[kunde_i]

Hallo,

ich habe mir einen sehr hartnäckigen virus oder spyware eingefangen. Vielleicht kann mir hier jemand helfen.

Vielen dank schon im voraus für diejenigen die sich hier gedanken machen und vor allem, denen die mir helfen können.

Hier die beschreibung

- beim hochfahren starte unmotiviert immer der windows media player
- ie-explorer starte immer mit einer nicht gewollten seite
- norton antivirus lässt sich nicht strten
- msconfig lässt sich nicht starten
- bankprogramm bringt meldung „programm läuft bereits“
- ie-explorer und netscape, brechen zusammen sobald man auf seiten geht wo
man spyware programme runterladen kann
- im explorer zeigt er mir programme oder logs von hijackthis und spybot gar
nicht erst an, als wenn sie nicht auf dem rechner wären
- ich habe spuybot und ad-aware durchlaufen lassen (im abgesicherten modus),
sowie div. Virenscanner, sie finden eine ganze menge, das problem ist aber nicht
weg

hier nun das logfile (ich hatte da schon eine menge offensichtlicher sachen gefixt, traue mich aber an bestimmte sachen nicht ran.)

Logfile of HijackThis v1.98.2
Scan saved at 13:16:12, on 20.08.2004
Platform: Windows 2000 SP4 (WinNT 5.00.2195)
MSIE: Internet Explorer v6.00 SP1 (6.00.2800.1106)

Running processes:
C:\WINNT\System32\smss.exe
C:\WINNT\system32\winlogon.exe
C:\WINNT\system32\services.exe
C:\WINNT\system32\lsass.exe
C:\WINNT\system32\svchost.exe
C:\WINNT\System32\WBEM\WinMgmt.exe
C:\WINNT\Explorer.EXE
A:\alulium.exe

R1 - HKLM\Software\Microsoft\Internet Explorer,SearchURL = http://
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page =
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://ztlgiu.outhost.info/
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Bar = http://
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = http://
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = http://ztlgiu.outhost.info/
R0 - HKLM\Software\Microsoft\Internet Explorer\Search,CustomizeSearch = http://ztlgiu.outhost.info/sp.php
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Local Page =
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName =
R3 - Default URLSearchHook is missing
F2 - REG:system.ini: UserInit=
O1 - Hosts: 213.159.118.228 collections.inhost.info
O1 - Hosts: 213.159.118.228 collections.inhost2.info
O1 - Hosts: 213.159.118.228 1-se.com
O1 - Hosts: 213.159.118.228 58q.com
O1 - Hosts: 213.159.118.228 aifind.cc
O1 - Hosts: 213.159.118.228 aifind.info
O1 - Hosts: 213.159.118.228 allneedsearch.com
O1 - Hosts: 213.159.118.228 approvedlinks.com
O1 - Hosts: 213.159.118.228 auto.ie.searchforge.com
O1 - Hosts: 213.159.118.228 awebfind.biz
O1 - Hosts: 213.159.118.228 best.royalsearch.net
O1 - Hosts: 213.159.118.228 cracks.am
O1 - Hosts: 213.159.118.228 default-homepage-network.com
O1 - Hosts: 213.159.118.228 find.microgirls.com
O1 - Hosts: 213.159.118.228 find4u.net
O1 - Hosts: 213.159.118.228 freshvideogals.com
O1 - Hosts: 213.159.118.228 i-lookup.com
O1 - Hosts: 213.159.118.228 ie-search.com
O1 - Hosts: 213.159.118.228 in.webcounter.cc
O1 - Hosts: 213.159.118.228 itseasy.us
O1 - Hosts: 213.159.118.228 just.find-itnow.com
O1 - Hosts: 213.159.118.228 link.startmake.com
O1 - Hosts: 213.159.118.228 mysearchnow.com
O1 - Hosts: 213.159.118.228 nativehardcore.com
O1 - Hosts: 213.159.118.228 qwertysearch123.biz
O1 - Hosts: 213.159.118.228 search.ieplugin.com
O1 - Hosts: 213.159.118.228 search.psn.cn
O1 - Hosts: 213.159.118.228 searchbar.findthewebsiteyouneed.com
O1 - Hosts: 213.159.118.228 searchcentrix.com
O1 - Hosts: 213.159.118.228 searchmyrequest.com
O1 - Hosts: 213.159.118.228 super-spider.com
O1 - Hosts: 213.159.118.228 t.rack.cc
O1 - Hosts: 213.159.118.228 teen-biz.com
O1 - Hosts: 213.159.118.228 teenhqpics.com
O1 - Hosts: 213.159.118.228 tits.hardcore4ever.net
O1 - Hosts: 213.159.118.228 webcoolsearch.com
O1 - Hosts: 213.159.118.228 wmmse.com
O1 - Hosts: 213.159.118.228 www.008i.com
O1 - Hosts: 213.159.118.228 www.2fastsearch.net
O1 - Hosts: 213.159.118.228 www.8095.com
O1 - Hosts: 213.159.118.228 www.alfa-search.com
O1 - Hosts: 213.159.118.228 www.boredlife.com
O1 - Hosts: 213.159.118.228 www.couldnotfind.com
O1 - Hosts: 213.159.118.228 www.cracks.am
O1 - Hosts: 213.159.118.228 www.daum.net
O1 - Hosts: 213.159.118.228 www.dreamwiz.com
O1 - Hosts: 213.159.118.228 www.find-itnow.com
O1 - Hosts: 213.159.118.228 www.find-itnow.com
O1 - Hosts: 213.159.118.228 www.find4u.net
O1 - Hosts: 213.159.118.228 www.firstbookmark.com
O1 - Hosts: 213.159.118.228 www.gajai.com
O1 - Hosts: 213.159.118.228 www.hand-book.com
O1 - Hosts: 213.159.118.228 www.hao123.com
O1 - Hosts: 213.159.118.228 www.hotsearchbox.com
O1 - Hosts: 213.159.118.228 www.hotwebsearch.com
O1 - Hosts: 213.159.118.228 www.hugesearch.net
O1 - Hosts: 213.159.118.228 www.iquicksearch.com
O1 - Hosts: 213.159.118.228 www.lookfor.cc
O1 - Hosts: 213.159.118.228 www.maxxxhosters.com
O1 - Hosts: 213.159.118.228 www.naver.com
O1 - Hosts: 213.159.118.228 www.nkvd.us
O1 - Hosts: 213.159.118.228 www.novafuck.com
O1 - Hosts: 213.159.118.228 www.ohcorea.com
O1 - Hosts: 213.159.118.228 www.omega-search.com
O1 - Hosts: 213.159.118.228 www.onet.pl
O1 - Hosts: 213.159.118.228 www.power-search.info
O1 - Hosts: 213.159.118.228 www.rightfinder.net
O1 - Hosts: 213.159.118.228 www.search-1.net
O1 - Hosts: 213.159.118.228 www.search-and-go.com
O1 - Hosts: 213.159.118.228 www.search-dot.com
O1 - Hosts: 213.159.118.228 www.search-space.com
O1 - Hosts: 213.159.118.228 www.searchforge.com
O1 - Hosts: 213.159.118.228 www.searching-the-net.com
O1 - Hosts: 213.159.118.228 www.searchv.com
O1 - Hosts: 213.159.118.228 www.searchxl.com
O1 - Hosts: 213.159.118.228 www.seznam.cz
O1 - Hosts: 213.159.118.228 www.slotch.com
O1 - Hosts: 213.159.118.228 www.spidersearch.com
O1 - Hosts: 213.159.118.228 www.startium.com
O1 - Hosts: 213.159.118.228 www.therealsearch.com
O1 - Hosts: 213.159.118.228 www.ttjj.com
O1 - Hosts: 213.159.118.228 www.viewpornkey.com
O1 - Hosts: 213.159.118.228 www.wazzupnet.com
O1 - Hosts: 213.159.118.228 www.websearch.com
O1 - Hosts: 213.159.118.228 www.windowws.cc
O1 - Hosts: 213.159.118.228 www.xgmm.com
O1 - Hosts: 213.159.118.228 xwebsearch.biz
O1 - Hosts: 213.159.118.228 yourbookmarks.ws
O2 - BHO: (no name) - -{5321E378-FFAD-4999-8C62-03CA8155F0B3} - (no file)
O2 - BHO: (no name) - -{79C03BC5-6C55-4B5B-921F-C02B6F1ABD7B} - (no file)
O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Programme\Adobe\Acrobat 5.0\Acrobat\ActiveX\AcroIEHelper.ocx
O2 - BHO: (no name) - {5321E378-FFAD-4999-8C62-03CA8155F0B3} - (no file)
O2 - BHO: (no name) - {53707962-6F74-2D53-2644-206D7942484F} - C:\Programme\Spybot - Search & Destroy\SDHelper.dll
O2 - BHO: CNisExtBho Class - {9ECB9560-04F9-4bbc-943D-298DDF1699E1} - C:\Programme\Gemeinsame Dateien\Symantec Shared\AdBlocking\NISShExt.dll
O2 - BHO: CNavExtBho Class - {BDF3E430-B101-42AD-A544-FADC6B084872} - C:\Programme\Norton Internet Security\Norton AntiVirus\NavShExt.dll
O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINNT\system32\msdxm.ocx
O4 - HKLM\..\Run: [Synchronization Manager] mobsync.exe /logon
O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE NvQTwk,NvCplDaemon initialize
O4 - HKLM\..\Run: [DisplayTrayIcon] C:\WINNT\System32\TrayIcon.exe
O4 - HKLM\..\Run: [CAPI2WSA] C:\WINNT\system\capi2wsa.exe
O4 - HKLM\..\Run: [ccApp] "C:\Programme\Gemeinsame Dateien\Symantec Shared\ccApp.exe"
O4 - HKLM\..\Run: [URLLSTCK.exe] C:\Programme\Norton Internet Security\UrlLstCk.exe
O4 - HKLM\..\Run: [KAZAA] REM C:\Programme\Kazaa\kazaa.exe /SYSTRAY
O4 - HKLM\..\Run: [NeroFilterCheck] C:\WINNT\system32\NeroCheck.exe
O4 - HKLM\..\Run: [InCD] C:\Programme\Ahead\InCD\InCD.exe
O4 - HKLM\..\Run: [Network Service] C:\WINNT\svhost.exe -sr -0
O4 - HKCU\..\Run: [internat.exe] internat.exe
O4 - HKCU\..\RunOnce: [^SetupICWDesktop] C:\Programme\Internet Explorer\Connection Wizard\icwconn1.exe /desktop
O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\WINNT\system32\msjava.dll
O9 - Extra 'Tools' menuitem: Sun Java Console - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\WINNT\system32\msjava.dll
O9 - Extra button: Preispiraten - {94A15285-AAE6-44E8-B2D7-4A2C6CDA9185} - C:\Programme\Preispiraten\preispiraten.exe
O9 - Extra button: Yahoo! Messenger - {E5D12C4E-7B4F-11D3-B5C9-0050045C3C96} - C:\PROGRA~1\Yahoo!\MESSEN~1\YPager.exe
O9 - Extra 'Tools' menuitem: Yahoo! Messenger - {E5D12C4E-7B4F-11D3-B5C9-0050045C3C96} - C:\PROGRA~1\Yahoo!\MESSEN~1\YPager.exe
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\MSMSGS.EXE
O9 - Extra 'Tools' menuitem: MSN Messenger Service - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\MSMSGS.EXE
O12 - Plugin for .mov: C:\Programme\Netscape\Communicator\Program\PLUGINS\Npqtw32.dll
O16 - DPF: ppctlcab - http://www.pestscan....er/ppctlcab.cab
O16 - DPF: {10003000-1000-0000-1000-000000000000} - http://213.159.118.226/x.exe
O16 - DPF: {6B4788E2-BAE8-11D2-A1B4-00400512739B} (PWMediaSendControl Class) - http://216.249.24.14...tiveXImgCtl.CAB
O16 - DPF: {C79CC6E2-A3CB-4500-85FB-650B5DBD14F4} (bilderservice.de Standard-Upload) - http://upload.bilder...ts/ieupload.cab
O17 - HKLM\System\CCS\Services\Tcpip\Parameters: Domain = Bercom.de
O17 - HKLM\System\CCS\Services\Tcpip\..\{1FACC23C-8660-4490-9E19-FD42DFCA3F35}: NameServer = 192.168.1.252
O17 - HKLM\System\CCS\Services\Tcpip\..\{9A11B795-6B64-4B80-A12E-AFEC2DBDACE2}: NameServer = 192.168.1.252
O17 - HKLM\System\CS1\Services\Tcpip\Parameters: Domain = Bercom.de
O17 - HKLM\System\CS1\Services\Tcpip\..\{1FACC23C-8660-4490-9E19-FD42DFCA3F35}: NameServer = 192.168.1.252
O17 - HKLM\System\CS2\Services\Tcpip\Parameters: Domain = Bercom.de
O17 - HKLM\System\CS2\Services\Tcpip\..\{1FACC23C-8660-4490-9E19-FD42DFCA3F35}: NameServer = 192.168.1.252

