.

PC Hilfe - Forum
- User helfen User » Software
(auch Viren) » Virus
- Trojaner - und Hoax - Board » hartnäckige
popup-seuche

» Hallo Gast [Anmelden|Registrieren]

Letzter
Beitrag | Erster
ungelesener Beitrag

Druckvorschau
| An
Freund senden | Thema
zu Favoriten
hinzufügen

hartnäckige popup-seuche

Autor

Beitrag

« Vorheriges
Thema | Nächstes
Thema
»

julschn

Grünschnabel

Dabei seit:
14.06.2007
Beiträge: 2
Guthaben: 140
Fränkels
Kontonummer: 7609

Level: 5
[?]
Erfahrungspunkte:
159
Nächster Level: 173

hartnäckige
popup-seuche

Hallo zusammen,

erst mal vielen Dank, daß
es Euch gibt Ich beiße langsam schon in den
Schreibtisch... und zwar aus folgendem
Grund:

Auf dem Rechner meines Freundes hat
sich ein penetranter Schädling eingenistet...
ständig gehen in unregelmäßigen Abständen
irgendwelche Werbefenster auf. Avast hat unter
anderem ein paar Trojaner und Adware gefunden und
durfte alles entfernen, was er kriegen konnte (der
Mann bekommt jetzt noch ne Firewall!). Leider hat
das am Popup-Problem nix geändert... Nach Eurer
Anleitung hab ich Hijackthis, Windowsscan und
Navilog drüber laufen lassen. Mit Hijackthis hab
ich 3 Einträge gefixt (dank sei der automatischen
Logfileauswertung), dann reboot, Browser,
popups.
Also poste ich Euch jetzt mal alle
logfiles, da ich ungern irgendwas lösche und damit
das komplette System zerstöre :o).

Ich
bedanke mich schon mal herzlichst im voraus und
wünsch noch einen schönen
Tag,
Julia

-------------------------
Logfile
of Trend Micro HijackThis v2.0.0 (BETA)
Scan
saved at 12 13, on 14.06.2007
Platform: Windows
XP SP2 (WinNT 5.01.2600)
Boot mode:
Normal

Running
processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\Programme\Alwil
Software\Avast4\aswUpdSv.exe
C:\Programme\Alwil
Software\Avast4\ashServ.exe
C:\WINDOWS\Explorer.EXE
C:\WINDOWS\SOUNDMAN.EXE
C:\WINDOWS\AGRSMMSG.exe
C:\Programme\Synaptics\SynTP\SynTPLpr.exe
C:\Programme\Synaptics\SynTP\SynTPEnh.exe
C:\PROGRA~1\LAUNCH~1\QtZpAcer.EXE
C:\Programme\MUSICMATCH\MUSICMATCH
Jukebox\mm_tray.exe
C:\Programme\Java\jre1.6.0_01\bin\jusched.exe
C:\Programme\MUSICMATCH\MUSICMATCH
Jukebox\MMDiag.exe
C:\Programme\MUSICMATCH\MUSICMATCH
Jukebox\mm_server.exe
C:\Programme\Gemeinsame
Dateien\Real\Update_OB\realsched.exe
C:\Programme\MUSICMATCH\MUSICMATCH
Jukebox\mmtask.exe
C:\Programme\Nokia\Nokia PC
Suite
6\LaunchApplication.exe
C:\Programme\QuickTime\qttask.exe
C:\Programme\iTunes\iTunesHelper.exe
C:\PROGRA~1\ALWILS~1\Avast4\ashDisp.exe
C:\WINDOWS\system32\ctfmon.exe
C:\Programme\Google\GoogleToolbarNotifier\GoogleToolbarNotifier.exe
C:\Programme\Nokia\Nokia
PC Suite 6\PcSync2.exe
C:\Programme\Spybot -
Search &
Destroy\TeaTimer.exe
C:\WINDOWS\system32\spoolsv.exe
C:\Programme\OnlineControl\ocontrol.exe
C:\Programme\FRITZ!DSL\IGDCTRL.EXE
C:\Programme\Gemeinsame
Dateien\Microsoft
Shared\VS7Debug\mdm.exe
C:\WINDOWS\System32\svchost.exe
C:\Programme\PC
Connectivity
Solution\ServiceLayer.exe
C:\Programme\Alwil
Software\Avast4\ashMaiSv.exe
C:\Programme\Alwil
Software\Avast4\ashWebSv.exe
C:\Programme\iPod\bin\iPodService.exe
C:\Programme\Gemeinsame
Dateien\Nokia\MPAPI\MPAPI3s.exe
C:\Programme\Mozilla
Firefox\firefox.exe
C:\WINDOWS\system32\cmd.exe
C:\WINDOWS\system32\notepad.exe
C:\Dokumente
und
Einstellungen\jü\Desktop\fsbl.exe
C:\Dokumente
und
Einstellungen\jü\Desktop\HiJackThis_v2.exe

