|
Probleme mit Home Search Assistent & Co. Hallo an alle, hab' mir letzte Woche ein paar nervige Trojaner eingefangen, von denen ich einen Teil zum Glück schon losgeworden bin, aber das "nette" Trio Home Search Assistent, Search Extender und Shopping Wizard werde ich einfach nicht los. Kurzzeitig waren sie schon mal aus der Software-Liste raus, aber nach jedem Internet-Besuch sind sie wieder da, meine drei Probleme. Ad-aware und Spybot erkennen sie jedesmal, ich lösche sie, aber beim nächsten Mal sind sie wieder drauf. CWShredder sagt, mein System sei sauber, das kann aber nicht stimmen. Hab' mein aktuelles HijackThis-Logfile angehängt und wäre sehr froh, wenn mir jemand helfen könnte. Ein paar dieser Einträge kommen mir ziemlich suspekt vor, aber ich will mal lieber nicht wild drauflos löschen, soooo viel Ahnung hab' ich dann doch nicht. Vielen Dank schonmal! Logfile of HijackThis v1.98.2 Scan saved at 13:10:59, on 22.09.2004 Platform: Windows XP (WinNT 5.01.2600) MSIE: Internet Explorer v6.00 (6.00.2600.0000) Running processes: C:\WINDOWS\System32\smss.exe C:\WINDOWS\system32\winlogon.exe C:\WINDOWS\system32\services.exe C:\WINDOWS\system32\lsass.exe C:\WINDOWS\system32\svchost.exe C:\WINDOWS\System32\svchost.exe C:\WINDOWS\Explorer.EXE C:\Programme\Gemeinsame Dateien\Symantec Shared\ccSetMgr.exe C:\Programme\Gemeinsame Dateien\Symantec Shared\ccEvtMgr.exe C:\WINDOWS\System32\brsvc01a.exe C:\WINDOWS\system32\spoolsv.exe C:\WINDOWS\System32\brss01a.exe C:\WINDOWS\System32\NILaunch.exe C:\Programme\Roxio\WinOnCD 5 PE\DirectCD\DirectCD.exe C:\Programme\Gemeinsame Dateien\Real\Update_OB\realsched.exe C:\Programme\Gemeinsame Dateien\Symantec Shared\ccApp.exe C:\WINDOWS\System32\vpc32.exe C:\WINDOWS\System32\ctfmon.exe C:\Programme\Messenger\msmsgs.exe C:\Dokumente und Einstellungen\A\Anwendungsdaten\xz??.exe C:\Programme\Gemeinsame Dateien\Real\Update_OB\rnathchk.exe C:\Programme\Norton AntiVirus\navapsvc.exe C:\WINDOWS\system32\pctspk.exe C:\Programme\Norton AntiVirus\SAVScan.exe C:\WINDOWS\Windows Update.log:xtzrk C:\WINDOWS\netop.exe C:\Dokumente und Einstellungen\A\Lokale Einstellungen\Temp\Temporäres Verzeichnis 10 für hijackthis1982.zip\HijackThis.exe R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Bar = res://C:\WINDOWS\vipup.dll/sp.html#29126 R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = res://C:\WINDOWS\vipup.dll/sp.html#29126 R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = about:blank R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = res://C:\WINDOWS\vipup.dll/sp.html#29126 R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Bar = res://C:\WINDOWS\vipup.dll/sp.html#29126 R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = res://C:\WINDOWS\vipup.dll/sp.html#29126 R1 - HKCU\Software\Microsoft\Internet Explorer\Search,SearchAssistant = res://C:\WINDOWS\vipup.dll/sp.html#29126 R0 - HKLM\Software\Microsoft\Internet Explorer\Search,SearchAssistant = R0 - HKLM\Software\Microsoft\Internet Explorer\Search,CustomizeSearch = R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page_bak = about:blank R1 - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings,ProxyOverride = http://localhost; R3 - Default URLSearchHook is missing O2 - BHO: (no name) - {378AE8EE-0426-C141-F3C8-F6BD25766BFA} - C:\WINDOWS\iegh.dll O2 - BHO: NAV Helper - {BDF3E430-B101-42AD-A544-FADC6B084872} - C:\Programme\Norton AntiVirus\NavShExt.dll O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINDOWS\System32\msdxm.ocx O4 - HKLM\..