Problem mit InternetExplorer

[grand]

Hi,

ich hab folgendes Problem:
Seit einiger Zeit öffnet der Internetexplorer (V. 6) ständig irgendwelche nervigen Werbefenster (auch wenn ich gerade gar nicht auf irgendeiner webseite bin); keine ahnung wo ich mir das eingefangen hab...
Spybot / Hijackfree / Antivir etc... finden nichts.

Wie bekomm ich das wieder weg?
Danke schonmal!

cu
grand

[Holy Marcell]

Lade:
http://www.merijn.org/files/hijackthis.zip
=======
Entpacke in einen eigenen Ordner ==> Doppelklick auf: "Hijackthis.exe" ==> Haken setzen ==> [Noone of the above Just start the Programm] ==> Button [Scan] ==> Nach dem Scan [Save Logfile] Speichere es ==> Ein Editor öffnet sich: kopiere den Inhalt hierher ins Forum.
Bebilderte Kurzanleitung

[grand]

Hier die log von highjackthis:


Logfile of HijackThis v1.99.1
Scan saved at 20:05:17, on 21.01.2006
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\System32\Ati2evxx.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\Ati2evxx.exe
C:\WINDOWS\Explorer.EXE
C:\WINDOWS\system32\spoolsv.exe
C:\Programme\AVPersonal\AVGNT.EXE
C:\Programme\Java\jre1.5.0_06\bin\jusched.exe
C:\Programme\CyberLink\PowerDVD\PDVDServ.exe
C:\PROGRA~1\Sony\SONICS~1\SsAAD.exe
C:\Programme\AVPersonal\AVGUARD.EXE
C:\Programme\AVPersonal\AVWUPSRV.EXE
C:\WINDOWS\System32\drivers\CDAC11BA.EXE
C:\Programme\Gemeinsame Dateien\Sony Shared\AVLib\SSScsiSV.exe
C:\Programme\eMule\emule.exe
C:\WINDOWS\system32\devldr32.exe
C:\Programme\Trillian\trillian.exe
C:\WINDOWS\System32\svchost.exe
C:\Programme\Mozilla Firefox\firefox.exe
C:\Dokumente und Einstellungen\grand´\Desktop\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.google.de/
O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Programme\Adobe\Acrobat 7.0\ActiveX\AcroIEHelper.dll
O2 - BHO: SSVHelper Class - {761497BB-D6F0-462C-B6EB-D4DAF1D92D43} - C:\Programme\Java\jre1.5.0_06\bin\ssv.dll
O2 - BHO: IeCatch2 Class - {A5366673-E8CA-11D3-9CD9-0090271D075B} - C:\PROGRA~1\FlashGet\jccatch.dll
O2 - BHO: Google Toolbar Helper - {AA58ED58-01DD-4d91-8333-CF10577473F7} - c:\programme\google\googletoolbar1.dll
O2 - BHO: TGTSoft Explorer Toolbar Changer - {C333CF63-767F-4831-94AC-E683D962C63C} - C:\Programme\TGTSoft\StyleXP\TGT_BHO.dll
O3 - Toolbar: &Google - {2318C2B1-4965-11d4-9B18-009027A5CD4F} - c:\programme\google\googletoolbar1.dll
O3 - Toolbar: FlashGet Bar - {E0E899AB-F487-11D5-8D29-0050BA6940E3} - C:\PROGRA~1\FlashGet\fgiebar.dll
O4 - HKLM\..\Run: [AVGCtrl] "C:\Programme\AVPersonal\AVGNT.EXE" /min
O4 - HKLM\..\Run: [SunJavaUpdateSched] C:\Programme\Java\jre1.5.0_06\bin\jusched.exe
O4 - HKLM\..\Run: [NeroFilterCheck] C:\WINDOWS\system32\NeroCheck.exe
O4 - HKLM\..\Run: [QuickTime Task] "C:\Programme\QuickTime\qttask.exe" -atboottime
O4 - HKLM\..\Run: [KernelFaultCheck] %systemroot%\system32\dumprep 0 -k
O4 - HKLM\..\Run: [RemoteControl] C:\Programme\CyberLink\PowerDVD\PDVDServ.exe
O4 - HKLM\..\Run: [SsAAD.exe] C:\PROGRA~1\Sony\SONICS~1\SsAAD.exe
O4 - HKCU\..\Run: [STYLEXP] C:\Programme\TGTSoft\StyleXP\StyleXP.exe -Hide
O8 - Extra context menu item: &Google-Suche - res://C:\Programme\Google\GoogleToolbar1.dll/cmsearch.html
O8 - Extra context menu item: &Ins Deutsche übersetzen - res://C:\Programme\Google\GoogleToolbar1.dll/cmwordtrans.html
O8 - Extra context menu item: Alles mit FlashGet laden - C:\Programme\FlashGet\jc_all.htm
O8 - Extra context menu item: Im Cache gespeicherte Seite - res://C:\Programme\Google\GoogleToolbar1.dll/cmcache.html
O8 - Extra context menu item: Mit FlashGet laden - C:\Programme\FlashGet\jc_link.htm
O8 - Extra context menu item: Verweisseiten - res://C:\Programme\Google\GoogleToolbar1.dll/cmbacklinks.html
O8 - Extra context menu item: Ähnliche Seiten - res://C:\Programme\Google\GoogleToolbar1.dll/cmsimilar.html
O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programme\Java\jre1.5.0_06\bin\ssv.dll
O9 - Extra 'Tools' menuitem: Sun Java Konsole - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programme\Java\jre1.5.0_06\bin\ssv.dll
O9 - Extra button: FlashGet - {D6E814A0-E0C5-11d4-8D29-0050BA6940E3} - C:\PROGRA~1\FlashGet\flashget.exe
O9 - Extra 'Tools' menuitem: &FlashGet - {D6E814A0-E0C5-11d4-8D29-0050BA6940E3} - C:\PROGRA~1\FlashGet\flashget.exe
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe
O16 - DPF: {31B7EB4E-8B4B-11D1-A789-00A0CC6651A8} (Cult3D ActiveX Player) - http://www.cult3d.com/download/cult.cab
O23 - Service: Adobe LM Service - Adobe Systems - C:\Programme\Gemeinsame Dateien\Adobe Systems Shared\Service\Adobelmsvc.exe
O23 - Service: AntiVir Service (AntiVirService) - H+BEDV Datentechnik GmbH - C:\Programme\AVPersonal\AVGUARD.EXE
O23 - Service: Ati HotKey Poller - ATI Technologies Inc. - C:\WINDOWS\System32\Ati2evxx.exe
O23 - Service: ATI Smart - Unknown owner - C:\WINDOWS\system32\ati2sgag.exe
O23 - Service: AntiVir Update (AVWUpSrv) - H+BEDV Datentechnik GmbH, Germany - C:\Programme\AVPersonal\AVWUPSRV.EXE
O23 - Service: C-DillaCdaC11BA - Macrovision - C:\WINDOWS\System32\drivers\CDAC11BA.EXE
O23 - Service: InstallDriver Table Manager (IDriverT) - Macrovision Corporation - C:\Programme\Gemeinsame Dateien\InstallShield\Driver\11\Intel 32\IDriverT.exe
O23 - Service: MSCSPTISRV - Sony Corporation - C:\Programme\Gemeinsame Dateien\Sony Shared\AVLib\MSCSPTISRV.exe
O23 - Service: PACSPTISVR - Sony Corporation - C:\Programme\Gemeinsame Dateien\Sony Shared\AVLib\PACSPTISVR.exe
O23 - Service: Sony SPTI Service (SPTISRV) - Sony Corporation - C:\Programme\Gemeinsame Dateien\Sony Shared\AVLib\SPTISRV.exe
O23 - Service: SonicStage SCSI Service (SSScsiSV) - Sony Corporation - C:\Programme\Gemeinsame Dateien\Sony Shared\AVLib\SSScsiSV.exe

------
für mich nichts verdächtiges dabei

[Holy Marcell]

Hm... ich kann auch nichts entdecken.

mache mal einen Onlinscan mit Kapersky und einen mit Panda:

http://virus-protect.org/onlinescan.html

[grand]

bin grad dabei mit Kaspersky zu scannen ... dauert ja ziemlich lange.
Hab inzwischen mal cwshredder durchlaufen lassen auch nichts gefunden.

[Blues]

Hi,
ich kann hier zwar nicht helfen aber ein kleiner Tipp wenn's wieder läuft: umsteigen auf Firefox
mfg

[grand]

Nachdem ich mit AVG auch keinen erfolg hatte hat der Kaspersky online scan 3 Trojaner gefunden (irgendwie bin ich erleichtert )
Hab mir die Trial runtergeladen und installiert. Nach nem Neustart ging mein PC nimmer nach paar sekunden im Windows -> neustart.
Hab ihn dann im abgesicherten modus wieder deinstalliert und versuch die Viren bzw Trojaner von hand weg zu bekommen.


C:\Dokumente und Einstellungen\grand´\Lokale Einstellungen\Temporary Internet Files\Content.IE5\KTWNKNON\send_car_int[1].htm Infected: Exploit.HTML.CodeBaseExec

C:\WINDOWS\system32\atmngl32.dll Infected: Trojan.Win32.Crypt.t

C:\WINDOWS\system32\xen42loc.exe Infected: Trojan.Win32.Crypt.t



@Blues schaff den umstieg irgendwie nicht
ich verfall zwischendurch immer dem guten alten ie... leider

[Holy Marcell]

Cleanup
Nutze Cleanup wie beschrieben:
http://www.virus-protect.org

Arbeite das hier ab ==> Poste alle 4 Logs der letzten 3 Monate:
http://virus-protect.org/datfindbat.html

[grand]

ok werd ich mal machen danke; ist anscheinend etwas ernster ... lass grad den kaspersky online scan nochmal durchlaufen und jetzt sitzt der virus in diversen .rar dateien

[grand]

Hier die ergebnisse von Datfindbat

Verzeichnis von C:\WINDOWS\system32

22.01.2006 18:20 2.262 wpa.dbl
22.01.2006 18:14 5.120 Thumbs.db
15.01.2006 10:20 108.544 pxcpyi64.exe
15.01.2006 10:20 56.832 pxcpya64.exe
15.01.2006 10:20 104.960 pxinsi64.exe
15.01.2006 10:20 54.272 pxinsa64.exe
15.01.2006 10:20 151.552 pxwma.dll
15.01.2006 10:20 57.344 pxhpinst.exe
15.01.2006 10:20 28.672 vxblock.dll
15.01.2006 10:20 397.312 pxdrv.dll
15.01.2006 10:20 339.968 pxwave.dll
15.01.2006 10:20 155.648 pxmas.dll
15.01.2006 10:20 360.448 px.dll
12.01.2006 17:46 0 SYSTEM.INI
12.01.2006 17:46 0 WIN.INI
12.01.2006 07:32 294.864 FNTCACHE.DAT
11.12.2005 12:02 7.006 jupdate-1.5.0_06-b05.log
08.12.2005 21:39 3 DisplayDrv32.dll
30.11.2005 09:14 45.056 atmngl32.dll
30.11.2005 09:13 46.576 perfc007.dat
30.11.2005 09:13 313.666 perfh007.dat
30.11.2005 09:13 309.094 perfh009.dat
30.11.2005 09:13 38.722 perfc009.dat
30.11.2005 09:13 714.734 PerfStringBackup.INI
10.11.2005 13:03 127.078 javaws.exe
10.11.2005 13:03 49.265 jpicpl32.cpl
10.11.2005 11:27 49.250 javaw.exe
10.11.2005 11:27 49.248 java.exe
01.11.2005 22:00 2.323.072 TUKernel.exe
31.10.2005 21:51 249 spupdwxp.log
29.09.2005 13:40 16.832 amcompat.tlb
29.09.2005 13:40 23.392 nscompat.tlb
25.09.2005 15:16 3.799 jupdate-1.5.0_04-b05.log
14.09.2005 00:16 0 h323log.txt
13.09.2005 23:37 25.065 wmpscheme.xml
13.09.2005 23:35 261 $winnt$.inf
13.09.2005 23:29 2.951 CONFIG.NT
13.09.2005 23:28 488 logonui.exe.manifest
13.09.2005 23:28 488 WindowsLogon.manifest
13.09.2005 23:28 749 ncpa.cpl.manifest
13.09.2005 23:28 749 nwc.cpl.manifest
13.09.2005 23:28 749 cdplayer.exe.manifest
13.09.2005 23:28 749 sapi.cpl.manifest
13.09.2005 23:28 749 wuaucpl.cpl.manifest
13.09.2005 23:20 21.740 emptyregdb.dat

---

Verzeichnis von C:\DOKUME~1\GRAND~1\LOKALE~1\Temp

---

Verzeichnis von C:\WINDOWS

22.01.2006 19:41 24 p1cqe
22.01.2006 19:14 636.061 setupapi.log
22.01.2006 18:28 0 0.log
22.01.2006 18:28 2.048 bootstat.dat
22.01.2006 18:27 16.572 WindowsUpdate.log
22.01.2006 18:26 141.788 ntbtlog.txt
22.01.2006 18:20 32.676 SchedLgU.Txt
22.01.2006 18:20 50 wiaservc.log
22.01.2006 18:20 886 wiadebug.log
22.01.2006 14:29 192 winamp.ini
21.01.2006 21:44 83.774 wmsetup.log
21.01.2006 20:18 116 NeroDigital.ini
21.01.2006 18:20 471 XPlite.log
17.01.2006 19:31 652 win.ini
15.01.2006 10:19 3.001 dasetup.log
15.01.2006 10:18 83.216 DirectX.log
13.01.2006 10:25 243 W2W.ini
10.01.2006 19:20 2.996 regopt.log
04.01.2006 04:43 7.680 Thumbs.db
28.12.2005 09:55 185.881 setupact.log
15.12.2005 22:10 50.570 DPINST.LOG
04.11.2005 18:38 460 wmsetup10.log
31.10.2005 22:01 32 wininit.ini
31.10.2005 21:54 29.229 spupdsvc.log
31.10.2005 21:54 360 DtcInstall.log
31.10.2005 21:54 316.640 WMSysPr9.prx
31.10.2005 21:53 112.234 iis6.log
31.10.2005 21:53 26.007 comsetup.log
31.10.2005 21:53 15.012 ntdtcsetup.log
31.10.2005 21:53 35.123 ocgen.log
31.10.2005 21:53 2.716 ocmsn.log
31.10.2005 21:53 3.727 medctroc.Log
31.10.2005 21:53 4.757 imsins.log
31.10.2005 21:53 1.061 tabletoc.log
31.10.2005 21:53 2.621 msgsocm.log
31.10.2005 21:53 26.789 tsoc.log
31.10.2005 21:53 41.117 FaxSetup.log
31.10.2005 21:53 5.021 setuperr.log
31.10.2005 21:53 3.557 netfxocm.log
31.10.2005 21:53 25.240 msmqinst.log
31.10.2005 21:53 1.165 OEWABLog.txt
31.10.2005 21:50 431.067 svcpack.log
31.10.2005 21:49 1.393 imsins.BAK
31.10.2005 21:45 200 cmsetacl.log
31.10.2005 21:45 1.330 sessmgr.setup.log
21.10.2005 08:40 7.663 KB893803.log
11.10.2005 18:45 70 xoloxexe.INI
04.10.2005 21:46 3.726 mozver.dat
02.10.2005 14:27 70 HGSpeech.ini
02.10.2005 10:51 227 system.ini
29.09.2005 18:39 495 SIERRA.INI
29.09.2005 17:15 37 Viewer.ini
29.09.2005 16:48 492 SIERRA.IN~
29.09.2005 09:33 0 nsreg.dat
29.09.2005 09:33 99.970 UninstallFirefox.exe
23.09.2005 19:47 108 discwriter.log
23.09.2005 19:47 0 OrangeBurn.log
15.09.2005 13:35 50 UNNeroMediaHome.cfg
14.09.2005 20:00 122 setup.log
14.09.2005 00:14 0 Sti_Trace.log
13.09.2005 23:59 2.042 Windows Update.log
13.09.2005 23:58 3.260 Ascd_tmp.ini
13.09.2005 23:54 702 Q312370.log
13.09.2005 23:36 8.192 REGLOCS.OLD
13.09.2005 23:29 0 control.ini
13.09.2005 23:29 299.552 WMSysPrx.prx
13.09.2005 23:29 4.161 ODBCINST.INI
13.09.2005 23:28 749 WindowsShell.Manifest
13.09.2005 23:20 36 vb.ini
13.09.2005 23:20 37 vbaddin.ini
12.09.2005 15:13 233.472 UNRecode.exe

---

Verzeichnis von C:\

22.01.2006 19:42 0 sys.txt
22.01.2006 19:41 6.173 system.txt
22.01.2006 19:41 141 systemtemp.txt
22.01.2006 19:38 97.907 system32.txt
22.01.2006 18:33 12.340.645 AVG7QT.DAT
22.01.2006 18:28 1.610.612.736 pagefile.sys
22.01.2006 13:15 319 VRayLog.txt
19.01.2006 10:20 45 TEST.XML
20.12.2005 23:44 382 boot.ini
16.12.2005 09:19 1.233 _arm_errors.log
31.10.2005 21:38 47.564 NTDETECT.COM
31.10.2005 21:38 251.184 ntldr
26.09.2005 05:39 194 BOOT.BKK
13.09.2005 23:29 0 CONFIG.SYS
13.09.2005 23:29 0 AUTOEXEC.BAT
13.09.2005 23:29 0 IO.SYS
13.09.2005 23:29 0 MSDOS.SYS

---

[Nikita]

Download f-secure-Beta Trial
http://www.f-secure.com/blacklight/
doppelklick: blbeta.exe
nach dem Check klicke -- next
nun findet man eine log-datei auf dem Desktop: kopiere sie in deinen Thread

das ist eine Apropos-Verseuchung...nehme ich mal kuehn an...
http://virus-protect.org/artikel/spyware/apropos1.html

[grand]

werd ich gleich mal machen

Kaspersky online check hat grad nur noch einen virus gefunden und zwar:

D:\System Volume Information\_restore{C4400566-5B6F-47E0-870E-3E125E729D8F}\RP148\A0028083.exe/WISE0021.BIN Infected: Trojan-Downloader.Win32.Small.akj

D:\System Volume Information\_restore{C4400566-5B6F-47E0-870E-3E125E729D8F}\RP148\A0028083.exe Infected: Trojan-Downloader.Win32.Small.akj

[grand]

Die log is ziemlich groß 3,13MB und lässt sich somit hier nicht posten. Kann ich mich auf irgendeinen Teil beschränken ?

[Nikita]

das cache...wird sich endlos wiederholen...kopiere immer nur das entscheidende....

also zum Beispiel (nur mit anderer Bezeichnung)

Hidden file: C:\Programme\Mjltapol\Cache\000012e1_438b37c6_0002 ae0c
Hidden file: C:\Programme\Mjltapol\Cache\00001366_438c46c7_0009 4c5f
Hidden file: C:\Programme\Mjltapol\AI_29-11-2005.log
Hidden file: C:\Programme\Mjltapol\ace.dll
Hidden process: C:\WINDOWS\SYSTEM32\TWESPMSG.EXE
Hidden process: C:\PROGRAMME\MJLTAPOL\RDSMREPL.EXE
Hidden file: C:\Programme\Mjltapol\WinGenerics.dll
Hidden file: C:\Programme\Mjltapol\sprabaln.exe
Hidden file: C:\PROGRAMME\MJLTAPOL\RDSMREPL.EXE
Hidden file: C:\Programme\Mjltapol\data.bin
Hidden file: C:\Programme\Mjltapol\Cache\index
Hidden file: C:\Programme\Mjltapol\Cache\dns
Hidden file: C:\WINDOWS\system32\drivers\atmtdtcp.sys
Hidden file: C:\WINDOWS\SYSTEM32\TWESPMSG.EXE

[grand]

01/22/06 22:21:29 [Info]: Hidden process: C:\WINDOWS\SYSTEM32\WMSADDIN.EXE
01/22/06 22:21:29 [Info]: Hidden process: C:\PROGRAMME\UNIADOBE\WKSONIME.EXE
01/22/06 22:21:32 [Info]: Hidden file: C:\Programme\Uniadobe\AI_16-01-2006.log
01/22/06 22:25:18 [Info]: Hidden file: C:\Programme\Uniadobe\tcptsess.exe
01/22/06 22:25:18 [Info]: Hidden file: C:\Programme\Uniadobe\WinGenerics.dll
01/22/06 22:25:18 [Info]: Hidden file: C:\PROGRAMME\UNIADOBE\WKSONIME.EXE
01/22/06 22:27:41 [Info]: Hidden file: C:\WINDOWS\system32\drivers\ntfcamd2.sys
01/22/06 22:27:56 [Info]: Hidden file: C:\WINDOWS\SYSTEM32\WMSADDIN.EXE