Trojaner-Board - betroffen von adserverplus.com und hält sich hartäckig

Trojaner-Board (https://www.trojaner-board.de/)

- Plagegeister aller Art und deren Bekämpfung (https://www.trojaner-board.de/plagegeister-aller-art-deren-bekaempfung/)

- - betroffen von adserverplus.com und hält sich hartäckig (https://www.trojaner-board.de/132388-betroffen-adserverplus-com-haelt-hartaeckig.html)

Es wäre hilfreicher wenn du mal kurz beschreinbst wann und in welchen Browsern du die Werbung hast oder ob das grundsätzlich immer und in jedem Browser so ist

Zitat:

in welchem Browsern die Werbung

Bei Chrome habe ich Google.de als Startseite. In der Mitte unter der Sucheingabe wird mir immer suggeriert das mein Rechner infiziert wäre, der Flashplayer nicht aktuell ist oder andere Hinweise. Dabei habe ich die Vermutung das gerade durch diese Links ich auf unseriöse Seiten lande, damit ich nur Geld ausgebe.
Beim Internetexplorer ist es genauso.
Auf anderen Rechner habe ich das Problem nicht.

Hast du das Problem auch mit Firefox? Wenn du den Firefox nicht (mehr) installiert hast, dann installier dir den bitte und teste

Test bitte auch alle Browser am betroffenen Rechner in einem neuen Windows-Benutzerkonto den du dir über die Systemsteuerung anlegen kannst

Benutzerkonto angelegt und Firefox zum ersten Mal installiert.

Test unter neuem Benutzer Öffnen der Webseite Google.de

Chrome keine oben beschriebene Werbung
Firefox keine oben beschriebene Werbung
Internetexplorer oben beschriebene Werbung taucht auf

An dieser Stelle möchte ich nochmal erwähnen, das ich manchmal bei Klick auf Links auf falschen Seiten lande, unter anderen die Seite, mit der ich den Thread gestartet habe.

Dann ist dein Benutzerprofil von deinem bisherigen gentuzen User völlig verdreht oder zumindest die Profile der Browser.

Oftmals hilft es die Browser zurückzusetzen, kann dir da aber erstmal nur was zu Firefox und IE schreiben wie das geht:

FF: Firefox-Profile erstellen und löschen | Hilfe zu Firefox
IE: Zurücksetzen von Internet Explorer-Einstellungen in Internet Explorer 9

Vielen Dank für die beiden links
Chrome: habe ich deinstaliert.
Firefox: bei allen Nutzern tritt das Problem nicht auf
IE: Das Problem tritt nach wievor auf
Der Link zum Zurücksetzen des IE funktioniert, aber der Inhalt ist für mich nicht nachvollziebar.
Bei mir gibt es den Punkt "Zurückstellen" nicht.
Vielleicht sollte ich das Tool von hier
hxxp://support.microsoft.com/kb/923737/de
ausführen.

Hallo

ich wollte höflich anfragen, ob das Thema aus Sicht des TB beendet wurde?

Bei Durchlaufen von Ashampoo-WinOptimizer 2013 (Einträge werden auf Hinweis des TB nicht mehr gelöscht) wurde folgender Eintrag in der Registry gefunden.

Code:

Report created: 22.03.2013 13:46:00

Entries found: 1
 

#0001 Hersteller/Software - Schlüssel enthält keinerlei Datei: Blabbers        <Typ=12 Delete key HKEY_USERS\S-1-5-21-1368962729-2837005782-3201891072-1001\Software\Blabbers

Hat das irgendwelche Konsequenzen? Eine von mir installierte Software ist mir nicht bekannt.

Allgemein bitte die Finger von Registrycleanern jeder Art lassen, die Dinger sind brandgefährlich. Dieser Blabbers EIntrag kann aber weg.

Du hast das eine Problem nur noch mit dem IE? Und das bei alles Userkonten? IE reset klappt nicht,... ? :confused:

Der Schlüssel in der Registry lässt sich nicht löschen, auch nicht im abgesicherten Modus.

HKEY_USERS\S-1-5-21-1368962729-2837005782-3201891072-1001\Software\Blabbers

Was bedeutet das?

Fixen mit OTL

Starte bitte die OTL.exe.
Kopiere nun den Inhalt aus der Codebox in die Textbox.

Code:

:Reg

[-HKEY_USERS\S-1-5-21-1368962729-2837005782-3201891072-1001\Software\Blabbers]

:Files

ipconfig /flushdns /c

:Commands

[purity]

[emptytemp]

[resethosts]

Solltest du deinen Benutzernamen z. B. durch "*****" unkenntlich gemacht haben, so füge an entsprechender Stelle deinen richtigen Benutzernamen ein. Andernfalls wird der Fix nicht funktionieren.
Schließe bitte nun alle Programme.
Klicke nun bitte auf den Fix Button.
OTL kann gegebenfalls einen Neustart verlangen. Bitte dies zulassen.
Nach dem Neustart findest Du ein Textdokument auf deinem Desktop.
( Auch zu finden unter C:\_OTL\MovedFiles\<Uhrzeit_Datum>.txt)
Kopiere nun den Inhalt hier in Deinen Thread

Hier das Egebnis von OTL

Code:

Windows-IP-Konfiguration

Der DNS-Aufl”sungscache wurde geleert.

C:\Users\Wolff\Desktop\System\entferner\cmd.bat deleted successfully.

C:\Users\Wolff\Desktop\System\entferner\cmd.txt deleted successfully.

========== COMMANDS ==========

 

[EMPTYTEMP]

 

User: Admin

->Temp folder emptied: 367872199 bytes

->Temporary Internet Files folder emptied: 242163344 bytes

->Google Chrome cache emptied: 20740320 bytes

->Flash cache emptied: 660 bytes

 

User: All Users

 

User: Default

->Temp folder emptied: 0 bytes

->Temporary Internet Files folder emptied: 106346 bytes

 

User: Default User

->Temp folder emptied: 0 bytes

->Temporary Internet Files folder emptied: 0 bytes

 

User: Public

 

User: test

->Temp folder emptied: 3094983 bytes

->Temporary Internet Files folder emptied: 6051600 bytes

->FireFox cache emptied: 5115166 bytes

->Google Chrome cache emptied: 6956593 bytes

->Flash cache emptied: 1602 bytes

 

User: UpdatusUser

->Temp folder emptied: 0 bytes

->Temporary Internet Files folder emptied: 0 bytes

 

User: Wolff

->Temp folder emptied: 29819075 bytes

->Temporary Internet Files folder emptied: 12841394 bytes

->Java cache emptied: 0 bytes

->FireFox cache emptied: 89623863 bytes

->Flash cache emptied: 0 bytes

 

%systemdrive% .tmp files removed: 0 bytes

%systemroot% .tmp files removed: 0 bytes

%systemroot%\System32 .tmp files removed: 4384 bytes

%systemroot%\System32 (64bit) .tmp files removed: 0 bytes

%systemroot%\System32\drivers .tmp files removed: 0 bytes

Windows Temp folder emptied: 91815273 bytes

%systemroot%\sysnative\config\systemprofile\AppData\Local\Microsoft\Windows\Temporary Internet Files folder emptied: 67832 bytes

RecycleBin emptied: 0 bytes

 

Total Files Cleaned = 836,00 mb

 

C:\Windows\System32\drivers\etc\Hosts moved successfully.

HOSTS file reset successfully

 

OTL by OldTimer - Version 3.2.69.0 log created on 03262013_072420
 

Files\Folders moved on Reboot...

C:\Users\Wolff\AppData\Local\Temp\FXSAPIDebugLogFile.txt moved successfully.

File move failed. C:\Windows\temp\TmpFile1 scheduled to be moved on reboot.

C:\Windows\temp\wbxtra_03262013_071924.wbt moved successfully.
 

PendingFileRenameOperations files...
 

Registry entries deleted on Reboot...

Sieht ok aus. Wir sollten fast durch sein. Mach bitte zur Kontrolle einen Quickscan mit Malwarebytes - denk bitte vorher daran, Malwarebytes über den Updatebutton zu aktualisieren

Anschließend über den OnlineScanner von ESET eine zusätzliche Meinung zu holen ist auch nicht verkehrt:

ESET Online Scanner

Hier findest du eine bebilderte Anleitung zu ESET Online Scanner
Lade und starte Eset Online Scanner
Setze einen Haken bei Ja, ich bin mit den Nutzungsbedingungen einverstanden und klicke auf Starten.
Aktiviere die "Erkennung von eventuell unerwünschten Anwendungen" und wähle folgende Einstellungen.
Klicke auf Starten.
Die Signaturen werden heruntergeladen, der Scan beginnt automatisch.
Klicke am Ende des Suchlaufs auf Fertig stellen.
Schließe das Fenster von ESET.
Explorer öffnen.
C:\Programme\Eset\EsetOnlineScanner\log.txt (bei 64 Bit auch C:\Programme (x86)\Eset\EsetOnlineScanner\log.txt) suchen und mit Deinem Editor öffnen (bebildert).
Logfile hier posten.
Deinstallation: Systemsteuerung => Software / Programme deinstallieren => Eset Online Scanner V3 entfernen.
Manuell folgenden Ordner löschen und Papierkorb leeren => C:\Programme\Eset

Im Quickscan mit Malwarebytes war nichts zu finden.

Code:

Malwarebytes Anti-Malware (Test) 1.70.0.1100

www.malwarebytes.org
 

Datenbank Version: v2013.03.29.08
 

Windows 7 Service Pack 1 x64 NTFS

Internet Explorer 9.0.8112.16421

Wolff :: CAD [Administrator]
 

Schutz: Deaktiviert
 

29.03.2013 15:59:50

mbam-log-2013-03-29 (15-59-50).txt
 

Art des Suchlaufs: Quick-Scan

Aktivierte Suchlaufeinstellungen: Speicher | Autostart | Registrierung | Dateisystem | Heuristiks/Extra | HeuristiKs/Shuriken | PUP | PUM

Deaktivierte Suchlaufeinstellungen: P2P

Durchsuchte Objekte: 286894

Laufzeit: 50 Sekunde(n)
 

Infizierte Speicherprozesse: 0

(Keine bösartigen Objekte gefunden)
 

Infizierte Speichermodule: 0

(Keine bösartigen Objekte gefunden)
 

Infizierte Registrierungsschlüssel: 0

(Keine bösartigen Objekte gefunden)
 

Infizierte Registrierungswerte: 0

(Keine bösartigen Objekte gefunden)
 

Infizierte Dateiobjekte der Registrierung: 0

(Keine bösartigen Objekte gefunden)
 

Infizierte Verzeichnisse: 0

(Keine bösartigen Objekte gefunden)
 

Infizierte Dateien: 0

(Keine bösartigen Objekte gefunden)
 

(Ende)

Aber im ESET wurde manches festgestellt:

Code:

ESETSmartInstaller@High as downloader log:

Can not open internetESETSmartInstaller@High as downloader log:

Can not open internet# version=8

# OnlineScannerApp.exe=1.0.0.1

# OnlineScanner.ocx=1.0.0.6920

# api_version=3.0.2

# EOSSerial=01601d4b23221e4c91984cb26b310c87

# engine=13509

# end=finished

# remove_checked=false

# archives_checked=true

# unwanted_checked=true

# unsafe_checked=true

# antistealth_checked=true

# utc_time=2013-03-29 02:43:58

# local_time=2013-03-29 03:43:58 (+0100, Mitteleuropäische Zeit)

# country="Germany"

# lang=1033

# osver=6.1.7601 NT Service Pack 1

# compatibility_mode=5893 16776573 100 94 22279 116198088 0 0

# scanned=512636

# found=6

# cleaned=0

# scan_time=9304

sh=1D7FED17CEC2DD1B456F3C2AA15CDB58A84ED748 ft=1 fh=ffac7f97e4925200 vn="a variant of Win32/ToolkitOffers.A application" ac=I fn="C:\Program Files (x86)\SoftwareUpdater\uninstall.exe"

sh=F65E56B7C07BCE2B9EF6E4DAF8AF6B3BBBE1780C ft=1 fh=5d78baca7f7ad589 vn="Win32/Toolbar.SearchSuite application" ac=I fn="C:\Users\Wolff\Downloads\FreeFLVConverter75Setup.exe"

sh=3579FA25E94433272E257070B8BF726DB31B2B00 ft=1 fh=69140b7f1637a689 vn="Win32/Vittalia.C application" ac=I fn="C:\Users\Wolff\Downloads\installer_7-zip_Deutsch.exe"

sh=12494EC92CDA0B5D035A000C0A5D46141F6C5974 ft=1 fh=c449d5602dd84c87 vn="a variant of Win32/InstallCore.AX application" ac=I fn="C:\Users\Wolff\Downloads\MusicConverterSetup.exe"

sh=64131EBCE68286BAAEFAC74F12628EBFC159B7CB ft=1 fh=252d3f247af8095f 

vn="Win32/OpenCandy application" ac=I fn="C:\Users\Wolff\Downloads\PDFCreator-1_6_1_setup.exe"

sh=66C853785EBFCE37C080E90F61705EC6D5CE1787 ft=0 fh=0000000000000000 vn="a variant of Win32/Bundled.Toolbar.Ask application" ac=I fn="C:\Users\Wolff\Downloads\PDFXVwer.zip"

Das sind nur Reste in Setup- und Uninstall-Dateien, bzw ESET findet was darin weil viele Setups Adware wie Toolbars installieren können. Einfach mal löschen

Sieht soweit ok aus

Wegen Cookies und anderer Dinge im Web: Um die Pest von vornherein zu blocken (also TrackingCookies, Werbebanner etc.) müsstest du dir mal sowas wie MVPS Hosts File anschauen => Blocking Unwanted Parasites with a Hosts File - sinnvollerweise solltest du alle 4 Wochen mal bei MVPS nachsehen, ob er eine neue Hosts Datei herausgebracht hat.

Info: Cookies sind keine Schädlinge direkt, aber es besteht die Gefahr der missbräuchlichen Verwendung (eindeutige Wiedererkennung zB für gezielte Werbung o.ä. => HTTP-Cookie )

Ansonsten gibt es noch gute Cookiemanager, Erweiterungen für den Firefox zB wäre da CookieCuller
Wenn du aber damit leben kannst, dich bei jeder Browsersession überall neu einzuloggen (zB Facebook, Ebay, GMX, oder auch Trojaner-Board) dann stell den Browser einfach so ein, dass einfach alles beim Beenden des Browser inkl. Cookies gelöscht wird.

Ist dein System nun wieder in Ordnung oder gibt's noch andere Funde oder Probleme?

Vielen Dank für die Begleitung.

Alle Dateien von ESET-Scan habe ich gelöscht und den "SoftwareUpdater" deinstalliert.
Alles läuft perfekt. Dabei habe ich den Eindruck dass gerade der Softwareupdater verantwortlich war für die unerwünschte Werbung. Denn zwischenzeitlich tauchte im IE wieder der Mist auf. Aber seit der Deinstallation ist nun Ruhe.