Hallo.

Ich bräuchte mal ne kompetente hilfe. Seit kurzem öffnen sich, bei dem laptop meiner freundin, ständig solche werbefenster (vw, dresdner bank, flirtkontakte...) wenn firefox läuft. Ich habe schon n kompletten scan mit AVG gemacht, das problem ist dadurch jedoch nicht gelöst worden. Hab auch schon in den foren hier gelesen, bin mir aber nicht sicher, wie ich das problem jetzt gelöst bekomm.

Hier mal n aktueller HJT Log-File:


Logfile of Trend Micro HijackThis v2.0.2
Scan saved at 18:07:51, on 03.10.2008
Platform: Windows XP SP3 (WinNT 5.01.2600)
MSIE: Internet Explorer v7.00 (7.00.6000.16705)
Boot mode: Normal

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\Ati2evxx.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\spoolsv.exe
C:\PROGRA~1\AVG\AVG8\avgwdsvc.exe
C:\WINDOWS\System32\svchost.exe
C:\Programme\Gemeinsame Dateien\Microsoft Shared\VS7DEBUG\MDM.EXE
C:\PROGRA~1\AVG\AVG8\avgrsx.exe
C:\WINDOWS\system32\Ati2evxx.exe
C:\WINDOWS\Explorer.EXE
C:\PROGRA~1\AVG\AVG8\avgemc.exe
C:\WINDOWS\AGRSMMSG.exe
C:\WINDOWS\SOUNDMAN.EXE
C:\Programme\Synaptics\SynTP\SynTPEnh.exe
C:\PROGRA~1\AVG\AVG8\avgtray.exe
C:\WINDOWS\system32\ctfmon.exe
C:\Programme\TaskSwitchXP\TaskSwitchXP.exe
C:\dokumente und einstellungen\mustermann\lokale einstellungen\anwendungsdaten\mgqam.exe
C:\Programme\Mozilla Firefox\firefox.exe
C:\Programme\Trend Micro\HijackThis\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = h**p://www.yakumo.de/
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = h**p://go.microsoft.com/fwlink/?LinkId=69157
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = h**p://go.microsoft.com/fwlink/?LinkId=54896
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = h**p://go.microsoft.com/fwlink/?LinkId=54896
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = h**p://go.microsoft.com/fwlink/?LinkId=69157
R3 - URLSearchHook: ICQ Toolbar - {855F3B16-6D32-4fe6-8A56-BBB695989046} - C:\Programme\ICQToolbar\toolbaru.dll (file missing)
O2 - BHO: XTTBPos00 - {055FD26D-3A88-4e15-963D-DC8493744B1D} - C:\Programme\ICQToolbar\toolbaru.dll (file missing)
O2 - BHO: AcroIEHelperStub - {18DF081C-E8AD-4283-A596-FA578C2EBDC3} - C:\Programme\Gemeinsame Dateien\Adobe\Acrobat\ActiveX\AcroIEHelperShim.dll
O2 - BHO: WormRadar.com IESiteBlocker.NavFilter - {3CA2F312-6F6E-4B53-A66E-4E65E497C8C0} - C:\Programme\AVG\AVG8\avgssie.dll
O2 - BHO: SSVHelper Class - {761497BB-D6F0-462C-B6EB-D4DAF1D92D43} - C:\Programme\Java\jre1.6.0_01\bin\ssv.dll
O3 - Toolbar: Babylon - {965B54B0-71E0-4611-8DE7-F73FA0B20E26} - C:\Programme\Babylon\Babylon Toolbar\BabylonIEToolBar.dll (file missing)
O4 - HKLM\..\Run: [AGRSMMSG] AGRSMMSG.exe
O4 - HKLM\..\Run: [SoundMan] SOUNDMAN.EXE
O4 - HKLM\..\Run: [SynTPEnh] C:\Programme\Synaptics\SynTP\SynTPEnh.exe
O4 - HKLM\..\Run: [AVG8_TRAY] C:\PROGRA~1\AVG\AVG8\avgtray.exe
O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\ctfmon.exe
O4 - HKCU\..\Run: [TaskSwitchXP] C:\Programme\TaskSwitchXP\TaskSwitchXP.exe
O4 - HKCU\..\Run: [mgqam] "c:\dokumente und einstellungen\mustermann\lokale einstellungen\anwendungsdaten\mgqam.exe" mgqam
O4 - HKUS\S-1-5-19\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'LOKALER DIENST')
O4 - HKUS\S-1-5-20\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'NETZWERKDIENST')
O4 - HKUS\S-1-5-18\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'SYSTEM')
O4 - HKUS\.DEFAULT\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'Default user')
O8 - Extra context menu item: Nach Microsoft &Excel exportieren - res://C:\PROGRA~1\MICROS~2\OFFICE11\EXCEL.EXE/3000
O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programme\Java\jre1.6.0_01\bin\ssv.dll
O9 - Extra 'Tools' menuitem: Sun Java Konsole - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programme\Java\jre1.6.0_01\bin\ssv.dll
O9 - Extra button: Recherchieren - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - C:\PROGRA~1\MICROS~2\OFFICE11\REFIEBAR.DLL
O9 - Extra button: ICQ Lite - {B863453A-26C3-4e1f-A54D-A2CD196348E9} - C:\Programme\ICQLite\ICQLite.exe
O9 - Extra 'Tools' menuitem: ICQ Lite - {B863453A-26C3-4e1f-A54D-A2CD196348E9} - C:\Programme\ICQLite\ICQLite.exe
O9 - Extra button: Real.com - {CD67F990-D8E9-11d2-98FE-00C0F0318AFE} - C:\WINDOWS\system32\Shdocvw.dll
O9 - Extra button: (no name) - {e2e2dd38-d088-4134-82b7-f2ba38496583} - C:\WINDOWS\Network Diagnostic\xpnetdiag.exe
O9 - Extra 'Tools' menuitem: @xpsp3res.dll,-20001 - {e2e2dd38-d088-4134-82b7-f2ba38496583} - C:\WINDOWS\Network Diagnostic\xpnetdiag.exe
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe
O14 - IERESET.INF: START_PAGE_URL=http://www.yakumo.de
O16 - DPF: {6414512B-B978-451D-A0D8-FCFDF33E833C} (WUWebControl Class) - http://v5.windowsupdate.microsoft.com/v5consumer/V5Controls/en/x86/client/wuweb_site.cab?1106079961218
O18 - Protocol: linkscanner - {F274614C-63F8-47D5-A4D1-FBDDE494F8D1} - C:\Programme\AVG\AVG8\avgpp.dll
O20 - AppInit_DLLs: avgrsstx.dll
O23 - Service: Ati HotKey Poller - ATI Technologies Inc. - C:\WINDOWS\system32\Ati2evxx.exe
O23 - Service: AVG Free8 E-mail Scanner (avg8emc) - AVG Technologies CZ, s.r.o. - C:\PROGRA~1\AVG\AVG8\avgemc.exe
O23 - Service: AVG Free8 WatchDog (avg8wd) - AVG Technologies CZ, s.r.o. - C:\PROGRA~1\AVG\AVG8\avgwdsvc.exe
O23 - Service: PsShutdown (PsShutdownSvc) - Systems Internals - C:\WINDOWS\System32\PSSDNSVC.EXE

--
End of file - 5404 bytes



Wär echt super, wenn mir hier jemand weiter helfen könnte. Meine Freundin is nämlich echt fertig und ich glaub ich war sogar der Verursacher.

Vielen Dank schon mal

m&m

Hallo und

lade dir bitte mal Navilog und lasse es deinen (euren) Rechner überprüfen

Bitte lade Dir Navilog1 von IL-MAFIOSO herunter.
Navilog1 - Accueil

• Führe die Datei navilog1.exe aus, eine Installationsroutine wird beginnen.
• Sollte das Programm nach Abschluß der Installation nicht automatisch gestartet werden, führe es bitte per
  Doppelklick auf das Navilog1-Shortcut auf deinem Desktop aus.
• Wähle E für Englisch im Sprachenmenü
• Wähle 1 im nächsten Menü um "Suche" auszuwählen. Bestätige mit Enter.
• Die Dauer des Scans kann variieren, bitte abwarten. Wenn du aufgefordert wirst, eine Taste zu drücken, tue dies bitte.
• Ein neues Dokument sollte erstellt und geöffnet werden: fixnavi.txt.
• Bitte füge den Inhalt dieser Datei in deine nächste Antwort ein.

Der Bericht wird außerdem im Hauptverzeichnis (z.B.: "C:\") erstellt.

Hinweis:
Navilog1.exe wir von einigen Antivirenprogrammen als bösartig erkannt. Dies ist ein Fehlalarm. Die Nachricht bitte ignorieren.

poste das entstandene Log hierher, dann sehen wir weiter.

MFG

Vielen Dank für die schnelle Hilfe.

Hier der entstandene log:

Search Navipromo version 3.6.6 began on 03.10.2008 at 20:54:14,10

!!! Warning, this report may include legitimate files/programs !!!
!!! Post this report on the forum you are being helped !!!
!!! Don't continue with removal unless instructed by an authorized helper !!!
Fix running from C:\Programme\navilog1
Actual User Account : "Muster"

Updated on 29.09.2008 at 17h30 by IL-MAFIOSO


Microsoft Windows XP [Version 5.1.2600]
Version Internet Explorer : 7.0.5730.11
Filesystem type : NTFS

Search done in normal mode

*** Searching for installed Software ***

Favorit

*** Search folders in "C:\WINDOWS" ***


*** Search folders in "C:\Programme" ***

...\WebMediaPlayer found !

*** Search folders in "C:\Dokumente und Einstellungen\All Users\startm~1\progra~1" ***


*** Search folders in "C:\Dokumente und Einstellungen\All Users\startm~1" ***


*** Search folders in "c:\dokume~1\alluse~1\anwend~1" ***


*** Search folders in "C:\Dokumente und Einstellungen\Muster\anwend~1" ***


*** Search folders in "C:\Dokumente und Einstellungen\Muster\lokale~1\anwend~1" ***


*** Search folders in "C:\Dokumente und Einstellungen\Muster\startm~1\progra~1" ***


*** Search with Catchme-rootkit/stealth malware detector by gmer ***
for more info : http://www.gmer.net



*** Search with GenericNaviSearch ***
!!! Possibility of legitimate files in the result !!!
!!! Must always be checked before manually deleting !!!

* Scan in "C:\WINDOWS\system32" *

* Scan in "C:\Dokumente und Einstellungen\Muster\lokale~1\anwend~1" *



*** Search files ***



*** Search specific Registry keys ***

HKEY_CURRENT_USER\Software\Lanconfig found !

*** Complementary Search ***
(Search specific files)

1)Search new Instant Access files :


2)Heuristic Search :

* In "C:\WINDOWS\system32" :


* In "C:\Dokumente und Einstellungen\Muster\lokale~1\anwend~1" :

mgqam.dat found !
mgqam.exe found !
mgqam_nav.dat found !
mgqam_navps.dat found !

3)Certificates Search :

Egroup certificate found !
Electronic-Group certificate found !
Montorgueil certificate not found !
OOO-Favorit certificate found !
Sunny-Day-Design-Ltd certificate not found !

4)Search known files :



*** Search completed on 03.10.2008 at 21:01:06,00 ***



Liegt das an dem webmediaplayer??

Hallo

Liegt das an dem webmediaplayer??

Jupp, ich weiß aber nicht genau ob mit einer Deinstallation des Webmediaplayers das Problem behoben ist,
darum führe bitte Navilog mit der Option 2 durch

• Rufe das Programm bitte erneut auf und wähle die Option 2
• Das Programm wird nun deinen Rechner neustarten. Schließe also alle Fenster und bestätige den Neustart.
  Sollte der Rechner nicht neustarten, tue dies bitte manuell.
• Nach dem Neustart läuft der Fix zuende. Bitte einfach abwarten, bis NaviFix beendet ist und keine Fenster öffnen.
• Es öffnet sich erneut ein Fenster mit dem Scanergebnis. Speichere das Ergebnis ab und schließe den Editor. Nun sollten deine Desktopsymbole wieder erscheinen
• Das Scanergebnis bitte hier posten.

Sollten die Desktopsymbole nicht von selbst wieder erscheinen, rufe mit Strg+Alt+Entf den Taskmanager auf und wähle unter Prozesse->Neuen Task ausführen aus. Gib dort explorer ein.

poste bitte auch hier wieder das Log und berichte.

MFG

So habs gemacht. Hier der log:


Navipromo Removal version 3.6.6 started on 04.10.2008 at 12:19:00,84

Fix running from C:\Programme\navilog1
Actual User Account : "Muster"

Updated on 29.09.2008 at 17h30 by IL-MAFIOSO


Microsoft Windows XP [Version 5.1.2600]
Internet Explorer : 7.0.5730.11
Filesystem type : NTFS

Automatic removal
with Catchme and GNS results


Cleanning stage done on Reboot


*** fsbl1.txt not found ***
(Check that Catchme found nothing in Search Mode)


*** Deleting with Backups GenericNaviSearch results ***

* Deletion in "C:\WINDOWS\System32" *


* Deletion in "C:\Dokumente und Einstellungen\Muster\lokale~1\anwend~1" *



*** Deleting folders in "C:\WINDOWS" ***


*** Deleting folders in "C:\Programme" ***

...\WebMediaPlayer ...deleting...
...\WebMediaPlayer deleted !


*** Deleting folders in "C:\Dokumente und Einstellungen\All Users\startm~1\progra~1" ***


*** Deleting folders in "C:\Dokumente und Einstellungen\All Users\startm~1" ***


*** Deleting folders in "c:\dokume~1\alluse~1\anwend~1" ***


*** Deleting folders in "C:\Dokumente und Einstellungen\Muster\anwend~1" ***


*** Deleting folders in "C:\Dokumente und Einstellungen\Muster\lokale~1\anwend~1" ***


*** Deleting folders in "C:\Dokumente und Einstellungen\Muster\startm~1\progra~1" ***



*** Deleting files ***


*** Deleting temporary files ***

Cleaning of C:\WINDOWS\Temp done !
Cleaning of C:\Dokumente und Einstellungen\Muster\lokale~1\Temp done !

*** Complementary Search ***
(Search specific files)

1)Deletion with backups new Instant Access files:

2)Heuristic search and deletion with backups :


* In "C:\WINDOWS\system32" *


* In "C:\Dokumente und Einstellungen\Muster\lokale~1\anwend~1" *


mgqam.exe found !
Copy mgqam.exe done !
mgqam.exe deleted !

mgqam.dat found !
Copy mgqam.dat done !
mgqam.dat deleted !

mgqam_nav.dat found !
Copy mgqam_nav.dat done !
mgqam_nav.dat deleted !

mgqam_navps.dat found !
Copy mgqam_navps.dat done !
mgqam_navps.dat deleted !

C:\WINDOWS\prefetch\mgqam*.pf found !
Copy C:\WINDOWS\prefetch\mgqam*.pf done !
C:\WINDOWS\prefetch\mgqam*.pf deleted !


*** Copy Registry to Safebackup folder ***

Backing up Registry done !

*** Cleaning Registry ***

Registry cleaned


*** Certificates ***

Egroup Certificate deleted !
Electronic-Group Certificate deleted !
Montorgueil Certificate not found !
OOO-Favorit Certificate deleted !
Sunny-Day-Design-Ltd Certificate not found !

*** Cleaning stage complete on 04.10.2008 at 12:24:25,14 ***

Den webmediaplayer hatte ich schon vor dem scan deinstalliert. Der scheint aber ja noch irgendwas hinterlassen zu haben...
Weißt du eigentlich woran genau es jetzt liegt/lag bzw. was es ist/war?

Vielen Dank schon mal für alles. Ach ja und bis jetzt haben sich noch keine werbefenster geöffnet..

Hallo

Den webmediaplayer hatte ich schon vor dem scan deinstalliert. Der scheint aber ja noch irgendwas hinterlassen zu haben...

das hatte ich mir gedacht, dass die Adware bei der Deinstallation nicht mit entfernt wird

Ach ja und bis jetzt haben sich noch keine werbefenster geöffnet..

Gut, dann hat Navilog wohl angeschlagen.

Weißt du eigentlich woran genau es jetzt liegt/lag bzw. was es ist/war?

Mit dem Webmediaplayer wurde eine Adware installiert die dir Werbung einblendet, wie du feststellen konntest
Übersetzte Beschreibung zur Adware Navipromo
Übersetzte Version von http://www.bitdefender.com/VIRUS-1000408-en--Adware.NaviPromo.Gen.2.html



Räumen wir noch etwas auf :

Starte HijackThis mit der Option - Scan - und hake diese Einträge an

R3 - URLSearchHook: ICQ Toolbar - {855F3B16-6D32-4fe6-8A56-BBB695989046} - C:\Programme\ICQToolbar\toolbaru.dll (file missing)
O2 - BHO: XTTBPos00 - {055FD26D-3A88-4e15-963D-DC8493744B1D} - C:\Programme\ICQToolbar\toolbaru.dll (file missing)
O3 - Toolbar: Babylon - {965B54B0-71E0-4611-8DE7-F73FA0B20E26} - C:\Programme\Babylon\Babylon Toolbar\BabylonIEToolBar.dll (file missing)

klicke nun auf - fix checked - beende HijackThis und führe einen Neustart durch.

-Deinstalliere bzw. lösche Navilog es wird nicht mehr benötigt und würde bei einer Systemprüfung vermutlich für Fehlalarme sorgen.
-Deinstalliere bitte auch alle alten Javaversionen über

Start -> Einstellungen -> Systemsteuerung -> Software

und versorge dich dann hier mit der aktuellen
Download der Java-Software von Sun Microsystems


Zum Abschluss AVG updaten und im abgesicherten Modus (beim start F8 drücken) das gesamte System untersuchen lassen.
Wenn nichts mehr gefunden wird, sollten wir dich entlassen können.

MFG

Lass grad den scan drüber laufen. Nur noch ne kurze frage. Also verstehe ich das richtig, dass die adware den rechner nur mit werbefenstern torpediert? Oder kann sie noch größeren schaden anrichten?

Hab auch die 3 einträge (R3, O2, O3) gelöscht. Was war das eigentlich konkret?

Vielen Dank schon mal für alles. Meine Freundin wird sich echt freuen. :aplaus:

Sag dir dann noch bescheid, was der scan ergeben hat.

Beste Grüße

Hallo

Also verstehe ich das richtig, dass die adware den rechner nur mit werbefenstern torpediert?
Oder kann sie noch größeren schaden anrichten?

Zitat von Bitdefender

Dieser Schädling kommt gebündelt mit mehreren Software, die heruntergeladen werden kann aus den folgenden Seiten installiert ist und zusammen mit ihnen.

...NaviPromo überwacht Ihre Surfgewohnheiten, sendet diese Daten an seinen Schöpfer und dann Angriffe Ihrem Desktop mit zahlreichen Pop-up-Werbungen, dass etwas im Zusammenhang mit den Websites, die Sie in der Regel besuchen.

soll wohl heißen, dass die Software als Dreingabe mit anderer Software daherkommt und es die Surfgewohnheiten des infizierten Rechners nachhause sendet damit Werbung zielgerichteter eingeblendet werden kann.
(So hab ich es verstanden)

Hab auch die 3 einträge (R3, O2, O3) gelöscht. Was war das eigentlich konkret?

Überreste verweister Software und Toolbars.

Vielen Dank schon mal für alles. Meine Freundin wird sich echt freuen.

dann denkt das nächste mal dran, nicht alles zu installieren, was nich bei drei aufm Baum ist, es lohnt sich mal schnell einen Blick ins Netz zu riskieren, bevor man sich die nächste Pest ins Haus holt.

Sag dir dann noch bescheid, was der scan ergeben hat.

OK

MFG

Hey

dann denkt das nächste mal dran, nicht alles zu installieren, was nich bei drei aufm Baum ist, es lohnt sich mal schnell einen Blick ins Netz zu riskieren, bevor man sich die nächste Pest ins Haus holt.

Recht, haste. Das schlimme is ja noch, dass allein ich das war und das auf dem rechner meiner freundin...

Hier das ergebnis des scans.

AVG 8.0 Anti-Virus Befehlszeilenscanner
Copyright (c) 1992 - 2008 AVG Technologies
Programmversion 8.0.145, Engine 8.0.0
Virendatenbank: Version 270.7.5/1708 2008-10-04

C:\Dokumente und Einstellungen\Muster\Lokale Einstellungen\Anwendungsdaten\Microsoft\Windows\UsrClass.dat Gesperrte Datei. Nicht getestet.
C:\Dokumente und Einstellungen\Muster\Lokale Einstellungen\Anwendungsdaten\Microsoft\Windows\UsrClass.dat.LOG Gesperrte Datei. Nicht getestet.
C:\Dokumente und Einstellungen\Muster\NTUSER.DAT Gesperrte Datei. Nicht getestet.
C:\Dokumente und Einstellungen\Muster\ntuser.dat.LOG Gesperrte Datei. Nicht getestet.
C:\Dokumente und Einstellungen\NetworkService\Lokale Einstellungen\Anwendungsdaten\Microsoft\Windows\UsrClass.dat Gesperrte Datei. Nicht getestet.
C:\Dokumente und Einstellungen\NetworkService\Lokale Einstellungen\Anwendungsdaten\Microsoft\Windows\UsrClass.dat.LOG Gesperrte Datei. Nicht getestet.
C:\Dokumente und Einstellungen\NetworkService\NTUSER.DAT Gesperrte Datei. Nicht getestet.
C:\Dokumente und Einstellungen\NetworkService\ntuser.dat.LOG Gesperrte Datei. Nicht getestet.
C:\pagefile.sys Gesperrte Datei. Nicht getestet.

------------------------------------------------------------
Gescannte Objekte: 361034
Gefundene Infektionen: 0
Gefundene unerwünschte Programme: 0
Bereinigte Infektionen: 0
Bereinigte unerwünschte Programme: 0
Warnungen: 0
------------------------------------------------------------

Also alles wieder bestens.


Dann noch viel spaß beim helfen. Is hier n echt cooles forum. Danke.

Beste Grüße

P.S.: Hab das jetzt auch mit dem zitieren hinbekommen...

Moin

Also alles wieder bestens.

sieht bestens aus:aplaus:

Dann noch viel spaß beim helfen.

noch viel Spaß im Netz

MFG