Hallo allerseits

Ich ahbe mir letzt einen mehr oder weniger schlimmen Virus (ob Trojaner, Mal- oder Spyware weiß ich nicht genau) geholt.
Dieser ließ Werbepopups erscheinen, verhinderte das Abrufen von Antivirenprogramm-Herstellern und leitete Google-Anfragen auf andere Seiten weiter.
Naja, nach ewigem rummachen etc. ist das Googleproblem, sowie das Aufploppen von Werbepopups und die Sperre zu den Virenprogrammen behoben.

Leider scheint immernoch etwas übrig zu sein, Programme wie "Spybot" und "HijackThis" sind geblockt, außerdem erscheint unabhängig von der besuchten Seite ein Werbepopup das besagt ich solle ein Antivirenprogramm installieren, das Popup ist aufgemacht wie eine WindowsFenster.

So, nachdem ich die HiJack-Exe umbenannt habe hier mal ein Logfile:

Logfile of Trend Micro HijackThis v2.0.2
Scan saved at 14:20:03, on 24.07.2009
Platform: Windows XP SP3 (WinNT 5.01.2600)
MSIE: Internet Explorer v7.00 (7.00.6000.16850)
Boot mode: Normal

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\Programme\Lavasoft\Ad-Aware\AAWService.exe
C:\WINDOWS\system32\LEXBCES.EXE
C:\WINDOWS\system32\spoolsv.exe
C:\WINDOWS\system32\LEXPPS.EXE
C:\Programme\Avira\AntiVir Desktop\sched.exe
C:\WINDOWS\Explorer.EXE
C:\Programme\Avira\AntiVir Desktop\avguard.exe
C:\Programme\Gemeinsame Dateien\Apple\Mobile Device Support\bin\AppleMobileDeviceService.exe
C:\Programme\Bonjour\mDNSResponder.exe
C:\Programme\Cisco Systems\VPN Client\cvpnd.exe
C:\WINDOWS\System32\svchost.exe
C:\Programme\Java\jre6\bin\jqs.exe
C:\WINDOWS\system32\nvsvc32.exe
C:\WINDOWS\system32\PnkBstrA.exe
C:\Programme\Alcohol Soft\Alcohol 120\StarWind\StarWindServiceAE.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\stsystra.exe
C:\Programme\Lexmark X1100 Series\lxbkbmgr.exe
C:\Programme\CyberLink DVD Solution\PowerDVD\PDVDServ.exe
C:\Programme\Lexmark X1100 Series\lxbkbmon.exe
C:\WINDOWS\system32\RunDLL32.exe
C:\Programme\Avira\AntiVir Desktop\avgnt.exe
C:\Programme\Java\jre6\bin\jusched.exe
C:\WINDOWS\system32\rundll32.exe
C:\Programme\iTunes\iTunesHelper.exe
C:\WINDOWS\system32\ctfmon.exe
C:\programme\steam\steam.exe
C:\Programme\Windows Media Player\WMPNSCFG.exe
C:\Programme\ICQ6.5\ICQ.exe
C:\Programme\iPod\bin\iPodService.exe
C:\WINDOWS\system32\wuauclt.exe
C:\Programme\Lavasoft\Ad-Aware\AAWTray.exe
C:\Programme\Mozilla Firefox\firefox.exe
C:\Programme\Trend Micro\HijackThis\pruefung.com

R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = h**p://go.microsoft.com/fwlink/?LinkId=69157
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = h**p://go.microsoft.com/fwlink/?LinkId=54896
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = h**p://go.microsoft.com/fwlink/?LinkId=54896
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = h**p://go.microsoft.com/fwlink/?LinkId=69157
R1 - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings,ProxyOverride = *.local
O2 - BHO: AcroIEHelperStub - {18DF081C-E8AD-4283-A596-FA578C2EBDC3} - C:\Programme\Gemeinsame Dateien\Adobe\Acrobat\ActiveX\AcroIEHelperShim.dll
O2 - BHO: Java(tm) Plug-In 2 SSV Helper - {DBC80044-A445-435b-BC74-9C25C1C588A9} - C:\Programme\Java\jre6\bin\jp2ssv.dll
O2 - BHO: JQSIEStartDetectorImpl - {E7E6F031-17CE-4C07-BC86-EABFE594F69C} - C:\Programme\Java\jre6\lib\deploy\jqs\ie\jqs_plugin.dll
O4 - HKLM\..\Run: [SigmatelSysTrayApp] stsystra.exe
O4 - HKLM\..\Run: [Lexmark X1100 Series] "C:\Programme\Lexmark X1100 Series\lxbkbmgr.exe"
O4 - HKLM\..\Run: [RemoteControl] "C:\Programme\CyberLink DVD Solution\PowerDVD\PDVDServ.exe"
O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\system32\NvCpl.dll,NvStartup
O4 - HKLM\..\Run: [nwiz] nwiz.exe /install
O4 - HKLM\..\Run: [NvMediaCenter] RunDLL32.exe NvMCTray.dll,NvTaskbarInit
O4 - HKLM\..\Run: [avgnt] "C:\Programme\Avira\AntiVir Desktop\avgnt.exe" /min
O4 - HKLM\..\Run: [SunJavaUpdateSched] "C:\Programme\Java\jre6\bin\jusched.exe"
O4 - HKLM\..\Run: [Adobe Reader Speed Launcher] "C:\Programme\Adobe\Reader 9.0\Reader\Reader_sl.exe"
O4 - HKLM\..\Run: [QuickTime Task] "C:\Programme\QuickTime\QTTask.exe" -atboottime
O4 - HKLM\..\Run: [iTunesHelper] "C:\Programme\iTunes\iTunesHelper.exe"
O4 - HKLM\..\Run: [TrojanScanner] C:\Programme\Trojan Remover\Trjscan.exe /boot
O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\ctfmon.exe
O4 - HKCU\..\Run: [Steam] "c:\programme\steam\steam.exe" -silent
O4 - HKCU\..\Run: [WMPNSCFG] C:\Programme\Windows Media Player\WMPNSCFG.exe
O4 - HKCU\..\Run: [ICQ] "C:\Programme\ICQ6.5\ICQ.exe" silent
O4 - HKUS\S-1-5-19\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'LOKALER DIENST')
O4 - HKUS\S-1-5-20\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'NETZWERKDIENST')
O4 - HKUS\S-1-5-18\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'SYSTEM')
O4 - HKUS\.DEFAULT\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'Default user')
O4 - Global Startup: Cisco Systems VPN Client.lnk = C:\Programme\Cisco Systems\VPN Client\vpngui.exe
O9 - Extra button: (no name) - {e2e2dd38-d088-4134-82b7-f2ba38496583} - C:\WINDOWS\Network Diagnostic\xpnetdiag.exe
O9 - Extra 'Tools' menuitem: @xpsp3res.dll,-20001 - {e2e2dd38-d088-4134-82b7-f2ba38496583} - C:\WINDOWS\Network Diagnostic\xpnetdiag.exe
O9 - Extra button: ICQ6 - {E59EB121-F339-4851-A3BA-FE49C35617C2} - C:\Programme\ICQ6.5\ICQ.exe
O9 - Extra 'Tools' menuitem: ICQ6 - {E59EB121-F339-4851-A3BA-FE49C35617C2} - C:\Programme\ICQ6.5\ICQ.exe
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe
O16 - DPF: {784797A8-342D-4072-9486-03C8D0F2F0A1} (Battlefield Heroes Installer) - h**p://t1.battlefield-heroes.com/patcher/westpatcher.cab
O17 - HKLM\System\CS1\Services\Tcpip\Parameters: NameServer = 85.255.112.21,85.255.112.89
O17 - HKLM\System\CS3\Services\Tcpip\Parameters: NameServer = 85.255.112.21,85.255.112.89
O17 - HKLM\System\CCS\Services\Tcpip\Parameters: NameServer = 85.255.112.21,85.255.112.89
O18 - Protocol: skype4com - {FFC8B962-9B40-4DFF-9458-1830C7DD7F5D} - C:\PROGRA~1\GEMEIN~1\Skype\SKYPE4~1.DLL
O23 - Service: Avira AntiVir Planer (AntiVirSchedulerService) - Avira GmbH - C:\Programme\Avira\AntiVir Desktop\sched.exe
O23 - Service: Avira AntiVir Guard (AntiVirService) - Avira GmbH - C:\Programme\Avira\AntiVir Desktop\avguard.exe
O23 - Service: Apple Mobile Device - Apple Inc. - C:\Programme\Gemeinsame Dateien\Apple\Mobile Device Support\bin\AppleMobileDeviceService.exe
O23 - Service: Bonjour-Dienst (Bonjour Service) - Apple Inc. - C:\Programme\Bonjour\mDNSResponder.exe
O23 - Service: Cisco Systems, Inc. VPN Service (CVPND) - Cisco Systems, Inc. - C:\Programme\Cisco Systems\VPN Client\cvpnd.exe
O23 - Service: FLEXnet Licensing Service - Macrovision Europe Ltd. - C:\Programme\Gemeinsame Dateien\Macrovision Shared\FLEXnet Publisher\FNPLicensingService.exe
O23 - Service: Hotspot Shield Tray Service (HssTrayService) - Unknown owner - C:\Programme\Hotspot Shield\bin\HssTrayService.EXE (file missing)
O23 - Service: InstallDriver Table Manager (IDriverT) - Macrovision Corporation - C:\Programme\Gemeinsame Dateien\InstallShield\Driver\11\Intel 32\IDriverT.exe
O23 - Service: iPod-Dienst (iPod Service) - Apple Inc. - C:\Programme\iPod\bin\iPodService.exe
O23 - Service: Java Quick Starter (JavaQuickStarterService) - Sun Microsystems, Inc. - C:\Programme\Java\jre6\bin\jqs.exe
O23 - Service: Lavasoft Ad-Aware Service - Lavasoft - C:\Programme\Lavasoft\Ad-Aware\AAWService.exe
O23 - Service: LexBce Server (LexBceS) - Lexmark International, Inc. - C:\WINDOWS\system32\LEXBCES.EXE
O23 - Service: NVIDIA Display Driver Service (NVSvc) - NVIDIA Corporation - C:\WINDOWS\system32\nvsvc32.exe
O23 - Service: PnkBstrA - Unknown owner - C:\WINDOWS\system32\PnkBstrA.exe
O23 - Service: StarWind AE Service (StarWindServiceAE) - Rocket Division Software - C:\Programme\Alcohol Soft\Alcohol 120\StarWind\StarWindServiceAE.exe

--
End of file - 7549 bytes


Ich danke euch schonmal im Vorraus
MfG

Kajika

Hallo und

Hier geht es lang: Für alle Neuen

Bitte abarbeiten und Berichte Posten!

Ok, sorry, daran hatte ich nicht gedacht ^^

-Also, mit CCleaner habe ich alles gereinigt, Dateien und Registry, wie in der Anleitung beschrieben.

-Malwarebytes' Anti-Malware scheint ebenfalls vom Virus geblockt zu sein, es öffnet sich kein sichtbares Fenster, in der Symbolleiste ist ebenfalls nichts vorhanden. Da ich nicht weiß wie der Prozess benannt ist kann ich nicht sagen ob da was läuft (sowas wie mbam.exe oder so habe ich nciht gefunden).

-Hier die beiden Logfiles von RSIT:

log.txt

info.txt


Nochmal danke für die Mühe, einfach klasse das hier sowas angeboten wird
MfG

Kajika

Hallo und

Das sieht übel aus, du hast u.a. eine Umleitung in die Ukraine drin. Alle deine Internetanfragen können beliebig umgeleitet und abgefangen werden. Kein Onlinebanking, ebay, Paypal o.ä., nach Abschluss alle Kennwörter von einem sauberen Rechner ändern. Du sparst dir eine Menge Zeit wenn du die schnelle und sichere Alternative wählst => http://www.trojaner-board.de/51262-a...sicherung.html

Ansonsten beginne mit Combofix.

Solltest du noch irgendetwas mit dem Computer verbinden, wie Memorysticks, Speicherkarten, Digitalkameras, Handy, externe Laufwerke, ... dann stecke vor dem Scan alles an.

ComboFix

Ein Leitfaden und Tutorium zur Nutzung von ComboFix

• Lade dir ComboFix hier herunter auf deinen Desktop. Benenne es beim Runterladen um in cofi.exe.

• Dann folgende Anleitung durchlesen und abarbeiten -> CCleaner Systembereinigung

• Schliesse alle Programme, vor allem dein Antivirenprogramm und andere Hintergrundwächter sowie deinen Internetbrowser.

• Starte cofi.exe von deinem Desktop aus, bestätige die Warnmeldungen, führe die Updates durch (falls vorgeschlagen), installiere die Wiederherstellungskonsole (falls vorgeschlagen) und lass dein System durchsuchen.
  Vermeide es auch während Combofix läuft die Maus und Tastatur zu benutzen.

• Im Anschluss öffnet sich automatisch eine combofix.txt, diesen Inhalt bitte kopieren ([Strg]a, [Strg]c) und in deinen Beitrag einfügen ([Strg]v). Die Datei findest du außerdem unter: C:\ComboFix.txt.

Wichtiger Hinweis:

Combofix darf ausschließlich ausgeführt werden, wenn ein Kompetenzler dies ausdrücklich empfohlen hat!
Es sollte nie auf eigene Initiative hin ausgeführt werden! Eine falsche Benutzung kann ernsthafte Computerprobleme nach sich ziehen und eine Bereinigung der Infektion noch erschweren.

ciao, andreas

Hmm, wenn da jetzt steht dass das Programm unter anderem schwere Schäden bei falscher Benutzung hervorrufen kann bin ich da ein bisschen vorsichtig. Wie man ja aus den Log-Dateien entnehmen kann benutze ich viele Grafikprogramme und nutze diese teilweise beruflich und ein VErlust der Daten wäre ziemlich schrecklich. Sichern geht ja schlecht da die Gefahr besteht das der Virus sich auf externe Festplatten speichert.

Vorhin habe ich es geschafft einen Suchlauf mit SUPERAntiSpyware zu starten, dieser hat dann auch diverse Funde verbuchen können, hier ein Auszug aus der Logfile:

Rootkit.Agent/Gen-ESQUL
	HKLM\system\controlset001\services\ESQULserv.sys
	C:\WINDOWS\SYSTEM32\DRIVERS\ESQULXDQGOESJYXYBENGFINKCCFBLTOYVCSOW.SYS
	HKLM\system\controlset003\services\ESQULserv.sys

