[Trojan.DNSChanger] // Bekomme ihn nicht weg!
 

Hallo liebes Board!

Hab mir letztens im I Net was schlimmes eingefangen, wo genau keine Ahnung.
Hab schon einige Mittel ausprobiert, bin aber bis jetzt immer gescheitert!

Hier mein Ad-Aware Log:
Hier mein Malewarbytes Log:
Die Coockies kommen immer wieder und wenn sie mir zu viel sind lösche ich sie einfach. Wenn ich mit Malewarbytes die DNS.Changer lösche sind sie beim nächsten mal ins Internet gehen wieder da. Combofix hab ich noch nicht benutzt und dafür muss ich noch warten, nur wenn es wirklich keine andere Lösung mehr gibt greife ich zu Combofix. Hat irgendwer selbst Erfahrungen wie er seine DNS.Changer wegbekommen hat? Wäre über jeden Tipp dankbar!

Liebe Grüße Ringman

Hallo

bevor du Combofix übers System jagst, versuche es bitte erst mit Blacklight.
ftp://ftp.f-secure.com/anti-virus/tools/fsbl.exe
Scanne dein System und poste das Log, das findest du im selben Ordner wo auch Blacklight abgelegt/gespeichert wurde.

Anschließend lade dir bitte Fixwareout
Downloade Dir Fixwareout.exe.
Fixwareout.exe starten -> next -> Install -> Run fixit -> Finish (System wird neugestartet) -> C:\fixwareout\report.txt ->
hierher posten sowie ein Hijackthis Logfile.

Berichte bitte ob eine Besserung eingetreten ist.

MFG

Hallo Nochdigger, vielen Dank das du dir mein Problem unter die Lupe nimmst!
Erstens, Blacklight hat nix gefunden, hier das Log:

Hier das Fixwareout Log:
Hier das HiJackLog:
Bis jetzt hab ich noch keine Änderungen festgestellt.
Liebe Grüße und Vielen Dank!

Hallo

Du hast das System neugestartet und wirst weiterhin auf andere Seiten umgeleitet?
Wenn ja, machen wir mit Combofix weiter
ComboFix

Ein Leitfaden und Tutorium zur Nutzung von ComboFix

• Lade dir das Tool hier herunter auf den Desktop -> KLICK

Das Programm jedoch noch nicht starten sondern zuerst folgendes tun:

• Schliesse alle Anwendungen und Programme, vor allem deine Antiviren-Software und andere Hintergrundwächter, sowie deinen Internetbrowser.
  Vermeide es auch explizit während das Combofix läuft die Maus und Tastatur zu benutzen.

• Dann folgende Anleitung durchlesen und abarbeiten -> CCleaner Systembereinigung

• Starte nun die combofix.exe von deinem Desktop aus, bestätige die Warnmeldungen und lass dein System durchsuchen.

• Im Anschluss öffnet sich automatisch eine combofix.txt, diesen Inhalt bitte abkopieren und in deinen Beitrag einfügen. Das log findest du außerdem unter: C:\ComboFix.txt.

Wichtiger Hinweis:

Combofix darf ausschließlich ausgeführt werden wenn ein Kompetenzler dies ausdrücklich empfohlen hat!
Es sollte nie auf eigene Initiative hin ausgeführt werden! Eine falsche Benutzung kann ernsthafte Computerprobleme nach sich ziehen und eine Bereinigung der Infektion noch erschweren.

Hinweis: Combofix verhindert die Autostart Funktion aller CD / DVD und USB - Laufwerken um so eine Verbeitung einzudämmen. Wenn es hierdurch zu Problemen kommt, diese im Thread posten.


MFG

Nein, ich werde auf keine Seiten umgeleitet, es passiert auch gar nichts auffälliges.
Mit Ausnahme das mein Internet ziemlich lahmt, die Coockies die es speichert bekomme ich nie zu sehen ausser in den A-Virus Logs. ;]

Combofix kann ich noch nicht starten da ich zuerst noch meine boot.ini wiederherstellen muss und das noch ein paar Tage dauern "könnte".
Gibt es noch andere Methoden ausser Combofix?

Liebe Grüße und Vielen Dank!

PS: Wie sollte ich einen Unterschied gemerkt haben?
Blacklight und Fixwareout haben ja nix gefunden und HiJack löscht ja nichts, oder irre ich mich?

Hallo

(evtl. SDFix)
ich hatte Combofix nur als Kontrolle angedacht...
Bei Zeit hier
Free Virus Scan - Kaspersky Lab
und hier
BitDefender Online Scanner - Free Online Virus Scan
einen Onlinescan durchführen.

Nein du hast recht, es wurden diese Umleitungen
wohl schon von Malwarebytes gelöscht (tauchen auch im Hijackthis Log nicht mehr auf).

Lass mal alle Registryleichen vom Ccleaner beseitigen.

MFG

Hallo Nochdigger!

Also zuerst mal das mit dem CCleaner. Ich hab alles bereinigt.
Aber bei Malewarebytes kommen immernoch diese 6 Einträge.
Ob mein I Net nu schneller geht kann ich net sagen da ich den Virus schon etwas länger habe.

Hier:
Ich werde jetzt nochma im offline Modus mit Malewarebytes, Blacklight, Ad-Aware,
Avast und CCleaner reinigen und danach mit Kaspersky und BitDeffender online scannen.

Logs werden folgen :]
Und nochmal danke für deine Untersuchungen!

Hallo Nochdigger, hat etwas gedauert aber hatte Stress die Tage...
So, hab ein bischen zusatzaufgaben gemacht, hoffe es stört dich nicht! ;]

Alle Logs entsprechen der richtigen Reihenfolge.

Zuerst Ad-Aware, das findet immer was zu meckern, verdammte Cockies!
Was sind diese infectet MRU Objekte eigentlich?
Ad-Aware:
Hier nun Malewarebytes, was mir aufgefallen ist im Offline Modus werden immer nur 2 gefunden und online 6, ab und zu auch mal nur 4.
Woran liegt das?

Malewarbytes:
Nach dem Neustart nochmal mit Ad-Aware gescannt und siehe da, das teil is wieder da >.>

Ad-Aware das 2te:
Danach hab ich mit Avast gescannt der fand nix.

So, nu habsch auch mit dem CCleaner nochma gecleant wobei er bei registry nix mehr fand.

Kasperski und Bit Defender folgen ~~

Huhu Nochdigger! Sry, hatte wieder Stress die Tage... *schäm*

Also zuerst zu Bit Defender, der fand nix!
Und Kaspersky fand auch nix, nur paar Daten die er net scannan konnte.
Hier das Ka Log:

Was ich noch fragen wollte, was genau macht Combofix?
Ich kann es und will es auch "derzeit" nicht anwenden, aber wenn es die einzige Möglichkeit ist,
meinen Trojaner zu entfernen gib mir bescheid, damit ich weiß das ich meinen Compi neu aufsetzten kann.
Was mir sehr weh tun würde... *gg*

Liebe und Hoffnungsvolle Grüße der Ringman

Hallo

ich hab mich wohl komplett irre machen lassen von der Meldung
Eventuell hätte es bei mir auch ne Brille getan:balla: und ich wundere mich, dass die anderen Programme nix finden:koch:
So, ist dein Anbieter (du kommst aus Österreich?) zufällig
?
Dann währe die Meldung von Malwarebytes ein FP False Positiv.

Wenn dann, die anderen Programme nicht wirklich etwas finden, wundert es mich auch nicht mehr....

Dein System sollte sauber sein.

MFG

Huch... Jap, bin bei Gamsjäger! :]

Dan hätt ich aber noch 3 Fragen.
1. Von wo kommen den die Infiszierten Coockies und die infiszierten MRU Objekte die laufend auf meine Platte kommen her? (die Ad-Aware findet)
2. Was haben dan die roten TrojanDNS.Changer die mir Malewarebytes anzeigt noch auf sich? Sind ja manchmal 2, 4 oder 6 Stück.
Wenn die Tot sind, bekomm ich die auch wieder weg?
3. Kommt es mir vor das mein internet noch immer ziemlich lahmt...

Hei, liebe Grüße Ringman :Boogie:

PS: Ab und zu wenn ich eine Seite aufschlage wird mir zwar keine Werbung aufgeschlagen,
aber unten im internet Explorer wird im weißen Balken wenn man eine Seite betritt ja angezeigt,
zB: Auf http:/pcgames.de wird gewartet.
Und da kommt manchmal inerhalb Bruchsekunden zB: yieldmanager unter den ich bei Google gefunden habe das es Spyware ist.

Hallo

Cockies sind i.d.R. harmlos, wende doch mal ClearProg
www.clearprog.de - ClearProg & DownloadSpeed
oder den Ccleaner nach den Internetsitzungen an es sollte dann nicht mehr viel gefunden werden.

Wie ich geschrieben habe halte ich es für eine Falschmeldung des Programms, es ist die Adresse deines I-Netanbieters
und nicht die eines Ukrainischen Anbieters.

Hmm, Malware haben wir keine gefunden, mach doch mal hier einen Speedtest
Wie ist meine IP-Adresse?

Überprüfe dein System nach dieser Anleitung mit ewido (AVG)
AVG AntiSpyware - Ewido
speichere am Ende den Bericht und poste ihn hierher.

MFG

Huhu Nochdigger! :balla:

Vielen Dank für die Ausführliche Beantwortung meiner 3 Fragen.

