Trojaner-Board - Diese penetranten IEXPLORER-Prozesse :(

Trojaner-Board (https://www.trojaner-board.de/)

- Log-Analyse und Auswertung (https://www.trojaner-board.de/log-analyse-auswertung/)

- - Diese penetranten IEXPLORER-Prozesse :( (https://www.trojaner-board.de/38599-diese-penetranten-iexplorer-prozesse.html)

Diese penetranten IEXPLORER-Prozesse :(

willkommen...

Habe das gleiche Problem wie viele andere,
bei mir öffnet sich ab und an (vor allem wenn ich über steam spiele) der IEXPLORER mit irgendwelchem Werbesch*** und es laufen IMMER 2-3 IEXPLORER.exe's als Prozesse die sich nicht beenden lassen. benutze aber NUR firefox - NIE iexplorer

hier mein LOG: (v. gestern)

Logfile of HijackThis v1.99.1
Scan saved at 19:01:02, on 03.05.2007
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\spoolsv.exe
C:\WINDOWS\system32\CTsvcCDA.exe
C:\Programme\Eset\nod32krn.exe
C:\WINDOWS\system32\nvsvc32.exe
C:\Programme\Virtual CD v8\System\VC8SecS.exe
C:\WINDOWS\system32\MsPMSPSv.exe
C:\WINDOWS\Explorer.EXE
C:\Programme\Creative\SBAudigy2ZS\Surround Mixer\CTSysVol.exe
C:\Programme\Creative\SBAudigy2ZS\DVDAudio\CTDVDDe t.EXE
C:\WINDOWS\system32\RUNDLL32.EXE
C:\WINDOWS\system32\wscntfy.exe
D:\Programme\Winamp\winampa.exe
C:\Programme\Eset\nod32kui.exe
C:\Programme\Java\jre1.5.0_11\bin\jusched.exe
C:\WINDOWS\System32\svchost.exe
C:\Programme\Gemeinsame Dateien\Real\Update_OB\realsched.exe
C:\WINDOWS\system32\ctfmon.exe
C:\Programme\Creative\MediaSource\RemoteControl\RC Man.EXE
C:\Programme\Gemeinsame Dateien\Ahead\lib\NMBgMonitor.exe
D:\Programme\Spybot - Search & Destroy\TeaTimer.exe
c:\progra~1\intern~1\iexplore.exe
C:\Programme\Internet Explorer\iexplore.exe
C:\Programme\MSN Messenger\usnsvc.exe
S:\Spiele\Valve\Steam\Steam.exe
C:\Programme\Internet Explorer\IEXPLORE.EXE
C:\Programme\Gemeinsame Dateien\Microsoft Shared\Windows Live\WLLoginProxy.exe
C:\Programme\ICQLite\ICQLite.exe
C:\WINDOWS\system32\msiexec.exe
C:\PROGRA~1\MOZILL~1\FIREFOX.EXE
D:\Programme\HijackThis\HijackThis.exe

O2 - BHO: Adobe PDF Reader Link Helper - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Programme\Gemeinsame Dateien\Adobe\Acrobat\ActiveX\AcroIEHelper.dll
O2 - BHO: (no name) - {53707962-6F74-2D53-2644-206D7942484F} - D:\PROGRA~1\SPYBOT~1\SDHelper.dll
O2 - BHO: SSVHelper Class - {761497BB-D6F0-462C-B6EB-D4DAF1D92D43} - C:\Programme\Java\jre1.5.0_11\bin\ssv.dll
O2 - BHO: (no name) - {7E853D72-626A-48EC-A868-BA8D5E23E045} - (no file)
O2 - BHO: Windows Live Sign-in Helper - {9030D464-4C02-4ABF-8ECC-5164760863C6} - C:\Programme\Gemeinsame Dateien\Microsoft Shared\Windows Live\WindowsLiveLogin.dll
O2 - BHO: ST - {9394EDE7-C8B5-483E-8773-474BF36AF6E4} - C:\Programme\MSN Apps\ST\01.03.0000.1005\en-xu\stmain.dll
O2 - BHO: MSNToolBandBHO - {BDBD1DAD-C946-4A17-ADC1-64B5B4FF55D0} - C:\Programme\MSN Apps\MSN Toolbar\01.02.5000.1021\de\msntb.dll
O3 - Toolbar: MSN - {BDAD1DAD-C946-4A17-ADC1-64B5B4FF55D0} - C:\Programme\MSN Apps\MSN Toolbar\01.02.5000.1021\de\msntb.dll
O3 - Toolbar: Yahoo! Toolbar - {EF99BD32-C1FB-11D2-892F-0090271D4F88} - C:\Programme\Yahoo!\Companion\Installs\cpn\yt.dll
O4 - HKLM\..\Run: [CTSysVol] C:\Programme\Creative\SBAudigy2ZS\Surround Mixer\CTSysVol.exe /r
O4 - HKLM\..\Run: [CTDVDDET] C:\Programme\Creative\SBAudigy2ZS\DVDAudio\CTDVDDe t.EXE
O4 - HKLM\..\Run: [SBDrvDet] C:\Programme\Creative\SB Drive Det\SBDrvDet.exe /r
O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\system32\NvCpl.dll,NvStartup
O4 - HKLM\..\Run: [nwiz] nwiz.exe /install
O4 - HKLM\..\Run: [NvMediaCenter] RUNDLL32.EXE C:\WINDOWS\system32\NvMcTray.dll,NvTaskbarInit
O4 - HKLM\..\Run: [WinampAgent] D:\Programme\Winamp\winampa.exe
O4 - HKLM\..\Run: [NeroFilterCheck] C:\WINDOWS\system32\NeroCheck.exe
O4 - HKLM\..\Run: [nod32kui] "C:\Programme\Eset\nod32kui.exe" /WAITSERVICE
O4 - HKLM\..\Run: [UpdReg] C:\WINDOWS\UpdReg.EXE
O4 - HKLM\..\Run: [SunJavaUpdateSched] "C:\Programme\Java\jre1.5.0_11\bin\jusched.exe "
O4 - HKLM\..\Run: [Google Desktop Search] "C:\Programme\Google\Google Desktop Search\GoogleDesktop.exe" /startup
O4 - HKLM\..\Run: [TkBellExe] "C:\Programme\Gemeinsame Dateien\Real\Update_OB\realsched.exe" -osboot
O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\ctfmon.exe
O4 - HKCU\..\Run: [RemoteCenter] C:\Programme\Creative\MediaSource\RemoteControl\RC Man.EXE
O4 - HKCU\..\Run: [BgMonitor_{79662E04-7C6C-4d9f-84C7-88D8A56B10AA}] "C:\Programme\Gemeinsame Dateien\Ahead\lib\NMBgMonitor.exe"
O4 - HKCU\..\Run: [Beep Bits] C:\DOKUME~1\iZZoshiZ\ANWEND~1\SENDFR~1\ONLINE TRUST SHOW.exe
O4 - HKCU\..\Run: [SpybotSD TeaTimer] D:\Programme\Spybot - Search & Destroy\TeaTimer.exe
O4 - HKCU\..\RunOnce: [ICQ Lite] C:\Programme\ICQLite\ICQLite.exe -trayboot
O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programme\Java\jre1.5.0_11\bin\ssv.dll
O9 - Extra 'Tools' menuitem: Sun Java Konsole - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programme\Java\jre1.5.0_11\bin\ssv.dll
O9 - Extra button: PartyPoker.com - {B7FE5D70-9AA2-40F1-9C6B-12A255F085E1} - S:\Spiele\PartyPoker\PartyPoker\RunApp.exe
O9 - Extra 'Tools' menuitem: PartyPoker.com - {B7FE5D70-9AA2-40F1-9C6B-12A255F085E1} - S:\Spiele\PartyPoker\PartyPoker\RunApp.exe
O9 - Extra button: ICQ Lite - {B863453A-26C3-4e1f-A54D-A2CD196348E9} - C:\Programme\ICQLite\ICQLite.exe
O9 - Extra 'Tools' menuitem: ICQ Lite - {B863453A-26C3-4e1f-A54D-A2CD196348E9} - C:\Programme\ICQLite\ICQLite.exe
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe
O18 - Protocol: livecall - {828030A1-22C1-4009-854F-8E305202313F} - C:\PROGRA~1\MSNMES~1\MSGRAP~1.DLL
O18 - Protocol: msnim - {828030A1-22C1-4009-854F-8E305202313F} - C:\PROGRA~1\MSNMES~1\MSGRAP~1.DLL
O18 - Protocol: skype4com - {FFC8B962-9B40-4DFF-9458-1830C7DD7F5D} - C:\PROGRA~1\GEMEIN~1\Skype\SKYPE4~1.DLL
O20 - AppInit_DLLs: C:\PROGRA~1\Google\GOOGLE~1\GOEC62~1.DLL
O23 - Service: Creative Service for CDROM Access - Creative Technology Ltd - C:\WINDOWS\system32\CTsvcCDA.exe
O23 - Service: GoogleDesktopManager - Google - C:\Programme\Google\Google Desktop Search\GoogleDesktopManager.exe
O23 - Service: InstallDriver Table Manager (IDriverT) - Macrovision Corporation - C:\Programme\Gemeinsame Dateien\InstallShield\Driver\1150\Intel 32\IDriverT.exe
O23 - Service: NOD32 Kernel Service (NOD32krn) - Eset - C:\Programme\Eset\nod32krn.exe
O23 - Service: NVIDIA Display Driver Service (NVSvc) - NVIDIA Corporation - C:\WINDOWS\system32\nvsvc32.exe
O23 - Service: SiSoftware Database Agent Service (SandraDataSrv) - SiSoftware - D:\Programme\SiSoftware\SiSoftware Sandra Lite XI.SP1\Win32\RpcDataSrv.exe
O23 - Service: SiSoftware Sandra Agent Service (SandraTheSrv) - SiSoftware - D:\Programme\SiSoftware\SiSoftware Sandra Lite XI.SP1\RpcSandraSrv.exe
O23 - Service: ServiceLayer - Nokia. - C:\Programme\Gemeinsame Dateien\PCSuite\Services\ServiceLayer.exe
O23 - Service: Virtual CD v8 Management Service (VC8SecS) - H+H Software GmbH - C:\Programme\Virtual CD v8\System\VC8SecS.exe

danke im vorraus, hoffentlich könnt ihr mir schnell helfen. denn ich merke schon das meine verbindung sehr darunter leidet.

Hallo

mach bitte alle versteckten Dateien und Ordner sichtbar und deaktiviere den Teatimer von Spybot S&D.

Arbeite diese Anleitung ab --> Swizzor entfernen
Der relevante Eintrag für dich ist :
O4 - HKCU\..\Run: [Beep Bits] C:\DOKUME~1\iZZoshiZ\ANWEND~1\SENDFR~1\ONLINE TRUST SHOW.exe

erstelle nach der Bereinigung bitte ein neues Hijackthis log, benenne die Hijackthis.exe nun vorher um in z.B. ABC.exe und erstelle das neue log.

MFG

versteckte ordner etc. hab ich gemacht, wie stell ich den Teatimer aus???

und zu der Swizzor-Anleitung -> den Netpumper hab ich schon vor längerem gelöscht. Jetzt einfach in den abgesicherten Modus und ONLINE TRUST SHOW.exe löschen???
und wie fix ich was mit Hijackthis... das versteh ich nicht ganz

Hallo

Zitat:

wie stell ich den Teatimer aus???

Starte Spybot S&D --> klicke auf "Modus" --> hake an "Erweiterte Modus" --> mit "Ja" bestätigen --> klicke auf "Werkzeuge" --> klicke auf "Resident"
--> das Häkchen entfernen aus der "Resident "TeaTimer" (Schutz aller Systemeinstellungen) --> beende Spybot S&D.

Zitat:

wie fix ich was mit Hijackthis...

starte Hijackthis mit der Option - do a systemscan only - und hake den entsprechenden Eintrag an, nun klicke auf - fix checked - und beende Hijackthis.

Zitat:

Jetzt einfach in den abgesicherten Modus und ONLINE TRUST SHOW.exe löschen???

Jupp, lösche am besten gleich den gesamten Ordner in der sich die *.exe befindet.

Erstelle, wie schon gesagt, ein neues HJTlog.

MFG

ok... mercy.

ich komm nicht in den abgesicherten Modus :eek:
-> nur schwarzer Bildschirm mit blinkender space-taste... ?why?

was auch seltsam ist, beim hochfahren, kommt nur die Asus-Page danach gleich das Windows-KnightRider-Fenster...dazwischen kurz blinkende-spacetaste

:schmoll:

Hallo

dann versuchen wir es mal so...

Kopiere den folgenden Text :

Zitat:

cd\
dir "C:\Dokumente und Einstellungen\All Users\Anwendungsdaten" >>files.txt
dir "C:\Dokumente und Einstellungen\%UserName%\Anwendungsdaten" >>files.txt
dir "C:\Windows\tasks" >>files.txt
notepad files.txt

in den Editor (Start - Programme - Zubehör - Editor) kopieren und als Ordner.bat mit 'Speichern unter' auf dem Desktop ablegen und gebe bei Dateityp 'Alle Dateien' an,
du solltest jetzt auf dem Desktop diese Datei finden --> Ordner.bat --> dann die Ordner.bat doppelt klicken (nur 1x) --> unter C:\files.txt findest du die Informationen die uns nun interssieren,
kopiere den Text ab und poste ihn hierher.

MFG

Volume in Laufwerk C: hat keine Bezeichnung.
Volumeseriennummer: 8831-318C

Verzeichnis von C:\Dokumente und Einstellungen\All Users\Anwendungsdaten

24.02.2007 15:45 <DIR> Adobe
29.03.2007 19:11 <DIR> Aspyr
09.04.2007 23:32 <DIR> cash poke dupe way
16.02.2007 12:33 <DIR> Downloaded Installations
04.05.2007 02:17 <DIR> Google
10.02.2007 05:08 <DIR> NVIDIA
10.02.2007 01:46 <DIR> nView_Profiles
16.02.2007 12:34 <DIR> PC Suite
11.02.2007 12:48 <DIR> Skype
03.05.2007 11:54 <DIR> Spybot - Search & Destroy
10.02.2007 01:59 4.672 xml37.tmp
10.02.2007 01:59 3.196 xml38.tmp
19.02.2007 10:37 <DIR> Yahoo! Companion
2 Datei(en) 7.868 Bytes
11 Verzeichnis(se), 4.984.815.616 Bytes frei
Volume in Laufwerk C: hat keine Bezeichnung.
Volumeseriennummer: 8831-318C

Verzeichnis von C:\Dokumente und Einstellungen\iZZoshiZ\Anwendungsdaten

24.02.2007 15:45 <DIR> Adobe
20.02.2007 20:53 <DIR> Ahead
09.04.2007 22:20 <DIR> Command & Conquer 3 Tiberium Wars
09.03.2007 01:12 <DIR> Command & Conquer 3 Tiberium Wars Demo
10.02.2007 01:15 <DIR> Creative
16.02.2007 12:41 <DIR> Datalayer
20.02.2007 18:04 <DIR> dvdcss
02.04.2007 20:10 <DIR> FrostWire
04.05.2007 02:12 <DIR> Hamachi
20.03.2007 18:07 <DIR> Help
10.02.2007 02:13 <DIR> ICQLite
10.02.2007 00:27 <DIR> Identities
03.03.2007 23:44 <DIR> InstallShield
03.05.2007 11:55 <DIR> Lavasoft
10.02.2007 02:07 <DIR> Macromedia
11.02.2007 22:44 <DIR> Mozilla
09.04.2007 23:30 <DIR> NetPumper
02.04.2007 23:39 <DIR> Nokia
02.04.2007 23:39 <DIR> Nokia Multimedia Player
10.02.2007 01:52 <DIR> Opera
16.02.2007 12:33 <DIR> PC Suite
02.04.2007 20:05 <DIR> Real
28.03.2007 22:43 <DIR> SecondLife
09.04.2007 23:33 <DIR> Sendfragcake
27.04.2007 18:23 <DIR> Skype
02.05.2007 21:21 <DIR> SopCast
11.02.2007 18:40 <DIR> Sun
10.02.2007 04:25 <DIR> vlc
0 Datei(en) 0 Bytes
28 Verzeichnis(se), 4.984.815.616 Bytes frei
Volume in Laufwerk C: hat keine Bezeichnung.
Volumeseriennummer: 8831-318C

Verzeichnis von C:\Windows\tasks

04.04.2007 09:24 502 00-bone_thugs-n-harmony-behind_the_harmony-retail-2006-jrp.job
1 Datei(en) 502 Bytes
0 Verzeichnis(se), 4.984.815.616 Bytes frei

bitte schön :D

Hallo

na da haben wir sie doch...

Lade dir die KillBox runter und entpacke es in einen eigenen Ordner.
Starte die Killbox und wähle "Delete on Reboot", dann kopiere folgende Pfade in das weiße Feld :

Code:

C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\cash poke dupe way
 

C:\Dokumente und Einstellungen\iZZoshiZ\Anwendungsdaten\NetPumper
 

C:\Dokumente und Einstellungen\iZZoshiZ\Anwendungsdaten\Sendfragcake

--> rotes X anklicken --> die folgende Frage mit "JA" und die nächste mit "NEIN" beantworten
--> nächsten Pfad einfügen usw. --> erst wenn du bei der letzten Datei angekommen bist, beantworte beide Fragen mit "JA" und dein Rechner wird Neustarten.
Killbox legt für gewöhnlich Kopien der gelöschten Dateien im Killboxordner ab, lösche diese Dateien.
Erstelle ein neues Hijackthis Log, kontrolliere ob die Ordner gelöscht wurden und berichte.

MFG

ok...problem.
da kommt nur EINE frage nachdem ich das rote X anklicke.
Er will gleich rebooten :confused:

einfach alle drei nacheinander löschen und jeweils GLEICH rebooten?

Hallo

Zitat:

einfach alle drei nacheinander löschen und jeweils GLEICH rebooten?

:rolleyes:

Zitat:

Zitat von nochdigger

--> rotes X anklicken --> die folgende Frage mit "JA" und die nächste mit "NEIN" beantworten
--> nächsten Pfad einfügen usw. --> erst wenn du bei der letzten Datei angekommen bist, beantworte beide Fragen mit "JA" und dein Rechner wird Neustarten.

soweit klar?

ja natürlich, aber wie gesagt, da kommt NUR eine frage nachdem ich den pfad einfüge - und zwar frägt er mich gleich ob ich neustarten will - und du meintest ich solle erst JA dann NEIN anklicken... :confused:

Zitat:

Zitat von iZZoshiZ (Beitrag 266728)

Die Frage nach dem Neustart bejahst Du erst, wenn Du die letzte Daie angeben hast.

Hallo

den Neustart verneinen nächsten Ordner auswählen usw. erst nach dem letzten Ordner neustarten lassen.

MFG

EDITH Moin Marc

perfekt! :D
jetz ham ma's :D

ein momentchen noch...

:(

-> keine kopien im Killbox Ordner

-> O4 - HKCU\..\Run: [Beep Bits] C:\DOKUME~1\iZZoshiZ\ANWEND~1\SENDFR~1\ONLINE TRUST SHOW.exe immer noch da

-> IEXPLORER.exe's auch

:(