Trojaner-Board - Problem: Google-Suche extrem langsam/ Trojaner o.ä.?

Trojaner-Board (https://www.trojaner-board.de/)

- Log-Analyse und Auswertung (https://www.trojaner-board.de/log-analyse-auswertung/)

- - Problem: Google-Suche extrem langsam/ Trojaner o.ä.? (https://www.trojaner-board.de/98362-problem-google-suche-extrem-langsam-trojaner-o-ae.html)

Problem: Google-Suche extrem langsam/ Trojaner o.ä.?

Hallo Experten :)

ich habe schon ähnliche Enträge zu meinem Problem gelesen, aber leider noch nicht eine passende Lösung gefunden. Ich muss dazu sagen, dass ich keine PC-Experte bin, nur normaler User :)

Seit einiger Zeit läuft mein Laptop immer langsamer (hat mich erst nich gewundert, da er schon älter ist, habe ihn vor kurzem von Freund bekommen).
Die letzten Tage tritt es aber auf, das die Google-Suche nur sehr langsam bis garnicht mehr funktioniert. (Mozilla) Andere Seiten laufen auch extreem langsam...

ICh habe den Windows-Prüfer drüberlaufen lassen --> nichts gefunden
Ich habe Malwarebytes drüber laufen lassen --> nix gefunden
Avira brachte die Meldung: Kein Fund (nur 3 Warnungen u. 2 verst. Objekte)
Habe auch mal einen Hijack logfile gemacht.
Auch eine Auflistung über den CCleaner

Da ich von Avira die Datei nich hochladen konnte(zu groß),
23 MB??

Meine Frage, ob ihr vielleicht an den Logfiles schon was erkennen könnt, ob sich da was "eingeschlichen" hat??
Ich hoffe ihr könnt mir helfen :confused:

Grüße aus Sachsen

Guten Morgen :)
habe nach der Anleitung auch noch Load.exe runtergeladen und nach den Anleitungen durchgeführt. Unten die Anhänge

bitte erstelle und poste ein combofix log.
Ein Leitfaden und Tutorium zur Nutzung von ComboFix

Okay werd ich heut Abend machen, muss jetz erstmal meinem täglich Brot nachgehen :)
Danke für die schnelle Antwort.

Hallo,

hier wie versprochen ComboFix.

hallo markus,

hier die Auswertung:

GMER Logfile:

Code:

GMER 1.0.15.15570 - hxxp://www.gmer.net

Rootkit scan 2011-04-28 21:47:31

Windows 5.1.2600 Service Pack 3 Harddisk0\DR0 -> \Device\Ide\IdeDeviceP0T0L0-3 SAMSUNG_MP0804H rev.UE100-14

Running: g2m3e4r.exe; Driver: C:\DOKUME~1\XP\LOKALE~1\Temp\fwroqpow.sys
 
 

---- System - GMER 1.0.15 ----
 

SSDT            F8DFF0CE                                      ZwCreateKey

SSDT            F8DFF0C4                                      ZwCreateThread

SSDT            F8DFF0D3                                      ZwDeleteKey

SSDT            F8DFF0DD                                      ZwDeleteValueKey

SSDT            F8DFF0E2                                      ZwLoadKey

SSDT            F8DFF0B0                                      ZwOpenProcess

SSDT            F8DFF0B5                                      ZwOpenThread

SSDT            F8DFF0EC                                      ZwReplaceKey

SSDT            F8DFF0E7                                      ZwRestoreKey

SSDT            F8DFF0D8                                      ZwSetValueKey
 

Code            \??\C:\DOKUME~1\XP\LOKALE~1\Temp\catchme.sys  pIofCallDriver
 

---- Kernel code sections - GMER 1.0.15 ----
 

init            C:\WINDOWS\system32\drivers\ALCXSENS.SYS      entry point in "init" section [0xF7EC2900]

?               C:\WINDOWS\system32\Drivers\PROCEXP113.SYS    Das System kann die angegebene Datei nicht finden. !

?               C:\DOKUME~1\XP\LOKALE~1\Temp\catchme.sys      Das System kann die angegebene Datei nicht finden. !
 

---- Devices - GMER 1.0.15 ----
 

AttachedDevice  \Driver\Kbdclass \Device\KeyboardClass0       SynTP.sys (Synaptics Touchpad Driver/Synaptics, Inc.)

AttachedDevice  \Driver\Kbdclass \Device\KeyboardClass1       SynTP.sys (Synaptics Touchpad Driver/Synaptics, Inc.)

AttachedDevice  \FileSystem\Fastfat \Fat                      fltmgr.sys (Microsoft Filesystem Filter Manager/Microsoft Corporation)
 

---- EOF - GMER 1.0.15 ----

--- --- ---

lade den ccleaner slim:
Piriform - Builds
falls der ccleaner bereits instaliert, überspringen.
instalieren, öffnen, extras, liste der instalierten programme, als txt speichern. öffnen.
hinter, jedes von dir benötigte programm, schreibe notwendig.
hinter, jedes, von dir nicht benötigte, unnötig.
hinter, dir unbekannte, unbekannt.
liste posten.

Guten Morgen

hier die Auflistung (bei einigen Sachen hab ich "? " dahnter gemacht, weil ich nich wirklich weiß was es ist) :crazy:

Adobe Flash Player 10 ActiveX Adobe Systems Incorporated 10.1.85.3 nötig
Adobe Flash Player 10 Plugin Adobe Systems Incorporated 10.2.153.1 nötig
Adobe Shockwave Player 11.5 Adobe Systems, Inc. 11.5.9.620 nötig
Agere Systems AC'97 Modem unbekannt
ATI - Dienstprogramm zur Deinstallation der Software 6.14.10.1010 nötig
ATI Control Panel 6.14.10.5125 nötig
ATI Display Driver 8.063-041006a-018877C-Mitac nötig
Avira AntiVir Personal - Free Antivirus Avira GmbH 10.0.0.648 nötig
CCleaner Piriform 2.36 nötig
DivX-Setup DivX, LLC 2.4.0.6 unntig
ERUNT 1.1j Lars Hederer unbekannt
FormatFactory 2.20 Free Time 2.20 nötig
Free Audio CD Burner version 1.4.7 DVDVideoSoft Limited. nötig
Free YouTube to MP3 Converter version 3.9.36.421 DVDVideoSoft Limited. nötig
HighMAT-Erweiterung für den Microsoft Windows XP-Assistenten zum Schreiben von CDs Microsoft Corporation 1.1.1905.1 unbekannt
ICQ7.2 ICQ 7.2 unnötig
Infineon USB driver 1.0.0.6 Infineon unbekant
Informationen über Ihren PC UNBEKANNT
Java 2 Runtime Environment, SE v1.4.2_05 Sun Microsystems, Inc. 1.4.2_05 nötig
Java(TM) 6 Update 24 Oracle 6.0.240
LG Bluetooth Drivers LG Electronics 1.1 nötig
LG Internet Kit LG Electronics 4.1.13 nötig
LG PC Suite IV LG Electronics 4.3.5.20110131 nötig
LG United Mobile Drivers LG Electronics 2.2 nötig
Macromedia Shockwave Player unbekannt
Malwarebytes' Anti-Malware Malwarebytes Corporation nötig
MediaShow 3.0 unbekannt
Microsoft .NET Framework 1.1 ???
Microsoft .NET Framework 2.0 Service Pack 2 Microsoft Corporation 2.2.30729 ???
Microsoft .NET Framework 2.0 Service Pack 2 Language Pack - DEU Microsoft Corporation 2.2.30729 ???
Microsoft .NET Framework 3.0 Service Pack 2 Microsoft Corporation 3.2.30729 ???
Microsoft .NET Framework 3.0 Service Pack 2 Language Pack - DEU Microsoft Corporation 3.2.30729 ???
Microsoft .NET Framework 3.5 Language Pack SP1 - DEU Microsoft Corporation ???
Microsoft .NET Framework 3.5 SP1 Microsoft Corporation ???
Microsoft Compression Client Pack 1.0 for Windows XP Microsoft Corporation 1 ???
Microsoft User-Mode Driver Framework Feature Pack 1.0 Microsoft Corporation ???
Microsoft Visual C++ 2005 ATL Update kb973923 - x86 8.0.50727.4053 Microsoft Corporation 8.0.50727.4053 ???
Microsoft Visual C++ 2005 Redistributable Microsoft Corporation 8.0.56336 ???
