  | |
| Startseite befallen | |
|
Von: huraxtax * am 21.08.2004 meine startseite öffnet immer mit einer seite die ich nicht weg bekomme (win xp home,ie 6) habe schon im forum gestöbert und die tipps befolgt aber keinen erfolgt es macht langsam keinen spass mehr habe xp seit 5 wochen und bin nur damit beschäftigt irgendwelche würmer,viren zu beseitigen hab im abgesicherten modus mein viren programm , spybot ,hijack this ,ad-aware laufen lassen nun die log datei von spybot SO Exploit: Data source object exploit (Registrierungsdatenbank-Änderung, nothing done) HKEY_USERS\S-1-5-18\Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\0\1004!=W=3 DSO Exploit: Data source object exploit (Registrierungsdatenbank-Änderung, nothing done) HKEY_USERS\S-1-5-21-514352727-451789597-4247568029-1005\Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\0\1004!=W=3 DSO Exploit: Data source object exploit (Registrierungsdatenbank-Änderung, nothing done) HKEY_USERS\S-1-5-20\Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\0\1004!=W=3 DSO Exploit: Data source object exploit (Registrierungsdatenbank-Änderung, nothing done) HKEY_USERS\S-1-5-19\Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\0\1004!=W=3 DSO Exploit: Data source object exploit (Registrierungsdatenbank-Änderung, nothing done) HKEY_USERS\.DEFAULT\Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\0\1004!=W=3 Common hijacker: Prefix change (Registrierungsdatenbank-Änderung, nothing done) HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\URL\Prefixes\www!=http:// Common hijacker: Prefix change (Registrierungsdatenbank-Änderung, nothing done) HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\URL\DefaultPrefix\!=http:// --- Spybot - Search && Destroy version: 1.3 --- 2004-05-12 Includes\Cookies.sbi 2004-05-12 Includes\Dialer.sbi 2004-05-12 Includes\Hijackers.sbi 2004-05-12 Includes\Keyloggers.sbi 2004-05-12 Includes\LSP.sbi 2004-05-12 Includes\Malware.sbi 2004-05-12 Includes\Revision.sbi 2004-05-12 Includes\Security.sbi 2004-05-12 Includes\Spybots.sbi 2004-05-12 Includes\Tracks.uti 2004-05-12 Includes\Trojans.sbi hier die log datei von hijack this Logfile of HijackThis v1.98.2 Scan saved at 19:26:10, on 21.08.2004 Platform: Windows XP SP1 (WinNT 5.01.2600) MSIE: Internet Explorer v6.00 SP1 (6.00.2800.1106) Running processes: C:\WINDOWS\System32\smss.exe C:\WINDOWS\system32\winlogon.exe C:\WINDOWS\system32\services.exe C:\WINDOWS\system32\lsass.exe C:\WINDOWS\system32\svchost.exe C:\WINDOWS\System32\svchost.exe C:\WINDOWS\Explorer.EXE C:\WINDOWS\system32\spoolsv.exe C:\Programme\AVPersonal\AVGUARD.EXE C:\Programme\AVPersonal\AVWUPSRV.EXE C:\WINDOWS\twain_32\SiPix\SCBlink2\Srvany.exe C:\WINDOWS\twain_32\SiPix\SCBlink2\USBPNP.exe C:\WINDOWS\System32\nvsvc32.exe C:\WINDOWS\system32\ZONELABS\vsmon.exe C:\PROGRA~1\ZONELA~1\ZONEAL~1\zlclient.exe C:\Programme\Java\j2re1.4.2_01\bin\jusched.exe C:\WINDOWS\System32\SSCFBTN.EXE C:\WINDOWS\SOUNDMAN.EXE C:\Programme\QuickTime\qttask.exe C:\Programme\Pinnacle\PCTV Stereo\Remote\Remoterm.exe C:\WINDOWS\System32\RUNDLL32.EXE C:\Programme\Samsung\SmarThru\PORTCTRL.EXE C:\Programme\NuCam\CamCheck\CamCheck.exe C:\Programme\AVPersonal\AVGNT.EXE C:\Programme\Pinnacle\InstantCDDVD\InstantWrite\iwctrl.exe C:\Programme\Pinnacle\Shared Files\InstantCDDVD\PCLETray.exe C:\WINDOWS\System32\ctfmon.exe C:\Programme\Pinnacle\Shared Files\Programs\Scheduler\PCLEScheduler.exe C:\Programme\Internet Explorer\iexplore.exe C:\WINDOWS\System32\wuauclt.exe C:\Dokumente und Einstellungen\Stefan Görög\Eigene Dateien\Meine empfangenen Dateien\HijackThis\Neuer Ordner\HijackThis.exe R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = http://www.heretofind.com/show.php?id=15&q=%s R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = mk:@MSITStore:C:\spe\start.chm::/start.html# R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://GLOBAL.ACER.COM/ R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = http://www.heretofind.com/show.php?id=15&q=%s R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = mk:@MSITStore:C:\spe\start.chm::/start.html# R1 - HKCU\Software\Microsoft\Internet Connection Wizard,ShellNext = http://global.acer.com/ O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Programme\Adobe\Acrobat 5.0\Reader\ActiveX\AcroIEHelper.ocx O2 - BHO: (no name) - {53707962-6F74-2D53-2644-206D7942484F} - C:\PROGRA~1\SPYBOT~1\SDHelper.dll O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINDOWS\System32\msdxm.ocx O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\System32\NvCpl.dll,NvStartup O4 - HKLM\..\Run: [Zone Labs Client] C:\PROGRA~1\ZONELA~1\ZONEAL~1\zlclient.exe O4 - HKLM\..\Run: [SunJavaUpdateSched] C:\Programme\Java\j2re1.4.2_01\bin\jusched.exe O4 - HKLM\..\Run: [SSCFBTN.EXE] SSCFBTN.EXE O4 - HKLM\..\Run: [SoundMan] SOUNDMAN.EXE O4 - HKLM\..\Run: [SiSUSBRG] C:\WINDOWS\SiSUSBrg.exe O4 - HKLM\..\Run: [QuickTime Task] "C:\Programme\QuickTime\qttask.exe" -atboottime O4 - HKLM\..\Run: [PSDrvCheck] "C:\Programme\Pinnacle\Instant PhotoAlbum\programs\PSDrvCheck.exe" -CheckReg O4 - HKLM\..\Run: [PinnacleRemote] C:\Programme\Pinnacle\Shared Files\remoterm.exe O4 - HKLM\..\Run: [PinnacleDriverCheck] C:\WINDOWS\System32\PSDrvCheck.exe O4 - HKLM\..\Run: [PCTVRemote] C:\Programme\Pinnacle\PCTV Stereo\Remote\Remoterm.exe O4 - HKLM\..\Run: [nwiz] nwiz.exe /install O4 - HKLM\..\Run: [NvMediaCenter] RUNDLL32.EXE C:\WINDOWS\System32\NvMcTray.dll,NvTaskbarInit O4 - HKLM\..\Run: [GW Port Controller] C:\Programme\Samsung\SmarThru\PORTCTRL.EXE O4 - HKLM\..\Run: [CamCheck] C:\Programme\NuCam\CamCheck\CamCheck.exe O4 - HKLM\..\Run: [AVGCtrl] C:\Programme\AVPersonal\AVGNT.EXE /min O4 - HKCU\..\Run: [Microsoft Update] wserv32.exe O4 - HKCU\..\Run: [IW_Drop_Icon] C:\Programme\Pinnacle\InstantCDDVD\InstantWrite\iwctrl.exe /DropDisc O4 - HKCU\..\Run: [InstantTray] C:\Programme\Pinnacle\Shared Files\InstantCDDVD\PCLETray.exe O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\ctfmon.exe O4 - Global Startup: Pinnacle Scheduler.lnk = ? O9 - Extra button: (no name) - {237AA178-C3BC-4f67-A8BB-D8BC14BA0B89} - (no file) O9 - Extra button: Corel Network monitor worker - {89298C52-01BE-45AE-B9CE-46B4F35985BB} - (no file) O9 - Extra 'Tools' menuitem: Corel Network monitor worker - {89298C52-01BE-45AE-B9CE-46B4F35985BB} - (no file) O9 - Extra button: (no name) - {237AA178-C3BC-4f67-A8BB-D8BC14BA0B89} - (no file) (HKCU) O9 - Extra button: Corel Network monitor worker - {89298C52-01BE-45AE-B9CE-46B4F35985BB} - (no file) (HKCU) O9 - Extra 'Tools' menuitem: Corel Network monitor worker - {89298C52-01BE-45AE-B9CE-46B4F35985BB} - (no file) (HKCU) O13 - DefaultPrefix: http://www.heretofind.com/show.php?id=15&q= O13 - WWW Prefix: http://www.heretofind.com/show.php?id=15&q= O13 - Home Prefix: http://www.heretofind.com/show.php?id=15&q= O13 - Mosaic Prefix: http://www.heretofind.com/show.php?id=15&q= O13 - Gopher Prefix: http://www.heretofind.com/show.php?id=15&q= O14 - IERESET.INF: START_PAGE_URL=http://GLOBAL.ACER.COM/ O17 - HKLM\System\CCS\Services\Tcpip\..\{B0A713EA-12A3-4748-A5FC-ABCFB94E75FD}: NameServer = 62.104.191.241 62.104.196.134 kann man dieses problem nicht manuel entfernen ?? hoffe mir kann jemand weiter helfen danke schon mal vorweg gruss huraxtax .. ... . | |
|
Antwort 1 von Paul1977 **** am 21.08.2004 http://www.hijackthis.de/ und zu DSO Exploit, schaue hier mal nach, http://www.wintotal.de/Tipps/Eintrag.php?TID=959 | |
|
Antwort 2 von huraxtax * am 24.08.2004 habe dass mal durchgelesen hab die logfile auswerten lassen und siehe da zwei einträge hatte ich vorher gar nicht beachtet es sieht so aus als währ ich sie los danke für deinen rat gruss huraxtax ...  | |
|
Antwort 3 von Luchs am 26.08.2004 C:\WINDOWS\System32\smss.exe C:\WINDOWS\system32\winlogon.exe C:\WINDOWS\system32\services.exe C:\WINDOWS\system32\lsass.exe C:\WINDOWS\system32\svchost.exe C:\WINDOWS\System32\svchost.exe C:\WINDOWS\Explorer.EXE C:\WINDOWS\system32\spoolsv.exe C:\PROGRA~1\GEMEIN~1\aol\ACS\AOLACSD.EXE C:\Programme\Gemeinsame Dateien\Microsoft Shared\VS7Debug\mdm.exe C:\WINDOWS\System32\devldr32.exe C:\Programme\Gemeinsame Dateien\AOL\ACS\AOLDial.exe C:\Programme\QuickTime\qttask.exe C:\Programme\Real\RealPlayer\RealPlay.exe C:\Programme\AOL 9.0\waol.exe C:\Programme\ICQLite\ICQLite.exe C:\Programme\OutLaster\shhost.exe C:\Programme\eDonkey2000\edonkey2000.exe C:\WINDOWS\System32\rundll32.exe C:\Programme\Java\j2re1.4.2_05\bin\jusched.exe C:\WINDOWS\System32\ctfmon.exe C:\Programme\Messenger\msmsgs.exe C:\Programme\AOL 9.0\aoltray.exe C:\Programme\T-COM\T-COM WLAN Manager T-Sinus 154data\Installer\WINXP\DTUSB11GMonitor.exe C:\Programme\AOL 9.0\shellmon.exe C:\Programme\Gemeinsame Dateien\Aol\aoltpspd.exe C:\Programme\Web_Rebates\WebRebates1.exe C:\Programme\Web_Rebates\WebRebates0.exe C:\Programme\WinRAR\WinRAR.exe C:\DOKUME~1\Hoschi\LOKALE~1\Temp\Rar$EX00.172\HijackThis.exe O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Programme\Adobe\Acrobat 5.0\Reader\ActiveX\AcroIEHelper.ocx O2 - BHO: URLLink Class - {4A2AACF3-ADF6-11D5-98A9-00E018981B9E} - C:\Programme\NewDotNet\newdotnet6_30.dll O2 - BHO: (no name) - {53707962-6F74-2D53-2644-206D7942484F} - C:\Programme\Spybot - Search & Destroy\SDHelper.dll O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINDOWS\System32\msdxm.ocx O4 - HKLM\..\Run: [NeroCheck] C:\WINDOWS\system32\NeroCheck.exe O4 - HKLM\..\Run: [UpdReg] C:\WINDOWS\Updreg.exe O4 - HKLM\..\Run: [AOLDialer] C:\Programme\Gemeinsame Dateien\AOL\ACS\AOLDial.exe O4 - HKLM\..\Run: [QuickTime Task] "C:\Programme\QuickTime\qttask.exe" -atboottime O4 - HKLM\..\Run: [RealTray] C:\Programme\Real\RealPlayer\RealPlay.exe SYSTEMBOOTHIDEPLAYER O4 - HKLM\..\Run: [ICQ Lite] C:\Programme\ICQLite\ICQLite.exe -minimize O4 - HKLM\..\Run: [shhost] C:\Programme\OutLaster\shhost.exe O4 - HKLM\..\Run: [WebRebates0] "C:\Programme\Web_Rebates\WebRebates0.exe" O4 - HKLM\..\Run: [eDonkey2000] "C:\Programme\eDonkey2000\edonkey2000.exe" -t O4 - HKLM\..\Run: [New.net Startup] rundll32 C:\PROGRA~1\NEWDOT~1\NEWDOT~2.DLL,NewDotNetStartup -s O4 - HKLM\..\Run: [SunJavaUpdateSched] C:\Programme\Java\j2re1.4.2_05\bin\jusched.exe O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\ctfmon.exe O4 - HKCU\..\Run: [MSMSGS] "C:\Programme\Messenger\msmsgs.exe" /background O4 - HKCU\..\RunOnce: [ICQ Lite] C:\Programme\ICQLite\ICQLite.exe -trayboot O4 - Global Startup: Microsoft Office.lnk = C:\Programme\Microsoft Office\Office10\OSA.EXE O4 - Global Startup: AOL 9.0 Tray-Symbol.lnk = C:\Programme\AOL 9.0\aoltray.exe O4 - Global Startup: T-COM WLAN Manager T-Sinus 154data.lnk = C:\Programme\T-COM\T-COM WLAN Manager T-Sinus 154data\Installer\WINXP\DTUSB11GMonitor.exe O8 - Extra context menu item: Nach Microsoft &Excel exportieren - res://C:\PROGRA~1\MICROS~3\Office10\EXCEL.EXE/3000 O8 - Extra context menu item: Web Rebates - file://C:\Programme\Web_Rebates\Sy1150\Tp1150\scri1150a.htm O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\WINDOWS\System32\msjava.dll O9 - Extra 'Tools' menuitem: Sun Java Konsole - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\WINDOWS\System32\msjava.dll O9 - Extra button: (no name) - {237AA178-C3BC-4f67-A8BB-D8BC14BA0B89} - (no file) O9 - Extra button: Corel Network monitor worker - {293C1C74-F3D9-4C0E-846E-F4FF09F7B204} - (no file) O9 - Extra 'Tools' menuitem: Corel Network monitor worker - {293C1C74-F3D9-4C0E-846E-F4FF09F7B204} - (no file) O9 - Extra button: ICQ 4.1 - {B863453A-26C3-4e1f-A54D-A2CD196348E9} - C:\Programme\ICQLite\ICQLite.exe O9 - Extra 'Tools' menuitem: ICQ Lite - {B863453A-26C3-4e1f-A54D-A2CD196348E9} - C:\Programme\ICQLite\ICQLite.exe O9 - Extra button: Real.com - {CD67F990-D8E9-11d2-98FE-00C0F0318AFE} - C:\WINDOWS\System32\Shdocvw.dll O9 - Extra button: (no name) - {237AA178-C3BC-4f67-A8BB-D8BC14BA0B89} - (no file) (HKCU) O9 - Extra button: Corel Network monitor worker - {293C1C74-F3D9-4C0E-846E-F4FF09F7B204} - (no file) (HKCU) O9 - Extra 'Tools' menuitem: Corel Network monitor worker - {293C1C74-F3D9-4C0E-846E-F4FF09F7B204} - (no file) (HKCU) O10 - Hijacked Internet access by New.Net O10 - Hijacked Internet access by New.Net O10 - Hijacked Internet access by New.Net O10 - Hijacked Internet access by New.Net O10 - Hijacked Internet access by New.Net O13 - DefaultPrefix: http://www.heretofind.com/show.php?id=20&q= O13 - WWW Prefix: http://www.heretofind.com/show.php?id=20&q= O13 - Home Prefix: http://www.heretofind.com/show.php?id=20&q= O13 - Mosaic Prefix: http://www.heretofind.com/show.php?id=20&q= O13 - Gopher Prefix: http://www.heretofind.com/show.php?id=20&q= O16 - DPF: {6414512B-B978-451D-A0D8-FCFDF33E833C} (WUWebControl Class) - http://v5.windowsupdate.microsoft.com/v5consumer/V5Controls/en/x86/client/wuweb_site.cab?1093466432250 O17 - HKLM\System\CCS\Services\Tcpip\..\{F4306DD5-8862-4821-AC1C-4FD4F5C129F2}: NameServer = 205.188.146.146 kann damit jemand was anfangen??? hab auch das problem mit heretofind | |
|
Antwort 4 von Nighty ***** am 26.08.2004 Danach ganz normal booten und wenns immernoch so ist nochmal ein LOG machen mit HIjackthis V1.98.2 Gruß | |
|
Antwort 5 von Nightwolf1979 am 27.08.2004 Ihr müsst einfach den Ordner c:\spe löschen dann ist er weg. Viel spaß noch cu | |
|
Antwort 6 von SJo am 27.08.2004 Schon mal neu gebootet. Nichts für ungut. Ist dann aber immer noch da. Die Idee is n bischen zu einfach! | |
|
Antwort 7 von Schaedel am 27.08.2004 | |
|
Antwort 8 von nightwolf1979 am 28.08.2004 Nachdem ihr den Ordner gelöscht habt müsst ihr die Regestrie noch reinigen ist doch klar. Sorry hatte ich vorausgesetzt da hier ja jeder über HijackThis redet. Also einfach nach dem löschen HijackThis laufen lassen udn Problem ist und BLEIBT weg. CU | |
|
Antwort 9 von nightwolf1979 am 28.08.2004 @Nightwolf1979 Schon mal neu gebootet. Nichts für ungut. Ist dann aber immer noch da. Die Idee is n bischen zu einfach! Sorry für dich aber manchmal ist es einfacher einfach besser. habe aber vorher selber sechs Stunden daran gesessen und versucht ihn per hand zu löschen bis ich darauf gestoßen bin. Bin Informatiker kannst mir ruhig glauben wenn ich hier sowas schreibe. In den letzten jahren gab es genug Viren die zu schlau für AntiViren schutz waren aber ganz einfach zu löschen waren. Ganz nach dem Motto "Den Wald vor lauter Bäumen nicht sehen"  | |
| » weitere Antworten | |
| « zurück | Antworten |
