Ntsearch Problem - Fragen & HijackThis Logs » hier rein!

#166 Hallöchen Ihr,

Ihr habt mir schon so oft geholfen - 1000 Dank. Dies hier ist nun die Logdatei vom PC meines Bruders. Könnt Ihr mal kurz drüber schauen ?


Lavasoft Ad-aware Personal Build 162
Logdatei erzeugt am :Freitag, 16. Januar 2004 21:52:08

Zussamenfassung der Überprüfung
¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯
Gesamte Zeit für Systemüberprüfung :00:05:21:813
Objekte überprüft:71015
Objekte identifiziert:16
Objekte ignoriert:0
Neue Objekte:16

---------------


Logfile of HijackThis v1.97.7
Scan saved at 21:02:44, on 16.01.2004
Platform: Windows XP (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 (6.00.2600.0000)

Running processes:
C:\WINDOWS\Explorer.EXE
C:\Programme\Gemeinsame Dateien\Symantec Shared\ccApp.exe
C:\Programme\Messenger\msmsgs.exe
C:\PROGRA~1\Symantec\LIVEUP~1\LUCOMS~1.EXE
H:\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.t-online.de/
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://www.club-vaio.sony-europe.com
O2 - BHO: (no name) - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Programme\Adobe\Acrobat 5.0\Reader\ActiveX\AcroIEHelper.ocx (file missing)
O2 - BHO: NAV Helper - {BDF3E430-B101-42AD-A544-FADC6B084872} - C:\Programme\Norton AntiVirus\NavShExt.dll
O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINDOWS\System32\msdxm.ocx
O3 - Toolbar: Norton AntiVirus - {42CDD1BF-3FFB-4238-8AD1-7859DF00B1D6} - C:\Programme\Norton AntiVirus\NavShExt.dll
O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE NvQTwk,NvCplDaemon initialize
O4 - HKLM\..\Run: [WorksFUD] C:\Programme\Microsoft Works\wkfud.exe
O4 - HKLM\..\Run: [ccApp] "C:\Programme\Gemeinsame Dateien\Symantec Shared\ccApp.exe"
O4 - HKCU\..\Run: [MSMSGS] "C:\Programme\Messenger\msmsgs.exe" /background
O9 - Extra button: Related (HKLM)
O9 - Extra 'Tools' menuitem: Show &Related Links (HKLM)
O14 - IERESET.INF: START_PAGE_URL=http://www.club-vaio.sony-europe.com
O15 - Trusted Zone: *.Sony-europe.com
O15 - Trusted Zone: *.Sonystyle-europe.com
O16 - DPF: {67B15B0B-160C-4579-95AF-858169659092} (IELoaderCtl Class) - http://freeload.cc/secure/ieloader.cab
O16 - DPF: {9F1C11AA-197B-4942-BA54-47A8489BB47F} (Update Class) - http://v4.windowsupdate.microsoft.com/CAB/x86/unicode/iuctl.CAB?37916.5160763889
O16 - DPF: {D27CDB6E-AE6D-11CF-96B8-444553540000} (Shockwave Flash Object) - http://download.macromedia.com/pub/shockwave/cabs/flash/swflash.cab
O16 - DPF: {E0B795B4-FD95-4ABD-A375-27962EFCE8CF} (StarInstall Control) - http://install.serviceurl.de/StarInstall.ocx

(Sorry der vorhergegangene Beitrag war die völlig falsche Datei !!!)

#167 So...hab' mich mal über das sysu erkundigt...ist wohl ein Prog von einer Company namens Dynamic Desktop Media (DDM)...und es nimmt mir 9000KB Speicher weg...die SAU...also weg damit

so hab' ichs gefixt...

--> Taskmanager : Sysu.exe beenden
--> c:\windows\DDM löschen
--> Start-ausführen-regedit
unter HKEY_LOCAL_MACHINE\SOFTWARE den Ordner DDM löschen
--> start-ausführen-msconfig
in der registerkarte SYSTEMSTART alle Häckchen bei den Einträgen
ohne BEFEHL und das Häckchen bei Sysu entfernen--übernehmen.
anschliessend wirst Du nach einem Neustart gefragt. Den natürlich machen und nach dem Neustart erscheint ein Fenster das Dich auf die Systemstartänderung hinweist. Auch hier machen wir ein Häkchen und klicken das schöne OK an.

Somit sollte das Problem gelöst sein!

Vergiß aber nicht die registry zu sichern und auch den DDM ordner mal zu behalten, für den Fall dass es zu Komplikationen gibt. Bei mir gibts auf jeden Fall keine...

Peeze***BravoStylezZ*

#168 Lasse mal die Sachen, die Adaware gefunden hat, reinigen und das noch fixen:

O16 - DPF: {E0B795B4-FD95-4ABD-A375-27962EFCE8CF} (StarInstall Control) - http://install.serviceurl.de/StarInstall.ocx
O16 - DPF: {67B15B0B-160C-4579-95AF-858169659092} (IELoaderCtl Class) - http://freeload.cc/secure/ieloader.cab

Windows bitte updaten

by the way: Irgendwie ist das Log nicht komplett, unter "running objects" steht zu wenig!
__________
MfG Ralf
SEO-Spam Hunter

#169 Lavasoft Ad-aware Personal Build 162
Logdatei erzeugt am :Freitag, 16. Januar 2004 21:52:08
Created with Ad-aware Personal, free for private use.
Benutze Referenzdatei :0R150 05.07.2003
______________________________________________________

Ad-aware Settings
=========================
Aktiviert : Intensive Dateiprüfung aktivieren
Aktiviert : Sicherheitsmodus (immer nachfragen)
Aktiviert : Prüfe laufende Prozesse
Aktiviert : Prüfe Registrierung
Aktiviert : Erweiterte Registrierungsprüfung


Liste der geladenen Prozesse
¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯

#:1 [smss.exe]
FilePath : \SystemRoot\System32\
ThreadCreationTime : 16.01.2004 20:51:21
BasePriority : Normal


#:2 [winlogon.exe]
FilePath : \??\C:\WINDOWS\system32\
ThreadCreationTime : 16.01.2004 20:51:25
BasePriority : High


#:3 [services.exe]
FilePath : C:\WINDOWS\system32\
ThreadCreationTime : 16.01.2004 20:51:28
BasePriority : Normal
FileSize : 99 KB
FileVersion : 5.1.2600.0 (xpclient.010817-1148)
ProductVersion : 5.1.2600.0
Copyright : Microsoft Corporation. Alle Rechte vorbehalten.
CompanyName : Microsoft Corporation
FileDescription : Anwendung f r Dienste und Controller
InternalName : services.exe
OriginalFilename : services.exe
ProductName : Betriebssystem Microsoft Windows
Created on : 20.11.2001 14:17:24
Last accessed : 16.01.2004 20:18:45
Last modified : 18.08.2001 10:00:00

#:4 [lsass.exe]
FilePath : C:\WINDOWS\system32\
ThreadCreationTime : 16.01.2004 20:51:28
BasePriority : Normal
FileSize : 11 KB
FileVersion : 5.1.2600.0 (xpclient.010817-1148)
ProductVersion : 5.1.2600.0
Copyright : Microsoft Corporation. All rights reserved.
CompanyName : Microsoft Corporation
FileDescription : LSA Shell (Export Version)
InternalName : lsass.exe
OriginalFilename : lsass.exe
ProductName : Microsoft Windows Operating System
Created on : 20.11.2001 14:16:55
Last accessed : 16.01.2004 20:18:45
Last modified : 18.08.2001 10:00:00

#:5 [svchost.exe]
FilePath : C:\WINDOWS\system32\
ThreadCreationTime : 16.01.2004 20:51:30
BasePriority : Normal
FileSize : 12 KB
FileVersion : 5.1.2600.0 (xpclient.010817-1148)
ProductVersion : 5.1.2600.0
Copyright : Microsoft Corporation. All rights reserved.
CompanyName : Microsoft Corporation
FileDescription : Generic Host Process for Win32 Services
InternalName : svchost.exe
OriginalFilename : svchost.exe
ProductName : Microsoft Windows Operating System
Created on : 20.11.2001 14:17:30
Last accessed : 16.01.2004 20:46:09
Last modified : 18.08.2001 10:00:00

#:6 [svchost.exe]
FilePath : C:\WINDOWS\System32\
ThreadCreationTime : 16.01.2004 20:51:30
BasePriority : Normal
FileSize : 12 KB
FileVersion : 5.1.2600.0 (xpclient.010817-1148)
ProductVersion : 5.1.2600.0
Copyright : Microsoft Corporation. All rights reserved.
CompanyName : Microsoft Corporation
FileDescription : Generic Host Process for Win32 Services
InternalName : svchost.exe
OriginalFilename : svchost.exe
ProductName : Microsoft Windows Operating System
Created on : 20.11.2001 14:17:30
Last accessed : 16.01.2004 20:46:09
Last modified : 18.08.2001 10:00:00

#:7 [explorer.exe]
FilePath : C:\WINDOWS\
ThreadCreationTime : 16.01.2004 20:51:38
BasePriority : Normal
FileSize : 980 KB
FileVersion : 6.00.2600.0000 (xpclient.010817-1148)
ProductVersion : 6.00.2600.0000
Copyright : Microsoft Corporation. Alle Rechte vorbehalten.
CompanyName : Microsoft Corporation
FileDescription : Windows Explorer
InternalName : explorer
OriginalFilename : EXPLORER.EXE
ProductName : Betriebssystem Microsoft Windows
Created on : 20.11.2001 14:16:41
Last accessed : 16.01.2004 20:51:39
Last modified : 18.08.2001 10:00:00

#:8 [ad-aware.exe]
FilePath : C:\Lavasoft\Ad-aware 6\
ThreadCreationTime : 16.01.2004 20:52:00
BasePriority : Normal
FileSize : 645 KB
FileVersion : 6.0.1.165
ProductVersion : 6.0.0.0
Copyright : Copyright Lavasoft Sweden
CompanyName : Lavasoft Sweden
FileDescription : Ad-aware 6 core application
InternalName : Ad-aware.exe
OriginalFilename : Ad-aware.exe
ProductName : Lavasoft Ad-aware Plus
Created on : 16.01.2004 20:31:33
Last accessed : 16.01.2004 20:52:00
Last modified : 08.02.2003 19:50:52

Ergebnis der Speicherprüfung:
¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯
Neue Objekte: 0
Objekte insgesamt bis jetzt identifiziert 0


Starte Prüfung der Registrierung
¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯

StarInstall(MainPean) Objekt identifiziert!
Typ : Reg.Schlüssel
Daten :
Rootkey : HKEY_CLASSES_ROOT
Objekt : ACTIVEXDOWNLOAD.ActiveXDownloadCtrl.1


StarInstall(MainPean) Objekt identifiziert!
Typ : Reg.Schlüssel
Daten :
Rootkey : HKEY_CLASSES_ROOT
Objekt : CLSID\{D037F883-92C3-4F89-A302-C01127CF3C72}


StarInstall(MainPean) Objekt identifiziert!
Typ : Reg.Schlüssel
Daten :
Rootkey : HKEY_CLASSES_ROOT
Objekt : CLSID\{E0B795B4-FD95-4ABD-A375-27962EFCE8CF}


Dialer Objekt identifiziert!
Typ : Reg.Schlüssel
Daten :
Rootkey : HKEY_CLASSES_ROOT
Objekt : IELoaderCtl.IELoaderCtl


Dialer Objekt identifiziert!
Typ : Reg.Schlüssel
Daten :
Rootkey : HKEY_CLASSES_ROOT
Objekt : IELoaderCtl.IELoaderCtl.1


StarInstall(MainPean) Objekt identifiziert!
Typ : Reg.Schlüssel
Daten :
Rootkey : HKEY_CLASSES_ROOT
Objekt : Interface\{B0CE21C5-6A79-45B7-AB9C-0008E75F2DBF}


StarInstall(MainPean) Objekt identifiziert!
Typ : Reg.Schlüssel
Daten :
Rootkey : HKEY_CLASSES_ROOT
Objekt : Interface\{CD6B926C-903F-46A4-9C7D-F3839F081788}


StarInstall(MainPean) Objekt identifiziert!
Typ : Reg.Schlüssel
Daten :
Rootkey : HKEY_LOCAL_MACHINE
Objekt : SOFTWARE\Microsoft\Code Store Database\Distribution Units\{E0B795B4-FD95-4ABD-A375-27962EFCE8CF}


Alexa Objekt identifiziert!
Typ : Reg.Schlüssel
Daten :
Rootkey : HKEY_LOCAL_MACHINE
Objekt : SOFTWARE\Microsoft\Internet Explorer\Extensions\{c95fe080-8f5d-11d2-a20b-00aa003c157a}


StarInstall(MainPean) Objekt identifiziert!
Typ : Reg.Schlüssel
Daten :
Rootkey : HKEY_CLASSES_ROOT
Objekt : TypeLib\{A30B0BEB-A992-4E4B-AF6E-EB9019C3E540}


Ergebnis der Registrierungsprüfung:
¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯
Neue Objekte: 10
Objekte insgesamt bis jetzt identifiziert 10


Starte erweiterte Registrierungsprüfung
¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯

StarInstall(MainPean) Objekt identifiziert!
Typ : Reg.Schlüssel
Daten :
Rootkey : HKEY_LOCAL_MACHINE
Objekt : Software\microsoft\windows\currentversion\moduleusage\C:/WINDOWS/Downloaded Program Files/StarInstall.ocx


StarInstall(MainPean) Objekt identifiziert!
Typ : Reg.Wert
Daten : starinstall.ocx
Rootkey : HKEY_LOCAL_MACHINE
Objekt : Software\Microsoft\Windows\CurrentVersion\SharedDLLs
Wert : C:\WINDOWS\Downloaded Program Files\StarInstall.ocx


Ergebnis der erweiterten Registrierungsprüfung:
¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯
Neue Objekte: 2
Objekte insgesamt bis jetzt identifiziert 12


Suche und überpfüfe Dateien intensiv (C
¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯

Tracking Cookie Objekt identifiziert!
Typ : Datei
Daten : gast@mediaplex[1].txt
Objekt : C:\Dokumente und Einstellungen\Gast\Cookies\

Created on : 16.01.2004 16:58:48
Last accessed : 16.01.2004 20:24:00
Last modified : 16.01.2004 16:58:48



OnFlow Objekt identifiziert!
Typ : Datei
Daten : npqtplugin.dll
Objekt : C:\Programme\Internet Explorer\PLUGINS\
FileSize : 88 KB
FileVersion : 5.0.2
ProductVersion : QuickTime 5.0.2
Copyright : Apple Computer, Inc. 1992-2001
CompanyName : Apple Computer, Inc.
FileDescription : The QuickTime Plugin allows you to view a wide variety of multimedia content in Web pages. For more information, visit the <A HREF=http://www.apple.com/quicktime/>QuickTime</A> Web site.
InternalName : QuickTime Plug-In
OriginalFilename : npqtplugin.dll
ProductName : QuickTime Plug-in 5.0.2
Created on : 21.12.2001 09:55:21
Last accessed : 16.01.2004 20:25:55
Last modified : 21.12.2001 09:55:21



OnFlow Objekt identifiziert!
Typ : Datei
Daten : npqtplugin.dll
Objekt : C:\Programme\QuickTime\Plugins\
FileSize : 88 KB
FileVersion : 5.0.2
ProductVersion : QuickTime 5.0.2
Copyright : Apple Computer, Inc. 1992-2001
CompanyName : Apple Computer, Inc.
FileDescription : The QuickTime Plugin allows you to view a wide variety of multimedia content in Web pages. For more information, visit the <A HREF=http://www.apple.com/quicktime/>QuickTime</A> Web site.
InternalName : QuickTime Plug-In
OriginalFilename : npqtplugin.dll
ProductName : QuickTime Plug-in 5.0.2
Created on : 21.12.2001 09:55:21
Last accessed : 16.01.2004 20:26:53
Last modified : 21.12.2001 09:55:21



StarInstall(MainPean) Objekt identifiziert!
Typ : Datei
Daten : starinstall.ocx
Objekt : C:\WINDOWS\Downloaded Program Files\
FileSize : 16 KB
FileVersion : 1, 0, 0, 1
Copyright : Copyright (C) 2001
CompanyName : Mainpean GmbH
FileDescription : StarInstall
Created on : 06.01.2004 19:54:24
Last accessed : 16.01.2004 20:06:33
Last modified : 06.01.2004 19:54:24



Ergebnis der Dateiprüfung für C:
¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯
Neue Objekte: 0
Objekte insgesamt bis jetzt identifiziert 16

21:57:30 Systemprüfung beendet.

Zussamenfassung der Überprüfung
¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯
Gesamte Zeit für Systemüberprüfung :00:05:21:813
Objekte überprüft:71015
Objekte identifiziert:16
Objekte ignoriert:0
Neue Objekte:16


-----------

Hilft das irgendwie weiter ??? Hijackthis habe ich (glaube ich) im abgesicherten Modus gemacht ... kann es sein, daß es dann nur so wenige "running Prozesse" sind ?!

DANKE nochmals !

#170 Das weiss ich so auf anhieb nicht einmal!
Aber warum hast du die Sachen die Adaware gefunden hat nicht reinigen lassen?
__________
MfG Ralf
SEO-Spam Hunter

#171 Das habe ich gemacht Hat auch wunderbar geklappt ...

Eine Frage aber noch, auch wenn sie sich noch ein bißchen "blond" anhört: wie Windows updaten ???

Nochmals DANKE !

#172 Das geht am besten ueber www.windowsupdate.com
__________
MfG Ralf
SEO-Spam Hunter

#173 Hallo,

hab dieses Forum bei der Suche nach einem anderen Problem gefunden und wollte mal zu dem Logfile wissen, was einige Punkte bedeuten und ob da irgendetwas dabei ist, was besser nicht dabei sein sollte. Da das System eigentlich neu aufgesetzt ist und ich Mozilla benutze sollte es nicht allzu viel sein, ich weiß allerdings nicht, was auf dem Imagefile dabei war....

Ad-Aware, Spybot und CWShredder hab ich schon drüber laufen lassen....

Logfile of HijackThis v1.97.7
Scan saved at 22:36:30, on 18.01.2004
Platform: Windows XP SP1 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP1 (6.00.2800.1106)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\spoolsv.exe
C:\WINDOWS\Explorer.EXE
C:\WINDOWS\System32\RunDll32.exe
??---> C:\WINDOWS\Dit.exe
C:\Programme\Medion Home Cinema XL II\PowerCinema\PCMService.exe
C:\Programme\ATI Technologies\ATI Control Panel\atiptaxx.exe
??---> C:\WINDOWS\System32\PRISMSTA.EXE
C:\WINDOWS\System32\spool\drivers\w32x86\3\hpztsb04.exe
C:\Programme\AVPersonal\AVGNT.EXE
C:\PROGRA~1\ZONELA~1\ZONEAL~1\zlclient.exe
C:\Programme\D-Tools\daemon.exe
??---> C:\WINDOWS\DitExp.exe
C:\Programme\AVPersonal\AVGUARD.EXE
C:\Programme\AVPersonal\AVWUPSRV.EXE
C:\Programme\CA\SharedComponents\CA_LIC\LogWatNT.exe <--- das könnte ein Überbleibsel einer Deinstallation sein
??---> C:\Programme\Gemeinsame Dateien\Microsoft Shared\VS7Debug\mdm.exe
C:\WINDOWS\system32\ZoneLabs\vsmon.exe
??---> C:\PROGRA~1\COMMON~1\X10\Common\x10nets.exe
C:\Programme\FRITZ!DSL\FritzDsl.exe
C:\Programme\Ashampoo\Ashampoo Media Player+\AMPplus.exe
C:\Programme\ICQ\Icq.exe
C:\Programme\Mozilla1.5\mozilla.exe
C:\Programme\Nettalk6\Nettalk.exe
C:\Dokumente und Einstellungen\xyz\Desktop\HijackThis.exe

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Bar = http://www.medion.com <---kann weg?
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = www.aol.de <---kann weg?
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://www.aldi.com <---kann weg?
??--->O2 - BHO: (no name) - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Programme\Adobe\Acrobat 6.0\Reader\ActiveX\AcroIEHelper.dll
??--->O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINDOWS\System32\msdxm.ocx
??--->O4 - HKLM\..\Run: [Cmaudio] RunDll32 cmicnfg.cpl,CMICtrlWnd
??--->O4 - HKLM\..\Run: [Dit] Dit.exe
O4 - HKLM\..\Run: [PCMService] "C:\Programme\Medion Home Cinema XL II\PowerCinema\PCMService.exe"
O4 - HKLM\..\Run: [ATIPTA] C:\Programme\ATI Technologies\ATI Control Panel\atiptaxx.exe
??--->O4 - HKLM\..\Run: [PRISMSTA.EXE] PRISMSTA.EXE START
O4 - HKLM\..\Run: [HPDJ Taskbar Utility] C:\WINDOWS\System32\spool\drivers\w32x86\3\hpztsb04.exe
O4 - HKLM\..\Run: [AVGCtrl] C:\Programme\AVPersonal\AVGNT.EXE /min
O4 - HKLM\..\Run: [Zone Labs Client] C:\PROGRA~1\ZONELA~1\ZONEAL~1\zlclient.exe
O4 - HKLM\..\Run: [DAEMON Tools-1033] "C:\Programme\D-Tools\daemon.exe" -lang 1033
O4 - HKCU\..\RunOnce: [ICQ] C:\Programme\ICQ\Icq.exe -trayboot
O4 - Startup: FRITZ!web DSL.lnk = C:\Programme\FRITZ!DSL\FritzDsl.exe
O9 - Extra 'Tools' menuitem: Sun Java Konsole (HKLM)
O9 - Extra button: ICQ Pro (HKLM)
O9 - Extra 'Tools' menuitem: ICQ (HKLM)
O9 - Extra button: AIM (HKLM)
O9 - Extra button: Real.com (HKLM)
O9 - Extra button: MedionShop (HKCU)
O14 - IERESET.INF: START_PAGE_URL=http://www.aldi.com <---kann weg?
??--->O16 - DPF: {9F1C11AA-197B-4942-BA54-47A8489BB47F} (Update Class) - http://v4.windowsupdate.microsoft.com/CAB/x86/unicode/iuctl.CAB?37884.393599537
??--->O17 - HKLM\System\CCS\Services\Tcpip\..\{BAE0E1DF-E112-4CBE-8771-F9A86F8EE4D8}: NameServer = 192.168.122.252,192.168.122.253

Bei den Zeilen mit ??---> davor wüsste ich gerne, was, bzw wofür das ist, schon mal einen Schönen Dank im Vorraus.

#174 Die HTTP Sachen koennen drin bleiben. Wenn du sie Fixen solltest, werden sie durch Standardwerte ersetzt.

Diese Sachen:
??--->O2 - BHO: (no name) - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Programme\Adobe\Acrobat 6.0\Reader\ActiveX\AcroIEHelper.dll
??--->O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINDOWS\System32\msdxm.ocx
??--->O4 - HKLM\..\Run: [Cmaudio] RunDll32 cmicnfg.cpl,CMICtrlWnd
??--->O4 - HKLM\..\Run: [Dit] Dit.exe
Kannst du hier nachschauen: http://sysinfo.org

Das O16 - DPF: {9F1C11AA-197B-4942-BA54-47A8489BB47F} (Update Class) - http://v4.windowsupdate.microsoft.com/CAB/x86/unicode/iuctl.CAB?37884.393599537
ist das Windowsupdate ActivX.

Diese Dateien schicke mal an virus@protecus.de :

C:\PROGRA~1\COMMON~1\X10\Common\x10nets.exe
C:\WINDOWS\System32\PRISMSTA.EXE
__________
MfG Ralf
SEO-Spam Hunter

#175 Danke für die Infos erstmal, die Dateien hab ich rausgeschickt, hast du etwas mit der Seite zu tun? Und bekommt man ne Rückmeldung?

MfG Tommy

#176 Ja, ich habe (etwas!) mit der Seite zu tun. Die Dateien gehen direkt an den Betreiber der Seite. Er ist aber auch User hier (Rokop). Dort werden sie erst mal mit mehreren Virenscannern getestet und wenn es nicht anders geht halt ausgefuehrt!

Wenn sich die Dateien als Malware herausstellen, werden sie an diverse AV-Hersteller geschickt.
__________
MfG Ralf
SEO-Spam Hunter

#177 oh man man man (( kann mir denn wirklich keiner helfen (( ich habe gestern nochmal alles was ich fand usw im abgesicherten modus gelöscht usw mit dem nkvd.us blablba usw hab ie voll zu nutze kein ie mehr keine progs finden was auffälliges wenn ich die mistigen IE startseiten links mit cwshredder bzw mit hijackthis lösche is wieder alles weg

@RAMAN

kannst du dich nicht noch irgendwo schlau machen wie ich dieses ding runter bekomm vom pc irgendwo muss eine datei liegen die wohl zeitgesteuert ist oder so bzw ich hab den verdacht das es sich immer wieder bei einer neueinwahl ins internet aktiviert denn jetzt nach meinem 24 std disconnect war der müll wieder da vorher war jetzt seid gestern ruhe wie gesagt habe alles im abgesicherten modus mit allen progs geprüft alle temp ordner gelöscht usw usw und nun wieder das hier: (ich finde einfach net den eintrag der das immer wieder auslöst das kann nur ein einziges file sein irgendwer muss doch die datei wissen)

Logfile of HijackThis v1.97.7
Scan saved at 02:18:05, on 20.01.2004
Platform: Windows 2000 SP4 (WinNT 5.00.2195)
MSIE: Internet Explorer v6.00 SP1 (6.00.2800.1106)

Running processes:
C:\WINNT\System32\smss.exe
C:\WINNT\system32\winlogon.exe
C:\WINNT\system32\services.exe
C:\WINNT\system32\lsass.exe
C:\WINNT\system32\svchost.exe
C:\Programme\Gemeinsame Dateien\Symantec Shared\ccSetMgr.exe
C:\Programme\Gemeinsame Dateien\Symantec Shared\ccEvtMgr.exe
C:\WINNT\system32\spoolsv.exe
C:\WINNT\System32\CTsvcCDA.exe
C:\Programme\Atguard\iamserv.exe
C:\Programme\Norton AntiVirus\navapsvc.exe
C:\Programme\Norton AntiVirus\AdvTools\NPROTECT.EXE
C:\Programme\Norton AntiVirus\SAVScan.exe
C:\WINNT\system32\stisvc.exe
C:\PROGRA~1\TrayMan\ntstart.exe
C:\WINNT\System32\MsPMSPSv.exe
C:\PROGRA~1\TrayMan\trayman.exe
C:\WINNT\System32\svchost.exe
C:\WINNT\Explorer.EXE
C:\Programme\ASUS\Probe\AsusProb.exe
C:\Programme\Gemeinsame Dateien\Symantec Shared\ccApp.exe
C:\Programme\Logitech\MouseWare\system\em_exec.exe
C:\programme\powerstrip\pstrip.exe
C:\WINNT\system32\atiptaxx.exe
C:\Programme\Logitech\iTouch\iTouch.exe
C:\Programme\CpuIdlePro\cpuidle.exe
C:\Programme\Intuwave\Shared\mRouterRunTime\mRouterConfig.exe
C:\Programme\Creative\TaskBar\CTLTray.exe
C:\Programme\Creative\TaskBar\CTLTask.exe
C:\Programme\Intuwave\Shared\mRouterRunTime\mRouterRuntime.exe
C:\Programme\Techlogic\Dialer2000\Dialer2000.exe
D:\NoNameScript3.8\mirc.exe
F:\DE-Browser3\DE-Browser.exe
C:\PROGRA~1\MOZILLA.ORG\FIREBIRD\MOZILL~1.EXE
C:\WINNT\explorer.exe
C:\Programme\Norton AntiVirus\OPScan.exe
D:\hijackthis\HijackThis.exe

R1 - HKCU\Software\Microsoft\Internet Explorer,SearchURL = http://www.nkvd.us/s.htm
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Bar = http://www.nkvd.us/s.htm
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = http://www.nkvd.us/s.htm
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.nkvd.us
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://www.nkvd.us/s.htm
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://www.nkvd.us/s.htm
R1 - HKCU\Software\Microsoft\Internet Explorer\Search,SearchAssistant = http://www.nkvd.us/s.htm
R1 - HKCU\Software\Microsoft\Internet Explorer\Search,CustomizeSearch = http://www.nkvd.us/s.htm
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.nkvd.us
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = http://www.nkvd.us/s.htm
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://www.nkvd.us/s.htm
R0 - HKLM\Software\Microsoft\Internet Explorer\Search,CustomizeSearch = http://www.nkvd.us/s.htm
R0 - HKLM\Software\Microsoft\Internet Explorer\Search,SearchAssistant = http://www.nkvd.us/s.htm
R1 - HKCU\Software\Microsoft\Internet Explorer,Search = http://www.nkvd.us/s.htm
R1 - HKLM\Software\Microsoft\Internet Explorer,Search = http://www.nkvd.us/s.htm
O2 - BHO: (no name) - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Programme\Adobe\Acrobat 5.0\Reader\ActiveX\AcroIEHelper.ocx
O2 - BHO: (no name) - {AA58ED58-01DD-4d91-8333-CF10577473F7} - c:\programme\google\googletoolbar1.dll
O2 - BHO: NAV Helper - {BDF3E430-B101-42AD-A544-FADC6B084872} - C:\Programme\Norton AntiVirus\NavShExt.dll
O3 - Toolbar: FlashGet Bar - {E0E899AB-F487-11D5-8D29-0050BA6940E3} - C:\PROGRA~1\FlashGet\fgiebar.dll
O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINNT\system32\msdxm.ocx
O3 - Toolbar: Norton AntiVirus - {42CDD1BF-3FFB-4238-8AD1-7859DF00B1D6} - C:\Programme\Norton AntiVirus\NavShExt.dll
O3 - Toolbar: &Google - {2318C2B1-4965-11d4-9B18-009027A5CD4F} - c:\programme\google\googletoolbar1.dll
O4 - HKLM\..\Run: [CTStartup] C:\Programme\Creative\Splash Screen\CTEaxSpl.EXE /run
O4 - HKLM\..\Run: [Logitech Utility] Logi_MwX.Exe
O4 - HKLM\..\Run: [ASUS Probe] C:\Programme\ASUS\Probe\AsusProb.exe
O4 - HKLM\..\Run: [ccApp] "C:\Programme\Gemeinsame Dateien\Symantec Shared\ccApp.exe"
O4 - HKLM\..\Run: [Advanced Tools Check] C:\PROGRA~1\NORTON~1\AdvTools\ADVCHK.EXE
O4 - HKLM\..\Run: [PowerStrip] c:\programme\powerstrip\pstrip.exe
O4 - HKLM\..\Run: [AtiPTA] atiptaxx.exe
O4 - HKLM\..\Run: [zBrowser Launcher] C:\Programme\Logitech\iTouch\iTouch.exe
O4 - HKLM\..\Run: [CpuIdle] C:\Programme\CpuIdlePro\cpuidle.exe
O4 - HKLM\..\Run: [mRouterConfig for Siemens Data Suite SX1] C:\Programme\Intuwave\Shared\mRouterRunTime\mRouterConfig.exe
O4 - HKLM\..\Run: [PPMemCheck] C:\Programme\PestPatrol\PPMemCheck.exe
O4 - HKLM\..\Run: [CookiePatrol] C:\Programme\PestPatrol\CookiePatrol.exe
O4 - HKCU\..\Run: [TaskTray] C:\Programme\Creative\TaskBar\CTLTray.exe
O4 - HKCU\..\Run: [TaskBar] C:\Programme\Creative\TaskBar\CTLTask.exe
O4 - Global Startup: EPSON Status Monitor 3.2 Environment Check.lnk = C:\WINNT\system32\spool\drivers\w32x86\3\E_SRCV03.EXE
O4 - Global Startup: SDSScheduler.lnk = C:\Programme\Siemens Data Suite SX1\SDS\SDSScheduler.exe
O8 - Extra context menu item: &Google Search - res://C:\Programme\Google\GoogleToolbar1.dll/cmsearch.html
O8 - Extra context menu item: Alles mit FlashGet laden - C:\Programme\FlashGet\jc_all.htm
O8 - Extra context menu item: Backward &Links - res://C:\Programme\Google\GoogleToolbar1.dll/cmbacklinks.html
O8 - Extra context menu item: Cac&hed Snapshot of Page - res://C:\Programme\Google\GoogleToolbar1.dll/cmcache.html
O8 - Extra context menu item: Mit FlashGet laden - C:\Programme\FlashGet\jc_link.htm
O8 - Extra context menu item: Nach Microsoft &Excel exportieren - res://C:\PROGRA~1\MICROS~2\Office10\EXCEL.EXE/3000
O8 - Extra context menu item: Si&milar Pages - res://C:\Programme\Google\GoogleToolbar1.dll/cmsimilar.html
O8 - Extra context menu item: Translate Page - res://C:\WINNT\GoogleToolbar.dll/cmtrans.html
O9 - Extra 'Tools' menuitem: Sun Java Konsole (HKLM)
O9 - Extra button: FlashGet (HKLM)
O9 - Extra 'Tools' menuitem: &FlashGet (HKLM)
O13 - DefaultPrefix: http://www.nkvd.us/
O13 - WWW Prefix: http://www.nkvd.us/
O13 - Home Prefix: http://www.nkvd.us/
O13 - Mosaic Prefix: http://www.nkvd.us/
O15 - Trusted Zone: http://de.gamesurf.tiscali.de
O15 - Trusted Zone: http://de.trendmicro-europe.com
O15 - Trusted Zone: http://*.windowsupdate.com
O16 - DPF: {0A5FD7C5-A45C-49FC-ADB5-9952547D5715} (Creative Software AutoUpdate) - http://www.creative.com/SU/ocx/12119/CTSUEng.cab
O16 - DPF: {0E5F0222-96B9-11D3-8997-00104BD12D94} (sys Class) - http://pcpitstop.com/pcpitstop/PCPitStop.CAB
O16 - DPF: {166B1BCA-3F9C-11CF-8075-444553540000} (Shockwave ActiveX Control) - http://download.macromedia.com/pub/shockwave/cabs/director/sw.cab
O16 - DPF: {1842B0EE-B597-11D4-8997-00104BD12D94} (iCC Class) - http://pcpitstop.com/internet/pcpConnCheck.cab
O16 - DPF: {26CBF141-7D0F-46E1-AA06-718958B6E4D2} - http://download.ebay.com/turbo_lister/DE/install.cab
O16 - DPF: {2BC66F54-93A8-11D3-BEB6-00105AA9B6AE} (Symantec AntiVirus scanner) - http://security.symantec.com/sscv6/SharedContent/vc/bin/AvSniff.cab
O16 - DPF: {31B7EB4E-8B4B-11D1-A789-00A0CC6651A8} (Cult3D ActiveX Player) - http://www.cult3d.com/download/cult.cab
O16 - DPF: {33564D57-0000-0010-8000-00AA00389B71} - http://download.microsoft.com/download/F/6/E/F6E491A6-77E1-4E20-9F5F-94901338C922/wmv9VCM.CAB
O16 - DPF: {41F17733-B041-4099-A042-B518BB6A408C} - http://a1540.g.akamai.net/7/1540/52/20020909/qtinstall.info.apple.com/sikes/de/win/QuickTimeInstaller.exe
O16 - DPF: {6B4788E2-BAE8-11D2-A1B4-00400512739B} (PWMediaSendControl Class) - http://216.249.24.140/code/PWActiveXImgCtl.CAB
O16 - DPF: {6CB5E471-C305-11D3-99A8-000086395495} - http://toolbar.google.com/data/de/big/1.1.62-big/GoogleNav.cab
O16 - DPF: {74D05D43-3236-11D4-BDCD-00C04F9A3B61} (HouseCall-Kontrolle) - http://a840.g.akamai.net/7/840/537/2003120501/housecall.antivirus.com/housecall/xscan53.cab
O16 - DPF: {8EDAD21C-3584-4E66-A8AB-EB0E5584767D} - http://toolbar.google.com/data/GoogleActivate.cab
O16 - DPF: {917623D1-D8E5-11D2-BE8B-00104B06BDE3} (CamImage Class) - http://www.axis.com/products/camera_servers/AxisCamControl.ocx
O16 - DPF: {9F1C11AA-197B-4942-BA54-47A8489BB47F} (Update Class) - http://v4.windowsupdate.microsoft.com/CAB/x86/unicode/iuctl.CAB?37937.6980092593
O16 - DPF: {AE1C01E3-0283-11D3-9B3F-00C04F8EF466} (HeartbeatCtl Class) - http://fdl.msn.com/zone/datafiles/heartbeat.cab
O16 - DPF: {C2FCEF52-ACE9-11D3-BEBD-00105AA9B6AE} (Symantec RuFSI Registry Information Class) - http://security.symantec.com/sscv6/SharedContent/common/bin/cabsa.cab
O16 - DPF: {CAFEEFAC-0014-0000-0001-ABCDEFFEDCBA} (Java Runtime Environment 1.4.0_01) -
O16 - DPF: {D27CDB6E-AE6D-11CF-96B8-444553540000} (Shockwave Flash Object) - http://download.macromedia.com/pub/shockwave/cabs/flash/swflash.cab
O16 - DPF: {E855A2D4-987E-4F3B-A51C-64D10A7E2479} (EPSImageControl Class) - http://tools.ebayimg.com/eps/activex/EPSControl_v1-32.cab
O16 - DPF: {F6ACF75C-C32C-447B-9BEF-46B766368D29} (Creative Software AutoUpdate Support Package) - http://www.creative.com/SU/ocx/12119/CTPID.cab
O16 - DPF: {F7DC2A2E-FC34-11D3-B1D9-00A0C99B41BB} (Zoom Class) - http://www.zoomify.com/download/zoomify214.cab
O17 - HKLM\System\CCS\Services\Tcpip\..\{487F70C8-3673-4E84-BC89-C79A15FAF6A9}: NameServer = 212.185.255.231 194.25.2.129

es kommt immer wieder und wenn ich mit cwshredder und/oder hijack cleane ist nix mehr da und auch kein einziges anderes programm kein pestpatrol kein norton kein spybotsd nichts findet irgendwas ausser das was immer wieder kommt und von cwshredder bzw hijackthis beseitigt werden kann ((

PLEASE HELP

vielen dank

ich verzweifel noch ((((

#178 help was gehört bei mir nicht hin????


Logfile of HijackThis v1.97.7
Scan saved at 02:22:23, on 20.01.2004
Platform: Windows XP SP1 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP1 (6.00.2800.1106)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\spoolsv.exe
C:\WINDOWS\svchost.exe
C:\WINDOWS\System32\nvsvc32.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\System32\BRMFRSMG.EXE
C:\WINDOWS\Explorer.EXE
C:\WINDOWS\SOUNDMAN.EXE
C:\Programme\QuickTime\qttask.exe
C:\Programme\Common Files\slmss\slmss.exe
C:\Programme\Elaborate Bytes\CloneCD\CloneCDTray.exe
D:\Esel2000\Esel2000.exe
C:\Programme\ICQLite\ICQLite.exe
C:\Program Files\webHancer\Programs\whSurvey.exe
C:\Programme\Sqwire\uc.exe
C:\Programme\Sqwire\cc.exe
C:\WINDOWS\System32\wininit32.exe
C:\WINDOWS\sp.exe
C:\WINDOWS\System32\RUNDLL32.exe
C:\Programme\Internet Explorer\IEXPLORE.EXE
C:\Programme\WinRAR\WinRAR.exe
C:\DOKUME~1\Selim\LOKALE~1\Temp\Rar$EX00.202\HijackThis.exe
C:\DOKUME~1\Selim\LOKALE~1\Temp\Rar$EX00.396\HijackThis.exe

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Bar = http://81.211.105.9/search.php?v=1
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = http://81.211.105.9/index.php?v=1
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://81.211.105.9/index.php?v=1
R0 - HKLM\Software\Microsoft\Internet Explorer\Search,CustomizeSearch =
R0 - HKLM\Software\Microsoft\Internet Explorer\Search,SearchAssistant = http://www.sqwire.com/searchpage.php?aid=3303
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName =
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,SearchAssistant = http://www.websearch.com/ie.aspx?tb_id=76
R3 - URLSearchHook: XTSearchHook Class - {6E6DD93E-1FC3-4F43-8AFB-1B7B90C9D3EB} - C:\Programme\Sqwire\s.dll
O2 - BHO: (no name) - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Programme\Adobe\Acrobat 5.0\Reader\ActiveX\AcroIEHelper.ocx
O2 - BHO: (no name) - {2662BDD7-05D6-408F-B241-FF98FACE6054} - C:\Programme\Sqwire\u.dll
O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINDOWS\System32\msdxm.ocx
O3 - Toolbar: &Search Toolbar - {57E69D5A-6539-4d7d-9637-775DE8A385B4} - C:\Programme\Sqwire\t.dll
O4 - HKLM\..\Run: [SoundMan] SOUNDMAN.EXE
O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\System32\NvCpl.dll,NvStartup
O4 - HKLM\..\Run: [nwiz] nwiz.exe /install
O4 - HKLM\..\Run: [Microsoft Inet Xp..] teekids.exe
O4 - HKLM\..\Run: [Srng] C:\Programme\Srng\Srng.exe
O4 - HKLM\..\Run: [QuickTime Task] "C:\Programme\QuickTime\qttask.exe" -atboottime
O4 - HKLM\..\Run: [slmss] C:\Programme\Common Files\slmss\slmss.exe
O4 - HKLM\..\Run: [ClrSchLoader] C:\Programme\ClearSearch\Loader.exe
O4 - HKLM\..\Run: [UpdateStats] C:\Programme\Media\Media\UpdateStats.exe
O4 - HKLM\..\Run: [Mwsvm] C:\WINDOWS\mwsvm.exe
O4 - HKLM\..\Run: [CloneCDTray] C:\Programme\Elaborate Bytes\CloneCD\CloneCDTray.exe
O4 - HKLM\..\Run: [ElbyCheckElbyCDFL] "C:\Programme\Elaborate Bytes\CloneCD\ElbyCheck.exe" /L ElbyCDFL
O4 - HKLM\..\Run: [Esel2000] D:\Esel2000\Esel2000.exe -t
O4 - HKLM\..\Run: [ICQ Lite] C:\Programme\ICQLite\ICQLite.exe -minimize
O4 - HKLM\..\Run: [New.net Startup] rundll32 C:\PROGRA~1\NEWDOT~1\NEWDOT~2.DLL,NewDotNetStartup
O4 - HKLM\..\Run: [stcloader] C:\WINDOWS\System32\stcloader.exe
O4 - HKLM\..\Run: [webHancer Survey Companion] "C:\Program Files\webHancer\Programs\whSurvey.exe"
O4 - HKLM\..\Run: [SQUpdatesChecker] C:\Programme\Sqwire\uc.exe
O4 - HKLM\..\Run: [SQConfigChecker] C:\Programme\Sqwire\cc.exe
O4 - HKLM\..\Run: [SysInit] wininit32.exe -drivers
O4 - HKLM\..\RunServices: [SysInit] wininit32.exe -drivers
O4 - HKCU\..\Run: [sp] C:\WINDOWS\sp.exe
O4 - HKCU\..\Run: [SysInit] wininit32.exe -drivers
O4 - HKLM\..\RunOnce: [tlc] C:\WINDOWS\update12.js
O4 - HKCU\..\RunOnce: [ICQ Lite] C:\Programme\ICQLite\ICQLite.exe -trayboot
O4 - Global Startup: Microsoft Office.lnk = C:\Programme\Microsoft Office\Office10\OSA.EXE
O4 - Global Startup: Quicken 2003 Zahlungserinnerung.lnk = E:\Programme\Quicken2003\billmind.exe
O8 - Extra context menu item: &Add animation to IncrediMail Style Box - C:\PROGRA~1\INCRED~1\bin\resources\WebMenuImg.htm
O8 - Extra context menu item: Nach Microsoft &Excel exportieren - res://C:\PROGRA~1\MICROS~2\Office10\EXCEL.EXE/3000
O9 - Extra button: ICQ Lite (HKLM)
O9 - Extra 'Tools' menuitem: ICQ Lite (HKLM)
O9 - Extra button: Related (HKLM)
O9 - Extra 'Tools' menuitem: Show &Related Links (HKLM)
O9 - Extra button: Messenger (HKLM)
O9 - Extra 'Tools' menuitem: Messenger (HKLM)
O16 - DPF: MynetMiniSohbet - http://irc.mynet.com/java/smallcr.cab
O16 - DPF: MynetSohbet - http://irc.mynet.com/java/cr.cab
O16 - DPF: {02BF25D5-8C17-4B23-BC80-D3488ABDDC6B} (QuickTime Object) - http://www.apple.com/qtactivex/qtplugin.cab
O16 - DPF: {0DF86CB3-1923-11D5-B470-0050BA1B3C6F} (JpegServerPushControl Class) - http://217.6.17.16/ConvisionVideo.cab
O16 - DPF: {13197ACE-6851-45C3-A7FF-C281324D5489} - http://www.2nd-thought.com/files/install022.exe
O16 - DPF: {166B1BCA-3F9C-11CF-8075-444553540000} (Shockwave ActiveX Control) - http://download.macromedia.com/pub/shockwave/cabs/director/sw.cab
O16 - DPF: {1D4DB7D2-6EC9-47A3-BD87-1E41684E07BB} - http://imgfarm.com/images/nocache/funwebproducts/SmileyCentralInitialSetup1.0.0.5.cab
O16 - DPF: {26E8361F-BCE7-4F75-A347-98C88B418322} - http://dst.trafficsyndicate.com/Dnl/T_76/QDow.cab
O16 - DPF: {33564D57-0000-0010-8000-00AA00389B71} - http://download.microsoft.com/download/F/6/E/F6E491A6-77E1-4E20-9F5F-94901338C922/wmv9VCM.CAB
O16 - DPF: {3C5BA506-6C30-4738-9CED-797ACADEA8DC} (Loader Class) - http://www.sqwire.com/toolbar/SQLoader3303.cab
O16 - DPF: {62475759-9E84-458E-A1AB-5D2C442ADFDE} - http://a1540.g.akamai.net/7/1540/52/20030625/qtinstall.info.apple.com/abarth/de/win/QuickTimeInstaller.exe
O16 - DPF: {6EB5B540-1E74-4D91-A7F0-5B758D333702} (nCaseInstaller Class) - http://bis.180solutions.com/activexinstallers/Installer/nCaseInstaller.cab
O16 - DPF: {93829908-07C2-44A2-95DB-F78F201A9B48} - http://adblock.linkz.com/APHelper.dll
O16 - DPF: {9F1C11AA-197B-4942-BA54-47A8489BB47F} (Update Class) - http://v4.windowsupdate.microsoft.com/CAB/x86/unicode/iuctl.CAB?37874.2977199074
O16 - DPF: {A1DC3241-B122-195F-B21A-000000000000} - http://ilsearch.com/download/free_plugin.exe
O16 - DPF: {CA034DCC-A580-4333-B52F-15F98C42E04C} (Downloader Class) - https://www.stopzilla.com/_download/Auto_Installer/dwnldr.cab
O16 - DPF: {D27CDB6E-AE6D-11CF-96B8-444553540000} (Shockwave Flash Object) - http://download.macromedia.com/pub/shockwave/cabs/flash/swflash.cab
O16 - DPF: {D8089245-3211-40F6-819B-9E5E92CD61A2} (FlashXControl Object) - https://de.jackpotcity.microgaming.com/de.jackpotcity/FlashAX.cab
O16 - DPF: {F57D17AE-CE37-4BC8-B232-EA57747BE5E7} - http://66.230.146.53/EPlugin.cab
O16 - DPF: {FC3A74E5-F281-4F10-AE1E-733078684F3C} (Downloader Class) - http://www.2020search.com/toolbar/2020Search.cab
O17 - HKLM\System\CCS\Services\Tcpip\..\{CB3CAA8B-8F6D-43F2-B504-CE354792F01B}: NameServer = 194.8.194.60 213.168.112.60

#179 Du brauchst alles: cwshredder, adaware und Spybot alles herunterladen installieren updaten und deinen rechner reinigen lassen. Poste danach och mal ein Hijackthis log. Infos, wo du diese Programme finden kannst, gibt es hier:
http://board.protecus.de/t7408.htm
__________
MfG Ralf
SEO-Spam Hunter

#180

Zitat

raman postete
Du brauchst alles: cwshredder, adaware und Spybot alles herunterladen installieren updaten und deinen rechner reinigen lassen. Poste danach och mal ein Hijackthis log. Infos, wo du diese Programme finden kannst, gibt es hier:
http://board.protecus.de/t7408.htm

falls du mich meinst ich habe alles - windows sind alle updates drauf ich hab folgendes alles aktuell... norton 2004, ad-aware, spybotSD, cwshredder, hijackthis, pestpatrol, the cleaner, TDS3, der ganze schmodder lief gestern im abgesicherten extra durch und nur cwshredder fand wie schon mal in nem oberen posting beschrieben die 17 infizierten registry einträge - übrigens ersetzte ich alle registry einträge im abgesicherten nach allen scan und lösch durchläufen dann mit dem IE REGPATCH den du mir gegeben hast

wie gesagt nach wie vor findet nur nach einiger zeit cwshredder 17 infizierte registry einträge und hijackthis halt das was ich postete... was aber die 17 dateien sind die cwshredder findet...

ganz am anfang als ich das vieh neu hatte - hatte ich eine ctrlpan.dll auf dem system die ich löschte und die nicht mehr wieder kam by symantec fand ich dann dazu was unter trojan.bookmaker.B nur der ändert den IE auf webcoolsearch das is bei mir ja nicht der fall sondern wenn die startseite aufgeht lande ich auf smart-finder.biz

ich hab auch dort alles wie beschrieben gesucht aber eigentlich von alle dem nichts gefunden in meiner registry ausser halt die veränderten einträge von startseite search seite usw... !

bei technical detail punkt 3. ist die sprache von add the value "control" = "<number>"

note: <number> is genereted from the system time - aber in dem reg schlüssel finde auch einen solchen eintrag nicht!