Hallo zusammen,

ich habe folgendes Problem: die von Internet Explorer angezeigte Startseite (about:blank) lässt sich nicht mehr ändern, bzw. wird nach jeder neuen Eingabe die Startseite wieder dahin zurück versetzt.
Ich habe Hijack This den PC überprüfen lassen und einige der Einträge, die ich dafür verantworltlich mache, gelöscht. Die Einträge kommen allerdings immer wieder zurück. Vielleicht kann jemand von euch mir dabei weiterhelfen? Ich wär euch wirklich dankbar - hab gestern geschlagene 5 Stunden dran gesessen und versucht, es zu ändern.
Vielleicht hilft euch das Protokoll von Hijack This weiter.

Logfile of HijackThis v1.98.2
Scan saved at 03:18:28, on 02.11.2004
Platform: Windows XP (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 (6.00.2600.0000)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\Programme\Gemeinsame Dateien\Symantec Shared\ccSetMgr.exe
C:\WINDOWS\Explorer.EXE
C:\Programme\Gemeinsame Dateien\Symantec Shared\ccEvtMgr.exe
C:\WINDOWS\system32\spoolsv.exe
C:\PROGRA~1\Save\Save.exe
C:\Programme\Gemeinsame Dateien\Real\Update_OB\realsched.exe
C:\Programme\Roxio\WinOnCD\DirectCD\DirectCD.exe
C:\PROGRA~1\ZONELA~1\ZONEAL~1\zlclient.exe
C:\Programme\Gemeinsame Dateien\Symantec Shared\ccApp.exe
C:\WINDOWS\System\MSMSGSVC.exe
C:\Programme\WinZip\WZQKPICK.EXE
C:\Programme\Norton AntiVirus\navapsvc.exe
C:\Programme\Norton AntiVirus\SAVScan.exe
C:\WINDOWS\System32\svchost.exe
C:\Programme\Gemeinsame Dateien\Symantec Shared\CCPD-LC\symlcsvc.exe
C:\WINDOWS\system32\ZoneLabs\vsmon.exe
C:\WINDOWS\System32\MsPMSPSv.exe
C:\WINDOWS\System32\wuauclt.exe
C:\WINDOWS\System\MSMSGSVC.exe
C:\WINDOWS\System\MSMSGSVC.exe
C:\WINDOWS\System\MSMSGSVC.exe
C:\Benny\HijackThis.exe
C:\Programme\Internet Explorer\iexplore.exe
C:\Programme\Internet Explorer\iexplore.exe

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://www.e-finder.cc/search/ (obfuscated)
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Bar = http://www.e-finder.cc/search/ (obfuscated)
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = http://www.e-finder.cc/search/ (obfuscated)
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://default.home
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://www.e-finder.cc/search/ (obfuscated)
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Bar = http://www.e-finder.cc/search/ (obfuscated)
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = http://www.e-finder.cc/search/ (obfuscated)
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = http://default.home
R1 - HKCU\Software\Microsoft\Internet Explorer\Search,SearchAssistant = http://www.e-finder.cc/search/ (obfuscated)
R1 - HKCU\Software\Microsoft\Internet Explorer\Search,CustomizeSearch = http://www.e-finder.cc/search/ (obfuscated)
R1 - HKCU\Software\Microsoft\Internet Explorer\Search,(Default) = http://www.e-finder.cc/search/ (obfuscated)
R0 - HKLM\Software\Microsoft\Internet Explorer\Search,SearchAssistant = http://www.e-finder.cc/search/ (obfuscated)
R0 - HKLM\Software\Microsoft\Internet Explorer\Search,CustomizeSearch = http://www.e-finder.cc/search/ (obfuscated)
R1 - HKLM\Software\Microsoft\Internet Explorer\Search,(Default) = http://www.e-finder.cc/search/ (obfuscated)
R1 - HKCU\Software\Microsoft\Internet Explorer\SearchURL,(Default) = http://www.e-finder.cc/search/ (obfuscated)
R1 - HKLM\Software\Microsoft\Internet Explorer\SearchURL,(Default) = http://www.e-finder.cc/search/ (obfuscated)
F1 - win.ini: run=C:\WESTWOOD\ALARM\INSTICON.EXE C:\WESTWOOD\ALARM\INSTICON.EXE C:\WESTWOOD\ALARM\INSTICON.EXE C:\WESTWOOD\ALARM\INSTICON.EXE
O2 - BHO: DOMPeek Class - {834261E1-DD97-4177-853B-C907E5D5BD6E} - C:\WINDOWS\dpe.dll
O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINDOWS\System32\msdxm.ocx
O3 - Toolbar: Norton AntiVirus - {42CDD1BF-3FFB-4238-8AD1-7859DF00B1D6} - C:\Programme\Norton AntiVirus\NavShExt.dll
O4 - HKLM\..\Run: [WindowEnhancer] "C:\Programme\winex\v2\winex.EXE" /U
O4 - HKLM\..\Run: [TkBellExe] "C:\Programme\Gemeinsame Dateien\Real\Update_OB\realsched.exe" -osboot
O4 - HKLM\..\Run: [AdaptecDirectCD] "C:\Programme\Roxio\WinOnCD\DirectCD\DirectCD.exe"
O4 - HKLM\..\Run: [Zone Labs Client] C:\PROGRA~1\ZONELA~1\ZONEAL~1\zlclient.exe
O4 - HKLM\..\Run: [ccApp] "C:\Programme\Gemeinsame Dateien\Symantec Shared\ccApp.exe"
O4 - HKLM\..\Run: [SSC_UserPrompt] C:\Programme\Gemeinsame Dateien\Symantec Shared\Security Center\UsrPrmpt.exe
O4 - HKCU\..\Run: [MSMsgSvc] C:\WINDOWS\System\MSMSGSVC.exe
O4 - Global Startup: Microsoft Office.lnk = C:\Programme\Microsoft Office\Office10\OSA.EXE
O4 - Global Startup: WinZip Quick Pick.lnk = C:\Programme\WinZip\WZQKPICK.EXE
O8 - Extra context menu item: Nach Microsoft &Excel exportieren - res://C:\PROGRA~1\MICROS~2\Office10\EXCEL.EXE/3000
O9 - Extra button: Related - {c95fe080-8f5d-11d2-a20b-00aa003c157a} - C:\WINDOWS\web\related.htm
O9 - Extra 'Tools' menuitem: Show &Related Links - {c95fe080-8f5d-11d2-a20b-00aa003c157a} - C:\WINDOWS\web\related.htm
O10 - Hijacked Internet access by New.Net
O10 - Hijacked Internet access by New.Net
O10 - Hijacked Internet access by New.Net
O10 - Hijacked Internet access by New.Net
O10 - Hijacked Internet access by New.Net

Ich wär euch dankbar, wenn ihr mir bei dem Problem weiterhelfen könntet.

Viele Grüße und vielen Dank im Voraus,

meinhaus

Hallo meinhaus,
1.) Lade dir LSPFix runter bevor du irgendwas fixt oder löschst was mit new.net zu tun hat, da es sein kann, dass du nach der Entfernung nicht mehr ins Netz kannst.
2.) hast du schonmal Spybot Search&Destroy oder AdAware probiert?
3.) Dein Windows ist nicht auf dem neusten Stand, aktuell ist SP2.
4.) Was genau du fixen musst kann ich dir leider nicht sagen, aber wenn du Probleme damit hast, dass das "gefixte" wiederkommt, dann versuch es mal im abgesicherten Modus bei abgeschalteter Systemwiederherstellung.
Warte aber erst die Scans ab, die dürften auf jeden Fall die Adware SaveNow entfernen.

Hallo Haui45,

erstmal vielen Dank für die Tipps. Leider hat auch die von Dir vorgeschlagene Vorgehensweise nichts genutzt. Ich bin folgendermaßen vorgegangen:
1.) LSPFix heruntergeladen
2.) den PC im abgesicherten Modus hochgefahren (ich weiß allerdings nicht, wie man die Systemwiederherstellung abschaltet)
3.) Spybot Search & Destroy drüberlaufen lassen
4.) alle genannten Kategorien gelöscht.
Nach Schritt 4.) kam immer eine Meldung, dass sich zwei Dateien dem Löschen entzogen haben:

Benutzer-Einstellungen HKEY_USERS\S-1-5-18\Software\Updates
und
Benutzer-Einstellungen HKEY_USERS\DEFAULT\Software\Updates
Spybot bezeichnet beide Dateien als "Registrierungsdatenbank-S chlüssel".

