Trojaner-Board - "Search Settings Notification" + Web-Browser starten langsam

Trojaner-Board (https://www.trojaner-board.de/)

- Log-Analyse und Auswertung (https://www.trojaner-board.de/log-analyse-auswertung/)

- - "Search Settings Notification" + Web-Browser starten langsam (https://www.trojaner-board.de/104559-search-settings-notification-web-browser-starten-langsam.html)

"Search Settings Notification" + Web-Browser starten langsam

Hallo, habe schon seit längerem immer die Meldung "Search setting notification - a program was blocked...." meist mehrmals nachdem ich Windows hochgefahren habe. Außerdem starten die Web-Browser sehr langsam.

Ich habe schon gegoogelt. Anscheinend handelt es sich um eine Malware. Scans mit Kaspersky und malwarebites brachten keine Ergebnisse!

Wäre über jede Hilfe dankbar!

Hatte übrigens vor einiger Zeit einen Virus oder Trojaner auf meinem Laptop so dass ich nicht mehr ins Internet konnte. Ich konnte jedoch mithilfe von Kasperksy das Programm entfernen. Evtl. wurde es vielleicht doch nicht ganz gelöscht und ist vielleicht doch noch ein bisschen aktiv.

Beim Erstellen der Logs gab es eine Fehlermeldung auf meinem Laptop auf blauem Hintergrund. Da stand unter anderem: PAGE_FAULT_IN_NONPAGED_AREA und STOP: 0x00000050 C0xE3A47C74I

Anbei die Log-Scans.

Zitat:

Scans mit Kaspersky und malwarebites brachten keine Ergebnisse!

Bitte dennoch alle Logs von Malwarebytes posten

Habe jetzt nochmal mit malwarebytes gescant und es sind jetzt doch schädliche Daten aufgetaucht. Hatte beim letzten Scan nur den Quick-Scan durchgeführt.

Anbei das Log.

Ich habe jetzt auf Entfernen geklickt. Dann kam die Meldung, dass eine schädliche Datei nicht entfernt werden konnte. Beim Neustart kam die "Search Settings Notification" Meldung auch wieder.

Anbei der aktuelle Log.

Führ bitte auch ESET aus, danach sehen wir weiter:

ESET Online Scanner

Hier findest du eine bebilderte Anleitung zu ESET Online Scanner
Lade und starte Eset Online Scanner
Setze einen Haken bei Ja, ich bin mit den Nutzungsbedingungen einverstanden und klicke auf Starten.
Aktiviere die "Erkennung von eventuell unerwünschten Anwendungen" und wähle folgende Einstellungen.
Klicke auf Starten.
Die Signaturen werden heruntergeladen, der Scan beginnt automatisch.
Klicke am Ende des Suchlaufs auf Fertig stellen.
Schließe das Fenster von ESET.
Explorer öffnen.
C:\Programme\Eset\EsetOnlineScanner\log.txt (bei 64 Bit auch C:\Programme (x86)\Eset\EsetOnlineScanner\log.txt) suchen und mit Deinem Editor öffnen (bebildert).
Logfile hier posten.
Deinstallation: Systemsteuerung => Software / Programme deinstallieren => Eset Online Scanner V3 entfernen.
Manuell folgenden Ordner löschen und Papierkorb leeren => C:\Programme\Eset

Anbei der Log von ESET.

Mach einen OTL-Fix, beende alle evtl. geöffneten Programme, auch Virenscanner deaktivieren (!), starte OTL und kopiere folgenden Text in die "Custom Scan/Fixes" Box (unten in OTL): (das ":OTL" muss mitkopiert werden!!!)

Hinweis: Falls Du Deinen Benutzernamen unkenntlich gemacht hast, musst Du das Ausgesternte in Deinen richtigen Benutzernamen wieder verwandeln, sonst funktioniert das Script nicht!!

Code:

:OTL

PRC - [2011.09.27 21:34:02 | 000,894,304 | ---- | M] (Spigot, Inc.) -- C:\Programme\Gemeinsame Dateien\Spigot\Search Settings\SearchSettings.exe

PRC - [2011.09.27 20:08:40 | 000,745,880 | ---- | M] (Spigot, Inc.) -- C:\Programme\Application Updater\ApplicationUpdater.exe

PRC - [2011.08.23 21:20:18 | 000,887,976 | ---- | M] (Ask) -- C:\Programme\Ask.com\Updater\Updater.exe

SRV - [2011.09.27 20:08:40 | 000,745,880 | ---- | M] (Spigot, Inc.) [Auto | Running] -- C:\Programme\Application Updater\ApplicationUpdater.exe -- (Application Updater)

IE - HKCU\SOFTWARE\Microsoft\Internet Explorer\Main,Start Page = http://de.ask.com/?l=dis&o=41647959&gct=hp

IE - HKCU\..\URLSearchHook: {00000000-6E41-4FD3-8538-502F5495E5FC} - C:\Programme\Ask.com\GenericAskToolbar.dll (Ask)

IE - HKCU\..\URLSearchHook: {B922D405-6D13-4A2B-AE89-08A030DA4402} - C:\Programme\pdfforge Toolbar\IE\4.7\pdfforgeToolbarIE.dll (Spigot, Inc.)

FF - prefs.js..browser.search.defaultengine: "Ask.com"

FF - prefs.js..browser.search.defaultenginename: "Yahoo"

FF - prefs.js..browser.search.order.1: "Ask.com"

FF - prefs.js..browser.search.param.yahoo-fr: "chr-greentree_ff&type=302398&ilc=12"

FF - prefs.js..browser.search.selectedEngine: "Yahoo"

FF - prefs.js..browser.startup.homepage: "http://de.ask.com/?l=dis&o=41647959&gct=hp"

FF - prefs.js..extensions.enabledItems: pdfforge@mybrowserbar.com:4.5

FF - prefs.js..extensions.enabledItems: wtxpcom@mybrowserbar.com:4.5

FF - prefs.js..keyword.URL: "http://de.search.yahoo.com/search?fr=greentree_ff1&ei=utf-8&ilc=12&type=302398&p="

FF - prefs.js..network.proxy.no_proxies_on: "*.local"

[2011.07.20 18:36:37 | 000,000,000 | ---D | M] (Yahoo! Toolbar) -- C:\Dokumente und Einstellungen\***\Anwendungsdaten\Mozilla\Firefox\Profiles\cf1fu9or.default\extensions\{635abd67-4fe9-1b23-4f01-e679fa7484c1}

[2011.09.02 19:02:46 | 000,000,000 | ---D | M] (VirtualDJ Toolbar) -- C:\Dokumente und Einstellungen\***\Anwendungsdaten\Mozilla\Firefox\Profiles\cf1fu9or.default\extensions\toolbar@ask.com

[2011.10.25 18:59:41 | 000,002,406 | ---- | M] () -- C:\Dokumente und Einstellungen\***\Anwendungsdaten\Mozilla\Firefox\Profiles\cf1fu9or.default\searchplugins\askcom.xml

[2011.07.20 18:36:17 | 000,000,000 | ---D | M] (Yahoo! Toolbar) -- C:\Programme\Mozilla Firefox\distribution\extensions\{635abd67-4fe9-1b23-4f01-e679fa7484c1}

[2011.10.25 00:23:30 | 000,000,000 | ---D | M] (Widgi Toolbar Platform) -- C:\PROGRAMME\GEMEINSAME DATEIEN\SPIGOT\WTXPCOM

[2011.10.25 00:23:31 | 000,000,000 | ---D | M] (pdfforge Toolbar) -- C:\PROGRAMME\PDFFORGE TOOLBAR\FF

O2 - BHO: (pdfforge Toolbar) - {B922D405-6D13-4A2B-AE89-08A030DA4402} - C:\Programme\pdfforge Toolbar\IE\4.7\pdfforgeToolbarIE.dll (Spigot, Inc.)

