www.lookfor.cc, nix hilft!

#1 Startseite im IE wird ständig mit res://foaxh.dll/index.html#96676 überschrieben!

Und es öffnen sich weitere Browserfenster mit der URL http://www.lookfor.cc/index.php?pin= oder http://search-to-find.com/

Hab Spybot, ad-aware, CWShredder, eScan, BitDefender bereits mehrmal laufen lassen (abgesicherter Modus) die teilweise schon mehrmals infizierte Dateien + Einträge gelöscht haben.

Bitdefender meldet mir ständig, daß die Datei netxp.exe einen Registry Eintrag ändern will.


Logfile of HijackThis v1.97.7
Scan saved at 22:14:36, on 14.06.2004
Platform: Windows XP SP1 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP1 (6.00.2800.1106)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\Explorer.EXE
C:\WINDOWS\system32\spoolsv.exe
C:\WINDOWS\System32\nvsvc32.exe
C:\WINDOWS\nettl32.exe
C:\PROGRA~1\Logitech\MOUSEW~1\SYSTEM\EM_EXEC.EXE
C:\Programme\Softwin\BitDefender Standard Edition\bdswitch.exe
C:\WINDOWS\system32\netxp32.exe
C:\Programme\Internet Explorer\IEXPLORE.EXE
C:\Programme\Gemeinsame Dateien\Softwin\BitDefender Communicator\xcommsvr.exe
C:\Programme\Gemeinsame Dateien\Softwin\BitDefender Scan Server\bdss.exe
C:\Programme\Softwin\BitDefender Standard Edition\vsserv.exe
C:\Programme\Messenger\msmsgs.exe
C:\Dokumente und Einstellungen\Frank\Eigene Dateien\Hijack This\HijackThis.exe

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = res://C:\WINDOWS\system32\foaxh.dll/sp.html#96676
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = res://foaxh.dll/index.html#96676
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = res://foaxh.dll/index.html#96676
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = res://C:\WINDOWS\system32\foaxh.dll/sp.html#96676
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = res://foaxh.dll/index.html#96676
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = res://C:\WINDOWS\system32\foaxh.dll/sp.html#96676
O2 - BHO: (no name) - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Programme\Adobe\Acrobat 5.0\Reader\ActiveX\AcroIEHelper.ocx
O2 - BHO: (no name) - {CBCD4D3F-1DC5-8E9F-BD4F-58E145A3C11A} - C:\WINDOWS\system32\ipdv32.dll
O4 - HKLM\..\Run: [nwiz] nwiz.exe /install
O4 - HKLM\..\Run: [EM_EXEC] C:\PROGRA~1\Logitech\MOUSEW~1\SYSTEM\EM_EXEC.EXE
O4 - HKLM\..\Run: [NeroCheck] C:\WINDOWS\system32\NeroCheck.exe
O4 - HKLM\..\Run: [BDMCon] C:\PROGRA~1\Softwin\BITDEF~1\bdmcon.exe
O4 - HKLM\..\Run: [BDNewsAgent] C:\Programme\Softwin\BitDefender Standard Edition\bdnagent.exe
O4 - HKLM\..\Run: [BDSwitchAgent] C:\Programme\Softwin\BitDefender Standard Edition\bdswitch.exe
O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\System32\NvCpl.dll,NvStartup
O4 - HKLM\..\Run: [netxp32.exe] C:\WINDOWS\system32\netxp32.exe
O4 - HKCU\..\Run: [MSMSGS] "C:\Programme\Messenger\msmsgs.exe" /background
O4 - Global Startup: Adobe Gamma Loader.lnk = C:\Programme\Gemeinsame Dateien\Adobe\Calibration\Adobe Gamma Loader.exe
O16 - DPF: {9A9307A0-7DA4-4DAF-B042-5009F29E09E1} (ActiveScan Installer Class) - http://www.pandasoftware.com/activescan/as5/asinst.cab
O16 - DPF: {D27CDB6E-AE6D-11CF-96B8-444553540000} (Shockwave Flash Object) - http://download.macromedia.com/pub/shockwave/cabs/flash/swflash.cab
O17 - HKLM\System\CCS\Services\Tcpip\..\{6ECF37EA-E1E0-4C67-B5A8-3E5B831B32FA}: NameServer = 155.555.........
O17 - HKLM\System\CS1\Services\Tcpip\..\{6ECF37EA-E1E0-4C67-B5A8-3E5B831B32FA}: NameServer = 155.555.........


Die R0, R1 Einträge hab ich auch schon mehrmals entfernt, kommen aber immer wieder.

Hilfe!

#2 @silent_k

Fixe bitte diese EInträge im abgesicherten Modus von XP
http://www.bsi.de/av/texte/winsave.htm

Alles mit R0 & R1
O2 - BHO: (no name) - {CBCD4D3F-1DC5-8E9F-BD4F-58E145A3C11A} - C:\WINDOWS\system32\ipdv32.dll
O4 - HKLM\..\Run: [netxp32.exe] C:\WINDOWS\system32\netxp32.exe

Wenn das nicht hilft, probiere das hier
http://www.spywareinfo.com/~merijn/files/kill2me.zip

Dann wieder neustarten und logfile posten

Gruß paff
__________
http://www.downclockers.com/ourforum/index.php?board=71.0 Reverse Engineering Malware

#3 danke für die Hilfe!

...hab meine Partition c:\ aber bereits neu formatiert, da dies schneller ging

Die neuen HiJacker sind echt zum kotzen! Hab jetzt alle Sicherheitseinstellungen im IE 6.0 angepasst und verschärft!

http://www.heise.de/security/dienste/browsercheck/anpassen/ie60/

#4

Zitat

Silent_K postete
Die neuen HiJacker sind echt zum kotzen! Hab jetzt alle Sicherheitseinstellungen im IE 6.0 angepasst und verschärft!

Besser wärs den IE nicht zu benutzen.
Nimm opera oder Firefox

Gruß paff
__________
http://www.downclockers.com/ourforum/index.php?board=71.0 Reverse Engineering Malware