http://www.searchnu.com/413 von Chip.de. Klasse Magazin. Bietet infizierte Software zum Download an.
 

Hallo zusammen,

ich habe den hxxp://www.searchnu.com/413 Trojaner von Chip.de FLV Converter eingefangen. Bin stink sauer, was soll ich machen? Führe gerade Malwarebytes Vollscan durch. Wie kann so ein Misst überhaupt passieren? Chip.de, hallo?????????????? Was ist denn das für ein Dreck. Ich hoffe, dass Ihr mir helfen könnt. MBAM log wird gleich gepostet. Ich habe keine Lust das ganze System neu zu installieren.

Vielen Dank im Voraus für Eure Hilfe.

Grimreaper


Also: bevor ich den Thread oben gestartet habe, habe ich mit einer etwas älteren Version von MBAM ein Quickscan gemacht und habe unabsichtlich eine Malware-Datei gelöscht (ich habs gerade gelesen dass man das nicht machen sollte). Die Logdatei von diesem Scan ist kopiert. Und nachdem ich den Thread gestartet habe (besser gesagt während) habe ich mit der neusten Version von MBAM ein VollScan gemacht, scheint aber nichts gefunden zu haben. Wie gesagt beide Logdateien:

Malwarebytes Anti-Malware 1.60.0.1800
Malwarebytes : Free Anti-Malware download

Database version: v2013.03.09.13

Windows XP Service Pack 3 x86 NTFS
Internet Explorer 6.0.2900.5512
The Grim Reaper :: THEGRIMREAPER-1 [limited]

Protection: Enabled

2013.03.10. 14:27:59
mbam-log-2013-03-10 (14-27-59).txt

Scan type: Quick scan
Scan options enabled: Memory | Startup | Registry | File System | Heuristics/Extra | Heuristics/Shuriken | PUP | PUM
Scan options disabled: P2P
Objects scanned: 152131
Time elapsed: 5 minute(s), 17 second(s)

Memory Processes Detected: 0
(No malicious items detected)

Memory Modules Detected: 0
(No malicious items detected)

Registry Keys Detected: 0
(No malicious items detected)

Registry Values Detected: 0
(No malicious items detected)

Registry Data Items Detected: 0
(No malicious items detected)

Folders Detected: 0
(No malicious items detected)

Files Detected: 1
C:\Documents and Settings\The Grim Reaper\Local Settings\Temp\LfebEWOE.exe.part (PUP.Offerware) -> Quarantined and deleted successfully.

(end)


**********************************************************
**********************************************************



Malwarebytes Anti-Malware 1.70.0.1100
Malwarebytes : Free Anti-Malware download

Database version: v2013.03.10.03

Windows XP Service Pack 3 x86 NTFS
Internet Explorer 6.0.2900.5512
Adminisztrátor :: THEGRIMREAPER-1 [administrator]

2013.03.10. 14:43:31
mbam-log-2013-03-10 (14-43-31).txt

Scan type: Full scan (C:\|D:\|)
Scan options enabled: Memory | Startup | Registry | File System | Heuristics/Extra | Heuristics/Shuriken | PUP | PUM
Scan options disabled: P2P
Objects scanned: 352853
Time elapsed: 46 minute(s), 3 second(s)

Memory Processes Detected: 0
(No malicious items detected)

Memory Modules Detected: 0
(No malicious items detected)

Registry Keys Detected: 0
(No malicious items detected)

Registry Values Detected: 0
(No malicious items detected)

Registry Data Items Detected: 0
(No malicious items detected)

Folders Detected: 0
(No malicious items detected)

Files Detected: 0
(No malicious items detected)

(end)


PLS Hilfe. Das einzige Symptom bisher ist, dass beim Öffnen von einem neuen Tab in Mozilla die Seite hxxp://www.searchnu.com/413?tag=newtab angezeigt wird.

VG,
Grimreaper

Seitdem habe ich auch OTL ausgeführt mit folgenden Einstellungen:

Haken bei Scanne alle Benutzer gesetzt.
Unter Extra Registry, Use SafeList ausgewählt.

