|
Alert-Popups von IE Explorer Hilfe!!! Ich würde gern Onlinegames zocken, aber das ist dank eines Trojaners (meine Vermutung) nicht mehr möglich: Obwohl ich IE nicht mehr nutze und ihn nicht mal einschalte, seit ich eine ge-hijackte Startseite habe(ich glaube es ist die öfters erwähnte wwwcoolsearch oder ähnlich), gehen bei der Nutzung des Netscape-Browsers oder beim Onlinespielen in regelmäßigen Abständen Alert-Popups aus dem Internet Explorer auf, die Werbebotschaften enthalten. Onlinespielen wird so nahezu unmöglich! Hilfe! Mein grenzenloser Dank ist euch sicher! |
Hallo, erstelle mal bitte ein HijackThis Log und poste es hier her. Verwendest du Spywarescanner? Adaware? Spybot? Grüße Wildone |
Hab Adaware und Soybot schon drübergeschickt. Erfolglos. Hijackthis-Logfile folgt, hier schon mal die Liste von Startuplist (weiß nicht ob das irgendwie relevant ist??): StartupList report, 15.08.2005, 15:53:50 StartupList version: 1.52 Started from : C:\Programme\StartupList.EXE Detected: Windows XP SP2 (WinNT 5.01.2600) Detected: Internet Explorer v6.00 SP2 (6.00.2900.2180) * Using default options ================================================== Running processes: C:\WINDOWS\System32\smss.exe C:\WINDOWS\system32\winlogon.exe C:\WINDOWS\system32\services.exe C:\WINDOWS\system32\lsass.exe C:\WINDOWS\system32\svchost.exe C:\WINDOWS\System32\svchost.exe C:\WINDOWS\system32\spoolsv.exe C:\Programme\Gemeinsame Dateien\AOL\ACS\AOLAcsd.exe C:\WINDOWS\system32\crypserv.exe C:\WINDOWS\system32\nvsvc32.exe C:\WINDOWS\System32\svchost.exe C:\WINDOWS\wanmpsvc.exe C:\WINDOWS\System32\MsPMSPSv.exe C:\WINDOWS\System32\svchost.exe C:\WINDOWS\Explorer.EXE C:\WINDOWS\system32\wscntfy.exe C:\WINDOWS\Mixer.exe C:\Programme\Gemeinsame Dateien\AOL\ACS\AOLDial.exe C:\WINDOWS\system32\rundll32.exe C:\WINDOWS\system32\rundll32.exe C:\Programme\AOL 9.0\waol.exe C:\Programme\AOL 9.0\shellmon.exe C:\Programme\Gemeinsame Dateien\Aol\aoltpspd.exe C:\Programme\Outlook Express\msimn.exe C:\Programme\Netscape\Netscape Browser 8\netscape.exe C:\Programme\eMule\emule.exe C:\Programme\StartupList.exe -------------------------------------------------- Listing of startup folders: Shell folders Common Startup: [C:\Dokumente und Einstellungen\All Users\Startmenü\Programme\Autostart] Adobe Gamma Loader.exe.lnk = C:\Programme\Gemeinsame Dateien\Adobe\Calibration\Adobe Gamma Loader.exe AOL 9.0 Tray-Symbol.lnk = C:\Programme\AOL 9.0\aoltray.exe Microsoft Office.lnk = D:\Microsoft Office\Office\OSA9.EXE -------------------------------------------------- Checking Windows NT UserInit: [HKLM\Software\Microsoft\Windows NT\CurrentVersion\Winlogon] UserInit = C:\WINDOWS\system32\userinit.exe, -------------------------------------------------- Autorun entries from Registry: HKLM\Software\Microsoft\Windows\CurrentVersion\Run C-Media Mixer = Mixer.exe /startup -------------------------------------------------- Autorun entries from Registry: HKCU\Software\Microsoft\Windows\CurrentVersion\Run monitor = monitor.exe SpybotSD TeaTimer = C:\Programme\Spybot - Search & Destroy\TeaTimer.exe -------------------------------------------------- Shell & screensaver key from C:\WINDOWS\SYSTEM.INI: Shell=*INI section not found* SCRNSAVE.EXE=*INI section not found* drivers=*INI section not found* Shell & screensaver key from Registry: Shell=Explorer.exe SCRNSAVE.EXE=*Registry value not found* drivers=*Registry value not found* Policies Shell key: HKCU\..\Policies: Shell=*Registry key not found* HKLM\..