Keine websearch in Firefox & IE: syntax error hxxp://johndoeppctest.com/ads_prod; (Warnung Telekom)

MrKing · 31.05.2011, 21:19

Hallo,

wie schon von Realbiker gepostet habe auch ich das Problem, dass weder mit Firefox noch mit dem Internet Explorer eine google websearch möglich ist.
Opera funktioniert hingegen scheinbar problemlos.

In Firefox erscheint folgende Fehlermeldung:
Fehler: syntax error

Quelldatei: hxxp://johndoeppctest.com/ads_prod.php
Zeile: 1
Quelltext:
<!DOCTYPE html PUBLIC "-//W3C//DTD XHTML 1.0 Transitional//EN" "hxxp://www.w3.org/TR/xhtml1/DTD/xhtml1-transitional.dtd">

Gestern erhielt ich dann von der Telekom eine mail, die mich darauf hinwies, dass von meinem Zugang unerwünschte Zugriffe auf fremde Rechner erfolgt sind...

Verschiedenste Versuche meinerseits den Rechner von dem Übeltäter zu befreien u.a. mit spybot, antivir und Malwarebytes sind leider fehlgeschlagen (keine Funde).

Nun hoffe ich hier einen freundlichen Helfer anzutreffen, der mir bei diesem Problem weiterhelfen kann.

Die erforderlichen Logfiles habe ich nach Anleitung erstellt und angehängt.

Schon mal Danke für Eure Hilfe!
MrKing

cosinus · 31.05.2011, 21:52

Poste trotzdem bitte mal alle Logs von Malwarebytes, das enthält ein paar mehr Infos als Fund oder kein Fund

MrKing · 01.06.2011, 14:59

Hallo Arne,

danke für die schnelle Rückmeldung!!Leider kann ich nur mir einem aktuellen Malwarebytes Log dienen. Ältere Logs wurden leider von mir gelöscht...

Ich hoffe, dies hilft trotzdem weiter...

Grüße MrKing

cosinus · 01.06.2011, 15:24

Zitat:

[2011.05.30 19:41:41 | 000,000,000 | ---D | M] -- C:\CF
[2011.05.30 19:51:50 | 000,000,000 | ---D | M] -- C:\CF23773C

Einen ganz klaren Hinweis gibt es auch zu http://www.trojaner-board.de/95175-combofix.html

Zitat:

Wichtiger Hinweis:

Combofix darf ausschließlich ausgeführt werden, wenn ein Kompetenzler dies ausdrücklich empfohlen hat!
Es sollte nie auf eigene Initiative hin ausgeführt werden! Eine falsche Benutzung kann ernsthafte Computerprobleme nach sich ziehen und eine Bereinigung der Infektion noch erschweren.

Wer hat dich angewiesen das auszuführen? Wieso erwähnst du das nichtmal und postesst auch nicht das Log!?

MrKing · 01.06.2011, 15:38

Sorry, der Hinweis kam für mich leider zu spät, da ich auf der Suche nach einer Lösung zunächst in einigen anderen (englischsprachigen) Foren (als Mitleser) unterwegs war und dort bin ich auf ComboFix gestoßen. Asche auf mein Haupt...

Grüße
MrKing

cosinus · 01.06.2011, 20:01

Mach einen OTL-Fix, beende alle evtl. geöffneten Programme, auch Virenscanner deaktivieren (!), starte OTL und kopiere folgenden Text in die "Custom Scan/Fixes" Box (unten in OTL): (das ":OTL" muss mitkopiert werden!!!)

Code:

ATTFilter

:OTL
IE - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings: "ProxyOverride" = 127.0.0.1;192.168.*.*
IE - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings: "ProxyServer" = 127.0.0.1:4001
@Alternate Data Stream - 152 bytes -> C:\Programme\Windows Home Server:{4D006700-7700-7900-7200-460069007300}
@Alternate Data Stream - 146 bytes -> C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\TEMP:5F64C164
@Alternate Data Stream - 118 bytes -> C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\TEMP:DFC5A2B2
:Commands
[purity]
[resethosts]

Klick dann oben links auf den Button Fix!
Das Logfile müsste geöffnet werden, wenn Du nach dem Fixen auf ok klickst, poste das bitte. Evtl. wird der Rechner neu gestartet.

Die mit diesem Script gefixten Einträge, Dateien und Ordner werden zur Sicherheit nicht vollständig gelöscht, es wird eine Sicherheitskopie auf der Systempartition im Ordner "_OTL" erstellt.

MrKing · 01.06.2011, 21:05

Hallo Arne,

ich bin wie von dir beschrieben vorgegangen. Das Problem mit den Browsern besteht nach wie vor. Das Logfile ist anbei. Danke für die Unterstützung!

MrKing

cosinus · 01.06.2011, 22:07

Bitte nun dieses Tool von Kaspersky ausführen und das Log posten => http://www.trojaner-board.de/82358-t...entfernen.html

Das Tool so einstellen wie unten im Bild angegeben - also beide Haken setzen, auf Start scan klicken und wenn es durch ist auf den Button Report klicken um das Log anzuzeigen. Dieses bitte komplett posten.

Falls du durch die Infektion auf deine Dokumente/Eigenen Dateien nicht zugreifen kannst, bitte unhide ausführen:
Downloade dir bitte unhide.exe und speichere diese Datei auf deinem Desktop.
Starte das Tool und es sollten alle Dateien und Ordner wieder sichtbar sein. ( Könnte eine Weile dauern )

Vista und 7 User müssen das Tool per Rechtsklick als Administrator ausführen!

MrKing · 01.06.2011, 23:30

Auf meine eigenen Dateien kann ich zugreifen und auch ansonsten verhält sich mein PC unauffällig. Allerdings besteht das benannte Problem nach der Ausführung von TDSSKiller weiterhin.

Grüße
MrKing

cosinus · 02.06.2011, 00:46

Zitat:

2011/06/01 23:47:51.0140 3200 MBR (0x1B8) (eeadaf356113e54427e990a5bcad82b5) \Device\Harddisk2\DR2

2011/06/01 23:47:51.0140 3200 \Device\Harddisk2\DR2 - copied to quarantine

2011/06/01 23:47:51.0140 3200 Rootkit.Win32.BackBoot.gen(\Device\Harddisk2\DR2) - User select action: Quarantine

Da wurde ein Rootkit erkannt und entfernt. Bitte Windows neu starten und zur Kontrolle ein neues Log mit dem Kaspersky-TDSS-Killer machen.

MrKing · 02.06.2011, 20:58

Hallo Arne,

hier das neue Log. Ich weiß nicht, ob es relevant ist, aber TDSS-Killer erkennt zwar den Schädling, aber im Kontext-Menü steht nur zur Wahl skip, quarantine (von mir ausgeführt) oder restore, nicht aber delete oder cure.
Websearch funktioniert nach wie vor leider nicht. In der Firefox Fehlerkonsole erscheint immer noch die o. g. syntax error Meldung.

Grüße
MrKing

cosinus · 03.06.2011, 11:02

Combofix - Scripten

1. Starte das Notepad (Start / Ausführen / notepad[Enter])

2. Jetzt füge mit copy/paste den ganzen Inhalt der untenstehenden Codebox in das Notepad Fenster ein.

Code:

ATTFilter

Registry::
[HKEY_CURRENT_USER\software\microsoft\windows\currentversion\run-]
"Setinx"=-
[HKEY_LOCAL_MACHINE\software\microsoft\windows\currentversion\run-]
"QuickTime Task"=-
"UpdReg"=-
"MXOBG"=-
[HKLM\~\services\sharedaccess\parameters\firewallpolicy\standardprofile\GloballyOpenPorts\List]
"779:TCP"=-
"789:UDP"=-
"3587:TCP"=-
"3540:UDP"=-
"3389:TCP"=-
"65533:TCP"=-
"52344:TCP"=-

Reglockdel::
[HKEY_USERS\.Default\Software\Microsoft\Internet Explorer\User Preferences]

Regnull::
[HKEY_LOCAL_MACHINE\software\Microsoft\Windows\CurrentVersion\Installer\UserData\LocalSystem\Components\Ø•€|ÿÿÿÿ•€|ù•6~*]

File::
c:\dokumente und einstellungen\NetworkService\Anwendungsdaten\Adobe\Update\widnat.dat
c:\windows\MXOALDR.EXE

3. Speichere im Notepad als CFScript.txt auf dem Desktop.

4. Deaktivere den Guard Deines Antivirenprogramms und eine eventuell vorhandene Software Firewall.
(Auch Guards von Ad-, Spyware Programmen und den Tea Timer (wenn vorhanden) !)

5. Dann ziehe die CFScript.txt auf die cofi.exe, so wie es im unteren Bild zu sehen ist. Damit wird Combofix neu gestartet.

6. Nach dem Neustart (es wird gefragt ob Du neustarten willst), poste bitte die folgenden Log Dateien:
Combofix.txt

Hinweis: Das obige Script ist nur für diesen einen User in dieser Situtation erstellt worden. Es ist auf keinen anderen Rechner portierbar und darf nicht anderweitig verwandt werden, da es das System nachhaltig schädigen kann!

MrKing · 03.06.2011, 13:15

Die Symptome sind verschwunden!!

Grüße
MrKing

cosinus · 03.06.2011, 14:58

Ok. Bitte nun Logs mit GMER und OSAM erstellen und posten.
GMER stürzt häufiger ab, wenn das Tool auch beim 2. Mal nicht will, lass es einfach weg und führ nur OSAM aus - die Online-Abfrage durch OSAM bitte überspringen.
Bei OSAM bitte darauf auch achten, dass Du das Log auch als *.log und nicht *.html oder so abspeicherst.

Downloade Dir danach bitte MBRCheck (by a_d_13) und speichere die Datei auf dem Desktop.

Doppelklick auf die MBRCheck.exe.
Vista und Win7 User mit Rechtsklick "als Administrator starten"
Das Tool braucht nur wenige Sekunden.
Danach solltest du eine MBRCheck_<Datum>_<Uhrzeit>.txt auf dem Desktop finden.

Poste mir bitte den Inhalt des .txt Dokumentes

MrKing · 03.06.2011, 19:57

Hat leider etwas gedauert. Gmer braucht seine Zeit. Hier nun die 3 logfiles.

Grüße
MrKing

31.05.2011, 21:52	#2
cosinus /// Winkelfunktion /// TB-Süch-Tiger™	Keine websearch in Firefox & IE: syntax error hxxp://johndoeppctest.com/ads_prod; (Warnung Telekom) Poste trotzdem bitte mal alle Logs von Malwarebytes, das enthält ein paar mehr Infos als Fund oder kein Fund __________________ __________________

Keine websearch in Firefox & IE: syntax error hxxp://johndoeppctest.com/ads_prod; (Warnung Telekom)

Log-Analyse und Auswertung: Keine websearch in Firefox & IE: syntax error hxxp://johndoeppctest.com/ads_prod; (Warnung Telekom)