Adware.Tracking Cookie
	C:\Dokumente und Einstellungen\vanWetten\Cookies\vanwetten@atwola[1].txt
	C:\WINDOWS\system32\config\systemprofile\Cookies\system@yieldmanager[1].txt
	C:\WINDOWS\system32\config\systemprofile\Cookies\system@doubleclick[1].txt
	C:\WINDOWS\system32\config\systemprofile\Cookies\system@elitepartner[1].txt
	C:\WINDOWS\system32\config\systemprofile\Cookies\system@im.banner.t-online[1].txt
	C:\WINDOWS\system32\config\systemprofile\Cookies\system@kabelbw.112.2o7[1].txt
	C:\WINDOWS\system32\config\systemprofile\Cookies\system@clicksor[1].txt
	C:\WINDOWS\system32\config\systemprofile\Cookies\system@atdmt[2].txt
	C:\WINDOWS\system32\config\systemprofile\Cookies\system@ad2.yieldmanager[1].txt
	C:\WINDOWS\system32\config\systemprofile\Cookies\system@ads.heias[2].txt
	C:\WINDOWS\system32\config\systemprofile\Cookies\system@www.traffictrack[1].txt
	C:\WINDOWS\system32\config\systemprofile\Cookies\system@www.adservex[1].txt
	C:\WINDOWS\system32\config\systemprofile\Cookies\system@apmebf[1].txt
	C:\WINDOWS\system32\config\systemprofile\Cookies\system@adtech[2].txt
	C:\WINDOWS\system32\config\systemprofile\Cookies\system@komtrack[2].txt
	C:\WINDOWS\system32\config\systemprofile\Cookies\system@webmasterplan[2].txt
	C:\WINDOWS\system32\config\systemprofile\Cookies\system@a2.adserver01[1].txt
	C:\WINDOWS\system32\config\systemprofile\Cookies\system@media6degrees[2].txt
	C:\WINDOWS\system32\config\systemprofile\Cookies\system@mediaplex[1].txt
	C:\WINDOWS\system32\config\systemprofile\Cookies\system@www.etracker[1].txt
	C:\WINDOWS\system32\config\systemprofile\Cookies\system@tto2.traffictrack[1].txt
	C:\WINDOWS\system32\config\systemprofile\Cookies\system@cache.trafficmp[1].txt
	C:\WINDOWS\system32\config\systemprofile\Cookies\system@bs.serving-sys[1].txt
	C:\WINDOWS\system32\config\systemprofile\Cookies\system@ad.zanox[2].txt
	C:\WINDOWS\system32\config\systemprofile\Cookies\system@ad.yieldmanager[1].txt
	C:\WINDOWS\system32\config\systemprofile\Cookies\system@myroitracking[2].txt
	C:\WINDOWS\system32\config\systemprofile\Cookies\system@ads.dzo-marketing[2].txt
	C:\WINDOWS\system32\config\systemprofile\Cookies\system@xm.xtendmedia[1].txt
	C:\WINDOWS\system32\config\systemprofile\Cookies\system@zanox[1].txt
	C:\WINDOWS\system32\config\systemprofile\Cookies\system@mediagenerate[1].txt
	C:\WINDOWS\system32\config\systemprofile\Cookies\system@adserver.easyad[1].txt
	C:\WINDOWS\system32\config\systemprofile\Cookies\system@serving-sys[2].txt
	C:\WINDOWS\system32\config\systemprofile\Cookies\system@tracking.quisma[2].txt
	C:\WINDOWS\system32\config\systemprofile\Cookies\system@trafficmp[2].txt
	C:\WINDOWS\system32\config\systemprofile\Cookies\system@www.zanox-affiliate[1].txt
	C:\WINDOWS\system32\config\systemprofile\Cookies\system@www.active-tracking[2].txt
	C:\WINDOWS\system32\config\systemprofile\Cookies\system@eas.apm.emediate[2].txt
	C:\WINDOWS\system32\config\systemprofile\Cookies\system@specificclick[2].txt
	C:\WINDOWS\system32\config\systemprofile\Cookies\system@tradedoubler[2].txt
	C:\WINDOWS\system32\config\systemprofile\Cookies\system@zanox-affiliate[1].txt
	C:\WINDOWS\system32\config\systemprofile\Cookies\system@traffictrack[2].txt
	C:\WINDOWS\system32\config\systemprofile\Cookies\system@ad.adnet[1].txt
	C:\WINDOWS\system32\config\systemprofile\Cookies\system@advertising[2].txt
	C:\WINDOWS\system32\config\systemprofile\Cookies\system@unitymedia[1].txt
	C:\WINDOWS\system32\config\systemprofile\Cookies\system@adfarm1.adition[1].txt
	C:\WINDOWS\system32\config\systemprofile\Cookies\system@adviva[2].txt

Trojan.Unknown Origin
	HKU\.DEFAULT\Software\ColdWare
	HKU\S-1-5-18\Software\ColdWare

Trojan.Agent/Gen-Tmp
	C:\WINDOWS\TEMP\TEMPO-51033250.TMP
	C:\WINDOWS\Prefetch\TEMPO-51033250.TMP-0F538013.pf
         

Nach dem Rüberziehen in die Quarantäne konnte ich Programme wie "Spybot" und "Malwarebytes' Anti Malware" wieder starten. Ist das Problem damit gelöst? Sollte ich noch weitere Durchlaufe mit Spybot oder Anti Malware starten oder ratet ihr weiterhin zu ComboFix?

oder ratet ihr weiterhin zu ComboFix?

Ja, du hast da einen Rootkit und kein Programm kann das besser und sauberer entfernen als ComboFix.

ciao, andreas

Schade, ich weiß das nicht lange gutgeht, aber in nächster Zeit werde ich von sowas auch die Finger lassen. Die beschriebenen Downloads sind mittlerweile schon gut ein halbes Jahr alt, aber Viren kommen ja meistens nur aufgrund von Fehlverhalten des Nutzers auf den PC (Die größte Sicherheitslücke eines Computers sitzt vor der Tastatur)

Das mit dem Systemneuaufsetzen sagst du dann wahrscheinlich auch nur wegen der illegalen Inhalte in der Log, oder?

Ich danke dir trotzdem für den klasse Support bis zu dieser Stelle und danke für die Mühe (Beratung, Script etc.). Vielleicht komme ich ja irgendwann wieder mit einem Problem zu euch, diesmal ohne Inhalte dieser Art auf dem PC
Ich werde dieses Board auf jeden Fall weiterempfehlen.

MfG

Kajika