Hallo Leuts!

Sorry schon mal im Vorraus für den langen Eintrag, versuche aber das Problem so genau wie mir möglich zu beschreiben

Wäre Euch sehr dankbar ,wenn ihr mir da irgentwie helfen könntet, verstehe leider selbst zu wenig von der Materie um da was heraus zu finden.

Folgendes Problem bei einer Bekannten:

Sie hat den Yahoo Messenger Version 6 ,dazu Windows 98, ein P II Rechner, Anschluß DSL über T-Com.

Zum Problem...

Sie hat die Tage auf ihrem Rechner, in dem Ordner Programme/Yahoo/Messenger/Profile... einige Einträge entdeckt.
Das sind Einträge ,die mit anderen Nicks gemacht wurden ,als mit ihrem eigenen. Unter diesen Nicks kann man, wenn man weitergeht >> Nick/Archiv/Messages...... wiederum sehen, das an unterschiedlichen Tagen etwas mit Nicks geschrieben wurde.. Teilweise mit Nicks ,die Sie selbst kennt, Teilweise auch mit Nicks, die ihr unbekannt sind. Auch wurde zu Zeiten geschrieben ,wo Ihr PC Nachweislich nicht genutzt wurde, da Sie auf der Arbeit war. Der Rechner war zu diesen Zeiten offline ,das DSL-Modem ausgeschaltet.

Es wurde auch schon festgestellt, das jemand über ihren Rechner in einem Chat war ( über die IP.. wäre zu grosser Zufall, wenn die Nummer bis auf 3 Stellen die selbe wäre ,sie dann diesen Nick der sie angesprochen hatte im Chat, anklicken wollte und genau in dem Moment sie aus dem Netz flog ) sich Quasie da so eingeloggt hatte.

Es geschehen auch merkwürdige Dinge... Sie bekommt z.B. eine Meldung , ob sie sich wirklich abmelden wolle, obwohl sie nichts in der Richtung getan hat.Oder ihr Yahoo Messenger meldet sich einfach ab und sie muss sich neu Anmelden.. ... Auch wurden Nachrichten mit Ihrem Nick versand, obwohl sie da nicht online war. Auch wiederum an Nicks ,die sie teilweise kennt und an Unbekannte.

Das ist erst mal so das was ich weiß...

Ich vermute da nun irgentwas wie Host oder sowas.... Aber braucht man dazu nicht die genehmigung ,wenn man sich dann auf den Rechner schalten will? Aber möglich ist natürlich wohl auch , das es da sowas gibt, ohne das man dazu ne Genehmigunmg braucht. Desweiteren habe ich erfahren ,das es wohl da ein Programm in der Richtung gibt, das nur in Verbindung mit dem Yahoo Messenger zu tun hat.. Namen hat es nicht, sondern eine 16-Stellige Nummer..... genaueres weiß ich leider nicht

Kann mir da jemand helfen ,wie ich das ganze in den Griff bekomme.. sprich das ich das ganze erst mal unterbinde und für die Zukunft verhindere. Und vor allem, wie bekomme ich das Proggi oder was es ist, wieder vom Rechner.

Ich weiß nicht, ob es da ne Firewall tut ,oder ein Antivirenproggi und so. genutzt wird im Moment das Antivir Personal Edition ( immer auf dem neuesten Stand ) von B+H EDV ,dazu wurde mit Ad-Aware der Rechner gescannt ,wobei ein mal WebHancer und ein mal Intexus Dial gefunden aber auch entfernt wurden

Vielen Dank erst mal an Euch und schönes WE noch

Gruß De Brezelbäcker

HijackThis:
http://www.downloads.subratam.org/hijackthis.zip
HijackTis Anleitung
http://virus-protect.net/hjtkurz.html

Lade/entpacke HijackThis in einen Ordner
*None of the above just start the program
*Save
*Savelog
*es öffnet sich der Editor

*nun das KOMPLETTE Log mit rechtem Mausklick abkopieren und ins Forum mit rechtem Mausklick "einfügen"

Hier ist erst mal mein Hijackthis Log

<<< Hatte etwas vergessen
<<<<< Rechner AMD...800
Antivir von B + H EDV
Ad-Aware Se


Das von dem Rechner wo ich sprach, muss ich sehen wie ich das bekomme. Wollte aber das einfach ausprobieren ,wie das so funktioniert.

