Google Redirect, trotz 3facher Systemneuinstallation nicht beseitigt

PorterRix · 18.11.2010, 10:36

Guten Morgen allerseits,

seit nunmehr einer Woche quält mich - wie einige andere offenbar auch - der hier schon häufiger besprochene und besiegte (?) Schädling (rootkit?), der Google-Links zu obskuren Seiten wie k-directory, gomeo, ask oder andere kommerzielle Seiten umleitet.

Unser Heimnetzwerk besteht aus einem Windows XP-Rechner mit Kabelverbindung zum Router und DSL-Modem, einem Vista-Laptop und einem Windows 7-Laptop (beide über WLAN verbunden). Alle Rechner sind/waren infiziert.

Nach eingehender Recherche vor allem in diesem Forum (ich bin absoluter Laie, habe aber das Gefühl, hier auf die größte Kompetenz zu stoßen) habe ich mich schweren Herzens enschlossen, meinen seit 4 Jahren unverändert laufenden PC neu aufzusetzen.

Der 1. Versuch, den Eindringling loszuwerden, scheiterte, ich vermute wegen meiner mangelnden Konsequenz. Ich habe meine 2. interne Festplatte, eine externe Platte und einen Flashstick unbehandelt gelassen sowie die infizierten Laptops nicht vom Netz genommen.

Der 2. Versuch scheiterte ebenfalls. Die infizierten Laptops waren noch über WLAN am Netz.

Im 3. Versuch habe ich alle drei PCs vom Netz genommen und neu aufgesetzt, die beiden Laptops über ihr jeweiliges Recovery-Programm, da keine original CD/DVD mitgeliefert wurde. Diese beiden Computer sind noch nicht wieder am Netz und kommen erst wieder dran, wenn ich wenigstens den XP-Rechner sauber habe.

Ich habe den Router und das Modem vom Stromkreis getrennt. Die Festplatten des XP-Rechners habe ich neu partitioniert und die Systempartition neu formatiert. Dann habe ich Windows XP neu installiert. Nach erfolgreicher Installation habe ich die nötigen Treiber installiert. Danach bin ich ins Netz um Windows XP zu aktualisieren (SP 3 + unzählige weiter Patches). Danach habe ich Opera als Browser installiert. Den Virenscanner (Kaspersky Internet Security 2010) konnte ich erst nach der Windowsaktualisierung downloaden. Das habe ich dann auch gemacht. Schon bei der Aktualisierung von Kaspersky traten erste Anomalien von Opera auf. Es öffnete sich plötzlich ein neuer Reiter mit der Startseite Google, die ich jedoch noch gar nicht als Startseite eingetragen hatte.

Nach der Kaspersky-Aktualisierung bin ich dann erstmals wieder zu Google gegangen und musste feststellen, dass nach wie vor das System kompromittiert ist. Die Links werden nicht immer aber oft zu den o.a. Seiten umgeleitet.

Am späten gestrigen Abend sprach Google.de dann spanisch mit mir (vor ein paar Tagen erschien die Google.de-Seite schon einmal in kyrillischer Schrift.

Ich habe dann versucht mit Malwarebytes ein Log zu erstellen. Leider ließ sich das Programm nicht aktualisieren. Es gab eine Fehlermeldung aus und einen zu nennenden Fehler-Code.

Als nächstes habe ich load.exe heruntergeladen. Es hat ein paar Aktionen gegeben, beim Rebooten gestern abend hat sich der PC allerdings aufgehängt und ich habe aufgegeben. Heute morgen habe ich mir Antivir heruntergeladen und einen Vollscan gestartet, der zu keinen Ergebnissen geführt hat.

Ihr seid nun meine vorerst letzte Hoffnung (die soll man ja nie aufgeben). Kaspersky, Antivir (s. Anhang) und MalwareBytes (s.Anhang) haben keinen Befall feststellen können.

Verzweifelte Grüße

P

rterRix

Ich bin gerade darauf aufmerksam gemacht worden, dass ich natürlich vor meinem ersten Netzbesuch die SP3 und einen Virenschutz installieren muss. Ich werde mein System jetzt also noch mal neu installieren und melde mich dann noch mal. Ich hoffe, noch keine Aktivitäten ausgelöst zu haben.

Leider hat auch die vierte Neuinstallation keinen Erfolg gebracht. Trotz der Vorsichtsmaßnahme, SP3 und Antivir vor dem ersten Netzbesuch offline zu installieren, wurde ich schon beim ersten Test in Opera mit Google wieder zu k-directory geleitet - statt einer angepeilten wikipedia-Seite.

Inzwischen habe ich ein log mit HijackThis erstellt:

Code:

ATTFilter

Logfile of Trend Micro HijackThis v2.0.2
Scan saved at 14:47:11, on 18.11.2010
Platform: Windows XP SP3 (WinNT 5.01.2600)
MSIE: Internet Explorer v8.00 (8.00.6001.18702)
Boot mode: Normal
 
Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\spoolsv.exe
C:\Programme\Avira\AntiVir Desktop\sched.exe
C:\Programme\Avira\AntiVir Desktop\avguard.exe
C:\WINDOWS\ATKKBService.exe
C:\WINDOWS\system32\nvsvc32.exe
C:\Programme\Avira\AntiVir Desktop\avshadow.exe
C:\WINDOWS\Explorer.EXE
C:\WINDOWS\RTHDCPL.EXE
C:\WINDOWS\system32\RUNDLL32.EXE
C:\Programme\Avira\AntiVir Desktop\avgnt.exe
C:\WINDOWS\system32\ctfmon.exe
C:\Programme\Trend Micro\HijackThis\HijackThis.exe
 
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = h**p://go.microsoft.com/fwlink/?LinkId=69157
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = h**p://go.microsoft.com/fwlink/?LinkId=54896
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = h**p://go.microsoft.com/fwlink/?LinkId=54896
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = h**p://go.microsoft.com/fwlink/?LinkId=69157
R1 - HKCU\Software\Microsoft\Internet Connection Wizard,ShellNext = h**p://windowsupdate.microsoft.com/
O4 - HKLM\..\Run: [RTHDCPL] RTHDCPL.EXE
O4 - HKLM\..\Run: [SkyTel] SkyTel.EXE
O4 - HKLM\..\Run: [Alcmtr] ALCMTR.EXE
O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\system32\NvCpl.dll,NvStartup
O4 - HKLM\..\Run: [nwiz] nwiz.exe /install
O4 - HKLM\..\Run: [NvMediaCenter] RUNDLL32.EXE C:\WINDOWS\system32\NvMcTray.dll,NvTaskbarInit
O4 - HKLM\..\Run: [avgnt] "C:\Programme\Avira\AntiVir Desktop\avgnt.exe" /min
O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\ctfmon.exe
O4 - HKUS\S-1-5-19\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'LOKALER DIENST')
O4 - HKUS\S-1-5-20\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'NETZWERKDIENST')
O4 - HKUS\S-1-5-18\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'SYSTEM')
O4 - HKUS\.DEFAULT\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'Default user')
O9 - Extra button: (no name) - {e2e2dd38-d088-4134-82b7-f2ba38496583} - C:\WINDOWS\Network Diagnostic\xpnetdiag.exe
O9 - Extra 'Tools' menuitem: @xpsp3res.dll,-20001 - {e2e2dd38-d088-4134-82b7-f2ba38496583} - C:\WINDOWS\Network Diagnostic\xpnetdiag.exe
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe
O16 - DPF: {6414512B-B978-451D-A0D8-FCFDF33E833C} (WUWebControl Class) - h**p://update.microsoft.com/windowsupdate/v6/V5Controls/en/x86/client/wuweb_site.cab?1290083152855
O23 - Service: Avira AntiVir Planer (AntiVirSchedulerService) - Avira GmbH - C:\Programme\Avira\AntiVir Desktop\sched.exe
O23 - Service: Avira AntiVir Guard (AntiVirService) - Avira GmbH - C:\Programme\Avira\AntiVir Desktop\avguard.exe
O23 - Service: ATK Keyboard Service (ATKKeyboardService) - ASUSTeK COMPUTER INC. - C:\WINDOWS\ATKKBService.exe
O23 - Service: NVIDIA Display Driver Service (NVSvc) - NVIDIA Corporation - C:\WINDOWS\system32\nvsvc32.exe
 
--
End of file - 3437 bytes

und load.exe heruntergeladen und ausgeführt. Malwarebyte ließ sich wieder nicht aktualisieren.

Kann mir jemand helfen?

Google Redirect, trotz 3facher Systemneuinstallation nicht beseitigt

Log-Analyse und Auswertung: Google Redirect, trotz 3facher Systemneuinstallation nicht beseitigt

Google Redirect, trotz 3facher Systemneuinstallation nicht beseitigt

Ähnliche Themen: Google Redirect, trotz 3facher Systemneuinstallation nicht beseitigt