Komische Popups - Hijackthis-Log:

[t-master]

Seit vorhin habe ich auf einmal komisch Popups... es sind aber anscheinend leere Seiten. Ich kann jetzt natürlich nichts mehr spielen, weil es mich immer auf den Desktop haut. :(

Hier mal mein Hijackthis-Log: (Spybot hab ich schon probiert, der hats nicht gelöst)

Logfile of HijackThis v1.99.0
Scan saved at 21:31:08, on 14.01.2004
Platform: Windows XP (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 (6.00.2600.0000)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\System32\Ati2evxx.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\Programme\TGTSoft\StyleXP\StyleXPService.exe
C:\Programme\Gemeinsame Dateien\Symantec Shared\ccSetMgr.exe
C:\Programme\Gemeinsame Dateien\Symantec Shared\SNDSrvc.exe
C:\Programme\Gemeinsame Dateien\Symantec Shared\ccEvtMgr.exe
C:\WINDOWS\system32\LEXBCES.EXE
C:\WINDOWS\system32\spoolsv.exe
C:\WINDOWS\system32\LEXPPS.EXE
C:\Programme\Gemeinsame Dateien\Symantec Shared\ccProxy.exe
F:\Programme\Norton Internet Security\Norton AntiVirus\navapsvc.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\Ati2evxx.exe
C:\Programme\Gemeinsame Dateien\Symantec Shared\ccApp.exe
C:\Programme\T-DSL SpeedManager\SpeedMgr.exe
C:\Programme\ATI Technologies\ATI Control Panel\atiptaxx.exe
F:\Programme\Norton Internet Security\Norton AntiVirus\SAVScan.exe
C:\Programme\Messenger\msmsgs.exe
C:\Programme\T-DSL SpeedManager\tsmsvc.exe
C:\Programme\Trillian\trillian.exe
C:\Programme\LeechGet 2004\LeechGet.exe
C:\WINDOWS\System32\ntsmod.exe
C:\WINDOWS\explorer.exe
C:\WINDOWS\System32\rundll32.exe
C:\Programme\Gemeinsame Dateien\WinTools\WToolsA.exe
C:\Programme\Gemeinsame Dateien\WinTools\WSup.exe
F:\Programme\World Racing\WR_Multiplayer_Lounge.exe
C:\Programme\Windows Media Player\wmplayer.exe
C:\Programme\Internet Explorer\iexplore.exe
C:\Programme\WinRAR\WinRAR.exe
C:\DOKUME~1\SEBAST~1\LOKALE~1\Temp\Rar$EX00.438\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.t-online.de/
R3 - Default URLSearchHook is missing
O1 - Hosts: 69.20.16.183 search.netscape.com
O1 - Hosts: 69.20.16.183 ieautosearch
O1 - Hosts: 69.20.16.183 auto.search.msn.com
O1 - Hosts: 69.20.16.183 ieautosearch
O2 - BHO: (no name) - {87766247-311C-43B4-8499-3D5FEC94A183} - C:\PROGRA~1\GEMEIN~1\WinTools\WToolsB.dll
O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINDOWS\System32\msdxm.ocx
O3 - Toolbar: Web assistant - {0B53EAC3-8D69-4b9e-9B19-A37C9A5676A7} - C:\Programme\Gemeinsame Dateien\Symantec Shared\AdBlocking\NISShExt.dll
O3 - Toolbar: Norton AntiVirus - {42CDD1BF-3FFB-4238-8AD1-7859DF00B1D6} - F:\Programme\Norton Internet Security\Norton AntiVirus\NavShExt.dll
O4 - HKLM\..\Run: [ccApp] "C:\Programme\Gemeinsame Dateien\Symantec Shared\ccApp.exe"
O4 - HKLM\..\Run: [T-DSL SpeedMgr] "C:\Programme\T-DSL SpeedManager\SpeedMgr.exe"
O4 - HKLM\..\Run: [ATIPTA] C:\Programme\ATI Technologies\ATI Control Panel\atiptaxx.exe
O4 - HKLM\..\Run: [QuickTime Task] "C:\Programme\QuickTime\qttask.exe" -atboottime
O4 - HKLM\..\Run: [NeroFilterCheck] C:\WINDOWS\system32\NeroCheck.exe
O4 - HKLM\..\Run: [WinTools] C:\PROGRA~1\GEMEIN~1\WinTools\WToolsA.exe
O4 - HKCU\..\Run: [STYLEXP] C:\Programme\TGTSoft\StyleXP\StyleXP.exe -Hide
O4 - Startup: Verknüpfung mit Clix.lnk = F:\Programme\project clix\Clix.exe
O8 - Extra context menu item: Mit dem LeechGet Wizard laden - file://C:\Programme\LeechGet 2004\\Wizard.html
O8 - Extra context menu item: Mit LeechGet herunterladen - file://C:\Programme\LeechGet 2004\\AddUrl.html
O8 - Extra context menu item: Mit LeechGet parsen - file://C:\Programme\LeechGet 2004\\Parser.html
O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programme\Java\j2re1.4.2_06\bin\npjpi142_06.dll
O9 - Extra 'Tools' menuitem: Sun Java Konsole - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programme\Java\j2re1.4.2_06\bin\npjpi142_06.dll
O9 - Extra button: Related - {c95fe080-8f5d-11d2-a20b-00aa003c157a} - C:\WINDOWS\web\related.htm
O9 - Extra 'Tools' menuitem: Show &Related Links - {c95fe080-8f5d-11d2-a20b-00aa003c157a} - C:\WINDOWS\web\related.htm
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\MSMSGS.EXE
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\MSMSGS.EXE
O16 - DPF: {B38870E4-7ECB-40DA-8C6A-595F0A5519FF} (MsnMessengerSetupDownloadControl Class) - http://messenger.msn.com/download/msnmessengersetupdownloader.cab
O17 - HKLM\System\CCS\Services\Tcpip\..\{13EB7875-B256-445C-8E2D-15B6342691D3}: NameServer = 192.168.1.1
O17 - HKLM\System\CCS\Services\Tcpip\..\{6A7BF6AF-651E-4DEC-93F7-17D818CA9805}: NameServer = 192.168.1.1
O17 - HKLM\System\CS1\Services\Tcpip\..\{13EB7875-B256-445C-8E2D-15B6342691D3}: NameServer = 192.168.1.1
O17 - HKLM\System\CS2\Services\Tcpip\..\{13EB7875-B256-445C-8E2D-15B6342691D3}: NameServer = 192.168.1.1
O23 - Service: Ati HotKey Poller - ATI Technologies Inc. - C:\WINDOWS\System32\Ati2evxx.exe
O23 - Service: ATI Smart - Unknown - C:\WINDOWS\system32\ati2sgag.exe
O23 - Service: Symantec Event Manager - Symantec Corporation - C:\Programme\Gemeinsame Dateien\Symantec Shared\ccEvtMgr.exe
O23 - Service: Symantec Network Proxy - Symantec Corporation - C:\Programme\Gemeinsame Dateien\Symantec Shared\ccProxy.exe
O23 - Service: Symantec Password Validation - Symantec Corporation - C:\Programme\Gemeinsame Dateien\Symantec Shared\ccPwdSvc.exe
O23 - Service: Symantec Settings Manager - Symantec Corporation - C:\Programme\Gemeinsame Dateien\Symantec Shared\ccSetMgr.exe
O23 - Service: LexBce Server - Lexmark International, Inc. - C:\WINDOWS\system32\LEXBCES.EXE
O23 - Service: Norton AntiVirus Auto-Protect-Dienst - Symantec Corporation - F:\Programme\Norton Internet Security\Norton AntiVirus\navapsvc.exe
O23 - Service: SAVScan - Symantec Corporation - F:\Programme\Norton Internet Security\Norton AntiVirus\SAVScan.exe
O23 - Service: ScriptBlocking Service - Symantec Corporation - C:\PROGRA~1\GEMEIN~1\SYMANT~1\SCRIPT~1\SBServ.exe
O23 - Service: Symantec Network Drivers Service - Symantec Corporation - C:\Programme\Gemeinsame Dateien\Symantec Shared\SNDSrvc.exe
O23 - Service: StyleXPService - Unknown - C:\Programme\TGTSoft\StyleXP\StyleXPService.exe
O23 - Service: SymWMI Service - Symantec Corporation - C:\Programme\Gemeinsame Dateien\Symantec Shared\Security Center\SymWSC.exe
O23 - Service: TSMService - T-Systems Nova, Berkom - C:\Programme\T-DSL SpeedManager\tsmsvc.exe


