Hallo zusammen,

ich habe ein Problem und hoffe, dass ihr mir helfen könnt.
Vor ein paar Tagen hat sich meine Startseite bei Firefox und Internet Explorer zu easylifeapp search verändert. Zusätzlich werden seitdem auf sämtlichen Webseiten irgendwelche Wörter zu anderen Seiten wie vermeintlichen Job-Börsen, Single-Börsen oder Umfragen verlinkt. Wenn ich mit der Maus über diese Links fahre, erscheint immer ein kleines Fenster, in dem dann die entsprechende Werbung zu sehen ist. Ich habe zwei mal drauf gelickt und wurde zu einer Umfrage weitergeleitet, bei der man angeblich ein iPhone gewinnen kann.

Ich habe auf meinem Computer nach easylifeapp gesucht und tatsächlich ein Programm mit diesem Namen gefunden und es deinstalliert. Dadurch hat sich aber nichts verändert. Erst nach der Bearbeitung mit adwcleaner ist easylifeapp search von meiner Startseite verschwunden. Diese Links auf den Webseiten bleiben aber weiterhin bestehen.

Könnt ihr mir helfen das wieder loszuwerden?
Danke schon mal im Voraus!

Mein Name ist Matthias und ich werde dir bei der Bereinigung deines Computers helfen.


Bitte beachte folgende Hinweise:

• Eine Bereinigung ist mitunter mit viel Arbeit für dich verbunden. Es können mehrere Analyse- und Bereinigungsschritte erforderlich sein.
  Abschließend entfernen wir wieder alle verwendeten Programme und ich gebe dir ein paar Tipps für die Zukunft mit auf den Weg.
• Bei Anzeichen von illegaler Software wird der Support ohne Diskussion eingestellt.
• Bitte arbeite alle Schritte in der vorgegebenen Reihefolge nacheinander ab.
• Lies dir die Anleitungen sorgfältig durch. Solltest du Probleme haben, stoppe mit deiner Bearbeitung und beschreibe mir dein Problem so gut es geht.
• Führe nur Scans durch, zu denen du von mir oder einem anderen Helfer aufgefordert wirst.
• Bitte kein Crossposting (posten in mehreren Foren).
• Installiere oder deinstalliere während der Bereinigung keine Software außer du wirst dazu aufgefordert.
• Solltest du mir nicht innerhalb von 3 Tagen antworten, gehe ich davon aus, dass du keine Hilfe mehr benötigst. Dann lösche ich dein Thema aus meinem Abo.
  Solltest du einmal länger abwesend sein, so gib mir bitte Bescheid!
• Alle zu verwendenen Programme sind auf dem Desktop abzuspeichern und von dort zu starten!
  Ich kann Dir niemals eine Garantie geben, dass auch ich alles finde. Eine Formatierung ist meist der schnellere und immer der sicherste Weg.
  Solltest Du Dich für eine Bereinigung entscheiden, arbeite solange mit, bis dir jemand vom Team sagt, dass Du clean bist.

Zitat von upper roma

Erst nach der Bearbeitung mit adwcleaner ist easylifeapp search von meiner Startseite verschwunden. Diese Links auf den Webseiten bleiben aber weiterhin bestehen.

Poste mir bitte alle Logdateien von AdwCleaner, zu finden hier:
C:\AdwCleaner[Sx].txt (x = fortlaufende Nummer).


Außerdem bitte diese Schritte ausführen:






Schritt 1
Lade Dir bitte OTL von Oldtimer herunter und speichere es auf Deinem Desktop (falls noch nicht vorhanden).

• Starte bitte die OTL.exe.
• Oben findest Du ein Kästchen mit Ausgabe. Wähle bitte Standard Ausgabe.
• Setze einen Haken bei Scanne alle Benutzer.
• Unter Extra Registry, wähle bitte Use SafeList.
• Kopiere nun den Inhalt aus der Codebox in die Textbox.

activex
msconfig
hklm\software\clients\startmenuinternet|command /rs
hklm\software\clients\startmenuinternet|command /64 /rs
CREATERESTOREPOINT
         

• Schließe bitte nun alle Programme. (Wichtig)
• Klicke nun bitte auf den Scan Button.
• Am Ende des Suchlaufs werden 2 Logdateien erstellt.
• Kopiere nun den Inhalt aus OTL.txt und Extra.txt hier in Deinen Thread

Schritt 2
Downloade Dir bitte defogger von jpshortstuff auf Deinem Desktop.

• Starte das Tool mit Doppelklick.
• Klicke nun auf den Disable Button, um die Treiber gewisser Emulatoren zu deaktivieren.
• Defogger wird dich fragen "Defogger will forcefully terminate and disable all CD Emulator related drivers and processes... Continue?" bestätige diese Sicherheitsabfrage mit Ja.
• Wenn der Scan beendet wurde (Finished), klicke auf OK.
• Defogger fordert gegebenfalls zum Neustart auf. Bestätige dies mit OK.
• Defogger erstellt auf dem Desktop eine Logdatei mit dem Namen defogger_disable.txt. Poste deren Inhalt mit deiner nächsten Antwort.

Klicke den Re-enable Button nicht ohne Anweisung!





Schritt 3
Bitte lade dir GMER herunter: (Dateiname zufällig)

• Schließe alle anderen Programme, deaktiviere deinen Virenscanner und trenne den Rechner vom Internet bevor du GMER startest.
• Sollte sich nach dem Start ein Fenster mit folgender Warnung öffnen:

  WARNING !!!
  GMER has found system modification, which might have been caused by ROOTKIT activity.
  Do you want to fully scan your system ?
  

  Unbedingt auf "No" klicken.
• Entferne rechts den Haken bei: IAT/EAT und Show All
• Setze den Haken bei Quickscan und entferne ihn bei allen anderen Laufwerken.
• Starte den Scan mit "Scan".
• Mache nichts am Computer während der Scan läuft.
• Wenn der Scan fertig ist klicke auf Save und speichere die Logfile unter Gmer.txt auf deinem Desktop. Mit "Ok" wird GMER beendet.

Antiviren-Programm und sonstige Scanner wieder einschalten, bevor Du ins Netz gehst!

Tauchen Probleme auf?

• Probiere alternativ den abgesicherten Modus.
• Erhältst du einen Bluescreen, dann entferne den Haken vor Devices.

Bitte poste mit deiner nächsten Antwort

• die Logdateien von AdwCleaner,
• die beiden Logdateien von OTL,
• die Logdatei von DeFogger,
• die Logdatei von GMER.

Hallo Matthias,

vielen Dank für deine schnelle Antwort.
im Anhang die Logfiles.

Servus,



AdwCleaner hat nicht alles erwischt. Wir müssen nochmal ran.





Schritt 1

Fixen mit OTL

• Starte bitte die OTL.exe.
• Kopiere nun den Inhalt aus der Codebox in die Textbox.

:OTL
FF - prefs.js..browser.search.defaultenginename: "EasyLife"
FF - prefs.js..browser.search.defaultenginename,S: S", "EasyLife"
FF - prefs.js..browser.search.defaultthis.engineName: ""
FF - prefs.js..browser.search.order.1: "EasyLife"
FF - prefs.js..browser.search.order.1,S: S", "EasyLife"
FF - prefs.js..browser.search.selectedEngine,S: S", "EasyLife"
FF - HKEY_CURRENT_USER\software\mozilla\Firefox\extensions\\{ED0CF0C8-62F1-4865-A3FD-2E2A2B50FAFA}: %appdata%\5008 [2010.11.29 01:39:37 | 000,000,000 | ---D | M]
[2013.03.28 02:18:33 | 000,000,000 | ---D | M] (Browse2SiAAvae) -- %appdata%\mozilla\Firefox\Profiles\h3l95hqu.default\extensions\tewq-81@mszcwwvcyfgram.net
[2013.03.28 02:17:13 | 000,000,580 | ---- | M] () -- %appdata%\mozilla\firefox\profiles\h3l95hqu.default\searchplugins\EasyLife.xml
O2 - BHO: (Browse2SiAAvae) - {0A10EC6C-D414-CA52-91FE-35283AAD2A5D} - C:\ProgramData\Browse2SiAAvae\5153233147a80.dll ()
O2 - BHO: (no name) - {5C255C8A-E604-49b4-9D64-90988571CECB} - No CLSID value found.
O3 - HKU\S-1-5-21-3931753103-4279822412-3289483211-1000\..\Toolbar\WebBrowser: (no name) - {21FA44EF-376D-4D53-9B0F-8A89D3229068} - No CLSID value found.
O8 - Extra context menu item: Free YouTube Download - %appdata%\DVDVideoSoftIEHelpers\freeyoutubedownload.htm File not found
[2013.03.28 02:15:58 | 000,000,000 | ---D | C] -- C:\ProgramData\Microsoft\Windows\Start Menu\Programs\Browse2SiAAvae
[2013.03.28 02:15:58 | 000,000,000 | ---D | C] -- C:\ProgramData\Browse2SiAAvae