Log File anbei, hoffe, dass jemand auf mein Thread antwordet. Vielleicht Cosinus?OTL Logfile:
--- --- ---

Vielen Dank und Gruß

Grimreaper

Hi,

Wenn du das sagst..

Immer mit der Ruhe, so wild sieht das nicht aus, nur ein bisschen unerwünschte Werbung.


Schritt 1

Downloade dir bitte AdwCleaner und speichere es auf deinen Desktop.

• Schliesse alle offenen Programme und Browser.
• Starte die adwcleaner.exe mit einem Doppelklick.
• Klicke auf Löschen.
• Bestätige jeweils mit Ok.
• Dein Rechner wird neu gestartet, je nach Schwere der Infektion auch mehrmals - das ist normal. Nach dem Neustart öffnet sich eine Textdatei.
• Poste mir den Inhalt mit deiner nächsten Antwort.
• Die Logdatei findest du auch unter C:\AdwCleaner[S1].txt.

Schritt 2

Starte bitte die OTL.exe.

• Setze den Haken bei Scan all Users.
• Drücke auf den Quick Scan Button.
• Poste den Inhalt von OTL.txt hier in den Thread.

Bitte poste in deiner nächsten Antwort:

• Log von AdwCleaner
• Log von OTL

Hallo aharonov,

vielen Dank erstmal für Deine Hilfe. Anbei die beiden Log-Dateien:

OTL Logfile:
--- --- ---


*******************************************************************
*******************************************************************
AdwCleaner Logfile:
--- --- ---




Es sieht so aus, dass der Fehler behoben ist. Wars das schon, ist jetzt alles in Ordnung?

VG,
Grimreaper


P.S. Also im Ernst: dass chip.de sich soetwas erlauben kann ist einfach unglaublich. Wenn chip.de einen Server bereitstellt, von wo man Software downloaden kann, dann sollte man auch dazu in der Lage sein Adware/Malware/Spy -freie Software zu gewährleisten. Ich habe alle Häckchen im Bezug auf Toolbars, etc. bei der Installation von dem FLV Converter weggemacht, deswegen habe ich keine Ahnung wie das auf meinen Computer gelangen konnte. War anscheinend nicht der einzige, dem es so erging. Ich denke, das ist ein Armutszeugnis, was sich chip.de von sich selbst ausgestellt hat.

Hi,

Fast. Nur noch Resten entfernen, eine Kontrolle und Sicherheitslücken schliessen:


Schritt 1

• Starte bitte die OTL.exe.
• Kopiere nun den folgenden Inhalt aus der Codebox in die http://larusso.trojaner-board.de/Images/otlfix.jpg Textbox.
  Wichtig: Falls du deinen Benutzernamen im Log unkenntlich gemacht hast (z.B. durch ***), dann mach das hier wieder rückgängig.

• Schliesse nun bitte alle anderen Programme.
• Klicke jetzt auf den Fix Button.
• OTL kann gegebenfalls einen Neustart verlangen. Diesen bitte zulassen.
• Nach dem Neustart findest du ein Textdokument auf deinem Desktop.
  (Auch zu finden unter C:\_OTL\MovedFiles\<date_time>.log)
• Kopiere nun dessen Inhalt hier in deinen Thread.

Schritt 2

Lade das Setup des ESET Online Scanners herunter und speichere es auf den Desktop.

• Schliesse evtl. vorhandene externe Festplatten und USB-Sticks an den Rechner an.
• Deaktiviere jetzt temporär für diesen Scan dein Antivirenprogramm und die Firewall.
  (Danach nicht vergessen, sie wieder einzuschalten.)
• Starte nun die heruntergeladene esetsmartinstaller_enu.exe.
• Setze den Haken bei Yes, I accept the Terms of Use und drücke Start.
• Warte bis die Komponenten heruntergeladen sind.
• Setze den Haken bei Scan archives.
• Gehe sicher, dass bei Remove found Threats kein Haken gesetzt ist.
• Drücke dann auf Start.
• Die Signaturen werden heruntergeladen und der Scan startet automatisch.
  Hinweis: Dieser Scan kann unter Umständen ziemlich lange dauern!
• Falls nach Beendigung des Scans Funde angezeigt werden, dann:
  • Drücke auf List of found threats.
  • Klicke dann auf Export to text file... und speichere die Textdatei als ESET.txt auf den Desktop.
  • Drücke danach auf << Back.
• Schliesse nun den Scanner mit einem Klick auf Finish.

