Trojaner-Board - Trojaner: Umleitung nach Suchmaschine in FF & IE auf fremde Seiten

Trojaner-Board (https://www.trojaner-board.de/)

- Log-Analyse und Auswertung (https://www.trojaner-board.de/log-analyse-auswertung/)

- - Trojaner: Umleitung nach Suchmaschine in FF & IE auf fremde Seiten (https://www.trojaner-board.de/102078-trojaner-umleitung-suchmaschine-ff-ie-fremde-seiten.html)

Trojaner: Umleitung nach Suchmaschine in FF & IE auf fremde Seiten

Hallo.
Hab mir wohl einen Trojaner eingefangen beim Programmieren mit Netzfunktionen. Da war ich wohl nicht vorsichtig.

Avira hatte "Malware gefunden": TR/Crypt.XPACK.Gen2 wurde gelöscht aus
D:\DOCUME~1\Florian\Local Settings\Temp\Rxl.exe
Jedoch laufen die nach wie vor.

Entsprechend
http://www.trojaner-board.de/69886-a...-beachten.html
hab ich OTL/GMER schon laufen lassen:

beide Dateien im Anhang als Archiv gepackt.

Besten Dank vorab.
flerb

hier nochmal das Archiv nun auch mit der GMER Datei

Hallo und :hallo:

Bitte routinemäßig einen Vollscan mit malwarebytes machen und Log posten.
Denk daran, dass Malwarebytes vor jedem Scan manuell aktualisiert werden muss!

Falls Logs aus älteren Scans mit Malwarebytes vorhanden sind, bitte auch davon alle posten!

Hallo,
Scan erfolgreich durchgeführt.
Ergebnis:

Code:

Malwarebytes' Anti-Malware 1.51.1.1800

www.malwarebytes.org
 

Datenbank Version: 7435
 

Windows 5.1.2600 Service Pack 3

Internet Explorer 6.0.2900.5512
 

11.08.2011 18:00:06

mbam-log-2011-08-11 (18-00-06).txt
 

Art des Suchlaufs: Vollständiger Suchlauf (D:\|)

Durchsuchte Objekte: 350562

Laufzeit: 1 Stunde(n), 14 Minute(n), 30 Sekunde(n)
 

Infizierte Speicherprozesse: 0

Infizierte Speichermodule: 1

Infizierte Registrierungsschlüssel: 5

Infizierte Registrierungswerte: 0

Infizierte Dateiobjekte der Registrierung: 0

Infizierte Verzeichnisse: 0

Infizierte Dateien: 4
 

Infizierte Speicherprozesse:

(Keine bösartigen Objekte gefunden)
 

Infizierte Speichermodule:

d:\WINDOWS\system32\sshnas21.dll (Trojan.FraudPack) -> Delete on reboot.
 

Infizierte Registrierungsschlüssel:

HKEY_CURRENT_USER\SOFTWARE\8DDYX0ZBPZ (Trojan.FakeAlert.SA) -> Quarantined and deleted successfully.

HKEY_CURRENT_USER\SOFTWARE\NtWqIVLZEWZU (Trojan.FakeAlert) -> Quarantined and deleted successfully.

HKEY_CURRENT_USER\SOFTWARE\ZU6RKI1ONY (Trojan.FakeAlert.SA) -> Quarantined and deleted successfully.

HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\ (Hijack.Zones) -> Quarantined and deleted successfully.

HKEY_LOCAL_MACHINE\System\CurrentControlSet\Services\SSHNAS (Trojan.Renos) -> Quarantined and deleted successfully.
 

Infizierte Registrierungswerte:

(Keine bösartigen Objekte gefunden)
 

Infizierte Dateiobjekte der Registrierung:

(Keine bösartigen Objekte gefunden)
 

Infizierte Verzeichnisse:

(Keine bösartigen Objekte gefunden)
 

Infizierte Dateien:

d:\WINDOWS\system32\sshnas21.dll (Trojan.FraudPack) -> Delete on reboot.

d:\system volume information\_restore{d7bc3310-a570-49d3-8c59-e06be4412f6e}\RP26\A0016300.exe (Trojan.FraudPack) -> Quarantined and deleted successfully.

d:\WINDOWS\Tasks\{bbaeaeaf-1275-40e2-bd6c-bc8f88bd114a}.job (Trojan.Downloader) -> Quarantined and deleted successfully.

d:\WINDOWS\Tasks\{810401e2-dde0-454e-b0e2-aa89c9e5967c}.job (Trojan.FraudPack) -> Quarantined and deleted successfully.

Führ bitte auch ESET aus, danach sehen wir weiter:

ESET Online Scanner

Hier findest du eine bebilderte Anleitung zu ESET Online Scanner
Lade und starte Eset Online Scanner
Setze einen Haken bei Ja, ich bin mit den Nutzungsbedingungen einverstanden und klicke auf Starten.
Aktiviere die "Erkennung von eventuell unerwünschten Anwendungen" und wähle folgende Einstellungen.
Klicke auf Starten.
Die Signaturen werden heruntergeladen, der Scan beginnt automatisch.
Klicke am Ende des Suchlaufs auf Fertig stellen.
Schließe das Fenster von ESET.
Explorer öffnen.
C:\Programme\Eset\EsetOnlineScanner\log.txt (bei 64 Bit auch C:\Programme (x86)\Eset\EsetOnlineScanner\log.txt) suchen und mit Deinem Editor öffnen (bebildert).
Logfile hier posten.
Deinstallation: Systemsteuerung => Software / Programme deinstallieren => Eset Online Scanner V3 entfernen.
Manuell folgenden Ordner löschen und Papierkorb leeren => C:\Programme\Eset

