Desktop Hijacker
 

Hallo zusammen. Mein Desktop ist gehijackt worden, ich hoffe hier kann mir jemand helfen, wie ich diesen Mist wieder loswerde. Habe seit gestern Abend nicht mehr mein gewohntes Hintergrundbild, sondern einen uni-blauenn Desktop mit einem schwarzen Kasten in der Mitte mit eoner Windows error Meldung und dem Hinweis auf dem Rechner wäre Spyware gefunden worden.
Habe mit AntiVir und Ad Aware nichts gefunden.
Habe mir daraufhin mit HijackThis ein logfile erstellen lassen (siehe unten)
Welche Einträge muss ich nun löschen und wie geht das ?

Viele Grüße

Heike Kaupat

Logfile of HijackThis v1.99.1
Scan saved at 16:34:31, on 06.05.2005
Platform: Windows XP SP1 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP1 (6.00.2800.1106)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\spoolsv.exe
C:\WINDOWS\Explorer.EXE
C:\WINDOWS\System32\spool\DRIVERS\W32X86\3\E_S4I0S2.EXE
C:\Programme\T-DSL SpeedManager\SpeedMgr.exe
C:\Programme\Gemeinsame Dateien\Real\Update_OB\realsched.exe
C:\Programme\Java\jre1.5.0_02\bin\jusched.exe
C:\Programme\AVPersonal\AVSched32.EXE
C:\Programme\AVPersonal\AVGNT.EXE
C:\WINDOWS\System32\paytime.exe
C:\WINDOWS\isrvs\desktop.exe
C:\WINDOWS\System32\paytime.exe
C:\Programme\WinZip\WZQKPICK.EXE
C:\Programme\AVPersonal\AVGUARD.EXE
C:\Programme\AVPersonal\AVWUPSRV.EXE
C:\WINDOWS\System32\nvsvc32.exe
C:\WINDOWS\System32\svchost.exe
C:\Programme\T-DSL SpeedManager\tsmsvc.exe
C:\Programme\T-Online\T-Online_Software_5\Basis-Software\Basis2\kernel.exe
C:\Programme\T-Online\T-Online_Software_5\Basis-Software\Basis2\sc_watch.exe
C:\PROGRA~1\T-Online\T-ONLI~1\BASIS-~1\Basis2\PROFIL~1.EXE
C:\Dokumente und Einstellungen\Besitzer\Desktop\HijackThis.exe

