Firefox sehr langsam - Malware eingefangen?

TanteU

Hallo Road-Runner,

Danke Dir für das Durchsehen des LogFiles.

Zitat

gefunden: Trojan.Agent.ARBZ (B):
Das allein wäre für mich schon Anlass genug das ganze System neu zu installieren.

Da hast Du Recht... leider nur zu sehr. Man weiß ja auch nicht, ob er gleich abgefangen wurde oder erst emsig Schaden angerichtet hat und dann erst in Quarantäne kam.

Den hier verlinkten Artikel, beide Teile, habe ich heute schon gelesen. Da bekomm ich das Gruseln...
Ein befallenes System kann man nicht säubern.

Zitat

Ob es Dir genügt dass dieser Trojaner sich in Quarantäne befindet musst Du entscheiden. Ich würde einem solchen System auf jeden Fall nicht mehr vertrauen.

Malwarebytes listet obendrein bislang noch in Quarantäne Backdoor.bot 9x und Virus.Tenga 2x auf, alle anderen sind PUPs, davon laufen 2 frei herum. Die PUPs kann ich löschen, was ich einer Antwort hier im Forum entnahm. Kann ich ARBZ, Tenga und Backdoor.bots ebenfalls löschen oder zerschießt das XP sofort? Das wäre wenigstens eine Vorsichtsmaßnahme bis ich alle Infos habe, die ich für ein Neuaufsetzen des Systems nach Formatierung noch brauche.

Die von BS2000 vorgeschlagene Lösung hatte ich ähnlich schon angedacht, bislang aber ohne VM, das ich noch erkunden muß. Eines ist aber jetzt schon sicher, der Spaß am Internet ist vorbei - künftig werde ich vielleicht noch 5-10 Seiten aufsuchen, die ich schon länger kenne und Schluß ist. Stattdessen werde ich zu Büchern aus Papier greifen!

Morgen stelle ich noch die LogFiles von Malwarebytes und AdwCleaner ein und hoffe dann erstmal alles löschen zu dürfen und zu "können".

Herzliche Grüße,
TanteU

Road-Runner

PUPs können problemlos gelöscht werden. Was ARBZ, Tenga und Backdoor.bots betrifft: diese sollten, wenn sie sich in Quarantäne befinden, theoretisch keinen weiteren Schaden anrichten. Ich lege meine Hand aber dafür nicht ins Feuer.

So oder so: das System ist hochgradig verseucht und du solltest mit diesem System auf keinen Fall mehr ins Internet gehen. Als vorläufige Maßnahme könntest Du eine Linux Live-CD nutzen, bis du alle Infos hast, die Du für ein Neuaufsetzen des Systems nach Formatierung noch brauchst.

Dass Online-Banking mit diesem Rechner tabu ist brauche ich wohl nicht extra zu betonen.

Zitat

Die von BS2000 vorgeschlagene Lösung hatte ich ähnlich schon angedacht, bislang aber ohne VM, das ich noch erkunden muß.

Als Info: Dual Boot mit Ubuntu und Windows. Ich würde aber, genau wie BS2000, eine VM empfehlen. Dann ist Dein XP 'eingesperrt' und kann nicht ins Netz, wenn Du keine Internetverbindung einrichtest.

Zitat

Eines ist aber jetzt schon sicher, der Spaß am Internet ist vorbei

Dann machst Du etwas Grundsätzliches falsch. Ich nutze Internet seit mindestens 15 Jahren intensiv und hatte noch nie einen Malwarebefall. Natürlich ist mein Rechner abgesichert (siehe mein Sicherheitskonzept) und ich halte Betriebssystem und Programme immer auf dem neuesten Stand.

Darklord666

Zitat von TanteU

Da hast Du Recht... leider nur zu sehr. Man weiß ja auch nicht, ob er gleich abgefangen wurde oder erst emsig Schaden angerichtet hat und dann erst in Quarantäne kam.

Du hast das Ausmass des Problems schon richtig erkannt.

Zitat von TanteU

Den hier verlinkten Artikel, beide Teile, habe ich heute schon gelesen. Da bekomm ich das Gruseln...
Ein befallenes System kann man nicht säubern.

Stimmt, er ist zwar urmelalt trifft aber voll und ganz zu.

Zitat von TanteU

Malwarebytes listet obendrein bislang noch in Quarantäne Backdoor.bot 9x und Virus.Tenga 2x auf, alle anderen sind PUPs, davon laufen 2 frei herum. Die PUPs kann ich löschen, was ich einer Antwort hier im Forum entnahm. Kann ich ARBZ, Tenga und Backdoor.bots ebenfalls löschen oder zerschießt das XP sofort? Das wäre wenigstens eine Vorsichtsmaßnahme bis ich alle Infos habe, die ich für ein Neuaufsetzen des Systems nach Formatierung noch brauche.

Rumdoktern macht echt keinen Sinn. Dafür ist das System offensichtlich zu stark unterwandert. Sichere alle Daten (Video,Audiodateien u.ä., keine ausführbaren Dateien wie Programme/Spiele) und setze das System komplett neu auf und installiere ein aktuelles Betriebssystem (Win 7 oder eine Linuxdistribution).

Zitat von TanteU

Die von BS2000 vorgeschlagene Lösung hatte ich ähnlich schon angedacht, bislang aber ohne VM, das ich noch erkunden muß. Eines ist aber jetzt schon sicher, der Spaß am Internet ist vorbei - künftig werde ich vielleicht noch 5-10 Seiten aufsuchen, die ich schon länger kenne und Schluß ist. Stattdessen werde ich zu Büchern aus Papier greifen!

Mit durchlöchertem XP ins Internet zu gehen ist nicht nur für deinen Rechner riskant. Es gefährdet auch andere Systeme im Netz.

Falls du eine weitere fachliche (kostenlose) Meinung benötigst, solltest du eine Anfrage auf http://www.trojaner-board.de/ formulieren. Die sind auf Malwareanalyse spezialisiert.

spaddel

Zitat

solltest du eine Anfrage auf...

da hat sie bestimmt auch schon dran gedacht, es dann aber verworfen und ist mit dem schwachsinnigen Gelaber dann hier gelandet... :mrgreen:

Road-Runner

Zitat von TanteU

Konnte bisher nicht herausbekommen, ob die mit Corel Office kompatibel sind.

Laut Webseite des Herstellers schon. Allerdings weiss ich jetzt nicht ob Du auch die aktuellste Version hast. Ältere Versionen laufen wahrscheinlich eher nicht mit Windows 7 oder 8. Da müsste eigentlich der Support von Corel Dir weiter helfen können.

Zitat

Systemanforderungen: Microsoft® Windows® 8, Microsoft® Windows® 7, Windows Vista® Home Basic, Home Premium, Ultimate und Business (32-Bit- und 64-Bit) oder Windows® XP Home, Media oder Professional Edition (32-Bit- und 64-Bit) (mit dem neuesten Service-Pack und allen wichtigen Updates)

Quelle

Fox2Fox

Zitat von TanteU

MS-Programme haben die schlechte Angewohnheit sich gleich zu installieren, ohne vorher zu fragen wohin sie sollen. Das ist mir einfach zu gefährlich.

Du hast Probleme....

Das ist dir zu gefährlich, wenn Standardpfade gewählt werden? Kann nicht dein Ernst sein!

Wenn ich mir die Inhalte deiner Beiträge anschaue, springt mir da eine ganz andere und echte Gefährlichkeit entgegen.

Bei dermaßen großer Resistenz bleibt mir nur ein Tschöö!

BS2000

TanteU

Zitat

Was mir bezüglich VM einfällt ist, kann der gleiche Effekt nicht mit der Installation auf zwei verschiedenen Partitionen, eine für XP und eine für Ubuntu erreicht werden? [...] Es gibt ja noch Dual-Boot, was mir aber zu umständlich ist und mein BIOS macht da wahrscheinlich Zicken, ... .

Die Installation in einer VM hat den Vorteil, dass du beide Betriebssysteme gleichzeitig nebeneinander betreiben kannst. Zum "Surfen" musst du also nicht neu booten.
Wie bereits geschrieben, ist ein weiterer Vorteil der, dass du die gesamte VM in Sekundenschnelle wieder zurücksetzen kannst. (Daten solltest du natürlich außerhalb der VM speichern).

Eine VM hat Einschränkungen gegenüber einem normal installierten Betriebssystem, z.B. in der Performance. Wenn du wirklich die Disziplin aufbringst, das System neu zu booten, sobald du ins Internet möchtest, dann ist Dual-Boot der Weg der Wahl. Die Verführung, dann doch mit xp zu surfen, ist aber sicherlich hoch.

Ubuntu bringt standardmäßig den Boot-Manager Grub mit und lässt sich parallel installieren. Am BIOS muss dazu nichts verstellt werden.

Egal ob VM oder Parallelinstallation, für die Daten bzw. den Datenaustausch solltest du dir ein zusätzliche Partition einrichten, die von beiden OS aus erreicht werden kann. Ubuntu kann mit NTFS umgehen, Windows umgekehrt aber nicht mit ext und Co. .

spaddel

Zitat

und ist mit dem schwachsinnigen Gelaber dann hier gelandet... :mrgreen:

Was für ein gehaltvoller Beitrag. Du solltest deinen Maßstab nicht nur auf TanteU sondern mal besser auf dich selbst anwenden. Solche Beleidigungen braucht es nicht.

TanteU

Hallo Fox2Fox,

Zitat

Der Begriff "triftig" scheint Dir nicht bekannt zu sein, daher hier eine Erläuterung:
trif|tig
Bedeutung: sehr überzeugend, einleuchtend, schwerwiegend; zwingend, stichhaltig
Beispiele: triftige Gründe, Argumente, Motive
Synonyme zu triftig:
begründet, bestechend, bündig, einleuchtend, glaubwürdig, hieb- und stichfest, logisch, plausibel, schlagend, schlüssig, stichhaltig, überzeugend, unangreifbar, unwiderlegbar, zwingend;
http://www.duden.de/rechtschreibun…ig_ueberzeugend

Zitat

Der Standardpfad wäre C:\ und würde somit automatisch das jetzige OS überschreiben... Und dann ginge gar nichts mehr!

Gruß,
TanteU

TanteU

Hallo Road-Runner,

erst nochmal herzlichsten Dank an Dich, BS2000, Darklord666, Boersenfeger für die hilfreichen Informationen!

Hier das Log von AdwCleaner:

Code

# AdwCleaner v3.211 - Bericht erstellt am 31/05/2014 um 14:17:53
# Aktualisiert 26/05/2014 von Xplode
# Betriebssystem : Microsoft Windows XP Service Pack 3 (32 bits)
# Benutzername : utc - T-7EF7C8D8702C4
# Gestartet von : D:\Programme\ADW Cleaner\adwcleaner_3.211.exe
# Option : Suchen


***** [ Dienste ] *****


Dienst Gefunden : SystemStoreService


***** [ Dateien / Ordner ] *****


Datei Gefunden : C:\Dokumente und Einstellungen\utc\Startmenü\Startfenster.lnk
Ordner Gefunden : C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\ParetoLogic
Ordner Gefunden : C:\Dokumente und Einstellungen\utc\Anwendungsdaten\DriverCure
Ordner Gefunden : C:\Dokumente und Einstellungen\utc\Anwendungsdaten\dvdvideosoftiehelpers
Ordner Gefunden : C:\Dokumente und Einstellungen\utc\Anwendungsdaten\Mozilla\Firefox\Profiles\5sa76xb9.default\Conduit
Ordner Gefunden : C:\Dokumente und Einstellungen\utc\Anwendungsdaten\Mozilla\Firefox\Profiles\5sa76xb9.default\Extensions\save-as-pdf-ff@pdfcrowd(2).com
Ordner Gefunden : C:\Dokumente und Einstellungen\utc\Anwendungsdaten\OpenCandy
Ordner Gefunden : C:\Dokumente und Einstellungen\utc\Anwendungsdaten\ParetoLogic
Ordner Gefunden : C:\Dokumente und Einstellungen\utc\Lokale Einstellungen\Anwendungsdaten\Conduit
Ordner Gefunden : C:\Programme\Conduit
Ordner Gefunden : C:\Programme\Gemeinsame Dateien\ParetoLogic


***** [ Verknüpfungen ] *****


***** [ Registrierungsdatenbank ] *****


Schlüssel Gefunden : HKCU\Software\APN PIP
Schlüssel Gefunden : HKCU\Software\AppDataLow\Software
Schlüssel Gefunden : HKCU\Software\Conduit
Schlüssel Gefunden : HKCU\Software\IGearSettings
Schlüssel Gefunden : HKCU\Software\Microsoft\Internet Explorer\SearchScopes\{1CB20BF0-BBAE-40A7-93F4-6435FF3D0411}
Schlüssel Gefunden : HKCU\Software\Microsoft\Windows\CurrentVersion\Ext\Settings\{000123B4-9B42-4900-B3F7-F4B073EFC214}
Schlüssel Gefunden : HKCU\Software\Microsoft\Windows\CurrentVersion\Ext\Settings\{1CB20BF0-BBAE-40A7-93F4-6435FF3D0411}
Schlüssel Gefunden : HKCU\Software\Microsoft\Windows\CurrentVersion\Ext\Settings\{201F27D4-3704-41D6-89C1-AA35E39143ED}
Schlüssel Gefunden : HKCU\Software\Microsoft\Windows\CurrentVersion\Ext\Settings\{3041D03E-FD4B-44E0-B742-2D9B88305F98}
Schlüssel Gefunden : HKCU\Software\Microsoft\Windows\CurrentVersion\Ext\Settings\{4B3803EA-5230-4DC3-A7FC-33638F3D3542}
Schlüssel Gefunden : HKCU\Software\Microsoft\Windows\CurrentVersion\Ext\Stats\{000123B4-9B42-4900-B3F7-F4B073EFC214}
Schlüssel Gefunden : HKCU\Software\Microsoft\Windows\CurrentVersion\Ext\Stats\{1CB20BF0-BBAE-40A7-93F4-6435FF3D0411}
Schlüssel Gefunden : HKCU\Software\Microsoft\Windows\CurrentVersion\Ext\Stats\{201F27D4-3704-41D6-89C1-AA35E39143ED}
Schlüssel Gefunden : HKCU\Software\Microsoft\Windows\CurrentVersion\Ext\Stats\{2974C985-8151-4DE5-B23C-B875F0A8522F}
Schlüssel Gefunden : HKCU\Software\Microsoft\Windows\CurrentVersion\Ext\Stats\{3041D03E-FD4B-44E0-B742-2D9B88305F98}
Schlüssel Gefunden : HKCU\Software\Microsoft\Windows\CurrentVersion\Ext\Stats\{4B3803EA-5230-4DC3-A7FC-33638F3D3542}
Schlüssel Gefunden : HKCU\Software\Microsoft\Windows\CurrentVersion\Ext\Stats\{7854F00C-DC77-477E-A10E-603F48442D3B}
Schlüssel Gefunden : HKCU\Software\Microsoft\Windows\CurrentVersion\Ext\Stats\{8736C681-37A0-40C6-A0F0-4C083409151C}
Schlüssel Gefunden : HKCU\Software\ParetoLogic
Schlüssel Gefunden : HKCU\Software\PIP
Schlüssel Gefunden : HKCU\Software\Softonic
Schlüssel Gefunden : HKCU\Software\YahooPartnerToolbar
Schlüssel Gefunden : HKLM\Software\AskBarDis
Schlüssel Gefunden : HKLM\SOFTWARE\Classes\CLSID\{3C471948-F874-49F5-B338-4F214A2EE0B1}
Schlüssel Gefunden : HKLM\SOFTWARE\Classes\CLSID\{9AFB8248-617F-460D-9366-D71CDEDA3179}
Schlüssel Gefunden : HKLM\SOFTWARE\Classes\driverscanner
Schlüssel Gefunden : HKLM\SOFTWARE\Classes\FunWebProductsInstaller.Start
Schlüssel Gefunden : HKLM\SOFTWARE\Classes\Interface\{03E2A1F3-4402-4121-8B35-733216D61217}
Schlüssel Gefunden : HKLM\SOFTWARE\Classes\Interface\{9E3B11F6-4179-4603-A71B-A55F4BCB0BEC}
Schlüssel Gefunden : HKLM\SOFTWARE\Classes\Toolbar.CT1060933
Schlüssel Gefunden : HKLM\SOFTWARE\Classes\TypeLib\{1D4DB7D0-6EC9-47A3-BD87-1E41684E07BB}
Schlüssel Gefunden : HKLM\SOFTWARE\Classes\TypeLib\{9C049BA6-EA47-4AC3-AED6-A66D8DC9E1D8}
Schlüssel Gefunden : HKLM\Software\Conduit
Schlüssel Gefunden : HKLM\SOFTWARE\Google\Chrome\Extensions\bpegkgagfojjbcpkihigfmkojdmmimdf
Schlüssel Gefunden : HKLM\SOFTWARE\Google\Chrome\Extensions\ehgldbbpchgpcfagfpfjgoomddhccfgh
Schlüssel Gefunden : HKLM\SOFTWARE\Microsoft\Internet Explorer\Low Rights\ElevationPolicy\{4250488A-CB24-0893-C066-B1AEA57BCFF2}
Schlüssel Gefunden : HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\App Management\ARPCache\Ask Toolbar_is1
Schlüssel Gefunden : HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\App Management\ARPCache\CToolbar_UNINSTALL
Schlüssel Gefunden : HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Ext\PreApproved\{1D4DB7D2-6EC9-47A3-BD87-1E41684E07BB}
Schlüssel Gefunden : HKLM\SOFTWARE\MozillaPlugins\@funwebproducts.com/Plugin
Schlüssel Gefunden : HKLM\Software\ParetoLogic
Schlüssel Gefunden : HKLM\Software\PIP
Schlüssel Gefunden : HKLM\Software\SearchProtect
Schlüssel Gefunden : HKLM\Software\Uniblue
Wert Gefunden : HKCU\Software\Microsoft\Internet Explorer\Toolbar\WebBrowser [{4B3803EA-5230-4DC3-A7FC-33638F3D3542}]


***** [ Browser ] *****


-\\ Internet Explorer v8.0.6001.18702


Einstellung Gefunden : HKCU\Software\Microsoft\Internet Explorer\Main [Start Page] - hxxp://www.startfenster.de


-\\ Mozilla Firefox v24.5.0 (de)


[ Datei : C:\Dokumente und Einstellungen\utc\Anwendungsdaten\Mozilla\Firefox\Profiles\5sa76xb9.default\prefs.js ]


Zeile gefunden : user_pref("CT1060933.AboutPrivacyUrl", "hxxp://www.conduit.com/privacy/Default.aspx");
Zeile gefunden : user_pref("CT1060933.CTID", "CT1060933");
Zeile gefunden : user_pref("CT1060933.CommunitiesChangesLastCheckTime", "Sat Oct 23 2010 22:40:04 GMT+0200");
Zeile gefunden : user_pref("CT1060933.CommunityChanged", true);
Zeile gefunden : user_pref("CT1060933.CurrentServerDate", "23-10-2010");
Zeile gefunden : user_pref("CT1060933.DialogsAlignMode", "LTR");
Zeile gefunden : user_pref("CT1060933.DownloadDomainsCheckInterval", "168");
Zeile gefunden : user_pref("CT1060933.DownloadDomainsListLastCheckTime", "Fri Oct 22 2010 20:16:18 GMT+0200");
Zeile gefunden : user_pref("CT1060933.DownloadDomainsListLastServerUpdateTime", "1201073583");
Zeile gefunden : user_pref("CT1060933.DownloadReferralCookieData", "");
Zeile gefunden : user_pref("CT1060933.FirstServerDate", "22-10-2010");
Zeile gefunden : user_pref("CT1060933.FirstTime", true);
Zeile gefunden : user_pref("CT1060933.FirstTimeFF3", true);
Zeile gefunden : user_pref("CT1060933.FirstTimeSettingsDone", true);
Zeile gefunden : user_pref("CT1060933.FixPageNotFoundErrors", true);
Zeile gefunden : user_pref("CT1060933.GroupingServerCheckInterval", 1440);
Zeile gefunden : user_pref("CT1060933.GroupingServiceUrl", "hxxp://grouping.services.conduit.com/");
Zeile gefunden : user_pref("CT1060933.Initialize", true);
Zeile gefunden : user_pref("CT1060933.InitializeCommonPrefs", true);
Zeile gefunden : user_pref("CT1060933.InstallationAndCookieDataSentCount", 3);
Zeile gefunden : user_pref("CT1060933.InstalledDate", "Fri Oct 22 2010 20:16:20 GMT+0200");
Zeile gefunden : user_pref("CT1060933.InvalidateCache", false);
Zeile gefunden : user_pref("CT1060933.IsGrouping", false);
Zeile gefunden : user_pref("CT1060933.IsMulticommunity", true);
Zeile gefunden : user_pref("CT1060933.IsOpenThankYouPage", true);
Zeile gefunden : user_pref("CT1060933.IsOpenUninstallPage", true);
Zeile gefunden : user_pref("CT1060933.LanguagePackLastCheckTime", "Sat Oct 23 2010 22:35:23 GMT+0200");
Zeile gefunden : user_pref("CT1060933.LanguagePackReloadIntervalMM", 1440);
Zeile gefunden : user_pref("CT1060933.LanguagePackServiceUrl", "hxxp://translation.users.conduit.com/Translation.ashx");
Zeile gefunden : user_pref("CT1060933.LastLogin_2.7.2.0", "Sat Oct 23 2010 22:35:22 GMT+0200");
Zeile gefunden : user_pref("CT1060933.LatestVersion", "2.7.2.0");
Zeile gefunden : user_pref("CT1060933.Locale", "en-us");
Zeile gefunden : user_pref("CT1060933.LoginCache", 4);
Zeile gefunden : user_pref("CT1060933.MCDetectTooltipHeight", "83");
Zeile gefunden : user_pref("CT1060933.MCDetectTooltipUrl", "hxxp://@EB_INSTALL_LINK@/rank/tooltip/?version=1");
Zeile gefunden : user_pref("CT1060933.MCDetectTooltipWidth", "295");
Zeile gefunden : user_pref("CT1060933.RadioIsPodcast", false);
Zeile gefunden : user_pref("CT1060933.RadioLastCheckTime", "Sat Oct 23 2010 22:35:22 GMT+0200");
Zeile gefunden : user_pref("CT1060933.RadioLastUpdateIPServer", "0");
Zeile gefunden : user_pref("CT1060933.RadioLastUpdateServer", "129089749660500000");
Zeile gefunden : user_pref("CT1060933.RadioMediaID", "5020427");
Zeile gefunden : user_pref("CT1060933.RadioMediaType", "Media Player");
Zeile gefunden : user_pref("CT1060933.RadioMenuSelectedID", "EBRadioMenu_CT10609335020427");
Zeile gefunden : user_pref("CT1060933.RadioStationName", "Classic%20Rock");
Zeile gefunden : user_pref("CT1060933.RadioStationURL", "hxxp://tuner1.dc1.sonixtream.com/playlists/wmgk/wmgkWMGKFM.asx");
Zeile gefunden : user_pref("CT1060933.SHRINK_TOOLBAR", 1);
Zeile gefunden : user_pref("CT1060933.SearchEngine", "Search||hxxp://search.conduit.com/Results.aspx?q=UCM_SEARCH_TERM&ctid=CT1060933&octid=EB_ORIGINAL_CTID&SearchSource=1");
Zeile gefunden : user_pref("CT1060933.SearchFromAddressBarIsInit", true);
Zeile gefunden : user_pref("CT1060933.SearchFromAddressBarUrl", "hxxp://search.conduit.com/ResultsExt.aspx?ctid=CT1060933&q=");
Zeile gefunden : user_pref("CT1060933.SearchInNewTabEnabled", true);
Zeile gefunden : user_pref("CT1060933.SearchInNewTabIntervalMM", 1440);
Zeile gefunden : user_pref("CT1060933.SearchInNewTabLastCheckTime", "Sat Oct 23 2010 22:35:22 GMT+0200");
Zeile gefunden : user_pref("CT1060933.SearchInNewTabServiceUrl", "hxxp://newtab.conduit-hosting.com/newtab/?ctid=EB_TOOLBAR_ID");
Zeile gefunden : user_pref("CT1060933.SearchInNewTabUsageUrl", "hxxp://Usage.Hosting.conduit-services.com/UsageService.asmx/UsersRequests?ctid=EB_TOOLBAR_ID");
Zeile gefunden : user_pref("CT1060933.SettingsCheckIntervalMin", 120);
Zeile gefunden : user_pref("CT1060933.SettingsLastCheckTime", "Sat Oct 23 2010 22:35:22 GMT+0200");
Zeile gefunden : user_pref("CT1060933.SettingsLastUpdate", "1286107049");
Zeile gefunden : user_pref("CT1060933.ThirdPartyComponentsInterval", 504);
Zeile gefunden : user_pref("CT1060933.ThirdPartyComponentsLastCheck", "Fri Oct 22 2010 20:16:15 GMT+0200");
Zeile gefunden : user_pref("CT1060933.ThirdPartyComponentsLastUpdate", "1246790578");
Zeile gefunden : user_pref("CT1060933.TrusteLinkUrl", "hxxp://www.truste.org/pvr.php?page=validate&softwareProgramId=101&sealid=112");
Zeile gefunden : user_pref("CT1060933.Uninstall", true);
Zeile gefunden : user_pref("CT1060933.UserID", "UN19055081604338808");
Zeile gefunden : user_pref("CT1060933.ValidationData_Search", 0);
Zeile gefunden : user_pref("CT1060933.ValidationData_Toolbar", 2);
Zeile gefunden : user_pref("CT1060933.clientLogIsEnabled", false);
Zeile gefunden : user_pref("CT1060933.clientLogServiceUrl", "hxxp://clientlog.users.conduit.com/ClientDiagnostics.asmx/ReportDiagnosticsEvent");
Zeile gefunden : user_pref("CT1060933.myStuffEnabled", true);
Zeile gefunden : user_pref("CT1060933.myStuffPublihserMinWidth", 400);
Zeile gefunden : user_pref("CT1060933.myStuffSearchUrl", "hxxp://Apps.conduit.com/search?q=SEARCH_TERM&SearchSourceOrigin=29&ctid=EB_TOOLBAR_ID&octid=EB_ORIGINAL_CTID");
Zeile gefunden : user_pref("CT1060933.myStuffServiceIntervalMM", 1440);
Zeile gefunden : user_pref("CT1060933.myStuffServiceUrl", "hxxp://mystuff.conduit-services.com/MyStuffService.ashx?ComponentId=EB_MY_STUFF_INSTANCE_GUID&lut=EB_MY_STUFF_LUT");
Zeile gefunden : user_pref("CT1060933.uninstallLogServiceUrl", "hxxp://uninstall.users.conduit.com/Uninstall.asmx/RegisterToolbarUninstallation");
Zeile gefunden : user_pref("CommunityToolbar.SearchFromAddressBarSavedUrl", "chrome://browser-region/locale/region.properties");
Zeile gefunden : user_pref("CommunityToolbar.ToolbarsList", "CT1060933");
Zeile gefunden : user_pref("CommunityToolbar.ToolbarsList2", "CT1060933");
Zeile gefunden : user_pref("CommunityToolbar.facebook.settingsLastCheckTime", "Sat Oct 23 2010 00:47:19 GMT+0200");
Zeile gefunden : user_pref("CommunityToolbar.keywordURLSelectedCTID", "CT2269050");
Zeile gefunden : user_pref("browser.startup.homepage", "hxxp://www.startfenster.de");
Zeile gefunden : user_pref("extensions.gutscheinelive.kampagnen", "[{\"id\":\"4099\",\"domain\":\"123traumringe.de\"},{\"id\":\"2968\",\"domain\":\"1822direkt.com\"},{\"id\":\"4425\",\"domain\":\"1a-geschenkeshop.de\"[...]
Zeile gefunden : user_pref("extensions.smarterwiki.search_surfcanyon", false);
Zeile gefunden : user_pref("keyword.URL", "hxxp://www.sm.de/?q=");
Zeile gefunden : user_pref("keyword.URL", "hxxp://www.sm.de/?q=");


[ Datei : C:\Dokumente und Einstellungen\utc\Anwendungsdaten\Mozilla\Firefox\Profiles\7ffxnn98.default-1384362537765\prefs.js ]




*************************


AdwCleaner[R0].txt - [13417 octets] - [30/05/2014 14:50:20]
AdwCleaner[R1].txt - [13336 octets] - [31/05/2014 14:17:53]


########## EOF - C:\AdwCleaner\AdwCleaner[R1].txt - [13397 octets] ##########

Alles anzeigen

Anmerkung zu Adw: als Suchmaschine ist ausschl. ixquick.com eingetragen. Toolbars von Ask, Facebook und Yahoo wurden nicht installiert bzw. abgewählt und sind dennoch drin. Adw bietet die Funktion "Löschen" - kann ich die durchführen?

Hier der LogFile von Malwarebytes:

Code

Malwarebytes Anti-Malware
www.malwarebytes.org


Scan Date: 30.05.2014
Scan Time: 15:55:03
Logfile: potential threats detected.txt
Administrator: Yes


Version: 2.00.2.1012
Malware Database: v2014.05.30.06
Rootkit Database: v2014.05.21.01
License: Free
Malware Protection: Disabled
Malicious Website Protection: Disabled
Self-protection: Disabled


OS: Windows XP Service Pack 3
CPU: x86
File System: NTFS
User: utc


Scan Type: Custom Scan
Result: Completed
Objects Scanned: 626785
Time Elapsed: 11 hr, 56 min, 41 sec


Memory: Enabled
Startup: Enabled
Filesystem: Enabled
Archives: Enabled
Rootkits: Enabled
Heuristics: Enabled
PUP: Enabled
PUM: Enabled


Processes: 0
(No malicious items detected)


Modules: 0
(No malicious items detected)


Registry Keys: 3
PUP.Optional.FunWebProducts.A, HKLM\SOFTWARE\MICROSOFT\WINDOWS\CURRENTVERSION\EXT\PREAPPROVED\{1D4DB7D2-6EC9-47a3-BD87-1E41684E07BB}, , [5ab5db79e19add59ce155c0bc1410ff1], 
PUP.Optional.FunWebProducts.A, HKLM\SOFTWARE\CLASSES\FunWebProductsInstaller.Start, , [c34ce86c5b204aecc4239631669d41bf], 
PUP.Optional.Softonic.A, HKU\S-1-5-21-1275210071-1292428093-682003330-1008-{ED1FC765-E35E-4C3D-BF15-2C2B11260CE4}-0\SOFTWARE\SOFTONIC\Universal Downloader, , [4ac5fa5a5526ea4ce92b88120bf70cf4], 


Registry Values: 0
(No malicious items detected)


Registry Data: 0
(No malicious items detected)


Folders: 3
Trojan.Agent, C:\Dokumente und Einstellungen\utc\ANWENDUNGSDATEN\air\mute\1.0.0.0, , [40cf00548af13bfb774b106607fbb44c], 
PUP.Optional.OpenCandy, C:\Dokumente und Einstellungen\utc\ANWENDUNGSDATEN\OPENCANDY, , [020db89c0279bd79d5b692e717eb1fe1], 
PUP.Optional.OpenCandy, C:\Dokumente und Einstellungen\utc\ANWENDUNGSDATEN\OPENCANDY\E1A7ADE6B964434F9035CC1B7935FB71, , [020db89c0279bd79d5b692e717eb1fe1], 


Files: 28
PUP.Optional.Conduit.A, C:\Dokumente und Einstellungen\utc\Anwendungsdaten\OpenCandy\E1A7ADE6B964434F9035CC1B7935FB71\SSStub_SearchProtect_p1v0.exe, , [14fb81d389f21d194e5733eaa65bc040], 
PUP.OpenCandy.A, c:\programme\comodo\comodo internet security\quarantine\162c812d-94a5-41e5-b60f-51f40ba0ba21.data, , [24eba0b423586cca256a110f629e20e0], 
Backdoor.Bot, c:\programme\comodo\comodo internet security\quarantine\2ad75428-df3b-490a-98bf-53809c83c8a2.data, , [8e81e76d1368c274e898d783e51b2fd1], 
Backdoor.Bot, c:\programme\comodo\comodo internet security\quarantine\36bf3ca2-8515-4329-bc8e-7078f62fa1a7.data, , [3ad5b79d304b979fb3cdcc8e669a13ed], 
Backdoor.Bot, c:\programme\comodo\comodo internet security\quarantine\38f9be36-768a-48fa-a4df-e4ea1463d0e3.data, , [b8571d373f3c47ef413fb7a3a759cd33], 
PUP.Optional.Softonic.A, c:\programme\comodo\comodo internet security\quarantine\3d749205-9a63-4267-85fb-e5d9b83fabbb.data, , [6aa582d26417e254f23a80a179887a86], 
Backdoor.Bot, c:\programme\comodo\comodo internet security\quarantine\6291b518-9478-4d12-94a3-9be52c5004ef.data, , [0708f75d4833181e433d5a000bf5d52b], 
Backdoor.Bot, c:\programme\comodo\comodo internet security\quarantine\6a3350ab-bfa1-43c8-a7c9-03dcf8befd21.data, , [2ee11a3a6e0d72c45e2285d51be5cc34], 
PUP.OpenCandy.A, c:\programme\comodo\comodo internet security\quarantine\6dd374a5-ed0e-4bbc-93ab-c484634c1f18.data, , [8c838dc7403b9b9b8f0077a9dd23e21e], 
Virus.Tenga, c:\programme\comodo\comodo internet security\quarantine\8ec6c7a2-c538-4a99-a194-e94b6cc03aca.data, , [c34c65ef5d1ed5618a4f5db3966e28d8], 
PUP.Optional.Softonic.A, c:\programme\comodo\comodo internet security\quarantine\9d56cd48-0fcb-4f15-afbf-e246de104c1b.data, , [f61957fd146733032dff1809a859e719], 
Backdoor.Bot, c:\programme\comodo\comodo internet security\quarantine\b5d0bc4e-7a67-4b29-9673-5653c954fba3.data, , [ac6384d0ee8d0f2758282d2d07f9c040], 
Virus.Tenga, c:\programme\comodo\comodo internet security\quarantine\ce5165c0-91f0-4519-b02b-91aecc821073.data, , [b45b64f0abd0a690e7f2a769867e6997], 
Backdoor.Bot, c:\programme\comodo\comodo internet security\quarantine\d59ea54c-5a07-463f-b2f8-835b70681411.data, , [dc3357fd255658de2858c793e21e956b], 
PUP.OpenCandy.A, c:\programme\comodo\comodo internet security\quarantine\d9f32a48-bdf9-4fbe-8906-2530da2fc826.data, , [1af564f05f1ce74f494679a704fc48b8], 
Backdoor.Bot, c:\programme\comodo\comodo internet security\quarantine\f216ec37-bc1f-441c-8a61-8e36c67bfcb2.data, , [28e7094bb3c861d527590d4dd62a0ef2], 
PUP.Optional.Softonic.A, c:\programme\comodo\comodo internet security\quarantine\f6b7b388-d84d-4e7d-aeb7-d0ca42429c09.data, , [42cdeb69156646f05cd06cb5ef123ac6], 
Backdoor.Bot, D:\Programme\Comodo\COMODO Internet Security\Quarantine\A0074196.exe, , [f817bf95b0cb42f4dda3fc5ec13f867a], 
PUP.Optional.Softonic.A, D:\Programme\Disk Defrag\SoftonicDownloader_fuer_auslogics-disk-defrag.exe, , [8986d1835229350183a97ea3e51ce818], 
PUP.Optional.OpenCandy, D:\System Volume Information\_restore{837B9159-2262-4092-9285-6245FB343FE0}\RP602\A0156873.exe, , [d738b1a3f7843600bd36315034d0ca36], 
PUP.OfferBundler.ST, D:\System Volume Information\_restore{837B9159-2262-4092-9285-6245FB343FE0}\RP602\A0156930.exe, , [65aa9abae7943ff7dce88605f60adb25], 
PUP.Optional.YourfileDownloader, E:\Petroleum als Heilmittel\Jennifer_Daniels__The_Candida_Cleaner_downloader_fr_229.exe, , [18f7173d7a0157df96d98c964ab601ff], 
Trojan.Agent, C:\Dokumente und Einstellungen\utc\ANWENDUNGSDATEN\air\mute\1.0.0.0\config.txt, , [40cf00548af13bfb774b106607fbb44c], 
Trojan.Agent, C:\Dokumente und Einstellungen\utc\ANWENDUNGSDATEN\air\mute\1.0.0.0\hide.txt, , [40cf00548af13bfb774b106607fbb44c], 
Trojan.Agent, C:\Dokumente und Einstellungen\utc\ANWENDUNGSDATEN\air\mute\1.0.0.0\log.txt, , [40cf00548af13bfb774b106607fbb44c], 
Trojan.Agent, C:\Dokumente und Einstellungen\utc\ANWENDUNGSDATEN\air\mute\1.0.0.0\process.txt, , [40cf00548af13bfb774b106607fbb44c], 
Trojan.Agent, C:\Dokumente und Einstellungen\utc\ANWENDUNGSDATEN\air\mute\1.0.0.0\user.txt, , [40cf00548af13bfb774b106607fbb44c], 
PUP.Optional.Conduit.A, C:\Dokumente und Einstellungen\utc\ANWENDUNGSDATEN\Mozilla\Firefox\Profiles\5SA76XB9.DEFAULT\prefs.js, Good: (), Bad: (user_pref("CT1060933.SearchFromAddressBarUrl", "http://search.conduit.com/ResultsExt.aspx?ctid=CT1060933&q=");), ,[0e01ee66b6c59c9a0b4dc6c5ba4a0000]


Physical Sectors: 0
(No malicious items detected)
(end)

Alles anzeigen

Malwarebytes bietet nur Verschieben in Quarantäne an, das sollte ich wohl machen, oder? Kann man danach mittels Löschen der Quarantäne damit auch die Einträge rausbekommen? Oder sollte ich sie einzeln, auch in der Registry löschen.

Zitat

PUPs können problemlos gelöscht werden. Was ARBZ, Tenga und Backdoor.bots betrifft: diese sollten, wenn sie sich in Quarantäne befinden, theoretisch keinen weiteren Schaden anrichten. Ich lege meine Hand aber dafür nicht ins Feuer.

Kann ich Dir nachfühlen...

Zitat

So oder so: das System ist hochgradig verseucht und du solltest mit diesem System auf keinen Fall mehr ins Internet gehen. Als vorläufige Maßnahme könntest Du eine Linux Live-CD nutzen, bis du alle Infos hast, die Du für ein Neuaufsetzen des Systems nach Formatierung noch brauchst.

Richtig, ich werde die Live-CD von Ubuntu 13.10 nutzen. Von Zitronella hier fand ich eine genaue Anleitung, was man beachten muß, wenn man ein infiziertes System sauber neu installieren will. Hilfsdateien, auch diese hier, übernehme ich auf eine externe Festplatte, dann kann ich sie mit dem Laptop bei Bedarf aufrufen. Laptop und Desktop haben keine Verbindung zueinander. Wenn der Desktop neu aufgebaut ist, mache ich es dann umgekehrt genauso mit dem Laptop. Dann sind beide wieder sauber und sicher.

Zitat

Dass Online-Banking mit diesem Rechner tabu ist brauche ich wohl nicht extra zu betonen.

Online Banking läuft bei mir nur zur Ansicht, nicht für Ausführungen und Passwörter sind nicht auf dem Computer. Bei Online Banking kommt mir meine Skepsis nun zugute.

Zitat

Als Info: Dual Boot mit Ubuntu und Windows. Ich würde aber, genau wie BS2000, eine VM empfehlen. Dann ist Dein XP 'eingesperrt' und kann nicht ins Netz, wenn Du keine Internetverbindung einrichtest.

Danke, das räumt meine Zweifel der Verfahrenswahl aus. Muß nur noch bei MS herausfinden, wie ich den IE daran hindern kann, sich mit XP automatisch zu installieren, dto beim Media Player. Soweit ich mich erinnere ist bei XP eine benutzerdefinierte Installation nicht möglich, werde jedoch danach suchen.

Zitat

Dann machst Du etwas Grundsätzliches falsch. Ich nutze Internet seit mindestens 15 Jahren intensiv und hatte noch nie einen Malwarebefall. Natürlich ist mein Rechner abgesichert (siehe mein Sicherheitskonzept) und ich halte Betriebssystem und Programme immer auf dem neuesten Stand.

Das habe ich gelesen und trotz extremer Vorsicht bei Mails und beim Surfen ist es passiert... Seiten wie Torrent, illegaler Software, Social Media, Facebook u.ä. besuche ich überhaupt nicht.
Habe Acronis für Systembackup und bhv-Partitionsmanager, sie sind ihren Preis wert.

Zitat

... mit Corel Office kompatibel sind. Laut Webseite des Herstellers schon. Allerdings weiss ich jetzt nicht ob Du auch die aktuellste Version hast. Ältere Versionen laufen wahrscheinlich eher nicht mit Windows 7 oder 8. Da müsste eigentlich der Support von Corel Dir weiter helfen können.

Da Ubuntu/Linux insgesamt betrachtet sicherer sind als Windows, halte ich die Installation von Ubuntu mit VMware für XP für sicherer. Wenn ich diesen Aufwand treibe, dann sollte es auch die sicherste Variante sein. Das alles ist mir durch die Diskussion hier klar geworden.

@ Darklord666,

Zitat

Rumdoktern macht echt keinen Sinn. Dafür ist das System offensichtlich zu stark unterwandert. Sichere alle Daten (Video,Audiodateien u.ä., keine ausführbaren Dateien wie Programme/Spiele) und setze das System komplett neu auf und installiere ein aktuelles Betriebssystem (Win 7 oder eine Linuxdistribution).

Das ist mir nach den "Funden" nun auch klar. Ich werde also komplett formatieren, neu Installieren, Ubuntu, VMware für XP. Dabei kann ich nur hoffen, daß sich im BIOS nichts eingenistet hat - das scheinen die Virussucher nicht immer feststellen zu können. Der MBR wird durch Neupartitionierung neu geschrieben, ist dann also OK.

Zitat

Mit durchlöchertem XP ins Internet zu gehen ist nicht nur für deinen Rechner riskant. Es gefährdet auch andere Systeme im Netz.

Richtig und auch daran denke ich. Ich möchte natürlich nicht, daß andere durch mein System geschädigt werden. Daher werde ich nur noch die Antwort auf diesen Beitrag abwarten. Danach geht es mit der Säuberung los und ich melde mich erst wieder, wenn das System neu steht - das wird wohl einige Zeit dauern.

Zitat

Falls du eine weitere fachliche (kostenlose) Meinung benötigst, solltest du eine Anfrage auf http://www.trojaner-board.de/ formulieren. Die sind auf Malwareanalyse spezialisiert.

Es scheint hier unterschiedliche Ansichten zur Qualität dieses Forums zu geben. Sehe es mir aber trotzdem an - dazulernen kann man immer.

Mein einziger, schwacher Trost bis hierher ist, daß ich außer einer Verlangsamung vom Firefox und wenn dieser an ist, eine Verlangsamung bei Aufrufen von z.B. Arbeitsplatz, Explorer, Dienste u.ä., keine anderen Probleme feststellen kann. Aber irgendetwas stimmt definitiv nicht... Also Neuinstallation!

Vielen Dank an Euch alle,
Grüße,
TanteU

Road-Runner

Zitat von TanteU

Muß nur noch bei MS herausfinden, wie ich den IE daran hindern kann, sich mit XP automatisch zu installieren, dto beim Media Player.

Der IE ist Bestandteil des Betriebssystems und kann gar nicht abgewählt resp. deinstalliert werden. Aber wenn Du XP in einer VM installierst und wenn diese VM keine Internetverbindung hat, ist es egal dass der IE installiert ist. Ohne Verbindung kann er nicht raus.

Die Logs von AdwCleaner und Malwarebytes bestätigen nur das was ich schon vorher sagte.

Wie Du sehr richtig anmerktest:

Zitat von TanteU

Also Neuinstallation!

Eine andere Lösung gibt es definitiv nicht.

TanteU

Hallo Road-Runner,

herzlichen Dank für die schnelle Antwort.

Zitat

Der IE ist Bestandteil des Betriebssystems und kann gar nicht abgewählt resp. deinstalliert werden. Aber wenn Du XP in einer VM installierst und wenn diese VM keine Internetverbindung hat, ist es egal dass der IE installiert ist. Ohne Verbindung kann er nicht raus.

Ohne Verbindung kann er nicht raus - das ist sehr beruhigend, danke.

Zitat

Die Logs von AdwCleaner und Malwarebytes bestätigen nur das was ich schon vorher sagte.
Wie Du sehr richtig anmerktest: Also Neuinstallation!

Zitat

Eine andere Lösung gibt es definitiv nicht.

Dann werde ich mich mal in die Arbeit stürzen und mich später nochmal mit sauberem System melden. Vorerst vielen herzlichen Dank für Eure Hilfe, die viele Unklarheiten bei mir beseitigte. Jetzt weiß ich, wie ich am Besten vorgehen muß.

Liebe Grüße,
TanteU

PS: auf Deiner privaten Seite sah ich den "Starter" - der ist viel hilfreicher als mein "autostart monitor" und wird im neuen System mit dabei sein.

2002Andreas

Zitat von TanteU

mit sauberem System melden.

Und ein Hinweis für die Zukunft mal.

Programme bitte immer nur direkt vom Hersteller laden.

Programme immer nur benutzerdefiniert installieren, damit du genau sehen kannst, was dir evtl. zusätzlich noch installiert werden soll.

Toolbars immer abwählen!

Und bitte nie wieder etwas von der Seite Softonic downloaden

TanteU

Hallo Andreas,

Zitat

Und ein Hinweis für die Zukunft mal.
Programme bitte immer nur direkt vom Hersteller laden.
Programme immer nur benutzerdefiniert installieren, damit du genau sehen kannst, was dir evtl. zusätzlich noch installiert werden soll.
Toolbars immer abwählen!
Und bitte nie wieder etwas von der Seite Softonic downloaden

Danke Andreas - diese, Deine Hinweise habe ich hier schon oft gesehen und inzwischen haben sie sich eingeprägt. Benutzerdefiniert wird nicht immer angeboten, da kommen wohl die unerwünschten Toolbars her, die ich zwar deinstalliert habe, aber noch Reste hinterließen. Solche Programme werde ich also gar nicht mehr laden bzw. Installation abbrechen. Softonic-Gefahren waren mir nicht bekannt, jetzt sind sie es!

Grüße,
TanteU