Ich fang mal an:

1) Hab ne 200er Leitung, beim Speedtest kam raus:

Download-Geschwindigkeit: 2.105 kbit/s (263 kByte/s)
Upload-Geschwindigkeit: 321 kbit/s (40 kByte/s)

Das Ergebnis entspricht folgendem Anschlusstyp: DSL 3.000

2) Beim AVG Anti Rootkit Scan kam raus:

Keine infecten Funde!
Aber 8 Warnungen davon 7 mal AVG 0.8 und eines das hieß setupapi.dll unter System 32.

So, ich scann jetzt noch nach der Einleitung komplett mit AVG!

Liebe Grüße

3) CCleaner und ClearProg benutzt

4) AVG komplett Scann, keine Funde nur 8 Warnungen und das waren Coockies

5) Fertig :kloppen:


Bezüglich deiner Antwort Nummer 1 und meiner Frage.
Ich wolte nicht Wissen wie ich die Coockies wegbekomme,
sondern von wo sie herkommen.
Ist da eine Datei auf meinen PC die wir nicht finden die die runterlädt?
Wenn das der Fall wäre, kann man die Coockies net irgendwie blockieren?
Also die Coockies die ich laufend bekomme, sind ja meist die gleichen.

Liebe Grüße Ringman

Moin

Nicht ganz, lies mal hier Cockies --> HTTP-Cookie ? Wikipedia

MFG

Huhu, leider scheint die Sache noch nicht abgeschlossen zu sein.
Hab heute wieder versucht Battlefield 2 zu daddeln was aber leider unmöglich ist.
Mein Ping schwanckt immer so hoch das ich ab und an nur rumlagge,
hab meistens ~60 und das schwankt alle paar sekunden bis auf 300 rauf.

Also meiner Meinung lädt da hinterrücks irgendwas noch etwas runter.
Kannst du dich vielleicht nochmal probieren an mir?

Liebe Grüße

Hallo

1. Lad dir mal Autoruns von Microsoft runter
http://technet.microsoft.com/de-de/sysinternals/bb963902.aspx

2. autoruns.exe starten und warten bis alles geladen wurde.

http://img228.imageshack.us/img228/4...benanntgt3.png

Danach Speichern (Im Bild oben links, die Diskette)

3. Datei für Auswertung von mir hochladen:
RapidShare: Easy Filehosting
Upload & Download Share, Filehoster

Oh, Mann, sowas asoziales.
Was hab ich net schon alles versucht diesen verdammten Virus zu entfernen,
und ich weiß noch nichtmal wo er steckt, und helfen kann man mir auch niemand...
Wieder 104 infiszierte Coockies von alle Möglichen Seiten die ich nicht kenne gefunden.

__________________________________________________________________
_______________________________________________________________

Wo es mir gerade auffällt, vielleicht hilft dir das etwas:

Hab damals ein Image gedownloadet, aber während des Downloads hat Avast die Infection erkannt und ihn (?) gelöscht. (?)
Danach hatte ich 100% CPU überlastung und ich musste meinen PC stecker rausziehen da nix mehr ging.
Alles gut, PC gestartet, doch vor dem starten machte er so einen (?) System Scan (?)
in einem Blauen fenster den ich nicht abbrechen sollte.
Nochmal neu gestartet kam wieder dieser Scan.
Danach ging wieder alles einwandfrei bis auf das es mir beim starten nun immer anzeigt:
C:/boot.ini Datei beschädigt.
Tja, nach längerer Nachforschung sah ich das ich nu gar keine boot.ini mehr habe.
Weder unter Ausführen noch unter C: fand ich die Boot Datei,
deswegen will ich combofix auch nicht ausführen da die Boot Datei für die Wiederherstellungskonsole benötigt wird.
Ja ich weiß die Boot Datei kann ich per Windows CD wieder reparieren,
was ich auch irgendwann die Tage mal machen werde, falls es von mir gewünscht wird.

Einen anderen Virus hab ich mir auch mal von einem Download eingefangen.
Aber von dem hab ich nix mehr gesehen/gehört.

_______________________________________________________________
__________________________________________________________________

Was mir auch noch aufgefallen ist, das zB: das infiszierte Coockie Yieldmanager bei Popup Werbungen,
zB Imageshack ganz kurz unten am Bildschirmrand angezeigt wird für eine kleine Bruchsekunde.
Dort wo steht zB: http:/ google.de wird zugegeriffen.
Das mir der Virus aber eigene Werbung aufploppt war noch nicht der Fall.

Liebe Grüße Ringman

PS: Nein, ich bin kein Sauger und nutze/nutzte auch noch nie irgendwelche P2P Programme.
PS2: Sry Gotcha, war noch am schreiben, deine Auswertung folgt gleich!

