Trojaner-Board - Riesenproblem (Bei google wechsel andere Seiten, Keine Downloads möglich, usw.]

Trojaner-Board (https://www.trojaner-board.de/)

- Log-Analyse und Auswertung (https://www.trojaner-board.de/log-analyse-auswertung/)

- - Riesenproblem (Bei google wechsel andere Seiten, Keine Downloads möglich, usw.] (https://www.trojaner-board.de/67012-riesenproblem-google-wechsel-andere-seiten-keine-downloads-moeglich-usw.html)

Riesenproblem (Bei google wechsel andere Seiten, Keine Downloads möglich, usw.]

Also gut dann schildere ich mal mein riesenproblem. Ich mache mein Abitur und da ist der PC mein ein und alles wie ich es wieder Woche wieder festelle und zwar muss ich bis Donnerstag eine Hausarbeit fertig haben, mit der ich schon angefangen habe und auf meinem PC gespeichert ist aber auch Daten aus dem Internet downloaden muss und googlen usw. Und durch die Viren ist es unmöglich die Arbeit fertigzustellen.
Die Probleme:
1. Google suche unmöglich da er auf irgendwelche "jump irgendwas seiten springt"
2. Wenn ich Virenprogramme downloaden möchte oder andere Sachen z.b ein VIrenprogramm aktivieren oder zu Updaten. Kann die Internet/Update Seite nicht abgerufen/angezeigt werden
3. Vor 2 Tagen war es nicht möglich sich als Benutzer anzumelden weil man sofort wieder abgemeldet wurde oder nichts angezeigt wurde. Was ich dann irgendwie mit dem Taskmanager behoben habe oder hoffe behoben zu haben.

Ich bin einfach ratlos und weiß nicht was ich tuhen kann :headbang:

so hijackThislogfile:

Logfile of Trend Micro HijackThis v2.0.2
Scan saved at 20:54:47, on 22.12.2008
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)
Boot mode: Normal

Running processes:
C:\WINDOWS\system32\csrss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\Programme\Lavasoft\Ad-Aware\aawservice.exe
C:\WINDOWS\system32\spoolsv.exe
C:\Programme\Gemeinsame Dateien\Apple\Mobile Device Support\bin\AppleMobileDeviceService.exe
C:\WINDOWS\Explorer.EXE
C:\Programme\Bonjour\mDNSResponder.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\system32\drivers\CDAC11BA.EXE
C:\Programme\Google\Common\Google Updater\GoogleUpdaterService.exe
C:\WINDOWS\system32\nvsvc32.exe
C:\WINDOWS\Mixer.exe
C:\Programme\Java\jre1.6.0_05\bin\jusched.exe
C:\WINDOWS\system32\rundll32.exe
C:\WINDOWS\system32\RUNDLL32.EXE
D:\Programme\Rising\Rav\RavTask.exe
C:\Programme\Windows Live\Messenger\MsnMsgr.Exe
C:\Programme\Spybot - Search & Destroy\TeaTimer.exe
C:\WINDOWS\system32\PnkBstrA.exe
D:\Programme\Rising\Rav\Ravmon.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\wdfmgr.exe
C:\WINDOWS\system32\msiexec.exe
C:\Programme\PcCloneEX\PcCloneEX.EXE
D:\Programme\Mozilla Firefox\firefox.exe
C:\Programme\Windows Live\Messenger\usnsvc.exe
C:\Programme\Java\jre1.6.0_05\bin\jucheck.exe
C:\Programme\Trend Micro\HijackThis\HijackThis.exe
C:\WINDOWS\System32\wbem\wmiprvse.exe

R1 - HKLM\Software\Microsoft\Internet Explorer\Main,CustomizeSearch = h**p://dnl.crawler.com/support/sa_customize.aspx?TbId=60429
R3 - URLSearchHook: (no name) - {855F3B16-6D32-4fe6-8A56-BBB695989046} - (no file)
F2 - REG:system.ini: UserInit=C:\WINDOWS\SYSTEM32\Userinit.exe,C:\WINDOWS\system32\twext.exe,
O2 - BHO: IEVkbdBHO - {59273AB4-E7D3-40F9-A1A8-6FA9CCA1862C} - C:\Programme\Kaspersky Lab\Kaspersky Anti-Virus 2009\ievkbd.dll
O3 - Toolbar: DAEMON Tools Toolbar - {32099AAC-C132-4136-9E9A-4E364A424E17} - C:\Programme\DAEMON Tools Toolbar\DTToolbar.dll
O4 - HKLM\..\Run: [C-Media Mixer] Mixer.exe /startup
O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\system32\NvCpl.dll,NvStartup
O4 - HKLM\..\Run: [nwiz] nwiz.exe /install
O4 - HKLM\..\Run: [Adobe Reader Speed Launcher] "C:\Programme\Adobe\Reader 8.0\Reader\Reader_sl.exe"
O4 - HKLM\..\Run: [SunJavaUpdateSched] "C:\Programme\Java\jre1.6.0_05\bin\jusched.exe"
O4 - HKLM\..\Run: [BluetoothAuthenticationAgent] rundll32.exe bthprops.cpl,,BluetoothAuthenticationAgent
O4 - HKLM\..\Run: [NvMediaCenter] RUNDLL32.EXE C:\WINDOWS\system32\NvMcTray.dll,NvTaskbarInit
O4 - HKLM\..\Run: [AVP] "C:\Programme\Kaspersky Lab\Kaspersky Anti-Virus 2009\avp.exe"
O4 - HKLM\..\Run: [RavTask] "D:\Programme\Rising\Rav\RavTask.exe" -system
O4 - HKCU\..\Run: [MsnMsgr] "C:\Programme\Windows Live\Messenger\MsnMsgr.Exe" /background
O4 - HKCU\..\Run: [DAEMON Tools Pro Agent] "D:\Programme\DAEMON Tools Pro\DTProAgent.exe"
O4 - HKCU\..\Run: [SpybotSD TeaTimer] C:\Programme\Spybot - Search & Destroy\TeaTimer.exe
O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programme\Java\jre1.6.0_05\bin\ssv.dll
O9 - Extra 'Tools' menuitem: Sun Java Konsole - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programme\Java\jre1.6.0_05\bin\ssv.dll
O9 - Extra button: Statistik für den Schutz des Web-Datenverkehrs - {1F460357-8A94-4D71-9CA3-AA4ACF32ED8E} - C:\Programme\Kaspersky Lab\Kaspersky Anti-Virus 2009\SCIEPlgn.dll
O9 - Extra button: Send to Mindjet MindManager - {531B9DC0-D8EE-4c76-A6EE-6C1E50569655} - C:\Programme\Mindjet\MindManager 6\Mm6InternetExplorer.dll
O9 - Extra button: ICQ6 - {E59EB121-F339-4851-A3BA-FE49C35617C2} - D:\Programme\ICQ6\ICQ.exe
O9 - Extra 'Tools' menuitem: ICQ6 - {E59EB121-F339-4851-A3BA-FE49C35617C2} - D:\Programme\ICQ6\ICQ.exe
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe
O10 - Unknown file in Winsock LSP: c:\windows\system32\nwprovau.dll
O16 - DPF: {6414512B-B978-451D-A0D8-FCFDF33E833C} (WUWebControl Class) - h**p://w*w.update.microsoft.com/windowsupdate/v6/V5Controls/en/x86/client/wuweb_site.cab?1206829949250
O16 - DPF: {B8BE5E93-A60C-4D26-A2DC-220313175592} (MSN Games - Installer) - h**p://messenger.zone.msn.com/binary/ZIntro.cab56649.cab
O16 - DPF: {C3F79A2B-B9B4-4A66-B012-3EE46475B072} (MessengerStatsClient Class) - h**p://messenger.zone.msn.com/binary/MessengerStatsPAClient.cab56907.cab
O17 - HKLM\System\CCS\Services\Tcpip\..\{9507004F-47D4-4460-A1CC-39AD0CD18772}: NameServer = 62.220.18.8 89.246.64.8
O23 - Service: a-squared Free Service (a2free) - Emsi Software GmbH - D:\Programme\a-squared Free\a2service.exe
O23 - Service: Lavasoft Ad-Aware Service (aawservice) - Lavasoft - C:\Programme\Lavasoft\Ad-Aware\aawservice.exe
O23 - Service: Apple Mobile Device - Apple Inc. - C:\Programme\Gemeinsame Dateien\Apple\Mobile Device Support\bin\AppleMobileDeviceService.exe
O23 - Service: Kaspersky Anti-Virus (AVP) - Kaspersky Lab - C:\Programme\Kaspersky Lab\Kaspersky Anti-Virus 2009\avp.exe
O23 - Service: Bonjour-Dienst (Bonjour Service) - Apple Inc. - C:\Programme\Bonjour\mDNSResponder.exe
O23 - Service: C-DillaCdaC11BA - C-Dilla Ltd - C:\WINDOWS\system32\drivers\CDAC11BA.EXE
O23 - Service: Google Updater Service (gusvc) - Google - C:\Programme\Google\Common\Google Updater\GoogleUpdaterService.exe
O23 - Service: InstallDriver Table Manager (IDriverT) - Macrovision Corporation - C:\Programme\Gemeinsame Dateien\InstallShield\Driver\11\Intel 32\IDriverT.exe
O23 - Service: NVIDIA Display Driver Service (NVSvc) - NVIDIA Corporation - C:\WINDOWS\system32\nvsvc32.exe
O23 - Service: PnkBstrA - Unknown owner - C:\WINDOWS\system32\PnkBstrA.exe
O23 - Service: Remote Packet Capture Protocol v.0 (experimental) (rpcapd) - Unknown owner - C:\Programme\WinPcap\rpcapd.exe
O23 - Service: Rising Process Communication Center (RsCCenter) - Beijing Rising Information Technology Co., Ltd. - D:\Programme\Rising\Rav\CCenter.exe
O23 - Service: Rising RealTime Monitor (RsRavMon) - Beijing Rising Information Technology Co., Ltd. - D:\PROGRAMME\RISING\RAV\Ravmond.exe
O23 - Service: PC Tools Auxiliary Service (sdAuxService) - Unknown owner - C:\Programme\Spyware Doctor\pctsAuxs.exe (file missing)
O23 - Service: PC Tools Security Service (sdCoreService) - Unknown owner - C:\Programme\Spyware Doctor\pctsSvc.exe (file missing)

