Trojaner-Board - Googlesuchproblem- werde mit 100k search zu Pornoseiten geleitet

Trojaner-Board (https://www.trojaner-board.de/)

- Plagegeister aller Art und deren Bekämpfung (https://www.trojaner-board.de/plagegeister-aller-art-deren-bekaempfung/)

- - Googlesuchproblem- werde mit 100k search zu Pornoseiten geleitet (https://www.trojaner-board.de/101812-googlesuchproblem-100k-search-pornoseiten-geleitet.html)

Googlesuchproblem- werde mit 100k search zu Pornoseiten geleitet

Guten Abend.
Ich bräuchte einmal Hilfe.
Ich habe genau das gleiche Problem wie in diesem Thread hier beschrieben.
http://www.trojaner-board.de/101544-...rgeleitet.html

Wenn ich bei Google auf eine Suchergebniss klicke, werde ich automatisch auf Pornoseiten oder ähnliches weitergeleitet.
Desweiteren hatte ich bis gerade eben noch das Problem, dass ich direkt nach dem Anmelden (am pc) ein Bluescreen bekommen habe.

Dies konnte ich aber beheben in dem ich im abgesichterten Modus mein Antivirenschutz durchlaufen lies und kürzlich instalierte Programme gelöscht habe( JDownlaoder).

Das Problem mit Google bleibt. Wenn ich direkt ein Link eingeben z.B. Facebook.com werde ich ohne Probleme zu Facebook geleitet.

Mein System:
Windows Xp professional
AMD semprom(tm) Prcessor
3400+
1,8 Ghz, 3 gb Ram

Schonmal Danke.
Mit freundlichen Grüßen
Arne

EDIT: Habe gerade gesehen, dass Avira aus ist und sich nicht aktivieren lässt. Da steht "Dienst Gestoppt" und wenn ich auf "starten" gehe steht da statt "starten" "hilfe" und darauf lässt sich nicht klicken.

Hallo und :hallo:

Bitte routinemäßig einen Vollscan mit malwarebytes machen und Log posten.
Denk daran, dass Malwarebytes vor jedem Scan manuell aktualisiert werden muss!

Falls Logs aus älteren Scans mit Malwarebytes vorhanden sind, bitte auch davon alle posten!

Danach OTL-Custom:

CustomScan mit OTL

Falls noch nicht vorhanden, lade Dir bitte OTL von Oldtimer herunter und speichere es auf Deinem Desktop

Starte bitte die OTL.exe.
Vista und Win7 User mit Rechtsklick "als Administrator starten"
Kopiere nun den Inhalt in die http://billy-oneal.com/Canned%20Spee.../customFix.png Textbox.

Code:

netsvcs

msconfig

safebootminimal

safebootnetwork

activex

drivers32

%ALLUSERSPROFILE%\Application Data\*.

%ALLUSERSPROFILE%\Application Data\*.exe /s

%APPDATA%\*.

%APPDATA%\*.exe /s

%SYSTEMDRIVE%\*.exe

/md5start

wininit.exe

userinit.exe

eventlog.dll

scecli.dll

netlogon.dll

cngaudit.dll

ws2ifsl.sys

sceclt.dll

ntelogon.dll

winlogon.exe

logevent.dll

user32.DLL

iaStor.sys

nvstor.sys

atapi.sys

IdeChnDr.sys

viasraid.sys

AGP440.sys

vaxscsi.sys

nvatabus.sys

viamraid.sys

nvata.sys

nvgts.sys

iastorv.sys

ViPrt.sys

eNetHook.dll

ahcix86.sys

KR10N.sys

nvstor32.sys

ahcix86s.sys

/md5stop

%systemroot%\system32\drivers\*.sys /lockedfiles

%systemroot%\System32\config\*.sav

%systemroot%\*. /mp /s

%systemroot%\system32\*.dll /lockedfiles

CREATERESTOREPOINT

Schliesse bitte nun alle Programme. (Wichtig)
Klicke nun bitte auf den Quick Scan Button.
Klick auf http://billy-oneal.com/Canned%20Spee.../OTL/btnOK.png.
Kopiere nun den Inhalt aus OTL.txt hier in Deinen Thread

so beide Logs sind im Anhang.

Ich musste beide Scans im abgesicherten Modus durchführen, da wenn ich die Programme im normalen Modus geöffnet habe beide direkt blockiert wurden und sich danach nicht mehr öffnen ließen.

Mit freundlichen Grüßen
Arne

ich habe gesehen das ich bei otl die einstellung falsch hatte...
hier jetzt die neue otl datei

Zitat:

Datenbank Version: 7035

Du hast Malwarebytes vorher nicht aktualisiert. Bitte updaten und einen Vollscan machen.

Zitat:

-> No action taken.

Die Funde müssen mit Malwarebytes entfernt waren! Bitte nachholen falls noch nicht getan!

Okay das hol ich noch nach.
Ich kann aber Malware nicht aktualisieren, da ich das Programm nur im abgesicherten Modus starten kann, da jedoch keien Internetverbindung habe....
Kann man sich Irgendwo schon die aktuellste Version runterladen?

Dann probier den abgesicherten Modus mit Netzwerktreibern...

so hat geklappt. Hab maleware einfach aktualisiert ohne es selber zu starten.
Hab leider verpeilt den log zu speichern. Ich dachte der wird automatisch gespeichert....war aber genau der gleiche wie vorher auch nur, dass ich jetzt die 4 Funde gelöscht habe.

Habe danach nochmal OTL laufen lassen. Den log häng ich dran.

Die Logs von Malwarebytes sind im Reiter Logdateien! Alle davon posten!

Gefunden.
HIer sind die beiden Logs. Der erste( der schon gepostet wurde) und der zweite.

Mach einen OTL-Fix, beende alle evtl. geöffneten Programme, auch Virenscanner deaktivieren (!), starte OTL und kopiere folgenden Text in die "Custom Scan/Fixes" Box (unten in OTL): (das ":OTL" muss mitkopiert werden!!!)

Code:

:OTL

IE - HKLM\SOFTWARE\Microsoft\Internet Explorer\Search,SearchAssistant = http://start.facemoods.com/?a=ddrnw&s={searchTerms}&f=4

IE - HKLM\..\URLSearchHook:  - Reg Error: Key error. File not found

IE - HKLM\..\URLSearchHook: {855F3B16-6D32-4fe6-8A56-BBB695989046} - Reg Error: Key error. File not found

IE - HKCU\SOFTWARE\Microsoft\Internet Explorer\Main,Search Bar = 

IE - HKCU\SOFTWARE\Microsoft\Internet Explorer\Main,Search Page = 

IE - HKCU\SOFTWARE\Microsoft\Internet Explorer\Main,Secondary Start Pages = http://start.facemoods.com/?a=ddrnw [binary data]

IE - HKCU\..\URLSearchHook:  - Reg Error: Key error. File not found

FF - prefs.js..CommunityToolbar.SearchFromAddressBarSavedUrl: "data:text/plain,keyword.URL=http://go.web.de/br/moz4_keyurl_search/?su="

FF - prefs.js..browser.search.defaultenginename: "Facemoods Search"

FF - prefs.js..keyword.URL: "http://search.icq.com/search/afe_results.php?ch_id=afex&tb_ver=1.1.9&q="

[2011.06.28 21:20:14 | 000,000,000 | ---D | M] (DVDVideoSoftTB Community Toolbar) -- C:\Dokumente und Einstellungen\arme\Anwendungsdaten\Mozilla\Firefox\Profiles\bvb9fr03.default\extensions\{872b5b88-9db5-4310-bdd0-ac189557e5f5}

[2011.05.08 16:20:18 | 000,000,000 | ---D | M] ("bug489729") -- C:\Dokumente und Einstellungen\arme\Anwendungsdaten\Mozilla\Firefox\Profiles\bvb9fr03.default\extensions\bug489729@alice0775

