Hallo,

ich bin neu hier und habe mir offensichtlich ein "Google"-Problem eingehandelt.
Dies sieht allerdings etwas anders aus, als das, was bislang in den threads behandelt wurde, die ich in diesem Zusammenhang bisher gelesen habe.

Betriebssystem ist Winn XP Home. Google toolbar ist eingerichtet.

Seit zwei Tagen nun werde ich von dort, aber auch von jedem anderen Google-Link auf eine angeblich (englischsprachige) "google-com"-Seite gelinkt, die als angebliche Sicherheitsseite von Google.com mitteilt, mein System sei versucht (was es wohl ist...) und sogleich an zu scannen fängt.
Berim ersten Mal bin ich drauf reingefallen und nach wenigen Sekunden schrie der Norton auf.

Seitdem kann ich nicht mehr googlen, egal über welchen Weg. Eine Systemwiederherstellung hat ebenfalls nichts gebracht.

Da ich gerade an einem anderen Rechner sitze, kann ich keine Protokolldatei schicken.

Wie kriege ich den Virus weg???

In anderen Threads habe ich gelesen, dass empfohlen wurde, den Rechner quasi zu putzen, Passwörter zu wechseln etc. Gibts einen anderen Weg?

Da ich, was das angeht, blutiger Amateur bin, bin ich für leicht verständliche (!) Tips sehr dankbar.

Danke und Gruß

ELR-21

Poste bitte zuerst mal ein HijackThis logfile, dann folgen weitere Instruktionen.

Hi,

tja, ohne Log und genauere Infos wird das ein bisschen schwierig...
-> http://www.trojaner-board.de/51130-a...ijackthis.html

chris

Okay, root24 zieht schneller ;o)
It's your turn...

Hallo nochmal,

also DAS hätt ich schon mal geschafft.

Und - weiß jemand, was das ist und vor allem, wie ichs wieder entfernt bekomme (möglichst, ohne alles zu formatieren...).

Danke und Gruß

ELR-21


Logfile of Trend Micro HijackThis v2.0.2
Scan saved at 21:15:39, on 26.05.2008
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)
Boot mode: Normal

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\spoolsv.exe
C:\Programme\Gemeinsame Dateien\LightScribe\LSSrvc.exe
C:\Programme\Norton AntiVirus\navapsvc.exe
C:\Programme\CyberLink\Shared Files\RichVideo.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\Explorer.EXE
C:\WINDOWS\system32\VTTimer.exe
C:\WINDOWS\system32\VTtrayp.exe
C:\Programme\Home Cinema\PowerCinema\PCMService.exe
C:\TRUSTP~1\wh_exec.exe
C:\PROGRA~1\NORTON~1\navapw32.exe
C:\Programme\T-Online\T-Online_Software_6\Basis-Software\Basis1\ToADiMon.exe
C:\WINDOWS\SOUNDMAN.EXE
C:\Programme\Google\GoogleToolbarNotifier\GoogleToolbarNotifier.exe
C:\Programme\CASIO\Photo Loader\Plauto.exe
C:\Programme\ScanWizard 5\ScannerFinder.exe
C:\WINDOWS\system32\Macromed\Shockwave 10\PostUpdate.exe
C:\Programme\T-Online\T-Online_Software_6\Basis-Software\Basis2\kernel.exe
C:\Programme\T-Online\T-Online_Software_6\Basis-Software\Basis2\sc_watch.exe
C:\WINDOWS\system32\wuauclt.exe
C:\PROGRA~1\T-Online\T-ONLI~1\BASIS-~1\Basis2\PROFIL~1.EXE
C:\PROGRA~1\T-Online\T-ONLI~1\Notifier\Notifier.exe
C:\Programme\Internet Explorer\iexplore.exe
C:\Programme\Trend Micro\HijackThis\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = about:blank
R1 - HKCU\Software\Microsoft\Internet Connection Wizard,ShellNext = T-Online
O1 - Hosts: 124.217.251.159 google.dk
O1 - Hosts: 124.217.251.159 google.se
O1 - Hosts: 124.217.251.159 google.co.nz
O1 - Hosts: 124.217.251.159 google.cn
O1 - Hosts: 124.217.251.159 google.com.pr
O1 - Hosts: 124.217.251.159 google.com.ca
O1 - Hosts: 124.217.251.159 google.com.ch
O1 - Hosts: 124.217.251.159 google.fi
O1 - Hosts: 124.217.251.159 google.co.in
O1 - Hosts: 124.217.251.159 google.co.uk
O1 - Hosts: 124.217.251.159 google.lv
O1 - Hosts: 124.217.251.159 google.co.hu
O1 - Hosts: 124.217.251.159 google.lk
O1 - Hosts: 124.217.251.159 google.com.au
O1 - Hosts: 124.217.251.159 google.ru
O1 - Hosts: 124.217.251.159 google.nl
O1 - Hosts: 124.217.251.159 google.be
O1 - Hosts: 124.217.251.159 google.de
O1 - Hosts: 124.217.251.159 gogle.de
O1 - Hosts: 124.217.251.159 googel.de
O1 - Hosts: 124.217.251.159 google.ro
O1 - Hosts: 124.217.251.159 google.kz
O1 - Hosts: 124.217.251.159 google.by
O1 - Hosts: 124.217.251.159 google.no
O1 - Hosts: 124.217.251.159 google.pl
O1 - Hosts: 124.217.251.159 google.com.pl
O1 - Hosts: 124.217.251.159 google.es
O1 - Hosts: 124.217.251.159 google.pt
O1 - Hosts: 124.217.251.159 google.com.br
O1 - Hosts: 124.217.251.159 google.vc
O1 - Hosts: 124.217.251.159 google.co.za
O1 - Hosts: 124.217.251.159 google.tm
O1 - Hosts: 124.217.251.159 google.com.my
O1 - Hosts: 124.217.251.159 google.bg
O1 - Hosts: 124.217.251.159 google.co.jp
O1 - Hosts: 124.217.251.159 google.ie
O1 - Hosts: 124.217.251.159 google.co.ck
O1 - Hosts: 124.217.251.159 google.com.mx
O1 - Hosts: 124.217.251.159 google.com.om
O1 - Hosts: 124.217.251.159 google.fr
O1 - Hosts: 124.217.251.159 google.mu
O1 - Hosts: 124.217.251.159 google.com.ph
O1 - Hosts: 124.217.251.159 google.com.jm
O1 - Hosts: 124.217.251.159 google.com
O1 - Hosts: 124.217.251.159 google.us
O1 - Hosts: 124.217.251.159 google.ro
O1 - Hosts: 124.217.251.159 Google
O1 - Hosts: 124.217.251.159 Google
O1 - Hosts: 124.217.251.159 Google
O1 - Hosts: 124.217.251.159 Google
O1 - Hosts: 124.217.251.159 Google
O1 - Hosts: 124.217.251.159 www.google.com.ca
O1 - Hosts: 124.217.251.159 www.google.com.ch
O1 - Hosts: 124.217.251.159 Google
