Trojaner-Board - Verdacht auf Virus durch GMX Mail (Bublik?)

Trojaner-Board (https://www.trojaner-board.de/)

- Log-Analyse und Auswertung (https://www.trojaner-board.de/log-analyse-auswertung/)

- - Verdacht auf Virus durch GMX Mail (Bublik?) (https://www.trojaner-board.de/146601-verdacht-virus-gmx-mail-bublik.html)

Mach bitte zur Kontrolle einen Quickscan mit Malwarebytes Anti-Malware (MBAM)

Hinweis: Denk bitte vorher daran, Malwarebytes Anti-Malware über den Updatebutton zu aktualisieren!

Anschließend über den OnlineScanner von ESET eine zusätzliche Meinung zu holen ist auch nicht verkehrt:

ESET Online Scanner

Hier findest du eine bebilderte Anleitung zu ESET Online Scanner
Lade und starte Eset Online Scanner
Setze einen Haken bei Ja, ich bin mit den Nutzungsbedingungen einverstanden und klicke auf Starten.
Aktiviere die "Erkennung von eventuell unerwünschten Anwendungen" und wähle folgende Einstellungen.
Klicke auf Starten.
Die Signaturen werden heruntergeladen, der Scan beginnt automatisch.
Klicke am Ende des Suchlaufs auf Fertig stellen.
Schließe das Fenster von ESET.
Explorer öffnen.
C:\Programme\Eset\EsetOnlineScanner\log.txt (bei 64 Bit auch C:\Programme (x86)\Eset\EsetOnlineScanner\log.txt) suchen und mit Deinem Editor öffnen (bebildert).
Logfile hier posten.
Deinstallation: Systemsteuerung => Software / Programme deinstallieren => Eset Online Scanner V3 entfernen.
Manuell folgenden Ordner löschen und Papierkorb leeren => C:\Programme\Eset

einmal Malewarebytes logfile

Code:

Malwarebytes Anti-Malware 1.75.0.1300

www.malwarebytes.org
 

Datenbank Version: v2013.12.25.04
 

Windows XP Service Pack 3 x86 NTFS

Internet Explorer 8.0.6001.18702

Herbert :: ARBEITSZIMMER [Administrator]
 

25.12.2013 17:35:27

mbam-log-2013-12-25 (17-35-27).txt
 

Art des Suchlaufs: Quick-Scan

Aktivierte Suchlaufeinstellungen: Speicher | Autostart | Registrierung | Dateisystem | Heuristiks/Extra | HeuristiKs/Shuriken | PUP | PUM

Deaktivierte Suchlaufeinstellungen: P2P

Durchsuchte Objekte: 211266

Laufzeit: 7 Minute(n), 39 Sekunde(n)
 

Infizierte Speicherprozesse: 0

(Keine bösartigen Objekte gefunden)
 

Infizierte Speichermodule: 0

(Keine bösartigen Objekte gefunden)
 

Infizierte Registrierungsschlüssel: 4

HKCR\Typelib\{FBC322D5-407E-4854-8C0B-555B951FD8E3} (PUP.Optional.MySearchDial.A) -> Erfolgreich gelöscht und in Quarantäne gestellt.

HKCR\Interface\{0400EBCA-042C-4000-AA89-9713FBEDB671} (PUP.Optional.MySearchDial.A) -> Erfolgreich gelöscht und in Quarantäne gestellt.

HKCU\SOFTWARE\Microsoft\Windows\CurrentVersion\Uninstall\Digital Sites (PUP.Optional.Updater) -> Erfolgreich gelöscht und in Quarantäne gestellt.

HKLM\SOFTWARE\Wow6432Node\Updater By Sweetpacks (PUP.Optional.SweetPacks.A) -> Erfolgreich gelöscht und in Quarantäne gestellt.
 

Infizierte Registrierungswerte: 2

HKLM\SOFTWARE\Mozilla\Firefox\Extensions\{DEDAF650-12B8-48f5-A843-BBA100716106} (PUP.SweetIM) -> Daten:  -> Erfolgreich gelöscht und in Quarantäne gestellt.

HKLM\SOFTWARE\Mozilla\Firefox\Extensions|{DEDAF650-12B8-48f5-A843-BBA100716106} (PUP.SweetIM) -> Daten: C:\Programme\Updater By Sweetpacks\Firefox -> Erfolgreich gelöscht und in Quarantäne gestellt.
 

Infizierte Dateiobjekte der Registrierung: 0

(Keine bösartigen Objekte gefunden)
 

Infizierte Verzeichnisse: 1

C:\Dokumente und Einstellungen\Herbert\Anwendungsdaten\DigitalSites\UpdateProc (PUP.Optional.Updater) -> Erfolgreich gelöscht und in Quarantäne gestellt.
 

Infizierte Dateien: 5

C:\Dokumente und Einstellungen\Herbert\Anwendungsdaten\DigitalSites\UpdateProc\UpdateTask.exe (PUP.Optional.Updater) -> Erfolgreich gelöscht und in Quarantäne gestellt.

C:\Dokumente und Einstellungen\Herbert\Anwendungsdaten\DigitalSites\UpdateProc\config.dat (PUP.Optional.Updater) -> Erfolgreich gelöscht und in Quarantäne gestellt.

C:\Dokumente und Einstellungen\Herbert\Anwendungsdaten\DigitalSites\UpdateProc\prod.dat (PUP.Optional.Updater) -> Erfolgreich gelöscht und in Quarantäne gestellt.

C:\Dokumente und Einstellungen\Herbert\Anwendungsdaten\DigitalSites\UpdateProc\STTL.DAT (PUP.Optional.Updater) -> Erfolgreich gelöscht und in Quarantäne gestellt.

C:\Dokumente und Einstellungen\Herbert\Anwendungsdaten\DigitalSites\UpdateProc\TTL.DAT (PUP.Optional.Updater) -> Erfolgreich gelöscht und in Quarantäne gestellt.
 

(Ende)

und anschließend eset logfile

Code:

ESETSmartInstaller@High as downloader log:

all ok

# version=8

# OnlineScannerApp.exe=1.0.0.1

# OnlineScanner.ocx=1.0.0.6920

# api_version=3.0.2

# EOSSerial=5d4e43bacf775d408332d3e1bb8d7a8b

# engine=16400

# end=finished

# remove_checked=false

# archives_checked=true

# unwanted_checked=false

# unsafe_checked=false

# antistealth_checked=true

# utc_time=2013-12-25 05:56:37

# local_time=2013-12-25 06:56:37 (+0100, Westeuropäische Normalzeit)

# country="Germany"

# lang=1033

# osver=5.1.2600 NT Service Pack 3

# compatibility_mode=1799 16775165 100 97 22833 20555681 15553 0

# scanned=52133

# found=0

# cleaned=0

# scan_time=3645

Was sagt deine Fachmeinung? Leider hängt der PC sich bei intensiver Benutzung immer mal wieder auf und Programme müssen per Task-Manager beendet werden. Ach und Windows-Update möchte jetzt gern ein paar Sachen installieren, ich habe da noch nicht zugestimmt und warte erstmal auf deine weitern Anweisungen ok?

Scan mit FSS

Downloade dir bitte

Farbar Service Scanner

Starte das Tool mit Doppelklick auf die FSS.exe
Gehe sicher, dass folgende Optionen angehakt sind.
- Internet Services
- Windows Firewall
- System Restore
- Security Center/Action Center
- Windows Update
- Windows Defender
- Other Services
Klicke auf Scan.
Wenn das Tool fertig ist, wird es eine FSS.txt in dem Verzeichnis erstellen, wo das Tool gelaufen ist.

Poste bitte den Inhalt hier.

Scan Security Check

Downloade Dir bitte

SecurityCheck und:

Speichere es auf dem Desktop.
Starte SecurityCheck.exe und folge den Anweisungen in der DOS-Box.
Wenn der Scan beendet wurde sollte sich ein Textdokument (checkup.txt) öffnen.

Poste den Inhalt bitte hier.

hier sind die zwei

FSS logfile

Code:

Farbar Service Scanner Version: 05-12-2013

Ran by Herbert (administrator) on 26-12-2013 at 13:43:42

Running from "C:\Dokumente und Einstellungen\Herbert\Desktop"

Microsoft Windows XP Home Edition Service Pack 3 (X86)

Boot Mode: Normal

****************************************************************
 

Internet Services:

============
 

Connection Status:

==============

Localhost is accessible.

LAN connected.

Google IP is accessible.

Google.com is accessible.

Yahoo.com is accessible.
 
 

Windows Firewall:

=============
 

Firewall Disabled Policy: 

==================
 
 

System Restore:

============
 

System Restore Disabled Policy: 

========================
 
 

Security Center:

============
 
 

Windows Update:

============
 

Windows Autoupdate Disabled Policy: 

============================
 
 

Other Services:

==============
 
 

File Check:

========

C:\WINDOWS\system32\dhcpcsvc.dll

[2008-04-14 06:52] - [2008-04-14 06:52] - 0127488 ____A (Microsoft Corporation) C29A1C9B75BA38FA37F8C44405DEC360
 

C:\WINDOWS\system32\Drivers\afd.sys => MD5 is legit

C:\WINDOWS\system32\Drivers\netbt.sys => MD5 is legit

C:\WINDOWS\system32\Drivers\tcpip.sys => MD5 is legit

C:\WINDOWS\system32\Drivers\ipsec.sys => MD5 is legit

C:\WINDOWS\system32\dnsrslvr.dll

[2008-04-14 06:52] - [2009-04-20 18:17] - 0045568 ____A (Microsoft Corporation) 407F3227AC618FD1CA54B335B083DE07
 

C:\WINDOWS\system32\ipnathlp.dll

[2008-04-14 06:52] - [2008-04-14 06:52] - 0334336 ____A (Microsoft Corporation) CAD058D5F8B889A87CA3EB3CF624DCEF
 

C:\WINDOWS\system32\netman.dll

[2008-04-14 06:52] - [2008-04-14 06:52] - 0198144 ____A (Microsoft Corporation) E6D88F1F6745BF00B57E7855A2AB696C
 

C:\WINDOWS\system32\wbem\WMIsvc.dll

[2013-05-01 20:48] - [2008-04-14 06:52] - 0145408 ____A (Microsoft Corporation) 6F3F3973D97714CC5F906A19FE883729
 

C:\WINDOWS\system32\srsvc.dll

[2013-05-01 20:50] - [2008-04-14 06:52] - 0171520 ____A (Microsoft Corporation) FE77A85495065F3AD59C5C65B6C54182
 

C:\WINDOWS\system32\Drivers\sr.sys

[2013-05-01 20:50] - [2008-04-14 06:32] - 0073472 ____A (Microsoft Corporation) 50FA898F8C032796D3B1B9951BB5A90F
 

C:\WINDOWS\system32\wscsvc.dll

[2008-04-14 06:52] - [2008-04-14 06:52] - 0080896 ____A (Microsoft Corporation) 300B3E84FAF1A5C1F791C159BA28035D
 

C:\WINDOWS\system32\wbem\WMIsvc.dll

[2013-05-01 20:48] - [2008-04-14 06:52] - 0145408 ____A (Microsoft Corporation) 6F3F3973D97714CC5F906A19FE883729
 

C:\WINDOWS\system32\wuauserv.dll

[2013-05-01 20:50] - [2008-04-14 06:52] - 0006656 ____A (Microsoft Corporation) 7B4FE05202AA6BF9F4DFD0E6A0D8A085
 

C:\WINDOWS\system32\qmgr.dll

[2013-05-01 20:50] - [2008-04-14 06:52] - 0409088 ____A (Microsoft Corporation) D6F603772A789BB3228F310D650B8BD1
 

C:\WINDOWS\system32\es.dll

[2008-04-14 06:52] - [2008-07-07 21:26] - 0253952 ____A (Microsoft Corporation) AF4F6B5739D18CA7972AB53E091CBC74
 

C:\WINDOWS\system32\cryptsvc.dll

[2008-04-14 06:52] - [2008-04-14 06:52] - 0062464 ____A (Microsoft Corporation) 611F824E5C703A5A899F84C5F1699E4D
 

C:\WINDOWS\system32\svchost.exe

[2008-04-14 06:53] - [2008-04-14 06:53] - 0014336 ____A (Microsoft Corporation) 4FBC75B74479C7A6F829E0CA19DF3366
 

C:\WINDOWS\system32\rpcss.dll

[2008-04-14 06:52] - [2009-02-09 11:51] - 0401408 ____A (Microsoft Corporation) 3127AFBF2C1ED0AB14A1BBB7AAECB85B
 

C:\WINDOWS\system32\services.exe

[2008-04-14 06:53] - [2009-02-09 12:21] - 0111104 ____A (Microsoft Corporation) A3EDBE9053889FB24AB22492472B39DC
 
 

Extra List:

=======

Gpc(3) IPSec(5) NetBT(6) PSched(7) Tcpip(4) 

0x0700000005000000010000000200000003000000040000000600000007000000

IpSec Tag value is correct.
 

**** End of log ****

SecurityCheck logfile

Code:

 Results of screen317's Security Check version 0.99.77  

 Windows XP Service Pack 3 x86   

 Internet Explorer 8  
 ``````````````Antivirus/Firewall Check:`````````````` 

 Avira Free Antivirus    
 `````````Anti-malware/Other Utilities Check:````````` 

 Malwarebytes Anti-Malware Version 1.75.0.1300  

 Java 7 Update 45  

 Adobe Reader XI  
 ````````Process Check: objlist.exe by Laurent````````  

 Avira Antivir avgnt.exe 

 Avira Antivir avguard.exe 
 `````````````````System Health check````````````````` 

 Total Fragmentation on Drive C::  
 ````````````````````End of Log``````````````````````

noch eine zusatzinfo. Soeben meldet Antivir den Fund von TR/Trash.gen. ich hab erstmal in quarantäne verschoben

Log sind unauffällig

Sieht soweit ok aus :daumenhoc

Wegen Cookies und anderer Dinge im Web: Um die Pest von vornherein zu blocken (also TrackingCookies, Werbebanner etc.) müsstest du dir mal sowas wie MVPS Hosts File anschauen => Blocking Unwanted Parasites with a Hosts File - sinnvollerweise solltest du alle 4 Wochen mal bei MVPS nachsehen, ob er eine neue Hosts Datei herausgebracht hat.

Info: Cookies sind keine Schädlinge direkt, aber es besteht die Gefahr der missbräuchlichen Verwendung (eindeutige Wiedererkennung zB für gezielte Werbung o.ä. => HTTP-Cookie )

Ansonsten gibt es noch gute Cookiemanager, Erweiterungen für den Firefox zB wäre da CookieCuller
Wenn du aber damit leben kannst, dich bei jeder Browsersession überall neu einzuloggen (zB Facebook, Ebay, GMX, oder auch Trojaner-Board) dann stell den Browser einfach so ein, dass einfach alles beim Beenden des Browser inkl. Cookies gelöscht wird.

Ist dein System nun wieder in Ordnung oder gibt's noch andere Funde oder Probleme?

also wie gesagt sind die meisten Sympthome beseitigt. Schon mal sehr cool :daumenhoc

Was mir jetzt noch etwas kummer bereitet ist:

der langsame Systemstart (grad mal handgestoppt, vom erscheinen des Desktops bis zum fertigen laden von Virenscanner und Firewall vergehen 1:30 min)

der Fund des Virus TR/Trash.gen. (jetzt erstmal in Quarantäne).

Hast du da noch den ein oder anderen Tipp?

Kann ich eigentlich schonmal die Windows-Updates installieren UND ganz wichtig, darf ich den Rechner schon mal wieder für die Nutzung meiner Eltern freigeben?^^

Vielen Dank dir schonmal für das Geleistete

P.S: Und es lässt sich kein Standardsuchmaschinenanbieter mehr einstellen

Dann wären wir durch! :daumenhoc

Falls du noch Lob oder Kritik loswerden möchtest => Lob, Kritik und Wünsche - Trojaner-Board

Die Programme, die hier zum Einsatz kamen, können alle deinstalliert werden. (Tools wie zB FRST einfach per Rechtsklick vom Desktop löschen)

Combofix entfernen (nur relevant wenn es hier benutzt wurde!) : Start/Ausführen (Tastenkombination WIN+R), dort den Befehl combofix /uninstall eintippen und ausführen

Bitte abschließend die Updates prüfen, unten mein Leitfaden dazu. Um in Zukunft die Aktualität der installierten Programme besser im Überblick zu halten, kannst du zB Secunia PSI verwenden.
Für noch mehr Sicherheit solltest Du nach der beseitigten Infektion auch möglichst alle Passwörter ändern.

Microsoftupdate
Windows XP:Besuch mit dem IE die MS-Updateseite und lass Dir alle wichtigen Updates installieren.
Windows Vista/7: Start, Systemsteuerung, Windows-Update

PDF-Reader aktualisieren
Ein veralteter AdobeReader stellt ein großes Sicherheitsrisiko dar. Du solltest daher besser alte Versionen vom AdobeReader über Systemsteuerung => Software bzw. Programme und Funktionen deinstallieren, indem Du dort auf "Adobe Reader x.0" klickst und das Programm entfernst. (falls du AdobeReader installiert hast)

Ich empfehle einen alternativen PDF-Reader wie PDF Xchange Viewer, SumatraPDF oder Foxit PDF Reader, die sind sehr viel schlanker und flotter als der AdobeReader.

Bitte überprüf bei der Gelegenheit auch die Aktualität des Flashplayers:
Prüfen => Adobe - Flash Player
Downloadlinks findest du hier => Browsers and Plugins - FilePony.de

Alle Plugins im Firefox-Browser kannst du auch ganz einfach hier auf Aktualität prüfen => https://www.mozilla.org/de/plugincheck

Natürlich auch darauf achten, dass andere installierte Browser wie zB Firefox, Opera oder Chrome aktuell sind.

Java-Update
Veraltete Java-Installationen sind ein großes Sicherheitsrisiko, daher solltest Du die alten Versionen deinstallieren. Beende dazu alle Programme (v.a. die Browser), klick danach auf Start, Systemsteuerung, Software (bzw. Programme und Funktionen) und deinstalliere darüber alle aufgelisteten Java-Versionen. Lad Dir danach von hier das aktuelle Java SE Runtime Environment (JRE) herunter und installiere es.

ok, dann geh ich davon aus, dass ich mir wegen der zuletzt genannten Dinge (insbesondere dem Virus) keine Sorgen machen muss?

Dann danke ich dir für deine Mühen! Sehr cooles Board hier! :daumenhoc

Hey Cosinus,

ich hoffe du hast mich noch in den Abos. Zu früh gefreut. Grad surfte ich etwas am besagten PC, da flackerte kurz der Bildschirm und alle Probleme waren wieder da. Ich bin echt am verzweifeln :-(

Bitte mach einen Quickscan mit Malwarebytes und danach ein neues Log mit FRST. MBAM vrher aktualisieren und FRST neu runterladen, Haken bei additions.txt setzen

Hey Cosinus,

ich habe jetzt die Möglichkeit eine Vista CD geschenkt zu bekommen. Ich denke, ich werde das BS für Vaddi neu aufsetzen (ich halte das inzwischen für den weniger aufwendigen weg, was denkst du)

Könntest du mir denn vllt kurz darlegen, wie ich sicher Daten sichern kann ohne den Virus mitzuschleppen? Das wäre super von dir

Wieso denn Vista und nicht Win7? :wtf:
Neben dem Datenträgerbrauchst du auch eine Lizenz, also den Aufkleber mit dem Key.

Lesestoff:
Sichern von Daten eines infizierten Systems

Mit einem Live-System sind keine Schädlinge des infizierten Windows-Systems aktiv, damit ist dann auch eine negative Beeinflussung des Backups durch Schädlinge ausgeschlossen.

Du brauchst natürlich auch ein Sicherungsmedium, am besten dürfte eine externe Platte sein. Sofern du nicht allzuviel sichern musst, kann auch ein USB-Stick ausreichen.

Anleitung: Parted Magic

Zitat:

Neben dem Datenträgerbrauchst du auch eine Lizenz

deswegen Vista und nicht Win7. Vista kann ich legal und kostenlos bekommen. In der Hinsicht darauf, dass eventuell eh ein neuer PC ansteht, irgendwann im neuen Jahr, für Vaddi die in meinen Augen beste Lösung.

Ich werds dann heute mal wie beschrieben durchziehen. Ich melde mich aber nochmal bei dir, damit du eine Rückmeldung hast, dass alles glatt gelaufen ist.

So, nun läuft alles unter Vista stabil (bis auf ein paar kleinigkeiten in sachen treiber). Danke nochmal für deine Hilfe und guten Rutsch heute :daumenhoc

Hast denn auch alle Updates drin? SP2 und IE9?

Dir auch nen guten Rutsch :party:

Na aber selbstverständlich :daumenhoc Soweit läuft auch alles rund. Ich hoffe das bleibt jetzt erstmal so^^