[HILFE] Ständige Weiterleitung auf falsche URL !!! – Seite 2

 Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)

UND : Völlig ungepflegt !!

@dUb guck dir nur mal den Report von Malwarebytes an.

Da ist en rootkit dabei, Trojan TDSS, backdoor bots  und das schon ziemlich tief verankert.

 UND : Völlig ungepflegt !! war die Aussagen ...

Daher : ... hab mir mal was gemerkt aus anderem Forum ...

Erstmal zu den Gemeinsamkeiten:
Beides sind Update-Pakete für Windows XP.

Der Unterschied zwischen beiden:
Service Pack 3 ist schon etwa ein Jahr neuer als Service Pack 2. In Service Pack 3 sind alle wichtigen bis dahin erschienenen Patches (beheben Sicherheitslücken und Fehlfunktionen) und sonstige Updates enthalten. Somit ist Service Pack 3 nur als zusätzliche Ergänzung zu SP2 zu sehen und macht XP in Bezug auf Sicherheit und Stabilität noch besser. Alle Änderungen findest du hier:
http://download.microsoft.com/download/8…

ALSO !! ??

Zusätzlich fehlen dann noch alle auf SP3 basierenden Patches ...

Ende der Debatte .. 

ich hatte damals wo das SP3 rauskam auch gleich draufgemacht und nach dem der rechner hochgefahren ist ging so gut wie nix mehr... der rechner hatte nur noch Probleme... hatte das gefühl gehabt das der rechner damit nicht klar kam was vllt am alter liegen kann.
Danach hab ich es wieder runtergemacht.

hallo,

ich hatte damals wo das SP3 rauskam auch gleich draufgemacht und nach dem der rechner hochgefahren ist ging so gut wie nix mehr... der rechner hatte nur noch Probleme... hatte das gefühl gehabt das der rechner damit nicht klar kam was vllt am alter liegen kann.
Danach hab ich es wieder runtergemacht.

[einmischmode]
Und es kann sehrwohl sein, das SP3 auf dem Rechner nicht so will, wie es soll.

@ dUb

Formatiere den Rechner.
Damit biste schneller fertig.
Rootkit- Bereinigungen sind sehr viel Aufwand.
Der PC hat viele "unnötige" Sachen installiert.
Nur zu Lehrzwecken:
Wenn MBAM nochmal läuft, wird die
 

C:\WINDOWS\system32\sdra64.exe,

Und es kann sehrwohl sein, das SP3 auf dem Rechner nicht so will, wie es soll.

Formatiere den Rechner.
Damit biste schneller fertig.
Rootkit- Bereinigungen sind sehr viel Aufwand.

MBAM ist zwar sehr gut, jedoch wird es auch nicht mit allem fertig.

Larusso, hab nicht gesagt man könne es nicht beseitigen!!

Nur wenn so ein unaufgeräumtes System, so verseucht ist, dann halte ich formatieren, für besser und schneller.

@Zidane ja er ist immer auf Konfrontation aus, er hat nämlich im HJT Board ne Ausbildung mitgemacht und ist der Meister der Welt. Gibt ja auch noch Leute die keine Kellerkinder sind. Naja will mich hier auch nicht streiten, da er mir schon viele gute Sachen beigebracht hat. 

hi leute,
habe das gleiche problem.
habe die anleitungen soweit befolgt, nur das malewarebytes immer wieder stecken bleibt - bei ca. 32 min.) folgende hijackthis ausgabe habe ich. hoffe mir kann jemand helfen.

Logfile of Trend Micro HijackThis v2.0.2
Scan saved at 23:58:09, on 09.09.2009
Platform: Windows XP SP3 (WinNT 5.01.2600)
MSIE: Internet Explorer v8.00 (8.00.6001.18702)
Boot mode: Normal

Running processes:
I:\WINDOWS\System32\smss.exe
I:\WINDOWS\system32\winlogon.exe
I:\WINDOWS\system32\services.exe
I:\WINDOWS\system32\lsass.exe
I:\WINDOWS\system32\svchost.exe
I:\WINDOWS\System32\svchost.exe
I:\WINDOWS\system32\spoolsv.exe
I:\Programme\Avira\AntiVir Desktop\sched.exe
I:\Programme\Avira\AntiVir Desktop\avguard.exe
I:\xampp\apache\bin\apache.exe
I:\Programme\Gemeinsame Dateien\Apple\Mobile Device Support\bin\AppleMobileDeviceService.exe
I:\WINDOWS\system32\drivers\CDAC11BA.EXE
I:\Programme\NVIDIA Corporation\NetworkAccessManager\Apache Group\Apache2\bin\apache.exe
I:\Programme\NVIDIA Corporation\NetworkAccessManager\Apache Group\Apache2\bin\apache.exe
I:\xampp\mysql\bin\mysqld-nt.exe
I:\Programme\Gemeinsame Dateien\Nero\Nero BackItUp 4\NBService.exe
I:\xampp\apache\bin\apache.exe
I:\Programme\NVIDIA Corporation\NetworkAccessManager\bin\nSvcIp.exe
I:\Programme\NVIDIA Corporation\NetworkAccessManager\bin\nSvcLog.exe
I:\WINDOWS\system32\nvsvc32.exe
I:\WINDOWS\System32\svchost.exe
I:\WINDOWS\system32\Wacom_Tablet.exe
I:\Programme\NVIDIA Corporation\NetworkAccessManager\bin\nSvcAppFlt.exe
I:\WINDOWS\system32\WTablet\Wacom_TabletUser.exe
I:\WINDOWS\system32\Wacom_Tablet.exe
I:\WINDOWS\Explorer.EXE
I:\PROGRA~1\Logitech\iTouch\iTouch.exe
I:\WINDOWS\RTHDCPL.EXE
I:\Programme\Avira\AntiVir Desktop\avgnt.exe
I:\Programme\K-Lite Codec Pack\QuickTime\QTTask.exe
I:\Programme\Gemeinsame Dateien\Real\Update_OB\realsched.exe
I:\WINDOWS\system32\rundll32.exe
I:\WINDOWS\system32\ctfmon.exe
I:\Programme\Gemeinsame Dateien\InstallShield\UpdateService\ISUSPM.exe
I:\Programme\Kartenlesegeraet\a.sign Client\acLauncher.exe
I:\Programme\Avira\AntiVir Desktop\avcenter.exe
I:\Programme\Gemeinsame Dateien\Grass Valley\ProCoder 3\Kernel\PNXSERVR.exe
I:\Programme\malwarebytes Anti Malware\Malwarebytes' Anti-Malware\mbam.exe
I:\Programme\Trend Micro\HijackThis\HijackThis.exe
I:\Programme\Mozilla Firefox\firefox.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.google.at/
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://go.microsoft.com/fwlink/?LinkId=69157
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://go.microsoft.com/fwlink/?LinkId=54896
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = http://go.microsoft.com/fwlink/?LinkId=54896
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = http://go.microsoft.com/fwlink/?LinkId=69157
R1 - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings,ProxyOverride = *.local
O2 - BHO: Adobe PDF Reader - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - I:\Programme\Gemeinsame Dateien\Adobe\Acrobat\ActiveX\AcroIEHelper.dll
O2 - BHO: RealPlayer Download and Record Plugin for Internet Explorer - {3049C3E9-B461-4BC5-8870-4C09146192CA} - C:\Program Files\Real\RealPlayer\rpbrowserrecordplugin.dll
O2 - BHO: SSVHelper Class - {761497BB-D6F0-462C-B6EB-D4DAF1D92D43} - I:\Programme\Java\jre1.6.0_05\bin\ssv.dll
O2 - BHO: CmjBrowserHelperObject Object - {AC41D38F-B56D-40AD-94E0-B493D130C959} - I:\Programme\Mindjet\MindManager 6\Mm6InternetExplorer.dll
O2 - BHO: Adobe PDF Conversion Toolbar Helper - {AE7CD045-E861-484f-8273-0445EE161910} - I:\Programme\Adobe\Acrobat 8.0\Acrobat\AcroIEFavClient.dll
O3 - Toolbar: Adobe PDF - {47833539-D0C5-4125-9FA8-0819E2EAAC93} - I:\Programme\Adobe\Acrobat 8.0\Acrobat\AcroIEFavClient.dll
O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE I:\WINDOWS\system32\NvCpl.dll,NvStartup
O4 - HKLM\..\Run: [nwiz] nwiz.exe /install
O4 - HKLM\..\Run: [nTrayFw] I:\Programme\NVIDIA Corporation\NetworkAccessManager\bin\nTrayFw.exe
O4 - HKLM\..\Run: [JMB36X IDE Setup] I:\WINDOWS\JM\JMInsIDE.exe
O4 - HKLM\..\Run: [JMB36X Configure] I:\WINDOWS\system32\JMRaidSetup.exe boot
O4 - HKLM\..\Run: [zBrowser Launcher] I:\PROGRA~1\Logitech\iTouch\iTouch.exe
O4 - HKLM\..\Run: [Easy-PrintToolBox] I:\Programme\Canon\Easy-PrintToolBox\BJPSMAIN.EXE /logon
O4 - HKLM\..\Run: [RTHDCPL] RTHDCPL.EXE
O4 - HKLM\..\Run: [Alcmtr] ALCMTR.EXE
O4 - HKLM\..\Run: [avgnt] "I:\Programme\Avira\AntiVir Desktop\avgnt.exe" /min
O4 - HKLM\..\Run: [RoxWatchTray] "I:\Programme\Gemeinsame Dateien\Roxio Shared\9.0\SharedCOM\RoxWatchTray9.exe"
O4 - HKLM\..\Run: [QuickTime Task] "I:\Programme\K-Lite Codec Pack\QuickTime\QTTask.exe" -atboottime
O4 - HKLM\..\Run: [TkBellExe] "I:\Programme\Gemeinsame Dateien\Real\Update_OB\realsched.exe"  -osboot
O4 - HKLM\..\Run: [AdobeCS4ServiceManager] "I:\Programme\Gemeinsame Dateien\Adobe\CS4ServiceManager\CS4ServiceManager.exe" -launchedbylogin
O4 - HKLM\..\Run: [Adobe_ID0ENQBO] I:\PROGRA~1\GEMEIN~1\Adobe\ADOBEV~1\Server\bin\VERSIO~2.EXE
O4 - HKLM\..\Run: [autochk] rundll32.exe I:\WINDOWS\system32\autochk.dll,_IWMPEvents@16
O4 - HKCU\..\Run: [CTFMON.EXE] I:\WINDOWS\system32\ctfmon.exe
O4 - HKCU\..\Run: [Update Service] I:\PROGRA~1\GEMEIN~1\TEKNUM~1\update.exe /startup
O4 - HKCU\..\Run: [ISUSPM] "I:\Programme\Gemeinsame Dateien\InstallShield\UpdateService\ISUSPM.exe" -scheduler
O4 - HKCU\..\Run: [autochk] rundll32.exe %USERP~1\protect.dll,_IWMPEvents@16
O4 - HKUS\S-1-5-19\..\Run: [CTFMON.EXE] I:\WINDOWS\System32\CTFMON.EXE (User 'LOKALER DIENST')
O4 - HKUS\S-1-5-20\..\Run: [CTFMON.EXE] I:\WINDOWS\System32\CTFMON.EXE (User 'NETZWERKDIENST')
O4 - HKUS\S-1-5-18\..\Run: [CTFMON.EXE] I:\WINDOWS\System32\CTFMON.EXE (User 'SYSTEM')
O4 - HKUS\.DEFAULT\..\Run: [CTFMON.EXE] I:\WINDOWS\System32\CTFMON.EXE (User 'Default user')
O4 - Startup: ChkDisk.dll
O4 - Startup: ChkDisk.lnk = ?
O4 - Global Startup: a.sign Client.lnk = I:\Programme\Kartenlesegeraet\a.sign Client\acLauncher.exe
O8 - Extra context menu item: An vorhandenes PDF anfügen - res://I:\Programme\Adobe\Acrobat 8.0\Acrobat\AcroIEFavClient.dll/AcroIEAppend.html
O8 - Extra context menu item: Ausgewählte Verknüpfungen in Adobe PDF konvertieren - res://I:\Programme\Adobe\Acrobat 8.0\Acrobat\AcroIEFavClient.dll/AcroIECaptureSelLinks.html
O8 - Extra context menu item: Ausgewählte Verknüpfungen in vorhandene PDF-Datei konvertieren - res://I:\Programme\Adobe\Acrobat 8.0\Acrobat\AcroIEFavClient.dll/AcroIEAppendSelLinks.html
O8 - Extra context menu item: Auswahl in Adobe PDF konvertieren - res://I:\Programme\Adobe\Acrobat 8.0\Acrobat\AcroIEFavClient.dll/AcroIECapture.html
O8 - Extra context menu item: Auswahl in vorhandene PDF-Datei konvertieren - res://I:\Programme\Adobe\Acrobat 8.0\Acrobat\AcroIEFavClient.dll/AcroIEAppend.html
O8 - Extra context menu item: In Adobe PDF konvertieren - res://I:\Programme\Adobe\Acrobat 8.0\Acrobat\AcroIEFavClient.dll/AcroIECapture.html
O8 - Extra context menu item: Nach Microsoft &Excel exportieren - res://I:\PROGRA~1\MICROS~2\OFFICE11\EXCEL.EXE/3000
O8 - Extra context menu item: Verknüpfungsziel in Adobe PDF konvertieren - res://I:\Programme\Adobe\Acrobat 8.0\Acrobat\AcroIEFavClient.dll/AcroIECapture.html
O8 - Extra context menu item: Verknüpfungsziel in vorhandene PDF-Datei konvertieren - res://I:\Programme\Adobe\Acrobat 8.0\Acrobat\AcroIEFavClient.dll/AcroIEAppend.html
O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - I:\Programme\Java\jre1.6.0_05\bin\ssv.dll
O9 - Extra 'Tools' menuitem: Sun Java Konsole - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - I:\Programme\Java\jre1.6.0_05\bin\ssv.dll
O9 - Extra button: Send to Mindjet MindManager - {531B9DC0-D8EE-4c76-A6EE-6C1E50569655} - I:\Programme\Mindjet\MindManager 6\Mm6InternetExplorer.dll
O9 - Extra button: Recherchieren - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - I:\PROGRA~1\MICROS~2\OFFICE11\REFIEBAR.DLL
O9 - Extra button: (no name) - {e2e2dd38-d088-4134-82b7-f2ba38496583} - I:\WINDOWS\Network Diagnostic\xpnetdiag.exe
O9 - Extra 'Tools' menuitem: @xpsp3res.dll,-20001 - {e2e2dd38-d088-4134-82b7-f2ba38496583} - I:\WINDOWS\Network Diagnostic\xpnetdiag.exe
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - I:\Programme\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - I:\Programme\Messenger\msmsgs.exe
O16 - DPF: {3450032D-92DA-4033-8672-4E0A2E7C4A7C} (SliderControl Control) - http://music.imbc.com/Player/OCX/SliderControl.ocx
O16 - DPF: {E5F5D008-DD2C-4D32-977D-1A0ADF03058B} (JuniperSetupControlXP Class) - https://webvpn.fh-kaernten.at/dana-cached/setup/JuniperSetupSP1.cab
O16 - DPF: {EBAA4551-7704-4625-8C7B-628B1C6CB1C7} (P3EinsSet Class) - http://music.imbc.com/Player/OCX/p3edinst.cab
O16 - DPF: {FCF77DBD-0AE7-4EA8-B9EF-A733F6879B4E} (KardToolX Control) - http://www.a-trust.at/html/CardCheck/KardToolX.CAB
O17 - HKLM\System\CCS\Services\Tcpip\..\{7E7A48DF-FB07-4C1E-A4FE-5AD64916A715}: NameServer = 89.16.192.41,81.223.224.12
O18 - Protocol: skype4com - {FFC8B962-9B40-4DFF-9458-1830C7DD7F5D} - I:\PROGRA~1\GEMEIN~1\Skype\SKYPE4~1.DLL
O23 - Service: Adobe LM Service - Adobe Systems - I:\Programme\Gemeinsame Dateien\Adobe Systems Shared\Service\Adobelmsvc.exe
O23 - Service: Adobe Version Cue CS4 - Adobe Systems Incorporated - I:\Programme\Gemeinsame Dateien\Adobe\Adobe Version Cue CS4\Server\bin\VersionCueCS4.exe
O23 - Service: Adobe LM Service AdobeAlerter (AdobeAlerter) - Unknown owner - I:\WINDOWS\TEMP\dqbaoumbes.exe (file missing)
O23 - Service: Avira AntiVir Planer (AntiVirSchedulerService) - Avira GmbH - I:\Programme\Avira\AntiVir Desktop\sched.exe
