Hi,

ich glaube, ich wurde auch gehijacked Imemr wenn ich den Firefox oder den IE starte tut sich ein Popup auf, egal welche HP ich besuche.. im Taskmanager sehe ich, dass IEXPLORE.EXE mit 2 Threads gestartet ist, beende ich den Prozess, starten sich beide wieder neu. Kann mir evtl. jmd. anhand des Logfiles helfen?

Danke im Voraus

Logfile of HijackThis v1.99.1
Scan saved at 16:13:06, on 09.07.2006
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\SYSTEM32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\Programme\Gemeinsame Dateien\Symantec Shared\ccSetMgr.exe
C:\Programme\Gemeinsame Dateien\Symantec Shared\ccEvtMgr.exe
C:\WINDOWS\system32\spoolsv.exe
G:\AntiVir PersonalEdition Classic\sched.exe
G:\AntiVir PersonalEdition Classic\avguard.exe
K:\system\ioservice.exe
K:\system\ioFTPD.exe
G:\Norton Ghost\Agent\VProSvc.exe
C:\WINDOWS\system32\nvsvc32.exe
C:\WINDOWS\system32\oodag.exe
G:\Alcohol Soft\Alcohol 120\StarWind\StarWindService.exe
C:\WINDOWS\Explorer.EXE
C:\Programme\Microsoft IntelliPoint\ipoint.exe
C:\Programme\Microsoft IntelliType Pro\itype.exe
C:\Programme\Motherboard Monitor 5\MBM5.EXE
C:\Programme\Philips\Aurilium Sound Agent 2\805cpl.exe
C:\Programme\Gemeinsame Dateien\Symantec Shared\ccApp.exe
G:\Norton Ghost\Agent\GhostTray.exe
G:\PowerDVD\PDVDServ.exe
G:\SlySoft\CloneCD\CloneCDTray.exe
G:\AntiVir PersonalEdition Classic\avgnt.exe
C:\WINDOWS\system32\ctfmon.exe
C:\Programme\Microsoft ActiveSync\wcescomm.exe
G:\Cooling\S2kCtl.exe
C:\PROGRA~1\MICROS~4\rapimgr.exe
C:\WINDOWS\System32\svchost.exe
G:\TrueCrypt\TrueCrypt.exe
I:\SpamPal\spampal.exe
I:\Trillian\Trillian\trillian.exe
I:\mIRC\mirc.exe
G:\emule\emule.exe
c:\progra~1\intern~1\iexplore.exe
C:\Programme\Internet Explorer\iexplore.exe
G:\ewido anti-spyware 4.0\guard.exe
G:\ewido anti-spyware 4.0\ewido.exe
G:\Winamp\Winamp.exe
C:\WINDOWS\system32\taskmgr.exe
I:\Firefox\firefox.exe
G:\Temp\HijackThis.exe
G:\Microsoft Office\OFFICE11\OUTLOOK.EXE
G:\Microsoft Office\OFFICE11\WINWORD.EXE

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Bar = http://www.google.de
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.winhelpline.info
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://www.winhelpline.info
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.winhelpline.info
O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - g:\Acrobat\Reader\ActiveX\AcroIEHelper.ocx
O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\system32\NvCpl.dll,NvStartup
O4 - HKLM\..\Run: [nwiz] nwiz.exe /install
O4 - HKLM\..\Run: [IntelliPoint] "C:\Programme\Microsoft IntelliPoint\ipoint.exe"
O4 - HKLM\..\Run: [itype] "C:\Programme\Microsoft IntelliType Pro\itype.exe"
O4 - HKLM\..\Run: [NeroFilterCheck] C:\WINDOWS\system32\NeroCheck.exe
O4 - HKLM\..\Run: [MBM 5] "C:\Programme\Motherboard Monitor 5\MBM5.EXE"
O4 - HKLM\..\Run: [QveCtl2Tray] C:\Programme\Philips\Aurilium Sound Agent 2\805cpl.exe
O4 - HKLM\..\Run: [ccApp] "C:\Programme\Gemeinsame Dateien\Symantec Shared\ccApp.exe"
O4 - HKLM\..\Run: [Norton Ghost 10.0] "G:\Norton Ghost\Agent\GhostTray.exe"
O4 - HKLM\..\Run: [RemoteControl] G:\PowerDVD\PDVDServ.exe
O4 - HKLM\..\Run: [CloneCDTray] "G:\SlySoft\CloneCD\CloneCDTray.exe" /s
O4 - HKLM\..\Run: [avgnt] "G:\AntiVir PersonalEdition Classic\avgnt.exe" /min
O4 - HKLM\..\Run: [!ewido] "G:\ewido anti-spyware 4.0\ewido.exe" /minimized
O4 - HKLM\..\Run: [MSConfig] C:\WINDOWS\PCHealth\HelpCtr\Binaries\MSConfig.exe /auto
O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\ctfmon.exe
O4 - HKCU\..\Run: [H/PC Connection Agent] "C:\Programme\Microsoft ActiveSync\wcescomm.exe"
O4 - HKCU\..\Run: [Cake bolt] C:\DOKUME~1\ManU\ANWEND~1\CREATI~1\seekmemo.exe
O4 - Startup: Verknüpfung mit S2kCtl.exe.lnk = G:\Cooling\S2kCtl.exe
O9 - Extra button: Recherchieren - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - G:\MICROS~1\OFFICE11\REFIEBAR.DLL
O17 - HKLM\System\CCS\Services\Tcpip\..\{9EA37042-6038-4D91-A3CE-2FB0C57C65CC}: NameServer = 192.168.0.1
O23 - Service: AntiVir PersonalEdition Classic Planer (AntiVirScheduler) - Avira GmbH - G:\AntiVir PersonalEdition Classic\sched.exe
O23 - Service: AntiVir PersonalEdition Classic Guard (AntiVirService) - AVIRA GmbH - G:\AntiVir PersonalEdition Classic\avguard.exe
O23 - Service: Symantec Event Manager (ccEvtMgr) - Symantec Corporation - C:\Programme\Gemeinsame Dateien\Symantec Shared\ccEvtMgr.exe
O23 - Service: Symantec Password Validation (ccPwdSvc) - Symantec Corporation - C:\Programme\Gemeinsame Dateien\Symantec Shared\ccPwdSvc.exe
O23 - Service: Symantec Settings Manager (ccSetMgr) - Symantec Corporation - C:\Programme\Gemeinsame Dateien\Symantec Shared\ccSetMgr.exe
O23 - Service: ewido anti-spyware 4.0 guard - Anti-Malware Development a.s. - G:\ewido anti-spyware 4.0\guard.exe
O23 - Service: ioFTPD - Unknown owner - K:\system\ioservice.exe
O23 - Service: Norton Ghost - Symantec Corporation - G:\Norton Ghost\Agent\VProSvc.exe
O23 - Service: NVIDIA Display Driver Service (NVSvc) - NVIDIA Corporation - C:\WINDOWS\system32\nvsvc32.exe
O23 - Service: O&O Defrag - O&O Software GmbH - C:\WINDOWS\system32\oodag.exe
O23 - Service: StarWind iSCSI Service (StarWindService) - Rocket Division Software - G:\Alcohol Soft\Alcohol 120\StarWind\StarWindService.exe
O23 - Service: Symantec Core LC - Symantec Corporation - C:\Programme\Gemeinsame Dateien\Symantec Shared\CCPD-LC\symlcsvc.exe

Darf ich mal fragen:
Wieviele Partitionen hast du?

hab da nur ne Idee, bin mir jetzt nich ganz sicher, aber starten sich jedesmal die zwei gleichen Seiten (www.winhelpline.info)?

Partitionen? 7 physische und 2 gemountete.

Ja, die Winhelpline ist auch Startseite im IE, weil ich damals deren Patch-CD für XP installiert hatte. Aber damit kann dieses Popup nicht zusammenhängen, denn das kam jetzt erst die Tage.. achso.. in der Titelleiste des Pops steht imme rirgendwas von wegen "FirstAd" oder so.

mossox hat geschrieben:Partitionen? 7 physische und 2 gemountete.

darf ich kurz zwischenfragen was das heißt?

DrunkenMonkey06 / 1111db

Bei HijackThis-Logs oder verdacht auf Verseuchung schreibt ihr mich bitte per PM an!

============

mossox

Cleanup
Nutze Cleanup wie beschrieben:
http://virus-protect.org/cleanup.html

Arbeite das hier ab ==> Poste alle 4 Logs der letzten 3 Monate:
http://virus-protect.org/datfindbat.html

regsearch
Lade das Programm "Registry-Search":
http://www.bleepingcomputer.com/files/regsearch.php

Oeffne es ==> Kopiere den Untenstehenden Text unter "Enter search strings" Ein ==> Start

Ein Editor oeffnet sich aus dem du den gesamten Text abkopierst und hier einfuegst.
http://virus-protect.org/artikel/bilder/bobby.gif

ioFTPD

==================

MfG,

Datentr„ger in Laufwerk C: ist Betriebssystem
Volumeseriennummer: 385A-4BD4

Verzeichnis von C:\WINDOWS\system32

system32.txt

09.07.2006 17:46 43.573 nvapps.xml
09.07.2006 13:19 434.822 perfh007.dat
09.07.2006 13:19 68.640 perfc009.dat
09.07.2006 13:19 415.512 perfh009.dat
09.07.2006 13:19 83.806 perfc007.dat
09.07.2006 13:19 1.016.110 PerfStringBackup.INI
09.07.2006 13:15 6.984 OODBS.lor
06.07.2006 18:33 2.206 wpa.dbl
20.06.2006 22:28 536.643 wbtapi.dll
15.06.2006 22:23 57.384 avsda.dll
10.06.2006 14:54 219.248 FNTCACHE.DAT
05.06.2006 12:16 116.224 redmonnt.dll
04.06.2006 10:58 548.864 dfxg11.dll
18.05.2006 22:59 191.488 hlvdd.dll
16.05.2006 22:23 339.968 pxwave.dll
16.05.2006 22:23 28.672 vxblock.dll
16.05.2006 22:23 56.832 pxinsa64.exe
16.05.2006 22:23 176.128 pxmas.dll
16.05.2006 22:23 430.080 px.dll
16.05.2006 22:23 1.257.472 pxsfs.dll
16.05.2006 22:23 61.440 pxhpinst.exe
16.05.2006 22:23 450.560 pxdrv.dll
16.05.2006 22:23 57.344 pxcpya64.exe
14.05.2006 17:56 43.668 xvid-uninstall.exe
11.05.2006 00:05 143 AU8Settings.ini
21.04.2006 15:26 226.832 ddbacctm.cpl
21.04.2006 15:26 792.080 ddbaccpl.cpl
11.04.2006 21:09 219.136 uxtheme.dll
11.04.2006 21:09 131.712 HAL.DLL
11.04.2006 21:09 61.440 mmcshext.dll
11.04.2006 21:09 33.792 mmcperf.exe
11.04.2006 21:09 1.916.928 mmcndmgr.dll
11.04.2006 21:09 106.496 mmcfxcommon.dll
11.04.2006 21:09 397.312 mmcex.dll
11.04.2006 21:09 169.984 mmcbase.dll
11.04.2006 21:09 184.320 microsoft.managementconsole.dll
11.04.2006 21:09 1.354.240 mmc.exe
11.04.2006 21:09 148.480 cic.dll
11.04.2006 21:09 679.424 inetcomm.dll
11.04.2006 21:08 270.848 oakley.dll
24.03.2006 06:37 49.152 wdigest.dll

Datentr„ger in Laufwerk C: ist Betriebssystem
Volumeseriennummer: 385A-4BD4

temp.txt

Verzeichnis von C:\DOKUME~1\ManU\LOKALE~1\Temp

09.07.2006 17:46 52.132 WCESLog.log
09.07.2006 17:46 468 WCESCOMM.LOG
09.07.2006 17:46 16.384 Perflib_Perfdata_f68.dat
3 Datei(en) 68.984 Bytes
0 Verzeichnis(se), 5.693.005.824 Bytes frei

Datentr„ger in Laufwerk C: ist Betriebssystem
Volumeseriennummer: 385A-4BD4

windows.txt

Verzeichnis von C:\WINDOWS

09.07.2006 16:58 159 wiadebug.log
09.07.2006 16:58 0 wiaservc.log
09.07.2006 16:08 227 system.ini
09.07.2006 16:08 779 win.ini
09.07.2006 13:21 143.333 WindowsUpdate.log
09.07.2006 13:16 0 0.log
09.07.2006 13:15 8.405.015 TempFile
09.07.2006 13:15 2.048 bootstat.dat
09.07.2006 13:14 32.574 SchedLgU.Txt
09.07.2006 02:27 116 NeroDigital.ini
09.07.2006 01:53 588.953 setupapi.log
02.07.2006 17:40 296 CleaningLab.INI
25.06.2006 03:15 2.096 wmsetup.log
20.06.2006 22:32 49 WtgAssistant.INI
16.06.2006 12:36 193.650 setupact.log
15.06.2006 20:05 387 nsw.log
10.06.2006 14:54 923 spupdsvc.log
10.06.2006 14:51 1.374 imsins.log
10.06.2006 14:51 25.851 ocmsn.log
10.06.2006 14:51 165.930 comsetup.log
10.06.2006 14:51 219.006 tsoc.log
10.06.2006 14:51 35.617 basecsp.log
10.06.2006 14:51 24.266 tabletoc.log
10.06.2006 14:51 98.822 ntdtcsetup.log
10.06.2006 14:51 542.701 iis6.log
10.06.2006 14:51 230.516 ocgen.log
10.06.2006 14:51 82.932 netfxocm.log
10.06.2006 14:51 32.937 MedCtrOC.log
10.06.2006 14:51 23.293 msgsocm.log
10.06.2006 14:51 469.085 FaxSetup.log
10.06.2006 14:51 150.790 msmqinst.log
10.06.2006 14:51 1.374 imsins.BAK
10.06.2006 14:50 316.640 WMSysPr9.prx
10.06.2006 14:50 21.676 updspapi.log
10.06.2006 14:45 27.897 KB904412.log
10.06.2006 14:41 17.980 KB890046.log
06.06.2006 18:29 241 Clony2.ini
06.06.2006 18:28 24 ClonyCDs.ini
06.06.2006 18:17 78 KurusDeinstall.INI
06.06.2006 18:08 165 dvinesinstalllocation001.INI
06.06.2006 18:08 165 dvinesinstart001.INI
06.06.2006 18:08 78 Startup.INI
05.06.2006 12:21 772 ODBC.INI
03.06.2006 13:00 630.784 fpuninst.exe
19.05.2006 16:30 1.558 MKDEMSG.LOG
18.05.2006 23:13 161 DEINSTAL.INI
18.05.2006 23:08 66.806 SQL2000-KB884856-v8.00.0977-x86-DEU.log
18.05.2006 23:08 818 SQLServerClient_Hotfix_KB884856_qfe472197.sql.log
18.05.2006 23:08 40 SQLServerClient_Hotfix_KB884856_qfe469315.sql.log
18.05.2006 23:08 0 SQLServerClient_Hotfix_KB884856_qfe469571.sql.log
18.05.2006 23:08 0 SQLServerClient_Hotfix_KB884856_drop_repl_hotfix.sql.log
18.05.2006 23:08 356 SQLServerClient_Hotfix_KB884856_sp_replication_hotfix_installer.log
18.05.2006 23:08 0 SQLServerClient_Hotfix_KB884856_inst_repl_hotfix.sql.log
18.05.2006 23:08 279.700 SQLServerClient_Hotfix_KB884856_sp3_serv_uni.sql.log
18.05.2006 23:08 25.491 SQLServerClient_Hotfix_KB884856_repltran.sql.log
18.05.2006 23:08 27.538 SQLServerClient_Hotfix_KB884856_replmerg.sql.log
18.05.2006 23:07 31.753 SQLServerClient_Hotfix_KB884856_replsys.sql.log
18.05.2006 22:59 10.393 aksdrvsetup.log
15.05.2006 22:53 2.066 ModemLog_Bluetooth LAP Modem #2.txt
15.05.2006 22:52 2.066 ModemLog_Bluetooth LAP Modem.txt
15.05.2006 22:52 2.662 ModemLog_Bluetooth DUN Modem.txt
15.05.2006 22:51 2.656 ModemLog_Bluetooth Fax Modem.txt
08.05.2006 21:28 148 buhl.ini
04.05.2006 23:57 3.072 MKDEWE.TRN
04.05.2006 23:23 115 mandant.ini
04.05.2006 22:45 0 batch.INI
16.04.2006 21:50 121 GEARInstall.log
02.04.2006 13:38 16 wininit.ini
02.04.2006 12:43 1.174 OEWABLog.txt
131 Datei(en) 18.392.284 Bytes
0 Verzeichnis(se), 5.692.997.632 Bytes frei

Datentr„ger in Laufwerk C: ist Betriebssystem
Volumeseriennummer: 385A-4BD4

c.txt

Verzeichnis von C:\

09.07.2006 17:54 0 sys.txt
09.07.2006 17:53 7.286 system.txt
09.07.2006 17:52 404 systemtemp.txt
09.07.2006 17:49 109.695 system32.txt
09.07.2006 16:08 211 boot.ini
09.07.2006 13:15 1.610.612.736 pagefile.sys
02.07.2006 16:56 13.030 PDOXUSRS.NET
06.06.2006 18:16 52.794 B05_Err.log
17.05.2006 23:12 4.096 VSNAP.IDX

18 Datei(en) 1.611.104.482 Bytes
0 Verzeichnis(se), 5.692.993.536 Bytes frei

Registry Search hängt sich leider immer auf. Hoffe, dass ich alles richtig gemacht habe.

lg

da ist der Swizzor-Trojaner drauf und du hast ihn selbst, zusammen mit einem Programm geladen.

auf C:\ laden/entpacken:

look.zip laden - entpacken - look.bat - doppeltklicken - kopiere den Text ab, der erscheint
http://virus-protect.org/zip/look.zip