Microsoft Visual C++ 2005 Redistributable - KB2467175 Microsoft Corporation 8.0.51011 ???
Microsoft Visual C++ 2008 Redistributable - KB2467174 - x86 9.0.30729.5570 Microsoft Corporation 9.0.30729.5570 ???
Microsoft Visual C++ 2008 Redistributable - x86 9.0.30729 Microsoft Corporation 9.0.30729 ???
Microsoft Visual C++ 2008 Redistributable - x86 9.0.30729.17 Microsoft Corporation 9.0.30729 ???
Microsoft Visual C++ 2008 Redistributable - x86 9.0.30729.4148 Microsoft Corporation 9.0.30729.4148 ???
Microsoft Works Microsoft Corporation 08.04.0702 ???
Microsoft Works Suite-Add-Ins für Microsoft Word Microsoft Corporation 8.0.0.0000 ???
Mozilla Firefox (3.6.16) Mozilla 3.6.16 (de)
MSXML 4.0 SP2 (KB954430) Microsoft Corporation 4.20.9870.0 ???
MSXML 4.0 SP2 (KB973688) Microsoft Corporation 4.20.9876.0 ???
MSXML 4.0 SP2 Parser and SDK Microsoft Corporation 4.20.9818.0 ???
MSXML 6 Service Pack 2 (KB973686) Microsoft Corporation 6.20.2003.0 ???
Musicmatch® Jukebox 9.00.0156 unbeannt
OpenAL UNBEKANNT
OpenOffice.org 3.2 OpenOffice.org 3.2.9502 nötig
PowerCinema 3.0 unnötig
PowerDirector unbnötig
PowerDVD unnötig
PowerProducer unnötig
Quicksys Disk Defrag 1.16 BETA unbekannt
QuickTime unnötig
Realtek AC'97 Audio unbkannt
REALTEK Gigabit and Fast Ethernet NIC Driver REALTEK Semiconductor Corp. 1.10 unbekannt
Sametime Client v3.1 nötig
Setup-Start von Microsoft Works 2005 unbekannt
Shockwave unbekannt
Skype Toolbars Skype Technologies S.A. 5.0.4137 unbekannt
Skype™ 5.1 Skype Technologies S.A. 5.1.112 nötig
Synaptics Pointing Device Driver 7.10.8.0 unbekannt
TuneUp Utilities 2009 TuneUp Software 8.0.3100.31 nötig
Uninstall 1.0.0.1 unbekannt
USB Flash Port Driver Infineon Technologies 1.00.0000 unbekannt
videon muvee Technologies 3.5 unbekannt
VLC media player 1.1.0 VideoLAN 1.1.0 unnötig
Windows Genuine Advantage Validation Tool (KB892130) Microsoft Corporation ???
Windows Internet Explorer 8 Microsoft Corporation 20090308.140743 nötig
Windows Media Format 11 runtime nötig
Windows Media Player 11 nötig
Windows XP Service Pack 3 Microsoft Corporation 20080414.031514 nötig
Windows-Sicherungsprogramm Microsoft Corporation 5.1 ???
Windows-Treiberpaket - Infineon Technologies (FlashUSB) USB (04/16/2009 1.0.0.6) Infineon Technologies 04/16/2009 1.0.0.6 ???
WinRAR 4.00 (32-Bit) win.rar GmbH 4.00.0 nötig
X10 Hardware(TM) ???

deintsaliere
DivX
beide java versionen
Java SE Downloads
klicke auf download jre

Macromedia
Mozilla Firefox öffnen hilfe update, version 4 hohlen

Musicmatch®
PowerCinema
PowerDirector
PowerDVD
PowerProducer
Quicksys
QuickTime
Shockwave
Skype Toolbars
TuneUp verzichte auf solchen müll, tunen kann das programm nichts, es macht den pc letzten endes sogar noch langsamer.
und alles was tuneup sonst so kann, kann man auch selbst, oder es ist unnütz.
weg damit.
VLC würd ich behalten, für filme etc. bereinige mit ccleaner.
berichte wie das system läuft.

Hi Markus,

bin so vorgegangen wie beschrieben. (ICQ hab ich auch mit runtergehauen)
Ich finde, dass System an sich funktioniert wieder normal.

Aber die Google Suchfunktion bei IE und Firefox funktionieren noch immer extrem langsam bis garnicht....

Sollte ich Erunt, OTL, TFC und GMER alles noch auf dem Rechner lassen, oder kann das wieder weg?

Was mir noch aufgefallen ist...
Wenn ich das erste mal Mozi tarten will, öffnet er sich nicht. Dann klick ich nochmal nach einer Weile drauf, dann öffnet er sich, aber im Taskmanager wird er dann 2mal angezeigt....

DANKE :)

wie siehts eigendlich aus, machst du banking einkäufe oder sonst was wichtiges mit dem gerät?

Ich bin "normal" im I-Net unterwegs, E-Mail, Facebook, Skype, meebo(icq) etc.

In der Regel mach ich Online-Banking von meinem Hauptrechner, aber kommt auch schonmal vor, dass ich das über diesen hier mach. Dann aber direkt über die Seite von der Sparkasse.

Was mir jetz grad auffällt...
Habe IE offen und er sieht so aus, als wäre er 2 mal offe, also es wird alles doppelt angezeigt. und im TM wird er auch 2 mal aufgeführt...
ich werd verückt hier...

naja, ich würd sagen daten sichern und formatieren, dann sichern wir ihn gleich richtig ab.

ui, da stellste mich vor ne herausforderung :)
das formatieren u sichern is null problemo, aber hab keine Windows CD oder so...

Hallo nochmal,

habe jetz nch mal nen Anti Vir Scan gemacht, und folgende Meldung erhalten:

C:\Qoobox\BackEnv\
[WARNUNG] Systemfehler [5]: Zugriff verweigert
C:\WINDOWS\system32\CatRoot2\edb.log
[WARNUNG] Die Datei konnte nicht geöffnet werden!
C:\WINDOWS\system32\CatRoot2\tmp.edb
[WARNUNG] Die Datei konnte nicht geöffnet werden!
C:\WINDOWS\Temp\Perflib_Perfdata_548.dat
[WARNUNG] Die Datei konnte nicht geöffnet werden!

Dazu waren noch folgende Einträge im Report zu finden:

C:\WINDOWS\system32\CatRoot\{127D0A1D-4EF2-11D1-8608-00C04FC295EE}\
C:\WINDOWS\system32\CatRoot\{F750E6C3-38EE-11D1-85E5-00C04FC295EE}\
C:\WINDOWS\system32\CatRoot2\
C:\WINDOWS\system32\CatRoot2\edb.log
[WARNUNG] Die Datei konnte nicht geöffnet werden!
[HINWEIS] Es wird versucht die Datei mit Hilfe des Snapshot Treibers zu durchsuchen.
C:\WINDOWS\system32\CatRoot2\tmp.edb
[WARNUNG] Die Datei konnte nicht geöffnet werden!
[HINWEIS] Es wird versucht die Datei mit Hilfe des Snapshot Treibers zu durchsuchen.
C:\WINDOWS\system32\CatRoot2\{127D0A1D-4EF2-11D1-8608-00C04FC295EE}\
C:\WINDOWS\system32\CatRoot2\{F750E6C3-38EE-11D1-85E5-00C04FC295EE}\
C:\WINDOWS\system32\Com\

C:\WINDOWS\Temp\
C:\WINDOWS\Temp\Perflib_Perfdata_548.dat
[WARNUNG] Die Datei konnte nicht geöffnet werden!
[HINWEIS] Es wird versucht die Datei mit Hilfe des Snapshot Treibers zu durchsuchen.
C:\WINDOWS\twain_32\

Wollte jetz nicht gleich den Ganzen Report hier reinsetzen, vielleicht hilft es Dir / Euch ja schon zur Analyse. DAAAANKE :)

hast du den report auf höchste stufe? stell ihn runter auf niedrig.
das zeigt mir nichts interessantes.
meine meinung bleibt, daten sichern, neu aufsetzen, absichern
wo ist deine windows cd?

Nabend nochmal,

wo sich die CD mittlerweile befindet kann ich dir nicht sagen :)

Wie gesagt, hab das Ding hier gebraucht von nem Kumpel bekommen.
Vielleicht werd ich den Rechner hier aufgeben, und mir gleich nen neuen Lappi zulegen...

Hast du vielleicht trotzdem eine Vermutung was es sein könnte?

noch nicht so recht.
ne xp cd kostet aber nicht die welt, 20 €.

Hallo nochmal,

habe jetz nochmal Spybot S&D drüber laufen lassen, er hat auch noch was gefunden, vielleicht hilf das ja, sonst geb ichs auf :)
(Goolge läuft immernoch sehr lahm, würde man dort was am quelltext erkennen, wenn was nich stimmt?)

Babylon.Toolbar: [SBI $3BE29F71] Einstellungen (Registrierungsdatenbank-Schlüssel, nothing done) HKEY_CLASSES_ROOT\AppID\{BDB69379-802F-4eaf-B541-F8DE92DD98DB}
Babylon.Toolbar: [SBI $AA4747ED] Einstellungen (Registrierungsdatenbank-Schlüssel, nothing done) HKEY_CLASSES_ROOT\AppID\escort.DLL
Babylon.Toolbar: [SBI $2059D587] Interface (Registrierungsdatenbank-Schlüssel, nothing done) HKEY_CLASSES_ROOT\Interface\{3718D0AF-A3B8-4F5E-86F3-FAD8D02043BE}
Babylon.Toolbar: [SBI $9230BC9B] Interface (Registrierungsdatenbank-Schlüssel, nothing done) HKEY_CLASSES_ROOT\Interface\{78868069-5D96-4B47-BE52-3D625EE3D7CB}
Babylon.Toolbar: [SBI $4AB6C1F6] Type library (Registrierungsdatenbank-Schlüssel, nothing done) HKEY_CLASSES_ROOT\TypeLib\{09C554C3-109B-483C-A06B-F14172F1A947}
Babylon.Toolbar: [SBI $4E46F835] Programm-Verzeichnis (Verzeichnis, nothing done) C:\Dokumente und Einstellungen\XP\Anwendungsdaten\BabylonToolbar\
Babylon.Toolbar: [SBI $1AA9620D] Programm-Verzeichnis (Verzeichnis, nothing done) C:\Dokumente und Einstellungen\XP\Anwendungsdaten\BabylonToolbar\BabylonToolbar\
Babylon.Toolbar: [SBI $5FA838EA] Einstellungen (Registrierungsdatenbank-Schlüssel, nothing done) HKEY_LOCAL_MACHINE\SOFTWARE\Google\chrome\Extensions\dhkplhfnhceodhffomolpfigojocbpcb

Win32.Webprefix: [SBI $D40E955A] Bibliothek (Datei, nothing done) C:\WINDOWS\system32\webchedk.dll Properties.size=28672 Properties.md5=13F06D002B260B4E2643576B59AB49F0 Properties.filedate=1302902101 Properties.filedatetext=2011-04-15 23:15:00

also es bleibt dabei, auch diese einträge können nicht dafür verantwortlich sein.

Guten "morgen" ;)

ich wollt mal wieder berichten..
Ich hoffe du greiftst dir jetzt nicht an den Kopf :)
Ich habe Spybot drüber gejagt, der hatte obiges gefunden, dann hab ich mir von Norton die Testversion runtergeladen, hatte auch noch was gefunden. (Dann nochmal Malewarebytes mit keinem Fund)

Und jetz --> Google läuft wieder ohne Probleme, bringt auch "komischen" Ergebnisse mehr.

Auf jeden Fall erstmal ein dickes DANKE für deine bisherige Hilfe Markus!!

naja, dein pc ist einfach zu verseucht, ich würde dem, auch wenn jetzt scheinbar alles läuft, nicht mehr über den weg trauen, erst nach neu aufsetzen ist das system vertrauenswürdig, egal ob du noch 20 programme laufen lässt.

Hallo,

um nochmal ein Fazit zu ziehen....
Ich hab jetz deinen Rat befolgt, Rechner "platt gemacht" und windows neu aufgesetzt.
Vielen Danke für die Hilfe und den Rat!!

wollen wir das system noch absichern? damit dir in zukunft so was nicht mehr so einfach passiert?

Hallo,
absichern ist ne gute Idee. Hab jetz erstma wieder Antivir und spybot drauf gemacht.
Alle unnötigen Programme runtergehauen, da ich ihn meistnur zum surfen nutze.

http://www.trojaner-board.de/96344-a...-rechners.html
hier alle!! tipps für xp abarbeiten.
anmerkungen meiner seits:
avira genauestens nach anleitung instalieren:
http://www.trojaner-board.de/54192-a...tellungen.html
achte darauf, das der auftrag im planer wirklich über lokale laufwerke läuft, sonst werden scan einstellungen nicht gültig.
unter avira, konfiguration, Guard, Suche, weitere Aktionen die autostart überwachung deaktivieren.

als browser solltest du den opera nutzen, er ist sicherer und schneller.
wenn er dir nicht gefällt passe ich meine anleitung für den ff an.
um das surfen sicherer zu machen, würde ich sandboxie empfehlen.
Download:
http://filepony.de/download-sandboxie/
anleitung:
Sandbox*Einstellungen |

(als pdf)
hier noch ein paar zusatzeinstellungen, nicht verunsichern lassen, wenn du das programm instaliert hast, werden sie klar.
den direkten datei zugriff bitte auf opera beschrenken,
bei
Internetzugriff:
opera.exe
öffne dann sandboxie, dann oben im menü auf sandbox klickem, wähle deine sandbox aus und klicke dann auf sandboxeinstellung.
dort auf anwendung, webbrowser, andere dort auf direkten zugriff auf opera bookmarks erlauben. dann auf hinzufügen und ok.
somit kannst du deine lesezeichen auch in der sandbox dauerhaft abspeichern.

wenn du mit dem programm gut auskommst, ist ne lizenz zu empfehlen.
1. es gibt dann noch ein paar mehr funktionen.
2. kommt nach nem monat die anzeige, dass das programm freeware ist, die verschwindet erst nach ner zeit, find ich n bissel nerfig.
3. ist die lizenz lebenslang gültig, kostenpunkt rund 30 €, und du kannst sie auf allen pcs in deinem haushalt einsetzen.

bitte ab sofort anstelle des browser symbols nur noch das sandboxed web browser symbol anklicken.
eine sandbox ist eine vom system isoliert arbeitene umgebung, wenn hier ein schadprogramm reingelangt, läuft es im besten falle nicht, da wir die sandbox eingeschrenkt haben, oder es läuft, kommt aber nicht raus.
kenne keine malware, die das im moment kann.
dieses konzept muss, um die maximale wirkung zu erreichen, komplett umgesetzt werden.
hier greifen nämlich mehrere maßnamen.
- updates von windows.
durch das automatische updaten von windows werden jeden monat sicherheitslücken geschlossen durch die man schadcode einschläusen kann.
- updates mit secunia und file hippo.
diese programme helfen dir, die gesammte restliche software aktuell zu halten, auch hier werden lücken geschlossen, durch die angreifer schadcode einschläusen
wir nutzen 2 programme zum prüfen auf updates, um definitiv alle abzudecken.
die updates sollten immer sofort instaliert werden.
hiermit wird einem potentiellen angreifer die möglichkeit genommen schadcode einzuschläusen.
natürlich gibts immer unbekannte, bzw bekannte aber noch nicht geschlossene lücken.
deswegen:
eingeschrenktes nutzerkonto: dieses konto ist für die tägliche arbeit, das admin konto nur für instalationen.
hier werden programme mit eingeschrenkten rechten ausgestattet, somit wird malware die möglichkeit erschwert, sich im system festzusetzen.
uac:
die uac gibt dir kontrolle über prozesse die gestartet werden sollen, bitte meldungen genau lesen und im zweifelsfalle auf nein klicken.
dep und sehop tun dies ebenfalls.
- sandboxie ist ein wichtiger bestandteil, auf den ich schon eingegangen bin.
- avira:
auf ein antimalwareprogramm sollte man, zu mindest als einzellösung sich nicht verlassen.
es gibt jeden tag rund 50000 neue malware variannten, da kommt kein hersteller hinterher.
es ist aber, mit den anderen getroffenen maßnamen durchaus nützlich, wenn es, nach der geposteten anleitung konfiguriert, und damit auch immer aktuell ist.
das backup:
dieses kannst du nutzen, wenn:
- malware auf dem system ist
- es andere probleme mit dem pc gibt.
mit dem backup wird das system auf einen sauberen zustand wiederhergestellt, also führe es regelmäßig aus, dann hast du keine daten verlusste.

wenn du fragen hast, probleme, oder erfolgreich warst, melde dich bitte.