Firefox startet mit separaten Fenster...Malware Problem ?
 

Hallo Com ,

seit ein paar Tagen startet mein FF ( 2.0.0.16 ) außer das normale Browser Fenster ein weiteres Browser Fenster welches aber so klein zusammen geschoben ist das man nur noch den Rahmen in Form eines Buttons erkennt. Ziehe ich dieses Fenster groß ist der Inhalt leer und weiß.
Die geschieht aber nicht bei jedem Start sondern nur ab und an.

Hier im Forum habe ich ähnliche Berichte gelesen allerdings hatten diese User immer eine Werbung in ihren Fenstern.

Meine Scanner ( KIS und Malwarebytes' Anti-Malware ) haben bisher auch noch nichts gefunden.

Nach der FAQ hier im Forum habe ich mir zunächst HijackThis herunter geladen und poste euch einmal den aktuellen LOG:



Logfile of Trend Micro HijackThis v2.0.2
Scan saved at 17:36:05, on 21.09.2008
Platform: Windows XP SP3 (WinNT 5.01.2600)
MSIE: Internet Explorer v7.00 (7.00.6000.16705)
Boot mode: Normal

Running processes:
D:\WINDOWS\System32\smss.exe
D:\WINDOWS\system32\winlogon.exe
D:\WINDOWS\system32\services.exe
D:\WINDOWS\system32\lsass.exe
D:\WINDOWS\system32\svchost.exe
D:\WINDOWS\System32\svchost.exe
D:\WINDOWS\system32\spoolsv.exe
D:\Programme\Kaspersky Lab\Kaspersky Internet Security 7.0\avp.exe
D:\WINDOWS\Explorer.EXE
D:\Programme\Generic\USB Card Reader Driver v1.9a1\Disk_Monitor.exe
D:\WINDOWS\AGRSMMSG.exe
D:\Programme\Synaptics\SynTP\SynTPLpr.exe
D:\Programme\Synaptics\SynTP\SynTPEnh.exe
D:\Programme\HighCriteria\TotalRecorder\TotRecSched.exe
D:\Programme\Kaspersky Lab\Kaspersky Internet Security 7.0\avp.exe
D:\WINDOWS\system32\spool\drivers\w32x86\3\hpztsb06.exe
D:\WINDOWS\SOUNDMAN.EXE
D:\Programme\Java\jre1.6.0_07\bin\jusched.exe
D:\Programme\Razer\Krait\razerhid.exe
D:\WINDOWS\system32\ctfmon.exe
D:\Programme\REALTEK Semiconductor Corp\REALTEK RTL8180 Wireless LAN Driver and Utility\RtlWake.exe
D:\Programme\Razer\Krait\razertra.exe
D:\Programme\Razer\Krait\razerofa.exe
D:\Programme\Mozilla Firefox\firefox.exe
D:\Programme\SUPERAntiSpyware\SUPERAntiSpyware.exe
E:\Extern\HiJackThis\HiJackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.google.de/
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://go.microsoft.com/fwlink/?LinkId=69157
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://go.microsoft.com/fwlink/?LinkId=54896
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = http://go.microsoft.com/fwlink/?LinkId=54896
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = http://go.microsoft.com/fwlink/?LinkId=69157
O2 - BHO: SSVHelper Class - {761497BB-D6F0-462C-B6EB-D4DAF1D92D43} - D:\Programme\Java\jre1.6.0_07\bin\ssv.dll
O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE D:\WINDOWS\System32\NvCpl.dll,NvStartup
O4 - HKLM\..\Run: [nwiz] nwiz.exe /install
O4 - HKLM\..\Run: [Disk Monitor] D:\Programme\Generic\USB Card Reader Driver v1.9a1\Disk_Monitor.exe
O4 - HKLM\..\Run: [AGRSMMSG] AGRSMMSG.exe
O4 - HKLM\..\Run: [SynTPLpr] D:\Programme\Synaptics\SynTP\SynTPLpr.exe
O4 - HKLM\..\Run: [SynTPEnh] D:\Programme\Synaptics\SynTP\SynTPEnh.exe
O4 - HKLM\..\Run: [NeroFilterCheck] D:\WINDOWS\system32\NeroCheck.exe
O4 - HKLM\..\Run: [TotalRecorderScheduler] D:\Programme\HighCriteria\TotalRecorder\TotRecSched.exe
O4 - HKLM\..\Run: [RAM Idle Professional] D:\Programme\RAM Idle LE\RAM_XP.exe
O4 - HKLM\..\Run: [AVP] "D:\Programme\Kaspersky Lab\Kaspersky Internet Security 7.0\avp.exe"
O4 - HKLM\..\Run: [HPDJ Taskbar Utility] D:\WINDOWS\system32\spool\drivers\w32x86\3\hpztsb06.exe
O4 - HKLM\..\Run: [SoundMan] SOUNDMAN.EXE
O4 - HKLM\..\Run: [SunJavaUpdateSched] "D:\Programme\Java\jre1.6.0_07\bin\jusched.exe"
O4 - HKLM\..\Run: [Krait] D:\Programme\Razer\Krait\razerhid.exe
O4 - HKCU\..\Run: [ctfmon.exe] D:\WINDOWS\system32\ctfmon.exe
O4 - HKUS\S-1-5-19\..\Run: [CTFMON.EXE] D:\WINDOWS\System32\CTFMON.EXE (User 'LOKALER DIENST')
O4 - HKUS\S-1-5-20\..\Run: [CTFMON.EXE] D:\WINDOWS\System32\CTFMON.EXE (User 'NETZWERKDIENST')
O4 - HKUS\S-1-5-21-1085031214-838170752-839522115-1005\..\Run: [CTFMON.EXE] D:\WINDOWS\System32\CTFMON.EXE (User '?')
O4 - HKUS\S-1-5-21-1085031214-838170752-839522115-1006\..\Run: [CTFMON.EXE] D:\WINDOWS\System32\CTFMON.EXE (User 'postgres')
O4 - HKUS\S-1-5-18\..\Run: [CTFMON.EXE] D:\WINDOWS\System32\CTFMON.EXE (User 'SYSTEM')
O4 - HKUS\.DEFAULT\..\Run: [CTFMON.EXE] D:\WINDOWS\System32\CTFMON.EXE (User 'Default user')
O4 - Global Startup: Microsoft Office.lnk = D:\Programme\Microsoft Office\Office\OSA9.EXE
O4 - Global Startup: RtlWake.lnk = ?
O8 - Extra context menu item: Hinzufügen zu Kaspersky Anti-Banner - D:\Programme\Kaspersky Lab\Kaspersky Internet Security 7.0\ie_banner_deny.htm
O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - D:\Programme\Java\jre1.6.0_07\bin\ssv.dll
O9 - Extra 'Tools' menuitem: Sun Java Konsole - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - D:\Programme\Java\jre1.6.0_07\bin\ssv.dll
O9 - Extra button: Statistik für Web-Anti-Virus - {1F460357-8A94-4D71-9CA3-AA4ACF32ED8E} - D:\Programme\Kaspersky Lab\Kaspersky Internet Security 7.0\SCIEPlgn.dll
O9 - Extra button: (no name) - {e2e2dd38-d088-4134-82b7-f2ba38496583} - D:\WINDOWS\Network Diagnostic\xpnetdiag.exe
O9 - Extra 'Tools' menuitem: @xpsp3res.dll,-20001 - {e2e2dd38-d088-4134-82b7-f2ba38496583} - D:\WINDOWS\Network Diagnostic\xpnetdiag.exe
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - D:\Programme\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - D:\Programme\Messenger\msmsgs.exe
O16 - DPF: {6414512B-B978-451D-A0D8-FCFDF33E833C} (WUWebControl Class) - http://www.update.microsoft.com/windowsupdate/v6/V5Controls/en/x86/client/wuweb_site.cab?1190053613843
O16 - DPF: {67A5F8DC-1A4B-4D66-9F24-A704AD929EEE} (System Requirements Lab) - http://www.nvidia.com/content/DriverDownload/srl/2.0.0.1/sysreqlab2.cab
O20 - AppInit_DLLs: D:\PROGRA~1\KASPER~1\KASPER~1.0\adialhk.dll
O20 - Winlogon Notify: !SASWinLogon - D:\Programme\SUPERAntiSpyware\SASWINLO.dll
O23 - Service: Kaspersky Internet Security 7.0 (AVP) - Kaspersky Lab - D:\Programme\Kaspersky Lab\Kaspersky Internet Security 7.0\avp.exe
O23 - Service: NVIDIA Display Driver Service (NVSvc) - NVIDIA Corporation - D:\WINDOWS\System32\nvsvc32.exe
O23 - Service: PostgreSQL Database Server 8.3 (pgsql-8.3) - PostgreSQL Global Development Group - D:\Programme\PostgreSQL\8.3\bin\pg_ctl.exe

--
End of file - 5821 bytes




Hier auch der LOG von Malwarebytes' Anti-Malware :


Malwarebytes' Anti-Malware 1.28
Datenbank Version: 1166
Windows 5.1.2600 Service Pack 3

21.09.2008 15:28:38
mbam-log-2008-09-21 (15-28-38).txt

Scan-Methode: Vollständiger Scan (C:\|D:\|E:\|)
Durchsuchte Objekte: 98697
Laufzeit: 36 minute(s), 22 second(s)

