google linkt mich woanders hin als ich will

conjak3000 · 18.07.2009, 10:52

hallo,

also ich fange mal ganz von vorne an...

ich habe gestern die shareware version von dem "TotolVideoConverter" heruntergeladen und bei ca. 80% installationsvortschritt hate ich einen bluescreen. danach habe ich mein notebook sofort ausgemacht und wo ich es wieder hochfahren wollte habe ich ca 5min gewartet aber vista bootete nicht zum schluss, ich hatte schon angst das ich mein pc plattmachen müsste aber ich habe es nochmal versucht und diesesmal lief er hoch. es dauerte zwar sehr lange aber naja...dann habe ich erstmal den ortner unter C:/Programme/ gelöscht da ich das programm nicht deinstallieren konnte weil es ja noch nicht fertig war. danach wo ich den ortner gelöscht habe habe ich was mit meiner google toolbar gesucht und als ich auf den link geklickt habe bin ich ganz auf eine ganz andere seite seite gekommen als auf die die ich wollte. es ist immer eine andere seite auf die ich komme.

ich kann euch ja einfach mal mein jackthis log uppen, villeicht ist da was nicht in ordnung:

Logfile of Trend Micro HijackThis v2.0.2
Scan saved at 11:50:51, on 18.07.2009
Platform: Windows Vista SP2 (WinNT 6.00.1906)
MSIE: Internet Explorer v8.00 (8.00.6001.18702)
Boot mode: Normal

Running processes:
C:\Windows\system32\Dwm.exe
C:\Windows\Explorer.EXE
C:\Windows\system32\taskeng.exe
C:\Program Files\Synaptics\SynTP\SynTPEnh.exe
C:\Program Files\Hewlett-Packard\HP Wireless Assistant\HPWAMain.exe
C:\Program Files\Kaspersky Lab\Kaspersky Internet Security 7.0\avp.exe
C:\Windows\WindowsMobile\wmdSync.exe
C:\Windows\System32\rundll32.exe
C:\Program Files\Microsoft Office\Office12\GrooveMonitor.exe
C:\Windows\ehome\ehtray.exe
C:\Windows\ehome\ehmsas.exe
C:\Program Files\IncrediMail\bin\IMApp.exe
C:\Program Files\Hewlett-Packard\HP wireless Assistant\WiFiMsg.EXE
C:\Program Files\Synaptics\SynTP\SynTPHelper.exe
C:\Program Files\Hewlett-Packard\Shared\HpqToaster.exe
C:\Windows\system32\wuauclt.exe
C:\Program Files\Google\GoogleToolbarNotifier\GoogleToolbarNo tifier.exe
C:\Windows\system32\conime.exe
C:\Program Files\Internet Explorer\iexplore.exe
C:\Program Files\Internet Explorer\iexplore.exe
C:\Program Files\Google\Google Toolbar\GoogleToolbarUser.exe
C:\Program Files\Trend Micro\HijackThis\HijackThis.exe
C:\Program Files\Mozilla Firefox\firefox.exe

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://ie.redirect.hp.com/svs/rdr?TY...esario&pf=cnnb
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = http://go.microsoft.com/fwlink/?LinkId=54896
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.google.de/
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://ie.redirect.hp.com/svs/rdr?TY...esario&pf=cnnb
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://go.microsoft.com/fwlink/?LinkId=54896
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = http://go.microsoft.com/fwlink/?LinkId=54896
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = http://ie.redirect.hp.com/svs/rdr?TY...esario&pf=cnnb
R0 - HKLM\Software\Microsoft\Internet Explorer\Search,SearchAssistant =
R0 - HKLM\Software\Microsoft\Internet Explorer\Search,CustomizeSearch =
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName =
O1 - Hosts: ::1 localhost
O2 - BHO: AcroIEHelperStub - {18DF081C-E8AD-4283-A596-FA578C2EBDC3} - C:\Program Files\Common Files\Adobe\Acrobat\ActiveX\AcroIEHelperShim.dll
O2 - BHO: Groove GFS Browser Helper - {72853161-30C5-4D22-B7F9-0BBC1D38A37E} - C:\Program Files\Microsoft Office\Office12\GrooveShellExtensions.dll
O2 - BHO: SSVHelper Class - {761497BB-D6F0-462C-B6EB-D4DAF1D92D43} - C:\Program Files\Java\jre1.6.0_07\bin\ssv.dll
O2 - BHO: Windows Live Anmelde-Hilfsprogramm - {9030D464-4C02-4ABF-8ECC-5164760863C6} - C:\Program Files\Common Files\Microsoft Shared\Windows Live\WindowsLiveLogin.dll
O2 - BHO: Google Toolbar Helper - {AA58ED58-01DD-4d91-8333-CF10577473F7} - C:\Program Files\Google\Google Toolbar\GoogleToolbar.dll
O2 - BHO: Google Toolbar Notifier BHO - {AF69DE43-7D58-4638-B6FA-CE66B5AD205D} - C:\Program Files\Google\GoogleToolbarNotifier\5.1.1309.15642\ swg.dll
O2 - BHO: Google Dictionary Compression sdch - {C84D72FE-E17D-4195-BB24-76C02E2E7C4E} - C:\Program Files\Google\Google Toolbar\Component\fastsearch_A8904FB862BD9564.dll
O3 - Toolbar: Google Toolbar - {2318C2B1-4965-11d4-9B18-009027A5CD4F} - C:\Program Files\Google\Google Toolbar\GoogleToolbar.dll
O4 - HKLM\..\Run: [SynTPEnh] C:\Program Files\Synaptics\SynTP\SynTPEnh.exe
O4 - HKLM\..\Run: [hpWirelessAssistant] C:\Program Files\Hewlett-Packard\HP Wireless Assistant\HPWAMain.exe
O4 - HKLM\..\Run: [AVP] "C:\Program Files\Kaspersky Lab\Kaspersky Internet Security 7.0\avp.exe"
O4 - HKLM\..\Run: [Windows Mobile-based device management] %windir%\WindowsMobile\wmdSync.exe
O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\Windows\system32\NvCpl.dll,NvStartup
O4 - HKLM\..\Run: [NvMediaCenter] RUNDLL32.EXE C:\Windows\system32\NvMcTray.dll,NvTaskbarInit
O4 - HKLM\..\Run: [GrooveMonitor] "C:\Program Files\Microsoft Office\Office12\GrooveMonitor.exe"
O4 - HKLM\..\RunOnce: [Uninstall Adobe Download Manager] "C:\Program Files\NOS\bin\getPlus_HelperSvc.exe" /UninstallGet1noarp
O4 - HKCU\..\Run: [ehTray.exe] C:\Windows\ehome\ehTray.exe
O4 - HKCU\..\Run: [IncrediMail] C:\Program Files\IncrediMail\bin\IncMail.exe /c
O4 - HKCU\..\Run: [swg] C:\Program Files\Google\GoogleToolbarNotifier\GoogleToolbarNo tifier.exe
O4 - HKUS\S-1-5-19\..\Run: [Sidebar] %ProgramFiles%\Windows Sidebar\Sidebar.exe /detectMem (User 'LOKALER DIENST')
O4 - HKUS\S-1-5-19\..\Run: [WindowsWelcomeCenter] rundll32.exe oobefldr.dll,ShowWelcomeCenter (User 'LOKALER DIENST')
O4 - HKUS\S-1-5-20\..\Run: [Sidebar] %ProgramFiles%\Windows Sidebar\Sidebar.exe /detectMem (User 'NETZWERKDIENST')
O8 - Extra context menu item: Hinzufügen zu Kaspersky Anti-Banner - C:\Program Files\Kaspersky Lab\Kaspersky Internet Security 7.0\ie_banner_deny.htm