Hier Bitte! :]
T vergessen, darfst selbst hinzu machen. *g*

-> http://rapidshare.com/files/137543190/MeineAuorunDatei.arn.html

Hab dir auch noch ein 2tes log erstellt und diesmal bei den Optionen die oberen 2 Punkte angehackt.

-> http://rapidshare.com/files/137545195/NeueAutorunDatei.arn.html

Liebe Grüße

Soweit ich das beurteilen kann ist alles okee.
Treibertechnisch fällt mir nichts auf.
Ein paar undefinierte Treiber sollten Spiele treiber sein (Starforce und noch ein andere, evtl Anno ? oder Gothic ?)
egal

Anscheinend benutzt du vista (Windows Defender) ?!
Gehst du mit WLAN in das Internet ?
Vista kann WLan-Technisch nicht gut arbeiten, das wär eine Möglichkeit, dass du so hohe Pingausschläge hast!
Hatte das gleiche Problem mal gibt da zwar Tools, die angeblich helfen sollen, hat jedoch nicht bei mir funktioniert.

Zwei Treiber die mich zuerst stutzig gemacht haben:

Nein! Ich nutze kein Vista. ;]
Ja Spiele hab ich viele oben, gothic hatte ich mal oben, also kann sein.
Den Windows Defender hat mir ein Freund installiert der in mir neu augesetzt hat, da ich kaum Plan davon habe.
Und WLAN nutze ich auch keins, habe KabelInternet über Kabelfernsehen. *g*

Liebe Grüße und danke das du dir mein System anguckst!

Heiho, ich bins wieder!
Ich habe heute meinen Compi neu defragmentiert und etliche Spiele/Programme entfernt und meine boot datei wieder hergestellt.
Nun kommt es mir so vor als läuft er wieder um einiges besser, auch der IE.

So, zu dir Nochdigger:
Du sagtest ja Cockies sind net gefährlich und mein PC ist anscheinend clean.
Da hätte ich aber noch eine Frage zu den Infiszierten MRU Objekten die Ad-Aware findet, hier das teil:

Infections Found
===========================
Family Id: 9999 Name: MRU Object Category: MRU Object TAI:0
Item Id: 1 Value: MRU Path: C:\Dokumente und Einstellungen\Besitzer\Recent Count: 1
Item Id: 3 Value: MRU Registry Key: S-1-5-21-1202660629-1547161642-839522115-1003\Software\Microsoft\Internet Explorer\TypedURLs Count: 1

Items Ignored During Scan
===========================


Was hat dan das zu bedeuten? Ist das auch ein Fehlalarm?

Liebe Grüße

Tach

Rechnung kommt...

Jupp, hab ich gesagt.

Google ist dein Freund nicht dein Feind

Kann es sein, dass du dein Problem auch hier behandeln lässt?
Infektions Angriffe, wirklich alle entfernt? - HijackThis.de Support Board
es ist auch schade, dass du diese wichtigen Infos nicht erwähnt hast zu anfang
MFG

Ja, hab dort mein Problem behandeln lassen bevor ich hierher gekommen bin.
Aber da sie mein Prob auch nicht finden konnten bin ich hierher ausgewandert.

Und hätten die 3 Punkte was gebracht wenn ich sie geschrieben hätte, oder besser weist du nun wo das Problem liegt?

MFG

Hallo

definitiv JA
Ich hätte dir zu Punkt 1 eine Neuinstallation angeraten, da nach ausführen des "Downloads" irgendetwas passiert sein muss, was deinem System nicht gut getan haben kann (siehe deine Beschreibung)
Du führst irgendeine Datei:rolleyes: aus die solche Probleme nach sich zieht und hältst es für nicht erwähnenswert:headbang:?

Setz die Kiste neu auf und gut isses.

Für mich ist hier ENDE.

Prost

Hi,

hast Du einen Router oder so was am Laufen und auch schon mal kontrolliert (auch hosts-file)?
http://www.pcwelt.de/start/sicherheit/virenticker/news/165924/zlob_malware_manipuliert_router/

chris

Also für mich sind das eingegebene URLs in den IE die nicht ganz koscha sind, nix schlimmes sonst!
Darüber würde ich mir jetzt nicht so gedanken machen

Huhu Chris, nein leider nicht, da ich nicht weiß wie ich das mache.

So, und ich wollte mich mal bei allen Bedanken die mir geholfen haben meinen Computer auszuwerten. Mein Problem hab ich heute nun selbst behoben da ich wo leste das man per Firefox die Coockies nach schliesen automatisch löschen kann. Und das hab ich auch gemacht, laut euren Auswertungen hab ich nix infisziertes am Compi und was rotes findet Ad Aware auch nimmer dank Firefox.

Vielen Dank und liebe Grüße!

Wie kann man seine ANtworten editieren? :>