Hi,

ich hab folgendes Problem:
Seit einiger Zeit öffnet der Internetexplorer ständig irgendwelche nervigen Werbefenster (auch wenn ich gerade gar nicht auf irgendeiner webseite bin); keine ahnung wo ich mir das eingefangen hab...

desweiteren weiß ich schon den namen des virusses: "Exploit.HTML.CodeBaseExec.", mein antivir ist kaspersky


Wie bekomm ich das wieder weg?
Danke schonmal!

cu
vincenzo

Lade:
http://www.merijn.org/files/hijackthis.zip
=======
Entpacke in einen eigenen Ordner ==> Doppelklick auf: "Hijackthis.exe" ==> Haken setzen ==> [Noone of the above Just start the Programm] ==> Button [Scan] ==> Nach dem Scan [Save Logfile] Speichere es ==> Ein Editor öffnet sich: kopiere den Inhalt hierher ins Forum.
Bebilderte Kurzanleitung

Logfile of HijackThis v1.99.1
Scan saved at 16.53.08, on 07/02/2006
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\spoolsv.exe
C:\WINDOWS\Explorer.EXE
C:\WINDOWS\AGRSMMSG.exe
C:\PROGRA~1\MYWEBS~1\bar\2.bin\mwsoemon.exe
C:\Programme\Google\Google Desktop Search\GoogleDesktop.exe
C:\Programme\webHancer\Programs\whagent.exe
C:\Programme\webHancer\Programs\whsurvey.exe
C:\WINDOWS\system32\rundll32.exe
C:\windows\system32\rlvknlg.exe
C:\WINDOWS\system32\ctfmon.exe
C:\Programme\Messenger\MSMSGS.EXE
C:\WINDOWS\NCLAUNCH.EXe
C:\Programme\Google\Google Desktop Search\GoogleDesktopIndex.exe
C:\Programme\Save\Save.exe
C:\Programme\Google\Google Desktop Search\GoogleDesktopDisplay.exe
C:\Programme\Google\Google Desktop Search\GoogleDesktopCrawl.exe
C:\PROGRA~1\INCRED~1\bin\IMApp.exe
C:\Programme\Skype\Phone\Skype.exe
C:\Programme\Internet Explorer\iexplore.exe
C:\Dokumente und Einstellungen\Giuseppe Saponaro\Eigene Dateien\hijackthis\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.google.de/
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://www.libero.it
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Window Title = Microsoft Internet Explorer fornito da Libero
R3 - URLSearchHook: ICQ Toolbar - {855F3B16-6D32-4fe6-8A56-BBB695989046} - C:\Programme\ICQToolbar\toolbaru.dll
R3 - URLSearchHook: (no name) - {00A6FAF6-072E-44cf-8957-5838F569A31D} - C:\Programme\MyWebSearch\SrchAstt\2.bin\MWSSRCAS.DLL
O2 - BHO: MyWebSearch Search Assistant BHO - {00A6FAF1-072E-44cf-8957-5838F569A31D} - C:\Programme\MyWebSearch\SrchAstt\2.bin\MWSSRCAS.DLL
O2 - BHO: mwsBar BHO - {07B18EA1-A523-4961-B6BB-170DE4475CCA} - C:\Programme\MyWebSearch\bar\2.bin\MWSBAR.DLL
O2 - BHO: URLLink - {4A2AACF3-ADF6-11D5-98A9-00E018981B9E} - C:\Programme\NewDotNet\newdotnet7_22.dll
O2 - BHO: WhIeHelperObj Class - {c900b400-cdfe-11d3-976a-00e02913a9e0} - C:\Programme\webHancer\programs\whiehlpr.dll
O3 - Toolbar: ICQ Toolbar - {855F3B16-6D32-4fe6-8A56-BBB695989046} - C:\Programme\ICQToolbar\toolbaru.dll
O4 - HKLM\..\Run: [InCD] C:\Programme\Ahead\InCD\InCD.exe
O4 - HKLM\..\Run: [AGRSMMSG] AGRSMMSG.exe
O4 - HKLM\..\Run: [KAVPersonal50] C:\Programme\Kaspersky Lab\Kaspersky Anti-Virus Personal\kav.exe /minimize
O4 - HKLM\..\Run: [MyWebSearch Email Plugin] C:\PROGRA~1\MYWEBS~1\bar\2.bin\mwsoemon.exe
O4 - HKLM\..\Run: [Google Desktop Search] "C:\Programme\Google\Google Desktop Search\GoogleDesktop.exe" /startup
O4 - HKLM\..\Run: [webHancer Agent] C:\Programme\webHancer\Programs\whagent.exe
O4 - HKLM\..\Run: [webHancer Survey Companion] C:\Programme\webHancer\Programs\whsurvey.exe
O4 - HKLM\..\Run: [New.net Startup] rundll32 C:\PROGRA~1\NEWDOT~1\NEWDOT~2.DLL,ClientStartup -s
O4 - HKLM\..\Run: [RelevantKnowledge] c:\windows\system32\rlvknlg.exe -boot
O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\ctfmon.exe
O4 - HKCU\..\Run: [MSMSGS] "C:\Programme\Messenger\MSMSGS.EXE" /background
O4 - HKCU\..\Run: [MyWebSearch Email Plugin] C:\PROGRA~1\MYWEBS~1\bar\2.bin\mwsoemon.exe
O4 - HKCU\..\Run: [IncrediMail] C:\Programme\IncrediMail\bin\IncMail.exe /c
O4 - HKCU\..\Run: [NCLaunch] C:\WINDOWS\NCLAUNCH.EXe
O4 - HKCU\..\Run: [WhenUSave] "C:\Programme\Save\Save.exe"
O4 - Startup: MyWebSearch Email Plugin.lnk = C:\Programme\MyWebSearch\bar\2.bin\MWSOEMON.EXE
O4 - Global Startup: Microsoft Office.lnk = C:\Programme\Microsoft Office\Office10\OSA.EXE
O4 - Global Startup: MyWebSearch Email Plugin.lnk = C:\Programme\MyWebSearch\bar\2.bin\MWSOEMON.EXE
O8 - Extra context menu item: &ICQ Toolbar Search - res://C:\Programme\ICQToolbar\toolbaru.dll/SEARCH.HTML
O8 - Extra context menu item: &Search - http://bar.mywebsearch.com/menusearch.h ... xdm103YYIT
O9 - Extra button: ICQ Lite - {B863453A-26C3-4e1f-A54D-A2CD196348E9} - C:\Programme\ICQLite\ICQLite.exe
O9 - Extra 'Tools' menuitem: ICQ Lite - {B863453A-26C3-4e1f-A54D-A2CD196348E9} - C:\Programme\ICQLite\ICQLite.exe
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe
O10 - Hijacked Internet access by New.Net
O10 - Hijacked Internet access by WebHancer
O10 - Hijacked Internet access by WebHancer
O10 - Hijacked Internet access by WebHancer
O10 - Hijacked Internet access by WebHancer
O10 - Hijacked Internet access by New.Net
O10 - Hijacked Internet access by New.Net
O10 - Hijacked Internet access by New.Net
O10 - Hijacked Internet access by New.Net
O10 - Hijacked Internet access by WebHancer
O14 - IERESET.INF: START_PAGE_URL=http://www.libero.it
O16 - DPF: {17492023-C23A-453E-A040-C7C580BBF700} (Windows Genuine Advantage Validation Tool) - http://go.microsoft.com/fwlink/?linkid=39204
O16 - DPF: {1D4DB7D2-6EC9-47A3-BD87-1E41684E07BB} - http://ak.imgfarm.com/images/nocache/fu ... 0.0.15.cab
O16 - DPF: {78AF2F24-A9C3-11D3-BF8C-0060B0FCC122} (AcDcToday Control) - file://C:\Programme\AutoCAD 2002\AcDcToday.ocx
O16 - DPF: {AE563720-B4F5-11D4-A415-00108302FDFD} (NOXLATE-BANR) - file://C:\Programme\AutoCAD 2002\InstBanr.ocx
O16 - DPF: {C6637286-300D-11D4-AE0A-0010830243BD} (InstaFred) - file://C:\Programme\AutoCAD 2002\InstFred.ocx
O16 - DPF: {DB893839-10F0-4AF9-92FA-B23528F530AF} - http://deposito.hostance.net/dialer/1053611.exe
O16 - DPF: {F00F4763-7355-4725-82F7-0DA94A256D46} (IncrediMail) - http://www2.incredimail.com/contents/se ... loader.cab
O16 - DPF: {F0BC061F-DAF9-4533-8011-53BCB4C10307} (Installations Assistent) - http://install.serviceurl.de/InstallationsAssistent.ocx
O16 - DPF: {F281A59C-7B65-11D3-8617-0010830243BD} (AcPreview Control) - file://C:\Programme\AutoCAD 2002\AcPreview.ocx
O20 - AppInit_DLLs: C:\PROGRA~1\Google\GOOGLE~2\GOEC62~1.DLL
O23 - Service: kavsvc - Kaspersky Lab - C:\Programme\Kaspersky Lab\Kaspersky Anti-Virus Personal\kavsvc.exe

Oha, du hast da echt ne nette Ansammlung.

Cleanup
Nutze Cleanup wie beschrieben:
http://virus-protect.org/cleanup.html

Lade dir Ewido, Scanne, poste den Report und deinstalliere es nach getaener Arbeit (Virenentfernung)
http://virus-protect.org/ewido.html

========================

Neues Hicjack-This-Log.

so, DANKE ERSTMAL!! IST ECHT KLASSE WIE IHR MIR HIER HELFT!!.

soll ich einen kompletten systemscann machen?

soll ich cleanUp oder/und ewodo nach getaner arbeit deinstallieren?


thx

.o0 edit: is bei 78% und hat schon 33 virusse entdeckt 0o.

.o0 edit: 57 virusse entdeckt 0o.

sry für doppelpost, hier der scann bericht:

-------------------------------
ewido anti-malware - Scan Report
---------------------------------------------------------

+ Erstellt am: 23.12.33, 07/02/2006
+ Report-Checksumme: 438A969A

+ Scanergebnis:

HKLM\SOFTWARE\Classes\CLSID\{00A6FAF1-072E-44cf-8957-5838F569A31D} -> Spyware.MyWebSearch : Gesäubert mit Backup
HKLM\SOFTWARE\Classes\CLSID\{07B18EA1-A523-4961-B6BB-170DE4475CCA} -> Spyware.MyWebSearch : Gesäubert mit Backup
HKLM\SOFTWARE\Classes\CLSID\{07B18EA9-A523-4961-B6BB-170DE4475CCA} -> Spyware.MyWebSearch : Gesäubert mit Backup
HKLM\SOFTWARE\Classes\CLSID\{4A2AACF3-ADF6-11D5-98A9-00E018981B9E} -> Spyware.NewDotNet : Gesäubert mit Backup
HKLM\SOFTWARE\Classes\CLSID\{c900b400-cdfe-11d3-976a-00e02913a9e0} -> Spyware.Webhancer : Gesäubert mit Backup
HKLM\SOFTWARE\Classes\Interface\{C89435B0-CDFE-11D3-976A-00E02913A9E0} -> Spyware.WebHancer : Gesäubert mit Backup
HKLM\SOFTWARE\Classes\TypeLib\{C8CB3870-CDFE-11D3-976A-00E02913A9E0} -> Spyware.WebHancer : Gesäubert mit Backup
HKLM\SOFTWARE\Classes\WhIeHelperObj.WhIeHelperObj -> Spyware.Webhancer : Gesäubert mit Backup
HKLM\SOFTWARE\Classes\WhIeHelperObj.WhIeHelperObj\CurVer -> Spyware.Webhancer : Gesäubert mit Backup
HKLM\SOFTWARE\Classes\WhIeHelperObj.WhIeHelperObj.1 -> Spyware.Webhancer : Gesäubert mit Backup
HKLM\SOFTWARE\Classes\WUSE.1 -> Spyware.SaveNow : Gesäubert mit Backup
HKLM\SOFTWARE\Classes\WUSN.1 -> Spyware.SaveNow : Gesäubert mit Backup
HKLM\SOFTWARE\IntexusDial -> Dialer.Generic : Gesäubert mit Backup
HKLM\SOFTWARE\Microsoft\Code Store Database\Distribution Units\{1D4DB7D2-6EC9-47A3-BD87-1E41684E07BB} -> Spyware.PopularScreensavers : Gesäubert mit Backup
HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Browser Helper Objects\{00A6FAF1-072E-44cf-8957-5838F569A31D} -> Spyware.MyWebSearch : Gesäubert mit Backup
HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Browser Helper Objects\{07B18EA1-A523-4961-B6BB-170DE4475CCA} -> Spyware.MyWebSearch : Gesäubert mit Backup
HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Browser Helper Objects\{4A2AACF3-ADF6-11D5-98A9-00E018981B9E} -> Spyware.NewDotNet : Gesäubert mit Backup
HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Browser Helper Objects\{c900b400-cdfe-11d3-976a-00e02913a9e0} -> Spyware.Webhancer : Gesäubert mit Backup
HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Uninstall\webHancer Agent -> Spyware.WebHancer : Gesäubert mit Backup
HKLM\SOFTWARE\webhancer -> Spyware.Webhancer : Gesäubert mit Backup
HKLM\SOFTWARE\webhancer\CC -> Spyware.Webhancer : Gesäubert mit Backup
HKLM\SOFTWARE\webhancer\ESO -> Spyware.Webhancer : Gesäubert mit Backup
HKLM\SOFTWARE\WhenUSave -> Spyware.SaveNow : Gesäubert mit Backup
HKLM\SOFTWARE\WhenUSave\Partners -> Spyware.SaveNow : Gesäubert mit Backup
HKLM\SOFTWARE\WhenUSave\Partners\FRZE -> Spyware.SaveNow : Gesäubert mit Backup
HKU\S-1-5-21-3370124652-3896581748-3981796967-1005\Software\Microsoft\Windows\CurrentVersion\Ext\Stats\{00A6FAF1-072E-44CF-8957-5838F569A31D} -> Spyware.MyWebSearch : Gesäubert mit Backup
HKU\S-1-5-21-3370124652-3896581748-3981796967-1005\Software\Microsoft\Windows\CurrentVersion\Ext\Stats\{07B18EA1-A523-4961-B6BB-170DE4475CCA} -> Spyware.MyWebSearch : Gesäubert mit Backup
HKU\S-1-5-21-3370124652-3896581748-3981796967-1005\Software\Microsoft\Windows\CurrentVersion\Ext\Stats\{1D4DB7D2-6EC9-47A3-BD87-1E41684E07BB} -> Spyware.PopularScreensavers : Gesäubert mit Backup
HKU\S-1-5-21-3370124652-3896581748-3981796967-1005\Software\Microsoft\Windows\CurrentVersion\Ext\Stats\{4A2AACF3-ADF6-11D5-98A9-00E018981B9E} -> Spyware.NewDotNet : Gesäubert mit Backup
HKU\S-1-5-21-3370124652-3896581748-3981796967-1005\Software\Microsoft\Windows\CurrentVersion\Ext\Stats\{BA2325ED-F9EB-4830-8FCE-0BC35B16969B} -> Spyware.SaveNow : Gesäubert mit Backup
HKU\S-1-5-21-3370124652-3896581748-3981796967-1005\Software\Microsoft\Windows\CurrentVersion\Ext\Stats\{C900B400-CDFE-11D3-976A-00E02913A9E0} -> Spyware.Webhancer : Gesäubert mit Backup
C:\Dokumente und Einstellungen\Giuseppe Saponaro\Eigene Dateien\Eigene Dateien\Computer\computer\software\Install\WINAMP 2.80 (D)\PlugIns\WASL.EXE -> Trojan.Butano : Gesäubert mit Backup
C:\Dokumente und Einstellungen\Giuseppe Saponaro\Eigene Dateien\mamma\Install\WINAMP 2.80 (D)\PlugIns\WASL.EXE -> Trojan.Butano : Gesäubert mit Backup
C:\Programme\MyWebSearch\bar\2.bin\F3CJPEG.DLL -> Spyware.FunWeb : Gesäubert mit Backup
C:\Programme\MyWebSearch\bar\2.bin\F3DTACTL.DLL -> Spyware.MyWebSearch : Gesäubert mit Backup
C:\Programme\MyWebSearch\bar\2.bin\F3HISTSW.DLL -> Spyware.MyWebSearch : Gesäubert mit Backup
C:\Programme\MyWebSearch\bar\2.bin\F3HTTPCT.DLL -> Spyware.MyWebSearch : Gesäubert mit Backup
C:\Programme\MyWebSearch\bar\2.bin\F3POPSWT.DLL -> Spyware.MyWebSearch : Gesäubert mit Backup
C:\Programme\MyWebSearch\bar\2.bin\F3PSSAVR.SCR -> Spyware.MyWebSearch : Gesäubert mit Backup
C:\Programme\MyWebSearch\bar\2.bin\F3REPROX.DLL -> Spyware.MyWebSearch : Gesäubert mit Backup
C:\Programme\MyWebSearch\bar\2.bin\F3RESTUB.DLL -> Spyware.MyWebSearch : Gesäubert mit Backup
C:\Programme\MyWebSearch\bar\2.bin\F3SCHMON.EXE -> Spyware.MyWebSearch : Gesäubert mit Backup
C:\Programme\MyWebSearch\bar\2.bin\F3SCRCTR.DLL -> Spyware.MyWebSearch : Gesäubert mit Backup
C:\Programme\MyWebSearch\bar\2.bin\F3WPHOOK.DLL -> Spyware.Wesbar : Gesäubert mit Backup
C:\Programme\MyWebSearch\bar\2.bin\M3HTML.DLL -> Adware.MyWebSearch : Gesäubert mit Backup
C:\Programme\MyWebSearch\bar\2.bin\M3IDLE.DLL -> Adware.IWon : Gesäubert mit Backup
C:\Programme\MyWebSearch\bar\2.bin\M3OUTLCN.DLL -> Spyware.MyWebSearch : Gesäubert mit Backup
C:\Programme\MyWebSearch\bar\2.bin\M3PLUGIN.DLL -> Spyware.MyWebSearch : Gesäubert mit Backup
C:\Programme\MyWebSearch\bar\2.bin\M3SKIN.DLL -> Adware.MyWebSearch : Gesäubert mit Backup
C:\Programme\MyWebSearch\bar\2.bin\NPMYWEBS.DLL -> Spyware.MyWebSearch : Gesäubert mit Backup
C:\Programme\Save -> Spyware.SaveNow : Gesäubert mit Backup
C:\Programme\Save\ACM.dll -> Spyware.SaveNow : Gesäubert mit Backup
C:\Programme\Save\save.db -> Spyware.SaveNow : Gesäubert mit Backup
C:\Programme\Save\save.htm -> Spyware.SaveNow : Gesäubert mit Backup
C:\Programme\Save\SaveUninst.exe -> Spyware.SaveNow : Gesäubert mit Backup
C:\Programme\Save\store.db -> Spyware.SaveNow : Gesäubert mit Backup
C:\Programme\webHancer\Programs\whinstaller.exe -> Adware.WebHancer : Gesäubert mit Backup


::Report Ende