PopUp Problem

[piepoen]

Hi!

Ich hab ein echtes Problem mit PopUps. Kann mir jemand helfen? AdAware findet nichts und ich hab keine Ahnung wo das herkommt.

Logfile of HijackThis v1.99.1
Scan saved at 10:17:51, on 21.10.2005
Platform: Windows XP SP1 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP1 (6.00.2800.1106)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\System32\Ati2evxx.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\spoolsv.exe
C:\Programme\Cisco Systems\VPN Client\cvpnd.exe
C:\Programme\Symantec_Client_Security\Symantec AntiVirus\DefWatch.exe
C:\Programme\Symantec_Client_Security\Symantec AntiVirus\Rtvscan.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\Explorer.EXE
C:\WINDOWS\ATK0100\Hcontrol.exe
C:\WINDOWS\SOUNDMAN.EXE
C:\Programme\ASUS\ASUS Probe\AsusProb.exe
C:\Programme\ABBYY FineReader 7.0 Professional Edition\AbbyyNewsReader.exe
C:\PROGRA~1\SYMANT~1\SYMANT~1\vptray.exe
C:\PROGRA~1\GEMEIN~1\PCSuite\DATALA~1\DATALA~1.EXE
C:\PROGRA~1\Nokia\NOKIAP~1\TRAYAP~1.EXE
C:\Programme\QuickTime\qttask.exe
C:\WINDOWS\System32\LVCOMSX.EXE
C:\Programme\Logitech\Video\LogiTray.exe
C:\PROGRA~1\GEMEIN~1\PCSuite\Services\SERVIC~1.EXE
C:\Programme\ICQPlus\VPlus.exe
C:\WINDOWS\System32\DrvMon.exe
C:\Program Files\Logitech\Desktop Messenger\8876480\Program\BackWeb-8876480.exe
C:\WINDOWS\ATK0100\ATKOSD.exe
C:\Programme\Adobe\Acrobat 6.0\Distillr\acrotray.exe
C:\Programme\Logitech\Video\FxSvr2.exe
C:\WINDOWS\system32\rundll32.exe
C:\Programme\ASUS\WLAN Card Utilities\Center.exe
C:\Dokumente und Einstellungen\Claudia.LUMPY\Desktop\hijackthis\HijackThis.exe

