morgen zusammen,

seit ein paar tagen werde ich bei google links auf falsche seiten weitergeleitet. eventuell ein browser hijacker? weitergeleit wird über zwischenstationen (zb.: h**p://safetyread.com/scan/index.php?affid=06300) auf diverse seiten (zb.: h**p://www.jokeroo.com/video/viral/spannerleague-teaser.html ODER h**p://www.goldvipclub.com/default.aspx)

links oder auch direkteingaben zu viren/adware seiten werden verhindert.
habe jetzt nachträglich spybot und ad-aware installiert. bei spybot hat zwar das aufspielen funktioniert aber updates konnten während des des install nicht gezogen werden und im anschluß läst sich das prog nicht starten, dennoch wird es im taskmanager angezeigt. ad-aware konnte ausgeführt werden jedoch gehen auch hier die updates nicht. an der funktionalität zweifle ich aber da nur ein ad-gen gefunden wurde und beim erneuten aufrufen des progs angezeigt wird es währe noch nie aufgerufen worden.
cwshredder hatnichts gefunden.

das problem besteht weiterhin.

ich hoffe ihr könnt mir helfen, vielen dank schonmal.
hier das HJT file:

Logfile of Trend Micro HijackThis v2.0.2
Scan saved at 19:13:02, on 31.01.2009
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v7.00 (7.00.6000.16608)
Boot mode: Normal

Running processes:
D:\WINDOWS\System32\smss.exe
D:\WINDOWS\system32\winlogon.exe
D:\WINDOWS\system32\services.exe
D:\WINDOWS\system32\lsass.exe
D:\WINDOWS\system32\svchost.exe
D:\WINDOWS\System32\svchost.exe
D:\Programme\Intel\Wireless\Bin\EvtEng.exe
D:\Programme\Intel\Wireless\Bin\S24EvMon.exe
D:\Programme\Intel\Wireless\Bin\WLKeeper.exe
C:\[ Programme ]\Avast4\aswUpdSv.exe
D:\Programme\Lavasoft\Ad-Aware\AAWService.exe
C:\[ Programme ]\Avast4\ashServ.exe
D:\WINDOWS\system32\spoolsv.exe
D:\WINDOWS\Explorer.EXE
D:\WINDOWS\ehome\ehtray.exe
D:\WINDOWS\system32\igfxtray.exe
D:\WINDOWS\system32\hkcmd.exe
D:\WINDOWS\system32\igfxpers.exe
C:\[ Programme ]\Launch Manager\LaunchAp.exe
C:\[ Programme ]\Launch Manager\HotkeyApp.exe
C:\[ Programme ]\Launch Manager\OSD.exe
C:\[ Programme ]\Launch Manager\Wbutton.exe
D:\Programme\Intel\Wireless\bin\ZCfgSvc.exe
D:\Programme\Intel\Wireless\Bin\ifrmewrk.exe
D:\Programme\Intel\Wireless\Bin\EOUWiz.exe
D:\Programme\Synaptics\SynTP\SynTPEnh.exe
C:\_PROGR~1\Avast4\ashDisp.exe
D:\WINDOWS\RTHDCPL.EXE
D:\Programme\Lavasoft\Ad-Aware\AAWTray.exe
D:\WINDOWS\system32\ctfmon.exe
D:\Programme\Spybot - Search & Destroy\TeaTimer.exe
D:\WINDOWS\eHome\ehRecvr.exe
D:\WINDOWS\eHome\ehSched.exe
D:\Programme\Intel\Wireless\Bin\RegSrvc.exe
D:\WINDOWS\system32\svchost.exe
C:\[ Programme ]\Avast4\ashMaiSv.exe
C:\[ Programme ]\Avast4\ashWebSv.exe
D:\WINDOWS\system32\dllhost.exe
D:\WINDOWS\eHome\ehmsas.exe
D:\PROGRA~1\Intel\Wireless\Bin\Dot1XCfg.exe
D:\[ Programme ]\Mozilla Firefox\firefox.exe
C:\[ Downloads ]\Firefox\cwshredder_219.exe
D:\Programme\Trend Micro\HijackThis\HijackThis.exe

