Remove Toolbar und deren Äste

[Urs_]

Sali zeme

Hab mir heute morgen die Remove Toolbar eingefangen, ich denke ihr habt davon schon gehört.

Nun hab ich fast alle Wurzeln (Programm, Startseite, Toolbar, Reg-Einträge, Favoriten) mit Adaware, Regedit, Regclean und hijackthis wieder draussen, nur etwas nicht:

Wenn ich bei Google etwas suche und dann den Link anklicken will, werde ich immer umgeleitet auf eine andere Seite (So was Ukrainisches). Hat jemand eine Ahnung, wo dieser (hoffentliche letzte) Ast verankert ist und ich ihn loskriege?

Herzlichen Dank für eure Hilfe!

MfG Urs

[gipsy111]

Anleitung + Download HijackTHis:
http://virus-protect.org/hjtkurz.html

Lade/entpacke HijackThis in einem Ordner -->None of the above, just start the program --> Save--> Savelog -->es öffnet sich der Editor -->
nun das KOMPLETTE Log mit rechtem Mausklick abkopieren und ins Forum mit rechtem Mausklick "einfügen"

[Urs_]

Et voilà:

Logfile of HijackThis v1.99.1
Scan saved at 22:19:51, on 23.07.2006
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\csrss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\ZoneLabs\vsmon.exe
C:\WINDOWS\Explorer.EXE
C:\WINDOWS\system32\spoolsv.exe
C:\WINDOWS\System32\alg.exe
D:\Programme\ZoneAlarm\zlclient.exe
C:\Programme\Java\jre1.5.0_07\bin\jusched.exe
C:\Programme\MSN Messenger\MsnMsgr.Exe
D:\Programme\Pinnacle\Shared Files\Programs\Scheduler\PCLEScheduler.exe
C:\WINDOWS\system32\svchost.exe
C:\Programme\Internet Explorer\iexplore.exe
C:\Programme\Windows Media Player\wmplayer.exe
D:\Programme\Pinnacle\Pinnacle PCTV\Vision\Vision.exe
D:\PROGRA~1\pinnacle\SHARED~1\Filter\server.exe
D:\PROGRA~1\pinnacle\SHARED~1\Filter\VBI_SE~1.EXE
C:\Programme\Internet Explorer\iexplore.exe
D:\Eigene Dateien\Downloads\HijackThis.exe

O2 - BHO: Adobe PDF Reader Link Helper - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - D:\Programme\Adobe\Acrobat 7.0\ActiveX\AcroIEHelper.dll
O2 - BHO: SSVHelper Class - {761497BB-D6F0-462C-B6EB-D4DAF1D92D43} - C:\Programme\Java\jre1.5.0_07\bin\ssv.dll
O4 - HKLM\..\Run: [Zone Labs Client] "D:\Programme\ZoneAlarm\zlclient.exe"
O4 - HKLM\..\Run: [SunJavaUpdateSched] C:\Programme\Java\jre1.5.0_07\bin\jusched.exe
O4 - HKCU\..\Run: [MsnMsgr] "C:\Programme\MSN Messenger\MsnMsgr.Exe" /background
O4 - Global Startup: Adobe Reader - Schnellstart.lnk = D:\Programme\Adobe\Acrobat 7.0\Reader\reader_sl.exe
O4 - Global Startup: Microsoft Office.lnk = D:\Programme\Microsoft Office\Office\OSA9.EXE
O4 - Global Startup: Pinnacle Scheduler.lnk = ?
O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programme\Java\jre1.5.0_07\bin\ssv.dll
O9 - Extra 'Tools' menuitem: Sun Java Konsole - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programme\Java\jre1.5.0_07\bin\ssv.dll
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe
O17 - HKLM\System\CCS\Services\Tcpip\..\{7B8E4A9F-8896-4919-81A5-F80BA863E7CC}: NameServer = 192.168.1.1
O23 - Service: TrueVector Internet Monitor (vsmon) - Zone Labs, LLC - C:\WINDOWS\system32\ZoneLabs\vsmon.exe

[gipsy111]

________________________________________________________

Cleanup
stelle den CleanUp genauso ein, wie hier angegeben: (+ PC neustarten)
http://virus-protect.org/cleanup.html

________________________________________________________

Datfindbat
Kopiere diese 4 Textdateien ab . (rechtsklick mit der Maus -> den Text markieren -> kopieren -> einfügen) Sie sind nach Datum geordnet. (kopiere nur die letzten 3 Monate ab)
http://virus-protect.org/datfindbat.html

[Urs_]

________________________________________________________

Cleanup
stelle den CleanUp genauso ein, wie hier angegeben: (+ PC neustarten)
http://virus-protect.org/cleanup.html

done

Datfindbat
Kopiere diese 4 Textdateien ab . (rechtsklick mit der Maus -> den Text markieren -> kopieren -> einfügen) Sie sind nach Datum geordnet. (kopiere nur die letzten 3 Monate ab)
http://virus-protect.org/datfindbat.html

Et Voilä:
***********************************************
Volume in Laufwerk C: hat keine Bezeichnung.
Volumeseriennummer: C80B-26BF

Verzeichnis von C:\WINDOWS\system32

24.07.2006 19:03 54'112 vsconfig.xml
23.07.2006 17:28 311'604 perfh009.dat
23.07.2006 17:28 39'992 perfc009.dat
23.07.2006 17:28 316'594 perfh007.dat
23.07.2006 17:28 48'156 perfc007.dat
23.07.2006 17:28 723'744 PerfStringBackup.INI
18.07.2006 17:53 2'206 wpa.dbl
17.07.2006 19:31 6'961 jupdate-1.5.0_07-b03.log
16.07.2006 15:28 116'560 FNTCACHE.DAT
16.07.2006 14:25 251 spupdwxp.log
16.07.2006 12:44 16'832 amcompat.tlb
16.07.2006 12:44 23'392 nscompat.tlb
15.07.2006 23:37 4'212 zllictbl.dat
15.07.2006 23:36 0 h323log.txt
15.07.2006 22:59 25'065 wmpscheme.xml
15.07.2006 22:54 261 $winnt$.inf
15.07.2006 22:50 2'951 CONFIG.NT
15.07.2006 22:48 488 logonui.exe.manifest
15.07.2006 22:48 488 WindowsLogon.manifest
15.07.2006 22:47 749 wuaucpl.cpl.manifest
15.07.2006 22:47 749 cdplayer.exe.manifest
15.07.2006 22:47 749 sapi.cpl.manifest
15.07.2006 22:47 749 nwc.cpl.manifest
15.07.2006 22:47 749 ncpa.cpl.manifest
15.07.2006 22:45 21'740 emptyregdb.dat
20.06.2006 23:33 42'920 vsutil_loc0407.dll
20.06.2006 23:33 394'872 vsdatant.sys
20.06.2006 23:32 71'672 zlcommdb.dll
20.06.2006 23:32 83'960 zlcomm.dll
20.06.2006 23:32 59'384 vswmi.dll
20.06.2006 23:32 440'312 vsutil.dll
20.06.2006 23:32 100'344 vsxml.dll
20.06.2006 23:32 71'672 vsregexp.dll
20.06.2006 23:32 268'280 vspubapi.dll
20.06.2006 23:32 157'688 vsinit.dll
20.06.2006 23:32 104'440 vsmonapi.dll
20.06.2006 23:32 83'960 vsdata.dll
20.06.2006 23:32 796'584 libeay32_0.9.6l.dll
16.06.2006 14:34 48'936 sirenacm.dll

***********************************************

Volume in Laufwerk C: hat keine Bezeichnung.
Volumeseriennummer: C80B-26BF

Verzeichnis von C:\DOKUME~1\Urs\LOKALE~1\Temp

24.07.2006 19:09 1'030 jusched.log
24.07.2006 19:04 512 ~DFC4D5.tmp
24.07.2006 19:04 131'072 ~DFC453.tmp
24.07.2006 18:42 832 java_install_reg.log
23.07.2006 12:19 512 ~DFEA2A.tmp
23.07.2006 12:19 131'072 ~DFEA16.tmp
23.07.2006 10:54 65'536 ~DF60E5.tmp
23.07.2006 10:22 512 ~DFAC09.tmp
23.07.2006 10:22 131'072 ~DFAB99.tmp
22.07.2006 16:19 65'536 ~DF8D72.tmp
17.07.2006 19:30 23'528 java_install.log
17.07.2006 19:29 57'856 5e439e.mst
16.07.2006 22:30 16'384 ~DFEA80.tmp
16.07.2006 15:27 798'234 IMT131.xml
16.07.2006 15:27 426 IMT130.xml
16.07.2006 15:27 2'036 IMT12F.xml
16.07.2006 15:24 393 insmagic.log
16.07.2006 14:51 1'416 Outlook Startup.Log
16.07.2006 14:46 276'752 Office 2000 Premium Setup(0002)_MsiExec.txt
16.07.2006 14:29 29'896 offcln9.log
16.07.2006 14:29 1'734 Office 2000 Premium Setup(0002).txt
16.07.2006 14:27 798'234 IMT1E.xml
16.07.2006 14:27 426 IMT1D.xml
16.07.2006 14:27 2'036 IMT1C.xml
15.07.2006 23:37 32'768 ~DFDC88.tmp
20.06.2006 23:32 440'312 vsutil.dll
20.06.2006 23:32 157'688 vsinit.dll

***********************************************

Volume in Laufwerk C: hat keine Bezeichnung.
Volumeseriennummer: C80B-26BF

Verzeichnis von C:\WINDOWS

24.07.2006 19:04 0 0.log
24.07.2006 19:04 271'957 WindowsUpdate.log
24.07.2006 19:03 2'048 bootstat.dat
24.07.2006 19:02 4'776 SchedLgU.Txt
23.07.2006 21:20 5'649 wmsetup.log
23.07.2006 21:18 216 wiadebug.log
23.07.2006 21:16 431'979 setupapi.log
23.07.2006 21:09 209 WINCMD.INI
23.07.2006 20:38 50 wiaservc.log
23.07.2006 16:18 6'400 balloon.wav
16.07.2006 22:14 30'876 comsetup.log
16.07.2006 22:14 148'999 iis6.log
16.07.2006 22:14 19'278 ntdtcsetup.log
16.07.2006 22:14 36'711 tsoc.log
16.07.2006 22:14 4'771 ocmsn.log
16.07.2006 22:14 1'683 tabletoc.log
16.07.2006 22:14 1'917 imsins.log
16.07.2006 22:14 53'627 ocgen.log
16.07.2006 22:14 5'677 medctroc.Log
16.07.2006 22:14 7'310 netfxocm.log
16.07.2006 22:14 3'620 msgsocm.log
16.07.2006 22:14 52'744 FaxSetup.log
16.07.2006 22:14 34'410 msmqinst.log
16.07.2006 22:14 4'566 imsins.BAK
16.07.2006 15:25 17'603 dasetup.log
16.07.2006 15:23 316'640 WMSysPr9.prx
16.07.2006 14:38 403 ODBC.INI
16.07.2006 14:37 615 win.ini
16.07.2006 14:27 28'997 spupdsvc.log
16.07.2006 14:27 360 DtcInstall.log
16.07.2006 14:26 1'510 OEWABLog.txt
16.07.2006 14:26 733'631 setuplog.txt
16.07.2006 14:23 437'655 svcpack.log
16.07.2006 14:17 200 cmsetacl.log
16.07.2006 14:17 299'552 WMSysPrx.prx
16.07.2006 14:16 1'330 sessmgr.setup.log
16.07.2006 12:45 22'843 Active Setup Log.txt
15.07.2006 23:41 8'169 KB842773.log
15.07.2006 23:41 176'984 setupact.log
15.07.2006 23:34 2'774 regopt.log
15.07.2006 23:31 0 Sti_Trace.log
15.07.2006 23:27 231 system.ini
15.07.2006 23:26 0 setuperr.log
15.07.2006 22:55 8'192 REGLOCS.OLD
15.07.2006 22:50 0 control.ini
15.07.2006 22:49 4'161 ODBCINST.INI
15.07.2006 22:49 240 Windows Update.log
15.07.2006 22:47 749 WindowsShell.Manifest
15.07.2006 22:45 36 vb.ini
15.07.2006 22:45 37 vbaddin.ini

***********************************************

Volume in Laufwerk C: hat keine Bezeichnung.
Volumeseriennummer: C80B-26BF

Verzeichnis von C:\

24.07.2006 19:03 267'960'320 hiberfil.sys
24.07.2006 19:03 402'653'184 pagefile.sys
16.07.2006 14:17 211 boot.ini
16.07.2006 14:05 47'564 NTDETECT.COM
16.07.2006 14:05 251'184 ntldr
15.07.2006 22:50 0 MSDOS.SYS
15.07.2006 22:50 0 AUTOEXEC.BAT
15.07.2006 22:50 0 CONFIG.SYS
15.07.2006 22:50 0 IO.SYS

***********************************************

Stand gestern nicht noch ein Dritter Auftrag da?

Auf jeden Fall hoffe ich, dass meine Angaben helfen

MfG Urs

[Nikita]

1.
loesche:
C:\WINDOWS\balloon.wav

2.
Download FixWareout
http://downloads.subratam.org/Fixwareout.exe
Fixwareout.exe --> next --> Install --> Run fixit --> Finish / der PC wird neustarten --> C:\fixwareout\report.txt -> hier posten

3.
http://www.f-secure.com/blacklight/
starte die Datei, nimm die Lizenzbestimmung an und waehle scan, wenn es mit dem Scan fertig ist, druecke next und danach close. Nun befindet sich im selben Ordner von Blacklight eine FSB*.TXT Datei -> hier posten

4.
poste das log vom silentrunner
http://virus-protect.org/silentrunner.html