Trojaner-Board - Google-Links führen zu Werbeseiten

Trojaner-Board (https://www.trojaner-board.de/)

- Log-Analyse und Auswertung (https://www.trojaner-board.de/log-analyse-auswertung/)

- - Google-Links führen zu Werbeseiten (https://www.trojaner-board.de/92830-google-links-fuehren-werbeseiten.html)

Bitte lasse die Dateien aus der Code-Box bei Virustotal überprüfen

Code:

c:\windows\system32\wininet.dll

c:\windows\system32\drivers\t3.sys

c:\windows\system32\drivers\t3filt.sys

Also gehe wie hier beschrieben vor:

Öffne diese Webseite: virustotal
Klicke auf "Durchsuchen"
Suche die Datei auf deinem Rechner--> Doppelklick auf die zu prüfende Datei (oder kopiere den Inhalt ab aus der Codebox)
"Senden der Datei"
Warte, bis der Scandurchlauf aller Virenscanner beendet ist
Auf "Filter" klicken
dann auf "Ergebnisse"
das Ergebnis (wie Du es bekommst )
komplett markieren und hier rein kopieren

Sollte die Datei als schädlich erkannt werden bitte noch nicht entfernen

Code:

File name: wininet.dll

Submission date: 2010-12-13 11:40:19 (UTC)

Current status: queued queued analysing finished
 
 

Result: 0/ 43 (0.0%)

 VT Community
 

not reviewed

 Safety score: -  

Compact Print results Antivirus Version Last Update Result 

AhnLab-V3 2010.12.13.01 2010.12.12 - 

AntiVir 7.10.15.2 2010.12.13 - 

Antiy-AVL 2.0.3.7 2010.12.13 - 

Avast 4.8.1351.0 2010.12.13 - 

Avast5 5.0.677.0 2010.12.13 - 

AVG 9.0.0.851 2010.12.13 - 

BitDefender 7.2 2010.12.13 - 

CAT-QuickHeal 11.00 2010.12.13 - 

ClamAV 0.96.4.0 2010.12.13 - 

Command 5.2.11.5 2010.12.13 - 

Comodo 7045 2010.12.13 - 

DrWeb 5.0.2.03300 2010.12.13 - 

Emsisoft 5.1.0.1 2010.12.13 - 

eSafe 7.0.17.0 2010.12.09 - 

eTrust-Vet 36.1.8037 2010.12.13 - 

F-Prot 4.6.2.117 2010.12.13 - 

F-Secure 9.0.16160.0 2010.12.13 - 

Fortinet 4.2.254.0 2010.12.13 - 

GData 21 2010.12.13 - 

Ikarus T3.1.1.90.0 2010.12.13 - 

Jiangmin 13.0.900 2010.12.13 - 

K7AntiVirus 9.72.3219 2010.12.11 - 

Kaspersky 7.0.0.125 2010.12.13 - 

McAfee 5.400.0.1158 2010.12.13 - 

McAfee-GW-Edition 2010.1C 2010.12.13 - 

Microsoft 1.6402 2010.12.13 - 

NOD32 5698 2010.12.13 - 

Norman 6.06.12 2010.12.13 - 

nProtect 2010-12-13.01 2010.12.13 - 

Panda 10.0.2.7 2010.12.12 - 

PCTools 7.0.3.5 2010.12.13 - 

Prevx 3.0 2010.12.13 - 

Rising 22.77.06.03 2010.12.13 - 

Sophos 4.60.0 2010.12.13 - 

SUPERAntiSpyware 4.40.0.1006 2010.12.12 - 

Symantec 20101.3.0.103 2010.12.13 - 

TheHacker 6.7.0.1.099 2010.12.13 - 

TrendMicro 9.120.0.1004 2010.12.13 - 

TrendMicro-HouseCall 9.120.0.1004 2010.12.13 - 

VBA32 3.12.14.2 2010.12.13 - 

VIPRE 7630 2010.12.13 - 

ViRobot 2010.12.13.4198 2010.12.13 - 

VirusBuster 13.6.90.0 2010.12.13 - 

Additional informationShow all  

MD5   : 41e62e6aa4d4c03322467fb0d2d29967 

SHA1  : 908c7b34d3f10bdcd4d3183e1a906e9f32ba8e64 

SHA256: e337b2b10a3e152e139c851c46103c336a3c8f263c951d2ebd422d748768ac4d

Code:

File name: t3.sys

Submission date: 2010-12-13 11:51:08 (UTC)

Current status: queued (#6) queued (#6) analysing finished
 
 

Result: 0/ 43 (0.0%)

 VT Community
 

not reviewed

 Safety score: -  

Compact Print results Antivirus Version Last Update Result 

AhnLab-V3 2010.12.13.01 2010.12.12 - 

AntiVir 7.10.15.2 2010.12.13 - 

Antiy-AVL 2.0.3.7 2010.12.13 - 

Avast 4.8.1351.0 2010.12.13 - 

Avast5 5.0.677.0 2010.12.13 - 

AVG 9.0.0.851 2010.12.13 - 

BitDefender 7.2 2010.12.13 - 

CAT-QuickHeal 11.00 2010.12.13 - 

ClamAV 0.96.4.0 2010.12.13 - 

Command 5.2.11.5 2010.12.13 - 

Comodo 7045 2010.12.13 - 

DrWeb 5.0.2.03300 2010.12.13 - 

Emsisoft 5.1.0.1 2010.12.13 - 

eSafe 7.0.17.0 2010.12.09 - 

eTrust-Vet 36.1.8037 2010.12.13 - 

F-Prot 4.6.2.117 2010.12.13 - 

F-Secure 9.0.16160.0 2010.12.13 - 

Fortinet 4.2.254.0 2010.12.13 - 

GData 21 2010.12.13 - 

Ikarus T3.1.1.90.0 2010.12.13 - 

Jiangmin 13.0.900 2010.12.13 - 

K7AntiVirus 9.72.3219 2010.12.11 - 

Kaspersky 7.0.0.125 2010.12.13 - 

McAfee 5.400.0.1158 2010.12.13 - 

McAfee-GW-Edition 2010.1C 2010.12.13 - 

Microsoft 1.6402 2010.12.13 - 

NOD32 5698 2010.12.13 - 

Norman 6.06.12 2010.12.13 - 

nProtect 2010-12-13.01 2010.12.13 - 

Panda 10.0.2.7 2010.12.12 - 

PCTools 7.0.3.5 2010.12.13 - 

Prevx 3.0 2010.12.13 - 

Rising 22.77.06.03 2010.12.13 - 

Sophos 4.60.0 2010.12.13 - 

SUPERAntiSpyware 4.40.0.1006 2010.12.12 - 

Symantec 20101.3.0.103 2010.12.13 - 

TheHacker 6.7.0.1.099 2010.12.13 - 

TrendMicro 9.120.0.1004 2010.12.13 - 

TrendMicro-HouseCall 9.120.0.1004 2010.12.13 - 

VBA32 3.12.14.2 2010.12.13 - 

VIPRE 7630 2010.12.13 - 

ViRobot 2010.12.13.4198 2010.12.13 - 

VirusBuster 13.6.90.0 2010.12.13 - 

Additional informationShow all  

MD5   : 3cc59343b63e210df8bc589442719c5e 

SHA1  : 16c7e7056af0af8fc10b1d4aa79fff511848e52f 

SHA256: c62cc16b425ead4dce915bc727cf5a61c1f04e840b7245796527674367e2fd97

hat ebenfalls nichts ergeben:

Code:

File name: t3filt.sys

Submission date: 2010-12-13 11:52:35 (UTC)

Current status: queued (#2) queued (#2) analysing finished
 
 

Result: 0/ 43 (0.0%)

