Dauernde Popups von Zamingo.com
 

Hallo,

bisher habe ich mich immer alleine zurechtgefunden und musste nichts nachfragen. Nun habe ich mir heut morgen was eingefangen, dass ich nicht mehr weg bekomme. Ca. alle zwei Minuten gehen, ob IE geöffnet oder nicht (hab DSL Flat), Pop Ups einer Firma Zamingo.com auf. Nachdem Antivir zunächst vier, nach Neustart nochmals 12 Trojaner, Backdoor Software etc. gefunden hatte, ich Hijack This durchlaufen lassen habe und im Autostartordner nachgesehen habe weiß ich nicht mehr weiter.

Hier mein Logfile

Logfile of HijackThis v1.97.7
Scan saved at 15:18:48, on 30.06.04
Platform: Windows 98 SE (Win9x 4.10.2222A)
MSIE: Internet Explorer v5.50 SP1 (5.50.4522.1800)

Running processes:
C:\WINDOWS\SYSTEM\KERNEL32.DLL
C:\WINDOWS\SYSTEM\MSGSRV32.EXE
C:\WINDOWS\SYSTEM\MPREXE.EXE
C:\WINDOWS\SYSTEM\NVSVC.EXE
C:\WINDOWS\SYSTEM\mmtask.tsk
C:\WINDOWS\EXPLORER.EXE
C:\WINDOWS\TASKMON.EXE
C:\WINDOWS\SYSTEM\SYSTRAY.EXE
C:\WINDOWS\SOUNDMAN.EXE
C:\WINDOWS\SYSTEM\STIMON.EXE
C:\IMAGEMATE COMPACTFLASH USB\SANDICON.EXE
C:\PROGRAMME\AHEAD\INCD\INCD.EXE
C:\PROGRAMME\FRITZ!DSL\AWATCH.EXE
C:\PROGRAMME\WINAMP\WINAMPA.EXE
C:\PROGRAMME\GEMEINSAME DATEIEN\REAL\UPDATE_OB\REALSCHED.EXE
C:\PROGRAMME\AVPERSONAL\AVGCTRL.EXE
C:\WINDOWS\RUNDLL32.EXE
C:\WINDOWS\SYSTEM\DDHELP.EXE
C:\PROGRAMME\MICROSOFT OFFICE\OFFICE\OSA.EXE
C:\TOOLS_95\IOWATCH.EXE
C:\TOOLS_95\IMGICON.EXE
C:\WINDOWS\SYSTEM\HPLAMPC.EXE
C:\WINDOWS\SYSTEM\WMIEXE.EXE
C:\WINDOWS\RUNDLL32.EXE
C:\PROGRAMME\AVPERSONAL\AVWIN.EXE
C:\t_online\EMAIL20\Toemail.exe
C:\T-ONLINE\BSW4\ONLINE.EXE
C:\WINDOWS\SYSTEM\WSASRV.EXE
C:\PROGRAMME\INTERNET EXPLORER\IEXPLORE.EXE
D:\PROGRAMME 2\HIJACKTHIS.EXE

