1. Liebe Forumsgemeinde,

    aufgrund der Bestimmungen, die sich aus der DSGVO ergeben, müssten umfangreiche Anpassungen am Forum vorgenommen werden, die sich für uns nicht wirtschaftlich abbilden lassen. Daher haben wir uns entschlossen, das Forum in seiner aktuellen Form zu archivieren und online bereit zu stellen, jedoch keine Neuanmeldungen oder neuen Kommentare mehr zuzulassen. So ist sichergestellt, dass das gesammelte Wissen nicht verloren geht, und wir die Seite dennoch DSGVO-konform zur Verfügung stellen können.
    Dies wird in den nächsten Tagen umgesetzt.

    Ich danke allen, die sich in den letzten Jahren für Hilfesuchende und auch für das Forum selbst engagiert haben. Ich bin weiterhin für euch erreichbar unter tti(bei)pcwelt.de.
    Dismiss Notice

Backdoor "Graybird.N.1" - ich weiß nicht weiter!

Discussion in 'Sicherheit' started by Nata, Jul 17, 2005.

Thread Status:
Not open for further replies.
Page 1 of 2
  1. Nata

    Nata Guest

    Ich habe ein kleines Problem mit dem Backdoor "Graybird.N.1"

    Antivir-Guard meldet jedes mal nach dem System-start (win2000)
    und nach dem ersten starten von 0190-Warner, dass sich im TEMP-Ordner
    die Signatur von "Graybird.N.1" befindet ( C:\DOKUME~1\ADMINI~1\LOKALE~1\TEMP\MC21.TMP). Nach dem löschen habe ich bis zum nächsten systemstart Ruhe..., dann fängt das ganze wieder von vorne an.
    Dummerweiße kann ich nach einen gesamten System-Scan keine Infeftion feststellen und auch sonst scheint im System nichts merkwürdig zu sein...!?!?
    Kann das ganze "nur" ein Fehlalarm sein? Die Heuristik habe ich testweiße abgeschaltet - die Warnung kommt trotzdem.
    Ich habe mich im Netz über "Graybird.N" ein bißchen schlau gemacht, allderdings wusste ich mit den Informationen nicht viel anzufangen.
    Zusätzlich habe ich "hijackthis" und "SpyBot" eingesetzt und nicht wirklich was schwer verdächtiges gefunden... obwohl's da schon einige Warnungen gab..., hmmm

    Hier mal die Prozesse die bei mir laufen....
    komisch, "svchost.exe" wird 2mal ausgeführt - ist das schon normal?

    smss.exe
    csrss.exe
    winlogon.exe
    services.exe
    svchost.exe
    SPOOLSV.EXE
    w0svc.exe
    AVGUARD.EXE
    svchost.exe
    nvsvc32.exe
    stisvc.exe
    winmgmt.exe
    lsass.exe
    taskmgr.exe
    explorer.exe
    AVGNT.EXE
    notepad.exe
    Warn0190.exe
    wordpad.exe
    procexp.exe

    Ich bitte um eine höfliche Antwort
     
    Nata, Jul 17, 2005
    #1
  2. Jasager

    Jasager Viertel Gigabyte

    Hallo,
    erstelle mal bitte ein Hijackthis Logfile und lass es auf www.hijackthis.de (dort gibts auch das Programm) auswerten, klicke dann auf Auswertung speichern(ganz unten) und poste dann den Link dazu hier her. Du kannst auch schonmal die:
    C:\DOKUME~1\ADMINI~1\LOKALE~1\TEMP\MC21.TMP
    hier auswerten lassen und poste dann das Ergebnis. Verdacht: Fehlalarm von Antivir.

    Höflich genug? :)


    Grüße Jasager


    EDIT
    Ja, das mit der svchost ist normal
     
    Jasager, Jul 17, 2005
    #2
  3. Nata

    Nata Guest

    Nata, Jul 17, 2005
    #3
  4. TheD0CT0R

    TheD0CT0R Dr. h.c. Mod

    SP3? Wann hast du denn das letzte mal die Windows-Update Seite besucht?

    Die drei "bösen" Einträge solltest du fixen, und dann schnellstens mal dein System auf den aktuellen Stand bringen.
     
    TheD0CT0R, Jul 17, 2005
    #4
  5. Winnie The Pooh

    Winnie The Pooh Viertel Gigabyte

    Warum updatest du dein System nicht?


    edit: der Doctor war schneller...
     
    Winnie The Pooh, Jul 17, 2005
    #5
  6. Jasager

    Jasager Viertel Gigabyte

    Hallo,
    beende mal folgenden Prozess:
    C:\WINNT\System32\CMMON32.EXE
    und prüfe die Datei ebenfalls hier (was hat das prüfen der anderen Datei ergeben?)
    Bevor ich es vergesse, dein System ist nicht auf dem aktuellen Stand, für Windows2000 gibt es schon ziemlich lange das SP4, dieses solltest du dir besorgen. Ein nicht aktuelles System kann auch nicht durch einen Virenscanner oder eine Firewall sicher gemacht werden.


    Edit:
    Oh gott bin ich langsam :D

    Grüße Jasager
     
    Jasager, Jul 17, 2005
    #6
  7. Nata

    Nata Guest

    Hmm, habe nur 56k modem, da lade ich nix großes runter, mal schauen ob sich ein Freund mit ADSL findet...
    ... aber gehen beim aufspielen eines Servicepack's nicht alle meine
    System-hacks verloren (registry-hacks?) oder so?
    Praktisch wäre schon das ganze als CD-Image runterzuladen ;)

    Jottis Malwarescan 2.99-TRANSITION_TO_3.00

    Status:
    INFIZIERT/MALWARE (Anmerkung: diese Datei wurde bereits vorher gescannt. Die Scanergebnisse werden daher nicht in der Datenbank gespeichert.) (Anmerkung: Es wurde nur nicht-destruktive Malware gefunden. Obwohl diese Art von Malware lästig sein kann, werden die Ergebnisse nicht in der Datenbank gespeichert.)

    Datei: MC22.TMP.VIR

    AntiVir: SPR/Madtol.C gefunden
    Kaspersky Anti-Virus: not-a-virus:Tool.Win32.Madtol.c gefunden
    alle anderen haben nichts gefunden
     
    Nata, Jul 17, 2005
    #7
  8. Jasager

    Jasager Viertel Gigabyte

    Hallo,
    also, Fehlalarm von Antivir. Die andere Datei, die du prüfen solltest ist wohl eine Systemdatei. Also noch die drei Einträge bei Hijackthis fixen(einfach Haken davor und auf "fix checked" klicken) und schauen wie du dein System auf den neusten Stand bringst, sonst kannst du deine "Systemeinstellungen" vergessen weil du wegen eines echten Backdoors dein System neu aufsetzen kannst.


    Grüße Jasager
     
    Jasager, Jul 17, 2005
    #8
  9. Nata

    Nata Guest

    Hmmm, mit der der anderen Datei meintest du "C:\WINNT\System32\CMMON32.EXE"?
    Hab ich nun auch geprüft, - sauber.

    Bleibt nur die Frage, wie schalt ich den Fehlalarm ab?
    Hmm solch ein Problem hatte ich bisher noch nie...


    Hoffentlich geht mein System nach dem update immer noch so schnell....Es werden doch nicht alle "unötigen" Dienste wieder aktiviert, die ich in mühevoller kleinstarbeit ausgeschaltet habe?
     
    Nata, Jul 17, 2005
    #9
  10. Nata

    Nata Guest

    Ok nochmal, das Problem mit der temporären Datei habe ich seit dem 16.07.2005,
    Da hatte ich die Firewall kurz (ca.15min) abgeschaltet und plötzlich ist "svchost.exe" oder "lsass.exe" abgestürtzt :/

    Soo, hier die aufgezeichneten Warnungen:

    AntiVir erkannte in der Datei C:\DOKUME~1\ADMINI~1\LOKALE~1\TEMP\MC21A.TMP verdächtigen Code mit der Bezeichnung 'BDS/Graybird.N.1'!

    AntiVir erkannte in der Datei C:\DOKUME~1\ADMINI~1\LOKALE~1\TEMP\MC210.TMP verdächtigen Code mit der Bezeichnung 'BDS/Graybird.N.1'!

    AntiVir erkannte in der Datei C:\DOKUMENTE UND EINSTELLUNGEN\ADMINISTRATOR\LOKALE EINSTELLUNGEN\TEMP\MC210.TMP verdächtigen Code mit der Bezeichnung 'BDS/Graybird.N.1'!

