IE 6 Sp1 Probleme

[elFranzo 10]

Hallo

 

ich hab hier nen Rechner. Immer wenn man den IE öffnet dann öffnet sich automatisch eine Seite von einem dubiosen Anbieter.

Die Startseite kann man zwar entfernen aber die kommt halt nach jedem Neustart wieder :(

 

Weiß einer wie ich diese Add oder Maleware entfernen kann?

[BlackPixel 10]

Lade Dir mal Hi Jack This runter => http://www.spychecker.com/program/hijackthis.html

 

und lass mal scannen. Poste das Result dann hier dann kann ich Dir weiterhelfen. könnte evt. eine dll oder ein plugin im I.E. sein.

 

Bitte tu noch nichts unüberlegtes mit diesem Programm, kann auch wenn es ungewollt ist schwere schäden anrichten!

 

Grüße Manfred

[c0smic 12]

Gibts eigentlich recht wenig Moeglichkeiten.

Durchforste dein System mal mit AdAware (http://www.lavasoft.de) sowie Spybot Search & Destroy (http://www.safer-networking.org)

 

Wenn beide nix helfen und die Startseite immernoch net weg is, google mal nach CWShredder.

 

Gruss

c0sMiC

[Haraldino 10]

Hi,

 

schau mal in diesen Thread:

 

http://www.mcseboard.de/showthread.php?s=&threadid=30691

 

mfg Haraldino

[elFranzo 10]

Original geschrieben von BlackPixel

Lade Dir mal Hi Jack This runter => http://www.spychecker.com/program/hijackthis.html

 

und lass mal scannen. Poste das Result dann hier dann kann ich Dir weiterhelfen. könnte evt. eine dll oder ein plugin im I.E. sein.

 

Bitte tu noch nichts unüberlegtes mit diesem Programm, kann auch wenn es ungewollt ist schwere schäden anrichten!

 

Grüße Manfred

 

so hier ist die Logfile

 

Running processes:

C:\WINNT\System32\smss.exe

C:\WINNT\system32\winlogon.exe

C:\WINNT\system32\services.exe

C:\WINNT\system32\lsass.exe

C:\WINNT\system32\svchost.exe

C:\WINNT\system32\spoolsv.exe

C:\WINNT\System32\svchost.exe

C:\WINNT\System32\mgabg.exe

C:\WINNT\System32\mnmsrvc.exe

C:\OfficeScan NT\ntrtscan.exe

C:\WINNT\system32\regsvc.exe

C:\WINNT\system32\MSTask.exe

C:\Programme\Analog Devices\SoundMAX\SMAgent.exe

C:\OfficeScan NT\tmlisten.exe

C:\WINNT\System32\WBEM\WinMgmt.exe

C:\WINNT\system32\svchost.exe

C:\OfficeScan NT\ofcdog.exe

C:\WINNT\explorer.exe

C:\WINNT\system\user32.exe

C:\Programme\Analog Devices\SoundMAX\Smtray.exe

C:\PROGRA~1\MOUSEW~1\SYSTEM\EM_EXEC.EXE

C:\Programme\FAXmaker Client\FMSTART.EXE

C:\OfficeScan NT\pccntmon.exe

C:\WINNT\System32\PDesk\PDesk.exe

C:\Programme\DATA BECKER\ZipGenie\ZTray.exe

C:\WINNT\system32\eclientn.exe

C:\Programme\Logitech\iTouch\iTouch.exe

C:\Programme\HP_DS9100C\Link\hpnsjtr.exe

A:\HijackThis.exe

 

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = http://www.microsoft.com/isapi/redir.dll?prd=ie&ar=iesearch

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://213.159.117.132/redir.php'>http://213.159.117.132/redir.php'>http://213.159.117.132/redir.php'>http://213.159.117.132/redir.php'>http://213.159.117.132/redir.php'>http://213.159.117.132/redir.php

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://213.159.117.132/redir.php

R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = http://213.159.117.132/redir.php

R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://213.159.117.132/redir.php

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Local Page = http://213.159.117.132/redir.php

R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Local Page = http://213.159.117.132/redir.php

F0 - system.ini: Shell=explorer.exe C:\WINNT\System\user32.exe

F2 - REG:system.ini: Shell=explorer.exe C:\WINNT\System\user32.exe

O2 - BHO: (no name) - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - c:\program files\Adobe\Acrobat Reader 5\Reader\ActiveX\AcroIEHelper.ocx

O4 - HKLM\..\Run: [synchronization Manager] mobsync.exe /logon

O4 - HKLM\..\Run: [smapp] C:\Programme\Analog Devices\SoundMAX\Smtray.exe

O4 - HKLM\..\Run: [iMONTRAY] C:\Program Files\Intel\Intel® Active Monitor\imontray.exe

