Falsche Links nach Google Suche. Brauche Hilfe!
 

Hallo Experten,

mein PC soll nicht so enden, wie der des Hannoveraners, der wegen Frust den unsanften Weg durchs Fenster auf die Straße gefunden hat, daher wende ich mich an Euch.

Ich schaffe es einfach nicht, die ungewünschten Umleitungen auf falsche Seiten nach der Google-Suche abzustellen.
Die angezeigten Suchergebnisse bei Google sind noch korrekt. Wenn ich dann aber einen der angezeigten Links anklicke, kommt fast immer irgendeine andere Seite und nicht die Ausgewählte.
Erst, wenn ich zurückgehe und den Link nochmal anklicke, kommt irgendwann die gewünschte Seite. Wie kann ich diese falschen Links abstellen ?

Bei mir ist Norton Internet Security aktiviert und folgendes habe ich nach den Anleitungen auf der Google-Hilfe schon durchgeführt, ohne diese Umleitungen loszuwerden.
- Spybot Search and Destroy 1.4 : Habe alle gemeldeten Infektionen gelöscht
- Ad-Aware 2007 : Habe die 2 gefundenen Infektionen gelöscht
- CWShredder : Hat nichts Beunruhigendes gefunden

Als letzte Massnahme schlägt die google-Hilfe noch das Programm HijackThis vor. Das habe ich auch ausgeführt, kann aber mit den aufgelisteten Ergebnissen nichts anfangen, bzw. weiss nicht, wie mir diese Protokolldatei weiterhelfen soll.

Es hatten ja auch schon andere hier das Problem, da war von einem Startseitenverdreher die Rede - wie kann ich den finden?

Ich könnte also Eure Hilfe gebrauchen - bitte aber so schreiben, dass auch Dummies das verstehen.

Danke
GuMe

Protokoll posten, Anleitung beachten: http://www.trojaner-board.de/17493-a...ijackthis.html

Habe hoffentlich alle Links mit ** überschrieben.
Hier das Protokoll:

Logfile of Trend Micro HijackThis v2.0.2
Scan saved at 16:15:08, on 20.07.2007
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v7.00 (7.00.6000.16473)
Boot mode: Normal

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\csrss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\system32\svchost.exe
C:\Programme\Gemeinsame Dateien\Symantec Shared\ccEvtMgr.exe
C:\Programme\Norton Internet Security\NISUM.EXE
C:\WINDOWS\system32\spoolsv.exe
C:\Programme\Norton Internet Security\ccPxySvc.exe
C:\WINDOWS\System32\svchost.exe
C:\Programme\Norton AntiVirus\navapsvc.exe
C:\WINDOWS\system32\nvsvc32.exe
C:\WINDOWS\system32\svchost.exe
C:\Programme\Windows Media Player\WMPNetwk.exe
C:\WINDOWS\System32\alg.exe
C:\WINDOWS\Explorer.EXE
C:\Programme\Java\jre1.6.0_01\bin\jusched.exe
C:\WINDOWS\SOUNDMAN.EXE
C:\Programme\Gemeinsame Dateien\Symantec Shared\ccApp.exe
C:\Programme\Messenger\msmsgs.exe
D:\Programme\SPAMfighter\SFAgent.exe
C:\WINDOWS\system32\ctfmon.exe
C:\Programme\Windows Media Player\WMPNSCFG.exe
C:\Programme\Spybot - Search & Destroy\TeaTimer.exe
C:\Programme\EPSON\EPSON SMART PANEL for Scanner\ESPmain.exe
C:\Programme\Nikon\PictureProject\NkbMonitor.exe
C:\Programme\CASIO\Photo Loader\Plauto.exe
C:\Programme\Lavasoft\Ad-Aware 2007\aawservice.exe
C:\Programme\Internet Explorer\iexplore.exe
C:\Programme\Apple Software Update\SoftwareUpdate.exe
C:\Programme\Bonjour\mDNSResponder.exe
C:\Programme\Adobe\Acrobat 7.0\Reader\AcroRd32.exe
C:\WINDOWS\system32\msiexec.exe
C:\Programme\Gemeinsame Dateien\Apple\Mobile Device Support\bin\AppleMobileDeviceService.exe
C:\Programme\Symantec\LiveUpdate\AUpdate.exe
C:\PROGRA~1\Symantec\LIVEUP~1\LUCOMS~1.EXE
C:\Programme\QuickTime\QTTask.exe
C:\Programme\iPod\bin\iPodService.exe
C:\Programme\iTunes\iTunesHelper.exe
C:\Dokumente und Einstellungen\Gudrun und Georg\Eigene Dateien\***\HiJackThis.exe
C:\WINDOWS\system32\wbem\wmiprvse.exe

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = h**p://go.microsoft.com/fwlink/?LinkId=54896
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = h**p://www.google.de/
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = h**p://go.microsoft.com/fwlink/?LinkId=69157
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = h**p://go.microsoft.com/fwlink/?LinkId=54896
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = h**p://go.microsoft.com/fwlink/?LinkId=54896
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = h**p://go.microsoft.com/fwlink/?LinkId=69157
R0 - HKLM\Software\Microsoft\Internet Explorer\Search,SearchAssistant =
R0 - HKLM\Software\Microsoft\Internet Explorer\Search,CustomizeSearch =
R1 - HKCU\Software\Microsoft\Internet Connection Wizard,ShellNext = h**p://go.microsoft.com/fwlink/?linkid=54834
R1 - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings,ProxyOverride = *.local
O2 - BHO: Adobe PDF Reader Link Helper - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Programme\Adobe\Acrobat 7.0\ActiveX\AcroIEHelper.dll
O2 - BHO: (no name) - {53707962-6F74-2D53-2644-206D7942484F} - C:\PROGRA~1\SPYBOT~1\SDHelper.dll
O2 - BHO: SSVHelper Class - {761497BB-D6F0-462C-B6EB-D4DAF1D92D43} - C:\Programme\Java\jre1.6.0_01\bin\ssv.dll
O2 - BHO: NAV Helper - {BDF3E430-B101-42AD-A544-FADC6B084872} - C:\Programme\Norton AntiVirus\NavShExt.dll
O3 - Toolbar: Norton AntiVirus - {42CDD1BF-3FFB-4238-8AD1-7859DF00B1D6} - C:\Programme\Norton AntiVirus\NavShExt.dll
O4 - HKLM\..\Run: [SunJavaUpdateSched] "C:\Programme\Java\jre1.6.0_01\bin\jusched.exe"
O4 - HKLM\..\Run: [SoundMan] SOUNDMAN.EXE
O4 - HKLM\..\Run: [ccApp] C:\Programme\Gemeinsame Dateien\Symantec Shared\ccApp.exe
O4 - HKLM\..\Run: [ccRegVfy] C:\Programme\Gemeinsame Dateien\Symantec Shared\ccRegVfy.exe
O4 - HKLM\..\Run: [Symantec NetDriver Monitor] C:\PROGRA~1\SYMNET~1\SNDMon.exe /Consumer
O4 - HKLM\..\Run: [NeroFilterCheck] C:\WINDOWS\system32\NeroCheck.exe
O4 - HKLM\..\Run: [Windows Media Connect 2] "C:\Programme\Windows Media Connect 2\WMCCFG.exe" /StartQuiet
O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\system32\NvCpl.dll,NvStartup
O4 - HKLM\..\Run: [nwiz] nwiz.exe /install
O4 - HKLM\..\Run: [NvMediaCenter] RUNDLL32.EXE C:\WINDOWS\system32\NvMcTray.dll,NvTaskbarInit
O4 - HKLM\..\Run: [bt33] C:\Dokumente und Einstellungen\All Users\Dokumente\Stronghold Crusader\crack.exe
O4 - HKLM\..\Run: [SPAMfighter Agent] "D:\Programme\SPAMfighter\SFAgent.exe" update delay 60
O4 - HKLM\..\Run: [QuickTime Task] "C:\Programme\QuickTime\qttask.exe" -atboottime
O4 - HKLM\..\Run: [iTunesHelper] "C:\Programme\iTunes\iTunesHelper.exe"
O4 - HKCU\..\Run: [ctfmon.exe] C:\WINDOWS\system32\ctfmon.exe
O4 - HKCU\..\Run: [MSMSGS] "C:\Programme\Messenger\msmsgs.exe" /background
O4 - HKCU\..\Run: [WMPNSCFG] C:\Programme\Windows Media Player\WMPNSCFG.exe
O4 - HKCU\..\Run: [SpybotSD TeaTimer] C:\Programme\Spybot - Search & Destroy\TeaTimer.exe
O4 - Global Startup: Adobe Reader - Schnellstart.lnk = C:\Programme\Adobe\Acrobat 7.0\Reader\reader_sl.exe
O4 - Global Startup: EPSON SMART PANEL for Scanner.lnk = C:\Programme\EPSON\EPSON SMART PANEL for Scanner\ESPmain.exe
O4 - Global Startup: Microsoft Office.lnk = C:\Programme\Microsoft Office\Office\OSA9.EXE
O4 - Global Startup: NkbMonitor.exe.lnk = C:\Programme\Nikon\PictureProject\NkbMonitor.exe
O4 - Global Startup: Photo Loader resident.lnk = C:\Programme\CASIO\Photo Loader\Plauto.exe
O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programme\Java\jre1.6.0_01\bin\ssv.dll
O9 - Extra 'Tools' menuitem: Sun Java Konsole - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programme\Java\jre1.6.0_01\bin\ssv.dll
O9 - Extra button: ICQ Lite - {B863453A-26C3-4e1f-A54D-A2CD196348E9} - D:\Programme\ICQLite\ICQLite.exe
O9 - Extra 'Tools' menuitem: ICQ Lite - {B863453A-26C3-4e1f-A54D-A2CD196348E9} - D:\Programme\ICQLite\ICQLite.exe
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe
O16 - DPF: {02BF25D5-8C17-4B23-BC80-D3488ABDDC6B} (QuickTime Object) - http://a1540.g.akamai.net/7/1540/52/20061023/qtinstall.info.apple.com/qtactivex/qtplugin.cab
O16 - DPF: {17492023-C23A-453E-A040-C7C580BBF700} (Windows Genuine Advantage Validation Tool) - http://go.microsoft.com/fwlink/?LinkID=39204
O16 - DPF: {4EFA317A-8569-4788-B175-5BAF9731A549} (Microsoft Virtual Server VMRC Advanced Control) - http://www.windowsvistatestdrive.com/ActiveX/VMRCActiveXClient1.cab
O16 - DPF: {6E32070A-766D-4EE6-879C-DC1FA91D2FC3} (MUWebControl Class) - http://update.microsoft.com/microsoftupdate/v6/V5Controls/en/x86/client/muweb_site.cab?1161891261515
O16 - DPF: {70BA88C8-DAE8-4CE9-92BB-979C4A75F53B} (GSDACtl Class) - http://launch.gamespyarcade.com/software/launch/alaunch.cab
O16 - DPF: {C4925E65-7A1E-11D2-8BB4-00A0C9CC72C3} (Virtools WebPlayer Class) - http://a532.g.akamai.net/f/532/6712/4h/player.virtools.com/downloads/player/Install2.5/Installer.exe
O17 - HKLM\System\CCS\Services\Tcpip\..\{243CD862-F0C2-43C2-AA68-289271C70B56}: NameServer = 85.255.114.90,85.255.112.92
O17 - HKLM\System\CCS\Services\Tcpip\..\{63A6F782-ABC7-4E23-9C1E-A61AA4788859}: NameServer = 85.255.114.90,85.255.112.92
O17 - HKLM\System\CCS\Services\Tcpip\..\{90056FAF-55DE-45A7-A1A2-DAD7158ECDDD}: NameServer = 85.255.114.90,85.255.112.92
O17 - HKLM\System\CCS\Services\Tcpip\..\{C8520715-0B99-48ED-A329-35C87B488F67}: NameServer = 85.255.114.90,85.255.112.92
O17 - HKLM\System\CS1\Services\Tcpip\Parameters: NameServer = 85.255.114.90 85.255.112.92
O17 - HKLM\System\CCS\Services\Tcpip\Parameters: NameServer = 85.255.114.90 85.255.112.92
O23 - Service: Ad-Aware 2007 Service (aawservice) - Lavasoft AB - C:\Programme\Lavasoft\Ad-Aware 2007\aawservice.exe
O23 - Service: Adobe LM Service - Adobe Systems - C:\Programme\Gemeinsame Dateien\Adobe Systems Shared\Service\Adobelmsvc.exe
O23 - Service: Apple Mobile Device - Apple, Inc. - C:\Programme\Gemeinsame Dateien\Apple\Mobile Device Support\bin\AppleMobileDeviceService.exe
O23 - Service: Bonjour Service - Apple Computer, Inc. - C:\Programme\Bonjour\mDNSResponder.exe
O23 - Service: Symantec Event Manager (ccEvtMgr) - Symantec Corporation - C:\Programme\Gemeinsame Dateien\Symantec Shared\ccEvtMgr.exe
O23 - Service: Symantec Password Validation Service (ccPwdSvc) - Symantec Corporation - C:\Programme\Gemeinsame Dateien\Symantec Shared\ccPwdSvc.exe
O23 - Service: Symantec Proxy Service (ccPxySvc) - Symantec Corporation - C:\Programme\Norton Internet Security\ccPxySvc.exe
O23 - Service: FLEXnet Licensing Service - Macrovision Europe Ltd. - C:\Programme\Gemeinsame Dateien\Macrovision Shared\FLEXnet Publisher\FNPLicensingService.exe
O23 - Service: InstallDriver Table Manager (IDriverT) - Macrovision Corporation - C:\Programme\Gemeinsame Dateien\InstallShield\Driver\11\Intel 32\IDriverT.exe
O23 - Service: iPod-Dienst (iPod Service) - Apple Inc. - C:\Programme\iPod\bin\iPodService.exe
O23 - Service: Macromedia Licensing Service - Macromedia - C:\Programme\Gemeinsame Dateien\Macromedia Shared\Service\Macromedia Licensing.exe
O23 - Service: Norton AntiVirus Auto-Protect-Dienst (navapsvc) - Symantec Corporation - C:\Programme\Norton AntiVirus\navapsvc.exe
O23 - Service: Norton Internet Security Accounts Manager (NISUM) - Symantec Corporation - C:\Programme\Norton Internet Security\NISUM.EXE
O23 - Service: NVIDIA Display Driver Service (NVSvc) - NVIDIA Corporation - C:\WINDOWS\system32\nvsvc32.exe
O23 - Service: ScriptBlocking Service (SBService) - Symantec Corporation - C:\PROGRA~1\GEMEIN~1\SYMANT~1\SCRIPT~1\SBServ.exe
O23 - Service: Symantec Network Drivers Service (SNDSrvc) - Symantec Corporation - C:\Programme\Gemeinsame Dateien\Symantec Shared\SNDSrvc.exe

