Hallo,
ich habe XP SP1 und einen DSL-Router mit fest integrierter, recht fähiger FW (SPI ect.)

Heute bekam ich beim Surfen plötzlich eine Windows-Meldung über ein ausgeführtes Java-Script und der Spyware acpStelth.cih. Ich wunderte mich noch über die Meldung, weil sie nicht von meiner Hardware-FW oder Virenscanner kam, sondern von Windows (so große Sicherheitsfortschritte von Bill !?). Als erstes habe ich dann den Cache gelöscht. Da ich JavaScript bei meinem Mozilla 1.6 tatsächlich aktiviert hatte und wenig später die Meldung "Neue Programme gefunden" kam, war ich überzeugt, mir tatsächlich irgendeine Spyware eingefangen zu haben.

Allerdings findet weder Spybot, noch der Virenscanner noch das gute Hundchen irgendwas. Die Ereignisanzeige zeigt auch nichts Auffälliges. Registry auch nicht.

Google bringt nur einen einzigen interessanten Treffer aus einem englischen Forum, in dem es heisst, das sei nur ein Java-Script-Popup, das einem bei Klick auf O.K. (was ich nicht tat) im weiteren dann zum Download eines Programmes zur Beseitigung überreden wolle.

Aber wie kommt dann die Meldung über neu installierte Programme zustande?
Ich habe zwar gestern SmartFTP installiert, aber warum sollte diese Sache heute nochmal und ausgerechnet während des Surfens, genau zum Zeitpunkt der Spyware-Meldung erscheinen?

Was meint ihr?

Lade dir HijackThis runter
http://www.trojaner-board.de/51130-a...ijackthis.html

und poste das log hier

Was ist denn das für ein Programm? Noch schlauer als Spybot?

Das Programm zeigt welche Prozesse laufen und welche prozesse beim systemstart geladen werden, sowie andere für uns hilfreiche dinge, wie z.B. die Version des Betriebssystems.

Hat ein wenig gedauert...
Ich habe das logfile vor ca. 30 Minuten erstellt.
Offenbar sind das unter "01" Sexseiten, ich war aber schon einige Zeit mehr auf keiner, ehrlich.
Ich habe XP SP1 und alle wichtigen Patches immer regelmäßig installiert. An Störungen habe ich die ganze Woche seit meinem ersten Posting nichts gemerkt. Allerdings ist über meinem Freemailer offenbar eine E-Mail verschickt worden, die ich definitv nicht verschickt habe, im Anhang eine octet-stream.

Logfile of HijackThis v1.98.2
Scan saved at 12:40:39, on 01.11.2004
Platform: Windows XP SP1 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP1 (6.00.2800.1106)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\spoolsv.exe
C:\WINDOWS\Explorer.EXE
C:\WINDOWS\Nhksrv.exe
C:\Programme\AntiVirenKit professional\AVKService.exe
C:\Programme\AntiVirenKit professional\AVKWCtl.exe
C:\WINDOWS\System32\hkcmd.exe
C:\PROGRA~1\T-DSLS~1\SpeedMgr.exe
C:\Programme\mozilla16.org\Mozilla16\Mozilla.exe
C:\Programme\Gemeinsame Dateien\Microsoft Shared\Works Shared\wkcalrem.exe
C:\Programme\T-DSL SpeedManager\tsmsvc.exe
C:\Programme\phase5\htmledit.exe
C:\Programme\LeechGet 2004\LeechGet.exe
C:\Programme\Internet Explorer\iexplore.exe
C:\Download\HijackThis.exe