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Bar = http://google.icq.com/search/search_frame.php
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = http://google.icq.com
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.google.de/
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://go.microsoft.com/fwlink/?LinkId=69157
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://go.microsoft.com/fwlink/?LinkId=54896
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = http://go.microsoft.com/fwlink/?LinkId=54896
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = http://go.microsoft.com/fwlink/?LinkId=69157
R3 - URLSearchHook: ICQ Toolbar - {855F3B16-6D32-4fe6-8A56-BBB695989046} - C:\[ Programme ]\ICQToolbar\toolbaru.dll
O2 - BHO: Adobe PDF Reader Link Helper - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - D:\Programme\Gemeinsame Dateien\Adobe\Acrobat\ActiveX\AcroIEHelper.dll
O2 - BHO: Spybot-S&D IE Protection - {53707962-6F74-2D53-2644-206D7942484F} - D:\Programme\Spybot - Search & Destroy\SDHelper.dll
O2 - BHO: Adobe PDF Conversion Toolbar Helper - {AE7CD045-E861-484f-8273-0445EE161910} - C:\[ Programme ]\Acrobat 8.0\Acrobat\AcroIEFavClient.dll
O3 - Toolbar: ICQ Toolbar - {855F3B16-6D32-4fe6-8A56-BBB695989046} - C:\[ Programme ]\ICQToolbar\toolbaru.dll
O3 - Toolbar: Adobe PDF - {47833539-D0C5-4125-9FA8-0819E2EAAC93} - C:\[ Programme ]\Acrobat 8.0\Acrobat\AcroIEFavClient.dll
O3 - Toolbar: Veoh Web Player Video Finder - {0FBB9689-D3D7-4f7a-A2E2-585B10099BFC} - D:\Programme\Veoh Networks\VeohWebPlayer\VeohIEToolbar.dll
O4 - HKLM\..\Run: [ehTray] D:\WINDOWS\ehome\ehtray.exe
O4 - HKLM\..\Run: [igfxtray] D:\WINDOWS\system32\igfxtray.exe
O4 - HKLM\..\Run: [igfxhkcmd] D:\WINDOWS\system32\hkcmd.exe
O4 - HKLM\..\Run: [igfxpers] D:\WINDOWS\system32\igfxpers.exe
O4 - HKLM\..\Run: [LaunchAp] "C:\[ Programme ]\Launch Manager\LaunchAp.exe"
O4 - HKLM\..\Run: [HotkeyApp] "C:\[ Programme ]\Launch Manager\HotkeyApp.exe"
O4 - HKLM\..\Run: [CtrlVol] "C:\[ Programme ]\Launch Manager\CtrlVol.exe"
O4 - HKLM\..\Run: [LMgrOSD] "C:\[ Programme ]\Launch Manager\OSD.exe"
O4 - HKLM\..\Run: [Wbutton] "C:\[ Programme ]\Launch Manager\Wbutton.exe"
O4 - HKLM\..\Run: [IntelZeroConfig] "D:\Programme\Intel\Wireless\bin\ZCfgSvc.exe"
O4 - HKLM\..\Run: [IntelWireless] "D:\Programme\Intel\Wireless\Bin\ifrmewrk.exe" /tf Intel PROSet/Wireless
O4 - HKLM\..\Run: [EOUApp] "D:\Programme\Intel\Wireless\Bin\EOUWiz.exe"
O4 - HKLM\..\Run: [SynTPEnh] D:\Programme\Synaptics\SynTP\SynTPEnh.exe
O4 - HKLM\..\Run: [avast!] C:\_PROGR~1\Avast4\ashDisp.exe
O4 - HKLM\..\Run: [RTHDCPL] RTHDCPL.EXE
O4 - HKLM\..\Run: [Alcmtr] ALCMTR.EXE
O4 - HKLM\..\Run: [IMJPMIG8.1] "D:\WINDOWS\IME\imjp8_1\IMJPMIG.EXE" /Spoil /RemAdvDef /Migration32
O4 - HKLM\..\Run: [MSPY2002] D:\WINDOWS\system32\IME\PINTLGNT\ImScInst.exe /SYNC
O4 - HKLM\..\Run: [PHIME2002ASync] D:\WINDOWS\system32\IME\TINTLGNT\TINTSETP.EXE /SYNC
O4 - HKLM\..\Run: [PHIME2002A] D:\WINDOWS\system32\IME\TINTLGNT\TINTSETP.EXE /IMEName
O4 - HKLM\..\Run: [SpybotSnD] "C:\[ Programme ]\Spybot - Search & Destroy\SpybotSD.exe" /autoclose
O4 - HKLM\..\Run: [NBKeyScan] "C:\[ Programme ]\Nero\Nero8\Nero BackItUp\NBKeyScan.exe"
O4 - HKLM\..\Run: [KernelFaultCheck] %systemroot%\system32\dumprep 0 -k
O4 - HKLM\..\Run: [Ad-Watch] D:\Programme\Lavasoft\Ad-Aware\AAWTray.exe
O4 - HKCU\..\Run: [ctfmon.exe] D:\WINDOWS\system32\ctfmon.exe
O4 - HKCU\..\Run: [STYLEXP] D:\Programme\TGTSoft\StyleXP\StyleXP.exe -Hide
O4 - HKCU\..\Run: [IndxStoreSvr_{79662E04-7C6C-4d9f-84C7-88D8A56B10AA}] "D:\Programme\Gemeinsame Dateien\Nero\Lib\NMIndexStoreSvr.exe" ASO-616B5711-6DAE-4795-A05F-39A1E5104020
O4 - HKCU\..\Run: [SpybotSD TeaTimer] D:\Programme\Spybot - Search & Destroy\TeaTimer.exe
O4 - HKUS\S-1-5-19\..\Run: [CTFMON.EXE] D:\WINDOWS\system32\CTFMON.EXE (User 'LOKALER DIENST')
O4 - HKUS\S-1-5-20\..\Run: [CTFMON.EXE] D:\WINDOWS\system32\CTFMON.EXE (User 'NETZWERKDIENST')
O4 - HKUS\S-1-5-18\..\Run: [CTFMON.EXE] D:\WINDOWS\system32\CTFMON.EXE (User 'SYSTEM')
O4 - HKUS\.DEFAULT\..\Run: [CTFMON.EXE] D:\WINDOWS\system32\CTFMON.EXE (User 'Default user')
O6 - HKCU\Software\Policies\Microsoft\Internet Explorer\Restrictions present
O6 - HKCU\Software\Policies\Microsoft\Internet Explorer\Control Panel present
O8 - Extra context menu item: &ICQ Toolbar Search - res://C:\[ Programme ]\ICQToolbar\toolbaru.dll/SEARCH.HTML
O8 - Extra context menu item: Append to existing PDF - res://C:\[ Programme ]\Acrobat 8.0\Acrobat\AcroIEFavClient.dll/AcroIEAppend.html
O8 - Extra context menu item: Convert link target to Adobe PDF - res://C:\[ Programme ]\Acrobat 8.0\Acrobat\AcroIEFavClient.dll/AcroIECapture.html
O8 - Extra context menu item: Convert link target to existing PDF - res://C:\[ Programme ]\Acrobat 8.0\Acrobat\AcroIEFavClient.dll/AcroIEAppend.html
O8 - Extra context menu item: Convert selected links to Adobe PDF - res://C:\[ Programme ]\Acrobat 8.0\Acrobat\AcroIEFavClient.dll/AcroIECaptureSelLinks.html
O8 - Extra context menu item: Convert selected links to existing PDF - res://C:\[ Programme ]\Acrobat 8.0\Acrobat\AcroIEFavClient.dll/AcroIEAppendSelLinks.html
O8 - Extra context menu item: Convert selection to Adobe PDF - res://C:\[ Programme ]\Acrobat 8.0\Acrobat\AcroIEFavClient.dll/AcroIECapture.html
O8 - Extra context menu item: Convert selection to existing PDF - res://C:\[ Programme ]\Acrobat 8.0\Acrobat\AcroIEFavClient.dll/AcroIEAppend.html
O8 - Extra context menu item: Convert to Adobe PDF - res://C:\[ Programme ]\Acrobat 8.0\Acrobat\AcroIEFavClient.dll/AcroIECapture.html
O9 - Extra button: UltimateBet - {10F055B8-F443-4adf-948A-EC551E9DBCE4} - D:\Dokumente und Einstellungen\BRT\Startmenü\Programme\UltimateBet\UltimateBet.lnk
O9 - Extra 'Tools' menuitem: UltimateBet - {10F055B8-F443-4adf-948A-EC551E9DBCE4} - D:\Dokumente und Einstellungen\BRT\Startmenü\Programme\UltimateBet\UltimateBet.lnk
O9 - Extra button: (no name) - {DFB852A3-47F8-48C4-A200-58CAB36FD2A2} - D:\Programme\Spybot - Search & Destroy\SDHelper.dll
O9 - Extra 'Tools' menuitem: Spybot - Search && Destroy Configuration - {DFB852A3-47F8-48C4-A200-58CAB36FD2A2} - D:\Programme\Spybot - Search & Destroy\SDHelper.dll
O10 - Broken Internet access because of LSP provider 'd:\programme\bonjour\mdnsnsp.dll' missing
O16 - DPF: {6E32070A-766D-4EE6-879C-DC1FA91D2FC3} (MUWebControl Class) - http://www.update.microsoft.com/microsoftupdate/v6/V5Controls/en/x86/client/muweb_site.cab?1205033958218
O17 - HKLM\System\CCS\Services\Tcpip\..\{C941C353-4D08-42BF-8F1E-D1AE0C9B2FA8}: NameServer = 213.191.74.11 213.191.92.82
O23 - Service: avast! iAVS4 Control Service (aswUpdSv) - ALWIL Software - C:\[ Programme ]\Avast4\aswUpdSv.exe
O23 - Service: avast! Antivirus - ALWIL Software - C:\[ Programme ]\Avast4\ashServ.exe
O23 - Service: avast! Mail Scanner - ALWIL Software - C:\[ Programme ]\Avast4\ashMaiSv.exe
O23 - Service: avast! Web Scanner - ALWIL Software - C:\[ Programme ]\Avast4\ashWebSv.exe
O23 - Service: Intel(R) PROSet/Wireless Event Log (EvtEng) - Intel Corporation - D:\Programme\Intel\Wireless\Bin\EvtEng.exe
O23 - Service: FLEXnet Licensing Service - Macrovision Europe Ltd. - D:\Programme\Gemeinsame Dateien\Macrovision Shared\FLEXnet Publisher\FNPLicensingService.exe
O23 - Service: Google Updater Service (gusvc) - Google - D:\Programme\Google\Common\Google Updater\GoogleUpdaterService.exe
O23 - Service: InstallShield Licensing Service - Macrovision - D:\Programme\Gemeinsame Dateien\InstallShield Shared\Service\InstallShield Licensing Service.exe
O23 - Service: iPod Service - Apple Inc. - D:\Programme\iPod\bin\iPodService.exe
O23 - Service: Lavasoft Ad-Aware Service - Lavasoft - D:\Programme\Lavasoft\Ad-Aware\AAWService.exe
O23 - Service: Intel(R) PROSet/Wireless Registry Service (RegSrvc) - Intel Corporation - D:\Programme\Intel\Wireless\Bin\RegSrvc.exe
O23 - Service: Intel(R) PROSet/Wireless Service (S24EventMonitor) - Intel Corporation - D:\Programme\Intel\Wireless\Bin\S24EvMon.exe
O23 - Service: StyleXPService - Unknown owner - D:\Programme\TGTSoft\StyleXP\StyleXPService.exe (file missing)
O23 - Service: Intel(R) PROSet/Wireless SSO Service (WLANKEEPER) - Intel(R) Corporation - D:\Programme\Intel\Wireless\Bin\WLKeeper.exe

