Guten Abend zusammen

Hm, ich habe seit heute ein grosses Problem mit meinem Rechner.
Habe auch schon ausgiebigst gegooglet, leider habe ich bis jetzt aber keine Lösung für mein folgendes Problem gefunden:

Wenn ich meinen IE öffne dann gehen mit diesem noch in bis zwei Werbe Pop-Ups auf. Ich habe heute auch adware, spybot und antivir durchlaufen lassen und auch bei HijackThis mein log gepostet, nur sagen mir eigentlich alle bis auf spybot das alles i.O sei?! Spybot meldet mir weiterhin das microsoft.redirected.host ein Problem sei/habe. Habe auch mehrere Online- Scanner durchgeforstet, das komische daran, das eigentlich keiner funktioniert hat, da sich ständig diese Fenster durch das gewollte ersetzen.
Ich ahne übles... Bzw. hab nen sauschlechtes Gefühl

Ich bin einfach mal so frei und poste mein hijack log, in der Hoffnung, das mir da jemand schlaueres als ich es bin, weiterhelfen kann:

Logfile of HijackThis v1.99.1
Scan saved at 20:24:07, on 09.12.2006
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)

Running processes:
C:\WINXPPRO\System32\smss.exe
C:\WINXPPRO\system32\winlogon.exe
C:\WINXPPRO\system32\services.exe
C:\WINXPPRO\system32\lsass.exe
C:\WINXPPRO\system32\svchost.exe
C:\WINXPPRO\System32\svchost.exe
C:\WINXPPRO\system32\LEXBCES.EXE
C:\WINXPPRO\system32\LEXPPS.EXE
C:\WINXPPRO\system32\spoolsv.exe
C:\Programme\AntiVir PersonalEdition Classic\sched.exe
C:\Programme\AntiVir PersonalEdition Classic\avguard.exe
C:\WINXPPRO\system32\Ati2evxx.exe
C:\Programme\Analog Devices\SoundMAX\SMAgent.exe
C:\WINXPPRO\system32\svchost.exe
C:\WINXPPRO\system32\ZoneLabs\vsmon.exe
C:\Programme\ATI Technologies\ATI Control Panel\atiptaxx.exe
C:\PROGRA~1\Nokia\Nokia PC Suite 6\TrayApplication.exe
C:\Programme\Zone Labs\ZoneAlarm\zlclient.exe
C:\Programme\AntiVir PersonalEdition Classic\avgnt.exe
C:\Programme\Gemeinsame Dateien\Real\Update_OB\realsched.exe
C:\Programme\phonostar\ps_timer.exe
C:\Programme\MSN Messenger\msnmsgr.exe
C:\Programme\Internet Explorer\iexplore.exe
c:\progra~1\intern~1\iexplore.exe
C:\Programme\AntiVir PersonalEdition Classic\avcenter.exe
C:\WINXPPRO\system32\svchost.exe
C:\WINXPPRO\explorer.exe
C:\Programme\Internet Explorer\IEXPLORE.EXE
C:\PROGRA~1\Nokia\Nokia PC Suite 6\VFSWrapper.exe
C:\PROGRA~1\GEMEIN~1\PCSuite\DataLayer\DataLayer.exe
C:\PROGRA~1\GEMEIN~1\PCSuite\Services\ServiceLayer.exe
C:\Dokumente und Einstellungen\###\Desktop\HijackThis.exe

