Zurück   Trojaner-Board > Malware entfernen > Log-Analyse und Auswertung

Log-Analyse und Auswertung: Hartnäckiges "Search the Web"

Windows 7 Wenn Du Dir einen Trojaner eingefangen hast oder ständig Viren Warnungen bekommst, kannst Du hier die Logs unserer Diagnose Tools zwecks Auswertung durch unsere Experten posten. Um Viren und Trojaner entfernen zu können, muss das infizierte System zuerst untersucht werden: Erste Schritte zur Hilfe. Beachte dass ein infiziertes System nicht vertrauenswürdig ist und bis zur vollständigen Entfernung der Malware nicht verwendet werden sollte.

Antwort
Alt 10.12.2004, 10:53   #1
gunzilla
 
Hartnäckiges "Search the Web" - Standard

Hartnäckiges "Search the Web"



Ich habe nunmehr seit 3 Tagen hartnäckig eine ungewollte Startseite (Search the Web ??) und krieg sie einfach nicht raus. Ist so ähnlich wie CoolwebSearch, nur dass der CWShredder hier nix nützt. Angefangen hat alles mit einer Meldung, dass mein AntiVirGuard zerstört wurde, oder so ähnlich. Daraufhin konnte ich nix mehr runterladen, da nach kurzer Zeit die Internetverbindung gekappt wurde, weiters konnte ich gewisse URLs nicht mehr besuchen (Windows inkl. Hotmail, Chip,...), da automatisch "SearchtheWeb" angezeigt wurde. Musste Antivir und andere Software zu Beginn von einem anderen Compi runterladen (hab gottseidank 2). Mittlerweile funktioniert wieder alles halbwegs, nur die Startseite krieg ich nicht weg.

Was habe ich bisher gemacht:

- unter Hijackthis.de die automatische Logfileauswertung und einige böse bzw. nutzlose Sachen rausgelöscht. Mein aktuelles folgt weiter unten.
- Spyboot Search and Destroy hat ein paar Dinge angefunden und gelöscht.
- AdAware hat ebenfalls ganz schön viel angefunden und gelöscht (knapp 100 meldungen)
- ich habe Clear Programm drübergelassen
- AntiVir und Firewall (Zonelabs) sind am neuesten Stand

Trotz allem: die Startseite lässt sich nicht einrichten, ich weiss nicht was
ich tun soll. Wär schön wenn mir wer weiterhelfen könnte, danke.

-------------------------------------------------------------------

Logfile of HijackThis v1.98.2
Scan saved at 11:44:57, on 10.12.2004
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\System32\Ati2evxx.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\spoolsv.exe
C:\Programme\AVPersonal\AVGUARD.EXE
C:\Programme\AVPersonal\AVWUPSRV.EXE
C:\WINDOWS\system32\ZONELABS\vsmon.exe
C:\WINDOWS\system32\Ati2evxx.exe
C:\WINDOWS\Explorer.EXE
C:\Programme\ATI Technologies\ATI Control Panel\atiptaxx.exe
C:\Programme\Synaptics\SynTP\SynTPLpr.exe
C:\Programme\Synaptics\SynTP\SynTPEnh.exe
C:\Programme\Java\j2re1.4.2_05\bin\jusched.exe
C:\WINDOWS\AGRSMMSG.exe
C:\Programme\ltmoh\Ltmoh.exe
C:\Program Files\Launch Manager\LaunchAp.exe
C:\Program Files\Launch Manager\PowerKey.exe
C:\Program Files\Launch Manager\HotkeyApp.exe
C:\Program Files\Launch Manager\CtrlVol.exe
C:\Program Files\Launch Manager\OSDCtrl.exe
C:\Program Files\Launch Manager\Wbutton.exe
C:\Programme\CyberLink\PowerDVD\PDVDServ.exe
C:\Programme\Winamp\Winampa.exe
C:\Programme\Zone Labs\ZoneAlarm\zlclient.exe
C:\Programme\AVPersonal\AVGNT.EXE
C:\WINDOWS\system32\ctfmon.exe
C:\Programme\Internet Explorer\iexplore.exe
C:\Programme\Internet Explorer\iexplore.exe
C:\Dokumente und Einstellungen\Gunzilla\Desktop\HijackThis\HijackThis.exe

