Home » Viren, Trojaner & Malware Forum » geänderte ntoskrnl.exe auf port 135 funlove? » Themenansicht
geänderte ntoskrnl.exe auf port 135 funlove? |
||
|---|---|---|
| #0
| ||
|
12.11.2005, 00:56
...neu hier
Beiträge: 10 |
||
 
|
|
|
|
12.11.2005, 01:14
Ehrenmitglied
 Beiträge: 29434 |
#2
Hallo@bender34
CCleaner http://www.ccleaner.com/ccdownload.asp lösche alle temp-Dateien poste die 4 logs  http://virus-protect.org/datfindbat.html Hijackthis http://computercops.biz/zx/Merijn/hijackthis.zip http://virus-protect.org/hjtkurz.html Lade/entpacke HijackThis in einem Ordner --> None of the above just start the program --> Save--> Savelog -->es öffnet sich der Editor nun das KOMPLETTE Log mit rechtem Mausklick abkopieren und ins Forum mit rechtem Mausklick "einfügen" __________ MfG Sabina rund um die PC-Sicherheit |
|
|
|
|
|
|
12.11.2005, 01:44
...neu hier
Themenstarter Beiträge: 10 |
#3
Liebe Sabina, vielen Dank für die schnelle Antwort...
CCCLeaner ist ausgeführt... Anbei die vier Logs Zitat Verzeichnis von C:\WINDOWS\system32 Zitat Verzeichnis von C:\DOKUME~1\Hendrik\LOKALE~1\Temp Zitat Verzeichnis von C:\WINDOWS Zitat Verzeichnis von C:\und hijackthis-log: (razer ist maustreiber, starwind gehört zu alcohol, eine emulationssoftware) Zitat Logfile of HijackThis v1.99.1Vielen Dank für die Mühe erstmal.... mfg Hendrik Edit: svv check : Zitat Microsoft Windows XP [Version 5.1.2600]Die ntoskrnl.exe ist aber da... Dieser Beitrag wurde am 12.11.2005 um 12:39 Uhr von bender34 editiert.
|
|
|
|
|
|
|
12.11.2005, 15:01
Ehrenmitglied
Beiträge: 29434 |
#4
KILLBOX
http://virus-protect.org/killbox.html Delete File on Reboot -- anhaken reinkopieren: ... und klicke auf das rote Kreuz, wenn gefragt wird, ob "Do you want to reboot? "---- klicke auf "no",und kopiere das nächste rein, erst beim letzten auf "yes" C:\WINDOWS\kl.exe C:\WINDOWS\uniq pc neustarten Oben auf der Seite --> auf Durchsuchen klicken --> Datei aussuchen --> Doppelklick auf die zu prüfende Datei --> klick auf Submit... jetzt abwarten --> kopiere das Ergebnis in das Sicherheitsforum http://virusscan.jotti.org/de/ http://www.virustotal.com/flash/index_en.html http://sandbox.norman.no/live_4.html C:\svv.exe C:\svv.sys kernel32.dll ADVAPI32.dll USER32.dll Lade dir TCPVIEW herunter http://www.sysinternals.com/Utilities/TcpView.html , starte es und speichere das Ergebniss in eine Datei, dessen Inhalt poste hier ebenfalls. __________ MfG Sabina rund um die PC-Sicherheit |
|
|
|
|
|
|
12.11.2005, 18:51
...neu hier
Themenstarter Beiträge: 10 |
#5
HI Sabina, thx thx und nochmal thx :-)
KL.exe war weg und ward nicht gesehen? Habe seither einige scans gemacht, z.B. mit Panda, vielleicht daher weg. uniq hat killbox gelöscht... Alle onlinescanner ---> NEGATIV, no virus found. svv.exe und svv.sys hatte ich nach c:\ gepackt, um den Originalzustand der Sys-Dateien zu checken... Zur info: z.zt. blocke ich ntoskrnl.exe, svchost.exe und ndisuio.sys von jedem internetzugang... fixfun hat nichts gefunden, habe 2 rechner im Netzwerk und Router (beide xp SP2) hier tcpview-log: Zitat [System Process]:0 TCP chaos:1927 localhost:31595 TIME_WAIT Dieser Beitrag wurde am 12.11.2005 um 19:02 Uhr von bender34 editiert.
|
|
|
|
|
|
|
12.11.2005, 19:52
Moderator
Beiträge: 7805 |
#6
Ein kleinere Zwischenruf zu "System Virginity Verifier", das ist ein sehr maechtiges Tool, aber man muss wirklich genau wissen was man mt den Ergebnissen anfaengt, die es einem serviert.
Obige Eintraege deuten auf die Firewall und dem Pandaservice hin. Will man diese Dinge ausschliessen, muss man beide Produkte deinstallieren und SVV nochmals den Rechner pruefen lassen(ohne sich mit dem INternet verbunden zu sein). Es kann auch auf einen Rootkit hindeuten, aber das ist alles sehr schwer zu bewerten, wenn man nicht weiss, was SVV vorher gemeldet hat um eine Veraenderung einschaetzen zu koennen. Nachtrag. Du nutzt Version 1.1a ? __________ MfG Ralf SEO-Spam Hunter |
|
|
|
|
|
|
12.11.2005, 20:00
Ehrenmitglied
Beiträge: 29434 |
#7
nutze auch noch Blacklight und rootkitreveale
http://www.f-secure.com/blacklight/try.shtml http://www.sysinternals.com/Utilities/RootkitRevealer.html poste die Logs ----------------------------------------------------------------------------- Process Explorer by Systernals http://virus-protect.org/artikel/tools/processexplorer.html Die einzelnen Prozesse sind übersichtlich in einer Baumstruktur dargestellt, will man mehr über die Prozesse erfahren, dann muss man den Eintrag lediglich markieren svv.exe svv.sys ntoskrnl.exe ------------------------ ndisuio.sys<--kein Problem (?) FILENAME: Ndisuio.sys. PROGRAM NAME: NDIS User I/O. DESCRIPTION: Internal Windows driver; performs internal communications tasks within Windows. Link: http://www.pcmag.com/article2/0,4149,771890,00.asp ------------------------ ntoskrnl.exe may be renamed deshalb scanne auch diese exe. http://virusscan.jotti.org/de/ http://www.virustotal.com/flash/index_en.html http://sandbox.norman.no/live_4.html __________ MfG Sabina rund um die PC-Sicherheit |
|
|
|
|
|
|
12.11.2005, 20:13
Moderator
Beiträge: 7805 |
#8
Noch ein Zwischenruf, ja ih hoer gleich auf!
 Wenn schon svv(1.1a!!), dann bitte so: svv check /m und log hier rein bitte __________ MfG Ralf SEO-Spam Hunter |
|
|
|
|
|
|
12.11.2005, 20:14
Ehrenmitglied
Beiträge: 29434 |
||
|
|
|
|
|
12.11.2005, 20:16
...neu hier
Themenstarter Beiträge: 10 |
#10
Zitat raman posteteja, benutze ich. Ich hatte das Problem auch schon, bevor ich svv probiert habe, habe die Blocks des Ports 135 mal weggenommen, um zu sehen, was passiert... (dachte, das Thema hat sich erledigt...) Aber siehe da: Wieder ein Angriff Zitat 12.11.2005 20:02:20 Allowed 10 Outgoing UDP 85.178.36.255 00-01-E3-0B-03-06 137 192.168.1.67 00-30-1B-B7-5F-44 137 C:\WINDOWS\system32\ntoskrnl.exeNtoskrnl.exe sendet immer mal wieder an 192.168.1.255 MAC FF-FF-FF-FF-FF-FF über udp-ports 137 und 138. Sofern ich das nicht blocke, greift der Angreifer auf svchost.exe und ndisuio.sys zu über port 135, dann kommt der versuch über lsass-exploit meinen rechner anzugreifen. :-( |
|
|
|
|
|
|
12.11.2005, 20:25
Ehrenmitglied
Beiträge: 29434 |
#11
nutze auch noch Blacklight und rootkitreveale
http://www.f-secure.com/blacklight/try.shtml http://www.sysinternals.com/Utilities/RootkitRevealer.html poste die Logs ----------------------------------------------------------------------------- Process Explorer by Systernals http://virus-protect.org/artikel/tools/processexplorer.html Die einzelnen Prozesse sind übersichtlich in einer Baumstruktur dargestellt, will man mehr über die Prozesse erfahren, dann muss man den Eintrag lediglich markieren ntoskrnl.exe ndisuio.sys das irritiert mich......(die Daten) svv.exe svv.sys 12.11.2005 die zip geladen (12.11.2005 01:15 38.845 svv-1.1a-public.zip) 05.11.2005 12:30 73.728 svv.exe 05.11.2005 12:24 4.096 svv.sys __________ MfG Sabina rund um die PC-Sicherheit |
|
|
|
|
|
|
12.11.2005, 20:37
Moderator
Beiträge: 7805 |
#12
Das ist das Tool, mit dem diese Logs erstellt weren:
SYSTEM INFECTION LEVEL: 5 0 - BLUE 1 - GREEN 2 - YELLOW 3 - ORANGE 4 - RED --> 5 - DEEPRED SUSPECTED modifications detected. System is probably infected! Das gibt es hier: http://invisiblethings.org/ und ich hoffe instaendig, das nun nicht jeder seinen Rechner damit ueberprueft! __________ MfG Ralf SEO-Spam Hunter |
|
|
|
|
|
|
12.11.2005, 20:38
...neu hier
Themenstarter Beiträge: 10 |
#13
onlinescan ntoskrnl und ndisuio.sys negativ
Blacklight negativ Zitat 11/12/05 20:20:23 [Info]: BlackLight Engine 1.0.25 initializedrootkitrevealer: Zitat HKLM\SOFTWARE\Classes\Installer\Products\32418F9EE1126B64A90E8365B85CFCF6\ProductName:svv check /m liefert: Zitat C:\>svv check /mwas ist eigentlich der unterschied zwischen report und check /m ?? <--- reine neugierde nicht so wichtig... ;-) Zitat Sabina postetekann im Prozessexplorer beide nicht finden, habe aber 2x fast.exe? btw: diese doppelpostsperre ist echt lästig ;-) Dieser Beitrag wurde am 12.11.2005 um 20:59 Uhr von bender34 editiert.
|
|
|
|
|
|
|
12.11.2005, 21:23
Ehrenmitglied
Beiträge: 29434 |
#14
Click Start > Ausfuehren> sigverif > OK
click OK and Start. Der computer wird scannen alle Dateien auf ihre digital "Autograph" (Authentizitaet) kopiere, was als nicht autentifiziert erkannt wird __________ MfG Sabina rund um die PC-Sicherheit |
|
|
|
|
|
|
12.11.2005, 21:39
...neu hier
Themenstarter Beiträge: 10 |
#15
erledigt...34 Stück:
in c:\windows\system32 Zitat a3d.dllin c:\windows\system32\drivers: Zitat amdtools.sysHabe gerade mal alles wieder geöffnet und habe recht viel traffic nach 85.178.X.X auf den ports 135, 137, 445 und anderen über ntoskrnl.exe und ndisuio.sys... Blocke das jetzt mal wieder... Witzigerweise sind die ip's immer unterschiedlich, die MAC-Adresse aber immer gleich... Dieser Beitrag wurde am 12.11.2005 um 21:48 Uhr von bender34 editiert.
|
|
|
|
|
|
op3 TIME_WAIT Um auf dieses Thema zu ANTWORTEN
bitte erst » hier kostenlos registrieren!!
bitte erst » hier kostenlos registrieren!!
Folgende Themen könnten Dich auch interessieren:
- » Wie Virus "funlove" entfernen?
- »
- »
- »
- »
Copyright © 2024, Protecus.de - Protecus Team - Impressum / Mediadaten
Ich habe im Netzwerk mir wahrscheinlich den Funlove zugezogen, oder eine Abart davon. Ich wollte hinter dem Router einen FTP-Server (IIS5.0) aufmachen, da mein Kumpel nicht connecten konnte, habe ich die Firewall ausgemacht, um zu sehen, ob es daran liegt. Ging nicht, aber mein REchner wurde per RPC runtergefahren, was ich mit "shutdown -a" verhindert habe. Bei Überprüfung kein Sasser zu finden. Sygate PFW meldete aber nun, dass ein lsass buffer overflow attempt verhindert wurde, siehe da: ntoskrnl.exe versucht über port 135 zu kommunizieren...
Als antwort dann der Versuch, mit dem Lsass-Exploit meinen Rechner anzugreifen. Habe die Ports 135, 137-139, 445 und 539 dann dicht gemacht.
Kein Scanner schlägt an,
und svv liefert:
Zitat
Bin nicht sicher, was es ist (Lsass-Exploit /Funlove ) und wie ich den runterbekomme...bin für jeden Ratschlag dankbar...
mfg
bender34