|
Internet Explorer leitet auf mir unbekannte Seiten um Hallo! Vor kurzem befand ich mich mit dem Internet Explorer im Netz. Da dessen Sicherheitseinstellungen nur mittelhoch waren, habe ich mir dabei einen Virus oder Wurm eingefangen. Der erste Hinweis darauf war, daß sich das Sicherheitscenter von Windows meldete und im Hintergrund irgendein merkwürdiges Programm mit dem Hinweis startete, daß mein Virenscanner oder meine Virendatenbank nicht mehr auf dem neuesten Stand sei. Wie es dann weiter ging, weiß ich nicht mehr ganz genau. Der Task-Manager zeigte während des Surfens an, daß drei Programme laufen, die ich nicht kenne (0.40246883347902984.EXE, 0.578311082070922.EXE, 0.7389864695832714.EXE). Außerdem verlangsamte sich mein Computer dabei sehr stark, und ich wurde ständig auf mir unbekannte Seiten gelenkt. Ach ja, und bevor ich es vergesse, ganz zu Anfang konnte ich auch keine "Exe-Dateien" mehr starten. Nun meine Fragen: Um welche "infektion" handelt es sich denn nun, und wie bekomme sie wieder weg? Ein OTL-Logfile habe ich hochgealden (ohne "Extras"). |
Was ist mit Malwarebytes? Ausgeführt oder ging das nicht? |
Hallo! Das Programm Malwarebytes hat etwas gefunden, und zwar die Sache mit dem Sicherheitscenter (in der Registry) und irgendwelche Trojaner oder Viren im Ordner "System Volume Information". Dies wurde schon entfernt bzw. repariert! Allerdings öffnet sich der Internet Explorer immer noch beim Surfen ungewollt ein zweites Mal und zeigt mir irgendeine komische Seite. Und das Tool "Trojan Remover" hat auch etwas gefunden, nämlich das hier: C:\WINDOWS\system32\svchost.exe HKLM\SYSTEM\CurrentControlSet\Services\eblqhxgq ImagePath C:\WINDOWS\system32\svchost.exe HKLM\SYSTEM\CurrentControlSet\Services\pvcyjdfw ImagePath Kannst Du/ Könnt Ihr hiermit noch etwas anfangen? |
Warum beschreibst du Funde, wenn du das Log posten kannst? Das ist viel effektiver. Poste alle Logs von Malwarebytes, wenn mehrere vorhanden sind. |
Hallo! Nun habe ich versucht, alle erforderlichen Logs zusammenzutragen. Allerdings ist es mir nicht gelungen, GMER bis zum Ende laufen zu lassen, denn es stoppte aus unerfindlichen Gründen irgendwann (Absturz?). Vielleicht reichen die Informationen aber, um jetzt Hilfe zu bekommen. Vielen Dank vorab |
Zitat:
Denk daran, dass Malwarebytes vor jedem Scan manuell aktualisiert werden muss! Falls Logs aus älteren Scans mit Malwarebytes vorhanden sind, bitte auch davon alle posten! |
Hallo! Ich habe nun noch einmal eine Aktualisierung der Virendatenbank von Malwarebytes vorgenommen. Einen vollständigen Suchlauf habe ich auch ausgeführt, jedoch mit keinem Ergebnis. Allerding funktioniert jetzt das Programm GMER, so daß ich hierzu das aktuelle Logfile hochladen kann. Vielleicht sind folgende Hinweise noch von Interesse: Als die Sache mit der "Infektion" anfing, meldete sich das "Windows Security Center 2011", welches einen automatischen und natürlich falschen Scan durchführte. Aktiviere ich den "Schutz" von Malwarebytes, meldet sich das Programm beim Surfen ständig damit, daß irgendwelche Seiten geblockt werden. Habe ich einen neuen, noch unbekannten Virus? MfG |
Dann bitte jetzt CF ausführen: ComboFix Ein Leitfaden und Tutorium zur Nutzung von ComboFix
http://saved.im/mtm0nzyzmzd5/cofi.jpg
Combofix darf ausschließlich ausgeführt werden, wenn ein Kompetenzler dies ausdrücklich empfohlen hat! |
Hallo! Vielen Dank für die Hilfe bislang. Den CCleaner habe ich verwendet, allerdings auch schon einige Male vorher. Nun geht es darum, das neue Logfile auszuwerten, denn ich kann damit nur insofern etwas anfangen, daß es mir zeigt, welche Überbleibsel der von MIR in der Vergangenheit installierten Software und Hardware irgendwo noch vorhanden sind. Wie kriege ich die eigentlich weg? Der Virenscanner "AVG" ist übrigens vor dem Suchlauf deinstalliert worden. Warum der noch namentlich auftaucht, weiß ich nicht. Auch habe ich den Eraser einmal laufen lassen, bevor ich mich an Euch gewendet habe. Behindert das eventuell die Analyse? Mfg Combofix Logfile: Code: ComboFix 11-03-01.03 - user 04.03.2011 11:18:08.1.1 - x86 |
Zitat:
Von Registry Cleanern solltest du die Finger lassen, es muss nur ein falscher Schlüssel oder Wert gelöscht werden und dein Windows ist hin! Combofix - Scripten 1. Starte das Notepad (Start / Ausführen / notepad[Enter]) 2. Jetzt füge mit copy/paste den ganzen Inhalt der untenstehenden Codebox in das Notepad Fenster ein. Hinweis: Falls Du Deinen Benutzernamen unkenntlich gemacht hast, musst Du das Ausgesternte in Deinen richtigen Benutzernamen wieder verwandeln, sonst funktioniert das Script nicht!! Code: Netsvc::4. Deaktivere den Guard Deines Antivirenprogramms und eine eventuell vorhandene Software Firewall. (Auch Guards von Ad-, Spyware Programmen und den Tea Timer (wenn vorhanden) !) 5. Dann ziehe die CFScript.txt auf die cofi.exe, so wie es im unteren Bild zu sehen ist. Damit wird Combofix neu gestartet. http://users.pandora.be/bluepatchy/m...s/CFScript.gif 6. Nach dem Neustart (es wird gefragt ob Du neustarten willst), poste bitte die folgenden Log Dateien: Combofix.txt Hinweis: Das obige Script ist nur für diesen einen User in dieser Situtation erstellt worden. Es ist auf keinen anderen Rechner portierbar und darf nicht anderweitig verwandt werden, da es das System nachhaltig schädigen kann! |
Liste der Anhänge anzeigen (Anzahl: 1) Hallo! Ich habe das Script nun nach Anleitung verwandt und hoffe, daß dabei alles richtig abgelaufen ist. Das Datum des Systems mußte ich ändern, da ansonsten ComboFix vermutlich nicht anwandfrei seine Arbeit getan hätte. Ich denke, daß irgendwelche "Reste" aber noch zurückgeblieben sind, oder? Ein aktuelles Abbild der laufenden Prozesse liegt als Anhang bei; vielleicht ist es nützlich? Was kann oder darf ich eigentlich löschen, Wenn ComboFix nicht mehr gebraucht wird? MfG Combofix Logfile: Code: ComboFix 11-03-01.03 - user 07.03.2011 1:24.2.1 - x86 |
Wieso musstest du das Datum ändern? Wenn deine cofi.exe zu alt ist, hättest du eine neue runteladen müssen... |
Wieso denn das? Es wurden doch Änderungen vorgenommen! Soll ich jetzt noch einmal von vorne anfangen? Wie geht denn das überhaupt? |
Mach es bitte mit einer neue cofi.exe nochmal. |
Hallo! Okay, der erste "Schock" ist überwunden, und ich habe nun noch einmal ComboFix (diesmal in der Version vom 18. 3. 2011) mit dem von Dir veröffentlichten Skript verwendet. Zuvor habe ich natürlich meinen Computer zu einem Zeitpunkt wiederhergestellt, als noch keine Änderungen durch dieses Programm vorgenommen worden sind. Das Resultat liegt bei. MfG pKm Combofix Logfile: Code: ComboFix 11-03-18.03 - user 19.03.2011 15:06:10.2.1 - x86 |
Bitte nun dieses Tool von Kaspersky ausführen und das Log posten => http://www.trojaner-board.de/82358-t...entfernen.html |
Hallo! TDSSKiller angewendet (zur Sicherheit sogar 2 Mal), jedoch ohne Ergebnis. Den Norman TDSS Cleaner habe ich auch mal vorsichtig gestartet. Das sollte ich zwar nicht, aber zumindest scheint dabei nichts schiefgegangen zu sein. Ich bin mir zwar nicht sicher, aber seit der Infektion befindet sich in der Registry im Unterordner "Software" ein Eintrag namens "PnPBus". Ebenfalls nicht sicher bin ich mir, ob die Datei "GDIPFONTCACHEV1.DAT" im Ordner "C:\Dok. und Einst.\user\Lokale Einstell.\Anwendungsdaten schon immer da war! Seit der Benutzung von ComboFix befinden sich übrigens so einige komische Ordner und Dateien auf meinem Computer. Was kann denn hier alles gelöscht werden? MfG |
Ok. Bitte nun Logs mit GMER und OSAM erstellen und posten. GMER stürzt häufiger ab, wenn das Tool auch beim 2. Mal nicht will, lass es einfach weg und führ nur OSAM aus - die Online-Abfrage durch OSAM bitte überspringen. Bei OSAM bitte darauf auch achten, dass Du das Log auch als *.log und nicht *.html oder so abspeicherst. Downloade Dir danach bitte MBRCheck (by a_d_13) und speichere die Datei auf dem Desktop.
|
Hallo! Alle Programme wurden ausgeführt, und es liegen die Ergebnisse vor. Das Programm "OSAM" fand ich in diesem Fall besonders interessant. Sollte es wieder zur Anwendung kommen, würde ich gerne wissen, was nebenher noch gelöscht werden kann! Vielleicht alle Einträge, die blau hinterlegt sind? MfG OSAM Logfile: Code: Report of OSAM: Autorun Manager v5.0.11926.0If You have questions or want to get some help, You can visit hxxp://forum.online-solutions.ru |
Zitat:
|
Bitte mal den Avenger anwenden: 1.) Lade Dir von hier Avenger: Swandog46's Public Anti-Malware Tools (Download, linksseitig) 2.) Entpack das zip-Archiv, führe die Datei "avenger.exe" aus (unter Vista per Rechtsklick => als Administrator ausführen). Die Haken unten wie abgebildet setzen: http://mitglied.lycos.de/efunction/tb123/avenger.png 3.) Kopiere Dir exakt die Zeilen aus dem folgenden Code-Feld: Code: Registry keys to delete:5.) Der Code-Text hier aus meinem Beitrag müsste nun unter "Input Script here" in "The Avenger" zu sehen sein. 6.) Falls dem so ist, klick unten rechts auf "Execute". Bestätige die nächste Abfrage mit "Ja", die Frage zu "Reboot now" (Neustart des Systems) ebenso. 7.) Nach dem Neustart erhältst Du ein LogFile von Avenger eingeblendet. Kopiere dessen Inhalt und poste ihn hier. |
Logfile of The Avenger Version 2.0, (c) by Swandog46 hxxp://swandog46.geekstogo.com Platform: Windows XP ******************* Script file opened successfully. Script file read successfully. Backups directory opened successfully at C:\Avenger ******************* Beginning to process script file: Rootkit scan active. No rootkits found! Registry key "HKLM\SYSTEM\ControlSet002\Services\eblqhxgq" deleted successfully. Registry key "HKLM\SYSTEM\ControlSet002\Services\pvcyjdfw" deleted successfully. Completed script processing. ******************* Finished! Terminate. |
Mach bitte zur Kontrolle Vollscans mit Malwarebytes und SASW und poste die Logs. Denk dran beide Tools zu updaten vor dem Scan!! |
Hallo! Eine Sache dazu: Seit der letzten "Bereinigung" mit Avenger läuft mein Computer recht langsam und will ständig Luft zur Kühlung haben. Auch starten gewisse Sachen (im Info-Bereich neben der Uhr) gar nicht oder nur sehr langsam. Im Ordner "System Volume Information" wurde etwas gefunden. Wie kommt das denn dahin? pKm |
Nur Überreste. Rechner wieder ok oder noch Probleme |
Hallo! Eine Sache vorweg: Alle Aktivitäten hier habe ich von einem anderen als dem infizierten Computer gemacht. Ob er wieder gut läuft? Also was mir immer noch auffällt, ist, daß nach dem Gang in's Netz alles ein wenig "zittrig" wird. Schaut man im Taskmanager unter Prozesse, fällt zudem auf, daß entweder der Leerlaufprozeß oder der Internet Explorer sehr hoch die CPU auslastet. Um mir ein wenig selbst zu helfen, habe ich mal in der Registry nachgeschaut und folgendes gefunden: HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Enum\Root\LEGACY_EBLQHXGQ\0000 HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Enum\Root\LEGACY_PVCYJDFW\0000 HKEY_LOCAL_MACHINE\SYSTEM\ControlSet003\Enum\Root\LEGACY_EBLQHXGQ\0000 HKEY_LOCAL_MACHINE\SYSTEM\ControlSet003\Enum\Root\LEGACY_PVCYJDFW\0000 HKEY_LOCAL_MACHINE\SYSTEM\ControlSet004\Enum\Root\LEGACY_EBLQHXGQ\0000 HKEY_LOCAL_MACHINE\SYSTEM\ControlSet004\Enum\Root\LEGACY_PVCYJDFW\0000 HKEY_LOCAL_MACHINE\SYSTEM\ControlSet003\Services\eblqhxgq HKEY_LOCAL_MACHINE\SYSTEM\ControlSet003\Services\pvcyjdfw (---> C:\WINDOWS\system32\kqtoqow.dll) HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Enum\Root\LEGACY_EBLQHXGQ\0000 HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Enum\Root\LEGACY_PVCYJDFW\0000 Das hat doch noch alles mit dem Virus zu tun, oder? Der Verweis auf die Datei "kqtoqow.dll" stammt übrigens aus einer vorherigen Infektion. Sie wurde damals von mir durch "AVG" entfernt. Mit freundlichen Grüßen |
Erst dachte ich das Teil ist von GMER, denn dieser Rootkitsucher erzeugt auch solche "lustigen" Zufallsnamen ;) mach bitte mal ein frisches Log mit GMER. |
Hallo! "GMER" habe ich laufen lassen, und das Ergebnis sieht aus wie vormals, als ich es nach der letzten Bereinigung eigenhändig einmal laufen lassen habe. Wie gesagt, der Computer zieht ordentlich Luft, und zwar nur dann, wenn ich mit dem Internet verbunden bin. MfG |
Ist unauffällig. Noch weitere Funde? Wenn nicht, kümmer dich unbedingt um die Updates! OS: Windows XP Professional Service Pack 2 (Build 2600) Default Browser: Microsoft Corporation Internet Explorer 7.00.6000.16674 Du gurkst noch mit dem SP2 und IE7 in der Welt herum, da wundert das ja nicht, dass man sich Schädlinge holt!
Achte beim Setup des IE8 wieder dadrauf, dass vorher möglichst alle Programme beendet und der Virenscanner deaktiviert wurde. Im Setup selbst bitte nicht an dem Verbesserungsprogramm teilnehmen (oder wie MS das nennt) und auch KEINE Updates über das Setup installieren. Die installieren wir später, ich sag dir dann wie. Melde dich wenn der IE8 drauf ist. |
Hallo! Ich habe den "Internet Explorer 7" nun über Windows (kein prof. Uninstaller) entfernt. Zum Vorschein kam der Internet Explorer 6. Bei der Gelegenheit: Was ist damit? Anschließend habe ich das Programm in der Version Nr. 8 installiert. Nun geht's um die Updates. Eine Sache möchte dabei erwähnen: Was ist eigentlich mit dem ganzen Kram ist, der sonst noch so installiert ist? Microsoft.NET Framework 1.1 Microsoft.NET Framework 1.1 Hotfix (KB928366) Microsoft .NET Framework 1.1 German Language Pack Microsoft.NET Framework 2.0 Microsoft .NET Framework 2.0 Language Pack - DEU Microsoft.NET Framework 3.0 Microsoft .NET Framework 3.0 German Language Pack Microsoft Kernel-Mode Driver Framework Feature Pack 1.1 Microsoft Kernel-Mode Driver Framework Feature Pack 1.7 Microsoft Compression Client Pack 1.0 for Windows XP Microsoft User-Mode Driver Framework Feature Pack 1.0 In beuzg auf die Frage, ob es weitere Funde gab, kann ich noch sagen, daß, als mein Rechner infiziert wurde, sich Java und der Acrobat Reader meldeten. Aktualisierungen wurden dazu aber schon vorgenommen. |
Was .NET ist kannst du ja wohl selber nachlesen => .NET ? Wikipedia |
| Alle Zeitangaben in WEZ +1. Es ist jetzt 18:00 Uhr. |
Copyright ©2000-2025, Trojaner-Board