PDA

Archiv verlassen und diese Seite im Standarddesign anzeigen : Google hacked???


Savant
2003-12-11, 22:02:44
Bekomme folgende Meldung wenn ich auf google.de/com/co.uk etc komme:
If you see this page your hosts file has been hacked. Please use the instruction below to clean your machine.

You cannot reach the site you where trying to reach without following this procedure! - Please follow the steps provided in this document and make sure to download all patches for your computer from the Windows Update Site which can be found here:
http://windowsupdate.microsoft.com

1. Start regedit,
find HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run ,
delete starting of svchost.exe file,
reboot your computer,
delete file svchost.exe in windows directory.

2. Reboot windows and start in
SAFE MODE (F8 key on keyboard before windows starting),
delete file winlogon.exe in directory: C:\Documents and Settings\All Users\Start Menu\Programs\Startup

3. Clear your 'hosts' file.
How to edit your hosts file: locate it first, either by browsing to the directory (as shown above) or by hitting "Start - Search - select all files and folders - type in 'hosts' (without the quotation marks) and hit search. When the file is found, click with your right mouse button on the file and select 'Open With...' This will bring up a list of programs to edit the file with. Select Notepad from that list and click OK. - Remove all lines from the file and type in: 127.0.0.1 localhost. Now close the file and save your changes.
For Windows 95/98/Millenium machines: Locate the file hosts in your C:\Windows directory. Just delete it or edit it with a text editor like notepad and make sure there is only one line there:
127.0.0.1 localhost
For Windows 2000 machines: Locate the file hosts in your C:\Winnt\System32\Drivers\Etc directory. Just delete it or edit it with a text editor like notepad and make sure there is only one line there:
127.0.0.1 localhost
For Windows XP machines: Locate the file hosts in your C:\Windows\System32\Drivers\Etc directory. Just delete it or edit it with a text editor like notepad and make sure there is only one line there:
127.0.0.1 localhost

Ich nutze Arcor 56k und windows 2000 Pro mit SP4...
weis das das bei Tonline nicht ist was soll ich machen die files will ich nicht löschen kommt mir nen bissel suspekt vor....
thx 4 ya help

Argo Zero
2003-12-11, 22:09:13
Bei mir kommt diese Meldung nicht.
Benutzt du IE?
Mal nach Viren gescannt?

Btw. die Idee mit dem Files löschen-- nicht dein Ernst oder? ;)

Savant
2003-12-11, 22:21:09
Original geschrieben von Savant

For Windows 2000 machines: Locate the file hosts in your C:\Winnt\System32\Drivers\Etc directory. Just delete it or edit it with a text editor like notepad and make sure there is only one line there:
127.0.0.1 localhost

files will ich nicht löschen kommt mir nen bissel suspekt vor....
thx 4 ya help

steht da ja aber ist mir wie gesagt supekt bin gerade aufm ms update server..... ...virenscanner habe ich nicht im moment *ich weis ist leichtsinnig* spyware oder plugins oder wie auch immer sind es nicht da nix wirklich nichts etwas findet!!!

Ja benutze den IE 6.0.2800 mit sp1

El Fantastico
2003-12-11, 22:24:11
Schau Dir mal bitte Deine hosts Datei (in <Windows-Verzeichnis>\system32\drivers\etc) an und poste den Inhalt hier.

Es KÖNNTE dieser Trojaner sein:

http://securityresponse.symantec.com/avcenter/venc/data/trojan.qhosts.html

Savant
2003-12-11, 22:31:06
siehe da die findu scheisse hatte ich auch schon gestern.... tstststs:

127.0.0.1 localhost
66.250.130.132 thehun.net
66.250.130.132 www.thehun.net
66.250.130.132 thehun.com
66.250.130.132 www.thehun.com
66.250.130.132 worldsex.com
66.250.130.132 www.worldsex.com
66.250.130.132 sexocean.com
66.250.130.132 www.sexocean.com
66.250.130.132 sexocean.com
66.250.130.132 easypic.com
66.250.130.132 www.easypic.com
66.250.130.132 free6.com
66.250.130.132 www.free6.com
66.250.130.132 al4a.com
66.250.130.132 www.al4a.com
66.250.130.132 thumbnailpost.com
66.250.130.132 www.thumbnailpost.com
66.250.130.132 drbizzaro.com
66.250.130.132 www.drbizzaro.com
66.250.130.132 hoes.com
66.250.130.132 www.hoes.com
66.250.130.132 absolut-series.com
66.250.130.132 www.absolut-series.com
66.250.130.132 elephantlist.com
66.250.130.132 www.elephantlist.com
66.250.130.132 ah-me.com
66.250.130.132 www.ah-me.com
66.250.130.131 msn.com
66.250.130.131 www.msn.com
66.250.130.131 search.msn.com
66.250.130.131 auto.search.msn.com
66.250.130.133 google.com
66.250.130.133 www.google.com
66.250.130.133 google.de
66.250.130.133 www.google.de
66.250.130.133 google.co.uk
66.250.130.133 www.google.co.uk
66.250.130.130 find4u.net

und 99% der seiten kenne ich nicht und war auch nicht drauf.....

El Fantastico
2003-12-11, 22:36:45
Hmmm... naja da siehst Du ja wohin Deine google Requests umgeleitet werden :D Sind merkwürdigerweise andere Hostnamen als in dem Bulletin von Symantec. Eventuell ein neuer Trojaner der den gleichen Exploit (Bug im IE) benutzt wie QHOSTS. Du kannst ja einfach mal das removal Tool von Symantec ausprobieren. Eventuell hilft auch manuelles Löschen der Einträge in der Hosts Datei (starte dann mal neu und schau nach ob die Hosts Datei wieder modifiziert wurde)

Savant
2003-12-11, 22:37:09
allles bis auf localhost raus und es läuft..... danke

El Fantastico
2003-12-11, 22:38:57
Original geschrieben von Savant
allles bis auf localhost raus und es läuft..... danke
Es gibt da wohl einen Patch für den IE, den solltest Du unbedingt installieren (wenn Du nicht auf IE verzichten kannst ;))

Edit:

Der Link von Symantec zu dem Patch von MS, keine Garantie ;)
http://www.microsoft.com/technet/treeview/default.asp?url=/technet/security/bulletin/MS03-040.asp

Savant
2003-12-11, 22:40:49
auf grund von 56k nehme ich lieber den patch...... ;-)

El Fantastico
2003-12-11, 22:43:49
Original geschrieben von Savant
auf grund von 56k nehme ich lieber den patch...... ;-)
Komm schon, Mozilla Firebird sind auch "nur" 6 MB ;)

imagine
2003-12-11, 22:56:18
Die Patches die du für den IE saugst übersteigen in der Summe bei weitem 6MB. Und noch schlimmer: Es hilft nix, es werden jeden Monate nämlich nicht weniger, sondern mehr Sicherheitslücken.

Black-Scorpion
2003-12-11, 22:56:46
Lade dir mal Spybot Search&Destroy (http://www.safer-networking.org/) runter.
Der kennt QHost auch.
Direkter Downloadlink: http://www.umich.edu/~hsw/spybotsd12.exe

Savant
2003-12-11, 23:07:44
norton findet nix! naja is mir auch latz komm ja wieder auf google rauf.... ....zum ie patch waren nen paar mb bin auch leider ein gewohnheitstier habe mich an den ie gewöhnt hat aber auch von win95 bis heute gedauert.....

Savant
2003-12-12, 08:52:48
also spybot hat was gebracht so einiges gefunden nur den trojaner nicht! was soll such mal meine cds durch ob ich noch nen anderen browser habe.... ;-) 6mb geteilt durch 56k(buschtrommeltechnology) = 1 stunde und 30 minuten... ;-)

Der Vernünftige!!
2003-12-12, 10:29:42
Wer keinen Virenscanner hat und auch noch mit IE surft,ist selber schuld!!


mfg

auki
2003-12-12, 10:40:09
Original geschrieben von Savant
also spybot hat was gebracht so einiges gefunden nur den trojaner nicht! was soll such mal meine cds durch ob ich noch nen anderen browser habe.... ;-) 6mb geteilt durch 56k(buschtrommeltechnology) = 1 stunde und 30 minuten... ;-)


also ich bekomm rund 15 min. raus.

El Fantastico
2003-12-12, 15:19:38
Original geschrieben von auki
also ich bekomm rund 15 min. raus.
Hehe... Theorie und Praxis reichen bei bei Modems zuweilen leider sehr auseinander... An guten Tagen habe ich pro MB ca. 4:30 Minuten gebraucht, also sagen wir mal in einer knappen halben Stunde hast Du den Firebird herbeigetrommelt ;)

Lokadamus
2003-12-13, 10:11:59
mmm...

Bei Spybot das Update durchführen, ansonsten sucht es nach nur 5000 Sachen (steht unten in der Leiste, wenn es sucht), nach dem Update nach über 11.000 Sachen (schon komisch, das es soviele Sachen dafür gibt, wobei MS doch seit über einigen Jahren soviel Wert auf Sicherheit legt ;)) ...