Smitfraud - bekomme ihn nicht weg - bitte mal schaun

Harry01

Hallo!

Seit gestern ärgert mich der Smitfraud-Hijacker. Merkwürdig ist, daß er sich installieren konnte, obwohl ich grundsätzlich mit einem eingeschränkten Benutzerkonto an Windows 2000prof angemeldet bin.

Folgendes habe ich schon gemacht:

Zuerst habe ich mit Adaware und aktuellen Definitionen gescannt und alles gefundene entfernt. Dann habe ich habe mir dieses Tool runtergeladen und den Rechner damit gescannt. Danach war auch diese nervige Spywarewarnung in der Taskleiste weg und ist auch nicht mehr aufgetaucht. Dann habe ich im Pfad winnt/system32 diese beiden Dateien gelöscht: dcomcfg.exe und atmelk.exe.

Dann habe ich escan drüberlaufen lassen, der Hijacker wird aber immer noch gefunden und auch die Startseite wird noch umgeleitet. Dann habe ich im abgesicherten Modus smitrem gestartet. Hier ist das LOG:


smitRem © log file
version 2.8

by noahdfear

Microsoft Windows 2000 [Version 5.00.2195]

Running from
D:\smitRem
~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~
Pre-run SharedTask Export
(GetSTS.exe) SharedTaskScheduler exporter by Lawrence Abrams (Grinler)
Copyright(C) 2006 BleepingComputer.com
Registry Pseudo-Format Mode (Not a valid reg file):

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\SharedTaskScheduler]
"{438755C2-A8BA-11D1-B96B-00A0C90312E1}"="Browseui preloader"
"{8C7461EF-2B13-11d2-BE35-3078302C2030}"="Component Categories cache daemon"

[HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{438755C2-A8BA-11D1-B96B-00A0C90312E1}\InProcServer32]
@="%SystemRoot%\system32\browseui.dll"

[HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{8C7461EF-2B13-11d2-BE35-3078302C2030}\InProcServer32]
@="%SystemRoot%\system32\browseui.dll"
~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~
checking for ShudderLTD key
ShudderLTD key not present!
checking for PSGuard.com key
PSGuard.com key not present!
checking for WinHound.com key
WinHound.com key not present!
spyaxe uninstaller NOT present
Winhound uninstaller NOT present
SpywareStrike uninstaller NOT present
~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~
Existing Pre-run Files
~~~ Program Files ~~~

~~~ Shortcuts ~~~
Online Security Guide.url
Security Troubleshooting.url

~~~ Favorites ~~~
Antivirus Test Online.url
~~~ system32 folder ~~~
1024 dir
ld****.tmp
hp***.tmp
~~~ Icons in System32 ~~~
~~~ Windows directory ~~~
~~~ Drive root ~~~
~~~ Miscellaneous Files/folders ~~~
~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~
Command Line Process Viewer/Killer/Suspender for Windows NT/2000/XP V2.03
Copyright(C) 2002-2003 Craig.Peacock@beyondlogic.org
Killing PID 488 'explorer.exe'

Starting registry repairs

Registry repairs complete

~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~
SharedTask Export after registry fix

(GetSTS.exe) SharedTaskScheduler exporter by Lawrence Abrams (Grinler)
Copyright(C) 2006 BleepingComputer.com

Registry Pseudo-Format Mode (Not a valid reg file):

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\SharedTaskScheduler]
"{438755C2-A8BA-11D1-B96B-00A0C90312E1}"="Browseui preloader"
"{8C7461EF-2B13-11d2-BE35-3078302C2030}"="Component Categories cache daemon"

[HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{438755C2-A8BA-11D1-B96B-00A0C90312E1}\InProcServer32]
@="%SystemRoot%\system32\browseui.dll"

[HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{8C7461EF-2B13-11d2-BE35-3078302C2030}\InProcServer32]
@="%SystemRoot%\system32\browseui.dll"
~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~
Deleting files
~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~
Remaining Post-run Files
~~~ Program Files ~~~
~~~ Shortcuts ~~~
~~~ Favorites ~~~
~~~ system32 folder ~~~
1024 dir
ld****.tmp
hp***.tmp
~~~ Icons in System32 ~~~
~~~ Windows directory ~~~
~~~ Drive root ~~~
~~~ Miscellaneous Files/folders ~~~
~~~ Wininet.dll ~~~
wininet.dll is missing!!


Dann habe ich SpyBot drüberlaufen lassen, auch der hat noch einiges gefunden. Nach einem erneuten escan wird der Hijacker immer noch gefunden und die Startseite weiterhin umgeleitet. Hier ist das Hijackthis-Log:

Logfile of HijackThis v1.99.1
Scan saved at 15:41:25, on 08.05.2006
Platform: Windows 2000 SP4 (WinNT 5.00.2195)
MSIE: Internet Explorer v6.00 SP1 (6.00.2800.1106)

Running processes:
E:\WINNT\System32\smss.exe
E:\WINNT\system32\winlogon.exe
E:\WINNT\system32\services.exe
E:\WINNT\system32\lsass.exe
E:\WINNT\System32\SCardSvr.exe
E:\WINNT\system32\svchost.exe
E:\WINNT\system32\spoolsv.exe
E:\Programme\Gemeinsame Dateien\AOL\ACS\AOLAcsd.exe
E:\PROGRA~1\SYMANT~1\DefWatch.exe
E:\WINNT\SYSTEM32\DWRCS.EXE
E:\WINNT\System32\svchost.exe
E:\Programme\Ahead\InCD\InCDsrv.exe
E:\Programme\Norton Personal Firewall\NISUM.EXE
E:\PROGRA~1\SYMANT~1\Rtvscan.exe
E:\WINNT\system32\regsvc.exe
E:\WINNT\system32\stisvc.exe
E:\Programme\Norton Personal Firewall\SymProxySvc.exe
E:\WINNT\system32\tlntsvr.exe
E:\WINNT\System32\WBEM\WinMgmt.exe
E:\Programme\RealVNC\VNC4\WinVNC4.exe
E:\Programme\Norton Personal Firewall\NISSERV.EXE
E:\WINNT\System32\locator.exe
E:\WINNT\Explorer.EXE
E:\Programme\Norton Personal Firewall\IAMAPP.EXE
E:\PROGRA~1\SYMANT~1\vptray.exe
E:\WINNT\PTBSync.EXE
E:\Programme\FRITZ!\IWatch.exe
E:\Programme\TechnoTrend TT-PCline budget\DVBData.exe
E:\Programme\Norton Personal Firewall\ATRACK.EXE
E:\Programme\FRITZ!\FriWeb32.exe
E:\Programme\CAPI Monitor\Capimon.exe
E:\Programme\FRITZ!\FriFax32.exe
E:\WINNT\PTBSYNC.EXE
E:\DOKUME~1\ADMINI~1\LOKALE~1\Temp\mexe.com
E:\DOKUME~1\ADMINI~1\LOKALE~1\Temp\kavss.exe
E:\Programme\Mozilla Thunderbird\thunderbird.exe
E:\Programme\Mozilla Firefox\firefox.exe
D:\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = h**p://www.lpiboard.de/viewforum.php?f=1
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page_bak = h**p://www.zierfischforum.de/forum
R1 - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings,ProxyServer = http=localhost:3128
R1 - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings,ProxyOverride = localhost
O2 - BHO: (no name) - {53707962-6F74-2D53-2644-206D7942484F} - E:\PROGRA~1\SPYBOT~1\SDHelper.dll
O2 - BHO: Nothing - {b0398eca-0bcd-4645-8261-5e9dc70248d0} - E:\WINNT\system32\hp27B2.tmp
O3 - Toolbar: Adobe PDF - {47833539-D0C5-4125-9FA8-0819E2EAAC93} - E:\Programme\Acrobat 6.0\Acrobat\AcroIEFavClient.dll (file missing)
O4 - HKLM\..\Run: [Synchronization Manager] mobsync.exe /logon
O4 - HKLM\..\Run: [SSC_UserPrompt] E:\Programme\Gemeinsame Dateien\Symantec Shared\Security Center\UsrPrmpt.exe
O4 - HKLM\..\Run: [iamapp] E:\Programme\Norton Personal Firewall\IAMAPP.EXE
O4 - HKLM\..\Run: [Symantec NetDriver Monitor] E:\PROGRA~1\SYMNET~1\SNDMon.exe
O4 - HKLM\..\Run: [vptray] E:\PROGRA~1\SYMANT~1\vptray.exe
O4 - HKLM\..\Run: [Atomuhr Synchronisation] PTBSync.EXE /Start
O4 - HKLM\..\Run: [MSConfig] "E:\WINNT\system32\msconfig.exe" /auto
O4 - Startup: DVB Data (budget).lnk = E:\Programme\TechnoTrend TT-PCline budget\DVBData.exe
O4 - Startup: FRITZ!web.lnk = E:\Programme\FRITZ!\FriWeb32.exe
O4 - Startup: Verknüpfung mit Capimon.lnk = E:\Programme\CAPI Monitor\Capimon.exe
O4 - Startup: Verknüpfung mit FriFax32.lnk = E:\Programme\FRITZ!\FriFax32.exe
O4 - Global Startup: ISDNWatch.lnk = E:\Programme\FRITZ!\IWatch.exe
O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - E:\Programme\Java\jre1.5.0_04\bin\npjpi150_04.dll
O9 - Extra 'Tools' menuitem: Sun Java Konsole - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - E:\Programme\Java\jre1.5.0_04\bin\npjpi150_04.dll
O9 - Extra button: Related - {c95fe080-8f5d-11d2-a20b-00aa003c157a} - E:\WINNT\web\related.htm
O9 - Extra 'Tools' menuitem: Show &Related Links - {c95fe080-8f5d-11d2-a20b-00aa003c157a} - E:\WINNT\web\related.htm
O16 - DPF: {6414512B-B978-451D-A0D8-FCFDF33E833C} (WUWebControl Class) - http://update.microsoft.com/windowsupdate/v6/V5Controls/en/x86/client/wuweb_site.cab?1123686423293
O17 - HKLM\System\CCS\Services\Tcpip\..\{D5FCC9A1-1C1F-4844-9D48-1050C06A9806}: NameServer = 192.168.0.1
O23 - Service: AOL Connectivity Service (AOL ACS) - America Online, Inc. - E:\Programme\Gemeinsame Dateien\AOL\ACS\AOLAcsd.exe
O23 - Service: DefWatch - Symantec Corporation - E:\PROGRA~1\SYMANT~1\DefWatch.exe
O23 - Service: AVM FRITZ!web Routing Service (de_serv) - AVM Berlin - E:\Programme\Gemeinsame Dateien\AVM\de_serv.exe
O23 - Service: Verwaltungsdienst für die Verwaltung logischer Datenträger (dmadmin) - VERITAS Software Corp. - E:\WINNT\System32\dmadmin.exe
O23 - Service: DameWare Mini Remote Control (DWMRCS) - DameWare Development LLC - E:\WINNT\SYSTEM32\DWRCS.EXE
O23 - Service: InCD File System Service (InCDsrv) - AHEAD Software - E:\Programme\Ahead\InCD\InCDsrv.exe
O23 - Service: NetOp Helper ver. 8.00 (2005048) (NetOp Host for NT Service) - Danware Data A/S - E:\Programme\Danware Data\NetOp Remote Control\HOST\NHOSTSVC.EXE
O23 - Service: Norton Personal Firewall Service (NISSERV) - Symantec Corporation - E:\Programme\Norton Personal Firewall\NISSERV.EXE
O23 - Service: Norton Personal Firewall Accounts Manager (NISUM) - Symantec Corporation - E:\Programme\Norton Personal Firewall\NISUM.EXE
O23 - Service: Symantec AntiVirus Client (Norton AntiVirus Server) - Symantec Corporation - E:\PROGRA~1\SYMANT~1\Rtvscan.exe
O23 - Service: O&O Defrag 2000 (OOD2000) - O&O Software GmbH - E:\WINNT\system32\OOD2000.exe
O23 - Service: Atomuhr Synchronisation (PTBSync) - ElmüSoft - E:\WINNT\PTBSYNC.EXE
O23 - Service: Symantec Network Drivers Service (SNDSrvc) - Symantec Corporation - E:\Programme\Gemeinsame Dateien\Symantec Shared\SNDSrvc.exe
O23 - Service: Norton Personal Firewall Proxy Service (SymProxySvc) - Symantec Corporation - E:\Programme\Norton Personal Firewall\SymProxySvc.exe
O23 - Service: SymWMI Service (SymWSC) - Symantec Corporation - E:\Programme\Gemeinsame Dateien\Symantec Shared\Security Center\SymWSC.exe
O23 - Service: VNC Server Version 4 (WinVNC4) - Unknown owner - E:\Programme\RealVNC\VNC4\WinVNC4.exe" -service (file missing)



Was kann ich noch machen?