Infizierte Speicherprozesse: 0
Infizierte Speichermodule: 0
Infizierte Registrierungsschlüssel: 0
Infizierte Registrierungswerte: 0
Infizierte Dateiobjekte der Registrierung: 0
Infizierte Verzeichnisse: 0
Infizierte Dateien: 0

Infizierte Speicherprozesse:
(Keine bösartigen Objekte gefunden)

Infizierte Speichermodule:
(Keine bösartigen Objekte gefunden)

Infizierte Registrierungsschlüssel:
(Keine bösartigen Objekte gefunden)

Infizierte Registrierungswerte:
(Keine bösartigen Objekte gefunden)

Infizierte Dateiobjekte der Registrierung:
(Keine bösartigen Objekte gefunden)

Infizierte Verzeichnisse:
(Keine bösartigen Objekte gefunden)

Infizierte Dateien:
(Keine bösartigen Objekte gefunden)



anschließend habe ich auch schon SUPERAntiSpyware Professional durch laufen lassen. Jedoch wurde hier auch nichts gravierendes gefunden.

Würde mich also freuen wenn Ihr mir hier einen Tipp geben könntet wie ich mein Problem beheben kann.

Hi,
dein Logfile ist sauber.
Update doch mal auf den aktuellen FF 3.0.1 und beobachte, ob da das selbe Problem besteht.

Hi Silent sharK ,

danke für das Feedback.
Den FF 3 wollte ich noch nicht zwingend nehmen weil a) die Sicherheitsupdates für den 2er noch bis Dezember laufen und b) der 3er in einigen Sachen noch Kinderkrankheiten hat

Wenn es am FF liegen sollte, was könnte man da noch probieren ?
Das mit laden des " kleinen" Fenster's ist doch nicht normal.

Ich dachte jetzt auch das mein Problem gleich zu setzen ist mit den Usern die darin auch Werbung haben ?!?

Wer behauptet das? :rolleyes:
Glaub mir, ich weiß, wie sich solche Werbung ausdrückt. ;)
Bestimmt nicht, wenn sich manchmal ein Fenster öffnet, das man fast bis garnicht bemerkt.

lese ich leider im FF Forum doch noch des öfteren.... scheinbar haben viele hinterher Sound Probleme, Scroll Funktion will nicht mehr oder das System wird irgendwie bei vielen stark ausgelastet......von daher bin ich noch etwas vorsichtig *g*


Na durch deine Info bin ich bin ja schon etwas ruhiger geworden *g*
da ich mit dem Rechner auch viel Online Banking nutze ist mir halt ein Sicherer Zustand sehr wichtig

Woran es nun aber letztendlich liegen könnte weißt du auch nicht ..oder ?

Ich glaube, die Mängel sind durch das Update auf 3.0.1 behoben worden. ;)
Naja, da ich kein großer Freund von Onlinebanking o. Ä. bin, sag ich dazu mal nix.
Kann sein, das es ein fehlerhaftes PopUp-Fenster ist (falls du einen Blocker hast bzw. falls er aktiviert ist).

Das Problem hatte ich auch schonmal, hab mir aber nichts weiter gedacht.

Hab meine Rechner bisher immer sehr "save" gehalten und fürs Banking auch einen separaten NumKey PAT via USB in Verwendung.
Was spricht denn sonst noch so gegen das OB ? Ich verwende das jetzt schon seit 3 Jahren und hatte bisher noch keine Probleme.

Ach ja ... als Blocker verwende ich im FF " NoScript"

Wie gesagt, es gibt diverse Schädlinge, die dir das Leben in Sachen Onlinebanking zur Hölle machen.
Das Problem ist, ein Laie erkennt nicht, das er infiziert ist.
Zwei gute Beispiele sind Spy.ZBot und Silentbanker.

Sollten die beiden nicht von KIS oder anderen Scannern life erkannt werden ?

ZBot vielleicht, Silentbanker wird nur teilweise erkannt - von Avira AntiVir.
Der eigentliche Banker aber wird durch einen Rootkit versteckt, sodass man ihn weder manuell noch per Programm finden kann.

Da die beiden Kollegen zu einer technischen Kompromittierung (siehe Link in der Signatur) führen, bin ich von einer "Bereinigung" der Beiden überhaupt nicht begeistert.

ZBot steht zumindest in der Kaspersky Virenliste mit drin.

Wie ich eben über Silentbanker gelesen habe , fungiert er wie bei einer MoM Attacke und somit muss der doch Daten an einen Server schicken.Das heißt er muss doch lokale aufgespürte Daten weiter leiten..würde dann nicht spätestens die FW nach einer autorisierten Regel fragen ?

Ja, nur Kaspersky und auch die anderen Scanner können ZBot nicht 100% entfernen.
Und die Veränderungen am System durch ihn sind auch unklar. Deswegen muss man bei einer solchen Infektion in den sauren Apfel beißen und formatieren.
Definitiv nicht. Jeder Schädling bzw. Backdoor Trojaner ist in der Lage, eine Firewall zu umgehen.

hab mich mal noch ein bisschen über die "beiden" belesen.
sind ja ganz schön stark.
gibt es eigentlich eindeutige Anzeichen der beiden bzw. bestimmte Merkmale für den Fall eines Befalls ?

Ja, gibt es.
Silentbanker erkennt man eigentlich nur durch die Virenklingel AntiVir.
Wenn eine CPX-Datei angemeckert wird, handelt es sich zu 99% um Silentbanker, aber nicht um den Schädling selber, sondern um dessen Aufzeichnungen.

ZBot wird im HijackThis Logfile erkannt, und zwar durch einen F2 - Eintrag und der ntos.exe.

wirklich nur durch AntiVir ? ich hab jetzt schon seit vielen Jahren den Kaspersky als Scanner und bin damit eigentlich immer sehr gut gefahren.
Ich müsst eventuell mal im Kaspersky Forum fragen wie dort das Problem gehandhabt wird. Silentbanker ist ja nun doch schon eine Weile unterwegs von daher frag ich mich warum andere Virenscanner seine Signatur nicht erkennen ?

Weil eben die executable CPX-Datei eben durch einen Rootkit nicht erkannt wird.
Außerdem ist bei einer Infektion dieser Art sowieso eine Bereinigung sinnfrei.

Von Kaspersky war ich noch nie ein großer Freund.
Und da eigentlich fast niemand Geld für Software solcher Art ausgibt, nutzen die meisten AntiVir.

na toll *G* ich kauf mir seit Jahren immer die Jahres Lizenz *G*

wie gesagt ich habe bisher noch keine Probleme gehabt. Wo sind denn deiner Meinung die gravierenden Probleme bei Kaspersky ?
Ich hatte vor vielen Jahren mal eine zeit lang den AntiVir und war von dem gar nicht begeistert. Da kamen mir einfach zu viele False Meldungen. Selbst als ich bei einem Kollegen von 3 Monaten wieder den Anti-Vir vor mir hatte, kamen da auch schon wieder False Meldungen ( in seinem Fall wurde eine *.exe eines online Spieles gemeldet die aber 100% sauber war ).

Für das Geld lad ich meine Freundin zum Essen ein. ;)
Ich finde es einfach nicht gut. Ich erkenn es nicht als Antivirenprogramm an, schon deswegen nicht, da die Internetseite von Cyberkriminellen tagelang übernommen wurde. ;)
Das liegt daran, da Avira eine sehr gute heuristische Erkennungsrate hat.
Hohe Erkennungsrate => hohe Fehlerquote

Nimmst du einen Scanner, der vergleichsweise eine miserable Erkennung hat, wirst du das Problem mit den False Positives bestimmt nicht mehr haben. :)

na nun hast mich ja erwischt ^^

könnte man denn um sein System zeitweise separat scannen zu lassen den AntiVir so installieren das er nicht bei jedem Systemstart geladen wird , man jedoch immer einen Scan manuell durchführen könnte. Es sollen sich aber beide Scanner nicht gegenseitig behindern ( Mir fällt aber gerade ein, das Kaspersky gar nicht mit AntiVir laufen soll ?!?!).

Nein.
Es ist immer ein eigener Schnitt ins Fleisch, wenn man zwei Antivirenprogramme parallel installiert hat.

Daran gibts nichts zu rütteln.

schade das es von AntiVir keine U3 Lösung( oder auch Boot CD ) gibt. Ich hätte mir dann das Programm auf einem Stick installiert und damit dann in Abständen das System gescannt.

Avira will imo in der nächsten Zeit portabel werden.
Das gleiche gilt für MalwareBytes auch.

ja das hört sich doch gut an :-) ..ist da schon ein Zeitraum genannt wurden ?

Nein leider nicht.

ok dann danke ich dir erstmal für deinen super Support
ich werd dann die nächste Zeit mal die Augen aufhalten und sehen was in Richtung portabel Avira passiert. Wäre ja wirklich nicht schlecht.

Kein Problem. ;)
Obwohl ich persönlich MBAM besser finde. :)

MBAM ? was meinst damit ? kenne ich gar nicht

MalwareBytes Anti-Malware. ;)

ZONK ^^ Malwarebytes' Anti-Malware ..war ja auch klar ^^ ..... aber das scannt doch nach einem anderen Muster als ein Virenscanner ?!? oder?

Ja, aber es hat Adminrechte und dadurch kann es auch Malware entfernen, was primäre Virenscanner nicht können. ;)