Trojaner-Board - HJT.log / Problem mit der Startseite

Trojaner-Board (https://www.trojaner-board.de/)

- Log-Analyse und Auswertung (https://www.trojaner-board.de/log-analyse-auswertung/)

- - HJT.log / Problem mit der Startseite (https://www.trojaner-board.de/13000-hjt-log-problem-startseite.html)

HJT.log / Problem mit der Startseite

Jedesmal wenn ich Internetexplorer starte lande ich auf about:blank mit einer Seite mit "Search for...."Optionen.

Habe schon spy-bot, ad-aware, cwsshredder laufen lassen, ohne irgendwelche nennenswerte Ergebnisse,
Hier mein HJT.log:

ogfile of HijackThis v1.99.0
Scan saved at 12:38:36, on 30.01.05
Platform: Windows 98 SE (Win9x 4.10.2222A)
MSIE: Internet Explorer v6.00 SP1 (6.00.2800.1106)

Running processes:
C:\WINDOWS\SYSTEM\KERNEL32.DLL
C:\WINDOWS\SYSTEM\MSGSRV32.EXE
C:\WINDOWS\SYSTEM\MPREXE.EXE
C:\PROGRAMME\NORTON PERSONAL FIREWALL\NISSERV.EXE
C:\WINDOWS\SYSTEM\mmtask.tsk
C:\PROGRAMME\NORTON PERSONAL FIREWALL\NISUM.EXE
C:\PROGRAMME\NORTON PERSONAL FIREWALL\SYMPROXYSVC.EXE
C:\WINDOWS\EXPLORER.EXE
C:\PROGRAMME\NORTON PERSONAL FIREWALL\IAMAPP.EXE
C:\PROGRAMME\INTERNET EXPLORER\IEXPLORE.EXE
C:\WINDOWS\SYSTEM\DDHELP.EXE
C:\WINDOWS\DESKTOP\HIJACKTHIS.EXE

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Bar = res://C:\WINDOWS\TEMP\sp.dll/sp.html
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = about:blank
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Bar = res://C:\WINDOWS\TEMP\sp.dll/sp.html
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = about:blank
R1 - HKCU\Software\Microsoft\Internet Explorer\Search,SearchAssistant = about:blank
R0 - HKLM\Software\Microsoft\Internet Explorer\Search,SearchAssistant = about:blank
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,HomeOldSP = about:blank
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,HomeOldSP = about:blank
O2 - BHO: (no name) - {3284E902-7258-11D9-B658-00E0F2D85F26} - C:\WINDOWS\SYSTEM\FGL.DLL
O4 - HKLM\..\Run: [iamapp] C:\Programme\Norton Personal Firewall\IAMAPP.EXE
O4 - HKLM\..\RunServices: [nisserv] C:\Programme\Norton Personal Firewall\NISSERV.EXE
O18 - Filter: text/html - {3284E901-7258-11D9-B658-00E0020AC151} - C:\WINDOWS\SYSTEM\FGL.DLL
O18 - Filter: text/plain - {3284E901-7258-11D9-B658-00E0020AC151} - C:\WINDOWS\SYSTEM\FGL.DLL

Des weiteren habe ich SpHifix drüberlaufen lassen, aber anscheinend ist mein PC damit nicht identifiziert.

Ich hoffe mir kann geholfen werden.

ahja da sind ja nicht grad viele startupprogramme drauf (ok ich hab garkeine im autostart oder run eintrag)
dann mach mal das:
1.escan
-lade dir escan runter und gehe genau nach dieser anleitung vor

