigt...und eine mir bekannte Künstlerin hatte vor einer Woche eine ppt gesendet, das wars dann auch)

ina

Zitat

Ich glaub du hast ausversehen deine Tastenbelegung auf ami und dann wieder auf deutsch gestellt...

...denke ich auch

Hat evtl Jemand noch etwas Konstruktives zum eigentlichen Thema ?

ina