hallo

bitte um hilfe im kampf gegen meinen browser hijacker.

Habe e-scan und HijackThis bereits mehrfach bei abgeschalteter systemwiederherstellung im abgesicherten modus laufen lassen.
Die rot markierten Einträge tauchen nach Entfernung aber immer wieder im logfile auf. (zum Teil erst nach mehreren Tagen)

Kann mir jemand helfen und sagen was ich alle problemlos fixen kann?

Logfile of HijackThis v1.99.0
Scan saved at 18:11:42, on 04.02.2005
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\Explorer.EXE
C:\WINDOWS\PCHealth\HelpCtr\Binaries\HelpSvc.exe
C:\DOKUME~1\Scharrer\LOKALE~1\Temp\Temporäres Verzeichnis 2 für Hijack This.zip\HijackThis.exe

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Bar = res://C:\DOKUME~1\Scharrer\LOKALE~1\Temp\sp.dll/sp.html
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = about:blank
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = about:blank
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Bar = res://C:\DOKUME~1\Scharrer\LOKALE~1\Temp\sp.dll/sp.html
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = about:blank
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = about:blank
R1 - HKCU\Software\Microsoft\Internet Explorer\Search,SearchAssistant = about:blank
R0 - HKLM\Software\Microsoft\Internet Explorer\Search,SearchAssistant = about:blank
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,HomeOldSP = about:blank
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,HomeOldSP = about:blank
O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Programme\Adobe\Acrobat 5.0\Reader\ActiveX\AcroIEHelper.ocx
O2 - BHO: (no name) - {614C87D4-8AF0-9E3B-BCF2-B2B08F112A95} - C:\WINDOWS\system32\cosewia.dll
O2 - BHO: Google Toolbar Helper - {AA58ED58-01DD-4d91-8333-CF10577473F7} - c:\programme\google\googletoolbar1.dll
O2 - BHO: (no name) - {CD6A44AE-8698-4D92-AE61-9A3DA30B1EBE} - C:\WINDOWS\system32\jfiphlp.dll
O2 - BHO: (no name) - {F2A4407B-FFBC-4A1F-A18A-0F68C3E0FC9E} - C:\WINDOWS\system32\cuxaqiho.dll
O3 - Toolbar: &Google - {2318C2B1-4965-11d4-9B18-009027A5CD4F} - c:\programme\google\googletoolbar1.dll
O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE NvQTwk,NvCplDaemon initialize
O4 - HKLM\..\Run: [nwiz] nwiz.exe /install
O4 - HKLM\..\Run: [CeEPOWER] C:\Programme\TOSHIBA\Power Management\CePMTray.exe
O4 - HKLM\..\Run: [CPLBTS88] C:\PROGRA~1\EzButton\CPLBTS88.EXE
O4 - HKLM\..\Run: [CeEKEY] C:\Programme\TOSHIBA\E-KEY\CeEKey.exe
O4 - HKLM\..\Run: [Apoint] C:\Programme\Apoint2K\Apoint.exe
O4 - HKLM\..\Run: [TPNF] C:\Programme\TOSHIBA\TouchPad\TPTray.exe
O4 - HKLM\..\Run: [Microsoft Works Update Detection] C:\Programme\Gemeinsame Dateien\Microsoft Shared\Works Shared\WkUFind.exe
O4 - HKLM\..\Run: [ezShieldProtector for Px] C:\WINDOWS\System32\ezSP_Px.exe
O4 - HKLM\..\Run: [EM_EXEC] C:\PROGRA~1\Logitech\MOUSEW~1\SYSTEM\EM_EXEC.EXE
O4 - HKLM\..\Run: [WinFaxAppPortStarter] wfxsnt40.exe
O4 - HKLM\..\Run: [TkBellExe] "C:\Programme\Gemeinsame Dateien\Real\Update_OB\realsched.exe" -osboot
O4 - HKLM\..\Run: [QuickTime Task] "C:\Programme\QuickTime\qttask.exe" -atboottime
O4 - HKLM\..\Run: [DataLayer] C:\Programme\Nokia\Nokia PC Suite 5\DataLayer.exe
O4 - HKLM\..\Run: [Nokia Tray Application] C:\Programme\Gemeinsame Dateien\Nokia\NCLTools\NclTray.exe
O4 - HKLM\..\Run: [gcasServ] "C:\Programme\Microsoft AntiSpyware\gcasServ.exe"
O4 - HKLM\..\Run: [AVGCtrl] C:\Programme\AVPersonal\AVGNT.EXE /min
O4 - HKCU\..\Run: [NVIEW] rundll32.exe nview.dll,nViewLoadHook
O4 - Global Startup: WEB.DE SmartSurfer2.3a.lnk = C:\Programme\WEBDE\SmartSurfer2.31\SmartSurfer.exe
O8 - Extra context menu item: &Google Search - res://c:\programme\google\GoogleToolbar1.dll/cmsearch.html
O8 - Extra context menu item: Im Cache gespeicherte Seite - res://c:\programme\google\GoogleToolbar1.dll/cmcache.html
O8 - Extra context menu item: Nach Microsoft &Excel exportieren - res://C:\PROGRA~1\MICROS~4\Office10\EXCEL.EXE/3000
O8 - Extra context menu item: Verweisseiten - res://c:\programme\google\GoogleToolbar1.dll/cmbacklinks.html
O8 - Extra context menu item: Ähnliche Seiten - res://c:\programme\google\GoogleToolbar1.dll/cmsimilar.html
O9 - Extra button: Real.com - {CD67F990-D8E9-11d2-98FE-00C0F0318AFE} - C:\WINDOWS\System32\Shdocvw.dll
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe
O18 - Filter: text/html - {69EE7BE7-288A-4748-9DCE-555078612461} - C:\WINDOWS\system32\jfiphlp.dll
O18 - Filter: text/plain - {69EE7BE7-288A-4748-9DCE-555078612461} - C:\WINDOWS\system32\jfiphlp.dll
O23 - Service: AntiVir Service - H+BEDV Datentechnik GmbH - C:\Programme\AVPersonal\AVGUARD.EXE
O23 - Service: AntiVir Update - H+BEDV Datentechnik GmbH, Germany - C:\Programme\AVPersonal\AVWUPSRV.EXE
O23 - Service: BrSplService - brother Industries Ltd - C:\WINDOWS\System32\brsvc01a.exe
O23 - Service: NVIDIA Driver Helper Service - NVIDIA Corporation - C:\WINDOWS\System32\nvsvc32.exe
O23 - Service: WinFax PRO - Symantec Corporation - C:\WINDOWS\System32\WFXSVC.EXE

bei eScan gibt es zudem eine datei bei der ich nicht weiß, wie ich verfahren soll:
File C:\WINDOWS\system32\instsrv.exe tagged as not-a-virus:RiskWare.Tool.ServiceRunner.f. No Action Taken.

danke.