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.sparkasse-langenfeld.de/
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://www.t-online.de
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Window Title = Microsoft Internet Explorer von T-Online
R1 - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings,ProxyServer = http=proxy.btx.dtag.de:80;ftp=ftp-proxy.btx.dtag.de:80
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page_bak = http://www.sparkasse-langenfeld.de/
F1 - win.ini: run=c:\windows\system\unldr32.exe
O2 - BHO: (no name) - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\PROGRAMME\ADOBE\ACROBAT 5.0\READER\ACTIVEX\ACROIEHELPER.OCX
O2 - BHO: (no name) - {AA58ED58-01DD-4d91-8333-CF10577473F7} - c:\programme\google\googletoolbar2.dll
O2 - BHO: (no name) - {00000250-0320-4DD4-BE4F-7566D2314352} - C:\WINDOWS\VOICEIP.DLL
O2 - BHO: (no name) - {5FA6752A-C4A0-4222-88C2-928AE5AB4966} - C:\WINDOWS\SYSTEM\SWIN32.DLL
O3 - Toolbar: &Google - {2318C2B1-4965-11d4-9B18-009027A5CD4F} - c:\programme\google\googletoolbar2.dll
O4 - HKLM\..\Run: [ScanRegistry] C:\WINDOWS\scanregw.exe /autorun
O4 - HKLM\..\Run: [TaskMonitor] C:\WINDOWS\taskmon.exe
O4 - HKLM\..\Run: [SystemTray] SysTray.Exe
O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\SYSTEM\NvCpl.dll,NvStartup
O4 - HKLM\..\Run: [nwiz] nwiz.exe /install
O4 - HKLM\..\Run: [SoundMan] soundman.exe
O4 - HKLM\..\Run: [StillImageMonitor] C:\WINDOWS\SYSTEM\STIMON.EXE
O4 - HKLM\..\Run: [SandIcon] C:\ImageMate CompactFlash USB\SandIcon.Exe
O4 - HKLM\..\Run: [InCD] C:\Programme\ahead\InCD\InCD.exe
O4 - HKLM\..\Run: [LoadPowerProfile] Rundll32.exe powrprof.dll,LoadCurrentPwrScheme
O4 - HKLM\..\Run: [AWatch] C:\Programme\FRITZ!DSL\Awatch.exe
O4 - HKLM\..\Run: [WinampAgent] "C:\PROGRAMME\WINAMP\WINAMPa.exe"
O4 - HKLM\..\Run: [TkBellExe] "C:\Programme\Gemeinsame Dateien\Real\Update_OB\realsched.exe" -osboot
O4 - HKLM\..\Run: [AVGCtrl] C:\PROGRAMME\AVPERSONAL\AVGCTRL.EXE /min
O4 - HKLM\..\Run: [Adstartup] C:\WINDOWS\SYSTEM\automove.exe
O4 - HKLM\..\RunServices: [LoadPowerProfile] Rundll32.exe powrprof.dll,LoadCurrentPwrScheme
O4 - HKLM\..\RunServices: [Unldr32] c:\windows\system\unldr32.exe
O4 - HKLM\..\RunServices: [NVSvc] C:\WINDOWS\SYSTEM\nvsvc.exe -runservice
O4 - HKCU\..\Run: [NvMediaCenter] RUNDLL32.EXE C:\WINDOWS\SYSTEM\NVMCTRAY.DLL,NvTaskbarInit
O4 - Startup: Office-Start.lnk = C:\Programme\Microsoft Office\Office\OSA.EXE
O4 - Startup: Iomega Watch.lnk = C:\Tools_95\IOWATCH.EXE
O4 - Startup: Iomega-Startoptionen.lnk = C:\Tools_95\IMGSTART.EXE
O4 - Startup: Zip Disk Icons.lnk = C:\Tools_95\IMGICON.EXE
O8 - Extra context menu item: &Google Search - res://C:\PROGRAMME\GOOGLE\GOOGLETOOLBAR2.DLL/cmsearch.html
O8 - Extra context menu item: Cac&hed Snapshot of Page - res://C:\PROGRAMME\GOOGLE\GOOGLETOOLBAR2.DLL/cmcache.html
O8 - Extra context menu item: Si&milar Pages - res://C:\PROGRAMME\GOOGLE\GOOGLETOOLBAR2.DLL/cmsimilar.html
O8 - Extra context menu item: Backward &Links - res://C:\PROGRAMME\GOOGLE\GOOGLETOOLBAR2.DLL/cmbacklinks.html
O9 - Extra button: Related (HKLM)
O9 - Extra 'Tools' menuitem: Show &Related Links (HKLM)
O9 - Extra 'Tools' menuitem: Sun Java Console (HKLM)
O12 - Plugin for .mov: C:\PROGRAMME\NETSCAPE\COMMUNICATOR\PROGRAM\PLUGINS\NPQTW32.DLL
O12 - Plugin for .mid: C:\PROGRAMME\NETSCAPE\COMMUNICATOR\PROGRAM\PLUGINS\npaudio.dll
O12 - Plugin for .wav: C:\PROGRAMME\NETSCAPE\COMMUNICATOR\PROGRAM\PLUGINS\npaudio.dll
O12 - Plugin for .avi: C:\PROGRAMME\NETSCAPE\COMMUNICATOR\PROGRAM\PLUGINS\npavi32.dll
O12 - Plugin for .wmv: C:\PROGRAMME\NETSCAPE\COMMUNICATOR\PROGRAM\PLUGINS\npdsplay.dll
O14 - IERESET.INF: START_PAGE_URL=http://www.t-online.de
O16 - DPF: {D27CDB6E-AE6D-11CF-96B8-444553540000} (Shockwave Flash Object) - http://download.macromedia.com/pub/s...sh/swflash.cab
O16 - DPF: {33564D57-0000-0010-8000-00AA00389B71} - http://download.microsoft.com/downlo...22/wmv9VCM.CAB
O16 - DPF: {E855A2D4-987E-4F3B-A51C-64D10A7E2479} (EPSImageControl Class) - http://tools.ebayimg.com/eps/activex...trol_v1-32.cab
O16 - DPF: {166B1BCA-3F9C-11CF-8075-444553540000} (Shockwave ActiveX Control) - http://download.macromedia.com/pub/s...irector/sw.cab
O16 - DPF: {56336BCB-3D8A-11D6-A00B-0050DA18DE71} (RdxIE Class) - http://software-dl.real.com/22d15ccd...dxIE601_de.cab
O16 - DPF: JT's Blocks - http://download.games.yahoo.com/game...s/y/blt1_x.cab
O16 - DPF: Yahoo! Chinese Checkers - http://download.games.yahoo.com/game...s/y/cct0_x.cab
O16 - DPF: Yahoo! Pyramids - http://download.games.yahoo.com/game...s/y/pyt1_x.cab

Im Autostart hab ich was, was mir komisch vorkommt, bin mir aber nicht sicher: Adstart c:\Windows\System\automove.exe

Plus von Antivir gemeldet, eine infizierte Datei mit dem Namen ocx[1].cab.

