IE 7 öffnet eigenwillig URL's ?

MisterSonic · 01.01.2009, 20:37

Guten Abend,

ich bin neu hier im Forum und hoffe auf eure Hilfe. Vor einigen Tagen bemerkte ich das der PC eines bekannten eingewillig URL's öffnet ... in
einem neuen Tab des Internet Explorers öffnet.

h**p://em.pc-on-internet.com/eas?cu=33&login=672125&nums=N0E1DEI5Q72135573

diese Url leitet einen dann automatisch zu irgendeiner Partnervermittlung oder so ähnlich weiter, auch h**p://www.quelle.de geht desöfteren mal auf.

Da der bekannte selbst sehr wenig PC Kenntnisse hat und mein Wissen über Windows Vista auch sehr begrenzt ist geb ich euch hier mal die Infos die ich finden konnte ....

IE-Version 7.0.6000.16764
Windows Vista, 32 bit

Das System updatet sich automatisch und regelmässig, ein Komplettscan von Norton Antivirus 2008 blieb ohne Ergebnisse.

Ich hoffe auf eure Hilfe ...wenn ihr weitere Angaben braucht, sagt mir bitte bescheid ... und am besten auch wo ich diese finden kann.

MfG Patrick.

Verschieb
Gruß cad

john.doe · 01.01.2009, 22:56

Frohes neues Jahr und

Fangen wir doch am Besten vorne an. Wir benötigen ein Hijackthis-Logfile.
Folge dieser Anleitung: http://www.trojaner-board.de/51130-a...ijackthis.html

Beachte vor dem Posten folgende Regeln:
http://www.trojaner-board.de/22770-a...log-files.html

Einfacher ist es aus allen http => htp zu machen.

ciao, andreas

MisterSonic · 01.01.2009, 23:15

Hallo erstmal danke für deine Antwort ... hier der aktuelle HijackThis File....
..auf Grund der länge musst ich es leider auf 2 Nachrichten aufteilen...

Code:

ATTFilter

Logfile of Trend Micro HijackThis v2.0.2
Scan saved at 23:09:46, on 01.01.2009
Platform: Windows Vista  (WinNT 6.00.1904)
MSIE: Internet Explorer v7.00 (7.00.6000.16764)
Boot mode: Normal

Running processes:
C:\Windows\system32\taskeng.exe
C:\Windows\system32\Dwm.exe
C:\Windows\Explorer.EXE
C:\Program Files\Windows Defender\MSASCui.exe
C:\Windows\System32\rundll32.exe
C:\Windows\RtHDVCpl.exe
C:\RecInfo\RecInfo.exe
C:\Program Files\Java\jre6\bin\jusched.exe
C:\Windows\V0420Mon.exe
C:\Program Files\Windows Sidebar\sidebar.exe
C:\Windows\ehome\ehtray.exe
C:\Program Files\Common Files\Symantec Shared\ccSvcHst.exe
C:\Program Files\Windows Live\Messenger\msnmsgr.exe
C:\Program Files\Creative\Creative Live! Cam\Live! Cam Manager\CTLCMgr.exe
C:\Program Files\Creative\Shared Files\CTSched.exe
C:\Users\zorro\AppData\Local\emsyyoo.exe
C:\Windows\System32\rundll32.exe
C:\Windows\ehome\ehmsas.exe
C:\Program Files\Windows Media Player\wmpnscfg.exe
C:\Program Files\Yahoo!\Messenger\ymsgr_tray.exe
C:\Program Files\Internet Explorer\ieuser.exe
C:\Program Files\Common Files\Microsoft Shared\Windows Live\WLLoginProxy.exe
C:\Program Files\Internet Explorer\iexplore.exe
C:\Windows\system32\wuauclt.exe
C:\Windows\system32\SearchFilterHost.exe
C:\Users\zorro\Desktop\HiJackThis.exe
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = h**p://de.rd.yahoo.com/customize/ie/defaults/sp/msgr8/*h**p://de.search.yahoo.com
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = h**p://www.google.de/
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = h**p://de.yahoo.com
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = h**p://de.rd.yahoo.com/customize/ie/defaults/su/msgr8/*h**p://de.search.yahoo.com
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = h**p://de.rd.yahoo.com/customize/ie/defaults/sp/msgr8/*h**p://de.search.yahoo.com
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = h**p://de.yahoo.com
R0 - HKLM\Software\Microsoft\Internet Explorer\Search,CustomizeSearch = 
R1 - HKCU\Software\Microsoft\Internet Explorer\SearchURL,(Default) = h**p://de.rd.yahoo.com/customize/ie/defaults/su/msgr8/*h**p://de.search.yahoo.com
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = 
O1 - Hosts: ::1 localhost
O2 - BHO: &Yahoo! Toolbar Helper - {02478D38-C3F9-4efb-9B51-7695ECA05670} - C:\PROGRA~1\Yahoo!\Companion\Installs\cpn\yt.dll
O2 - BHO: XTTBPos00 - {055FD26D-3A88-4e15-963D-DC8493744B1D} - C:\PROGRA~1\ICQTOO~1\toolbaru.dll
O2 - BHO: Adobe PDF Reader - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Program Files\Common Files\Adobe\Acrobat\ActiveX\AcroIEHelper.dll
O2 - BHO: Symantec Intrusion Prevention - {6D53EC84-6AAE-4787-AEEE-F4628F01010C} - C:\PROGRA~1\COMMON~1\SYMANT~1\IDS\IPSBHO.dll
O2 - BHO: Java(tm) Plug-In SSV Helper - {761497BB-D6F0-462C-B6EB-D4DAF1D92D43} - C:\Program Files\Java\jre6\bin\ssv.dll
O2 - BHO: (no name) - {7E853D72-626A-48EC-A868-BA8D5E23E045} - (no file)
O2 - BHO: Windows Live Anmelde-Hilfsprogramm - {9030D464-4C02-4ABF-8ECC-5164760863C6} - C:\Program Files\Common Files\Microsoft Shared\Windows Live\WindowsLiveLogin.dll
O2 - BHO: Google Toolbar Helper - {AA58ED58-01DD-4d91-8333-CF10577473F7} - c:\program files\google\googletoolbar1.dll
O2 - BHO: Java(tm) Plug-In 2 SSV Helper - {DBC80044-A445-435b-BC74-9C25C1C588A9} - C:\Program Files\Java\jre6\bin\jp2ssv.dll
O3 - Toolbar: &Google - {2318C2B1-4965-11d4-9B18-009027A5CD4F} - c:\program files\google\googletoolbar1.dll
O3 - Toolbar: ICQ Toolbar - {855F3B16-6D32-4fe6-8A56-BBB695989046} - C:\PROGRA~1\ICQTOO~1\toolbaru.dll
O3 - Toolbar: Yahoo! Toolbar - {EF99BD32-C1FB-11D2-892F-0090271D4F88} - C:\PROGRA~1\Yahoo!\Companion\Installs\cpn\yt.dll
O4 - HKLM\..\Run: [Windows Defender] %ProgramFiles%\Windows Defender\MSASCui.exe -hide
O4 - HKLM\..\Run: [NvSvc] RUNDLL32.EXE C:\Windows\system32\nvsvc.dll,nvsvcStart
O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\Windows\system32\NvCpl.dll,NvStartup
O4 - HKLM\..\Run: [NvMediaCenter] RUNDLL32.EXE C:\Windows\system32\NvMcTray.dll,NvTaskbarInit
O4 - HKLM\..\Run: [RtHDVCpl] RtHDVCpl.exe
O4 - HKLM\..\Run: [Adobe Reader Speed Launcher] "C:\Program Files\Adobe\Reader 8.0\Reader\Reader_sl.exe"
O4 - HKLM\..\Run: [recinfo714] c:\RecInfo\RecInfo.exe
O4 - HKLM\..\Run: [SunJavaUpdateSched] "C:\Program Files\Java\jre6\bin\jusched.exe"
O4 - HKLM\..\Run: [NBKeyScan] "C:\Program Files\Nero\Nero8\Nero BackItUp\NBKeyScan.exe"
O4 - HKLM\..\Run: [C:\Windows\system32\V0420Cvw.dll] C:\Windows\system32\RegSvr32.exe /s C:\Windows\system32\V0420Cvw.dll
O4 - HKLM\..\Run: [V0420Mon.exe] C:\Windows\V0420Mon.exe
O4 - HKLM\..\Run: [C:\Windows\system32\V0420Ext.ax] C:\Windows\system32\RegSvr32.exe /s C:\Windows\system32\V0420Ext.ax
O4 - HKLM\..\Run: [ccApp] "C:\Program Files\Common Files\Symantec Shared\ccApp.exe"
O4 - HKCU\..\Run: [Sidebar] C:\Program Files\Windows Sidebar\sidebar.exe /autoRun
O4 - HKCU\..\Run: [fsc-reg] C:\ProgramData\fsc-reg\fscreg.exe 20081224
O4 - HKCU\..\Run: [ehTray.exe] C:\Windows\ehome\ehTray.exe
O4 - HKCU\..\Run: [Yahoo! Pager] "C:\PROGRA~1\Yahoo!\MESSEN~1\YAHOOM~1.EXE" -quiet
O4 - HKCU\..\Run: [MsnMsgr] "C:\Program Files\Windows Live\Messenger\MsnMsgr.Exe" /background

MisterSonic · 01.01.2009, 23:16

Code:

ATTFilter

O4 - HKCU\..\Run: [dmlng.exe] C:\Windows\system32\dmlng.exe
O4 - HKCU\..\Run: [dmqlg.tmp] C:\Windows\system32\dmqlg.tmp
O4 - HKCU\..\Run: [dmedz.tmp] C:\Windows\system32\dmedz.tmp
O4 - HKCU\..\Run: [dmycd.tmp] C:\Windows\system32\dmycd.tmp
O4 - HKCU\..\Run: [dmhqm.tmp] C:\Windows\system32\dmhqm.tmp
O4 - HKCU\..\Run: [dmlre.tmp] C:\Windows\system32\dmlre.tmp
O4 - HKCU\..\Run: [dmrlt.tmp] C:\Windows\system32\dmrlt.tmp
O4 - HKCU\..\Run: [dmcxu.tmp] C:\Windows\system32\dmcxu.tmp
O4 - HKCU\..\Run: [dmpqi.tmp] C:\Windows\system32\dmpqi.tmp
O4 - HKCU\..\Run: [dmlfs.tmp] C:\Windows\system32\dmlfs.tmp
O4 - HKCU\..\Run: [dmcaj.tmp] C:\Windows\system32\dmcaj.tmp
O4 - HKCU\..\Run: [dmkgj.tmp] C:\Windows\system32\dmkgj.tmp
O4 - HKCU\..\Run: [dmoux.tmp] C:\Windows\system32\dmoux.tmp
O4 - HKCU\..\Run: [dmuqh.tmp] C:\Windows\system32\dmuqh.tmp
O4 - HKCU\..\Run: [dmqeo.tmp] C:\Windows\system32\dmqeo.tmp
O4 - HKCU\..\Run: [dmpzd.tmp] C:\Windows\system32\dmpzd.tmp
O4 - HKCU\..\Run: [dmafj.tmp] C:\Windows\system32\dmafj.tmp
O4 - HKCU\..\Run: [swg] C:\Program Files\Google\GoogleToolbarNotifier\1.2.1128.5462\GoogleToolbarNotifier.exe
O4 - HKCU\..\Run: [dmgej.tmp] C:\Windows\system32\dmgej.tmp
O4 - HKCU\..\Run: [dmxay.tmp] C:\Windows\system32\dmxay.tmp
O4 - HKCU\..\Run: [dmilb.tmp] C:\Windows\system32\dmilb.tmp
O4 - HKCU\..\Run: [dmuly.tmp] C:\Windows\system32\dmuly.tmp
O4 - HKCU\..\Run: [dmtxy.tmp] C:\Windows\system32\dmtxy.tmp
O4 - HKCU\..\Run: [dmcob.tmp] C:\Windows\system32\dmcob.tmp
O4 - HKCU\..\Run: [dmyph.tmp] C:\Windows\system32\dmyph.tmp
O4 - HKCU\..\Run: [dmgxx.tmp] C:\Windows\system32\dmgxx.tmp
O4 - HKCU\..\Run: [dmzlv.tmp] C:\Windows\system32\dmzlv.tmp
O4 - HKCU\..\Run: [dmlka.tmp] C:\Windows\system32\dmlka.tmp
O4 - HKCU\..\Run: [dmzhs.tmp] C:\Windows\system32\dmzhs.tmp
O4 - HKCU\..\Run: [dmtpf.tmp] C:\Windows\system32\dmtpf.tmp
O4 - HKCU\..\Run: [dmymf.tmp] C:\Windows\system32\dmymf.tmp
O4 - HKCU\..\Run: [dmsaf.tmp] C:\Windows\system32\dmsaf.tmp
O4 - HKCU\..\Run: [dmujs.tmp] C:\Windows\system32\dmujs.tmp
O4 - HKCU\..\Run: [dmjui.tmp] C:\Windows\system32\dmjui.tmp
O4 - HKCU\..\Run: [dmvyy.tmp] C:\Windows\system32\dmvyy.tmp
O4 - HKCU\..\Run: [dmosg.tmp] C:\Windows\system32\dmosg.tmp
O4 - HKCU\..\Run: [dmhgw.tmp] C:\Windows\system32\dmhgw.tmp
O4 - HKCU\..\Run: [dmdsj.tmp] C:\Windows\system32\dmdsj.tmp
O4 - HKCU\..\Run: [dmoob.tmp] C:\Windows\system32\dmoob.tmp
O4 - HKCU\..\Run: [dmymt.tmp] C:\Windows\system32\dmymt.tmp
O4 - HKCU\..\Run: [dmxea.tmp] C:\Windows\system32\dmxea.tmp
O4 - HKCU\..\Run: [dmbcr.tmp] C:\Windows\system32\dmbcr.tmp
O4 - HKCU\..\Run: [dmuwx.tmp] C:\Windows\system32\dmuwx.tmp
O4 - HKCU\..\Run: [dmsrl.tmp] C:\Windows\system32\dmsrl.tmp
O4 - HKCU\..\Run: [dmdze.tmp] C:\Windows\system32\dmdze.tmp
O4 - HKCU\..\Run: [dmlgv.tmp] C:\Windows\system32\dmlgv.tmp
O4 - HKCU\..\Run: [dmjes.tmp] C:\Windows\system32\dmjes.tmp
O4 - HKCU\..\Run: [dmhdc.tmp] C:\Windows\system32\dmhdc.tmp
O4 - HKCU\..\Run: [dmmsj.tmp] C:\Windows\system32\dmmsj.tmp
