Hallo,
ich habe durch das Computerbase Forum hier her gefunden. Thread ist hier (wird aber wahrscheinlich nicht interessieren)

Und zwar habe ich mir gestern eine Malware durch einen klick auf einen falschen Downloadbutten geholt. Diese heißt scheinbar Query router bzw. search.query.router

Anleitungen wie ich diese Malware weg bekomme gibt es zwar, diese scheinen aber von einer älteren Version dieser Malware zu sein und funktionieren nicht. Den Anleitungen zu folge soll man bestimmte Programme unter der Windows Deinstallation deinstallieren, diese gibt es aber nicht. Außerdem Chrome reseten, funktioniert nur eine kurze Zeit lang.
Chrome ist befallen, der Internet Explorer und Thunderbird braucht deutlich länger zum Starten (zwischendurch wird "Keine Rückmeldung" angezeigt).

Malwarebytes Free und Avast haben nichts gefunden, adwcleaner hat eine Bedrohung gefunden (Log vorhanden). Bedrohung kam nach Neustarts wieder mittlerweile findet adwcleaner aber nichts mehr.

Nachdem diese Bedrohung entfernt wurde kamen keine Pop up Fenster mehr, ich werde aber noch auf Werbung weitergeleitet, neue Tabs etc. Auch die Suchmaschine wurde geändert.

Ich habe Chrome komplett deinstalliert, Googleordner unter Programme gelöscht, unter Appdata\Local und unter %Appdata% und noch nicht neuinstalliert.
Im Internet Explorer werde ich aber trotzdem des Öfteren auf Werbung etc. weitergeleitet.

Mein Name ist Rafael und ich werde dir bei der Bereinigung helfen.

Damit ich dir optimal helfen kann, halte dich bitte an folgende Regeln:

• Bitte lies meine Posts komplett durch bevor du sie abarbeitest
• Wenn ein Problem auftauchen sollte oder dir etwas unklar ist, unterbreche deine Arbeit und beschreibe es so genau wie möglich.
• Bitte kein Crossposting
• Installiere oder Deinstalliere keine Software ohne Aufforderung
• Bitte verwende nur die Tools, welche hier im Thread erwähnt werden und führe sie nur gemäß Anweisung aus
• Bitte antworte innerhalb von 24h um eine sinnvolle Bereinigung zu ermöglichen
• Poste die Logs immer in CODE-Tags (#-Button), zur Not die Logs einfach aufteilen
• Wichtig: Nur weil dein Problem mit einem Schritt plötzlich behoben ist, bedeutet das nicht, dass dein PC auch sauber ist. Mache solange weiter, bis ich dir sage, dass dein PC "clean" ist
• Wenn ich dir nicht binnen 36h antworte, sende mir bitte eine persönliche Nachricht!

Los geht's

Und zwar habe ich mir gestern eine Malware durch einen klick auf einen falschen Downloadbutten geholt. Diese heißt scheinbar Query router bzw. search.query.router

Wer, wie oder was sagt denn, dass du diese Infektion hast?

Logs dazu bittte!

Bitte lade dir die passende Version von Farbar's Recovery Scan Tool auf deinen Desktop: FRST 32-Bit | FRST 64-Bit
(Wenn du nicht sicher bist: Lade beide Versionen oder unter Start > Computer (Rechtsklick) > Eigenschaften nachschauen)

• Starte jetzt FRST.
• Ändere ungefragt keine der Checkboxen und klicke auf Untersuchen.
• Die Logdateien werden nun erstellt und befinden sich danach auf deinem Desktop.
• Poste mir die FRST.txt und nach dem ersten Scan auch die Addition.txt in deinem Thread (#-Symbol im Eingabefenster der Webseite anklicken)

Hier noch die Logfiles, diese waren leider zu groß.

und was ist mit meiner Frage bzw. nach dem Log von dem "Fund"?

Der Log von dem adwCleaner ist der Log von dem Fund, bzw. andere Logs habe ich nicht. Relativ weit unten steht dass das Programm etwas in Chrome gefunden hat.

Es geht darum, wer dir das "search.query.router" gesagt hat

Schritt 1
Downloade Dir bitte AdwCleaner auf deinen Desktop.

• Schließe alle offenen Programme und Browser.
• Starte die adwcleaner.exe mit einem Doppelklick.
• Stimme den Nutzungsbedingungen zu.
• Klicke auf Werkzeuge > Optionen und vergewissere dich, dass die folgenden Punkte ausgewählt sind:
  • "Tracing" Schlüssel
  • "Prefetch" Dateien
  • Proxy
  • Winsock
  • Internet Explorer Richtlinien
  • Chrome Richtlinien
• Bestätige die Auswahl mit Ok.
• Klicke auf Suchlauf und warte bis dieser abgeschlossen ist.
• Klicke nun auf Löschen (auch dann wenn AdwCleaner sagt, dass nichts gefunden wurde) und bestätige auftretende Hinweise mit Ok.
• Dein Rechner wird automatisch neu gestartet. Nach dem Neustart öffnet sich eine Textdatei. Poste mir deren Inhalt mit deiner nächsten Antwort.
• Die Logdatei findest du auch unter C:\AdwCleaner\AdwCleaner[Cx].txt. (x = fortlaufende Nummer).

Schritt 2
Lade dir folgendes Programm herunter und installiere es: Malwarebytes Anti-Malware

• Starte Malwarebytes' Anti-Malware (MBAM).
• Klicke im Anschluss auf Scan, wähle den Bedrohungs-Scan aus und klicke auf Scan starten.
• Lass am Ende des Suchlaufs alle Funde (falls vorhanden) in die Quarantäne verschieben. Klicke dazu auf Ausgewählte Elemente in die Quarantäne verschieben.
• Lass deinen Rechner ggf. neu starten, um die Bereinigung abzuschließen.
• Starte MBAM nach dem Neustart, klicke auf Berichte.
• Wähle den neuesten Scan-Bericht aus, klicke auf Bericht anzeigen und dann auf Export.
• Wähle Textdatei (.txt) aus und speichere die Datei als mbam.txt auf dem Desktop ab.
• Füge den Inhalt der mbam.txt mit deiner nächsten Antwort hinzu.

Schritt 3
Bitte starte wieder FRST, setze den Haken bei Addition und drücke auf Untersuchen. Poste bitte wieder die beiden Textdateien, die so entstehen.

Bitte poste in deiner nächsten Antwort also:

• Logfile von AdwCleaner
• Logfile von Malwarebytes
• Frst.txt
• Addition.txt

Achso, ein Programm hat mir das nicht angezeigt, aber die Adressen im Browser und das Popup Fenster welches sich anfangs immer öffnete zeigten diesen Namen an.

Logfiles sind wieder als .zip dabei, mittlerweile öffnet sich Thunderbird auch wieder gewohnt schnell.

Edit: Malwarebytes hat komischerweise diesmal was gefunden. Vorher nicht.

Nochmal Edit: Gerade habe ich auf Youtube einen Cookiehinweis weggeklickt und wurde auf einen neuen Tab weitergeleitet, bzw. Malwarebytes hat dies verhindert.

Malwarebytes
www.malwarebytes.com

-Protokolldetails-
Datum des Schutzereignisses: 18.01.17
Uhrzeit des Schutzereignisses: 19:13
Protokolldatei: mbam Website blockiert.txt
Administrator: Ja

-Softwaredaten-
Version: 
Komponentenversion: 
Version des Aktualisierungspakets: 
Lizenz: Testversion

-Systemdaten-
Betriebssystem: Windows 7 Service Pack 1
CPU: x64
Dateisystem: NTFS
Benutzer: System

-Einzelheiten zu blockierten Websites-
Bösartige Website: 1
, , Blockiert, [-1], [-1],0.0.0

-Website-Daten-
Domäne: iqoption.com
IP-Adresse: 178.248.235.128
Port: [49746]
Typ: Ausgehend
Datei: C:\Program Files (x86)\Internet Explorer\iexplore.exe



(end)
         

ESET Online Scanner

• Hier findest du eine bebilderte Anleitung zu ESET Online Scanner
• Lade und starte Eset Online Scanner
• Setze einen Haken bei Ja, ich bin mit den Nutzungsbedingungen einverstanden und klicke auf Starten.
• Aktiviere die "Erkennung von eventuell unerwünschten Anwendungen" und wähle folgende Einstellungen.
• Klicke auf Starten.
• Die Signaturen werden heruntergeladen, der Scan beginnt automatisch.
• Klicke am Ende des Suchlaufs auf Fertig stellen.
• Schließe das Fenster von ESET.
• Explorer öffnen.
• C:\Programme\Eset\EsetOnlineScanner\log.txt (bei 64 Bit auch C:\Programme (x86)\Eset\EsetOnlineScanner\log.txt) suchen und mit Deinem Editor öffnen (bebildert).
• Logfile hier posten.
• Deinstallation: Systemsteuerung => Software / Programme deinstallieren => Eset Online Scanner V3 entfernen.
• Manuell folgenden Ordner löschen und Papierkorb leeren => C:\Programme\Eset

Hinweis: Dieser Scan kann schon einmal mehrere Stunden dauern...

Hast du noch irgendwelche Probleme mit deinem Rechner?

Sonst habe ich keine Probleme festgestellt.
Thunderbird läuft, wie gesagt, wieder gewohnt schnell, war am Anfang ja nicht so, ich werde aber weiterhin dauernd auf andere Websites umgeleitet, Tabs öffnen sich wo Malwarebytes teilweise bis zu 6 Websites blockiert.
ESET hat keine Bedrohung gefunden.

ESETSmartInstaller@High as downloader log:
all ok
# product=EOS
# version=8
# OnlineScannerApp.exe=1.0.0.1
# EOSSerial=45145674ef7a39489b606176d9425e20
# end=init
# utc_time=2017-01-19 07:46:19
# local_time=2017-01-19 08:46:19 (+0100, Mitteleuropäische Zeit)
# country="Germany"
# osver=6.1.7601 NT Service Pack 1
Update Init
Update Download
Update Finalize
Updated modules version: 32122
# product=EOS
# version=8
# OnlineScannerApp.exe=1.0.0.1
# EOSSerial=45145674ef7a39489b606176d9425e20
# end=updated
# utc_time=2017-01-19 07:50:11
# local_time=2017-01-19 08:50:11 (+0100, Mitteleuropäische Zeit)
# country="Germany"
# osver=6.1.7601 NT Service Pack 1
# product=EOS
# version=8
# OnlineScannerApp.exe=1.0.0.1
# OnlineScanner.ocx=1.0.0.7777
# api_version=3.1.1
# EOSSerial=45145674ef7a39489b606176d9425e20
# engine=32122
# end=finished
# remove_checked=false
# archives_checked=true
# unwanted_checked=true
# unsafe_checked=false
# antistealth_checked=true
# utc_time=2017-01-19 08:10:20
# local_time=2017-01-19 09:10:20 (+0100, Mitteleuropäische Zeit)
# country="Germany"
# lang=1031
# osver=6.1.7601 NT Service Pack 1
# compatibility_mode_1='Avast Antivirus'
# compatibility_mode=799 16777213 100 100 1826188 12871250 0 0
# compatibility_mode_1=''
# compatibility_mode=5893 16776574 100 94 1829435 236486470 0 0
# scanned=183067
# found=0
# cleaned=0
# scan_time=1208
         

Noch eine Frage.
Ich soll ja keine Programme installieren, ich würde aber gerne wieder Chrome benutzen, da es über den Internet Explorer ohne gespeicherte Seiten etc. für mich sehr lästig ist im Internet zu surfen.
Soll ich wirklich keine Programme installieren oder ist Chrome ok?

Chrome kannst du schon installieren jetzt wenn du magst.

ich werde aber weiterhin dauernd auf andere Websites umgeleitet, Tabs öffnen sich

Wo ist das so?


Bitte starte wieder FRST, setze den Haken bei Addition und drücke auf Untersuchen. Poste bitte wieder die beiden Textdateien, die so entstehen.

Ist beim Internet Explorer so, hauptsächlich auf Youtube. Zumindest habe ich es da ständig, auf anderen Websites habe ich das weniger, auf dem Trojaner-Board so weit ich weiß gar nicht.

Jetzt wo ich Chrome installiert habe in den zwei Minuten wo ich mal ein bisschen rum geklickt habe und auch den Rechner neugestartet habe, kam bis jetzt noch nichts.

Logfiles habe ich in der .zip einmal vor und nach der Installation von Chrome.

Ich würde dir mal empfehlen, den Router auf Werkseinstellungen zurück zu setzen und unbedingt danach auf Firmwareupdates zu überprüfen!

Wenn du Hilfe brauchst, nenne mir bitte das Model von deinem Router und/oder schaue in der Bedienungsanleitung vorbei

Also in Chrome hatte ich jetzt gar keine Probleme mehr mit Malware, nur im Internet Explorer.

Ich habe eine Fritzbox 7490 und es stand ein update zur Verfügung, welches ich durchgeführt habe. Muss ich den Router wirklich auf Werkseinstellungen zurücksetzen oder kann man den auch irgendwie auf Malware etc. prüfen? Müsste ja danach alles neu einrichten und alle Wlangeräte wieder neu anmelden.

Welche Probleme hast du genau im InternetExplorer?

Zurücksetzen ist definitiv besser, das Softwareupdate war aber auf jeden Fall wichtig.

Bitte starte wieder FRST, setze den Haken bei Addition und drücke auf Untersuchen. Poste bitte wieder die beiden Textdateien, die so entstehen.

Wenn ich im IE unterwegs bin (bin ich durch Chrome aber nun eh nicht mehr) werde ich ab und zu einfach auf eine andere Seite mit Werbung umgeleitet, es öffnet sich ein neuer Tab mit Werbung oder die Seite öffnet sich in einem neuen Tab und der alte Tab kommt auf eine Seite mit Werbung. Das ganze passiert beim normalen Link aufrufen aber auch zufällig wenn ich irgendwo auf der Seite hinklicke, z.B. auf den Balken zum Scrollen oder irgendwelche Schaltflächen.
Wie gesagt Blockiert Malwarebytes da teilweise bis zu 6 Internetseiten. Scheint aber nur noch auf dem Internet Explorer der Fall zu sein.
Andere Rechner die in dem Router sind haben kein Problem.