Startseite im IE verändert sich permanent selbst

#61 Hi fixe bitte das hier



O4 - HKLM\..\Run: [PutAS!] C:\WINDOWS\Puta!!.com
O4 - HKLM\..\Run: [Spees3] C:\WINDOWS\Speedy.pif
O4 - HKLM\..\Run: [Spees1] C:\WINDOWS\Speedy.scr
O4 - HKLM\..\Run: [Brasil] C:\WINDOWS\Brasil.pif
O14 - IERESET.INF: START_PAGE_URL=http://www.soneraplaza.fi


Das kann muß aber nicht
O4 - HKLM\..\Run: [TkBellExe] "C:\Programme\Gemeinsame Dateien\Real\Update_OB\realsched.exe" -osboot
O4 - Startup: Microsoft Office.lnk = C:\Programme\Microsoft Office\Office\OSA9.EXE
O4 - Startup: Adobe Gamma Loader.exe.lnk = C:\Programme\Gemeinsame Dateien\Adobe\Calibration\Adobe Gamma Loader.exe
O4 - Startup: Microsoft Office.lnk = C:\Programme\Microsoft Office\Office\OSA9.EXE
__________
http://www.downclockers.com/ourforum/index.php?board=71.0 Reverse Engineering Malware

#62 Danke dir Raman :-)

Hast du sonst noch eine Idee zu meinen gametwist-Problemen?

Grüsse
Finloewe[/b]

#63 Hast du dir das Passwort mal zuschicken lassen? Wenn ich mir die Homepage so ansehe, ist die noch im Testbetrieb. Vieleicht liegt das Porblem ja auf deren Seite. Sonst versuche mal einen alternativen Browser wie Firefox(Mozilla): http://www.mozilla.org/products/firefox/
__________
MfG Ralf
SEO-Spam Hunter

#64 Hatte vorher noch nie Probleme. Erst seitdem ich den IstBar hatte, sprich seit gestern abend.

Werde mal einem Freund meine Zugangsdaten geben, so dass er sich mal von seinem Rechner einloggen kann.

Hatte mir zudem das Passwort nochmal zuschicken lassen - alles ok. Gibt auch keine Fehlermeldung raus, dass das Passwort falsch ist, sondern lädt die Login-Seite neu hoch.

Aber danke für den Tip mit Firefox.

MfG
Finloewe

#65 Du kannst ja mal kontrollieren, ob die Sicherheitseinstellungen fuer das Internet auf Mittel steht. Alle Updates fuer denIE hast du installiert?

BTW> Cache und Cookies geloescht?
__________
MfG Ralf
SEO-Spam Hunter

#66 Alles gemacht. Nochmal den IE neu raufgespielt und komplettes update gemacht. Zudem hab ich einen JAVA-Test gemacht und auch hier auf den neuesten Stand gebracht. Cookies aktiviert und alle TempIntFiles + offline gelöscht...wirklich alles probiert...

Habe einem Freund meine Login-Codes gegeben & umgekehrt -> er konnte sich mit meinen Daten einloggen, ich mich mit seinen nicht.

Auch die Hinweise auf der gametwist-Seite funzen nicht:
http://www.greentube.com/g_help/

Hat noch jemand eine Idee?

Danke und Grüsse
Finloewe

#67 @Raman

Ich habe mal in richtung Norton weiter geforscht hat alles nichts gebracht, aber das Problem ist trotzdem gelöst, hab einfach die Festplatte Formatiert.

Trotzdem danke für die Hilfe

#68 Hallo,

auch ich habe dieses Problem. Hab mir das jetzt alles 3 mal durchgelesen und versteh aber immer noch leider nur Bahnhof. Liegt aber auch daran, das ich mich allgemein mit Computer, Software usw. nicht auskenne. Aber eines hab ich verstanden :-) und zwar hab ich jetzt so nen Scan gemacht und folgendes dabei herausbekommen


Logfile of HijackThis v1.97.7
Scan saved at 05:58:20, on 17.02.2004
Platform: Windows XP (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 (6.00.2600.0000)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\spoolsv.exe
C:\WINDOWS\System32\ctfmon.exe
C:\WINDOWS\System32\nvsvc32.exe
C:\WINDOWS\explorer.exe
C:\WINDOWS\System32\svchost.exe
D:\Spiele\NovaLogic\Delta Force Black Hawk Down\dfbhd.exe
C:\Dokumente und Einstellungen\Hellnight\Desktop\HijackThis.exe
C:\Programme\Internet Explorer\iexplore.exe

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Bar = http://81.211.105.43/search.php?v=5
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = http://81.211.105.43/index.php?v=5
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://81.211.105.43/index.php?v=5
O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINDOWS\System32\msdxm.ocx
O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\System32\NvCpl.dll,NvStartup
O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\ctfmon.exe
O9 - Extra button: ICQ Pro (HKLM)
O9 - Extra 'Tools' menuitem: ICQ (HKLM)
O9 - Extra button: Related (HKLM)
O9 - Extra 'Tools' menuitem: Show &Related Links (HKLM)
O16 - DPF: {AE1C01E3-0283-11D3-9B3F-00C04F8EF466} (HeartbeatCtl Class) - http://fdl.msn.com/zone/datafiles/heartbeat.cab
O16 - DPF: {D27CDB6E-AE6D-11CF-96B8-444553540000} (Shockwave Flash Object) - http://download.macromedia.com/pub/shockwave/cabs/flash/swflash.cab


Wie ich einige Beiträge vorher schon gelesen habe, ist das nicht wirklich viel oder? Leider zeigt der mir aber nur das an. Auf jeden Fall ändert sich meine Startseite im IE immer in diese dapischen Searchseiten. Kann mir vielleicht jemand weiterhelfen?

Liebe Grüße LittleOne

P.S.: Eine Frage hätte ich da aber noch, soviel ich verstanden habe, ist das doch ein trojaner oder? Kann man denn nicht gegen die macher der Seite vorgehen?

#69 Nutze mal die Tipps von dieser Seite: http://board.protecus.de/t9373.htm

besonders den Teil mit CWshredder.
__________
MfG Ralf
SEO-Spam Hunter

#70 Hallo. ich habe hier ein Problem mit meinem rechner. wenn ich mit NortonAntiVirus einen Systemcheck durchführe, werden mir die folgenden potenziellen bedrohungen angezeigt, die sich nicht löschen lassen:
C:\Windows\msgcfj.dll
C:\Windows\NavExt.dll
bis vor kurzem hatte ich auch noch das problem mit der startseite searchspace im IE. habs aber mit CWShredder gelöst. dabei wurde die datei C:\Windows\winlogon.exe gelöscht, die sowieso doppelt vorhanden war. sie wurde mir bis dahin auch als potenzielle bedrohung angezeigt. aber die beiden dinger da oben sind immer noch da. ich habe mal HiJackThis durchlaufen lassen und mir wird folgendes in der Log-Datei angezeigt:


Logfile of HijackThis v1.97.7
Scan saved at 14:34:47, on 28.02.2004
Platform: Windows XP SP1 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP1 (6.00.2800.1106)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\Programme\Gemeinsame Dateien\Symantec Shared\ccSetMgr.exe
C:\Programme\Gemeinsame Dateien\Symantec Shared\ccEvtMgr.exe
C:\WINDOWS\system32\spoolsv.exe
C:\Programme\Gemeinsame Dateien\Microsoft Shared\VS7Debug\mdm.exe
C:\Programme\Norton AntiVirus\navapsvc.exe
C:\Programme\Norton AntiVirus\AdvTools\NPROTECT.EXE
C:\WINDOWS\System32\nvsvc32.exe
C:\Programme\Norton AntiVirus\SAVScan.exe
C:\WINDOWS\Explorer.EXE
C:\WINDOWS\Dit.exe
C:\WINDOWS\SOUNDMAN.EXE
C:\Programme\Classic PhoneTools\CapFax.EXE
C:\Programme\Medion\PowerCinema\My_TV\Agent.exe
C:\Programme\Browser mouse\1.0\mouse32a.exe
C:\Programme\MultiMedia Keyboard\MultiMedia Keyboard\1.1\KbdAp32A.exe
C:\Programme\Ahead\InCD\InCD.exe
C:\Programme\Winamp3\winampa.exe
C:\Programme\Gemeinsame Dateien\Microsoft Shared\Works Shared\WkUFind.exe
C:\Programme\D-Tools\daemon.exe
C:\WINDOWS\System32\spool\drivers\w32x86\3\hpztsb06.exe
C:\Programme\QuickTime\qttask.exe
C:\Programme\Gemeinsame Dateien\Symantec Shared\ccApp.exe
C:\WINDOWS\DitExp.exe
C:\Programme\ICQ\ICQ.exe
C:\Programme\BoostMe\boostme.exe
C:\Programme\Internet Explorer\iexplore.exe
C:\Programme\Messenger\msmsgs.exe
C:\WINDOWS\System32\ctfmon.exe
C:\Dokumente und Einstellungen\Thorsten\Desktop\Sicherheit\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.google.de/
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://www.medion.de
O2 - BHO: (no name) - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Programme\Adobe\Acrobat 5.0\Reader\ActiveX\AcroIEHelper.ocx
O2 - BHO: NAV Helper - {BDF3E430-B101-42AD-A544-FADC6B084872} - C:\Programme\Norton AntiVirus\NavShExt.dll
O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINDOWS\System32\msdxm.ocx
O3 - Toolbar: Norton AntiVirus - {42CDD1BF-3FFB-4238-8AD1-7859DF00B1D6} - C:\Programme\Norton AntiVirus\NavShExt.dll
O4 - HKLM\..\Run: [NeroCheck] C:\WINDOWS\system32\NeroCheck.exe
O4 - HKLM\..\Run: [Dit] Dit.exe
O4 - HKLM\..\Run: [SoundMan] SOUNDMAN.EXE
O4 - HKLM\..\Run: [CapFax] C:\Programme\Classic PhoneTools\CapFax.EXE
O4 - HKLM\..\Run: [Agent] C:\Programme\Medion\PowerCinema\My_TV\Agent.exe
O4 - HKLM\..\Run: [FLMMOUSE] C:\Programme\Browser mouse\1.0\mouse32a.exe
O4 - HKLM\..\Run: [LWBKEYBOARD] C:\Programme\MultiMedia Keyboard\MultiMedia Keyboard\1.1\KbdAp32A.exe
O4 - HKLM\..\Run: [InCD] C:\Programme\Ahead\InCD\InCD.exe
O4 - HKLM\..\Run: [WinampAgent] "C:\Programme\Winamp3\winampa.exe"
O4 - HKLM\..\Run: [Microsoft Works Update Detection] C:\Programme\Gemeinsame Dateien\Microsoft Shared\Works Shared\WkUFind.exe
O4 - HKLM\..\Run: [DAEMON Tools-1033] "C:\Programme\D-Tools\daemon.exe" -lang 1033
O4 - HKLM\..\Run: [HPDJ Taskbar Utility] C:\WINDOWS\System32\spool\drivers\w32x86\3\hpztsb06.exe
O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\System32\NvCpl.dll,NvStartup
O4 - HKLM\..\Run: [nwiz] nwiz.exe /install
O4 - HKLM\..\Run: [QuickTime Task] "C:\Programme\QuickTime\qttask.exe" -atboottime
O4 - HKLM\..\Run: [Mirabilis ICQ] C:\Programme\ICQ\ICQNet.exe
O4 - HKLM\..\Run: [ccApp] "C:\Programme\Gemeinsame Dateien\Symantec Shared\ccApp.exe"
O4 - HKLM\..\Run: [Advanced Tools Check] C:\PROGRA~1\NORTON~1\AdvTools\ADVCHK.EXE
O4 - HKCU\..\RunOnce: [ICQ] C:\Programme\ICQ\ICQ.exe -trayboot
O4 - Startup: BoostMe! 2000.lnk = C:\Programme\BoostMe\boostme.exe
O4 - Global Startup: Microsoft Office.lnk = C:\Programme\Microsoft Office\Office10\OSA.EXE
O9 - Extra button: ICQ Pro (HKLM)
O9 - Extra 'Tools' menuitem: ICQ (HKLM)
O9 - Extra button: Related (HKLM)
O9 - Extra 'Tools' menuitem: Show &Related Links (HKLM)
O9 - Extra button: MedionShop (HKCU)
O12 - Plugin for .spop: C:\Programme\Internet Explorer\Plugins\NPDocBox.dll
O14 - IERESET.INF: START_PAGE_URL=http://www.medion.de
O16 - DPF: {02BF25D5-8C17-4B23-BC80-D3488ABDDC6B} (QuickTime Object) - http://www.apple.com/qtactivex/qtplugin.cab
O16 - DPF: {31B7EB4E-8B4B-11D1-A789-00A0CC6651A8} (Cult3D ActiveX Player) - http://www.cult3d.com/download/cult.cab
O16 - DPF: {56336BCB-3D8A-11D6-A00B-0050DA18DE71} - http://207.188.7.150/01df77fc544611e6f319/netzip/RdxIE2.cab
O16 - DPF: {9F1C11AA-197B-4942-BA54-47A8489BB47F} (Update Class) - http://v4.windowsupdate.microsoft.com/CAB/x86/unicode/iuctl.CAB?38042.155625
O16 - DPF: {E0B795B4-FD95-4ABD-A375-27962EFCE8CF} (StarInstall Control) - http://install.serviceurl.de/StarInstall.ocx


könnt ihr euch das bitte mal ansehen und mir evtl. sagen was ich da jetzt löschen muss/kann/soll?

wäre euch sehr dankbar.

Thorsten

#71

Zitat

LAJU postete
was soll ich denn unter http://www.hji.klaffke.de nachlesen???

Zitat

raman postete
Eigentlich sollte da eine Anleitung zu Hijackthis stehen, aber er soll wohl gerade daran arbeiten.

Zwar etwas spät, aber zur Info: durch den Tippfehler in der URL (hji statt hjt) erfolgte eine Umleitung auf die Hauptseite.

#72 Hallo,
ich habe mir einen Hijacker der übelsten Sorte eingefangen.
Es handelt sich um eine Startseite mit dem Namen --Search For...--die ich nicht mehr löschen kann ,wenn ich sie gefunden und entfernt habe ,kommt sie nach einem Tag wieder.
Nichts zu machen.
Probiert habe ich schon,
CWSchredder
Hijack This
Spoon weg
Spybot
Ad Aware
Spyhunter
Tune up Utilitys
Purge IE
Sysclean und
Win Patrol,
aber leider ohne Erfolg, der kommt immer wieder zurück.
Habe im Beitrag von Joey schon das gleiche Thema gefunden http://www.hwe-forum.de/index.php?board=24;action=display;threadid=4636
aber das funktioniert auch nicht ,wenn ich den Befehl (del C:\WINDOWS\SYSTEM32\????.DLL)
in die cmd eingebe, bekomme ich die antwort --Datei nicht gefunden--.
Und seit heute kommt noch dazu das Win Patrol mir immer sagt
das sich eine neue Helper.exe installiert ,der Name ist --eodgj.dll--
Viel Ahnung habe ich nicht von all diesen Sachen, aber ich brauche
dringend Hilfe um diesen Hijacker zu entfernen!!!!!!!!!!!!

Dies ist eine neue Art von Internetnötigung.

Immer wenn ich die --.dll-- lösche, kommt eine neue.
Die erste war ,eobgj.dll dann kam nach dem löschen pcah.dll ,
und nun ist es die pkjahlb.dll, und heute ist es die obj.dll.
Ich bekomme diese nachricht immer von Win Patrol ,das sich meine IE helper Datei verändert hat zu :::::::.dll ,immer ne neue.

habe jetzt im Abgesicherten Modus ,mit abgeschalteter Systemwiederherstellung
CWShredder
Hijack This
Spybot
Win Patrol
Sysclean
Ad Aware
Purge IE und
Norton durchlaufen lassen (alle auf dem neuesten Stand).

Hat nichts gebracht alles wieder da,lese aber in eienm anderen Forum von --dll.cache löschen.
Hört sich gut an ,müsste nur wissen wie man das macht , weil ich nicht soviel davon verstehe.

So hab ich es gemacht -Auf dem Desktop Arbeitsplatz angeklickt
-Festplatte (C geöffnet
-Ordner WINDOWS geöffnet
-in Ordner WINDOWS Ordner system32 geöffnet
-in dem Ordner system 32 sollte sich jetzt auch der Ordner dllcache befinden ,ist aber nicht zu finden.
Alle Ordner die mit D anfangen haben den Namen--Data--Defaults--dhcp--Direct X--drivers.
Unter Start suchen habe ich auch nichts gefunden

Wenn ich Hijack This benutze kann ich die BHO´s nicht mit dieser seite
http://www.sysinfo.org/bholist.php vergleichen weil sie dort nicht aufgeführt
sind!!!!!!!
Kann meine Hijack This Liste jetzt leider nicht posten da ich das ding ersteinmal wieder mit CWShredder verbannt habe also für ne Stunde oder so.

#73 Hi gabbo

Probier das mal
http://www.pchell.com/support/look2me.shtml

den 2.ten Abschnitt
lad dir mal
http://download.broadbandmedic.com/VbStuff/VX2Finder.exe
und den
http://download.broadbandmedic.com/VbStuff/KillBox.zip

und ausprobieren

Gruß paff
__________
http://www.downclockers.com/ourforum/index.php?board=71.0 Reverse Engineering Malware

#74 Das ist hier auch schon ein paar mal vorgekommen. Poste bei gelegenheit mal dein Log, nur um zu sehen, was sich da noch so herumtreibt.
Was genau meldet dir winpatrol? Was machst du zu dem Zeitpunkt als es das sagt.
__________
MfG Ralf
SEO-Spam Hunter

#75 LittleOne

Geh in den abgesicherten Modus und fixe

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Bar = http://81.211.105.43/search.php?v=5
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = http://81.211.105.43/index.php?v=5
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://81.211.105.43/index.php?v=5

Lade den CWShredder und scanne...fixe ebenfalls im abgesicherten Modus.
http://board.protecus.de/t9373.htm

Lade AdAware (free) .....updaten !
http://download.com.com/3000-8022-10214379.html?tag=lst-3-8

Lade ClearProg und saeubere damit den Browser
http://www.clearprog.de/
Dann stellst du unter Internet-Optionen die Startseite neu ein,

Lade als Zweitbrowser den Firefox...ist viel sicherer
http://www.firebird-browser.de/

MfG
Sabina
__________
MfG Sabina

rund um die PC-Sicherheit