edit: Ich sehe gerade - dieses Wintools war es - muss ich gleich mal sehen, was es damit auf sich hat - kennt ihr das? edit2: Aha toll, ich kann den Ordner nicht löschen, weil er gerade benutzt wird bzw weil ich keinen Zugriff drauf habe!?(also einige Dateien darin anscheinend) o.O
Was mach ich da?



Achso, vielleicht erwähnenswert: Norton Internet Sec hat mich jetzt schon ein paar mal gefragt, ob ich best. Programmen (ich kann mich nur noch an "InetFuel" erinnern) zugriff aufs Internet erlauben will - hab ich natürlich nicht getan. Trotzdem - die ganze Programme hab ich alle nicht gekannt, sowas ist mir nicht mehr passiert, seit ich NIS habe, und das ist schon seit über nem Jahr. ;)


edit: Jetzt ist lange erst mal nichts gewesen, doch jetzt wieder ein Popup. Ich poste mal den Link: (entschärft ;))

h??p://mediabuy-nic.cjt1.net/HTM/406/1/JavaSiteRequest.asp?LV=6000&DC=619&NF=0&IW=720&IH=300&ORD=1074115323109?

[Klingone mit Klampfe]

Warum checkst Du das Log nicht einfach auf www.hijackthis.de? Dann siehst Du gleich was "böse" ist - buchstäblich ;)

[t-master]

Warum checkst Du das Log nicht einfach auf www.hijackthis.de? Dann siehst Du gleich was "böse" ist - buchstäblich ;)

Danke, ich hab doch gewusst, dass ich mal auf so einer Seite war, aber mir währe jetzt echt nicht eingefallen, mal hijackthis.de einzugeben... X-(

Also der sagt genau das, was ich befürchtet habe - diese WinTools sind Böse. :D Mal sehen, was sich machen lässt...


edit: Na das find ich ja mal originell: Ich hab das Problem gefixed. Hat leider nichts gebracht. Die Prozesse WSup.exe und WtoolsA.exe kann ich im Taskmanager nicht wirklich beenden - die starten sich sofort wieder neu. Und das binnen Millisekunden, ich hab gar keine Chance, die Datei im Ordner zu löschen, nachdem ich sie im Taskmgr beendet habe. ;)

Also, was soll ich machen?
Spybot - geht nicht.
Hijackthis - geht nicht.
Manuell - geht nicht. (ich hab sogar die reg-Einträge, die mit wtools zu tun haben, gelöscht - die kommen zwar nicht wieder, nur bringt das auch nichts.)

Was habt ihr noch für Ideen?

edit: Oh man, ich erschieß mich gleich - ich schau gerade zufällig in Software unter Systemsteuerung - und was seh ich? Dieses blöde Zeug... ich habs jetzt deinstalliert, funktioniert aber erst nach nem Reboot - morgen weiß ich mehr. ;)
Aber warum erwecken die mit dem Programm den Anschein, es sein ein Virus/Trojaner/Wurm was weiß ich? Naja... gute Nacht.

[t-master]

So, gerade hab ich meine Firewall ausgemacht für ein paar Minuten, hab aber vergessen, vorher noch das Internet-LAN-Kabel abzuziehen. :(
Natürlich gleich ein popup... naja, hab ich mir gedacht, ist ja egal.
Nur: Jetzt bekomme ich immer, wenn ich ne Seite aufrufen will, ne Seite angezeigt, die mir sagt, dass die Seite nicht gefunden wurde. Vorher seh ich ja aber noch, wie die eigentliche Seite geladen wird, und wenn ich auf zurück klicke, komme ich auch auf die eigentliche Seite, auf die ich wollte.
Das sieht dann so aus:
Ich gebe z.B. www.3dcenter.de ein.
Dann sehe ich kurz, wie 3dc geladen wird, und dann kommt folgende Seite:
h++p://69.20.62.53/dns.php?url=www.3dcenter.de
Tio, wenn ich www.t-online.de eingebe, kommt dementsprechend T-online hinten dran. ;)

Hijackthis hab ich schon gemacht, auch schon einen Eintrag gelöscht, (was nicht mal so einfach war, hab extra ein anderes Programm gebraucht...) Nur leider hat das nichts gebracht.
Jetzt hab ich noch drei andere "böse" Einträge, die sind aber schon immer dagewesen glaub ich. Irgendwie sieht das auch nach der msn-Suche aus im IE.
Spybot hab ich auch schon laufen lassen, wieder ein paar Sachen gefunden, aber alle entfernt.

Was ist das schon wieder? Man kann ja nicht mehr normal surfen...
Muss gleich mal Firefox ausprobieren, wenns mit dem normal geht, surf ich mit dem, aber ich will trotzdem wissen, was das ist und vor allem wie ich es wegbekomme. ;)

edit: Auch mit Firefox kommt die blöde Seite - wie bekomm ich die weg? Das regt mich dermaßen auf...

[Denniss]

Inhalt der Log-Datei von Hijack-This hier reinstellen oder bei www.hijackthis.de die Auswertung probieren.

Vielelicht hat sich der Schädling über die Hosts-Datei hergemacht.
Was sagt der Virenkiller ?