cheddarKnight5
Cadet 2nd Year
- Registriert
- Juli 2014
- Beiträge
- 19
Hallo Gemeinde,
ich hab den Verdacht mit Malware infiziert zu sein und hätte jetzt einige Fragen und bräuchte Hilfestellung.
Bitte bedenkt dass ich zwar PC-Begeisterter bin, aber kein Fachmann, und der Umgang mit Viren und Malware ist für mich neu. Im Zweifel mit euren Antworten also bitte etwas ausführlicher sein.
Bitte seht mir auch nach dass ich im Vorfeld nicht evtl. 'Vorbereitungsthreads' gelesen oder die Suche benutzt hab. Ich schreibe das hier noch spät nach meinem Job und komme schon so kaum dazu mich mit Materie näher zu beschäftigen. Solltet ihr hier auf sowas verweisen werde ich das aber natürlich erstmal lesen.
Kurz zum Hergang:
Bei mir läuft Avast free Antivirus.
Bei der Öffnung von FireFox poppte den letzten Tagen beim Start eine Warn-Meldung auf die besagte dass der Browser eine unsichere Erweiterung 'TabIE' beinhaltet. Mit dem Dialog ob die diese entfernt werden soll oder nicht. Eine solche Erweiterung hatte ich aber nicht im Browser und auch meines Wissens nie installiert. Optisch sah das Fenster nach einem Alarm von Avast aus,was ich auch dafür hielt. Habe das Fesnter ohne Bestätigung geschlossen und in Avast den Browser Cleaner gestartet der dann auch etwas aufgeräumt hat.
Soweit sogut.
Als ich aber vorgestern mal in meiner Programm-Übersicht drin war hab ich die Einträge 'Sweetpage' und 'WPM18.0.8.212' gesehen. Diese Tools kenne ich nicht und sind laut Eintrag beide am gleichen Tag im April installiert worden. Als ich diese Tools standardgemäß entfernen wollte, sagte das System dass die Programme scheinbar nicht mehr installiert sind. Bei etwas Gegoogel mit über den 'WPM'-Eintrag bin ich auf hauptsächlich englische Sites gestoßen die das Programm wohl als sehr kritische Malware einstufen die Benutzerdaten, Passwörter usw. ausspäht.
Ich lasse auch immer mal wieder Malwarebytes laufen und bei dem heutigen Scan wurde auch nichts gefunden.
Beim Scan mit SpyBot Search and Destroy, das ich sonst auch regelmäßig aufräumen lasse sind aber einige Einträge aufgetaucht mit 6 kritischen Registry-Einträgen.
Hier das Log:
Die 6 als kritisch angezeigten hab ich mal abgesetzt (ab Zeile 21)
Jetzt bin ich mir unsicher wie ich weiter vorgehen soll. Weil eine Datenpartion schon voll war hatte ich jetzt eine Sachen noch auf der Systempartition angelegt, die ich aber vor einigen Wochen das letzte mal gesichert hatte.
Da ich das System demnächst auf einer anderen Festplatte sowieso neu aufsetzen wollte stellt sich für mich jetzt nicht unbedingt die Frage wie ich mein Windows 'retten' kann, aber würde natürlich schon gerne wissen wie ich grundsätzlich andernfalls verfahren sollte.
Mir stellt sich jetzt eher die Frage, falls ich befallen bin, ob jetzt noch Risiken bei dem Datentransfer gibt? Jetzt muss ich noch sagen dass ein gute Freund mit mal meine Systempartion mit TrueCrypt verschlüsselt hat. So einfach 'von außen' könnte ich jetzt die Daten also nicht rausziehen. Ich bin aber auch kein Verschlüsselungs-Fachmann.
Also salopp gefragt: Welche Gefahr besteht wenn ich das System jetzt noch nutze um meine Benutzerdaten, Einstellungen aus Programmen und meine Dateien von der Systemplatte auf ein anderes Laufwerk runter zu ziehen?
Also wie sollte ich jetzt am besten weiterarbeiten und was muss ich beachten?
Besten Dank schonmal für jede Hilfe!
ich hab den Verdacht mit Malware infiziert zu sein und hätte jetzt einige Fragen und bräuchte Hilfestellung.
Bitte bedenkt dass ich zwar PC-Begeisterter bin, aber kein Fachmann, und der Umgang mit Viren und Malware ist für mich neu. Im Zweifel mit euren Antworten also bitte etwas ausführlicher sein.
Bitte seht mir auch nach dass ich im Vorfeld nicht evtl. 'Vorbereitungsthreads' gelesen oder die Suche benutzt hab. Ich schreibe das hier noch spät nach meinem Job und komme schon so kaum dazu mich mit Materie näher zu beschäftigen. Solltet ihr hier auf sowas verweisen werde ich das aber natürlich erstmal lesen.
Kurz zum Hergang:
Bei mir läuft Avast free Antivirus.
Bei der Öffnung von FireFox poppte den letzten Tagen beim Start eine Warn-Meldung auf die besagte dass der Browser eine unsichere Erweiterung 'TabIE' beinhaltet. Mit dem Dialog ob die diese entfernt werden soll oder nicht. Eine solche Erweiterung hatte ich aber nicht im Browser und auch meines Wissens nie installiert. Optisch sah das Fenster nach einem Alarm von Avast aus,was ich auch dafür hielt. Habe das Fesnter ohne Bestätigung geschlossen und in Avast den Browser Cleaner gestartet der dann auch etwas aufgeräumt hat.
Soweit sogut.
Als ich aber vorgestern mal in meiner Programm-Übersicht drin war hab ich die Einträge 'Sweetpage' und 'WPM18.0.8.212' gesehen. Diese Tools kenne ich nicht und sind laut Eintrag beide am gleichen Tag im April installiert worden. Als ich diese Tools standardgemäß entfernen wollte, sagte das System dass die Programme scheinbar nicht mehr installiert sind. Bei etwas Gegoogel mit über den 'WPM'-Eintrag bin ich auf hauptsächlich englische Sites gestoßen die das Programm wohl als sehr kritische Malware einstufen die Benutzerdaten, Passwörter usw. ausspäht.
Ich lasse auch immer mal wieder Malwarebytes laufen und bei dem heutigen Scan wurde auch nichts gefunden.
Beim Scan mit SpyBot Search and Destroy, das ich sonst auch regelmäßig aufräumen lasse sind aber einige Einträge aufgetaucht mit 6 kritischen Registry-Einträgen.
Hier das Log:
Die 6 als kritisch angezeigten hab ich mal abgesetzt (ab Zeile 21)
Code:
Search results from Spybot - Search & Destroy
02.07.2014 01:54:45
Scan took 00:32:34.
38 items found.
