Ich habe mir einen Schädling eingefangen.

Sky95

Hallo liebe Forenmitglieder,
ich habe seit 2-3 Tagen, so ca. seit Mittwoch einen Schädling auf meinem Computer. Das erkenne ich daran, dass mein Computer, Seiten wie "Google", "Gmx" und ähnliches innerhalb von einer Sekunde geladen hatte. Nun braucht er seit Mittwoch nahezu 10 Sekunden, wenn er mir nicht die Fehlermeldung gibt, dass der Server nicht antwortet.
Nun ist es so, dass ich da direkt die ersten Zweifel bekam und Avira, Malwarebytes Anti-Malware und Spybot S&D, durchlaufen ließ. Ich wollte mich erkundigen über Google, doch dort kommt nun nahezu jedesmal folgende Fehlermeldung:

ERROR
The requested URL could not be retrieved

The following error was encountered while trying to retrieve the URL: antiviren forum - Google-Suche

Socket Failure

The system returned: (24) Too many open files

Squid is unable to create a TCP socket, presumably due to excessive load. Please retry your request.

Your cache administrator is webmaster.

Generated Fri, 04 May 2012 13:15:54 GMT by laptop-01 (squid/2.7.STABLE7)

Zudem, kam manchmal ein Fenster von Google, welches mich nach einem Captcha fragte, da ich Daten verschicke, die für Bots gewöhnlich sind. Ich weiß von all dem nichts. Nachdem Avira und die anderen Programme durchgelaufen sind konnte zwar etwas gefunden werden, von Spybot, aber es hat sich an der Geschwindigkeit nichts verändert.:(

Ich habe mich hier im Forum schon umgeschaut, und gesehen, dass die anderen Member "Berichte" hochgeladen haben von ihren Programmen. Ich als kompletter Neuling in diesem Gebiet, weiß aber nicht wie das geht.
Könnte mir zudem jemand sagen, ob ich mir einen Trojaner, einen Virus oder Spyware eingefangen habe und wie ich diese gegebenenfalls beseitige?

mfg Sky95

Werbepost

Hallo!

Wenn du gerade an deiner Website arbeitest oder dein aktuelles Hosting überdenkst: Wir betreiben mit NetzLiving eine Hosting-Plattform, die speziell auf Performance, Sicherheit und einfache Verwaltung ausgelegt ist.

✔️ Schnelle Ladezeiten (optimiert für WordPress, WoltLab & Co.)
✔️ Deutsche Server & DSGVO-konform
✔️ Persönlicher Support (kein 0815-Ticket-System)

Mehr erfahren

Der Leo

Zitat

Könnte mir zudem jemand sagen, ob ich mir einen Trojaner, einen Virus oder Spyware eingefangen habe und wie ich diese gegebenenfalls beseitige?

Ja klar können wir den hier aufspüren und entfernen. Aber ohne jedliche Logs kann ich dir nicht sagen was da bei dir läuft.

Deshalb bitte folgendes machen.

Schritt 1

Kaspersky TDSSKiller

Lade die TDSSKiller.zip herunter und entpacken sie auf dem Desktop.
Starte die Datei TDSSKiller.exe
Klicke auf Change parameters
Setze einen Haken bei Verify driver digital signatures und Detect TDLFS file system
Klick auf OK und anschließend auf Start scan
Warte bis zum Ende der Untersuchung .
Sollten Threats gefunden werden so wähle Skip aus.
Bestätige unten Links mit Continue
Schließe das Fenster vom TDSSKiller
Navigiere nun zu C:
Lade dort das Log TDSSKiller.2.x.x.x_Tag.Monat.Jahr_Datum_log bitte bei File-Upload.net - Ihr kostenloser File Hoster! hoch und poste die Downloadlinks hier im Forum.

