Trojaner-Board - Startseite automatisch immer greatsearch.biz

Trojaner-Board (https://www.trojaner-board.de/)

- Plagegeister aller Art und deren Bekämpfung (https://www.trojaner-board.de/plagegeister-aller-art-deren-bekaempfung/)

- - Startseite automatisch immer greatsearch.biz (https://www.trojaner-board.de/716-startseite-automatisch-immer-greatsearch-biz.html)

Hallo Ihr,

bin zwar erst neu hier, aber habe schon gleich ein Problem. ;) Na ja, so kommt man halt meist in ein solches Forum.

Seit ein zwei Tagen kann ich meine Startseite im IE 6.0 nicht mehr ändern. Immer wieder kommt greatsearch.biz.

Ich habe auch hier im Forum schonmal nachgesehen und folgendes bereits hinter mich gebracht:

AntiVir, Ad-Aware, Spybot, CWShredder jeweils geupdated und mehrfach drüberlaufen lassen.

Mit HJThis erhalte ich immer wieder diesen Log:

________________________________________________
Scan saved at 12:26:32, on 20.05.2004
Platform: Windows XP SP1 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP1 (6.00.2800.1106)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\spoolsv.exe
C:\Programme\AVPersonal\AVGNT.EXE
C:\Programme\PMail\WINPM-32.EXE
C:\Programme\AVPersonal\AVGUARD.EXE
C:\Programme\AVPersonal\AVWUPSRV.EXE
C:\Programme\Gemeinsame Dateien\Microsoft Shared\VS7Debug\mdm.exe
C:\WINDOWS\System32\nvsvc32.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\explorer.exe
C:\Programme\Internet Explorer\IEXPLORE.EXE
C:\Dokumente und Einstellungen\Björn Klein\Desktop\hjt.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://greatsearch.biz/
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://greatsearch.biz/
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = http://greatsearch.biz/
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://greatsearch.biz/
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Local Page = http://greatsearch.biz/
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Local Page = http://greatsearch.biz/
O2 - BHO: (no name) - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Programme\Adobe\Acrobat 6.0\Reader\ActiveX\AcroIEHelper.dll
O2 - BHO: (no name) - {53707962-6F74-2D53-2644-206D7942484F} - C:\Programme\Spybot - Search & Destroy\SDHelper.dll
O2 - BHO: (no name) - {AA58ED58-01DD-4d91-8333-CF10577473F7} - c:\programme\google\googletoolbar1.dll
O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINDOWS\System32\msdxm.ocx
O3 - Toolbar: &Google - {2318C2B1-4965-11d4-9B18-009027A5CD4F} - c:\programme\google\googletoolbar1.dll
O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\System32\NvCpl.dll,NvStartup
O4 - HKLM\..\Run: [AVGCtrl] C:\Programme\AVPersonal\AVGNT.EXE /min
O4 - Global Startup: Pegasus.lnk = ?
O8 - Extra context menu item: &Google Search - res://c:\programme\google\GoogleToolbar1.dll/cmsearch.html
O8 - Extra context menu item: Backward &Links - res://c:\programme\google\GoogleToolbar1.dll/cmbacklinks.html
O8 - Extra context menu item: Cac&hed Snapshot of Page - res://c:\programme\google\GoogleToolbar1.dll/cmcache.html
O8 - Extra context menu item: Nach Microsoft &Excel exportieren - res://C:\PROGRA~1\MICROS~4\Office10\EXCEL.EXE/3000
O8 - Extra context menu item: Si&milar Pages - res://c:\programme\google\GoogleToolbar1.dll/cmsimilar.html
O9 - Extra 'Tools' menuitem: Sun Java Konsole (HKLM)
O9 - Extra button: Messenger (HKLM)
O9 - Extra 'Tools' menuitem: Messenger (HKLM)
O14 - IERESET.INF: START_PAGE_URL=http://www.bild.t-online.de
O16 - DPF: {56336BCB-3D8A-11D6-A00B-0050DA18DE71} (RdxIE Class) - http://207.188.7.150/064e63b9ee2775e...dxIE601_de.cab
O16 - DPF: {62475759-9E84-458E-A1AB-5D2C442ADFDE} - http://a1540.g.akamai.net/7/1540/52/...eInstaller.exe
O16 - DPF: {9F1C11AA-197B-4942-BA54-47A8489BB47F} (Update Class) - http://v4.windowsupdate.microsoft.co...968.1974421296
O17 - HKLM\System\CCS\Services\Tcpip\..\{4DEB3477-C6FC-4534-B1DE-F4E689E6BD68}: NameServer = 217.237.149.161 194.25.2.129
_______________________________________________

Die R0 und R1 Einträge lassen sich immer nur temporär über ein paar Sekunden vernichten.

Auch über die Registry habe ich mein Glück versucht.
HKEY_LOCAL_MACHINE/SOFTWARE/Microsoft/Internet Explorer/Main und dort entstehen, was ich auch tu, immer wieder die Einträge Default_Page_URL, Local Page, Start Page jeweils mit dem Wert http://greatsearch.biz

Wäre sehr dankbar, wenn mir da jemand weiterhelfen könnte.

Liebe Grüße,
Chet

<blockquote>Zitat:<hr /> O16 - DPF: {56336BCB-3D8A-11D6-A00B-0050DA18DE71} (RdxIE Class) - http://207.188.7.150/064e63b9ee2775e...dxIE601_de.cab [/QUOTE]der kann raus hat aber mit dem getsearch nichts weiter zu tun denk ich

<blockquote>Zitat:<hr />O14 - IERESET.INF: START_PAGE_URL=http://www.bild.t-online.de [/QUOTE]gewollt?? wenn ja dann drinlassen
wenn nein fixen

um getsearch prob öhm joa ähh
also das log schaut sonst ziemlich sauber aus (jeder kann mal was übersehn)
und hier im forum findet man zu dem getsearch problem bisher auch keine richtige lösung :\

lösch mal alle cookies und temp inet files
wenn das nichts bringt installier mal den IE neu
und browserwechsel is natürlich zu empfehlen ;)

Hier habe ich eine Lösung auf Englisch gefunden. Viel Glück, da hast du dir scheinbar ein nettes Teil eingefangen.

http://computercops.biz/modules.php?...topic&p=133970

Andreas

PS Ich beziehe mich da auf das Posting von steamwiz ziemlich in der Mitte.

Hallo chet und Willkommen im Board,

Die folgenden Einträge müssen auf jeden Fall gefixt werden:

<blockquote>Zitat:<hr />R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = h**p://greatsearch.biz/
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = h**p://greatsearch.biz/
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = h**p://greatsearch.biz/
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = h**p://greatsearch.biz/
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Local Page = h**p://greatsearch.biz/
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Local Page = h**p://greatsearch.biz/ [/QUOTE] <blockquote>Zitat:<hr />AntiVir, Ad-Aware, Spybot, CWShredder jeweils geupdated und mehrfach drüberlaufen lassen.[/QUOTE]Hast Du das ganze im abgesicherten Modus schon versucht?

Mach das bitte einmal und poste dann ein neues Log...

@ lutz
<blockquote>Zitat:<hr />Die R0 und R1 Einträge lassen sich immer nur temporär über ein paar Sekunden vernichten. [/QUOTE]

Deswegen ja auch der 'Tipp' mit dem abgesicherten Modus... ;)

Hmm aso ok is klar ;)

aber glaub das würde es auch net behebn
hab mir mal den post von steamwiz da durchgelesen..
scheint relativ aufwendig zu entfernen zu sein :\

Spätestens DAS Problem würde mich zu einem Browser-Wechsel bringen. Ist ja bald nicht mehr wahr, was man als IE-Nutzer so alles durchmachen muss. ;(

Andreas

Vielen Dank für Eure vielfältigen Ratschläge!! Nachdem bislang alle Versuche fehlgeschlagen sind, (Im abgesicherten Modus ließen sich zwar die R1 und R0-Einträge dauerhaft löschen, kamen aber im Normalmodus wieder zurück) werde ich mich nun wohl an den etwas beschwerlichen Weg aus der Englisch-Anleitung machen.

Ich lass von mir hören. Einen schönen Himmelfahrtstag Euch erstmal noch!

Chet

<blockquote>Zitat:<hr />Original erstellt von Olo:
hab mir mal den post von steamwiz da durchgelesen..[/QUOTE]Ich auch. ;)
Immo bezieht sich das auf eine andere Hijacker-Variante (nämlich genau die, für den 'wir' den Cleaner entwickelt haben). Aber probieren kannst Du -chet- auf alle Fälle mal.

<blockquote>Zitat:<hr /> (Im abgesicherten Modus ließen sich zwar die R1 und R0-Einträge dauerhaft löschen, kamen aber im Normalmodus wieder zurück) [/QUOTE]Während des Surfens, oder schon vorher??

Naja, dann muss ja irgendwo ein versteckter Prozess laufen/geladen werden, der die Einträge wiederherstellt. Das HJT Log ist jedenfalls für meine Begriffe sauber.

Andreas

Juhu!!!

Es scheint, ich bin ihn los! Ich weiß, das sollte man nicht zu laut posten, aber es macht einen ganz guten Anschein.

Also die englische Variante war gar nicht so schwer, wie's zunächst den Anschein machte. Einziges Problem war, dass in meinem log jene besagte *.dll-Datei nicht auftauchte. Daher habe ich mich kurzerhand selbst auf die Suche gemacht in C:/Windows/system32, und drei *dll-Dateien, sowie einen ganzen Ordner und eine *.exe-Datei gefunden. Die habe ich in Quarantäne geschickt und dann im abgesicherten Modus liquidiert.

Anschließend ließen sich über hjt die R1 und R0-Einträge dauerhaft löschen und über die Internetoptionen auch wieder meine alte Startseite einrichten.

Und nun bin ich wieder im Netz und es scheint alles in Ordnung zu sein.

Nur nochmal zur Info:
Meine gelöschten Dateien hießen
clgkh.dll
shimgvwr.dll
system32.dll
appsys.exe
Der Ordner "Com" mit folgenden Dateien
comadmin.dll
comempty.dat
comexp.msc
comrepl.exe
comrereg.exe
mtsadmin.tlb

Mag sein, dass da jetzt völlig reguläre Dateien dabei waren, die ich sogar noch brauche. Wenn Ihr was wiedererkennt, lasst es mich wissen. system32.dll klingt ja z.B. irgendwie wichtig ;)

Also nochmal vielen, vielen Dank für Eure Hilfe!

LG
Chet

http://personal.cfw.com/~tkprit/files/filesdll.html
kleine *.dll liste

system32.dll ist imho nichts was dahin gehört ich weiß nur leider grad nicht mehr welche malware die erstellt :\

kannst die einzelnen dateien ja ma peer google suchenoft findest man sowas

<blockquote>Zitat:<hr /> Einziges Problem war, dass in meinem log jene besagte *.dll-Datei nicht auftauchte. [/QUOTE]ich glaube steamwiz hatte beschrieben das dieser hijacker nicht immer diesen einen beispielnamen benutzt sondern das der sich ändert

Hallo Olo,

habe mal nachgesehen bei google:

shimgvwr.dll
ist das Überbleibsel vom Trojaner "PWS-Banker, TrojanSpy.Win32.Banker.j" Aber der ist ansonsten schon ausgerottet bei mir.

appsys.exe
ist wohl auch ein Trojaner. Habe ich aber auf die Schnelle nichts näheres gefunden.

Der Com-Ordner gehörte wohl zu einem Sicherheitsupdate von Windows, das ich nach der Pleite in weiser Nachsicht geladen habe... ups.

<blockquote>Zitat:<hr /> ich glaube steamwiz hatte beschrieben das dieser hijacker nicht immer diesen einen beispielnamen benutzt sondern das der sich ändert[/QUOTE]Dadurch kam ich auf die Idee auf eigene Faust im system32-Ordner zu suchen.

Also dann,
LG
Chet