Trojaner gehabt - nun kann Lycos keine Verbindung mehr aufbauen

#1 Hallo erstmal :-) bin neu hier
Also, ich bin seit vorgestern bei Lycos, da hatte alles noch funktioniert. Nun hab ich gestern mal wieder nen Virencheck gemacht, aahtte diverse lustige Trojaner etc (Krepper.c etc) die ich scheinbar wieder los bin.
Nun das eigenartige:
Seit gestern komme ich mit Lycos nichtmehr ins Netz. Sobald ich Lycos starte und auf verbinden klicke, steht die Fehlermeldung ich solle meine Benutzerdaten überprüfen, diese sind jedoch richtig.
Und was mich wirklich verwirrt:
Soald ich mit aol (hab ich noch bis ende des monats auf dem rechner weil der vertrag noch läuft) online gehe, ist lycos plötzlich auch verbunden. Aolsoftware löschen hat auch nix genutzt, wie gesagt, vorgestern lief ja alles noch einwandfrei.
Vielleicht weiß jemand warum ich keine Verbindung zustande bekomme, k.a. ob dad evtl mit den Viren zusammenhängt....

Edit:
Vielleicht kann jemand was mit diesem hijackthisfile anfangen, ich nämlich nich ;-)

Logfile of HijackThis v1.97.7
Scan saved at 13:20:38, on 25.06.2004
Platform: Windows XP SP1 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP1 (6.00.2800.1106)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\Explorer.EXE
C:\WINDOWS\system32\LEXBCES.EXE
C:\WINDOWS\system32\spoolsv.exe
C:\WINDOWS\system32\LEXPPS.EXE
C:\Programme\AVPersonal\AVWUPSRV.EXE
C:\WINDOWS\System32\DRIVERS\CDANTSRV.EXE
C:\Norman\NVC\BIN\Zanda.exe
C:\WINDOWS\system32\slserv.exe
C:\WINDOWS\System32\svchost.exe
C:\Programme\Gemeinsame Dateien\Softwin\BitDefender Communicator\xcommsvr.exe
C:\Programme\Gemeinsame Dateien\Softwin\BitDefender Scan Server\bdss.exe
C:\WINDOWS\System32\LXSUPMON.EXE
C:\Programme\NetPumper\NetPumperIEProxy.exe
C:\WINDOWS\System32\ejbgei.exe
C:\WINDOWS\System32\ctfmon.exe
C:\NORMAN\nvc\BIN\NVCSCHED.EXE
C:\NORMAN\nvc\BIN\nvcoas.exe
C:\NORMAN\nvc\BIN\NJEEVES.EXE
C:\WINDOWS\system32\ntvdm.exe
C:\WINDOWS\wanmpsvc.exe
C:\Programme\Internet Explorer\iexplore.exe
C:\Dokumente und Einstellungen\Fransl\Desktop\gegenviren\hijackthis1977\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.lycos.de
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://www.lycos.de
R0 - HKLM\Software\Microsoft\Internet Explorer\Search,SearchAssistant = http://www.startsmart.tv/search
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Window Title = Microsoft Internet Explorer von Lycos DS:L
O2 - BHO: (no name) - {02478D38-C3F9-4efb-9B51-7695ECA05670} - C:\Programme\Yahoo!\Common\ycomp5_1_5_0.dll
O2 - BHO: (no name) - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Programme\Adobe\Acrobat 5.0\Reader\ActiveX\AcroIEHelper.ocx
O2 - BHO: (no name) - {53707962-6F74-2D53-2644-206D7942484F} - C:\PROGRA~1\SPYBOT~1\SDHelper.dll
O2 - BHO: (no name) - {62160EEF-9D84-4C19-B7B8-6AC2526CD726} - C:\WINDOWS\System32\ipirefu.dll
O2 - BHO: (no name) - {6754A456-BAD9-11D4-93D3-00B0D03A2F91} - C:\PROGRA~1\Odigo\Bin\OdigoBHO.dll (file missing)
O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINDOWS\System32\msdxm.ocx
O3 - Toolbar: &Yahoo! Companion - {EF99BD32-C1FB-11D2-892F-0090271D4F88} - C:\Programme\Yahoo!\Common\ycomp5_1_5_0.dll
O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\System32\NvCpl.dll,NvStartup
O4 - HKLM\..\Run: [LXSUPMON] C:\WINDOWS\System32\LXSUPMON.EXE RUN
