"res://C:\WINDOWS\system32\shdocpa.dll/security.htm#subID=PRFV;6784"

[mensta]

Hab ein Problem mit der Startseite hier meine Logfile

Logfile of HijackThis v1.99.1
Scan saved at 15:42:18, on 15.06.2005
Platform: Windows XP  (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 (6.00.2600.0000)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\Programme\Sygate\SPF\smc.exe
C:\WINDOWS\Explorer.EXE
C:\WINDOWS\system32\spoolsv.exe
C:\PROGRA~1\ALWILS~1\Avast4\ashDisp.exe
C:\Programme\Java\jre1.5.0_02\bin\jusched.exe
C:\WINDOWS\system32\svcnut32.exe
C:\Programme\Spybot - Search & Destroy\TeaTimer.exe
C:\Programme\Alwil Software\Avast4\aswUpdSv.exe
C:\Programme\Alwil Software\Avast4\ashServ.exe
C:\WINDOWS\System32\svchost.exe
C:\Programme\Alwil Software\Avast4\ashMaiSv.exe
C:\Programme\Alwil Software\Avast4\ashWebSv.exe
C:\Programme\Internet Explorer\iexplore.exe
C:\Dokumente und Einstellungen\Papa\Desktop\hijackthis_199\HijackThis.exe

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Bar = http://g.msn.com/0SEENUS/SAOS01
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = res://C:\WINDOWS\system32\shdocpa.dll/security.htm#subID=PRFV;6784
R0 - HKLM\Software\Microsoft\Internet Explorer\Search,SearchAssistant = res://shdocpa.dll/asst.htm
R1 - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings,ProxyOverride = localhost
O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Programme\Adobe\Acrobat 7.0\ActiveX\AcroIEHelper.dll
O2 - BHO: (no name) - {53707962-6F74-2D53-2644-206D7942484F} - C:\PROGRA~1\SPYBOT~1\SDHelper.dll
O3 - Toolbar: (no name) - {327C2873-E90D-4c37-AA9D-10AC9BABA46C} - (no file)
O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINDOWS\System32\msdxm.ocx
O4 - HKLM\..\Run: [Cmaudio] RunDll32 cmicnfg.cpl,CMICtrlWnd
O4 - HKLM\..\Run: [SmcService] C:\PROGRA~1\Sygate\SPF\smc.exe -startgui
O4 - HKLM\..\Run: [avast!] C:\PROGRA~1\ALWILS~1\Avast4\ashDisp.exe
O4 - HKLM\..\Run: [NeroCheck] C:\WINDOWS\system32\NeroCheck.exe
O4 - HKLM\..\Run: [SunJavaUpdateSched] C:\Programme\Java\jre1.5.0_02\bin\jusched.exe
O4 - HKLM\..\Run: [FastStart] C:\WINDOWS\system32\svcnut32.exe home
O4 - HKCU\..\Run: [SpybotSD TeaTimer] C:\Programme\Spybot - Search & Destroy\TeaTimer.exe
O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programme\Java\jre1.5.0_02\bin\npjpi150_02.dll
O9 - Extra 'Tools' menuitem: Sun Java Konsole - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programme\Java\jre1.5.0_02\bin\npjpi150_02.dll
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\MSMSGS.EXE
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\MSMSGS.EXE
O16 - DPF: {917623D1-D8E5-11D2-BE8B-00104B06BDE3} (CamImage Class) - http://217.173.193.218/activex/AxisCamControl.cab
O16 - DPF: {B38870E4-7ECB-40DA-8C6A-595F0A5519FF} (MsnMessengerSetupDownloadControl Class) - http://messenger.msn.com/download/ms...downloader.cab
O23 - Service: avast! iAVS4 Control Service (aswUpdSv) - Unknown owner - C:\Programme\Alwil Software\Avast4\aswUpdSv.exe
O23 - Service: avast! Antivirus - Unknown owner - C:\Programme\Alwil Software\Avast4\ashServ.exe
O23 - Service: avast! Mail Scanner - Unknown owner - C:\Programme\Alwil Software\Avast4\ashMaiSv.exe" /service (file missing)
O23 - Service: avast! Web Scanner - Unknown owner - C:\Programme\Alwil Software\Avast4\ashWebSv.exe" /service (file missing)
O23 - Service: Sygate Personal Firewall (SmcService) - Sygate Technologies, Inc. - C:\Programme\Sygate\SPF\smc.exe

[Ruby]

Hallo Mensta

dein Betriebssystem ist veraltet, der IE ebenfalls.

