Hartnäckige Werbeeinblendung über csrss.exe
 

Moin zusammen!

Habe schon seit einiger Zeit das gleiche nervige Problem und komme einfach nicht weiter:

Ständig poppen verschiedene Fenster auf, die mich darüber informieren, mein PC wäre verseucht und ich müsste doch ganz dringend auf diese oder jene Internetseite gehen (z.B. http://regerror.com) um dieses Problem zu lösen.
Diese Fenster mit dem Titel "Nachrichtendienst" gehen alle vom csrss.exe Prozess aus.
Ich habe mein System schon mit Antivir, Spybot S&D und Adaware gecheckt, aber egal was ich mache, diese Fenster kommen immer wieder und das teilweise mehrmals in der Minute.

Ich hoffe also, dass mir jemand nen Tipp geben kann, wie ich das in den Griff bekomme.

@DFens
Bitte Hijackthis herunterladen, nach der Anleitung Scan-Log erstellen, hier posten.
Bitte alle Links im Log deaktivieren (z.B. h**p statt http)
Benutzername unerkennbar machen.

Hier das log:

Logfile of HijackThis v1.99.1
Scan saved at 21:15:33, on 26.05.2005
Platform: Windows XP (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 (6.00.2600.0000)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\spoolsv.exe
C:\Programme\AVPersonal\AVGUARD.EXE
C:\Programme\AVPersonal\AVWUPSRV.EXE
C:\WINDOWS\System32\nvsvc32.exe
C:\WINDOWS\System32\PGPsdkServ.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\ZoneLabs\vsmon.exe
C:\WINDOWS\Explorer.EXE
C:\WINDOWS\SOUNDMAN.EXE
C:\Programme\Gemeinsame Dateien\Real\Update_OB\realsched.exe
C:\Programme\Java\j2re1.4.2_04\bin\jusched.exe
C:\WINDOWS\System32\LVCOMSX.EXE
C:\Programme\Logitech\Video\LogiTray.exe
C:\Programme\QuickTime\qttask.exe
C:\Programme\NVIDIA Corporation\NvMixer\NVMixerTray.exe
C:\Programme\Zone Labs\ZoneAlarm\zlclient.exe
C:\Programme\NetLimiter\NetLimiter.exe
C:\Programme\iTunes\iTunesHelper.exe
C:\Programme\AVPersonal\AVGNT.EXE
C:\WINDOWS\System32\ctfmon.exe
C:\Programme\BOINC\boincmgr.exe
C:\Programme\iPod\bin\iPodService.exe
C:\Programme\Logitech\Video\FxSvr2.exe
C:\Programme\BOINC\boinc.exe
C:\PROGRA~1\ICQ\ICQ.exe
D:\eDonkey2000\edonkey2000.exe
C:\Programme\Winamp\Winamp.exe
C:\Dokumente und Einstellungen\realname\Desktop\no23_Recorder.exe
C:\mIRC\mirc.exe
C:\Programme\BOINC\projects\setiathome.berkeley.edu\setiathome_4.09_windows_intelx86.exe
C:\Programme\MYIE2\MyIE.exe
C:\Programme\WinRAR\WinRAR.exe
C:\DOKUME~1\NAME\LOKALE~1\Temp\Rar$EX00.953\HijackThis.exe

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = about:blank
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = about:blank
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = about:blank
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Bar = about:blank
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = about:blank
R1 - HKCU\Software\Microsoft\Internet Explorer\Search,Default_Search_URL = about:blank
R1 - HKCU\Software\Microsoft\Internet Explorer\Search,SearchAssistant = about:blank
R1 - HKCU\Software\Microsoft\Internet Explorer\Search,CustomizeSearch = about:blank
R0 - HKLM\Software\Microsoft\Internet Explorer\Search,SearchAssistant = about:blank
R0 - HKLM\Software\Microsoft\Internet Explorer\Search,CustomizeSearch = about:blank
O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Programme\Adobe\Acrobat 7.0\ActiveX\AcroIEHelper.dll
O2 - BHO: (no name) - {53707962-6F74-2D53-2644-206D7942484F} - C:\Programme\Spybot - Search & Destroy\SDHelper.dll
O2 - BHO: (no name) - {B3E2A64F-61F8-4C86-A831-6C25439207BC} - C:\WINDOWS\System32\msfke.dll (file missing)
O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINDOWS\System32\msdxm.ocx
O4 - HKLM\..\Run: [Mirabilis ICQ] C:\PROGRA~1\ICQ\ICQNet.exe
O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\System32\NvCpl.dll,NvStartup
O4 - HKLM\..\Run: [nwiz] nwiz.exe /install
O4 - HKLM\..\Run: [NvMediaCenter] RUNDLL32.EXE C:\WINDOWS\System32\NvMcTray.dll,NvTaskbarInit
O4 - HKLM\..\Run: [SoundMan] SOUNDMAN.EXE
O4 - HKLM\..\Run: [TkBellExe] "C:\Programme\Gemeinsame Dateien\Real\Update_OB\realsched.exe" -osboot
O4 - HKLM\..\Run: [SunJavaUpdateSched] C:\Programme\Java\j2re1.4.2_04\bin\jusched.exe
O4 - HKLM\..\Run: [NeroCheck] C:\WINDOWS\system32\NeroCheck.exe
O4 - HKLM\..\Run: [LVCOMSX] C:\WINDOWS\System32\LVCOMSX.EXE
O4 - HKLM\..\Run: [LogitechVideoRepair] C:\Programme\Logitech\Video\ISStart.exe
O4 - HKLM\..\Run: [LogitechVideoTray] C:\Programme\Logitech\Video\LogiTray.exe
O4 - HKLM\..\Run: [KernelFaultCheck] %systemroot%\system32\dumprep 0 -k
O4 - HKLM\..\Run: [QuickTime Task] "C:\Programme\QuickTime\qttask.exe" -atboottime
O4 - HKLM\..\Run: [Logitech Hardware Abstraction Layer] KHALMNPR.EXE
O4 - HKLM\..\Run: [NVMixerTray] "C:\Programme\NVIDIA Corporation\NvMixer\NVMixerTray.exe"
O4 - HKLM\..\Run: [Zone Labs Client] "C:\Programme\Zone Labs\ZoneAlarm\zlclient.exe"
O4 - HKLM\..\Run: [NetLimiter] C:\Programme\NetLimiter\NetLimiter.exe /s
O4 - HKLM\..\Run: [iTunesHelper] "C:\Programme\iTunes\iTunesHelper.exe"
O4 - HKLM\..\Run: [AVGCtrl] C:\Programme\AVPersonal\AVGNT.EXE /min
O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\ctfmon.exe
O4 - Startup: BOINC Manager.lnk = C:\Programme\BOINC\boincmgr.exe
O4 - Global Startup: Adobe Reader - Schnellstart.lnk = C:\Programme\Adobe\Acrobat 7.0\Reader\reader_sl.exe
O8 - Extra context menu item: Download with GetRight - C:\Programme\GetRight\GRdownload.htm
O8 - Extra context menu item: Nach Microsoft &Excel exportieren - res://C:\PROGRA~1\MICROS~2\Office10\EXCEL.EXE/3000
O8 - Extra context menu item: Open with GetRight Browser - C:\Programme\GetRight\GRbrowse.htm
O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programme\Java\j2re1.4.2_04\bin\npjpi142_04.dll
O9 - Extra 'Tools' menuitem: Sun Java Konsole - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programme\Java\j2re1.4.2_04\bin\npjpi142_04.dll
O9 - Extra button: ICQ Pro - {6224f700-cba3-4071-b251-47cb894244cd} - C:\PROGRA~1\ICQ\ICQ.exe
O9 - Extra 'Tools' menuitem: ICQ - {6224f700-cba3-4071-b251-47cb894244cd} - C:\PROGRA~1\ICQ\ICQ.exe
O16 - DPF: {0D6709DD-4ED8-40CA-B459-2757AEEF7BEE} (Dldrv2 Control) - h**p://download.gigabyte.com.tw/object/Dldrv.ocx
O16 - DPF: {11111111-1111-1111-1111-111111113457} - file://c:\ied_s7.cab
O16 - DPF: {11111111-1111-1111-1111-511111113457} - file://c:\x.cab
O16 - DPF: {31B7EB4E-8B4B-11D1-A789-00A0CC6651A8} (Cult3D ActiveX Player) - h**p://www.cult3d.com/download/cult.cab
O16 - DPF: {56336BCB-3D8A-11D6-A00B-0050DA18DE71} (RdxIE Class) - h**p://software-dl.real.com/07670eaec8807a937619/netzip/RdxIE601_de.cab
O16 - DPF: {6414512B-B978-451D-A0D8-FCFDF33E833C} (WUWebControl Class) - h**p://v5.windowsupdate.microsoft.com/v5consumer/V5Controls/en/x86/client/wuweb_site.cab?1105181379812
O16 - DPF: {A18962F6-E6ED-40B1-97C9-1FB36F38BFA8} (Aurigma Image Uploader 3.0 Control) - h**p://www.fotoporto.de/templates/default/ImageUploader3.cab
O17 - HKLM\System\CCS\Services\Tcpip\..\{1B48F8A7-1BFF-43A9-A367-8275C9422D8D}: NameServer = 69.50.188.180,195.225.176.31
O17 - HKLM\System\CCS\Services\Tcpip\..\{47099207-B41B-408A-B4A3-F73C8E1A53F2}: NameServer = 69.50.188.180,195.225.176.31
O17 - HKLM\System\CCS\Services\Tcpip\..\{B5CDD4E2-3802-497E-8744-C3DD26CFC298}: NameServer = 69.50.188.180,195.225.176.31
O17 - HKLM\System\CCS\Services\Tcpip\..\{DAED8C32-6F81-457A-B095-631D7AF31CAD}: NameServer = 69.50.188.180 195.225.176.31
O17 - HKLM\System\CS1\Services\Tcpip\..\{1B48F8A7-1BFF-43A9-A367-8275C9422D8D}: NameServer = 69.50.188.180,195.225.176.31
O17 - HKLM\System\CS2\Services\Tcpip\..\{1B48F8A7-1BFF-43A9-A367-8275C9422D8D}: NameServer = 69.50.188.180,195.225.176.31
O23 - Service: AntiVir Service (AntiVirService) - H+BEDV Datentechnik GmbH - C:\Programme\AVPersonal\AVGUARD.EXE
O23 - Service: AntiVir Update (AVWUpSrv) - H+BEDV Datentechnik GmbH, Germany - C:\Programme\AVPersonal\AVWUPSRV.EXE
O23 - Service: iPod Service (iPodService) - Apple Computer, Inc. - C:\Programme\iPod\bin\iPodService.exe
O23 - Service: NVIDIA Display Driver Service (NVSvc) - NVIDIA Corporation - C:\WINDOWS\System32\nvsvc32.exe
O23 - Service: PGPsdkService (PGPsdkServ) - PGP Corporation - C:\WINDOWS\System32\PGPsdkServ.exe
O23 - Service: TrueVector Internet Monitor (vsmon) - Zone Labs Inc. - C:\WINDOWS\system32\ZoneLabs\vsmon.exe

1. Du sollst dein Name unnkentlich machen :lach:

C:\Programme\BOINC\boincmgr.exe

kennst du das? wenn nein http://virusscan.jotti.org/de/

O2 - BHO: (no name) - {B3E2A64F-61F8-4C86-A831-6C25439207BC} - C:\WINDOWS\System32\msfke.dll (file missing)
O16 - DPF: {0D6709DD-4ED8-40CA-B459-2757AEEF7BEE} (Dldrv2 Control) - h**p://download.gigabyte.com.tw/object/Dldrv.ocx
O16 - DPF: {11111111-1111-1111-1111-511111113457} - file://c:\x.cab
O16 - DPF: {11111111-1111-1111-1111-111111113457} - file://c:\ied_s7.cab

fixen

und Alle 017 einträge Fixen! (Mit Hijack)

Das ist völlig ok!

C:\Programme\BOINC\boincmgr.exe - BOINC ist der Nachfolger der SETI@Home Plattform.

Werde das fix mal versuchen...done...mal sehen obs geholfen hat!

ok sag uns dann ob die nervige werbung weg ist.
Wenn nein mach bitte eScan

:balla:

Das nenne ich gemein: Alles nach Anleitung getan, aber nach 10 sek kam wieder das schon bekannte dumme Werbefenster. Also habe ich das Ungeziefer immer noch auf dem Rechner :heulen:

@ combine

Wenn du Ratschläge geben möchtest freut mich das.Du solltest dir aber 100% sicher sein.Ansonsten bringt das hier keinem was.


@DFens
Fixe diesen Eintrag nicht!

Scanne dein System zunächst mit Escan und teile uns die Ergebnisse mit.
In deinem Log sind zwar Kleinigkeiten auffällig aber lass uns das lieber via Escan gegenprüfen.

Tja, zu spät, habe ich bereits getan.

Aber ich werde jetzt erstmal escan laufen lassen und melde mich dann mit dem Ergebnis zurück.

Das mit dem fixen wahr schon ok.Hatte mich da etwas verlesen, zum 2ten mal heute-verdammt.;)

Der Scan sollte im abgesicherten Modus bei deaktivierter Systemwiederherstellung laufen.

Habe escan durchlaufen lassen, aber mir ist nicht klar, welchen Teil das logs ich posten soll. Das sind insgesamt nämlcih 540 Seiten... :daumenhoc

Habe 2 Funde rauskopiert:

Thu May 26 22:10:51 2005 => File C:\WINDOWS\System32\winlogon32.exe infected by "Trojan-Dropper.Win32.Agent.jt" Virus! Action Taken: No Action Taken.

Thu May 26 22:06:03 2005 => Offending value found in HKLM\Software\microsoft\downloadmanager !!!
Thu May 26 22:06:31 2005 => Object "AltNet Spyware/Adware" found in File System! Action Taken: No Action Taken.

Options Selected by User:
Memory Check: Enabled
Registry Check: Enabled
StartUp Folder Check: Enabled
System Folder Check: Enabled
System Area Check: Disabled
Services Check: Enabled
Drive Check Option Disabled
Folder Check: Disabled

Total Objects Scanned: 21889
Total Virus(es) Found: 2
Total Disinfected Files: 0
Total Files Renamed: 0
Total Deleted Objects: 0
Total Errors: 44
Time Elapsed: 00:10:21
Virus Database Date: 2005/05/26
Virus Database Count: 131774

Lese hier das Kapitel zur Finde.bat:
http://www.trojaner-board.de/showthread.php?t=17492

Also fuer mich klingt das ganze einwenig anders: der "Nachrichtendienst" ist ein Windows-Service, welcher es erlaubt eben so formatierte Meldungen über das Netzwerk zu verschicken.
Dieser ist unter Systemsteuerung/Verwaltung/Services zu finden und kann normalerweise problemlos gestoppt bzw. überhaupt DISABLED werden. Ab WindowsXP/SP2 sollte dies durch das Update automatisch passiert sein. D.h. der betroffene PC ist nicht am aktuellsten stand (oder der "Nachrichtendienst" Service wurde explizit wieder aktiviert). Nach dem stoppen und disablen dieses Services sollte die Belästigung zu ende sein!