@emlym, mach ich doch gleich
Analyse mittels D.D.S.:
DDS (Ver_10-03-17.01) - NTFSx86
Run by Cheffe at 14:36:02,46 on 07.06.2010
Internet Explorer: 6.0.2900.5512 BrowserJavaVersion: 1.6.0_20
Microsoft Windows XP Professional 5.1.2600.3.1252.49.1031.18.3327.2622 [GMT 2:00]
AV: AntiVir Desktop *On-access scanning enabled* (Outdated) {AD166499-45F9-482A-A743-FDD3350758C7}
============== Running Processes ===============
C:\WINDOWS\system32\Ati2evxx.exe
C:\WINDOWS\system32\svchost -k DcomLaunch
svchost.exe
C:\WINDOWS\System32\svchost.exe -k netsvcs
svchost.exe
svchost.exe
C:\WINDOWS\system32\Ati2evxx.exe
C:\WINDOWS\system32\spoolsv.exe
C:\Programme\Avira\AntiVir Desktop\sched.exe
svchost.exe
C:\WINDOWS\Explorer.EXE
C:\Programme\ATI Technologies\ATI.ACE\Core-Static\MOM.exe
C:\Programme\Avira\AntiVir Desktop\avgnt.exe
C:\Programme\Microsoft IntelliType Pro\itype.exe
C:\WINDOWS\RTHDCPL.EXE
C:\Programme\ATI Technologies\ATI.ACE\Core-Static\ccc.exe
C:\Programme\Avira\AntiVir Desktop\avguard.exe
C:\Programme\Java\jre6\bin\jqs.exe
C:\WINDOWS\System32\svchost.exe -k imgsvc
C:\Programme\Mozilla Firefox\firefox.exe
C:\Dokumente und Einstellungen\Cheffe\Desktop\Downloads\dds.scr
============== Pseudo HJT Report ===============
BHO: Adobe PDF Link Helper: {18df081c-e8ad-4283-a596-fa578c2ebdc3} - c:\programme\gemeinsame dateien\adobe\acrobat\activex\AcroIEHelperShim.dll
BHO: Spybot-S&D IE Protection: {53707962-6f74-2d53-2644-206d7942484f} - c:\progra~1\spybot~1\SDHelper.dll
BHO: Windows Live Anmelde-Hilfsprogramm: {9030d464-4c02-4abf-8ecc-5164760863c6} - c:\programme\gemeinsame dateien\microsoft shared\windows live\WindowsLiveLogin.dll
BHO: Java(tm) Plug-In 2 SSV Helper: {dbc80044-a445-435b-bc74-9c25c1c588a9} - c:\programme\java\jre6\bin\jp2ssv.dll
BHO: JQSIEStartDetectorImpl Class: {e7e6f031-17ce-4c07-bc86-eabfe594f69c} - c:\programme\java\jre6\lib\deploy\jqs\ie\jqs_plugin.dll
EB: {32683183-48a0-441b-a342-7c2a440a9478} - No File
mRun: [StartCCC] "c:\programme\ati technologies\ati.ace\core-static\CLIStart.exe" MSRun
mRun: [avgnt] "c:\programme\avira\antivir desktop\avgnt.exe" /min
mRun: [itype] "c:\programme\microsoft intellitype pro\itype.exe"
mRun: [RTHDCPL] RTHDCPL.EXE
uPolicies-explorer: NoRecentDocsNetHood = 1 (0x1)
IE: {e2e2dd38-d088-4134-82b7-f2ba38496583} - %windir%\Network Diagnostic\xpnetdiag.exe
IE: {FB5F1910-F110-11d2-BB9E-00C04F795683} - c:\programme\messenger\msmsgs.exe
IE: {DFB852A3-47F8-48C4-A200-58CAB36FD2A2} - {53707962-6F74-2D53-2644-206D7942484F} - c:\progra~1\spybot~1\SDHelper.dll
DPF: DirectAnimation Java Classes - file://c:\windows\java\classes\dajava.cab
DPF: Microsoft XML Parser for Java - file://c:\windows\java\classes\xmldso.cab
DPF: {8AD9C840-044E-11D1-B3E9-00805F499D93} - hxxp://java.sun.com/update/1.6.0/jinstall-1_6_0_20-windows-i586.cab
DPF: {CAFEEFAC-0016-0000-0020-ABCDEFFEDCBA} - hxxp://java.sun.com/update/1.6.0/jinstall-1_6_0_20-windows-i586.cab
DPF: {CAFEEFAC-FFFF-FFFF-FFFF-ABCDEFFEDCBA} - hxxp://java.sun.com/update/1.6.0/jinstall-1_6_0_20-windows-i586.cab
Notify: AtiExtEvent - Ati2evxx.dll
Hosts: 127.0.0.1
www.spywareinfo.com
================= FIREFOX ===================
FF - ProfilePath - c:\dokume~1\cheffe\anwend~1\mozilla\firefox\profiles\vx1sc2oj.default\
FF - prefs.js: browser.startup.homepage - hxxp://www.tomshardware.com/de
FF - plugin: c:\dokumente und einstellungen\cheffe\anwendungsdaten\mozilla\firefox\profiles\vx1sc2oj.default\extensions\{1bc9ba34-1eed-42ca-a505-6d2f1a935bbb}\plugins\npietab2.dll
FF - plugin: c:\programme\mozilla firefox\plugins\npdeployJava1.dll
FF - HiddenExtension: Java Console: No Registry Reference - c:\programme\mozilla firefox\extensions\{CAFEEFAC-0016-0000-0020-ABCDEFFEDCBA}
---- FIREFOX POLICIES ----
c:\programme\mozilla firefox\greprefs\all.js - pref("ui.use_native_colors", true);
c:\programme\mozilla firefox\greprefs\all.js - pref("ui.use_native_popup_windows", false);
c:\programme\mozilla firefox\greprefs\all.js - pref("browser.enable_click_image_resizing", true);
c:\programme\mozilla firefox\greprefs\all.js - pref("accessibility.browsewithcaret_shortcut.enabled", true);
c:\programme\mozilla firefox\greprefs\all.js - pref("javascript.options.mem.high_water_mark", 32);
c:\programme\mozilla firefox\greprefs\all.js - pref("javascript.options.mem.gc_frequency", 1600);
c:\programme\mozilla firefox\greprefs\all.js - pref("network.auth.force-generic-ntlm", false);
c:\programme\mozilla firefox\greprefs\all.js - pref("svg.smil.enabled", false);
c:\programme\mozilla firefox\greprefs\all.js - pref("ui.trackpoint_hack.enabled", -1);
c:\programme\mozilla firefox\greprefs\all.js - pref("browser.formfill.debug", false);
c:\programme\mozilla firefox\greprefs\all.js - pref("browser.formfill.agedWeight", 2);
c:\programme\mozilla firefox\greprefs\all.js - pref("browser.formfill.bucketSize", 1);
c:\programme\mozilla firefox\greprefs\all.js - pref("browser.formfill.maxTimeGroupings", 25);
c:\programme\mozilla firefox\greprefs\all.js - pref("browser.formfill.timeGroupingSize", 604800);
c:\programme\mozilla firefox\greprefs\all.js - pref("browser.formfill.boundaryWeight", 25);
c:\programme\mozilla firefox\greprefs\all.js - pref("browser.formfill.prefixWeight", 5);
c:\programme\mozilla firefox\greprefs\all.js - pref("html5.enable", false);
c:\programme\mozilla firefox\greprefs\security-prefs.js - pref("security.ssl.allow_unrestricted_renego_everywhere__temporarily_available_pref", true);
c:\programme\mozilla firefox\greprefs\security-prefs.js - pref("security.ssl.renego_unrestricted_hosts", "");
c:\programme\mozilla firefox\greprefs\security-prefs.js - pref("security.ssl.treat_unsafe_negotiation_as_broken", false);
c:\programme\mozilla firefox\greprefs\security-prefs.js - pref("security.ssl.require_safe_negotiation", false);
c:\programme\mozilla firefox\greprefs\security-prefs.js - pref("security.ssl3.rsa_seed_sha", true);
c:\programme\mozilla firefox\defaults\pref\firefox-branding.js - pref("app.update.download.backgroundInterval", 600);
c:\programme\mozilla firefox\defaults\pref\firefox-branding.js - pref("app.update.url.manual", "http://www.firefox.com");
c:\programme\mozilla firefox\defaults\pref\firefox-branding.js - pref("browser.search.param.yahoo-fr-ja", "mozff");
c:\programme\mozilla firefox\defaults\pref\firefox.js - pref("extensions.{972ce4c6-7e08-4474-a285-3208198ce6fd}.name", "chrome://browser/locale/browser.properties");
c:\programme\mozilla firefox\defaults\pref\firefox.js - pref("extensions.{972ce4c6-7e08-4474-a285-3208198ce6fd}.description", "chrome://browser/locale/browser.properties");
c:\programme\mozilla firefox\defaults\pref\firefox.js - pref("xpinstall.whitelist.add", "addons.mozilla.org");
c:\programme\mozilla firefox\defaults\pref\firefox.js - pref("xpinstall.whitelist.add.36", "getpersonas.com");
c:\programme\mozilla firefox\defaults\pref\firefox.js - pref("lightweightThemes.update.enabled", true);
c:\programme\mozilla firefox\defaults\pref\firefox.js - pref("browser.allTabs.previews", false);
c:\programme\mozilla firefox\defaults\pref\firefox.js - pref("plugins.hide_infobar_for_outdated_plugin", false);
c:\programme\mozilla firefox\defaults\pref\firefox.js - pref("plugins.update.notifyUser", false);
c:\programme\mozilla firefox\defaults\pref\firefox.js - pref("toolbar.customization.usesheet", false);
c:\programme\mozilla firefox\defaults\pref\firefox.js - pref("browser.taskbar.previews.enable", false);
c:\programme\mozilla firefox\defaults\pref\firefox.js - pref("browser.taskbar.previews.max", 20);
c:\programme\mozilla firefox\defaults\pref\firefox.js - pref("browser.taskbar.previews.cachetime", 20);
============= SERVICES / DRIVERS ===============
R1 avgio;avgio;c:\programme\avira\antivir desktop\avgio.sys [2009-8-16 11608]
R2 AntiVirSchedulerService;Avira AntiVir Planer;c:\programme\avira\antivir desktop\sched.exe [2009-8-16 108289]
R2 AntiVirService;Avira AntiVir Guard;c:\programme\avira\antivir desktop\avguard.exe [2009-8-16 185089]
R2 avgntflt;avgntflt;c:\windows\system32\drivers\avgntflt.sys [2009-8-16 56816]
S3 Ambfilt;Ambfilt;c:\windows\system32\drivers\Ambfilt.sys [2009-8-16 1684736]
=============== Created Last 30 ================
2010-06-06 15:02:06 0 d-----w- c:\dokume~1\alluse~1\anwend~1\SecTaskMan
2010-06-06 15:02:04 0 d-----w- c:\programme\Security Task Manager
2010-06-06 12:36:45 0 d-----w- c:\dokume~1\cheffe\anwend~1\Malwarebytes
2010-06-06 12:36:39 38224 ----a-w- c:\windows\system32\drivers\mbamswissarmy.sys
2010-06-06 12:36:37 20952 ----a-w- c:\windows\system32\drivers\mbam.sys
2010-06-06 12:36:37 0 d-----w- c:\programme\Malwarebytes' Anti-Malware
2010-06-06 12:36:37 0 d-----w- c:\dokume~1\alluse~1\anwend~1\Malwarebytes
2010-05-11 18:04:01 0 d-----w- c:\dokume~1\cheffe\anwend~1\TS3Client
2010-05-11 18:03:51 0 d-----w- c:\programme\TeamSpeak 3 Client
==================== Find3M ====================
2010-06-07 12:14:57 79910 ----a-w- c:\windows\system32\perfc007.dat
2010-06-07 12:14:57 448470 ----a-w- c:\windows\system32\perfh007.dat
2010-04-12 15:29:19 411368 ----a-w- c:\windows\system32\deployJava1.dll
============= FINISH: 14:36:18,96 ===============
Analyse mithilfe von UsbFix:
############################# | Usbfix 7.005 | [Research]
User: Cheffe (Administrator) # CHEF [ ]
Updated 07/06/10 by El Desaparecido / C_XX
Started at 14:41:52 | 07/06/2010
Website:
http://pagesperso-orange.fr/NosTools/index.html
Contact:
FindyKill.Contact@gmail.com
CPU: AMD Phenom(tm) II X4 955 Processor
CPU 2: AMD Phenom(tm) II X4 955 Processor
Microsoft Windows XP Professional (5.1.2600 32-Bit) # Service Pack 3
Internet Explorer 6.0.2900.5512
Antivirus: AntiVir Desktop 9.0.1.32 [Enabled | (!) Outdated]
RAM -> 3327 Mb
C:\ (%systemdrive%) -> Fixed drive # 342 Gb (308 Mb free - 90%) [System] # NTFS
D:\ -> Fixed drive # 124 Gb (121 Mb free - 98%) [Backup] # NTFS
E:\ -> CD-ROM
################## | Files # Infected Folders |
Found ! E:\Autorun.inf
Found ! C:\Recycler\S-1-5-21-1960408961-1425521274-839522115-1003
Found ! D:\Recycler\S-1-5-21-1960408961-1425521274-839522115-1003
Found ! E:\Drag&Burn.exe
################## | Registry |
################## | Mountpoints2 |
################## | Vaccin |
(!) This computer is not vaccinated!
################## | E.O.F |
@falkner
einen authenticator hab ich nicht, support von blizz hab ich über das webformular schon am sonntag morgen angeschrieben (1h nachdem der hacker da mit meinen chars online war). der acc ist am so-abend wiederhergestellt worden, passwort resettet und den authenticator vom "hacker" wieder von meinem acc entfernt.
ich gehe davon aus das mir der keylogger oder was auch immer am samstag auf die kiste gekommen ist, da am freitag mein kollege sich von meinem rechner aus auf seinem account eingeloggt hat und der ist heil geblieben.
am samstag wiederum war nur mein sohn am rechner und er hat nur auf youtube sich videos angeschaut von irgendwelchen trickjumps im wow, wie sie auf den dächern von dala rumspringen etc, das er sich auf einschlägigen seiten herumgetrieben hat kann ich ausschliessen da ich auch mit ihm die meiste zeit im zimmer war. er ist erst 12 ist und findet wow (noch) interessanter ist als nackes fleisch.
das ding findet / erkennt gar nichts...
...