O4 - HKLM\..\Run: [QuickTime Task] "C:\Programme\QuickTime\qttask.exe" -atboottime
O4 - HKLM\..\Run: [RealTray] C:\Programme\Real\RealPlayer\RealPlay.exe SYSTEMBOOTHIDEPLAYER
O4 - HKLM\..\Run: [NetPumper] "C:\Programme\NetPumper\NetPumperIEProxy.exe"
O4 - HKLM\..\Run: [xbdejtckxyl] C:\WINDOWS\System32\ejbgei.exe
O4 - HKLM\..\Run: [Windows SA] C:\Program Files\WindowsSA\omniscient.exe
O4 - HKLM\..\Run: [VolumeCounter] "C:\Programme\Volumenzaehler\BoVolume.exe"
O4 - HKLM\..\Run: [tcactive] C:\Programme\The Cleaner\tca.exe
O4 - HKLM\..\Run: [tcmonitor] C:\Programme\The Cleaner\tcm.exe
O4 - HKLM\..\Run: [Dialer Control] C:\Programme\Coolspot\Dialer Control\dc.exe
O4 - HKLM\..\Run: [Zone Labs Client] "C:\Programme\Zone Labs\ZoneAlarm\zlclient.exe"
O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\ctfmon.exe
O4 - HKCU\..\Run: [YAW Autostart] "C:\Programme\YAW\yaw.exe"
O4 - HKLM\..\RunOnce: [1] C:\WINDOWS\system32\cmd.exe /c erase "C:\DOKUME~1\Fransl\LOKALE~1\Temp\acsuninstall.exe"
O4 - HKLM\..\RunOnce: [2] C:\WINDOWS\system32\cmd.exe /c erase "C:\DOKUME~1\Fransl\LOKALE~1\Temp\AcsUninstallRes.dll"
O4 - HKLM\..\RunOnce: [3] C:\WINDOWS\system32\cmd.exe /c erase "C:\DOKUME~1\Fransl\LOKALE~1\Temp\shfolder.dll"
O8 - Extra context menu item: + Offline &Explorer: Download the link - file://C:\Programme\Offline Explorer Pro\Add_UrlO.htm
O8 - Extra context menu item: + Offline E&xplorer: Download the current page - file://C:\Programme\Offline Explorer Pro\Add_AllO.htm
O8 - Extra context menu item: Download with NetPumper - C:\Programme\NetPumper\AddUrl.htm
O9 - Extra button: Messenger (HKLM)
O9 - Extra 'Tools' menuitem: Yahoo! Messenger (HKLM)
O9 - Extra button: ICQ Pro (HKLM)
O9 - Extra 'Tools' menuitem: ICQ (HKLM)
O9 - Extra button: AIM (HKLM)
O9 - Extra button: ICQ 4.0 (HKLM)
O9 - Extra 'Tools' menuitem: ICQ Lite (HKLM)
O9 - Extra button: Real.com (HKLM)
O10 - Broken Internet access because of LSP provider 'imslsp.dll' missing
O14 - IERESET.INF: START_PAGE_URL=http://www.lycos.de
O16 - DPF: Fortune Bingo by pogo - http://game.pogo.com/applet-5.8.4.24/superbingo/superbingo-ob-assets.cab
O16 - DPF: {166B1BCA-3F9C-11CF-8075-444553540000} (Shockwave ActiveX Control) - http://fpdownload.macromedia.com/pub/shockwave/cabs/director/swdir.cab
O16 - DPF: {33564D57-0000-0010-8000-00AA00389B71} - http://download.microsoft.com/download/F/6/E/F6E491A6-77E1-4E20-9F5F-94901338C922/wmv9VCM.CAB
O16 - DPF: {39B0684F-D7BF-4743-B050-FDC3F48F7E3B} (FilePlanet Download Control Class) - http://dev-www.fileplanet.com/fpdlmgr/cabs/FPDC_1_0_0_41.cab
O16 - DPF: {4A3CF76B-EC7A-405D-A67D-8DC6B52AB35B} (QDiagAOLCCUpdateObj Class) - http://aolcc.aol.de/computercheckup/qdiagcc.cab
O16 - DPF: {80DD2229-B8E4-4C77-B72F-F22972D723EA} (AvxScanOnline Control) - http://www.bitdefender.com/scan/Msie/bitdefender.cab
O16 - DPF: {8FA9D107-547B-4DBC-9D88-FABD891EDB0A} (shizmoo Class) - http://arcade.icq.com/multiplayer/odyssey_web8.cab
O16 - DPF: {D1E7CBDA-E60E-4970-A01C-37301EF7BF98} (Measurement Service Client v.3.4) - http://ccon.futuremark.com/global/msc34.cab
O16 - DPF: {D27CDB6E-AE6D-11CF-96B8-444553540000} (Shockwave Flash Object) - http://download.macromedia.com/pub/shockwave/cabs/flash/swflash.cab
O16 - DPF: {E855A2D4-987E-4F3B-A51C-64D10A7E2479} (EPSImageControl Class) - http://tools.ebayimg.com/eps/activex/EPSControl_v1-0-3-0.cab

#2 scanne mit dem HijackThis, dann hake an, was ich poste und fix

R0 - HKLM\Software\Microsoft\Internet Explorer\Search,SearchAssistant = http://www.startsmart.tv/search
O2 - BHO: (no name) - {62160EEF-9D84-4C19-B7B8-6AC2526CD726} - C:\WINDOWS\System32\ipirefu.dll
O2 - BHO: (no name) - {6754A456-BAD9-11D4-93D3-00B0D03A2F91} - C:\PROGRA~1\Odigo\Bin\OdigoBHO.dll (file missing)

O4 - HKLM\..\Run: [xbdejtckxyl] C:\WINDOWS\System32\ejbgei.exe
O4 - HKLM\..\Run: [Windows SA] C:\Program Files\WindowsSA\omniscient.exe
O4 - HKLM\..\RunOnce: [1] C:\WINDOWS\system32\cmd.exe /c erase "C:\DOKUME~1\Fransl\LOKALE~1\Temp\acsuninstall.exe"
O4 - HKLM\..\RunOnce: [2] C:\WINDOWS\system32\cmd.exe /c erase "C:\DOKUME~1\Fransl\LOKALE~1\Temp\AcsUninstallRes.dll"
O4 - HKLM\..\RunOnce: [3] C:\WINDOWS\system32\cmd.exe /c erase "C:\DOKUME~1\Fransl\LOKALE~1\Temp\shfolder.dll"

O16 - DPF: Fortune Bingo by pogo -
http://game.pogo.com/applet-5.8.4.24/superbingo/superbingo-ob-assets.cab
O16 - DPF: {39B0684F-D7BF-4743-B050-FDC3F48F7E3B} (FilePlanet Download Control Class) - http://dev-www.fileplanet.com/fpdlmgr/cabs/FPDC_1_0_0_41.cab

neustarten

#Lade mwav.exe...30 Tage free und scanne.
Poste dann, was das Tool gefunden hat.
http://www.mwti.net/antivirus/free_utilities.asp

#deinstalliere den Antivirus, lade neu und lasse den Vorscann durchlaufen, so dass er bei Beenden im Autostart, also unter dem Eintrag 04 erscheint.
Stelle ein <alle Dateien scannen<
http://www.free-av.de/

#Lade alle Tools von dieser Site und scanne
http://www.rokop-security.de/main/article.php?sid=703

#Lade Sphjfix.exe
http://www.rokop-security.de/main/article.php?sid=746


#Lade die Demoversion von PestPatrol und poste, was das Tool noch gefunden hat.
http://www.blitzbox.de/pd498178523.htm?categoryId=5

........................................................................................................
#Gehe in den abgesicherten Modus...F8 beim Hochfahren druecken

1. mache dort noch einmal einen Vollscann mit dem Antivirus
2. loesche C:\WINDOWS\System32\ipirefu.dll

3. Gehe in die Registry
Start<Ausfuehren<regedit

HKLM\Software\Microsoft\Internet Explorer\Search,SearchAssistant = http://www.startsmart.tv/search

loesche das auf der rechten Seite

neustarten

#Loesche unter InternetOptionen die TemporaryInternetFiles.

Dann poste das Log noch einmal.
mfG
Sabina

Falls du etwas nicht schaffst...frage .
MfG
Sabina
__________
MfG Sabina

rund um die PC-Sicherheit

#3 Hui, danke :-) gleich ma ausprobieren, ma schaun obs klappt, kenn mich mit sowas echt garnich aus.
Hmmm wad für ein problem hat mein Pc denn?
Ich werd aus diesem Hijackfile nich schlau ;-)

#4 Da ist einmal ein Hijacker im InternetExplorer und einige Viren und Trojaner.....
Wenn was nicht klappt beim Reinigen ...frage...
MfG
Sabina
__________
MfG Sabina

rund um die PC-Sicherheit

#5 Sooooooo

Pestpatrol fand


Brilliant digital
topsearch
GoHip
Windows media player exploit
Grokster
Cws.googleMS.3.



mein neues Hijackthisfile

Logfile of HijackThis v1.97.7
Scan saved at 20:41:53, on 25.06.2004
Platform: Windows XP SP1 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP1 (6.00.2800.1106)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\Explorer.EXE
C:\WINDOWS\System32\LXSUPMON.EXE
C:\WINDOWS\system32\LEXBCES.EXE
C:\Programme\Gemeinsame Dateien\AOL\ACS\AOLDial.exe
C:\Programme\PestPatrol\PPMemCheck.exe
C:\Programme\PestPatrol\CookiePatrol.exe
C:\WINDOWS\System32\ctfmon.exe
C:\WINDOWS\system32\spoolsv.exe
C:\WINDOWS\system32\LEXPPS.EXE
C:\PROGRA~1\GEMEIN~1\aol\ACS\AOLacsd.exe
C:\Programme\AVPersonal\AVWUPSRV.EXE
C:\WINDOWS\System32\DRIVERS\CDANTSRV.EXE
C:\WINDOWS\System32\ZoneLabs\isafe.exe
C:\Norman\NVC\BIN\Zanda.exe
C:\WINDOWS\system32\slserv.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\ZoneLabs\vsmon.exe
C:\Programme\Gemeinsame Dateien\Softwin\BitDefender Communicator\xcommsvr.exe
C:\Programme\Gemeinsame Dateien\Softwin\BitDefender Scan Server\bdss.exe
C:\NORMAN\nvc\BIN\nvcoas.exe
C:\NORMAN\nvc\BIN\NVCSCHED.EXE
C:\NORMAN\nvc\BIN\NJEEVES.EXE
C:\Dokumente und Einstellungen\Fransl\Desktop\gegenviren\hijackthis1977\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.lycos.de/
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://www.lycos.de
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = about:blank
R0 - HKLM\Software\Microsoft\Internet Explorer\Search,SearchAssistant =
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Window Title = Microsoft Internet Explorer von Lycos DS:L
O2 - BHO: (no name) - {02478D38-C3F9-4efb-9B51-7695ECA05670} - C:\Programme\Yahoo!\Common\ycomp5_1_5_0.dll
O2 - BHO: (no name) - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Programme\Adobe\Acrobat 5.0\Reader\ActiveX\AcroIEHelper.ocx
O2 - BHO: (no name) - {53707962-6F74-2D53-2644-206D7942484F} - C:\PROGRA~1\SPYBOT~1\SDHelper.dll
O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINDOWS\System32\msdxm.ocx
O3 - Toolbar: &Yahoo! Companion - {EF99BD32-C1FB-11D2-892F-0090271D4F88} - C:\Programme\Yahoo!\Common\ycomp5_1_5_0.dll
O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\System32\NvCpl.dll,NvStartup
O4 - HKLM\..\Run: [LXSUPMON] C:\WINDOWS\System32\LXSUPMON.EXE RUN
O4 - HKLM\..\Run: [AOLDialer] C:\Programme\Gemeinsame Dateien\AOL\ACS\AOLDial.exe
O4 - HKLM\..\Run: [PPMemCheck] C:\Programme\PestPatrol\PPMemCheck.exe
O4 - HKLM\..\Run: [CookiePatrol] C:\Programme\PestPatrol\CookiePatrol.exe
O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\ctfmon.exe
O8 - Extra context menu item: + Offline &Explorer: Download the link - file://C:\Programme\Offline Explorer Pro\Add_UrlO.htm
O8 - Extra context menu item: + Offline E&xplorer: Download the current page - file://C:\Programme\Offline Explorer Pro\Add_AllO.htm
O8 - Extra context menu item: Download with NetPumper - C:\Programme\NetPumper\AddUrl.htm
O9 - Extra button: Messenger (HKLM)
O9 - Extra 'Tools' menuitem: Yahoo! Messenger (HKLM)
O9 - Extra button: ICQ Pro (HKLM)
O9 - Extra 'Tools' menuitem: ICQ (HKLM)
O9 - Extra button: AIM (HKLM)
O9 - Extra button: ICQ 4.0 (HKLM)
O9 - Extra 'Tools' menuitem: ICQ Lite (HKLM)
O9 - Extra button: Real.com (HKLM)
O10 - Broken Internet access because of LSP provider 'imslsp.dll' missing
O14 - IERESET.INF: START_PAGE_URL=http://www.lycos.de
O16 - DPF: {166B1BCA-3F9C-11CF-8075-444553540000} (Shockwave ActiveX Control) - http://fpdownload.macromedia.com/pub/shockwave/cabs/director/swdir.cab
O16 - DPF: {33564D57-0000-0010-8000-00AA00389B71} - http://download.microsoft.com/download/F/6/E/F6E491A6-77E1-4E20-9F5F-94901338C922/wmv9VCM.CAB
O16 - DPF: {4A3CF76B-EC7A-405D-A67D-8DC6B52AB35B} (QDiagAOLCCUpdateObj Class) - http://aolcc.aol.de/computercheckup/qdiagcc.cab
O16 - DPF: {80DD2229-B8E4-4C77-B72F-F22972D723EA} (AvxScanOnline Control) - http://www.bitdefender.com/scan/Msie/bitdefender.cab
O16 - DPF: {8FA9D107-547B-4DBC-9D88-FABD891EDB0A} (shizmoo Class) - http://arcade.icq.com/multiplayer/odyssey_web8.cab
O16 - DPF: {D1E7CBDA-E60E-4970-A01C-37301EF7BF98} (Measurement Service Client v.3.4) - http://ccon.futuremark.com/global/msc34.cab
O16 - DPF: {D27CDB6E-AE6D-11CF-96B8-444553540000} (Shockwave Flash Object) - http://download.macromedia.com/pub/shockwave/cabs/flash/swflash.cab
O16 - DPF: {E855A2D4-987E-4F3B-A51C-64D10A7E2479} (EPSImageControl Class) - http://tools.ebayimg.com/eps/activex/EPSControl_v1-0-3-0.cab

die datei C:\WINDOWS\System32\ipirefu.dll gibtz nich
und escan hat nix gefunden.......

#6 1. Lade den Cwhredder , schliesse alle Browserfenster und scanne.
http://www.spywareinfo.com/~merijn/cwschronicles.html#cwshredder

2.Adware.Topsearch
http://sarc.com/avcenter/venc/data/adware.topsearch.html
Adware.Topsearch wird mit Kazaa installiert.
Adware.Topsearch is a .dll file that acts as a search engine. It can supply advertising content to KaZaA users.

3.Grokster
http://www.pestpatrol.com/PestInfo/G/Grokster.asp

loesche
ast.exe
cd_install.exe
ff_grokster.exe
ff_plugin.exe
fsg.exe
fsg_3202.exe
fsg_4104.exe
glf9.exe
grokstersetup.exe
programfilesdir+\common files\eacceleration\grokster_bundle.exe
programfilesdir+\gatinst\trickler_bic_dopewars_3202.exe
programfilesdir+\grokster\fsg_4104a.exe
programfilesdir+\grokster\grokloader.exe
programfilesdir+\grokster\grokster.exe
programfilesdir+\grokster\magnet.exe
programfilesdir+\grokster\my shared folder\grokster installer.exe
programfilesdir+\grokster\trickler3202_bic_grokster_3202.exe
programfilesdir+\grokster\uninstall.exe
programfilesdir+\grokster\wiseupdt.exe
programfilesdir+\grokstersupport\grokstersupport.exe
programfilesdir+\swaptor\trickler3202_bic_3202.exe
programfilesdir+\swaptor\unwise.exe
ps_install-grokster.exe
rungrokster.exe
setupgrokster.exe
thanks.exe
trickler3202_bic_grokster_3202a.exe
unast.exe
whcc-grokster.exe
winservn.exe
wtm.exe

Start<Ausfuehren<regedit...loesche auf der rechten Seite

HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run.
HKEY_LOCAL_MACHINE\software\microsoft\windows\currentversion\run\grokster, delete it and reboot the machine immediately.
HKEY_LOCAL_MACHINE\software\microsoft\windows\currentversion\run\grokstersupport, delete it and reboot the machine immediately.
HKEY_LOCAL_MACHINE\software\microsoft\windows\currentversion\runonce\install1, delete it and reboot the machine immediately.
HKEY_LOCAL_MACHINE\software\microsoft\windows\currentversion\runonce\install2.exe, delete it and reboot the machine immediately.
HKEY_USERS\s-1-5-21-1960408961-1993962763-1343024091-1003\software\microsoft\windows\currentversion\runonce\install2.exe,

#scanne mit AdAware free und Search&Destroy
http://www.rokop-security.de/main/article.php?sid=703

MfG
Sabina
__________
MfG Sabina

rund um die PC-Sicherheit