Hi All!

AntiVir meldet mir jedes mal wenn ich den IE6 starte, dass ich den TR/Lefeat.dll1 drauf hab. Löschen bringt nichts, da sich der Dateiname jedesmal ändert. Außerdem bekomm ich so'n PopUp wo drin steht: **WARNING!
Windows detected spy software "sspmyDoom.cih" ver 2.018. Somebody is trying to access you through port 245. Your private information is in danger.

Click "OK" for information on how to remove this spy software. **

Hier mein HiJack This Log:

Logfile of HijackThis v1.99.0
Scan saved at 23:02:20, on 11.02.2005
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\spoolsv.exe
C:\WINDOWS\System32\Ati2evxx.exe
C:\Programme\Gemeinsame Dateien\Microsoft Shared\VS7DEBUG\MDM.EXE
C:\WINDOWS\system32\msxn32.exe
C:\WINDOWS\system32\atiptaxx.exe
C:\WINDOWS\LTSMMSG.exe
C:\WINDOWS\ipag.exe
C:\Programme\SpeedswitchXP\SpeedswitchXP.exe
C:\WINDOWS\explorer.exe
C:\Programme\Network Associates\Common Framework\FrameworkService.exe
C:\Programme\Network Associates\Common Framework\UpdaterUI.exe
C:\Programme\Network Associates\VirusScan\VsTskMgr.exe
C:\Programme\Network Associates\VirusScan\Mcshield.exe
C:\Programme\Network Associates\VirusScan\shstat.exe
C:\Programme\Internet Explorer\iexplore.exe
C:\Dokumente und Einstellungen\%user%\Desktop\hijackthis\HijackThis.exe

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Bar = res://C:\WINDOWS\rsumk.dll/sp.html#44768
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = res://C:\WINDOWS\rsumk.dll/sp.html#44768
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = about:blank
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = res://C:\WINDOWS\rsumk.dll/sp.html#44768
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Bar = res://C:\WINDOWS\rsumk.dll/sp.html#44768
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = res://C:\WINDOWS\rsumk.dll/sp.html#44768
R1 - HKCU\Software\Microsoft\Internet Explorer\Search,SearchAssistant = res://C:\WINDOWS\rsumk.dll/sp.html#44768
R0 - HKLM\Software\Microsoft\Internet Explorer\Search,SearchAssistant = res://C:\WINDOWS\rsumk.dll/sp.html#44768
R1 - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings,ProxyServer = 192.168.100.101:8080
R3 - Default URLSearchHook is missing
O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Programme\Adobe\Acrobat 7.0\ActiveX\AcroIEHelper.dll
O2 - BHO: (no name) - {15E2E41C-150E-DE06-1B0B-17338DEDCF17} - C:\WINDOWS\ipxa32.dll
O4 - HKLM\..\Run: [ATIModeChange] Ati2mdxx.exe
O4 - HKLM\..\Run: [AtiPTA] atiptaxx.exe
O4 - HKLM\..\Run: [LTSMMSG] LTSMMSG.exe
O4 - HKLM\..\Run: [ipag.exe] C:\WINDOWS\ipag.exe
O4 - HKLM\..\Run: [ShStatEXE] "C:\Programme\Network Associates\VirusScan\SHSTAT.EXE" /STANDALONE
O4 - HKLM\..\Run: [McAfeeUpdaterUI] "C:\Programme\Network Associates\Common Framework\UpdaterUI.exe"
O4 - HKCU\..\Run: [SpeedswitchXP] C:\Programme\SpeedswitchXP\SpeedswitchXP.exe
O4 - HKCU\..\Run: [WallPaper] C:\PROGRA~1\WALLPA~1.90\WALLPA~1.EXE /h
O8 - Extra context menu item: Nach Microsoft &Excel exportieren - res://C:\PROGRA~1\MICROS~2\OFFICE11\EXCEL.EXE/3000
O9 - Extra button: Recherchieren - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - C:\PROGRA~1\MICROS~2\OFFICE11\REFIEBAR.DLL
O9 - Extra button: ICQ 4.1 - {B863453A-26C3-4e1f-A54D-A2CD196348E9} - C:\Programme\ICQLite\ICQLite.exe
O9 - Extra 'Tools' menuitem: ICQ Lite - {B863453A-26C3-4e1f-A54D-A2CD196348E9} - C:\Programme\ICQLite\ICQLite.exe
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\MSMSGS.EXE
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\MSMSGS.EXE
O15 - Trusted Zone: http://www.proticket.de
O15 - Trusted Zone: http://www.proticket.net
O15 - Trusted Zone: http://www.proticket.org
O23 - Service: Ati HotKey Poller - Unknown - C:\WINDOWS\System32\Ati2evxx.exe
O23 - Service: McAfee Framework Service - Network Associates, Inc. - C:\Programme\Network Associates\Common Framework\FrameworkService.exe
O23 - Service: Network Associates McShield - Network Associates, Inc. - C:\Programme\Network Associates\VirusScan\Mcshield.exe
O23 - Service: Network Associates Task Manager - Network Associates, Inc. - C:\Programme\Network Associates\VirusScan\VsTskMgr.exe
O23 - Service: Network Security Service - Unknown - C:\WINDOWS\system32\msxn32.exe

Bitte helft mir, ich brauch doch mein Laptop

Gruß Marcel

@Marcel...

fixe mit HijackThis sämtliche R1 - Einträge, dazu R 0 und R 3...

O4 - HKLM\..\Run: [ipag.exe] C:\WINDOWS\ipag.exe bitte mit

http://virusscan.jotti.org/

prüfen und dann schicke ein neues hjt-logfile....

lg


Tom59

Hat sich erledigt, habe WinXP neu aufgespielt

Trotzdem danke!

aber dann doch hoffentlich diese Anleitung nach der installation durchgeführt oder?
wenn nein - schnellstens nachholen (es kann jetzt schon zu spät sein..)

Hallo,
ich habe mir auch diesen schönen Trojaner eingefangen. Leider kriege ich den Rechner nicht im abgesicherten Modus hoch. Ich arbeite zwar mit dem PC, kann euer Fachchinesich aber leider nicht immer ganz verstehen. Gibt es auch eine Anleitung für Leute wie mich?
Würde mich freuen, eine Antwort zubekommen, danke.
Tom59, du hast am Ende deiner letzten Mail geschrieben : alles wird gut! Ich hoffe es.

@Ralf...

...sorry für die späte Antwort...

auch für dich gilt, ein aktuelles

http://www.trojaner-board.de/51130-a...ijackthis.html zu posten, damit eine Aussage zu deinem Systemzustand getroffen werden kann...

lg


Tom59