So eine Meldung empfängt mich jedesmal beim Eintritt ins Internetz, gefolgt von IE Search Page has been changed, IE Homepage has been changed, IE Search Bar has been changed, ...

Ich bin Ende März auf ADSL umgestiegen und habe gleichzeitig einen neuen Computer erworben (XP), seitdem ist dem so. Vorher hatte ich Win 98 und keine Probleme (hängt das damit überhaupt zusammen?).

Ich hatte das Problem mit einer Startseite "about:blank" und habe die Ratschläge diese Forums genutzt. Soll heißen, habe CWShredder installiert, ebenso Spybot, HijackThis und Spyware Guard. Ist ja alles ganz nett, aber jedesmal diese Attacken beim Eintritt in's Netz ... Wie gesagt, ist mir früher nie passiert.

Meine Fragen nun: Wie krieg ich diese Einstiegsprobleme weg und wie kann ich meinen "früheren Zustand" wiederherstellen?

Vielen Dank für die Hilfe

Logfile of HijackThis v1.97.7
Scan saved at 12:44:48, on 02.05.2004
Platform: Windows XP SP1 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP1 (6.00.2800.1106)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\System32\Ati2evxx.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\spoolsv.exe
C:\Programme\Gemeinsame Dateien\Symantec Shared\ccEvtMgr.exe
C:\Programme\Norton AntiVirus\navapsvc.exe
C:\WINDOWS\system32\Ati2evxx.exe
C:\WINDOWS\Explorer.EXE
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\SOUNDMAN.EXE
C:\WINDOWS\System32\carpserv.exe
C:\Programme\ATI Technologies\ATI Control Panel\atiptaxx.exe
C:\Programme\Gemeinsame Dateien\Symantec Shared\ccApp.exe
C:\Program Files\Siemens\Adsl\dslstat.exe
C:\Program Files\Siemens\Adsl\dslagent.exe
C:\Programme\Gemeinsame Dateien\ACD Systems\DE\DevDetect.exe
C:\Program Files\AutoUpdate\AutoUpdate.exe
C:\Programme\CyberLink\PowerDVD\PDVDServ.exe
C:\WINDOWS\System32\ctfmon.exe
C:\Programme\ATI Multimedia\main\launchpd.exe
C:\Programme\ATI Multimedia\RemCtrl\ATIRW.exe
C:\Programme\Pinnacle\Shared Files\InstantCDDVD\PCLETray.exe
C:\Programme\ATI Multimedia\main\ATISched.EXE
C:\Programme\Meaya\Popup Ad Filter\PopFilter.exe
C:\Programme\SpywareGuard\sgmain.exe
C:\WINDOWS\System32\rundll32.exe
C:\Programme\SpywareGuard\sgbhp.exe
C:\Programme\Internet Explorer\iexplore.exe
C:\Dokumente und Einstellungen\Hatschi\Desktop\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://login.passport.net/uilogin.srf?id=2
R1 - HKCU\Software\Microsoft\Internet Explorer\Search,SearchAssistant = res://C:\WINDOWS\System32\geojg.dll/sp.html (obfuscated)
R0 - HKLM\Software\Microsoft\Internet Explorer\Search,SearchAssistant = res://C:\WINDOWS\System32\geojg.dll/sp.html (obfuscated)
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,HomeOldSP = about:blank
R1 - HKCU\Software\Microsoft\Internet Connection Wizard,Shellnext = http://windowsupdate.microsoft.com/
O2 - BHO: (no name) - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Programme\Adobe\Acrobat 6.0\Reader\ActiveX\AcroIEHelper.dll
O2 - BHO: SpywareGuard Download Protection - {4A368E80-174F-4872-96B5-0B27DDD11DB2} - C:\Programme\SpywareGuard\dlprotect.dll
O2 - BHO: NAV Helper - {BDF3E430-B101-42AD-A544-FADC6B084872} - C:\Programme\Norton AntiVirus\NavShExt.dll
O3 - Toolbar: Norton AntiVirus - {42CDD1BF-3FFB-4238-8AD1-7859DF00B1D6} - C:\Programme\Norton AntiVirus\NavShExt.dll
O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINDOWS\System32\msdxm.ocx
O4 - HKLM\..\Run: [SoundMan] SOUNDMAN.EXE
O4 - HKLM\..\Run: [CARPService] carpserv.exe
O4 - HKLM\..\Run: [ATIPTA] C:\Programme\ATI Technologies\ATI Control Panel\atiptaxx.exe
O4 - HKLM\..\Run: [PinnacleDriverCheck] C:\WINDOWS\System32\PSDrvCheck.exe
O4 - HKLM\..\Run: [ccApp] "C:\Programme\Gemeinsame Dateien\Symantec Shared\ccApp.exe"
O4 - HKLM\..\Run: [ccRegVfy] "C:\Programme\Gemeinsame Dateien\Symantec Shared\ccRegVfy.exe"
O4 - HKLM\..\Run: [Norton] C:\Programme\ASUS\WLAN Card Utilities\NorExec.exe
O4 - HKLM\..\Run: [DSLSTATEXE] C:\Program Files\Siemens\Adsl\dslstat.exe icon
O4 - HKLM\..\Run: [DSLAGENTEXE] C:\Program Files\Siemens\Adsl\dslagent.exe
O4 - HKLM\..\Run: [Device Detector] "C:\Programme\Gemeinsame Dateien\ACD Systems\DE\DevDetect.exe" -autorun
O4 - HKLM\..\Run: [AutoUpdater] "C:\Program Files\AutoUpdate\AutoUpdate.exe"
O4 - HKLM\..\Run: [RemoteControl] C:\Programme\CyberLink\PowerDVD\PDVDServ.exe
O4 - HKLM\..\Run: [NeroFilterCheck] C:\WINDOWS\system32\NeroCheck.exe
O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\ctfmon.exe
O4 - HKCU\..\Run: [ATI Launchpad] "C:\Programme\ATI Multimedia\main\launchpd.exe"
O4 - HKCU\..\Run: [ATI Remote Control] C:\Programme\ATI Multimedia\RemCtrl\ATIRW.exe
O4 - HKCU\..\Run: [InstantTray] C:\Programme\Pinnacle\Shared Files\InstantCDDVD\PCLETray.exe
O4 - HKCU\..\Run: [ATI Scheduler] C:\Programme\ATI Multimedia\main\ATISched.EXE
O4 - HKCU\..\Run: [Popup Ad Filter] C:\Programme\Meaya\Popup Ad Filter\PopFilter.exe
O4 - Startup: SpywareGuard.lnk = C:\Programme\SpywareGuard\sgmain.exe
O4 - Global Startup: Adobe Gamma Loader.lnk = C:\Programme\Gemeinsame Dateien\Adobe\Calibration\Adobe Gamma Loader.exe
O4 - Global Startup: Microsoft Office.lnk = C:\Programme\Microsoft Office\Office\OSA9.EXE
O9 - Extra button: ATI TV (HKLM)
O9 - Extra button: Real.com (HKLM)
O9 - Extra button: Messenger (HKLM)
O9 - Extra 'Tools' menuitem: Windows Messenger (HKLM)
O16 - DPF: {74D05D43-3236-11D4-BDCD-00C04F9A3B61} (HouseCall-Kontrolle) - http://a840.g.akamai.net/7/840/537/2004 ... scan53.cab
O16 - DPF: {9F1C11AA-197B-4942-BA54-47A8489BB47F} (Update Class) - http://v4.windowsupdate.microsoft.com/C ... .301712963
O17 - HKLM\System\CCS\Services\Tcpip\..\{D45C810D-04CE-4A05-A613-98802D046338}: NameServer = 195.70.224.45 213.90.38.3

Zuerst laedst du folgende Programme.


Lade den CWShredder (von dieser Site laden )...ist der aktuellste
http://board.protecus.de/showtopic.php?threadid=9373

Lade AdAware....updaten.
http://download.com.com/3000-8022-10214 ... ag=lst-3-8

Lade Antiviren-Tool:
http://www.soft411.com/company/MicroWor ... oolkit.htm
(save to disc< und dann die mwav.exe suchen...entpacken...alle Dateien scannen

ClearProg
http://www.clearprog.de/


Dann fixt du mit dem HijackThis folgendes:

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://login.passport.net/uilogin.srf?id=2
R1 - HKCU\Software\Microsoft\Internet Explorer\Search,SearchAssistant = res://C:\WINDOWS\System32\geojg.dll/sp.html (obfuscated)
R0 - HKLM\Software\Microsoft\Internet Explorer\Search,SearchAssistant = res://C:\WINDOWS\System32\geojg.dll/sp.html (obfuscated)
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,HomeOldSP = about:blank


O4 - HKLM\..\Run: [AutoUpdater] "C:\Program Files\AutoUpdate\AutoUpdate.exe"

(Was ist das fuer ein Programm??????Fixe es nicht, wenn es irgendeinen Zweck erfuellt. Schreibe mal,, wozu es dient)

NEUSTARTEN UND IN DEN ABGESICHERTEN MODUS GEHEN (F8 beim Hochfahren druecken)
-------------------------------------------------------------------------------------
mit den Tools den Comp. scannen...


Eventuell musst du die geojg.dll manuell suche und loeschen !

DAZU im Exporer unter EXtras/Ordneroptionen/Ansicht/Versteckte Dateien und Ordner "Alle Dateien und Ordner anzeigen" und mit der Suchfunktion finden .



Dann mit ClearProg den IE saeubern und unter InternetOptionen die Startseite neu einstellen.

Dann machst du noch einen Online-Scann mit Pestpatrol
http://www.pestscan.com/Scan.asp

Dann Firefox als Zeitbrowser laden ...ist viel sicherer.
http://www.firebird-browser.de/
-----------------------------------------------------------------------------------
Dann poste dein Log noch einmal.

MfG
Nikita

Soll ich den alten Shredder und Spybot entfernen?

Läuft das AntivirenTool auch mit Norton gemeinsam?

Bei ClearProg soll ich welches runterladen (1.4.1. Beta 7 oder 1.4.0 Final)?

Also mit Hijack fixen kann ich mittlerweile schon. ))

Wofür das Programm AutoUpdate.exe ist weiß ich nicht, keine Ahnung.

Was ist Firefox?

Danke für Deine Hilfe.

1----Das AutoUpdate.exe ist vielleicht ein Trojaner ....nimm es mal aus dem Autostart .
Start<Ausfuehren<msconfig reinschreiben <Systemstart ....das Haeckchen davor rausnehmen

neustarten.

Dann suchst du die <AutoUpdate.exe< ueber die Suchfunktion und loescht

DAZU im Exporer unter EXtras/Ordneroptionen/Ansicht/Versteckte Dateien und Ordner "Alle Dateien und Ordner anzeigen"

auch C:\Program Files\AutoUpdate\AutoUpdate.exe loeschen !

Start<Ausfuehren<regedit reinschreiben

es oeffnet sich die Registry
Gehe zu folgendem Schlussel und loesche auf der rechten Seite :


HKEY_LOCAL_MACHINE \ SOFTWARE \ Microsoft \ Windows \ CurrentVersion \ Run....................................AutoUpdate.exe


----------------------------------------------------------------------------------------------------
2-------AdAware und Spybot sind o.k. wenn du sie hast , du musst sie nur aktualisieren (updaten)

3.--------die mwav.exe (oder eScan) macht keine Probleme mit anderen Virenscannern.


4--------Lade die Finalversion von ClearProg 1.4.0 Finall


MfG
Nikita

Okendoken, werde mal tun. )

Dauert vielleicht ein bischen, aber die Zeit nehme ich mir, werde dann wieder mein log posten.

Danke

3 Fragen noch:

-) Wann soll ich wieder in den sicheren Mode gehen? Vor dem IE säubern mit ClearProg oder nachher?

-) Bei den Seiten von AdAware und Anti-Virus-Toolkit tut sich nichts beim Runterladen.

-) Autoupdate.exe ist nicht im Autostart ??? Hab's aber schon bei den Program Files rausgelöscht. In der Registry ist auch nichts drinnen.

1----------AutoUpdate.exe ist aus dem Autostart. aus der Registry und ueber die Suchfunktion geloescht....ist o.k.


2---------wenn du das Antivirentool laedst,es kann sein, dass beim blossen Klick auf <download< nichts passiert....Da musst du mit der rechten Maustaste druecken und dann <openLink this Website<

...download, akzeptiere <save to disc< ...dann suche die mwav.exe .


3..........AdAware unter Lavasoft
Suche die Free-Version von AdAware

http://lavasoft.element5.com/german/support/download/

4------saeubere den IE mit ClearProg im normalen Windows ...und stelle die Startseite neu ein.

5...dann lade den Firefox und poste dein Log noch einmal.

http://www.firebird-browser.de/

MfG
Nikita

Hallo nikita,

habe alles durchgeführt. Hier das neue logfile:

Logfile of HijackThis v1.97.7
Scan saved at 17:10:50, on 02.05.2004
Platform: Windows XP SP1 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP1 (6.00.2800.1106)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\System32\Ati2evxx.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\spoolsv.exe
C:\Programme\Gemeinsame Dateien\Symantec Shared\ccEvtMgr.exe
C:\Programme\Norton AntiVirus\navapsvc.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\Ati2evxx.exe
C:\WINDOWS\Explorer.EXE
C:\WINDOWS\SOUNDMAN.EXE
C:\WINDOWS\System32\carpserv.exe
C:\Programme\ATI Technologies\ATI Control Panel\atiptaxx.exe
C:\Programme\Gemeinsame Dateien\Symantec Shared\ccApp.exe
C:\Program Files\Siemens\Adsl\dslstat.exe
C:\Program Files\Siemens\Adsl\dslagent.exe
C:\Programme\Gemeinsame Dateien\ACD Systems\DE\DevDetect.exe
C:\Programme\CyberLink\PowerDVD\PDVDServ.exe
C:\WINDOWS\System32\ctfmon.exe
C:\Programme\ATI Multimedia\main\launchpd.exe
C:\Programme\ATI Multimedia\RemCtrl\ATIRW.exe
C:\Programme\Pinnacle\Shared Files\InstantCDDVD\PCLETray.exe
C:\Programme\ATI Multimedia\main\ATISched.EXE
C:\WINDOWS\System32\rundll32.exe
C:\Programme\Meaya\Popup Ad Filter\PopFilter.exe
C:\Programme\SpywareGuard\sgmain.exe
C:\Programme\SpywareGuard\sgbhp.exe
C:\Programme\Internet Explorer\iexplore.exe
C:\Dokumente und Einstellungen\Hatschi\Desktop\HijackThis.exe
C:\Programme\Messenger\msmsgs.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://login.passport.net/uilogin.srf?id=2
R1 - HKCU\Software\Microsoft\Internet Connection Wizard,Shellnext = http://windowsupdate.microsoft.com/
O2 - BHO: (no name) - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Programme\Adobe\Acrobat 6.0\Reader\ActiveX\AcroIEHelper.dll
O2 - BHO: SpywareGuard Download Protection - {4A368E80-174F-4872-96B5-0B27DDD11DB2} - C:\Programme\SpywareGuard\dlprotect.dll
O2 - BHO: NAV Helper - {BDF3E430-B101-42AD-A544-FADC6B084872} - C:\Programme\Norton AntiVirus\NavShExt.dll
O3 - Toolbar: Norton AntiVirus - {42CDD1BF-3FFB-4238-8AD1-7859DF00B1D6} - C:\Programme\Norton AntiVirus\NavShExt.dll
O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINDOWS\System32\msdxm.ocx
O4 - HKLM\..\Run: [SoundMan] SOUNDMAN.EXE
O4 - HKLM\..\Run: [CARPService] carpserv.exe
O4 - HKLM\..\Run: [ATIPTA] C:\Programme\ATI Technologies\ATI Control Panel\atiptaxx.exe
O4 - HKLM\..\Run: [PinnacleDriverCheck] C:\WINDOWS\System32\PSDrvCheck.exe
O4 - HKLM\..\Run: [ccApp] "C:\Programme\Gemeinsame Dateien\Symantec Shared\ccApp.exe"
O4 - HKLM\..\Run: [ccRegVfy] "C:\Programme\Gemeinsame Dateien\Symantec Shared\ccRegVfy.exe"
O4 - HKLM\..\Run: [Norton] C:\Programme\ASUS\WLAN Card Utilities\NorExec.exe
O4 - HKLM\..\Run: [DSLSTATEXE] C:\Program Files\Siemens\Adsl\dslstat.exe icon
O4 - HKLM\..\Run: [DSLAGENTEXE] C:\Program Files\Siemens\Adsl\dslagent.exe
O4 - HKLM\..\Run: [Device Detector] "C:\Programme\Gemeinsame Dateien\ACD Systems\DE\DevDetect.exe" -autorun
O4 - HKLM\..\Run: [RemoteControl] C:\Programme\CyberLink\PowerDVD\PDVDServ.exe
O4 - HKLM\..\Run: [NeroFilterCheck] C:\WINDOWS\system32\NeroCheck.exe
O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\ctfmon.exe
O4 - HKCU\..\Run: [ATI Launchpad] "C:\Programme\ATI Multimedia\main\launchpd.exe"
O4 - HKCU\..\Run: [ATI Remote Control] C:\Programme\ATI Multimedia\RemCtrl\ATIRW.exe
O4 - HKCU\..\Run: [InstantTray] C:\Programme\Pinnacle\Shared Files\InstantCDDVD\PCLETray.exe
O4 - HKCU\..\Run: [ATI Scheduler] C:\Programme\ATI Multimedia\main\ATISched.EXE
O4 - HKCU\..\Run: [Popup Ad Filter] C:\Programme\Meaya\Popup Ad Filter\PopFilter.exe
O4 - Startup: SpywareGuard.lnk = C:\Programme\SpywareGuard\sgmain.exe
O4 - Global Startup: Adobe Gamma Loader.lnk = C:\Programme\Gemeinsame Dateien\Adobe\Calibration\Adobe Gamma Loader.exe
O4 - Global Startup: Microsoft Office.lnk = C:\Programme\Microsoft Office\Office\OSA9.EXE
O9 - Extra button: ATI TV (HKLM)
O9 - Extra button: Real.com (HKLM)
O9 - Extra button: Messenger (HKLM)
O9 - Extra 'Tools' menuitem: Windows Messenger (HKLM)
O16 - DPF: ppctlcab - http://www.pestscan.com/scanner/ppctlcab.cab
O16 - DPF: {2FC9A21E-2069-4E47-8235-36318989DB13} (PPSDKActiveXScanner.MainScreen) - http://www.pestscan.com/scanner/axscanner.cab
O16 - DPF: {74D05D43-3236-11D4-BDCD-00C04F9A3B61} (HouseCall-Kontrolle) - http://a840.g.akamai.net/7/840/537/2004 ... scan53.cab
O16 - DPF: {9F1C11AA-197B-4942-BA54-47A8489BB47F} (Update Class) - http://v4.windowsupdate.microsoft.com/C ... .301712963
O17 - HKLM\System\CCS\Services\Tcpip\..\{D45C810D-04CE-4A05-A613-98802D046338}: NameServer = 195.70.224.45 213.90.38.3

Es sind auch keine Meldung mehr bezüglich BHO und IE Start Page, ... mehr gekommen.

War's das?

Dann ist ja alles o.k., Glueckwunsch.
MfG
Nikita

Ich danke Dir.

Welche meiner folgenden Programme soll ich behalten bzw. von Zeit zu Zeit nutzen:

-) Spyware Guard
-) RegCleaner
-) Clear Prog
-) PV
-) XPClean
-) HijackThis
-) CWShredder
-) Spybot
-) Killbox
-) AdAware
-) mwav

Diese habe ich in den letzen Wochen angesammelt um der Lage Herr zu werden.

Killbox und PV habe ich eigentlich nie verwendet.

Dies ist (hoffentlich) die letzte Frage.

Danke nochmals

Killbox und PV kenne ich nicht, kann also nichts dazu sagen.

Alle anderen sollten einmal pro Woche angewendet und (einige davon ) aktualisiert werden

MfG
Nikita

Sodalla, ein muchas gracias nochmals an Dich.

Werde mich nur noch bei Bedarf melden, denn mein "Werdegang" hier ist eh dokumentiert und daß es geklappt hat kann ich nur bestätigen.

Liebe Grüße und weiterhin viel Erfolg beim Würmer killen, Trojaner bekämpfen und Hijackern abblocken.

Bussi, baba