--
End of file - 6705 bytes

Hallo und :hallo:

Stell sicher, daß Dir auch alle Dateien angezeigt werden, danach folgende Dateien bei Virustotal.com auswerten lassen und alle Ergebnisse posten, und zwar so, daß man die der einzelnen Virenscanner sehen kann. Bitte mit Dateigrößen und Prüfsummen:

Code:

C:\WINDOWS\system32\twext.exe

ciao, andreas

Mom gleiich weiter editiert

Dann markiere die Zeile in der Box, kopiere und füge sie bei Virustotal in das Feld ein.

ciao, andreas

Zitat:

Zitat von john.doe (Beitrag 400242)

Code:

C:\WINDOWS\system32\twext.exe

ciao, andreas

Virustotal kann nicht angezeigt werden ! :(

Mir schwant Böses.

Starte HJT => Do a system scan only => Markiere:

Code:

R3 - URLSearchHook: (no name) - {855F3B16-6D32-4fe6-8A56-BBB695989046} - (no file)

F2 - REG:system.ini: UserInit=C:\WINDOWS\SYSTEM32\Userinit.exe,C:\WINDO WS\system32\twext.exe,

=> Fix checked

Neustart => F8 => abgesicherter Modus mit Netzwerkunterstützung => Versuchs dort nochmal.

ciao, andreas

Ich kann aufjedenfall im abgesicherten Modus mit Netzwerkaufforderung nicht ins Internet

Schicke mir die Datei an meine Emailadresse, die ich dir per PN zugeschickt habe. Falls du das hinbekommst, komprimiere die Datei mit ZIP oder RAR und versehe sie mit dem Kennwort infected.

ciao, andreas

Alles klar email geschickt! Danke

Angekommen. Ich brauche die Twext.exe, nicht die dll. Suche nach der twext.exe, so wie hier beschrieben ist: http://www.trojaner-board.de/59624-a...-sichtbar.html

ciao, andreas

Okay (ABGESENDET) . Danke

Code:

Datei twext.exe empfangen 2008.12.22 23:42:52 (CET)

Status:   Beendet 

Ergebnis: 12/38 (31.58%) 

 Filter 

Drucken der Ergebnisse  Antivirus        Version        letzte aktualisierung        Ergebnis

