|
Windows 7: Infektion mit Bitguard/BHO.Bprotector.1.4, Lizardlink und evtl. anderen Viren Hallo zusammen, bei der Suche nach einer Lösung eines Virenproblems bin ich auf diese Seite gestoßen und würde gerne Hilfe bekommen. Auf dem befallenen Rechner fiel zunächst auf, dass die Internetbrowser ihre Startseiten automatisch auf eine Webseite www...babylon... (die genaue Adresse weiß ich nicht mehr) gesetzt haben. Zudem tauchten verschiedene Pop-Ups auf, die häufig während des normalen Betriebs aufgingen (nicht beim Surfen im Internet) und auf Virenschutzsoftware verwiesen haben. Also alles ziemlich verdächtig. Beim Check der installierten Software sind mir zahlreiche Toolbars (z.B. Ask.com) und Spiele (u.a. Zula Games) aufgefallen, die ebenso verdächtig wirkten, da sie nicht von meiner Freundin installiert wurden. Das Löschen über die Software-Seite in der Systemsteuerung war in einigen Fällen nicht möglich. Das anschlließend installierte Antivir hat den Schädling (Bitguard bzw. BHO.Bprotector.1.4, siehe Antivir-Log) gefunden und vermeintlich gelöscht, was ihn aber nicht daran hinderte, wie eh und je in Aktion zu treten (Starstseitenänderung). Bei genauer Durchsicht meines Systems wurde mir auch klar, dass ich wohl auch Lizardlink auf meinem Rechner habe. Über Google bin ich dann auf folgendes Thema gestoßen: http://www.trojaner-board.de/142861-...entfernen.html Diese Anleitung habe ich annähernd komplett befolgt (FRST, Malwarebites, AdwCleaner, JRT und ESET-Scanner installiert und mit den empfohlenen Einstellungen durchlaufen lassen) . Die einzelnen Scanner haben alle etwas gefunden/entfernt, auch der zuletzt durchgeführte hat noch Funde gehabt (siehe entsprechende Logfiles). Nun habe ich beschlossen, die Sache nicht mehr alleine weiterzuverfolgen und würde mich freuen, wenn mir jemand von Euch helfen kann, den Rechner wieder komplett sauberzubekommen. Wenn es notwendig ist, würde ich das System auch noch einmal aufsetzen, sofern Eure Empfehlung so lautet. Noch ein Hinweis: Der Rechner war zunächst für fast zwei Jahre nicht im Netz und ist in diesem veralteten Zustand (keine Windows-/Browser-/Flash-/Java-Updates etc., KEIN ANTIVIRENPROGRAMM INSTALLIERT) nun knapp drei Monate wieder im Netz unterwegs. Ich habe das nötigste auch nachgeholt (Windows-Updates, Virenscanner installliert, Avira Rescue system laufen lassen, Browser-Updates etc. durchgeführt), aber ich bin damit noch nicht durch und würde nun gerne wissen, wie/ob es weitergeht mit dem Rechner. Vor dem Einstellen dieses Themas habe ich auch bereits die die unter http://www.trojaner-board.de/69886-a...-beachten.html genannten Schritte durchgeführt. Da das Forenprogramm mich beim Absenden meines Beitrags wegen der Länge der Logfiles dazu aufgefordert hat, hänge ich die entsprechenden Logfiles aller bisherigen Aktionen als Zip an diesen Beitrag an. Hier eine Übersicht über die Vorgänge/Logfiles: 1.: Logfile Avira Antivir (installierter Virenscanner) Anschließend bin ich nach der Anleitung unter http://www.trojaner-board.de/142861-...entfernen.html vorgegangen: 2. Logfile FRST 3. Logfile Addition-Datei FRST 4. Logfile Malwarebytes 5. Logfile FRST nach Malwarebytes 6. Logfile AdwClean-Scan 7. Logfile FRST nach AdwClean 8. Logfile JRT-Scan 9. Logfile FRST nach JRT 10. Logfile ESET Online Scanner 11. Logfile FRST nach ESET Ab hier führe ich die Schritte aus, die unter http://www.trojaner-board.de/69886-a...-beachten.html beschrieben sind 12. Logfile Defogger 13. Logfile FRST nach Defogger 14. Logfile GMER 15. Logfile FRST nach GMER Viele Grüße und Danke im Voraus! :-) sporty78 |
Hallo und :hallo: Malwarebytes Anti-Rootkit (MBAR) Downloade dir bitte  Malwarebytes Anti-Rootkit und speichere es auf deinem Desktop.
Starte keine andere Datei in diesem Ordner ohne Anweisung eines Helfers  Lesestoff:Posten in CODE-Tags Die Logfiles anzuhängen oder sogar vorher in ein ZIP, RAR, 7Z-Archive zu packen erschwert mir massiv die Arbeit, es sei denn natürlich die Datei wäre ansonsten zu gross für das Forum. Um die Logfiles in eine CODE-Box zu stellen gehe so vor:
|
Liste der Anhänge anzeigen (Anzahl: 1) Hallo cosinus, vielen Dank erst einmal für die rekordverdächtig schnelle Antwort. :-) Ich habe MBAR bei mir wie beschrieben durchlaufen lassen und er hat keine Infektionen gefunden - eigentlich. Eigentlich, weil er während des Scanvorgangs eine Datei im Temp-Ordner als 'Infected' eingestuft hat ('C:\Users\anja\AppData\Local\Temp\is1590112554\12452397_stp\wajam_...', siehe Screenshot anbei), im Abschlussbericht bzw. Logfile aber von keiner gefundenen Infektion spricht. Gestern beim Starten des Internet Explorers (Version 11) gab es auch noch eine Warnmeldung, dass ein Programm versucht hätte, meinen Standardsuchanbieter zu verändern. Anscheinend hat IE das abgewehrt, es zeigt mir aber, dass da wohl noch etwas im Hintergrund läuft. Sorry wegen der als Zip angehängten Logfiles. Ich hatte die einzelnen Logs ursprünglich im Windows-Editor jeweils als Plain Text zwischen die - Klammern gesetzt und dann in Euren Wysiwyg-Editor kopiert, aber es hat nicht funktioniert und es kam die Meldung, dass der Beitrag zu lang sei und ich die Logfiles separat anhängen sollte. Anbei der aktuelle MBAR-Logfile: Code: Malwarebytes Anti-Rootkit BETA 1.07.0.1007sporty 78 |
Ok, dann bitte JRT und adwcleaner.exe löschen, neu runterladen und nochmal ausführen: Adware/Junkware/Toolbars entfernen 1. Schritt: adwCleaner Downloade Dir bitte  AdwCleaner auf deinen Desktop.
