Trojaner-Board - Windows 7 Trojaner: (PUP.Optional.InstallMonetizer.A), allerdings keine Anzeichen

Seite 1 von 2

100 Beiträge dieses Themas auf einer Seite anzeigen

Trojaner-Board (https://www.trojaner-board.de/)

- Log-Analyse und Auswertung (https://www.trojaner-board.de/log-analyse-auswertung/)

- - Windows 7 Trojaner: (PUP.Optional.InstallMonetizer.A), allerdings keine Anzeichen (https://www.trojaner-board.de/141511-windows-7-trojaner-pup-optional-installmonetizer-a-allerdings-keine-anzeichen.html)

McDoofi

14.09.2013 13:14

Windows 7 Trojaner: (PUP.Optional.InstallMonetizer.A), allerdings keine Anzeichen

Hallo Community,

ich habe vor 2 Tagen einen Trojaner durch eine E-Mail (Anhang) auf meinem PC gehabt. Ich habe alle meine Daten gesichert (auf meiner externe Festplatte), ihn von Avira in Quarantäne verschieben lassen und ESET darüber laufen lassen ---> Keine Funde. Habe meinen PC dann am nächsten Tag auch komplett neu aufgesetzt. Dann dachte ich es wäre alles wieder sauber, haben einen Quick-Scan mit Malwarebytes Anti-Malware gemacht und nichts gefunden. Habe danach allerdings noch einen vollständigen Scan gemacht und dabei hat er sehr wohl etwas gefunden. Jetzt habe ich natürlich auch keine Ahnung, ob das etwas mit der Mail zu tun hat oder nicht, allerdings hat ESET diese Datei nicht gefunden, bzw. nicht als Trojaner identifiziert. Ich habe diese Datei jetzt auch von Malwarebytes löschen lassen und wollte jetzt einfach mal hier fragen, ob mir vielleicht hier jemand helfen kann, da ich die Daten auf meiner externen Festplatte wirklich noch brauchen könnte.... Ich wäre für Hilfe sehr dankbar :)

MfG McDoofi

P.S.: Die Logs, zuerst MBAM, dann FRST und FRST Addition und dann GMER, wegen zu großer Zeichenanzahl und Dateigröße als Archiv.

t'john

14.09.2013 13:35

:hallo:

Drücke bitte die Windowstaste + R Taste und schreibe notepad in das Ausführen Fenster.

Kopiere nun folgenden Text aus der Code-Box in das leere Textdokument

Code:

C:\Users\Techno\AppData\Local\Temp\ose00000.exe 

C:\Users\Techno\AppData\Local\Temp\SkypeSetup.exe

R3 WinRing0_1_2_0; \??\C:\Users\Techno\AppData\Local\Temp\tmpC908.tmp [x]

Speichere diese bitte als Fixlist.txt auf deinem Desktop (oder dem Verzeichnis in dem sich FRST befindet).

Starte nun FRST erneut und klicke den Entfernen Button.
Das Tool erstellt eine Fixlog.txt.
Poste mir deren Inhalt.

dann:
Downloade Dir bitte

AdwCleaner auf deinen Desktop.

Schließe alle offenen Programme und Browser. Bebilderte Anleitung zu AdwCleaner.
Starte die AdwCleaner.exe mit einem Doppelklick.
Stimme den Nutzungsbedingungen zu.
Klicke auf Optionen und vergewissere dich, dass die folgenden Punkte ausgewählt sind:
- "Tracing" Schlüssel löschen
- Winsock Einstellungen zurücksetzen
- Proxy Einstellungen zurücksetzen
- Internet Explorer Richtlinien zurücksetzen
- Chrome Richtlinien zurücksetzen
- Stelle sicher, dass alle 5 Optionen wie hier dargestellt, ausgewählt sind
Klicke auf Suchlauf und warte bis dieser abgeschlossen ist.
Klicke nun auf Löschen und bestätige auftretende Hinweise mit Ok.
Dein Rechner wird automatisch neu gestartet. Nach dem Neustart öffnet sich eine Textdatei. Poste mir deren Inhalt mit deiner nächsten Antwort.
Die Logdatei findest du auch unter C:\AdwCleaner\AdwCleaner[Cx].txt. (x = fortlaufende Nummer).

McDoofi

15.09.2013 11:01

Hier die 2 Logs:

Fixlog.txt

Code:

Fix result of Farbar Recovery Tool (FRST written by Farbar) (x64) Version: 13-09-2013 04

Ran by Techno at 2013-09-14 14:37:18 Run:1

Running from C:\Users\Techno\Desktop

Boot Mode: Normal

==============================================
 

Content of fixlist:

*****************

C:\Users\Techno\AppData\Local\Temp\ose00000.exe 

C:\Users\Techno\AppData\Local\Temp\SkypeSetup.exe

*****************
 

C:\Users\Techno\AppData\Local\Temp\ose00000.exe  => Moved successfully.

C:\Users\Techno\AppData\Local\Temp\SkypeSetup.exe => Moved successfully.
 

==== End of Fixlog ====

AdwCleaner[S0].txt
AdwCleaner Logfile:

Code:

# AdwCleaner v3.003 - Bericht erstellt am 14/09/2013 um 14:39:26

# Updated 07/09/2013 von Xplode

# Betriebssystem : Windows 7 Professional Service Pack 1 (64 bits)

# Benutzername : Techno - DESKTOP-PC

# Gestartet von : C:\Users\Techno\Desktop\adwcleaner.exe

# Option : Löschen
 

***** [ Dienste ] *****
 
 

***** [ Dateien / Ordner ] *****
 

Ordner Gelöscht : C:\Users\Techno\AppData\Roaming\pdfforge

Datei Gelöscht : C:\Users\Techno\AppData\Roaming\Mozilla\Firefox\Profiles\8kce0lom.Alt\foxydeal.sqlite

Datei Gelöscht : C:\Users\Techno\AppData\Roaming\Mozilla\Firefox\Profiles\uydo53uk.default\foxydeal.sqlite
 

***** [ Verknüpfungen ] *****
 
 

***** [ Registrierungsdatenbank ] *****
 
 

***** [ Browser ] *****
 

-\\ Internet Explorer v10.0.9200.16686
 
 

-\\ Mozilla Firefox v23.0.1 (de)
 

[ Datei : C:\Users\Techno\AppData\Roaming\Mozilla\Firefox\Profiles\8kce0lom.Alt\prefs.js ]
 
 

[ Datei : C:\Users\Techno\AppData\Roaming\Mozilla\Firefox\Profiles\uydo53uk.default\prefs.js ]
 
 

*************************
 

AdwCleaner[R0].txt - [1173 octets] - [14/09/2013 14:38:52]

AdwCleaner[S0].txt - [1096 octets] - [14/09/2013 14:39:26]
 

########## EOF - C:\AdwCleaner\AdwCleaner[S0].txt - [1156 octets] ##########

--- --- ---

[/CODE]

Mir ist allerdings jetzt gerad noch etwas aufgefallen, ähnlich wie bei anderen habe ich auch relativ hohe ausgehende Datenströme (nicht dauerhaft) aber vorallem wundert mich meine hohe RAM-Benutzung von über 2 GB trotz das nur Firefox und ein paar Minianwendungen laufen. Auch haken bei mir Videos auf YouTube und Skype meint meine Internetgeschwindigkeit wäre nicht schnell genug für Videoanrufe trotz 50k Leitung. Ob es wirklich was damit zu tun hat, weiß ich natürlich nicht, aber schätzungsweise schon.

MfG McDoofi

P.S.: Ich weiß dass man normalerweise nicht auf sich selbst antwortet, ist mir aber wie gesagt erst heute aufgefallen mit dem RAM und den hakenden Videos.

t'john

15.09.2013 11:30

Beende bitte Deine Schutzsoftware um eventuelle Konflikte zu vermeiden.
Bitte lade Junkware Removal Tool auf Deinen Desktop

Starte das Tool mit Doppelklick. Ab Windows Vista (oder höher) bitte mit Rechtsklick "als Administrator ausführen" starten.
Drücke eine beliebige Taste, um das Tool zu starten.
Je nach System kann der Scan eine Weile dauern.
Wenn das Tool fertig ist wird das Logfile (JRT.txt) auf dem Desktop gespeichert und automatisch geöffnet.
Bitte poste den Inhalt der JRT.txt in Deiner nächsten Antwort.

dann:
Downloade dir bitte

Farbar Service Scanner

Starte das Tool mit Doppelklick auf die FSS.exe
Gehe sicher, dass folgende Optionen angehakt sind.
- Internet Services
- Windows Firewall
- System Restore
- Security Center/Action Center
- Windows Update
- Windows Defender
- Other Services
Klicke auf Scan.
Wenn das Tool fertig ist, wird es eine FSS.txt in dem Verzeichnis erstellen, wo das Tool gelaufen ist.

Poste bitte den Inhalt hier.

