Ständige Werbepopups oder leere IE-Browserfenster in der Taskleiste??

#1 hallo ihrs!

eins mal vorab: ich bin 1. kein rechner-genie und 2. weit über 18 ^^.
(nur um mal missverständnisse, etc. klarzustellen...)

ich habe folgendes problem:

hatte einen CWsearchx laut CWShredder, musste jedoch keine Appinits aus der registry löschen um ihn loszuwerden. schon seltsam genug..
weiter hatte ich diverse adwares (4 oder 5), deren namen mir mittlerweile entfallen sind.
nun scanne ich seit fast 3 tagen fast pausenlos meinen rechner mit adaware, spybot, cwshredder und nav und scheine einen vollkommen sauberen rechner zu besitzen.
leider öffnen sich jedoch ab und zu werbe-popups (nichtmal pornomist sondern kommerzka**e - erstaunlich...) welche ich auch problemlos schließen kann. natürlich nervt das tierisch und ich möchte wissen wie ich den kram loswerden kann.

falls mir einer von euch helfen könnte, wär ich ihm mehr als dankbar!!!
hier ist einfach mal mein logfile aus HiJackThis:

///////////////////////////////////////////////////////////////////////////////////////
Scan saved at 15:46:17, on 21.08.2004
Platform: Windows XP SP1 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP1 (6.00.2800.1106)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\Programme\Gemeinsame Dateien\Symantec Shared\ccSetMgr.exe
C:\Programme\Gemeinsame Dateien\Symantec Shared\ccEvtMgr.exe
C:\Programme\WindowBlinds\wbload.exe
C:\WINDOWS\system32\spoolsv.exe
C:\WINDOWS\Explorer.EXE
C:\WINDOWS\System32\atwtusb.exe
C:\PROGRA~1\Logitech\MOUSEW~1\SYSTEM\EM_EXEC.EXE
C:\WINDOWS\System32\tblmouse.exe
C:\Programme\Java\j2re1.4.2_05\bin\jusched.exe
C:\Programme\Gemeinsame Dateien\Symantec Shared\ccApp.exe
C:\Programme\CursorXP\CursorXP.exe
C:\Programme\SpamPal\spampal.exe
C:\Programme\Kerio\Personal Firewall 4\kpf4ss.exe
C:\Programme\Norton SystemWorks\Norton Antivirus\navapsvc.exe
C:\WINDOWS\System32\nvsvc32.exe
C:\Programme\Kerio\Personal Firewall 4\kpf4gui.exe
C:\Programme\Kerio\Personal Firewall 4\kpf4gui.exe
C:\PROGRA~1\NORTON~1\Norton Utilities\Speed Disk\NOPDB.EXE
C:\WINDOWS\System32\svchost.exe
C:\Programme\Norton SystemWorks\Norton Antivirus\SAVScan.exe
C:\Programme\Total Commander\TOTALCMD.EXE
C:\Programme\Winamp 5\winamp.exe
C:\Programme\Internet Explorer\IEXPLORE.EXE
D:\Downloads\software\av\hijackthis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.sadano.de/
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page_bak = http://www.sadano.de/
O2 - BHO: (no name) - {00320615-B6C2-40A6-8F99-F1C52D674FAD} - C:\WINDOWS\localNRD.dll
O2 - BHO: (no name) - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Programme\Adobe\Acrobat 6.0\Reader\ActiveX\AcroIEHelper.dll
O2 - BHO: (no name) - {53707962-6F74-2D53-2644-206D7942484F} - C:\Programme\Spybot\SDHelper.dll
O2 - BHO: NAV Helper - {BDF3E430-B101-42AD-A544-FADC6B084872} - C:\Programme\Norton SystemWorks\Norton Antivirus\NavShExt.dll
O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINDOWS\System32\msdxm.ocx
O3 - Toolbar: Norton AntiVirus - {42CDD1BF-3FFB-4238-8AD1-7859DF00B1D6} - C:\Programme\Norton SystemWorks\Norton Antivirus\NavShExt.dll
O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\System32\NvCpl.dll,NvStartup
O4 - HKLM\..\Run: [nwiz] nwiz.exe /install
O4 - HKLM\..\Run: [atwtusb] atwtusb.exe beta
O4 - HKLM\..\Run: [EM_EXEC] C:\PROGRA~1\Logitech\MOUSEW~1\SYSTEM\EM_EXEC.EXE
O4 - HKLM\..\Run: [tblfunc] tblmouse.exe
O4 - HKLM\..\Run: [SunJavaUpdateSched] C:\Programme\Java\j2re1.4.2_05\bin\jusched.exe
O4 - HKLM\..\Run: [NeroCheck] C:\WINDOWS\system32\NeroCheck.exe
O4 - HKLM\..\Run: [SSC_UserPrompt] C:\Programme\Gemeinsame Dateien\Symantec Shared\Security Center\UsrPrmpt.exe
O4 - HKLM\..\Run: [ccApp] "C:\Programme\Gemeinsame Dateien\Symantec Shared\ccApp.exe"
O4 - HKLM\..\Run: [QuickTime Task] "C:\Programme\QuickTime\qttask.exe" -atboottime
O4 - HKCU\..\Run: [CursorXP] C:\Programme\CursorXP\CursorXP.exe
O4 - Startup: SpamPal.lnk = C:\Programme\SpamPal\spampal.exe
O4 - Global Startup: Adobe Gamma Loader.lnk = C:\Programme\Gemeinsame Dateien\Adobe\Calibration\Adobe Gamma Loader.exe
O6 - HKCU\Software\Policies\Microsoft\Internet Explorer\Restrictions present
O6 - HKCU\Software\Policies\Microsoft\Internet Explorer\Control Panel present
O9 - Extra 'Tools' menuitem: Sun Java Konsole (HKLM)
O9 - Extra button: ICQ Pro (HKLM)
O9 - Extra 'Tools' menuitem: ICQ (HKLM)
O16 - DPF: {166B1BCA-3F9C-11CF-8075-444553540000} (Shockwave ActiveX Control) - http://download.macromedia.com/pub/shockwave/cabs/director/sw.cab
O16 - DPF: {2BC66F54-93A8-11D3-BEB6-00105AA9B6AE} (Symantec AntiVirus scanner) - http://security.symantec.com/sscv6/SharedContent/vc/bin/AvSniff.cab
O16 - DPF: {644E432F-49D3-41A1-8DD5-E099162EEEC5} (Symantec RuFSI Utility Class) - http://security.symantec.com/sscv6/SharedContent/common/bin/cabsa.cab
O16 - DPF: {9F1C11AA-197B-4942-BA54-47A8489BB47F} (Update Class) - http://v4.windowsupdate.microsoft.com/CAB/x86/unicode/iuctl.CAB?38218.5746064815
O16 - DPF: {D27CDB6E-AE6D-11CF-96B8-444553540000} (Shockwave Flash Object) - http://active.macromedia.com/flash2/cabs/swflash.cab
O17 - HKLM\System\CCS\Services\Tcpip\..\{E6CCD8DB-A3C5-452D-855F-B059195668EC}: NameServer = 217.237.151.33 194.25.2.129
O17 - HKLM\System\CCS\Services\Tcpip\..\{FABD390F-23AA-4C03-A7AF-B7F82E6024BE}: NameServer = 213.148.130.10,213.148.129.10
///////////////////////////////////////////////////////////////////////////////////////

ich danke nochmals im voraus.

mfg sadano

#2 naja das ist werbung, das ist normal.
da gibt es jetzt verschiedene möglichkeiten das zu blockieren,
1. lade dir die google toolbar runter
http://www.google.de
2. lade dir den crazy browser runter der liegt auf der IE oberfläche
http://www.vollversion.de/download/crazy_browser_1485.html
3. installiere dir das SP2 von win XP
4. benutze firefox browser
http://www.computerbase.de/downloads/software/browser/mozilla_firefox/
5. benutze einen popupblocker, da kann ich jetzt aber nichts dazu sagen, am besten mal googeln

jetzt solltest du selbst entscheiden was für dich die beste lösung ist.

#3 hallo,

danke für die tipps, aber die werbung kommt einfach so, ohne dass ich auf ne seite gehen muss. sobald ich ie anhabe und n bissel warte, kommt das erste popupfenster.
dazu benutze ich nen popup-blocker (kerio-pers.fw).
auf nen anderen browser möchte ich ungerne umsteigen und externe toolbars meide ich lieber =).

danke dennoch für die schnelle hilfe.
noch jemand anwesend der mir vll weiterhelfen kann?

anhang:
der titel des einen popups:
http://c.as-eu.falkag.net/dat/bgf/200408/19/dr-olympic-cassino.html
vielleicht hilft das ja weiter???

mfg sadano

#4 @ Sadano

Hier ist der Verursacher:

Fixe und lösche diesen Eintrag:
O2 - BHO: (no name) - {00320615-B6C2-40A6-8F99-F1C52D674FAD} - C:\WINDOWS\localNRD.dll
__________
Das Wertvollste im Leben ist die Zeit. Leben heißt, mit der Zeit richtig umzugehen.
Neuaufsetzen des Systems/Absicherung! HJT Anleitung

#5 Hi, @Sadano
Ueberpruefe mit Kaspwersky
C:\WINDOWS\System32\atwtusb.exe
http://www.kaspersky.com/remoteviruschk.html

und scanne mit Antispyware-Tools
http://www.rokop-security.de/main/article.php?sid=703
mfg
Sabina
__________
MfG Sabina

rund um die PC-Sicherheit

#6 @ Sabina

Zitat

Ueberpruefe mit Kaspwersky
C:\WINDOWS\System32\atwtusb.exe

Dieser Prozess ist vom Aiptek Treiber.

http://www.reger24.de/prozesse/atwtusb.exe.php
http://www.kephyr.com/filedb/index.php?viewtopic=atwtusb.exe%20beta
__________
Das Wertvollste im Leben ist die Zeit. Leben heißt, mit der Zeit richtig umzugehen.
Neuaufsetzen des Systems/Absicherung! HJT Anleitung

#7 danke euch!! ^^

bin mein problem nun los.

schönes we noch.

mfg sadano

#8 Hallo,

entschuldigt die wahrscheinlich blöde Frage: Aber wie Fixe ich den Eintrag und wo finde ich diesen Eintrag?

Danke im Voraus

#9 @Corazon

Poste einfach mal deine HiJackThis Logfile hier rein!
Dann sagen wir dir was zu machen ist
http://hjt.klaffke.de/

Hier noch die Erklärung zu den Einträgen
Als Einstiegund zum Selberlernen so zu sagen
http://www.trojaner-info.de/anleitungen/hijackthis/htlogtutorial.html
Gruß paff
__________
http://www.downclockers.com/ourforum/index.php?board=71.0 Reverse Engineering Malware

#10 Hi paff,

hier meine Logfiles und schon mal Danke für deien Mühe ...

Running processes:
C:\WINNT\System32\smss.exe
C:\WINNT\system32\winlogon.exe
C:\WINNT\system32\services.exe
C:\WINNT\system32\lsass.exe
C:\Programme\STOPzilla!\szntsvc.exe
C:\WINNT\system32\svchost.exe
C:\WINNT\System32\svchost.exe
C:\WINNT\system32\spoolsv.exe
C:\Programme\AVPersonal\AVWUPSRV.EXE
C:\WINNT\system32\DVDRAMSV.EXE
C:\WINNT\System32\rcapi.exe
C:\Programme\Ahead\InCD\InCDsrv.exe
C:\WINNT\System32\NALNTSRV.EXE
C:\WINNT\system32\regsvc.exe
C:\WINNT\system32\MSTask.exe
C:\WINNT\system32\stisvc.exe
C:\WINNT\System32\WBEM\WinMgmt.exe
C:\WINNT\System32\wm.exe
C:\WINNT\System32\mspmspsv.exe
C:\WINNT\system32\svchost.exe
C:\WINNT\system32\atiptaxx.exe
C:\WINNT\soundman.exe
C:\WINNT\System32\dpmw32.exe
C:\WINNT\system32\NWTRAY.EXE
C:\Programme\Sprint & FineReader 5.0 Office Try&Buy\Sprint\CAgent.exe
C:\Programme\Gemeinsame Dateien\Real\Update_OB\realsched.exe
C:\Programme\QuickTime\qttask.exe
C:\Programme\AVPersonal\AVGNT.EXE
C:\Programme\Ahead\InCD\InCD.exe
C:\Programme\STOPzilla!\Stopzilla.exe
C:\WINNT\system32\internat.exe
C:\Programme\Microsoft Office\Office\OUTLOOK.EXE
C:\WINNT\Explorer.exe
C:\Programme\Terminal Services Client\mstsc.exe
C:\Programme\AVPersonal\AVGUARD.EXE
C:\Programme\Internet Explorer\IEXPLORE.EXE
C:\Programme\eMule\eMuleReactor4.1.exe
C:\System\Downloads\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.google.de/
R1 - HKCU\Software\Microsoft\Internet Explorer\Search,(Default) = http://www.google.de
R1 - HKLM\Software\Microsoft\Internet Explorer\SearchURL,(Default) = http://www.google.de
O1 - Hosts: copyright (c) 1993-1999 Microsoft Corp.
O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Programme\Adobe\Acrobat 5.0\Reader\ActiveX\AcroIEHelper.ocx
O2 - BHO: SDWin32 Class - {A4EF6150-5B88-48A9-BCE1-4B0E73CF3F44} - C:\WINNT\system32\osdfd.dll
O2 - BHO: IeCatch2 Class - {A5366673-E8CA-11D3-9CD9-0090271D075B} - (no file)
O2 - BHO: STOPzilla Browser Helper Object - {E3215F20-3212-11D6-9F8B-00D0B743919D} - C:\WINNT\system32\SZIEBHO.dll
O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINNT\System32\msdxm.ocx
O3 - Toolbar: FlashGet Bar - {E0E899AB-F487-11D5-8D29-0050BA6940E3} - C:\PROGRA~1\FlashGet\fgiebar.dll
O4 - HKLM\..\Run: [Synchronization Manager] mobsync.exe /logon
O4 - HKLM\..\Run: [AtiPTA] atiptaxx.exe
O4 - HKLM\..\Run: [SoundMan] soundman.exe
O4 - HKLM\..\Run: [EM_EXEC] C:\PROGRA~1\Logitech\MOUSEW~1\SYSTEM\EM_EXEC.EXE
O4 - HKLM\..\Run: [NDPS] C:\WINNT\System32\dpmw32.exe
O4 - HKLM\..\Run: [NWTRAY] NWTRAY.EXE
O4 - HKLM\..\Run: [ABBYY Community Agent] C:\Programme\Sprint & FineReader 5.0 Office Try&Buy\Sprint\CAgent.exe
O4 - HKLM\..\Run: [NetPumper] "C:\Programme\NetPumper\NetPumperIEProxy.exe"
O4 - HKLM\..\Run: [mapisvc32] C:\WINNT\System32\mapisvc32.exe
O4 - HKLM\..\Run: [CloneCDElbyCDFL] "C:\Programme\Elaborate Bytes\CloneCD\ElbyCheck.exe" /L ElbyCDFL
O4 - HKLM\..\Run: [TkBellExe] "C:\Programme\Gemeinsame Dateien\Real\Update_OB\realsched.exe" -osboot
O4 - HKLM\..\Run: [QuickTime Task] "C:\Programme\QuickTime\qttask.exe" -atboottime
O4 - HKLM\..\Run: [AVGCtrl] "C:\Programme\AVPersonal\AVGNT.EXE" /min
O4 - HKLM\..\Run: [EPSON Stylus C64 Series] C:\WINNT\system32\spool\DRIVERS\W32X86\3\E_S10IC2.EXE /P23 "EPSON Stylus C64 Series" /O6 "USB001" /M "Stylus C64"
O4 - HKLM\..\Run: [NeroFilterCheck] C:\WINNT\system32\NeroCheck.exe
O4 - HKLM\..\Run: [InCD] C:\Programme\Ahead\InCD\InCD.exe
O4 - HKLM\..\Run: [osdfdc] C:\WINNT\system32\osdfdc.exe
O4 - HKLM\..\Run: [STOPzilla] "C:\Programme\STOPzilla!\Stopzilla.exe" /autorun
O4 - HKLM\..\RunOnce: [InstallShieldSetup] C:\PROGRA~1\INSTAL~1\{84F68~1\SETUP.EXE -rebootC:\PROGRA~1\INSTAL~1\{84F68~1\reboot.ini
O4 - HKCU\..\Run: [internat.exe] internat.exe
O4 - Global Startup: Microsoft Office.lnk = C:\Programme\Microsoft Office\Office\OSA9.EXE
O4 - Global Startup: Microsoft Outlook.lnk = C:\Programme\Microsoft Office\Office\OUTLOOK.EXE
O8 - Extra context menu item: Alles mit FlashGet laden - C:\Programme\FlashGet\jc_all.htm
O8 - Extra context menu item: Download with NetPumper - C:\Programme\NetPumper\AddUrl.htm
O8 - Extra context menu item: Mit FlashGet laden - C:\Programme\FlashGet\jc_link.htm
O9 - Extra button: FlashGet - {D6E814A0-E0C5-11d4-8D29-0050BA6940E3} - C:\PROGRA~1\FlashGet\flashget.exe
O9 - Extra 'Tools' menuitem: &FlashGet - {D6E814A0-E0C5-11d4-8D29-0050BA6940E3} - C:\PROGRA~1\FlashGet\flashget.exe
O9 - Extra button: Free History Cleaner - {ECC5778A-6E88-BFCE-13CE-81F134789E7B} - C:\Programme\Free History Cleaner\FreeHistoryCleaner (file missing)
O9 - Extra 'Tools' menuitem: Free History Cleaner - {ECC5778A-6E88-BFCE-13CE-81F134789E7B} - C:\Programme\Free History Cleaner\FreeHistoryCleaner (file missing)
O12 - Plugin for .pdf: C:\Programme\Internet Explorer\PLUGINS\nppdf32.dll
O12 - Plugin for .spop: C:\Programme\Internet Explorer\Plugins\NPDocBox.dll
O16 - DPF: {56336BCB-3D8A-11D6-A00B-0050DA18DE71} (RdxIE Class) - http://207.188.7.150/017c40edeac8adfeae05/netzip/RdxIE601_de.cab
O16 - DPF: {CA034DCC-A580-4333-B52F-15F98C42E04C} (Downloader Class) - http://www.stopzilla.com/_download/Auto_Installer/dwnldr.cab
O17 - HKLM\System\CCS\Services\Tcpip\..\{196C58B8-15F0-4B96-82FB-5D2F6E2B22EE}: NameServer = 194.25.2.129,212.185.253.136

#11 Hallo @Corazon
scanne mit dem Hijackthis, dann hake an, was ich poste, dann <fix< und dann sofort neustarten

fix:
O1 - Hosts: copyright (c) 1993-1999 Microsoft Corp.
O2 - BHO: SDWin32 Class - {A4EF6150-5B88-48A9-BCE1-4B0E73CF3F44} - C:\WINNT\system32\osdfd.dll
O2 - BHO: IeCatch2 Class - {A5366673-E8CA-11D3-9CD9-0090271D075B} - (no file)
O4 - HKLM\..\Run: [NDPS] C:\WINNT\System32\dpmw32.exe
O4 - HKLM\..\Run: [NetPumper] "C:\Programme\NetPumper\NetPumperIEProxy.exe"
O4 - HKLM\..\Run: [mapisvc32] C:\WINNT\System32\mapisvc32.exe
O4 - HKLM\..\Run: [osdfdc] C:\WINNT\system32\osdfdc.exe

fie auch (ist unnoetig)
O4 - HKLM\..\Run: [Synchronization Manager] mobsync.exe /logon
O4 - HKLM\..\Run: [SoundMan] soundman.exe
O4 - HKLM\..\Run: [CloneCDElbyCDFL] "C:\Programme\Elaborate Bytes\CloneCD\ElbyCheck.exe" /L ElbyCDFL
O4 - HKLM\..\Run: [TkBellExe] "C:\Programme\Gemeinsame Dateien\Real\Update_OB\realsched.exe" -osboot
O4 - HKLM\..\Run: [QuickTime Task] "C:\Programme\QuickTime\qttask.exe" -atboottime
O4 - HKLM\..\Run: [NeroFilterCheck] C:\WINNT\system32\NeroCheck.exe
O4 - HKLM\..\Run: [InCD] C:\Programme\Ahead\InCD\InCD.exe

neustarten

#Ueberpruefe mit Kaspersky (poste das Resultat)
C:\WINNT\System32\mapisvc32.exe
C:\WINNT\System32\mapisvc32.exe
http://www.kaspersky.com/remoteviruschk.html

#Gehe mal in die Host-Datei (mit Editor oeffnen)
schau mal in c:\Windows\System32\drivers\etc\hosts
Im Normalfall sollte dass hier drin stehen, alles andere loeschen
127.0.0.1 localhost
#Orginal Host Datei

#Lade eScan (entpacke in C:\bases)
http://www.mwti.net/antivirus/free_utilities.asp
Nun suchst du eine "kavupd.exe" und anklicken.
<Es oeffnet sich ein DOS-Fenster und es wird ein Update ausgeführt(dauert ein bisschen)
.........................................................................................................................
---Gehe in den abgesicherten Modus
http://www.bsi.de/av/texte/winsave.htm

<den Scanner mit der "mwav.exe starten. Alle Häkchen setzen und "Scan clean" klicken.
................................................................................................................................
normal starten

#Lade AdAware (free)
http://www.lavasoft.de/support/download/

Dann berichte, was der <eScan< gefunden hat (vielleicht machst du noch einmal einen Scann im Normalmodus und kopierst das Virenlog.(und Kaspersky-Info)
und poste das neue HijackThis-Log
mfg
Sabina
__________
MfG Sabina

rund um die PC-Sicherheit

#12 Hallo Sabina,

erstmal vielen Dank.

Hab mit den Hijack gefixt und rebootet habe aber die mapisvc32.exe in WINNT nicht gefunden. Was nun.

Fernando

#13

Zitat

Corazon postete
Hallo Sabina,

erstmal vielen Dank.

Hab mit den Hijack gefixt und rebootet habe aber die mapisvc32.exe in WINNT nicht gefunden. Was nun.

Fernando

Einfach das durchführen was Sabina geschreiben hat.
Vorallem Escan

Dann nochmal Logfile posten

Gruß paff
__________
http://www.downclockers.com/ourforum/index.php?board=71.0 Reverse Engineering Malware

#14 @Corazon
Nun arbeitest du den "Rest" ab.
Der Virenscanner wied sie schon finden .... )

@paff gutes Timing

Sabina
__________
MfG Sabina

rund um die PC-Sicherheit

#15 Hallo paff und Sabina,

habe soweit alles gemacht, hier die neuen Logfiles:

ad-aware hat nichts mehr gefunden und escan:ue

Aug 24 08:31:34 2004 => Total Number of Files Scanned: 2895
Tue Aug 24 08:31:34 2004 => Total Number of Virus(es) Found: 8
Tue Aug 24 08:31:34 2004 => Total Number of Disinfected Files: 0
Tue Aug 24 08:31:34 2004 => Total Number of Files Renamed: 4
Tue Aug 24 08:31:34 2004 => Total Number of Deleted Files: 3
Tue Aug 24 08:31:34 2004 => Total Number of Errors: 1
Tue Aug 24 08:31:34 2004 => Time Elapsed: 00:03:39
Tue Aug 24 08:31:34 2004 => Virus Database Date: 2004/08/19
Tue Aug 24 08:31:34 2004 => Virus Database Count: 101270

bisher scheint es geklappt zu haben, keine nervigen Popups bis jetzt!


Vielen, vielen Dank Euch beiden. Solltet Ihr mal in Düsseldorf sein, lade ich Euch zum Café ein ...

Fernando