O4 - HKCU\..\Run: [dmnqh.tmp] C:\Windows\system32\dmnqh.tmp
O4 - HKCU\..\Run: [dmzsc.tmp] C:\Windows\system32\dmzsc.tmp
O4 - HKCU\..\Run: [dmzzt.tmp] C:\Windows\system32\dmzzt.tmp
O4 - HKCU\..\Run: [dmnvf.tmp] C:\Windows\system32\dmnvf.tmp
O4 - HKCU\..\Run: [dmjsh.tmp] C:\Windows\system32\dmjsh.tmp
O4 - HKCU\..\Run: [dmdwu.tmp] C:\Windows\system32\dmdwu.tmp
O4 - HKCU\..\Run: [dmhsk.tmp] C:\Windows\system32\dmhsk.tmp
O4 - HKCU\..\Run: [dmlct.tmp] C:\Windows\system32\dmlct.tmp
O4 - HKCU\..\Run: [dmavy.tmp] C:\Windows\system32\dmavy.tmp
O4 - HKCU\..\Run: [dmbsx.tmp] C:\Windows\system32\dmbsx.tmp
O4 - HKCU\..\Run: [dmsys.tmp] C:\Windows\system32\dmsys.tmp
O4 - HKCU\..\Run: [dmrqj.tmp] C:\Windows\system32\dmrqj.tmp
O4 - HKCU\..\Run: [dmehq.tmp] C:\Windows\system32\dmehq.tmp
O4 - HKCU\..\Run: [dmvkz.tmp] C:\Windows\system32\dmvkz.tmp
O4 - HKCU\..\Run: [dmzzk.tmp] C:\Windows\system32\dmzzk.tmp
O4 - HKCU\..\Run: [dmegu.tmp] C:\Windows\system32\dmegu.tmp
O4 - HKCU\..\Run: [dmzjf.tmp] C:\Windows\system32\dmzjf.tmp
O4 - HKCU\..\Run: [dmzqt.tmp] C:\Windows\system32\dmzqt.tmp
O4 - HKCU\..\Run: [dmcnk.tmp] C:\Windows\system32\dmcnk.tmp
O4 - HKCU\..\Run: [dmpyd.tmp] C:\Windows\system32\dmpyd.tmp
O4 - HKCU\..\Run: [dmazx.tmp] C:\Windows\system32\dmazx.tmp
O4 - HKCU\..\Run: [dmhxb.tmp] C:\Windows\system32\dmhxb.tmp
O4 - HKCU\..\Run: [dmbvz.tmp] C:\Windows\system32\dmbvz.tmp
O4 - HKCU\..\Run: [dmpwg.tmp] C:\Windows\system32\dmpwg.tmp
O4 - HKCU\..\Run: [dmgay.tmp] C:\Windows\system32\dmgay.tmp
O4 - HKCU\..\Run: [dmpqp.tmp] C:\Windows\system32\dmpqp.tmp
O4 - HKCU\..\Run: [dmbcs.tmp] C:\Windows\system32\dmbcs.tmp
O4 - HKCU\..\Run: [dmsqy.tmp] C:\Windows\system32\dmsqy.tmp
O4 - HKCU\..\Run: [dmzea.tmp] C:\Windows\system32\dmzea.tmp
O4 - HKCU\..\Run: [dmtyq.tmp] C:\Windows\system32\dmtyq.tmp
O4 - HKCU\..\Run: [dmtky.tmp] C:\Windows\system32\dmtky.tmp
O4 - HKCU\..\Run: [dmicz.tmp] C:\Windows\system32\dmicz.tmp
O4 - HKCU\..\Run: [dmwdd.tmp] C:\Windows\system32\dmwdd.tmp
O4 - HKCU\..\Run: [dmgct.tmp] C:\Windows\system32\dmgct.tmp
O4 - HKCU\..\Run: [dmluf.tmp] C:\Windows\system32\dmluf.tmp
O4 - HKCU\..\Run: [dmvui.tmp] C:\Windows\system32\dmvui.tmp
O4 - HKCU\..\Run: [dmtay.tmp] C:\Windows\system32\dmtay.tmp
O4 - HKCU\..\Run: [dmtdd.tmp] C:\Windows\system32\dmtdd.tmp
O4 - HKCU\..\Run: [dmadh.tmp] C:\Windows\system32\dmadh.tmp
O4 - HKCU\..\Run: [dmflg.tmp] C:\Windows\system32\dmflg.tmp
O4 - HKCU\..\Run: [dmmaf.tmp] C:\Windows\system32\dmmaf.tmp
O4 - HKCU\..\Run: [dmncy.tmp] C:\Windows\system32\dmncy.tmp
O4 - HKCU\..\Run: [dmyng.tmp] C:\Windows\system32\dmyng.tmp
O4 - HKCU\..\Run: [dmgha.tmp] C:\Windows\system32\dmgha.tmp
O4 - HKCU\..\Run: [dmoiy.tmp] C:\Windows\system32\dmoiy.tmp
O4 - HKCU\..\Run: [dmeul.tmp] C:\Windows\system32\dmeul.tmp
O4 - HKCU\..\Run: [dmckw.tmp] C:\Windows\system32\dmckw.tmp
O4 - HKCU\..\Run: [dmgsh.tmp] C:\Windows\system32\dmgsh.tmp
O4 - HKCU\..\Run: [dmaer.tmp] C:\Windows\system32\dmaer.tmp
O4 - HKCU\..\Run: [dmxnx.tmp] C:\Windows\system32\dmxnx.tmp
O4 - HKCU\..\Run: [dmfom.tmp] C:\Windows\system32\dmfom.tmp
O4 - HKCU\..\Run: [dmsic.tmp] C:\Windows\system32\dmsic.tmp
O4 - HKCU\..\Run: [dmoep.tmp] C:\Windows\system32\dmoep.tmp
O4 - HKCU\..\Run: [dmnxp.tmp] C:\Windows\system32\dmnxp.tmp
O4 - HKCU\..\Run: [dmrfh.tmp] C:\Windows\system32\dmrfh.tmp
O4 - HKCU\..\Run: [dmkso.tmp] C:\Windows\system32\dmkso.tmp
O4 - HKCU\..\Run: [dmpdn.tmp] C:\Windows\system32\dmpdn.tmp
O4 - HKCU\..\Run: [dmqik.tmp] C:\Windows\system32\dmqik.tmp
O4 - HKCU\..\Run: [dmzbo.tmp] C:\Windows\system32\dmzbo.tmp
O4 - HKCU\..\Run: [dmsrc.tmp] C:\Windows\system32\dmsrc.tmp
O4 - HKCU\..\Run: [dmnfj.tmp] C:\Windows\system32\dmnfj.tmp
O4 - HKCU\..\Run: [dmgkx.tmp] C:\Windows\system32\dmgkx.tmp
O4 - HKCU\..\Run: [dmttf.tmp] C:\Windows\system32\dmttf.tmp
O4 - HKCU\..\Run: [dmxge.tmp] C:\Windows\system32\dmxge.tmp
O4 - HKCU\..\Run: [dmdra.tmp] C:\Windows\system32\dmdra.tmp
O4 - HKCU\..\Run: [dmiqi.tmp] C:\Windows\system32\dmiqi.tmp
O4 - HKCU\..\Run: [dmqtc.tmp] C:\Windows\system32\dmqtc.tmp
O4 - HKCU\..\Run: [dmuli.tmp] C:\Windows\system32\dmuli.tmp
O4 - HKCU\..\Run: [dmnln.tmp] C:\Windows\system32\dmnln.tmp
O4 - HKCU\..\Run: [dmjds.tmp] C:\Windows\system32\dmjds.tmp
O4 - HKCU\..\Run: [dmqcu.tmp] C:\Windows\system32\dmqcu.tmp
O4 - HKCU\..\Run: [dmwek.tmp] C:\Windows\system32\dmwek.tmp
O4 - HKCU\..\Run: [dmiqm.tmp] C:\Windows\system32\dmiqm.tmp
O4 - HKCU\..\Run: [dmwxp.tmp] C:\Windows\system32\dmwxp.tmp
O4 - HKCU\..\Run: [dmvmf.tmp] C:\Windows\system32\dmvmf.tmp
O4 - HKCU\..\Run: [dmudk.tmp] C:\Windows\system32\dmudk.tmp
O4 - HKCU\..\Run: [dmsra.tmp] C:\Windows\system32\dmsra.tmp
O4 - HKCU\..\Run: [dmovw.tmp] C:\Windows\system32\dmovw.tmp
O4 - HKCU\..\Run: [dmsbh.tmp] C:\Windows\system32\dmsbh.tmp
O4 - HKCU\..\Run: [dmtox.tmp] C:\Windows\system32\dmtox.tmp
O4 - HKCU\..\Run: [dmytg.tmp] C:\Windows\system32\dmytg.tmp
O4 - HKCU\..\Run: [dmmjq.tmp] C:\Windows\system32\dmmjq.tmp
O4 - HKCU\..\Run: [dmcxv.tmp] C:\Windows\system32\dmcxv.tmp
O4 - HKCU\..\Run: [dmxup.tmp] C:\Windows\system32\dmxup.tmp
O4 - HKCU\..\Run: [dmmvr.tmp] C:\Windows\system32\dmmvr.tmp
O4 - HKCU\..\Run: [dmakd.tmp] C:\Windows\system32\dmakd.tmp
O4 - HKCU\..\Run: [dmaqr.tmp] C:\Windows\system32\dmaqr.tmp
O4 - HKCU\..\Run: [dmwtc.tmp] C:\Windows\system32\dmwtc.tmp
O4 - HKCU\..\Run: [dmnbs.tmp] C:\Windows\system32\dmnbs.tmp
O4 - HKCU\..\Run: [dmzov.tmp] C:\Windows\system32\dmzov.tmp
O4 - HKCU\..\Run: [dmbnr.tmp] C:\Windows\system32\dmbnr.tmp
O4 - HKCU\..\Run: [dmhej.tmp] C:\Windows\system32\dmhej.tmp
O4 - HKCU\..\Run: [dmusq.tmp] C:\Windows\system32\dmusq.tmp
O4 - HKCU\..\Run: [dmkec.tmp] C:\Windows\system32\dmkec.tmp
O4 - HKCU\..\Run: [dmozs.tmp] C:\Windows\system32\dmozs.tmp
O4 - HKCU\..\Run: [dmwis.tmp] C:\Windows\system32\dmwis.tmp
O4 - HKCU\..\Run: [dmunu.tmp] C:\Windows\system32\dmunu.tmp
O4 - HKCU\..\Run: [dmotf.tmp] C:\Windows\system32\dmotf.tmp
O4 - HKCU\..\Run: [dmswg.tmp] C:\Windows\system32\dmswg.tmp
O4 - HKCU\..\Run: [dmtlj.tmp] C:\Windows\system32\dmtlj.tmp
O4 - HKCU\..\Run: [dmocz.tmp] C:\Windows\system32\dmocz.tmp

MisterSonic · 01.01.2009, 23:18

VERDAMMT!

Jetzt hab ich die Option ne Datei anzuhängen gefunden... Sorry!!
Also im Anhang das komplette Log!

john.doe · 01.01.2009, 23:20

Das ist noch nicht vollständig. Lade das Log bei rapidshare.de hoch und stelle hier den Link rein.

ciao, andreas

MisterSonic · 01.01.2009, 23:27

Hab dir im gleichen Moment gemailt was ich tun soll.

http://patrix.kilu.de/hijackthis.txt

mfg patrick!

john.doe · 01.01.2009, 23:52

Code:

ATTFilter

--
End of file - 40265 bytes

Ich habe ja schon einige HJT-Logs gesehen, aber du bist die Krönung. :aplaus:

Stell sicher, daß Dir auch alle Dateien angezeigt werden, danach folgende Dateien bei Virustotal.com auswerten lassen und alle Ergebnisse posten, und zwar so, daß man die der einzelnen Virenscanner sehen kann. Bitte mit Dateigrößen und Prüfsummen:

Code:

ATTFilter

C:\RecInfo\RecInfo.exe
C:\Users\zorro\AppData\Local\emsyyoo.exe
C:\Windows\system32\V0420Cvw.dll
C:\Windows\V0420Mon.exe
C:\Windows\system32\V0420Ext.ax
C:\ProgramData\fsc-reg\fscreg.exe
C:\Windows\system32\dmina.tmp

ciao, andreas

MisterSonic · 02.01.2009, 17:30

Hallo!

Habe die Dateien heute Auswerten lassen, allerdings existiert die von dir zuletzt aufgeführte Datei "C:\Windows\system32\dmina.tmp" nicht mehr.
Habe alle ergebnisse in eine Textdatei kopiert, die Formatierung ist nun
zwar hin, aber man kann 's lesen.
Hier der Link zur Textdatei
http://patrix.kilu.de/auswertung.txt

bei der fscreg.exe lieferte Panda ein ergebnis ....

Danke im vorraus für deine Hilfe, gruß Patrick.

john.doe · 02.01.2009, 17:40

Moin,

Zitat:

Habe die Dateien heute Auswerten lassen, allerdings existiert die von dir zuletzt aufgeführte Datei "C:\Windows\system32\dmina.tmp" nicht mehr.

Dann nimm irgendeine Datei, die im Ordner C:\Windows\system32 ist, mit d beginnt und mit .tmp endet.

Bitte lade Dir Navilog1 von IL-MAFIOSO herunter.

Führe die Datei navilog1.exe aus, eine Installationsroutine wird beginnen.
Sollte das Programm nach Abschluß der Installation nicht automatisch gestartet werden, führe es bitte per Doppelklick auf das Navilog1-Shortcut auf deinem Desktop aus.
Wähle E für Englisch im Sprachenmenü
Wähle 1 im nächsten Menü um "Suche" auszuwählen. Bestätige mit Enter.
Die Dauer des Scans kann variieren, bitte abwarten. Wenn du aufgefordert wirst, eine Taste zu drücken, tue dies bitte.
Ein neues Dokument sollte erstellt und geöffnet werden: fixnavi.txt.
Bitte füge den Inhalt dieser Datei in deine nächste Antwort ein.

Der Bericht wird außerdem im Hauptverzeichnis (z.B.: "C:\") erstellt.

Hinweis:
Navilog1.exe wir von einigen Antivirenprogrammen als bösartig erkannt. Dies ist ein Fehlalarm. Die Nachricht bitte ignorieren.

ciao, andreas

MisterSonic · 02.01.2009, 18:03

So hier das gewünschte log

Code:

ATTFilter

Search Navipromo version 3.7.0 began on 02.01.2009 at 17:52:26,71

!!! Warning, this report may include legitimate files/programs !!!
!!! Post this report on the forum you are being helped !!!
!!! Don't continue with removal unless instructed by an authorized helper !!!

Fix running from C:\Program Files\navilog1

Updated on 10.12.2008 at 21h00 by IL-MAFIOSO

Microsoft® Windows Vista™ Home Premium  ( v6.0.6000 ) 
X86-based PC ( Multiprocessor Free : Genuine Intel(R) CPU            2140  @ 1.60GHz )
BIOS : Default System BIOS
USER : zorro ( Administrator )
BOOT : Normal boot

Antivirus : Avira AntiVir PersonalEdition 8.0.1.30 (Activated)
Firewall  : Norton AntiVirus 15.0.0.58 (Activated)

C:\ (Local Disk) - NTFS - Total:216 Go (Free:156 Go)
D:\ (Local Disk) - NTFS - Total:107 Go (Free:107 Go)
E:\ (CD or DVD)
F:\ (USB)
G:\ (USB)
H:\ (USB)
I:\ (USB)
J:\ (USB)


Search done in normal mode

*** Searching for installed Software ***


*** Search folders in "C:\Windows" ***


*** Search folders in "C:\Program Files" ***


*** Search folders in "c:\progra~2\micros~1\windows\startm~1\programs" ***


*** Search folders in "c:\progra~2\micros~1\windows\startm~1" ***


*** Search folders in "C:\ProgramData" ***


*** Search folders in "c:\users\zorro\appdata\roaming\micros~1\windows\startm~1\programs" ***


*** Search folders in "C:\Users\zorro\AppData\Local\virtualstore\Program Files" ***


*** Search folders in "C:\Users\zorro\AppData\Roaming" ***


*** Search with Catchme-rootkit/stealth malware detector by gmer ***
for more info : http://www.gmer.net

Hidden file(s) :

C:\Users\zorro\AppData\Local\emsyyoo.dat
C:\Users\zorro\AppData\Local\emsyyoo.exe
C:\Users\zorro\AppData\Local\emsyyoo_nav.dat
C:\Users\zorro\AppData\Local\emsyyoo_navps.dat


*** Search with GenericNaviSearch ***
!!! Possibility of legitimate files in the result !!!
!!! Must always be checked before manually deleting !!!

* Scan in "C:\Windows\system32" *

* Scan in "C:\Users\zorro\AppData\Local\Microsoft" *

* Scan in "C:\Users\zorro\AppData\Local\virtualstore\windows\system32" *

* Scan in "C:\Users\zorro\AppData\Local" *



*** Search files *** 



*** Search specific Registry keys ***
!! Following keys are not certainly all infected !!

HKEY_CURRENT_USER\Software\Lanconfig found ! 

[HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
"emsyyoo"="\"c:\\users\\zorro\\appdata\\local\\emsyyoo.exe\" emsyyoo"


*** Complementary Search ***
(Search specific files)

1)Search new Instant Access files :


2)Heuristic Search :

* In "C:\Windows\system32" :


* In "C:\Users\zorro\AppData\Local\Microsoft" :


* In "C:\Users\zorro\AppData\Local\virtualstore\windows\system32" :


* In "C:\Users\zorro\AppData\Local" :

emsyyoo.exe found !
emsyyoo.dat found !
emsyyoo_nav.dat found !
emsyyoo_navps.dat found !
qakkiii.dat found !
qakkiii_nav.dat found !
qakkiii_navps.dat found !
qakkiii_navup.dat found !

3)Certificates Search :

Egroup certificate found !
Electronic-Group certificate found !
Montorgueil certificate not found !
OOO-Favorit certificate found !
Sunny-Day-Design-Ltd certificate not found !

4)Search others known folders and files :



*** Search completed on 02.01.2009 at 18:02:39,50 ***

im System32 Verz. findet sich keine .tmp Datei mehr.

john.doe · 02.01.2009, 18:15

Poste alle Logfiles bitte mit Codetags umschlossen (#-Button) also so:

HTML-Code:

[code] Hier das Logfile rein! [/code]

1.) Deaktiviere die Systemwiederherstellung, im Verlauf der Infektion wurden auch Malwaredateien in Wiederherstellungspunkten mitgesichert - die sind alle nun unbrauchbar, da ein Zurücksetzen des System durch einen Wiederherstellungspunkt das System wahrscheinlich wieder infizieren würde.

2.) Starte Navilog bitte erneut und wähle die Option 2

Das Programm wird nun deinen Rechner neustarten. Schließe also alle Fenster und bestätige den Neustart.
Sollte der Rechner nicht neustarten, tue dies bitte manuell.
Nach dem Neustart läuft der Fix zuende. Bitte einfach abwarten, bis NaviFix beendet ist und keine Fenster öffnen.
Es öffnet sich erneut ein Fenster mit dem Scanergebnis. Speichere das Ergebnis ab und schließe den Editor. Nun sollten deine Desktopsymbole wieder erscheinen
Das Scanergebnis bitte hier posten.

Sollten die Desktopsymbole nicht von selbst wieder erscheinen, rufe mit [Strg][Alt][Entf] den Taskmanager auf und wähle unter Prozesse => Neuer Task ausführen aus. Gib dort explorer ein.

3.) Blacklight und Malwarebytes Antimalware ausführen und Logfiles posten (Wächter Deines Virenscanner vor dem Scannen deaktivieren!)

4.) Führe SUPERAntiSpyware nach dieser Anleitung aus: http://www.trojaner-board.de/51871-a...tispyware.html

5.) Poste ein neues Hijackthis Logfile, nimm dazu diese umbenannte hijackthis.exe
Editiere die Links und privaten Infos!!

ciao, andreas

john.doe · 02.01.2009, 18:30

Klicke auf den Link und blätter etwas nach unten. Dort ist beschrieben wie unter Vista die Systemwiederherstellung deaktiviert. Und schicke mir bitte keine PNs mehr.

ciao, andreas

MisterSonic · 02.01.2009, 21:32

Hallo,

habe Dir die Log-Files alle auf meinen Space hochgeladen ...

http://patrix.kilu.de/andreas/

HiJackThis zeigt mir trotzdem *.TMP Dateien im System32 Verzeichnis an, im Explorer und auch in der Kommandozeilen Umgebung werden jedoch keine *.tmp Dateien Angezeigt?

MfG Patrick.

john.doe · 02.01.2009, 21:41

Das Log von Blacklight fehlt. Das von Navi ist nicht mit der Option 2 erstellt worden. Die anderen lassen sich nicht öffnen. Bekomme folgende Meldung:

Code:

ATTFilter

Internal Server Error

The server encountered an internal error or misconfiguration and was unable to complete your request.

Please contact the server administrator, [no address given] and inform them of the time the error occurred, and anything you might have done that may have caused the error.

More information about this error may be available in the server error log.
Apache Server at patrix.kilu.de Port 80

Packe alle Logs in eine ZIP oder RAR-Datei.

ciao, andreas

IE 7 öffnet eigenwillig URL's ?

Plagegeister aller Art und deren Bekämpfung: IE 7 öffnet eigenwillig URL's ?