Trojaner-Board - Ich bitte um Hilfe!

Trojaner-Board (https://www.trojaner-board.de/)

- Plagegeister aller Art und deren Bekämpfung (https://www.trojaner-board.de/plagegeister-aller-art-deren-bekaempfung/)

- - Ich bitte um Hilfe! (https://www.trojaner-board.de/11656-bitte-um-hilfe.html)

Ich bitte um Hilfe!

Hallo allerseits,

Also ich habe ein folgendes Problem. Ich bin neu in diesem Forum, daher begrüsse ich euch alle ganz herzlich. Es wäre super, wenn mir jemand helfen könnte, meinen PC zu 'bereinigen', ich weiss manchmal nicht so recht, was ich tun soll.

Vielen Dank schon mal im voraus!!

Bei den Systemsteuerungen sind bei Software 'home search assistent, search extender und search assistent uninstall' zu finden, sie lassen sich irgendwie nicht wegkriegen, entweder steht dort 'uninstall failed' oder es erfolgt gar keine Reaktion.

Ich habe AntiVir Personal Edition 6 aber er hat nichts gefunden.
Ich habe es mal für euch gepostet, was HiJack herausgefunden hat.

Logfile of HijackThis v1.99.0
Scan saved at 17:56:40, on 04.01.2005
Platform: Windows ME (Win9x 4.90.3000)
MSIE: Internet Explorer v5.50 (5.50.4134.0100)

Running processes:
C:\WINDOWS\SYSTEM\KERNEL32.DLL
C:\WINDOWS\SYSTEM\MSGSRV32.EXE
C:\WINDOWS\SYSTEM\mmtask.tsk
C:\WINDOWS\SYSTEM\MPREXE.EXE
C:\WINDOWS\SYSTEM\MSTASK.EXE
C:\WINDOWS\SYSTEM\APPIB32.EXE
C:\WINDOWS\EXPLORER.EXE
C:\WINDOWS\SYSTEM\SYSTRAY.EXE
C:\PROGRAMME\REAL\REALPLAYER\REALPLAY.EXE
C:\PROGRAMME\WINAMP\WINAMPA.EXE
C:\PROGRAMME\MSN APPS\UPDATER\01.02.3000.1001\DE\MSNAPPAU.EXE
C:\PROGRAMME\AVPERSONAL\AVGCTRL.EXE
C:\WINDOWS\LOADQM.EXE
C:\WINDOWS\TWAIN_32\FLATBED\HOTKEY.EXE
C:\WINDOWS\SYSTEM\INTERNAT.EXE
C:\WINDOWS\SYSTEM\SYSTIME.EXE
C:\WINDOWS\SYSTEM\SYSTIME.EXE
C:\WINDOWS\SYSTEM\WMIEXE.EXE
C:\WINDOWS\SYSTEM\RESTORE\STMGR.EXE
C:\PROGRAMME\WINAMP\WINAMP.EXE
C:\WINDOWS\SYSTEM\DDHELP.EXE
C:\WINDOWS\SYSTEM\PSTORES.EXE
C:\PROGRAMME\T-ONLINE\T-ONLINE_SOFTWARE_5\BROWSER\BROWSER.EXE
C:\PROGRAMME\MOZILLA FIREFOX\FIREFOX.EXE
C:\WINDOWS\SYSTEM\STIMON.EXE
C:\EIGENE DATEIEN\DLOADZ\HIJACKTHIS199\HIJACKTHIS.EXE

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://213.159.117.134/index.php
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://www.wow-access.com/search/main.html
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Bar = res://C:\Windows\TEMP\sp.dll/sp.html
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = about:blank
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://213.159.117.134/index.php
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://213.159.117.134/index.php
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://www.wow-access.com/search/main.html
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Bar = res://C:\Windows\TEMP\sp.dll/sp.html
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = about:blank
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = http://213.159.117.134/index.php
R1 - HKCU\Software\Microsoft\Internet Explorer\Search,SearchAssistant = about:blank
R1 - HKCU\Software\Microsoft\Internet Explorer\Search,CustomizeSearch = http://www.wow-access.com/search/main.html
R0 - HKLM\Software\Microsoft\Internet Explorer\Search,SearchAssistant = about:blank
R0 - HKLM\Software\Microsoft\Internet Explorer\Search,CustomizeSearch = http://www.wow-access.com/search/main.html
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Local Page = http://213.159.117.134/index.php
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,HomeOldSP = about:blank
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Local Page = http://213.159.117.134/index.php
R3 - Default URLSearchHook is missing
O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\PROGRAMME\ADOBE\ACROBAT 6.0\READER\ACTIVEX\ACROIEHELPER.DLL
O2 - BHO: Class - {63D1F479-D32B-D696-B52D-4253729E2855} - C:\WINDOWS\MFCYX.DLL
O3 - Toolbar: @msdxmLC.dll,-1@1031,&Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINDOWS\SYSTEM\MSDXM.OCX
O3 - Toolbar: MSN - {BDAD1DAD-C946-4A17-ADC1-64B5B4FF55D0} - C:\PROGRAMME\MSN APPS\MSN TOOLBAR\01.02.3000.1001\EN-US\MSNTB.DLL (file missing)
O4 - HKLM\..\Run: [PCHealth] C:\Windows\PCHealth\Support\PCHSchd.exe -s
O4 - HKLM\..\Run: [SystemTray] SysTray.Exe
O4 - HKLM\..\Run: [LoadPowerProfile] Rundll32.exe powrprof.dll,LoadCurrentPwrScheme
O4 - HKLM\..\Run: [RealTray] C:\Programme\Real\RealPlayer\RealPlay.exe SYSTEMBOOTHIDEPLAYER
O4 - HKLM\..\Run: [WinampAgent] C:\Programme\Winamp\winampa.exe
O4 - HKLM\..\Run: [msnappau] "C:\Programme\MSN Apps\Updater\01.02.3000.1001\de\msnappau.exe"
O4 - HKLM\..\Run: [AVGCtrl] C:\PROGRAMME\AVPERSONAL\AVGCTRL.EXE /min
O4 - HKLM\..\Run: [LoadQM] loadqm.exe
O4 - HKLM\..\Run: [HotKey] C:\WINDOWS\Twain_32\FlatBed\HotKey.exe
O4 - HKLM\..\Run: [internat.exe] internat.exe
O4 - HKLM\..\Run: [winpipe] C:\WINDOWS\SYSTEM32\WINPIPE.EXE
O4 - HKLM\..\Run: [winstart] C:\WINDOWS\SYSTEM32\WINSTORE.EXE
O4 - HKLM\..\Run: [SysTime] C:\WINDOWS\SYSTEM\systime.exe
O4 - HKLM\..\RunServices: [LoadPowerProfile] Rundll32.exe powrprof.dll,LoadCurrentPwrScheme
O4 - HKLM\..\RunServices: [SchedulingAgent] mstask.exe
O4 - HKLM\..\RunServices: [*StateMgr] C:\WINDOWS\System\Restore\StateMgr.exe
O4 - HKLM\..\RunServices: [APPIB32.EXE] C:\WINDOWS\SYSTEM\APPIB32.EXE
O4 - HKCU\..\Run: [SysTime] C:\WINDOWS\SYSTEM\systime.exe
O4 - Startup: Microsoft Office.lnk = C:\Programme\Microsoft Office\Office\OSA9.EXE
O9 - Extra button: Related - {c95fe080-8f5d-11d2-a20b-00aa003c157a} - C:\WINDOWS\web\related.htm
O9 - Extra 'Tools' menuitem: Show &Related Links - {c95fe080-8f5d-11d2-a20b-00aa003c157a} - C:\WINDOWS\web\related.htm
O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\WINDOWS\SYSTEM\MSJAVA.DLL
O9 - Extra 'Tools' menuitem: Sun Java Konsole - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\WINDOWS\SYSTEM\MSJAVA.DLL
O13 - DefaultPrefix: http://www.microsoet.com/start.php?url=
O13 - WWW Prefix: http://www.microsoet.com/start.php?url=
O15 - Trusted Zone: *.windupdates.com
O15 - Trusted Zone: *.searchmiracle.com
O15 - Trusted Zone: *.searchbarcash.com
O15 - Trusted Zone: *.skoobidoo.com
O15 - Trusted Zone: *.my-internet.info
O15 - Trusted Zone: *.xxxtoolbar.com
O15 - Trusted Zone: *.slotch.com
O15 - Trusted Zone: *.flingstone.com
O15 - Trusted Zone: *.mt-download.com
O15 - Trusted Zone: *.blazefind.com
O15 - Trusted Zone: *.clickspring.net
O15 - Trusted Zone: *.ysbweb.com
O15 - Trusted Zone: *.slotchbar.com
O15 - Trusted Zone: *.iframedollars.biz
O15 - Trusted Zone: *.windupdates.com (HKLM)
O15 - Trusted Zone: *.searchbarcash.com (HKLM)
O15 - Trusted Zone: *.searchmiracle.com (HKLM)
O15 - Trusted Zone: *.skoobidoo.com (HKLM)
O15 - Trusted Zone: *.my-internet.info (HKLM)
O15 - Trusted Zone: *.xxxtoolbar.com (HKLM)
O15 - Trusted Zone: *.slotch.com (HKLM)
O15 - Trusted Zone: *.flingstone.com (HKLM)
O15 - Trusted Zone: *.mt-download.com (HKLM)
O15 - Trusted Zone: *.blazefind.com (HKLM)
O15 - Trusted Zone: *.clickspring.net (HKLM)
O15 - Trusted Zone: *.ysbweb.com (HKLM)
O15 - Trusted Zone: *.slotchbar.com (HKLM)
O15 - Trusted Zone: *.iframedollars.biz (HKLM)
O15 - Trusted IP range: 213.159.117.202
O15 - Trusted IP range: 213.159.117.202 (HKLM)
O16 - DPF: {B38870E4-7ECB-40DA-8C6A-595F0A5519FF} (MsnMessengerSetupDownloadControl Class) - http://messenger.msn.com/download/ms...downloader.cab
O16 - DPF: {15AD4789-CDB4-47E1-A9DA-992EE8E6BAD6} - http://static.windupdates.com/cab/Cl...bridge-c18.cab
O16 - DPF: {644E432F-49D3-41A1-8DD5-E099162EEEC5} (Symantec RuFSI Utility Class) - http://security.symantec.com/sscv6/S.../bin/cabsa.cab
O16 - DPF: {2BC66F54-93A8-11D3-BEB6-00105AA9B6AE} (Symantec AntiVirus scanner) - http://security.symantec.com/sscv6/S...in/AvSniff.cab
O16 - DPF: {0246ECA8-996F-11D1-BE2F-00A0C9037DFE} (TDServer Control) - http://members.aol.com/tnoorzai/wfplayer/tdserver.cab
O16 - DPF: {79849612-A98F-45B8-95E9-4D13C7B6B35C} (Loader2 Control) - http://iframedollars.biz/tb/loader2.ocx
O16 - DPF: {2B323CD9-50E3-11D3-9466-00A0C9700498} (Yahoo! Audio Conferencing) - http://us.chat1.yimg.com/us.yimg.com...45/yacscom.cab
O16 - DPF: Yahoo! Chat - http://us.chat1.yimg.com/us.yimg.com.../c381/chat.cab
O16 - DPF: {7B297BFD-85E4-4092-B2AF-16A91B2EA103} (WScanCtl Class) - http://www3.ca.com/securityadvisor/v...fo/webscan.cab

oh da sind mehrere probleme.
C:\WINDOWS\SYSTEM\APPIB32.EXE und C:\WINDOWS\SYSTEM32\WINSTORE.EXE ebenso wie C:\WINDOWS\SYSTEM32\WINPIPE.EXE lässt du doch mal bei http://virusscan.jotti.org/de nachprüfen. bei systemtime.exe weiß ich es genau das is der trojaner.
ich kann noch net mehr sagen, da ich net weiß was das für dateien btw viren sind. fixen wäre also noch sinnlos

Vielen Dank Leute, echt super von euch!

Lediglich steht dort nur noch folgendes:

Logfile of HijackThis v1.99.0
Scan saved at 19:45:12, on 04.01.2005
Platform: Windows ME (Win9x 4.90.3000)
MSIE: Internet Explorer v5.50 (5.50.4134.0100)

Running processes:
C:\WINDOWS\SYSTEM\KERNEL32.DLL
C:\WINDOWS\SYSTEM\MSGSRV32.EXE
C:\WINDOWS\SYSTEM\mmtask.tsk
C:\WINDOWS\SYSTEM\MPREXE.EXE
C:\WINDOWS\EXPLORER.EXE
C:\EIGENE DATEIEN\DLOADZ\HIJACKTHIS199\HIJACKTHIS.EXE

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://213.159.117.134/index.php
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://213.159.117.134/index.php
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://213.159.117.134/index.php
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = http://213.159.117.134/index.php
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Local Page = http://213.159.117.134/index.php
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Local Page = http://213.159.117.134/index.php
R3 - Default URLSearchHook is missing
O2 - BHO: Class - {17FCD1EC-427A-9AB9-5FD5-E5B565CB3E65} - C:\WINDOWS\SYSTEM\APPFQ32.DLL
O4 - HKLM\..\Run: [AVGCtrl] C:\PROGRAMME\AVPERSONAL\AVGCTRL.EXE /min
O15 - Trusted IP range: 213.159.117.202
O15 - Trusted IP range: 213.159.117.202 (HKLM)

Ist es gefährlich? soll ich alle Dateien fixen, die angezeigt werden? Und wie entferne ich diese Home Search Assistents??

@RichieRich
als erstes die O15 löschen
mache das hier
http://www.trojaner-board.de/showthr...9&page=4&pp=10
dann lade dir escan download hier
anleitung hier
mache es genauso wie beschrieben wird.
EscanErgebnis
Teile uns das Ergebnis des eScan mit: "öffne die mwav.log -> Bearbeiten -> Suchen -> infected eingeben -> Weitersuchen -> Treffer markieren/kopieren und ins Forum übertragen."
chaosman

File C:\WINDOWS\SYSTEM\SYSTIME.EXE infected by "Trojan.Win32.StartPage.pu" Virus. Action Taken: No Action Taken.
File C:\WINDOWS\SYSTEM32\WINSTORE.EXE infected by "TrojanClicker.Win32.Small.bc" Virus. Action Taken: No Action Taken.
File C:\WINDOWS\SYSTEM\SYSTIME.EXE infected by "Trojan.Win32.StartPage.pu" Virus. Action Taken: No Action Taken.
File C:\WINDOWS\MFCYX.DLL infected by "Trojan-Downloader.Win32.Agent.bc" Virus. Action Taken: No Action Taken.
File C:\WINDOWS\SYSTEM32\WINSTORE.EXE infected by "TrojanClicker.Win32.Small.bc" Virus. Action Taken: No Action Taken.
File C:\WINDOWS\SYSTEM\systime.exe infected by "Trojan.Win32.StartPage.pu" Virus. Action Taken: No Action Taken.
File C:\WINDOWS\SYSTEM\APPIB32.EXE infected by "Trojan-Downloader.Win32.Agent.al" Virus. Action Taken: No Action Taken.
File C:\WINDOWS\SYSTEM\systime.exe infected by "Trojan.Win32.StartPage.pu" Virus. Action Taken: No Action Taken.
File C:\WINDOWS\gqnvle.dat infected by "Trojan-Downloader.Win32.Agent.bc" Virus. Action Taken: No Action Taken.
File C:\WINDOWS\mstasks2.exe infected by "Trojan.Win32.Favadd.c" Virus. Action Taken: No Action Taken.
File C:\WINDOWS\mfcyx.dll infected by "Trojan-Downloader.Win32.Agent.bc" Virus. Action Taken: No Action Taken.
File C:\WINDOWS\msxmidi.exe infected by "Trojan-Dropper.Win32.Small.pb" Virus. Action Taken: No Action Taken.
C:\WINDOWS\kjomm.dat possibly infected and removed by background antivirus package!
File C:\WINDOWS\kjomm.dat infected by "BkCln.Unknown" Virus. Action Taken: No Action Taken.
File C:\WINDOWS\IEMenuExtension.exe infected by "not-a-virus:AdWare.ToolBar.Ucmore" Virus. Action Taken: No Action Taken
File C:\WINDOWS\mstasks3.exe infected by "Trojan-Downloader.Win32.Small.lx" Virus. Action Taken: No Action Taken.
File C:\WINDOWS\toolbar.exe infected by "Trojan.Win32.LowZones.y" Virus. Action Taken: No Action Taken.
File C:\WINDOWS\SYSTEM\fbaa.dll infected by "Trojan-Downloader.Win32.Agent.gj" Virus. Action Taken: No Action Taken.
File C:\WINDOWS\SYSTEM\hjmo.dll infected by "Trojan-Downloader.Win32.Agent.gj" Virus. Action Taken: No Action Taken.
File C:\WINDOWS\SYSTEM\kbmk.dll infected by "Trojan-Downloader.Win32.Agent.gj" Virus. Action Taken: No Action Taken.
File C:\WINDOWS\SYSTEM\phdl.dll infected by "Trojan-Downloader.Win32.Agent.gj" Virus. Action Taken: No Action Taken.
File C:\WINDOWS\SYSTEM\dpcl.dll infected by "Trojan.Win32.StartPage.qr" Virus. Action Taken: No Action Taken.
File C:\WINDOWS\SYSTEM\appib32.exe infected by "Trojan-Downloader.Win32.Agent.al" Virus. Action Taken: No Action Taken.
File C:\WINDOWS\TEMPOR~1\CONTENT.IE5\Q98JE1S9\load[1].htm infected by "Exploit.HTML.Mht" Virus. Action Taken: No Action Taken.
File C:\WINDOWS\gqnvle.dat infected by "Trojan-Downloader.Win32.Agent.bc" Virus. Action Taken: No Action Taken.
File C:\WINDOWS\mstasks2.exe infected by "Trojan.Win32.Favadd.c" Virus. Action Taken: No Action Taken.
File C:\WINDOWS\mfcyx.dll infected by "Trojan-Downloader.Win32.Agent.bc" Virus. Action Taken: No Action Taken.
File C:\WINDOWS\IEMenuExtension.exe infected by "not-a-virus:AdWare.ToolBar.Ucmore" Virus. Action Taken: No Action Taken.
File C:\WINDOWS\mstasks3.exe infected by "Trojan-Downloader.Win32.Small.lx" Virus. Action Taken: No Action Taken.
File C:\WINDOWS\SYSTEM\fbaa.dll infected by "Trojan-Downloader.Win32.Agent.gj" Virus. Action Taken: No Action Taken.

Na super.. Das sieht ja rosig aus.. Kann man diese Dateien manuell löschen???

Ja, kann und sollte man auch löschen.

Okay langsam begreife ich die Vorgehensweise der Quälgeisterbeseitigung.

Escan zeigt mir lediglich 2 Dateien an. Nämlich:

C:\WINDOWS\mfcyx.dll

und " \appib32.exe

Diese lassen sich auch nicht finden können daher auch nicht gelöscht werden. Wie kann ich nun diese Plage eliminieren?

tja die lassen sich aus einem sehr einfachen grund nicht finden;
der explorer ist darauf eingestellt systemdateien (aber auch alles was als systemdatei markiert ist) nicht anzuzeigen. um das zu ändern einfach extras/ordneroptionen/ansicht geschützte systemdateien ausblenden haken weg, inhalte von systemordner anzeigen haken hin,runterscrollen und bei versteckte dateien und ordner alle dateien und ordner anzeigen haken hin.

eScan :confused: , du meinst sicherlich den Explorer.;)

Entweder -> Windows Explorer (Win Taste +E) -> "Extras/Ordneroptionen" -> "Ansicht" -> Haken entfernen bei "Geschützte Systemdateien ausblenden (empfohlen)" und "Alle Dateien und Ordner anzeigen" aktivieren -> "OK"

Oder -> Lade den Total Commander und nimm folgende Einstellung vor:
Total Commander öffnen -> Konfigurieren -> Einstellungen -> Ansicht -> Haken setzen bei "Versteckte und Systemdateien anzeigen (nur für Experten)" -> OK

Navigiere im linken Fenster zum besagten Ordner oder Datei und lösche diese (markieren -> F8 -> JA).

Es scheint geklappt zu haben!!!! Danke Leuteeeeeeeee :aplaus: :crazy: :daumenhoc

Was sagt ihr dazu? Ist doch ein Eregbnis oder? :kloppen:

Logfile of HijackThis v1.99.0
Scan saved at 23:56:54, on 04.01.2005
Platform: Windows ME (Win9x 4.90.3000)
MSIE: Internet Explorer v5.50 (5.50.4134.0100)

Running processes:
C:\WINDOWS\SYSTEM\KERNEL32.DLL
C:\WINDOWS\SYSTEM\MSGSRV32.EXE
C:\WINDOWS\SYSTEM\mmtask.tsk
C:\WINDOWS\SYSTEM\MPREXE.EXE
C:\WINDOWS\EXPLORER.EXE
C:\WINDOWS\SYSTEM\STIMON.EXE
C:\PROGRAMME\MOZILLA FIREFOX\FIREFOX.EXE
C:\WINDOWS\SYSTEM\DDHELP.EXE
C:\EIGENE DATEIEN\DLOADZ\HIJACKTHIS199\HIJACKTHIS.EXE

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.msn.de/
O15 - Trusted IP range: 213.159.117.202 (HKLM)

jep so wie ich das sehe passt alles. nur das trusted sites wundert mich. die ip führt mich zu einem nicht vollständig eingerichteten server. also fixes lieber, falls du das net selber rein hast. aber ansonsten völlig sauberer log.

Hab gefixt, kommt aber immer wieder. Hab im IE Optionen nachgeschaut und trusted sites Kartei ist auch leer.

Soll ich es im abgesicherten Modus versuchen?

Führe dies aus:
http://www.trojaner-board.de/showpos...6&postcount=31

Danach
- IE 6 SP1 installieren, sicherer konfigurieren und nur noch für das Windows Update benutzen http://www.datenschutzzentrum.de/sel...sie/config.htm oder http://www.blafusel.de/ie.html
- Sichere und komfortablere Browser wie z.B. Mozilla oder Firefox verwenden http://www.mozilla.org

WOW ich danke euch Leute ihr seit die besten! :kloppen: