TR/Mediyes.Gen bei Installation IExplorer im $$PendingFiles
 

Hallo,
ich hatte mir vor einigen Tagen den Trojaner TR/Mediyes.Gen eingefangen.
Er wurde beim Besuch auf einer infizierten Seite in mein User\AppData\localLow\sun\java.... eingetragen. Avira hat ihn gefunden und in Quarantäne gesteckt.
Bei einem neuen Systemcheck hatte Avira nichts mehr gefunden.

Durch ein Firefox Problem mit Webmail, wollte ich schauen, ob es auch mit Chrome oder IE besteht. Dabei wurde der Internetexplorer nicht gestartet.
Ich ihn deinstalliert und die neuste Version direkt bei MS runter geladen.
Bei der Installation kam es dann zu folgender Avira Meldung:
Die Suche mit Malwarebyte hat auch nichts gebracht:

anbei die Logs von OTL.
Vielleicht habt Ihr ja einen Tip, woran das liegen kann, weil ich nicht glaube, dass ich von microsoft trojaner software geladen habe:
Vielen Dank
MH

OTL Logfile:
--- --- ---

OTL Logfile:
--- --- ---

:hallo:

Mein Name ist Marius und ich werde dir bei deinem Problem helfen.

Eines vorneweg:

Hinweis: Wir können hier nie dafür garantieren, dass wir sämtliche Reste von Schadsoftware gefunden haben. Eine Formatierung ist meist der schnellste und immer der sicherste Weg.

Solltest Du Dich für eine Bereinigung entscheiden, arbeite solange mit, bis dir jemand vom Team sagt, dass dein Rechner clean ist.

Eine Bereinigung ist mitunter mit viel Arbeit für dich verbunden.

1. Bitte arbeite alle Schritte der Reihe nach ab.
2. Lese die Anleitungen sorgfältig. Solltest du irgendwo nicht weiterkommen, stoppe an diesem Punkt und beschreibe dein Problem hier!
3. Nur Scans durchführen, zu denen du von einem Helfer aufgefordert wirst.
4. Bitte kein Crossposting (posten in mehreren Foren) - wenn du die Anweisungen mehrere Helfer ausführst, kann das schwere Probleme nach sich ziehen!.
5. Installiere oder Deinstalliere während der Bereinigung keine Software (ausser, du wurdest dazu aufgefordert).
6. Wenn etwas unklar ist: Frage, bevor du etwas "blind" machst!
   
   ...und ganz wichtig:
   
   
7. Poste die Logfiles mit code-tags (das #-Symbol oben im Antwortfenster) in deinen Thread! Nicht anhängen, außer, ich fordere dich dazu auf. (Erschwert mir nämlich das Auswerten).

Vista und Win7 User
Alle Tools mit Rechtsklick --> "als Administrator ausführen" starten.


Hast du dich schon an ein anderes Forum gewandt oder nutzt du all diese Tools hier blind?

Hallo Marius,
nein, ich war in keinem anderen Forum aktiv und habe die Tools hier alles im Zusammenhang mit dem, oder ähnlichen Problemen als Arbeitsanweisung zur Analyse gefunden.
Ich nutze sie nicht blind, sondern bin den Anweisungen hier im Forum gefolgt, wobei ich sie wie gesagt nur zur Analyse benutzt habe, um hier auch gleich von Anfang an die entsprechenden Informationen bereitstellen zu können.
Gruß Mario

Schritt 1: aswMBR


Downloade dir bitte aswMBR.exe und speichere die Datei auf deinem Desktop.

• Starte die aswMBR.exe - (aswMBR.exe Anleitung) Vista und Win7 User mit Rechtsklick "als Admininstartor starten"
• Das Tool wird dich fragen, ob Du mit der aktuellen Virendefinition von AVAST! dein System scannen willst. Beantworte diese Frage bitte mit Ja. ( Sollte deine Firewall fragen, bitte den Zugriff auf das Internet zulassen ) Der Download der Definitionen kann je nach Verbindung eine Weile dauern.
• Klicke auf Scan.
• Warte bitte bis Scan finished successfully im DOS Fenster steht.
• Drücke auf Save Log und speichere diese auf dem Desktop.

Poste mir die aswMBR.txt in deiner nächsten Antwort. Wichtig: Drücke keinesfalls einen der Fix Buttons ohne Anweisung Hinweis: Sollte der Scan Button ausgeblendet sein, schließe das Tool und starte es erneut. Sollte es erneut nicht klappen teile mir das bitte mit.




Schritt 2: Scan mit TDSS-Killer



Lese bitte folgende Anweisungen genau. Wir wollen hier noch nichts "fixen" sondern nur einen Scan Report sehen. Downloade dir bitte TDSSKiller.exe und speichere diese Datei auf dem Desktop

• Starte die TDSSKiller.exe.
• Drücke Start Scan
• Sollten infizierte Objekte gefunden werden, wähle keinesfalls Cure. Wähle Skip und speichere das Logfile. TDSSKiller wird eine Logfile auf deinem Systemlaufwerk speichern ( Meistens C:\ ) Als Beispiel: C:\TDSSKiller.<version_date_time>log.txt

Poste den Inhalt bitte hier in deinen Thread.

Hallo,
aswMBR ist leider beim Scannen von:

C:\Windows\assembly\GAC_MISL\Microsoft.VisualStudio.Tool.Applications...

abgebrochen. Wo, in welchem Unterverzeichnis kann ich leider nicht sehen, weil man das Tool nicht maximieren kann und es nach dem Absturz verschwindet.

http://i719.photobucket.com/albums/w...psd4c4410e.jpg



...
wobei ich diesem Verzeichnis keine GAC_MSIL Assembly finden konnte:
http://i719.photobucket.com/albums/w...ps59175d91.jpg

TDSSKiller hat 451 Objekte durchsucht und nichts gefunden...

Custom Scan mit OTL



Falls noch nicht vorhanden, lade Dir bitte OTL von Oldtimer herunter und speichere es auf Deinem Desktop

• Starte bitte die OTL.exe.
  Vista und Win7 User mit Rechtsklick "als Administrator starten"
• Kopiere nun den Inhalt in die http://larusso.trojaner-board.de/Images/otlfix.jpg Textbox.

• Schliesse bitte nun alle Programme. (Wichtig)
• Klicke nun bitte auf den Quick Scan Button.
• Kopiere nun den Inhalt aus OTL.txt und Extra.txt hier in Deinen Thread

Hallo ich habe bei diesem Scan nur die OTL.Txt erhalten.

diese ist aber jetzt mit 134024 Zeichen zu lang für die Antwort. Ich werde sie daher splitten.

Teil 1:

Teil 2:

Hm...ich kann hier nichts von Mediyes erkennen.

Sieht ganz gut aus - kontrollieren wir alles nochmal! :)


Schritt 1: MBAM vollständig


Downloade Dir bitte Malwarebytes

• Installiere das Programm in den vorgegebenen Pfad.
  Vista und Win7 User mit Rechtsklick "als Administrator starten"
• Starte Malwarebytes, klicke auf Aktualisierung --> Suche nach Aktualisierung
• Wenn das Update beendet wurde, aktiviere Vollständigen Scan durchführen und drücke auf Scannen. (Hinweis: Alle Festplatten anhaken!)
• Wenn der Scan beendet ist, klicke auf Ergebnisse anzeigen.
• Versichere Dich, dass alle Funde markiert sind und drücke Entferne Auswahl.
• Poste das Logfile, welches sich in Notepad öffnet, hier in den Thread.
• Nachträglich kannst du den Bericht unter "Log Dateien" finden.

Schritt 2: ESET



ESET Online Scanner

• Hier findest du eine bebilderte Anleitung zu ESET Online Scanner
• Lade und starte Eset Online Scanner
• Setze einen Haken bei Ja, ich bin mit den Nutzungsbedingungen einverstanden und klicke auf Starten.
• Aktiviere die "Erkennung von eventuell unerwünschten Anwendungen" und wähle folgende Einstellungen.
• Klicke auf Starten.
• Die Signaturen werden heruntergeladen, der Scan beginnt automatisch.
• Klicke am Ende des Suchlaufs auf Fertig stellen.
• Schließe das Fenster von ESET.
• Explorer öffnen.
• C:\Programme\Eset\EsetOnlineScanner\log.txt (bei 64 Bit auch C:\Programme (x86)\Eset\EsetOnlineScanner\log.txt) suchen und mit Deinem Editor öffnen (bebildert).
• Logfile hier posten.
• Deinstallation: Systemsteuerung => Software / Programme deinstallieren => Eset Online Scanner V3 entfernen.
• Manuell folgenden Ordner löschen und Papierkorb leeren => C:\Programme\Eset

wieder nix gefunden:

was mich nur wundert ist, dass aswMBR mitten drin beim VisualStudio abstürzt und wenn ich jetzt den IExplorer wieder installieren will, ich garantiert wieder die gleiche Fehlermeldung bekomme. Wobei ich nicht glaube, dass der von der MSoft Seite mit runter geladen wurde.
Kann sich der Mediyes.Gen auch irgendwo in den MS Installationsverzeichnissen eingenistet haben?

Gruß Mario

Wir haben keinerlei Anhaltspunkte auf das Vorhandensein von Mediyes gefunden. Dieser Trojaner hat sehr spezielle Merkmale, von denen wir keines finden konnten.

ESET hat das gesamte System gescannt - etwaige "Installationsdateien" (so genannte Dropper) des Schädlings wurden dabei nicht entdeckt.

aswMBR stürzt beim Zugriff auf bestimmte, saubere Dateien des Öfteren ab. Dies liegt an der Art und Weise, wie das Programm arbeitet und ist kein Grund zur Sorge.

Macht der Rechner noch Probleme oder können wir nachbereiten?

Hallo,
Danke erst einmal für die Unterstützung.
Ich hatte wie gesagt Probleme mit dem IExplorer, weil ich diesen aber nicht benutzt hatte, habe ich dem auch keine Beachtung geschenkt.
Nach dem Avira mir den Trojaner gemeldet hatte, habe ich mit Avira das gesamte System gescannt und nichts gefunden.
Der Internetexplorer hat nicht funktioniert, so dass ich ihn über die Systemsteuerung deinstalliert habe und anschließend die originale IE9-Installation von MS herunter geladen. Bei der Installation (2x mit zwischenzeitlichen Scannen von Avira) kam dann jedes Mal die Meldung von Avira, dass in dem versteckten Ordner „\$$PendingFiles\“ der Trojaner gefunden wurde.

Ich bin zurzeit auf Dienstreise, kann aber am Donnerstag noch einmal die aktuelle Version des IE9 herunterladen und versuchen diesen zu installieren um zu schauen, ob das Verhalten wieder auftritt…????
Oder sollte ich jetzt da mein System sauber erscheint einfach auf den IE verzichten?
Wie macht sich der TR/mediyes.Gen überhaupt bemerkbar, d.h. welches Attacken verursacht er und wie bemerkt man ihn (außer durch Avira)??

Danke!
Gruß Mario

Mediyes ist ein Trojaner, welcher sich tief ins System gräbt und im Endeffekt nur dazu dient, gewisse Werbebanner mehrere tausend Mal pro Tag anzuklicken, was dem Mieter dieses Banners natürlich Geld einbringt.

Da sich der Trojaner eines mutmaßlich gestohlenen Softwarezertifikats der Firma Joosoft.com bedient, erscheint er den meisten Sicherheitsprogrammen als legitim und wird nicht erkannt.

In deinem Fall gehe ich eher von einem so genannten false positive, also einer Fehlerkennung aus.

Installiere den IE erneut und berichte, was passiert.

OK, Ich melde mich dann ab Donnerstag wieder, wenn ich wieder da bin und werde berichten.
Danke für die Infos