Browser Hijack - Trojaner?
 

Hallo,

ich habe mir scheinbar einen Trojaner eingefangen, der einen "Browser-Hijack" verursacht:

Es fing damit an, dass ich von Google nicht auf die gewünschten Links, sondern auf andere Seiten weitergeleitet wurde, z. B. Werbung für Autovermietungen, Sexseiten, etc., ein bestimmtes System war hier nicht zu erkennen.

Dann kam hinzu, dass ich keine Downloads mehr speichern konnte, es wurden nur noch kleine Dateien gespeichert, die sich aber nicht ausführen ließen.

Der Aufruf von Bookmarks funktionierte noch.

IE8 ist mein Standardbrowser, jedoch sind Opera und Firefox gleichermaßen betroffen.

Ich habe dann Hijackthis downgeloadet und die dort als gefährlich eingestuften Prozesse gelöscht und die vorgeschlagenen Einstellungen gefixt, allerdings ohne Erfolg.

Danach habe ich die Punkte 1 – 6 von eurer Seite durchgearbeitet. Hierbei gab es folgende Probleme:

Nach Ausführung von Schritt 3 und anschließendem Neustart wurde Malwarebytes als Autostart von Windows Vista geblockt.

Gmer Scan hat auch nach mehrmaligen Versuchen nicht funktioniert, es erschien jeweils die Windows-Meldung (Vista): „…funktioniert nicht mehr, wird geschlossen…“. Von der Meldung, die Gmer vor dem eigentlichen Scan erstellt, habe ich die Logdatei beigefügt.

Nach Durchführung von Punkt 6 und anschließendem Neustart lassen sich nun gar keine Internetseiten mehr aufrufen. Ich poste derzeit über einen anderen Rechner, der jedoch über den gleichen Router ins Netz geht.

***EDIT 1***:
Die Seiten lassen sich nun wieder aufrufen, es war hier plötzlich ein Häkchen gesetzt unter "Internetoptionen", "LAN-Einstellungen", "Proxyserver für LAN verwenden". Nachdem ich dieses entfernt habe, kann ich wieder Seiten aufrufen.
***ENDE EDIT 1***

***EDIT 2***
Die Probleme scheinen derzeit auch bei der Google-Weiterleitung behoben, dennoch wäre es schön, wenn sich jemand die Logfiles anschauen könnte, damit ich nicht in allzuferner Zukunft wieder vor dem gleichen Problem stehe, sondern sicher sein kann, dass alle Schädlinge weg sind.
***ENDE EDIT 2***

Vielen Dank schon mal im voraus und schönen Abend noch!

Gruß Thomas

Hallo und :hallo:

Bitte routinemäßig einen Vollscan mit malwarebytes machen und Log posten.
Denk daran, dass Malwarebytes vor jedem Scan manuell aktualisiert werden muss!

Falls Logs aus älteren Scans mit Malwarebytes vorhanden sind, bitte auch davon alle posten!

Hallo,

Danke für deine Antwort!

Hier die Log-Datei, schaut glaube ich ganz gut aus, oder?

Malwarebytes' Anti-Malware 1.50.1.1100
www.malwarebytes.org

Datenbank Version: 5988

Windows 6.0.6002 Service Pack 2
Internet Explorer 8.0.6001.19019

08.03.2011 13:04:58
mbam-log-2011-03-08 (13-04-58).txt

Art des Suchlaufs: Vollständiger Suchlauf (C:\|D:\|E:\|)
Durchsuchte Objekte: 310858
Laufzeit: 1 Stunde(n), 13 Minute(n), 55 Sekunde(n)

Infizierte Speicherprozesse: 0
Infizierte Speichermodule: 0
Infizierte Registrierungsschlüssel: 0
Infizierte Registrierungswerte: 0
Infizierte Dateiobjekte der Registrierung: 0
Infizierte Verzeichnisse: 0
Infizierte Dateien: 0

Infizierte Speicherprozesse:
(Keine bösartigen Objekte gefunden)

Infizierte Speichermodule:
(Keine bösartigen Objekte gefunden)

Infizierte Registrierungsschlüssel:
(Keine bösartigen Objekte gefunden)

Infizierte Registrierungswerte:
(Keine bösartigen Objekte gefunden)

Infizierte Dateiobjekte der Registrierung:
(Keine bösartigen Objekte gefunden)

Infizierte Verzeichnisse:
(Keine bösartigen Objekte gefunden)

Infizierte Dateien:
(Keine bösartigen Objekte gefunden)

Gruß Thomas

Gibt es noch weitere Logs von Malwarebytes? Wenn ja bitte alle davon posten. Du findest diese im Reiter Logdateien in Malwarebytes.

Hallo,

nein, ich habe nur das o. g. Log, sowie das im ersten Post in der ZIP-Datei angehängte Log, weitere besitze ich nicht.

Gruß Thomas

Beende alle Programme, starte OTL und kopiere folgenden Text in die "Custom Scan/Fixes" Box (unten in OTL): (das ":OTL" muss mitkopiert werden!!!)

Klick dann oben links auf den Button Fix!
Das Logfile müsste geöffnet werden, wenn Du nach dem Fixen auf ok klickst, poste das bitte. Evtl. wird der Rechner neu gestartet.

Hallo,

hier das Logfile:

All processes killed
========== OTL ==========
HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings\\ProxyEnable|dword:0 /E : value set successfully!
HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings\\ProxyServer| /E : value set successfully!
Prefs.js: "127.0.0.1" removed from network.proxy.http
Prefs.js: 49434 removed from network.proxy.http_port
Prefs.js: 1 removed from network.proxy.type
Registry value HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run\\ deleted successfully.
C:\autoexec.bat moved successfully.
Registry key HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\MountPoints2\{6a4b4965-4596-11dc-b3ee-00188b60c1c6}\ deleted successfully.
Registry key HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{6a4b4965-4596-11dc-b3ee-00188b60c1c6}\ not found.
File L:\InstallTomTomHOME.exe not found.
Registry key HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\MountPoints2\{9ad17ffe-f2e0-11dd-a3a4-d08af8a8ff8c}\ deleted successfully.
Registry key HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{9ad17ffe-f2e0-11dd-a3a4-d08af8a8ff8c}\ not found.
Registry key HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\MountPoints2\{9ad17ffe-f2e0-11dd-a3a4-d08af8a8ff8c}\ not found.
Registry key HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{9ad17ffe-f2e0-11dd-a3a4-d08af8a8ff8c}\ not found.
File M:\LaunchU3.exe -a not found.
C:\Users\***\AppData\Roaming\1FB6.B1E moved successfully.
========== COMMANDS ==========
C:\Windows\System32\drivers\etc\Hosts moved successfully.
HOSTS file reset successfully

[EMPTYTEMP]

User: Administrator
->Temp folder emptied: 15026518 bytes
->Temporary Internet Files folder emptied: 157868 bytes
->Java cache emptied: 0 bytes
->Flash cache emptied: 83 bytes

User: All Users

User: Default
->Temp folder emptied: 0 bytes
->Temporary Internet Files folder emptied: 33170 bytes
->Flash cache emptied: 56585 bytes

User: Default User
->Temp folder emptied: 0 bytes
->Temporary Internet Files folder emptied: 0 bytes
->Flash cache emptied: 0 bytes

User: Public

User: ***
->Temp folder emptied: 267222 bytes
->Temporary Internet Files folder emptied: 47079043 bytes
->Java cache emptied: 75333359 bytes
->FireFox cache emptied: 28055518 bytes
->Flash cache emptied: 58763 bytes

%systemdrive% .tmp files removed: 0 bytes
%systemroot% .tmp files removed: 0 bytes
%systemroot%\System32 .tmp files removed: 0 bytes
%systemroot%\System32\drivers .tmp files removed: 0 bytes
Windows Temp folder emptied: 1176 bytes
RecycleBin emptied: 0 bytes

Total Files Cleaned = 158,00 mb


OTL by OldTimer - Version 3.2.22.3 log created on 03092011_180502

Files\Folders moved on Reboot...
C:\Windows\temp\JET8C95.tmp moved successfully.

Registry entries deleted on Reboot...

Dann bitte jetzt CF ausführen:

ComboFix

Ein Leitfaden und Tutorium zur Nutzung von ComboFix

• Lade dir ComboFix hier herunter auf deinen Desktop. Benenne es beim Runterladen um in cofi.exe.

http://saved.im/mtm0nzyzmzd5/cofi.jpg

• Dann folgende Anleitung durchlesen und abarbeiten -> CCleaner Systembereinigung

• Schliesse alle Programme, vor allem dein Antivirenprogramm und andere Hintergrundwächter sowie deinen Internetbrowser.

• Starte cofi.exe von deinem Desktop aus, bestätige die Warnmeldungen, führe die Updates durch (falls vorgeschlagen), installiere die Wiederherstellungskonsole (falls vorgeschlagen) und lass dein System durchsuchen.
  Vermeide es auch während Combofix läuft die Maus und Tastatur zu benutzen.

• Im Anschluss öffnet sich automatisch eine combofix.txt, diesen Inhalt bitte kopieren ([Strg]a, [Strg]c) und in deinen Beitrag einfügen ([Strg]v). Die Datei findest du außerdem unter: C:\ComboFix.txt.

Wichtiger Hinweis:

Combofix darf ausschließlich ausgeführt werden, wenn ein Kompetenzler dies ausdrücklich empfohlen hat!
Es sollte nie auf eigene Initiative hin ausgeführt werden! Eine falsche Benutzung kann ernsthafte Computerprobleme nach sich ziehen und eine Bereinigung der Infektion noch erschweren.

Hallo,

hätte da noch eine Zwischenfrage bzgl. der Nutzung von ComboFix:

Stellt dies nicht ein enormes Sicherheitsrisiko dar, da ich ja zur Installation der Wiederherstellungskonsole eine Internetverbindung brauche? Der Rechner wäre somit ja dann komplett ungeschützt online?!

Vielen Dank.

Gruß Thomas

Nein ist kein Sicherheitsrisiko. Die Werbung trichtert dir das ein, aber das ist Unsinn. Durch Magie fliegen keine Schädlinge auf den Scanner und wenn man genügend viele Dinge falsch macht, kann man sich problemlos auch mit Virenscanner die Pest in sein Windows holen.

Ok, Danke!

Also, hier das Logfile:

Combofix Logfile:
--- --- ---

Combofix - Scripten

1. Starte das Notepad (Start / Ausführen / notepad[Enter])

2. Jetzt füge mit copy/paste den ganzen Inhalt der untenstehenden Codebox in das Notepad Fenster ein.

3. Speichere im Notepad als CFScript.txt auf dem Desktop.

4. Deaktivere den Guard Deines Antivirenprogramms und eine eventuell vorhandene Software Firewall.
(Auch Guards von Ad-, Spyware Programmen und den Tea Timer (wenn vorhanden) !)

5. Dann ziehe die CFScript.txt auf die cofi.exe, so wie es im unteren Bild zu sehen ist. Damit wird Combofix neu gestartet.

http://users.pandora.be/bluepatchy/m...s/CFScript.gif

6. Nach dem Neustart (es wird gefragt ob Du neustarten willst), poste bitte die folgenden Log Dateien:
Combofix.txt

Hinweis: Das obige Script ist nur für diesen einen User in dieser Situtation erstellt worden. Es ist auf keinen anderen Rechner portierbar und darf nicht anderweitig verwandt werden, da es das System nachhaltig schädigen kann!

Huhu,

hier das neue log:

Combofix Logfile:
--- --- ---

Ok. Bitte nun Logs mit GMER und OSAM erstellen und posten.
GMER stürzt häufiger ab, wenn das Tool auch beim 2. Mal nicht will, lass es einfach weg und führ nur OSAM aus - die Online-Abfrage durch OSAM bitte überspringen.
Bei OSAM bitte darauf auch achten, dass Du das Log auch als *.log und nicht *.html oder so abspeicherst.


Downloade Dir danach bitte MBRCheck (by a_d_13) und speichere die Datei auf dem Desktop.

• Doppelklick auf die MBRCheck.exe.
  Vista und Win7 User mit Rechtsklick "als Administrator starten"
• Das Tool braucht nur einige Sekunden.
• Danach solltest du eine MBRCheck_<Datum>_<Uhrzeit>.txt auf dem Desktop finden.

Poste mir bitte den Inhalt des .txt Dokumentes

Hallo,

GMER ist, wie erwartet, mehrfach abgestürzt, das hatte auch schon beim ersten mal damals bei mir nicht funktioniert.

Der Link ist IMHO defekt / nicht verfügbar, gibt es noch eine alternative Downloadquelle?

Gruß Thomas

EDIT: Jetzt funzt der Link!