Tabs mit Werbung öffnen sich in Firefox, AVG erkennt Virus
 

Hallo zusammen,

Dies ist mein erster Post hier, habe zum Glück noch nie Hilfe in Sachen Trojanern gebraucht. Allerdings glaube ich, daß ich mir nun etwas eingefangen habe.
Seit ein paar Tagen öffnen sich in Firefox alle paar Stunden Tabs, es erscheint zuerst eine Adresse im Browser, danach werde ich zu einer anderen Seite weitergeleitet und ich sehe Werbung.
Parallel dazu bekomme ich im 20 Minuten Takt vom AVG Virenscanner eine Trojaner Warnung (svchost.exe ist der Trojaner PSW.Generic8.KK, bzw. SHeur3.ABLN)
Quarantäne, bzw. löschen funktionert nicht, da scheinbar die Datei gar nicht vorhanden zu sein scheint, bzw. sich offenbar ständig neu "tarnt".
Ich wäre über jegliche Hilfe unendlich dankbar und poste zuerst mal ein paar Logfiles:

Malware Bytes:

Malwarebytes' Anti-Malware 1.46
www.malwarebytes.org

Datenbank Version: 4117

Windows 5.1.2600 Service Pack 3
Internet Explorer 6.0.2900.5512

07.06.2010 14:42:28
mbam-log-2010-06-07 (14-42-28).txt

Art des Suchlaufs: Quick-Scan
Durchsuchte Objekte: 115265
Laufzeit: 23 Minute(n), 15 Sekunde(n)

Infizierte Speicherprozesse: 0
Infizierte Speichermodule: 0
Infizierte Registrierungsschlüssel: 1
Infizierte Registrierungswerte: 0
Infizierte Dateiobjekte der Registrierung: 0
Infizierte Verzeichnisse: 0
Infizierte Dateien: 0

Infizierte Speicherprozesse:
(Keine bösartigen Objekte gefunden)

Infizierte Speichermodule:
(Keine bösartigen Objekte gefunden)

Infizierte Registrierungsschlüssel:
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\Notify\cbssreg (Trojan.Agent) -> Quarantined and deleted successfully.

Infizierte Registrierungswerte:
(Keine bösartigen Objekte gefunden)

Infizierte Dateiobjekte der Registrierung:
(Keine bösartigen Objekte gefunden)

Infizierte Verzeichnisse:
(Keine bösartigen Objekte gefunden)

Infizierte Dateien:
(Keine bösartigen Objekte gefunden)


===============================================


Hijack This:

HiJackthis Logfile:
--- --- ---


================================================


OTL:


OTL Logfile:
--- --- ---

Hallo und :hallo:

1.) Pposte bitte das Log von AVG, denn die Pfadangaben der Schädlinge hast Du weggelassen
2.) Malwarebytes war nicht aktuell, bitte updaten und einen Vollscan machen
3.) Das OTL-Log ist unvollständig und die extras.txt fehlt!!

Vielen Dank für die schnelle Antwort.

Zum Thema AVG: Bei einem Scan findet AVG nichts, während ich jedoch den Malwarebytes scan ausgeführt habe, meldete sich AVG dreimal zu Wort:

C:\\WINDOWS\Temp\klcq.tmp\svchost.exe ist der Trojaner PSW.Generic8.KK
Beim öffnen erkannt
Prozessname: C:\\WINDOWS\system32\svchost.exe

C:\\WINDOWS\Temp\jwfj.tmp\svchost.exe ist der Trojaner PSW.Generic8.KK
Beim öffnen erkannt
Prozessname: C:\\WINDOWS\system32\svchost.exe

C:\\WINDOWS\Temp\onlt.tmp\svchost.exe ist der Trojaner PSW.Generic8.KK
Beim öffnen erkannt
Prozessname: C:\\WINDOWS\system32\svchost.exe

Habe jedesmal "in Quarantäne verschieben" gewählt.

=============================================

2. Hier das Logfile der aktualisierten Malwarebytes Version:

Malwarebytes' Anti-Malware 1.46
Malwarebytes

Datenbank Version: 4175

Windows 5.1.2600 Service Pack 3
Internet Explorer 6.0.2900.5512

07.06.2010 16:52:52
mbam-log-2010-06-07 (16-52-52).txt

Art des Suchlaufs: Vollständiger Suchlauf (C:\|)
Durchsuchte Objekte: 187571
Laufzeit: 53 Minute(n), 57 Sekunde(n)

Infizierte Speicherprozesse: 0
Infizierte Speichermodule: 0
Infizierte Registrierungsschlüssel: 0
Infizierte Registrierungswerte: 0
Infizierte Dateiobjekte der Registrierung: 0
Infizierte Verzeichnisse: 2
Infizierte Dateien: 1

Infizierte Speicherprozesse:
(Keine bösartigen Objekte gefunden)

Infizierte Speichermodule:
(Keine bösartigen Objekte gefunden)

Infizierte Registrierungsschlüssel:
(Keine bösartigen Objekte gefunden)

Infizierte Registrierungswerte:
(Keine bösartigen Objekte gefunden)

Infizierte Dateiobjekte der Registrierung:
(Keine bösartigen Objekte gefunden)

Infizierte Verzeichnisse:
C:\Dokumente und Einstellungen\*****\Anwendungsdaten\ATManager (Rogue.ATManager) -> Quarantined and deleted successfully.
C:\Dokumente und Einstellungen\*****\Anwendungsdaten\ATManager\metafiles (Rogue.ATManager) -> Quarantined and deleted successfully.

Infizierte Dateien:
C:\Dokumente und Einstellungen\*****\Anwendungsdaten\ATManager\metafiles\e7e2135bcdfc87179deacdb1cdac8b7a.torrent (Rogue.ATManager) -> Quarantined and deleted successfully.

3. Habe den OTL Log so eingefügt, wie ich ihn bei mir sehen konnte. Eine Datei extras.txt habe ich nicht gefunden. Ich habe, falls ich doch etwas übersehen habe, nochmal einen scan mit OTL gemacht:

OTL Logfile:
OTL EXTRAS Logfile:
--- --- ---

--- --- ---
EDIT:

Sorry, hab hier ein "extras.txt" gefunden, das sollte es sein ;)

OTL Extras logfile created on: 07.06.2010 15:04:06 - Run 1
OTL by OldTimer - Version 3.2.5.3 Folder = C:\Dokumente und Einstellungen\****\Desktop
Windows XP Home Edition Service Pack 3 (Version = 5.1.2600) - Type = NTWorkstation
Internet Explorer (Version = 6.0.2900.5512)
Locale: 00000407 | Country: Deutschland | Language: DEU | Date Format: dd.MM.yyyy

2,00 Gb Total Physical Memory | 1,00 Gb Available Physical Memory | 59,00% Memory free
4,00 Gb Paging File | 3,00 Gb Available in Paging File | 79,00% Paging File free
Paging file location(s): C:\pagefile.sys 2046 4092 [binary data]

%SystemDrive% = C: | %SystemRoot% = C:\WINDOWS | %ProgramFiles% = C:\Programme
Drive C: | 232,88 Gb Total Space | 142,73 Gb Free Space | 61,29% Space Free | Partition Type: NTFS
D: Drive not present or media not loaded
E: Drive not present or media not loaded
F: Drive not present or media not loaded
G: Drive not present or media not loaded
Drive H: | 298,09 Gb Total Space | 209,28 Gb Free Space | 70,21% Space Free | Partition Type: NTFS
I: Drive not present or media not loaded

Computer Name: *****-C204A68EE
Current User Name: *****
Logged in as Administrator.

Current Boot Mode: Normal
Scan Mode: Current user
Company Name Whitelist: Off
Skip Microsoft Files: Off
File Age = 30 Days
Output = Minimal

========== Extra Registry (SafeList) ==========


========== File Associations ==========

[HKEY_LOCAL_MACHINE\SOFTWARE\Classes\<extension>]

[HKEY_CURRENT_USER\SOFTWARE\Classes\<extension>]
.html [@ = FirefoxHTML] -- C:\Programme\Mozilla Firefox\firefox.exe (Mozilla Corporation)

========== Shell Spawning ==========

[HKEY_LOCAL_MACHINE\SOFTWARE\Classes\<key>\shell\[command]\command]
batfile [open] -- "%1" %*
cmdfile [open] -- "%1" %*
comfile [open] -- "%1" %*
exefile [open] -- "%1" %*
htmlfile [edit] -- Reg Error: Key error.
piffile [open] -- "%1" %*
regfile [merge] -- Reg Error: Key error.
scrfile [config] -- "%1"
scrfile [install] -- rundll32.exe desk.cpl,InstallScreenSaver %l (Microsoft Corporation)
scrfile [open] -- "%1" /S
txtfile [edit] -- Reg Error: Key error.
Unknown [openas] -- %SystemRoot%\system32\rundll32.exe %SystemRoot%\system32\shell32.dll,OpenAs_RunDLL %1
Directory [AddToPlaylistVLC] -- "C:\Programme\VideoLAN\VLC\vlc.exe" --started-from-file --playlist-enqueue "%1" ()
Directory [find] -- %SystemRoot%\Explorer.exe (Microsoft Corporation)
Directory [PlayWithVLC] -- "C:\Programme\VideoLAN\VLC\vlc.exe" --started-from-file --no-playlist-enqueue "%1" ()
Folder [open] -- %SystemRoot%\Explorer.exe /idlist,%I,%L (Microsoft Corporation)
Folder [explore] -- %SystemRoot%\Explorer.exe /e,/idlist,%I,%L (Microsoft Corporation)
Drive [find] -- %SystemRoot%\Explorer.exe (Microsoft Corporation)

========== Security Center Settings ==========

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Security Center]
"FirstRunDisabled" = 1
"AntiVirusDisableNotify" = 0
"FirewallDisableNotify" = 0
"UpdatesDisableNotify" = 0
"AntiVirusOverride" = 0
"FirewallOverride" = 0

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Security Center\Monitoring]

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Security Center\Monitoring\AhnlabAntiVirus]

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Security Center\Monitoring\ComputerAssociatesAntiVirus]

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Security Center\Monitoring\KasperskyAntiVirus]

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Security Center\Monitoring\McAfeeAntiVirus]

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Security Center\Monitoring\McAfeeFirewall]

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Security Center\Monitoring\PandaAntiVirus]

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Security Center\Monitoring\PandaFirewall]

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Security Center\Monitoring\SophosAntiVirus]

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Security Center\Monitoring\SymantecAntiVirus]

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Security Center\Monitoring\SymantecFirewall]

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Security Center\Monitoring\TinyFirewall]

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Security Center\Monitoring\TrendAntiVirus]

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Security Center\Monitoring\TrendFirewall]

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Security Center\Monitoring\ZoneLabsFirewall]
"DisableMonitoring" = 1

[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\SharedAccess\Parameters\FirewallPolicy\DomainProfile]

[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\SharedAccess\Parameters\FirewallPolicy\StandardProfile]