:commands
[Emptytemp]
         

• Solltest du deinen Benutzernamen z. B. durch "*****" unkenntlich gemacht haben, so füge an entsprechender Stelle deinen richtigen Benutzernamen ein. Andernfalls wird der Fix nicht funktionieren.
• Schließe bitte nun alle Programme.
• Klicke nun bitte auf den Fix Button.
• OTL kann gegebenfalls einen Neustart verlangen. Bitte dies zulassen.
• Nach dem Neustart findest Du ein Textdokument auf deinem Desktop.
  ( Auch zu finden unter C:\_OTL\MovedFiles\<Uhrzeit_Datum>.txt)
  Kopiere nun den Inhalt hier in Deinen Thread

Schritt 2
Lade SystemLook von jpshortstuff vom folgenden Spiegel herunter und speichere das Tool auf dem Desktop:
SystemLook (32 bit)

• Doppelklicke auf die SystemLook.exe, um das Tool zu starten.
• Kopiere den Inhalt der folgenden Codebox in das Textfeld des Tools:
  

  :dir
  %appdata%
  
  :filefind
  *conduit*
  *iminent*
  *sweet*
  
  :folderfind
  Application Updater*
  AutocompletePro*
  BrowseToSave*
  spigot*
  Conduit*
  EasyLife*
  Iminent*
  SoftSafe*
  Sweet*
  Search Settings*
  loadtbs*
  DVDVideoSoftTB*
  PriceGong*
  Protector*
  Browse2SiAAvae*
  
  :regfind
  Application Updater
  AutocompletePro
  BrowseToSave
  spigot
  Conduit
  EasyLife
  Iminent
  SoftSafe
  Sweet
  Search Settings
  loadtbs
  DVDVideoSoftTB
  PriceGong
  Protector
  Browse2SiAAvae
           

• Klicke nun auf den Button Look, um den Scan zu starten.
• Der Suchlauf kann einige Zeit dauern.
• Wenn der Suchlauf beendet ist, wird sich Dein Editor mit den Ergebnissen öffnen, poste diese in deinen Thread.
• Die Ergebnisse werden auf dem Desktop als SystemLook.txt gespeichert.

Schritt 3

• Öffne Google Chrome.
• Klicke rechts oben auf Google Chrome anpassen.
• Wähle Einstellungen.
  -------------------------------------------------------------
• Unter Erscheinungsbild > Haken setzen bei "Schaltfläche Startseite anzeigen"
• Unter "Neuer Tab"-Seite klicke auf Ändern
• Unter Diese Seite öffnen gib deine gewünschte Seite ein, z. B. www.google.de
• Bestätige mit Ok.
  -------------------------------------------------------------
• Unter Beim Start > Wähle "Bestimmte Seite oder Seiten öffnen" aus und klicke auf Seiten festlegen.
• Gib die gewünschte Startseite ein und bestätige mit Ok.
  -------------------------------------------------------------
• Unter Suche klicke auf Suchmachinen verwalten.
• Bewege den Mauszeiger auf Google.de und klicke auf den blau hinterlegten Button Als Standard festlegen.
• Bewege nun den Mauszeiger auf easylife und klicke rechts auf das Symbol X.
• Bestätige mit Fertig.
  -------------------------------------------------------------
• Klicke links oben auf Erweiterungen und setze nun ein Häkchen vor Entwicklermodus.
• Kopiere dir die Namen aller Erweiterungen, inklusive der jeweiligen ID, wie z. B.
  avast! WebRep 8.0.1483 -> ID: icmlaeflemplmjndnaapfdbbnpncnbda
  und poste mir die Namen und IDs mit deiner nächsten Antwort.
• Schließe Google Chrome.

Schritt 4
Starte bitte OTL.exe und drücke den Quick Scan Button.
Poste die OTL.txt hier in deinen Thread.





Bitte poste mit deiner nächsten Antwort

• die Logdatei von des OTL-Fix,
• die Logdatei von SystemLook,
• eine Liste aller Erweiterungen in Google Chrome inklusive der IDs,
• die Logdatei des neuen OTL-Scans.

Hallo Matthias,

die Symptome sind jetzt verschwunden. Die Ursache auch?

Hier die Liste der Chrome Erweiterungen:

• Docs 0.0.0.6 -> ID: aohghmighlieiainnegkcijnfilokake
• RealPlayer HTML5Video Downloader Extension 1.4 -> ID: jfmjfhklogoienhpfnppmbcbjfjnkonk

Logfiles im Anhang.

Danke + Grüße!

Servus,


vielen Dank für deine schnelle Antwort.

Zitat von upper roma

die Symptome sind jetzt verschwunden. Die Ursache auch?

Wir entfernen jetzt noch die letzten Reste der Ursache und kontrollieren nochmal alles.
Wenn das dann alles passt, dann gibts noch ein paar Tipps mit auf den Weg und wir entfernen alle Tools wieder.




Bitte beim OTL-Fix die *** durch deinen richtigen Benutzernamen ersetzen, sonst wird der Fix nicht funktionieren!



Schritt 1

Fixen mit OTL

• Starte bitte die OTL.exe.
• Kopiere nun den Inhalt aus der Codebox in die Textbox.

:files
%appdata%\.#
%appdata%\5008
%appdata%\cock
%appdata%\UAs
%appdata%\xmldm
%appdata%\AcroIEHelpe.txt
%appdata%\srvblck2.tmp
%appdata%\urhtps.dat
C:\Program Files\Common Files\DVDVideoSoft\TB
C:\Windows\System32\config\systemprofile\AppData\LocalLow\Toolbar4
C:\Windows\System32\config\systemprofile\AppData\LocalLow\Application Updater
C:\Users\***\AppData\LocalLow\Browse2SiAAvae

:reg
[-HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\InternetRegistry\REGISTRY\USER\S-1-5-21-3931753103-4279822412-3289483211-1000\Software\AutocompleteProBHO]
[-HKEY_LOCAL_MACHINE\SOFTWARE\Wow6432Node\Google\Chrome\Extensions\defdhglnppeioeflggkmglipcecffkhk]
[-HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Uninstall\SP_48c708f2]
[-HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\SearchScopes\{5F184FC7-7F06-49E2-8461-38CB375C8717}]

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Installer\UserData\S-1-5-18\Components\30C16B15B255BD349A1157B8A83E2AF9]
"6D5877EBF540BF441A4EF35A55784451"=-
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Installer\UserData\S-1-5-18\Components\F3157AA407841454BB0C9BE8D1982BC9]
"6D5877EBF540BF441A4EF35A55784451"=-

[-HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Uninstall\{BE7785D6-045F-44FB-A1E4-3FA555874415}]
[-HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{14F35FFC-522A-4DD1-A07E-6B8B65C6891E}]
[-HKEY_LOCAL_MACHINE\SOFTWARE\Classes\TypeLib\{AC329328-7EC4-4C34-B672-0A2B90CB9B00}]
[-HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\InternetRegistry\REGISTRY\USER\S-1-5-18\Software\TBSB01620]
[-HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Tracing\IminentSetup_2-KFRPtAWP-1__RASAPI32]
[-HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Tracing\IminentSetup_2-KFRPtAWP-1__RASMANCS]

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Installer\UserData\S-1-5-18\Components\5AF25BBA9EECCDB41923C3FE08497C67]
"482AA67AD25E6E74E9F48BD5FBE8533C"=-

[-HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\InternetRegistry\REGISTRY\USER\S-1-5-21-3931753103-4279822412-3289483211-1000\Software\SweetIM]
[-HKEY_CURRENT_USER\Software\SweetIM]
[-HKEY_LOCAL_MACHINE\SOFTWARE\Classes\Installer\Products\2BC4C58B253B8DB418C8CB3E35951970]
[-HKEY_LOCAL_MACHINE\SOFTWARE\Classes\Installer\Products\54A306F2659DB694185B057D28249467]
[-HKEY_LOCAL_MACHINE\SOFTWARE\SweetIM]
[-HKEY_CURRENT_USER\Software\Classes\VirtualStore\MACHINE\SOFTWARE\DVDVideoSoftTB]
[-HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Internet Explorer\Low Rights\ElevationPolicy\65d05315-9415-4ab8-a306-765772d85555]

:Commands
[emptytemp]
         

• Solltest du deinen Benutzernamen z. B. durch "*****" unkenntlich gemacht haben, so füge an entsprechender Stelle deinen richtigen Benutzernamen ein. Andernfalls wird der Fix nicht funktionieren.
• Schließe bitte nun alle Programme.
• Klicke nun bitte auf den Fix Button.
• OTL kann gegebenfalls einen Neustart verlangen. Bitte dies zulassen.
• Nach dem Neustart findest Du ein Textdokument auf deinem Desktop.
  ( Auch zu finden unter C:\_OTL\MovedFiles\<Uhrzeit_Datum>.txt)
  Kopiere nun den Inhalt hier in Deinen Thread

Schritt 2

• Starte Malwarebytes' Anti-Malware, klicke auf Aktualisierung --> Suche nach Aktualisierung
• Wenn das Update beendet wurde, aktiviere Quick-Scan durchführen und drücke auf Scannen.
• Wenn der Scan beendet ist, klicke auf Ergebnisse anzeigen.
• Versichere Dich, dass alle Funde markiert sind und drücke Entferne Auswahl.
• Poste das Logfile, welches sich in Notepad öffnet, hier in den Thread.
• Nachträglich kannst du den Bericht unter "Log Dateien" finden.

Schritt 3

ESET Online Scanner

• Hier findest du eine bebilderte Anleitung zu ESET Online Scanner
• Lade und starte Eset Online Scanner
• Setze einen Haken bei Ja, ich bin mit den Nutzungsbedingungen einverstanden und klicke auf Starten.
• Aktiviere die "Erkennung von eventuell unerwünschten Anwendungen" und wähle folgende Einstellungen.
• Klicke auf Starten.
• Die Signaturen werden heruntergeladen, der Scan beginnt automatisch.
• Klicke am Ende des Suchlaufs auf Fertig stellen.
• Schließe das Fenster von ESET.
• Explorer öffnen.
• C:\Programme\Eset\EsetOnlineScanner\log.txt (bei 64 Bit auch C:\Programme (x86)\Eset\EsetOnlineScanner\log.txt) suchen und mit Deinem Editor öffnen (bebildert).
• Logfile hier posten.
• Deinstallation: Systemsteuerung => Software / Programme deinstallieren => Eset Online Scanner V3 entfernen.
• Manuell folgenden Ordner löschen und Papierkorb leeren => C:\Programme\Eset

Schritt 4
Downloade Dir bitte SecurityCheck und:

• Speichere es auf dem Desktop.
• Starte SecurityCheck.exe und folge den Anweisungen in der DOS-Box.
• Wenn der Scan beendet wurde sollte sich ein Textdokument (checkup.txt) öffnen.

Poste den Inhalt bitte hier.





Bitte poste mit deiner nächsten Antwort

• die Logdatei von OTL,
• die Logdatei von MBAM,
• die Logdatei von ESET,
• die Logdatei von SecurityCheck.