AhnLab-V3        2008.12.22.0        2008.12.22        -

AntiVir        7.9.0.45        2008.12.22        TR/Dropper.Gen

Authentium        5.1.0.4        2008.12.22        -

Avast        4.8.1281.0        2008.12.21        Win32:Rootkit-gen

AVG        8.0.0.199        2008.12.22        Klone

BitDefender        7.2        2008.12.22        -

CAT-QuickHeal        10.00        2008.12.22        (Suspicious) - DNAScan

ClamAV        0.94.1        2008.12.22        -

Comodo        800        2008.12.22        -

DrWeb        4.44.0.09170        2008.12.22        -

eSafe        7.0.17.0        2008.12.21        Suspicious File

eTrust-Vet        31.6.6271        2008.12.20        -

Ewido        4.0        2008.12.22        -

F-Prot        4.4.4.56        2008.12.22        -

F-Secure        8.0.14332.0        2008.12.22        Worm.Win32.Pinit.gen

Fortinet        3.117.0.0        2008.12.22        -

GData        19        2008.12.22        Win32:Rootkit-gen 

Ikarus        T3.1.1.45.0        2008.12.22        -

K7AntiVirus        7.10.562        2008.12.22        -

Kaspersky        7.0.0.125        2008.12.22        Worm.Win32.Pinit.gen

McAfee        5472        2008.12.22        -

McAfee+Artemis        5472        2008.12.22        -

Microsoft        1.4205        2008.12.22        VirTool:Win32/Obfuscator.DO

NOD32        3712        2008.12.22        a variant of Win32/Kryptik.DA

Norman        5.80.02        2008.12.22        -

Panda        9.0.0.4        2008.12.22        -

PCTools        4.4.2.0        2008.12.22        -

Prevx1        V2        2008.12.22        -

Rising        21.09.02.00        2008.12.22        -

SecureWeb-Gateway        6.7.6        2008.12.22        Trojan.Dropper.Gen

Sophos        4.37.0        2008.12.22        -

Sunbelt        3.2.1809.2        2008.12.22        VIPRE.Suspicious

Symantec        10        2008.12.22        -

TheHacker        6.3.1.4.195        2008.12.20        -

TrendMicro        8.700.0.1004        2008.12.22        -

VBA32        3.12.8.10        2008.12.22        -

ViRobot        2008.12.22.1530        2008.12.22        -

VirusBuster        4.5.11.0        2008.12.22        -

weitere Informationen

File size: 457216 bytes

MD5...: 1cb43a26dd84edea907820f4170d9e1e

SHA1..: 58526139b158ae5b8ebcbbb08d14beee45c87293

SHA256: e11c2096a16f540c40682c1f6c24ffa5dfa40ba2d0e0baf37bedf43d8fe48304

SHA512: b1639a17197436b1212c0b41408cfb51ca21e60a857ca9c8f516c22c70fdb4f5

45208c82f122b60a4c070ab7b584b124db6e274843b2bfa6ebb9e932ddabde0c

ssdeep: 12288:sn+delxih1xUK06PkL0YYMOaEu3Q+NFrE:s+dgQTFSaaD3V7E

PEiD..: -

TrID..: File type identification

Win32 Executable Generic (38.4%)

Win32 Dynamic Link Library (generic) (34.2%)

Clipper DOS Executable (9.1%)

Generic Win/DOS Executable (9.0%)

DOS Executable Generic (9.0%)

PEInfo: PE Structure information
 

( base data )

entrypointaddress.: 0x401010

timedatestamp.....: 0x461110c4 (Mon Apr 02 14:18:44 2007)

machinetype.......: 0x14c (I386)
 

( 3 sections )

name viradd virsiz rawdsiz ntrpy md5

0x1000 0xfc5 0x1000 7.15 c40851a88ea1ba6ea7daec1d6d9d5347

0x2000 0x756 0x800 4.50 a6eca7f886d730da4eae8a3f4d6b9a4f

0x3000 0x23000 0xc600 7.99 a8dbcb908fc9648c23930539b97b6cf4
 

( 3 imports ) 

> KERNEL32.DLL: Sleep, GetProcAddress, VirtualProtect, ExitProcess, IsDebuggerPresent, AddAtomA, OpenSemaphoreA, SetLocaleInfoA, FreeEnvironmentStringsW, SetFilePointer, DeleteFileW, FindNextChangeNotification, InterlockedDecrement, GetCommConfig, GenerateConsoleCtrlEvent, ExpandEnvironmentStringsA, SetLastError, LocalReAlloc, SearchPathW, ScrollConsoleScreenBufferW, WriteConsoleOutputCharacterA, GetTimeFormatA, DeleteAtom, MoveFileW, MoveFileExW, HeapCreate, SetMailslotInfo

> USER32.DLL: IsMenu, GetClassNameA, SetMenuInfo, SetScrollPos, EndTask, DrawIcon, GetMessagePos, LoadStringA, DrawTextW, ShowCursor, SetSysColorsTemp, SwitchToThisWindow, BlockInput, ChildWindowFromPointEx, IsWindowEnabled, GetNextDlgGroupItem, CharUpperA, SetDeskWallpaper, IsClipboardFormatAvailable, ChildWindowFromPoint, EnumDisplaySettingsExW, CreateDialogIndirectParamW, GetParent, UserClientDllInitialize, LookupIconIdFromDirectoryEx, EnumChildWindows, ChangeDisplaySettingsExA, GetKBCodePage, LoadStringW, DrawStateA

> GDI32.DLL: GdiSetBatchLimit, SetWindowOrgEx, CombineTransform, EnumFontFamiliesExA, GetPixelFormat, GetKerningPairsW, GetRasterizerCaps, SetICMProfileW, GetLayout, GetPolyFillMode, CancelDC, EnumFontsA, CreateICA, GetTextCharset, GetDeviceGammaRamp, UpdateICMRegKeyA, ResizePalette, EnumMetaFile, PolyBezier, SetDIBColorTable, GetViewportExtEx
 

 0 exports )

Glück gehabt.

1.) Deaktiviere die Systemwiederherstellung, im Verlauf der Infektion wurden auch Malwaredateien in Wiederherstellungspunkten mitgesichert - die sind alle nun unbrauchbar, da ein Zurücksetzen des System durch einen Wiederherstellungspunkt das System wahrscheinlich wieder infizieren würde.

2.) Blacklight und Malwarebytes Antimalware ausführen und Logfiles posten (Wächter Deines Virenscanner vor dem Scannen deaktivieren!)

3.) ComboFix

Ein Leitfaden und Tutorium zur Nutzung von ComboFix

Lade dir das Tool hier herunter auf den Desktop -> KLICK

Das Programm jedoch noch nicht starten sondern zuerst folgendes tun:

Schliesse alle Anwendungen und Programme, vor allem deine Antiviren-Software und andere Hintergrundwächter, sowie deinen Internetbrowser.
Vermeide es auch explizit während das Combofix läuft die Maus und Tastatur zu benutzen.

Dann folgende Anleitung durchlesen und abarbeiten -> CCleaner Systembereinigung

Starte nun die combofix.exe von deinem Desktop aus, bestätige die Warnmeldungen und lass dein System durchsuchen.

Im Anschluss öffnet sich automatisch eine combofix.txt, diesen Inhalt bitte abkopieren und in deinen Beitrag einfügen. Das log findest du außerdem unter: C:\ComboFix.txt.

Wichtiger Hinweis:

Combofix darf ausschließlich ausgeführt werden wenn ein Kompetenzler dies ausdrücklich empfohlen hat!
Es sollte nie auf eigene Initiative hin ausgeführt werden! Eine falsche Benutzung kann ernsthafte Computerprobleme nach sich ziehen und eine Bereinigung der Infektion noch erschweren.

Hinweis: Combofix verhindert die Autostart Funktion aller CD / DVD und USB - Laufwerken um so eine Verbeitung einzudämmen. Wenn es hierdurch zu Problemen kommt, diese im Thread posten.

Poste alle Logfiles bitte mit Codetags umschlossen (#-Button) also so:

HTML-Code:

[code] Hier das Logfile rein! [/code]

4.) Mach auch ein Filelisting mit diesem script:

Script abspeichern per Rechtsklick, speichern unter auf dem Desktop
Doppelklick auf listing8.cmd auf dem Desktop
nach kurzer Zeit erscheint eine listing.txt auf dem Desktop

Diese listing.txt z.B. bei File-Upload.net hochladen und hier verlinken, da dieses Logfile zu groß fürs Board ist.

5.) Poste ein neues Hijackthis Logfile, nimm dazu diese umbenannte hijackthis.exe
Editiere die Links und privaten Infos!!

ciao, andreas

Ich kann die seiten alle nicht öffnen ...

Versuche mal:

Start => Ausführen => devmgmt.msc eingeben => OK
Menüzeile: Ansicht => Ausgeblendete Geräte anzeigen => Nicht-PNP-Treiber
Sollten dort Treiber angezeigt werden, die mit TDS beginnen, die dann deaktivieren => Rechner neustarten

ciao, andreas

p.s.: Funktioniert der hier? RapidShare: Easy Filehosting

Klappt leider nicht habe 1 davon deaktiviert.