Mögliche Infizierung des Systems?

Cpt. Subtext · 29. September 2010

Hallo liebe Community,

folgendes Problem:

In den letzten zwei Wochen wurde mein battle.net Account 2 mal nacheinander gehackt.
Aufmerksam wurde ich darauf als ein guter Freund mir Bescheid gab dass mein Charakter gerade in World of Warcraft herumläuft obwohl ich den Account seit einem Jahr nichtmehr nutze.
Allerdings nutze ich einen Starcraft Account im Battlenet von Blizzard aktiv.

Da ich zwischen beiden Hacks das Passwort geändert habe, machte ich mich erstmal auf die Suche nach einem Tojaner bzw. Keylogger.
GMER, Trojan Remover sowie Kaspersky haben bei kompletten Prüfungen des Systems nichts entdeckt.
Allerdings zeigt Kaspersky den schon etwas bekannteren kernel memory pdm.keylogger fehler an.

Mir gehen langsam die Ideen aus. Ich habe nicht sonderliche Lust drauf dass noch wichtigere Accounts oder Konten infiltriert werden.

Hat jemand noch Ideen?

MfG
Cpt. Subtext

kaiwoon78 · 29. September 2010

Fotos, Filme, Dokumente (eigene) sichern und dann alle Festplatten formatieren (einmal mit "1" und "0" vollschreiben lassen, damit nichts drauf überlebt). Anschließend das Betriebssystem neu einspielen. Danach neue Paßwörter vergeben.

Nuck_Chorris · 29. September 2010

Formatieren und neu installieren ist das sicherste.
Dann nochmal alle passwörter und die PIN der Onlinebank ändern.

Wenn dir das dann doch zu viel google mal nach dem Rettungsdatenträger von GData ( die bieten den Kostenlos an glaube ich) damit booten und einen Vierencheck machen.

Hilbertraum · 29. September 2010

@kaiwoon78: Die Festplatte mit "0" oder "1" zu überschreiben ist komplett unnötig!

Mal das System neu aufzusetzen kann aber nicht schaden!

fs01.Mephisto · 29. September 2010

Klingt aber viel cooler als nur "System neu aufsetzen".

Wenn du mehrere Festplatten hast verschiebe alles was du sichern willst auf eine einzelne Platte. Klemme dies dann ab und mach die anderen Festplatten platt. Anschließend Windows neu installieren.

Bevor du die Datenplatten wieder anklemmst solltest du dringend ein paar Dinge vorher erledigen:
1. Betriebssystem auf den neusten Stand bringen
2. Virenprogramm auf den neusten Stand bringen
3. Die Datenplatten NICHT unter Windows einem Viren-Scan unterziehen

Erst wenn das erledigt ist würde ich die Datenplatten wieder ins System einbinden.

Gruß

wbjc2007 · 29. September 2010

bevor Du Dir die Mühe machst das ganze Teil neu zu installieren ist ein Griff zu den Rettungsmedien diverser Hersteller zu empfehlen. Gibt's von Avira, Spybot usw. (wie Nuck_Chorris schon meinste)

Runterladen, durchsuchen lassen und wenn die was finden können die das meistens löschen. Wenn dann nach dem booten von Windows und einem nochmaligen Scan mit den entsprechenden CDs noch was gefunden wird steht eine Neuinstallation an.

http://www.avira.de/de/support/support_downloads.html
--> Avira AntiVir Rescue System

http://www.safer-networking.org/de/bootablecd/index.html

Versuch's mal!

Oli1977 · 29. September 2010

Hi,

auch wenn ich sowas wie WoW; Starcraft etc nicht zocke, würde ich mir wenn dann den Battlenet token holen. Ist so wie der Paypal token und schützt gegen phising.

http://us.blizzard.com/support/article.xml?locale=en_US&articleId=24660

Cpt. Subtext · 29. September 2010

@Oli 1977
Ja den Authenticator habe ich bereits geholt aber aber den account erstmal von Blizzard gefreezt gelassen

Werde im nächsten Step jetzt mal die Rettungsprogs der benannten Hersteller testen, da eine Neuaufsetzung des Systems die wirklich letzte Option für mich ist. (Jede Menge Daten, Progs etc.)

Mich wundert nur das mein Kaspersky 2010 da nix findet.
Vielleicht ist auch garnichts auf dem System. Man hört ja immer wieder von Accounthacks in WoW durch Add-Ons des Spiels usw.. Aber zweimal in 2 Wochen??? O_o
Das kommt mir doch spanisch vor.

HOOKii · 29. September 2010

Geh mal auf diese Seite:
http://www.trojaner-board.de/
Dort kriegste geholfen.

BrollyLSSJ · 29. September 2010

Ist das Kaspersky 2010 das reine AntiVirus oder die Internet Security? Ich hatte naemlich mal einen WoW Trojaner, der wurde vom AV nicht erkannt, aber von der Internet Security (weil die Verbindung nach Drauszen bemerkt wurde).

Du kannst uebrigens auch kostenlos auf die 2011er updaten, sofern du damit nicht den High CPU Bug hast.

Sollte der Schaedling Rootkit-Techniken nutzen, ist es auf jeden Fall ratsam, mal mit einer Rettungs-CD zu scannen, wie es schon vorgeschlagen wurde. Kaspersky und GData bieten sowas zum Beispiel an.

Cpt. Subtext · 29. September 2010

Ich habe die Internet Security von Kaspersky.

Gegen Rootkits habe ich gestern GMER scannen lassen.

BrollyLSSJ · 29. September 2010

Du koenntest auch noch hijackthis benutzen und auswerten lassen. Und auch im Trojaner-Board, wie oben angegeben, posten. Die haben da noch ein paar mehr Tools zur Auswertung. Malwarebytes' Anti-Malware koenntest du auch noch drueber scannen lassen.

Cpt. Subtext · 29. September 2010

Keins der oben genannten Programme muckt jetzt noch. Ich habe so ziemlich alles drüber laufen lassen. Selbst Kaspersky ist jetzt zufrieden mit mir und auch der kernel mode patch dingensda ist verschwunden.

So jetzt meine Frage. Wie zur Hölle kann dann jemand mein Passwort innerhalb von zwei Wochen zweimal knacken. Es ist wie gesagt nur der Battle.net Account betroffen.

Hat hierzu jemand Ideen, beziehungsweise ähnliche Erfahrungen gemacht?

Mir ist in diesem Zusammenhang überhaupt keine andere Erklärung als ein Trojaner und Keylogger auf dem System in den Kopf gekommen. Bin aber auch kein Experte.
Hba nämlich keine Lust den battle.net Account von Blizzard reaktivieren zu lassen und der Sack steht wieder vor der Tür. (Habe hier ja jetzt noch den Authenticator von Blizzard hinzugeschalten)

Danke auf jeden Fall schonmal bis hier für eure Hilfe.

Boogeyman · 29. September 2010

Cpt. Subtext schrieb:
Mich wundert nur das mein Kaspersky 2010 da nix findet.

Kein Virenscanner der Welt kann alles finden, das ist unmöglich.

Generell sollte man den Rechner sicher einrichten:

[How to] Windows Rechner sicher einrichten und wichtige Verhaltensregeln

Haben noch andere Personen Zugang zum Rechner und hat sich da einen "Spaß" erlaubt?
Dein Password ist komplex hat mindestens acht Stellen und besteht aus Zahlen und Buchstaben die keinen Sinn ergeben?
Kennwortprüfer

Sonst finden Trojaner besonders durch Maps/Addons für Games aus dubiosen Quellen, Cheats, Cracks, sowie sonstigen nicht vertrauenswürdigen Quellen auf den Rechner.
Ist deine komplette Software aus vertrauenswürdigen Quellen?

Battlenet Account kompromittiert?

BrollyLSSJ · 30. September 2010

Cpt. Subtext schrieb:
Keins der oben genannten Programme muckt jetzt noch. Ich habe so ziemlich alles drüber laufen lassen. Selbst Kaspersky ist jetzt zufrieden mit mir und auch der kernel mode patch dingensda ist verschwunden.

Wenns ein unbekannter Schaedling ist, wird eine Boot-CD wohl auch nichts nuetzen. Du koenntest nochmal in C:\ C:\Windows C:\Windows\System C:\Windows\System32 und C:\Dokumente und Einstellungen\dein-account\temp (oder so aehnlich) nachgucken, ob da unbekannte Dateien sind (Wenn du es von Windows aus machst => alle Dateien und Ordner anzeigen und auch alle Systemdateien anzeigen lassen). Da muessten dann komisch lautende Dateien sein. Eine andere Moeglichkeit waere ein Hardware-Keylogger. Dazu muesste aber jemand Zugriff zu deinem Rechner haben.

Cpt. Subtext · 30. September 2010

Boogeyman schrieb:
Kein Virenscanner der Welt kann alles finden, das ist unmöglich.

Das ist mir durchaus bewusst, deswegen habe ich ja auch mehrere Programme eingesetzt.

Boogeyman schrieb:
Haben noch andere Personen Zugang zum Rechner und hat sich da einen "Spaß" erlaubt?
Dein Password ist komplex hat mindestens acht Stellen und besteht aus Zahlen und Buchstaben die keinen Sinn ergeben?

Nein es hat keine andere Person Zugang zu diesem Rechner.

Und ja das Passwort ist komplex.

Boogeyman schrieb:
Sonst finden Trojaner besonders durch Maps/Addons für Games aus dubiosen Quellen, Cheats, Cracks, sowie sonstigen nicht vertrauenswürdigen Quellen auf den Rechner.
Ist deine komplette Software aus vertrauenswürdigen Quellen?

Habe auf anraten von Blizzard alle Addon/Inferface und Cache Ordner gelöscht.

BrollyLSSJ schrieb:
Wenns ein unbekannter Schaedling ist, wird eine Boot-CD wohl auch nichts nuetzen. Du koenntest nochmal in C:\ C:\Windows C:\Windows\System C:\Windows\System32 und C:\Dokumente und Einstellungen\dein-account\temp (oder so aehnlich) nachgucken, ob da unbekannte Dateien sind (Wenn du es von Windows aus machst => alle Dateien und Ordner anzeigen und auch alle Systemdateien anzeigen lassen). Da muessten dann komisch lautende Dateien sein. Eine andere Moeglichkeit waere ein Hardware-Keylogger. Dazu muesste aber jemand Zugriff zu deinem Rechner haben.

Ja ein Boot-CD setzt ja erstmal einen Fund voraus.
Meine Temp habe ich ebenfalls gelöscht.
Bis auf drei Dateien ist da alles raus.
Diese lauten: msdtadmin (Ordner) und FXAPIDebuglogfile.txt

Was verstehst du unter "komisch lautende Dateien"?

BrollyLSSJ · 1. Oktober 2010

Cpt. Subtext schrieb:
Was verstehst du unter "komisch lautende Dateien"?

isodhfilsdjgöklds.exe 7932659235.exe 80ß456hjko435.exe etc. Also dass du allgemein mal guckst, ob da was liegt, was nicht zu Windows gehoert.

Cpt. Subtext · 4. Oktober 2010

PC neu aufgesetzt, am gleichen Tag wird PayPal gehackt -.-

Kann mir das noch jemand erklären?
Ich bin mit meinem LAtein nämlich am Ende.

Btw.: Passwörter wurden zuvor geändert.

Pyradonis · 4. Oktober 2010

Kann ja auch ein PWS (=Passwordstealer) gewesen sein. Die starten sich (oft) nur ein einziges Mal, lesen sämtliche "üblichen" PW Datenbanken (Firefox, IE, Chatproggis, etc.) aus und verschicken sie an einen Server. Danach löschen sie sich komplett selbst.

Will heißen: Kann schon sein, dass praktisch alle deine PWs "weg" sind, dein momentanes Sys aber trotzdem absolut "clean" ist.

Revolution · 4. Oktober 2010

Schau mal nach ob du nen Proxy in irgend einem Browser eingetragen hast.

Mögliche Infizierung des Systems?

Lieutenant

Ensign

Lieutenant

Banned

Lt. Commander

Lieutenant

Cadet 4th Year

Lieutenant

Banned

Rear Admiral

Lieutenant

Rear Admiral

Lieutenant

Vice Admiral

Rear Admiral

Lieutenant

Rear Admiral

Lieutenant

Lieutenant

Commodore