Hallo zusammen!
Hab vorhin versucht mich bei ebay einzuloggen, da ist es passiert nachdem ich meinen Benutzernamen und mein KENNWORT eingegeben hatte und dann auf "sicheres anmelden" geklickt habe, war die "mein ebay" Seite kurz zu sehen nur dann sprang ein popup Fenster auf "about:balnk" mit irgendeiner search for Internetseit? Jetzt hab ich nur die Befürchtung, dass ein Trojaner meine Zugangsdaten von ebay geklaut hat!
PS: Ich komm nicht mer auf die "MEIN EBAY" Seite um mein Passwort zu ändern!!!
Hier der Hijack This Log:
Logfile of HijackThis v1.98.2
Scan saved at 23:02:37, on 11.01.2005
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\Explorer.EXE
C:\WINDOWS\system32\spoolsv.exe
C:\Programme\AVPersonal\AVWUPSRV.EXE
C:\WINDOWS\system32\nvsvc32.exe
C:\WINDOWS\SOUNDMAN.EXE
C:\Programme\Gemeinsame Dateien\Real\Update_OB\realsched.exe
C:\Programme\FreePDF_XP\fpassist.exe
C:\WINDOWS\system32\P2P Networking\P2P Networking.exe
H:\Programme\iTunes\iTunesHelper.exe
C:\Programme\AVPersonal\AVGNT.EXE
C:\WINDOWS\system32\ctfmon.exe
C:\Programme\Messenger\msmsgs.exe
C:\Programme\iPod\bin\iPodService.exe
C:\WINDOWS\system32\ntvdm.exe
D:\PROGRA~1\T-ONLINE\BSW4\ToDuCAlC.EXE
C:\Programme\AVPersonal\AVGUARD.EXE
C:\Programme\AVPersonal\AVWIN.EXE
C:\Programme\Internet Explorer\iexplore.exe
G:\Flo\Software\hijackthis1982\HijackThis.exe

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Bar = res://C:\DOKUME~1\HBNER~1\LOKALE~1\Temp\sp.dll/sp.html
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = about:blank
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://www.msn.de/
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://search.msn.de/
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Bar = res://C:\DOKUME~1\HBNER~1\LOKALE~1\Temp\sp.dll/sp.html
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = about:blank
R1 - HKCU\Software\Microsoft\Internet Explorer\Search,SearchAssistant = about:blank
R0 - HKLM\Software\Microsoft\Internet Explorer\Search,SearchAssistant = about:blank
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,HomeOldSP = about:blank
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,HomeOldSP = about:blank
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Window Title = Microsoft Internet Explorer
O2 - BHO: myBar BHO - {0494D0D1-F8E0-41ad-92A3-14154ECE70AC} - C:\Programme\MyWay\myBar\1.bin\MYBAR.DLL (file missing)
O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - d:\Programme\Adobe\Acrobat 6.0\Reader\ActiveX\AcroIEHelper.dll
O2 - BHO: (no name) - {11C4940C-944A-4DFA-9820-FC9325322196} - C:\WINDOWS\system32\ncmn.dll
O2 - BHO: (no name) - {53707962-6F74-2D53-2644-206D7942484F} - d:\PROGRA~1\SPYBOT~1\SDHelper.dll
O2 - BHO: Google Toolbar Helper - {AA58ED58-01DD-4d91-8333-CF10577473F7} - c:\programme\google\googletoolbar2.dll
O3 - Toolbar: &Google - {2318C2B1-4965-11d4-9B18-009027A5CD4F} - c:\programme\google\googletoolbar2.dll
O3 - Toolbar: My &Search Bar - {0494D0D9-F8E0-41ad-92A3-14154ECE70AC} - C:\Programme\MyWay\myBar\1.bin\MYBAR.DLL (file missing)
O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\system32\NvCpl.dll,NvStartup
O4 - HKLM\..\Run: [nwiz] nwiz.exe /install
O4 - HKLM\..\Run: [SoundMan] SOUNDMAN.EXE


Vielleicht kann mir ja jemand helfen!!!

Gruß Lunatic82

Hallo,

dein Log-File ist mit Sicherheit nicht vollständig und zudem verwendest du eine veralterte HijackThis Version!

Führe dies aus:
Lade und scanne mit eScan AntiVirus im abgesicherten Modus wie beschrieben.
Poste anschliessend die Virus Log Information von eScan AntiVirus:
Öffne die mwav.log -> Bearbeiten -> Suchen -> infected oder tagged eingeben -> Weitersuchen -> Treffer markieren/kopieren und ins Forum übertragen -> löschen.

Versorg uns ausserdem, wie bereits oben erwähnt, mit einem neuen aktuellen HJT Log-File.

Zitat von Cidre

Hallo,

dein Log-File ist mit Sicherheit nicht vollständig und zudem verwendest du eine veralterte HijackThis Version!

Führe dies aus:
Lade und scanne mit eScan AntiVirus im abgesicherten Modus wie beschrieben.
Poste anschliessend die Virus Log Information von eScan AntiVirus:
Öffne die mwav.log -> Bearbeiten -> Suchen -> infected oder tagged eingeben -> Weitersuchen -> Treffer markieren/kopieren und ins Forum übertragen -> löschen.

Versorg uns ausserdem, wie bereits oben erwähnt, mit einem neuen aktuellen HJT Log-File.

Hallo hier der neue LOG:
Logfile of HijackThis v1.99.0
Scan saved at 23:49:38, on 11.01.2005
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\Explorer.EXE
C:\WINDOWS\system32\spoolsv.exe
C:\WINDOWS\SOUNDMAN.EXE
C:\Programme\Gemeinsame Dateien\Real\Update_OB\realsched.exe
C:\Programme\FreePDF_XP\fpassist.exe
C:\WINDOWS\system32\P2P Networking\P2P Networking.exe
H:\Programme\iTunes\iTunesHelper.exe
C:\Programme\AVPersonal\AVGNT.EXE
C:\WINDOWS\system32\ctfmon.exe
C:\Programme\Messenger\msmsgs.exe
C:\Programme\AVPersonal\AVGUARD.EXE
C:\Programme\AVPersonal\AVWUPSRV.EXE
C:\WINDOWS\system32\nvsvc32.exe
C:\Programme\iPod\bin\iPodService.exe
C:\WINDOWS\system32\ntvdm.exe
D:\PROGRA~1\T-ONLINE\BSW4\ToDuCAlC.EXE
c:\progra~1\intern~1\iexplore.exe
G:\Flo\Software\hijackthis_199\HijackThis.exe

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Bar = res://C:\WINDOWS\TEMP\sp.dll/sp.html
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = about:blank
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://www.msn.de/
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://search.msn.de/
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Bar = res://C:\WINDOWS\TEMP\sp.dll/sp.html
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = about:blank
R1 - HKCU\Software\Microsoft\Internet Explorer\Search,SearchAssistant = about:blank
R0 - HKLM\Software\Microsoft\Internet Explorer\Search,SearchAssistant = about:blank
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,HomeOldSP = about:blank
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,HomeOldSP = about:blank
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Window Title = Microsoft Internet Explorer
O2 - BHO: myBar BHO - {0494D0D1-F8E0-41ad-92A3-14154ECE70AC} - C:\Programme\MyWay\myBar\1.bin\MYBAR.DLL (file missing)
O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - d:\Programme\Adobe\Acrobat 6.0\Reader\ActiveX\AcroIEHelper.dll
O2 - BHO: (no name) - {11C4940C-944A-4DFA-9820-FC9325322196} - C:\WINDOWS\system32\ncmn.dll
O2 - BHO: (no name) - {53707962-6F74-2D53-2644-206D7942484F} - d:\PROGRA~1\SPYBOT~1\SDHelper.dll
O2 - BHO: Google Toolbar Helper - {AA58ED58-01DD-4d91-8333-CF10577473F7} - c:\programme\google\googletoolbar2.dll
O3 - Toolbar: &Google - {2318C2B1-4965-11d4-9B18-009027A5CD4F} - c:\programme\google\googletoolbar2.dll
O3 - Toolbar: My &Search Bar - {0494D0D9-F8E0-41ad-92A3-14154ECE70AC} - C:\Programme\MyWay\myBar\1.bin\MYBAR.DLL (file missing)
O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\system32\NvCpl.dll,NvStartup
O4 - HKLM\..\Run: [nwiz] nwiz.exe /install
O4 - HKLM\..\Run: [SoundMan] SOUNDMAN.EXE
O4 - HKLM\..\Run: [NvMediaCenter] RUNDLL32.EXE C:\WINDOWS\system32\NvMcTray.dll,NvTaskbarInit
O4 - HKLM\..\Run: [TkBellExe] "C:\Programme\Gemeinsame Dateien\Real\Update_OB\realsched.exe" -osboot
O4 - HKLM\..\Run: [FreePDF Assistant] C:\Programme\FreePDF_XP\fpassist.exe
O4 - HKLM\..\Run: [ElbyCheckElbyCDFL] "H:\Programme\Elaborate Bytes\CloneCD\ElbyCheck.exe" /L ElbyCDFL
O4 - HKLM\..\Run: [P2P Networking] C:\WINDOWS\system32\P2P Networking\P2P Networking.exe /AUTOSTART
O4 - HKLM\..\Run: [iTunesHelper] H:\Programme\iTunes\iTunesHelper.exe
O4 - HKLM\..\Run: [AVGCtrl] C:\Programme\AVPersonal\AVGNT.EXE /min
O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\ctfmon.exe
O4 - HKCU\..\Run: [MSMSGS] "C:\Programme\Messenger\msmsgs.exe" /background
O4 - Global Startup: tempweg.bat
O8 - Extra context menu item: &Google Search - res://c:\programme\google\GoogleToolbar2.dll/cmsearch.html
O8 - Extra context menu item: Im Cache gespeicherte Seite - res://c:\programme\google\GoogleToolbar2.dll/cmcache.html
O8 - Extra context menu item: Verweisseiten - res://c:\programme\google\GoogleToolbar2.dll/cmbacklinks.html
O8 - Extra context menu item: Ähnliche Seiten - res://c:\programme\google\GoogleToolbar2.dll/cmsimilar.html
O9 - Extra button: ICQ Lite - {B863453A-26C3-4e1f-A54D-A2CD196348E9} - g:\Programme\ICQLite\ICQLite.exe
O9 - Extra 'Tools' menuitem: ICQ Lite - {B863453A-26C3-4e1f-A54D-A2CD196348E9} - g:\Programme\ICQLite\ICQLite.exe
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe
O16 - DPF: {1D6711C8-7154-40BB-8380-3DEA45B69CBF} (Web P2P Installer) -
O17 - HKLM\System\CCS\Services\Tcpip\..\{CA6A577A-108C-4360-830A-7F5BD495F481}: NameServer = 217.237.150.141 217.237.150.97
O18 - Filter: text/html - {97FF8B56-4252-42E4-930E-C7A0513A4E42} - C:\WINDOWS\system32\ncmn.dll
O18 - Filter: text/plain - {97FF8B56-4252-42E4-930E-C7A0513A4E42} - C:\WINDOWS\system32\ncmn.dll
O23 - Service: AntiVir Service - H+BEDV Datentechnik GmbH - C:\Programme\AVPersonal\AVGUARD.EXE
O23 - Service: AntiVir Update - H+BEDV Datentechnik GmbH, Germany - C:\Programme\AVPersonal\AVWUPSRV.EXE
O23 - Service: iPod Service - Apple Computer, Inc. - C:\Programme\iPod\bin\iPodService.exe
O23 - Service: NVIDIA Display Driver Service - NVIDIA Corporation - C:\WINDOWS\system32\nvsvc32.exe

Danke schon mal im Voraus

Lunatic,

du hast MySearch/MyWebSearch trojan

go to Start menu -> Systemsteuerung -> Software und enferne alle von solche Programmen:

1. My Web Search (Smiley Central or FWP product as applicable)
2. My Way Speedbar (Smiley Central or other FWP as applicable)
3. My Way Speedbar (AOL and Yahoo Messengers) (beta users only)
4. My Way Speedbar (Outlook, Outlook Express, and IncrediMail)
5. Search Assistant - My Way

dass muss helfen

Danke für die schnelle Hilfe!

Fehler behoben!

Danke



Zu Cidre:
eScan AntiVirus hat nichts gefunden!

Gruß Lunatic82

Hallo!! Gleiches problem wieder! Beim einloggen bei Ebay springt er sofort wieder auf die about blank seite! PS: die My Search Einträge hab ich deinstalliert!!!

eScan hat keine der beiden Einträge infected oder tagged gefunden!!!

@ Lunatic82

Zitat von Lunatic82

eScan AntiVirus hat nichts gefunden!

--> was hast Du denn mit dem eScan gemacht? Hast Du die Anleitung durchgelesen und befolgt? Wo befindet sich die Datei kavupd.exe, wo die mwavscan.com und wo die mwXface.log? Hattest Du den eScan geupdatet nach dem Download? Und im abgesicherten Modus gescanned? Zeig uns mal das Ergebnis:

=>Total Number of Files Scanned:
=>Total Number of Virus(es) Found:
=>Total Number of Disinfected Files:
=>Total Number of Files Renamed:
=>Total Number of Deleted Files:
=>Total Number of Errors:
***** Scanning complete. *****

eScan hat keine der beiden Einträge infected oder tagged gefunden!!!

Willst Du uns veralbern? So war das ja auch nicht gedacht ;-) eScan findet Viren und malware ... und Du sollst unter dem Stichwort "infected" suchen, guck so:

--> "Öffne die mwav.log -> Bearbeiten -> Suchen -> infected eingeben -> Weitersuchen -> Treffer markieren/kopieren und ins Forum übertragen." (Zitat Cidre)

Bitte schreib nicht, dass der eScan die "mwav.log" nicht öffnen kann ... denn die "mwav.log" ist die Reportdatei, die der eScan anlegt, wenn er ein System gescannt hat. Der eScan wird auch nichts hier am Forum schreiben ... das ist Deine Aufgabe, zumindest dann, wenn Du möchtest, dass wir Dir weiter helfen.

--------------------

Downloade LSP-Fix. Wenn Du Probleme bekommst, ins Netz zu kommen: die Internetverbindung trennen und LSP-Fix ausführen. Den Rechner neu booten.

--------------------

Boote in den abgesicherten Modus, deaktiviere die Systemwiederherstellung, und fixe mit Hijack This (Häk'chen setzen und auf Fix Checked klicken):

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Bar = res://C:\WINDOWS\TEMP\sp.dll/sp.html
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Bar = res://C:\WINDOWS\TEMP\sp.dll/sp.html
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,HomeOldSP = about:blank
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,HomeOldSP = about:blank
O2 - BHO: myBar BHO - {0494D0D1-F8E0-41ad-92A3-14154ECE70AC} - C:\Programme\MyWay\myBar\1.bin\MYBAR.DLL (file missing)
O3 - Toolbar: My &Search Bar - {0494D0D9-F8E0-41ad-92A3-14154ECE70AC} - C:\Programme\MyWay\myBar\1.bin\MYBAR.DLL (file missing)
O16 - DPF: {1D6711C8-7154-40BB-8380-3DEA45B69CBF} (Web P2P Installer) -

boote in den normalen Modus.

--------------------

Lösche mit LSP-Fix:

C:\WINDOWS\system32\P2P Networking\P2P Networking.exe

Aktiviere die Systemwiederherstellung.

--------------------

Dein System ist damit nicht sauber. Ich möchte erst das Ergebnis des eScan sehen.

Hallo habe gestern abend noch im archiv dieses programm gefunden
und gleich ausgeführt!

Klappt das entfernen mit diesem Tool richtig?

