[SESync] "F:\Programme\SED\SED.exe" -- Dialer

#1 Hallo.
Ich mach jetzt schon seit 3 Tagen an nem Hijack rum und werde ihn einfach net los.
Und zwar kommt beim IE jetzt immer die startseite: -easysearch powerded by google-. Die Seite wird aber nicht im Netz geladen sondern von meiner Platte (F:\Recycled\index.html -auf F ist meine Windowspartition-)
in dem ordner sind folgende dateien enthalten:
-bin376.dll
-df106
-df107
-df108
-df109
-easysearch_google.jpg
-in376
-index.html
-info2
-install.exe
-uninstall.exe

(Uninstall funktioniert nicht) man kann alle dateien auser info2 und die dll löschen aber auch nachdem ich die dll mit hijackthis abgeschossen habe kann sie nicht gelöscht werden. Die entfernten Dateien werden nach einiger zeit wieder regeneriert.
Wenn ich die 2 Dateien die auf den Ordner verweisen mit hijackthis abschieße geht ein IE wieder ein paar minuten. Dann beginnt das Spiel von vorne...

Systemwiederherstellung ist aus und im Abgesicherten modus hab ich auch schon probiert.

Das mit der Startseite wäre mir ja egal aber wenn ich auf irgend ner anderen seite bin hängt sich der IE beim link-anklicken auf (außerdem funktioniert die windows-suchfunktion nicht wenn der hijack aktiv ist)


hier der LOG:

Logfile of HijackThis v1.98.2
Scan saved at 15:35:30, on 26.10.2004
Platform: Windows XP SP1 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP1 (6.00.2800.1106)

Running processes:
F:\WINDOWS\System32\smss.exe
F:\WINDOWS\system32\winlogon.exe
F:\WINDOWS\system32\services.exe
F:\WINDOWS\system32\lsass.exe
F:\WINDOWS\system32\svchost.exe
F:\WINDOWS\System32\svchost.exe
F:\WINDOWS\system32\spoolsv.exe
F:\WINDOWS\Explorer.EXE
F:\Programme\AVPersonal\AVGUARD.EXE
F:\Programme\AVPersonal\AVWUPSRV.EXE
F:\WINDOWS\System32\nvsvc32.exe
F:\Programme\Analog Devices\SoundMAX\SMAgent.exe
F:\Programme\Analog Devices\SoundMAX\SMax4PNP.exe
F:\Programme\Analog Devices\SoundMAX\Smax4.exe
F:\Programme\ASUS\Ai Booster\OverClk.exe
F:\Programme\ICQLite\ICQLite.exe
F:\WINDOWS\System32\vmmon32.exe
F:\Programme\SED\SED.exe
F:\Programme\cFos\cFosDNT.exe
F:\Programme\AVPersonal\AVGNT.EXE
D:\hijackthis\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.google.de/
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page_bak = http://www.google.de/
O2 - BHO: (no name) - {FFFFFFFF-FFFF-FFFF-FFFF-FFFFFFFFFFFF} - F:\RECYCLED\bin376.dll
O4 - HKLM\..\Run: [SoundMAXPnP] F:\Programme\Analog Devices\SoundMAX\SMax4PNP.exe
O4 - HKLM\..\Run: [SoundMAX] "F:\Programme\Analog Devices\SoundMAX\Smax4.exe" /tray
O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE F:\WINDOWS\System32\NvCpl.dll,NvStartup
O4 - HKLM\..\Run: [nwiz] nwiz.exe /install
O4 - HKLM\..\Run: [NvMediaCenter] RUNDLL32.EXE F:\WINDOWS\System32\NvMcTray.dll,NvTaskbarInit
O4 - HKLM\..\Run: [Launch Ai Booster] F:\Programme\ASUS\Ai Booster\OverClk.exe 1
O4 - HKLM\..\Run: [NeroCheck] F:\WINDOWS\system32\NeroCheck.exe
O4 - HKLM\..\Run: [ICQ Lite] F:\Programme\ICQLite\ICQLite.exe -minimize
O4 - HKLM\..\Run: [IMJPMIG8.1] "F:\WINDOWS\IME\imjp8_1\IMJPMIG.EXE" /Spoil /RemAdvDef /Migration32
O4 - HKLM\..\Run: [MSPY2002] F:\WINDOWS\System32\IME\PINTLGNT\ImScInst.exe /SYNC
O4 - HKLM\..\Run: [PHIME2002ASync] F:\WINDOWS\System32\IME\TINTLGNT\TINTSETP.EXE /SYNC
O4 - HKLM\..\Run: [PHIME2002A] F:\WINDOWS\System32\IME\TINTLGNT\TINTSETP.EXE /IMEName
O4 - HKLM\..\Run: [VMMON32] F:\WINDOWS\System32\vmmon32.exe
O4 - HKLM\..\Run: [SESync] "F:\Programme\SED\SED.exe"
O4 - HKLM\..\Run: [cFosDNT] F:\Programme\cFos\cFosDNT.exe
O4 - HKLM\..\Run: [AVGCtrl] F:\Programme\AVPersonal\AVGNT.EXE /min
O4 - HKLM\..\Run: [Initial Page] F:\RECYCLED\install.exe
O4 - HKCU\..\RunOnce: [ICQ Lite] F:\Programme\ICQLite\ICQLite.exe -trayboot
O9 - Extra button: ICQ 4.1 - {B863453A-26C3-4e1f-A54D-A2CD196348E9} - F:\Programme\ICQLite\ICQLite.exe
O9 - Extra 'Tools' menuitem: ICQ Lite - {B863453A-26C3-4e1f-A54D-A2CD196348E9} - F:\Programme\ICQLite\ICQLite.exe
O16 - DPF: {6414512B-B978-451D-A0D8-FCFDF33E833C} (WUWebControl Class) - http://v5.windowsupdate.microsoft.com/v5consumer/V5Controls/en/x86/client/wuweb_site.cab?1097945674115
O17 - HKLM\System\CCS\Services\Tcpip\..\{BBE21960-296D-4BD7-B7CF-6F3B61EA9447}: NameServer = 217.237.150.33 217.237.151.161


AntiSpy-programme finden da nichtmal was (cwshredder/skysubtract)

Bitte Hilfe

#2 Hallo@pete81


Oeffne das HijackThis<scan< hake an< fix< PC neustarten

O2 - BHO: (no name) - {FFFFFFFF-FFFF-FFFF-FFFF-FFFFFFFFFFFF} - F:\RECYCLED\bin376.dll
O4 - HKLM\..\Run: [VMMON32] F:\WINDOWS\System32\vmmon32.exe
O4 - HKLM\..\Run: [SESync] "F:\Programme\SED\SED.exe"
O4 - HKLM\..\Run: [Initial Page] F:\RECYCLED\install.exe

neustarten

#Oeffne das HijackThis:

<HijackThis<Config<Misc Tools<Delete a file on reboot< reinkopieren:
F:\RECYCLED\bin376.dll <PC neustarten

<HijackThis<Config<Misc Tools<Delete a file on reboot< reinkopieren:
F:\Programme\SED\SED.exe <PC neustarten

Info:
Name: SESync
Command: sed.exe
Status: X
Description: Premium rate adult material dialer

<HijackThis<Config<Misc Tools<Delete a file on reboot< reinkopieren:
F:\RECYCLED\install.exe <PC neustarten

Führe das nochmal aus:
eScan AV Toolkit (mwav.exe) herunterladen,
http://www.rokop-security.de/board/index.php?showtopic=3867
*
und danach die "kavupd.exe" (automatisches Update ueber DOS) ausführen. (oder unter Start<Ausfuehren<%temp% die kavupd.exe suchen) und anklicken
<gehe in den abgesicherten Modus
http://www.tu-berlin.de/www/software/virus/savemode.shtml
und den Scanner mit der "mwav.exe" starten. Alle Häkchen setzen :
Auswählen: Memory, Startup-Folders, Registry, System Folders, Services, Drive/All Local drives
<und "Scan " klicken.

Öffne die mwav.log -> Bearbeiten -> Suchen ->
Wenn man infizierte Dateien in dem eScan Log finden will, sollte man nach infected suchen und die Eintraege hier posten, zusammen mit dem neuen Log vom HijackThis.

mfg
Sabina
__________
MfG Sabina

rund um die PC-Sicherheit

#3 YO Danke hab soweit möglich alles gemacht.
Der Ordner RECYCLED ist von alleine Verschwunden als ich SED.exe mit hijack abgeschossen habe.


Probleme weg vielen dank!!!!!!!!!!!!!!!

#4 Hallo@pete81

Ich habe vergessen, dass du die
F:\WINDOWS\System32\vmmon32.exe erst ueberpruefen und dann wahrscheinlich loeschen musst....BACKDOOR ???????????
Jotti's malware scan 2.4 - einzelne "exe" ueberpruefen
http://virusscan.jotti.dhs.org/

(deshalb ist der Scan mit Escan auch so wichtig)

Poste mal, was der Scanner so findet.

mfg
Sabina
__________
MfG Sabina

rund um die PC-Sicherheit