Trojaner-Board - startseite -> about:search

Trojaner-Board (https://www.trojaner-board.de/)

- Log-Analyse und Auswertung (https://www.trojaner-board.de/log-analyse-auswertung/)

- - startseite -> about:search (https://www.trojaner-board.de/8730-startseite-about-search.html)

startseite -> about:search

:mad:

guten tag,

durch suchen ueber google bin ich auf ihre seite gestoßen.
seit gestern habe ich ein problem mit "hijacking".

bei jedem browser-start wird als startseite "about:search" geoeffnet.
durch ihre anleitungen habe ich programme wie "ad-ware" und "spybot" und "cwshredder" schon laufen lassen.

nach jedem neustart befindet sich der browser jedoch wieder in der alten (about:search) einstellung.

anschließlich folgte ich ihren instruktionen und installierte "hijackthis", nun habe ich folgende auswertung bekommen und wuerde mich freuen, hilfe zu erhalten:

auswertung:

Logfile of HijackThis v1.98.2
Scan saved at 13:15:29, on 23.10.2004
Platform: Windows 2000 SP4 (WinNT 5.00.2195)
MSIE: Internet Explorer v5.00 SP4 (5.00.2920.0000)

Running processes:
C:\WINNT\System32\smss.exe
C:\WINNT\system32\winlogon.exe
C:\WINNT\system32\services.exe
C:\WINNT\system32\lsass.exe
C:\WINNT\system32\svchost.exe
C:\WINNT\system32\spoolsv.exe
C:\Programme\AVPersonal\AVGUARD.EXE
C:\Programme\AVPersonal\AVWUPSRV.EXE
C:\WINNT\System32\svchost.exe
C:\WINNT\system32\nvsvc32.exe
C:\WINNT\system32\regsvc.exe
C:\WINNT\system32\MSTask.exe
C:\WINNT\system32\ZoneLabs\vsmon.exe
C:\WINNT\System32\WBEM\WinMgmt.exe
C:\WINNT\system32\svchost.exe
C:\WINNT\Explorer.EXE
C:\Programme\AVPersonal\AVGNT.EXE
C:\PROGRA~1\ZONELA~1\ZONEAL~1\zlclient.exe
C:\Programme\Messenger Plus! 3\MsgPlus.exe
C:\WINNT\system32\internat.exe
C:\Programme\DS Clock\dsclock.exe
C:\Programme\Internet Explorer\iexplore.exe
C:\Programme\MSN Messenger\msnmsgr.exe
C:\Programme\Skype\Phone\Skype.exe
C:\Programme\hijackthis\HijackThis.exe

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = about:search
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = about:search
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = about:search
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = about:search
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = about:search
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = about:search
R0 - HKLM\Software\Microsoft\Internet Explorer\Search,SearchAssistant = about:search
R0 - HKLM\Software\Microsoft\Internet Explorer\Search,CustomizeSearch = about:search
O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Programme\Adobe\Acrobat 6.0\Reader\ActiveX\AcroIEHelper.dll
O2 - BHO: (no name) - {53707962-6F74-2D53-2644-206D7942484F} - C:\PROGRA~1\SPYBOT~1\SDHelper.dll
O2 - BHO: Google Toolbar Helper - {AA58ED58-01DD-4d91-8333-CF10577473F7} - c:\programme\google\googletoolbar1.dll
O3 - Toolbar: @msdxmLC.dll,-1@1031,&Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINNT\System32\msdxm.ocx
O3 - Toolbar: MSN Toolbar - {BDAD1DAD-C946-4A17-ADC1-64B5B4FF55D0} - C:\Programme\MSN Toolbar\01.01.1629.0\de\msntb.dll
O3 - Toolbar: &Google - {2318C2B1-4965-11d4-9B18-009027A5CD4F} - c:\programme\google\googletoolbar1.dll
O4 - HKLM\..\Run: [Synchronization Manager] mobsync.exe /logon
O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINNT\system32\NvCpl.dll,NvStartup
O4 - HKLM\..\Run: [nwiz] nwiz.exe /install
O4 - HKLM\..\Run: [NvMediaCenter] RUNDLL32.EXE C:\WINNT\system32\NvMcTray.dll,NvTaskbarInit
O4 - HKLM\..\Run: [AVGCtrl] C:\Programme\AVPersonal\AVGNT.EXE /min
O4 - HKLM\..\Run: [NeroCheck] C:\WINNT\system32\\NeroCheck.exe
O4 - HKLM\..\Run: [Zone Labs Client] C:\PROGRA~1\ZONELA~1\ZONEAL~1\zlclient.exe
O4 - HKLM\..\Run: [MessengerPlus3] "C:\Programme\Messenger Plus! 3\MsgPlus.exe"
O4 - HKLM\..\Run: [syschk] syschk.exe /fastcheck
O4 - HKCU\..\Run: [internat.exe] internat.exe
O4 - HKCU\..\Run: [DS Clock] "C:\Programme\DS Clock\dsclock.exe"
O4 - HKCU\..\Run: [Skype] "C:\Programme\Skype\Phone\Skype.exe" /nosplash /minimized
O4 - HKCU\..\Run: [syschk] syschk.exe /fastcheck
O6 - HKCU\Software\Policies\Microsoft\Internet Explorer\Restrictions present
O6 - HKCU\Software\Policies\Microsoft\Internet Explorer\Control Panel present
O7 - HKCU\Software\Microsoft\Windows\CurrentVersion\Policies\System, DisableRegedit=1
O8 - Extra context menu item: &Google Search - res://c:\programme\google\GoogleToolbar1.dll/cmsearch.html
O8 - Extra context menu item: Bild in &Microsoft PhotoDraw öffnen - res://C:\PROGRA~1\MICROS~2\Office\1031\phdintl.dll/phdContext.htm
O8 - Extra context menu item: Im Cache gespeicherte Seite - res://c:\programme\google\GoogleToolbar1.dll/cmcache.html
O8 - Extra context menu item: Verweisseiten - res://c:\programme\google\GoogleToolbar1.dll/cmbacklinks.html
O8 - Extra context menu item: Ähnliche Seiten - res://c:\programme\google\GoogleToolbar1.dll/cmsimilar.html
O14 - IERESET.INF: SEARCH_PAGE_URL=
O14 - IERESET.INF: START_PAGE_URL=
O16 - DPF: {10003000-1000-0000-1000-000000000000} - ms-its:mhtml:file://C:\\c.mht!http://208.53.130.46/free/cnt/770024...m::/dbtemp.exe
O16 - DPF: {2BC66F54-93A8-11D3-BEB6-00105AA9B6AE} (Symantec AntiVirus scanner) - http://security.symantec.com/sscv6/S...in/AvSniff.cab
O16 - DPF: {644E432F-49D3-41A1-8DD5-E099162EEEC5} (Symantec RuFSI Utility Class) - http://security.symantec.com/sscv6/S.../bin/cabsa.cab
O16 - DPF: {8E0D4DE5-3180-4024-A327-4DFAD1796A8D} (MessengerStatsClient Class) - http://messenger.zone.msn.com/binary...t.cab28578.cab
O17 - HKLM\System\CCS\Services\Tcpip\..\{C13059BC-D0F3-4D66-B302-3E550BD3EDF0}: NameServer = 217.237.150.33 217.237.151.161

besten dank [justhaki]

Hallo,

installiere IE6 SP1 und update ihn.

Deinstalliere unter Software -> Messenger Plus! 3

Wechsle in den abgesicherten Modus http://www.bsi.bund.de/av/texte/wiederher_xp.htm und fixe diese Einträge (Haken setzen und auf Fix Checked klicken):
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = about:search
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = about:search
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = about:search
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = about:search
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = about:search
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = about:search
R0 - HKLM\Software\Microsoft\Internet Explorer\Search,SearchAssistant = about:search
R0 - HKLM\Software\Microsoft\Internet Explorer\Search,CustomizeSearch = about:search
O4 - HKLM\..\Run: [MessengerPlus3] "C:\Programme\Messenger Plus! 3\MsgPlus.exe"
O4 - HKLM\..\Run: [syschk] syschk.exe /fastcheck
O16 - DPF: {10003000-1000-0000-1000-000000000000} - ms-its:mhtml:file://C:\\c.mht!http://208.53.130.46/free/cnt/77002...hm::/dbtemp.exe

Lösche diese Dateien:
syschk.exe

- mit eScan scannen (den Scanner mit der "mwavscan.com" starten. Alle Häkchen setzen und "Scan clean" klicken.) und die Malware manuell entfernen http://www.trojaner-board.de/42731-escan-anleitung.html
- neue Startseite vergeben
- Neustart
- dein System updaten http://v5.windowsupdate.microsoft.co...r/default.aspx
- neues Log-File von HiJackThis und die Virus Log Information von eScan posten

guten tag,

habe ihre anweisungen verfolgt.
die neue log-file sieht wie folgt aus:

Logfile of HijackThis v1.98.2
Scan saved at 16:27:10, on 23.10.2004
Platform: Windows 2000 SP4 (WinNT 5.00.2195)
MSIE: Internet Explorer v6.00 SP1 (6.00.2800.1106)

Running processes:
C:\WINNT\System32\smss.exe
C:\WINNT\system32\winlogon.exe
C:\WINNT\system32\services.exe
C:\WINNT\system32\lsass.exe
C:\WINNT\system32\svchost.exe
C:\WINNT\system32\spoolsv.exe
C:\Programme\AVPersonal\AVGUARD.EXE
C:\Programme\AVPersonal\AVWUPSRV.EXE
C:\WINNT\System32\svchost.exe
C:\WINNT\system32\nvsvc32.exe
C:\WINNT\system32\regsvc.exe
C:\WINNT\system32\MSTask.exe
C:\WINNT\system32\ZoneLabs\vsmon.exe
C:\WINNT\System32\WBEM\WinMgmt.exe
C:\WINNT\system32\svchost.exe
C:\WINNT\Explorer.EXE
C:\WINNT\system32\RUNDLL32.EXE
C:\Programme\AVPersonal\AVGNT.EXE
C:\PROGRA~1\ZONELA~1\ZONEAL~1\zlclient.exe
C:\WINNT\system32\internat.exe
C:\Programme\DS Clock\dsclock.exe
C:\Programme\Internet Explorer\IEXPLORE.EXE
C:\Programme\Internet Explorer\iexplore.exe
C:\Programme\hijackthis\HijackThis.exe

O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Programme\Adobe\Acrobat 6.0\Reader\ActiveX\AcroIEHelper.dll
O2 - BHO: (no name) - {53707962-6F74-2D53-2644-206D7942484F} - C:\PROGRA~1\SPYBOT~1\SDHelper.dll
O2 - BHO: Google Toolbar Helper - {AA58ED58-01DD-4d91-8333-CF10577473F7} - c:\programme\google\googletoolbar1.dll
O3 - Toolbar: MSN Toolbar - {BDAD1DAD-C946-4A17-ADC1-64B5B4FF55D0} - C:\Programme\MSN Toolbar\01.01.1629.0\de\msntb.dll
O3 - Toolbar: &Google - {2318C2B1-4965-11d4-9B18-009027A5CD4F} - c:\programme\google\googletoolbar1.dll
O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINNT\system32\msdxm.ocx
O4 - HKLM\..\Run: [Synchronization Manager] mobsync.exe /logon
O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINNT\system32\NvCpl.dll,NvStartup
O4 - HKLM\..\Run: [nwiz] nwiz.exe /install
O4 - HKLM\..\Run: [NvMediaCenter] RUNDLL32.EXE C:\WINNT\system32\NvMcTray.dll,NvTaskbarInit
O4 - HKLM\..\Run: [AVGCtrl] C:\Programme\AVPersonal\AVGNT.EXE /min
O4 - HKLM\..\Run: [NeroCheck] C:\WINNT\system32\\NeroCheck.exe
O4 - HKLM\..\Run: [Zone Labs Client] C:\PROGRA~1\ZONELA~1\ZONEAL~1\zlclient.exe
O4 - HKCU\..\Run: [internat.exe] internat.exe
O4 - HKCU\..\Run: [DS Clock] "C:\Programme\DS Clock\dsclock.exe"
O4 - HKCU\..\Run: [Skype] "C:\Programme\Skype\Phone\Skype.exe" /nosplash /minimized
O6 - HKCU\Software\Policies\Microsoft\Internet Explorer\Restrictions present
O6 - HKCU\Software\Policies\Microsoft\Internet Explorer\Control Panel present
O8 - Extra context menu item: &Google Search - res://c:\programme\google\GoogleToolbar1.dll/cmsearch.html
O8 - Extra context menu item: Bild in &Microsoft PhotoDraw öffnen - res://C:\PROGRA~1\MICROS~2\Office\1031\phdintl.dll/phdContext.htm
O8 - Extra context menu item: Im Cache gespeicherte Seite - res://c:\programme\google\GoogleToolbar1.dll/cmcache.html
O8 - Extra context menu item: Verweisseiten - res://c:\programme\google\GoogleToolbar1.dll/cmbacklinks.html
O8 - Extra context menu item: Ähnliche Seiten - res://c:\programme\google\GoogleToolbar1.dll/cmsimilar.html
O9 - Extra button: Related - {c95fe080-8f5d-11d2-a20b-00aa003c157a} - C:\WINNT\web\related.htm
O9 - Extra 'Tools' menuitem: Show &Related Links - {c95fe080-8f5d-11d2-a20b-00aa003c157a} - C:\WINNT\web\related.htm
O16 - DPF: {2BC66F54-93A8-11D3-BEB6-00105AA9B6AE} (Symantec AntiVirus scanner) - http://security.symantec.com/sscv6/S...in/AvSniff.cab
O16 - DPF: {644E432F-49D3-41A1-8DD5-E099162EEEC5} (Symantec RuFSI Utility Class) - http://security.symantec.com/sscv6/S.../bin/cabsa.cab
O16 - DPF: {8E0D4DE5-3180-4024-A327-4DFAD1796A8D} (MessengerStatsClient Class) - http://messenger.zone.msn.com/binary...t.cab28578.cab
O17 - HKLM\System\CCS\Services\Tcpip\..\{C13059BC-D0F3-4D66-B302-3E550BD3EDF0}: NameServer = 217.237.150.33 217.237.151.161

desweiteren wurd der escan von mir durchgefuehrt. die daraus resultierende log-file ist jedoch zu groß, um sie hier posten zu koennen. welchen teil moegen sie lesen?

mfg [justhaki]

Im Allgemeinen siezt man sich nicht in einem Forum, also beschränken wir uns auf das Du. ;)

Das Log-File sieht sauber, damit es auch so bleibt, solltest du diese Punkte noch abarbeiten:
- IE sicherer konfigurieren und nur noch für das Windows Update benutzen http://www.datenschutzzentrum.de/sel...sie/config.htm oder http://www.blafusel.de/ie.html
- Sichere und komfortablere Browser wie z.B. Mozilla oder Firefox verwenden http://www.mozilla.org

Zitat:

die daraus resultierende log-file ist jedoch zu groß, um sie hier posten zu koennen

Öffne die mwav.log -> Bearbeiten -> Suchen -> infected oder tagged eingeben -> Weitersuchen -> Treffer markieren/kopieren und ins Forum übertragen.

dankeschön,

die von "dir" erwähnten maßnahmen werde ich gleich durchführen, zunächst einmal die auswertung von escan:

infected:

File C:\Programme\AVPersonal\INFECTED\DATA[1].ZIP.VIR infected by "I-Worm.NetSky.aa" Virus. Action Taken: No Action Taken.

File C:\WINNT\Downloaded Program Files\CONFLICT.1\on-line.exe infected by "Trojan.Win32.Dialer.ce" Virus. Action Taken: No Action Taken.

File C:\WINNT\Downloaded Program Files\CONFLICT.10\on-line.exe infected by "Trojan.Win32.Dialer.ce" Virus. Action Taken: No Action Taken.

File C:\WINNT\Downloaded Program Files\CONFLICT.11\on-line.exe infected by "Trojan.Win32.Dialer.ce" Virus. Action Taken: No Action Taken.

File C:\WINNT\Downloaded Program Files\CONFLICT.12\on-line.exe infected by "Trojan.Win32.Dialer.ce" Virus. Action Taken: No Action Taken.

File C:\WINNT\Downloaded Program Files\CONFLICT.13\on-line.exe infected by "Trojan.Win32.Dialer.ce" Virus. Action Taken: No Action Taken.

File C:\WINNT\Downloaded Program Files\CONFLICT.14\on-line.exe infected by "Trojan.Win32.Dialer.ce" Virus. Action Taken: No Action Taken.

File C:\WINNT\Downloaded Program Files\CONFLICT.15\on-line.exe infected by "Trojan.Win32.Dialer.ce" Virus. Action Taken: No Action Taken.

File C:\WINNT\Downloaded Program Files\CONFLICT.16\on-line.exe infected by "Trojan.Win32.Dialer.ce" Virus. Action Taken: No Action Taken.

File C:\WINNT\Downloaded Program Files\CONFLICT.2\on-line.exe infected by "Trojan.Win32.Dialer.ce" Virus. Action Taken: No Action Taken.

File C:\WINNT\Downloaded Program Files\CONFLICT.3\on-line.exe infected by "Trojan.Win32.Dialer.ce" Virus. Action Taken: No Action Taken.

File C:\WINNT\Downloaded Program Files\CONFLICT.4\on-line.exe infected by "Trojan.Win32.Dialer.ce" Virus. Action Taken: No Action Taken.

File C:\WINNT\Downloaded Program Files\CONFLICT.5\on-line.exe infected by "Trojan.Win32.Dialer.ce" Virus. Action Taken: No Action Taken.

File C:\WINNT\Downloaded Program Files\CONFLICT.6\on-line.exe infected by "Trojan.Win32.Dialer.ce" Virus. Action Taken: No Action Taken.

File C:\WINNT\Downloaded Program Files\CONFLICT.7\on-line.exe infected by "Trojan.Win32.Dialer.ce" Virus. Action Taken: No Action Taken.

File C:\WINNT\Downloaded Program Files\CONFLICT.8\on-line.exe infected by "Trojan.Win32.Dialer.ce" Virus. Action Taken: No Action Taken.

File C:\WINNT\Downloaded Program Files\CONFLICT.9\on-line.exe infected by "Trojan.Win32.Dialer.ce" Virus. Action Taken: No Action Taken.

File C:\WINNT\Downloaded Program Files\on-line.exe infected by "Trojan.Win32.Dialer.ce" Virus. Action Taken: No Action Taken.

tagged:

File C:\WINNT\system32\UNPICVID2.EXE tagged as not-a-virus:Tool.Win32.Reboot. No Action Taken.

File C:\Dokumente und Einstellungen\xxx-connection1\Eigene Dateien\cd2\Praktikant\sonstige\zip\WG_ Fahrt mit der U_Bahn.ZIP tagged as not-a-virus:Joke.Win32.RideRoof. No Action Taken.

File C:\WINNT\system32\UNPICVID2.EXE tagged as not-a-virus:Tool.Win32.Reboot. No Action Taken.

uebrigens:
nun steht nicht mehr "about:search" unter der starseite, sondern "about:blank", ohne die moeglichkeit dies zu aendern.

es ist nicht so, das mir DAS etwas ausmachen wuerde, da ich eh "about:blank" als standert immer definiert hatte, jedoch wuerde ich gerne erfahren, ob dies "normal" ist.

dankeschoen [justhaki]

Zitat:

O6 - HKCU\Software\Policies\Microsoft\Internet Explorer\Restrictions present
O6 - HKCU\Software\Policies\Microsoft\Internet Explorer\Control Panel present

Du hast wahrscheinlich mittels Spybot S&D die Startseite gesperrt, entweder deaktivierst du dies wieder oder du fixed diese beiden Einträge.
Danach kannst du wie gewohnt die Startseite verändern.

oki doki, habe diese eintraege entfernt und noch den ie konfiguriert.
allerdings habe ich nun im ie keine "url-leiste" mehr.

werde mir nun den modzilla downloaden (hast du dafuer auch "einstell-tipps?).
was soll ich mit dem log von "escan" machen bzw. wie soll ich mit diesen meldungen nun fortfahren?

besten dank [justhaki]

Zitat:

was soll ich mit dem log von "escan" machen bzw. wie soll ich mit diesen meldungen nun fortfahren?

Leere diesen Ordner:
C:\WINNT\Downloaded Program Files

Zitat:

allerdings habe ich nun im ie keine "url-leiste" mehr.

Öffne IE -> Ansicht -> Symbolleisten -> Adressleiste aktivieren

Zitat:

werde mir nun den modzilla downloaden (hast du dafuer auch "einstell-tipps?)

http://www.holgermetzger.de/
http://www.mozilla-anleitung.de/Mozilla/Allgemeines.php

oki doki, ich danke dir vielmals - hoffe alles wird nun gut sein.

gruß und schoenen abend, haki.

Hallo justhaki - hallo Cidre,

sorry, dass ich mich hier einmische. Wäre es nicht angebracht, im Falle von
"I-Worm.NetSky.aa" einen Cleaner anzuwenden? Der Wurm ist nun zwar weg .. ich gebe das Cleaner Tool mal an: Anti W32.NetSky (alle Varianten) .. vielleicht wäre es angebracht, den Rechner damit noch zu scannen.

SD