Schritt 2

OTL
Download: http://oldtimer.geekstogo.com/OTL.exe

1. Doppelklick auf die OTL.exe
2. User von Windows 7 und Vista: Rechtsklick als Administrator ausführen
3. Oben findest Du ein Kästchen mit Ausgabe. Wähle bitte Minimal-Ausgabe
4. Setze einen Haken Oben bei Scanne alle Benutzer.
5. Unter "Extra Registrierung wähle "Benutze SafeList"
6. Rechts unten Haken setzen bei "LOP Prüfung" und "Purity Prüfung "
7. Kopiere in die Textbox (ohen das Wort Code: )

Code

[FONT=Verdana]
  netsvcs
msconfig
safebootminimal
safebootnetwork
activex
drivers32
%ALLUSERSPROFILE%\Application Data\*.
%ALLUSERSPROFILE%\Application Data\*.exe /s
%APPDATA%\*.
%APPDATA%\*.exe /s
%SYSTEMDRIVE%\*.exe
/md5start
userinit.exe
eventlog.dll
scecli.dll
netlogon.dll
cngaudit.dll
ws2ifsl.sys
sceclt.dll
ntelogon.dll
logevent.dll
iaStor.sys
nvstor.sys
atapi.sys
IdeChnDr.sys
viasraid.sys
AGP440.sys
vaxscsi.sys
nvatabus.sys
viamraid.sys
nvata.sys
nvgts.sys
iastorv.sys
ViPrt.sys
eNetHook.dll
ahcix86.sys
KR10N.sys
nvstor32.sys
ahcix86s.sys
/md5stop
%systemroot%\system32\drivers\*.sys /lockedfiles
%systemroot%\System32\config\*.sav
%systemroot%\*. /mp /s
%systemroot%\system32\*.dll /lockedfiles[/FONT]

Alles anzeigen

8. Klicke "Scan"
9. Es werden 2 Reporte erstellt:
10. OTL.Txt sowie Extras.Txt
11. Lade bitte das Log bei File-Upload.net - Ihr kostenloser File Hoster! hoch und poste die Downloadlinks hier im Forum.

Sky95

Welche Box ist gemeint? Die unten?

Der Leo

Ja die weise Box unten ist gemeint. Und das was zwischen Schritt 7 & 8 steht kommt in diese weiße Box.

Die 4 Threds sind harmlos.

Sky95

Der Log von TDSSKiller (Es wurden 4 threads gefunden):
File-Upload.net - TDSSKiller.2.7.34.0_04.05.2012_21.26.48_log.txt

Der OTL-Bericht von OTL:
http://www.file-upload.net/download-...4/OTL.Txt.html

Ich hatte dieses Programm schonmal vorher, mit anderen Einstellungen angewand. Nun kommt allerdings keine andere Textdatei mehr bei raus. Soll ich die alte "Extras.txt" Datei hochladen?

Der Leo

Bitte deinstalliere Spybot und Adaware. Dies Programme können uns bei der Bereinigung stören.

Ich schau mir dein Log an und schreibe dir ein Script.

Der Leo

Danach bitte folgendes machen:

Starte bitte die OTL.exe
Deaktiviere dein AntiViren Programm
Kopiere nun folgendes in die Textbox (ohne das Wort Code: ).

Code

:OTL
MOD - C:\Users\a.pro\AppData\Local\Temp\5634709.dll
DRV - (XDva394) -- C:\Windows\system32\XDva394.sys File not found
DRV - (SBRE) -- C:\Windows\system32\drivers\SBREdrv.sys File not found
DRV - (NwlnkFwd) -- system32\DRIVERS\nwlnkfwd.sys File not found
DRV - (NwlnkFlt) -- system32\DRIVERS\nwlnkflt.sys File not found
DRV - (nnfwdk) -- C:\Program Files\NetRatingsNetSight\NetSight\meter1\nnfwdk.sys File not found
DRV - (Lavasoft Kernexplorer) -- C:\Program Files\Lavasoft\Ad-Aware\KernExplorer.sys File not found
DRV - (IpInIp) -- system32\DRIVERS\ipinip.sys File not found
DRV - (EagleNT) -- C:\Windows\system32\drivers\EagleNT.sys File not found
O2 - BHO: (Complitly) - {D27FC31C-6E3D-4305-8D53-ACDAEFA5F862} - C:\Users\a.pro\AppData\Roaming\Complitly\Complitly.dll File not found
:Files
C:\Users\a.pro\AppData\Local\Temp\5634709.dll
:Commands
[purity]
[EMPTYFLASH]
[emptytemp]
[RESETHOSTS]
[Reboot]

Alles anzeigen

• Schliesse bitte nun alle Programme.
• Klicke nun bitte auf den Fix Button.
• OTL kann gegebenfalls einen Neustart verlangen. Bitte dies zulassen.
• Nach dem Neustart findest Du ein Textdokument, dessen Inhalt in deiner nächsten antwort hier reinkopieren.