--
End of file - 10219 bytes

GuMe

Hallo,

da anscheinend keiner etwas zu meinem eingestellten HJT Log sagen konnte, habe ich selber versucht, den Fehler einzugrenzen und alles zu eliminieren, was mir nicht sauber erschien.
Zwischenzeitlich musste ich dann ein halbe Nacht opfern, weil der Rechner gar nicht mehr hochfuhr (die Dateien System, Software ect. im Ordner Windows\System32\Config waren weg und das Dateisystem beschädigt).
Mit diversen Anleitungen und Tipps aus dem Internet konnte ich das Problem aber GottseiDank lösen.

Was aber immer noch falsch läuft, sind die eingangs geschilderten Umleitungen auf falsche Seiten nach der Google-Suche. Das macht mich schier wahnsinnig!

Weil Spybot immer wieder einen Zlob.DNSChanger meldete, habe ich jetzt nochmal im Registrierung-Editor rumgesucht und alle Einträge in diversen Unterordnern von HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Tcpip\Parameters\Interfaces gelöscht, die so aussahen :
Name : NameServer
Typ : Reg-SZ
Wert : 208.67.220.220,208.67.222.222

Da hat aber leider auch nicht, wie gehofft, mein Problem gelöst.
Mir ist aber noch folgendes im Registrierung-Editor aufgefallen :
Unter Berechtigungen werden zwei unbekannte Konten aufgeführt.

Das unbekannte Konto (S-1-5-32-547) hat Lesezugriff und das unbekannte Konto (S-1-5-32-556) hat Lesezugriff und spezielle Berechtigungen.

Werde ich mit diesen Konten ausspioniert ?
Kann ich diese Konten einfach löschen?

Hat keiner eine Idee, wie ich diese redirections in Google loswerde ??

Gruss GuMe

Sorry, dein Thread muss in der Masse irgendwie untergegangen sein... :(
Jedenfalls siehts nicht gut aus:

HKLM\System\CCS\Services\Tcpip\..\{90056FAF-55DE-45A7-A1A2-DAD7158ECDDD}: NameServer = 85.255.114.90,85.255.112.92

Die markierten IP-Adressen führen in die Ukraine. Ein Schädling hat deine TCP/IP-Einstellungen umgebogen.

Ich kann dir deswegen nur die Neuinstallation des Systems empfehlen, nach Absicherung solltest du auch sämtliche Passwörter ändern.

@cosinus : Vielen herzlichen Dank für die Antwort. Ich hatte gehofft, es wäre nicht so schlimm, dass ich das ganze System neu aufsetzen muss. Das wäre so enorm viel Arbeit, weil da mittlerweile so viele Programme drauf sind.

Gäbe es vielleicht doch eine Alternative ohne Neuinstallation?

Diese ukrainischen IP-Adressen 85.255.114.90,85.255.112.92 habe ich in dem neuesten HJT-Log nicht mehr. Ich nehme an, du hast das an den O17-Einträgen erkannt. Ich habe jetzt nur noch diese beiden O17-Einträge :
O17 - HKLM\System\CS1\Services\Tcpip\Parameters: NameServer = 208.67.220.220,208.67.222.222
O17 - HKLM\System\CCS\Services\Tcpip\Parameters: NameServer = 208.67.220.220,208.67.222.222

Sind das auch Umleitungen in die Ukraine?
Ich habe die Werte 208.67.220.220,208.67.222.222
jetzt noch unter
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Tcpip\Parameters
und
HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\Tcpip\Parameters
gefunden. Soll ich die löschen?

Wenn ich aber um eine Neuinstallation nicht herumkomme, wie soll ich mich zukünftig davor schützen, wieder auf die gleiche Art verseucht zu werden; ich weiss ja noch nicht mal, wie ich darangekommen bin.

Gruß GuMe

Rumfrickelei würde ich dir an diesem System nicht mehr empfehlen, das kostet zu viel Zeit und es gibt keine Garantie, alles bereinigt zu haben. Ein Neuaufsetzen ist in deinem Fall das einzig wahre.
Du darfst nicht vergessen, dass prinzipiell dein Netzwerkverkehr mitgehört werden konnte, deine Passwörter müssen als bekannt betrachtet werden.

Ich kann mir auch nicht vorstellen, dass ein Schädling einzig und allein die TCP/IP-Einstellungen verändert, wer weiß was dir dir noch eingepflanzt hat.

Setz neu auf und änder alle Passwörter danach.

Hi,
das Problem hatte ich erst letztens.

Da war es so, dass derjenige sich per Windows-Breitbandverbindung eingewählt hat (also kein Router).
Der Zlob.DNSChanger hatte sich in der Breitbandverbindung als DNS-Server eingetragen (Deshalb findet Spybot den nach jeder Einwahl wieder).
Wenn du in den Netzwerkverbindungen in den Eigenschaften beim TCP-Protokoll der Breitbandverbindung schaust, müssten da die falschen DNS eingetragen sein. Einfach auf automatisch beziehen stellen, dann müsste alles wieder gehen.

Joker