Trojaner-Board - Firefox öffnet selbstständig 209.59.195.20

Trojaner-Board (https://www.trojaner-board.de/)

- Log-Analyse und Auswertung (https://www.trojaner-board.de/log-analyse-auswertung/)

- - Firefox öffnet selbstständig 209.59.195.20 (https://www.trojaner-board.de/90816-firefox-oeffnet-selbststaendig-209-59-195-20-a.html)

Firefox öffnet selbstständig 209.59.195.20

hallo,
ich hab seit kurzem das Problem, dass mir Firefox selbstständig Seiten aufmacht.
Mein Ad-Watch blockiert die Seite: 209.59.195.20 Port 80.

Hab bereits mit Ad-Aware, Antivir, Malwarebytes, SuperAntispyware gescannt.
Bekomm es aber leider nicht weg.

Könnt ihr mir helfen?

Danke schon im Voraus!

und wo sind die logs der scans?
bei mbam unter logdateien, bei avira unter reports, bei super antispyware weis ichs im mom nicht, mal durchs programm klicken.

Hab nochmal gescannt, hier die logs.

naja was nützt mir das, ich brauch die mit den funden.

hab jetzt nochmal im abgesichertem Modus gescannt.
nur AnitVir hat eine infizierte Datei gefunden und Ad-Aware blockiert nun eine andere IP.

von svchost.exe blockiert auf 91.212.226.5 Port 443

da aber Ad-Aware leider die Free Version ist, kann ich da keinen log finden.

den von AV häng ich dran...

mit was kann ich sonst noch scannen, bzw fixen?

bitte führe keine eigenständigen scans mehr aus, sonst bringt das alles durcheinander
ootl:
Systemscan mit OTL
download otl:
http://filepony.de/download-otl/

Doppelklick auf die OTL.exe
(user von Windows 7 und Vista: Rechtsklick als Administrator ausführen)
1. Oben findest Du ein Kästchen mit Output. Wähle bitte Minimal Output
2. Hake an "scan all users"
3. Unter "Extra Registry wähle:
"Use Safelist" "LOP Check" "Purity Check"
4. Kopiere in die Textbox:
netsvcs
msconfig
safebootminimal
safebootnetwork
activex
drivers32
%ALLUSERSPROFILE%\Application Data\*.
%ALLUSERSPROFILE%\Application Data\*.exe /s
%APPDATA%\*.
%APPDATA%\*.exe /s
%SYSTEMDRIVE%\*.exe
/md5start
userinit.exe
eventlog.dll
scecli.dll
netlogon.dll
cngaudit.dll
ws2ifsl.sys
sceclt.dll
ntelogon.dll
winlogon.exe
logevent.dll
user32.DLL
iaStor.sys
nvstor.sys
atapi.sys
IdeChnDr.sys
viasraid.sys
AGP440.sys
vaxscsi.sys
nvatabus.sys
viamraid.sys
nvata.sys
nvgts.sys
iastorv.sys
ViPrt.sys
eNetHook.dll
ahcix86.sys
KR10N.sys
nvstor32.sys
ahcix86s.sys
/md5stop
%systemroot%\system32\drivers\*.sys /lockedfiles
%systemroot%\System32\config\*.sav
%systemroot%\*. /mp /s
%systemroot%\system32\*.dll /lockedfiles
CREATERESTOREPOINT
5. Klicke "Scan"
6. 2 reporte werden erstellt:
OTL.Txt
Extras.Txt
poste beide

Hier die logs von OTL.

die OTL log war zu groß für den upload, d.h. zip

Lade
http://filepony.de/download-defogger/
herunter und speichere es auf Deinem Desktop.

Doppelklicke DeFogger, um das Tool zu starten.

• Es öffnet sich das Programm-Fenster des Tools.
• Klick auf den Button Disable, um die CD- Emulation-Treiber zu deaktivieren.
• Klicke Ja, um fortzufahren.
• Wenn die Nachricht 'Finished!' erscheint,
• klicke OK.
• DeFogger wird nun einen Reboot erfragen - klicke OK
• Poste mir das defogger_disable.log hier in den Thread. Keinesfalls die Treiber reaktivieren, bevor es angewiesen wird.

• Starte bitte die OTL.exe.
• Kopiere nun das Folgende in die Textbox.

Code:

:OTL

DRV - (urdi) -- C:\WINDOWS\System32\drivers\cuilg.sys File not found

DRV - (UIUSys) -- C:\WINDOWS\System32\DRIVERS\UIUSYS.SYS File not found

DRV - (SANDRA) -- C:\Programme\SiSoftware\SiSoftware Sandra Lite XII.SP2c\WNt500x86\Sandra.sys File not found

IE - HKLM\SOFTWARE\Microsoft\Internet Explorer\Main,Start Page = http://home.ez-tracks.com/?fromOMB=1

O3 - HKU\S-1-5-21-527237240-1644491937-725345543-1008\..\Toolbar\WebBrowser: (no name) - {D4027C7F-154A-4066-A1AD-4243D8127440} - No CLSID value found

O33 - MountPoints2\{df77395d-bc9f-11dd-b597-001bdc0f8861}\Shell\1\Command - "" = H:\.\recycled\info.exe -- File not found

O33 - MountPoints2\{fb19f098-a33f-11dd-b578-000fb0fd894a}\Shell\AutoRun\command - "" = Run.exe

O33 - MountPoints2\{fb19f098-a33f-11dd-b578-000fb0fd894a}\Shell\AutoRun\command - "" = Run.exe

O33 - MountPoints2\{fb19f098-a33f-11dd-b578-000fb0fd894a}\Shell\open\Command - "" = Run.exe

O34 - HKLM BootExecute: (autocheck autochk *) - File not found

O34 - HKLM BootExecute: (OODBS) - File not found

@Alternate Data Stream - 24 bytes -> C:\WINDOWS:DE70B794E736E69C

@Alternate Data Stream - 104 bytes -> C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\TEMP:DFC5A2B2

:FILES

:Commands

[purity]

[EMPTYFLASH] 

[emptytemp]

[Reboot]

• Schliesse bitte nun alle Programme.
• Klicke nun bitte auf den Fix Button.
• OTL kann gegebenfalls einen Neustart verlangen. Bitte dies zulassen.
• Nach dem Neustart findest Du ein Textdokument dieses posten

bitte erstelle und poste ein combofix log.
Ein Leitfaden und Tutorium zur Nutzung von ComboFix

combofix dauert extrem lange.

warte seit ca 30 min im autoscan auf das verstellen der uhrzeit.
soll ich combofix neustarten?
(schreib von nem anderen rechner, hab also nix geöffnet)

versuchs mal im abgesicherten modus, ist meist f8 bei pc start.

also im abgesicherten modus hats geklappt.

na das sieht doch schon mal gut aus.
avira
http://www.trojaner-board.de/54192-a...tellungen.html
avira 10 so instalieren bzw. dann konfigurieren. wenn du die konfiguration übernommen hast, update das programm.
klicke dann auf "lokaler schutz" "lokale laufwerke" eventuelle funde in quarantäne, log posten.

so der av scan ist jetzt auch durch, hier die log.

2 funde, 2x verschoben

wie läuft der pc jetzt?

bisher hat mir ad-watch nichts gesagt.
sollen die erkannten in quarantäne bleiben?

ja da können sie nichts anrichten.
nutze den atf cleaner
ATF-Cleaner.exe - www.atribune.org
alles anhaken, auch auf dem tap firefox, emty selected, nachfrage bestätigen.
eset online scan.
Free ESET Online Antivirus Scanner
ergebniss posten

Sooo, schaut gut aus.
ESET hat nix mehr gefunden und der fehler scheint auch vorbei behoben zu sein.
ist nicht mehr gekommen.
soll ich noch was machen?
wie bekomm ich den bootmanager mit der wiederherstellungskonsole wieder weg?

öffne arbeitsplatz, c: bot.ini, inhalt posten.

;
;Warning: Boot.ini is used on Windows XP and earlier operating systems.
;Warning: Use BCDEDIT.exe to modify Windows Vista boot options.
;
[boot loader]
timeout=2
default=multi(0)disk(0)rdisk(0)partition(1)\WINDOWS
[operating systems]
C:\CMDCONS\BOOTSECT.DAT="Microsoft Windows Recovery Console" /cmdcons
UnsupportedDebug="do not select this" /debug
multi(0)disk(0)rdisk(0)partition(1)\WINDOWS="Microsoft Windows XP Professional" /NOEXECUTE=OPTIN /FASTDETECT /TUTAG=P9AJRY NOGUIBOOT

du nutzt doch xp...? steht so zu mindest in den logs.
wenn dem so ist, rechtsklick boot.ini
eigenschaften, schreibschutz, haken raus, übernehmen ok
boot.ini öffnen lösche:

C:\CMDCONS\BOOTSECT.DAT="Microsoft Windows Recovery Console" /cmdcons
schließen, nachfrage bestätigen, schreibschutz wieder setzen, also haken rein.

sooo, jetzt ham wirs glaub geschafft :-)

Danke für deine exzellente Hilfe!
Echt TOP!!!
Weiter so!

ok, noch ist was zu tun.
ccleaner, dateien + registry bereinigen.
http://www.trojaner-board.de/51464-a...-ccleaner.html
reinige mit otcleanit:
http://oldtimer.geekstogo.com/OTM.exe
Klicke cleanup!
dein pc wird evtl. neu starten
programm löscht sich selbst, + die verwendeten tools
rechtsklick arbeitsplatz, eigenschaften, systemwiederherstellung, auf allen laufwerken deaktivieren, übernehmen/ok
5 min warten, wieder einschalten.
so, jetzt windows update seite aufsuchen, updates einspielen. automatische updates sind ja hoffendlich aktiev.
jetzt starte defogger und klicke auf enable.
Updates sind für dein system genauso wichtig, wie ein antivirenscanner. Sehr häufig gelangen schädlinge nur aufs system, weil der user veraltete software nutzt.
instaliere die folgenden update checker.
Secunia:
http://www.trojaner-board.de/83959-s...ector-psi.html
und file hippo update checker:
FileHippo.com Update Checker - FileHippo.com
das file Hippo Symbol wird im infobereich neben der uhr auftauchen, mache bitte nen rechtsklick darauf, wähle settings, results, setze einen haken bei "hide beta updates" klicke ok.
dep für alle prozesse:
Datenausführungsverhinderung (DEP)
• "Datenausführungsverhinderung für alle Programme und Dienste mit Ausnahme der ausgewählten einschalten:".
wenn es zu problemen kommen sollte, kann man die betroffenen prozesse aus der Überwachung entfernen.

als adon noscript, es werden dadurch einige scripts (java) zb blockiert, du kannst diese dann frei geben, in dem du auf der seite, die freigegeben werden
soll, nen rechtsklick machst, noscript wählst, und temporär alle berectigungen aufheben wählst, somit werden sie für den besuch aufgehoben, oder alle beschrenkungen
aufheben, somit wird die seite freigegeben. das kann man natürlich wieder rückgängig machen.
http://filepony.de/download-noscript//
adblock+ um werbung zu blockieren:
http://filepony.de/download-adblock_firefox//
hier gibt es noch filterlisten:
Bekannte Filterlisten für Adblock Plus
hier würde ich 2 oder 3 deutsche filter auswählen.
unter sonstiges die malware blocklist.

um das surfen sicherer zu machen, würde ich sandboxie empfehlen.
Download:
Sandboxie Download
anleitung:
drop.io
(als pdf)
wenn du mit dem programm gut auskommst, ist ne lizenz zu empfehlen.
1. es gibt dann noch ein paar mehr funktionen.
2. kommt nach nem monat die anzeige, dass das programm freeware ist, die verschwindet erst nach ner zeit, find ich n bissel nerfig.
3. ist die lizenz lebenslang gültig, kostenpunkt rund 30 €, und du kannst sie auf allen pcs in deinem haushalt einsetzen.
ab sofort also nur noch in der sandbox surfen bitte.
dies geht durch einen klick auf "sandboxed web browser"
autorun für usb deaktivieren:
über diesen weg werden sehr häufig schaddateien verbreitet, schalte die funktion also ab.
Tipparchiv - Autorun/Autoplay gezielt für Laufwerkstypen oder -buchstaben abschalten - WinTotal.de
usb sticks, festplatten etc, sollte man mit panda vaccine impfen:
ANTIMALWARE: Panda USB Vaccine - Download FREE - PANDA SECURITY
so holt man sich keine infektionen ins haus, wenn man mal die festplatte etc verleit.
hake an:
hake an:
run panda usb vaccine automatically when computer boots
automatically vaccine any new insert usb key
enable ntfs file suport
regelmäßige Backups des systems sind sehr wichtig, du weist nie, ob deine festplatte mal kaputt geht.
Acronis True Image 2011 - Festplatten-Backup-Software, Datei-Backup und Disk Imaging, Wiederherstellung von Anwendungseinstellungen, Backup von Musik, Videos, Fotos und Outlook-Mails
außerdem kannst du, bei neuerlichem malware befall das system zurücksetzen.
Das Backup sollte möglichst auf eine externe festplatte etc emacht werden, nicht auf die selbe, wo sich die zu sichernden daten befinden.
Von sehr wichtigen Daten könnte man noch eine zusätzliche Sicherung auf dvds/cds erstellen, dazu könnte man auch wiederbeschreibbare verwenden (rws) falls die sammlung mal erneuert werden soll.
endere alle passwörter.