| |
| |||||||
Plagegeister aller Art und deren Bekämpfung: http://195.225.176.14/Windows 7 Wenn Du nicht sicher bist, ob Du dir Malware oder Trojaner eingefangen hast, erstelle hier ein Thema. Ein Experte wird sich mit weiteren Anweisungen melden und Dir helfen die Malware zu entfernen oder Unerwünschte Software zu deinstallieren bzw. zu löschen. Bitte schildere dein Problem so genau wie möglich. Sollte es ein Trojaner oder Viren Problem sein wird ein Experte Dir bei der Beseitigug der Infektion helfen. |
 |
19.06.2004, 20:55
| #1 |
| |  http://195.225.176.14/ Habe seit 2 Tagen das Problem mit der Seite A-Search system die meinen Browser (auch den Crazy Browser) Hijacked haben. Die verschieden Tipps die hier auf dem Forum gegeben werden halfen alle nichts. Außerdem startet nun immer beim Systemstart der Mediaplayer (monitor.exe), ich finde aber keine Möglichkeit zum deinstalieren. Kenne mich aber nicht besonders aus. Danke Tim Logfile of HijackThis v1.97.7 Scan saved at 14:43:42, on 18.06.2004 Platform: Windows XP SP1 (WinNT 5.01.2600) MSIE: Internet Explorer v6.00 SP1 (6.00.2800.1106) Running processes: C:\WINDOWS\System32\smss.exe C:\WINDOWS\system32\winlogon.exe C:\WINDOWS\system32\services.exe C:\WINDOWS\system32\lsass.exe C:\WINDOWS\system32\svchost.exe C:\WINDOWS\System32\svchost.exe C:\WINDOWS\system32\LEXBCES.EXE C:\WINDOWS\system32\spoolsv.exe C:\WINDOWS\system32\LEXPPS.EXE C:\PROGRA~1\SwiftBtn\SwiftBtn.EXE C:\Programme\Synaptics\SynTP\SynTPLpr.exe C:\Programme\Synaptics\SynTP\SynTPEnh.exe C:\Programme\Lexmark X74-X75\lxbbbmgr.exe C:\Programme\AVPersonal\AVSched32.EXE C:\Programme\AVPersonal\AVGNT.EXE C:\WINDOWS\System32\taskswitch.exe C:\WINDOWS\System32\fast.exe C:\Programme\Lexmark 3100 Series\lxbrbmgr.exe C:\WINDOWS\System32\ctfmon.exe C:\Programme\HDD Health\HDDHealth.exe C:\Programme\Siber Systems\AI RoboForm\RoboTaskBarIcon.exe C:\Programme\iOpus Flatrate Steckdose\flatrate.exe C:\Programme\Lexmark X74-X75\lxbbbmon.exe C:\Programme\Lexmark 3100 Series\lxbrbmon.exe C:\Programme\Lexmark 3100 Series\lxbrcmon.exe C:\Programme\AVPersonal\AVGUARD.EXE C:\Programme\AVPersonal\AVWUPSRV.EXE C:\WINDOWS\System32\DRIVERS\CDANTSRV.EXE C:\WINDOWS\System32\Fast.exe C:\Programme\Gemeinsame Dateien\Microsoft Shared\VS7Debug\mdm.exe C:\WINDOWS\System32\svchost.exe C:\WINDOWS\system32\usrbridg.exe C:\WINDOWS\Explorer.exe C:\PROGRA~1\MICROS~2\Office\OUTLOOK.EXE C:\Programme\Gemeinsame Dateien\System\MAPI\1031\nt\MAPISP32.EXE C:\AddOn\AcrobatReader\Reader\AcroRd32.exe C:\Programme\Internet Explorer\iexplore.exe C:\WINDOWS\system32\ntvdm.exe C:\Dokumente und Einstellungen\Organisa\Desktop\Browser Hijacker\HijackThis.exe C:\Programme\Microsoft Office\Office\WINWORD.EXE R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = http://195.225.176.14/ R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://t-online.de/ R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://195.225.176.14/ R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://195.225.176.14/ R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = http://195.225.176.14/ R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = http://195.225.176.14/ R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://195.225.176.14/ R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://195.225.176.14/ R0 - HKLM\Software\Microsoft\Internet Explorer\Search,CustomizeSearch = http://195.225.176.14/ie R0 - HKLM\Software\Microsoft\Internet Explorer\Search,SearchAssistant = http://195.225.176.14/ie R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Window Title = Microsoft Internet Explorer R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Local Page = http://195.225.176.14/ R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Local Page = http://195.225.176.14/ R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page_bak = http://www.t-online.de/ R3 - URLSearchHook: (no name) - _{CFBFAE00-17A6-11D0-99CB-00C04FD64497} - (no file) F0 - system.ini: Shell=Explorer.exe monitor.exe F2 - REG:system.ini: Shell=Explorer.exe monitor.exe O2 - BHO: (no name) - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\AddOn\AcrobatReader\Reader\ActiveX\AcroIEHelper.ocx O2 - BHO: Idea2 SidebarBrowserMonitor Class - {45AD732C-2CE2-4666-B366-B2214AD57A49} - C:\Programme\Desktop Sidebar\sbhelp.dll O2 - BHO: (no name) - {53707962-6F74-2D53-2644-206D7942484F} - C:\PROGRA~1\SPYBOT~1\SDHelper.dll O2 - BHO: (no name) - {724d43a9-0d85-11d4-9908-00400523e39a} - C:\Programme\Siber Systems\AI RoboForm\RoboForm.dll O3 - Toolbar: &RoboForm - {724d43a0-0d85-11d4-9908-00400523e39a} - C:\Programme\Siber Systems\AI RoboForm\RoboForm.dll O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINDOWS\System32\msdxm.ocx O4 - HKLM\..\Run: [QT4StBtn] C:\PROGRA~1\SwiftBtn\SwiftBtn.EXE O4 - HKLM\..\Run: [SynTPLpr] C:\Programme\Synaptics\SynTP\SynTPLpr.exe O4 - HKLM\..\Run: [SynTPEnh] C:\Programme\Synaptics\SynTP\SynTPEnh.exe O4 - HKLM\..\Run: [Lexmark X74-X75] "C:\Programme\Lexmark X74-X75\lxbbbmgr.exe" O4 - HKLM\..\Run: [AVSCHED32] C:\Programme\AVPersonal\AVSched32.EXE /min O4 - HKLM\..\Run: [SXCPL] SXCPL.EXE O4 - HKLM\..\Run: [AVGCtrl] C:\Programme\AVPersonal\AVGNT.EXE /min O4 - HKLM\..\Run: [BackgroundSwitcher] C:\WINDOWS\System32\bgswitch.exe O4 - HKLM\..\Run: [CoolSwitch] C:\WINDOWS\System32\taskswitch.exe O4 - HKLM\..\Run: [FastUser] C:\WINDOWS\System32\fast.exe O4 - HKLM\..\Run: [RegKillElbyCheck] "C:\Programme\Elaborate Bytes\DVD Region Killer\ElbyCheck.exe" /L RegKill O4 - HKLM\..\Run: [Agent] REM C:\Programme\CyberLink\PowerVCRII\Agent.exe O4 - HKLM\..\Run: [PinnacleDriverCheck] C:\WINDOWS\System32\PSDrvCheck.exe O4 - HKLM\..\Run: [Lexmark 3100 Series] "C:\Programme\Lexmark 3100 Series\lxbrbmgr.exe" O4 - HKLM\..\Run: [TkBellExe] REM C:\Programme\Gemeinsame Dateien\Real\Update_OB\evntsvc.exe -osboot O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\ctfmon.exe O4 - HKCU\..\Run: [HDDHealth] C:\Programme\HDD Health\HDDHealth.exe -wl O4 - HKCU\..\Run: [RoboForm] "C:\Programme\Siber Systems\AI RoboForm\RoboTaskBarIcon.exe" O4 - HKCU\..\Run: [AutoStart-Manager] REM C:\Programme\LAB1.DE\Autostart-Manager\AutoStart-Manager.exe /AUTOSTART O4 - HKCU\..\Run: [PhonostarAgent] REM C:\Programme\phonostar\ps_agent.exe O4 - HKCU\..\Run: [Eraser] REM C:\Programme\Eraser\eraser.exe -hide O4 - HKCU\..\Run: [monitor] Explorer.exe monitor.exe O4 - Startup: FlatrateSteckdose.lnk = C:\Programme\iOpus Flatrate Steckdose\flatrate.exe O4 - Global Startup: Microsoft Office.lnk = C:\Programme\Microsoft Office\Office\OSA9.EXE O4 - Global Startup: RoyalTek GPS Driver.lnk = ? O8 - Extra context menu item: RF - &Formular speichern - file://C:\Programme\Siber Systems\AI RoboForm\RoboFormComSavePass.html O8 - Extra context menu item: RF - &Menü anpassen - file://C:\Programme\Siber Systems\AI RoboForm\RoboFormComCustomizeIEMenu.html O8 - Extra context menu item: RF - Formular ausf&üllen - file://C:\Programme\Siber Systems\AI RoboForm\RoboFormComFillForms.html O8 - Extra context menu item: Subscribe in Desktop Sidebar - res://C:\Programme\Desktop Sidebar\sbhelp.dll/menuhandler.html O8 - Extra context menu item: Zur Filterliste hinzufügen (WebWasher) - http://-Web.Washer-/ie_add O9 - Extra 'Tools' menuitem: Sun Java Console (HKLM) O9 - Extra button: Subscribe in Desktop Sidebar (HKLM) O9 - Extra 'Tools' menuitem: Subscribe in Desktop Sidebar (HKLM) O9 - Extra button: Ausfüllen (HKLM) O9 - Extra 'Tools' menuitem: RF - Formular ausf&üllen (HKLM) O9 - Extra button: Speichern (HKLM) O9 - Extra 'Tools' menuitem: RF - &Formular speichern (HKLM) O9 - Extra button: concept/design's onlineTV (HKLM) O9 - Extra button: RoboForm (HKLM) O9 - Extra 'Tools' menuitem: RF - RoboForm-Symbolleis&te (HKLM) O9 - Extra button: Messenger (HKLM) O9 - Extra 'Tools' menuitem: Messenger (HKLM) O13 - DefaultPrefix: http://195.225.176.14/pre.pl? O13 - WWW Prefix: http://195.225.176.14/pre.pl? O16 - DPF: ppctlcab - http://www.pestscan.com/scanner/ppctlcab.cab O16 - DPF: {166B1BCA-3F9C-11CF-8075-444553540000} (Shockwave ActiveX Control) - http://download.macromedia.com/pub/s...irector/sw.cab O16 - DPF: {23B7A816-3647-49D2-9756-6F41CE8F9201} (ddm_download.ddm_control) - http://download.rfwnad.com/cab/ddm_control.CAB O16 - DPF: {33564D57-0000-0010-8000-00AA00389B71} - http://download.microsoft.com/downlo...22/wmv9VCM.CAB O16 - DPF: {3E68E405-C6DE-49FF-83AE-41EE9F4C36CE} (Office Update Installation Engine) - http://office.microsoft.com/officeup...ntent/opuc.cab O16 - DPF: {C2FCEF52-ACE9-11D3-BEBD-00105AA9B6AE} (Symantec RuFSI Registry Information Class) - http://security.symantec.com/sscv6/S.../bin/cabsa.cab O16 - DPF: {D27CDB6E-AE6D-11CF-96B8-444553540000} (Shockwave Flash Object) - http://download.macromedia.com/pub/s...sh/swflash.cab O16 - DPF: {DE22A7AB-A739-4C58-AD52-21F9CD6306B7} (CTAdjust Class) - http://download.microsoft.com/downlo...4/clearadj.cab O17 - HKLM\System\CCS\Services\Tcpip\..\{B519300A-81C2-458A-B965-F648B8897498}: NameServer = 192.168.0.1 O17 - HKLM\System\CCS\Services\Tcpip\..\{CBD5BF09-B83E-4C79-8F7D-005EF31965FC}: NameServer = 192.168.0.1 O17 - HKLM\System\CCS\Services\Tcpip\..\{E90208BF-961E-49F1-9F17-30DCE6109B67}: NameServer = 145.253.2.196 145.253.2.81 |
|
19.06.2004, 21:33
| #2 |
  |  http://195.225.176.14/ Hallo!
__________________</font><blockquote>Zitat:</font><hr />Original erstellt von timeckart: Habe seit 2 Tagen das Problem mit der Seite A-Search system die meinen Browser (auch den Crazy Browser) Hijacked haben.</font>[/QUOTE]Zukünftig besser: Firefox / Mozilla nutzen und zusätzlich vorsichtiges Klickverhalten aneignen. </font><blockquote>Zitat:</font><hr />Außerdem startet nun immer beim Systemstart der Mediaplayer (monitor.exe), ich finde aber keine Möglichkeit zum deinstalieren.</font>[/QUOTE]Nutz mal die Funktion >Start >Suchen, um nach dieser Datei zu suchen. In welchen Verzeichnissen wirst du fündig? Markieren, "Fix checked wählen": R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = h+tp://195.225.176.14/ R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = h+tp://195.225.176.14/ R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = h+tp://195.225.176.14/ R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = h+tp://195.225.176.14/ R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = h+tp://195.225.176.14/ R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = h+tp://195.225.176.14/ R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = h+tp://195.225.176.14/ R0 - HKLM\Software\Microsoft\Internet Explorer\Search,CustomizeSearch = h+tp://195.225.176.14/ie R0 - HKLM\Software\Microsoft\Internet Explorer\Search,SearchAssistant = h+tp://195.225.176.14/ie R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Local Page = h+tp://195.225.176.14/ R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Local Page = h+tp://195.225.176.14/ R3 - URLSearchHook: (no name) - _{CFBFAE00-17A6-11D0-99CB-00C04FD64497} - (no file) F0 - system.ini: Shell=Explorer.exe monitor.exe F2 - REG:system.ini: Shell=Explorer.exe monitor.exe Hast du diese Sidebar absichtlich installiert? Falls nein, bitte ebenfalls fixen. O2 - BHO: Idea2 SidebarBrowserMonitor Class - {45AD732C-2CE2-4666-B366-B2214AD57A49} - C:\Programme\Desktop Sidebar\sbhelp.dll O2 - BHO: (no name) - {724d43a9-0d85-11d4-9908-00400523e39a} - C:\Programme\Siber Systems\AI RoboForm\RoboForm.dll O3 - Toolbar: &RoboForm - {724d43a0-0d85-11d4-9908-00400523e39a} - C:\Programme\Siber Systems\AI RoboForm\RoboForm.dll O4 - HKCU\..\Run: [RoboForm] "C:\Programme\Siber Systems\AI RoboForm\RoboTaskBarIcon.exe" O8 - Extra context menu item: RF - &Formular speichern - file://C:\Programme\Siber Systems\AI RoboForm\RoboFormComSavePass.html O8 - Extra context menu item: RF - &Menü anpassen - file://C:\Programme\Siber Systems\AI RoboForm\RoboFormComCustomizeIEMenu.html O8 - Extra context menu item: RF - Formular ausf&üllen - file://C:\Programme\Siber Systems\AI RoboForm\RoboFormComFillForms.html O8 - Extra context menu item: Subscribe in Desktop Sidebar - res://C:\Programme\Desktop Sidebar\sbhelp.dll/menuhandler.html Löschen: O4 - HKCU\..\Run: [monitor] Explorer.exe monitor.exe O13 - DefaultPrefix: h+tp://195.225.176.14/pre.pl? O13 - WWW Prefix: h+tp://195.225.176.14/pre.pl? Trojaner: O16 - DPF: {23B7A816-3647-49D2-9756-6F41CE8F9201} (ddm_download.ddm_control) - h+tp://download.rfwnad.com/cab/ddm_control.CAB |
|
20.06.2004, 10:10
| #3 |
| | http://195.225.176.14/ Hallo Markus,
__________________Vielen Dank für Deine Antwort monitor.exe ist im Windows Ordner und muß durch ein Update von XP gekommen sein. was heißt Markieren, "Fix checked wählen" ? Die Sidebar habe ich absichtlich installiert. Wie soll ich löschen: O4 - HKCU\..\Run: [monitor] Explorer.exe monitor.exe O13 - DefaultPrefix: h+tp://195.225.176.14/pre.pl? O13 - WWW Prefix: h+tp://195.225.176.14/pre.pl? Danke timeckart@web.de |
|
| Themen zu http://195.225.176.14/ |
| avg, bho, browser, cyberlink, dateien, desktop, drivers, einstellungen, eraser, explorer, hijackthis, ics, installation, internet, internet explorer, messenger, microsoft, monitor.exe, object, problem, programme, registry, shockwave, software, sun java, symantec, system, system32, tcpip, update, urlsearchhook, windows, windows xp, windows\system32\drivers |
Linear-Darstellung