[ShiaiTenshi]

Da Rate Ich nur zu einer Neuinstallation!!.
Das is ja die Hölle

[kunde_i]

na ja einfach ist das nicht, deshalb schreibe ich hier ja auch. aber neuinstallieren, das muss es doch auch andere möglichkeiten geben

[wiz]

Zitat (kunde_i: 20.08.2004, 19:17)

na ja einfach ist das nicht, deshalb schreibe ich hier ja auch. aber neuinstallieren, das muss es doch auch andere möglichkeiten geben

um wieder ein sauberes System zu erhalten? NEIN, gibt es nicht. Du schreibst doch selbst, dass der Virus intelligent sei.
Selbst bei - deiner Logik nach dann - dummen Viren ist bei einer Kompromittierung ein Neuaufsetzen des PCs angesagt

[Anderländer]

link schau mal was ich da für dich habe scan da mal dein sys da wirst sehen das du mal en paar windows upadates nach dem neuistallen machen solltest

[BluntZ]

Ach ja und formatier auch gleich mal den MBR mit. es ist wahrscheinlich das sich der virus da auch festgesetzt hat, weil das hijackthis log sieht echt nicht gut aus

[kunde_i]

erstmal allen meinen dank für die antworten.

ich kann doch die schlimmen sachen fixen, ist das problem dann nicht weg. ich habe da wenig ahnung.

gruss kunde

[wassolls]

Wenn ich die Meldung das mein Bankprogramm läuft, erhalten würde ,dann würden bei mir alle Alarmglocken klingeln.Für mich würde es keine Alternative als formatieren geben.

Dieser Beitrag wurde von wassolls bearbeitet: 20. August 2004 - 19:07

[wiz]

Zitat (kunde_i: 20.08.2004, 19:55)

erstmal allen meinen dank für die antworten.

ich kann doch die schlimmen sachen fixen, ist das problem dann nicht weg. ich habe da wenig ahnung.

gruss kunde

nein, das ist ja das Problem.

Man muss davon ausgehen, dass deine ganzen Dateien kompromittiert sind und der Schädling nicht restlos entfernt werden kann...

[netslyce]

da hat er recht, bei sowas würde ich auch sofort formatieren!

[kunde_i]

danke erstmal allen,

da ich moment nicht an dem rechner bin, werde ich mir wirklich überlegen, ob platt machen nicht die sicherste lösung ist.

[xxfaxexx]

Servus,

ich würde die Spyware/Viren/Troja Schleuder sofort Formatieren. Mindestens 3 Einträge davon bekommst du nicht mit fixen weg (nach spätestens 24 Stunden ist es wieder da). Ich würde mir an deiner stelle echt nen Kopp machen wie ich soviel mist auf meinen Rechner bekommen könnte? Aber mal ne andere Frage: Wie lange haste für das alles gesammelt? Also kurz gesagt: Alle Platten in dem Rechner Formatieren egal ob es wichtige Daten sind oder nicht!!!!!!!!!! Schmeiße auch dein Norton weg. Ich weis hört sich hart an aber das Prog ist der Letzter aber wirklich alles letzte Dreck den es gibt. Bitte nicht böse nehmen ist aber leider so. Lese dir im Sicherheitforum "Diesen" Beitrag durch. Dann dürften diese Probs der Vergangenheit gehören.

Hoffe ich konnte dir helfen.

Cui Faxe

[Meltdown]

Zitat (kunde_i: 20.08.2004, 19:06)

- beim hochfahren starte unmotiviert immer der windows media player
- ie-explorer starte immer mit einer nicht gewollten seite
- norton antivirus lässt sich nicht strten
- msconfig lässt sich nicht starten
- bankprogramm bringt meldung „programm läuft bereits“
- ie-explorer und netscape, brechen zusammen sobald man auf seiten geht wo
man spyware programme runterladen kann
- im explorer zeigt er mir programme oder logs von hijackthis und spybot gar
  nicht erst an, als wenn sie nicht auf dem rechner wären
- ich habe spuybot und ad-aware durchlaufen lassen (im abgesicherten modus),
  sowie div. Virenscanner, sie finden eine ganze menge, das problem ist aber nicht
  weg

Nee, ne ?

Und das noch vor Mitternacht. Ich dachte wir hätten noch nicht Geisterstunde.
Nach dem Log bin ich mir da nicht mehr so sicher...

1. Falls Du mit dem beschriebenen Rechner diese Message geschrieben hast, dann gute Nacht. Also: vom Netz nehmen.

2. Daten darfst Du durchaus noch sichern - aber danach Deine Festplatten einer Generealüberholung unterziehen. Schimpf: Plattmachen
Inklusive MBR. Also ruhig mal fdisk /mbr anwerfen. Zu finden auf alten 98SE-
Scheiben.

3. Virenscanner: GDATAs Antivirenkit 2004. Resourcenfressend - aber gründlich.
Im letzten Satz liegt eine Doppeldeutigkeit...
Aber NAV kommt bei Dir nicht mehr auf die Platte - das ist ein Weichspüler, aber
kein Virenscanner. Ich spreche da aus eigener Erfahrung.

4. Browser: Mozilla oder FireFox. Alles andere wird nur in Not- oder Ausnahmefällen
benutzt. Der IE6 sowieso.

5. Warte auf das Endanwender-Paket vom SP2.

Noch was: Das kommt davon wenn man auf Crack-Seiten surft, und keine Ahnung von Malware-Prävention hat. Es würde mich auch nach dem Log nicht wundern,
wenn Du noch irgendwo einen Dialer gebunkert hast - der schon aktiv wurde. Ich hoffe Du hast DSL. Sonst könnte es teuer werden...

Rika Tipps würde ich mir auch mal zu Gemüte ziehen. Die Web-Seite wurde ja
schon als Link genannt.

Ansonsten gilt wie immer: unnötige Dienste deaktivieren, NTFS5 + eingeschränkten Account einsetzen (mit ein paar Zusatzrechten), System und Software aktuell halten

Das kann man gar nicht alle jetzt aufzählen. Aber wir haben ja im Forum genügend Material zum Stöbern...

Dieser Beitrag wurde von Meltdown bearbeitet: 20. August 2004 - 21:20