finding.de

[piet1967 10]

Hallo,

 

habe ein riesiges Problem mit der Startseite des IE 6. Benutze XP mit Service Pack 2. Habe auf meinem PC mehrere Benutzer eingerichtet, bei einem Benutzer ist anscheinend auf die Startseite des IE ein Hijack erfolgt.

 

Die Startseite lässt sich nicht mehr einstellen, im IE, es erfolgt nach einem Neustart immer wieder die Umstellung der Startseite. Auch die Änderung der Startseite in der Registry hat nichts gebracht, es kommt immer die Seite von finding.de.

 

Habe schon einige Spyware-Programme (HijackThis, Browser Hijack, Hitman Pro, Adadware, usw.) laufen lassen, leider alles ohne Erfolg. Es sind auch leider keine Einträge im Logfile von HijackThis vorhanden.

 

Wenn ich den betreffenden Nutzer einfach lösche, ist dann das Problem gelöst? Oder gibt es noch weitere Möglichkeiten diesen Alptraum zu eliminieren. :mad:

 

Wäre für eine Hilfestellung sehr dankbar!

[Damian 1.399]

Hi.

 

Versuch´s mal mit diesem Workaround: http://www.trojaner-board.de/archive/index.php/t-23346.html

 

Damian

[piet1967 10]

Ich habe leider nur eine der im Woraround genannten Dateien auf meinem PC. Es handelt sich hierbei um: Protocol: msnim - {828030A1-22C1-4009-854F-8E305202313F} - "I:\PROGRA~1\MSNMES~1\msgrapp.dll" (file missing). Ansonsten leider Fehlanzeige. Wo kann sich der Hijacker sonst noch versteckt haben? Besteht die Möglichkeit, dass in der Zwischenzeit eine Abwandlung im Umlauf ist, die andere Dateinamen verwendet?

 

Komme in dieser Sache keinen Schritt weiter.

[XP-Fan 215]

Hallo,

 

besorge dir mal Hijackthis, mache einen Scan und poste das Ergebnis. Mal sehen was wir machen können.

[grizzly999 11]

Ähmm,

Zitat 1967:

Habe schon einige Spyware-Programme (HijackThis, Browser Hijack, Hitman Pro, Adadware, usw.) laufen lassen, leider alles ohne Erfolg. Es sind auch leider keine Einträge im Logfile von HijackThis vorhanden.

 

 

grizzly999

[piet1967 10]

Einen Versuch ist es alle mal wert, mehrere Augen sehen besser als nur eines. Hier ist der Logfile aus HjT:

 

Running processes:

I:\WINDOWS\System32\smss.exe

I:\WINDOWS\system32\csrss.exe

I:\WINDOWS\system32\winlogon.exe

I:\WINDOWS\system32\services.exe

I:\WINDOWS\system32\lsass.exe

I:\WINDOWS\system32\Ati2evxx.exe

I:\WINDOWS\system32\svchost.exe

I:\WINDOWS\system32\svchost.exe

I:\Programme\Windows Defender\MsMpEng.exe

I:\WINDOWS\System32\svchost.exe

I:\WINDOWS\system32\spoolsv.exe

I:\WINDOWS\System32\svchost.exe

I:\Programme\AntiVir PersonalEdition Classic\sched.exe

I:\Programme\AntiVir PersonalEdition Classic\avguard.exe

I:\Programme\xampp\apache\bin\apache.exe

I:\Programme\Gemeinsame Dateien\Microsoft Shared\VS7DEBUG\MDM.EXE

I:\Programme\xampp\mysql\bin\mysqld-nt.exe

I:\WINDOWS\system32\SatSrv.exe

I:\WINDOWS\System32\svchost.exe

I:\Programme\xampp\apache\bin\apache.exe

I:\WINDOWS\System32\alg.exe

I:\WINDOWS\system32\Ati2evxx.exe

I:\WINDOWS\Explorer.EXE

I:\Programme\ATI Technologies\ATI Control Panel\atiptaxx.exe

I:\WINDOWS\system32\RunDll32.exe

I:\Programme\Spybot - Search & Destroy\TeaTimer.exe

I:\Programme\a-squared\a2guard.exe

I:\Programme\Logitech\MouseWare\system\em_exec.exe

I:\Programme\klickTel\klickTel Herbst 2005\KSTART32.EXE

I:\Programme\xampp\mysql\bin\winmysqladmin.exe

I:\Programme\Mozilla Firefox\firefox.exe

I:\HijackThis\HijackThis.exe

 

O2 - BHO: Adobe PDF Reader Link Helper - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - I:\Programme\Adobe\Acrobat 7.0\ActiveX\AcroIEHelper.dll

O2 - BHO: (no name) - {53707962-6F74-2D53-2644-206D7942484F} - I:\PROGRA~1\SPYBOT~1\SDHelper.dll

O2 - BHO: Adobe PDF Conversion Toolbar Helper - {AE7CD045-E861-484f-8273-0445EE161910} - I:\Programme\Adobe\Acrobat 7.0\Acrobat\AcroIEFavClient.dll

O3 - Toolbar: Adobe PDF - {47833539-D0C5-4125-9FA8-0819E2EAAC93} - I:\Programme\Adobe\Acrobat 7.0\Acrobat\AcroIEFavClient.dll

O4 - HKLM\..\Run: [ATIPTA] I:\Programme\ATI Technologies\ATI Control Panel\atiptaxx.exe

O4 - HKLM\..\Run: [Logitech Utility] Logi_MwX.Exe

O4 - HKLM\..\Run: [KernelFaultCheck] %systemroot%\system32\dumprep 0 -k

O4 - HKLM\..\Run: [ccApp] "I:\Programme\Gemeinsame Dateien\Symantec Shared\ccApp.exe"

O4 - HKLM\..\Run: [Verknüpfung mit der High Definition Audio-Eigenschaftenseite] HDAudPropShortcut.exe

O4 - HKLM\..\Run: [Cmaudio] RunDll32 cmicnfg.cpl,CMICtrlWnd

O4 - HKLM\..\Run: [MSConfig] I:\WINDOWS\PCHealth\HelpCtr\Binaries\MSConfig.exe /auto

O4 - HKCU\..\Run: [spybotSD TeaTimer] I:\Programme\Spybot - Search & Destroy\TeaTimer.exe

O4 - HKCU\..\Run: [a-squared] "I:\Programme\a-squared\a2guard.exe"

O4 - Startup: klickTel Herbst 2005 - Schnellstarter.lnk = I:\Programme\klickTel\klickTel Herbst 2005\KSTART32.EXE

O4 - Startup: WinMySQLadmin.lnk = I:\Programme\xampp\mysql\bin\winmysqladmin.exe

O6 - HKCU\Software\Policies\Microsoft\Internet Explorer\Restrictions present

O6 - HKCU\Software\Policies\Microsoft\Internet Explorer\Control Panel present

O6 - HKLM\Software\Policies\Microsoft\Internet Explorer\Restrictions present

O6 - HKLM\Software\Policies\Microsoft\Internet Explorer\Control Panel present

O8 - Extra context menu item: &NeoTrace It! - I:\PROGRA~1\NEOTRA~1\NTXcontext.htm

O8 - Extra context menu item: Ausgewählte Verknüpfungen in Adobe PDF konvertieren - res://I:\Programme\Adobe\Acrobat 7.0\Acrobat\AcroIEFavClient.dll/AcroIECaptureSelLinks.html

O8 - Extra context menu item: Ausgewählte Verknüpfungen in vorhandene PDF-Datei konvertieren - res://I:\Programme\Adobe\Acrobat 7.0\Acrobat\AcroIEFavClient.dll/AcroIEAppendSelLinks.html

O8 - Extra context menu item: Auswahl in Adobe PDF konvertieren - res://I:\Programme\Adobe\Acrobat 7.0\Acrobat\AcroIEFavClient.dll/AcroIECapture.html

O8 - Extra context menu item: Auswahl in vorhandene PDF-Datei konvertieren - res://I:\Programme\Adobe\Acrobat 7.0\Acrobat\AcroIEFavClient.dll/AcroIEAppend.html

 

Ende Teil I (Text ist zu lang!)

[piet1967 10]

O8 - Extra context menu item: In Adobe PDF konvertieren - res://I:\Programme\Adobe\Acrobat 7.0\Acrobat\AcroIEFavClient.dll/AcroIECapture.html

O8 - Extra context menu item: In vorhandene PDF-Datei konvertieren - res://I:\Programme\Adobe\Acrobat 7.0\Acrobat\AcroIEFavClient.dll/AcroIEAppend.html

O8 - Extra context menu item: Nach Microsoft &Excel exportieren - res://I:\PROGRA~1\MICROS~2\OFFICE11\EXCEL.EXE/3000

O8 - Extra context menu item: Verknüpfungsziel in Adobe PDF konvertieren - res://I:\Programme\Adobe\Acrobat 7.0\Acrobat\AcroIEFavClient.dll/AcroIECapture.html

O8 - Extra context menu item: Verknüpfungsziel in vorhandene PDF-Datei konvertieren - res://I:\Programme\Adobe\Acrobat 7.0\Acrobat\AcroIEFavClient.dll/AcroIEAppend.html

O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} -

 

I:\Programme\Java\jre1.5.0_04\bin\npjpi150_04.dll

O9 - Extra 'Tools' menuitem: Sun Java Konsole - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - I:\Programme\Java\jre1.5.0_04\bin\npjpi150_04.dll

O9 - Extra button: Spyware Doctor - {2D663D1A-8670-49D9-A1A5-4C56B4E14E84} - I:\PROGRA~1\SPYWAR~2\tools\iesdpb.dll

O9 - Extra button: Recherchieren - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - I:\PROGRA~1\MICROS~2\OFFICE11\REFIEBAR.DLL

O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} -

I:\Programme\Messenger\msmsgs.exe

O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - I:\Programme\Messenger\msmsgs.exe

O9 - Extra button: PICgrabber - {4964E240-D53C-11D5-BDA9-444553540000} - I:\Programme\PICgrabber\PICGRABBER.EXE (HKCU)

O9 - Extra 'Tools' menuitem: PICgrabber - Movie&Image Search/Download Software - {4964E240-D53C-11D5-BDA9-444553540000} - I:\Programme\PICgrabber\PICGRABBER.EXE (HKCU)

O9 - Extra button: NeoTrace It! - {9885224C-1217-4c5f-83C2-00002E6CEF2B} - I:\PROGRA~1\NEOTRA~1\NTXtoolbar.htm (file missing) (HKCU)

O15 - Trusted Zone: http://XXXXXXX(wurde von mir ersetzt!)

