Popup von IE

[senator]

Hi,
ich werd noch irre ...als standartbrowser nutze ich den Firefox und seit gestern geht aufeinmal immer ein kleines ie fenster auf mit werbung für adult fried finder, hab schon spybot und adaware drüberlaufen lassen....die finden nix.
anbei mal ein hijackthis log
Logfile of HijackThis v1.98.2
Scan saved at 12:07:03, on 08.12.2004
Platform: Windows XP SP1 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP1 (6.00.2800.1106)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\spoolsv.exe
C:\WINDOWS\Explorer.EXE
C:\WINDOWS\SOUNDMAN.EXE
C:\WINDOWS\System32\RUNDLL32.EXE
C:\WINDOWS\Twain_32\FlatBed\HotKey.exe
C:\Programme\Zone Labs\ZoneAlarm\zlclient.exe
C:\WINDOWS\TBPanel.exe
C:\WINDOWS\System32\drivers\CDAC11BA.EXE
C:\WINDOWS\System32\ctfmon.exe
C:\WINDOWS\system32\CTSVCCDA.EXE
C:\Programme\Microsoft ActiveSync\WCESCOMM.EXE
C:\Programme\Gemeinsame Dateien\Microsoft Shared\VS7DEBUG\MDM.EXE
C:\WINDOWS\System32\nvsvc32.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\ZoneLabs\vsmon.exe
C:\WINDOWS\System32\MsPMSPSv.exe
C:\firefunz\Firefox\firefox.exe
C:\totalcmd\TOTALCMD.EXE
C:\DOKUME~1\Higgie\LOKALE~1\Temp\_tc\HIJACK~1.EXE

O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Programme\Adobe\Acrobat 6.0\Reader\ActiveX\AcroIEHelper.dll
O2 - BHO: (no name) - {53707962-6F74-2D53-2644-206D7942484F} - C:\PROGRA~1\SPYBOT~1\SDHelper.dll
O2 - BHO: NTIECatcher Class - {C56CB6B0-0D96-11D6-8C65-B2868B609932} - C:\Programme\Xi\NetTransport 2\NTIEHelper.dll
O4 - HKLM\..\Run: [SoundMan] SOUNDMAN.EXE
O4 - HKLM\..\Run: [Jet Detection] C:\Programme\Creative\SBLive\PROGRAM\ADGJDet.exe
O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\System32\NvCpl.dll,NvStartup
O4 - HKLM\..\Run: [nwiz] nwiz.exe /install
O4 - HKLM\..\Run: [NvMediaCenter] RUNDLL32.EXE C:\WINDOWS\System32\NvMcTray.dll,NvTaskbarInit
O4 - HKLM\..\Run: [HotKey] C:\WINDOWS\Twain_32\FlatBed\HotKey.exe
O4 - HKLM\..\Run: [Zone Labs Client] "C:\Programme\Zone Labs\ZoneAlarm\zlclient.exe"
O4 - HKLM\..\Run: [Gainward] C:\WINDOWS\TBPanel.exe /A
O4 - HKLM\..\Run: [SysMon] C:\windows\system32\mswkrjo32.exe
O4 - HKLM\..\Run: [KAVPersonal50] "C:\Programme\Kaspersky Lab\Kaspersky Anti-Virus Personal\kav.exe" /minimize
O4 - HKLM\..\RunOnce: [delus] C:\DOKUME~1\Higgie\LOKALE~1\Temp\delus.exe
O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\ctfmon.exe
O4 - HKCU\..\Run: [H/PC Connection Agent] "C:\Programme\Microsoft ActiveSync\WCESCOMM.EXE"
O8 - Extra context menu item: Alles mit Net Transport herunterladen - C:\Programme\Xi\NetTransport 2\NTAddList.html
O8 - Extra context menu item: Mit Net Transport herunterladen - C:\Programme\Xi\NetTransport 2\NTAddLink.html
O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\WINDOWS\System32\msjava.dll
O9 - Extra 'Tools' menuitem: Sun Java Konsole - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\WINDOWS\System32\msjava.dll
O9 - Extra button: Mobilen Favoriten erstellen - {2EAF5BB1-070F-11D3-9307-00C04FAE2D4F} - C:\Programme\Microsoft ActiveSync\INETREPL.DLL
O9 - Extra button: (no name) - {2EAF5BB2-070F-11D3-9307-00C04FAE2D4F} - C:\Programme\Microsoft ActiveSync\INETREPL.DLL
O9 - Extra 'Tools' menuitem: Mobilen Favoriten erstellen... - {2EAF5BB2-070F-11D3-9307-00C04FAE2D4F} - C:\Programme\Microsoft ActiveSync\INETREPL.DLL
O9 - Extra button: Run WinHTTrack - {36ECAF82-3300-8F84-092E-AFF36D6C7040} - C:\Programme\WinHTTrack\WinHTTrackIEBar.dll
O9 - Extra 'Tools' menuitem: Launch WinHTTrack - {36ECAF82-3300-8F84-092E-AFF36D6C7040} - C:\Programme\WinHTTrack\WinHTTrackIEBar.dll
O9 - Extra button: Recherchieren - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - C:\PROGRA~1\MICROS~4\OFFICE11\REFIEBAR.DLL
O16 - DPF: {6414512B-B978-451D-A0D8-FCFDF33E833C} (WUWebControl Class) - http://v5.windowsupdate.microsoft.com/v5consumer/V5Controls/en/x86/client/wuweb_site.cab?1096544053625
O16 - DPF: {A8482EAF-A1F3-4934-AE3F-56EB195A50BF} (DeskUpdateV3 - Activex Control) - http://support.fujitsu-siemens.de/DeskUpdate/isapi/activex.cab
O18 - Protocol: cetihpz - {CF184AD3-CDCB-4168-A3F7-8E447D129300} - C:\Programme\HP\hpcoretech\comp\hpuiprot.dll

