Hallo,
bei mir ist folgendes Problem: Mein Internet-Explorer geht immer automatisch auf so eine Seite (Coolwebsearch), ich kann ihn nicht mehr auf leere Seite stellen. Daraufhin öffnet sich ein Dialer und versucht sich irgendwo einzuwählen. Ich habe bereits Ad-Aware, CWshredder und Sphjfix und HijackThis drüber laufen lassen, aber keiner findet irgendwas. Die installierten Dateien kann ich löschen wie ich will, nach dem nächsten starten des IE kommen sie wieder. Mit Hijack This habe ich diese R0 und R1-Dateien jetzt schon ein paarmal gefixt, aber es gibt keine Reaktion, die sind danach wieder genauso wie vorher. Kann man diesen Dialer und diesen Hijacker nicht irgendwie finden und entfernen??? Ich poste jetzt mal mein Log-File in der Hoffnung, dass mir da jemand helfen kann. Fände ich total klasse:

Logfile of HijackThis v1.98.2
Scan saved at 05:34:18, on 09.10.2004
Platform: Windows XP (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP1 (6.00.2600.0000)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\spoolsv.exe
C:\WINDOWS\Explorer.EXE
C:\WINDOWS\System32\atiptaxx.exe
C:\Programme\A4Tech\Mouse\Amoumain.exe
C:\Programme\MUSICMATCH\MUSICMATCH Jukebox\mm_tray.exe
C:\Programme\CloneCD\CloneCDTray.exe
C:\Programme\Gemeinsame Dateien\Real\Update_OB\realsched.exe
C:\Programme\Gemeinsame Dateien\AOL\ACS\AOLDial.exe
C:\Programme\QuickTime\qttask.exe
C:\WINDOWS\System32\owfevd.exe
C:\WINDOWS\System32\systime.exe
C:\WINDOWS\System32\ctfmon.exe
C:\WINDOWS\System32\vbscript.exe
C:\WINDOWS\System32\systime.exe
C:\Dokumente und Einstellungen\Mike Langendorf\Anwendungsdaten\paor.exe
C:\Programme\AOL 9.0a\aoltray.exe
C:\PROGRA~1\GEMEIN~1\aol\ACS\AOLacsd.exe
C:\Programme\AVWin\AVWUPSRV.EXE
C:\WINDOWS\system32\pctspk.exe
C:\WINDOWS\wanmpsvc.exe
C:\WINDOWS\System32\wuauclt.exe
C:\Diverses\HijackThis.exe
C:\Programme\AOL 9.0a\waol.exe
C:\Programme\AOL 9.0a\shellmon.exe
C:\Programme\Gemeinsame Dateien\Aol\aoltpspd.exe

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://213.159.117.134/index.php
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://213.159.117.134/index.php
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://213.159.117.134/index.php
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = http://213.159.117.134/index.php
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Local Page = http://213.159.117.134/index.php
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Local Page = http://213.159.117.134/index.php
O2 - BHO: (no name) - {00000010-6F7D-442C-93E3-4A4827C2E4C8} - (no file)
O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINDOWS\System32\msdxm.ocx
O4 - HKLM\..\Run: [AtiPTA] atiptaxx.exe
O4 - HKLM\..\Run: [WheelMouse] Amoumain.exe
O4 - HKLM\..\Run: [ElbyCheckElbyCDFL] C:\Programme\CloneCD\ElbyCheck.exe /L ElbyCDFL
O4 - HKLM\..\Run: [NeroCheck] C:\WINDOWS\system32\NeroCheck.exe
O4 - HKLM\..\Run: [MMTray] C:\Programme\MUSICMATCH\MUSICMATCH Jukebox\mm_tray.exe
O4 - HKLM\..\Run: [CloneCDTray] C:\Programme\CloneCD\CloneCDTray.exe
O4 - HKLM\..\Run: [TkBellExe] C:\Programme\Gemeinsame Dateien\Real\Update_OB\realsched.exe -osboot
O4 - HKLM\..\Run: [Tray Temperature] C:\Programme\Go!Zilla\weatherbug\minibug.exe 1
O4 - HKLM\..\Run: [AOLDialer] C:\Programme\Gemeinsame Dateien\AOL\ACS\AOLDial.exe
O4 - HKLM\..\Run: [QuickTime Task] "C:\Programme\QuickTime\qttask.exe" -atboottime
O4 - HKLM\..\Run: [AVWUpd32] "C:\PROGRA~1\AVWin\Avwupd32.EXE" /min
O4 - HKLM\..\Run: [ssucrqtmynv] C:\WINDOWS\System32\owfevd.exe
O4 - HKLM\..\Run: [VBundleOuterDL] C:\Programme\VBouncer\BundleOuter.EXE
O4 - HKLM\..\Run: [SysTime] C:\WINDOWS\System32\systime.exe
O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\ctfmon.exe
O4 - HKCU\..\Run: [vbscript] C:\WINDOWS\System32\vbscript.exe
O4 - HKCU\..\Run: [SysTime] C:\WINDOWS\System32\systime.exe
O4 - HKCU\..\Run: [Ertc] C:\Dokumente und Einstellungen\Mike Langendorf\Anwendungsdaten\paor.exe
O4 - Startup: killer2.bat
O4 - Global Startup: AOL 9.0 Tray-Symbol.lnk = C:\Programme\AOL 9.0a\aoltray.exe
O4 - Global Startup: Microsoft Office.lnk = C:\Programme\Microsoft Office\Office\OSA9.EXE
O8 - Extra context menu item: Download with Go!Zilla - file://C:\Programme\Go!Zilla\download-with-gozilla.html
O9 - Extra button: AIM - {AC9E2541-2814-11d5-BC6D-00B0D0A1DE45} - C:\Programme\AIM95\aim.exe
O9 - Extra button: Real.com - {CD67F990-D8E9-11d2-98FE-00C0F0318AFE} - C:\WINDOWS\System32\Shdocvw.dll
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\MSMSGS.EXE
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\MSMSGS.EXE
O14 - IERESET.INF: START_PAGE_URL=http://www.aol.de/e60/
O17 - HKLM\System\CCS\Services\Tcpip\..\{ACD0C4C8-3634-4299-BB8C-06E9C30BDEC7}: NameServer = 205.188.146.146

Hallo annorax,


Alles von mir beschriebene bitte im Abgesicherten Modus fixen !
Da scheint noch einiges anderes nich zu stimmen, fixe bitte folgende Einträge:

BITTE schliesse vorher den Prozess systime.exe
indem du folgendes machst:


Falls der Prozess 2 mal läuft beide male so beenden

Drücke Strg+Alt+Entf

klicke auf Prozesse

und dann suche systime.exe

dann klick auf Prozess beenden
die sicherheitsabfrage mit ja beantworten



R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page =
http://213.159.117.134/index.php
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page =
http://213.159.117.134/index.php
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Local Page =
http://213.159.117.134/index.php
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Local Page =
http://213.159.117.134/index.php
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Default_Page_URL =
http://213.159.117.134/index.php
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL =
http://213.159.117.134/index.php
O2 - BHO: (no name) - {00000010-6F7D-442C-93E3-4A4827C2E4C8} - (no file)
O4 - HKLM\..\Run: [SysTime] C:\WINDOWS\System32\systime.exe
O4 - HKCU\..\Run: [SysTime] C:\WINDOWS\System32\systime.exe

Danach sollte eigentlich alles wieder richtig funktionieren...

Hallo annorax,

Platform: Windows XP (WinNT 5.01.2600)/MSIE: Internet Explorer v6.00 SP1 (6.00.2600.0000) - lade Dir bitte das aktuelle Service Pack runter und update den IE: www.windowsupdate.com. Beachte bitte, dass das Betriebssystem, der Browser, alle SchutzProgramme, sowie alle weitere Software stets auf dem aktuellen Stand gehalten werden muss, um einen Schutz darstellen zu können.

Scanne bitte mit dem online-scan von Kaspersky folgende Dateien:

C:\WINDOWS\System32\owfevd.exe
C:\WINDOWS\System32\vbscript.exe
C:\Dokumente und Einstellungen\Mike Langendorf\Anwendungsdaten\paor.exe
C:\Programme\VBouncer\BundleOuter.EXE
C:\WINDOWS\System32\vbscript.exe
C:\Dokumente und Einstellungen\Mike
Langendorf\Anwendungsdaten\paor.exe

Teil uns das Ergebnis der Überprüfung mit und sende diese Dateien, wenn sie infiziert sind, an partytime-germany.ice@web.de, mit Hinweis auf diesen Thread.

Boote in den abgesicherten Modus, deaktiviere die Systemwiederherstellung, und fixe dann mit Hijack This die von Shady2k angegebenen Einträge. Beende dann den von Shady2k angebenen Prozess. Aktiviere die Systemwiederherstellung, boote in den normalen Modus.

Dann möchte ich gerne, dass Du - sicherheitshalber - Dein System mit dem eScan überprüfst: führe den eScan, online geupdatet, offline im abgesicherten Modus aus. Teile uns das Ergebnis des eScan mit: welche/wieviel Viren wurden auf Deinem Rechner gefunden. Beachte bitte, dass der eScan ab Version 4.5.1 die gefundene Malware nicht mehr automatisch löscht. Die Malware muß - bei deaktivierter Systemwiederherstellung im abgesicherten Modus - von Hand gelöscht werden, siehe eScan 4.5.1

Erstelle ein neues Logfile mit Hijack This und poste es.

SD

Hallo,
ich hab jetzt alles so ausgeführt wie Ihr mir beschrieben hattet. Die vbscript.exe war infiziert, habe sie an die angegebene Mail-Adresse geschickt.
Die angegebenen Dateien von Shady2k habe ich mit HiJack This gefixt, dann den eScan drüberlaufen lassen. Ich hoffe, als Ergebnis reicht dies, das ganze Log zu posten würde sicher den Rahmen sprengen:

Sun Oct 10 00:06:48 2004 => Total Number of Files Scanned: 90823
Sun Oct 10 00:06:48 2004 => Total Number of Virus(es) Found: 102
Sun Oct 10 00:06:48 2004 => Total Number of Disinfected Files: 0
Sun Oct 10 00:06:48 2004 => Total Number of Files Renamed: 23
Sun Oct 10 00:06:48 2004 => Total Number of Deleted Files: 66
Sun Oct 10 00:06:48 2004 => Total Number of Errors: 4
Sun Oct 10 00:06:48 2004 => Time Elapsed: 01:15:22
Sun Oct 10 00:06:48 2004 => Virus Database Date: 2004/09/08
Sun Oct 10 00:06:48 2004 => Virus Database Count: 103474

Sun Oct 10 00:06:48 2004 => Scan Completed.


Das neue Logfile vom Hijack This sieht folgendermaßen aus:

Logfile of HijackThis v1.98.2
Scan saved at 00:35:04, on 10.10.2004
Platform: Windows XP (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP1 (6.00.2600.0000)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\spoolsv.exe
C:\WINDOWS\Explorer.EXE
C:\WINDOWS\System32\atiptaxx.exe
C:\Programme\MUSICMATCH\MUSICMATCH Jukebox\mm_tray.exe
C:\Programme\CloneCD\CloneCDTray.exe
C:\Programme\Gemeinsame Dateien\Real\Update_OB\realsched.exe
C:\Programme\Gemeinsame Dateien\AOL\ACS\AOLDial.exe
C:\Programme\QuickTime\qttask.exe
C:\WINDOWS\System32\ctfmon.exe
C:\Programme\AOL 9.0a\aoltray.exe
C:\PROGRA~1\GEMEIN~1\aol\ACS\AOLacsd.exe
C:\Programme\AVWin\AVWUPSRV.EXE
C:\WINDOWS\system32\pctspk.exe
C:\WINDOWS\wanmpsvc.exe
C:\WINDOWS\System32\wuauclt.exe
C:\WINDOWS\System32\wuauclt.exe
C:\Diverses\HijackThis.exe
C:\Programme\A4Tech\Mouse\Amoumain.exe

O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINDOWS\System32\msdxm.ocx
O4 - HKLM\..\Run: [AtiPTA] atiptaxx.exe
O4 - HKLM\..\Run: [ElbyCheckElbyCDFL] C:\Programme\CloneCD\ElbyCheck.exe /L ElbyCDFL
O4 - HKLM\..\Run: [NeroCheck] C:\WINDOWS\system32\NeroCheck.exe
O4 - HKLM\..\Run: [MMTray] C:\Programme\MUSICMATCH\MUSICMATCH Jukebox\mm_tray.exe
O4 - HKLM\..\Run: [CloneCDTray] C:\Programme\CloneCD\CloneCDTray.exe
O4 - HKLM\..\Run: [TkBellExe] C:\Programme\Gemeinsame Dateien\Real\Update_OB\realsched.exe -osboot
O4 - HKLM\..\Run: [AOLDialer] C:\Programme\Gemeinsame Dateien\AOL\ACS\AOLDial.exe
O4 - HKLM\..\Run: [QuickTime Task] "C:\Programme\QuickTime\qttask.exe" -atboottime
O4 - HKLM\..\Run: [AVWUpd32] "C:\PROGRA~1\AVWin\Avwupd32.EXE" /min
O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\ctfmon.exe
O4 - Startup: killer2.bat
O4 - Global Startup: AOL 9.0 Tray-Symbol.lnk = C:\Programme\AOL 9.0a\aoltray.exe
O4 - Global Startup: Microsoft Office.lnk = C:\Programme\Microsoft Office\Office\OSA9.EXE
O8 - Extra context menu item: Download with Go!Zilla - file://C:\Programme\Go!Zilla\download-with-gozilla.html
O9 - Extra button: AIM - {AC9E2541-2814-11d5-BC6D-00B0D0A1DE45} - C:\Programme\AIM95\aim.exe
O9 - Extra button: Real.com - {CD67F990-D8E9-11d2-98FE-00C0F0318AFE} - C:\WINDOWS\System32\Shdocvw.dll
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\MSMSGS.EXE
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\MSMSGS.EXE
O14 - IERESET.INF: START_PAGE_URL=http://www.aol.de/e60/


Im Moment läuft eigentlich alles soweit wieder stabil... ich hoffe, der Eindringling ist besiegt

Was ist dies?
O4 - Startup: killer2.bat

Notfalls fixen!

Zitat von *Christian*

Was ist dies?
O4 - Startup: killer2.bat

Notfalls fixen!

Die habe ich mir selber gebastelt um bei jedem Systemstart einige Sachen zu löschen

Hallo annorax,

das hört sich aber nicht gut an:

=> Total Number of Virus(es) Found: 102
=> Total Number of Files Renamed: 23
=> Total Number of Deleted Files: 66

Kannst Du uns bitte die Namen der Viren durchgeben, die auf Deinem Rechner gefunden worden sind? Mit 102 Viren ist Dein System sehr wahrscheinlich kompromittiert: www.mathematik.uni-marburg.de

SD

Puh, ich habe das Log zwar gespeichert, aber das ist ja doch ziemlich umfangreich.... viele wiederholen sich auch mehrfach, die meisten waren im Ordner Temporary Internet Files. Ich habe mal versucht die häufigsten aufzuschreiben:

TrojanDownloader.Win32.Agent.ae
TrojanDownloader.Win32.Small.us
TrojanDownloader.Win32.Agent.bq
not-a-virus:AdvWare.BiSpy.o
TrojanDownloader.Win32.WinShow.ak
TrojanDownloader.Win32.Rameh.c
TrojanDownloader.Win32.Delf.dg
TrojanDownloader.Win32.SecondThought.ah
TrojanDownloader.Win32.Keenval.e
TrojanDropper.Win32.Small.ht
TrojanClicker.Win32.VB.a
not-virus:Joke.Win32.Melter
Exploit.HTML.Mht
TrojanDownloader.VBS.Iwill.o
Exploit.CodeBaseExec
TrojanDropper.VBS.Inor.br
Exploit.HTML.ObjData
TrojanDownloader.JS.Small.i
Trojan.Win32.Dialer.ay
TrojanDownloader.VBS.Psyme.v
not-a-virus:Advware.MediaTickets.e
TrojanDownloader.Win32.Small.ka
Trojan.Java.ClassLoader.h
TrojanDownloader.JS.Weis.b
not-a-virus:AdvWare.BetterInternet

Hast du die Dateien auch im abgesicherten Modus gelöscht?

Leere deine Temp. Internet Files.

Zitat von *Christian*

Hast du die Dateien auch im abgesicherten Modus gelöscht?

Leere deine Temp. Internet Files.

Ja, alles wie beschrieben, eScan im abgesicherten Modus ausgeführt. Die Version hat die Dateien noch selber gelöscht. Die temp. Internetdateien lösche ich eigentlich regelmäßig manuell....