Hallo zusammen!
Ich hab Probleme mit meinem Internet Explorer, die Startseite ändert sich automatisch von selbst auf h**p://cashsearch.biz/redir.php.

Ich hab mich hier mal in dieses Hijacker Problem reingelesen, konnte mein Problem aber nicht mit CWShredder, SpHjfix und HijackThis fixen.

Wenn ich mein Hijackthis-Scan mit
http://www.trojaner-info.de/anleitun...out_blank.html
vergleiche, zeigt mein System nicht die Infektionsanzeichen.

Hier mein Hijackthis log:

Logfile of HijackThis v1.97.7
Scan saved at 15:25:21, on 26.05.04
Platform: Windows 98 SE (Win9x 4.10.2222A)
MSIE: Internet Explorer v5.00 (5.00.2614.3500)

Running processes:
C:\WINDOWS\SYSTEM\KERNEL32.DLL
C:\WINDOWS\SYSTEM\MSGSRV32.EXE
C:\WINDOWS\SYSTEM\MPREXE.EXE
C:\WINDOWS\SYSTEM\mmtask.tsk
C:\WINDOWS\SYSTEM\Winmodem.101\wmexe.exe
C:\PROGRAMME\AVK8\AVKSERV.EXE
C:\PROGRAMME\GRISOFT\AVG6\AVGSERV9.EXE
C:\WINDOWS\EXPLORER.EXE
C:\WINDOWS\TASKMON.EXE
C:\WINDOWS\SYSTEM\SYSTRAY.EXE
C:\WINDOWS\STARTER.EXE
C:\PROGRAMME\GRISOFT\AVG6\AVGCC32.EXE
C:\PROGRAMME\INTERVIDEO\COMMON\BIN\WINCINEMAMGR.EXE
C:\WINDOWS\SYSTEM\WMIEXE.EXE
C:\PROGRAMME\INTERNET EXPLORER\IEXPLORE.EXE
C:\WINDOWS\SYSTEM\PSTORES.EXE
C:\WINDOWS\DESKTOP\HIJACKTHIS.EXE

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://cashsearch.biz/redir.php
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://cashsearch.biz/redir.php
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = http://cashsearch.biz/redir.php
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://cashsearch.biz/redir.php
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://www.microsoft.com/isapi/redir...07&ar=iesearch
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Local Page = http://cashsearch.biz/redir.php
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Local Page = http://cashsearch.biz/redir.php
R3 - URLSearchHook: (no name) - {1C78AB3F-A857-482e-80C0-3A1E5238A565} - (no file)
F1 - win.ini: run=hpfsched
O2 - BHO: (no name) - {1C78AB3F-A857-482e-80C0-3A1E5238A565} - (no file)
O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINDOWS\SYSTEM\MSDXM.OCX
O3 - Toolbar: (no name) - {1C78AB3F-A857-482e-80C0-3A1E5238A565} - (no file)
O4 - HKLM\..\Run: [ScanRegistry] c:\windows\scanregw.exe /autorun
O4 - HKLM\..\Run: [TaskMonitor] c:\windows\taskmon.exe
O4 - HKLM\..\Run: [SystemTray] SysTray.Exe
O4 - HKLM\..\Run: [LoadPowerProfile] Rundll32.exe powrprof.dll,LoadCurrentPwrScheme
O4 - HKLM\..\Run: [EnsoniqMixer] starter.exe
O4 - HKLM\..\Run: [Tweak UI] RUNDLL32.EXE TWEAKUI.CPL,TweakMeUp
O4 - HKLM\..\Run: [AVG_CC] C:\PROGRA~1\GRISOFT\AVG6\avgcc32.exe /STARTUP
O4 - HKLM\..\RunServices: [LoadPowerProfile] Rundll32.exe powrprof.dll,LoadCurrentPwrScheme
O4 - HKLM\..\RunServices: [Winmodem] Winmodem.101\wmexe.exe
O4 - HKLM\..\RunServices: [AvkServer] C:\PROGRA~1\AVK8\AvkServ.exe /systemstart
O4 - HKLM\..\RunServices: [Tweak UI] RUNDLL32.EXE TWEAKUI.CPL,TweakLogon
O4 - HKLM\..\RunServices: [Avgserv9.exe] C:\PROGRA~1\GRISOFT\AVG6\Avgserv9.exe
O4 - HKCU\..\Run: [System Update4] c:\windows\system\wupdmgr.exe
O4 - Startup: InterVideo WinCinema Manager.lnk = C:\Programme\InterVideo\Common\Bin\WinCinemaMgr.exe
O9 - Extra button: Related (HKLM)
O9 - Extra 'Tools' menuitem: Show &Related Links (HKLM)
O9 - Extra button: ICQ Pro (HKLM)
O9 - Extra 'Tools' menuitem: ICQ (HKLM)
O16 - DPF: {D27CDB6E-AE6D-11CF-96B8-444553540000} (Shockwave Flash Object) - http://download.macromedia.com/pub/s...sh/swflash.cab
O16 - DPF: {E855A2D4-987E-4F3B-A51C-64D10A7E2479} (EPSImageControl Class) - http://tools.ebayimg.com/eps/activex...trol_v1-32.cab
O16 - DPF: {33564D57-0000-0010-8000-00AA00389B71} - http://download.microsoft.com/downlo...22/wmv9VCM.CAB
O16 - DPF: {11111111-1111-1111-1111-111111111157} - ms-its:mhtml:file://c:\nosuch.mht!http://cashsearch.biz/legal/x.chm::/load.exe


Logfile of HijackThis v1.97.7
Scan saved at 15:25:21, on 26.05.04
Platform: Windows 98 SE (Win9x 4.10.2222A)
MSIE: Internet Explorer v5.00 (5.00.2614.3500)

Running processes:
C:\WINDOWS\SYSTEM\KERNEL32.DLL
C:\WINDOWS\SYSTEM\MSGSRV32.EXE
C:\WINDOWS\SYSTEM\MPREXE.EXE
C:\WINDOWS\SYSTEM\mmtask.tsk
C:\WINDOWS\SYSTEM\Winmodem.101\wmexe.exe
C:\PROGRAMME\AVK8\AVKSERV.EXE
C:\PROGRAMME\GRISOFT\AVG6\AVGSERV9.EXE
C:\WINDOWS\EXPLORER.EXE
C:\WINDOWS\TASKMON.EXE
C:\WINDOWS\SYSTEM\SYSTRAY.EXE
C:\WINDOWS\STARTER.EXE
C:\PROGRAMME\GRISOFT\AVG6\AVGCC32.EXE
C:\PROGRAMME\INTERVIDEO\COMMON\BIN\WINCINEMAMGR.EXE
C:\WINDOWS\SYSTEM\WMIEXE.EXE
C:\PROGRAMME\INTERNET EXPLORER\IEXPLORE.EXE
C:\WINDOWS\SYSTEM\PSTORES.EXE
C:\WINDOWS\DESKTOP\HIJACKTHIS.EXE

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://cashsearch.biz/redir.php
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://cashsearch.biz/redir.php
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = http://cashsearch.biz/redir.php
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://cashsearch.biz/redir.php
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://www.microsoft.com/isapi/redir...07&ar=iesearch
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Local Page = http://cashsearch.biz/redir.php
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Local Page = http://cashsearch.biz/redir.php
R3 - URLSearchHook: (no name) - {1C78AB3F-A857-482e-80C0-3A1E5238A565} - (no file)
F1 - win.ini: run=hpfsched
O2 - BHO: (no name) - {1C78AB3F-A857-482e-80C0-3A1E5238A565} - (no file)
O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINDOWS\SYSTEM\MSDXM.OCX
O3 - Toolbar: (no name) - {1C78AB3F-A857-482e-80C0-3A1E5238A565} - (no file)
O4 - HKLM\..\Run: [ScanRegistry] c:\windows\scanregw.exe /autorun
O4 - HKLM\..\Run: [TaskMonitor] c:\windows\taskmon.exe
O4 - HKLM\..\Run: [SystemTray] SysTray.Exe
O4 - HKLM\..\Run: [LoadPowerProfile] Rundll32.exe powrprof.dll,LoadCurrentPwrScheme
O4 - HKLM\..\Run: [EnsoniqMixer] starter.exe
O4 - HKLM\..\Run: [Tweak UI] RUNDLL32.EXE TWEAKUI.CPL,TweakMeUp
O4 - HKLM\..\Run: [AVG_CC] C:\PROGRA~1\GRISOFT\AVG6\avgcc32.exe /STARTUP
O4 - HKLM\..\RunServices: [LoadPowerProfile] Rundll32.exe powrprof.dll,LoadCurrentPwrScheme
O4 - HKLM\..\RunServices: [Winmodem] Winmodem.101\wmexe.exe
O4 - HKLM\..\RunServices: [AvkServer] C:\PROGRA~1\AVK8\AvkServ.exe /systemstart
O4 - HKLM\..\RunServices: [Tweak UI] RUNDLL32.EXE TWEAKUI.CPL,TweakLogon
O4 - HKLM\..\RunServices: [Avgserv9.exe] C:\PROGRA~1\GRISOFT\AVG6\Avgserv9.exe
O4 - HKCU\..\Run: [System Update4] c:\windows\system\wupdmgr.exe
O4 - Startup: InterVideo WinCinema Manager.lnk = C:\Programme\InterVideo\Common\Bin\WinCinemaMgr.exe
O9 - Extra button: Related (HKLM)
O9 - Extra 'Tools' menuitem: Show &Related Links (HKLM)
O9 - Extra button: ICQ Pro (HKLM)
O9 - Extra 'Tools' menuitem: ICQ (HKLM)
O16 - DPF: {D27CDB6E-AE6D-11CF-96B8-444553540000} (Shockwave Flash Object) - http://download.macromedia.com/pub/s...sh/swflash.cab
O16 - DPF: {E855A2D4-987E-4F3B-A51C-64D10A7E2479} (EPSImageControl Class) - http://tools.ebayimg.com/eps/activex...trol_v1-32.cab
O16 - DPF: {33564D57-0000-0010-8000-00AA00389B71} - http://download.microsoft.com/downlo...22/wmv9VCM.CAB
O16 - DPF: {11111111-1111-1111-1111-111111111157} - ms-its:mhtml:file://c:\nosuch.mht!http://cashsearch.biz/legal/x.chm::/load.exe

[ 26. Mai 2004, 15:53: Beitrag editiert von: Lardus ]

Ich habe gerade einen Threat zum gleichen Problem gefunden wo mmk diesen Link gepostet hat:

http://www.mathematik.uni-marburg.de...ompromise.html

Vielleicht kann ich mein Problem ja nun doch selbst lösen ...

Hi,

das bitte fixen:
alle Einträge in R0 + R1
O16 - DPF: {11111111-1111-1111-1111-111111111157} - ms-its:mhtml:file://c:\nosuch.mht!http://cashsearch.biz/legal/x.chm::/load.exe

unter weiters, wenn schon IE, dann update diesen mal auf die Version IE 6.0 SP1 (windowsupdate)

greetz
Blackdog

oder auch nicht :(

wäre prima wenn mir jemand weiterhelfen könnte

edit: ui, schon ne Antwort [img]smile.gif[/img]
mal sehen ob das hilft ...

</font><blockquote>Zitat:</font><hr />Original erstellt von BLACKDOG:
Hi,

das bitte fixen:
alle Einträge in R0 + R1
O16 - DPF: {11111111-1111-1111-1111-111111111157} - ms-its:mhtml:file://c:\nosuch.mht!http://cashsearch.biz/legal/x.chm::/load.exe

unter weiters, wenn schon IE, dann update diesen mal auf die Version IE 6.0 SP1 (windowsupdate)

greetz
Blackdog </font>[/QUOTE]Hat leider nicht geholfen,
log sieht nun so aus:

Logfile of HijackThis v1.97.7
Scan saved at 15:41:37, on 26.05.04
Platform: Windows 98 SE (Win9x 4.10.2222A)
MSIE: Internet Explorer v5.00 (5.00.2614.3500)

Running processes:
C:\WINDOWS\SYSTEM\KERNEL32.DLL
C:\WINDOWS\SYSTEM\MSGSRV32.EXE
C:\WINDOWS\SYSTEM\MPREXE.EXE
C:\WINDOWS\SYSTEM\mmtask.tsk
C:\WINDOWS\SYSTEM\Winmodem.101\wmexe.exe
C:\PROGRAMME\AVK8\AVKSERV.EXE
C:\PROGRAMME\GRISOFT\AVG6\AVGSERV9.EXE
C:\WINDOWS\EXPLORER.EXE
C:\WINDOWS\TASKMON.EXE
C:\WINDOWS\SYSTEM\SYSTRAY.EXE
C:\WINDOWS\STARTER.EXE
C:\PROGRAMME\GRISOFT\AVG6\AVGCC32.EXE
C:\PROGRAMME\INTERVIDEO\COMMON\BIN\WINCINEMAMGR.EXE
C:\WINDOWS\SYSTEM\WMIEXE.EXE
C:\WINDOWS\SYSTEM\PSTORES.EXE
C:\WINDOWS\DESKTOP\HIJACKTHIS.EXE

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://cashsearch.biz/redir.php
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://cashsearch.biz/redir.php
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = http://cashsearch.biz/redir.php
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://cashsearch.biz/redir.php
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Local Page = http://cashsearch.biz/redir.php
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Local Page = http://cashsearch.biz/redir.php
R3 - URLSearchHook: (no name) - {1C78AB3F-A857-482e-80C0-3A1E5238A565} - (no file)
F1 - win.ini: run=hpfsched
O2 - BHO: (no name) - {1C78AB3F-A857-482e-80C0-3A1E5238A565} - (no file)
O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINDOWS\SYSTEM\MSDXM.OCX
O3 - Toolbar: (no name) - {1C78AB3F-A857-482e-80C0-3A1E5238A565} - (no file)
O4 - HKLM\..\Run: [ScanRegistry] c:\windows\scanregw.exe /autorun
O4 - HKLM\..\Run: [TaskMonitor] c:\windows\taskmon.exe
O4 - HKLM\..\Run: [SystemTray] SysTray.Exe
O4 - HKLM\..\Run: [LoadPowerProfile] Rundll32.exe powrprof.dll,LoadCurrentPwrScheme
O4 - HKLM\..\Run: [EnsoniqMixer] starter.exe
O4 - HKLM\..\Run: [Tweak UI] RUNDLL32.EXE TWEAKUI.CPL,TweakMeUp
O4 - HKLM\..\Run: [AVG_CC] C:\PROGRA~1\GRISOFT\AVG6\avgcc32.exe /STARTUP
O4 - HKLM\..\RunServices: [LoadPowerProfile] Rundll32.exe powrprof.dll,LoadCurrentPwrScheme
O4 - HKLM\..\RunServices: [Winmodem] Winmodem.101\wmexe.exe
O4 - HKLM\..\RunServices: [AvkServer] C:\PROGRA~1\AVK8\AvkServ.exe /systemstart
O4 - HKLM\..\RunServices: [Tweak UI] RUNDLL32.EXE TWEAKUI.CPL,TweakLogon
O4 - HKLM\..\RunServices: [Avgserv9.exe] C:\PROGRA~1\GRISOFT\AVG6\Avgserv9.exe
O4 - HKCU\..\Run: [System Update4] c:\windows\system\wupdmgr.exe
O4 - Startup: InterVideo WinCinema Manager.lnk = C:\Programme\InterVideo\Common\Bin\WinCinemaMgr.exe
O9 - Extra button: Related (HKLM)
O9 - Extra 'Tools' menuitem: Show &Related Links (HKLM)
O9 - Extra button: ICQ Pro (HKLM)
O9 - Extra 'Tools' menuitem: ICQ (HKLM)
O16 - DPF: {D27CDB6E-AE6D-11CF-96B8-444553540000} (Shockwave Flash Object) - http://download.macromedia.com/pub/s...sh/swflash.cab
O16 - DPF: {E855A2D4-987E-4F3B-A51C-64D10A7E2479} (EPSImageControl Class) - http://tools.ebayimg.com/eps/activex...trol_v1-32.cab
O16 - DPF: {33564D57-0000-0010-8000-00AA00389B71} - http://download.microsoft.com/downlo...22/wmv9VCM.CAB


EDIT: vielleicht hilft das weiter, ich hab AVG Anti-Virus installiert, der hatte heute morgen als ich ihn laufen ließ ein paar Sachen gefunden, u.a. nen Trojaner in Windows/system.exe den er nicht entfernen konnte.
EDITEDIT: Dessen Name ist Trojan horse Startpage.5.AV

Hallo!

Editier dein erstes Posting und stern bitte den von dir eigangs erwähnten Link h**p://cashsearch.biz/redir.php wie hier zu sehen aus - dann klickt niemand drauf und fängt sich das gleiche nicht auch noch ein!

Platform: Windows 98 SE (Win9x 4.10.2222A)
MSIE: Internet Explorer v5.00 (5.00.2614.3500)

Du musst dringend dein System patchen - der IE 5.00 ist uralt und somit ein riesengroßes, surfendes Sicherheitsloch. Insbesondere, wenn du dich noch via Analogmodem einwählst, erhält dies hinsichtlich der Dialergefahr eine noch viel größere Bedeutung und somit Dringlichkeit für dich zu handeln.

Hier kannst du dir eine Update-CD bestellen (kostenfrei), den Rest dann über die Modemverbindung aus dem Internet laden und zukünftig mind. alle 14 Tage auf neue Updates prüfen (http://windowsupdate.microsoft.com).


C:\PROGRAMME\AVK8\AVKSERV.EXE
C:\PROGRAMME\GRISOFT\AVG6\AVGSERV9.EXE

Zwei Hintergrundvirenscanner sollten niemals parallel laufen!

Alle R0- und R1-Einträge markieren, dann "Fix checked" wählen. Vorher alle Internet-Explorer und Windows Explorer Fenster schließen!


Ebenso diese löschen:

R3 - URLSearchHook: (no name) - {1C78AB3F-A857-482e-80C0-3A1E5238A565} - (no file)
F1 - win.ini: run=hpfsched
O2 - BHO: (no name) - {1C78AB3F-A857-482e-80C0-3A1E5238A565} - (no file)
O3 - Toolbar: (no name) - {1C78AB3F-A857-482e-80C0-3A1E5238A565} - (no file)
O16 - DPF: {11111111-1111-1111-1111-111111111157} - ms-its:mhtml:file://c:\nosuch.mht!http://cashsearch.biz/legal/x.chm::/load.exe


Geh dann mal bitte in c:\windows\system\ und such dort nach der Datei namens wupdmgr.exe. Oder bemüh die Windows Dateisuche (&gt;Start &gt;Suchen). Wird eine gefunden, gib Bescheid (Nicht die Datei in c:\windows\, sondern in c:\windows\system\ ist von Interesse - bitte die Datei erstmal NICHT löschen!).

Probier doch mal Spybot Search & Destroy.

Windowsupdate bitte nicht vergessen.

greetz
Blackdog

</font><blockquote>Zitat:</font><hr />Original erstellt von Lardus:
EDIT: vielleicht hilft das weiter, ich hab AVG Anti-Virus installiert, der hatte heute morgen als ich ihn laufen ließ ein paar Sachen gefunden, u.a. nen Trojaner in Windows/system.exe den er nicht entfernen konnte.</font>[/QUOTE]Befindet sich besagte Datei noch immer im Windows-Ordner?

Dass der andere Scanner noch läuft wusste ich nicht, dachte ich hätte ihn ausgeschaltet, nun hab ich ihn deinstalliert.

Die Einträge die in mmks post standen hab ich gefixt, hat das Problem nicht behoben, die Datei wupdmgr.exe gibt es nur in c:\windows, nicht in c:\windows\system

Spybot Search & Destroy werd ich nun mal ausprobieren, wenn das alles wieder i.o. ist mach ich die updates.

</font><blockquote>Zitat:</font><hr />Original erstellt von mmk:
</font><blockquote>Zitat:</font><hr />Original erstellt von Lardus:
EDIT: vielleicht hilft das weiter, ich hab AVG Anti-Virus installiert, der hatte heute morgen als ich ihn laufen ließ ein paar Sachen gefunden, u.a. nen Trojaner in Windows/system.exe den er nicht entfernen konnte.</font>[/QUOTE]Befindet sich besagte Datei noch immer im Windows-Ordner? </font>[/QUOTE]Jap, die datei c:\windows\system.exe gibts noch

Edit: Nachfrage hat sich erledigt, da du schon drauf geantwortet hast.


Die Datei system.exe bitte löschen, ggf. dazu zuvor in den abgesicherten Modus wechseln!

Hallo Lardus,

hatte ähnliches Problem. Du kannst ja mal unter

Link

nachsehen, ob Dir der Lösungsweg, den ich schließllich gefunden habe, helfen würde.

Überprüfe doch mal die .del-Dateien im Ordner C:/Windows/System32/ des Tages, seitdem sich Deine Startseite nicht mehr verstellen lässt. Nachdem ich die bei mir im abgesicherten Modus gelöscht habe (Sicherheitskopien anlegen), ging's wieder. Evtl. müssen aber auch noch Werte in der Registry zurückgesetzt werden. Dazu lies Dir am besten nochmal den Thread (insb. den englischen Link dort) durch.

Also dann,
Gruß Chet

</font><blockquote>Zitat:</font><hr />Original erstellt von mmk:
Edit: Nachfrage hat sich erledigt, da du schon drauf geantwortet hast.


Die Datei system.exe bitte löschen, ggf. dazu zuvor in den abgesicherten Modus wechseln! </font>[/QUOTE]hab ich gemacht, danach nochmal mit hijackthis gefixt, hat nicht geholfen

Spybot S&D konnte ich eben nicht runterladen, ich schau mir mal chets Vorschlag an, danke dafür

Die Methode aus dem englischen Forum hat nicht funktioniert.

- er hat die mit dem Editor erstellte reg Datei nicht anerkannt

- ich habe im Regeditor HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Windows nicht gefunden (das letzte Windows gab es nicht), konnte somit dort auch nichts machen

Ich hatte dann nach DLLs gesucht die er heute erstellt hatte, habe 2 gefunden und mit killbox gelöscht, hatte aber nicht geholfen

langsam bin ich echt am verzeifeln ...

Nutz mal das Tool FindAll:

http://www10.brinkster.com/expl0iter...ast/pvtool.htm
http://forums.techguy.org/showpost.p...72&postcount=4