O23 - Service: Avira AntiVir Guard (AntiVirService) - Avira GmbH - I:\Programme\Avira\AntiVir Desktop\avguard.exe
O23 - Service: Apache2.2 - Apache Software Foundation - I:\xampp\apache\bin\apache.exe
O23 - Service: Apple Mobile Device - Apple, Inc. - I:\Programme\Gemeinsame Dateien\Apple\Mobile Device Support\bin\AppleMobileDeviceService.exe
O23 - Service: Intelligenter Hintergrundübertragungsdienst (BITS) - Unknown owner - I:\WINDOWS\
O23 - Service: C-DillaCdaC11BA - Macrovision - I:\WINDOWS\system32\drivers\CDAC11BA.EXE
O23 - Service: FLEXnet Licensing Service - Acresso Software Inc. - I:\Programme\Gemeinsame Dateien\Macrovision Shared\FLEXnet Publisher\FNPLicensingService.exe
O23 - Service: ForceWare Intelligent Application Manager (IAM) - Unknown owner - I:\Programme\NVIDIA Corporation\NetworkAccessManager\bin\nSvcAppFlt.exe
O23 - Service: Forceware Web Interface (ForcewareWebInterface) - Apache Software Foundation - I:\Programme\NVIDIA Corporation\NetworkAccessManager\Apache Group\Apache2\bin\apache.exe
O23 - Service: Google Update Service (gupdate) (gupdate) - Google Inc. - I:\Programme\Google\Update\GoogleUpdate.exe
O23 - Service: InstallDriver Table Manager (IDriverT) - Macrovision Corporation - I:\Programme\Gemeinsame Dateien\InstallShield\Driver\1050\Intel 32\IDriverT.exe
O23 - Service: InstallDriver Table Manager (IDriverT) - Macrovision Corporation - I:\Programme\Gemeinsame Dateien\InstallShield\Driver\1050\Intel 32\IDriverT.exe
O23 - Service: iPod-Dienst (iPod Service) - Apple Inc. - I:\Programme\iPod\bin\iPodService.exe
O23 - Service: mysql - Unknown owner - I:\xampp\mysql\bin\mysqld-nt.exe
O23 - Service: Nero BackItUp Scheduler 4.0 - Nero AG - I:\Programme\Gemeinsame Dateien\Nero\Nero BackItUp 4\NBService.exe
O23 - Service: ForceWare IP service (nSvcIp) - NVIDIA Corporation - I:\Programme\NVIDIA Corporation\NetworkAccessManager\bin\nSvcIp.exe
O23 - Service: ForceWare user log service (nSvcLog) - NVIDIA - I:\Programme\NVIDIA Corporation\NetworkAccessManager\bin\nSvcLog.exe
O23 - Service: NVIDIA Display Driver Service (NVSvc) - NVIDIA Corporation - I:\WINDOWS\system32\nvsvc32.exe
O23 - Service: Roxio UPnP Renderer 9 - Sonic Solutions - I:\Programme\Roxio\Digital Home 9\RoxioUPnPRenderer9.exe
O23 - Service: Roxio Upnp Server 9 - Sonic Solutions - I:\Programme\Roxio\Digital Home 9\RoxioUpnpService9.exe
O23 - Service: LiveShare P2P Server 9 (RoxLiveShare9) - Sonic Solutions - I:\Programme\Gemeinsame Dateien\Roxio Shared\9.0\SharedCOM\RoxLiveShare9.exe
O23 - Service: RoxMediaDB9 - Sonic Solutions - I:\Programme\Gemeinsame Dateien\Roxio Shared\9.0\SharedCOM\RoxMediaDB9.exe
O23 - Service: Roxio Hard Drive Watcher 9 (RoxWatch9) - Sonic Solutions - I:\Programme\Gemeinsame Dateien\Roxio Shared\9.0\SharedCOM\RoxWatch9.exe
O23 - Service: TabletServiceWacom - Wacom Technology, Corp. - I:\WINDOWS\system32\Wacom_Tablet.exe
O23 - Service: TuneUp Drive Defrag-Dienst (TuneUp.Defrag) - TuneUp Software GmbH - I:\WINDOWS\System32\TuneUpDefragService.exe
O23 - Service: Automatische Updates (wuauserv) - Unknown owner - I:\WINDOWS\

--
End of file - 12711 bytes
 

hallo,

@alexwbf

neuen/eigenen thread aufmachen.
"habe das selbe problem" gibts nicht.
problem im neuen thread detailiert beschreiben.

Vor dem ersten Beitrag bitte beachten]Vor dem ersten Beitrag bitte beachten [/url]

mfg Zidane

NEIN NICHT PLATTMACHEN!!

ds Löschen der autochk.dll mitttel Antimalware hat keinen Sinn, da diese von der Autochk.exe wiederhergestelltund eingebunden wird.

Ich HATTE das Problem auch und habe mit NTFS4DOS von AVIRA gebootet und dann im \windows\system32-Verzeichnis die
Autochk.* und die kbiwk*.* gelöscht.

Und weg war das aggressive Weiterleiten.

Gruß
No

übrigens, so "verseucht" ist das System nicht. Nur alles, was den Eintrag "_IWMPEvents@16" hat, ist wirklich äußerst gefährlich und verantwortlich für das Verhalten der aggressiven Weiterleitung.
Man sieht nun auch die "protect.dll" als solchen Kandidaten. Diese wird aber von der Autochk benutzt. Also wenn du die o.g. Dateien löscht, ists gut.

Gruß
No

Ja ist klar, beschäftige dich erstmal mit der Materie bevor du Anweisungen gibst!!

Dann hast du vielleicht die umleitung weg!

Den Rootkit und TDSS aber nicht! 

welchen Verdacht begründet deine These, dass hier ROOTKITS oder TDSS drauf sind?

Lass mal nen Scanner drüber, wirst dich wundern !

Außerdem empfehle ich  hier
Datei-Infos

Gruß
No

..sorry etwas spät...aber was ist denn das?
Antwort 9
C:\WINDOWS\system32\lowsec\local.ds (Stolen.data) -> Delete on reboot.
C:\WINDOWS\system32\lowsec\user.ds (Stolen.data) -> Delete on reboot.