Malware legt PC lahm, IE öffnet ständig Popups

Surfin`Sue · 19.01.11, 12:53

Hallo ihr Lieben!

Hab mir gestern eine Malware eingefangen, die jetzt meinen PC lahm legt. Verwende Google Chrome, aber IE öffnet mir alle paar Minuten irgendwelche Werbefenster von "Hand lesen, Karten legen, Freunde via Handy ausspionieren, Gewinnspiele etc.. "
das ist beispielsweise einer der Links, die sich öffnen: [ Link nur für registrierte Mitglieder sichtbar. Bitte einloggen oder neu registrieren ]
hab schon mal etwas gegoogled:
[ Link nur für registrierte Mitglieder sichtbar. Bitte einloggen oder neu registrieren ]
steht also auf der Blacklist.. auf jeden Fall leidet mein PC darunter!!!
Hab schon Spybot S&D drüberlaufen lassen, Avira Antivir auch mit neuestem Update, Malwarebytes .. alles mit kleinen Funden, aber das Problem ist trotzdem nicht behoben.
Mein Taskmanager meldet über 60 Prozesse, einige davon sehr "fragwürdig". Ich hab versucht über "Prozesse aller Nutzer anzeigen" etwas mehr herauszufinden, allerdings reagiert die Schaltfläche nicht mehr. Im TM läuft irgendeine .exe mit Internet Personalisation aus dem Dateipfad local/TEMP. Die verbraucht extrem viel Arbeitsspeicher, hab auch schon deswegen den ganzen TempOrdner geleert, da auch da etliche Dateien drin waren, die gestern ohne mein Wissen erstellt wurden. Unter anderem waren darin ein WindowsOrdner mit InternetExplorer, Sidebar usw.. Dinge, die eben seit gestern beeinflusst sind. Sidebar funktioniert nicht mehr bzw nur noch sehr komisch, IE, den ich ja nicht verwende, hat diese Popups usw..
Hat jemand eine Idee?
Lasse gerade noch den Spyware Doctor drüberlaufen.. mal schauen ob da noch etwas gefunden wird.
Anbei mal mein aktuelles Hijack-Logfile:

Logfile of Trend Micro HijackThis v2.0.4
Scan saved at 13:35:15, on 19.01.2011
Platform: Windows 7 (WinNT 6.00.3504)
MSIE: Internet Explorer v8.00 (8.00.7600.16700)
Boot mode: Normal

Running processes:
C:\Program Files (x86)\Skype\Phone\Skype.exe
C:\Program Files (x86)\Spybot - Search & Destroy\TeaTimer.exe
C:\Program Files (x86)\Skype\Plugin Manager\skypePM.exe
C:\Users\v3nus2020\AppData\Local\Google\Chrome\App lication\chrome.exe
C:\Users\v3nus2020\AppData\Local\Google\Chrome\App lication\chrome.exe
C:\Users\v3nus2020\AppData\Local\Google\Chrome\App lication\chrome.exe
C:\Users\v3nus2020\AppData\Local\Google\Chrome\App lication\chrome.exe
C:\Users\v3nus2020\AppData\Local\Google\Chrome\App lication\chrome.exe
C:\Users\v3nus2020\AppData\Local\Google\Chrome\App lication\chrome.exe
C:\Users\v3nus2020\AppData\Local\Google\Chrome\App lication\chrome.exe
C:\Users\v3nus2020\AppData\Local\Google\Chrome\App lication\chrome.exe
C:\Users\v3nus2020\Downloads\HiJackThis204.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = [ Link nur für registrierte Mitglieder sichtbar. Bitte einloggen oder neu registrieren ]
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = [ Link nur für registrierte Mitglieder sichtbar. Bitte einloggen oder neu registrieren ]
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = [ Link nur für registrierte Mitglieder sichtbar. Bitte einloggen oder neu registrieren ]
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = [ Link nur für registrierte Mitglieder sichtbar. Bitte einloggen oder neu registrieren ]
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = [ Link nur für registrierte Mitglieder sichtbar. Bitte einloggen oder neu registrieren ]
R0 - HKLM\Software\Microsoft\Internet Explorer\Search,SearchAssistant =
R0 - HKLM\Software\Microsoft\Internet Explorer\Search,CustomizeSearch =
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Local Page = C:\Windows\SysWOW64\blank.htm
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName =
R3 - URLSearchHook: (no name) - - (no file)
R3 - URLSearchHook: Yahoo! Toolbar - {EF99BD32-C1FB-11D2-892F-0090271D4F88} - C:\Program Files (x86)\Yahoo!\Companion\Installs\cpn\yt.dll
F2 - REG:system.ini: UserInit=userinit.exe,
O2 - BHO: &Yahoo! Toolbar Helper - {02478D38-C3F9-4efb-9B51-7695ECA05670} - C:\Program Files (x86)\Yahoo!\Companion\Installs\cpn\yt.dll
O2 - BHO: HP Print Enhancer - {0347C33E-8762-4905-BF09-768834316C61} - C:\Program Files (x86)\HP\Digital Imaging\Smart Web Printing\hpswp_printenhancer.dll
O2 - BHO: AcroIEHelperStub - {18DF081C-E8AD-4283-A596-FA578C2EBDC3} - C:\Program Files (x86)\Common Files\Adobe\Acrobat\ActiveX\AcroIEHelperShim.dll
O2 - BHO: Increase performance and video formats for your HTML5 <video> - {326E768D-4182-46FD-9C16-1449A49795F4} - C:\Program Files (x86)\DivX\DivX Plus Web Player\npdivx32.dll
O2 - BHO: Spybot-S&D IE Protection - {53707962-6F74-2D53-2644-206D7942484F} - C:\Program Files (x86)\Spybot - Search & Destroy\SDHelper.dll
O2 - BHO: Use the DivX Plus Web Player to watch web videos with less interruptions and smoother playback on supported sites - {593DDEC6-7468-4cdd-90E1-42DADAA222E9} - C:\Program Files (x86)\DivX\DivX Plus Web Player\npdivx32.dll
O2 - BHO: Windows Live Anmelde-Hilfsprogramm - {9030D464-4C02-4ABF-8ECC-5164760863C6} - C:\Program Files (x86)\Common Files\Microsoft Shared\Windows Live\WindowsLiveLogin.dll
O2 - BHO: SkypeIEPluginBHO - {AE805869-2E5C-4ED4-8F7B-F1F7851A4497} - C:\Program Files (x86)\Skype\Toolbars\Internet Explorer\skypeieplugin.dll
O2 - BHO: Java(tm) Plug-In 2 SSV Helper - {DBC80044-A445-435b-BC74-9C25C1C588A9} - C:\Program Files (x86)\Java\jre6\bin\jp2ssv.dll
O2 - BHO: SingleInstance Class - {FDAD4DA1-61A2-4FD8-9C17-86F7AC245081} - C:\Program Files (x86)\Yahoo!\Companion\Installs\cpn\YTSingleInstan ce.dll
O2 - BHO: HP Smart BHO Class - {FFFFFFFF-CF4E-4F2B-BDC2-0E72E116A856} - C:\Program Files (x86)\HP\Digital Imaging\Smart Web Printing\hpswp_BHO.dll
O3 - Toolbar: Yahoo! Toolbar - {EF99BD32-C1FB-11D2-892F-0090271D4F88} - C:\Program Files (x86)\Yahoo!\Companion\Installs\cpn\yt.dll
O4 - HKLM\..\Run: [avgnt] "C:\Program Files (x86)\Avira\AntiVir Desktop\avgnt.exe" /min
O4 - HKCU\..\Run: [ICQ] ~"C:\Program Files (x86)\ICQ7.2\ICQ.exe" silent loginmode=4
O4 - HKCU\..\Run: [Skype] "C:\Program Files (x86)\Skype\Phone\Skype.exe" /nosplash /minimized
O4 - HKCU\..\Run: [SpybotSD TeaTimer] C:\Program Files (x86)\Spybot - Search & Destroy\TeaTimer.exe
O8 - Extra context menu item: Add to Google Photos Screensa&ver - res://C:\Windows\system32\GPhotos.scr/200
O8 - Extra context menu item: Free YouTube Download - C:\Users\v3nus2020\AppData\Roaming\DVDVideoSoftIEH elpers\youtubedownload.htm
O9 - Extra button: ICQ7.2 - {72EFBFE4-C74F-4187-AEFD-73EA3BE968D6} - C:\Program Files (x86)\ICQ7.2\ICQ.exe
O9 - Extra 'Tools' menuitem: ICQ7.2 - {72EFBFE4-C74F-4187-AEFD-73EA3BE968D6} - C:\Program Files (x86)\ICQ7.2\ICQ.exe
O9 - Extra button: Skype add-on for Internet Explorer - {898EA8C8-E7FF-479B-8935-AEC46303B9E5} - C:\Program Files (x86)\Skype\Toolbars\Internet Explorer\skypeieplugin.dll
O9 - Extra 'Tools' menuitem: Skype add-on for Internet Explorer - {898EA8C8-E7FF-479B-8935-AEC46303B9E5} - C:\Program Files (x86)\Skype\Toolbars\Internet Explorer\skypeieplugin.dll
O9 - Extra button: HP Smart Web Printing ein- oder ausblenden - {DDE87865-83C5-48c4-8357-2F5B1AA84522} - C:\Program Files (x86)\HP\Digital Imaging\Smart Web Printing\hpswp_BHO.dll
O9 - Extra button: (no name) - {DFB852A3-47F8-48C4-A200-58CAB36FD2A2} - C:\Program Files (x86)\Spybot - Search & Destroy\SDHelper.dll
O9 - Extra 'Tools' menuitem: Spybot - Search && Destroy Configuration - {DFB852A3-47F8-48C4-A200-58CAB36FD2A2} - C:\Program Files (x86)\Spybot - Search & Destroy\SDHelper.dll
O16 - DPF: {D27CDB6E-AE6D-11CF-96B8-444553540000} (Shockwave Flash Object) - [ Link nur für registrierte Mitglieder sichtbar. Bitte einloggen oder neu registrieren ]
O18 - Protocol: skype-ie-addon-data - {91774881-D725-4E58-B298-07617B9B86A8} - C:\Program Files (x86)\Skype\Toolbars\Internet Explorer\skypeieplugin.dll
O18 - Protocol: skype4com - {FFC8B962-9B40-4DFF-9458-1830C7DD7F5D} - C:\PROGRA~2\COMMON~1\Skype\SKYPE4~1.DLL
O23 - Service: @%SystemRoot%\system32\Alg.exe,-112 (ALG) - Unknown owner - C:\Windows\System32\alg.exe (file missing)
O23 - Service: Avira AntiVir Planer (AntiVirSchedulerService) - Avira GmbH - C:\Program Files (x86)\Avira\AntiVir Desktop\sched.exe
O23 - Service: Avira AntiVir Guard (AntiVirService) - Avira GmbH - C:\Program Files (x86)\Avira\AntiVir Desktop\avguard.exe
O23 - Service: @%SystemRoot%\system32\efssvc.dll,-100 (EFS) - Unknown owner - C:\Windows\System32\lsass.exe (file missing)
O23 - Service: @%systemroot%\system32\fxsresm.dll,-118 (Fax) - Unknown owner - C:\Windows\system32\fxssvc.exe (file missing)
O23 - Service: Google Update Service (gupdate) (gupdate) - Google Inc. - C:\Program Files (x86)\Google\Update\GoogleUpdate.exe
O23 - Service: Google Updater Service (gusvc) - Google - C:\Program Files (x86)\Google\Common\Google Updater\GoogleUpdaterService.exe
O23 - Service: @keyiso.dll,-100 (KeyIso) - Unknown owner - C:\Windows\system32\lsass.exe (file missing)
O23 - Service: @comres.dll,-2797 (MSDTC) - Unknown owner - C:\Windows\System32\msdtc.exe (file missing)
O23 - Service: @%SystemRoot%\System32\netlogon.dll,-102 (Netlogon) - Unknown owner - C:\Windows\system32\lsass.exe (file missing)
O23 - Service: NVIDIA Display Driver Service (nvsvc) - Unknown owner - C:\Windows\system32\nvvsvc.exe (file missing)
O23 - Service: @%systemroot%\system32\psbase.dll,-300 (ProtectedStorage) - Unknown owner - C:\Windows\system32\lsass.exe (file missing)
O23 - Service: @%systemroot%\system32\Locator.exe,-2 (RpcLocator) - Unknown owner - C:\Windows\system32\locator.exe (file missing)
O23 - Service: @%SystemRoot%\system32\samsrv.dll,-1 (SamSs) - Unknown owner - C:\Windows\system32\lsass.exe (file missing)
O23 - Service: SBSD Security Center Service (SBSDWSCService) - Safer Networking Ltd. - C:\Program Files (x86)\Spybot - Search & Destroy\SDWinSec.exe
O23 - Service: @%SystemRoot%\system32\snmptrap.exe,-3 (SNMPTRAP) - Unknown owner - C:\Windows\System32\snmptrap.exe (file missing)
O23 - Service: @%systemroot%\system32\spoolsv.exe,-1 (Spooler) - Unknown owner - C:\Windows\System32\spoolsv.exe (file missing)
O23 - Service: @%SystemRoot%\system32\sppsvc.exe,-101 (sppsvc) - Unknown owner - C:\Windows\system32\sppsvc.exe (file missing)

Vielen Dank für Eure Ratschläge,

mfg Sue

Undertaker2011 · 19.01.11, 13:18

Ich weiß nicht ob [ Link nur für registrierte Mitglieder sichtbar. Bitte einloggen oder neu registrieren ] auf einem Rechner ohne Norton-Produkt funktioniert, aber ein Versuch kann nicht schaden!

Surfin`Sue · 19.01.11, 14:18

aber klappt das auch, wenn der PC schon infiziert ist? Weil es ja eine Backup-software ist.. dooferweise hab ich natürlich KEINEN Wiederherstellungspunkt in Windows gesetzt, sonst wär ja auch so eine Bereinigung machbar.
Ach nochwas, die Malware lässt mich einige Programme nicht mehr installieren, spywareDoctor ist abgekackt "...installer funktioniert nicht mehr", nach nem Reboot hats zwar geklappt, hier sind die Funde:
<img src="C:\Users\v3nus2020\Desktop\Zwischenablage52.j pg" alt="Grafik">
leider kann ich diese nur mit der Vollversion löschen.

Komisch war auch, dass wenn ich mich nun versuche hier im Forum anzumelden, zwar die Bestätigung der richtigen Passworteingabe usw.. kommt (bin auf automatisch anmelden), ich allerdings jedes mal wieder zum Anmeldebildschirm komme, so als hätte ich mich immer noch nicht eingeloggt.. wenn ich allerdings nicht nochmal anmelde, sondern iwo ins Forum klicke, kommt plötzlich oben dass ich doch eingeloggt bin. ..

Surfin`Sue · 19.01.11, 14:22

oh.. hier die grafik:

Undertaker2011 · 19.01.11, 14:26

Dafür ist das Programm ja da! Diese Tool ist ein Recovery-Tool kein Backup-Tool!
Stark infizierte Rechner Offline, also bevor Windows und Schad-Programme geladen werden, zu scannen und zu säubern!

PS: Jetzt sehe ich das Bild auch! Spyware Doctor sieht zwar schick aus bringt aber eher wenig! Ich benutze seit Jahren nur ein Programm zur Sicherheit: Norton Internet Security. Lad Dir Doch mal eine Testversion [ Link nur für registrierte Mitglieder sichtbar. Bitte einloggen oder neu registrieren ] runter

Surfin`Sue · 19.01.11, 15:27

hahaaaa.. ich kann leider keine cd erstellen...

plötzlich ist mein DVD Brenner und DVD laufwerk nicht mehr vorhanden, ist angestöpselt, alles richtig gejumpert usw... hab nix verändert...

Undertaker2011 · 19.01.11, 15:33

Wenn Dein USB noch funktioniert, dann erstelle doch einen Bootbaren-Recovery-Stick!

Oder aber SYSTEM NEUINSTALLIEREN!

mr. c&c · 19.01.11, 15:38

Es ist anscheinend schon weniger Arbeit den PC neu aufzusetzen als den Malware zu löschen. Mit Win7 geht das eh ziemlich schnell :-)

Surfin`Sue · 19.01.11, 15:52

ich hab nur leider keine Windows CD, da windows auf meinem Rechner vorinstalliert war und ohne CD gekommen ist. deswegen ist das mit dem neuaufsetzen so ne Sach..
eh, nach Neustart waren die Laufwerke wieder da, offensichtlich "schaltet" die malware oder was auch immer das nach ner gewissen Zeit ab. Konnte die CD brennen, auch booten, jedoch... fehlt halt leider ein Produktschlüssel.. ich hab zwar irgendwann mal bei meinem Intenetanschluss Norton mitbestellt.. aber den Anschluss hab ich mittleweile nimmer und den Produktschlüssel auch ned.. also scheiterts auch hier... Sch.............

Undertaker2011 · 19.01.11, 16:02

Traust Du Dir es zu Windows 7 [ Link nur für registrierte Mitglieder sichtbar. Bitte einloggen oder neu registrieren ] runter zu laden?

Wenn ja, suche die richtige aus, brenne es wenn möglich auf DVD, dann kannst Du es Booten!
Mit [ Link nur für registrierte Mitglieder sichtbar. Bitte einloggen oder neu registrieren ] kannst Du Dein installierten Windows-Key auslesen, um Windows später aktivieren zu können!

houseverstand · 24.01.11, 17:34

Also hab jetzt mal eine sehr einfache aber effiziente Lösung gefunden.

Da Malware sich meistens ins Windows selbst reinsetzt ist es klar dass konventionelle Virenscans keien Funde machen, da sie nur auf der Oberfläche scannen.

Man muss einen Virenscan vor dem Systemstart machen.

Das ganze funktioniert mit avast ([ Link nur für registrierte Mitglieder sichtbar. Bitte einloggen oder neu registrieren ]) und ist eine freeware.

Nach dem Installieren einfach startzeitprüfung aktivieren und neustarten.

Während dem Scan wird dann das infizierte file gefunden und dann einfach löschen udn fertig scannen lassen.

und schon ist die ganz Sache gegessen =)