[MikeRo]

Hiho,

ich habe grad nen bisschen Panik!

gestern hat sich jemand mit meinem passwort bei der Spielegrotte eingeloggt und per sofortkauf 5 mal 2100 MS Points a 25€ und einmal nen 3 monate live abbo a 20€ gekauft und die codes wurden auch eingelöst HILFE oO

hab ich jetzt nen trojaner drauf ? ich habe gestern sofort formatiert und überall meine pws geändert und habe heute alles neu drauf und gleich Spybot - Search & Destroy installiert und durchlaufen lassen und auch das proggie hier a-squared Security Center

das hat mir nach einem durchlauf folgendes geliefert

Zitat

a-squared Anti-Malware - Version 3.1
Letztes Update: 05.04.2008 10:34:45

Scan Einstellungen:

Objekte: Speicher, Traces, Cookies, C:\, D:\, G:\
Archiv Scan: An
Heuristik: An
ADS Scan: An

Scan Beginn: 05.04.2008 10:35:55

D:\System Volume Information\_restore{6FA15321-AAF2-4529-AFD4-EEC374E60187}\RP3\A0001023.exe gefunden: Backdoor.Win32.mIRC-based
D:\System Volume Information\_restore{6FA15321-AAF2-4529-AFD4-EEC374E60187}\RP3\A0001024.exe gefunden: Trojan.Win32.FoldingHome
D:\System Volume Information\_restore{6FA15321-AAF2-4529-AFD4-EEC374E60187}\RP3\A0001025.exe gefunden: Trojan.Win32.KillAV.og
D:\System Volume Information\_restore{6FA15321-AAF2-4529-AFD4-EEC374E60187}\RP3\A0001026.exe gefunden: Trojan.Win32.KillAV.og
D:\System Volume Information\_restore{6FA15321-AAF2-4529-AFD4-EEC374E60187}\RP3\A0001027.exe gefunden: Backdoor.Win32.Shark.cb
D:\System Volume Information\_restore{6FA15321-AAF2-4529-AFD4-EEC374E60187}\RP3\A0001028.exe/Zuma.exe gefunden: Worm.Win32.Trafaret.a

Gescannt

Dateien: 52967
Traces: 392104
Cookies: 7
Prozesse: 23

Gefunden

Dateien: 6
Traces: 0
Cookies: 0
Prozesse: 0
Registry Keys: 0

Scan Ende: 05.04.2008 11:57:47
Scan Zeit: 1:21:52

D:\System Volume Information\_restore{6FA15321-AAF2-4529-AFD4-EEC374E60187}\RP3\A0001028.exe/Zuma.exe Gelöscht Worm.Win32.Trafaret.a
D:\System Volume Information\_restore{6FA15321-AAF2-4529-AFD4-EEC374E60187}\RP3\A0001027.exe Gelöscht Backdoor.Win32.Shark.cb
D:\System Volume Information\_restore{6FA15321-AAF2-4529-AFD4-EEC374E60187}\RP3\A0001025.exe Gelöscht Trojan.Win32.KillAV.og
D:\System Volume Information\_restore{6FA15321-AAF2-4529-AFD4-EEC374E60187}\RP3\A0001026.exe Gelöscht Trojan.Win32.KillAV.og
D:\System Volume Information\_restore{6FA15321-AAF2-4529-AFD4-EEC374E60187}\RP3\A0001024.exe Gelöscht Trojan.Win32.FoldingHome
D:\System Volume Information\_restore{6FA15321-AAF2-4529-AFD4-EEC374E60187}\RP3\A0001023.exe Gelöscht Backdoor.Win32.mIRC-based

Gelöscht

Dateien: 6
Traces: 0
Cookies: 0

So und hier noch meine aktuellen prozesse ist der trojaner wech ?!!!! oder ist er noch da ?


(ausgelesen mit dem prggie HiJackFree 3.0 von a-squared Anti-Malware)

Zitat

HiJackFree Logfile v3.0
Scan gespeichert um 14:14:13, am 05.04.2008
Betriebssystem: Windows XP Service Pack 2 (Windows NT 5.1.2600)
MSIE: Internet Explorer v 7.0 Service Pack 2 (7.0.5730.13)

Aktive Prozesse:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\csrss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\system32\spoolsv.exe
C:\Programme\Avira\AntiVir PersonalEdition Classic\avguard.exe
C:\WINDOWS\Explorer.EXE
C:\Programme\Avira\AntiVir PersonalEdition Classic\avgnt.exe
C:\Programme\a-squared Anti-Malware\a2guard.exe
C:\Programme\Razer Pro Solutions\ProClick v1.6\razerhid.exe
C:\Programme\Spybot
C:\Programme\PeerGuardian2\pg2.exe
C:\Programme\a-squared Anti-Malware\a2service.exe
C:\Programme\Avira\AntiVir PersonalEdition Classic\sched.exe
C:\Programme\Gemeinsame Dateien\Microsoft Shared\VS7DEBUG\MDM.EXE
C:\WINDOWS\system32\wdfmgr.exe
C:\WINDOWS\System32\alg.exe
C:\Programme\Razer Pro Solutions\ProClick v1.6\razertra.exe
C:\Programme\Razer Pro Solutions\ProClick v1.6\razerofa.exe
C:\PROGRA~1\MOZILL~1\FIREFOX.EXE
C:\WINDOWS\system32\NOTEPAD.EXE
C:\Programme\a-squared Anti-Malware\a2HiJackFree.exe

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Bar =
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = http://www.microsoft.com/isapi/redir.dll?p...amp;ar=iesearch
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.microsoft.com/isapi/redir.dll?p...&ar=msnhome
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL =
R1 - HKCU\Software\Microsoft\Internet Explorer\SearchURL,(Default) =
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Links
O2 - BHO: Spybot-S&D IE Protection - {53707962-6F74-2D53-2644-206D7942484F} - C:\PROGRA~1\SPYBOT~1\SDHelper.dll
O4 - HKLM\..\Run: [avgnt] "C:\Programme\Avira\AntiVir PersonalEdition Classic\avgnt.exe" /min
O4 - HKLM\..\Run: [a-squared] "C:\Programme\a-squared Anti-Malware\a2guard.exe" /d=60
O4 - HKLM\..\Run: [razer] "C:\Programme\Razer Pro Solutions\ProClick v1.6\razerhid.exe"
O4 - HKLM\..\Run: [EPSON Stylus D68 Series] C:\WINDOWS\System32\spool\DRIVERS\W32X86\3\E_FATIAAE.EXE /P23 "EPSON Stylus D68 Series" /O6 "USB001" /M "Stylus D68"
O4 - HKLM\..\Run: [SpybotSD TeaTimer] C:\Programme\Spybot - Search & Destroy\TeaTimer.exe
O4 - HKLM\..\Run: [PeerGuardian] C:\Programme\PeerGuardian2\pg2.exe
O7 - Regedit - Aktiv
O8 - Extra Kontextmenü Eintrag: Nach Microsoft &Excel exportieren - res://C:\PROGRA~1\MICROS~2\OFFICE11\EXCEL.EXE/3000
O9 - Extra button: Recherchieren - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - C:\PROGRA~1\MICROS~2\OFFICE11\REFBAR.ICO
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe
O9 - Extra "Tools" menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe
O16 - DPF: {05CA9FB0-3E3E-4B36-BF41-0E3A5CAA8CD8} (Office Genuine Advantage Validation Tool) - http://download.microsoft.com/download/e/4.../OGAControl.cab
O16 - DPF: {6414512B-B978-451D-A0D8-FCFDF33E833C} (WUWebControl Class) - http://www.update.microsoft.com/windowsupd...b?1207349789504
O16 - DPF: {C7DB51B4-BCF7-4923-8874-7F1A0DC92277} (Office Update Installation Engine) - http://office.micros...ntent/opuc4.cab
O20 - Winlogon Notify: WgaLogon - C:\WINDOWS\System32\WgaLogon.dll
O21 - ShellServiceObjectDelayLoad: PostBootReminder -
O21 - ShellServiceObjectDelayLoad: CDBurn -
O21 - ShellServiceObjectDelayLoad: WebCheck -
O21 - ShellServiceObjectDelayLoad: SysTray -
O22 - SharedTaskScheduler: Browseui preloader - C:\WINDOWS\system32\browseui.dll
O22 - SharedTaskScheduler: Component Categories cache daemon - C:\WINDOWS\system32\browseui.dll
O23 - Dienst: a-squared Anti-Malware Service - C:\Programme\a-squared Anti-Malware\a2service.exe
O23 - Dienst: Warndienst - C:\WINDOWS\system32\svchost.exe
O23 - Dienst: Gatewaydienst auf Anwendungsebene - C:\WINDOWS\System32\alg.exe
O23 - Dienst: AntiVir PersonalEdition Classic Planer - C:\Programme\Avira\AntiVir PersonalEdition Classic\sched.exe
O23 - Dienst: AntiVir PersonalEdition Classic Guard - C:\Programme\Avira\AntiVir PersonalEdition Classic\avguard.exe
O23 - Dienst: Anwendungsverwaltung - C:\WINDOWS\system32\svchost.exe
O23 - Dienst: ASP.NET-Zustandsdienst - C:\WINDOWS\Microsoft.NET\Framework\v2.0.50727\aspnet_state.exe
O23 - Dienst: Windows Audio - C:\WINDOWS\System32\svchost.exe
O23 - Dienst: Intelligenter Hintergrundübertragungsdienst - C:\WINDOWS\system32\svchost.exe
O23 - Dienst: Computerbrowser - C:\WINDOWS\system32\svchost.exe
O23 - Dienst: Indexdienst - C:\WINDOWS\system32\cisvc.exe
O23 - Dienst: Ablagemappe - C:\WINDOWS\system32\clipsrv.exe
O23 - Dienst: .NET Runtime Optimization Service v2.0.50727_X86 - C:\WINDOWS\Microsoft.NET\Framework\v2.0.50727\mscorsvw.exe
O23 - Dienst: COM+-Systemanwendung - C:\WINDOWS\system32\dllhost.exe
O23 - Dienst: Kryptografiedienste - C:\WINDOWS\system32\svchost.exe
O23 - Dienst: DCOM-Server-Prozessstart - C:\WINDOWS\system32\svchost
O23 - Dienst: DHCP-Client - C:\WINDOWS\system32\svchost.exe
O23 - Dienst: Verwaltungsdienst für die Verwaltung logischer Datenträger - C:\WINDOWS\System32\dmadmin.exe
O23 - Dienst: Verwaltung logischer Datenträger - C:\WINDOWS\System32\svchost.exe
O23 - Dienst: DNS-Client - C:\WINDOWS\system32\svchost.exe
O23 - Dienst: Fehlerberichterstattungsdienst - C:\WINDOWS\System32\svchost.exe
O23 - Dienst: Ereignisprotokoll - C:\WINDOWS\system32\services.exe
O23 - Dienst: COM+-Ereignissystem - C:\WINDOWS\system32\svchost.exe
O23 - Dienst: Kompatibilität für schnelle Benutzerumschaltung - C:\WINDOWS\System32\svchost.exe
O23 - Dienst: Hilfe und Support - C:\WINDOWS\System32\svchost.exe
O23 - Dienst: Eingabegerätezugang - C:\WINDOWS\System32\svchost.exe
O23 - Dienst: HTTP-SSL - C:\WINDOWS\System32\svchost.exe
O23 - Dienst: IMAPI-CD-Brenn-COM-Dienste - C:\WINDOWS\system32\imapi.exe
O23 - Dienst: Server - C:\WINDOWS\system32\svchost.exe
O23 - Dienst: Arbeitsstationsdienst - C:\WINDOWS\system32\svchost.exe
O23 - Dienst: TCP/IP-NetBIOS-Hilfsprogramm - C:\WINDOWS\system32\svchost.exe
O23 - Dienst: Machine Debug Manager - C:\Programme\Gemeinsame Dateien\Microsoft Shared\VS7DEBUG\MDM.EXE
O23 - Dienst: Nachrichtendienst - C:\WINDOWS\system32\svchost.exe
O23 - Dienst: NetMeeting-Remotedesktop-Freigabe - C:\WINDOWS\system32\mnmsrvc.exe
O23 - Dienst: Distributed Transaction Coordinator - C:\WINDOWS\system32\msdtc.exe
O23 - Dienst: Windows Installer - C:\WINDOWS\system32\msiexec.exe
O23 - Dienst: Netzwerk-DDE-Dienst - C:\WINDOWS\system32\netdde.exe
O23 - Dienst: Netzwerk-DDE-Serverdienst - C:\WINDOWS\system32\netdde.exe
O23 - Dienst: Anmeldedienst - C:\WINDOWS\system32\lsass.exe
O23 - Dienst: Netzwerkverbindungen - C:\WINDOWS\System32\svchost.exe
O23 - Dienst: NLA (Network Location Awareness) - C:\WINDOWS\system32\svchost.exe
O23 - Dienst: NT-LM-Sicherheitsdienst - C:\WINDOWS\system32\lsass.exe
O23 - Dienst: Wechselmedien - C:\WINDOWS\system32\svchost.exe
O23 - Dienst: Office Source Engine - C:\Programme\Gemeinsame Dateien\Microsoft Shared\Source Engine\OSE.EXE
O23 - Dienst: Plug & Play - C:\WINDOWS\system32\services.exe
O23 - Dienst: IPSEC-Dienste - C:\WINDOWS\system32\lsass.exe
O23 - Dienst: Geschützter Speicher - C:\WINDOWS\system32\lsass.exe
O23 - Dienst: Verwaltung für automatische RAS-Verbindung - C:\WINDOWS\system32\svchost.exe
O23 - Dienst: RAS-Verbindungsverwaltung - C:\WINDOWS\system32\svchost.exe
O23 - Dienst: Sitzungs-Manager für Remotedesktophilfe - C:\WINDOWS\system32\sessmgr.exe
O23 - Dienst: Routing und RAS - C:\WINDOWS\system32\svchost.exe
O23 - Dienst: Remote-Registrierung - C:\WINDOWS\system32\svchost.exe
O23 - Dienst: RPC-Locator - C:\WINDOWS\system32\locator.exe
O23 - Dienst: Remoteprozeduraufruf (RPC) - C:\WINDOWS\system32\svchost
O23 - Dienst: QoS-RSVP - C:\WINDOWS\system32\rsvp.exe
O23 - Dienst: Sicherheitskontenverwaltung - C:\WINDOWS\system32\lsass.exe
O23 - Dienst: Smartcard - C:\WINDOWS\System32\SCardSvr.exe
O23 - Dienst: Taskplaner - C:\WINDOWS\System32\svchost.exe
O23 - Dienst: Sekundäre Anmeldung - C:\WINDOWS\System32\svchost.exe
O23 - Dienst: Systemereignisbenachrichtigung - C:\WINDOWS\system32\svchost.exe
O23 - Dienst: Windows-Firewall/Gemeinsame Nutzung der Internetverbindung - C:\WINDOWS\system32\svchost.exe
O23 - Dienst: Shellhardwareerkennung - C:\WINDOWS\System32\svchost.exe
O23 - Dienst: Druckwarteschlange - C:\WINDOWS\system32\spoolsv.exe
O23 - Dienst: Systemwiederherstellungsdienst - C:\WINDOWS\system32\svchost.exe
O23 - Dienst: SSDP-Suchdienst - C:\WINDOWS\system32\svchost.exe
O23 - Dienst: Windows-Bilderfassung (WIA) - C:\WINDOWS\system32\svchost.exe
O23 - Dienst: MS Software Shadow Copy Provider - C:\WINDOWS\system32\dllhost.exe
O23 - Dienst: Leistungsdatenprotokolle und Warnungen - C:\WINDOWS\system32\smlogsvc.exe
O23 - Dienst: Telefonie - C:\WINDOWS\System32\svchost.exe
O23 - Dienst: Terminaldienste - C:\WINDOWS\System32\svchost
O23 - Dienst: Designs - C:\WINDOWS\System32\svchost.exe
O23 - Dienst: Telnet - C:\WINDOWS\system32\tlntsvr.exe
O23 - Dienst: Überwachung verteilter Verknüpfungen (Client) - C:\WINDOWS\system32\svchost.exe
O23 - Dienst: Windows User Mode Driver Framework - C:\WINDOWS\system32\wdfmgr.exe
O23 - Dienst: Universeller Plug & Play-Gerätehost - C:\WINDOWS\system32\svchost.exe
O23 - Dienst: Unterbrechungsfreie Stromversorgung - C:\WINDOWS\System32\ups.exe
O23 - Dienst: Volumeschattenkopie - C:\WINDOWS\System32\vssvc.exe
O23 - Dienst: Windows-Zeitgeber - C:\WINDOWS\System32\svchost.exe
O23 - Dienst: Webclient - C:\WINDOWS\system32\svchost.exe
O23 - Dienst: Windows-Verwaltungsinstrumentation - C:\WINDOWS\system32\svchost.exe
O23 - Dienst: Dienst für Seriennummern der tragbaren Medien - C:\WINDOWS\System32\svchost.exe
O23 - Dienst: Treibererweiterungen für Windows-Verwaltungsinstrumentation - C:\WINDOWS\System32\svchost.exe
O23 - Dienst: WMI-Leistungsadapter - C:\WINDOWS\system32\wbem\wmiapsrv.exe
O23 - Dienst: Sicherheitscenter - C:\WINDOWS\System32\svchost.exe
O23 - Dienst: Automatische Updates - C:\WINDOWS\system32\svchost.exe
O23 - Dienst: Konfigurationsfreie drahtlose Verbindung - C:\WINDOWS\System32\svchost.exe
O23 - Dienst: Netzwerkversorgungsdienst - C:\WINDOWS\System32\svchost.exe

PLS HELP
MFg
MikeRo

Dieser Beitrag wurde von MikeRo bearbeitet: 05. April 2008 - 13:23

[MikeRo]

Hier nochmal ne onlineanalyse von HiJack

http://analyze.hijackfree.com/analyze/?id=...e0-758f7812dd6a

[clyde²]

Kann man die Bestellung bei der "Spielegrotte" nicht stornieren, damit dir zumindest kein Schaden entsteht?

[Eshfire]

Bist du sicher, dass dein Passwort "sicher" genug war - mehr als 12 Buchstaben, Sonderzeichen, Zahlen? Und auch dein neues Passwort sicher genug ist?

Btw statistisch werden über die Hälfte der kriminellen Taten aus dem unmittelbaren Umfeld des Geschädigten begangen. Bruder, Schwester, Kumpel?

[MikeRo]

das neue pw ist 16stellig

und öhm ich habe nur die C Partition formatiert auf der anderen sind 200 GB Daten oO die kann ich doch nicht einfach so killen ist den dieses a-squared Security Center nicht gut ?

und ich kann die bestellung nicht stornieren da es ein code sofortkauf war somit bekommt man sofort nach dem bestellbutton nen code zum einlösen

najo der schop hat mir seid gestern aber immer noch nicht geantwortet was soll ich tun noch ne antwort abwarten oder direkt zur polizei und anzeige erstatten ?

[clyde²]

Anziege würde ich sofort ertstatten, da es sich scheinbar um eine Straftat handelt.
Von diesem A-Squared Security Center hab ich noch nie was gehört, es reicht voll und ganz wenn man sein Windows einigermaßen dichtmacht, ein gutes Antiviren-Programm installiert, regelmäßig Updates macht und mit Verstand surft. Spammails ignorieren, keine unbekannten Anhänge öffnen...etc...

Hach...alle 2 Wochen der selbe Text^^

Google dich mal schlau über RettungsCDs etc. und mach einen Virenscan auf der 200er Pladde.

Gruß

Dieser Beitrag wurde von clyde² bearbeitet: 05. April 2008 - 15:29

[Eshfire]

Normalerweise können Gutscheine nur mit Erlaubnis desjenigen rückgängig gemacht werden, der nun der Begünstigte des Gutscheins ist. Im Beispiel von Prepaid-Karten mit Code-Eingabe für's Handy könnte sonst jeder, der eine weggeworfene, benutze Prepaid-karte findet, die Gutschrift rückgängig machen lassen und auf sein eigenes Konto umlenken.

In deinem Fall wird sich der Begünstigte wohl kaum zu erkennen geben.

Bleibt aus meiner Sicht nur die Anzeige bei der Polizei.

Edit: @clyde² - Werd' nicht müde im Wiederholen. Es ist für eine gute Sache

Kostenlose Rescue-Boot-CD von Avira mir aktuellen Signaturen gibt es z.B. hier:
http://www.avira.de/..._downloads.html

Dieser Beitrag wurde von Eshfire bearbeitet: 05. April 2008 - 15:33

[MikeRo]

Hmm keine Ahnung soll ich eine antwort von der spielegrotte abwarten oder soll ich direkt zur polizei gehen ?

einige besweise habe ich ja ich habe die bestätigungsenmails bekommen und die bekommt man sofort nach dem kauf also wurden die codes gestern um 16 uhr gekauft und auch eingelöst und ich denke auch mal das bei dem schop die ips gespeichert werden bei käufen oder beim login

meint ihr das ich da gute karten habe ? wird die polizei da was rausfinden können und wenn die den entsprechenden finden kann ich ihn dann auch auf schadensersatz verklagen?

ich lasse jetzt nochmal von avira im abgesiherten modus alle platten durchsuchen meint ihr wenn es nix findet das ich wieder sicher bin ?

soll ich noch eine zusätzliche firewall installieren ?

[MikeRo]

Danke dir dann werd ich wohl meine platte und meine usb platte komplett plätten

ich brenner aber vorher alle filme runter (ist das sicher ich ziehe die ordner rüber und lösche alles was nichts mit dem inhalt zu tun hat (Thumbs.mdb etc... wenn noch andere sachen geben sollte))


Welches Programm formatiert die festplatten (nicht die windowsCD) und überschreibt sie auch ? (Bootbar)


und auch dake für die tipps werd ich mir alles durchlesen und sie befolgen

[Water-clear]

Zitat (MikeRo: 06.04.2008, 20:05)

Danke dir dann werd ich wohl meine platte und meine usb platte komplett plätten

ich brenner aber vorher alle filme runter (ist das sicher ich ziehe die ordner rüber und lösche alles was nichts mit dem inhalt zu tun hat (Thumbs.mdb etc... wenn noch andere sachen geben sollte))

Welches Programm formatiert die festplatten (nicht die windowsCD) und überschreibt sie auch ? (Bootbar)

und auch dake für die tipps werd ich mir alles durchlesen und sie befolgen

Filme brennen ist in Ordnung, das sind schließlich .avis und dergleichen, die sind ungefährlich.

Die Frage ist, warum du alles so gründlich formatiert und überschrieben haben willst, mehr Sicherheit von wegen Viren bringt dir das auch nicht. Da reicht sogar die Windows-Schnellformatierung, dann ist alles weg (aus Sicht von Windows). DBAN überschreibt deine Platte derart gründlich, dass du danach sicher sein kannst, nichts mehr wiederherstellen zu können (aber selbstverständlich kannst du danach wieder Windows aufspielen).

Dieser Beitrag wurde von Water-clear bearbeitet: 20. April 2008 - 13:17