Trojaner-Board - Ständiges öffnen von Werbung

Trojaner-Board (https://www.trojaner-board.de/)

- Plagegeister aller Art und deren Bekämpfung (https://www.trojaner-board.de/plagegeister-aller-art-deren-bekaempfung/)

- - Ständiges öffnen von Werbung (https://www.trojaner-board.de/60142-staendiges-oeffnen-werbung.html)

Ständiges öffnen von Werbung

Schönen guten tag habe seit ca. 4 Tagen das Problem das sich dauernd nervende Werbefesnster unter Firefox öffnen... Habe hier zu schon einen theard gefunden dort wurde jedoch dazu aufgefordert ein neues Thema zu eröffnen.

Code:

Logfile of Trend Micro HijackThis v2.0.2

Scan saved at 10:33:27, on 18.09.2008

Platform: Windows Vista SP1 (WinNT 6.00.1905)

MSIE: Internet Explorer v7.00 (7.00.6001.18000)

Boot mode: Normal
 

Running processes:

C:\Windows\system32\taskeng.exe

C:\Windows\system32\Dwm.exe

C:\Windows\Explorer.EXE

C:\Program Files\Windows Defender\MSASCui.exe

C:\Program Files\Nero\Nero8\Nero BackItUp\NBKeyScan.exe

C:\Program Files\Sceneo\AbsolutTV\Services\ODSBC\ODSBCApp.exe

C:\Windows\RtHDVCpl.exe

C:\Program Files\Avira\AntiVir PersonalEdition Classic\avgnt.exe

C:\Windows\System32\rundll32.exe

C:\Windows\System32\wpcumi.exe

C:\Program Files\Elaborate Bytes\VirtualCloneDrive\VCDDaemon.exe

C:\Program Files\Winamp\winampa.exe

C:\Program Files\Common Files\Real\Update_OB\realsched.exe

C:\Program Files\iTunes\iTunesHelper.exe

C:\Windows\ehome\ehtray.exe

C:\Users\***\AppData\Local\dbavmjhg.exe

C:\Program Files\Hamachi\hamachi.exe

C:\Windows\ehome\ehmsas.exe

C:\Program Files\Microsoft Office\OFFICE11\POWERPNT.EXE

C:\Program Files\ICQ6\ICQ.exe

C:\Program Files\Mozilla Firefox\firefox.exe

C:\Users\***\Downloads\HiJackThis.exe
 

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = h**p://go.microsoft.com/fwlink/?LinkId=54896

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = h**p://www.aldi.com/

R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = h**p://www.aldi.com/

R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = h**p://go.microsoft.com/fwlink/?LinkId=69157

R0 - HKLM\Software\Microsoft\Internet Explorer\Search,SearchAssistant = 

R0 - HKLM\Software\Microsoft\Internet Explorer\Search,CustomizeSearch = 

R1 - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings,ProxyOverride = *.local

R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = 

O1 - Hosts: ::1 localhost

O2 - BHO: Adobe PDF Reader - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Program Files\Common Files\Adobe\Acrobat\ActiveX\AcroIEHelper.dll

O2 - BHO: RealPlayer Download and Record Plugin for Internet Explorer - {3049C3E9-B461-4BC5-8870-4C09146192CA} - C:\Program Files\Real\RealPlayer\rpbrowserrecordplugin.dll

O2 - BHO: SSVHelper Class - {761497BB-D6F0-462C-B6EB-D4DAF1D92D43} - C:\Program Files\Java\jre1.6.0_04\bin\ssv.dll

O4 - HKLM\..\Run: [Windows Defender] %ProgramFiles%\Windows Defender\MSASCui.exe -hide

O4 - HKLM\..\Run: [NBKeyScan] "C:\Program Files\Nero\Nero8\Nero BackItUp\NBKeyScan.exe"

O4 - HKLM\..\Run: [NeroFilterCheck] C:\Program Files\Common Files\Nero\Lib\NeroCheck.exe

O4 - HKLM\..\Run: [TVBroadcast] C:\Program Files\Sceneo\AbsolutTV\SERVICES\ODSBC\ODSBCApp.exe

O4 - HKLM\..\Run: [RtHDVCpl] RtHDVCpl.exe

O4 - HKLM\..\Run: [Skytel] Skytel.exe

O4 - HKLM\..\Run: [toolbar_eula_launcher] C:\Program Files\GoogleEULA\EULALauncher.exe

O4 - HKLM\..\Run: [avgnt] "C:\Program Files\Avira\AntiVir PersonalEdition Classic\avgnt.exe" /min