Hallo,
auch der Scan ist nun erledigt:

Code:

rtInstaller@High as downloader log:

all ok

# version=7

# OnlineScannerApp.exe=1.0.0.1

# OnlineScanner.ocx=1.0.0.6528

# api_version=3.0.2

# EOSSerial=091d00c8bc11de40854cb1d449f7ce79

# end=finished

# remove_checked=false

# archives_checked=true

# unwanted_checked=true

# unsafe_checked=false

# antistealth_checked=true

# utc_time=2011-08-22 02:22:01

# local_time=2011-08-22 04:22:01 (+0100, W. Europe Daylight Time)

# country="Germany"

# lang=1033

# osver=5.1.2600 NT Service Pack 3

# compatibility_mode=1797 16775125 100 93 462 50527269 0 0

# compatibility_mode=8192 67108863 100 0 334 334 0 0

# scanned=456506

# found=0

# cleaned=0

# scan_time=27514

Zitat:

Datenbank Version: 7435

Malwarebytes war aber nicht wirklich aktuell bzw der letzte Vollscan liegt schon länger zurück. Bitte Malwarebytes updaten und den Vollscan wiederholen.

Hi.
Malwarebytes war zum Scanlauf aktuell.
Das Datum liegt am 11.8. weil das der Letzte Lauf war, bevor ich in meinen Urlaub gestartet bin.
Das System hat in der Zeit bis gesternauch geruht.

Grüße Flessen

Ich hab aber schon damit angedeutet, dass ich einen neuen Vollscan mit den derzeit aktuellen Signaturen sehen will, da der letzte Scan schon fast 2 Wochen zurück liegt. Nur alte Ergebnisse allein helfen nicht weiter.

Hallo cosinus.
hier brandaktuell:

Code:

Malwarebytes' Anti-Malware 1.51.1.1800

www.malwarebytes.org
 

Datenbank Version: 7550
 

Windows 5.1.2600 Service Pack 3

Internet Explorer 6.0.2900.5512
 

24.08.2011 16:26:42

mbam-log-2011-08-24 (16-26-42).txt
 

Art des Suchlaufs: Vollständiger Suchlauf (C:\|D:\|E:\|F:\|G:\|H:\|I:\|)

Durchsuchte Objekte: 651972

Laufzeit: 3 Stunde(n), 23 Minute(n), 15 Sekunde(n)
 

Infizierte Speicherprozesse: 0

Infizierte Speichermodule: 0

Infizierte Registrierungsschlüssel: 0

Infizierte Registrierungswerte: 0

Infizierte Dateiobjekte der Registrierung: 0

Infizierte Verzeichnisse: 0

Infizierte Dateien: 1
 

Infizierte Speicherprozesse:

(Keine bösartigen Objekte gefunden)
 

Infizierte Speichermodule:

(Keine bösartigen Objekte gefunden)
 

Infizierte Registrierungsschlüssel:

(Keine bösartigen Objekte gefunden)
 

Infizierte Registrierungswerte:

(Keine bösartigen Objekte gefunden)
 

Infizierte Dateiobjekte der Registrierung:

(Keine bösartigen Objekte gefunden)
 

Infizierte Verzeichnisse:

(Keine bösartigen Objekte gefunden)
 

Infizierte Dateien:

c:\program files (x86)\mozilla firefox\irfanview plugins\installmanager.exe (Adware.Agent) -> Quarantined and deleted successfully.

Mach bitte ein frisches OTL-Log:

CustomScan mit OTL

Falls noch nicht vorhanden, lade Dir bitte OTL von Oldtimer herunter und speichere es auf Deinem Desktop

Starte bitte die OTL.exe.
Vista und Win7 User mit Rechtsklick "als Administrator starten"
Kopiere nun den Inhalt in die http://billy-oneal.com/Canned%20Spee.../customFix.png Textbox.

Code:

netsvcs

msconfig

safebootminimal

safebootnetwork

activex

drivers32

%ALLUSERSPROFILE%\Application Data\*.

%ALLUSERSPROFILE%\Application Data\*.exe /s

%APPDATA%\*.

%APPDATA%\*.exe /s

%SYSTEMDRIVE%\*.exe

/md5start

wininit.exe

userinit.exe

eventlog.dll

scecli.dll

netlogon.dll

cngaudit.dll

ws2ifsl.sys

sceclt.dll

ntelogon.dll

winlogon.exe

logevent.dll

user32.DLL

iaStor.sys

nvstor.sys

atapi.sys

IdeChnDr.sys

viasraid.sys

AGP440.sys

vaxscsi.sys

nvatabus.sys

viamraid.sys

nvata.sys

nvgts.sys

iastorv.sys

ViPrt.sys

eNetHook.dll

ahcix86.sys

KR10N.sys

nvstor32.sys

ahcix86s.sys

/md5stop

%systemroot%\system32\drivers\*.sys /lockedfiles

%systemroot%\System32\config\*.sav

%systemroot%\*. /mp /s

%systemroot%\system32\*.dll /lockedfiles

CREATERESTOREPOINT

Schliesse bitte nun alle Programme. (Wichtig)
Klicke nun bitte auf den Quick Scan Button.
Klick auf http://billy-oneal.com/Canned%20Spee.../OTL/btnOK.png.
Kopiere nun den Inhalt aus OTL.txt hier in Deinen Thread