[GELÖST] Windows Internet Explorer startet automatisch

Darksnake41 · 31.10.2010, 22:28

Hallo Leute,
ich habe das Problem, dass mein IE sich einfach ungewollt startet und eine Werbeseite anzeigt, diese ist aber nicht immer die selbe. Ich benutze Windows 7 und der IE is IE 8.
Hoffe ihr könnt mir helfen dieses Problem zu lösen.

Grüße
DS41

grunzer · 01.11.2010, 09:32

Hi,

Wann startet er den IE - gleich beim Systemstart?
Hast Du einen Virenscanner installiert und funktioniert der auch?
Ist Dein System auf dem aktuellen Stand?
Seit wann macht er das? Hattest Du zu dem Zeitpunkt vielleicht irgendeine dubiose Software installiert?

Schick uns doch mal ein Hijackthis Logbuch:
http://www.netzwelt.de/download/3712-hijackthis.html

Grüße derweil
Grunzer

Darksnake41 · 02.11.2010, 01:17

Hi,
danke schonmal für die schnelle Antwort.

Also der IE startet eigentlich immer zu ganz unterschiedlichen Zeitpunkten. Beim Starten allerdings bis jetzt noch nicht, aber dafür einfach so wenn ich nix mache aber der Rechner ne Zeit lang läuft.

Ja einen Virenscanner habe ich, allerdings den Avira Antivir, der is auch auf dem neuesten Stand, ich mache regelmäßig Updates, der hat nicht ausgeschlagen.
Nachdem das allerdings ein paar mal passiert is mit dem IE hab ich aber das System mal gescannt und dann wurde er fündig, hatte was mit JAVA zu tun, ich hab die Dateien in Quarantäne verschoben.

Mein System ist eigentlich denke ich immer recht aktuell, wenn neue Updates kommen, dann installier ich die eigentlich auch immer gleich.

Ja das stimmt ich hab eine neue Software versucht zu installieren, das war allerdings nicht so gedacht wie ich es eigentlich haben wollte, die .exe-Datei verschwand nämlich nach der Installation plötzlich und eine andere Datei oder ähnliches ist nicht sichtbar.

LogDatei:

Spoiler:

grunzer · 02.11.2010, 08:31

Hi,

Also bei solcher Software wäre ich ganz vorsichtig und würde sie nie auf meinen Rechner spielen. Also ich meine Software, die ich nicht kenne und mir von irgendeiner ebensowenig bekannten Website usw empfohlen wird. Nur bekannte Dinge sind gute Dinge

Vielleicht solltest Du dir mal etwas wie VirtualBox anschauen, da kann man wunderbar solche Software testen und danach wieder zurück zu dem Stand von vorher.

Aber zum Thema:
Du hast offenbar ein laufendes Programm, das ich nicht kenne und auch im Netz nicht so oft auf diesen Namen eigegangen wird:
C:\Users\Blackbeard1400\AppData\Local\Temp\Xn2.exe
Wenn Du das auch nicht kennst, dann wird wohl folgendes gelten:
XN2.exe on Spyware-Net

Diese Starteinträge gehören wohl dazu:
O4 - HKCU\..\Run: [U36VRSFLG6] C:\Users\BLACKB~1\AppData\Local\Temp\Xn1.exe
O4 - HKCU\..\Run: [NtWqIVLZEWZU] C:\Users\BLACKB~1\AppData\Local\Temp\Xn2.exe

Nachdem ich sonst nichts besonders in dem Logbuch sehe, gehe ich davon aus, daß das das nervende Programm ist.
Gehe also so vor:
Öffne den Taskmanager und beende das Programm "Xn2.exe".
Warte ein paar Sekunden ob das wieder kommt. Wenn ja, dann schau ob es auch eine Xn1.exe gibt. und beende beide. Wieder ein paar Sekunden warten. Sollten die oder das wieder kommen, dann melde Dich nochmal - wäre kein gutes Zeichen für eine schnelle Behebung!

Wenn sie allerdings nicht wiederkommen, dann gehe im Hijackthis zu den beiden oben genannten Starteinträgen und lasse die fixen.
Jetzt einen Neustart machen.

Nach dem Neustart solltest Du schauen, daß diese beiden Einträge in einem neuen Lauf nicht mehr im Hijackthislogbuch auftauchen und auch im Taskmanager nicht dergleichen da ist...
Wenn dem so ist, dann könnten wir das Ding schon besiegt haben. Lösche die beiden Dateien (am besten nur in den Papierkorb werfen und dort etwas drin liegen lassen, könnte ja sein, daß wir hier was sinnvolles töten (nur weil ich es nicht kenne, heißt es nicht, daß es bösartig/nervend ist)).

Nachdem Dein Virenscanner schon mal fündig geworden ist, würde ich Dir zu einem externen Scan raten:
http://www.netzwelt.de/videos/265-avira-rescue-cd.html
Hier das ganze als Text und der Download: http://www.netzwelt.de/download/6519...ue-system.html

Viel Glück derweil
Grunzer

Darksnake41 · 02.11.2010, 12:37

hey,

also es gibt neben der Xn2 auch eine Xn1.exe.
Zudem nochein Prozess der mir unbekannt ist und in der Beschreibung steht auch das wie bei den Xn. Denke also die gehören zusammen die Prozesse.
Nach einigen Minuten startet der Xn1 Prozess leider wieder, soll ich trotzdem mal so vorgehen wie du beschrieben hast?
also mit Hijackthis fixen und die dinger löschen?

gruß,
darksnake

grunzer · 02.11.2010, 12:48

Probiere es...
Wenn Du mit dem Neustart dann schnell genug bist, dann könnte es klappen

Ansonsten versuche mal den Rechner mit gedrückter <shift>Taste hochzufahren. Wenn Du ein Kennwort zur Anmeldung eingeben mußt, dann Nimm den Finger von der Taste nur weg um das Kennwort einzugeben. Doch bevor Du wieder auf OK drückst erst wieder die Shifttaste drücken und gedrückt halten bis er oben ist!
Das sollte einige Startroutinen unterdrücken.

Grüße derweil

Darksnake41 · 02.11.2010, 19:47

also ich war schnell genug mit dem neustart, allerdings hat das nicht gereicht, die prozesse waren im task-manager trotzdem vorhanden.

ich hab dann mit der gedrückten shift-taste gestartet, dann war im task-manager xn1 und xn2.exe weg, allerdings der dritte prozess Xfutia.exe ist gestartet worden, der gehört aber zu den anderen beiden dazu. im task-manager steht bei der spalte beschreibung bei allen drei prozessen NiceWare.

GehirnAntiVirus · 02.11.2010, 22:02

Zitat:

Zitat von grunzer

Nachdem Dein Virenscanner schon mal fündig geworden ist, würde ich Dir zu einem externen Scan raten:
http://www.netzwelt.de/videos/265-avira-rescue-cd.html
Hier das ganze als Text und der Download: http://www.netzwelt.de/download/6519...ue-system.html

Viel Glück derweil
Grunzer

Das einzig vernünftige bei diesen "Ratschlägen" war das oben.

Was soll diese "Fixerei" mit Computer restarten und mit Hijackthis fixen und Malware Dateien "deinstallieren"???

Das ist direkt unverantwortlich, siehe unten.

Diesen PC sollte man analysieren, um festzustellen was diese Prozesse sind, bzw. um welche Malware es sich hier handelt und dann daraus die nötigen Schlüsse ziehen.

@Darksnake41

Bei dir sind Rootkits aktiv.

Lade dir Malwarebytes runter:
http://www.netzwelt.de/download/1062...i-malware.html
Update das Programm, dann mache einen "Vollscan" Poste das Log hier ab.

EDIT: Habe mir dein Hijackthislog angeschaut. Die Kiste ist total verseucht!!!

Zitat:

O4 - HKCU\..\Run: [Metropolis] rundll32.exe C:\windows\system32\sshnas21.dll,GetHandle

Melde dich unbedingt wieder hier! Bei dir läuft gefährliche Malware!

GAV

grunzer · 03.11.2010, 09:27

Zitat:

Zitat von GehirnAntiVirus

...
Was soll diese "Fixerei" mit Computer restarten und mit Hijackthis fixen und Malware Dateien "deinstallieren"???

Das ist direkt unverantwortlich, siehe unten.
...

Das kann ich so nicht stehen lassen.
Bisher ging ich hier nicht vom schlimmsten aus und habe die XN* Einträge fixen lassen (allerdings muß ich zugeben, daß ich den ekelhaften rundll32 Eintrag übersehen habe!).
Sollte es sich nur um so komische Adware handeln, dann wäre das Thema erledigt gewesen.

Da (ich habe den Beitrag von 19:47 Uhr erst jetzt gesehen) jetzt aber die -leider befürchtete- Antwort kam, daß dieser Spaß sich so nicht fixen läßt, darfst Du gerne übernehmen!

Verstehe mich mich falsch. Du verfolgst immer einen Ansatz der Bereinigung, der sicher nicht verkehrt ist.

Aber meine nächste Aktion wäre eindringlich zur Neuinstallation zu raten gewesen!!
Warum?
Ganz einfach um eine Bereinigung durchzuführen gibt es nur die Möglichkeit mit x-Tools irgendwelche Bereinigungen durchzuführen und dann die Ergebnisse zu posten. Das dauert dann etwa 2-6 Tage mit viel Arbeit (hauptsächlich auf der Nutzerseite).
Eine Neuinstallation ist in 3 Stunden erledigt und mit der Formatierung der Festplatte usw ist man dann wieder sicher daß nicht doch irgendeine Hintertür geöffnet wurde, die die Bereinigungstools leider nicht schließen!

Mir diese Meinung als "uverantwortlich" abzutun ist aber einfach nur unverschämt und ich hoffe Du wirst glücklich mit dieser Art mit Menschen umzugehen.

Grunzer

GehirnAntiVirus · 03.11.2010, 10:37

Zitat:

Zitat von grunzer

Verstehe mich mich falsch. Du verfolgst immer einen Ansatz der Bereinigung, der sicher nicht verkehrt ist.

Quatsch. Ich verfolge immer folgenden Ansatz: erst ein System vollständig analysieren, klarstellen welche Infektionsart und welcher Infektionsgrad besteht und dann die richtige Entscheidung treffen.

Zitat:

Aber meine nächste Aktion wäre eindringlich zur Neuinstallation zu raten gewesen!!

Zitat:

Mir diese Meinung als "uverantwortlich" abzutun ist aber einfach nur unverschämt und ich hoffe Du wirst glücklich mit dieser Art mit Menschen umzugehen.
Grunzer

Es geht hier nicht um dich oder mich, es geht hier um den Hilfesuchenden, seinen PC und seine Daten und seine Online Geschäfte....

Lieber Grunzer, ich rate entschieden davon ab, in irgendeinem Antivirenforum Ratschläge zu geben, wenn man nicht genug Kompetenz und Wissen innerhalb der Materie hat. Falsche oder ungenügende Ratschläge / Analysen zu geben kann für den Hilfesuchenden verheerende Folgen haben, in Form von finanziellem Verlust etc...

GAV

grunzer · 03.11.2010, 11:23

Schön, Deine Meinung zu hören.
Aber jetzt bitte wieder zurück zum Thema, damit dem Nutzer geholfen werden kann.

Darksnake41 · 03.11.2010, 12:52

Ich danke euch schon mal beiden,

ich möchte noch anmerken, dass im task-manager nur noch der Xfutia.exe drin is, die Xn - Einträge sind weg.

das Log von Malwarebytes ist folgendes:

Malwarebytes' Anti-Malware 1.46
www.malwarebytes.org

Datenbank Version: 5030

Windows 6.1.7600
Internet Explorer 8.0.7600.16385

03.11.2010 12:53:55
mbam-log-2010-11-03 (12-53-55).txt

Art des Suchlaufs: Vollständiger Suchlauf (C:\|D:\|)
Durchsuchte Objekte: 262983
Laufzeit: 53 Minute(n), 29 Sekunde(n)

Infizierte Speicherprozesse: 1
Infizierte Speichermodule: 1
Infizierte Registrierungsschlüssel: 5
Infizierte Registrierungswerte: 1
Infizierte Dateiobjekte der Registrierung: 0
Infizierte Verzeichnisse: 0
Infizierte Dateien: 5

Infizierte Speicherprozesse:
C:\Windows\Xfutia.exe (Trojan.Downloader) -> Unloaded process successfully.

Infizierte Speichermodule:
C:\Windows\System32\sshnas21.dll (Trojan.Downloader) -> Delete on reboot.

Infizierte Registrierungsschlüssel:
HKEY_CURRENT_USER\SOFTWARE\65MWRMP54G (Trojan.FakeAlert) -> Quarantined and deleted successfully.
HKEY_CURRENT_USER\SOFTWARE\U36VRSFLG6 (Trojan.FakeAlert) -> Quarantined and deleted successfully.
HKEY_CURRENT_USER\SOFTWARE\NtWqIVLZEWZU (Trojan.FakeAlert) -> Quarantined and deleted successfully.
HKEY_CURRENT_USER\SOFTWARE\Microsoft\Handle (Malware.Trace) -> Quarantined and deleted successfully.
HKEY_CURRENT_USER\SOFTWARE\XML (Trojan.FakeAlert) -> Quarantined and deleted successfully.

Infizierte Registrierungswerte:
HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\Curre ntVersion\Run\metropolis (Trojan.Downloader) -> Quarantined and deleted successfully.

Infizierte Dateiobjekte der Registrierung:
(Keine bösartigen Objekte gefunden)

Infizierte Verzeichnisse:
(Keine bösartigen Objekte gefunden)

Infizierte Dateien:
C:\Windows\Xfutia.exe (Trojan.Downloader) -> Quarantined and deleted successfully.
C:\Windows\System32\sshnas21.dll (Trojan.Downloader) -> Delete on reboot.
C:\Windows\Tasks\{BBAEAEAF-1275-40e2-BD6C-BC8F88BD114A}.job (Trojan.Downloader) -> Quarantined and deleted successfully.
C:\Windows\Tasks\{22116563-108C-42c0-A7CE-60161B75E508}.job (Trojan.Downloader) -> Quarantined and deleted successfully.
C:\Windows\Tasks\{62C40AA6-4406-467a-A5A5-DFDF1B559B7A}.job (Trojan.FakeAlert) -> Quarantined and deleted successfully.

GehirnAntiVirus · 03.11.2010, 13:24

Hallo Darksnake41

so, damit du weist was Sache ist:

Dein PC ist stark verseucht / mit Malware infiziert, da ändert auch die Löschaktion von Malwarebytes nichts.

Bei dir liefen mehrere "Trojan Downloader". Die haben als Aufgabe andere Malware auf das System runterzuladen, was ihnen zweifelslos gelungen ist.

Das sich bei dir Browserfenster öffnen ist ein Anzeichen von TDSS Rootkits oder einer MBR Infektion.

Prüfe mal auf Rootkit/Bootkit mit Hitman Pro:

> http://www.surfright.nl/en
(Srennshoot vom Ergebnis hier abkopieren)

Solltest du Online Geschäfte gemacht haben, bitte lese dir das gründlich durch und handle danach:

> Cyberkriminalität ? Symantec Corporation

Ich rate dir hier das System sauber neuaufzusetzen, bei Laptops ist es möglich das System auf einen sauberen Auslieferungszustand per Knopfdruck zurückzusetzen. Alle Wechselmedien sind bei deaktivierten Autostart mit mehreren Antivirenscannern auf Malware zu überprüfen, bevor sie wieder auf dem neuen System kopiert werden.
Anleitungen dazu findest du im Netz und in deinem PC Handbuch.

> Alle Passwörter sobald wie möglich von einem sauberen (Zweit PC) ändern.

Bei Fragen melde dich.

GAV

Darksnake41 · 03.11.2010, 15:54

Dieses Hitman Pro hat 96 befallene Dateien gefunden, ich habe meinen Laptop jetzt auf Werkseinstellungen zurückgesetzt.
Wie kann ich jetzt sichergehen dass die Sachen wirklich verschwunden sind? Mit was sollte ich am Besten nochmal drübersuchen?

GehirnAntiVirus · 03.11.2010, 22:18

Zitat:

Zitat von Darksnake41

Dieses Hitman Pro hat 96 befallene Dateien gefunden, ich habe meinen Laptop jetzt auf Werkseinstellungen zurückgesetzt.
Wie kann ich jetzt sichergehen dass die Sachen wirklich verschwunden sind? Mit was sollte ich am Besten nochmal drübersuchen?

Hallo,

ich hatte dich gebeten davon einen Screnshoot zu erstellen. Wenn bei dir MBR Bootkits aktiv waren, sollten wir dein System auch nach dem Zurücksetzen auf MBR Infektion überprüfen. Hatte Hitman Bootkits gemeldet? Mach mal einen Scan mit Hitman von dem sauberen System und poste ein Scrennshoot oder ein Log.

Deaktiviere bitte die Autorunfunktion:
> Zum Deaktivieren von Autorun-Funktionalität in Windows

Danach schliesse deine Wechselmedien an den Computer an und untersuche sie auf Malware mit 2-4 Antimalwarescannern, darunter Hitman und Malwarebytes ausserdem mit deinem Antivirenprogramm und ESET:
> ESET Online Scanner - ESET Antivirus Software

Verhindere unbedingt Malware Infektionen in der Zukunft:
> 10 neue Goldene Regeln gegen Malware - ESET Antivirus Software
Bitte lesen!

Bei Fragen, melde dich einfach nochmal.

GAV

Darksnake41 · 04.11.2010, 14:22

Uploaded with ImageShack.us

das sagt Hitman Pro.

Den Rest versuch ich mal und poste dann die Ergebnise, danke schonmal bis hier hin.

GehirnAntiVirus · 04.11.2010, 23:13

Zitat:

Zitat von Darksnake41

das sagt Hitman Pro.

Den Rest versuch ich mal und poste dann die Ergebnise, danke schonmal bis hier hin.

Das sieht ok aus. Die Resultate der anderen Scanner (von deinen alten Daten) brauchst du nicht hier posten. Malware einfach löschen lassen.

Wenn du keine weiteren Fragen haben solltest machen wir hier Schluss.

__________

Malware kannst du nur durch dein eigenes Verhalten zusammen mit einem guten Antivirenprogramm und dem Windows Firewall vermeiden. Das wichtigste bei diesen drei Stützpfeihlern bist aber DU.

Heutige Malware ist extrem gefährlich und es geht alles darum zu verhindern das überhaupt eine Infektion stattfindet.

Lese dir mal den ESET Link gründlich durch und:
> Symantec - Cybercrime, Identity Theft (Identitätsdiebstahl)

GAV

Darksnake41 · 05.11.2010, 12:23

okay, dann vielen dank für eure hilfe, dann werde ich meine daten mal alle durchscannen und hoffe, dass da nix mehr befallen ist.