\Run: [CountrySelection] pctptt.exe O4 - HKLM\..\Run: [Net-It Launcher] C:\WINDOWS\System32\NILaunch.exe O4 - HKLM\..\Run: [AdaptecDirectCD] "C:\Programme\Roxio\WinOnCD 5 PE\DirectCD\DirectCD.exe" O4 - HKLM\..\Run: [TkBellExe] C:\Programme\Gemeinsame Dateien\Real\Update_OB\realsched.exe -osboot O4 - HKLM\..\Run: [ccApp] "C:\Programme\Gemeinsame Dateien\Symantec Shared\ccApp.exe" O4 - HKLM\..\Run: [Microsoft Update] vpc32.exe O4 - HKLM\..\Run: [netop.exe] C:\WINDOWS\netop.exe O4 - HKLM\..\RunServices: [Microsoft Update] vpc32.exe O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\ctfmon.exe O4 - HKCU\..\Run: [MSMSGS] "C:\Programme\Messenger\msmsgs.exe" /background O4 - HKCU\..\Run: [Sbbd] C:\Dokumente und Einstellungen\A\Anwendungsdaten\xz??.exe O4 - HKCU\..\Run: [Bpwpeyak] C:\WINDOWS\System32\?hkdsk.exe O4 - HKCU\..\Run: [Microsoft Update] vpc32.exe O9 - Extra button: (no name) - {CD67F990-D8E9-11d2-98FE-00C0F0318AFE} - (no file) O14 - IERESET.INF: START_PAGE_URL=http://www.megware.de O15 - Trusted Zone: *.05p.com O15 - Trusted Zone: *.scoobidoo.com O15 - Trusted Zone: *.searchmiracle.com O17 - HKLM\System\CCS\Services\Tcpip\..\{31F0A51D-D08E-443C-B9E5-DA7C303F05C2}: NameServer = 139.18.25.3 O19 - User stylesheet: (file missing) |
Scanne mal im abgesicherten Modus mit eScan: http://www.trojaner-board.de/showthread.php?t=6083 Anschließend erstelle und poste ein neues HijackThis-Log. |
OK, ist erledigt ... hier mein neues HijackThis-Logfile: Logfile of HijackThis v1.98.2 Scan saved at 22:02:40, on 22.09.2004 Platform: Windows XP (WinNT 5.01.2600) MSIE: Internet Explorer v6.00 (6.00.2600.0000) Running processes: C:\WINDOWS\System32\smss.exe C:\WINDOWS\system32\winlogon.exe C:\WINDOWS\system32\services.exe C:\WINDOWS\system32\lsass.exe C:\WINDOWS\system32\svchost.exe C:\WINDOWS\System32\svchost.exe C:\Programme\Gemeinsame Dateien\Symantec Shared\ccSetMgr.exe C:\WINDOWS\Explorer.EXE C:\Programme\Gemeinsame Dateien\Symantec Shared\ccEvtMgr.exe C:\WINDOWS\System32\brsvc01a.exe C:\WINDOWS\system32\spoolsv.exe C:\WINDOWS\System32\brss01a.exe C:\WINDOWS\System32\NILaunch.exe C:\Programme\Roxio\WinOnCD 5 PE\DirectCD\DirectCD.exe C:\Programme\Gemeinsame Dateien\Real\Update_OB\realsched.exe C:\Programme\Gemeinsame Dateien\Symantec Shared\ccApp.exe C:\WINDOWS\System32\ctfmon.exe C:\Programme\Messenger\msmsgs.exe C:\Dokumente und Einstellungen\A\Anwendungsdaten\xz??.exe C:\Programme\Norton AntiVirus\navapsvc.exe C:\WINDOWS\Windows Update.log:xtzrk C:\WINDOWS\system32\pctspk.exe C:\Programme\Norton AntiVirus\SAVScan.exe C:\WINDOWS\System32\wuauclt.exe C:\Dokumente und Einstellungen\A\Lokale Einstellungen\Temp\Temporäres Verzeichnis 16 für hijackthis1982.zip\HijackThis.exe C:\Programme\Gemeinsame Dateien\Real\Update_OB\rnathchk.exe R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Bar = res://C:\WINDOWS\vipup.dll/sp.html#29126 R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = res://C:\WINDOWS\vipup.dll/sp.html#29126 R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = about:blank R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = res://C:\WINDOWS\vipup.dll/sp.html#29126 R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Bar = res://C:\WINDOWS\vipup.dll/sp.html#29126 R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = res://C:\WINDOWS\vipup.dll/sp.html#29126 R1 - HKCU\Software\Microsoft\Internet Explorer\Search,SearchAssistant = res://C:\WINDOWS\vipup.dll/sp.html#29126 R0 - HKLM\Software\Microsoft\Internet Explorer\Search,SearchAssistant = R0 - HKLM\Software\Microsoft\Internet Explorer\Search,CustomizeSearch = R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page_bak = about:blank R1 - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings,ProxyOverride = http://localhost; R3 - Default URLSearchHook is missing O2 - BHO: (no name) - {1F9F0150-0C22-FA76-7428-8EB8540D4AA4} - C:\WINDOWS\system32\ieez32.dll O2 - BHO: NAV Helper - {BDF3E430-B101-42AD-A544-FADC6B084872} - C:\Programme\Norton AntiVirus\NavShExt.dll O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINDOWS\System32\msdxm.ocx O4 - HKLM\..\Run: [CountrySelection] pctptt.exe O4 - HKLM\..\Run: [Net-It Launcher] C:\WINDOWS\System32\NILaunch.exe O4 - HKLM\..\Run: [AdaptecDirectCD] "C:\Programme\Roxio\WinOnCD 5 PE\DirectCD\DirectCD.exe" O4 - HKLM\..\Run: [TkBellExe] C:\Programme\Gemeinsame Dateien\Real\Update_OB\realsched.exe -osboot O4 - HKLM\..\Run: [ccApp] "C:\Programme\Gemeinsame Dateien\Symantec Shared\ccApp.exe" O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\ctfmon.exe O4 - HKCU\..\Run: [MSMSGS] "C:\Programme\Messenger\msmsgs.exe" /background O4 - HKCU\..\Run: [Sbbd] C:\Dokumente und Einstellungen\A\Anwendungsdaten\xz??.exe O14 - IERESET.INF: START_PAGE_URL=http://www.megware.de O17 - HKLM\System\CCS\Services\Tcpip\..\{31F0A51D-D08E-443C-B9E5-DA7C303F05C2}: NameServer = 139.18.25.3 |
Zitat:
Hast du wirklich im abgesicherten Modus gescannt? Normalerweise müsste eScan den TrojanDownloader.Win32.Agent.bq von der Platte gefegt haben! |
ja, ich war ziemlich nachlässig mit dem Updaten ... dafür hab' ich jetzt auch den Salat (obwohl ich kürzlich was Aktuelles bei MS runtergezogen habe, aber der IE muss noch aktualisiert werden. Ist es ratsam, das jetzt zu machen, wo mir diese suspekten Teile auf dem Rechner rumgeistern?). Zumindest bin ich mir relativ sicher, den abgesicherten Modus genutzt zu haben, also beim Hochfahren F8 gedrückt und dann eScan ausgeführt, wie es hier in dem anderen Thread beschrieben war. Der Scan hat mir auch Win32Agent angezeigt und die entsprechenden Dateien gelöscht. Danach hab' ich das HijackThis-Logfile erstellt. ich hab' mir soeben mal das Log von dem gestrigen eScan genauer zu Gemüte geführt und, wie gesagt, den schon erwähnten Win32.Agent (in den Varianten .an, .bq, .bc und .cd - keine Ahnung, ob das wichtig ist) gefunden. Dann waren da noch einige Einträge für Backdoor.Rbot.gen - und alles, was ich von diesen "Backdoor"-Teilen hier im Forum lesen konnte, klang nicht so nett. Ich hoffe, ich hab' alles richtig gemacht, ansonsten bitte ich um weitere Tipps ... Danke Euch erstmal für die Mühe! Grüße, Kermit79 |
Sende diese Dateien: C:\Dokumente und Einstellungen\A\Anwendungsdaten\xz??.exe C:\WINDOWS\system32\ieez32.dll an partytime-germany.ice@web.de Es handelt sich wahrscheinlich hier um neue Malware, die noch nicht erkannt wird. Anschließend lösche die Dateien im abgesicherten Modus. Fixe mit HijackThis dies: R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Bar = res://C:\WINDOWS\vipup.dll/sp.html#29126 R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = res://C:\WINDOWS\vipup.dll/sp.html#29126 R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = about:blank R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = res://C:\WINDOWS\vipup.dll/sp.html#29126 R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Bar = res://C:\WINDOWS\vipup.dll/sp.html#29126 R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = res://C:\WINDOWS\vipup.dll/sp.html#29126 R1 - HKCU\Software\Microsoft\Internet Explorer\Search,SearchAssistant = res://C:\WINDOWS\vipup.dll/sp.html#29126 R3 - Default URLSearchHook is missing O2 - BHO: (no name) - {1F9F0150-0C22-FA76-7428-8EB8540D4AA4} - C:\WINDOWS\system32\ieez32.dll O4 - HKCU\..\Run: [Sbbd] C:\Dokumente und Einstellungen\A\Anwendungsdaten\xz??.exe Schützen kannst du dich z. B. mit einem anderen Browser: www.firefox-browser.de ist sicher und kostenlos. Siehe auch: www.mozilla.kairo.at www.opera.com |
@ Christian: das würde ich gern, aber die genannten Dateien kann ich an den angegebenen Stellen nicht finden, auch "Suchen" war ergebnislos. Die Einträge habe ich wie beschrieben gefixt, im Moment habe ich auch Ruhe, ich weiß bloß nicht, ob sie trügerisch ist ... Na mal sehen. Vielen Dank und Grüße, Kermit79 |
Hast du in den Ordneroptionen vor "Alle Dateien anzeigen" und "Geschützte Systemdateien anzeigen" ein Häckchen? |
Du hattest Recht, ich hatte "Alle Dateien anzeigen" und "Geschützte Systemdateien verbergen" aktiviert, aus diesem Grunde konnte ich die erste nicht sehen. Jetzt ist sie zwar da, lässt sich aber nicht verschicken. Ist angeblich kein gültiger Dateiname, wenn ich sie als mail-Anhang verpacken will. Nr. 2 ist leider immer noch nicht da, eventuell hab' ich sie mit Ad-aware, Spybot oder eScan schon kleingemacht. |
Zitat:
|
So, jetzt dürfte es geklappt haben, ich habe in einem Aktenkoffer eine Kopie erstellt und diese verschickt. Grüße an alle! |
War ein TrojanDownloader. Poste mal ein neues HijackThis-Log. |
Hab' zwischenzeitlich nochmal ein eScan durchlaufen lassen, der hat schon wieder 15 Einträge zu Win32.Agent gefunden. Nun ja, hier also das aktuelle Logfile: Logfile of HijackThis v1.98.2 Scan saved at 22:08:33, on 24.09.2004 Platform: Windows XP (WinNT 5.01.2600) MSIE: Internet Explorer v6.00 (6.00.2600.0000) Running processes: C:\WINDOWS\System32\smss.exe C:\WINDOWS\system32\winlogon.exe C:\WINDOWS\system32\services.exe C:\WINDOWS\system32\lsass.exe C:\WINDOWS\system32\svchost.exe C:\WINDOWS\System32\svchost.exe C:\WINDOWS\Explorer.EXE C:\Programme\Gemeinsame Dateien\Symantec Shared\ccSetMgr.exe C:\Programme\Gemeinsame Dateien\Symantec Shared\ccEvtMgr.exe C:\WINDOWS\System32\brsvc01a.exe C:\WINDOWS\system32\spoolsv.exe C:\WINDOWS\System32\brss01a.exe C:\WINDOWS\System32\NILaunch.exe C:\Programme\Roxio\WinOnCD 5 PE\DirectCD\DirectCD.exe C:\Programme\Gemeinsame Dateien\Real\Update_OB\realsched.exe C:\Programme\Gemeinsame Dateien\Symantec Shared\ccApp.exe C:\WINDOWS\System32\ctfmon.exe C:\Programme\Messenger\msmsgs.exe C:\Programme\Norton AntiVirus\navapsvc.exe C:\WINDOWS\system32\pctspk.exe C:\Programme\Norton AntiVirus\SAVScan.exe C:\WINDOWS\System32\wuauclt.exe C:\Dokumente und Einstellungen\A\Lokale Einstellungen\Temp\Temporäres Verzeichnis 26 für hijackthis1982.zip\HijackThis.exe R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Bar = res://C:\WINDOWS\system32\eieor.dll/sp.html#29126 R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = res://C:\WINDOWS\system32\eieor.dll/sp.html#29126 R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = res://C:\WINDOWS\system32\eieor.dll/sp.html#29126 R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Bar = res://C:\WINDOWS\system32\eieor.dll/sp.html#29126 R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = res://C:\WINDOWS\system32\eieor.dll/sp.html#29126 R1 - HKCU\Software\Microsoft\Internet Explorer\Search,SearchAssistant = res://C:\WINDOWS\system32\eieor.dll/sp.html#29126 R0 - HKLM\Software\Microsoft\Internet Explorer\Search,SearchAssistant = R0 - HKLM\Software\Microsoft\Internet Explorer\Search,CustomizeSearch = R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page_bak = about:blank R1 - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings,ProxyOverride = http://localhost; O2 - BHO: NAV Helper - {BDF3E430-B101-42AD-A544-FADC6B084872} - C:\Programme\Norton AntiVirus\NavShExt.dll O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINDOWS\System32\msdxm.ocx O4 - HKLM\..\Run: [CountrySelection] pctptt.exe O4 - HKLM\..\Run: [Net-It Launcher] C:\WINDOWS\System32\NILaunch.exe O4 - HKLM\..\Run: [AdaptecDirectCD] "C:\Programme\Roxio\WinOnCD 5 PE\DirectCD\DirectCD.exe" O4 - HKLM\..\Run: [TkBellExe] C:\Programme\Gemeinsame Dateien\Real\Update_OB\realsched.exe -osboot O4 - HKLM\..\Run: [ccApp] "C:\Programme\Gemeinsame Dateien\Symantec Shared\ccApp.exe" O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\ctfmon.exe O4 - HKCU\..\Run: [MSMSGS] "C:\Programme\Messenger\msmsgs.exe" /background O14 - IERESET.INF: START_PAGE_URL=http://www.megware.de O17 - HKLM\System\CCS\Services\Tcpip\..\{31F0A51D-D08E-443C-B9E5-DA7C303F05C2}: NameServer = 139.18.25.3 |
Fixe dies: R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Bar = res://C:\WINDOWS\system32\eieor.dll/sp.html#29126 R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = res://C:\WINDOWS\system32\eieor.dll/sp.html#29126 R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = res://C:\WINDOWS\system32\eieor.dll/sp.html#29126 R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Bar = res://C:\WINDOWS\system32\eieor.dll/sp.html#29126 R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = res://C:\WINDOWS\system32\eieor.dll/sp.html#29126 R1 - HKCU\Software\Microsoft\Internet Explorer\Search,SearchAssistant = res://C:\WINDOWS\system32\eieor.dll/sp.html#29126 Beobachte dies mal genau. Lass dann ab und an mal wieder mit eScan scannen. |
Zitat:
Wenn du dich weiterhin nur auf deine Scheinsicherheitssoftware verlässt, dann bist du verlassen. Viel Glück beim täglichen Kampf! :headbang: btw: Manche lernen es eben nie! EOD |
| Alle Zeitangaben in WEZ +1. Es ist jetzt 00:37 Uhr. |
Copyright ©2000-2025, Trojaner-Board