Deaktiviere dein AntiViren Programm wieder.
Navigiere zu C:/_OTL und packe den Ordner Movedfiles als Rar oder Zip Archiv. Lad das Archivhier hoch und sende mir den Download & Löschlink als Private Nachricht.

Hinweis für Mitleser:

Dieses Script wurde speziell für diesen User erstellt.
Es kann nicht auf anderen System (trotz ähnlicher Sympthome) übertragen werden.
Dieses Script kann bei falscher Anwendungen einen Rechner starke schäden anrichten!

Lad bitte folgende Datei bei Virustotal hoch. Kopiere die URL (wenn der Scan fertig ist!!) hier ins Forum:

C:\Windows\System32\drivers\EFAW.sys
C:\Windows\System32\CmdLineExt03.dll

Sky95

Erstmal Danke für das Script. Echt super, wie ihr euch kümmert und man merkt echt, dass ihr mehr als nur ein bisschen Ahnung habt.
Nun bin ich gerade dabei, mein System nochmal von OTL scannen zu lassen. Diesmal ist Spybot und Ad-Aware deinstalliert. Ich habe aber beim hochfahren 4 versteckte dateien auf meinem Desktop gefunden. Malwarebytes und Avira drüber laufen lassen, aber nicht gefunden. Nur zur sicherheit, habe ich sie nochmal in einem zip-ordner hochgeladen. Wäre echt klasse, wenn ihr mir sagen könntet, ob in diesen noch etwas gefärliches drin war, da diese nur jpgs und txts waren.

Link gelöscht.

Der Leo

Bitte keine "Malware" als Download im Forum anbieten. Du selbst machst dich strafbar und der nächste der die aus Spaß ausprobiert ist bestimmt nicht weit Ich schau mir das mal an was du gefunden hast. Ich weiß auch schon was das ist und kann dir Entwarnung geben.

Wenn du mir Malware zusenden willst dann bitte als Private Nachricht mit Download & Löschlink.

Warum scannst du nochmals mit OTL? Du sollst erstmal das Script ausführen und die 2 Datein bei Virustotal hochladen.

Bei dir sind sowieso einige Toolbars vorhanden die weg sollen. Dazu später mehr.

Sky95

Sorry wegen dem Hochladen. Ich habe nicht nachgedacht, werd mich jetzt dran halten. Also ich habe das gemacht und nun kam ein Fehler.
Siehe Screenshot:

Link gelöscht.

Der Leo

Hi,

Lad mir bitte den Ordner hoch. Ich schau mir die DLL genauer an.
Eine unsignierte DLL im Temp Ordner richt aber sehr stark nach Malware...
Es kann auch gut sein das der Malware nun eine Komponente fehlt.
Wir machen dann morgen weiter.

Sky95

Das Textdokument, das beim Start erschien:
Link gelöscht.

C:\Windows\System32\CmdLineExt03.dll:
https://www.virustotal.com/file/3afab62ab…sis/1336167860/

C:\Windows\System32\drivers\EFAW.sys:
https://www.virustotal.com/file/5949a4dbc…sis/1336167705/

Dann bis morgen. Und danke für alles bis jetzt

PS: Was für Toolbars? In Firefox habe ich nicht eine.

Der Leo

Hi,

Schritt 1

Bitte deinstalliere alles was mit Toolbar zutun hat. Starte den Rechner neu

Schritt 2

OTL
Download: http://oldtimer.geekstogo.com/OTL.exe

1. Doppelklick auf die OTL.exe
2. User von Windows 7 und Vista: Rechtsklick als Administrator ausführen
3. Oben findest Du ein Kästchen mit Ausgabe. Wähle bitte Minimal-Ausgabe
4. Setze einen Haken Oben bei Scanne alle Benutzer.
5. Unter "Extra Registrierung wähle "Benutze SafeList"
6. Rechts unten Haken setzen bei "LOP Prüfung" und "Purity Prüfung "
7. Kopiere in die Textbox (ohen das Wort Code: )

Code

netsvcs
msconfig
safebootminimal
safebootnetwork
activex
drivers32
%ALLUSERSPROFILE%\Application Data\*.
%ALLUSERSPROFILE%\Application Data\*.exe /s
%APPDATA%\*.
%APPDATA%\*.exe /s
%SYSTEMDRIVE%\*.exe
/md5start
userinit.exe
eventlog.dll
scecli.dll
netlogon.dll
cngaudit.dll
ws2ifsl.sys
sceclt.dll
ntelogon.dll
logevent.dll
iaStor.sys
nvstor.sys
atapi.sys
IdeChnDr.sys
viasraid.sys
AGP440.sys
vaxscsi.sys
nvatabus.sys
viamraid.sys
nvata.sys
nvgts.sys
iastorv.sys
ViPrt.sys
eNetHook.dll
ahcix86.sys
KR10N.sys
nvstor32.sys
ahcix86s.sys
/md5stop
%systemroot%\system32\drivers\*.sys /lockedfiles
%systemroot%\System32\config\*.sav
%systemroot%\*. /mp /s
%systemroot%\system32\*.dll /lockedfiles

Alles anzeigen

8. Klicke "Scan"
9. Es werden 2 Reporte erstellt:
10. OTL.Txt sowie Extras.Txt
11. Lade bitte das Log bei File-Upload.net - Ihr kostenloser File Hoster! hoch und poste die Downloadlinks hier im Forum.

Schritt 3

Wende nun den ESET Onlinescanner wie beschrieben an. Bitte den Onlinescanner noch nicht deinstallieren.

http://www.paules-pc-forum.de/forum/4-pc-sic…html#post860310

Sky95

Die Logs kann ich hochladen, aber bei dem Online Scanner ESET sitzt ich nun seit ca. 1,5stunden vor und es geht nicht über 31% hinaus.
Nun grade, wo ich den Post schreibe, ändert sich endlich die Datei.
Hier sind schonmal die Logs:
File-Upload.net - OTL.Txt
File-Upload.net - Extras.Txt

So, knapp 40 min. später is Eset schon fertig
hier ist der Link zum log:
Link gelöscht.

PS: Ich weiß nicht woran es liegt, aber die Aufgerufenen Adressen, werden sehr viel langsamer geladen:
gmx.net vorher 8sek. jetzt 11s.
Google vorher ca. 6sek. nun 9s.

Sky95

Hallo nochmal,
Da sehr oft, wenn ich die Seite nicht erreicht habe kam, dass der Proxy-Server die Verbindung zurückweißt:
Fehler: Proxy-Server verweigert die Verbindung

Firefox wurde konfiguriert, einen Proxy-Server zu nutzen, der die Verbindung zurückweist.

Überprüfen Sie bitte, ob die Proxy-Einstellungen korrekt sind
Kontaktieren Sie bitte Ihren Netzwerk-Administrator, um sicherzustellen, dass der Proxy-Server
funktioniert

habe ich mal geguckt, denn eigentlich benutze ich keinen Proxy, bzw. habe noch nie einen eingestellt.
Nun ist es so, dass die websiten wieder in max. 1 sek. geladen werden
was ist da los? warum war das verändert, und ist bei mir nun eig. etwas drauf?

Der Leo

Hallo,

mach bitte nochmal folgendes:

• Starte bitte die OTL.exe
• Kopiere nun folgendes in die Textbox (ohne das Wort Code: ).

