Probleme beim Löschen von Favoriten

#1 Hallo zusammen,

hab da ein kleines aber ärgerliches Problem:

Ohne mein zutun haben sich einige Adressen in meine Favoritenliste hinzugefügt. Diese lassen sich zwar löschen sind allerdings beim Neustart wieder da.

Bei der Startseite tritt dasselbe Problem auf: Löschen möglich, beim Neustart wieder präsent.

Schon mal besten Dank im voraus!

#2 Servus.
Bin auch keine Experte, jedoch sieht das in meinen Augen nach einem Hijacker aus. Hast du schon mal versucht, SpyBot und AdAware durchlaufen zu lassen? Das wäre die erste Maßnahme. So wie es aussieht, hängen da nämlich noch Dinge in der Registry, die bewirken, dass das Löschen nur bis zum nächsten Neustart anhält. Versuch das mal, ansonsten poste mal ne Hijackthis-Logfile. Dann kann man mit Gewissheit sagen, was es ist und dir evtl. (sicherlich) helfen! MfG!

Jojo!

#3 @chris100

Mach einfach mal was hier steht und poste dann das HiJAckthis Logfile
http://www.rokop-security.de/main/article.php?sid=703

Gruß paff
__________
http://www.downclockers.com/ourforum/index.php?board=71.0 Reverse Engineering Malware

#4 ich musste gerade feststellen dass mein wissen bzgl viren, trojaner, hijackern usw. gegen null geht...

ich will noch abwarten bis der escan antivirus durchgelaufen ist, dann werden ich die im link angegebene prozedur abarbeiten.

Grüsse Christian

so hier ist das logfile

Logfile of HijackThis v1.98.0
Scan saved at 17:49:59, on 12.07.2004
Platform: Windows XP SP1 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP1 (6.00.2800.1106)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\spoolsv.exe
C:\Programme\CA\eTrust Antivirus\InoRpc.exe
C:\Programme\CA\eTrust Antivirus\InoRT.exe
C:\WINDOWS\Explorer.EXE
C:\Programme\CA\eTrust Antivirus\InoTask.exe
C:\Programme\CA\SharedComponents\CA_LIC\LogWatNT.exe
C:\Programme\Gemeinsame Dateien\Microsoft Shared\VS7Debug\mdm.exe
C:\Programme\ATI Technologies\ATI Control Panel\atiptaxx.exe
C:\WINDOWS\System32\RunDll32.exe
C:\WINDOWS\Dit.exe
C:\PROGRA~1\CA\ETRUST~1\realmon.exe
C:\WINDOWS\mHotkey.exe
C:\WINDOWS\CNYHKey.exe
C:\WINDOWS\System32\Prismsta.exe
C:\Programme\Home Cinema\PowerCinema\PCMService.exe
C:\Programme\Java\j2re1.4.2_04\bin\jusched.exe
C:\PROGRA~1\COMMON~1\X10\Common\x10nets.exe
C:\WINDOWS\ziphelp.exe
C:\WINDOWS\System32\wuauclt.exe
C:\Programme\Internet Explorer\IEXPLORE.EXE
C:\Dokumente und Einstellungen\Christian Mollner\Lokale Einstellungen\Temporary Internet Files\Content.IE5\PKO35P45\hjt[1].exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://bigcharts.marketwatch.com/default.asp?siteid=&avatar=seen&dist=ctbc
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = res://msaps.dll/search.html
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = res://msaps.dll/search.html
R1 - HKCU\Software\Microsoft\Internet Connection Wizard,ShellNext = http://www.aldi.com/
R3 - URLSearchHook: (no name) - {FDE3577A-6254-181C-4E11-339E4F746BD3} - (no file)
O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Programme\Adobe\Acrobat 6.0\Reader\ActiveX\AcroIEHelper.dll
O2 - BHO: (no name) - {53707962-6F74-2D53-2644-206D7942484F} - C:\Programme\Spybot - Search & Destroy\SDHelper.dll
O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINDOWS\System32\msdxm.ocx
O4 - HKLM\..\Run: [ATIPTA] C:\Programme\ATI Technologies\ATI Control Panel\atiptaxx.exe
O4 - HKLM\..\Run: [Cmaudio] RunDll32 cmicnfg.cpl,CMICtrlWnd
O4 - HKLM\..\Run: [Dit] Dit.exe
O4 - HKLM\..\Run: [Realtime Monitor] C:\PROGRA~1\CA\ETRUST~1\realmon.exe -s
O4 - HKLM\..\Run: [NeroFilterCheck] C:\WINDOWS\system32\NeroCheck.exe
O4 - HKLM\..\Run: [CHotkey] mHotkey.exe
O4 - HKLM\..\Run: [ledpointer] CNYHKey.exe
O4 - HKLM\..\Run: [Prism_Utility] Prismsta.exe
O4 - HKLM\..\Run: [PCMService] "C:\Programme\Home Cinema\PowerCinema\PCMService.exe"
O4 - HKLM\..\Run: [SunJavaUpdateSched] C:\Programme\Java\j2re1.4.2_04\bin\jusched.exe
O4 - HKLM\..\Run: [mwavscan] "C:\DOKUME~1\CHRIST~1\LOKALE~1\Temp\mwavscan.com" /s
O4 - HKCU\..\Run: [AOLMIcon] C:\WINDOWS\AOLMIcon.exe
O4 - HKCU\..\Run: [ziphelp] C:\WINDOWS\ziphelp.exe
O4 - Startup: Check for TWS Updates.lnk = C:\Jts\WiseUpdt.exe
O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\WINDOWS\System32\msjava.dll
O9 - Extra 'Tools' menuitem: Sun Java Konsole - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\WINDOWS\System32\msjava.dll
O9 - Extra button: Related - {c95fe080-8f5d-11d2-a20b-00aa003c157a} - C:\WINDOWS\web\related.htm
O9 - Extra 'Tools' menuitem: Show &Related Links - {c95fe080-8f5d-11d2-a20b-00aa003c157a} - C:\WINDOWS\web\related.htm
O9 - Extra button: Real.com - {CD67F990-D8E9-11d2-98FE-00C0F0318AFE} - C:\WINDOWS\System32\Shdocvw.dll
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\MSMSGS.EXE
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\MSMSGS.EXE
O9 - Extra button: MedionShop - {07E3F115-C445-480D-94CB-ECA914A353CE} - http://www.medionshop.de/ (file missing) (HKCU)
O14 - IERESET.INF: START_PAGE_URL=http://www.aldi.com
O16 - DPF: {56336BCB-3D8A-11D6-A00B-0050DA18DE71} (RdxIE Class) - http://software-dl.real.com/04a30f04300bfbf27206/netzip/RdxIE601_de.cab



Zunächst mal Riesenkompliment: Super Forum das auch Laien die Möglichkeit gibt Probleme selbständig zu beseitigen!!!!

Ich hab das von Pfaff genannte Prozedere abgearbeitet, das Logfile von hijackthis.de checken lassen und die entsprechenden files gefixt, wie`s ausschaut bin ich wieder clean !

#5 @chris100

Diese beiden sind noch suspekt, würde sagen zu 95% sind die "böse"
O4 - HKCU\..\Run: [AOLMIcon] C:\WINDOWS\AOLMIcon.exe
O4 - HKCU\..\Run: [ziphelp] C:\WINDOWS\ziphelp.exe

Überprüf die Dateien mal hier
http://www.kaspersky.com/de/remoteviruschk.html
Wenn Virolent dann Fixen.
Oder schick Sie mir an mike_hangover@gozomail.com

Update auch mal den EScan wie hier beschrieben und lass Sie im abgesicherten Modus laufen.
http://www.rokop-security.de/board/index.php?showtopic=3867

Gruß paff
__________
http://www.downclockers.com/ourforum/index.php?board=71.0 Reverse Engineering Malware

#6 @paff

das war der logfile vor dem fixen, die beiden "bösen" files sind gelöscht.
EScan hatte ich auch laufen, scheint alles OK zusein.

was mich interessieren würde:

Besteht die Gefahr dass Passwörter bzw PIN Nummern ausgespäht wurden sollte ich sie deshalb besser ändern?

Viele Grüsse
christian

#7

Zitat

chris100 postete
was mich interessieren würde:
Besteht die Gefahr dass Passwörter bzw PIN Nummern ausgespäht wurden sollte ich sie deshalb besser ändern?

Es liefen irgendwelcheProgramme auf deinem Rechner, die können alles mögliche ausgespäht haben. Wichtige Passwörter und PIN's sollte man dann immer ändern.

Gruß paff
__________
http://www.downclockers.com/ourforum/index.php?board=71.0 Reverse Engineering Malware