HiJackThis..

[Ruben1337]

sooo ich hab das Prog. jetzt drüberlaufen lassen und auf Rat eines Freundes Poste ichs jetzt mal hier ...ich hoffe hier kann mir wer helfen :/

[( sobald ich im Internet bin öffnen sich Pop-ups und Werbebanner die sich nicht mit Programmen wie Ad-aware , Spyware Blaster , Tuneup 2006 entfernen lassen ) ]







Logfile of HijackThis v1.99.1
Scan saved at 20:19:58, on 28.05.2006
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)

Running processes:
G:\WINDOWS\System32\smss.exe
G:\WINDOWS\system32\winlogon.exe
G:\WINDOWS\system32\services.exe
G:\WINDOWS\system32\lsass.exe
G:\WINDOWS\system32\Ati2evxx.exe
G:\WINDOWS\system32\svchost.exe
G:\WINDOWS\System32\svchost.exe
G:\WINDOWS\system32\spoolsv.exe
G:\Programme\AntiVir PersonalEdition Classic\sched.exe
G:\Programme\AntiVir PersonalEdition Classic\avguard.exe
G:\Programme\Alcohol Soft\Alcohol 120\StarWind\StarWindService.exe
G:\Programme\Gemeinsame Dateien\Softwin\BitDefender Communicator\xcommsvr.exe
G:\Programme\Gemeinsame Dateien\Softwin\BitDefender Scan Server\bdss.exe
G:\WINDOWS\system32\Ati2evxx.exe
G:\WINDOWS\Explorer.EXE
G:\Programme\Softwin\BitDefender8\vsserv.exe
G:\WINDOWS\SOUNDMAN.EXE
G:\Programme\Adobe\Acrobat 7.0\Distillr\Acrotray.exe
G:\Programme\Softwin\BitDefender8\bdswitch.exe
G:\programme\softwin\bitdefender8\bdnagent.exe
G:\Programme\CyberLink\PowerDVD\PDVDServ.exe
G:\Programme\Winamp\winampa.exe
G:\WINDOWS\Mixer.exe
G:\Programme\ATI Technologies\ATI Control Panel\atiptaxx.exe
G:\Programme\Java\jre1.5.0_06\bin\jusched.exe
G:\Programme\AntiVir PersonalEdition Classic\avgnt.exe
G:\WINDOWS\system32\ctfmon.exe
g:\progra~1\intern~1\iexplore.exe
G:\Programme\Internet Explorer\iexplore.exe
H:\Teamspeak2_RC2\TeamSpeak.exe
H:\Programme\Steam\steam.exe
G:\WINDOWS\system32\svchost.exe
G:\Programme\Internet Explorer\IEXPLORE.EXE
H:\Programme\ICQLite\ICQLite.exe
G:\Dokumente und Einstellungen\Administrator\Desktop\HijackThis.exe

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = http://google.icq.com
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.esl.eu/
R3 - URLSearchHook: ICQ Toolbar - {855F3B16-6D32-4fe6-8A56-BBB695989046} - G:\Programme\ICQToolbar\toolbaru.dll
O2 - BHO: Yahoo! Toolbar Helper - {02478D38-C3F9-4EFB-9B51-7695ECA05670} - G:\Programme\Yahoo!\Companion\Installs\cpn\yt.dll
O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - G:\Programme\Adobe\Acrobat 7.0\ActiveX\AcroIEHelper.dll
O2 - BHO: (no name) - {53707962-6F74-2D53-2644-206D7942484F} - G:\Programme\Spybot - Search & Destroy\SDHelper.dll
O2 - BHO: SSVHelper Class - {761497BB-D6F0-462C-B6EB-D4DAF1D92D43} - G:\Programme\Java\jre1.5.0_06\bin\ssv.dll
O2 - BHO: AcroIEToolbarHelper Class - {AE7CD045-E861-484f-8273-0445EE161910} - G:\Programme\Adobe\Acrobat 7.0\Acrobat\AcroIEFavClient.dll
O2 - BHO: (no name) - {C80DA332-4FD0-1F9D-4D61-975AB9311FCA} - G:\DOKUME~1\ADMINI~1\ANWEND~1\Eq01sign\VgaRoam.exe (file missing)
O3 - Toolbar: Adobe PDF - {47833539-D0C5-4125-9FA8-0819E2EAAC93} - G:\Programme\Adobe\Acrobat 7.0\Acrobat\AcroIEFavClient.dll
O3 - Toolbar: ICQ Toolbar - {855F3B16-6D32-4fe6-8A56-BBB695989046} - G:\Programme\ICQToolbar\toolbaru.dll
O3 - Toolbar: Yahoo! Toolbar - {EF99BD32-C1FB-11D2-892F-0090271D4F88} - G:\Programme\Yahoo!\Companion\Installs\cpn\yt.dll
O4 - HKLM\..\Run: [SoundMan] SOUNDMAN.EXE
O4 - HKLM\..\Run: [Acrobat Assistant 7.0] "G:\Programme\Adobe\Acrobat 7.0\Distillr\Acrotray.exe"
O4 - HKLM\..\Run: [BDMCon] G:\Programme\Softwin\BitDefender8\\bdmcon.exe
O4 - HKLM\..\Run: [BDSwitchAgent] G:\Programme\Softwin\BitDefender8\\bdswitch.exe
O4 - HKLM\..\Run: [BDNewsAgent] "G:\Programme\Softwin\BitDefender8\bdnagent.exe"
O4 - HKLM\..\Run: [NeroFilterCheck] G:\WINDOWS\system32\NeroCheck.exe
O4 - HKLM\..\Run: [PinnacleDriverCheck] G:\WINDOWS\system32\\PSDrvCheck.exe
O4 - HKLM\..\Run: [RemoteControl] G:\Programme\CyberLink\PowerDVD\PDVDServ.exe
O4 - HKLM\..\Run: [WinampAgent] G:\Programme\Winamp\winampa.exe
O4 - HKLM\..\Run: [C-Media Mixer] Mixer.exe /startup
O4 - HKLM\..\Run: [ATIPTA] G:\Programme\ATI Technologies\ATI Control Panel\atiptaxx.exe
O4 - HKLM\..\Run: [ATIModeChange] Ati2mdxx.exe
O4 - HKLM\..\Run: [SunJavaUpdateSched] G:\Programme\Java\jre1.5.0_06\bin\jusched.exe
O4 - HKLM\..\Run: [ICQ Lite] H:\Programme\ICQLite\ICQLite.exe -minimize
O4 - HKLM\..\Run: [QuickTime Task] "G:\Programme\QuickTime\qttask.exe" -atboottime
O4 - HKLM\..\Run: [pokeuserinterenc] G:\Dokumente und Einstellungen\All Users\Anwendungsdaten\sect road poke user\Active Debug.exe
O4 - HKLM\..\Run: [avgnt] "G:\Programme\AntiVir PersonalEdition Classic\avgnt.exe" /min
O4 - HKCU\..\Run: [CTFMON.EXE] G:\WINDOWS\system32\ctfmon.exe
O4 - HKCU\..\Run: [Steam] "H:\Programme\Steam\Steam.exe" -silent
O4 - HKCU\..\Run: [Movelong] G:\DOKUME~1\ADMINI~1\ANWEND~1\CASTSU~1\Hole Flap Keep.exe
O4 - HKCU\..\RunOnce: [ICQ Lite] H:\Programme\ICQLite\ICQLite.exe -trayboot
O4 - Global Startup: Adobe Acrobat Speed Launcher.lnk = ?
O8 - Extra context menu item: &ICQ Toolbar Search - res://G:\Programme\ICQToolbar\toolbaru.dll/SEARCH.HTML
O8 - Extra context menu item: Ausgewählte Verknüpfungen in Adobe PDF konvertieren - res://G:\Programme\Adobe\Acrobat 7.0\Acrobat\AcroIEFavClient.dll/AcroIECaptureSelLinks.html
O8 - Extra context menu item: Ausgewählte Verknüpfungen in vorhandene PDF-Datei konvertieren - res://G:\Programme\Adobe\Acrobat 7.0\Acrobat\AcroIEFavClient.dll/AcroIEAppendSelLinks.html
O8 - Extra context menu item: Auswahl in Adobe PDF konvertieren - res://G:\Programme\Adobe\Acrobat 7.0\Acrobat\AcroIEFavClient.dll/AcroIECapture.html
O8 - Extra context menu item: Auswahl in vorhandene PDF-Datei konvertieren - res://G:\Programme\Adobe\Acrobat 7.0\Acrobat\AcroIEFavClient.dll/AcroIEAppend.html
O8 - Extra context menu item: In Adobe PDF konvertieren - res://G:\Programme\Adobe\Acrobat 7.0\Acrobat\AcroIEFavClient.dll/AcroIECapture.html
O8 - Extra context menu item: In vorhandene PDF-Datei konvertieren - res://G:\Programme\Adobe\Acrobat 7.0\Acrobat\AcroIEFavClient.dll/AcroIEAppend.html
O8 - Extra context menu item: Nach Microsoft &Excel exportieren - res://G:\PROGRA~1\MICROS~2\OFFICE11\EXCEL.EXE/3000
O8 - Extra context menu item: Verknüpfungsziel in Adobe PDF konvertieren - res://G:\Programme\Adobe\Acrobat 7.0\Acrobat\AcroIEFavClient.dll/AcroIECapture.html
O8 - Extra context menu item: Verknüpfungsziel in vorhandene PDF-Datei konvertieren - res://G:\Programme\Adobe\Acrobat 7.0\Acrobat\AcroIEFavClient.dll/AcroIEAppend.html
O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - G:\Programme\Java\jre1.5.0_06\bin\ssv.dll
O9 - Extra 'Tools' menuitem: Sun Java Konsole - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - G:\Programme\Java\jre1.5.0_06\bin\ssv.dll
O9 - Extra button: Recherchieren - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - G:\PROGRA~1\MICROS~2\OFFICE11\REFIEBAR.DLL
O9 - Extra button: ICQ Lite - {B863453A-26C3-4e1f-A54D-A2CD196348E9} - H:\Programme\ICQLite\ICQLite.exe
O9 - Extra 'Tools' menuitem: ICQ Lite - {B863453A-26C3-4e1f-A54D-A2CD196348E9} - H:\Programme\ICQLite\ICQLite.exe
O17 - HKLM\System\CCS\Services\Tcpip\..\{B6259773-A1BC-4C53-860E-EA63869A768C}: NameServer = 195.50.140.114 195.50.140.252
O20 - AppInit_DLLs: sockspy.dll sockspy.dll sockspy.dll sockspy.dll sockspy.dll sockspy.dll sockspy.dll sockspy.dll sockspy.dll
O23 - Service: Adobe LM Service - Adobe Systems - G:\Programme\Gemeinsame Dateien\Adobe Systems Shared\Service\Adobelmsvc.exe
O23 - Service: AntiVir PersonalEdition Classic Planer (AntiVirScheduler) - Avira GmbH - G:\Programme\AntiVir PersonalEdition Classic\sched.exe
O23 - Service: AntiVir PersonalEdition Classic Guard (AntiVirService) - AVIRA GmbH - G:\Programme\AntiVir PersonalEdition Classic\avguard.exe
O23 - Service: Ati HotKey Poller - Unknown owner - G:\WINDOWS\system32\Ati2evxx.exe
O23 - Service: ATI Smart - Unknown owner - G:\WINDOWS\system32\ati2sgag.exe
O23 - Service: BitDefender Scan Server (bdss) - Unknown owner - G:\Programme\Gemeinsame Dateien\Softwin\BitDefender Scan Server\bdss.exe" /service (file missing)
O23 - Service: StarWind iSCSI Service (StarWindService) - Rocket Division Software - G:\Programme\Alcohol Soft\Alcohol 120\StarWind\StarWindService.exe
O23 - Service: TuneUp WinStyler Theme Service (TUWinStylerThemeSvc) - TuneUp Software GmbH - G:\Programme\TuneUpUtilities2006\WinStylerThemeSvc.exe
O23 - Service: BitDefender Virus Shield (VSSERV) - SOFTWIN S.R.L. - G:\Programme\Softwin\BitDefender8\vsserv.exe
O23 - Service: BitDefender Communicator (XCOMM) - Unknown owner - G:\Programme\Gemeinsame Dateien\Softwin\BitDefender Communicator\xcommsvr.exe" /service (file missing)

[Spill3R]

So hier der Scan Report von Panda. Leider kann ich die Dateien nicht entfernen weil die Geld dafür wollen.


Incident Status Location

Adware:adware/shorty Not disinfected c:\programme\gemeinsame dateien\services.exe
Adware:adware/maxifiles Not disinfected c:\programme\gemeinsame dateien\InetGet
Adware:adware/e2give Not disinfected Windows Registry
Adware:adware/ucmore Not disinfected Windows Registry
Adware:adware/bookedspace Not disinfected Windows Registry
Adware:Adware/E2Give Not disinfected C:\avenger\backup.zip[avenger/direct32.dll]
Adware:Adware/Maxifiles Not disinfected C:\avenger\backup.zip[avenger/mc-58-12-0000106.exe]
Adware:Adware/Maxifiles Not disinfected C:\avenger\backup.zip[avenger/mc-58-12-0000106.exe][services.exe]
Adware:Adware/Maxifiles Not disinfected C:\avenger\backup.zip[avenger/mc-58-12-0000106.exe][cwebpage.dll]
Adware:Adware/Ucmore Not disinfected C:\Dokumente und Einstellungen\Besitzer\Startmenü\Programme\UCmore - The Search Accelerator\How To Uninstall.lnk
Adware:Adware/Ucmore Not disinfected C:\Dokumente und Einstellungen\Besitzer\Startmenü\Programme\UCmore - The Search Accelerator\UCmore Tour.lnk
Adware:Adware/YazzleSudoku Not disinfected C:\Programme\Gemeinsame Dateien\Yazzle1122OinUninstaller.exe
Adware:Adware/NewAds Not disinfected C:\Programme\PECarlin\wUninstall.exe
Adware:Adware/NewAds Not disinfected C:\Programme\Windows\WinUpdate.exe

[Nikita]

Spill3R

loesche:
C:\Programme\Gemeinsame Dateien\Yazzle1122OinUninstaller.exe
c:\programme\gemeinsame dateien\services.exe
c:\programme\gemeinsame dateien\InetGet
C:\avenger\backup.zip
C:\Dokumente und Einstellungen\Besitzer\Startmenü\Programme\UCmore
C:\Programme\Windows\WinUpdate.exe

deinstalliere: ..loesche...
C:\Programme\PECarlin\wUninstall.exe
C:\Programme\PECarlin


wenn du sicher bist, dass du manuell alles geloescht hast, scanne noch mal mit Panda
Ich hoffe sehr, dass dann alles sauber ist

[Spill3R]

Das meiste scheine ich schon losgeworden zu sein. Aber das hier hat Activescan gefunden. Kriege ich das irgendwie auch noch weg?

Incident Status Location

Adware:adware/e2give Not disinfected Windows Registry
Adware:adware/ucmore Not disinfected Windows Registry
Adware:adware/bookedspace Not disinfected Windows Registry
Spyware:Cookie/Falkag Not disinfected C:\Dokumente und Einstellungen\Besitzer\Cookies\besitzer@as1.falkag[1].txt
Spyware:Cookie/Atlas DMT Not disinfected C:\Dokumente und Einstellungen\Besitzer\Cookies\besitzer@atdmt[2].txt
Spyware:Cookie/Doubleclick Not disinfected C:\Dokumente und Einstellungen\Besitzer\Cookies\besitzer@doubleclick[1].txt

[Nikita]

Spill3R

die cookies sind nicht so wichtig...
um die Registry zu reinigen:

Counterspy
http://virus-protect.org/counterspy.html
* nach dem Scan muss man sich entscheiden für:

*Ignore
*Remove --> Status: Deleted
*Quarantaine

wähle immer Remove und starte den PC neu (dann kopiere den Scanreport ab

-

[Spill3R]

OMG ich habe alles so gemacht wie du gesagt hattest aber dieser beschissene CounterSpy listet die Files in dem nächsten Fenster direkt nach dem Scan wo "Take Action" steht nicht auf... Was kann ich denn nur machen?

[Spill3R]

Also CounterSpy funktioniert bei mir nicht wirklich, gibt es denn kein anderes Programm was ähnlich wie CS arbeitet? Ich brauche ja nur ein Prog was die Spyware/Adware von meinen Windows Registry entfernt. Das müsssen doch auch andere Progs können, oder? Wäre echt nett wen du mir ein anderes Prog nennen könntst. Danke!

[Nikita]

Spill3R

so richtig verstehe ich nicht, warum ausgerechnet bei dir der Counterspy nicht funktioniert................

o.k.
Lade den spysweeper (trial), scanne und poste den report
http://virus-protect.org/spysweeper.html

[Nikita]

Ruben1337

Text in den Texteditor kopieren
abspeichern (Gebe bei Dateityp "Alle Dateien" an) als look.bat
und dann diese bat doppeltklicken - poste den text
dann loeschen wir den Swizzor-Trojaner/LOP

Code: Alles auswählen

cd\
cd C:\Dokumente und Einstellungen\%UserName%\Anwendungsdaten
dir /x >> C:\look.txt
cd C:\Dokumente und Einstellungen\All Users\Anwendungsdaten
dir /x >> C:\look.txt
dir %Windir%\tasks /a:h >> C:\look.txt
start notepad C:\look.txt

[Spill3R]

