"Sollte ich mir Sorgen machen?" oder "Kann man sicher sein schädlingsfrei zu sein?"

[Ancient]

"Sollte ich mir Sorgen machen?" oder "Kann man sicher sein schädlingsfrei zu sein?"

Hallo Technikforum.

Folgende Situation:
- Notebook mit Windows XP Service Pack 3 und aktuellen Windowsupdates
- Routerfirewall
- Softwarefirewall
- AVG Anti-Virus (free Version)

Als ich letztens meinen USB Stick anschloss meldete sich AVG, gefunden wurde ein Schädling namens "autorun.inf", der vom Programm aber _anscheinend_ entfernt werden konnte.

Ein anschließender Komplettscan nach Viren und ein Hijackthis-Log zeigten keine Auffälligkeiten (wobei ich beim Log mangels Erfahrung nicht sicher bin).

Am nächsten Morgen habe ich aber nach dem Hochfahren direkt eine Änderung am System festgestellt. Die Taskleiste war wieder im "Windows XP Stil", ich hatte sie vorher auf "klassisch" gestellt.
Dies lies sich wieder zurückändern.
Außerdem war das Windows-Soundschema wieder auf die Standardeinstellungen zurückgestellt. Der Windows Hoch- und Runterfahrsound waren wieder aktiviert (vorher ausgestellt), ebenso das nervige "Navigation starten" Klickgeräusch.
Dieses lässt sich _nicht_ mehr abstellen. Ich kann in den Soundoptionen in der Systemsteuerung zwar "nichts" für den jeweiligen Sound einstellen, nach übernehmen und okay ändert sicher aber nichts.

Diese Umstände veranlassen mich zur Sorge, da ich schon einmal vor längerer Zeit einen Schädling einem anderen Rechner hatte, der durch kein Programm erkannt wurde (inklusive AVG und Hijackthis). Kann man also irgendwie sichergehen, schädlingsfrei zu sein? Was kann ich noch tun? Alles falscher Alarm oder format c? Letzteres wäre leider ganz erheblicher Aufwand, würde ich also nur machen wenn ich anders nicht sichergehen kann, dass alles in Ordnung ist.

Zum Schluss noch mein Hijackthis-Log:

Logfile of Trend Micro HijackThis v2.0.2
Scan saved at 12:23:36, on 09.12.2009
Platform: Windows XP SP3 (WinNT 5.01.2600)
MSIE: Internet Explorer v8.00 (8.00.6001.18702)
Boot mode: Normal

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\Ati2evxx.exe
C:\WINDOWS\system32\svchost.exe
C:\Programme\Comodo\COMODO Internet Security\cmdagent.exe
C:\WINDOWS\system32\svchost.exe
C:\Programme\Intel Wireless\Bin\EvtEng.exe
C:\WINDOWS\system32\Ati2evxx.exe
C:\Programme\AVG9\avgchsvx.exe
C:\Programme\AVG9\avgrsx.exe
C:\Programme\Intel Wireless\Bin\S24EvMon.exe
C:\Programme\AVG9\avgcsrvx.exe
C:\WINDOWS\system32\spoolsv.exe
C:\WINDOWS\Explorer.EXE
C:\Programme\AVG9\avgwdsvc.exe
C:\WINDOWS\system32\o2flash.exe
C:\Programme\Intel Wireless\Bin\RegSrvc.exe
C:\Programme\Intel Wireless\bin\ZCfgSvc.exe
C:\Programme\Intel Wireless\Bin\ifrmewrk.exe
C:\Programme\Intel Wireless\Bin\EOUWiz.exe
C:\PROGRA~1\AVG9\avgtray.exe
C:\WINDOWS\RTHDCPL.EXE
C:\Programme\Comodo\COMODO Internet Security\cfp.exe
C:\Programme\Steganos Internet Trace Destructor 7\ITD7.exe
C:\Programme\AVG9\avgemc.exe
C:\Programme\AVG9\avgnsx.exe
C:\Programme\AVG9\avgcsrvx.exe
C:\PROGRA~1\INTELW~1\Bin\Dot1XCfg.exe
C:\Programme\Mozilla Firefox\firefox.exe
C:\Programme\HijackThis\HijackThis.exe

