Browser biegt beim surfen zu Primosearch ab, Sicherheitsseiten werden blockiert
 

Hallo Leute,

brauche das erste Mal seit geraumer Zeit Hilfe bei einem Sicherheitsproblem. Mein Browser wird entführt (folge ich bei google weiterführenden Links, lande ich häufig bei Primosearch). Beim Recherchieren, was das sein könnte, fiel mir dann auf, dass sich der Computer bei Downloads von hijackthis und MalwareBytes Anti Malware äußerst sperrig anstellt.

Aufgefallen, dass was nicht stimmt, ist mir Sonntag, als ich auf der Suche nach einem Linkchecker mit "Xenu's Link Sleuth" seit langem mal wieder ein Programm aus dem Internet gezogen habe. Vielleicht tue ich jetzt gerade dem Autor des Programmes Unrecht, und mein System war bereits vorher kontaminiert. Auf jeden Fall ließ sich Xenu installieren, aber nach dem Starten passierte - nichts.
Am Montag dann wurde das erste Mal mein Browser gehijackt (Primosearch begegnet mir beim googlen seitdem immer mal wieder), am Dienstag fiel mir auf, dass ich meinen harmlosen Lieblingseditor "Textpad" nicht mehr öffnen konnte und dass der Taskmanager Dinge zeigt, die ich zuvor noch nicht bewusst wahrgenommen hatte. Mittwoch habe ich dann angefangen, mich mit dem Thema (Google-) Links werde auf andere URL geleitet zu befassen. Auf der Suche nach solchen Programmen wie hijackthis oder MBAM musste ich dann meinen eigenen Rechner überlisten.
Jetzt sitz ich hier vor dem hijackthis Log und mir kommt die Hälfte verdächtig vor. Mag aber auch daran liegen, dass IBM den Rechnern einen Haufen Software mit auf den Weg gibt, von denen ich auch als erfahrener Anwender nicht weiß, was wichtig ist und was nicht.

Hier das hijackthis.log:



Ich konnte dank USB-Stick nach einigen Versuchen auch GMER installieren. Das Logfile hab ich auch, es hat aber 117 kB, deshalb habe ich es mal hierhin gelegt.

Was nicht funktioniert, ist MalwareBytes Anti-Malware durchlaufen zu lassen. Das Programm schließt sich nach wenigen Sekunden (so es sich denn überhaupt öffnen lässt). Hab ich noch nicht erlebt, sowas. Benötige Eure Hilfe. Danke.

Hallo,
erstell bitte Logfiles mit RSIT und OTL:

Systemscan mit OTL

Lade Dir bitte OTL von Oldtimer herunter und speichere es auf Deinem Desktop

• Doppelklick auf die OTL.exe
• Vista User: Rechtsklick auf die OTL.exe und "als Administrator ausführen" wählen
• Oben findest Du ein Kästchen mit Output. Wähle bitte Minimal Output
• Unter Extra Registry, wähle bitte Use SafeList
• Klicke nun auf Run Scan links oben
• Wenn der Scan beendet wurde werden 2 Logfiles erstellt
• Poste die Logfiles hier in den Thread.

Die Logfiles kannst Du auch wieder beim techdeopt hinterlegen wenn Du willst. Oder bei file-upload.net hochladen und hier verlinken.

Gerne, hier OTL1:
otl.txt

OTL2: Extras.txt

RSIT1:
RSIT-info

RSIT2:
RSIT-log.txt

Gruß,
wechselbalg

Hm, keiner ne Idee?

Macht es evtl. Sinn, die Festplatte auszubauen, als externe an den Zweitrechner dran zu stöpseln und dort irgendwelche Tests durchlaufen lasse?

Sorry, hab Deinen Strang übersehen - ich behandel hier auch noch andere Fälle. Ich seh mir Deine Logs mal eben an. :o

Der einzige Eintrag der mir auffiel. War aber nur in einem der OTL-Logs zu sehen.

Fragen:

1. Existiert bei Dir die Datei pxkuzuwjb.exe ? Steht leider kein Pfad da, versuch die mal über die Windows-Suche ausfindig zu machen. Geschützte Systemdateien und versteckte Dateien dabei berücksichtigen
   
2. Wenn die Datei existent ist, kannst Du die bitte bei Virustotal.com auswerten lassen und hier den Ergebnislink posten?

