Ein hartnäckiger Rootkit, und Toolbars nehme ich an
 

Nun hat es mich auch erwischt, ich nehme an ein sehr hartnäckiger Rootkit hat mich erwüscht, und teile von Toolbars sind auch noch vorhanden.

Zur Vorgeschichte ich habe Emsisoft Anti-Malware ( kaufversion ) auf meinem Rechner, und auch Malwarebytes' Anti-Malware Free ( schon länger auf meinem Rechner ). So nun wen ich MBAM Starten tuhe für einen scan, und Emsisoft Anti-Malware ist noch aktiv, und auch MBAM, dann wird MBAM cirka immer nach 4 Sekunden, wie von Geisterhand " asgeknipst ", wen ich Emsisoft Anti-Malware, auschalten tuhe, pasiert das nicht der scan geht durch mit MBAM, aber keine funde...Wen ich aber machmal Emsisoft Anti-Malware starten tuhe, mache ich MBAM aus, ich sitze ja nicht immer am Rechner, dann nach Zeit X, hat sich der Rechner neugestartet, also scan nicht durch gelaufen, und mchmal leuft er durch, und kein ergebnis...Und wen ich Emsifoft Anti-Malware mit direkten Festplattenzugriff einen scan mache dan ist nach ca 65 % feierabend, nichts geht mehr. Hatte versucht die rescue CD von Kaspersky neu herunter zu laden ging nicht, sieht aus wie ein ein weißes Blatt mit Eselohr, rechte Seite, dann ist mir eingefallen, ich hatte so was schon in der Verganenheit erstellt, versucht, und nichts gefunden.

So und nun die Logs, oh wie ging das noch mal... Ich weiß das nicht mer ...


Kann mir noch geholfen werden ?

Combofix Logfile:
--- --- ---
--- --- ---
Hiier das defrogger Log:

defogger_disable by jpshortstuff (23.02.10.1)
Log created at 23:46 on 28/07/2012 (Holger)
Checking for autostart values...
HKCU\~\Run values retrieved.
HKLM\~\Run values retrieved.
Checking for services/drivers...

-=E.O.F=-

Mit einem GMER Log wird es nichts, ich hatte GMER 1.0.15.15641 benutzt, es ist ja bekannt das sich das ab und zu mal aufhangen tut, bzw. nicht funktoniert. En Extra.Log von OTL habe ich auch nicht.


Wen weitere Logs gebraucht werden, reiche ich sie zeitnah nach, kein problem.

THN

Nun der Bericht von Malwarebytes`Anti-Malware :

alwarebytes Anti-Malware 1.62.0.1300
www.malwarebytes.org
Datenbank Version: v2012.07.28.07
Windows XP Service Pack 3 x86 NTFS
Internet Explorer 8.0.6001.18702
Holger :: YOUR-W01WIJB9WN [Administrator]
Schutz: Aktiviert
29.07.2012 00:07:19
mbam-log-2012-07-29 (00-07-19).txt
Art des Suchlaufs: Vollständiger Suchlauf (C:\|D:\|E:\|)
Aktivierte Suchlaufeinstellungen: Speicher | Autostart | Registrierung | Dateisystem | Heuristiks/Extra | HeuristiKs/Shuriken | PUP | PUM
Deaktivierte Suchlaufeinstellungen: P2P
Durchsuchte Objekte: 246331
Laufzeit: 40 Minute(n), 8 Sekunde(n)
Infizierte Speicherprozesse: 0
(Keine bösartigen Objekte gefunden)
Infizierte Speichermodule: 0
(Keine bösartigen Objekte gefunden)
Infizierte Registrierungsschlüssel: 0
(Keine bösartigen Objekte gefunden)
Infizierte Registrierungswerte: 0
(Keine bösartigen Objekte gefunden)
Infizierte Dateiobjekte der Registrierung: 0
(Keine bösartigen Objekte gefunden)
Infizierte Verzeichnisse: 0
(Keine bösartigen Objekte gefunden)
Infizierte Dateien: 0
(Keine bösartigen Objekte gefunden)
(Ende)


Meine Rechner Uhrzeit hat sich auch verstelltich, vesrstellz --Y wiel Malware im Spiel, der Spiele ist, habe kurz vor 12 Mitternacht, da habe ich gleich 1 Uhr.

Welche Logs soll ich noch bei bringen ?

THN

Vergesst mich Bitte nicht !

THN

Sind das alle Logs von Malwarebytes? :pfeiff:
Irgendwelche Hinweise in Logs auf ein Rootkit von früher?

Ja, die LOG´s von MBAM, sind alle sauber.

THN

Wieso hast du eigentlich schon Combofix ausgeführt?
Du bist doch lange genug hier um zu wissen, dass du nicht auf eigene Faust CF ausführen solltest, es sei denn du weißt du machst ;)

Hast du ESET schon ausgeführt?

Ja das mit Combofix, wahr unklug von mir.

Ja das mit ESET werde ich mal jetzt anstoßen, mir welchen Parameter Bitte ?

THN

Der ESET scan war auch neagtive, kann kein Log bei bringen, sorry.

Wie geht es weiter ?

THN

Hast du es so ausgeführt?! :wtf:


ESET Online Scanner

• Hier findest du eine bebilderte Anleitung zu ESET Online Scanner
• Lade und starte Eset Online Scanner
• Setze einen Haken bei Ja, ich bin mit den Nutzungsbedingungen einverstanden und klicke auf Starten.
• Aktiviere die "Erkennung von eventuell unerwünschten Anwendungen" und wähle folgende Einstellungen.
• Klicke auf Starten.
• Die Signaturen werden heruntergeladen, der Scan beginnt automatisch.
• Klicke am Ende des Suchlaufs auf Fertig stellen.
• Schließe das Fenster von ESET.
• Explorer öffnen.
• C:\Programme\Eset\EsetOnlineScanner\log.txt (bei 64 Bit auch C:\Programme (x86)\Eset\EsetOnlineScanner\log.txt) suchen und mit Deinem Editor öffnen (bebildert).
• Logfile hier posten.
• Deinstallation: Systemsteuerung => Software / Programme deinstallieren => Eset Online Scanner V3 entfernen.
• Manuell folgenden Ordner löschen und Papierkorb leeren => C:\Programme\Eset

Leider Nein, aber der scan hat nichts zu Tage gebarcht, 0 Funde.

Soll ich das ganze noch einmal machen, nach deiner Anleitung ?

THN

Ja mach mal bitte :D

So, nun das Log, Eser:

ESETSmartInstaller@High as CAB hook log:
OnlineScanner.ocx - registred OK
# version=7
# iexplore.exe=8.00.6001.18702 (longhorn_ie8_rtm(wmbla).090308-0339)
# OnlineScanner.ocx=1.0.0.6583
# api_version=3.0.2
# EOSSerial=5ead7248cb9ba54bbcc2429a621f01f3
# end=finished
# remove_checked=true
# archives_checked=false
# unwanted_checked=true
# unsafe_checked=true
# antistealth_checked=true
# utc_time=2012-07-30 07:36:12
# local_time=2012-07-30 09:36:12 (+0100, Westeuropäische Sommerzeit)
# country="Germany"
# lang=1031
# osver=5.1.2600 NT Service Pack 3
# compatibility_mode=8192 67108863 100 0 139 139 0 0
# scanned=64257
# found=0
# cleaned=0
# scan_time=3458
# version=7
# iexplore.exe=8.00.6001.18702 (longhorn_ie8_rtm(wmbla).090308-0339)
# OnlineScanner.ocx=1.0.0.6583
# api_version=3.0.2
# EOSSerial=5ead7248cb9ba54bbcc2429a621f01f3
# end=finished
# remove_checked=false
# archives_checked=true
# unwanted_checked=true
# unsafe_checked=false
# antistealth_checked=true
# utc_time=2012-07-31 01:35:25
# local_time=2012-07-31 03:35:25 (+0100, Westeuropäische Sommerzeit)
# country="Germany"
# lang=1033
# osver=5.1.2600 NT Service Pack 3
# compatibility_mode=8192 67108863 100 0 60804 60804 0 0
# scanned=64701
# found=0
# cleaned=0
# scan_time=7571

THN

Irgendwie hab ich noch keine Anhaltspunkte für Malware :pfeiff:

adwCleaner - Toolbars und ungewollte Start-/Suchseiten aufspüren

Downloade Dir bitte AdwCleaner auf deinen Desktop.

• Starte die adwcleaner.exe mit einem Doppelklick.
• Klicke auf Search.
• Nach Ende des Suchlaufs öffnet sich eine Textdatei.
• Poste mir den Inhalt mit deiner nächsten Antwort.
• Die Logdatei findest du auch unter C:\AdwCleaner[R1].txt.