Logfiles bitte in vB Code posten!
Siehe Ankündigung....

Kannst du alles auf deinem Rechner sehen? Überprüfe deine Einstellungen.

Im Windows-Explorer:
>Extras >Ordneroptionen >den Reiter "Ansicht" >Versteckte Dateien und Ordner >"alle Dateien und Ordner anzeigen" aktivieren und >Extras >Ordneroptionen >den Reiter "Ansicht" >Dateien und Ordner >"Geschützte Systemdateien ausblenden (empfohlen)" deaktivieren.

1
Lade bitte diese Datei hoch

C:\WINDOWS\system32\svcnut32.exe

-> Upload malicious software


Melde dich und lass uns wissen, ob der Upload funktioniert hat.

[mensta]

hab die datei hochgeladen

[Ruby]

danke, scanne sie bitte auch bei Virustotal und Jotti und gib sämtliche Einzelergebnisse dazu hier ins Forum, einfach kopieren.

[mensta]

VirusTotal:

This is a report processed by VirusTotal on 06/15/2005 at 17:31:33 (CET) after scanning the file "svcnut32.exe" file.
Antivirus Version Update Result
AntiVir 6.31.0.5 06.15.2005 TR/Dldr.Delf.KS.3
AVG 718 06.14.2005 no virus found
Avira 6.31.0.5 06.15.2005 TR/Dldr.Delf.KS.3
BitDefender 7.0 06.15.2005 Trojan.Downloader.Delf.KS
ClamAV devel-20050501 06.15.2005 no virus found
DrWeb 4.32b 06.15.2005 Trojan.DownLoader.2729
eTrust-Iris 7.1.194.0 06.15.2005 no virus found
eTrust-Vet 11.9.1.0 06.15.2005 no virus found
Fortinet 2.32.0.0 06.15.2005 W32/Possible_virus
Ikarus 2.32 06.15.2005 Trojan-Downloader.Win32.Delf.KS
Kaspersky 4.0.2.24 06.15.2005 Trojan-Downloader.Win32.Delf.ks
McAfee 4514 06.15.2005 no virus found
NOD32v2 1.1141 06.15.2005 Win32/TrojanDownloader.Delf.KS
Norman 5.70.10 06.15.2005 W32/DLoader.ESD
Panda 8.02.00 06.14.2005 Trj/Downloader.DAG
Sybari 7.5.1314 06.15.2005 Trojan-Downloader.Win32.Delf.ks
Symantec 8.0 06.14.2005 Trojan.StartPage.L
TheHacker 5.8-3.0 06.15.2005 no virus found
VBA32 3.10.3 06.15.2005 Trojan-Downloader.Win32.Delf.ks


Jotti:

Auslastung: 0% 100%

Datei: svcnut32.exe
Status: INFIZIERT/MALWARE (Anmerkung: diese Datei wurde bereits vorher gescannt. Die Scanergebnisse werden daher nicht in der Datenbank gespeichert.)
Entdeckte Packprogramme: UPX

AntiVir TR/Dldr.Delf.KS.3 gefunden
ArcaVir Trojan.Downloader.Delf.Ks gefunden
Avast Keine Viren gefunden
AVG Antivirus Downloader.Generic.NG gefunden
BitDefender Trojan.Downloader.Delf.KS gefunden
ClamAV Keine Viren gefunden
Dr.Web Trojan.DownLoader.2729 gefunden
F-Prot Antivirus W32/Downloader.CHZ gefunden
Fortinet W32/Possible_virus gefunden
Kaspersky Anti-Virus Trojan-Downloader.Win32.Delf.ks gefunden
NOD32 Win32/TrojanDownloader.Delf.KS gefunden
Norman Virus Control W32/DLoader.ESD gefunden
VBA32 Trojan-Downloader.Win32.Delf.ks gefunden