O2 - BHO: (VirtualDJ Toolbar) - {D4027C7F-154A-4066-A1AD-4243D8127440} - C:\Programme\Ask.com\GenericAskToolbar.dll (Ask)

O3 - HKLM\..\Toolbar: (pdfforge Toolbar) - {B922D405-6D13-4A2B-AE89-08A030DA4402} - C:\Programme\pdfforge Toolbar\IE\4.7\pdfforgeToolbarIE.dll (Spigot, Inc.)

O3 - HKLM\..\Toolbar: (VirtualDJ Toolbar) - {D4027C7F-154A-4066-A1AD-4243D8127440} - C:\Programme\Ask.com\GenericAskToolbar.dll (Ask)

O3 - HKCU\..\Toolbar\WebBrowser: (no name) - {C4069E3A-68F1-403E-B40E-20066696354B} - No CLSID value found.

O3 - HKCU\..\Toolbar\WebBrowser: (VirtualDJ Toolbar) - {D4027C7F-154A-4066-A1AD-4243D8127440} - C:\Programme\Ask.com\GenericAskToolbar.dll (Ask)

O4 - HKLM..\Run: []  File not found

O4 - HKLM..\Run: [ApnUpdater] C:\Programme\Ask.com\Updater\Updater.exe (Ask)

O4 - HKLM..\Run: [SearchSettings] C:\Programme\Gemeinsame Dateien\Spigot\Search Settings\SearchSettings.exe (Spigot, Inc.)

O32 - HKLM CDRom: AutoRun - 1

O32 - AutoRun File - [2001.07.28 01:07:00 | 000,000,000 | -HS- | M] () - D:\AUTOEXEC.BAT -- [ NTFS ]

O32 - AutoRun File - [2004.04.30 17:01:00 | 000,000,053 | -HS- | M] () - D:\AUTORUN.FCB -- [ NTFS ]

O32 - AutoRun File - [2007.07.29 14:16:18 | 000,000,100 | -HS- | M] () - D:\AUTORUN.INF -- [ NTFS ]

O33 - MountPoints2\D\Shell\AutoRun\command - "" = D:\setupSNK.exe -- [2004.08.04 00:58:20 | 000,028,672 | -HS- | M] (Microsoft Corporation)

[2011.10.25 00:23:45 | 000,000,000 | ---D | C] -- C:\Dokumente und Einstellungen\***\Anwendungsdaten\Search Settings

[2011.10.25 00:23:29 | 000,000,000 | ---D | C] -- C:\Programme\pdfforge Toolbar

[2011.10.25 00:23:29 | 000,000,000 | ---D | C] -- C:\Programme\Application Updater

[2011.10.25 20:02:04 | 000,000,256 | ---- | M] () -- C:\WINDOWS\tasks\Scheduled Update for Ask Toolbar.job

:Files

C:\Programme\Gemeinsame Dateien\Spigot

C:\Programme\Ask.com

:Commands

[emptytemp]

[resethosts]

Klick dann oben links auf den Button Fix!
Das Logfile müsste geöffnet werden, wenn Du nach dem Fixen auf ok klickst, poste das bitte. Evtl. wird der Rechner neu gestartet.

Die mit diesem Script gefixten Einträge, Dateien und Ordner werden zur Sicherheit nicht vollständig gelöscht, es wird eine Sicherheitskopie auf der Systempartition im Ordner "_OTL" erstellt.

Hinweis: Das obige Script ist nur für diesen einen User in dieser Situtation erstellt worden. Es ist auf keinen anderen Rechner portierbar und darf nicht anderweitig verwandt werden, da es das System nachhaltig schädigen kann!

OTL-Fix erledigt. Anbei das Log-File. Gruss Michael

Bitte nun dieses Tool von Kaspersky ausführen und das Log posten => http://www.trojaner-board.de/82358-t...entfernen.html

Das Tool so einstellen wie unten im Bild angegeben - klick auf change parameters und setze die Haken wie im folgenden Screenshot abgebildet,
Dann auf Start Scan klicken und wenn es durch ist auf den Button Report klicken um das Log anzuzeigen. Dieses bitte komplett posten.