2.einträge löschen
-fixe mit hijackthis diese einträge:
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Bar = res://C:\WINDOWS\TEMP\sp.dll/sp.html
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Bar = res://C:\WINDOWS\TEMP\sp.dll/sp.html
O2 - BHO: (no name) - {3284E902-7258-11D9-B658-00E0F2D85F26} - C:\WINDOWS\SYSTEM\FGL.DLL
O18 - Filter: text/html - {3284E901-7258-11D9-B658-00E0020AC151} - C:\WINDOWS\SYSTEM\FGL.DLL
O18 - Filter: text/plain - {3284E901-7258-11D9-B658-00E0020AC151} - C:\WINDOWS\SYSTEM\FGL.DLL

3.dateien löschen
-lösche die datei FGL.DLL im ordner c:\windows\system
-lösche natürlich auch alle von escan beanstandeten dateien (alle infected)
(falls die dateien nicht angezeigt werden gehe so vor:
klicke auf extras, dann auf ordneroptionen
klicke auf ansicht
mach den haken bei "geschützte systemdateien ausblenden" weg
mach nen haken bei "inhalte von systemordnern anzeigen" hin
selektiere "alle dateien und ordner anzeigen")

4.ergebnisse
-gehe wieder in den normalen modus
-öffne die datei mwav.log,klicke auf bearbeiten dann auf suchen
-gebe infected ein
-suche weiter,markiere die treffer und kopiere sie ins forum
-poste ein neues hijackthis log

habe alle schritte wiebeschrieben befolgt, außer, dass ich fgl.dll in win/sys nicht habe löschen können, da nicht existent (habe auch alle sys dateien und verstrecke dateien aufzeigen lassen)

mwav.log: fast endlos "infected"

Sun Jan 30 00:59:47 2005 => File C:\WINDOWS\aconti.exe infected by "not-a-virus:Porn-Dialer.Win32.ALifeDialer" Virus. Action Taken: No Action Taken.

Sun Jan 30 00:59:53 2005 => File C:\WINDOWS\printers.exe infected by "TrojanDownloader.Win32.Small.es" Virus. Action Taken: No Action Taken.

Sun Jan 30 01:01:17 2005 => File C:\WINDOWS\SYSTEM\cako.dll infected by "Trojan.Win32.StartPage.ix" Virus. Action Taken: No Action Taken.

Sun Jan 30 01:01:55 2005 => File C:\WINDOWS\SYSTEM\ia.dll infected by "not-a-virus:Porn-Dialer.Win32.IA" Virus. Action Taken: No Action Taken.

Sun Jan 30 01:01:55 2005 => File C:\WINDOWS\SYSTEM\EGDHTML_1030.dll infected by "TrojanDownloader.Win32.Wintrim.y" Virus. Action Taken: No Action Taken.

Sun Jan 30 01:01:56 2005 => File C:\WINDOWS\SYSTEM\surte.exe infected by "TrojanDropper.Win32.Small.dv" Virus. Action Taken: No Action Taken.

Sun Jan 30 01:01:56 2005 => File C:\WINDOWS\SYSTEM\istinstall_mpb1126.exe infected by "TrojanDownloader.Win32.IstBar.by" Virus. Action Taken: No Action Taken.

Sun Jan 30 01:02:25 2005 => File C:\WINDOWS\TEMP\istdnld.exe infected by "TrojanDownloader.Win32.IstBar.bx" Virus. Action Taken: No Action Taken.

Sun Jan 30 01:02:26 2005 => File C:\WINDOWS\TEMP\II22.exe infected by "not-a-virus:AdWare.180Solutions" Virus. Action Taken: No Action Taken.

Sun Jan 30 01:02:47 2005 => File C:\WINDOWS\TEMP\sp.dll infected by "Trojan.Win32.StartPage.qr" Virus. Action Taken: No Action Taken.

Sun Jan 30 01:02:48 2005 => File C:\WINDOWS\TEMP\backups\backup-20050128-194429-827.dll infected by "Trojan.Win32.StartPage.ix" Virus.
Action Taken: No Action Taken.

