Hi !

HAbe einen Hijacker, der stellt bei jedem neustart des PCs wieder folgende Startseite im IE ein: http://69.31.79.100/index.php. Ausserdem werden mir immer zwei Favoriten hinzugefügt.

Wenn ich nun HijackThis laufen lasse, bekomme ich folgende Auswertung:

Logfile of HijackThis v1.97.7
Scan saved at 12:20:16, on 25.06.2004
Platform: Windows XP SP1 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP1 (6.00.2800.1106)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\spoolsv.exe
C:\Programme\oxylbox\apache\Apache.exe
C:\Programme\Gemeinsame Dateien\Symantec Shared\ccEvtMgr.exe
C:\Programme\oxylbox\apache\Apache.exe
C:\WINDOWS\Explorer.EXE
C:\WINDOWS\System32\CTHELPER.EXE
C:\Programme\Gemeinsame Dateien\Symantec Shared\ccApp.exe
C:\Programme\Java\j2re1.4.2_03\bin\jusched.exe
C:\Programme\Creative\SBAudigy2\Surround Mixer\CTSysVol.exe
C:\Programme\Microsoft ActiveSync\WCESCOMM.EXE
C:\Programme\Research in Motion\BlackBerry\DesktopMgr.exe
C:\Programme\Gemeinsame Dateien\Research In Motion\RIMDeviceManager\RIMDeviceManager.exe
C:\Programme\Gemeinsame Dateien\Research In Motion\USB Drivers\BbDevMgr.exe
C:\Programme\Cisco Systems\VPN Client\cvpnd.exe
C:\Programme\Norton AntiVirus\navapsvc.exe
C:\Programme\Norton AntiVirus\AdvTools\NPROTECT.EXE
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\System32\MsPMSPSv.exe
C:\Programme\Internet Explorer\iexplore.exe
C:\Programme\Internet Explorer\iexplore.exe
C:\Dokumente und Einstellungen\Administrator\Desktop\HijackThis.exe

R1 - HKCU\Software\Microsoft\Internet Explorer,SearchURL = http://69.31.79.100/search.php
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Bar = http://69.31.79.100/search.php
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = http://69.31.79.100/search.php
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://69.31.79.100/index.php
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://69.31.79.100/search.php
R1 - HKCU\Software\Microsoft\Internet Explorer\Search,SearchAssistant = http://69.31.79.100/search.php
R1 - HKCU\Software\Microsoft\Internet Explorer\Search,CustomizeSearch = http://69.31.79.100/search.php
R1 - HKLM\Software\Microsoft\Internet Explorer,SearchURL = http://69.31.79.100/search.php
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = http://69.31.79.100/index.php
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Bar = http://69.31.79.100/search.php
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = http://69.31.79.100/search.php
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://69.31.79.100/search.php
R0 - HKLM\Software\Microsoft\Internet Explorer\Search,CustomizeSearch = http://69.31.79.100/search.php
R0 - HKLM\Software\Microsoft\Internet Explorer\Search,SearchAssistant = http://69.31.79.100/search.php
R1 - HKCU\Software\Microsoft\Internet Explorer,Search = http://69.31.79.100/search.php
R1 - HKLM\Software\Microsoft\Internet Explorer,Search = http://69.31.79.100/search.php
O2 - BHO: (no name) - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Programme\Adobe\Acrobat 6.0\Reader\ActiveX\AcroIEHelper.dll
O2 - BHO: (no name) - {53707962-6F74-2D53-2644-206D7942484F} - C:\PROGRA~1\SPYBOT~1\SDHelper.dll
O2 - BHO: (no name) - {AA58ED58-01DD-4d91-8333-CF10577473F7} - c:\programme\google\googletoolbar2.dll
O2 - BHO: NAV Helper - {BDF3E430-B101-42AD-A544-FADC6B084872} - C:\Programme\Norton AntiVirus\NavShExt.dll
O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINDOWS\System32\msdxm.ocx
O3 - Toolbar: Norton AntiVirus - {42CDD1BF-3FFB-4238-8AD1-7859DF00B1D6} - C:\Programme\Norton AntiVirus\NavShExt.dll
O3 - Toolbar: &Google - {2318C2B1-4965-11d4-9B18-009027A5CD4F} - c:\programme\google\googletoolbar2.dll
O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\System32\NvCpl.dll,NvStartup
O4 - HKLM\..\Run: [nwiz] nwiz.exe /install
O4 - HKLM\..\Run: [CTHelper] CTHELPER.EXE
O4 - HKLM\..\Run: [ccApp] "C:\Programme\Gemeinsame Dateien\Symantec Shared\ccApp.exe"
O4 - HKLM\..\Run: [ccRegVfy] "C:\Programme\Gemeinsame Dateien\Symantec Shared\ccRegVfy.exe"
O4 - HKLM\..\Run: [Advanced Tools Check] C:\PROGRA~1\NORTON~1\AdvTools\ADVCHK.EXE
O4 - HKLM\..\Run: [Tweak UI] RUNDLL32.EXE TWEAKUI.CPL,TweakMeUp
O4 - HKLM\..\Run: [SunJavaUpdateSched] C:\Programme\Java\j2re1.4.2_03\bin\jusched.exe
O4 - HKLM\..\Run: [NeroFilterCheck] C:\WINDOWS\system32\NeroCheck.exe
O4 - HKLM\..\Run: [KernelFaultCheck] %systemroot%\system32\dumprep 0 -k
O4 - HKLM\..\Run: [dlr] C:\WINDOWS\netstat.exe
O4 - HKLM\..\Run: [CTSysVol] C:\Programme\Creative\SBAudigy2\Surround Mixer\CTSysVol.exe
O4 - HKLM\..\Run: [CTStartup] "C:\Programme\Creative\Splash Screen\CTEaxSpl.EXE" /run
O4 - HKLM\..\Run: [winupd] C:\WINDOWS\System32\winupd.exe
O4 - HKCU\..\Run: [NvMediaCenter] RUNDLL32.EXE C:\WINDOWS\System32\NVMCTRAY.DLL,NvTaskbarInit
O4 - HKCU\..\Run: [H/PC Connection Agent] "C:\Programme\Microsoft ActiveSync\WCESCOMM.EXE"
O4 - Startup: Desktop Manager.lnk = C:\Programme\Research in Motion\BlackBerry\DesktopMgr.exe
O4 - Global Startup: Adobe Gamma Loader.lnk = C:\Programme\Gemeinsame Dateien\Adobe\Calibration\Adobe Gamma Loader.exe
O4 - Global Startup: Microsoft Office.lnk = C:\Programme\Microsoft Office\Office10\OSA.EXE
O4 - Global Startup: VPN Client.lnk = ?
O8 - Extra context menu item: &Google Search - res://c:\programme\google\GoogleToolbar2.dll/cmsearch.html
O8 - Extra context menu item: Backward &Links - res://c:\programme\google\GoogleToolbar2.dll/cmbacklinks.html
O8 - Extra context menu item: Cac&hed Snapshot of Page - res://c:\programme\google\GoogleToolbar2.dll/cmcache.html
O8 - Extra context menu item: Nach Microsoft &Excel exportieren - res://C:\PROGRA~1\MICROS~3\Office10\EXCEL.EXE/3000
O8 - Extra context menu item: Si&milar Pages - res://c:\programme\google\GoogleToolbar2.dll/cmsimilar.html
O9 - Extra 'Tools' menuitem: Sun Java Konsole (HKLM)
O16 - DPF: {D27CDB6E-AE6D-11CF-96B8-444553540000} (Shockwave Flash Object) - http://download.macromedia.com/pub/s...sh/swflash.cab

Die ersten 14 "R" habe ich schon alle mal gelöscht, die kommen aber immer wieder.

CWShredder bringt keine Fehlermeldungen. Da scheint also alles klar zu sein.

Spybot S&D bringt auch immer DSO Exploit und zeigt darunter 5 registry keys an, die kann ich fixen und nächstes mal sind sie wieder da.

Bitte bitte helft mir, ich weiß nicht mehr, wo ich suchen soll.

Danke !

Butcher

Hallo Butcher und Willkommen an Board!

Überprüfe mal diese Datei
</font><blockquote>Zitat:</font><hr /> O4 - HKLM\..\Run: [winupd] C:\WINDOWS\System32\winupd.exe </font>[/QUOTE]online bei Kaspersky , oder benutze eScan (siehe in meiner Signatur).

jaaa, sie ist infiziert! wie bekomme ich die weg? kann ich die datei einfach löschen? habe bis jetzt immer nav benutzt, ist kaspersky besser? online desinizieren geht nicht, oder?

</font><blockquote>Zitat:</font><hr /> jaaa, sie ist infiziert! wie bekomme ich die weg? kann ich die datei einfach löschen? </font>[/QUOTE]Ja. Sollte es im normalen Betrieb des Rechners nicht gehen, starte bitte im abgesicherten Modus.

Anschließend bitte mit HijackThis die folgenden Einträge fixen (markieren und dan 'Fix checked' klicken).
</font><blockquote>Zitat:</font><hr />R1 - HKCU\Software\Microsoft\Internet Explorer,SearchURL = h*tp://69.31.79.100/search.php
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Bar = h*tp://69.31.79.100/search.php
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = h*tp://69.31.79.100/search.php
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = h*tp://69.31.79.100/index.php
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = h*tp://69.31.79.100/search.php
R1 - HKCU\Software\Microsoft\Internet Explorer\Search,SearchAssistant = h*tp://69.31.79.100/search.php
R1 - HKCU\Software\Microsoft\Internet Explorer\Search,CustomizeSearch = h*tp://69.31.79.100/search.php
R1 - HKLM\Software\Microsoft\Internet Explorer,SearchURL = h*tp://69.31.79.100/search.php
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = h*tp://69.31.79.100/index.php
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Bar = h*tp://69.31.79.100/search.php
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = h*tp://69.31.79.100/search.php
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = h*tp://69.31.79.100/search.php
R0 - HKLM\Software\Microsoft\Internet Explorer\Search,CustomizeSearch = h*tp://69.31.79.100/search.php
R0 - HKLM\Software\Microsoft\Internet Explorer\Search,SearchAssistant = h*tp://69.31.79.100/search.php
R1 - HKCU\Software\Microsoft\Internet Explorer,Search = ht*p://69.31.79.100/search.php
R1 - HKLM\Software\Microsoft\Internet Explorer,Search = ht*p://69.31.79.100/search.php

O4 - HKLM\..\Run: [winupd] C:\WINDOWS\System32\winupd.exe</font>[/QUOTE]Im Zweifel solltest Du anschließend noch mit eScan scannen.

hi !

SUPER! Vielen herzlichen Dank, er ist weg, so schnelle Hilfe bekommt man selten, ich werde mir mal den kaspersky kaufen, ist glabu ich besser als der scheiss nav.

Danke noch mal !

Butcher

</font><blockquote>Zitat:</font><hr />Original erstellt von sekbutcher:
ich werde mir mal den kaspersky kaufen, ist glabu ich besser als der scheiss nav.</font>[/QUOTE]Das stimmt wohl. Vor allem solltest Du aber den Browser wechseln. Der IE hat immer noch ungflickte Sicherheitslücken! Browser-Tips unter http://www.trojaner-board.de/forum/u...893;p=1#000012

Gruß [img]graemlins/daumenhoch.gif[/img]
Yopie

Diesen Eintrag bitte nochmal unter die Lupe nehmen:
O4 - HKLM\..\Run: [dlr] C:\WINDOWS\netstat.exe

(bzw. die Datei netstat.exe unter C:\WINDOWS\). Falls du dort die netstat.exe findest, prüf sie bitte bei Kaspersky. Wenn sie *nicht* als infiziert gemeldet wird, maile sie bitte an die in meiner Signatur genannten Adressen! Danke!

Des Weiteren:
- Kaspersky Testversion: http://www.kaspersky.com/de/download...link=149315208
- Anderer Browser: http://mozilla-europe.org/de