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://www.euro.dell.com/countries/d...en/default.htm
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://www.euro.dell.com/countries/d...en/default.htm
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.euro.dell.com/countries/d...en/default.htm
R1 - HKLM\Software\Microsoft\Internet Explorer\Search,Default_Search_URL = http://www.runsearch.com/search.html
R0 - HKLM\Software\Microsoft\Internet Explorer\Search,SearchAssistant =
R0 - HKLM\Software\Microsoft\Internet Explorer\Search,CustomizeSearch =
R1 - HKCU\Software\Microsoft\Internet Explorer\SearchURL,(Default) = about:blank
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Local Page =
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Local Page =
R1 - HKCU\Software\Microsoft\Internet Connection Wizard,ShellNext = http://www.symantec.com/techsupp/oem
O1 - Hosts: 65.77.83.222 madthumbs.com
O1 - Hosts: 65.77.83.222 worldsex.com
O1 - Hosts: 65.77.83.222 teeniefiles.com
O1 - Hosts: 65.77.83.222 sublimedirectory.com
O1 - Hosts: 65.77.83.222 thumbzilla.com
O1 - Hosts: 65.77.83.222 sexocean.com
O1 - Hosts: 65.77.83.222 easypic.com
O1 - Hosts: 65.77.83.222 absolut-series.com
O1 - Hosts: 65.77.83.222 jpeg4free.com
O1 - Hosts: 65.77.83.222 thumbnailpost.com
O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Programme\Adobe\Acrobat 5.0\Reader\ActiveX\AcroIEHelper.ocx
O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINDOWS\System32\msdxm.ocx
O4 - HKLM\..\Run: [IgfxTray] C:\WINDOWS\System32\igfxtray.exe
O4 - HKLM\..\Run: [HotKeysCmds] C:\WINDOWS\System32\hkcmd.exe
O4 - HKLM\..\Run: [WorksFUD] C:\Programme\Microsoft Works\wkfud.exe
O4 - HKLM\..\Run: [Microsoft Works Portfolio] C:\Programme\Microsoft Works\WksSb.exe /AllUsers
O4 - HKLM\..\Run: [KernelFaultCheck] %systemroot%\system32\dumprep 0 -k
O4 - HKLM\..\Run: [T-DSL SpeedMgr] "C:\PROGRA~1\T-DSLS~1\SpeedMgr.exe"
O4 - HKCU\..\Run: [Mozilla Quick Launch] "C:\Programme\mozilla16.org\Mozilla16\Mozilla.exe" -turbo
O4 - Global Startup: cleanup.lnk = C:\cleanup.cmd
O4 - Global Startup: Erinnerungen in Microsoft Works-Kalender.lnk = ?
O8 - Extra context menu item: Mit dem LeechGet Wizard laden - file://C:\Programme\LeechGet 2004\\Wizard.html
O8 - Extra context menu item: Mit LeechGet herunterladen - file://C:\Programme\LeechGet 2004\\AddUrl.html
O8 - Extra context menu item: Mit LeechGet parsen - file://C:\Programme\LeechGet 2004\\Parser.html
O8 - Extra context menu item: Zur Filterliste hinzufügen (WebWasher) - http://-Web.Washer-/ie_add
O9 - Extra button: Related - {c95fe080-8f5d-11d2-a20b-00aa003c157a} - C:\WINDOWS\web\related.htm
O9 - Extra 'Tools' menuitem: Show &Related Links - {c95fe080-8f5d-11d2-a20b-00aa003c157a} - C:\WINDOWS\web\related.htm
O13 - DefaultPrefix:
O13 - WWW Prefix:
O16 - DPF: {6414512B-B978-451D-A0D8-FCFDF33E833C} (WUWebControl Class) - http://v5.windowsupdate.microsoft.co...?1095676347796

Hallo, Martin,
folgendes im abgesicherten Modus fixen:
R1 - HKLM\Software\Microsoft\Internet Explorer\Search,Default_Search_URL = http://www.runsearch.com/search.html
O1 - Hosts: 65.77.83.222 madthumbs.com
O1 - Hosts: 65.77.83.222 worldsex.com
O1 - Hosts: 65.77.83.222 teeniefiles.com
O1 - Hosts: 65.77.83.222 sublimedirectory.com
O1 - Hosts: 65.77.83.222 thumbzilla.com
O1 - Hosts: 65.77.83.222 sexocean.com
O1 - Hosts: 65.77.83.222 easypic.com
O1 - Hosts: 65.77.83.222 absolut-series.com
O1 - Hosts: 65.77.83.222 jpeg4free.com
O1 - Hosts: 65.77.83.222 thumbnailpost.com
O9 - Extra button: Related - {c95fe080-8f5d-11d2-a20b-00aa003c157a} - C:\WINDOWS\web\related.htm
O9 - Extra 'Tools' menuitem: Show &Related Links - {c95fe080-8f5d-11d2-a20b-00aa003c157a} - C:\WINDOWS\web\related.htm
O13 - DefaultPrefix:
O13 - WWW Prefix

Folgende Datei manuell löschen:
C:\WINDOWS\web\related.htm

Weiterhin empfehle ich, ebenfalls im abgesicherten Modus einen eScan durchzuführen. Lies Dir den Link genau durch!
Weiterhin solltest Du Dein System updaten, incl. IE (wenn du ihn denn schon benutzt).
Anschließend neues Logfile posten und für die Zukunft das Surfverhalten ein bißchen überdenken.
cacatoa