McDoofi

15.09.2013 11:56

Hier wieder mal die Logs:

JRT:

Code:

~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~

Junkware Removal Tool (JRT) by Thisisu

Version: 6.0.1 (09.15.2013:1)

OS: Windows 7 Professional x64

Ran by Techno on 15.09.2013 at 12:41:49,54

~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~
 
 
 
 

~~~ Services
 
 
 

~~~ Registry Values
 
 
 

~~~ Registry Keys
 
 
 

~~~ Files
 
 
 

~~~ Folders
 
 
 

~~~ FireFox
 

Emptied folder: C:\Users\Techno\AppData\Roaming\mozilla\firefox\profiles\8kce0lom.Alt\minidumps [256 files]
 
 
 

~~~ Event Viewer Logs were cleared
 
 
 
 
 

~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~

Scan was completed on 15.09.2013 at 12:50:15,17

End of JRT log

~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~

FSS:

Code:

Farbar Service Scanner Version: 13-09-2013

Ran by Techno (administrator) on 15-09-2013 at 12:53:19

Running from "C:\Users\Techno\Desktop"

Microsoft Windows 7 Professional  Service Pack 1 (X64)

Boot Mode: Normal

****************************************************************
 

Internet Services:

============
 

Connection Status:

==============

Localhost is accessible.

LAN connected.

Google IP is accessible.

Google.com is accessible.

Yahoo.com is accessible.
 
 

Windows Firewall:

=============
 

Firewall Disabled Policy: 

==================
 
 

System Restore:

============
 

System Restore Disabled Policy: 

========================
 
 

Action Center:

============
 
 

Windows Update:

============
 

Windows Autoupdate Disabled Policy: 

============================
 
 

Windows Defender:

==============
 

Other Services:

==============
 
 

File Check:

========

C:\Windows\System32\nsisvc.dll => MD5 is legit

C:\Windows\System32\drivers\nsiproxy.sys => MD5 is legit

C:\Windows\System32\dhcpcore.dll => MD5 is legit

C:\Windows\System32\drivers\afd.sys => MD5 is legit

C:\Windows\System32\drivers\tdx.sys => MD5 is legit

C:\Windows\System32\Drivers\tcpip.sys => MD5 is legit

C:\Windows\System32\dnsrslvr.dll => MD5 is legit

C:\Windows\System32\mpssvc.dll => MD5 is legit

C:\Windows\System32\bfe.dll => MD5 is legit

C:\Windows\System32\drivers\mpsdrv.sys => MD5 is legit

C:\Windows\System32\SDRSVC.dll => MD5 is legit

C:\Windows\System32\vssvc.exe => MD5 is legit

C:\Windows\System32\wscsvc.dll => MD5 is legit

C:\Windows\System32\wbem\WMIsvc.dll => MD5 is legit

C:\Windows\System32\wuaueng.dll => MD5 is legit

C:\Windows\System32\qmgr.dll => MD5 is legit

C:\Windows\System32\es.dll => MD5 is legit

C:\Windows\System32\cryptsvc.dll => MD5 is legit

C:\Program Files\Windows Defender\MpSvc.dll => MD5 is legit

C:\Windows\System32\ipnathlp.dll => MD5 is legit

C:\Windows\System32\iphlpsvc.dll => MD5 is legit

C:\Windows\System32\svchost.exe => MD5 is legit

C:\Windows\System32\rpcss.dll => MD5 is legit
 
 

**** End of log ****

t'john

18.09.2013 09:48

Bestens.

Downloade Dir bitte

SecurityCheck und:

Speichere es auf dem Desktop.
Starte SecurityCheck.exe und folge den Anweisungen in der DOS-Box.
Wenn der Scan beendet wurde sollte sich ein Textdokument (checkup.txt) öffnen.

Poste den Inhalt bitte hier.

McDoofi

18.09.2013 11:15

Hier der Log

Code:

 Results of screen317's Security Check version 0.99.73  

 Windows 7 Service Pack 1 x64 (UAC is enabled)  

 Internet Explorer 10  
 ``````````````Antivirus/Firewall Check:`````````````` 

avast! Antivirus   

 Antivirus up to date!   
 `````````Anti-malware/Other Utilities Check:````````` 

 Malwarebytes Anti-Malware Version 1.75.0.1300  

 Adobe Flash Player 11.8.800.168  

 Adobe Reader XI  

 Mozilla Firefox (23.0.1) 
 ````````Process Check: objlist.exe by Laurent````````  

 AVAST Software Avast AvastSvc.exe  

 AVAST Software Avast AvastUI.exe  
 `````````````````System Health check````````````````` 

 Total Fragmentation on Drive C:  
 ````````````````````End of Log``````````````````````

t'john

21.09.2013 11:30

Sehr gut! :daumenhoc

damit bist Du sauber und entlassen! :)

Tool-Bereinigung
Die Reihenfolge ist hier entscheidend.

Falls Defogger benutzt wurde: Defogger nochmal starten und auf re-enable klicken.
Falls Combofix benutzt wurde: (Alternativ in uninstall.exe umbenennen und starten)
- Windowstaste + R > Combofix /Uninstall (eingeben) > OK
- Alternative: Combofix.exe in uninstall.exe umbenennen und starten
- Combofix wird jetzt starten, sich evtl updaten und dann alle Reste von sich selbst entfernen.
Downloade Dir bitte auf jeden Fall DelFix auf deinen Desktop:
- Schließe alle offenen Programme.
- Starte die delfix.exe mit einem Doppelklick.
- Setze vor jede Funktion ein Häkchen.
- Klicke auf Start.
- Hinweis: DelFix entfernt u. a. alle verwendeten Programme, die Quarantäne unserer Scanner, den Java-Cache und löscht sich abschließend selbst.
- Starte deinen Rechner abschließend neu.
Sollten jetzt noch Programme aus unserer Bereinigung übrig sein kannst du sie bedenkenlos löschen.

Lektuere zum abarbeiten:
http://www.trojaner-board.de/90880-d...tallation.html
http://www.trojaner-board.de/105213-...tellungen.html
PluginCheck
http://www.trojaner-board.de/96344-a...-rechners.html
Secunia Online Software Inspector
http://www.trojaner-board.de/71715-k...iendungen.html
http://www.trojaner-board.de/83238-a...sschalten.html
http://www.trojaner-board.de/109844-...ren-seite.html
PC wird immer langsamer - was tun?

McDoofi

21.09.2013 13:33

Vielen Danke t'john für deine Hilfe!

Aber bist du dir sicher, dass mein Rechner sauber ist? Weil ich habe immer noch relativ komische Eigenschaften für einen sauberen PC.... Beim Systemstart bzw. dauerhaft aber ab da wird ein komplettes Gigabyte RAM direkt mal verwendet, aber für nichts! Es taucht weder im Taskmanager noch sonstwo auf (In anderen Prozess-Explorer auch nicht!) Oder auch total regelmößig Uploadströme für 5 Minuten oder länger, wo aber immer genau das selbe Diagamm ergeben.... Also die Uploadstöme könnten ja vielleicht auch irgendwas anderes sein, aber das mit dem RAM verstehe ich nicht.... Mein Rechner braucht auch jetzt nach dem Neuaufsetzen länger zum hochfahren als davor.... Was auch immer das ist, ich weiß es nicht, aber ich glaube nicht, dass das normal ist und so sein soll, man sieht ja auch nichts von dem Gigabyte, es ist einfach verwendet! Ich wäre sehr dankbar für Hilfe!

Gruß McDoofi

t'john

21.09.2013 14:38

Wir koennen mal ggf. flasche Verweise korrigieren.

Windows Repair Tool (AIO)

Downloade Windows repair tool
Entpacke das Zip und starte Repair_Windows.exe
Klicke auf Start repairs Tab dann: Start

folgende Punkte auswählen

Register System Files
Repair WMI
Repair Windows Firewall
Remove Policies Set By Infections
Repair Windows Updates
Repair Important Windows Services
Set Windows Services To Default Startup

Auswählen: Restart System When Finished
Dann Start Button klicken.

McDoofi

21.09.2013 15:59

Leider hat sich rein gar nichts verändert.... Hier hab ich auch mal ein paar Bilder gemacht, wie es aussieht...

MfG McDoofi

t'john

29.09.2013 10:28

Mache mal ein Screenshot vom Taskmanager, absteigend sortiert nach CPU-Auslasung.

McDoofi

30.09.2013 16:44

Hier die TM-Daten

t'john

30.09.2013 16:49

Du scheinst viele Desktop-MiniAnwendungen zu verwenden.

Da gehen auch einiges an CPU-Ressourcen und RAM drauf.

Ma alles abgeschaltet und verglichen? :)

McDoofi

30.09.2013 18:24

Also wirklich was verändert hat sich nichts ....

Alle Zeitangaben in WEZ +1. Es ist jetzt 13:35 Uhr.

Seite 1 von 2

100 Beiträge dieses Themas auf einer Seite anzeigen

1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 18 19 20 21 22 23 24 25 26 27 28 29 30 31 32 33 34 35 36 37 38 39 40 41 42 43 44 45 46 47 48 49 50 51 52 53 54 55 56 57 58 59 60 61 62 63 64 65 66 67 68 69 70 71 72 73 74 75 76 77 78 79 80 81 82 83 84 85 86 87 88 89 90 91 92 93 94 95 96 97 98 99 100 101 102 103 104 105 106 107 108 109 110 111 112 113 114 115 116 117 118 119 120 121 122 123 124 125 126 127 128 129 130 131