|
Brauche dringend Hilfe - Bitte!!! Hallo, bei mir ist folgendes Problem: Mein Internet-Explorer geht immer automatisch auf so eine Seite (Coolwebsearch), ich kann ihn nicht mehr auf leere Seite stellen. Daraufhin öffnet sich ein Dialer und versucht sich irgendwo einzuwählen. Ich habe bereits Ad-Aware, CWshredder und Sphjfix und HijackThis drüber laufen lassen, aber keiner findet irgendwas. Die installierten Dateien kann ich löschen wie ich will, nach dem nächsten starten des IE kommen sie wieder. Mit Hijack This habe ich diese R0 und R1-Dateien jetzt schon ein paarmal gefixt, aber es gibt keine Reaktion, die sind danach wieder genauso wie vorher. Kann man diesen Dialer und diesen Hijacker nicht irgendwie finden und entfernen??? Ich poste jetzt mal mein Log-File in der Hoffnung, dass mir da jemand helfen kann. Fände ich total klasse: Logfile of HijackThis v1.98.2 Scan saved at 05:34:18, on 09.10.2004 Platform: Windows XP (WinNT 5.01.2600) MSIE: Internet Explorer v6.00 SP1 (6.00.2600.0000) Running processes: C:\WINDOWS\System32\smss.exe C:\WINDOWS\system32\winlogon.exe C:\WINDOWS\system32\services.exe C:\WINDOWS\system32\lsass.exe C:\WINDOWS\system32\svchost.exe C:\WINDOWS\System32\svchost.exe C:\WINDOWS\system32\spoolsv.exe C:\WINDOWS\Explorer.EXE C:\WINDOWS\System32\atiptaxx.exe C:\Programme\A4Tech\Mouse\Amoumain.exe C:\Programme\MUSICMATCH\MUSICMATCH Jukebox\mm_tray.exe C:\Programme\CloneCD\CloneCDTray.exe C:\Programme\Gemeinsame Dateien\Real\Update_OB\realsched.exe C:\Programme\Gemeinsame Dateien\AOL\ACS\AOLDial.exe C:\Programme\QuickTime\qttask.exe C:\WINDOWS\System32\owfevd.exe C:\WINDOWS\System32\systime.exe C:\WINDOWS\System32\ctfmon.exe C:\WINDOWS\System32\vbscript.exe C:\WINDOWS\System32\systime.exe C:\Dokumente und Einstellungen\Mike Langendorf\Anwendungsdaten\paor.exe C:\Programme\AOL 9.0a\aoltray.exe C:\PROGRA~1\GEMEIN~1\aol\ACS\AOLacsd.exe C:\Programme\AVWin\AVWUPSRV.EXE C:\WINDOWS\system32\pctspk.exe C:\WINDOWS\wanmpsvc.exe C:\WINDOWS\System32\wuauclt.exe C:\Diverses\HijackThis.exe C:\Programme\AOL 9.0a\waol.exe C:\Programme\AOL 9.0a\shellmon.exe C:\Programme\Gemeinsame Dateien\Aol\aoltpspd.exe R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://213.159.117.134/index.php R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://213.159.117.134/index.php R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://213.159.117.134/index.php R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = http://213.159.117.134/index.php R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Local Page = http://213.159.117.134/index.php R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Local Page = http://213.159.117.134/index.php O2 - BHO: (no name) - {00000010-6F7D-442C-93E3-4A4827C2E4C8} - (no file) O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINDOWS\System32\msdxm.ocx O4 - HKLM\..\Run: [AtiPTA] atiptaxx.exe O4 - HKLM\..\Run: [WheelMouse] Amoumain.exe O4 - HKLM\..\Run: [ElbyCheckElbyCDFL] C:\Programme\CloneCD\ElbyCheck.exe /L ElbyCDFL O4 - HKLM\..\Run: [NeroCheck] C:\WINDOWS\system32\NeroCheck.exe O4 - HKLM\..\Run: [MMTray] C:\Programme\MUSICMATCH\MUSICMATCH Jukebox\mm_tray.exe O4 - HKLM\..