[Gast]

hm, sicher, dass es n IE popup ist?
evtl mal den nachrichtendienst abschalten?!

[senator]

jup es ist der ie...zonealarm fragt jedes mal nach ob ich dem ie den connect ins netz gestatten will.


edit:
hab jetzt mal das sp2 sowie alle windowsupdates gemacht, aber der ie will immer noch in sporadischen abständen diese werbung aufrufen :uattack4:

[Sephiroth]

O4 - HKLM\..\Run: [SysMon] C:\windows\system32\mswkrjo32.exe

Das klingt seehr verdächtig. Hau mal raus :biggrin:

genau wie

O4 - HKLM\..\RunOnce: [delus] C:\DOKUME~1\Higgie\LOKALE~1\Temp\delus.exe

[senator]

O4 - HKLM\..\Run: [SysMon] C:\windows\system32\mswkrjo32.exe

Das klingt seehr verdächtig. Hau mal raus :biggrin:

genau wie

O4 - HKLM\..\RunOnce: [delus] C:\DOKUME~1\Higgie\LOKALE~1\Temp\delus.exe
dieses mswkrjo32 ist hartnäckig...habe es schon umbenannt, gelöscht....aber es kommt direkt immer wieder, und google findet nix zu der datei. dieses delus hab ich jetzt rausgeschmissen.

[Black-Scorpion]

O4 - HKLM\..\Run: [SysMon] C:\windows\system32\mswkrjo32.exe -> Ich bin Böse (Google findet nichts dazu)

O4 - HKLM\..\RunOnce: [delus] C:\DOKUME~1\Higgie\LOKALE~1\Temp\delus.exe -> Ich bin Böse


Systemwiederherstellung abschalten!
Mit HijackThis fixen.
Im abgesicherten Modus starten und beide Dateien löschen.

[senator]

ok, thx...werds direkt mal antesten.

edit: hat gefunzt bis jetzt ist ruhe.. :smile: