Startseite asdfqwre.com?u=1560 lässt sich nicht ändern!

#1 Ich benötige unbeding Hilfe!

Ich weiß das es dieses Thema schon zu genuge hier gibt, aber ich hab echt ne abart davon!!
Ich habe schon alles unternohmen, aber immer wieder trägt sich die Seite
http://%61%73%64%66%71%77%72%65%2E%63%6F%6D?u=1560 (was natürlich Hexadezimal ist und übersetzt "asdfqwre.com?u=1560" heißt" als meine Startseite an. Dadurch werden immer irgendwelche Seiten als Startseite verwendet.

Ich habe schon alles probiert...
Vor allem Escan im abgesicherten Modus mit mwavscan.
Keine IE dabei benutzt. Davor Hijackthis ausgeführt. Die Einträge R0 und R1
sind der Mist, aber so oft ich sie auf fixe... sie kommen wieder.

Escan hat einigen Kram gefunden... aber jetzt findet er nix mehr und das Problem ist immer noch da.
AntiVir, Ad-aware, Spysubtract, Webwasher... alles im Forum gelesen und ausprobiert. <schluchz> Bitte helf mir!

Mein Log:

Logfile of HijackThis v1.99.0
Scan saved at 22:56:01, on 20.01.2005
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\Explorer.EXE
C:\Programme\AVPersonal\AVGUARD.EXE
C:\Programme\AVPersonal\AVWUPSRV.EXE
C:\WINDOWS\System32\nvsvc32.exe
C:\WINDOWS\system32\MsPMSPSv.exe
C:\WINDOWS\System32\LXSUPMON.EXE
C:\Programme\Creative\SBAudigy2ZS\Surround Mixer\CTSysVol.exe
C:\Programme\AVPersonal\AVGNT.EXE
C:\WINDOWS\system32\ctfmon.exe
C:\Programme\Internet Explorer\iexplore.exe
C:\WINDOWS\System32\svchost.exe
C:\Programme\Winamp\winamp.exe
C:\WINDOWS\system32\ntvdm.exe
D:\Anti Viren Kit\hijackthis\HijackThis.exe

R1 - HKCU\Software\Microsoft\Internet Explorer,Search = http://asdfqwre.com?u=1560 (obfuscated)
R1 - HKCU\Software\Microsoft\Internet Explorer,SearchURL = http://asdfqwre.com?u=1560 (obfuscated)
R1 - HKLM\Software\Microsoft\Internet Explorer,Search = http://asdfqwre.com?u=1560 (obfuscated)
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://asdfqwre.com?u=1560 (obfuscated)
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://asdfqwre.com?u=1560 (obfuscated)
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Bar = http://asdfqwre.com?u=1560 (obfuscated)
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = http://asdfqwre.com?u=1560 (obfuscated)
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://asdfqwre.com?u=1560 (obfuscated)
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://asdfqwre.com?u=1560 (obfuscated)
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = http://asdfqwre.com?u=1560 (obfuscated)
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = http://asdfqwre.com?u=1560 (obfuscated)
R1 - HKCU\Software\Microsoft\Internet Explorer\Search,SearchAssistant = http://asdfqwre.com?u=1560 (obfuscated)
R1 - HKCU\Software\Microsoft\Internet Explorer\Search,CustomizeSearch = http://asdfqwre.com?u=1560 (obfuscated)
R0 - HKLM\Software\Microsoft\Internet Explorer\Search,SearchAssistant = http://asdfqwre.com?u=1560 (obfuscated)
R0 - HKLM\Software\Microsoft\Internet Explorer\Search,CustomizeSearch = http://asdfqwre.com?u=1560 (obfuscated)
O4 - HKLM\..\Run: [LXSUPMON] C:\WINDOWS\System32\LXSUPMON.EXE RUN
O4 - HKLM\..\Run: [CTSysVol] C:\Programme\Creative\SBAudigy2ZS\Surround Mixer\CTSysVol.exe /r
O4 - HKLM\..\Run: [AVGCtrl] C:\Programme\AVPersonal\AVGNT.EXE /min
O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\ctfmon.exe
O23 - Service: Adobe LM Service - Unknown - C:\Programme\Gemeinsame Dateien\Adobe Systems Shared\Service\Adobelmsvc.exe
O23 - Service: AntiVir Service - H+BEDV Datentechnik GmbH - C:\Programme\AVPersonal\AVGUARD.EXE
O23 - Service: AntiVir Update - H+BEDV Datentechnik GmbH, Germany - C:\Programme\AVPersonal\AVWUPSRV.EXE
O23 - Service: Creative Service for CDROM Access - Creative Technology Ltd - C:\WINDOWS\system32\CTsvcCDA.exe
O23 - Service: Macromedia Licensing Service - Unknown - C:\Programme\Gemeinsame Dateien\Macromedia Shared\Service\Macromedia Licensing.exe
O23 - Service: NVIDIA Display Driver Service - NVIDIA Corporation - C:\WINDOWS\System32\nvsvc32.exe
O23 - Service: TuneUp WinStyler Theme Service - TuneUp Software GmbH - C:\Programme\TuneUp Utilities 2004\WinStylerThemeSvc.exe

Das einzige was mir spanisch vorkommt ist MsPMSPSv.exe...

Bitte meldet euch!

Gruß MatzeIV

#2 Weißt du vielleicht noch was eScan so gefunden hat? Könnte unter Umständen sehr nützlich sein die Information. Hast du bereits mit Spybot S&D gescannt? (ergänzt sich sehr gut mit AdAware)

MsPMSPSv.exe <-- ist angeblich Teil des Windows Media Player 7 (benutzt du den WMA7?)

Hast du auch daran gedacht deine temporären Dateien etc. zu löschen? (IE Cache, Windows temp ....)

Ansonsten sehe ich an deinem Log auf den ersten Blick auch nur die R0 und R1 Einträge. Vielleicht sieht ja noch jemand anderes als ich etwas interessantes in dem Log (sorry, bin leider kein Profi).
__________
"life's a bitch, turn around and she'll backstab you for a buck."

#3 Danke für die Hilfe, Malkesh.
Problem beseitigt (oder so ähnlich)...
ich hab den versteckten Trojaner samt Betriebssystem zu Hölle gejagt.
Auf Deutsch: hab formatiert.

Ich benutzte den Media Player 10, nach der neuinstallation jetzt wieder. Habe aber jetzt keine MsPMSPv.exe mehr im Task-Manager. Seltsam, seltsam...

Die Temporären Dateien hatte ich alle gelöscht, so ein Newbie bin ich jetzt auch wieder nicht

Mit Spybot S&D hab ich nicht gescannt, merk ich mir für das nächste mal.

Das wird mir immer ein Rätsel sein...

Was E-Scan gefunden, kann ich Dir leider nicht mehr sagen, war aber nicht sonderlich auffällig (wen wunderts?)

Wenn mir der Typ, der den Schei... programmiert hat, vor mir über die Straße laufen würde, der hätte echt ein großes Problem!

Danke nochmal, Gruß MatzeIV

#4 http://www.trojaner-info.de/anleitungen/hijackthis/about_blank.html

Ich glaube, das wäre deine Lösung gewesen
__________
Hab ich "NULL" gewählt?