[2011.03.28 19:23:35 | 000,000,000 | ---D | M] (Conduit Engine) -- C:\Dokumente und Einstellungen\arme\Anwendungsdaten\Mozilla\Firefox\Profiles\bvb9fr03.default\extensions\engine@conduit.com

[2011.03.26 12:26:02 | 000,000,000 | ---D | M] (startup.service) -- C:\Dokumente und Einstellungen\arme\Anwendungsdaten\Mozilla\Firefox\Profiles\bvb9fr03.default\extensions\startup.service@mozilla.com

[2011.07.28 16:09:56 | 000,002,055 | ---- | M] () -- C:\Dokumente und Einstellungen\arme\Anwendungsdaten\Mozilla\Firefox\Profiles\bvb9fr03.default\searchplugins\daemon-search.xml

[2010.01.01 10:00:00 | 000,002,252 | ---- | M] () -- C:\Programme\mozilla firefox\searchplugins\bing.xml

[2010.01.01 10:00:00 | 000,001,153 | ---- | M] () -- C:\Programme\mozilla firefox\searchplugins\eBay-de.xml

[2011.07.28 15:57:18 | 000,002,048 | ---- | M] () -- C:\Programme\mozilla firefox\searchplugins\fcmdSrch.xml

O3 - HKLM\..\Toolbar: (no name) - {DFEFCDEE-CF1A-4FC8-88AD-48514E463B27} - No CLSID value found.

O3 - HKCU\..\Toolbar\WebBrowser: (no name) - {32099AAC-C132-4136-9E9A-4E364A424E17} - No CLSID value found.

O3 - HKCU\..\Toolbar\WebBrowser: (no name) - {DFEFCDEE-CF1A-4FC8-88AD-48514E463B27} - No CLSID value found.

O3 - HKCU\..\Toolbar\WebBrowser: (no name) - {EEE6C35B-6118-11DC-9C72-001320C79847} - No CLSID value found.

O32 - HKLM CDRom: AutoRun - 1

O32 - AutoRun File - [2010.08.16 16:14:26 | 000,000,000 | ---- | M] () - C:\AUTOEXEC.BAT -- [ NTFS ]

O32 - AutoRun File - [2009.10.26 18:45:39 | 000,779,496 | R--- | M] (BioWare) - D:\autorun.exe -- [ UDF ]

O32 - AutoRun File - [2009.10.26 23:21:41 | 000,000,054 | R--- | M] () - D:\autorun.inf -- [ UDF ]

[2011.07.28 16:10:02 | 000,000,000 | ---D | C] -- C:\Dokumente und Einstellungen\arme\Anwendungsdaten\facemoods.com

[2011.07.28 16:09:56 | 000,000,000 | ---D | C] -- C:\Programme\DAEMON Tools Toolbar

[2011.07.04 21:50:55 | 000,000,250 | ---- | C] () -- C:\WINDOWS\tasks\DriverScanner.job

[2010.11.15 20:16:20 | 000,004,990 | ---- | C] () -- C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\mtbjfghn.xbe

[2010.08.19 23:16:33 | 000,003,108 | ---- | C] () -- C:\Dokumente und Einstellungen\arme\Anwendungsdaten\Patch-Master.exe.dat

[2010.08.19 23:12:49 | 000,000,497 | ---- | C] () -- C:\Dokumente und Einstellungen\arme\Anwendungsdaten\Patch-Master.exe.ini

[2010.08.19 23:09:14 | 000,027,892 | ---- | C] () -- C:\Dokumente und Einstellungen\arme\Anwendungsdaten\Patch-Master.exe3.dat

[2010.08.19 23:09:13 | 000,046,342 | ---- | C] () -- C:\Dokumente und Einstellungen\arme\Anwendungsdaten\Patch-Master.exe2.dat

[2010.08.19 23:09:12 | 000,157,763 | ---- | C] () -- C:\Dokumente und Einstellungen\arme\Anwendungsdaten\Patch-Master.exe1.dat

[2010.08.19 23:09:11 | 000,044,756 | ---- | C] () -- C:\Dokumente und Einstellungen\arme\Anwendungsdaten\Patch-Master.exe0.dat

[2011.07.28 16:10:02 | 000,000,000 | ---D | M] -- C:\Dokumente und Einstellungen\arme\Anwendungsdaten\facemoods.com

[2011.03.03 19:46:57 | 000,000,000 | ---D | M] -- C:\Dokumente und Einstellungen\arme\Anwendungsdaten\Gutscheinmieze

:Commands

[purity]

[resethosts]

Klick dann oben links auf den Button Fix!
Das Logfile müsste geöffnet werden, wenn Du nach dem Fixen auf ok klickst, poste das bitte. Evtl. wird der Rechner neu gestartet.

Die mit diesem Script gefixten Einträge, Dateien und Ordner werden zur Sicherheit nicht vollständig gelöscht, es wird eine Sicherheitskopie auf der Systempartition im Ordner "_OTL" erstellt.

getan.
hier der Log

Code:

========== OTL ==========

HKLM\SOFTWARE\Microsoft\Internet Explorer\Search\\SearchAssistant| /E : value set successfully!

Registry value HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Internet Explorer\URLSearchHooks\\ deleted successfully.

Registry value HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Internet Explorer\URLSearchHooks\\{855F3B16-6D32-4fe6-8A56-BBB695989046} deleted successfully.

Registry key HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{855F3B16-6D32-4fe6-8A56-BBB695989046}\ not found.

HKCU\SOFTWARE\Microsoft\Internet Explorer\Main\\Search Bar| /E : value set successfully!

HKCU\SOFTWARE\Microsoft\Internet Explorer\Main\\Search Page| /E : value set successfully!

HKCU\SOFTWARE\Microsoft\Internet Explorer\Main\\Secondary Start Pages| /E : value set successfully!

Registry value HKEY_CURRENT_USER\SOFTWARE\Microsoft\Internet Explorer\URLSearchHooks\\ deleted successfully.

Prefs.js: "data:text/plain,keyword.URL=hxxp://go.web.de/br/moz4_keyurl_search/?su=" removed from CommunityToolbar.SearchFromAddressBarSavedUrl

Prefs.js: "Facemoods Search" removed from browser.search.defaultenginename

Prefs.js: "hxxp://search.icq.com/search/afe_results.php?ch_id=afex&tb_ver=1.1.9&q=" removed from keyword.URL

C:\Dokumente und Einstellungen\arme\Anwendungsdaten\Mozilla\Firefox\Profiles\bvb9fr03.default\extensions\{872b5b88-9db5-4310-bdd0-ac189557e5f5}\searchplugin folder moved successfully.

C:\Dokumente und Einstellungen\arme\Anwendungsdaten\Mozilla\Firefox\Profiles\bvb9fr03.default\extensions\{872b5b88-9db5-4310-bdd0-ac189557e5f5}\modules folder moved successfully.

C:\Dokumente und Einstellungen\arme\Anwendungsdaten\Mozilla\Firefox\Profiles\bvb9fr03.default\extensions\{872b5b88-9db5-4310-bdd0-ac189557e5f5}\META-INF folder moved successfully.

C:\Dokumente und Einstellungen\arme\Anwendungsdaten\Mozilla\Firefox\Profiles\bvb9fr03.default\extensions\{872b5b88-9db5-4310-bdd0-ac189557e5f5}\defaults folder moved successfully.

C:\Dokumente und Einstellungen\arme\Anwendungsdaten\Mozilla\Firefox\Profiles\bvb9fr03.default\extensions\{872b5b88-9db5-4310-bdd0-ac189557e5f5}\components folder moved successfully.

C:\Dokumente und Einstellungen\arme\Anwendungsdaten\Mozilla\Firefox\Profiles\bvb9fr03.default\extensions\{872b5b88-9db5-4310-bdd0-ac189557e5f5}\chrome folder moved successfully.