R0
- HKCU\Software\Microsoft\Internet
Explorer\Main,Start Page = http://www.vol.at/
R1 -
HKLM\Software\Microsoft\Internet
Explorer\Main,Default_Page_URL = http://www.yahoo.com/
R1 -
HKLM\Software\Microsoft\Internet
Explorer\Main,Search Bar = http://us.rd.yahoo.com/customize/ie/defaults/sb/ymj/*http://www.yahoo.com/ext/search/search.html
R1
- HKLM\Software\Microsoft\Internet
Explorer\Main,Search Page = http://us.rd.yahoo.com/customize/ie/defaults/sp/ymj/*http://www.yahoo.com
R0
- HKLM\Software\Microsoft\Internet
Explorer\Main,Start Page = http://www.yahoo.com/
R3 -
URLSearchHook: (no name) -
{855F3B16-6D32-4fe6-8A56-BBB695989046} - (no
file)
F1 - win.ini: run=
C:\WESTWOOD\ALARM\INSTICON.EXE
O2 - BHO: Adobe
PDF Reader -
{06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} -
C:\Programme\Gemeinsame
Dateien\Adobe\Acrobat\ActiveX\AcroIEHelper.dll
O2
- BHO: (no name) -
{53707962-6F74-2D53-2644-206D7942484F} -
C:\PROGRA~1\SPYBOT~1\SDHelper.dll
O2 - BHO:
SSVHelper Class -
{761497BB-D6F0-462C-B6EB-D4DAF1D92D43} -
C:\Programme\Java\jre1.6.0_01\bin\ssv.dll
O2 -
BHO: (no name) -
{7E853D72-626A-48EC-A868-BA8D5E23E045} - (no
file)
O2 - BHO: Windows Live Sign-in Helper -
{9030D464-4C02-4ABF-8ECC-5164760863C6} -
C:\Programme\Gemeinsame Dateien\Microsoft
Shared\Windows Live\WindowsLiveLogin.dll
O2 -
BHO: ST - {9394EDE7-C8B5-483E-8773-474BF36AF6E4} -
C:\Programme\MSN
Apps\ST\01.03.0000.1005\en-xu\stmain.dll
O2 -
BHO: Google Toolbar Helper -
{AA58ED58-01DD-4d91-8333-CF10577473F7} -
c:\programme\google\googletoolbar2.dll
O2 -
BHO: Google Toolbar Notifier BHO -
{AF69DE43-7D58-4638-B6FA-CE66B5AD205D} -
C:\Programme\Google\GoogleToolbarNotifier\2.0.301.7164\swg.dll
O2
- BHO: MSNToolBandBHO -
{BDBD1DAD-C946-4A17-ADC1-64B5B4FF55D0} -
C:\Programme\MSN Apps\MSN Toolbar\MSN
Toolbar\01.02.5000.1021\de\msntb.dll
O3 -
Toolbar: MSN -
{BDAD1DAD-C946-4A17-ADC1-64B5B4FF55D0} -
C:\Programme\MSN Apps\MSN Toolbar\MSN
Toolbar\01.02.5000.1021\de\msntb.dll
O3 -
Toolbar: &Google -
{2318C2B1-4965-11d4-9B18-009027A5CD4F} -
c:\programme\google\googletoolbar2.dll
O4 -
HKLM\..\Run: [LaunchApp] Alaunch
O4 -
HKLM\..\Run: [VTTimer] VTTimer.exe
O4 -
HKLM\..\Run: [SoundMan] SOUNDMAN.EXE
O4 -
HKLM\..\Run: [AGRSMMSG] AGRSMMSG.exe
O4 -
HKLM\..\Run: [SynTPLpr]
C:\Programme\Synaptics\SynTP\SynTPLpr.exe
O4 -
HKLM\..\Run: [SynTPEnh]
C:\Programme\Synaptics\SynTP\SynTPEnh.exe
O4 -
HKLM\..\Run: [LManager]
C:\PROGRA~1\LAUNCH~1\QtZpAcer.EXE
O4 -
HKLM\..\Run: [MMTray]
"C:\Programme\MUSICMATCH\MUSICMATCH
Jukebox\mm_tray.exe"
O4 - HKLM\..\Run:
[SunJavaUpdateSched]
"C:\Programme\Java\jre1.6.0_01\bin\jusched.exe"
O4
- HKLM\..\Run: [mm_server]
C:\Programme\MUSICMATCH\MUSICMATCH
Jukebox\mm_server.exe
O4 - HKLM\..\Run:
[PhilipsRemote]
C:\PROGRA~1\MUSICM~1\MUSICM~1\PHILIP~1.EXE
O4 -
HKLM\..\Run: [TkBellExe] "C:\Programme\Gemeinsame
Dateien\Real\Update_OB\realsched.exe"
-osboot
O4 - HKLM\..\Run: [SetupType]
Portable
O4 - HKLM\..\Run: [mmtask]
"C:\Programme\MUSICMATCH\MUSICMATCH
Jukebox\mmtask.exe"
O4 - HKLM\..\Run:
[KernelFaultCheck] %systemroot%\system32\dumprep 0
-k
O4 - HKLM\..\Run: [PCSuiteTrayApplication]
C:\Programme\Nokia\Nokia PC Suite
6\LaunchApplication.exe -startup
O4 -
HKLM\..\Run: [QuickTime Task]
"C:\Programme\QuickTime\qttask.exe"
-atboottime
O4 - HKLM\..\Run: [iTunesHelper]
"C:\Programme\iTunes\iTunesHelper.exe"
O4 -
HKLM\..\Run: [avast!]
C:\PROGRA~1\ALWILS~1\Avast4\ashDisp.exe
O4 -
HKCU\..\Run: [CTFMON.EXE]
C:\WINDOWS\system32\ctfmon.exe
O4 -
HKCU\..\Run: [swg]
C:\Programme\Google\GoogleToolbarNotifier\GoogleToolbarNotifier.exe
O4
- HKCU\..\Run: [PcSync] C:\Programme\Nokia\Nokia
PC Suite 6\PcSync2.exe /NoDialog
O4 -
HKCU\..\Run: [updateMgr]
"C:\Programme\Adobe\Acrobat
7.0\Reader\AdobeUpdateManager.exe" AcRdB7_0_8
-reboot 1
O4 - HKCU\..\Run: [SpybotSD TeaTimer]
C:\Programme\Spybot - Search &
Destroy\TeaTimer.exe
O4 - HKUS\S-1-5-19\..\Run:
[CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User
'LOKALER DIENST')
O4 - HKUS\S-1-5-20\..\Run:
[CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User
'NETZWERKDIENST')
O4 - HKUS\S-1-5-18\..\Run:
[CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User
'SYSTEM')
O4 - HKUS\.DEFAULT\..\Run:
[CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User
'Default user')
O4 - Startup: Adobe Gamma.lnk =
C:\Programme\Gemeinsame
Dateien\Adobe\Calibration\Adobe Gamma
Loader.exe
O4 - Global Startup: Microsoft
Office.lnk = C:\Programme\Microsoft
Office\Office10\OSA.EXE
O4 - Global Startup:
OnlineControl.lnk =
C:\Programme\OnlineControl\ocontrol.exe
O4 -
Global Startup: Adobe Reader - Schnellstart.lnk =
C:\Programme\Adobe\Reader
8.0\Reader\reader_sl.exe
O4 - Global Startup:
Adobe Reader Synchronizer.lnk =
C:\Programme\Adobe\Reader
8.0\Reader\AdobeCollabSync.exe
O8 - Extra
context menu item: &ICQ Toolbar Search -
res://C:\Programme\ICQToolbar\toolbaru.dll/SEARCH.HTML
O8
- Extra context menu item: Nach Microsoft
&Excel exportieren -
res://C:\PROGRA~1\MICROS~2\Office10\EXCEL.EXE/3000
O9
- Extra button: (no name) -
{08B0E5C0-4FCB-11CF-AAA5-00401C608501} -
C:\Programme\Java\jre1.6.0_01\bin\npjpi160_01.dll
O9
- Extra 'Tools' menuitem: Sun Java Konsole -
{08B0E5C0-4FCB-11CF-AAA5-00401C608501} -
C:\Programme\Java\jre1.6.0_01\bin\npjpi160_01.dll
O9
- Extra button: ICQ Lite -
{B863453A-26C3-4e1f-A54D-A2CD196348E9} -
C:\Programme\ICQLite\ICQLite.exe
O9 - Extra
'Tools' menuitem: ICQ Lite -
{B863453A-26C3-4e1f-A54D-A2CD196348E9} -
C:\Programme\ICQLite\ICQLite.exe
O9 - Extra
button: Messenger -
{FB5F1910-F110-11d2-BB9E-00C04F795683} -
C:\Programme\Messenger\msmsgs.exe
O9 - Extra
'Tools' menuitem: Windows Messenger -
{FB5F1910-F110-11d2-BB9E-00C04F795683} -
C:\Programme\Messenger\msmsgs.exe
O14 -
IERESET.INF:
START_PAGE_URL=http://www.tiscali.ch
O17 -
HKLM\System\CCS\Services\Tcpip\..\{4830A334-4E68-464F-BF2F-22970B515E0E}:
NameServer =
192.168.122.252,192.168.122.253
O18 - Protocol:
skype4com - {FFC8B962-9B40-4DFF-9458-1830C7DD7F5D}
- C:\PROGRA~1\GEMEIN~1\Skype\SKYPE4~1.DLL
O22 -
SharedTaskScheduler: Browseui preloader -
{438755C2-A8BA-11D1-B96B-00A0C90312E1} -
C:\WINDOWS\System32\browseui.dll
O22 -
SharedTaskScheduler: Component Categories cache
daemon - {8C7461EF-2B13-11d2-BE35-3078302C2030} -
C:\WINDOWS\System32\browseui.dll
O22 -
SharedTaskScheduler: emptins -
{588599f4-de26-4c28-ba14-f4eb17e33481} - (no
file)
O23 - Service: Adobe LM Service - Adobe
Systems - C:\Programme\Gemeinsame Dateien\Adobe
Systems Shared\Service\Adobelmsvc.exe
O23 -
Service: avast! iAVS4 Control Service (aswUpdSv) -
ALWIL Software - C:\Programme\Alwil
Software\Avast4\aswUpdSv.exe
O23 - Service:
avast! Antivirus - ALWIL Software -
C:\Programme\Alwil
Software\Avast4\ashServ.exe
O23 - Service:
avast! Mail Scanner - ALWIL Software -
C:\Programme\Alwil
Software\Avast4\ashMaiSv.exe
O23 - Service:
avast! Web Scanner - ALWIL Software -
C:\Programme\Alwil
Software\Avast4\ashWebSv.exe
O23 - Service: AVM
IGD CTRL Service - AVM Berlin -
C:\Programme\FRITZ!DSL\IGDCTRL.EXE
O23 -
Service: AVM FRITZ!web Routing Service (de_serv) -
AVM Berlin - C:\Programme\Gemeinsame
Dateien\AVM\de_serv.exe
O23 - Service:
iPod-Dienst (iPod Service) - Apple Inc. -
C:\Programme\iPod\bin\iPodService.exe
O23 -
Service: ServiceLayer - Nokia. - C:\Programme\PC
Connectivity
Solution\ServiceLayer.exe

--
End of file
- 9340
bytes
---------------------------------------------------------------------------
--------
---------------------------------------------------------------------------
--------
Search
Navipromo version 2.0.3 began on 14.06.2007 at
11:56:34,96

!!! Warning, this report can
can include legitimate files/programs!!!
!!!
Post this report on the forum you are being helped
!!!
!!! Don't run cleanning fix before special
advise from the helper !!!

Fix running from
C:\Programme\navilog1
Updated the 08.06.2007 at
17h00 by IL-MAFIOSO

Done in normal
mode

*** Search installed Sofwares ***

*** Search folders in
C:\WINDOWS ***

*** Search
folders in C:\Programme ***

***
Search folders in C:\Dokumente und
Einstellungen\All Users\Application Data
***

*** Search folders in
C:\Dokumente und Einstellungen\j\Anwendungsdaten
***

*** Search with BlackLight
Engine/F-secure ***
BlackLight Engine is
product from F-secure, for more infos :
http://www.f-secure.com/blacklight/blacklight_help.html

Hidden(s)
file(s) in C:\WINDOWS\system32
:

Hidden(s) Process in
C:\WINDOWS\system32
:

C:\windows\system32\hqyvocloj.exe

*** Search files ***

C:\WINDOWS\system32\nvs2.inf found
!

*** Search registry keys
***

Search in
[HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\SharedDLLs]

C:\WINDOWS\system32\EGDACCESS_1057.dll
REG_DWORD 0x1

Search in
[HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\ModuleUsage]

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\ModuleUsage\C:
/WINDOWS/system32/EGDACCESS_1057.dll

Search
Magic Control
Key

HKEY_CURRENT_USER\Software\Lanconfig
found !

*** Complementary Search ***

(Search specifics files)

1)Search
known files:

2)Heuristic Search :
*

C:\WINDOWS\system32\hqyvocloj.dat found
!
**
C:\WINDOWS\system32\hqyvocloj.dat
found !
***
****
*****
******

*******
********

*** Search
Finished the 14.06.2007 at 11:57:53,06 ***

---------------------------------------------------------------------------
--------
---------------------------------------------------------------------------
--------
06/14/07
12:09:24 [Info]: BlackLight Engine 1.0.61
initialized
06/14/07 12:09:24 [Info]: OS: 5.1
build 2600 (Service Pack 2)
06/14/07 12:09:24
[Note]: 7019 4
06/14/07 12:09:24 [Note]: 7005
0
06/14/07 12:09:27 [Note]: 7006 0
06/14/07
12:09:27 [Note]: 7011 1840
06/14/07 12:09:27
[Note]: 7026 0
06/14/07 12:09:27 [Note]: 7026
0
06/14/07 12:09:27 [Note]: 7024 3
06/14/07
12:09:27 [Info]: Hidden process:
C:\windows\system32\hqyvocloj.exe
06/14/07
12:09:29 [Note]: FSRAW library version
1.7.1021
06/14/07 12 17 [Info]: Hidden file:
c:\WINDOWS\SYSTEM32\HQYVOC~1.EXE
06/14/07
12 18 [Info]: Hidden file:
c:\WINDOWS\SYSTEM32\HQYVOC~3.DAT
06/14/07
12 18 [Info]: Hidden file:
c:\WINDOWS\SYSTEM32\HQYVOC~1.DAT
06/14/07
12 19 [Info]: Hidden file:
c:\WINDOWS\SYSTEM32\HQYVOC~2.DAT
06/14/07
12 22 [Note]: 2000 1012
06/14/07 12 38 [Note]: 7007
0

---------------------------------------------------------------------------
--------
---------------------------------------------------------------------------
--------

14.06.2007 12:15

Viper

Moderator

Dabei seit:
15.08.2003
Beiträge: 2.612
Guthaben: 106.210
Fränkels
Kontonummer: 172
Herkunft: Planet
Erde 49°40'06.37'' N/ 8°00'36.25''
O
Rechnerkonfiguration: Rechner siehe
Link

Level: 44
[?]
Erfahrungspunkte:
3.859.705
Nächster Level: 4.297.834

Hast du auch mal Spyboot Search & Destroy und
Ad-Aware laufen lassen?

__________________
Mein PC

14.06.2007 13:47

Mopao

Doppel-Ass

Dabei seit:
22.03.2006
Beiträge: 108
Guthaben: 3.070
Fränkels
Kontonummer: 4928
Herkunft:
Worms

Level: 23
[?]
Erfahrungspunkte:
57.013
Nächster Level: 62.494

Hallo,

Fehl noch WindowsScan
Ergebnis

Gruss
Mopao

__________________
Gruss Mopao

Malware-Veteran

14.06.2007 23:06

julschn

Grünschnabel

Dabei seit:
14.06.2007
Beiträge: 2
Guthaben: 140
Fränkels
Kontonummer: 7609

Level: 5
[?]
Erfahrungspunkte:
159
Nächster Level: 173

Themenstarter

Danke für die Antworten

viper: lief beides schon drüber,
ad-aware fand aber auch nach dem reboot wieder die
gleichen Sachen...

mopao: mist, ich
wusste, ich vergess was. hier das
windowsscan-log

------------------------------

Die
30 neuesten Dateien im Ordner Windows:

15.06.2007 WindowsUpdate.log 10
56:1.148.637
Systems 15.06.2007 ModemLog_Agere
10 48:4.230
15.06.2007 wiadebug.log 10 48:159

15.06.2007 0.log 10 47:0
15.06.2007
bootstat.dat 10 47:2.048
15.06.2007
SchedLgU.Txt 05 05:32.624
15.06.2007
wiaservc.log 05 05:50
14.06.2007 msgsocm.log
20 49:46.595
14.06.2007 ocmsn.log 20 49:47.061

14.06.2007 setupapi.log 20 49:422.047

14.06.2007 iis6.log 20 49:144.515

14.06.2007 comsetup.log 20 49:316.706

14.06.2007 tsoc.log 20 49:360.166

14.06.2007 ntdtcsetup.log 20 49:192.196

14.06.2007 imsins.log 20 49:1.374

14.06.2007 FaxSetup.log 20 49:937.178

14.06.2007 ocgen.log 20 49:467.112

14.06.2007 KB927779.log 20 49:29.491

14.06.2007 updspapi.log 20 49:32.293

14.06.2007 KB927802.log 20 49:26.487

14.06.2007 imsins.BAK 20 49:1.374

14.06.2007 KB924191.log 20 49:25.973

14.06.2007 KB922819.log 20 49:25.783

14.06.2007 KB923414.log 20 49:24.954

14.06.2007 KB928255.log 20 49:25.296

14.06.2007 KB931784.log 20 49:25.393

14.06.2007 KB929969.log 20 48:24.175

Die 50 neuesten Dateien im Ordner
Windows\system32:

15.06.2007 wpa.dbl 10
48:1.158
14.06.2007 FNTCACHE.DAT 23 26:832.960

14.06.2007 TZLog.log 20 47:122.142

11.06.2007 CONFIG.NT 11 06:3.002

05.06.2007 MRT.exe 23 38:15.747.032

16.05.2007 inetcomm.dll 17 11:683.520

04.05.2007 mshtml.dll 14 27:3.079.680

30.04.2007 aswBoot.exe 17 46:745.600

30.04.2007 AvastSS.scr 17 35:95.872

27.04.2007 QuickTimeVR.qtx 09 42:65.536

27.04.2007 QuickTime.qts 09 42:49.152

25.04.2007 schannel.dll 16 22:144.896

23.04.2007 jupdate-1.6.0_01-b06.log 21
52:4.196
18.04.2007 msi.dll 18 13:2.854.400

18.04.2007 wininet.dll 14 31:664.576

18.04.2007 urlmon.dll 14 31:617.472

18.04.2007 msrating.dll 14 31:146.432

18.04.2007 mshtmled.dll 14 31:449.024

18.04.2007 mstime.dll 14 31:532.480

18.04.2007 pngfilt.dll 14 31:39.424

18.04.2007 shdocvw.dll 14 31:1.494.528

18.04.2007 shlwapi.dll 14 31:474.624

18.04.2007 jsproxy.dll 14 31:16.384

18.04.2007 iepeers.dll 14 31:251.392

18.04.2007 browseui.dll 14 31:1.023.488

18.04.2007 dxtrans.dll 14 31:205.312

18.04.2007 extmgr.dll 14 31:55.808

18.04.2007 dxtmsft.dll 14 31:357.888

18.04.2007 danim.dll 14 31:1.056.256

18.04.2007 inseng.dll 14 31:96.768

18.04.2007 cdfview.dll 14 31:152.064

18.04.2007 xpsp3res.dll 12 27:123.392

16.04.2007 kernel32.dll 17 53:1.058.304

17.03.2007 winsrv.dll 15 44:293.376

14.03.2007 javaws.exe 02 04:139.264

14.03.2007 javacpl.cpl 02 04:69.632

14.03.2007 javaw.exe 00 31:135.168

14.03.2007 java.exe 00 31:135.168

08.03.2007 user32.dll 17 36:579.072

08.03.2007 gdi32.dll 17 36:281.600

08.03.2007 mf3216.dll 17 36:40.960

08.03.2007 win32k.sys 17 32:1.843.712

28.02.2007 ntkrnlpa.exe 18 02:2.059.904

28.02.2007 ntoskrnl.exe 18 02:2.182.656

25.02.2007 jupdate-1.5.0_11-b03.log 05
52:9.799
05.02.2007 upnphost.dll 22 18:185.856

29.01.2007 tzchange.exe 10 58:60.416

# Copyright (c) 1993-1999 Microsoft
Corp.
#
# Dies ist eine HOSTS-Beispieldatei,
die von Microsoft TCP/IP
# für Windows 2000
verwendet wird.
#
# Diese Datei enthält die
Zuordnungen der IP-Adressen zu Hostnamen.
#
Jeder Eintrag muss in einer eigenen Zeile stehen.
Die IP-
# Adresse sollte in der ersten Spalte
gefolgt vom zugehörigen
# Hostnamen
stehen.
# Die IP-Adresse und der Hostname
müssen durch mindestens ein
# Leerzeichen
getrennt sein.
#
# Zusätzliche Kommentare
(so wie in dieser Datei) können in
# einzelnen
Zeilen oder hinter dem Computernamen eingefügt
werden,
# aber müssen mit dem Zeichen '#'
eingegeben werden.
#
# Zum
Beispiel:
#
# 102.54.94.97 rhino.acme.com #
Quellserver
# 38.25.63.10 x.acme.com #
x-Clienthost

127.0.0.1
localhost

------------------------------------------------------------------

Allerdings
tut sich seitdem die windows-firewall wieder
aktiviert ist nix mehr. f-secure findet nix mehr,
und navilog nur noch nen registry-eintrag - ich
hatte allerdings navilog gestern auch nicht nur
suchen, sondern gleichzeitig auch "aufräumen"
lassen. Naja, hier mal log, vielleicht sagt
jemandem der registry-key was, ansonsten geb ich
mich jetzt damit zufrieden, daß nicht mehr
werbefenster für virusschlacht.com aufgehen (haha,
was hammer gelacht

Search Navipromo version 2.0.3
began on 15.06.2007 at 12:28:09,90

!!!
Warning, this report can can include legitimate
files/programs!!!
!!! Post this report on the
forum you are being helped !!!
!!! Don't run
cleanning fix before special advise from the
helper !!!

Fix running from
C:\Programme\navilog1
Updated the 08.06.2007 at
17h00 by IL-MAFIOSO

Done in normal
mode

*** Search installed Sofwares ***

*** Search folders in
C:\WINDOWS ***

*** Search
folders in C:\Programme ***

***
Search folders in C:\Dokumente und
Einstellungen\All Users\Application Data
***

*** Search folders in
C:\Dokumente und Einstellungen\j\Anwendungsdaten
***

*** Search with BlackLight
Engine/F-secure ***
BlackLight Engine is
product from F-secure, for more infos :
http://www.f-secure.com/blacklight/blacklight_help.html

F-SECURE
BLACKLIGHT ROOTKIT
ELIMINATOR
======================================

Copyright
2005-2006 F-Secure Corporation. All rights
reserved.
This is a beta version. It will
expire on 1st of April, 2007.
Version
information: 2.2.1061.

[+] Started on
06/15/07 at 12:28:12.
[+] Initializing
...
[+] Starting scan, press Ctrl-C to
abort.
[+] Scanning for hidden items
............................
[+] Scan
complete.
[+] Summary: 0 hidden item(s) found,
0 scheduled for renaming.
[+] Exited on
06/15/07 at 12:29:09 (return code =
0).

*** Search files ***

*** Search registry keys
***

Search in
[HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\SharedDLLs]

C:\WINDOWS\system32\EGDACCESS_1057.dll
REG_DWORD 0x1

Search in
[HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\ModuleUsage]

Search Magic Control
Key

*** Complementary Search ***

(Search specifics files)

1)Search
known files:

2)Heuristic Search :
*

**
***
****
*****
******

*******
********

*** Search
Finished the 15.06.2007 at 12:29:21,94 ***

-------------------------------------

Danke
Euch und ein schönes Wochenende

15.06.2007 12:52

Mopao

Doppel-Ass

Dabei seit:
22.03.2006
Beiträge: 108
Guthaben: 3.070
Fränkels
Kontonummer: 4928
Herkunft:
Worms

Level: 23
[?]
Erfahrungspunkte:
57.013
Nächster Level: 62.494

Hallo,

#Lade dir Navilog1.zip,auf dem
Desktop speichern & entpacken,danach wird
einen Ordner Navilog1 auf dem Desktop
erstellt.
#PC neustarten--> abgesicherter
Modus
Nun muss du dieser Ordner öffnen,dann
Doppelklick auf Navilog1.bat,dann Sprache
Auswahl F|f-->Französisch &
E|e-->Englisch,den Anweisungen auf dem
Bildschirm folgen,immer eine beliebige Taste
druecken bis ein Auswahl Fenster erscheint,dann
die Taste 4,den Anweisungen auf dem
Bildschirm folgen
Wird gefragt,dass du die
Datei eingeben soll:
Bitte gebe ohne Fehler
hqyvocloj-->dann
Enter
Wiederholung wird gefragt gebe bitte
nochmal hqyvocloj-->Enter
Warte
bis die Reinigung fertig wird,dann poste den
Ihnhalt von cleanavi.txt

#PC neustarten-->
abgesicherter Modus
Starte das HijackThis "Scan"
klicken (Folgende Einträge) Häckchen setzen &
Button "Fix checked" klicken
R3 - URLSearchHook: (no name) -
{855F3B16-6D32-4fe6-8A56-BBB695989046} - (no
file)
F1 - win.ini: run=
C:\WESTWOOD\ALARM\INSTICON.EXE
O2 - BHO: (no
name) - {7E853D72-626A-48EC-A868-BA8D5E23E045} -
(no file)
O22 - SharedTaskScheduler: emptins -
{588599f4-de26-4c28-ba14-f4eb17e33481} - (no
file)

#PC
neustarten
#Lade dir dir
SmitfraudFix.exe http://siri.urz.free.fr/Fix ,auf
dem Desktop speichern.

SmitfraudFix.exe doppelklicken.

Danach wird einen Ordner SmitfraudFix
auf dem Desktop erstellt.

PC neustarten--> abgesicherter
Modus.

Ordner SmitfraudFix öffnen.

SmitfraudFix.cmd doppelklicken.

Taste 2 und dann Enter.

Den Anweisungen auf dem Bildschirm
folgen.(Wenn Frage kommt mit J
antworten.)

#PC
neustarten
#Rechte Maustaste auf
Arbeitsplatz---->Eigenschaften---->Systemwiederherstellung---->
Haken setzen bei Systemwiederherstellung auf
allen Laufwerken deaktivieren---->klicke
Übernehmen---->dann OK, wieder
aktivieren..

1.Öffne notepad (editor) Unter
Start/Ausführen den Befehl notepad
eingeben,bestätigen,dann erscheit ein
notepad editor.

Oder unter
Start/Programme/Zubehör/Editor

2. copiere diser Code rein:

@ECHO OFF
attrib -s -r
-h C:\WINDOWS\system32\hqyvocloj.dat
attrib
-s -r -h
C:\WINDOWS\system32\hqyvocloj_nav.dat
attrib
-s -r -h
C:\WINDOWS\system32\hqyvocloj_navp.dat
attrib
-s -r -h
C:\WINDOWS\system32\hqyvocloj.exe
del
C:\WINDOWS\system32\hqyvocloj.dat
del
C:\WINDOWS\system32\hqyvocloj_nav.dat
del
C:\WINDOWS\system32\hqyvocloj_navp.dat
del
C:\WINDOWS\system32\hqyvocloj.exe

3. Speichere die Datei als fix.bat auf
Desktop

5. Doppel klick auf diese Datei fix.bat

#Mache a-squared Web Malware
Scanner Online Scan (Am besten mit
Internet Explorer!)

#Lade dir AVG Anti-Spyware auf den
Desktop speichern und installieren.
http://www.paules-pc-infothek.de/ppf2/viewtopic.php?t=1142

Unbeding Update machen.

PC neustarten--> abgesicherter
Modus.

Starte AVG Anti-Spyware.

Scanner klicken.

Kompletter System-Scan klicken.

Wenn das Tool den Scan beendet hat, unten
auf loeschen
wählen

Alle Aktionen
übernehmen klichen.

#Inhalt folgende
ordner loeschen:

C:\Dokumente und
Einstellungen\Username\Lokale
Einstellungen\Temp---> Inhalt löschen

C:\Dokumente und
Einstellungen\Username\Lokale
Einstellungen\Temporary Internet Files--->
Inhalt löschen

C:\WINDOWS\temp---> Inhalt löschen

C:\WINDOWS\Prefetch---> Inhalt
löschen

#PC
neustarten

#Lade dir Kostenloser VBA32 Scanner
auf dem Desktop speichern und entpacken.
http://www.paules-pc-infothek.de/ppf2/viewtopic.php?t=1156

Vba32Scan öffnen.

Vba32Scan.exe doppelklicken.

Alle Funde manuel loeschen.

#Lade dir
Ashampoo Antispyware auf
dem desktop speichern & installiere
sie.
#Sarte AntiSpyWare-->klicke auf
Weiter testen (recht unten)--->auf
Tools (links unten)--->auf
Rootkit-Detector--->auf
Start,warte bis scan fertig ist,falls sie
was findet!
Oben steht für Prozesse
Info,bitte drauf klicken,dann unten recht Prozesse
beenden klicken
Unten steht für Registry
Key Info,bitte drauf klicken,dann unten links
loeschen klicken.

#Bearbeite Punkt
2
http://www.paules-pc-forum.de/phpBB2/topic,98281.html

# Windowsupdate
machen.

#Alle wichtigtenPasswärter
ändern!

#PC
neustarten!
#Neuer
HijackThis log & den Inhalt der Datei
cleanavi.txt posten

Gruss
Mopao

__________________
Gruss Mopao

Malware-Veteran

15.06.2007 15:07

Baumstruktur
| Brettstruktur

Gehe zu: Bitte wählen: -------------------- News und
Anderes-- NEWS---- Boardneuigkeiten und Rechtliches---- BOARDHILFE------ Kritik
und Anregungen-- PC News und aus dem
Rest der WeltSmall Talk-- Small TalkHardware-- Allgemeine
Probleme-- Mainboards , CPU und Speicher
( RAM )-- Festplatten-- Grafikkarten--
Soundkarten-- Digitale
Fotografie-- Classic Computer - C64 -
Amiga - Atari ST und co. - Sinclair...CD / DVD Brenner und Software--
CD- DVD und Brenner-- CD / DVD Software
- Probleme mit BrennprogrammenBetriebssysteme-- Windows
Vista-- Andere (DOS, BeOS, QNX
usw)-- Windows (Windows 9x/ME, Windows
NT/2K/XP - auch MediaCenter)-- Linux
(Knoppix, SUSE, Fedora...)Software (auch
Viren)-- Software allgemein ( auch
Outlook Express )-- Bildbearbeitung und
co.-- Virus - Trojaner - und
Hoax - Board-- Treiber-- Word , Excel und co.--
Bob`s Sicherheitsforum-- Rund um`s
codenINTERNET-- Allgemeines-- Windows
Internet Explorer 7-- Internet
Explorer, Opera, Firebird, Lynx und co.Kaufempfehlungen und Diskussionen-- Kaufempfehlungen und DiskussionenAlles was mobil ist-- PDA`s und
MobilesUMFRAGEN-- Allgemeine UmfragenGAMES -
SPIELE-- Spieletest und
Empfehlung-- Spiele -
Allgemein-- Spiele hier im
Forum---- Spiel:
WörterkettePrivate und Moderatoren -
Boards-- AlienBuster`s
Filmboard-- HisN eigenes Forum für
seinen Lieblingsthread (viiiele Fotos)An und Verkauf

PC Hilfe - Forum - User
helfen User » Software
(auch Viren) » Virus -
Trojaner - und Hoax - Board » hartnäckige
popup-seuche

Home Windows Taskmanager Hilfe Dateiendungen Domainindex Tipps und
Erklärungen Impressum

Forensoftware: Burning Board 2.3.6, entwickelt
von WoltLab GmbH