Trojaner-Board - Firefox lädt teilweise nur weiße Seiten / IE genau das gleiche

Trojaner-Board (https://www.trojaner-board.de/)

- Log-Analyse und Auswertung (https://www.trojaner-board.de/log-analyse-auswertung/)

- - Firefox lädt teilweise nur weiße Seiten / IE genau das gleiche (https://www.trojaner-board.de/60347-firefox-laedt-teilweise-nur-weisse-seiten-ie-genau-gleiche.html)

Firefox lädt teilweise nur weiße Seiten / IE genau das gleiche

Hallo an alle,

habe seit vorgestern das Problem, das ich einige Seiten nur noch teilweise aufrufen kann. Habe gedacht es liegt manchmal am Provider, das es nicht geht - aber das kann es nicht sein, denn auf anderen Rechnern funktionieren die Seiten problemlos.

Beispiel:
Rufe www.eine-domain.de auf -> es folgt eine weiße Seite.
Rufe ich eine-domain.de auf -> lädt die Seite wieder.

Pinge ich die NICHT ladenen Seiten an, löst sich die IP immer zu 217.195.**.10 auf. Die Seite, welche lädt - wird aber auf eine andere IP, richtig aufgelöst.

Ich bin echt ratlos. Anbei die Log von HiJackThis

// Edit: nutze WinVista

Code:

Logfile of Trend Micro HijackThis v2.0.2

Scan saved at 11:23:36, on 21.09.2008

Platform: Windows Vista  (WinNT 6.00.1904)

MSIE: Internet Explorer v7.00 (7.00.6000.16711)

Boot mode: Normal
 

Running processes:

C:\Windows\system32\taskeng.exe

C:\Windows\system32\Dwm.exe

C:\Windows\Explorer.EXE

C:\Program Files\Windows Defender\MSASCui.exe

C:\Windows\System32\rundll32.exe

C:\Windows\RtHDVCpl.exe

C:\Program Files\Microsoft Office\Office12\GrooveMonitor.exe

C:\Program Files\AVG\AVG8\avgtray.exe

C:\Program Files\Windows Sidebar\sidebar.exe

C:\Windows\ehome\ehtray.exe

C:\Program Files\Spybot - Search & Destroy\TeaTimer.exe

C:\Program Files\Windows Media Player\wmpnscfg.exe

C:\Program Files\TechniSat DVB\bin\Server4PC.exe

C:\Program Files\Thunderbird-Tray\TBTray.exe

C:\Windows\ehome\ehmsas.exe

C:\Program Files\TechniSat DVB\bin\Server4PC.exe

C:\Program Files\Windows Sidebar\sidebar.exe

G:\Program Files\Mozilla Firefox\firefox.exe

C:\Windows\system32\wuauclt.exe

C:\Program Files\PrevxCSI\prevxcsi.exe

C:\Windows\system32\SearchFilterHost.exe

C:\Program Files\Trend Micro\HijackThis\HijackThis.exe
 

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = h**p://go.microsoft.com/fwlink/?LinkId=54896

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = h**p://go.microsoft.com/fwlink/?LinkId=69157

R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = h**p://go.microsoft.com/fwlink/?LinkId=69157

R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = h**p://go.microsoft.com/fwlink/?LinkId=54896

R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = h**p://go.microsoft.com/fwlink/?LinkId=54896

R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = h**p://go.microsoft.com/fwlink/?LinkId=69157

R0 - HKLM\Software\Microsoft\Internet Explorer\Search,SearchAssistant = 

R0 - HKLM\Software\Microsoft\Internet Explorer\Search,CustomizeSearch = 

R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = 

O2 - BHO: Adobe PDF Reader - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Program Files\Common Files\Adobe\Acrobat\ActiveX\AcroIEHelper.dll

O2 - BHO: WormRadar.com IESiteBlocker.NavFilter - {3CA2F312-6F6E-4B53-A66E-4E65E497C8C0} - C:\Program Files\AVG\AVG8\avgssie.dll

O2 - BHO: (no name) - {53707962-6F74-2D53-2644-206D7942484F} - C:\PROGRA~1\SPYBOT~1\SDHelper.dll

O2 - BHO: Groove GFS Browser Helper - {72853161-30C5-4D22-B7F9-0BBC1D38A37E} - C:\Program Files\Microsoft Office\Office12\GrooveShellExtensions.dll

O2 - BHO: CodecPlugin Class - {75445D93-9F68-415F-9DFC-318B2DC188DB} - C:\Windows\system32\CodecBHO.dll

O2 - BHO: SSVHelper Class - {761497BB-D6F0-462C-B6EB-D4DAF1D92D43} - C:\Program Files\Java\jre1.5.0_06\bin\ssv.dll

O2 - BHO: (no name) - {7E853D72-626A-48EC-A868-BA8D5E23E045} - (no file)

O2 - BHO: FlashFXP Helper for Internet Explorer - {E5A1691B-D188-4419-AD02-90002030B8EE} - C:\PROGRA~1\FlashFXP\IEFlash.dll

O4 - HKLM\..\Run: [Windows Defender] %ProgramFiles%\Windows Defender\MSASCui.exe -hide

O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\Windows\system32\NvCpl.dll,NvStartup

O4 - HKLM\..\Run: [NvMediaCenter] RUNDLL32.EXE C:\Windows\system32\NvMcTray.dll,NvTaskbarInit

O4 - HKLM\..\Run: [RtHDVCpl] RtHDVCpl.exe

O4 - HKLM\..\Run: [Adobe Reader Speed Launcher] "C:\Program Files\Adobe\Reader 8.0\Reader\Reader_sl.exe"

O4 - HKLM\..\Run: [GrooveMonitor] "C:\Program Files\Microsoft Office\Office12\GrooveMonitor.exe"

O4 - HKLM\..\Run: [Lexmark X74-X75] "C:\Program Files\Lexmark X74-X75\lxbbbmgr.exe"

O4 - HKLM\..\Run: [AVG8_TRAY] C:\PROGRA~1\AVG\AVG8\avgtray.exe

O4 - HKCU\..\Run: [Sidebar] C:\Program Files\Windows Sidebar\sidebar.exe /autoRun

O4 - HKCU\..\Run: [WindowsWelcomeCenter] rundll32.exe oobefldr.dll,ShowWelcomeCenter

O4 - HKCU\..\Run: [ehTray.exe] C:\Windows\ehome\ehTray.exe

O4 - HKCU\..\Run: [SpybotSD TeaTimer] C:\Program Files\Spybot - Search & Destroy\TeaTimer.exe

O4 - HKCU\..\Run: [WMPNSCFG] C:\Program Files\Windows Media Player\WMPNSCFG.exe

O4 - HKUS\S-1-5-19\..\Run: [Sidebar] %ProgramFiles%\Windows Sidebar\Sidebar.exe /detectMem (User 'LOKALER DIENST')

O4 - HKUS\S-1-5-19\..\Run: [WindowsWelcomeCenter] rundll32.exe oobefldr.dll,ShowWelcomeCenter (User 'LOKALER DIENST')

O4 - HKUS\S-1-5-20\..\Run: [Sidebar] %ProgramFiles%\Windows Sidebar\Sidebar.exe /detectMem (User 'NETZWERKDIENST')

O4 - Global Startup: Server4PC.lnk = C:\Program Files\TechniSat DVB\bin\Server4PC.exe

O4 - Global Startup: TB-Tray.lnk = C:\Program Files\Thunderbird-Tray\TBTray.exe

O8 - Extra context menu item: Lookup on Merriam Webster - file://C:\Program Files\ieSpell\Merriam Webster.HTM

O8 - Extra context menu item: Lookup on Wikipedia - file://C:\Program Files\ieSpell\wikipedia.HTM

O8 - Extra context menu item: Nach Microsoft E&xel exportieren - res://C:\PROGRA~1\MICROS~2\Office12\EXCEL.EXE/3000

O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\jre1.5.0_06\bin\ssv.dll

O9 - Extra 'Tools' menuitem: Sun Java Konsole - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\jre1.5.0_06\bin\ssv.dll

O9 - Extra button: ieSpell - {0E17D5B7-9F5D-4fee-9DF6-CA6EE38B68A8} - C:\Program Files\ieSpell\iespell.dll

O9 - Extra 'Tools' menuitem: ieSpell - {0E17D5B7-9F5D-4fee-9DF6-CA6EE38B68A8} - C:\Program Files\ieSpell\iespell.dll

O9 - Extra button: (no name) - {1606D6F9-9D3B-4aea-A025-ED5B2FD488E7} - C:\Program Files\ieSpell\iespell.dll

O9 - Extra 'Tools' menuitem: ieSpell Options - {1606D6F9-9D3B-4aea-A025-ED5B2FD488E7} - C:\Program Files\ieSpell\iespell.dll

O9 - Extra button: An OneNote senden - {2670000A-7350-4f3c-8081-5663EE0C6C49} - C:\PROGRA~1\MICROS~2\Office12\ONBttnIE.dll

O9 - Extra 'Tools' menuitem: An OneNote s&enden - {2670000A-7350-4f3c-8081-5663EE0C6C49} - C:\PROGRA~1\MICROS~2\Office12\ONBttnIE.dll

O9 - Extra button: Recherchieren - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - C:\PROGRA~1\MICROS~2\OFFICE11\REFIEBAR.DLL

O13 - Gopher Prefix: 

O16 - DPF: {D27CDB6E-AE6D-11CF-96B8-444553540000} (Shockwave Flash Object) - h**p://fpdownload2.macromedia.com/get/shockwave/cabs/flash/swflash.cab

O17 - HKLM\System\CCS\Services\Tcpip\..\{9B18FB73-1D9D-4AD8-90B9-A725E070AF38}: NameServer = 192.168.0.27

O18 - Protocol: grooveLocalGWS - {88FED34C-F0CA-4636-A375-3CB6248B04CD} - C:\Program Files\Microsoft Office\Office12\GrooveSystemServices.dll

O18 - Protocol: linkscanner - {F274614C-63F8-47D5-A4D1-FBDDE494F8D1} - C:\Program Files\AVG\AVG8\avgpp.dll

O20 - AppInit_DLLs: avgrsstx.dll

O20 - Winlogon Notify: wcnotify - C:\Windows\SYSTEM32\wcnotify.dll

O22 - SharedTaskScheduler: Windows DreamScene - {E31004D1-A431-41B8-826F-E902F9D95C81} - C:\Windows\System32\DreamScene.dll

O23 - Service: Apache2.2 - Apache Software Foundation - E:\Webserver\xampplite\apache\bin\apache.exe

O23 - Service: Ares Chatroom server (AresChatServer) - Ares Development Group - C:\Program Files\Ares\chatServer.exe

O23 - Service: AVG8 WatchDog (avg8wd) - AVG Technologies CZ, s.r.o. - C:\PROGRA~1\AVG\AVG8\avgwdsvc.exe

O23 - Service: AVG8 Firewall (avgfws8) - AVG Technologies CZ, s.r.o. - C:\PROGRA~1\AVG\AVG8\avgfws8.exe

O23 - Service: cyberJack PC/SC COM Service  (cjpcsc) - REINER SCT - C:\Windows\system32\cjpcsc.exe

O23 - Service: CSIScanner - Prevx - C:\Program Files\PrevxCSI\prevxcsi.exe

O23 - Service: Firebird Server - MAGIX Instance (FirebirdServerMAGIXInstance) - MAGIX® - C:\Program Files\MAGIX\Common\Database\bin\fbserver.exe

O23 - Service: gearsec - GEAR Software - C:\Windows\system32\gearsec.exe

O23 - Service: LexBce Server (LexBceS) - Lexmark International, Inc. - C:\Windows\System32\LEXBCES.EXE

O23 - Service: mysql - Unknown owner - E:\Webserver\xampplite\mysql\bin\mysqld-nt.exe

O23 - Service: NVIDIA Display Driver Service (nvsvc) - NVIDIA Corporation - C:\Windows\system32\nvvsvc.exe

O23 - Service: OpenVPN Service (OpenVPNService) - Unknown owner - C:\Program Files\OpenVPN\bin\openvpnserv.exe

O23 - Service: RDPSSW32 - Unknown owner - C:\Windows\System32\RDPSSW32.EXE

O23 - Service: VirtualBox Guest Additions Service (VBoxService) - Sun Microsystems, Inc. - C:\Windows\system32\VBoxService.exe

O23 - Service: WebDrive Service (WebDriveService) - Unknown owner - C:\Program Files\NetDrive\wdService.exe

O23 - Service: Stardock WindowBlinds (WindowBlinds) - Stardock Corporation - C:\Program Files\Stardock\Object Desktop\WindowBlinds\vistasrv.exe
 

--

End of file - 8470 bytes

Danke im Voraus.

Lg

tooliload

Hallo und :hallo:

Dateien Online überprüfen lassen:

Als erstes versteckte Dateien anzeigen lassen! (nur Punkt 1 durchführen!)

Suche die Seite Virtustotal auf, klicke auf den Button „Durchsuchen“ und suche folgende Datei/Dateien:

Code:

C:\Windows\system32\CodecBHO.dll

C:\Windows\SYSTEM32\wcnotify.dll

C:\Windows\System32\RDPSSW32.EXE

Lade nun nacheinander jede/alle Datei/Dateien hoch, und warte bis der Scan vorbei ist. (kann bis zu 2 Minuten dauern.)

Poste im Anschluss das Ergebnis der Auswertung, alles abkopieren und in einen Beitrag einfügen.

Wichtig: Auch die Größenangabe sowie den HASH mit kopieren!

Hallo,

Zitat:

C:\Windows\system32\CodecBHO.dll
Trojan.Win32.Zlob.AR

C:\Windows\SYSTEM32\wcnotify.dll
nicht infiziert

C:\Windows\System32\RDPSSW32.EXE
nicht infiziert

:uglyhammer: - Danke schon mal ...
Habe gerade die Anleitung gefunden,
http://www.trojaner-board.de/30411-anleitung-entfernung-von-zlob.html

und werde diese mal befolgen. Danke nochmal, melde mich wenn ich die Anleitung durchgearbeitet habe. - Sollte es anderes gehen, einfach zurück melden.

Lg

Tino

Poste bitte die Links zur Auswertung, da es wichtig ist, wie viele scanner etwas bei welcher Datei gefunden haben.

Nach der Anleitung kannst du vorgehen, gute Eigeninitiative. :daumenhoc

Hallo,

sorry - die Links habe ich nicht mehr - aber was mir aufgefallen ist,
alle Rechner - welche ich mit der Acer Windows Vista Recovery DVD installiert habe sind mit zLOB infiziert (DVD ist ein Originale und lag dem Rechner bei).

Habe nochmal die Datei

Code:

C:\Windows\system32\CodecBHO.dll

Trojan.Win32.Zlob.AR

eines anderen Rechners per Mail verschickt (an Virustotal), hier der Bericht:

Zitat:

Complete scanning result of "CodecBHO.dll", processed in VirusTotal at 09/23/2008 12:37:39 (CET).

[ file data ]
* name..: CodecBHO.dll
* size..: 155648
* md5...: dfadd953de7590af8fa0ee5afe6107ee
* sha1..: 03296e84a12166a74abc298ff2223549a078b95e
* peid..: -

[ scan result ]
AhnLab-V3 2008.9.23.1/20080923 found nothing
AntiVir 7.8.1.34/20080923 found [TR/BHO.gfu]
Authentium 5.1.0.4/20080922 found nothing
Avast 4.8.1195.0/20080922 found nothing
AVG 8.0.0.161/20080923 found nothing
BitDefender 7.2/20080923 found nothing
CAT-QuickHeal 9.50/20080923 found nothing
ClamAV 0.93.1/20080923 found nothing
DrWeb 4.44.0.09170/20080923 found nothing
eSafe 7.0.17.0/20080922 found nothing
eTrust-Vet 31.6.6099/20080922 found nothing
Ewido 4.0/20080922 found nothing
F-Prot 4.4.4.56/20080922 found nothing
F-Secure 8.0.14332.0/20080923 found nothing
Fortinet 3.113.0.0/20080923 found [W32/Puper!tr]
GData 19/20080923 found nothing
Ikarus T3.1.1.34.0/20080923 found [Trojan.Win32.Zlob.AR]
K7AntiVirus 7.10.467/20080922 found [Trojan.Win32.Malware.1]
Kaspersky 7.0.0.125/20080923 found nothing
McAfee 5389/20080922 found [Puper]
Microsoft 1.3903/20080923 found [Trojan:Win32/Zlob.AR]
NOD32v2 3463/20080923 found nothing
Norman 5.80.02/20080919 found nothing
Panda 9.0.0.4/20080922 found [Adware/SecurityError]
PCTools 4.4.2.0/20080922 found nothing
Prevx1 V2/20080923 found [Malware Dropper]
Rising 20.63.12.00/20080923 found nothing
Sophos 4.33.0/20080923 found [Mal/FakeAV-D]
Sunbelt 3.1.1662.1/20080923 found nothing
Symantec 10/20080923 found [Trojan.Zlob]
TheHacker 6.3.0.9.091/20080923 found nothing
TrendMicro 8.700.0.1004/20080923 found nothing
VBA32 3.12.8.5/20080923 found nothing
ViRobot 2008.9.23.1389/20080923 found nothing
VirusBuster 4.5.11.0/20080922 found nothing
Webwasher-Gateway 6.6.2/20080923 found [Trojan.BHO.gfu]

[ notes ]
Prevx info: http://info.prevx.com/aboutprogramtext.asp?PX5=CD745C3E00E6AED860E70298BEF1A0004CB81D67

Habe jetzt den letzten PC der mit Acer´s Vista läuft clean gemacht, lasse nun nochmal auf anderen Rechner und auf den infizierten Malwarebytes durchlaufen. - Danke dann sollte alles weg sein.

Schade das SpyBot oder AVG nicht auf zLob angesprungen sind.
Danke für Auswertung & Tipps.

Lg

Tino

Hi,

was für einen Acer hast du?

Gehst du über einen Router ins Netz? Wenn ja, habt ihr das Passwort des Routers geändert oder sind das noch die Werkeinstellungen?

lg myrtille

Hallo,

nutze seit kurzem den Acer Aspire M5620.
Ein Router habe ich nicht, es hängt hier ein 32 Port Switch und ein, ich nenne es mal "Server" (Gateway) für den UMTS Zugang inkl. Bündelung.

Lg

TIno

Hi,

da die IP nicht komplett angegeben ist, dachte ich es handele sich eventuell um eine Umleitung die im Router stattfindet.
Einige Zlobvarianten greifen auf den Router zu, wenn die Werkkonfiguration nicht verändert worden ist.

Hast du mit allen Browsern das Problem oder nur mit bestimmten? (Titel lesen ist von Vorteil:balla: )

Seit wann hast du den Rechner, wenn ich fragen darf? Die Meldung von Zlob bei CodecBHO.dll kann ich nur bis Anfang letzten Monats zurückverfolgen, wenn dein Rechner älter ist, könnte es sich doch um etwas anderes handeln.

Eine Nachfrage bei Acer wird wahrscheinlich wenig hervorbringen. Ist aber einen Versuch wert, falls du Zeit und Muße hast.

Zitat:

Leider habe ich das Problem mit allen Browsern (ich muss aber dazu sagen, das einige Seiten wieder funktionieren) - was ich festgestellt habe das alle Seiten anders waren von Rechner zu Rechner, so wie es aussieht - immer die meist besuchten Seiten.

Zitat:

Seit wann hast du den Rechner, wenn ich fragen darf? Die Meldung von Zlob bei CodecBHO.dll kann ich nur bis Anfang letzten Monats zurückverfolgen, wenn dein Rechner älter ist, könnte es sich doch um etwas anderes handeln.

Eine Nachfrage bei Acer wird wahrscheinlich wenig hervorbringen. Ist aber einen Versuch wert, falls du Zeit und Muße hast.

Ich habe Acer bereits ein Ticket geschrieben, eine Antwort folgt bisher immer in 3-4 Tagen. Also vermutlich Freitag oder sogar erst Montag.
Den Rechner habe ich seit ca. 3 Monaten, seit 2 Monaten ist Vista drauf, da ich vorher meine XP Festplatte eingebaut hatte.

Bzgl. IP, es ist bei UMTS normal das es aussieht als wenn ein Router dazwischen hängt. - Ist leider doof wenn man irgend jemanden auf seinen Rechner lassen möchte per Remote etc. oder Dienste wie DynDNS nutzen möchte - alle dieses Dienste gehen nicht. - Aber daran habe ich mich gewöhnt.

Lg

TIno

Zitat:

Zitat von tooliload (Beitrag 376559)

was ich festgestellt habe das alle Seiten anders waren von Rechner zu Rechner, so wie es aussieht

Hast du das Problem auch mit allen Rechnern? Dann liegt das Problem eventuell nicht an deinem Rechner?
Das Standard "deinstallieren und wieder installieren" schonmal versucht?
(Hast du mal versucht AVG, Spybot und die Firewall zu deaktivieren um zu testen ob die Webseiten dann gehen?)

Zitat:

Bzgl. IP, es ist bei UMTS normal das es aussieht als wenn ein Router dazwischen hängt. - Ist leider doof wenn man irgend jemanden auf seinen Rechner lassen möchte per Remote etc. oder Dienste wie DynDNS nutzen möchte - alle dieses Dienste gehen nicht. - Aber daran habe ich mich gewöhnt.

Es ging eigentlich auch nur darum ob dein Router möglicherweise infiziert worden ist. Da du keinen Router hast, kann man das wohl ausschließen. :D

Poste bitte ein neues Hijackthis log.

Hallo,

Zitat:

Zitat von myrtille (Beitrag 377010)

ich bin im Moment echt ratlos, das komische ist, sobald ich die Acer Version installiere, ist zLob mit drauf - ohne Acer Vista Version - ist kein zLob drauf und es geht auch alles - naja Problem ist so, dass Vista mit dem Key so nicht freigeschalten werden möchte - also habe ich erstmal ne 30 Tage Version.

Auch wenn AVG aus ist, Firewall etc. sprich das ganze Sicherheitskonzept, dann gehts auch nicht.

Wer jetzt meint, das liegt am Rechner, welchen ich als Gateway nutze, der irrt vermutlich, denn das Problem tritt auch im Büro auf - sobald mit die Acer Version benutzt.

Acer selbst, hat sich dazu noch nicht gemeldet. Ich warte mal auf deren Antwort.

Zitat:

Zitat von myrtille (Beitrag 377010)

Poste bitte ein neues Hijackthis log.

Das mache ich - werde es mal neu rausladen und dann durchlaufen lassen.
Werde die LOG gegen 15 Uhr bereit stellen, da ich gleich weg muss.

lg

TIno