O1 - Hosts: 124.217.251.159 Google
O1 - Hosts: 124.217.251.159 Google
O1 - Hosts: 124.217.251.159 Google
O1 - Hosts: 124.217.251.159 Google
O1 - Hosts: 124.217.251.159 Google
O1 - Hosts: 124.217.251.159 Google
O1 - Hosts: 124.217.251.159 Google
O1 - Hosts: 124.217.251.159 Google
O1 - Hosts: 124.217.251.159 Google
O1 - Hosts: 124.217.251.159 Google
O1 - Hosts: 124.217.251.159 Google
O1 - Hosts: 124.217.251.159 Google
O1 - Hosts: 124.217.251.159 Google
O1 - Hosts: 124.217.251.159 Google
O1 - Hosts: 124.217.251.159 Google
O1 - Hosts: 124.217.251.159 Google
O1 - Hosts: 124.217.251.159 Google
O1 - Hosts: 124.217.251.159 Google
O1 - Hosts: 124.217.251.159 Google
O1 - Hosts: 124.217.251.159 Google
O1 - Hosts: 124.217.251.159 Google
O1 - Hosts: 124.217.251.159 Unofficial Google
O1 - Hosts: 124.217.251.159 Google
O1 - Hosts: 124.217.251.159 Google
O1 - Hosts: 124.217.251.159 Google
O1 - Hosts: 124.217.251.159 Google
O1 - Hosts: 124.217.251.159 Google
O1 - Hosts: 124.217.251.159 Google
O1 - Hosts: 124.217.251.159 Google
O1 - Hosts: 124.217.251.159 Google
O1 - Hosts: 124.217.251.159 Google
O1 - Hosts: 124.217.251.159 Google
O1 - Hosts: 124.217.251.159 Google
O1 - Hosts: 124.217.251.159 Google
O1 - Hosts: 124.217.251.159 Google
O1 - Hosts: 124.217.251.159 Google
O1 - Hosts: 124.217.251.159 Google
O1 - Hosts: 124.217.251.159 Google
O1 - Hosts: 124.217.251.159 Google Video
O1 - Hosts: 124.217.251.159 Google Maps
O1 - Hosts: 124.217.251.159 Google Groups
O1 - Hosts: 124.217.251.159 Google News
O1 - Hosts: 124.217.251.159 Google Image Search
O1 - Hosts: 124.217.251.159 Google Earth
O1 - Hosts: 124.217.251.159 Google Code
O1 - Hosts: 124.217.251.159 www.directory.google.com
O1 - Hosts: 124.217.251.159 www.labs.google.com
O2 - BHO: Adobe PDF Reader - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Programme\Gemeinsame Dateien\Adobe\Acrobat\ActiveX\AcroIEHelper.dll
O2 - BHO: SSVHelper Class - {761497BB-D6F0-462C-B6EB-D4DAF1D92D43} - C:\Programme\Java\jre1.5.0_08\bin\ssv.dll
O2 - BHO: Google Toolbar Helper - {AA58ED58-01DD-4d91-8333-CF10577473F7} - c:\programme\google\googletoolbar3.dll
O2 - BHO: Google Toolbar Notifier BHO - {AF69DE43-7D58-4638-B6FA-CE66B5AD205D} - C:\Programme\Google\GoogleToolbarNotifier\2.0.301.7164\swg.dll
O2 - BHO: NAV Helper - {BDF3E430-B101-42AD-A544-FADC6B084872} - C:\Programme\Norton AntiVirus\NavShExt.dll
O3 - Toolbar: &Google - {2318C2B1-4965-11d4-9B18-009027A5CD4F} - c:\programme\google\googletoolbar3.dll
O3 - Toolbar: Norton AntiVirus - {42CDD1BF-3FFB-4238-8AD1-7859DF00B1D6} - C:\Programme\Norton AntiVirus\NavShExt.dll
O4 - HKLM\..\Run: [VTTimer] VTTimer.exe
O4 - HKLM\..\Run: [VTTrayp] VTtrayp.exe
O4 - HKLM\..\Run: [NeroFilterCheck] C:\Programme\Gemeinsame Dateien\Ahead\Lib\NeroCheck.exe
O4 - HKLM\..\Run: [PCMService] "C:\Programme\Home Cinema\PowerCinema\PCMService.exe"
O4 - HKLM\..\Run: [WheelMouse] C:\TRUSTP~1\wh_exec.exe
O4 - HKLM\..\Run: [TQ566808] "E:\Setup.exe"
O4 - HKLM\..\Run: [NAV Agent] C:\PROGRA~1\NORTON~1\navapw32.exe
O4 - HKLM\..\Run: [Symantec NetDriver Monitor] C:\PROGRA~1\SYMNET~1\SNDMon.exe /Consumer
O4 - HKLM\..\Run: [ToADiMon.exe] C:\Programme\T-Online\T-Online_Software_6\Basis-Software\Basis1\ToADiMon.exe -TOnlineAutodialStart
O4 - HKLM\..\Run: [Adobe Photo Downloader] "C:\Programme\Adobe\Photoshop Album Starter Edition\3.2\Apps\apdproxy.exe"
O4 - HKLM\..\Run: [Adobe Reader Speed Launcher] "C:\Programme\Adobe\Reader 8.0\Reader\Reader_sl.exe"
O4 - HKLM\..\Run: [QuickTime Task] "C:\Programme\QuickTime\qttask.exe" -atboottime
O4 - HKLM\..\Run: [SoundMan] SOUNDMAN.EXE
O4 - HKCU\..\Run: [AOLMIcon] C:\Programme\Gemeinsame Dateien\AOLSHARE\AOLMIcon.exe
O4 - HKCU\..\Run: [swg] C:\Programme\Google\GoogleToolbarNotifier\GoogleToolbarNotifier.exe
O4 - HKCU\..\Run: [AdobeUpdater] C:\Programme\Gemeinsame Dateien\Adobe\Updater5\AdobeUpdater.exe
O4 - HKCU\..\RunOnce: [SWHelper] "C:\WINDOWS\system32\Macromed\Shockwave 10\PostUpdate.exe" 1014020
O4 - HKUS\S-1-5-19\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'LOKALER DIENST')
O4 - HKUS\S-1-5-20\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'NETZWERKDIENST')
O4 - HKUS\S-1-5-18\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'SYSTEM')
O4 - HKUS\.DEFAULT\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'Default user')
O4 - Global Startup: Photo Loader resident.lnk = C:\Programme\CASIO\Photo Loader\Plauto.exe
O4 - Global Startup: Scanner Finder.lnk = C:\Programme\ScanWizard 5\ScannerFinder.exe
O8 - Extra context menu item: Öffnen mit WordPerfect - C:\Programme\WordPerfect Office X3\Programs\WPLauncher.hta
O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programme\Java\jre1.5.0_08\bin\ssv.dll
O9 - Extra 'Tools' menuitem: Sun Java Konsole - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programme\Java\jre1.5.0_08\bin\ssv.dll
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe
O9 - Extra button: Willkommen beim ALDI Foto Service - {75EF8084-954D-468e-BC49-6F6FBC6C9071} - ALDI FOTOSERVICE (file missing) (HKCU)
O9 - Extra button: ALDI TALK mit MEDION mobile - {82460E6C-F4F8-468a-8B44-F00DD4D7F712} - ALDI Talk: Ab 3ct mobil telefonieren. Ihr Prepaid Tarif ohne Vertragsbindung (file missing) (HKCU)
O9 - Extra button: Willkommen bei ALDI - {9EA53838-846B-4e59-892B-D87DEC919852} - Welcome to ALDI (file missing) (HKCU)
O16 - DPF: {17492023-C23A-453E-A040-C7C580BBF700} (Windows Genuine Advantage Validation Tool) - http://go.microsoft.com/fwlink/?linkid=39204
O16 - DPF: {6414512B-B978-451D-A0D8-FCFDF33E833C} (WUWebControl Class) - http://update.microsoft.com/windowsu...?1147879372515
O16 - DPF: {6E32070A-766D-4EE6-879C-DC1FA91D2FC3} (MUWebControl Class) - http://update.microsoft.com/microsof...?1147880351031
O17 - HKLM\System\CCS\Services\Tcpip\..\{295B6BE7-E788-48DE-B447-49426A8C05E4}: NameServer = 217.237.150.115 217.237.151.205
O23 - Service: Google Updater Service (gusvc) - Google - C:\Programme\Google\Common\Google Updater\GoogleUpdaterService.exe
O23 - Service: InstallDriver Table Manager (IDriverT) - Macrovision Corporation - C:\Programme\Gemeinsame Dateien\InstallShield\Driver\11\Intel 32\IDriverT.exe
O23 - Service: LightScribeService Direct Disc Labeling Service (LightScribeService) - Hewlett-Packard Company - C:\Programme\Gemeinsame Dateien\LightScribe\LSSrvc.exe
O23 - Service: Norton AntiVirus Auto-Protect-Dienst (navapsvc) - Symantec Corporation - C:\Programme\Norton AntiVirus\navapsvc.exe
O23 - Service: Cyberlink RichVideo Service(CRVS) (RichVideo) - Unknown owner - C:\Programme\CyberLink\Shared Files\RichVideo.exe
O23 - Service: ScriptBlocking Service (SBService) - Symantec Corporation - C:\PROGRA~1\GEMEIN~1\SYMANT~1\SCRIPT~1\SBServ.exe
O23 - Service: Symantec Network Drivers Service (SNDSrvc) - Symantec Corporation - C:\Programme\Gemeinsame Dateien\Symantec Shared\SNDSrvc.exe

--
End of file - 11545 bytes

Da hat ein Schädling deine /etc/hosts Datei umgebogen
Navigiere mal bitte zum Pfad c:\windows\system32\drivers\etc - dort findest Du eine Datei hosts - ersetze diese Datei mit dieser hosts-Datei. (per rechtsklick, Ziel speichern unter abspeichern)

Weitere Analysen müssen her: Erstell ein Logfile mit silentrunners und poste es.

Mach auch einen Durchlauf mit

ComboFix

Ein Leitfaden und Tutorium zur Nutzung von ComboFix

• Lade dir das Tool hier herunter auf den Desktop -> KLICK

Das Programm jedoch noch nicht starten sondern zuerst folgendes tun:

• Schliesse alle Anwendungen und Programme, vor allem deine Antiviren-Software und andere Hintergrundwächter, sowie deinen Internetbrowser.
  Vermeide es auch explizit während das Combofix läuft die Maus und Tastatur zu benutzen.

• Dann folgende Anleitung durchlesen und abarbeiten -> CCleaner Systembereinigung

• Starte nun die combofix.exe von deinem Desktop aus, bestätige die Warnmeldungen und lass dein System durchsuchen.

• Im Anschluss öffnet sich automatisch eine combofix.txt, diesen Inhalt bitte abkopieren und in deinen Beitrag einfügen. Das log findest du außerdem unter: C:\ComboFix.txt.

Wichtiger Hinweis:

Combofix darf ausschließlich ausgeführt werden wenn ein Kompetenzler dies ausdrücklich empfohlen hat!
Es sollte nie auf eigene Initiative hin ausgeführt werden! Eine falsche Benutzung kann ernsthafte Computerprobleme nach sich ziehen und eine Bereinigung der Infektion noch erschweren.

Hinweis: Combofix verhindert die Autostart Funktion aller CD / DVD und USB - Laufwerken um so eine Verbeitung einzudämmen. Wenn es hierdurch zu Problemen kommt, diese im Thread posten.


Die Logfiles mit [code]-tags umschlossen posten!!

...Da hat ein Schädling deine /etc/hosts Datei umgebogen
Navigiere mal bitte zum Pfad c:\windows\system32\drivers\etc - dort findest Du eine Datei hosts - ersetze diese Datei mit dieser hosts-Datei. (per rechtsklick, Ziel speichern unter abspeichern)...

Also: an letzterem scheitert es.

Gefunden hab ich die Datei bei mir. Pfad war ja auch leicht zu finden. Nur mit dem "Ersetzen" hapert es.

DieO-datei heißt: hosts, die neu dort abgespeicherte ist aber eine.txt datei. Frage also: WIE ersetze ich sie?

Dankä

ELR-21

lad meine hosts-Datei runter, z.B. aufm Desktop. Dann kopierst Du diese hosts-Datei einfach nach c:\windows\system32\drivers\etc. Die Abfrage, ob die Datei überschrieben werden soll, bestätigst Du mit Ja. Ganz einfach eigentlich...

Zitat von root24

lad meine hosts-Datei runter, z.B. aufm Desktop. Dann kopierst Du diese hosts-Datei einfach nach c:\windows\system32\drivers\etc. Die Abfrage, ob die Datei überschrieben werden soll, bestätigst Du mit Ja. Ganz einfach eigentlich...

wenn mans kann....

Ich meld mich gleich, erst mal probieren.

Danke!

auch auf die gefahr hin, als völlig blöd dazustehen...

Zwar gibts jetzt in ".../etc" eine weitere hosts Datei, allerdings endet diese mit ".txt"

Deswegen geht überschreiben, erstzen und sowas nicht!

ELR-21

Sry vergessen zu erwähnen:
Die besagte hosts-Datei ist eine einfache Textdatei hat aber keine Dateiendung. Textdateien hätten *.txt aber die hosts Datei heißt einfach nur hosts!

Entfern mal in den Ordneroptionen den Haken bei "Erweiterungen bei bekannten Dateitypen ausblenden" - dann siehst Du fortan alle Dateien auch mit ihrer Endung.

Meine hosts Datei müßtest Du ggf umbenennen, sodaß sie eben keine Endung hat! Die manipulierte hosts-Datei dann einfach mit meiner überschreiben...zur Not die manipulierte vorher löschen.

soooo, hat geklappt - erst die alte gelöscht, dann Deine umbenannt (=Endung weggeleassen) und fertig.

Jetzt werd ich mich mal an Step 2 machen... silentrunners

Ich melde mich dann morgen (heute) wieder, da Du Dich wohl auch gleich verziehen wirst, wie ich annehme...

Guts Nächtle + Thx erstmal

ELR-21

Zitat von root24

Weitere Analysen müssen her: Erstell ein Logfile mit silentrunners und poste es

So, war ja klar, Symantec blockt den silentrunner; trotz Deaktivierung.
Also miorgen weiter.

BTW wasn das:

Die Logfiles mit [code]-tags umschlossen posten!!

Gruß

ELR-21

Logfile mit code-tags umschlossen zu versehen hat einen tieferen Sinn. Denn Logfiles sollten so originalgetreu wie nur möglich gepostet werden:

Daten sollten genau so gepostet werden, wie sie produziert wurden, damit die Leser sich darauf verlassen können, das zu sehen, was du als Meldung erhalten hast. [Quelle]

Ein weiteres Probem hier im Forum: nach einer gewissen Anzahl von zeichen ohne Leerzeichen, fügt die Boardsoftware hier automatisch dann ein Leerzeichen ein. Das ist richtig lästig beim Auswerten von Logfiles und kann zu vielen Mißverständen führen. Verhindern läßt sich das nur wenn Du die Logs mit [code]-tags umschlossen postest oder sie z.B. (gezippt) bei file-upload.net hochlädst und hier verlinkst. Das Posten im Forum sollte aber auf jeden Fall den Vorrang haben und nur bei großen Logs sollten externe Seiten genutzt werden.

Die Code-Tags lassen sich hier übrigens über den #-Button automatisch einfügen.

Hallo,

ich komme erst heute dazu, nochmal nachzusehen.

Unglaublich, aber wahr:

Das Problem scheint weg zu sein. Google ist wieder da. Alle Funktionen wiederhergestellt.

Fraglich ist nur, ob ich das "Restprogramm" von root24 auch noch durchführen sollte, weil das System versucht ist oder so...?

@root24: Jedenfalls VIELEN DANK üfr die SUPER-Hilfe. :aplaus: +

ELR-21

Toll. Jetzt gehts erstmal nur wieder Google, aber tiefere Einsicht in Dein System konnte man noch nicht bekommen. Kann mir kaum vorstellen, daß der Symantec-Müll silentrunners blockiert. Poste da mal die genaue Fehlermeldung. Und Combofix solltest Du auch ausführen.