Trojaner-Board - Dldr.winsh.ac

Trojaner-Board (https://www.trojaner-board.de/)

- Log-Analyse und Auswertung (https://www.trojaner-board.de/log-analyse-auswertung/)

- - Dldr.winsh.ac (https://www.trojaner-board.de/6076-dldr-winsh-ac.html)

Habe mir o.g. Trojaner eingefangen, welcher immer u.a. die Startseite ändert.

Hab zwar schon viel versucht und in Foren geschaut aber nichts hat geklappt.

Bitte um Hilfe! Danke im vorraus!

Logfile of HijackThis v1.97.7
Scan saved at 20:58:02, on 16.06.2004
Platform: Windows XP SP1 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP1 (6.00.2800.1106)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\csrss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\spoolsv.exe
C:\WINDOWS\Explorer.EXE
C:\Programme\Logitech\iTouch\iTouch.exe
C:\PROGRA~1\Logitech\MOUSEW~1\SYSTEM\EM_EXEC.EXE
C:\Programme\Gemeinsame Dateien\Real\Update_OB\realsched.exe
C:\PROGRA~1\0190WA~2\WARN0190.EXE
C:\programme\quicktime\qttask.exe
C:\Programme\AntiVir\AVGNT.EXE
C:\WINDOWS\system32\apize.exe
C:\Programme\Teledat\TelFon32.exe
C:\PROGRA~1\0190WA~2\w0svc.exe
C:\Programme\AntiVir\AVGUARD.EXE
C:\Programme\AntiVir\AVWUPSRV.EXE
C:\WINDOWS\System32\DRIVERS\CDANTSRV.EXE
C:\Programme\wamp\apache\mysql\bin\mysqld-nt.exe
C:\WINDOWS\System32\nvsvc32.exe
C:\Programme\Analog Devices\SoundMAX\SMAgent.exe
C:\WINDOWS\netqc.exe
C:\Programme\wamp\apache\mysql\bin\winmysqladmin.exe
C:\Programme\Miranda IM\miranda32.exe
C:\Programme\Internet Explorer\iexplore.exe
C:\Dokumente und Einstellungen\Simon L\Eigene Dateien\Meine empfangenen Dateien\HijackThis.exe

