Trojaner-Board - Hijack+Trojan Probleme

Trojaner-Board (https://www.trojaner-board.de/)

- Log-Analyse und Auswertung (https://www.trojaner-board.de/log-analyse-auswertung/)

- - Hijack+Trojan Probleme (https://www.trojaner-board.de/6908-hijack-trojan-probleme.html)

Hijack+Trojan Probleme

Hallo Leute!
Ich habe einen Spyware Nuker runtergeladen, und mit dem kann mal leider nur Spyware,Adware,... und das Zeug finden, jedoch nicht löschen. Er hat nämlich folgendes gefunden:

Internet Optimizer Trojan:
Installs silently, usually bundled with other software. May dail porn phone numbers or hijack browser settings.

SearchBar Toolbar (IE Plugin) Hijacker:
According to the license agreement it: Displays advertisements. Installs software on your computer. Hijacks browser settings. Hides other toolbars from you. Tracks your usage with a unique identfier.

Slotch Toolbar (XXXToolbar) Hijacker:
Hijacks your browser settings. Installs programs on your computer without your permission. Reports computer information over the internet including the entire registry. Installs adult links on your computer.

Möchte gerne die drei Programme von meinem Comp löschen, nur wie??

(Habe auch HijackThis - v1.98.2 aber weiß nicht wie man das Zeug rauskopiert, da das sehr viel ist ;-)

Danke schon im voraus!!

MfG

Zitat:

Möchte gerne die drei Programme von meinem Comp löschen, nur wie??

Unter Software deinstallierst du alle drei Programme. Den Rest machen wir über HiJackThis.

Zitat:

Habe auch HijackThis - v1.98.2 aber weiß nicht wie man das Zeug rauskopiert, da das sehr viel ist ;-)

Geh nach dieser bebilderten Anleitung vor http://www.trojaner-board.de/51130-a...ijackthis.html . Wenn du das Log abgespeichert hast, öffnest du es und kopierst es mittels copy & paste und fügst es hier ein.

Sorry habe mich nicht gut ausgedrückt:
Die drei Programme haben sich leider versteckt.

Hier das bei HijackThis:

Logfile of HijackThis v1.98.2
Scan saved at 19:20:13, on 15.08.2004
Platform: Windows 2000 SP3 (WinNT 5.00.2195)
MSIE: Internet Explorer v6.00 SP1 (6.00.2800.1106)

Running processes:
C:\WINNT\System32\smss.exe
C:\WINNT\system32\winlogon.exe
C:\WINNT\system32\services.exe
C:\WINNT\system32\lsass.exe
C:\WINNT\System32\Ati2evxx.exe
C:\WINNT\system32\svchost.exe
C:\Programme\Gemeinsame Dateien\Symantec Shared\ccSetMgr.exe
C:\Programme\Gemeinsame Dateien\Symantec Shared\ccEvtMgr.exe
C:\WINNT\system32\spoolsv.exe
C:\WINNT\System32\CTsvcCDA.exe
C:\WINNT\System32\svchost.exe
C:\WINNT\system32\hidserv.exe
C:\Programme\Norton AntiVirus\navapsvc.exe
C:\WINNT\system32\regsvc.exe
C:\Programme\Norton AntiVirus\SAVScan.exe
C:\WINNT\system32\MSTask.exe
C:\WINNT\System32\WBEM\WinMgmt.exe
C:\WINNT\System32\MsPMSPSv.exe
C:\WINNT\system32\svchost.exe
C:\WINNT\system32\Ati2evxx.exe
C:\WINNT\Explorer.EXE
C:\Programme\ATI Technologies\ATI Control Panel\atiptaxx.exe
C:\Programme\Creative\SBAudigy2ZS\Surround Mixer\CTSysVol.exe
C:\Programme\Creative\SBAudigy2ZS\DVDAudio\CTDVDDet.EXE
C:\WINNT\System32\CTHELPER.EXE
C:\WINNT\System32\jutrtb.exe
C:\Programme\Gemeinsame Dateien\Symantec Shared\ccApp.exe
C:\WINNT\System32\internat.exe
C:\Programme\PKL\bpk.exe
C:\WINNT\System32\wuauclt.exe
C:\Programme\ICQ\Icq.exe
C:\Programme\Internet Explorer\IEXPLORE.EXE
C:\Programme\totalcmd\TOTALCMD.EXE
C:\unzipped\HijackThis.exe

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Bar = http://www.couldnotfind.com/search_p...ount_id=133666
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = http://www.couldnotfind.com/search_p...ount_id=133666
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.ogame.de
R1 - HKCU\Software\Microsoft\Internet Explorer\Search,SearchAssistant = http://www.couldnotfind.com/search_p...ount_id=133666
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page_bak = http://www.ogame.de/
R3 - Default URLSearchHook is missing
O2 - BHO: BHObj Class - {00000010-6F7D-442C-93E3-4A4827C2E4C8} - C:\WINNT\nem219.dll (file missing)
O2 - BHO: LocalNRDObj Class - {00320615-B6C2-40A6-8F99-F1C52D674FAD} - C:\WINNT\localNRD.dll
O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Programme\Adobe\Acrobat 6.0\Reader\ActiveX\AcroIEHelper.dll
O2 - BHO: (no name) - {206E52E0-D52E-11D4-AD54-0000E86C26F6} - C:\Programme\FreshDevices\FreshDownload\fdcatch.dll
O2 - BHO: G1.GZ - {79C03BC5-6C55-4B5B-921F-C02B6F1ABD7B} - C:\DOKUME~1\Matze\ANWEND~1\Pribi\Pribi.dll
O2 - BHO: BAHelper Class - {A3FDD654-A057-4971-9844-4ED8E67DBBB8} - C:\Programme\SideFind\sfbho.dll (file missing)
O2 - BHO: Google Toolbar Helper - {AA58ED58-01DD-4d91-8333-CF10577473F7} - c:\programme\google\googletoolbar1.dll
O2 - BHO: NAV Helper - {BDF3E430-B101-42AD-A544-FADC6B084872} - C:\Programme\Norton AntiVirus\NavShExt.dll
O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINNT\System32\msdxm.ocx
O3 - Toolbar: Norton AntiVirus - {42CDD1BF-3FFB-4238-8AD1-7859DF00B1D6} - C:\Programme\Norton AntiVirus\NavShExt.dll
O3 - Toolbar: &Google - {2318C2B1-4965-11d4-9B18-009027A5CD4F} - c:\programme\google\googletoolbar1.dll
O4 - HKLM\..\Run: [Synchronization Manager] mobsync.exe /logon
O4 - HKLM\..\Run: [ATIPTA] C:\Programme\ATI Technologies\ATI Control Panel\atiptaxx.exe
O4 - HKLM\..\Run: [CTSysVol] C:\Programme\Creative\SBAudigy2ZS\Surround Mixer\CTSysVol.exe /r
O4 - HKLM\..\Run: [CTDVDDET] C:\Programme\Creative\SBAudigy2ZS\DVDAudio\CTDVDDet.EXE
O4 - HKLM\..\Run: [CTHelper] CTHELPER.EXE
O4 - HKLM\..\Run: [SBDrvDet] C:\Programme\Creative\SB Drive Det\SBDrvDet.exe /r
O4 - HKLM\..\Run: [UpdReg] C:\WINNT\UpdReg.EXE
O4 - HKLM\..\Run: [Mirabilis ICQ] C:\PROGRA~1\ICQ\ICQNet.exe
O4 - HKLM\..\Run: [mllvztqqrqnq] C:\WINNT\System32\jutrtb.exe
O4 - HKLM\..\Run: [conscorr] C:\WINNT\conscorr.exe
O4 - HKLM\..\Run: [vwfytyn] C:\WINNT\vwfytyn.exe
O4 - HKLM\..\Run: [ccApp] "C:\Programme\Gemeinsame Dateien\Symantec Shared\ccApp.exe"
O4 - HKLM\..\Run: [SpyBlocs] C:\Programme\SpyBlocs\SpyBlocs.exe
O4 - HKCU\..\Run: [internat.exe] internat.exe
O4 - HKCU\..\Run: [BPK] C:\Programme\PKL\bpk.exe
O4 - HKCU\..\Run: [\Pribi.exe] C:\DOKUME~1\Matze\ANWEND~1\Pribi\Pribi.exe
O4 - HKCU\..\Run: [Steam] C:\Programme\Steam\Steam.exe -silent
O8 - Extra context menu item: &Google Search - res://C:\Programme\Google\GoogleToolbar1.dll/cmsearch.html
O8 - Extra context menu item: Im Cache gespeicherte Seite - res://C:\Programme\Google\GoogleToolbar1.dll/cmcache.html
O8 - Extra context menu item: Nach Microsoft &Excel exportieren - res://C:\PROGRA~1\MICROS~2\OFFICE11\EXCEL.EXE/3000
O8 - Extra context menu item: Verweisseiten - res://C:\Programme\Google\GoogleToolbar1.dll/cmbacklinks.html
O8 - Extra context menu item: Ähnliche Seiten - res://C:\Programme\Google\GoogleToolbar1.dll/cmsimilar.html
O9 - Extra button: SideFind - {10E42047-DEB9-4535-A118-B3F6EC39B807} - C:\Programme\SideFind\sidefind.dll (file missing)
O9 - Extra button: ICQ Pro - {6224f700-cba3-4071-b251-47cb894244cd} - C:\PROGRA~1\ICQ\ICQ.exe
O9 - Extra 'Tools' menuitem: ICQ - {6224f700-cba3-4071-b251-47cb894244cd} - C:\PROGRA~1\ICQ\ICQ.exe
O9 - Extra button: Recherchieren - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - C:\PROGRA~1\MICROS~2\OFFICE11\REFIEBAR.DLL
O16 - DPF: {386A771C-E96A-421F-8BA7-32F1B706892F} (Installer Class) - http://www.xxxtoolbar.com/ist/softwa...06_regular.cab
O16 - DPF: {42F2D240-B23C-11D6-8C73-70A05DC10000} - http://www.oyunfabrikasi.com/as/2/060172as.exe
O16 - DPF: {91433D86-9F27-402C-B5E3-DEBDD122C339} - http://www.netvenda.com/sites/games-intl/at/games4.cab
O17 - HKLM\System\CCS\Services\Tcpip\..\{38A4D952-10D6-474D-8277-1C801868B534}: NameServer = 195.3.96.67,195.3.96.68
O18 - Filter: text/html - {14EF6AF2-4991-4742-ACDE-7D3CECE51E98} - C:\Dokumente und Einstellungen\Matze\Lokale Einstellungen\Anwendungsdaten\microsoft\internet explorer\V0.15.dat

Kann mir vielleicht jemand sagen welches von dem Zeug die drei Programme sind?

Überprüfe zuerst mal diese Dateien bei http://www.kaspersky.com/de/remoteviruschk.html
:
C:\WINNT\System32\jutrtb.exe
C:\WINNT\conscorr.exe
C:\WINNT\vwfytyn.exe
C:\Programme\PKL\bpk.exe

Danke schon mal, aber ich glaube das Programm ist das falsche da es nur Viren prüft und bei 1 Datei, hat das Programm gesagt es wäre OK, bei einer anderen hat es gar nichts angezeigt und 2 Dateien habe ich selber nicht gefunden.

Ich glaube nämlich, das ich keine Viren habe, da ich Norton Anti Virus 2004 habe. Ich denke ich bräuchte eher was, was so Spyware, Trojaner und Hijacker findet oder so.

Jeder Virenscanner findet auch Trojaner.
Auch Norton - jedenfalls versucht es dies.

Gegen Spyware:
Spybot Search & Destroy 1.3 www.safer-networking.de in Kombination mit
Ad-aware SE free www.lavasoft.de

Beide Programme sind kostenlos und auf Deutsch verfügbar (Ad-aware leider noch nicht ganz. Die Sprachdateien sind in Bearbeitung).

Unabhängig von den oben genannten Programmen solltest du mal mit eScan im abgesicherten Modus scannen, da ich sehe, dass du min. einen Trojaner drauf hast: http://www.trojaner-board.de/showthread.php?t=6083

Außerdem solltest du mal einen sicheren Browser verwenden: www.firefox-browser.de ist schnell, sicher und kostenlos.
Auch bei www.windowsupdate.com solltest du vorbeischauen und alle Patches und Updates installieren.

Hey, danke Cidre und Christian, das schlimmste ist jetzt weg (Trojaner)!

Ich habe nur noch drei Hijacker und einen Dialer darauf. Die Hijacker machen hijack browser settings und der Dialer macht auch nur eine Verbindung wenn ich auf eine Spiele Seite will.

Möchte nur noch gerne wissen was das "Hijack Browser settings" heißt. Heißt das er hackt meine Settings? Wenn ja, was macht er dann mit ihnen?

MfG Matze!

Naja, Hijacker sind eigentlich Trojaner.
Zur Entfernung: http://www.trojaner-board.de/showthread.php?t=6083
Scanne hiermit im abgesicherten Modus!

Danach poste bitte ein neues HijackThis-Log.

K, das eScan hat viele Trojans gefunden und auch gelöscht. Danke für das Programm!

Nur mein Spyware Nuker zeigt immer noch 2 Hijacker an, wobei der aber auch nur hintendran sein kann oder so.

Hier jetzt noch das Log:

Logfile of HijackThis v1.98.2
Scan saved at 20:24:03, on 21.08.2004
Platform: Windows 2000 SP4 (WinNT 5.00.2195)
MSIE: Internet Explorer v6.00 SP1 (6.00.2800.1106)

Running processes:
C:\WINNT\System32\smss.exe
C:\WINNT\system32\winlogon.exe
C:\WINNT\system32\services.exe
C:\WINNT\system32\lsass.exe
C:\WINNT\System32\Ati2evxx.exe
C:\WINNT\system32\svchost.exe
C:\Programme\Gemeinsame Dateien\Symantec Shared\ccSetMgr.exe
C:\Programme\Gemeinsame Dateien\Symantec Shared\ccEvtMgr.exe
C:\WINNT\system32\spoolsv.exe
C:\WINNT\System32\CTsvcCDA.exe
C:\WINNT\System32\svchost.exe
C:\WINNT\system32\hidserv.exe
C:\Programme\Norton AntiVirus\navapsvc.exe
C:\WINNT\system32\regsvc.exe
C:\Programme\Norton AntiVirus\SAVScan.exe
C:\WINNT\system32\MSTask.exe
C:\WINNT\System32\WBEM\WinMgmt.exe
C:\WINNT\System32\MsPMSPSv.exe
C:\WINNT\system32\svchost.exe
C:\WINNT\system32\Ati2evxx.exe
C:\WINNT\Explorer.EXE
C:\Programme\ATI Technologies\ATI Control Panel\atiptaxx.exe
C:\Programme\Creative\SBAudigy2ZS\Surround Mixer\CTSysVol.exe
C:\Programme\Creative\SBAudigy2ZS\DVDAudio\CTDVDDet.EXE
C:\WINNT\system32\CTHELPER.EXE
C:\Programme\Gemeinsame Dateien\Symantec Shared\ccApp.exe
C:\WINNT\system32\internat.exe
C:\Programme\PKL\bpk.exe
C:\PROGRA~1\ICQ\ICQ.exe
C:\Programme\Spyware Nuker 2004\SWN2.exe
C:\Programme\totalcmd\TOTALCMD.EXE
C:\unzipped\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.ogame.de
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page_bak = http://www.ogame.de/
R3 - Default URLSearchHook is missing
O2 - BHO: MultimppObj Class - {002EB272-2590-4693-B166-FBD5D9B6FEA6} - C:\WINNT\multimpp.dll
O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Programme\Adobe\Acrobat 6.0\Reader\ActiveX\AcroIEHelper.dll
O2 - BHO: (no name) - {206E52E0-D52E-11D4-AD54-0000E86C26F6} - C:\Programme\FreshDevices\FreshDownload\fdcatch.dll
O2 - BHO: (no name) - {53707962-6F74-2D53-2644-206D7942484F} - C:\PROGRA~1\SPYBOT~1\SDHelper.dll
O2 - BHO: G1.GZ - {79C03BC5-6C55-4B5B-921F-C02B6F1ABD7B} - C:\DOKUME~1\Matze\ANWEND~1\Pribi\Pribi.dll
O2 - BHO: Google Toolbar Helper - {AA58ED58-01DD-4d91-8333-CF10577473F7} - c:\programme\google\googletoolbar1.dll
O2 - BHO: NAV Helper - {BDF3E430-B101-42AD-A544-FADC6B084872} - C:\Programme\Norton AntiVirus\NavShExt.dll
O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINNT\System32\msdxm.ocx
O3 - Toolbar: Norton AntiVirus - {42CDD1BF-3FFB-4238-8AD1-7859DF00B1D6} - C:\Programme\Norton AntiVirus\NavShExt.dll
O3 - Toolbar: &Google - {2318C2B1-4965-11d4-9B18-009027A5CD4F} - c:\programme\google\googletoolbar1.dll
O4 - HKLM\..\Run: [Synchronization Manager] mobsync.exe /logon
O4 - HKLM\..\Run: [ATIPTA] C:\Programme\ATI Technologies\ATI Control Panel\atiptaxx.exe
O4 - HKLM\..\Run: [CTSysVol] C:\Programme\Creative\SBAudigy2ZS\Surround Mixer\CTSysVol.exe /r
O4 - HKLM\..\Run: [CTDVDDET] C:\Programme\Creative\SBAudigy2ZS\DVDAudio\CTDVDDet.EXE
O4 - HKLM\..\Run: [CTHelper] CTHELPER.EXE
O4 - HKLM\..\Run: [SBDrvDet] C:\Programme\Creative\SB Drive Det\SBDrvDet.exe /r
O4 - HKLM\..\Run: [UpdReg] C:\WINNT\UpdReg.EXE
O4 - HKLM\..\Run: [Mirabilis ICQ] C:\PROGRA~1\ICQ\ICQNet.exe
O4 - HKLM\..\Run: [ccApp] "C:\Programme\Gemeinsame Dateien\Symantec Shared\ccApp.exe"
O4 - HKCU\..\Run: [internat.exe] internat.exe
O4 - HKCU\..\Run: [Steam] "c:\programme\steam\steam.exe" -silent
O4 - HKCU\..\Run: [BPK] C:\Programme\PKL\bpk.exe
O8 - Extra context menu item: &Google Search - res://C:\Programme\Google\GoogleToolbar1.dll/cmsearch.html
O8 - Extra context menu item: Im Cache gespeicherte Seite - res://C:\Programme\Google\GoogleToolbar1.dll/cmcache.html
O8 - Extra context menu item: Nach Microsoft &Excel exportieren - res://C:\PROGRA~1\MICROS~2\OFFICE11\EXCEL.EXE/3000
O8 - Extra context menu item: Verweisseiten - res://C:\Programme\Google\GoogleToolbar1.dll/cmbacklinks.html
O8 - Extra context menu item: Ähnliche Seiten - res://C:\Programme\Google\GoogleToolbar1.dll/cmsimilar.html
O9 - Extra button: ICQ Pro - {6224f700-cba3-4071-b251-47cb894244cd} - C:\PROGRA~1\ICQ\ICQ.exe
O9 - Extra 'Tools' menuitem: ICQ - {6224f700-cba3-4071-b251-47cb894244cd} - C:\PROGRA~1\ICQ\ICQ.exe
O9 - Extra button: Recherchieren - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - C:\PROGRA~1\MICROS~2\OFFICE11\REFIEBAR.DLL
O9 - Extra button: Related - {c95fe080-8f5d-11d2-a20b-00aa003c157a} - C:\WINNT\web\related.htm (file missing)
O9 - Extra 'Tools' menuitem: Show &Related Links - {c95fe080-8f5d-11d2-a20b-00aa003c157a} - C:\WINNT\web\related.htm (file missing)
O16 - DPF: {42F2D240-B23C-11D6-8C73-70A05DC10000} - http://www.oyunfabrikasi.com/as/2/060172as.exe
O16 - DPF: {91433D86-9F27-402C-B5E3-DEBDD122C339} - http://www.netvenda.com/sites/games-intl/at/games4.cab
O17 - HKLM\System\CCS\Services\Tcpip\..\{38A4D952-10D6-474D-8277-1C801868B534}: NameServer = 195.3.96.67,195.3.96.68
O18 - Filter: text/html - {14EF6AF2-4991-4742-ACDE-7D3CECE51E98} - C:\Dokumente und Einstellungen\Matze\Lokale Einstellungen\Anwendungsdaten\microsoft\internet explorer\V0.15.dat

Hallo

Zitat:

Ich habe einen Spyware Nuker runtergeladen...

...je schneller scmeißt du diesen Mist von deinem PC raus, desto besser wird es für alle ;).
http://sarc.com/avcenter/venc/data/a...warenuker.html

Rene-gad hat recht.

Aber ein Hijacker ist trotzdem noch dabei: C:\WINNT\multimpp.dll
Sende die Datei mal zu partytime-germany.ice@web.de
Offenbar wird dieser Hijacker noch nicht erkannt.

Hallo

Zitat:

Hey, danke Cidre und Christian, das schlimmste ist jetzt weg (Trojaner)!

Daran glaube ich 2 mal nicht:
1. mal- dass er wirklich weg ist
2. mal - dass er
Zitat:

das schlimmste

ist

Zitat:

Ich habe nur noch drei Hijacker und einen Dialer darauf.

Nur? Ein Hijacker ist schon ein Hijacker zu viel! Und was ist, Deiner Meinung nach, das?

Zitat:

C:\Programme\PKL\bpk.exe

Antwot - Perfekt Keylogger: http://powerforen.de/forum/showthread.php?t=155651
d.h., jeder dein Tastaturschlag wird protokolliert und über Internet an interessierende Personen verschickt.
Lange Rede - Kurzer Sinn: PC platt machen, alle Passwörter wechseln.

K, Nuker mach ich weg, wobei ich nur wegen dem gesehen habe, dass ich lauter Müll auf meinem PC habe, Hijacker werde ich melden, der PKL(bpk) habe ich selber rauf getan damit ich meine PW und Accs nicht mehr vergesse ;-D habe nämlich schon viele vergessen.

Und ich kannte bloß Viren und Trojaner aber keine Hijacker daher sagte ich "nur" ;-P

Noch ne frage zu Rene:

Was meinst mit "du bezweifelst das der Trojaner noch net weg ist?"
Wie bekomm ich ihn denn weg?

MfG Matze!

Also, fixe dies:

R3 - Default URLSearchHook is missing
O2 - BHO: MultimppObj Class - {002EB272-2590-4693-B166-FBD5D9B6FEA6} - C:\WINNT\multimpp.dll
O4 - HKCU\..\Run: [BPK] C:\Programme\PKL\bpk.exe
O9 - Extra button: Related - {c95fe080-8f5d-11d2-a20b-00aa003c157a} - C:\WINNT\web\related.htm (file missing)
O9 - Extra 'Tools' menuitem: Show &Related Links - {c95fe080-8f5d-11d2-a20b-00aa003c157a} - C:\WINNT\web\related.htm (file missing)
O16 - DPF: {42F2D240-B23C-11D6-8C73-70A05DC10000} - http://www.oyunfabrikasi.com/as/2/060172as.exe
O16 - DPF: {91433D86-9F27-402C-B5E3-DEBDD122C339} - http://www.netvenda.com/sites/games-intl/at/games4.cab

Danach C:\WINNT\multimpp.dll löschen und PKL deinstallieren und den Programm-Ordner löschen!

Hallo

Zitat:

Was meinst mit "du bezweifelst das der Trojaner noch net weg ist?"

Lese hier: http://faq.underflow.de/#SECTION000120000000000000000

Zitat:

Wie bekomm ich ihn denn weg?

Zitat:

Zitat von Rene-gad

PC platt machen, alle Passwörter wechseln.