Logfile of HijackThis v1.99.1
Scan saved at 11:15:39, on 03.10.05
Platform: Windows 98 SE (Win9x 4.10.2222A)
MSIE: Internet Explorer v6.00 SP1 (6.00.2800.1106)

Running processes:
C:\BETRIEB\SYSTEM\KERNEL32.DLL
C:\BETRIEB\SYSTEM\MSGSRV32.EXE
C:\BETRIEB\SYSTEM\MPREXE.EXE
C:\BETRIEB\SYSTEM\mmtask.tsk
C:\BETRIEB\SYSTEM\ATI2EVXX.EXE
C:\BETRIEB\EXPLORER.EXE
C:\BETRIEB\TASKMON.EXE
C:\BETRIEB\SYSTEM\SYSTRAY.EXE
C:\BETRIEB\SYSTEM\ATIPTAXX.EXE
C:\PROGRAMME\FRITZ!DSL\AWATCH.EXE
C:\PROGRAMME\AVPERSONAL\AVGCTRL.EXE
C:\BETRIEB\SYSTEM\STIMON.EXE
C:\BETRIEB\SYSTEM\HPZTSB03.EXE
C:\BETRIEB\SYSTEM\SPOOL32.EXE
C:\BETRIEB\SYSTEM\WMIEXE.EXE
C:\PROGRAMME\ARCORONLINE\ARCOR.EXE
C:\BETRIEB\SYSTEM\RNAAPP.EXE
C:\BETRIEB\SYSTEM\TAPISRV.EXE
C:\BETRIEB\SYSTEM\DDHELP.EXE
C:\DOWNLOADS\SICHERHEIT\HIJACK\ENTPACKT\HIJACKTHIS.EXE

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = http://www.arcor.de
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.arcor.de/
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://www.arcor.de
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://www.arcor.de
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = http://www.arcor.de
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.arcor.de
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Window Title = Arcor AG & Co. KG
O2 - BHO: Yahoo! Companion BHO - {02478D38-C3F9-4efb-9B51-7695ECA05670} - C:\PROGRAMME\YAHOO!\COMPANION\INSTALLS\CPN\YCOMP5_5_7_0.DLL
O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\PROGRAMME\ADOBE\ACROBAT 6.0\READER\ACTIVEX\ACROIEHELPER.DLL
O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\BETRIEB\SYSTEM\MSDXM.OCX
O3 - Toolbar: Yahoo! Companion - {EF99BD32-C1FB-11D2-892F-0090271D4F88} - C:\PROGRAMME\YAHOO!\COMPANION\INSTALLS\CPN\YCOMP5_5_7_0.DLL
O4 - HKLM\..\Run: [ScanRegistry] C:\BETRIEB\scanregw.exe /autorun
O4 - HKLM\..\Run: [TaskMonitor] C:\BETRIEB\taskmon.exe
O4 - HKLM\..\Run: [SystemTray] SysTray.Exe
O4 - HKLM\..\Run: [LoadPowerProfile] Rundll32.exe powrprof.dll,LoadCurrentPwrScheme
O4 - HKLM\..\Run: [AtiCwd32] Aticwd32.exe
O4 - HKLM\..\Run: [AtiQiPcl] AtiQiPcl.exe
O4 - HKLM\..\Run: [AtiPTA] Atiptaxx.exe
O4 - HKLM\..\Run: [AWatch] C:\Programme\FRITZ!DSL\Awatch.exe
O4 - HKLM\..\Run: [AVGCtrl] C:\PROGRAMME\AVPERSONAL\AVGCTRL.EXE /min
O4 - HKLM\..\Run: [StillImageMonitor] C:\BETRIEB\SYSTEM\STIMON.EXE
O4 - HKLM\..\Run: [mdac_runonce] C:\BETRIEB\SYSTEM\runonce.exe
O4 - HKLM\..\Run: [HPDJ Taskbar Utility] C:\BETRIEB\SYSTEM\hpztsb03.exe
O4 - HKLM\..\Run: [PE2CKFNT SE] C:\Programme\Ulead Systems\Ulead Photo Express 2 SE\ChkFont.exe
O4 - HKLM\..\RunServices: [LoadPowerProfile] Rundll32.exe powrprof.dll,LoadCurrentPwrScheme
O4 - HKLM\..\RunServices: [ATIPOLAB] ati2evxx.exe
O4 - HKCU\..\Run: [ATI Launchpad] "C:\PROGRAMME\ATI MULTIMEDIA\MAIN\LAUNCHPD.EXE"
O9 - Extra button: Yahoo! Messenger - {E5D12C4E-7B4F-11D3-B5C9-0050045C3C96} - C:\PROGRAMME\YAHOO!\MESSENGER\YPAGER.EXE
O9 - Extra 'Tools' menuitem: Yahoo! Messenger - {E5D12C4E-7B4F-11D3-B5C9-0050045C3C96} - C:\PROGRAMME\YAHOO!\MESSENGER\YPAGER.EXE
O17 - HKLM\System\CCS\Services\VxD\MSTCP: NameServer = 192.168.122.252,192.168.122.253

