Google-Links führen zu Werbeseiten
 

Hallo erstmal,

ich habe ein Problem mit meinem Rechner und wende mich an dieses Forum, da es auf mich den besten und kompetentesten Eindruck gemacht hat.

Ich habe ein Problem, das schon vielfach im Internet beschrieben wird, aber wozu ich keine allgemein gültige Lösungsstrategie finden konnte (deshalb hoffe ich, ich werde nich gleich zerrissen, weil es das Problem schon gibt). Google öffnet häufig falsche Links in Pop-ups, die mich auf Werbeseiten (wie Preissuchmaschinen) führen. Was ich jedoch gesehen habe, dass immer dazu geraten wurde, den Hijack-Scan zu posten, was ich an dieser Stelle auch tue. Komischerweise habe ich vor einigen Tagen C: formatiert (meine einzige Partition) und Windows XP neu installiert und trotzdem habe ich das Problem noch. Ich hoffe, mir kann jemand helfen. Vielen Dank schonmal.

Logfile of Trend Micro HijackThis v2.0.4
Scan saved at 11:33:26, on 14.11.2010
Platform: Windows XP SP3 (WinNT 5.01.2600)
MSIE: Internet Explorer v8.00 (8.00.6001.18702)
Boot mode: Normal

Running processes:
C:\WINDOWS\system32\Ati2evxx.exe
C:\WINDOWS\Explorer.EXE
C:\WINDOWS\ehome\ehtray.exe
C:\Programme\ATI Technologies\ATI.ACE\cli.exe
C:\Programme\Avira\AntiVir Desktop\avgnt.exe
C:\Programme\Creative\Sound Blaster X-Fi\Console Launcher\CTAPR2.exe
C:\Programme\Creative\Sound Blaster X-Fi\Volume Panel\VolPanlu.exe
C:\WINDOWS\system32\Rundll32.exe
C:\Programme\Adobe\Reader 9.0\Reader\Reader_sl.exe
C:\Programme\iTunes\iTunesHelper.exe
C:\WINDOWS\system32\ctfmon.exe
C:\Programme\Internet Explorer\iexplore.exe
C:\Programme\Internet Explorer\iexplore.exe
C:\Programme\ATI Technologies\ATI.ACE\cli.exe
C:\Programme\ATI Technologies\ATI.ACE\cli.exe
C:\Dokumente und Einstellungen\******\Desktop\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = hxxp://www.gmx.net/
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = hxxp://go.microsoft.com/fwlink/?LinkId=69157
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = hxxp://go.microsoft.com/fwlink/?LinkId=54896
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = hxxp://go.microsoft.com/fwlink/?LinkId=54896
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = hxxp://go.microsoft.com/fwlink/?LinkId=69157
O2 - BHO: AcroIEHelperStub - {18DF081C-E8AD-4283-A596-FA578C2EBDC3} - C:\Programme\Gemeinsame Dateien\Adobe\Acrobat\ActiveX\AcroIEHelperShim.dll
O4 - HKLM\..\Run: [ehTray] C:\WINDOWS\ehome\ehtray.exe
O4 - HKLM\..\Run: [ATICustomerCare] "C:\Programme\ATI\ATICustomerCare\ATICustomerCare.exe"
O4 - HKLM\..\Run: [ATICCC] "C:\Programme\ATI Technologies\ATI.ACE\cli.exe" runtime -Delay
O4 - HKLM\..\Run: [avgnt] "C:\Programme\Avira\AntiVir Desktop\avgnt.exe" /min
O4 - HKLM\..\Run: [CTAPR2] "C:\Programme\Creative\Sound Blaster X-Fi\Console Launcher\CTAPR2.exe" /r
O4 - HKLM\..\Run: [VolPanel] "C:\Programme\Creative\Sound Blaster X-Fi\Volume Panel\VolPanlu.exe" /r
O4 - HKLM\..\Run: [SPIRun] Rundll32 SPIRun.dll,RunDLLEntry
O4 - HKLM\..\Run: [Adobe Reader Speed Launcher] "C:\Programme\Adobe\Reader 9.0\Reader\Reader_sl.exe"
O4 - HKLM\..\Run: [Adobe ARM] "C:\Programme\Gemeinsame Dateien\Adobe\ARM\1.0\AdobeARM.exe"
O4 - HKLM\..\Run: [QuickTime Task] "C:\Programme\QuickTime\QTTask.exe" -atboottime
O4 - HKLM\..\Run: [iTunesHelper] "C:\Programme\iTunes\iTunesHelper.exe"
O4 - HKLM\..\RunOnce: [KB923561] rundll32.exe apphelp.dll,ShimFlushCache
O4 - HKLM\..\RunOnce: [KB955759] rundll32.exe apphelp.dll,ShimFlushCache
O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\ctfmon.exe
O4 - HKCU\..\Run: [QuickTime Task] "C:\Programme\QuickTime\QTTask.exe" -atboottime
O4 - HKUS\S-1-5-18\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'SYSTEM')
O4 - HKUS\.DEFAULT\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'Default user')
O9 - Extra button: (no name) - {e2e2dd38-d088-4134-82b7-f2ba38496583} - C:\WINDOWS\Network Diagnostic\xpnetdiag.exe
O9 - Extra 'Tools' menuitem: @xpsp3res.dll,-20001 - {e2e2dd38-d088-4134-82b7-f2ba38496583} - C:\WINDOWS\Network Diagnostic\xpnetdiag.exe
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe
O16 - DPF: {D27CDB6E-AE6D-11CF-96B8-444553540000} (Shockwave Flash Object) - hxxp://fpdownload2.macromedia.com/get/shockwave/cabs/flash/swflash.cab
O16 - DPF: {D4B68B83-8710-488B-A692-D74B50BA558E} (Creative Software AutoUpdate Support Package) - hxxp://ccfiles.creative.com/Web/softwareupdate/ocx/15113/CTPIDPDE.cab
O16 - DPF: {E2883E8F-472F-4FB0-9522-AC9BF37916A7} - hxxp://platformdl.adobe.com/NOS/getPlusPlus/1.6/gp.cab
O16 - DPF: {F6ACF75C-C32C-447B-9BEF-46B766368D29} (Creative Software AutoUpdate Support Package) - hxxp://ccfiles.creative.com/Web/softwareupdate/ocx/15113/CTPID.cab
O22 - SharedTaskScheduler: Browseui preloader - {438755C2-A8BA-11D1-B96B-00A0C90312E1} - C:\WINDOWS\system32\browseui.dll
O22 - SharedTaskScheduler: Component Categories cache daemon - {8C7461EF-2B13-11d2-BE35-3078302C2030} - C:\WINDOWS\system32\browseui.dll
O23 - Service: Avira AntiVir Planer (AntiVirSchedulerService) - Avira GmbH - C:\Programme\Avira\AntiVir Desktop\sched.exe
O23 - Service: Avira AntiVir Guard (AntiVirService) - Avira GmbH - C:\Programme\Avira\AntiVir Desktop\avguard.exe
O23 - Service: Apple Mobile Device - Apple Inc. - C:\Programme\Gemeinsame Dateien\Apple\Mobile Device Support\AppleMobileDeviceService.exe
O23 - Service: Ati HotKey Poller - ATI Technologies Inc. - C:\WINDOWS\system32\Ati2evxx.exe
O23 - Service: ATI Smart - Unknown owner - C:\WINDOWS\system32\ati2sgag.exe
O23 - Service: Dienst "Bonjour" (Bonjour Service) - Apple Inc. - C:\Programme\Bonjour\mDNSResponder.exe
O23 - Service: Creative Audio Engine Licensing Service - Creative Labs - C:\Programme\Gemeinsame Dateien\Creative Labs Shared\Service\CTAELicensing.exe
O23 - Service: Creative Audio Service (CTAudSvcService) - Creative Technology Ltd - C:\Programme\Creative\Shared Files\CTAudSvc.exe
O23 - Service: iPod-Dienst (iPod Service) - Apple Inc. - C:\Programme\iPod\bin\iPodService.exe

