Trojaner-Board - Nach jedem Klick öffnet sich free-virusscan.com. Hijack-Log inside :-)

Trojaner-Board (https://www.trojaner-board.de/)

- Log-Analyse und Auswertung (https://www.trojaner-board.de/log-analyse-auswertung/)

- - Nach jedem Klick öffnet sich free-virusscan.com. Hijack-Log inside :-) (https://www.trojaner-board.de/57145-klick-oeffnet-free-virusscan-com-hijack-log-inside.html)

Nach jedem Klick öffnet sich free-virusscan.com. Hijack-Log inside :-)

Hallöchen !
Ich habe ein ziemlich grosses Problem. Ich weiss das schon einige auch hier im Forum mit diesem free-virusscan.com Trojaner (oder was auch immer es ist) Probleme hatten nur ich bekomm es einfach nicht in den Griff.

Ich habe schon massig Virenscanner ausprobiert aber keiner findet etwas.

Nun hab ich Hijack laufen lassen und poste euch mal meine Log file.

Für eine schnelle Hilfe, wo der Hund begraben ist - und was zu tun ist wäre ich sehr sehr sehr dankbar !!

Code:

Logfile of Trend Micro HijackThis v2.0.2

Scan saved at 14:12:36, on 02.08.2008

Platform: Windows XP SP2 (WinNT 5.01.2600)

MSIE: Internet Explorer v7.00 (7.00.6000.16674)

Boot mode: Normal
 

Running processes:

C:\WINDOWS\System32\smss.exe

C:\WINDOWS\system32\winlogon.exe

C:\WINDOWS\system32\services.exe

C:\WINDOWS\system32\lsass.exe

C:\WINDOWS\system32\svchost.exe

C:\WINDOWS\System32\svchost.exe

C:\WINDOWS\system32\spoolsv.exe

C:\Programme\Gemeinsame Dateien\Apple\Mobile Device Support\bin\AppleMobileDeviceService.exe

C:\Programme\CA\SharedComponents\CA_LIC\LogWatNT.exe

C:\WINDOWS\System32\nvsvc32.exe

C:\WINDOWS\System32\svchost.exe

C:\WINDOWS\Explorer.EXE

C:\WINDOWS\SOUNDMAN.EXE

C:\Programme\Launch Manager\LaunchAp.exe

C:\Programme\Launch Manager\HotkeyApp.exe

C:\Programme\Launch Manager\OSD.exe

C:\Programme\Launch Manager\Wbutton.exe

C:\Programme\Synaptics\SynTP\SynTPLpr.exe

C:\Programme\Synaptics\SynTP\SynTPEnh.exe

C:\WINDOWS\System32\powerman.exe

C:\Programme\Home Cinema\PowerCinema\PCMService.exe

C:\WINDOWS\system32\PRISMSTA.EXE

C:\PROGRA~1\CA\ETRUST~1\realmon.exe

C:\Programme\Gemeinsame Dateien\Microsoft Shared\Works Shared\WkUFind.exe

C:\Programme\Gemeinsame Dateien\InstallShield\UpdateService\issch.exe

C:\Programme\Adobe\Reader 8.0\Reader\Reader_sl.exe

C:\Programme\Sony\CONNECTAutoUpdate\CONNECTScheduler.exe

C:\Programme\Gemeinsame Dateien\Real\Update_OB\realsched.exe

C:\Programme\iTunes\iTunesHelper.exe

C:\PROGRA~1\COMMON~1\X10\Common\x10nets.exe

C:\Programme\Avira\AntiVir PersonalEdition Classic\avgnt.exe

C:\Programme\Spyware Doctor\pctsTray.exe

C:\WINDOWS\system32\ctfmon.exe

C:\Programme\Sony\CONNECTAutoUpdate\CONNECTAUTrayApp.exe

C:\Programme\Nuance\NaturallySpeaking9\Program\natspeak.exe

C:\Programme\Gemeinsame Dateien\Sony Shared\GMR\GMRMan.exe

C:\Programme\Sony\CONNECTAutoUpdate\CONNECTAutoUpdate.exe

C:\WINDOWS\system32\wuauclt.exe

C:\Programme\iPod\bin\iPodService.exe

C:\WINDOWS\system32\wuauclt.exe

C:\Programme\Internet Explorer\IEXPLORE.EXE

F:\HiJackThis.exe
 

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Bar = h**p://www.medion.com

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = h**p://www.google.de/

R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = h**p://go.microsoft.com/fwlink/?LinkId=69157

R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = h**p://go.microsoft.com/fwlink/?LinkId=54896

R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = h**p://go.microsoft.com/fwlink/?LinkId=54896

R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = h**p://go.microsoft.com/fwlink/?LinkId=69157

R1 - HKCU\Software\Microsoft\Internet Connection Wizard,ShellNext = h**p://www.aldi.com/

R1 - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings,ProxyServer = 192.168.217.250:3128

O2 - BHO: Adobe PDF Reader - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Programme\Gemeinsame Dateien\Adobe\Acrobat\ActiveX\AcroIEHelper.dll

O2 - BHO: BHO5 - {9873E994-669E-4044-BA64-E5D9AD534A55} - C:\WINDOWS\system32\domie.dll

O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\System32\NvCpl.dll,NvStartup

O4 - HKLM\..\Run: [nwiz] nwiz.exe /install

O4 - HKLM\..\Run: [SoundMan] SOUNDMAN.EXE

O4 - HKLM\..\Run: [LaunchAp] C:\Programme\Launch Manager\LaunchAp.exe

O4 - HKLM\..\Run: [HotkeyApp] C:\Programme\Launch Manager\HotkeyApp.exe

O4 - HKLM\..\Run: [LMgrOSD] C:\Programme\Launch Manager\OSD.exe

O4 - HKLM\..\Run: [Wbutton] "C:\Programme\Launch Manager\Wbutton.exe"

O4 - HKLM\..\Run: [CtrlVol] C:\Programme\Launch Manager\CtrlVol.exe

O4 - HKLM\..\Run: [SynTPLpr] C:\Programme\Synaptics\SynTP\SynTPLpr.exe

O4 - HKLM\..\Run: [SynTPEnh] C:\Programme\Synaptics\SynTP\SynTPEnh.exe

O4 - HKLM\..\Run: [NeroFilterCheck] C:\WINDOWS\system32\NeroCheck.exe

O4 - HKLM\..\Run: [PinnacleDriverCheck] C:\WINDOWS\System32\PSDrvCheck.exe

O4 - HKLM\..\Run: [powerman] "C:\WINDOWS\System32\powerman.exe"

O4 - HKLM\..\Run: [PCMService] "C:\Programme\Home Cinema\PowerCinema\PCMService.exe"

O4 - HKLM\..\Run: [PRISMSTA.EXE] PRISMSTA.EXE START

O4 - HKLM\..\Run: [Realtime Monitor] C:\PROGRA~1\CA\ETRUST~1\realmon.exe -s

O4 - HKLM\..\Run: [Microsoft Works Update Detection] C:\Programme\Gemeinsame Dateien\Microsoft Shared\Works Shared\WkUFind.exe

O4 - HKLM\..\Run: [InCD] C:\Programme\Ahead\InCD\InCD.exe

O4 - HKLM\..\Run: [SSBkgdUpdate] C:\Programme\Gemeinsame Dateien\Scansoft Shared\SSBkgdUpdate\SSBkgdupdate.exe -Embedding -boot

O4 - HKLM\..\Run: [ISUSPM Startup] C:\PROGRA~1\GEMEIN~1\INSTAL~1\UPDATE~1\ISUSPM.exe -startup

O4 - HKLM\..\Run: [ISUSScheduler] "C:\Programme\Gemeinsame Dateien\InstallShield\UpdateService\issch.exe" -start

O4 - HKLM\..\Run: [Adobe Reader Speed Launcher] "C:\Programme\Adobe\Reader 8.0\Reader\Reader_sl.exe"

O4 - HKLM\..\Run: [CONNECTScheduler] "C:\Programme\Sony\CONNECTAutoUpdate\CONNECTScheduler.exe" /RUN_SCHEDULER

O4 - HKLM\..\Run: [TkBellExe] "C:\Programme\Gemeinsame Dateien\Real\Update_OB\realsched.exe" -osboot

O4 - HKLM\..\Run: [QuickTime Task] "C:\Programme\QuickTime\qttask.exe" -atboottime

O4 - HKLM\..\Run: [iTunesHelper] "C:\Programme\iTunes\iTunesHelper.exe"

O4 - HKLM\..\Run: [avgnt] "C:\Programme\Avira\AntiVir PersonalEdition Classic\avgnt.exe" /min

O4 - HKLM\..\Run: [ISTray] "C:\Programme\Spyware Doctor\pctsTray.exe"

O4 - HKCU\..\Run: [ctfmon.exe] C:\WINDOWS\system32\ctfmon.exe

O4 - HKCU\..\Run: [msnmsgr] "C:\Programme\MSN Messenger\msnmsgr.exe" /background

O4 - HKUS\S-1-5-19\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 'LOKALER DIENST')

O4 - HKUS\S-1-5-20\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 'NETZWERKDIENST')

O4 - HKUS\S-1-5-18\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 'SYSTEM')

O4 - HKUS\.DEFAULT\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 'Default user')

O4 - Startup: Dragon NaturallySpeaking.lnk = C:\Programme\Nuance\NaturallySpeaking9\Program\natspeak.exe

O4 - Startup: Registration-InstantCopy.lnk = C:\Programme\Pinnacle\Shared Files\InstantCDDVD\Pixie\RegTool.exe

O4 - Global Startup: CONNECTAUTrayApp.lnk = C:\Programme\Sony\CONNECTAutoUpdate\CONNECTAUTrayApp.exe

O8 - Extra context menu item: Nach Microsoft &Excel exportieren - res://C:\PROGRA~1\MICROS~4\OFFICE11\EXCEL.EXE/3000

O9 - Extra button: Recherchieren - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - C:\PROGRA~1\MICROS~4\OFFICE11\REFIEBAR.DLL

O9 - Extra button: Real.com - {CD67F990-D8E9-11d2-98FE-00C0F0318AFE} - C:\WINDOWS\System32\Shdocvw.dll

O9 - Extra button: (no name) - {e2e2dd38-d088-4134-82b7-f2ba38496583} - C:\WINDOWS\Network Diagnostic\xpnetdiag.exe

O9 - Extra 'Tools' menuitem: @xpsp3res.dll,-20001 - {e2e2dd38-d088-4134-82b7-f2ba38496583} - C:\WINDOWS\Network Diagnostic\xpnetdiag.exe

O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe

O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe

O9 - Extra button: MedionShop - {17CB20A8-9C65-46E4-A355-7200ABB0C1E6} - h**p://www.medionshop.de/ (file missing) (HKCU)

O14 - IERESET.INF: START_PAGE_URL=h**p://www.aldi.com

O16 - DPF: {05CA9FB0-3E3E-4B36-BF41-0E3A5CAA8CD8} (Office Genuine Advantage Validation Tool) - h**p://go.microsoft.com/fwlink/?linkid=58813

O16 - DPF: {56336BCB-3D8A-11D6-A00B-0050DA18DE71} (RdxIE Class) - h**p://207.188.7.150/2575a1141fef8049c006/netzip/RdxIE601_de.cab

O16 - DPF: {6414512B-B978-451D-A0D8-FCFDF33E833C} (WUWebControl Class) - h**p://www.update.microsoft.com/windowsupdate/v6/V5Controls/en/x86/client/wuweb_site.cab?1187679714500

O16 - DPF: {D27CDB6E-AE6D-11CF-96B8-444553540000} (Shockwave Flash Object) - h**p://fpdownload2.macromedia.com/get/shockwave/cabs/flash/swflash.cab

O17 - HKLM\System\CCS\Services\Tcpip\..\{D2196351-87B9-487B-8CCC-02F49E8A6A72}: NameServer = 192.168.217.251

O23 - Service: Apple Mobile Device - Apple, Inc. - C:\Programme\Gemeinsame Dateien\Apple\Mobile Device Support\bin\AppleMobileDeviceService.exe

O23 - Service: InstallDriver Table Manager (IDriverT) - Macrovision Corporation - C:\Programme\Gemeinsame Dateien\InstallShield\Driver\1050\Intel 32\IDriverT.exe

O23 - Service: InCD Helper (InCDsrv) - Nero AG - C:\Programme\Ahead\InCD\InCDsrv.exe

O23 - Service: iPod-Dienst (iPod Service) - Apple Inc. - C:\Programme\iPod\bin\iPodService.exe

O23 - Service: Ereignisprotokoll-Überwachung (LogWatch) - Computer Associates - C:\Programme\CA\SharedComponents\CA_LIC\LogWatNT.exe

O23 - Service: MSCSPTISRV - Sony Corporation - C:\Programme\Gemeinsame Dateien\Sony Shared\AVLib\MSCSPTISRV.exe

O23 - Service: NVIDIA Driver Helper Service (NVSvc) - NVIDIA Corporation - C:\WINDOWS\System32\nvsvc32.exe

O23 - Service: Sony SCSI Helper Service - Sony Corporation - C:\Programme\Gemeinsame Dateien\Sony Shared\Fsk\SonySCSIHelperService.exe

O23 - Service: Sony SPTI Service (SPTISRV) - Sony Corporation - C:\Programme\Gemeinsame Dateien\Sony Shared\AVLib\SPTISRV.exe

O23 - Service: X10 Device Network Service (x10nets) - X10 - C:\PROGRA~1\COMMON~1\X10\Common\x10nets.exe

Ich hoffe ihr könnt damit etwas anfangen. Ich habe übrigens nicht die "angebotene" Datei runtergeladen die automatisch erscheint wenn man auf free-virusscan.com klickt. Das Problem ist höchst wahrscheinlich durch eine Datei aus Rapidshare entstanden.

Schonmal Vielen Dank für eure Mühe

Hallo Markus85LEV und

http://www.mysmilie.de/generator/ablage/156/257.png

Dateien Online überprüfen lassen:

Als erstes versteckte Dateien anzeigen lassen! (nur Punkt 1 durchführen!)

Suche die Seite Virtustotal auf, klicke auf den Button „Durchsuchen“ und suche folgende Datei/Dateien:

Code:

C:\WINDOWS\system32\domie.dll

Lade nun nacheinander jede/alle Datei/Dateien hoch, und warte bis der Scan vorbei ist. (kann bis zu 2 Minuten dauern.)

Poste im Anschluss das Ergebnis der Auswertung, alles abkopieren und in einen Beitrag einfügen.

Wichtig: Auch die Größenangabe sowie den HASH mit kopieren!

Malwarebytes' Anti-Malware

Lies dir die Entfernungsanleitung durch und lass alles entfernen was gefunden wurde:

Download von Malwarebytes' Anti-Malware

Danke für die schnelle Hilfe, ich geh mal der Anleitung nach und melde mich dann gleich wieder.

Ich habe die Auswertung von Virustotal.com:
Der hat anscheinend ganz schön viel gefunden.

Soll ich auf eine Antwort warten oder direkt mit Malwarebytes weiter machen ?

Hier die Auswertung:

Code:

Antivirus Version letzte aktualisierung Ergebnis 

AhnLab-V3 2008.7.29.1 2008.08.01 - 

AntiVir 7.8.1.15 2008.08.01 TR/BHO.fgr.1 

Authentium 5.1.0.4 2008.08.01 W32/Adware-RegBHO-based.1!Maximus 

Avast 4.8.1195.0 2008.08.02 Win32:Adware-gen 

AVG 8.0.0.156 2008.08.01 Adload_r.G 

BitDefender 7.2 2008.08.02 Trojan.Zlob.CQJ 

CAT-QuickHeal 9.50 2008.08.02 Trojan.BHO.fgr 

ClamAV 0.93.1 2008.08.02 Trojan.BHO-3678 

DrWeb 4.44.0.09170 2008.08.02 Trojan.Fakealert.1086 

eSafe 7.0.17.0 2008.07.29 Suspicious File 

eTrust-Vet 31.6.6002 2008.08.02 - 

Ewido 4.0 2008.08.02 - 

F-Prot 4.4.4.56 2008.08.01 W32/Adware-RegBHO-based.1!Maximus 

Fortinet 3.14.0.0 2008.08.02 W32/BHO.FGR!tr 

GData 2.0.7306.1023 2008.08.02 Trojan.Win32.BHO.fgr 

Ikarus T3.1.1.34.0 2008.08.02 Virus.Trojan.Win32.BHO.fgr 

K7AntiVirus 7.10.402 2008.08.01 - 

Kaspersky 7.0.0.125 2008.08.02 Trojan.Win32.BHO.fgr 

McAfee 5352 2008.08.01 Generic.dx 

Microsoft 1.3704 2008.07.28 - 

NOD32v2 3318 2008.08.01 Win32/Adware.IeDefender.NGN 

Norman 5.80.02 2008.08.01 W32/BHO.DXE 

Panda 9.0.0.4 2008.08.02 Adware/WebSearch 

PCTools 4.4.2.0 2008.08.01 Trojan.BHO!sd6 

Prevx1 V2 2008.08.02 Malware Downloader 

Rising 20.55.42.00 2008.08.02 - 

Sophos 4.31.0 2008.08.02 Troj/BHO-GK 

Sunbelt 3.1.1537.1 2008.08.01 Trojan.Win32.BHO.fgr 

Symantec 10 2008.08.02 Downloader.MisleadApp 

TheHacker 6.2.96.391 2008.07.31 - 

TrendMicro 8.700.0.1004 2008.08.01 TROJ_WEBSEARC.AM 

VBA32 3.12.8.2 2008.08.02 Trojan.Win32.BHO.fgr 

ViRobot 2008.8.1.1321 2008.08.01 - 

VirusBuster 4.5.11.0 2008.08.01 - 

Webwasher-Gateway 6.6.2 2008.08.02 Trojan.BHO.fgr.1 
 

weitere Informationen 

File size: 18944 bytes 

MD5...: 13206a7dddc28fbf4143e832741774b6 

SHA1..: e50bca36de1981d51f3dccee275abd6c3069acc1 

SHA256: 5688f59c17a0212b487dde40216221a4959ff3cd6b9f93e7872bd53c0ea57f55 

SHA512: da4ceb8871db675d46407b7ce2a18dc1b442239d592aa1132d26c903986ac6d0

d8205e3a7439a22f7787584a4c6bfc16df19a0a69aebc821a91ead085585c5d4 

PEiD..: - 

PEInfo: PE Structure information
 

( base data )

entrypointaddress.: 0x1000e2e0

timedatestamp.....: 0x4889f27c (Fri Jul 25 15:34:20 2008)

machinetype.......: 0x14c (I386)
 

( 3 sections )

name viradd virsiz rawdsiz ntrpy md5

UPX0 0x1000 0xa000 0x0 0.00 d41d8cd98f00b204e9800998ecf8427e

UPX1 0xb000 0x4000 0x3600 7.78 c93258512e3569975f2c86f57200eded

.rsrc 0xf000 0x1000 0x1000 4.19 599840537c0da9d164080e8955dbc98a
 

( 8 imports ) 

> KERNEL32.DLL: LoadLibraryA, GetProcAddress, VirtualProtect, VirtualAlloc, VirtualFree

> ADVAPI32.dll: RegCloseKey

> GDI32.dll: SelectObject

> MSVCRT.dll: free

> ole32.dll: CoCreateInstance

> OLEAUT32.dll: -

> SHELL32.dll: ShellExecuteA

> USER32.dll: CharNextA
 

( 4 exports ) 

DllCanUnloadNow, DllGetClassObject, DllRegisterServer, DllUnregisterServer

 

Prevx info: http://info.prevx.com/aboutprogramtext.asp?PX5=74E42C7F0090217B4AC000A100103D0019D4A66D 

ThreatExpert info: http://www.threatexpert.com/report.aspx?md5=13206a7dddc28fbf4143e832741774b6 

packers (Kaspersky): PE_Patch.UPX, UPX 

packers (F-Prot): UPX

direkt mit Malwarebytes weiter machen. ;)

Ok, Scan läuft schon.
Nur zum Verständnis: Wozu ist der Scan auf virustotal.com, wenn ich ja jetzt unabhängig davon Malwarebytes laufen lasse ?

Bzw. was sagt virustotal.com letztendlich zu dieser domie.dll Datei ?

Da blicke ich noch nicht ganz durch, ich wollte es aber gerne einigermaßen verstehen :-)

Hi, anscheinend war es wohl die genannte .dll Datei.
Noch eine Frage. Im Bericht steht, dass die Dateien beim reboot entfernt werden. Ich habe die automatische Systemwiederherstellung DEaktiviert.

Ist das richtig, oder soll ich die wieder einschalten ?

Muss ich noch irgendetwas unternehmen ? Vielen Dank auf jedenfall schonmal für die Hilfe !!

Code:

Malwarebytes' Anti-Malware 1.24

Datenbank Version: 1015

Windows 5.1.2600 Service Pack 2
 

16:06:26 02.08.2008

mbam-log-8-2-2008 (16-06-26).txt
 

Scan-Methode: Vollständiger Scan (C:\|D:\|E:\|)

Durchsuchte Objekte: 109175

Laufzeit: 43 minute(s), 22 second(s)
 

Infizierte Speicherprozesse: 0

Infizierte Speichermodule: 1

Infizierte Registrierungsschlüssel: 2

Infizierte Registrierungswerte: 0

Infizierte Dateiobjekte der Registrierung: 0

Infizierte Verzeichnisse: 0

Infizierte Dateien: 1
 

Infizierte Speicherprozesse:

(Keine bösartigen Objekte gefunden)
 

Infizierte Speichermodule:

C:\WINDOWS\system32\domie.dll (Trojan.FakeAlert) -> Delete on reboot.
 

Infizierte Registrierungsschlüssel:

HKEY_CLASSES_ROOT\CLSID\{9873e994-669e-4044-ba64-e5d9ad534a55} (Trojan.FakeAlert) -> Quarantined and deleted successfully.

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Browser Helper Objects\{9873e994-669e-4044-ba64-e5d9ad534a55} (Trojan.FakeAlert) -> Quarantined and deleted successfully.
 

Infizierte Registrierungswerte:

(Keine bösartigen Objekte gefunden)
 

Infizierte Dateiobjekte der Registrierung:

(Keine bösartigen Objekte gefunden)
 

Infizierte Verzeichnisse:

(Keine bösartigen Objekte gefunden)
 

Infizierte Dateien:

C:\WINDOWS\system32\domie.dll (Trojan.FakeAlert) -> Delete on reboot.

Wieder aktivieren und dann sollte es, sofern du keine Probleme mehr hast, gewesen sein. ;)

Perfekt, vielen Dank !! Läuft alles wieder absolut sauber. Also wird mich meine Schwester wohl doch nicht umbringen wollen ;)