Virus wordslife.com/index.php
 

Hallo liebe Virus-Experten!

Ich habe mir heute offensichtlich übers WEB einen Virus eingefangen, der jetzt mächtig Ärger macht und habe keine Ahnung, wie ich den wieder los werde, da ich PC-Laie bin. Ich nutze Win VISTA und den IE. Antivir hat ebenso wie SpyBot Search and Destroy nichts gefunden.
Alles fing mit einer wohl gefakten Internetseiten-Meldung an, dass ich Malware auf dem Rechner habe und das System gescant werden müsse oder sowas (die Meldung kam, als ich bei h**p://www.onlinefussballmanager.de war - die Meldung kam dort heute gleich 2 Mal). Ich habe es als Fake erkannt und oben rechts aufs X geklickt um die Seite zuzumachen. Leider hat das aber nicht funktioniert und es wurde eine Windows-Kontrollseite geöffnet in der irgendwas automatisch passierte. Erschrocken habe ich sofort den Rechner manuell ausgeschaltet und neu gestartet.
Seitdem öffnet sich im IE willkürlich eine Seite namens h**p://wordslife.com/index.php. Ich meine auch mal eine zufällig geöffnete Seite namens google syndicate gesehen zu haben, die sofort auf eine andere Seite mit einer sehr langen URL verwiesen hat, die ich ebenfalls eilig geschlossen habe noch bevor sie richtig geladen war.
Die Google-Suche ergab, dass ein Programm namens STOPzilla diesen wordslife-Virus löschen könne. Ich habe es installiert und suchen lassen. Es hat "nur" etwas namens "Search Hijacker.H" entdeckt und geblockt. Um es löschen zu können müsste ich mich dort registrieren und das Programm für 23.95$ kaufen. Da es nicht den Wordslife.com-Virus anzeigt und man auf deutschen Seiten kaum etwas dazu findet habe ich bislang vom Kauf abgesehen.

Ich hoffe, ihr könnt mir helfen mein System ohne Neuinstallation zu retten! Ich bin über jede Hilfe unendlich dankbar!

Viele Grüße

Marc

Nachtrag:
Ich habe jetzt auch malwarebytes das System checken lassen und anschließend OTL durchgeführt, so wie das von euch hier im Forum angegeben war. Leider funktioniert die Aktualisierung bei malwarebytes nicht, weshalb der Check wohl ziemlich wenig aussagekräftig ist. (Version 1.46, aktuelle Datenbank-Information: 4/29/2010, Version 4052)
Es erscheint die Fehlermeldung:
Ein Fehler ist aufgetreten. Bitte geben sie folgendem Fehlercode an das Malwarebytes' Antimalware Support-Team weiter: MBAM_ERROR_UPDATING (12007, 0, WinHttpSendRequest).
Liegt das an meinem System oder ist evtl. die Aktualisierungs-Routine von Malwarebytes gerade defekt?

Hier aber mal das logfile (gefunden hat er ja trotzdem was) sowie im Anschluss die Files von OTL (Einstellung Minimal-Ausgabe, war das richtig?)

Ich hoffe sooo sehr, dass mir hier jmd. helfen kann! :-)

Malwarebytes' Anti-Malware 1.46
Malwarebytes

Datenbank Version: 4052

Windows 6.0.6002 Service Pack 2
Internet Explorer 8.0.6001.18943

26.09.2010 02:07:13
mbam-log-2010-09-26 (02-07-13).txt

Art des Suchlaufs: Vollständiger Suchlauf (C:\|D:\|E:\|F:\|)
Durchsuchte Objekte: 360967
Laufzeit: 1 Stunde(n), 22 Minute(n), 47 Sekunde(n)

Infizierte Speicherprozesse: 0
Infizierte Speichermodule: 0
Infizierte Registrierungsschlüssel: 0
Infizierte Registrierungswerte: 0
Infizierte Dateiobjekte der Registrierung: 0
Infizierte Verzeichnisse: 0
Infizierte Dateien: 1

Infizierte Speicherprozesse:
(Keine bösartigen Objekte gefunden)

Infizierte Speichermodule:
(Keine bösartigen Objekte gefunden)

Infizierte Registrierungsschlüssel:
(Keine bösartigen Objekte gefunden)

Infizierte Registrierungswerte:
(Keine bösartigen Objekte gefunden)

Infizierte Dateiobjekte der Registrierung:
(Keine bösartigen Objekte gefunden)

Infizierte Verzeichnisse:
(Keine bösartigen Objekte gefunden)

Infizierte Dateien:
C:\Program Files\setup.exe (Rogue.Installer) -> Quarantined and deleted successfully.



OTL.txt:OTL Logfile:
--- --- ---


EXTRAS.TXT:OTL Logfile:
--- --- ---

Virus-Meldung von Webseite
 

Noch ein Nachtrag:
Als ich gerade den IE wieder geöffnet und gleich ins Forum hier gegangen bin kam sofort wieder folgende Meldung:
Meldung von Webseite:
Warning! Your computer contains various signs of viruses and malware programs preserve. Your system requires immediate antivirus check! Antivirus 2010 will perform a quick and free online checking of your pc.

Die URL lautete: h**p://95.79.230.259:11066/index.html2u=141&t=1 - Windows Internet Explorer.

Ich habe das Fenster nicht angeklickt und den Rechner sofort neu gestartet.
Beim 2. Versuch jetzt ist das Fenster noch nicht aufgetaucht, aber ich hab auch nur das Forum hier geöffnet.

Kann mir nun jemand bei dem Problem helfen? Ich verzweifle langsam :-(

Viele Grüße
MWinni

Du hast Malwarebytes vorher nicht aktualisiert. Bitte updaten und einen Vollscan machen.

Hi Arne!

Vielen Dank für deine Antwort erstmal! :-)
Leider lässt sich die malwarebytes-Software nicht aktualisieren: Es erscheint auch heute immer die oben angegebene Fehlermeldung:
MBAM_ERROR_UPDATING (12007, 0, WinHttpSendRequest)

Was soll ich tun?

LG
Marc

Probier ein manuelles Update => http://data.mbamupdates.com/tools/mbam-rules.exe

Supersupernett, dass du mir hilfst Arne!

Wenn ich den Link anklicke sagt der IE aber, die Seite wird nicht gefunden...?

Ich hab malwarebytes grade auch nochmal neu installiert gehabt und bekomm die gleiche Fehlermeldung bei der Aktualisierung.

Der Virus macht auf jeden Fall gerade stetig Ärger. Die Forums-Seite war gerade auf einmal einfach weg und stattdessen wieder durch eine Webseite mit langer ip-adresse ersetzt... :-( Außerdem popt immer wieder diese wordslife.com/index.php-Seite auf.

Unterbindet der Virus vielleicht sogar die Aktualisierung von malwarebytes? :-(

Ich hab die mbam-rules mal für Dich hochgeladen => File-Upload.net - mbam-rules.exe

Super, das hat funktioniert!

Jetzt steht bei der Aktualisierung:
Datum 9/19/2010
Datenbank Version: 4653
Geladene Signaturen: 281412

Das ist richtig so oder? Ich starte dann mal den Suchlauf (Vollscan oder?) und meld mich wieder sobald das durch ist. Ich bin dir wahnsinnig dankbar für deine Hilfe! Wenn ich den Virus los werde werd ich auf jeden Fall gerne auch was für eure Initiative hier spenden!

LG
Marc

Ja, jetzt kannst Du ihn mal starten. Über den Updatebutton bekommt man zwar noch aktuellere, aber das funktioniert ja noch nicht. machen wir später nochmal.

Hi!

Malwarebytes hat absolut nichts mehr gefunden. Wie gehts denn jetzt weiter?

Hier die logfile:

Malwarebytes' Anti-Malware 1.46
www.malwarebytes.org

Datenbank Version: 4653

Windows 6.0.6002 Service Pack 2
Internet Explorer 8.0.6001.18943

26.09.2010 14:48:13
mbam-log-2010-09-26 (14-48-13).txt

Art des Suchlaufs: Vollständiger Suchlauf (C:\|D:\|E:\|F:\|)
Durchsuchte Objekte: 380216
Laufzeit: 1 Stunde(n), 16 Minute(n), 28 Sekunde(n)

Infizierte Speicherprozesse: 0
Infizierte Speichermodule: 0
Infizierte Registrierungsschlüssel: 0
Infizierte Registrierungswerte: 0
Infizierte Dateiobjekte der Registrierung: 0
Infizierte Verzeichnisse: 0
Infizierte Dateien: 0

Infizierte Speicherprozesse:
(Keine bösartigen Objekte gefunden)

Infizierte Speichermodule:
(Keine bösartigen Objekte gefunden)

Infizierte Registrierungsschlüssel:
(Keine bösartigen Objekte gefunden)

Infizierte Registrierungswerte:
(Keine bösartigen Objekte gefunden)

Infizierte Dateiobjekte der Registrierung:
(Keine bösartigen Objekte gefunden)

Infizierte Verzeichnisse:
(Keine bösartigen Objekte gefunden)

Infizierte Dateien:
(Keine bösartigen Objekte gefunden)

Ich hab jetzt auch noch SUPERAntiSpyware (nach Update auf neuste Version) scannen lassen weil das hier teilweise empfohlen wird. Er hat ein paar Sachen gefunden, aber ich glaube nur harmloses. Warte sehnsüchtig auf Hilfe für weitere Schritte!

Hier das Logfile dazu:

SUPERAntiSpyware Scan Log
hxxp://www.superantispyware.com

Generated 09/26/2010 at 05:41 PM

Application Version : 4.43.1000

Core Rules Database Version : 5580
Trace Rules Database Version: 3392

Scan type : Complete Scan
Total Scan Time : 02:16:02

Memory items scanned : 492
Memory threats detected : 0
Registry items scanned : 12884
Registry threats detected : 0
File items scanned : 265505
File threats detected : 13

Adware.Tracking Cookie
C:\Users\***\AppData\Roaming\Microsoft\Windows\Cookies\marc@stopzilla[2].txt
C:\Users\***\AppData\Roaming\Microsoft\Windows\Cookies\marc@www.stopzilla[1].txt
akamai.smartadserver.com [ C:\Users\Marc\AppData\Roaming\Macromedia\Flash Player\#SharedObjects\QEBA64TU ]
cdn4.specificclick.net [ C:\Users\***\AppData\Roaming\Macromedia\Flash Player\#SharedObjects\QEBA64TU ]
cdn5.specificclick.net [ C:\Users\***\AppData\Roaming\Macromedia\Flash Player\#SharedObjects\QEBA64TU ]
imagesrv.adition.com [ C:\Users\***\AppData\Roaming\Macromedia\Flash Player\#SharedObjects\QEBA64TU ]
media.scanscout.com [ C:\Users\***\AppData\Roaming\Macromedia\Flash Player\#SharedObjects\QEBA64TU ]
media.stage-entertainment.de [ C:\Users\***\AppData\Roaming\Macromedia\Flash Player\#SharedObjects\QEBA64TU ]
mediadb.kicker.de [ C:\Users\***\AppData\Roaming\Macromedia\Flash Player\#SharedObjects\QEBA64TU ]
s0.2mdn.net [ C:\Users\Marc\AppData\Roaming\Macromedia\Flash Player\#SharedObjects\QEBA64TU ]
secure-us.imrworldwide.com [ C:\Users\***\AppData\Roaming\Macromedia\Flash Player\#SharedObjects\QEBA64TU ]
ds.serving-sys.com [ C:\Windows.old\Users\***\AppData\Roaming\Macromedia\Flash Player\#SharedObjects\3PAVQPBN ]
s0.2mdn.net [ C:\Windows.old\Users\***\AppData\Roaming\Macromedia\Flash Player\#SharedObjects\3PAVQPBN ]

Beende alle Programme, starte OTL und kopiere folgenden Text in die "Custom Scan/Fixes" Box (unten in OTL): (das ":OTL" muss mitkopiert werden!!!)

Klick dann oben links auf den Button Fix!
Das Logfile müsste geöffnet werden, wenn Du nach dem Fixen auf ok klickst, poste das bitte. Evtl. wird der Rechner neu gestartet.

Hi Arne!

Freu mich riesig über deine Hilfe!

Ich hab das ausgeführt, musste den PC danach neu starten. Das logfile folgt hier unten. Aber weg ist der Virus nicht (auch wenn sich die drittletzte Zeile für mich so liest). Als ich den IE gerade aufgemacht habe um dir hier im Forum das logfile zu posten, hat der Trojaner die Seite umgelinkt und es kam so eine Windows-Fakeseite bei der angeblich mein System geprüft wird und in den Ordnern zig Trojanerfunde angezeigt werden. Wie gehts nun weiter? Ich hoffe, das System ist zu retten? :-( Kann es sein, dass der Virus auf dem Router hockt?

Hier das logfile:

All processes killed
========== OTL ==========
Registry value HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run\\SpybotSD TeaTimer deleted successfully.
C:\Program Files (x86)\Spybot - Search & Destroy\TeaTimer.exe moved successfully.
File move failed. G:\Autorun.inf scheduled to be moved on reboot.
Registry key HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\MountPoints2\{4714c7e7-e270-11de-ab05-806e6f6e6963}\ deleted successfully.
Registry key HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{4714c7e7-e270-11de-ab05-806e6f6e6963}\ not found.
Registry key HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\MountPoints2\{4714c7e7-e270-11de-ab05-806e6f6e6963}\ not found.
Registry key HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{4714c7e7-e270-11de-ab05-806e6f6e6963}\ not found.
File move failed. G:\Launcher.exe scheduled to be moved on reboot.
C:\Windows\SysNative\drivers\kgpcpy.cfg moved successfully.
ADS C:\ProgramData\TEMP:F35A93AD deleted successfully.
========== COMMANDS ==========
File move failed. C:\Windows\System32\drivers\etc\Hosts scheduled to be moved on reboot.
HOSTS file reset successfully

[EMPTYTEMP]

User: All Users

User: Default
->Temp folder emptied: 0 bytes
->Temporary Internet Files folder emptied: 33170 bytes

User: Default User
->Temp folder emptied: 0 bytes
->Temporary Internet Files folder emptied: 0 bytes

User: Marc
->Temp folder emptied: 21646861 bytes
->Temporary Internet Files folder emptied: 64523477 bytes
->Java cache emptied: 35397015 bytes
->Flash cache emptied: 35190 bytes

User: Public

%systemdrive% .tmp files removed: 0 bytes
%systemroot% .tmp files removed: 0 bytes
%systemroot%\System32 .tmp files removed: 0 bytes
%systemroot%\System32 (64bit) .tmp files removed: 0 bytes
%systemroot%\System32\drivers .tmp files removed: 0 bytes
Windows Temp folder emptied: 115405 bytes
%systemroot%\sysnative\config\systemprofile\AppData\Local\Microsoft\Windows\Temporary Internet Files folder emptied: 33170 bytes
RecycleBin emptied: 63351137 bytes

Total Files Cleaned = 177,00 mb


OTL by OldTimer - Version 3.2.14.1 log created on 09262010_211717

Files\Folders moved on Reboot...
File move failed. G:\Autorun.inf scheduled to be moved on reboot.
File move failed. G:\Launcher.exe scheduled to be moved on reboot.
File move failed. C:\Windows\System32\drivers\etc\Hosts scheduled to be moved on reboot.
C:\Users\Marc\AppData\Local\Temp\Low\Google Toolbar\GoogleToolbarWelcome.log moved successfully.
File\Folder C:\Users\Marc\AppData\Local\Temp\~DFA253.tmp not found!
File\Folder C:\Users\Marc\AppData\Local\Temp\~DFA266.tmp not found!
File\Folder C:\Users\Marc\AppData\Local\Temp\~DFA2C1.tmp not found!
File\Folder C:\Users\Marc\AppData\Local\Temp\~DFA2CC.tmp not found!
File\Folder C:\Users\Marc\AppData\Local\Temp\~DFA30C.tmp not found!
File\Folder C:\Users\Marc\AppData\Local\Temp\~DFA317.tmp not found!
C:\Users\Marc\AppData\Local\Microsoft\Windows\Temporary Internet Files\Low\Content.IE5\WZ621P72\ads[1].htm moved successfully.
C:\Users\Marc\AppData\Local\Microsoft\Windows\Temporary Internet Files\Low\Content.IE5\L9H09RQK\91140-virus-wordslife-com-index-php-2[1].html moved successfully.
C:\Users\Marc\AppData\Local\Microsoft\Windows\Temporary Internet Files\Low\Content.IE5\F8C29DXX\ads[1].htm moved successfully.

Registry entries deleted on Reboot...

CustomScan mit OTL

Falls noch nicht vorhanden, lade Dir bitte OTL von Oldtimer herunter und speichere es auf Deinem Desktop

• Starte bitte die OTL.exe.
  Vista und Win7 User mit Rechtsklick "als Administrator starten"
• Kopiere nun den Inhalt in die http://billy-oneal.com/Canned%20Spee.../customFix.png Textbox.

• Schliesse bitte nun alle Programme. (Wichtig)
• Klicke nun bitte auf den Quick Scan Button.
• Klick auf http://billy-oneal.com/Canned%20Spee.../OTL/btnOK.png.
• Kopiere nun den Inhalt aus OTL.txt hier in Deinen Thread