 VT Community
 

not reviewed

 Safety score: -  

Compact Print results Antivirus Version Last Update Result 

AhnLab-V3 2010.12.13.01 2010.12.12 - 

AntiVir 7.10.15.2 2010.12.13 - 

Antiy-AVL 2.0.3.7 2010.12.13 - 

Avast 4.8.1351.0 2010.12.13 - 

Avast5 5.0.677.0 2010.12.13 - 

AVG 9.0.0.851 2010.12.13 - 

BitDefender 7.2 2010.12.13 - 

CAT-QuickHeal 11.00 2010.12.13 - 

ClamAV 0.96.4.0 2010.12.13 - 

Command 5.2.11.5 2010.12.13 - 

Comodo 7045 2010.12.13 - 

DrWeb 5.0.2.03300 2010.12.13 - 

Emsisoft 5.1.0.1 2010.12.13 - 

eSafe 7.0.17.0 2010.12.09 - 

eTrust-Vet 36.1.8037 2010.12.13 - 

F-Prot 4.6.2.117 2010.12.13 - 

F-Secure 9.0.16160.0 2010.12.13 - 

Fortinet 4.2.254.0 2010.12.13 - 

GData 21 2010.12.13 - 

Ikarus T3.1.1.90.0 2010.12.13 - 

Jiangmin 13.0.900 2010.12.13 - 

K7AntiVirus 9.72.3219 2010.12.11 - 

Kaspersky 7.0.0.125 2010.12.13 - 

McAfee 5.400.0.1158 2010.12.13 - 

McAfee-GW-Edition 2010.1C 2010.12.13 - 

Microsoft 1.6402 2010.12.13 - 

NOD32 5698 2010.12.13 - 

Norman 6.06.12 2010.12.13 - 

nProtect 2010-12-13.01 2010.12.13 - 

Panda 10.0.2.7 2010.12.12 - 

PCTools 7.0.3.5 2010.12.13 - 

Prevx 3.0 2010.12.13 - 

Rising 22.77.06.03 2010.12.13 - 

Sophos 4.60.0 2010.12.13 - 

SUPERAntiSpyware 4.40.0.1006 2010.12.12 - 

Symantec 20101.3.0.103 2010.12.13 - 

TheHacker 6.7.0.1.099 2010.12.13 - 

TrendMicro 9.120.0.1004 2010.12.13 - 

TrendMicro-HouseCall 9.120.0.1004 2010.12.13 - 

VBA32 3.12.14.2 2010.12.13 - 

VIPRE 7630 2010.12.13 - 

ViRobot 2010.12.13.4198 2010.12.13 - 

VirusBuster 13.6.90.0 2010.12.13 - 

Additional informationShow all  

MD5   : d0591e1226c3ca2c982060df5bde3200 

SHA1  : f21cd1f2c02a5f49bb6fead45dbfd4b0434813fa 

SHA256: dc8af8ab718c7c74cfec563bc92a6765839f18456a2d119b3f833b5d8a50d5ba

Also wir gehen zurück zu Deinem Router. Ich gehe davon aus, dass dort das Problem liegt.

Lass einmal die IP vom PC automatisch ermittelt.
Zudem schaue nach, welchen DNS-Server im Routr eingetragen ist.

Welchen Router hast Du?

Ich habe einen Netgear DG834GBv2.

Was bedeutet "Lass einmal die IP vom PC automatisch ermittelt"? DNS-Server schaue ich mal nach.

START --> Ausführen --> gib ein: CMD

Dann gib ein ipconfig /all und kopiere es wie hier beschrieben

Kannst Du einmal versuchen direkt den PC beim Modem einzustecken OHNE Router dazwischen?

Ist nicht als Administrator ausgeführt, aber das sollte ja egal sein.

Code:

Microsoft Windows XP [Version 5.1.2600]

(C) Copyright 1985-2001 Microsoft Corp.
 

C:\Dokumente und Einstellungen\******>ipconfig /all
 

Windows-IP-Konfiguration
 

        Hostname. . . . . . . . . . . . . : kinderzimmer

        Primäres DNS-Suffix . . . . . . . :

        Knotentyp . . . . . . . . . . . . : Unbekannt

        IP-Routing aktiviert. . . . . . . : Nein

        WINS-Proxy aktiviert. . . . . . . : Nein
 

Ethernetadapter Drahtlose Netzwerkverbindung:
 

        Verbindungsspezifisches DNS-Suffix:

        Beschreibung. . . . . . . . . . . : 802.11g Wireless LAN PCI Card

        Physikalische Adresse . . . . . . : 00-12-0E-30-6C-7D

        DHCP aktiviert. . . . . . . . . . : Ja

        Autokonfiguration aktiviert . . . : Ja

        IP-Adresse. . . . . . . . . . . . : 192.168.0.5

        Subnetzmaske. . . . . . . . . . . : 255.255.255.0

        Standardgateway . . . . . . . . . : 192.168.0.1

        DHCP-Server . . . . . . . . . . . : 192.168.0.1

        DNS-Server. . . . . . . . . . . . : 213.109.68.118

                                            213.109.77.60

        Lease erhalten. . . . . . . . . . : Montag, 13. Dezember 2010 12:12:46

        Lease läuft ab. . . . . . . . . . : Dienstag, 14. Dezember 2010 12:12:46
 
 

Ethernetadapter LAN-Verbindung:
 

        Medienstatus. . . . . . . . . . . : Es besteht keine Verbindung

        Beschreibung. . . . . . . . . . . : Realtek RTL8139/810x Family Fast Eth

ernet NIC

        Physikalische Adresse . . . . . . : 00-16-76-42-F3-5D
 

C:\Dokumente und Einstellungen\******>

Hast Du den Router so geresetet:

Zitat:

Drücken Sie den Reset-Knopf auf der Rückseite des Geräts für mindestens 15 Sekunden. Der Resetknopf versteckt sich bei Routern von Netgear gerne zwischen den Lüftungsschlitzen an der Rückseite. Eventuell müssen Sie ein wenig suchen. Nach dem Zurücksetzen haben die meisten Netgears die IP-Adresse 192.168.0.1. Verbinden Sie sich per LAN und geben die IP-Adresse in Ihren Browser ein. Die Anmeldedaten bestanden bei älteren Netgears oft aus dem Benutzernamen “admin” mit Passwort “1234” oder “admin” und “password” (jeweils ohne ”).

Ja, eigentlich schon. Aber ich kann es ja zur Sicherheit nochmal machen und melde mich dann nochmal, ob sich etwas geändert hat.

Ja aber mach noch folgendes:
Gehe zu Eigenschaften von Netzwerkadapter --> Internetprotokoll TCP/IP --> Erweitert. Nimm hier die DNS Server raus.

Die DNS-Server sthen nicht in den Eigenschaften des Internetprotokolls drin. Die habe ich in den Router eingetragen, da die in der Konfigurationsanleitung für einen T-Online/T-Home-Anschluss standen. Aber davon mal abgesehen: Ich habe gerade mal einige Minuten nur Links geöffnet und kann derzeit keine Probleme feststellen :-). Ich werde das jetzt den Nachmittag mal beobachten...Wäre schön, wenn es was gebracht hätte.

Zitat:

Zitat von ABM12 (Beitrag 598435)

Die habe ich in den Router eingetragen, da die in der Konfigurationsanleitung für einen T-Online/T-Home-Anschluss standen.

Diese DNS-Server (=> 213.109.68.118 und 213.109.77.60) standen sicher in keiner Anleitung der Deutschen Telekom.
In der Regel muss bei halbwes aktuellen SOHO-Routern kein DNS-Server (bei dynamischen IP-Adresse) von Hand eingetragen werden. Die werden automatisch mit der IP-Adresse dem Router mitgeteilt.

@ Swisstreasure: Ich habe den Reset nochmal wiederholt und bisher scheint es mir so, als ob dies das Problem behoben hat. Obwohl mich das verwundern würde, weil ich beim lezten mal eigentlich genauso vergegangen bin...Mal abwarten.

@ Shadow: Also sollte ich die DNS-Server-Einstellungen im Router beser auf automatisch zuweiesen stellen?

Mach noch einmal ein IPCONFIG /ALL und poste es hier.

Code:

Microsoft Windows XP [Version 5.1.2600]

(C) Copyright 1985-2001 Microsoft Corp.
 

C:\Dokumente und Einstellungen\******>ipconfig /all
 

Windows-IP-Konfiguration
 

        Hostname. . . . . . . . . . . . . : kinderzimmer

        Primäres DNS-Suffix . . . . . . . :

        Knotentyp . . . . . . . . . . . . : Unbekannt

        IP-Routing aktiviert. . . . . . . : Nein

        WINS-Proxy aktiviert. . . . . . . : Nein
 

Ethernetadapter Drahtlose Netzwerkverbindung:
 

        Verbindungsspezifisches DNS-Suffix:

        Beschreibung. . . . . . . . . . . : 802.11g Wireless LAN PCI Card

        Physikalische Adresse . . . . . . : 00-12-0E-30-6C-7D

        DHCP aktiviert. . . . . . . . . . : Ja

        Autokonfiguration aktiviert . . . : Ja

        IP-Adresse. . . . . . . . . . . . : 192.168.0.3

        Subnetzmaske. . . . . . . . . . . : 255.255.255.0

        Standardgateway . . . . . . . . . : 192.168.0.1

        DHCP-Server . . . . . . . . . . . : 192.168.0.1

        DNS-Server. . . . . . . . . . . . : 194.25.2.129

                                            212.185.252.201

        Lease erhalten. . . . . . . . . . : Montag, 13. Dezember 2010 17:07:11

        Lease läuft ab. . . . . . . . . . : Dienstag, 14. Dezember 2010 17:07:11
 
 

Ethernetadapter LAN-Verbindung:
 

        Medienstatus. . . . . . . . . . . : Es besteht keine Verbindung

        Beschreibung. . . . . . . . . . . : Realtek RTL8139/810x Family Fast Eth

ernet NIC

        Physikalische Adresse . . . . . . : 00-16-76-42-F3-5D
 

C:\Dokumente und Einstellungen\******>

Sieht doch gut aus :) Also schau mal wies läuft. Auch auf dem anderen Rechner.

Also bis jetzt ist alles in Ordnung :-), also keine Umleitungen und Pop-ups mehr. Wie das auf dem anderen Rechner aussieht, soll derjenige testen, der ihn auch benutzt, aber ich bin guter Dinge.

Schon mal vielen vielen Dank, ich werde morgen nochmal berichten und hoffe, ich kann Gutes sagen!

Ok, Melde Dich in jedem Fall. Wir sind noch nicht durch :)

So...ich habe das jetzt mal einen Tag beobachtet und mir auch vom anderen Rechner berichten lassen und wir können keine Probleme mehr feststellen.

Das hört man doch gerne :)

Schritt 1

Combofix deinstallieren

Bitte vor der folgenden Aktion wieder temporär Antivirus-Programm, evtl. vorhandenes Skript-Blocking (Norton) und Anti-Malware Programme deaktivieren.

Start => Ausführen (bei Vista (Windows-Taste + R) => dort reinschreiben ComboFix.exe /u => Enter drücken - damit wird Combofix komplett entfernt und der Cache der Systemwiederherstellung geleert, damit auch daraus die Schädlinge verschwinden. Es wird ein neuer Systemwiederherstellungspunkt erstellt. Gleichzeitig setzt Combofix die Zeiteinstellungen wieder auf die Ursprungseinstellungen, und setzt die Systemeinstellungen wieder so zurück, dass Dateierweiterungen und Systemdateien versteckt sind, was Du bei Bedarf im Explorer unter Extras => Ordneroptionen aber wieder ändern bzw. Deinen persönlichen Vorlieben entsprechend anpassen kannst.

Hier noch die letzten paar Schritte zur Säuberung Deines Rechners.

Schritt 2

Systemwiederherstellungpunkte leeren

Windows +E Taste drücken --> Rechtsklick über Laufwerk C --> Eigenschaften --> Bereinigen --> weitere Optionen --> Systemwiederherstellung und Schattenkopien bereinigen.

Schritt 3

Tool CleanUp

Starte bitte die OTL.exe.
Klicke nun auf den Bereinigung Button. Dies wird die meisten Tools und Logfiles entfernen.
Sollte denoch etwas bestehen bleiben, bitte manuell entfernen sowie den Papierkorb leeren.

Schritt 4

Automatische Updates

Sehen wir nach ob die Updates für Windows sich automatisch downloaden. Das ist der beste Weg um all die Sicherheits- Patches und Fixes zu erhalten.

Windows + R Taste drücken. Kopiere nun folgenden Text in die Kommandozeile

RunDll32.exe shell32.dll,Control_RunDLL wscui.cpl

und klicke auf OK.
Stelle sicher das die automatischen Updates aktiviert sind.

