IE / Searchmeup.com / runwin32.exe / wininit32.exe

#1 Hallo...

Ich habe ein IE- / Internet-Problem...

Mein System: Windows XP Prof. und der IE 6
Das "Sasser-Update" von MS ist eigentlich drauf.

Folgender Sachverhalt

Zum Einen habe ich Probleme mit searchmeup.com (http://www.searchmeup.com/search.php?aid=1057) als Startseite... sogar auch wenn die Startseite von Spybot S&D GEBLOCKT war, hats das geändert... aber das tritt nur bei jedem Windows-Start bzw. runwin32 und wininit32-Start auf. Dann kann mans löschen und es kommt erst wieder, wenn o.g. Dateien auch erneut gestartet werden... bzw. es scheint alle paar Min wieder zu kommen...

Auch meine Hosts war verändert, auch das scheint nun wohl behoben zu sein... die war/ist aber schreibgeschützt gewesen.

Ein Problem sind aber weiterhin die Dateien "runwin32.exe" und "wininit32.exe".
Ich kann diese zwar problemlos mit HiJackThis löschen, dann neustarten und gut ist, aber: DENKSTE!!! Dann verbinde ich das Internet, öffne den IE und es zeigt mir bei jeder Adresse ne Fehlerseite an - so als wäre ich offline. Outlook oder ICQ gehen aber, ich bin also definitiv on... von daher starte ich die beiden Dateien derzeit immer manuell mit, sodass der IE läuft. Bzw. es müsste glaub auch die wininit32 ausreichen, ohne die runwin32 scheint es auch zu gehen...


Spybot - S&D habe ich schon mehrfach ausgeführt
FreeAV habe ich schon mehrfach...
Lava Ad-Adaware habe ich schon mehrfach...
CWShredder habe ich schon mehrfach
MWAV habe ich schon mehrfach...

Hier noch die HiJack-Log:

Logfile of HijackThis v1.97.2
Scan saved at 18:21:17, on 14.05.2004
Platform: Windows XP (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 (6.00.2600.0000)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\spoolsv.exe
C:\WINDOWS\Explorer.EXE
C:\Programme\FRITZ!DSL\Awatch.exe
C:\Programme\Gemeinsame Dateien\Real\Update_OB\realsched.exe
C:\PROGRA~1\T-DSLS~1\SpeedMgr.exe
C:\Programme\Java\j2re1.4.2_04\bin\jusched.exe
C:\Programme\QuickTime\qttask.exe
C:\Programme\AVPersonal\AVGNT.EXE
C:\WINDOWS\System32\ctfmon.exe
C:\WINDOWS\runwin32.exe
C:\Programme\GetRight\getright.exe
C:\Programme\GetRight\getright.exe
C:\WINDOWS\wininet32.exe
C:\PROGRA~1\ICQ\ICQ.exe
C:\Programme\AVPersonal\AVGUARD.EXE
C:\Programme\AVPersonal\AVWUPSRV.EXE
C:\WINDOWS\System32\nvsvc32.exe
C:\Programme\Outlook Express\msimn.exe
C:\Programme\T-DSL SpeedManager\tsmsvc.exe
C:\Programme\Internet Explorer\IEXPLORE.EXE
C:\Programme\Internet Explorer\IEXPLORE.EXE
C:\Dokumente und Einstellungen\main\Lokale Einstellungen\Temp\HijackThis.exe

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Bar = http://www.searchmeup.com/search.php?aid=1057
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = http://www.searchmeup.com/search.php?aid=1057
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.searchmeup.com/search.php?aid=1057
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.searchmeup.com/search.php?aid=1057
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Bar = http://www.searchmeup.com/search.php?aid=1057
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = http://www.searchmeup.com/search.php?aid=1057
R0 - HKLM\Software\Microsoft\Internet Explorer\Search,CustomizeSearch = http://www.searchmeup.com/search.php?aid=1057
R0 - HKLM\Software\Microsoft\Internet Explorer\Search,SearchAssistant = http://www.searchmeup.com/search.php?aid=1057
R1 - HKCU\Software\Microsoft\Internet Explorer\SearchURL,(Default) = http://www.searchmeup.com/search.php?aid=1057
R1 - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings,ProxyServer = 127.0.0.1:8080
R1 - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings,ProxyOverride = local
O2 - BHO: (no name) - {53707962-6F74-2D53-2644-206D7942484F} - C:\PROGRA~1\SPYBOT~1\SDHelper.dll
O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINDOWS\System32\msdxm.ocx
O4 - HKLM\..\Run: [nwiz] nwiz.exe /install
O4 - HKLM\..\Run: [AWatch] C:\Programme\FRITZ!DSL\Awatch.exe
O4 - HKLM\..\Run: [Mirabilis ICQ] C:\PROGRA~1\ICQ\ICQNet.exe
O4 - HKLM\..\Run: [TkBellExe] "C:\Programme\Gemeinsame Dateien\Real\Update_OB\realsched.exe" -osboot
O4 - HKLM\..\Run: [NeroCheck] C:\WINDOWS\System32\\NeroCheck.exe
O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\System32\NvCpl.dll,NvStartup
O4 - HKLM\..\Run: [T-DSL SpeedMgr] "C:\PROGRA~1\T-DSLS~1\SpeedMgr.exe"
O4 - HKLM\..\Run: [SunJavaUpdateSched] C:\Programme\Java\j2re1.4.2_04\bin\jusched.exe
O4 - HKLM\..\Run: [QuickTime Task] "C:\Programme\QuickTime\qttask.exe" -atboottime
O4 - HKLM\..\Run: [AVGCtrl] C:\Programme\AVPersonal\AVGNT.EXE /min
O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\ctfmon.exe
O4 - HKCU\..\Run: [wininet32] C:\WINDOWS\wininet32.exe
O4 - HKCU\..\Run: [runwin32] C:\WINDOWS\runwin32.exe
O4 - Startup: 1und1.lnk = ?
O4 - Startup: E-Mail.lnk = ?
O4 - Global Startup: GetRight - Tray Icon.lnk = C:\Programme\GetRight\getright.exe
O4 - Global Startup: Microsoft Office.lnk = C:\Programme\Microsoft Office\Office10\OSA.EXE
O6 - HKCU\Software\Policies\Microsoft\Internet Explorer\Restrictions present
O6 - HKCU\Software\Policies\Microsoft\Internet Explorer\Control Panel present
O8 - Extra context menu item: Download with GetRight - C:\Programme\GetRight\GRdownload.htm
O8 - Extra context menu item: Nach Microsoft &Excel exportieren - res://C:\PROGRA~1\MICROS~2\Office10\EXCEL.EXE/3000
O8 - Extra context menu item: Open with GetRight Browser - C:\Programme\GetRight\GRbrowse.htm
O9 - Extra 'Tools' menuitem: Sun Java Konsole (HKLM)
O9 - Extra button: ICQ Pro (HKLM)
O9 - Extra 'Tools' menuitem: ICQ (HKLM)
O16 - DPF: {093F9CF8-0DE1-491C-95D5-5EC257BD4CA3} - http://akamai.downloadv3.com/binaries/IA/dtc32_EN_XP.cab
O16 - DPF: {33564D57-0000-0010-8000-00AA00389B71} - http://download.microsoft.com/download/F/6/E/F6E491A6-77E1-4E20-9F5F-94901338C922/wmv9VCM.CAB
O16 - DPF: {9F1C11AA-197B-4942-BA54-47A8489BB47F} (Update Class) - http://v4.windowsupdate.microsoft.com/CAB/x86/unicode/iuctl.CAB?38068.4459722222
O16 - DPF: {AD7FAFB0-16D6-40C3-AF27-585D6E6453FD} -
O16 - DPF: {D27CDB6E-AE6D-11CF-96B8-444553540000} (Shockwave Flash Object) - http://download.macromedia.com/pub/shockwave/cabs/flash/swflash.cab
O16 - DPF: {E855A2D4-987E-4F3B-A51C-64D10A7E2479} (EPSImageControl Class) - http://tools.ebayimg.com/eps/activex/EPSControl_v1-0-3-0.cab
O17 - HKLM\System\CCS\Services\Tcpip\Parameters: Domain = kundenserver.de
O17 - HKLM\Software\..\Telephony: DomainName = kundenserver.de
O17 - HKLM\System\CCS\Services\Tcpip\..\{ED25A1AB-85F7-4490-AAF6-1C3D9229FD95}: NameServer = 192.168.122.252,192.168.122.253
O17 - HKLM\System\CCS\Services\Tcpip\..\{F5B628FF-268C-4C6E-92C9-0DC0D17F3834}: NameServer = 217.237.150.141 194.25.2.129
O17 - HKLM\System\CS1\Services\Tcpip\Parameters: Domain = kundenserver.de
O17 - HKLM\System\CS2\Services\Tcpip\Parameters: Domain = kundenserver.de

Wenn ich die R0 und R1-Einträge fixe, dann ist das alles prima... aber ein paar Min später steht das eben alles wieder gleich da :-(

#2 Fix mal:
O4 - HKCU\..\Run: [wininet32] C:\WINDOWS\wininet32.exe
O4 - HKCU\..\Run: [runwin32] C:\WINDOWS\runwin32.exe



Und die R0 und R1 Einträge.
MFG
DAFRA

#3 @Dafra

Hmmmm s.o.

Wenn ich die R0 und R1 Einträge fixe, dann ist das alles prima... aber ein paar Min später steht das eben alles wieder gleich da :-(

Wenn ich wininet32 und runwin32 fixe, dann geht der IE gar nicht mehr... bzw. gehen schon, aber er zeigt mir keine Seiten mehr an, sondern will mir vorgaukeln, ich wäre offline... ICQ etc. geht aber gleichzeitig, ich bin also definitiv on.



EDIT
Merkwürdig, jetzt scheint es evtl. zu klappen. Habe es nochmal alles entfernt und die beiden .exe-Dateien umbenannt, dann Neustart gemacht und jetzt scheint der Spuk vorbei zu sein...
Bin noch skeptisch, da ich in den letzten 2 Tagen schon öfters soweit war und 5min später wieder alles beim A... war ;-)

Aber vorerst mal Danke! Ansonsten melde ich mich wieder!

#4 Das solltest du auch fixen und dann neu einstellen:

R1 - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings,ProxyServer = 127.0.0.1:8080
R1 - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings,ProxyOverride = local

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Bar = http://www.searchmeup.com/search.php?aid=1057
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = http://www.searchmeup.com/search.php?aid=1057
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.searchmeup.com/search.php?aid=1057
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.searchmeup.com/search.php?aid=1057
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Bar = http://www.searchmeup.com/search.php?aid=1057
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = http://www.searchmeup.com/search.php?aid=1057
R0 - HKLM\Software\Microsoft\Internet Explorer\Search,CustomizeSearch = http://www.searchmeup.com/search.php?aid=1057
R0 - HKLM\Software\Microsoft\Internet Explorer\Search,SearchAssistant = http://www.searchmeup.com/search.php?aid=1057
R1 - HKCU\Software\Microsoft\Internet Explorer\SearchURL,(Default) = http://www.searchmeup.com/search.php?aid=1057
R1 - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings,ProxyServer = 127.0.0.1:8080
R1 - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings,ProxyOverride = local
O4 - HKCU\..\Run: [wininet32] C:\WINDOWS\wininet32.exe
O4 - HKCU\..\Run: [runwin32] C:\WINDOWS\runwin32.exe
O16 - DPF: {AD7FAFB0-16D6-40C3-AF27-585D6E6453FD} -
O16 - DPF: {093F9CF8-0DE1-491C-95D5-5EC257BD4CA3} - http://akamai.downloadv3.com/binaries/IA/dtc32_EN_XP.cab
O17 - HKLM\System\CCS\Services\Tcpip\Parameters: Domain = kundenserver.de
O17 - HKLM\Software\..\Telephony: DomainName = kundenserver.de
O17 - HKLM\System\CCS\Services\Tcpip\..\{ED25A1AB-85F7-4490-AAF6-1C3D9229FD95}: NameServer = 192.168.122.252,192.168.122.253
O17 - HKLM\System\CCS\Services\Tcpip\..\{F5B628FF-268C-4C6E-92C9-0DC0D17F3834}: NameServer = 217.237.150.141 194.25.2.129
O17 - HKLM\System\CS1\Services\Tcpip\Parameters: Domain = kundenserver.de
O17 - HKLM\System\CS2\Services\Tcpip\Parameters: Domain = kundenserver.de


neustarten
---------------------------------------------------------------------------------------------------
Dann noch mal mit AdAware scannen
http://www.lavasoft.de/support/download/

Lade die mwav.exe , scanne alle Dateien und loesche manuell, was er anzeigt.(AUCH in der Registry)
http://board.protecus.de/t10047.htm

lLade den CWShredder von dieser Site
http://www.spywareinfo.com/~merijn/downloads.html

Lade den WebWasher und saeubere den IE , stelle dann die Startseite unter InternetOptionen neu eun.
Ebenfalls den Server.
http://www.zdnet.de/downloads/programs/a/f/de000PAF_is-wc.html

Update den IE 6 auf IE 6 SP1
http://www.microsoft.com/windows/ie_intl/de/ie6sp1.asp
Mache einen Scann mit PestPatrol
http://www.pestscan.com/Scan.asp

mFg
Sabina
__________
MfG Sabina

rund um die PC-Sicherheit

#5 @Sabina

Danke. Hab das mal noch gemacht... es läuft nun wieder alles einwandfrei.

#6 Hallo,

ich habe ein ähnliches Problem mit diesem Searchmeup-Zeug...leider bin ich ein absoluter Anfänger auf diesem Gebiet und verstehe eure Postings nicht so ganz, muss ich gestehen...da bei mir angezeigt wird, dass sich Spyware in meiner Windows-Registry befindet und diese sich als einzige auch nicht entfernen lässt, habe ich schon darüber nachgedacht die Festplatte zu formatieren.

Gestern Abend hatte ich bereits alle auffälligen Dinge bis auf diese WinReg-Sache entfernen können...heute hatte ich jedoch schon wieder 16 andere Spyware-Programme auf meiner Festplatte...hab irgendwie das Gefühl, dass das mit dieser Searchmeup-Sache zusammen hängt...

Des weiteren habe ich in diesem Zusammenhang noch ein weiteres Problem, dass leider nicht ganz zu diesem Thread passt...falls es zum Formatieren kommt, weiß ich nicht, wie sich das auf meinen W-Lan-Router auswirkt, weil ich diesen nicht mit Treibern installieren musste. Das Teil wird irgendwie online konfiguriert, und ich habe keine Ahnung, wie sich eine Formatierung darauf auswirken kann, weil ich ja kein T-Online mehr brauche...

Bin ziemlich hilflos im Moment und irgendwie auch auf das Internet ziemlich angewiesen...wäre echt Klasse, wenn mir jemand helfen kann...schonmal danke im Voraus

#7 Hallo@Arandur

HijackThis
http://www.downloads.subratam.org/hijackthis.zip
http://www.spywareinfo.com/~merijn/files/hijackthis.zip
Lade/entpacke HijackThis in einem Ordner -->None of the above,
just start the program --> Save--> Savelog -->es öffnet sich der
Editor -->

Do a system scan and save a logfile --> Save--> Savelog -->es öffnet sich der
Editor -->

nun das KOMPLETTE Log mit rechtem Mausklick abkopieren und ins
Forum mit rechtem Mausklick "einfügen"
__________
MfG Sabina

rund um die PC-Sicherheit