Brauche dringend Hilfe wegen PC Angriff

[andreamth]

Hallo,
ich hoffe hier kann mir wer helfen der sich wirklich auskennt. Ich habe hier ein riesiges Problem, eigentlich schon seit mehreren Jahren. Auf meinen PC wird ständig von außen zugegriffen und egal wie oft der PC komplett neu aufgesetzt wird, es dauer nie lange und wieder muss etwas auf dem Rechner sein. Es werden ständig e mail konten geknackt und durchsucht, ständig werden Passwörter von irgendwelchen Seiten wo ich angemeldet bin rausgefunden und sogar Texte werden geändert die ich geschrieben habe. Vor kurzem is sogar alles was in meinem outlock war weg gewesen.
Jetzt letzten Mittwoch ist es nun doch zuweit gegangen. Von meinem Bankkonto wurde mein ganzes Geld auf ein onlinecasino mittels eps überweisung transferiert. Ich habe keine Ahnung wie wer an meine Tans gekommen ist oder wie so etwas möglich ist, aber es ist geschehen. Natürlich habe ich am Freitag wie ich das bemerkt habe sofort bei der Bank angerufen, aber nachdem sie mir bestätigt haben, dass die Ligindaten und die Tans korrekt waren, ist die Bank nicht schuld. Ein Sicherheitscheck von der BAnk hat keinen Betrug feststellen können. Also habe ich mich an das onlinecasino gewandt. Das Geld ist auf mein eigenes Benutzerkonto transferiert worden (sollte wohl so aussehen als ob ich es selbst verzockt habe). Das erschreckende dabei ist dass ich die IP Adrese von dem Pc bekommen habe, von dem aus dort gespielt wurde. Es ist meine eigene, wie mir mein Anbieter mitteilte. Das ganze hat um 18:50 begonnen, wobei ich meinen PC aber erst um ca. 19:20 eingemacht habe.
Ich habe natürlich Anzeige erstattet aber nachdem ich bereits vor 4 Jahren schon mal bei der Kripo meinen damaligen Laptop abgegeben habe weil damals schon Passwörter von meinem Lebensgefährten geknackt wurden und wir damals schon ständig belästigt wurden, ist das mit der Kripo so eine Sache. da,als hat es geheissen dass alles von meiner IP gemacht wurde und auf meiner Festplatte drauf war. Die haben keine andere Lösung gefunden und somit ist die Anzeige damals zurückgezogen worden. Auf meinem Laptop haben die auch keine Viren gefunden. Jetzt habe ich nun wieder das Problem dass etwas über meine IP passiert ist und ich keine Ahnung habe wie soetwas passieren kann. Ich habe meinen PC mit Antivir geschützt und habe ihn auch online prüfen lassen. Nichts wird da gefunden. Es wurden nun auch Waren bestellt und mir zugestellt. Bei einem Versandhaus habe ich eine andere IP bekommen mit der bestellt wurde, bei dem anderen warte ich noch.
Bitte kann mir wer sagen wie es möglich sein kann dass jemand mit meiner IP bzw. von meinem PC solche Sachen macht und wie ich einen Beweis finden kann. Außer mir war auch keiner zuhause und somit hat auch keiner an meinen PC gekonnt. Als Provider habe ich inode.at und mein Stand PC wird mit einem Router, der bei mir in der Wohnung steht betrieben. Ich habe den Router auch als Sicheres Netzwerk laufen.
Bitte wenn sich da wer auskennt, ich brauche dringend Hilfe damit ich mir nicht wieder anhören muss dass es keine Möglichkeit gibt dass man soetwas machen kann, denn die muß es geben weil ich es nicht war.
Bitte bitte also dringend um HIlfe.
lg
andrea

[markusg]

also fangen wir erst mal mit dem logischsten an, hat noch wer außer dir zugang zum pc? einen wohnungsschlüssel etc.
kennt jemand deine kontodaten?
nutzt du wlan oder lan?
wenn wlan ist es verschlüsselt? welche Art der Verschlüsselung wird verwendet?
schon mal den router auf werkseinstellungen zurückgesetzt und ein neues passwort vergeben?

Download gmer:
GMER - Rootkit Detector and Remover
Führe das Programm aus, aktiviere auf dem tap rootkits alles, trenne die internetverbindung, also wlan aus, bzw netzwerkkabel raus. Scan starten nichts am pc machen, log posten.

[Kato Fuji]

So dringend scheint es ja doch nicht zu sein...

[andreamth]

hallo, ich habe das mit dem Programm probiert aber nach ungefähr 2 Minuten geht das nicht mehr, da kommt die Meldung ...Das Programm wird aufgrund eines Fehlers nicht richtig ausgeführt...
dann ist bei beiden Versuchen der PC abgestürzt
Meine Logindaten habe ich niemanden gegeben
Zu meinem PC kann natürlich mein Lebensgefährte aber der war nicht zu hause und er wird genauso wie ich ausspioniert und belästigt.
Meine Kontodaten hat auch niemand und schon gar nicht die Tans, wobei diese bei meiner Bank leider im normalen Kuvert ohne Unterschrift oder so geschickt werden.
Ich habe wlan und das ist gesichert, auf die Frage wie kann ich nicht antworten da ich keine Ahnung habe was gemeint ist und wo ich das herausfeinden kann.
Ich bin vor einem Jahr umgezogen und habe einen komplett neuen Anbieter und einen neuen Router bekommen und es hat nicht lange gedauert und alles hat wieder begonnen.
Und im übrigen es ist sehr wichtig aber ich kann schlecht nicht arbeiten nur weil ich zu hause am PC auf Antwort warten muß.
Gibt es noch so ein Programm das ich durchführen kann?
danke

[markusg]

will mal sehen, wie aktuell dein system ist:
HijackThis - Download - CHIP Online
downloaden, instalieren, log posten.
du müsstest es eig im router konfigurations menü sehen können, welche art der verschlüsselung genutzt wird. oder sag uns mal den typ.
Radix Anti-Rootkit 1.0.0.9 Englisch, Download bei heise
versuch mal diesen rootkit scanner, log evtl. anhängen, wenn meldungen während des scans auftauchen, deren text hier posten.

[andreamth]

Logfile of Trend Micro HijackThis v2.0.2
Scan saved at 13:31:16, on 24.12.2009
Platform: Windows Vista SP2 (WinNT 6.00.1906)
MSIE: Internet Explorer v8.00 (8.00.6001.18865)
Boot mode: Normal
Running processes:
C:\Windows\system32\Dwm.exe
C:\Windows\system32\taskeng.exe
C:\Windows\Explorer.EXE
C:\Program Files\Windows Defender\MSASCui.exe
C:\Windows\RtHDVCpl.exe
C:\Program Files\HomeCinema\PowerDVD\PDVDServ.exe
C:\Program Files\Nero\Nero8\Nero BackItUp\NBKeyScan.exe
C:\Program Files\Common Files\Ulead Systems\AutoDetector\Monitor.exe
C:\Windows\System32\wpcumi.exe
C:\Windows\System32\rundll32.exe
C:\Program Files\Avira\AntiVir Desktop\avgnt.exe
C:\Program Files\Java\jre6\bin\jusched.exe
C:\Windows\System32\rundll32.exe
C:\Program Files\iTunes\iTunesHelper.exe
C:\Program Files\Adobe\Reader 9.0\Reader\reader_sl.exe
C:\Program Files\Windows Sidebar\sidebar.exe
C:\Windows\ehome\ehtray.exe
C:\Program Files\Sony Ericsson\Sony Ericsson PC Suite\SEPCSuite.exe
C:\Windows\ehome\ehmsas.exe
C:\Program Files\Windows Media Player\wmpnscfg.exe
C:\Program Files\Windows Sidebar\sidebar.exe
C:\PROGRA~1\MICROS~2\OFFICE11\OUTLOOK.EXE
C:\Program Files\Microsoft Office\OFFICE11\WINWORD.EXE
C:\Program Files\Internet Explorer\iexplore.exe
C:\Program Files\Internet Explorer\iexplore.exe
C:\Windows\system32\Macromed\Flash\FlashUtil10d.exe
C:\Windows\system32\SearchFilterHost.exe
C:\Windows\system32\SearchProtocolHost.exe
C:\Program Files\Trend Micro\HijackThis\HijackThis.exe
C:\Windows\system32\DllHost.exe
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = Bing
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = Google
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = MSN.com
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = Bing
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = Bing
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = MSN.com
R0 - HKLM\Software\Microsoft\Internet Explorer\Search,SearchAssistant =
R0 - HKLM\Software\Microsoft\Internet Explorer\Search,CustomizeSearch =
R1 - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings,ProxyOverride = *.local;localhost
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName =
O1 - Hosts: ::1 localhost
O2 - BHO: AcroIEHelperStub - {18DF081C-E8AD-4283-A596-FA578C2EBDC3} - C:\Program Files\Common Files\Adobe\Acrobat\ActiveX\AcroIEHelperShim.dll
O2 - BHO: RealPlayer Download and Record Plugin for Internet Explorer - {3049C3E9-B461-4BC5-8870-4C09146192CA} - C:\Program Files\Real\RealPlayer\rpbrowserrecordplugin.dll
O2 - BHO: Google Toolbar Notifier BHO - {AF69DE43-7D58-4638-B6FA-CE66B5AD205D} - C:\Program Files\Google\GoogleToolbarNotifier\5.2.4204.1700\swg.dll
O2 - BHO: Java(tm) Plug-In 2 SSV Helper - {DBC80044-A445-435b-BC74-9C25C1C588A9} - C:\Program Files\Java\jre6\bin\jp2ssv.dll
O4 - HKLM\..\Run: [Windows Defender] %ProgramFiles%\Windows Defender\MSASCui.exe -hide
O4 - HKLM\..\Run: [RtHDVCpl] RtHDVCpl.exe
O4 - HKLM\..\Run: [Skytel] Skytel.exe
O4 - HKLM\..\Run: [RemoteControl] "C:\Program Files\HomeCinema\PowerDVD\PDVDServ.exe"
O4 - HKLM\..\Run: [LanguageShortcut] "C:\Program Files\HomeCinema\PowerDVD\Language\Language.exe"
O4 - HKLM\..\Run: [UpdatePPShortCut] "C:\Program Files\HomeCinema\PowerProducer\MUITransfer\MUIStartMenu.exe" "C:\Program Files\HomeCinema\PowerProducer" update "Software\CyberLink\PowerProducer\4.0"
O4 - HKLM\..\Run: [NBKeyScan] "C:\Program Files\Nero\Nero8\Nero BackItUp\NBKeyScan.exe"
O4 - HKLM\..\Run: [Ulead AutoDetector v2] C:\Program Files\Common Files\Ulead Systems\AutoDetector\monitor.exe
O4 - HKLM\..\Run: [NeroFilterCheck] C:\Program Files\Common Files\Nero\Lib\NeroCheck.exe
O4 - HKLM\..\Run: [WPCUMI] C:\Windows\system32\WpcUmi.exe
O4 - HKLM\..\Run: [NvSvc] RUNDLL32.EXE C:\Windows\system32\nvsvc.dll,nvsvcStart
O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\Windows\system32\NvCpl.dll,NvStartup
O4 - HKLM\..\Run: [NvMediaCenter] RUNDLL32.EXE C:\Windows\system32\NvMcTray.dll,NvTaskbarInit
O4 - HKLM\..\Run: [TkBellExe] "C:\Program Files\Common Files\Real\Update_OB\realsched.exe" -osboot
