1. Liebe Forumsgemeinde,

    aufgrund der Bestimmungen, die sich aus der DSGVO ergeben, müssten umfangreiche Anpassungen am Forum vorgenommen werden, die sich für uns nicht wirtschaftlich abbilden lassen. Daher haben wir uns entschlossen, das Forum in seiner aktuellen Form zu archivieren und online bereit zu stellen, jedoch keine Neuanmeldungen oder neuen Kommentare mehr zuzulassen. So ist sichergestellt, dass das gesammelte Wissen nicht verloren geht, und wir die Seite dennoch DSGVO-konform zur Verfügung stellen können.
    Dies wird in den nächsten Tagen umgesetzt.

    Ich danke allen, die sich in den letzten Jahren für Hilfesuchende und auch für das Forum selbst engagiert haben. Ich bin weiterhin für euch erreichbar unter tti(bei)pcwelt.de.
    Dismiss Notice

Hacker!!??

Discussion in 'Sicherheit' started by XmanowarX, Sep 19, 2008.

Thread Status:
Not open for further replies.
  1. XmanowarX

    XmanowarX Byte

    Hallo,

    als ich heute ein pc spiel starten wollte kamm die meldung, dass ein programm sich in mein spiel einklicken will... des hab ich dann auch verboten... und der ordne rin dem die datei drin war heiß:
    Prozess C:\Dokumente und Einstellungen\....\Lokale Einstellungen\Temp\~e5.0001 (PID: 240): Versuch zum Eindringen in einen anderen Prozess wurde blockiert.
    und in dem ordner waren datein wie zum. inet explorer und hiddenattack...
    als ich dann dachte das es ein hack angriff ist/wahr wollte ich emin system nochmal neu aufspielen, des hat aber irgentwie net geklappt und ich hab nur mein windows "repariert"
    als ich dann meinen pc neu gestartet habe kam die erste meldung:

    19.09.2008 13:48:53 Die Anwendung SVCHOST.EXE wurde verändert
    19.09.2008 13:49:13 Die Anwendung SVCHOST.EXE wurde verändert
    19.09.2008 13:49:14 Die Anwendung SVCHOST.EXE wurde verändert
    19.09.2008 13:49:15 Die Anwendung SVCHOST.EXE wurde verändert
    19.09.2008 13:49:16 Die Anwendung SVCHOST.EXE wurde verändert
    19.09.2008 13:49:16 Die Anwendung SVCHOST.EXE wurde verändert
    19.09.2008 13:49:17 Die Anwendung SVCHOST.EXE wurde verändert
    19.09.2008 13:49:17 Die Anwendung SVCHOST.EXE wurde verändert
    19.09.2008 13:49:18 Die Anwendung SVCHOST.EXE wurde verändert
    19.09.2008 13:49:22 Die Anwendung SVCHOST.EXE wurde verändert
    19.09.2008 13:49:22 Die Anwendung SVCHOST.EXE wurde verändert
    19.09.2008 13:49:31 Die Anwendung SVCHOST.EXE wurde verändert
    19.09.2008 13:51:41 Der Versuch von Prozess mit PID 2020 Zugriff auf den Prozess Kaspersky Security Suite CBE mit PID 836 zu erhalten wurde blockiert, weil der Selbstschutzmechanismus ausgelöst wurde.
    19.09.2008 13:54:59 Die Anwendung IEXPLORE.EXE wurde verändert
    19.09.2008 13:55:02 Die Anwendung SVCHOST.EXE wurde verändert
    19.09.2008 13:58:25 Die Anwendung SVCHOST.EXE wurde verändert
    19.09.2008 13:58:56 Die Anwendung SVCHOST.EXE wurde verändert
    19.09.2008 13:58:57 Die Anwendung SVCHOST.EXE wurde verändert
    19.09.2008 13:58:58 Die Anwendung SVCHOST.EXE wurde verändert
    19.09.2008 14:01:16 Die Anwendung SVCHOST.EXE wurde verändert
    19.09.2008 14:06:29 Die Anwendung IEXPLORE.EXE wurde verändert
    19.09.2008 14:07:55 Die Anwendung SVCHOST.EXE wurde verändert
    19.09.2008 14:08:20 Die Anwendung SVCHOST.EXE wurde verändert
    19.09.2008 14:11:25 Die Anwendung SVCHOST.EXE wurde verändert
    19.09.2008 14:14:47 Die Anwendung SVCHOST.EXE wurde verändert
    19.09.2008 14:16:46 Die Anwendung SVCHOST.EXE wurde verändert
    19.09.2008 14:20:37 Der Versuch von Prozess mit PID 3984 Zugriff auf den Prozess Kaspersky Security Suite CBE mit PID 332 zu erhalten wurde blockiert, weil der Selbstschutzmechanismus ausgelöst wurde.
    19.09.2008 14:20:38 Der Versuch von Prozess mit PID 1448 Zugriff auf den Prozess Kaspersky Security Suite CBE mit PID 332 zu erhalten wurde blockiert, weil der Selbstschutzmechanismus ausgelöst wurde.
    19.09.2008 14:22:19 Die Anwendung SVCHOST.EXE wurde verändert
    19.09.2008 14:24:30 Die Anwendung SVCHOST.EXE wurde verändert
    19.09.2008 14:39:07 Die Verbindung, die von der Anwendung
    19.09.2008 14:39:31 Schutz des Computers ist aktiv.

    ( ich hab kaspersky)

    was soll ich jetzt tun??


    mfg
     
    XmanowarX, Sep 19, 2008
    #1
  2. deoroller

    deoroller Wandelndes Forum

    Kaspersky macht da wohl die Pferde scheu.
    svchost.exe wird ständig verändert, weil sie Systemprozesse verwaltet.
    Die Datei gibt es auch mehrmals als Prozess.
    Das nächste mal kannst du mal im Taskmanager gucken, welcher Prozess genau hinter der PID steckt. http://de.wikipedia.org/wiki/Prozess_ID
    Informativer als der Taskmanager ist Process Explorer.
    http://technet.microsoft.com/de-de/sysinternals/bb896653.aspx

    Im Kaspersky Forum kann man darüber auch etwas lesen
    http://forum.kaspersky.com/index.php?showtopic=50050
     
    deoroller, Sep 19, 2008
    #2
  3. XmanowarX

    XmanowarX Byte

    dankeschön erstmal...

    aber was ist mit dem archiv hiddenattack???
     
    XmanowarX, Sep 19, 2008
    #3
  4. deoroller

    deoroller Wandelndes Forum

    deoroller, Sep 19, 2008
    #4
  5. XmanowarX

    XmanowarX Byte

    also...
    die ham jetzt erstmal nichts gefunden!!...
    was soll ich jetzt tun...
    weil ich bin mir garrantiert sicher,
    das ich nie eine datei namens hiddenattack runtergeladen hab...
    und immer wenn ich bestimmte (immer unterschiedliche) prozess starte wird des in den besagten temp ordner reinkopiert...

    also ich könntee alle datein löschen die in dem ordner sich, bis auf
    jetba5a.tmp wenn ikch die löschen will kommt das die datei ein laufender prozess ist und somit nicht zum löschen geht..
    aber in eminem taskmanager steht nichts von so einer datei!!!
     
    Last edited: Sep 19, 2008
    XmanowarX, Sep 19, 2008
    #5
  6. deoroller

    deoroller Wandelndes Forum

    Mach mal bitte ein Hijackthis-Log. [​IMG]
    Die Datei wird im Anhang hoch geladen!
     
    deoroller, Sep 19, 2008
    #6
  7. XmanowarX

    XmanowarX Byte

    der hjyacklog
     

    Attached Files:

    XmanowarX, Sep 19, 2008
    #7
  8. deoroller

    deoroller Wandelndes Forum

    Schädlinge sehe ich das keine.

    Du kannst mal alle Temporären Dateien löschen inkl. des "archiv hiddenattack".
    http://forum.hijackthis.de/showthread.php?t=22182
    "archiv hiddenattack" mal woanders sichern, falls es ein Bestandteil des Spiels ist und dann als fehlend gemeldet wird.
    Und dann das Spiel noch mal starten und gucken was passiert. Wenn Kaspersky dann wieder etwas meldet, kannst du das Spiel in die vertraunenswürdige Zone übernehmen, damit es spielbar ist.
    Oder ist das Spiel kein Original? Dann könnte es absichtlich manipuliert wurden sein.
     
    deoroller, Sep 19, 2008
    #8
  9. XmanowarX

    XmanowarX Byte

    also...vielen DANK

    des spiel funkt jetzt zeigt zwar imme rnoch die meldung an , aber es funkt!!

    aber in dem temp ordner sind immer noch versch. detein mit der endung .tmp und die kann ich ent löschen...
    und es kommen auch imme rnoch neue datein hinzu wo ich keine ahnung hab wo die herkommen!!!

    ich hab jetzt mal versucht die dat mit nem extra programm zu löschen es geht zwar dann aber ines ist icq und die anere dartei firefox teil...
    und wenn ich dann den temp ordner wiede röffne sind se wieder da!
     
    Last edited: Sep 19, 2008
    XmanowarX, Sep 19, 2008
    #9
  10. XmanowarX

    XmanowarX Byte

    was mir auch noch sorgen macht ist das:

    19.09.2008 18:03:22 Der Versuch von Prozess mit PID 2272 Zugriff auf den Prozess Kaspersky Security Suite CBE mit PID 1992 zu erhalten wurde blockiert, weil der Selbstschutzmechanismus ausgelöst wurde.
    19.09.2008 18:03:22 Der Versuch von Prozess mit PID 2272 Zugriff auf den Prozess Kaspersky Security Suite CBE mit PID 1088 zu erhalten wurde blockiert, weil der Selbstschutzmechanismus ausgelöst wurde.
    19.09.2008 18:04:54 Der Versuch von Prozess mit PID 3040 Zugriff auf den Prozess Kaspersky Security Suite CBE mit PID 1992 zu erhalten wurde blockiert, weil der Selbstschutzmechanismus ausgelöst wurde.
    19.09.2008 18:04:54 Der Versuch von Prozess mit PID 3040 Zugriff auf den Prozess Kaspersky Security Suite CBE mit PID 1088 zu erhalten wurde blockiert, weil der Selbstschutzmechanismus ausgelöst wurde.
    19.09.2008 18:05:04 Der Versuch von Prozess mit PID 616 Zugriff auf den Prozess Kaspersky Security Suite CBE mit PID 1992 zu erhalten wurde blockiert, weil der Selbstschutzmechanismus ausgelöst wurde.
    19.09.2008 18:05:04 Der Versuch von Prozess mit PID 616 Zugriff auf den Prozess Kaspersky Security Suite CBE mit PID 1088 zu erhalten wurde blockiert, weil der Selbstschutzmechanismus ausgelöst wurde.
    19.09.2008 18:05:31 Der Versuch von Prozess mit PID 2580 Zugriff auf den Prozess Kaspersky Security Suite CBE mit PID 1992 zu erhalten wurde blockiert, weil der Selbstschutzmechanismus ausgelöst wurde.
    19.09.2008 18:05:31 Der Versuch von Prozess mit PID 2580 Zugriff auf den Prozess Kaspersky Security Suite CBE mit PID 1088 zu erhalten wurde blockiert, weil der Selbstschutzmechanismus ausgelöst wurde.
    19.09.2008 18:05:34 Der Versuch von Prozess mit PID 3496 Zugriff auf den Prozess Kaspersky Security Suite CBE mit PID 1992 zu erhalten wurde blockiert, weil der Selbstschutzmechanismus ausgelöst wurde.
    19.09.2008 18:05:34 Der Versuch von Prozess mit PID 3496 Zugriff auf den Prozess Kaspersky Security Suite CBE mit PID 1088 zu erhalten wurde blockiert, weil der Selbstschutzmechanismus ausgelöst wurde.
    19.09.2008 18:05:44 Der Versuch von Prozess mit PID 3268 Zugriff auf den Prozess Kaspersky Security Suite CBE mit PID 1992 zu erhalten wurde blockiert, weil der Selbstschutzmechanismus ausgelöst wurde.
    19.09.2008 18:05:44 Der Versuch von Prozess mit PID 3268 Zugriff auf den Prozess Kaspersky Security Suite CBE mit PID 1088 zu erhalten wurde blockiert, weil der Selbstschutzmechanismus ausgelöst wurde.
    19.09.2008 18:06:04 Datei C:\Programme\ICQ6\ConfigFiles\TopSearches.7z//TopSearches.xml: kennwortgeschützt.
    19.09.2008 18:06:04 Datei C:\Programme\ICQ6\ConfigFiles\TopSearchesDe.7z//TopSearchesDe.xml: kennwortgeschützt.
    19.09.2008 18:06:37 Der Versuch von Prozess mit PID 1852 Zugriff auf den Prozess Kaspersky Security Suite CBE mit PID 1992 zu erhalten wurde blockiert, weil der Selbstschutzmechanismus ausgelöst wurde.
    19.09.2008 18:06:37 Der Versuch von Prozess mit PID 1852 Zugriff auf den Prozess Kaspersky Security Suite CBE mit PID 1088 zu erhalten wurde blockiert, weil der Selbstschutzmechanismus ausgelöst wurde.
    19.09.2008 18:06:43 Der Versuch von Prozess mit PID 1220 Zugriff auf den Prozess Kaspersky Security Suite CBE mit PID 1992 zu erhalten wurde blockiert, weil der Selbstschutzmechanismus ausgelöst wurde.
    19.09.2008 18:06:43 Der Versuch von Prozess mit PID 1220 Zugriff auf den Prozess Kaspersky Security Suite CBE mit PID 1088 zu erhalten wurde blockiert, weil der Selbstschutzmechanismus ausgelöst wurde.
    19.09.2008 18:12:44 Der Versuch von Prozess mit PID 1924 Zugriff auf den Prozess Kaspersky Security Suite CBE mit PID 1992 zu erhalten wurde blockiert, weil der Selbstschutzmechanismus ausgelöst wurde.
    19.09.2008 18:12:44 Der Versuch von Prozess mit PID 1924 Zugriff auf den Prozess Kaspersky Security Suite CBE mit PID 1088 zu erhalten wurde blockiert, weil der Selbstschutzmechanismus ausgelöst wurde.
    19.09.2008 18:12:52 Der Versuch von Prozess mit PID 1744 Zugriff auf den Prozess Kasper

