safetyhomepage und andere probleme
 

ok, hab mehrere probleme.... wiedermal

Angefangen, dabei dass ich jedesmal wenn ich meinen explorer starte auf die diese seite weiter geleitet werde --> safetyhomepage.com, obwohl google noch in den optionen steht, über das allseits bekannte popup recht unten, das mich darauf hinweist dass ich hochgradig gefährdet bin. Bis hin zu einer fehler meldung bei jedem shutdown, dass ein programm namens "isamonitor" und ein weiters, das mir im mom nicht einfällt, nicht ausgeführt werden konnten.
Nebenbei findet mein "ewido anti-spyware" die ganze zeit ein datei namens "isaddon.dll".
Ein paar kleinere dinge gibts auch noch, auf die ich, ggf noch zu sprechen komme.

Hab mich bis jetzt an die empfehlung einer anderen anty trojaner page gehalten, und adaware, spybot und ewido komplett drüber laufen lassen.
Gefunden haben die progs zwar einiges, aber an meinen progs hats nix geändert.
Also hab hier mal ein HijackThis log-file für euch. Sagt mir doch bitte was ich löschen muss und/oder was ihr noch für infos braucht

thx




Logfile of HijackThis v1.99.1
Scan saved at 23:03:18, on 01.01.2002
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\Ati2evxx.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\spoolsv.exe
C:\Programme\AntiVir PersonalEdition Classic\sched.exe
C:\Programme\AntiVir PersonalEdition Classic\avguard.exe
C:\Programme\Gemeinsame Dateien\Autodesk Shared\Service\AdskScSrv.exe
C:\Programme\ewido anti-spyware 4.0\guard.exe
C:\Dokumente und Einstellungen\STV\Eigene Dateien\Downloads\Fanspeed\FanSpeed-1.2.0\fanspeedNT.exe
C:\Programme\Alcohol Soft\Alcohol 120\StarWind\StarWindService.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\Ati2evxx.exe
C:\WINDOWS\Explorer.EXE
C:\Programme\IntCodec\isamonitor.exe
C:\Programme\Microsoft Hardware\Keyboard\type32.exe
C:\Programme\Logitech\MouseWare\system\em_exec.exe
C:\Programme\AntiVir PersonalEdition Classic\avgnt.exe
C:\Programme\IntCodec\pmmon.exe
C:\Programme\IntCodec\isamini.exe
C:\Programme\ICQLite\ICQLite.exe
C:\Programme\ATI Technologies\ATI.ACE\cli.exe
C:\Programme\ewido anti-spyware 4.0\ewido.exe
C:\Programme\Internet Explorer\IEXPLORE.EXE
C:\Programme\ATI Technologies\ATI.ACE\cli.exe
C:\Programme\ATI Technologies\ATI.ACE\cli.exe
C:\Dokumente und Einstellungen\STV\Eigene Dateien\Antispyware\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://w*w.google.de/
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = about:blank
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = about:blank
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = about:blank
R1 - HKCU\Software\Microsoft\Internet Explorer\Search,SearchAssistant = about:blank
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page_bak = http://w*w.t-online.de/
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Window Title = Microsoft Internet Explorer
R1 - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings,ProxyOverride = localhost;<local>
O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Programme\Adobe\Acrobat 7.0\ActiveX\AcroIEHelper.dll
O2 - BHO: (no name) - {53707962-6F74-2D53-2644-206D7942484F} - C:\PROGRA~1\SPYBOT~1\SDHelper.dll
O2 - BHO: (no name) - {5753791b-f607-48ca-814e-91c14d081f9e} - C:\Programme\IntCodec\isaddon.dll
O3 - Toolbar: &Google - {2318C2B1-4965-11d4-9B18-009027A5CD4F} - c:\programme\google\googletoolbar1.dll
O3 - Toolbar: Protection Bar - {a2595f37-48d0-46a1-9b51-478591a97764} - C:\Programme\IntCodec\iesplugin.dll (file missing)
O4 - HKLM\..\Run: [IntelliType] "C:\Programme\Microsoft Hardware\Keyboard\type32.exe"
O4 - HKLM\..\Run: [Logitech Utility] Logi_MwX.Exe
O4 - HKLM\..\Run: [avgnt] "C:\Programme\AntiVir PersonalEdition Classic\avgnt.exe" /min