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = about:blank
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://w#w.google.de/
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = about:blank
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = http://google.de
O2 - BHO: Yahoo! Toolbar Helper - {02478D38-C3F9-4EFB-9B51-7695ECA05670} - C:\Programme\Yahoo!\Companion\Installs\cpn\yt.dll
O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Programme\Adobe\Acrobat 7.0\ActiveX\AcroIEHelper.dll
O2 - BHO: (no name) - {53707962-6F74-2D53-2644-206D7942484F} - C:\Programme\Spybot - Search & Destroy\SDHelper.dll
O3 - Toolbar: GMX Toolbar - {2D1DDD38-CE4D-459b-A01C-F11BC92D5B69} - C:\Programme\GMX\GMX Toolbar\toolbar.dll
O3 - Toolbar: Yahoo! Toolbar - {EF99BD32-C1FB-11D2-892F-0090271D4F88} - C:\Programme\Yahoo!\Companion\Installs\cpn\yt.dll
O4 - HKLM\..\Run: [ATIPTA] C:\Programme\ATI Technologies\ATI Control Panel\atiptaxx.exe
O4 - HKLM\..\Run: [PCSuiteTrayApplication] C:\PROGRA~1\Nokia\Nokia PC Suite 6\TrayApplication.exe
O4 - HKLM\..\Run: [Zone Labs Client] "C:\Programme\Zone Labs\ZoneAlarm\zlclient.exe"
O4 - HKLM\..\Run: [avgnt] "C:\Programme\AntiVir PersonalEdition Classic\avgnt.exe" /min
O4 - HKLM\..\Run: [RemoveWGA] C:\Dokumente und Einstellungen\+++\Desktop\RemoveWGA.exe -startup
O4 - HKLM\..\Run: [ASUS Probe] C:\Program Files\ASUS\Asus Probe\AsusProb.exe
O4 - HKLM\..\Run: [NapsterShell] C:\Programme\Napster\napster.exe /systray
O4 - HKLM\..\Run: [TkBellExe] "C:\Programme\Gemeinsame Dateien\Real\Update_OB\realsched.exe" -osboot
O4 - HKLM\..\Run: [does way poke itch] C:\Dokumente und Einstellungen\All Users.WINXPPRO\Anwendungsdaten\media bleh does way\1cash.exe
O4 - HKCU\..\Run: [PhonostarTimer] C:\Programme\phonostar\ps_timer.exe
O4 - HKCU\..\Run: [Diddl_Scr.exe] C:\Dokumente und Einstellungen\+++\Desktop\fcn5\Fcn-Skript 5.0\download\Diddl_Scr.exe
O4 - HKCU\..\Run: [MessengerPlus3] "C:\Programme\MessengerPlus! 3\MsgPlus.exe" /WinStart
O4 - HKCU\..\Run: [msnmsgr] "C:\Programme\MSN Messenger\msnmsgr.exe" /background
O4 - HKCU\..\Run: [close axis] C:\DOKUME~1\MORI&N~1\ANWEND~1\GreatAnteRect\Sixth heck wave.exe
O14 - IERESET.INF: START_PAGE_URL=http://www.freenet.de
O16 - DPF: {215B8138-A3CF-44C5-803F-8226143CFC0A} (Trend Micro ActiveX Scan Agent 6.6) - http://housecall65.trendmicro.com/housecall/applet/html/native/x86/win32/activex/hcImpl.cab
O17 - HKLM\System\CCS\Services\Tcpip\..\{A3F8907C-0C30-4272-9D96-95313926A868}: NameServer = 192.168.2.1
O17 - HKLM\System\CCS\Services\Tcpip\..\{E921F330-E1C2-45EF-A44F-18C2B3134665}: NameServer = 192.168.2.1
O18 - Protocol: livecall - {828030A1-22C1-4009-854F-8E305202313F} - C:\PROGRA~1\MSN Messenger\msgrapp.8.0.0812.00.dll
O18 - Protocol: msnim - {828030A1-22C1-4009-854F-8E305202313F} - C:\PROGRA~1\MSN Messenger\msgrapp.8.0.0812.00.dll
O20 - Winlogon Notify: WgaLogon - WgaLogon.dll (file missing)
O23 - Service: AntiVir Scheduler (AntiVirScheduler) - Avira GmbH - C:\Programme\AntiVir PersonalEdition Classic\sched.exe
O23 - Service: AntiVir PersonalEdition Classic Service (AntiVirService) - AVIRA GmbH - C:\Programme\AntiVir PersonalEdition Classic\avguard.exe
O23 - Service: Ati HotKey Poller - Unknown owner - C:\WINXPPRO\system32\Ati2evxx.exe
O23 - Service: LexBce Server (LexBceS) - Lexmark International, Inc. - C:\WINXPPRO\system32\LEXBCES.EXE
O23 - Service: SoundMAX Agent Service (SoundMAX Agent Service (default)) - Analog Devices, Inc. - C:\Programme\Analog Devices\SoundMAX\SMAgent.exe
O23 - Service: TrueVector Internet Monitor (vsmon) - Zone Labs, LLC - C:\WINXPPRO\system32\ZoneLabs\vsmon.exe


Lieben Dank schonmal im Vorraus.
Die Nina

Hi

Überprüfe mal bitte diese Dateien bei Virustotal:

C:\Dokumente und Einstellungen\+++\Desktop\RemoveWGA.exe
C:\Dokumente und Einstellungen\All Users.WINXPPRO\Anwendungsdaten\media bleh does way\1cash.exe
C:\Dokumente und Einstellungen\+++\Desktop\fcn5\Fcn-Skript 5.0\download\Diddl_Scr.exe
C:\DOKUME~1\MORI&N~1\ANWEND~1\GreatAnteRect\Sixth heck wave.exe
         

MfG

Kann das sein das da "einige" komische Sachen laufen?
Ich fass mal zusammen, was mir da seltsam vorkommt:

O4 - HKLM\..\Run: [RemoveWGA] C:\Dokumente und Einstellungen\+++\Desktop\RemoveWGA.exe -startup
O4 - HKLM\..\Run: [does way poke itch] C:\Dokumente und Einstellungen\All Users.WINXPPRO\Anwendungsdaten\media bleh does way\1cash.exe
O4 - HKCU\..\Run: [Diddl_Scr.exe] C:\Dokumente und Einstellungen\+++\Desktop\fcn5\Fcn-Skript 5.0\download\Diddl_Scr.exe
O4 - HKCU\..\Run: [close axis] C:\DOKUME~1\MORI&N~1\ANWEND~1\GreatAnteRect\Sixth heck wave.exe

Die Einträge solltest du mal genauer betrachten.
Werte mal die Dateien, die im Zitat mit angegeben sind, online bei Jotti oder Virustotal aus und poste die Ergebnisse.

C:\Programme\MessengerPlus! 3\MsgPlus.exe" /WinStart

Dieses Programm solltest du in Zukunft nicht mehr verwenden/installieren, denn es beinhaltet Spy- und Adware!

Also erstmal ein liebes Danke das sich jemand die Mühe macht und sich das Ganze mal anschaut.

Hm, habe zwei Sachen schonmal prüfen können:

Datei: Sixth_heck_wave.exe
Auslastung: 0% 100%

Status: VIELLEICHT INFIZIERT/MALWARE (Anmerkung: Diese Datei wurde lediglich durch die heuristische Detektion als Malware angezeigt. Die Ergebnisse des Scans werden daher nicht in der Datenbank gespeichert.)
Entdeckte Packprogramme: -

AntiVir Keine Viren gefunden
ArcaVir Keine Viren gefunden
Avast Keine Viren gefunden
AVG Antivirus Keine Viren gefunden
BitDefender Keine Viren gefunden
ClamAV Keine Viren gefunden
Dr.Web Keine Viren gefunden
F-Prot Antivirus Keine Viren gefunden
F-Secure Anti-Virus Keine Viren gefunden
Fortinet Keine Viren gefunden
Kaspersky Anti-Virus Keine Viren gefunden
NOD32 Keine Viren gefunden
Norman Virus Control Keine Viren gefunden
VirusBuster Keine Viren gefunden
VBA32 Trojan-Downloader.Obfuscated.1 (paranoid heuristics) gefunden (mögliche Variante)

1cash.exe :

AntiVir Keine Viren gefunden
ArcaVir Keine Viren gefunden
Avast Keine Viren gefunden
AVG Antivirus Keine Viren gefunden
BitDefender Keine Viren gefunden
ClamAV Keine Viren gefunden
Dr.Web Keine Viren gefunden
F-Prot Antivirus Keine Viren gefunden
F-Secure Anti-Virus Keine Viren gefunden
Fortinet Keine Viren gefunden
Kaspersky Anti-Virus Keine Viren gefunden
NOD32 Keine Viren gefunden
Norman Virus Control Keine Viren gefunden
VirusBuster Keine Viren gefunden
VBA32 Trojan-Downloader.Obfuscated.1 (paranoid heuristics) gefunden (mögliche Variante)

So, das schonmal dazu.

Zu den anderen beiden eventuell kritischen Punkten, muss ich leider sagen, das ich trotz zehnmal nachschauen und einigen "Augenreibern" nichts! mehr vom fcn5 Skript finden konnte, noch war die diddl.exe an dem Platz wo sie eigentlich sein sollte. Die habe ich nämlich irgendwo durch die Suche in meinen Bildchen gefunden *suspekt* und überprüft, da sagt der online scan aber das kein Virus gefunden wurde...

Sagts mir nur, es steht nicht gut um meinen Kleinen? Ich fühle sowas

Gute Nacht zusammen bis dahin, die Nina

Prüfe das System mit F-Secure Blacklight und poste danach das Logfile.

Prüfe Dein System mit Ewido ewido - anti-spyware and anti-malware solutions Lasse alles löschen, was vorgeschlagen wird. Poste das Ergebnis, aber bitte lösche vorher aus dem Log alles was mit Cookies zu tun hat.

Guten morgen

Habe eben mal beide scans durchlaufen lassen, hier nun die Ergebnisse:

12/10/06 10:17:15 [Info]: BlackLight Engine 1.0.47 initialized
12/10/06 10:17:15 [Info]: OS: 5.1 build 2600 (Service Pack 2)
12/10/06 10:17:15 [Note]: 7019 4
12/10/06 10:17:15 [Note]: 7005 0
12/10/06 10:17:16 [Note]: 7006 0
12/10/06 10:17:16 [Note]: 7011 1408
12/10/06 10:17:17 [Note]: 7026 0
12/10/06 10:17:17 [Note]: 7026 0
12/10/06 10:17:35 [Note]: FSRAW library version 1.7.1020
12/10/06 10:24:27 [Note]: 2000 1012
12/10/06 10:24:27 [Note]: 2000 1012
12/10/06 10:24:27 [Note]: 7007 0


ewido anti-spyware online scanner
http://www.ewido.net
__________________________________________________



Name: Not-A-Virus.Exploit.HTML.Mht
Path: C:\Dokumente und Einstellungen\Administrator\Lokale Einstellungen\Temporary Internet Files\Content.IE5\2L8BATA5\klingeltonpolyphon[1]
Risk: Low

Name: Adware.Yahoo
Path: C:\Dokumente und Einstellungen\###\Desktop\backups\backup-20060514-204712-796.dll
Risk: Medium

Name: Adware.NewDotNet
Path: C:\Dokumente und Einstellungen\###\Desktop\CEDP-Stealer-Setup.exe
Risk: Medium

Name: Heuristic.Win32.Morphine-Crypted
Path: C:\Dokumente und Einstellungen\###\Eigene Dateien\Eigene Musik\Ninji05\OnlineEye.Professional.v1.4.9d.SnD.by.GEAR.for.www.goldesel.6x.to\OnlineEye.Professional.v1.4.9d.SnD.by.GEAR.for.www.goldesel.6x.to\Keyg en\keygen.exe
Risk: Questionable

Name: Adware.Yahoo
Path: C:\Programme\Yahoo!\Messenger\ycomp.dll
Risk: Medium


Bis dahin, einen angenehmen Sonntag
Grüsschen, die Nina

C:\Dokumente und Einstellungen\###\Eigene Dateien\Eigene Musik\Ninji05\OnlineEye.Professional.v1.4.9d.SnD.b y.GEAR.for.www.goldesel.6x.to\OnlineEye.Profession al.v1.4.9d.SnD.by.GEAR.for.www.goldesel.6x.to\Keyg en\keygen.exe

wer lädt denn solche Dinger runter??

1. Software aus dubiosen Quellen führt man nicht aus.
2. Räum mal Dein System mit dem CCleaner auf, um temp. Dateien zu löschen.
3. Verabschiede dich vom IE (nutz ihn nicht mehr zum normalen Surfen) und nimm lieber Alternativbrowser wie Firefox oder Opera.
4. Richte dir ein eingeschränktes Benutzerkonto zumindest nur zum Surfen ein.
5. Fixe mit HijackThis folgende Einträge und lösch diese Dateien.

O4 - HKLM\..\Run: [does way poke itch] C:\Dokumente und Einstellungen\All Users.WINXPPRO\Anwendungsdaten\media bleh does way\1cash.exe
O4 - HKCU\..\Run: [Diddl_Scr.exe] C:\Dokumente und Einstellungen\+++\Desktop\fcn5\Fcn-Skript 5.0\download\Diddl_Scr.exe
O4 - HKCU\..\Run: [close axis] C:\DOKUME~1\MORI&N~1\ANWEND~1\GreatAnteRect\Sixth heck wave.exe

6. Starte dein System neu und mach einen Check mit eScan, folge dem Link in meiner Sig. Poste das mit der FIND.BAT erstellte Logfile.

Dann sehen wir mal weiter. Vllt. schadet es nicht, wenn du auch mal ein Log von datfind.bat postest.