Hijacker gefunden!: perfectnav

#1 Hi Leute,

hab jetzt doch noch einen Hijacker gefunden!

Ich hab nochmal mit Pestpatrol gescannt und das Programm

hat einen hijacker gefunden:

hkey local machine/software/perfectnav!

mit pestpatrol kann ich die nicht löschen, weil es nur eine demo ist!

und adaware findet den hijacker nicht!

kann ich jetzt die datei einfach mit dem regeditor löschen?


danke für eure Bemühungen

#2 Poste mal ein Hijackthis Log, unten steht wies geht.
MFG
DAFRA

#3 Hier ist es:

Logfile of HijackThis v1.97.7
Scan saved at 21:56:44, on 27.05.2004
Platform: Windows XP (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 (6.00.2600.0000)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\System32\Ati2evxx.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\Programme\Sygate\SPF\smc.exe
C:\WINDOWS\system32\spoolsv.exe
C:\WINDOWS\system32\Ati2evxx.exe
C:\WINDOWS\Explorer.EXE
C:\Programme\ATI Technologies\ATI Control Panel\atiptaxx.exe
C:\Programme\Cherry\KeyMan\KeyMan.exe
C:\Programme\AVPersonal\AVGNT.EXE
C:\Programme\Telekom\Eumex 504PC SE\Capictrl.exe
C:\Programme\AVPersonal\AVGUARD.EXE
C:\Programme\AVPersonal\AVWUPSRV.EXE
C:\Programme\Gemeinsame Dateien\Microsoft Shared\VS7Debug\mdm.exe
C:\Programme\Winamp\winamp.exe
C:\Programme\Internet Explorer\IEXPLORE.EXE
C:\Programme\Internet Explorer\IEXPLORE.EXE
C:\Programme\Internet Explorer\IEXPLORE.EXE
E:\Eigene Software\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://de.yahoo.com/
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Local Page =
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Local Page =
R3 - Default URLSearchHook is missing
O2 - BHO: (no name) - {02478D38-C3F9-4efb-9B51-7695ECA05670} - C:\Programme\Yahoo!\Companion\Installs\cpn\ycomp5_3_18_0.dll
O2 - BHO: (no name) - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Programme\Adobe\Acrobat 6.0\Reader\ActiveX\AcroIEHelper.dll
O2 - BHO: (no name) - {53707962-6F74-2D53-2644-206D7942484F} - C:\PROGRA~1\SPYBOT~1\SDHelper.dll
O3 - Toolbar: Yahoo! Assistent - {EF99BD32-C1FB-11D2-892F-0090271D4F88} - C:\Programme\Yahoo!\Companion\Installs\cpn\ycomp5_3_18_0.dll
O4 - HKLM\..\Run: [ATIPTA] C:\Programme\ATI Technologies\ATI Control Panel\atiptaxx.exe
O4 - HKLM\..\Run: [CherryKeyMan] C:\Programme\Cherry\KeyMan\KeyMan.exe
O4 - HKLM\..\Run: [NeroFilterCheck] C:\WINDOWS\system32\NeroCheck.exe
O4 - HKLM\..\Run: [AVGCtrl] C:\Programme\AVPersonal\AVGNT.EXE /min
O4 - HKLM\..\Run: [SmcService] C:\PROGRA~1\Sygate\SPF\smc.exe -startgui
O4 - HKCU\..\RunOnce: [ICQ Lite] C:\Programme\ICQLite\ICQLite.exe -trayboot
O4 - Startup: CAPIControl.lnk = ?
O4 - Global Startup: Microsoft Office.lnk = C:\Programme\Microsoft Office\Office10\OSA.EXE
O8 - Extra context menu item: Nach Microsoft &Excel exportieren - res://C:\PROGRA~1\MICROS~2\Office10\EXCEL.EXE/3000
O9 - Extra button: ICQ Lite (HKLM)
O9 - Extra 'Tools' menuitem: ICQ Lite (HKLM)
O16 - DPF: ppctlcab - http://www.pestscan.com/scanner/ppctlcab.cab
O16 - DPF: {2FC9A21E-2069-4E47-8235-36318989DB13} (PPSDKActiveXScanner.MainScreen) - http://www.pestscan.com/scanner/axscanner.cab
O16 - DPF: {31B7EB4E-8B4B-11D1-A789-00A0CC6651A8} (Cult3D ActiveX Player) - http://www.cult3d.com/download/cult.cab
O16 - DPF: {8E0D4DE5-3180-4024-A327-4DFAD1796A8D} (MessengerStatsClient Class) - http://messenger.zone.msn.com/binary/MessengerStatsClient.cab27571.cab
O16 - DPF: {9F1C11AA-197B-4942-BA54-47A8489BB47F} (Update Class) - http://v4.windowsupdate.microsoft.com/CAB/x86/unicode/iuctl.CAB?38132.6316782407
O16 - DPF: {A8658086-E6AC-4957-BC8E-7D54A7E8A78E} (SassCln Object) - http://www.microsoft.com/security/controls/Sasser/20/SassCln.CAB
O16 - DPF: {D27CDB6E-AE6D-11CF-96B8-444553540000} (Shockwave Flash Object) - http://fpdownload.macromedia.com/pub/shockwave/cabs/flash/swflash.cab
O16 - DPF: {F6BF0D00-0B2A-4A75-BF7B-F385591623AF} (Solitaire Showdown Class) - http://messenger.zone.msn.com/binary/SolitaireShowdown.cab27571.cab

#4 Also im Log ist nix zusehen.
Ist wahrscheinlich ein Rest, da er nicht beim Windowsstart mit gestarte wird.

Lösche folgendes:
Delete 'HKEY_LOCAL_MACHINE\SOFTWARE \ Classes \ CLSID \ {A045DC85-FC44-45be-8A50-E4F9C62C9A84}', if it exists.
Delete 'HKEY_LOCAL_MACHINE\SOFTWARE \ Classes \ CLSID \ {0428FFC7-1931-45b7-95CB-3CBB919777E1}', if it exists.
Delete 'HKEY_LOCAL_MACHINE\SOFTWARE \ Classes \ CLSID \ {0428FF28-6329-4B65-7068-79722E636F6D}', if it exists.
Delete 'HKEY_LOCAL_MACHINE\SOFTWARE \ Classes \ CLSID \ {00D6A7E7-4A97-456f-848A-3B75BF7554D7}', if it exists.
Delete 'HKEY_LOCAL_MACHINE\SOFTWARE \ Microsoft \ Windows \ CurrentVersion \ Explorer\Browser Helper Objects \ {A045DC85-FC44-45be-8A50-E4F9C62C9A84}', if it exists.
Delete 'HKEY_LOCAL_MACHINE\SOFTWARE \ Microsoft \ Windows \ CurrentVersion \ Explorer\Browser Helper Objects \ {0428FFC7-1931-45b7-95CB-3CBB919777E1}', if it exists.
Delete 'HKEY_LOCAL_MACHINE\SOFTWARE \ Microsoft \ Windows \ CurrentVersion \ Explorer\Browser Helper Objects \ {0428FF28-6329-4B65-7068-79722E636F6D}', if it exists.
Delete 'HKEY_LOCAL_MACHINE\SOFTWARE \ Microsoft \ Windows \ CurrentVersion \ Explorer\Browser Helper Objects \ {00D6A7E7-4A97-456f-848A-3B75BF7554D7}', if it exists.


Lösche auch:
%ProgramsDir%\PerfectNav (also wenn du Windows auf c hast, c:\Programme)


Dann
Start Microsoft Internet Explorer.
In Internet Explorer, click Tools -> Internet Options.
Click the Programs tab -> Reset Web Settings.

MFG
DAFRA

#5 soll ich die einträge im regeditor löschen?

perfectnav ist sonst nirgendswo zu finden ausser in regeditor, ich hab unter allen 3 festplatten gesucht!

#6 ja, du startest den Regeditor und löschst die Einträge fals vorhanden.
MFG
DAFRA

#7 wegen perfectnav, das ist nirgendswo zu finden außer im regeditor

#8 Ja, schau an, ob diese Einträge da sind, und wenn ja, dann lösch sie.
Delete 'HKEY_LOCAL_MACHINE\SOFTWARE \ Classes \ CLSID \ {A045DC85-FC44-45be-8A50-E4F9C62C9A84}', if it exists.
Delete 'HKEY_LOCAL_MACHINE\SOFTWARE \ Classes \ CLSID \ {0428FFC7-1931-45b7-95CB-3CBB919777E1}', if it exists.
Delete 'HKEY_LOCAL_MACHINE\SOFTWARE \ Classes \ CLSID \ {0428FF28-6329-4B65-7068-79722E636F6D}', if it exists.
Delete 'HKEY_LOCAL_MACHINE\SOFTWARE \ Classes \ CLSID \ {00D6A7E7-4A97-456f-848A-3B75BF7554D7}', if it exists.
Delete 'HKEY_LOCAL_MACHINE\SOFTWARE \ Microsoft \ Windows \ CurrentVersion \ Explorer\Browser Helper Objects \ {A045DC85-FC44-45be-8A50-E4F9C62C9A84}', if it exists.
Delete 'HKEY_LOCAL_MACHINE\SOFTWARE \ Microsoft \ Windows \ CurrentVersion \ Explorer\Browser Helper Objects \ {0428FFC7-1931-45b7-95CB-3CBB919777E1}', if it exists.
Delete 'HKEY_LOCAL_MACHINE\SOFTWARE \ Microsoft \ Windows \ CurrentVersion \ Explorer\Browser Helper Objects \ {0428FF28-6329-4B65-7068-79722E636F6D}', if it exists.
Delete 'HKEY_LOCAL_MACHINE\SOFTWARE \ Microsoft \ Windows \ CurrentVersion \ Explorer\Browser Helper Objects \ {00D6A7E7-4A97-456f-848A-3B75BF7554D7}', if it exists.
MFG
DAFRA

#9 bin grad durchgegangen, es war nichts zu finden, kein einziger eintrag, was soll ich jetzt machen?

#10 Probier mal das Prog aus:
http://www.incredifind.com/downloads/incredifinduninstall.exe

Sonst erkundige ich mich mal.
MFG
DAFRA

#11 @dafra, danke

konnte das problem mit spysweeper lösen

mfg