Poste bitte den Inhalt der ESET.txt oder teile mir mit, wenn es keine Funde gegeben hat.



Schritt 3

Downloade dir bitte SecurityCheck (Link 1, Link 2).

• Speichere es auf dem Desktop.
• Starte SecurityCheck.exe und folge den Anweisungen in der DOS-Box.
  Vista und Win7 User mit Rechtsklick "als Administrator starten"
• Wenn der Scan beendet wurde, sollte sich ein Textdokument (checkup.txt) öffnen.

Poste den Inhalt bitte hier.



Bitte poste in deiner nächsten Antwort:

• Fixlog von OTL
• Log von ESET
• Log von SecurityCheck

Leo,

ich mache morgen früh weiter, denn der Scan mit ESET wird ziemlich lange dauern. Beim ersten versuch ist OTL mit dem von dir geschicktem Script abgestürzt, beim zweiten mal ging alles glatt. Die Logadatei kann ich jetzt schon posten.

========== OTL ==========
Registry key HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Explorer\Browser Helper Objects\{3ec1a45c-8bc3-4bfe-b226-4051c5d3d068}\ deleted successfully.
Registry key HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{3ec1a45c-8bc3-4bfe-b226-4051c5d3d068}\ deleted successfully.
Registry value HKEY_LOCAL_MACHINE\Software\Microsoft\Internet Explorer\Toolbar\\{3ec1a45c-8bc3-4bfe-b226-4051c5d3d068} deleted successfully.
Registry key HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{3ec1a45c-8bc3-4bfe-b226-4051c5d3d068}\ not found.
Registry value HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Windows\\AppInit_Dlls:C:\DOCUME~1\ALLUSE~1\APPLIC~1\Wincert\WIN32C~1.DLL deleted successfully.
C:\Documents and Settings\All Users\Application Data\Wincert\win32cert.dll moved successfully.
C:\Documents and Settings\All Users\Application Data\Wincert folder moved successfully.
C:\WINDOWS\system32\TubeFinder.exe moved successfully.
C:\Documents and Settings\Adminisztrátor\Application Data\searchresultstb folder moved successfully.
C:\Documents and Settings\Adminisztrátor\Application Data\koyotesofttoolbarnew\weather folder moved successfully.
C:\Documents and Settings\Adminisztrátor\Application Data\koyotesofttoolbarnew\savevid folder moved successfully.
C:\Documents and Settings\Adminisztrátor\Application Data\koyotesofttoolbarnew\chrome\widgets\net.vmn.www.RadioBeta folder moved successfully.
C:\Documents and Settings\Adminisztrátor\Application Data\koyotesofttoolbarnew\chrome\widgets folder moved successfully.
C:\Documents and Settings\Adminisztrátor\Application Data\koyotesofttoolbarnew\chrome\content\widgets\net.vmn.www.RadioBeta folder moved successfully.
C:\Documents and Settings\Adminisztrátor\Application Data\koyotesofttoolbarnew\chrome\content\widgets folder moved successfully.
C:\Documents and Settings\Adminisztrátor\Application Data\koyotesofttoolbarnew\chrome\content folder moved successfully.
C:\Documents and Settings\Adminisztrátor\Application Data\koyotesofttoolbarnew\chrome folder moved successfully.
C:\Documents and Settings\Adminisztrátor\Application Data\koyotesofttoolbarnew folder moved successfully.
C:\Documents and Settings\The Grim Reaper\Application Data\koyotesofttoolbarnew folder moved successfully.
========== COMMANDS ==========
Error: Unable to interpret <[emptytemp> in the current context!

OTL by OldTimer - Version 3.2.69.0 log created on 03112013_003229


Vor dem ESET Scan konnte ich bei Avira nur die "Realtime Protection" deaktivieren. Ich kann das Programm nicht komplett zumachen, dh. so schließen, dass die vom Toolbar (rechts unten neben der Uhr) komplett verschwindet. Reicht eine simple deaktivierung schon aus, weil mich ESET darauf aufmerksam gemacht hat, dass Antivir noch offen ist, obwohl der Schirm bei Antivir zu war.

