Trenger hjelp angående forsøk på innbrudd i nettbanken

[Jotun]

Fikk melding at noen hadde forsøkt å bryte seg inn i nettbanken, hadde mest sannsynlig fått tak i passordet på bankID (Manglet jo fremdeles kodekortet, så de kom jo ingen vei før banken sperret bankID) har nå endre passordet, brukte en annen datamaskin enn min private.

 

Har startet trend housecall for å se etter virus. Gjør dette da eg har AVG ombord, men denne har tydeligvis ikke oppdaget ulumskhetene...

 

Har dere noen gode råd i denne forbindelse? Hva bør eg endre? Absolutt alt eg har av passord rundt omkring? Vil en keylogger kunne registrere passord som firefox har lagret og bruker på nettsider som eposten min etc? Eller er sånne sider som eg kommer inn på automatisk sikret?

 

Som diskusjon.no for å ta et enkelt eksempel. Der har eg ikke skrevet passordet på lange tider....

[Vizla]

Bruker/brukte du samme passord på nettbank som på diverse andre nettsider?

Hvis du ikke har prøvd, kjør mbam og rootkit scanner(e). Mulig andre kan peke deg i riktig retning av en, aldri trengt det selv.

Endret 14. februar 2011 av Vizla

[Jotun]

Vil housecall fra trend finne det meste?

 

Har ikke samme passord på nettbank som eposter og slikt, men noen andre nettsider. Men er jo ingen koblinger mellom nettbanken og slike sider. Har endret de eg kom på.

[Vizla]

Håper noen andre kan svare på det spørsmålet.

 

Første som falt meg inn var at du har gått fra nettbanken til en usikret side hvor du har brukt samme passord, men når jeg tenker etter har nok norske nettbanker sikret seg mot det for lengst. Så eneste gjennstående scenarioer som jeg selv ser er at PC'en har blitt manuelt knekt(Lite trolig), malware(trolig) eller rootkit(Lite trolig). Forutsatt selvfølgelig at du har tatt alle forhåndsregler hvis du har benyttet nettbank hos andre, netcafè e.l. Siden du slår meg som en person med et halvt tonn nett-vett kaller jeg det også lite trolig. Anbefaler at du tar en scan med MBAM og poster logg enten her eller i passende topic hvis du trenger hjelp

Endret 14. februar 2011 av Vizla

[Jotun]

MBAM er?

 

Edit: Malwarebytes anti-malware?

Endret 14. februar 2011 av Jotun

[norbat]

Hvis du har mistanke om at noe kan ligge på pc'n din, kjør gjennom veiledningen og post loggene det spørres etter.

 

Edit: ang. forsøket på 'innbrudd' i nettbanken din. For å logge seg inn med BankID, er første steg å skrive inn personnummeret (11 tall). Deretter skal koden fra kort + personlig passord skrives inn. Hvis man skriver feil kode og/eller personlig passord, går man tilbake til innskriving av personnummer. Så lenge du ikke har fått noen melding fra banken din om at noen har benyttet riktig personlig kode, vil jeg tro at det kun er personnummeret ditt som er skrevet inn.

Endret 14. februar 2011 av norbat

[Jotun]

Takk. Kjører det MBAM saken nå.

[Jotun]

Her er ene loggen:

 

Malwarebytes' Anti-Malware 1.50.1.1100

www.malwarebytes.org

 

Database version: 5762

 

Windows 5.1.2600 Service Pack 3

Internet Explorer 7.0.5730.13

 

14.02.11 19:49:16

mbam-log-2011-02-14 (19-49-16).txt

 

Scan type: Quick scan

Objects scanned: 168346

Time elapsed: 17 minute(s), 55 second(s)

 

Memory Processes Infected: 0

Memory Modules Infected: 1

Registry Keys Infected: 6

Registry Values Infected: 2

Registry Data Items Infected: 0

Folders Infected: 1

Files Infected: 1

 

Memory Processes Infected:

(No malicious items detected)

 

Memory Modules Infected:

c:\WINDOWS\system32\clhordei.dll (Trojan.Agent) -> Delete on reboot.

 

Registry Keys Infected:

HKEY_CLASSES_ROOT\CLSID\{24C138AC-50A2-4F96-B3FD-BB76CAA25AB7} (Trojan.Agent) -> Quarantined and deleted successfully.

HKEY_CLASSES_ROOT\TypeLib\{6B5631B8-788D-4496-96EA-C634A44E39B4} (Trojan.Agent) -> Quarantined and deleted successfully.

HKEY_CLASSES_ROOT\Interface\{4FA06538-D0E3-4000-980A-15D8150AE347} (Trojan.Agent) -> Quarantined and deleted successfully.

HKEY_CLASSES_ROOT\ClhordeiAtk.cClhordei (Trojan.Agent) -> Quarantined and deleted successfully.

HKEY_CLASSES_ROOT\CLSID\{5F94FD38-1F4E-465F-92BA-AD15D8B066A3} (Trojan.Agent) -> Quarantined and deleted successfully.

HKEY_CLASSES_ROOT\ClhordeiAtk.Clhordei (Trojan.Agent) -> Quarantined and deleted successfully.

 

Registry Values Infected:

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\SharedTaskScheduler\{5F94FD38-1F4E-465F-92BA-AD15D8B066A3} (Trojan.Agent) -> Value: {5F94FD38-1F4E-465F-92BA-AD15D8B066A3} -> Quarantined and deleted successfully.

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Shell Extensions\Approved\{5F94FD38-1F4E-465F-92BA-AD15D8B066A3} (Trojan.Agent) -> Value: {5F94FD38-1F4E-465F-92BA-AD15D8B066A3} -> Quarantined and deleted successfully.

 

Registry Data Items Infected:

(No malicious items detected)

 

Folders Infected:

c:\program files\microsoft common (Trojan.Agent) -> Quarantined and deleted successfully.

 

Files Infected:

c:\WINDOWS\system32\clhordei.dll (Trojan.Agent) -> Delete on reboot.

mbam-log-2011-02-14 (19-49-16).txt

Endret 14. februar 2011 av Jotun

[Jotun]

Har ikke kjørt combofix, da eg ikke gidder avinstallere AVG.

[Jotun]

Kjørte det alternativet og må spør: Den lister jo opp omtrent alt som er på maskinen. Uten å ha for mye peiling, viser eg litt mer enn eg har lyst til eller noe? Er jo et offentlig forum dette her...

[norbat]

Antar du snakker om hovedloggen til DDS (den lager en annen logg også som ikke er interessant i første omgang). Loggen viser ikke mer enn hva den bør, men du avgjør om det er oppføringer der som du ikke ønsker å ekponere. Combofix er å foretrekke og hvis du får slått av Restident Shield eller hva det heter, burde Combofix kjøre greit.

[Jotun]

Får ikke lov å kjøre combofix uten at eg avinstallerer AVG. Den bare avslutter.Attach.txtDDS.txt

 

Stod noe greier om zip og noe slikt, men det prellet av....

[norbat]

Attach.txt-fila kan du fjerne. Den behøves ikke.

Får du ikke kjørt Combofix hvis du slår av sanntidssøken heller (Resident Shield el noe lignende)?

 

Det er ikke noe i dds-loggen som tilsier at du har malware. Som tidligere nevnt, vil jeg tro at noen har benyttet personnummeret ditt for så å prøve seg fra med bankID-kode og personlig passord.

Endret 14. februar 2011 av norbat

[Jotun]

Dette eg har fått innpå?

 

http://nyheter.no.msn.com/penger/artikkel.aspx?cp-documentid=156136295

[Vizla]

Det er ikke noe i dds-loggen som tilsier at du har malware

Du så det som ble fjernet av MBAM ?

 

Antageligvis Jotun.

Endret 15. februar 2011 av Vizla

[Jotun]

Det ble fjernet 11 ting fra MBAM ja. Det står vel i loggen?

 

EyeSpy?