[HaBo]

schmidtl_dd · 13.01.06, 14:36

Hi

Ich hab hier nen Win2k PC, der nach Virenbefall nach Aussage aller Tools (HighjackThis, AdAware, AntiVir) sauber ist.

Jedoch läuft die winlogon.exe mit voller last, permanent. Und nun hab ich auch rausgefunden was die tut, da sie sofort aufhört, wenn ich die LAN Verbindung kappe: der Schlingel sendet Daten...

netstat -a hat 3 IP verbindungen nach außen: nach yh.mx.aol.com (2 mal) und mail1.ozhosting.com, jeweils Port 25

Hmm...jetzt weiß ich aber aus mangelnder Windowskenntniss nich weiter: Wie gewöhne ich dem das ab? Ne firewall installieren damit nix mehr rauskommt mag ich nich, kann ich den Übeltäter irgendwie anders finden?
Is tatsächlich die winlog.exe manipuliert?

fast_killer · 13.01.06, 15:11

Geh mal auf Start -> suchen
Such nach der winlogon.exe, versteckte dateien miteinbeziehen.
Wenn die Datei ausser im system32 Ordner noch irgendwo ist, kannst du dir sicher sein, dass du dir etwas eingefangen hast.

Zu deiner Aussage:

Zitat:

Ne firewall installieren damit nix mehr rauskommt mag ich nich, kann ich den Übeltäter irgendwie anders finden?

Soll das heissen, du hast gar keine Firewall installiert? Ich glaube ich seh schon, wo das Problem liegt

Mfg

Anzeige

- Anzeige -

ivegotmail · 13.01.06, 15:12

Zitat:

Original von schmidtl_dd
Wie gewöhne ich dem das ab?

wie schon in deinem anderen thread geschrieben: system komplett neu aufsetzen!
selbst wenn du das problem mit winlogon.exe löst, kannst du nicht sicher sein, dass im hintergrund nicht noch mehr auf deinem rechner läuft. und wer weiß wozu dein rechner gerade misbraucht wird ...

+++ATH0 · 13.01.06, 15:19

Zitat:

Soll das heissen, du hast gar keine Firewall installiert? Ich glaube ich seh schon, wo das Problem liegt

Du bist der Meinung, dass eine Kompromittierung unvermeidbar ist, wenn man keine Firewall hat?

--> http://malte-wetz.cjb.net/index.php?...ompromise.html

OnTopic:

Ack @ ivegotmail

Und wenn du dich fragst: "Warum neuinstallieren? Ist doch so anstrengend..."

--> http://www.mathematik.uni-marburg.de...c-removal.html

schmidtl_dd · 13.01.06, 15:57

Das System plattmachen ist zu einfach

Ne firewall brauch ich nicht, da ich keine Dienste nach aussen anbiete (Windows Dienste sind abgeschaltet). Ich halte sowieso nix von Desktopfirewalls...

Eine weitere winlogon.exe existiert nicht, es gibt nur die Windowseigene (sollte eine zweite existieren hätte ich auch zwei in der Prozessliste, da die Windowseigene ja immer läuft)

Über kurz oder lang wird das System eh neu aufgesetzt, es geht mir auch eher um den Lerneffekt. Kann ich mit windows Bordmitteln herrausfinden welcher Prozess grad das Netzwerkinterface nutzt?

heinzelJacKy · 13.01.06, 19:16

mit netstat -a -b kannst du rausfinden welche verbindung zu welchem prozess gehört..
allerdings kann es trotzdem sein, dass du eine infizierte winlogon hast, es gibt genug viren die es noch nicht zu ner antivir-signatur geschafft haben, also wuerde ich mich auf deine scanner nicht verlassen, könnte genauso gut dein nachbar gecodet haben ;-)
weiß zwar nicht genau, was ad-aware und hijackthis alles checken, aber sicher sein kann man sich da nicht. eventuell hilfts auch, mal mit nem packetsniffer wie ethereal mal zu schnueffeln, was denn eigentlich alles so verschickt wird und was zurueckkommt, welches protokoll das ist etc..
evtl einfach mal nen neue winlogon.exe von der install-cd reinkopieren und schauen ob sich was ändert..

Lesco · 13.01.06, 19:58

Oder der Virus ist polymorph, oder es ist noch ein Schädling aktiv, der seinen Code zum Kommunizieren in den Internet Explorer o.ä. injected, oder die Dateien des Schädlings werden mittels rootkit getarnt, oder offene Ports werden mittels kernel-modul versteckt, oder....
Ich glaube man braucht nicht weitermachen mit der Aufzählung, du kannst dir nie sicher sein, dass dein System je wieder 100% sauber wird ohne Formatierung, man findet wahrscheinlich eh nicht alle Schädlinge.

+++ATH0 · 13.01.06, 20:39

Zitat:

Das System plattmachen ist zu einfach

Glaube ich dir nicht. Ich glaube eher es ist dir zu aufwändig. Kannst du ruhig zugeben. Ist mir dann auch egal, was mit deinem System los ist...

schmidtl_dd · 14.01.06, 11:49

weiter unten hab ich doch eh geschrieben das ich das früher oder später tun werde... is na sache von 2-3 h. Mein kernsystem hab ich als image hier, danach noch backup einspielen und fertig... Aufwand is das wirklich nich...Lerneffekt hats aber auch keinen

+++ATH0 · 14.01.06, 12:58

Was willst du denn lernen?
Infiziere doch ein emuliertes System. Aber bitte getrennt vom Internet. Solange du infiziert bist, bist du ne Virenschleuder und gefährdest andere.

end4win · 16.01.06, 11:00

Hallo,
also wovor +++Atho euch ständig zu warnen versucht ist dies!

Zitat:

Definition
Ein Rootkit ist ein Programm oder ein Paket von Programmen, das ein Einbrecher benutzt, um seine Anwesenheit auf einem Computer zu verbergen, und das ihm auch zukünftig Zugriff auf das System gewährt. Dazu ändert das Rootkit interne Abläufe des Betriebssystems oder es manipuliert Datenstrukturen, auf die sich das Betriebssystem beim Verwalten und Überprüfen verlässt.
Ein Rootkit ist kein Exploit sondern das, was ein Angreifer einsetzt, nachdem er eine Schwachstelle mit einem Exploit ausgenutzt hat. Es ist daher in vieler Hinsicht interessanter als ein Exploit, selbst als ein sogenannter Zero-Day-Exploit, der erscheint, bevor ein Patch verfügbar ist. Die meisten Anwender haben widerstrebend die Tatsache akzeptiert, dass kontinuierlich weitere Sicherheitslücken in Computersystemen entdeckt werden. Während ein Zero-Day-Exploit nur eine Kugel ist, kann ein Rootkit viel über den Angreifer verraten ? zum Beispiel warum er damit geschossen hat. Indem wir analysieren, was ein Rootkit macht, können wir erforschen, was der Angreifer stehlen will, mit wem er kommuniziert und wie raffiniert er dabei vorgeht. Doch bevor wir uns mit dem "warum" beschäftigen, ist das "wie" an der Reihe.

Ganzer Artikel unter http://www.heise.de/security/artikel/68243/0

Was du und viele andere hier mit ihren Tools versuchen ist die Vordertür verzweifelt wieder
zu schliessen. Dabei stehen Hintertür und Fenster bereits weit offen!
Wenn ihr euch die Mühe macht und den Artikel ganz durchlest werdet ihr hoffentlich endlich einsehen,
dass es sich nicht lohnt die Vordertür wieder zu schliessen.
Eure ganzen Tools sagen euch nur wann es Zeit ist neu zu installieren!
Statt zu lernen wie ihr die Vordertür wieder schliesst, lernt lieber wie ihr sie schützt und wie ihr
euer System schnell und sicher neu aufsetzen könnt.

Gruss
@+++ATHO ich bewundere deine Ausdauer!

Anzeige

- Anzeige -

13.01.06, 14:36	#1 (permalink)
schmidtl_dd Registriert seit: 02.12.05 Likes: 0	rechner sendet ungefragt Daten Anzeige Hi Ich hab hier nen Win2k PC, der nach Virenbefall nach Aussage aller Tools (HighjackThis, AdAware, AntiVir) sauber ist. Jedoch läuft die winlogon.exe mit voller last, permanent. Und nun hab ich auch rausgefunden was die tut, da sie sofort aufhört, wenn ich die LAN Verbindung kappe: der Schlingel sendet Daten... netstat -a hat 3 IP verbindungen nach außen: nach yh.mx.aol.com (2 mal) und mail1.ozhosting.com, jeweils Port 25 Hmm...jetzt weiß ich aber aus mangelnder Windowskenntniss nich weiter: Wie gewöhne ich dem das ab? Ne firewall installieren damit nix mehr rauskommt mag ich nich, kann ich den Übeltäter irgendwie anders finden? Is tatsächlich die winlog.exe manipuliert?

Themen-Optionen
Druckbare Version zeigen Jemanden per E-Mail auf dieses Thema hinweisen
Ansicht
Linear-Darstellung Zur Hybrid-Darstellung wechseln Zur Baum-Darstellung wechseln

Ähnliche Themen
Thema	Autor	Forum	Antworten	Letzter Beitrag
Rechner mit illegalen Daten in der Reparatur	easteregg	HaBo Lounge	32	20.03.09 09:08
PC sendet Bild erst ab Windows	DT-Crackz-DT	Die Problemzone	5	24.04.08 19:19
Outlook sendet nicht aus dem Postausgang	Sonne	Die Problemzone	9	17.02.05 23:26
Sendet dauernd Daten offene Verbindungen	C.A.S.E.	(In)security allgemein	2	07.11.04 18:04
formular sendet automatisch	Brainscan	Code Kitchen	0	07.05.04 10:08

13.01.06, 15:57	#5 (permalink)
schmidtl_dd Themenstarter Registriert seit: 02.12.05 Likes: 0	Das System plattmachen ist zu einfach Ne firewall brauch ich nicht, da ich keine Dienste nach aussen anbiete (Windows Dienste sind abgeschaltet). Ich halte sowieso nix von Desktopfirewalls... Eine weitere winlogon.exe existiert nicht, es gibt nur die Windowseigene (sollte eine zweite existieren hätte ich auch zwei in der Prozessliste, da die Windowseigene ja immer läuft) Über kurz oder lang wird das System eh neu aufgesetzt, es geht mir auch eher um den Lerneffekt. Kann ich mit windows Bordmitteln herrausfinden welcher Prozess grad das Netzwerkinterface nutzt?

13.01.06, 19:16	#6 (permalink)
heinzelJacKy Registriert seit: 11.09.05 Likes: 0	mit netstat -a -b kannst du rausfinden welche verbindung zu welchem prozess gehört.. allerdings kann es trotzdem sein, dass du eine infizierte winlogon hast, es gibt genug viren die es noch nicht zu ner antivir-signatur geschafft haben, also wuerde ich mich auf deine scanner nicht verlassen, könnte genauso gut dein nachbar gecodet haben ;-) weiß zwar nicht genau, was ad-aware und hijackthis alles checken, aber sicher sein kann man sich da nicht. eventuell hilfts auch, mal mit nem packetsniffer wie ethereal mal zu schnueffeln, was denn eigentlich alles so verschickt wird und was zurueckkommt, welches protokoll das ist etc.. evtl einfach mal nen neue winlogon.exe von der install-cd reinkopieren und schauen ob sich was ändert..

13.01.06, 19:58	#7 (permalink)
Lesco Senior Member Registriert seit: 03.09.05 Likes: 0	Oder der Virus ist polymorph, oder es ist noch ein Schädling aktiv, der seinen Code zum Kommunizieren in den Internet Explorer o.ä. injected, oder die Dateien des Schädlings werden mittels rootkit getarnt, oder offene Ports werden mittels kernel-modul versteckt, oder.... Ich glaube man braucht nicht weitermachen mit der Aufzählung, du kannst dir nie sicher sein, dass dein System je wieder 100% sauber wird ohne Formatierung, man findet wahrscheinlich eh nicht alle Schädlinge.

14.01.06, 11:49	#9 (permalink)
schmidtl_dd Themenstarter Registriert seit: 02.12.05 Likes: 0	weiter unten hab ich doch eh geschrieben das ich das früher oder später tun werde... is na sache von 2-3 h. Mein kernsystem hab ich als image hier, danach noch backup einspielen und fertig... Aufwand is das wirklich nich...Lerneffekt hats aber auch keinen

14.01.06, 12:58	#10 (permalink)
+++ATH0 Member of Honour Registriert seit: 02.04.05 Likes: 76	Was willst du denn lernen? Infiziere doch ein emuliertes System. Aber bitte getrennt vom Internet. Solange du infiziert bist, bist du ne Virenschleuder und gefährdest andere.

[HaBo]

rechner sendet ungefragt Daten