\Run: [CloneCDTray] C:\Programme\CloneCD\CloneCDTray.exe O4 - HKLM\..\Run: [TkBellExe] C:\Programme\Gemeinsame Dateien\Real\Update_OB\realsched.exe -osboot O4 - HKLM\..\Run: [Tray Temperature] C:\Programme\Go!Zilla\weatherbug\minibug.exe 1 O4 - HKLM\..\Run: [AOLDialer] C:\Programme\Gemeinsame Dateien\AOL\ACS\AOLDial.exe O4 - HKLM\..\Run: [QuickTime Task] "C:\Programme\QuickTime\qttask.exe" -atboottime O4 - HKLM\..\Run: [AVWUpd32] "C:\PROGRA~1\AVWin\Avwupd32.EXE" /min O4 - HKLM\..\Run: [ssucrqtmynv] C:\WINDOWS\System32\owfevd.exe O4 - HKLM\..\Run: [VBundleOuterDL] C:\Programme\VBouncer\BundleOuter.EXE O4 - HKLM\..\Run: [SysTime] C:\WINDOWS\System32\systime.exe O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\ctfmon.exe O4 - HKCU\..\Run: [vbscript] C:\WINDOWS\System32\vbscript.exe O4 - HKCU\..\Run: [SysTime] C:\WINDOWS\System32\systime.exe O4 - HKCU\..\Run: [Ertc] C:\Dokumente und Einstellungen\Mike Langendorf\Anwendungsdaten\paor.exe O4 - Startup: killer2.bat O4 - Global Startup: AOL 9.0 Tray-Symbol.lnk = C:\Programme\AOL 9.0a\aoltray.exe O4 - Global Startup: Microsoft Office.lnk = C:\Programme\Microsoft Office\Office\OSA9.EXE O8 - Extra context menu item: Download with Go!Zilla - file://C:\Programme\Go!Zilla\download-with-gozilla.html O9 - Extra button: AIM - {AC9E2541-2814-11d5-BC6D-00B0D0A1DE45} - C:\Programme\AIM95\aim.exe O9 - Extra button: Real.com - {CD67F990-D8E9-11d2-98FE-00C0F0318AFE} - C:\WINDOWS\System32\Shdocvw.dll O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\MSMSGS.EXE O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\MSMSGS.EXE O14 - IERESET.INF: START_PAGE_URL=http://www.aol.de/e60/ O17 - HKLM\System\CCS\Services\Tcpip\..\{ACD0C4C8-3634-4299-BB8C-06E9C30BDEC7}: NameServer = 205.188.146.146 |
Hallo annorax, Alles von mir beschriebene bitte im Abgesicherten Modus fixen ! Da scheint noch einiges anderes nich zu stimmen, fixe bitte folgende Einträge: BITTE schliesse vorher den Prozess systime.exe indem du folgendes machst: Falls der Prozess 2 mal läuft beide male so beenden Drücke Strg+Alt+Entf klicke auf Prozesse und dann suche systime.exe dann klick auf Prozess beenden die sicherheitsabfrage mit ja beantworten R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://213.159.117.134/index.php R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = http://213.159.117.134/index.php R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Local Page = http://213.159.117.134/index.php R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Local Page = http://213.159.117.134/index.php R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://213.159.117.134/index.php R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://213.159.117.134/index.php O2 - BHO: (no name) - {00000010-6F7D-442C-93E3-4A4827C2E4C8} - (no file) O4 - HKLM\..\Run: [SysTime] C:\WINDOWS\System32\systime.exe O4 - HKCU\..\Run: [SysTime] C:\WINDOWS\System32\systime.exe Danach sollte eigentlich alles wieder richtig funktionieren... |
Hallo annorax, Platform: Windows XP (WinNT 5.01.2600)/MSIE: Internet Explorer v6.00 SP1 (6.00.2600.0000) - lade Dir bitte das aktuelle Service Pack runter und update den IE: www.windowsupdate.com. Beachte bitte, dass das Betriebssystem, der Browser, alle SchutzProgramme, sowie alle weitere Software stets auf dem aktuellen Stand gehalten werden muss, um einen Schutz darstellen zu können. Scanne bitte mit dem online-scan von Kaspersky folgende Dateien: C:\WINDOWS\System32\owfevd.exe C:\WINDOWS\System32\vbscript.exe C:\Dokumente und Einstellungen\Mike Langendorf\Anwendungsdaten\paor.exe C:\Programme\VBouncer\BundleOuter.EXE C:\WINDOWS\System32\vbscript.exe C:\Dokumente und Einstellungen\Mike Langendorf\Anwendungsdaten\paor.exe Teil uns das Ergebnis der Überprüfung mit und sende diese Dateien, wenn sie infiziert sind, an partytime-germany.ice@web.de, mit Hinweis auf diesen Thread. Boote in den abgesicherten Modus, deaktiviere die Systemwiederherstellung, und fixe dann mit Hijack This die von Shady2k angegebenen Einträge. Beende dann den von Shady2k angebenen Prozess. Aktiviere die Systemwiederherstellung, boote in den normalen Modus. Dann möchte ich gerne, dass Du - sicherheitshalber - Dein System mit dem eScan überprüfst: führe den eScan, online geupdatet, offline im abgesicherten Modus aus. Teile uns das Ergebnis des eScan mit: welche/wieviel Viren wurden auf Deinem Rechner gefunden. Beachte bitte, dass der eScan ab Version 4.5.1 die gefundene Malware nicht mehr automatisch löscht. Die Malware muß - bei deaktivierter Systemwiederherstellung im abgesicherten Modus - von Hand gelöscht werden, siehe eScan 4.5.1 Erstelle ein neues Logfile mit Hijack This und poste es. SD |
Hallo, ich hab jetzt alles so ausgeführt wie Ihr mir beschrieben hattet. Die vbscript.exe war infiziert, habe sie an die angegebene Mail-Adresse geschickt. Die angegebenen Dateien von Shady2k habe ich mit HiJack This gefixt, dann den eScan drüberlaufen lassen. Ich hoffe, als Ergebnis reicht dies, das ganze Log zu posten würde sicher den Rahmen sprengen: Sun Oct 10 00:06:48 2004 => Total Number of Files Scanned: 90823 Sun Oct 10 00:06:48 2004 => Total Number of Virus(es) Found: 102 Sun Oct 10 00:06:48 2004 => Total Number of Disinfected Files: 0 Sun Oct 10 00:06:48 2004 => Total Number of Files Renamed: 23 Sun Oct 10 00:06:48 2004 => Total Number of Deleted Files: 66 Sun Oct 10 00:06:48 2004 => Total Number of Errors: 4 Sun Oct 10 00:06:48 2004 => Time Elapsed: 01:15:22 Sun Oct 10 00:06:48 2004 => Virus Database Date: 2004/09/08 Sun Oct 10 00:06:48 2004 => Virus Database Count: 103474 Sun Oct 10 00:06:48 2004 => Scan Completed. Das neue Logfile vom Hijack This sieht folgendermaßen aus: Logfile of HijackThis v1.98.2 Scan saved at 00:35:04, on 10.10.2004 Platform: Windows XP (WinNT 5.01.2600) MSIE: Internet Explorer v6.00 SP1 (6.00.2600.0000) Running processes: C:\WINDOWS\System32\smss.exe C:\WINDOWS\system32\winlogon.exe C:\WINDOWS\system32\services.exe C:\WINDOWS\system32\lsass.exe C:\WINDOWS\system32\svchost.exe C:\WINDOWS\System32\svchost.exe C:\WINDOWS\system32\spoolsv.exe C:\WINDOWS\Explorer.EXE C:\WINDOWS\System32\atiptaxx.exe C:\Programme\MUSICMATCH\MUSICMATCH Jukebox\mm_tray.exe C:\Programme\CloneCD\CloneCDTray.exe C:\Programme\Gemeinsame Dateien\Real\Update_OB\realsched.exe C:\Programme\Gemeinsame Dateien\AOL\ACS\AOLDial.exe C:\Programme\QuickTime\qttask.exe C:\WINDOWS\System32\ctfmon.exe C:\Programme\AOL 9.0a\aoltray.exe C:\PROGRA~1\GEMEIN~1\aol\ACS\AOLacsd.exe C:\Programme\AVWin\AVWUPSRV.EXE C:\WINDOWS\system32\pctspk.exe C:\WINDOWS\wanmpsvc.exe C:\WINDOWS\System32\wuauclt.exe C:\WINDOWS\System32\wuauclt.exe C:\Diverses\HijackThis.exe C:\Programme\A4Tech\Mouse\Amoumain.exe O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINDOWS\System32\msdxm.ocx O4 - HKLM\..\Run: [AtiPTA] atiptaxx.exe O4 - HKLM\..\Run: [ElbyCheckElbyCDFL] C:\Programme\CloneCD\ElbyCheck.exe /L ElbyCDFL O4 - HKLM\..\Run: [NeroCheck] C:\WINDOWS\system32\NeroCheck.exe O4 - HKLM\..\Run: [MMTray] C:\Programme\MUSICMATCH\MUSICMATCH Jukebox\mm_tray.exe O4 - HKLM\..\Run: [CloneCDTray] C:\Programme\CloneCD\CloneCDTray.exe O4 - HKLM\..\Run: [TkBellExe] C:\Programme\Gemeinsame Dateien\Real\Update_OB\realsched.exe -osboot O4 - HKLM\..\Run: [AOLDialer] C:\Programme\Gemeinsame Dateien\AOL\ACS\AOLDial.exe O4 - HKLM\..\Run: [QuickTime Task] "C:\Programme\QuickTime\qttask.exe" -atboottime O4 - HKLM\..\Run: [AVWUpd32] "C:\PROGRA~1\AVWin\Avwupd32.EXE" /min O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\ctfmon.exe O4 - Startup: killer2.bat O4 - Global Startup: AOL 9.0 Tray-Symbol.lnk = C:\Programme\AOL 9.0a\aoltray.exe O4 - Global Startup: Microsoft Office.lnk = C:\Programme\Microsoft Office\Office\OSA9.EXE O8 - Extra context menu item: Download with Go!Zilla - file://C:\Programme\Go!Zilla\download-with-gozilla.html O9 - Extra button: AIM - {AC9E2541-2814-11d5-BC6D-00B0D0A1DE45} - C:\Programme\AIM95\aim.exe O9 - Extra button: Real.com - {CD67F990-D8E9-11d2-98FE-00C0F0318AFE} - C:\WINDOWS\System32\Shdocvw.dll O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\MSMSGS.EXE O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\MSMSGS.EXE O14 - IERESET.INF: START_PAGE_URL=http://www.aol.de/e60/ Im Moment läuft eigentlich alles soweit wieder stabil... ich hoffe, der Eindringling ist besiegt :crazy: |
Was ist dies? O4 - Startup: killer2.bat Notfalls fixen! |
Zitat:
|
Hallo annorax, das hört sich aber nicht gut an: Zitat:
SD |
Puh, ich habe das Log zwar gespeichert, aber das ist ja doch ziemlich umfangreich.... viele wiederholen sich auch mehrfach, die meisten waren im Ordner Temporary Internet Files. Ich habe mal versucht die häufigsten aufzuschreiben: TrojanDownloader.Win32.Agent.ae TrojanDownloader.Win32.Small.us TrojanDownloader.Win32.Agent.bq not-a-virus:AdvWare.BiSpy.o TrojanDownloader.Win32.WinShow.ak TrojanDownloader.Win32.Rameh.c TrojanDownloader.Win32.Delf.dg TrojanDownloader.Win32.SecondThought.ah TrojanDownloader.Win32.Keenval.e TrojanDropper.Win32.Small.ht TrojanClicker.Win32.VB.a not-virus:Joke.Win32.Melter Exploit.HTML.Mht TrojanDownloader.VBS.Iwill.o Exploit.CodeBaseExec TrojanDropper.VBS.Inor.br Exploit.HTML.ObjData TrojanDownloader.JS.Small.i Trojan.Win32.Dialer.ay TrojanDownloader.VBS.Psyme.v not-a-virus:Advware.MediaTickets.e TrojanDownloader.Win32.Small.ka Trojan.Java.ClassLoader.h TrojanDownloader.JS.Weis.b not-a-virus:AdvWare.BetterInternet |
Hast du die Dateien auch im abgesicherten Modus gelöscht? Leere deine Temp. Internet Files. |
Zitat:
|
| Alle Zeitangaben in WEZ +1. Es ist jetzt 21:40 Uhr. |
Copyright ©2000-2024, Trojaner-Board