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = http://google.icq.com
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.google.de/
R1 - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings,ProxyOverride = localhost
R3 - URLSearchHook: ICQ  Toolbar - {855F3B16-6D32-4fe6-8A56-BBB695989046} - C:\Programme\ICQToolbar\toolbaru.dll
O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINDOWS\System32\msdxm.ocx
O3 - Toolbar: Adobe PDF - {47833539-D0C5-4125-9FA8-0819E2EAAC93} - C:\Programme\Adobe\Acrobat 6.0\Acrobat\AcroIEFavClient.dll
O3 - Toolbar: ICQ  Toolbar - {855F3B16-6D32-4fe6-8A56-BBB695989046} - C:\Programme\ICQToolbar\toolbaru.dll
O4 - HKLM\..\Run: [Hcontrol] C:\WINDOWS\ATK0100\Hcontrol.exe
O4 - HKLM\..\Run: [SiSUSBRG] C:\WINDOWS\SiSUSBrg.exe
O4 - HKLM\..\Run: [SoundMan] SOUNDMAN.EXE
O4 - HKLM\..\Run: [ATIModeChange] Ati2mdxx.exe
O4 - HKLM\..\Run: [ASUS Probe] C:\Programme\ASUS\ASUS Probe\AsusProb.exe
O4 - HKLM\..\Run: [FineReader7NewsReaderPro] C:\Programme\ABBYY FineReader 7.0 Professional Edition\AbbyyNewsReader.exe
O4 - HKLM\..\Run: [vptray] C:\PROGRA~1\SYMANT~1\SYMANT~1\vptray.exe
O4 - HKLM\..\Run: [NeroFilterCheck] C:\WINDOWS\system32\NeroCheck.exe
O4 - HKLM\..\Run: [DataLayer] C:\PROGRA~1\GEMEIN~1\PCSuite\DATALA~1\DATALA~1.EXE
O4 - HKLM\..\Run: [PCSuiteTrayApplication] C:\PROGRA~1\Nokia\NOKIAP~1\TRAYAP~1.EXE
O4 - HKLM\..\Run: [QuickTime Task] "C:\Programme\QuickTime\qttask.exe" -atboottime
O4 - HKLM\..\Run: [ICQ Lite] C:\Programme\ICQLite\ICQLite.exe -minimize
O4 - HKLM\..\Run: [LVCOMSX] C:\WINDOWS\System32\LVCOMSX.EXE
O4 - HKLM\..\Run: [LogitechVideoRepair] C:\Programme\Logitech\Video\ISStart.exe 
O4 - HKLM\..\Run: [LogitechVideoTray] C:\Programme\Logitech\Video\LogiTray.exe
O4 - HKLM\..\Run: [Control Center] C:\Programme\ASUS\WLAN Card Utilities\Center.exe
O4 - HKLM\..\Run: [DAEMON Tools-1033] "C:\Programme\D-Tools\daemon.exe" -lang 1033
O4 - HKCU\..\Run: [ICQ Plus] "C:\Programme\ICQPlus\VPlus.exe"
O4 - HKCU\..\Run: [ntmsmgr] C:\WINDOWS\System32\ntmsmgr.exe
O4 - HKCU\..\Run: [DrvMon.exe] C:\WINDOWS\System32\DrvMon.exe
O4 - HKCU\..\Run: [LDM] C:\Program Files\Logitech\Desktop Messenger\8876480\Program\BackWeb-8876480.exe
O4 - HKCU\..\Run: [LogitechSoftwareUpdate] C:\Programme\Logitech\Video\ManifestEngine.exe boot
O4 - HKCU\..\RunOnce: [ICQ Lite] C:\Programme\ICQLite\ICQLite.exe -trayboot
O4 - Global Startup: Acrobat Assistant.lnk = C:\Programme\Adobe\Acrobat 6.0\Distillr\acrotray.exe
O4 - Global Startup: Cisco Systems VPN Client.lnk = C:\Programme\Cisco Systems\VPN Client\vpngui.exe
O4 - Global Startup: Logitech Desktop Messenger.lnk = C:\Program Files\Logitech\Desktop Messenger\8876480\Program\LDMConf.exe
O4 - Global Startup: ASUS WLAN Control Center.lnk = ?
O8 - Extra context menu item: &ICQ Toolbar Search - res://C:\Programme\ICQToolbar\toolbaru.dll/SEARCH.HTML
O9 - Extra button: ICQ Lite - {B863453A-26C3-4e1f-A54D-A2CD196348E9} - C:\Programme\ICQLite\ICQLite.exe
O9 - Extra 'Tools' menuitem: ICQ Lite - {B863453A-26C3-4e1f-A54D-A2CD196348E9} - C:\Programme\ICQLite\ICQLite.exe
O16 - DPF: {2253F320-AB68-4A07-917D-4F12D8884A06} (ChainCast VMR Client Proxy) - http://www.streamaudio.com/download/ccpm_0237.cab
O16 - DPF: {6414512B-B978-451D-A0D8-FCFDF33E833C} (WUWebControl Class) - http://update.microsoft.com/windowsu...?1120299214376
O20 - Winlogon Notify: MediaContentIndex - C:\WINDOWS\system32\lv4s09h7e.dll
O20 - Winlogon Notify: NavLogon - C:\WINDOWS\System32\NavLogon.dll
O23 - Service: Ati HotKey Poller - Unknown owner - C:\WINDOWS\System32\Ati2evxx.exe
O23 - Service: Cisco Systems, Inc. VPN Service (CVPND) - Cisco Systems, Inc. - C:\Programme\Cisco Systems\VPN Client\cvpnd.exe
O23 - Service: DefWatch - Symantec Corporation - C:\Programme\Symantec_Client_Security\Symantec AntiVirus\DefWatch.exe
O23 - Service: Symantec AntiVirus Client (Norton AntiVirus Server) - Symantec Corporation - C:\Programme\Symantec_Client_Security\Symantec AntiVirus\Rtvscan.exe

[Ruby]

Hi Piepoen

kannst du alles auf deinem Rechner sehen? Überprüfe deine Einstellungen.

Im Windows-Explorer:
>Extras >Ordneroptionen >den Reiter "Ansicht" >Versteckte Dateien und Ordner >"alle Dateien und Ordner anzeigen" aktivieren und >Extras >Ordneroptionen >den Reiter "Ansicht" >Dateien und Ordner >"Geschützte Systemdateien ausblenden (empfohlen)" deaktivieren. Lade zusätlich dazu den Prozess Radar runter. Suche und finde damit die angeforderten Dateien.

Lade diese Datei(en) hoch

C:\WINDOWS\System32\ntmsmgr.exe
C:\WINDOWS\system32\lv4s09h7e.dll

1. -> Upload malicious software (*)
2. -> ST-Adware-Upload (*)

(*) Wenn du zum hochladen ein Zip-Programm benötigst, SIMPLYZIP ist kostenlos.

3. Scanne nun >>diese<< Datei(en) mit HJT sowie mit Virustotal und/oder Jotti

C:\WINDOWS\System32\DrvMon.exe
C:\WINDOWS\System32\ntmsmgr.exe
C:\WINDOWS\system32\lv4s09h7e.dll

Melde dich und lass uns wissen, ob der Upload zu beiden Adressen (!) funktioniert hat.
Teile uns >>alle Einzel-Scan-Ergebnisse mittels copy&paste<< mit.

[piepoen]

Lade diese Datei(en) hoch

C:\WINDOWS\System32\ntmsmgr.exe
C:\WINDOWS\system32\lv4s09h7e.dll

1. -> Upload malicious software (*)
2. -> ST-Adware-Upload (*)

3. Scanne nun >>diese<< Datei(en) mit HJT sowie mit Virustotal und/oder Jotti

C:\WINDOWS\System32\DrvMon.exe
C:\WINDOWS\System32\ntmsmgr.exe
C:\WINDOWS\system32\lv4s09h7e.dll

Melde dich und lass uns wissen, ob der Upload zu beiden Adressen (!) funktioniert hat.
Teile uns >>alle Einzel-Scan-Ergebnisse mittels copy&paste<< mit.

Die Datei C:\WINDOWS\system32\lv4s09h7e.dll gibt es nicht mehr.

hier die Ergebnisse der Scans:
HJT

testCheck a file
Checked file DrvMon.exe
Filesize: 53248 Bytes
MD5-Hashvalue: 72807f1ae10cac14ad3e521183a461f3
=======================================

F-Prot Antivirus: No virus found.
Clam AV: No virus found.
VirusBlokAda: No virus found.

Check a file
Checked file ntmsmgr.dll
Filesize: 469504 Bytes
MD5-Hashvalue: 3b7dd690b8fa82262a75145c246f6aa9
=======================================

F-Prot Antivirus: No virus found.
Clam AV: No virus found.
VirusBlokAda: No virus found.

Der Rest kommt später.

Hier noch ein aktuelles Log:

Logfile of HijackThis v1.99.1
Scan saved at 11:58:13, on 21.10.2005
Platform: Windows XP SP1 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP1 (6.00.2800.1106)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\System32\Ati2evxx.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\spoolsv.exe
C:\Programme\Cisco Systems\VPN Client\cvpnd.exe
C:\Programme\Symantec_Client_Security\Symantec AntiVirus\DefWatch.exe
C:\Programme\Symantec_Client_Security\Symantec AntiVirus\Rtvscan.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\Explorer.EXE
C:\WINDOWS\ATK0100\Hcontrol.exe
C:\WINDOWS\SOUNDMAN.EXE
C:\Programme\ASUS\ASUS Probe\AsusProb.exe
C:\Programme\ABBYY FineReader 7.0 Professional Edition\AbbyyNewsReader.exe
C:\PROGRA~1\SYMANT~1\SYMANT~1\vptray.exe
C:\PROGRA~1\GEMEIN~1\PCSuite\DATALA~1\DATALA~1.EXE
C:\PROGRA~1\Nokia\NOKIAP~1\TRAYAP~1.EXE
C:\Programme\QuickTime\qttask.exe
C:\Programme\ICQLite\ICQLite.exe
C:\WINDOWS\System32\LVCOMSX.EXE
C:\Programme\Logitech\Video\LogiTray.exe
C:\PROGRA~1\GEMEIN~1\PCSuite\Services\SERVIC~1.EXE
C:\Programme\D-Tools\daemon.exe
C:\Programme\ICQPlus\VPlus.exe
C:\WINDOWS\ATK0100\ATKOSD.exe
C:\Programme\Adobe\Acrobat 6.0\Distillr\acrotray.exe
C:\Programme\ASUS\WLAN Card Utilities\Center.exe
C:\Programme\Logitech\Video\FxSvr2.exe
C:\WINDOWS\System32\wuauclt.exe
C:\Programme\Internet Explorer\iexplore.exe
C:\Dokumente und Einstellungen\Claudia.LUMPY\Desktop\hijackthis\HijackThis.exe