Hinweis: Bitte nichts voreilig mit dem TDSS-Killer löschen! Falls Objekte vom TDSS-Killer bemängelt werden, alle mit der Aktion "skip" behandeln und hier nur das Log posten!

http://saved.im/mtkwmtcxexhp/setting...8_16-25-18.jpg

Falls du durch die Infektion auf deine Dokumente/Eigenen Dateien nicht zugreifen kannst, Verknüpfungen auf dem Desktop oder im Startmenü unter "alle Programme" fehlen, bitte unhide ausführen:
Downloade dir bitte unhide.exe und speichere diese Datei auf deinem Desktop.
Starte das Tool und es sollten alle Dateien und Ordner wieder sichtbar sein. ( Könnte eine Weile dauern )
http://www.trojaner-board.de/images/icons/icon4.gif Windows-Vista und Windows-7-User müssen das Tool per Rechtsklick als Administrator ausführen! http://www.trojaner-board.de/images/icons/icon4.gif

Hier der Log von DSS-Killer....

05:58:46.0312 2644 usbohci - ok
05:58:46.0453 2644 usbprint (a717c8721046828520c9edf31288fc00) C:\WINDOWS\system32\DRIVERS\usbprint.sys
05:58:46.0625 2644 usbprint - ok
05:58:46.0656 2644 usbscan (a0b8cf9deb1184fbdd20784a58fa75d4) C:\WINDOWS\system32\DRIVERS\usbscan.sys
05:58:46.0859 2644 usbscan - ok
05:58:46.0968 2644 USBSTOR (a32426d9b14a089eaa1d922e0c5801a9) C:\WINDOWS\system32\DRIVERS\USBSTOR.SYS
05:58:47.0125 2644 USBSTOR - ok
05:58:47.0296 2644 usbuhci (26496f9dee2d787fc3e61ad54821ffe6) C:\WINDOWS\system32\DRIVERS\usbuhci.sys
05:58:47.0453 2644 usbuhci - ok
05:58:47.0500 2644 VgaSave (0d3a8fafceacd8b7625cd549757a7df1) C:\WINDOWS\System32\drivers\vga.sys
05:58:47.0671 2644 VgaSave - ok
05:58:47.0734 2644 ViaIde (3b3efcda263b8ac14fdf9cbdd0791b2e) C:\WINDOWS\system32\DRIVERS\viaide.sys
05:58:47.0906 2644 ViaIde - ok
05:58:48.0015 2644 VolSnap (a5a712f4e880874a477af790b5186e1d) C:\WINDOWS\system32\drivers\VolSnap.sys
05:58:48.0187 2644 VolSnap - ok
05:58:48.0265 2644 Wanarp (e20b95baedb550f32dd489265c1da1f6) C:\WINDOWS\system32\DRIVERS\wanarp.sys
05:58:48.0468 2644 Wanarp - ok
05:58:48.0593 2644 Wdf01000 (bbcfeab7e871cddac2d397ee7fa91fdc) C:\WINDOWS\system32\Drivers\wdf01000.sys
05:58:48.0671 2644 Wdf01000 - ok
05:58:48.0796 2644 WDICA - ok
05:58:48.0859 2644 wdmaud (6768acf64b18196494413695f0c3a00f) C:\WINDOWS\system32\drivers\wdmaud.sys
05:58:49.0046 2644 wdmaud - ok
05:58:49.0203 2644 winachsf (214bc3ad84907ad6ad655ac5465f449a) C:\WINDOWS\system32\DRIVERS\HSF_CNXT.sys
05:58:49.0328 2644 winachsf - ok
05:58:49.0531 2644 WmiAcpi (c42584fd66ce9e17403aebca199f7bdb) C:\WINDOWS\system32\DRIVERS\wmiacpi.sys
05:58:49.0750 2644 WmiAcpi - ok
05:58:49.0875 2644 WpdUsb (cf4def1bf66f06964dc0d91844239104) C:\WINDOWS\system32\Drivers\wpdusb.sys
05:58:50.0046 2644 WpdUsb - ok
05:58:50.0218 2644 WudfPf (f15feafffbb3644ccc80c5da584e6311) C:\WINDOWS\system32\DRIVERS\WudfPf.sys
05:58:50.0390 2644 WudfPf - ok
05:58:50.0515 2644 WudfRd (28b524262bce6de1f7ef9f510ba3985b) C:\WINDOWS\system32\DRIVERS\wudfrd.sys
05:58:50.0640 2644 WudfRd - ok
05:58:50.0703 2644 MBR (0x1B8) (14c6601bdcc8a8484143829f2700ed2c) \Device\Harddisk0\DR0
05:58:50.0984 2644 \Device\Harddisk0\DR0 ( TDSS File System ) - warning
05:58:50.0984 2644 \Device\Harddisk0\DR0 - detected TDSS File System (1)
05:58:50.0984 2644 MBR (0x1B8) (8f558eb6672622401da993e1e865c861) \Device\Harddisk1\DR3
05:58:51.0437 2644 \Device\Harddisk1\DR3 - ok
05:58:51.0437 2644 Boot (0x1200) (04af35bc2ec46f1200c681fdb61d7b24) \Device\Harddisk0\DR0\Partition0
05:58:51.0453 2644 \Device\Harddisk0\DR0\Partition0 - ok
05:58:51.0453 2644 Boot (0x1200) (f54c70008ffdebcb41cbc6358ba68b49) \Device\Harddisk0\DR0\Partition1
05:58:51.0453 2644 \Device\Harddisk0\DR0\Partition1 - ok
05:58:51.0468 2644 Boot (0x1200) (9b21655b878dfe156ab3160f7f24e9ec) \Device\Harddisk1\DR3\Partition0
05:58:51.0468 2644 \Device\Harddisk1\DR3\Partition0 - ok
05:58:51.0484 2644 ============================================================
05:58:51.0484 2644 Scan finished
05:58:51.0484 2644 ============================================================
05:58:51.0609 2740 Detected object count: 14
05:58:51.0609 2740 Actual detected object count: 14
05:59:48.0625 2740 BTWUSB ( UnsignedFile.Multi.Generic ) - skipped by user
05:59:48.0625 2740 BTWUSB ( UnsignedFile.Multi.Generic ) - User select action: Skip
05:59:48.0640 2740 DLABOIOM ( UnsignedFile.Multi.Generic ) - skipped by user
05:59:48.0640 2740 DLABOIOM ( UnsignedFile.Multi.Generic ) - User select action: Skip
05:59:48.0640 2740 DLACDBHM ( UnsignedFile.Multi.Generic ) - skipped by user
05:59:48.0640 2740 DLACDBHM ( UnsignedFile.Multi.Generic ) - User select action: Skip
05:59:48.0640 2740 DLADResN ( UnsignedFile.Multi.Generic ) - skipped by user
05:59:48.0640 2740 DLADResN ( UnsignedFile.Multi.Generic ) - User select action: Skip
05:59:48.0640 2740 DLAIFS_M ( UnsignedFile.Multi.Generic ) - skipped by user
05:59:48.0640 2740 DLAIFS_M ( UnsignedFile.Multi.Generic ) - User select action: Skip
05:59:48.0640 2740 DLAOPIOM ( UnsignedFile.Multi.Generic ) - skipped by user
05:59:48.0640 2740 DLAOPIOM ( UnsignedFile.Multi.Generic ) - User select action: Skip
05:59:48.0640 2740 DLAPoolM ( UnsignedFile.Multi.Generic ) - skipped by user
05:59:48.0640 2740 DLAPoolM ( UnsignedFile.Multi.Generic ) - User select action: Skip
05:59:48.0640 2740 DLARTL_N ( UnsignedFile.Multi.Generic ) - skipped by user
05:59:48.0640 2740 DLARTL_N ( UnsignedFile.Multi.Generic ) - User select action: Skip
05:59:48.0640 2740 DLAUDFAM ( UnsignedFile.Multi.Generic ) - skipped by user
05:59:48.0640 2740 DLAUDFAM ( UnsignedFile.Multi.Generic ) - User select action: Skip
05:59:48.0656 2740 DLAUDF_M ( UnsignedFile.Multi.Generic ) - skipped by user
05:59:48.0656 2740 DLAUDF_M ( UnsignedFile.Multi.Generic ) - User select action: Skip
05:59:48.0656 2740 DRVMCDB ( UnsignedFile.Multi.Generic ) - skipped by user
05:59:48.0656 2740 DRVMCDB ( UnsignedFile.Multi.Generic ) - User select action: Skip
05:59:48.0656 2740 DRVNDDM ( UnsignedFile.Multi.Generic ) - skipped by user
05:59:48.0656 2740 DRVNDDM ( UnsignedFile.Multi.Generic ) - User select action: Skip
05:59:48.0656 2740 PxHelp20 ( UnsignedFile.Multi.Generic ) - skipped by user
05:59:48.0656 2740 PxHelp20 ( UnsignedFile.Multi.Generic ) - User select action: Skip
05:59:48.0671 2740 \Device\Harddisk0\DR0 ( TDSS File System ) - skipped by user
05:59:48.0671 2740 \Device\Harddisk0\DR0 ( TDSS File System ) - User select action: Skip

Gruss und schon mal vielen Dank für die Hilfe der Computer ist jetzt schon wieder viel schneller!

Zitat:

05:59:48.0671 2740 \Device\Harddisk0\DR0 ( TDSS File System ) - skipped by user
05:59:48.0671 2740 \Device\Harddisk0\DR0 ( TDSS File System ) - User select action: Skip

Das TDSS-Filesystem bitte mit dem TDSS-Killer löschen. Die anderen Einträge bitte so lassen, nicht löschen!
Danach Windows neustarten und ein neues Log mit dem TDS-Killer machen.

Hier das neue Log nach dem Löschen:

Dann bitte jetzt CF ausführen:

ComboFix

Ein Leitfaden und Tutorium zur Nutzung von ComboFix

Lade dir ComboFix hier herunter auf deinen Desktop.

Schliesse alle Programme, vor allem dein Antivirenprogramm und andere Hintergrundwächter sowie deinen Internetbrowser.

Starte cofi.exe von deinem Desktop aus, bestätige die Warnmeldungen, führe die Updates durch (falls vorgeschlagen), installiere die Wiederherstellungskonsole (falls vorgeschlagen) und lass dein System durchsuchen.
Vermeide es auch während Combofix läuft die Maus und Tastatur zu benutzen.

Im Anschluss öffnet sich automatisch eine combofix.txt, diesen Inhalt bitte kopieren ([Strg]a, [Strg]c) und in deinen Beitrag einfügen ([Strg]v). Die Datei findest du außerdem unter: C:\ComboFix.txt.

Wichtiger Hinweis:

Combofix darf ausschließlich ausgeführt werden, wenn ein Kompetenzler dies ausdrücklich empfohlen hat!

Es sollte nie auf eigene Initiative hin ausgeführt werden! Eine falsche Benutzung kann ernsthafte Computerprobleme nach sich ziehen und eine Bereinigung der Infektion noch erschweren.

Solltest du nach der Ausführung von Combofix Probleme beim Starten von Anwendungen haben und Meldungen erhalten wie

Zitat:

Es wurde versucht, einen Registrierungsschlüssel einem ungültigen Vorgang zu unterziehen, der zum Löschen markiert wurde.

startest du Windows dann manuell neu und die Fehlermeldungen sollten nicht mehr auftauchen.

Hallo, habe ein Problem. Das Programm Combo-Fix meldete, dass noch ein Virenschutzprogramm aktiv ist (Lavasoft Ad-Watch Live!). Habe festgestellt das dies im Windows-Sicherheitscenter aktiv ist, weiss aber nicht wie man das deaktivieren kann. Habe schon alles mögliche versucht...

Ad-Aware bzw. Ad-Watch kannst du deinstallieren, das Tool brauchst du nicht.