Brauch mal dringend adware pro
 

folgendes problem:

sobald ich online gehe gehen firefox fenster auf, die auf werbeseiten linken, ist ein browser offen, wir die aktuelle seite geschlossen und eine werbeseite geöffnet. die werbeseiten sind random ... von arcor bis zu anti virensoftware seiten.

finde absolut keine lösung für das problem.
adaware findet immer die gleichen dinge, gibt an, dass sie gelöscht wurden, bei einem erneuten scan sind sie aber da.
regedit run/runonce und autostart sind absolut sauber.

hijack log:

Logfile of HijackThis v1.99.1
Scan saved at 15:09:10, on 19.03.2006
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\Ati2evxx.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\spoolsv.exe
C:\WINDOWS\Explorer.EXE
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\System32\MsPMSPSv.exe
C:\Programme\Creative\SBAudigy LS\Surround Mixer\CTSysVol.exe
C:\Programme\SEC\Natural Color\NaturalColorLoad.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\rundll32.exe
G:\Install Programme\Firefox\firefox.exe
C:\Programme\Outlook Express\Msimn.exe
C:\Dokumente und Einstellungen\user\Desktop\hijackthis_199\HijackThis.exe

O4 - HKLM\..\Run: [CTSysVol] C:\Programme\Creative\SBAudigy LS\Surround Mixer\CTSysVol.exe /r
O4 - Global Startup: NaturalColorLoad.lnk = ?
O20 - Winlogon Notify: URL - C:\WINDOWS\system32\e2jm0c11ef.dll
O23 - Service: Ati HotKey Poller - ATI Technologies Inc. - C:\WINDOWS\system32\Ati2evxx.exe
O23 - Service: InstallDriver Table Manager (IDriverT) - Unknown owner - C:\Programme\Gemeinsame Dateien\InstallShield\Driver\11\Intel 32\IDriverT.exe (file missing)


"O20 - Winlogon Notify: URL - C:\WINDOWS\system32\e2jm0c11ef.dll"
die ist vermutlich das problem.
diese dll erstellt sich mit einem willkürlichen dateinamen permanent neu. wenn ich abgesichert boote und nach der dll schaue ist sie nicht da ... ein erneuter scan mittels adaware gibt eine neue dll aus mit einer anderen bezeichnung, die ich dann natürlich nicht läschenkann.

"O23 - Service: Ati HotKey Poller - ATI Technologies Inc. - "
was ist das? hotkey poller sagt mir gar nix


kann sich irgendwer nen reim drauf machen. krieg das absolut nicht gelöst.

Moin,

also mit Deiner Vermutung in Zeile:
O20 - Winlogon Notify: URL - C:\WINDOWS\system32\e2jm0c11ef.dll
lagst du genau richtig. (Quelle: http://www.trendmicro.com/vinfo/virusencyclo/default5.asp?VName=JAVA_BYTEVER.A)

Versuche die Datei Mittels KILLBOX "delete on reboot" zu entfernen !!
http://www.downloads.subratam.org/KillBox.exe

Außerdem kannst Du Zeile
O23 - Service: InstallDriver Table Manager (IDriverT) - Unknown owner - C:\Programme\Gemeinsame Dateien\InstallShield\Driver\11\Intel 32\IDriverT.exe (file missing)
mit HijackThis fixen, da unnötig !!!

Poste nachdem Du Killbox angewandt hast nochmasl ein HijackLOG !!

Gruß Daniel ..

lieben Dank Sunny,


es handelt sich um adware.look2me ...
ist ein ganz fieses kleines teil.

tool zum entfernen: http://www.downloads.subratam.org/l2mfix.exe

lt. hijack ist das system nu wieder sauber.

das waren nur noch die RESTE von LOO2ME !!!!

Zumindest von dem was man im LOG sehen konnte !!

Gruß
Daniel ..