Und nun auch hier das Log:

# AdwCleaner v1.703 - Logfile created 08/01/2012 at 00:18:24
# Updated 20/07/2012 by Xplode
# Operating system : Microsoft Windows XP Service Pack 3 (32 bits)
# User : XXXXXXXXXXXXXXXXXXXXXXXX
# Running from : D:\Dokumente und Einstellungen\XXXXXXX\Desktop\adwcleaner.exe
# Option [Delete]

***** [Services] *****

***** [Files / Folders] *****
Folder Deleted : D:\Programme\WiseConvert
***** [Registry] *****
Key Deleted : HKCU\Software\WiseConvert
Key Deleted : HKLM\SOFTWARE\Microsoft\SystemCertificates\AuthRoot\Certificates\0563B8630D62D75ABBC8AB1E4BDFB5A899B24D43
Key Deleted : HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Uninstall\WiseConvert Toolbar
Key Deleted : HKLM\SOFTWARE\WiseConvert
***** [Registre - GUID] *****
Key Deleted : HKLM\SOFTWARE\Classes\CLSID\{71B1DF81-18D9-4E5B-9493-CAB02B6E9D8F}
Key Deleted : HKLM\SOFTWARE\Classes\CLSID\{EBD898F8-FCF6-4694-BC3B-EABC7271EEB1}
Key Deleted : HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Browser Helper Objects\{EBD898F8-FCF6-4694-BC3B-EABC7271EEB1}
Key Deleted : HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Ext\PreApproved\{71B1DF81-18D9-4E5B-9493-CAB02B6E9D8F}
Key Deleted : HKCU\Software\Microsoft\Windows\CurrentVersion\Ext\Settings\{EBD898F8-FCF6-4694-BC3B-EABC7271EEB1}
Key Deleted : HKCU\Software\Microsoft\Windows\CurrentVersion\Ext\Stats\{EBD898F8-FCF6-4694-BC3B-EABC7271EEB1}
Value Deleted : HKLM\SOFTWARE\Microsoft\Internet Explorer\Toolbar [{EBD898F8-FCF6-4694-BC3B-EABC7271EEB1}]
Value Deleted : HKCU\Software\Microsoft\Internet Explorer\Toolbar\WebBrowser [{EBD898F8-FCF6-4694-BC3B-EABC7271EEB1}]
Value Deleted : HKCU\Software\Microsoft\Internet Explorer\URLSearchHooks [{EBD898F8-FCF6-4694-BC3B-EABC7271EEB1}]
***** [Internet Browsers] *****
-\\ Internet Explorer v8.0.6001.18702
[OK] Registry is clean.
*************************
AdwCleaner[R9].txt - [1977 octets] - [01/08/2012 00:17:46]
AdwCleaner[S6].txt - [1936 octets] - [01/08/2012 00:18:24]
########## EOF - D:\AdwCleaner[S6].txt - [2064 octets] ##########

Ich galube nicht das da jetzt diese Toolbar entefernt worden ist, den ich habe das schon des öfteren versucht diese Toolbars zu entvernen.

Das mit der Systemuhrzeit, habe ich jetzt auch im griff, ich schrieb doch das sie SYStemuhrzeit ca. 1 Stunde vor ging, ich habe sie einfach per Hand richtig gestellt, und jetzt wird die auch wiederum die richtige Zeit angezeigt. Hatte heute eine versuch gemacht mit Emsisoft Anti-Malware, beim ersten Schritt wo das Teil nach Rootkits suchen tuht, bei ca 5 % hangen geblieben, ging nichts mer mit scannen...Und ich habe das gleiche problem wen MBAM, und Emsisoft Anti-Malware bei mir aktive sind, und ich MBAM starten tuhe, wird MBAM einfach ausgeknipst.

Schon komisch das ganze, bei mir.
THN

Dass Malwarebytes ausgeknipps wird, kann muss aber nicht andere Ursachen haben - ich frag nochmal zur Sicherheit: das ist egal ob normaler oder abgesicherter Modus?

Das schon probiert => http://www.trojaner-board.de/82699-m...tet-nicht.html
Ggf im Zusammenhang mit dem random installer probieren, falls man schon Probleme bei der Installation bzw. beim Download hat => http://malwarebytes.org/mbam-download-exe-random.php


adwCleaner - Toolbars und ungewollte Start-/Suchseiten entfernen

• Schließe alle offenen Programme und Browser.
• Starte die adwcleaner.exe mit einem Doppelklick.
• Klicke auf Delete.
• Bestätige jeweils mit Ok.
• Dein Rechner wird neu gestartet. Nach dem Neustart öffnet sich eine Textdatei.
• Poste mir den Inhalt mit deiner nächsten Antwort.
• Die Logdatei findest du auch unter C:\AdwCleaner[S1].txt.

Deine Antwort verstehe ich nicht ganz, du meinst ich sollte MBAM neu installieren, dazu müßte ich MBAM halt deinstalieren, und mit dem Cleaner Tool, ganz un gar heru´nterschmeisen, usw.... wilst du das so, also eine Neuinstalation, über einen anderen Weg wo du beschreiben hattest.


Und das mit dem AdwCleaner hat ich doch schon gestern gemacht....



# AdwCleaner v1.800 - Logfile created 08/01/2012 at 22:05:13
# Updated 01/08/2012 by Xplode
# Operating system : Microsoft Windows XP Service Pack 3 (32 bits)
# User : XXXXXXXXXXXXXXXXXXXXXXXXXXXX
# Running from : D:\Dokumente und Einstellungen\Holger\Desktop\adwcleaner.exe
# Option [Delete]

***** [Services] *****

***** [Files / Folders] *****

***** [Registry] *****

***** [Registre - GUID] *****

***** [Internet Browsers] *****
-\\ Internet Explorer v8.0.6001.18702
[OK] Registry is clean.
*************************
AdwCleaner[R9].txt - [1977 octets] - [01/08/2012 00:17:46]
AdwCleaner[S6].txt - [2065 octets] - [01/08/2012 00:18:24]
AdwCleaner[R10].txt - [806 octets] - [01/08/2012 22:04:51]
AdwCleaner[S7].txt - [737 octets] - [01/08/2012 22:05:13]
########## EOF - D:\AdwCleaner[S7].txt - [864 octets] ##########

Probier es doch einfach mal aus wie beschrieben bei "Malwarebytes startet nicht"
Oder hast du ein Problem damit? :pfeiff:

Malwarebytes`Anti-Malware startet doch an sich, das ist nicht das problem. Das MBAM wird nur im normalen Modus von Windows XP home ausgeknipst, auch wen Emsisoft Anti-Malware aktive ist. Hm, im abgesicherten Modus leuft eh kein Emsisoft Anti-Malware, so das MBAM auch da einwandfrei funktoniert. Blos findet halt nichts, oder kennt das nicht was es finden sollte :)

THN

Es wird immer seltsahmer bei mir, schaue dier mal das Bild, an. Und in der Vergangenheit war das Trojanerbild vor der URl. wo ich meine E-Mails, über T-Online abrufe....???

Was soll das ?

Guck dir die URL Zeile Im Browswer an, das erste Symbol bevor dann die URL von Malwarebytes`Anti-Malware steht....

Bild:

THN

Die Malware Bytes' Anti-Malware Log´s sind un auffällig, nichts nada nothing, clean.

THN

Ist das normal wen ich die Emsisoft Seite besuchen tuhe ?

Das Logo, Zeichen vor der URL, im Browser ?

So als zweites Beispiel.

Bild:

THN

Userprofil defekt?
Hast du mal testweise einen neuen Benutzer angelegt und damit alles mal durchgespielt?

Nein.

Soll ich mich bei diesen Foren Neu anmelden, oder wie meinst du das bitte ?

THN

Foren?!?! :wtf:

LOL äh nein, du hast in jedem Windows in der Systemsteuerung einen Menüpunkt, der sich Benutzer und Kennwörter schimpft.

Darüber sollst du testweise einen neuen User anlegen, z.B. Theodor Test oder TitusTest oder PaulaProbiermal oder so :rofl:

Dann ausloggen und in den neuen User reingehen und - ja was wohl - ALLES TESTEN http://www.smilies.4-user.de/include...ie_xyz_002.gif

Das mit dem Logo´s, in der eingabe Zeile im Browser ist erst zweitrangig für mich. Du meinst mein Rechner ist also nicht infeziert.

THN

Es wird immer komischer bei mir. Habe jetzt einmal Super Antispyware (trial version) bei mir installiert, wen ich MBAM updaten will, wird SUPA ausgeknipst. Bei aktiven Emsisoft Anti-Malware. Komsich ist das schon.

THN

Auch wenn ein Rechner nicht infiziert ist führt manchmal nichts an einer Neuinstallation vorbei. zB eenn Windows bzw. die Registry verhunzt ist, unsachgemäß mit Registrycleanern TuneUp o.ä. Müll wild herumgespielt wurde. Hast du mit solchen Tools mal was gemacht?

Nein, nur ab und zu mal mit CCleaner aufgereumt, sonst nichts.

THN

Hast du auch schon OSAM und aswMBR mal laufen lassen?

OSAM, Nein, aber aswMBR Ja, aber ist mir gestern oder vorgestern mitten drin abgeschmiert, eingefroren ging nichts mer. Soll ich mal beide durchlaufen lassen ?

Wie soll ich ich OSAM anwenden ?

THN

Der Bericht von aswMBR:

aswMBR version 0.9.9.1665 Copyright(c) 2011 AVAST Software
Run date: 2012-08-08 20:13:36
-----------------------------
20:13:36.187 OS Version: Windows 5.1.2600 Service Pack 3
20:13:36.187 Number of processors: 1 586 0x801
20:13:36.187 ComputerName: YOUR-W01WIJB9WN UserName: Holger
20:13:36.671 Initialize success
20:13:54.390 AVAST engine defs: 12080700
20:13:59.234 Disk 0 (boot) \Device\Harddisk0\DR0 -> \Device\0000005b
20:13:59.234 Disk 0 Vendor: ST3160022ACE 9.51 Size: 152627MB BusType: 3
20:13:59.234 Disk 1 \Device\Harddisk1\DR1 -> \Device\0000005c
20:13:59.234 Disk 1 Vendor: WDC_WD800BB-00CAA1 17.07W17 Size: 76319MB BusType: 3
20:13:59.265 Disk 0 MBR read successfully
20:13:59.265 Disk 0 MBR scan
20:13:59.312 Disk 0 Windows XP default MBR code
20:13:59.312 Disk 0 Partition 1 80 (A) 07 HPFS/NTFS NTFS 49996 MB offset 63
20:13:59.312 Disk 0 Partition - 00 0F Extended LBA 102621 MB offset 102392640
20:13:59.328 Disk 0 Partition 2 00 07 HPFS/NTFS NTFS 102621 MB offset 102392703
20:13:59.343 Disk 0 scanning sectors +312560640
20:13:59.437 Disk 0 scanning D:\WINDOWS.0\system32\drivers
20:14:10.828 Service scanning
20:14:28.843 Modules scanning
20:14:36.328 Disk 0 trace - called modules:
20:14:36.328 ntoskrnl.exe CLASSPNP.SYS disk.sys ACPI.sys hal.dll nvatabus.sys
20:14:36.328 1 nt!IofCallDriver -> \Device\Harddisk0\DR0[0x86746ab8]
20:14:36.328 3 CLASSPNP.SYS[f788ffd7] -> nt!IofCallDriver -> \Device\0000005f[0x86712f18]
20:14:36.328 5 ACPI.sys[f77e5620] -> nt!IofCallDriver -> \Device\0000005b[0x86712030]
20:14:36.812 AVAST engine scan D:\WINDOWS.0
20:14:42.734 AVAST engine scan D:\WINDOWS.0\system32
20:17:11.984 AVAST engine scan D:\WINDOWS.0\system32\drivers
20:17:28.078 AVAST engine scan D:\Dokumente und Einstellungen\Holger
20:26:19.093 AVAST engine scan D:\Dokumente und Einstellungen\All Users
20:26:40.343 Scan finished successfully
20:26:53.484 Disk 0 MBR has been saved successfully to "D:\Dokumente und Einstellungen\Holger\Desktop\MBR.dat"
20:26:53.484 The log file has been saved successfully to "D:\Dokumente und Einstellungen\Holger\Desktop\aswMBR.txt"

THN

Osam. kann ich garnicht nutzen, das sieht so aus nach dem download, Papier mit Eselsorhr. Von daher bin ich jetzt ratlos. Quelle, war http://www.trojaner-board.de/84180-a...n-manager.html


Hier auch noch das Bild.

THN

Ja, womit könnte man wohl RAR-Dateien öffnen? :pfeiff:

Nimm WinRAR oder 7zip

Ok, ok war meine "dummheit", es sah für mich halt sehr komisch aus, so das ich dachte das ich damit nichts anfangen könnte.

OK, hier nun das Log:
OSAM Logfile:
--- --- ---
If You have questions or want to get some help, You can visit http://forum.online-solutions.ru

Ist das so richtig ?

THN

Fällt mir jetzt irgendwie erst auf. WINDOWS.0 ?
Hast du da mal Windows drüber installiert ohne Formatierung? Das allein kann schon eine Ursache für viele Fehler sein

Ja da ging was in die Hose, bei der letzten installation von Windows. in der Vergangenheit... ist das so schlimmm jetzt ? Kann man das noch irgendwie umkehren, so das es richtig ist ?

THN

Was ich damit sagen wollte: ein überinstalliertes Windows ist keine saubere Installation, danach kann es durchaus sein, dass das System in einigen Punkten spinnt und auch sonst ist es nicht ratsam ohne zu Formatieren und Neuinstallation zu machen

Ok, danke für die Hilfe, werde ich angehen, das wird wieder eine Affentoor für mich.

THN