\Policies: Shell=*Registry value not found* -------------------------------------------------- Enumerating Browser Helper Objects: (no name) - C:\Programme\Adobe\Acrobat 6.0\Reader\ActiveX\AcroIEHelper.dll - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} (no name) - C:\WINDOWS\system32\dkego.dll - {16F2104A-9D71-4FB0-9E8C-1375BADA7173} (no name) - C:\PROGRA~1\SPYBOT~1\SDHelper.dll - {53707962-6F74-2D53-2644-206D7942484F} -------------------------------------------------- Enumerating Task Scheduler jobs: Symantec NetDetect.job -------------------------------------------------- Enumerating Download Program Files: [{33564D57-0000-0010-8000-00AA00389B71}] CODEBASE = http://download.microsoft.com/downlo...22/wmv9VCM.CAB [Shockwave Flash Object] InProcServer32 = C:\WINDOWS\system32\macromed\flash\Flash.ocx CODEBASE = http://download.macromedia.com/pub/s...sh/swflash.cab -------------------------------------------------- Enumerating ShellServiceObjectDelayLoad items: PostBootReminder: C:\WINDOWS\system32\SHELL32.dll CDBurn: C:\WINDOWS\system32\SHELL32.dll WebCheck: C:\WINDOWS\System32\webcheck.dll SysTray: C:\WINDOWS\System32\stobject.dll -------------------------------------------------- End of report, 4.701 bytes Report generated in 1,797 seconds Command line options: /verbose - to add additional info on each section /complete - to include empty sections and unsuspicious data /full - to include several rarely-important sections /force9x - to include Win9x-only startups even if running on WinNT /forcent - to include WinNT-only startups even if running on Win9x /forceall - to include all Win9x and WinNT startups, regardless of platform /history - to list version history only |
UND HIER DER LOGFILE VON HIJACK THIS: Logfile of HijackThis v1.99.1 Scan saved at 15:57:57, on 15.08.2005 Platform: Windows XP SP2 (WinNT 5.01.2600) MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180) Running processes: C:\WINDOWS\System32\smss.exe C:\WINDOWS\system32\winlogon.exe C:\WINDOWS\system32\services.exe C:\WINDOWS\system32\lsass.exe C:\WINDOWS\system32\svchost.exe C:\WINDOWS\System32\svchost.exe C:\WINDOWS\system32\spoolsv.exe C:\Programme\Gemeinsame Dateien\AOL\ACS\AOLAcsd.exe C:\WINDOWS\system32\crypserv.exe C:\WINDOWS\system32\nvsvc32.exe C:\WINDOWS\System32\svchost.exe C:\WINDOWS\wanmpsvc.exe C:\WINDOWS\System32\MsPMSPSv.exe C:\WINDOWS\System32\svchost.exe C:\WINDOWS\Explorer.EXE C:\WINDOWS\system32\wscntfy.exe C:\WINDOWS\Mixer.exe C:\Programme\Gemeinsame Dateien\AOL\ACS\AOLDial.exe C:\WINDOWS\system32\rundll32.exe C:\WINDOWS\system32\rundll32.exe C:\Programme\AOL 9.0\waol.exe C:\Programme\AOL 9.0\shellmon.exe C:\Programme\Gemeinsame Dateien\Aol\aoltpspd.exe C:\Programme\Outlook Express\msimn.exe C:\Programme\Netscape\Netscape Browser 8\netscape.exe C:\Programme\eMule\emule.exe C:\Programme\HijackThis1991.exe R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://www.google.de R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://195.225.176.14/ R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Bar = res://C:\DOKUME~1\mike1\LOKALE~1\Temp\se.dll/sp.html R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = about:blank R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://195.225.176.14/ R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://195.225.176.14/ R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Bar = res://C:\DOKUME~1\mike1\LOKALE~1\Temp\se.dll/sp.html R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = about:blank R1 - HKCU\Software\Microsoft\Internet Explorer\Search,SearchAssistant = about:blank R0 - HKLM\Software\Microsoft\Internet Explorer\Search,SearchAssistant = about:blank R0 - HKLM\Software\Microsoft\Internet Explorer\Search,CustomizeSearch = http://195.225.176.14/ie R1 - HKCU\Software\Microsoft\Internet Explorer\Main,HomeOldSP = about:blank R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Local Page = http://195.225.176.14/ R1 - HKLM\Software\Microsoft\Internet Explorer\Main,HomeOldSP = about:blank O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Programme\Adobe\Acrobat 6.0\Reader\ActiveX\AcroIEHelper.dll O2 - BHO: (no name) - {16F2104A-9D71-4FB0-9E8C-1375BADA7173} - C:\WINDOWS\system32\dkego.dll O2 - BHO: (no name) - {53707962-6F74-2D53-2644-206D7942484F} - C:\PROGRA~1\SPYBOT~1\SDHelper.dll O3 - Toolbar: (no name) - {ACB1E670-3217-45C4-A021-6B829A8A27CB} - (no file) O4 - HKLM\..\Run: [C-Media Mixer] Mixer.exe /startup O4 - HKLM\..\Run: [load32] C:\WINDOWS\system32\winldra.exe O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\system32\NvCpl.dll,NvStartup O4 - HKLM\..\Run: [nwiz] nwiz.exe /install O4 - HKLM\..\Run: [NvMediaCenter] RUNDLL32.EXE C:\WINDOWS\system32\NvMcTray.dll,NvTaskbarInit O4 - HKLM\..\Run: [AOLDialer] C:\Programme\Gemeinsame Dateien\AOL\ACS\AOLDial.exe O4 - HKLM\..\Run: [sp] rundll32 C:\DOKUME~1\mike1\LOKALE~1\Temp\se.dll,DllInstall O4 - HKCU\..\Run: [monitor] monitor.exe O4 - HKCU\..\Run: [SpybotSD TeaTimer] C:\Programme\Spybot - Search & Destroy\TeaTimer.exe O4 - Global Startup: Adobe Gamma Loader.exe.lnk = C:\Programme\Gemeinsame Dateien\Adobe\Calibration\Adobe Gamma Loader.exe O4 - Global Startup: AOL 9.0 Tray-Symbol.lnk = C:\Programme\AOL 9.0\aoltray.exe O4 - Global Startup: Microsoft Office.lnk = D:\Microsoft Office\Office\OSA9.EXE O9 - Extra button: Real.com - {CD67F990-D8E9-11d2-98FE-00C0F0318AFE} - C:\WINDOWS\System32\Shdocvw.dll O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe O12 - Plugin for .htm: C:\Programme\Netscape\Netscape Browser\PLUGINS\npTrident.dll O17 - HKLM\System\CCS\Services\Tcpip\..\{158135E3-FB41-444B-A597-BBA85797FDF2}: NameServer = 205.188.146.145 O18 - Filter: text/html - {5EDF83D3-FB6F-447E-9E27-A09F928C649A} - C:\WINDOWS\system32\dkego.dll O18 - Filter: text/plain - {5EDF83D3-FB6F-447E-9E27-A09F928C649A} - C:\WINDOWS\system32\dkego.dll O23 - Service: AOL Connectivity Service (AOL ACS) - America Online, Inc. - C:\Programme\Gemeinsame Dateien\AOL\ACS\AOLAcsd.exe O23 - Service: Crypkey License - Unknown owner - C:\WINDOWS\SYSTEM32\crypserv.exe O23 - Service: iPod Service (iPodService) - Apple Computer, Inc. - C:\Programme\iPod\bin\iPodService.exe O23 - Service: NVIDIA Display Driver Service (NVSvc) - NVIDIA Corporation - C:\WINDOWS\system32\nvsvc32.exe O23 - Service: WAN Miniport (ATW) Service (WANMiniportService) - America Online, Inc. - C:\WINDOWS\wanmpsvc.exe |
Hallo, du hast/hattest den hier auf dem Rechner: http://www.sophos.de/virusinfo/analy...ojdumaruj.html besonders zu beachten die stattliche Liste von "Nebenwirkungen". Damit ist dein System als komromittiert anzusehen und muss neu aufgesetzt werden. Hier ist eine Anleitung dazu, lies sie dir gut durch, dann ist das die Basis für ein zukünftig sicheres System. Grüße Wildone |
Lasse die Datei C:\WINDOWS\system32\winldra.exe http://virusscan.jotti.org/de/ hier prüfen und teile das Ergebnis mit. |
@wildone was meinst du mit liste von "nebenwirkungen"? |
Zitat:
Das kannst du zwar machen ist aber Zeitverschwendung. @ matrix Nebenwirkungen: Zitat:
|
@felix1 sicher dass die datei genau so heißt und eine exe ist und in system32? da wird sie mir nämlich nicht im ordner angezeigt... |
@cronos: wieso zeitverchwendung? und apropos zeitverschwendung: ich habe ein wenig hemmungen davor, den rechner komplett plattmachen zu müssen, da es ewigkeiten dauern wird alles wieder zu installieren und bin froh um jede gute alternative... |
Wenn du sie tatsächlich scannen willst, kopiere einfach den Pfadnamen in das Eingabefeld. Sollte es sich um o.g. Backdoor handeln, wovon ich ausgehe wirst du um ein Neuaufsetzen nicht herumkommen. |
@cronos: hab den pfadnamen eingegeben wie du vorgeschlagen hast. und folgende meldung kam: "The file you uploaded is 0 bytes. It is very likely a firewall or a piece of malware is prohibiting you from uploading this file" |
Du mußt evtl. den laufenden Prozess im Taskmanager beenden. Dann uploaden. Aber wie gesagt: Das wird wohl doch die o.g. Malware sein: Der Autostart Eintrag ist gleich, die Datei hat den gleichen Namen, sie widersetzt sich dem Upload. Sieh den Tatsachen ins Auge! Da ist wohl nichts mehr zu retten! |
| Alle Zeitangaben in WEZ +1. Es ist jetzt 06:57 Uhr. |
Copyright ©2000-2024, Trojaner-Board