Hallo Liebe Helfer und Mitleidende,

hab hier was Neues(?). Ein Trojaner/Virus was auch immer der sich auch IEXPLORER.EXE nennt oder eben den echten IE gekapert hat.

http://www.neuber.com/taskmanager/pr...plore.exe.html
Auf der Seite findet man weiter unten eine ganze Reihe sehr zutreffender Schilderungen (englisch) darüber was genau das Problem ist. Es sind auch einige Lösungsansätze aufgeführt (sehr wenige), die funktionieren aber nicht. Die Verzweiflung ist allenthalben groß.

Hier ein scheuer Blick auf meinen Totalcommander Taskmanager, da sitzt das dumme File (Process/Anwendung), lässt sich nicht Killen und frisst massiv Systemresourcen:


Es hat immer diese 16MB. Nach dem killen des Processes dauerts keine 3 Sekunden und es ist wieder da. Der freie Speicher wird um die Hälfte reduziert und Performance geht auch ca. 50% runter.

(Virtualdub schaffte nurnoch 6-8 fps wo vorher 18-20 fps kein Problem waren)

Lavasoft's Adaware konnte nichts relevantes finden. Hijackthis kreiert folgendes Log:

Logfile of HijackThis v1.99.1
Scan saved at 20:32:24, on 30.12.2005
Platform: Windows XP SP1 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP1 (6.00.2800.1106)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\System32\Ati2evxx.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\spoolsv.exe
C:\Programme\Gemeinsame Dateien\Autodesk Shared\Service\AdskScSrv.exe
C:\Programme\MSI\BToes Bluetooth Software\bin\btwdins.exe
C:\WINDOWS\System32\DRIVERS\CDANTSRV.EXE
C:\windows\runservice.exe
C:\WINDOWS\system32\Ati2evxx.exe
C:\WINDOWS\Explorer.EXE
C:\Programme\Alias\Maya6.5\docs\wrapper.exe
C:\Programme\Gemeinsame Dateien\Microsoft Shared\VS7Debug\mdm.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\System32\Tablet.exe
C:\Programme\Gemeinsame Dateien\Ulead Systems\DVD\ULCDRSvr.exe
C:\Programme\Alias\Maya6.5\docs\jre\bin\java.exe
C:\Program Files\ATI Technologies\ATI Control Panel\atiptaxx.exe
C:\Programme\Java\jre1.5.0_06\bin\jusched.exe
C:\WINDOWS\SOUNDMAN.EXE
C:\Programme\ATI Technologies\ATI HYDRAVISION\HydraDM.exe
C:\Programme\Hewlett-Packard\HP Share-to-Web\hpgs2wnd.exe
C:\Programme\CpuIdle\cpuidle.exe
C:\Programme\Logitech\MouseWare\system\em_exec.exe
C:\WINDOWS\System32\RunDll32.exe
C:\Programme\Saitek\Software\Profiler.exe
C:\Programme\Saitek\Software\SaiSmart.exe
C:\Program Files\WinTools\RAM Saver Pro\ramsaverpro.exe
C:\Programme\PeerGuardian2\pg2.exe
C:\Programme\Hewlett-Packard\HP Share-to-Web\hpgs2wnf.exe
C:\Programme\Adobe\Acrobat 5.0\Distillr\AcroTray.exe
C:\Programme\MSI\BToes Bluetooth Software\BTTray.exe
C:\Programme\CE Software\QuicKeys\QkEngine.exe
C:\WINDOWS\system32\WTablet\TabUserW.exe
C:\Programme\totalcmd\TOTALCMD.EXE
C:\DOKUME~1\*****\LOKALE~1\Temp\mdm.exe
C:\Programme\Internet Explorer\iexplore.exe
C:\Programme\Mozilla Firefox\firefox.exe
C:\Programme\Microsoft Office\OFFICE11\WINWORD.EXE
C:\Programme\Poppy\Poppy.exe
C:\Programme\ICQLite\ICQLite.exe
C:\Programme\Skype\Phone\Skype.exe
C:\Programme\eMule\eMule.exe
C:\DOKUME~1\*****\LOKALE~1\Temp\_tc\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = h**p://www.teltarif.de/
