Browser Hijacker beim öffnen der Windows Hilfe [F1]

#1 Hallo,

vollgendes Problem habe schon seit einer ewigkeit
son ding auf meinem Rechner und bekomme dieses
auch anscheinenend nicht mehr runter :(

Also Ad-aware findet reg einträge und ne .dll in system32
nachdem der Comp. neu gestartet ist löscht Ad-aware
diese und sie scheinen weg zu sein
AntiVir findet son "Page"trojaner und löscht diesen auch.
CWShredder findet Restoring Internet Exp... pages und
killt diese
Danach findet HijackThis nix mehr...

Lass ich den Comp aber ne Weile an... is wieder alles beim
alten der Browser hat ne neue Searchsite, HijackThis findet
wieder was ect..

Durch Zufall hab ich vorhin F1 gedrückt und dabei öffneten sich
2 gleiche Popup's wo steht (in en) das ich mir n AntiSpy Programm
runterladen soll.
Nachdem ich mal wieder CWShredder durchlaufen lasse kommts
nicht mehr (momentan)

Aber in ein paar Stunden wird auch dies wieder zu sehen sein :(

Achja Spybot,SpywareBlaster finden nix (alles upgedated)

Wenn jemand noch ne guten Prog gegen das zeug's kennt kanna ja
mal mitteilen...(oder ne sonstige Idee hat)

Thx im vorraus :)

MfG
S.T.

#2 Poste bitte mal ein Hijackthis log www.hjt.klaffke.de
__________
MfG Ralf
SEO-Spam Hunter

#3 http://www.mwti.net/antivirus/free_utilities.asp
mwav.exe laden, scannen, manuell loeschen, was das Tool nicht beseitigt.
Mfg
Sabina
__________
MfG Sabina

rund um die PC-Sicherheit

#4 Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\SYSTEM32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\spoolsv.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\explorer.exe
C:\Programme\HijackThis\HijackThis.exe

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Bar = res://C:\WINDOWS\System32\mhalf.dll/sp.html (obfuscated)
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = res://C:\WINDOWS\System32\mhalf.dll/sp.html (obfuscated)
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = about:blank
R1 - HKCU\Software\Microsoft\Internet Explorer\Search,SearchAssistant = res://C:\WINDOWS\System32\mhalf.dll/sp.html (obfuscated)
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = about:blank
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Bar = res://C:\WINDOWS\System32\mhalf.dll/sp.html (obfuscated)
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = res://C:\WINDOWS\System32\mhalf.dll/sp.html (obfuscated)
R0 - HKLM\Software\Microsoft\Internet Explorer\Search,SearchAssistant = res://C:\WINDOWS\System32\mhalf.dll/sp.html (obfuscated)
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,HomeOldSP = about:blank
O2 - BHO: (no name) - {BD3628C3-74B9-4075-AB23-39AFC4D5A1EB} - C:\WINDOWS\System32\mhalf.dll
O4 - HKLM\..\Run: [Zone Labs Client] C:\PROGRA~1\ZONELA~1\ZONEAL~1\zlclient.exe
O8 - Extra context menu item: &NeoTrace It! - C:\PROGRA~1\NEOTRA~1\NTXcontext.htm
O9 - Extra 'Tools' menuitem: Sun Java Console (HKLM)
O9 - Extra button: ICQ Pro (HKLM)
O9 - Extra 'Tools' menuitem: ICQ (HKLM)
O9 - Extra button: NeoTrace It! (HKCU)
O17 - HKLM\System\CCS\Services\Tcpip\..\{9FF539DC-F0A6-4841-9FC5-DFA689E639C1}: NameServer = 192.168.0.1
O17 - HKLM\System\CS1\Services\Tcpip\..\{9FF539DC-F0A6-4841-9FC5-DFA689E639C1}: NameServer = 192.168.0.1
O17 - HKLM\System\CS2\Services\Tcpip\..\{9FF539DC-F0A6-4841-9FC5-DFA689E639C1}: NameServer = 192.168.0.1


Der Name der .dll ändert sich aber immer nachdem ich sie gelöscht hab.
Eine Firewall sitzt auch vor dem Rechner... achja der Comp. braucht
keine INet verbindung und das Ding kommt trotzdem wieder

#5 Hi Skitus

Probier mal das
http://www.trojaner-info.de/anleitungen/hijackthis/yellow_page.html
Bitte haargenau nach Anleitung vorgehen.

Wenn's nicht klappt
1. auf jeden Fall wieder melden/posten
2. Dort sollst du in Schritt 4 nach "61c00000" suchen
such statt dessen mal nach "2ae60000"
Wenn gefunden dann Name der DLL posten

Gruß paff
__________
http://www.downclockers.com/ourforum/index.php?board=71.0 Reverse Engineering Malware

#6 Zusaetzlich zu @Paffs Anleitung:

Lade folgende Programme

-----------------------------------------------------------------------------
http://lavasoft.element5.com/german/support/download/
http://beam.to/spybotsd
http://www.spywareremove.com/

Den CWSHREDDER findest du hier: http://www.spywareinfo.com/~merijn/junk/CWShredder.exe

Fixe mit dem HijackThis:

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Bar = res://C:\WINDOWS\System32\mhalf.dll/sp.html (obfuscated)
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = res://C:\WINDOWS\System32\mhalf.dll/sp.html (obfuscated)
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = about:blank
R1 - HKCU\Software\Microsoft\Internet Explorer\Search,SearchAssistant = res://C:\WINDOWS\System32\mhalf.dll/sp.html (obfuscated)
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = about:blank
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Bar = res://C:\WINDOWS\System32\mhalf.dll/sp.html (obfuscated)
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = res://C:\WINDOWS\System32\mhalf.dll/sp.html (obfuscated)
R0 - HKLM\Software\Microsoft\Internet Explorer\Search,SearchAssistant = res://C:\WINDOWS\System32\mhalf.dll/sp.html (obfuscated)
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,HomeOldSP = about:blank
O2 - BHO: (no name) - {BD3628C3-74B9-4075-AB23-39AFC4D5A1EB} - C:\WINDOWS\System32\mhalf.dll

O8 - Extra context menu item: &NeoTrace It! - C:\PROGRA~1\NEOTRA~1\NTXcontext.htm

#starte neu

#Scanne mit den Tools

#saeubere den IE mit Webwasher
http://www.zdnet.de/downloads/programs/a/f/de000PAF_is-wc.html

#Stelle unter InternetOptionen die Startseite neu ein.

#aktualisiere den IE (falls es noch nicht geschehen ist)
http://www.microsoft.com/windows/ie_intl/de/ie6sp1.asp

#lAade Antivir(free)
http://www.free-av.com/

Poste das Log noch einmal.
MfG
Sabina

__________
MfG Sabina

rund um die PC-Sicherheit