O8 - Extra context menu item: Nach Microsoft E&xel exportieren - res://C:\PROGRA~1\MICROS~3\Office12\EXCEL.EXE/3000
O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\PROGRA~1\Java\JRE16~1.0_0\bin\ssv.dll
O9 - Extra 'Tools' menuitem: Sun Java Konsole - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\PROGRA~1\Java\JRE16~1.0_0\bin\ssv.dll
O9 - Extra button: Statistik für Web-Anti-Virus - {1F460357-8A94-4D71-9CA3-AA4ACF32ED8E} - C:\Program Files\Kaspersky Lab\Kaspersky Internet Security 7.0\SCIEPlgn.dll
O9 - Extra button: An OneNote senden - {2670000A-7350-4f3c-8081-5663EE0C6C49} - C:\PROGRA~1\MICROS~3\Office12\ONBttnIE.dll
O9 - Extra 'Tools' menuitem: An OneNote s&enden - {2670000A-7350-4f3c-8081-5663EE0C6C49} - C:\PROGRA~1\MICROS~3\Office12\ONBttnIE.dll
O9 - Extra button: Research - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - C:\PROGRA~1\MICROS~3\Office12\REFIEBAR.DLL
O9 - Extra button: ICQ6 - {E59EB121-F339-4851-A3BA-FE49C35617C2} - C:\Program Files\ICQ6.5\ICQ.exe
O9 - Extra 'Tools' menuitem: ICQ6 - {E59EB121-F339-4851-A3BA-FE49C35617C2} - C:\Program Files\ICQ6.5\ICQ.exe
O13 - Gopher Prefix:
O16 - DPF: {E2883E8F-472F-4FB0-9522-AC9BF37916A7} (get_atlcom Class) - http://platformdl.adobe.com/NOS/getPlusPlus/1.6/gp.cab
O18 - Protocol: grooveLocalGWS - {88FED34C-F0CA-4636-A375-3CB6248B04CD} - C:\Program Files\Microsoft Office\Office12\GrooveSystemServices.dll
O18 - Filter: x-sdch - {B1759355-3EEC-4C1E-B0F1-B719FE26E377} - C:\Program Files\Google\Google Toolbar\Component\fastsearch_A8904FB862BD9564.dll
O20 - AppInit_DLLs: C:\PROGRA~1\KASPER~1\KASPER~1.0\r3hook.dll,C:\PROG RA~1\KASPER~1\KASPER~1.0\adialhk.dll
O23 - Service: Kaspersky Internet Security 7.0 (AVP) - Kaspersky Lab - C:\Program Files\Kaspersky Lab\Kaspersky Internet Security 7.0\avp.exe
O23 - Service: Com4QLBEx - Hewlett-Packard Development Company, L.P. - C:\Program Files\Hewlett-Packard\HP Quick Launch Buttons\Com4QLBEx.exe
O23 - Service: getPlus(R) Helper - NOS Microsystems Ltd. - C:\Program Files\NOS\bin\getPlus_HelperSvc.exe
O23 - Service: Google Software Updater (gusvc) - Google - C:\Program Files\Google\Common\Google Updater\GoogleUpdaterService.exe
O23 - Service: HP Health Check Service - Hewlett-Packard - c:\Program Files\Hewlett-Packard\HP Health Check\hphc_service.exe
O23 - Service: hpqwmiex - Hewlett-Packard Development Company, L.P. - C:\Program Files\Hewlett-Packard\Shared\hpqwmiex.exe
O23 - Service: InstallDriver Table Manager (IDriverT) - Macrovision Corporation - C:\Program Files\Common Files\InstallShield\Driver\1050\Intel 32\IDriverT.exe
O23 - Service: LightScribeService Direct Disc Labeling Service (LightScribeService) - Hewlett-Packard Company - C:\Program Files\Common Files\LightScribe\LSSrvc.exe
O23 - Service: NBService - Nero AG - C:\Program Files\Nero\Nero 7\Nero BackItUp\NBService.exe
O23 - Service: NMIndexingService - Nero AG - C:\Program Files\Common Files\Ahead\Lib\NMIndexingService.exe
O23 - Service: Norton Internet Security - Unknown owner - C:\Program Files\Norton Internet Security\Engine\16.0.0.125\ccSvcHst.exe (file missing)
O23 - Service: NVIDIA Display Driver Service (nvsvc) - NVIDIA Corporation - C:\Windows\system32\nvvsvc.exe
O23 - Service: Recovery Service for Windows - Unknown owner - C:\Program Files\SMINST\BLService.exe
O23 - Service: @%SystemRoot%\System32\TuneUpDefragService.exe,-1 (TuneUp.Defrag) - TuneUp Software - C:\Windows\System32\TuneUpDefragService.exe
O23 - Service: @%SystemRoot%\System32\TUProgSt.exe,-1 (TuneUp.ProgramStatisticsSvc) - TuneUp Software - C:\Windows\System32\TUProgSt.exe
O23 - Service: XAudioService - Conexant Systems, Inc. - C:\Windows\system32\DRIVERS\xaudio.exe

--
End of file - 8881 bytes

PS: ich benutze fast ausschließlich firefox

Vielen dank im vorraus

**Leonixx** · 18.07.2009, 11:12

Hallo,

von welcher Webseite hast du den Konverter geladen? Riecht für mich nach Umleitung des Rechners auf gefällschte Webseiten bzw. nach Spyware.

Es gibt in deinem Logfile zwei Dateien die man überprüfen sollte. Dazu versteckte Ordner sichtbar machen und geschützte Systemdateien einblenden. (Explorer, Extras, Ansicht). Dann beide Dateien bei Virustotal hochladen und auswerten. www.virustotal.com

C:\Program Files\NOS\bin\getPlus_HelperSvc.exe
C:\Program Files\SMINST\BLService.exe

Als nächstes Combofix anwenden wie im Link in meiner Signatur. Poste das Logfile. Keine Angst, Combofix ist sicher und zerschießt das System nicht.

Gruss

conjak3000 · 18.07.2009, 14:51

danke für deine antwort.

das programm habe ich ihrgendwo im internet gesehen und runtergeladen (ich bereue es :S )

also die beiden datein sind ok (das erste glaube ich 4% und das andere 0%).

und nachdem ich combofix gestartert habe hat es mir estmal gesagt ich soll kaspersky ausmachen, dass habe ich getan und danach habe ich auf ok geklickt, dann offnete sich das cmd und dann ....bluescreen.... (das ganze habe ich 2x probiert):motz:

hast du noch einen tipp??

MfG

phdorpyj · 18.07.2009, 14:57

Machst du so ein Log? http://www.youtube.com/watch?v=mbzWIDv3l8M
http://www.z-oleg.com/avz4.zip

**Leonixx** · 18.07.2009, 14:59

Sorry, du hast Vista. Da funzt Combofix nicht. Dann Log von AVZ wie phdorpyj gepostet hat und zusätzlich RSIT (Findest du in meiner Sig. unter Grundausstattung....)

conjak3000 · 18.07.2009, 15:31

siehe anhang

MfG

phdorpyj · 18.07.2009, 15:50

Leider ist das Log irgendwie auf russisch, hoffe ich habe trotzdem alles erfasst.

Code:

begin
SetAVZGuardStatus(True);
SearchRootkit(true, true);
 QuarantineFile('C:\Windows\system32\Macromed\Flash\NPSWF32.dll','');
 QuarantineFile('\\?\globalroot\systemroot\system32\geyekrhyvxvbxv.dll','');
 DeleteFile('\\?\globalroot\systemroot\system32\geyekrhyvxvbxv.dll');
 BC_DeleteFile('\\?\globalroot\systemroot\system32\geyekrhyvxvbxv.dll');
 DeleteFile('C:\Windows\system32\Macromed\Flash\NPSWF32.dll');
 BC_DeleteFile('C:\Windows\system32\Macromed\Flash\NPSWF32.dll');
BC_ImportDeletedList;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.

1. Anleitung um das Script mit Kaspersky auszuführen (für 8.0 hoffe das passt trotzdem).
Im Kaspersky-Hauptfenster unten links auf "Support" klicken, im nächsten Fenster wieder unten links "Protokollierung". Dann "AVZ-Skript ausführen" wählen, das kopierte Script im nächsten Fenster einfügen und auf "Ausführen" klicken.

2. Anleitung um das Script mit AVZ4 auszuführen.
In AVZ auf File -> Custom scripts und dann wie im Screen auf "Run".

PS: Danach bitte noch mal beide logs erstellen und hoch laden, wenns geht auf deutsch/englisch.

conjak3000 · 18.07.2009, 16:37

also mit kaspersky funzte es nich, also habe ich es mit avz gemacht und danach hat der pc sich neu gestartet und es waren 2 neue ordner auf meinem desktop (Quarantine und backup), aber das problem besteht weiterhin.

hier nochmal das avz log in (hoffentlich) lesbarer sprache

phdorpyj · 18.07.2009, 17:20

Kannst du die geyekrhyvxvbxv.dll auf Virustotal hoch laden und analysieren lassen?
Befindet sich in C:\Windows\system32\geyekrhyvxvbxv.dll oder danach suchen.
Den enstandenen Bericht hier posten falls es was ergibt.
Falls du's hinkriegst schick die Datei auch an Kaspersky.
Ich komme grad nicht wirklich weiter.

conjak3000 · 18.07.2009, 18:01

naja..
http://www.virustotal.com/de/analisi...cf7-1247876606

ps: mir ist grade aufgefallen das ich nur falsch verlinkt werde wenn ich links aufmache die ich über die google toolbar gesucht habe, wenn ich auf google.de gehe und suche funzen die links 1a

mfg

Sie betrachten gerade: google linkt mich woanders hin als ich will

hp health check dauert sehr lange

ggogle link für wo anders hin

virus? google verlinkt mich immer zu secure