R1 - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings,ProxyOverride = 127.0.0.1
O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Programme\Adobe\Acrobat 7.0\ActiveX\AcroIEHelper.dll
O2 - BHO: MSNToolBandBHO - {49E0E0F0-5C30-11D4-945D-000000000000} - C:\WINDOWS\System32\msntb.dll
O2 - BHO: SSVHelper Class - {761497BB-D6F0-462C-B6EB-D4DAF1D92D43} - C:\Programme\Java\jre1.5.0_06\bin\ssv.dll
O2 - BHO: IEHlprObj Class - {CE7C3CF0-4B15-11D1-ABED-709549C10000} - c:\lotus\organize\iehelper.dll
O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINDOWS\System32\msdxm.ocx
O3 - Toolbar: Yahoo! Toolbar - {EF99BD32-C1FB-11D2-892F-0090271D4F88} - C:\Programme\Yahoo!\Companion\Installs\cpn0\yt.dll
O4 - HKLM\..\Run: [SiSUSBRG] C:\WINDOWS\SiSUSBrg.exe
O4 - HKLM\..\Run: [ATIModeChange] Ati2mdxx.exe
O4 - HKLM\..\Run: [ATIPTA] C:\Program Files\ATI Technologies\ATI Control Panel\atiptaxx.exe
O4 - HKLM\..\Run: [SunJavaUpdateSched] C:\Programme\Java\jre1.5.0_06\bin\jusched.exe
O4 - HKLM\..\Run: [Logitech Utility] Logi_MwX.Exe
O4 - HKLM\..\Run: [SoundMan] SOUNDMAN.EXE
O4 - HKLM\..\Run: [HydraVisionDesktopManager] C:\Programme\ATI Technologies\ATI HYDRAVISION\HydraDM.exe
O4 - HKLM\..\Run: [Share-to-Web Namespace Daemon] C:\Programme\Hewlett-Packard\HP Share-to-Web\hpgs2wnd.exe
O4 - HKLM\..\Run: [CpuIdle] C:\Programme\CpuIdle\cpuidle.exe
O4 - HKLM\..\Run: [KernelFaultCheck] %systemroot%\system32\dumprep 0 -k
O4 - HKLM\..\Run: [NeroFilterCheck] C:\WINDOWS\system32\NeroCheck.exe
O4 - HKLM\..\Run: [CmUsbSound] RunDll32 cmcnfgu.cpl,CMICtrlWnd
O4 - HKLM\..\Run: [Profiler] C:\Programme\Saitek\Software\Profiler.exe
O4 - HKLM\..\Run: [SaiSmart] C:\Programme\Saitek\Software\SaiSmart.exe
O4 - HKCU\..\Run: [RAMSaverPro] C:\Program Files\WinTools\RAM Saver Pro\ramsaverpro.exe
O4 - HKCU\..\Run: [PeerGuardian] C:\Programme\PeerGuardian2\pg2.exe
O4 - HKCU\..\Run: [Tweak-XP Pro] "C:\Programme\Tweak-XP Pro 4\autostart.exe"
O4 - HKCU\..\RunOnce: [ICQ Lite] C:\Programme\ICQLite\ICQLite.exe -trayboot
O4 - Startup: Adobe Gamma.lnk = C:\Programme\Gemeinsame Dateien\Adobe\Calibration\Adobe Gamma Loader.exe
O4 - Global Startup: Acrobat Assistant.lnk = C:\Programme\Adobe\Acrobat 5.0\Distillr\AcroTray.exe
O4 - Global Startup: Adobe Reader Speed Launch.lnk = C:\Programme\Adobe\Acrobat 7.0\Reader\reader_sl.exe
O4 - Global Startup: BTTray.lnk = ?
O4 - Global Startup: QuicKeys Engine.lnk = ?
O4 - Global Startup: TabUserW.exe.lnk = C:\WINDOWS\system32\WTablet\TabUserW.exe
O8 - Extra context menu item: Nach Microsoft &Excel exportieren - res://C:\PROGRA~1\MICROS~4\OFFICE11\EXCEL.EXE/3000
O8 - Extra context menu item: Senden an &Bluetooth - C:\Programme\MSI\BToes Bluetooth Software\btsendto_ie_ctx.htm
O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programme\Java\jre1.5.0_06\bin\ssv.dll
O9 - Extra 'Tools' menuitem: Sun Java Konsole - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programme\Java\jre1.5.0_06\bin\ssv.dll
O9 - Extra button: Messenger - {4528BBE0-4E08-11D5-AD55-00010333D0AD} - C:\PROGRA~1\Yahoo!\Common\yhexbmesde.dll
O9 - Extra 'Tools' menuitem: Yahoo! Messenger - {4528BBE0-4E08-11D5-AD55-00010333D0AD} - C:\PROGRA~1\Yahoo!\Common\yhexbmesde.dll
