Trojaner-Board - Pop Up "Only the best"

Trojaner-Board (https://www.trojaner-board.de/)

- Log-Analyse und Auswertung (https://www.trojaner-board.de/log-analyse-auswertung/)

- - Pop Up "Only the best" (https://www.trojaner-board.de/13305-pop-up-only-the-best.html)

Pop Up "Only the best"

hola loitz!!

beim surfen kommt entweder so ein "only the best" werbe pop up window und unter google irgendein "search search engines" window.

bin eher so ein pc newbie, soll heißen ich kann darauf arbeiten, aber wenn er nicht funzt, dann.... naja

weiß nicht mehr, was ich tun soll hier mein log file:

Logfile of HijackThis v1.99.0
Scan saved at 02:32:38, on 05.02.2005
Platform: Windows XP SP1 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP1 (6.00.2800.1106)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\Explorer.EXE
C:\WINDOWS\system32\spoolsv.exe
C:\Programme\philips\Philips 54Mbps Wireless USB Adapter Utility\PRISMSVR.EXE
C:\Programme\AVPersonal\AVGNT.EXE
C:\WINDOWS\System32\ctfmon.exe
C:\WINDOWS\System32\RUNDLL32.EXE
C:\PROGRA~1\PANICW~1\POP-UP~1\PSFree.exe
C:\Programme\Messenger\msmsgs.exe
C:\Programme\philips\Philips 54Mbps Wireless USB Adapter Utility\PHUSB11GMonitor.exe
C:\Programme\philips\Media Manager\Philips Media Manager.exe
C:\Programme\philips\Media Manager\Philips Media Manager.exe
C:\Programme\AVPersonal\AVGUARD.EXE
C:\Programme\AVPersonal\AVWUPSRV.EXE
C:\WINDOWS\System32\nvsvc32.exe
C:\Programme\Analog Devices\SoundMAX\SMAgent.exe
C:\WINDOWS\System32\MsPMSPSv.exe
C:\WINDOWS\system32\d3ia.exe
C:\WINDOWS\addbw.exe
E:\Some Stuff\Software\AV-Tools\hijackthis199\HijackThis.exe

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Bar = res://C:\WINDOWS\hfkka.dll/sp.html#89328
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = res://C:\WINDOWS\hfkka.dll/sp.html#89328
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = about:blank
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = res://C:\WINDOWS\hfkka.dll/sp.html#89328
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Bar = res://C:\WINDOWS\hfkka.dll/sp.html#89328
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = res://C:\WINDOWS\hfkka.dll/sp.html#89328
R1 - HKCU\Software\Microsoft\Internet Explorer\Search,SearchAssistant = res://C:\WINDOWS\hfkka.dll/sp.html#89328
R0 - HKLM\Software\Microsoft\Internet Explorer\Search,SearchAssistant = res://C:\WINDOWS\hfkka.dll/sp.html#89328
R1 - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings,ProxyOverride = localhost
R3 - Default URLSearchHook is missing
O2 - BHO: (no name) - {4757FF17-5931-EC45-9853-F6BB1F4B4ECD} - C:\WINDOWS\system32\ntdy.dll
O4 - HKLM\..\Run: [PRISMSVR.EXE] "C:\Programme\philips\Philips 54Mbps Wireless USB Adapter Utility\PRISMSVR.EXE" /APPLY
O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\System32\NvCpl.dll,NvStartup
O4 - HKLM\..\Run: [KernelFaultCheck] %systemroot%\system32\dumprep 0 -k
O4 - HKLM\..\Run: [QuickTime Task] "C:\Programme\QuickTime\qttask.exe" -atboottime
O4 - HKLM\..\Run: [AVGCtrl] C:\Programme\AVPersonal\AVGNT.EXE /min
O4 - HKLM\..\Run: [addbw.exe] C:\WINDOWS\addbw.exe
O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\ctfmon.exe
O4 - HKCU\..\Run: [NvMediaCenter] RUNDLL32.EXE C:\WINDOWS\System32\NVMCTRAY.DLL,NvTaskbarInit
O4 - HKCU\..\Run: [PopUpStopperFreeEdition] "C:\PROGRA~1\PANICW~1\POP-UP~1\PSFree.exe"
O4 - HKCU\..\Run: [MSMSGS] "C:\Programme\Messenger\msmsgs.exe" /background
O4 - Startup: Philips Media Manager.lnk = C:\Programme\philips\Media Manager\Philips Media Manager.exe
O4 - Global Startup: Philips Wireless USB Adapter 11g.lnk = C:\Programme\philips\Philips 54Mbps Wireless USB Adapter Utility\PHUSB11GMonitor.exe
O8 - Extra context menu item: Nach Microsoft &Excel exportieren - res://C:\PROGRA~1\MICROS~2\OFFICE11\EXCEL.EXE/3000
O9 - Extra button: Recherchieren - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - C:\PROGRA~1\MICROS~2\OFFICE11\REFIEBAR.DLL
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\MSMSGS.EXE
O9 - Extra 'Tools' menuitem: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\MSMSGS.EXE
O16 - DPF: {436EC169-63EC-4C02-8F7C-28B5EA787769} (PhonerDial Objekt) - http://81.3.27.15/webmail/modules/contact/PhonerDial.cab
O16 - DPF: {54B52E52-8000-4413-BD67-FC7FE24B59F2} (EARTPatchX Class) - http://files.ea.com/downloads/rtpatch/v2/EARTPX.cab
O16 - DPF: {6414512B-B978-451D-A0D8-FCFDF33E833C} (WUWebControl Class) - http://v5.windowsupdate.microsoft.com/v5consumer/V5Controls/en/x86/client/wuweb_site.cab?1092946890265
O16 - DPF: {9EB320CE-BE1D-4304-A081-4B4665414BEF} - http://www.mt-download.com/MediaTicketsInstaller.cab
O16 - DPF: {EF791A6B-FC12-4C68-99EF-FB9E207A39E6} (McFreeScan Class) - http://download.mcafee.com/molbin/iss-loc/vso/en-us/tools/mcfscan/2,0,0,4371/mcfscan.cab
O23 - Service: AntiVir Service - H+BEDV Datentechnik GmbH - C:\Programme\AVPersonal\AVGUARD.EXE
O23 - Service: AntiVir Update - H+BEDV Datentechnik GmbH, Germany - C:\Programme\AVPersonal\AVWUPSRV.EXE
O23 - Service: NVIDIA Display Driver Service - NVIDIA Corporation - C:\WINDOWS\System32\nvsvc32.exe
O23 - Service: Sound Loader - Analog Devices, Inc. - (no file)
O23 - Service: SoundMAX Agent Service - Analog Devices, Inc. - C:\Programme\Analog Devices\SoundMAX\SMAgent.exe
O23 - Service: Remote Procedure Call (RPC) Helper - Unknown - C:\WINDOWS\system32\d3ia.exe

für eure hilfe bin ich schon im voraus dankbar

greetz roli

Hallo,

Das eScan AntiVirus Toolkit Utility (mwav.exe) herunterladen, die Datei in den von dir erstellten Ordner "c:\bases" (wichtig !) entpacken und danach die "kavupd.exe" (Update) ausführen.
http://www.mwti.net/antivirus/free_utilities.asp

Wechsle in den abgesicherten Modus http://www.bsi.bund.de/av/texte/wiederher_xp.htm und mach folgendes:

Start -> Ausführen -> services.msc -> OK -> Rechtsklick auf Remote Procedure Call (RPC) Helper -> Eigenschaften -> "Starttyp" deaktiviert und "Dienststatus" beenden einstellen -> Übernehmen

Fixe diese Einträge (Haken setzen und auf Fix Checked klicken):

Alle R0, R1 und R3
O2 - BHO: (no name) - {4757FF17-5931-EC45-9853-F6BB1F4B4ECD} - C:\WINDOWS\system32\ntdy.dll
O4 - HKLM\..\Run: [addbw.exe] C:\WINDOWS\addbw.exe
Alle O16
O23 - Service: Remote Procedure Call (RPC) Helper - Unknown - C:\WINDOWS\system32\d3ia.exe

Lösche diese Dateien (Windows Explorer -> "Extras/Ordneroptionen" -> "Ansicht" -> Haken entfernen bei "Geschützte Systemdateien ausblenden (empfohlen)" und "Alle Dateien und Ordner anzeigen" aktivieren -> "OK"):

C:\WINDOWS\system32\ntdy.dll
C:\WINDOWS\addbw.exe
C:\WINDOWS\system32\d3ia.exe
C:\WINDOWS\hfkka.dll

- mit eScan scannen (den Scanner mit der "mwavscan.com" starten. Alle Häkchen setzen und "Scan" klicken.) und die Malware manuell entfernen ht tp://www.trojaner-info.de/hijacker/escan.shtml- neue Startseite vergeben
- Neustart
- dein System updaten http://v5.windowsupdate.microsoft.co...r/default.aspx
- IE sicherer konfigurieren und nur noch für das Windows Update benutzen http://www.datenschutzzentrum.de/sel...sie/config.htm
- Sichere und komfortablere Browser wie z.B. Mozilla oder Firefox verwenden http://www.mozilla.org
- neues Log-File von HiJackThis und die Virus Log Information von eScan posten

Du/Ihr habt es geschafft vielen dank für eure hilfe.

Hijackthis:

Logfile of HijackThis v1.99.0
Scan saved at 13:20:41, on 05.02.2005
Platform: Windows XP SP1 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP1 (6.00.2800.1106)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\Explorer.EXE
C:\WINDOWS\system32\spoolsv.exe
C:\Programme\philips\Philips 54Mbps Wireless USB Adapter Utility\PRISMSVR.EXE
C:\Programme\AVPersonal\AVGNT.EXE
C:\WINDOWS\System32\ctfmon.exe
C:\WINDOWS\System32\RUNDLL32.EXE
C:\PROGRA~1\PANICW~1\POP-UP~1\PSFree.exe
C:\Programme\Messenger\msmsgs.exe
C:\Programme\philips\Philips 54Mbps Wireless USB Adapter Utility\PHUSB11GMonitor.exe
C:\Programme\philips\Media Manager\Philips Media Manager.exe
C:\Programme\philips\Media Manager\Philips Media Manager.exe
C:\Programme\AVPersonal\AVGUARD.EXE
C:\Programme\AVPersonal\AVWUPSRV.EXE
C:\WINDOWS\System32\nvsvc32.exe
C:\Programme\Analog Devices\SoundMAX\SMAgent.exe
C:\WINDOWS\System32\MsPMSPSv.exe
C:\Programme\Internet Explorer\iexplore.exe
C:\WINDOWS\System32\mdm.exe
C:\WINDOWS\System32\wuauclt.exe
E:\Some Stuff\Software\AV-Tools\hijackthis199\HijackThis.exe

O4 - HKLM\..\Run: [PRISMSVR.EXE] "C:\Programme\philips\Philips 54Mbps Wireless USB Adapter Utility\PRISMSVR.EXE" /APPLY
O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\System32\NvCpl.dll,NvStartup
O4 - HKLM\..\Run: [KernelFaultCheck] %systemroot%\system32\dumprep 0 -k
O4 - HKLM\..\Run: [AVGCtrl] C:\Programme\AVPersonal\AVGNT.EXE /min
O4 - HKLM\..\Run: [ChelloDesktop] C:\Programme\chello\ChelloDesktop.exe
O4 - HKLM\..\Run: [ChelloBackground] C:\Programme\chello\ChelloMessenger.exe
O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\ctfmon.exe
O4 - HKCU\..\Run: [NvMediaCenter] RUNDLL32.EXE C:\WINDOWS\System32\NVMCTRAY.DLL,NvTaskbarInit
O4 - HKCU\..\Run: [PopUpStopperFreeEdition] "C:\PROGRA~1\PANICW~1\POP-UP~1\PSFree.exe"
O4 - HKCU\..\Run: [MSMSGS] "C:\Programme\Messenger\msmsgs.exe" /background
O4 - Startup: Philips Media Manager.lnk = C:\Programme\philips\Media Manager\Philips Media Manager.exe
O4 - Global Startup: Philips Wireless USB Adapter 11g.lnk = C:\Programme\philips\Philips 54Mbps Wireless USB Adapter Utility\PHUSB11GMonitor.exe
O8 - Extra context menu item: Nach Microsoft &Excel exportieren - res://C:\PROGRA~1\MICROS~2\OFFICE11\EXCEL.EXE/3000
O9 - Extra button: Recherchieren - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - C:\PROGRA~1\MICROS~2\OFFICE11\REFIEBAR.DLL
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\MSMSGS.EXE
O9 - Extra 'Tools' menuitem: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\MSMSGS.EXE
O14 - IERESET.INF: START_PAGE_URL=http://home.deu.chello.at/ssi/welcome/welcome.php?url=home
O23 - Service: AntiVir Service - H+BEDV Datentechnik GmbH - C:\Programme\AVPersonal\AVGUARD.EXE
O23 - Service: AntiVir Update - H+BEDV Datentechnik GmbH, Germany - C:\Programme\AVPersonal\AVWUPSRV.EXE
O23 - Service: NVIDIA Display Driver Service - NVIDIA Corporation - C:\WINDOWS\System32\nvsvc32.exe
O23 - Service: Sound Loader - Analog Devices, Inc. - (no file)
O23 - Service: SoundMAX Agent Service - Analog Devices, Inc. - C:\Programme\Analog Devices\SoundMAX\SMAgent.exe

und das offentlich richtige mwXface.log:

[msvLclnt.dll] [0x000005d0] 05/02/2005 12:22:27:515 :ModuleName = C:\bases\mwavscan.com
[msvLclnt.dll] [0x000005d0] 05/02/2005 12:22:27:515 :Registry Key Deleted Properly!!!
[msvLclnt.dll] [0x000005d0] 05/02/2005 12:22:30:500 :Options Set by External applications mwavscan.com are 9896960 (0x970400):
[msvLclnt.dll] [0x000005d0] 05/02/2005 12:22:30:500 :Mode :PACKED,ARCHIVED,CA,WARNINGS,MAILPLAIN
[msvLclnt.dll] [0x000005d0] 05/02/2005 12:22:30:500 :TimeOut : ffffffff
[msvLclnt.dll] [0x000005d0] 05/02/2005 12:22:30:500 :Priority : NORMAL
[msvLclnt.dll] [0x000005d0] 05/02/2005 12:22:31:125 :VirusCount = 117200 Latest Date = 2005/02/05
[msvLclnt.dll] [0x00000630] 05/02/2005 12:25:49:703 :[00000001] File C:\DOKUME~1\WIR\LOKALE~1\Temp\C1.tmp infected by Trojan-Downloader.Win32.Small.ahz
[msvLclnt.dll] [0x00000630] 05/02/2005 12:26:43:531 :VirusCount = 117200 Latest Date = 2005/02/05
[msvLclnt.dll] [0x000005d0] 05/02/2005 12:28:06:437 :VirusCount = 117200 Latest Date = 2005/02/05
[msvLclnt.dll] [0x00000bec] 05/02/2005 13:18:07:453 :ModuleName = C:\bases\mwavscan.com
[msvLclnt.dll] [0x00000bec] 05/02/2005 13:18:07:453 :Registry Key Deleted Properly!!!
[msvLclnt.dll] [0x00000bec] 05/02/2005 13:18:09:421 :Options Set by External applications mwavscan.com are 9896960 (0x970400):
[msvLclnt.dll] [0x00000bec] 05/02/2005 13:18:09:437 :Mode :PACKED,ARCHIVED,CA,WARNINGS,MAILPLAIN
[msvLclnt.dll] [0x00000bec] 05/02/2005 13:18:09:437 :TimeOut : ffffffff
[msvLclnt.dll] [0x00000bec] 05/02/2005 13:18:09:437 :Priority : NORMAL
[msvLclnt.dll] [0x00000bec] 05/02/2005 13:18:09:750 :VirusCount = 117200 Latest Date = 2005/02/05
[msvLclnt.dll] [0x00000ce4] 05/02/2005 13:18:16:281 :VirusCount = 117200 Latest Date = 2005/02/05
[msvLclnt.dll] [0x00000bec] 05/02/2005 13:18:18:453 :VirusCount = 117200 Latest Date = 2005/02/05

ich hoff das war das richtige file.

danke noch mal und schönes we

grüße roli

@roland.kurz@gmx.at
wechsle in den abgesicherten modus und fixe mit HJT
O23 - Service: Sound Loader - Analog Devices, Inc. - (no file)
neu booten
escan logfile
Teile uns dann das Ergebnis des eScan mit: welche Viren wurden auf Deinem Rechner gefunden: "öffne die mwav.log -> Bearbeiten -> Suchen -> infected eingeben -> Weitersuchen -> Treffer markieren/kopieren und ins Forum übertragen." (Zitat Cidre)

chaosman