R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://go.microsoft.com/fwlink/?LinkId=69157
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://go.microsoft.com/fwlink/?LinkId=54896
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = http://go.microsoft.com/fwlink/?LinkId=54896
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = http://go.microsoft.com/fwlink/?LinkId=69157
R3 - URLSearchHook: AVG Security Toolbar BHO - {A3BC75A2-1F87-4686-AA43-5347D756017C} - C:\Programme\AVG9\Toolbar\IEToolbar.dll
O2 - BHO: AcroIEHelperStub - {18DF081C-E8AD-4283-A596-FA578C2EBDC3} - C:\Programme\Gemeinsame Dateien\Adobe\Acrobat\ActiveX\AcroIEHelperShim.dll
O2 - BHO: WormRadar.com IESiteBlocker.NavFilter - {3CA2F312-6F6E-4B53-A66E-4E65E497C8C0} - C:\Programme\AVG9\avgssie.dll
O2 - BHO: AVG Security Toolbar BHO - {A3BC75A2-1F87-4686-AA43-5347D756017C} - C:\Programme\AVG9\Toolbar\IEToolbar.dll
O3 - Toolbar: AVG Security Toolbar - {CCC7A320-B3CA-4199-B1A6-9F516DD69829} - C:\Programme\AVG9\Toolbar\IEToolbar.dll
O4 - HKLM\..\Run: [IntelZeroConfig] "C:\Programme\Intel Wireless\bin\ZCfgSvc.exe"
O4 - HKLM\..\Run: [IntelWireless] "C:\Programme\Intel Wireless\Bin\ifrmewrk.exe" /tf Intel PROSet/Wireless
O4 - HKLM\..\Run: [EOUApp] "C:\Programme\Intel Wireless\Bin\EOUWiz.exe"
O4 - HKLM\..\Run: [AVG9_TRAY] C:\PROGRA~1\AVG9\avgtray.exe
O4 - HKLM\..\Run: [AtiPTA] atiptaxx.exe
O4 - HKLM\..\Run: [RTHDCPL] RTHDCPL.EXE
O4 - HKLM\..\Run: [Alcmtr] ALCMTR.EXE
O4 - HKLM\..\Run: [COMODO Internet Security] "C:\Programme\Comodo\COMODO Internet Security\cfp.exe" -h
O4 - HKLM\..\Run: [Adobe Reader Speed Launcher] "C:\Programme\Acrobat Reader 9.0\Reader\Reader_sl.exe"
O4 - HKLM\..\Run: [Adobe ARM] "C:\Programme\Gemeinsame Dateien\Adobe\ARM\1.0\AdobeARM.exe"
O4 - HKCU\..\Run: [ITD7] "C:\Programme\Steganos Internet Trace Destructor 7\ITD7.exe" -boot
O4 - HKUS\S-1-5-19\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'LOKALER DIENST')
O4 - HKUS\S-1-5-19\..\RunOnce: [ITD7] "C:\Programme\Steganos Internet Trace Destructor 7\itd7.exe" -firstboot (User 'LOKALER DIENST')
O4 - HKUS\S-1-5-20\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'NETZWERKDIENST')
O4 - HKUS\S-1-5-20\..\RunOnce: [ITD7] "C:\Programme\Steganos Internet Trace Destructor 7\itd7.exe" -firstboot (User 'NETZWERKDIENST')
O4 - HKUS\S-1-5-18\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'SYSTEM')
O4 - HKUS\S-1-5-18\..\RunOnce: [ITD7] "C:\Programme\Steganos Internet Trace Destructor 7\itd7.exe" -firstboot (User 'SYSTEM')
O4 - HKUS\.DEFAULT\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'Default user')
O4 - HKUS\.DEFAULT\..\RunOnce: [ITD7] "C:\Programme\Steganos Internet Trace Destructor 7\itd7.exe" -firstboot (User 'Default user')
O4 - Global Startup: Adobe Gamma Loader.lnk = C:\Programme\Gemeinsame Dateien\Adobe\Calibration\Adobe Gamma Loader.exe
O9 - Extra button: (no name) - {e2e2dd38-d088-4134-82b7-f2ba38496583} - C:\WINDOWS\Network Diagnostic\xpnetdiag.exe
O9 - Extra 'Tools' menuitem: @xpsp3res.dll,-20001 - {e2e2dd38-d088-4134-82b7-f2ba38496583} - C:\WINDOWS\Network Diagnostic\xpnetdiag.exe
O16 - DPF: {6414512B-B978-451D-A0D8-FCFDF33E833C} (WUWebControl Class) - http://update.microsoft.com/windowsupdate/v6/V5Controls/en/x86/client/wuweb_site.cab?1256419183593
O16 - DPF: {E2883E8F-472F-4FB0-9522-AC9BF37916A7} - http://platformdl.adobe.com/NOS/getPlusPlus/1.6/gp.cab
O18 - Protocol: linkscanner - {F274614C-63F8-47D5-A4D1-FBDDE494F8D1} - C:\Programme\AVG9\avgpp.dll
O20 - AppInit_DLLs: C:\WINDOWS\system32\guard32.dll
O20 - Winlogon Notify: avgrsstarter - C:\WINDOWS\SYSTEM32\avgrsstx.dll
O23 - Service: Ati HotKey Poller - ATI Technologies Inc. - C:\WINDOWS\system32\Ati2evxx.exe
O23 - Service: ATI Smart - Unknown owner - C:\WINDOWS\system32\ati2sgag.exe
O23 - Service: AVG Free E-mail Scanner (avg9emc) - AVG Technologies CZ, s.r.o. - C:\Programme\AVG9\avgemc.exe
O23 - Service: AVG Free WatchDog (avg9wd) - AVG Technologies CZ, s.r.o. - C:\Programme\AVG9\avgwdsvc.exe
O23 - Service: COMODO Internet Security Helper Service (cmdAgent) - COMODO - C:\Programme\Comodo\COMODO Internet Security\cmdagent.exe
O23 - Service: Intel(R) PROSet/Wireless Event Log (EvtEng) - Intel Corporation - C:\Programme\Intel Wireless\Bin\EvtEng.exe
O23 - Service: InstallDriver Table Manager (IDriverT) - Macrovision Corporation - C:\Programme\Gemeinsame Dateien\InstallShield\Driver\1050\Intel 32\IDriverT.exe
O23 - Service: O2Micro Flash Memory (O2Flash) - Unknown owner - C:\WINDOWS\system32\o2flash.exe
O23 - Service: Intel(R) PROSet/Wireless Registry Service (RegSrvc) - Intel Corporation - C:\Programme\Intel Wireless\Bin\RegSrvc.exe
O23 - Service: Intel(R) PROSet/Wireless Service (S24EventMonitor) - Intel Corporation - C:\Programme\Intel Wireless\Bin\S24EvMon.exe

--
End of file - 6333 bytes

 

[St0nY]

Log sieht ersma ok aus. Antivir hat oft eine sehr.....eigenwillige Erkennungsroutine, guck mal bitte in den Logfiles welche Datei er genau gelöscht/unterbunden/whatever hat und welcher Schädling da drin war. Autorun.inf is normalerweise kein Virus, es gibt aber Trojaner ala TR/AutorunINF.24 und 271, daher bitte mal gucken

 

[Shihatsu]

desktop firewall? mit adminrechten unterwegs? beide antworten ja -> definitiv sorgen machen.

 

[Ancient]

Log sieht ersma ok aus. Antivir hat oft eine sehr.....eigenwillige Erkennungsroutine, guck mal bitte in den Logfiles welche Datei er genau gelöscht/unterbunden/whatever hat und welcher Schädling da drin war. Autorun.inf is normalerweise kein Virus, es gibt aber Trojaner ala TR/AutorunINF.24 und 271, daher bitte mal gucken

okay:

desktop firewall?

Auch. Halt zusätzlich zur routerinternen.

mit adminrechten unterwegs?

ja.

 

[deleted_24196]

die softwarefirewall kannst du getrost deinstallieren!

 

[St0nY]

Guck mal bitte ob du Versteckte Dateien und Ordner anzeigen kannst oder ob er das nicht übernehmen will. Ansonsten von Malwarebytes mal Anti-Malware runterladen, Testversion reicht, Quick-Scan machen und gucken ob er noch was findet.

 

[Ancient]

die softwarefirewall kannst du getrost deinstallieren!

Ich finde die Meldungen, z.B. wenn ein Programm eine Verbindung zum Internet aufbauen will, sehr praktisch.

Guck mal bitte ob du Versteckte Dateien und Ordner anzeigen kannst oder ob er das nicht übernehmen will.

Ist an.

Ansonsten von Malwarebytes mal Anti-Malware runterladen, Testversion reicht, Quick-Scan machen und gucken ob er noch was findet.

Nichts gefunden.

 

[deleted_24196]

Ich finde die Meldungen, z.B. wenn ein Programm eine Verbindung zum Internet aufbauen will, sehr praktisch.

http://www.ulm.ccc.de/PersonalFirewalls/Versagen

 

[Ancient]

Warum schießt ihr euch jetzt so auf die Firewall ein? Schaden wird sie mir sicher nicht und für das Problem auch nicht verantwortlich sein.
Ich weiß dass ihr Nutzen begrenzt ist.

edit: neues bild oben eingefügt

 

[parats']

Das Log sieht ja erst einmal nicht so nett aus.
Allerdings kann man die explorer.exe doch nicht in Quarantäne verschieben, oder?

 

[Ancient]

die datei autorun.inf ist in quarantäne, nicht der vorgang.

 

[Shihatsu]

liess den link, dann weisst du auch, warum desktop firewalls böse sind - wenn du einfach nur wissen willst, welche programme inet verbindungen aufbauen, nimm nen netfilter. der bringt wenigstens keine eigenen sicherheitslücken mit, die von jedem handelsüblichen zusammengeklickten troj abused werden. aber solange du mit adminrechten unterwegs bist, ist das eh alles perlen vor die säue. da fängste dir immer wieder was ein...

 

[deleted_24196]

aber solange du mit adminrechten unterwegs bist, ist das eh alles perlen vor die säue. da fängste dir immer wieder was ein...

das ist schwachsinn... ich bin seit jahren als admin unterwegs, ohne av-programm, dafür mit ner hardware firewall und checke einmal im monat mit knoppicillin ob alles sauber ist - und bis jetzt war immer alles sauber

wenn man nicht den kopf ausschaltet und nicht immer sofort alles anklickt, dann kann man auch ohne probleme als admin unterwegs sein!

 

[Skaarj]

Und man sollte Windows immer updatemäßig auf den neuesten Stand halten. Sonst hat man wieder ganz schnell diese ekelige Confickerwurmscheiße aufm rechner.

 

[Ancient]

Und man sollte Windows immer updatemäßig auf den neuesten Stand halten. Sonst hat man wieder ganz schnell diese ekelige Confickerwurmscheiße aufm rechner.

Ich schrieb doch dass alles auf dem neusten Stand ist.

Situation ist jetzt folgende:
- Das Soundproblem war ein fehlerhaftes Benutzerkonto, auf einem frischen Konto lassen sich die Sounds ändern.
- Diverse Conficker Removal Tools (autorun.inf war einer laut Virustotal.com) und alle möglichen anderen Programme haben keine Infektion gefunden, HJT log ebenfalls sauber

Ich schließe daher dass AVG die Malware rechtzeitig beim Stick einstöpseln erkannt und abgefangen hat und der Nutzerkonten Bug Zufall war.

 

[Shihatsu]

das ist schwachsinn... ich bin seit jahren als admin unterwegs, ohne av-programm, dafür mit ner hardware firewall und checke einmal im monat mit knoppicillin ob alles sauber ist - und bis jetzt war immer alles sauber

wenn man nicht den kopf ausschaltet und nicht immer sofort alles anklickt, dann kann man auch ohne probleme als admin unterwegs sein!

ist definitiv KEIN schwachsinn. kopf ausschalten reicht in zeiten, in denen selbst adserver von normalen seiten als virenschleudern missbraucht werden und zero-day-exploits verkauft werden schlichtweg nicht mehr. deine schlussfolgerung ist ebenfalls an zweierlei punkten faktisch falsch:
a) knoppicilin findet nichts != du hast nichts
b) bei dir funzt alles != du hast nichts
stichwort rootkits, stichwort afs-viren, stichwort trojdropper in afs, etc pp - gegen all diese sachen sind virenscanner sogut wie machtlos - sie kommen garnicht an sie ran. auch dann nicht, wenn sie extern gestartet sind, zumindest wenn die drohne gut ist. und destruktive viren sind doch heutzutage nu wirklich nichtmehr das problem. bitte informieren bevor du hier gefährliche tips gibst. denn mit adminrechten surfen IST gefährlich - einfache begründung: ohne adminrechte gäbe es diesen thread nicht...

 

[HERR 2FICKENDEHUNDE]

stichwort exploitframeworks wie zb metasploit dafür brauch man die adminrechte nichtmal. da reicht ein ungepatchten browser acrobatreader ect ppp um sich über deren lücken adminrechte zu verschaffen und schon steuert man mittels meterpreter fleissig fern. das ist abgefahren und gar nicht mal schwer. habe das hier selbst mit virtuellen maschinen getestet...