in meinem IE hat sich sone startseite eingenistet. im quelltext steht http://find-it-easy.org
hab schon HijackThis probiert, auch auf der automatischen auswertseite...is alles ok....war das ding auch kurzweilig wieder los, war aber nach neustart wieder da. weiss auch nich mehr wie ich das weggemacht habe...hab keinen plan von sowas . hat vielleicht einer den gleichen hijacker und kann mir helfen?

danggeschön schonmal
Peechen

(hier log:
of HijackThis v1.99.0
Scan saved at 04:36:27, on 19.12.2004
Platform: Windows XP SP1 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP1 (6.00.2800.1106)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\Programme\Gemeinsame Dateien\Symantec Shared\ccSetMgr.exe
C:\Programme\Gemeinsame Dateien\Symantec Shared\SNDSrvc.exe
C:\Programme\Gemeinsame Dateien\Symantec Shared\ccEvtMgr.exe
C:\WINDOWS\Explorer.EXE
C:\WINDOWS\system32\spoolsv.exe
C:\Programme\ATI Technologies\ATI Control Panel\atiptaxx.exe
C:\WINDOWS\mHotkey.exe
C:\WINDOWS\CNYHKey.exe
C:\Programme\Home Cinema\PowerCinema\PCMService.exe
C:\Programme\Gemeinsame Dateien\Symantec Shared\ccApp.exe
C:\Programme\Gemeinsame Dateien\Symantec Shared\ccProxy.exe
C:\Programme\CA\SharedComponents\CA_LIC\LogWatNT.exe
C:\Programme\Gemeinsame Dateien\Microsoft Shared\VS7Debug\mdm.exe
C:\Programme\Norton Internet Security\Norton AntiVirus\navapsvc.exe
C:\WINDOWS\System32\svchost.exe
C:\Programme\Norton Internet Security\Norton AntiVirus\SAVScan.exe
C:\WINDOWS\System32\javaw.exe
C:\Programme\Internet Explorer\IEXPLORE.EXE
C:\PROGRA~1\Netscape\Netscape\Netscp.exe
C:\Dokumente und Einstellungen\Klaus Bärbel\Desktop\HijackThis.exe
C:\WINDOWS\system32\rundll32.exe
C:\WINDOWS\system32\NOTEPAD.EXE
C:\Programme\Internet Explorer\IEXPLORE.EXE

O2 - BHO: IEWorkaround Class - {08442457-929D-4522-AE24-9D3E4664A0C1} - C:\Programme\IE URL Spoofing Patch\IEWorkaround3.dll
O2 - BHO: (no name) - {53707962-6F74-2D53-2644-206D7942484F} - C:\PROGRA~1\SPYBOT~1\SDHelper.dll
O2 - BHO: Web assistant - {9ECB9560-04F9-4bbc-943D-298DDF1699E1} - C:\Programme\Gemeinsame Dateien\Symantec Shared\AdBlocking\NISShExt.dll
O2 - BHO: NAV Helper - {BDF3E430-B101-42AD-A544-FADC6B084872} - C:\Programme\Norton Internet Security\Norton AntiVirus\NavShExt.dll
O2 - BHO: Local Spool Net support DLL - {EF99BD50-CDFB-11E2-892F-1090271D4F78} - c:\windows\system32\localsplnet.dll (file missing)
O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINDOWS\System32\msdxm.ocx
O3 - Toolbar: Web assistant - {0B53EAC3-8D69-4b9e-9B19-A37C9A5676A7} - C:\Programme\Gemeinsame Dateien\Symantec Shared\AdBlocking\NISShExt.dll
O3 - Toolbar: Norton AntiVirus - {42CDD1BF-3FFB-4238-8AD1-7859DF00B1D6} - C:\Programme\Norton Internet Security\Norton AntiVirus\NavShExt.dll
O4 - HKLM\..\Run: [ATIPTA] C:\Programme\ATI Technologies\ATI Control Panel\atiptaxx.exe
O4 - HKLM\..\Run: [CHotkey] mHotkey.exe
O4 - HKLM\..\Run: [ledpointer] CNYHKey.exe
O4 - HKLM\..\Run: [PCMService] "C:\Programme\Home Cinema\PowerCinema\PCMService.exe"
O4 - HKLM\..\Run: [Openwares LiveUpdate] C:\Program Files\LiveUpdate\LiveUpdate.exe
O4 - HKLM\..\Run: [SSC_UserPrompt] C:\Programme\Gemeinsame Dateien\Symantec Shared\Security Center\UsrPrmpt.exe
O4 - HKLM\..\Run: [zBrowser Launcher] C:\Programme\Logitech\iTouch\iTouch.exe
O4 - HKLM\..\Run: [hplampc] C:\WINDOWS\system32\hplampc.exe
O4 - HKLM\..\Run: [LWBMOUSE] C:\Programme\Tech\Wheel Mouse\5.3\MOUSE32A.EXE
O4 - HKLM\..\Run: [Cmaudio] RunDll32 cmicnfg.cpl,CMICtrlWnd
O4 - HKLM\..\Run: [KernelFaultCheck] %systemroot%\system32\dumprep 0 -k
O4 - HKLM\..\Run: [ccApp] "C:\Programme\Gemeinsame Dateien\Symantec Shared\ccApp.exe"
O4 - HKLM\..\Run: [URLLSTCK.exe] C:\Programme\Norton Internet Security\UrlLstCk.exe
O4 - HKLM\..\Run: [Symantec NetDriver Monitor] C:\PROGRA~1\SYMNET~1\SNDMon.exe
O4 - HKLM\..\Run: [Bouncer RunStartup] C:\Programme\Bouncer\LiveUpdate.exe 110
O4 - HKCU\..\Run: [Yahoo! Pager] C:\Programme\Yahoo!\Messenger\ypager.exe -quiet
O4 - HKCU\..\Run: [Mozilla Quick Launch] "C:\Programme\Netscape\Netscape\Netscp.exe" -turbo
O4 - Global Startup: SpySubtract.lnk = C:\PROGRAM FILES\interMute\SpySubtract\SpySub.exe
O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\WINDOWS\System32\msjava.dll
O9 - Extra 'Tools' menuitem: Sun Java Konsole - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\WINDOWS\System32\msjava.dll
O9 - Extra button: ICQ Lite - {B863453A-26C3-4e1f-A54D-A2CD196348E9} - C:\Programme\ICQLite\ICQLite.exe
O9 - Extra 'Tools' menuitem: ICQ Lite - {B863453A-26C3-4e1f-A54D-A2CD196348E9} - C:\Programme\ICQLite\ICQLite.exe
O9 - Extra button: Real.com - {CD67F990-D8E9-11d2-98FE-00C0F0318AFE} - C:\WINDOWS\System32\Shdocvw.dll
O9 - Extra button: Yahoo! Messenger - {E5D12C4E-7B4F-11D3-B5C9-0050045C3C96} - C:\PROGRA~1\Yahoo!\MESSEN~1\YPager.exe
O9 - Extra 'Tools' menuitem: Yahoo! Messenger - {E5D12C4E-7B4F-11D3-B5C9-0050045C3C96} - C:\PROGRA~1\Yahoo!\MESSEN~1\YPager.exe
O9 - Extra button: MedionShop - {07E3F115-C445-480D-94CB-ECA914A353CE} - http://www.medionshop.de/ (file missing) (HKCU)
O14 - IERESET.INF: START_PAGE_URL=http://www.aldi.com
O16 - DPF: {2BC66F54-93A8-11D3-BEB6-00105AA9B6AE} (Symantec AntiVirus scanner) - http://security.symantec.com/sscv6/S...in/AvSniff.cab
O16 - DPF: {6414512B-B978-451D-A0D8-FCFDF33E833C} (WUWebControl Class) - http://v5.windowsupdate.microsoft.co...?1096403667875
O16 - DPF: {644E432F-49D3-41A1-8DD5-E099162EEEC5} (Symantec RuFSI Utility Class) - http://security.symantec.com/sscv6/S.../bin/cabsa.cab
O17 - HKLM\System\CCS\Services\Tcpip\..\{AE60CE46-C8A7-4F46-9B82-19496EE1E875}: NameServer = 217.237.149.161 217.237.151.225
O23 - Service: CA-Lizenz-Client - Unknown - C:\Programme\CA\SharedComponents\CA_LIC\lic98rmt.exe (file missing)
O23 - Service: CA-Lizenzserver - Unknown - C:\Programme\CA\SharedComponents\CA_LIC\lic98rmtd.exe (file missing)
O23 - Service: Symantec Event Manager - Symantec Corporation - C:\Programme\Gemeinsame Dateien\Symantec Shared\ccEvtMgr.exe
O23 - Service: Symantec Network Proxy - Symantec Corporation - C:\Programme\Gemeinsame Dateien\Symantec Shared\ccProxy.exe
O23 - Service: Symantec Password Validation - Symantec Corporation - C:\Programme\Gemeinsame Dateien\Symantec Shared\ccPwdSvc.exe
O23 - Service: Symantec Settings Manager - Symantec Corporation - C:\Programme\Gemeinsame Dateien\Symantec Shared\ccSetMgr.exe
O23 - Service: Ereignisprotokoll-Überwachung - Computer Associates - C:\Programme\CA\SharedComponents\CA_LIC\LogWatNT.exe
O23 - Service: Norton AntiVirus Auto-Protect-Dienst - Symantec Corporation - C:\Programme\Norton Internet Security\Norton AntiVirus\navapsvc.exe
O23 - Service: SAVScan - Symantec Corporation - C:\Programme\Norton Internet Security\Norton AntiVirus\SAVScan.exe
O23 - Service: ScriptBlocking Service - Symantec Corporation - C:\PROGRA~1\GEMEIN~1\SYMANT~1\SCRIPT~1\SBServ.exe
O23 - Service: Symantec Network Drivers Service - Symantec Corporation - C:\Programme\Gemeinsame Dateien\Symantec Shared\SNDSrvc.exe
O23 - Service: SymWMI Service - Symantec Corporation - C:\Programme\Gemeinsame Dateien\Symantec Shared\Security Center\SymWSC.exe
)

Fixe dies mit HijackThis:

O2 - BHO: Local Spool Net support DLL - {EF99BD50-CDFB-11E2-892F-1090271D4F78} - c:\windows\system32\localsplnet.dll (file missing)
O9 - Extra button: MedionShop - {07E3F115-C445-480D-94CB-ECA914A353CE} - http://www.medionshop.de/ (file missing) (HKCU)
O23 - Service: CA-Lizenz-Client - Unknown - C:\Programme\CA\SharedComponents\CA_LIC\lic98rmt.exe (file missing)
O23 - Service: CA-Lizenzserver - Unknown - C:\Programme\CA\SharedComponents\CA_LIC\lic98rmtd.exe (file missing)


Scanne mal mit eScan im abg. Modus:
http://www.trojaner-board.de/42731-escan-anleitung.html

Wo wird was gefunden?

Außerdem: SP2 und alle anderen verfügbaren Updates/Patches installieren: www.windowsupdate.com

danke schön. escan findet da immer wat mit TimeSink.
weiss aber nich wie man im abgesicherten xp hochfährt, weiss dat einer hier?
SP2 habsch installiert...seitdem nur noch theater gg
was ist eigentlich fixen?

im abgesicherten xp hochfährt,

http://www.bsi.bund.de/av/texte/wiederher_xp.htm

was ist eigentlich fixen?

HJT nochmals starten -> vor den von *Christian* genannten Einträgen einen Haken setzen und auf Fix Checked klicken.

hab nu mit escan im abgesicherten gescannt, da kam das raus:
die systemwiederherstellung war die ganze zieit schon aus. muss ich die wieder anmachen?

....lalalakomischeszeuglala.....Mon Dec 20 03:20:20 2004 => ***** Scanning complete. *****

Mon Dec 20 03:20:20 2004 => Total Files Scanned: 100192
Mon Dec 20 03:20:20 2004 => Total Virus(es) Found: 22
Mon Dec 20 03:20:20 2004 => Total Disinfected Files: 0
Mon Dec 20 03:20:20 2004 => Total Files Renamed: 0
Mon Dec 20 03:20:20 2004 => Total Deleted Files: 0
Mon Dec 20 03:20:20 2004 => Total Errors: 52
Mon Dec 20 03:20:20 2004 => Time Elapsed: 01:38:49
Mon Dec 20 03:20:20 2004 => Virus Database Date: 2004/12/17
Mon Dec 20 03:20:20 2004 => Virus Database Count: 112674
Mon Dec 20 03:20:20 2004 => Scan Completed

File C:\DOKUME~1\KLAUSB~1\LOKALE~1\Temp\CTInstall.exe infected by "not-a-virus:AdWare.TimeSink" Virus. Action Taken: No Action Taken.
File C:\DOKUME~1\KLAUSB~1\LOKALE~1\Temp\SimpleRegistration.dll infected by "not-a-virus:AdWare.TimeSink" Virus. Action Taken: No Action Taken
File C:\Dokumente und Einstellungen\Klaus Bärbel\Desktop\__SORTIEREN__\Bildschirmschoner\y2k.rar tagged as not-a-virus:Tool.Win32.Reboot. No Action Taken.
File C:\Dokumente und Einstellungen\Klaus Bärbel\Lokale Einstellungen\Temp\CTInstall.exe infected by "not-a-virus:AdWare.TimeSink" Virus. Action Taken: No Action Taken.
File C:\Dokumente und Einstellungen\Klaus Bärbel\Lokale Einstellungen\Temp\SimpleRegistration.dll infected by "not-a-virus:AdWare.TimeSink" Virus. Action Taken: No Action Taken.
File C:\PROGRAM FILES\mIRC\mirc.exe tagged as not-a-virus:RiskWare.mIRC.6.03. No Action Taken.
File C:\Programme\GlobalSCAPE\CuteFTP\CTInstall.exe infected by "not-a-virus:AdWare.TimeSink" Virus. Action Taken: No Action Tken.
File C:\Programme\InstallShield Installation Information\{8AF3E926-ED59-11D4-A44B-0000E86D2305}\Setup.exe tagged as not-a-virus:Tool.Win32.Reboot. No Action Taken.
File C:\Programme\setup.exe tagged as not-a-virus:Tool.Win32.Reboot. No Action Taken.
File C:\RECYCLER\S-1-5-21-3590105128-1169900103-2456811415-1008\Dc21.exe tagged as not-a-virus:Tool.Win32.Reboot. No Action Taken.
File C:\RECYCLER\S-1-5-21-3590105128-1169900103-2456811415-1008\Dc22.exe tagged as not-a-virus:Tool.Win32.Reboot. No Action Taken.
File C:\setup.exe tagged as not-a-virus:Tool.Win32.Reboot. No Action Taken.
File D:\Setup´s\_Audiobearbeitung\audiocatalyst-acw21t.exe tagged as not-a-virus:Tool.Win32.Reboot. No Action Taken.
File D:\Setup´s\_Bittorrent_+_Fileshare\kazaaspeedup.exe tagged as not-a-virus:Tool.Win32.Reboot. No Action Taken.
File D:\Setup´s\_FTP\CuteFTP v.4.0.1.2\CUTE4032.EXE infected by "not-a-virus:AdWare.TimeSink" Virus. Action Taken: No Action Taken.
File D:\Setup´s\_Messenger\icqskin_matrix.exe infected by "not-a-virus:AdWare.Sidesearch.d" Virus. Action Taken: No Action Taken.
File D:\Setup´s\_Messenger\mirc616.exe tagged as not-a-virus:RiskWare.mIRC.6.16. No Action Taken.
File D:\Setup´s\_Spiele\arcade-3[1].1.exe infected by "Trojan.Win32.Killav.du" Virus. Action Taken: No Action Taken.
File D:\Setup´s\_Treiber\pencam2.25.zip tagged as not-a-virus:Tool.Win32.Reboot. No Action Taken.
File D:\Setup´s\_Treiber\pencam_vs325.zip tagged as not-a-virus:Tool.Win32.Reboot. No Action Taken.
File D:\Setup´s\_Treiber\setup.exe tagged as not-a-virus:Tool.Win32.Reboot. No Action Taken.
File D:\Setup´s\_Treiber\Treiber Pencam\SETUP.EXE tagged as not-a-virus:Tool.Win32.Reboot. No Action Taken.

hab die sachen gelöscht (bis auf die wo ich wusste was es ist),
aber die komische startseite ist immernoch da. (auch wenn ich offline bin)

Leere deinen Temp-Ordner und den Papierkorb.

Scanne auch mal mit Ad-aware: www.lavasoft.de
Das Programm ist kostenlos.