Trojaner trojan.startpage eingefangen

#1 Hallo allerseits,
habe mir auch diesen Virus eingefangen :-(
Startpage ist seitdem http://win-eto.com/
Wäre toll, wenn Ihr für mich auch einen Tip hättet.
AdAware und SpyBot haben nicht geholfen.
Habe Hijckthis laufen lassen. Hier ist das Logfile:

Logfile of HijackThis v1.99.0
Scan saved at 19:00:18, on 21.01.2005
Platform: Windows XP SP1 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP1 (6.00.2800.1106)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\spoolsv.exe
C:\PROGRA~1\NavNT\DefWatch.exe
C:\Program Files\Common Files\Microsoft Shared\VS7Debug\mdm.exe
C:\PROGRA~1\NavNT\rtvscan.exe
C:\WINDOWS\srvany.exe
C:\PROGRA~1\NavNT\savroam.exe
C:\WINDOWS\System32\CCM\CcmExec.exe
C:\WINDOWS\Explorer.EXE
C:\WINDOWS\System32\igfxtray.exe
C:\WINDOWS\System32\hkcmd.exe
C:\WINDOWS\System32\x5hmx9b4mydz8thd.exe
C:\PROGRA~1\NavNT\vptray.exe
C:\WINDOWS\System32\ctfmon.exe
C:\Program Files\Microsoft Office\Office10\msoffice.exe
C:\PROGRA~1\SECUDE\SECUDE~1\PSEManagement.exe
C:\WINDOWS\regedit.exe
C:\Program Files\Internet Explorer\IEXPLORE.EXE
C:\PROGRA~1\WINZIP\winzip32.exe
C:\Documents and Settings\c5007302\Local Settings\Temp\HijackThis.exe

R1 - HKCU\Software\Microsoft\Internet Explorer,SearchURL = http://win-eto.com/sp.htm?id=31403
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Bar = http://win-eto.com/sp.htm?id=31403
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = http://win-eto.com/hp.htm?id=31403
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://win-eto.com/hp.htm?id=31403
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://intranet.sap.com
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = http://win-eto.com/hp.htm?id=31403
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Local Page =
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Window Title = Microsoft Internet Explorer provided by SAP IT
R1 - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings,AutoConfigURL = http://proxy:8083
R1 - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings,ProxyServer = proxy:8080
R1 - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings,ProxyOverride = *.sap.corp;*.sap-ag.de;<local>
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName =
R3 - Default URLSearchHook is missing
O2 - BHO: (no name) - {467FAEB2-5F5B-4c81-BAE0-2A4752CA7F4E} - C:\WINDOWS\System32\SCJTM7~1.DLL
O4 - HKLM\..\Run: [IgfxTray] C:\WINDOWS\System32\igfxtray.exe
O4 - HKLM\..\Run: [HotKeysCmds] C:\WINDOWS\System32\hkcmd.exe
O4 - HKLM\..\Run: [NAV DefAlert] C:\PROGRA~1\Navnt\defalert.exe
O4 - HKLM\..\Run: [AdminCheck] wscript "C:\Program Files\sap\eus\_admincheck.vbs"
O4 - HKLM\..\Run: [Control handler] C:\WINDOWS\System32\x5hmx9b4mydz8thd.exe
O4 - HKLM\..\Run: [vptray] C:\PROGRA~1\NavNT\vptray.exe
O4 - HKCU\..\Run: [ctfmon.exe] C:\WINDOWS\System32\ctfmon.exe
O4 - Startup: MSChat 2.5.lnk = C:\Program Files\Microsoft Chat\Cchat.exe
O4 - Global Startup: Microsoft Office.lnk = C:\Program Files\Microsoft Office\Office10\OSA.EXE
O4 - Global Startup: SSOUser.lnk = C:\Program Files\SSO\SSOUser.bat
O4 - Global Startup: winlogin.exe
O6 - HKCU\Software\Policies\Microsoft\Internet Explorer\Restrictions present
O6 - HKCU\Software\Policies\Microsoft\Internet Explorer\Control Panel present
O8 - Extra context menu item: E&xport to Microsoft Excel - res://C:\PROGRA~1\MICROS~2\Office10\EXCEL.EXE/3000
O12 - Plugin for .spop: C:\Program Files\Internet Explorer\Plugins\NPDocBox.dll
O14 - IERESET.INF: START_PAGE_URL=http://intranet.sap.com
O17 - HKLM\System\CCS\Services\Tcpip\Parameters: Domain = wdf.sap.corp
O17 - HKLM\Software\..\Telephony: DomainName = wdf.sap.corp
O17 - HKLM\System\CS1\Services\Tcpip\Parameters: Domain = wdf.sap.corp
O17 - HKLM\System\CS1\Services\Tcpip\Parameters: SearchList = wdf.sap.corp
O17 - HKLM\System\CS2\Services\Tcpip\Parameters: Domain = wdf.sap.corp
O17 - HKLM\System\CS2\Services\Tcpip\Parameters: SearchList = wdf.sap.corp
O17 - HKLM\System\CCS\Services\Tcpip\Parameters: SearchList = wdf.sap.corp
O20 - AppInit_DLLs: x3chxptllxmuxz3.dll.dll.dll.dll.dll.dll.dll.dll.dll.dll.dll.dll.dll.dll.dll.dll.dll.dll.dll.dll.dll.dll.dll.dll.dll.dll.dll.dll.dll.dll.dll
O23 - Service: pcAnywhere Host Service - Symantec Corporation - C:\Program Files\Symantec\pcAnywhere\awhost32.exe
O23 - Service: DefWatch - Symantec Corporation - C:\PROGRA~1\NavNT\DefWatch.exe
O23 - Service: Symantec AntiVirus Client - Symantec Corporation - C:\PROGRA~1\NavNT\rtvscan.exe
O23 - Service: Rescue_Account - Unknown - C:\WINDOWS\srvany.exe
O23 - Service: SAVRoam - symantec - C:\PROGRA~1\NavNT\savroam.exe

Was muß ich weiter machen??
Vielen Dank
Heinz

#2 Informiere mal euren Admin, der soll den Rechner mal mit einem sauberen Backup wiederherstellen. Irgendwo muss sich die Lizensierung von pcAnywhere ja bezahlt machen.
__________
MfG Ralf
SEO-Spam Hunter

#3 Hallo,

lade Dir mal folgendes Programm runter (CwShredder), dann hat sich Dein Problem in 30 Sekunden erledigt..
Bei mir funktionierte da aber nur mit der Version 1.59.0.1 und nicht mit der Version 2.12

Mit freundlichem Gruß

Jürgen

#4 Ach ja... und hier noch der Link:

http://www.majorgeeks.com/download4086.html

Mit freundlichem Gruß

Jürgen

#5 Herrrrrrlich!
Vielen Dank, Jürgen, das hat mir nun endlich auch geholfen!
Nochmal: 10000000000 dank!

#6 Ach ja, übrigens auch wirklich nur die Version 1.59.0.1 war hilfreich!

#7 Hallo Heinz

dieses Programm fegt dir den Trojaner komplett runter.

http://www.veloz.com/dlp_def/dlp_ur_104.php?pg=result%26dlp_spin&kw=gw_de_trojan&imod=ea.67&src=EApp.627&SV=se046&prod=stopsign&lng=DEU&inf=00002010&venid=s_gw_de_anti_attack&geo=01:00_DEU_02302&id_vlz=6d5b874f88f14bf882e86ce7636088c8&tsid=2&ov=0.0.1.3887&d=0&num=2&ver=scan.3887&ui=cancel&lnk=rslt_h0

Ist kostenlos und zeigt dir alle inf. Files an,
die du dann löschen oden umbenennen kannst.

Bei mir hat es geklappt und Mr. Norton ist zufrieden :-)

Gruß und viel Erfolg

Dj Tux