Hallo zusammen in den letzten Tagen öffnen sich ständig kleine Werbefenster wenn ich mit dem IE arbeite.
Habe alles mögliche läufen lassen aber finde irgentwie nichts.

Ich stelle mal mein logfile vom highjackthis rein vielleicht findet ja einer von euch den übeltäter.

Viele Grüße
B-Com

Logfile of HijackThis v1.99.1
Scan saved at 10:07:18, on 20.12.2005
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\Programme\TGTSoft\StyleXP\StyleXPService.exe
C:\WINDOWS\system32\spoolsv.exe
C:\WINDOWS\Explorer.EXE
C:\Programme\Java\jre1.5.0_04\bin\jusched.exe
C:\Programme\ATI Technologies\ATI Control Panel\atiptaxx.exe
C:\WINDOWS\SOUNDMAN.EXE
C:\Programme\AVPersonal\AVGNT.EXE
C:\WINDOWS\system32\ctfmon.exe
C:\Programme\ObjectDock\ObjectDock.exe
C:\Programme\Internet Explorer\iexplore.exe
C:\Programme\Gemeinsame Dateien\Ahead\lib\NMBgMonitor.exe
c:\progra~1\intern~1\iexplore.exe
C:\Programme\OpenOffice.org 1.9.121\program\soffice.exe
C:\Programme\OpenOffice.org 1.9.121\program\soffice.BIN
C:\PROGRAMME\AVPERSONAL\AVGUARD.EXE
C:\Programme\xampp\apache\bin\Apache.exe
C:\WINDOWS\system32\Ati2evxx.exe
C:\Programme\AVPersonal\AVWUPSRV.EXE
C:\Programme\xampp\mysql\bin\mysqld-nt.exe
C:\Programme\xampp\apache\bin\Apache.exe
C:\WINDOWS\system32\slserv.exe
C:\WINDOWS\System32\svchost.exe
C:\PROGRA~1\INCRED~1\bin\IMApp.exe
C:\PROGRA~1\Netscape\Netscape\Netscp.exe
C:\Programme\Internet Explorer\iexplore.exe
C:\Dokumente und Einstellungen\Benutzer\Desktop\hijackthis\HijackThis.exe

O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Programme\Adobe\Acrobat 6.0\Reader\ActiveX\AcroIEHelper.dll
O2 - BHO: ADefaultSearch Class - {944864A5-3916-46E2-96A9-A2E84F3F1208} - (no file)
O2 - BHO: Google Toolbar Helper - {AA58ED58-01DD-4d91-8333-CF10577473F7} - c:\programme\google\googletoolbar2.dll
O2 - BHO: TGTSoft Explorer Toolbar Changer - {C333CF63-767F-4831-94AC-E683D962C63C} - C:\Programme\TGTSoft\StyleXP\TGT_BHO.dll
O3 - Toolbar: &Google - {2318C2B1-4965-11d4-9B18-009027A5CD4F} - c:\programme\google\googletoolbar2.dll
O4 - HKLM\..\Run: [SunJavaUpdateSched] C:\Programme\Java\jre1.5.0_04\bin\jusched.exe
O4 - HKLM\..\Run: [ATIModeChange] Ati2mdxx.exe
O4 - HKLM\..\Run: [ATIPTA] C:\Programme\ATI Technologies\ATI Control Panel\atiptaxx.exe
O4 - HKLM\..\Run: [SoundMan] SOUNDMAN.EXE
O4 - HKLM\..\Run: [AVGCtrl] "C:\Programme\AVPersonal\AVGNT.EXE" /min
O4 - HKLM\..\Run: [KernelFaultCheck] %systemroot%\system32\dumprep 0 -k
O4 - HKLM\..\Run: [NeroFilterCheck] C:\WINDOWS\system32\NeroCheck.exe
O4 - HKLM\..\Run: [ModeTestInternet1] C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\Wave bend mode test\OptionPlay.exe <---????? was ist das???
O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\ctfmon.exe
O4 - HKCU\..\Run: [STYLEXP] C:\Programme\TGTSoft\StyleXP\StyleXP.exe -Hide
O4 - HKCU\..\Run: [MsnMsgr] "C:\Programme\MSN Messenger\MsnMsgr.Exe" /background
O4 - HKCU\..\Run: [Mozilla Quick Launch] "C:\Programme\Netscape\Netscape\Netscp.exe" -turbo
O4 - HKCU\..\Run: [Longhorn SideBar] C:\WINDOWS\SideBar\SideBar.exe
O4 - HKCU\..\Run: [ObjectDock] C:\Programme\ObjectDock\ObjectDock.exe
O4 - HKCU\..\Run: [WinRoll] C:\Programme\WinRoll\winroll.exe
O4 - HKCU\..\Run: [Yz Shadow] C:\Programme\YzShadow\YzShadow.exe
O4 - HKCU\..\Run: [BgMonitor_{79662E04-7C6C-4d9f-84C7-88D8A56B10AA}] "C:\Programme\Gemeinsame Dateien\Ahead\lib\NMBgMonitor.exe"
O4 - HKCU\..\Run: [Fast Bolt] C:\DOKUME~1\BeA62F~1.Nut\ANWEND~1\INFOME~1\ProgramStart.exe
O4 - Startup: OpenOffice.org 1.9.121.lnk = C:\Programme\OpenOffice.org 1.9.121\program\quickstart.exe
O8 - Extra context menu item: &Add animation to IncrediMail Style Box - C:\PROGRA~1\INCRED~1\bin\resources\WebMenuImg.htm
O8 - Extra context menu item: &Google-Suche - res://c:\programme\google\GoogleToolbar2.dll/cmsearch.html
O8 - Extra context menu item: &Ins Deutsche übersetzen - res://c:\programme\google\GoogleToolbar2.dll/cmwordtrans.html
O8 - Extra context menu item: Im Cache gespeicherte Seite - res://c:\programme\google\GoogleToolbar2.dll/cmcache.html
O8 - Extra context menu item: Verweisseiten - res://c:\programme\google\GoogleToolbar2.dll/cmbacklinks.html
O8 - Extra context menu item: Ähnliche Seiten - res://c:\programme\google\GoogleToolbar2.dll/cmsimilar.html
O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programme\Java\jre1.5.0_04\bin\npjpi150_04.dll
O9 - Extra 'Tools' menuitem: Sun Java Konsole - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programme\Java\jre1.5.0_04\bin\npjpi150_04.dll
O9 - Extra button: ICQ Lite - {B863453A-26C3-4e1f-A54D-A2CD196348E9} - C:\Programme\ICQLite\ICQLite.exe
O9 - Extra 'Tools' menuitem: ICQ Lite - {B863453A-26C3-4e1f-A54D-A2CD196348E9} - C:\Programme\ICQLite\ICQLite.exe
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe
O16 - DPF: {17492023-C23A-453E-A040-C7C580BBF700} (Windows Genuine Advantage Validation Tool) - http://go.microsoft.com/fwlink/?linkid=39204
O16 - DPF: {B38870E4-7ECB-40DA-8C6A-595F0A5519FF} (MsnMessengerSetupDownloadControl Class) - http://messenger.msn.com/download/msnme ... loader.cab
O18 - Protocol: msnim - {828030A1-22C1-4009-854F-8E305202313F} - "C:\PROGRA~1\MSNMES~1\msgrapp.dll" (file missing)
O23 - Service: AntiVir Service (AntiVirService) - H+BEDV Datentechnik GmbH - C:\PROGRAMME\AVPERSONAL\AVGUARD.EXE
O23 - Service: Apache2 - Unknown owner - C:\Programme\xampp\apache\bin\Apache.exe" -k runservice (file missing)
O23 - Service: Ati HotKey Poller - Unknown owner - C:\WINDOWS\system32\Ati2evxx.exe
O23 - Service: AntiVir Update (AVWUpSrv) - H+BEDV Datentechnik GmbH, Germany - C:\Programme\AVPersonal\AVWUPSRV.EXE
O23 - Service: InstallDriver Table Manager (IDriverT) - Macrovision Corporation - C:\Programme\Gemeinsame Dateien\InstallShield\Driver\1050\Intel 32\IDriverT.exe
O23 - Service: mysql - Unknown owner - C:\Programme\xampp\mysql\bin\mysqld-nt.exe
O23 - Service: SmartLinkService (SLService) - - C:\WINDOWS\SYSTEM32\slserv.exe
O23 - Service: StyleXPService - Unknown owner - C:\Programme\TGTSoft\StyleXP\StyleXPService.exe
O23 - Service: TSMService - T-Systems Nova, Berkom - C:\Programme\T-DSL SpeedManager\tsmsvc.exe

Lop.com (ist der von dir Markierte Eintrag)

http://virus-protect.net/artikel/tools/lopxp.zip
Lade die Datei ==> EntZippe mit einem entsprechenden Programm ==> Doppelklick auf "lopxp.bat"

===========

Start -- alle Programme -- Zubehör -- Editor und kopiere folgenden Text rein:


dir %Windir%\tasks /a h > files.txt
notepad files.txt


- Speichern als: findjobs.bat
- abspeichern unter : Dateityp: alle Dateien
- speichere auf dem Desktop
- Locate findjobs.bat-- doppelklick auf die bat-Datei , der Editor öffnet sich -- poste den Text

Hallo Holy,
so hoffe habe alles richtig gemacht.
Hier dann das Ergebnis:

Datentr„ger in Laufwerk C: ist (C:)Lokaler Datentr„ger
Volumeseriennummer: CC64-D2A2

Verzeichnis von C:\WINDOWS\tasks

11.11.2005 14:44 <DIR> .
11.11.2005 14:44 <DIR> ..
20.12.2005 13:00 280 ACFC83A990CB383D.job
02.04.2003 13:00 65 desktop.ini
21.12.2005 09:08 6 SA.DAT
3 Datei(en) 351 Bytes

Verzeichnis von C:\Dokumente und Einstellungen\Benutzer\Desktop

Ich habe mal die Datei OptionPlay.exe bei VirusTotal.com scannen lassen, da kam dann folgendes raus. Vielleicht hilft das ja.

Antivirus Version Update Result
AntiVir 6.33.0.70 12.21.2005 ADSPY/Lop.ag.21
Avast 4.6.695.0 12.20.2005 no virus found
AVG 718 12.20.2005 no virus found
Avira 6.33.0.70 12.20.2005 ADSPY/Lop.ag.21
BitDefender 7.2 12.21.2005 no virus found
CAT-QuickHeal 8.00 12.19.2005 (Suspicious) - DNAScan
ClamAV devel-20051108 12.19.2005 no virus found
DrWeb 4.33 12.21.2005 Trojan.Swizzor
eTrust-Iris 7.1.194.0 12.20.2005 no virus found
eTrust-Vet 12.3.3.0 12.21.2005 Win32/Swizzor
Fortinet 2.54.0.0 12.21.2005 suspicious
F-Prot 3.16c 12.20.2005 no virus found
Ikarus 0.2.59.0 12.20.2005 no virus found
Kaspersky 4.0.2.24 12.21.2005 not-a-virus:AdWare.Win32.Lop.ag
McAfee 4654 12.20.2005 Swizzor.gen
NOD32v2 1.1331 12.20.2005 a variant of Win32/TrojanDownloader.Swizzor
Norman 5.70.10 12.21.2005 no virus found
Panda 8.02.00 12.20.2005 Adware/Lop
Sophos 4.01.0 12.21.2005 no virus found
Symantec 8.0 12.21.2005 no virus found
TheHacker 5.9.1.060 12.21.2005 Trojan/Downloader.Swizzor
VBA32 3.10.5 12.20.2005 no virus found

Start -- alle Programme -- Zubehör -- Editor und kopiere folgenden Text rein:

%systemdrive%
cd C:\WINDOWS\Tasks
attrib -r -s -h ACFC83A990CB383D.job
del ACFC83A990CB383D.job

- Speichern als: remjob.bat
- abspeichern unter : Dateityp: alle Dateien
- speichere auf dem Desktop
- Locate remjob.bat-- doppelklick auf die bat-Datei , der Editor öffnet sich kurz ist normal

Poste nochmals findjobs.bat

=======================

Dann:

Lösche:

C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\Wave bend mode test\OptionPlay.exe

=======================
Führe den CrapCleaner aus und hake alles an:
http://virus-protect.net/temp.html

Lade dir Ewido, Scanne, poste den Report und deinstalliere es nach getaener Arbeit (Virenentfernung)
http://virus-protect.net/ewido.html

========================

Hallo Holy, hier dann das Ergebnis von findejobs:

Datentr„ger in Laufwerk C: ist (C:)Lokaler Datentr„ger
Volumeseriennummer: CC64-D2A2

Verzeichnis von C:\WINDOWS\tasks

22.12.2005 16:08 <DIR> .
22.12.2005 16:08 <DIR> ..
02.04.2003 13:00 65 desktop.ini
26.12.2005 13:47 6 SA.DAT
2 Datei(en) 71 Bytes

Verzeichnis von C:\Dokumente und Einstellungen\Benutzer\Desktop

Grüße B-COM

Hi,

das ist sauber.

Lade dir Ewido, Scanne, poste den Report und deinstalliere es nach getaener Arbeit (Virenentfernung)
http://virus-protect.net/ewido.html

========================

Holy:

beachte bitte auch folgendes: (das muss zumindest gefixt werde....)

O2 - BHO: ADefaultSearch Class - {944864A5-3916-46E2-96A9-A2E84F3F1208} - (no file)
O4 - HKLM\..\Run: [ModeTestInternet1] C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\Wave bend mode test\OptionPlay.exe
O4 - HKCU\..\Run: [Longhorn SideBar] C:\WINDOWS\SideBar\SideBar.exe
O4 - HKCU\..\Run: [ObjectDock] C:\Programme\ObjectDock\ObjectDock.exe
O4 - HKCU\..\Run: [WinRoll] C:\Programme\WinRoll\winroll.exe
O4 - HKCU\..\Run: [Yz Shadow] C:\Programme\YzShadow\YzShadow.exe
O4 - HKCU\..\Run: [Fast Bolt] C:\DOKUME~1\BeA62F~1.Nut\ANWEND~1\INFOME~1\ProgramStart.exe

C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\Wave bend mode test
C:\Dokumente und Einstellungen\BeA62F~1.Nut\Anwendungsdaten\INFOME....

es gibt noch eine dritte, aber die ist nicht sichtbar....

-----------------------------------------------------------------------------

der CleanUp muss unbedingt angewendet werden
http://virus-protect.net/cleanup.html

und fuer den Lop ist ein Onlinscan mit panda mehr zu empfehlen, als der ewido
http://virus-protect.net/onlinescan.html

So habe nun alles gemacht! Mit dem ewido habe ich mehrmals gescannt und dann nichts mehr gefunden.

Mit dem Panda onlinescanner habe ich gerade folgenden report bekommen:

Incident Status Location

Adware:Adware/Lop Not desinfected C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\Wave bend mode test\OptionPlay.exe
Adware:Adware/Lop Not desinfected C:\Dokumente und Einstellungen\Benutzer\Anwendungsdaten\INFO MESS\Drvproxyfour.exe
Adware:Adware/Lop Not desinfected C:\Dokumente und Einstellungen\Benutzer\Anwendungsdaten\INFO MESS\ggeuufwy.exe
Adware:Adware/Lop Not desinfected C:\Dokumente und Einstellungen\Benutzer\Anwendungsdaten\INFO MESS\ProgramStart.exe
Adware:Adware/Lop Not desinfected C:\Dokumente und Einstellungen\Benutzer\Anwendungsdaten\ref five\TonsHeart.exe
Hacktool:DoS/42zip Not desinfected C:\Dokumente und Einstellungen\Benutzer\Eigene Dateien\Tools\X-Scan-v3.2-en\X-Scan-v3.2\scripts\smtp_AV_42zip_DoS.nasl[42.zip]


Wave bend mode test habe ich gelöscht.
Wie sieht es mit den anderen einträgen aus!?!

Grüße
B-Com

Der Ordner wird aber noch gefunen:
C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\Wave bend mode test\OptionPlay.exe

Lösche:

C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\Wave bend mode test
C:\Dokumente und Einstellungen\Benutzer\Anwendungsdaten\INFO MESS
C:\Dokumente und Einstellungen\Benutzer\Anwendungsdaten\ref five

Und wenn ich das hier lese:

Hacktool:DoS/42zip Not desinfected C:\Dokumente und Einstellungen\Benutzer\Eigene Dateien\Tools\X-Scan-v3.2-en\X-Scan-v3.2\scripts\smtp_AV_42zip_DoS.nasl[42.zip]

Wird mir doch ganz anders... Lösche das auch.

so habe dann alle sachen gelöscht!

meint ihr das die werbefenster jetzt auch der Vergangenheit angehören???

Sollte doch.

Scanne nochmal mit Panda.