O4 - HKLM\..\Run: [Adobe Reader Speed Launcher] "C:\Program Files\Adobe\Reader 8.0\Reader\Reader_sl.exe"

O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\Windows\system32\NvCpl.dll,NvStartup

O4 - HKLM\..\Run: [NvMediaCenter] RUNDLL32.EXE C:\Windows\system32\NvMcTray.dll,NvTaskbarInit

O4 - HKLM\..\Run: [WPCUMI] C:\Windows\system32\WpcUmi.exe

O4 - HKLM\..\Run: [VirtualCloneDrive] "C:\Program Files\Elaborate Bytes\VirtualCloneDrive\VCDDaemon.exe" /s

O4 - HKLM\..\Run: [WinampAgent] "C:\Program Files\Winamp\winampa.exe"

O4 - HKLM\..\Run: [TkBellExe] "C:\Program Files\Common Files\Real\Update_OB\realsched.exe"  -osboot

O4 - HKLM\..\Run: [AppleSyncNotifier] C:\Program Files\Common Files\Apple\Mobile Device Support\bin\AppleSyncNotifier.exe

O4 - HKLM\..\Run: [QuickTime Task] "C:\Program Files\QuickTime\QTTask.exe" -atboottime

O4 - HKLM\..\Run: [iTunesHelper] "C:\Program Files\iTunes\iTunesHelper.exe"

O4 - HKCU\..\Run: [BullGuard] "C:\Program Files\BullGuard Software\BullGuard\BullGuard.exe"

O4 - HKCU\..\Run: [ehTray.exe] C:\Windows\ehome\ehTray.exe

O4 - HKCU\..\Run: [Orb] "C:\Program Files\Winamp Remote\bin\OrbTray.exe" /background

O4 - HKCU\..\Run: [AdobeUpdater] C:\Program Files\Common Files\Adobe\Updater5\AdobeUpdater.exe

O4 - HKCU\..\Run: [dbavmjhg] "c:\users\***\appdata\local\dbavmjhg.exe" dbavmjhg

O4 - Startup: hamachi.lnk = C:\Program Files\Hamachi\hamachi.exe

O4 - Global Startup: ScanPanel.lnk = ?

O8 - Extra context menu item: Nach Microsoft &Excel exportieren - res://C:\PROGRA~1\MICROS~3\OFFICE11\EXCEL.EXE/3000

O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\jre1.6.0_04\bin\ssv.dll

O9 - Extra 'Tools' menuitem: Sun Java Konsole - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\jre1.6.0_04\bin\ssv.dll

O9 - Extra button: eBay - Der weltweite Online-Marktplatz - {0B65DCC9-1740-43dc-B19C-4F309FB6A6CA} - h**p://rover.ebay.com/rover/1/707-37276-17534-25/4 (file missing)

O9 - Extra 'Tools' menuitem: eBay - {0B65DCC9-1740-43dc-B19C-4F309FB6A6CA} - h**p://rover.ebay.com/rover/1/707-37276-17534-25/4 (file missing)

O9 - Extra button: Recherchieren - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - C:\PROGRA~1\MICROS~3\OFFICE11\REFIEBAR.DLL

O9 - Extra button: ICQ6 - {E59EB121-F339-4851-A3BA-FE49C35617C2} - C:\Program Files\ICQ6\ICQ.exe

O9 - Extra 'Tools' menuitem: ICQ6 - {E59EB121-F339-4851-A3BA-FE49C35617C2} - C:\Program Files\ICQ6\ICQ.exe

O9 - Extra button: eBay - Der weltweite Online-Marktplatz - {0B65DCC9-1740-43dc-B19C-4F309FB6A6CA} - h**p://rover.ebay.com/rover/1/707-37276-17534-15/4 (file missing) (HKCU)

O9 - Extra 'Tools' menuitem: eBay - {0B65DCC9-1740-43dc-B19C-4F309FB6A6CA} - h**p://rover.ebay.com/rover/1/707-37276-17534-15/4 (file missing) (HKCU)

O10 - Unknown file in Winsock LSP: c:\windows\system32\wpclsp.dll

O10 - Unknown file in Winsock LSP: c:\windows\system32\wpclsp.dll

O10 - Unknown file in Winsock LSP: c:\windows\system32\wpclsp.dll

O10 - Unknown file in Winsock LSP: c:\windows\system32\wpclsp.dll

O10 - Unknown file in Winsock LSP: c:\windows\system32\wpclsp.dll

O10 - Unknown file in Winsock LSP: c:\windows\system32\wpclsp.dll

O10 - Unknown file in Winsock LSP: c:\windows\system32\wpclsp.dll

O10 - Unknown file in Winsock LSP: c:\windows\system32\wpclsp.dll

O10 - Unknown file in Winsock LSP: c:\windows\system32\wpclsp.dll

O13 - Gopher Prefix: 

O23 - Service: AntiVir PersonalEdition Classic Planer (AntiVirScheduler) - Avira GmbH - C:\Program Files\Avira\AntiVir PersonalEdition Classic\sched.exe

O23 - Service: AntiVir PersonalEdition Classic Guard (AntiVirService) - Avira GmbH - C:\Program Files\Avira\AntiVir PersonalEdition Classic\avguard.exe

O23 - Service: Apple Mobile Device - Apple Inc. - C:\Program Files\Common Files\Apple\Mobile Device Support\bin\AppleMobileDeviceService.exe

O23 - Service: Bonjour-Dienst (Bonjour Service) - Apple Inc. - C:\Program Files\Bonjour\mDNSResponder.exe

O23 - Service: Firebird Server - MAGIX Instance (FirebirdServerMAGIXInstance) - MAGIX® - C:\Program Files\ALDI Foto Service Nord\Common\Database\bin\fbserver.exe

O23 - Service: FLEXnet Licensing Service - Macrovision Europe Ltd. - C:\Program Files\Common Files\Macrovision Shared\FLEXnet Publisher\FNPLicensingService.exe

O23 - Service: GnabService - Empolis GmbH - c:\program files\common files\gnab\service\servicecontroller.exe

O23 - Service: iPod-Dienst (iPod Service) - Apple Inc. - C:\Program Files\iPod\bin\iPodService.exe

O23 - Service: Nero BackItUp Scheduler 3 - Nero AG - C:\Program Files\Nero\Nero8\Nero BackItUp\NBService.exe

O23 - Service: NMIndexingService - Nero AG - C:\Program Files\Common Files\Nero\Lib\NMIndexingService.exe

O23 - Service: NVIDIA Display Driver Service (nvsvc) - NVIDIA Corporation - C:\Windows\system32\nvvsvc.exe

O23 - Service: Cyberlink RichVideo Service(CRVS) (RichVideo) - Unknown owner - C:\Program Files\CyberLink\Shared Files\RichVideo.exe

O23 - Service: Sceneo PVR Service (srvcPVR) - Buhl Data Service GmbH - C:\Program Files\Sceneo\AbsolutTV\Services\PVR\PVRService.exe

O23 - Service: X10 Device Network Service (x10nets) - X10 - C:\PROGRA~1\COMMON~1\X10\Common\x10nets.exe
 

--

End of file - 8179 bytes

Ich hoffe ihr könnt mir helfen

MfG
Sarrymast

Hallo und :hallo:

Acker diese Punkte für weitere Analysen ab:

1.) Stell sicher, daß Dir auch alle Dateien angezeigt werden, danach folgende Dateien bei Virustotal.com auswerten lassen und alle Ergebnisse posten, und zwar so, daß man die der einzelnen Virenscanner sehen kann. Bitte mit Dateigrößen und Prüfsummen:

Code:

c:\users\***\appdata\local\dbavmjhg.exe

2.) Deaktiviere die Systemwiederherstellung, im Verlauf der Infektion wurden auch Malwaredateien in Wiederherstellungspunkten mitgesichert - die sind alle nun unbrauchbar, da ein Zurücksetzen des System durch einen Wiederherstellungspunkt das System wahrscheinlich wieder infizieren würde.

3.) Führe dieses MBR-Tool aus und poste die Ausgabe

4.) Blacklight und Malwarebytes Antimalware ausführen und Logfiles posten

5.) Führe Silentrunners nach dieser Anleitung aus und poste das Logfile (mit Codetags umschlossen), falls es zu groß sein sollte kannst Du es (gezippt) bei file-upload.net hochladen und hier verlinken.

6.) ComboFix

Ein Leitfaden und Tutorium zur Nutzung von ComboFix

Lade dir das Tool hier herunter auf den Desktop -> KLICK

Das Programm jedoch noch nicht starten sondern zuerst folgendes tun:

Schliesse alle Anwendungen und Programme, vor allem deine Antiviren-Software und andere Hintergrundwächter, sowie deinen Internetbrowser.
Vermeide es auch explizit während das Combofix läuft die Maus und Tastatur zu benutzen.

Dann folgende Anleitung durchlesen und abarbeiten -> CCleaner Systembereinigung

Starte nun die combofix.exe von deinem Desktop aus, bestätige die Warnmeldungen und lass dein System durchsuchen.

Im Anschluss öffnet sich automatisch eine combofix.txt, diesen Inhalt bitte abkopieren und in deinen Beitrag einfügen. Das log findest du außerdem unter: C:\ComboFix.txt.

Wichtiger Hinweis:

Combofix darf ausschließlich ausgeführt werden wenn ein Kompetenzler dies ausdrücklich empfohlen hat!
Es sollte nie auf eigene Initiative hin ausgeführt werden! Eine falsche Benutzung kann ernsthafte Computerprobleme nach sich ziehen und eine Bereinigung der Infektion noch erschweren.

Hinweis: Combofix verhindert die Autostart Funktion aller CD / DVD und USB - Laufwerken um so eine Verbeitung einzudämmen. Wenn es hierdurch zu Problemen kommt, diese im Thread posten.

Poste alle Logfiles bitte mit Codetags umschlossen (#-Button) also so:

HTML-Code:

[code] Hier das Logfile rein! [/code]

7.) Mach auch ein Filelisting mit diesem script:

Script abspeichern per Rechtsklick, speichern unter auf dem Desktop
Doppelklick auf listing8.cmd auf dem Desktop
nach kurzer Zeit erscheint eine listing.txt auf dem Desktop

Diese listing.txt z.B. bei File-Upload.net hochladen und hier verlinken, da dieses Logfile zu groß fürs Board ist.

Code:

Antivirus          Version          letzte aktualisierung          Ergebnis

AhnLab-V3        2008.9.19.2        2008.09.19        -

AntiVir        7.8.1.34        2008.09.19        -

Authentium        5.1.0.4        2008.09.19        -

Avast        4.8.1195.0        2008.09.18        -

AVG        8.0.0.161        2008.09.19        -

BitDefender        7.2        2008.09.19        -

CAT-QuickHeal        9.50        2008.09.19        -

ClamAV        0.93.1        2008.09.19        -

DrWeb        4.44.0.09170        2008.09.19        -

eSafe        7.0.17.0        2008.09.18        -

eTrust-Vet        31.6.6091        2008.09.16        -

Ewido        4.0        2008.09.19        -

F-Prot        4.4.4.56        2008.09.19        -

F-Secure        8.0.14332.0        2008.09.19        -

Fortinet        3.113.0.0        2008.09.19        -

GData        19        2008.09.19        -

Ikarus        T3.1.1.34.0        2008.09.19        -

K7AntiVirus        7.10.461        2008.09.18        -

Kaspersky        7.0.0.125        2008.09.19        -

McAfee        5387        2008.09.18        -

Microsoft        1.3903        2008.09.19        Trojan:Win32/Skintrim.gen!D

NOD32v2        3455        2008.09.19        -

Norman        5.80.02        2008.09.18        -

Panda        9.0.0.4        2008.09.19        -

PCTools        4.4.2.0        2008.09.18        -

Prevx1        V2        2008.09.19        -

Rising        20.62.42.00        2008.09.19        -

Sophos        4.33.0        2008.09.19        -

Sunbelt        3.1.1647.1        2008.09.18        -

Symantec        10        2008.09.19        -

TheHacker        6.3.0.9.087        2008.09.18        -

TrendMicro        8.700.0.1004        2008.09.19        -

VBA32        3.12.8.5        2008.09.18        -

ViRobot        2008.9.19.1383        2008.09.19        -

VirusBuster        4.5.11.0        2008.09.18        -

Webwasher-Gateway        6.6.2        2008.09.19        -

weitere Informationen

File size: 299008 bytes

MD5...: 6c2f2884406824ccd1ed32e2e55c08f0

SHA1..: f292cefa833af8db5c3b9c811e2a37f40d2d17f6

SHA256: 383f114a1fbf4603c2f630684cebb79a534a3652fc9bf67f59a3b935faf2130b

SHA512: 4dd2759fcc41d900f49baedd692e10b7112fa2975072f88e3ecb21e9d4e09263

5c60af009c33a6d29fb1484c8aef94fda4a58966e5d61610efe8b94c72abbf12

PEiD..: -

TrID..: File type identification

Win32 Executable MS Visual C++ (generic) (65.2%)

Win32 Executable Generic (14.7%)

Win32 Dynamic Link Library (generic) (13.1%)

Generic Win/DOS Executable (3.4%)

DOS Executable Generic (3.4%)

PEInfo: PE Structure information
 

( base data )

entrypointaddress.: 0x401000

timedatestamp.....: 0x474957c3 (Sun Nov 25 11:08:51 2007)

machinetype.......: 0x14c (I386)
 

