hallo erstmal an alle.
da ich schoen oefter beim googlen auf diese seite hier gestossen bin, habe ich mich nun auchmal hier registriert und bringe gleich ein hartnaeckiges problem mit.

heute morgen habe ich eine seite im internet angewaehlt, die mir einen haessliches browserhijacker installiert hat, den ich nicht mehr weg bekomme.
ich hab es schon mit etlichster software, wie Ad-Aware SE Personal, Spybot - Search & Destroy, Microsoft AntiSpyware, Hijackthis und dem CW-Shredder probiert. leider ALLES ohne erfolg. selbst das von hand loeschen aus der registry (HKLM/Software/Autoloader + HKLM/Software/Microsoft/InternetExplorer/AutoURL) half nix.
mein browser wird nun immer wieder umgeleitet. hierhin:

--> http://69.20.62.53/dns.php?url=www.trojaner-board.de <--

vielleicht hat jemand eine idee, wie ich dieses zeug raus bekomme und den BHO gleich mit. hier mein hijack.log:

Logfile of HijackThis v1.99.0
Scan saved at 14:27:23, on 06.02.2005
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\Ati2evxx.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\rundll32.exe
C:\WINDOWS\system32\Ati2evxx.exe
C:\WINDOWS\Explorer.EXE
C:\WINDOWS\system32\ZoneLabs\vsmon.exe
C:\WINDOWS\system32\CTHELPER.EXE
C:\Programme\Zone Labs\ZoneAlarm\zlclient.exe
C:\WINDOWS\System32\svchost.exe
D:\NEU\sicherheit\antispy etc\hijackthis\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.unf-unf.de/
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Local Page =
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Local Page =
O1 - Hosts: 69.20.16.183 auto.search.msn.com
O1 - Hosts: 69.20.16.183 search.netscape.com
O1 - Hosts: 69.20.16.183 ieautosearch
O2 - BHO: (no name) - {F8A41687-4671-93F3-B27D-C8D3638165DA} - (no file)
O4 - HKLM\..\Run: [AtiPTA] atiptaxx.exe
O4 - HKLM\..\Run: [Jet Detection] C:\Programme\Creative\SBLive\PROGRAM\ADGJDet.exe
O4 - HKLM\..\Run: [WINDVDPatch] CTHELPER.EXE
O4 - HKLM\..\Run: [Zone Labs Client] "C:\Programme\Zone Labs\ZoneAlarm\zlclient.exe"
O8 - Extra context menu item: Alles mit FDM herunterladen - file://C:\Programme\Download Manager\dlall.htm
O8 - Extra context menu item: Auswahl mit FDM herunterladen - file://C:\Programme\Download Manager\dlselected.htm
O8 - Extra context menu item: Mit FDM herunterladen - file://C:\Programme\Download Manager\dllink.htm
O8 - Extra context menu item: Webseiten mit FDM herunterladen - file://C:\Programme\Download Manager\dlpage.htm
O9 - Extra button: ICQ - {6224f700-cba3-4071-b251-47cb894244cd} - C:\Programme\ICQ\ICQ.exe
O9 - Extra 'Tools' menuitem: ICQ - {6224f700-cba3-4071-b251-47cb894244cd} - C:\Programme\ICQ\ICQ.exe
O23 - Service: Ati HotKey Poller - ATI Technologies Inc. - C:\WINDOWS\system32\Ati2evxx.exe
O23 - Service: TrueVector Internet Monitor - Zone Labs Inc. - C:\WINDOWS\system32\ZoneLabs\vsmon.exe



bitte melden, wenn weitere infos benoetigt werden (spybot-suchergebnis o.ä.).


P.S. Ich gelobe feilerlich an dieser Stelle nach der Lösung dieses Problemes, mich um einen Alternativbrowser zu kuemmern.


Update: Problem ebenfall beim installieren von firefox.

Hallo,

lade DllCompare.
Doppelklick auf DllCompare.exe -> Run locate.com -> wenn der Scan erfolgt ist "Compare" klicken -> wenn auch dieser Scan fertig ist "Make a Log of what was found" klicken -> Inhalt des Logs posten

ich habe noch einen nachtrag.

wenn ich ad aware se drueberlaufen lasse, findet der staendig andere *.dll dateien im system32-ordner, die infiziert seien:

z.B. :
VX2 Object Recognized!
Type : Process
Data : enj8l11u1.dll
Category : Malware
Comment : (CSI MATCH)
Object : C:\WINDOWS\system32\


Warning! VX2 Object found in memory(C:\WINDOWS\system32\enj8l11u1.dll)

oder:

VX2 Object Recognized!
Type : Process
Data : qgery.dll
Category : Malware
Comment : (CSI MATCH)
Object : C:\WINDOWS\system32\


Warning! VX2 Object found in memory(C:\WINDOWS\system32\qgery.dll).

zudem habe ich noch folgenden eintrag im ad aware-log:

Warning!
Bad Hosts file entry:69.20.16.183:auto.search.msn.com


Redirected hostfile entry Object Recognized!
Type : Hosts file
Data : 69.20.16.183
Category : Misc
Comment : Possible CoolWebSearch Hijack
Bad Hostfile entry : 69.20.16.183:auto.search.msn.com
Warning!
Bad Hosts file entry:69.20.16.183:search.netscape.com


Redirected hostfile entry Object Recognized!
Type : Hosts file
Data : 69.20.16.183
Category : Misc
Comment : Possible CoolWebSearch Hijack
Bad Hostfile entry : 69.20.16.183:search.netscape.com
Warning!
Bad Hosts file entry:69.20.16.183:ieautosearch


Redirected hostfile entry Object Recognized!
Type : Hosts file
Data : 69.20.16.183
Category : Misc
Comment : Possible CoolWebSearch Hijack
Bad Hostfile entry : 69.20.16.183:ieautosearch



ich habe bereits versucht, alles in der hosts zu loeschen. zudem habe ich schon im abgesicherten-modus HijackThis und cw-shredder, spybot, ad aware durchlaufen lassen.
cw-shredder findet im abgesicherten modus garnix, hijackthis findet dieses autosearchzeug ebenfalls nicht.


B I T T E helft mir. ich sitze bereits seid 6:00uhr heute morgen am rechner und versuche den sch*** runter zu schmeissen.


danke im vorraus.

gruß aSh.

* DLLCompare Log version(1.0.0.127)
Files Found that Windows does not See or cannot Access
*Not everything listed here means you are infected!
________________________________________________

C:\WINDOWS\SYSTEM32\g8jo0i~1.dll Sun 6 Feb 2005 12:47:34 ..S.R 229.187 223,81 K
C:\WINDOWS\SYSTEM32\h64mlg~1.dll Sun 6 Feb 2005 7:56:18 ..S.R 230.882 225,47 K
C:\WINDOWS\SYSTEM32\l44q0e~1.dll Sun 6 Feb 2005 8:29:24 ..S.R 231.179 225,76 K
C:\WINDOWS\SYSTEM32\nrad.dll Wed 22 Dec 2004 23:24:22 A.S.. 180.224 176,00 K
C:\WINDOWS\SYSTEM32\oem.dll Tue 7 Dec 2004 3:02:02 A.S.. 53.248 52,00 K
C:\WINDOWS\SYSTEM32\rad.dll Wed 22 Dec 2004 23:24:52 A.S.. 442.368 432,00 K
C:\WINDOWS\SYSTEM32\radclkr.dll Wed 22 Dec 2004 23:25:10 A.S.. 118.784 116,00 K
C:\WINDOWS\SYSTEM32\raddeu.dll Sun 28 Nov 2004 0:05:44 A.S.. 61.440 60,00 K
C:\WINDOWS\SYSTEM32\radenu.dll Tue 7 Dec 2004 3:28:32 A.S.. 61.440 60,00 K
C:\WINDOWS\SYSTEM32\radesp.dll Tue 7 Dec 2004 3:29:02 A.S.. 61.440 60,00 K
C:\WINDOWS\SYSTEM32\radexe.dll Wed 22 Dec 2004 23:26:06 A.S.. 212.992 208,00 K
C:\WINDOWS\SYSTEM32\radfra.dll Tue 7 Dec 2004 3:30:48 A.S.. 65.536 64,00 K
C:\WINDOWS\SYSTEM32\radhun.dll Tue 7 Dec 2004 3:33:02 A.S.. 61.440 60,00 K
C:\WINDOWS\SYSTEM32\radita.dll Tue 7 Dec 2004 3:33:24 A.S.. 65.536 64,00 K
C:\WINDOWS\SYSTEM32\radmnu.dll Wed 22 Dec 2004 23:26:30 A.S.. 528.384 516,00 K
C:\WINDOWS\SYSTEM32\radnlb.dll Tue 7 Dec 2004 3:35:10 A.S.. 61.440 60,00 K
C:\WINDOWS\SYSTEM32\radplk.dll Sun 19 Dec 2004 19:52:48 A.S.. 61.440 60,00 K
C:\WINDOWS\SYSTEM32\radregs.dll Wed 22 Dec 2004 23:26:56 A.S.. 65.536 64,00 K
C:\WINDOWS\SYSTEM32\radtype.dll Wed 22 Dec 2004 23:27:36 A.S.. 163.909 160,07 K
C:\WINDOWS\SYSTEM32\ujtfs.dll Sun 6 Feb 2005 8:29:26 ..S.R 230.635 225,23 K
________________________________________________

1.320 items found: 1.320 files (20 H/S), 0 directories.
Total of file sizes: 282.788.428 bytes 269,69 M

Administrator Account = True

--------------------End log---------------------


das kommt davon

keine ahnung, warum jetze der letzte post ganz oben steht...

langsam bin ich total verwirrt.

hier nochmal. mal sehen, ob es jetzt dort ist, wo es hin soll:

* DLLCompare Log version(1.0.0.127)
Files Found that Windows does not See or cannot Access
*Not everything listed here means you are infected!
________________________________________________

C:\WINDOWS\SYSTEM32\g8jo0i~1.dll Sun 6 Feb 2005 12:47:34 ..S.R 229.187 223,81 K
C:\WINDOWS\SYSTEM32\h64mlg~1.dll Sun 6 Feb 2005 7:56:18 ..S.R 230.882 225,47 K
C:\WINDOWS\SYSTEM32\l44q0e~1.dll Sun 6 Feb 2005 8:29:24 ..S.R 231.179 225,76 K
C:\WINDOWS\SYSTEM32\nrad.dll Wed 22 Dec 2004 23:24:22 A.S.. 180.224 176,00 K
C:\WINDOWS\SYSTEM32\oem.dll Tue 7 Dec 2004 3:02:02 A.S.. 53.248 52,00 K
C:\WINDOWS\SYSTEM32\rad.dll Wed 22 Dec 2004 23:24:52 A.S.. 442.368 432,00 K
C:\WINDOWS\SYSTEM32\radclkr.dll Wed 22 Dec 2004 23:25:10 A.S.. 118.784 116,00 K
C:\WINDOWS\SYSTEM32\raddeu.dll Sun 28 Nov 2004 0:05:44 A.S.. 61.440 60,00 K
C:\WINDOWS\SYSTEM32\radenu.dll Tue 7 Dec 2004 3:28:32 A.S.. 61.440 60,00 K
C:\WINDOWS\SYSTEM32\radesp.dll Tue 7 Dec 2004 3:29:02 A.S.. 61.440 60,00 K
C:\WINDOWS\SYSTEM32\radexe.dll Wed 22 Dec 2004 23:26:06 A.S.. 212.992 208,00 K
C:\WINDOWS\SYSTEM32\radfra.dll Tue 7 Dec 2004 3:30:48 A.S.. 65.536 64,00 K
C:\WINDOWS\SYSTEM32\radhun.dll Tue 7 Dec 2004 3:33:02 A.S.. 61.440 60,00 K
C:\WINDOWS\SYSTEM32\radita.dll Tue 7 Dec 2004 3:33:24 A.S.. 65.536 64,00 K
C:\WINDOWS\SYSTEM32\radmnu.dll Wed 22 Dec 2004 23:26:30 A.S.. 528.384 516,00 K
C:\WINDOWS\SYSTEM32\radnlb.dll Tue 7 Dec 2004 3:35:10 A.S.. 61.440 60,00 K
C:\WINDOWS\SYSTEM32\radplk.dll Sun 19 Dec 2004 19:52:48 A.S.. 61.440 60,00 K
C:\WINDOWS\SYSTEM32\radregs.dll Wed 22 Dec 2004 23:26:56 A.S.. 65.536 64,00 K
C:\WINDOWS\SYSTEM32\radtype.dll Wed 22 Dec 2004 23:27:36 A.S.. 163.909 160,07 K
C:\WINDOWS\SYSTEM32\ujtfs.dll Sun 6 Feb 2005 8:29:26 ..S.R 230.635 225,23 K
________________________________________________