--
End of file - 10320 bytes

brauche dringend hilfe, ich bin mir bewust das es andere threadss zu dem thema gibt wie hier: http://www.trojaner-board.de/69118-google-verlinkt-auf-andere-seiten.html aber weder Anti-Malware noch superantispy läst sich starten bzw installieren (anti-malware). und bevor ich anfange meine hardware zu updaten (was mir nicht ganz einleutet) hätte ich gerne eine bestätigung das dieses bei mir sinn macht. greetz

52 hits und keiner ne idee? oder überseh ich das es banal ist? Bin für jede hilfe dankbar, das arbeiten mit dem internet is quasi unmöglich und ich steh mittem in den endprüfungen des semesters...

Hallo und

GMER - Rootkit Detection

• Lade GMER von hier
• entpacke es auf den Dektop
• Doppelklick auf gmer.exe
• Der Reiter Rootkit oben ist schon angewählt

• Drücke Scan, Der Vorgang kann je nach System 3 - 10min dauern
• nach Beendigung des Scan, drücke "Copy"
• nun kannst Du das Ergebnis hier einfügen. Sollte das Log zu lang sein, dann lade es bei einem Filehoster wie z.B. File-Upload.net hoch und poste den Link.
• Sollte GMER sagen "Gmer hasen´t found any System Modifikation", so hat GMER keine Einträge gefunden.

ciao, andreas

hi adreas und danke für das wilkommen,

ich habe GMER runtergeladen aber es läßt sich auf meinem laptop nicht ausführen. alles was ich bisher nach dem befall installiert habe scheint an der ausführung gehindert zu werden. nur avast (das schon installiert war) läßt sich ausführen hat aber nicht zum erfolg geführt.

hier ein auszug au dem avast logfile der jüngsten zeit:

01.02.2009 18:55:34 SYSTEM 1888 Function setifaceUpdatePackages() has failed. Return code is 0x20000004, dwRes is 20000004.
01.02.2009 07:24:38 BRT 248 Sign of "Win32:Fasec [Trj]" has been found in "D:\Dokumente und Einstellungen\BRT\Lokale Einstellungen\Temporary Internet Files\Content.IE5\D295D1OR\mito[1].gif" file.
01.02.2009 07:18:24 BRT 248 Sign of "JS:FakeAV-G [Trj]" has been found in "D:\Dokumente und Einstellungen\BRT\Lokale Einstellungen\Anwendungsdaten\Mozilla\Firefox\Profiles\kca38utn.default\Cache\45D155D6d01" file.
01.02.2009 03:46:06 BRT 248 Function setifaceUpdatePackages() has failed. Return code is 0x000004C7, dwRes is 000004C7.
31.01.2009 17:51:34 SYSTEM 1804 Function setifaceUpdatePackages() has failed. Return code is 0x20000004, dwRes is 20000004.
31.01.2009 17:18:56 SYSTEM 1772 Function setifaceUpdatePackages() has failed. Return code is 0x20000004, dwRes is 20000004.
30.01.2009 20:23:16 SYSTEM 1692 Function setifaceUpdatePackages() has failed. Return code is 0x20000004, dwRes is 20000004.
30.01.2009 20:18:38 SYSTEM 1668 Function setifaceUpdatePackages() has failed. Return code is 0x20000004, dwRes is 20000004.
30.01.2009 10:30:51 SYSTEM 1668 Function setifaceUpdatePackages() has failed. Return code is 0x20000004, dwRes is 20000004.
30.01.2009 09:40:08 BRT 3408 Sign of "VBS:Malware-gen" has been found in "H:\autorun.inf" file.
30.01.2009 09:38:35 BRT 1008 Sign of "VBS:Malware-gen" has been found in "H:\autorun.inf" file.
30.01.2009 09:38:26 SYSTEM 1668 Function setifaceUpdatePackages() has failed. Return code is 0x20000004, dwRes is 20000004.
30.01.2009 04:11:33 SYSTEM 1780 Function setifaceUpdatePackages() has failed. Return code is 0x20000004, dwRes is 20000004.
29.01.2009 23:10:33 SYSTEM 1780 Function setifaceUpdatePackages() has failed. Return code is 0x20000004, dwRes is 20000004.
27.01.2009 10:07:06 SYSTEM 1784 Sign of "HTML:Iframe-inf" has been found in "http://j3.at.ua/gb\unp207717723" file.
27.01.2009 08:34:58 SYSTEM 1784 Function setifaceUpdatePackages() has failed. Return code is 0x20000004, dwRes is 20000004.
26.01.2009 15:06:23 SYSTEM 1780 Function setifaceUpdatePackages() has failed. Return code is 0x20000004, dwRes is 20000004.
26.01.2009 13:27:26 SYSTEM 1660 Function setifaceUpdatePackages() has failed. Return code is 0x20000004, dwRes is 20000004.
25.01.2009 17:56:45 SYSTEM 1844 Function setifaceUpdatePackages() has failed. Return code is 0x20000004, dwRes is 20000004.
25.01.2009 09:49:51 SYSTEM 1844 Function setifaceUpdatePackages() has failed. Return code is 0x20000004, dwRes is 20000004.
25.01.2009 05:38:33 SYSTEM 1844 Function setifaceUpdatePackages() has failed. Return code is 0x20000004, dwRes is 20000004.
25.01.2009 02:29:36 SYSTEM 1664 Sign of "JS:Agent-BA [Trj]" has been found in "http://architecture.oggix.org/2008/07/17/architecture-design-canada-national-gallery/\unp211566335" file.
24.01.2009 17:37:20 SYSTEM 1664 Function setifaceUpdatePackages() has failed. Return code is 0x20000004, dwRes is 20000004.
24.01.2009 08:55:19 SYSTEM 1768 Function setifaceUpdatePackages() has failed. Return code is 0x20000004, dwRes is 20000004.
24.01.2009 04:52:37 SYSTEM 1768 Function setifaceUpdatePackages() has failed. Return code is 0x20000004, dwRes is 20000004.
24.01.2009 00:50:33 SYSTEM 1768 Function setifaceUpdatePackages() has failed. Return code is 0x20000004, dwRes is 20000004.
23.01.2009 20:48:28 SYSTEM 1768 Function setifaceUpdatePackages() has failed. Return code is 0x20000004, dwRes is 20000004.
23.01.2009 16:45:45 SYSTEM 1768 Function setifaceUpdatePackages() has failed. Return code is 0x20000004, dwRes is 20000004.
23.01.2009 12:43:28 SYSTEM 1768 Function setifaceUpdatePackages() has failed. Return code is 0x20000004, dwRes is 20000004.
22.01.2009 21:36:48 SYSTEM 1660 Function setifaceUpdatePackages() has failed. Return code is 0x20000004, dwRes is 20000004.
22.01.2009 16:09:27 SYSTEM 1660 Function setifaceUpdatePackages() has failed. Return code is 0x20000004, dwRes is 20000004.
21.01.2009 22:08:40 SYSTEM 1772 Function setifaceUpdatePackages() has failed. Return code is 0x20000004, dwRes is 20000004.
21.01.2009 13:58:52 SYSTEM 1772 Function setifaceUpdatePackages() has failed. Return code is 0x20000004, dwRes is 20000004.
19.01.2009 00:18:16 SYSTEM 1708 Function setifaceUpdatePackages() has failed. Return code is 0x20000004, dwRes is 20000004.
18.01.2009 20:14:16 SYSTEM 1708 Function setifaceUpdatePackages() has failed. Return code is 0x20000004, dwRes is 20000004.
18.01.2009 14:33:45 SYSTEM 1660 Function setifaceUpdatePackages() has failed. Return code is 0x20000004, dwRes is 20000004.
17.01.2009 23:06:17 SYSTEM 1660 Function setifaceUpdatePackages() has failed. Return code is 0x20000004, dwRes is 20000004.
17.01.2009 20:51:45 SYSTEM 1660 Function setifaceUpdatePackages() has failed. Return code is 0x20000004, dwRes is 20000004.
17.01.2009 12:54:30 BRT 208 Sign of "VBS:Malware-gen" has been found in "H:\autorun.inf" file.
17.01.2009 12:52:59 SYSTEM 1660 Sign of "Win32:AutoRun-SD [Wrm]" has been found in "H:\desktop.dll" file.

------------------------

einzig zu dem wurm auf H:\ kann ich sagen das er mir nicht bedrohlich erscheint, geht schon lange in der uni rum und wird idr sofort auf dem stick erkannt und gelöscht. ansonsten bin ich ratlos wie ich weiter vorgehen soll.

Benenne gmer.exe um in qwer.com und versuche es noch einmal.

ciao, andreas