--
End of file - 5447 bytes

:hallo:

Eine Bereinigung ist mitunter mit viel Arbeit für Dich verbunden.

• Bitte arbeite alle Schritte der Reihe nach ab.
• Lese die Anleitungen sorgfältig. Sollte es Probleme geben, bitte stoppen und hier so gut es geht beschreiben.
• Nur Scanns durchführen zu denen Du von einem Helfer aufgefordert wirst.
• Bitte kein Crossposting ( posten in mehreren Foren).
• Installiere oder Deinstalliere während der Bereinigung keine Software ausser Du wurdest dazu aufgefordert.
• Lese Dir die Anleitung zuerst vollständig durch. Sollte etwas unklar sein, frage bevor Du beginnst.
• Poste die Logfiles direkt in deinen Thread. Nicht anhängen ausser ich fordere Dich dazu auf. Erschwert mir nämlich das auswerten.

Hinweis: Ich kann Dir niemals eine Garantie geben, dass ich auch alles finde. Eine Formatierung ist meist der Schnellere und immer der sicherste Weg.
Solltest Du Dich für eine Bereinigung entscheiden, arbeite solange mit, bis dir jemand vom Team sagt, dass Du clean bist.

Vista und Win7 User
Alle Tools mit Rechtsklick "als Administrator ausführen" starten.

Schritt 1

CustomScan mit OTL

Falls noch nicht vorhanden, lade Dir bitte OTL von Oldtimer herunter und speichere es auf Deinem Desktop

• Starte bitte die OTL.exe.
  Vista und Win7 User mit Rechtsklick "als Administrator starten"
• Kopiere nun den Inhalt in die http://larusso.trojaner-board.de/Images/otlfix.jpg Textbox.

• Schliesse bitte nun alle Programme. (Wichtig)
• Klicke nun bitte auf den Quick Scan Button.
• Klick auf http://larusso.trojaner-board.de/Images/otlfix2.jpg.
• Kopiere nun den Inhalt aus OTL.txt und Extra.txt hier in Deinen Thread

Schritt 2

Rootkit-Suche mit Gmer

Was sind Rootkits?

Wichtig: Bei jedem Rootkit-Scans soll/en:

• Deaktiviere zunächst nach dieser Anleitung evtl. vorhandene CD-Emulatoren wie Alcohol, Daemon-Tools oder ähnliche.
• Alle anderen Programme gegen Viren, Spyware, usw. deaktiviert sein,
• keine Verbindung zu einem Netzwerk/Internet bestehen (WLAN nicht vergessen),
• nichts am Rechner getan werden,
• nach jedem Scan der Rechner neu gestartet werden.
• Nicht vergessen, nach dem Rootkit-Scan die Security-Programme wieder einzuschalten!

Lade Dir Gmer von dieser Seite herunter
(auf den Button Download EXE drücken) und das Programm auf dem Desktop speichern.

• Alle anderen Programme sollen geschlossen sein.
• Starte gmer.exe (hat einen willkürlichen Programm-Namen).
• Vista-User mit Rechtsklick und als Administrator starten.
• Gmer startet automatisch einen ersten Scan.
• Sollte sich ein Fenster mit folgender Warnung öffnen:
  
  Code:

  ---

  WARNING !!!
GMER has found system modification, which might have been caused by ROOTKIT activity.
Do you want to fully scan your system?

  ---

• Unbedingt auf "No" klicken,
  in dem Fall über den Save-Button das bisherige Resultat auf dem Desktop als gmer_first.log speichern.
  
  .
  
