cookies aktivieren sich selbständig

hallo,
verwende MOZILLA FIREFOX als Webbrowser unter WINDOWS VISTA; habe üblicherweise die Cookies deaktiviert und schalte die Cookies bei Bedarf ein und aus.

Beim Abschalten des FIREFOX schalte ich die Cookie-Aktivierung generell ab und der Cookie-Speicher wird automatisch gelöscht.
Dadurch sind beim Neustart von FIREFOX die Cookies deaktiviert (Haken bei "Cookies akzeptiern" ist nicht gesetzt.
Heute hatte ich eine Virusmeldung zu " HTML/Infected.WebPage.Gen" der in meinen Benutzerprofil von FIREFOX "\Firefox\Profiles\mr05tum5.default\Cache\_CACHE_001_ ......." gefunden worden ist.

Zeitnah zu diesem Vorfall stelle ich fest, daß, obgleich ich "Cookies akzeptieren" vor dem Schliessen des Browsers deaktiviert habe (Haken bei "Cookies akzeptieren" war nicht gesetzt), nach dem Neustart des Browsers wieder selbständig ein Haken bei "Cookies akzeptieren" gesetzt ist.
Habe inzwischen folgendes versucht, um den Fehler zu beheben
1. FIREFOX deinstalliert und neu installiert
2. neues FIREFOX-Benutzter-Profil gelöscht und altes gelöscht.
3. über about:config die Cookies deaktiviert.
Alles ohne Erfolg.

Weiterhin habe ich festgestellt, daß sich, wenn ich mich als Administrator anmelde und FIREFOX starte, die Cookie-Deaktivierung weiterhin richtig funktioniert.

Angeblich soll der Virus " HTML/Infected.WebPage.Gen" ja völlig harmlos sein, aber hat vielleicht jemand ähnliche Erfahrungen gemacht und das Problem gelöst?

Gruesse
georg4

 

Mach mal bitte ein Hijackthis-Log.
HJT-Log bitte im Anhang als Textdatei (.txt) hoch laden, da es dann später wieder über das Kontrollzentrum entfernt werden kann.

Und poste mal das Antivir Ereignislog über den Fund.

 

Hallo deoroller
anbei den HJT-Log und zwei AVIRA-Ereignislogs

Habe bei der Durchsicht neben dem Ereignis vom 30.06., das mit der Quarantäne des gemeldeten Virusfiles in _CACHE_001_ abgeschlossen wurde noch ein Ereignis am 29.06., bei dem ich anscheinend die Meldung übersehen habe und wo der Virus eventuell aktiv werden konnte.

Grüsse
georg4

 

Bei Jotti/Virustotal untersuchen lassen.

Code:

O4 - HKUS\S-1-5-21-788726007-3547927559-2630480160-1001\..\Run: [{70D35364-D5C2-80EA-24F8-E36AB641EE55}] C:\Users\guenther\AppData\Roaming\Amday\[B][COLOR="Red"]ufnye.exe[/COLOR][/B] (User 'guenther')

In den Internetoptionen ist auch ein Proxy eingerichtet. Den mal deaktivieren, wenn du nicht weißt, wofür er sein soll.

 

Hallo deoroller
1.habe ufnye.exe testen lassen; Ergebnis 30% Viruspotential
habe diese Datei gelöscht,das brachte leider auch keine Verbesserung.
2. bei mir ist definitif kein Proxi aktiviert; die Meldung scheint wohl eher eine DEFAULT-Einstellung zu sein.

Habe mit Hilfe eines Bekannten jetzt folgendes gefunden:
in dem Ordner ....\AppData\Roaming\Mozilla\Firefox\Profiles\w9re02ej.Standard-Benutzer in dem die Firefox-Preferencen abgelegt werden befand sich neben pref.js noch eine Datei user.js, mit der jedesmal wieder die Cookies aktiviert worden sind.
Nach Löschen user.js ist wieder alles OK.

Im Internet habe ich zu user.js folgendes gefunden, was ich mit Sicherheit niemals getan habe :

Creating the user.js file
To create a user.js file, either use the ChromEdit extension (which creates the file automatically) or open a text editor such as Notepad and save the empty file as "user.js" inside your profile folder. (If you use a Windows text editor instead of ChromEdit, make sure you unhide extensions for known filetypes in Folder Options, so that the file isn't really called "user.js.txt".

Gibt es eine Möglichkeit herauszufinden, ob die user.js-Installation durch HTML/Infected.WebPage.Gen oder ufnye.exe erfolgt ist und sollte ich nach diesem Ergebnis noch etwas an der Registry ändern.

Gruesse
georg4

Nachtrag: anbei die Einträge in user.js:
user_pref("network.cookie.cookieBehavior", 0);
user_pref("privacy.clearOnShutdown.cookies", false);
user_pref("security.warn_viewing_mixed", false);
user_pref("security.warn_viewing_mixed.show_once", false);
user_pref("security.warn_submit_insecure", false);
user_pref("security.warn_submit_insecure.show_once", false);