Zurück   Trojaner-Board > Malware entfernen > Log-Analyse und Auswertung

Log-Analyse und Auswertung: Dauernde Popups von Zamingo.com

Windows 7 Wenn Du Dir einen Trojaner eingefangen hast oder ständig Viren Warnungen bekommst, kannst Du hier die Logs unserer Diagnose Tools zwecks Auswertung durch unsere Experten posten. Um Viren und Trojaner entfernen zu können, muss das infizierte System zuerst untersucht werden: Erste Schritte zur Hilfe. Beachte dass ein infiziertes System nicht vertrauenswürdig ist und bis zur vollständigen Entfernung der Malware nicht verwendet werden sollte.

Antwort
Alt 30.06.2004, 14:22   #1
elanie
 
Dauernde Popups von Zamingo.com - Standard

Dauernde Popups von Zamingo.com



Hallo,

bisher habe ich mich immer alleine zurechtgefunden und musste nichts nachfragen. Nun habe ich mir heut morgen was eingefangen, dass ich nicht mehr weg bekomme. Ca. alle zwei Minuten gehen, ob IE geöffnet oder nicht (hab DSL Flat), Pop Ups einer Firma Zamingo.com auf. Nachdem Antivir zunächst vier, nach Neustart nochmals 12 Trojaner, Backdoor Software etc. gefunden hatte, ich Hijack This durchlaufen lassen habe und im Autostartordner nachgesehen habe weiß ich nicht mehr weiter.

Hier mein Logfile

Logfile of HijackThis v1.97.7
Scan saved at 15:18:48, on 30.06.04
Platform: Windows 98 SE (Win9x 4.10.2222A)
MSIE: Internet Explorer v5.50 SP1 (5.50.4522.1800)

Running processes:
C:\WINDOWS\SYSTEM\KERNEL32.DLL
C:\WINDOWS\SYSTEM\MSGSRV32.EXE
C:\WINDOWS\SYSTEM\MPREXE.EXE
C:\WINDOWS\SYSTEM\NVSVC.EXE
C:\WINDOWS\SYSTEM\mmtask.tsk
C:\WINDOWS\EXPLORER.EXE
C:\WINDOWS\TASKMON.EXE
C:\WINDOWS\SYSTEM\SYSTRAY.EXE
C:\WINDOWS\SOUNDMAN.EXE
C:\WINDOWS\SYSTEM\STIMON.EXE
C:\IMAGEMATE COMPACTFLASH USB\SANDICON.EXE
C:\PROGRAMME\AHEAD\INCD\INCD.EXE
C:\PROGRAMME\FRITZ!DSL\AWATCH.EXE
C:\PROGRAMME\WINAMP\WINAMPA.EXE
C:\PROGRAMME\GEMEINSAME DATEIEN\REAL\UPDATE_OB\REALSCHED.EXE
C:\PROGRAMME\AVPERSONAL\AVGCTRL.EXE
C:\WINDOWS\RUNDLL32.EXE
C:\WINDOWS\SYSTEM\DDHELP.EXE
C:\PROGRAMME\MICROSOFT OFFICE\OFFICE\OSA.EXE
C:\TOOLS_95\IOWATCH.EXE
C:\TOOLS_95\IMGICON.EXE
C:\WINDOWS\SYSTEM\HPLAMPC.EXE
C:\WINDOWS\SYSTEM\WMIEXE.EXE
C:\WINDOWS\RUNDLL32.EXE
C:\PROGRAMME\AVPERSONAL\AVWIN.EXE
C:\t_online\EMAIL20\Toemail.exe
C:\T-ONLINE\BSW4\ONLINE.EXE
C:\WINDOWS\SYSTEM\WSASRV.EXE
C:\PROGRAMME\INTERNET EXPLORER\IEXPLORE.EXE
D:\PROGRAMME 2\HIJACKTHIS.EXE

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.sparkasse-langenfeld.de/
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://www.t-online.de
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Window Title = Microsoft Internet Explorer von T-Online
R1 - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings,ProxyServer = http=proxy.btx.dtag.de:80;ftp=ftp-proxy.btx.dtag.de:80
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page_bak = http://www.sparkasse-langenfeld.de/
F1 - win.ini: run=c:\windows\system\unldr32.exe
O2 - BHO: (no name) - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\PROGRAMME\ADOBE\ACROBAT 5.0\READER\ACTIVEX\ACROIEHELPER.OCX
O2 - BHO: (no name) - {AA58ED58-01DD-4d91-8333-CF10577473F7} - c:\programme\google\googletoolbar2.dll
O2 - BHO: (no name) - {00000250-0320-4DD4-BE4F-7566D2314352} - C:\WINDOWS\VOICEIP.DLL
O2 - BHO: (no name) - {5FA6752A-C4A0-4222-88C2-928AE5AB4966} - C:\WINDOWS\SYSTEM\SWIN32.DLL
O3 - Toolbar: &Google - {2318C2B1-4965-11d4-9B18-009027A5CD4F} - c:\programme\google\googletoolbar2.dll
O4 - HKLM\..\Run: [ScanRegistry] C:\WINDOWS\scanregw.exe /autorun
O4 - HKLM\..\Run: [TaskMonitor] C:\WINDOWS\taskmon.exe
O4 - HKLM\..\Run: [SystemTray] SysTray.Exe
O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\SYSTEM\NvCpl.dll,NvStartup
O4 - HKLM\..\Run: [nwiz] nwiz.exe /install
O4 - HKLM\..\Run: [SoundMan] soundman.exe
O4 - HKLM\..\Run: [StillImageMonitor] C:\WINDOWS\SYSTEM\STIMON.EXE
O4 - HKLM\..\Run: [SandIcon] C:\ImageMate CompactFlash USB\SandIcon.Exe
O4 - HKLM\..\Run: [InCD] C:\Programme\ahead\InCD\InCD.exe
O4 - HKLM\..\Run: [LoadPowerProfile] Rundll32.exe powrprof.dll,LoadCurrentPwrScheme
O4 - HKLM\..\Run: [AWatch] C:\Programme\FRITZ!DSL\Awatch.exe
O4 - HKLM\..\Run: [WinampAgent] "C:\PROGRAMME\WINAMP\WINAMPa.exe"
O4 - HKLM\..\Run: [TkBellExe] "C:\Programme\Gemeinsame Dateien\Real\Update_OB\realsched.exe" -osboot
O4 - HKLM\..\Run: [AVGCtrl] C:\PROGRAMME\AVPERSONAL\AVGCTRL.EXE /min
O4 - HKLM\..\Run: [Adstartup] C:\WINDOWS\SYSTEM\automove.exe
O4 - HKLM\..\RunServices: [LoadPowerProfile] Rundll32.exe powrprof.dll,LoadCurrentPwrScheme
O4 - HKLM\..\RunServices: [Unldr32] c:\windows\system\unldr32.exe
O4 - HKLM\..\RunServices: [NVSvc] C:\WINDOWS\SYSTEM\nvsvc.exe -runservice
O4 - HKCU\..\Run: [NvMediaCenter] RUNDLL32.EXE C:\WINDOWS\SYSTEM\NVMCTRAY.DLL,NvTaskbarInit
O4 - Startup: Office-Start.lnk = C:\Programme\Microsoft Office\Office\OSA.EXE
O4 - Startup: Iomega Watch.lnk = C:\Tools_95\IOWATCH.EXE
O4 - Startup: Iomega-Startoptionen.lnk = C:\Tools_95\IMGSTART.EXE
O4 - Startup: Zip Disk Icons.lnk = C:\Tools_95\IMGICON.EXE
O8 - Extra context menu item: &Google Search - res://C:\PROGRAMME\GOOGLE\GOOGLETOOLBAR2.DLL/cmsearch.html
O8 - Extra context menu item: Cac&hed Snapshot of Page - res://C:\PROGRAMME\GOOGLE\GOOGLETOOLBAR2.DLL/cmcache.html
O8 - Extra context menu item: Si&milar Pages - res://C:\PROGRAMME\GOOGLE\GOOGLETOOLBAR2.DLL/cmsimilar.html
O8 - Extra context menu item: Backward &Links - res://C:\PROGRAMME\GOOGLE\GOOGLETOOLBAR2.DLL/cmbacklinks.html
O9 - Extra button: Related (HKLM)
O9 - Extra 'Tools' menuitem: Show &Related Links (HKLM)
O9 - Extra 'Tools' menuitem: Sun Java Console (HKLM)
O12 - Plugin for .mov: C:\PROGRAMME\NETSCAPE\COMMUNICATOR\PROGRAM\PLUGINS\NPQTW32.DLL
O12 - Plugin for .mid: C:\PROGRAMME\NETSCAPE\COMMUNICATOR\PROGRAM\PLUGINS\npaudio.dll
O12 - Plugin for .wav: C:\PROGRAMME\NETSCAPE\COMMUNICATOR\PROGRAM\PLUGINS\npaudio.dll
O12 - Plugin for .avi: C:\PROGRAMME\NETSCAPE\COMMUNICATOR\PROGRAM\PLUGINS\npavi32.dll
O12 - Plugin for .wmv: C:\PROGRAMME\NETSCAPE\COMMUNICATOR\PROGRAM\PLUGINS\npdsplay.dll
O14 - IERESET.INF: START_PAGE_URL=http://www.t-online.de
O16 - DPF: {D27CDB6E-AE6D-11CF-96B8-444553540000} (Shockwave Flash Object) - http://download.macromedia.com/pub/s...sh/swflash.cab
O16 - DPF: {33564D57-0000-0010-8000-00AA00389B71} - http://download.microsoft.com/downlo...22/wmv9VCM.CAB
O16 - DPF: {E855A2D4-987E-4F3B-A51C-64D10A7E2479} (EPSImageControl Class) - http://tools.ebayimg.com/eps/activex...trol_v1-32.cab
O16 - DPF: {166B1BCA-3F9C-11CF-8075-444553540000} (Shockwave ActiveX Control) - http://download.macromedia.com/pub/s...irector/sw.cab
O16 - DPF: {56336BCB-3D8A-11D6-A00B-0050DA18DE71} (RdxIE Class) - http://software-dl.real.com/22d15ccd...dxIE601_de.cab
O16 - DPF: JT's Blocks - http://download.games.yahoo.com/game...s/y/blt1_x.cab
O16 - DPF: Yahoo! Chinese Checkers - http://download.games.yahoo.com/game...s/y/cct0_x.cab
O16 - DPF: Yahoo! Pyramids - http://download.games.yahoo.com/game...s/y/pyt1_x.cab

Im Autostart hab ich was, was mir komisch vorkommt, bin mir aber nicht sicher: Adstart c:\Windows\System\automove.exe

Plus von Antivir gemeldet, eine infizierte Datei mit dem Namen ocx[1].cab.

Vielen Dank für Eure Hilfe und viele Grüße,
Melanie

Alt 30.06.2004, 19:02   #2
Lutz
 

Dauernde Popups von Zamingo.com - Standard

Dauernde Popups von Zamingo.com



Hallo Melanie,

lade Dir alternativ zu AntiVir bitte mal eScan herunter (Bitte Link in meiner Signatur beachten), mach ein Update und scanne Deinen Rechner im abgesicherten Modus.
Poste bitte anschließend, ob und was eScan gefunden hat.
__________________

__________________

Alt 30.06.2004, 21:27   #3
elanie
 
Dauernde Popups von Zamingo.com - Standard

Dauernde Popups von Zamingo.com



Hallo Lutz,

das ist jetzt der dritte Versuch eine Antwort zu schreiben, dauernd gehen die Popups auf und der Text verschwindet. Habe alles so gemacht wie Du beschrieben hast, aber das Problem besteht (der Logfile ist mehrere Seiten lang).
Im Autostart befindet sich ein "Adstartup" mit dem Pfad c:\windows\system\automove.exe, die aber im Windows Explorer nicht zu finden ist, auch nicht nach einschalten von "versteckte Dateien anzeigen". Was mir auffällt sind Dateien mit den Namen retpdat.xml und sp32.xml.
Nach Deaktivierung im Autostart und Neustart ist es sofort wieder aktiviert.
In c: selbst habe ich die Datei adupmanager.xml
Lösche ich diese, taucht sie nach kurzer Zeit auch wieder auf.

Nachdem das heute morgen passiert ist, hatte ich zig neue exen auf dem Desktop, Dinge wie Think2, travel-irgendwas und was mit 53.
In der Software findet sich noch eine XXXToolbar, die sich nicht entfernen lässt.

Ich komme weder in mein Yahoo Postfach, noch kann ich Ebay Auktionen einstellen (Meldung: Diese Anwendung wird aufgrund eines ungültigen Vorgangs geschlossen...)

Waaah...was kann denn das sein??

Viele Grüße,

Melanie
__________________

Geändert von elanie (01.07.2004 um 20:29 Uhr)

Alt 01.07.2004, 23:37   #4
elanie
 
Dauernde Popups von Zamingo.com - Standard

Dauernde Popups von Zamingo.com



Hallo nochmal,

ich glaube ich habe das Problem gelöst. Vielleicht hilft es ja dem einen oder anderen weiter.

Zunächst mal habe ich mit Hijack this die beiden Einträge


O2 - BHO: (no name) - {00000250-0320-4DD4-BE4F-7566D2314352} - C:\WINDOWS\VOICEIP.DLL
O2 - BHO: (no name) - {5FA6752A-C4A0-4222-88C2-928AE5AB4966} - C:\WINDOWS\SYSTEM\SWIN32.DLL

gelöscht.

Bin dann über regedit in HKEY local machine-->software-->Microsoft-->windows-->current version --> run und habe dort den Eintrag adstartup gelöscht und dann in run- (man achte auf den Bindestrich) denselben Eintrag nochmals gefunden und gelöscht. Danach tauchte in c:\windows folgende Datei auf .plugin141_05, erstellt in dem Moment wo ich die anderen gelöscht hatte. Also hab ich die auch gelöscht...
Die Datei adupmanager.xml auch gelöscht und neu gestartet. Bisher war nach jedem Neustart alles wieder da - nun scheint es definitiv weg zu sein, nach mehreren Neustarts ist nichts mehr aufgetaucht und auch IE stürzt nicht mehr zusammen.

Also wenn es jetzt geklappt hat dann...
Und wenn nicht sag ich nur Frauen und Technik...

Viele Grüße,
Melanie

Alt 20.07.2004, 16:27   #5
BlackouT
 
Dauernde Popups von Zamingo.com - Frage

Dauernde Popups von Zamingo.com



Hallo,
ich hab das gleiche Problem (leider immernoch, trotz der anleitung).
Mein PC wies auch die gleichen merkmale auf, sprich die datei namens adupdmanager.xml, die selbst wenn man sie gelöscht hatte immer wieder kam und auch unter HKEY local machine-->software-->Microsoft-->windows-->current version --> run gibt es den eintrag "adstartup", der kommt allerdings auch immer wieder, wenn ich ihn lösche.
Was bei mir allerdings nicht zu finden war, waren diese beiden einträge:
Zitat:
O2 - BHO: (no name) - {00000250-0320-4DD4-BE4F-7566D2314352} - C:\WINDOWS\VOICEIP.DLL
O2 - BHO: (no name) - {5FA6752A-C4A0-4222-88C2-928AE5AB4966} - C:\WINDOWS\SYSTEM\SWIN32.DLL
Ich habe zunächst alles nach der anleitung gemacht, also die adupdmanager.xml gelöscht und danach über regedit unter "run" den eintrag "adstartup" gelöscht. Dann wollte ich ihn auch unter "run-" löschen, musste aba feststellen, dass gar kein "run-" zu sehen war
Und unter C:\Windows war auch keine .plugin141_05 datei zu sehen.
Ich hab auch schon bei symantec auf viren checken lassen, aber es wurde keins gefunden.
Hoffe ich hab's einigermaßen verständlich geschrieben, sodass ihr mir hoffentlich helfen koennt.


Antwort

Themen zu Dauernde Popups von Zamingo.com
.inf, adobe, antivir, backdoor, bho, dsl, email, ftp, google, hijack, hijack this, hijackthis, hilfe, infizierte, infizierte datei, internet, internet explorer, nicht sicher, nvcpl.dll, object, pop ups, popups, registry, rundll, shockwave, software, sun java, system, t-online, trojaner, usb, windows



Ähnliche Themen: Dauernde Popups von Zamingo.com


  1. Windows 8.1: Dauernde Trojanerfunde - Crypt.Xpack / Z.pack /..
    Log-Analyse und Auswertung - 28.02.2015 (15)
  2. Dauernde Werbe-Popups und versuchte Downloads von fugupdates108.com
    Log-Analyse und Auswertung - 25.01.2015 (5)
  3. Dauernde malwares
    Plagegeister aller Art und deren Bekämpfung - 01.08.2014 (5)
  4. dauernde Abstürze ohne BSOD
    Alles rund um Windows - 19.11.2013 (90)
  5. Dauernde Computerabstürze
    Log-Analyse und Auswertung - 16.04.2012 (51)
  6. Dauernde Weiterleitung auf Ask / Gomeo
    Log-Analyse und Auswertung - 26.05.2011 (17)
  7. Dauernde Virusmeldung--löschen nicht möglich
    Log-Analyse und Auswertung - 26.10.2010 (8)
  8. Dauernde Werbe Anzeigen..
    Log-Analyse und Auswertung - 20.09.2010 (1)
  9. FileZilla FTP-Server zeigt dauernde Login-Versuche
    Log-Analyse und Auswertung - 10.06.2010 (5)
  10. VIRUS ALERT bei der uhr und dauernde warnmeldungen
    Plagegeister aller Art und deren Bekämpfung - 07.09.2008 (8)
  11. Dauernde Fehlermeldungen!!!(Abstand von 3 min)
    Log-Analyse und Auswertung - 24.03.2008 (7)
  12. Worm.Win32.netsky ! Dauernde Installationsaufforderung
    Log-Analyse und Auswertung - 06.03.2008 (2)
  13. Dauernde Abstürze durch Viren?
    Log-Analyse und Auswertung - 25.01.2008 (1)
  14. Dauernde Neuinfektion
    Mülltonne - 15.12.2007 (0)
  15. PC hat seit kurzem sehr lange bootzeit + dauernde medlungen vom virenscanner
    Log-Analyse und Auswertung - 20.03.2007 (3)
  16. Dauernde Werbepoups. Log insider.
    Log-Analyse und Auswertung - 03.12.2006 (1)
  17. Dauernde Internet-Umleitung ! Log File Check !
    Log-Analyse und Auswertung - 07.10.2005 (4)

Zum Thema Dauernde Popups von Zamingo.com - Hallo, bisher habe ich mich immer alleine zurechtgefunden und musste nichts nachfragen. Nun habe ich mir heut morgen was eingefangen, dass ich nicht mehr weg bekomme. Ca. alle zwei Minuten - Dauernde Popups von Zamingo.com...
Archiv
Du betrachtest: Dauernde Popups von Zamingo.com auf Trojaner-Board

Search Engine Optimization by vBSEO ©2011, Crawlability, Inc.