********
16:11: | Start of Session, Dienstag, 30. Mai 2006 |
16:11: Spy Sweeper started
16:11: Sweep initiated using definitions version 686
16:11: Starting Memory Sweep
16:15: Memory Sweep Complete, Elapsed Time: 00:04:00
16:15: Starting Registry Sweep
16:16: Found Adware: e2g
16:16: HKLM\software\e2g\ (6 subtraces) (ID = 125485)
16:16: HKLM\software\e2g\ || source (ID = 125486)
16:16: Found Adware: fullcontext
16:16: HKCR\clsid\{994d478a-45d0-4db4-ae77-288b1e346e99}\ (4 subtraces) (ID = 1190252)
16:16: HKCR\typelib\{1b8b502e-455b-4022-be77-fb6d9f808a18}\ (9 subtraces) (ID = 1190257)
16:16: HKLM\software\classes\clsid\{994d478a-45d0-4db4-ae77-288b1e346e99}\ (4 subtraces) (ID = 1190291)
16:16: HKLM\software\classes\typelib\{1b8b502e-455b-4022-be77-fb6d9f808a18}\ (9 subtraces) (ID = 1190296)
16:16: HKU\S-1-5-21-527237240-220523388-839522115-1003\software\ptech\ (7 subtraces) (ID = 125528)
16:16: HKU\S-1-5-21-527237240-220523388-839522115-1003\software\fcadvice\ (7 subtraces) (ID = 1190282)
16:16: Registry Sweep Complete, Elapsed Time:00:00:24
16:16: Starting Cookie Sweep
16:16: Found Spy Cookie: falkag cookie
16:16: besitzer@as1.falkag[2].txt (ID = 2650)
16:16: Found Spy Cookie: atlas dmt cookie
16:16: besitzer@atdmt[1].txt (ID = 2253)
16:16: Found Spy Cookie: weborama cookie
16:16: besitzer@weborama[2].txt (ID = 3658)
16:16: Cookie Sweep Complete, Elapsed Time: 00:00:01
16:16: Starting File Sweep
16:44: File Sweep Complete, Elapsed Time: 00:27:52
16:44: Full Sweep has completed. Elapsed time 00:32:19
16:44: Traces Found: 57
16:55: Removal process initiated
16:55: Quarantining All Traces: fullcontext
16:55: Quarantining All Traces: e2g
16:55: Quarantining All Traces: atlas dmt cookie
16:55: Quarantining All Traces: falkag cookie
16:55: Quarantining All Traces: weborama cookie
16:55: Removal process completed. Elapsed time 00:00:07
********
16:10: | Start of Session, Dienstag, 30. Mai 2006 |
16:10: Spy Sweeper started
16:11: Your spyware definitions have been updated.
16:11: | End of Session, Dienstag, 30. Mai 2006 |

[Ruben1337]

ich verstehe leider kein wort von dem was du da sagst ^^ . was muss ich genau machen ? ich habe spy sweeper schon drüber laufen lassen , habe auch 4 Sachen entfernt aber hab halt noch diese Internet explorer im Taskmanager ( 4 stück) die ich garnet offen hab und die alles verlangsamen.

mfg Ruben

[Nikita]

Ruben1337

lesen kannst du ?
du kannst auch erfassen,welche Anweisung fuer dich gedacht war?
dann schau nach oben und arbeite ab, was ich fuer dich geschrieben hatte...da war kein Wort vom Spysweeper, denn du hast eine LOP-Swizzor-Verseuchung, die man nicht mit dem Spysweeper bereinigen kann.

[Nikita]

Spill3R

nun, wie steht es ?
wieder alles sauber? Ich denke ja....
falls du den Browser "Firefox" noch nicht geladen hast, mache es jetzt und surfe nur noch mit ihm.
http://virus-protect.org/firefox.html
und installiere keine suspekten Progies mehr.

[Spill3R]

Hi Nikita,
ganz dollen dank von dieser Seite erstmal =P. Nun ja ActiveScan von Panda hatte letztens noch ucmore Trojaner gefunden aber mein Anti-Vir meldet sich gar nicht mehr. Hab jetzt Firefox installiert, kann ich denn überhaupt Inet-Explorer deinstallieren? Das geht glaube ich nicht, aber ich werde heute Abend ein letzten Scan machen mit Panda und wenn irgendwas gefunden wird poste ich nochmal Scan-Report. Also nochmals vielen vielen Dank. Und sehr bewundernswert das du immer so schnell antwortest und sehr aktiv bist. Danke!!

[Ruben1337]

ja ich kann schon lesen . nur bin ich nicht so das Computerass. also ich will nur wissen was ich bei hijack this löschen muss .
ich poste nochmal den save log weil das was du da obeen geschrieben hast verstehe ich leider noch nicht

-