Schritt 5

Um Dich für die Zukunft vor weiteren Infizierungen zu schützen empfehle ich Dir noch ein paar Programme.

SpywareBlaster
Ein Tutorial zur Verwendung findest Du Hier
MalwareBytes Anti Malware
Dies ist eines der besten Anti-Malware Tools auf dem Markt. Es ist ein On- Demond Scan Tool welches viele aktuelle Malware erkennt und auch entfernt.
Update das Tool und lass es einmal in der Woche laufen. Die Kaufversion biete zudem noch einen Hintergrundwächter.
Ein Tutorial zur Verwendung findest Du hier.
Hinweis: MBAM ersetzt keine Anti- Viren- Software.
Temp File Cleaner
TFC ist ein wirklich starkes Tool zum entfernen von Temp Dateien vom IE und WIndows, leert den Papierkorb und noch viel mehr.
Ausserdem hilft es Deinen Computer zu beschleunigen.
Du kannst Dir TFC ( by OldTimer ) hier downloaden.
MVPs hosts file
Ein Tutorial findest Du hier. Leider habe ich bis jetzt kein deutschsprachiges gefunden.
Halte Dein System aktuell
Ich kann gar nicht oft genug betonen, wie wichtig es ist, dass der PC auf dem aktuellsten Stand der Dinge ist.
Es werden oft genug Sicherheitslücken in Windows eigenen Anwendungen gefunden. Diese "Löcher" gehören entfernt, weil Angreifer diese womöglich nutzen um unauthorisiert auf Dein System zu zugreifen.
Jeden zweiten Dienstag im Monat ist Update Tag. Besuche bitte dazu die Microsoft Update Seite.
Halte Deine Software aktuell
Der einfachste Weg dafür ist der Secunia Online Software.

Schritt 6

Tipps für sicheres Surfen

Das sind meine Vorschläge.
Verwende einen alternativen Browser statt den IE.
Ich empfehle Mozilla Firefox.

Für Firefox gibt es verschiedenste AddOns um sicher durch das WWW zu kommen.

NoScript
Dieses AddOn blockt JavaScript, Java and Flash und andere Plugins. Sie werden nur dann ausgeführt wenn Du es bestätigst.
AdblockPlus
Dieses AddOn blockt die meisten Werbung von selbst. Ein Rechtsklick auf den Banner um diesen zu AdBlockPlus hinzu zu fügen reicht und dieser wird nicht mehr geladen.
Es spart ausserdem Downloadkapazität.
WOT (Web of trust)
Dieses AddOn warnt Dich bevor Du eine als schädlich gemeldete Seite besuchst.

Don'ts

Klicke nicht auf alles nur weil es Dich dazu auffordert und schön bunt ist.
verwende keine peer to peer oder Filesharing Software (Emule, uTorrent,..)
Lass die Finger von Cracks, Keygens, Serials oder anderer illegaler Software.
Öffne keine Anhänge von Dir nicht bekannten Emails. Achte vor allem auf die Dateiendung wie zb deinFoto.jpg.exe

Nun bleibt mir nur noch dir viel Spass beim sicheren Surfen zu wünschen.

Hinweis: Bitte gib mir eine kurze Rückmeldung wenn alles erledigt ist und keine Fragen mehr vorhanden sind, so das ich diesen Thread aus meinen Abos löschen kann.

So. Ich habe nun die von dir beschriebenen Schritt erfolgreich ausgeführt. Des Weiteren konnte ich glücklicherweise keine Umleitungen mehr feststellen, weshalb wir das Problem als gelöst ansehen können.

Ich möchte mich nochmal ganz herzlich für die ausführliche und umfangreiche Hilfe bedanken. Revangieren kann ich mich leider nicht, da muss wohl als Trost der Sieg über einen Virus herhalten :-). Ich hoffe, ich muss mich nicht nochmal an dich wenden (natürlich nur, weil das bedeutet, bei mir ist alles in Ordnung)!

Zitat:

Trost der Sieg über einen Virus herhalten

Das ist genau so :) Wieder ein Monster besiegt. Und dieses war nicht klein :)

Frohe Festtage :)

Danke, ebenfalls frohe Festtage!