Malware? SVCHOST startet selbsttätig Seiten im Firefox, OLT Log Auswertung
 

Hallo zusammen,
bin neu hier und habe ein Problem bzw. weil ich ein Problem habe bin ich neu hier.
Also, am 05.09. meldete sich AntiVir bei einem Scan mit ein paar Funden. Ok. Alles wurde in die Quarantäne verschoben. Im nächsten Scan nur noch 1 Fund, auch in Quarantäne verschoben. Danach keine Funde von AntiVir mehr.
Aber: Wenn Firefox geöffnet ist, starten ab und an irgendwelche dubiosen Webseiten. Daraufhin habe ich AdAware neu installiert, gestartet und gescannt. 5 Funde in die Quarantäne verschoben. (Diese habe ich aber mittlerweile gelöscht). Naja, aber AdWatch blockiert seitdem immer mal wieder Aufrufe durch die SVCHOST auf IP Adressen mit schädlichem Inhalt. Bei weiterer Recherche bin ich dann auf OTL gestossen. Habe damit dann auch einen Scan durchgeführt und würde gerne wissen, ob hier jemand so nett ist und mal da drüber schauen würde um mit vielleicht einen Tip zu geben, wo denn noch das Problem der von selbst aufgerufenen IP Adressen stecken könnte und was ich ggf. dagegen unternehmen könnte.
Ich habe mal die AntiVir Logs und den OLT-Log hochgeladen.
Das System ist ein XP SP3.
Vorab schon mal meinen herzlichen Dank dafür!

--Falls ich hier irgendetwas falsch gepostet habe bitte ich um entschuldigung und einen entsprechenden Hinweis.--

Hallo und :hallo:

Bitte routinemäßig einen Vollscan mit malwarebytes machen und Log posten.
Denk daran, dass Malwarebytes vor jedem Scan manuell aktualisiert werden muss!

Hallo cosinus,

tut mir leid, vor lauter Theater mit der Kiste hatte ich total vergessen in den Post mit aufzunehmen, dass ich Malwarebytes auch schon hab laufen lassen. Dabei waren 2 weitere Funde.
Das Log anbei.
Vielleicht zu entschuldigen, wenn man die Uhrzeit des Log betrachtet:crazy:
Danke für Deine Hilfe!

Beende alle Programme, starte OTL und kopiere folgenden Text in die "Custom Scan/Fixes" Box (unten in OTL): (das ":OTL" muss mitkopiert werden!!!)


Klick dann oben links auf den Button Fix!
Das Logfile müsste geöffnet werden, wenn Du nach dem Fixen auf ok klickst, poste das bitte. Evtl. wird der Rechner neu gestartet.

Hallo cosinus (arne),

habe deine Anweisungen durchgeführt, alles kam wie beschrieben.
Anliegend das LOG.
Schwieriger Fall ??
Gruß Büttel

Dann bitte jetzt CF ausführen:

ComboFix

Ein Leitfaden und Tutorium zur Nutzung von ComboFix

• Lade dir ComboFix hier herunter auf deinen Desktop. Benenne es beim Runterladen um in cofi.exe.

http://saved.im/mtm0nzyzmzd5/cofi.jpg

• Dann folgende Anleitung durchlesen und abarbeiten -> CCleaner Systembereinigung

• Schliesse alle Programme, vor allem dein Antivirenprogramm und andere Hintergrundwächter sowie deinen Internetbrowser.

• Starte cofi.exe von deinem Desktop aus, bestätige die Warnmeldungen, führe die Updates durch (falls vorgeschlagen), installiere die Wiederherstellungskonsole (falls vorgeschlagen) und lass dein System durchsuchen.
  Vermeide es auch während Combofix läuft die Maus und Tastatur zu benutzen.

• Im Anschluss öffnet sich automatisch eine combofix.txt, diesen Inhalt bitte kopieren ([Strg]a, [Strg]c) und in deinen Beitrag einfügen ([Strg]v). Die Datei findest du außerdem unter: C:\ComboFix.txt.

Wichtiger Hinweis:

Combofix darf ausschließlich ausgeführt werden, wenn ein Kompetenzler dies ausdrücklich empfohlen hat!
Es sollte nie auf eigene Initiative hin ausgeführt werden! Eine falsche Benutzung kann ernsthafte Computerprobleme nach sich ziehen und eine Bereinigung der Infektion noch erschweren.

Hi Arne, mal eben eine Zwischenfrage: CoFix läuft und hat Rootkitaktivitäten festgestellt. Dabei musste CoFix den Rechner neu starten. Nach diesem Start hat sich aber AntiVir wieder gestartet und meldet prompt ein Trojanisches Pferd. AntiVir fragt jetzt im Vordergrund "Zugriff verweigern?" Im Hintergrund ist ComFix noch aktiv. Was soll ich in diesem Fall machen?
Gruß Büttel

Moin zusammen,

Ergänzung zu meinem letzten Eintrag von gestern Nacht:

Ich hab dann nach einiger Zeit herausgefunden das der Ordner Qoo... in dem der Fund war, von ComboFix angelegt wurde. Damit war klar das ich AntiVir hier "ignorieren" mitgeben konnte. Danach ist ComboFix dann auch weitergelaufen und hat bis über 50 Prüfschritte unternommen. Aus dem verschlafenen Augenwinkel meine ich auch noch eine Fertigmeldung unten drunter gesehen zuhaben, dann hatte der Rechner aber auch schon einen Bluescreen mit der Meldung: "Bad pool header". Ich habe den Rechner dann neu gestartet und er bootete ganz normal. Allerdings war von ComboFix aktivitäten nichts mehr zu sehen. Ich muss heute mal schauen ob ich ein ComboFix-Log finde.

Fall nicht, muss ich dann den Scan mit ComboFix wiederholen?

AntiVir natürlich deaktivieren!

Hi Arne,

klar soweit, aber dann noch einmal den Scan mit ComboFix starten?

Gruß Büttel

Ja bitte nochmal starten

Hallo,

was lange währt...?!? Ich habe CoFix jetzt noch einmal gestartet. Keine besonderen Anzeigen, jedoch wieder ein wie oben beschriebener BlueScreen. Nach dem Neustart hier jetzt der Inhalt der LOG Datei von ComboFix, aus dem Ordner C:\Qoobox\Quarantine --> das einzige was ich finden konnte.

-------- 2010-09-13 - 23:24:26 -------------


-------- 2010-09-13 - 23:30:37 -------------


-------- 2010-09-14 - 15:54:26 -------------


-------- 2010-09-14 - 15:55:12 -------------


Seit ab sofort ist der Rechner wieder wesentlich schneller als vorher, ist das ein gutes Zeichen? Muss mir der BlueScreen Sorgen bereiten?

Grüße
Der Buettel

Ich brauche den Quarantäneordner von Combofix. Bitte folgendes machen:

1.) GANZ WICHTIG!! Virenscanner deaktivieren, der darf da nicht rummurksen!
2.) Ordner C:\Qoobox in eine Datei zippen
3.) die erstellte ZIP-Datei hier hochladen => http://www.trojaner-board.de/54791-a...ner-board.html
4.) Wenns erfolgreich war Bescheid sagen
5.) Erst dann wieder den Virenscanner einschalten

Hallo Arne,

fertig!

Gruß
Buettel

Hast Du den Virenscanner auch wirklich deaktiviert gehabt? Da ist keine brauchbare Datei drin im Archiv!
Poste mal bitte das relevante aus dem AntiVir-Protokoll über die Funde in C:\Qoobox.