staff.html bei Internet einstieg

Hallo!

Ich bin gerade dabei einen PC zu reparieren. Es besteht folgendes Problem. Wenn ich in das Internet einsteige, dann kommt folgende Seite die komplett weiß ist und oben in der Leiste neben dem X und dem minimier und maximier Button und unten in der Taskleiste steht folgender Text: "Hmm?" In der Adressleiste steht C:\staff.html. Ich habe schon den Norton AntiVirus mit neuem Update darüberlaufen lassen und AdAware 6 mit neuen update jedoch finden diese nicht das Problem.

Was soll ich machen? Bitte helft mir weiter

mfg

 

Hallo,

vergib mal eine neue Startseite,
Erstelle danach mit HiJackThis ein Log-File und poste es hier rein.

 

Hier sind die Log-Daten.

Logfile of HijackThis v1.98.2
Scan saved at 12:30:34, on 23.08.2004
Platform: Windows XP (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 (6.00.2600.0000)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\Programme\Gemeinsame Dateien\Symantec Shared\ccSetMgr.exe
C:\WINDOWS\Explorer.EXE
C:\Programme\Gemeinsame Dateien\Symantec Shared\ccEvtMgr.exe
C:\WINDOWS\system32\LEXBCES.EXE
C:\WINDOWS\system32\spoolsv.exe
C:\WINDOWS\system32\LEXPPS.EXE
C:\Programme\Norton AntiVirus\navapsvc.exe
C:\Programme\Norton AntiVirus\SAVScan.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\ZONELABS\vsmon.exe
C:\WINDOWS\System32\RunDll32.exe
C:\WINDOWS\System32\sistray.EXE
C:\WINDOWS\System32\pctspk.exe
C:\Programme\Lexmark X74-X75\lxbbbmgr.exe
C:\Programme\Gemeinsame Dateien\Microsoft Shared\Works Shared\WkUFind.exe
C:\WINDOWS\System32\ccApp.exe
C:\WINDOWS\wt\wcmdmgr.exe
C:\WINDOWS\System32\MSlti32.exe
C:\Programme\Lexmark X74-X75\lxbbbmon.exe
C:\PROGRA~1\ZONELA~1\ZONEAL~1\zlclient.exe
C:\Programme\Gemeinsame Dateien\Symantec Shared\ccApp.exe
C:\Programme\Gemeinsame Dateien\Symantec Shared\Security Center\UsrPrmpt.exe
C:\dokume~1\christ~1\lokale~1\temp\msbb.exe
C:\WINDOWS\rqjuduj.exe
F:\Programme\HijackThis.exe
C:\WINDOWS\System32\wuauclt.exe

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://www.uta.at/anmeldung1002/cdkey/index.html?0
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Bar = http://search.aon.at
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = http://search.aon.at
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.aon.at/
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://www.utanet.at
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.uta.at/anmeldung1002/cdkey/index.html?0
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Window Title = UTA Telekom AG
R1 - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings,ProxyServer = :
O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Programme\Adobe\Acrobat 5.0\Reader\ActiveX\AcroIEHelper.ocx
O2 - BHO: brdg Class - {9C691A33-7DDA-4C2F-BE4C-C176083F35CF} - C:\WINDOWS\Downloaded Program Files\bridge.dll
O2 - BHO: NLS UrlCatcher Class - {AEECBFDA-12FA-4881-BDCE-8C3E1CE4B344} - C:\WINDOWS\System32\nvms.dll
O2 - BHO: NAV Helper - {BDF3E430-B101-42AD-A544-FADC6B084872} - C:\Programme\Norton AntiVirus\NavShExt.dll
O2 - BHO: CB UrlCatcher Class - {CE188402-6EE7-4022-8868-AB25173A3E14} - C:\WINDOWS\System32\mscb.dll
O2 - BHO: ADP UrlCatcher Class - {F4E04583-354E-4076-BE7D-ED6A80FD66DA} - C:\WINDOWS\System32\msbe.dll
O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINDOWS\System32\msdxm.ocx
O3 - Toolbar: Norton AntiVirus - {42CDD1BF-3FFB-4238-8AD1-7859DF00B1D6} - C:\Programme\Norton AntiVirus\NavShExt.dll
O4 - HKLM\..\Run: [Cmaudio] RunDll32 cmicnfg.cpl,CMICtrlWnd
O4 - HKLM\..\Run: [SiS Tray] C:\WINDOWS\System32\sistray.EXE
O4 - HKLM\..\Run: [SiS KHooker] C:\WINDOWS\System32\khooker.exe
O4 - HKLM\..\Run: [SiSUSBRG] C:\WINDOWS\sisUSBrg.exe
O4 - HKLM\..\Run: [PCTVOICE] pctspk.exe
O4 - HKLM\..\Run: [Tweak UI] RUNDLL32.EXE TWEAKUI.CPL,TweakMeUp
O4 - HKLM\..\Run: [NeroCheck] C:\WINDOWS\System32\NeroCheck.exe
O4 - HKLM\..\Run: [Lexmark X74-X75] "C:\Programme\Lexmark X74-X75\lxbbbmgr.exe"
O4 - HKLM\..\Run: [Microsoft Works Update Detection] C:\Programme\Gemeinsame Dateien\Microsoft Shared\Works Shared\WkUFind.exe
O4 - HKLM\..\Run: [wcmdmgr] C:\WINDOWS\wt\wcmdmgrl.exe -launch
O4 - HKLM\..\Run: [Microsofts Updates] wuamgrd.exe
O4 - HKLM\..\Run: [ccApp.exe] ccApp.exe
O4 - HKLM\..\Run: [Microsoft Update Machine] MSlti32.exe
O4 - HKLM\..\Run: [Microsoft Update] wssvr.exe
O4 - HKLM\..\Run: [RunDLL] rundll32.exe "C:\WINDOWS\Downloaded Program Files\bridge.dll",Load
O4 - HKLM\..\Run: [mgmozhurb] C:\WINDOWS\System32\bmcsnvw.exe
O4 - HKLM\..\Run: [Zone Labs Client] C:\PROGRA~1\ZONELA~1\ZONEAL~1\zlclient.exe
O4 - HKLM\..\Run: [ccApp] "C:\Programme\Gemeinsame Dateien\Symantec Shared\ccApp.exe"
O4 - HKLM\..\Run: [SSC_UserPrompt] C:\Programme\Gemeinsame Dateien\Symantec Shared\Security Center\UsrPrmpt.exe
O4 - HKLM\..\Run: [msbb] c:\dokume~1\christ~1\lokale~1\temp\msbb.exe
O4 - HKLM\..\Run: [rqjuduj] C:\WINDOWS\rqjuduj.exe
O4 - HKLM\..\RunServices: [Microsofts Updates] wuamgrd.exe
O4 - HKLM\..\RunServices: [ccApp.exe] ccApp.exe
O4 - HKLM\..\RunServices: [Microsoft Update Machine] MSlti32.exe
O4 - HKLM\..\RunServices: [Microsoft Update] wssvr.exe
O4 - HKCU\..\Run: [Microsoft Update] wssvr.exe
O4 - HKCU\..\Run: [ccApp.exe] ccApp.exe
O4 - HKCU\..\Run: [Microsoft Update Machine] MSlti32.exe
O4 - Global Startup: Microsoft Office.lnk = C:\Programme\Microsoft Office\Office10\OSA.EXE
O4 - Global Startup: Adobe Gamma Loader.exe.lnk = C:\Programme\Gemeinsame Dateien\Adobe\Calibration\Adobe Gamma Loader.exe
O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - (no file)
O9 - Extra 'Tools' menuitem: Sun Java Console - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - (no file)
O12 - Plugin for .spop: C:\Programme\Internet Explorer\Plugins\NPDocBox.dll
O14 - IERESET.INF: START_PAGE_URL=http://www.utanet.at
O16 - DPF: {6414512B-B978-451D-A0D8-FCFDF33E833C} (WUWebControl Class) - http://v5.windowsupdate.microsoft.c...ls/en/x86/client/wuweb_site.cab?1093078085069
O16 - DPF: {9C691A33-7DDA-4C2F-BE4C-C176083F35CF} (brdg Class) - http://static.flingstone.com/cab/2000XP/CDTInc/bridge.cab



mfg

 

Hallo Klez

Dein System und dein IE sind veraltet.

Bei dir steht:

Platform: Windows XP (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 (6.00.2600.0000)

Da sollte stehen:

Platform: Windows XP SP1 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP1 (6.00.2800.1106)

oder sogar:

Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)

Daher dringend bei http://v4.windowsupate.microsoft.com vorbeischauen.

Starte dein System im abgesicherten Modus (beim Systemstart F8-Taste drücken), scanne dein System nochmals mit HijackThis und laß folgende Einträge fixen (vorne anhaken und auf Fix checked drücken):

C:\WINDOWS\System32\MSlti32.exe

C:\dokume~1\christ~1\lokale~1\temp\msbb.exe

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://www.uta.at/anmeldung1002/cdkey/index.html?0

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Bar = http://search.aon.at

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = http://search.aon.at

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.aon.at/

R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://www.utanet.at

R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.uta.at/anmeldung1002/cdkey/index.html?0

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Window Title = UTA Telekom AG

R1 - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings,ProxyServer = :

O2 - BHO: brdg Class - {9C691A33-7DDA-4C2F-BE4C-C176083F35CF} - C:\WINDOWS\Downloaded Program Files\bridge.dll

O4 - HKLM\..\Run: [Microsofts Updates] wuamgrd.exe

O4 - HKLM\..\Run: [Microsoft Update Machine] MSlti32.exe

O4 - HKLM\..\Run: [Microsoft Update] wssvr.exe

O4 - HKLM\..\Run: [RunDLL] rundll32.exe "C:\WINDOWS\Downloaded Program Files\bridge.dll",Load

O4 - HKLM\..\Run: [msbb] c:\dokume~1\christ~1\lokale~1\temp\msbb.exe

O4 - HKLM\..\RunServices: [Microsofts Updates] wuamgrd.exe

O4 - HKLM\..\RunServices: [Microsoft Update Machine] MSlti32.exe

O4 - HKLM\..\RunServices: [Microsoft Update] wssvr.exe

O4 - HKCU\..\Run: [Microsoft Update] wssvr.exe

O4 - HKCU\..\Run: [Microsoft Update Machine] MSlti32.exe

O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - (no file)

O14 - IERESET.INF: START_PAGE_URL=http://www.utanet.at

O16 - DPF: {9C691A33-7DDA-4C2F-BE4C-C176083F35CF} (brdg Class) - http://static.flingstone.com/c...bridge.cab

Danach scannst du dein System abermals und erstellst eine neue Log-Datei, deren Inhalt du hier postest.

Gruß
Nevok

 

Du hast mehrere Würmer auf dem PC, darunter zwei Rbot-Varianten.

Bei einem derart verseuchten System würde ich zur Neuinstallation raten.


Anleitung:

Den infizierten Rechner sofort von Internet und Heimnetzwerk trennen

Auf einem nicht infizierten System alle Service Packs sowie falls in den SPs nicht enthalten die Patches gegen Blaster und Sasser runterladen und auf CD brennen.

Auf dem infizierten System:
- format c:
- Windows neu installieren
- die Service Packs und Patches von der CD installieren
- nach Anleitung von http://www.ntsvcfg.de/ vorgehen
- Virenscanner installieren (AntiVir und AVG gibts kostenlos)
- sämtliche Passwörter ändern
- über Windows-Update die noch fehlenden Updates installieren
- Spybot S&D installieren und das System damit immunisieren
- die automatische Windows-Update Funktion aktivieren um das System aktuell zu halten

 

Ich glaube, dass ich das Problem in Griff bekommen habe. staff.html kommt nicht mehr. Aber ich habe jetzt ZoneAlarm installiert und da sieht man, das der upload und download ziemlich viel arbeitet. Was kann das sein? Wie kann ich herausfinden welches Programm das verursacht? Schaut euch bitte nocheinmal die Log-Datei an.


Logfile of HijackThis v1.98.2
Scan saved at 15:00:47, on 23.08.2004
Platform: Windows XP SP1 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP1 (6.00.2800.1106)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\Explorer.EXE
C:\WINDOWS\system32\LEXBCES.EXE
C:\WINDOWS\system32\spoolsv.exe
C:\WINDOWS\system32\LEXPPS.EXE
C:\Programme\Gemeinsame Dateien\Symantec Shared\ccSetMgr.exe
C:\Programme\Norton AntiVirus\navapsvc.exe
C:\Programme\Norton AntiVirus\SAVScan.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\ZONELABS\vsmon.exe
C:\WINDOWS\System32\RunDll32.exe
C:\WINDOWS\System32\sistray.EXE
C:\Programme\Gemeinsame Dateien\Symantec Shared\ccEvtMgr.exe
C:\WINDOWS\System32\pctspk.exe
C:\Programme\Lexmark X74-X75\lxbbbmgr.exe
C:\Programme\Gemeinsame Dateien\Microsoft Shared\Works Shared\WkUFind.exe
C:\WINDOWS\System32\ccApp.exe
C:\PROGRA~1\ZONELA~1\ZONEAL~1\zlclient.exe
C:\Programme\Gemeinsame Dateien\Symantec Shared\ccApp.exe
C:\Programme\Lexmark X74-X75\lxbbbmon.exe
C:\Programme\Gemeinsame Dateien\Symantec Shared\Security Center\UsrPrmpt.exe
C:\Programme\Alcatel\SpeedTouch USB\Dragdiag.exe
C:\WINDOWS\System32\wuauclt.exe
C:\Dokumente und Einstellungen\CHRISTIAN\Desktop\Neuer Ordner\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.aon.at/
R1 - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings,ProxyServer = ftp=proxy.aon.at:8080;http=proxy.aon.at:8080
R1 - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings,ProxyOverride = *.aon.at;*.jet2web.net;<local>
O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Programme\Adobe\Acrobat 5.0\Reader\ActiveX\AcroIEHelper.ocx
O2 - BHO: (no name) - {53707962-6F74-2D53-2644-206D7942484F} - C:\Programme\Spybot - Search & Destroy\SDHelper.dll
O2 - BHO: NLS UrlCatcher Class - {AEECBFDA-12FA-4881-BDCE-8C3E1CE4B344} - C:\WINDOWS\System32\nvms.dll
O2 - BHO: NAV Helper - {BDF3E430-B101-42AD-A544-FADC6B084872} - C:\Programme\Norton AntiVirus\NavShExt.dll
O2 - BHO: CB UrlCatcher Class - {CE188402-6EE7-4022-8868-AB25173A3E14} - C:\WINDOWS\System32\mscb.dll
O2 - BHO: ADP UrlCatcher Class - {F4E04583-354E-4076-BE7D-ED6A80FD66DA} - C:\WINDOWS\System32\msbe.dll
O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINDOWS\System32\msdxm.ocx
O3 - Toolbar: Norton AntiVirus - {42CDD1BF-3FFB-4238-8AD1-7859DF00B1D6} - C:\Programme\Norton AntiVirus\NavShExt.dll
O4 - HKLM\..\Run: [Cmaudio] RunDll32 cmicnfg.cpl,CMICtrlWnd
O4 - HKLM\..\Run: [SiS Tray] C:\WINDOWS\System32\sistray.EXE
O4 - HKLM\..\Run: [SiSUSBRG] C:\WINDOWS\sisUSBrg.exe
O4 - HKLM\..\Run: [PCTVOICE] pctspk.exe
O4 - HKLM\..\Run: [Tweak UI] RUNDLL32.EXE TWEAKUI.CPL,TweakMeUp
O4 - HKLM\..\Run: [NeroCheck] C:\WINDOWS\System32\NeroCheck.exe
O4 - HKLM\..\Run: [Lexmark X74-X75] "C:\Programme\Lexmark X74-X75\lxbbbmgr.exe"
O4 - HKLM\..\Run: [Microsoft Works Update Detection] C:\Programme\Gemeinsame Dateien\Microsoft Shared\Works Shared\WkUFind.exe
O4 - HKLM\..\Run: [ccApp.exe] ccApp.exe
O4 - HKLM\..\Run: [Zone Labs Client] C:\PROGRA~1\ZONELA~1\ZONEAL~1\zlclient.exe
O4 - HKLM\..\Run: [ccApp] "C:\Programme\Gemeinsame Dateien\Symantec Shared\ccApp.exe"
O4 - HKLM\..\Run: [SSC_UserPrompt] C:\Programme\Gemeinsame Dateien\Symantec Shared\Security Center\UsrPrmpt.exe
O4 - HKLM\..\Run: [SpeedTouch USB Diagnostics] "C:\Programme\Alcatel\SpeedTouch USB\Dragdiag.exe" /icon
O4 - HKLM\..\RunServices: [ccApp.exe] ccApp.exe
O4 - HKCU\..\Run: [ccApp.exe] ccApp.exe
O4 - Global Startup: Microsoft Office.lnk = C:\Programme\Microsoft Office\Office10\OSA.EXE
O4 - Global Startup: Adobe Gamma Loader.exe.lnk = C:\Programme\Gemeinsame Dateien\Adobe\Calibration\Adobe Gamma Loader.exe
O12 - Plugin for .spop: C:\Programme\Internet Explorer\Plugins\NPDocBox.dll
O16 - DPF: {6414512B-B978-451D-A0D8-FCFDF33E833C} (WUWebControl Class) - http://v5.windowsupdate.microsoft.c...ls/en/x86/client/wuweb_site.cab?1093265385101






mfg

 

.

 

wollte nur einmal antworten

 

Hi Klez

Zu diesem Eintrag:

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.aon.at/

Kommt dir diese Seite bekannt vor? Falls nicht, dann fixen.

Gruß
Nevok

 

@ Klez

Noch ist dein Log-File nicht sauber!

O2 - BHO: NLS UrlCatcher Class - {AEECBFDA-12FA-4881-BDCE-8C3E1CE4B344} - C:\WINDOWS\System32\nvms.dll
O2 - BHO: CB UrlCatcher Class - {CE188402-6EE7-4022-8868-AB25173A3E14} - C:\WINDOWS\System32\mscb.dll
O2 - BHO: ADP UrlCatcher Class - {F4E04583-354E-4076-BE7D-ED6A80FD66DA} - C:\WINDOWS\System32\msbe.dll

Ich kann mich dem Doc nur anschließen!

Die sicherste Lösung wäre ein Neuafsetzen deines Systems, um wieder einen vertrauenswürdigen Zustand herzustellen.
Alles andere ist reine Spekulation!

Das Problem, in deinem Fall das geringste, mit dem Browser Hijacker vielleicht und dann auch nur kurzzeitig.
Aber das gefährlichere Problem mit den Backdoor Trojaner´n läßt du völlig außer Acht.

Was Backdoor Trojaner können:
http://www.trojaner-info.de/beschreibung.shtml
http://de.wikipedia.org/wiki/Backdoor
http://de.wikipedia.org/wiki/Trojaner_(Computer)

 

ok! hab die restlichen auch nocht gefixt.

Ich habe Spybot, Adaware 6, Norton Antivirus darüberlaufen lassen (alle mit neuem Update) und keiner hat noch irgendetwas gefunden. Glaubt ihr das der PC jetzt frei von Viren, Trojaner etc. ist? Zugleich habe ich noch ZoneAlarm drauf getan.

mfg

 

Vielleicht, das kann dir keiner garantieren.
http://oschad.de/wiki/index.php/Virenscanner

Für mich persönlich, wäre dies ein unbehaglicher Zustand.
http://faq.underflow.de/#SECTION000120000000000000000

Das kannst du hier wunderbar nachlesen:
http://www.iks-jena.de/mitarb/lutz/usenet/Firewall.html

 

Hallöchen, ich habe das gleiche Problem...

habe genau die gleiche Abwehrsoftware drauf, ist ein neu installierter Rechner

also adaware
spybot
antivir
zone alarm
tune up

am letzten sonntag hatte ich das ganze eingedämmt... wie? kann ich nicht mehr genau sagen... evtl durch spybot...

heute morgen bin ich mit dem Gastzugang das erste mal rein
und hab mir dabei irgendwie das problem wieder aktiviert...

ich installiere den Rechner jetzt lieber mal zum 4. mal...

hat sonst jemand damit erfahrungen?

gibt es mittlerweile eine software die das entfernt???

 

Was für ein böser und gemeiner Spruch!
Schäm' Dich, Dich sollte man sperren ;-)