Also ich hol mal weit aus:
Gestern Abend surf ich nichts ahnend ein bischen rum, da springen tausend pop ups auf und meine viren scanner (norton) sagt immer, virus gelöscht.....und dies mehrfach! Danach hab ich versucht alles zu schließen, hat auch geklappt, so weit so gut. Wenn ich nun meinen explorer öffne hab ich eine neune startseite! Ich hab folgendes versucht um dies weg zu kreigen:


1) Ad-ware:
Ad-ware findet einiges löscht es auch, beim weiteren durchlaufen ist aber eine datei wieder da:
HKEY_LOCAL_MASCHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\run\sp
Vendor: Possible Browser Hijack attempt
Typ: RegValue

wie gesagt die kommt bei jedem scannen neu vor, nach dem booten findet ad-ware aber insgesamt 3 oder 15 files, beim 2 scannnen dann nur den einen!


2) Spybot S&D
Spybot findet genau die gleiche file bennent sie aber als oberkategorie als AllCyberSearch/Autorun-Einstellung. Art: Regestrierungsdatenbank-Wert
Wieder das gleiche spiel, löschen kein Problem, aber kommt wieder!

Bei Spybot liegt ein Werkzeug bei der einem alles zeigt was immer gebootet wird, dabei hat er folgendes rot makiert:
Located: HK_LM:Run, DeskMateAutoUpdate
command: REM C:\PROGRA~1\DESKMA~1\DeskMateAutoUpdate.exe

3)Hijack This
Ich hab HijackThis laufen lassen und das was er gefunden hat auf der seite eingetragen und hab mir zeigen lassen was alles als "böse" eingestuft wird, dabei findet er auch 3 werte, wenn ich sie lösche kommen sie ebenfalls wieder!
Logfile:
Logfile of HijackThis v1.99.0
Scan saved at 08:49:54, on 13.02.2005
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\Ati2evxx.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\Ati2evxx.exe
C:\Programme\Gemeinsame Dateien\Symantec Shared\ccSetMgr.exe
C:\WINDOWS\Explorer.EXE
C:\Programme\Gemeinsame Dateien\Symantec Shared\ccEvtMgr.exe
C:\WINDOWS\system32\spoolsv.exe
C:\Programme\Gemeinsame Dateien\Symantec Shared\ccApp.exe
F:\Winamp\winampa.exe
C:\WINDOWS\SOUNDMAN.EXE
C:\Programme\Gemeinsame Dateien\Real\Update_OB\realsched.exe
C:\Programme\Java\j2re1.4.2_06\bin\jusched.exe
C:\Programme\ATI Technologies\ATI Control Panel\atiptaxx.exe
F:\AD-AWA~2\Ad-Watch.exe
C:\WINDOWS\system32\rundll32.exe
F:\Norton AntiVirus\navapsvc.exe
F:\Norton AntiVirus\AdvTools\NPROTECT.EXE
F:\Norton AntiVirus\SAVScan.exe
C:\WINDOWS\system32\svchost.exe
F:\RealVNC\WinVNC\WinVNC.exe
C:\Programme\Gemeinsame Dateien\Symantec Shared\Security Center\SymWSC.exe
C:\WINDOWS\system32\wscntfy.exe
C:\WINDOWS\System32\svchost.exe
F:\Trillian\trillian.exe
C:\Programme\Internet Explorer\IEXPLORE.EXE
F:\Spybot - Search & Destroy\SpybotSD.exe
H:\HijackThis.exe

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = about:blank
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = www.google.de/
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Bar = res://C:\DOKUME~1\CHRIST~1\LOKALE~1\Temp\se.dll/sp.html
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = about:blank
R0 - HKLM\Software\Microsoft\Internet Explorer\Search,SearchAssistant = about:blank
O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Programme\Adobe\Acrobat 7.0\ActiveX\AcroIEHelper.dll
O2 - BHO: (no name) - {3FB9814A-9B8E-4ABC-B8FA-B254A03909F7} - C:\WINDOWS\system32\ajki.dll
O2 - BHO: (no name) - {53707962-6F74-2D53-2644-206D7942484F} - F:\SPYBOT~1\SDHelper.dll
O2 - BHO: CNavExtBho Class - {BDF3E430-B101-42AD-A544-FADC6B084872} - F:\Norton AntiVirus\NavShExt.dll
O3 - Toolbar: Norton AntiVirus - {42CDD1BF-3FFB-4238-8AD1-7859DF00B1D6} - F:\Norton AntiVirus\NavShExt.dll
O4 - HKLM\..\Run: [ccApp] "C:\Programme\Gemeinsame Dateien\Symantec Shared\ccApp.exe"
O4 - HKLM\..\Run: [Advanced Tools Check] F:\NORTON~1\AdvTools\ADVCHK.EXE
O4 - HKLM\..\Run: [NeroCheck] REM C:\WINDOWS\system32\NeroCheck.exe
O4 - HKLM\..\Run: [WinampAgent] F:\Winamp\winampa.exe
O4 - HKLM\..\Run: [SoundMan] SOUNDMAN.EXE
O4 - HKLM\..\Run: [WinVNC] REM "F:\RealVNC\WinVNC\WinVNC.exe" -servicehelper
O4 - HKLM\..\Run: [TkBellExe] "C:\Programme\Gemeinsame Dateien\Real\Update_OB\realsched.exe" -osboot
O4 - HKLM\..\Run: [SunJavaUpdateSched] C:\Programme\Java\j2re1.4.2_06\bin\jusched.exe
O4 - HKLM\..\Run: [ATIPTA] C:\Programme\ATI Technologies\ATI Control Panel\atiptaxx.exe
O4 - HKLM\..\Run: [QuickTime Task] "F:\quiktime\qttask.exe" -atboottime
O4 - HKLM\..\Run: [KernelFaultCheck] %systemroot%\system32\dumprep 0 -k
O4 - HKLM\..\Run: [AWMON] "F:\AD-AWA~2\Ad-Watch.exe"
O4 - HKLM\..\Run: [DeskMateAutoUpdate] REM C:\PROGRA~1\DESKMA~1\DeskMateAutoUpdate.exe
O4 - HKLM\..\Run: %20 rundll32 C:\DOKUME~1\CHRIST~1\LOKALE~1\Temp\se.dll,DllInstall
O4 - HKCU\..\Run: [Steam] REM
O4 - Startup: trillian.lnk = ?
O4 - Global Startup: Adobe Reader Speed Launch.lnk = C:\Programme\Adobe\Acrobat 7.0\Reader\reader_sl.exe
O4 - Global Startup: Microsoft Office.lnk = F:\officeXP\Office10\OSA.EXE
O4 - Global Startup: Picture Package Menu.lnk = ?
O4 - Global Startup: Picture Package VCD Maker.lnk = ?
O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programme\Java\j2re1.4.2_06\bin\npjpi142_06.dll
O9 - Extra 'Tools' menuitem: Sun Java Konsole - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programme\Java\j2re1.4.2_06\bin\npjpi142_06.dll
O9 - Extra button: AIM - {AC9E2541-2814-11d5-BC6D-00B0D0A1DE45} - F:\AIM95\aim.exe
O9 - Extra button: ICQ 4.0 - {B863453A-26C3-4e1f-A54D-A2CD196348E9} - C:\Programme\ICQLite\ICQLite.exe
O9 - Extra 'Tools' menuitem: ICQ Lite - {B863453A-26C3-4e1f-A54D-A2CD196348E9} - C:\Programme\ICQLite\ICQLite.exe
O10 - Broken Internet access because of LSP provider 'xfire_lsp_10650.dll' missing
O16 - DPF: {14B87622-7E19-4EA8-93B3-97215F77A6BC} (MessengerStatsClient Class) - messenger.zone.msn.com/binary/MessengerStatsPAClient.cab31267.cab
O16 - DPF: {53B8B406-42E4-4DD3-96E7-9DEC8CEB3DD8} (ICQVideoControl Class) - xtraz.icq.com/xtraz/activex/ICQVideoControl.cab
O16 - DPF: {B38870E4-7ECB-40DA-8C6A-595F0A5519FF} (MsnMessengerSetupDownloadControl Class) - messenger.msn.com/download/msnmessengersetupdownloader.cab
O16 - DPF: {B8BE5E93-A60C-4D26-A2DC-220313175592} (ZoneIntro Class) - messenger.zone.msn.com/binary/ZIntro.cab31267.cab
O23 - Service: Ati HotKey Poller - ATI Technologies Inc. - C:\WINDOWS\system32\Ati2evxx.exe
O23 - Service: ATI Smart - Unknown - C:\WINDOWS\system32\ati2sgag.exe
O23 - Service: Symantec Event Manager - Symantec Corporation - C:\Programme\Gemeinsame Dateien\Symantec Shared\ccEvtMgr.exe
O23 - Service: Symantec Password Validation - Symantec Corporation - C:\Programme\Gemeinsame Dateien\Symantec Shared\ccPwdSvc.exe
O23 - Service: Symantec Settings Manager - Symantec Corporation - C:\Programme\Gemeinsame Dateien\Symantec Shared\ccSetMgr.exe
O23 - Service: GFI LANguard N.S.S. 5.0 attendant service - GFI Software Ltd. - F:\Langard Network Security Scanner 5.0\lnssatt.exe
O23 - Service: Norton AntiVirus Auto-Protect-Dienst - Symantec Corporation - F:\Norton AntiVirus\navapsvc.exe
O23 - Service: Norton Unerase Protection - Symantec Corporation - F:\Norton AntiVirus\AdvTools\NPROTECT.EXE
O23 - Service: SAVScan - Symantec Corporation - F:\Norton AntiVirus\SAVScan.exe
O23 - Service: ScriptBlocking Service - Symantec Corporation - C:\PROGRA~1\GEMEIN~1\SYMANT~1\SCRIPT~1\SBServ.exe
O23 - Service: SymWMI Service - Symantec Corporation - C:\Programme\Gemeinsame Dateien\Symantec Shared\Security Center\SymWSC.exe
O23 - Service: VNC Server - RealVNC Ltd. - F:\RealVNC\WinVNC\WinVNC.exe



Ich konnte nun umgehen das die Startseite wechselt under immer popups dazwischen kommen mit dem prog. Ad-watch, dieses blockt immer auto:blank, so wie ich es eingetragen habe, sonst hät ich das hier nicht alles schreiben können! Nun ist mir gerade noch aufgefallen das hier mehrere fenster aufgingen, wie zB eins mit dos-befehlen, und sofort wieder schlossen! Ich brauch dringend eure hilfe!!

scheint mir du hast das gleiche eingefangen wie ich

R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Bar = res://C:\DOKUME~1\CHRIST~1\LOKALE~1\Temp\se.dll/sp.html

kann dir aber leider im moment nicht weiter helfen.. hab bis jetz adaware,escan,und noch alles selber machen ausprobiert.. aber bis jetz kam der dreck immer wieder =(

@gismo4
lade LSP-Fix
download hier
Only for people who have this problem with xfire_lsp_8742.dll
Download and run LSPFix from http://cexx.org/lspfix.htm

update spybot,
wechsle in den abgesicherten modus und lasse spybot laufen
fixe dann mit HJT
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Bar = res://C:\DOKUME~1\CHRIST~1\LOKALE~1\Temp\se.dll/sp.html
O2 - BHO: (no name) - {3FB9814A-9B8E-4ABC-B8FA-B254A03909F7} - C:\WINDOWS\system32\ajki.dll
O4 - HKLM\..\Run: %20 rundll32 C:\DOKUME~1\CHRIST~1\LOKALE~1\Temp\se.dll,DllInsta ll
lösche danach manuell
C:\DOKUME~1\CHRIST~1\LOKALE~1\Temp\se.dll,DllInsta ll
C:\WINDOWS\system32\ajki.dll
C:\DOKUME~1\CHRIST~1\LOKALE~1\Temp\se.dll

ist diesen remote controller mit absicht auf dem pc?
O23 - Service: VNC Server - RealVNC Ltd. - F:\RealVNC\WinVNC\WinVNC.exe

neu booten, neues HJT logfile posten
wenn deine Inetverbindung nicht geht, mit LSP-Fix reparieren
Only for people who have this problem with xfire_lsp_8742.dll
Download and run LSPFix from http://cexx.org/lspfix.htm

Use these instructions to remove the bad DLL:
1. Run LSPFix.
2. Check 'I know what I'm doing'.
3. Select 'xfire_lsp_8742.dll'.
4. Click the right-pointing arrow (moves it to the "remove" page).
5. Click 'Finished'.

6. Restart your computer in "Safe Mode" (F5 or F8 when starting Windows).
7. Delete the following file: 'xfire_lsp_8742.dll'
8. Restart your computer and bring it up in normal mode.

PS: This solution also works with other file-names causing the same problem.
Just substitute the .DLL name.
__________________
Mit Dank an Lutz


@ubikstyles
eröffne bitte einen neuen thread
chaosman

falls du auch das besitzt: C:\Programme\MySearch
würde ich dir auch raten dieses verzeichnis mit dem inhalt zu löschen...
verursachte bei mir einige probleme...
habe jetzt alles weggebracht.. und sp2 updated..
sollte jetz funktionieren

danke leute, das prob hab ich nich mehr, aber nur weil ich formatieren muss *heul*
das ad-watch hat leider mein svchost.exe geblockt und gelöscht....lol oder?


naja ich will am anfangen