O4 - HKLM\..\Run: [ICQ Lite] "C:\Programme\ICQLite\ICQLite.exe" -minimize
O4 - HKLM\..\Run: [ATICCC] "C:\Programme\ATI Technologies\ATI.ACE\cli.exe" runtime -Delay
O4 - HKLM\..\Run: [!ewido] "C:\Programme\ewido anti-spyware 4.0\ewido.exe" /minimized
O4 - HKCU\..\RunOnce: [ICQ Lite] C:\Programme\ICQLite\ICQLite.exe -trayboot
O4 - Global Startup: Microsoft Office.lnk = C:\Programme\Microsoft Office\Office\OSA9.EXE
O8 - Extra context menu item: &Google-Suche - res://C:\Programme\Google\GoogleToolbar1.dll/cmsearch.html
O8 - Extra context menu item: &Ins Deutsche übersetzen - res://C:\Programme\Google\GoogleToolbar1.dll/cmwordtrans.html
O8 - Extra context menu item: Im Cache gespeicherte Seite - res://C:\Programme\Google\GoogleToolbar1.dll/cmcache.html
O8 - Extra context menu item: Verweisseiten - res://C:\Programme\Google\GoogleToolbar1.dll/cmbacklinks.html
O8 - Extra context menu item: Ähnliche Seiten - res://C:\Programme\Google\GoogleToolbar1.dll/cmsimilar.html
O9 - Extra button: ICQ Lite - {B863453A-26C3-4e1f-A54D-A2CD196348E9} - C:\Programme\ICQLite\ICQLite.exe
O9 - Extra 'Tools' menuitem: ICQ Lite - {B863453A-26C3-4e1f-A54D-A2CD196348E9} - C:\Programme\ICQLite\ICQLite.exe
O14 - IERESET.INF: START_PAGE_URL=http://w*w.t-online.de
O16 - DPF: {917623D1-D8E5-11D2-BE8B-00104B06BDE3} (CamImage Class) - http://195.243.185.195/activex/AxisCamControl.cab
O16 - DPF: {9A9307A0-7DA4-4DAF-B042-5009F29E09E1} (ActiveScan Installer Class) - http://acs.pandasoftware.com/activescan/as5free/asinst.cab
O17 - HKLM\System\CCS\Services\Tcpip\..\{BE7663E1-C829-49BA-BDBF-932E3B9C6903}: NameServer = 192.168.0.1
O23 - Service: AntiVir PersonalEdition Classic Planer (AntiVirScheduler) - Avira GmbH - C:\Programme\AntiVir PersonalEdition Classic\sched.exe
O23 - Service: AntiVir PersonalEdition Classic Guard (AntiVirService) - AVIRA GmbH - C:\Programme\AntiVir PersonalEdition Classic\avguard.exe
O23 - Service: Ati HotKey Poller - ATI Technologies Inc. - C:\WINDOWS\system32\Ati2evxx.exe
O23 - Service: ATI Smart - Unknown owner - C:\WINDOWS\system32\ati2sgag.exe
O23 - Service: Autodesk Licensing Service - Unknown owner - C:\Programme\Gemeinsame Dateien\Autodesk Shared\Service\AdskScSrv.exe
O23 - Service: ewido anti-spyware 4.0 guard - Anti-Malware Development a.s. - C:\Programme\ewido anti-spyware 4.0\guard.exe
O23 - Service: FanSpeedNT Service - Unknown owner - C:\Dokumente und Einstellungen\STV\Eigene Dateien\Downloads\Fanspeed\FanSpeed-1.2.0\fanspeedNT.exe" (file missing)
O23 - Service: NVIDIA Display Driver Service (NVSvc) - NVIDIA Corporation - C:\WINDOWS\System32\nvsvc32.exe
O23 - Service: StarWind iSCSI Service (StarWindService) - Rocket Division Software - C:\Programme\Alcohol Soft\Alcohol 120\StarWind\StarWindService.exe

Hallo $TV,

lade Dir Smitfraudfix und gehe wie unter "Reinigung" beschrieben vor.
Poste dann den Inhalt der "C:\rapport.txt" und ein neues HJT-Logfile.

dartus

Alles klar,
hab SmitFraudFix v2.79 drüber laufen lassen, und
die beschriebene reinigung durchgeführt.
Hab auch zusätzlich die "trusted zone" gecleaned.

Ok, merk schon eine wesentliche besserung, auf anhieb gibts im mom keine probs mehr.
Würde aber dennoch gerne wissen, ob ich noch andere versteckte spyware auf dem rechner hab.

Ausserdem, wär es nett von euch, wenn ihr mir verratet, was ihr als schutz gegen diesen trash denn so empfehlen würdet.
Im moment hab ich "antivir" + "ewido" im hintergrund laufen, wobei letzteres als testversion in 29 tagen wieder weg is. Dazu hab ich noch eine hardware firewall von meinem netgear router und die windows standart firewall.
Die weiteren progs zum scanen, hab ich oben ja schon aufgezählt.
Achja, ich lass öffters den "ccleaner" über meine platte laufen, hat aber weniger mit spyware zu tun.

Ok hier noch meine logs:

SmitFraudFix v2.79

Scan done at 22:34:42,84, 02.01.2002
Run from C:\Dokumente und Einstellungen\STV\Eigene Dateien\Antispyware\SmitfraudFix\SmitfraudFix
OS: Microsoft Windows XP [Version 5.1.2600] - Windows_NT
Fix ran in safe mode

»»»»»»»»»»»»»»»»»»»»»»»» Before SmitFraudFix
!!!Attention, following keys are not inevitably infected!!!

SrchSTS.exe by S!Ri
Search SharedTaskScheduler's .dll

»»»»»»»»»»»»»»»»»»»»»»»» Killing process


»»»»»»»»»»»»»»»»»»»»»»»» Generic Renos Fix

GenericRenosFix by S!Ri


»»»»»»»»»»»»»»»»»»»»»»»» Deleting infected files

C:\WINDOWS\uninstDsk.exe Deleted
C:\DOKUME~1\ALLUSE~1\Desktop\Online Security Guide.url Deleted
C:\DOKUME~1\ALLUSE~1\Desktop\Security Troubleshooting.url Deleted
C:\DOKUME~1\STV\STARTM~1\PROGRA~1\PestTrap Deleted
C:\Programme\IntCodec\ Deleted

»»»»»»»»»»»»»»»»»»»»»»»» Deleting Temp Files


»»»»»»»»»»»»»»»»»»»»»»»» Registry Cleaning

Registry Cleaning done.

»»»»»»»»»»»»»»»»»»»»»»»» After SmitFraudFix
!!!Attention, following keys are not inevitably infected!!!

SrchSTS.exe by S!Ri
Search SharedTaskScheduler's .dll


»»»»»»»»»»»»»»»»»»»»»»»» End

--------------------------------------------

Logfile of HijackThis v1.99.1
Scan saved at 19:05:28, on 02.08.2006
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\Ati2evxx.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\spoolsv.exe
C:\Programme\AntiVir PersonalEdition Classic\sched.exe
C:\Programme\AntiVir PersonalEdition Classic\avguard.exe
C:\Programme\Gemeinsame Dateien\Autodesk Shared\Service\AdskScSrv.exe
C:\Programme\ewido anti-spyware 4.0\guard.exe
C:\Dokumente und Einstellungen\STV\Eigene Dateien\Downloads\Fanspeed\FanSpeed-1.2.0\fanspeedNT.exe
C:\Programme\Alcohol Soft\Alcohol 120\StarWind\StarWindService.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\Ati2evxx.exe
C:\WINDOWS\Explorer.EXE
C:\Programme\Microsoft Hardware\Keyboard\type32.exe
C:\Programme\AntiVir PersonalEdition Classic\avgnt.exe
C:\Programme\Logitech\MouseWare\system\em_exec.exe
C:\Programme\ICQLite\ICQLite.exe
C:\Programme\ATI Technologies\ATI.ACE\cli.exe
C:\Programme\ewido anti-spyware 4.0\ewido.exe
C:\Programme\ATI Technologies\ATI.ACE\cli.exe
C:\Programme\ATI Technologies\ATI.ACE\cli.exe
C:\Programme\Internet Explorer\IEXPLORE.EXE
C:\Dokumente und Einstellungen\STV\Eigene Dateien\Antispyware\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.google.de/
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page_bak = http://www.t-online.de/
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Window Title = Microsoft Internet Explorer
R1 - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings,ProxyOverride = localhost;<local>
O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Programme\Adobe\Acrobat 7.0\ActiveX\AcroIEHelper.dll
O2 - BHO: (no name) - {53707962-6F74-2D53-2644-206D7942484F} - C:\PROGRA~1\SPYBOT~1\SDHelper.dll
O3 - Toolbar: &Google - {2318C2B1-4965-11d4-9B18-009027A5CD4F} - c:\programme\google\googletoolbar1.dll
O4 - HKLM\..\Run: [IntelliType] "C:\Programme\Microsoft Hardware\Keyboard\type32.exe"
O4 - HKLM\..\Run: [Logitech Utility] Logi_MwX.Exe
O4 - HKLM\..\Run: [avgnt] "C:\Programme\AntiVir PersonalEdition Classic\avgnt.exe" /min
O4 - HKLM\..\Run: [ICQ Lite] "C:\Programme\ICQLite\ICQLite.exe" -minimize
O4 - HKLM\..\Run: [ATICCC] "C:\Programme\ATI Technologies\ATI.ACE\cli.exe" runtime -Delay
O4 - HKLM\..\Run: [!ewido] "C:\Programme\ewido anti-spyware 4.0\ewido.exe" /minimized
O4 - HKCU\..\RunOnce: [ICQ Lite] C:\Programme\ICQLite\ICQLite.exe -trayboot
O4 - Global Startup: Microsoft Office.lnk = C:\Programme\Microsoft Office\Office\OSA9.EXE
O8 - Extra context menu item: &Google-Suche - res://C:\Programme\Google\GoogleToolbar1.dll/cmsearch.html
O8 - Extra context menu item: &Ins Deutsche übersetzen - res://C:\Programme\Google\GoogleToolbar1.dll/cmwordtrans.html
O8 - Extra context menu item: Im Cache gespeicherte Seite - res://C:\Programme\Google\GoogleToolbar1.dll/cmcache.html
O8 - Extra context menu item: Verweisseiten - res://C:\Programme\Google\GoogleToolbar1.dll/cmbacklinks.html
O8 - Extra context menu item: Ähnliche Seiten - res://C:\Programme\Google\GoogleToolbar1.dll/cmsimilar.html
O9 - Extra button: ICQ Lite - {B863453A-26C3-4e1f-A54D-A2CD196348E9} - C:\Programme\ICQLite\ICQLite.exe
O9 - Extra 'Tools' menuitem: ICQ Lite - {B863453A-26C3-4e1f-A54D-A2CD196348E9} - C:\Programme\ICQLite\ICQLite.exe
O14 - IERESET.INF: START_PAGE_URL=http://www.t-online.de
O16 - DPF: {917623D1-D8E5-11D2-BE8B-00104B06BDE3} (CamImage Class) - http://195.243.185.195/activex/AxisCamControl.cab
O16 - DPF: {9A9307A0-7DA4-4DAF-B042-5009F29E09E1} (ActiveScan Installer Class) - http://acs.pandasoftware.com/activescan/as5free/asinst.cab
O17 - HKLM\System\CCS\Services\Tcpip\..\{BE7663E1-C829-49BA-BDBF-932E3B9C6903}: NameServer = 192.168.0.1
O23 - Service: AntiVir PersonalEdition Classic Planer (AntiVirScheduler) - Avira GmbH - C:\Programme\AntiVir PersonalEdition Classic\sched.exe
O23 - Service: AntiVir PersonalEdition Classic Guard (AntiVirService) - AVIRA GmbH - C:\Programme\AntiVir PersonalEdition Classic\avguard.exe
O23 - Service: Ati HotKey Poller - ATI Technologies Inc. - C:\WINDOWS\system32\Ati2evxx.exe
O23 - Service: ATI Smart - Unknown owner - C:\WINDOWS\system32\ati2sgag.exe
O23 - Service: Autodesk Licensing Service - Unknown owner - C:\Programme\Gemeinsame Dateien\Autodesk Shared\Service\AdskScSrv.exe
O23 - Service: ewido anti-spyware 4.0 guard - Anti-Malware Development a.s. - C:\Programme\ewido anti-spyware 4.0\guard.exe
O23 - Service: FanSpeedNT Service - Unknown owner - C:\Dokumente und Einstellungen\STV\Eigene Dateien\Downloads\Fanspeed\FanSpeed-1.2.0\fanspeedNT.exe" (file missing)
O23 - Service: NVIDIA Display Driver Service (NVSvc) - NVIDIA Corporation - C:\WINDOWS\System32\nvsvc32.exe
O23 - Service: StarWind iSCSI Service (StarWindService) - Rocket Division Software - C:\Programme\Alcohol Soft\Alcohol 120\StarWind\StarWindService.exe

Hallo,

lade Dir Datfind.bat und üposte wie beschrieben die Daten der letzten 4 Wochen.
Thema "Sicherheit":

Einmal hier (beachtenswert die 12. Punkte), lesenswert auch DAS .

dartus

Hi,

so hier wie gewünscht, die die datfind.bat logs der letzten 4 monate:


03.08.2006 21:19 380.350 perfh009.dat
03.08.2006 21:19 52.764 perfc009.dat
03.08.2006 21:19 391.000 perfh007.dat
03.08.2006 21:19 63.580 perfc007.dat
03.08.2006 21:19 897.954 PerfStringBackup.INI
03.08.2006 01:17 12.598 wpa.dbl
07.07.2006 03:21 6.757.792 MRT.exe
12.06.2006 00:25 57.384 avsda.dll
07.06.2006 20:54 34.064 lhacm.acm
01.06.2006 20:47 163.840 jgdw400.dll
01.06.2006 20:47 27.648 jgpl400.dll
29.05.2006 17:30 1.494.016 shdocvw.dll
19.05.2006 17:09 3.073.536 mshtml.dll
19.05.2006 15:09 112.128 dhcpcsvc.dll
19.05.2006 15:09 95.744 iphlpapi.dll
19.05.2006 15:09 148.480 dnsapi.dll
18.05.2006 07:36 450.560 jscript.dll
14.05.2006 10:48 181.248 rasmans.dll
11.05.2006 10:57 27.136 xpsp3res.dll
10.05.2006 07:23 664.064 wininet.dll
10.05.2006 07:22 615.936 urlmon.dll
10.05.2006 07:22 474.624 shlwapi.dll
10.05.2006 07:22 146.432 msrating.dll
10.05.2006 07:22 532.480 mstime.dll
10.05.2006 07:22 448.512 mshtmled.dll
10.05.2006 07:22 39.424 pngfilt.dll
10.05.2006 07:22 16.384 jsproxy.dll
10.05.2006 07:22 96.768 inseng.dll
10.05.2006 07:22 1.056.256 danim.dll
10.05.2006 07:22 205.312 dxtrans.dll
10.05.2006 07:22 357.888 dxtmsft.dll
10.05.2006 07:22 55.808 extmgr.dll
10.05.2006 07:22 251.392 iepeers.dll
10.05.2006 07:22 1.022.976 browseui.dll
10.05.2006 07:22 152.064 cdfview.dll
29.04.2006 06:07 5.533.696 wmp.dll
28.04.2006 01:27 81.920 ElbyCDIO.dll
23.04.2006 22:36 2.550 Uninstall.ico
23.04.2006 22:36 1.406 Help.ico
23.04.2006 22:36 30.590 pavas.ico
18.04.2006 01:00 3.397 MRT.INI



04.08.2006 19:08 978 TmpICQMagic_{05736BBE-C20F-4F10-A6DE-4DB1E3564B0E}17543.html
04.08.2006 18:58 983 TmpICQMagic_{EC202595-1DFD-4301-A1EA-13C1E331B505}26862.html
04.08.2006 18:46 16.384 Perflib_Perfdata_218.dat
04.08.2006 18:46 16.384 Perflib_Perfdata_708.dat
04.08.2006 18:43 512 ~DF266F.tmp
04.08.2006 18:43 16.384 ~DF2016.tmp
04.08.2006 18:43 512 ~DF2002.tmp
04.08.2006 18:43 16.384 ~DF1B87.tmp
04.08.2006 18:43 512 ~DF1B72.tmp
04.08.2006 18:43 16.384 ~DF1A2F.tmp
04.08.2006 18:43 16.384 ~DF1A0B.tmp
04.08.2006 18:43 512 ~DF1A1C.tmp
04.08.2006 18:42 16.384 Perflib_Perfdata_a38.dat
04.08.2006 18:42 16.384 ~DF7DA1.tmp
04.08.2006 18:42 512 ~DF72AE.tmp
04.08.2006 18:42 16.384 ~DF7287.tmp
03.08.2006 21:19 16.384 ~DFF90F.tmp
03.08.2006 21:19 16.384 ~DFDA9F.tmp


04.08.2006 18:41 0 0.log
04.08.2006 18:41 159 wiadebug.log
04.08.2006 18:41 1.625.603 WindowsUpdate.log
04.08.2006 18:41 50 wiaservc.log
04.08.2006 18:41 2.048 bootstat.dat
04.08.2006 04:53 32.642 SchedLgU.Txt
03.08.2006 01:29 116 NeroDigital.ini
29.07.2006 15:45 397 IEPatchUninstall.log
29.07.2006 15:45 1.409 QTFont.for
29.07.2006 15:45 54.156 QTFont.qfn
04.06.2006 00:38 49 ChssBase.ini
21.05.2006 13:10 8.192 d3dx.dat



04.08.2006 19:10 0 sys.txt
04.08.2006 19:09 6.443 system.txt
04.08.2006 19:08 1.357 systemtemp.txt
04.08.2006 19:06 116.202 system32.txt
04.08.2006 18:41 536.399.872 hiberfil.sys
04.08.2006 18:41 805.306.368 pagefile.sys

Hallo $TV,

es sind keine aufälligen Dateien mehr zu finden.

dartus

Wunderbar,

echt mal n cooles tool, nach der reinigung mit "Smitfraudfix" war alles weg.
Super hilfe!

Danke dartus.