Trojaner-Board - spamware CLICKTHRU....weiss nicht mehr weiter

Trojaner-Board (https://www.trojaner-board.de/)

- Plagegeister aller Art und deren Bekämpfung (https://www.trojaner-board.de/plagegeister-aller-art-deren-bekaempfung/)

- - spamware CLICKTHRU....weiss nicht mehr weiter (https://www.trojaner-board.de/8580-spamware-clickthru-weiss-mehr.html)

spamware CLICKTHRU....weiss nicht mehr weiter

Hallo zusammen, bin mit meinen Ideen am Ende....
Hab folgendes Problem:
Jedesmal wenn ich im Netz Browse öffnet sich in verschiedenen Zeitabständen eine Seite mit entweder "www.turbofind.com" (die auch noch Werbung für Spamware entferner macht, wie sarkastisch) oder "amazon.com" oder irgendsone halbpronseite "anastasia"....ich habe jetzt schon folgende Prgramme über mein System (XP) laufen lassen:

E-Scan
Hijackthis
Spybot
AntiVir
AdAware
BHO Demon läuft die ganze Zeit
spywareblaster....

und so langsam weiss ich nicht mehr weiter und das ding tötet mir den letzten nerv......
WER HAT RAT? :headbang:

Screenshot liegt anbei

Poste mal das hijackhis logfile.

Zeige uns auch mal was escan gefunden hat (hoffentlich auch aktuallisiert, offline und im abgesicherten modus ausgeführt, oder?)

Zitat:

Zitat von Lidius

Poste mal das hijackhis logfile.

Zeige uns auch mal was escan gefunden hat (hoffentlich auch aktuallisiert, offline und im abgesicherten modus ausgeführt, oder?)

Logile Escan heisst logdatei 171004.txt und ist 15mb....wie soll ich die hier posten, einfach hochladen?
hijack ist beigefügt

ach ja und escan hat einen backdoor gefunden, den aber eliminiert ...

Nein, das komplette Log von escan musst du nicht posten/hochladen

Öffne die mwav.log im Verzeichnis von Escan -> Bearbeiten -> Suchen -> infected eingeben -> Weitersuchen -> Treffer markieren/kopieren und ins Forum posten

Zitat:

Zitat von Lidius

-Sun Oct 17 14:56:53 2004 => File C:\WINDOWS\system32\explorer.exe infected by "Backdoor.Spyboter.gen" Virus. Action Taken: No Action Taken.
-Sun Oct 17 14:56:54 2004 => File C:\WINDOWS\system32\EXPLORER.EXE infected by "Backdoor.Spyboter.gen" Virus. Action Taken: No Action Taken.
-Sun Oct 17 14:58:04 2004 => File C:\WINDOWS\System32\explorer.exe infected by "Backdoor.Spyboter.gen" Virus. Action Taken: No Action Taken.
-Sun Oct 17 17:55:36 2004 => File C:\WINDOWS\system32\explorer.exe infected by "Backdoor.Spyboter.gen" Virus. Action Taken: No Action Taken.
-Sun Oct 17 17:59:10 2004 => Total Disinfected Files: 0 :crazy:

Hallo lazychill,

Information zu Backdoor.Spyboter.gen, siehe auch unter "Erläuterung". Ich muss Dir leider mitteilen, dass Dein System kompromittiert ist: "W32/Spybot-DB meldet sich an einem vordefinierten IRC-Server an und wartet auf Backdoor-Befehle, wie z. B.: Starten einer DDOS-Attacke, Download von Dateien, Speichern von Tastenfolgen und Senden von Textnachrichten auf den infizierten Computer."

Die sauberste Lösung

Es tut mir leid, da ist nichts zu machen.

SD

jetzt muss ich mich aber nochmal wundern.......
habe einen kompletten escan nochmal durchgeführt (offline, vorher upgedatet,abgesicherter modus) und der backdoor ist ja auch gar nicht mehr da.....
dass system ist bis auf 2 einträge die jedoch virenfrei sind, nicht infiziert.....
es kann doch nicht sein dass man diesem problem nicht beikommt (wenn der virus ja schon verschwunden ist

Tue Oct 19 13:29:18 2004 => ***** Scanning complete. *****

Tue Oct 19 13:29:18 2004 => Total Files Scanned: 138488
Tue Oct 19 13:29:18 2004 => Total Virus(es) Found: 2
Tue Oct 19 13:29:18 2004 => Total Disinfected Files: 0
Tue Oct 19 13:29:18 2004 => Total Files Renamed: 0
Tue Oct 19 13:29:18 2004 => Total Deleted Files: 0
Tue Oct 19 13:29:18 2004 => Total Errors: 103
Tue Oct 19 13:29:18 2004 => Time Elapsed: 12:22:14
Tue Oct 19 13:29:18 2004 => Virus Database Date: 2004/10/18
Tue Oct 19 13:29:18 2004 => Virus Database Count: 106937

Tue Oct 19 13:29:18 2004 => Scan Completed.

bringt es mir was wenn ich statt ie den mozilla nehme?

Das die Infizierten Dateien verschwunden sind ist in der Tat merkwürdig. Da wird sicherlich einer der erfahreneren Benutzer hier im Forum mehr zu sagen können.

Es ist immer zu empfehlen einen anderen Browser als den Internet Explorer zu benutzen. Mozilla ist da eine gute wahl.

Dieser Tread beschäftigt sich mit alternativen Browsern: http://www.trojaner-board.de/showthread.php?t=8251 kannst es dir ja mal durchlesen und danach entscheiden.

Gruß
Lidius

PS: Bist du dir sicher die im ersten Escan log gefundenen dateien nicht selbst gelöscht zu haben? (Blöde Frage, aber Dateien verschwinden ja seltenst von selbst)

PPS: Poste bitte auch nochmal ein Hijackthis Log

@ lazychill

Zitat:

Tue Oct 19 13:29:18 2004 => Total Virus(es) Found: 2

verschwundene Dateien: Windows Explorer -> "Extras/Ordneroptionen" -> "Ansicht" -> "Alle Dateien und Ordner anzeigen" aktivieren

Viren verschwinden leider nicht, sie werden entweder gelöscht oder sie sind noch da. Und Backdoors hinterlassen Veränderungen im System, siehe Link in meinem letzten Posting: bitte lesen!

SD

Zitat:

Zitat von lazychill

Jedesmal wenn ich im Netz Browse öffnet sich in verschiedenen Zeitabständen eine Seite mit entweder "www.turbofind.com" (die auch noch Werbung für Spamware entferner macht, wie sarkastisch) oder "amazon.com" oder irgendsone halbpronseite "anastasia"

Hi,

ich hab seit 2 Tagen exakt das gleiche problem. Hab leider auch noch keine lösung gefunden. Solltest Du das Problem bei dir irgendwie beseitigen können, dann sag bitte bescheid wie du es geschafft hat.

Danke

Nevermind

Hi zusammen,

habe auch seit 2 Tagen genau das selbe Problem!
Wäre auch um jeden Rat dankbar.

Gruß

abraxe

Postet doch bitte mal ein Hijackthis-Logfile, ohne irgendwelche Informationen über den Rechner bzw. das System ist es schlicht unmöglich zu helfen.

http://www.trojaner-board.de/51130-a...ijackthis.html

Code:

Logfile of HijackThis v1.98.2

Scan saved at 17:25:50, on 21.10.2004

Platform: Windows 2000 SP4 (WinNT 5.00.2195)

MSIE: Internet Explorer v6.00 SP1 (6.00.2800.1106)
 

Running processes:

C:\WINNT\System32\smss.exe

C:\WINNT\system32\winlogon.exe

C:\WINNT\system32\services.exe

C:\WINNT\system32\lsass.exe

C:\WINNT\system32\svchost.exe

C:\WINNT\system32\spoolsv.exe

C:\PROGRA~1\F-SECU~1\backweb\4476822\Program\SERVIC~1.EXE

C:\WINNT\System32\svchost.exe

C:\Programme\F-Secure Anti-Virus\Anti-Virus\fsgk32st.exe

C:\Programme\F-Secure Anti-Virus\Anti-Virus\FSGK32.EXE

C:\Programme\F-Secure Anti-Virus\backweb\4476822\program\fsbwsys.exe

C:\Programme\F-Secure Anti-Virus\Common\FSMA32.EXE

C:\Programme\F-Secure Anti-Virus\Common\FSMB32.EXE

C:\Programme\F-Secure Anti-Virus\Anti-Virus\fssm32.exe

C:\WINNT\system32\nvsvc32.exe

C:\Programme\F-Secure Anti-Virus\Common\FCH32.EXE

C:\WINNT\system32\stisvc.exe

C:\Programme\F-Secure Anti-Virus\Common\FAMEH32.EXE

C:\WINNT\System32\WBEM\WinMgmt.exe

C:\Programme\F-Secure Anti-Virus\FWES\Program\fsdfwd.exe

C:\Programme\F-Secure Anti-Virus\Anti-Virus\fsav32.exe

C:\WINNT\Explorer.EXE

C:\WINNT\SOUNDMAN.EXE

C:\Programme\F-Secure Anti-Virus\Common\FSM32.EXE

C:\WINNT\system32\ctfmon.exe

C:\Programme\F-Secure Anti-Virus\FSGUI\fsguiexe.exe

C:\Programme\F-Secure Anti-Virus\backweb\4476822\Program\fspex.exe

C:\Programme\Gemeinsame Dateien\PestPatrol\ppRemoteService.exe

C:\Dokumente und Einstellungen\jenlau\Desktop\hijackthis1982\HijackThis.exe
 

R1 - HKCU\Software\Microsoft\Internet Explorer,SearchURL = http://ie.search.msn.com/{SUB_RFC1766}/srchasst/srchasst.htm

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://www.microsoft.com/isapi/redir...ie&ar=iesearch

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = http://www.microsoft.com/isapi/redir...ie&ar=iesearch

R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://www.microsoft.com/isapi/redir...r=6&ar=msnhome

R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://www.microsoft.com/isapi/redir...ie&ar=iesearch

R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = http://www.microsoft.com/isapi/redir...ie&ar=iesearch

R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.microsoft.com/isapi/redir.dll?prd={SUB_PRD}&clcid={SUB_CLSID}&pver={SUB_PVER}&ar=home

O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Programme\Adobe\Acrobat 6.0\Acrobat\ActiveX\AcroIEHelper.dll

O2 - BHO: Google Toolbar Helper - {AA58ED58-01DD-4d91-8333-CF10577473F7} - c:\programme\google\googletoolbar1.dll

O2 - BHO: AcroIEToolbarHelper Class - {AE7CD045-E861-484f-8273-0445EE161910} - C:\Programme\Adobe\Acrobat 6.0\Acrobat\AcroIEFavClient.dll

O3 - Toolbar: @msdxmLC.dll,-1@1031,&Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINNT\System32\msdxm.ocx

O3 - Toolbar: Adobe PDF - {47833539-D0C5-4125-9FA8-0819E2EAAC93} - C:\Programme\Adobe\Acrobat 6.0\Acrobat\AcroIEFavClient.dll

O3 - Toolbar: &Google - {2318C2B1-4965-11d4-9B18-009027A5CD4F} - c:\programme\google\googletoolbar1.dll

O4 - HKLM\..\Run: [Synchronization Manager] mobsync.exe /logon

O4 - HKLM\..\Run: [Xfire] Xfire.exe /minimize

O4 - HKLM\..\Run: [SoundMan] SOUNDMAN.EXE

O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINNT\system32\NvCpl.dll,NvStartup

O4 - HKLM\..\Run: [nwiz] nwiz.exe /install

O4 - HKLM\..\Run: [NvMediaCenter] RUNDLL32.EXE C:\WINNT\system32\NvMcTray.dll,NvTaskbarInit

O4 - HKLM\..\Run: [F-Secure Manager] "C:\Programme\F-Secure Anti-Virus\Common\FSM32.EXE" /splash

O4 - HKLM\..\Run: [F-Secure TNB] "C:\Programme\F-Secure Anti-Virus\TNB\TNBUtil.exe" /CHECKALL /WAITFORSW

O4 - HKLM\..\Run: [F-Secure Startup Wizard] "C:\Programme\F-Secure Anti-Virus\FSGUI\FSSW.EXE" /reboot

O4 - HKCU\..\Run: [ctfmon.exe] ctfmon.exe

O4 - Global Startup: Adobe Gamma Loader.lnk = C:\Programme\Gemeinsame Dateien\Adobe\Calibration\Adobe Gamma Loader.exe

O8 - Extra context menu item: &Google Search - res://c:\programme\google\GoogleToolbar1.dll/cmsearch.html

O8 - Extra context menu item: Im Cache gespeicherte Seite - res://c:\programme\google\GoogleToolbar1.dll/cmcache.html

O8 - Extra context menu item: Nach Microsoft &Excel exportieren - res://C:\PROGRA~1\MICROS~2\Office10\EXCEL.EXE/3000

O8 - Extra context menu item: Verweisseiten - res://c:\programme\google\GoogleToolbar1.dll/cmbacklinks.html

O8 - Extra context menu item: Ähnliche Seiten - res://c:\programme\google\GoogleToolbar1.dll/cmsimilar.html

O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\WINNT\System32\msjava.dll

O9 - Extra 'Tools' menuitem: Sun Java Konsole - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\WINNT\System32\msjava.dll

O9 - Extra button: Yahoo! Messenger - {E5D12C4E-7B4F-11D3-B5C9-0050045C3C96} - C:\PROGRA~1\Yahoo!\MESSEN~1\YPager.exe

O9 - Extra 'Tools' menuitem: Yahoo! Messenger - {E5D12C4E-7B4F-11D3-B5C9-0050045C3C96} - C:\PROGRA~1\Yahoo!\MESSEN~1\YPager.exe

O17 - HKLM\System\CCS\Services\Tcpip\..\{D1F4EB2D-6B72-4D8C-B380-E53E10BBEC6D}: NameServer = 192.168.0.2

O21 - SSODL: SystemCheck - {54645654-2225-4455-44A1-9F4543D34544} - C:\WINNT\system32\vbsys.dll

was ich bis jetz alles versucht hab:

Norton Antivirus 2004
F-Secure Anti-Virus 2005 (30 Tage Trial)
Adaware
PestPatrol
Registry (vorallem "run/runonce") nach auffälligkeiten durchsucht
diverse Services deaktiviert

ich weiss nich weiter :heulen:

hi leute.

scheint, als wäre ich genau richtig hier.
ich habe seit 3 tagen genau das gleiche problem.
'turbofind' , 'amazon' , usw . . .

hier mal gleich die hijackthis.log:

Logfile of HijackThis v1.98.2
Scan saved at 20:19:15, on 21.10.2004
Platform: Windows XP (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 (6.00.2600.0000)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\spoolsv.exe
C:\WINDOWS\Explorer.EXE
C:\PROGRA~1\NORTON~1\NORTON~1\navapw32.exe
C:\Programme\Norton SystemWorks\Norton AntiVirus\navapsvc.exe
C:\WINDOWS\System32\nvsvc32.exe
C:\PROGRA~1\Agnitum\OUTPOS~1.0\outpost.exe
C:\PROGRA~1\NORTON~1\SPEEDD~1\nopdb.exe
C:\WINDOWS\System32\svchost.exe
C:\Programme\hijackthis1982\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.google.de/
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page_bak = http://www.google.de/
O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Programme\Adobe\Acrobat 6.0\Reader\ActiveX\AcroIEHelper.dll
O2 - BHO: NAV Helper - {BDF3E430-B101-42AD-A544-FADC6B084872} - C:\Programme\Norton SystemWorks\Norton AntiVirus\NavShExt.dll
O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINDOWS\System32\msdxm.ocx
O3 - Toolbar: Norton AntiVirus - {42CDD1BF-3FFB-4238-8AD1-7859DF00B1D6} - C:\Programme\Norton SystemWorks\Norton AntiVirus\NavShExt.dll
O4 - HKLM\..\Run: [NAV Agent] C:\PROGRA~1\NORTON~1\NORTON~1\navapw32.exe
O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\System32\NvCpl.dll,NvStartup
O4 - HKLM\..\Run: [Outpost Firewall] C:\Programme\Agnitum\Outpost Firewall 1.0\outpost.exe /waitservice
O8 - Extra context menu item: Nach Microsoft &Excel exportieren - res://C:\PROGRA~1\MICROS~2\Office10\EXCEL.EXE/3000
O9 - Extra button: ICQ Pro - {6224f700-cba3-4071-b251-47cb894244cd} - C:\PROGRA~1\ICQ\ICQ.exe
O9 - Extra 'Tools' menuitem: ICQ - {6224f700-cba3-4071-b251-47cb894244cd} - C:\PROGRA~1\ICQ\ICQ.exe
O9 - Extra button: ICQ 4.1 - {B863453A-26C3-4e1f-A54D-A2CD196348E9} - C:\Programme\ICQLite\ICQLite.exe
O9 - Extra 'Tools' menuitem: ICQ Lite - {B863453A-26C3-4e1f-A54D-A2CD196348E9} - C:\Programme\ICQLite\ICQLite.exe
O16 - DPF: {53B8B406-42E4-4DD3-96E7-9DEC8CEB3DD8} (ICQVideoControl Class) - http://xtraz.icq.com/xtraz/activex/ICQVideoControl.cab
O16 - DPF: {8FA9D107-547B-4DBC-9D88-FABD891EDB0A} (shizmoo Class) - http://playroom.icq.com/odyssey_web11.cab
O16 - DPF: {917623D1-D8E5-11D2-BE8B-00104B06BDE3} (CamImage Class) - http://62.109.84.251/activex/AxisCamControl.cab
O16 - DPF: {DF780F87-FF2B-4DF8-92D0-73DB16A1543A} (PopCapLoader Object) - http://arcade.icq.com/carlo/zuma/popcaploader_v5.cab
O16 - DPF: {FB48C7B0-EB66-4BE6-A1C5-9DDF3C37249A} (MCSendMessageHandler Class) - http://xtraz.icq.com/xtraz/activex/MISBH.cab
O21 - SSODL: SystemCheck - {54645654-2225-4455-44A1-9F4543D34544} - C:\WINDOWS\System32\vbsys.dll

ich hoffe ihr könnt damit was anfangen
danke

Hallo nevermind,

um die Probleme des Browser-Hijackings los zu werden, bitte ich Dich um Deine Mitarbeit bei der Spybot-Forschung. Arbeite das Tutorial Punkt für Punkt durch, überprüfe Deinen Computer mit Spybot 1.3.1TX, lasse bestehende Probleme beheben. Erstelle einen Spybot-Report und sende ihn an detections@spybot.info, mit dem Betreff "vbsys.dll-TBOARD", mit Hinweis auf diesen Thread.

=====@=====

Boote in den abgesicherten Modus, fixe dann mit Hijack This (Häk'chen setzen und fix checked klicken):

O21 - SSODL: SystemCheck - {54645654-2225-4455-44A1-9F4543D34544} - C:\WINNT\system32\vbsys.dll

lösche
C:\WINNT\system32\vbsys.dll

Boote in den normalen Modus.

=====@=====

Lade den eScan runter, erstelle einen Ordner (=Verzeichnis) c:\bases, update den eScan online und führe ihn offline im abgesicherten Modus aus.

Beachte, dass der eScan ab Version 4.5.1 gefundene Malware nicht löscht. Die Malware muss von Hand gelöscht werden.

Teile uns das Ergebnis des eScan mit: welche Viren wurden auf Deinem Rechner gefunden: "öffne die mwav.log -> Bearbeiten -> Suchen -> infected eingeben -> Weitersuchen -> Treffer markieren/kopieren und ins Forum übertragen."

Teile uns das Ergebnis des eScans mit und poste ein neues Hijack This Logfile.

SD