Ich habe vorher, bei meinem ersten allerersten Post vergessen die Extras.txt von OTL anzuhängen. Das will ich jetzt nachholen und hoffe, dass ich nicht wichtige Infos vorenthalten habe. Falls ja, sorry.OTL EXTRAS Logfile:
--- --- ---


VG,
Grimreaper

Hi,

Das reicht. Lass ESET einfach so durchlaufen.

Hi,

OTL habe ich schon in meiner vorigen Antwort gepostet.

ESET hat aber einen Trojaner Gefunden im Recycling Ordner. Ist das schlimm?

C:\RECYCLER\S-1-5-21-1409082233-484061587-682003330-1005\Dc80.zip Win32/Ponmocup.AA trojan



Security Check hat das folgenden ausgegeben:


Results of screen317's Security Check version 0.99.61
Windows XP Service Pack 3 x86
Internet Explorer 6 Out of date!
``````````````Antivirus/Firewall Check:``````````````
Avira Desktop
Antivirus up to date! (On Access scanning disabled!)
`````````Anti-malware/Other Utilities Check:`````````
Malwarebytes Anti-Malware version 1.70.0.1100
JavaFX 2.1.1
Java(TM) 6 Update 30
Java 7 Update 9
Java version out of Date!
Adobe Flash Player 10 Flash Player out of Date!
Adobe Flash Player 10.3.181.34 Flash Player out of Date!
Adobe Reader 10.1.1 Adobe Reader out of Date!
Mozilla Firefox (6.0.2)
````````Process Check: objlist.exe by Laurent````````
Avira Antivir avgnt.exe
Avira Antivir avguard.exe
`````````````````System Health check`````````````````
Total Fragmentation on Drive C::
````````````````````End of Log``````````````````````



Ich habe Virenscanner und Firewall erst nach der Ausführung von Security Check aktiviert. Ich hoffe das ist OK.


Ich denke wir müssen auf jeden Fall etwas mit diesem Trojaner machen.

VG
Grimreaper

Hi,

Nein, der liegt im Papierkorb und ist nicht aktiv. Leere einfach den Papierkorb und das ist erledigt.

Wie im SecurityCheck-Log zu sehen ist, bist du aber mit einer Reihe veralteter Software im Internet unterwegs. Das ist ziemlich fahrlässig. Mach noch die folgenden Updates und dann räumen wir auf. (Wenn du bei der Software eine andere Sprachversion willst, musst du das selbständig noch ändern.)


Schritt 1

• Gehe zu Start --> Systemsteuerung und öffne Software.
• Suche und deinstalliere dort der Reihe nach folgende Einträge:
  • Adobe Flash Player 10 Plugin
  • Java(TM) 6 Update 30
  • Java 7 Update 9
  • Adobe Reader X (10.1.3)
  • Adobe Reader X (10.1.1) - Hungarian
  • Mozilla Firefox 6.0.2 (x86 hu)
• Schliesse das Fenster wieder und führe einen Neustart durch, wenn das gefordert wurde.

Schritt 2

Dein Java ist nicht mehr aktuell. Ältere Versionen enthalten Sicherheitslücken, die von Malware zur Infizierung per Drive-by Download missbraucht werden können.

Die aktuelle Version ist Java 7 Update 17.

In wenigen Fällen wird Java wirklich benötigt. Auch werden immer wieder neue, noch nicht geschlossene Sicherheitslücken ausgenutzt.
Überleg dir also, ob du eine Java-Installation wirklich brauchst.
Falls du Java weiterhin verwenden möchtest, dann:

• Lade dir die neueste Java-Version herunter.
• Schliesse alle laufenden Programme, speziell den Browser.
• Starte die heruntergeladene jxpiinstall.exe und folge den Anweisungen.
• Entferne während der Installation den Haken bei "Installieren Sie die Ask-Toolbar ...".

Schritt 2

Downloade und installiere die neuste Version des Mozilla Firefox.



Schritt 3

Lade den Internet Explorer 8 herunter und installiere ihn. Der Internet Explorer sollte auch dann aktuell sein, wenn er nicht zum Surfen verwendet wird.



Schritt 4

Die Version deines Adobe PDF Readers ist veraltet, wir müssen ihn updaten:

• Besuche diese Seite von Adobe.
• Entferne gegebenenfalls den Haken bei McAfee Security Scan bzw. Google Chrome.
• Drücke auf Jetzt herunterladen und installiere die neuste Version.

Schritt 5

Dein Flashplayer ist veraltet. Installiere folgendermassen die aktuelle Version:

• Besuche diese Seite von Adobe.
• Entferne gegebenenfalls den Haken bei McAfee Security Scan bzw. Google Chrome.
• Drücke auf Jetzt herunterladen und installiere die neuste Version.

Überprüfe dann mit diesem Plugin-Check, ob nun alle deine verwendeten Versionen aktuell sind und update sie anderenfalls.



Schritt 6

Den ESET Online Scanner kannst du behalten, um ab und zu für eine Zweitmeinung dein System damit zu scannen.
Falls du ESET aber deinstallieren möchtest, dann:

Drücke bitte die http://larusso.trojaner-board.de/Images/windows.jpg + R Taste, kopiere folgenden Text in das Ausführen Fenster
und drücke OK.



Schritt 7

Downloade dir bitte delfix auf deinen Desktop.

• Schliesse alle offenen Programme.
• Starte die delfix.exe mit einem Doppelklick.
• Setze vor jede Funktion ein Häkchen.
• Klicke auf Start.
• DelFix entfernt u.a. alle von uns verwendeten Programme und löscht sich anschliessend selbst.
  Sollte denoch etwas übrig bleiben, kannst du es manuell löschen.

>> OK <<
Wir sind durch, deine Logs sehen für mich im Moment sauber aus. :daumenhoc

Ich habe dir nachfolgend ein paar Hinweise und Tipps zusammengestellt, die dazu beitragen sollen, dass du in Zukunft unsere Hilfe nicht mehr brauchen wirst.

Bitte gib mir danach noch eine kurze Rückmeldung, wenn auch von deiner Seite keine Probleme oder Fragen mehr offen sind, damit ich dieses Thema als erledigt betrachten kann.




Epilog: Tipps, Dos & Don'ts





Wenn du möchtest, kannst du das Forum mit einer kleinen Spende unterstützen.
Es bleibt mir nur noch, dir unbeschwertes und sicheres Surfen zu wünschen und dass wir uns hier so bald nicht wiedersehen. ;)

Hi Leo,

ich habe alle Schritte ausgeführt, d.h. es ist alles aktuell, wurde gecheckt. Ich habe auch den Papierkorb bei allen Usern geleert und zur Sicherheit habe ich nachher die online Version von ESET nocheinmal durchgejagt. Der hat nichts mehr gefunden, d.h. der Trojaner der im Papierkorb war ist auch weg. Ich glaube also, dass der Rechner jetzt OK ist und die Sicherheitslücken geschlossen sind.

Vielen Dank für Deine Tips im Bezug auf Internet-Sicherheit. Auf diesem Rechner ist keiner einen Admin account, ich habe nur provisorisch den Admin-Account genutzt, damit es bei der Installation von den Programmen keine Probleme gibt.

Nichtzuletzt vielen Dank für Deine ganze Unterstützung, selbstverständlich habe ich auch etwas gespendet.

Ich denke, dass somit dieser Thread als erledigt betrachtet werden kann.

Viele Grüße,
Grimreaper

Ja, für Installationen braucht man den Admin-Account. Dieser Hinweis bezieht sich nur auf das normale Arbeiten und Surfen.

Danke für die Rückmeldung.
Und im Namen des Teams vielen Dank für die Spende.


Freut mich, dass wir helfen konnten. :abklatsch:

Dieses Thema scheint erledigt und wird aus meinen Abos gelöscht. Ich bekomme somit keine Benachrichtigung mehr über neue Antworten.
Solltest du das Thema erneut brauchen, schicke mir bitte eine PM und wir machen hier weiter.

Jeder andere bitte diese Anleitung lesen und einen eigenen Thread erstellen.