- Registriert
- Feb. 2011
- Beiträge
- 649
Hallo!
Ein Bekannter von uns meint seit einiger Zeit Opfer von Hackerangriffen zu sein, die ziemlich mysteriöse Nebenwirkungen und Vorgeschichten haben. Beide Notebooks fahren plötzlich hoch, obwohl sie angeblich komplett ausgeschaltet waren. Die "Spritztour" endet bei dem einen dann auf dem Lockscreen und es folgen Neustarts. Das andere Notebook besaß zu dem Zeitpunkt noch ein Adminkonto mit einem ziemlich unsicheren Passwort, sodass der/die Angreifer/in sich Zutritt verschaffen konnte und den Firefox mit der Google-Website startete und irgendwelche hochfrequenten Töne im Hintergrund spielten (Fürs Passwörterknacken?!) (ich habe es leider weder gehört noch gesehen, deshalb die etwas ungenaue Beschreibung).
Auf dem Notebook, das beim Lockscreen stehenblieb, war diverse unseriöse Software installiert. Mein c't-Desinfec't-Stick fand im Java-Deployment-Cache diverse Exploits, die wahrscheinlich der etwas veralteten Version 7 Update 17 geschuldet waren.
Installiert waren die Inbox.com Toolbar, die File Converter 1.3 Toolbar (im Firefox war als Standardsuche WiseConvert 1.3 Customized Web Search aktiviert; gehört dazu?), die FantasticTV Toolbar und eine Software namens "Yontoo", die laut Trojanerboard reine Adware ist. Der Besitzer des Notebooks behauptet strikt diese ganzen Dinge nicht selbst installiert zu haben. Sind die Toolbars und die Software rein unseriös oder ist das noch kein Alarmsignal? Des weiteren erscheint im Infobereich ewig das Symbol von Automatische Updates, das downloaden möchte, obwohl laut Protokoll gerade erst Updates installiert wurden. Es verschwindet nach ein paar Sekunden, ist aber unter "Anpassen..." noch mit Prozentzahl aufgelistet. Wie kann das sein?
Außerdem habe ich mal die Partitionierung unter die Lupe genommen. Neben der Systempartition gibt es noch eine Partition mit über 100 GB Größe und dem Namen DATA (nur rund 26 GB davon sind belegt), auf der eine mit dem Windows Sie7en-eigenen Backup-Tool angelegte Sicherung liegt, die anscheinend von einem anderen Bekannten stammt und nichts mit der Werks-Recovery-Partition zu tun hat. Der andere Laptop besitzt diese DATA-Partition auch, nur ist sie dort leer. Komischerweise liegt vor der Systempartition eine 25 GB große Partition ohne Dateisystem und ohne Laufwerksbuchstaben, die bei Windows Sie7en-Installationen übliche 200 MB große Zusatzpartition gibt es stattdessen nicht. Diese Partitionierungsweise findet man auf beiden genannten Notebooks. Es handelt sich bei beiden um Geräte aus der ASUS X73E-Serie. Partitioniert ASUS wirklich so unlogisch?
Da wir vermuteten, dass der Angreifer dem Router (FRITZ!Box 7330) eine feste Adresse gegeben hat, über die er/sie Zugriff erlangt, haben wir ihn einem Werksreset unterzogen. Gibt es eigentlich auch die Möglichkeit, sich aus irgendwelchen dunklen Foren/Websites modifizierte Firmwares zu laden, die einem noch einfacheren Zugriff zu einem damit infizierten Router ermöglichen oder kommt die Möglichkeit nicht in Betracht?
Gruß von Cin-Hoo
Ein Bekannter von uns meint seit einiger Zeit Opfer von Hackerangriffen zu sein, die ziemlich mysteriöse Nebenwirkungen und Vorgeschichten haben. Beide Notebooks fahren plötzlich hoch, obwohl sie angeblich komplett ausgeschaltet waren. Die "Spritztour" endet bei dem einen dann auf dem Lockscreen und es folgen Neustarts. Das andere Notebook besaß zu dem Zeitpunkt noch ein Adminkonto mit einem ziemlich unsicheren Passwort, sodass der/die Angreifer/in sich Zutritt verschaffen konnte und den Firefox mit der Google-Website startete und irgendwelche hochfrequenten Töne im Hintergrund spielten (Fürs Passwörterknacken?!) (ich habe es leider weder gehört noch gesehen, deshalb die etwas ungenaue Beschreibung).
Auf dem Notebook, das beim Lockscreen stehenblieb, war diverse unseriöse Software installiert. Mein c't-Desinfec't-Stick fand im Java-Deployment-Cache diverse Exploits, die wahrscheinlich der etwas veralteten Version 7 Update 17 geschuldet waren.
Installiert waren die Inbox.com Toolbar, die File Converter 1.3 Toolbar (im Firefox war als Standardsuche WiseConvert 1.3 Customized Web Search aktiviert; gehört dazu?), die FantasticTV Toolbar und eine Software namens "Yontoo", die laut Trojanerboard reine Adware ist. Der Besitzer des Notebooks behauptet strikt diese ganzen Dinge nicht selbst installiert zu haben. Sind die Toolbars und die Software rein unseriös oder ist das noch kein Alarmsignal? Des weiteren erscheint im Infobereich ewig das Symbol von Automatische Updates, das downloaden möchte, obwohl laut Protokoll gerade erst Updates installiert wurden. Es verschwindet nach ein paar Sekunden, ist aber unter "Anpassen..." noch mit Prozentzahl aufgelistet. Wie kann das sein? Außerdem habe ich mal die Partitionierung unter die Lupe genommen. Neben der Systempartition gibt es noch eine Partition mit über 100 GB Größe und dem Namen DATA (nur rund 26 GB davon sind belegt), auf der eine mit dem Windows Sie7en-eigenen Backup-Tool angelegte Sicherung liegt, die anscheinend von einem anderen Bekannten stammt und nichts mit der Werks-Recovery-Partition zu tun hat. Der andere Laptop besitzt diese DATA-Partition auch, nur ist sie dort leer. Komischerweise liegt vor der Systempartition eine 25 GB große Partition ohne Dateisystem und ohne Laufwerksbuchstaben, die bei Windows Sie7en-Installationen übliche 200 MB große Zusatzpartition gibt es stattdessen nicht. Diese Partitionierungsweise findet man auf beiden genannten Notebooks. Es handelt sich bei beiden um Geräte aus der ASUS X73E-Serie. Partitioniert ASUS wirklich so unlogisch?
Da wir vermuteten, dass der Angreifer dem Router (FRITZ!Box 7330) eine feste Adresse gegeben hat, über die er/sie Zugriff erlangt, haben wir ihn einem Werksreset unterzogen. Gibt es eigentlich auch die Möglichkeit, sich aus irgendwelchen dunklen Foren/Websites modifizierte Firmwares zu laden, die einem noch einfacheren Zugriff zu einem damit infizierten Router ermöglichen oder kommt die Möglichkeit nicht in Betracht?
Gruß von Cin-Hoo
Zuletzt bearbeitet:
(Formatierung)
aber bist der gleichen Meinung wie ich
Die Toolbars und Yontoo habe ich schon, so gut wie es ging, deinstalliert und die Überreste aus seinen Browsern manuell entfernt.