Diese beiden Dateien verhindern anscheinend das endgültige Löschen der "falschen" Startseite. Sobald ich den PC normal hochgefahren habe, waren die Dateien, die für die Anzeige der "falschen" Startseite verantwortlich sind, wieder vorhanden.
Hast Du eine Ahnung, wie ich den beiden Dateien endgültig den Garaus machen kann? Spybot hat nach dem fehlgeschlagenen Löschen empfohlen, den PC neu zu starten und hat dann erneut einen Check durchgeführt. Auch hier wurden die Dateien erkannt, ließen sich allerdings erneut nicht löschen.
Würde es was bringen, im abgesicherten Modus die entsprechenden Befehle in der registry zu löschen? Oder soll ich es noch mal mit Hijack This versuchen?

Vielen Dank im Voraus.

meinhaus

Platform: Windows XP (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 (6.00.2600.0000)

Solange du dein System inklusive IE nicht ausreichend patchst, werden keine Lösungsvorschläge dauerhaft bei dir greifen!
Deshalb dringendst http://v5.windowsupdate.microsoft.co...r/default.aspx besuchen und patchen, dann macht eine Bereinigung deines Systems auch Sinn.

Hallo cidre,

mit dem Tip hast Du recht, danke dafür. Ich hatte die Sache mit den Updates allerdings vernachlässigt. Mittlerweile sind alle wichtigen auf den PC gespielt.
Kannst Du mir einen Rat geben, wie mein Problem jetzt zu lösen ist? Vor nachfolgenden Bedrohungen sollte ich ja geschützt sein.

Gruß,

meinhaus

@ meinhaus

Platform: Windows XP (WinNT 5.01.2600)/MSIE: Internet Explorer v6.00 (6.00.2600.0000): besuche www.windowsupdate.com. Beachte, dass das Betriebssystem, der Browser, alle SchutzProgramme, sowie alle weitere Software stets auf dem aktuellen Stand sein muss, um einen Schutz darstellen zu können.

Boote in den abgesicherten Modus, deaktiviere die Systemwiederherstellung, und fixe dann mit Hijack This (Häk'chen setzen und Fix Checked klicken):

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = h**p://www.e-finder.cc/search/ (obfuscated)
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Bar = h**p://www.e-finder.cc/search/ (obfuscated)
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = h**p://www.e-finder.cc/search/ (obfuscated)
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = h**p://default.home
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = h**p://www.e-finder.cc/search/ (obfuscated)
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Bar = h**p://www.e-finder.cc/search/ (obfuscated)
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = h**p://www.e-finder.cc/search/ (obfuscated)
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = h**p://default.home
R1 - HKCU\Software\Microsoft\Internet Explorer\Search,SearchAssistant = h**p://www.e-finder.cc/search/ (obfuscated)
R1 - HKCU\Software\Microsoft\Internet Explorer\Search,CustomizeSearch = h**p://www.e-finder.cc/search/ (obfuscated)
R1 - HKCU\Software\Microsoft\Internet Explorer\Search,(Default) = h**p://www.e-finder.cc/search/ (obfuscated)
R0 - HKLM\Software\Microsoft\Internet Explorer\Search,SearchAssistant = h**p://www.e-finder.cc/search/ (obfuscated)
R0 - HKLM\Software\Microsoft\Internet Explorer\Search,CustomizeSearch = h**p://www.e-finder.cc/search/ (obfuscated)
R1 - HKLM\Software\Microsoft\Internet Explorer\Search,(Default) = h**p://www.e-finder.cc/search/ (obfuscated)
R1 - HKCU\Software\Microsoft\Internet Explorer\SearchURL,(Default) = h**p://www.e-finder.cc/search/ (obfuscated)
R1 - HKLM\Software\Microsoft\Internet Explorer\SearchURL,(Default) = h**p://www.e-finder.cc/search/ (obfuscated)
O2 - BHO: DOMPeek Class - {834261E1-DD97-4177-853B-C907E5D5BD6E} - C:\WINDOWS\dpe.dll

O4 - HKLM\..\Run: [WindowEnhancer] "C:\Programme\winex\v2\winex.EXE" /U
O4 - HKCU\..\Run: [MSMsgSvc] C:\WINDOWS\System\MSMSGSVC.exe

Lösche mit LSP-Fix:

O10 - Hijacked Internet access by New.Net
O10 - Hijacked Internet access by New.Net
O10 - Hijacked Internet access by New.Net
O10 - Hijacked Internet access by New.Net
O10 - Hijacked Internet access by New.Net

(Es kann sein, dass Du Probleme bekommst, ins Netz zu kommen. Mit LSP-Fix kannst Du diese Probleme beheben: die Internetverbindung trennen und eines der Programme ausführen. Den Rechner neu booten.)

boote in den normalen Modus.

beende:

Save.exe
MSMSGSVC.exe
winex.EXE

lösche:

C:\PROGRA~1\Save\Save.exe
C:\WINDOWS\System\MSMSGSVC.exe
C:\WINDOWS\dpe.dll
C:\Programme\winex\v2\winex.EXE

Aktiviere die Systemwiederherstellung,

Überprüfe mit virusscan.jotti.dhs.org:

C:\WESTWOOD\ALARM\INSTICON.EXE

--> Ergebnis?

Lade den eScan runter, erstelle dafür einen Ordner (=Verzeichnis) c:\bases, update den eScan online und führe ihn offline im abgesicherten Modus aus. Beachte bitte, dass der eScan ab Version 4.5.1 die gefundene Malware nicht löscht.

Teile uns das Ergebnis des eScan mit: welche Viren wurden auf Deinem Rechner gefunden: "öffne die mwav.log -> Bearbeiten -> Suchen -> infected eingeben -> Weitersuchen -> Treffer markieren/kopieren und ins Forum übertragen." (Zitat Cidre) Erstelle ein neues Hijack This Logfile und poste es.

SD

Hallo Shadowdance,

erstmal danke für die Tips.
Ich bin vorgegangen, wie Du es vorgeschlagen hast: den PC im abgesicherten Modus gestartet, die Systemwiederherstellung deaktiviert und die angegebenen Dateien gelöscht. Dann habe ich die New.Net Dateien gelöscht.
Danach habe ich die von Dir angegebenen Dateien gelöscht und die Systemwiederherstellung aktiviert. Die Datei C:\Windows\dpe.dll habe ich allerdings nicht finden können.
Im Anschluss daran habe ich versucht, die von Dir empfohlenen Programme aus dem Internet runterzuladen. Der Internet Explorer zeigt jetzt allerdings weder die vorherige Startseite noch eine neu eingegebene Seite an. Stattdessen erscheint:

Access Blocked - Virus Warning!

Im darauf folgenden Text wird erklärt, dass der Computer von Adware oder Spyware befallen sei und ein Angebot gemacht, wo man Software zu deren Bekämpfung runterladen kann. Ich habe versucht, mit LSP-Fix so vorzugehen, wie Du gemeint hast, weiß allerdings nicht genau, wie Du das gemeint hast. Welche Datei soll ich wie ausführen?
Es wär super, wenn Du mir hierzu einen Tip geben könntest - wenn das Internet wieder läuft, gehe ich dann weiter so vor, wie von Dir vorgeschlagen.

Dank Dir im Voraus.

Gruß,

meinhaus

Hallo meinhaus,

was hat der eScan ergeben? Erstelle ein neues Hijack This Logfile und poste es.

SD

Hey Shadowdance,

hier ist das Ergebnis von HijackThis:

Logfile of HijackThis v1.98.2
Scan saved at 19:13:36, on 13.11.2004
Platform: Windows XP (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 (6.00.2600.0000)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\Programme\Gemeinsame Dateien\Symantec Shared\ccSetMgr.exe
C:\WINDOWS\Explorer.EXE
C:\Programme\Gemeinsame Dateien\Symantec Shared\ccEvtMgr.exe
C:\WINDOWS\system32\spoolsv.exe
C:\Programme\Gemeinsame Dateien\Real\Update_OB\realsched.exe
C:\Programme\Roxio\WinOnCD\DirectCD\DirectCD.exe
C:\Programme\Gemeinsame Dateien\Symantec Shared\ccApp.exe
C:\Programme\WinZip\WZQKPICK.EXE
C:\Programme\Norton AntiVirus\navapsvc.exe
C:\Programme\Norton AntiVirus\SAVScan.exe
C:\WINDOWS\System32\svchost.exe
C:\Programme\Gemeinsame Dateien\Symantec Shared\CCPD-LC\symlcsvc.exe
C:\WINDOWS\System32\MsPMSPSv.exe
C:\WINDOWS\System32\wuauclt.exe
C:\Programme\Internet Explorer\iexplore.exe
C:\Benny\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.gmx.de/
F1 - win.ini: run=C:\WESTWOOD\ALARM\INSTICON.EXE C:\WESTWOOD\ALARM\INSTICON.EXE C:\WESTWOOD\ALARM\INSTICON.EXE C:\WESTWOOD\ALARM\INSTICON.EXE
O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINDOWS\System32\msdxm.ocx
O3 - Toolbar: Norton AntiVirus - {42CDD1BF-3FFB-4238-8AD1-7859DF00B1D6} - C:\Programme\Norton AntiVirus\NavShExt.dll
O4 - HKLM\..\Run: [TkBellExe] "C:\Programme\Gemeinsame Dateien\Real\Update_OB\realsched.exe" -osboot
O4 - HKLM\..\Run: [AdaptecDirectCD] "C:\Programme\Roxio\WinOnCD\DirectCD\DirectCD.exe"
O4 - HKLM\..\Run: [ccApp] "C:\Programme\Gemeinsame Dateien\Symantec Shared\ccApp.exe"
O4 - HKLM\..\Run: [SSC_UserPrompt] C:\Programme\Gemeinsame Dateien\Symantec Shared\Security Center\UsrPrmpt.exe
O4 - Global Startup: Microsoft Office.lnk = C:\Programme\Microsoft Office\Office10\OSA.EXE
O4 - Global Startup: WinZip Quick Pick.lnk = C:\Programme\WinZip\WZQKPICK.EXE
O8 - Extra context menu item: Nach Microsoft &Excel exportieren - res://C:\PROGRA~1\MICROS~2\Office10\EXCEL.EXE/3000
O9 - Extra button: Related - {c95fe080-8f5d-11d2-a20b-00aa003c157a} - C:\WINDOWS\web\related.htm
O9 - Extra 'Tools' menuitem: Show &Related Links - {c95fe080-8f5d-11d2-a20b-00aa003c157a} - C:\WINDOWS\web\related.htm
O13 - DefaultPrefix: http://ehttp.cc/?
O13 - WWW Prefix: http://ehttp.cc/?
O13 - WWW. Prefix: http://ehttp.cc/?

Mittlerweile hat sich das Problem mit dem Internetzugang wieder gelöst. HijackThis hat mir bei den letzten der drei oben genannten Dateien angezeigt, dass diese automatisch die Seite http://ehttp.cc/? aufrufen, wenn die aufgerufene homepage ohne http:// eingegeben wurde. Das Problem mit der unerwünschten Startseite existiert ebenfalls nicht mehr.
Trotzdem würde ich die störenden Dateien gerne entfernen. Mache ich das wieder im abgesicherten Modus, deaktivierter Systemwiederherstellung und HijackThis?
Vielen Dank für Deine Hilfe bis zum jetzigen Zeitpunkt - ohne Dich wäre ich ziemlich aufgeschmissen gewesen.

Gruß,

meinhaus

Hallo Shadowdance,

die Überprüfung von INSTICON.EXE auf Viren ist negativ ausgefallen. Im Anhang die Ergebnisse von http://virusscan.jotti.org/de.

Service load: 0% 100%

File: INSTICON.EXE
Status: OK
Packers detected: None

AntiVir No viruses found (0.14 seconds taken)
Avast No viruses found (1.51 seconds taken)
BitDefender No viruses found (0.67 seconds taken)
ClamAV No viruses found (0.62 seconds taken)
Dr.Web No viruses found (0.96 seconds taken)
F-Prot Antivirus No viruses found (0.11 seconds taken)
Kaspersky Anti-Virus No viruses found (0.83 seconds taken)
mks_vir No viruses found (0.21 seconds taken)
NOD32 No viruses found (0.35 seconds taken)
Norman Virus Control No viruses found (0.13 seconds taken)

Gruß,

meinhaus

F1 - win.ini: run=C:\WESTWOOD\ALARM\INSTICON.EXE C:\WESTWOOD\ALARM\INSTICON.EXE

Hast du eventuell Command & Conquer installiert?

Diese Einträge solltest du noch fixen:
O13 - DefaultPrefix: http://ehttp.cc/?
O13 - WWW Prefix: http://ehttp.cc/?
O13 - WWW. Prefix: http://ehttp.cc/?

Platform: Windows XP (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 (6.00.2600.0000)

Warum installierst du kein Service Pack?

@Cidre

Vielen Dank, es funktioniert wieder alles! Ja, ich habe C&C installiert. Das dürfte also kein Problem sein.

Gruß,

meinhaus