O4 - HKLM\..\Run: [avgnt] "C:\Program Files\Avira\AntiVir Desktop\avgnt.exe" /min
O4 - HKLM\..\Run: [SunJavaUpdateSched] "C:\Program Files\Java\jre6\bin\jusched.exe"
O4 - HKLM\..\Run: [QuickTime Task] "C:\Program Files\QuickTime\QTTask.exe" -atboottime
O4 - HKLM\..\Run: [iTunesHelper] "C:\Program Files\iTunes\iTunesHelper.exe"
O4 - HKLM\..\Run: [Adobe Reader Speed Launcher] "C:\Program Files\Adobe\Reader 9.0\Reader\Reader_sl.exe"
O4 - HKLM\..\Run: [Adobe ARM] "C:\Program Files\Common Files\Adobe\ARM\1.0\AdobeARM.exe"
O4 - HKCU\..\Run: [Sidebar] C:\Program Files\Windows Sidebar\sidebar.exe /autoRun
O4 - HKCU\..\Run: [ehTray.exe] C:\Windows\ehome\ehTray.exe
O4 - HKCU\..\Run: [Sony Ericsson PC Suite] "C:\Program Files\Sony Ericsson\Sony Ericsson PC Suite\SEPCSuite.exe" /systray /nologon
O4 - HKCU\..\Run: [WMPNSCFG] C:\Program Files\Windows Media Player\WMPNSCFG.exe
O4 - HKUS\S-1-5-19\..\Run: [Sidebar] %ProgramFiles%\Windows Sidebar\Sidebar.exe /detectMem (User 'LOKALER DIENST')
O4 - HKUS\S-1-5-19\..\Run: [WindowsWelcomeCenter] rundll32.exe oobefldr.dll,ShowWelcomeCenter (User 'LOKALER DIENST')
O4 - HKUS\S-1-5-20\..\Run: [Sidebar] %ProgramFiles%\Windows Sidebar\Sidebar.exe /detectMem (User 'NETZWERKDIENST')
O8 - Extra context menu item: Nach Microsoft &Excel exportieren - res://C:\PROGRA~1\MICROS~2\OFFICE11\EXCEL.EXE/3000
O9 - Extra button: Recherchieren - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - C:\PROGRA~1\MICROS~2\OFFICE11\REFIEBAR.DLL
O10 - Unknown file in Winsock LSP: c:\windows\system32\wpclsp.dll
O10 - Unknown file in Winsock LSP: c:\windows\system32\wpclsp.dll
O10 - Unknown file in Winsock LSP: c:\windows\system32\wpclsp.dll
O10 - Unknown file in Winsock LSP: c:\windows\system32\wpclsp.dll
O10 - Unknown file in Winsock LSP: c:\windows\system32\wpclsp.dll
O10 - Unknown file in Winsock LSP: c:\windows\system32\wpclsp.dll
O10 - Unknown file in Winsock LSP: c:\windows\system32\wpclsp.dll
O10 - Unknown file in Winsock LSP: c:\windows\system32\wpclsp.dll
O10 - Unknown file in Winsock LSP: c:\windows\system32\wpclsp.dll
O13 - Gopher Prefix:
O16 - DPF: {22492231-AEF0-49FC-9180-CE8969AB1273} (F-Secure Online Scanner Launcher) - http://download.sp.f-secure.com/ols/...fslauncher.cab
O16 - DPF: {3860DD98-0549-4D50-AA72-5D17D200EE10} (Windows Live OneCare safety scanner control) - http://cdn.scan.onecare.live.com/res.../wlscctrl2.cab
O16 - DPF: {D27CDB6E-AE6D-11CF-96B8-444553540000} (Shockwave Flash Object) - http://fpdownload2.macromedia.com/ge...sh/swflash.cab
O16 - DPF: {E2883E8F-472F-4FB0-9522-AC9BF37916A7} - http://platformdl.adobe.com/NOS/getPlusPlus/1.6/gp.cab
O16 - DPF: {F7EDBBEA-1AD2-4EBF-AA07-D453CC29EE65} (Flash Casino Helper Control) - https://plugins.valueactive.eu/flashax/iefax.cab
O23 - Service: Avira AntiVir Planer (AntiVirSchedulerService) - Avira GmbH - C:\Program Files\Avira\AntiVir Desktop\sched.exe
O23 - Service: Avira AntiVir Guard (AntiVirService) - Avira GmbH - C:\Program Files\Avira\AntiVir Desktop\avguard.exe
O23 - Service: Apple Mobile Device - Apple Inc. - C:\Program Files\Common Files\Apple\Mobile Device Support\bin\AppleMobileDeviceService.exe
O23 - Service: Bonjour-Dienst (Bonjour Service) - Apple Inc. - C:\Program Files\Bonjour\mDNSResponder.exe
O23 - Service: Google Update Service (gupdate1ca3126853d88ce) (gupdate1ca3126853d88ce) - Google Inc. - C:\Program Files\Google\Update\GoogleUpdate.exe
O23 - Service: Google Software Updater (gusvc) - Google - C:\Program Files\Google\Common\Google Updater\GoogleUpdaterService.exe
O23 - Service: iPod-Dienst (iPod Service) - Apple Inc. - C:\Program Files\iPod\bin\iPodService.exe
O23 - Service: Nero BackItUp Scheduler 3 - Nero AG - C:\Program Files\Nero\Nero8\Nero BackItUp\NBService.exe
O23 - Service: NMIndexingService - Nero AG - C:\Program Files\Common Files\Nero\Lib\NMIndexingService.exe
O23 - Service: Cyberlink RichVideo Service(CRVS) (RichVideo) - Unknown owner - C:\Program Files\CyberLink\Shared Files\RichVideo.exe
O23 - Service: X10 Device Network Service (x10nets) - X10 - C:\PROGRA~1\COMMON~1\X10\Common\x10nets.exe
--
End of file - 8615 bytes

[markusg]

ok, du hast vista, versuch doch noch mal gmer, diesmal mit rechtsklick und als admin ausführen.
hast du seit dem ersten auftreten des problems, bis jetzt, immer den selben pc genutzt? sind deine programme etc alle aus seriöser quelle? original cds? nutzt du ein backup, oder machst du den rechner komplett neu? werden externe datenträger genutzt?

[andreamth]

Ich habe vorher einen Laptop gehabt jetzt haben wir einen Stand PC seit 2 Jahren und der ist vor kurzem ganz neu aufgesetzt worden also der war total leer und alles ist neu gemacht worden und nur mit originalprogrammen.
Das Programm funktioniert nicht, nach kurzem stoppt es und dann fährt der Rechner runter. Und das andere Programm ist nicht kostenlos,d a steht nur jetzt kaufen.
Ich bin leider am PC nicht sehr bewandelt und hab keine Ahnung warum der das Programm nicht vollendet.

[markusg]

http://www.usec.at/downloads3/radix_installer.zip
da ist es. bitte rechtsklick, als admin ausführen wählen.
also, werden externe datenträger genutzt? also externe festplatten zb.

[andreamth]

Tja das macht er mir auch nicht auf mit der Meldung ...Programm kann nicht ausgeführt werden...

[markusg]

mit rechtsklick als admin ausführen probiert?

[andreamth]

Ja, aber sobald der download startet sagt er mir das dass Programm nicht funktioniert

[markusg]

Cureit! von Dr.WEB - Spyware Hilfe
das funktioniert aber, bitte lasse aber, anders als beschrieben, die heuristik eingeschalten.

[andreamth]

Sorry das es so lange gedauert hat aber erst war der Weihnachtstag und dann hat dieses Programm 2 Tage lang gesucht und gebraucht, ich hoffe das passt jetzt so...


4b5fd12f.qua\data001C:\Documents and Settings\All Users\Anwendungsdaten\Avira\AntiVir Desktop\INFECTED\4b5fd12f.quaTool.PassView4b5fd12f.quaC:\Documents and Settings\All Users\Anwendungsdaten\Avira\AntiVir Desktop\INFECTEDContainer enthält infizierte ObjekteVerschoben.4b90d0de.qua\data001C:\Documents and Settings\All Users\Anwendungsdaten\Avira\AntiVir Desktop\INFECTED\4b90d0de.quaTool.DialupPass4b90d0de.quaC:\Documents and Settings\All Users\Anwendungsdaten\Avira\AntiVir Desktop\INFECTEDContainer enthält infizierte ObjekteVerschoben.ShowMyPCPremium.exe\wm_hooks.dllC:\Documents and Settings\All Users\Anwendungsdaten\PX24 Sendersoftware\remote\ShowMyPCPremium.exeProgram.RemoteAdminShowMyPCPremium.exe\VNCHooks.dllC:\Documents and Settings\All Users\Anwendungsdaten\PX24 Sendersoftware\remote\ShowMyPCPremium.exeProgram.RemoteAdminShowMyPCPremium.exe\vncultra.exeC:\Documents and Settings\All Users\Anwendungsdaten\PX24 Sendersoftware\remote\ShowMyPCPremium.exeProgram.RemoteAdmin.37ShowMyPCPremium.exeC:\Documents and Settings\All Users\Anwendungsdaten\PX24 Sendersoftware\remoteArchiv enthält infizierte ObjekteVerschoben.4b5fd12f.qua\data001C:\Documents and Settings\Andrea\DoctorWeb\Quarantine\4b5fd12f.quaTool.PassView4b5fd12f.quaC:\Documents and Settings\Andrea\DoctorWeb\QuarantineContainer enthält infizierte ObjekteVerschoben.4b90d0de.qua\data001C:\Documents and Settings\Andrea\DoctorWeb\Quarantine\4b90d0de.quaTool.DialupPass4b90d0de.quaC:\Documents and Settings\Andrea\DoctorWeb\QuarantineContainer enthält infizierte ObjekteVerschoben.ShowMyPCPremium.exe\wm_hooks.dllC:\Documents and Settings\Andrea\DoctorWeb\Quarantine\ShowMyPCPremium.exeProgram.RemoteAdminShowMyPCPremium.exe\VNCHooks.dllC:\Documents and Settings\Andrea\DoctorWeb\Quarantine\ShowMyPCPremium.exeProgram.RemoteAdminShowMyPCPremium.exe\vncultra.exeC:\Documents and Settings\Andrea\DoctorWeb\Quarantine\ShowMyPCPremium.exeProgram.RemoteAdmin.37ShowMyPCPremium.exeC:\Documents and Settings\Andrea\DoctorWeb\QuarantineArchiv enthält infizierte ObjekteVerschoben.4b5fd120.qua\data001C:\Dokumente und Einstellungen\Andrea\DoctorWeb\Quarantine\4b5fd120.quaTool.PassView4b5fd120.quaC:\Dokumente und Einstellungen\Andrea\DoctorWeb\QuarantineContainer enthält infizierte ObjekteVerschoben.4b90d0d0.qua\data001C:\Dokumente und Einstellungen\Andrea\DoctorWeb\Quarantine\4b90d0d0.quaTool.DialupPass4b90d0d0.quaC:\Dokumente und Einstellungen\Andrea\DoctorWeb\QuarantineContainer enthält infizierte ObjekteVerschoben.ShowMyPCPremiu0.exe\wm_hooks.dllC:\Dokumente und Einstellungen\Andrea\DoctorWeb\Quarantine\ShowMyPCPremiu0.exeProgram.RemoteAdminShowMyPCPremiu0.exe\VNCHooks.dllC:\Dokumente und Einstellungen\Andrea\DoctorWeb\Quarantine\ShowMyPCPremiu0.exeProgram.RemoteAdminShowMyPCPremiu0.exe\vncultra.exeC:\Dokumente und Einstellungen\Andrea\DoctorWeb\Quarantine\ShowMyPCPremiu0.exeProgram.RemoteAdmin.37ShowMyPCPremiu0.exeC:\Dokumente und Einstellungen\Andrea\DoctorWeb\QuarantineArchiv enthält infizierte ObjekteVerschoben.

[markusg]

hast du mit absicht remot tools verwendet? mit diesen könnte jemand auf deinen pc zugreifen.