|
res://hdury.dll/ Kennt jemand den o.a. Hijacker? Ich habe schon alles versucht, Startseite neu eingestellt, Registry von oben nach unten durch sucht, alles gelöscht, per suche verdächtige Dateien gelöscht, Tipps im Internet gesucht, aber nichts gefunden. Immer wenn alles gelöscht ist, und man startet den I.E. ist diese Seite wieder da und sämtliche Einträge in der Registry auch wieder inklusive der hdury.dll in c.\winnt\system32. Wenn ich nichts finde, muss ich mal wieder den Rehner platt machen und das kostet mich jedesmal einen ganzen Tag. |
Willkommen im Forum! Bitte poste doch mal ein HijackThis-Log. |
Hallo, nachfolgend die Hijack-log-datei:Running processes: C:\WINNT\System32\smss.exe C:\WINNT\system32\winlogon.exe C:\WINNT\system32\services.exe C:\WINNT\system32\lsass.exe C:\WINNT\system32\svchost.exe C:\WINNT\system32\spoolsv.exe C:\WINNT\System32\svchost.exe C:\WINNT\system32\regsvc.exe C:\WINNT\system32\MSTask.exe C:\WINNT\System32\WBEM\WinMgmt.exe C:\WINNT\system32\svchost.exe C:\WINNT\d3vd.exe C:\WINNT\Explorer.EXE C:\WINNT\system32\appre.exe C:\WINNT\System32\internat.exe C:\WINNT\System32\wuauclt.exe D:\Hijack\HijackThis.exe R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = res://C:\WINNT\system32\hdury.dll/sp.html#37049 R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = res://hdury.dll/index.html#37049 R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = res://hdury.dll/index.html#37049 R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = res://C:\WINNT\system32\hdury.dll/sp.html#37049 R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = res://hdury.dll/index.html#37049 R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = res://C:\WINNT\system32\hdury.dll/sp.html#37049 O2 - BHO: (no name) - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - D:\Programme\Adobe\Acrobat 6.0\Reader\ActiveX\AcroIEHelper.dll O2 - BHO: (no name) - {1AF53680-A740-3B09-15F7-3A3AC5DA449E} - C:\WINNT\netrx32.dll O3 - Toolbar: @msdxmLC.dll,-1@1031,&Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINNT\System32\msdxm.ocx O4 - HKLM\..\Run: [Synchronization Manager] mobsync.exe /logon O4 - HKLM\..\Run: [appre.exe] C:\WINNT\system32\appre.exe O4 - HKCU\..\Run: [internat.exe] internat.exe O4 - HKLM\..\RunOnce: [ipys.exe] C:\WINNT\system32\ipys.exe O4 - Global Startup: Microsoft Office.lnk = D:\Programme\Microsoft Office\Office\OSA9.EXE O9 - Extra button: Related (HKLM) O9 - Extra 'Tools' menuitem: Show &Related Links (HKLM) O14 - IERESET.INF: SEARCH_PAGE_URL= O14 - IERESET.INF: START_PAGE_URL= O16 - DPF: {D27CDB6E-AE6D-11CF-96B8-444553540000} (Shockwave Flash Object) - http://download.macromedia.com/pub/s...sh/swflash.cab O17 - HKLM\System\CCS\Services\Tcpip\..\{F80ED86E-3A5E-48F0-B9E6-F4AA06E1BE99}: NameServer = 172.25.26.254,172.25.26.254 Die Teile aus der Registry habe ich verstanden, auch schon mehrfach entfernt, beim Rest des Log-Files fehlt es aber. Für Hilfe wäre ich schon dankbar. Viele Grüße heidelberg |
Du kannst das Logfile auf http://www.hijackthis.de/ überprüfen lassen, auch wenn dies noch keine 100%ige Angelegenheit ist, würde ich in deinem Fall sagen, dass die Auswertung die kritischen files identifiziert. Die roten kannst du fixen, ebenso: O14 - IERESET.INF: SEARCH_PAGE_URL= O14 - IERESET.INF: START_PAGE_URL= Bei: netrx32.dll appre.exe ipys.exe d3vd.exe solltest du mal einen Onlinescan machen lassen: http://www.kaspersky.com/de/scanforvirus ich würde sehr stark darauf tippen, dass das auch schädliche files sind. |
Ja, wie bereits gesagt, lass bitte die Dateien bei Kaspersky überprüfen. Danach gehst du in den abgesicherten Modus und lässt dies fixen: R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = res://C:\WINNT\system32\hdury.dll/sp.html#37049 R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = res://hdury.dll/index.html#37049 R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = res://hdury.dll/index.html#37049 R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = res://C:\WINNT\system32\hdury.dll/sp.html#37049 R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = res://hdury.dll/index.html#37049 R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = res://C:\WINNT\system32\hdury.dll/sp.html#37049 O2 - BHO: (no name) - {1AF53680-A740-3B09-15F7-3A3AC5DA449E} - C:\WINNT\netrx32.dll O14 - IERESET.INF: SEARCH_PAGE_URL= O14 - IERESET.INF: START_PAGE_URL= Ebenfalls die Datei hier löschen: C:\WINNT\netrx32.dll Danach lässt du noch diesen Scanner drüberlaufen: http://www.trojaner-board.de/showthread.php?t=6083 Sollte er noch was finden, poste bitte ein neues Log. Evtl. auch mal www.windowsupate.com besuchen. |
Danke für Eure Hilfe, die Adressen mit den ganzen Dienstprogrammen waren wirklich gut. Ich habe jetzt aber allerdings den Rechner einem Spezialiesten übergeben, der hat wohl noch 5-10 Virenprogramme darüberlaufen lassen und dann nich 450 Viren gefunden. Das Hijack-Problem ist allerdings von einem Trojaner verursacht worden. Im Logfile steht er unter d3vd.exe. Jetzt läuft wieder alles und dem Kollegen verpassen wir jetzt eine Firewall und regelmäßige Kontrolle darüber, wo der sich im Internet rumtreibt. Also nochmals vielen Dank und bis zum nächsten Mal an dieser Stelle. heidelberg |
Schön, das alles wieder in Ordnung ist. :) Zitat:
Du solltest v.a. auf einen anderen, sichereren Browser wechseln: Mozilla, Firefox, Opera. Gruß :daumenhoc Yopie |
| Alle Zeitangaben in WEZ +1. Es ist jetzt 04:21 Uhr. |
Copyright ©2000-2025, Trojaner-Board