|
besonders hartnäckiger hijacker hallo bitte um hilfe im kampf gegen meinen browser hijacker. :dummguck: Habe e-scan und hijackthis bereits mehrfach bei abgeschalteter systemwiederherstellung im abgesicherten modus laufen lassen. Die rot markierten Einträge tauchen nach Entfernung aber immer wieder im logfile auf. (zum Teil erst nach mehreren Tagen) Kann mir jemand helfen und sagen was ich alle problemlos fixen kann? Logfile of HijackThis v1.99.0 Scan saved at 18:11:42, on 04.02.2005 Platform: Windows XP SP2 (WinNT 5.01.2600) MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180) Running processes: C:\WINDOWS\System32\smss.exe C:\WINDOWS\system32\winlogon.exe C:\WINDOWS\system32\services.exe C:\WINDOWS\system32\lsass.exe C:\WINDOWS\system32\svchost.exe C:\WINDOWS\system32\svchost.exe C:\WINDOWS\Explorer.EXE C:\WINDOWS\PCHealth\HelpCtr\Binaries\HelpSvc.exe C:\DOKUME~1\Scharrer\LOKALE~1\Temp\Temporäres Verzeichnis 2 für Hijack This.zip\HijackThis.exe R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Bar = res://C:\DOKUME~1\Scharrer\LOKALE~1\Temp\sp.dll/sp.html R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = about:blank R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = about:blank R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Bar = res://C:\DOKUME~1\Scharrer\LOKALE~1\Temp\sp.dll/sp.html R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = about:blank R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = about:blank R1 - HKCU\Software\Microsoft\Internet Explorer\Search,SearchAssistant = about:blank R0 - HKLM\Software\Microsoft\Internet Explorer\Search,SearchAssistant = about:blank R1 - HKCU\Software\Microsoft\Internet Explorer\Main,HomeOldSP = about:blank R1 - HKLM\Software\Microsoft\Internet Explorer\Main,HomeOldSP = about:blank O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Programme\Adobe\Acrobat 5.0\Reader\ActiveX\AcroIEHelper.ocx O2 - BHO: (no name) - {614C87D4-8AF0-9E3B-BCF2-B2B08F112A95} - C:\WINDOWS\system32\cosewia.dll O2 - BHO: Google Toolbar Helper - {AA58ED58-01DD-4d91-8333-CF10577473F7} - c:\programme\google\googletoolbar1.dll O2 - BHO: (no name) - {CD6A44AE-8698-4D92-AE61-9A3DA30B1EBE} - C:\WINDOWS\system32\jfiphlp.dll O2 - BHO: (no name) - {F2A4407B-FFBC-4A1F-A18A-0F68C3E0FC9E} - C:\WINDOWS\system32\cuxaqiho.dll O3 - Toolbar: &Google - {2318C2B1-4965-11d4-9B18-009027A5CD4F} - c:\programme\google\googletoolbar1.dll O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE NvQTwk,NvCplDaemon initialize O4 - HKLM\..\Run: [nwiz] nwiz.exe /install O4 - HKLM\..\Run: [CeEPOWER] C:\Programme\TOSHIBA\Power Management\CePMTray.exe O4 - HKLM\..\Run: [CPLBTS88] C:\PROGRA~1\EzButton\CPLBTS88.EXE O4 - HKLM\..\Run: [CeEKEY] C:\Programme\TOSHIBA\E-KEY\CeEKey.exe O4 - HKLM\..\Run: [Apoint] C:\Programme\Apoint2K\Apoint.exe O4 - HKLM\..\Run: [TPNF] C:\Programme\TOSHIBA\TouchPad\TPTray.exe O4 - HKLM\..\Run: [Microsoft Works Update Detection] C:\Programme\Gemeinsame Dateien\Microsoft Shared\Works Shared\WkUFind.exe O4 - HKLM\..\Run: [ezShieldProtector for Px] C:\WINDOWS\System32\ezSP_Px.exe O4 - HKLM\..\Run: [EM_EXEC] C:\PROGRA~1\Logitech\MOUSEW~1\SYSTEM\EM_EXEC.EXE O4 - HKLM\..\Run: [WinFaxAppPortStarter] wfxsnt40.exe O4 - HKLM\..\Run: [TkBellExe] "C:\Programme\Gemeinsame Dateien\Real\Update_OB\realsched.exe" -osboot O4 - HKLM\..\Run: [QuickTime Task] "C:\Programme\QuickTime\qttask.exe" -atboottime O4 - HKLM\..\Run: [DataLayer] C:\Programme\Nokia\Nokia PC Suite 5\DataLayer.exe O4 - HKLM\..\Run: [Nokia Tray Application] C:\Programme\Gemeinsame Dateien\Nokia\NCLTools\NclTray.exe O4 - HKLM\..\Run: [gcasServ] "C:\Programme\Microsoft AntiSpyware\gcasServ.exe" O4 - HKLM\..\Run: [AVGCtrl] C:\Programme\AVPersonal\AVGNT.EXE /min O4 - HKCU\..\Run: [NVIEW] rundll32.exe nview.dll,nViewLoadHook O4 - Global Startup: WEB.DE SmartSurfer2.3a.lnk = C:\Programme\WEBDE\SmartSurfer2.31\SmartSurfer.exe O8 - Extra context menu item: &Google Search - res://c:\programme\google\GoogleToolbar1.dll/cmsearch.html O8 - Extra context menu item: Im Cache gespeicherte Seite - res://c:\programme\google\GoogleToolbar1.dll/cmcache.html O8 - Extra context menu item: Nach Microsoft &Excel exportieren - res://C:\PROGRA~1\MICROS~4\Office10\EXCEL.EXE/3000 O8 - Extra context menu item: Verweisseiten - res://c:\programme\google\GoogleToolbar1.dll/cmbacklinks.html O8 - Extra context menu item: Ähnliche Seiten - res://c:\programme\google\GoogleToolbar1.dll/cmsimilar.html O9 - Extra button: Real.com - {CD67F990-D8E9-11d2-98FE-00C0F0318AFE} - C:\WINDOWS\System32\Shdocvw.dll O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe O18 - Filter: text/html - {69EE7BE7-288A-4748-9DCE-555078612461} - C:\WINDOWS\system32\jfiphlp.dll O18 - Filter: text/plain - {69EE7BE7-288A-4748-9DCE-555078612461} - C:\WINDOWS\system32\jfiphlp.dll O23 - Service: AntiVir Service - H+BEDV Datentechnik GmbH - C:\Programme\AVPersonal\AVGUARD.EXE O23 - Service: AntiVir Update - H+BEDV Datentechnik GmbH, Germany - C:\Programme\AVPersonal\AVWUPSRV.EXE O23 - Service: BrSplService - brother Industries Ltd - C:\WINDOWS\System32\brsvc01a.exe O23 - Service: NVIDIA Driver Helper Service - NVIDIA Corporation - C:\WINDOWS\System32\nvsvc32.exe O23 - Service: WinFax PRO - Symantec Corporation - C:\WINDOWS\System32\WFXSVC.EXE bei eScan gibt es zudem eine datei bei der ich nicht weiß, wie ich verfahren soll: File C:\WINDOWS\system32\instsrv.exe tagged as not-a-virus:RiskWare.Tool.ServiceRunner.f. No Action Taken. danke. |
Lass mal HIER folgende Dateien prüfen. C:\WINDOWS\system32\jfiphlp.dll C:\WINDOWS\system32\cuxaqiho.dll Ergebniss bitte hier posten! |
Hallo, Wechsle nochmal in den abgesicherten Modus und fixe diese Einträge: Alle R1 und R0 O2 - BHO: (no name) - {614C87D4-8AF0-9E3B-BCF2-B2B08F112A95} - C:\WINDOWS\system32\cosewia.dll O2 - BHO: (no name) - {CD6A44AE-8698-4D92-AE61-9A3DA30B1EBE} - C:\WINDOWS\system32\jfiphlp.dll O2 - BHO: (no name) - {F2A4407B-FFBC-4A1F-A18A-0F68C3E0FC9E} - C:\WINDOWS\system32\cuxaqiho.dll O18 - Filter: text/html - {69EE7BE7-288A-4748-9DCE-555078612461} - C:\WINDOWS\system32\jfiphlp.dll O18 - Filter: text/plain - {69EE7BE7-288A-4748-9DCE-555078612461} - C:\WINDOWS\system32\jfiphlp.dll Lösche diese Dateien: C:\WINDOWS\system32\cosewia.dll C:\WINDOWS\system32\jfiphlp.dll C:\WINDOWS\system32\cuxaqiho.dll - neue Startseite vergeben - Neustart - dein System updaten http://v5.windowsupdate.microsoft.co...r/default.aspx - IE sicherer konfigurieren und nur noch für das Windows Update benutzen http://www.datenschutzzentrum.de/sel...sie/config.htm oder http://www.blafusel.de/ie.html - Sichere und komfortablere Browser wie z.B. Mozilla oder Firefox verwenden http://www.mozilla.org - neues Log-File von HiJackThis und die Virus Log Information (infected Einträge) von eScan posten Zitat:
|
hallo, habe alles gemacht. hoffe stark, dass es jetzt besser wird. nach entfernung und fixing aller dateien im abgesicherten modus habe ich nochmal Microsoft Antispyware laufen lassen. dieser hat trotzdem wieder einen browser hijacker erkannt und entfernt. muss ich also noch mehr dateien entfernen? windows hatte übrigens für mein system kein sicherheitsrelevantes update auf lager. was ist mit diesem eintrag? O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE NvQTwk,NvCplDaemon initialize hijackthis.de sagt: unbekanntes Programm; die Resulte dort schwanken zwischen gut und böse hijackthis.de sagt mir auch ich hätte keine firewall aktiviert. habe aber die windows firewall aktiviert. soll ich zusätzlich sygate personal firewall installieren? hier mein neues logfile: Logfile of HijackThis v1.99.0 Scan saved at 14:31:36, on 05.02.2005 Platform: Windows XP SP2 (WinNT 5.01.2600) MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180) Running processes: C:\WINDOWS\System32\smss.exe C:\WINDOWS\system32\winlogon.exe C:\WINDOWS\system32\services.exe C:\WINDOWS\system32\lsass.exe C:\WINDOWS\system32\svchost.exe C:\WINDOWS\System32\svchost.exe C:\WINDOWS\System32\brsvc01a.exe C:\WINDOWS\system32\spoolsv.exe C:\WINDOWS\System32\brss01a.exe C:\Programme\AVPersonal\AVGUARD.EXE C:\Programme\AVPersonal\AVWUPSRV.EXE C:\WINDOWS\System32\nvsvc32.exe C:\WINDOWS\System32\svchost.exe C:\WINDOWS\System32\WFXSVC.EXE C:\WINDOWS\Explorer.EXE C:\Programme\TOSHIBA\Power Management\CePMTray.exe C:\PROGRA~1\EzButton\CPLBTS88.EXE C:\Programme\TOSHIBA\E-KEY\CeEKey.exe C:\Programme\TOSHIBA\TouchPad\TPTray.exe C:\Programme\Gemeinsame Dateien\Microsoft Shared\Works Shared\WkUFind.exe C:\WINDOWS\System32\ezSP_Px.exe C:\PROGRA~1\Logitech\MOUSEW~1\SYSTEM\EM_EXEC.EXE C:\WINDOWS\system32\wfxsnt40.exe C:\Programme\Gemeinsame Dateien\Real\Update_OB\realsched.exe C:\Programme\Nokia\Nokia PC Suite 5\DataLayer.exe C:\Programme\Gemeinsame Dateien\Nokia\NCLTools\NclTray.exe C:\Programme\Microsoft AntiSpyware\gcasServ.exe C:\Programme\AVPersonal\AVGNT.EXE C:\Programme\WEBDE\SmartSurfer2.31\SmartSurfer.exe C:\WINDOWS\system32\rundll32.exe C:\Programme\Gemeinsame Dateien\Nokia\Services\ServiceLayer.exe C:\Programme\Microsoft AntiSpyware\gcasDtServ.exe C:\DOKUME~1\Scharrer\LOKALE~1\Temp\Temporäres Verzeichnis 4 für Hijack This.zip\HijackThis.exe R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.my.yahoo.com/ R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.my.yahoo.com O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Programme\Adobe\Acrobat 5.0\Reader\ActiveX\AcroIEHelper.ocx O2 - BHO: Google Toolbar Helper - {AA58ED58-01DD-4d91-8333-CF10577473F7} - c:\programme\google\googletoolbar1.dll O3 - Toolbar: &Google - {2318C2B1-4965-11d4-9B18-009027A5CD4F} - c:\programme\google\googletoolbar1.dll O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE NvQTwk,NvCplDaemon initialize O4 - HKLM\..\Run: [nwiz] nwiz.exe /install O4 - HKLM\..\Run: [CeEPOWER] C:\Programme\TOSHIBA\Power Management\CePMTray.exe O4 - HKLM\..\Run: [CPLBTS88] C:\PROGRA~1\EzButton\CPLBTS88.EXE O4 - HKLM\..\Run: [CeEKEY] C:\Programme\TOSHIBA\E-KEY\CeEKey.exe O4 - HKLM\..\Run: [Apoint] C:\Programme\Apoint2K\Apoint.exe O4 - HKLM\..\Run: [TPNF] C:\Programme\TOSHIBA\TouchPad\TPTray.exe O4 - HKLM\..\Run: [Microsoft Works Update Detection] C:\Programme\Gemeinsame Dateien\Microsoft Shared\Works Shared\WkUFind.exe O4 - HKLM\..\Run: [ezShieldProtector for Px] C:\WINDOWS\System32\ezSP_Px.exe O4 - HKLM\..\Run: [EM_EXEC] C:\PROGRA~1\Logitech\MOUSEW~1\SYSTEM\EM_EXEC.EXE O4 - HKLM\..\Run: [WinFaxAppPortStarter] wfxsnt40.exe O4 - HKLM\..\Run: [TkBellExe] "C:\Programme\Gemeinsame Dateien\Real\Update_OB\realsched.exe" -osboot O4 - HKLM\..\Run: [QuickTime Task] "C:\Programme\QuickTime\qttask.exe" -atboottime O4 - HKLM\..\Run: [DataLayer] C:\Programme\Nokia\Nokia PC Suite 5\DataLayer.exe O4 - HKLM\..\Run: [Nokia Tray Application] C:\Programme\Gemeinsame Dateien\Nokia\NCLTools\NclTray.exe O4 - HKLM\..\Run: [gcasServ] "C:\Programme\Microsoft AntiSpyware\gcasServ.exe" O4 - HKLM\..\Run: [AVGCtrl] C:\Programme\AVPersonal\AVGNT.EXE /min O4 - HKCU\..\Run: [NVIEW] rundll32.exe nview.dll,nViewLoadHook O4 - Global Startup: WEB.DE SmartSurfer2.3a.lnk = C:\Programme\WEBDE\SmartSurfer2.31\SmartSurfer.exe O8 - Extra context menu item: &Google Search - res://c:\programme\google\GoogleToolbar1.dll/cmsearch.html O8 - Extra context menu item: Im Cache gespeicherte Seite - res://c:\programme\google\GoogleToolbar1.dll/cmcache.html O8 - Extra context menu item: Nach Microsoft &Excel exportieren - res://C:\PROGRA~1\MICROS~4\Office10\EXCEL.EXE/3000 O8 - Extra context menu item: Verweisseiten - res://c:\programme\google\GoogleToolbar1.dll/cmbacklinks.html O8 - Extra context menu item: Ähnliche Seiten - res://c:\programme\google\GoogleToolbar1.dll/cmsimilar.html O9 - Extra button: Real.com - {CD67F990-D8E9-11d2-98FE-00C0F0318AFE} - C:\WINDOWS\System32\Shdocvw.dll O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe O15 - Trusted Zone: http://*.windowsupdate.microsoft.com O15 - Trusted Zone: http://*.windowsupdate.com O17 - HKLM\System\CCS\Services\Tcpip\..\{E81ABB7E-504E-4A22-83B0-A264F1F39F5C}: NameServer = 62.104.191.241 62.104.196.134 O23 - Service: AntiVir Service - H+BEDV Datentechnik GmbH - C:\Programme\AVPersonal\AVGUARD.EXE O23 - Service: AntiVir Update - H+BEDV Datentechnik GmbH, Germany - C:\Programme\AVPersonal\AVWUPSRV.EXE O23 - Service: BrSplService - brother Industries Ltd - C:\WINDOWS\System32\brsvc01a.exe O23 - Service: NVIDIA Driver Helper Service - NVIDIA Corporation - C:\WINDOWS\System32\nvsvc32.exe O23 - Service: WinFax PRO - Symantec Corporation - C:\WINDOWS\System32\WFXSVC.EXE hier meine neue Virus Log Information von eScan: File C:\WINDOWS\system32\instsrv.exe tagged as not-a-virus:RiskWare.Tool.ServiceRunner.f. No Action Taken. @the saint: hier das ergebnis des scans auf http://virusscan.jotti.org/ Service load: 0% 100% File: jfiphlp.dll Status: INFECTED/MALWARE (Note: this file has been scanned before. Therefore, this file's scan results will not be stored in the database) Packers detected: None AntiVir No viruses found (0.21 seconds taken) Avast No viruses found (1.51 seconds taken) AVG Antivirus No viruses found (1.26 seconds taken) BitDefender No viruses found (0.83 seconds taken) ClamAV No viruses found (0.56 seconds taken) Dr.Web Trojan.StartPage.449 (0.81 seconds taken) F-Prot Antivirus No viruses found (0.16 seconds taken) Fortinet W32/StartPage.IS-tr (0.55 seconds taken) Kaspersky Anti-Virus Trojan.Win32.StartPage.uo (4.33 seconds taken) mks_vir No viruses found (1.21 seconds taken) NOD32 No viruses found (0.66 seconds taken) Norman Virus Control No viruses found (0.58 seconds taken) Service load: 0% 100% File: cuxaqiho.dll Status: MIGHT BE INFECTED/MALWARE (Sandbox emulation took a long time and/or runtime packers were found, this is suspicious. Normally programs aren't packed and don't force the sandbox into lengthy emulation. Do realize no scanner issued any warning, the file can very well be harmless. Caution is advised, however.) Packers detected: UPX AntiVir No viruses found (0.18 seconds taken) Avast No viruses found (1.51 seconds taken) AVG Antivirus No viruses found (0.84 seconds taken) BitDefender No viruses found (0.43 seconds taken) ClamAV No viruses found (0.47 seconds taken) Dr.Web No viruses found (0.56 seconds taken) F-Prot Antivirus No viruses found (0.19 seconds taken) Fortinet No viruses found (0.43 seconds taken) Kaspersky Anti-Virus No viruses found (0.64 seconds taken) mks_vir No viruses found (0.22 seconds taken) NOD32 No viruses found (0.45 seconds taken) Norman Virus Control No viruses found (0.15 seconds taken) |
Hi Octopus, "was ist mit diesem eintrag? O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE NvQTwk,NvCplDaemon initialize hijackthis.de sagt: unbekanntes Programm; die Resulte dort schwanken zwischen gut und böse" Der Eintrag ist i.O. (NVIDIA). dartus |
@Octopus im logfile sehe ich nichts besonderes, nach entfernung und fixing aller dateien im abgesicherten modus habe ich nochmal Microsoft Antispyware laufen lassen. dieser hat trotzdem wieder einen browser hijacker erkannt und entfernt. muss ich also noch mehr dateien entfernen? lade dir escan download anleitung überprüfe Deinen Rechner zunächst mit dem eScan: lade den eScan runter, erstelle dafür einen Ordner (=Verzeichnis) c:\bases, update den eScan online und führe ihn offline im abgesicherten Modus aus. Beachte, dass der eScan ab Version 4.5.1 gefundene Malware nicht löscht. Das wird von Hand auf Anweisung durch uns gemacht. Teile uns dann das Ergebnis des eScan mit: welche Viren wurden auf Deinem Rechner gefunden: "öffne die mwav.log -> Bearbeiten -> Suchen -> infected eingeben -> Weitersuchen -> Treffer markieren/kopieren und ins Forum übertragen." (Zitat Cidre) scan dauert mindestens 1 stunde chaosman |
hallo nochmal, hat zunächst alles super geklappt, vielen Dank. Jetzt ist der hijacker aber in abgewandelter Form wieder da. (se statt sp am Dateiende) Hier mein neues Logfile. Die roten Einträge würde ich gerne fixen. Logfile of HijackThis v1.99.0 Scan saved at 21:00:31, on 08.02.2005 Platform: Windows XP SP2 (WinNT 5.01.2600) MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180) Running processes: C:\WINDOWS\System32\smss.exe C:\WINDOWS\system32\winlogon.exe C:\WINDOWS\system32\services.exe C:\WINDOWS\system32\lsass.exe C:\WINDOWS\system32\svchost.exe C:\WINDOWS\system32\svchost.exe C:\WINDOWS\Explorer.EXE C:\DOKUME~1\Scharrer\LOKALE~1\Temp\Temporäres Verzeichnis 4 für Hijack This.zip\HijackThis.exe R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Bar = res://C:\DOKUME~1\Scharrer\LOKALE~1\Temp\se.dll/sp.html R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = about:blank R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = about:blank R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Bar = res://C:\DOKUME~1\Scharrer\LOKALE~1\Temp\se.dll/sp.html R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = about:blank R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = about:blank R1 - HKCU\Software\Microsoft\Internet Explorer\Search,SearchAssistant = about:blank R0 - HKLM\Software\Microsoft\Internet Explorer\Search,SearchAssistant = about:blank R1 - HKCU\Software\Microsoft\Internet Explorer\Main,HomeOldSP = about:blank R1 - HKLM\Software\Microsoft\Internet Explorer\Main,HomeOldSP = about:blank O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Programme\Adobe\Acrobat 5.0\Reader\ActiveX\AcroIEHelper.ocx O2 - BHO: (no name) - {0E042EA3-6978-407C-8AD7-D0823A3183C1} - C:\WINDOWS\system32\ookpdg.dll O2 - BHO: Google Toolbar Helper - {AA58ED58-01DD-4d91-8333-CF10577473F7} - c:\programme\google\googletoolbar1.dll O3 - Toolbar: &Google - {2318C2B1-4965-11d4-9B18-009027A5CD4F} - c:\programme\google\googletoolbar1.dll O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE NvQTwk,NvCplDaemon initialize O4 - HKLM\..\Run: [nwiz] nwiz.exe /install O4 - HKLM\..\Run: [CeEPOWER] C:\Programme\TOSHIBA\Power Management\CePMTray.exe O4 - HKLM\..\Run: [CPLBTS88] C:\PROGRA~1\EzButton\CPLBTS88.EXE O4 - HKLM\..\Run: [CeEKEY] C:\Programme\TOSHIBA\E-KEY\CeEKey.exe O4 - HKLM\..\Run: [Apoint] C:\Programme\Apoint2K\Apoint.exe O4 - HKLM\..\Run: [TPNF] C:\Programme\TOSHIBA\TouchPad\TPTray.exe O4 - HKLM\..\Run: [Microsoft Works Update Detection] C:\Programme\Gemeinsame Dateien\Microsoft Shared\Works Shared\WkUFind.exe O4 - HKLM\..\Run: [ezShieldProtector for Px] C:\WINDOWS\System32\ezSP_Px.exe O4 - HKLM\..\Run: [EM_EXEC] C:\PROGRA~1\Logitech\MOUSEW~1\SYSTEM\EM_EXEC.EXE O4 - HKLM\..\Run: [WinFaxAppPortStarter] wfxsnt40.exe O4 - HKLM\..\Run: [TkBellExe] "C:\Programme\Gemeinsame Dateien\Real\Update_OB\realsched.exe" -osboot O4 - HKLM\..\Run: [QuickTime Task] "C:\Programme\QuickTime\qttask.exe" -atboottime O4 - HKLM\..\Run: [DataLayer] C:\Programme\Nokia\Nokia PC Suite 5\DataLayer.exe O4 - HKLM\..\Run: [Nokia Tray Application] C:\Programme\Gemeinsame Dateien\Nokia\NCLTools\NclTray.exe O4 - HKLM\..\Run: [gcasServ] "C:\Programme\Microsoft AntiSpyware\gcasServ.exe" O4 - HKLM\..\Run: [AVGCtrl] C:\Programme\AVPersonal\AVGNT.EXE /min O4 - HKCU\..\Run: [NVIEW] rundll32.exe nview.dll,nViewLoadHook O4 - Global Startup: WEB.DE SmartSurfer2.3a.lnk = C:\Programme\WEBDE\SmartSurfer2.31\SmartSurfer.exe O8 - Extra context menu item: &Google Search - res://c:\programme\google\GoogleToolbar1.dll/cmsearch.html O8 - Extra context menu item: Im Cache gespeicherte Seite - res://c:\programme\google\GoogleToolbar1.dll/cmcache.html O8 - Extra context menu item: Nach Microsoft &Excel exportieren - res://C:\PROGRA~1\MICROS~4\Office10\EXCEL.EXE/3000 O8 - Extra context menu item: Verweisseiten - res://c:\programme\google\GoogleToolbar1.dll/cmbacklinks.html O8 - Extra context menu item: Ähnliche Seiten - res://c:\programme\google\GoogleToolbar1.dll/cmsimilar.html O9 - Extra button: Real.com - {CD67F990-D8E9-11d2-98FE-00C0F0318AFE} - C:\WINDOWS\System32\Shdocvw.dll O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe O15 - Trusted Zone: http://*.windowsupdate.microsoft.com O15 - Trusted Zone: http://*.windowsupdate.com O18 - Filter: text/html - {70A4FCF2-58C2-4180-93D9-5416E3CF4739} - C:\WINDOWS\system32\ookpdg.dll O18 - Filter: text/plain - {70A4FCF2-58C2-4180-93D9-5416E3CF4739} - C:\WINDOWS\system32\ookpdg.dll O23 - Service: AntiVir Service - H+BEDV Datentechnik GmbH - C:\Programme\AVPersonal\AVGUARD.EXE O23 - Service: AntiVir Update - H+BEDV Datentechnik GmbH, Germany - C:\Programme\AVPersonal\AVWUPSRV.EXE O23 - Service: BrSplService - brother Industries Ltd - C:\WINDOWS\System32\brsvc01a.exe O23 - Service: NVIDIA Driver Helper Service - NVIDIA Corporation - C:\WINDOWS\System32\nvsvc32.exe O23 - Service: WinFax PRO - Symantec Corporation - C:\WINDOWS\System32\WFXSVC.EXE Zusätzlich habe ich nun auch folgenden Eintrag, den ich fixen möchte: O4 - HKLM\..\Run: [sp] rundll32 C:\DOKUME~1\Scharrer\LOKALE~1\Temp\se.dll,DllInstall @chaosman habe eScan zwar heruntergeladen, habe es aber nicht geschaft, ihn so im pc abzulegen, wie du es beschrieben hast. Dies scheint aber wohl notwendig zu sein. Zu Beginn des Downloadprozesses konnte ich nicht den Speicherort der Datei auswählen. hier deshalb nur kurz die nach dem scan angezeigte virus log information: File C:\WINDOWS\system32\instsrv.exe tagged as not-a-virus:RiskWare.Tool.ServiceRunner.f. No Action Taken. Beunruhigend finde ich auch, dass AntiVir mir ständig Meldungen wie diese anzeigt, selbst wenn ich offline bin: C:\DOKUME~1\SCHARRER\LOKALE~1\TEMP\SE.DLL Ist das Trojanische Pferd TR/StartPage.qr.DLL gruß octopus |
Zitat:
Zitat:
|
Hallo Octopus. fixen allein reicht nicht. Du musst die Dateien auch manuell löschen. Temporäre Dateien sind am schnellsten mit clearprog zu löschen. Häckchen bei alles löschen und dann auf löschen klicken. Escan kann man vor dem Entpacken per Rechtsklick den Speicherplatz zuweisen. dartus |
ok, werde morgen eScan entsprechend den Anweisungen herunterladen und laufen lassen. Frage: Kann ich die von mir unten rot markierten Einträge löschen? Hijackthis.de erkennt nur R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Bar = res://C:\DOKUME~1\Scharrer\LOKALE~1\Temp\se.dll/sp.html als böse an. Würde auch gerne diesen neuen Eintrag löschen: O4 - HKLM\..\Run: [sp] rundll32 C:\DOKUME~1\Scharrer\LOKALE~1\Temp\se.dll,DllInsta ll @dartus Zitat: fixen allein reicht nicht.Du musst die Dateien auch manuell löschen wie lösche ich z.B. die oben zuletzt stehende Datei manuell? Octopus |
Zitat:
Zitat:
Sollte aber im abgesicherten Modus ausgeführt werden. |
hallo, leider kein erfolg beim kampf gegen den hijacker, habe nun endlich eScan entsprechend Euren Anweisungen installiert und upgedated. Konnte nach einer Suche im abgesicherten modus tatsächlich noch viel entfernen. Das virus information log seht ihr unten. Habe davon im abgesicherten modus alles gelöscht, was zu finden war, und bis auf die dateien von AV Personal, da ich dachte, dass diese von meinem virenscanner sind. leider kommt der browser hijacker immer wieder. kaum im internet warnt mich MS Antispyware, dass meine Start Page URL geändert werden soll. bin jetzt fast verzweifelt bzw. weiß nicht weiter. Denke, alles versucht zu haben was hier beschrieben wird. Gruß Octopus File C:\WINDOWS\system32\mpckdaa.dll infected by "Trojan.Win32.StartPage.qr" Virus. Action Taken: No Action