Hi Leute!

Hab mir da was eingefangen, am Anfang kam was von eZula und irgendwas mit Web. Hab dann von Hand paar Sachen aus der Registry entfernt und hab immerhin die komischen Suchleisten wegbekommen.

Was allerdings geblieben ist sind tolle pop-ups mit noch tollerer Werbung, die mich wahnsinnig machen!

AdAware, Spybot und SpySubtract haben irgendwas gefunden und entfernt aber das taucht immer wieder auf...

Hier mal mein Log aus Hijack this:

Logfile of HijackThis v1.99.1
Scan saved at 21:26:58, on 11.03.2005
Platform: Windows XP SP1 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP1 (6.00.2800.1106)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\System32\Ati2evxx.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\spoolsv.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\rundll32.exe
C:\WINDOWS\Explorer.EXE
C:\WINDOWS\System32\yoygoo.exe
C:\Program Files\interMute\SpySubtract\SpySub.exe
D:\Opera\opera.exe
C:\Dokumente und Einstellungen\shOr\Desktop\HijackThis.exe

O1 - Hosts: 69.20.16.183 auto.search.msn.com
O1 - Hosts: 69.20.16.183 search.netscape.com
O1 - Hosts: 69.20.16.183 ieautosearch
O4 - HKLM\..\Run: [MSConfig] C:\WINDOWS\PCHealth\HelpCtr\Binaries\MSConfig.exe /auto
O4 - Global Startup: SpySubtract.lnk = C:\Program Files\interMute\SpySubtract\SpySub.exe
O17 - HKLM\System\CCS\Services\Tcpip\..\{FFCAEF06-CAB5-4D74-B5BE-A9BB15B5E7E4}: NameServer = 192.168.2.1
O20 - Winlogon Notify: Reliability - C:\WINDOWS\system32\gpj2l31o1.dll
O23 - Service: Ati HotKey Poller - ATI Technologies Inc. - C:\WINDOWS\System32\Ati2evxx.exe



sehr seltsam finde ich den Eintrag:
- Winlogon Notify: Reliability - C:\WINDOWS\system32\gpj2l31o1.dll

die dll taucht bei jedem systemstart so ähnlich benannt wieder auf und lässt sich nicht entfernen...

weiß jemand Rat?
Vielen Dank schon mal,
sh0r

Hallo,

wechsel in den abgesicherten Modus bei deaktivierter Systemwiederherstellung (http://www.systemwiederherstellung-d...indows-xp.html), scanne mit HJT und fixe (Häckchen vor folgenden Einträgen und auf Fix checked klicken) folgende Einträge:

O1 - Hosts: 69.20.16.183 auto.search.msn.com
O1 - Hosts: 69.20.16.183 search.netscape.com
O1 - Hosts: 69.20.16.183 ieautosearch
O20 - Winlogon Notify: Reliability - C:\WINDOWS\system32\gpj2l31o1.dll

Lösche folgende Dateien manuell:
(Falls noch nicht enigestellt: Öffne den Explorer-->Extras-->Ordneroptionen-->Ansicht-->Systendateien ausblenden "häckchen weg und "Alle Dateien und Ordner Anzeigen" anklicken)

C:\WINDOWS\System32\yoygoo.exe
C:\WINDOWS\system32\gpj2l31o1.dll (oder anderer Name)

Papierkorb leeren.

Neustart -->Systemwiederherstellung aktivieren

... und WINDOWSUPDATEN!!

dartus

systemwiederherstellung ist bei mir schon deaktiviert - muss ich die dann aktivieren (denke nicht...?)

wenn ich mir sp2 installiere, stopft das dann dieses sicherheitsloch?

dankeschön!
sh0r

also ich hab die systemwiederherstellung deaktiviert, die war seltsamerweise aktiviert hab das zeug mit hijack this gefixt und versucht es manuell zu entfernen.
die dll (die nach jedem neustart den namen ändert) kann ich aber nicht entfernen, es kommt immer die meldung dass darauf nicht zugegriffen werden kann weil ein andere benutzer oder programm darauf zugreift - welches programm ist denn das?

hier nochmal das aktuelle log:

Logfile of HijackThis v1.99.1
Scan saved at 03:23:50, on 12.03.2005
Platform: Windows XP SP1 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP1 (6.00.2800.1106)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\System32\Ati2evxx.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\spoolsv.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\rundll32.exe
C:\WINDOWS\Explorer.EXE
C:\Program Files\interMute\SpySubtract\SpySub.exe
D:\Opera\opera.exe
C:\Dokumente und Einstellungen\shOr\Desktop\HijackThis.exe

O1 - Hosts: 69.20.16.183 auto.search.msn.com
O1 - Hosts: 69.20.16.183 search.netscape.com
O1 - Hosts: 69.20.16.183 ieautosearch
O4 - Global Startup: SpySubtract.lnk = C:\Program Files\interMute\SpySubtract\SpySub.exe
O17 - HKLM\System\CCS\Services\Tcpip\..\{FFCAEF06-CAB5-4D74-B5BE-A9BB15B5E7E4}: NameServer = 192.168.2.1
O20 - Winlogon Notify: policies - C:\WINDOWS\system32\fp0m03d1e.dll
O23 - Service: Ati HotKey Poller - ATI Technologies Inc. - C:\WINDOWS\System32\Ati2evxx.exe

gruß,
sh0r

@ sh0r

Arbeite diesen Thread ab und dein Problem sollte gelöst.

Solltest du damit nicht klarkommen, dann halte uns am Laufenden und poste deine Fragen erneut hier rein.

Ah! Scheint funktioniert zu haben!

Hier nochmal mein Hijack This Log:

Logfile of HijackThis v1.99.1
Scan saved at 13:25:21, on 12.03.2005
Platform: Windows XP SP1 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP1 (6.00.2800.1106)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\System32\Ati2evxx.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\spoolsv.exe
C:\WINDOWS\Explorer.EXE
C:\WINDOWS\System32\svchost.exe
C:\Dokumente und Einstellungen\shOr\Desktop\HijackThis.exe

O4 - Global Startup: SpySubtract.lnk = C:\Program Files\interMute\SpySubtract\SpySub.exe
O17 - HKLM\System\CCS\Services\Tcpip\..\{FFCAEF06-CAB5-4D74-B5BE-A9BB15B5E7E4}: NameServer = 192.168.2.1
O23 - Service: Ati HotKey Poller - ATI Technologies Inc. - C:\WINDOWS\System32\Ati2evxx.exe



Wenn ich auf Sp2 update - bringt das was im Bezug au Spyware?
Und wenn ich, wie in Linux nicht mehr mit einem Account mit Administratorrechten surfe, hat das nen Sinn?

Danke an alle die geholfen haben!