|
Log-Analyse und Auswertung: Werd Adware nichtmehr losWindows 7 Wenn Du Dir einen Trojaner eingefangen hast oder ständig Viren Warnungen bekommst, kannst Du hier die Logs unserer Diagnose Tools zwecks Auswertung durch unsere Experten posten. Um Viren und Trojaner entfernen zu können, muss das infizierte System zuerst untersucht werden: Erste Schritte zur Hilfe. Beachte dass ein infiziertes System nicht vertrauenswürdig ist und bis zur vollständigen Entfernung der Malware nicht verwendet werden sollte.XML. |
29.12.2004, 13:15 | #1 |
| Werd Adware nichtmehr los hi, hab mir vor drei wochen auf einer lyric seite irgendeine adware eingefangen. bei mir geht seitdem alle 10 min ein werbefenster auf (manchmal auch alle 5 min). spybot, ad aware, cwshredder und pest patrol finden ab und an was, ich löschs aber die besagte werbung geht nicht weg. die werbe url die oft aufgeht ist z. B. http://mediabuy-nic.cjt1.net hier mein hijack log: Logfile of HijackThis v1.99.0 Scan saved at 13:12:30, on 29.12.2004 Platform: Windows XP SP2 (WinNT 5.01.2600) MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180) Running processes: C:\WINDOWS\System32\smss.exe C:\WINDOWS\system32\winlogon.exe C:\WINDOWS\system32\services.exe C:\WINDOWS\system32\lsass.exe C:\WINDOWS\system32\svchost.exe C:\WINDOWS\System32\svchost.exe C:\WINDOWS\system32\rundll32.exe C:\WINDOWS\system32\spoolsv.exe C:\WINDOWS\Explorer.EXE C:\WINDOWS\system32\RUNDLL32.EXE C:\Programme\Winamp\winampa.exe C:\Programme\D-Tools\daemon.exe C:\Programme\PestPatrol\PPControl.exe C:\Programme\PestPatrol\PPMemCheck.exe C:\Programme\PestPatrol\CookiePatrol.exe C:\Programme\AVPersonal\AVGNT.EXE C:\Programme\Spamihilator\spamihilator.exe C:\Programme\Messenger\msmsgs.exe C:\Programme\Meaya\Popup Ad Filter\PopFilter.exe C:\Program Files\interMute\SpySubtract\SpySub.exe C:\Programme\Logitech\MouseWare\system\em_exec.exe C:\Programme\AVPersonal\AVGUARD.EXE C:\Programme\AVPersonal\AVWUPSRV.EXE C:\WINDOWS\system32\nvsvc32.exe C:\WINDOWS\system32\devldr32.exe D:\mirc\mirc.exe C:\Programme\ICQ\Icq.exe C:\Programme\Internet Explorer\IEXPLORE.EXE C:\Programme\Internet Explorer\IEXPLORE.EXE C:\Programme\Winamp\Winamp.exe C:\Programme\Internet Explorer\iexplore.exe C:\Programme\HiJackThis\HijackThis.exe R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.google.de/ O1 - Hosts: 69.20.16.183 auto.search.msn.com O1 - Hosts: 69.20.16.183 search.netscape.com O1 - Hosts: 69.20.16.183 ieautosearch O1 - Hosts: 69.20.16.183 ieautosearch O1 - Hosts: 69.20.16.183 ieautosearch O1 - Hosts: 69.20.16.183 ieautosearch O1 - Hosts: 69.20.16.183 ieautosearch O1 - Hosts: 69.20.16.183 ieautosearch O1 - Hosts: 69.20.16.183 ieautosearch O1 - Hosts: 69.20.16.183 ieautosearch O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\system32\NvCpl.dll,NvStartup O4 - HKLM\..\Run: [nwiz] nwiz.exe /install O4 - HKLM\..\Run: [NvMediaCenter] RUNDLL32.EXE C:\WINDOWS\system32\NvMcTray.dll,NvTaskbarInit O4 - HKLM\..\Run: [Mirabilis ICQ] C:\PROGRA~1\ICQ\ICQNet.exe O4 - HKLM\..\Run: [WinampAgent] C:\Programme\Winamp\winampa.exe O4 - HKLM\..\Run: [DAEMON Tools-1033] "C:\Programme\D-Tools\daemon.exe" -lang 1033 O4 - HKLM\..\Run: [NeroFilterCheck] C:\WINDOWS\system32\NeroCheck.exe O4 - HKLM\..\Run: [Logitech Utility] Logi_MwX.Exe O4 - HKLM\..\Run: [QuickTime Task] "C:\Programme\QuickTime\qttask.exe" -atboottime O4 - HKLM\..\Run: [PestPatrol Control Center] C:\Programme\PestPatrol\PPControl.exe O4 - HKLM\..\Run: [PPMemCheck] C:\Programme\PestPatrol\PPMemCheck.exe O4 - HKLM\..\Run: [CookiePatrol] C:\Programme\PestPatrol\CookiePatrol.exe O4 - HKLM\..\Run: [AVGCtrl] C:\Programme\AVPersonal\AVGNT.EXE /min O4 - HKCU\..\Run: [Spamihilator] "C:\Programme\Spamihilator\spamihilator.exe" O4 - HKCU\..\Run: [MSMSGS] "C:\Programme\Messenger\msmsgs.exe" /background O4 - HKCU\..\Run: [Popup Ad Filter] C:\Programme\Meaya\Popup Ad Filter\PopFilter.exe O4 - Global Startup: Microsoft Office.lnk = C:\Programme\Microsoft Office\Office10\OSA.EXE O4 - Global Startup: SpySubtract.lnk = C:\Program Files\interMute\SpySubtract\SpySub.exe O8 - Extra context menu item: Alles mit Net Transport herunterladen - C:\Programme\Xi\NetTransport 2\NTAddList.html O8 - Extra context menu item: Mit Net Transport herunterladen - C:\Programme\Xi\NetTransport 2\NTAddLink.html O8 - Extra context menu item: Nach Microsoft &Excel exportieren - res://C:\PROGRA~1\MICROS~2\Office10\EXCEL.EXE/3000 O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programme\Java\j2re1.4.2_05\bin\npjpi142_05.dll O9 - Extra 'Tools' menuitem: Sun Java Konsole - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programme\Java\j2re1.4.2_05\bin\npjpi142_05.dll O9 - Extra button: ICQ Pro - {6224f700-cba3-4071-b251-47cb894244cd} - C:\PROGRA~1\ICQ\ICQ.exe O9 - Extra 'Tools' menuitem: ICQ - {6224f700-cba3-4071-b251-47cb894244cd} - C:\PROGRA~1\ICQ\ICQ.exe O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe O16 - DPF: {0A5FD7C5-A45C-49FC-ADB5-9952547D5715} (Creative Software AutoUpdate) - http://www.creative.com/su/ocx/15009/CTSUEng.cab O16 - DPF: {F6ACF75C-C32C-447B-9BEF-46B766368D29} (Creative Software AutoUpdate Support Package) - http://www.creative.com/su/ocx/15009/CTPID.cab O17 - HKLM\System\CCS\Services\Tcpip\..\{53348E4C-D396-48C1-BAC1-038674615280}: NameServer = 217.237.150.141 217.237.150.97 O23 - Service: AntiVir Service - H+BEDV Datentechnik GmbH - C:\Programme\AVPersonal\AVGUARD.EXE O23 - Service: AntiVir Update - H+BEDV Datentechnik GmbH, Germany - C:\Programme\AVPersonal\AVWUPSRV.EXE O23 - Service: NVIDIA Display Driver Service - NVIDIA Corporation - C:\WINDOWS\system32\nvsvc32.exe O23 - Service: Remote Administrator Service - Unknown - C:\WINDOWS\system32\r_server.exe hab mal rot gemacht, was hier oben verdächtig ist. wenn ich die ip ansurfe komm ich auf eine seite, bei der man einen deinstaller für den trojaner look2me runterladen kann. das hab ich gemacht, aber der sagt, dass look2me nicht bei mir installiert ist. hab auch mal in anderen foren manuell versucht look2me zu deinstallieren, aber ich hab keine der symptome/registryeinträge, die look2me normalerweise hat. wer kann mir vielleicht sagen, was das sonst noch für ein trojaner sein kann ? wenn ich die einträge mit den ip's in HijackThis fixe dann bringt es leider nix, kommt immer wieder. Geändert von d00d (29.12.2004 um 15:33 Uhr) |
29.12.2004, 13:20 | #2 |
| Werd Adware nichtmehr los @d00d
__________________editier bitte dein link, poste dein nächstes logfile per copy and paste hier im board, es ist viel umständlicher es so aus zu werten. wechsle in den abgesicherten modus und fixe O1 - Hosts: 69.20.16.183 auto.search.msn.com O1 - Hosts: 69.20.16.183 search.netscape.com O1 - Hosts: 69.20.16.183 ieautosearch O1 - Hosts: 69.20.16.183 ieautosearch O1 - Hosts: 69.20.16.183 ieautosearch O1 - Hosts: 69.20.16.183 ieautosearch O1 - Hosts: 69.20.16.183 ieautosearch O1 - Hosts: 69.20.16.183 ieautosearch O1 - Hosts: 69.20.16.183 ieautosearch O1 - Hosts: 69.20.16.183 ieautosearch neu starten, poste danach ein neues logfile chaosman
__________________ |
29.12.2004, 19:29 | #3 |
| Werd Adware nichtmehr los so hab das nun mal im abges. modus gefixt. direkt nach dem booten warn die einträge mit der umgeleiteten ip weg, jedoch nach dem aufbau der internetverbindung und starten von opera wars wieder drin:
__________________Logfile of HijackThis v1.99.0 Scan saved at 19:27:13, on 29.12.2004 Platform: Windows XP SP2 (WinNT 5.01.2600) MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180) Running processes: C:\WINDOWS\System32\smss.exe C:\WINDOWS\system32\winlogon.exe C:\WINDOWS\system32\services.exe C:\WINDOWS\system32\lsass.exe C:\WINDOWS\system32\svchost.exe C:\WINDOWS\System32\svchost.exe C:\WINDOWS\system32\rundll32.exe C:\WINDOWS\system32\spoolsv.exe C:\WINDOWS\Explorer.EXE C:\Programme\Winamp\winampa.exe C:\Programme\D-Tools\daemon.exe C:\Programme\PestPatrol\PPControl.exe C:\Programme\PestPatrol\PPMemCheck.exe C:\Programme\PestPatrol\CookiePatrol.exe C:\Programme\AVPersonal\AVGNT.EXE C:\Programme\Spamihilator\spamihilator.exe C:\Programme\Messenger\msmsgs.exe C:\Programme\Meaya\Popup Ad Filter\PopFilter.exe C:\Programme\Logitech\MouseWare\system\em_exec.exe C:\Program Files\interMute\SpySubtract\SpySub.exe C:\Programme\AVPersonal\AVGUARD.EXE C:\Programme\AVPersonal\AVWUPSRV.EXE C:\WINDOWS\system32\nvsvc32.exe C:\WINDOWS\system32\devldr32.exe C:\WINDOWS\system32\NOTEPAD.EXE C:\Programme\Opera\opera.exe C:\Programme\HiJackThis\HijackThis.exe R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.google.de/ O1 - Hosts: 69.20.16.183 auto.search.msn.com O1 - Hosts: 69.20.16.183 search.netscape.com O1 - Hosts: 69.20.16.183 ieautosearch O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\system32\NvCpl.dll,NvStartup O4 - HKLM\..\Run: [nwiz] nwiz.exe /install O4 - HKLM\..\Run: [NvMediaCenter] RUNDLL32.EXE C:\WINDOWS\system32\NvMcTray.dll,NvTaskbarInit O4 - HKLM\..\Run: [Mirabilis ICQ] C:\PROGRA~1\ICQ\ICQNet.exe O4 - HKLM\..\Run: [WinampAgent] C:\Programme\Winamp\winampa.exe O4 - HKLM\..\Run: [DAEMON Tools-1033] "C:\Programme\D-Tools\daemon.exe" -lang 1033 O4 - HKLM\..\Run: [NeroFilterCheck] C:\WINDOWS\system32\NeroCheck.exe O4 - HKLM\..\Run: [Logitech Utility] Logi_MwX.Exe O4 - HKLM\..\Run: [QuickTime Task] "C:\Programme\QuickTime\qttask.exe" -atboottime O4 - HKLM\..\Run: [PestPatrol Control Center] C:\Programme\PestPatrol\PPControl.exe O4 - HKLM\..\Run: [PPMemCheck] C:\Programme\PestPatrol\PPMemCheck.exe O4 - HKLM\..\Run: [CookiePatrol] C:\Programme\PestPatrol\CookiePatrol.exe O4 - HKLM\..\Run: [AVGCtrl] C:\Programme\AVPersonal\AVGNT.EXE /min O4 - HKCU\..\Run: [Spamihilator] "C:\Programme\Spamihilator\spamihilator.exe" O4 - HKCU\..\Run: [MSMSGS] "C:\Programme\Messenger\msmsgs.exe" /background O4 - HKCU\..\Run: [Popup Ad Filter] C:\Programme\Meaya\Popup Ad Filter\PopFilter.exe O4 - Global Startup: Microsoft Office.lnk = C:\Programme\Microsoft Office\Office10\OSA.EXE O4 - Global Startup: SpySubtract.lnk = C:\Program Files\interMute\SpySubtract\SpySub.exe O8 - Extra context menu item: Alles mit Net Transport herunterladen - C:\Programme\Xi\NetTransport 2\NTAddList.html O8 - Extra context menu item: Mit Net Transport herunterladen - C:\Programme\Xi\NetTransport 2\NTAddLink.html O8 - Extra context menu item: Nach Microsoft &Excel exportieren - res://C:\PROGRA~1\MICROS~2\Office10\EXCEL.EXE/3000 O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programme\Java\j2re1.4.2_05\bin\npjpi142_05.dll O9 - Extra 'Tools' menuitem: Sun Java Konsole - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programme\Java\j2re1.4.2_05\bin\npjpi142_05.dll O9 - Extra button: ICQ Pro - {6224f700-cba3-4071-b251-47cb894244cd} - C:\PROGRA~1\ICQ\ICQ.exe O9 - Extra 'Tools' menuitem: ICQ - {6224f700-cba3-4071-b251-47cb894244cd} - C:\PROGRA~1\ICQ\ICQ.exe O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe O16 - DPF: {0A5FD7C5-A45C-49FC-ADB5-9952547D5715} (Creative Software AutoUpdate) - http://www.creative.com/su/ocx/15009/CTSUEng.cab O16 - DPF: {F6ACF75C-C32C-447B-9BEF-46B766368D29} (Creative Software AutoUpdate Support Package) - http://www.creative.com/su/ocx/15009/CTPID.cab O17 - HKLM\System\CCS\Services\Tcpip\..\{53348E4C-D396-48C1-BAC1-038674615280}: NameServer = 217.237.150.141 217.237.150.97 O23 - Service: AntiVir Service - H+BEDV Datentechnik GmbH - C:\Programme\AVPersonal\AVGUARD.EXE O23 - Service: AntiVir Update - H+BEDV Datentechnik GmbH, Germany - C:\Programme\AVPersonal\AVWUPSRV.EXE O23 - Service: NVIDIA Display Driver Service - NVIDIA Corporation - C:\WINDOWS\system32\nvsvc32.exe O23 - Service: Remote Administrator Service - Unknown - C:\WINDOWS\system32\r_server.exe hab auch mal abgesichert mit spybot gescannt und folgende resultate bekommen: DSO Exploit: Data source object exploit (Registry change, fixed) HKEY_USERS\S-1-5-18\Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\0\1004!=W=3 DSO Exploit: Data source object exploit (Registry change, fixed) HKEY_USERS\S-1-5-21-1004336348-1957994488-682003330-500\Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\0\1004!=W=3 DSO Exploit: Data source object exploit (Registry change, fixed) HKEY_USERS\S-1-5-20\Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\0\1004!=W=3 DSO Exploit: Data source object exploit (Registry change, fixed) HKEY_USERS\.DEFAULT\Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\0\1004!=W=3 Common hijacker: Redirected host (Redirected host, fixed) Common hijacker: Redirected host (Redirected host, fixed) CoolWWWSearch.Bootconf: Redirected host (Redirected host, nothing done) CoolWWWSearch.Loadbat: Redirected host (Redirected host, nothing done) CoolWWWSearch.Msconfd: Redirected host (Redirected host, nothing done) CoolWWWSearch.Oslogo: Redirected host (Redirected host, nothing done) CoolWWWSearch.Tapicfg: Redirected host (Redirected host, nothing done) CoolWWWSearch.Xmlmimefilter: Redirected host (Redirected host, nothing done) IGetNet: Redirected host (Redirected host, fixed) --- Spybot - Search && Destroy version: 1.3 --- 2004-11-29 Includes\Cookies.sbi 2004-12-15 Includes\Dialer.sbi 2004-12-16 Includes\Hijackers.sbi 2004-12-15 Includes\Keyloggers.sbi 2004-05-12 Includes\LSP.sbi 2004-12-15 Includes\Malware.sbi 2004-11-29 Includes\Revision.sbi 2004-11-29 Includes\Security.sbi 2004-12-16 Includes\Spybots.sbi 2004-11-29 Includes\Tracks.uti 2004-12-15 Includes\Trojans.sbi |
29.12.2004, 19:55 | #4 |
| Werd Adware nichtmehr los Hier hast du ein paar alternativ Ad- & Spyware Programme die nicht mal so schlecht sind, habe jedoch leider nicht die Links, doch schau einfach mit dem Namen bei Google vorbei,und such dir deinen eigenen Download-Center raus, ich jedenfalls hab mit den verschiedenen Programme etliche und unterschiedliche Spyware herausbekommen SpyCleaner Gold 9.3 SpyDoktor bei Computercops oder anderswo SpyGuard 2.0. Spyblaster bei wilderssecurity oder andere Viel Glück |
29.12.2004, 20:05 | #5 |
| Werd Adware nichtmehr los @d00d diesen eintrag O23 - Service: Remote Administrator Service - Unknown - C:\WINDOWS\system32\r_server.exe deutet auf ratmin, ein remoteprogramm. ist das absicht? lade dir escan hier download anleitung hier führe es genauso durch überprüfe Deinen Rechner zunächst mit dem eScan: lade den eScan runter, erstelle dafür einen Ordner (=Verzeichnis) c:\bases, update den eScan online und führe ihn offline im abgesicherten Modus aus. Beachte, dass der eScan ab Version 4.5.1 gefundene Malware nicht löscht. Das wird von Hand auf Anweisung durch uns gemacht. Teile uns dann das Ergebnis des eScan mit: welche Viren wurden auf Deinem Rechner gefunden: "öffne die mwav.log -> Bearbeiten -> Suchen -> infected eingeben -> Weitersuchen -> Treffer markieren/kopieren und ins Forum übertragen." (Zitat Cidre) chaosman
__________________ Bonus vir semper tiro |
29.12.2004, 23:54 | #6 |
| Werd Adware nichtmehr los uff da findet sich so einiges. unter anderem auch tonnenweise filez des in meinem ersten postings genannten look2me adware programmes. aber um das alles von hand zu löschen ist es einfach zuviel. sind über 200 trojaner. hat vielleicht noch wer eine alte escan version, die die dateien automatisch löscht ? |
31.12.2004, 09:44 | #7 |
| Werd Adware nichtmehr los also ich hab mir jetzt mal vonnem freund escan for windows 2003 besorgt, aber scheinbar findet der die ganzen trojaner, die escan av gefunden hat garnicht, obwohl die neuesten virendefintionen drauf sind. wie kommt sowas ? |
31.12.2004, 18:24 | #8 |
| Werd Adware nichtmehr los @ d00d den Unterschied der Programme kenne ich nicht, ich kenne auch den eScan für Windows 2003 nicht. Um Dich weiter beraten zu können, solltest Du uns die Trojaner nennen, die Du auf dem Rechner hast, wobei über 200 Trojaner eigentlich dafür sprechen, Dir zu empfehlen, Dein System zu formatieren. Sei so nett und gib die Namen der gefundenen Trojaner hier ins Forum, zusammen mit dem Endergebnis des eScan: "öffne die mwav.log -> Bearbeiten -> Suchen -> infected eingeben -> Weitersuchen -> Treffer markieren/kopieren und ins Forum übertragen." (Zitat Cidre) Und: =>Total Number of Files Scanned: =>Total Number of Virus(es) Found: SD |
31.12.2004, 18:56 | #9 |
| Werd Adware nichtmehr los hauptsächlich wurde "Look2Me.u" gefunden. ich hab mir jetzt mal den escan av gekauft und hab die viren im abgesicherten modus entfernt (wurden umbenannt vom escan), und auch mit HijackThis die ip umleitungen wieder gelöscht, aber hilft alles nix. ich werd nächste woche mal formatieren und mir von anfang an nen sicheren browser druffmachen. |
Themen zu Werd Adware nichtmehr los |
ad aware, administrator, adware, antivir, antivir update, avg, control center, dll, excel, explorer, geht nicht, hijack, hijackthis, icq, immer wieder, internet, internet explorer, kommt immer wieder, log, microsoft, nvcpl.dll, nvidia, popup, programme, rundll, software, sun java, system, tcpip, trojaner, träge, werbefenster, werbung, windows, windows messenger, windows xp |