Chrome Synchronisierung & Trojaner

[Gendir]

Hallo,

ich hatte mit gestern abend eine Trojaner auf meinem Laptop (mein mobiler 2t-Rechner) eingefangen - keine Ahnung wie, aber der war da.....

Detektiert wurde "Win32/Wysotot!lnk" und im Chrome wurden einige Lesezeichen zugefügt, die Suchmachine geändert und eine neue Startseite gesetzt (dieses delta-home). Daraufhin habe ich den Laptop ausgemacht.

Dann meinem Hauptrechner (PC) gestartet und die "neuen" Lesezeichen wurden im Chrome bereits synchronisiert und Suchmaschine umgestellt usw.. Ich habe die Links nicht angeklickt und gleich entfernt und den AVG Browse Cleanup drüberlaufen lassen.

Danach eine Microsoft Securifty Check. Dieser hat nichts in die Richtung des Trojaners gemeldet.

Aber muss ich mir wegen des PCs Sorgen machen? Bzw. kann ein Trojaner über die Browser-Syncronisierung auch auf anderen Rechnern landen?

Den Laptop werde ich neu aufsetzen, aber den PC möchte ich nicht unbedingt neu machen....

gruß
g.

 

[desmond.]

Lass Malwarebytes einmal scannen.

 

[Turas]

Über die Synchronisation kannst du dir nur einen Virus oä. einfangen, wenn die Anwendung eine Chrome-Erweiterung mit entsprechenden Schadcode installiert hat und diese mit synchronisiert worden ist. Nur durch die Lesezeichensynchronisation passiert eigentlich noch nichts (außer die Lesezeichen wurden von Chrome automatisch im Hintergrund aufgerufen um ein Thumbnail zu erstellen, dann könnte es sein, dass du dir per Drive-By was einhandelt hast. Das macht Chrome aber meines Wissens nach nicht.)

 

[Randy89]

http://www.microsoft.com/security/portal/threat/Encyclopedia/Entry.aspx?Name=Trojan:Win32/Wysotot!lnk
Wenn selbst Microsoft das erkennt, dann läuft bei dir was gewaltig falsch.
Ich würde alle Daten (auch USB-Sticks und externe Festplatten) mit einem Live-Linux-System wie z.B. der Kaspersky Notfall-CD oder dem Avira Rescue System scannen und im Anschluss unter einem Linuxsystem ohne Internetzugriff nur die wichtigsten Daten extern sichern.
Anschließend komplett neu aufsetzen, das Sicherheitskonzept überdenken und sicherheitshalber alle relevanten Passwörter ändern.

edit: Da bin ich doch glatt auf die Bezeichnung "Trojaner" reingefallen. Grade von Microsoft hätte ich eher erwartet, dass sie die Begriffe nicht durcheinanderschmeißen. Laut Microsoft soll es sich also lediglich um ein potenziell unerwünschtes Programm handeln (siehe auch: http://www.microsoft.com/security/portal/threat/Encyclopedia/Entry.aspx?Name=Win32%2fWysotot) die den entsprechenden Schädling lädt.

In dem Fall sollte ein sauberes Neuaufsetzen des Browser (Beispiel bei Firefox: https://www.computerbase.de/forum/threads/after-the-deadline-entfernen.1321462/#post-15351941) ausreichen.

Wenn man sich ansonsten noch unsicher ist, könnte man auch entweder neu aufsetzen oder die FRST Logs nach der [Anleitung] Erste H!lfe bei Malwareverdacht/-infektion - Vor dem Posten beachten! hier anhängen und emlyn d. um Hilfe bei der Auswertung bitten.

 

[purzelbär]

@Gendir
Mach eine Bereinigung mit den 3 Scannern in meiner Signatur(die Scanner nacheinander einsetzen)und achte darauf das du Malwarebytes als Free ohne die Testphase für Malwarebytes Pro installierst. Mach dann mit Malwarebytes eine Vollständige Überprüfung und Säuberung, speicher das Log ab und mach danach noch Bereinigungen mit AdwCleaner und mit JRT und achte darauf das JRT als Admin ausgeführt wird. Wenn du magst, poste alle 3 Logfiles.

 

[Gendir]

Was gefunden wurde:

Malwarebytes:

Infizierte Registrierungsschlüssel: 2
HKCU\Software\InstallCore\1I1T1Q1S (PUP.Optional.InstallCore.A) -> Erfolgreich gelöscht und in Quarantäne gestellt.
HKCU\SOFTWARE\INSTALLCORE (PUP.Optional.InstallCore.A) -> Erfolgreich gelöscht und in Quarantäne gestellt.

Infizierte Registrierungswerte: 1
HKCU\Software\InstallCore|tb (PUP.Optional.InstallCore.A) -> Daten: 0R0DtO0U1C1S1U1StR0J1Q2P1J1K1I2R -> Erfolgreich gelöscht und in Quarantäne gestellt.

AdwCleaner:

***** [ Dateien / Ordner ] *****

Ordner Gelöscht : C:\ProgramData\apn
Ordner Gelöscht : C:\ProgramData\Microsoft\Windows\Start Menu\Programs\myfree codec
Ordner Gelöscht : C:\Users\...\AppData\Local\Google\Chrome\User Data\Default\Extensions\adpkifcfcacgmnggcbpbjbkdijciiigm


***** [ Registrierungsdatenbank ] *****

Schlüssel Gelöscht : HKLM\SOFTWARE\Classes\AppID\secman.DLL
Schlüssel Gelöscht : HKLM\SOFTWARE\Classes\secman.OutlookSecurityManager
Schlüssel Gelöscht : HKLM\SOFTWARE\Classes\secman.OutlookSecurityManager.1
Schlüssel Gelöscht : HKLM\SOFTWARE\Microsoft\Tracing\ApnSetup_RASAPI32
Schlüssel Gelöscht : HKLM\SOFTWARE\Microsoft\Tracing\ApnSetup_RASMANCS
Schlüssel Gelöscht : HKLM\SOFTWARE\Classes\AppID\{4D076AB4-7562-427A-B5D2-BD96E19DEE56}
Schlüssel Gelöscht : HKLM\SOFTWARE\Classes\CLSID\{66EEF543-A9AC-4A9D-AA3C-1ED148AC8EEE}
Schlüssel Gelöscht : HKLM\SOFTWARE\Classes\CLSID\{826D7151-8D99-434B-8540-082B8C2AE556}
Schlüssel Gelöscht : HKLM\SOFTWARE\Classes\Interface\{66EEF543-A9AC-4A9D-AA3C-1ED148AC8EEE}
Schlüssel Gelöscht : HKLM\SOFTWARE\Classes\Interface\{66EEF543-A9AC-4A9D-AA3C-1ED148AC8FFE}
Schlüssel Gelöscht : HKLM\SOFTWARE\Classes\Interface\{79FB5FC8-44B9-4AF5-BADD-CCE547F953E5}
Schlüssel Gelöscht : HKLM\SOFTWARE\Classes\TypeLib\{11549FE4-7C5A-4C17-9FC3-56FC5162A994}
Schlüssel Gelöscht : [x64] HKLM\SOFTWARE\Classes\Interface\{66EEF543-A9AC-4A9D-AA3C-1ED148AC8EEE}
Schlüssel Gelöscht : [x64] HKLM\SOFTWARE\Classes\Interface\{66EEF543-A9AC-4A9D-AA3C-1ED148AC8FFE}
Schlüssel Gelöscht : HKCU\Software\Myfree Codec
Schlüssel Gelöscht : HKLM\Software\Freeze.com
Schlüssel Gelöscht : HKLM\Software\Myfree Codec
Schlüssel Gelöscht : HKCU\Software\Microsoft\Windows\CurrentVersion\Uninstall\MyFreeCodec

***** [ Browser ] *****
-\\ Mozilla Firefox v27.0.1 (de)

[ Datei : C:\Users\...\AppData\Roaming\Mozilla\Firefox\Profiles\ixckysjw.default\prefs.js ]


-\\ Google Chrome v33.0.1750.117

[ Datei : C:\Users\...\AppData\Local\Google\Chrome\User Data\Default\preferences ]

JRT:

~~~ FireFox

Emptied folder: C:\Users\...\AppData\Roaming\mozilla\firefox\profiles\ixckysjw.default\minidumps [2 files]



~~~ Chrome

Successfully deleted: [Registry Key] HKEY_CURRENT_USER\Software\Policies\Google [Blacklisted Policy]