Windows (Firefox) lädt .exe statt .pdf

[Helge A. (besupreme)]

Wir haben hier einen alten Rechner als Party-Musikserver und zum 
gelegentlichen Laden von Handbüchern, Datenblättern usw.

Der hat kürzlich ein auffälliges Verhalten gezeigt: Jedesmal genau dann, 
wenn ich ein .pdf aus einer beliebigen Quelle lade, wird im Firefox ein 
?????.pdf.exe geladen anstatt ????.pdf - egal, ob das ein Datenblatt von 
TI, ein Handbuch von ASUS oder irgendwas beliebiges anderes ist. 
Beobachte ich das Downloadfenster weiter, ändert sich die Dateiendung 
automatisch in .pdf, sobald der download fertig ist.

Mit dem Rechner wurden ausschließlich ein paar Tech-Dokumente aus dem 
Netz geholt, von scheinbar vertrauenswürdigen Quellen. Ein 
Offline-Virenscan auf dem Rechner vom USB-Stick aus hat nichts gefunden.

Was ist das? Wie krieg ich das System wieder sauber? Oder wird "unser" 
traffic außen irgendwie umgeleitet..??

[Andreas D. (rackandboneman)]

Evtl mal mittels Drahthai beobachten was tatsächlich auf HTTP-Ebene 
abläuft?

[Helge A. (besupreme)]

Als nächstes werde ich wohl einen anderen Rechner mit 2 
Netzwerkanschlüssen zwischenschalten mit Diagnosesoftware. Die kleine 
Diagnose über das FF-Downloadfenster hat mir jedenfalls die richtigen 
Adressen angezeigt für den Ursprung der pdf's.

Daher traue ich vorerst keinem Werkzeug, das auf dem Rechner läuft.

[oszi40 (Gast)]

exe statt pdf riecht trotzem sehr nach Virus (oder DAU)!

Man könnte z.B. Backup oder Systemwiederherstellungspunkt suchen. Evtl. 
fehlte auch der PDF-Reader.

[npn (Gast)]

oszi40 schrieb:
> Evtl.
> fehlte auch der PDF-Reader.

Da hängt er trotzdem nicht selber ein *.exe hintenran. Dann kommt 
einfach nur eine Fehlermeldung, daß er das PDF nicht anzeigen kann.

[Helge A. (besupreme)]

DAU ist unwahrscheinlich, außer irgendein anderer Benutzer im Netzwerk 
hat was eingeschleppt. Browser sind bei allen Rechnern hier so 
eingestellt, daß immer nur "speichern unter.." auftaucht und man ein 
Zielverzeichnis angeben muß. Das verhindert unbeabsichtigtes Starten von 
Programmen - denke ich.

Aktuell laufen Malware-Scanner vom Stick. Vielleicht finden die was.

[Sven L. (sven_rvbg)]

Hallo Helge,
zum sniffen des Traffics reicht dir Wireshark vollkommen aus.

Ansonsten mal adwcleaner drüberlaufen lassen, das hat mir schon bei 
einigen Rechnern mit verbogenen Browsern geholfen.

Viel Erfolg!

[Helge A. (besupreme)]

adwcleaner hat ein paar Sachen gefunden. Scheinbar war der Firefox so 
verbogen, daß pdf's in diesem Format angefordert wurden. Leider ist 
adwclean ja nit so gesprächig.
Aktuell öffnet FF für pdf's immer den acrobat reader in einem extra 
Fenster, damit kann ich leben.

Untersuchungen mit ws haben jetzt ergeben, daß ein iphone im Netzwerk 
extrem gesprächig ist. Das reicht immerhin aus, daß das Netzwerk 
merklich belastet wird. Ist das "normal"? Ich kenn mich mit den Dingern 
leider nit aus. Scheinbar wird jeder Rechner im Netzwerk permanent nach 
Routerfunktionen, Netzwerkfreigaben und Verzeichnissen durchsucht.. :O

Leider ist WS grad mal wieder abgeschmiert und hat die log-Datei mit in 
die ewigen Jagdgründe befördert :/

[Martin (Gast)]

> ...  daß pdf's in ...

Sieht komisch aus.

[oszi40 (Gast)]

Helge A. schrieb:
> Offline-Virenscan auf dem Rechner vom USB-Stick aus hat nichts gefunden.
...
> damit kann ich leben.

Ein System was nicht aktuell gepatcht wurde, hat auch mehr Risko durch 
"offene Türchen". Suche nochmal mit Virenscanner von ANDEREM Hersteller 
von CD. Nicht jeder Virenscanner findet gleich alle bösen Geister.