Taken. File C:\WINDOWS\system32\ekcac.dll infected by "Trojan.Win32.StartPage.ux" Virus. Action Taken: No Action Taken. File C:\WINDOWS\system32\dblgl.dll infected by "Trojan.Win32.StartPage.ix" Virus. Action Taken: No Action Taken. File C:\WINDOWS\system32\lotagodu.dll infected by "Trojan-Spy.Win32.Briss.n" Virus. Action Taken: No Action Taken. File C:\WINDOWS\system32\instsrv.exe tagged as not-a-virus:RiskWare.Tool.ServiceRunner.f. No Action Taken. File C:\DOKUME~1\Scharrer\LOKALE~1\TEMPOR~1\Content.IE5\7UKVRLGH\mstasks1[1].txt infected by "Trojan-Downloader.Win32.Small.agy" Virus. Action Taken: No Action Taken. File C:\DOKUME~1\Scharrer\LOKALE~1\TEMPOR~1\Content.IE5\KX6RGHUJ\mstasks1[1].txt infected by "Trojan-Downloader.Win32.Small.agy" Virus. Action Taken: No Action Taken. File C:\WINDOWS\system32\mpckdaa.dll infected by "Trojan.Win32.StartPage.qr" Virus. Action Taken: No Action Taken. File C:\WINDOWS\system32\ekcac.dll infected by "Trojan.Win32.StartPage.ux" Virus. Action Taken: No Action Taken. File C:\WINDOWS\system32\dblgl.dll infected by "Trojan.Win32.StartPage.ix" Virus. Action Taken: No Action Taken. File C:\WINDOWS\system32\lotagodu.dll infected by "Trojan-Spy.Win32.Briss.n" Virus. Action Taken: No Action Taken. File C:\WINDOWS\system32\instsrv.exe tagged as not-a-virus:RiskWare.Tool.ServiceRunner.f. No Action Taken. File C:\Dokumente und Einstellungen\Scharrer\Lokale Einstellungen\Temporary Internet Files\Content.IE5\7UKVRLGH\mstasks1[1].txt infected by "Trojan-Downloader.Win32.Small.agy" Virus. Action Taken: No Action Taken. File C:\Dokumente und Einstellungen\Scharrer\Lokale Einstellungen\Temporary Internet Files\Content.IE5\KX6RGHUJ\mstasks1[1].txt infected by "Trojan-Downloader.Win32.Small.agy" Virus. Action Taken: No Action Taken. File C:\Dokumente und Einstellungen\Scharrer\Desktop\hijackthis_199\backups\backup-20050220-114908-526.dll infected by "Trojan.Win32.StartPage.ix" Virus. Action Taken: No Action Taken. File C:\Programme\AVPersonal\INFECTED\FFCNEMFR.EXE.VIR infected by "not-a-virus:AdWare.Gator.a" Virus. Action Taken: No Action Taken. File C:\Programme\AVPersonal\INFECTED\SQCLELQPT.EXE.VIR infected by "not-a-virus:AdWare.Gator.a" Virus. Action Taken: No Action Taken. File C:\Programme\AVPersonal\INFECTED\FFCNEMFR.EXE.001 infected by "not-a-virus:AdWare.Gator.a" Virus. Action Taken: No Action Taken. File C:\Programme\AVPersonal\INFECTED\SQCLELQPT.EXE.001 infected by "not-a-virus:AdWare.Gator.a" Virus. Action Taken: No Action Taken. File C:\Programme\AVPersonal\INFECTED\FFCNEMFR.EXE.002 infected by "not-a-virus:AdWare.Gator.a" Virus. Action Taken: No Action Taken. File C:\Programme\AVPersonal\INFECTED\SQCLELQPT.EXE.002 infected by "not-a-virus:AdWare.Gator.a" Virus. Action Taken: No Action Taken. File C:\Programme\AVPersonal\INFECTED\M[1].BIN.VIR infected by "Trojan.Win32.StartPage.ix" Virus. Action Taken: No Action Taken. File C:\Programme\AVPersonal\INFECTED\CGMDJ.DLL.VIR infected by "Trojan.Win32.StartPage.ix" Virus. Action Taken: No Action Taken. File C:\Programme\AVPersonal\INFECTED\FFCNEMFR.EXE.003 infected by "not-a-virus:AdWare.Gator.a" Virus. Action Taken: No Action Taken. File C:\Programme\AVPersonal\INFECTED\SQCLELQPT.EXE.003 infected by "not-a-virus:AdWare.Gator.a" Virus. Action Taken: No Action Taken. File C:\Programme\AVPersonal\INFECTED\SQCLELQPT.EXE.004 infected by "not-a-virus:AdWare.Gator.a" Virus. Action Taken: No Action Taken. File C:\Programme\AVPersonal\INFECTED\M[1].BIN.001 infected by "Trojan.Win32.StartPage.ix" Virus. Action Taken: No Action Taken. File C:\Programme\AVPersonal\INFECTED\PNDPABG.DLL.VIR infected by "Trojan.Win32.StartPage.ix" Virus. Action Taken: No Action Taken. File C:\Programme\AVPersonal\INFECTED\FFCNEMFR.EXE.004 infected by "not-a-virus:AdWare.Gator.a" Virus. Action Taken: No Action Taken. File C:\Programme\AVPersonal\INFECTED\SQCLELQPT.EXE.005 infected by "not-a-virus:AdWare.Gator.a" Virus. Action Taken: No Action Taken. File C:\Programme\AVPersonal\INFECTED\M[1].BIN.002 infected by "Trojan.Win32.StartPage.ix" Virus. Action Taken: No Action Taken. File C:\Programme\AVPersonal\INFECTED\MFNKBF.DLL.VIR infected by "Trojan.Win32.StartPage.ix" Virus. Action Taken: No Action Taken. File C:\Programme\AVPersonal\INFECTED\FFCNEMFR.EXE.005 infected by "not-a-virus:AdWare.Gator.a" Virus. Action Taken: No Action Taken. File C:\Programme\AVPersonal\INFECTED\SQCLELQPT.EXE.006 infected by "not-a-virus:AdWare.Gator.a" Virus. Action Taken: No Action Taken. File C:\Programme\AVPersonal\INFECTED\FFCNEMFR.EXE.006 infected by "not-a-virus:AdWare.Gator.a" Virus. Action Taken: No Action Taken. File