|
Win32.Katusha.o / Fraud.WindowsLive.BHO und Babylon.Toolbar- gelöscht, aber sind Sie wirklich weg? Moin, lange Zeit wurde ich, wenn ich bestimmte Seiten aufgerufen habe auf andere Seiten z.B. von Bigpoint weitergeleitet. Auch bei der Suchmaschine Google wurde ich beim anklicken der Suchergebnisse oftmals auf diverse andere Werbeseiten verlinkt. Da mein Avira oder die Vista Firewall nie etwas bemängelten, habe ich es in meiner Naivität einfach so hingenommen. Anfang dieser Woche hatte ich jedoch genug davon und betrieb Ursachenforschung… Ich las mich durch diverse Foren und fand Beiträge, die meinem Problem sehr ähnelten. Daraufhin installierte ich mir Spybot und Malwarebytes und jagte diese über mein System. Es hat sich herausgestellt, dass ich 3 schädliche Programme auf meinem Lap-Top hatte: 1. Win32.Katusha.o ( Trojaner ) 2. Babylon.Toolbar ( Adware C ) 3. Fraud.WindowsLive.BHO ( Malware C ) Bei der Beseitigung dieser Schädlinge traten keine Probleme auf und die oben beschriebenen Beschwerden habe ich auch nicht mehr. Weder Avira, Spybot noch Malwarebytes zeigen irgendwelche infizierten Objekte an. Seit dieser Reinigung bzw. der Installation der neuen “Virenjäger” sind mir jedoch zwei Dinge aufgefallen: 1. Nach der Anmeldung als Administrator erscheint ein kleines schwarzes Fenster, welches jedoch nur einen Augenblick lang dort verweilt, das einzige was ich dort lesen konnte war etwas wie “ System Win 32” oder so ähnlich… 2. Vista sagt mir das mein Avira Antivir Personal ausgeschaltet sei, was aber nicht stimmt. ( Avira sagt es sei aktiv und unter Task-Manager ( Prozesse) kann man es auch aktiv sehen). Aber irgendwie beschleicht mich das Gefühl, dass es zu einfach war und ich mache mir große Sorgen das mein System noch immer infiziert ist bzw. nun anfälliger für Trojaner, Viren, Keylogger, Spyware usw. Ich nutze meinen Lap-Top überwiegend zum Online spielen, daher vor allem die Angst das meine Accounts gehackt werden, aber auch für die Bezahlung eben dieser, also Online Banking. Sollte ich dies nun lieber sein lassen und mein System vorsichtshalber neu aufsetzen ? Oder sind meine Befürchtungen unbegründet? Ich würde mich sehr über einen professionellen Rat freuen, damit ich wieder ruhig schlafen kann. Danke. P.S. Ich habe versucht mich an die Forenanleitung zu halten und die angegebenen Scans durchgeführt. Da jedes Detail eventuell wichtig sein könnte sind mir 2 Dinge bei den Scans aufgefallen: 1. Defogger hat mich nicht zu einem Neustart aufgefordert. 2. Gmer hat beim ersten Scanversuch laut Vista: “ Nicht mehr funktioniert”..der 2. Verlief ohne Komplikationen. OTL-Extra + Gmer- Log befinden sich im Anhang. Hier das OTL-log:OTL Logfile: Code: OTL logfile created on: 12.08.2011 09:02:00 - Run 1 |
Zitat:
|
Das ist natürlich blöd, da ich das System bereits mit Spybot bereinigt habe und somit kein Log existiert oder doch? Habe leider keins gefunden, auch wenn dies nichts bringt poste ich mal die Logfile von Malwarebytes, die ich kurz nach dem Spybot scan + reinigung gemacht habe. Malwarebytes' Anti-Malware 1.51.1.1800 Malwarebytes : Free anti-malware, anti-virus and spyware removal download Datenbank Version: 7424 Windows 6.0.6002 Service Pack 2 Internet Explorer 9.0.8112.16421 10.08.2011 08:20:18 mbam-log-2011-08-10 (08-20-18).txt Art des Suchlaufs: Quick-Scan Durchsuchte Objekte: 154959 Laufzeit: 4 Minute(n), 15 Sekunde(n) Infizierte Speicherprozesse: 0 Infizierte Speichermodule: 0 Infizierte Registrierungsschlüssel: 0 Infizierte Registrierungswerte: 0 Infizierte Dateiobjekte der Registrierung: 0 Infizierte Verzeichnisse: 0 Infizierte Dateien: 0 Infizierte Speicherprozesse: (Keine bösartigen Objekte gefunden) Infizierte Speichermodule: (Keine bösartigen Objekte gefunden) Infizierte Registrierungsschlüssel: (Keine bösartigen Objekte gefunden) Infizierte Registrierungswerte: (Keine bösartigen Objekte gefunden) Infizierte Dateiobjekte der Registrierung: (Keine bösartigen Objekte gefunden) Infizierte Verzeichnisse: (Keine bösartigen Objekte gefunden) Infizierte Dateien: (Keine bösartigen Objekte gefunden) Edit: Habe gerade gesehen bei Spybot könnte ich die Schädlinge wiederherstellen...soll ich das tun und dann nochmal mit malwarebytes rübergehn um ein Log zu erstellen? |
Gibt es noch weitere Logs von Malwarebytes? Wenn ja bitte alle posten, die in Malwarebytes im Reiter Logdateien sichtbar sind. |
Babylon.Toolbar Einstellung HKEY_LOCAL_MACHINE\SOFTWEAR\Google\chrome\Extensions\dhkplhfn…. Win32.Katusha.o Bibliothek C:\Windows\System32\dpnathmp.dll Fraud.WindowsLive.BHO Daten C:\Windows\System32\C_202884.NLS Diese 3 stehen 2 Mal bei der Wiederherstellungsoption von Spybot. ( Bei Babylon.Toolbar sind noch weitere Buchstaben, konnte es nicht kopieren o. Ä. daher abgeschrieben.) |
Bitte Malwarebytes updaten und einen neuen Vollscan durchführen. Untersuche bitte alle Laufwerke. |
Siehe Anhang |
Entschuldige, aber ich habe ein wenig mehr Information bezüglich des kleinen schwarzen Fensters. Durch Zufall blieb es ein bisschen länger stehen, so dass ich etwas lesen konnte: " ... Parameter incorrect..." Nicht viel, aber vielleicht kannst du damit was anfangen. Ich frage mich ebenfalls, ob ich meinem Avira Antivir Personal überhaupt noch trauen kann, da es die drei Schädlinge nicht einmal erkannte. Habe nun erstmal die "agressiven" Einstellungen vorgenommen. |
Mach einen OTL-Fix, beende alle evtl. geöffneten Programme, auch Virenscanner deaktivieren (!), starte OTL und kopiere folgenden Text in die "Custom Scan/Fixes" Box (unten in OTL): (das ":OTL" muss mitkopiert werden!!!) Code: :OTLDas Logfile müsste geöffnet werden, wenn Du nach dem Fixen auf ok klickst, poste das bitte. Evtl. wird der Rechner neu gestartet. Die mit diesem Script gefixten Einträge, Dateien und Ordner werden zur Sicherheit nicht vollständig gelöscht, es wird eine Sicherheitskopie auf der Systempartition im Ordner "_OTL" erstellt. |
Verlief alles ohne Komplikationen, auch das schwarze Fenster ist nach dem Neustart nicht mehr aufgetaucht und Vista meldet Avira nicht als inaktiv. OTL-log: ========== OTL ========== Process Rezip.exe killed successfully! HKLM\SOFTWARE\Microsoft\Internet Explorer\Main\\Default_Page_URL| /E : value set successfully! HKCU\SOFTWARE\Microsoft\Internet Explorer\Main\\Default_Page_URL| /E : value set successfully! Registry value HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run\\SpybotSD TeaTimer deleted successfully. C:\Programme\Spybot - Search & Destroy\TeaTimer.exe moved successfully. Registry value HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\RunOnce\\SpybotDeletingB5256 deleted successfully. File move failed. C:\Windows\System32\COMMAND.COM scheduled to be moved on reboot. Registry value HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\RunOnce\\SpybotDeletingD3258 deleted successfully. File move failed. C:\Windows\System32\cmd.exe scheduled to be moved on reboot. Registry value HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\RunOnce\\SpybotDeletingD5994 deleted successfully. File move failed. C:\Windows\System32\cmd.exe scheduled to be moved on reboot. HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Cdrom\\AutoRun|DWORD:1 /E : value set successfully! C:\autoexec.bat moved successfully. D:\autoexec.bat moved successfully. ========== FILES ========== C:\Windows\Tasks\At1.job moved successfully. ========== COMMANDS ========== C:\Windows\System32\drivers\etc\Hosts moved successfully. HOSTS file reset successfully OTL by OldTimer - Version 3.2.26.1 log created on 08122011_213535 Files\Folders moved on Reboot... File move failed. C:\Windows\System32\COMMAND.COM scheduled to be moved on reboot. File move failed. C:\Windows\System32\cmd.exe scheduled to be moved on reboot. Registry entries deleted on Reboot... |
Bitte nun dieses Tool von Kaspersky ausführen und das Log posten => http://www.trojaner-board.de/82358-t...entfernen.html Das Tool so einstellen wie unten im Bild angegeben - also beide Haken setzen, auf Start scan klicken und wenn es durch ist auf den Button Report klicken um das Log anzuzeigen. Dieses bitte komplett posten. http://www.trojaner-board.de/attachm...rnen-start.png Falls du durch die Infektion auf deine Dokumente/Eigenen Dateien nicht zugreifen kannst, Verknüpfungen auf dem Desktop oder im Startmenü unter "alle Programme" fehlen, bitte unhide ausführen: Downloade dir bitte unhide.exe und speichere diese Datei auf deinem Desktop. Starte das Tool und es sollten alle Dateien und Ordner wieder sichtbar sein. ( Könnte eine Weile dauern ) http://www.trojaner-board.de/images/icons/icon4.gif Windows-Vista und Windows-7-User müssen das Tool per Rechtsklick als Administrator ausführen! http://www.trojaner-board.de/images/icons/icon4.gif |
Probleme mit Dokumente/Eigene Dateien, habe ich glücklicherweise nicht, aber danke für den Tipp. Die Log von Kaspersky befindet sich im Anhang. |
Dann bitte jetzt CF ausführen: ComboFix Ein Leitfaden und Tutorium zur Nutzung von ComboFix
Combofix darf ausschließlich ausgeführt werden, wenn ein Kompetenzler dies ausdrücklich empfohlen hat! |
Moin, musste nach dem Combofix meinen Laptop neustarten, da ich keine Internetverbindung herstellen konnte. Und hier das Combofix Log: Combofix Logfile: Code: ComboFix 11-08-15.07 - Mustermann 15.08.2011 20:52:52.1.2 - x86 |
Ok. Bitte nun Logs mit GMER und OSAM erstellen und posten. GMER stürzt häufiger ab, wenn das Tool auch beim 2. Mal nicht will, lass es einfach weg und führ nur OSAM aus - die Online-Abfrage durch OSAM bitte überspringen. Bei OSAM bitte darauf auch achten, dass Du das Log auch als *.log und nicht *.html oder so abspeicherst. Hinweis: Zum Entpacken von OSAM bitte WinRAR oder 7zip verwenden! Stell auch unbedingt den Virenscanner ab, besonders der Scanner von McAfee meldet oft einen Fehalarm in OSAM! Downloade dir bitte  aswMBR.exe und speichere die Datei auf deinem Desktop.
Wichtig: Drücke keinesfalls einen der Fix Buttons ohne Anweisung Hinweis: Sollte der Scan Button ausgeblendet sein, schließe das Tool und starte es erneut. Sollte der Scan abbrechen und das Programm abstürzen, dann teile mir das mit und wähle unter AV Scan die Einstellung (none). |
Nach dem 1. Versuch mit Gmer zu scanen, wurde der Bildschirm Blau und dort stand etwas wie: " Um den Computer vor schäden zu bewahren, wird das System heruntergefahren..." Der zweite Versuch wurde auch abgebrochen. OSAM Logfile: Code: Report of OSAM: Autorun Manager v5.0.11926.0If You have questions or want to get some help, You can visit hxxp://forum.online-solutions.ru aswMBR version 0.9.8.978 Copyright(c) 2011 AVAST Software Run date: 2011-08-16 05:58:48 ----------------------------- 05:58:48.815 OS Version: Windows 6.0.6002 Service Pack 2 05:58:48.815 Number of processors: 2 586 0x170A 05:58:48.815 ComputerName: MustermannPC UserName: Mustermann 05:58:50.281 Initialize success 06:01:44.401 AVAST engine defs: 11081501 06:02:18.752 Disk 0 (boot) \Device\Harddisk0\DR0 -> \Device\Ide\IAAStorageDevice-1 06:02:18.752 Disk 0 Vendor: WDC_WD32 11.0 Size: 305245MB BusType: 3 06:02:18.768 Disk 0 MBR read successfully 06:02:18.783 Disk 0 MBR scan 06:02:18.799 Disk 0 Windows VISTA default MBR code 06:02:18.799 Disk 0 scanning sectors +625139712 06:02:18.908 Disk 0 scanning C:\Windows\system32\drivers 06:02:30.000 Service scanning 06:02:31.435 Modules scanning 06:02:36.006 Disk 0 trace - called modules: 06:02:36.021 ntkrnlpa.exe CLASSPNP.SYS disk.sys iaStor.sys hal.dll 06:02:36.021 1 nt!IofCallDriver -> \Device\Harddisk0\DR0[0x86e11ac8] 06:02:36.037 3 CLASSPNP.SYS[8b1a18b3] -> nt!IofCallDriver -> \Device\Ide\IAAStorageDevice-1[0x85d3d028] 06:02:37.737 AVAST engine scan C:\Windows 06:02:45.225 AVAST engine scan C:\Windows\system32 06:05:22.941 AVAST engine scan C:\Windows\system32\drivers 06:05:35.952 AVAST engine scan C:\Users\jesco 06:08:17.037 AVAST engine scan C:\ProgramData 06:08:49.907 Scan finished successfully 06:09:22.146 Disk 0 MBR has been saved successfully to "C:\Users\Mustermann\Desktop\MBR.dat" 06:09:22.146 The log file has been saved successfully to "C:\Users\Mustermann\Desktop\aswMBR.txt" |
Sieht ok aus. Mach bitte zur Kontrolle Vollscans mit Malwarebytes und SASW und poste die Logs. Denk dran beide Tools zu updaten vor dem Scan!! Anschließend über den OnlineScanner von ESET eine zusätzliche Meinung zu holen ist auch nicht verkehrt: ESET Online Scanner
|
Moin, hat alles gut geklappt. Superantispyware hat 4 "tracking Cookies" gefunden, habe sie entfernen lassen, hoffe das war nicht verkehrt. SUPERAntiSpyware Scan Log hxxp://www.superantispyware.com Generated 08/16/2011 at 09:52 PM Application Version : 5.0.1118 Core Rules Database Version : 7570 Trace Rules Database Version: 5382 Scan type : Complete Scan Total Scan Time : 01:08:52 Operating System Information Windows Vista Home Premium 32-bit, Service Pack 2 (Build 6.00.6002) UAC On - Administrator Memory items scanned : 591 Memory threats detected : 0 Registry items scanned : 37056 Registry threats detected : 0 File items scanned : 133181 File threats detected : 4 Adware.Tracking Cookie .media6degrees.com [ C:\USERS\Mustermann\APPDATA\ROAMING\MOZILLA\FIREFOX\PROFILES\ZDR8LBGA.DEFAULT\COOKIES.SQLITE ] .media6degrees.com [ C:\USERS\Mustermann\APPDATA\ROAMING\MOZILLA\FIREFOX\PROFILES\ZDR8LBGA.DEFAULT\COOKIES.SQLITE ] .advertising.com [ C:\USERS\Mustermann\APPDATA\ROAMING\MOZILLA\FIREFOX\PROFILES\ZDR8LBGA.DEFAULT\COOKIES.SQLITE ] .tribalfusion.com [ C:\USERS\Mustermann\APPDATA\ROAMING\MOZILLA\FIREFOX\PROFILES\ZDR8LBGA.DEFAULT\COOKIES.SQLITE ] Malwarebytes' Anti-Malware 1.51.1.1800 www.malwarebytes.org Datenbank Version: 7481 Windows 6.0.6002 Service Pack 2 Internet Explorer 9.0.8112.16421 16.08.2011 22:00:26 mbam-log-2011-08-16 (22-00-26).txt Art des Suchlaufs: Quick-Scan Durchsuchte Objekte: 158556 Laufzeit: 3 Minute(n), 51 Sekunde(n) Infizierte Speicherprozesse: 0 Infizierte Speichermodule: 0 Infizierte Registrierungsschlüssel: 0 Infizierte Registrierungswerte: 0 Infizierte Dateiobjekte der Registrierung: 0 Infizierte Verzeichnisse: 0 Infizierte Dateien: 0 Infizierte Speicherprozesse: (Keine bösartigen Objekte gefunden) Infizierte Speichermodule: (Keine bösartigen Objekte gefunden) Infizierte Registrierungsschlüssel: (Keine bösartigen Objekte gefunden) Infizierte Registrierungswerte: (Keine bösartigen Objekte gefunden) Infizierte Dateiobjekte der Registrierung: (Keine bösartigen Objekte gefunden) Infizierte Verzeichnisse: (Keine bösartigen Objekte gefunden) Infizierte Dateien: (Keine bösartigen Objekte gefunden) ESETSmartInstaller@High as downloader log: all ok ESETSmartInstaller@High as downloader log: all ok # version=7 # OnlineScannerApp.exe=1.0.0.1 # OnlineScanner.ocx=1.0.0.6528 # api_version=3.0.2 # EOSSerial=4b22d92fde317d498f9ba59c377d1d7f # end=stopped # remove_checked=false # archives_checked=true # unwanted_checked=true # unsafe_checked=false # antistealth_checked=true # utc_time=2011-08-16 08:25:01 # local_time=2011-08-16 10:25:01 (+0100, Mitteleuropäische Sommerzeit) # country="Germany" # lang=1033 # osver=6.0.6002 NT Service Pack 2 # compatibility_mode=1280 16777215 100 0 0 0 0 0 # compatibility_mode=1797 16775165 100 94 359075 50062271 82933 0 # compatibility_mode=5892 16776573 100 100 396016 151058143 0 0 # compatibility_mode=8192 67108863 100 0 359 359 0 0 # scanned=33256 # found=0 # cleaned=0 # scan_time=885 ESETSmartInstaller@High as downloader log: all ok # version=7 # OnlineScannerApp.exe=1.0.0.1 # OnlineScanner.ocx=1.0.0.6528 # api_version=3.0.2 # EOSSerial=4b22d92fde317d498f9ba59c377d1d7f # end=finished # remove_checked=false # archives_checked=true # unwanted_checked=true # unsafe_checked=false # antistealth_checked=true # utc_time=2011-08-17 04:43:13 # local_time=2011-08-17 06:43:13 (+0100, Mitteleuropäische Sommerzeit) # country="Germany" # lang=1033 # osver=6.0.6002 NT Service Pack 2 # compatibility_mode=1280 16777215 100 0 0 0 0 0 # compatibility_mode=1797 16775165 100 94 384767 50087963 108625 0 # compatibility_mode=5892 16776573 100 100 421708 151083835 0 0 # compatibility_mode=8192 67108863 100 0 26051 26051 0 0 # scanned=135469 # found=0 # cleaned=0 # scan_time=5085 |
Sieht ok aus, da wurden nur Cookies gefunden. Noch Probleme oder weitere Funde in der Zwischenzeit? |
Nabend, ne läuft alles ohne Probleme vielen Dank für deine Mühe. Eines wäre da noch, kann ich die ganzen Tools, die ich nun unter deiner Anweisung installiert habe wieder deinstallieren? Oder anders gefragt, welche sollte ich drauf behalten? |
