Trojaner-Board - Der Internet Explorer öffnet sich selbstständig und zeigt Werbung an

Trojaner-Board (https://www.trojaner-board.de/)

- Plagegeister aller Art und deren Bekämpfung (https://www.trojaner-board.de/plagegeister-aller-art-deren-bekaempfung/)

- - Der Internet Explorer öffnet sich selbstständig und zeigt Werbung an (https://www.trojaner-board.de/87979-internet-explorer-oeffnet-selbststaendig-zeigt-werbung.html)

Der Internet Explorer öffnet sich selbstständig und zeigt Werbung an

Hallo, ich habe, wie einige Personen hier in letzter Zeit auch, das Problem, dass sicher der Internet Explorer von alleine öffnet und Werbung anzeigt. Das passiert in unregelmäßigen Abständen. Als Standardbrowser verwende ich aber Firefox bzw. Opera. Außerdem wird die Lautstärke auf Null gesetzt, dass passiert ca alle 10 Minuten.
Es kommt auch hin und wieder vor, das eine Fehlermeldung vom Internet Explorer auftaucht, so eine habe ich hier mal als Anhang aufgeführt.
Ich habe gestern eine vollständige Systemprüfung von Antivir machen lassen, da wurde nichts gefunden (Antivir habe ich so eingestellt wie hier im Forum empfohlen).

Der HiJackthis Logfile:

HiJackthis Logfile:

Code:

Logfile of Trend Micro HijackThis v2.0.4

Scan saved at 12:14:10, on 10.07.2010

Platform: Windows XP SP3 (WinNT 5.01.2600)

MSIE: Internet Explorer v6.00 SP3 (6.00.2900.5512)

Boot mode: Normal
 

Running processes:

C:\WINDOWS\System32\smss.exe

C:\WINDOWS\system32\winlogon.exe

C:\WINDOWS\system32\services.exe

C:\WINDOWS\system32\lsass.exe

C:\WINDOWS\system32\svchost.exe

C:\WINDOWS\system32\svchost.exe

C:\WINDOWS\System32\svchost.exe

C:\WINDOWS\system32\svchost.exe

C:\WINDOWS\system32\svchost.exe

C:\WINDOWS\Explorer.EXE

C:\WINDOWS\system32\spoolsv.exe

c:\programme\gemeinsame dateien\logishrd\lvmvfm\LVPrcSrv.exe

C:\Programme\Avira\AntiVir Desktop\sched.exe

C:\Programme\MultiMedia Keyboard\MultiMedia Keyboard1.1\KbdAp32A.exe

C:\WINDOWS\soundman.exe

C:\Programme\Avira\AntiVir Desktop\avgnt.exe

C:\WINDOWS\system32\ctfmon.exe

C:\Programme\Google\Update\1.2.183.29\GoogleCrashHandler.exe

C:\Programme\Avira\AntiVir Desktop\avguard.exe

C:\Programme\Creative\Shared Files\CTDevSrv.exe

C:\WINDOWS\System32\nvsvc32.exe

C:\WINDOWS\System32\tcpsvcs.exe

C:\WINDOWS\System32\snmp.exe

C:\WINDOWS\System32\svchost.exe

C:\WINDOWS\System32\svchost.exe

H:\PROGRAMME\Opera10.51\opera.exe

C:\Programme\Mozilla Firefox\firefox.exe

C:\Programme\Skype\Toolbars\Shared\SkypeNames2.exe

C:\WINDOWS\system32\sndvol32.exe

C:\WINDOWS\system32\taskmgr.exe

H:\PROGRAMME\HiJackThis\Trend Micro\HiJackThis\HiJackThis.exe
 

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = about:blank

R0 - HKLM\Software\Microsoft\Internet Explorer\Search,SearchAssistant = 

R1 - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings,ProxyServer = 192.168.13.10:80

R3 - URLSearchHook: OLE (Part 1 of 5) -  - (no file)

O2 - BHO: Ipswitch.WsftpBrowserHelper - {601ED020-FB6C-11D3-87D8-0050DA59922B} - C:\Programme\Ipswitch\WS_FTP Pro\wsbho2k0.dll

O2 - BHO: SSVHelper Class - {761497BB-D6F0-462C-B6EB-D4DAF1D92D43} - C:\Programme\Java\jre1.6.0_06\bin\ssv.dll

O2 - BHO: Google Toolbar Notifier BHO - {AF69DE43-7D58-4638-B6FA-CE66B5AD205D} - C:\Programme\Google\GoogleToolbarNotifier\5.1.1309.3572\swg.dll

O2 - BHO: (no name) - {C1CF6C50-5B87-4793-907A-88E4CF2720E1} - (no file)

O4 - HKLM\..\Run: [LWBKEYBOARD] C:\Programme\MultiMedia Keyboard\MultiMedia Keyboard1.1\KbdAp32A.exe

O4 - HKLM\..\Run: [SoundMan] soundman.exe

O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\System32\NvCpl.dll,NvStartup

O4 - HKLM\..\Run: [nwiz] nwiz.exe /install

O4 - HKLM\..\Run: [avgnt] "C:\Programme\Avira\AntiVir Desktop\avgnt.exe" /min

O4 - HKLM\..\Run: [KernelFaultCheck] %systemroot%\system32\dumprep 0 -k

O4 - HKCU\..\Run: [ctfmon.exe] C:\WINDOWS\system32\ctfmon.exe

O4 - HKUS\S-1-5-19\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 'LOKALER DIENST')

O4 - HKUS\S-1-5-20\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 'NETZWERKDIENST')

O4 - HKUS\S-1-5-18\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 'SYSTEM')

O4 - HKUS\.DEFAULT\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 'Default user')

O4 - Global Startup: Adobe Reader - Schnellstart.lnk = C:\Programme\Adobe\Acrobat 7.0\Reader\reader_sl.exe

O8 - Extra context menu item: Nach Microsoft &Excel exportieren - res://C:\PROGRA~1\MICROS~2\Office10\EXCEL.EXE/3000

O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programme\Java\jre1.6.0_06\bin\ssv.dll

O9 - Extra 'Tools' menuitem: Sun Java Konsole - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programme\Java\jre1.6.0_06\bin\ssv.dll

O9 - Extra button: ICQ7.2 - {72EFBFE4-C74F-4187-AEFD-73EA3BE968D6} - H:\PROGRAMME\ICQ7.2\ICQ.exe

O9 - Extra 'Tools' menuitem: ICQ7.2 - {72EFBFE4-C74F-4187-AEFD-73EA3BE968D6} - H:\PROGRAMME\ICQ7.2\ICQ.exe

O9 - Extra button: ICQ Lite - {B863453A-26C3-4e1f-A54D-A2CD196348E9} - H:\PROGRAMME\ICQLite\ICQLite.exe (file missing)

O9 - Extra 'Tools' menuitem: ICQ Lite - {B863453A-26C3-4e1f-A54D-A2CD196348E9} - H:\PROGRAMME\ICQLite\ICQLite.exe (file missing)

O9 - Extra button: (no name) - {e2e2dd38-d088-4134-82b7-f2ba38496583} - C:\WINDOWS\Network Diagnostic\xpnetdiag.exe

O9 - Extra 'Tools' menuitem: @xpsp3res.dll,-20001 - {e2e2dd38-d088-4134-82b7-f2ba38496583} - C:\WINDOWS\Network Diagnostic\xpnetdiag.exe

O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe

O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe

O10 - Unknown file in Winsock LSP: c:\windows\system32\nwprovau.dll

O17 - HKLM\System\CCS\Services\Tcpip\..\{6778944E-6E3F-4309-9F05-0A3425867719}: NameServer = 192.168.13.10

O18 - Protocol: skype4com - {FFC8B962-9B40-4DFF-9458-1830C7DD7F5D} - C:\PROGRA~1\GEMEIN~1\Skype\SKYPE4~1.DLL

O22 - SharedTaskScheduler: Browseui preloader - {438755C2-A8BA-11D1-B96B-00A0C90312E1} - C:\WINDOWS\System32\browseui.dll

O22 - SharedTaskScheduler: Component Categories cache daemon - {8C7461EF-2B13-11d2-BE35-3078302C2030} - C:\WINDOWS\System32\browseui.dll

O23 - Service: Avira AntiVir Planer (AntiVirSchedulerService) - Avira GmbH - C:\Programme\Avira\AntiVir Desktop\sched.exe

O23 - Service: Avira AntiVir Guard (AntiVirService) - Avira GmbH - C:\Programme\Avira\AntiVir Desktop\avguard.exe

O23 - Service: CT Device Query service (CTDevice_Srv) - Creative Technology Ltd - C:\Programme\Creative\Shared Files\CTDevSrv.exe

O23 - Service: Creative Centrale Media Server (CTUPnPSv) - Creative Technology Ltd - C:\Programme\Creative\Creative Centrale\CTUPnPSv.exe

O23 - Service: Google Update Service (gupdate1c9c595376d9fe0) (gupdate1c9c595376d9fe0) - Google Inc. - C:\Programme\Google\Update\GoogleUpdate.exe

O23 - Service: Google Software Updater (gusvc) - Google - C:\Programme\Google\Common\Google Updater\GoogleUpdaterService.exe

O23 - Service: InstallDriver Table Manager (IDriverT) - Macrovision Corporation - C:\Programme\Gemeinsame Dateien\InstallShield\Driver\11\Intel 32\IDriverT.exe

O23 - Service: InCD Helper (InCDsrv) - Ahead Software AG - C:\Programme\Ahead\InCD\InCDsrv.exe

O23 - Service: Process Monitor (LVPrcSrv) - Logitech Inc. - c:\programme\gemeinsame dateien\logishrd\lvmvfm\LVPrcSrv.exe

O23 - Service: LVSrvLauncher - Logitech Inc. - C:\Programme\Gemeinsame Dateien\LogiShrd\SrvLnch\SrvLnch.exe

O23 - Service: NVIDIA Driver Helper Service (NVSvc) - NVIDIA Corporation - C:\WINDOWS\System32\nvsvc32.exe

O23 - Service: PsShutdown (PsShutdownSvc) - Unknown owner - C:\WINDOWS\System32\PSSDNSVC.EXE

O23 - Service: Remote Packet Capture Protocol v.0 (experimental) (rpcapd) - Unknown owner - C:\Programme\WinPcap\rpcapd.exe
 

--

End of file - 6657 bytes

--- --- ---

Vielen Danke für Eure Hilfe schon mal im Voraus

Bitte den bootkit_remover herunterladen. Entpacke das Tool in einen eigenen Ordner auf dem Desktop und führe in diesem Ordner die Datei remove.exe aus.

Wenn Du Windows Vista oder Windows 7 verwendest, musst Du die remover.exe über ein Rechtsklick => als Administrator ausführen

Ein schwarzes Fenster wird sich öffnen und automatisch nach bösartigen Veränderungen im MBR suchen.

Poste dann bitte, ob es Veränderungen gibt und wenn ja in welchem device. Am besten alles posten was die remover.exe ausgibt.

So, hab ihn runtergeladen und ausgeführt. Erzeigt mir 2 unbekannte rootkits an:
\\.\PhysicalDrive0
\\.\PhysicalDrive1

Sollen die nun wie bei dem Programm unten angegeben entfernt werden?

hatte aus versehen 2x den geleichen Post abgeschickt, wie kann man den löschen? Unten gibts ja den Button editieren/löschen, aber damit kann der ganze Post nicht gelöscht werden ...

Poste die Meldung komplett und nicht nur einen Teil davon!

Bootkit Remover version 1.0.0.1
(c) 2009 eSage Lab
esage lab - main

\\.\C: -> \\.\PhysicalDrive0
MD5: 6def5ffcbcdbdb4082f1015625e597bd
\\.\F: -> \\.\PhysicalDrive1
MD5: 6def5ffcbcdbdb4082f1015625e597bd
\\.\G: -> \\.\PhysicalDrive1
\\.\H: -> \\.\PhysicalDrive1

Size Device Name MBR Status
--------------------------------------------
37 GB \\.\PhysicalDrive0 Unknown boot code
186 GB \\.\PhysicalDrive1 Unknown boot code

Unknown boot code has been found on some of your physical disks.
To inspect the boot code manually, dump the master boot sector:
remover.exe dump <device_name> [output_file]
To disinfect the master boot sector, use the following command:
remover.exe fix <device_name>

Press any key to quit...

Bitte mal die Konsole starten über Start, Ausführen, cmd eintippen, ok.

Den Text im folgenden Codefeld eintippen und mit Enter/Return ausführen:

Code:

remover.exe fix \\.\PhysicalDrive0

Danach auch auf die Zweitplatte anwenden:

Code:

remover.exe fix \\.\PhysicalDrive1

Falls der den Befehl remover.exe nicht findet, die Datei remover.exe (vom BootkitRemover) vom Desktop nach c:\windows\system32 kopieren!

hab ich gemacht, nun zeigt er mir an, das die beiden Festplatten OK sind (siehe beigefügtes Bild)

Sieht ok aus. Mach bitte zur Kontrolle Vollscans mit Malwarebytes und SASW und poste die Logs.
Denk dran beide Tools zu updaten vor dem Scan!!

So, hier hab ich den Scan von Malwarebytes, der andere folgt sobald ich Zeit habe.

Malwarebytes' Anti-Malware 1.46
Malwarebytes

Datenbank Version: 4309

Windows 5.1.2600 Service Pack 3
Internet Explorer 6.0.2900.5512

14.07.2010 11:03:50
mbam-log-2010-07-14 (11-03-50).txt

Art des Suchlaufs: Vollständiger Suchlauf (C:\|F:\|G:\|H:\|)
Durchsuchte Objekte: 304638
Laufzeit: 2 Stunde(n), 58 Minute(n), 39 Sekunde(n)

Infizierte Speicherprozesse: 0
Infizierte Speichermodule: 0
Infizierte Registrierungsschlüssel: 0
Infizierte Registrierungswerte: 0
Infizierte Dateiobjekte der Registrierung: 0
Infizierte Verzeichnisse: 0
Infizierte Dateien: 0

Infizierte Speicherprozesse:
(Keine bösartigen Objekte gefunden)

Infizierte Speichermodule:
(Keine bösartigen Objekte gefunden)

Infizierte Registrierungsschlüssel:
(Keine bösartigen Objekte gefunden)

Infizierte Registrierungswerte:
(Keine bösartigen Objekte gefunden)

Infizierte Dateiobjekte der Registrierung:
(Keine bösartigen Objekte gefunden)

Infizierte Verzeichnisse:
(Keine bösartigen Objekte gefunden)

Infizierte Dateien:
(Keine bösartigen Objekte gefunden)

So, hier nun auch der 2. Log:

SUPERAntiSpyware Scan Log
SUPERAntiSpyware.com | Remove Malware | Remove Spyware - AntiMalware, AntiSpyware, AntiAdware!

Generated 07/15/2010 at 00:00 AM

Application Version : 4.40.1002

Core Rules Database Version : 5199
Trace Rules Database Version: 3010

Scan type : Complete Scan
Total Scan Time : 04:29:49

Memory items scanned : 429
Memory threats detected : 0
Registry items scanned : 8971
Registry threats detected : 0
File items scanned : 169055
File threats detected : 13

Adware.Tracking Cookie
C:\Dokumente und Einstellungen\XXX\Cookies\XXX@doubleclick[1].txt
C:\Dokumente und Einstellungen\XXX\Cookies\XXX@content.yieldmanager[1].txt
C:\Dokumente und Einstellungen\XXX\Cookies\XXX@ad.yieldmanager[2].txt
media01.kyte.tv [ C:\Dokumente und Einstellungen\XXX\Anwendungsdaten\Macromedia\Flash Player\#SharedObjects\SHD2P9CG ]

Trojan.Agent/Gen-Krpytik
F:\PROGRAMME\INFOPEDIA\APPFRAME.DLL
F:\PROGRAMME\INFOPEDIA\CPLSUPP.DLL
F:\PROGRAMME\INFOPEDIA\CRUSHER.DLL
F:\PROGRAMME\INFOPEDIA\DATACOMP.DLL
F:\PROGRAMME\INFOPEDIA\LINKDB.DLL
F:\PROGRAMME\INFOPEDIA\LOWLEVEL.DLL
F:\PROGRAMME\INFOPEDIA\SAPISUPP.DLL
F:\PROGRAMME\INFOPEDIA\STRNGTBL.DLL
F:\PROGRAMME\INFOPEDIA\SYSINFO.DLL

Sieht ok aus.

Zitat:

Trojan.Agent/Gen-Krpytik
F:\PROGRAMME\INFOPEDIA\APPFRAME.DLL

Sagt Dir Infopedia was?

Infopedia ist eine Lexikon, aber ein altes, hab das schon seit vielen Jahren auf dem PC.

Danke für die Hilfe!

Dann war das ein Fehlalarm, hatte ich schon vermutet :)
Rechner wieder ok?

Ja, der Rechner ist wieder ok, dank der Hilfe hier!