Trojaner-Board - Ungewolltes Aktivieren der Proxyserververbindung in den Interneteinstellungen

Trojaner-Board (https://www.trojaner-board.de/)

- Plagegeister aller Art und deren Bekämpfung (https://www.trojaner-board.de/plagegeister-aller-art-deren-bekaempfung/)

- - Ungewolltes Aktivieren der Proxyserververbindung in den Interneteinstellungen (https://www.trojaner-board.de/157489-ungewolltes-aktivieren-proxyserververbindung-interneteinstellungen.html)

Die Verwirrung nimmt kein Ende:
In den Interneteinstellungen aus der Systemsteuerung ist er nicht aktiviert
In Chrome und IE aber ist er aktiviert - aber die Verbindung funzt trotzdem

siehe beil. screenshots, wobei ich mir den IE spare, den nutze ich sowieso fast nie

Es sollte so wie folgt aussehen...

Falsche Proxy Einstellungen entfernen

Klicke im Start-Menü unter "Einstellungen" auf "Systemsteuerung" -> "Internetoptionen".
Wähle die Karteikarte "Verbindungen->Lan-Einstellungen“ und überprüfe ob bei Proxyserver ein Häkchen steht,
wenn ja -> Entfernen, dann -> OK (sofern nicht richtige Eintragung)

Ich habe es genauso gemacht, wie du gesagt hast. Habe nun auch nochmal einen Neustart gemacht mit Ergebnis, dass der Proxy wieder aktiviert ist, aber Chrome und IE trotzdem funzen.

Sorry - noch was vergessen, was vlcht wichtig ist: der PC startet deutlich schneller und vor allem zwei Anwendungen aus dem Autostart starten wesentlich schneller als vorher (Procall und TK-Suit).

Also. Im FRST Log hab ich nichts mehr zu nem Proxy gesehen.
Deine Einstellung sollte jetzt zwar so passen ist aber strange. Du hast da zB einen Haken gesetzt, das Feld dadrunter wo man den Proxy definiert ist aber immer noch ausgegraut und damit deaktiviert. Was steht denn bei Erweitert?

Chrome ist so eingestellt, dass er kein Proxy oder Systemeinstellungen verwendet, ist das wurscht weil er beim Reboot eh wieder seinen eigenen Kopf hat? :wtf:

Und nochmal die Frage, hing dieser Rechner mal in einer Windows-Server-Domain?

Die Einstellungen waren genauso wie beim ersten screenshot, die Boxen zwar ausgegraut aber unter erweitert die IP 127.0.0.1 Port 8877.
Da hat sich also nichts geändert. Geändert hat sich nur, dass das jetzt dem Chrome völlig egal zu sein scheint und trotzdem eine Verbindung herstellt.

Ich weiß zwar immer noch nicht genau, was mit einer Windows-Server-Domain gemeint ist, würde aber mal behaupten 'nein'. Der Rechner wurde von mir gekauft, hat nirgends woanders gestanden und wurde nur im Heimnetzwerk betrieben.

Und vor allem - es hat ja ca 2 Jahre funktioniert!

Mehr wollte ich nicht wissen ;)

Die wirkliche Ursache konnte ich noch nicht ausfindig machen. Ich schlage Kontrollscans mit MBAM und ESET vor während ich nach weiteren mögliche Ursachen forsche

Downloade Dir bitte

Malwarebytes Anti-Malware

Installiere das Programm in den vorgegebenen Pfad. (Bebilderte Anleitung zu MBAM)
Starte Malwarebytes' Anti-Malware (MBAM).
Klicke im Anschluss auf Scannen, wähle den Bedrohungssuchlauf aus und klicke auf Suchlauf starten.
Lass am Ende des Suchlaufs alle Funde (falls vorhanden) in die Quarantäne verschieben. Klicke dazu auf Auswahl entfernen.
Lass deinen Rechner ggf. neu starten, um die Bereinigung abzuschließen.
Starte MBAM, klicke auf Verlauf und dann auf Anwendungsprotokolle.
Wähle das neueste Scan-Protokoll aus und klicke auf Export. Wähle Textdatei (.txt) aus und speichere die Datei als mbam.txt auf dem Desktop ab. Das Logfile von MBAM findest du hier.
Füge den Inhalt der mbam.txt mit deiner nächsten Antwort hinzu.