R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://global.acer.com/
O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Programme\Adobe\Acrobat 6.0\Reader\ActiveX\AcroIEHelper.dll
O2 - BHO: (no name) - {53707962-6F74-2D53-2644-206D7942484F} - C:\PROGRA~1\SPYBOT~1\SDHelper.dll
O2 - BHO: Google Toolbar Helper - {AA58ED58-01DD-4d91-8333-CF10577473F7} - c:\programme\google\googletoolbar1.dll
O3 - Toolbar: MSN Toolbar - {BDAD1DAD-C946-4A17-ADC1-64B5B4FF55D0} - C:\Programme\MSN Toolbar\01.01.1601.0\msgr.de.de-at\msntb.dll
O3 - Toolbar: &Google - {2318C2B1-4965-11d4-9B18-009027A5CD4F} - c:\programme\google\googletoolbar1.dll
O4 - HKLM\..\Run: [preload] C:\Windows\RUNXMLPL.exe
O4 - HKLM\..\Run: [ATIModeChange] Ati2mdxx.exe
O4 - HKLM\..\Run: [ATIPTA] C:\Programme\ATI Technologies\ATI Control Panel\atiptaxx.exe
O4 - HKLM\..\Run: [SynTPLpr] C:\Programme\Synaptics\SynTP\SynTPLpr.exe
O4 - HKLM\..\Run: [SynTPEnh] C:\Programme\Synaptics\SynTP\SynTPEnh.exe
O4 - HKLM\..\Run: [SunJavaUpdateSched] C:\Programme\Java\j2re1.4.2_05\bin\jusched.exe
O4 - HKLM\..\Run: [AGRSMMSG] AGRSMMSG.exe
O4 - HKLM\..\Run: [LtMoh] C:\Programme\ltmoh\Ltmoh.exe
O4 - HKLM\..\Run: [AcerNotebookManager] C:\Programme\Acer\Notebook Manager\almxptray.exe
O4 - HKLM\..\Run: [LaunchAp] C:\Program Files\Launch Manager\LaunchAp.exe
O4 - HKLM\..\Run: [PowerKey] "C:\Program Files\Launch Manager\PowerKey.exe"
O4 - HKLM\..\Run: [LManager] C:\Program Files\Launch Manager\HotkeyApp.exe
O4 - HKLM\..\Run: [CtrlVol] C:\Program Files\Launch Manager\CtrlVol.exe
O4 - HKLM\..\Run: [LMgrOSD] C:\Program Files\Launch Manager\OSDCtrl.exe
O4 - HKLM\..\Run: [Wbutton] "C:\Program Files\Launch Manager\Wbutton.exe"
O4 - HKLM\..\Run: [RemoteControl] C:\Programme\CyberLink\PowerDVD\PDVDServ.exe
O4 - HKLM\..\Run: [WinampAgent] "C:\Programme\Winamp\Winampa.exe"
O4 - HKLM\..\Run: [Zone Labs Client] "C:\Programme\Zone Labs\ZoneAlarm\zlclient.exe"
O4 - HKLM\..\Run: [NeroFilterCheck] C:\WINDOWS\system32\NeroCheck.exe
O4 - HKLM\..\Run: [AVGCtrl] C:\Programme\AVPersonal\AVGNT.EXE /min
O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\ctfmon.exe
O4 - HKCU\..\Run: [MsnMsgr] "C:\Programme\MSN Messenger\MsnMsgr.Exe" /background
O16 - DPF: {62475759-9E84-458E-A1AB-5D2C442ADFDE} - http://a1540.g.akamai.net/7/1540/52/...eInstaller.exe

Alt 10.12.2004, 10:58   #2
MountainKing
 
Hartnäckiges "Search the Web" - Standard

Hartnäckiges "Search the Web"



Überprüfe C:\Windows\RUNXMLPL.ex hier: http://virusscan.jotti.org/de

Dürfte ein Schädling sein, daher deaktiviere die Systemwiederherstellung,boote in den abgesicherten Modus:

http://www.systemwiederherstellung-d...indows-xp.html

Fixe den Eintrag und lösche die Datei. Dasselbe gilt für:

O16 - DPF: {62475759-9E84-458E-A1AB-5D2C442ADFDE} - http://a1540.g.akamai.net/7/1540/52...meInstaller.exe
__________________


Alt 10.12.2004, 11:03   #3
gunzilla
 
Hartnäckiges "Search the Web" - Standard

Hartnäckiges "Search the Web"



Ach ja nochwas,

Search&Destroy löscht zwar immer "DSO Exploit", beim nächsten
Suchlauf ist es dann jedoch wieder drin.
__________________

Alt 10.12.2004, 11:11   #4
MountainKing
 
Hartnäckiges "Search the Web" - Standard

Hartnäckiges "Search the Web"



Das kannst du ignorieren, ist ein Bug bei Spybot.

Alt 10.12.2004, 11:13   #5
gunzilla
 
Hartnäckiges "Search the Web" - Standard

Hartnäckiges "Search the Web"



Danke MountainKing. Habe die Datei auf http://virusscan.jotti.org/de
upgeloaded, das Ergebnis:

0% 100%

File: RUNXMLPL.EXE
Status: OK (Note: this file has been scanned before. Therefore, this file's scan results will not be stored in the database)
Packers detected: None

AntiVir No viruses found (0.15 seconds taken)
Avast No viruses found (1.51 seconds taken)
BitDefender No viruses found (0.35 seconds taken)
ClamAV No viruses found (0.33 seconds taken)
Dr.Web No viruses found (0.51 seconds taken)
F-Prot Antivirus No viruses found (0.06 seconds taken)
Kaspersky Anti-Virus No viruses found (0.60 seconds taken)
mks_vir No viruses found (0.22 seconds taken)
NOD32 No viruses found (0.38 seconds taken)
Norman Virus Control No viruses found (0.44 seconds taken)


Soll ich die Datei trotzdem löschen?


Alt 10.12.2004, 11:33   #6
MountainKing
 
Hartnäckiges "Search the Web" - Standard

Hartnäckiges "Search the Web"



Hm, also das wundert mich dann schon.
Schick sie mal bitte gezipped an und mit einem Link zu diesem Thread an virus@av.klaffke.info

Eventuell handelt es sich um noch nicht erkannte Malware. Ich würde es zumindest erstmal mit HJT fixen, damit es nicht geladen wird, im Zweifelsfall kannst du das ja wieder rückgängig machen. Ich habe bisher noch keine weiteren Infos darüber gefunden. wozu diese Datei gehören sollte. Gibt ein Rechtsklick evtl. Informationen dazu aus?

Alt 10.12.2004, 11:54   #7
gunzilla
 
Hartnäckiges "Search the Web" - Standard

Hartnäckiges "Search the Web"



Ich habe die Datei gemailt.

Infos zu RUNunXMLPL.exe:
nur dass sie 40KB groß ist und Copyright 2004 hat

Alt 10.12.2004, 13:42   #8
gunzilla
 
Hartnäckiges "Search the Web" - Standard

Hartnäckiges "Search the Web"



Datei wurde im abgesicherten Modus fixiert, das Problem ist aber nach wie vor vorhanden...

Alt 10.12.2004, 14:03   #9
MountainKing
 
Hartnäckiges "Search the Web" - Standard

Hartnäckiges "Search the Web"



http://www.trojaner-board.de/42731-escan-anleitung.html

Wie beschrieben updaten und scannen lassen. Was wird gefunden?

Alt 11.12.2004, 11:40   #10
gunzilla
 
Hartnäckiges "Search the Web" - Standard

Hartnäckiges "Search the Web"



Gefunden wurden vier Viren:

File C:\WINDOWS\system32\vbsys2.dll_old infected by "TrojanClicker.Win32.Agent.ac" Virus. Action Taken: No Action Taken.

File C:\DOKUME~1\Gunzilla\LOKALE~1\Temp\~9.exe tagged as not-a-virus:PornWare.Dialer.ALifeDialer. No Action Taken.

File C:\DOKUME~1\Gunzilla\LOKALE~1\Temp\~8.exe tagged as not-a-virus:PornWare.Dialer.ALifeDialer. No Action Taken.

File C:\DOKUME~1\Gunzilla\LOKALE~1\Temp\912 KB.exe infected by "not-a-virus:AdWare.Connector" Virus. Action Taken: No Action Taken.

Alt 11.12.2004, 12:14   #11
*Christian*
Gast
 
Hartnäckiges "Search the Web" - Standard

Hartnäckiges "Search the Web"



Lösche dies im abg. Modus: C:\WINDOWS\system32\vbsys2.dll_old

Leere außerdem deinen Temp-Ordner.

Alt 11.12.2004, 18:10   #12
gunzilla
 
Hartnäckiges "Search the Web" - Standard

Hartnäckiges "Search the Web"



So, hab nun die Datei im abgesicherten Modus gelöscht. Weiters habe ich den Temp Ordner gelöscht, allerdings die Temporären Files, Cookies, etc die unter C:/Windows/Temp gespeichert waren. Nach neuerlichem eScan war zwar die Datei weg, folgende drei Einträge waren jedoch nach wie vor vorhanden:

File C:\DOKUME~1\Gunzilla\LOKALE~1\Temp\~9.exe tagged as not-a-virus:PornWare.Dialer.ALifeDialer. No Action Taken.

File C:\DOKUME~1\Gunzilla\LOKALE~1\Temp\~8.exe tagged as not-a-virus:PornWare.Dialer.ALifeDialer. No Action Taken.

File C:\DOKUME~1\Gunzilla\LOKALE~1\Temp\912 KB.exe infected by "not-a-virus:AdWare.Connector" Virus. Action Taken: No Action Taken.


Das Problem dabei: Ich finde das Unterverzeichnis nicht an. Es geht nur bis C:\Dokumente und Einstellungen\Gunzilla. Ein weiteres Unterverzeichnis das mit "Lokale" anfängt existiert nicht.

Nach wie vor wird google als Startseite rausgehaut und stattdessen habe ich about:blank drinnen.

Alt 11.12.2004, 18:16   #13
cacatoa
 
Hartnäckiges "Search the Web" - Standard

Hartnäckiges "Search the Web"



Lade dir bitte clearprog 1.4.1 final runter und mache alle Häkchen bei IE und Windows. Drücke dann auf löschen, wenn fertig auf beenden.
Dann sind die drei auch weg.
__________________
Der Mensch sollte eine Hundeseele haben

Alt 11.12.2004, 18:41   #14
gunzilla
 
Hartnäckiges "Search the Web" - Standard

Hartnäckiges "Search the Web"



Hatte clearprog 1.4.1 eigentlich eh schon mehrmals angewendet gestern. Bin die 3 Einträge damit trotzdem los geworden, danke.
Mein Problem bleibt jedoch auch ohne diese Einträge bestehen, "Search the Web" bzw. "about:blank" werd ich nicht los

Alt 11.12.2004, 18:46   #15
cacatoa
 
Hartnäckiges "Search the Web" - Standard

Hartnäckiges "Search the Web"



Also, mich persönlich würde jetzt mal ein neues HJTLogfile interessieren (ohne Christian und MK zu nahe treten zu wollen)
__________________
Der Mensch sollte eine Hundeseele haben

Antwort

Themen zu Hartnäckiges "Search the Web"
acrobat, adobe, bho, cyberlink, danke., desktop, einstellungen, explorer, firewall, google, heulen, hijack, ics, internet explorer, launch, messenger, microsoft, msn, msn messenger, programm, programme, search the web, seite, software, startseite, system, system32, windows, windows xp



Ähnliche Themen: Hartnäckiges "Search the Web"


  1. Fehlerhinweis "Ungültiges Bild" unter WINDOWS 7: "C:\PROGRA~2\SEARCH~2\SEARCH~1\bin\VC32LO~1.DLL" +
    Log-Analyse und Auswertung - 19.04.2015 (9)
  2. Windows 7: Fehlermeldung beim öffnen jedes Programms & Systemstart: "C:\PROGRA~2\SEARCH~1\SEARCH~1\bin\VC32LO~1.DDL"
    Log-Analyse und Auswertung - 17.03.2015 (9)
  3. Windows 8.1 "Ungültiges Bild" C:\Progra~2\Search~1\Search~1\bin\VC64LO~1.DLL... oder ähnlich bei Programmstart
    Plagegeister aller Art und deren Bekämpfung - 15.03.2015 (7)
  4. Diverse Malware ("CoolSaleCoupon", "ddownlloaditkeep", "omiga-plus", "SaveSense", "SaleItCoupon"); lahmer PC & viel Werbung!
    Plagegeister aller Art und deren Bekämpfung - 11.01.2015 (16)
  5. "monstermarketplace.com" Infektion und ihre Folgen; "Anti-Virus-Blocker"," unsichtbare Toolbars" + "Browser-Hijacker" von selbst installiert
    Log-Analyse und Auswertung - 16.11.2013 (21)
  6. "search.ueep.com" und "Antivirus Security Pro" entfernen
    Plagegeister aller Art und deren Bekämpfung - 08.11.2013 (36)
  7. Windows XP Nach Installation von HP Player immer zwei Startseiten beim Öffnen von Google chrome "start.iminent.com" und "Search gol"
    Log-Analyse und Auswertung - 08.10.2013 (5)
  8. "NAV-Links" und "Certified-Toolbar (Search)" rauben mir den letzten Nerv! Was tun?
    Log-Analyse und Auswertung - 23.08.2013 (8)
  9. "Deutsche Post(eMail-Anhang)" Alle "EXE(Programme)" werden blockiert "WIN 7 Defender"
    Plagegeister aller Art und deren Bekämpfung - 27.12.2012 (3)
  10. "The document has moved. Redirecting"+"Popup unten rechts"+"Nicht alle Links anklickbar"
    Plagegeister aller Art und deren Bekämpfung - 24.10.2012 (38)
  11. Öffentliches Netzwerk: Opera sendet/empfängt Daten an/von "Dani-PC", "Anne-PC", "PAULA-HP"...
    Netzwerk und Hardware - 02.05.2011 (14)
  12. "Adware.Virtumonde"/"Downloader.MisleadApp"/"TR/VB.agt.4"/"NewDotNet.A.1350"/"Fakerec
    Plagegeister aller Art und deren Bekämpfung - 22.08.2008 (6)
  13. Beheben des Problems "kein Internet"/"rsvp32_2.dll"/"Can't load library from memory"
    Plagegeister aller Art und deren Bekämpfung - 25.03.2007 (22)
  14. ">"">><meta http-equiv="Refresh" content="0;url=http://askimizsonsuza.com/code/">"">
    Plagegeister aller Art und deren Bekämpfung - 04.09.2006 (4)
  15. "Search for" und "your computer is infected by......"
    Log-Analyse und Auswertung - 11.02.2005 (3)
  16. Probleme mit "about blank" und "Search for"
    Log-Analyse und Auswertung - 26.01.2005 (2)
  17. IE infiziert mit "Home Search" und Pop-Ups namens "Only the best"! Hilfe!?
    Plagegeister aller Art und deren Bekämpfung - 19.09.2004 (10)

Zum Thema Hartnäckiges "Search the Web" - Ich habe nunmehr seit 3 Tagen hartnäckig eine ungewollte Startseite (Search the Web ??) und krieg sie einfach nicht raus. Ist so ähnlich wie CoolwebSearch, nur dass der CWShredder hier - Hartnäckiges "Search the Web"...
Archiv
Du betrachtest: Hartnäckiges "Search the Web" auf Trojaner-Board

Search Engine Optimization by vBSEO ©2011, Crawlability, Inc.