Sun Jan 30 01:04:13 2005 => File C:\WINDOWS\LOCALS~1\TEMPOR~1\CONTENT.IE5\1L5SL7HG\frame[1].htm infected by "Trojan.JS.Seeker" Virus. Action Taken: No Action Taken.

Sun Jan 30 01:04:23 2005 => File C:\WINDOWS\LOCALS~1\TEMPOR~1\CONTENT.IE5\STYN8XYB\1[1].htm infected by "Exploit.HTML.Mht" Virus. Action Taken: No Action Taken.

Sun Jan 30 01:04:45 2005 => File C:\WINDOWS\LOCALS~1\TEMPOR~1\CONTENT.IE5\W1UZSTAB\enter[1].htm infected by "Trojan-Downloader.JS.Psyme.ae" Virus. Action Taken: No Action Taken.

Sun Jan 30 11:33:50 2005 => File C:\WINDOWS\aconti.exe infected by "not-a-virus:Porn-Dialer.Win32.ALifeDialer" Virus. Action Taken: No Action Taken.

Sun Jan 30 11:33:56 2005 => File C:\WINDOWS\printers.exe infected by "TrojanDownloader.Win32.Small.es" Virus. Action Taken: No Action Taken.

Sun Jan 30 11:35:21 2005 => File C:\WINDOWS\SYSTEM\cako.dll infected by "Trojan.Win32.StartPage.ix" Virus. Action Taken: No Action Taken.

usw...

hier das hjt.log file:

Logfile of HijackThis v1.99.0
Scan saved at 14:22:02, on 30.01.05
Platform: Windows 98 SE (Win9x 4.10.2222A)
MSIE: Internet Explorer v6.00 SP1 (6.00.2800.1106)

Running processes:
C:\WINDOWS\SYSTEM\KERNEL32.DLL
C:\WINDOWS\SYSTEM\MSGSRV32.EXE
C:\WINDOWS\SYSTEM\MPREXE.EXE
C:\WINDOWS\SYSTEM\mmtask.tsk
C:\PROGRAMME\NORTON PERSONAL FIREWALL\NISSERV.EXE
C:\PROGRAMME\NORTON PERSONAL FIREWALL\NISUM.EXE
C:\WINDOWS\EXPLORER.EXE
C:\PROGRAMME\NORTON PERSONAL FIREWALL\SYMPROXYSVC.EXE
C:\PROGRAMME\NORTON PERSONAL FIREWALL\IAMAPP.EXE
C:\PROGRAMME\INTERNET EXPLORER\IEXPLORE.EXE
C:\WINDOWS\SYSTEM\DDHELP.EXE
C:\WINDOWS\DESKTOP\HIJACKTHIS.EXE

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = about:blank
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = about:blank
R1 - HKCU\Software\Microsoft\Internet Explorer\Search,SearchAssistant = about:blank
R0 - HKLM\Software\Microsoft\Internet Explorer\Search,SearchAssistant = about:blank
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,HomeOldSP = about:blank
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,HomeOldSP = about:blank
O4 - HKLM\..\Run: [iamapp] C:\Programme\Norton Personal Firewall\IAMAPP.EXE
O4 - HKLM\..\RunServices: [nisserv] C:\Programme\Norton Personal Firewall\NISSERV.EXE

suche weiterhin nach einer lsg :heulen:

usw reicht nicht aus,wir müssen schon das ganze Log vom escan sehn,wenn es zu lang wird teile es eben auf!

Sun Jan 30 11:36:02 2005 => File C:\WINDOWS\SYSTEM\ia.dll infected by "not-a-virus:Porn-Dialer.Win32.IA" Virus. Action Taken: No Action Taken.

Sun Jan 30 11:36:02 2005 => File C:\WINDOWS\SYSTEM\EGDHTML_1030.dll infected by "TrojanDownloader.Win32.Wintrim.y" Virus. Action Taken: No Action Taken.

Sun Jan 30 11:36:03 2005 => File C:\WINDOWS\SYSTEM\surte.exe infected by "TrojanDropper.Win32.Small.dv" Virus. Action Taken: No Action Taken.

Sun Jan 30 11:36:03 2005 => File C:\WINDOWS\SYSTEM\istinstall_mpb1126.exe infected by "TrojanDownloader.Win32.IstBar.by" Virus. Action Taken: No Action Taken.

Sun Jan 30 11:36:31 2005 => File C:\WINDOWS\TEMP\istdnld.exe infected by "TrojanDownloader.Win32.IstBar.bx" Virus. Action Taken: No Action Taken.

Sun Jan 30 11:36:31 2005 => File C:\WINDOWS\TEMP\II22.exe infected by "not-a-virus:AdWare.180Solutions" Virus. Action Taken: No Action Taken.

Sun Jan 30 11:36:53 2005 => File C:\WINDOWS\TEMP\sp.dll infected by "Trojan.Win32.StartPage.qr" Virus. Action Taken: No Action Taken.

Sun Jan 30 11:36:53 2005 => File C:\WINDOWS\TEMP\backups\backup-20050128-194429-827.dll infected by "Trojan.Win32.StartPage.ix" Virus. Action Taken: No Action Taken.

Sun Jan 30 11:38:15 2005 => File C:\WINDOWS\LOCALS~1\TEMPOR~1\CONTENT.IE5\1L5SL7HG\frame[1].htm infected by "Trojan.JS.Seeker" Virus. Action Taken: No Action Taken.

Sun Jan 30 11:38:25 2005 => File C:\WINDOWS\LOCALS~1\TEMPOR~1\CONTENT.IE5\STYN8XYB\1[1].htm infected by "Exploit.HTML.Mht" Virus. Action Taken: No Action Taken.

Sun Jan 30 11:38:43 2005 => File C:\WINDOWS\LOCALS~1\TEMPOR~1\CONTENT.IE5\W1UZSTAB\enter[1].htm infected by "Trojan-Downloader.JS.Psyme.ae" Virus. Action Taken: No Action Taken.

Sun Jan 30 11:38:50 2005 => File C:\WINDOWS\LOCALS~1\TEMPOR~1\CONTENT.IE5\I4EIT1DN\enter[1].htm infected by "Trojan-Downloader.JS.Psyme.ae" Virus. Action Taken: No Action Taken.

Sun Jan 30 11:40:16 2005 => File C:\WINDOWS\LOCALS~1\TEMPOR~1\CONTENT.IE5\GL6NS16B\adv156[1].php infected by "Exploit.HTML.Mht" Virus. Action Taken: No Action Taken.

Sun Jan 30 12:02:08 2005 => File C:\WINDOWS\TEMP\sp.dll infected by "Trojan.Win32.StartPage.qr" Virus. Action Taken: No Action Taken.

Sun Jan 30 12:02:08 2005 => File C:\WINDOWS\TEMP\II22.exe infected by "not-a-virus:AdWare.180Solutions" Virus. Action Taken: No Action Taken.

Sun Jan 30 12:02:31 2005 => File C:\WINDOWS\TEMP\backups\backup-20050128-194429-827.dll infected by "Trojan.Win32.StartPage.ix" Virus. Action Taken: No Action Taken.

Sun Jan 30 13:50:47 2005 => File C:\WINDOWS\TEMP\sp.dll infected by "Trojan.Win32.StartPage.qr" Virus. Action Taken: No Action Taken.

Sun Jan 30 13:50:48 2005 => File C:\WINDOWS\TEMP\II22.exe infected by "not-a-virus:AdWare.180Solutions" Virus. Action Taken: No Action Taken.

Sun Jan 30 13:51:10 2005 => File C:\WINDOWS\TEMP\backups\backup-20050128-194429-827.dll infected by "Trojan.Win32.StartPage.ix" Virus. Action Taken: No Action Taken.

das wären alle "infected" bei escan