ESET Online Scanner

Hier findest du eine bebilderte Anleitung zu ESET Online Scanner
Lade und starte Eset Online Scanner
Setze einen Haken bei Ja, ich bin mit den Nutzungsbedingungen einverstanden und klicke auf Starten.
Aktiviere die "Erkennung von eventuell unerwünschten Anwendungen" und wähle folgende Einstellungen.
Klicke auf Starten.
Die Signaturen werden heruntergeladen, der Scan beginnt automatisch.
Klicke am Ende des Suchlaufs auf Fertig stellen.
Schließe das Fenster von ESET.
Explorer öffnen.
C:\Programme\Eset\EsetOnlineScanner\log.txt (bei 64 Bit auch C:\Programme (x86)\Eset\EsetOnlineScanner\log.txt) suchen und mit Deinem Editor öffnen (bebildert).
Logfile hier posten.
Deinstallation: Systemsteuerung => Software / Programme deinstallieren => Eset Online Scanner V3 entfernen.
Manuell folgenden Ordner löschen und Papierkorb leeren => C:\Programme\Eset

MBAM hat nichts gefunden.
Eset läuft noch. Schon seit 40 Minuten und ist erst bei ca 25% im Schritt 3 von 4, Bisher eine Bedrohung erkannt: NSIS/StartPge.CC Trojaner.
Soll ich die ganze Zeit ohne aktiven Virenscanner und Firewall laufen lassen? Ist mir ja ein bisschen mulmig!

MBAM = keinen Fund

hier eset:

Code:

ESETSmartInstaller@High as downloader log:

all ok

# product=EOS

# version=8

# OnlineScannerApp.exe=1.0.0.1

# OnlineScanner.ocx=1.0.0.7623

# api_version=3.0.2

# EOSSerial=abe5677a3251ae48aabc6b84682142d4

# engine=19638

# end=finished

# remove_checked=false

# archives_checked=true

# unwanted_checked=true

# unsafe_checked=false

# antistealth_checked=true

# utc_time=2014-08-13 05:49:48

# local_time=2014-08-13 07:49:48 (+0100, Mitteleuropäische Sommerzeit)

# country="Germany"

# lang=1031

# osver=6.1.7601 NT Service Pack 1

# compatibility_mode_1='BullGuard Antivirus'

# compatibility_mode=4611 16777215 100 96 25199 67248098 0 0

# compatibility_mode_1=''

# compatibility_mode=5893 16776573 100 94 35877 159582038 0 0

# scanned=335911

# found=14

# cleaned=0

# scan_time=10315

sh=E79CE0DA43C79F2A4E48A4F4A02905DE783FBD16 ft=1 fh=a9eb553813c219ce vn="NSIS/StartPage.CC Trojaner" ac=I fn="D:\Download\Aktuell\vlc-2.1.4-win64.exe"

sh=122C420D5BEA4A475E2BFE7451A9141984D5563B ft=1 fh=6369d34d5890de0d vn="Win32/Systweak.D evtl. unerwünschte Anwendung" ac=I fn="E:\Download\Aktuell\rcpsetup_2005.exe"

sh=E79CE0DA43C79F2A4E48A4F4A02905DE783FBD16 ft=1 fh=a9eb553813c219ce vn="NSIS/StartPage.CC Trojaner" ac=I fn="E:\Download\Aktuell\vlc-2.1.4-win64.exe"

sh=3B232FFEE48A9235B2ABDB7F780898B99C881B9A ft=1 fh=a69526e0f5d72c42 vn="Variante von Win32/Adware.ToolPlugin.A Anwendung" ac=I fn="E:\GKT-Service\Medien\Gassner\Engel für Opa.exe"

sh=5990317D528D5F527A448371137A97681C8EC499 ft=0 fh=0000000000000000 vn="Variante von Win32/InstallShare.A evtl. unerwünschte Anwendung" ac=I fn="H:\ADMIN-PC\Backup Set 2014-01-26 190001\Backup Files 2014-01-26 190001\Backup files 18.zip"

sh=9F67660F00C5C012C0B68B3664760D8E8651FA97 ft=0 fh=0000000000000000 vn="Mehrere Bedrohungen" ac=I fn="H:\ADMIN-PC\Backup Set 2014-01-26 190001\Backup Files 2014-01-26 190001\Backup files 19.zip"

sh=7C0C2D9CE493E44DC7B522436758A6898290768D ft=0 fh=0000000000000000 vn="Variante von Win32/InstallShare.A evtl. unerwünschte Anwendung" ac=I fn="H:\ADMIN-PC\Backup Set 2014-03-09 190001\Backup Files 2014-03-09 190001\Backup files 22.zip"

sh=FA5CC75182142315D037E8CB23F19DBB14701EF2 ft=0 fh=0000000000000000 vn="Mehrere Bedrohungen" ac=I fn="H:\ADMIN-PC\Backup Set 2014-03-09 190001\Backup Files 2014-03-09 190001\Backup files 23.zip"

sh=0395D9738E3FCAA14FB20009DF05F42D121475F7 ft=0 fh=0000000000000000 vn="Variante von Win32/InstallShare.A evtl. unerwünschte Anwendung" ac=I fn="H:\ADMIN-PC\Backup Set 2014-04-06 190001\Backup Files 2014-04-06 190001\Backup files 21.zip"

sh=BB03DA633AAF38C401B99871F953187F6F2401B9 ft=0 fh=0000000000000000 vn="Mehrere Bedrohungen" ac=I fn="H:\ADMIN-PC\Backup Set 2014-04-06 190001\Backup Files 2014-04-06 190001\Backup files 22.zip"

sh=DF654F89B96FF2F96DF7425AAA3A2CB856913C13 ft=0 fh=0000000000000000 vn="Variante von Win32/InstallShare.A evtl. unerwünschte Anwendung" ac=I fn="H:\ADMIN-PC\Backup Set 2014-05-18 190001\Backup Files 2014-05-18 190001\Backup files 23.zip"

sh=37C6D7A6FA786D07AAA8D8D2CDC2A874F769354D ft=0 fh=0000000000000000 vn="Mehrere Bedrohungen" ac=I fn="H:\ADMIN-PC\Backup Set 2014-05-18 190001\Backup Files 2014-05-18 190001\Backup files 24.zip"

sh=258767581163DEBCEEF9BDE86609ADBD52076891 ft=0 fh=0000000000000000 vn="Variante von Win32/InstallShare.A evtl. unerwünschte Anwendung" ac=I fn="H:\ADMIN-PC\Backup Set 2014-06-22 190001\Backup Files 2014-06-22 190001\Backup files 22.zip"

sh=103995CFB3AF3648146C8618EF7619A577EA3937 ft=0 fh=0000000000000000 vn="Mehrere Bedrohungen" ac=I fn="H:\ADMIN-PC\Backup Set 2014-06-22 190001\Backup Files 2014-06-22 190001\Backup files 23.zip"

Zitat:

E:\GKT-Service\Medien\Gassner\Engel für Opa.exe

WAsndas? :wtf:

Das ist ein Film über eine 24-Stundenbetreuung von der Redaktion 37 Grad. Brauch ich aber nicht mehr, da ich den Film auf DVD habe

Ein Film? Nach einem Film sieht mir das nicht aus. Das ist ne Datei mit der Endung exe, also ein Programm.

Weitere Hinweise zu deinem Proxy hab ich so noch nicht. Du anderen Funde sind alte Backup-Sets, die zu VLC liegen offensichtlich darin begründet, dass du VLC nicht von der Originalseite videolang, sondern vlc.de geladen hast. Letztere ist bekannt dafür, veränderte VLC-Setups auszuliefern um die Browserstartseite abzuändern.

Ok. Die exe-Datei kann ich ja löschen - oder soll ich sie shreddern?
Und was ist mit den anderen Tierchen, die Eset gefunden hat? Auch einfach die Dateien löschen oder schreddern?

Einfaches löschen sollte reichen, "shreddern" macht nur aus Datenschutzgründen Sinn, damit niemand mehr etwas über forensische Tools wiederherstellen kann.

ok. Mach ich. Dann die letzten Fragen:
1. soll ich dann den Proxy aktiviert lassen (solange wie alles funzt) oder soll ich es weiter manuell deaktivieren?
2. in einigen screenshots von dir war in den Interneteinstellungen die Box "Einstellungen automatisch erkennen" aktiviert. Soll ich das auch mal versuchen?

Wie du siehst, tu ich nicht ohne ausdrückliche Erlaubnis :applaus:

Zitat:

2. in einigen screenshots von dir war in den Interneteinstellungen die Box "Einstellungen automatisch erkennen" aktiviert. Soll ich das auch mal versuchen?

Das kannst du gern mal ausprobieren und schauen ob beim Reboot wieder alles über den Haufen geschmissen wird

Lieber cosinus, :dankeschoen:

auch wenn letztlich das Problem nicht ganz gelöst wurde: ich danke dir erstmal sehr herzlich für deine kompetente und prompte Hilfe. Ich habe mich immer sehr sicher bei dir gefühlt. Überhaupt finde ich das TB einfach nur klasse.
Spende ist unterwegs.