seltsame Startseite beim IE - Spyware ?

[Jaycid]

so nun bin ich am Ende ... sämtliche Scanner bringen leider keinen Erfolg ... und mir fällt nichts gescheites mehr ein! So hier nun mal meine bisherigen aktivitäten.

Anfangs kam folgende Seite beim IE als Startseite:

res://hiduz.dll/index.html#37680

zzgl. solchen popups "spyware detected...." und so weiter ...

Nach nem gründlichen scan mit Norton hat er n paar Sachen gefunden die auf folgendes deuteten

Adware.Iefeats :

http://securityresponse.symantec.com/avcenter/venc/data/adware.iefeats.html

naja nach erfolgreichem Löschen hat es aber leider nicht aufgehört.

Wie im Faq beschrieben hab ich als nächstes Adaware/Spybot/CWShredder laufen lassen, mit folgenden ergebnissen:

Adaware: -
CWShredder: -

Spybot:

Possible extension hijack: Default screen saver handler (Registrierungsdatenbank-Änderung, nothing done)
HKEY_CLASSES_ROOT\scrfile\shell\open\command\!="%1" /S

und das jedesmal aufs neue nachdem ich mal wieder den IE geöffnet hab und die startseite wieder angezeigt wurde.

So da auch das löschen dieses Eintrags nichts gebracht hat ging es weiter mit

Hijackthis:

man beachte die ersten Reg-Einträge ... hab sie natürlich gelöscht und siehe da beim ersten IE öffnen kommt about:blank nachm schliessen und nem neuen versuch kommt der mist wieder und wird auch wieder von hijack erkannt .. komisch komisch:

Logfile of HijackThis v1.98.0
Scan saved at 19:39:55, on 29.06.2004
Platform: Windows XP SP1 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP1 (6.00.2800.1106)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\System32\Ati2evxx.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\Programme\Gemeinsame Dateien\Symantec Shared\ccSetMgr.exe
C:\WINDOWS\system32\Ati2evxx.exe
C:\WINDOWS\Explorer.EXE
C:\Programme\Gemeinsame Dateien\Symantec Shared\ccEvtMgr.exe
C:\WINDOWS\system32\spoolsv.exe
C:\Programme\Norton AntiVirus\AdvTools\NPROTECT.EXE
C:\Programme\Analog Devices\SoundMAX\SMAgent.exe
C:\Programme\ATI Technologies\ATI Control Panel\atiptaxx.exe
C:\Programme\Analog Devices\SoundMAX\Smtray.exe
C:\Programme\Gemeinsame Dateien\Symantec Shared\ccApp.exe
C:\Programme\Java\j2re1.4.2_03\bin\jusched.exe
C:\Programme\Logitech\iTouch\iTouch.exe
C:\Programme\Winamp\winampa.exe
C:\Programme\QuickTime\qttask.exe
C:\Programme\D-Tools\daemon.exe
C:\Programme\ICQPlus\vplus.exe
C:\Programme\internet explorer\iexplore.exe
C:\Programme\Adobe\Acrobat 5.0\Distillr\AcroTray.exe
C:\Programme\WEB.DE\WEB.DE Screensaver\TraySvr.exe
C:\WINDOWS\twain_32\A4CIS600\WATCH.exe
C:\Programme\Norton AntiVirus\navapsvc.exe
C:\Programme\ICQ\ICQ.exe
C:\Programme\Adobe\Acrobat 5.0\Acrobat\Acrobat.exe
C:\PROGRA~1\Netscape\Netscape\Netscp.exe
C:\Dokumente und Einstellungen\Jaycid\Desktop\hijackthis1.8\HijackThis.exe

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = res://C:\WINDOWS\hiduz.dll/sp.html#37680
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = res://hiduz.dll/index.html#37680
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = res://hiduz.dll/index.html#37680
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = res://C:\WINDOWS\hiduz.dll/sp.html#37680
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = res://C:\WINDOWS\hiduz.dll/sp.html#37680
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = res://hiduz.dll/index.html#37680
R3 - Default URLSearchHook is missing
F0 - system.ini: Shell=
F2 - REG:system.ini: UserInit=C:\WINDOWS\system32\userinit.exe,
O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Programme\Adobe\Acrobat 5.0\Acrobat\ActiveX\AcroIEHelper.ocx
O2 - BHO: (no name) - {A0B35DA7-935D-68EC-35AE-ACA3D098CB9E} - C:\WINDOWS\system32\appwz32.dll
O2 - BHO: NAV Helper - {BDF3E430-B101-42AD-A544-FADC6B084872} - C:\Programme\Norton AntiVirus\NavShExt.dll
O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINDOWS\System32\msdxm.ocx
O3 - Toolbar: Norton AntiVirus - {42CDD1BF-3FFB-4238-8AD1-7859DF00B1D6} - C:\Programme\Norton AntiVirus\NavShExt.dll
O4 - HKLM\..\Run: [ATIPTA] C:\Programme\ATI Technologies\ATI Control Panel\atiptaxx.exe
O4 - HKLM\..\Run: [Smapp] C:\Programme\Analog Devices\SoundMAX\Smtray.exe
O4 - HKLM\..\Run: [NeroCheck] C:\WINDOWS\system32\NeroCheck.exe
O4 - HKLM\..\Run: [ccApp] "C:\Programme\Gemeinsame Dateien\Symantec Shared\ccApp.exe"
O4 - HKLM\..\Run: [Advanced Tools Check] C:\PROGRA~1\NORTON~1\AdvTools\ADVCHK.EXE
O4 - HKLM\..\Run: [SunJavaUpdateSched] C:\Programme\Java\j2re1.4.2_03\bin\jusched.exe
O4 - HKLM\..\Run: [zBrowser Launcher] C:\Programme\Logitech\iTouch\iTouch.exe
O4 - HKLM\..\Run: [WinampAgent] C:\Programme\Winamp\winampa.exe
O4 - HKLM\..\Run: [KernelFaultCheck] %systemroot%\system32\dumprep 0 -k
O4 - HKLM\..\Run: [QuickTime Task] "C:\Programme\QuickTime\qttask.exe" -atboottime
O4 - HKLM\..\Run: [Mirabilis ICQ] C:\Programme\ICQ\ICQNet.exe
O4 - HKLM\..\Run: [DAEMON Tools-1033] "C:\Programme\D-Tools\daemon.exe" -lang 1033
O4 - HKLM\..\Run: [winreg] "C:\WINDOWS\Win Types\Win Const.exe"
O4 - HKCU\..\Run: [ICQ Plus] "C:\Programme\ICQPlus\vplus.exe"
O4 - HKCU\..\Run: [Mozilla Quick Launch] "C:\Programme\Netscape\Netscape\Netscp.exe" -turbo
O4 - HKCU\..\RunOnce: [ICQ] C:\Programme\ICQ\ICQ.exe -trayboot
O4 - Startup: Watch.lnk = C:\WINDOWS\twain_32\A4CIS600\WATCH.exe
O4 - Global Startup: Acrobat Assistant.lnk = C:\Programme\Adobe\Acrobat 5.0\Distillr\AcroTray.exe
O4 - Global Startup: Adobe Gamma Loader.lnk = C:\Programme\Gemeinsame Dateien\Adobe\Calibration\Adobe Gamma Loader.exe
O4 - Global Startup: Microsoft Office.lnk = C:\Programme\Microsoft Office\Office10\OSA.EXE
O4 - Global Startup: WEB.DE Screensaver Quick-Start.lnk = ?
O6 - HKCU\Software\Policies\Microsoft\Internet Explorer\Control Panel present
O8 - Extra context menu item: Nach Microsoft &Excel exportieren - res://C:\PROGRA~1\MICROS~2\Office10\EXCEL.EXE/3000
O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - (no file)
O9 - Extra 'Tools' menuitem: Sun Java Konsole - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - (no file)
O9 - Extra button: ICQ Pro - {6224f700-cba3-4071-b251-47cb894244cd} - C:\Programme\ICQ\ICQ.exe
O9 - Extra 'Tools' menuitem: ICQ - {6224f700-cba3-4071-b251-47cb894244cd} - C:\Programme\ICQ\ICQ.exe
O9 - Extra button: Related - {c95fe080-8f5d-11d2-a20b-00aa003c157a} - C:\WINDOWS\web\related.htm
O9 - Extra 'Tools' menuitem: Show &Related Links - {c95fe080-8f5d-11d2-a20b-00aa003c157a} - C:\WINDOWS\web\related.htm
O12 - Plugin for .spop: C:\Programme\Internet Explorer\Plugins\NPDocBox.dll
O16 - DPF: {31B7EB4E-8B4B-11D1-A789-00A0CC6651A8} (Cult3D ActiveX Player) - http://www.cult3d.com/download/cult.cab
O16 - DPF: {51EA44E6-C8C3-4E30-8F3D-D8EE71A44DCB} (Upload Control) - https://img.web.de/v/fotoalbum/activex/upload_1111.cab
O16 - DPF: {54B52E52-8000-4413-BD67-FC7FE24B59F2} (EARTPatchX Class) - http://files.ea.com/downloads/rtpatch/v2/EARTPX.cab
O16 - DPF: {70BA88C8-DAE8-4CE9-92BB-979C4A75F53B} (GSDACtl Class) - http://launch.gamespyarcade.com/software/launch/alaunch.cab
O17 - HKLM\System\CCS\Services\Tcpip\..\{F21F1464-2F57-4C34-90A7-059D91A33FB4}: NameServer = 217.237.150.225 194.25.2.129
O18 - Protocol: icoo - {4A8DADD4-5A25-4D41-8599-CB7458766220} - C:\WINDOWS\msopt.dll



zwischen den ganzen Versuchen hab ich auch manchmal n paar kleinere .exe files in system als fehler angezeigt bekommen bei norton bsp: mspm.exe oder ipem.exe oder so aber die hab ich immer schön brav gelöscht waren aber auch mit adware.Ifeats gekennzeichnet.

So Frage was kann ich nun noch machen???? es nervt nämlich tierisch immer diese dumme seite!!! Hab alle relevanten XP/IE updates drauf und auch sonst immer schön alles aktualisiert!!!

grüße

jaycid

[Lokadamus]

Diesen Process kann ich nicht wirklich einordnen:
C:\WINDOWS\twain_32\A4CIS600\WATCH.exe

Diese Einträge kannst du entfernen (die sp.html und die hiduz.dll solltest du auch löschen):
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = res://C:\WINDOWS\hiduz.dll/sp.html#37680
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = res://hiduz.dll/index.html#37680
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = res://hiduz.dll/index.html#37680
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = res://C:\WINDOWS\hiduz.dll/sp.html#37680
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = res://hiduz.dll/index.html#37680
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = res://C:\WINDOWS\hiduz.dll/sp.html#37680

O2 - BHO: (no name) - {A0B35DA7-935D-68EC-35AE-ACA3D098CB9E} - C:\WINDOWS\system32\appwz32.dll <-- unbekannt, überprüfen, bzw. verschieben, löschen
O4 - HKLM\..\Run: [winreg] "C:\WINDOWS\Win Types\Win Const.exe" <-- Trojaner (http://www.sophos.de/virusinfo/analyses/trojassasine.html)
O4 - Startup: Watch.lnk = C:\WINDOWS\twain_32\A4CIS600\WATCH.exe <-- komisches Teil, überprüfen,kann sauber sein

Diese Einträge sehen nutzlos aus, kannst löschen:
O4 - Global Startup: WEB.DE Screensaver Quick-Start.lnk = ?
O6 - HKCU\Software\Policies\Microsoft\Internet Explorer\Control Panel present

Überprüf mal in den Eigenschaften diese Datei, sie dürfte zu Adobe gehören, finde aber nicht viel dazu:
O12 - Plugin for .spop: C:\Programme\Internet Explorer\Plugins\NPDocBox.dll <-- scheint zu Adobe zu gehören?

Diese Einträge kannst du mal löschen, auch wenn sie sauber sind:
O16 - DPF: {31B7EB4E-8B4B-11D1-A789-00A0CC6651A8} (Cult3D ActiveX Player) - http://www.cult3d.com/download/cult.cab
O16 - DPF: {51EA44E6-C8C3-4E30-8F3D-D8EE71A44DCB} (Upload Control) - https://img.web.de/v/fotoalbum/activex/upload_1111.cab
O16 - DPF: {54B52E52-8000-4413-BD67-FC7FE24B59F2} (EARTPatchX Class) - http://files.ea.com/downloads/rtpatch/v2/EARTPX.cab
O16 - DPF: {70BA88C8-DAE8-4CE9-92BB-979C4A75F53B} (GSDACtl Class) - http://launch.gamespyarcade.com/sof...nch/alaunch.cab

Hab dahinter geschrieben, was wohl Probleme macht. Eventuell mal Antivir drüberhetzen und schauen, was dieser findet ...

[Denniss]

O18 - Protocol: icoo - {4A8DADD4-5A25-4D41-8599-CB7458766220} - C:\WINDOWS\msopt.dll

Scheint was böses zu sein siehe den Link :
http://www.kephyr.com/spywarescanner/library/msopt/index.phtml

O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - (no file)
O9 - Extra 'Tools' menuitem: Sun Java Konsole - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - (no file)

Muß zwar nix böses sein aber da die Datei dazu wohl fehlt dürften die Buttons auch nicht funktionieren als weg damit !

Bitte vor dem reparieren mit HJT den IE schließen !!!!

Hast Du Ad-Aware und Spybot aktualisiert vorm durchlaufen lassen ?
So wie das aussieht wurde die Option zur Immunisierung mit Spybot nicht benutzt obwohl das ausdrücklich empfohlen sein sollte .

[Jaycid]

O2 - BHO: (no name) - {A0B35DA7-935D-68EC-35AE-ACA3D098CB9E} - C:\WINDOWS\system32\appwz32.dll

konnte zwar nicht verfolgen wo die her kam aber ich habs mal gelöscht und siehe da es ging ..... mal schauen wie lange ... :)

lass jetzt aber erstmal zur sicherheit die immunisierung von spybot laufen ....

DANKE FÜR EURE SCHNELL HILFE!!!

Grüße

Jaycid