( 3 sections )

name viradd virsiz rawdsiz ntrpy md5

.text 0x1000 0x3a49f 0x3b000 7.37 ce524d1ca907af298157a36810dcea5c

.rdata 0x3c000 0x1120 0x2000 3.57 3b36c00b7e861af26ad3d5eefdc6f4f4

.data 0x3e000 0xa304 0xb000 3.98 f25f69b7c193257cf96425f8ba264a4f
 

( 10 imports )

> KERNEL32.dll: GetLargestConsoleWindowSize, GetBinaryTypeA, FindCloseChangeNotification, LocalReAlloc, FreeLibrary, GetDiskFreeSpaceW, SetCommTimeouts, ReadConsoleA, IsDBCSLeadByteEx, OpenSemaphoreW, SetEnvironmentVariableW, ExitProcess, MoveFileExA, LocalSize, SetFileAttributesA, LoadLibraryExA, PeekConsoleInputW, GlobalUnlock, _llseek, GetTickCount, SetConsoleOutputCP, LocalFileTimeToFileTime, lstrcmpA, GetShortPathNameA, GetDriveTypeW, GetStringTypeExW, FindFirstFileA, SetTimeZoneInformation, DuplicateHandle, SetupComm, ExpandEnvironmentStringsW, GetThreadPriority, GetLocaleInfoW, SetConsoleTitleA, GetPrivateProfileStringW, FindFirstFileW, FlushFileBuffers, IsBadReadPtr, DeleteCriticalSection, GetSystemDirectoryW, EnumCalendarInfoW, WritePrivateProfileStringA, ReadConsoleInputW, SetHandleCount, GetSystemDefaultLangID, ReadFileScatter, SetConsoleWindowInfo, GetEnvironmentStringsW, CloseHandle, MultiByteToWideChar, lstrcmpiA, GetFullPathNameA, SetThreadAffinityMask, SearchPathW, GetConsoleCursorInfo, GetCompressedFileSizeW, GlobalAddAtomA, SetThreadLocale, Beep, AllocConsole, _lclose, LocalAlloc, GetAtomNameA, VirtualProtect, GetVersionExA, FillConsoleOutputCharacterA, EnumResourceNamesW, FreeLibraryAndExitThread, GetNumberFormatW, GetCommandLineA, FormatMessageA, VirtualAlloc

> USER32.dll: GetWindowPlacement, GetMenuDefaultItem, AdjustWindowRect, DefMDIChildProcW, BeginDeferWindowPos, GetAsyncKeyState, GetParent, DrawCaption, AdjustWindowRectEx, SetWindowTextA, EndPaint, EnumDesktopsA, GetCapture, SetActiveWindow, EnumDisplaySettingsW, SetCaretBlinkTime, MessageBoxExA, ToUnicode, CreateDialogIndirectParamW, GetClipboardData, GetWindowInfo, CallWindowProcW, LoadAcceleratorsW, GetClassNameA, SetCapture, EnumWindows, SetMenuDefaultItem, OpenWindowStationW, InvertRect, GetCaretBlinkTime, CreateCursor, BeginPaint, ShowOwnedPopups, LoadBitmapW, SetClassLongW, MsgWaitForMultipleObjects, EnumDisplaySettingsExW, NotifyWinEvent, UnhookWindowsHookEx, LoadMenuIndirectA, GetKeyNameTextW, SetRectEmpty, CountClipboardFormats

> GDI32.dll: GetCurrentObject

> comdlg32.dll: GetSaveFileNameW, PageSetupDlgW, CommDlgExtendedError, ChooseFontW

> ADVAPI32.dll: GetSecurityDescriptorControl

> SHELL32.dll: SHBrowseForFolderA, SHAddToRecentDocs

> ole32.dll: OleCreateMenuDescriptor, ReadClassStg, CoInitializeEx

> OLEAUT32.dll: -, -, -, -, -, -, -

> COMCTL32.dll: ImageList_GetDragImage, ImageList_GetImageInfo

> SHLWAPI.dll: PathFindNextComponentW, UrlCanonicalizeW, SHCopyKeyA, PathIsFileSpecW, PathRelativePathToW, StrCatBuffW, ChrCmpIW, SHRegGetBoolUSValueA, StrTrimA, PathAddExtensionW, PathQuoteSpacesA, UrlCombineW, StrFormatByteSize64A, StrChrA, StrCmpNIW, StrToIntW
 

( 0 exports )

Das ist das erste..
Punkt 2 habe ich ausgefürt

MBR-Log

Code:

Stealth MBR rootkit detector 0.2.4 by Gmer, http://www.gmer.net
 

device: opened successfully

user: MBR read successfully

kernel: MBR read successfully

user & kernel MBR OK

Was ist mit den anderen Logs?