Hallo!

Jetzt hat es mich auch erwischt - oder besser mein PC ... ich hab das eine oder andere hier schon durchgelesen und weiß, daß Ihr genaue Informationen braucht, um helfen zu können. Und ich wäre echt dankbar Hilfe zu bekommen.
Also:
Logfile of HijackThis v1.97.7
Scan saved at 05:00:58, on 04.04.2004
Platform: Windows ME (Win9x 4.90.3000)
MSIE: Internet Explorer v5.50 (5.50.4134.0100)

Running processes:
C:\WINDOWS\SYSTEM\KERNEL32.DLL
C:\WINDOWS\SYSTEM\MSGSRV32.EXE
C:\WINDOWS\SYSTEM\mmtask.tsk
C:\WINDOWS\SYSTEM\MPREXE.EXE
C:\WINDOWS\SYSTEM\MSTASK.EXE
C:\WINDOWS\SYSTEM\STIMON.EXE
C:\WINDOWS\EXPLORER.EXE
C:\WINDOWS\TASKMON.EXE
C:\WINDOWS\SYSTEM\SYSTRAY.EXE
C:\WINDOWS\SM56HLPR.EXE
C:\PROGRAMME\REAL\REALPLAYER\REALPLAY.EXE
C:\WINDOWS\SYSTEM\RESTORE\STMGR.EXE
C:\WINDOWS\SYSTEM\LXSUPMON.EXE
C:\WINDOWS\SYSTEM\SPOOL32.EXE
C:\PROGRAMME\DICTIONARY4FREE\FREEDICT.EXE
C:\WINDOWS\SYSTEM\WMIEXE.EXE
C:\WINDOWS\OEMCFOS2\CFOSINST.EXE
C:\PROGRAMME\AVPERSONAL\AVGCTRL.EXE
C:\WINDOWS\SYSTEM\LEXBCES.EXE
C:\PROGRAMME\MESSENGER\MSMSGS.EXE
C:\PROGRAMME\AIM95\AIM.EXE
C:\WINDOWS\SYSTEM32\WINPROC32.EXE
C:\WINDOWS\SYSTEM\RPCSS.EXE
C:\AOL 6.0A\AOLTRAY.EXE
C:\PROGRAMME\ULTIMATEZIP 2.7\UZQKST.EXE
C:\AOL 6.0A\WAOL.EXE
C:\WINDOWS\SYSTEM\RNAAPP.EXE
C:\WINDOWS\SYSTEM\TAPISRV.EXE
C:\WINDOWS\SYSTEM\DDHELP.EXE
C:\WINDOWS\SYSTEM\PSTORES.EXE
C:\EIGENE DATEIEN\INFORMATIONEN\HIJACKTHIS.EXE

R1 - HKCU\Software\Microsoft\Internet Explorer,SearchURL = http://4-counter.com/?a=2
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Bar = http://4-counter.com/?a=2
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = http://4-counter.com/?a=2
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://4-counter.com/
R1 - HKCU\Software\Microsoft\Internet Explorer\Search,SearchAssistant = http://4-counter.com/?a=2
R1 - HKLM\Software\Microsoft\Internet Explorer,SearchURL = http://4-counter.com/?a=2
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.xyesearch.com
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Bar = http://4-counter.com/?a=2
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = http://4-counter.com/?a=2
R0 - HKLM\Software\Microsoft\Internet Explorer\Search,SearchAssistant = http://4-counter.com/?a=2
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,SearchAssistant = http://searchbar.findthewebsiteyouneed.com/
O2 - BHO: (no name) - {02478D38-C3F9-4efb-9B51-7695ECA05670} - C:\PROGRAMME\YAHOO!\MESSENGER\YCOMP.DLL
O2 - BHO: (no name) - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\PROGRAMME\ADOBE\ACROBAT 5.0\READER\ACTIVEX\ACROIEHELPER.OCX
O3 - Toolbar: @msdxmLC.dll,-1@1031,&Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINDOWS\SYSTEM\MSDXM.OCX
O3 - Toolbar: &Google - {2318C2B1-4965-11d4-9B18-009027A5CD4F} - C:\WINDOWS\DOWNLOADED PROGRAM FILES\GOOGLENAV.DLL
O3 - Toolbar: &Yahoo! Companion - {EF99BD32-C1FB-11D2-892F-0090271D4F88} - C:\PROGRAMME\YAHOO!\MESSENGER\YCOMP.DLL
O4 - HKLM\..\Run: [ScanRegistry] C:\WINDOWS\scanregw.exe /autorun
O4 - HKLM\..\Run: [TaskMonitor] C:\WINDOWS\taskmon.exe
O4 - HKLM\..\Run: [PCHealth] C:\WINDOWS\PCHealth\Support\PCHSchd.exe -s
O4 - HKLM\..\Run: [SystemTray] SysTray.Exe
O4 - HKLM\..\Run: [SMSERIAL] sm56hlpr.exe
O4 - HKLM\..\Run: [RealTray] C:\Programme\Real\RealPlayer\RealPlay.exe SYSTEMBOOTHIDEPLAYER
O4 - HKLM\..\Run: [LoadPowerProfile] Rundll32.exe powrprof.dll,LoadCurrentPwrScheme
O4 - HKLM\..\Run: [LXSUPMON] C:\WINDOWS\SYSTEM\LXSUPMON.EXE RUN
O4 - HKLM\..\Run: [LexStart] Lexstart.exe
O4 - HKLM\..\Run: [LexmarkPrinTray] PrinTray.exe
O4 - HKLM\..\Run: [Synchronization Manager] mobsync.exe /logon
O4 - HKLM\..\Run: [Dictionary4Free] C:\PROGRAMME\DICTIONARY4FREE\FREEDICT.EXE AUTOSTART
O4 - HKLM\..\Run: [cFosInst_Check] C:\WINDOWS\OEMCFOS2\CFOSINST.EXE -install -loud
O4 - HKLM\..\Run: [AVGCtrl] C:\PROGRAMME\AVPERSONAL\AVGCTRL.EXE /min
O4 - HKLM\..\RunServices: [LoadPowerProfile] Rundll32.exe powrprof.dll,LoadCurrentPwrScheme
O4 - HKLM\..\RunServices: [SchedulingAgent] mstask.exe
O4 - HKLM\..\RunServices: [*StateMgr] C:\WINDOWS\System\Restore\StateMgr.exe
O4 - HKLM\..\RunServices: [StillImageMonitor] C:\WINDOWS\SYSTEM\STIMON.EXE
O4 - HKCU\..\Run: [MSMSGS] C:\Programme\Messenger\msmsgs.exe /background
O4 - HKCU\..\Run: [Yahoo! Pager] C:\PROGRA~1\YAHOO!\MESSEN~1\ypager.exe -quiet
O4 - HKCU\..\Run: [AIM] C:\PROGRAMME\AIM95\aim.exe -cnetwait.odl
O4 - HKCU\..\Run: [Windows Internet Protocol] C:\WINDOWS\SYSTEM32\WINPROC32.EXE
O4 - Startup: AOL 6.0 Tray Icon.lnk = C:\AOL 6.0a\aoltray.exe
O4 - Startup: UltimateZip Quick Start.lnk = C:\Programme\UltimateZip 2.7\uzqkst.exe
O6 - HKCU\Software\Policies\Microsoft\Internet Explorer\Control Panel present
O8 - Extra context menu item: Zur Filterliste hinzufügen (WebWasher) - http://-Web.Washer-/ie_add
O8 - Extra context menu item: &Google Search - res://C:\WINDOWS\DOWNLOADED PROGRAM FILES\GOOGLENAV.DLL/cmsearch.html
O8 - Extra context menu item: Cac&hed Snapshot of Page - res://C:\WINDOWS\DOWNLOADED PROGRAM FILES\GOOGLENAV.DLL/cmcache.html
O8 - Extra context menu item: Si&milar Pages - res://C:\WINDOWS\DOWNLOADED PROGRAM FILES\GOOGLENAV.DLL/cmsimilar.html
O8 - Extra context menu item: Backward &Links - res://C:\WINDOWS\DOWNLOADED PROGRAM FILES\GOOGLENAV.DLL/cmbacklinks.html
O9 - Extra button: Real.com (HKLM)
O9 - Extra button: Messenger (HKLM)
O9 - Extra 'Tools' menuitem: MSN Messenger Service (HKLM)
O9 - Extra button: AIM (HKLM)
O9 - Extra button: Yahoo! Messenger (HKLM)
O9 - Extra 'Tools' menuitem: Yahoo! Messenger (HKLM)
O16 - DPF: {D27CDB6E-AE6D-11CF-96B8-444553540000} (Shockwave Flash Object) - http://download.macromedia.com/pub/s...sh/swflash.cab
O16 - DPF: {166B1BCA-3F9C-11CF-8075-444553540000} (Shockwave ActiveX Control) - http://download.macromedia.com/pub/s...or/sw-intl.cab
O16 - DPF: {6CB5E471-C305-11D3-99A8-000086395495} (Google Activate) - http://toolbar.google.com/data/de/de.../GoogleNav.cab
O16 - DPF: Yahoo! Chat - http://us.chat1.yimg.com/us.yimg.com.../c381/chat.cab

was davon muß ich jetzt alles löschen?

Lieber Gruß, Grinsekatze

Ich bekomme die Augen noch nicht so ganz auf, aber alle R0 und R1 mal fixen.

InternetExplorer (und Windows) unbedingt updaten (und über den gebrauch eines weniger unsicheren Browsers nachdenken)

//Nachtrag
Un eigentlich solltet Du auch schreiben WAS Dein Problem ist, irgendwie ein bisserl blöd zu sagen ich habe ein Problem und nun macht mal :D

In meinen Augen (soweit sie aufgehen) ist auch das Sammeln jedes Messengers den Du finden konntest .... [img]graemlins/crazy.gif[/img]

</font><blockquote>Zitat:</font><hr />...eine oder andere hier schon durchgelesen...</font>[/QUOTE]sehr löblich [img]graemlins/daumenhoch.gif[/img]

[ 04. April 2004, 10:11: Beitrag editiert von: Shadow ]

uuups ... sorry! Aber ich dachte, daß Ihr hier so pfiffig seid, daß *mein Problem* ersichtlich wird aus dem Befall: ich kann meinen IE nicht mehr bedienen - sprich: die Funktion *Optionen* is verschwunden und es geht eine andere Seite als Startseite auf ...

Danke für die schnelle Hilfe - trotz noch nicht ganz offener Augen ;)

Gruß,

Grinsekatze

Welche "Optionen" ?

Die "Internetoptionen" ?


Domino

1.) Welche Optionen (siehe Domino)
2.) Hat das fixen der R1 und R0 (aller!) geholfen?

Hallo! [img]smile.gif[/img]

Ja - ich meinte die Optionen unter *Extras* beim IE ... also nicht alles, aber ich kann keine Startseite mehr festlegen.

Ich habe alle R gelöscht und den neusten IE runtergeladen. Der Virenscanner zeigt auch keine Viren oder Trojaner mehr an. Aber dafür erzählt er mir jetzt das:

C:\WINDOWS\SYSTEM32
winproc32.exe
WARNUNG! Ungültige Startadresse!
C:\WINDOWS\Temporary Internet Files\Content.IE5\KPIJK5UZ
wmv9dmo[1].cab
ArchiveType: CAB (Microsoft)
--&gt; wmv9dmo.inf
HINWEIS! Der Archivheader ist defekt
--&gt; WMV9DMOD.DLL
HINWEIS! Der Archivheader ist defekt
C:\WINDOWS\Temporary Internet Files\Content.IE5\DHAZEQ5F
ppctlcab[1].cab
ArchiveType: CAB (Microsoft)
--&gt; OSD2F4.OSD
HINWEIS! Der Archivheader ist defekt
--&gt; ppctl.dll
HINWEIS! Der Archivheader ist defekt
C:\WINDOWS\Temporary Internet Files\Content.IE5\4TCV2DGD
Filme1[1].zip
ArchiveType: ZIP
HINWEIS! Das Archiv ist unbekannt oder defekt

Entschuldigt bitte, wenn ich mich nicht so klar ausdrücke, aber ich mache das zum ersten Mal ... und es ist auch das erste Mal, daß ich Trojaner auf dem PC hatte.

Sind die Archive denn irgendwie zu reparieren?

Lieber Gruß von der Grinsekatze

... und bei den Favoriten schleichen sich dauernd links ein, die ich nie und nimmer abgespeichert habe :( ...

di archive sind bestimmt nicht defekt, sondern dort überflüssig. was du machen kannst, ist mal deine temporären internet dateien zu löschen (tif´s) und auch mal deine temp-ordner leeren.

am besten du machst mal eine datenträgerbereinigung.

hast du den coolwebsearch installiert? (ich weiß nicht wozu diese datei hier gehört: winproc32.exe)

</font><blockquote>Zitat:</font><hr /> hast du den coolwebsearch installiert? (ich weiß nicht wozu diese datei hier gehört: winproc32.exe) </font>[/QUOTE]Nein, das hab ich nicht installiert und wozu die .exe gehört, weiß ich auch nicht ...

Aber ich mach jetzt erst mal die Datenträgerbereinigung ...

Danke! [img]smile.gif[/img]

</font><blockquote>Zitat:</font><hr /> O4 - HKCU\..\Run: [Windows Internet Protocol] C:\WINDOWS\SYSTEM32\WINPROC32.EXE </font>[/QUOTE]wenn du das hier nicht kennst, dann bitte fixen und die datei erstx in den papierkorb verschieben (noch nicht löschen)

danach lade dir den coolwebsearch runter (hier im board gibt´s die downloadseiten und erklärungen) und lasse dein system damit nochmals überprüfen.

scanne dein system auch mal mit spybot & destroy und/oder adaware. ;)

Also diese Datei sieht nach Spyware aus.

http://www.kephyr.com/spywarescanner...32/index.phtml

Björn

Ich würd erstmal Ad-aware und Spybot drüber laufen lassen:

http://www.chip.de/downloads/c_downloads_8833064.html
http://www.chip.de/downloads/c_downloads_8833199.html

Beide Programme sind kostenlos und auf Deutsch erhältlich. Bei Ad-aware musst du zusätzlich noch eine deutsche Sprachdatei installieren.

Edit: Upps, da war wohl jemand schneller.

</font><blockquote>Zitat:</font><hr />Original erstellt von mav1976:
hast du den coolwebsearch installiert? (ich weiß nicht wozu diese datei hier gehört: winproc32.exe) </font>[/QUOTE]Hört sich in der Tat nach CWS an.

@Grinsekatze:
Scan die Datei mal online unter http://www.kaspersky.com/scanforvirus.html

Gruß [img]graemlins/daumenhoch.gif[/img]
Yopie

Hab ich gemacht - scheint aber ok zu sein

"Current object: winproc32.exe

winproc32.exe Packed: FSG
winproc32.exe Ok"

Ihr seid echt klasse hier! [img]smile.gif[/img] Muß jetzt erst mal Pause machen. Komm aber später wieder her.

Na, Kaspersky erkennt auch nicht jeden Müll.

Ich wette, dass die Datei nicht in Ordnung ist.

</font><blockquote>Zitat:</font><hr />Original erstellt von Grinsekatze:
Hab ich gemacht - scheint aber ok zu sein
</font>[/QUOTE]Mmmh, komisch. Unbedingt auch die Hinweise von Mav1976, Lucky und *Christian* beachten.

Hier gibts den CWShredder.

Gruß [img]graemlins/daumenhoch.gif[/img]
Yopie

Die Datei winproc32.exe scheint auf jeden Fall Spyware zu sein.
Aber: Spybot und Ad-aware erkennen diese Datei nicht.
So wäre es schon sinnvoll, die infizierte Datei zu reden, bevor CWS alles platt macht. :D ;)

Hallo!
Als Neuling kann ich soweit helfen, dass ich vor ein paar Tagen ebenfalls ein Browser Hijacking hatte und die winproc32.exe gehört definitiv dazu und hat zumindest bei mir nach dem Löschen keinerlei anderen Wert gehabt.

Leider bin ich in meinem Thread (Thema: Browser Hijacker Winproc32 )
http://www.trojaner-board.de/forum/u...c;f=6;t=005105
auch noch nicht ganz zum Erfolg gekommen ;-(

Hi *Christian*,

hab Dir die Datei geschickt! [img]smile.gif[/img]

Ich hab jetzt einiges gemacht von Euren Vorschlägen, aber irgendwie nutz alles nix .... die Startseite wird weiter umgeleitet und wenn ich on war sind die Einträge in den Favoriten wieder da und die R1 und R0 auch :(

und diese exe ist irgendwie mehr als hartnäckig und kommt immer wieder ... aber Trojaner werden mir keine mehr angezeigt - heißt das, daß DIE wenigstens weg sind? Sorry, kenn mich echt nicht soo gut damit aus ...

Gruß,

Grinsekatze

hi grinsekatze,

poste uns doch mal den inhalt deiner win.ini bzw. deiner system.ini

irgendein startaufruf muß dort drinstehen, daß diese sachen immer wiederkommen.

Also ... ich sitz jetzt seit heute morgen 5:00, oder so, fast ununterbrochen vor der Kiste [img]graemlins/balla.gif[/img] ... *ggg* ... ich hab mir jetzt einfach einen anderen Browser runtergeladen und werde den dämlichen IE deaktivieren....

Diese exe - Datei hat sich nur im abgesicherten Modus in den Papierkorb verschieben lassen ... da is sie auch immer noch. Kann ich die jetzt einfach löschen, oder besser nicht?

Ansonsten nochmal vielen Dank für Eure Mühe und die Zeit, die Ihr Euch genommen habt! [img]graemlins/daumenhoch.gif[/img]

Gruß von der Katz ;)

hi grinsekatze,

nochmal, falls du mein posting überlesen hast:

</font><blockquote>Zitat:</font><hr />Original erstellt von mav1976:
poste uns doch mal den inhalt deiner win.ini bzw. deiner system.ini

irgendein startaufruf muß dort drinstehen, daß diese sachen immer wiederkommen. </font>[/QUOTE]

@mav1976

meinst Du den Inhalt des Systemsordners - also *system* oder *system32* :confused:
Gruß,

Grinsekatze

Ich sehe von mav keine Frage nach "Systemordner" (kann mich aber auchgetäuscht haben), nur nach system.ini und win.ini, beide sollten im Windows-(System)-Verzeichnis zu finden sein, im normalfall also unter c:\windows
Sind beide (versteckte?) System-DATEIEN

Danke, Shadow *g* ...

Also hier ist schon mal der Inhalt der sytem.ini:

boot]
shell=Explorer.exe
system.drv=system.drv
drivers=mmsystem.dll power.drv
user.exe=user.exe
gdi.exe=gdi.exe
sound.drv=mmsound.drv
dibeng.drv=dibeng.dll
comm.drv=comm.drv
mouse.drv=mouse.drv
keyboard.drv=keyboard.drv
oemfonts.fon=vga850.fon
*DisplayFallback=0
fixedfon.fon=vgafix.fon
fonts.fon=vgasys.fon
386Grabber=vgafull.3gr
display.drv=pnpdrvr.drv
scrnsave.exe=C:\WINDOWS\WOLFORD.SCR

[keyboard]
keyboard.dll=
oemansi.bin=xlat850.bin
subtype=
type=4

[boot.description]
system.drv=Standard-PC
mouse.drv=Standardmaus
keyboard.typ=Standard (101/102 Tasten) oder Microsoft Natural Keyboard
aspect=100,96,96
display.drv=NVIDIA RIVA TNT2 Model 64/Model 64 Pro

[386Enh]
ebios=*ebios
mouse=*vmouse, msmouse.vxd
device=*dynapage
device=*vcd
device=*vpd
device=*int13
woafont=app850.fon
EMMExclude=C000-CFFF
display=*vdd,*vflatd
WPSLPT1=0

[NonWindowsApp]
TTInitialSizes=4 5 6 7 8 9 10 11 12 13 14 15 16 18 20 22

[power.drv]

[drivers]
wavemapper=*.drv
MSACM.imaadpcm=*.acm
MSACM.msadpcm=*.acm
wave=mmsystem.dll
midi=mmsystem.dll

[iccvid.drv]

[mciseq.drv]

[mci]
cdaudio=mcicda.drv
sequencer=mciseq.drv
waveaudio=mciwave.drv
avivideo=mciavi.drv
videodisc=mcipionr.drv
vcr=mcivisca.drv
MPEGVideo=mciqtz.drv
MPEGVideo2=mciqtz.drv

[vcache]

[MSNP32]


[Display]

[drivers32]
msacm.lhacm=lhacm.acm
VIDC.VDOM=vdowave.drv
msacm.msaudio1=msaud32.acm
msacm.sl_anet=sl_anet.acm
MSACM.msg711=msg711.acm
vidc.CVID=iccvid.dll
VIDC.IV31=ir32_32.dll
VIDC.IV32=ir32_32.dll
vidc.MSVC=msvidc32.dll
VIDC.MRLE=msrle32.dll
VIDC.IV50=ir50_32.dll
msacm.iac2=C:\WINDOWS\SYSTEM\IAC25_32.AX
msacm.l3acm=C:\WINDOWS\SYSTEM\L3CODECA.ACM
msacm.msg723=msg723.acm
vidc.M263=msh263.drv
vidc.M261=msh261.drv
MSACM.imaadpcm=imaadp32.acm
MSACM.msadpcm=msadp32.acm
MSACM.msgsm610=msgsm32.acm
MSACM.trspch=tssoft32.acm
VIDC.CVID=iccvid.dll
VIDC.WMV3=wmv9vcm.dll

Da braucht man nur mal ein paar Viren oder Trojaner aus seinem PC und schon lernt man seinen PC von einer ganz anderen Seite kennen ... *lach* ... so ärgerlich das alles ist, so spannend ist es aber auch ;)

danke grinsekatze. ;)

hmm.... kann aber dort nichts verdächtiges sehen, was dich von dem übel befreien könnte. :(

schau doch mal nach in der "hosts"-datei nach, was dort drinsteht. lasse diese datei mal auf deinem system suchen. (eventuell ist diese auch versteckt)
normal steht meistens nur "
127.0.0.1 localhost" drin.

[ 05. April 2004, 19:42: Beitrag editiert von: mav1976 ]

Hallo mav! [img]smile.gif[/img]

Mittlerweile hab ich noch 3 dialer entdeckt, die ich gleich entfernt habe, aber der IE spinnt trotzdem. Benutze seit gestern einen anderen Browser.

In der hosts - Datei stand in der Tat nix Spannendes - nur eine Erklärung, wofür sie ist -mehr nicht.

Vielleicht findet *Christian* ja auch noch etwas über diese ominöse exe.datei heraus ...

Wenn das alles nichts bringt - kann ich dann eigentlich demnächst den IE einfach deaktivieren, ohne das mir alles zusammenbricht? :confused: :D
Der neue Browser läuft nämlich sehr stabil und gefällt mir auch ganz gut.

Gruß,

Grinsekatze

Hab die Datei weitergeleitet.
Ich denk es handelt sich um Spyware oder einen Hijacker.

</font><blockquote>Zitat:</font><hr /> Der neue Browser läuft nämlich sehr stabil und gefällt mir auch ganz gut. </font>[/QUOTE]Und er ist vor allem viel sicherer als der IE.
Jedoch hast du dann trotzdem Malware auf deinen PC.

winproc32.exe ist ein Trojaner namens Pulez. Kaspersky erkennt ihn bereits als: Trojan.Win32.Pulez

Andere Hersteller sind ein bisschen langsamer.
AntiVir sollte diesen Schädling mit dem morgigen Update erkennen und hoffentlich auch entfernen können.

Hey, *Christian*! [img]smile.gif[/img]

Ich danke Dir!
Dann werde ich morgen mal meinen AntiVir updaten ... ähm .... findet er den auch, wenn der Trojaner im Papierkorb rumlungert (wo ich ihn hinverschoben habe), oder muß er wieder an seine ursprüngliche Stelle?

Lieber Gruß,

Grinsekatze

Morgen Grinsekatze! [img]smile.gif[/img]

Kannst du im Papierkorb lassen, ist auch nur ein versteckter Ordner! ;)
Da du ja auch noch Dialer gefunden hast, wäre es nach deinem "Problem" vielleicht angebracht, kompletten Systemcheck zu machen (Virenscanner: Kaspersky; Spybot hast du ja schon ;) ; YAW .

Dann sollte alles weg sein (Systemwiederherstellung mal deaktivieren)! [img]smile.gif[/img]

Ich hoffe, ich konnte dir helfen! ;)

[ 08. April 2004, 09:37: Beitrag editiert von: IT-Man ]

Hallo IT-Man! [img]smile.gif[/img]

Klar konntest Du mir helfen - wie überhaupt alle hier *g* ...

Der Trojaner ist jetzt gelöscht. Die Systemwiederherstellung deaktiviert - ABER ... die Internetoptionen des IE bleiben weiter ausgeblendet. Allerdings konnte ich auf meiner Lieblingsseite "*** als Startseite" anklicken und die Seite bleibt jetzt auch im IE ... nur die Internetoptionen selbst bleiben verschwunden.

Ich habe auch noch mal scandisc laufen lassen und es wurde einiges repariert.

Und mein AntiVir macht mich weiterhin auf beschädigte Archive aufmerksam (Temporäre Dateien)...

Kann ich da jetzt noch irgendetwas machen?

Lieber Gruß,

Grinsekatze

Hast du einmal versucht den IE zu reparieren:
Start, Einstellungen, Systemsteuerung, Software, IE-Explorer, löschen/entfernen, reparieren
Rudi

Hallo Rudi! [img]smile.gif[/img]

Nein, das hatte ich noch nicht probiert ... weil ich gar nicht wußte, daß es diese Funktion gibt *g* :rolleyes:

Hab ich jetzt aber gemacht - ohne Erfolg [img]graemlins/koch.gif[/img] ... leider ...

Lieber Gruß,

Grinsekatze

Ich seh gerade, du hast den IE 5.5! Installiere doch einfach mal den 6er drüber!
Rudi

[ 08. April 2004, 14:09: Beitrag editiert von: Rudi Carrera ]

Ja genau. Versuch mal den IE einfach drüber zu klatschen.
Download: http://www.microsoft.com/germany/ms/internet/ie6/

Also ... ich kann *klatschen* wie ich will :D - der IE6 hat sich zwar auf meinen PC laden lassen, fängt auch das setup an, kann es aber nicht beenden. Also nochmal Neustart, wieder *setup völlständig beenden* und ... nix. :mad:

Liegt das vielleicht daran, daß ich Morz.FireFox als Hauptbrowser eingerichtet habe? :confused:

Gruß,

Grinsekatze

Ach ja ... und Spybot läßt sich nicht updaten - hängt sich auf ... uff....

Na, daran, dass du den Firefox als Standart hast liegt es nicht.

Wechsel mal bei Spybot auf den Update-Server/Spiegel EON Australia.

Hallo *Christian*!

Der Spiegel hat sich nicht verändern lassen - jetzt hab ich Spybot deinstalliert und den IE 6 von einer CD, die ich noch hatte, überspielt. Das hat funktioniert, aber nichts an den ausgeblendeten Internetoptionen geändert ...

Heißt das jetzt, daß noch irgendwo etwas in meinem System sitzt oder ist einfach etwas durch die Trojaner futsch gegangen?

Lieber Gruß,

Grinsekatze

Vielleicht klappts ja jetzt mit Spybot, nachdem Du den IE6 installiert hast?

Kannst Du die Internetoptionen über die Systemsteuerung erreichen?

Gruß [img]graemlins/daumenhoch.gif[/img]
Yopie

Hi Yopie [img]smile.gif[/img]

Das mit Spybot werde ich später probieren. Und nein - ich komme so auch nicht an die Internetoptionen. Also - da geht auch nur das Fenster auf, in dem ich den IE generell einstellen kann ... aber nicht das Fenster, in dem ich die Startseite festlegen könnte und Cookies löschen usw. ...

Gruß,

Grinsekatze

Scheint als sei der Registryeintrag gelöscht.

Gut, dann eben die Hardcorelösung :D :
http://support.microsoft.com/default...d=kb;de;318378 .
Siehe Methode 2.
Der Artikel ist zwar eigentlich nur für XP, aber vielleicht funktioniert es auch unter ME! ;)

Danach den IE komplett nochmals neuinstallieren (kein Update von 5.5)!

Hi IT-man :D

Ich hab mir den Artikel kopiert - DAS trau ich mich dann doch nicht alleine und lasse lieber demnächst einen Bekannten an den PC *g* ... derweil wird es ja nichts machen, wenn ich mit meinem firefox unterwegs bin?!

Gruß,

Grinsekatze

Na, mit Firefox bist du auf jeden Fall besser beraten als mit dem IE.

Hi Grinsekatze,

stell doch bitte noch einmal ein neues, aktuelles HiJackThis-Log hier herein.

Dieser Eintrag sollte nämlich z.B. nach einem sauberen Deinstallieren von Sbybot nicht mehr vorhanden sein:
</font><blockquote>Zitat:</font><hr />O6 - HKCU\Software\Policies\Microsoft\Internet Explorer\Control Panel present</font>[/QUOTE]Gruß,
Lutz

Guten Morgen, Lutz [img]smile.gif[/img]

Hier noch mal ein Log (die R0 und R 1 sind erst wieder da, seitdem ich den IE von CD hochgeladen habe. Ich nehme an, die muß ich wieder fixen?):

Logfile of HijackThis v1.97.7
Scan saved at 08:38:21, on 10.04.2004
Platform: Windows ME (Win9x 4.90.3000)
MSIE: Internet Explorer v6.00 SP1 (6.00.2800.1106)

Running processes:
C:\WINDOWS\SYSTEM\KERNEL32.DLL
C:\WINDOWS\SYSTEM\MSGSRV32.EXE
C:\WINDOWS\SYSTEM\mmtask.tsk
C:\WINDOWS\SYSTEM\MPREXE.EXE
C:\WINDOWS\SYSTEM\MSTASK.EXE
C:\WINDOWS\SYSTEM\STIMON.EXE
C:\WINDOWS\TASKMON.EXE
C:\WINDOWS\SYSTEM\SYSTRAY.EXE
C:\WINDOWS\SM56HLPR.EXE
C:\PROGRAMME\REAL\REALPLAYER\REALPLAY.EXE
C:\WINDOWS\SYSTEM\RESTORE\STMGR.EXE
C:\WINDOWS\SYSTEM\LXSUPMON.EXE
C:\PROGRAMME\DICTIONARY4FREE\FREEDICT.EXE
C:\WINDOWS\SYSTEM\SPOOL32.EXE
C:\PROGRAMME\AVPERSONAL\AVGCTRL.EXE
C:\WINDOWS\SYSTEM\LEXBCES.EXE
C:\PROGRAMME\MESSENGER\MSMSGS.EXE
C:\AOL 6.0A\AOLTRAY.EXE
C:\PROGRAMME\ULTIMATEZIP 2.7\UZQKST.EXE
C:\WINDOWS\SYSTEM\RPCSS.EXE
C:\WINDOWS\SYSTEM\WMIEXE.EXE
C:\WINDOWS\SYSTEM\RNAAPP.EXE
C:\WINDOWS\SYSTEM\TAPISRV.EXE
C:\WINDOWS\EXPLORER.EXE
C:\EIGENE DATEIEN\INFORMATIONEN\HIJACKTHIS.EXE

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Bar = http://www.lycos.de/search/msie40.html
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.lycos.de/
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://www.lycos.de/
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Window Title = Microsoft Internet Explorer bereitgestellt von Lycos Europe
O2 - BHO: (no name) - {02478D38-C3F9-4efb-9B51-7695ECA05670} - C:\PROGRAMME\YAHOO!\MESSENGER\YCOMP.DLL
O2 - BHO: (no name) - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\PROGRAMME\ADOBE\ACROBAT 5.0\READER\ACTIVEX\ACROIEHELPER.OCX
O3 - Toolbar: &Google - {2318C2B1-4965-11d4-9B18-009027A5CD4F} - C:\WINDOWS\DOWNLOADED PROGRAM FILES\GOOGLENAV.DLL
O3 - Toolbar: &Yahoo! Companion - {EF99BD32-C1FB-11D2-892F-0090271D4F88} - C:\PROGRAMME\YAHOO!\MESSENGER\YCOMP.DLL
O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINDOWS\SYSTEM\MSDXM.OCX
O4 - HKLM\..\Run: [ScanRegistry] C:\WINDOWS\scanregw.exe /autorun
O4 - HKLM\..\Run: [TaskMonitor] C:\WINDOWS\taskmon.exe
O4 - HKLM\..\Run: [PCHealth] C:\WINDOWS\PCHealth\Support\PCHSchd.exe -s
O4 - HKLM\..\Run: [SystemTray] SysTray.Exe
O4 - HKLM\..\Run: [SMSERIAL] sm56hlpr.exe
O4 - HKLM\..\Run: [RealTray] C:\Programme\Real\RealPlayer\RealPlay.exe SYSTEMBOOTHIDEPLAYER
O4 - HKLM\..\Run: [LoadPowerProfile] Rundll32.exe powrprof.dll,LoadCurrentPwrScheme
O4 - HKLM\..\Run: [LXSUPMON] C:\WINDOWS\SYSTEM\LXSUPMON.EXE RUN
O4 - HKLM\..\Run: [LexStart] Lexstart.exe
O4 - HKLM\..\Run: [LexmarkPrinTray] PrinTray.exe
O4 - HKLM\..\Run: [Synchronization Manager] mobsync.exe /logon
O4 - HKLM\..\Run: [Dictionary4Free] C:\PROGRAMME\DICTIONARY4FREE\FREEDICT.EXE AUTOSTART
O4 - HKLM\..\Run: [cFosInst_Check] C:\WINDOWS\OEMCFOS2\CFOSINST.EXE -install -loud
O4 - HKLM\..\Run: [AVGCtrl] C:\PROGRAMME\AVPERSONAL\AVGCTRL.EXE /min
O4 - HKLM\..\RunServices: [LoadPowerProfile] Rundll32.exe powrprof.dll,LoadCurrentPwrScheme
O4 - HKLM\..\RunServices: [SchedulingAgent] mstask.exe
O4 - HKLM\..\RunServices: [*StateMgr] C:\WINDOWS\System\Restore\StateMgr.exe
O4 - HKLM\..\RunServices: [StillImageMonitor] C:\WINDOWS\SYSTEM\STIMON.EXE
O4 - HKCU\..\Run: [MSMSGS] C:\Programme\Messenger\msmsgs.exe /background
O4 - HKCU\..\Run: [Yahoo! Pager] C:\PROGRA~1\YAHOO!\MESSEN~1\ypager.exe -quiet
O4 - HKCU\..\Run: [AIM] C:\PROGRAMME\AIM95\aim.exe -cnetwait.odl
O4 - Startup: AOL 6.0 Tray Icon.lnk = C:\AOL 6.0a\aoltray.exe
O4 - Startup: UltimateZip Quick Start.lnk = C:\Programme\UltimateZip 2.7\uzqkst.exe
O6 - HKCU\Software\Policies\Microsoft\Internet Explorer\Control Panel present
O8 - Extra context menu item: Zur Filterliste hinzufügen (WebWasher) - http://-Web.Washer-/ie_add
O8 - Extra context menu item: &Google Search - res://C:\WINDOWS\DOWNLOADED PROGRAM FILES\GOOGLENAV.DLL/cmsearch.html
O8 - Extra context menu item: Cac&hed Snapshot of Page - res://C:\WINDOWS\DOWNLOADED PROGRAM FILES\GOOGLENAV.DLL/cmcache.html
O8 - Extra context menu item: Si&milar Pages - res://C:\WINDOWS\DOWNLOADED PROGRAM FILES\GOOGLENAV.DLL/cmsimilar.html
O8 - Extra context menu item: Backward &Links - res://C:\WINDOWS\DOWNLOADED PROGRAM FILES\GOOGLENAV.DLL/cmbacklinks.html
O9 - Extra button: Real.com (HKLM)
O9 - Extra button: Messenger (HKLM)
O9 - Extra 'Tools' menuitem: MSN Messenger Service (HKLM)
O9 - Extra button: AIM (HKLM)
O9 - Extra button: Yahoo! Messenger (HKLM)
O9 - Extra 'Tools' menuitem: Yahoo! Messenger (HKLM)
O9 - Extra button: Related (HKLM)
O9 - Extra 'Tools' menuitem: Show &Related Links (HKLM)
O14 - IERESET.INF: START_PAGE_URL=http://www.lycos.de/
O16 - DPF: {D27CDB6E-AE6D-11CF-96B8-444553540000} (Shockwave Flash Object) - http://download.macromedia.com/pub/s...sh/swflash.cab
O16 - DPF: {166B1BCA-3F9C-11CF-8075-444553540000} (Shockwave ActiveX Control) - http://download.macromedia.com/pub/s...or/sw-intl.cab
O16 - DPF: {6CB5E471-C305-11D3-99A8-000086395495} (Google Activate) - http://toolbar.google.com/data/de/de.../GoogleNav.cab
O16 - DPF: Yahoo! Chat - http://us.chat1.yimg.com/us.yimg.com.../c381/chat.cab
O16 - DPF: {74D05D43-3236-11D4-BDCD-00C04F9A3B61} (HouseCall-Kontrolle) - http://housecall.trendmicro-europe.c...ll/Xscan53.cab

Gruß,

Grinsekatze

Diese R1 und R0 kommen daher, dass Du eine "Lycos" Version des IE installiert hats, du kannst musst aber dies nicht fixen (ich würde es aber)

Brauchst Diu den ganzen AOL-Mist, die diversen Messenger, die ZIP-Quicklaunch, den Yahoo-Chat....

INFO : Anleitung & Erklärung von HijackThis

[ 10. April 2004, 09:50: Beitrag editiert von: Nangie ]

Moin
Hurra denn ich habe es geschafft. Habe das Problem gelöst:

ihr müsst erst auf START gehen und dann auf AUSFÜHREN dann müsst ihr den Befehl eingeben MSCONFIG
Danach SYSTEMSTART an klicken und in aus der Liste entfernen WINPROC 32 (ich meine das Häkchen )
dann kann er sich nicht mehr bei hochfahren des PC installieren

@Jörg62 Sollte man nicht vielleicht auch den Übeltäter selber entfernen? Nicht nur den Aufruf?^^
*Einfach so mal zum Nachdenken* :D

Moin Shadow

Ich habe Nachgedacht,und bin der Meinung wen mein PC jetzt ohne Probleme arbeitet,
und ihn das Programm nicht fehl. Dann kann das ja nicht so schlimm sein,
und besser kann ich es nicht

MFG
jörg

help me too!!!!


hey i am from holland, and i also found those tr/small-dld.ah.5 . anyone can explain how i can get rid of them. i have a bunch of trojans on my pc i think i dont know how i got them. a few i got: worm/bagle.k . tr/bispy.dll.b . tr/small-dld.ah.5 - tr/stubby tr/revop.c . some extra info: when i start my computer i cant see any icons and no task bar, like after 30 mins something pops up saying Project 1 It's Time! and then when i ctrl+alt+delete it the icons and task bar are back. and sometimes when im on the net i get like 50 pop ups of something www.seekseek.com.

someone please help!!! (in english!!)

answer here or add me on msn!!! (check profile)