Aartemis: [SBI $608FB8D8] Settings (Registry Change, nothing done)
HKEY_LOCAL_MACHINE\SOFTWARE\supWPM\ptid
Aartemis: [SBI $F8A758D3] Settings (Registry Key, nothing done)
HKEY_LOCAL_MACHINE\SOFTWARE\supWPM
Win32.Agent.qvo: [SBI $E30D556E] Settings (Registry Key, nothing done)
HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\Eventlog\Application\Wpm
Win32.Agent.qvo: [SBI $3937A24F] Settings (Registry Key, nothing done)
HKEY_LOCAL_MACHINE\SYSTEM\ControlSet002\Services\Eventlog\Application\Wpm
Banyan.eSafe: [SBI $5CB84A12] Settings (Registry Key, nothing done)
HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\Eventlog\Application\eSafeSvc
Banyan.eSafe: [SBI $22C002B4] Settings (Registry Key, nothing done)
HKEY_LOCAL_MACHINE\SYSTEM\ControlSet002\Services\Eventlog\Application\eSafeSvc
Elex.Desk365: [SBI $C6008D91] Settings (Registry Key, nothing done)
HKEY_LOCAL_MACHINE\SOFTWARE\deskSvc
Elex.Desk365: [SBI $487B5F3A] Settings (Registry Key, nothing done)
HKEY_LOCAL_MACHINE\SOFTWARE\V9
Elex.Desk365: [SBI $C8478A32] Settings (Registry Key, nothing done)
HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\Eventlog\Application\desksvc
Elex.Desk365: [SBI $1BFEF581] Settings (Registry Key, nothing done)
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Eventlog\Application
Macromedia.FlashPlayer.Cookies: [SBI $1EF45977] Text file (File, nothing done)
C:\Users\Player 1\AppData\Roaming\Macromedia\Flash Player\#SharedObjects\VH5682BX\skype.com\#ui\preferences.sol
Properties.size=216
Properties.md5=7AD9CDB95956F598761320C64BF51FF8
Properties.filedate=1403616979
Properties.filedatetext=2014-06-24 15:36:19
DoubleClick: [SBI $4E2AF2AC] Tracking cookie (Internet Explorer (User): Player 1) (Browser: Cookie, nothing done)
BurstMedia: [SBI $4E2AF2AC] Tracking cookie (Internet Explorer (User): Player 1) (Browser: Cookie, nothing done)
Win32.WTFtube.tv: [SBI $4E2AF2AC] Bookmark (Firefox: Player 1 (default)) (Browser: Bookmark, nothing done)
Win32.WTFtube.tv: [SBI $4E2AF2AC] Bookmark (Firefox: Player 1 (default)) (Browser: Bookmark, nothing done)
Internet Explorer: [SBI $1E8157BE] Typed URL list (Registry Key, nothing done)
HKEY_USERS\S-1-5-21-2529464217-3513432469-2887660241-1001\Software\Microsoft\Internet Explorer\TypedURLs
Internet Explorer: [SBI $0BC7B918] User agent (Registry Change, nothing done)
HKEY_USERS\.DEFAULT\Software\Microsoft\Windows\CurrentVersion\Internet Settings\User Agent
Internet Explorer: [SBI $0BC7B918] User agent (Registry Change, nothing done)
HKEY_USERS\S-1-5-21-2529464217-3513432469-2887660241-1001\Software\Microsoft\Windows\CurrentVersion\Internet Settings\User Agent
Internet Explorer: [SBI $0BC7B918] User agent (Registry Change, nothing done)
HKEY_USERS\S-1-5-18\Software\Microsoft\Windows\CurrentVersion\Internet Settings\User Agent
MS Media Player: [SBI $5C51E349] Client ID (Registry Change, nothing done)
HKEY_USERS\S-1-5-21-2529464217-3513432469-2887660241-1001\Software\Microsoft\MediaPlayer\Player\Settings\Client ID
MS Direct3D: [SBI $C2A44980] Most recent application (Registry Change, nothing done)
HKEY_USERS\.DEFAULT\Software\Microsoft\Direct3D\MostRecentApplication\Name
MS Direct3D: [SBI $C2A44980] Most recent application (Registry Change, nothing done)
HKEY_USERS\S-1-5-21-2529464217-3513432469-2887660241-1001\Software\Microsoft\Direct3D\MostRecentApplication\Name
MS Direct3D: [SBI $C2A44980] Most recent application (Registry Change, nothing done)
HKEY_USERS\S-1-5-18\Software\Microsoft\Direct3D\MostRecentApplication\Name
MS Wordpad: [SBI $4C02334D] Recent file list (Registry Key, nothing done)
HKEY_USERS\S-1-5-21-2529464217-3513432469-2887660241-1001\Software\Microsoft\Windows\CurrentVersion\Applets\Wordpad\Recent File List
Windows: [SBI $1E4E2003] Drivers installation paths (Registry Change, nothing done)
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Setup\Installation Sources
Windows.OpenWith: [SBI $F7204896] Open with list - .AVI extension (Registry Key, nothing done)
HKEY_USERS\S-1-5-21-2529464217-3513432469-2887660241-1001\Software\Microsoft\Windows\CurrentVersion\Explorer\FileExts\.AVI\OpenWithList
Windows.OpenWith: [SBI $691C1B44] Open with list - .BIN extension (Registry Key, nothing done)
HKEY_USERS\S-1-5-21-2529464217-3513432469-2887660241-1001\Software\Microsoft\Windows\CurrentVersion\Explorer\FileExts\.BIN\OpenWithList
Windows.OpenWith: [SBI $A1C94E79] Open with list - .BMP extension (Registry Key, nothing done)
HKEY_USERS\S-1-5-21-2529464217-3513432469-2887660241-1001\Software\Microsoft\Windows\CurrentVersion\Explorer\FileExts\.BMP\OpenWithList
Windows.OpenWith: [SBI $3A7F8A99] Open with list - .BZ2 extension (Registry Key, nothing done)
HKEY_USERS\S-1-5-21-2529464217-3513432469-2887660241-1001\Software\Microsoft\Windows\CurrentVersion\Explorer\FileExts\.BZ2\OpenWithList
Windows Explorer: [SBI $AA0766B5] Stream history (Registry Key, nothing done)
HKEY_USERS\S-1-5-21-2529464217-3513432469-2887660241-1001\Software\Microsoft\Windows\CurrentVersion\Explorer\StreamMRU
Windows Explorer: [SBI $D20DA0AD] Recent file global history (Registry Key, nothing done)
HKEY_USERS\S-1-5-21-2529464217-3513432469-2887660241-1001\Software\Microsoft\Windows\CurrentVersion\Explorer\RecentDocs
Windows Explorer: [SBI $85C2C910] Last Copy/MoveTo folder (Registry Value, nothing done)
HKEY_USERS\S-1-5-21-2529464217-3513432469-2887660241-1001\Software\Microsoft\Windows\CurrentVersion\Explorer\CopyMoveTo\LastFolder
Windows Media SDK: [SBI $37AAEDE6] Computer name (Registry Change, nothing done)
HKEY_USERS\S-1-5-21-2529464217-3513432469-2887660241-1001\Software\Microsoft\Windows Media\WMSDK\General\ComputerName
Windows Media SDK: [SBI $CAA58B6E] Unique ID (Registry Change, nothing done)
HKEY_USERS\S-1-5-21-2529464217-3513432469-2887660241-1001\Software\Microsoft\Windows Media\WMSDK\General\UniqueID
Windows Media SDK: [SBI $BACCD0DA] Volume serial number (Registry Value, nothing done)
HKEY_USERS\S-1-5-21-2529464217-3513432469-2887660241-1001\Software\Microsoft\Windows Media\WMSDK\General\VolumeSerialNumber
--- Spybot - Search & Destroy version: 2.3.39.131 DLL (build: 20140425) ---Da ich das System demnächst auf einer anderen Festplatte sowieso neu aufsetzen wollte stellt sich für mich jetzt nicht unbedingt die Frage wie ich mein Windows 'retten' kann, aber würde natürlich schon gerne wissen wie ich grundsätzlich andernfalls verfahren sollte.
Mir stellt sich jetzt eher die Frage, falls ich befallen bin, ob jetzt noch Risiken bei dem Datentransfer gibt? Jetzt muss ich noch sagen dass ein gute Freund mit mal meine Systempartion mit TrueCrypt verschlüsselt hat. So einfach 'von außen' könnte ich jetzt die Daten also nicht rausziehen. Ich bin aber auch kein Verschlüsselungs-Fachmann.
Also salopp gefragt: Welche Gefahr besteht wenn ich das System jetzt noch nutze um meine Benutzerdaten, Einstellungen aus Programmen und meine Dateien von der Systemplatte auf ein anderes Laufwerk runter zu ziehen?
Also wie sollte ich jetzt am besten weiterarbeiten und was muss ich beachten?
Besten Dank schonmal für jede Hilfe!
Zuletzt bearbeitet:
