Firefox startet mit separaten Fenster...Malware Problem ?
 

Hallo Com ,

seit ein paar Tagen startet mein FF ( 2.0.0.16 ) außer das normale Browser Fenster ein weiteres Browser Fenster welches aber so klein zusammen geschoben ist das man nur noch den Rahmen in Form eines Buttons erkennt. Ziehe ich dieses Fenster groß ist der Inhalt leer und weiß.
Die geschieht aber nicht bei jedem Start sondern nur ab und an.

Hier im Forum habe ich ähnliche Berichte gelesen allerdings hatten diese User immer eine Werbung in ihren Fenstern.

Meine Scanner ( KIS und Malwarebytes' Anti-Malware ) haben bisher auch noch nichts gefunden.

Nach der FAQ hier im Forum habe ich mir zunächst HijackThis herunter geladen und poste euch einmal den aktuellen LOG:



Logfile of Trend Micro HijackThis v2.0.2
Scan saved at 17:36:05, on 21.09.2008
Platform: Windows XP SP3 (WinNT 5.01.2600)
MSIE: Internet Explorer v7.00 (7.00.6000.16705)
Boot mode: Normal

Running processes:
D:\WINDOWS\System32\smss.exe
D:\WINDOWS\system32\winlogon.exe
D:\WINDOWS\system32\services.exe
D:\WINDOWS\system32\lsass.exe
D:\WINDOWS\system32\svchost.exe
D:\WINDOWS\System32\svchost.exe
D:\WINDOWS\system32\spoolsv.exe
D:\Programme\Kaspersky Lab\Kaspersky Internet Security 7.0\avp.exe
D:\WINDOWS\Explorer.EXE
D:\Programme\Generic\USB Card Reader Driver v1.9a1\Disk_Monitor.exe
D:\WINDOWS\AGRSMMSG.exe
D:\Programme\Synaptics\SynTP\SynTPLpr.exe
D:\Programme\Synaptics\SynTP\SynTPEnh.exe
D:\Programme\HighCriteria\TotalRecorder\TotRecSched.exe
D:\Programme\Kaspersky Lab\Kaspersky Internet Security 7.0\avp.exe
D:\WINDOWS\system32\spool\drivers\w32x86\3\hpztsb06.exe
D:\WINDOWS\SOUNDMAN.EXE
D:\Programme\Java\jre1.6.0_07\bin\jusched.exe
D:\Programme\Razer\Krait\razerhid.exe
D:\WINDOWS\system32\ctfmon.exe
D:\Programme\REALTEK Semiconductor Corp\REALTEK RTL8180 Wireless LAN Driver and Utility\RtlWake.exe
D:\Programme\Razer\Krait\razertra.exe
D:\Programme\Razer\Krait\razerofa.exe
D:\Programme\Mozilla Firefox\firefox.exe
D:\Programme\SUPERAntiSpyware\SUPERAntiSpyware.exe
E:\Extern\HiJackThis\HiJackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.google.de/
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://go.microsoft.com/fwlink/?LinkId=69157
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://go.microsoft.com/fwlink/?LinkId=54896
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = http://go.microsoft.com/fwlink/?LinkId=54896
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = http://go.microsoft.com/fwlink/?LinkId=69157
O2 - BHO: SSVHelper Class - {761497BB-D6F0-462C-B6EB-D4DAF1D92D43} - D:\Programme\Java\jre1.6.0_07\bin\ssv.dll
O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE D:\WINDOWS\System32\NvCpl.dll,NvStartup
O4 - HKLM\..\Run: [nwiz] nwiz.exe /install
O4 - HKLM\..\Run: [Disk Monitor] D:\Programme\Generic\USB Card Reader Driver v1.9a1\Disk_Monitor.exe
O4 - HKLM\..\Run: [AGRSMMSG] AGRSMMSG.exe
O4 - HKLM\..\Run: [SynTPLpr] D:\Programme\Synaptics\SynTP\SynTPLpr.exe
O4 - HKLM\..\Run: [SynTPEnh] D:\Programme\Synaptics\SynTP\SynTPEnh.exe
O4 - HKLM\..\Run: [NeroFilterCheck] D:\WINDOWS\system32\NeroCheck.exe
