| |
| |||||||
Log-Analyse und Auswertung: Firefox: 'Googeln' verweigert - Trojaner installiert??Windows 7 Wenn Du Dir einen Trojaner eingefangen hast oder ständig Viren Warnungen bekommst, kannst Du hier die Logs unserer Diagnose Tools zwecks Auswertung durch unsere Experten posten. Um Viren und Trojaner entfernen zu können, muss das infizierte System zuerst untersucht werden: Erste Schritte zur Hilfe. Beachte dass ein infiziertes System nicht vertrauenswürdig ist und bis zur vollständigen Entfernung der Malware nicht verwendet werden sollte.XML. |
 |
| |
15.08.2008, 09:45
| #1 | |||
| |  Firefox: 'Googeln' verweigert - Trojaner installiert?? Hallo TB-Team! Ich bitte um Hilfe bei folgendem Problem: Vor kurzem konnte ich plötzlich nicht mehr mit Firefox 'Googeln' (wurde mit Spam-Verweis abgelehnt). Mit Ubuntu ging's ohne Probleme. Darauf hin habe ich erst realisiert, dass FF seit geraumer Zeit nicht upgedated wurde (noch version 2.0.0.12), da ich zwar Autoupdate aktivert hatte, jedoch im eingeschränkten Benutzerkonto surfe. Daraufhin habe ich FF komplett deinstalliert, alle Benutzerprofile vollständig gelöscht und neu installiert (v3.1) - jetzt funktioniert Google wieder. Natürlich habe ich jetzt bedenken, was denn nun der Grund war... Avira fand einige Schädlinge, ich bin mir aber nicht ganz sicher, ob es sich nicht um Fehlalarme handelt: Zitat:
Besonders bei 'xpy' bin ich etwas skeptisch, 'System Volume' finde ich eher seltsam und auch das .doc file... ich bin aber kein Fachmann für Viren. Ein Scan mit 'ClamAV' und Linux ergab etliche Funde, wobei viele davon 'oversized Zipfiles' sind und ich habe keine Ahnung, inwiefern das Aussagekraft bezüglich einer Infektion hat: Zitat:
An sich scheinen einige Funde, sofern es keine Fehlalarme sind, doch bedenklich zu sein - vielleicht könnt ihr dazu auch etwas sagen? Nebenbei, in der 'System Volume Information' auf D: fand sich auch so etwas ähnliches wie ein 'Trojan.gen', ich habe das komplette File gelöscht. HijackThis ergab folgendes: Zitat:
|
|
15.08.2008, 11:09
| #2 |
  | Firefox: 'Googeln' verweigert - Trojaner installiert?? Willkommen, Milchkeks!
__________________Bitte das HJT-Logfile komplett mit Kopf posten. "System Volume Information/_restore" sind Systemwiederherstellungsdateien. Du kannst die Systemwiederherstellung ausschalten, dann System runterfahren und wieder einschalten, dann Systemwiederherstellung wieder an. Damit sind die alten Restore-Dateien aber auch die Wiederherstellungspunkte weg. ClamAv ist nicht auf dem neuesten Stand. Updaten und nochmal machen. Dann date mal Avira up und mach einen Scan im abgesicherten Modus (Kompletter Systemscan). Poste dann bitte das neue HJT-Log und den Avira-Bericht, sowie den von ClamAv. cacatoa
__________________ |
|
21.08.2008, 10:47
| #3 | ||||||
| | Firefox: 'Googeln' verweigert - Trojaner installiert?? So, sorry, hat ein Weilchen gedauert - ich musste einiges erledigen und habe inzwischen unter Linux weitergearbeitet...
__________________ hier nochmal die aktuellen logs von HJT, einmal im abgesicherten Modus, als Admin: Zitat:
und im Standar-Benutzerkonto (eingeschränkt): Zitat:
Außerdem habe ich meine Virenscanner upgedated und eine neue Suche gestartet; Um die länge des Threads zu begrenzen, habe ich alles so weit wie möglich zusammengefasst. An Funden mit ClamAV hat folgendes geändert: Zitat:
Bei den Funden von Avira hat sich dieses geändert: Zitat:
AVG Antivirus (keine Funde), Spybot S&D (keine Funde) und Bitdefender: Zitat:
Einige Antirootkit-Tools: Zitat:
Dann wollte ich noch ein wenig nachforschen und habe sämtliche bislang gefundenen 'infizierten' Files und einige andere aus Backups gezogen und bei www.virustotal.com zur Analyse hochgeladen: Code:
ATTFilter 1C++.doc (9kB):
ClamAV - WM.Psycho
C++.doc:
keine Funde
Hotfix ExtrAct0r:
Antivir - SPR/AutoIt.Gen
eSave - suspicious Trojan/Worm
Webwasher - Riskware.AutoIt.Gen
KAP_13.HTM:
Antivir - HEUR/Worm.Outlook.VBS
Avast - VBS:MailWorm.gen
GData - VBS:MailWorm.gen
NOD 32v2 - prob.unknown SCRIPT virus
Webwasher - Heuristic-Worm.Outlook.VBS
Produkey:
Antivir - SPR/PSW.Product Key.I
F-Secure - PSWTool.Win32.Product Key.i
CAT-Quick Heal - PSWTool.Win32.Product Key.i
Dr.Web - Tool.Pass View.32
eSave suspicious File
Fortinet - Hacker Tool / Product Key
Kasperski / Ikarus - not-a-virus: PSWTool.Win32...
Panda / Sophos / Symantech - Application/Produkey...
Remove_It_Pro - AdvancedMalwareRemover:
Dr.Web - DLoader.Trojan
Sophos - Sus/ComPack-E
Remove Restrictions by Malware:
Panda - Suspicious File
RemoveWGA11.exe (eingestuft als 'Malware' auf Prevx-Seite):
Authentium/F-Prot - W32/Heuristic - KPP/Eldorado
ClamAV - PUA.Tool.RemoveWGA-1
DrWeb - Backdoor.Trojan
eSafe - suspicious File
Prevx1 - Malicious Software
Sophos - SuS/Dropper-A
Symantec - Infostealer.Gampass
Sunbelt - RiskTool.Win32.ProcessPatcher.Sml!cobra(v)
RemoveWGA 1-2.exe ('nicht verdächtig verhaltende Software' laut Prevx-Seite):
AluLab-V3 - Win-Trojan/Muldrop.49664
AVG - Downloader.Generic7.ADMP
ClamAV - PUA.Tool.RemoveWGA
DrWeb - Tool.RemoveWGA
eSave - Win32.small
eTrust-Vet - Win32/Prigamb.A
Prevx1 - suspicious
Sophos - RemoveWGA
ViRobot - Spyware.Small.Dr.13824.A
Sunbelt - RiskTool.Win32.ProcessPatcher.Sml!cobra(v)
xpy:
Fprot - W32/Heuristic - KPP/Eldorado
ClamAV - PUA.Packed.UPack-2
CAT-QuickHeal - (suspicious) DNA-Scan
eSave - Suspicious File
F-Secure - Suspicious:W32/Malware!Gemini
Fortinet - PossibleThreat!025233
Ikarus - Backdoor.Win32.Rbot.aeu
McAffee - pot.unwanted Program: Tool-xpy
Norman - W32/Suspicious_U.gen
Panda - Generic Malware
Sunbelt - ViPRE.Suspicious
TheHacker - W32/Behav-Heuristic-060
Virus Buster - Packed/Upack
Webwasher W32.Malware.gen (susp.)
slipstreamer.exe:
ClamAV - Trojan.DNSChanger-3887
eSafe - Suspicious File
TheHacker - Adware/Maxifiles.f
TrendMicro - PAK_Generic.001
CABTOOL_SETUP_1-8_Final.ZIP:
AntiVir - TR/Agent.49664.15
Authentium - W32/Downloader.AODJ
Avast - Win32:Agent-YGJ
BitDefender - Trojan.Generic.188571
eSafe - Suspicious File
F-Prot - W32/Downloader.AODJ
Fortinet - PossibleThreat
GData - Win32:Agent-YGJ
Ikarus - Trojan-Dropper.Win32.Agent.UQ
Panda - Generic Trojan
Symantec - Trojan Horse
VBA32 - Backdoor.Win32.Bifrose.aci
Webwasher-Gateway - Trojan.Agent.49664.15
Security-Taskmanager16b.exe:
Authentium - W32/Heuristic-210!Eldorado
BitDefender - Backdoor.Generic.26857
eSafe - Win32.Looked.P
F-Prot - W32/Heuristic-210!Eldorado
VBA32 - Trojan-PSW.Win32.LdPinch.bex
Webwasher-Gateway - Win32.Malware.gen (suspicious)
Meine Persönlichen Schlussfolgerungen: Code:
ATTFilter 1C++.doc (9kB) ClamAV: Fehlalarm, evtl. Codeschnipsel
KAP_13.HTM: bin unsicher, evtl. ein Codeschnipsel im Dokument (muss nachsehen)
Hotfix ExtrAct0r: bin unsicher - eher Fehlalarm (v. Sereby-Homepage, extrahiert Hotfixes)
Produkey: eher Fehlalarm - 'unerwünschtes' Program (XP-Productkey-Finder)
Remove_It_Pro: bin unsicher - vielleicht eher Fehlalarm, da manipulatives Programm?
Remove Restrictions by Malware: Fehlalarm
RemoveWGA11.exe: eher bedenklich (lt. Prevx)??
RemoveWGA 1-2.exe: bin unsicher - bedenklich?? (Prevx: eher weniger, aber Vorgänger?)
slipstreamer.exe: Fehlalarm - eher 'unwanted' Program, zur Installations-CD-Erstellung
xpy (v.a. 0.9.8): bin unsicher, bedenklich??! - evtl. 'unwanted' behaviour? war seinerzeit als 'spywarefrei' angepriesen anders als XP-Antispy
CABTOOL_SETUP.EXE: bin unsicher - ist auf nlite-Seite empfohlen, um .cab Files zu entpacken..!?
s. auch die wenig aussagekräftige Analyse hier: (h**p://info.prevx.com/aboutprogramtext.asp?PX5=EBB3A92B00D7B7DFC28F007A4D4A4C006831EF7E)
Security-Taskmanager16b.exe: finde ich unwahrscheinlich - eigentlich kommerzielles Sharewareprogramm !?
Könnten die 'Eldorado'-Einträge auf Add/Spyware hindeuten?
Slipstreamer.exe(bestimmt schon gestartet), Security-Taskmanager16b.exe (bestimmt schon gestartet), RemoveWGA11.exe (evtl. schon gestartet), CABTOOL (evtl. schon gestartet), RemoveWGA 1-2.exe (wahrscheinlich schon gestartet), Produkey (wahrscheinlich schon gestartet), xpy (wahrscheinlich schon gestartet) Vielleicht könnt ihr dazu eure Meinung kundtun? schöne Grüße, milchkeks |
|
21.08.2008, 17:15
| #4 |
| | Firefox: 'Googeln' verweigert - Trojaner installiert?? Update: Habe jetzt auch den 'Malwarebytes'-Scanner laufen lassen - ohne Funde... |
|
21.08.2008, 19:59
| #5 |
| | Firefox: 'Googeln' verweigert - Trojaner installiert?? Jetzt hab ich auch nochmal Commodo auf Viren checken lassen, das hat mir folgende Meldung angezeigt: Troja.Win32.Patched.m (ID=xxxxxx) C:\WINDOWS\system32\dllcache\winlogon.exe Fein, das hatte ein Bekannter von mir auch vor 2 Wochen, und hat die Files gelöscht - und konnte dann natürlich nicht mehr booten. Bei Virustotal.com ergibt eine Überprüfung jedenfalls keinen einzigen Treffer! Jetzt kann ich wirklich nicht mehr dazu sagen... warum hatte Firefox das Problem? Hat sich ein Trojaner oder Rootkit bei mir eingenistet? Bin ratlos... milchkeks |
|
24.08.2008, 22:51
| #6 |
| | Firefox: 'Googeln' verweigert - Trojaner installiert?? Ähm... irgendjemand? Cacatoa? milchkeks |
|
| Themen zu Firefox: 'Googeln' verweigert - Trojaner installiert?? |
| antivir, antivirus, askbar, avg, avira, bho, bitte um hilfe, c.exe, ctfmon.exe, desktop, einstellungen, firefox, firewall, google, handel, infected, internet, internet explorer, jusched.exe, keine ahnung, launch, location, microsoft, neu, plug-in, preferences, problem, scan, shortcut, software, suche, system, system volume information, trojan.gen, trojaner, warnung, windows |
Hybrid-Darstellung
