worel fragte u.A. Folgendes:
[...]aber ich möchte wissen, was genau das Problem auf meinem Rechner ist[...]
Der von Dir beschriebene Trojan-Dropper.Win32.Mudrop.cxc erstellt – meinen bisherigen Informationen nach – u.A. einen Eintrag in einen der automatisch ausführbaren „Run-Schlüssel“ der Windows-Registry. Solche in die Ausführungsumgebung der Windows-Registry eingetragene „Services“ werden somit bei einem Windows-Neustart als ein im Taskmanager sichtbarer „Dienst“ ausgeführt. (u.A. signifikante Registry-Schlüssel s.u.).
HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run
HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run
HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\RunOnce
HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\RunOnce
Das Verfahren dieses Keyloggers lässt somit nicht gerade auf eine fortschrittlich (engl. sophisticated) technische Systemkompromittierung schliessen, da es noch nicht einmal eines Virenscanners bedarf, um die veränderte Windows-Ausführungsumgebung - also die veränderten Einträge der Windows-Registry - selber einzusehen, denn so eine Kontrolle liesse sich mit jedem kostenlosen Hilfsprogramm (z.B. CCleaner > Tools-Section) gleichermassen realisieren.
worel erklärte u.A. Folgendes:
[...]Das Wegbleiben des Userinterfaces ist ein Beweis dafür dass die wlanmon.dll eine
"User-Interface-Blockierfunktionalität" besitzt.
Eine *.dll alleine kann dafür nicht verantwortlich sein. Vermutlich wurde eine neue wlanmon.* auf Deinem lokalen System in einem anderen Verzeichnis (Temp-Ordner) abgelegt und hat somit die ursprüngliche Datei unter gleichen Namen – jedoch unter anderer Suffix (*.exe) als ausführbaren Dienst „ersetzt“. Dienstmaskierung ist nichts Neues. Tatsache ist jedoch, das es keine zwei gleichnamigen Dienste mit der gleichen Endung auf einem System geben darf. Der ursprüngliche MS-Prozess (wlanmon.dll) ist dagegen als harmlos zu betrachten und beinhaltet bloss eine Überwachungsfunktion der Netzwerk-Funkstreckenwege.
Es würde – meiner Beurteilung nach – von daher bereits schon reichen, die entsprechenden verdächtigen Prozesse mit dem Taskmanager zu beenden, um im Anschluss daran die zugehörigen Einträge aus der Windows-Registry zu entfernen und das System schlussendlich neu zu starten.
Oliver
O.T
Der SAM (Security Account Manager) beinhaltet u.A. vertrauliche Einträge (z.B. Passwort-Zugänge etc.), die in einem gesondert geschützten Bereich zugriffssicher in den „HKEY_LOCAL_MACHINE“ Schlüsseln der lokalen Windows-Registry abgelegt sind. Mit dem zeitgesteuerten Aufruf „at.exe“ lässt sich jedoch vorübergehend ein uneingeschränkter Zugriff auf alle im System abgelegten und vertraulichen Daten erhalten, ohne dass erst umständliche Rechte-Änderungen oder Besitzübernahmen am System nötig wären.
Wer somit vertrauliche Daten hin und her „transportiert“ (z.B. Notebook etc.), wäre vielleicht gut beraten diesen Kommandozeilenaufruf zu löschen oder gar intern umzubenennen.
http://support.microsoft.com/kb/314866/de
http://technet.microsoft.com/de-de/library/cc737101(WS.10).aspx
http://support.microsoft.com/kb/313289