O16 - DPF: {2BC66F54-93A8-11D3-BEB6-00105AA9B6AE} (Symantec AntiVirus scanner) - http://security.symantec.com/sscv6/SharedContent/vc/bin/AvSniff.cab

O16 - DPF: {30528230-99f7-4bb4-88d8-fa1d4f56a2ab} - I:\Programme\Yahoo!\Common\yinsthelper.dll

O16 - DPF: {6414512B-B978-451D-A0D8-FCFDF33E833C} (WUWebControl Class) - http://update.microsoft.com/windowsupdate/v6/V5Controls/en/x86/client/wuweb_site.cab?1120217610296

O16 - DPF: {644E432F-49D3-41A1-8DD5-E099162EEEC5} (Symantec RuFSI Utility Class) - http://security.symantec.com/sscv6/SharedContent/common/bin/cabsa.cab

O16 - DPF: {80DD2229-B8E4-4C77-B72F-F22972D723EA} (AvxScanOnline Control) - http://www.bitdefender.de/scan/Msie/bitdefender.cab

O16 - DPF: {94EB57FE-2720-496C-B33F-D9353C6E23F7} (F-Secure Online Scanner 2.1) - http://support.f-secure.com/ols/fscax.cab

O16 - DPF: {9A9307A0-7DA4-4DAF-B042-5009F29E09E1} (ActiveScan Installer Class) - http://acs.pandasoftware.com/activescan/as5free/asinst.cab

O17 - HKLM\System\CCS\Services\Tcpip\..\{19FE5718-3DC0-4531-95B1-FE58A8DCB4E3}: NameServer = 192.168.1.1

O18 - Protocol: msnim - {828030A1-22C1-4009-854F-8E305202313F} - "I:\PROGRA~1\MSNMES~1\msgrapp.dll" (file missing)

O20 - Winlogon Notify: WRNotifier - I:\WINDOWS\SYSTEM32\WRLogonNTF.dll

O23 - Service: Adobe LM Service - Adobe Systems - I:\Programme\Gemeinsame Dateien\Adobe Systems Shared\Service\Adobelmsvc.exe

O23 - Service: AntiVir PersonalEdition Classic Planer (AntiVirScheduler) - Avira GmbH - I:\Programme\AntiVir PersonalEdition Classic\sched.exe

O23 - Service: AntiVir PersonalEdition Classic Guard (AntiVirService) - AVIRA GmbH - I:\Programme\AntiVir PersonalEdition Classic\avguard.exe

 

Es folgt noch Teil III!

[piet1967 10]

O23 - Service: Apache2 - Unknown owner - I:\Programme\xampp\apache\bin\apache.exe" -k runservice (file missing)

O23 - Service: Ati HotKey Poller - ATI Technologies Inc. - I:\WINDOWS\system32\Ati2evxx.exe

O23 - Service: ATI Smart - Unknown owner - I:\WINDOWS\system32\ati2sgag.exe

O23 - Service: InstallDriver Table Manager (IDriverT) - Macrovision Corporation -

 

I:\Programme\Gemeinsame Dateien\InstallShield\Driver\11\Intel 32\IDriverT.exe

O23 - Service: LckFldService - Unknown owner - I:\WINDOWS\system32\LckFldService.exe (file missing)

O23 - Service: Macromedia Licensing Service - Unknown owner - I:\Programme\Gemeinsame Dateien\Macromedia Shared\Service\Macromedia Licensing.exe

O23 - Service: mysql - Unknown owner - I:\Programme\xampp\mysql\bin\mysqld-nt.exe

O23 - Service: Steganos AntiTheft (SatSrv) - Unknown owner - I:\WINDOWS\system32\SatSrv.exe

O23 - Service: PC Tools Spyware Doctor (SDhelper) - PC Tools Research Pty Ltd - I:\Programme\Spyware Doctor\sdhelp.exe

O23 - Service: Webroot Spy Sweeper Engine (svcWRSSSDK) - Webroot Software, Inc. - I:\Programme\Webroot\Spy Sweeper\WRSSSDK.exe

O23 - Service: SymWMI Service (SymWSC) - Symantec Corporation - I:\Programme\Gemeinsame Dateien\Symantec Shared\Security Center\SymWSC.exe

O23 - Service: TuneUp WinStyler Theme Service (TUWinStylerThemeSvc) - TuneUp Software GmbH - I:\Programme\TuneUp Utilities 2006\WinStylerThemeSvc.exe