Vermutung: AppRound.us Virus nach Installation einer Freeware - VBates Funde
Liebes Support-Team,
diesmal hat es meinen eigenen Rechner erwischt. Vermutlich durch den Banner-Remover für ICQ von murb.com. Die Software ist eigentlich legal und hat die letzten Jahre nichts mitgeliefert. Eine benutzerdefinierte Installation habe ich als Punkt nicht gesehen, normal achte ich darauf mir die Zusätze nicht zu installieren.
Nach der Installation hatte ich mit dem gleichen Datum auch eine Amazon Verknüpfung und der Internet Explorer (ich nutze eigentlich Opera) hat im Text einer mir bekannten Seite lauter Links eingebettet. Einer war für AppRound.us und danach befragte ich mit Opera google. Ich habe nichts angeklickt und gleich in der Softwareverwaltung alles deinstalliert, was vom gleichen Datum (09.03.14) war.
Ich bin auf eure Seite gestoßen und habe diese Schritte vollzogen: http://www.trojaner-board.de/150290-...entfernen.html
Soll ich trotzdem die Schritte zum erstellen eines Threats durchgehen? Dann mache ich das selbstverständlich noch!
Denn nun frage ich mich im nach hinein natürlich, ist mein PC sauber, oder gibt es Reste. Ich würde mich sehr freuen, wenn sich jemand die Log-Files ansehen würde und mir hilft. Malwarebytes: Code:
Malwarebytes Anti-Malware 1.75.0.1300
www.malwarebytes.org
Datenbank Version: v2014.03.09.08
Windows 7 Service Pack 1 x64 NTFS
Internet Explorer 11.0.9600.16518
rilla :: TORUK [Administrator]
09.03.2014 22:26:49
mbam-log-2014-03-09 (22-26-49).txt
Art des Suchlaufs: Quick-Scan
Aktivierte Suchlaufeinstellungen: Speicher | Autostart | Registrierung | Dateisystem | Heuristiks/Extra | HeuristiKs/Shuriken | PUP | PUM
Deaktivierte Suchlaufeinstellungen: P2P
Durchsuchte Objekte: 218092
Laufzeit: 1 Minute(n), 54 Sekunde(n)
Infizierte Speicherprozesse: 1
C:\Program Files\V-bates\ExtensionUpdaterService.exe (PUP.Optional.VbatesHelper.A) -> 2296 -> Löschen bei Neustart.
Infizierte Speichermodule: 0
(Keine bösartigen Objekte gefunden)
Infizierte Registrierungsschlüssel: 10
HKCR\CLSID\{21EAF666-26B3-4a3c-ABD0-CA2F5A326744} (PUP.Optional.VBates) -> Erfolgreich gelöscht und in Quarantäne gestellt.
HKCR\TypeLib\{1D5A4199-956E-49BC-B89F-6A35C57C0D13} (PUP.Optional.VBates) -> Erfolgreich gelöscht und in Quarantäne gestellt.
HKCR\Interface\{A36867C6-302D-49FC-9D8E-1EB037B5F1AB} (PUP.Optional.VBates) -> Erfolgreich gelöscht und in Quarantäne gestellt.
HKCR\Extension.ExtensionHelperObject.1 (PUP.Optional.VBates) -> Erfolgreich gelöscht und in Quarantäne gestellt.
HKCR\Extension.ExtensionHelperObject (PUP.Optional.VBates) -> Erfolgreich gelöscht und in Quarantäne gestellt.
HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Browser Helper Objects\{21EAF666-26B3-4A3C-ABD0-CA2F5A326744} (PUP.Optional.VBates) -> Erfolgreich gelöscht und in Quarantäne gestellt.
HKCU\SOFTWARE\Microsoft\Windows\CurrentVersion\Ext\Settings\{21EAF666-26B3-4A3C-ABD0-CA2F5A326744} (PUP.Optional.VBates) -> Erfolgreich gelöscht und in Quarantäne gestellt.
HKCU\SOFTWARE\Microsoft\Windows\CurrentVersion\Ext\Stats\{21EAF666-26B3-4A3C-ABD0-CA2F5A326744} (PUP.Optional.VBates) -> Erfolgreich gelöscht und in Quarantäne gestellt.
HKLM\SYSTEM\CurrentControlSet\Services\V-bates Updater (PUP.Optional.VbatesHelper.A) -> Erfolgreich gelöscht und in Quarantäne gestellt.
HKLM\SOFTWARE\V-bates (PUP.Optional.VbatesHelper.A) -> Erfolgreich gelöscht und in Quarantäne gestellt.
