Zurück   Trojaner-Board > Malware entfernen > Log-Analyse und Auswertung

Log-Analyse und Auswertung: Search Extender & Shopping Wizzard: Rettung?

Windows 7 Wenn Du Dir einen Trojaner eingefangen hast oder ständig Viren Warnungen bekommst, kannst Du hier die Logs unserer Diagnose Tools zwecks Auswertung durch unsere Experten posten. Um Viren und Trojaner entfernen zu können, muss das infizierte System zuerst untersucht werden: Erste Schritte zur Hilfe. Beachte dass ein infiziertes System nicht vertrauenswürdig ist und bis zur vollständigen Entfernung der Malware nicht verwendet werden sollte.

Antwort
Alt 05.03.2005, 12:16   #1
McBarny
 
Search Extender & Shopping Wizzard: Rettung? - Standard

Search Extender & Shopping Wizzard: Rettung?



hallo,
sitz grad an nem rechner, dessen nutzer seit gestern mit "search extender"(SE) und "shopping wizzard"(SW) erfahrung machen musste. symptome sind folgende: xxx-einträge in die favoritenliste des i.e.; startseite automatisch auf "quick web search" (trotz eintrag "about:blank" in den net-optionen); werbe-popups auch dort wo eigentlich downloadpopups kommen sollten (z.b. chip.de). außerdem kommt ab und zu eine meldung von der windows-firewall, dass ein zugriff von außen auftritt, obwohl das system (win2000prof) keine firewall hat und über einen router mit firewall ins netz geht.

hab zuerst adaware scannen lassen, welches 70 einträge entfernt hat. danach Norton antivirus 2005: 23 file detected/deleted.
dann nochmal adaware: wieder 5 treffer davon 1 trojandownloader (gefixt).

einträge in der registry (zumindest soweit ich das überblicke) gelöscht. außer die einträge von SE und SW in der mru-list kommen bei jedem i.e.-start erneut.
hier mal mein HijackThis llog:


Logfile of HijackThis v1.99.1
Scan saved at 10:40:45, on 05.03.2005
Platform: Windows 2000 SP4 (WinNT 5.00.2195)
MSIE: Internet Explorer v6.00 SP1 (6.00.2800.1106)

Running processes:
C:\WINNT\System32\smss.exe
C:\WINNT\system32\winlogon.exe
C:\WINNT\system32\services.exe
C:\WINNT\system32\lsass.exe
C:\WINNT\system32\svchost.exe
C:\Programme\Gemeinsame Dateien\Symantec Shared\ccSetMgr.exe
C:\Programme\Gemeinsame Dateien\Symantec Shared\SPBBC\SPBBCSvc.exe
C:\Programme\Gemeinsame Dateien\Symantec Shared\ccEvtMgr.exe
C:\WINNT\system32\spoolsv.exe
C:\WINNT\System32\svchost.exe
C:\Programme\Norton AntiVirus\navapsvc.exe
C:\Programme\Norton AntiVirus\IWP\NPFMntor.exe
C:\WINNT\system32\regsvc.exe
C:\WINNT\system32\MSTask.exe
C:\Programme\Gemeinsame Dateien\Symantec Shared\CCPD-LC\symlcsvc.exe
C:\WINNT\System32\WBEM\WinMgmt.exe
C:\WINNT\Explorer.EXE
C:\WINNT\system32\mspmspsv.exe
C:\WINNT\system32\svchost.exe
C:\WINNT\system32\Atiptaxx.exe
C:\Programme\iTunes\iTunesHelper.exe
C:\Programme\QuickTime\qttask.exe
C:\WINNT\system32\atlrz32.exe
C:\Programme\Gemeinsame Dateien\Symantec Shared\ccApp.exe
C:\Programme\iPod\bin\iPodService.exe
C:\WINNT\system32\ipzo.exe
C:\WINNT\system32\wuauclt.exe
C:\Programme\Gemeinsame Dateien\Symantec Shared\SNDSrvc.exe
D:\Internet\HijackThis.exe

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Bar = res://C:\WINNT\obmoa.dll/sp.html#83556
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = res://C:\WINNT\obmoa.dll/sp.html#83556
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = about:blank
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = res://C:\WINNT\obmoa.dll/sp.html#83556
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Bar = res://C:\WINNT\obmoa.dll/sp.html#83556
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = res://C:\WINNT\obmoa.dll/sp.html#83556
R1 - HKCU\Software\Microsoft\Internet Explorer\Search,SearchAssistant = res://C:\WINNT\obmoa.dll/sp.html#83556
R0 - HKLM\Software\Microsoft\Internet Explorer\Search,SearchAssistant = res://C:\WINNT\obmoa.dll/sp.html#83556
R3 - Default URLSearchHook is missing
O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Programme\Adobe\Acrobat 6.0\Reader\ActiveX\AcroIEHelper.dll
O2 - BHO: (no name) - {77EE2D49-0B88-3733-A727-F51E5AF29042} - C:\WINNT\appkg.dll
O2 - BHO: NAV Helper - {BDF3E430-B101-42AD-A544-FADC6B084872} - C:\Programme\Norton AntiVirus\NavShExt.dll
O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINNT\System32\msdxm.ocx
O3 - Toolbar: Norton AntiVirus - {42CDD1BF-3FFB-4238-8AD1-7859DF00B1D6} - C:\Programme\Norton AntiVirus\NavShExt.dll
O4 - HKLM\..\Run: [Synchronization Manager] mobsync.exe /logon
O4 - HKLM\..\Run: [AtiPTA] Atiptaxx.exe
O4 - HKLM\..\Run: [NeroCheck] C:\WINNT\system32\NeroCheck.exe
O4 - HKLM\..\Run: [iTunesHelper] C:\Programme\iTunes\iTunesHelper.exe
O4 - HKLM\..\Run: [QuickTime Task] "C:\Programme\QuickTime\qttask.exe" -atboottime
O4 - HKLM\..\Run: [atlrz32.exe] C:\WINNT\system32\atlrz32.exe
O4 - HKLM\..\Run: [ccApp] "C:\Programme\Gemeinsame Dateien\Symantec Shared\ccApp.exe"
O4 - HKLM\..\Run: [SSC_UserPrompt] C:\Programme\Gemeinsame Dateien\Symantec Shared\Security Center\UsrPrmpt.exe
O4 - HKLM\..\Run: [Symantec NetDriver Monitor] C:\PROGRA~1\SYMNET~1\SNDMon.exe
O4 - HKLM\..\RunOnce: [ipzo.exe] C:\WINNT\system32\ipzo.exe
O4 - HKCU\..\Run: [AIM] C:\Programme\AIM95\aim.exe -cnetwait.odl
O4 - Global Startup: Microsoft Office.lnk = C:\Programme\Microsoft Office\Office\OSA9.EXE
O4 - Global Startup: PC-Bibliothek-Direktsuche.lnk = C:\pc-bib\PCLib.exe
O9 - Extra button: AIM - {AC9E2541-2814-11d5-BC6D-00B0D0A1DE45} - C:\Programme\AIM95\aim.exe
O17 - HKLM\System\CCS\Services\Tcpip\..\{EAE08E85-87E1-43CD-8C20-0BFA3FCBFB8F}: NameServer = 192.168.0.1
O23 - Service: Symantec Event Manager (ccEvtMgr) - Symantec Corporation - C:\Programme\Gemeinsame Dateien\Symantec Shared\ccEvtMgr.exe
O23 - Service: Symantec Password Validation (ccPwdSvc) - Symantec Corporation - C:\Programme\Gemeinsame Dateien\Symantec Shared\ccPwdSvc.exe
O23 - Service: Symantec Settings Manager (ccSetMgr) - Symantec Corporation - C:\Programme\Gemeinsame Dateien\Symantec Shared\ccSetMgr.exe
O23 - Service: Verwaltungsdienst für die Verwaltung logischer Datenträger (dmadmin) - VERITAS Software Corp. - C:\WINNT\System32\dmadmin.exe
O23 - Service: iPod Service (iPodService) - Apple Computer, Inc. - C:\Programme\iPod\bin\iPodService.exe
O23 - Service: Norton AntiVirus Auto-Protect Service (navapsvc) - Symantec Corporation - C:\Programme\Norton AntiVirus\navapsvc.exe
O23 - Service: Norton AntiVirus Firewall Monitor Service (NPFMntor) - Symantec Corporation - C:\Programme\Norton AntiVirus\IWP\NPFMntor.exe
O23 - Service: SAVScan - Symantec Corporation - C:\Programme\Norton AntiVirus\SAVScan.exe
O23 - Service: ScriptBlocking Service (SBService) - Symantec Corporation - C:\PROGRA~1\GEMEIN~1\SYMANT~1\SCRIPT~1\SBServ.exe
O23 - Service: Symantec Network Drivers Service (SNDSrvc) - Symantec Corporation - C:\Programme\Gemeinsame Dateien\Symantec Shared\SNDSrvc.exe
O23 - Service: Symantec SPBBCSvc (SPBBCSvc) - Symantec Corporation - C:\Programme\Gemeinsame Dateien\Symantec Shared\SPBBC\SPBBCSvc.exe
O23 - Service: Symantec Core LC - Symantec Corporation - C:\Programme\Gemeinsame Dateien\Symantec Shared\CCPD-LC\symlcsvc.exe
O23 - Service: Remote Procedure Call (RPC) Helper ( 6QÔõ'ª´ÆÐ8) - Unknown owner - C:\WINNT\system32\sdkoh.exe (file missing)

wer schön, wenn sich das mal jemand ankucken könnte, weil ich nich wirklich was damit anfangen kann. DANKE schonmal!!

mfg
mcbarny

Alt 05.03.2005, 12:33   #2
The Don - D.R.
 
Search Extender & Shopping Wizzard: Rettung? - Standard

Search Extender & Shopping Wizzard: Rettung?



hallo

fixe diese einträge mit HJT:

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Bar = res://C:\WINNT\obmoa.dll/sp.html#83556
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = res://C:\WINNT\obmoa.dll/sp.html#83556
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = res://C:\WINNT\obmoa.dll/sp.html#83556
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Bar = res://C:\WINNT\obmoa.dll/sp.html#83556
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = res://C:\WINNT\obmoa.dll/sp.html#83556
R1 - HKCU\Software\Microsoft\Internet Explorer\Search,SearchAssistant = res://C:\WINNT\obmoa.dll/sp.html#83556
R0 - HKLM\Software\Microsoft\Internet Explorer\Search,SearchAssistant = res://C:\WINNT\obmoa.dll/sp.html#83556
R3 - Default URLSearchHook is missing
__________________


Alt 05.03.2005, 12:49   #3
Cidre
Administrator, a.D.
 
Search Extender & Shopping Wizzard: Rettung? - Standard

Search Extender & Shopping Wizzard: Rettung?



Zitat:
Zitat von The Don - D.R.
fixe diese einträge mit HJT:
Und was passiert dann?

@ McBarny

Das eScan AntiVirus Toolkit Utility (mwav.exe) herunterladen, die Datei in den von dir erstellten Ordner "c:\bases" (wichtig !) entpacken und danach die "kavupd.exe" (Update) ausführen.
http://www.mwti.net/antivirus/free_utilities.asp

Wechsle in den abgesicherten Modus http://www.trojaner-board.de/63335-w...s-starten.html und deinstalliere unter Software "shopping wizzard" und ähnliche ominöse Programme.

Start -> Ausführen -> services.msc -> OK -> Rechtsklick auf Remote Procedure Call (RPC) Helper -> Eigenschaften -> "Starttyp" deaktiviert und "Dienststatus" beenden einstellen -> Übernehmen

Fixe diese Einträge (Haken setzen und auf Fix Checked klicken):
Alle R0, R1 und R3
O2 - BHO: (no name) - {77EE2D49-0B88-3733-A727-F51E5AF29042} - C:\WINNT\appkg.dll
O4 - HKLM\..\Run: [atlrz32.exe] C:\WINNT\system32\atlrz32.exe
O4 - HKLM\..\RunOnce: [ipzo.exe] C:\WINNT\system32\ipzo.exe
O23 - Service: Remote Procedure Call (RPC) Helper ( 6QÔõ'ª´ÆÐ8) - Unknown owner - C:\WINNT\system32\sdkoh.exe (file missing)

Lösche diese Dateien:
C:\WINNT\system32\atlrz32.exe
C:\WINNT\system32\ipzo.exe
C:\WINNT\system32\sdkoh.exe
C:\WINNT\obmoa.dll

- mit eScan scannen (den Scanner mit der "mwavscan.com" starten. Alle Häkchen setzen und "Scan" klicken.) und die Malware manuell entfernen http://www.trojaner-board.de/42731-escan-anleitung.html
- neue Startseite vergeben
- Neustart
- dein System updaten http://v5.windowsupdate.microsoft.co...r/default.aspx
- IE sicherer konfigurieren und nur noch für das Windows Update benutzen http://www.datenschutzzentrum.de/sel...sie/config.htm
- Sichere und komfortablere Browser wie z.B. Mozilla oder Firefox verwenden http://www.mozilla.org
- neues Log-File von HijackThis und die Virus Log Information von eScan posten
__________________
__________________

Antwort

Themen zu Search Extender & Shopping Wizzard: Rettung?
adobe, antivirus, bho, boot, chip.de, computer, danke, dateien, downloader, drivers, explorer, file, file missing, hijack, hijackthis, internet, internet explorer, keine firewall, microsoft, monitor, programme, registry, router, scan, security, security center, settings manager, software, symantec, system, system32, träge, urlsearchhook, werbe-popups, windows-firewall



Ähnliche Themen: Search Extender & Shopping Wizzard: Rettung?


  1. habe ein Problem mit "Shopping Wizard und Search Extender"
    Log-Analyse und Auswertung - 23.08.2005 (5)
  2. Home Search Assistent - Search Extender - Shopping Wizard
    Log-Analyse und Auswertung - 06.05.2005 (1)
  3. Shopping Wizard, Search Extender und Home Search Assistant
    Plagegeister aller Art und deren Bekämpfung - 24.02.2005 (3)
  4. Hilfe !! Wie bekomme ich Search Extender & Co weg ?
    Log-Analyse und Auswertung - 10.02.2005 (1)
  5. Eingefangen: Home Search, Shopping Wizzard, Search Extender
    Plagegeister aller Art und deren Bekämpfung - 16.01.2005 (5)
  6. Home search assistent, Search extender & Trojaner
    Log-Analyse und Auswertung - 13.01.2005 (2)
  7. Home search assistent, Search Extender
    Log-Analyse und Auswertung - 13.01.2005 (1)
  8. hilfe bei search extender und Co.
    Plagegeister aller Art und deren Bekämpfung - 06.01.2005 (21)
  9. Home search assistent, search extender, shopping wizard
    Plagegeister aller Art und deren Bekämpfung - 04.01.2005 (21)
  10. Search Extender und anderes Gesindel...
    Log-Analyse und Auswertung - 27.12.2004 (5)
  11. Home Search Search Extender Shopping Wizard
    Log-Analyse und Auswertung - 10.12.2004 (1)
  12. Home Search, Search Extender und Shopping Wizard
    Plagegeister aller Art und deren Bekämpfung - 08.12.2004 (4)
  13. Home Search, Search Extender und Shopping Wizard
    Plagegeister aller Art und deren Bekämpfung - 20.11.2004 (3)
  14. Search Extender / Assistent ...
    Log-Analyse und Auswertung - 16.11.2004 (20)
  15. Search Extender
    Log-Analyse und Auswertung - 30.10.2004 (37)
  16. Home Search Assistent, Shopping Wizard, Search Extender,
    Plagegeister aller Art und deren Bekämpfung - 23.10.2004 (22)
  17. Home Search Assistan, Shopping Wizard, Search Extender
    Log-Analyse und Auswertung - 18.10.2004 (5)

Zum Thema Search Extender & Shopping Wizzard: Rettung? - hallo, sitz grad an nem rechner, dessen nutzer seit gestern mit "search extender"(SE) und "shopping wizzard"(SW) erfahrung machen musste. symptome sind folgende: xxx-einträge in die favoritenliste des i.e.; startseite automatisch - Search Extender & Shopping Wizzard: Rettung?...
Archiv
Du betrachtest: Search Extender & Shopping Wizzard: Rettung? auf Trojaner-Board

Search Engine Optimization by vBSEO ©2011, Crawlability, Inc.