HiJacker Home Search Bitte mal LogFile anschauen!
 

Hi, ich hab mir einen Hijacker eingefangen.
Ich hab mal HijackThis laufen lassen. Hier mal die LogFile:

Logfile of HijackThis v1.99.0
Scan saved at 18:06:20, on 02.01.2005
Platform: Windows 2000 SP3 (WinNT 5.00.2195)
MSIE: Internet Explorer v6.00 SP1 (6.00.2800.1106)

Running processes:
C:\WINNT\System32\smss.exe
C:\WINNT\system32\winlogon.exe
C:\WINNT\system32\services.exe
C:\WINNT\system32\lsass.exe
C:\WINNT\system32\svchost.exe
C:\WINNT\system32\LEXBCES.EXE
C:\WINNT\system32\spoolsv.exe
C:\WINNT\system32\LEXPPS.EXE
C:\Programme\AVPersonal\AVWUPSRV.EXE
C:\WINNT\System32\CTSvcCDA.exe
C:\WINNT\System32\svchost.exe
C:\WINNT\System32\nvsvc32.exe
C:\WINNT\system32\regsvc.exe
C:\WINNT\system32\MSTask.exe
C:\WINNT\System32\WBEM\WinMgmt.exe
C:\WINNT\system32\svchost.exe
C:\WINNT\Explorer.EXE
C:\Programme\Winamp\winampa.exe
C:\Programme\QuickTime\qttask.exe
C:\WINNT\SYSTEM32\starter.exe
C:\Programme\Java\j2re1.4.2_05\bin\jusched.exe
C:\Programme\ICQLite\ICQLite.exe
C:\WINNT\system32\mshd32.exe
C:\WINNT\system32\appzz.exe
C:\DOKUME~1\CHRIST~1\LOKALE~1\Temp\2.tmp
C:\WINNT\System32\tibs3.exe
C:\Programme\Internet Explorer\IEXPLORE.EXE
C:\Programme\Internet Explorer\IEXPLORE.EXE
C:\PROGRA~1\WINZIP\winzip32.exe
C:\Dokumente und Einstellungen\Christian Hamann\Lokale Einstellungen\Temp\HijackThis.exe

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Bar = res://C:\WINNT\cdfae.dll/sp.html#12345
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = res://C:\WINNT\cdfae.dll/sp.html#12345
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = about:blank
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = res://C:\WINNT\cdfae.dll/sp.html#12345
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Bar = res://C:\WINNT\cdfae.dll/sp.html#12345
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = res://C:\WINNT\cdfae.dll/sp.html#12345
R0 - HKLM\Software\Microsoft\Internet Explorer\Search,SearchAssistant = res://C:\WINNT\cdfae.dll/sp.html#12345
R1 - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings,ProxyOverride = *hot-searches.com*;*lender-search.com*
R3 - Default URLSearchHook is missing
O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Programme\Adobe\Acrobat 6.0\Reader\ActiveX\AcroIEHelper.dll
O2 - BHO: (no name) - {32FDEE89-3D00-0142-A0FE-63A0ED9E1F3C} - C:\WINNT\ieto32.dll
O3 - Toolbar: @msdxmLC.dll,-1@1031,&Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINNT\System32\msdxm.ocx
O4 - HKLM\..\Run: [nwiz] nwiz.exe /install
O4 - HKLM\..\Run: [WinampAgent] C:\Programme\Winamp\winampa.exe
O4 - HKLM\..\Run: [QuickTime Task] "C:\Programme\QuickTime\qttask.exe" -atboottime
O4 - HKLM\..\Run: [EnsoniqMixer] C:\WINNT\SYSTEM32\starter.exe
O4 - HKLM\..\Run: [Synchronization Manager] mobsync.exe /logon
O4 - HKLM\..\Run: [SunJavaUpdateSched] C:\Programme\Java\j2re1.4.2_05\bin\jusched.exe
O4 - HKLM\..\Run: [NeroFilterCheck] C:\WINNT\system32\NeroCheck.exe
O4 - HKLM\..\Run: [appzz.exe] C:\WINNT\system32\appzz.exe
O4 - HKLM\..\Run: [2.tmp] C:\DOKUME~1\CHRIST~1\LOKALE~1\Temp\2.tmp.exe 0 10001
O4 - HKLM\..\Run: [tibs3] C:\WINNT\System32\tibs3.exe
O4 - HKLM\..\RunOnce: [SpybotSnD] "C:\Programme\Spybot - Search & Destroy\SpybotSD.exe" /autocheck
O4 - HKCU\..\RunOnce: [ICQ Lite] C:\Programme\ICQLite\ICQLite.exe -trayboot
O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\WINNT\System32\msjava.dll
O9 - Extra 'Tools' menuitem: Sun Java Konsole - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\WINNT\System32\msjava.dll
O9 - Extra button: ICQ 4.1 - {B863453A-26C3-4e1f-A54D-A2CD196348E9} - C:\Programme\ICQLite\ICQLite.exe
O9 - Extra 'Tools' menuitem: ICQ Lite - {B863453A-26C3-4e1f-A54D-A2CD196348E9} - C:\Programme\ICQLite\ICQLite.exe
O16 - DPF: {14A3221B-1678-1982-A355-7263B1281987} - ms-its:mhtml:file://C:\foo.mht!http://82.179.166.130/e9xr2.chm::/file.exe
O16 - DPF: {D27CDB6E-AE6D-11CF-96B8-444553540000} (Shockwave Flash Object) - https://download.macromedia.com/pub/...sh/swflash.cab
O23 - Service: AntiVir Service - H+BEDV Datentechnik GmbH - C:\Programme\AVPersonal\AVGUARD.EXE
O23 - Service: AntiVir Update - H+BEDV Datentechnik GmbH, Germany - C:\Programme\AVPersonal\AVWUPSRV.EXE
O23 - Service: Creative Service for CDROM Access - Creative Technology Ltd - C:\WINNT\System32\CTSvcCDA.exe
O23 - Service: Verwaltungsdienst für die Verwaltung logischer Datenträger - VERITAS Software Corp. - C:\WINNT\System32\dmadmin.exe
O23 - Service: LexBce Server - Lexmark International, Inc. - C:\WINNT\system32\LEXBCES.EXE
O23 - Service: NVIDIA Driver Helper Service - NVIDIA Corporation - C:\WINNT\System32\nvsvc32.exe
O23 - Service: Network Security Service (NSS) - Unknown - C:\WINNT\system32\mshd32.exe


Ich lese hier imer nur, dass ich Voränge fixen muss. Wie kann ich das genau machen?
Hat mal jemand von euch einen Link dafür?
Und natürlich will ich auch wissen, was ich fixen muss.
Danke schonmal, gruß Christian

@Hami
gebe HJT bitte einen eigenen ordner
hier ein anleitung
lade dir escan download hier
anleitung
Zitat Passat2002

lege diesen ordner c:\bases an
download von escan in diesen ordner
entpacke das *zip file mwav.zip hier in diesem ordner
wenn der pfad nicht genau so angegeben wird, funktioniert der scanner nicht!
mache ein update, indem du die datei kavupd.exe startest
wechsle in den abgesicherten modus von windows
öffne nun den explorer, gehe zum ordner c:\bases und starte die datei mwavscan.exe, wenn der scan beendet ist (dauert ca. 1 Stunde), wechselst du zurück in den normalen modus.
nun öffnest du mit dem editor, die mwav.txt und gehst unter bearbeiten -> suchen, hier gibst du infected ein

jene zeile in der infected steht, markieren, und hier einfügen, weitersuchen usw.
und ganz unten steht die zusammenfassung, diese auch hier posten
[Quote] Wed Oct 06 03:19:24 2004 => Total Number of Files Scanned: 54651
Wed Oct 06 03:19:24 2004 => Total Number of Virus(es) Found: 0
Wed Oct 06 03:19:24 2004 => Total Number of Disinfected Files: 0
Wed Oct 06 03:19:24 2004 => Total Number of Files Renamed: 0
Wed Oct 06 03:19:24 2004 => Total Number of Deleted Files: 0
Wed Oct 06 03:19:24 2004 => Total Number of Errors: 0
Wed Oct 06 03:19:24 2004 => Time Elapsed: 01:13:32
Wed Oct 06 03:19:24 2004 => Virus Database Date: 2004/10/05
Wed Oct 06 03:19:24 2004 => Virus Database Count: 105164

Wed Oct 06 03:19:24 2004 => Scan Completed.

chaosman

Danke Chaosman ich habe das jetzt soweit alles gemacht.
Das ist dabei raus gekommen:

Mon Jan 03 08:20:44 2005 => File C:\WINNT\ieto32.dll infected by "Trojan-Downloader.Win32.Agent.bc" Virus. Action Taken: No Action Taken.
Mon Jan 03 08:20:47 2005 => File C:\DOKUME~1\CHRIST~1\LOKALE~1\Temp\2.tmp.exe infected by "Trojan-Downloader.Win32.Small.aef" Virus. Action Taken: No Action Taken.
Mon Jan 03 08:20:48 2005 => File C:\WINNT\system32\sysen.exe infected by "Trojan-Downloader.Win32.Agent.gs" Virus. Action Taken: No Action Taken.
Mon Jan 03 08:20:48 2005 => File C:\WINNT\system32\sysqy.exe infected by "Trojan-Downloader.Win32.Agent.al" Virus. Action Taken: No Action Taken.
Mon Jan 03 08:21:03 2005 => File C:\WINNT\dgenz.dll infected by "TrojanDownloader.Win32.WinShow.ak" Virus. Action Taken: No Action Taken.
Mon Jan 03 08:21:03 2005 => File C:\WINNT\iafzc.dll infected by "TrojanDownloader.Win32.WinShow.ak" Virus. Action Taken: No Action Taken.
Mon Jan 03 08:21:04 2005 => File C:\WINNT\ieau32.exe infected by "Trojan-Downloader.Win32.Agent.al" Virus. Action Taken: No Action Taken.
Mon Jan 03 08:21:04 2005 => File C:\WINNT\ieto32.dll infected by "Trojan-Downloader.Win32.Agent.bc" Virus. Action Taken: No Action Taken.
Mon Jan 03 08:21:06 2005 => File C:\WINNT\sdkrh32.exe infected by "Trojan-Downloader.Win32.Agent.al" Virus. Action Taken: No Action Taken.
Mon Jan 03 08:21:10 2005 => File C:\WINNT\zfuaj.dll infected by "TrojanDownloader.Win32.WinShow.ak" Virus. Action Taken: No Action Taken.
Mon Jan 03 08:22:12 2005 => File C:\WINNT\System32\javavs32.exe infected by "Trojan-Downloader.Win32.Agent.al" Virus. Action Taken: No Action Taken.
Mon Jan 03 08:23:31 2005 => File C:\WINNT\System32\sysen.exe infected by "Trojan-Downloader.Win32.Agent.gs" Virus. Action Taken: No Action Taken.
Mon Jan 03 08:23:31 2005 => File C:\WINNT\System32\sysqy.exe infected by "Trojan-Downloader.Win32.Agent.al" Virus. Action Taken: No Action Taken.
Mon Jan 03 08:23:34 2005 => File C:\WINNT\System32\tksrv99.exe infected by "TrojanDownloader.Win32.Esepor.y" Virus. Action Taken: No Action Taken.
Mon Jan 03 08:23:53 2005 => File C:\DOKUME~1\CHRIST~1\LOKALE~1\Temp\1.tmp infected by "Trojan.Win32.HideProc.a" Virus. Action Taken: No Action Taken.
Mon Jan 03 08:23:53 2005 => File C:\DOKUME~1\CHRIST~1\LOKALE~1\Temp\2.tmp infected by "Trojan-Downloader.Win32.Small.aef" Virus. Action Taken: No Action Taken.
Mon Jan 03 08:23:53 2005 => File C:\DOKUME~1\CHRIST~1\LOKALE~1\Temp\2.tmp.exe infected by "Trojan-Downloader.Win32.Small.aef" Virus. Action Taken: No Action Taken.
Mon Jan 03 08:23:53 2005 => File C:\DOKUME~1\CHRIST~1\LOKALE~1\Temp\4.tmp infected by "Trojan-Downloader.Win32.IstBar.gv" Virus. Action Taken: No Action Taken.


Mon Jan 03 08:34:08 2005 => ***** Scanning complete. *****

Mon Jan 03 08:34:08 2005 => Total Files Scanned: 14811
Mon Jan 03 08:34:08 2005 => Total Virus(es) Found: 18
Mon Jan 03 08:34:08 2005 => Total Disinfected Files: 0
Mon Jan 03 08:34:08 2005 => Total Files Renamed: 0
Mon Jan 03 08:34:08 2005 => Total Deleted Files: 0
Mon Jan 03 08:34:08 2005 => Total Errors: 2
Mon Jan 03 08:34:08 2005 => Time Elapsed: 00:13:48
Mon Jan 03 08:34:08 2005 => Virus Database Date: 2005/01/03
Mon Jan 03 08:34:08 2005 => Virus Database Count: 114611

Mon Jan 03 08:34:08 2005 => Scan Completed.

Mon Jan 03 08:37:28 2005 => Virus Database Date: 2005/01/03
Mon Jan 03 08:37:28 2005 => Virus Database Count: 114611
Mon Jan 03 08:37:43 2005 => AV Library Unloaded (3)...



So das wars. Was hab ich mir da alles eingefangen ? :(

@Hami
Was hab ich mir da alles eingefangen ?
steht alles im posting ;)
lade dir clearprog bei www.clearprog.de
programm starten, alle häkchen bei windows und IE setzen, löschen
damit sind die TIFs weg.
wechsle danach in den abgesicherten modus
Escan anweisungen löschen
"Öffne die mwav.log -> Bearbeiten -> Suchen -> infected eingeben -> Weitersuchen -> Treffer markieren/kopieren und in die Windows Suche übertragen -> löschen!" (Cidre). Systemwiederherstellung aktivieren, in den normalen Modus booten

chaosman

Ho, ich hab alles gemacht und bin auch fast Virenfrei :aplaus:

Aber folgende Dateien finde ich weder über Suche, noch wenn ich dem Pfad folge. Das sind die letzten 2 die ich löschen müssten.

File C:\WINNT\ieau32.exe infected by "Trojan-Downloader.Win32.Agent.al" Virus. Action Taken: No Action Taken.
File C:\WINNT\sdkrh32.exe infected by "Trojan-Downloader.Win32.Agent.al" Virus. Action Taken: No Action Taken.


Schonmal vielen Dank an Chaosman :aplaus:

push :(

höhö

Lade den Total Commander und nimm folgende Einstellung vor:
Total Commander öffnen -> Konfigurieren -> Einstellungen -> Ansicht -> Haken setzen bei "Versteckte und Systemdateien anzeigen (nur für Experten)" -> OK

Navigiere im linken Fenster zum Ordner C:\WINNT und lösche (markieren -> F8 -> JA) die beanstandeten Dateien.