Hallo !

nachdem ich schon viel rumgesucht habe bin ich nun auf dieses Board gestossen und hoffe, daß man mir hier kompetent helfen kann.

Dem einen oder anderen ist es wohl schon zu Ohren gekommen, daß seit Juli ein spanischer (?) Dialer namens "Teleflate" sein Unwesen treibt.

Ich habe mittlerweile durch Hilfe auf anderen Boards herausgefunden, wie ich die verseuchten Dateien aufspüren und entfernen kann. Habe auch ein sauberes Image, daß ich bei Bedarf jederzeit wieder draufspielen kann.

Nur leider konnte mir bislang noch niemand sagen, wie ich das fiese Teil endgültig aussperren kann ? Habe den IE 6.0 so gut es zur Zeit möglich ist schon gepatcht. SP2 habe ich noch nicht geladen und würde nach Möglichkeit gerne noch warten. So weit ich weiß kommt der Dialer über den IE rein. Aber wo verd..... ist die Lücke ?
Ich bin kurze Zeit im Netz ( DSL, Leerlauf o. Downloads, sichere Seiten ) und nach unterschiedlich langer Zeit installiert sich das Teil und schließt erst mal alle offenen Webseiten und Verbindungen.
Da ich DSL benutze und ISDN schon länger vorsorglich gesperrt ist, kann mir das Teil nicht weiter schaden. Dennoch hätte ich Teleflate ganz gerne ausgesperrt.

Vielleicht kann mir jemand einen Tip geben, wie's ohne schwere Firewall-Tools etc. möglich ist. Kann doch nicht sein, daß man die Lücke nicht auch so schließen kann.
Und wenn's geht bitte nicht den Tip, einen anderen Browser zu verwenden.
Ich glaube das ist nicht wirklich die Lösung, zumal es ja auch mit IE möglich sein muß, daß Ding zu blocken

Bedanke mich schon mal vorab für eventuelle Tips.

Hallo Hell-Mutti,

poste bitte ein Logfile: http://www.trojaner-board.de/51130-a...ijackthis.html

SD

Sorry, hat etwas gedauert. War gestern nicht an meinem eigenen Rechner.
Hier ist nun der Log: Etwas erkennbar ???


Logfile of HijackThis v1.98.2
Scan saved at 20:07:00, on 03.09.2004
Platform: Windows XP SP1 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP1 (6.00.2800.1106)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\Explorer.EXE
C:\WINDOWS\system32\spoolsv.exe
D:\Programme\Creative\SBLive\AudioHQ\AHQTB.EXE
C:\WINDOWS\System32\devldr32.exe
D:\PROGRA~1\T-DSLS~1\SpeedMgr.exe
D:\Programme\Real\RealPlayer\RealPlay.exe
C:\WINDOWS\System32\nvsvc32.exe
D:\Programme\Pinnacle\Shared Files\InstantCDDVD\PCLETray.exe
D:\Programme\InterVideo\Common\Bin\WinCinemaMgr.exe
C:\Programme\Outlook Express\msimn.exe
D:\hijackthis1982\HijackThis.exe

R1 - HKCU\Software\Microsoft\Internet Explorer,SearchURL = http://awebfind.biz/sp.htm
R1 - HKLM\Software\Microsoft\Internet Explorer,SearchURL = http://awebfind.biz/sp.htm
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://awebfind.biz/
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://awebfind.biz/sp.htm
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Bar = http://awebfind.biz/sp.htm
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = http://awebfind.biz/sp.htm
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.at40.de/radio.html
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://awebfind.biz/
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://awebfind.biz/sp.htm
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Bar = http://awebfind.biz/sp.htm
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = http://awebfind.biz/sp.htm
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = http://awebfind.biz/
R0 - HKLM\Software\Microsoft\Internet Explorer\Search,SearchAssistant = http://www.startsmart.tv/search
R0 - HKLM\Software\Microsoft\Internet Explorer\Search,CustomizeSearch = http://awebfind.biz/sp.htm
O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - D:\Programme\Adobe\Acrobat 5.0\Reader\ActiveX\AcroIEHelper.ocx
O2 - BHO: (no name) - {15ACE85C-0BB1-42d1-9E32-07EB0506675A} - C:\WINDOWS\System32\oiaiu.dll
O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINDOWS\System32\msdxm.ocx
O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE NvQTwk,NvCplDaemon initialize
O4 - HKLM\..\Run: [nwiz] nwiz.exe /install
O4 - HKLM\..\Run: [AudioHQ] D:\Programme\Creative\SBLive\AudioHQ\AHQTB.EXE
O4 - HKLM\..\Run: [T-DSL SpeedMgr] "D:\PROGRA~1\T-DSLS~1\SpeedMgr.exe"
O4 - HKLM\..\Run: [RealTray] D:\Programme\Real\RealPlayer\RealPlay.exe SYSTEMBOOTHIDEPLAYER
O4 - HKLM\..\Run: [knjvtmk] "C:\WINDOWS\System32\knjvtmk.exe"
O4 - HKLM\..\Run: [PinnacleDriverCheck] C:\WINDOWS\System32\PSDrvCheck.exe
O4 - HKLM\..\Run: [InCD] d:\Programme\ahead\InCD\InCD.exe
O4 - HKCU\..\Run: [InstantTray] D:\Programme\Pinnacle\Shared Files\InstantCDDVD\PCLETray.exe
O4 - Global Startup: InterVideo WinCinema Manager.lnk = D:\Programme\InterVideo\Common\Bin\WinCinemaMgr.exe
O8 - Extra context menu item: Download with GetRight - D:\Programme\GetRight\GRdownload.htm
O8 - Extra context menu item: Open with GetRight Browser - D:\Programme\GetRight\GRbrowse.htm
O17 - HKLM\System\CCS\Services\Tcpip\..\{9BC993E7-AE74-4EA1-B6CE-C7A8AD4438FC}: NameServer = 192.168.120.252,192.168.120.253

Ich sehe keinen Dialers sondern einen Hijacker.

Fixe dies:

R1 - HKCU\Software\Microsoft\Internet Explorer,SearchURL = http://awebfind.biz/sp.htm
R1 - HKLM\Software\Microsoft\Internet Explorer,SearchURL = http://awebfind.biz/sp.htm
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://awebfind.biz/
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://awebfind.biz/sp.htm
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Bar = http://awebfind.biz/sp.htm
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = http://awebfind.biz/sp.htm
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.at40.de/radio.html
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://awebfind.biz/
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://awebfind.biz/sp.htm
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Bar = http://awebfind.biz/sp.htm
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = http://awebfind.biz/sp.htm
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = http://awebfind.biz/
R0 - HKLM\Software\Microsoft\Internet Explorer\Search,SearchAssistant = http://www.startsmart.tv/search
R0 - HKLM\Software\Microsoft\Internet Explorer\Search,CustomizeSearch = http://awebfind.biz/sp.htm
O2 - BHO: (no name) - {15ACE85C-0BB1-42d1-9E32-07EB0506675A} - C:\WINDOWS\System32\oiaiu.dll
O4 - HKLM\..\Run: [knjvtmk] "C:\WINDOWS\System32\knjvtmk.exe


Diese Dateien löschen:
C:\WINDOWS\System32\oiaiu.dll
C:\WINDOWS\System32\knjvtmk.exe

Deaktiviere im IE Active-X.

Danke für die Hilfe !

Habe ein altes Image eingespielt. Dialer im Moment weg.
Active X deaktiviert. Ist leider nicht sehr komfortabel beim Surfen ....
Aber wenn's über Active-X reingekommen ist, muß es wohl sein.

"oiaiu.dll" konnte ich nicht finden.

"knjvtmk.exe" lässt sich nicht löschen !!! Wie kriege ich das Mistteil raus ?
Ist das ganz sicher keine Windows-Datei ? War in der alten Sicherung wohl schon mit drauf. Scheint schon etwas länger drauf zu sein .....

Wie kann ich knjvtmk.exe löschen ? Bitte nochmals um Hilfe. DANKE !

versuch das File knjvtmk.exe im abgesicherten Modus zu löschen.

und wenns nicht geht, dann mit Escan falls du das kennst.

@Hell-Mutti

Du kannst dich auch mit einem anderen Browser schützen: www.firefox-browser.de ist schnell, sicher und kostenlos.