    ist das normal?
     
    XmanowarX, Sep 19, 2008
    #10
  11. deoroller

    deoroller Wandelndes Forum

    deoroller, Sep 19, 2008
    #11
  12. derstille

    derstille Byte

    Die aktuelle Version ist 2.0.2
     
    derstille, Sep 19, 2008
    #12
  13. XmanowarX

    XmanowarX Byte

    so...
    ich hab heute nochmal mein kaspersky durch mein system gejagt,
    diesesmal auf höchster stufe!
    UND es hat den trojaner

    trojanisches Programm Trojan-PSW.Win32.IMMultiPass.ul
    c:\windows\standart stealer.exe 728,6 KB
    gefunden!!
    und konnte den löschen!!! soweit noch alles ok... aber jetzt hab ich nochmals in den temp ordner gekuckt und hab diese narrichten gefunden( im anhang)
    da steht das da irgentwas gedownloadet wird...
     

    Attached Files:

    Last edited: Sep 20, 2008
    XmanowarX, Sep 20, 2008
    #13
  14. deoroller

    deoroller Wandelndes Forum

    Von Adparatus gibt es ein BHO (Browser Helper Objekt) für den IE, mit dem gezielt Werbung eingespielt wird. So eins habe ich aber nicht im HijackThis-Log gesehen.
    Das sieht so aus:
    Code:
    O2 - BHO: Adparatus - {8B2C7C9D-716D-4e9e-9358-B9C80A81B7ED} - C:\Programme\Adparatus\Adparatus.dll
     
    deoroller, Sep 20, 2008
    #14
  15. XmanowarX

    XmanowarX Byte

    mhm...
    kann mir des gefährlioch werden?

    mein hijacklog hat des aber nicht gefunden..habs nochmal geskennt
     
    Last edited: Sep 20, 2008
    XmanowarX, Sep 20, 2008
    #15
  16. XmanowarX

    XmanowarX Byte

    mhm ich post nochmal den enuen hijacklog
     

    Attached Files:

    XmanowarX, Sep 20, 2008
    #16
  17. derstille

    derstille Byte

    derstille, Sep 20, 2008
    #17
  18. XmanowarX

    XmanowarX Byte

    so jetzt nochmal den neuuen Hijackthis-Log

    aber ioch find imme rnoch nicht die datei
     

    Attached Files:

    XmanowarX, Sep 20, 2008
    #18
  19. deoroller

    deoroller Wandelndes Forum

    deoroller, Sep 20, 2008
    #19
  20. XmanowarX

    XmanowarX Byte

    DANKE!!!
    Ich glaube jetzt ist alles wieder in ordnung!!!
     
    XmanowarX, Sep 20, 2008
    #20
Thread Status:
Not open for further replies.

Share This Page