[Ruby]

danke @ Mensta

1
deaktiviere die Systemwiederherstellung:

2
beende diesen Prozess im Taskmanager: svcnut32.exe

3
boote in den abgesicherten Modus [F8] und lösche diesen File: C:\WINDOWS\system32\svcnut32.exe

4
Boote in den normalen Modus.

5
Lade den CCleaner runter, setze in alle Kästchen (Windows, Anwendungen und Probleme) ein Häkchen und drücke dann auf "Starte Cleaner".

6
Besuche www.windowsupdate.com, lade das SP2 runter und update deinen IE

7
Erstelle ein neues HJT-Logfile und poste es.

[mensta]

Logfile of HijackThis v1.99.1
Scan saved at 19:01:58, on 15.06.2005
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\Programme\Sygate\SPF\smc.exe
C:\WINDOWS\system32\spoolsv.exe
C:\Programme\Alwil Software\Avast4\aswUpdSv.exe
C:\Programme\Alwil Software\Avast4\ashServ.exe
C:\WINDOWS\System32\svchost.exe
C:\Programme\Alwil Software\Avast4\ashMaiSv.exe
C:\Programme\Alwil Software\Avast4\ashWebSv.exe
C:\WINDOWS\Explorer.EXE
C:\WINDOWS\System32\msiexec.exe
C:\PROGRA~1\ALWILS~1\Avast4\ashDisp.exe
C:\Programme\Java\jre1.5.0_02\bin\jusched.exe
C:\Programme\Spybot - Search & Destroy\TeaTimer.exe
C:\Dokumente und Einstellungen\Papa\Desktop\hijackthis_199\HijackThis.exe

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Bar = http://g.msn.com/0SEENUS/SAOS01
R1 - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings,ProxyOverride = localhost
O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Programme\Adobe\Acrobat 7.0\ActiveX\AcroIEHelper.dll
O2 - BHO: (no name) - {53707962-6F74-2D53-2644-206D7942484F} - C:\PROGRA~1\SPYBOT~1\SDHelper.dll
O4 - HKLM\..\Run: [Cmaudio] RunDll32 cmicnfg.cpl,CMICtrlWnd
O4 - HKLM\..\Run: [SmcService] C:\PROGRA~1\Sygate\SPF\smc.exe -startgui
O4 - HKLM\..\Run: [avast!] C:\PROGRA~1\ALWILS~1\Avast4\ashDisp.exe
O4 - HKLM\..\Run: [NeroCheck] C:\WINDOWS\system32\NeroCheck.exe
O4 - HKLM\..\Run: [SunJavaUpdateSched] C:\Programme\Java\jre1.5.0_02\bin\jusched.exe
O4 - HKLM\..\Run: [FastStart] C:\WINDOWS\system32\svcnut32.exe home
O4 - HKCU\..\Run: [SpybotSD TeaTimer] C:\Programme\Spybot - Search & Destroy\TeaTimer.exe
O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programme\Java\jre1.5.0_02\bin\npjpi150_02.dll
O9 - Extra 'Tools' menuitem: Sun Java Konsole - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programme\Java\jre1.5.0_02\bin\npjpi150_02.dll
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe
O16 - DPF: {6414512B-B978-451D-A0D8-FCFDF33E833C} (WUWebControl Class) - http://v5.windowsupdate.microsoft.co...?1118845862155
O16 - DPF: {917623D1-D8E5-11D2-BE8B-00104B06BDE3} (CamImage Class) - http://217.173.193.218/activex/AxisCamControl.cab
O16 - DPF: {B38870E4-7ECB-40DA-8C6A-595F0A5519FF} (MsnMessengerSetupDownloadControl Class) - http://messenger.msn.com/download/ms...downloader.cab
O23 - Service: avast! iAVS4 Control Service (aswUpdSv) - Unknown owner - C:\Programme\Alwil Software\Avast4\aswUpdSv.exe
O23 - Service: avast! Antivirus - Unknown owner - C:\Programme\Alwil Software\Avast4\ashServ.exe
O23 - Service: avast! Mail Scanner - Unknown owner - C:\Programme\Alwil Software\Avast4\ashMaiSv.exe" /service (file missing)
O23 - Service: avast! Web Scanner - Unknown owner - C:\Programme\Alwil Software\Avast4\ashWebSv.exe" /service (file missing)
O23 - Service: Sygate Personal Firewall (SmcService) - Sygate Technologies, Inc. - C:\Programme\Sygate\SPF\smc.exe

