| |
| |||||||
Plagegeister aller Art und deren Bekämpfung: Win32/Adware.SideSearch Anwendung.......Windows 7 Wenn Du nicht sicher bist, ob Du dir Malware oder Trojaner eingefangen hast, erstelle hier ein Thema. Ein Experte wird sich mit weiteren Anweisungen melden und Dir helfen die Malware zu entfernen oder Unerwünschte Software zu deinstallieren bzw. zu löschen. Bitte schildere dein Problem so genau wie möglich. Sollte es ein Trojaner oder Viren Problem sein wird ein Experte Dir bei der Beseitigug der Infektion helfen. |
 |
12.07.2006, 22:35
| #1 |
| |  Win32/Adware.SideSearch Anwendung....... .....und sobald der Virenscanner NOD32 oder Spybot Search&Destroy nur annähernd hinkommen, schaltet der PC aus. Dann kann ich den PC erstmal nicht starten, erst nach einer kurzen Zeit kann ich den PC starten. Das gleiche passiert mir im abgesicherten Zustand auch. Aufgefallen ist es mir das erste mal wie ich am PC einen Klingelton für mein Handy bearbeiten wollte, da ist mir der PC abgestürtzt. Was aber ganz komisch an der Sache ist, dieser "Trojaner" oder wie ich ihn noch nenne könnte ist nicht auf Festplatte c: zu finden , sondern auf festplatte d: ? Was ich noch dazu sagen muß, ich gehe mit Mozilla ins Netz. anbei lege ich einen auszug der Log von NOD32 und im Anschluß das Log von HiJack This NOD32 Log: D:\System Volume Information\MountPointManagerRemoteDatabase - Fehler (Zugriff verweigert) beim Öffnen. [4] D:\System Volume Information\_restore{52DFAB03-4BF1-4DFE-A55B-7F2CCDD8D2DE}\RP179\A0020329.exe »NSIS »untitled.dll - Win32/Adware.SideSearch Anwendung Prüfung durch Nutzer abgebrochen! Anzahl geprüfter Dateien: 339439 Anzahl infizierter Objekte: 1 Weiterhin infizierte Objekte: 1 Beendet um: 15:56:10 Uhr Benötigte Zeit: 10550 Sek (02:55:50) HiJack This Log: Logfile of HijackThis v1.99.1 Scan saved at 21:57:25, on 12.7.2006 Platform: Windows XP SP2 (WinNT 5.01.2600) MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180) Running processes: C:\WINDOWS\System32\smss.exe C:\WINDOWS\system32\winlogon.exe C:\WINDOWS\system32\services.exe C:\WINDOWS\system32\lsass.exe C:\WINDOWS\system32\Ati2evxx.exe C:\WINDOWS\system32\svchost.exe C:\WINDOWS\System32\svchost.exe C:\WINDOWS\system32\spoolsv.exe C:\Programme\IVT Corporation\BlueSoleil\BTNtService.exe C:\Programme\Home Cinema\PowerCinema\Kernel\TV\CLCapSvc.exe C:\Programme\CyberLink\Shared Files\CLML_NTService\CLMLServer.exe C:\Programme\CyberLink\Shared Files\CLML_NTService\CLMLService.exe C:\Programme\CA\eTrust Antivirus\InoRpc.exe C:\Programme\CA\eTrust Antivirus\InoRT.exe C:\Programme\CA\eTrust Antivirus\InoTask.exe C:\Programme\Gemeinsame Dateien\Microsoft Shared\VS7Debug\mdm.exe C:\Programme\Eset\nod32krn.exe C:\WINDOWS\system32\svchost.exe C:\Programme\Webroot\Spy Sweeper\WRSSSDK.exe C:\Programme\PowerQuest\Drive Image 7.0\Agent\PQV2iSvc.exe C:\Programme\Home Cinema\PowerCinema\Kernel\TV\CLSched.exe C:\WINDOWS\system32\Ati2evxx.exe C:\WINDOWS\Explorer.EXE C:\Programme\Winamp\winampa.exe C:\Programme\Webroot\Spy Sweeper\SpySweeper.exe C:\PROGRA~1\CA\ETRUST~1\realmon.exe C:\Programme\Home Cinema\PowerCinema\PCMService.exe C:\PROGRA~1\Medion\KeyStat\KeyStat.exe C:\WINDOWS\Dit.exe C:\Programme\D-Tools\daemon.exe C:\WINDOWS\system32\RunDll32.exe C:\Programme\SlySoft\AnyDVD\AnyDVD.exe C:\WINDOWS\AGRSMMSG.exe C:\DOKUME~1\SUBWAY~1\LOKALE~1\Temp\Rar$EX00.297\Clix.exe C:\PROGRA~1\Nokia\NOKIAP~2\LAUNCH~1.EXE C:\WINDOWS\System32\svchost.exe C:\Programme\Eset\nod32kui.exe C:\Programme\Uptime Project\client.exe C:\PROGRA~1\COMMON~1\X10\Common\x10nets.exe C:\Programme\Nokia\Nokia PC Suite 6\PcSync2.exe C:\Programme\Spybot - Search & Destroy\TeaTimer.exe C:\Programme\Gemeinsame Dateien\PCSuite\Services\ServiceLayer.exe C:\Programme\IVT Corporation\BlueSoleil\BlueSoleil.exe C:\PROGRA~1\GEMEIN~1\Nokia\MPAPI\MPAPI3s.exe C:\Programme\Mozilla Firefox\firefox.exe C:\WINDOWS\system32\wuauclt.exe D:\xp proggs\HijackThis.exe R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://w**3.ca.com/securityadvisor/virusinfo/default.aspx O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Programme\Adobe\Acrobat 7.0\ActiveX\AcroIEHelper.dll O2 - BHO: (no name) - {53707962-6F74-2D53-2644-206D7942484F} - C:\PROGRA~1\SPYBOT~1\SDHelper.dll O2 - BHO: (no name) - {77701e16-9bfe-4b63-a5b4-7bd156758a37} - (no file) O4 - HKLM\..\Run: [WinampAgent] C:\Programme\Winamp\winampa.exe O4 - HKLM\..\Run: [SpySweeper] "C:\Programme\Webroot\Spy Sweeper\SpySweeper.exe" /startintray O4 - HKLM\..\Run: [Realtime Monitor] C:\PROGRA~1\CA\ETRUST~1\realmon.exe -s O4 - HKLM\..\Run: [PCMService] "C:\Programme\Home Cinema\PowerCinema\PCMService.exe" O4 - HKLM\..\Run: [NeroFilterCheck] C:\WINDOWS\system32\NeroCheck.exe O4 - HKLM\..\Run: [Keyboard Status] C:\PROGRA~1\Medion\KeyStat\KeyStat.exe O4 - HKLM\..\Run: [ICQ Lite] C:\Programme\ICQLite\ICQLite.exe -minimize O4 - HKLM\..\Run: [Dit] Dit.exe O4 - HKLM\..\Run: [DAEMON Tools-1033] "C:\Programme\D-Tools\daemon.exe" -lang 1033 O4 - HKLM\..\Run: [Cmaudio] RunDll32 cmicnfg.cpl,CMICtrlWnd O4 - HKLM\..\Run: [AnyDVD] C:\Programme\SlySoft\AnyDVD\AnyDVD.exe O4 - HKLM\..\Run: [AGRSMMSG] AGRSMMSG.exe O4 - HKLM\..\Run: [ProjectClix] C:\DOKUME~1\SUBWAY~1\LOKALE~1\Temp\Rar$EX00.297\Clix.exe O4 - HKLM\..\Run: [PCSuiteTrayApplication] C:\PROGRA~1\Nokia\NOKIAP~2\LAUNCH~1.EXE -startup O4 - HKLM\..\Run: [nod32kui] "C:\Programme\Eset\nod32kui.exe" /WAITSERVICE O4 - HKCU\..\Run: [Uptime-Project] C:\Programme\Uptime Project\client.exe O4 - HKCU\..\Run: [PcSync] C:\Programme\Nokia\Nokia PC Suite 6\PcSync2.exe /NoDialog O4 - HKCU\..\Run: [SpybotSD TeaTimer] C:\Programme\Spybot - Search & Destroy\TeaTimer.exe O4 - HKCU\..\RunOnce: [ICQ Lite] C:\Programme\ICQLite\ICQLite.exe -trayboot O4 - Global Startup: Adobe Reader - Schnellstart.lnk = C:\Programme\Adobe\Acrobat 7.0\Reader\reader_sl.exe O4 - Global Startup: BlueSoleil.lnk = C:\Programme\IVT Corporation\BlueSoleil\BlueSoleil.exe O4 - Global Startup: Microsoft Office.lnk = C:\Programme\Microsoft Office\Office10\OSA.EXE O8 - Extra context menu item: Nach Microsoft &Excel exportieren - res://C:\PROGRA~1\MICROS~4\Office10\EXCEL.EXE/3000 O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programme\Java\jre1.5.0_01\bin\npjpi150_01.dll O9 - Extra 'Tools' menuitem: Sun Java Konsole - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programme\Java\jre1.5.0_01\bin\npjpi150_01.dll O9 - Extra button: (no name) - {85d1f590-48f4-11d9-9669-0800200c9a66} - %windir%\bdoscandel.exe (file missing) O9 - Extra 'Tools' menuitem: Uninstall BitDefender Online Scanner v8 - {85d1f590-48f4-11d9-9669-0800200c9a66} - %windir%\bdoscandel.exe (file missing) O9 - Extra button: (no name) - {B205A35E-1FC4-4CE3-818B-899DBBB3388C} - C:\Programme\Gemeinsame Dateien\Microsoft Shared\Encarta Search Bar\ENCSBAR.DLL O9 - Extra button: ICQ Lite - {B863453A-26C3-4e1f-A54D-A2CD196348E9} - C:\Programme\ICQLite\ICQLite.exe O9 - Extra 'Tools' menuitem: ICQ Lite - {B863453A-26C3-4e1f-A54D-A2CD196348E9} - C:\Programme\ICQLite\ICQLite.exe O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe O12 - Plugin for .pdf: C:\Programme\Internet Explorer\PLUGINS\nppdf32.dll O14 - IERESET.INF: START_PAGE_URL=http://w**.aldi.com/ O16 - DPF: {17492023-C23A-453E-A040-C7C580BBF700} (Windows Genuine Advantage Validation Tool) - h**p://go.microsoft.com/fwlink/?linkid=39204 O16 - DPF: {33331111-1111-1111-1111-611111193423} - O16 - DPF: {33331111-1111-1111-1111-611111193429} - O16 - DPF: {33331111-1111-1111-1111-615111193427} - O16 - DPF: {33331111-1131-1111-1111-611111193428} - O16 - DPF: {5D86DDB5-BDF9-441B-9E9E-D4730F4EE499} (BDSCANONLINE Control) - http://w**.bitdefender.de/scan8/oscan8.cab O16 - DPF: {6414512B-B978-451D-A0D8-FCFDF33E833C} (WUWebControl Class) - h**p://v5.windowsupdate.microsoft.com/v5consumer/V5Controls/en/x86/client/wuweb_site.cab?1106843944468 O16 - DPF: {6E32070A-766D-4EE6-879C-DC1FA91D2FC3} (MUWebControl Class) - h**p://update.microsoft.com/microsoftupdate/v6/V5Controls/en/x86/client/muweb_site.cab?1151973509765 O16 - DPF: {7B297BFD-85E4-4092-B2AF-16A91B2EA103} (WScanCtl Class) - http://w**3.ca.com/securityadvisor/virusinfo/webscan.cab O16 - DPF: {80DD2229-B8E4-4C77-B72F-F22972D723EA} - http://w**.bitdefender.de/scan/Msie/bitdefender.cab O16 - DPF: {94EB57FE-2720-496C-B33F-D9353C6E23F7} (F-Secure Online Scanner 2.1) - h**p://support.f-secure.com/ols/fscax.cab O16 - DPF: {9A9307A0-7DA4-4DAF-B042-5009F29E09E1} (ActiveScan Installer Class) - h**p://acs.pandasoftware.com/activescan/as5free/asinst.cab O16 - DPF: {A3009861-330C-4E10-822B-39D16EC8829D} (CRAVOnline Object) - http://w**.ravantivirus.com/scan/ravonline.cab O17 - HKLM\System\CCS\Services\Tcpip\..\{CC32E40C-7D6A-4C7B-8C3B-8923F7D8B79E}: NameServer = 195.50.140.252 195.50.140.114 O20 - Winlogon Notify: WgaLogon - C:\WINDOWS\SYSTEM32\WgaLogon.dll O20 - Winlogon Notify: WRNotifier - C:\WINDOWS\SYSTEM32\WRLogonNTF.dll O23 - Service: Ati HotKey Poller - ATI Technologies Inc. - C:\WINDOWS\system32\Ati2evxx.exe O23 - Service: BlueSoleil Hid Service - Unknown owner - C:\Programme\IVT Corporation\BlueSoleil\BTNtService.exe O23 - Service: CyberLink Background Capture Service (CBCS) (CLCapSvc) - Unknown owner - C:\Programme\Home Cinema\PowerCinema\Kernel\TV\CLCapSvc.exe O23 - Service: CyberLink Task Scheduler (CTS) (CLSched) - Unknown owner - C:\Programme\Home Cinema\PowerCinema\Kernel\TV\CLSched.exe O23 - Service: CyberLink Media Library Service - Cyberlink - C:\Programme\CyberLink\Shared Files\CLML_NTService\CLMLServer.exe O23 - Service: GEARSecurity - GEAR Software - C:\WINDOWS\System32\GEARSec.exe O23 - Service: InstallDriver Table Manager (IDriverT) - Macrovision Corporation - C:\Programme\Gemeinsame Dateien\InstallShield\Driver\11\Intel 32\IDriverT.exe O23 - Service: eTrust Antivirus RPC Server (InoRPC) - Computer Associates International, Inc. - C:\Programme\CA\eTrust Antivirus\InoRpc.exe O23 - Service: eTrust Antivirus Realtime Server (InoRT) - Computer Associates International, Inc. - C:\Programme\CA\eTrust Antivirus\InoRT.exe O23 - Service: eTrust Antivirus Job Server (InoTask) - Computer Associates International, Inc. - C:\Programme\CA\eTrust Antivirus\InoTask.exe O23 - Service: NOD32 Kernel Service (NOD32krn) - Eset - C:\Programme\Eset\nod32krn.exe O23 - Service: ServiceLayer - Nokia. - C:\Programme\Gemeinsame Dateien\PCSuite\Services\ServiceLayer.exe O23 - Service: Webroot Spy Sweeper Engine (svcWRSSSDK) - Webroot Software, Inc. - C:\Programme\Webroot\Spy Sweeper\WRSSSDK.exe O23 - Service: V2i Protector - PowerQuest Corporation - C:\Programme\PowerQuest\Drive Image 7.0\Agent\PQV2iSvc.exe O23 - Service: X10 Device Network Service (x10nets) - X10 - C:\PROGRA~1\COMMON~1\X10\Common\x10nets.exe Wie ihr auch sehen könnt habe ich einige Online Virenscanner versucht, in der Hoffnung den Schädling zu löschen, aber egal was ich gemacht habe, ich bekomms nicht weg. Und jetzt hoffe ich auf die Experten hier auf dem Board Danke schonmal fürs Antworten |
|
12.07.2006, 22:39
| #2 | |
 | Win32/Adware.SideSearch Anwendung.......Zitat:
Was NOD32 anmeckert ist die Systemwiederherstellung! Deaktiviere diese, Starte den Rechner Neu und Systemwiederherstellung kann wieder Aktiviert werden! Gruß Mellosun EDIT: Wie gehst du ins WWW? Per DSL, ISDN oder 56 Kb Modem? Grund: R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://w**3.ca.com/securityadvisor/virusinfo/default.aspx O16 - DPF: {33331111-1111-1111-1111-611111193423} - O16 - DPF: {33331111-1111-1111-1111-611111193429} - O16 - DPF: {33331111-1111-1111-1111-615111193427} - O16 - DPF: {33331111-1131-1111-1111-611111193428} - Bei den 016 Einträgen handelt es sich um ein Dailer.....ob das mit Fixen im Abgesicherten Modus getan ist, weiß ich nicht! Sollte mal einer der Jungs beantworten, die schon länger dies machen!
__________________ Geändert von Mellosun (12.07.2006 um 22:46 Uhr) |
|
12.07.2006, 22:51
| #3 | |
| | Win32/Adware.SideSearch Anwendung.......Zitat:
das deaktivieren kann ich mal probieren, aber dann is doch dieser WIN32 immer noch da, oder? |
|
12.07.2006, 23:06
| #4 |
| | Win32/Adware.SideSearch Anwendung....... Nein, der WIN32, sitz in der Systemwiederherstellung. Wenn du diese Deaktivierst und den Rechner Neustartest, wird der Wiederherstellungspunkt gelöscht. Somit ist auch der WIN32 weg! Du kannst aber, um sicher zu gehen, noch einen eScan machen. Alles wichtige dazu, findest du hier . Lese Dir die Beschreibung genau durch und Poste dann das Ergebnis! Gruß Mellosun |
|
| Themen zu Win32/Adware.SideSearch Anwendung....... |
| adobe reader, antivirus, bho, computer, cyberlink, erste mal, excel, f-secure, fehler, festplatte, festplatte c, festplatte c:, firefox, hijack, hijackthis, home, internet, internet explorer, launch, monitor, mozilla, mozilla firefox, nicht starten, object, rundll, scan, schädling, software, starten, starten., system, trojaner, webroot, windows, windows xp, zugriff verweigert |
Linear-Darstellung
