|
Snap.do und eventuell Folgeinfektionen! Hallo, ich brauche Hilfe! Auf dem PC meiner Tochter ist das Tool Snap.Do ziemlich hartnäckig hereingebrochen. Die potentielle Ursache liegt wahrscheinlich erst zwei Tage zurück und war ein Download bei CHIP. Heruntergeladen wurde das Spiel Icytower. Danach hat sich Snap.Do gemütlich eingerichtet - und lässt sich hartnäckig nicht beseitigen. Im ersten Schritt habe ich die Komponenten von Snap.Do, die sich ordnungsgemäß als Programm in Windows registrieren, wieder deinstalliert. Nachhaltig ist das aber nicht. Im nächsten Schritt habe ich das System auf eine Sicherung zurückgesetzt, die ein paar Tage älter ist, als der Download des oben genannten Spieles. Das zeigt kurzfristig Erfolg - aber nach wenigen Minuten installiert sich Snap.Do erneut. Dabei nutzt Snap.Do konkret wohl auch den Update-Mechanismus der Antivirensoftware. Ich habe hier den begründeten Verdacht, dass AVIRA nicht mehr richtig arbeitet, sondern der Updatemechanismus gezielt genutzt wird, um weitere Malwarekomponenten in Folge der Infektion nachzuladen. Ein Indiz hierfür ist, dass ein normaler Update des Avira nach der Infektion nun so abläuft, dass der Update anstartet, dann einige Minuten auf den Download wartet (noch nicht ungewöhnlich), sich dann aber ein zweites Update-Fenster für AVIRA öffnet, und dieses keinen Abbruch mehr vorsieht. Nach dem Nachladen entsprechend dem zweiten Update-Fenster wird generell ein Neustart des Rechners erwartet - mit der Folge, dass man auch nach einem Löschen von Snap.Do dieses in der Folge erneut installiert bekommt. Es ist also wohl nicht nur eine Infektion mit Snap.Do, sondern dahinter dürfte sich leider mehr verbergen....und das übersteigt mein Wissen bei weitem. In einzelnen ungewöhnlichen Dateien findet man auch Hinweise darauf, dass nicht übliche Software sich im System verewigt hat. Ich wende mich deshalb vertrauensvoll an dieses Forum mit der Bitte um Hilfe. Wie gefordert, als erstes also hier das Log von Malwarebytes, wobei Malwarebytes nichts findet.....ich traue aber hier Malwarebytes auch nicht mehr, da AVIRA auch nichts findet, und der AVIRA-Browserschutz beim Download von Icytower installiert war, genau wie Malwarebytes und die Firewall etc. etc..... Ich fürchte, dass die Infektion ziemlich umfänglich ist.....die normalen Sicherheitsmaßnahmen wie Virenprogramm und den normalen Windows-Schutz inklusive Firewall habe ich eigentlich auch bei dem PC meiner Tochter beachtet.... Kritische Daten sind nicht auf dem PC - eine Datensicherung auf einem externen Medium von allen relevanten Anwendungsdaten existiert. Bewußt halte ich die Software auf dem PC halbwegs aktuell - Chrome ist der üblich genutzte Browser, wiewohl sich Snap.do auch auf dem IE10 eingenistet hat.....und das trotz AVIRA Browserschutz. Chrome ist aktuell! Auch JAVA ist FAST aktuell. Welches konkretes Sicherheitsleck nun genutzt wurde, ist mir derzeit unklar. Also: Hier das Protokoll von Malwarebytes: Malwarebytes Anti-Malware 1.70.0.1100 www.malwarebytes.org Datenbank Version: v2013.03.28.12 Windows 7 Service Pack 1 x64 NTFS Internet Explorer 9.0.8112.16421 Clara :: CLARA-COMPUTER [Administrator] 28.03.2013 23:25:18 mbam-log-2013-03-28 (23-25-18).txt Art des Suchlaufs: Vollständiger Suchlauf (C:\|D:\|E:\|Q:\|) Aktivierte Suchlaufeinstellungen: Speicher | Autostart | Registrierung | Dateisystem | Heuristiks/Extra | HeuristiKs/Shuriken | PUP | PUM Deaktivierte Suchlaufeinstellungen: P2P Durchsuchte Objekte: 458062 Laufzeit: 1 Stunde(n), 31 Minute(n), 9 Sekunde(n) Infizierte Speicherprozesse: 0 (Keine bösartigen Objekte gefunden) Infizierte Speichermodule: 0 (Keine bösartigen Objekte gefunden) Infizierte Registrierungsschlüssel: 0 (Keine bösartigen Objekte gefunden) Infizierte Registrierungswerte: 0 (Keine bösartigen Objekte gefunden) Infizierte Dateiobjekte der Registrierung: 0 (Keine bösartigen Objekte gefunden) Infizierte Verzeichnisse: 0 (Keine bösartigen Objekte gefunden) Infizierte Dateien: 0 (Keine bösartigen Objekte gefunden) (Ende) Zwei Ergänzungen: Bei jedem System-Shutdown und Neustart wird Windows-Update aufgerufen. AVIRA generiert auch dann eine erfolgreiche UPDATE-Meldung, wenn es keine Netzverbindung hat. Gleichzeitig merkt Windows, dass AVIRA veraltet ist. |
Oh oh oh ... !! Hinweis an Mitlesende !! Dieses Thema und die Anweisungen sind nur für diesen speziellen Fall gedacht. Sie könnten andere Computer schwer beschädigen. Öffnet bitte euer eigenes Thema. :hallo: Ich werde dir bei deinem Problem helfen. Die Bereinigung funktioniert nur, wenn du dich an die folgenden Regeln hälst:  Bitte lesen:Regeln für die Bereinigung
Schritt 1: (Erinnerung: Antworte mir erst, wenn du alle Schritte abgearbeitet hast!) Laufwerksemulationen abschalten mit Defogger Downloade Dir bitte defogger von jpshortstuff auf Deinem Desktop und starte es:Schritt 2: Scan mit aswMBR
Schritt 3: Scan mit dem TDSS-Killer Lese bitte folgende Anweisungen genau. Wir wollen hier noch nichts "fixen" sondern nur einen Scan Report sehen. Schritt 4: Scan mit DDS+ (mit attach) Downloade dir bitte DDS (von sUBs) und speichere die Datei auf deinem Desktop. |
Schritt 1:Defogger Code: defogger_disable by jpshortstuff (23.02.10.1)Schritt 2: Scan mit aswMBR Code: aswMBR version 0.9.9.1771 Copyright(c) 2011 AVAST SoftwareCode: 12:54:12.0878 7424 TDSS rootkit removing tool 2.8.16.0 Feb 11 2013 18:50:42Schritt 4:Scan mit DDS+ (mit attach) dds.txt DDS Logfile: Code: DDS (Ver_2012-11-20.01) - NTFS_AMD64 attach.txt Code: .Auffällig war: Das Beenden der Programme habe ich zusätzlich über den Taks-Manager gemacht. Dort war eine Anwendung mit dem schönen Namen BOOT (C:) gestartet. Diese habe ich beendet. Beim späteren Herunterfahren des Laptops kam damit keine Windows-Update-Meldung mehr. Ich habe auch noch kurz über die gestarteten Prozesse geschaut. Ungewöhnlich war für mich, dass sowohl die Prozesse für CHROME als auch für den Virenscanner AVGNT jeweils die zusätzliche Eintragung *32 aufwiesen. Vielleicht ist das aber auch normal - ich habe selbst einen 32-Bit-Rechner unter Win7, der Laptop der Tochter hingegen läuft wohl schon auf 64 Bit. Ansonsten keine Auffälligkeiten. An dieser Stelle schon mal ganz ganz vielen Danke für deine Arbeit!!!! |
Das heißt einfach nur, dass sie im 32 bit -Modus laufen. Also das sieht erstmal unkritisch aus. Schritt 1: (Erinnerung: Antworte mir erst, wenn du alle Schritte abgearbeitet hast!) Deinstallation von Programmen
Schritt 2: AdwCleaner: Werbeprogramme suchen und löschen Downloade Dir bitte  AdwCleaner auf deinen Desktop.
Schritt 3: Scan mit Combofix
|
Schritt 1: Deinstallation von Programmen Toolbars: Ich hatte nur die Toolbar von Avira selbst, die habe ich zunächst nicht gelöscht, weil der den Browserschutz laut AVIRA bieten soll. Das hat dann im Schritt 2 der AdwCleaner gemacht... Weitere Toolsbars waren nicht zu deinstallieren. Als Downloader konnte ich nur den Downloader von Seiko identifizieren - der aber ist Bestandteil der Druckersoftware und mir eigentlich bekannt. Insofern habe ich ihn installiert gelassen. JAVA habe ich komplett deinstalliert - die Bezeichnungen der Version waren für mich nicht eindeutig. Wenn ich JAVA später brauchen sollte, installiere ich es in der neuesten Version nach. Bei der Software ist noch Icy Tower 1.5 installiert - ich habe das zunächst nicht deinstalliert, obwohl ich es unter Verdacht habe, dass es der Auslöser war. Den CCCleaner habe ich deinstalliert. Sonstige Programme aus der Liste sind nicht installiert. Schritt 2: AdwCleaner Der AdwCleaner hat wie oben schon angekündigt die Chrome-Toolbar von Avira als beschädigt gemeldet und gelöscht. In der Folge sind die Chrome-Einstellungen beim nächsten Start des Browsers als beschädigt gemeldet worden. Das ist ok. Der Standard ist ok, und wenn ich später Anpassungen brauche, kann ich die vornehmen. Ein Durchlauf des Programmes reichte aus. Die LOG-Datei: Code: # AdwCleaner v2.115 - Datei am 29/03/2013 um 16:03:20 erstelltSchritt 3: Scan mit Combofix Hatte den Virenscanner über die Taskleiste deaktiviert. Allerdings gibt es ein Registry-Schutz von Avira, der wohl auch dann noch aktiv bleibt. Combofix hat auf die Registry zugegriffen, und die Warnmeldung von AVIRA kam. Laut dieser Meldung wurde verhindert, dass die Registry verändert wurde. Muss ich Combofix also nochmals laufen lassen? Nach der Ausführung von Combofix habe ich den Virenscanner wieder aktiviert. Das LOG-File von Combofix: Code: ComboFix 13-03-28.01 - Clara 29.03.2013 16:22:48.1.4 - x64 |
Ja, sehr schön. Bevor es weiter geht: Besteht das Problem noch? |
Nein, derzeit ist nichts auffälliges mehr zu sehen. In Chrome gibt es die Toolbar ja nicht mehr, die wird auch von Avira angemeckert. Ich soll sie nachinstallieren.... Ansonsten keine Auffälligkeit. |
Ach vergiss Avira... das hat eh keine Ahnung :) Tipps gibts später. Gut! :daumenhoc Soweit ich das sehe haben wir damit alles Schädliche entfernt. Um sicher sein zu können müssen jetzt noch ein paar Kontrollen machen und werden dann deinen Computer noch auf einen sicheren Stand bringen. Da diese Scans jetzt sehr lange dauern können bitte ich dich mir erst wieder zu schreiben, wenn du auch wirklich alles erledigt hast oder Probleme auftreten sollten. Schritt 1: Quick-Scan mit Malwarebytes Downloade Dir bitteSchritt 2: Hinweis: Der Scan kann sehr lange (einige Stunden) dauern! :kaffee: Schritt 3: Scan mit SecurityCheck Downloade Dir bitte  SecurityCheck und:
|
Schritt 1: Quick-Scan mit Malwarebytes Kein Befund. Code: Malwarebytes Anti-Malware 1.70.0.1100Schritt 2: ESET Online Scanner Ein Befund im Download-Ordner - Ramnit.A wurde entdeckt. In diesem Fall ist das aber eine Altlast. Meine Tochter hatte vor mehr als 12 Monaten einen Befall mit Ramnit.A, den ich mit Hilfe des Trojaner-Boards lösen konnte. Die Ursache war der Download eines Spiels. Der Befall wurde beseitigt - das originäre Download-File hingegen nicht. Diese Exe wurde seitdem nie wieder aufgerufen - auch nicht jetzt vor den aktuellen Problemen. Mein Vorschlag: Das gesamte Download-Verzeichnis kann gelöscht werden. Ich würde das tun und den Papierkorb leeren, und ansonsten davon ausgehen, dass kein weiterer Befall mit Ramnit.A vorliegt. Ich bin mir hier aufgrund der Vorgeschichte ziemlich sicher!!!! Code: ESETSmartInstaller@High as downloader log:Code: Results of screen317's Security Check version 0.99.59 Ergänzung: Ich habe die Firewall wieder eingeschaltet. Meinem Avira traue ich noch immer nicht!!!! Obwohl ich den Schutz per Taskleiste ausgeschaltet hatte, hat er ihn wieder (scheinbar) aktiviert. Dazu kommt, dass ein Update ausgelöst wurde, der jetzt auch hartnäckig nach einem Restart des Rechners verlangt. Ich würde den AVIRA gerne deinstallieren. Danach könnte ich eine aktuelle Version von AVIRA oder einem anderen Virenscanner aufsetzen - aber ich mache hier erst mal nichts, und warte die Vorschläge ab. Ich sage im Moment mal schon Danke! Ich wünsche ein frohes Osterfest. Ich bin selbst über Ostern nur bedingt erreichbar - und auf ein oder zwei Tage kommt es beim Rechner der Tochter nicht an. Noch eine Anmerkung: Ich habe auch meinen Rechner im selben Netz wie den meiner Tochter. Macht es Sinn, meinen Rechner nach der Analyse des Laptops der Tochter einmal quer zu checken? Bis dato konnte ich auf meinem Laptop noch nichts auffälliges feststellen - aber im Moment bin ich dann doch etwas verunsichert - und von meinem Rechner mache ich dann doch mehr, was weh tun könnte, wenn es gehackt wäre..... Noch ein Punkt: Ich habe seit ca. 1 Monat Probleme mit meinem Provider. Meine Internetverbindung (im Router) bricht immer wieder ab. Teilweise im 5-Minuten Rhythmus, teilweise geht auch mal 2-3 Stunden gar nichts. Am Dienstag misst nun ein Techniker die Leitungen aus.....ich hatte deshalb größte Bedenken, dass ich die Online-Scans gar nicht machen kann. Merkwürdiger Fakt ist aber, dass entgegen dem Verhalten der letzten Tage nun die Internetleitung seit 17:52 Uhr heute nachmittag scheinbar stabil ist. Ist das Zufall? Oder wäre denkbar, dass ein Problem auf dem Rechner meiner Tochter bis zu unserem Router durchschlägt? Der Techniker kommt so oder so...für eine Einschätzung wäre ich dennoch dankbar. In der Tendenz bin ich eher der Meinung, dass es keinen Zusammenhang zwischen den Problemen am Laptop meiner Tochter und den Problemen mit der Leitung gibt - halte es eher für Zufall. Die Meldungen der Fritz-Box klingen eher nach einem Technischen Problem mit der Leitung....ein synchronisierungsproblem. Ich werde es im Auge behalten..... Grüße und Danke Atue Update 30.03. Alles zurück auf Anfang. Snap.do ist wieder da. Hat sich erneut installiert. Ich war nur auf dem trojaner-board....also schlummerte er wahrscheinlich noch irgendwo im Hintergrund.....eventuell doch beim AVIRA, der ja nicht deinstalliert war und gestern dann wohl noch seinen Update gemacht hat???? |
Du bastelst dir da zwar was schönes zusammen aber deine Bedenken kann ich zerstreuen. Also fein. Schritt 1: (Erinnerung: Antworte mir erst, wenn du alle Schritte abgearbeitet hast!) Deinstalliere Avira
Schritt 2: Installiere Avast.
Schritt 3: AdwCleaner: Werbeprogramme suchen und löschen Downloade Dir bitte AdwCleaner auf deinen Desktop.
|
Schritt 1: Deinstalliere Avira erledigt! Schritt 2: Installiere Avast. erledigt. Schritt 3: AdwCleaner: Werbeprogramme suchen und löschen Code: # AdwCleaner v2.115 - Datei am 30/03/2013 um 12:57:34 erstelltMag sein, dass der Verdacht gegen Avira nicht wirklich richtig war. Ich konnte halt beobachten, dass auf zwei nahezu identisch installierten Rechnern einmal Avira ein Update mit 3 Dateien macht (der wahrscheinlich saubere), während er auf diesem infizierten Rechner immer wieder neu 135 Dateien upgedatet hatte.... Und die erneute Infektion mit snap.do war halt auch präsent.... Jetzt also mal mit AVAST! |
Das ist WERBUNG und keine Infektion! Bitte Schluß mit der Panik! Siehst du jetzt noch Spuren von Snap? Wenn ja in allen Browsern oder nur in einem? |
Alle Browser (Chrome und IE9) sind ohne Befund |
Gut! :daumenhoc Soweit ich das sehe haben wir damit alles Schädliche entfernt. Um sicher sein zu können müssen jetzt noch ein paar Kontrollen machen und werden dann deinen Computer noch auf einen sicheren Stand bringen. Da diese Scans jetzt sehr lange dauern können bitte ich dich mir erst wieder zu schreiben, wenn du auch wirklich alles erledigt hast oder Probleme auftreten sollten. Schritt 1: Quick-Scan mit Malwarebytes Downloade Dir bitteSchritt 2: Hinweis: Der Scan kann sehr lange (einige Stunden) dauern! :kaffee: Schritt 3: Scan mit SecurityCheck Downloade Dir bitte SecurityCheck und:
|
Hallo, benötigst Du noch weiterhin Hilfe ? Sollte ich innerhalb der nächsten 24 Stunden keine Antwort von dir erhalten, werde ich dein Thema aus meinen Abos nehmen und bekomme dadurch keine Nachricht über neue Antworten. Das Verschwinden der Symptome bedeutet nicht, dass dein System schon sauber ist |
| Alle Zeitangaben in WEZ +1. Es ist jetzt 10:16 Uhr. |
Copyright ©2000-2025, Trojaner-Board