Danke erst mal, nun mal weiter sehen mus wie und was ich da mache...

de Brezelbäcker

der Rechner ist o.k.

Hye Nikita,

Danke erst mal.

Hoffe er bleibt es auch so ,werde zumindest da was tun.
Nun muss ich natürlich wegen dem andern noch schauen ,wird aber auch nicht so lange dauern denke ich

Gruß de Brezelbäcker

Hallo,

habe den einen Eitrag gefixed mit HiJackThis

O17 - HKLM\System\CCS\Services\VxD\MSTCP: NameServer = 192.168.122.252,192.168.122.253


@ Nikita

Mit " SearchList'-Einträge (Suchlisten-Einträge) " meinst Du da diese von Arcor?

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = http://www.arcor.de
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.arcor.de/
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://www.arcor.de
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://www.arcor.de
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = http://www.arcor.de
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.arcor.de
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Window Title = Arcor AG & Co. KG

Wenn ja, kann ich die nätürlich noch fixen, ist kein Probs.


Hier mal das Logfile ( ohne fixed von dem mit Arcor )


Logfile of HijackThis v1.99.1
Scan saved at 13:11:02, on 03.10.05
Platform: Windows 98 SE (Win9x 4.10.2222A)
MSIE: Internet Explorer v6.00 SP1 (6.00.2800.1106)

Running processes:
C:\BETRIEB\SYSTEM\KERNEL32.DLL
C:\BETRIEB\SYSTEM\MSGSRV32.EXE
C:\BETRIEB\SYSTEM\MPREXE.EXE
C:\BETRIEB\SYSTEM\mmtask.tsk
C:\BETRIEB\SYSTEM\ATI2EVXX.EXE
C:\BETRIEB\EXPLORER.EXE
C:\BETRIEB\TASKMON.EXE
C:\BETRIEB\SYSTEM\SYSTRAY.EXE
C:\BETRIEB\SYSTEM\ATIPTAXX.EXE
C:\PROGRAMME\FRITZ!DSL\AWATCH.EXE
C:\PROGRAMME\AVPERSONAL\AVGCTRL.EXE
C:\BETRIEB\SYSTEM\STIMON.EXE
C:\BETRIEB\SYSTEM\HPZTSB03.EXE
C:\BETRIEB\SYSTEM\SPOOL32.EXE
C:\BETRIEB\SYSTEM\WMIEXE.EXE
C:\DOWNLOADS\SICHERHEIT\HIJACK\ENTPACKT\HIJACKTHIS.EXE

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = http://www.arcor.de
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.arcor.de/
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://www.arcor.de
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://www.arcor.de
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = http://www.arcor.de
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.arcor.de
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Window Title = Arcor AG & Co. KG
O2 - BHO: Yahoo! Companion BHO - {02478D38-C3F9-4efb-9B51-7695ECA05670} - C:\PROGRAMME\YAHOO!\COMPANION\INSTALLS\CPN\YCOMP5_5_7_0.DLL
O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\PROGRAMME\ADOBE\ACROBAT 6.0\READER\ACTIVEX\ACROIEHELPER.DLL
O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\BETRIEB\SYSTEM\MSDXM.OCX
O3 - Toolbar: Yahoo! Companion - {EF99BD32-C1FB-11D2-892F-0090271D4F88} - C:\PROGRAMME\YAHOO!\COMPANION\INSTALLS\CPN\YCOMP5_5_7_0.DLL
O4 - HKLM\..\Run: [ScanRegistry] C:\BETRIEB\scanregw.exe /autorun
O4 - HKLM\..\Run: [TaskMonitor] C:\BETRIEB\taskmon.exe
O4 - HKLM\..\Run: [SystemTray] SysTray.Exe
O4 - HKLM\..\Run: [LoadPowerProfile] Rundll32.exe powrprof.dll,LoadCurrentPwrScheme
O4 - HKLM\..\Run: [AtiCwd32] Aticwd32.exe
O4 - HKLM\..\Run: [AtiQiPcl] AtiQiPcl.exe
O4 - HKLM\..\Run: [AtiPTA] Atiptaxx.exe
O4 - HKLM\..\Run: [AWatch] C:\Programme\FRITZ!DSL\Awatch.exe
O4 - HKLM\..\Run: [AVGCtrl] C:\PROGRAMME\AVPERSONAL\AVGCTRL.EXE /min
O4 - HKLM\..\Run: [StillImageMonitor] C:\BETRIEB\SYSTEM\STIMON.EXE
O4 - HKLM\..\Run: [mdac_runonce] C:\BETRIEB\SYSTEM\runonce.exe
O4 - HKLM\..\Run: [HPDJ Taskbar Utility] C:\BETRIEB\SYSTEM\hpztsb03.exe
O4 - HKLM\..\Run: [PE2CKFNT SE] C:\Programme\Ulead Systems\Ulead Photo Express 2 SE\ChkFont.exe
O4 - HKLM\..\RunServices: [LoadPowerProfile] Rundll32.exe powrprof.dll,LoadCurrentPwrScheme
O4 - HKLM\..\RunServices: [ATIPOLAB] ati2evxx.exe
O4 - HKCU\..\Run: [ATI Launchpad] "C:\PROGRAMME\ATI MULTIMEDIA\MAIN\LAUNCHPD.EXE"
O9 - Extra button: Yahoo! Messenger - {E5D12C4E-7B4F-11D3-B5C9-0050045C3C96} - C:\PROGRAMME\YAHOO!\MESSENGER\YPAGER.EXE
O9 - Extra 'Tools' menuitem: Yahoo! Messenger - {E5D12C4E-7B4F-11D3-B5C9-0050045C3C96} - C:\PROGRAMME\YAHOO!\MESSENGER\YPAGER.EXE


Gruß de Brezelbäcker

Es kann natürlich auch sein, dass der PC an einem WLAN-Netzwerk hängt, das gehackt wurde.

Hye Leuts,

Also, hmm ,weis jetzt nicht genau ,welchen Rechner ihr meint, meinen oder den von meiner Bekannten..

Also, die Logfiles sind von meinem PC. Ich habe nen DSL Anschluß aber nicht wireless, sondern Kabelverbindung.

Der andere Rechner, wo das Problem auftritt ,also das was ich ganz oben beschrieben habe, der hängt auch über Kabelverbindung an DSL.


Ich kann mir aber beim Besten willen nicht vorstellen, das zum Beispiel die von Yahoo, weil alleine darum dreht es sich, das nicht merken würden, und schon gar nicht über einen längeren Zeitraum ,das sie gehackt sind.

Ich habs ja erklärt...


Sie hat die Tage auf ihrem Rechner, in dem Ordner Programme/Yahoo/Messenger/Profile... einige Einträge entdeckt.
Das sind Einträge ,die mit anderen Nicks gemacht wurden ,als mit ihrem eigenen. Unter diesen Nicks kann man, wenn man weitergeht >> Nick/Archiv/Messages...... wiederum sehen, das an unterschiedlichen Tagen etwas mit Nicks geschrieben wurde.. Teilweise mit Nicks ,die Sie selbst kennt, Teilweise auch mit Nicks, die ihr unbekannt sind. Auch wurde zu Zeiten geschrieben ,wo Ihr PC Nachweislich nicht genutzt wurde, da Sie auf der Arbeit war. Der Rechner war zu diesen Zeiten offline ,das DSL-Modem ausgeschaltet.


Ich versuchs noch mal so..

Ihr Nick ist XXX, der wird dargestellt mit einem Ordner.. in diesem Ordner in dem Unterordner "Messages" die Gespräche aufgelistet, die sie mit Freunden geführt hat, und zwar mit Datum. Man kann das natürlich nicht lesen, weil es ja verschlüselt ist.

Nun gibt es aber da andere Ordner, mit anderen Nicks, z.B. XYZ, darin wiederum den Unterordner "Messages" ,worin auch wieder diese Gespräche aufgeführt werden. Aber diese Gespräche hat sie nicht geführt ,weil sie damit nichts zu tun hat.

Nun ist das wohl so, das da jemand ,der wohl sehr viel Ahnung hat darin ,das irgentwie macht ,das das über ihren Rechner geht....ich wüsste aber nicht wie und was...

Deswegen das ganze Posting von mir, um zu erfahren ,was man da gegebenenfalls tun kann.

Gruß de Brezelbäcker

also ein bißchen mitdenken musst du schon. man braucht natürlich das logfile vom betroffenen pc und nicht von deinem.

Ei klaro braucht man dafür das Logfile des andern Rechners.. Lol...

Habe ja meines erst mal gemacht, um zu sehen,wie das funktioniert und um zu sehen, ob vielleicht auch an meinem PC was in der art ist, da bei mir auch so ein paar dinge waren ,die komisch waren. Allerdings scheint das ja nicht der Fall zu sein ( Hoffe ich zumindest mal ).

Werde wenn ich es habe, das Logfile des andern Rechners auch hier Posten..

Aber mal anders. Seht ihr da eine Möglichkeit, wie das gehen kann??? Und vor allem ,wie man sich dann dagegen schützen kann.????

Sagte ja, das es da wohl irgentwas in Richtung Host geben soll , das keinen Namen sondern ne Nummer hat, aber genaues weiß ich echt nicht.

Gruß de Brezelbäcker

also nachdem der rechner ja anscheinend komplett ausgeschaltet war, als die ungewollten posts gemacht wurden, nehme ich nicht an, dass es sich um einen tojaner öä handelt. denn dazu müsste der pc laufen. und da ein wlan-netz ausfällt, und man sich in ein normales netz nicht reinklinken kann, muss das komplett extern passieren.

ich glaube, dass jemand das passwort geknackt hat. schon mal ein neues probiert? und falls das nichts nützt ist ein keylogger drauf, der das neu vergebene passwort gleich wieder an den ungebetenen gast weiterleitet.