    AntiVir erkannte in der Datei C:\DOKUME~1\ADMINI~1\LOKALE~1\TEMP\MC21.TMP verdächtigen Code mit der Bezeichnung 'BDS/Graybird.N.1'!

    C:\DOKUME~1\ADMINI~1\LOKALE~1\TEMP\MC2E.TMP
    Enthält eine Signatur des (gefährlichen) Backdoorprogrammes BDS/Graybird.N.1


    Hmm, bin wohl nicht der einzige mit diesem Problem. Weiter unten im hier im Forum, habe ich die gleichen Symptome endteckt.
    Und über google fand ich auch was, was mit meinem Problem übereinstimmen dürfte... nur keine Lösung!
     
    Nata, Jul 17, 2005
    #10
  11. Winnie The Pooh

    Winnie The Pooh Viertel Gigabyte

    Hast du Antivir mal upgedatet und einen neuen Scan gemacht?
     
    Winnie The Pooh, Jul 17, 2005
    #11
  12. Nata

    Nata Guest

    Ja, die antivir.vdf ist von gestern Nachmittag und der restliche Teile dürfte nun so an die 2-3Wochen alt sein.
     
    Nata, Jul 17, 2005
    #12
  13. mash4077

    mash4077 Byte

    Hi!

    Ich hab das gleiche Problem, seit heute Zeigt Antivir mir die Meldungen an, die es auch NAta angezeigt hat.
     
    mash4077, Jul 20, 2005
    #13
  14. mash4077

    mash4077 Byte

    Hier ist meine Log
    Logfile of HijackThis v1.99.0 (gewesen) :D -Ace-
     
    mash4077, Jul 20, 2005
    #14
  15. mash4077

    mash4077 Byte

    Sbybot und aktueller NAtivir Scan waren negativ.
    Xsoft hat
    Evrad; TWaintec; Northcode/IBIS und Vendor/agent.fl gefunden. Jedoch kein Graybird!?
     
    mash4077, Jul 20, 2005
    #15
  16. Winnie The Pooh

    Winnie The Pooh Viertel Gigabyte

    Die automatische Auswertung hat folgendes ergeben:

    Aktuelle Version von HJT benutzen! http://www.hijackthis.de/downloads/hijackthis_199.zip
    ____________________________________

    O9 - Extra button: MedionShop - {36AF14E3-8E6A-413E-A01F-360900AD6802} - http://www.medionshop.de (file missing) (HKCU)

    Unbekannte Buttons oder Einträge im Menü 'Extras' immer mit HijackThis fixen.

    Unnötiger (unwirksamer) Eintrag, der entfernt werden kann.
    ____________________________________

    O17 - HKLM\System\CCS\Services\Tcpip\..\{33AB755A-AFE1-4897-8772-792F203964BD}: NameServer = 128.176.0.12 128.176.0.13

    Wenn die hier angegebene Domäne nicht zum ISP, bzw. des Firmen-Netzwerks ist, sollte dieser Eintrag mit HijackThis gefixt werden. Das Gleiche gilt für die 'SearchList'-Einträge (Suchlisten-Einträge)

    Kennen Sie die IP oder die Domäne '128.176.0.12 128.176.0.13' nicht, fixen.
    ____________________________________

    Die IP stammt von der Uni Münster.
     
    Winnie The Pooh, Jul 20, 2005
    #16
  17. mash4077

    mash4077 Byte

    Danke: (Ich versteh bloß nicht alles)
    Hier ist ne Logfile mit dem neuen HJT

    (gewesen) :D -Ace-

    HAb mein Laptop noch mit dem PC verbunden via Netzerk. Der hat ebenfalls die Probleme.
     
    mash4077, Jul 20, 2005
    #17
  18. mash4077

    mash4077 Byte

    Irgendwas beunruhigendes zu sehn. Ich erkenne ja noch weniger bei den ganzen Zahlen und Buchstaben als aufm Ultraschallbild ;)
    Was ist eigentlich Fixen??
     
    mash4077, Jul 20, 2005
    #18
  19. Winnie The Pooh

    Winnie The Pooh Viertel Gigabyte

    Winnie The Pooh, Jul 20, 2005
    #19
  20. mash4077

    mash4077 Byte

    Warum darf die hier nicht gepostet werden?
     
    mash4077, Jul 20, 2005
    #20
Page 1 of 2
Thread Status:
Not open for further replies.

Share This Page