Trojaner-Board - search.query.router Malware nicht wegzubekommen

Seite 1 von 2

100 Beiträge dieses Themas auf einer Seite anzeigen

Trojaner-Board (https://www.trojaner-board.de/)

- Log-Analyse und Auswertung (https://www.trojaner-board.de/log-analyse-auswertung/)

- - search.query.router Malware nicht wegzubekommen (https://www.trojaner-board.de/183987-search-query-router-malware-wegzubekommen.html)

Dorito

16.01.2017 22:24

search.query.router Malware nicht wegzubekommen

Hallo,
ich habe durch das Computerbase Forum hier her gefunden. Thread ist hier (wird aber wahrscheinlich nicht interessieren)

Und zwar habe ich mir gestern eine Malware durch einen klick auf einen falschen Downloadbutten geholt. Diese heißt scheinbar Query router bzw. search.query.router

Anleitungen wie ich diese Malware weg bekomme gibt es zwar, diese scheinen aber von einer älteren Version dieser Malware zu sein und funktionieren nicht. Den Anleitungen zu folge soll man bestimmte Programme unter der Windows Deinstallation deinstallieren, diese gibt es aber nicht. Außerdem Chrome reseten, funktioniert nur eine kurze Zeit lang.
Chrome ist befallen, der Internet Explorer und Thunderbird braucht deutlich länger zum Starten (zwischendurch wird "Keine Rückmeldung" angezeigt).

Malwarebytes Free und Avast haben nichts gefunden, adwcleaner hat eine Bedrohung gefunden (Log vorhanden). Bedrohung kam nach Neustarts wieder mittlerweile findet adwcleaner aber nichts mehr.

Nachdem diese Bedrohung entfernt wurde kamen keine Pop up Fenster mehr, ich werde aber noch auf Werbung weitergeleitet, neue Tabs etc. Auch die Suchmaschine wurde geändert.

Ich habe Chrome komplett deinstalliert, Googleordner unter Programme gelöscht, unter Appdata\Local und unter %Appdata% und noch nicht neuinstalliert.
Im Internet Explorer werde ich aber trotzdem des Öfteren auf Werbung etc. weitergeleitet.

burningice

16.01.2017 22:25

:hallo:
Mein Name ist Rafael und ich werde dir bei der Bereinigung helfen.

Damit ich dir optimal helfen kann, halte dich bitte an folgende Regeln:

Bitte lies meine Posts komplett durch bevor du sie abarbeitest
Wenn ein Problem auftauchen sollte oder dir etwas unklar ist, unterbreche deine Arbeit und beschreibe es so genau wie möglich.
Bitte kein Crossposting
Installiere oder Deinstalliere keine Software ohne Aufforderung
Bitte verwende nur die Tools, welche hier im Thread erwähnt werden und führe sie nur gemäß Anweisung aus
Bitte antworte innerhalb von 24h um eine sinnvolle Bereinigung zu ermöglichen
Poste die Logs immer in CODE-Tags (#-Button), zur Not die Logs einfach aufteilen
Wichtig: Nur weil dein Problem mit einem Schritt plötzlich behoben ist, bedeutet das nicht, dass dein PC auch sauber ist. Mache solange weiter, bis ich dir sage, dass dein PC "clean" ist
Wenn ich dir nicht binnen 36h antworte, sende mir bitte eine persönliche Nachricht!

Los geht's :abklatsch:

Zitat:

Und zwar habe ich mir gestern eine Malware durch einen klick auf einen falschen Downloadbutten geholt. Diese heißt scheinbar Query router bzw. search.query.router

Wer, wie oder was sagt denn, dass du diese Infektion hast?

Logs dazu bittte!

Bitte lade dir die passende Version von Farbar's Recovery Scan Tool auf deinen Desktop:

FRST 32-Bit | FRST 64-Bit
(Wenn du nicht sicher bist: Lade beide Versionen oder unter Start > Computer (Rechtsklick) > Eigenschaften nachschauen)

Starte jetzt FRST.
Ändere ungefragt keine der Checkboxen und klicke auf Untersuchen.
Die Logdateien werden nun erstellt und befinden sich danach auf deinem Desktop.
Poste mir die FRST.txt und nach dem ersten Scan auch die Addition.txt in deinem Thread (#-Symbol im Eingabefenster der Webseite anklicken)

Dorito

16.01.2017 22:29

Hier noch die Logfiles, diese waren leider zu groß.

burningice

17.01.2017 14:31

und was ist mit meiner Frage bzw. nach dem Log von dem "Fund"? :)

Dorito

17.01.2017 16:06

Der Log von dem adwCleaner ist der Log von dem Fund, bzw. andere Logs habe ich nicht. Relativ weit unten steht dass das Programm etwas in Chrome gefunden hat.

burningice

18.01.2017 17:17

Es geht darum, wer dir das "search.query.router" gesagt hat :)

Schritt 1
Downloade Dir bitte AdwCleaner auf deinen Desktop.

Schließe alle offenen Programme und Browser.
Starte die adwcleaner.exe mit einem Doppelklick.
Stimme den Nutzungsbedingungen zu.
Klicke auf Werkzeuge > Optionen und vergewissere dich, dass die folgenden Punkte ausgewählt sind:
- "Tracing" Schlüssel
- "Prefetch" Dateien
- Proxy
- Winsock
- Internet Explorer Richtlinien
- Chrome Richtlinien
Bestätige die Auswahl mit Ok.
Klicke auf Suchlauf und warte bis dieser abgeschlossen ist.
Klicke nun auf Löschen (auch dann wenn AdwCleaner sagt, dass nichts gefunden wurde) und bestätige auftretende Hinweise mit Ok.
Dein Rechner wird automatisch neu gestartet. Nach dem Neustart öffnet sich eine Textdatei. Poste mir deren Inhalt mit deiner nächsten Antwort.
Die Logdatei findest du auch unter C:\AdwCleaner\AdwCleaner[Cx].txt. (x = fortlaufende Nummer).

Schritt 2
Lade dir folgendes Programm herunter und installiere es: http://filepony.de/icon/tiny/malware...ti_malware.png Malwarebytes Anti-Malware

Starte Malwarebytes' Anti-Malware (MBAM).
Klicke im Anschluss auf Scan, wähle den Bedrohungs-Scan aus und klicke auf Scan starten.
Lass am Ende des Suchlaufs alle Funde (falls vorhanden) in die Quarantäne verschieben. Klicke dazu auf Ausgewählte Elemente in die Quarantäne verschieben.
Lass deinen Rechner ggf. neu starten, um die Bereinigung abzuschließen.
Starte MBAM nach dem Neustart, klicke auf Berichte.
Wähle den neuesten Scan-Bericht aus, klicke auf Bericht anzeigen und dann auf Export.
Wähle Textdatei (.txt) aus und speichere die Datei als mbam.txt auf dem Desktop ab.
Füge den Inhalt der mbam.txt mit deiner nächsten Antwort hinzu.

Schritt 3
Bitte starte wieder FRST, setze den Haken bei Addition und drücke auf Untersuchen. Poste bitte wieder die beiden Textdateien, die so entstehen.

Bitte poste in deiner nächsten Antwort also:

Logfile von AdwCleaner
Logfile von Malwarebytes
Frst.txt
Addition.txt

Dorito

18.01.2017 18:55

Achso, ein Programm hat mir das nicht angezeigt, aber die Adressen im Browser und das Popup Fenster welches sich anfangs immer öffnete zeigten diesen Namen an.

Logfiles sind wieder als .zip dabei, mittlerweile öffnet sich Thunderbird auch wieder gewohnt schnell.

Edit: Malwarebytes hat komischerweise diesmal was gefunden. Vorher nicht.

Nochmal Edit: Gerade habe ich auf Youtube einen Cookiehinweis weggeklickt und wurde auf einen neuen Tab weitergeleitet, bzw. Malwarebytes hat dies verhindert.

Code:

Malwarebytes

www.malwarebytes.com
 

-Protokolldetails-

Datum des Schutzereignisses: 18.01.17

Uhrzeit des Schutzereignisses: 19:13

Protokolldatei: mbam Website blockiert.txt

Administrator: Ja
 

-Softwaredaten-

Version: 

Komponentenversion: 

Version des Aktualisierungspakets: 

Lizenz: Testversion
 

-Systemdaten-

Betriebssystem: Windows 7 Service Pack 1

CPU: x64

Dateisystem: NTFS

Benutzer: System
 

-Einzelheiten zu blockierten Websites-

Bösartige Website: 1

, , Blockiert, [-1], [-1],0.0.0
 

-Website-Daten-

Domäne: iqoption.com

IP-Adresse: 178.248.235.128

Port: [49746]

Typ: Ausgehend

Datei: C:\Program Files (x86)\Internet Explorer\iexplore.exe
 
 
 

(end)

burningice

19.01.2017 19:55

ESET Online Scanner

Hier findest du eine bebilderte Anleitung zu ESET Online Scanner
Lade und starte Eset Online Scanner
Setze einen Haken bei Ja, ich bin mit den Nutzungsbedingungen einverstanden und klicke auf Starten.
Aktiviere die "Erkennung von eventuell unerwünschten Anwendungen" und wähle folgende Einstellungen.
Klicke auf Starten.
Die Signaturen werden heruntergeladen, der Scan beginnt automatisch.
Klicke am Ende des Suchlaufs auf Fertig stellen.
Schließe das Fenster von ESET.
Explorer öffnen.
C:\Programme\Eset\EsetOnlineScanner\log.txt (bei 64 Bit auch C:\Programme (x86)\Eset\EsetOnlineScanner\log.txt) suchen und mit Deinem Editor öffnen (bebildert).
Logfile hier posten.
Deinstallation: Systemsteuerung => Software / Programme deinstallieren => Eset Online Scanner V3 entfernen.
Manuell folgenden Ordner löschen und Papierkorb leeren => C:\Programme\Eset

Hinweis: Dieser Scan kann schon einmal mehrere Stunden dauern...

Hast du noch irgendwelche Probleme mit deinem Rechner?

Dorito

20.01.2017 17:43

Sonst habe ich keine Probleme festgestellt.
Thunderbird läuft, wie gesagt, wieder gewohnt schnell, war am Anfang ja nicht so, ich werde aber weiterhin dauernd auf andere Websites umgeleitet, Tabs öffnen sich wo Malwarebytes teilweise bis zu 6 Websites blockiert.
ESET hat keine Bedrohung gefunden.

Code:

ESETSmartInstaller@High as downloader log:

all ok

# product=EOS

# version=8

# OnlineScannerApp.exe=1.0.0.1

# EOSSerial=45145674ef7a39489b606176d9425e20

# end=init

# utc_time=2017-01-19 07:46:19

# local_time=2017-01-19 08:46:19 (+0100, Mitteleuropäische Zeit)

# country="Germany"

# osver=6.1.7601 NT Service Pack 1

Update Init

Update Download

Update Finalize

Updated modules version: 32122

# product=EOS

# version=8

# OnlineScannerApp.exe=1.0.0.1

# EOSSerial=45145674ef7a39489b606176d9425e20

# end=updated

# utc_time=2017-01-19 07:50:11

# local_time=2017-01-19 08:50:11 (+0100, Mitteleuropäische Zeit)

# country="Germany"

# osver=6.1.7601 NT Service Pack 1

# product=EOS

# version=8

# OnlineScannerApp.exe=1.0.0.1

# OnlineScanner.ocx=1.0.0.7777

# api_version=3.1.1

# EOSSerial=45145674ef7a39489b606176d9425e20

# engine=32122

# end=finished

# remove_checked=false

# archives_checked=true

# unwanted_checked=true

# unsafe_checked=false

# antistealth_checked=true

# utc_time=2017-01-19 08:10:20

# local_time=2017-01-19 09:10:20 (+0100, Mitteleuropäische Zeit)

# country="Germany"

# lang=1031

# osver=6.1.7601 NT Service Pack 1

# compatibility_mode_1='Avast Antivirus'

# compatibility_mode=799 16777213 100 100 1826188 12871250 0 0

# compatibility_mode_1=''

# compatibility_mode=5893 16776574 100 94 1829435 236486470 0 0

# scanned=183067

# found=0

# cleaned=0

# scan_time=1208

Noch eine Frage.
Ich soll ja keine Programme installieren, ich würde aber gerne wieder Chrome benutzen, da es über den Internet Explorer ohne gespeicherte Seiten etc. für mich sehr lästig ist im Internet zu surfen.
Soll ich wirklich keine Programme installieren oder ist Chrome ok?

burningice

21.01.2017 14:45

Chrome kannst du schon installieren jetzt wenn du magst.

Zitat:

ich werde aber weiterhin dauernd auf andere Websites umgeleitet, Tabs öffnen sich

Wo ist das so?

Bitte starte wieder FRST, setze den Haken bei Addition und drücke auf Untersuchen. Poste bitte wieder die beiden Textdateien, die so entstehen.

Dorito

21.01.2017 14:58

Ist beim Internet Explorer so, hauptsächlich auf Youtube. Zumindest habe ich es da ständig, auf anderen Websites habe ich das weniger, auf dem Trojaner-Board so weit ich weiß gar nicht.

Jetzt wo ich Chrome installiert habe in den zwei Minuten wo ich mal ein bisschen rum geklickt habe und auch den Rechner neugestartet habe, kam bis jetzt noch nichts.

Logfiles habe ich in der .zip einmal vor und nach der Installation von Chrome.

burningice

21.01.2017 17:55

Ich würde dir mal empfehlen, den Router auf Werkseinstellungen zurück zu setzen und unbedingt danach auf Firmwareupdates zu überprüfen!

Wenn du Hilfe brauchst, nenne mir bitte das Model von deinem Router und/oder schaue in der Bedienungsanleitung vorbei :)

Dorito

23.01.2017 16:20

Also in Chrome hatte ich jetzt gar keine Probleme mehr mit Malware, nur im Internet Explorer.

Ich habe eine Fritzbox 7490 und es stand ein update zur Verfügung, welches ich durchgeführt habe. Muss ich den Router wirklich auf Werkseinstellungen zurücksetzen oder kann man den auch irgendwie auf Malware etc. prüfen? Müsste ja danach alles neu einrichten und alle Wlangeräte wieder neu anmelden.

burningice

23.01.2017 18:26

Welche Probleme hast du genau im InternetExplorer?

Zurücksetzen ist definitiv besser, das Softwareupdate war aber auf jeden Fall wichtig.

Bitte starte wieder FRST, setze den Haken bei Addition und drücke auf Untersuchen. Poste bitte wieder die beiden Textdateien, die so entstehen.

Dorito

23.01.2017 18:49

Wenn ich im IE unterwegs bin (bin ich durch Chrome aber nun eh nicht mehr) werde ich ab und zu einfach auf eine andere Seite mit Werbung umgeleitet, es öffnet sich ein neuer Tab mit Werbung oder die Seite öffnet sich in einem neuen Tab und der alte Tab kommt auf eine Seite mit Werbung. Das ganze passiert beim normalen Link aufrufen aber auch zufällig wenn ich irgendwo auf der Seite hinklicke, z.B. auf den Balken zum Scrollen oder irgendwelche Schaltflächen.
Wie gesagt Blockiert Malwarebytes da teilweise bis zu 6 Internetseiten. Scheint aber nur noch auf dem Internet Explorer der Fall zu sein.
Andere Rechner die in dem Router sind haben kein Problem.

Alle Zeitangaben in WEZ +1. Es ist jetzt 23:19 Uhr.

Seite 1 von 2

100 Beiträge dieses Themas auf einer Seite anzeigen

1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 18 19 20 21 22