Gruß Lunatic

george100113.12.2004, 18:55
Hi Leute,
hab da was gefunden.
Hat bei mir das Problem Search Bar in 5 Sekunden behoben
http://mitglied.lycos.de/cuh24/_gb_/...den_remove.php

george1001

So jetzt aber!
eScan hab ich in den Ordner C:\bases entpackt, die Update-Datei kavupd.exe hab ich laufen lassen und hab denn im abgesicherten Modus gescannt:

Hier dass Ergebnis:
Wed Jan 12 14:33:26 2005 => ***** Scanning complete. *****

Wed Jan 12 14:33:26 2005 => Total Files Scanned: 64421
Wed Jan 12 14:33:26 2005 => Total Virus(es) Found: 19
Wed Jan 12 14:33:26 2005 => Total Disinfected Files: 0
Wed Jan 12 14:33:26 2005 => Total Files Renamed: 0
Wed Jan 12 14:33:26 2005 => Total Deleted Files: 0
Wed Jan 12 14:33:26 2005 => Total Errors: 48
Wed Jan 12 14:33:26 2005 => Time Elapsed: 01:52:45
Wed Jan 12 14:33:26 2005 => Virus Database Date: 2005/01/12
Wed Jan 12 14:33:26 2005 => Virus Database Count: 115293

Wed Jan 12 14:33:26 2005 => Scan Completed.

Einträge die ich unter "infected" gefunden habe:
Wed Jan 12 12:45:29 2005 => Scanning Folder: C:\Programme\AVPersonal\INFECTED\*.*
Wed Jan 12 12:49:25 2005 => File C:\System Volume Information\_restore{3A699FF8-3E47-4420-A218-893B2DABFBDC}\RP335\A0070249.dll infected by "not-a-virus:AdWare.Cydoor" Virus. Action Taken: No Action Taken.
Wed Jan 12 12:49:25 2005 => File C:\System Volume Information\_restore{3A699FF8-3E47-4420-A218-893B2DABFBDC}\RP335\A0070251.exe infected by "not-a-virus:AdWare.SaveNow.m" Virus. Action Taken: No Action Taken.
Wed Jan 12 13:18:27 2005 => File C:\WINDOWS\Temp\Altnet\adm.exe infected by "not-a-virus:AdWare.Altnet.a" Virus. Action Taken: No Action Taken.
Wed Jan 12 13:18:27 2005 => File C:\WINDOWS\Temp\Altnet\adm25.dll infected by "not-a-virus:AdWare.Altnet.a" Virus. Action Taken: No Action Taken.
Wed Jan 12 13:18:28 2005 => File C:\WINDOWS\Temp\Altnet\adm4.dll infected by "not-a-virus:AdWare.Altnet.a" Virus. Action Taken: No Action Taken.
Wed Jan 12 13:18:28 2005 => File C:\WINDOWS\Temp\Altnet\admprog.dll infected by "not-a-virus:AdWare.Altnet.a" Virus. Action Taken: No Action Taken.
Wed Jan 12 13:18:29 2005 => File C:\WINDOWS\Temp\Altnet\mysearch.cab infected by "not-a-virus:AdWare.ToolBar.MyWay.g" Virus. Action Taken: No Action Taken
Wed Jan 12 13:18:29 2005 => File C:\WINDOWS\Temp\Altnet\pmfiles.cab infected by "not-a-virus:AdWare.BrilliantDigital.1007" Virus. Action Taken: No Action Taken.
Wed Jan 12 13:18:29 2005 => File C:\WINDOWS\Temp\Altnet\Setup.exe infected by "not-a-virus:AdWare.Altnet.b" Virus. Action Taken: No Action Taken.
Wed Jan 12 13:39:00 2005 => File G:\Flo\Software\Filesharing\BSINSTALLDE.exe infected by "not-a-virus:AdWare.SaveNow.z" Virus. Action Taken: No Action Taken.
Wed Jan 12 14:32:02 2005 => File H:\Program Files\Altnet\Download Manager\asmps.dll infected by "not-a-virus:AdWare.Altnet.b" Virus. Action Taken: No Action Taken.
Wed Jan 12 14:32:15 2005 => File H:\Programme\BearShare\Installer\BSINSTALLDE.exe infected by "not-a-virus:AdWare.SaveNow.z" Virus. Action Taken: No Action Taken.
Wed Jan 12 14:32:16 2005 => File H:\Programme\BearShare\Installer\saveinstwm.exe infected by "not-a-virus:AdWare.SaveNow.z" Virus. Action Taken: No Action Taken.
Wed Jan 12 14:33:20 2005 => File H:\Programme\Kazaa\TopSearch.dll infected by "not-a-virus:AdWare.Altnet.d" Virus. Action Taken: No Action Taken.


Danach habe ich mit HJT wie in der Anleitung von Shadowdance beschrieben die Datein im abgesicherten Modus gefixt.

Danach hab ich nochmal den HJT laufen lassen da ich nicht genau weiß ob ich alles erwischt habe!

Hier der Log:

Logfile of HijackThis v1.99.0
Scan saved at 20:26:07, on 12.01.2005
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\Explorer.EXE
C:\WINDOWS\system32\spoolsv.exe
C:\Programme\AVPersonal\AVGUARD.EXE
C:\Programme\AVPersonal\AVWUPSRV.EXE
C:\WINDOWS\system32\nvsvc32.exe
C:\WINDOWS\SOUNDMAN.EXE
C:\Programme\Gemeinsame Dateien\Real\Update_OB\realsched.exe
C:\Programme\FreePDF_XP\fpassist.exe
C:\WINDOWS\system32\P2P Networking\P2P Networking.exe
H:\Programme\iTunes\iTunesHelper.exe
C:\Programme\AVPersonal\AVGNT.EXE
C:\WINDOWS\system32\ctfmon.exe
C:\Programme\Messenger\msmsgs.exe
C:\Programme\iPod\bin\iPodService.exe
C:\WINDOWS\system32\ntvdm.exe
D:\PROGRA~1\T-ONLINE\BSW4\ToDuCAlC.EXE
c:\progra~1\intern~1\iexplore.exe
C:\WINDOWS\system32\NOTEPAD.EXE
G:\Flo\Software\Trojaner und Viren\hijackthis_199\HijackThis.exe

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Bar = res://C:\WINDOWS\TEMP\sp.dll/sp.html
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = about:blank
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.google.de/
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://www.msn.de/
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://search.msn.de/
R1 - HKCU\Software\Microsoft\Internet Explorer\Search,SearchAssistant = about:blank
R0 - HKLM\Software\Microsoft\Internet Explorer\Search,SearchAssistant = about:blank
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,HomeOldSP = about:blank
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,HomeOldSP = about:blank
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Window Title = Microsoft Internet Explorer
O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - d:\Programme\Adobe\Acrobat 6.0\Reader\ActiveX\AcroIEHelper.dll
O2 - BHO: Google Toolbar Helper - {AA58ED58-01DD-4d91-8333-CF10577473F7} - c:\programme\google\googletoolbar2.dll
O3 - Toolbar: &Google - {2318C2B1-4965-11d4-9B18-009027A5CD4F} - c:\programme\google\googletoolbar2.dll
O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\system32\NvCpl.dll,NvStartup
O4 - HKLM\..\Run: [nwiz] nwiz.exe /install
O4 - HKLM\..\Run: [SoundMan] SOUNDMAN.EXE
O4 - HKLM\..\Run: [NvMediaCenter] RUNDLL32.EXE C:\WINDOWS\system32\NvMcTray.dll,NvTaskbarInit
O4 - HKLM\..\Run: [TkBellExe] "C:\Programme\Gemeinsame Dateien\Real\Update_OB\realsched.exe" -osboot
O4 - HKLM\..\Run: [FreePDF Assistant] C:\Programme\FreePDF_XP\fpassist.exe
O4 - HKLM\..\Run: [ElbyCheckElbyCDFL] "H:\Programme\Elaborate Bytes\CloneCD\ElbyCheck.exe" /L ElbyCDFL
O4 - HKLM\..\Run: [P2P Networking] C:\WINDOWS\system32\P2P Networking\P2P Networking.exe /AUTOSTART
O4 - HKLM\..\Run: [iTunesHelper] H:\Programme\iTunes\iTunesHelper.exe
O4 - HKLM\..\Run: [AVGCtrl] C:\Programme\AVPersonal\AVGNT.EXE /min
O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\ctfmon.exe
O4 - HKCU\..\Run: [MSMSGS] "C:\Programme\Messenger\msmsgs.exe" /background
O4 - Global Startup: tempweg.bat
O8 - Extra context menu item: &Google Search - res://c:\programme\google\GoogleToolbar2.dll/cmsearch.html
O8 - Extra context menu item: Im Cache gespeicherte Seite - res://c:\programme\google\GoogleToolbar2.dll/cmcache.html
O8 - Extra context menu item: Verweisseiten - res://c:\programme\google\GoogleToolbar2.dll/cmbacklinks.html
O8 - Extra context menu item: Ähnliche Seiten - res://c:\programme\google\GoogleToolbar2.dll/cmsimilar.html
O9 - Extra button: ICQ Lite - {B863453A-26C3-4e1f-A54D-A2CD196348E9} - g:\Programme\ICQLite\ICQLite.exe
O9 - Extra 'Tools' menuitem: ICQ Lite - {B863453A-26C3-4e1f-A54D-A2CD196348E9} - g:\Programme\ICQLite\ICQLite.exe
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe
O16 - DPF: {1D6711C8-7154-40BB-8380-3DEA45B69CBF} (Web P2P Installer) -
O17 - HKLM\System\CCS\Services\Tcpip\..\{CA6A577A-108C-4360-830A-7F5BD495F481}: NameServer = 217.237.150.141 217.237.150.97
O18 - Filter: text/html - {97FF8B56-4252-42E4-930E-C7A0513A4E42} - C:\WINDOWS\system32\ncmn.dll
O18 - Filter: text/plain - {97FF8B56-4252-42E4-930E-C7A0513A4E42} - C:\WINDOWS\system32\ncmn.dll
O23 - Service: AntiVir Service - H+BEDV Datentechnik GmbH - C:\Programme\AVPersonal\AVGUARD.EXE
O23 - Service: AntiVir Update - H+BEDV Datentechnik GmbH, Germany - C:\Programme\AVPersonal\AVWUPSRV.EXE
O23 - Service: iPod Service - Apple Computer, Inc. - C:\Programme\iPod\bin\iPodService.exe
O23 - Service: NVIDIA Display Driver Service - NVIDIA Corporation - C:\WINDOWS\system32\nvsvc32.exe


Die C:\WINDOWS\system32\P2P Networking\P2P Networking.exe konte ich mit dem LSP-Fix nicht entfernen, da ich nicht genau weiß wie das funktioniert!!! Sorry



Ich hoffe ich hab es jetzt mehr oder weniger richtig gemacht!
Vieleicht könnt ihr mir jetzt nocheinmal behilflich sein.

Danke Lunatic82

ok die gestalten von adware wirste leicht los.rechtsklick auf arbeitsplatz,klick auf eigenschaften
klick auf systemwiederherstellung
haken bei "systemwiederherstellung auf allen laufwerken deaktivieren"
neustarten
den haken wieder weg machen.
und weg sind die adware.

Ich bekomm glaub nochmal nen Vogel!!!
Jetzt hab ich vorhin bemerkt, dass ich die Systemwiederherstellung bei den vorherigen escans und HJT-Logs gar nicht deaktiviert habe!!!

Kann mir bitte jemand weiterhelfen?
Ich weiß nicht welche der gefundenen Datein bei eScan ich löschen soll oder muss und wie das ganze funktionert?
Genauso beim HijackThis log den ich dann auch nochmel laufen hab lassen! (im abgesicherten modus mit deaktivierter SW)

Zitat von Shadowdance

@ Lunatic82 -->

--------------------

Lösche mit LSP-Fix:

C:\WINDOWS\system32\P2P Networking\P2P Networking.exe

Aktiviere die Systemwiederherstellung.

--------------------

Ich versteh auch leider nicht ganz, wie das mit dem LSP-FIX funktioniert?!


Hilfe ich dreh noch durch, ich will endlich wieder normal mit meinem PC arbeiten!



Unter Tagged gefunden:


Wed Jan 12 22:12:28 2005 => File C:\WINDOWS\Temp\~tmp(2029-20{DE).exe tagged as not-a-virus:RiskWare.Dialer.Generic. No Action Taken.
Wed Jan 12 22:33:27 2005 => File G:\Flo\Software\Post Etiketten\setup_freeway_2_2\setup_freeway_2_2.exe tagged as not-a-virus:Tool.Win32.Reboot. No Action Taken.
Wed Jan 12 22:33:29 2005 => File G:\Flo\Software\Post Etiketten\setup_freeway_2_2\setup_freeway_2_2.zip tagged as not-a-virus:Tool.Win32.Reboot. No Action Taken.

Unter infected gefunden:


Wed Jan 12 21:25:49 2005 => Scanning Folder: C:\Programme\AVPersonal\INFECTED\*.*
Wed Jan 12 22:12:21 2005 => File C:\WINDOWS\Temp\Altnet\adm.exe infected by "not-a-virus:AdWare.Altnet.a" Virus. Action Taken: No Action Taken.
Wed Jan 12 22:12:22 2005 => File C:\WINDOWS\Temp\Altnet\adm25.dll infected by "not-a-virus:AdWare.Altnet.a" Virus. Action Taken: No Action Taken.
Wed Jan 12 22:12:22 2005 => File C:\WINDOWS\Temp\Altnet\adm4.dll infected by "not-a-virus:AdWare.Altnet.a" Virus. Action Taken: No Action Taken.
Wed Jan 12 22:12:22 2005 => File C:\WINDOWS\Temp\Altnet\admprog.dll infected by "not-a-virus:AdWare.Altnet.a" Virus. Action Taken: No Action Taken.
Wed Jan 12 22:12:23 2005 => File C:\WINDOWS\Temp\Altnet\mysearch.cab infected by "not-a-virus:AdWare.ToolBar.MyWay.g" Virus. Action Taken: No Action Taken.
Wed Jan 12 22:12:23 2005 => File C:\WINDOWS\Temp\Altnet\pmfiles.cab infected by "not-a-virus:AdWare.BrilliantDigital.1007" Virus. Action Taken: No Action Taken.
Wed Jan 12 22:12:24 2005 => File C:\WINDOWS\Temp\Altnet\Setup.exe infected by "not-a-virus:AdWare.Altnet.b" Virus. Action Taken: No Action Taken.
Wed Jan 12 22:32:00 2005 => File G:\Flo\Software\Filesharing\BSINSTALLDE.exe infected by "not-a-virus:AdWare.SaveNow.z" Virus. Action Taken: No Action Taken.
Wed Jan 12 23:22:48 2005 => File H:\Program Files\Altnet\Download Manager\asmps.dll infected by "not-a-virus:AdWare.Altnet.b" Virus. Action Taken: No Action Taken.
Wed Jan 12 23:23:02 2005 => File H:\Programme\BearShare\Installer\BSINSTALLDE.exe infected by "not-a-virus:AdWare.SaveNow.z" Virus. Action Taken: No Action Taken.
Wed Jan 12 23:23:02 2005 => File H:\Programme\BearShare\Installer\saveinstwm.exe infected by "not-a-virus:AdWare.SaveNow.z" Virus. Action Taken: No Action Taken.
Wed Jan 12 23:24:09 2005 => File H:\Programme\Kazaa\TopSearch.dll infected by "not-a-virus:AdWare.Altnet.d" Virus. Action Taken: No Action Taken.



Hier die Anzahl der gescannten Datein:

Wed Jan 12 23:24:13 2005 => ***** Scanning complete. *****

Wed Jan 12 23:24:13 2005 => Total Files Scanned: 63526
Wed Jan 12 23:24:13 2005 => Total Virus(es) Found: 15
Wed Jan 12 23:24:13 2005 => Total Disinfected Files: 0
Wed Jan 12 23:24:13 2005 => Total Files Renamed: 0
Wed Jan 12 23:24:13 2005 => Total Deleted Files: 0
Wed Jan 12 23:24:13 2005 => Total Errors: 45
Wed Jan 12 23:24:13 2005 => Time Elapsed: 02:04:34
Wed Jan 12 23:24:13 2005 => Virus Database Date: 2005/01/12
Wed Jan 12 23:24:13 2005 => Virus Database Count: 115293

Wed Jan 12 23:24:13 2005 => Scan Completed.



Die Virus log information hab ich direkt aus eScan kopiert nachdem er fertig war vieleicht hilfts ja weiter:

File C:\WINDOWS\Temp\Altnet\adm.exe infected by "not-a-virus:AdWare.Altnet.a" Virus. Action Taken: No Action Taken.

File C:\WINDOWS\Temp\Altnet\adm25.dll infected by "not-a-virus:AdWare.Altnet.a" Virus. Action Taken: No Action Taken.

File C:\WINDOWS\Temp\Altnet\adm4.dll infected by "not-a-virus:AdWare.Altnet.a" Virus. Action Taken: No Action Taken.

File C:\WINDOWS\Temp\Altnet\admprog.dll infected by "not-a-virus:AdWare.Altnet.a" Virus. Action Taken: No Action Taken.

File C:\WINDOWS\Temp\Altnet\mysearch.cab infected by "not-a-virus:AdWare.ToolBar.MyWay.g" Virus. Action Taken: No Action Taken.

File C:\WINDOWS\Temp\Altnet\pmfiles.cab infected by "not-a-virus:AdWare.BrilliantDigital.1007" Virus. Action Taken: No Action Taken.

File C:\WINDOWS\Temp\Altnet\Setup.exe infected by "not-a-virus:AdWare.Altnet.b" Virus. Action Taken: No Action Taken.

File C:\WINDOWS\Temp\~tmp(2029-20{DE).exe tagged as not-a-virus:RiskWare.Dialer.Generic. No Action Taken.

File G:\Flo\Software\Filesharing\BSINSTALLDE.exe infected by "not-a-virus:AdWare.SaveNow.z" Virus. Action Taken: No Action Taken.

File G:\Flo\Software\Post Etiketten\setup_freeway_2_2\setup_freeway_2_2.exe tagged as not-a-virus:Tool.Win32.Reboot. No Action Taken.

File G:\Flo\Software\Post Etiketten\setup_freeway_2_2\setup_freeway_2_2.zip tagged as not-a-virus:Tool.Win32.Reboot. No Action Taken.

File H:\Program Files\Altnet\Download Manager\asmps.dll infected by "not-a-virus:AdWare.Altnet.b" Virus. Action Taken: No Action Taken.

File H:\Programme\BearShare\Installer\BSINSTALLDE.exe infected by "not-a-virus:AdWare.SaveNow.z" Virus. Action Taken: No Action Taken.

File H:\Programme\BearShare\Installer\saveinstwm.exe infected by "not-a-virus:AdWare.SaveNow.z" Virus. Action Taken: No Action Taken.

File H:\Programme\Kazaa\TopSearch.dll infected by "not-a-virus:AdWare.Altnet.d" Virus. Action Taken: No Action Taken.






Logfile of HijackThis v1.99.0
Scan saved at 22:44:01, on 12.01.2005
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\Explorer.EXE
C:\bases\mwavscan.com
C:\bases\kavss.exe
G:\Flo\Software\Trojaner und Viren\Hi Jack This\hijackthis_199\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page =
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://www.msn.de/
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://search.msn.de/
R0 - HKLM\Software\Microsoft\Internet Explorer\Search,SearchAssistant = about:blank
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Local Page =
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,HomeOldSP = about:blank
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName =
R3 - Default URLSearchHook is missing
O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - d:\Programme\Adobe\Acrobat 6.0\Reader\ActiveX\AcroIEHelper.dll
O2 - BHO: Google Toolbar Helper - {AA58ED58-01DD-4d91-8333-CF10577473F7} - c:\programme\google\googletoolbar2.dll
O3 - Toolbar: &Google - {2318C2B1-4965-11d4-9B18-009027A5CD4F} - c:\programme\google\googletoolbar2.dll
O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\system32\NvCpl.dll,NvStartup
O4 - HKLM\..\Run: [nwiz] nwiz.exe /install
O4 - HKLM\..\Run: [SoundMan] SOUNDMAN.EXE
O4 - HKLM\..\Run: [NvMediaCenter] RUNDLL32.EXE C:\WINDOWS\system32\NvMcTray.dll,NvTaskbarInit
O4 - HKLM\..\Run: [TkBellExe] "C:\Programme\Gemeinsame Dateien\Real\Update_OB\realsched.exe" -osboot
O4 - HKLM\..\Run: [FreePDF Assistant] C:\Programme\FreePDF_XP\fpassist.exe
O4 - HKLM\..\Run: [ElbyCheckElbyCDFL] "H:\Programme\Elaborate Bytes\CloneCD\ElbyCheck.exe" /L ElbyCDFL
O4 - HKLM\..\Run: [P2P Networking] C:\WINDOWS\system32\P2P Networking\P2P Networking.exe /AUTOSTART
O4 - HKLM\..\Run: [iTunesHelper] H:\Programme\iTunes\iTunesHelper.exe
O4 - HKLM\..\Run: [AVGCtrl] C:\Programme\AVPersonal\AVGNT.EXE /min
O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE
O4 - Global Startup: tempweg.bat
O9 - Extra button: ICQ Lite - {B863453A-26C3-4e1f-A54D-A2CD196348E9} - g:\Programme\ICQLite\ICQLite.exe
O9 - Extra 'Tools' menuitem: ICQ Lite - {B863453A-26C3-4e1f-A54D-A2CD196348E9} - g:\Programme\ICQLite\ICQLite.exe
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe
O18 - Filter: text/html - {97FF8B56-4252-42E4-930E-C7A0513A4E42} - C:\WINDOWS\system32\ncmn.dll
O18 - Filter: text/plain - {97FF8B56-4252-42E4-930E-C7A0513A4E42} - C:\WINDOWS\system32\ncmn.dll
O23 - Service: AntiVir Service - H+BEDV Datentechnik GmbH - C:\Programme\AVPersonal\AVGUARD.EXE
O23 - Service: AntiVir Update - H+BEDV Datentechnik GmbH, Germany - C:\Programme\AVPersonal\AVWUPSRV.EXE
O23 - Service: iPod Service - Apple Computer, Inc. - C:\Programme\iPod\bin\iPodService.exe
O23 - Service: NVIDIA Display Driver Service - NVIDIA Corporation - C:\WINDOWS\system32\nvsvc32.exe

@ Lunatic82

mit dem Clear Prog kannst Du u.a. den Inhalt nachfolgender Ordner leeren, wenn Du ein Häkchen' bei "Clear all"/"alles löschen" machst und auf "Clear"/"löschen" klickst:

C:\Programme\AVPersonal\INFECTED\*.*
C:\WINDOWS\Temp

Das Programm macht vieles selbstständig, weiss was es zu tun hat und erleichert dem User das arbeiten.

-------------------------------------

Diese Malware-Einträge musst Du von Hand löschen.

Dazu musst Du erst die Grundlage schaffen, damit Du die Dateien auch findest: --> "Windows Explorer -> "Extras/Ordneroptionen" -> "Ansicht" -> Haken entfernen bei "Geschützte Systemdateien ausblenden (empfohlen)" und "Alle Dateien und Ordner anzeigen" aktivieren" (Cidre)

--> Boote dann (offline) in den abgesicherten Modus, deaktiviere die Systemwiederherstellung, markiere/kopiere die fettgedruckten Dateien, übertrage sie in die Windows Suche und lösche sie:

G:\Flo\Software\Filesharing\BSINSTALLDE.exe
H:\Programme\BearShare\Installer\BSINSTALLDE.exe
H:\Programme\BearShare\Installer\saveinstwm.exe

zum löschen von DLL's:

"entweder probierst du dies http://www.windows-tweaks.info/html/dllsuchexp.html oder du machst es so: Lade Dir Winfile.exe (einen älteren NT-Dateimanager) herunter und starte ihn. Navigiere im rechten Fenster zu der betreffenden dll, markiere sie und wähle im Menue Security die Option Permissions. Ändere im unteren Auswahlfenster die Zugriffsart auf Vollzugriff. Bestätige mit [OK]. Dann wähle im selben Menue die Option Owner und klicke auf [Besitz übernehmen]. Bestätige mit OK. Jetzt die Datei umbenennen in z.B. Malware.txt und die Nachfragen jeweils mit [OK] bzw. [Ja] bestätigen. Anschließend sollten diese Dateien sich löschen lassen (Cidre & Chaosman zitiert):"

H:\Program Files\Altnet\Download Manager\asmps.dll
H:\Programme\Kazaa\TopSearch.dll

Nach dem löschen in den normalen Modus booten und die Systemwiederherstellung wieder aktivieren. Neu booten.

-------------------------------------

nicht löschen:

G:\Flo\Software\Post Etiketten\setup_freeway_2_2\setup_freeway_2_2.exe tagged as not-a-virus:Tool.Win32.Reboot.
G:\Flo\Software\Post Etiketten\setup_freeway_2_2\setup_freeway_2_2.zip tagged as not-a-virus:Tool.Win32.Reboot.
-------------------------------------

Downloade nun bitte die Entfernungstools von Spyware und Adware 'Ad-Aware 6 Personal' und 'Spybot-Search & Destroy 1.3'. (Antwort zum DSO Exloit bei der Anwendung von Spybot-Search & Destroy 1.3). Update die Programme online. Scanne Deinen Rechner mit den beiden Programmen nacheinander und lass alle bestehenden Probleme beheben.

-------------------------------------

Lade nun bitte VOR ! der Logfile-Bearbeitung WinsockFix.zip runter, entpacke es mit einem Zip-Programm in einen neuen Ordner "WinsockFix" auf Deiner Festplatte. Führe dann die WinsockFix.exe aus (Doppelklick). Klicke dann danach auf den Fix Button.

-------------------------------------

Logfile-Auswertung:

Boote in den abgesicherten Modus, deaktiviere die Systemwiederherstellung, und fixe dann mit Hijack This (Häk'chen setzen und auf Fix Checked klicken):

R3 - Default URLSearchHook is missing
O4 - HKLM\..\Run: [P2P Networking] C:\WINDOWS\system32\P2P Networking\P2P Networking.exe /AUTOSTART
O18 - Filter: text/html - {97FF8B56-4252-42E4-930E-C7A0513A4E42} - C:\WINDOWS\system32\ncmn.dll
O18 - Filter: text/plain - {97FF8B56-4252-42E4-930E-C7A0513A4E42} - C:\WINDOWS\system32\ncmn.dll

Boote in den normalen Modus.

beende:
Networking.exe

lösche:
C:\WINDOWS\system32\P2P Networking\P2P Networking.exe

Aktiviere die Systemwiederherstellung und boote neu.

-------------------------------------

Erstelle ein weiteres neues Hijack This Logfile und poste es in diesen Thread.