Vielen Dank für Eure Hilfe und viele Grüße,
Melanie

Hallo Melanie,

lade Dir alternativ zu AntiVir bitte mal eScan herunter (Bitte Link in meiner Signatur beachten), mach ein Update und scanne Deinen Rechner im abgesicherten Modus.
Poste bitte anschließend, ob und was eScan gefunden hat.

Hallo Lutz,

das ist jetzt der dritte Versuch eine Antwort zu schreiben, dauernd gehen die Popups auf und der Text verschwindet. Habe alles so gemacht wie Du beschrieben hast, aber das Problem besteht (der Logfile ist mehrere Seiten lang).
Im Autostart befindet sich ein "Adstartup" mit dem Pfad c:\windows\system\automove.exe, die aber im Windows Explorer nicht zu finden ist, auch nicht nach einschalten von "versteckte Dateien anzeigen". Was mir auffällt sind Dateien mit den Namen retpdat.xml und sp32.xml.
Nach Deaktivierung im Autostart und Neustart ist es sofort wieder aktiviert.
In c: selbst habe ich die Datei adupmanager.xml
Lösche ich diese, taucht sie nach kurzer Zeit auch wieder auf.

Nachdem das heute morgen passiert ist, hatte ich zig neue exen auf dem Desktop, Dinge wie Think2, travel-irgendwas und was mit 53.
In der Software findet sich noch eine XXXToolbar, die sich nicht entfernen lässt.

Ich komme weder in mein Yahoo Postfach, noch kann ich Ebay Auktionen einstellen (Meldung: Diese Anwendung wird aufgrund eines ungültigen Vorgangs geschlossen...)

Waaah...was kann denn das sein??

Viele Grüße,

Melanie

Hallo nochmal,

ich glaube ich habe das Problem gelöst. Vielleicht hilft es ja dem einen oder anderen weiter.

Zunächst mal habe ich mit Hijack this die beiden Einträge


O2 - BHO: (no name) - {00000250-0320-4DD4-BE4F-7566D2314352} - C:\WINDOWS\VOICEIP.DLL
O2 - BHO: (no name) - {5FA6752A-C4A0-4222-88C2-928AE5AB4966} - C:\WINDOWS\SYSTEM\SWIN32.DLL

gelöscht.

Bin dann über regedit in HKEY local machine-->software-->Microsoft-->windows-->current version --> run und habe dort den Eintrag adstartup gelöscht und dann in run- (man achte auf den Bindestrich) denselben Eintrag nochmals gefunden und gelöscht. Danach tauchte in c:\windows folgende Datei auf .plugin141_05, erstellt in dem Moment wo ich die anderen gelöscht hatte. Also hab ich die auch gelöscht...
Die Datei adupmanager.xml auch gelöscht und neu gestartet. Bisher war nach jedem Neustart alles wieder da - nun scheint es definitiv weg zu sein, nach mehreren Neustarts ist nichts mehr aufgetaucht und auch IE stürzt nicht mehr zusammen.

Also wenn es jetzt geklappt hat dann... :huepp:
Und wenn nicht sag ich nur Frauen und Technik... :(

Viele Grüße,
Melanie

Hallo,
ich hab das gleiche Problem (leider immernoch, trotz der anleitung).
Mein PC wies auch die gleichen merkmale auf, sprich die datei namens adupdmanager.xml, die selbst wenn man sie gelöscht hatte immer wieder kam und auch unter HKEY local machine-->software-->Microsoft-->windows-->current version --> run gibt es den eintrag "adstartup", der kommt allerdings auch immer wieder, wenn ich ihn lösche.
Was bei mir allerdings nicht zu finden war, waren diese beiden einträge:
Ich habe zunächst alles nach der anleitung gemacht, also die adupdmanager.xml gelöscht und danach über regedit unter "run" den eintrag "adstartup" gelöscht. Dann wollte ich ihn auch unter "run-" löschen, musste aba feststellen, dass gar kein "run-" zu sehen war :dummguck:
Und unter C:\Windows war auch keine .plugin141_05 datei zu sehen.
Ich hab auch schon bei symantec auf viren checken lassen, aber es wurde keins gefunden.
Hoffe ich hab's einigermaßen verständlich geschrieben, sodass ihr mir hoffentlich helfen koennt.