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = res://C:\WINDOWS\wdkbl.dll/sp.html#96676
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = res://wdkbl.dll/index.html#96676
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = res://wdkbl.dll/index.html#96676
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = res://C:\WINDOWS\wdkbl.dll/sp.html#96676
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = res://wdkbl.dll/index.html#96676
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = res://C:\WINDOWS\wdkbl.dll/sp.html#96676
O2 - BHO: (no name) - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Programme\Adobe\Acrobat 5.0\Reader\ActiveX\AcroIEHelper.ocx
O2 - BHO: (no name) - {B5769D78-B754-5933-4551-D7BB1A2896C7} - C:\WINDOWS\syssv.dll
O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINDOWS\System32\msdxm.ocx
O4 - HKLM\..\Run: [zBrowser Launcher] C:\Programme\Logitech\iTouch\iTouch.exe
O4 - HKLM\..\Run: [EM_EXEC] C:\PROGRA~1\Logitech\MOUSEW~1\SYSTEM\EM_EXEC.EXE
O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\System32\NvCpl.dll,NvStartup
O4 - HKLM\..\Run: [nwiz] nwiz.exe /install
O4 - HKLM\..\Run: [NeroCheck] C:\WINDOWS\System32\NeroCheck.exe
O4 - HKLM\..\Run: [TkBellExe] "C:\Programme\Gemeinsame Dateien\Real\Update_OB\realsched.exe" -osboot
O4 - HKLM\..\Run: [0190 Warner] C:\PROGRA~1\0190WA~2\WARN0190.EXE
O4 - HKLM\..\Run: [QuickTime Task] "C:\programme\quicktime\qttask.exe" -atboottime
O4 - HKLM\..\Run: [AVGCtrl] C:\Programme\AntiVir\AVGNT.EXE /min
O4 - HKLM\..\Run: [apize.exe] C:\WINDOWS\system32\apize.exe
O4 - HKLM\..\RunOnce: [netqc.exe] C:\WINDOWS\netqc.exe
O4 - Startup: Internet.lnk = ?
O4 - Startup: winmysqladmin.lnk = C:\Programme\wamp\apache\mysql\bin\winmysqladmin.exe
O4 - Global Startup: Adobe Gamma Loader.lnk = C:\Programme\Gemeinsame Dateien\Adobe\Calibration\Adobe Gamma Loader.exe
O4 - Global Startup: EPSON Status Monitor 3 Environment Check.lnk = C:\WINDOWS\system32\spool\drivers\w32x86\3\E_SRCV03.EXE
O4 - Global Startup: Fon.lnk = C:\Programme\Teledat\TelFon32.exe
O4 - Global Startup: Microsoft Office.lnk = C:\Programme\Microsoft Office\Office10\OSA.EXE
O8 - Extra context menu item: Nach Microsoft &Excel exportieren - res://C:\PROGRA~1\MICROS~2\Office10\EXCEL.EXE/3000
O9 - Extra 'Tools' menuitem: Sun Java Konsole (HKLM)
O9 - Extra button: ICQ Pro (HKLM)
O9 - Extra 'Tools' menuitem: ICQ (HKLM)
O16 - DPF: {02BF25D5-8C17-4B23-BC80-D3488ABDDC6B} (QuickTime Object) - http://www.apple.com/qtactivex/qtplugin.cab
O16 - DPF: {11111111-1111-1111-1111-111111111123} - ms-its:mhtml:file://c:\nosuch.mht!http://www.ruworld.com/chm/files.chm::/file.exe
O16 - DPF: {166B1BCA-3F9C-11CF-8075-444553540000} (Shockwave ActiveX Control) - http://download.macromedia.com/pub/s...ctor/swdir.cab
O16 - DPF: {56336BCB-3D8A-11D6-A00B-0050DA18DE71} (RdxIE Class) - http://207.188.7.150/05951e69a9c844e...dxIE601_de.cab
O16 - DPF: {D27CDB6E-AE6D-11CF-96B8-444553540000} (Shockwave Flash Object) - http://download.macromedia.com/pub/s...sh/swflash.cab
O16 - DPF: {E855A2D4-987E-4F3B-A51C-64D10A7E2479} (EPSImageControl Class) - http://tools.ebayimg.com/eps/activex...trol_v1-32.cab
O17 - HKLM\System\CCS\Services\Tcpip\..\{2B6EBCAD-6CC7-441D-91FD-F04C22AC571B}: NameServer = 217.237.150.225 194.25.2.129
O17 - HKLM\System\CCS\Services\Tcpip\..\{BD0EDC2B-C0CD-4ABA-9B37-A3E832D6019F}: NameServer = 192.168.121.252,192.168.121.253

Hallo radiator und Willkommen an Board,

<blockquote>Zitat:<hr />Habe mir o.g. Trojaner eingefangen...[/QUOTE]Wer -also welches Tool- sagt Dir das und wo -in welchem Pfad- wurde er gefunden?

<blockquote>Zitat:<hr />Hab zwar schon viel versucht[/QUOTE]Was genau hast Du bereits versucht?

Überprüfe bitte die folgenden Dateien online bei
Kaspersky , oder mach noch besser einen Scan im abgesicherten Modus mit dem Free eScan Antivirus Toolkit Utility.

O4 - HKLM\..\Run: [apize.exe] C:\WINDOWS\system32\apize.exe
O4 - HKLM\..\RunOnce: [netqc.exe] C:\WINDOWS\netqc.exe

Allgemein sei ein Blick auf die verlinkte Seite in meiner Signatur empfohlen... ;)

Antivir zeigt mir an das eine dll im Windows ordner befallen wurde, diese dll hat aba schon 3mal den namen geändert (momentan: uezkb.dll (und als ich dies geschrieben hab kommt von antivir in Windows/system32/jvrle.dll mit dme selben trojaner))

was ich versucht habe:
einige datein gelöscht, mehrmals antivir und adware rüber. mit hijackthis einträge gefixt, apize.exe und netqc.exe mitlerweile gelöscht.