========== Authorized Applications List ==========


========== HKEY_LOCAL_MACHINE Uninstall List ==========

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Uninstall]
"{07287123-B8AC-41CE-8346-3D777245C35B}" = Bonjour
"{0C34B801-6AEC-4667-B053-03A67E2D0415}" = Apple Application Support
"{1F1C2DFC-2D24-3E06-BCB8-725134ADF989}" = Microsoft Visual C++ 2008 Redistributable - x86 9.0.30729.4148
"{26A24AE4-039D-4CA4-87B4-2F83216015FF}" = Java(TM) 6 Update 15
"{2ADE2157-7A5E-122C-B51D-EB8A01B15943}" = DeepBurner v1.9.0.228
"{338F08AB-C262-42C7-B000-34DE1A475273}" = Ad-Aware Email Scanner for Outlook
"{350C97B3-3D7C-4EE8-BAA9-00BCB3D54227}" = WebFldrs XP
"{35ED3F83-4BDC-4c44-8EC6-6A8301C7413A}" = McAfee SiteAdvisor
"{6956856F-B6B3-4BE0-BA0B-8F495BE32033}" = Apple Software Update
"{837b34e3-7c30-493c-8f6a-2b0f04e2912c}" = Microsoft Visual C++ 2005 Redistributable
"{9E520B22-546E-4AD3-8958-7D1EB8587AB1}" = Music Transfer Utility Ver.1
"{A3051CD0-2F64-3813-A88D-B8DCCDE8F8C7}" = Microsoft .NET Framework 3.0 Service Pack 2
"{A429C2AE-EBF1-4F81-A221-1C115CAADDAD}" = QuickTime
"{A4810699-E859-43A6-8F40-1743873E72AB}" = Delta
"{AADEA55D-C834-4BCB-98A3-4B8D1C18F4EE}" = Apple Mobile Device Support
"{AC76BA86-7AD7-1031-7B44-A91000000001}" = Adobe Reader 9.1 - Deutsch
"{C09FB3CD-3D0C-3F2D-899A-6A1D67F2073F}" = Microsoft .NET Framework 2.0 Service Pack 2
"{C314CE45-3392-3B73-B4E1-139CD41CA933}" = Microsoft .NET Framework 2.0 Service Pack 2 Language Pack - DEU
"{CAE4E520-4695-4A96-8661-B62FA5FB669E}" = ImageMixer 3 SE Ver.4 Transfer Utility
"{CE2CDD62-0124-36CA-84D3-9F4DCF5C5BD9}" = Microsoft .NET Framework 3.5 SP1
"{D103C4BA-F905-437A-8049-DB24763BBE36}" = Skype™ 4.2
"{D765F1CE-5AE5-4C47-B134-AE58AC474740}" = OpenOffice.org 3.1
"{DA34FE93-5DC5-48E0-ACC8-A5389E05BB51}" = iTunes
"{DED53B0B-B67C-4244-AE6A-D6FD3C28D1EF}" = Ad-Aware
"{E2883E8F-472F-4fb0-9522-AC9BF37916A7}" = Adobe Download Manager
"{E9FFB3AD-90F8-4934-A9BD-5DB61EE232B6}_is1" = Videograbber 5.0
"{ECD03DA7-5952-406A-8156-5F0C93618D1F}" = USB PC Camera-168
"{F333A33D-125C-32A2-8DCE-5C5D14231E27}" = Visual C++ 2008 x86 Runtime - (v9.0.30729)
"{F333A33D-125C-32A2-8DCE-5C5D14231E27}.vc_x86runtime_30729_01" = Visual C++ 2008 x86 Runtime - v9.0.30729.01
"{F701568C-D0C4-4280-810E-49023432426B}_is1" = ReasonExport
"{FC6AAE10-A081-42C7-9CD3-ED1D80C30941}" = ITE IT8212 ATA RAID Controller
"7-Zip" = 7-Zip 4.65
"Ableton Live_is1" = Ableton Live v7.0.2
"Ad-Aware" = Ad-Aware
"Adobe Flash Player ActiveX" = Adobe Flash Player 10 ActiveX
"

Noch ein Versuch zu extras.txt:

Sorry, hab hier ein "extras.txt" gefunden, das sollte es sein ;)

OTL EXTRAS Logfile:
--- --- ---

Ok. Mach bitte nun einen Durchgang mit CF, das Tool nimmt uns viel Arbeit ab:

ComboFix

Ein Leitfaden und Tutorium zur Nutzung von ComboFix

• Lade dir ComboFix hier herunter auf deinen Desktop. Benenne es beim Runterladen um in cofi.exe.

http://saved.im/mtm0nzyzmzd5/cofi.jpg

• Dann folgende Anleitung durchlesen und abarbeiten -> CCleaner Systembereinigung

• Schliesse alle Programme, vor allem dein Antivirenprogramm und andere Hintergrundwächter sowie deinen Internetbrowser.

• Starte cofi.exe von deinem Desktop aus, bestätige die Warnmeldungen, führe die Updates durch (falls vorgeschlagen), installiere die Wiederherstellungskonsole (falls vorgeschlagen) und lass dein System durchsuchen.
  Vermeide es auch während Combofix läuft die Maus und Tastatur zu benutzen.

• Im Anschluss öffnet sich automatisch eine combofix.txt, diesen Inhalt bitte kopieren ([Strg]a, [Strg]c) und in deinen Beitrag einfügen ([Strg]v). Die Datei findest du außerdem unter: C:\ComboFix.txt.

Wichtiger Hinweis:

Combofix darf ausschließlich ausgeführt werden, wenn ein Kompetenzler dies ausdrücklich empfohlen hat!
Es sollte nie auf eigene Initiative hin ausgeführt werden! Eine falsche Benutzung kann ernsthafte Computerprobleme nach sich ziehen und eine Bereinigung der Infektion noch erschweren.

Ok, alles gemacht. Das Logfile sieht dann so aus:

Combofix Logfile:
--- --- ---

Ok. Bitte nun Logs mit GMER und OSAM erstellen und posten. GMER stürzt häufiger ab, wenn das Tool auch beim 2. Mal nicht will, lass es einfach weg und führ nur OSAM aus

GMER konnte ich tatsächlich nicht ohne Absturz zum Scannen bringen. Deshalb leider nur der OSAM Log:

OSAM Logfile:
--- --- ---

If You have questions or want to get some help, You can visit hxxp://forum.online-solutions.ru

Da ich gerade den Namen "Java" im Log lese möchte ich noch folgendes anmerken; ich glaube, daß der ganze Mist anfing mit einem (wohlmöglich getürkten) Java update. Kann leider nicht mehr sagen, auf welcher Seite das war. Nur, daß mich einer der Ersten AVG Warnungen auf eine Datei aufmerksam gemacht hatte, die in irgendeinem Folder mit "Java" ansässig war.

Präzise geht anders, tut mir leid. Vielleicht hilft es aber weiter.

Sieht ok aus. Mach bitte zur Kontrolle Vollscans mit Malwarebytes und SASW und poste die Logs.
Denk dran beide Tools zu updaten vor dem Scan!!

Jetzt ist schon seit gut 3 Stunden kein Popup mehr erschienen. Scheint funktioniert zu haben. Die Tatsache, daß ich keinen Soundkartentreiber mehr habe, sehe ich mal als Kollateralschaden an ;)

So, hier mal noch die letzten Logfiles:

Malwarebytes' Anti-Malware 1.46
www.malwarebytes.org

Datenbank Version: 4175

Windows 5.1.2600 Service Pack 3
Internet Explorer 6.0.2900.5512

08.06.2010 16:42:18
mbam-log-2010-06-08 (16-42-18).txt

Art des Suchlaufs: Vollständiger Suchlauf (C:\|)
Durchsuchte Objekte: 180216
Laufzeit: 53 Minute(n), 12 Sekunde(n)

Infizierte Speicherprozesse: 0
Infizierte Speichermodule: 0
Infizierte Registrierungsschlüssel: 0
Infizierte Registrierungswerte: 0
Infizierte Dateiobjekte der Registrierung: 0
Infizierte Verzeichnisse: 0
Infizierte Dateien: 0

Infizierte Speicherprozesse:
(Keine bösartigen Objekte gefunden)

Infizierte Speichermodule:
(Keine bösartigen Objekte gefunden)

Infizierte Registrierungsschlüssel:
(Keine bösartigen Objekte gefunden)

Infizierte Registrierungswerte:
(Keine bösartigen Objekte gefunden)

Infizierte Dateiobjekte der Registrierung:
(Keine bösartigen Objekte gefunden)

Infizierte Verzeichnisse:
(Keine bösartigen Objekte gefunden)

Infizierte Dateien:
(Keine bösartigen Objekte gefunden)

-------

SUPERAntiSpyware Scan Log
hxxp://www.superantispyware.com

Generated 06/08/2010 at 02:21 PM

Application Version : 4.38.1004

Core Rules Database Version : 5045
Trace Rules Database Version: 2857

Scan type : Complete Scan
Total Scan Time : 00:26:56

Memory items scanned : 533
Memory threats detected : 0
Registry items scanned : 4255
Registry threats detected : 0
File items scanned : 13700
File threats detected : 0

Noch ein kurzes Update: System scheint Virenfrei zu sein, allerdings kann ich DAEMON Tools nicht mehr deinstallieren (Fehlermeldung beim Hochfahren von Windows: Dieses Programm benötigt mindestens Windows 2000 mit installiertem SPTD-Treiber v.1.5.1. Kerneldebugger müsses deaktiviert werden), und die Installation des Treibes meiner Delta 44 Soundkarte lässt sich auch nicht zu Ende führen.

Lässt sich anhand des Logs sagen, was da vielleicht während der Bereinigung gelöscht wurde, was diese Fehler verursachen könnte?

Die Meldung von den Daemon Tools hatte ich so unter XP auch mal bekommen (und der Rechner wurde nicht bereinigt weil keine Infektion vorlag ;) )
Zieh Dir einfach die neue Version von den Daemon Tools und installier's drüber.
Pass beim Setup auf evtl Toolbars und so einen Müll auf!!

Wie siehts im Gerätemanager denn aus wg. der Soundkarte? Wird sie noch angezeigt, evtl mit einem gelben Ausrufezeichen? Wenn ja, mal anklicken, Treiber aktualisieren und ggf. die Treiberdateien manuell angeben (den Pfad mit den inf-Dateien)