C:\Dokumente und Einstellungen\arme\Anwendungsdaten\Mozilla\Firefox\Profiles\bvb9fr03.default\extensions\{872b5b88-9db5-4310-bdd0-ac189557e5f5} folder moved successfully.

C:\Dokumente und Einstellungen\arme\Anwendungsdaten\Mozilla\Firefox\Profiles\bvb9fr03.default\extensions\bug489729@alice0775\defaults\preferences folder moved successfully.

C:\Dokumente und Einstellungen\arme\Anwendungsdaten\Mozilla\Firefox\Profiles\bvb9fr03.default\extensions\bug489729@alice0775\defaults folder moved successfully.

C:\Dokumente und Einstellungen\arme\Anwendungsdaten\Mozilla\Firefox\Profiles\bvb9fr03.default\extensions\bug489729@alice0775\chrome folder moved successfully.

C:\Dokumente und Einstellungen\arme\Anwendungsdaten\Mozilla\Firefox\Profiles\bvb9fr03.default\extensions\bug489729@alice0775 folder moved successfully.

C:\Dokumente und Einstellungen\arme\Anwendungsdaten\Mozilla\Firefox\Profiles\bvb9fr03.default\extensions\engine@conduit.com\searchplugin folder moved successfully.

C:\Dokumente und Einstellungen\arme\Anwendungsdaten\Mozilla\Firefox\Profiles\bvb9fr03.default\extensions\engine@conduit.com\META-INF folder moved successfully.

C:\Dokumente und Einstellungen\arme\Anwendungsdaten\Mozilla\Firefox\Profiles\bvb9fr03.default\extensions\engine@conduit.com\lib folder moved successfully.

C:\Dokumente und Einstellungen\arme\Anwendungsdaten\Mozilla\Firefox\Profiles\bvb9fr03.default\extensions\engine@conduit.com\DualPackage folder moved successfully.

C:\Dokumente und Einstellungen\arme\Anwendungsdaten\Mozilla\Firefox\Profiles\bvb9fr03.default\extensions\engine@conduit.com\defaults folder moved successfully.

C:\Dokumente und Einstellungen\arme\Anwendungsdaten\Mozilla\Firefox\Profiles\bvb9fr03.default\extensions\engine@conduit.com\components folder moved successfully.

C:\Dokumente und Einstellungen\arme\Anwendungsdaten\Mozilla\Firefox\Profiles\bvb9fr03.default\extensions\engine@conduit.com\chrome folder moved successfully.

C:\Dokumente und Einstellungen\arme\Anwendungsdaten\Mozilla\Firefox\Profiles\bvb9fr03.default\extensions\engine@conduit.com folder moved successfully.

C:\Dokumente und Einstellungen\arme\Anwendungsdaten\Mozilla\Firefox\Profiles\bvb9fr03.default\extensions\startup.service@mozilla.com folder moved successfully.

C:\Dokumente und Einstellungen\arme\Anwendungsdaten\Mozilla\Firefox\Profiles\bvb9fr03.default\searchplugins\daemon-search.xml moved successfully.

C:\Programme\Mozilla Firefox\searchplugins\bing.xml moved successfully.

C:\Programme\Mozilla Firefox\searchplugins\eBay-de.xml moved successfully.

C:\Programme\Mozilla Firefox\searchplugins\fcmdSrch.xml moved successfully.

Registry value HKEY_LOCAL_MACHINE\Software\Microsoft\Internet Explorer\Toolbar\\{DFEFCDEE-CF1A-4FC8-88AD-48514E463B27} deleted successfully.

Registry key HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{DFEFCDEE-CF1A-4FC8-88AD-48514E463B27}\ not found.

Registry value HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\Toolbar\WebBrowser\\{32099AAC-C132-4136-9E9A-4E364A424E17} deleted successfully.

Registry key HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{32099AAC-C132-4136-9E9A-4E364A424E17}\ not found.

Registry value HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\Toolbar\WebBrowser\\{DFEFCDEE-CF1A-4FC8-88AD-48514E463B27} deleted successfully.

