|
Windowsclick.com Trojaner hat meinen PC befallen Hallo, seit gestern werde ich meistens auf die Seite "windowsclick.com" weitergeleitet, wenn ich eine in Google angezeigte Seite aufrufen will. Ich habe auch schon einiges über diesen Trojaner gelesen, allerdings weiß ich immern noch nicht so genau, was ich tun muss. Eine Systemwiederherstellung habe ich auch schon versucht, allerdings sind keine Speicherpunkte vorhanden. Ich hoffe ihr könnt mir helfen! MfG sheryO Ich habe einfach mal einen Logfile von Hyjack kopiert: Logfile of Trend Micro HijackThis v2.0.2 Scan saved at 13:31:04, on 20.08.2009 Platform: Windows XP SP3 (WinNT 5.01.2600) MSIE: Internet Explorer v8.00 (8.00.6001.18702) Boot mode: Normal Running processes: C:\WINDOWS\System32\smss.exe C:\WINDOWS\system32\winlogon.exe C:\WINDOWS\system32\services.exe C:\WINDOWS\system32\lsass.exe C:\WINDOWS\system32\Ati2evxx.exe C:\WINDOWS\system32\svchost.exe C:\WINDOWS\System32\svchost.exe C:\WINDOWS\system32\spoolsv.exe C:\Programme\Avira\AntiVir PersonalEdition Classic\sched.exe C:\Programme\Avira\AntiVir PersonalEdition Classic\avguard.exe C:\Programme\ICQ6Toolbar\ICQ Service.exe C:\WINDOWS\system32\PnkBstrA.exe C:\WINDOWS\system32\Ati2evxx.exe C:\WINDOWS\Explorer.EXE C:\WINDOWS\system32\PnkBstrB.exe C:\Programme\QuickTime\qttask.exe C:\WINDOWS\Samsung\ComSMMgr\ssmmgr.exe C:\Programme\Avira\AntiVir PersonalEdition Classic\avgnt.exe C:\Programme\Google\GoogleToolbarNotifier\GoogleToolbarNotifier.exe C:\Programme\Skype\Phone\Skype.exe C:\Programme\ICQ6.5\ICQ.exe C:\WINDOWS\system32\svchost.exe C:\WINDOWS\System32\svchost.exe C:\Programme\Skype\Plugin Manager\skypePM.exe C:\Dokumente und Einstellungen\Administrator\Desktop\mbam-setup.exe C:\Programme\Internet Explorer\iexplore.exe C:\Programme\Internet Explorer\iexplore.exe C:\Programme\Internet Explorer\iexplore.exe C:\Programme\Trend Micro\HijackThis\HijackThis.exe R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.google.de/ R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://go.microsoft.com/fwlink/?LinkId=69157 R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://go.microsoft.com/fwlink/?LinkId=54896 R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = http://go.microsoft.com/fwlink/?LinkId=54896 R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = http://go.microsoft.com/fwlink/?LinkId=69157 R3 - URLSearchHook: (no name) - - (no file) R3 - URLSearchHook: ICQToolBar - {855F3B16-6D32-4fe6-8A56-BBB695989046} - C:\Programme\ICQ6Toolbar\ICQToolBar.dll O2 - BHO: (no name) - {02478D38-C3F9-4efb-9B51-7695ECA05670} - (no file) O2 - BHO: AcroIEHelperStub - {18DF081C-E8AD-4283-A596-FA578C2EBDC3} - C:\Programme\Gemeinsame Dateien\Adobe\Acrobat\ActiveX\AcroIEHelperShim.dll O2 - BHO: Skype add-on (mastermind) - {22BF413B-C6D2-4d91-82A9-A0F997BA588C} - C:\Programme\Skype\Toolbars\Internet Explorer\SkypeIEPlugin.dll O2 - BHO: (no name) - {53707962-6F74-2D53-2644-206D7942484F} - C:\Programme\Spybot - Search & Destroy\SDHelper.dll O2 - BHO: SSVHelper Class - {761497BB-D6F0-462C-B6EB-D4DAF1D92D43} - C:\Programme\Java\jre1.6.0_05\bin\ssv.dll O2 - BHO: Google Toolbar Helper - {AA58ED58-01DD-4d91-8333-CF10577473F7} - C:\Programme\Google\Google Toolbar\GoogleToolbar_32.dll O2 - BHO: Google Toolbar Notifier BHO - {AF69DE43-7D58-4638-B6FA-CE66B5AD205D} - C:\Programme\Google\GoogleToolbarNotifier\5.2.4204.1700\swg.dll O2 - BHO: Google Dictionary Compression sdch - {C84D72FE-E17D-4195-BB24-76C02E2E7C4E} - C:\Programme\Google\Google Toolbar\Component\fastsearch_B7C5AC242193BB3E.dll O3 - Toolbar: ICQToolBar - {855F3B16-6D32-4fe6-8A56-BBB695989046} - C:\Programme\ICQ6Toolbar\ICQToolBar.dll O3 - Toolbar: Google Toolbar - {2318C2B1-4965-11d4-9B18-009027A5CD4F} - C:\Programme\Google\Google Toolbar\GoogleToolbar_32.dll O4 - HKLM\..\Run: [Verknüpfung mit der High Definition Audio-Eigenschaftenseite] HDAudPropShortcut.exe O4 - HKLM\..\Run: [QuickTime Task] "C:\Programme\QuickTime\qttask.exe" -atboottime O4 - HKLM\..\Run: [Samsung Common SM] "C:\WINDOWS\Samsung\ComSMMgr\ssmmgr.exe" /autorun O4 - HKLM\..\Run: [avgnt] "C:\Programme\Avira\AntiVir PersonalEdition Classic\avgnt.exe" /min O4 - HKLM\..\Run: [KernelFaultCheck] %systemroot%\system32\dumprep 0 -k O4 - HKLM\..\Run: [Adobe Photo Downloader] "C:\Programme\Adobe\Photoshop Album Starter Edition\3.2\Apps\apdproxy.exe" O4 - HKLM\..\Run: [Adobe Reader Speed Launcher] "C:\Programme\Adobe\Reader 9.0\Reader\Reader_sl.exe" O4 - HKCU\..\Run: [swg] "C:\Programme\Google\GoogleToolbarNotifier\GoogleToolbarNotifier.exe" O4 - HKCU\..\Run: [WEB.DE_WEB.DE MultiMessenger] "C:\Programme\WEB.DE\WEB.DE MultiMessenger\MESSENGR.EXE" /hide O4 - HKCU\..\Run: [Skype] "C:\Programme\Skype\Phone\Skype.exe" /nosplash /minimized O4 - HKCU\..\Run: [DAEMON Tools Lite] D:\DAEMON Tools Lite\daemon.exe -autorun O4 - HKCU\..\Run: [ICQ] "C:\Programme\ICQ6.5\ICQ.exe" silent O8 - Extra context menu item: Nach Microsoft &Excel exportieren - res://C:\PROGRA~1\MICROS~2\OFFICE11\EXCEL.EXE/3000 O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programme\Java\jre1.6.0_05\bin\ssv.dll O9 - Extra 'Tools' menuitem: Sun Java Konsole - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programme\Java\jre1.6.0_05\bin\ssv.dll O9 - Extra button: Skype - {77BF5300-1474-4EC7-9980-D32B190E9B07} - C:\Programme\Skype\Toolbars\Internet Explorer\SkypeIEPlugin.dll O9 - Extra button: Recherchieren - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - C:\PROGRA~1\MICROS~2\OFFICE11\REFIEBAR.DLL O9 - Extra button: (no name) - {e2e2dd38-d088-4134-82b7-f2ba38496583} - C:\WINDOWS\Network Diagnostic\xpnetdiag.exe O9 - Extra 'Tools' menuitem: @xpsp3res.dll,-20001 - {e2e2dd38-d088-4134-82b7-f2ba38496583} - C:\WINDOWS\Network Diagnostic\xpnetdiag.exe O9 - Extra button: ICQ6 - {E59EB121-F339-4851-A3BA-FE49C35617C2} - C:\Programme\ICQ6.5\ICQ.exe O9 - Extra 'Tools' menuitem: ICQ6 - {E59EB121-F339-4851-A3BA-FE49C35617C2} - C:\Programme\ICQ6.5\ICQ.exe O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe O14 - IERESET.INF: START_PAGE_URL=about:blank O17 - HKLM\System\CCS\Services\Tcpip\..\{0B316D96-1017-4617-B52A-C617BD9C68B8}: NameServer = 192.168.100.1 O17 - HKLM\System\CS1\Services\Tcpip\..\{0B316D96-1017-4617-B52A-C617BD9C68B8}: NameServer = 192.168.100.1 O17 - HKLM\System\CS2\Services\Tcpip\..\{0B316D96-1017-4617-B52A-C617BD9C68B8}: NameServer = 192.168.100.1 O18 - Protocol: skype4com - {FFC8B962-9B40-4DFF-9458-1830C7DD7F5D} - C:\PROGRA~1\GEMEIN~1\Skype\SKYPE4~1.DLL O23 - Service: Avira AntiVir Personal – Free Antivirus Planer (AntiVirScheduler) - Avira GmbH - C:\Programme\Avira\AntiVir PersonalEdition Classic\sched.exe O23 - Service: Avira AntiVir Personal – Free Antivirus Guard (AntiVirService) - Avira GmbH - C:\Programme\Avira\AntiVir PersonalEdition Classic\avguard.exe O23 - Service: Ati HotKey Poller - ATI Technologies Inc. - C:\WINDOWS\system32\Ati2evxx.exe O23 - Service: Google Update Service (gupdate1c95c6770dd76de) (gupdate1c95c6770dd76de) - Google Inc. - C:\Programme\Google\Update\GoogleUpdate.exe O23 - Service: Google Software Updater (gusvc) - Google - C:\Programme\Google\Common\Google Updater\GoogleUpdaterService.exe O23 - Service: ICQ Service - Unknown owner - C:\Programme\ICQ6Toolbar\ICQ Service.exe O23 - Service: PnkBstrA - Unknown owner - C:\WINDOWS\system32\PnkBstrA.exe O23 - Service: PnkBstrB - Unknown owner - C:\WINDOWS\system32\PnkBstrB.exe -- End of file - 7237 bytes |
Halli Hallo und :hallo: bitte ackere diese Liste hier ab und poste alle anfallenden Logs hier. Liebe Grüße Moritz009 |
Ich hab jetzt alle 3 Programme runtergeladen(CCleaner hatte ich schon), nur dieses Malwarebyte' Anti-Malware funktioniert nicht. Wenn ich es doppelklicke passiert einfach nichts. Ich poste trotzdem mal den Logfile, den mir RSIT beschert hat: Teil 1 Zitat:
|
Teil 2 Zitat:
sheryO |
EDIT: Oha, da warst du, Andreas wohl schneler als ich^^ Na ja, Dann geht´s jetzt besser bei dir weiter!:) Liebe Grüße Moritz009 |
Hallo und :hallo: Rootkitwarnung! Du hast eine schwere Infektion die nur mit sehr viel Zeitaufwand zu bereinigen ist. Deshalb empfehle ich dir die schnelle und sichere Methode => http://www.trojaner-board.de/51262-a...sicherung.html Solltest du trotzdem die Bereinigung vorziehen, dann beginne mit ComboFix. Vorher solltest du jedoch deine Daten auf externe Medien oder andere Partitionen sichern. Solltest du noch irgendetwas mit dem Computer verbinden, wie Memorysticks, Speicherkarten, Digitalkameras, Handy, externe Laufwerke, ... dann stecke vor dem Scan alles an. ComboFix Ein Leitfaden und Tutorium zur Nutzung von ComboFix
http://saved.im/mtm0nzyzmzd5/cofi.jpg
Combofix darf ausschließlich ausgeführt werden, wenn ein Kompetenzler dies ausdrücklich empfohlen hat!ciao, andreas |
Ich habe die zweite Bereinigungsmethode mit CCleaner und ComboFix gewählt, da sie mir doch einfacher erschien. Hier das Log von ComboFix: Zitat:
|
Zitat:
Hast du dir ErrorSmart freiwillig installiert? ciao, andreas |
Ich habe mir Error Smart sicher nicht selbst runtergeladen, da ich bis vor wenigen Minuten noch nicht mal wusste, was Error Smart für ein Programm ist. Jetzt weiß ich, nachdem ich danach gegoogelt habe, dass es ein verbrecherisches Spyware Programm ist. Und außer mir kommt auch keiner an den PC, bis auf meinen Computerfachmann, der meinen Computer repariert, wenn er mal kaputt sein sollte. Ihm vertraue ich aber und ich bin davon überzeugt, dass er mir, falls er es runtergeladen haben sollte, nicht damit schaden wollte. Zitat:
P.S.: Das Problem mit der Weiterleitung auf Windowsclick.com hatte ich nach ComboFix nicht mehr. MfG sheryO |
Poste bitte das fehlende Log von RSIT. Start => Ausführen => c:\rsit\info.txt => OK ciao, andreas |
Sry, das hab ich wohl übersehen... Zitat:
|
1.) Deinstalliere:
Code: KILLALL::
Hinweis: Das obige Script ist nur für diesen einen User in dieser Situtation erstellt worden. Es ist auf keinen anderen Rechner portierbar und darf nicht anderweitig verwandt werden, da es das System nachhaltig schädigen kann. 3.) Installiere (Toolbars immer abwählen, Haken weg):
ciao, andreas |
Hier das gewünschte Log: Zitat:
|
Das sieht doch schon viel freundlicher aus. :) Weiter mit: 1.) http://www.trojaner-board.de/51187-a...i-malware.html (vorher Update durchführen!) 2.) http://www.trojaner-board.de/51871-a...tispyware.html ciao, andreas |
Hier das Log von Malwarebytes' Anti Malware: Zitat:
Zitat:
sheryO |
SuperAntiSpyware deinstallieren oder den Wächter deaktivieren, falls du es behalten möchtest. 1.) Panda Active Scan Folgende Seite führt dich durch die Installation: PandaActiveScan2.0 Installation2.) Überprüfe den Rechner mit PrevXCSI. Poste ein Screenshot falls etwas gefunden werden sollte. ciao, andreas |
Ich lasse gerade dieses Panda Active Scan meinen PC scannen. Das hat auch soweit gut funktioniert, nur jetzt bleibt der Scan schon seit mehr als einer Stunde bei 17% stehen. "Stehen bleiben" heißt in diesem Fall, dass sich nicht die Anzeige von 17% nicht ändert, die bearbeiteten Element wechseln aber ständig. Bei diesen bearbeiteten Elementen handelt es sich z.B. um C:\WINDOWS\Installer\9cc6e1.msp[unk_1760]. Von 1% bis 17% hat er dagegen nur etwa 20 Minuten gebraucht. Ich weiß, solche Scans können teilweise echt lange dauern, aber ich wundere mich halt, dass es jetzt schon so lange bei 17% steht. Ich hoffe, ihr könnt mir kurz sagen, ob das normal ist oder nicht. MfG sheryO Edit: Hat sich erledigt, inzwischen hat es fertig gescannt. |
Hier das Log von Panda Active Scan: Zitat:
Jetzt zum Prevx 3.0: Leider kann ich keine Screenshots machen, da meiner Tastatur die Taste dazu fehlt... Daher habe ich einfach alles abgeschrieben: Zitat:
MfG sheryO |
Scripten mit Combofix
Code: KILLALL::
Hinweis: Das obige Script ist nur für diesen einen User in dieser Situtation erstellt worden. Es ist auf keinen anderen Rechner portierbar und darf nicht anderweitig verwandt werden, da es das System nachhaltig schädigen kann. ciao, andreas |
Hier ist das Log: Zitat:
sheryO |
1.) Deaktiviere die Systemwiederherstellung, im Verlauf der Infektion wurden auch Malwaredateien in Wiederherstellungspunkten mitgesichert - die sind alle nun unbrauchbar, da ein Zurücksetzen des System durch einen Wiederherstellungspunkt das System wahrscheinlich wieder infizieren würde. Nach Neustart kann sie wieder aktiviert werden. 2.) Deinstalliere:
Code: KILLALL::5.) Kaspersky - Onlinescanner Dieser Scanner entfernt die Funde nicht, gibt aber einen guten Überblick über die vorhandene Malware. ---> hier herunterladen => Kaspersky Online Scanner => Hinweise zu älteren Versionen beachten! => Voraussetzung: Internet Explorer 6.0 oder höher => die nötigen ActiveX-Steuerelemente installieren => Update der Signaturen => Weiter => Scan-Einstellungen => Standard wählen => OK => Link "Arbeitsplatz" anklicken => Scan beginnt automatisch => Untersuchung wurde abgeschlossen => Protokoll speichern als => Dateityp auf .txt umstellen => auf dem Desktop als Kaspersky.txt speichern => Log hier posten => Deinstallation => Systemsteuerung => Software => Kaspersky Online Scanner entfernen ciao, andreas |
Schritt 1-4 habe ich erfolgreich durchgeführt. Hier schonmal das Log von ComboFix: Zitat:
Bei Schritt 5 gelingt es mir allerdings nicht, den Online Scanner zu installieren. Nachdem ich die Lizenzbedingungen akzeptiert habe, fängt er an zu installieren. Nach einiger Zeit erscheint dann jedoch die Meldung, dass ich Administratorrechte benötige und bei(m) IE die Sicherheitsstufe 3 einstellen soll. Administratorrechte habe ich, aber ich weiß nicht, was eine IE Sicherheitsstufe ist. |
Start => Einstellungen => Systemsteuerung => Internetoptionen => Karte: Sicherheit => Schieberegler auf Stufe 3 schieben oder: Karte: Sicherheit => Klick auf Vertrauenswürdige Sites => Klick auf Sites => www.kaspersky.com => Haken weg bei "Für Sites....." => Hinzufügen => OK ciao, andreas |
So, hier ist dann auch der Log von Kaspersky: Zitat:
MfG sheryO |
Das sieht alles gut aus. Wie geht es dem Rechner? Noch irgendwelche Auffälligkeiten oder Meldungen? Deinstalliere Kaspersky Online Scanner. ciao, andreas |
Den Kaspersky Online Scanner habe ich schon gestern, direkt nach dem Scan deinstalliert. Dem PC geht es, soweit ich das beurteilen kann, auch gut. Er ist wieder viel schneller und die Weiterleitung nach Windowsclick.com erfolgt auch nicht mehr. Sollte es wieder zu Problemen kommen, werde ich mich hier wieder melden. Und nochmal Vielen Dank für die Hilfe!:daumenhoc MfG sheryO |
1.) Start => Ausführen => combofix /u => OK 2.) Du bist entlassen. :) ciao, andreas |
| Alle Zeitangaben in WEZ +1. Es ist jetzt 03:31 Uhr. |
Copyright ©2000-2025, Trojaner-Board