Hi Arne,

jau, die Datei existiert in C:/windows/system32/
Sie ließ sich nur im abgesicherten Modus kopieren.
Die Dateiinfo im Windows-Explorer sagt:
"Find String (grep) Utility, die Datei hat 45 kB und sagt, dass sie vom 14.04.08 stamme.

virustotal sagt:
hier der Link zur virustotal Ergebnisseite

Sieht so aus, als hast Du ein gutes Gespür gehabt, mehrere Virenscanner schlagen an:

Comodo 3070 2009.11.28 TrojWare.Win32.Trojan.Agent.Gen
DrWeb 5.0.0.12182 2009.11.28 Trojan.Siggen.26748
McAfee+Artemis 5816 2009.11.28 Artemis!ADD40079DF20
NOD32 4645 2009.11.28 a variant of Win32/Kryptik.BBM
Prevx 3.0 2009.11.28 Medium Risk Malware
Sophos 4.48.0 2009.11.28 Mal/FakeAV-BT

Was mache ich da jetzt am besten?

Danke Dir.

Lad die Datei mal bei uns hoch => http://www.trojaner-board.de/54791-a...ner-board.html

Danach den Avenger anwenden

Vorbereitungen:
a) Deaktiviere den Hintergrundwächter vom Virenscanner.
b) Stöpsele alle externen Datenträger vom Rechner ab.


Danach:

1.) Lade Dir von hier Avenger als gehweg.exe => File-Upload.net - gehweg.exe auf den Desktop

2.) Doppelklick die Datei "gehweg.exe" aus (unter Vista per Rechtsklick => als Administrator ausführen). Die Haken unten wie abgebildet setzen:

http://mitglied.lycos.de/efunction/tb123/avenger.png

3.) Kopiere Dir exakt die Zeilen aus dem folgenden Code-Feld:
4.) Geh in "The Avenger" nun oben auf "Load Script", dort auf "Paste from Clipboard".

5.) Der Code-Text hier aus meinem Beitrag müsste nun unter "Input Script here" in "The Avenger" zu sehen sein.

6.) Falls dem so ist, klick unten rechts auf "Execute". Bestätige die nächste Abfrage mit "Ja", die Frage zu "Reboot now" (Neustart des Systems) ebenso.

7.) Nach dem Neustart erhältst Du ein LogFile von Avenger eingeblendet. Kopiere dessen Inhalt und poste ihn hier.


Mach anschließend ein Filelisting mit diesem script:

• Script herunterladen, speichern unter auf dem Desktop
• Doppelklick auf listing8.cmd auf dem Desktop
• nach kurzer Zeit erscheint eine listing.txt auf dem Desktop

Diese listing.txt z.B. bei File-Upload.net hochladen und hier verlinken, da dieses Logfile zu groß fürs Board ist.

Hui, es gibt Interessantes zu berichten:
Avenger ließ sich problemlos aufspielen. Ich habe die Codezeilen allerdings nicht kopiert, sondern abgetippt, da nur noch der Zweitrechner ins Internet darf. Avenger startet den Rechner neu, bei IBM kommt dann die Authentifizierung mit Fingerprint, dann kommt "Benutzereinstellungen werden geladen", dann sofort die Meldung "Abmeldung", wie man es vom Benutzerwechsel kennt, dann "Benutzereinstellungen werden gespeichert", und dann fordert mich der Rechner wieder auf, den Finger über den Sensor zu führen (das IBM-Gegenstück zur Anmeldung bei Windows).

Bin also beim normalen Start in einer Endlosschleife gefangen. Gut, ich probiere es mal im Abgesicherten:
Windows-Anmeldung...
Benutzereinstellungen werden geladen...
Abmeldung.
... dann passiert lange nix.
-> Drücken Sie Strg+Alt+Entf, um sich anzumelden.
Scheiße. Ebenfalls Endlosschleife. Nur ohne Fingerprint-Treiber.

Den Avenger kannte unser Freund wohl schon. Schiedsrichter vermeldet: Die Partie endete Remis, und ich muss jetzt wohl ohne Windows auskommen.

Kann folgendes anbieten:
-Abgesicherter Modus mit Eingabeaufforderung (müsste wohl noch gehen, hab ich aber nicht probiert)
-Anmelden als anderer Benutzer. Glaube, ich kann mich noch als "Administrator" anmelden. Vorher war ich Benutzer "Admin" (beide haben Admin-Rechte)

Gruß,
Wechselbalg

PS1: Den Trojaner habe ich Euch hochgeladen.
PS2: Xenu's Link Sleuth wars nicht, habe den Programmierer kontaktiert. Er sagt, das Programm im Downloadbereich seines Server ist noch genau so, wie er es da hingetan habe. Und er verbreite keine Malware. Glaube ich ihm.

Deine Antwort wirft ein paar Fragen auf.

Du darfst Dir den Avenger nicht als "Virenscanner" oder sowas in der Art vorstellen. Das Tool ist einfach nur ein erweiterter Löschapparat wenn man so will, er untersucht keine Dateien sondern arbeitet einfach das Script ab. Ok, der Avenger kann auch noch noch Rootkits scannen, er kann aber in dem Sinn keine Viren erkennen.

Ist das jetzt nur eine Vermutung oder hast Du es ausprobiert?

Wer soll das sein, um welches Programm handelt es sich da? :confused:

ok, habe jetzt auch probiert, mich mit dem User "Administrator" anzumelden. Gleiche Endlosschleife wie bei "Admin".

Xenu ist ein Programm, um eine (in der Regel die eigene) Homepage auf broken links zu scannen. Man kann es seit ewigen Zeiten direkt beim Programmierer runterziehen. Xenu hatte ich letztes Wochenende installiert und es ließ sich anschließend nicht starten. So fiel mir das erste Mal auf, dass was nicht stimmt. Xenu war aber nicht der Übeltäter, sondern nur das erste Opfer.

Aber ich muss etwas beichten: mir ist eben erst eingefallen, dass ich bei meinen Versuchen, Malwarebytes zum Laufen zu bringen, auch MBR vom Desktop aus gestartet hatte. Kanns sein, dass sich evtl. MBR und Avenger nicht vertragen und die Endlosschleife evtl. daher kommt?

Nö, MBR und Avenger vertragen sich. Mir ist da nichts bekannt, dass beim Einsatz dieser beiden Tools es dann zu Endlosschleifen kommt, ich glaube eher das liegt am Löschen der Datei pxkuzuwjb.exe.

Ich hätte da mal ne Idee, besorg Dir mal eine Live-CD (Bart, Knoppix oder PartedMagic) und kopier irgendeine harmlose *.exe-Datei (zB notepad.exe) umbenannt nach
c:\windows\system32\pxkuzuwjb.exe

möglicherweise will der Rechner noch diese pxkuzuwjb.exe starten, weil die aber weg ist, kommt gleich das Abmelden. Von daher will ich mal wissen was passiert, wenn er diese Datei in Form einer umbenannten harmlosen Datei vorfindet ;)

uff - nachdem ich mir eine Dockingstation besorgt habe, konnte ich den Rechner mit alternativem Betriebssystem booten (ist einer ohne CD-ROM. Und die Versuche, ihn mit dem USB-Stick zum Laufen zu bringen, haben schön Zeit gekostet - ohne Resultat, versteht sich...).

Sodele, habe notepad als pxk_sonstwas getarnt und siehe, der Rechner bootet (zu 3/4 jedenfalls), dann geht das Notepad auf und zeigt mir die userinit.exe als Textfile. Der Rechner ist also der felsenfesten Überzeugung, dass diese pxk-virusdatei gebraucht wird und dass userinit.exe mit (oder in?!) diesem Programm geöffnet gehört. Mit unserer Notepad-Fälschung geht das natürlich schief, aber ich sitze vor einem immerhin so weit geladenen Windows, dass ich über Start -> ausführen -> explorer ein betriebsbereites System vor mir habe. Und als wäre nix gewesen, begrüßte mich in dem "von Hand" geladenen Desktop das Logfile vom Avenger. Hier isses:

Ja, und wo die Kiste wieder reagiert, komm ich auch problemlos an das gewünschte Listing aus listing8.

Lässt sich evtl. durch einen Registry-Scan feststellen, wo diese pxk-Datei aufgerufen wird?

Ja das lässt sich feststellen. Ist aber ein rel. unbekannter Schlüssel, ganz schön gemein von den Autoren da was hin zu platzieren. Andererseits find ich das echt grässlich in Windows, wie viele verschiedene Möglichkeiten es gibt, Programme systemweit automatisch zu starten :mad:

Der Eintrag war dieser hier:
"Übersetzt" für die Registry sollte das dieser Schlüssel sein:

Du müsstest dort wahrscheinlich einen Schlüssel (Ordnersymbol) mit dem gleichen Namen der Datei (pxkuzuwjb.exe) finden.
Wahrscheinlicher ist aber, dass da im Schlüssel "userinit.exe" ein Wert namens Debugger mit dem Inhalt 'pxkuzuwjb.exe' existiert. Diesen löschen. Du kannst die Registry doch öffnen oder?