Dann wären wir durch! :abklatsch: Die Programme, die hier zum Einsatz kamen, können alle wieder runter. CF kann über Start, Ausführen mit combofix /uninstall entfernt werden. Melde dich falls es da Fehlermeldungen zu gibt. Malwarebytes zu behalten ist kein Fehler. Kannst ja 1x im Monat damit scannen, aber immer vorher ans Update denken. Bitte abschließend die Updates prüfen, unten mein Leitfaden dazu. Um in Zukunft die Aktualität der installierten Programme besser im Überblick zu halten, kannst du zB Secunia PSI verwenden. Für noch mehr Sicherheit solltest Du nach der beseitigten Infektion auch möglichst alle Passwörter ändern. Microsoftupdate Windows XP: Besuch mit dem IE die MS-Updateseite und lass Dir alle wichtigen Updates installieren. Windows Vista/7: Anleitung Windows-Update PDF-Reader aktualisieren Ein veralteter AdobeReader stellt ein großes Sicherheitsrisiko dar. Du solltest daher besser alte Versionen vom AdobeReader über Systemsteuerung => Software bzw. Programme und Funktionen deinstallieren, indem Du dort auf "Adobe Reader x.0" klickst und das Programm entfernst. (falls du AdobeReader installiert hast) Ich empfehle einen alternativen PDF-Reader wie PDF Xchange Viewer, SumatraPDF oder Foxit PDF Reader, die sind sehr viel schlanker und flotter als der AdobeReader. Bitte überprüf bei der Gelegenheit auch die Aktualität des Flashplayers, hier der direkte Downloadlink: Mozilla und andere Browser => http://filepony.de/?q=Flash+Player Internet Explorer => http://fpdownload.adobe.com/get/flas..._player_ax.exe Natürlich auch darauf achten, dass andere installierte Browser wie zB Firefox, Opera oder Chrome aktuell sind. Java-Update Veraltete Java-Installationen sind ein Sicherheitsrisiko, daher solltest Du die alten Versionen löschen (falls vorhanden, am besten mit JavaRa) und auf die neuste aktualisieren. Beende dazu alle Programme (v.a. die Browser), klick danach auf Start, Systemsteuerung, Software und deinstalliere darüber alle aufgelisteten Java-Versionen. Lad Dir danach von hier das aktuelle Java SE Runtime Environment (JRE) herunter und installiere es. |
Moin, das hört sich doch gut an, vielen Dank für die nette Hilfe. Habe mich hoffentlich richtig an den Leitfaden gehalten, einzig die entfernung von Combofix ist Fehlgeschlagen. Vista meldet mir: " combofix konnte nicht gefunden werden. Stellen Sie sicher, dass Sie den namen richtig eingegeben haben und wiederholen Sie den Vorgang." |
Befehl richtig geschrieben? Richtig: combofix /uninstall Falsch: combofix/uninstall Ansonsten mal cofi /uninstall probieren. Wenn es nicht geht, CF einfach vom Desktop und den Ordner C:\Qoobox löschen. |
Nabend, ich nerv dich ja nur ungern, aber leider bekomme ich den Ordner C:\Qoobox\BackEnv nicht gelöscht. War nicht falsch geschrieben und hab auch versucht ihn so zu löschen, nur leider meldet Vista immer, dass ich keine Berechtigung habe diesen Ordner zu löschen. Ich habe unter Eigenschaften--Sicherheit -- versucht die Berechtigung zu erteilen, mittlerweile hat "jeder Benutzter" des Laptops Vollzugriff. Und wenn ich nur unter die Eigenschaften des Ordners BackEnv gehe, sagt mir Windows-Sicherheitfenster: " Die Berechtigungsinformationen für BackEnv wurden nicht gespeichert. Zurgriff verweigert " |
Versuch es mit dem Unlocker zu löschen - oder via Live-CD (Knoppix oder Ubuntu im Ausprobiermodus) |
Jo hat mit Unlocker wunderbar geklappt. Vielen Dank für deine Hilfe und schönes Wochenende. |
| Alle Zeitangaben in WEZ +1. Es ist jetzt 09:50 Uhr. |
Copyright ©2000-2025, Trojaner-Board
