websearch Toolbar
 

Hallo,

ich habe auf meinem System mit escan " websearch Toolbar" gefunden. CWSschredder findets erst gar nicht. Meine Frage, wie werd ich den wieder los?

Hab meine Logfiles gleich mal mitgebracht...

Logfile of HijackThis v1.99.1
Scan saved at 14:42:00, on 17.09.2006
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\spoolsv.exe
C:\Programme\AntiVir PersonalEdition Classic\sched.exe
C:\Programme\AntiVir PersonalEdition Classic\avguard.exe
C:\Programme\ewido anti-spyware 4.0\guard.exe
C:\Programme\Gemeinsame Dateien\Microsoft Shared\VS7Debug\mdm.exe
C:\WINDOWS\system32\nvsvc32.exe
C:\WINDOWS\system32\ZoneLabs\vsmon.exe
C:\WINDOWS\Explorer.EXE
C:\Programme\CA\eTrust PestPatrol\PPActiveDetection.exe
C:\Programme\AntiVir PersonalEdition Classic\avgnt.exe
C:\Programme\Zone Labs\ZoneAlarm\zlclient.exe
C:\Programme\ewido anti-spyware 4.0\ewido.exe
C:\Programme\NoPopUp 2003\nopopup.exe
C:\Programme\Mozilla Firefox\firefox.exe
C:\Programme\hijack\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Local Page =
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Local Page =
R1 - HKCU\Software\Microsoft\Internet Connection Wizard,ShellNext = http://go.microsoft.com/fwlink/?LinkId=22028
R3 - URLSearchHook: (no name) - {855F3B16-6D32-4fe6-8A56-BBB695989046} - (no file)
O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Programme\Adobe\Acrobat 7.0\ActiveX\AcroIEHelper.dll
O2 - BHO: (no name) - {53707962-6F74-2D53-2644-206D7942484F} - C:\PROGRA~1\SPYBOT~1\SDHelper.dll
O4 - HKLM\..\Run: [Cmaudio] RunDll32 cmicnfg.cpl,CMICtrlWnd
O4 - HKLM\..\Run: [KernelFaultCheck] %systemroot%\system32\dumprep 0 -k
O4 - HKLM\..\Run: [eTrustPPAP] "C:\Programme\CA\eTrust PestPatrol\PPActiveDetection.exe"
O4 - HKLM\..\Run: [avgnt] "C:\Programme\AntiVir PersonalEdition Classic\avgnt.exe" /min
O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\system32\NvCpl.dll,NvStartup
O4 - HKLM\..\Run: [Zone Labs Client] "C:\Programme\Zone Labs\ZoneAlarm\zlclient.exe"
O4 - HKLM\..\Run: [!ewido] "C:\Programme\ewido anti-spyware 4.0\ewido.exe" /minimized
O4 - HKCU\..\Run: [NoPopUp] C:\Programme\NoPopUp 2003\nopopup.exe /autorun
O8 - Extra context menu item: Nach Microsoft &Excel exportieren - res://C:\PROGRA~1\MICROS~2\Office10\EXCEL.EXE/3000
O16 - DPF: {17492023-C23A-453E-A040-C7C580BBF700} (Windows Genuine Advantage Validation Tool) - http://go.microsoft.com/fwlink/?linkid=39204
O16 - DPF: {7F8C8173-AD80-4807-AA75-5672F22B4582} (ICSScanner Class) - http://download.zonelabs.com/bin/promotions/spywaredetector/ICSScanner37860.cab
O17 - HKLM\System\CCS\Services\Tcpip\..\{98EBC7D1-8DA8-4089-A103-38495FE9BCA7}: NameServer = 212.95.97.144 212.95.97.111
O20 - Winlogon Notify: WgaLogon - C:\WINDOWS\SYSTEM32\WgaLogon.dll
O21 - SSODL: WPDShServiceObj - {AAA288BA-9A4C-45B0-95D7-94D524869DB5} - C:\WINDOWS\system32\WPDShServiceObj.dll
O23 - Service: AntiVir Scheduler (AntiVirScheduler) - Avira GmbH - C:\Programme\AntiVir PersonalEdition Classic\sched.exe
O23 - Service: AntiVir PersonalEdition Classic Service (AntiVirService) - AVIRA GmbH - C:\Programme\AntiVir PersonalEdition Classic\avguard.exe
O23 - Service: ewido anti-spyware 4.0 guard - Anti-Malware Development a.s. - C:\Programme\ewido anti-spyware 4.0\guard.exe
O23 - Service: NVIDIA Driver Helper Service (NVSvc) - NVIDIA Corporation - C:\WINDOWS\system32\nvsvc32.exe
O23 - Service: Steganos Live Encryption Engine (Version 503) [Service] (SLEE_503_SERVICE) - SiS Corporation - (no file)
O23 - Service: TrueVector Internet Monitor (vsmon) - Zone Labs, LLC - C:\WINDOWS\system32\ZoneLabs\vsmon.exe

und hier die Ergebnisse von escan:

Sun Sep 17 12:16:34 2006 => Offending file found: C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\ca\etrustpestpatrol\ppv5log.txt
Sun Sep 17 12:16:34 2006 => System found infected with websearch Toolbar (ppv5log.txt)! Action taken: Keine Aktion vorgenommen.

Sun Sep 17 12:16:38 2006 => Checking CLSID Reference Entries...
Sun Sep 17 12:16:38 2006 => Entry "HKCR\Context.test" verweist auf das ungültige Objekt "{57BD36D7-CE32-4600-9B1C-1A0C47EFC02E}". Folgende Maßnahme wurde durchgeführt: Keine Aktion vorgenommen.

Sun Sep 17 12:16:38 2006 => Entry "HKCR\Context.test.1" verweist auf das ungültige Objekt "{57BD36D7-CE32-4600-9B1C-1A0C47EFC02E}". Folgende Maßnahme wurde durchgeführt: Keine Aktion vorgenommen.

Sun Sep 17 12:16:40 2006 => Checking Module Usage Entries...
Sun Sep 17 12:16:40 2006 => Entry "HKLM\Software\Microsoft\Windows\CurrentVersion\ModuleUsage" verweist auf das ungültige Objekt "C:\WINDOWS\Downloaded Program Files\asinst.dll". Folgende Maßnahme wurde durchgeführt: Keine Aktion vorgenommen.

Sun Sep 17 13:48:53 2006 => Gescannte Dateien: 56993
Sun Sep 17 13:48:53 2006 => Gefundene Viren: 1
Sun Sep 17 13:48:53 2006 => Anzahl der desinfizierten Dateien: 0
Sun Sep 17 13:48:53 2006 => Umbenannte Dateien: 0
Sun Sep 17 13:48:53 2006 => Anzahl der gelöschten Dateien: 0
Sun Sep 17 13:48:53 2006 => Anzahl Fehler: 17
Sun Sep 17 13:48:53 2006 => Dauer des Scans bisher: 01:33:16
Sun Sep 17 13:48:53 2006 => Virus-Datenbank Datum: 9/14/2006
Sun Sep 17 13:48:53 2006 => Virus-Datenbank Zähler: 223281


Wie sieht das eigentlich mit den Fehlern aus? Ist das normal, oder könnte da was hinter stecken?

Vielen Dank,

lg
Sandra

Hallo Sandra,


also Dein LOG sieht meiner einer sauber aus.

Zu eScann:

Zitat:

Sun Sep 17 12:16:34 2006 => Offending file found: C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\ca\etrustpestpatrol\ppv5log. txt
Sun Sep 17 12:16:34 2006 => System found infected with websearch Toolbar (ppv5log.txt)! Action taken: Keine Aktion vorgenommen.

Ist das die Quarantäne von etrust?
Normal sollte es ja mit dem CWSschredder zu lösen sein...aber da dieser das net findet....mal den Quarantäne Ordner von etrust löschen.

Was die ungültigen Objekte angeht:

Denke, das dies verweiste Schlüssel in der Registry sind. Hast kein Regcleaner oder sowas, welches mal die Registry nach ungültigene Einträgen durchsucht und diese entfernt?
Wie gesagt, ich denke das, aber sicher bin ich mir da nicht! Jedoch würde ich mal so vorgehen!


Gruß Mellosun

Hallo Mellosun,

ähm, du hast recht...das ist die vergessene quarantäne von Juni :o

ups...

Die Registry ist eigentlich sauber, lasse regelmäßig Regseeker drüberlaufen. Ich schaue mir das nochmal an, und gebe dann mal ne rückmeldung...

lg Sandra

Na ja, eigentlich gibts keine registry Tool, was alles unnütze aus der Registry löscht...ist wie mit nem AV Programm!