Euer Account wurde "gehackt" - Was Tun?

[Aergerlich]

ich hab ein wenig weitergemacht und schaute mir meinen system nach einem neustart nochmal an...eine erneute überprüfung hat nichts ergeben.

also manuell die "xm1985.dll" im system 32 ordner gesucht ....und gefunden....diese durch den vierenprüfer gejagt....dieser hat nichts verdächtiges gefunden.

die datei ist seit mitte februar auf meinem rechner (da hatte es mich das erste mal erwischt..der grund warum ich mir ein authi zulegte,da ich mein system mehrfach überprüft hatte und nichts mehr fand....und 14 tage später wieder ausgeräumt wurde)

da sich die "xm1985.dll "nicht löschen lässt,hab ich versucht den quellcode via notepat zu "zerschießen"...natürlich lässt sich das nicht abspeichern... die datei ist weiter aufn rechner und bleibt als vierenschleuder unerkannt(warscheinlich bis sie durch bis eine "remote" funktion ausgelöst  oder getriggert wird)

soweit reicht mein wissen dann auch wieder nicht,um das alles genau zu analysieren.

jetzt ist der punkt gekommen wo ich über hilfe aus der community dankbar wär.

im quellcode war wenig lesbar...~5% bei geschätzten 30.000 zeichen...."runs not in msdos modus" stach mir allerdings ins auge.

..da würd ich gerne ansetzen..allerdings...hab ich wenig plan wie ich einer 4 gb ntfs partion in den dos modus bringe,ohne das windows startet...jemand ne idee?

 

[LaVerne]

..da würd ich gerne ansetzen..allerdings...hab ich wenig plan wie ich einer 4 gb ntfs partion in den dos modus bringe,ohne das windows startet...jemand ne idee?

Zuerst mal: Angeblich dürfte Dein "Hack" nicht passiert sein, weil es laut Authenticator-Befürworter nur einen bisher dokumentierten "Man-in-the-middle"-Attack gab. Das war Ironie.

Wie sieht es mit einer Knoppillicin- bzw Desinfec't-Start-CD aus (http://www.heise.de/software/download/knoppicillin_download_edition/37894 - siehe auch http://de.wikipedia....ki/Knoppicillin ). Von Linux aus solltest Du auch Zugriff auf Deine NTFS-Partition haben - und jeden Störenfried in Form bestimmter System-Dateien ohne Probleme löschen können!

Eventuell auch mal unter http://forum.avira.d...threadID=104501 schauen, ob da Dein Problem mit dieser dll gelöst werden kann. Wäre allerdings neu, daß dieses Ding auch auf Authi-Accounts geht - aber das wäre dann nur eine Angleichung der "Hacker" an eine ebenfalls leicht zu überbrückende Sicherheitsabfrage.

 

[Aergerlich]

 


bootcd fällt leider aus da der rechner aktuell kein funktionierens cdrom/diskettenlaufwerk hat...auch eine überprüfung durch einen netzwerkrechner fällt atm aus.ausm stand herraus könnte ich mitm 1 gb usb stick dienen..aber ich glaube nicht,das mein rechner ein booten von diesem stick zulässt.

asus a7v ...das ist mein mainboard.

(oder geht das?)

 

[LaVerne]

...also..wie wird man die zecke los,ohne das system neu aufsetzen zu müssen?

Ein komprimitiertes (virus- oder trojaner-)infiziertes System ist unsicher - plattmachen! Immer! Auf jeden Fall! Weg damit! Noch ein paar Ausrufezeichen: !!!!!

Es gibt nur einen Weg, die Zecke sicher loszuwerden: Neu aufsetzen!

WTF!

Nix WTF! Du wurdest gerade erfolgreich infiltriert! Lerne daraus, in Zukunft z. B. einen Firefox mit installiertem NoScript einzusetzen. Das nervt eventuell, weil eine Menge Seiten erst einmal Deine Mitwirkung vorraussetzen, um überhaupt Inhalt anzuzeigen! Immerhin bist Du dann selbstverantwortlich, wenn Du diesen Inhalten die Freigabe erteilst. Bei mir spielt keine Flashdatei ihre Grafikwunder ab, bevor ich es ihr erlaube!

bootcd fällt leider aus da der rechner aktuell kein funktionierens cdrom/diskettenlaufwerk hat...auch eine überprüfung durch einen netzwerkrechner fällt atm aus.ausm stand herraus könnte ich mitm 1 gb usb stick dienen..aber ich glaube nicht,das mein rechner ein booten von diesem stick zulässt.

Tja, schlecht für den Ernstfall vorbereitet. Nach dem Wiederaufsetzen eines sauberen Systems solltest Du zuerst

a) deine Festplatte in "System-Funktionen" und Speicherdateien aufteilen (sprich: partitionieren)
b) einen "Ghost" erstellen (das ist eine Sicherung des derzeitigen Systems, die schnell wiederhergestellt werden kann und seinen Platz auf einem externen Datenspeicher finden sollte). Entsprechende Programme im I-Net nachgoogeln!
c) Firefox und NoScript installieren
d) eine "Knoppix" bzw. "DeInfec't"-CD bereithalten

Irgendwann erwischt es (fast) jeden. Daraus lernt man!

 

[Aergerlich]

freu mich über deine hilfe..der link zum avira forum hab ich dankend angenommen und dort die dll datei hochgeladen.

für mein "WTF" bitte ich an der stelle einfach mal um "verständnis"..ich bin nicht der hellste und fand mich mit opera auf der sicheren seite.

das ich mir die dll datei über ein flash vid eingefangen hab,war auch mein vermutung..allerdings muss ich auch gestehen das ich wie die meisten "casual" surfer einfach erst mal ein seminar zum thema "worauf muss ich beim surfen achten" belegen müsste.

(po.orn/torrent meiden ist klar...das rafft auch ein hans mustermann)

aktuell ist meine platte in 5 partitionen unterteilt,davon ist eine die "win+wichtigsten programme" partition,damit bleibt der aufwand"erträglich"...bis zum nächsten fremdeingriff.

diese ddl datei hab ich mir genau EINMAL vor 6 wochen eingefangen und mit den gängigen automatisierten  virenzangen nicht unter kontrolle bekommen/gefunden....das die auf leute wie mich quasie angesetzt sind...steht auf dem blatt mit der eigenverantwortung...joar,stimmt.werfe mir auch grade selbst vor,das ich x virenscanns ,die alle ohne funde verliefen ,vertraut hab.


das nächste mal werd ich nach jedem "fund" mein system neu aufsetzen...ach was..nach jeder warnung...oder vorsichtshalber gleich nach jedem reboot.(ironie hilft mir grade ein wenig "die sache" zu verarbeiten...x stunden recherche um überhaupt erst mal ein ansatz zu finden und dabei das fachchinesisch anzueignen, geht nur auf kosten meiner selbstbeherschung....


also noch ne erkenntnis:

"fremdzugriff auf euren acc?"

-->"alle rechner die mit diesem via heimnetzwerk verbunden waren neu aufsetzen!"systemwiederherstellung ist imho auch nicht wirklich sicher..da könnt ich mich auch auf die leistung der freien vierenproggis verlassen.)

opera verbannen(dachte es hätte in sachen sicherheit die nase vorm firefox..dll anwendungen werden von meiner firewall geblockt/bzw stehen auf "frage nach und warte auf darfschein"....half nix!

"internetspuren löschen/temp verzeichnis löschen..mach ich seit wochen vor jedem runterfahren..



(bis zur nächsten sicherheitslücke,die ein 0815 nutzer wie ich nicht erkennt...und damit mach ich mich grade kleiner als ich bin...aber trotzdem reichts grade mal so ,um dir auf die schuhsohle zu krabbeln....)

sorry,falls das unfreundlich wirkt...so langsam gehöre ich wirklich ins bett.

man in the middle angriffe...wünsch ich wirklich keinem..wunder mich,das es beim sammeln und ausplündern von wow accs bleibt und nicht auf die onlinebanking nutzer erweitert wurde...naja..geben wir den leuten noch ein jahr entwickerzeit

edit:[hatte mein post bereits vor deiner antwort editiert]

 

[LaVerne]

für mein "WTF" bitte ich an der stelle einfach mal um "verständnis"..ich bin nicht der hellste und fand mich mit opera auf der sicheren seite.

Vollstes Verständnis von meiner Seite her. Bei einem geschrottetem System ist meist der WoW-Account eh das unwichtigste, an das man gerade denkt (ich bin Software-Entwickler und sollte die Sicherungen etc. kennen - und dennoch habe ich hier eine Festplatte mit wichtigen persönlichen Daten herumliegen, die ich für viel Geld dank abgerauchtem Controller retten lassen darf, weil ich meine eigenen guten Ratschläge wie Sicherung auf zwei Laufwerken mal locker in den Wind geblasen habe).

das ich mir die dll datei über ein flash vid eingefangen hab,war auch mein vermutung..allerdings muss ich auch gestehen das ich wie die meisten "casual" surfer einfach erst mal ein seminar zum thema "worauf muss ich beim surfen achten" belegen müsste.

Sich Gedanken machen und nicht auf Programme verlassen ist eh der erste Schritt. Das schützt allerdings nicht vor den neuesten "Flashwürmern" etc. Man kann und wird niemals vor einem Angriff gefeit sein.

Wichtig ist: Niemals auf seine Sicherheitsprogramme vertrauen!

diese ddl datei hab ich mir genau EINMAL vor 6 wochen eingefangen und mit den gängigen automatisierten virenzangen nicht unter kontrolle bekommen/gefunden....das die auf leute wie mich quasie angesetzt sind...steht auf dem blatt mit der eigenverantwortung...joar,stimmt.werfe mir auch grade selbst vor,das ich x virenscanns ,die alle ohne funde verliefen ,vertraut hab.

Irgendwas muß vor "ca. 6 Wochen" falsch gelaufen sein, sonst hättest Du Dir das Ding nicht eingefangen. Leider ist es meist im nachhinhein abgesehen von grobem Eigenverschulden so gut wie unmöglich, den Weg nachzuvollziehen. Man klickt halt doch teilweise unüberlegter, als das man um die Sicherheit des Systems besorgt ist. Wenn sich eine Sache nicht sofort bemerkbar macht (und das tun Keylogger mit Sicherheit nicht), fühlt man sich auf der sicheren Seite.

man in the middle angriffe...wünsch ich wirklich keinem..wunder mich,das es beim sammeln und ausplündern von wow accs bleibt und nicht auf die onlinebanking nutzer erweitert wurde...naja..geben wir den leuten noch ein jahr entwickerzeit

Meiner persönlichen Meinung ist das, was gerade in Hinsicht auf die angeblich undokumentierten Angriffe auf WoW-Accounts abläuft, eine leichte Testbrise. Hier kann man halt testen, inwieweit Angriffe auf Token-Systeme erfolgreich sind oder nicht. Wäre ich "Hacker", dann würde ich gerade jetzt meine Angriffe auf dieses nur halbherzig gesicherte System starten und zu automatisieren versuchen - strafrechtliche Verfolgung ist nämlich erst einmal zweifelhaft, wenn es nur um ein paar WoW-Accounts und nicht um reales Geld geht.

Andererseits ist natürlich die Frage, ob man nicht einfach längst erfolgreiche Banking-Klau-Systeme auf WoW ansetzt, um weiterhin seinen Goldverkauf-Umsatz zu sichern (wobei natürlich klar sein dürfte: Die Gold-Käufer sind für _jeden_ "Hack" _direkt_ verantwortlich. Ohne diese Nachfrage gäbe es die "Hacks" nicht. Jedem Goldkäufer wünsche ich einen "Hack" und anschließenden Perma-Ban).

 

[Aergerlich]

der "man in the middle" angriff ist zumindest soweit automatisiert,das der angreifer selbst entscheiden kann,wann er den "code" anfordert...soll heißen...er/sie löst den angriff zu einem zeitpunkt seiner wahl aus.

die einzige bedingung,die dafür erfüllt sein muss,ist das bedürfniss des opfers die daten nach einem "initialisiertem" crash bereitwillg in die tasten zu haun.(authi code ist ja nur ~ne minute gültig...das heist..vom "bedürfniss erzeugen" übers daten abfangen bis hin zum einloggen ist es bereits automatisiert....das "mein hacker" ein fauler hund war ,zeigte sich daran,das er mit einem twink von mir  kochen skillte...)

das wird der grund sein,warum es noch nicht auf bankensysteme übertragbar ist...(wer überweist schon permanent geld..und nutzt dafür tan listen...richtig..keiner.....geldtransfers in diesen dimensionen laufen über besser gesicherte rechnerkreisläufe.

(vermute ich einfach mal blind)


############################################################

stand der dinge:

Du kannst es auch nochmal mit Spybot Search&Destroy versuchen.

edit:

voriger betrag gelöscht,da dank  Spybot Search&Destroy die ddl vom rechner gepflückt wurde.
(nicht im agesicherten modus durchgelaufen)..nach einem neustart spuckte windows ziemlich schnell,ziemlich viele fehlermedungen aus.
"DLL RUNTIME ERROR"
(genauen wortlaut der fehlermeldung  hab ich jetz nicht im kopf..dafür gings zu fix)
infofenster gab an,das eine anwendung fehlgeschlagen ist,da die xm1995.dll nicht auffindbar ist.

also die erfolgreichen teilschritte diesen schädling loszuwerdenwaren bisher:
1:avguard :tiefenscann
2:Spybot Search&Destroy:tiefenscann

diverse neustarts waren auch dabei...

was NICHT geholfen hat war bisher:
avguard auf diese dll datei anzusetzen..weder im tiefenscann noch im "durchsuche diese datei" modus.
Spybot Search&Destroy auf diese dll im "durchsuche diese datei" modus

nun werd ich mich mal durch die regedit arbeiten..mal sehen was da auf mich wartet...




hier noch ein link zum spybotforum mit dem vielsagenden titel :


"Manual Removal Guide for Win32.Agent.wer"

(anleitung um die ddl von der platte zu kratzen,vom 24.3.2010

http://forums.spybot...ead.php?t=56431

 

[Cictani]

Am besten ihr macht ein Youtube Video: http://www.youtube.com/watch?v=fdBrYfxSXWc

 

[Psyclone616]

Hier fehlt ganz eindeutig variante 3

Der acc wurde gehackt das email konto auch es wurde ein authenticator(vom hacker) draufgespielt und man ist nun hilflos

Den dieser fall betrifft mich...

Habe ich noch die hoffnung meinen acc wiederzubekommen?

ich besitze den classic key und die geheime frage ( die sicher geaendert wurde -.-)

 

[Shadria]

...
Der acc wurde gehackt das email konto auch es wurde ein authenticator(vom hacker) draufgespielt und man ist nun hilf los
...
Habe ich noch die hoffnung meinen acc wiederzubekommen?

Auch in solchen Fällen solltest du dich per Formular oder Supporthotline (Adresse bzw. Tel.-Nr. ist auf der Blizz-HP zu finden) an Blizzard wenden. Der Authenticator wird dann von Blizz entfernt und du erhältst deinen Acc zurück.

Am besten folgenden Thread lesen und dementsprechend handeln: Account kompromittiert

 

[Kindgenius]

Fuck -.-

http://eu.wowarmory.com/character-sheet.xml?r=Shattrath&cn=Neoprey

Ich habe denen ein Formular geschickt, mit meinen CD-Key und ein Bild von mein Perso.
Dummweise hab ich die Antwort auf die geheime Frage nicht gewusst (ich weiß die Frage nichtmal mehr), ist das schlimm?

Ich denke, eine gültige CD-Key und perso sollten doch wohl ausreichen....

 

[G0rid]

 Kurze Frage zwischendurch, kann man eigentlich einen Schlüsselanhänger-Authenticator UND das Handy-Dingens verwenden? Gleichzeitig, so zu sagen... Oder kann eins dann nicht mehr verwendet werden? 

Ich hab nen Schlüsselanhänger, spiel aber oft mobil WoW und hab nicht immer Lust, den Schlüsselanhänger mitzunehmen. 

 

[Rethelion]

Das wird nicht gehen weil du dann zwei Geräte mit unterschiedlichen Seriennummern hättest und pro Account kann immer nur ein Authenticator genutzt werden, d.h. du müsstest einen erst deaktivieren, bevor du den anderen aktivieren kannst.

 

[G0rid]

Hm, das ist ja blöd... Aber vielen Dank.

 

[Theck]

Hey Leute
Nen kollege aht mich vorhin gefragt ob ich wieder wow spiele ich war erst mal überrachst wie er darauf kommt da wir schon vor paar monaten aufgehört hatten er hat mir dann ma armory link gesendet und echt bei aktivitäten steht das ich erst vor 3 stunden in mehreren inis war ich hba dregt ma virenscan geamcht nix gefunden und habe mir den acc auch mit keinem geteilt und die daten weitergegeben wollt mich dann einloggen allerdings wurde ich dann nach einem Authenticator-Code gefragt ich habe keinen authenticator und wäre mir auch neu das man einen braucht also ist mein acc gehackt wurden und dann durch nen Authenticator sozu sagen gesichert worden von dme hacker?

 

[Shadria]

...also ist mein acc gehackt wurden und dann durch nen Authenticator sozu sagen gesichert worden von dme hacker?

Richtig. Dein Account wurde kompromittiert ("gehackt"). Der "Hacker" hat deinem Account einen Authentificator hinzugefügt.

Du solltest dich:
1. an Blizz wenden (per Webformular oder Telefon)
2. deinen PC auf Schadsoftware (Trojaner) untersuchen.

 

[bombay]

Ich finde Beiträge im Stile LaVerne schlicht zum speien. Sorry.

Mein Account wurde die Tage auch gehackt und LaVerne - ich mach das Software-Geschäft auch schon ein Weilchen. Aber völlig egal.

Wenn ich mir die Sichtweise eines LaVerne - er/sie/es stellvertretend für andere Beiträge dieser Machart- zueigen machte, dann müsste ich das Internet als unkalkulierbares Risiko eigentlich bleiben lassen. Und damit natürlich auch WoW.
Das dürfte Blizz allerdings nicht gefallen, wenn man zukünftig ein IT-Crack a la LaVerne sein muß, um unbeschadet ein Pixelmännchen gegen Entgelt durch die Gegend zu schieben.

Was mich an Beiträgen wie den von LaVerne artikulierten so sauer macht, ist diese unglaublich arrogante Attitüde: Mein Gott ihr Vollspasten, ihr seid doch alle selber schuld.

Vielleicht ist es Aufgabe derjenigen, die mit dem Netz Geld verdienen, dieses sicher zu machen und nicht die von Lieschen Müller!
Vielleicht ist ja die Blizz Datenbank gehackt und die Damen und Herren Hacker brauchen eigentlich nur noch ihre Listen runtertippen.

Aber ne, es kann nicht sein, was nicht sein darf. Kann ich ja verstehen bei einem solchen Geschäftsvolumen.

Mich erinnert das nur so fatal an die Vollhonks der EC Karten Besitzer, die ebenfalls ihrer Konten, besser gesagt deren Inhalten verlustig gingen, und die natürlich alle nur zu dumm oder grob fahrlässig im LaVernschen Sinne waren.

Im meinem Fall war der Hack eher bitter für den bösen Mann:
Level 72, lauter tolle grüne und blaue Sachen die in Summe selbst beim Händler keine 40 Gold bringen.
Dankenswerter Weise wurden diese Kostbarkeiten von Blizz in kurzer Zeit wieder in meinem Postkörbchen eingeparkt.

 

[SuSa und AsTi]

Fuck -.-

http://eu.wowarmory....rath&cn=Neoprey

Ich habe denen ein Formular geschickt, mit meinen CD-Key und ein Bild von mein Perso.
Dummweise hab ich die Antwort auf die geheime Frage nicht gewusst (ich weiß die Frage nichtmal mehr), ist das schlimm?

Ich denke, eine gültige CD-Key und perso sollten doch wohl ausreichen....

Blizzard verlangt entweder das eine oder das andere. Also wird der Perso reichen.


______

Ich selber bin leider auch Hack Opfer geworden... obwohl ich nie auf irgendwelche Seiten von Emails oder links gegangen bin wo ich meine Account Daten eingeben soll, trotz Antivirus der mich jeden tag zum Check zwingt... Kann mir jemand sagen wie das überhaupt möglich ist?

Naja ich hatte glück... der Hacker war doof... hat nur einen level 80er, niedrige Berufe, kaum gutes Equipe erbeutet... dazu kann er jetzt rein... PW Klau versuch fehlgeschlagen... jetzt muß nur noch diese[font="Arial, Helvetica, sans-serif"]s doofe Teil von [font=arial, sans-serif]Autenficator (?) entfernen lassen... Weiß jemand wie viele Jahre das braucht? Und weiß jemand warum der Hacker so nett war und mir BB hochgemacht hat...?

Vom erz der alten weg bis zum Großmeister hat er es mir einfach gemacht *G* [/font][/font]

 

[Shadria]

Ich selber bin leider auch Hack Opfer geworden... obwohl ich nie auf irgendwelche Seiten von Emails oder links gegangen bin wo ich meine Account Daten eingeben soll, trotz Antivirus der mich jeden tag zum Check zwingt... Kann mir jemand sagen wie das überhaupt möglich ist?

Ja, das kann ich dir sagen: du hast dir höchstwahrscheinlich einen Trojaner/Keylogger eingefangen. Trojaner (also Schadsoftware generell) bekommt man nicht nur über "irgendwelche Seiten" oder "Links wo man Acc-Daten eingeben soll".
Sicherheitslücken durch die ausführbarer Code auf den Rechner gelangen kann gibt/gab es doch z.B. bei
- Adobe Reader
- Adobe Flash Player
- Webbrowser (IE, FF etc.)
- Sun Java
- Macromedia Flash Player
- Winamp
- Skype
- .....

Naja ich hatte glück... der Hacker war doof... hat nur einen level 80er, niedrige Berufe, kaum gutes Equipe erbeutet...

Wieso war der Hacker doof? Wie soll der VOR dem Hack wissen welche Chars sich auf dem Acc befinden?

Und weiß jemand warum der Hacker so nett war und mir BB hochgemacht hat...? Vom erz der alten weg bis zum Großmeister hat er es mir einfach gemacht *G*

Der "Hacker" hat mit deinem Char Erze gefarmt um es zu verkaufen... ganz einfach.

 

[SuSa und AsTi]

Das mit dem Doof war darauf bezogen das er weder Email noch Passwort geändert hat... und danke für die Auflistung... jetzt weiß ich was ich alles deinstallieren kann...