C:\Programme\AVPersonal\INFECTED\SQCLELQPT.EXE.007 infected by "not-a-virus:AdWare.Gator.a" Virus. Action Taken: No Action Taken. File C:\Programme\AVPersonal\INFECTED\DUMMY[1].CLASS.VIR infected by "Trojan.Java.ClassLoader.Dummy.d" Virus. Action Taken: No Action Taken. File C:\Programme\AVPersonal\INFECTED\VERIFIERBUG[1].CLASS.VIR infected by "Exploit.Java.Bytverify" Virus. Action Taken: No Action Taken. File C:\Programme\AVPersonal\INFECTED\SQCLELQPT.EXE.008 infected by "not-a-virus:AdWare.Gator.a" Virus. Action Taken: No Action Taken. File C:\Programme\AVPersonal\INFECTED\FFCNEMFR.EXE.007 infected by "not-a-virus:AdWare.Gator.a" Virus. Action Taken: No Action Taken. File C:\Programme\AVPersonal\INFECTED\SQCLELQPT.EXE.009 infected by "not-a-virus:AdWare.Gator.a" Virus. Action Taken: No Action Taken. File C:\Programme\AVPersonal\INFECTED\FFCNEMFR.EXE.008 infected by "not-a-virus:AdWare.Gator.a" Virus. Action Taken: No Action Taken. File C:\Programme\AVPersonal\INFECTED\SQCLELQPT.EXE.010 infected by "not-a-virus:AdWare.Gator.a" Virus. Action Taken: No Action Taken. File C:\Programme\AVPersonal\INFECTED\PROMPT[1].HTM.VIR infected by "Trojan-Downloader.JS.IstBar.b" Virus. Action Taken: No Action Taken. File C:\Programme\AVPersonal\INFECTED\FFCNEMFR.EXE.009 infected by "not-a-virus:AdWare.Gator.a" Virus. Action Taken: No Action Taken. File C:\Programme\AVPersonal\INFECTED\SQCLELQPT.EXE.011 infected by "not-a-virus:AdWare.Gator.a" Virus. Action Taken: No Action Taken. File C:\Programme\AVPersonal\INFECTED\FFCNEMFR.EXE.010 infected by "not-a-virus:AdWare.Gator.a" Virus. Action Taken: No Action Taken. File C:\Programme\AVPersonal\INFECTED\SQCLELQPT.EXE.012 infected by "not-a-virus:AdWare.Gator.a" Virus. Action Taken: No Action Taken. File C:\Programme\AVPersonal\INFECTED\FFCNEMFR.EXE.011 infected by "not-a-virus:AdWare.Gator.a" Virus. Action Taken: No Action Taken. File C:\Programme\AVPersonal\INFECTED\PARSER[1].CLASS.VIR infected by "Trojan.Java.ClassLoader.d" Virus. Action Taken: No Action Taken. File C:\Recycled\Dc1\backups\backup-20050220-114908-526.dll infected by "Trojan.Win32.StartPage.ix" Virus. Action Taken: No Action Taken. File C:\Recycled\Dc2.zip infected by "Trojan.Win32.StartPage.ix" Virus. Action Taken: No Action Taken. File C:\avpx.exe infected by "Trojan.Win32.Dialer.fh" Virus. Action Taken: No Action Taken. |
bitte um Hilfe, bitte die untenstehende mavlog datei auswerten. Kann alle schädlichen Dateien entfernen, bekomme den Hijacker im Internet aber sofort wieder. Soll ich die dateien löschen, die unter C:\Programme\AVPersonal\INFECTED\ stehen? Danke |
hallo Neben dem ergnis von eScan unten hier zusätzlich mein aktuelles hijackthis log. die rot markierten einträge habe ich bereits mehrfach im abgesicherten modus gelöscht. es hilft einfach nichts, sie kommen wieder. Hat jemand ne Idee? Logfile of HijackThis v1.99.1 Scan saved at 13:19:35, on 26.02.2005 Platform: Windows XP SP2 (WinNT 5.01.2600) MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180) Running processes: C:\WINDOWS\System32\smss.exe C:\WINDOWS\system32\winlogon.exe C:\WINDOWS\system32\services.exe C:\WINDOWS\system32\lsass.exe C:\WINDOWS\system32\svchost.exe C:\WINDOWS\system32\svchost.exe C:\WINDOWS\Explorer.EXE C:\Programme\Microsoft AntiSpyware\gcasDtServ.exe C:\Programme\Microsoft AntiSpyware\gcasServ.exe C:\WINDOWS\system32\rundll32.exe C:\Dokumente und Einstellungen\Scharrer\Desktop\hijackthis_199\HijackThis.exe R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Bar = res://C:\DOKUME~1\Scharrer\LOKALE~1\Temp\se.dll/sp.html R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = about:blank R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.my.yahoo.com R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Bar = res://C:\DOKUME~1\Scharrer\LOKALE~1\Temp\se.dll/sp.html R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = about:blank R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = about:blank R1 - HKCU\Software\Microsoft\Internet Explorer\Search,SearchAssistant = about:blank R0 - HKLM\Software\Microsoft\Internet Explorer\Search,SearchAssistant = about:blank R1 - HKCU\Software\Microsoft\Internet Explorer\Main,HomeOldSP = about:blank R1 - HKLM\Software\Microsoft\Internet Explorer\Main,HomeOldSP = about:blank O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Programme\Adobe\Acrobat 5.0\Reader\ActiveX\AcroIEHelper.ocx O2 - BHO: (no name) - {AA0ADEB3-7E99-4A56-BD9D-B4297AFD39B2} - C:\WINDOWS\system32\lbpeka.dll O2 - BHO: Google Toolbar Helper - {AA58ED58-01DD-4d91-8333-CF10577473F7} - c:\programme\google\googletoolbar1.dll O3 - Toolbar: &Google - {2318C2B1-4965-11d4-9B18-009027A5CD4F} - c:\programme\google\googletoolbar1.dll O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE NvQTwk,NvCplDaemon initialize O4 - HKLM\..\Run: [nwiz] nwiz.exe /install O4 - HKLM\..\Run: [CeEPOWER] C:\Programme\TOSHIBA\Power Management\CePMTray.exe O4 - HKLM\..\Run: [CPLBTS88] C:\PROGRA~1\EzButton\CPLBTS88.EXE O4 - HKLM\..\Run: [CeEKEY] C:\Programme\TOSHIBA\E-KEY\CeEKey.exe O4 - HKLM\..\Run: [Apoint] C:\Programme\Apoint2K\Apoint.exe O4 - HKLM\..\Run: [TPNF] C:\Programme\TOSHIBA\TouchPad\TPTray.exe O4 - HKLM\..\Run: [Microsoft Works Update Detection] C:\Programme\Gemeinsame Dateien\Microsoft Shared\Works Shared\WkUFind.exe O4 - HKLM\..\Run: [ezShieldProtector for Px] C:\WINDOWS\System32\ezSP_Px.exe O4 - HKLM\..\Run: [EM_EXEC] C:\PROGRA~1\Logitech\MOUSEW~1\SYSTEM\EM_EXEC.EXE O4 - HKLM\..\Run: [WinFaxAppPortStarter] wfxsnt40.exe O4 - HKLM\..\Run: [TkBellExe] "C:\Programme\Gemeinsame Dateien\Real\Update_OB\realsched.exe" -osboot O4 - HKLM\..\Run: [QuickTime Task] "C:\Programme\QuickTime\qttask.exe" -atboottime O4 - HKLM\..\Run: [gcasServ] "C:\Programme\Microsoft AntiSpyware\gcasServ.exe" O4 - HKLM\..\Run: [AVGCtrl] C:\Programme\AVPersonal\AVGNT.EXE /min O4 - HKLM\..\Run: [sp] rundll32 C:\DOKUME~1\Scharrer\LOKALE~1\Temp\se.dll,DllInstall O4 - HKCU\..\Run: [NVIEW] rundll32.exe nview.dll,nViewLoadHook O4 - Global Startup: WEB.DE SmartSurfer2.3a.lnk = C:\Programme\WEBDE\SmartSurfer2.31\SmartSurfer.exe O8 - Extra context menu item: &Google Search - res://c:\programme\google\GoogleToolbar1.dll/cmsearch.html O8 - Extra context menu item: Im Cache gespeicherte Seite - res://c:\programme\google\GoogleToolbar1.dll/cmcache.html O8 - Extra context menu item: Nach Microsoft &Excel exportieren - res://C:\PROGRA~1\MICROS~4\Office10\EXCEL.EXE/3000 O8 - Extra context menu item: Verweisseiten - res://c:\programme\google\GoogleToolbar1.dll/cmbacklinks.html O8 - Extra context menu item: Ähnliche Seiten - res://c:\programme\google\GoogleToolbar1.dll/cmsimilar.html O9 - Extra button: Real.com - {CD67F990-D8E9-11d2-98FE-00C0F0318AFE} - C:\WINDOWS\System32\Shdocvw.dll O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe O15 - Trusted Zone: http://*.windowsupdate.microsoft.com O15 - Trusted Zone: http://*.windowsupdate.com O16 - DPF: {EE8B6D5F-FEF2-11D0-B13F-00A024798EF3} (Microsoft Search Settings Control) - http://lg.home.microsoft.com/search/...chsettings.cab O18 - Filter: text/html - {56AF91B9-A85A-4397-8929-10E39BBB57C5} - C:\WINDOWS\system32\lbpeka.dll O18 - Filter: text/plain - {56AF91B9-A85A-4397-8929-10E39BBB57C5} - C:\WINDOWS\system32\lbpeka.dll O23 - Service: AntiVir Service (AntiVirService) - H+BEDV Datentechnik GmbH - C:\Programme\AVPersonal\AVGUARD.EXE O23 - Service: AntiVir Update (AVWUpSrv) - H+BEDV Datentechnik GmbH, Germany - C:\Programme\AVPersonal\AVWUPSRV.EXE O23 - Service: BrSplService (Brother XP spl Service) - brother Industries Ltd - C:\WINDOWS\System32\brsvc01a.exe O23 - Service: NVIDIA Driver Helper Service (NVSvc) - NVIDIA Corporation - C:\WINDOWS\System32\nvsvc32.exe O23 - Service: WinFax PRO (wfxsvc) - Symantec Corporation - C:\WINDOWS\System32\WFXSVC.EXE |
keine sorge wegen instsrv, die ist kein rootkit sondern das tool instsrv, dass programme also normale dinge wie office shortcutleiste zu einem systemdienst machen kann. also ein "als dienst starten" programm. -gehe in den abgesicherten modus -fixe mit hijackthis diese einträge: R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Bar = res://C:\DOKUME~1\Scharrer\LOKALE~1\Temp\se.dll/sp.html R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Bar = res://C:\DOKUME~1\Scharrer\LOKALE~1\Temp\se.dll/sp.html O2 - BHO: (no name) - {AA0ADEB3-7E99-4A56-BD9D-B4297AFD39B2} - C:\WINDOWS\system32\lbpeka.dll O4 - HKLM\..\Run: [sp] rundll32 C:\DOKUME~1\Scharrer\LOKALE~1\Temp\se.dll,DllInsta ll O18 - Filter: text/html - {56AF91B9-A85A-4397-8929-10E39BBB57C5} - C:\WINDOWS\system32\lbpeka.dll O18 - Filter: text/plain - {56AF91B9-A85A-4397-8929-10E39BBB57C5} - C:\WINDOWS\system32\lbpeka.dll -lösche die dateien lbpeka.dll, mpckdaa.dll, ekcac.dll, dblgl.dll, lotagodu.dll und instsrv.exe im ordner C:\WINDOWS\system32\ -leere den quarantäneordner von norton antivirus -leere den papierkorb -speichere die datei avpx.exe im ordner c:\ auf eine diskette zwecks beweissicherung und lösche sie dann auf der festplatte -lade dir clearprog runter,installiere es -gehe wieder in den abgesicherten modus -starte clearprog, setze haken bei "alles löschen" klicke auf löschen -normaler modus, neues HJT Logfile |
| Alle Zeitangaben in WEZ +1. Es ist jetzt 02:15 Uhr. |
Copyright ©2000-2025, Trojaner-Board