Trojaner-Board

Trojaner-Board (https://www.trojaner-board.de/)
-   Log-Analyse und Auswertung (https://www.trojaner-board.de/log-analyse-auswertung/)
-   -   Keine websearch in Firefox & IE: syntax error hxxp://johndoeppctest.com/ads_prod; (Warnung Telekom) (https://www.trojaner-board.de/99804-keine-websearch-firefox-ie-syntax-error-hxxp-johndoeppctest-com-ads_prod-warnung-telekom.html)

MrKing 31.05.2011 21:19
Keine websearch in Firefox & IE: syntax error hxxp://johndoeppctest.com/ads_prod; (Warnung Telekom)
 
Hallo,

wie schon von Realbiker gepostet habe auch ich das Problem, dass weder mit Firefox noch mit dem Internet Explorer eine google websearch möglich ist.
Opera funktioniert hingegen scheinbar problemlos.

In Firefox erscheint folgende Fehlermeldung:
Fehler: syntax error

Quelldatei: hxxp://johndoeppctest.com/ads_prod.php
Zeile: 1
Quelltext:
<!DOCTYPE html PUBLIC "-//W3C//DTD XHTML 1.0 Transitional//EN" "hxxp://www.w3.org/TR/xhtml1/DTD/xhtml1-transitional.dtd">


Gestern erhielt ich dann von der Telekom eine mail, die mich darauf hinwies, dass von meinem Zugang unerwünschte Zugriffe auf fremde Rechner erfolgt sind...

Verschiedenste Versuche meinerseits den Rechner von dem Übeltäter zu befreien u.a. mit spybot, antivir und malwarebytes sind leider fehlgeschlagen (keine Funde).

Nun hoffe ich hier einen freundlichen Helfer anzutreffen, der mir bei diesem Problem weiterhelfen kann.

Die erforderlichen Logfiles habe ich nach Anleitung erstellt und angehängt.


Schon mal Danke für Eure Hilfe!
MrKing

cosinus 31.05.2011 21:52
Poste trotzdem bitte mal alle Logs von Malwarebytes, das enthält ein paar mehr Infos als Fund oder kein Fund :)

MrKing 01.06.2011 14:59
Hallo Arne,

danke für die schnelle Rückmeldung!!Leider kann ich nur mir einem aktuellen Malwarebytes Log dienen. Ältere Logs wurden leider von mir gelöscht...:heulen:
Ich hoffe, dies hilft trotzdem weiter...

Grüße MrKing

cosinus 01.06.2011 15:24
Zitat:
[2011.05.30 19:41:41 | 000,000,000 | ---D | M] -- C:\CF
[2011.05.30 19:51:50 | 000,000,000 | ---D | M] -- C:\CF23773C
http://www.trojaner-board.de/images/icons/icon4.gif Einen ganz klaren Hinweis gibt es auch zu http://www.trojaner-board.de/95175-combofix.html http://www.trojaner-board.de/images/icons/icon4.gif
Zitat:

Wichtiger Hinweis:
Combofix darf ausschließlich ausgeführt werden, wenn ein Kompetenzler dies ausdrücklich empfohlen hat!
Es sollte nie auf eigene Initiative hin ausgeführt werden! Eine falsche Benutzung kann ernsthafte Computerprobleme nach sich ziehen und eine Bereinigung der Infektion noch erschweren.

Wer hat dich angewiesen das auszuführen? Wieso erwähnst du das nichtmal und postesst auch nicht das Log!?

MrKing 01.06.2011 15:38
Sorry, der Hinweis kam für mich leider zu spät, da ich auf der Suche nach einer Lösung zunächst in einigen anderen (englischsprachigen) Foren (als Mitleser) unterwegs war und dort bin ich auf ComboFix gestoßen. Asche auf mein Haupt...

Grüße
MrKing

cosinus 01.06.2011 20:01
Mach einen OTL-Fix, beende alle evtl. geöffneten Programme, auch Virenscanner deaktivieren (!), starte OTL und kopiere folgenden Text in die "Custom Scan/Fixes" Box (unten in OTL): (das ":OTL" muss mitkopiert werden!!!)

Code:
:OTL
IE - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings: "ProxyOverride" = 127.0.0.1;192.168.*.*
IE - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings: "ProxyServer" = 127.0.0.1:4001
@Alternate Data Stream - 152 bytes -> C:\Programme\Windows Home Server:{4D006700-7700-7900-7200-460069007300}
@Alternate Data Stream - 146 bytes -> C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\TEMP:5F64C164
@Alternate Data Stream - 118 bytes -> C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\TEMP:DFC5A2B2
:Commands
[purity]
[resethosts]
Klick dann oben links auf den Button Fix!
Das Logfile müsste geöffnet werden, wenn Du nach dem Fixen auf ok klickst, poste das bitte. Evtl. wird der Rechner neu gestartet.

Die mit diesem Script gefixten Einträge, Dateien und Ordner werden zur Sicherheit nicht vollständig gelöscht, es wird eine Sicherheitskopie auf der Systempartition im Ordner "_OTL" erstellt.

MrKing 01.06.2011 21:05
Hallo Arne,

ich bin wie von dir beschrieben vorgegangen. Das Problem mit den Browsern besteht nach wie vor. Das Logfile ist anbei. Danke für die Unterstützung!

MrKing

cosinus 01.06.2011 22:07
Bitte nun dieses Tool von Kaspersky ausführen und das Log posten => http://www.trojaner-board.de/82358-t...entfernen.html

Das Tool so einstellen wie unten im Bild angegeben - also beide Haken setzen, auf Start scan klicken und wenn es durch ist auf den Button Report klicken um das Log anzuzeigen. Dieses bitte komplett posten.

http://www.trojaner-board.de/attachm...rnen-start.png


Falls du durch die Infektion auf deine Dokumente/Eigenen Dateien nicht zugreifen kannst, bitte unhide ausführen:
Downloade dir bitte unhide.exe und speichere diese Datei auf deinem Desktop.
Starte das Tool und es sollten alle Dateien und Ordner wieder sichtbar sein. ( Könnte eine Weile dauern )
http://www.trojaner-board.de/images/icons/icon4.gif Vista und 7 User müssen das Tool per Rechtsklick als Administrator ausführen! http://www.trojaner-board.de/images/icons/icon4.gif

MrKing 01.06.2011 23:30
Auf meine eigenen Dateien kann ich zugreifen und auch ansonsten verhält sich mein PC unauffällig. Allerdings besteht das benannte Problem nach der Ausführung von TDSSKiller weiterhin.

Grüße
MrKing

cosinus 02.06.2011 00:46
Zitat:
2011/06/01 23:47:51.0140 3200 MBR (0x1B8) (eeadaf356113e54427e990a5bcad82b5) \Device\Harddisk2\DR2

2011/06/01 23:47:51.0140 3200 \Device\Harddisk2\DR2 - copied to quarantine

2011/06/01 23:47:51.0140 3200 Rootkit.Win32.BackBoot.gen(\Device\Harddisk2\DR2) - User select action: Quarantine
Da wurde ein Rootkit erkannt und entfernt. Bitte Windows neu starten und zur Kontrolle ein neues Log mit dem Kaspersky-TDSS-Killer machen.

MrKing 02.06.2011 20:58
Hallo Arne,

hier das neue Log. Ich weiß nicht, ob es relevant ist, aber TDSS-Killer erkennt zwar den Schädling, aber im Kontext-Menü steht nur zur Wahl skip, quarantine (von mir ausgeführt) oder restore, nicht aber delete oder cure.
Websearch funktioniert nach wie vor leider nicht. In der Firefox Fehlerkonsole erscheint immer noch die o. g. syntax error Meldung.

Grüße
MrKing

cosinus 03.06.2011 11:02
Combofix - Scripten

1. Starte das Notepad (Start / Ausführen / notepad[Enter])

2. Jetzt füge mit copy/paste den ganzen Inhalt der untenstehenden Codebox in das Notepad Fenster ein.

Code:
Registry::
[HKEY_CURRENT_USER\software\microsoft\windows\currentversion\run-]
"Setinx"=-
[HKEY_LOCAL_MACHINE\software\microsoft\windows\currentversion\run-]
"QuickTime Task"=-
"UpdReg"=-
"MXOBG"=-
[HKLM\~\services\sharedaccess\parameters\firewallpolicy\standardprofile\GloballyOpenPorts\List]
"779:TCP"=-
"789:UDP"=-
"3587:TCP"=-
"3540:UDP"=-
"3389:TCP"=-
"65533:TCP"=-
"52344:TCP"=-

Reglockdel::
[HKEY_USERS\.Default\Software\Microsoft\Internet Explorer\User Preferences]

Regnull::
[HKEY_LOCAL_MACHINE\software\Microsoft\Windows\CurrentVersion\Installer\UserData\LocalSystem\Components\Ø•€|ÿÿÿÿ•€|ù•6~*]

File::
c:\dokumente und einstellungen\NetworkService\Anwendungsdaten\Adobe\Update\widnat.dat
c:\windows\MXOALDR.EXE
3. Speichere im Notepad als CFScript.txt auf dem Desktop.

4. Deaktivere den Guard Deines Antivirenprogramms und eine eventuell vorhandene Software Firewall.
(Auch Guards von Ad-, Spyware Programmen und den Tea Timer (wenn vorhanden) !)

5. Dann ziehe die CFScript.txt auf die cofi.exe, so wie es im unteren Bild zu sehen ist. Damit wird Combofix neu gestartet.

http://users.pandora.be/bluepatchy/m...s/CFScript.gif

6. Nach dem Neustart (es wird gefragt ob Du neustarten willst), poste bitte die folgenden Log Dateien:
Combofix.txt

Hinweis: Das obige Script ist nur für diesen einen User in dieser Situtation erstellt worden. Es ist auf keinen anderen Rechner portierbar und darf nicht anderweitig verwandt werden, da es das System nachhaltig schädigen kann!

MrKing 03.06.2011 13:15
Die Symptome sind verschwunden!!

Grüße
MrKing

cosinus 03.06.2011 14:58
Ok. Bitte nun Logs mit GMER und OSAM erstellen und posten.
GMER stürzt häufiger ab, wenn das Tool auch beim 2. Mal nicht will, lass es einfach weg und führ nur OSAM aus - die Online-Abfrage durch OSAM bitte überspringen.
Bei OSAM bitte darauf auch achten, dass Du das Log auch als *.log und nicht *.html oder so abspeicherst.


Downloade Dir danach bitte MBRCheck (by a_d_13) und speichere die Datei auf dem Desktop.
  • Doppelklick auf die MBRCheck.exe.
    Vista und Win7 User mit Rechtsklick "als Administrator starten"
  • Das Tool braucht nur wenige Sekunden.
  • Danach solltest du eine MBRCheck_<Datum>_<Uhrzeit>.txt auf dem Desktop finden.
Poste mir bitte den Inhalt des .txt Dokumentes

MrKing 03.06.2011 19:57
Hat leider etwas gedauert. Gmer braucht seine Zeit. Hier nun die 3 logfiles.

Grüße
MrKing

cosinus 03.06.2011 21:05
Sieht ok aus. Mach bitte zur Kontrolle Vollscans mit Malwarebytes und SASW und poste die Logs.
Denk dran beide Tools zu updaten vor dem Scan!!


Anschließend über den OnlineScanner von ESET eine zusätzliche Meinung zu holen ist auch nicht verkehrt:


ESET Online Scanner

  • Hier findest du eine bebilderte Anleitung zu ESET Online Scanner
  • Lade und starte Eset Online Scanner
  • Setze einen Haken bei Ja, ich bin mit den Nutzungsbedingungen einverstanden und klicke auf Starten.
  • Aktiviere die "Erkennung von eventuell unerwünschten Anwendungen" und wähle folgende Einstellungen.
  • Klicke auf Starten.
  • Die Signaturen werden heruntergeladen, der Scan beginnt automatisch.
  • Klicke am Ende des Suchlaufs auf Fertig stellen.
  • Schließe das Fenster von ESET.
  • Explorer öffnen.
  • C:\Programme\Eset\EsetOnlineScanner\log.txt (bei 64 Bit auch C:\Programme (x86)\Eset\EsetOnlineScanner\log.txt) suchen und mit Deinem Editor öffnen (bebildert).
  • Logfile hier posten.
  • Deinstallation: Systemsteuerung => Software / Programme deinstallieren => Eset Online Scanner V3 entfernen.
  • Manuell folgenden Ordner löschen und Papierkorb leeren => C:\Programme\Eset


MrKing 04.06.2011 23:16
Hallo Arne,

ich habe die Scans wie angegeben durchgeführt und es gab noch weitere Funde!


Grüße
MrKing

cosinus 05.06.2011 13:04
Zitat:
F:\Programme Kopieren und Brennen\Any DVD\SlySoft Any DVD HD v.6.3.0.3.rar a variant of Win32/Keygen.AE application (unable to clean) 00000000000000000000000000000000 I

F:\Programme Kopieren und Brennen\Any DVD\SlySoft Any DVD HD v.6.3.0.3\SlySoft.AnyDVD.HD.v6.3.0.3.Working.Multilingual.WinAll.Incl.Keygen.and.Patch-BRD
Sowas will ich hier nicht sehen! :pfui:
Hast du den Müll installiert/ausgeführt?

MrKing 05.06.2011 13:27
Hallo Arne,

ich habe die Hinweise zu patches usw. gelesen. Der Rechner hat schon einige Jahre auf dem Buckel und das von dir zu Recht angemahnte Programm ist schon lange nicht mehr installiert...

Grüße
MrKing

cosinus 05.06.2011 14:27
Wenn die Cracks schon mal ausgeführt wurden und der Rechner auch schon Jahre auf dem Buckel hat, solltest du ihn bei Gelegenheit mal komplett formatieren und neu installieren.

Zitat:
F:\Programme Utilities\PDF\Acrobat neu\Adobe.Acrobat.Professional.Extended.9.2.0.124..ML.part1.rar
Ist auch so ein Kandidat.
Und ich seh installierte Sachen wie

O&O Defrag Professional
ABBYY FineReader 9.0 Professional Edition
SiSoftware Sandra Professional Business XII

Sind die wirklich alle legal? :pfeiff:

MrKing 05.06.2011 14:47
OK. Werd ich dann wohl oder übel mal machen müssen, damit ich die alten Sünden restlos los werde!Auf jeden Fall nochmal Danke für die professionelle Hilfe!

Grüße
MrKing


Alle Zeitangaben in WEZ +1. Es ist jetzt 02:46 Uhr.

Copyright ©2000-2025, Trojaner-Board


Search Engine Optimization by vBSEO ©2011, Crawlability, Inc.

1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 18 19 20 21 22 23 24 25 26 27 28 29 30 31 32 33 34 35 36 37 38 39 40 41 42 43 44 45 46 47 48 49 50 51 52 53 54 55 56 57 58 59 60 61 62 63 64 65 66 67 68 69 70 71 72 73 74 75 76 77 78 79 80 81 82 83 84 85 86 87 88 89 90 91 92 93 94 95 96 97 98 99 100 101 102 103 104 105 106 107 108 109 110 111 112 113 114 115 116 117 118 119 120 121 122 123 124 125 126 127 128 129 130 131