[HaBo]

Charmin

Anzeige

Hiho allerseits :)
Hab mich hier mal registriert um zu schauen ob mir hier geholfen werden kann :P
Ich bin ein leidenschaftlicher diablo 2 spieler. Ich traf letztes jahr ein Typ in einem spiel der mit bunten farben schreiben konnte und das fand ich so toll das ich das auch wollte 8) Er war dann natürlich auch sehr höfflich und hat mir nen link gegeben wo ich das her bekomme.. Ich ahnte früher nicht das die meisten nur auf was böses aus wollen, hatte aufm rechner auch nur antiVir als schutz drauf..Naja, jedenfalls ging ich dann auf die seite und downloadete mir die dateir... hab dann auf den installer geklickt um das script zu installieren. Als aber dann nix geschah klingelten bei mir die alarm glocken und ich hab antivir einmal den ganzen rechner durchlaufen lassen. AntiVir fand jedoch nichts und ich dachte mir dann auch nix weiter dabei. 3 tage später jedoch wurden meine diablo 2 accounts gehacked und meine ganzen wertvollen sachen waren gestohlen. Da war ich dann schon ziemlich sauer! Das hat dem typen aber nicht gereicht und steuerte meinen pc dann über ne userinit.exe.. bei mir poppte aufm desktop ein chat fenster auf worüber er sich mit mir unterhalten konnte (screenshot häng ich an)..Nunja ich kappte sofort dann die internet verbindung, wusste aber auch nicht wirklich was ich noch machen konnte ausser meinen virenscanner durchlaufen zu lassen der aber nix fand! Somit entschloss ich mich windows neu aufzuspielen und formatierte nur c:\
Als ich meinen Rechner dann neu installiert hatte, hab ich mich bissl schlauer gemacht, alle sicherheits update von windows installiert, mir programme wie spy bot search & destroy runter geladen und nochmal meine andere partition gescannt (Ich depp hätte die da auch schon löschen müssen ;( )
Alles schien mir sauber zu sein und ich fing wieder an diablo 2 zu spielen! Jedoch wurde ich nach 2 monaten als ich wieder gute sachen gefunden habe, wieder gehacked und alles war weg, er hinterlies mir immer nur ein charakter den er hi-myfriend nannte... Ich habe dann wieder windows neu aufgespielt und diesmal alle partitionen gelöscht so das alles wegkommt. Bekam dann 2 wochen später eine email auf englisch wo mir einer schrieb was ich zur zeit mache, ob ich noch diablo 2 spiele und wie mein account ist. Wusste natürlich das es sich um die Person handelte die mich gehackt hatte! Hab einen Freund daraufhin gefragt ob ich was gegen ihn tuen kann da ich ja seine email adresse habe, aber der meinte das er mit großer warscheinlichkeit über ne fremde email adresse kontakt mit mir aufgenommen hat und nicht mit seiner eigenen.
Ich rappelte mich dann wieder auf und fing dann ein 3. mal an zu spielen! Ich war mir ziemlich sicher das diesmal nix passiern könne, weil ich 1. ein super passwortr gewählt habe (hat keinen zusammen hang, besteht aus zahlen, buchstaben und zeichen) ich 2. alles formatiert habe und ich 3. nichts mehr von unseriösen Seiten herruntergeladen habe. Als es dann wieder geschah ( ist bestimmt jetzt nen monat her) hatte ich keine Lust mehr gehabt und hab mit dem ganzen aufgegeben. Ich vermutete immer das ich einen keylogger auf meinem rechner habe konnte mit vielen scannern aber nie was finden! Was ich auch nie verstand ist wie ich das 3. mal gehackt werden konnte! Beim ersten mal ist es mir ja bewusst, beim 2. hab ich mir das so hingebogen das der wurm sich auf der anderen partition befand, aber beim 3. mal bin ich einfach ratlos!
eventuell weiss ja der eine oder andere hier wie sowas geschehen kann... Ich hab nämlich nach dem 3.mal auch nicht nochmal neu fomratiert weil ich einfach die "schnauzevoll" hatte. Ich frag mich jetzt nur immer ob sich auf meinem rechner immer noch ein keylogger befindet oder nicht (finden kann ich ihn nicht) und ob es sich überhaupt um ein keylogger gehandelt hat?
Was ich auch nie verstehen werde und was ich gern wissen möchte ist, wenn es tatsächlich ein keylogger war, warum immer nur meine accounts gehacked wurden sind und nicht die meiner freundin (mit ihren accs hab ich mich auch öfters eingeloggt)! da ein keylogger ihren account auch abgefangen hätte.
Hoffe mir kann hier mal einer bissl klarheit geben und mir evt auch paar tipps geben wie ich mich noch vor so etwas schützen kann!
Achja ich besitze eine feste IP..
Vielen dank schonmal im vorraus

