Trojaner-Board - Probleme mit StartPage.qr.DLL ... der Verzweiflung nah!

Trojaner-Board (https://www.trojaner-board.de/)

- Log-Analyse und Auswertung (https://www.trojaner-board.de/log-analyse-auswertung/)

- - Probleme mit StartPage.qr.DLL ... der Verzweiflung nah! (https://www.trojaner-board.de/13447-probleme-startpage-qr-dll-verzweiflung-nah.html)

Probleme mit StartPage.qr.DLL ... der Verzweiflung nah!

Hallo liebe Experten vom Trojaner Board.

Ich hoffe, ich habe hier überhaupt an der richtigen Stelle gepostet.... wenn nicht, entschuldigt bitte.....
Wie die meisten hier bin ich eher der, der Hilfe BRAUCHT, anstatt sie zu geben.
Seit geraumer Zeit plagt mich die o.g. Meldung von AntiVir, dass eine bestimmte sp.dll Datei in meinem Temp-Ordner eben eine gewisse StartPage.qr.DLL sein soll.
Ich bin da kein Fachmann und habe die diversesten Virenscanner wie z.B. Spybot S&D, AdAware SE , CWS Shredder, AntiVir, Spysubtract und wie sie alle heissen über meinen PC huschen lassen.... ohne Erfolg... Ich habe auch versucht, mittels Hijackthis entsprechende files zu fixen (?) :) , brachte auch nichts... Ausser, dass mich permanent noch Pop-Ups quälen, die mir erzählen, dass Spyware auf meinem PC sitzt.

Wenn ich darf, setze ich hier mal meine Logfile von Hijackthis hin.
Wenn mir anschliessend jemand sagen kann, wie ich das Problem löse, ohne den PC neuzumachen oder aus dem Fenster zu schmeissen, wäre ich echt froh und dankbar.
Vielen Dank und schöne Grüße vorab...

Der Dirk

Hier die Logfile....(oder scanfile oder was...? )(Wie gesagt, wirklich kein Experte)
Logfile of HijackThis v1.99.0
Scan saved at 19:55:18, on 07.02.2005
Platform: Windows 2000 SP4 (WinNT 5.00.2195)
MSIE: Internet Explorer v5.00 SP1 (5.00.2920.0000)

Running processes:
C:\WINNT\System32\smss.exe
C:\WINNT\system32\winlogon.exe
C:\WINNT\system32\services.exe
C:\WINNT\system32\lsass.exe
C:\WINNT\system32\svchost.exe
C:\WINNT\system32\spoolsv.exe
C:\Programme\AVPersonal\AVGUARD.EXE
C:\Programme\AVPersonal\AVWUPSRV.EXE
C:\WINNT\System32\svchost.exe
C:\Programme\Canon\MultiPASS4\MPSERVIC.EXE
C:\WINNT\system32\regsvc.exe
C:\WINNT\system32\MSTask.exe
C:\WINNT\System32\WBEM\WinMgmt.exe
C:\WINNT\System32\mspmspsv.exe
C:\WINNT\system32\svchost.exe
C:\WINNT\Explorer.EXE
C:\Programme\ScanSoft\OmniPageSE\opware32.exe
C:\WINNT\system32\sistray.EXE
C:\WINNT\System32\khooker.exe
C:\Programme\FRITZ!DSL\Awatch.exe
C:\Programme\QuickTime\qttask.exe
C:\Programme\Java\jre1.5.0_01\bin\jusched.exe
C:\Programme\AVPersonal\AVGNT.EXE
C:\WINNT\system32\internat.exe
C:\Programme\Exif Launcher\QuickDCF.exe
C:\Virenprogramme\SpySub.exe
C:\Programme\Canon\MultiPASS4\MPDBMgr.exe
C:\Programme\FRITZ!DSL\FritzDSL.exe
C:\Programme\Internet Explorer\iexplore.exe
C:\Programme\Outlook Express\MSIMN.EXE
C:\MY_DOWNLOAD_FILES\HijackThis.exe

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Bar = about:NavigationFailure
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = about:blank
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = about:blank
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Bar = about:NavigationFailure
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = about:blank
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = about:blank
R1 - HKCU\Software\Microsoft\Internet Explorer\Search,SearchAssistant = about:blank
R0 - HKLM\Software\Microsoft\Internet Explorer\Search,SearchAssistant = about:blank
R1 - HKCU\Software\Microsoft\Internet Explorer\SearchURL,(Default) = http://www.google.de/keyword/%s
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Local Page = C:\WINNT\about.htm
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,HomeOldSP = about:blank
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,HomeOldSP = about:blank
R1 - HKCU\Software\Microsoft\Internet Connection Wizard,ShellNext = http://www.msn.de/
O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Programme\Adobe\Acrobat 5.0\Reader\ActiveX\AcroIEHelper.ocx
O2 - BHO: (no name) - {53707962-6F74-2D53-2644-206D7942484F} - C:\MY_DOW~1\SPYBOT~1\SDHelper.dll (file missing)
O2 - BHO: PCTools Site Guard - {5C8B2A36-3DB1-42A4-A3CB-D426709BBFEB} - C:\MY_DOW~1\SPYWAR~1\tools\iesdsg.dll (file missing)
O2 - BHO: (no name) - {ACB3E0B7-7D0C-40B7-99B3-3EEACDF86BFB} - C:\WINNT\mslagent\4b_1,0,1,1_mslagent.dll (file missing)
O2 - BHO: PCTools Browser Monitor - {B56A7D7D-6927-48C8-A975-17DF180C71AC} - C:\MY_DOW~1\SPYWAR~1\tools\iesdpb.dll (file missing)
O2 - BHO: (no name) - {FD9EFCB8-4A14-48F0-B6C6-11E4666BF263} - C:\WINNT\system32\hponpc.dll
O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINNT\system32\msdxm.ocx
O4 - HKLM\..\Run: [Synchronization Manager] mobsync.exe /logon
O4 - HKLM\..\Run: [NeroCheck] C:\WINNT\system32\NeroCheck.exe
O4 - HKLM\..\Run: [RegShave] C:\Progra~1\REGSHAVE\REGSHAVE.EXE /autorun
O4 - HKLM\..\Run: [Omnipage] C:\Programme\ScanSoft\OmniPageSE\opware32.exe
O4 - HKLM\..\Run: [SiS Tray] C:\WINNT\system32\sistray.EXE
O4 - HKLM\..\Run: [SiS KHooker] C:\WINNT\System32\khooker.exe
O4 - HKLM\..\Run: [ywplxdef] C:\WINNT\System32\ecapfzyt.exe
O4 - HKLM\..\Run: [AWatch] C:\Programme\FRITZ!DSL\Awatch.exe
O4 - HKLM\..\Run: [QuickTime Task] "C:\Programme\QuickTime\qttask.exe" -atboottime
O4 - HKLM\..\Run: [SunJavaUpdateSched] C:\Programme\Java\jre1.5.0_01\bin\jusched.exe
O4 - HKLM\..\Run: [AVGCtrl] C:\Programme\AVPersonal\AVGNT.EXE /min
O4 - HKCU\..\Run: [internat.exe] internat.exe
O4 - HKCU\..\Run: [SpyKiller] C:\Programme\SpyKiller\spykiller.exe /startup
O4 - HKCU\..\Run: [cFos - Tip of the Day] C:\MY_DOWNLOAD_FILES\setup.exe -tipoftheday 1 -type1
O4 - HKCU\..\Run: [Spyware Doctor] "C:\Virenprogramme\Spyware Doctor\swdoctor.exe" /Q
O4 - Global Startup: Microsoft Office.lnk = C:\Programme\Microsoft Office\Office\OSA9.EXE
O4 - Global Startup: Exif Launcher.lnk = C:\Programme\Exif Launcher\QuickDCF.exe
O4 - Global Startup: SpySubtract.lnk = C:\Virenprogramme\SpySub.exe
O8 - Extra context menu item: Download using Download &Express - file://C:\WINNT\System32\MetaProducts\Add_Url.htm
O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programme\Java\jre1.5.0_01\bin\npjpi150_01.dll
O9 - Extra 'Tools' menuitem: Sun Java Konsole - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programme\Java\jre1.5.0_01\bin\npjpi150_01.dll
O9 - Extra button: Spyware Doctor - {2D663D1A-8670-49D9-A1A5-4C56B4E14E84} - C:\MY_DOW~1\SPYWAR~1\tools\iesdpb.dll (file missing)
O16 - DPF: {0F9B4CA4-A30F-480A-841D-69B45C50A8F8} (SekureL0gin.SekureKontrol) - http://secure2.comned.com/signuptemp...veSekurity.cab
O16 - DPF: {1D4DB7D2-6EC9-47A3-BD87-1E41684E07BB} - http://ak.imgfarm.com/images/nocache...tup1.0.0.8.cab
O16 - DPF: {2BC66F54-93A8-11D3-BEB6-00105AA9B6AE} (Symantec AntiVirus scanner) - http://security.symantec.com/sscv6/S...in/AvSniff.cab
O16 - DPF: {31B7EB4E-8B4B-11D1-A789-00A0CC6651A8} (Cult3D ActiveX Player) - http://www.cult3d.com/download/cult.cab
O16 - DPF: {4C39376E-FA9D-4349-BACC-D305C1750EF3} (EPUImageControl Class) - http://tools.ebayimg.com/eps/wl/acti..._v1-0-3-17.cab
O16 - DPF: {644E432F-49D3-41A1-8DD5-E099162EEEC5} (Symantec RuFSI Utility Class) - http://security.symantec.com/sscv6/S.../bin/cabsa.cab
O16 - DPF: {75D1F3B2-2A21-11D7-97B9-0010DC2A6243} (SecureLogin.SecureControl) - http://secure2.comned.com/signuptemp...veSecurity.cab
O16 - DPF: {E855A2D4-987E-4F3B-A51C-64D10A7E2479} (EPSImageControl Class) - http://tools.ebayimg.com/eps/activex...l_v1-0-3-0.cab
O17 - HKLM\System\CCS\Services\Tcpip\..\{72B1B1CF-B6A7-45C8-A2EE-6C3CD1A62C75}: NameServer = 192.168.122.252,192.168.122.253
O17 - HKLM\System\CCS\Services\Tcpip\..\{A8A658B2-84ED-4FCB-9FD8-3D808219E054}: NameServer = 192.168.121.252,192.168.121.253
O18 - Filter: text/html - {48B8D734-E371-4C4E-9856-0159EBE6A63E} - C:\WINNT\system32\hponpc.dll
O18 - Filter: text/plain - {48B8D734-E371-4C4E-9856-0159EBE6A63E} - C:\WINNT\system32\hponpc.dll
O23 - Service: AntiVir Service - H+BEDV Datentechnik GmbH - C:\Programme\AVPersonal\AVGUARD.EXE
O23 - Service: AntiVir Update - H+BEDV Datentechnik GmbH, Germany - C:\Programme\AVPersonal\AVWUPSRV.EXE
O23 - Service: AVM FRITZ!web Routing Service - AVM Berlin - C:\Programme\Gemeinsame Dateien\AVM\de_serv.exe
O23 - Service: Verwaltungsdienst für die Verwaltung logischer Datenträger - VERITAS Software Corp. - C:\WINNT\System32\dmadmin.exe
O23 - Service: MpService - Canon Inc. - C:\Programme\Canon\MultiPASS4\MPSERVIC.EXE

Hallo,

installiere IE 6 SP1.

Lade und scanne anschliessend mit eScan AntiVirus im abgesicherten Modus wie beschrieben.
Poste danach die Virus Log Information von eScan AntiVirus:
Öffne die mwav.log im Ordner C:\bases -> Bearbeiten -> Suchen -> infected oder tagged eingeben -> Weitersuchen -> Treffer markieren/kopieren und ins Forum übertragen.

Hallo,
Problem mit dem Trojaner TR/StartPage.ix TR/StartParge.qr.DLL

ich habe das selbe Problem wie Der Dirk.

Wer kann mir - uns helfen!!!!!!

Gruss Manfred :headbang:

@Manfred Feiel
Eröffne einen neuen Thread und poste dort ein HijackThis-Logfile
->kurze Beschreibung
->ausführliche Beschreibung

Oh Mann,
seid Ihr schnell....

Vielen Dank!!!

Allerdings sagt mir mein Computer, dass ich bereits die aktuellsten Versionen vom Internet-Explorer habe...?

(Und ihc muss zu meiner Schande gestehen, dass ich von dem, was Du danach geschrieben hast , nicht ganz viel verstanden habe:
Soll ich mir noch ein weiteres Programm runterladen und über die Festplatte schicken?!)

Zitat:

Allerdings sagt mir mein Computer, dass ich bereits die aktuellsten Versionen vom Internet-Explorer habe...?

Dann sagt er dir was falsches ;)
Die aktuelle Version ist IE6. Cidre hat dir sogar schon den Link rausgesucht.

Zitat:

Soll ich mir noch ein weiteres Programm runterladen und über die Festplatte schicken?!

Genau. Mach bitte das, was in dem Link von Cidre beschrieben ist.

An Haui,

ok, mache ich glatt.
Ich meine auch, dass ich IE6 bereits habe... komisch alles...
Ich installiere also nun IE 6 (neu) (, das ist das, was mir der Computer so sagt.... ) und lasse den eScan im abgesicherten Modus drüber laufen....

Allerdings weiss ich noch nichts mit diesem Rat anzufangen: "Öffne die mwav.log im Ordner C:\bases -> Bearbeiten -> Suchen -> infected oder tagged eingeben -> Weitersuchen -> Treffer markieren/kopieren und ins Forum übertragen." ...
Bislang finde ich keinen derartigen Pfad auf meiner Festplatte...

(Ihr könnt ruhig ehrlich sein.... lebe ich doll hinterm Mond?!? :crazy:

Den Ordner c:\bases musst du selbst erstellen und den Inhalt der mwav.exe (die lädst du runter) mit einem Packprogramm in diesen Ordner entpacken.
Nach den Scan wirst du auch eine mwav.log finden.

Ou Mann...
alllsoooo... was für mich schon ein Teilerfolg ist, dass ich mir mwav runtergeldane habe... :-) . Es hat sich selbst entpackt und ich habe ihn im abgesicherten Modus über meinen PC rennen lassen.

Ich habe KEINEN ORDNER ERSTELLT UND NICHTS .... Trotzdem habe ich Folgendes anzubieten:
File C:\WINNT\system32\hponpc.dll infected by "Trojan.Win32.StartPage.uo" Virus. Action Taken: No Action Taken.
File C:\WINNT\_MSRSTRT.EXE tagged as not-a-virus:Tool.Win32.Reboot. No Action Taken.
File C:\WINNT\odbs.log infected by "Trojan.JS.StartPage.x" Virus. Action Taken: No Action Taken.
File C:\WINNT\system32\nofmca.dll infected by "Trojan.Win32.StartPage.uo" Virus. Action Taken: No Action Taken.
File C:\WINNT\system32\Mservice.dll infected by "Trojan-Downloader.Win32.Wintrim.cj" Virus. Action Taken: No Action Taken.
File C:\WINNT\system32\winsys32xx.zzp infected by "Email-Worm.Win32.Sober.f" Virus. Action Taken: No Action Taken.

Hilft Euch das, mir zu helfen???
Wäre klasse!!! :rolleyes:

Da ich nicht glaube, dass du eScan korrekt ausgeführt hast, poste mal bitte folgendes aus der mwav.log (steht ganz am Ende):

Zitat:

Total Number of Files Scanned:
Total Number of Virus(es) Found:
Total Number of Disinfected Files:
Total Number of Files Renamed:
Total Number of Deleted Files:
Total Number of Errors:
Time Elapsed:

btw: Du musst dich wirklich an die Anleitung halten und die mwav.exe in den Ordner c:\bases entpacken, sonst ist es mehr oder weniger sinnlos....

Also gut... jetzt habe ich einen Ordner auf C: erstellt. Bases...

Das ist das, was ich noch anzubieten hätte.....

Mon Feb 07 21:24:48 2005 => Total Files Scanned: 3715
Mon Feb 07 21:24:48 2005 => Total Virus(es) Found: 6
Mon Feb 07 21:24:48 2005 => Total Disinfected Files: 0
Mon Feb 07 21:24:48 2005 => Total Files Renamed: 0
Mon Feb 07 21:24:48 2005 => Total Deleted Files: 0
Mon Feb 07 21:24:48 2005 => Total Errors: 0
Mon Feb 07 21:24:48 2005 => Time Elapsed: 00:03:34
Mon Feb 07 21:24:48 2005 => Virus Database Date: 2005/02/07
Mon Feb 07 21:24:49 2005 => Virus Database Count: 117359

Mon Feb 07 21:24:49 2005 => Scan Completed.

Da ich nunmehr mwav entpackt habe.... starte ich es mit "mwavscan" aus dem neuen Ordner heraus und ist das dann überhaupt notwendig?
Und dann sehe ich weiter???? Mittlerweile habe ich auch hoffentlich eine die log.Datei gefunden, wird die automatisch anders aussehen nachdem ich nochmal im abgesicherten Modus die Prozedur durchgepfiffen habe? Oder muss ich jetzt schon was beachten.....??

[General]
EngineType=1

[Welchia]
Reg1=HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\RPCPatch,"","",""
Reg2=HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\RPCTFTPD,"","",""
DeleteFile1=%winsysdir%\wins\svchost.exe
DeleteFile2=%winsysdir%\wins\Dllhost.exe

[LovGate]
Reg1=HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\ll_reg,"","",""
Reg2=HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\NetMeeting\RemoteDesktop(RPC),"","",""
Reg3=HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Microsoft\NetWork File Wall Services,"","",""
Reg4=HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Windows\Management Instrumentation Driver Extension,"","",""
DeleteFile1=%winsysdir%\NetServices.exe
DeleteFile2=%winsysdir%\RAVMOND.EXE
DeleteFile3=%winsysdir%\RAVMOND.EXE
DeleteFile4=%winsysdir%\WinGate.exe
DeleteFile5=%winsysdir%\WinDriver.exe
DeleteFile6=%winsysdir%\WinHelp.exe
DeleteFile7=%winsysdir%\winrpc.exe
DeleteFile8=%winsysdir%\ily.dll
DeleteFile9=%winsysdir%\task.dll
DeleteFile10=%winsysdir%\reg.dll
DeleteFile11=%winsysdir%\1.dll
DeleteFile12=%winsysdir%\win32vxd.dll
DeleteFile13=%winsysdir%\kernel66.dll
DeleteFile14=%winsysdir%\kernel66.dll
DeleteFile15=%winsysdir%\iky668.dll
DeleteFile16=%winsysdir%\reg678.dll
DeleteFile17=%winsysdir%\task688.dll
DeleteFile18=%winsysdir%\111.dll

[CodeRed]
DeleteFile1=%inetpub%\scripts\root.exe
DeleteFile2=%PF%\common~1\system\MSADC\root.exe
DeleteFile3=%SYSTEMDIR%explorer.exe
Reg1=HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\W3SVC\Parameters\Virtual Roots\C
Reg2=HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\W3SVC\Parameters\Virtual Roots\D

[OpaServ]
DeleteFile1=%SYSTEMDIR%\Tmp.ini
; this is Opaserv.M
DeleteFile2=%SYSTEMDIR%\MSLICENF.COM
DeleteFile3=%SYSTEMDIR%\BOOT.EXE
BAT1=Autoexec.bat,MSLICENF
BAT2=Autoexec.bat,BOOT.EXE

[Sobig.e]
DeleteFile1=%winsysdir%\cgtask.exe
DeleteFile2=%winsysdir%\mmtask.exe

[Winupie]
DeleteFile1=%winsysdir%\AxConfig.dll,regsvr32 /s /u AxConfig.dll

[Swen]
DeleteFile1=%winsysdir%\SWEN*.DAT

[JS.Fortnight]
DeleteFile1=%PF%\sign.htm
DeleteFile2=%PF%\sign.html

[Novarg]
DeleteFile1=%winsysdir%\shimgapi.dll

[Pagabot]
Reg1=HKEY_LOCAL_MACHINE\Software\Microsoft\windows\currentversion\run,Cryptographic Service,"",""

[Parite.b]
Reg1=HKEY_CURRENT_USER\Software\Microsoft\windows\currentversion\explorer,PINF,"",""

[Parite.a]
Reg1=HKEY_CURRENT_USER\Software\Microsoft\windows\currentversion\explorer,ZANF,"",""

Ich wusste nicht, dass es SO schwierig wird..... (für mich jedenfalls....)

Du hast eScan, wie von mir vermutet, falsch ausgeführt. Scanne erneut im abgesicherten Modus und halte dich diesmal genau an die Anleitung ("all local drives" muss aktiviert sein!).
Mach einfach alles wie beschrieben (entpacken->updaten->abges. Modus->scannen)

Ok, mache ich, aber morgen... *gähn*

Nur, welches update fahre ich? "KAVUpd" oder "esupdate" ?

Vielen Dank soweit und eine angenehme Nachtruhe....

Dirk

Die Anleitung ist zum lesen da ;)

Zitat:

Entpacken ist die Datei kavupd.exe bei einer bestehenden Internetverbindung per Doppelklick auszuführen. In einer DOS-Box laufend werden die neusten Virensignaturen heruntergeladen. So braucht man eScan nicht bei jedem Update komplett herunterladen.

Hallo Haui, hallo Cidre.....

ich habe nun escan nochmal drüberlaufen lassen... allerdings mit denselben Meldungen wie gestern auch.....

Zum einen hier die direkte
Virus Log Information
File C:\WINNT\system32\hponpc.dll infected by "Trojan.Win32.StartPage.uo" Virus. Action Taken: No Action Taken.
File C:\WINNT\_MSRSTRT.EXE tagged as not-a-virus:Tool.Win32.Reboot. No Action Taken.
File C:\WINNT\odbs.log infected by "Trojan.JS.StartPage.x" Virus. Action Taken: No Action Taken.
File C:\WINNT\system32\nofmca.dll infected by "Trojan.Win32.StartPage.uo" Virus. Action Taken: No Action Taken.
File C:\WINNT\system32\Mservice.dll infected by "Trojan-Downloader.Win32.Wintrim.cj" Virus. Action Taken: No Action Taken.
File C:\WINNT\system32\winsys32xx.zzp infected by "Email-Worm.Win32.Sober.f" Virus. Action Taken: No Action Taken.

Das, was ich über den Weg eingegeben hatte C:\bases .... suchen... infected... ist identisch....

Was mache ich denn nur falsch?!?
Zuerst habe ich das KAVUpdate laufen lassen... jetzt habe ich einen zusätzlichen Ordner "Downloads" auf meiner festplatte, in welcher offenbar die Virendefinitionen gelandet sind,....... :headbang: