Zurück   Trojaner-Board > Malware entfernen > Log-Analyse und Auswertung

Log-Analyse und Auswertung: Besonders hartnäckiger about:blank

Windows 7 Wenn Du Dir einen Trojaner eingefangen hast oder ständig Viren Warnungen bekommst, kannst Du hier die Logs unserer Diagnose Tools zwecks Auswertung durch unsere Experten posten. Um Viren und Trojaner entfernen zu können, muss das infizierte System zuerst untersucht werden: Erste Schritte zur Hilfe. Beachte dass ein infiziertes System nicht vertrauenswürdig ist und bis zur vollständigen Entfernung der Malware nicht verwendet werden sollte.XML

Antwort
Alt 29.08.2004, 22:20   #1
ullishimaru
 
Besonders hartnäckiger about:blank - Standard

Besonders hartnäckiger about:blank



Hallo, vielleicht kann mir jemand helfen. Ich bin mit meinem Latein ziemlich am Ende.
Es geht um den üblichen "about:blank"-Trojaner in Win98 (kaspersky nennt ihn Trojan.Win32.StartPage.is, AntiVir nennt ihn TR/Dldr.Startpage). Ihn zu identifizieren und zu löschen ist überhaupt kein Problem. Das übliche: Eintrag der sp.html, eine neue dll mit zufälligem Namen in C:\Windows\System, das BHO, die Textfilter etc.
Er lässt sich leicht beseitigen mit oder ohne HijackThis.

Nur: er kommt immer wieder. Ich möchte ihn gern dauerhaft beseitigen. Das empfohlene Tool SpHjfix.exe nützt leider nichts, es endet mit einem Laufzeitfehler 52 "Dateiname oder -nummer falsch". Leider sagt er nicht, welcher Dateiname falsch ist.

Im Netz habe ich gelesen, dass die Reinfizierung durch eine versteckte DLL im Systemverzeichnis mit ebenfalls zufälligem Namen verursacht werden soll, die in der Registry als ApplInitDLL eingetragen wird. Das ist bei mir nicht der Fall, ich habe die Registry rauf und runter durchsucht und nutze außerdem HijackThis in Version 1.98.2, der mir solche Einträge als O19 anzeigen müsste.
Die HiJackThis-Anzeige ist sauber, sie enthält nur seit langem bestehende O4-Einträge. Außerdem habe ich nur unverdächtige versteckte Systemdateien.

Also: wie erfolgt die Neuinfizierung ? Ich kann sie fast beliebig erzeugen, ich ändere die Systemuhr auf einen neuen Tag und einen "abendlichen" Zeitpunkt, melde ich mich im Internet ab und wieder an und schon ist das Ding wieder da. Der IE braucht gar nicht gestartet sein. Es scheint mein AOL-Client 8.0 zu sein, der die Datei runterlädt, auf der Firewall gibt es ausser NETBIOS und TAPISERV nur WAOL.EXE.

Die einzige Erklärung, die ich habe ist, dass eine DLL gegen eine infizierte ausgetauscht wurde. Allerdings wird nichts angezeigt von AntiVir.

Kann mir jemand sagen, wo man sinnvoller ansetzen sollte, ohne dass man Win 98 neu installiert ?

Alt 29.08.2004, 22:27   #2
MountainKing
 
Besonders hartnäckiger about:blank - Standard

Besonders hartnäckiger about:blank



http://www.trojaner-board.de/42731-escan-anleitung.html

mal durchlaufen lassen und poste dann trotzdem mal ein HJT-File
__________________


Alt 29.08.2004, 22:27   #3
Cidre
Administrator, a.D.
 
Besonders hartnäckiger about:blank - Standard

Besonders hartnäckiger about:blank



Hallo,
poste doch mal ein Log-File, ich würde mir es gerne ansehen.
__________________
__________________

Alt 30.08.2004, 20:46   #4
ullishimaru
 
Besonders hartnäckiger about:blank - Standard

Besonders hartnäckiger about:blank



OK, los gehts, ich beginne mit HiJackThis. So sieht es nach Starten des Systems aus:

Logfile of HijackThis v1.98.2
Scan saved at 21:28:35, on 30.08.2004
Platform: Windows 98 SE (Win9x 4.10.2222A)
MSIE: Internet Explorer v6.00 SP1 (6.00.2800.1106)

Running processes:
C:\WINDOWS\SYSTEM\KERNEL32.DLL
C:\WINDOWS\SYSTEM\MSGSRV32.EXE
C:\WINDOWS\SYSTEM\MPREXE.EXE
C:\WINDOWS\SYSTEM\MSTASK.EXE
C:\WINDOWS\SYSTEM\mmtask.tsk
D:\APPS\OUTPOST\OUTPOST.EXE
C:\WINDOWS\EXPLORER.EXE
C:\WINDOWS\TASKMON.EXE
C:\WINDOWS\SYSTEM\SYSTRAY.EXE
C:\WINDOWS\SYSTEM\WMIEXE.EXE
C:\WINDOWS\EXPLORER.EXE
C:\WINDOWS\SYSTEM\INTERNAT.EXE
D:\APPS\HIJACKTHIS198\HIJACKTHIS.EXE

O4 - HKLM\..\Run: [ScanRegistry] C:\WINDOWS\scanregw.exe /autorun
O4 - HKLM\..\Run: [TaskMonitor] C:\WINDOWS\taskmon.exe
O4 - HKLM\..\Run: [SystemTray] SysTray.Exe
O4 - HKLM\..\Run: [Tweak UI] RUNDLL32.EXE TWEAKUI.CPL,TweakMeUp
O4 - HKLM\..\Run: [Outpost Firewall] D:\APPS\OUTPOST\outpost.exe /waitservice
O4 - HKLM\..\RunServices: [Tweak UI] RUNDLL32.EXE TWEAKUI.CPL,TweakLogon
O4 - HKLM\..\RunServices: [SchedulingAgent] mstask.exe
O4 - HKLM\..\RunServices: [Outpost Firewall] D:\APPS\OUTPOST\outpost.exe /service


Also völlig normal. Dann: Anmeldung im Internet, Uhrzeit auf nach 23.00 Uhr gestellt (da "gedeiht" die Re-Infinzierung offenbar am besten) und schwupps ist der Freund wieder da:


Logfile of HijackThis v1.98.2
Scan saved at 23:36:19, on 30.08.2004
Platform: Windows 98 SE (Win9x 4.10.2222A)
MSIE: Internet Explorer v6.00 SP1 (6.00.2800.1106)

Running processes:
C:\WINDOWS\SYSTEM\KERNEL32.DLL
C:\WINDOWS\SYSTEM\MSGSRV32.EXE
C:\WINDOWS\SYSTEM\MPREXE.EXE
C:\WINDOWS\SYSTEM\MSTASK.EXE
C:\WINDOWS\SYSTEM\mmtask.tsk
D:\APPS\OUTPOST\OUTPOST.EXE
C:\WINDOWS\EXPLORER.EXE
C:\WINDOWS\TASKMON.EXE
C:\WINDOWS\SYSTEM\SYSTRAY.EXE
C:\WINDOWS\SYSTEM\WMIEXE.EXE
C:\WINDOWS\EXPLORER.EXE
C:\WINDOWS\SYSTEM\INTERNAT.EXE
C:\WINDOWS\SYSTEM\SPOOL32.EXE
C:\WINDOWS\SYSTEM\DDHELP.EXE
C:\WINDOWS\SYSTEM\RNAAPP.EXE
C:\WINDOWS\SYSTEM\TAPISRV.EXE
D:\AOL80\WAOL.EXE
D:\AOL80\SHELLMON.EXE
D:\APPS\HIJACKTHIS198\HIJACKTHIS.EXE

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Bar = file://C:\TEMP\sp.html
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = file://C:\TEMP\sp.html
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Bar = file://C:\TEMP\sp.html
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = file://C:\TEMP\sp.html
R1 - HKCU\Software\Microsoft\Internet Explorer\Search,SearchAssistant = file://C:\TEMP\sp.html
R0 - HKLM\Software\Microsoft\Internet Explorer\Search,SearchAssistant = file://C:\TEMP\sp.html
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,HomeOldSP = about:blank
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,HomeOldSP = about:blank
O2 - BHO: (no name) - {12488C7D-08E7-495A-B66E-296C51F057E6} - C:\WINDOWS\SYSTEM\HOBMLB.DLL
O4 - HKLM\..\Run: [ScanRegistry] C:\WINDOWS\scanregw.exe /autorun
O4 - HKLM\..\Run: [TaskMonitor] C:\WINDOWS\taskmon.exe
O4 - HKLM\..\Run: [SystemTray] SysTray.Exe
O4 - HKLM\..\Run: [Tweak UI] RUNDLL32.EXE TWEAKUI.CPL,TweakMeUp
O4 - HKLM\..\Run: [Outpost Firewall] D:\APPS\OUTPOST\outpost.exe /waitservice
O4 - HKLM\..\RunServices: [Tweak UI] RUNDLL32.EXE TWEAKUI.CPL,TweakLogon
O4 - HKLM\..\RunServices: [SchedulingAgent] mstask.exe
O4 - HKLM\..\RunServices: [Outpost Firewall] D:\APPS\OUTPOST\outpost.exe /service
O17 - HKLM\System\CCS\Services\VxD\MSTCP: Domain = aoldsl.net
O18 - Filter: text/html - {BE403219-7A90-417B-878A-6790723CD6CC} - C:\WINDOWS\SYSTEM\HOBMLB.DLL
O18 - Filter: text/plain - {BE403219-7A90-417B-878A-6790723CD6CC} - C:\WINDOWS\SYSTEM\HOBMLB.DLL


Wer kann helfen ? Wohlgemerkt, ich weiß wie man ihn wieder loswird, die Frage ist nur: Wer hat ihn gestartet ?
Übrigens muss ich meine Annahme, dass der IE mit der Re-Infizierung nicht zu tun hat, revidieren. Der AOL-Client arbeitet, glaube ich, auch mit IE.

Alt 30.08.2004, 21:16   #5
*Christian*
Gast
 
Besonders hartnäckiger about:blank - Standard

Besonders hartnäckiger about:blank



Die Beseitigung weisst du ja:

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Bar = file://C:\TEMP\sp.html
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = file://C:\TEMP\sp.html
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Bar = file://C:\TEMP\sp.html
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = file://C:\TEMP\sp.html
R1 - HKCU\Software\Microsoft\Internet Explorer\Search,SearchAssistant = file://C:\TEMP\sp.html
R0 - HKLM\Software\Microsoft\Internet Explorer\Search,SearchAssistant = file://C:\TEMP\sp.html
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,HomeOldSP = about:blank
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,HomeOldSP = about:blank
O2 - BHO: (no name) - {12488C7D-08E7-495A-B66E-296C51F057E6} - C:\WINDOWS\SYSTEM\HOBMLB.DLL
O18 - Filter: text/html - {BE403219-7A90-417B-878A-6790723CD6CC} - C:\WINDOWS\SYSTEM\HOBMLB.DLL
O18 - Filter: text/plain - {BE403219-7A90-417B-878A-6790723CD6CC} - C:\WINDOWS\SYSTEM\HOBMLB.DLL

Anschließend die Datei C:\WINDOWS\SYSTEM\HOBMLB.DLL löschen!

Verwende einen anderen Browser: www.firefox-browser.de ist schnell, sicher und kostenlos. Somit wirst du dann auch diesen Hijacker nicht mehr wiedersehen.
Oder: Deaktiviere dein Active-X im Browser.
Solche Hijacker kommen durch Lücken deines IE auf dein System.


Alt 30.08.2004, 22:04   #6
ullishimaru
 
Besonders hartnäckiger about:blank - Standard

Besonders hartnäckiger about:blank



So, jetzt habe ich auch escan laufen lassen..
Nix außer
File C:\WINDOWS\COMMAND\EBD\EBD.CAB tagged as not-a-virus:Tool.DOS.Restart. No Action Taken.
was immer das bedeutet.



Zitat:
Zitat von *Christian*
Die Beseitigung weisst du ja:
Ja

Zitat:
Zitat von *Christian*
Verwende einen anderen Browser:
Bei AOL ist der IE leider unvermeidbar.

Alt 09.09.2004, 21:13   #7
ullishimaru
 
Besonders hartnäckiger about:blank - Daumen hoch

Besonders hartnäckiger about:blank



So jetzt hat SpHjfix.exe doch funktioniert.

Das Programm läuft, wenn ich es direkt aus dem Netz starte, aber nicht, wenn ich es runterlade und dann starte ?!

Wie auch immer, der Hijacker ist weg !

Antwort

Themen zu Besonders hartnäckiger about:blank
about, antivir, anzeige, anzeigen, bho, bios, bla, datei, dll, falsch, fehler, fehler 5, firewall, hijack, ide, infizierte, internet, kaspersky, löschen, meinem, namen, neue, registry, system, tool, träge, versteckte, windows



Ähnliche Themen: Besonders hartnäckiger about:blank


  1. Windows 7 hakt ständig. Besonders Firefox.
    Alles rund um Windows - 28.08.2015 (40)
  2. Videos ruckeln besonders in Firefox
    Plagegeister aller Art und deren Bekämpfung - 11.01.2015 (19)
  3. Videos ruckeln besonders in Firefox
    Alles rund um Windows - 02.09.2014 (7)
  4. Vielen Dank an Trojaner-Board.de und besonders an deeprybka!
    Lob, Kritik und Wünsche - 23.07.2014 (1)
  5. Vielen Dank an Trojaner-Board und besonders an schrauber!
    Lob, Kritik und Wünsche - 09.06.2014 (0)
  6. Danke Trojaner Board und besonders Schrauber!
    Lob, Kritik und Wünsche - 05.03.2014 (0)
  7. Vielen Dank ans Trojaner-Board besonders aharonov
    Lob, Kritik und Wünsche - 22.11.2013 (0)
  8. Dank ans Forum und besonders an Cosinus für Bereinigung des Laptops
    Lob, Kritik und Wünsche - 19.11.2013 (0)
  9. Besonders tückisches PayPal-Phishing
    Nachrichten - 01.06.2013 (0)
  10. Ein besonders widerspenstiger Fall!!!
    Plagegeister aller Art und deren Bekämpfung - 07.01.2010 (8)
  11. fenst im ie gehen ungewollt auf, besonders bei google
    Mülltonne - 23.11.2008 (0)
  12. cpu ausgelastet 100% besonders bei abspielen von videos im wmp- VIRUS???
    Log-Analyse und Auswertung - 24.01.2008 (1)
  13. Neuer besonders fieser Trojaner?
    Log-Analyse und Auswertung - 29.08.2007 (31)
  14. Besonders günstig ;-))
    Mülltonne - 16.04.2005 (2)
  15. besonders hartnäckiger hijacker
    Log-Analyse und Auswertung - 26.02.2005 (14)
  16. about:blank Problem hartnäckiger als erwartet
    Log-Analyse und Auswertung - 06.10.2004 (5)
  17. HILFE! Hartnäckiger hijacker, hartnäckiger Trojaner!
    Log-Analyse und Auswertung - 07.09.2004 (3)

Zum Thema Besonders hartnäckiger about:blank - Hallo, vielleicht kann mir jemand helfen. Ich bin mit meinem Latein ziemlich am Ende. Es geht um den üblichen "about :blank"-Trojaner in Win98 (kaspersky nennt ihn Trojan.Win32.StartPage.is, AntiVir nennt ihn - Besonders hartnäckiger about:blank...
Archiv
Du betrachtest: Besonders hartnäckiger about:blank auf Trojaner-Board

Search Engine Optimization by vBSEO ©2011, Crawlability, Inc.