2. Schritt: JRT - Junkware Removal Tool Beende bitte Deine Schutzsoftware um eventuelle Konflikte zu vermeiden.
3. Schritt: Frisches Log mit FRST Bitte lade dir die passende Version von Farbar's Recovery Scan Tool auf deinen Desktop:  FRST 32-Bit | FRST 64-Bit(Wenn du nicht sicher bist: Lade beide Versionen oder unter Start > Computer (Rechtsklick) > Eigenschaften nachschauen)
|
Hallo Cosinus, danke für Deine Antwort. Hier die entsprechenden Logfiles (AdwCleaner hat etwas gefunden). AdwCleaner: Code: # AdwCleaner v3.014 - Bericht erstellt am 02/12/2013 um 13:26:30Code: ~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~FRST Logfile: Code: Scan result of Farbar Recovery Scan Tool (FRST.txt) (x64) Version: 01-12-2013FRST Addition: Code: Additional scan result of Farbar Recovery Scan Tool (x64) Version: 01-12-2013sporty78 |
Sieht ok aus. Wir sollten fast durch sein. Mach bitte zur Kontrolle einen Quickscan mit Malwarebytes Anti-Malware (MBAM) Hinweis: Denk bitte vorher daran, Malwarebytes Anti-Malware über den Updatebutton zu aktualisieren! Anschließend über den OnlineScanner von ESET eine zusätzliche Meinung zu holen ist auch nicht verkehrt: ESET Online Scanner
|
Hallo cosinus, danke für die Rückmeldung. Ich habe beide Scanner durchlaufen lassen (beide mit Ergebnis, bei beiden jedoch mit schlüssiger Erklärung) Logfile Malwarebytes, die erste: Code: Malwarebytes Anti-Malware 1.75.0.1300Malwarebytes, die zweite: Code: Malwarebytes Anti-Malware 1.75.0.1300Logfile ESET: Code: ESETSmartInstaller@High as downloader log:Viele Grüße sporty78 |
Drücke bitte die Windowstaste + R Taste und schreibe notepad in das Ausführen Fenster. Kopiere nun folgenden Text aus der Code-Box in das leere Textdokument Code: C:\Program Files (x86)\Avira\AntiVir Desktop\offercast_avirav7_.exeSpeichere diese bitte als Fixlist.txt auf deinem Desktop (oder dem Verzeichnis in dem sich FRST befindet).
|
Hallo cosinus, so schaut der Logfile aus: Code: Fix result of Farbar Recovery Tool (FRST written by Farbar) (x64) Version: 03-12-2013sporty78 |
Sieht soweit ok aus :daumenhoc Wegen Cookies und anderer Dinge im Web: Um die Pest von vornherein zu blocken (also TrackingCookies, Werbebanner etc.) müsstest du dir mal sowas wie MVPS Hosts File anschauen => Blocking Unwanted Parasites with a Hosts File - sinnvollerweise solltest du alle 4 Wochen mal bei MVPS nachsehen, ob er eine neue Hosts Datei herausgebracht hat. Info: Cookies sind keine Schädlinge direkt, aber es besteht die Gefahr der missbräuchlichen Verwendung (eindeutige Wiedererkennung zB für gezielte Werbung o.ä. => HTTP-Cookie ) Ansonsten gibt es noch gute Cookiemanager, Erweiterungen für den Firefox zB wäre da CookieCuller Wenn du aber damit leben kannst, dich bei jeder Browsersession überall neu einzuloggen (zB Facebook, Ebay, GMX, oder auch Trojaner-Board) dann stell den Browser einfach so ein, dass einfach alles beim Beenden des Browser inkl. Cookies gelöscht wird. Ist dein System nun wieder in Ordnung oder gibt's noch andere Funde oder Probleme? |
Hallo cosinus, vielen Dank für Deine Antwort und die Tipps zum Sauberhalten meines Rechners! Ich habe keine akuten Probleme festsellen können, würde mich aber über eine kurze Antwort zu zwei Fragen freuen, die ich mir noch gestellt habe: Der ESET-Scanner hatte ja folgende Funde gemeldet: Code: vn="a variant of Win32/Bundled.Toolbar.Ask.D application" ac=I fn="C:\Program Files (x86)\Avira\AntiVir Desktop\offercast_avirav7_.exe"Code: C:\Program Files (x86)\Avira\AntiVir Desktop\offercast_avirav7_.exeCode: vn="Win32/Toolbar.Babylon.M application" ac=I fn="C:\Users\anja\AppData\Local\Temp\AF52.tmp"Eine weitere Frage habe ich bezüglich meines Postings vom 02.12.2013, 13:08 Uhr: Hier hatte ja Malwarebytes Anti-Rootkit während des Scans einen Fund gemeldet, im Abschlussbericht war jedoch von keinem Fund die Rede. Sollte ich mir diese Datei auch noch einmal ansehen ('C:\Users\anja\AppData\Local\Temp\is1590112554\12452397_stp\wajam_...')? Zu der Fundmeldung hatte ich auch einen Screenshot angehängt. Generell: Ist es bedenklich/gefährlich, im TMP-Ordner eine verdächtige Datei manuell zu löschen? Danke und viele Grüße sporty78 |
Das sind nur Überbleibsel in TEMP einfach mit TFC löschen TFC - Temp File Cleaner Lade dir  TFC (TempFileCleaner von Oldtimer) herunter und speichere es auf den Desktop.
Berichte ob die Funde dann in TEMP auch ausbleiben |
Hallo cosinus, ich habe den TFC benutzt und danach mit ESET gescannt - es gab null Funde ! :daumenhoc Der Rechner scheint tatsächlich sauber zu sein! Eine (nun wirklich allerletzte) Frage noch zum Thema: Ich hatte ja - wie empfohlen - den defogger laufen lassen, bevor ich mein Thema eröffnet habe. Muss ich damit noch etwas anstellen nun? Nun zu ertwas erfreulicherem: Wie funktioniert das mit einer kleinen Spende bei Euch? Nur per paypal, oder auch per 'normaler' Überweisung? Vielen Dank für Deine Super-Hilfe! sporty78 |
defogger re-enablen, ist aber nur relevant wenn du CD/DVD Emulatoren hast Und Spenden ist ganz einfach, klick auf den Link in meiner Sig, Trojaner-Board unterstützen, geht per Paypal oder Überweisung an Peter. Danke! :dankeschoen: Dann wären wir durch! :daumenhoc Falls du noch Lob oder Kritik loswerden möchtest => Lob, Kritik und Wünsche - Trojaner-Board Die Programme, die hier zum Einsatz kamen, können alle deinstalliert werden. Helfen kann dir dabei delfix: Die Reihenfolge ist hier entscheidend.
Bitte abschließend noch die Updates prüfen, unten mein Leitfaden dazu. Um in Zukunft die Aktualität der installierten Programme besser im Überblick zu halten, kannst du zB Secunia PSI verwenden. Für noch mehr Sicherheit solltest Du nach der beseitigten Infektion auch möglichst alle Passwörter ändern. Microsoftupdate Windows XP:Besuch mit dem IE die MS-Updateseite und lass Dir alle wichtigen Updates installieren. Windows Vista/7: Start, Systemsteuerung, Windows-Update PDF-Reader aktualisieren Ein veralteter AdobeReader stellt ein großes Sicherheitsrisiko dar. Du solltest daher besser alte Versionen vom AdobeReader über Systemsteuerung => Software bzw. Programme und Funktionen deinstallieren, indem Du dort auf "Adobe Reader x.0" klickst und das Programm entfernst. (falls du AdobeReader installiert hast) Ich empfehle einen alternativen PDF-Reader wie PDF Xchange Viewer, SumatraPDF oder Foxit PDF Reader, die sind sehr viel schlanker und flotter als der AdobeReader. Bitte überprüf bei der Gelegenheit auch die Aktualität des Flashplayers: Prüfen => Adobe - Flash Player Downloadlinks findest du hier => Browsers and Plugins - FilePony.de Alle Plugins im Firefox-Browser kannst du auch ganz einfach hier auf Aktualität prüfen => https://www.mozilla.org/de/plugincheck Natürlich auch darauf achten, dass andere installierte Browser wie zB Firefox, Opera oder Chrome aktuell sind. Java-Update Veraltete Java-Installationen sind ein großes Sicherheitsrisiko, daher solltest Du die alten Versionen deinstallieren. Beende dazu alle Programme (v.a. die Browser), klick danach auf Start, Systemsteuerung, Software (bzw. Programme und Funktionen) und deinstalliere darüber alle aufgelisteten Java-Versionen. Lad Dir danach von hier das aktuelle Java SE Runtime Environment (JRE) herunter und installiere es. |
| Alle Zeitangaben in WEZ +1. Es ist jetzt 00:58 Uhr. |
Copyright ©2000-2025, Trojaner-Board