Charmin


TheEvilOne: [Anhang entfernt]

link

vielleicht hat er das PW von deinem E-mail Acc mitgelogt. Wenn er dies tat, kann er ohne problem immer wieder dein neues PW herausfinden. Natürlich wird er dann seine Spuren verwischen, indem er empfangene Mails gleich löscht.

kleiner Tip. immer mal ab und zu deine Ports kontrollieren mit TCPView. dann kannst du sicher sein das kein Trojaner auf einem port lauscht. Es geht auch alternativ mit "netstat". Aber TCPview ist übersichtlicher für den unbedarften Nutzer.

Vielleicht hat er ja, was aber eher unwarscheinlich ist, sich zu den Datenbanken von Diablo zugang verschafft.

ivegotmail

@Charmin
schau mal in der registry (start -> ausführern: regedit) nach, ob du unter folgenden einträgen (sofern vorhanden) ein verdächtiges programm findest:
HKEY_CURRENT_USER\Software\Microsoft\Windows\Curre ntVersion\Run
HKEY_CURRENT_USER\Software\Microsoft\Windows\Curre ntVersion\Runonce
HKEY_CURRENT_USER\Software\Microsoft\Windows\Curre ntVersion\RunOnceEx
HKEY_CURRENT_USER\Software\Microsoft\Windows\Curre ntVersion\RunServices
HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\Curr entVersion\Run
HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\Curr entVersion\RunOnce
HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\Curr entVersion\RunOnceEx
HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\Curr entVersion\RunServices

und schau mal in deinen autostart ordner was da so drin ist.

wenn du nen keylogger drauf hast, wird er sich wahrscheinlich irgendwo dort eingetragen haben (damit er beim booten gleich startet).

das war nur n screenshot.
naja, man sollte seine anhänge nicht unbedingt virus2.rar nennen ...

__________________
http://livehabo.hackerboard.de | http://livebb.sourceforge.net

TheEvilOne

lol, ops

Charmin

Danke ersteinmal für die ganzen tipps
Das passwort für meinen mail account hab ich alle 3 male neu eingerichtet. Ausserdem hat benutz ich von mozilaa die auto vervollständigung, somit würde sein keylogger eigentlich nur ein <Enter> ausspähen können wenn ich meine mails abrufe..
Leider keine einträge gefunden. Aber die werd ich mir mal mercken, danke dafür

Hab mir auch gleich mal TCPView runter geladen und lass es gerad laufen
sieht eigentlich auch alles in ordnung aus, viele svchost.exe verbindungen, 2 lsass.exe verbindungen (laut google ein windows prozess) und eine alg4.exe und halt mein icq gerad
Wozu ich nix find ist System:4 davon baut er 2 tcp verbindungen auf und 3 udp verbindungen. Remote adress ist nicht vorhanden und bei process properties gibt er mir nen error... Weiss jmd was das ist?
Danke
gruß Charmin

SUID:root

Hallo!

Also alg.exe ist bekannt als Systemprozess, Alg4.exe würde ich mir mal genauer ansehen.
Ebenso 2 x lsass.exe. 1x ist okay. 2 x wundert mich ein wenig.
Insbesondere weil lsass.exe gern auch mal ein Wurm ist.

Checke mal die Pfade (z.B. mit Prozess-Radar, www.delphi-soft.de), bzw. suche mal nach doppelten Dateien.
Dateien noch woanders als in System32? Dann Vorsicht.

Auch kann ein Prozess mittels Injection gestartet worden sein, dann findest du nur vertrauenswürde Prozesse im Taskmanager.

ggf mal einen Scan mit HiJackThis machen und Log posten.

Gruss

root

Charmin

hi root!
Hab mir Prozess Radar runtergeladen und mal angeschmissen!
Der listet mir aber nur eine lsass.exe auf die sich in C.\windows\system32 befindet!
bei TcpView parallel geschaut laufen aber noch 2.
Bei Local Adress steht:
dclone:isakmp (bei den einem)
dclone:4500 (beim anderen)

weiss nicht ob das hiolft
gruß
Charmin

--edit--

hab mal gerade nach lsass.exe gesucht und 2 gefunden! Die eine befindet sich im windows ordner die andere in windows\servicepackFiles\i386!
schätze das ist richtig so

Hab mein hijackthis log hier überprüfen lassen http://www.hijackthis.de/index.php scheint auch sauber zu sein!

Mackz

Malware ruft sich auch gerne per:
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon
"Shell"

auf, indem es sich dort hinter den Wert "Explorer.exe" schreibt und so direkt beim beim Start , nach laden der Shell, ausgeführt wird.
Hinter Explorer.exe darf dort also nichts mehr folgen. Der Prozess müsste dann allerdings eigentlich trotzdem unter "runnings Processes" erscheinen ... hm ... aber kannst du ja mal noch vorsichtshalber überprüfen.

__________________
RL sux big time... auch 2012!

Deleting pr0n is like killing your best friend

[HaBo] bei Facebook - Werde Fan

Charmin

hi nochmal! Gehe gerad nochmal genauer die Registry einträge durch und fand in HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\Curr entVersion\Run und in
HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\Curr entVersion\Run-
nwiz data: nwiz.exe/install
hab mal gegooglet und rausgefunden das es zu nvidia gehört.
Hab in mein system32 ordner geschaut und die datei befindet sich tatsächlich dadrinn und ist 1,42 MB groß.
Hab paar kommentare dazu noch gelesen
[/quote]if it exists in the NVIDIA dir. and is about 450k maybe its OK. If its in system32 and difernt size, maybe kill it.[/quote]

Weiss meint ihr?

gruß
Charmin

SUID:root

Hallo.

Dein Log sieht sauber aus.
Die andere Datei mit 1,42 MB halte ich von der Größe her allein schon für harmlos. Ein Keylogger hat eine Größe zwischen 2 - 50 KB, aber nicht MB.

zu der Lsass.exe: Die ist bei XP im System32-Verzeichnis, nicht im Win-Dir.

Gruss

root

ivegotmail

also ich würde es nicht unbedingt ausschließen dass nwiz der virus/keylogger ist. auf der seite von der Charmin zitiert hat, steht zB auch:
http://www.neuber.com/taskmanager/de.../nwiz.exe.html
der aussage nach würde es sich also um einen virus handeln.

Charmin, du kannst die datei ja mal irgendwo hochladen. dann würde ich sie mir mal anschauen.

__________________
http://livehabo.hackerboard.de | http://livebb.sourceforge.net

Charmin

hallo!
@ivegotmail

habs hier hochgeladen: http://rapidshare.de/files/2236284/nwiz.exe.html
danke für die mühe

gruß
CHarmin

ivegotmail

"Keine zulässige win32 anwendung".
die datei ist auch nur 1,36mb groß und nicht 1,42mb. da ist wohl beim hochladen was schiefgelaufen.
lad die datei nochmal neu hoch, am besten gepackt (.zip).

__________________
http://livehabo.hackerboard.de | http://livebb.sourceforge.net

Charmin

in .rar gepackt:
http://rapidshare.de/files/2236763/nwiz.rar.html

gruß
Charmin

SUID:root

Habs mal gesaugt, mit UltraEdit analysiert und es scheint von Nvidia zu sein.
Diverse Ascii-Zeilen sind lesbar und deuten auf Nvida hin. (nview, etc..)

Gruss

root