Lass mal HIER folgende Dateien prüfen.

C:\WINDOWS\system32\jfiphlp.dll
C:\WINDOWS\system32\cuxaqiho.dll

Ergebniss bitte hier posten!

Hallo,

Wechsle nochmal in den abgesicherten Modus und fixe diese Einträge:

Alle R1 und R0
O2 - BHO: (no name) - {614C87D4-8AF0-9E3B-BCF2-B2B08F112A95} - C:\WINDOWS\system32\cosewia.dll
O2 - BHO: (no name) - {CD6A44AE-8698-4D92-AE61-9A3DA30B1EBE} - C:\WINDOWS\system32\jfiphlp.dll
O2 - BHO: (no name) - {F2A4407B-FFBC-4A1F-A18A-0F68C3E0FC9E} - C:\WINDOWS\system32\cuxaqiho.dll
O18 - Filter: text/html - {69EE7BE7-288A-4748-9DCE-555078612461} - C:\WINDOWS\system32\jfiphlp.dll
O18 - Filter: text/plain - {69EE7BE7-288A-4748-9DCE-555078612461} - C:\WINDOWS\system32\jfiphlp.dll

Lösche diese Dateien:

C:\WINDOWS\system32\cosewia.dll
C:\WINDOWS\system32\jfiphlp.dll
C:\WINDOWS\system32\cuxaqiho.dll

- neue Startseite vergeben
- Neustart
- dein System updaten http://v5.windowsupdate.microsoft.co...r/default.aspx
- IE sicherer konfigurieren und nur noch für das Windows Update benutzen http://www.datenschutzzentrum.de/sel...sie/config.htm oder http://www.blafusel.de/ie.html
- Sichere und komfortablere Browser wie z.B. Mozilla oder Firefox verwenden http://www.mozilla.org
- neues Log-File von HijackThis und die Virus Log Information (infected Einträge) von eScan posten

File C:\WINDOWS\system32\instsrv.exe tagged as not-a-virus:RiskWare.Tool.ServiceRunner.f. No Action Taken.

http://www.microsoft.com/resources/d...us/instsrv.asp

hallo,
habe alles gemacht. hoffe stark, dass es jetzt besser wird.

nach entfernung und fixing aller dateien im abgesicherten modus habe ich nochmal Microsoft Antispyware laufen lassen. dieser hat trotzdem wieder einen browser hijacker erkannt und entfernt. muss ich also noch mehr dateien entfernen?

windows hatte übrigens für mein system kein sicherheitsrelevantes update auf lager.

was ist mit diesem eintrag?
O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE NvQTwk,NvCplDaemon initialize
hijackthis.de sagt: unbekanntes Programm; die Resulte dort schwanken zwischen gut und böse

hijackthis.de sagt mir auch ich hätte keine firewall aktiviert. habe aber die windows firewall aktiviert. soll ich zusätzlich sygate personal firewall installieren?

hier mein neues logfile:

Logfile of HijackThis v1.99.0
Scan saved at 14:31:36, on 05.02.2005
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\System32\brsvc01a.exe
C:\WINDOWS\system32\spoolsv.exe
C:\WINDOWS\System32\brss01a.exe
C:\Programme\AVPersonal\AVGUARD.EXE
C:\Programme\AVPersonal\AVWUPSRV.EXE
C:\WINDOWS\System32\nvsvc32.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\System32\WFXSVC.EXE
C:\WINDOWS\Explorer.EXE
C:\Programme\TOSHIBA\Power Management\CePMTray.exe
C:\PROGRA~1\EzButton\CPLBTS88.EXE
C:\Programme\TOSHIBA\E-KEY\CeEKey.exe
C:\Programme\TOSHIBA\TouchPad\TPTray.exe
C:\Programme\Gemeinsame Dateien\Microsoft Shared\Works Shared\WkUFind.exe
C:\WINDOWS\System32\ezSP_Px.exe
C:\PROGRA~1\Logitech\MOUSEW~1\SYSTEM\EM_EXEC.EXE
C:\WINDOWS\system32\wfxsnt40.exe
C:\Programme\Gemeinsame Dateien\Real\Update_OB\realsched.exe
C:\Programme\Nokia\Nokia PC Suite 5\DataLayer.exe
C:\Programme\Gemeinsame Dateien\Nokia\NCLTools\NclTray.exe
C:\Programme\Microsoft AntiSpyware\gcasServ.exe
C:\Programme\AVPersonal\AVGNT.EXE
C:\Programme\WEBDE\SmartSurfer2.31\SmartSurfer.exe
C:\WINDOWS\system32\rundll32.exe
C:\Programme\Gemeinsame Dateien\Nokia\Services\ServiceLayer.exe
C:\Programme\Microsoft AntiSpyware\gcasDtServ.exe
C:\DOKUME~1\Scharrer\LOKALE~1\Temp\Temporäres Verzeichnis 4 für Hijack This.zip\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.my.yahoo.com/
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.my.yahoo.com
O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Programme\Adobe\Acrobat 5.0\Reader\ActiveX\AcroIEHelper.ocx
O2 - BHO: Google Toolbar Helper - {AA58ED58-01DD-4d91-8333-CF10577473F7} - c:\programme\google\googletoolbar1.dll
O3 - Toolbar: &Google - {2318C2B1-4965-11d4-9B18-009027A5CD4F} - c:\programme\google\googletoolbar1.dll
O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE NvQTwk,NvCplDaemon initialize
O4 - HKLM\..\Run: [nwiz] nwiz.exe /install
O4 - HKLM\..\Run: [CeEPOWER] C:\Programme\TOSHIBA\Power Management\CePMTray.exe
O4 - HKLM\..\Run: [CPLBTS88] C:\PROGRA~1\EzButton\CPLBTS88.EXE
O4 - HKLM\..\Run: [CeEKEY] C:\Programme\TOSHIBA\E-KEY\CeEKey.exe
O4 - HKLM\..\Run: [Apoint] C:\Programme\Apoint2K\Apoint.exe
O4 - HKLM\..\Run: [TPNF] C:\Programme\TOSHIBA\TouchPad\TPTray.exe
O4 - HKLM\..\Run: [Microsoft Works Update Detection] C:\Programme\Gemeinsame Dateien\Microsoft Shared\Works Shared\WkUFind.exe
O4 - HKLM\..\Run: [ezShieldProtector for Px] C:\WINDOWS\System32\ezSP_Px.exe
O4 - HKLM\..\Run: [EM_EXEC] C:\PROGRA~1\Logitech\MOUSEW~1\SYSTEM\EM_EXEC.EXE
O4 - HKLM\..\Run: [WinFaxAppPortStarter] wfxsnt40.exe
O4 - HKLM\..\Run: [TkBellExe] "C:\Programme\Gemeinsame Dateien\Real\Update_OB\realsched.exe" -osboot
O4 - HKLM\..\Run: [QuickTime Task] "C:\Programme\QuickTime\qttask.exe" -atboottime
O4 - HKLM\..\Run: [DataLayer] C:\Programme\Nokia\Nokia PC Suite 5\DataLayer.exe
O4 - HKLM\..\Run: [Nokia Tray Application] C:\Programme\Gemeinsame Dateien\Nokia\NCLTools\NclTray.exe
O4 - HKLM\..\Run: [gcasServ] "C:\Programme\Microsoft AntiSpyware\gcasServ.exe"
O4 - HKLM\..\Run: [AVGCtrl] C:\Programme\AVPersonal\AVGNT.EXE /min
O4 - HKCU\..\Run: [NVIEW] rundll32.exe nview.dll,nViewLoadHook
O4 - Global Startup: WEB.DE SmartSurfer2.3a.lnk = C:\Programme\WEBDE\SmartSurfer2.31\SmartSurfer.exe
O8 - Extra context menu item: &Google Search - res://c:\programme\google\GoogleToolbar1.dll/cmsearch.html
O8 - Extra context menu item: Im Cache gespeicherte Seite - res://c:\programme\google\GoogleToolbar1.dll/cmcache.html
O8 - Extra context menu item: Nach Microsoft &Excel exportieren - res://C:\PROGRA~1\MICROS~4\Office10\EXCEL.EXE/3000
O8 - Extra context menu item: Verweisseiten - res://c:\programme\google\GoogleToolbar1.dll/cmbacklinks.html
O8 - Extra context menu item: Ähnliche Seiten - res://c:\programme\google\GoogleToolbar1.dll/cmsimilar.html
O9 - Extra button: Real.com - {CD67F990-D8E9-11d2-98FE-00C0F0318AFE} - C:\WINDOWS\System32\Shdocvw.dll
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe
O15 - Trusted Zone: http://*.windowsupdate.microsoft.com
O15 - Trusted Zone: http://*.windowsupdate.com
O17 - HKLM\System\CCS\Services\Tcpip\..\{E81ABB7E-504E-4A22-83B0-A264F1F39F5C}: NameServer = 62.104.191.241 62.104.196.134
O23 - Service: AntiVir Service - H+BEDV Datentechnik GmbH - C:\Programme\AVPersonal\AVGUARD.EXE
O23 - Service: AntiVir Update - H+BEDV Datentechnik GmbH, Germany - C:\Programme\AVPersonal\AVWUPSRV.EXE
O23 - Service: BrSplService - brother Industries Ltd - C:\WINDOWS\System32\brsvc01a.exe
O23 - Service: NVIDIA Driver Helper Service - NVIDIA Corporation - C:\WINDOWS\System32\nvsvc32.exe
O23 - Service: WinFax PRO - Symantec Corporation - C:\WINDOWS\System32\WFXSVC.EXE


hier meine neue Virus Log Information von eScan:

File C:\WINDOWS\system32\instsrv.exe tagged as not-a-virus:RiskWare.Tool.ServiceRunner.f. No Action Taken.


@the saint:
hier das ergebnis des scans auf http://virusscan.jotti.org/

Service load: 0% 100%

File: jfiphlp.dll
Status: INFECTED/MALWARE (Note: this file has been scanned before. Therefore, this file's scan results will not be stored in the database)
Packers detected: None

AntiVir No viruses found (0.21 seconds taken)
Avast No viruses found (1.51 seconds taken)
AVG Antivirus No viruses found (1.26 seconds taken)
BitDefender No viruses found (0.83 seconds taken)
ClamAV No viruses found (0.56 seconds taken)
Dr.Web Trojan.StartPage.449 (0.81 seconds taken)
F-Prot Antivirus No viruses found (0.16 seconds taken)
Fortinet W32/StartPage.IS-tr (0.55 seconds taken)
Kaspersky Anti-Virus Trojan.Win32.StartPage.uo (4.33 seconds taken)
mks_vir No viruses found (1.21 seconds taken)
NOD32 No viruses found (0.66 seconds taken)
Norman Virus Control No viruses found (0.58 seconds taken)


Service load: 0% 100%

File: cuxaqiho.dll
Status: MIGHT BE INFECTED/MALWARE (Sandbox emulation took a long time and/or runtime packers were found, this is suspicious. Normally programs aren't packed and don't force the sandbox into lengthy emulation. Do realize no scanner issued any warning, the file can very well be harmless. Caution is advised, however.)
Packers detected: UPX

AntiVir No viruses found (0.18 seconds taken)
Avast No viruses found (1.51 seconds taken)
AVG Antivirus No viruses found (0.84 seconds taken)
BitDefender No viruses found (0.43 seconds taken)
ClamAV No viruses found (0.47 seconds taken)
Dr.Web No viruses found (0.56 seconds taken)
F-Prot Antivirus No viruses found (0.19 seconds taken)
Fortinet No viruses found (0.43 seconds taken)
Kaspersky Anti-Virus No viruses found (0.64 seconds taken)
mks_vir No viruses found (0.22 seconds taken)
NOD32 No viruses found (0.45 seconds taken)
Norman Virus Control No viruses found (0.15 seconds taken)

Hi Octopus,

"was ist mit diesem eintrag?
O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE NvQTwk,NvCplDaemon initialize
hijackthis.de sagt: unbekanntes Programm; die Resulte dort schwanken zwischen gut und böse"

Der Eintrag ist i.O. (NVIDIA).

dartus

@Octopus
im logfile sehe ich nichts besonderes,

nach entfernung und fixing aller dateien im abgesicherten modus habe ich nochmal Microsoft Antispyware laufen lassen. dieser hat trotzdem wieder einen browser hijacker erkannt und entfernt. muss ich also noch mehr dateien entfernen?
lade dir escan
download
anleitung
überprüfe Deinen Rechner zunächst mit dem eScan: lade den eScan runter, erstelle dafür einen Ordner (=Verzeichnis) c:\bases, update den eScan online und führe ihn offline im abgesicherten Modus aus. Beachte, dass der eScan ab Version 4.5.1 gefundene Malware nicht löscht. Das wird von Hand auf Anweisung durch uns gemacht.

Teile uns dann das Ergebnis des eScan mit: welche Viren wurden auf Deinem Rechner gefunden: "öffne die mwav.log -> Bearbeiten -> Suchen -> infected eingeben -> Weitersuchen -> Treffer markieren/kopieren und ins Forum übertragen." (Zitat Cidre)
scan dauert mindestens 1 stunde

chaosman

hallo nochmal,
hat zunächst alles super geklappt, vielen Dank. Jetzt ist der hijacker aber in abgewandelter Form wieder da. (se statt sp am Dateiende)

Hier mein neues Logfile. Die roten Einträge würde ich gerne fixen.

Logfile of HijackThis v1.99.0
Scan saved at 21:00:31, on 08.02.2005
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\Explorer.EXE
C:\DOKUME~1\Scharrer\LOKALE~1\Temp\Temporäres Verzeichnis 4 für Hijack This.zip\HijackThis.exe

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Bar = res://C:\DOKUME~1\Scharrer\LOKALE~1\Temp\se.dll/sp.html
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = about:blank
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = about:blank
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Bar = res://C:\DOKUME~1\Scharrer\LOKALE~1\Temp\se.dll/sp.html
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = about:blank
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = about:blank
R1 - HKCU\Software\Microsoft\Internet Explorer\Search,SearchAssistant = about:blank
R0 - HKLM\Software\Microsoft\Internet Explorer\Search,SearchAssistant = about:blank
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,HomeOldSP = about:blank
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,HomeOldSP = about:blank
O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Programme\Adobe\Acrobat 5.0\Reader\ActiveX\AcroIEHelper.ocx
O2 - BHO: (no name) - {0E042EA3-6978-407C-8AD7-D0823A3183C1} - C:\WINDOWS\system32\ookpdg.dll
O2 - BHO: Google Toolbar Helper - {AA58ED58-01DD-4d91-8333-CF10577473F7} - c:\programme\google\googletoolbar1.dll
O3 - Toolbar: &Google - {2318C2B1-4965-11d4-9B18-009027A5CD4F} - c:\programme\google\googletoolbar1.dll
O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE NvQTwk,NvCplDaemon initialize
O4 - HKLM\..\Run: [nwiz] nwiz.exe /install
O4 - HKLM\..\Run: [CeEPOWER] C:\Programme\TOSHIBA\Power Management\CePMTray.exe
O4 - HKLM\..\Run: [CPLBTS88] C:\PROGRA~1\EzButton\CPLBTS88.EXE
O4 - HKLM\..\Run: [CeEKEY] C:\Programme\TOSHIBA\E-KEY\CeEKey.exe
O4 - HKLM\..\Run: [Apoint] C:\Programme\Apoint2K\Apoint.exe
O4 - HKLM\..\Run: [TPNF] C:\Programme\TOSHIBA\TouchPad\TPTray.exe
O4 - HKLM\..\Run: [Microsoft Works Update Detection] C:\Programme\Gemeinsame Dateien\Microsoft Shared\Works Shared\WkUFind.exe
O4 - HKLM\..\Run: [ezShieldProtector for Px] C:\WINDOWS\System32\ezSP_Px.exe
O4 - HKLM\..\Run: [EM_EXEC] C:\PROGRA~1\Logitech\MOUSEW~1\SYSTEM\EM_EXEC.EXE
O4 - HKLM\..\Run: [WinFaxAppPortStarter] wfxsnt40.exe
O4 - HKLM\..\Run: [TkBellExe] "C:\Programme\Gemeinsame Dateien\Real\Update_OB\realsched.exe" -osboot
O4 - HKLM\..\Run: [QuickTime Task] "C:\Programme\QuickTime\qttask.exe" -atboottime
O4 - HKLM\..\Run: [DataLayer] C:\Programme\Nokia\Nokia PC Suite 5\DataLayer.exe
O4 - HKLM\..\Run: [Nokia Tray Application] C:\Programme\Gemeinsame Dateien\Nokia\NCLTools\NclTray.exe
O4 - HKLM\..\Run: [gcasServ] "C:\Programme\Microsoft AntiSpyware\gcasServ.exe"
O4 - HKLM\..\Run: [AVGCtrl] C:\Programme\AVPersonal\AVGNT.EXE /min
O4 - HKCU\..\Run: [NVIEW] rundll32.exe nview.dll,nViewLoadHook
O4 - Global Startup: WEB.DE SmartSurfer2.3a.lnk = C:\Programme\WEBDE\SmartSurfer2.31\SmartSurfer.exe
O8 - Extra context menu item: &Google Search - res://c:\programme\google\GoogleToolbar1.dll/cmsearch.html
O8 - Extra context menu item: Im Cache gespeicherte Seite - res://c:\programme\google\GoogleToolbar1.dll/cmcache.html
O8 - Extra context menu item: Nach Microsoft &Excel exportieren - res://C:\PROGRA~1\MICROS~4\Office10\EXCEL.EXE/3000
O8 - Extra context menu item: Verweisseiten - res://c:\programme\google\GoogleToolbar1.dll/cmbacklinks.html
O8 - Extra context menu item: Ähnliche Seiten - res://c:\programme\google\GoogleToolbar1.dll/cmsimilar.html
O9 - Extra button: Real.com - {CD67F990-D8E9-11d2-98FE-00C0F0318AFE} - C:\WINDOWS\System32\Shdocvw.dll
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe
O15 - Trusted Zone: http://*.windowsupdate.microsoft.com
O15 - Trusted Zone: http://*.windowsupdate.com
O18 - Filter: text/html - {70A4FCF2-58C2-4180-93D9-5416E3CF4739} - C:\WINDOWS\system32\ookpdg.dll
O18 - Filter: text/plain - {70A4FCF2-58C2-4180-93D9-5416E3CF4739} - C:\WINDOWS\system32\ookpdg.dll
O23 - Service: AntiVir Service - H+BEDV Datentechnik GmbH - C:\Programme\AVPersonal\AVGUARD.EXE
O23 - Service: AntiVir Update - H+BEDV Datentechnik GmbH, Germany - C:\Programme\AVPersonal\AVWUPSRV.EXE
O23 - Service: BrSplService - brother Industries Ltd - C:\WINDOWS\System32\brsvc01a.exe
O23 - Service: NVIDIA Driver Helper Service - NVIDIA Corporation - C:\WINDOWS\System32\nvsvc32.exe
O23 - Service: WinFax PRO - Symantec Corporation - C:\WINDOWS\System32\WFXSVC.EXE

Zusätzlich habe ich nun auch folgenden Eintrag, den ich fixen möchte:

O4 - HKLM\..\Run: [sp] rundll32 C:\DOKUME~1\Scharrer\LOKALE~1\Temp\se.dll,DllInstall


@chaosman
habe eScan zwar heruntergeladen, habe es aber nicht geschaft, ihn so im pc abzulegen, wie du es beschrieben hast. Dies scheint aber wohl notwendig zu sein. Zu Beginn des Downloadprozesses konnte ich nicht den Speicherort der Datei auswählen.

hier deshalb nur kurz die nach dem scan angezeigte virus log information:

File C:\WINDOWS\system32\instsrv.exe tagged as not-a-virus:RiskWare.Tool.ServiceRunner.f. No Action Taken.


Beunruhigend finde ich auch, dass AntiVir mir ständig Meldungen wie diese anzeigt, selbst wenn ich offline bin:

C:\DOKUME~1\SCHARRER\LOKALE~1\TEMP\SE.DLL
Ist das Trojanische Pferd TR/StartPage.qr.DLL

gruß octopus

Zu Beginn des Downloadprozesses konnte ich nicht den Speicherort der Datei auswählen.

In welches Verzeichnis du die mwav.exe abspeicherst, ist erstmal völlig egal. Danach solltest du aber so fortfahren wie in der Anleitung beschrieben und dann funktioniert es auch.

Mit Hilfe von Winzip, Winrar oder einem vergleichbaren Packprogramm muss der Inhalt der mwav.exe per Rechtsklick auf die Datei in das Verzeichniss c:\bases entpackt werden. Damit das Aktualisieren funktioniert, muss zwingend dieser Pfad verwendet werden! Nach dem Entpacken ist die Datei kavupd.exe bei einer bestehenden Internetverbindung per Doppelklick auszuführen. In einer DOS-Box laufend werden die neusten Virensignaturen heruntergeladen. So braucht man eScan nicht bei jedem Update komplett herunterladen.

Hallo Octopus.

fixen allein reicht nicht.
Du musst die Dateien auch manuell löschen.
Temporäre Dateien sind am schnellsten mit clearprog zu löschen.
Häckchen bei alles löschen und dann auf löschen klicken.
Escan kann man vor dem Entpacken per Rechtsklick den Speicherplatz zuweisen.

dartus

ok,
werde morgen eScan entsprechend den Anweisungen herunterladen und laufen lassen.

Frage: Kann ich die von mir unten rot markierten Einträge löschen?
Hijackthis.de erkennt nur

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Bar = res://C:\DOKUME~1\Scharrer\LOKALE~1\Temp\se.dll/sp.html

als böse an. Würde auch gerne diesen neuen Eintrag löschen:

O4 - HKLM\..\Run: [sp] rundll32 C:\DOKUME~1\Scharrer\LOKALE~1\Temp\se.dll,DllInsta ll

@dartus
Zitat: fixen allein reicht nicht.Du musst die Dateien auch manuell löschen

wie lösche ich z.B. die oben zuletzt stehende Datei manuell?

Octopus

O4 - HKLM\..\Run: [sp] rundll32 C:\DOKUME~1\Scharrer\LOKALE~1\Temp\se.dll,DllInsta ll

Ist in deinem Log-File nich ersichtlich. Wenn vorhanden dann fixen.

wie lösche ich z.B. die oben zuletzt stehende Datei manuell?

Win Taste+F1 -> "Dateien löschen" eingeben -> lesen
Sollte aber im abgesicherten Modus ausgeführt werden.

hallo, leider kein erfolg beim kampf gegen den hijacker,

habe nun endlich eScan entsprechend Euren Anweisungen installiert und upgedated. Konnte nach einer Suche im abgesicherten modus tatsächlich noch viel entfernen. Das virus information log seht ihr unten. Habe davon im abgesicherten modus alles gelöscht, was zu finden war, und bis auf die dateien von AV Personal, da ich dachte, dass diese von meinem virenscanner sind.

leider kommt der browser hijacker immer wieder. kaum im internet warnt mich MS Antispyware, dass meine Start Page URL geändert werden soll.

bin jetzt fast verzweifelt bzw. weiß nicht weiter. Denke, alles versucht zu haben was hier beschrieben wird.

Gruß Octopus



File C:\WINDOWS\system32\mpckdaa.dll infected by "Trojan.Win32.StartPage.qr" Virus. Action Taken: No Action Taken.
File C:\WINDOWS\system32\ekcac.dll infected by "Trojan.Win32.StartPage.ux" Virus. Action Taken: No Action Taken.
File C:\WINDOWS\system32\dblgl.dll infected by "Trojan.Win32.StartPage.ix" Virus. Action Taken: No Action Taken.
File C:\WINDOWS\system32\lotagodu.dll infected by "Trojan-Spy.Win32.Briss.n" Virus. Action Taken: No Action Taken.
File C:\WINDOWS\system32\instsrv.exe tagged as not-a-virus:RiskWare.Tool.ServiceRunner.f. No Action Taken.
File C:\DOKUME~1\Scharrer\LOKALE~1\TEMPOR~1\Content.IE5\7UKVRLGH\mstasks1[1].txt infected by "Trojan-Downloader.Win32.Small.agy" Virus. Action Taken: No Action Taken.
File C:\DOKUME~1\Scharrer\LOKALE~1\TEMPOR~1\Content.IE5\KX6RGHUJ\mstasks1[1].txt infected by "Trojan-Downloader.Win32.Small.agy" Virus. Action Taken: No Action Taken.
File C:\WINDOWS\system32\mpckdaa.dll infected by "Trojan.Win32.StartPage.qr" Virus. Action Taken: No Action Taken.
File C:\WINDOWS\system32\ekcac.dll infected by "Trojan.Win32.StartPage.ux" Virus. Action Taken: No Action Taken.
File C:\WINDOWS\system32\dblgl.dll infected by "Trojan.Win32.StartPage.ix" Virus. Action Taken: No Action Taken.
File C:\WINDOWS\system32\lotagodu.dll infected by "Trojan-Spy.Win32.Briss.n" Virus. Action Taken: No Action Taken.
File C:\WINDOWS\system32\instsrv.exe tagged as not-a-virus:RiskWare.Tool.ServiceRunner.f. No Action Taken.
File C:\Dokumente und Einstellungen\Scharrer\Lokale Einstellungen\Temporary Internet Files\Content.IE5\7UKVRLGH\mstasks1[1].txt infected by "Trojan-Downloader.Win32.Small.agy" Virus. Action Taken: No Action Taken.
File C:\Dokumente und Einstellungen\Scharrer\Lokale Einstellungen\Temporary Internet Files\Content.IE5\KX6RGHUJ\mstasks1[1].txt infected by "Trojan-Downloader.Win32.Small.agy" Virus. Action Taken: No Action Taken.
File C:\Dokumente und Einstellungen\Scharrer\Desktop\hijackthis_199\backups\backup-20050220-114908-526.dll infected by "Trojan.Win32.StartPage.ix" Virus. Action Taken: No Action Taken.
File C:\Programme\AVPersonal\INFECTED\FFCNEMFR.EXE.VIR infected by "not-a-virus:AdWare.Gator.a" Virus. Action Taken: No Action Taken.
File C:\Programme\AVPersonal\INFECTED\SQCLELQPT.EXE.VIR infected by "not-a-virus:AdWare.Gator.a" Virus. Action Taken: No Action Taken.
File C:\Programme\AVPersonal\INFECTED\FFCNEMFR.EXE.001 infected by "not-a-virus:AdWare.Gator.a" Virus. Action Taken: No Action Taken.
File C:\Programme\AVPersonal\INFECTED\SQCLELQPT.EXE.001 infected by "not-a-virus:AdWare.Gator.a" Virus. Action Taken: No Action Taken.
File C:\Programme\AVPersonal\INFECTED\FFCNEMFR.EXE.002 infected by "not-a-virus:AdWare.Gator.a" Virus. Action Taken: No Action Taken.
File C:\Programme\AVPersonal\INFECTED\SQCLELQPT.EXE.002 infected by "not-a-virus:AdWare.Gator.a" Virus. Action Taken: No Action Taken.
File C:\Programme\AVPersonal\INFECTED\M[1].BIN.VIR infected by "Trojan.Win32.StartPage.ix" Virus. Action Taken: No Action Taken.
File C:\Programme\AVPersonal\INFECTED\CGMDJ.DLL.VIR infected by "Trojan.Win32.StartPage.ix" Virus. Action Taken: No Action Taken.
File C:\Programme\AVPersonal\INFECTED\FFCNEMFR.EXE.003 infected by "not-a-virus:AdWare.Gator.a" Virus. Action Taken: No Action Taken.
File C:\Programme\AVPersonal\INFECTED\SQCLELQPT.EXE.003 infected by "not-a-virus:AdWare.Gator.a" Virus. Action Taken: No Action Taken.
File C:\Programme\AVPersonal\INFECTED\SQCLELQPT.EXE.004 infected by "not-a-virus:AdWare.Gator.a" Virus. Action Taken: No Action Taken.
File C:\Programme\AVPersonal\INFECTED\M[1].BIN.001 infected by "Trojan.Win32.StartPage.ix" Virus. Action Taken: No Action Taken.
File C:\Programme\AVPersonal\INFECTED\PNDPABG.DLL.VIR infected by "Trojan.Win32.StartPage.ix" Virus. Action Taken: No Action Taken.
File C:\Programme\AVPersonal\INFECTED\FFCNEMFR.EXE.004 infected by "not-a-virus:AdWare.Gator.a" Virus. Action Taken: No Action Taken.
File C:\Programme\AVPersonal\INFECTED\SQCLELQPT.EXE.005 infected by "not-a-virus:AdWare.Gator.a" Virus. Action Taken: No Action Taken.
File C:\Programme\AVPersonal\INFECTED\M[1].BIN.002 infected by "Trojan.Win32.StartPage.ix" Virus. Action Taken: No Action Taken.
File C:\Programme\AVPersonal\INFECTED\MFNKBF.DLL.VIR infected by "Trojan.Win32.StartPage.ix" Virus. Action Taken: No Action Taken.
File C:\Programme\AVPersonal\INFECTED\FFCNEMFR.EXE.005 infected by "not-a-virus:AdWare.Gator.a" Virus. Action Taken: No Action Taken.
File C:\Programme\AVPersonal\INFECTED\SQCLELQPT.EXE.006 infected by "not-a-virus:AdWare.Gator.a" Virus. Action Taken: No Action Taken.
File C:\Programme\AVPersonal\INFECTED\FFCNEMFR.EXE.006 infected by "not-a-virus:AdWare.Gator.a" Virus. Action Taken: No Action Taken.
File C:\Programme\AVPersonal\INFECTED\SQCLELQPT.EXE.007 infected by "not-a-virus:AdWare.Gator.a" Virus. Action Taken: No Action Taken.
File C:\Programme\AVPersonal\INFECTED\DUMMY[1].CLASS.VIR infected by "Trojan.Java.ClassLoader.Dummy.d" Virus. Action Taken: No Action Taken.
File C:\Programme\AVPersonal\INFECTED\VERIFIERBUG[1].CLASS.VIR infected by "Exploit.Java.Bytverify" Virus. Action Taken: No Action Taken.
File C:\Programme\AVPersonal\INFECTED\SQCLELQPT.EXE.008 infected by "not-a-virus:AdWare.Gator.a" Virus. Action Taken: No Action Taken.
File C:\Programme\AVPersonal\INFECTED\FFCNEMFR.EXE.007 infected by "not-a-virus:AdWare.Gator.a" Virus. Action Taken: No Action Taken.
File C:\Programme\AVPersonal\INFECTED\SQCLELQPT.EXE.009 infected by "not-a-virus:AdWare.Gator.a" Virus. Action Taken: No Action Taken.
File C:\Programme\AVPersonal\INFECTED\FFCNEMFR.EXE.008 infected by "not-a-virus:AdWare.Gator.a" Virus. Action Taken: No Action Taken.
File C:\Programme\AVPersonal\INFECTED\SQCLELQPT.EXE.010 infected by "not-a-virus:AdWare.Gator.a" Virus. Action Taken: No Action Taken.
File C:\Programme\AVPersonal\INFECTED\PROMPT[1].HTM.VIR infected by "Trojan-Downloader.JS.IstBar.b" Virus. Action Taken: No Action Taken.
File C:\Programme\AVPersonal\INFECTED\FFCNEMFR.EXE.009 infected by "not-a-virus:AdWare.Gator.a" Virus. Action Taken: No Action Taken.
File C:\Programme\AVPersonal\INFECTED\SQCLELQPT.EXE.011 infected by "not-a-virus:AdWare.Gator.a" Virus. Action Taken: No Action Taken.
File C:\Programme\AVPersonal\INFECTED\FFCNEMFR.EXE.010 infected by "not-a-virus:AdWare.Gator.a" Virus. Action Taken: No Action Taken.
File C:\Programme\AVPersonal\INFECTED\SQCLELQPT.EXE.012 infected by "not-a-virus:AdWare.Gator.a" Virus. Action Taken: No Action Taken.
File C:\Programme\AVPersonal\INFECTED\FFCNEMFR.EXE.011 infected by "not-a-virus:AdWare.Gator.a" Virus. Action Taken: No Action Taken.
File C:\Programme\AVPersonal\INFECTED\PARSER[1].CLASS.VIR infected by "Trojan.Java.ClassLoader.d" Virus. Action Taken: No Action Taken.
File C:\Recycled\Dc1\backups\backup-20050220-114908-526.dll infected by "Trojan.Win32.StartPage.ix" Virus. Action Taken: No Action Taken.
File C:\Recycled\Dc2.zip infected by "Trojan.Win32.StartPage.ix" Virus. Action Taken: No Action Taken.
File C:\avpx.exe infected by "Trojan.Win32.Dialer.fh" Virus. Action Taken: No Action Taken.

bitte um Hilfe,

bitte die untenstehende mavlog datei auswerten. Kann alle schädlichen Dateien entfernen, bekomme den Hijacker im Internet aber sofort wieder.
Soll ich die dateien löschen, die unter C:\Programme\AVPersonal\INFECTED\ stehen?
Danke

hallo

Neben dem ergnis von eScan unten hier zusätzlich mein aktuelles HijackThis log. die rot markierten einträge habe ich bereits mehrfach im abgesicherten modus gelöscht. es hilft einfach nichts, sie kommen wieder.

Hat jemand ne Idee?

Logfile of HijackThis v1.99.1
Scan saved at 13:19:35, on 26.02.2005
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\Explorer.EXE
C:\Programme\Microsoft AntiSpyware\gcasDtServ.exe
C:\Programme\Microsoft AntiSpyware\gcasServ.exe
C:\WINDOWS\system32\rundll32.exe
C:\Dokumente und Einstellungen\Scharrer\Desktop\hijackthis_199\HijackThis.exe

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Bar = res://C:\DOKUME~1\Scharrer\LOKALE~1\Temp\se.dll/sp.html
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = about:blank
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.my.yahoo.com
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Bar = res://C:\DOKUME~1\Scharrer\LOKALE~1\Temp\se.dll/sp.html
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = about:blank
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = about:blank
R1 - HKCU\Software\Microsoft\Internet Explorer\Search,SearchAssistant = about:blank
R0 - HKLM\Software\Microsoft\Internet Explorer\Search,SearchAssistant = about:blank
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,HomeOldSP = about:blank
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,HomeOldSP = about:blank
O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Programme\Adobe\Acrobat 5.0\Reader\ActiveX\AcroIEHelper.ocx
O2 - BHO: (no name) - {AA0ADEB3-7E99-4A56-BD9D-B4297AFD39B2} - C:\WINDOWS\system32\lbpeka.dll
O2 - BHO: Google Toolbar Helper - {AA58ED58-01DD-4d91-8333-CF10577473F7} - c:\programme\google\googletoolbar1.dll
O3 - Toolbar: &Google - {2318C2B1-4965-11d4-9B18-009027A5CD4F} - c:\programme\google\googletoolbar1.dll
O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE NvQTwk,NvCplDaemon initialize
O4 - HKLM\..\Run: [nwiz] nwiz.exe /install
O4 - HKLM\..\Run: [CeEPOWER] C:\Programme\TOSHIBA\Power Management\CePMTray.exe
O4 - HKLM\..\Run: [CPLBTS88] C:\PROGRA~1\EzButton\CPLBTS88.EXE
O4 - HKLM\..\Run: [CeEKEY] C:\Programme\TOSHIBA\E-KEY\CeEKey.exe
O4 - HKLM\..\Run: [Apoint] C:\Programme\Apoint2K\Apoint.exe
O4 - HKLM\..\Run: [TPNF] C:\Programme\TOSHIBA\TouchPad\TPTray.exe
O4 - HKLM\..\Run: [Microsoft Works Update Detection] C:\Programme\Gemeinsame Dateien\Microsoft Shared\Works Shared\WkUFind.exe
O4 - HKLM\..\Run: [ezShieldProtector for Px] C:\WINDOWS\System32\ezSP_Px.exe
O4 - HKLM\..\Run: [EM_EXEC] C:\PROGRA~1\Logitech\MOUSEW~1\SYSTEM\EM_EXEC.EXE
O4 - HKLM\..\Run: [WinFaxAppPortStarter] wfxsnt40.exe
O4 - HKLM\..\Run: [TkBellExe] "C:\Programme\Gemeinsame Dateien\Real\Update_OB\realsched.exe" -osboot
O4 - HKLM\..\Run: [QuickTime Task] "C:\Programme\QuickTime\qttask.exe" -atboottime
O4 - HKLM\..\Run: [gcasServ] "C:\Programme\Microsoft AntiSpyware\gcasServ.exe"
O4 - HKLM\..\Run: [AVGCtrl] C:\Programme\AVPersonal\AVGNT.EXE /min
O4 - HKLM\..\Run: [sp] rundll32 C:\DOKUME~1\Scharrer\LOKALE~1\Temp\se.dll,DllInstall
O4 - HKCU\..\Run: [NVIEW] rundll32.exe nview.dll,nViewLoadHook
O4 - Global Startup: WEB.DE SmartSurfer2.3a.lnk = C:\Programme\WEBDE\SmartSurfer2.31\SmartSurfer.exe
O8 - Extra context menu item: &Google Search - res://c:\programme\google\GoogleToolbar1.dll/cmsearch.html
O8 - Extra context menu item: Im Cache gespeicherte Seite - res://c:\programme\google\GoogleToolbar1.dll/cmcache.html
O8 - Extra context menu item: Nach Microsoft &Excel exportieren - res://C:\PROGRA~1\MICROS~4\Office10\EXCEL.EXE/3000
O8 - Extra context menu item: Verweisseiten - res://c:\programme\google\GoogleToolbar1.dll/cmbacklinks.html
O8 - Extra context menu item: Ähnliche Seiten - res://c:\programme\google\GoogleToolbar1.dll/cmsimilar.html
O9 - Extra button: Real.com - {CD67F990-D8E9-11d2-98FE-00C0F0318AFE} - C:\WINDOWS\System32\Shdocvw.dll
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe
O15 - Trusted Zone: http://*.windowsupdate.microsoft.com
O15 - Trusted Zone: http://*.windowsupdate.com
O16 - DPF: {EE8B6D5F-FEF2-11D0-B13F-00A024798EF3} (Microsoft Search Settings Control) - http://lg.home.microsoft.com/search/...chsettings.cab
O18 - Filter: text/html - {56AF91B9-A85A-4397-8929-10E39BBB57C5} - C:\WINDOWS\system32\lbpeka.dll
O18 - Filter: text/plain - {56AF91B9-A85A-4397-8929-10E39BBB57C5} - C:\WINDOWS\system32\lbpeka.dll
O23 - Service: AntiVir Service (AntiVirService) - H+BEDV Datentechnik GmbH - C:\Programme\AVPersonal\AVGUARD.EXE
O23 - Service: AntiVir Update (AVWUpSrv) - H+BEDV Datentechnik GmbH, Germany - C:\Programme\AVPersonal\AVWUPSRV.EXE
O23 - Service: BrSplService (Brother XP spl Service) - brother Industries Ltd - C:\WINDOWS\System32\brsvc01a.exe
O23 - Service: NVIDIA Driver Helper Service (NVSvc) - NVIDIA Corporation - C:\WINDOWS\System32\nvsvc32.exe
O23 - Service: WinFax PRO (wfxsvc) - Symantec Corporation - C:\WINDOWS\System32\WFXSVC.EXE

keine sorge wegen instsrv, die ist kein rootkit sondern das tool instsrv, dass programme also normale dinge wie office shortcutleiste zu einem systemdienst machen kann. also ein "als dienst starten" programm.

-gehe in den abgesicherten modus
-fixe mit HijackThis diese einträge:
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Bar = res://C:\DOKUME~1\Scharrer\LOKALE~1\Temp\se.dll/sp.html
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Bar = res://C:\DOKUME~1\Scharrer\LOKALE~1\Temp\se.dll/sp.html
O2 - BHO: (no name) - {AA0ADEB3-7E99-4A56-BD9D-B4297AFD39B2} - C:\WINDOWS\system32\lbpeka.dll
O4 - HKLM\..\Run: [sp] rundll32 C:\DOKUME~1\Scharrer\LOKALE~1\Temp\se.dll,DllInsta ll
O18 - Filter: text/html - {56AF91B9-A85A-4397-8929-10E39BBB57C5} - C:\WINDOWS\system32\lbpeka.dll
O18 - Filter: text/plain - {56AF91B9-A85A-4397-8929-10E39BBB57C5} - C:\WINDOWS\system32\lbpeka.dll

-lösche die dateien lbpeka.dll, mpckdaa.dll, ekcac.dll, dblgl.dll, lotagodu.dll und instsrv.exe im ordner C:\WINDOWS\system32\
-leere den quarantäneordner von norton antivirus
-leere den papierkorb
-speichere die datei avpx.exe im ordner c:\ auf eine diskette zwecks beweissicherung und lösche sie dann auf der festplatte
-lade dir clearprog runter,installiere es
-gehe wieder in den abgesicherten modus
-starte clearprog, setze haken bei "alles löschen" klicke auf löschen
-normaler modus, neues HJT Logfile