| |
| |||||||
Log-Analyse und Auswertung: Was mache ich falsch oder übersehe ich ???Windows 7 Wenn Du Dir einen Trojaner eingefangen hast oder ständig Viren Warnungen bekommst, kannst Du hier die Logs unserer Diagnose Tools zwecks Auswertung durch unsere Experten posten. Um Viren und Trojaner entfernen zu können, muss das infizierte System zuerst untersucht werden: Erste Schritte zur Hilfe. Beachte dass ein infiziertes System nicht vertrauenswürdig ist und bis zur vollständigen Entfernung der Malware nicht verwendet werden sollte.XML. |
20.02.2005, 19:11
| #1 |
 |  Was mache ich falsch oder übersehe ich ??? Hallo zusammen, ich habe mir vor 2 Tagen einen ziemlich hartnäckigen Hijacker eingefangen und versuche seitdem mit bescheidenen Mitteln vergeblich, ihn zu entfernen, da ich nun wirklich kein Experte auf diesem Gebiet bin. Kurzzeitig erreiche ich mein Ziel zwar, aber nach einiger Zeit ist er immer wieder da. Folgende Schritte führe ich hierzu immer aus, aber anscheinend reicht das nicht, irgendwie scheine ich noch etwas zu vergessen oder besser gesagt nicht zu wissen. Vielleicht kann mir hier ja jemand weiterhelfen. Also nachdem das Problem auftritt und ich einen HijackThis-Log erstellt habe starte ich den PC im abgesicherten Modus und fixe die Beiträge R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Bar = res://C:\WINDOWS\TEMP\se.dll/sp.html R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = about:blank R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Bar = res://C:\WINDOWS\TEMP\se.dll/sp.html R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = about:blank R1 - HKCU\Software\Microsoft\Internet Explorer\Search,SearchAssistant = about:blank R0 - HKLM\Software\Microsoft\Internet Explorer\Search,SearchAssistant = about:blank R1 - HKCU\Software\Microsoft\Internet Explorer\Main,HomeOldSP = about:blank R1 - HKLM\Software\Microsoft\Internet Explorer\Main,HomeOldSP = about:blank O2 - BHO: (no name) - {967898A2-836D-11D9-BB30-0030CBA264EF} - C:\WINDOWS\SYSTEM\EICLBA.DLL O4 - HKLM\..\Run: [sp] rundll32 C:\WINDOWS\TEMP\SE.DLL,DllInstall O18 - Filter: text/html - {967898A1-836D-11D9-BB30-00303B70FA98} - C:\WINDOWS\SYSTEM\EICLBA.DLL O18 - Filter: text/plain - {967898A1-836D-11D9-BB30-00303B70FA98} - C:\WINDOWS\SYSTEM\EICLBA.DLL Anschließend lösche ich die Dateien C:\WINDOWS\TEMP\SE.DLL und C:\WINDOWS\SYSTEM\EICLBA.DLL (diese heißt jedes Mal anders) ebenfalls im abgesicherten Modus und entferne noch folgende Einträge aus der Registry: HKLM-Software-Microsoft-Internet Explorer- Main – Search Bar HKLM-Software-Microsoft-Internet Explorer- Main – Search Page HKLM-Software-Microsoft-Internet Explorer- Main – Home Old SP sowie HKCU-Software-Microsoft-Internet Explorer- Main – Search Bar HKCU-Software-Microsoft-Internet Explorer- Main – Search Page HKCU-Software-Microsoft-Internet Explorer- Main – Home Old SP und gebe bei StartPage meine gewünschte Startseite ein. Wie gesagt, das funktioniert für eine gewisse Zeit, aber dann ist das Problem wieder da. Kann mir jemand sagen, was ich noch tun muß? Hier mal mein letzter HijackThis-Log: Logfile of HijackThis v1.99.0 Scan saved at 18:42:56, on 20.02.05 Platform: Windows 98 SE (Win9x 4.10.2222A) MSIE: Internet Explorer v6.00 SP1 (6.00.2800.1106) Running processes: C:\WINDOWS\SYSTEM\KERNEL32.DLL C:\WINDOWS\SYSTEM\MSGSRV32.EXE C:\WINDOWS\SYSTEM\MPREXE.EXE C:\WINDOWS\SYSTEM\mmtask.tsk C:\WINDOWS\EXPLORER.EXE C:\EIGENE DATEIEN 2\CFOS TREIBER\CFOSDW.EXE C:\WINDOWS\SYSTEM\ATITASK.EXE C:\WINDOWS\SYSTEM\ATICWD32.EXE C:\WINDOWS\SYSTEM\STIMON.EXE C:\WINDOWS\SYSTEM\TAPISRV.EXE C:\WINDOWS\RUNDLL32.EXE C:\EIGENE DATEIEN 2\AKILLER\ADVERTISING KILLER\AKILLER.EXE C:\EIGENE DATEIEN 2\T- DSL\T- DSL SPEED MANAGER\SPEEDMGR.EXE C:\PROGRAMME\SCANNER CANON N670U\EREG\REMIND32.EXE C:\EIGENE DATEIEN 2\T-EUMEX 504 PC SE\ANWENDERSOFTWARE UPDATE\CAPICTRL.EXE C:\PROGRAMME\ANALOG DEVICES\TELEDAT 300 USB TREIBER\DSLMON.EXE C:\WINDOWS\SYSTEM\RNAAPP.EXE C:\EIGENE DATEIEN 2\ANTIVIRENPROGRAMME\HIJACK THIS\HIJACKTHIS_199\HIJACKTHIS.EXE R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Bar = res://C:\WINDOWS\TEMP\se.dll/sp.html R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = about:blank R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Bar = res://C:\WINDOWS\TEMP\se.dll/sp.html R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = about:blank R1 - HKCU\Software\Microsoft\Internet Explorer\Search,SearchAssistant = about:blank R0 - HKLM\Software\Microsoft\Internet Explorer\Search,SearchAssistant = about:blank R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page_bak = http://www.freenet.de/ R1 - HKCU\Software\Microsoft\Internet Explorer\Main,HomeOldSP = about:blank R1 - HKLM\Software\Microsoft\Internet Explorer\Main,HomeOldSP = about:blank R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Window Title = Microsoft Internet Explorer von CompuServe F1 - win.ini: run=C:\EIGENE~2\CFOSTR~1\CFOSDW.EXE O2 - BHO: (no name) - {967898A2-836D-11D9-BB30-0030CBA264EF} - C:\WINDOWS\SYSTEM\EICLBA.DLL O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINDOWS\SYSTEM\MSDXM.OCX O4 - HKLM\..\Run: [Atikey] Atitask.exe O4 - HKLM\..\Run: [AtiCwd32] Aticwd32.exe O4 - HKLM\..\Run: [StillImageMonitor] C:\WINDOWS\SYSTEM\STIMON.EXE O4 - HKLM\..\Run: [LWBKEYBOARD] C:\Eigene Dateien 2\Funkmaus-Tastatur Software\Setup Tastatur\KbdAp32A.exe O4 - HKLM\..\Run: [LWBMOUSE] C:\Eigene Dateien 2\Funkmaus-Tastatur Software\Setup Maus\MOUSE32A.EXE O4 - HKLM\..\Run: [LoadPowerProfile] Rundll32.exe powrprof.dll,LoadCurrentPwrScheme O4 - HKLM\..\Run: [AVGCtrl] C:\EIGENE DATEIEN 2\ANTIVIRENPROGRAMME\ANTIVIR\AVGCTRL.EXE /min O4 - HKLM\..\Run: [sp] rundll32 C:\WINDOWS\TEMP\SE.DLL,DllInstall O4 - HKLM\..\RunServices: [LoadPowerProfile] Rundll32.exe powrprof.dll,LoadCurrentPwrScheme O4 - HKCU\..\Run: [AKiller] "C:\EIGENE DATEIEN 2\AKILLER\ADVERTISING KILLER\AKILLER.EXE" O4 - HKCU\..\Run: [cFos - Tip of the Day] C:\Eigene Dateien 2\cFos Treiber\SETUP.EXE -tipoftheday 0 -type16 O4 - HKCU\..\Run: [SpyKiller] C:\Eigene Dateien 2\Antivirenprogramme\SpyKiller2004\SpyKiller\spykiller.exe /startup O4 - Startup: Speedmgr.lnk = C:\Eigene Dateien 2\T- DSL\T- DSL Speed Manager\SPEEDMGR.EXE O4 - Startup: reminder-ScanSoft Produkt Registrierung.lnk = C:\Programme\Scanner Canon N670U\EREG\REMIND32.EXE O4 - Startup: CAPI Control.lnk = C:\Eigene Dateien 2\T-Eumex 504 PC SE\Anwendersoftware Update\Capictrl.exe O4 - Startup: DSLMON.lnk = C:\Programme\Analog Devices\Teledat 300 USB Treiber\DSLMON.exe O16 - DPF: {D27CDB6E-AE6D-11CF-96B8-444553540000} (Shockwave Flash Object) - https://download.macromedia.com/pub/...sh/swflash.cab O16 - DPF: {27FA5271-12D2-43E3-9424-365A43236EE7} (PIXACO upload plugin) - http://express.bilderservice.de/stat...dropupload.cab O18 - Filter: text/html - {967898A1-836D-11D9-BB30-00303B70FA98} - C:\WINDOWS\SYSTEM\EICLBA.DLL O18 - Filter: text/plain - {967898A1-836D-11D9-BB30-00303B70FA98} - C:\WINDOWS\SYSTEM\EICLBA.DLL CW Shredder, Ad-Aware und SpybotSD haben leider nichts geholfen. Ich bin wirklich für jede Hilfe dankbar. |
| Themen zu Was mache ich falsch oder übersehe ich ??? |
| .exe, abgesicherten modus, ad-aware, bho, canon, dateien, dsl, entfernen, explorer, hijack this, immer wieder, internet, internet explorer, logfile, microsoft, object, problem, programme, registry, rundll, rundll32, scan, shockwave, software, system, temp, treiber, usb, windows, windows\temp |
Baum-Darstellung