O9 - Extra button: Recherchieren - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - C:\PROGRA~1\MICROS~4\OFFICE11\REFIEBAR.DLL
O9 - Extra button: Web Entry - {B4E30F61-16D9-11D3-85D1-005004229569} - c:\lotus\organize\bandobjs.dll
O9 - Extra button: ICQ Lite - {B863453A-26C3-4e1f-A54D-A2CD196348E9} - C:\Programme\ICQLite\ICQLite.exe
O9 - Extra 'Tools' menuitem: ICQ Lite - {B863453A-26C3-4e1f-A54D-A2CD196348E9} - C:\Programme\ICQLite\ICQLite.exe
O9 - Extra button: @btrez.dll,-4015 - {CCA281CA-C863-46ef-9331-5C8D4460577F} - C:\Programme\MSI\BToes Bluetooth Software\btsendto_ie.htm
O9 - Extra 'Tools' menuitem: @btrez.dll,-4017 - {CCA281CA-C863-46ef-9331-5C8D4460577F} - C:\Programme\MSI\BToes Bluetooth Software\btsendto_ie.htm
O16 - DPF: {14B87622-7E19-4EA8-93B3-97215F77A6BC} (MessengerStatsClient Class) - http://messenger.zone.msn.com/binary/MessengerStatsPAClient.cab31267.cab
O16 - DPF: {30528230-99f7-4bb4-88d8-fa1d4f56a2ab} (YInstStarter Class) - C:\Programme\Yahoo!\Common\yinsthelper.dll
O16 - DPF: {B8BE5E93-A60C-4D26-A2DC-220313175592} (ZoneIntro Class) - http://messenger.zone.msn.com/binary/ZIntro.cab32846.cab
O17 - HKLM\System\CCS\Services\Tcpip\..\{783EF4DC-F3CD-4A3B-A44E-28607C2A8150}: NameServer = 192.168.178.1
O18 - Protocol: msnim - {828030A1-22C1-4009-854F-8E305202313F} - "C:\PROGRA~1\MSNMES~1\msgrapp.dll" (file missing)
O23 - Service: Adobe LM Service - Adobe Systems - C:\Programme\Gemeinsame Dateien\Adobe Systems Shared\Service\Adobelmsvc.exe
O23 - Service: APUpdService - cobra GmbH - C:\WINDOWS\System32\APUpdService.exe
O23 - Service: Ati HotKey Poller - Unknown owner - C:\WINDOWS\System32\Ati2evxx.exe
O23 - Service: Autodesk Licensing Service - Unknown owner - C:\Programme\Gemeinsame Dateien\Autodesk Shared\Service\AdskScSrv.exe
O23 - Service: Bluetooth Service (btwdins) - Broadcom Corporation. - C:\Programme\MSI\BToes Bluetooth Software\bin\btwdins.exe
O23 - Service: C-DillaSrv - C-Dilla Ltd - C:\WINDOWS\System32\DRIVERS\CDANTSRV.EXE
O23 - Service: DCPFLICS - Unknown owner - C:\Programme\DCPFLICS\DCPFLICS.exe (file missing)
O23 - Service: AVM FRITZ!web Routing Service (de_serv) - Unknown owner - C:\Programme\Gemeinsame Dateien\AVM\de_serv.exe (file missing)
O23 - Service: LicCtrl Service (LicCtrlService) - Unknown owner - C:\windows\runservice.exe
O23 - Service: License Management Service ESD - Unknown owner - C:\Programme\Gemeinsame Dateien\element5 Shared\Service\Licence Manager ESD.exe
O23 - Service: Macromedia Licensing Service - Macromedia - C:\Programme\Gemeinsame Dateien\Macromedia Shared\Service\Macromedia Licensing.exe
O23 - Service: Maya 6.5 Documentation Server (maya65docserver) - Unknown owner - C:\Programme\Alias\Maya6.5\docs\wrapper.exe
O23 - Service: SmartLinkService (SLService) - Unknown owner - slserv.exe (file missing)
O23 - Service: TabletService - Wacom Technology, Corp. - C:\WINDOWS\System32\Tablet.exe
O23 - Service: Ulead Burning Helper (UleadBurningHelper) - Ulead Systems, Inc. - C:\Programme\Gemeinsame Dateien\Ulead Systems\DVD\ULCDRSvr.exe
O23 - Service: Ultngeiusadw - Ulead Systems, Inc. - (no file)



SubInfos:

• Tweak XP hab ich eigentlich deinstalliert, mir ist aufgefallen das da noch ein eintrag drin ist.
• Die ganzen ExtraButtons und ExtraMenues hab ich auch nie bestellt. Wenn Ihr mir sagen könnt/wollt, welche ich unproblematisch wieder rauskicken kann wäre ich dankbar... ist aber sekundär
• am verdächtigsten sieht für mich das mit der "Cobra Gmbh" aus
• und das ding mit der "element5" Sache...

Wenn es kein Hijackthis-lösbares Problem ist Ihr aber einen Tipp habt was es sein könnte oder gar wisst was es ist und wie man es loskriegt, wäre ich auch hierfür dankbar.

Grüsse
Thozi

... und danke im Voraus

Hallo Thozi,

entferne "IExplore.exe" aus dem Systemstart -> Start -> Ausführen -> msconfig eingeben -> Häckchen bei IExplore.exe entfernen

Lade Dir clearprog 1.4.1 final.
Programm starten -> Häckchen bie "Alles Löschen" und auf "löschen" klicken.

Deinstalliere über Systemsteuerung/Software Dir suspekt vorkommende bzw. unbekannte Software.

dartus

Logfile of HijackThis v1.99.1
Scan saved at 20:32:24, on 30.12.2005
Platform: Windows XP SP1 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP1 (6.00.2800.1106

Was sagt uns das?
Genau SP2 fehlt...solltest dein System updaten.

@JayP,

erst das eine dann das andere!

dartus

@dartus

Wolltes nur gesagt haben
Nimms mir net übel

Merci schonmal...

SP2 hab ich bisher gemieden wie der das Weihwasser. Da so viele Berichte darüber waren wie viele Programme/Treiber nach der Installation von SP2 den Dienst verweigern. Nun mal sehn ich werd's installieren wenn das Problem hier gelöst ist, wenn sich dadurch vermeiden lässt das es wieder passiert.

Zu Eurem/Deinem Posting:
in der Systemstart gibt es keinen Eintrag IEXPLORER.EXE. Das Virus/Trojaner erscheint erst in der Prozessliste nachdem der "echte" Internet Explorer aufgerufen wurde, oder nachdem ein Programm, welches partiell auf IE Ressourcen zugreift, dies getan hat.

Anbei meine Systemstart-Einträge aus der msconfig:


und noch der Reiter "Dienste" gleich links nebendran:


Das Clearprog hab ich runtergeladen und ausgeführt, als Teilerfolg kann ich vermelden das ich ca. 500MB Festplattenspeicher gewonnen habe und das die 2 Fehlerdialoge beim Öffnen des IExplorers nicht mehr kommen.

Der nicht löschbare IEXPLORER.EXE Prozess bleibt mit den geschilderten Auswirkungen jedoch im System (bisher).

Wie geht's jetz weiter?

Grüsse Thozi

Hallo nochmal,

bin jetzt €60 Euro ärmer aber hab dank Kaspersky Personal Pro wieder ein (scheinbar) sauberes System, ohne alles "Plattmachen" zu muessen.

Gefundene Viren Trojaner waren:

• Trojan-Downloader.JS.IstBar.b
• Trojan-Downloader.JS.IstBar.j
• Trojan-Downloader.Win32.IstBar.gen
• Trojan-Spy.Win32.delf.lh
• Trojan.Java.ClassLoader.c
• Trojan.Java.ClassLoader.d
• Trojan.Java.ClassLoader.h
• Trojan.Java.ClassLoader.Dummy.a
• Trojan.Java.ClassLoader.Dummy.d
• Trojan-Downloader.Java.OpenStream.c
• Trojan-Downloader.Java.OpenStream.t
• Trojan-Downloader.Java.OpenStream.w
• Trojan-Downloader.Java.OpenConnection.aa
• Trojan-Downloader.Java.OpenConnection.v
• Backdoor.Rbot.gen
• Exploit.Java.ByteVerify

Diese Infos hatte ich zuvor bei Recherchen gefunden. Über die Win32/RBot Familie

Ich denke mal das der Hauptverantwortliche der Rbot war, da er wohl die Türen für viele andere Trojaner aufdrücken kann. Da es dann am Ende jedoch mehr als nur ein Trojaner waren, kann ich nicht garantieren welcher von denen mit der IEXPLORER.EXE in Verbindung zu bringen ist.

Fakt ist das das Problem scheinbar behoben ist. Nach dem Kaspersky Full System Scan. Hab noch nicht ge-re-bootet, aber bin mal so zuversichtlich hier trotzdem schonmal zu posten - es ist immer ärgerlich wenn Threads im Forum ein "Open End" haben, daher dachte ich ich bring das hier mit den notwendigen Informationen zu einem vorläufigen Abschluß auf das es jemandem helfen wird der ein ähnliches Problem hat.

Eine Theorie wie ich mir das Ding eingefangen hab hab ich noch und sie sollte auch beachtung finden:

das Gro der infizierten Dateien war in einer "angeblichen" Java installation von Sun Microsystems versteckt. Als ich das sah dämmerte mir das ich vor ein paar Tagen, Wochen im Systemtray ein altbekanntes Kaffetassensymbol aufpoppte und mich über ein vermeindliches neues Update für Java informierte. Ich hielt das für vertrauenswürdig und startete den Download und die Installation - über das Systemtray neben der Uhr unten rechts wohlgemerkt. Retrospektiv betrachtet würde ich mal sagen das das der Fehler/die Falle war in die ich reingetappt bin. ALSO VORSICHT!

Jedoch ganz klar, wird wahrscheinlich vorher schon eine weniger agressive Variante auf dem Rechner installiert und aktiv gewesen sein um hier erfolgreich den Update-Vorgang von Java fälschlicherweise zu simulieren.

Solche Updates werde ich in Zukunft auf der SunMicrosystems Webseite überprüfen, ausserdem hoffe ich das Kaspersky weiterhin seinen Dienst an mir tut. Nur halt die €60/Jahr brennen ein bisserl. Gut, für ein "sicheres" System mag das angemessen sein, aber was ist schon sicher? Sagen wir mal "etwas sicherer".

Viele Grüsse, nen Guten Rutsch und dank an alle die sich mit meinem Problem beschäftigt haben.

Thorsten

PS: sorry das ich keine "kostenlose" Lösung gefunden habe... vielleicht gehts auch mit der Trialversion von Kaspersky weg.

Backdoor.Rbot.gen

Ein Grund dein System neuaufzusetzen.
Der könnte bereits eine Hintertür geöffnet haben.
Damit ist dein System als kompromittiert zu betrachten.

Wünsche dir auch nen guten Rutsch ins neue Jahr.

wenn du dir die ersten 5 links angeguckt hast, wirst du auch verstehen, warum du dir die ganze anleitung angucken sollst. Klick mich