problem gelöst dankeschön

[Ruby]

@ mensta

du bist viel zu schnell.
Das Problem ist leider noch nicht gelöst.

Bei Windows XP muss die Systemwiederherstellung vor den Arbeiten am System deaktiviert werden.

Wichtiger Hinweis:

HijackThis muss in einem eigenen Ordner laufen, um BackUps erstellen zu können.
Es muss so aussehen: C:\HJT\HijackThis.exe
Bitte ändern:C:\Dokumente und Einstellungen\Papa\Desktop\hijackthis_199\HijackTh is.exe

Drucke diese Anweisung entweder aus oder speichere sie als *.txt-file,
da du u.a offline im abgesicherten Modus/VGA Modus arbeiten wirst.

Folge den Nummern in der Reihenfolge:

-> Anweisung bitte sorgfältig lesen!

Teil 1
Lade folgende Programme runter:

1-1
Lade den CCleaner runter.

1-2
NEUE Version: Ad-Aware SE, installieren und updaten

1-3
NEUE Version: Spybot Search & Destroy, installieren und updaten

1-4
CWShredder 2.14, installieren und updaten

1-5
about:Buster,
entpacke es in C:\aboutbuster
Starte das Programm:
1. Klicke auf "Update".
2. Klicke auf "Check For Update"

(wenn derzeit keine Updates vorhanden sind, kannst du diesen Punkt überspringen.)
3. Klicke auf "Download Update", und warte bis der Download installiert ist.

1-6
Lade die Killbox runter.
Installiere das Programm auf deinem Desktop.

1-7
Lade den EliteToolbar Remover V.1.3.0 als Zip runter,

erstelle einen neuen Ordner (Einführung in Windows)
und entpacke die EliteToolbar Remover V.1.3.0 mit allen Komponenten in diesen Ordner.

(kostenloses Zip-Programm SIMPLYZIP)

1-8
Lade den RegCleaner runter.


Teil 2
Anleitung zur Entfernung

1
*SEHR WICHTIG*

Im Windows-Explorer:

>Extras >Ordneroptionen >den Reiter "Ansicht" >Versteckte Dateien und Ordner >"alle Dateien und Ordner anzeigen" aktivieren und
>Extras >Ordneroptionen >den Reiter "Ansicht" >Dateien und Ordner >"Geschützte Systemdateien ausblenden (empfohlen)" deaktivieren.

3
Öffne den Windows Task Manager.
Beende folgende Prozess:

svcnut32.exe

Schliesse den Task Manager.

4
Die Killbox starten

Einstellungen:
Replace on Reboot
Nun in die Killbox reinkopieren:

C:\WINDOWS\system32\svcnut32.exe

Zusätzlich die Option "Use Dummy" auswählen,
das rote X drücken
die erste Meldung (Confirmation) mit Ja (YES) und die Zweite mit Ja (YES) bestätigen.

Sollte das Programm aus irgendwelchen Gründen dies nicht alleine veranlassen, fährst du deinen Rechner sofort runter und nach ein paar Minuten wieder hoch.

5
Während dein Rechner nun wieder hochfährt, drückst du die [F8]-Taste, solange bis ein Menu erscheint. Du musst nun im abgesicherten Modus/VGA Modus (Anleitung) arbeiten.

6
Schliesse alle Programme einschliesslich Internet Explorer.
Lass Hijackthis laufen,

Config< Misc Tools < Open Hosts file Manager < Delete line <
lösche alles bis auf:

# 102.54.94.97 rhino.acme.com # Quellserver
# 38.25.63.10 x.acme.com # x-Clienthost
127.0.0.1 localhost

Alle Einträge, die mit 127.0.0.1 anfangen, sind ok und brauchen nicht gelöscht zu werden.
Wenn es bei dir keine weiteren Einträge gibt, ist es ok.

7
Lass Hijackthis laufen,
klick scan und setze ein Häkchen neben jeden dieser Einträge.
Drücke dann auf den Fix Button:

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Bar = hzzp://g.msn.com/0SEENUS/SAOS01
R1 - HKCU\Software\Microsoft\Windows\CurrentVersion\Int ernet Settings,ProxyOverride = localhost
O4 - HKLM\..\Run: [FastStart] C:\WINDOWS\system32\svcnut32.exe home
Drücke auf den Fix Button.
Beende das Programm HijackThis.

8
Ad-Aware SE laufen lassen.
Alle roten X müssen grün gestellt werden.
Lass das Programm alles entfernen, was es findet.
Speichere das Logfile ab.
Leere nach dem Scan alle Verzeichnisse von Ad-Aware SE und die Quarantäne-Box.

9
Spybot Search & Destroy laufen lassen.
Geh auf "Advanced", unter Tools kannst du u.a. AktiveX deaktivieren.
Lass das Programm alles entfernen, was es findet.
Immunisiere dein System.

10
Lass CWShredder laufen
Klicke auf den fix-Button und lass das Programm dein System scannen und reinigen.

11
Lass about:Buster laufen
4. Klicke auf "Start".
(Warte bis der initiale ADS Scan fertig ist.)
5. Klicke "Yes", um zu erlauben, dass jede IE-Anwendung beendet wird.
(Watre bis der about:blank Scan fertig ist.)
6. Klicke auf "Ok", um den Scan nochmal laufen zu lassen.
7. Klicke auf "Yes", um zu erlauben, dass jede IE-Anwendung beendet wird.
8. Klicke auf "Yes", um die zweite Runde zu beginnen.
9. Klicke auf "Save log" (speichere das Logfile).
10. Klicke auf "Exit".
11. Klicke auf "Exit".

12
Lass den ETR mitDoppelklick auf die "ETRemover_v130.exe" laufen.
Ein Klick auf die Taste "Kill Elite Toolbar" setzt das Programm in Gang.

Es scannt nun Registry, Memory und untersucht den Rechner auf das
Vorhandensein bestimmter Malware. Wenn es fündig geworden ist, klappt ein
schwarzes DOS-Fensterchen auf und fragt ob du möchtest, dass ein File
gelöscht wird, ja oder nein. Du gibst ein "j" für "ja" ein und drückst auf [enter].
Nun scannt das Programm weiter.

Wenn der Scan zuende ist, bitte das Logfile
abspeichern über die Taste "Save Reg.log". Das Logfile zeigt eine Liste
der Autostart-Schlüssel, Unterschlüssel und der Werte der System Registry.

Merke dir wieviel und welche Dateien, bzw. welche Malware gefunden und
eliminiert wurde (bitte aufschreiben).

13
Boote deinen Rechner wieder in den normalen Modus.

14
Lass den CCleaner laufen

Setze in alle Kästchen (Windows, Anwendungen und Probleme) ein Häkchen und drücke dann auf "Starte Cleaner".

15
Lass den RegCleaner laufen
und alles entfernen, was er findet.

16
Scanne deinen Rechner mit einem Full-System-Scan mit Panda ActiveScan.
Der Scan kann ca 2-3 Stunden dauern. Speichere das Logfile.
Boote deinen Rechner danach neu auf.

17
Vergib eine neue Startseite für den Internet Explorer.
Konfiguriere den IE wie hier empfohlen: Sicherheitseinstellungen!

18
Lass HijackThis laufen
Speichere das Logfile.

-> Poste das About:Buster Logfile.
-> Poste das Ad-Aware SE Logfile.
-> Poste das Panda Online-Scan Logfile.
-> Poste das HJT Logfile.