Registry key HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{DFEFCDEE-CF1A-4FC8-88AD-48514E463B27}\ not found.

Registry value HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\Toolbar\WebBrowser\\{EEE6C35B-6118-11DC-9C72-001320C79847} deleted successfully.

Registry key HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{EEE6C35B-6118-11DC-9C72-001320C79847}\ not found.

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Cdrom\\AutoRun|DWORD:1 /E : value set successfully!

C:\AUTOEXEC.BAT moved successfully.

File move failed. D:\autorun.exe scheduled to be moved on reboot.

File move failed. D:\autorun.inf scheduled to be moved on reboot.

C:\Dokumente und Einstellungen\arme\Anwendungsdaten\facemoods.com\facemoods folder moved successfully.

C:\Dokumente und Einstellungen\arme\Anwendungsdaten\facemoods.com folder moved successfully.

C:\Programme\DAEMON Tools Toolbar folder moved successfully.

C:\WINDOWS\tasks\DriverScanner.job moved successfully.

C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\mtbjfghn.xbe moved successfully.

C:\Dokumente und Einstellungen\arme\Anwendungsdaten\Patch-Master.exe.dat moved successfully.

C:\Dokumente und Einstellungen\arme\Anwendungsdaten\Patch-Master.exe.ini moved successfully.

C:\Dokumente und Einstellungen\arme\Anwendungsdaten\Patch-Master.exe3.dat moved successfully.

C:\Dokumente und Einstellungen\arme\Anwendungsdaten\Patch-Master.exe2.dat moved successfully.

C:\Dokumente und Einstellungen\arme\Anwendungsdaten\Patch-Master.exe1.dat moved successfully.

C:\Dokumente und Einstellungen\arme\Anwendungsdaten\Patch-Master.exe0.dat moved successfully.

Folder C:\Dokumente und Einstellungen\arme\Anwendungsdaten\facemoods.com\ not found.

C:\Dokumente und Einstellungen\arme\Anwendungsdaten\Gutscheinmieze folder moved successfully.

========== COMMANDS ==========

C:\WINDOWS\System32\drivers\etc\Hosts moved successfully.

HOSTS file reset successfully

 

OTL by OldTimer - Version 3.2.26.1 log created on 07312011_180557
 

Files\Folders moved on Reboot...

File move failed. D:\autorun.exe scheduled to be moved on reboot.

File move failed. D:\autorun.inf scheduled to be moved on reboot.
 

Registry entries deleted on Reboot...

Bitte nun dieses Tool von Kaspersky ausführen und das Log posten => http://www.trojaner-board.de/82358-t...entfernen.html

Das Tool so einstellen wie unten im Bild angegeben - also beide Haken setzen, auf Start scan klicken und wenn es durch ist auf den Button Report klicken um das Log anzuzeigen. Dieses bitte komplett posten.

http://www.trojaner-board.de/attachm...rnen-start.png

Falls du durch die Infektion auf deine Dokumente/Eigenen Dateien nicht zugreifen kannst, Verknüpfungen auf dem Desktop oder im Startmenü unter "alle Programme" fehlen, bitte unhide ausführen:
Downloade dir bitte unhide.exe und speichere diese Datei auf deinem Desktop.
Starte das Tool und es sollten alle Dateien und Ordner wieder sichtbar sein. ( Könnte eine Weile dauern )
http://www.trojaner-board.de/images/icons/icon4.gif Windows-Vista und Windows-7-User müssen das Tool per Rechtsklick als Administrator ausführen! http://www.trojaner-board.de/images/icons/icon4.gif

so hab das Tool ausgeführt und das gefundene entfernt.

Nach dem Neustart kam dann eine Fehler Meldung von wegen C:\WINDOWS\system32\DRIVERS\netbt.sys kontne nicht richtig ausgeführt werden oder so ähnlich.Fehler beim schreiben.

Hier der Log

Erstell bitte ein neues Log mit dem TDSS-Killer.
Wenn er die Datei nicht wiederherstellen kann, müssen wir das manuell machen.