• Falls das nicht der Fall war, wähle nun den Reiter "Rootkit/Malware",
• Hake an: System, Sections, Devices, Modules, Processes, Threads, Libraries, Services, Registry und Files.
• Wichtig: "Show all" darf nicht angehakt sein!
• Starte den Scan durch Drücken des Buttons "Scan".
  Mache nichts am Computer während der Scan läuft (unten links wird angezeigt, was gerade gescannt wird).
• Wenn der Scan fertig ist, bleibt die Zeile leer.
  Kllicke auf "Save" und speichere das Logfile als gmer.log auf dem Desktop.
  Mit "Ok" wird Gmer beendet.

Antiviren-Programm und sonstige Scanner wieder einschalten, bevor Du ins Netz gehst!

Nun das Logfile in Code-Tags posten.

Hallo,

vielen Dank für die ausführliche Hilfe! Also:

Extras.txt:OTL Logfile:
--- --- ---

OTL.txt:OTL Logfile:
--- --- ---

Und den GMER-Log soll ich in dem verlinkten Thread posten? Oder hier? Falls hier:

GMER.log:

GMER Logfile:
--- --- ---

Ich hoffe, ich mache nicht allzu viel Mühe.

Schritt 1

Downloade Dir bitte Malwarebytes

• Installiere das Programm in den vorgegebenen Pfad.
  Vista und Win7 User mit Rechtsklick "als Administrator starten"
• Starte Malwarebytes, klicke auf Aktualisierung --> Suche nach Aktualisierung
• Wenn das Update beendet wurde, aktiviere Quick-Scan durchführen und drücke auf Scannen.
• Wenn der Scan beendet ist, klicke auf Ergebnisse anzeigen.
• Versichere Dich, dass alle Funde markiert sind und drücke Entferne Auswahl.
• Poste das Logfile, welches sich in Notepad öffnet, hier in den Thread.
• Nachträglich kannst du den Bericht unter "Log Dateien" finden.

Schritt 2

ESET Online Scanner

Bitte während der Online-Scans evtl. vorhandene externe Festplatten einschalten! Bitte während der Scans alle Hintergrundwächter (Anti-Virus-Programm, Firewall, Skriptblocking und ähnliches) abstellen und nicht vergessen, alles hinterher wieder einzuschalten.

• Anmerkung für Vista und Win7 User: Bitte den Browser unbedingt als Administrator starten.
• Dein Anti-Virus-Programm während des Scans deaktivieren.
  
  Button http://img695.imageshack.us/img695/1599/eset1l.jpg (<< klick) drücken.
  
  • Firefox-User:
    Bitte esetsmartinstaller_enu.exe downloaden.Das Firefox-Addon auf dem Desktop speichern und dann installieren.
  • IE-User:
    müssen das Installieren eines ActiveX Elements erlauben.
• Setze den einen Hacken bei Yes, i accept the Terms of Use.
• Drücke den http://img707.imageshack.us/img707/687/starteg.jpg Button.
• Warte bis die Komponenten herunter geladen wurden.
• Setze einen Haken bei "Scan archives".
• Gehe sicher das bei Remove Found Threads kein Hacken gesetzt ist.
• http://img707.imageshack.us/img707/687/starteg.jpg drücken.
• Die Signaturen werden herunter geladen.Der Scan beginnt automatisch.

Wenn der Scan beendet wurde

• Klicke Finish.
• Browser schließen.
• Explorer öffnen.
• C:\Programme\Eset\EsetOnlineScanner\log.txt suchen und mit Deinem Editor öffnen.
• Logfile hier posten.

Malwarebytes:

Malwarebytes' Anti-Malware 1.46
www.malwarebytes.org

Datenbank Version: 4052

Windows 5.1.2600 Service Pack 3
Internet Explorer 8.0.6001.18702

15.11.2010 12:51:41
mbam-log-2010-11-15 (12-51-41).txt

Art des Suchlaufs: Quick-Scan
Durchsuchte Objekte: 120890
Laufzeit: 5 Minute(n), 30 Sekunde(n)

Infizierte Speicherprozesse: 0
Infizierte Speichermodule: 0
Infizierte Registrierungsschlüssel: 0
Infizierte Registrierungswerte: 0
Infizierte Dateiobjekte der Registrierung: 0
Infizierte Verzeichnisse: 0
Infizierte Dateien: 0

Infizierte Speicherprozesse:
(Keine bösartigen Objekte gefunden)

Infizierte Speichermodule:
(Keine bösartigen Objekte gefunden)

Infizierte Registrierungsschlüssel:
(Keine bösartigen Objekte gefunden)

Infizierte Registrierungswerte:
(Keine bösartigen Objekte gefunden)

Infizierte Dateiobjekte der Registrierung:
(Keine bösartigen Objekte gefunden)

Infizierte Verzeichnisse:
(Keine bösartigen Objekte gefunden)

Infizierte Dateien:
(Keine bösartigen Objekte gefunden)



ESET:

ESETSmartInstaller@High as CAB hook log:
OnlineScanner.ocx - registred OK
# version=7
# IEXPLORE.EXE=8.00.6001.18702 (longhorn_ie8_rtm(wmbla).090308-0339)
# OnlineScanner.ocx=1.0.0.6211
# api_version=3.0.2
# EOSSerial=9a054a19b876194ca3d65cd78107650b
# end=finished
# remove_checked=false
# archives_checked=true
# unwanted_checked=true
# unsafe_checked=false
# antistealth_checked=true
# utc_time=2010-11-15 12:52:08
# local_time=2010-11-15 01:52:08 (+0100, Westeuropäische Normalzeit)
# country="Germany"
# lang=1033
# osver=5.1.2600 NT Service Pack 3
# compatibility_mode=1797 16775141 100 93 244510 26356394 238481 0
# compatibility_mode=8192 67108863 100 0 4211 4211 0 0
# scanned=69984
# found=0
# cleaned=0
# scan_time=2354

Combofix darf ausschließlich ausgeführt werden, wenn ein Kompetenzler dies ausdrücklich empfohlen hat!
Es sollte nie auf eigene Initiative hin ausgeführt werden! Eine falsche Benutzung kann ernsthafte Computerprobleme nach sich ziehen und eine Bereinigung der Infektion noch erschweren.

Lade ComboFix von einem der unten aufgeführten Links herunter. Du musst diese umbenennen, bevor Du es auf den Desktop speicherst. Speichere ComboFix auf deinen Desktop.

• BleepingComputer
• ForoSpyware

**NB: Es ist wichtig, das ComboFix.exe auf dem Desktop gespeichert wird**

http://i266.photobucket.com/albums/i...ownload_FF.gif

http://i94.photobucket.com/albums/l8...x-Download.png

• Deaktivere Deine Anti-Virus- und Anti-Spyware-Programme. Normalerweise kannst Du dies über einen Rechtsklick auf das Systemtray-Icon tun. Die Programme könnten sonst eventuell unsere Programme bei deren Arbeit stören.
• Doppel-klicke auf ComboFix.exe und folge den Aufforderungen.
  • Wenn ComboFix fertig ist, wird es ein Log für dich erstellen.
  • Bitte poste mir den Inhalt von C:\ComboFix.txt hier in de Thread.

Und hier mein Combo-Fix-Log:

Combofix Logfile:
--- --- ---

Schritt 1

Recovery Console installieren

• Lege die Windows XP CD ein.
• Start->Ausführen->X:\i386\winnt32.exe /cmdcons (X durch den Buchstaben vom CD Laufwerk ersetzten)->Ok
• Stimme der folgenden Frage, ob du die Recovery Console installieren möchtest, mit Yes zu.
• Klick nach Beendigung der Installation Ok und nimm die XP CD aus dem Laufwerk.

Schritt 2

Combofix mit Skript laufen lassen

• Denke daran, während des Laufs von Combofix Dein Antiviren-Programm temporär abzustellen.
  Danach wieder anstellen nicht vergessen!
• Wichtig: Bewege nicht die Maus über das ComboFix-Fenster oder klicke in dieses hinein.
  Dies kann dazu führen, dass ComboFix sich aufhängt.

Anwendung

1. Öffne notepad (Start => Ausführen => notepad (reinschreiben) => ok) oder einen Editor Deiner Wahl und kopiere alles aus der nachfolgenden Codebox in ein leeres Dokument:
   
   Code:

   ---

   KillAll::

RegNull::
[HKEY_LOCAL_MACHINE\software\Classes\CLSID\{A483C63A-CDBC-426E-BF93-872502E8144E}]

[HKEY_LOCAL_MACHINE\software\Classes\CLSID\{A483C63A-CDBC-426E-BF93-872502E8144E}\Elevation]

[HKEY_LOCAL_MACHINE\software\Classes\CLSID\{A483C63A-CDBC-426E-BF93-872502E8144E}\TypeLib]

[HKEY_LOCAL_MACHINE\software\Classes\Interface\{E3F2C3CB-5EB8-4A04-B22C-7E3B4B6AF30F}]

[HKEY_LOCAL_MACHINE\software\Classes\Interface\{E3F2C3CB-5EB8-4A04-B22C-7E3B4B6AF30F}\ProxyStubClsid32]

[HKEY_LOCAL_MACHINE\software\Classes\Interface\{E3F2C3CB-5EB8-4A04-B22C-7E3B4B6AF30F}\TypeLib]

   ---

2. Speichere dies als CFScript.txt auf Deinem Desktop. Achte darauf, dass bei Dateityp "All types" aktiv ist.
   .
   http://i94.photobucket.com/albums/l8...Script_ani.gif
   .
3. In Bezug auf obiges Bild, ziehe CFScript.txt in die ComboFix.exe
4. Wenn ComboFix fertig ist, wird es ein Log erstellen, C:\ComboFix.txt.
   Unbedingt warten, bis sich das Combofix-Fenster geschlossen hat und das Logfile im Editor erscheint.
   Bitte füge es hier als Antwort ein.

Hinweis für Mitleser: Obiges Combofix-Script ist ausschließlich für diesen User in dieser Situtation erstellt worden.
Auf keinen Fall auf anderen Rechnern anwenden, das kann andere Systeme nachhaltig schädigen!

Combofix Logfile:
--- --- ---

Mach einmal eine Rückmeldung wie es läuft. Ich nehme an die Pop Ups kommen noch? Bei IE oder FF oder beiden?

Ich benutze nur den IE 8 zum sufen. Das Problem besteht leider weiterhin. Ob ein Fortschritt zu verzeichnen ist, kann ich leider nicht beurteilen, da ich ja im Prinzip keine Ahnung habe, was ich genau gemacht habe.

Wirst Du auch weitergeleitet. Das heisst wenn Du bei goolge auf einen Link klickst, geht es dann auf eine andere Seite?

Schritt 1

Proxy deaktivieren

IE => Extras => Internetoptionen => Verbindungen => Lan-Einstellungen
Haken bei Proxyserver für LAN verwenden und Proxyserver für lokale Adressen umgehen entfernen

Firefox => Extras => Einstellungen => Erweitert => Netzwerk => Einstellungen.
Dort unter Verbindungs-Einstellungen => Kein Proxy anhaken.

Schritt 2

Rkill anwenden

• Download rkill.com auf den Desktop Desktop.
• Starte per Doppelklick rkill.com und führe das Programm aus (kann etwas dauern)…
• Am Ende wird das schwarze Fenster von rkill.com automatisch geschlossen.
• Wenn eine Meldung von Deiner Sicherheitslösung kommt rkill.com sei Malware, erlaube rkill.com als „Ausnahme“.
• Bitte poste mir das Logfile.

Schritt 3

• Kaspersky Online Scanner

Bitte während der Online-Scans evtl. vorhandene externe Festplatten einschalten! Bitte während der Scans alle Hintergrundwächter (Anti-Virus-Programm, Firewall, Skriptblocking und ähnliches) abstellen und nicht vergessen, alles hinterher wieder einzuschalten.

• Anmerkung für Vista und Win7 User: Bitte den Browser unbedingt als Administrator starten.
• Bitte während des Scans alle Hintergrundwächter abstellen/deaktivieren.
• Java muss installiert, aktiv und erlaubt sein.
• Bebilderte Anleitung von sundavis.
• Dieser Scanner entfernt die Funde nicht, gibt aber einen guten Überblick.
• Wir werden Dir helfen, die Funde manuell vom System zu entfernen.
• Die Datenschutzerklärung akzeptieren.
• Programm installieren lassen.
• Update der Signaturen installieren lassen.
• Wenn der Status "Complete" ist,
• Scan-Einstellungen (Settings) Standard lassen
• Links den Link "My Computer" anklicken.
• Scan beginnt automatisch.
• Wenn der Scan fertig ist, auf "View scan report" klicken,
• "Save report as" und Dateityp auf .txt umstellen,
• und auf dem Desktop als Kaspersky.txt speichern.
• Logdatei hier posten.
• Deinstallation ist nicht nötig, alle Dateien werden in temporären Ordnern gespeichert.

Schon mal das rkill logfile, obwohl ich mir nicht sicher bin, ob das so richtig ist, weil so gut wie nichts drin steht:

This log file is located at C:\rkill.log.
Please post this only if requested to by the person helping you.
Otherwise you can close this log when you wish.
Ran as Admin on 15.11.2010 at 22:47:52.


Services Stopped:


Processes terminated by Rkill or while it was running:


C:\Dokumente und Einstellungen\Admin\Desktop\rkill.com


Rkill completed on 15.11.2010 at 22:47:55.

War bei Schritt 1 das mit Proxy angehackt?

Ähm nein, ich dachte, bei beiden Optionen hacken entfernen. Mit Haken bei Proxy-Server kommt das bei raus.

This log file is located at C:\rkill.log.
Please post this only if requested to by the person helping you.
Otherwise you can close this log when you wish.
Ran as Admin on 15.11.2010 at 22:53:01.


Services Stopped:


Processes terminated by Rkill or while it was running:


C:\Dokumente und Einstellungen\Admin\Lokale Einstellungen\Temporary Internet Files\Content.IE5\Z6P35RUR\JavaSetup6u22[1].exe
C:\Dokumente und Einstellungen\Admin\Desktop\rkill.com


Rkill completed on 15.11.2010 at 22:53:04.

Nein nicht setzen :) Ich wollte nur wissen ob die Hacken gesetzt waren oder nicht. Diese sollten NICHT gesetzt sein.

Ach so, alles klar. Es tut mir leid, aber ich muss jetzt leider aufhören mich, damit zu beschäftigen, obwohl du wahrscheinlich auch froh bist, dich mal um deine eigenen Sachen kümmern zu können :-). Schon mal vielen Dank, ich hoffe, ich werde mit deiner Hilfe noch irgendwie ein erfolgreiches Resultat erreichen können! Morgen werde ich den Kaspersky-Scan durchführen.

Ok. Dann melde Dich nach dem Scan. Die Hoffnig stirbt als Malwarekrieger zuletzt :)

Vor dem Scan mit Malwarebytes bitte noch das Programm updaten!!

Also: Das Update von Malwarebytes funktioniert nicht (Fehlermeldung: "Ein Fehler ist aufgetreten, bitte geben Sie den folgenden Fehlercode an das Malwwarebytes's Antimalware Support-Team weiter. MBAM_ERROR_UPDATING (12007, 0, WinHttpSendRequest)" (auch mit deaktiviertem AntiVir)) und den Kaspersky Online Scanner kann ich nicht wirklich benutzen, da meine Internetverbindung sehr langsam ist (maxiaml DSL 2000, aber irgendwie auch oft langsamer), sodass ich beispielsweise beim Update für ca. 100 MB eine knappe Stunde davor saß und es dann eine Fehlermeldung gab, weil die Internetverbindung abbrach.

Hast Du Malwarebytes entfernt und neu geladen?

Nimm anstatt Kasperksy den Panda Scan:

• Panda
• Panda (ohne Registrierung)
  • Unterstützte Betriebssysteme: Windows 2000/XP (32- und 64-Bit)/Vista (32 und 64-Bit)
  • Voraussetzung: Internet Explorer 5.01 oder höher
  • Anmerkung für Vista-User: Bitte den Browser unbedingt als Administrator starten.
  • Du musst Dich registrieren - Newsletter abhaken!
  • Kompletter Scan anhaken und auf den grünen Button "Jetzt scannen" klicken.
    • Bei Nutzung über Mozilla Firefox:
    • ActiveScan 2.0 heruntergeladen.
    • ActiveScan 2.0 installieren.
    • Scan starten.
    • Bei Nutzung über Internet Explorer:
    • ActiveX-Steuerelemente erlauben.
    • ActiveX-Steuerelement installieren lassen,
    • die Signaturen werden heruntergeladen, ebenfalls installieren lassen.
    • Der Scan startet automatisch.
  • Am Ende des Scans die Funde über den Link "Anzeigen" einblenden lassen, kopieren und hier posten.
  • Das ist wichtig, denn Panda entfernt die Funde nur in der kostenpflichtigen Version.
  • Der Helfer vom Forum wird Dir helfen, die Funde zu entfernen.
  • 
    http://www.hijackthis-forum.de/attac...5&d=1211975179
  • Im Fall von Problemen bitte zunächst die FAQ lesen.
  • Deinstallation:
  • Das Programm wird nach C:\Programme\PandaSecurity\ActiveScan 2.0 installiert.
  • Das Programm über Systemsteuerung => Software (Panda ActiveScan) deinstallieren.

Es gibt Neuigkeiten. Ich denke sogar ganz positive, denn es wurden 14 Dateien gefunden.

;***************************************************************************************************************************************************** ******************************
ANALYSIS: 2010-11-16 23:26:09
PROTECTIONS: 1
MALWARE: 14
SUSPECTS: 0
;***************************************************************************************************************************************************** ******************************
PROTECTIONS
Description Version Active Updated
;===================================================================================================================================================== ==============================
AntiVir Desktop 10.0.1.52 Yes Yes
;===================================================================================================================================================== ==============================
MALWARE
Id Description Type Active Severity Disinfectable Disinfected Location
;===================================================================================================================================================== ==============================
00139061 Cookie/Doubleclick TrackingCookie No 0 Yes No c:\dokumente und einstellungen\admin\cookies\admin@doubleclick[1].txt
00139061 Cookie/Doubleclick TrackingCookie No 0 Yes No c:\dokumente und einstellungen\******\cookies\******@doubleclick[1].txt
00139064 Cookie/Atlas DMT TrackingCookie No 0 Yes No c:\dokumente und einstellungen\******\cookies\******@atdmt[1].txt
00145393 Cookie/Tradedoubler TrackingCookie No 0 Yes No c:\dokumente und einstellungen\******\cookies\******@tradedoubler[1].txt
00145457 Cookie/FastClick TrackingCookie No 0 Yes No c:\dokumente und einstellungen\******\cookies\******@fastclick[1].txt
00145738 Cookie/Mediaplex TrackingCookie No 0 Yes No c:\dokumente und einstellungen\******\cookies\******@mediaplex[2].txt
00167704 Cookie/Xiti TrackingCookie No 0 Yes No c:\dokumente und einstellungen\******\cookies\******@xiti[1].txt
00168056 Cookie/YieldManager TrackingCookie No 0 Yes No c:\dokumente und einstellungen\******\cookies\******@ad.yieldmanager[1].txt
00168061 Cookie/Apmebf TrackingCookie No 0 Yes No c:\dokumente und einstellungen\******\cookies\******@apmebf[2].txt
00168090 Cookie/Serving-sys TrackingCookie No 0 Yes No c:\dokumente und einstellungen\******\cookies\******@serving-sys[2].txt
00168093 Cookie/Serving-sys TrackingCookie No 0 Yes No c:\dokumente und einstellungen\******\cookies\******@bs.serving-sys[2].txt
00168109 Cookie/Adtech TrackingCookie No 0 Yes No c:\dokumente und einstellungen\******\cookies\******@adtech[1].txt
00168110 Cookie/Server.iad.Liveperson TrackingCookie No 0 Yes No c:\dokumente und einstellungen\******\cookies\******@server.iad.liveperson[1].txt
00170304 Cookie/WebtrendsLive TrackingCookie No 0 Yes No c:\dokumente und einstellungen\******\cookies\******@statse.webtrendslive[1].txt
00207936 Cookie/Adviva TrackingCookie No 0 Yes No c:\dokumente und einstellungen\******\cookies\******@adviva[2].txt
;===================================================================================================================================================== ==============================
SUSPECTS
Sent Location
;===================================================================================================================================================== ==============================
;===================================================================================================================================================== ==============================
VULNERABILITIES
Id Severity Description
;===================================================================================================================================================== ==============================
;===================================================================================================================================================== ==============================

Das sind aber lediglich Cookies :) Also nichts schlimmes.

Ich werde mich morgen wieder melden. Liege krank im Bett und mag kaum in den Bildschirm schauen :(

Oh, das tut mir leid. Dann wünsche ich erstmal gute Besserung, denn die Gesundheit geht schließlich vor!

Versuche jetzt Malwarebytes zu entfernen und dann lade es neu und mache ein Update und scanne.

So, ich habe Malwarebytes deinstalliert und die neuste Version heruntergeladen und istalliert, aber das Update funktioniert dennoch nicht. Auch mit der neu heruntergeladenen Version, findet das Programm nichts (aber evtl. sind in dem aktuellen Download auch nicht alle Updates inbegriffen).

Ich war immernoch im Bett mit starker Angina.

Schritt 1

Erneuter Systemscan mit OTL

• Doppelklick auf die OTL.exe
• Vista User: Rechtsklick auf die OTL.exe und "als Administrator ausführen" wählen
• Oben findest Du ein Kästchen mit Output. Wähle bitte Minimal Output
• Unter Extra Registry, wähle bitte Use SafeList
• Klicke nun auf Run Scan links oben
• Wenn der Scan beendet wurde werden 2 Logfiles erstellt
• Poste die Logfiles in Code-Tags hier in den Thread.

OTL.txt

OTL Logfile:
--- --- ---

Extras.txt

OTL EXTRAS Logfile:
--- --- ---

Schritt 1

• Starte bitte die OTL.exe.
  Vista und Win7 User mit Rechtsklick "als Administrator starten"
• Kopiere nun den Inhalt in die http://larusso.trojaner-board.de/Images/otlfix.jpg Textbox.

• Schliesse bitte nun alle Programme.
• Klicke nun bitte auf den Fix Button.
• Klick auf http://larusso.trojaner-board.de/Images/otlfix2.jpg.
• OTL kann gegebenfalls einen Neustart verlangen. Bitte dies zulassen.
• Nach dem Neustart findest Du ein Textdokument auf deinem Desktop.
  ( Auch zu finden unter C:\_OTL\MovedFiles\<time_date>.txt)
  Kopiere nun den Inhalt hier in Deinen Thread

Und, wirst Du noch umgeleitet?

Ja, leider immer noch!

Gehst Du über einen Router? Falls ja, dann resete diesen bitte einmal.

Ja, wir benutzen einen Router. Ich kann vielleicht die Angaben noch etwas präzisieren: Auf unserem zweiten Rechner treten die Symptome seit ein paar Tagen auch auf und gestern ist sogar auf meinem iPod touch ein Werbe-Pop-Up aufgegangen, was evtl. dafür sprechen würde, dass der Router und nicht der Rechner verantwortlich ist (oder gibt es Viren für den iPod touch?).

Ich probiere mal ihn zu resetten.

Ja genau aus diesem Grund sollst Du einmal den router reseten und dringend das Passwort ändern.

Hörte sich vielversprechend an, hat aber nichts bewirkt.

Schritt 1

MBR mit MBRCheck prüfen

Lade MBRCheck.exe herunter und speichere das Tool auf deinem Desktop (nicht woanders hin).
XP Benutzer: Doppelklick auf die MBRCheck.exe, um das Tool zu starten.
Vista und Windows 7 Benutzer: Rechtsklick auf die MBRCheck.exe und Als Administrator starten wählen.
Es wird sich ein Eingabe-Fenster mit einigen Angaben öffnen.

Wenn der Scan beendet ist, was mit Done! gemeldet wird, klicke Enter, um das Eingabe-Fenster zu schließen.
Poste mir den Inhalt von MBRCheck_<datum>.txt vom Desktop hier in den Thread.

Schritt 2

Kontrolle mit MBR -t, ob Master Boot Record in Ordnung ist (MBR-Rootkit)

• Downloade die MBR.exe von Gmer und
  kopiere die Datei mbr.exe in den Ordner C:\Windows\system32.
  Falls Du den Ordner nicht sehen kannst, diese Einstellungen in den Ordneroptionen vornehmen.
• Start => ausführen => cmd (da reinschreiben) => OK
  es öffnet sich eine Eingabeaufforderung.
  
  Nach dem Prompt (>_) folgenden Text aus der Codebox manuell eingeben oder alternativ den mit STRG + C ins Clipboard kopieren und einfügen.
  Einfügen in der Eingabeaufforderung: in der Titelleiste einen Rechtsklick machen => Bearbeiten => einfügen.
  
  
  Code:

  ---

  mbr.exe -t > C:\mbr.log & C:\mbr.log

  ---

  (Enter drücken)
• Nach kurzer Zeit wird sich Dein Editor öffnen und die Datei C:\mbr.log beinhalten.
  Bitte kopiere den Inhalt hier in Deinen Thread.

Ich muss was abklären. Werde mich wieder melden.

Kannst Du einmal mit dem anderen Rechner ein Log erstellen mit OTL.exe?

Test test test

Kommt gleich richtig

Sorry habe noch Namen drin gelassen

Jetzt aber (zweigeteilt):

Teil 2

Lass auf diesem System Malwarebytes laufen.

Erledigt (Quick Scan):

Auch nichts.

Rootkit-Suche mit Gmer

Was sind Rootkits?

Wichtig: Bei jedem Rootkit-Scans soll/en:

• Deaktiviere zunächst nach dieser Anleitung evtl. vorhandene CD-Emulatoren wie Alcohol, Daemon-Tools oder ähnliche.
• Alle anderen Programme gegen Viren, Spyware, usw. deaktiviert sein,
• keine Verbindung zu einem Netzwerk/Internet bestehen (WLAN nicht vergessen),
• nichts am Rechner getan werden,
• nach jedem Scan der Rechner neu gestartet werden.
• Nicht vergessen, nach dem Rootkit-Scan die Security-Programme wieder einzuschalten!

Lade Dir Gmer von dieser Seite herunter
(auf den Button Download EXE drücken) und das Programm auf dem Desktop speichern.

• Alle anderen Programme sollen geschlossen sein.
• Starte gmer.exe (hat einen willkürlichen Programm-Namen).
• Vista-User mit Rechtsklick und als Administrator starten.
• Gmer startet automatisch einen ersten Scan.
• Sollte sich ein Fenster mit folgender Warnung öffnen:
  
  Code:

  ---

  WARNING !!!
GMER has found system modification, which might have been caused by ROOTKIT activity.
Do you want to fully scan your system?

  ---

• Unbedingt auf "No" klicken,
  in dem Fall über den Save-Button das bisherige Resultat auf dem Desktop als gmer_first.log speichern.
  
  .
  
• Falls das nicht der Fall war, wähle nun den Reiter "Rootkit/Malware",
• Hake an: System, Sections, Devices, Modules, Processes, Threads, Libraries, Services, Registry und Files.
• Wichtig: "Show all" darf nicht angehakt sein!
• Starte den Scan durch Drücken des Buttons "Scan".
  Mache nichts am Computer während der Scan läuft (unten links wird angezeigt, was gerade gescannt wird).
• Wenn der Scan fertig ist, bleibt die Zeile leer.
  Kllicke auf "Save" und speichere das Logfile als gmer.log auf dem Desktop.
  Mit "Ok" wird Gmer beendet.

Antiviren-Programm und sonstige Scanner wieder einschalten, bevor Du ins Netz gehst!

Nun das Logfile in Code-Tags posten.

[code]
GMER Logfile:
--- --- ---

Ich habe einmal meine Kollegen hier angefragt, werde mich wieder melden. Also nochmal zusammengefasst:

Umleitung auf beiden Systemen von FF und IE.
Auf welchen Seiten landest Du?
Wirst Du nur bei google umgeleitet?
Sind beide System am Router angeschlossen?

Genau die Umleitungen treten auf beiden Systemen auf (hängen beide am selben Router, beim einen im FF und beim zweiten mit IE). Vorwiegend tritt das Problem bei google auf: Mein Rechner öffnet z.B. alle Links grundsätzlich als Pop-Ups (was früher nicht so war). Seiten sind z.B.: yahoo, gomeo.de, aks.com. Die Seiten öffnen sich teilweise aber auch einfach so als Pop-Ups (ich glaube aber immer wenn ich Links öffne).

Übrigens mal vielen Dank für die Mühe!

Eine Frage zum Router Reset:

Hast Du den Router geresetet also auf Werkeinstellung zurück gesetzt oder lediglich kurz stromlos gemacht. Schau im Handbuch wie man Deinen Router auf die Werkseinstallungen zurück setzt.

Auf dem ersten System:
Dann versuche erneut ein Update mit Malwarebytes. Falls es wieder nicht klappt, schreibe mir genau die Fehlernmeldung.

Wende bitte noch OSAM an und poste das Log.

Habe, wie in der Anleitung steht, die Werkseinstellungen über den Knopf auf der Rückseite des Routers (Netgear) wiederhergestellt. Danach war auch alles weg und ich musste neu konfigurieren. Gibt es das Programm auch als nicht .rar?

Nein du musst diese entpacken. Nimm z.B. Winrar

Deaktiviere folgendes mit OSAM:
Siehe Anleitung OSAM

(Success) HKCU\Control Panel\IOProcs MVB mvfs32.dll

habe ich deaktiviert.

Kannst Du mir sagen um was es sich hierbei handelt:

Habe die Datei mal genauer angesehen: Nein, die kommt mir nicht bekannt vor und den Sinn kann ich auch nicht erkennen. Außerdem hat die Datei ein sehr fremdartiges Symbol (rot mit (ich vermute) chinesischen Schriftzeichen). Die Datei liegt aber nur auf dem Rechner, den ich als zweites gescannt habe.

Bitte lasse die Dateien aus der Code-Box bei Virustotal überprüfen
Also gehe wie hier beschrieben vor:

• Öffne diese Webseite: virustotal
• Klicke auf "Durchsuchen"
• Suche die Datei auf deinem Rechner--> Doppelklick auf die zu prüfende Datei (oder kopiere den Inhalt ab aus der Codebox)
• "Senden der Datei"
• Warte, bis der Scandurchlauf aller Virenscanner beendet ist
• Auf "Filter" klicken
• dann auf "Ergebnisse"
• das Ergebnis (wie Du es bekommst )
  komplett markieren und hier rein kopieren

Sollte die Datei als schädlich erkannt werden bitte noch nicht entfernen

Der Scan ergibt folgendes:

File already submitted: The file sent has already been analysed by VirusTotal in the past. This is same basic info regarding the sample itself and its last analysis:
MD5: 64765c5826ee557e2b4630297ffddf23
Date first seen: 2006-06-01 00:39:53 (UTC)
Date last seen: 2010-11-18 18:23:29 (UTC)
Detection ratio: 24/43

Poste auch die einzelnen AV-Progs mit den Funden.
Sollte es aussehen wie hier:
http://www.trojaner-board.de/38241-i...tml#post264428

Der Scan ergibt folgendes:

Schritt 1

Auf dem zweiten System:

Fixen mit OTL

• Starte bitte die OTL.exe.
  Vista und Win7 User mit Rechtsklick "als Administrator starten"
• Kopiere nun den Inhalt in die http://larusso.trojaner-board.de/Images/otlfix.jpg Textbox.
  
  ERSETZE DIE **** DURCH DEN RICHTIGEN PFADNAMEN

• Schliesse bitte nun alle Programme.
• Klicke nun bitte auf den Fix Button.
• OTL kann gegebenfalls einen Neustart verlangen. Bitte dies zulassen.
• Nach dem Neustart findest Du ein Textdokument auf deinem Desktop.
  ( Auch zu finden unter C:\_OTL\MovedFiles\<time_date>.txt)
  Kopiere nun den Inhalt hier in Deinen Thread

Schritt 2

Den Text-Editor öffnen (z.B. notepad.exe)
Start Button (unten links) -> Suchen -> Nach Dateien und Ordnern -> wininit.ini eingeben -> OK klicken
Ziehe die Datei in den geöffneten Editor und poste was dort erscheint.

Die wininit.ini finde ich zwar und kann sie auch in den Editor ziehen, bewirkt aber nichts.

Scan mit SystemLook

Lade SystemLook von jpshortstuff von einem der folgenden Spiegel herunter und speichere das Tool auf dem Desktop.

Download Mirror #1 - Download Mirror #2

• Doppelklick auf die SystemLook.exe, um das Tool zu starten.
  Vista-User mit Rechtsklick und als Administrator starten.
• Kopiere den Inhalt der folgenden Codebox in das Textfeld des Tools:
  
  
  Code:

  ---

  :contents
C:\WINDOWS\wininit.ini

  ---

• Klicke nun auf den Button Look, um den Scan zu starten.
• Wenn der Suchlauf beendet ist, wird sich Dein Editor mit den Ergebnissen öffnen, diese hier in den Thread posten.
• Die Ergebnisse werden auf dem Desktop als SystemLook.txt gespeichert.

Führt zu Folgendem:

Sind die Umleitungen noch auf beiden Systemen und auch identische Umleitungen? Mach bitte nochmals von beiden Systemen je einen OTL Scan und poste die Logs.

Von meinem Rechner:

OTL Logfile:
--- --- ---

Und noch OTL vom anderen Rechner. Ich habe aber eben sehr viel Mühe gehabt, auf diesem Rechner die Symptome noch festzustellen: Das heißt, ich musste erst 25 Links anklicken, bis einer manipuliert war. Die Symptome sind aber auf beiden Rechnern gleich, jedoch scheinen sie auf meinen Rechner derzeit stärker.

OTL Logfile:
--- --- ---