Habe einen Trojaner, der sich immer mit den Adressen "newsupdate.lzio. com" oder ähnlich einwählen will. Habe alle Programme von Spyboot bis.... versucht. Keines findet was.
Surfe mit Netscape trotzdem will sich der IE explorer immer zu diesen Seiten einwählen. Es kommt die Meldung "wollen Sie die Verbindung herstellen" weiterhin ist im IE die Temp. Internet Files immer voll mit den Adressen.

Kann keiner helfen von Euch Profis????

Hi Tolew,

poste mal einen Hijackthis-Log.

Dürfen Dir auch Amateure helfen?

Gruß [img]graemlins/daumenhoch.gif[/img]
Yopie

Glaube nicht, dass hier allzuviele "Antitrojaner-Profis" sind, oder zahlst Du dafür?
(ich glaube ich gründe mal eine Gesellschaft zur richtigen Verwendung des (Kurz)Wortes "Profi" )

Edit//Diese Zeilen übrigens schon vor Yopies Postveröffentlichung geschrieben, musste aber erst die Links holen.
[img]graemlins/party.gif[/img] @ Yopie
//EndEdit

Falls Trojaner, was sagt Dein AV-Programm?
alternativ Onlinescan mit z.B.:
http://www.pandasoftware.com/actives..._principal.htm
http://de.trendmicro-europe.com/ente...secall_pre.php
http://www.ravantivirus.com/scan/indexie.php


Welche Programme ausser Spybot S&D hast du benutzt?
Schau auch mal nach Ewido, a² (halte zwar von beiden Herstellern nur bedingt was, aber schaden sollte es nicht)

Warum sollte ein Trojaner bitte den IE benutzen?
Gib uns doch auch mal ein HiJackThis-Log wenn die AV-Scanns+Ewido&Co. nicht helfen

Danke für die Hilfe!!

Logfile of HijackThis v1.97.7
Scan saved at 19:40:53, on 17.05.2004
Platform: Windows XP SP1 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP1 (6.00.2800.1106)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\spoolsv.exe
C:\WINDOWS\Explorer.EXE
C:\WINDOWS\System32\nmryaph.exe
C:\WINDOWS\System32\hpdllhost.exe
C:\Programme\Internet Explorer\iexplore.exe
C:\WINDOWS\System32\ggynfgb.exe
C:\WINDOWS\mHotkey.exe
C:\Programme\BillP Studios\WinPatrol\WinPatrol.exe
C:\WINDOWS\system32\slserv.exe
C:\WINDOWS\System32\svchost.exe
C:\PROGRA~1\COOLSPOT\PERSON~1\PID.EXE
C:\Programme\Telekom\Eumex 504PC SE\Capictrl.exe
C:\Programme\Netscape\Netscape\Netscp.exe
C:\Programme\Telekom\Eumex 504PC SE\HNetCtrl.exe
C:\Dokumente und Einstellungen\Tolew\Eigene Dateien\CLEANER1.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.yahoo.de/
R0 - HKLM\Software\Microsoft\Internet Explorer\Search,CustomizeSearch =
R0 - HKLM\Software\Microsoft\Internet Explorer\Search,SearchAssistant =
R3 - URLSearchHook: _URLHandler - {7FF23285-DBBC-49B6-818C-34AC459D5BB3} - C:\WINDOWS\system32\pidd.dll
O2 - BHO: (no name) - {00000000-0000-0000-8835-3EFF76BF2657} - C:\WINDOWS\System32\kw3eef76.dll
O2 - BHO: (no name) - {00000000-0000-0000-BFA1-D7EE6696B865} - C:\WINDOWS\System32\icdd7ee6.dll
O2 - BHO: (no name) - {00000000-0000-41a3-98CF-00000000168B} - C:\WINDOWS\System32\wm41a398.dll
O2 - BHO: (no name) - {00000000-0000-47c5-A90F-2CDE8F7638DB} - C:\WINDOWS\System32\iel2cde8.dll
O2 - BHO: (no name) - {000E6ED5-E3FC-4c93-99E9-D38D2A9F9B09} - C:\WINDOWS\System32\he3e3fc4.dll
O2 - BHO: (no name) - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Programme\Adobe\Acrobat 6.0\Reader\ActiveX\AcroIEHelper.dll
O2 - BHO: (no name) - {3BC2C2D1-758E-4912-BED2-AE50DE69E8AF} - (no file)
O3 - Toolbar: (no name) - {3F6BA537-9493-44c0-8E1B-8AF59CC2BF33} - C:\WINDOWS\System32\ba949344.dll
O3 - Toolbar: (no name) - {F61CAB7A-1E02-4cc2-8832-54B5AB28601D} - C:\WINDOWS\System32\rd1e024c.dll
O3 - Toolbar: (no name) - {C84F7AEA-636B-4882-AD5D-56A1DC837FE1} - C:\WINDOWS\System32\hpc84f7a.dll
O3 - Toolbar: (no name) - {EFEE6B59-ADDB-40eb-BA2C-AF860F5B42B5} - C:\WINDOWS\System32\readdb40.dll
O3 - Toolbar: (no name) - {28A19C3E-91E4-4bca-A623-BAF3C43C4F49} - C:\WINDOWS\System32\si91e44b.dll
O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINDOWS\System32\msdxm.ocx
O3 - Toolbar: (no name) - {223405EC-01F9-48a2-BDBB-D519913E2765} - C:\WINDOWS\System32\li01f948.dll
O4 - HKLM\..\Run: [nssysconf] C:\WINDOWS\System32\nmryaph.exe
O4 - HKLM\..\Run: [000hpdllhost] C:\WINDOWS\System32\hpdllhost.exe
O4 - HKLM\..\Run: [readdb40] rundll32.exe C:\WINDOWS\System32\readdb40.dll,EnableRunDLL32
O4 - HKLM\..\Run: [he3e3fc4] rundll32.exe C:\WINDOWS\System32\he3e3fc4.dll,EnableRunDLL32
O4 - HKLM\..\Run: [si91e44b] rundll32.exe C:\WINDOWS\System32\si91e44b.dll,EnableRunDLL32
O4 - HKLM\..\Run: [hpsysconf] C:\WINDOWS\System32\ggynfgb.exe
O4 - HKLM\..\Run: [CHotKey] mHotkey.exe
O4 - HKLM\..\Run: [wm41a398] rundll32.exe C:\WINDOWS\System32\wm41a398.dll,EnableRunDLL32
O4 - HKLM\..\Run: [WinPatrol] C:\Programme\BillP Studios\WinPatrol\WinPatrol.exe
O4 - HKLM\..\Run: [EumexInst] "D:\Setup.exe"
O4 - HKLM\..\Run: [kw3eef76] rundll32.exe C:\WINDOWS\System32\kw3eef76.dll,EnableRunDLL32
O4 - HKLM\..\Run: [iel2cde8] rundll32.exe C:\WINDOWS\System32\iel2cde8.dll,EnableRunDLL32
O4 - HKLM\..\Run: [icdd7ee6] rundll32.exe C:\WINDOWS\System32\icdd7ee6.dll,EnableRunDLL32
O4 - Global Startup: CAPIControl.lnk = ?
O4 - Global Startup: HomeNet Control.lnk = ?
O10 - Unknown file in Winsock LSP: c:\windows\system32\pidlsp.dll
O10 - Unknown file in Winsock LSP: c:\windows\system32\pidlsp.dll
O10 - Unknown file in Winsock LSP: c:\windows\system32\pidlsp.dll
O10 - Unknown file in Winsock LSP: c:\windows\system32\pidlsp.dll
O10 - Unknown file in Winsock LSP: c:\windows\system32\pidlsp.dll
O10 - Unknown file in Winsock LSP: c:\windows\system32\pidlsp.dll
O10 - Unknown file in Winsock LSP: c:\windows\system32\pidlsp.dll
O10 - Unknown file in Winsock LSP: c:\windows\system32\pidlsp.dll
O10 - Unknown file in Winsock LSP: c:\windows\system32\pidlsp.dll
O10 - Unknown file in Winsock LSP: c:\windows\system32\pidlsp.dll
O10 - Unknown file in Winsock LSP: c:\windows\system32\pidlsp.dll
O10 - Unknown file in Winsock LSP: c:\windows\system32\pidlsp.dll
O10 - Unknown file in Winsock LSP: c:\windows\system32\pidlsp.dll
O10 - Unknown file in Winsock LSP: c:\windows\system32\pidlsp.dll
O10 - Unknown file in Winsock LSP: c:\windows\system32\pidlsp.dll
O10 - Unknown file in Winsock LSP: c:\windows\system32\pidlsp.dll
O10 - Unknown file in Winsock LSP: c:\windows\system32\pidlsp.dll
O10 - Unknown file in Winsock LSP: c:\windows\system32\pidlsp.dll
O16 - DPF: {02BF25D5-8C17-4B23-BC80-D3488ABDDC6B} (QuickTime Object) - http://www.apple.com/qtactivex/qtplugin.cab
O16 - DPF: {11260943-421B-11D0-8EAC-0000C07D88CF} (iPIX ActiveX Control) - http://www.ipix.com/viewers/ipixx.cab
O16 - DPF: {3AF4DACE-36ED-42EF-9DFC-ADC34DA30CFF} (PatchInstaller.Installer) - file://D:\content\include\XPPatchInstaller.CAB
O16 - DPF: {74D05D43-3236-11D4-BDCD-00C04F9A3B61} (HouseCall-Kontrolle) - http://housecall.trendmicro-europe.c...ll/Xscan53.cab
O16 - DPF: {8B1BC605-C593-4865-8F5B-05517F0CD0BB} (MSSecurityAdvisorCD Class) - file://D:\Content\include\msSecUcd.cab

Hallo!

Dein System ist erheblich kompromittiert, das heißt, es befindet sich eine große Anzahl nicht definierter Schadsoftware auf deinem System. Ich sag es gleich vorweg: wenn es *mein* System wäre, würde ich es letztlich neu aufsetzen.

Wir sollten aber erstmal klären, was denn *sichtbar* bei dir aktiv ist. Prüf daher bitte zunächst einmal diese Dateien bei Kaspersky und poste dann hier die Scanergebnisse:

C:\WINDOWS\System32\nmryaph.exe
C:\WINDOWS\System32\hpdllhost.exe
C:\WINDOWS\System32\ggynfgb.exe

http://www.kaspersky.com/de/scanforvirus

Hallo,
ich als Laie, frage mich immer wieder, wie man aus so einem Wust von Dateien und Pfadangaben schädliche Teile herausfinden kann.
Kann mir da jemand mal nen Tip geben, wo lernt man sowas.
Gruss Barny (Unwissender)

Hallo,

danke erstmal.

Beider Datei C:\WINDOWS\System32\ggynfgb.exe
hat er folgendes gefunden:
ggynfgb.exeWarnungen: TrojanDownloader.Win32.Vivia

Bei den anderen nichts...

</font><blockquote>Zitat:</font><hr />ich als Laie, frage mich immer wieder, wie man aus so einem Wust von Dateien und Pfadangaben schädliche Teile herausfinden kann.
Kann mir da jemand mal nen Tip geben, wo lernt man sowas</font>[/QUOTE]Ganz einfach: Dateien, die sich in Windowsordnern befinden und nicht zu Windows gehören sind als verdächtig einzustufen. Vor allem, wenn sie resident laufen!
Google spuckt dann meist auch ein nettes Suchergebnis zu dieser Datei aus.

Gut - und woher weiss ich, dass diese Dateien nicht zu Windows gehören bzw. resisdent laufen ????

Hallo nochmal,
ich hab mal HijackThis durchlaufen lassen und folgende Angaben bekommen:
**************************************************************

Logfile of HijackThis v1.97.7
Scan saved at 17:33:00, on 18.05.2004
Platform: Windows XP SP1 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP1 (6.00.2800.1106)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\csrss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\System32\Ati2evxx.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\spoolsv.exe
C:\Programme\0190 Warner\w0svc.exe
C:\Programme\AVPersonal\AVGUARD.EXE
C:\Programme\AVPersonal\AVWUPSRV.EXE
C:\Programme\Convar\TaskManager\ctm.exe
C:\WINDOWS\System32\GEARSec.exe
C:\Programme\Gemeinsame Dateien\Microsoft Shared\VS7Debug\mdm.exe
C:\Programme\PowerQuest\Drive Image 7.0\Agent\PQV2iSvc.exe
C:\WINDOWS\system32\ZoneLabs\vsmon.exe
C:\WINDOWS\system32\Ati2evxx.exe
C:\WINDOWS\Explorer.EXE
C:\Programme\ATI Technologies\ATI Control Panel\atiptaxx.exe
C:\PROGRA~1\ZONELA~1\ZONEAL~1\zlclient.exe
C:\PROGRA~1\0190WA~1\WARN0190.EXE
C:\Programme\AVPersonal\AVGNT.EXE
C:\Programme\Medion\PowerCinema\PCMService.exe
C:\Programme\Gemeinsame Dateien\Real\Update_OB\realsched.exe
C:\Programme\a2\a2guard.exe
C:\WINDOWS\SOUNDMAN.EXE
C:\PROGRA~1\COMMON~1\X10\Common\x10nets.exe
C:\Programme\OnlineCounter 2004\OnlineCounter.exe
C:\WINDOWS\system32\csrss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\Ati2evxx.exe
C:\WINDOWS\Explorer.EXE
C:\Programme\ATI Technologies\ATI Control Panel\atiptaxx.exe
C:\PROGRA~1\ZONELA~1\ZONEAL~1\zlclient.exe
C:\PROGRA~1\0190WA~1\WARN0190.EXE
C:\Programme\AVPersonal\AVGNT.EXE
C:\Programme\Gemeinsame Dateien\Real\Update_OB\realsched.exe
C:\Programme\a2\a2guard.exe
C:\Programme\OnlineCounter 2004\OnlineCounter.exe
C:\Downloads\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.web.de/
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://www.medion.com/
R1 - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings,AutoConfigURL = http://127.0.0.1:8080/proxyconf
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Local Page =
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Local Page =
O2 - BHO: (no name) - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Programme\Adobe\Acrobat 6.0\Reader\ActiveX\AcroIEHelper.dll
O2 - BHO: (no name) - {53707962-6F74-2D53-2644-206D7942484F} - C:\Programme\Spybot - Search & Destroy\SDHelper.dll
O2 - BHO: (no name) - {A5366673-E8CA-11D3-9CD9-0090271D075B} - C:\PROGRA~1\FlashGet\jccatch.dll
O2 - BHO: (no name) - {AA58ED58-01DD-4d91-8333-CF10577473F7} - c:\programme\google\googletoolbar2.dll
O3 - Toolbar: FlashGet Bar - {E0E899AB-F487-11D5-8D29-0050BA6940E3} - C:\PROGRA~1\FlashGet\fgiebar.dll
O3 - Toolbar: &Google - {2318C2B1-4965-11d4-9B18-009027A5CD4F} - c:\programme\google\googletoolbar2.dll
O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINDOWS\System32\msdxm.ocx
O4 - HKLM\..\Run: [VOBRegCheck] C:\WINDOWS\System32\VOBREGCheck.exe -CheckReg
O4 - HKLM\..\Run: [ATIPTA] C:\Programme\ATI Technologies\ATI Control Panel\atiptaxx.exe
O4 - HKLM\..\Run: [Zone Labs Client] C:\PROGRA~1\ZONELA~1\ZONEAL~1\zlclient.exe
O4 - HKLM\..\Run: [KernelFaultCheck] %systemroot%\system32\dumprep 0 -k
O4 - HKLM\..\Run: [0190 Warner] C:\PROGRA~1\0190WA~1\WARN0190.EXE
O4 - HKLM\..\Run: [AVGCtrl] C:\Programme\AVPersonal\AVGNT.EXE /min
O4 - HKLM\..\Run: [FinePrint Dispatcher v5] "C:\WINDOWS\System32\spool\DRIVERS\W32X86\3\fpdisp5a.exe" /runonce
O4 - HKLM\..\Run: [PCMService] "C:\Programme\Medion\PowerCinema\PCMService.exe"
O4 - HKLM\..\Run: [TkBellExe] "C:\Programme\Gemeinsame Dateien\Real\Update_OB\realsched.exe" -osboot
O4 - HKCU\..\Run: [a²] "C:\Programme\a2\a2guard.exe"
O4 - HKCU\..\Run: [Soundman] C:\WINDOWS\SOUNDMAN.EXE
O4 - Startup: OnlineCounter 2004-Autostart.lnk = C:\Programme\OnlineCounter 2004\OnlineCounter-Autostart.exe
O8 - Extra context menu item: &Google Search - res://c:\programme\google\GoogleToolbar2.dll/cmsearch.html
O8 - Extra context menu item: Alles mit FlashGet laden - C:\PROGRA~1\FlashGet\jc_all.htm
O8 - Extra context menu item: Backward &Links - res://c:\programme\google\GoogleToolbar2.dll/cmbacklinks.html
O8 - Extra context menu item: Cac&hed Snapshot of Page - res://c:\programme\google\GoogleToolbar2.dll/cmcache.html
O8 - Extra context menu item: Mit FlashGet laden - C:\PROGRA~1\FlashGet\jc_link.htm
O8 - Extra context menu item: Si&milar Pages - res://c:\programme\google\GoogleToolbar2.dll/cmsimilar.html
O9 - Extra 'Tools' menuitem: Sun Java Konsole (HKLM)
O9 - Extra button: Real.com (HKLM)
O9 - Extra button: FlashGet (HKLM)
O9 - Extra 'Tools' menuitem: &FlashGet (HKLM)
O9 - Extra button: MedionShop (HKCU)
O14 - IERESET.INF: START_PAGE_URL=http://www.medion.com/
O16 - DPF: {74D05D43-3236-11D4-BDCD-00C04F9A3B61} (HouseCall-Kontrolle) - http://housecall.trendmicro-europe.c...ll/Xscan53.cab
O16 - DPF: {9F1C11AA-197B-4942-BA54-47A8489BB47F} (Update Class) - http://v4.windowsupdate.microsoft.co...657.0299189815
O16 - DPF: {D27CDB6E-AE6D-11CF-96B8-444553540000} (Shockwave Flash Object) - http://download.macromedia.com/pub/s...sh/swflash.cab

*********************************************************************
Gibt´s da etwas verdächtiges/schädliches, was ihr Profis da erkennt.
Würd mich freuen, wenn sich da mal jemand reinliest.
Gruss
Barny
[img]graemlins/knuddel.gif[/img]

</font><blockquote>Zitat:</font><hr /> Gut - und woher weiss ich, dass diese Dateien nicht zu Windows gehören bzw. resisdent laufen ????
</font>[/QUOTE]nunja standart prozesse lernt man mit der zeit wenn man sich sowas mal anschaut

allerdings muss man da aufpassen svchost.exe zbsp gehoert zum system svshost.exe nicht
zu den sachen die zum sys gehoern kennt google eigentlich immer n link
wenn du dann mal ne exe findest die google schon nicht kennt - du auch nicht - und die im system ordner liegt ist da meist was faul

so zum log habs ma überflogen bin ja kein profi
also eine sache is mir noch aufgefallen:
</font><blockquote>Zitat:</font><hr /> O3 - Toolbar: FlashGet Bar - {E0E899AB-F487-11D5-8D29-0050BA6940E3} - C:\PROGRA~1\FlashGet\fgiebar.dll
8 - Extra context menu item: Alles mit FlashGet laden - C:\PROGRA~1\FlashGet\jc_all.htm
O8 - Extra context menu item: Mit FlashGet laden - C:\PROGRA~1\FlashGet\jc_link.htm
O9 - Extra button: FlashGet (HKLM)
O9 - Extra 'Tools' menuitem: &FlashGet (HKLM)
</font>[/QUOTE]flashget wird als spyware von u.a. pestpatrol erkannt hab mich dazu nu nich mehr schlauer gemacht musst ma schaun solltest was zu finden können wennss nich gewollt ist kanns raus


</font><blockquote>Zitat:</font><hr />O14 - IERESET.INF: START_PAGE_URL=http://www.medion.com/ </font>[/QUOTE]"If the URL is not the provider of your computer or your ISP, have HijackThis fix it."
das meint das tutorial von HjT dazu

soweit
Thomas

Wenn ich noch nicht total bescheuert bin, laufen bei dir zwei Scanner resident!?
</font><blockquote>Zitat:</font><hr />C:\Programme\AVPersonal\AVGUARD.EXE
C:\Programme\a2\a2guard.exe</font>[/QUOTE]Einen deaktivieren!

Was ist das?
</font><blockquote>Zitat:</font><hr />C:\PROGRA~1\COMMON~1\X10\Common\x10nets.exe</font>[/QUOTE]Ich hab' jetzt leider nicht so viel Zeit!
Wird schon!

</font><blockquote>Zitat:</font><hr />nunja standart prozesse lernt man mit der zeit wenn man sich sowas mal anschaut</font>[/QUOTE]So isses!

Viel Glück noch!

Hallo,
hab Antivir PE + A² (A-squared ehemals YAW Dialerschutz)parallel am laufen.
Spricht etwas dagegen ????

C:\PROGRA~1\COMMON~1\X10\Common\x10nets.exe
Keine Ahnung was das sein könnte

Gibt es sonst noch was verdächtiges in meiner Log-File ???
Gruss
Barny

</font><blockquote>Zitat:</font><hr />Original erstellt von IT-Man:
</font><blockquote>Zitat:</font><hr />C:\PROGRA~1\COMMON~1\X10\Common\x10nets.exe</font>[/QUOTE]Ich hab' jetzt leider nicht so viel Zeit!
Wird schon! </font>[/QUOTE]ATI Radeon All In Wonder Remotesteuerung
Solltest du einer derartige Karte mit Fernbedienung haben, lass diesen Treiber aktiviert, sonst funktioniert die Fernbedienung nicht mehr.
Para