TR/StartPage.qr.DLL Ich werd noch wahnsinnig

DerFabi · 15.03.2005, 19:43

Habe mir was eingefangen...

Und so heißt es: TR/StartPage.qr.DLL

Habe einige AntiSpy und Virenprogramm laufen lassen und bekomme meinen Rechner nicht sauber.

Habe schon den hijackthis. exe verwendet und komme zu keinem Ergebniss...

Hilft dieser log vielleicht etwas???

Logfile of HijackThis v1.99.1
Scan saved at 19:43:13, on 15.03.2005
Platform: Windows XP (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 (6.00.2600.0000)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\spoolsv.exe
D:\Application\AntiVir\AVGUARD.EXE
D:\Application\AntiVir\AVWUPSRV.EXE
C:\WINDOWS\System32\nvsvc32.exe
C:\WINDOWS\Explorer.EXE
C:\WINDOWS\System32\CTHELPER.EXE
C:\Programme\Logitech\MouseWare\system\em_exec.exe
C:\Programme\Gemeinsame Dateien\Real\Update_OB\realsched.exe
C:\Programme\Java\j2re1.4.2_01\bin\jusched.exe
C:\Programme\Winamp\winampa.exe
D:\Application\AntiVir\AVGNT.EXE
C:\WINDOWS\System32\ctfmon.exe
C:\WINDOWS\twain_32\CIS600X\WATCH.exe
C:\Programme\Internet Explorer\IEXPLORE.EXE
C:\Dokumente und Einstellungen\Fabian\Desktop\Viren\HijackThis.exe

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Bar = res://C:\DOKUME~1\Fabian\LOKALE~1\Temp\se.dll/sp.html
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = about:blank
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Bar = res://C:\DOKUME~1\Fabian\LOKALE~1\Temp\se.dll/sp.html
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = about:blank
R1 - HKCU\Software\Microsoft\Internet Explorer\Search,SearchAssistant = about:blank
R0 - HKLM\Software\Microsoft\Internet Explorer\Search,SearchAssistant = about:blank
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,HomeOldSP = about:blank
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,HomeOldSP = about:blank
O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Programme\Adobe\Acrobat 5.0\Reader\ActiveX\AcroIEHelper.ocx
O2 - BHO: Popup Manager - {08E74C67-99A6-45C7-94DA-A397A8FD8082} - C:\Programme\Popup Manager\PopupMgr_1.0.1.5.dll
O2 - BHO: (no name) - {53707962-6F74-2D53-2644-206D7942484F} - C:\PROGRA~1\SPYBOT~1\SDHelper.dll
O2 - BHO: (no name) - {5B747C96-601E-4F46-96B9-78508B417F51} - C:\WINDOWS\System32\bmbo.dll
O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINDOWS\System32\msdxm.ocx
O4 - HKLM\..\Run: [Logitech Utility] Logi_MwX.Exe
O4 - HKLM\..\Run: [WINDVDPatch] CTHELPER.EXE
O4 - HKLM\..\Run: [UpdReg] C:\WINDOWS\UpdReg.EXE
O4 - HKLM\..\Run: [Jet Detection] C:\Programme\Creative\SBLive\PROGRAM\ADGJDet.exe
O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\System32\NvCpl.dll,NvStartup
O4 - HKLM\..\Run: [nwiz] nwiz.exe /install
O4 - HKLM\..\Run: [QuickTime Task] "C:\Programme\QuickTime\qttask.exe" -atboottime
O4 - HKLM\..\Run: [KernelFaultCheck] %systemroot%\system32\dumprep 0 -k
O4 - HKLM\..\Run: [TkBellExe] "C:\Programme\Gemeinsame Dateien\Real\Update_OB\realsched.exe" -osboot
O4 - HKLM\..\Run: [SunJavaUpdateSched] C:\Programme\Java\j2re1.4.2_01\bin\jusched.exe
O4 - HKLM\..\Run: [WinampAgent] C:\Programme\Winamp\winampa.exe
O4 - HKLM\..\Run: [qphbjfrl] C:\WINDOWS\System32\jyqisqi.exe
O4 - HKLM\..\Run: [AVGCtrl] D:\Application\AntiVir\AVGNT.EXE /min
O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\ctfmon.exe
O4 - Startup: Watch.lnk = C:\WINDOWS\twain_32\CIS600X\WATCH.exe
O4 - Global Startup: Adobe Gamma Loader.exe.lnk = C:\Programme\Gemeinsame Dateien\Adobe\Calibration\Adobe Gamma Loader.exe
O4 - Global Startup: Microsoft Office.lnk = C:\Programme\Microsoft Office2000\Office\OSA9.EXE
O8 - Extra context menu item: Nach Microsoft &Excel exportieren - res://C:\PROGRA~1\MICROS~2\Office10\EXCEL.EXE/3000
O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programme\Java\j2re1.4.2_01\bin\npjpi142_01.dll
O9 - Extra 'Tools' menuitem: Sun Java Konsole - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programme\Java\j2re1.4.2_01\bin\npjpi142_01.dll
O9 - Extra button: ICQ - {6224f700-cba3-4071-b251-47cb894244cd} - C:\Programme\ICQ\ICQ.exe
O9 - Extra 'Tools' menuitem: ICQ - {6224f700-cba3-4071-b251-47cb894244cd} - C:\Programme\ICQ\ICQ.exe
O15 - Trusted Zone: *.registration.sonystyle-europe.com (HKLM)
O18 - Filter: text/html - {64E5EC4F-BDD1-4D07-92BB-7D7BFDA0E71C} - C:\WINDOWS\System32\bmbo.dll
O18 - Filter: text/plain - {64E5EC4F-BDD1-4D07-92BB-7D7BFDA0E71C} - C:\WINDOWS\System32\bmbo.dll
O23 - Service: AntiVir Service (AntiVirService) - H+BEDV Datentechnik GmbH - D:\Application\AntiVir\AVGUARD.EXE
O23 - Service: AntiVir Update (AVWUpSrv) - H+BEDV Datentechnik GmbH, Germany - D:\Application\AntiVir\AVWUPSRV.EXE
O23 - Service: Creative NVIDIA Driver Helper Service (NVSvc) - NVIDIA Corporation - C:\WINDOWS\System32\nvsvc32.exe

Lutz · 15.03.2005, 19:46

Hallo Fabi,

bevor Du wahnsinnig wirst, schau Dir mal dieses Tool an... -> http://www.trojaner-info.de/anleitun...out_blank.html

DerFabi · 15.03.2005, 19:55

Wau...

die festgesetzte Internetseite ist nicht mehr da und keine Fehlermeldung mehr...

War's das schon?!

Lutz · 15.03.2005, 20:00

ist zwischendurch ein Reboot erfolgt?
Dann sollte es das gewesen sein, ja.

Der Cleaner erstellt eine Log Datei namens SPSeHjFix.log. Poste mal dessen Inhalt. Und auch zur Kontrolle noch mal ein neu erstelltes Log von HijackThis.

DerFabi · 15.03.2005, 20:03

Der SPSeHjFix.log:

15.03.2005 19:51:13 SPSeHjFix started v1.07
15.03.2005 19:51:13 OS: WinXP (5.1.2600)
15.03.2005 19:51:13 Bad-Dll(IEP): se.dll
15.03.2005 19:51:13 Searchassistant Unintaller found
15.03.2005 19:51:13 Searchassistant Unintaller - Keys Deleted
15.03.2005 19:51:13 UBF: 6
15.03.2005 19:51:13 UBB: 3
15.03.2005 19:51:13 FilterKey: HKEY_CLASSES_ROOT\text/html (deleted)
15.03.2005 19:51:13 FilterKey: HKEY_LOCAL_MACHINE\SOFTWARE\Classes\text/html (error while deleting)
15.03.2005 19:51:13 FilterKey: HKEY_CLASSES_ROOT\CLSID\{64E5EC4F-BDD1-4D07-92BB-7D7BFDA0E71C} (deleted)
15.03.2005 19:51:13 FilterKey: HKEY_CLASSES_ROOT\text/plain (deleted)
15.03.2005 19:51:13 FilterKey: HKEY_LOCAL_MACHINE\SOFTWARE\Classes\text/plain (error while deleting)
15.03.2005 19:51:13 FilterKey: HKEY_CLASSES_ROOT\CLSID\{64E5EC4F-BDD1-4D07-92BB-7D7BFDA0E71C} (error while deleting)
15.03.2005 19:51:13 UBR: 14
15.03.2005 19:51:13 Bad IE-pages:
deleted: HKCU\Software\Microsoft\Internet Explorer\Main, Search Bar: res://C:\DOKUME~1\Fabian\LOKALE~1\Temp\se.dll/sp.html
deleted: HKCU\Software\Microsoft\Internet Explorer\Main, Search Page: about:blank
deleted: HKCU\Software\Microsoft\Internet Explorer\Main, Start Page: about:blank
deleted: HKCU\Software\Microsoft\Internet Explorer\Main, HomeOldSP: about:blank
deleted: HKCU\Software\Microsoft\Internet Explorer\Search, SearchAssistant: about:blank
deleted: HKLM\Software\Microsoft\Internet Explorer\Main, Search Bar: res://C:\DOKUME~1\Fabian\LOKALE~1\Temp\se.dll/sp.html
deleted: HKLM\Software\Microsoft\Internet Explorer\Main, Search Page: about:blank
deleted: HKLM\Software\Microsoft\Internet Explorer\Main, Start Page: about:blank
deleted: HKLM\Software\Microsoft\Internet Explorer\Main, HomeOldSP: about:blank
deleted: HKLM\Software\Microsoft\Internet Explorer\Search, SearchAssistant: about:blank
15.03.2005 19:51:13 File added to delete: c:\windows\system32\bmbo.dll
15.03.2005 19:51:13 Reboot

Und der hjiackthis.log:

Logfile of HijackThis v1.99.1
Scan saved at 20:03:30, on 15.03.2005
Platform: Windows XP (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 (6.00.2600.0000)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\spoolsv.exe
D:\Application\AntiVir\AVGUARD.EXE
D:\Application\AntiVir\AVWUPSRV.EXE
C:\WINDOWS\System32\nvsvc32.exe
C:\WINDOWS\Explorer.EXE
C:\WINDOWS\System32\CTHELPER.EXE
C:\Programme\Logitech\MouseWare\system\em_exec.exe
C:\Programme\Gemeinsame Dateien\Real\Update_OB\realsched.exe
C:\Programme\Java\j2re1.4.2_01\bin\jusched.exe
C:\Programme\Winamp\winampa.exe
D:\Application\AntiVir\AVGNT.EXE
C:\WINDOWS\System32\ctfmon.exe
C:\WINDOWS\twain_32\CIS600X\WATCH.exe
C:\Programme\Internet Explorer\IEXPLORE.EXE
C:\Programme\Internet Explorer\IEXPLORE.EXE
C:\Dokumente und Einstellungen\Fabian\Desktop\Viren\HijackThis.exe

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Bar = res://C:\DOKUME~1\Fabian\LOKALE~1\Temp\se.dll/sp.html
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = about:blank
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = file:///d:/PC-Daten/Umleitung.htm
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Bar = res://C:\DOKUME~1\Fabian\LOKALE~1\Temp\se.dll/sp.html
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = about:blank
R1 - HKCU\Software\Microsoft\Internet Explorer\Search,SearchAssistant = about:blank
R0 - HKLM\Software\Microsoft\Internet Explorer\Search,SearchAssistant = about:blank
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,HomeOldSP = about:blank
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,HomeOldSP = about:blank
O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Programme\Adobe\Acrobat 5.0\Reader\ActiveX\AcroIEHelper.ocx
O2 - BHO: Popup Manager - {08E74C67-99A6-45C7-94DA-A397A8FD8082} - C:\Programme\Popup Manager\PopupMgr_1.0.1.5.dll
O2 - BHO: (no name) - {53707962-6F74-2D53-2644-206D7942484F} - C:\PROGRA~1\SPYBOT~1\SDHelper.dll
O2 - BHO: (no name) - {5B747C96-601E-4F46-96B9-78508B417F51} - C:\WINDOWS\System32\bmbo.dll (file missing)
O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINDOWS\System32\msdxm.ocx
O4 - HKLM\..\Run: [Logitech Utility] Logi_MwX.Exe
O4 - HKLM\..\Run: [WINDVDPatch] CTHELPER.EXE
O4 - HKLM\..\Run: [UpdReg] C:\WINDOWS\UpdReg.EXE
O4 - HKLM\..\Run: [Jet Detection] C:\Programme\Creative\SBLive\PROGRAM\ADGJDet.exe
O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\System32\NvCpl.dll,NvStartup
O4 - HKLM\..\Run: [nwiz] nwiz.exe /install
O4 - HKLM\..\Run: [QuickTime Task] "C:\Programme\QuickTime\qttask.exe" -atboottime
O4 - HKLM\..\Run: [KernelFaultCheck] %systemroot%\system32\dumprep 0 -k
O4 - HKLM\..\Run: [TkBellExe] "C:\Programme\Gemeinsame Dateien\Real\Update_OB\realsched.exe" -osboot
O4 - HKLM\..\Run: [SunJavaUpdateSched] C:\Programme\Java\j2re1.4.2_01\bin\jusched.exe
O4 - HKLM\..\Run: [WinampAgent] C:\Programme\Winamp\winampa.exe
O4 - HKLM\..\Run: [qphbjfrl] C:\WINDOWS\System32\jyqisqi.exe
O4 - HKLM\..\Run: [AVGCtrl] D:\Application\AntiVir\AVGNT.EXE /min
O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\ctfmon.exe
O4 - Startup: Watch.lnk = C:\WINDOWS\twain_32\CIS600X\WATCH.exe
O4 - Global Startup: Adobe Gamma Loader.exe.lnk = C:\Programme\Gemeinsame Dateien\Adobe\Calibration\Adobe Gamma Loader.exe
O4 - Global Startup: Microsoft Office.lnk = C:\Programme\Microsoft Office2000\Office\OSA9.EXE
O8 - Extra context menu item: Nach Microsoft &Excel exportieren - res://C:\PROGRA~1\MICROS~2\Office10\EXCEL.EXE/3000
O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programme\Java\j2re1.4.2_01\bin\npjpi142_01.dll
O9 - Extra 'Tools' menuitem: Sun Java Konsole - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programme\Java\j2re1.4.2_01\bin\npjpi142_01.dll
O9 - Extra button: ICQ - {6224f700-cba3-4071-b251-47cb894244cd} - C:\Programme\ICQ\ICQ.exe
O9 - Extra 'Tools' menuitem: ICQ - {6224f700-cba3-4071-b251-47cb894244cd} - C:\Programme\ICQ\ICQ.exe
O15 - Trusted Zone: *.registration.sonystyle-europe.com (HKLM)
O18 - Filter: text/html - {63405225-C594-4E65-82D0-1D0E43C60015} - C:\WINDOWS\System32\bmbo.dll
O18 - Filter: text/plain - {63405225-C594-4E65-82D0-1D0E43C60015} - C:\WINDOWS\System32\bmbo.dll
O23 - Service: AntiVir Service (AntiVirService) - H+BEDV Datentechnik GmbH - D:\Application\AntiVir\AVGUARD.EXE
O23 - Service: AntiVir Update (AVWUpSrv) - H+BEDV Datentechnik GmbH, Germany - D:\Application\AntiVir\AVWUPSRV.EXE
O23 - Service: Creative NVIDIA Driver Helper Service (NVSvc) - NVIDIA Corporation - C:\WINDOWS\System32\nvsvc32.exe

Lutz · 15.03.2005, 20:11

Mhmm - scheinbar haben wir jetzt ein kleines Problem mit der Beta7.

Sollte aber nicht so wild sein.

Fixe mit HijackThis folgende Zeilen (dies sollte jetzt problemlos möglich sein):

Zitat:

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Bar = res://C:\DOKUME~1\Fabian\LOKALE~1\Temp\se.dll/sp.html
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = about:blank

R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Bar = res://C:\DOKUME~1\Fabian\LOKALE~1\Temp\se.dll/sp.html
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = about:blank
R1 - HKCU\Software\Microsoft\Internet Explorer\Search,SearchAssistant = about:blank
R0 - HKLM\Software\Microsoft\Internet Explorer\Search,SearchAssistant = about:blank
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,HomeOldSP = about:blank
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,HomeOldSP = about:blank

O2 - BHO: (no name) - {5B747C96-601E-4F46-96B9-78508B417F51} - C:\WINDOWS\System32\bmbo.dll (file missing)

O18 - Filter: text/html - {63405225-C594-4E65-82D0-1D0E43C60015} - C:\WINDOWS\System32\bmbo.dll
O18 - Filter: text/plain - {63405225-C594-4E65-82D0-1D0E43C60015} - C:\WINDOWS\System32\bmbo.dll

Wenn nach einem Neustart die Einträge wieder im HijackThis-Log auftauchen, gebe ich Dir mal den Link zur Beta6 des Cleaners. Dort hatten wir imho dieses Problem nicht....
Beta6

Seeker -der Autor des Cleaners- ist bereits über das 'Problem' informiert...

Yopie · 15.03.2005, 20:20

Zitat:

Zitat von DerFabi

Platform: Windows XP (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 (6.00.2600.0000)

Uralt! Warum?
Updaten, falls es nicht schon zu spät ist. Deswegen zunächst folgendes prüfen:

Unter http://virusscan.jotti.org/ online scannen, falls Datei(en) vorhanden:

Zitat:

O4 - HKLM\..\Run: [WINDVDPatch] CTHELPER.EXE
O4 - HKLM\..\Run: [UpdReg] C:\WINDOWS\UpdReg.EXE
O4 - HKLM\..\Run: [qphbjfrl] C:\WINDOWS\System32\jyqisqi.exe

Diese Dateien scheinen mir Überreste einer Backdoorinfektion (Rbot, SDbot o.ä.) zu sein. Ursache wäre das veraltete System. Hattest Du diesbezgl. Meldungen des Virenscanners? Wenn sich das bestätigt, bleibt nur das Neuaufsetzen. Anleitung beachten: --> http://www.trojaner-info.de/report_i...nleitung.shtml

Zitat:

Zitat von DerFabi

C:\Programme\Internet Explorer\IEXPLORE.EXE

Ursache für das Hijacker-Problem. Warum benutzt Du keinen sichereren Browser wie Mozilla, Opera oder Firefox?

Folgendes Fixen:

Zitat:

Zitat von DerFabi

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Bar = res://C:\DOKUME~1\Fabian\LOKALE~1\Temp\se.dll/sp.html
O2 - BHO: (no name) - {5B747C96-601E-4F46-96B9-78508B417F51} - C:\WINDOWS\System32\bmbo.dll (file missing)
O18 - Filter: text/html - {63405225-C594-4E65-82D0-1D0E43C60015} - C:\WINDOWS\System32\bmbo.dll
O18 - Filter: text/plain - {63405225-C594-4E65-82D0-1D0E43C60015} - C:\WINDOWS\System32\bmbo.dll

Außerdem über die Systemsteuerung die JAVA-RE updaten bzw. auf Updates prüfen!

Aber zunächst prüfen, ob ein Backdoor auf dem Rechner ist / war!

Gruß

Yopie

TR/StartPage.qr.DLL Ich werd noch wahnsinnig

Log-Analyse und Auswertung: TR/StartPage.qr.DLL Ich werd noch wahnsinnig