Code

:OTL
IE - HKU\S-1-5-21-1009349552-33517118-3012091644-1000\SOFTWARE\Microsoft\Internet Explorer\Main,StartPageCache = 1
IE - HKU\S-1-5-21-1009349552-33517118-3012091644-1000\..\URLSearchHook:  - No CLSID value found
IE - HKU\S-1-5-21-1009349552-33517118-3012091644-1000\..\URLSearchHook: {855F3B16-6D32-4fe6-8A56-BBB695989046} - No CLSID value found
IE - HKU\S-1-5-21-1009349552-33517118-3012091644-1000\..\SearchScopes,DefaultScope = {C10AA5F0-F6C1-4358-A2F2-1FCA95A992A3}
IE - HKU\S-1-5-21-1009349552-33517118-3012091644-1000\..\SearchScopes\{0633EE93-D776-472f-A0FF-E1416B8B2E3A}: "URL" = http://search.live.com/results.aspx?q={searchTerms}&src={referrer:source?}
IE - HKU\S-1-5-21-1009349552-33517118-3012091644-1000\..\SearchScopes\{0ECDF796-C2DC-4d79-A620-CCE0C0A66CC9}: "URL" = http://search.babylon.com/?q={searchTerms}&AF=109794&babsrc=SP_ss&mntrId=76d3fd08000000000000000df059a8b3
IE - HKU\S-1-5-21-1009349552-33517118-3012091644-1000\..\SearchScopes\{6552C7DD-90A4-4387-B795-F8F96747DE19}: "URL" = http://search.icq.com/search/results.php?q={searchTerms}&ch_id=osd
IE - HKU\S-1-5-21-1009349552-33517118-3012091644-1000\..\SearchScopes\{70D46D94-BF1E-45ED-B567-48701376298E}: "URL" = http://127.0.0.1:4664/search&s=8tXJ2nLQAA81PkfciLDrNhvXbfQ?q={searchTerms}
IE - HKU\S-1-5-21-1009349552-33517118-3012091644-1000\..\SearchScopes\{C10AA5F0-F6C1-4358-A2F2-1FCA95A992A3}: "URL" = http://de.search.yahoo.com/search?fr=chr-greentree_ie&ei=utf-8&ilc=12&type=937811&p={searchTerms}
IE - HKU\S-1-5-21-1009349552-33517118-3012091644-1000\Software\Microsoft\Windows\CurrentVersion\Internet Settings: "ProxyEnable" = 0
FF - prefs.js..browser.search.defaultenginename: "Yahoo"
FF - prefs.js..browser.search.order.1: "Search the web (Babylon)"
FF - prefs.js..browser.search.param.yahoo-fr: "chr-greentree_ff&type=937811&ilc=12"
FF - prefs.js..keyword.URL: "http://de.search.yahoo.com/search?fr=greentree_ff1&ei=utf-8&ilc=12&type=937811&p="
FF - prefs.js..network.proxy.http: "72.64.146.135"
FF - prefs.js..network.proxy.http_port: 3128
FF - prefs.js..network.proxy.type: 1
:Files
ipconfig /flushdns /c
:Commands
[Reboot]

Alles anzeigen

• Schliesse bitte nun alle Programme.
• Klicke nun bitte auf den Fix Button.
• OTL kann gegebenfalls einen Neustart verlangen. Bitte dies zulassen.
• Nach dem Neustart findest Du ein Textdokument, dessen Inhalt in deiner nächsten antwort hier reinkopieren.

Hinweis für Mitleser:

Dieses Script wurde speziell für diesen User erstellt.
Es kann nicht auf anderen System (trotz ähnlicher Sympthome) übertragen werden.

Sky95

wo ist das textdokument?
es befindet sich nicht auf dem Desktop

Der Leo

Schau bitte mal unter C:/_OTL ob du dort ein txt Dokument findest. Removedfiles oder so ähnlich. Schaue auch dort wo Du OTL ausgeführt hast.

Sky95

Hab das jetzt durchsucht, und nachdem ich nichts gefunden habe nochmal ausgeführt. imernoch nichts da.

Der Leo

Hm komisch, dann schau bitte ob das Problem noch auftritt

Jetzt mitmachen!