O4 - HKLM\..\Run: [TotalRecorderScheduler] D:\Programme\HighCriteria\TotalRecorder\TotRecSched.exe
O4 - HKLM\..\Run: [RAM Idle Professional] D:\Programme\RAM Idle LE\RAM_XP.exe
O4 - HKLM\..\Run: [AVP] "D:\Programme\Kaspersky Lab\Kaspersky Internet Security 7.0\avp.exe"
O4 - HKLM\..\Run: [HPDJ Taskbar Utility] D:\WINDOWS\system32\spool\drivers\w32x86\3\hpztsb06.exe
O4 - HKLM\..\Run: [SoundMan] SOUNDMAN.EXE
O4 - HKLM\..\Run: [SunJavaUpdateSched] "D:\Programme\Java\jre1.6.0_07\bin\jusched.exe"
O4 - HKLM\..\Run: [Krait] D:\Programme\Razer\Krait\razerhid.exe
O4 - HKCU\..\Run: [ctfmon.exe] D:\WINDOWS\system32\ctfmon.exe
O4 - HKUS\S-1-5-19\..\Run: [CTFMON.EXE] D:\WINDOWS\System32\CTFMON.EXE (User 'LOKALER DIENST')
O4 - HKUS\S-1-5-20\..\Run: [CTFMON.EXE] D:\WINDOWS\System32\CTFMON.EXE (User 'NETZWERKDIENST')
O4 - HKUS\S-1-5-21-1085031214-838170752-839522115-1005\..\Run: [CTFMON.EXE] D:\WINDOWS\System32\CTFMON.EXE (User '?')
O4 - HKUS\S-1-5-21-1085031214-838170752-839522115-1006\..\Run: [CTFMON.EXE] D:\WINDOWS\System32\CTFMON.EXE (User 'postgres')
O4 - HKUS\S-1-5-18\..\Run: [CTFMON.EXE] D:\WINDOWS\System32\CTFMON.EXE (User 'SYSTEM')
O4 - HKUS\.DEFAULT\..\Run: [CTFMON.EXE] D:\WINDOWS\System32\CTFMON.EXE (User 'Default user')
O4 - Global Startup: Microsoft Office.lnk = D:\Programme\Microsoft Office\Office\OSA9.EXE
O4 - Global Startup: RtlWake.lnk = ?
O8 - Extra context menu item: Hinzufügen zu Kaspersky Anti-Banner - D:\Programme\Kaspersky Lab\Kaspersky Internet Security 7.0\ie_banner_deny.htm
O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - D:\Programme\Java\jre1.6.0_07\bin\ssv.dll
O9 - Extra 'Tools' menuitem: Sun Java Konsole - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - D:\Programme\Java\jre1.6.0_07\bin\ssv.dll
O9 - Extra button: Statistik für Web-Anti-Virus - {1F460357-8A94-4D71-9CA3-AA4ACF32ED8E} - D:\Programme\Kaspersky Lab\Kaspersky Internet Security 7.0\SCIEPlgn.dll
O9 - Extra button: (no name) - {e2e2dd38-d088-4134-82b7-f2ba38496583} - D:\WINDOWS\Network Diagnostic\xpnetdiag.exe
O9 - Extra 'Tools' menuitem: @xpsp3res.dll,-20001 - {e2e2dd38-d088-4134-82b7-f2ba38496583} - D:\WINDOWS\Network Diagnostic\xpnetdiag.exe
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - D:\Programme\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - D:\Programme\Messenger\msmsgs.exe
O16 - DPF: {6414512B-B978-451D-A0D8-FCFDF33E833C} (WUWebControl Class) - http://www.update.microsoft.com/windowsupdate/v6/V5Controls/en/x86/client/wuweb_site.cab?1190053613843
O16 - DPF: {67A5F8DC-1A4B-4D66-9F24-A704AD929EEE} (System Requirements Lab) - http://www.nvidia.com/content/DriverDownload/srl/2.0.0.1/sysreqlab2.cab
O20 - AppInit_DLLs: D:\PROGRA~1\KASPER~1\KASPER~1.0\adialhk.dll
O20 - Winlogon Notify: !SASWinLogon - D:\Programme\SUPERAntiSpyware\SASWINLO.dll
O23 - Service: Kaspersky Internet Security 7.0 (AVP) - Kaspersky Lab - D:\Programme\Kaspersky Lab\Kaspersky Internet Security 7.0\avp.exe
O23 - Service: NVIDIA Display Driver Service (NVSvc) - NVIDIA Corporation - D:\WINDOWS\System32\nvsvc32.exe
O23 - Service: PostgreSQL Database Server 8.3 (pgsql-8.3) - PostgreSQL Global Development Group - D:\Programme\PostgreSQL\8.3\bin\pg_ctl.exe

--
End of file - 5821 bytes




Hier auch der LOG von Malwarebytes' Anti-Malware :


Malwarebytes' Anti-Malware 1.28
Datenbank Version: 1166
Windows 5.1.2600 Service Pack 3

21.09.2008 15:28:38
mbam-log-2008-09-21 (15-28-38).txt

Scan-Methode: Vollständiger Scan (C:\|D:\|E:\|)
Durchsuchte Objekte: 98697
Laufzeit: 36 minute(s), 22 second(s)

Infizierte Speicherprozesse: 0
Infizierte Speichermodule: 0
Infizierte Registrierungsschlüssel: 0
Infizierte Registrierungswerte: 0
Infizierte Dateiobjekte der Registrierung: 0
Infizierte Verzeichnisse: 0
Infizierte Dateien: 0

Infizierte Speicherprozesse:
(Keine bösartigen Objekte gefunden)

Infizierte Speichermodule:
(Keine bösartigen Objekte gefunden)

Infizierte Registrierungsschlüssel:
(Keine bösartigen Objekte gefunden)

Infizierte Registrierungswerte:
(Keine bösartigen Objekte gefunden)

Infizierte Dateiobjekte der Registrierung:
(Keine bösartigen Objekte gefunden)

Infizierte Verzeichnisse:
(Keine bösartigen Objekte gefunden)

Infizierte Dateien:
(Keine bösartigen Objekte gefunden)



anschließend habe ich auch schon SUPERAntiSpyware Professional durch laufen lassen. Jedoch wurde hier auch nichts gravierendes gefunden.

Würde mich also freuen wenn Ihr mir hier einen Tipp geben könntet wie ich mein Problem beheben kann.

Hi,
dein Logfile ist sauber.
Update doch mal auf den aktuellen FF 3.0.1 und beobachte, ob da das selbe Problem besteht.

Hi Silent sharK ,

danke für das Feedback.
Den FF 3 wollte ich noch nicht zwingend nehmen weil a) die Sicherheitsupdates für den 2er noch bis Dezember laufen und b) der 3er in einigen Sachen noch Kinderkrankheiten hat

Wenn es am FF liegen sollte, was könnte man da noch probieren ?
Das mit laden des " kleinen" Fenster's ist doch nicht normal.

Ich dachte jetzt auch das mein Problem gleich zu setzen ist mit den Usern die darin auch Werbung haben ?!?

Wer behauptet das? :rolleyes:
Glaub mir, ich weiß, wie sich solche Werbung ausdrückt. ;)
Bestimmt nicht, wenn sich manchmal ein Fenster öffnet, das man fast bis garnicht bemerkt.

lese ich leider im FF Forum doch noch des öfteren.... scheinbar haben viele hinterher Sound Probleme, Scroll Funktion will nicht mehr oder das System wird irgendwie bei vielen stark ausgelastet......von daher bin ich noch etwas vorsichtig *g*


Na durch deine Info bin ich bin ja schon etwas ruhiger geworden *g*
da ich mit dem Rechner auch viel Online Banking nutze ist mir halt ein Sicherer Zustand sehr wichtig

Woran es nun aber letztendlich liegen könnte weißt du auch nicht ..oder ?

Ich glaube, die Mängel sind durch das Update auf 3.0.1 behoben worden. ;)
Naja, da ich kein großer Freund von Onlinebanking o. Ä. bin, sag ich dazu mal nix.
Kann sein, das es ein fehlerhaftes PopUp-Fenster ist (falls du einen Blocker hast bzw. falls er aktiviert ist).

Das Problem hatte ich auch schonmal, hab mir aber nichts weiter gedacht.

Hab meine Rechner bisher immer sehr "save" gehalten und fürs Banking auch einen separaten NumKey PAT via USB in Verwendung.
Was spricht denn sonst noch so gegen das OB ? Ich verwende das jetzt schon seit 3 Jahren und hatte bisher noch keine Probleme.

Ach ja ... als Blocker verwende ich im FF " NoScript"

Wie gesagt, es gibt diverse Schädlinge, die dir das Leben in Sachen Onlinebanking zur Hölle machen.
Das Problem ist, ein Laie erkennt nicht, das er infiziert ist.
Zwei gute Beispiele sind Spy.ZBot und Silentbanker.

Sollten die beiden nicht von KIS oder anderen Scannern life erkannt werden ?

ZBot vielleicht, Silentbanker wird nur teilweise erkannt - von Avira AntiVir.
Der eigentliche Banker aber wird durch einen Rootkit versteckt, sodass man ihn weder manuell noch per Programm finden kann.

Da die beiden Kollegen zu einer technischen Kompromittierung (siehe Link in der Signatur) führen, bin ich von einer "Bereinigung" der Beiden überhaupt nicht begeistert.

ZBot steht zumindest in der Kaspersky Virenliste mit drin.

Wie ich eben über Silentbanker gelesen habe , fungiert er wie bei einer MoM Attacke und somit muss der doch Daten an einen Server schicken.Das heißt er muss doch lokale aufgespürte Daten weiter leiten..würde dann nicht spätestens die FW nach einer autorisierten Regel fragen ?

Ja, nur Kaspersky und auch die anderen Scanner können ZBot nicht 100% entfernen.
Und die Veränderungen am System durch ihn sind auch unklar. Deswegen muss man bei einer solchen Infektion in den sauren Apfel beißen und formatieren.
Definitiv nicht. Jeder Schädling bzw. Backdoor Trojaner ist in der Lage, eine Firewall zu umgehen.

hab mich mal noch ein bisschen über die "beiden" belesen.
sind ja ganz schön stark.
gibt es eigentlich eindeutige Anzeichen der beiden bzw. bestimmte Merkmale für den Fall eines Befalls ?

Ja, gibt es.
Silentbanker erkennt man eigentlich nur durch die Virenklingel AntiVir.
Wenn eine CPX-Datei angemeckert wird, handelt es sich zu 99% um Silentbanker, aber nicht um den Schädling selber, sondern um dessen Aufzeichnungen.

ZBot wird im HijackThis Logfile erkannt, und zwar durch einen F2 - Eintrag und der ntos.exe.

wirklich nur durch AntiVir ? ich hab jetzt schon seit vielen Jahren den Kaspersky als Scanner und bin damit eigentlich immer sehr gut gefahren.
Ich müsst eventuell mal im Kaspersky Forum fragen wie dort das Problem gehandhabt wird. Silentbanker ist ja nun doch schon eine Weile unterwegs von daher frag ich mich warum andere Virenscanner seine Signatur nicht erkennen ?