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = http://google.icq.com
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.google.de/
R1 - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings,ProxyOverride = localhost
R3 - URLSearchHook: ICQ  Toolbar - {855F3B16-6D32-4fe6-8A56-BBB695989046} - C:\Programme\ICQToolbar\toolbaru.dll
O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINDOWS\System32\msdxm.ocx
O3 - Toolbar: Adobe PDF - {47833539-D0C5-4125-9FA8-0819E2EAAC93} - C:\Programme\Adobe\Acrobat 6.0\Acrobat\AcroIEFavClient.dll
O3 - Toolbar: ICQ  Toolbar - {855F3B16-6D32-4fe6-8A56-BBB695989046} - C:\Programme\ICQToolbar\toolbaru.dll
O4 - HKLM\..\Run: [Hcontrol] C:\WINDOWS\ATK0100\Hcontrol.exe
O4 - HKLM\..\Run: [SiSUSBRG] C:\WINDOWS\SiSUSBrg.exe
O4 - HKLM\..\Run: [SoundMan] SOUNDMAN.EXE
O4 - HKLM\..\Run: [ATIModeChange] Ati2mdxx.exe
O4 - HKLM\..\Run: [ASUS Probe] C:\Programme\ASUS\ASUS Probe\AsusProb.exe
O4 - HKLM\..\Run: [FineReader7NewsReaderPro] C:\Programme\ABBYY FineReader 7.0 Professional Edition\AbbyyNewsReader.exe
O4 - HKLM\..\Run: [vptray] C:\PROGRA~1\SYMANT~1\SYMANT~1\vptray.exe
O4 - HKLM\..\Run: [NeroFilterCheck] C:\WINDOWS\system32\NeroCheck.exe
O4 - HKLM\..\Run: [DataLayer] C:\PROGRA~1\GEMEIN~1\PCSuite\DATALA~1\DATALA~1.EXE
O4 - HKLM\..\Run: [PCSuiteTrayApplication] C:\PROGRA~1\Nokia\NOKIAP~1\TRAYAP~1.EXE
O4 - HKLM\..\Run: [QuickTime Task] "C:\Programme\QuickTime\qttask.exe" -atboottime
O4 - HKLM\..\Run: [ICQ Lite] C:\Programme\ICQLite\ICQLite.exe -minimize
O4 - HKLM\..\Run: [LVCOMSX] C:\WINDOWS\System32\LVCOMSX.EXE
O4 - HKLM\..\Run: [LogitechVideoRepair] C:\Programme\Logitech\Video\ISStart.exe 
O4 - HKLM\..\Run: [LogitechVideoTray] C:\Programme\Logitech\Video\LogiTray.exe
O4 - HKLM\..\Run: [Control Center] C:\Programme\ASUS\WLAN Card Utilities\Center.exe
O4 - HKLM\..\Run: [DAEMON Tools-1033] "C:\Programme\D-Tools\daemon.exe" -lang 1033
O4 - HKCU\..\Run: [ICQ Plus] "C:\Programme\ICQPlus\VPlus.exe"
O4 - HKCU\..\Run: [ntmsmgr] C:\WINDOWS\System32\ntmsmgr.exe
O4 - HKCU\..\Run: [LDM] \Program\BackWeb-8876480.exe
O4 - HKCU\..\RunOnce: [ICQ Lite] C:\Programme\ICQLite\ICQLite.exe -trayboot
O4 - Global Startup: Acrobat Assistant.lnk = C:\Programme\Adobe\Acrobat 6.0\Distillr\acrotray.exe
O4 - Global Startup: Cisco Systems VPN Client.lnk = C:\Programme\Cisco Systems\VPN Client\vpngui.exe
O4 - Global Startup: Logitech Desktop Messenger.lnk = C:\Program Files\Logitech\Desktop Messenger\8876480\Program\LDMConf.exe
O4 - Global Startup: ASUS WLAN Control Center.lnk = ?
O8 - Extra context menu item: &ICQ Toolbar Search - res://C:\Programme\ICQToolbar\toolbaru.dll/SEARCH.HTML
O9 - Extra button: ICQ Lite - {B863453A-26C3-4e1f-A54D-A2CD196348E9} - C:\Programme\ICQLite\ICQLite.exe
O9 - Extra 'Tools' menuitem: ICQ Lite - {B863453A-26C3-4e1f-A54D-A2CD196348E9} - C:\Programme\ICQLite\ICQLite.exe
O16 - DPF: {2253F320-AB68-4A07-917D-4F12D8884A06} (ChainCast VMR Client Proxy) - http://www.streamaudio.com/download/ccpm_0237.cab
O16 - DPF: {6414512B-B978-451D-A0D8-FCFDF33E833C} (WUWebControl Class) - http://update.microsoft.com/windowsupdate/v6/V5Controls/en/x86/client/wuweb_site.cab?1120299214376
O20 - Winlogon Notify: NavLogon - C:\WINDOWS\System32\NavLogon.dll
O20 - Winlogon Notify: Themes - C:\WINDOWS\system32\l4n40e5qeh.dll
O23 - Service: Ati HotKey Poller - Unknown owner - C:\WINDOWS\System32\Ati2evxx.exe
O23 - Service: Cisco Systems, Inc. VPN Service (CVPND) - Cisco Systems, Inc. - C:\Programme\Cisco Systems\VPN Client\cvpnd.exe
O23 - Service: DefWatch - Symantec Corporation - C:\Programme\Symantec_Client_Security\Symantec AntiVirus\DefWatch.exe
O23 - Service: Symantec AntiVirus Client (Norton AntiVirus Server) - Symantec Corporation - C:\Programme\Symantec_Client_Security\Symantec AntiVirus\Rtvscan.exe

[Ruby]

Die Datei C:\WINDOWS\system32\lv4s09h7e.dll gibt es nicht mehr.

Dann nimm bitte die Datei, die nun an Stelle der "lv4s09h7e.dll" steht. Bitte den Rest posten. Du brauchst unsere Beitr&#228;ge nicht wiederholen, sie stehen ja schon da. Logfiles nur posten, wenn wir ausdr&#252;cklich darum bitten.

[Speedy]

hi claudia

das C:\WINDOWS\System32\ntmsmgr.exe mit dem scanner Virustotal fehlt noch

bitte starte hijackthis, erstelle ein logfile, navigiere zu den eintr&#228;gen unter 020

der eine, ist immer gleich
-> O20 - Winlogon Notify: NavLogon - C:\WINDOWS\System32\NavLogon.dll

der zweite &#228;ndert sich immer wieder, mit jedem neustart

O20 - Winlogon Notify: Themes - C:\WINDOWS\system32\l4n40e5qeh.dll
O20 - Winlogon Notify: MediaContentIndex - C:\WINDOWS\system32\lv4s09h7e.dll

sieh nach, wie er sich diesesmal nennt und versuche nun die datei hochzuladen bzw auch &#252;ber virustotal zu &#252;berpr&#252;fen
ergbnis hier posten.

Platform: Windows XP XXX (WinNT X.XX.XXXX)
MSIE: Internet Explorer v6.00 XXX (X.XX.XXXX.XXXX)
bitte aktualisiere dein system durch ein windows-update.
solltest du das servicepack 2 ben&#246;tigen, das bekommst du hier(download oder bestellung).

C:\-------\temp\Hijackthis.exe
HijackThis niemals aus einem temp. ordner ausf&#252;hren, das programm so anlegen
C:\Programme\HijackThis\HijackThis.exe dann klappt es auch mit dem backup

das

R3 - URLSearchHook: ICQ Toolbar - {855F3B16-6D32-4fe6-8A56-BBB695989046} - C:\Programme\ICQToolbar\toolbaru.dll

ist adware, die du mit icq installiert hast. es wird empfohlen, eintr&#228;ge unter R3 immer zu fixen, man muss es aber in diesem fall nicht.
siehe hier bei wintotal die einstufung von C\Programme\ICQToolbar ,ICQ Toolbar INFO
solltes du probleme mit vermehrtem werbeaufkommen bekommen, melde dich wieder hier im forum.

[piepoen]

Also:

Virus Total
_______________________________________________

Scan results
 File: DrvMon.exe
 Date: 10/21/2005 12:18:04 (CET)
----
AntiVir        6.32.0.6/20051021        found nothing
Avast        4.6.695.0/20051020        found nothing
AVG        718/20051021        found nothing
Avira        6.32.0.6/20051021        found nothing
BitDefender        7.2/20051021        found nothing
CAT-QuickHeal        8.00/20051020        found nothing
ClamAV        devel-20050917/20051021        found nothing
DrWeb        4.32b/20051021        found nothing
eTrust-Iris        7.1.194.0/20051021        found nothing
eTrust-Vet        11.9.1.0/20051021        found nothing
Fortinet        2.48.0.0/20051021        found nothing
F-Prot        3.16c/20051020        found nothing
Ikarus        0.2.59.0/20051020        found nothing
Kaspersky        4.0.2.24/20051021        found nothing
McAfee        4609/20051020        found nothing
NOD32v2        1.1262/20051020        found nothing
Norman        5.70.10/20051021        found nothing
Panda        8.02.00/20051020        found nothing
Sophos        3.98.0/20051021        found nothing
Symantec        8.0/20051020        found nothing
TheHacker        5.8.4.126/20051020        found nothing
VBA32        3.10.4/20051020        found nothing

Scan results
 File: ntmsmgr.dll
 Date: 10/21/2005 13:04:06 (CET)
----
AntiVir        6.32.0.6/20051021        found nothing
Avast        4.6.695.0/20051020        found nothing
AVG        718/20051021        found nothing
Avira        6.32.0.6/20051021        found nothing
BitDefender        7.2/20051021        found nothing
CAT-QuickHeal        8.00/20051020        found nothing
ClamAV        devel-20050917/20051021        found nothing
DrWeb        4.32b/20051021        found nothing
eTrust-Iris        7.1.194.0/20051021        found nothing
eTrust-Vet        11.9.1.0/20051021        found nothing
Fortinet        2.48.0.0/20051021        found nothing
F-Prot        3.16c/20051020        found nothing
Ikarus        0.2.59.0/20051020        found nothing
Kaspersky        4.0.2.24/20051021        found nothing
McAfee        4609/20051020        found nothing
NOD32v2        1.1262/20051020        found nothing
Norman        5.70.10/20051021        found nothing
Panda        8.02.00/20051020        found nothing
Sophos        3.98.0/20051021        found nothing
Symantec        8.0/20051020        found nothing
TheHacker        5.8.4.126/20051020        found nothing
VBA32        3.10.4/20051020        found nothing

Scan results
 File: ntmsmgr.msc
 Date: 10/21/2005 13:04:53 (CET)
----
AntiVir        6.32.0.6/20051021        found nothing
Avast        4.6.695.0/20051020        found nothing
AVG        718/20051021        found nothing
Avira        6.32.0.6/20051021        found nothing
BitDefender        7.2/20051021        found nothing
CAT-QuickHeal        8.00/20051020        found nothing
ClamAV        devel-20050917/20051021        found nothing
DrWeb        4.32b/20051021        found nothing
eTrust-Iris        7.1.194.0/20051021        found nothing
eTrust-Vet        11.9.1.0/20051021        found nothing
Fortinet        2.48.0.0/20051021        found nothing
F-Prot        3.16c/20051020        found nothing
Ikarus        0.2.59.0/20051020        found nothing
Kaspersky        4.0.2.24/20051021        found nothing
McAfee        4609/20051020        found nothing
NOD32v2        1.1262/20051020        found nothing
Norman        5.70.10/20051021        found nothing
Panda        8.02.00/20051020        found nothing
Sophos        3.98.0/20051021        found nothing
Symantec        8.0/20051020        found nothing
TheHacker        5.8.4.126/20051020        found nothing
VBA32        3.10.4/20051020        found nothing

Ergebnis von Malewareupload.com:

ntmsmgr.dll 469504 Bytes 21.10.2005   Keine Viren gefunden Bearbeitung abgeschlossen Keine Malware - Windows Systemdatei 
DrvMon.exe 53248 Bytes 21.10.2005   Keine Viren gefunden Bearbeitung abgeschlossen Keine Malware (Alcor Micro Drive Monitor)

Ich mußte auch feststellen, dass die Datei ntmsmgr.exe nicht mehr vorhanden ist. Es gibt nur eine ntmsmgr.dll und eine ntmsmgr.msc.

In der Datei C:\Windows\system32\drivers\etc\hosts stehen ebenfalls viele seltsame Einträge:

# Copyright (c) 1993-1999 Microsoft Corp.
#
# Dies ist eine HOSTS-Beispieldatei, die von Microsoft TCP/IP
# für Windows 2000 verwendet wird.
#
# Diese Datei enthält die Zuordnungen der IP-Adressen zu Hostnamen.
# Jeder Eintrag muss in einer eigenen Zeile stehen. Die IP-
# Adresse sollte in der ersten Spalte gefolgt vom zugehörigen
# Hostnamen stehen.
# Die IP-Adresse und der Hostname müssen durch mindestens ein
# Leerzeichen getrennt sein.
#
# Zusätzliche Kommentare (so wie in dieser Datei) können in
# einzelnen Zeilen oder hinter dem Computernamen eingefügt werden,
# aber müssen mit dem Zeichen '#' eingegeben werden.
#
# Zum Beispiel:
#
#      102.54.94.97     rhino.acme.com          # Quellserver
#       38.25.63.10     x.acme.com              # x-Clienthost

127.0.0.1       localhost
127.0.0.1  www.igetnet.com
127.0.0.1  code.ignphrases.com
127.0.0.1  clear-search.com
127.0.0.1  r1.clrsch.com
127.0.0.1  sds.clrsch.com
127.0.0.1  status.clrsch.com
127.0.0.1  www.clrsch.com
127.0.0.1  clr-sch.com
127.0.0.1  sds-qckads.com
127.0.0.1  status.qckads.com
127.0.0.1  www.qoolaid.com
127.0.0.1  www.qoologic.com
127.0.0.1  www.CLKPrecision.com
127.0.0.1  www.urllogic.com
127.0.0.1  www.clkoptimizer.com
127.0.0.1  www.isearch.com
127.0.0.1  isearch.com
127.0.0.1  www.idownload.com
127.0.0.1  idownload.com
127.0.0.1  www.mytotalsearch.com
127.0.0.1  mytotalsearch.com
127.0.0.1  www.lop.com
127.0.0.1  lop.com
127.0.0.1  www.websearch.com
127.0.0.1  websearch.com
127.0.0.1  www.page-not-found.net
127.0.0.1  page-not-found.net
127.0.0.1  www.isearchhere.com
127.0.0.1  isearchhere.com
127.0.0.1  xads.offeroptimizer.comm
127.0.0.1  search.offeroptimizer.com
127.0.0.1  ximages.offeroptimizer.com
127.0.0.1  xlime.offeroptimizer.com
127.0.0.1  xadsj-o.offeroptimizer.com
127.0.0.1  xadsj.offeroptimizer.com
127.0.0.1  www.offeroptimizer.com
127.0.0.1  as.adwave.com
127.0.0.1  sr.adwave.com
127.0.0.1  www.adwave.com
127.0.0.1  adwave.com

Der versuch diese Einträge zu löschen fehl. Sie sind direkt nach dem Speichern wieder vorhanden.

[Speedy]

Hi

warum willst du die hosts verändern ? eine umleitung hier von z.b. antivirenprogrammen wäre blöd, aber der mist.
besser wäre es, den anweisungen zu folgen, den wenn du kontraproduktiv arbeitest, kann es langwierig und unter umständen zum verlust deiner daten, im schlimmsten fall zu format:c führen

wie heisst nun die neue datei unter 020 ? konntest du sie hochladen ?

download von ewido, installieren, update ziehen, im abgesicherten modus bei deaktivierter systemwiederherstellung das system scanen und bereinigen lassen.

[piepoen]

Hallo,

ich kann die DLL-Datei nicht scannen lassen, weil ich sie nicht hochladen kann. Ich kann sie auch nicht kopieren o.ä..

Logeintrag:
[code]
O20 - Winlogon Notify: CSCSettings - C:\WINDOWS\system32\n48o0el3ehq.dll
[\code]

Ich habe ewido heruntergeladen und wie beschrieben ausgeführt. Das Tool hat auch einiges gefunden und ich habe alles entfernen lassen. Das Problem bleibt.

Noch irgendwelche Ideen?

[Speedy]

hi, ja, poste das logfile von ewido