O4 - HKLM\..\Run: [EM_EXEC] C:\PROGRA~1\MOUSEW~1\SYSTEM\EM_EXEC.EXE

O4 - HKLM\..\Run: [FMStart] "C:\Programme\FAXmaker Client\FMSTART.EXE"

O4 - HKLM\..\Run: [Client Access Service] "C:\Programme\IBM\Client Access\cwbsvstr.exe"

O4 - HKLM\..\Run: [Client Access Help Update] "C:\Programme\IBM\Client Access\cwbinhlp.exe"

O4 - HKLM\..\Run: [Client Access Check Version] "C:\Programme\IBM\Client Access\cwbckver.exe" LOGIN

O4 - HKLM\..\Run: [iO-Monitor] "C:\OfficeScan NT\pccntmon.exe"

O4 - HKLM\..\Run: [Matrox Powerdesk] C:\WINNT\System32\PDesk\PDesk.exe /Autolaunch

O4 - HKLM\..\Run: [Client Access Express Welcome] "C:\Programme\IBM\Client Access\cwbwlwiz.exe"

O4 - HKLM\..\Run: [ZipGenieTray] C:\Programme\DATA BECKER\ZipGenie\ZTray.exe

O4 - HKLM\..\Run: [OfficeScanNT Monitor] "c:\officescan nt\pccntmon.exe" -HideWindow

O4 - HKLM\..\Run: [ETapiSt] "C:\Programme\ESTOS\ProCall\etapist.exe" -autostart

O4 - HKLM\..\Run: [ETapiNotify] eclientn.exe

O4 - HKLM\..\Run: [zBrowser Launcher] C:\Programme\Logitech\iTouch\iTouch.exe

O4 - Global Startup: Digital Sender Link.lnk = C:\Programme\HP_DS9100C\Link\hpnsjtr.exe

O4 - Global Startup: Microsoft Office.lnk = C:\Programme\Microsoft Office\Office\OSA9.EXE

O9 - Extra button: Related (HKLM)

O9 - Extra 'Tools' menuitem: Show &Related Links (HKLM)

O16 - DPF: {D27CDB6E-AE6D-11CF-96B8-444553540000} (Shockwave Flash Object) - http://download.macromedia.com/pub/shockwave/cabs/flash/swflash.cab

[Haraldino 10]

Hi,

 

sag uns doch mal die Internet-Seite, die dir angezeigt wird.

 

mfg Haraldino

[elFranzo 10]

http://213.159.117.132/redir.php

[c0smic 12]

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://213.159.117.132/redir.php'>http://213.159.117.132/redir.php'>http://213.159.117.132/redir.php'>http://213.159.117.132/redir.php'>http://213.159.117.132/redir.php'>http://213.159.117.132/redir.php

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://213.159.117.132/redir.php

R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = http://213.159.117.132/redir.php

R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://213.159.117.132/redir.php

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Local Page = http://213.159.117.132/redir.php

R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Local Page = http://213.159.117.132/redir.php

 

 

Die Keys loeschen...dann isse weg. Aber ich wuerds trotzdem Adaware machen lassen :)

 

 

Gruss

c0sMiC

[gr@mlin 10]

hi,

 

ich würde die einträge mit hijackthis fixen lassen.

 

hier findest du infos zu deinem log: http://www.trojaner-info.de/anleitungen/hijackthis/htlogtutorial.html#r

 

gruss, gr@mlin

[elFranzo 10]

Original geschrieben von c0smic

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://213.159.117.132/redir.php'>http://213.159.117.132/redir.php'>http://213.159.117.132/redir.php'>http://213.159.117.132/redir.php'>http://213.159.117.132/redir.php'>http://213.159.117.132/redir.php

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://213.159.117.132/redir.php

R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = http://213.159.117.132/redir.php

R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://213.159.117.132/redir.php

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Local Page = http://213.159.117.132/redir.php

R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Local Page = http://213.159.117.132/redir.php

 

 

Die Keys loeschen...dann isse weg. Aber ich wuerds trotzdem Adaware machen lassen :)

 

 

Gruss

c0sMiC

 

das hab ich schonmal gemacht, hat sic hdann automatisch wieder eingetragen. Ich probiers mal mit Adaware

[Haraldino 10]

Hi,

 

du wirst auf diese seite geleitet:

 

http://www.searchmeup.com

 

benutze mal den CWshredder

 

http://www.chip.de/downloads/c_downloads_11353799.html

 

und danach solltest Du Ruhe haben.

 

mfg Haraldino

[saracs 10]

C:\WINNT\system\user32.exe

 

C:\WINNT\System32\PDesk\PDesk.exe

 

C:\WINNT\system32\eclientn.exe

 

die solltest du dir auch mal genauer ansehen !

 

gruss saracs

[elFranzo 10]

war nen harter Kampf aber nu ist es weg :D Danke an alle

 

der CWshredder hats glaub ich gerissen ;)