spybot und Exploit-eintraege

von **distel.hf** am 07.09.2004, 08:17

Hi;
wenn bei mir bei xp-prof die spybotsuche gelaufen ist,habe
ich immer wieder 5 DSO-Exploit eintraege.
wollte sie nun entfernen und hatte dazu gelesen,dass der folg.
schluessel geaendert werden muss..
HKEY_USERS\.DEFAULT\SOFTWARE\MICROSOFT\WINDOWS\CURRENTVERSION\INTERNETSETTINGS\Zones\0\1004
und zwar ueber aendern 0x0000000_ und dann an der
leerstelle ne 3 eingeben.
leider hat sich beim naechsten suchlauf nichts geaendert,d..h.
die 5 DSO-Exploit eintraege erscheinen immer noch... :roll:

was mache ich falsch??
thx for help..
distel

von **Computerdirk** am 07.09.2004, 10:15

Hallöchen,

schau mal unter folgendem Link nach, dort hatten wir das Thema schon einmal...

http://www.informationsarchiv.net/foren/h_beitrag-7689-exploit.html

von **Computerdirk** am 07.09.2004, 15:38

Hallöchen,

hier mal nachgereicht das Logfile, bekam ich per Email:

Logfile of HijackThis v1.98.2
Scan saved at 11:13:53, on 07.09.2004
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\spoolsv.exe
C:\WINDOWS\Explorer.EXE
C:\WINDOWS\System32\spool\drivers\w32x86\3\hpztsb04.exe
C:\Programme\Java\j2re1.5.0\bin\jusched.exe
C:\Programme\Gemeinsame Dateien\Symantec Shared\ccApp.exe
C:\WINDOWS\System32\00THotkey.exe
C:\Programme\TOSHIBA\TOSHIBA Controls\TFncKy.exe
C:\WINDOWS\system32\TDispVol.exe
C:\Programme\Gemeinsame Dateien\Real\Update_OB\realsched.exe
C:\Programme\Gemeinsame Dateien\Microsoft Shared\Works Shared\WkUFind.exe
C:\Programme\AVMCLIENT\bluefritz!.exe
C:\Programme\Tweak-XP Pro 3\AdBlocker.exe
C:\WINDOWS\system32\ctfmon.exe
C:\Programme\Toshiba\Bluetooth Toshiba Stack\TosBtMng.exe
C:\Programme\Gemeinsame Dateien\Microsoft Shared\Works Shared\wkcalrem.exe
C:\Programme\Toshiba\Bluetooth Toshiba Stack\TosA2dp.exe
C:\Programme\Toshiba\Bluetooth Toshiba Stack\TosAVRC.exe
C:\Programme\Gemeinsame Dateien\Symantec Shared\ccSetMgr.exe
C:\Programme\Gemeinsame Dateien\Microsoft Shared\VS7DEBUG\MDM.EXE
C:\Programme\Norton AntiVirus\navapsvc.exe
C:\Programme\Norton AntiVirus\AdvTools\NPROTECT.EXE
C:\WINDOWS\System32\svchost.exe
C:\Programme\Gemeinsame Dateien\Symantec Shared\CCPD-LC\symlcsvc.exe
C:\Programme\Gemeinsame Dateien\Softwin\BitDefender Communicator\xcommsvr.exe
C:\Programme\Gemeinsame Dateien\Symantec Shared\ccEvtMgr.exe
C:\Programme\Gemeinsame Dateien\Symantec Shared\Security Center\SymWSC.exe
C:\Programme\Toshiba\Bluetooth Toshiba Stack\tosOBEX.exe
C:\Programme\Toshiba\Bluetooth Toshiba Stack\tosBtProc.exe
C:\Programme\Gemeinsame Dateien\Softwin\BitDefender Scan Server\bdss.exe
c:\programme\softwin\bitdefender free edition\bdmcon.exe
C:\Programme\Internet Explorer\iexplore.exe
C:\Programme\Outlook Express\msimn.exe
C:\Dokumente und Einstellungen\Stelzig\Lokale Einstellungen\Temporary Internet Files\Content.IE5\4R8TK1ET\HijackThis[1].exe

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Bar = http://red.clientapps.yahoo.com/customi ... ch/ie.html
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = http://red.clientapps.yahoo.com/customi ... .yahoo.com
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.onvista.de/
R1 - HKCU\Software\Microsoft\Internet Explorer\SearchURL,(Default) = http://red.clientapps.yahoo.com/customi ... .yahoo.com
R1 - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings,ProxyServer = proxy.teleos-web.de:8080
O2 - BHO: Yahoo! Companion BHO - {02478D38-C3F9-4efb-9B51-7695ECA05670} - C:\Programme\Yahoo!\Companion\Installs\cpn\ycomp5_3_19_0.dll (file missing)
O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Programme\Adobe\Acrobat 5.0\Reader\ActiveX\AcroIEHelper.ocx
O2 - BHO: (no name) - {53707962-6F74-2D53-2644-206D7942484F} - C:\PROGRA~1\SPYBOT~1\SDHelper.dll
O2 - BHO: Google Toolbar Helper - {AA58ED58-01DD-4d91-8333-CF10577473F7} - c:\programme\google\googletoolbar2.dll
O2 - BHO: CNavExtBho Class - {BDF3E430-B101-42AD-A544-FADC6B084872} - C:\Programme\Norton AntiVirus\NavShExt.dll
O3 - Toolbar: (no name) - {ACB1E670-3217-45C4-A021-6B829A8A27CB} - (no file)
O3 - Toolbar: Norton AntiVirus - {42CDD1BF-3FFB-4238-8AD1-7859DF00B1D6} - C:\Programme\Norton AntiVirus\NavShExt.dll
O3 - Toolbar: Yahoo! Companion - {EF99BD32-C1FB-11D2-892F-0090271D4F88} - C:\Programme\Yahoo!\Companion\Installs\cpn\ycomp5_3_19_0.dll (file missing)
O3 - Toolbar: &Google - {2318C2B1-4965-11d4-9B18-009027A5CD4F} - c:\programme\google\googletoolbar2.dll
O4 - HKLM\..\Run: [HPDJ Taskbar Utility] C:\WINDOWS\System32\spool\drivers\w32x86\3\hpztsb04.exe
O4 - HKLM\..\Run: [SunJavaUpdateSched] C:\Programme\Java\j2re1.5.0\bin\jusched.exe
O4 - HKLM\..\Run: [NeroCheck] C:\WINDOWS\system32\NeroCheck.exe
O4 - HKLM\..\Run: [ccApp] "C:\Programme\Gemeinsame Dateien\Symantec Shared\ccApp.exe"
O4 - HKLM\..\Run: [Advanced Tools Check] C:\PROGRA~1\NORTON~1\AdvTools\ADVCHK.EXE
O4 - HKLM\..\Run: [00THotkey] C:\WINDOWS\System32\00THotkey.exe
O4 - HKLM\..\Run: [000StTHK] 000StTHK.exe
O4 - HKLM\..\Run: [TFncKy] TFncKy.exe /Type 05
O4 - HKLM\..\Run: [TDispVol] TDispVol.exe
O4 - HKLM\..\Run: [TkBellExe] "C:\Programme\Gemeinsame Dateien\Real\Update_OB\realsched.exe" -osboot
O4 - HKLM\..\Run: [Zone Labs Client] D:\PROGRA~2\ZONEAL~1\zlclient.exe
O4 - HKLM\..\Run: [BDMCon] C:\Programme\Softwin\BitDefender Free Edition\\bdmcon.exe
O4 - HKLM\..\Run: [BDNewsAgent] C:\Programme\Softwin\BitDefender Free Edition\\bdnagent.exe
O4 - HKLM\..\Run: [WorksFUD] C:\Programme\Microsoft Works\wkfud.exe
O4 - HKLM\..\Run: [Microsoft Works Portfolio] C:\Programme\Microsoft Works\WksSb.exe /AllUsers
O4 - HKLM\..\Run: [Microsoft Works Update Detection] C:\Programme\Gemeinsame Dateien\Microsoft Shared\Works Shared\WkUFind.exe
O4 - HKCU\..\Run: [AVMBlueClient] C:\Programme\AVMCLIENT\bluefritz!.exe
O4 - HKCU\..\Run: [BlockAds] "C:\Programme\Tweak-XP Pro 3\AdBlocker.exe"
O4 - HKCU\..\Run: [ctfmon.exe] C:\WINDOWS\system32\ctfmon.exe
O4 - Global Startup: Bluetooth Manager.lnk = ?
O4 - Global Startup: Erinnerungen in Microsoft Works-Kalender.lnk = ?
O4 - Global Startup: Microsoft Office.lnk = C:\Programme\Microsoft Office\Office10\OSA.EXE
O8 - Extra context menu item: &Google Search - res://c:\programme\google\GoogleToolbar2.dll/cmsearch.html
O8 - Extra context menu item: Im Cache gespeicherte Seite - res://c:\programme\google\GoogleToolbar2.dll/cmcache.html
O8 - Extra context menu item: Nach Microsoft &Excel exportieren - res://C:\PROGRA~1\MICROS~2\OFFICE11\EXCEL.EXE/3000
O8 - Extra context menu item: Verweisseiten - res://c:\programme\google\GoogleToolbar2.dll/cmbacklinks.html
O8 - Extra context menu item: Ähnliche Seiten - res://c:\programme\google\GoogleToolbar2.dll/cmsimilar.html
O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programme\Java\j2re1.5.0\bin\npjpi150.dll
O9 - Extra 'Tools' menuitem: Sun Java Konsole - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programme\Java\j2re1.5.0\bin\npjpi150.dll
O9 - Extra button: Recherchieren - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - C:\PROGRA~1\MICROS~2\OFFICE11\REFIEBAR.DLL
O9 - Extra button: BINGOOO - {A70D4177-6A06-42D8-BB64-ECBF1B3F3251} - D:\Programme\BINGOOO\BINGOOO.exe
O16 - DPF: {56336BCB-3D8A-11D6-A00B-0050DA18DE71} (RdxIE Class) - http://software-dl.real.com/07fffc7e94d ... 601_de.cab
O16 - DPF: {6414512B-B978-451D-A0D8-FCFDF33E833C} (WUWebControl Class) - http://v5.windowsupdate.microsoft.com/v ... 3248540134
O16 - DPF: {E7DBFB6C-113A-47CF-B278-F5C6AF4DE1BD} - http://download.abacast.com/download/fi ... tup151.cab
O17 - HKLM\System\CCS\Services\Tcpip\..\{0F0C806F-F64D-423A-85B2-572B101DB590}: NameServer = 212.62.64.34 212.62.68.34
O17 - HKLM\System\CCS\Services\Tcpip\..\{FFF8A908-1444-412C-9170-509C4EC5BB7A}: NameServer = 192.168.120.252,192.168.120.253
O17 - HKLM\System\CS2\Services\Tcpip\..\{0F0C806F-F64D-423A-85B2-572B101DB590}: NameServer = 212.62.64.34 212.62.68.34

von **Nikita** am 08.09.2004, 02:41

fixe mit dem HijackThis:(dann neustarten)

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Bar = http://red.clientapps.yahoo.com/customi ... ch/ie.html
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = http://red.clientapps.yahoo.com/customi ... .yahoo.com
R1 - HKCU\Software\Microsoft\Internet Explorer\SearchURL,(Default) = http://red.clientapps.yahoo.com/customi ... .yahoo.com
O2 - BHO: Yahoo! Companion BHO - {02478D38-C3F9-4efb-9B51-7695ECA05670} - C:\Programme\Yahoo!\Companion\Installs\cpn\ycomp5_3_19_0.dll (file missing)
O3 - Toolbar: (no name) - {ACB1E670-3217-45C4-A021-6B829A8A27CB} - (no file)
O3 - Toolbar: Yahoo! Companion - {EF99BD32-C1FB-11D2-892F-0090271D4F88} - C:\Programme\Yahoo!\Companion\Installs\cpn\ycomp5_3_19_0.dll (file missing)

Nicht gefährlich aber unnötig.
O4 - HKLM\..\Run: [HPDJ Taskbar Utility] C:\WINDOWS\System32\spool\drivers\w32x86\3\hpztsb04.exe
O4 - HKLM\..\Run: [SunJavaUpdateSched] C:\Programme\Java\j2re1.5.0\bin\jusched.exe
O4 - HKLM\..\Run: [TkBellExe] "C:\Programme\Gemeinsame Dateien\Real\Update_OB\realsched.exe" -osboot

neustarten

<AdAware (free)
http://www.lavasoft.de/support/download/

<Escan<
http://www.rokop-security.de/board/inde ... topic=3867

Tipp: Wechsel den Browser, Opera oder Firefox (von Mozilla) haben die Sicherheitsluecke nicht,den Spybot mit dem Exploit anzeigt.
Den IE nimmst du dann nur noch fuer die WindowsUpdates.

mfg
Nikita

von **distel.hf** am 08.09.2004, 12:06

hi;
und dann hierzu noch ne frage..
muss ich nach dem fixen mit hijackthis den neustart im abgesicherten modus(f

durchfuehren,oder normal neustart
ausreichend??
thx for help..
distel

von **Nikita** am 08.09.2004, 13:35

Normal neustarten , die Tool laden und scannen.
Dann berichte.

(P.S. du solltest nur einen Virenscanner aktiviert im Autostart haben, sonst leidet die Performance vom PC )
mfg
Nikita

von **distel.hf** am 09.09.2004, 13:26

Hi@nikita;
thx erstmal fuer Deine bisherige hilfe..
leider zeigt mir spybot>>nach fixen mit hijackthis>>haken an
die von Dir genannten 9 eintraege(richtig??)>>fixed checked
button angeklickt.....und neuem durchlauf
spybot noch immer die 5 DSO-Exploit eintraege an wie vorher...
obwohl nach jedem--markierte probs beheben--angezeigt wird,
dass die 5 probleme behoben worden sind...
bei jedem neuen durchlauf erscheinen immer nur diese 5 entries..
habe ich was falsch gemacht??
bei neuem hijackthis nachgesehen,dass die von Dir genannten
eintraege nicht mehr vorhanden sind...
please help
distel

von **distel.hf** am 09.09.2004, 13:28

Hi;
vergessen habe..
im autostart laeuft bei mir nur norton 2004..
mfg distel

von **Nikita** am 09.09.2004, 15:10

.DSOstop2 information
(Exploit-Eintraege vom Spybot)
http://www.nsclean.com/dsostop.html

Lade und aktiviere das Tool.
Dann muessten die Eintraege vom Spybot weg sein.

#den IE nur noch für diese Updates verwenden, ansonsten auf einen alternativen Browser wie Opera oder firefox umsteigen
http://www.firebird-browser.de/

mfg
Nikita

von **distel.hf** am 11.09.2004, 09:41

Hi,nikita;
danke erstmal fuer Deine hilfe..leider war nur ein teilerfolg
beschieden,denn statt urspruengl 5 hab ich jetzt nur noch 4
DSO-Exploit eintraege..
leider komme ich auch mit dem von Dir vorgeschlagenen tool
http://www.nsclean.com/dsostop.html
nicht klar,denn ich hatte nie englisch in der schule

vielleicht wuerde es helfen,wenn du mir einfach die reihenfolge
der befehle schreiben koenntest????thx
aber weiter...
aenderung des registry-eintrages(siehe thread-anfang)und
HKEY_USERS\.DEFAULT\SOFTWARE\MICROSOFT\WINDOWS\CURRENTVERSION\INTERNETSETTINGS\Zones\0\1004
und zwar ueber aendern 0x0000000_ und dann an der
leerstelle ne 3 eingeben.
und muss ich die aenderung in der registry mit den nullen wie
oben...oder leerstelle auch null und dahinter (3)eingeben und
auf binär umstellen,oder einfach den wert 3 eingeben???
thx,bin auf mich sauer,weil ich Dir soviel muehe mache..
mfg distel

von **Nikita** am 11.09.2004, 12:27

1.DSOstop2 information
http://www.nsclean.com/dsostop.html
Lade und einfach auf <protect IE< klicken.

2.Wenn du mit dem Firefox surfst, brauchst du dir um die Exploit-Eintraege vom Spybot keine Sorgen zu machen, es ist ein Fehler, der bei der naechsten Version nicht mehr erscheinen wird.
#Firefox
http://firebird-browser.de/

HKEY_USERS\.DEFAULT\SOFTWARE\MICROSOFT\WINDOWS\CURRENTVERSION\INTERNETSETTINGS\Zones\0\1004
und zwar ueber aendern 0x0000000_ und dann an der
Leerstelle eine 3 eingeben.
(Aber das wird auch nicht viel veraendern)

mfg
Nikita