Infizierte Registrierungswerte: 2
HKLM\SOFTWARE\Mozilla\Firefox\Extensions|{21EAF666-26B3-4A3C-ABD0-CA2F5A326744} (PUP.Optional.VBates) -> Daten: C:\Program Files\V-bates\Firefox -> Erfolgreich gelöscht und in Quarantäne gestellt.
HKLM\SOFTWARE\Mozilla\Firefox\Extensions\{21EAF666-26B3-4a3c-ABD0-CA2F5A326744} (PUP.Optional.VBates) -> Daten: -> Erfolgreich gelöscht und in Quarantäne gestellt.
Infizierte Dateiobjekte der Registrierung: 0
(Keine bösartigen Objekte gefunden)
Infizierte Verzeichnisse: 13
C:\Program Files\V-bates (PUP.Optional.VbatesHelper.A) -> Löschen bei Neustart.
C:\Program Files\V-bates\Firefox (PUP.Optional.VbatesHelper.A) -> Erfolgreich gelöscht und in Quarantäne gestellt.
C:\Program Files\V-bates\Firefox\chrome (PUP.Optional.VbatesHelper.A) -> Erfolgreich gelöscht und in Quarantäne gestellt.
C:\Program Files\V-bates\Firefox\chrome\content (PUP.Optional.VbatesHelper.A) -> Erfolgreich gelöscht und in Quarantäne gestellt.
C:\Program Files\V-bates\Firefox\chrome\content\libraries (PUP.Optional.VbatesHelper.A) -> Erfolgreich gelöscht und in Quarantäne gestellt.
C:\Program Files\V-bates\Firefox\chrome\content\resources (PUP.Optional.VbatesHelper.A) -> Erfolgreich gelöscht und in Quarantäne gestellt.
C:\Program Files\V-bates\Firefox\chrome\locale (PUP.Optional.VbatesHelper.A) -> Erfolgreich gelöscht und in Quarantäne gestellt.
C:\Program Files\V-bates\Firefox\chrome\locale\en-US (PUP.Optional.VbatesHelper.A) -> Erfolgreich gelöscht und in Quarantäne gestellt.
C:\Program Files\V-bates\Firefox\chrome\skin (PUP.Optional.VbatesHelper.A) -> Erfolgreich gelöscht und in Quarantäne gestellt.
C:\Program Files\V-bates\Firefox\defaults (PUP.Optional.VbatesHelper.A) -> Erfolgreich gelöscht und in Quarantäne gestellt.
C:\Program Files\V-bates\Firefox\defaults\preferences (PUP.Optional.VbatesHelper.A) -> Erfolgreich gelöscht und in Quarantäne gestellt.
C:\Program Files\V-bates\libraries (PUP.Optional.VbatesHelper.A) -> Erfolgreich gelöscht und in Quarantäne gestellt.
C:\Program Files\V-bates\resources (PUP.Optional.VbatesHelper.A) -> Erfolgreich gelöscht und in Quarantäne gestellt.
Infizierte Dateien: 24
C:\Program Files\V-bates\Extension32.dll (PUP.Optional.VBates) -> Erfolgreich gelöscht und in Quarantäne gestellt.
C:\Users\rilla\AppData\Local\Temp\UpdateCheckerSetup.exe (PUP.Optional.Somoto) -> Erfolgreich gelöscht und in Quarantäne gestellt.
C:\Program Files\V-bates\source.crx (PUP.Optional.VbatesHelper.A) -> Erfolgreich gelöscht und in Quarantäne gestellt.
C:\Program Files\V-bates\DGChrome.exe (PUP.Optional.VbatesHelper.A) -> Erfolgreich gelöscht und in Quarantäne gestellt.
C:\Program Files\V-bates\Extension64.dll (PUP.Optional.VbatesHelper.A) -> Erfolgreich gelöscht und in Quarantäne gestellt.
C:\Program Files\V-bates\ExtensionUpdaterService.exe (PUP.Optional.VbatesHelper.A) -> Löschen bei Neustart.
C:\Program Files\V-bates\InstallerHelper.dll (PUP.Optional.VbatesHelper.A) -> Erfolgreich gelöscht und in Quarantäne gestellt.
C:\Program Files\V-bates\NMHClient.exe (PUP.Optional.VbatesHelper.A) -> Erfolgreich gelöscht und in Quarantäne gestellt.
C:\Program Files\V-bates\NMHClient.json (PUP.Optional.VbatesHelper.A) -> Erfolgreich gelöscht und in Quarantäne gestellt.
C:\Program Files\V-bates\PrefHelper.exe (PUP.Optional.VbatesHelper.A) -> Erfolgreich gelöscht und in Quarantäne gestellt.
C:\Program Files\V-bates\unins000.dat (PUP.Optional.VbatesHelper.A) -> Erfolgreich gelöscht und in Quarantäne gestellt.
C:\Program Files\V-bates\unins000.exe (PUP.Optional.VbatesHelper.A) -> Erfolgreich gelöscht und in Quarantäne gestellt.
C:\Program Files\V-bates\Firefox\chrome.manifest (PUP.Optional.VbatesHelper.A) -> Erfolgreich gelöscht und in Quarantäne gestellt.
C:\Program Files\V-bates\Firefox\icon.png (PUP.Optional.VbatesHelper.A) -> Erfolgreich gelöscht und in Quarantäne gestellt.
C:\Program Files\V-bates\Firefox\install.rdf (PUP.Optional.VbatesHelper.A) -> Erfolgreich gelöscht und in Quarantäne gestellt.
C:\Program Files\V-bates\Firefox\chrome\content\main.js (PUP.Optional.VbatesHelper.A) -> Erfolgreich gelöscht und in Quarantäne gestellt.
C:\Program Files\V-bates\Firefox\chrome\content\main.xul (PUP.Optional.VbatesHelper.A) -> Erfolgreich gelöscht und in Quarantäne gestellt.
C:\Program Files\V-bates\Firefox\chrome\content\libraries\DataExchangeScript.js (PUP.Optional.VbatesHelper.A) -> Erfolgreich gelöscht und in Quarantäne gestellt.
C:\Program Files\V-bates\Firefox\chrome\content\resources\LocalScript.js (PUP.Optional.VbatesHelper.A) -> Erfolgreich gelöscht und in Quarantäne gestellt.
C:\Program Files\V-bates\Firefox\chrome\locale\en-US\overlay.dtd (PUP.Optional.VbatesHelper.A) -> Erfolgreich gelöscht und in Quarantäne gestellt.
C:\Program Files\V-bates\Firefox\chrome\skin\overlay.css (PUP.Optional.VbatesHelper.A) -> Erfolgreich gelöscht und in Quarantäne gestellt.
C:\Program Files\V-bates\Firefox\defaults\preferences\defaults.js (PUP.Optional.VbatesHelper.A) -> Erfolgreich gelöscht und in Quarantäne gestellt.
C:\Program Files\V-bates\libraries\DataExchangeScript.js (PUP.Optional.VbatesHelper.A) -> Erfolgreich gelöscht und in Quarantäne gestellt.
C:\Program Files\V-bates\resources\LocalScript.js (PUP.Optional.VbatesHelper.A) -> Erfolgreich gelöscht und in Quarantäne gestellt.
(Ende)
AdwCleaner: Code:
# AdwCleaner v3.020 - Bericht erstellt am 09/03/2014 um 23:00:40
# Aktualisiert 27/02/2014 von Xplode
# Betriebssystem : Windows 7 Enterprise Service Pack 1 (64 bits)
# Benutzername : rilla - TORUK
# Gestartet von : S:\_TODO\03.SECURITY\adwcleaner.exe
# Option : Suchen
***** [ Dienste ] *****
***** [ Dateien / Ordner ] *****
Ordner Gefunden C:\Users\rilla\AppData\Local\Mail.Ru
Ordner Gefunden C:\Users\rilla\AppData\Local\Temp\OCS
Ordner Gefunden C:\Users\rilla\AppData\Roaming\DesktopIconForAmazon
***** [ Verknüpfungen ] *****
***** [ Registrierungsdatenbank ] *****
Schlüssel Gefunden : HKCU\Software\AVG Secure Search
Schlüssel Gefunden : HKCU\Software\OCS
Schlüssel Gefunden : [x64] HKCU\Software\AVG Secure Search
Schlüssel Gefunden : [x64] HKCU\Software\OCS
Schlüssel Gefunden : HKLM\SOFTWARE\Classes\AppID\{0A18A436-2A7A-49F3-A488-30538A2F6323}
Schlüssel Gefunden : HKLM\SOFTWARE\Classes\AppID\{B302A1BD-0157-49FA-90F1-4E94F22C7B4B}
Schlüssel Gefunden : HKLM\SOFTWARE\Classes\AppID\Extension.DLL
Schlüssel Gefunden : HKLM\SOFTWARE\Classes\CLSID\{007EFBDF-8A5D-4930-97CC-A4B437CBA777}
Schlüssel Gefunden : [x64] HKLM\SOFTWARE\Classes\Interface\{A36867C6-302D-49FC-9D8E-1EB037B5F1AB}
Schlüssel Gefunden : [x64] HKLM\SOFTWARE\Speedchecker Limited
Wert Gefunden : [x64] HKLM\SOFTWARE\Mozilla\Firefox\Extensions [{21EAF666-26B3-4a3c-ABD0-CA2F5A326744}]
***** [ Browser ] *****
-\\ Internet Explorer v11.0.9600.16518
*************************
AdwCleaner[R0].txt - [1481 octets] - [09/03/2014 23:00:40]
########## EOF - C:\AdwCleaner\AdwCleaner[R0].txt - [1541 octets] ##########
Code:
# AdwCleaner v3.020 - Bericht erstellt am 09/03/2014 um 23:02:53
# Aktualisiert 27/02/2014 von Xplode
# Betriebssystem : Windows 7 Enterprise Service Pack 1 (64 bits)
# Benutzername : rilla - TORUK
# Gestartet von : S:\_TODO\03.SECURITY\adwcleaner.exe
# Option : Löschen
***** [ Dienste ] *****
***** [ Dateien / Ordner ] *****
Ordner Gelöscht : C:\Users\rilla\AppData\Local\Mail.Ru
Ordner Gelöscht : C:\Users\rilla\AppData\Local\Temp\OCS
Ordner Gelöscht : C:\Users\rilla\AppData\Roaming\DesktopIconForAmazon
***** [ Verknüpfungen ] *****
***** [ Registrierungsdatenbank ] *****
Wert Gelöscht : [x64] HKLM\SOFTWARE\Mozilla\Firefox\Extensions [{21EAF666-26B3-4a3c-ABD0-CA2F5A326744}]
Schlüssel Gelöscht : HKLM\SOFTWARE\Classes\AppID\Extension.DLL
Schlüssel Gelöscht : HKLM\SOFTWARE\Classes\AppID\{0A18A436-2A7A-49F3-A488-30538A2F6323}
Schlüssel Gelöscht : HKLM\SOFTWARE\Classes\AppID\{B302A1BD-0157-49FA-90F1-4E94F22C7B4B}
Schlüssel Gelöscht : HKLM\SOFTWARE\Classes\CLSID\{007EFBDF-8A5D-4930-97CC-A4B437CBA777}
Schlüssel Gelöscht : [x64] HKLM\SOFTWARE\Classes\Interface\{A36867C6-302D-49FC-9D8E-1EB037B5F1AB}
Schlüssel Gelöscht : HKCU\Software\AVG Secure Search
Schlüssel Gelöscht : HKCU\Software\OCS
Schlüssel Gelöscht : [x64] HKLM\SOFTWARE\Speedchecker Limited
***** [ Browser ] *****
-\\ Internet Explorer v11.0.9600.16518
*************************
AdwCleaner[R0].txt - [1641 octets] - [09/03/2014 23:00:40]
AdwCleaner[S0].txt - [1450 octets] - [09/03/2014 23:02:53]
########## EOF - C:\AdwCleaner\AdwCleaner[S0].txt - [1510 octets] ##########
JRT: Code:
~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~
Junkware Removal Tool (JRT) by Thisisu
Version: 6.1.2 (02.20.2014:1)
OS: Windows 7 Enterprise x64
Ran by rilla on 09.03.2014 at 23:08:47,36
~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~
~~~ Services
~~~ Registry Values
~~~ Registry Keys
~~~ Files
~~~ Folders
~~~ Event Viewer Logs were cleared
~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~
Scan was completed on 09.03.2014 at 23:12:05,00
End of JRT log
~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~
sc-cleaner hatte 0 Funde (suche die txt noch)
ESET ebenso 0 Funde: Code:
ESETSmartInstaller@High as downloader log:
all ok
# version=8
# OnlineScannerApp.exe=1.0.0.1
# OnlineScanner.ocx=1.0.0.6920
# api_version=3.0.2
# EOSSerial=f945c3b584657b4a9605d044a657d496
# engine=17376
# end=finished
# remove_checked=false
# archives_checked=true
# unwanted_checked=false
# unsafe_checked=false
# antistealth_checked=true
# utc_time=2014-03-10 12:14:47
# local_time=2014-03-10 01:14:47 (+0100, Mitteleuropäische Zeit)
# country="Germany"
# lang=1033
# osver=6.1.7601 NT Service Pack 1
# compatibility_mode=5893 16776574 100 94 1720238 146040337 0 0
# scanned=610804
# found=0
# cleaned=0
# scan_time=6938
Lg kuZa | 
FRST 32-Bit | FRST 64-Bit
So funktioniert es: