Trojaner-Board - Multimpp.cab

Trojaner-Board (https://www.trojaner-board.de/)

- Plagegeister aller Art und deren Bekämpfung (https://www.trojaner-board.de/plagegeister-aller-art-deren-bekaempfung/)

- - Multimpp.cab (https://www.trojaner-board.de/8987-multimpp-cab.html)

Hallo habe schonmal hier nachgefragt und Hilackthis drüberlaufen lassen und dan auch antwort bekommen und die dementsprechenden sachen auch gelöscht möchte nun wissen ob alles ok ist.
jetzt kommt volgendes dabei raus:

Logfile of HijackThis v1.98.2
Scan saved at 21:54:42, on 28.10.2004
Platform: Windows XP (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 (6.00.2600.0000)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\spoolsv.exe
L:\neu\AVGUARD.EXE
L:\neu\AVWUPSRV.EXE
C:\Programme\Gemeinsame Dateien\Microsoft Shared\VS7DEBUG\MDM.EXE
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\services\stat.exe
C:\WINDOWS\System32\MSOffice\services.exe
L:\neu\AVGNT.EXE
C:\WINDOWS\explorer.exe
C:\Programme\Internet Explorer\IEXPLORE.EXE
C:\Programme\Internet Explorer\IEXPLORE.EXE
C:\Dokumente und Einstellungen\Matthias\Lokale Einstellungen\Temp\Temporäres Verzeichnis 1 für hijackthis1982.zip\HijackThis.exe

R1 - HKCU\Software\Microsoft\Internet Explorer,SearchURL = http://searchmiracle.com/sp.php
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Bar = http://www.couldnotfind.com/search_p...ount_id=137837
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = http://www.couldnotfind.com/search_p...ount_id=137837
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.google.de/
R1 - HKCU\Software\Microsoft\Internet Explorer\Search,SearchAssistant = http://www.couldnotfind.com/search_p...ount_id=137837
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page_bak = http://www.googel.de/
F3 - REG:win.ini: run=C:\WINDOWS\system32\services\stat.exe
O2 - BHO: (no name) - {5321E378-FFAD-4999-8C62-03CA8155F0B3} - (no file)
O2 - BHO: BAHelper Class - {A3FDD654-A057-4971-9844-4ED8E67DBBB8} - C:\Programme\SideFind\sfbho.dll (file missing)
O2 - BHO: BHO Class - {CBEFB350-ED5B-4115-B846-C1041676B377} - C:\WINDOWS\System32\CustomIE32.dll
O2 - BHO: ADP UrlCatcher Class - {F4E04583-354E-4076-BE7D-ED6A80FD66DA} - C:\WINDOWS\System32\msbe.dll
O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINDOWS\System32\msdxm.ocx
O4 - HKLM\..\Run: [EM_EXEC] c:\hardware\LOGITE~1\SYSTEM\EM_EXEC.EXE
O4 - HKLM\..\Run: [NeroCheck] C:\WINDOWS\system32\NeroCheck.exe
O4 - HKLM\..\Run: [MSOffice] C:\WINDOWS\System32\MSOffice\services.exe
O4 - HKLM\..\Run: [Sys29] C:\windows\system32\winlme32.exe
O4 - HKLM\..\Run: [mxykekpdqexqe] C:\WINDOWS\System32\ofwaxw.exe
O4 - HKLM\..\Run: [AVGCtrl] L:\neu\AVGNT.EXE /min
O4 - HKLM\..\Run: [KernelFaultCheck] %systemroot%\system32\dumprep 0 -k
O4 - HKLM\..\Run: [Power Scan] C:\Programme\Power Scan\powerscan.exe
O4 - HKLM\..\Run: [BullsEye Network] C:\Programme\BullsEye Network\bin\bargains.exe
O4 - HKLM\..\Run: [xpsystem] C:\WINDOWS\system32\services\stat.exe
O4 - HKCU\..\Run: [xpsystem] C:\WINDOWS\system32\services\stat.exe
O8 - Extra context menu item: Nach Microsoft &Excel exportieren - res://F:\MSOFFI~1\office\OFFICE11\EXCEL.EXE/3000
O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - (no file)
O9 - Extra 'Tools' menuitem: Sun Java Konsole - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - (no file)
O9 - Extra button: SideFind - {10E42047-DEB9-4535-A118-B3F6EC39B807} - C:\Programme\SideFind\sidefind.dll (file missing)
O9 - Extra button: Recherchieren - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - F:\MSOFFI~1\office\OFFICE11\REFIEBAR.DLL
O9 - Extra button: Related - {c95fe080-8f5d-11d2-a20b-00aa003c157a} - C:\WINDOWS\web\related.htm
O9 - Extra 'Tools' menuitem: Show &Related Links - {c95fe080-8f5d-11d2-a20b-00aa003c157a} - C:\WINDOWS\web\related.htm

im vorasus chon mal danke

Hi,

du hast die Tips von Christian aus dem anderen Thread aber doch offensichtlich gar nicht umgesetzt, die Dateien sind alle noch da? Hast du ihm die Dateien per mail geschickt?

http://www.trojaner-board.com/showthread.php?t=7982

Alles ok ist daher leider nichts, vor allem

Platform: Windows XP (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 (6.00.2600.0000)

musst du DRINGEND windowsupdate besuchen und alle Patches installieren, am besten gleich service Pack 2.

Nein, es sind von hier keine Dateien angekommen.

ja ich kenne mich ja nicht so gut aus. kann mir den einer mal genau beschreiben was ich den nun machen muss und wie, habe echt nicht viel ahnung davon. im voraus schon mal vielen ielen dank.
oder muss ich etwa format c machen?

Mach es so wie Christian geschrieben hat im anderen Thread, schicke ihm die Dateien per mail. In den abgesicherten Modus kommst du so:

http://www.bsi.bund.de/av/texte/wiederher_xp.htm

Mit Hijackthis fixen funktioniert so: Scan/genannte Einträge markieren/"Fix checked" klicken.

Also du schickst zunächst Christian diese Dateien, dann startest du in den abgesicherten modus "fixest" die Einträge und löschst danach die Dateien. Dann wieder in den normalen Modus starten und ein neues Log erstellen.

Und schnellstens www.windowsupdate.com besuchen und alle patches installieren. Das wird eine ganze Menge sein.

neues log erstellen?

Neues Log von Hijackthis.

ok habe ihm die dateien geschickt und im abgesicherten modous alles gamcht und da ist mein neues log.
spinnt aber immer noch alles auf meinem pc.

Logfile of HijackThis v1.98.2
Scan saved at 21:37:34, on 30.10.2004
Platform: Windows XP (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 (6.00.2600.0000)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\spoolsv.exe
L:\neu\AVGUARD.EXE
L:\neu\AVWUPSRV.EXE
C:\Programme\Gemeinsame Dateien\Microsoft Shared\VS7DEBUG\MDM.EXE
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\services\stat.exe
C:\WINDOWS\System32\MSOffice\services.exe
L:\neu\AVGNT.EXE
C:\Program Files\Windows AdTools\WinAdTools.exe
C:\Program Files\Windows AdTools\WinRatchet.exe
C:\Programme\Web_Rebates\WebRebates0.exe
C:\Dokumente und Einstellungen\Matthias\Anwendungsdaten\sail.exe
C:\WINDOWS\explorer.exe
C:\Dokumente und Einstellungen\Matthias\Lokale Einstellungen\Temp\Temporäres Verzeichnis 3 für hijackthis1982.zip\HijackThis.exe
C:\Programme\Web_Rebates\WebRebates1.exe
C:\WINDOWS\System32\wuauclt.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.googel.de/
F3 - REG:win.ini: run=C:\WINDOWS\system32\services\stat.exe
O2 - BHO: (no name) - {5321E378-FFAD-4999-8C62-03CA8155F0B3} - (no file)
O2 - BHO: BHO Class - {CBEFB350-ED5B-4115-B846-C1041676B377} - C:\WINDOWS\System32\CustomIE32.dll
O4 - HKLM\..\Run: [EM_EXEC] c:\hardware\LOGITE~1\SYSTEM\EM_EXEC.EXE
O4 - HKLM\..\Run: [NeroCheck] C:\WINDOWS\system32\NeroCheck.exe
O4 - HKLM\..\Run: [MSOffice] C:\WINDOWS\System32\MSOffice\services.exe
O4 - HKLM\..\Run: [AVGCtrl] L:\neu\AVGNT.EXE /min
O4 - HKLM\..\Run: [KernelFaultCheck] %systemroot%\system32\dumprep 0 -k
O4 - HKLM\..\Run: [xpsystem] C:\WINDOWS\system32\services\stat.exe
O4 - HKLM\..\Run: [Windows AdTools] C:\Program Files\Windows AdTools\WinAdTools.exe
O4 - HKLM\..\Run: [WebRebates0] "C:\Programme\Web_Rebates\WebRebates0.exe"
O4 - HKCU\..\Run: [xpsystem] C:\WINDOWS\system32\services\stat.exe
O4 - HKCU\..\Run: [Sssu] C:\Dokumente und Einstellungen\Matthias\Anwendungsdaten\sail.exe
O8 - Extra context menu item: Nach Microsoft &Excel exportieren - res://F:\MSOFFI~1\office\OFFICE11\EXCEL.EXE/3000
O8 - Extra context menu item: Web Rebates - file://C:\Programme\Web_Rebates\Sy1150\Tp1150\scri1150a.htm
O9 - Extra button: SideFind - {10E42047-DEB9-4535-A118-B3F6EC39B807} - C:\Programme\SideFind\sidefind.dll (file missing)
O9 - Extra button: Recherchieren - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - F:\MSOFFI~1\office\OFFICE11\REFIEBAR.DLL
O16 - DPF: {15AD4789-CDB4-47E1-A9DA-992EE8E6BAD6} - http://public.windupdates.com/get_fi...7510b28ebf1261
O16 - DPF: {6414512B-B978-451D-A0D8-FCFDF33E833C} (WUWebControl Class) - http://v5.windowsupdate.microsoft.co...?1099162984750
O16 - DPF: {9EB320CE-BE1D-4304-A081-4B4665414BEF} (MediaTicketsInstaller Control) - http://www.mt-download.com/MediaTicketsInstaller.cab

wie gehst jetzt weiter?
Danke

Da sind schon wieder neue Sachen drauf. windowsupdate, vorher brauchen wir gar nichts weiter zu machen.

Habe aber auch ein windows uptade gemacht. habe jetzt alles gemacht wie gesagt, also was jetzt?
danke

das ist das aktuellste log

Logfile of HijackThis v1.98.2
Scan saved at 12:46:33, on 31.10.2004
Platform: Windows XP (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 (6.00.2600.0000)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\spoolsv.exe
L:\neu\AVGUARD.EXE
L:\neu\AVWUPSRV.EXE
C:\Programme\Gemeinsame Dateien\Microsoft Shared\VS7DEBUG\MDM.EXE
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\Explorer.EXE
C:\WINDOWS\system32\services\stat.exe
C:\WINDOWS\System32\MSOffice\services.exe
L:\neu\AVGNT.EXE
C:\Program Files\Windows AdTools\WinAdTools.exe
C:\Programme\Web_Rebates\WebRebates0.exe
C:\Dokumente und Einstellungen\Matthias\Anwendungsdaten\sail.exe
C:\Program Files\Windows AdTools\WinRatchet.exe
C:\Programme\Internet Explorer\IEXPLORE.EXE
C:\Programme\Web_Rebates\WebRebates1.exe
C:\Dokumente und Einstellungen\Matthias\Lokale Einstellungen\Temp\Temporäres Verzeichnis 3 für hijackthis1982.zip\HijackThis.exe

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Bar = http://www.couldnotfind.com/search_p...ount_id=137837
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = http://www.couldnotfind.com/search_p...ount_id=137837
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.google.de/
R1 - HKCU\Software\Microsoft\Internet Explorer\Search,SearchAssistant = http://www.couldnotfind.com/search_p...ount_id=137837
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page_bak = http://www.googel.de/
F3 - REG:win.ini: run=C:\WINDOWS\system32\services\stat.exe
O2 - BHO: (no name) - {5321E378-FFAD-4999-8C62-03CA8155F0B3} - (no file)
O4 - HKLM\..\Run: [EM_EXEC] c:\hardware\LOGITE~1\SYSTEM\EM

Danke

seh hier kein windows-update:

Platform: Windows XP (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 (6.00.2600.0000)

wie mountainking sagte:
windowsupdate, vorher brauchen wir gar nichts weiter zu machen.

und das hier alles muß auf jeden fall raus:

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Bar = http://www.couldnotfind.com/search_...count_id=137837
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = http://www.couldnotfind.com/search_...count_id=137837
R1 - HKCU\Software\Microsoft\Internet Explorer\Search,SearchAssistant = http://www.couldnotfind.com/search_...count_id=137837
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page_bak = http://www.googel.de/
O2 - BHO: (no name) - {5321E378-FFAD-4999-8C62-03CA8155F0B3} - (no file)

Na, und was is mit dat:

C:\Programme\Web_Rebates\WebRebates0.exe
C:\Programme\Web_Rebates\WebRebates1.exe

Ist sich Trojanski, muß gefixt werden und dann auch noch die Dateien manuell löschen.
cacatoa

@Mattihase

Die Mail ist inzwischen angekommen.
Danke - beide Dateien waren infiziert.

Besuch jetzt mal www.windowsupdate.com und dann poste ein neues komplettes Log von HijackThis (Log nicht im abg. Modus erstellen!)

wollte ein windows update durchfüheren aber sevice pak 2 kann ich nicht installieren bringt ne meldung mit nem key der möglicher weise ungültig wäre was muss ich jetzt machen?

handelt es sich bei deinem windows evtl. um eine 'sicherheitskopie'?

wie meinst du das? ist ne orginal version windows Xp und auf der rückseite ist ne nummer Product key. muss ich diese nummer irgendwo eingeben oder wie?

wollte ja nur wissen, ob's eine original win xp ist. (wär's keine gewesen, wär die meldung leicht erklärbar)

und ich mach hier jetzt den platz für die experten hier frei - hier gehen leute um, die viel viel mehr wissen und dir sicherlich helfen können.

bekomme jetzt auch noch die meldung die datei C:\windows\system32\rasdlg.dll wäre geöffntet oder wird von einem anderen anwender verwendet ist das auch normal?

wer kann mir den helfen oder muss ich alles löschen?
wäre net für hilfe im voraus schonmal danke

Hallo, matihase,
die Datei: C:\windows\system32\rasdlg.dll gehört zu Deinem DSL.
Allerdings hat microsoft hier eine Sicherheitslücke entdeckt. Versuche den Download SP2 über diese Seite . Hier ist auch die rasdlg.dll beschrieben.
cacatoa