HackTool:MSIL/AutoKMSl!MTB

[Charly.W]

Danke für die neuen Infos.

Zwischenzeitlich hat der MS Saftey Scanner eine Bedrohung entdeckt und isoliert. Danach kam vom Defender keine Warnung mehr.

Über das weitere Vorgehen machte ich mir noch keine Gedanken, weil ich im Moment wenig Zeit habe und dieses Problem gerne in Ruhe lösen möchte. Da ich mit einem anderen Rechner arbeiten kann, besteht ja auch zum Glück kein Zeitdruck.

 

[Dr. McCoy]

Zwischenzeitlich hat der MS Saftey Scanner eine Bedrohung entdeckt und isoliert.

Welche genau?

Über das weitere Vorgehen machte ich mir noch keine Gedanken, weil ich im Moment wenig Zeit habe und dieses Problem gerne in Ruhe lösen möchte.

Dann darfst Du allerdings währenddessen besagtes System nicht online bzw. nicht im Netzwerk betreiben, sondern nur offline. Abgesehen davon ist die finale Lösung ohnehin jetzt bereits klar: Das System ist aufgrund des zuvor vorausgegangenen Einsatzes von Software aus nicht vertrauenswürdigen Quellen neu aufzusetzen.

 

[Charly.W]

Welche Bedrohung das war, weiß ich nicht. Den Rechner werde ich, wie oben erwähnt erst mal nicht nutzen.

 

[Wilhelm14]

Ob Office legal oder illegal von einem Bekannten, der das Notebook für mich einrichtete installiert wurde, weiß ich nicht.

Ist denn z.B. Word oder Excel auf dem Rechner? Mit hoher Wahrscheinlichkeit ist das kein Virus sondern "nur" ein Crack, siehe: https://support.microsoft.com/de-de/help/4026234/automated-hacktoolwin32autokms
Der Crack funktioniert höchstwahrscheinlich aktuell gar nicht mehr, da er veraltet ist. Bitte eventuell deinen Freund den Crack zu deinstallieren. Wenn du eh kein Microsoft Office nutzt, musst das auch nicht gecrackt werden.

 

[Charly.W]

Danke für Eure zwischenzeitlich geposteten Infos. Ich werde vorsichtshalber noch mal das System vom MS Saftey Scanner überprüfen lassen und melde mich wieder, wenn ich das Ergebnis habe.

 

[DJServs]

Wozu diese ganzen Scans? um das Gewissen zu beruhigen?
Der Rechner war (bzw. ist) kompromittiert und einem einmal kompromittierten System kann nicht mehr vertraut werden!

Merke bitte: Kein Virenscanner dieser Welt kann nachweisen ob ein System sauber ist, es kann allenfalls eine Infektion nachgewiesen werden, nicht aber das Gegenteil!

 

[onesworld]

KMS ist keine Kompromittierung sondern ein PUP. Ein Scan oder Neuinstallation ist unnötig. Das Zeug muss runter und gut ist.

Bei dem ganzen Verlauf würde ich aber dennoch eine saubere Installation vorschlagen.

 

[wirelessy]

Wozu diese ganzen Scans? um das Gewissen zu beruhigen?
Der Rechner war (bzw. ist) kompromittiert und einem einmal kompromittierten System kann nicht mehr vertraut werden!

Zu Windows XP-Zeiten hätte ich dir da sicherlich zugestimmt.
Das ist alles eine Frage der Rechte mit der Malware läuft.
EOP und UAC Bypass 0days sind relativ selten, nimmt man dann noch seinem Haus- und Hof-Benutzer Adminrechte weg, reicht es auch, den Nutzer wegzuschmeißen.
Malware braucht Persistenz, und da gibt es nur begrenzt viele Orte, an denen ich mich zuverlässig einnisten kann.
Gerade bei dem, was sich Privatnutzer so einfangen, find ich ehrlich gesagt die Gefahren recht gut überschaubar.

Ich persönlich habe seit geraumer Zeit wegen Infektionen keinen Rechner mehr neuaufgesetzt.
Das ist natürlich keine leichtfertige Entscheidung, und der Tatsache geschuldet, dass ich beruflich Endpoint Security mache, aber komplexe Malware ist die Ausnahme, nicht die Regel.

Wäre ich mir allerdings bei Maschinen nicht sicher, dass sie wirklich bereinigt sind, ist natürlich plattmachen angesagt.

Aber wie gesagt, kommt selten vor.

 

[BFF]

Echt jetzt? @wirelessy
Du machst keine Kiste "neu' weil Du Angst vor "Infektionen" hast?

Irgendwie kommt es mir vor, dass Du da etwas erzaehlst in dem Post was von vorn bis hinten nicht wirklich zusammen passt.

 

[wirelessy]

Echt jetzt? @wirelessy
Du machst keine Kiste "neu' weil Du Angst vor "Infektionen" hast?

Irgendwie kommt es mir vor, dass Du da etwas erzaehlst in dem Post was von vorn bis hinten nicht wirklich zusammen passt.

Ich fürchte, da hast du mich einfach nur falsch verstanden.
Rephrase: Infektionen/Virenscanner-Funde sind für mich selten ein Grund ein Endgerät neu aufzusetzen.
Ist einfach lange nicht mehr vorgekommen, dass ich da nen Infektionspfad nicht sauber nachvollziehen konnte.
Aber die Konfiguration meiner betreuten Clients ist halt auch entsprechend sauber, hinsichtlich vorhandener Rechte und Patches.

Aber ich lasse mich gerne auf Inkonsistenzen hinweisen.

 

[BFF]

Ich persönlich habe seit geraumer Zeit wegen Infektionen keinen Rechner mehr neuaufgesetzt.

Haengen, kann man nicht laufen lassen!
Haengen kann man nicht, laufen lassen!

Dann schreib es verstaendlicher mit passenden Kommas.

BFF

 

[wirelessy]

Nee, Kommata würden das nicht reparieren können. Der ganze Satz müsste anders geschrieben werden.

Entweder rede ich erstmal ganzheitlich von "Ich habe lange keine Rechner mehr neu aufgesetzt" (sachlich unwahr), oder es endet sogar in der von dir initial verstandenen Variante, die noch üblerer Unsinn wäre.

 

[Charly.W]

Hallo, nun habe ich wieder Zeit, um mich mit dem PC Problem zu beschäftigen. Erst mal danke für Eure Infos.
Weitere Scanns zeigten wieder nur den Win32/AutoKMS an.

Das System läuft problemlos, akzeptierte inzwischen div. Sicherheitsupdates und zeigt seit dem auch nicht mehr an, dass Office Pro aktiviert werden muss.

Ich bin aber dennoch unsicher und weiß nicht, ob ich das so einfach weiterlaufen lassen soll. Da ich Office nicht brauche, wäre es ja vielleicht auch eine Lösungsmöglichkeit, wenn ich das Programm löschen und den KMS deaktivieren würde, wobei ich leider nicht weiß, wie ich letzteres machen soll. Kann mir dabei vielleicht jemand von Euch behilflich sein und könnte damit aus Eurer Sicht das Sicherheitsproblem gelöst sein ?

Eine Neuinstallation würde ich mich mir schon gerne ersparen.
Meine Vermutung, dass ich die Lizenz für WIN10 zusammen mit dem Rechner gekauft habe, bestätige mir zwischenzeitlich ein Blick auf die Rechnung.

Danke im Voraus
Charly

 

[Dr. McCoy]

Eine Neuinstallation würde ich mich mir schon gerne ersparen.

Diese Option wäre dann gegeben, wenn das System vernünftig eingerichtet worden wäre -- ohne Hacktools aus unseriösen Quellen. Ursachen und Folgen.

Meine Vermutung, dass ich die Lizenz für WIN10 zusammen mit dem Rechner gekauft habe, betätige mir zwischenzeitlich ein Blick auf die Rechnung.

Das hat ja mit Office und dem Hacktool nichts zu tun: Es reicht halt aus, wenn eines von beidem damit "aktiviert" wurde.

 

[Charly.W]

@Dr. McCoy ,

danke für die schnelle Antwort. Ich habe schon verstanden, dass das Hacktool im Zusammenhang mit Office steht. Ich wollte nur meine obige Vermutung, dass ich eine WIN10 Lizenz für diesen Rechner gekauft habe, bestätigen.

@All

hab grad auf dem Laufwerk D eine Datei mit dem Namen KMS AutoNet gefunden. Kann das der Schädling sein, der von den Virenscannern angezeigt wurde ?

Danke für´s Mitdenken und herzliche Grüße
Charly

 

[Nahrungsmittel]

Nur Mal so als Beispiel.

Damals als ich noch jung war gab es sämtliche Cracks für spiele & Software etc.

Einige sagen daß es sich hier vermutlich nur um einen "Crack" handelt. Ich hab damals andere Erfahrung gemacht. Auch "Cracks" können Trojaner direkt mit installieren oder bei entsprechenden rechten auch nachladen und nachträglich installieren. Im Grunde hat man also absolut keine 100% Gewissheit.



Ich würde das gesamte Windows neu installieren statt da jetzt 50 Scanner drüber laufen zu lassen.

 

[Wilhelm14]

Wie heißt denn die Datei exakt, welche Dateiendung, in welchem Ordner?
"Seriös" war das MKT (Microsoft Toolkit), z.B. MTKV264.exe und hat ausgeführt Windows und Office aktiviert. Microsofts Virenscanner schlägt natürlich an. Andere Scanner zeigen den häufig nur als unerwünscht (PUP) an.
"Seriösw" Quelle war: https://www.google.com/search?q=mydigitallife+toolkit
Da das Toolkit wohl nicht mehr richtig funktioniert und nicht mehr weiter entwickelt wird, hat der Entwickler alles entfernt. Meine Links und Erläuterungen erzählen aus der Vergangenheit und führen also nicht zu einer Crack-Anleitung.
https://www.google.com/search?q=Microsoft+Toolkit&tbm=isch
Im Reiter Activation kann man den AutoKMS deinstallieren. Danach das Toolkit löschen. Fertig. Leider brauchst du dafür das Toolkit. Und stellt sich noch die Frage, ob es wirklich das "echte" Toolkit war oder doch was anderes.

Frag denjenigen, der dir das gecrackt hat, der müsste den Crack deinstallieren können.

PS: Sonst alle Daten extern sichern und Windows neu machen.
https://www.microsoft.com/de-de/software-download/windows10
Vielleicht geht es auch "Inplace" aus laufendem Windows heraus.
https://www.deskmodder.de/wiki/index.php?title=Inplace_Upgrade_Windows_10_schnell_reparieren

Noch ein Edit: Welche Datei an welchem Ort meckert der Defender exakt an? Ist es SppExtComObjHook.dll?

 

[Charly.W]

Ich würde das gesamte Windows neu installieren.

Hab ich vorhin gemacht und bin grad dabei, den Rechner neu einzurichten.

Danke für Eure Unterstützung bei der Bewältigung meines HackToolProblemchens.

Gruß Charly

 

[Dr. McCoy]

Sehr gute Entscheidung! Nun hast Du eine vertrauenswürdige Basis. Achte darauf, dass Du sie auch vertrauenswürdig behältst, dazu künftig sehr sorgfältig bei Softwareauswahl und Downloads vorgehen.