1.320 items found: 1.320 files (20 H/S), 0 directories.
Total of file sizes: 282.788.428 bytes 269,69 M

Administrator Account = True

--------------------End log---------------------

Lösche nun alle in dem Log genannten Dateien mit Hilfe von KillBox (Option "Use Dummy" anhaken und Pfad kopieren, danach löschen).

Danach nochmal ein aktuelles Dll Compare Log-File posten.

sry fuer die dumme frage, aber muss ich die files ALLE EINZELN incl. reboot loeschen oder gibt es eine moeglichkeit die in einem aufwasch zu loeschen??

zudem wollte ich fragen, ob wirklich klar ist, dass es an den im log geposteten dateien liegt. ich habe naemlich eine radeon9800 pro von ati und deren dateien sind ebenfalls alle mit rad betitelt (zudem haeufig gleiches installationsdatum). davon sind sehr viele mit im log enthalten.

zudem werden von ad aware dateien wie qgery.dll und enj8l11u1.dll als boesartig erkannt. es sind aber jedoch bei jedem scan andere dateinamen.

Gut mitgedacht aShm.

Du brauchst nur diese Dateien zu löschen:
C:\WINDOWS\SYSTEM32\g8jo0i~1.dll
C:\WINDOWS\SYSTEM32\h64mlg~1.dll
C:\WINDOWS\SYSTEM32\l44q0e~1.dll
C:\WINDOWS\SYSTEM32\ujtfs.dll

Die kannst du alle in einem Aufwasch löschen, dann erstellst du nochmals das Log und postest es.

cidre, wie kann ich alle in einem aufwasch loeschen?? und was meinst du mit pfad kopieren??

Du kopierst jede einzelne Datei, z.B. C:\WINDOWS\SYSTEM32\g8jo0i~1.dll = Pfad der Datei und fügst diese bei KillBox ein und klickst auf das rote X.
Danach Yes und danach No anklicken.

Edit:
Zusätzlich die Option "Replace on reboot" anhaken.

ok, wird prompt gemacht .

muss mich beeilen mit schreiben, weil der browser (mittlerweile firefox) immer wieder auf die genannte seite entfuehrt wird.

update:

ein auszug aus dem escan-log:

- Sun Feb 06 15:37:44 2005 => File C:\WINDOWS\system32\nvtman.dll infected by "not-a-virus:AdWare.Look2Me.u" Virus. Action Taken: No Action Taken.

- Sun Feb 06 15:38:05 2005 => File C:\WINDOWS\system32\eedcbhgo5.exe infected by "Trojan-Downloader.Win32.Agent.gn" Virus. Action Taken: No Action Taken.

- Sun Feb 06 15:38:06 2005 => File C:\WINDOWS\system32\drivers\zcyxbkeh.sys infected by "Trojan.Win32.Agent.aw" Virus. Action Taken: No Action Taken.

- Sun Feb 06 15:38:36 2005 => File C:\WINDOWS\system32\cp.exe infected by "Trojan-Downloader.Win32.Agent.ic" Virus. Action Taken: No Action Taken.

- Sun Feb 06 15:38:54 2005 => File C:\WINDOWS\system32\ffInst.exe infected by "not-a-virus:AdWare.Look2Me.r" Virus. Action Taken: No Action Taken.

- Sun Feb 06 15:38:57 2005 => File C:\WINDOWS\system32\h64mlgh1164.dll infected by "not-a-virus:AdWare.Look2Me.u" Virus. Action Taken: No Action Taken.

- Sun Feb 06 15:39:09 2005 => File C:\WINDOWS\system32\KILLAPPS.EXE tagged as not-a-virus:RiskWare.Tool.KillApp.b. No Action Taken.

- Sun Feb 06 15:39:09 2005 => File C:\WINDOWS\system32\l44q0eh5eh4.dll infected by "not-a-virus:AdWare.Look2Me.u" Virus. Action Taken: No Action Taken.

- Sun Feb 06 15:39:32 2005 => File C:\WINDOWS\system32\nvtman.dll infected by "not-a-virus:AdWare.Look2Me.u" Virus. Action Taken: No Action Taken.

- Sun Feb 06 15:40:01 2005 => File C:\WINDOWS\system32\ujtfs.dll infected by "not-a-virus:AdWare.Look2Me.u" Virus. Action Taken: No Action Taken.


soweit.

die genannten dateien solltest du nun im abgesicherten modus löschen.

hier das neue log von dllcompare:

* DLLCompare Log version(1.0.0.127)
Files Found that Windows does not See or cannot Access
*Not everything listed here means you are infected!
________________________________________________

C:\WINDOWS\SYSTEM32\lvr009~1.dll Sun 6 Feb 2005 16:08:30 ..S.R 229.658 224,27 K
C:\WINDOWS\SYSTEM32\m2julc~1.dll Sun 6 Feb 2005 16:27:32 ..S.R 229.559 224,18 K
C:\WINDOWS\SYSTEM32\mbhcp.dll Sun 6 Feb 2005 16:28:10 ..S.R 229.658 224,27 K
C:\WINDOWS\SYSTEM32\nrad.dll Wed 22 Dec 2004 23:24:22 A.S.. 180.224 176,00 K
C:\WINDOWS\SYSTEM32\oem.dll Tue 7 Dec 2004 3:02:02 A.S.. 53.248 52,00 K
C:\WINDOWS\SYSTEM32\rad.dll Wed 22 Dec 2004 23:24:52 A.S.. 442.368 432,00 K
C:\WINDOWS\SYSTEM32\radclkr.dll Wed 22 Dec 2004 23:25:10 A.S.. 118.784 116,00 K
C:\WINDOWS\SYSTEM32\raddeu.dll Sun 28 Nov 2004 0:05:44 A.S.. 61.440 60,00 K
C:\WINDOWS\SYSTEM32\radenu.dll Tue 7 Dec 2004 3:28:32 A.S.. 61.440 60,00 K
C:\WINDOWS\SYSTEM32\radesp.dll Tue 7 Dec 2004 3:29:02 A.S.. 61.440 60,00 K
C:\WINDOWS\SYSTEM32\radexe.dll Wed 22 Dec 2004 23:26:06 A.S.. 212.992 208,00 K
C:\WINDOWS\SYSTEM32\radfra.dll Tue 7 Dec 2004 3:30:48 A.S.. 65.536 64,00 K
C:\WINDOWS\SYSTEM32\radhun.dll Tue 7 Dec 2004 3:33:02 A.S.. 61.440 60,00 K
C:\WINDOWS\SYSTEM32\radita.dll Tue 7 Dec 2004 3:33:24 A.S.. 65.536 64,00 K
C:\WINDOWS\SYSTEM32\radmnu.dll Wed 22 Dec 2004 23:26:30 A.S.. 528.384 516,00 K
C:\WINDOWS\SYSTEM32\radnlb.dll Tue 7 Dec 2004 3:35:10 A.S.. 61.440 60,00 K
C:\WINDOWS\SYSTEM32\radplk.dll Sun 19 Dec 2004 19:52:48 A.S.. 61.440 60,00 K
C:\WINDOWS\SYSTEM32\radregs.dll Wed 22 Dec 2004 23:26:56 A.S.. 65.536 64,00 K
C:\WINDOWS\SYSTEM32\radtype.dll Wed 22 Dec 2004 23:27:36 A.S.. 163.909 160,07 K
________________________________________________

1.322 items found: 1.322 files (19 H/S), 0 directories.
Total of file sizes: 283.246.305 bytes 270,12 M

Administrator Account = True

--------------------End log---------------------

man is das ne verzwickte sache. zudem hab ich das gefuehl, es werden immer mehr oder andere dateien.

gruß der gepeinigte aSh

Versuchs noch einmal aber mit der Option "Delete on Reboot".

Lösche diese:
C:\WINDOWS\SYSTEM32\lvr009~1.dll
C:\WINDOWS\SYSTEM32\m2julc~1.dll
C:\WINDOWS\SYSTEM32\mbhcp.dll

Führe dann einen Neustart deines Systems aus und poste nochmal das Log.

btw:
Die von eScan AntiVirus beanstandeten Dateien hast du schon gelöscht, oder?

re,

habe nun folgende dateien in die killbox eingegeben:
C:\WINDOWS\SYSTEM32\lvr009~1.dll
C:\WINDOWS\SYSTEM32\m2julc~1.dll
C:\WINDOWS\SYSTEM32\mbhcp.dll
und habe neu gestartet (gleich in den abgesicherten modus)

habe dann, nachdem keine dieser geloescht wurde alle :
C:\WINDOWS\SYSTEM32\g8jo0i~1.dll
C:\WINDOWS\system32\h64mlgh1164.dll
C:\WINDOWS\SYSTEM32\l44q0e~1.dll
C:\WINDOWS\SYSTEM32\ujtfs.dll
C:\WINDOWS\system32\nvtman.dll
C:\WINDOWS\system32\KILLAPPS.EXE
C:\WINDOWS\SYSTEM32\m2julc~1.dll
C:\WINDOWS\SYSTEM32\lvr009~1.dll
C:\WINDOWS\system32\cp.exe
C:\WINDOWS\system32\eedcbhgo5.exe
C:\WINDOWS\system32\ffInst.exe

von hand geloescht, die gingen.
C:\WINDOWS\SYSTEM32\mbhcp.dll diese datei liess sich nicht loeschen, da sie wohl noch benutzt wird. jedoch nach erneutem neustart in den abgesicherten modus war sie weg.
C:\WINDOWS\system32\drivers\zcyxbkeh.sys diese datei gab es garnicht.

so, nun habe ich wieder im normalen modus gestartet.
jedoch meldete sich beim neustart ein fehler : es sei eine C:\Windows\System32\uci***.dll fuer UMonitor fehlerhaft oder sowas.

bisher wurde mein browser noch nicht entfuehrt.

muss ich jetzt noch etwas machen, oder bin ich den mist jetzt los??


ich werde nochmals hijack und ad aware und spybot fix durchjagen.

bis gleich

der aSh