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://81.222.131.49/index.php
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://81.222.131.49/index.php
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://81.222.131.49/index.php
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = http://81.222.131.49/index.php
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Local Page = http://81.222.131.49/index.php
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Local Page = http://81.222.131.49/index.php
O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Programme\Adobe\Acrobat 5.0\Reader\ActiveX\AcroIEHelper.ocx
O2 - BHO: SpyAntiware Class - {F74B358E-6979-40a9-96CD-636C80B87AFF} - C:\WINDOWS\System32\ash.dll (file missing)
O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINDOWS\System32\msdxm.ocx
O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\System32\NvCpl.dll,NvStartup
O4 - HKLM\..\Run: [EPSON Stylus C66 Series] C:\WINDOWS\System32\spool\DRIVERS\W32X86\3\E_S4I0S2.EXE /P23 "EPSON Stylus C66 Series" /O6 "USB001" /M "Stylus C66"
O4 - HKLM\..\Run: [T-DSL SpeedMgr] "C:\Programme\T-DSL SpeedManager\SpeedMgr.exe"
O4 - HKLM\..\Run: [TkBellExe] "C:\Programme\Gemeinsame Dateien\Real\Update_OB\realsched.exe" -osboot
O4 - HKLM\..\Run: [SunJavaUpdateSched] C:\Programme\Java\jre1.5.0_02\bin\jusched.exe
O4 - HKLM\..\Run: [AVSCHED32] C:\Programme\AVPersonal\AVSched32.EXE /min
O4 - HKLM\..\Run: [AVGCtrl] C:\Programme\AVPersonal\AVGNT.EXE /min
O4 - HKLM\..\Run: [PayTime] C:\WINDOWS\System32\paytime.exe
O4 - HKLM\..\Run: [Desktop Search] C:\WINDOWS\isrvs\desktop.exe
O4 - HKLM\..\Run: [ffis] C:\WINDOWS\isrvs\ffisearch.exe
O4 - HKCU\..\Run: [EPSON Stylus C66 Series] C:\WINDOWS\System32\spool\DRIVERS\W32X86\3\E_S4I0S2.EXE /P23 "EPSON Stylus C66 Series" /M "Stylus C66" /EF "HKCU"
O4 - HKCU\..\Run: [PayTime] C:\WINDOWS\System32\paytime.exe
O4 - HKCU\..\Run: [HijackThis startup scan] C:\Dokumente und Einstellungen\Besitzer\Lokale Einstellungen\Temp\Temporäres Verzeichnis 1 für hijackthis.zip\HijackThis.exe /startupscan
O4 - Global Startup: Adobe Gamma Loader.lnk = ?
O4 - Global Startup: WinZip Quick Pick.lnk = C:\Programme\WinZip\WZQKPICK.EXE
O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programme\Java\jre1.5.0_02\bin\npjpi150_02.dll
O9 - Extra 'Tools' menuitem: Sun Java Konsole - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programme\Java\jre1.5.0_02\bin\npjpi150_02.dll
O9 - Extra button: Recherche-Assistent - {9455301C-CF6B-11D3-A266-00C04F689C50} - C:\Programme\Gemeinsame Dateien\Microsoft Shared\Encarta Researcher\EROPROJ.DLL
O9 - Extra button: (no name) - {B205A35E-1FC4-4CE3-818B-899DBBB3388C} - C:\Programme\Gemeinsame Dateien\Microsoft Shared\Encarta Search Bar\ENCSBAR.DLL
O13 - WWW. Prefix: http://ehttp.cc/?
O13 - Home Prefix:
O13 - Mosaic Prefix:
O13 - FTP Prefix:
O13 - Gopher Prefix:
O16 - DPF: {11260943-421B-11D0-8EAC-0000C07D88CF} (iPIX ActiveX Control) - http://www.ipix.com/viewers/ipixx.cab
O18 - Filter: text/html - {950238FB-C706-4791-8674-4D429F85897E} - C:\WINDOWS\isrvs\mfiltis.dll
O23 - Service: AntiVir Service (AntiVirService) - H+BEDV Datentechnik GmbH - C:\Programme\AVPersonal\AVGUARD.EXE
O23 - Service: AntiVir Update (AVWUpSrv) - H+BEDV Datentechnik GmbH, Germany - C:\Programme\AVPersonal\AVWUPSRV.EXE
O23 - Service: NVIDIA Display Driver Service (NVSvc) - NVIDIA Corporation - C:\WINDOWS\System32\nvsvc32.exe
O23 - Service: TSMService - T-Systems Nova, Berkom - C:\Programme\T-DSL SpeedManager\tsmsvc.exe

Gehe wie folgt vor:

Wechsle in den abgesicherten Modus bei deaktivierter Systemwiederherstellung:
http://www.systemwiederherstellung-deaktivieren.de

Fixe mit Hijackthis folgende Einträge:

O2 - BHO: SpyAntiware Class - {F74B358E-6979-40a9-96CD-636C80B87AFF} - C:\WINDOWS\System32\ash.dll (file missing)
O2 - BHO: SpyAntiware Class - {F74B358E-6979-40a9-96CD-636C80B87AFF} - C:\WINDOWS\System32\ash.dll (file missing)
O4 - HKLM\..\Run: [Desktop Search] C:\WINDOWS\isrvs\desktop.exe
O4 - HKLM\..\Run: [ffis] C:\WINDOWS\isrvs\ffisearch.exe
O4 - HKCU\..\Run: [PayTime] C:\WINDOWS\System32\paytime.exe
O13 - WWW. Prefix: http://ehttp.cc/?
O13 - Home Prefix:
O13 - Mosaic Prefix:
O13 - FTP Prefix:
O13 - Gopher Prefix:
O16 - DPF: {11260943-421B-11D0-8EAC-0000C07D88CF} (iPIX ActiveX Control) - http://www.ipix.com/viewers/ipixx.cab
O18 - Filter: text/html - {950238FB-C706-4791-8674-4D429F85897E} - C:\WINDOWS\isrvs\mfiltis.dll


Lösche manuell:

C:\WINDOWS\System32\paytime.exe
C:\WINDOWS\System32\ash.dll (file missing)

Lösche auch diesen Ordner komplett:
C:\WINDOWS\isrvs\

Zu deiner Sicherheit solltest du auch noch Escan ausführen(im abgesicherten Modus):

http://www.trojaner-info.de/hijacker/escan

Teile uns die Ergebnisse mit, dazu:

Edit:

Installiere dir schleunigst das Service Pack 2

http://www.microsoft.com/downloads/d...displaylang=de

Danach www.windowsupdate.com besuchen

Hallo,
bin wie beschrieben vorgegangen; das Problem besteht aber nach wie vor.

Hier mein eScan log :

File System Found infected by "VX2 Spyware\Adware" Xirus
File C:\WINDOWS\desktop.html infected by "Trojan-Clicker.Win32.spyward.b" Virus
File C:\WINDOWS\hosts infected by "Trojan.Win32.Qhost.K" Virus
File C:\WINDOWS\ms1.exe infected by "not-a-virus : Adware.Toolbar.ISearch.d" Virus
File C:\WINDOWS\toolband.dll infected by "not-a-virus:Adware.Toolbar.FastLook.a" Virus
File C:\WINDOWS\System32\javafix4.dll infected by "Trojan-Downloader.Win32.Small.aqe" Virus
File C:\DOKUME˜1\Besitzer\LOKALE˜1\Temp\B75314958\build3.exe infected by "not-a-virus:Adware.Toolbar.ISearch.d" Virus
File C:\DOKUME˜1\Besitzer\LOKALE˜1\TEMPOR˜1\ContentIE5\FE03N5C1\newexpl[1].php infected by "Exploit.VBS.Phel.i" Virus
File C:\DOKUME˜1\Besitzer\LOKALE˜1\TEMPOR˜1\ContentIE5\OLO30JWV\rdg DE10[1].exe infected by "Trojan.Win32.Dialer.ht" Virus


Außerdem habe ich die manuell zu löschende Datei C:\WINDOWS\System32\ash.dll nicht auf meinem Rechner gefunden

Schöne Grüße

Heike Kaupat

Noch eine Frage :

Soll ich die Systemherstellung nun dauerhaft deaktiviert lassen, oder soll ich sie wieder einschalten ?

C:\WINDOWS\System32\ash.dll

kannst du nicht mehr finden, da sie nicht mehr da ist.Mein Fehler.
Mit HJT noch folgende Einträge ixen:

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://81.222.131.49/index.php
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://81.222.131.49/index.php
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://81.222.131.49/index.php
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = http://81.222.131.49/index.php
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Local Page = http://81.222.131.49/index.php
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Local Page = http://81.222.131.49/index.php
Lösche die von Escan gefundenen Dateien im abgesicherten Modus bei deaktivierter Systemwiederherstellung.
Lösche deine temporären Internetdateien, auch alle Offlineinhalte.
Lade dir auch den CWShredder und führe ihn aus.
Lasse zusätzlich Adaware und Spybot über dein System laufen.Mit Spybot noch zusätzlich immunisieren.
Neu booten Systemwiederherstellung anschaltenund neuen Log posten.
Evtl. auch nochmal Escan ausdühren

Hallo,
bin wie beschrieben vorgegangen.
Die Dateien


File C:\DOKUME˜1\Besitzer\LOKALE˜1\Temp\B75314958\build 3.exe infected by "not-a-virus:Adware.Toolbar.ISearch.d" Virus
File C:\DOKUME˜1\Besitzer\LOKALE˜1\TEMPOR˜1\ContentIE5\ FE03N5C1\newexpl[1].php infected by "Exploit.VBS.Phel.i" Virus
File C:\DOKUME˜1\Besitzer\LOKALE˜1\TEMPOR˜1\ContentIE5\ OLO30JWV\rdg DE10[1].exe infected by "Trojan.Win32.Dialer.ht" Virus

habe ich allerdings im abgesicherten Modus im Explorer nicht finden können. Folglich sieht mein erneuter eScan log nun so aus :

File System Found infected by "VX2 Spyware\Adware" Virus
File C:\DOKUME˜1\Besitzer\LOKALE˜1\Temp\B75314958\build 3.exe infected by "not-a-virus:Adware.Toolbar.ISearch.d" Virus
File C:\DOKUME˜1\Besitzer\LOKALE˜1\TEMPOR˜1\ContentIE5\ FE03N5C1\newexpl[1].php infected by "Exploit.VBS.Phel.i" Virus
File C:\DOKUME˜1\Besitzer\LOKALE˜1\TEMPOR˜1\ContentIE5\ OLO30JWV\rdg DE10[1].exe infected by "Trojan.Win32.Dialer.ht" Virus


Immerhin ist mittlerweile der schwarze Kasten mit der spyware-Warnung von meinem Desktop verschwunden. :aplaus: Allerdings habe ich noch immer einen blauen Desktop, welcher sich in der Systemsteuerung nicht verändern läßt !

Was soll ich nun machen ? (Sorry, bin ein ziemlicher Computer-Laie) :o

Viele Grüße

Heike Kaupat

Wechsle wie beschrieben in den abgesicherten Modus bei deaktivierter Systemwiederherstellung.
Mit Clearprog löschst du die temporären Internetdateien.
VX2 Cleaner gemäß Anleitung ausführen.
Escan erneut ausführen.
Neuen HJT-Log posten(diesen aber aus dem normalen Modus)

Mein HJT log sieht nun so aus :

Logfile of HijackThis v1.99.1
Scan saved at 22:57:02, on 07.05.2005
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\spoolsv.exe
C:\WINDOWS\Explorer.EXE
C:\Programme\T-DSL SpeedManager\SpeedMgr.exe
C:\Programme\Gemeinsame Dateien\Real\Update_OB\realsched.exe
C:\Programme\Java\jre1.5.0_02\bin\jusched.exe
C:\Programme\AVPersonal\AVSched32.EXE
C:\Programme\AVPersonal\AVGNT.EXE
C:\WINDOWS\system32\RunDll32.exe
C:\WINDOWS\System32\spool\DRIVERS\W32X86\3\E_S4I0S2.EXE
C:\Programme\AVPersonal\AVGUARD.EXE
C:\Programme\AVPersonal\AVWUPSRV.EXE
C:\WINDOWS\System32\nvsvc32.exe
C:\WINDOWS\System32\svchost.exe
C:\Programme\WinZip\WZQKPICK.EXE
C:\Programme\T-DSL SpeedManager\tsmsvc.exe
C:\WINDOWS\system32\wuauclt.exe
C:\Programme\T-Online\T-Online_Software_5\Basis-Software\Basis2\kernel.exe
C:\Programme\T-Online\T-Online_Software_5\Basis-Software\Basis2\sc_watch.exe
C:\PROGRA~1\T-Online\T-ONLI~1\BASIS-~1\Basis2\PROFIL~1.EXE
C:\PROGRAMME\T-ONLINE\T-ONLINE_SOFTWARE_5\BROWSER\BROWSER.EXE
c:\programme\t-online\t-online_software_5\browser\dlman.exe
C:\PROGRA~1\WINZIP\winzip32.exe
C:\Dokumente und Einstellungen\Besitzer\Lokale Einstellungen\Temp\HijackThis.exe

O2 - BHO: (no name) - {53707962-6F74-2D53-2644-206D7942484F} - C:\PROGRA~1\SPYBOT~1\SDHelper.dll
O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\System32\NvCpl.dll,NvStartup
O4 - HKLM\..\Run: [EPSON Stylus C66 Series] C:\WINDOWS\System32\spool\DRIVERS\W32X86\3\E_S4I0S2.EXE /P23 "EPSON Stylus C66 Series" /O6 "USB001" /M "Stylus C66"
O4 - HKLM\..\Run: [T-DSL SpeedMgr] "C:\Programme\T-DSL SpeedManager\SpeedMgr.exe"
O4 - HKLM\..\Run: [TkBellExe] "C:\Programme\Gemeinsame Dateien\Real\Update_OB\realsched.exe" -osboot
O4 - HKLM\..\Run: [SunJavaUpdateSched] C:\Programme\Java\jre1.5.0_02\bin\jusched.exe
O4 - HKLM\..\Run: [AVSCHED32] C:\Programme\AVPersonal\AVSched32.EXE /min
O4 - HKLM\..\Run: [AVGCtrl] C:\Programme\AVPersonal\AVGNT.EXE /min
O4 - HKLM\..\Run: [nwiz] nwiz.exe /install
O4 - HKLM\..\Run: [NvMediaCenter] RUNDLL32.EXE C:\WINDOWS\System32\NvMcTray.dll,NvTaskbarInit
O4 - HKLM\..\Run: [NeroCheck] C:\WINDOWS\System32\\NeroCheck.exe
O4 - HKLM\..\Run: [Cmaudio] RunDll32 cmicnfg.cpl,CMICtrlWnd
O4 - HKCU\..\Run: [EPSON Stylus C66 Series] C:\WINDOWS\System32\spool\DRIVERS\W32X86\3\E_S4I0S2.EXE /P23 "EPSON Stylus C66 Series" /M "Stylus C66" /EF "HKCU"
O4 - Global Startup: Adobe Gamma Loader.lnk = ?
O4 - Global Startup: WinZip Quick Pick.lnk = C:\Programme\WinZip\WZQKPICK.EXE
O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programme\Java\jre1.5.0_02\bin\npjpi150_02.dll
O9 - Extra 'Tools' menuitem: Sun Java Konsole - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programme\Java\jre1.5.0_02\bin\npjpi150_02.dll
O9 - Extra button: Recherche-Assistent - {9455301C-CF6B-11D3-A266-00C04F689C50} - C:\Programme\Gemeinsame Dateien\Microsoft Shared\Encarta Researcher\EROPROJ.DLL
O9 - Extra button: (no name) - {B205A35E-1FC4-4CE3-818B-899DBBB3388C} - C:\Programme\Gemeinsame Dateien\Microsoft Shared\Encarta Search Bar\ENCSBAR.DLL
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe
O16 - DPF: {6414512B-B978-451D-A0D8-FCFDF33E833C} (WUWebControl Class) - http://v5.windowsupdate.microsoft.co...?1115395775390
O23 - Service: AntiVir Service (AntiVirService) - H+BEDV Datentechnik GmbH - C:\Programme\AVPersonal\AVGUARD.EXE
O23 - Service: AntiVir Update (AVWUpSrv) - H+BEDV Datentechnik GmbH, Germany - C:\Programme\AVPersonal\AVWUPSRV.EXE
O23 - Service: NVIDIA Display Driver Service (NVSvc) - NVIDIA Corporation - C:\WINDOWS\System32\nvsvc32.exe
O23 - Service: TSMService - T-Systems Nova, Berkom - C:\Programme\T-DSL SpeedManager\tsmsvc.exe

Leider besteht das Problem nach wie vor !

Viele Grüße

Heike Kaupat :heulen:

Ich habe hete morgen nochmals eScan über mein System laufen lassen und bekomme nun folgenden log :

File System Found infected by "VX2 Spyware\Adware" Xirus
File C:\DOKUME˜1\Besitzer\LOKALE˜1\Temp\B75314958\build 3.exe infected by "not-a-virus:Adware.Toolbar.ISearch.d" Virus

Offensichtlich läßt sich die VX2 Spyware mit dem VX cleaner nicht entfernen !

-führe clearprog aus
-wähle "alles löschen" aus
-klick auf löschen
dann is auch der verschwunden

du hast ja immernoch probleme mit dem desktop..
-rechtsklick auf desktop, eigenschaften
-normales hintergrundbild auswählen
-die "web-inhalte" deaktivieren (ich weiß jetz net genau wie das nochmal heißt, aber "browse" mal durch die ganzen "rubriken" da wird schon etwas ähnliches sich finden lassen

Hallo,
wenn ich mit Rechtsklick auf Desktop gehe läßt sich leider nichts ändern!
Die "Durchsuchen-Funktion ist eingegraut und nicht anspechbar !

@ Knetkobold

Guck mal den Thread durch :http://www.trojaner-board.de/showthread.php?t=16546 .
Übreigens : Board-Suche ist kostenlos ;).

Hallo,
wenn ich mir Rechtsklick auf Desktop gehe ist leider die Funktion Durchsuchen eingegraut. Lässt sich nicht betätigen !!!

Das ist mir zu kompliziert !!! Kann mir jemand leicht verständlich erklären, was ich machen muss ??? :dummguck: