Virus? Trojaner`?

[tompa]

Hallo,
seit ein paar Tagen öffnet sich bei mir in unregelmäßigen Abständen ein InternetExplorer-Fenster und geht automatisch auf eine Casino- (manchmal auch Porno-) Seite.
Desweiteren habe ich ca alle 4 Stunden eine neue Verknüpfung auf dem Desktop. Sie führt zu - "C:\Programme\Internet Explorer\iexplore.exe" www.casinopalazzo.com/index.php?sourceid=102174 -
Wenn ich sie lösche taucht sie ein paar Stunden später wieder auf.


Norton, AdAware und SpyBot habe ich laufen lassen und alles verdächtige gelöscht.

Trotzdem ist das Problem noch nicht gelöst.

Ich habe mal ein HiJackThis-Log erstellt. Vielleicht hilft der ja:

Logfile of HijackThis v1.97.7
Scan saved at 01:24:01, on 29.06.2004
Platform: Windows XP SP1 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP1 (6.00.2800.1106)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\Programme\Gemeinsame Dateien\Symantec Shared\ccSetMgr.exe
C:\Programme\Gemeinsame Dateien\Symantec Shared\ccEvtMgr.exe
C:\WINDOWS\system32\spoolsv.exe
C:\WINDOWS\System32\Ati2evxx.exe
C:\Programme\Norton AntiVirus\navapsvc.exe
C:\WINDOWS\Explorer.EXE
C:\Programme\Norton AntiVirus\AdvTools\NPROTECT.EXE
C:\Programme\Norton AntiVirus\SAVScan.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\System32\bcmwltry.exe
C:\Programme\Gemeinsame Dateien\Symantec Shared\ccApp.exe
C:\Programme\Gemeinsame Dateien\Real\Update_OB\realsched.exe
C:\Programme\Internet Explorer\iexplore.exe
C:\Programme\Outlook Express\msimn.exe
C:\Programme\Norton AntiVirus\OPScan.exe
C:\Dokumente und Einstellungen\Besitzer\Desktop\hijackthis1977\HijackThis.exe

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Bar = http://mysearchnow.com/searchbar.html
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.klamm.de/?id=89378
R1 - HKCU\Software\Microsoft\Internet Explorer\Search,SearchAssistant = http://mysearchnow.com/searchbar.html
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Bar = http://mysearchnow.com/searchbar.html
O2 - BHO: (no name) - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Programme\Adobe\Acrobat 6.0\Reader\ActiveX\AcroIEHelper.dll
O2 - BHO: (no name) - {53707962-6F74-2D53-2644-206D7942484F} - C:\Programme\Spybot - Search & Destroy\SDHelper.dll
O2 - BHO: (no name) - {98DBBF16-CA43-4c33-BE80-99E6694468A4} - C:\WINDOWS\System32\msmk.dll
O2 - BHO: (no name) - {AA58ED58-01DD-4d91-8333-CF10577473F7} - c:\programme\google\googletoolbar2.dll
O2 - BHO: NAV Helper - {BDF3E430-B101-42AD-A544-FADC6B084872} - C:\Programme\Norton AntiVirus\NavShExt.dll
O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINDOWS\System32\msdxm.ocx
O3 - Toolbar: Norton AntiVirus - {42CDD1BF-3FFB-4238-8AD1-7859DF00B1D6} - C:\Programme\Norton AntiVirus\NavShExt.dll
O3 - Toolbar: Webmasterpark Toolbar - {F3101DEE-EEE1-4542-A570-951A1C874EE3} - C:\PROGRA~1\WEBMAS~1\wmp.dll
O3 - Toolbar: &Google - {2318C2B1-4965-11d4-9B18-009027A5CD4F} - c:\programme\google\googletoolbar2.dll
O4 - HKLM\..\Run: [bcmwltry] bcmwltry.exe
O4 - HKLM\..\Run: [removecpl] RemoveCpl.exe
O4 - HKLM\..\Run: [ccApp] "C:\Programme\Gemeinsame Dateien\Symantec Shared\ccApp.exe"
O4 - HKLM\..\Run: [QuickTime Task] "C:\Programme\QuickTime\qttask.exe" -atboottime
O4 - HKLM\..\Run: [TkBellExe] "C:\Programme\Gemeinsame Dateien\Real\Update_OB\realsched.exe" -osboot
O8 - Extra context menu item: &Google Search - res://c:\programme\google\GoogleToolbar2.dll/cmsearch.html
O8 - Extra context menu item: Backward &Links - res://c:\programme\google\GoogleToolbar2.dll/cmbacklinks.html
O8 - Extra context menu item: Cac&hed Snapshot of Page - res://c:\programme\google\GoogleToolbar2.dll/cmcache.html
O8 - Extra context menu item: Si&milar Pages - res://c:\programme\google\GoogleToolbar2.dll/cmsimilar.html
O9 - Extra 'Tools' menuitem: Sun Java Konsole (HKLM)
O9 - Extra button: ICQ Pro (HKLM)
O9 - Extra 'Tools' menuitem: ICQ (HKLM)
O9 - Extra button: Messenger (HKLM)
O9 - Extra 'Tools' menuitem: Messenger (HKLM)
O16 - DPF: {166B1BCA-3F9C-11CF-8075-444553540000} (Shockwave ActiveX Control) - http://download.macromedia.com/pub/shoc ... /swdir.cab
O16 - DPF: {33564D57-0000-0010-8000-00AA00389B71} - http://download.microsoft.com/download/ ... mv9VCM.CAB
O16 - DPF: {74D05D43-3236-11D4-BDCD-00C04F9A3B61} (HouseCall-Kontrolle) - http://a840.g.akamai.net/7/840/537/2e52 ... scan53.cab
O16 - DPF: {8E0D4DE5-3180-4024-A327-4DFAD1796A8D} (MessengerStatsClient Class) - http://messenger.zone.msn.com/binary/Me ... Client.cab
O16 - DPF: {9F1C11AA-197B-4942-BA54-47A8489BB47F} (Update Class) - http://v4.windowsupdate.microsoft.com/C ... 2005555556
O16 - DPF: {D27CDB6E-AE6D-11CF-96B8-444553540000} (Shockwave Flash Object) - http://fpdownload.macromedia.com/pub/sh ... wflash.cab
O16 - DPF: {E855A2D4-987E-4F3B-A51C-64D10A7E2479} (EPSImageControl Class) - http://tools.ebayimg.com/eps/activex/EP ... -0-3-0.cab


Könnt ihr mir helfen? Ich verzweifle.....

Danke!
Gruß

[Nikita]

Die Suchleiste von «mysearchbar.com» stammt von dem bekannten Adware-Verbreiter «Lop.com», welcher schon diverse Formen seiner Software im Netz kursieren lässt



Fixe mit dem HijackThis

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Bar = http://mysearchnow.com/searchbar.html
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.klamm.de/?id=89378
R1 - HKCU\Software\Microsoft\Internet Explorer\Search,SearchAssistant = http://mysearchnow.com/searchbar.html
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Bar = http://mysearchnow.com/searchbar.html

O2 - BHO: (no name) - {98DBBF16-CA43-4c33-BE80-99E6694468A4} - C:\WINDOWS\System32\msmk.dll

neustarten
............................................................................................................

Gehe in den abgesicherten Modus...F8 beim Booten druecken

#Suche und loesche C:\WINDOWS\System32\msmk.dll

#Such auf Deinem System nach der Datei notepad.com (nicht notepad.exe).
Wenn sie vorhanden ist -> löschen.
...........................................................................................................
neustarten

#Lade Cwhredder
http://www.spywareinfo.com/~merijn/downloads.html

#Lade escan ...mwav.exe...30 Tage free , scanne \alle Dateien\ und poste, ob das Tool noch was gefunden hat
http://www.mwti.net/antivirus/free_utilities.asp

#Loesche unter InternetOptionen die TemporaryInternetFiles und stelle eine neue Startseite ein.

#surfe mit Firefox...ist sicherer
http://www.firebird-browser.de/

MfG
Nikita

[tompa]

Hi,
ich bin jetzt so vorgegangen wie du mir's empfohlen hast.

Escan hat einen Error gefunden:

Tue Jun 29 11:11:31 2004 => ERROR!!! Invalid Entry system32\drivers\STV680.sys in SYSTEM\CurrentControlSet\Services\STV680...


Tue Jun 29 11:11:38 2004 => ***** Scanning complete. *****

Tue Jun 29 11:11:38 2004 => Total Number of Files Scanned: 246
Tue Jun 29 11:11:38 2004 => Total Number of Virus(es) Found: 0
Tue Jun 29 11:11:38 2004 => Total Number of Disinfected Files: 0
Tue Jun 29 11:11:38 2004 => Total Number of Files Renamed: 0
Tue Jun 29 11:11:38 2004 => Total Number of Deleted Files: 0
Tue Jun 29 11:11:38 2004 => Total Number of Errors: 1
Tue Jun 29 11:11:38 2004 => Time Elapsed: 00:00:23
Tue Jun 29 11:11:38 2004 => Virus Database Date: 2004/06/20
Tue Jun 29 11:11:38 2004 => Virus Database Count: 95240

Tue Jun 29 11:11:38 2004 => Scan Completed.




VIELEN DANK FÜR DIE HILFE!!!

Gruß

[Nikita]

http://www.net-integration.net/tools/sp ... aster.html
Lade spywareBlaster und stelle allen Schutz ein.

Dann loesche die TemporaryInternetFiles, scanne noch einmal mit dem aktualisierten AdAware und Spybot und poste das Log noch einmal.

MfG
Nikita

[Nikita]

http://www.javacoolsoftware.com/sgdownload.html
Lade noch den Spyware guard..aktiviere alles

spysweeper free
http://www.spysweeper.com/download.html

MfG
Nikita

[manus-home]

Bin neu hier, also erst mal Seeervus,

kann mir vielleicht jemand mit mysearchnow helfen? Ich kenn mich net gut am PC aus aber ich habs schon geschafft den Hijacktjis scannen zu lassen.
Hier die Daten

Logfile of HijackThis v1.98.0
Scan saved at 11:27:14, on 15.07.2004
Platform: Windows ME (Win9x 4.90.3000)
MSIE: Internet Explorer v6.00 SP1 (6.00.2800.1106)

Running processes:
C:\WINDOWS\SYSTEM\KERNEL32.DLL
C:\WINDOWS\SYSTEM\MSGSRV32.EXE
C:\WINDOWS\SYSTEM\mmtask.tsk
C:\WINDOWS\SYSTEM\MPREXE.EXE
C:\WINDOWS\SYSTEM\MSTASK.EXE
C:\WINDOWS\SYSTEM\SSDPSRV.EXE
C:\WINDOWS\SYSTEM\STIMON.EXE
C:\WINDOWS\EXPLORER.EXE
C:\WINDOWS\TASKMON.EXE
C:\WINDOWS\SYSTEM\SYSTRAY.EXE
C:\PROGRAMME\T-DSL SPEEDMANAGER\SPEEDMGR.EXE
C:\WINDOWS\SYSTEM\HPOOPM07.EXE
C:\PROGRAMME\AVPERSONAL\AVGCTRL.EXE
C:\WINDOWS\SYSTEM\QTTASK.EXE
C:\WINDOWS\SYSTEM\WMIEXE.EXE
C:\WINDOWS\LOADQM.EXE
C:\PROGRAMME\BAGS INTRA WIN\GPL BURN ROAD.EXE
C:\PROGRAMME\ICQLITE\ICQLITE.EXE
C:\WINDOWS\SYSTEM\RNAAPP.EXE
C:\WINDOWS\SYSTEM\SPOOL32.EXE
C:\WINDOWS\SYSTEM\DDHELP.EXE
C:\WINDOWS\SYSTEM\TAPISRV.EXE
C:\EIGENE DATEIEN\HIJACKTHIS.EXE

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://mysearchnow.com/passthrough/inde ... -truck.de/
O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\PROGRAMME\ADOBE\ACROBAT 5.0\READER\ACTIVEX\ACROIEHELPER.OCX
O2 - BHO: Five Acid Flap - {E480B16B-0732-BDBA-4FF8-4D1267A5A42D} - C:\PROGRAMME\RULEWAY\AXIS ANTE.DLL
O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINDOWS\SYSTEM\MSDXM.OCX
O3 - Toolbar: bait show for - {448ABCF1-4897-F0A4-DFCE-3FE00A954DCF} - C:\PROGRAMME\RULEWAY\AXIS ANTE.DLL
O4 - HKLM\..\Run: [ScanRegistry] C:\Windows\scanregw.exe /autorun
O4 - HKLM\..\Run: [TaskMonitor] C:\Windows\taskmon.exe
O4 - HKLM\..\Run: [PCHealth] C:\Windows\PCHealth\Support\PCHSchd.exe -s
O4 - HKLM\..\Run: [SystemTray] SysTray.Exe
O4 - HKLM\..\Run: [LoadPowerProfile] Rundll32.exe powrprof.dll,LoadCurrentPwrScheme
O4 - HKLM\..\Run: [T-DSL SpeedMgr] "C:\PROGRAMME\T-DSL SPEEDMANAGER\SPEEDMGR.EXE"
O4 - HKLM\..\Run: [HPAIO_PrintFolderMgr] C:\WINDOWS\SYSTEM\hpoopm07.exe
O4 - HKLM\..\Run: [AVGCtrl] "C:\PROGRA~1\AVPERSON\AVGCTRL.EXE" /min
O4 - HKLM\..\Run: [QuickTime Task] "C:\WINDOWS\SYSTEM\QTTASK.EXE" -atboottime
O4 - HKLM\..\Run: [LoadQM] loadqm.exe
O4 - HKLM\..\Run: [Dumb dead] C:\PROGRA~1\Bags Intra Win\Gpl burn road.exe
O4 - HKLM\..\Run: [ICQ Lite] C:\Programme\ICQLite\ICQLite.exe -minimize
O4 - HKLM\..\RunServices: [LoadPowerProfile] Rundll32.exe powrprof.dll,LoadCurrentPwrScheme
O4 - HKLM\..\RunServices: [SchedulingAgent] mstask.exe
O4 - HKLM\..\RunServices: [SSDPSRV] C:\Windows\SYSTEM\ssdpsrv.exe
O4 - HKLM\..\RunServices: [StillImageMonitor] C:\WINDOWS\SYSTEM\STIMON.EXE
O4 - HKLM\..\RunServices: [MessengerPlus3] "C:\Programme\Messenger Plus! 3\MsgPlus.exe"
O4 - HKCU\..\RunOnce: [ICQ Lite] C:\PROGRAMME\ICQLITE\ICQLITE.EXE -trayboot
O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - (no file)
O9 - Extra button: ICQ 4.1 - {B863453A-26C3-4e1f-A54D-A2CD196348E9} - C:\Programme\ICQLite\ICQLite.exe
O9 - Extra 'Tools' menuitem: ICQ Lite - {B863453A-26C3-4e1f-A54D-A2CD196348E9} - C:\Programme\ICQLite\ICQLite.exe
O9 - Extra button: Add bid - {866875B8-9855-48f8-BAAB-8002C325BE69} - C:\Programme\Paragon\Last Minute Gebot\plmg.exe (HKCU)
O9 - Extra 'Tools' menuitem: Add bid - {866875B8-9855-48f8-BAAB-8002C325BE69} - C:\Programme\Paragon\Last Minute Gebot\plmg.exe (HKCU)
O16 - DPF: {917623D1-D8E5-11D2-BE8B-00104B06BDE3} (CamImage Class) - http://www.axis.com/products/camera_ser ... ontrol.ocx
O16 - DPF: {C94BFF60-7315-11D2-A844-0060086FEFD7} (Internet Banking und Brokerage) - http://www.izb-hb.de/SPK_Nuernberg/SBro ... nstV19.cab
O16 - DPF: {31B7EB4E-8B4B-11D1-A789-00A0CC6651A8} (Cult3D ActiveX Player) - http://www.cult3d.com/download/cult.cab
O16 - DPF: {B942A249-D1E7-4C11-98AE-FCB76B08747F} (RealArcadeRdxIE Class) - http://games-dl.real.com/gameconsole/Bu ... eRdxIE.cab
O16 - DPF: {CAFEEFAC-0014-0001-0001-ABCDEFFEDCBA} (Java Runtime Environment 1.4.1_01) -
O16 - DPF: ChatSpace Full Java Client 3.1.0.235 - http://chat.waslos.de/Java/cfs31235.cab
O16 - DPF: {90C9629E-CD32-11D3-BBFB-00105A1F0D68} (InstallShield International Setup Player) - http://www.installengine.com/engine/isetup.cab
O16 - DPF: {8AD9C840-044E-11D1-B3E9-00805F499D93} (Java Runtime Environment 1.4.2) -
O16 - DPF: {8E0D4DE5-3180-4024-A327-4DFAD1796A8D} (MessengerStatsClient Class) - http://messenger.zone.msn.com/binary/Me ... Client.cab
O16 - DPF: {00B71CFB-6864-4346-A978-C0A14556272C} (Checkers Class) - http://messenger.zone.msn.com/binary/msgrchkr.cab
O16 - DPF: {74D05D43-3236-11D4-BDCD-00C04F9A3B61} (HouseCall-Kontrolle) - http://housecall.trendmicro-europe.com/ ... scan53.cab
O21 - SSODL: AUHook - {BCBCD383-3E06-11D3-91A9-00C04F68105C} - C:\WINDOWS\SYSTEM\AUHOOK.DLL


NACHTRAG:
ich habs geschafft mit einer uninstall.exe von deren support.hier deren mail mit link zur exedatei:

Dear Sir or Madam:



In the terms and conditions of any of our software products it is clearly stated that we grant you a free license to use the software and by installing the software on your computer you agree to use our search services in your web browser. Any and all changes made to your system are clearly stated in the terms and conditions and are fully un-installable via the Add-and-Remove Programs option available from the Windows Start Menu--Settings--Control Panel--Add/Remove Programs.

In the 'Add / Remove Programs' list, look for 'Window Search', 'Window Searching', 'Lop.com', 'LOP SEARCH', 'Browser Enhancer', or 'Ultimate Browser Enhancer' from the menu to run the uninstaller.


If you've tried the above steps and the uninstall is still unsuccessful, try disabling your anti-virus software, Ad-aware, Sophos, and other programs of that nature. Re-download the uninstaller, then run it. Ad-aware et al seem to interfere with the uninstall process. If disabling that software allows you to run our uninstaller successfully, please tell us or email the software company in question and tell them they need to fix their software.

- Additionally a separate uninstall program may be downloaded here:
http://lop.com/new_uninstall.exe

This is a new universal uninstaller and will remove any components, such as the toolbar.

If none of these suggestions solve the problem, try reinstalling the LOP software, then running the uninstall again.


Please let us know if we can be of any further assistance,

Lucy Lewis,
Lop.com Customer Service

At 06:05 PM 7/19/2004, you wrote:

sie haben ohne meine einverständnis ein programm auf meinem rechner installiert das meinen IE verändert hat, so das immer über mysearchnow.com meine startseite geladen wird. Das ist ein eingriff n meine privatsphäre und umgeht den datenschutz.Nun erwarte ich von ihnen ein programm mit dem ich das wieder entfernen kann.

m.dietz
Help us help you. When replying to customer support at lop.com, remember to include any past correspondence with lop customer support in your reply.