Antworten

Hi,

folgender Fehler liegt bei sehr vielen dieser Spyprogramme.
Man hat alle Sachen, die mit dem Hijacker in Verbindung stehen können gelöscht und der Hijacker war auch weg.
Nun kommt das Übel....
Neustart ~> Problem trat wieder auf!


Es gibt 2 Möglichkeiten, den Hijacker wirklich und sicher wegzubekommen:

Die 1. ist die einfache, wobei ich Dir nicht sagen kann, ob sie funzt.
Du lädst Dir einfach das Programm CWShredder herunter.
Wenn man den Usern im Netz glauben schenckt, so scheint das Tool zu funktionieren.

Hier der Link:
http://www.chip.de/downloads/c_downloads_11353799.html


Die 2. ist die etwas kompliziertere Methode bei der Du viel selbst machen musst. Der Vorteil ist, dass ich Dir 100% sagen kann das es Hilft, da nen Bekannter von mir das Teil auf die Art und Weise auch schon wegbekommen hat.

Hier die Anleitung:

Das Übel:
Es handelt sich hier um einen Trojaner in der Variante Trojanischer Bookmarker.
Was wollen eigentlich hh.htt und seine Gehilfen bewirken?:
Es soll im Browser immer eine bestimmte Startseite aufgerufen werden,
z.B. www.aifind.info oder Ähnliches. Das ist zunächst nicht besonders schlimm
aber extrem nervig.

Der Konstrukt:
Das File hh.htt ist nur ein Arm des Kraken. Der eigentliche Feind ist
das File ctrlpan.dll das in der Regel auf C:\Windows\system32\ liegt.
Diese dll ist verbunden mit einem Registry-Eintrag:
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Windows\APPINIT_DLLs
Der sorgt dafür, dass ctrlpan.dll nicht gelöscht werden kann.
Wird der Registry-Eintrag oder hh.htt gelöscht, wird er von ctrlpan.dll innerhalb
5 sek. wieder erzeugt. Schachmatt!

Der Plan:
Jetzt würden wir ganz schön alt ausschauen, wenn es da nicht ein kleines pfiffiges
Softwareteil von einem (vermutlich Ex)Studenten der UNI Mainz(Alexander Frink)gäbe:

moveex.exe
Dieses Teil gibt uns die Möglichkeit, Windows über die Registry zu beauftragen,
eine Datei vor dem eigentlichen Start zu renamen. Das ist die Lösung!
Damit können wir ctrlpan.dll an die Wand nageln.

Die Lösung:

1. moveex downloaden:
wwwthep.physik.uni-mainz.de/~frink/nt.html
und unter C:\WINDOWS\SYSTEM32 ablegen
2. moveex ausführen:
über die Eingabeaufforderung (CMD.EXE) folgendes Kommando absetzen:
moveex C:\WINDOWS\SYSTEM32\ctrlpan.dll C:\WINDOWS\TEMP\ctrlpan.tmp

Bei moveex ist folgendes zu beachten:
Moves 'oldfile' to 'newfile' at next reboot.
Useful to replace files currently in use.
It works on Windows NT and local drives only!
On NTFS, SYSTEM must be granted 'Full Control' to the files in question!
There is no feedback (e.g. in the event log) stating error or success.

Examples:
moveex test.txt test2.txt
renames test.txt in the current directory, overwrites test2.txt
moveex test.txt c:\temp\test.txt
moves test.txt from the current directory to c:\temp
moveex test.txt c:\temp
doesn't work, give the full path and file name for destination
moveex c:\test.txt d:\test.txt
doesn't work, you can't move across different drives

3. neu booten
4. jetzt kann mit dem Programm "HijackThis"
??? - Hosts: 205.177.124.66 auto.search.msn.com
??? - User stylesheet: C:\WINDOWS\hh.htt (HKLM)
sowie der ganze "aifind" Schrott
entfernt werden und ausserdem ctrlpan.tmp gelöscht werden.

wo bekomme ich das prog hijacker? Habe auch das gleiche problem, bei mir bauen sich keine popup fenster mehr auf. kann kein homebanking machen, oder emails bei freenet abrufen, weil sich diese fenster nicht richtig aufbauen. habe nur weißen bildschirm. was kann ich tun?

Einfach bei www.Spybot.info Spybot runterladen installieren scannen Sp.exe löschen fertig! ..und ganzzz wichtig SERVICE PACK1b installieren!!!!!!!

also das sind auf alle Fälle mal D.i.a.l.e.r

O16 - DPF: {AB1E62EB-3DE3-428F-A417-64AB3C9B6CF0} (eConn Class) - http://econnect.libereco.net/econnect.cab

O16 - DPF: {486E48B5-ABF2-42BB-A327-2679DF3FB822} - http://akamai.downloadv3.com/binaries/IA/ia_XP.cab

O16 - DPF: {AD7FAFB0-16D6-40C3-AF27-585D6E6453FD} (loader Class) - http://dload.ipbill.com/del/loader.cab


Und was die Rückstellung angeht, XP setzt jeden Tag einen Systemprüfpunkt. An diese kannst Du es doch wieder zurückstellen

Ich habe es jetzt Dank des Hilfemenues gefunden, leider kann ich nur den letzten Vorgang zurückstellen, aber da war das auch schon..Mehr Möglichkeiten zeigt mir die Systemrückstellung nicht an ..heul wieder..

Ich habe nun noch den Hijacker durchlaufen lassen, der hat folgenes ausgespuckt: (Welche Datei könnte faulk sein?) weiss das jemand??
matzenHH


Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\spoolsv.exe
C:\Programme\AVPersonal\AVGUARD.EXE
C:\Programme\AVPersonal\AVWUPSRV.EXE
C:\WINDOWS\SYSTEM32\GEARSEC.EXE
C:\PROGRA~1\Agnitum\OUTPOS~1.0\outpost.exe
C:\Programme\Analog Devices\SoundMAX\SMAgent.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\Explorer.EXE
C:\Programme\Analog Devices\SoundMAX\Smtray.exe
C:\Programme\ATI Technologies\ATI Control Panel\atiptaxx.exe
C:\Programme\Gemeinsame Dateien\Real\Update_OB\realsched.exe
C:\WINDOWS\System32\spool\drivers\w32x86\3\hpztsb05.exe
C:\Programme\DelFin\PromulGate\PgMonitr.exe
C:\WINDOWS\System32\P2P Networking\P2P Networking.exe
C:\Programme\Gemeinsame Dateien\Nokia\Services\ServiceLayer.exe
C:\Programme\Gemeinsame Dateien\Nokia\NCLTools\NclTray.exe
C:\Programme\AVPersonal\AVGNT.EXE
C:\WINDOWS\sp.exe
H:\Plauto.exe
C:\PROGRA~1\INCRED~1\bin\IMApp.exe
C:\PROGRA~1\INCRED~1\bin\IncMail.exe
C:\Programme\Internet Explorer\iexplore.exe
C:\Dokumente und Einstellungen\MatzenHH\Desktop\hijackthis\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.google.de/
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Window Title = Microsoft Internet Explorer von Arcor
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Local Page =
O2 - BHO: (no name) - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Programme\Adobe\Acrobat 5.0\Reader\ActiveX\AcroIEHelper.ocx
O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINDOWS\System32\msdxm.ocx
O4 - HKLM\..\Run: [Smapp] C:\Programme\Analog Devices\SoundMAX\Smtray.exe
O4 - HKLM\..\Run: [ATIPTA] C:\Programme\ATI Technologies\ATI Control Panel\atiptaxx.exe
O4 - HKLM\..\Run: [TkBellExe] "C:\Programme\Gemeinsame Dateien\Real\Update_OB\realsched.exe" -osboot
O4 - HKLM\..\Run: [HPDJ Taskbar Utility] C:\WINDOWS\System32\spool\drivers\w32x86\3\hpztsb05.exe
O4 - HKLM\..\Run: [Outpost Firewall] C:\PROGRA~1\Agnitum\OUTPOS~1.0\outpost.exe /waitservice
O4 - HKLM\..\Run: [PromulGate] "C:\Programme\DelFin\PromulGate\PgMonitr.exe"
O4 - HKLM\..\Run: [P2P Networking] C:\WINDOWS\System32\P2P Networking\P2P Networking.exe /AUTOSTART
O4 - HKLM\..\Run: [ServiceLayer] C:\Programme\Gemeinsame Dateien\Nokia\Services\ServiceLayer.exe
O4 - HKLM\..\Run: [Nokia Tray Application] C:\Programme\Gemeinsame Dateien\Nokia\NCLTools\NclTray.exe
O4 - HKLM\..\Run: [MOD] C:\Programme\Microangelo\muamgr.exe
O4 - HKLM\..\Run: [AVGCtrl] C:\Programme\AVPersonal\AVGNT.EXE /min
O4 - HKCU\..\Run: [IncrediMail] C:\PROGRA~1\INCRED~1\bin\IncMail.exe /c
O4 - HKCU\..\Run: [sp] C:\WINDOWS\sp.exe
O4 - Global Startup: Adobe Gamma Loader.exe.lnk = C:\Programme\Gemeinsame Dateien\Adobe\Calibration\Adobe Gamma Loader.exe
O4 - Global Startup: Corel Family & Friends Erinnerungsfunktionen.LNK = H:\Corel\cffrem.exe
O4 - Global Startup: Date Manager.lnk = C:\Programme\Date Manager\DateManager.exe
O4 - Global Startup: Microsoft Office.lnk = C:\Programme\Microsoft Office\Office10\OSA.EXE
O4 - Global Startup: Photo Loader resident.lnk = H:\Plauto.exe
O4 - Global Startup: PrecisionTime.lnk = C:\Programme\PrecisionTime\PrecisionTime.exe
O8 - Extra context menu item: &Add animation to IncrediMail Style Box - C:\PROGRA~1\INCRED~1\bin\resources\WebMenuImg.htm
O8 - Extra context menu item: Nach Microsoft &Excel exportieren - res://C:\PROGRA~1\MICROS~2\Office10\EXCEL.EXE/3000
O9 - Extra 'Tools' menuitem: Sun Java Console (HKLM)
O16 - DPF: {486E48B5-ABF2-42BB-A327-2679DF3FB822} - http://akamai.downloadv3.com/binaries/IA/ia_XP.cab
O16 - DPF: {6B4788E2-BAE8-11D2-A1B4-00400512739B} (PWMediaSendControl Class) - http://216.249.24.142/code/PWActiveXImgCtl.CAB
O16 - DPF: {AB1E62EB-3DE3-428F-A417-64AB3C9B6CF0} (eConn Class) - http://econnect.libereco.net/econnect.cab
O16 - DPF: {AD7FAFB0-16D6-40C3-AF27-585D6E6453FD} (loader Class) - http://dload.ipbill.com/del/loader.cab
O16 - DPF: {D27CDB6E-AE6D-11CF-96B8-444553540000} (Shockwave Flash Object) - http://download.macromedia.com/pub/s...sh/swflash.cab
O16 - DPF: {E855A2D4-987E-4F3B-A51C-64D10A7E2479} (EPSImageControl Class) - http://tools.ebayimg.com/eps/activex...trol_v1-32.cab
O17 - HKLM\System\CCS\Services\Tcpip\..\{DD3F31CB-1D73-4F99-B9CA-FBA976D3920D}: NameServer = 145.253.2.203 145.253.2.81

..ich habe WinXP

Welches Betriebssystem hast du denn (windows XP, Windows 2000...)?

Hallo!? Wie kann ich mein System wieder in den alten Zustand bringen? Kann mir das jemand genau erklären, damit ich hier nicht weiter hier rumheulen muss..

Möglicherweise liegt auch nur ein Fehler im Browsercache vor.
Gehe mal im Internet-Explorer auf Extras/Internetoptionen. Unter "Allgemein" dann bei Temporäre Internetdateien "Dateien löschen" auswählen. Dort sind sämtliche Hompages gespeichert, die Du mal besucht hast. Der Explorer sucht nämlich erst dort und dann im Internet. Ist im Cache ein Fehler, kann er die Seite nicht aufbauen.

Das Löschen kann je nach Umfang längere Zeit dauern.

Sollte dies auch nicht helfen, bleibt nur noch eine Systemwiederherstellung zu einem früheren Zeitpunkt(Windows ME/XP, bei 98 über DOS mit scanreg /restore).

Danach klappt es mit Sicherheit wieder.

..der Rechner lief bis vorgestern 1a. Ich denke mir ich habe mir irgendwo etwas eingefangen.Ich habe imNetz mal auf einigen Seiten geschaut auch über google und da ich immer wieder auf die Seite www.coolwebsearch.com geleitet werde, denke ich mir irgend ein Trojaner hat sich da eingenistet. Leider findet keine Spysoftware mein Problem. ..Ich bin kurz davor meine Platte platt zu machen ..oder kann jemand weiterhelfen. COOLWEBSEARCH ist jedenfalls bei Google ein Begriff.. H*I*L*F*E!!!!

Viele Dinge auf Webseiten werden heute über Javaskripte angezeigt, da diese auch Mißbraucht werden können unter anderem für Dia**ler, Spyware oder umlenken auf andere Webseiten. Aus diesem Grunde wird dies beim I-Explorer über die Sicherheitseinstellung erstmal deaktiviert. In den Internetoptionen kannst du dies manuell oder über die Sicherheitsstufe beheben.

Hallo Ihr Helfer!

Ich kann einige Internetseiten nicht mehr aufrufen. Die Seite baut sich auf und dann ist sie weg und der Bildschirm weiss. Beim anderen PC haben wir die gleichen Seiten aufgerufen und sie laufen einwandfrei. Virus?

Auch wenn ich hier im Forum ein Thema anklicke wird mir eine Suchseite (www.coolwebsearch.com) automatisch angezeigt. Ich bin verzweifelt. Acuh einige Downloads gehen nicht mehr, da bekomme ich eine Fehlermeldung mit ´X-Steuerelemente etc. XP-Clean habe ich schon alles bearbeitet, trotzdem gehts nicht. Was ist hier los?? Bitte helft mir ..bin sehr verzweifelt. :-(