selbstöffnende Tabs im Firefox

IronDust · 13.09.2010, 11:35

Hallo,

nachdem ich selber nicht mehr weiterkomm, bin ich auf dieses klasse Board gestoßen! Hoffe ihr könnt mir weiterhelfen!

Nachdem ich schon google etc durchforstet habe und leider nix gefunden habe, hab ich wie gesagt das Board gefunden und durchgeforstet.
Bin dann auf den Thread gestoßen.

Ursachen sind ähnlich. Wenn ich iwas in google oder andere Suchmaschinen eingebe werd ich auf manche seiten mit ähnlichen/gleichen Suchwörtern geleitet. (In einem neuen Tab). So wars zB grade als ich "sport 1 " in die adresszeile eingegeben habe. sport1.de wurde geladen aber zeitversetzt wurde ein neuer Tab geöffnet --> "hxxp://sportnachrichten-jetzt.de/search.php?q=meade+etx+125 "
Dies passiert mir in letzter Zeit häufiger mal. als ich Antivir das System durchlaufen lassen habe hat er nix gefunden, Kaspersky online suche hat mir 3 Sachen gemeldet ( im Java Dev Ordner) die aber löschbar waren. Danach wurde nichts mehr gefunden. Nun hat sich damit aber keine Besserung ergeben. Tabs öffnen sich immer noch.
Hijackthis hat auch nichts (mir offensichtliches) ergeben.

Code:

ATTFilter

Logfile of Trend Micro HijackThis v2.0.2
Scan saved at 12:31:20, on 13.09.2010
Platform: Unknown Windows (WinNT 6.01.3504)
MSIE: Internet Explorer v8.00 (8.00.7600.16385)
Boot mode: Normal

Running processes:
C:\Windows\system32\Dwm.exe
C:\Windows\Explorer.EXE
C:\Windows\system32\taskhost.exe
D:\Programme\Avira\AntiVir Desktop\avgnt.exe
D:\Programme\Skype\Phone\Skype.exe
D:\Programme\DAEMON Tools Lite\DTLite.exe
C:\Program Files\Toshiba\Bluetooth Toshiba Stack\TosBtMng.exe
C:\Program Files\Toshiba\Bluetooth Toshiba Stack\TosA2dp.exe
C:\Program Files\Toshiba\Bluetooth Toshiba Stack\TosBtHid.exe
C:\Program Files\Toshiba\Bluetooth Toshiba Stack\TosBtHsp.exe
C:\Program Files\Toshiba\Bluetooth Toshiba Stack\TosAVRC.exe
C:\Program Files\Toshiba\Bluetooth Toshiba Stack\tosOBEX.exe
C:\Windows\system32\wbem\unsecapp.exe
D:\Programme\Thunderbird\thunderbird.exe
C:\Program Files\TrueCrypt\TrueCrypt.exe
D:\Programme\MirandaFusion\miranda32.exe
D:\Programme\Firefox\firefox.exe
D:\Programme\Skype\Toolbars\Shared\SkypeNames2.exe
D:\Programme\Firefox\plugin-container.exe
D:\Programme\Microsoft Office\Office14\EXCEL.EXE
D:\Programme\HijackThis\HijackThis.exe
C:\Windows\system32\NOTEPAD.EXE

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = hxxp://go.microsoft.com/fwlink/?LinkId=54896
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = hxxp://go.microsoft.com/fwlink/?LinkId=69157
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = hxxp://go.microsoft.com/fwlink/?LinkId=69157
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = hxxp://go.microsoft.com/fwlink/?LinkId=54896
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = hxxp://go.microsoft.com/fwlink/?LinkId=54896
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = hxxp://go.microsoft.com/fwlink/?LinkId=69157
R0 - HKLM\Software\Microsoft\Internet Explorer\Search,SearchAssistant = 
R0 - HKLM\Software\Microsoft\Internet Explorer\Search,CustomizeSearch = 
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = 
O2 - BHO: AcroIEHelperStub - {18DF081C-E8AD-4283-A596-FA578C2EBDC3} - C:\Program Files\Common Files\Adobe\Acrobat\ActiveX\AcroIEHelperShim.dll
O2 - BHO: URLRedirectionBHO - {B4F3A835-0E21-4959-BA22-42B3008E02FF} - D:\PROGRA~1\MICROS~1\Office14\URLREDIR.DLL
O2 - BHO: Java(tm) Plug-In 2 SSV Helper - {DBC80044-A445-435b-BC74-9C25C1C588A9} - C:\Program Files\Java\jre6\bin\jp2ssv.dll
O4 - HKLM\..\Run: [ITSecMng] %ProgramFiles%\TOSHIBA\Bluetooth Toshiba Stack\ItSecMng.exe /START
O4 - HKLM\..\Run: [avgnt] "D:\Programme\Avira\AntiVir Desktop\avgnt.exe" /min
O4 - HKLM\..\Run: [BCSSync] "D:\Programme\Microsoft Office\Office14\BCSSync.exe" /DelayServices
O4 - HKCU\..\Run: [Miranda Fusion] D:\Programme\MirandaFusion\fusiontools\mfstart.exe
O4 - HKCU\..\Run: [Skype] "D:\Programme\Skype\Phone\Skype.exe" /nosplash /minimized
O4 - HKCU\..\Run: [DAEMON Tools Lite] "D:\Programme\DAEMON Tools Lite\DTLite.exe" -autorun
O4 - HKUS\S-1-5-19\..\Run: [Sidebar] %ProgramFiles%\Windows Sidebar\Sidebar.exe /autoRun (User 'LOKALER DIENST')
O4 - HKUS\S-1-5-19\..\RunOnce: [mctadmin] C:\Windows\System32\mctadmin.exe (User 'LOKALER DIENST')
O4 - HKUS\S-1-5-20\..\Run: [Sidebar] %ProgramFiles%\Windows Sidebar\Sidebar.exe /autoRun (User 'NETZWERKDIENST')
O4 - HKUS\S-1-5-20\..\RunOnce: [mctadmin] C:\Windows\System32\mctadmin.exe (User 'NETZWERKDIENST')
O4 - Global Startup: Bluetooth Manager.lnk = ?
O8 - Extra context menu item: Nach Microsoft E&xcel exportieren - res://D:\PROGRA~1\MICROS~1\Office14\EXCEL.EXE/3000
O13 - Gopher Prefix: 
O18 - Filter hijack: text/xml - {807573E5-5146-11D5-A672-00B0D022E945} - C:\Program Files\Common Files\Microsoft Shared\OFFICE14\MSOXMLMF.DLL
O23 - Service: Avira AntiVir Planer (AntiVirSchedulerService) - Avira GmbH - D:\Programme\Avira\AntiVir Desktop\sched.exe
O23 - Service: Avira AntiVir Guard (AntiVirService) - Avira GmbH - D:\Programme\Avira\AntiVir Desktop\avguard.exe
O23 - Service: NVIDIA Display Driver Service (nvsvc) - NVIDIA Corporation - C:\Windows\system32\nvvsvc.exe
O23 - Service: TOSHIBA Bluetooth Service - TOSHIBA CORPORATION - C:\Program Files\Toshiba\Bluetooth Toshiba Stack\TosBtSrv.exe

--
End of file - 4315 bytes

Hier noch der MAM Quick search (des eine is entfernt worden lag ja aber uach nur im Temp verzeichniss also auch net richtig gelöscht oder?)

Code:

ATTFilter

Malwarebytes' Anti-Malware 1.46
www.malwarebytes.org

Datenbank Version: 4605

Windows 6.1.7600
Internet Explorer 8.0.7600.16385

13.09.2010 12:57:10
mbam-log-2010-09-13 (12-57-10).txt

Art des Suchlaufs: Quick-Scan
Durchsuchte Objekte: 136019
Laufzeit: 7 Minute(n), 30 Sekunde(n)

Infizierte Speicherprozesse: 0
Infizierte Speichermodule: 0
Infizierte Registrierungsschlüssel: 0
Infizierte Registrierungswerte: 0
Infizierte Dateiobjekte der Registrierung: 0
Infizierte Verzeichnisse: 0
Infizierte Dateien: 1

Infizierte Speicherprozesse:
(Keine bösartigen Objekte gefunden)

Infizierte Speichermodule:
(Keine bösartigen Objekte gefunden)

Infizierte Registrierungsschlüssel:
(Keine bösartigen Objekte gefunden)

Infizierte Registrierungswerte:
(Keine bösartigen Objekte gefunden)

Infizierte Dateiobjekte der Registrierung:
(Keine bösartigen Objekte gefunden)

Infizierte Verzeichnisse:
(Keine bösartigen Objekte gefunden)

Infizierte Dateien:
C:\Users\Jannik\AppData\Local\Temp\8A9A.tmp (Rootkit.TDSS) -> Quarantined and deleted successfully.

Windows Defender hat auch nichts gefunden. Bin derzeit a weng ratlos.

Viele GRüße
Jannik

P.S. Ich nutze Win7. Updates sind vom 31.8. Derzeit sind keine Updates mehr machbar. Da bei mir immer beim Updaten der Fehler "80072EFE" kommt
P.S.S. Danke schon mal!

markusg · 13.09.2010, 12:47

bitte erstelle und poste ein combofix log.
Ein Leitfaden und Tutorium zur Nutzung von ComboFix

IronDust · 13.09.2010, 13:57

Hat zwar am Anfang ein Fehler gebracht ( ohne nähere Beschreibung konnte nur "ok" drücken) hat aber alles einmal durchlaufen lassen...

hier das log

markusg · 13.09.2010, 14:32

ok, malwarebytes öffnen, updaten, vollständigen scan starten, log posten, funde löschen

IronDust · 13.09.2010, 15:30

Hier das versprochene log

Code:

ATTFilter

Malwarebytes' Anti-Malware 1.46
www.malwarebytes.org

Datenbank Version: 4607

Windows 6.1.7600
Internet Explorer 8.0.7600.16385

13.09.2010 16:29:39
mbam-log-2010-09-13 (16-29-39).txt

Art des Suchlaufs: Vollständiger Suchlauf (C:\|D:\|)
Durchsuchte Objekte: 217645
Laufzeit: 36 Minute(n), 44 Sekunde(n)

Infizierte Speicherprozesse: 0
Infizierte Speichermodule: 0
Infizierte Registrierungsschlüssel: 0
Infizierte Registrierungswerte: 0
Infizierte Dateiobjekte der Registrierung: 0
Infizierte Verzeichnisse: 0
Infizierte Dateien: 1

Infizierte Speicherprozesse:
(Keine bösartigen Objekte gefunden)

Infizierte Speichermodule:
(Keine bösartigen Objekte gefunden)

Infizierte Registrierungsschlüssel:
(Keine bösartigen Objekte gefunden)

Infizierte Registrierungswerte:
(Keine bösartigen Objekte gefunden)

Infizierte Dateiobjekte der Registrierung:
(Keine bösartigen Objekte gefunden)

Infizierte Verzeichnisse:
(Keine bösartigen Objekte gefunden)

Infizierte Dateien:
D:\Programme\Phase Html Editor\Plugins\Tabellenzerleger.dll (Trojan.Dropper.PGen) -> Quarantined and deleted successfully.

markusg · 13.09.2010, 15:57

öffne malwarebytes, quarantäne
D:\Programme\Phase Html Editor\Plugins\Tabellenzerleger.dll
wiederherstellen.
rechtsklick avira schirm, guard deaktivieren
öffne mein computer, c: qoobox, dort rechtsklick auf quarantain und zu quarantain.rar oder zip hinzufügen, das archiv geht an uns.
dateiupload:
http://www.trojaner-board.de/54791-a...ner-board.html
wie läuft der pc jetzt?

Iskra · 13.09.2010, 16:09

Ich würde dir empfehlen die Firefox Addons noscript und Adblock Plus zu installieren.

Zwar wirst du zuerst auf jeder deiner gewünschten Seiten erst das Öffnen erlauben müssen, dafür wird aber unnötige Werbung und mMn auch selbstöffnende Werbung geblockt.

Sollte der Tab sich trotzdem öffnen, so wird der Aufbau der eigentlichen Seite durch das oben genannte noscript verhindert.

IronDust · 13.09.2010, 16:14

ist wiederhergestellt und hochgeladen

bisher kam noch kein neuer Tab. aber die kamen total unregelmäßig. Werde mal sehen was der rest des Tages (und morgen ) bringt.

Danke schon mal.

P.S. Adblock is instaliert und es geht hier nicht darum dass ich die Folgen bekämpfe... sondern den Virus ansich.

markusg · 13.09.2010, 16:31

ich denke nicht das da noch was kommt, und wir werden den pc noch absichern, damits auch so bleibt.
avira
http://www.trojaner-board.de/54192-a...tellungen.html
avira 10 so instalieren bzw. dann konfigurieren. wenn du die konfiguration übernommen hast, update das programm.
klicke dann auf "lokaler schutz" "lokale laufwerke" eventuelle funde in quarantäne, log posten.

sus7 · 13.09.2010, 18:44

ich hoffe das das hier erlaubt ist, aber ich setze mal meinen Thread hier rein:

http://www.trojaner-board.de/90650-j...tml#post566805

weil ich das gleiche Problem habe.
An den Threadersteller:
Ist dir aufgefallen nach welcher Aktion das bei dir das erste Mal aufgetaucht ist?

Ich habe schon ein paar logs gemacht. Ich nutze das OLD hier aus dem Forum, Antivir,antmalewarebyten,adaware, spybot und sophos anti rootkit.
Ich habe adblock plus nun im firefox als addon, gebe die Werbe-Seiten bei den im Firefox verbotenen Cookies manuell ein, habe bei den Firefox Erweiterungen Java Enviremant 6.0 deinstalliert & Java Quick Starter Deaktiviert (lässt sich nicht deintallieren).

Bei den Plugins im Firefox lassen sich bei nur deaktivieren. Dadurch werden alle Seiten korrekt angezeigt, aber es werde keine Viren durch die Werbe Seiten in die Anwendungsdaten-Java-Development... eingeschläust.

Wäre super wenn wir das Problem zusammen lösen könnten. Habe auch ein paar Werbe URLs gepostet. Danke für eure Hilfe

IronDust · 13.09.2010, 22:03

Antivir nach den Krits durchlaufen lassen...

leider weniger erfreulich...

Code:

ATTFilter

Avira AntiVir Personal
Erstellungsdatum der Reportdatei: Montag, 13. September 2010  22:26

Es wird nach 2836675 Virenstämmen gesucht.

Das Programm läuft als uneingeschränkte Vollversion.
Online-Dienste stehen zur Verfügung.

Lizenznehmer   : Avira AntiVir Personal - FREE Antivirus
Seriennummer   : 0000149996-ADJIE-0000001
Plattform      : Windows 7
Windowsversion : (plain)  [6.1.7600]
Boot Modus     : Normal gebootet
Benutzername   : Jannik
Computername   : JOE

Versionsinformationen:
BUILD.DAT      : 10.0.0.567     32097 Bytes  19.04.2010 15:50:00
AVSCAN.EXE     : 10.0.3.0      433832 Bytes  01.04.2010 11:37:35
AVSCAN.DLL     : 10.0.3.0       56168 Bytes  30.03.2010 10:42:16
LUKE.DLL       : 10.0.2.3      104296 Bytes  07.03.2010 17:32:59
LUKERES.DLL    : 10.0.0.0       13672 Bytes  14.01.2010 10:59:47
VBASE000.VDF   : 7.10.0.0    19875328 Bytes  06.11.2009 08:05:36
VBASE001.VDF   : 7.10.1.0     1372672 Bytes  19.11.2009 18:27:49
VBASE002.VDF   : 7.10.3.1     3143680 Bytes  20.01.2010 16:37:42
VBASE003.VDF   : 7.10.3.75     996864 Bytes  26.01.2010 15:37:42
VBASE004.VDF   : 7.10.4.203   1579008 Bytes  05.03.2010 10:29:03
VBASE005.VDF   : 7.10.6.82    2494464 Bytes  15.04.2010 19:32:02
VBASE006.VDF   : 7.10.7.218   2294784 Bytes  02.06.2010 19:33:45
VBASE007.VDF   : 7.10.9.165   4840960 Bytes  23.07.2010 19:36:23
VBASE008.VDF   : 7.10.11.133  3454464 Bytes  13.09.2010 19:38:09
VBASE009.VDF   : 7.10.11.134     2048 Bytes  13.09.2010 19:38:10
VBASE010.VDF   : 7.10.11.135     2048 Bytes  13.09.2010 19:38:10
VBASE011.VDF   : 7.10.11.136     2048 Bytes  13.09.2010 19:38:10
VBASE012.VDF   : 7.10.11.137     2048 Bytes  13.09.2010 19:38:10
VBASE013.VDF   : 7.10.11.138     2048 Bytes  13.09.2010 19:38:10
VBASE014.VDF   : 7.10.11.139     2048 Bytes  13.09.2010 19:38:10
VBASE015.VDF   : 7.10.11.140     2048 Bytes  13.09.2010 19:38:10
VBASE016.VDF   : 7.10.11.141     2048 Bytes  13.09.2010 19:38:11
VBASE017.VDF   : 7.10.11.142     2048 Bytes  13.09.2010 19:38:11
VBASE018.VDF   : 7.10.11.143     2048 Bytes  13.09.2010 19:38:12
VBASE019.VDF   : 7.10.11.144     2048 Bytes  13.09.2010 19:38:13
VBASE020.VDF   : 7.10.11.145     2048 Bytes  13.09.2010 19:38:14
VBASE021.VDF   : 7.10.11.146     2048 Bytes  13.09.2010 19:38:14
VBASE022.VDF   : 7.10.11.147     2048 Bytes  13.09.2010 19:38:14
VBASE023.VDF   : 7.10.11.148     2048 Bytes  13.09.2010 19:38:14
VBASE024.VDF   : 7.10.11.149     2048 Bytes  13.09.2010 19:38:14
VBASE025.VDF   : 7.10.11.150     2048 Bytes  13.09.2010 19:38:16
VBASE026.VDF   : 7.10.11.151     2048 Bytes  13.09.2010 19:38:17
VBASE027.VDF   : 7.10.11.152     2048 Bytes  13.09.2010 19:38:17
VBASE028.VDF   : 7.10.11.153     2048 Bytes  13.09.2010 19:38:17
VBASE029.VDF   : 7.10.11.154     2048 Bytes  13.09.2010 19:38:17
VBASE030.VDF   : 7.10.11.155     2048 Bytes  13.09.2010 19:38:18
VBASE031.VDF   : 7.10.11.157    50176 Bytes  13.09.2010 19:38:18
Engineversion  : 8.2.4.50  
AEVDF.DLL      : 8.1.2.1       106868 Bytes  13.09.2010 19:39:45
AESCRIPT.DLL   : 8.1.3.44     1364346 Bytes  13.09.2010 19:39:45
AESCN.DLL      : 8.1.6.1       127347 Bytes  13.09.2010 19:39:33
AESBX.DLL      : 8.1.3.1       254324 Bytes  13.09.2010 19:39:47
AERDL.DLL      : 8.1.8.2       614772 Bytes  13.09.2010 19:39:32
AEPACK.DLL     : 8.2.3.5       471412 Bytes  13.09.2010 19:39:25
AEOFFICE.DLL   : 8.1.1.8       201081 Bytes  13.09.2010 19:39:16
AEHEUR.DLL     : 8.1.2.21     2883958 Bytes  13.09.2010 19:39:13
AEHELP.DLL     : 8.1.13.3      242038 Bytes  13.09.2010 19:38:46
AEGEN.DLL      : 8.1.3.20      397684 Bytes  13.09.2010 19:38:42
AEEMU.DLL      : 8.1.2.0       393588 Bytes  13.09.2010 19:38:40
AECORE.DLL     : 8.1.16.2      192887 Bytes  13.09.2010 19:38:32
AEBB.DLL       : 8.1.1.0        53618 Bytes  13.09.2010 19:38:27
AVWINLL.DLL    : 10.0.0.0       19304 Bytes  14.01.2010 10:59:10
AVPREF.DLL     : 10.0.0.0       44904 Bytes  14.01.2010 10:59:07
AVREP.DLL      : 10.0.0.8       62209 Bytes  18.02.2010 15:47:40
AVREG.DLL      : 10.0.3.0       53096 Bytes  01.04.2010 11:35:44
AVSCPLR.DLL    : 10.0.3.0       83816 Bytes  01.04.2010 11:39:49
AVARKT.DLL     : 10.0.0.14     227176 Bytes  01.04.2010 11:22:11
AVEVTLOG.DLL   : 10.0.0.8      203112 Bytes  26.01.2010 08:53:25
SQLITE3.DLL    : 3.6.19.0      355688 Bytes  28.01.2010 11:57:53
AVSMTP.DLL     : 10.0.0.17      63848 Bytes  16.03.2010 14:38:54
NETNT.DLL      : 10.0.0.0       11624 Bytes  19.02.2010 13:40:55
RCIMAGE.DLL    : 10.0.0.26    2550120 Bytes  28.01.2010 12:10:08
RCTEXT.DLL     : 10.0.53.0      98152 Bytes  09.04.2010 13:14:28

Konfiguration für den aktuellen Suchlauf:
Job Name..............................: Lokale Laufwerke
Konfigurationsdatei...................: D:\Programme\Avira\AntiVir Desktop\alldrives.avp
Protokollierung.......................: niedrig
Primäre Aktion........................: interaktiv
Sekundäre Aktion......................: ignorieren
Durchsuche Masterbootsektoren.........: ein
Durchsuche Bootsektoren...............: ein
Bootsektoren..........................: C:, D:, F:, 
Durchsuche aktive Programme...........: ein
Durchsuche Registrierung..............: ein
Suche nach Rootkits...................: ein
Integritätsprüfung von Systemdateien..: ein
Datei Suchmodus.......................: Intelligente Dateiauswahl
Durchsuche Archive....................: ein
Rekursionstiefe einschränken..........: 20
Archiv Smart Extensions...............: ein
Makrovirenheuristik...................: ein
Dateiheuristik........................: hoch
Abweichende Gefahrenkategorien........: +PCK,+PFS,+SPR,

Beginn des Suchlaufs: Montag, 13. September 2010  22:26

Der Suchlauf nach versteckten Objekten wird begonnen.

Der Suchlauf über gestartete Prozesse wird begonnen:
Durchsuche Prozess 'SearchFilterHost.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'SearchProtocolHost.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'svchost.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'vssvc.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'avscan.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'avcenter.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'EXCEL.EXE' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'avgnt.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'sched.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'conhost.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'avshadow.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'avguard.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'MyPhoneExplorer portable.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'Biet-O-Matic.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'OSPPSVC.EXE' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'plugin-container.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'SkypeNames2.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'firefox.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'svchost.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'thunderbird.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'svchost.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'TosBtProc.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'wmiprvse.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'unsecapp.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'tosOBEX.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'TosAVRC.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'TosBtHsp.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'TosBtHid.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'TosA2dp.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'wmpnetwk.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'SearchIndexer.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'miranda32.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'TosBtMng.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'Skype.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'TosBtSrv.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'taskhost.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'svchost.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'Explorer.EXE' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'Dwm.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'svchost.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'spoolsv.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'svchost.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'nvvsvc.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'svchost.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'svchost.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'svchost.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'svchost.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'svchost.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'nvvsvc.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'svchost.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'winlogon.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'lsm.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'lsass.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'services.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'csrss.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'wininit.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'csrss.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'smss.exe' - '1' Modul(e) wurden durchsucht

Untersuchung der Systemdateien wird begonnen:
Signiert -> 'C:\Windows\system32\svchost.exe'
Signiert -> 'C:\Windows\system32\winlogon.exe'
Signiert -> 'C:\Windows\explorer.exe'
Signiert -> 'C:\Windows\system32\smss.exe'
Signiert -> 'C:\Windows\system32\wininet.DLL'
Signiert -> 'C:\Windows\system32\wsock32.DLL'
Signiert -> 'C:\Windows\system32\ws2_32.DLL'
Signiert -> 'C:\Windows\system32\services.exe'
Signiert -> 'C:\Windows\system32\lsass.exe'
Signiert -> 'C:\Windows\system32\csrss.exe'
Signiert -> 'C:\Windows\system32\drivers\kbdclass.sys'
Signiert -> 'C:\Windows\system32\spoolsv.exe'
Signiert -> 'C:\Windows\system32\alg.exe'
Signiert -> 'C:\Windows\system32\wuauclt.exe'
Signiert -> 'C:\Windows\system32\advapi32.DLL'
Signiert -> 'C:\Windows\system32\user32.DLL'
Signiert -> 'C:\Windows\system32\gdi32.DLL'
Signiert -> 'C:\Windows\system32\kernel32.DLL'
Signiert -> 'C:\Windows\system32\ntdll.DLL'
Signiert -> 'C:\Windows\system32\ntoskrnl.exe'
Signiert -> 'C:\Windows\system32\ctfmon.exe'
Die Systemdateien wurden durchsucht ('21' Dateien)

Der Suchlauf über die Masterbootsektoren wird begonnen:
Masterbootsektor HD0
    [INFO]      Es wurde kein Virus gefunden!

Der Suchlauf über die Bootsektoren wird begonnen:
Bootsektor 'C:\'
    [INFO]      Es wurde kein Virus gefunden!
Bootsektor 'D:\'
    [INFO]      Es wurde kein Virus gefunden!

Der Suchlauf auf Verweise zu ausführbaren Dateien (Registry) wird begonnen:
Die Registry wurde durchsucht ( '424' Dateien ).


Der Suchlauf über die ausgewählten Dateien wird begonnen:

Beginne mit der Suche in 'C:\'
C:\Qoobox\Quarantine.zip
[0] Archivtyp: ZIP
  [FUND]      Ist das Trojanische Pferd TR/Rootkit.Gen3
--> Quarantine/C/Windows/system32/Drivers/tosrfcom.sys.vir
  [FUND]      Ist das Trojanische Pferd TR/Rootkit.Gen3
C:\Qoobox\Quarantine\C\Windows\system32\Drivers\tosrfcom.sys.vir
    [FUND]      Ist das Trojanische Pferd TR/Rootkit.Gen3
C:\Users\Jannik\AppData\LocalLow\Sun\Java\Deployment\cache\6.0\17\7531b5d1-116438c8
[0] Archivtyp: ZIP
  [FUND]      Enthält Erkennungsmuster des Java-Virus JAVA/Agent.M.2
--> dev/s/DyesyasZ.class
  [FUND]      Enthält Erkennungsmuster des Java-Virus JAVA/Agent.M.2
--> dev/s/LoaderX.class
  [FUND]      Enthält Erkennungsmuster des Java-Virus JAVA/Agent.M.1
C:\Users\Jannik\AppData\LocalLow\Sun\Java\Deployment\cache\6.0\34\41c61822-2a5da39d
[0] Archivtyp: ZIP
  [FUND]      Enthält Erkennungsmuster des Java-Virus JAVA/Agent.AJ.4
--> JavaUpdateManager.class
  [FUND]      Enthält Erkennungsmuster des Java-Virus JAVA/Agent.AJ.4
C:\Windows\System32\config\systemprofile\AppData\LocalLow\Sun\Java\Deployment\cache\6.0\3\42f82403-7644ae83
[0] Archivtyp: ZIP
  [FUND]      Enthält Erkennungsmuster des Java-Virus JAVA/Agent.M.2
--> dev/s/DyesyasZ.class
  [FUND]      Enthält Erkennungsmuster des Java-Virus JAVA/Agent.M.2
--> dev/s/LoaderX.class
  [FUND]      Enthält Erkennungsmuster des Java-Virus JAVA/Agent.M.1
C:\Windows\System32\config\systemprofile\AppData\LocalLow\Sun\Java\Deployment\cache\6.0\52\1c4f3634-4842e110
[0] Archivtyp: ZIP
  [FUND]      Enthält Erkennungsmuster des Java-Virus JAVA/Rowindal.A
--> CustomClass.class
  [FUND]      Enthält Erkennungsmuster des Java-Virus JAVA/Rowindal.A
--> dostuff.class
  [FUND]      Enthält Erkennungsmuster des Java-Virus JAVA/Rowindal.B
--> mosdef.class
  [FUND]      Enthält Erkennungsmuster des Java-Virus JAVA/Agent.C
--> SiteError.class
  [FUND]      Enthält Erkennungsmuster des Java-Virus JAVA/Agent.D
--> SuperPolicy.class
  [FUND]      Enthält Erkennungsmuster des Java-Virus JAVA/Rowindal.C
Beginne mit der Suche in 'D:\' <Daten>
Beginne mit der Suche in 'F:\' <new>

Beginne mit der Desinfektion:
C:\Windows\System32\config\systemprofile\AppData\LocalLow\Sun\Java\Deployment\cache\6.0\52\1c4f3634-4842e110
    [FUND]      Enthält Erkennungsmuster des Java-Virus JAVA/Rowindal.C
    [HINWEIS]   Die Datei wurde ins Quarantäneverzeichnis unter dem Namen '488735a5.qua' verschoben!
C:\Windows\System32\config\systemprofile\AppData\LocalLow\Sun\Java\Deployment\cache\6.0\3\42f82403-7644ae83
    [FUND]      Enthält Erkennungsmuster des Java-Virus JAVA/Agent.M.1
    [HINWEIS]   Die Datei wurde ins Quarantäneverzeichnis unter dem Namen '50261bd1.qua' verschoben!
C:\Users\Jannik\AppData\LocalLow\Sun\Java\Deployment\cache\6.0\34\41c61822-2a5da39d
    [FUND]      Enthält Erkennungsmuster des Java-Virus JAVA/Agent.AJ.4
    [HINWEIS]   Die Datei wurde ins Quarantäneverzeichnis unter dem Namen '027c4138.qua' verschoben!
C:\Users\Jannik\AppData\LocalLow\Sun\Java\Deployment\cache\6.0\17\7531b5d1-116438c8
    [FUND]      Enthält Erkennungsmuster des Java-Virus JAVA/Agent.M.1
    [HINWEIS]   Die Datei wurde ins Quarantäneverzeichnis unter dem Namen '647b0ec6.qua' verschoben!
C:\Qoobox\Quarantine\C\Windows\system32\Drivers\tosrfcom.sys.vir
    [FUND]      Ist das Trojanische Pferd TR/Rootkit.Gen3
    [HINWEIS]   Die Datei wurde ins Quarantäneverzeichnis unter dem Namen '203f2202.qua' verschoben!
C:\Qoobox\Quarantine.zip
    [FUND]      Ist das Trojanische Pferd TR/Rootkit.Gen3
    [HINWEIS]   Die Datei wurde ins Quarantäneverzeichnis unter dem Namen '5eca1059.qua' verschoben!


Ende des Suchlaufs: Montag, 13. September 2010  22:59
Benötigte Zeit: 32:44 Minute(n)

Der Suchlauf wurde vollständig durchgeführt.

  16469 Verzeichnisse wurden überprüft
 392576 Dateien wurden geprüft
     12 Viren bzw. unerwünschte Programme wurden gefunden
      0 Dateien wurden als verdächtig eingestuft
      0 Dateien wurden gelöscht
      0 Viren bzw. unerwünschte Programme wurden repariert
      6 Dateien wurden in die Quarantäne verschoben
      0 Dateien wurden umbenannt
      0 Dateien konnten nicht durchsucht werden
 392564 Dateien ohne Befall
   2669 Archive wurden durchsucht
      0 Warnungen
      6 Hinweise
  18093 Objekte wurden beim Rootkitscan durchsucht
      0 Versteckte Objekte wurden gefunden

DEinen Thread hab ich gesehn und wollte den eingeltich auch im Ursprungsthread erwähnen, nur hab ihc anscheinend den link nach dem Ersten absatz vergessen ...

Nein ich weiß nicht mehr wann es das erste mal aufgetreten is. Das komische is dass ich auhc teilweise zu seiten wie myhammer weitergeleitet wurde oä...

P.S.: Beim erneuten durchsuchen wurden keine Viren mehr gefunden

markusg · 14.09.2010, 10:54

das sieht doch so schlecht nicht aus.
ootl:
Systemscan mit OTL
download otl:
http://filepony.de/download-otl/

Doppelklick auf die OTL.exe
(user von Windows 7 und Vista: Rechtsklick als Administrator ausführen)
1. Oben findest Du ein Kästchen mit Output. Wähle bitte Minimal Output
2. Hake an "scan all users"
3. Unter "Extra Registry wähle:
"Use Safelist" "LOP Check" "Purity Check"
4. Kopiere in die Textbox:
netsvcs
msconfig
safebootminimal
safebootnetwork
activex
drivers32
%ALLUSERSPROFILE%\Application Data\*.
%ALLUSERSPROFILE%\Application Data\*.exe /s
%APPDATA%\*.
%APPDATA%\*.exe /s
%SYSTEMDRIVE%\*.exe
/md5start
userinit.exe
eventlog.dll
scecli.dll
netlogon.dll
cngaudit.dll
ws2ifsl.sys
sceclt.dll
ntelogon.dll
winlogon.exe
logevent.dll
user32.DLL
iaStor.sys
nvstor.sys
atapi.sys
IdeChnDr.sys
viasraid.sys
AGP440.sys
vaxscsi.sys
nvatabus.sys
viamraid.sys
nvata.sys
nvgts.sys
iastorv.sys
ViPrt.sys
eNetHook.dll
ahcix86.sys
KR10N.sys
nvstor32.sys
ahcix86s.sys
/md5stop
%systemroot%\system32\drivers\*.sys /lockedfiles
%systemroot%\System32\config\*.sav
%systemroot%\*. /mp /s
%systemroot%\system32\*.dll /lockedfiles
CREATERESTOREPOINT
5. Klicke "Scan"
6. 2 reporte werden erstellt:
OTL.Txt
Extras.Txt
poste beide.

IronDust · 14.09.2010, 11:36

leider hängt sich OTL bei dem Scannen der Firefox profile immer auf. Und gibt keine Rückmeldung mehr.

markusg · 14.09.2010, 11:41

öffne firefox, extras, neueste kronik löschen, von anfang an, ok.
schließe alle aktieven programme
starte otl mit rechtsklick, als admin ausführen.

IronDust · 14.09.2010, 11:59

Problem bleibt leider bestehen, bleibt beim Scannen der FF profile hängen und macht nix

13.09.2010, 12:47	#2
markusg /// Malware-holic	selbstöffnende Tabs im Firefox bitte erstelle und poste ein combofix log. Ein Leitfaden und Tutorium zur Nutzung von ComboFix __________________

13.09.2010, 14:32	#4
markusg /// Malware-holic	selbstöffnende Tabs im Firefox ok, malwarebytes öffnen, updaten, vollständigen scan starten, log posten, funde löschen

14.09.2010, 11:41	#14
markusg /// Malware-holic	selbstöffnende Tabs im Firefox öffne firefox, extras, neueste kronik löschen, von anfang an, ok. schließe alle aktieven programme starte otl mit rechtsklick, als admin ausführen.

selbstöffnende Tabs im Firefox

Plagegeister aller Art und deren Bekämpfung: selbstöffnende Tabs im Firefox