Trojaner-Board - Browser Hijacking

Trojaner-Board (https://www.trojaner-board.de/)

- Plagegeister aller Art und deren Bekämpfung (https://www.trojaner-board.de/plagegeister-aller-art-deren-bekaempfung/)

- - Browser Hijacking (https://www.trojaner-board.de/1345-browser-hijacking.html)

hallo leute, ich weiss einfach nicht mehr weiter.
ich hab schon browser-hijacker mir eingefangen, die startseite ist immer wieder die gleiche, auch wenn ich sie ändere:

http://www.searchmyrequest.com/hp.php

ich hab schon AdAware, Spybot, Antivir, Hijack This, CW Shredder, und Pest Patrol drübergeschickt, aber es geht einfach nicht weg. zudem sind meine Favoriten und mein Verlauf vollgestopft mit Pornolinks.

Was kann ich bloss tun, ausser formatieren, das hab ich nämlich erst vor ner woche getan und da hab ich nicht so bock drauf.

bitte helft mir [img]graemlins/heulen.gif[/img]

hier ansonsten nochmal mein logfile:

Logfile of HijackThis v1.97.7
Scan saved at 23:25:11, on 16.03.2004
Platform: Windows XP SP1 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP1 (6.00.2800.1106)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\Explorer.EXE
C:\WINDOWS\system32\spoolsv.exe
C:\Programme\AVPersonal\AVGNT.EXE
C:\WINDOWS\System32\spool\drivers\w32x86\3\hpztsb05.exe
C:\Programme\iTunes\iTunesHelper.exe
C:\Programme\QuickTime\qttask.exe
C:\Programme\ICQLite\ICQLite.exe
C:\Programme\AVPersonal\AVGUARD.EXE
C:\Programme\Gemeinsame Dateien\Real\Update_OB\realsched.exe
C:\Programme\CyberLink\PowerDVD\PDVDServ.exe
C:\Programme\AVPersonal\AVWUPSRV.EXE
C:\Programme\PestPatrol\PPMemCheck.exe
C:\WINDOWS\System32\gearsec.exe
C:\Programme\PestPatrol\CookiePatrol.exe
C:\Programme\iPod\bin\iPodService.exe
C:\Dokumente und Einstellungen\Victoria\Desktop\Chris\HijackThis.exe

R1 - HKCU\Software\Microsoft\Internet Explorer,SearchURL = http://searchmyrequest.com/sp.php
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Bar = http://searchmyrequest.com/sp.php
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = http://searchmyrequest.com/sp.php
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.searchmyrequest.com/hp.php
R3 - Default URLSearchHook is missing
O2 - BHO: (no name) - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - D:\Office\Acrobat Reader 6\Reader\ActiveX\AcroIEHelper.dll
O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINDOWS\System32\msdxm.ocx
O4 - HKLM\..\Run: [AVGCtrl] C:\Programme\AVPersonal\AVGNT.EXE /min
O4 - HKLM\..\Run: [HPDJ Taskbar Utility] C:\WINDOWS\System32\spool\drivers\w32x86\3\hpztsb05.exe
O4 - HKLM\..\Run: [iTunesHelper] C:\Programme\iTunes\iTunesHelper.exe
O4 - HKLM\..\Run: [QuickTime Task] "C:\Programme\QuickTime\qttask.exe" -atboottime
O4 - HKLM\..\Run: [ICQ Lite] C:\Programme\ICQLite\ICQLite.exe -minimize
O4 - HKLM\..\Run: [TkBellExe] "C:\Programme\Gemeinsame Dateien\Real\Update_OB\realsched.exe" -osboot
O4 - HKLM\..\Run: [RemoteControl] C:\Programme\CyberLink\PowerDVD\PDVDServ.exe
O4 - HKLM\..\Run: [PPMemCheck] C:\Programme\PestPatrol\PPMemCheck.exe
O4 - HKLM\..\Run: [CookiePatrol] C:\Programme\PestPatrol\CookiePatrol.exe
O4 - HKLM\..\Run: [g4zwg8wz8c] C:\WINDOWS\23mk7j19wm.exe
O4 - HKCU\..\Run: [aimboot] %SystemRoot%\awinrar.exe
O4 - HKCU\..\RunOnce: [ICQ Lite] C:\Programme\ICQLite\ICQLite.exe -trayboot
O8 - Extra context menu item: Nach Microsoft &Excel exportieren - res://C:\PROGRA~1\MICROS~2\OFFICE11\EXCEL.EXE/3000
O9 - Extra button: Recherchieren (HKLM)
O9 - Extra button: ICQ Lite (HKLM)
O9 - Extra 'Tools' menuitem: ICQ Lite (HKLM)
O10 - Unknown file in Winsock LSP: c:\windows\system32\ua_lsp.dll
O10 - Unknown file in Winsock LSP: c:\windows\system32\ua_lsp.dll
O10 - Unknown file in Winsock LSP: c:\windows\system32\ua_lsp.dll
O10 - Unknown file in Winsock LSP: c:\windows\system32\ua_lsp.dll
O10 - Unknown file in Winsock LSP: c:\windows\system32\ua_lsp.dll
O10 - Unknown file in Winsock LSP: c:\windows\system32\ua_lsp.dll
O10 - Unknown file in Winsock LSP: c:\windows\system32\ua_lsp.dll
O10 - Unknown file in Winsock LSP: c:\windows\system32\ua_lsp.dll
O10 - Unknown file in Winsock LSP: c:\windows\system32\ua_lsp.dll
O10 - Unknown file in Winsock LSP: c:\windows\system32\ua_lsp.dll
O10 - Unknown file in Winsock LSP: c:\windows\system32\ua_lsp.dll
O10 - Unknown file in Winsock LSP: c:\windows\system32\ua_lsp.dll
O16 - DPF: {56336BCB-3D8A-11D6-A00B-0050DA18DE71} (RdxIE Class) - http://software-dl.real.com/154758d4...dxIE601_de.cab

So hab eben nochmal folgede zeilen gefixt und neu gestartet:

R1 - HKCU\Software\Microsoft\Internet Explorer,SearchURL = http://searchmyrequest.com/sp.php
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Bar = http://searchmyrequest.com/sp.php
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = http://searchmyrequest.com/sp.php
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.searchmyrequest.com/hp.php

und siehe da: SIE SIND SCHON WIEDER DA!

Hallo, Dr.Fusel, willkommen an Board!

Lad dir das folgende Tool:
http://www.webattack.com/get/lspfix.html

Schließ den IE und führe es aus.

Geh dann in >Systemsteuerung >Ordnerpotionen und aktivier die Anzeige aller Dateien und Ordner, also auch der versteckten und der zum System gehörigen.

Such anschließend über die Windows-Suche die beiden folgenden Dateien:

awinrar.exe
23mk7j19wm.exe

Falls du sie oder auch nur eine von beiden findest, fertige eine Sicherungskopie an und lege diese in einem eigens dafür angelegten neuen Ornder ab.

Prüf sie dann beide hier:

http://www.kaspersky.com/de/remoteviruschk.html

<blockquote>Zitat:<hr />
O4 - HKLM\..\Run: [g4zwg8wz8c] C:\WINDOWS\23mk7j19wm.exe
O4 - HKCU\..\Run: [aimboot] %SystemRoot%\awinrar.exe
[...]

O10 - Unknown file in Winsock LSP: c:\windows\system32\ua_lsp.dll
O10 - Unknown file in Winsock LSP: c:\windows\system32\ua_lsp.dll
O10 - Unknown file in Winsock LSP: c:\windows\system32\ua_lsp.dll
O10 - Unknown file in Winsock LSP: c:\windows\system32\ua_lsp.dll
O10 - Unknown file in Winsock LSP: c:\windows\system32\ua_lsp.dll
O10 - Unknown file in Winsock LSP: c:\windows\system32\ua_lsp.dll
O10 - Unknown file in Winsock LSP: c:\windows\system32\ua_lsp.dll
O10 - Unknown file in Winsock LSP: c:\windows\system32\ua_lsp.dll
O10 - Unknown file in Winsock LSP: c:\windows\system32\ua_lsp.dll
O10 - Unknown file in Winsock LSP: c:\windows\system32\ua_lsp.dll
O10 - Unknown file in Winsock LSP: c:\windows\system32\ua_lsp.dll
O10 - Unknown file in Winsock LSP: c:\windows\system32\ua_lsp.dll
O16 - DPF: {56336BCB-3D8A-11D6-A00B-0050DA18DE71} (RdxIE Class) - http://software-dl.real.com/154758d4...dxIE601_de.cab
[/QUOTE]Diese beiden Zeilen finde ich komisch. Und kann damit nichts anfangen. Schon mal danach gegoogelt?

Björn

ok, es wurde folgendes gefunden:

23mk7j19wm.exe Infiziert: Trojan.Win32.StartPage.eb

awinrar.exe Ok

hab die erste nun gelöscht, hab aber noch die sicherungskopie aufm desktop

JUHUUUU, hab die datei gelöscht und jetzt ist die lästige startseite nach dem hochfahren weg.

Ich danke dir, find ich toll das ich diese geile seite gefunden hab wo einem so nett geholfen wird, dachte schon, bei mir ists aussichtslos
[img]graemlins/daumenhoch.gif[/img] [img]graemlins/daumenhoch.gif[/img] [img]graemlins/daumenhoch.gif[/img] [img]graemlins/daumenhoch.gif[/img] [img]graemlins/daumenhoch.gif[/img] [img]graemlins/daumenhoch.gif[/img] [img]graemlins/daumenhoch.gif[/img] [img]graemlins/daumenhoch.gif[/img]

Nur um etwaigen Missverständnissen oder überstürzten Handlungen vorzubeugen: Diese Einträge

O10 - Unknown file in Winsock LSP: c:\windows\system32\ua_lsp.dll

sollten NICHT vorschnell über HijackThis "gefixed" werden, da es ansonsten Probleme mit dem Internetzugang geben könnte (Stichwort: Windows Netzwerk). Besser ist die Lösung mit LSPFix.

Hallo Leute,

ich habe dasselbe Problem. Nur habe ich die Datei awinrar.exe drauf. Sie läßt sich nicht löschen, auch nicht über DOS.

Was kann ich tun???

Beowulf

Hi Beowulf68,

willkommen an Board. [img]smile.gif[/img]

Hier gibts eine gute Anleitung, wie Du vorgehen solltest. Vielleicht hilft das ja schon weiter? ;)

Gruß [img]graemlins/daumenhoch.gif[/img]
Yopie

<blockquote>Zitat:<hr />Original erstellt von Beowulf68:
Hallo Leute,

ich habe dasselbe Problem. Nur habe ich die Datei awinrar.exe drauf. Sie läßt sich nicht löschen, auch nicht über DOS.

Was kann ich tun???

Beowulf [/QUOTE]Welche Windows-Version?
Starte Windows im abgesicherten Modus und versuche dort die Datei zu löschen

awinrar.exe wird soeben bei Kaspersky als TrojanSpy.Win32.Conspy.g erkannt. ;)

Hi all,

habe mich an die hier angegebene Liste gehalten. Leider kann ich die Programme CWS Shredders und HiJack This nicht laufen lassen. Jedesmal wenn ich sie starten will, keomme ich die Fehlermeldung: Die erforderliche DLL-Datei MSVBVM60.DLL wurde nicht gefunden.

Was nun????

Beowulf

Ist eine FAQ von Merijn:

Q. Why am I getting an 'Unexpected error' about a missing DLL when running HijackThis?
You need the Visual Basic Runtime Libraries to be able to run HijackThis. Most recent Windows have these installed by default, but if you don't have them, they're available from Microsoft.com.

Gruß [img]graemlins/daumenhoch.gif[/img]
Yopie

Hallo,

ich habe immer noch ein Problem. Die Datein winrar.exe wird zwar jedesmal als Trojaner erkannt und von cwshredder und antivir gelöscht, bei jedem PC-Start ist sie allerdings wieder da. Wie kann ich diesen Trojaner endgültig entfernen?

Beowulf

Hallo
<blockquote>Zitat:<hr />
ich habe immer noch ein Problem. Die Datein winrar.exe wird zwar jedesmal als Trojaner erkannt und von cwshredder und antivir gelöscht, bei jedem PC-Start ist sie allerdings wieder da. Wie kann ich diesen Trojaner endgültig entfernen?
[/QUOTE]hier lesen : http://w3studi.informatik.uni-stuttg...00000000000000

Hi, ich habe das gleiche Problem wie oben. Hab auch die beiden Dateien schon gesucht aber leider nicht gefunden. Die anderen Tips haben leider auch nichts gebracht. Hier mein hijacklog:

Logfile of HijackThis v1.97.7
Scan saved at 19:35:46, on 30.05.2004
Platform: Windows XP SP1 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP1 (6.00.2800.1106)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\Explorer.EXE
C:\WINDOWS\system32\spoolsv.exe
C:\WINDOWS\System32\sstray.exe
D:\AVPersonal\AVGNT.EXE
C:\WINDOWS\System32\spool\DRIVERS\W32X86\3\E_S10IC2.EXE
C:\WINDOWS\System32\ctfmon.exe
d:\AVPersonal\AVGUARD.EXE
d:\AVPersonal\AVWUPSRV.EXE
C:\Programme\Gemeinsame Dateien\EPSON\EBAPI\SAgent2.exe
C:\WINDOWS\System32\nvsvc32.exe
C:\Dokumente und Einstellungen\doof\Desktop\hjt.exe

R1 - HKCU\Software\Microsoft\Internet Explorer,SearchURL = http://searchmyrequest.com/sp.php
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Bar = http://searchmyrequest.com/sp.php
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = http://searchmyrequest.com/sp.php
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.searchmyrequest.com/hp.php
R1 - HKCU\Software\Microsoft\Internet Connection Wizard,Shellnext = http://go.microsoft.com/fwlink/?LinkId=488
O2 - BHO: (no name) - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - D:\Acrobat 6.0\Reader\ActiveX\AcroIEHelper.dll
O2 - BHO: (no name) - {53707962-6F74-2D53-2644-206D7942484F} - d:\Spybot - Search & Destroy\SDHelper.dll
O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINDOWS\System32\msdxm.ocx
O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\System32\NvCpl.dll,NvStartup
O4 - HKLM\..\Run: [nwiz] nwiz.exe /install
O4 - HKLM\..\Run: [nForce Tray Options] sstray.exe /r
O4 - HKLM\..\Run: [AVGCtrl] d:\AVPersonal\AVGNT.EXE /min
O4 - HKLM\..\Run: [NeroFilterCheck] C:\WINDOWS\system32\NeroCheck.exe
O4 - HKLM\..\Run: [EPSON Stylus C62 Series] C:\WINDOWS\System32\spool\DRIVERS\W32X86\3\E_S10IC2.EXE /P23 "EPSON Stylus C62 Series" /O6 "USB001" /M "Stylus C62"
O4 - HKLM\..\Run: [w32sup] C:\WINDOWS\System32\w32sup.exe
O4 - HKLM\..\Run: [QuickTime Task] "C:\WINDOWS\System32\qttask.exe" -atboottime
O4 - HKLM\..\Run: [v1eypk4r05] C:\Programme\Symantec\hjckubfpie.exe
O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\ctfmon.exe
O4 - Global Startup: GetRight - Tray Icon.lnk = D:\GetRight\getright.exe
O4 - Global Startup: Microsoft Office.lnk = D:\Microsoft Office\Office10\OSA.EXE
O9 - Extra button: ICQ Lite (HKLM)
O9 - Extra 'Tools' menuitem: ICQ Lite (HKLM)
O16 - DPF: {166B1BCA-3F9C-11CF-8075-444553540000} (Shockwave ActiveX Control) - http://download.macromedia.com/pub/s...irector/sw.cab
O16 - DPF: {33564D57-0000-0010-8000-00AA00389B71} - http://download.microsoft.com/downlo...22/wmv9VCM.CAB
O16 - DPF: {62475759-9E84-458E-A1AB-5D2C442ADFDE} - http://a1540.g.akamai.net/7/1540/52/...eInstaller.exe
O16 - DPF: {9F1C11AA-197B-4942-BA54-47A8489BB47F} (Update Class) - http://v4.windowsupdate.microsoft.co...110.4692013889
O16 - DPF: {D27CDB6E-AE6D-11CF-96B8-444553540000} (Shockwave Flash Object) - http://download.macromedia.com/pub/s...sh/swflash.cab
O17 - HKLM\System\CCS\Services\Tcpip\..\{E5B4B2D9-72E9-48BB-88D5-8CFC783F8CA4}: NameServer = 212.59.54.188 193.254.18.42

Wäre nett, wenn mir jmd helfen könnte.

Hallo Hannes und Willkommen an Board,

überprüfe mal diese Dateien
<blockquote>Zitat:<hr /> O4 - HKLM\..\Run: [w32sup] C:\WINDOWS\System32\w32sup.exe
O4 - HKLM\..\Run: [v1eypk4r05] C:\Programme\Symantec\hjckubfpie.exe [/QUOTE]online bei Kaspersky oder noch besser, Du lädst Dir das Tool Free eScan Antivirus Toolkit Utility herunter und scanst Deinen Rechner im abgesicherten Modus.

Anschließend fixe mit HijackThis die folgenden Einträge

<blockquote>Zitat:<hr /> R1 - HKCU\Software\Microsoft\Internet Explorer,SearchURL = h**p://searchmyrequest.com/sp.php
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Bar = h**p://searchmyrequest.com/sp.php
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = h**p://searchmyrequest.com/sp.php
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = h**p://www.searchmyrequest.com/hp.php [/QUOTE]sowie die beiden oben genannten.

Boote dann den PC im normalen Modus und erstelle ein neues Log mit HijackThis.

[ 31. Mai 2004, 00:12: Beitrag editiert von: Lutz ]

vielleicht hilft das löschen im abgesicherten modus was.

bye

Hat geholfen, habt vielen Dank [img]smile.gif[/img]

HILFE HILFE HILFE!!

Ich Oberesel hab vor lauter Viren und Würmer so viel gelöscht, dass mein Internet Explorer nicht mehr funktioniert!!
Habe LSP-Fix + SpHi-Fix runtergeladen, alles angeklickt und aus Maus! Größter Fehler glaub ich bei lspfix ( "I know what I doing" angeklickt und dann unten alles gelöscht ) gemacht. Wenn ich nun den Internet Explorer anklick, schreibt er mir in die Internetzeile: res.shdoc.dll/dnserror.htm. Und im Internetfenster: Seite kann nicht angezeigt werden!!!
Wer kann einem Oberdödel wie mich weiterhelfen, da ich nun von einem fremden Computer aus surfen muss!!
Bitte helft mir schnell, DANKE!!!!!!

Hallo tinekac und Willkommen im Board,

Versuch es mal wie folgt:
TCP/IP neu installieren.
Das geht bei WinXP wie folgt:
Arbeitsplatz rechtsklick -> Eigenschaften -> Hardware -> Gerätemanager -> Ansicht -> Ausgeblendete Geräte anzeigen -> nicht-PnP Treiber aufklappen -> TCP/IP Protokolltreiber rechtsklicken und deinstallieren auswählen.

Nach einem Neustart installiert WinXP diese neu und will nochmals neu starten.
Dann wirst du es in alter frische wiederfinden.

Ich muss allerdings dazusagen, dass ich es selbst noch nicht probiert habe, aber viel zu verlieren hast Du im Moment ja eh nicht...