Trojaner-Board - TrojanGeneric.KDV.617269(EngineA) // Trojan Downloader.NurechX (EngineA) usw.

Trojaner-Board (https://www.trojaner-board.de/)

- Plagegeister aller Art und deren Bekämpfung (https://www.trojaner-board.de/plagegeister-aller-art-deren-bekaempfung/)

- - TrojanGeneric.KDV.617269(EngineA) // Trojan Downloader.NurechX (EngineA) usw. (https://www.trojaner-board.de/126623-trojangeneric-kdv-617269-enginea-trojan-downloader-nurechx-enginea-usw.html)

Auffällig war mir auch, dass beim Start von Firefox immer ein Werbefenster im Hintergrund aufpoppt.
Aufgefallen ist mir auch, wenn ich mein web.de-Mailfach verlasse, dass dann ein Hinweis kommt, ob ich die Umleitung zulassen möchte. Das hatte ich bisher angeklickt um auf die Hauptseite von web.de zu kommen.

Du meinst, ob du eine sichere Seite verlassen willst?
Kann sein, dass beim combofix scan einige einstellungen zurück gesetzt wurden.
Hast du die Löschung mit hitmanpro hinbekommen?
läuft gdata wieder?

Hi Marcus,
den Scan mit HitmanPro habe ich nochmals laufen lassen.
Ich konnte jedoch die Bereinigung nicht aktivieren.
Dies ist nur möglich, wenn das Programm erworben wird.
Siehe beigefügte Kopie HitmanPro_Kaufhinweis.jpg
Kannst Du mir evtl. den Link für die Testversion senden?
Oder ist ein Erwerb erforderlich?
Unter Hitman Pro Download - NETZWELT habe ich einen Gratisdownload (aktualisiert 10.10.2012) gefunden.
Soll ich diese Gratisversion herunterladen ?

Heute habe ich festgestellt, dass nach dem Start von Firefox als Startseite wieder Search erschienen war.
In der Systemsteuerung habe ich als Startdatei bei den Internetoptionen aber Google stehen.
Soll ich evtl. Firefox schon mal vorab deinstallieren.

Hi Marcus,
soeben habe ich festgestellt, dass ich den Virenscan von GData überhaupt nicht mehr starten kann.
Zunächst war das „GData Antivirus“-Symbol rechts unten überhaupt nicht mehr sichtbar.
Nach einigen Minuten war das Symbol dann doch rechts unten am Monitor aufgetaucht.
Es ließ sich aber mit der rechten Maustaste aber nicht mehr ansprechen.
Darauf hin hatte ich den PC heruntergefahren.
Nach dem Hochfahren ist das GData Antivirus-Symbol nicht mehr erschienen.
Der Programmpfad ist aber noch vorhanden.
Ein Interneteinloggen auf diesem PC ist wohl derzeit ein ziemliches Problem.
Ich weiche derzeit auf einen anderen PC aus.

… Programmpfad C:\Program Files (x86)\G Data\AVKClient mit Inhalten ist enthalten.

versuch erst mal folgenes:
Downloade Dir bitte AdwCleaner auf deinen Desktop.

Starte die adwcleaner.exe mit einem Doppelklick.
Klicke auf Suche.
Nach Ende des Suchlaufs öffnet sich eine Textdatei.
Poste
mir den Inhalt mit deiner nächsten Antwort.
Die Logdatei findest du auch unter C:\AdwCleaner[R1].txt.

Hi Marcus,
hier das Ergebnis von AdwCleaner (teilweise anonymisiert):

Code:

# AdwCleaner v2.008 - Datei am 24/11/2012 um 01:32:42 erstellt

# Aktualisiert am 17/11/2012 von Xplode

# Betriebssystem : Windows 7 Professional Service Pack 1 (64 bits)

# Benutzer : [Name] - PC01

# Bootmodus : Normal

# Ausgeführt unter : C:\Users\[Name]\Desktop\adwcleaner.exe

# Option [Suche]
 
 

**** [Dienste] ****
 
 

***** [Dateien / Ordner] *****
 

Datei Gefunden : C:\Program Files (x86)\Mozilla FireFox\searchplugins\Search_Results.xml

Datei Gefunden : C:\Users\[Name]\AppData\Roaming\Mozilla\Firefox\Profiles\rd42lxr8.default\searchplugins\Search_Results.xml

Ordner Gefunden : C:\Program Files (x86)\Common Files\AVG Secure Search

Ordner Gefunden : C:\Program Files (x86)\Searchqu Toolbar

Ordner Gefunden : C:\ProgramData\boost_interprocess

Ordner Gefunden : C:\Users\[Name]\AppData\LocalLow\Searchqutoolbar

Ordner Gefunden : C:\Users\[Name]\AppData\Roaming\Mozilla\Firefox\Profiles\rd42lxr8.default\extensions\{99079a25-328f-4bd4-be04-00955acaa0a7}

Ordner Gefunden : C:\Users\[Name]\AppData\Roaming\Mozilla\Firefox\Profiles\rd42lxr8.default\Searchqutoolbar
 

***** [Registrierungsdatenbank] *****
 

Daten Gefunden : HKLM\..\Windows [AppInit_DLLs] = C:\PROGRA~2\SEARCH~1\Datamngr\datamngr.dll

Daten Gefunden : HKLM\..\Windows [AppInit_DLLs] = C:\PROGRA~2\SEARCH~1\Datamngr\IEBHO.dll

Schlüssel Gefunden : HKCU\Software\DataMngr

Schlüssel Gefunden : HKCU\Software\DataMngr_Toolbar

Schlüssel Gefunden : HKCU\Software\Microsoft\Windows\CurrentVersion\Ext\Settings\{9D717F81-9148-4F12-8568-69135F087DB0}

Schlüssel Gefunden : HKCU\Software\Microsoft\Windows\CurrentVersion\Ext\Stats\{9D717F81-9148-4F12-8568-69135F087DB0}

Schlüssel Gefunden : HKLM\SOFTWARE\Classes\SearchQUIEHelper.DNSGuard

Schlüssel Gefunden : HKLM\SOFTWARE\Classes\SearchQUIEHelper.DNSGuard.1

Schlüssel Gefunden : HKLM\SOFTWARE\Classes\TypeLib\{5B4144E1-B61D-495A-9A50-CD1A95D86D15}

Schlüssel Gefunden : HKLM\SOFTWARE\Classes\TypeLib\{6A4BCABA-C437-4C76-A54E-AF31B8A76CB9}

Schlüssel Gefunden : HKLM\SOFTWARE\Classes\TypeLib\{841D5A49-E48D-413C-9C28-EB3D9081D705}

Schlüssel Gefunden : HKLM\Software\DataMngr

Schlüssel Gefunden : HKLM\SOFTWARE\Microsoft\Tracing\SearchquMediaBar_RASAPI32

Schlüssel Gefunden : HKLM\SOFTWARE\Microsoft\Tracing\SearchquMediaBar_RASMANCS

Schlüssel Gefunden : HKLM\SOFTWARE\Microsoft\Tracing\SetupDataMngr_Searchqu_RASAPI32

Schlüssel Gefunden : HKLM\SOFTWARE\Microsoft\Tracing\SetupDataMngr_Searchqu_RASMANCS

Schlüssel Gefunden : HKLM\Software\SearchquMediabarTb

Schlüssel Gefunden : HKLM\SOFTWARE\Wow6432Node\Classes\CLSID\{99079A25-328F-4BD4-BE04-00955ACAA0A7}

Schlüssel Gefunden : HKLM\SOFTWARE\Wow6432Node\Classes\CLSID\{9D717F81-9148-4F12-8568-69135F087DB0}

Schlüssel Gefunden : HKLM\SOFTWARE\Wow6432Node\Classes\CLSID\{A40DC6C5-79D0-4CA8-A185-8FF989AF1115}

Schlüssel Gefunden : HKLM\SOFTWARE\Wow6432Node\Classes\CLSID\{CC1AC828-BB47-4361-AFB5-96EEE259DD87}

Schlüssel Gefunden : HKLM\SOFTWARE\Wow6432Node\Classes\CLSID\{FEFD3AF5-A346-4451-AA23-A3AD54915515}

Schlüssel Gefunden : HKLM\SOFTWARE\Wow6432Node\Classes\Interface\{79FB5FC8-44B9-4AF5-BADD-CCE547F953E5}

Schlüssel Gefunden : HKLM\SOFTWARE\Wow6432Node\Microsoft\Internet Explorer\Low Rights\ElevationPolicy\{99079A25-328F-4BD4-BE04-00955ACAA0A7}

Schlüssel Gefunden : HKLM\SOFTWARE\Wow6432Node\Microsoft\Windows\CurrentVersion\Explorer\Browser Helper Objects\{99079A25-328F-4BD4-BE04-00955ACAA0A7}

Schlüssel Gefunden : HKLM\SOFTWARE\Wow6432Node\Microsoft\Windows\CurrentVersion\Explorer\Browser Helper Objects\{9D717F81-9148-4F12-8568-69135F087DB0}

Schlüssel Gefunden : HKLM\SOFTWARE\Wow6432Node\Microsoft\Windows\CurrentVersion\Uninstall\Searchqu Toolbar

Schlüssel Gefunden : HKLM\SOFTWARE\Classes\CLSID\{9D717F81-9148-4F12-8568-69135F087DB0}

Schlüssel Gefunden : HKLM\SOFTWARE\Classes\CLSID\{A40DC6C5-79D0-4CA8-A185-8FF989AF1115}

Schlüssel Gefunden : HKLM\SOFTWARE\Classes\CLSID\{CC1AC828-BB47-4361-AFB5-96EEE259DD87}

Schlüssel Gefunden : HKLM\SOFTWARE\Classes\CLSID\{FEFD3AF5-A346-4451-AA23-A3AD54915515}

Schlüssel Gefunden : HKLM\SOFTWARE\DataMngr

Schlüssel Gefunden : HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Browser Helper Objects\{9D717F81-9148-4F12-8568-69135F087DB0}

Wert Gefunden : HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run [DataMngr]

Wert Gefunden : HKLM\SOFTWARE\Wow6432Node\Microsoft\Internet Explorer\Toolbar [{99079A25-328F-4BD4-BE04-00955ACAA0A7}]
 

***** [Internet Browser] *****
 

-\\ Internet Explorer v9.0.8112.16421
 

[OK] Die Registrierungsdatenbank ist sauber.
 

-\\ Mozilla Firefox v16.0.2 (de)
 

Profilname : default 

Datei : C:\Users\[Name]\AppData\Roaming\Mozilla\Firefox\Profiles\rd42lxr8.default\prefs.js
 

Gefunden : user_pref("browser.search.defaultenginename", "Search Results");

Gefunden : user_pref("browser.search.order.1", "Search Results");

Gefunden : user_pref("browser.search.selectedEngine", "Search Results");

Gefunden : user_pref("browser.startup.homepage", "hxxp://www.searchnu.com/102");

Gefunden : user_pref("keyword.URL", "hxxp://dts.search-results.com/sr?src=ffb&appid=110&systemid=102&sr=0&q=");
 

-\\ Opera v12.10.1652.0
 

Datei : C:\Users\[Name]\AppData\Roaming\Opera\Opera\operaprefs.ini
 

Gefunden : Home URL=hxxp://www.searchnu.com/102
 

*************************
 

AdwCleaner[R3].txt - [5267 octets] - [24/11/2012 01:32:42]
 

########## EOF - C:\AdwCleaner[R3].txt - [5327 octets] ##########

Beim wiederholten PC-Start war das GData-Symbol wieder ersichtlich. Es konnte mit der rechten Maustaste auch der Scan angestossen werden. Das Ergebnisfenster vom Scan ist auch wieder zu sehen.
Der Scan läuft derzeit gerade.

Hi
mache bitte keine Scans zwischendurch.
Brich ihn ab.

Schließe alle offenen Programme und Browser.
Starte die adwcleaner.exe mit einem Doppelklick.
Klicke auf Löschen.
Bestätige
jeweils mit Ok.
Dein Rechner wird neu gestartet. Nach dem Neustart öffnet sich eine Textdatei.
Poste mir den Inhalt mit deiner nächsten Antwort.
Die
Logdatei findest du auch unter C:\AdwCleaner[S1].txt.

Danach teste die Browser bitte.

Hi Marcus,
ich habe den GData-Scan abgebrochen. Es war auch noch nichts angezeigt.
Im Adwcleaner wurde Löschen durchgeführt.
PC ist neu gestartet.
Hier das Ergebnis:

Code:

# AdwCleaner v2.008 - Datei am 24/11/2012 um 01:52:13 erstellt

# Aktualisiert am 17/11/2012 von Xplode

# Betriebssystem : Windows 7 Professional Service Pack 1 (64 bits)

# Benutzer : [Name] - PC01

# Bootmodus : Normal

# Ausgeführt unter : C:\Users\[Name]\Desktop\adwcleaner.exe

# Option [Löschen]
 
 

**** [Dienste] ****
 
 

***** [Dateien / Ordner] *****
 

Datei Gelöscht : C:\Program Files (x86)\Mozilla FireFox\searchplugins\Search_Results.xml

Datei Gelöscht : C:\Users\[Name]\AppData\Roaming\Mozilla\Firefox\Profiles\rd42lxr8.default\searchplugins\Search_Results.xml

Gelöscht mit Neustart : C:\Program Files (x86)\Common Files\AVG Secure Search

Gelöscht mit Neustart : C:\Program Files (x86)\Searchqu Toolbar

Ordner Gelöscht : C:\ProgramData\boost_interprocess

Ordner Gelöscht : C:\Users\[Name]\AppData\LocalLow\Searchqutoolbar

Ordner Gelöscht : C:\Users\[Name]\AppData\Roaming\Mozilla\Firefox\Profiles\rd42lxr8.default\extensions\{99079a25-328f-4bd4-be04-00955acaa0a7}

Ordner Gelöscht : C:\Users\[Name]\AppData\Roaming\Mozilla\Firefox\Profiles\rd42lxr8.default\Searchqutoolbar
 

***** [Registrierungsdatenbank] *****
 

Daten Gelöscht : HKLM\..\Windows [AppInit_DLLs] = C:\PROGRA~2\SEARCH~1\Datamngr\datamngr.dll

Daten Gelöscht : HKLM\..\Windows [AppInit_DLLs] = C:\PROGRA~2\SEARCH~1\Datamngr\IEBHO.dll

Schlüssel Gelöscht : HKCU\Software\DataMngr

Schlüssel Gelöscht : HKCU\Software\DataMngr_Toolbar

Schlüssel Gelöscht : HKCU\Software\Microsoft\Windows\CurrentVersion\Ext\Settings\{9D717F81-9148-4F12-8568-69135F087DB0}

Schlüssel Gelöscht : HKCU\Software\Microsoft\Windows\CurrentVersion\Ext\Stats\{9D717F81-9148-4F12-8568-69135F087DB0}

Schlüssel Gelöscht : HKLM\SOFTWARE\Classes\SearchQUIEHelper.DNSGuard

Schlüssel Gelöscht : HKLM\SOFTWARE\Classes\SearchQUIEHelper.DNSGuard.1

Schlüssel Gelöscht : HKLM\SOFTWARE\Classes\TypeLib\{5B4144E1-B61D-495A-9A50-CD1A95D86D15}

Schlüssel Gelöscht : HKLM\SOFTWARE\Classes\TypeLib\{6A4BCABA-C437-4C76-A54E-AF31B8A76CB9}

Schlüssel Gelöscht : HKLM\SOFTWARE\Classes\TypeLib\{841D5A49-E48D-413C-9C28-EB3D9081D705}

Schlüssel Gelöscht : HKLM\Software\DataMngr

Schlüssel Gelöscht : HKLM\SOFTWARE\Microsoft\Tracing\SearchquMediaBar_RASAPI32

Schlüssel Gelöscht : HKLM\SOFTWARE\Microsoft\Tracing\SearchquMediaBar_RASMANCS

Schlüssel Gelöscht : HKLM\SOFTWARE\Microsoft\Tracing\SetupDataMngr_Searchqu_RASAPI32

Schlüssel Gelöscht : HKLM\SOFTWARE\Microsoft\Tracing\SetupDataMngr_Searchqu_RASMANCS

Schlüssel Gelöscht : HKLM\Software\SearchquMediabarTb

Schlüssel Gelöscht : HKLM\SOFTWARE\Wow6432Node\Classes\CLSID\{99079A25-328F-4BD4-BE04-00955ACAA0A7}

Schlüssel Gelöscht : HKLM\SOFTWARE\Wow6432Node\Classes\CLSID\{9D717F81-9148-4F12-8568-69135F087DB0}

Schlüssel Gelöscht : HKLM\SOFTWARE\Wow6432Node\Classes\CLSID\{A40DC6C5-79D0-4CA8-A185-8FF989AF1115}

Schlüssel Gelöscht : HKLM\SOFTWARE\Wow6432Node\Classes\CLSID\{CC1AC828-BB47-4361-AFB5-96EEE259DD87}

Schlüssel Gelöscht : HKLM\SOFTWARE\Wow6432Node\Classes\CLSID\{FEFD3AF5-A346-4451-AA23-A3AD54915515}

Schlüssel Gelöscht : HKLM\SOFTWARE\Wow6432Node\Classes\Interface\{79FB5FC8-44B9-4AF5-BADD-CCE547F953E5}

Schlüssel Gelöscht : HKLM\SOFTWARE\Wow6432Node\Microsoft\Internet Explorer\Low Rights\ElevationPolicy\{99079A25-328F-4BD4-BE04-00955ACAA0A7}

Schlüssel Gelöscht : HKLM\SOFTWARE\Wow6432Node\Microsoft\Windows\CurrentVersion\Explorer\Browser Helper Objects\{99079A25-328F-4BD4-BE04-00955ACAA0A7}

Schlüssel Gelöscht : HKLM\SOFTWARE\Wow6432Node\Microsoft\Windows\CurrentVersion\Explorer\Browser Helper Objects\{9D717F81-9148-4F12-8568-69135F087DB0}

Schlüssel Gelöscht : HKLM\SOFTWARE\Wow6432Node\Microsoft\Windows\CurrentVersion\Uninstall\Searchqu Toolbar

Schlüssel Gelöscht : HKLM\SOFTWARE\Classes\CLSID\{9D717F81-9148-4F12-8568-69135F087DB0}

Schlüssel Gelöscht : HKLM\SOFTWARE\Classes\CLSID\{A40DC6C5-79D0-4CA8-A185-8FF989AF1115}

Schlüssel Gelöscht : HKLM\SOFTWARE\Classes\CLSID\{CC1AC828-BB47-4361-AFB5-96EEE259DD87}

Schlüssel Gelöscht : HKLM\SOFTWARE\Classes\CLSID\{FEFD3AF5-A346-4451-AA23-A3AD54915515}

Schlüssel Gelöscht : HKLM\SOFTWARE\DataMngr

Schlüssel Gelöscht : HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Browser Helper Objects\{9D717F81-9148-4F12-8568-69135F087DB0}

Wert Gelöscht : HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run [DataMngr]

Wert Gelöscht : HKLM\SOFTWARE\Wow6432Node\Microsoft\Internet Explorer\Toolbar [{99079A25-328F-4BD4-BE04-00955ACAA0A7}]
 

***** [Internet Browser] *****
 

-\\ Internet Explorer v9.0.8112.16421
 

[OK] Die Registrierungsdatenbank ist sauber.
 

-\\ Mozilla Firefox v16.0.2 (de)
 

Profilname : default 

Datei : C:\Users\[Name]\AppData\Roaming\Mozilla\Firefox\Profiles\rd42lxr8.default\prefs.js
 

Gelöscht : user_pref("browser.search.defaultenginename", "Search Results");

Gelöscht : user_pref("browser.search.order.1", "Search Results");

Gelöscht : user_pref("browser.search.selectedEngine", "Search Results");

Gelöscht : user_pref("browser.startup.homepage", "hxxp://www.searchnu.com/102");

Gelöscht : user_pref("keyword.URL", "hxxp://dts.search-results.com/sr?src=ffb&appid=110&systemid=102&sr=0&q=");
 

-\\ Opera v12.10.1652.0
 

Datei : C:\Users\[Name]\AppData\Roaming\Opera\Opera\operaprefs.ini
 

Gelöscht : Home URL=hxxp://www.searchnu.com/102
 

*************************
 

AdwCleaner[R3].txt - [5384 octets] - [24/11/2012 01:32:42]

AdwCleaner[S2].txt - [5341 octets] - [24/11/2012 01:52:13]
 

########## EOF - C:\AdwCleaner[S2].txt - [5401 octets] ##########

Hi
dann mal Browser testen bitte.

Hi Marcus,
die Browser Firefox, Opera und Windowsexplorer sind ohne Beanstandung mit google gestartet.
Die Startseite in den Internetoptionen wurde auch nicht mehr verändert und ist eingestellt auf Google

Hi,
das ist ja schon mal was.
Gdata wird von combofix als "Outdated" (nicht aktuell angezeigt, in den Logfiles sehe ich, dass es auch schon früher mal Probleme mit Gdata gegeben hatt.
Im Programm solltest du sehen können, welche Programmversion genutzt wird, und wie der Update stand ist.
Ich nutze es selbst nicht, deswegen mal durchklicken, Infos hätte ich gern als Text, nicht als Bild.
(Kann natürlich ein Fehler von CF sein, deswegen möchte ich dies prüfen.

Hi Marcus,
ich freue mich auch über den Teilerfolg. Vielen Dank schon mal.
GData zeigt mir folgende Informationen an:
Programmversion: 11.0.1.44 (22.06.2011)
Datenstand 23.11.2012
Virensignaturen:
Engine A: AVA 22.6794
Engine B: AVL 22.1342
Soll ich nochmal einen Update abholen ?

Besser ein Upgrade, (kostenlos)
2011 hast du, 2013 ist aktuell.
Du müsstest für Gdata eine Lizenz Bzw Zugangsdaten (Benutzer/Passwort) bekommen haben.
Wir instalieren Gdata mit diesen Angaben einmal neu.
1. Neueste Version laden:
G Data AntiVirus 2013 - G Data Software AG
2. GDATA Remover laden:
Tools - G Data Software AG
(AVCleaner)

3.
GDATA deinstalieren, neustarten.
4. Remover ausführen, neustarten.
5. GDATA instalieren, updaten, neustarten.
(falls du deinen Nutzernamen /Passwort vergessen hast, kannst du das anhand der Lizenzdaten anfordern:
https://www.gdata.de/kundencenter/zu...n-verlegt.html
6. Testen, wie das System läuft

...
Erinnerlich ist mir, dass es mit dem Updaten von GData Probleme gab.

Hi
nur falls du es übersehen haben solltest, ich habe grad einen Post erstellt, sage es nur, weil wir uns überschnitten haben.