die aktuelle Logdatei schaut so aus:

Logfile of HijackThis v1.97.7
Scan saved at 21:55:19, on 16.06.2004
Platform: Windows XP SP1 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP1 (6.00.2800.1106)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\csrss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\spoolsv.exe
C:\WINDOWS\Explorer.EXE
C:\PROGRA~1\0190WA~2\w0svc.exe
C:\Programme\AntiVir\AVGUARD.EXE
C:\Programme\AntiVir\AVWUPSRV.EXE
C:\WINDOWS\System32\DRIVERS\CDANTSRV.EXE
C:\Programme\wamp\apache\mysql\bin\mysqld-nt.exe
C:\WINDOWS\System32\nvsvc32.exe
C:\Programme\Analog Devices\SoundMAX\SMAgent.exe
C:\WINDOWS\system32\syssc32.exe
C:\Programme\Logitech\iTouch\iTouch.exe
C:\PROGRA~1\Logitech\MOUSEW~1\SYSTEM\EM_EXEC.EXE
C:\Programme\Gemeinsame Dateien\Real\Update_OB\realsched.exe
C:\PROGRA~1\0190WA~2\WARN0190.EXE
C:\programme\quicktime\qttask.exe
C:\Programme\AntiVir\AVGNT.EXE
C:\WINDOWS\javawi32.exe
C:\Programme\wamp\apache\mysql\bin\winmysqladmin.exe
C:\Programme\Miranda IM\miranda32.exe
C:\Dokumente und Einstellungen\Simon L\Eigene Dateien\Meine empfangenen Dateien\HijackThis.exe
C:\Programme\Internet Explorer\iexplore.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = res://uezkb.dll/index.html#96676
O2 - BHO: (no name) - {4CB8455B-D319-EAD4-A22C-23122C3C402C} - C:\WINDOWS\javawi32.dll
O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINDOWS\System32\msdxm.ocx
O4 - HKLM\..\Run: [zBrowser Launcher] C:\Programme\Logitech\iTouch\iTouch.exe
O4 - HKLM\..\Run: [EM_EXEC] C:\PROGRA~1\Logitech\MOUSEW~1\SYSTEM\EM_EXEC.EXE
O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\System32\NvCpl.dll,NvStartup
O4 - HKLM\..\Run: [nwiz] nwiz.exe /install
O4 - HKLM\..\Run: [NeroCheck] C:\WINDOWS\System32\NeroCheck.exe
O4 - HKLM\..\Run: [TkBellExe] "C:\Programme\Gemeinsame Dateien\Real\Update_OB\realsched.exe" -osboot
O4 - HKLM\..\Run: [0190 Warner] C:\PROGRA~1\0190WA~2\WARN0190.EXE
O4 - HKLM\..\Run: [QuickTime Task] "C:\programme\quicktime\qttask.exe" -atboottime
O4 - HKLM\..\Run: [AVGCtrl] C:\Programme\AntiVir\AVGNT.EXE /min
O4 - HKLM\..\Run: [apize.exe] C:\WINDOWS\system32\apize.exe
O4 - HKLM\..\Run: [javawi32.exe] C:\WINDOWS\javawi32.exe
O4 - HKLM\..\RunOnce: [syssc32.exe] C:\WINDOWS\system32\syssc32.exe
O4 - Startup: winmysqladmin.lnk = C:\Programme\wamp\apache\mysql\bin\winmysqladmin.exe
O4 - Global Startup: Adobe Gamma Loader.lnk = C:\Programme\Gemeinsame Dateien\Adobe\Calibration\Adobe Gamma Loader.exe
O4 - Global Startup: EPSON Status Monitor 3 Environment Check.lnk = C:\WINDOWS\system32\spool\drivers\w32x86\3\E_SRCV03.EXE
O4 - Global Startup: Fon.lnk = C:\Programme\Teledat\TelFon32.exe
O4 - Global Startup: Microsoft Office.lnk = C:\Programme\Microsoft Office\Office10\OSA.EXE
O8 - Extra context menu item: Nach Microsoft &Excel exportieren - res://C:\PROGRA~1\MICROS~2\Office10\EXCEL.EXE/3000
O9 - Extra 'Tools' menuitem: Sun Java Konsole (HKLM)
O9 - Extra button: ICQ Pro (HKLM)
O9 - Extra 'Tools' menuitem: ICQ (HKLM)
O16 - DPF: {02BF25D5-8C17-4B23-BC80-D3488ABDDC6B} (QuickTime Object) - http://www.apple.com/qtactivex/qtplugin.cab
O16 - DPF: {166B1BCA-3F9C-11CF-8075-444553540000} (Shockwave ActiveX Control) - http://download.macromedia.com/pub/s...ctor/swdir.cab
O16 - DPF: {56336BCB-3D8A-11D6-A00B-0050DA18DE71} (RdxIE Class) - http://207.188.7.150/05951e69a9c844e...dxIE601_de.cab
O16 - DPF: {D27CDB6E-AE6D-11CF-96B8-444553540000} (Shockwave Flash Object) - http://download.macromedia.com/pub/s...sh/swflash.cab
O16 - DPF: {E855A2D4-987E-4F3B-A51C-64D10A7E2479} (EPSImageControl Class) - http://tools.ebayimg.com/eps/activex...trol_v1-32.cab
O17 - HKLM\System\CCS\Services\Tcpip\..\{2B6EBCAD-6CC7-441D-91FD-F04C22AC571B}: NameServer = 217.237.150.225 194.25.2.129
O17 - HKLM\System\CCS\Services\Tcpip\..\{BD0EDC2B-C0CD-4ABA-9B37-A3E832D6019F}: NameServer = 192.168.121.252,192.168.121.253

Dann führ mal bitte das o.g. Utility im abgesicherten Modus! aus...

<blockquote>Zitat:<hr />C:\WINDOWS\system32\syssc32.exe [/QUOTE]such doch bitte mal diesen eintrag hier im forum

wenn ich mich nich täusche hat ich dne heut schon mal gesehn

@ Lutz:
Das hat das Utility gefunden:
File C:\WINDOWS\Downloaded Program Files\load.exe infected by "TrojanDownloader.Win32.Donn.r" Virus. Action Taken: File Deleted.

@ Olo
Mein Beitrag is der einzige, den ich auf diesem Board mit syssc32.exe finde.

Danke schonmal euch beiden.
aber der Trojaner ist immer noch drauf :(

sorry hab mich verlesen kann mal passiern :\

<blockquote>Zitat:<hr /> C:\WINDOWS\system32\syssc32.exe
C:\WINDOWS\javawi32.exe

O4 - HKLM\..\Run: [apize.exe] C:\WINDOWS\system32\apize.exe
O4 - HKLM\..\Run: [javawi32.exe] C:\WINDOWS\javawi32.exe
O4 - HKLM\..\RunOnce: [syssc32.exe] C:\WINDOWS\system32\syssc32.exe
O4 - Global Startup: Fon.lnk = C:\Programme\Teledat\TelFon32.exe [/QUOTE]so haste erst mal n paar wahrscheinliche malware sachen

<blockquote>Zitat:<hr /> C:\Programme\wamp\apache\mysql\bin\winmysqladmin.exe [/QUOTE]wenn nicht gewollt mir sagts nix

<blockquote>Zitat:<hr />Original erstellt von Olo:
sorry hab mich verlesen kann mal passiern :\

<blockquote>Zitat:<hr /> C:\WINDOWS\system32\syssc32.exe
C:\WINDOWS\javawi32.exe

O4 - HKLM\..\Run: [apize.exe] C:\WINDOWS\system32\apize.exe
O4 - HKLM\..\Run: [javawi32.exe] C:\WINDOWS\javawi32.exe
O4 - HKLM\..\RunOnce: [syssc32.exe] C:\WINDOWS\system32\syssc32.exe
O4 - Global Startup: Fon.lnk = C:\Programme\Teledat\TelFon32.exe [/QUOTE]so haste erst mal n paar wahrscheinliche malware sachen

<blockquote>Zitat:<hr /> C:\Programme\wamp\apache\mysql\bin\winmysqladmin.exe [/QUOTE]wenn nicht gewollt mir sagts nix [/QUOTE]KLar kann man sich mal verlesen ;)

wow, es scheint zu klappen =)

hab die beiden datein gelöscht, die ungewollten Einträge hat ich schon vorher schon gelöscht ;)

winmysqladmin ist gewollt und für datenbanken zuständig ;) (nur so zur info)

DANKE DANKE DANKE, für die hilfe =)

hier nochmal die Aktuelle Loffile:

Logfile of HijackThis v1.97.7
Scan saved at 22:59:23, on 16.06.2004
Platform: Windows XP SP1 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP1 (6.00.2800.1106)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\csrss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\spoolsv.exe
C:\WINDOWS\Explorer.EXE
C:\Programme\Logitech\iTouch\iTouch.exe
C:\PROGRA~1\Logitech\MOUSEW~1\SYSTEM\EM_EXEC.EXE
C:\Programme\Gemeinsame Dateien\Real\Update_OB\realsched.exe
C:\PROGRA~1\0190WA~2\WARN0190.EXE
C:\programme\quicktime\qttask.exe
C:\Programme\AntiVir\AVGNT.EXE
C:\Programme\wamp\apache\mysql\bin\winmysqladmin.exe
C:\PROGRA~1\0190WA~2\w0svc.exe
C:\Programme\AntiVir\AVGUARD.EXE
C:\Programme\AntiVir\AVWUPSRV.EXE
C:\WINDOWS\System32\DRIVERS\CDANTSRV.EXE
C:\Programme\wamp\apache\mysql\bin\mysqld-nt.exe
C:\WINDOWS\System32\nvsvc32.exe
C:\Programme\Analog Devices\SoundMAX\SMAgent.exe
C:\Programme\Internet Explorer\iexplore.exe
C:\Programme\Miranda IM\miranda32.exe
C:\Dokumente und Einstellungen\Simon L\Eigene Dateien\Meine empfangenen Dateien\HijackThis.exe

O4 - HKLM\..\Run: [zBrowser Launcher] C:\Programme\Logitech\iTouch\iTouch.exe
O4 - HKLM\..\Run: [EM_EXEC] C:\PROGRA~1\Logitech\MOUSEW~1\SYSTEM\EM_EXEC.EXE
O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\System32\NvCpl.dll,NvStartup
O4 - HKLM\..\Run: [nwiz] nwiz.exe /install
O4 - HKLM\..\Run: [NeroCheck] C:\WINDOWS\System32\NeroCheck.exe
O4 - HKLM\..\Run: [TkBellExe] "C:\Programme\Gemeinsame Dateien\Real\Update_OB\realsched.exe" -osboot
O4 - HKLM\..\Run: [0190 Warner] C:\PROGRA~1\0190WA~2\WARN0190.EXE
O4 - HKLM\..\Run: [QuickTime Task] "C:\programme\quicktime\qttask.exe" -atboottime
O4 - HKLM\..\Run: [AVGCtrl] C:\Programme\AntiVir\AVGNT.EXE /min
O4 - Startup: winmysqladmin.lnk = C:\Programme\wamp\apache\mysql\bin\winmysqladmin.exe
O4 - Global Startup: Adobe Gamma Loader.lnk = C:\Programme\Gemeinsame Dateien\Adobe\Calibration\Adobe Gamma Loader.exe
O4 - Global Startup: EPSON Status Monitor 3 Environment Check.lnk = C:\WINDOWS\system32\spool\drivers\w32x86\3\E_SRCV03.EXE
O4 - Global Startup: Fon.lnk = C:\Programme\Teledat\TelFon32.exe
O4 - Global Startup: Microsoft Office.lnk = C:\Programme\Microsoft Office\Office10\OSA.EXE
O8 - Extra context menu item: Nach Microsoft &Excel exportieren - res://C:\PROGRA~1\MICROS~2\Office10\EXCEL.EXE/3000
O9 - Extra 'Tools' menuitem: Sun Java Konsole (HKLM)
O9 - Extra button: ICQ Pro (HKLM)
O9 - Extra 'Tools' menuitem: ICQ (HKLM)
O16 - DPF: {02BF25D5-8C17-4B23-BC80-D3488ABDDC6B} (QuickTime Object) - http://www.apple.com/qtactivex/qtplugin.cab
O16 - DPF: {166B1BCA-3F9C-11CF-8075-444553540000} (Shockwave ActiveX Control) - http://download.macromedia.com/pub/s...ctor/swdir.cab
O16 - DPF: {56336BCB-3D8A-11D6-A00B-0050DA18DE71} (RdxIE Class) - http://207.188.7.150/05951e69a9c844e...dxIE601_de.cab
O16 - DPF: {D27CDB6E-AE6D-11CF-96B8-444553540000} (Shockwave Flash Object) - http://download.macromedia.com/pub/s...sh/swflash.cab
O16 - DPF: {E855A2D4-987E-4F3B-A51C-64D10A7E2479} (EPSImageControl Class) - http://tools.ebayimg.com/eps/activex...trol_v1-32.cab
O17 - HKLM\System\CCS\Services\Tcpip\..\{2B6EBCAD-6CC7-441D-91FD-F04C22AC571B}: NameServer = 217.237.150.225 194.25.2.129
O17 - HKLM\System\CCS\Services\Tcpip\..\{BD0EDC2B-C0CD-4ABA-9B37-A3E832D6019F}: NameServer = 192.168.121.252,192.168.121.253

nitro deine nummer [img]smile.gif[/img] #96676

und zum ersten mal anscheind erfolg gehabt puh [img]smile.gif[/img]

sollte in den nächsten tagen wahrscheinlich dann auch ein remove tool für autauchen bzw ein bestehendes ein update erhalten

<blockquote>Zitat:<hr />Original erstellt von Olo:
nitro deine nummer [img]smile.gif[/img] #96676[/QUOTE]was meinste damit???

<blockquote>Zitat:<hr /> man kann ihn finden und löschen mit wenigen antispy progs aber es bringt nix er kommt immer wieder. es müsste schon ein internet explorer oder windowsupdate geben. könnte sein das es eine lücke im sicherheitssystem ist. ich kann mir nicht erklären warum er sonst immer wieder kommen sollte nach dem man alles gründlich gereinigt hat.
mfg nitro [/QUOTE]bene das zeichnet hijacker im moment noch aus
es gibt keinen fix von M$
es sind sicherheitslücken im internet explorer
lutz bericht beschreibt das problem ganz gut
atm kann nur ein browserwechsel abhilfe schaffen ein kleiner thread über einen dieser hijacker und die sicherheitslücke die er benutzt
(übrigens der der mich zu dem board gebracht hat [img]smile.gif[/img] )

hab jetzt in vielen threaden oder so mehrzahl halt ^^ geschrieben das diese nummer bei einer bestimmten art von wurm auftaucht.
hier:

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = res://C:\WINDOWS\wdkbl.dll/sp.html#96676
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = res://wdkbl.dll/index.html#96676
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = res://wdkbl.dll/index.html#96676
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = res://C:\WINDOWS\wdkbl.dll/sp.html#96676
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = res://wdkbl.dll/index.html#96676

da steht auch sp.html oder sowas das SP ist wichtig. es gibt schon remove tools für diese SP scheisse, aber eben kein tool das diesen Wurm (ich identifiziere ihn einfach an #96676) wegmacht. man kann ihn finden und löschen mit wenigen antispy progs aber es bringt nix er kommt immer wieder. es müsste schon ein internet explorer oder windowsupdate geben. könnte sein das es eine lücke im sicherheitssystem ist. ich kann mir nicht erklären warum er sonst immer wieder kommen sollte nach dem man alles gründlich gereinigt hat.
mfg nitro

danke für die info ;)