Hijacker? wwwgoogle.de :(
 

Hab mir irgendwie nen Hijacker oder sowas eingefangen, ...

[edit]
bitte editiere zukünftig deine links, wie es dir u.a. hier angezeigt wird:
http://www.trojaner-board.de/showpost.php?p=171957&postcount=1

danke
GUA
[/edit]

Immer wenn ich google.de aufrufe, erscheint wwwgoogle.de (ohne Punkt)...

Meine Startseite war anfangs auch in firstload.de geändert und in der HOSTS Datei standen ganz viele Google-Adressen einer IP zugeordnet, die ich aber auch schon alle gelöscht hab...

Hier mein HJT Log:


Logfile of HijackThis v1.99.1
Scan saved at 12:25:07, on 07.05.2006
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v7.00 (7.00.5346.0005)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\Explorer.EXE
C:\WINDOWS\system32\spoolsv.exe
C:\WINDOWS\SOUNDMAN.EXE
C:\Programme\T-DSL SpeedManager\SpeedMgr.exe
C:\Programme\Gemeinsame Dateien\AOL\ACS\AOLDial.exe
C:\Programme\QuickTime\qttask.exe
C:\Programme\Java\jre1.5.0_06\bin\jusched.exe
C:\Programme\Office keyboard utility\1.1\OFFICEKB.exe
C:\Programme\Hewlett-Packard\HP Software Update\HPWuSchd.exe
C:\WINDOWS\system32\rundll32.exe
C:\Programme\HP\hpcoretech\hpcmpmgr.exe
C:\WINDOWS\system32\spool\drivers\w32x86\3\hpztsb09.exe
C:\Programme\Hewlett-Packard\Digital Imaging\bin\hpotdd01.exe
C:\Programme\DAEMON Tools\daemon.exe
C:\Programme\Gemeinsame Dateien\Microsoft Shared\Works Shared\WkUFind.exe
C:\Programme\Unlocker\UnlockerAssistant.exe
C:\Programme\Gemeinsame Dateien\AOL\1140802676\ee\AOLSoftware.exe
C:\WINDOWS\system32\RUNDLL32.EXE
C:\WINDOWS\system32\ctfmon.exe
C:\Programme\Spybot - Search & Destroy\TeaTimer.exe
D:\Downloads neu\Proxomitron4.51-S-1.9.0\Proxomitron.exe
C:\Programme\Office keyboard utility\1.1\MMKEYB.EXE
C:\Programme\Office keyboard utility\1.1\TrayMon.exe
C:\Programme\Office keyboard utility\1.1\osd.exe
C:\Programme\Office keyboard utility\1.1\nhksrv.exe
C:\Programme\Gemeinsame Dateien\AOL\ACS\AOLAcsd.exe
C:\WINDOWS\system32\nvsvc32.exe
C:\WINDOWS\System32\svchost.exe
C:\Programme\T-DSL SpeedManager\tsmsvc.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\wuauclt.exe
C:\Programme\Internet Explorer\iexplore.exe
C:\MircDL\hijackthis_199\HijackThis.exe

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Bar = http://www.firstload.de/affiliate/log.php?log=12790
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = http://www.firstload.de/affiliate/log.php?log=12790
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.live.com/
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://go.microsoft.com/fwlink/?LinkId=54729
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://go.microsoft.com/fwlink/?LinkId=54896
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = http://go.microsoft.com/fwlink/?LinkId=54896
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = http://go.microsoft.com/fwlink/?LinkId=55245&clcid={SUB_CLCID}
R3 - URLSearchHook: ICQ Toolbar - {855F3B16-6D32-4fe6-8A56-BBB695989046} - C:\Programme\ICQToolbar\toolbaru.dll
O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Programme\Adobe\Acrobat 7.0\ActiveX\AcroIEHelper.dll
O2 - BHO: (no name) - {53707962-6F74-2D53-2644-206D7942484F} - C:\PROGRA~1\SPYBOT~1\SDHelper.dll
O2 - BHO: SSVHelper Class - {761497BB-D6F0-462C-B6EB-D4DAF1D92D43} - C:\Programme\Java\jre1.5.0_06\bin\ssv.dll
O2 - BHO: FlashFXP Helper for Internet Explorer - {E5A1691B-D188-4419-AD02-90002030B8EE} - C:\Programme\FlashFXP\IEFlash.dll
O3 - Toolbar: ICQ Toolbar - {855F3B16-6D32-4fe6-8A56-BBB695989046} - C:\Programme\ICQToolbar\toolbaru.dll
O4 - HKLM\..\Run: [IMJPMIG8.1] C:\WINDOWS\IME\imjp8_1\IMJPMIG.EXE /Spoil /RemAdvDef /Migration32
O4 - HKLM\..\Run: [PHIME2002ASync] C:\WINDOWS\System32\IME\TINTLGNT\TINTSETP.EXE /SYNC
O4 - HKLM\..\Run: [PHIME2002A] C:\WINDOWS\System32\IME\TINTLGNT\TINTSETP.EXE /IMEName
O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\system32\NvCpl.dll,NvStartup
O4 - HKLM\..\Run: [nwiz] nwiz.exe /install
O4 - HKLM\..\Run: [SoundMan] SOUNDMAN.EXE
O4 - HKLM\..\Run: [T-DSL SpeedMgr] "C:\Programme\T-DSL SpeedManager\SpeedMgr.exe"
O4 - HKLM\..\Run: [AOLDialer] C:\Programme\Gemeinsame Dateien\AOL\ACS\AOLDial.exe
O4 - HKLM\..\Run: [QuickTime Task] "C:\Programme\QuickTime\qttask.exe" -atboottime
O4 - HKLM\..\Run: [SunJavaUpdateSched] C:\Programme\Java\jre1.5.0_06\bin\jusched.exe
O4 - HKLM\..\Run: [FLMOFFICEKEYBOARD] C:\Programme\Office keyboard utility\1.1\OFFICEKB.exe
O4 - HKLM\..\Run: [NeroCheck] C:\WINDOWS\system32\NeroCheck.exe
O4 - HKLM\..\Run: [HP Software Update] "C:\Programme\Hewlett-Packard\HP Software Update\HPWuSchd.exe"
O4 - HKLM\..\Run: [HP Component Manager] "C:\Programme\HP\hpcoretech\hpcmpmgr.exe"
O4 - HKLM\..\Run: [HPDJ Taskbar Utility] C:\WINDOWS\system32\spool\drivers\w32x86\3\hpztsb09.exe
O4 - HKLM\..\Run: [DeviceDiscovery] C:\Programme\Hewlett-Packard\Digital Imaging\bin\hpotdd01.exe
O4 - HKLM\..\Run: [DAEMON Tools] "C:\Programme\DAEMON Tools\daemon.exe" -lang 1033
O4 - HKLM\..\Run: [Microsoft Works Update Detection] C:\Programme\Gemeinsame Dateien\Microsoft Shared\Works Shared\WkUFind.exe
O4 - HKLM\..\Run: [UnlockerAssistant] C:\Programme\Unlocker\UnlockerAssistant.exe
O4 - HKLM\..\Run: [HostManager] C:\Programme\Gemeinsame Dateien\AOL\1140802676\ee\AOLSoftware.exe
O4 - HKLM\..\Run: [IPHSend] C:\Programme\Gemeinsame Dateien\AOL\IPHSend\IPHSend.exe
O4 - HKLM\..\Run: [NvMediaCenter] RUNDLL32.EXE C:\WINDOWS\system32\NvMcTray.dll,NvTaskbarInit
O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\ctfmon.exe
O4 - HKCU\..\Run: [SpybotSD TeaTimer] C:\Programme\Spybot - Search & Destroy\TeaTimer.exe
O4 - Startup: Verknüpfung mit Proxomitron.lnk = D:\Downloads neu\Proxomitron4.51-S-1.9.0\Proxomitron.exe
O8 - Extra context menu item: &ICQ Toolbar Search - res://C:\Programme\ICQToolbar\toolbaru.dll/SEARCH.HTML
O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programme\Java\jre1.5.0_06\bin\ssv.dll
O9 - Extra 'Tools' menuitem: Sun Java Konsole - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programme\Java\jre1.5.0_06\bin\ssv.dll
O9 - Extra button: ICQ Lite - {B863453A-26C3-4e1f-A54D-A2CD196348E9} - C:\Programme\ICQLite\ICQLite.exe
O9 - Extra 'Tools' menuitem: ICQ Lite - {B863453A-26C3-4e1f-A54D-A2CD196348E9} - C:\Programme\ICQLite\ICQLite.exe
O9 - Extra button: Real.com - {CD67F990-D8E9-11d2-98FE-00C0F0318AFE} - C:\WINDOWS\system32\Shdocvw.dll
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe
O11 - Options group: [INTERNATIONAL] International*
O16 - DPF: {17492023-C23A-453E-A040-C7C580BBF700} (Windows Genuine Advantage Validation Tool) - h**p://go.microsoft.com/fwlink/?linkid=39204
O16 - DPF: {26CBF141-7D0F-46E1-AA06-718958B6E4D2} - h**p://download.ebay.com/turbo_lister/DE/install.cab
O16 - DPF: {6E32070A-766D-4EE6-879C-DC1FA91D2FC3} (MUWebControl Class) - h**p://update.microsoft.com/microsoftupdate/v6/V5Controls/en/x86/client/muweb_site.cab?1140803067562
O16 - DPF: {80DD2229-B8E4-4C77-B72F-F22972D723EA} (AvxScanOnline Control) - h**p://www.bitdefender.de/scan/Msie/bitdefender.cab
O16 - DPF: {94EB57FE-2720-496C-B33F-D9353C6E23F7} (F-Secure Online Scanner 2.1) - h**p://support.f-secure.com/ols/fscax.cab
O16 - DPF: {B49C4597-8721-4789-9250-315DFBD9F525} -
O18 - Protocol: ms-help - {314111C7-A502-11D2-BBCA-00C04F8EC294} - C:\Programme\Gemeinsame Dateien\Microsoft Shared\Help\hxds.dll
O23 - Service: AOL Connectivity Service (AOL ACS) - America Online, Inc. - C:\Programme\Gemeinsame Dateien\AOL\ACS\AOLAcsd.exe
O23 - Service: hpdj - HP - C:\DOKUME~1\J8DCF~1.GRI\LOKALE~1\Temp\hpdj.exe
O23 - Service: InstallDriver Table Manager (IDriverT) - Macrovision Corporation - C:\Programme\Gemeinsame Dateien\InstallShield\Driver\11\Intel 32\IDriverT.exe
O23 - Service: Netropa NHK Server (nhksrv) - Unknown owner - C:\Programme\Office keyboard utility\1.1\nhksrv.exe
O23 - Service: NVIDIA Display Driver Service (NVSvc) - NVIDIA Corporation - C:\WINDOWS\system32\nvsvc32.exe
O23 - Service: T-DSL SpeedManager (TSMService) - T-Systems Business Services - C:\Programme\T-DSL SpeedManager\tsmsvc.exe


Dioe ersten beiden Einträge bei R1 hatte ich bereits gefixt, kommen aber bei nem NEustart immer wieder...

*räusper* :P

@Kuli
Mit einer Ausnahme
kann ich nichts Besonderes in Deinem Log finden.
Es läuft bei Dir auch kein Antivirus-Programm. Muss es so sein?

Für mich ist das neu
Welche Beta ist denn das?

~~servus, Rene-gad~~

stupormundi

Kann Die sein ;)
Moin stupormundi :)

Alles neu macht der Mai ... :D -wenn auch nicht unbedingt besser!

Jetzt könnt uns TO doch mal ein Logfile eines Virenscans zeigen, nicht wahr?!

lg, stupormundi

1. Was ist mit der Ausnahme?
Ich hab mal in der regedit geschaut, das ist ja nur einfach nur ein Schlüssel ohne eingetragene Werte, kann der trotzdem was damit zu tun haben? :o

2. Ich hab in der Tat kein Antiviren Programm installiert, dachte bislang immer, dass es das System ausbremst und ich ja ohnehin keine mir unbekannten Dateien öffne. Hat auch jahrelang so geklappt, naja... Man lernt aus seinen Fehlern ;)


Jo, genau


Na sicher doch ;)

So, was wollt ihr denn nun haben?

Ist doch mehr geworden als ich dachte :o


Alle infected:
Mon May 08 12:10:13 2006 => System found infected with flashfxp Spyware/Adware ({e5a1691b-d188-4419-ad02-90002030b8ee})! Action taken: No Action Taken.

Mon May 08 12:10:13 2006 => System found infected with flashfxp Spyware/Adware ({e5a1691b-d188-4419-ad02-90002030b8ee})! Action taken: No Action Taken.

Mon May 08 12:10:42 2006 => System found infected with ezula Spyware/Adware (ebay.url)! Action taken: No Action Taken.

----------------------------------------------------------------------------------

Tagged:

Mon May 08 12:09:51 2006 => File E:\mIRC\mirc.exe tagged as not-a-virus:Client-IRC.Win32.mIRC.616. No Action Taken.

Mon May 08 12:44:38 2006 => File C:\Programme\themexp\Themexp.org File\VVSNInst.exe tagged as "not-a-virus:AdWare.Win32.SaveNow.bo". Action Taken: No Action Taken.

Mon May 08 12:48:48 2006 => File C:\System Volume Information\_restore{2125F746-06D3-444B-918B-5511F142B3FC}\RP141\A0036918.exe tagged as "not-a-virus:AdWare.Win32.NewDotNet". Action Taken: No Action Taken.

Mon May 08 12:55:34 2006 => File C:\WINDOWS\NDNuninstall7_22.exe tagged as "not-a-virus:AdWare.Win32.NewDotNet.e". Action Taken: No Action Taken.

Mon May 08 13:24:27 2006 => File D:\Downloads neu\136609.exe tagged as "not-a-virus:AdWare.Win32.SaveNow.bo". Action Taken: No Action Taken.

Mon May 08 13:24:39 2006 => File D:\Downloads neu\50057.exe tagged as "not-a-virus:AdWare.Win32.SaveNow.bo". Action Taken: No Action Taken.

Mon May 08 14:13:56 2006 => File E:\mIRC\mirc.exe tagged as not-a-virus:Client-IRC.Win32.mIRC.616. No Action Taken.

Mon May 08 14:14:01 2006 => File E:\Mirc 6.17\backup\mirc.exe tagged as not-a-virus:Client-IRC.Win32.mIRC.616. No Action Taken.

Mon May 08 14:14:06 2006 => File E:\mIRC2\mirc.exe tagged as not-a-virus:Client-IRC.Win32.mIRC.603. No Action Taken.

Mon May 08 14:14:08 2006 => File E:\mIRCBot\mirc.exe tagged as not-a-virus:Client-IRC.Win32.mIRC.603. No Action Taken.

Mon May 08 14:14:08 2006 => File E:\mIRCs\mirc.exe tagged as not-a-virus:Client-IRC.Win32.mIRC.616. No Action Taken.

@Kuli
Hmm...Frech bist Du aber nicht. Lese bitte noch mal die von stupormundi verlinkte Anleitung und benutze die Datei Find.bat, please.
Du sollst den Eintrag fixen.

Sollte nicht frech wirken, war einfach nur ne Frage ;)


Hoppla, da unten hab ich gar nicht hingeschaut... Hier der Inhalt:


~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~
Infektionsmeldungen
~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~
Mon May 08 12:10:13 2006 => System found infected with flashfxp Spyware/Adware ({e5a1691b-d188-4419-ad02-90002030b8ee})! Action taken: No Action Taken.
Mon May 08 12:10:13 2006 => System found infected with flashfxp Spyware/Adware ({e5a1691b-d188-4419-ad02-90002030b8ee})! Action taken: No Action Taken.
Mon May 08 12:10:42 2006 => System found infected with ezula Spyware/Adware (ebay.url)! Action taken: No Action Taken.
Mon May 08 12:10:14 2006 => Object "ares Spyware/Adware" found in File System! Action Taken: No Action Taken.
Mon May 08 12:10:14 2006 => Object "ares Spyware/Adware" found in File System! Action Taken: No Action Taken.
Mon May 08 12:10:14 2006 => Object "imesh Spyware/Adware" found in File System! Action Taken: No Action Taken.
Mon May 08 12:10:14 2006 => Object "kazaa Spyware/Adware" found in File System! Action Taken: No Action Taken.
Mon May 08 12:10:16 2006 => Object "ares Spyware/Adware" found in File System! Action Taken: No Action Taken.
Mon May 08 12:10:43 2006 => Object "ares Spyware/Adware" found in File System! Action Taken: No Action Taken.
Mon May 08 12:10:43 2006 => Object "whenu.savenow Spyware/Adware" found in File System! Action Taken: No Action Taken.
Mon May 08 12:10:43 2006 => Object "ares Spyware/Adware" found in File System! Action Taken: No Action Taken.
Mon May 08 12:10:43 2006 => Object "whenu.savenow Spyware/Adware" found in File System! Action Taken: No Action Taken.
Mon May 08 12:10:43 2006 => Object "ares Spyware/Adware" found in File System! Action Taken: No Action Taken.
Mon May 08 12:11:18 2006 => Object "ares Spyware/Adware" found in File System! Action Taken: No Action Taken.
Mon May 08 12:11:19 2006 => Object "smitfraud variant Browser Hijacker" found in File System! Action Taken: No Action Taken.
~~~~~~~~~~~
Dateien
~~~~~~~~~~~
~~~~ Infected files
~~~~~~~~~~~
~~~~~~~~~~~
~~~~ Offending files
~~~~~~~~~~~
Mon May 08 12:10:42 2006 => Offending file found: C:\Dokumente und Einstellungen\***\Favoriten\links\amabay\ebay.url
~~~~~~~~~~~
~~~~ Tagged files
~~~~~~~~~~~
Mon May 08 12:09:51 2006 => File E:\mIRC\mirc.exe tagged as not-a-virus:Client-IRC.Win32.mIRC.616. No Action Taken.
Mon May 08 12:44:38 2006 => File C:\Programme\themexp\Themexp.org File\VVSNInst.exe tagged as "not-a-virus:AdWare.Win32.SaveNow.bo". Action Taken: No Action Taken.
Mon May 08 12:48:48 2006 => File C:\System Volume Information\_restore{2125F746-06D3-444B-918B-5511F142B3FC}\RP141\A0036918.exe tagged as "not-a-virus:AdWare.Win32.NewDotNet". Action Taken: No Action Taken.
Mon May 08 12:55:34 2006 => File C:\WINDOWS\NDNuninstall7_22.exe tagged as "not-a-virus:AdWare.Win32.NewDotNet.e". Action Taken: No Action Taken.
Mon May 08 13:24:27 2006 => File D:\Downloads neu\136609.exe tagged as "not-a-virus:AdWare.Win32.SaveNow.bo". Action Taken: No Action Taken.
Mon May 08 13:24:39 2006 => File D:\Downloads neu\50057.exe tagged as "not-a-virus:AdWare.Win32.SaveNow.bo". Action Taken: No Action Taken.
Mon May 08 14:13:56 2006 => File E:\mIRC\mirc.exe tagged as not-a-virus:Client-IRC.Win32.mIRC.616. No Action Taken.
Mon May 08 14:14:01 2006 => File E:\Mirc 6.17\backup\mirc.exe tagged as not-a-virus:Client-IRC.Win32.mIRC.616. No Action Taken.
Mon May 08 14:14:06 2006 => File E:\mIRC2\mirc.exe tagged as not-a-virus:Client-IRC.Win32.mIRC.603. No Action Taken.
Mon May 08 14:14:08 2006 => File E:\mIRCBot\mirc.exe tagged as not-a-virus:Client-IRC.Win32.mIRC.603. No Action Taken.
Mon May 08 14:14:08 2006 => File E:\mIRCs\mirc.exe tagged as not-a-virus:Client-IRC.Win32.mIRC.616. No Action Taken.
~~~~~~~~~~~
Ordner
~~~~~~~~~~~
Mon May 08 12:10:16 2006 => Offending Folder found: C:\Programme\ares
Mon May 08 12:10:43 2006 => Offending Folder found: C:\Dokumente und Einstellungen\J.Grimm\Startmenü\programme\ares
Mon May 08 12:10:43 2006 => Offending Folder found: C:\Dokumente und Einstellungen\J.Grimm\Startmenü\programme\whenu
Mon May 08 12:10:43 2006 => Offending Folder found: C:\Dokumente und Einstellungen\J.Grimm\Startmenü\Programme\ares
Mon May 08 12:10:43 2006 => Offending Folder found: C:\Dokumente und Einstellungen\J.Grimm\Startmenü\Programme\whenu
Mon May 08 12:10:43 2006 => Offending Folder found: C:\Dokumente und Einstellungen\J.Grimm\Lokale Einstellungen\anwendungsdaten\ares
Mon May 08 12:11:18 2006 => Offending Folder found: C:\Dokumente und Einstellungen\J.Grimm\Lokale Einstellungen\Anwendungsdaten\ares
Mon May 08 12:11:19 2006 => Offending Folder found: C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\aol\c_aol 9.0\idb\bart\1024
~~~~~~~~~~~
Registry
~~~~~~~~~~~
Mon May 08 12:10:14 2006 => Offending Key found: HKLM\Software\Microsoft\Windows\CurrentVersion\uninstall\ares !!!
Mon May 08 12:10:14 2006 => Offending Key found: HKCU\Software\ares !!!
Mon May 08 12:10:14 2006 => Offending Key found: HKCU\Software\imesh !!!
Mon May 08 12:10:14 2006 => Offending Key found: HKCU\Software\kazaa !!!
~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~
Statistiken:
~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~
Mon May 08 14:22:24 2006 => Total Errors: 3949
Mon May 08 14:22:24 2006 => Time Elapsed: 02:12:21
Mon May 08 14:22:24 2006 => Total Objects Scanned: 426485
Mon May 08 11:27:03 2006 => Virus Database Date: 5/4/2006
Mon May 08 11:32:22 2006 => Virus Database Date: 5/4/2006
Mon May 08 12:03:20 2006 => Virus Database Date: 5/4/2006
Mon May 08 14:22:24 2006 => Virus Database Date: 5/4/2006
Mon May 08 14:29:30 2006 => Virus Database Date: 5/4/2006
~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~