Automatische Weiterleitung zu Drivecleaner

    Scanne regelmäßig mit Norton Antivirus und Spybot. Nun noch Ad-Aware installiert, alle Tools nochmal upgedated und nochmal gescant. Norton hat nichts gefunden, Spybot nur verfolgende Cookies. Ad-Aware hat einiges gefunden, allerdings nichts wirklich beunruhigendes, trotzdem alles gelöscht und Cache geleert.

    PC neu gestartet, aber keine Änderung. werde weiterhin auf Drivecleaner umgeleitet :(

    Peter Kruse fragte:

    Zitat

    hab gerade mein einwandfreies, 2 Monate altes Festplattenbackup wieder installiert. Fehler tritt weiterhin auf, so ein Mist.


    Nach meiner Meinung hattest Du Dich bereits schon im Vorfeld infiziert. Die Tatsache, das Du jetzt nicht über die neue IE 7er umgeleitet wirst, liegt u.U. an der integrierten "Fraud-Protection" des IE 7.

    DriveCleaner ist als trügerische Antispyware-Anwendung (Partner-Programme eingeschlossen) bekannt, die durch False Positives irreführend dem arglosen Anwender ein infiziertes System vorgaukelt, welches dann angeblich nur durch Erwerb der Vollversion zu bereinigen ist. :)

    Scheinbar befindet sich die Infektion auch auf Deinem Image. Scheinbar benutzt Du noch die FF 1.5er Version oder hast die Anti-Pishingfunktion des FF 2.0 deaktiviert.

    Versuche folgendes:

    a. Über Taskmanager den Process UDC2006.exe beenden.

    b. %Program Files%\DriveCleaner 2006 Free (Ordner) über Explorer löschen (sofern vorhanden).

    c. HKEY_LOCAL_MACHINE\SOFTWARE\DriveCleaner 2006 Free
    HKEY_ALL_USERS\Software\DriveCleaner 2006 Free

    aus der Registry löschen. (HijackThis) - ansonsten ein paar mehr Angaben von Dir wären hilfreich, sonst wird das hier nichts...


    Oliver


    Habe FF 2 mit neuesten Updates, Anti-Phishing aktiv
    Process UDC2006.exe nicht vorhanden
    Programm Files und Registry nichts mit dem Namen DriveCleaner zu finden.

    Habe mir Gestern Abend Spyware Doctor heruntergeladen und damit gescant. Hat etliche Cookies und Cookiereste gefunden.Hab dann sowohl beim FF als auch IE alle Cookies gelöscht und nochmal gescant. Bis auf die Reste alles weg. Dann wieder die Seite von Yachtworld.com aufgerufen .. werde trotzdem umgeleitet. Erneuter Scan ... DriveCleaner Cookies wieder da.

    Bereits der erste Scan mit Spyware Doctor hat aber auch ergeben das ich einen Trojaner drauf hab mit Namen Trojan.PWS.Tanspy.

    Mit Spyware Doctor würde ich ihn runterkriegen, müßte die Software aber kaufen. Habt ihr eine Idee wie ich den sonst noch loswerden kann ?

    Gruß
    Peter

    noch ein Info zu meinem Thema:
    der genannte Trojaner wird nur von Spyware Doctor gefunden. Weder mein Norton Antivirus, noch Kapersky, Spybot und Ad-Aware finden ihn.

    Ist das etwa ein Verkaufstrick von pctools um die SW Doctor zu kaufen ? Das wäre echt ein Hammer.

    Gruß Peter

    Zitat von Peter Kruse

    Weder mein ... Kapersky, finden ihn.


    An Deinem System ist irgendwas Größeres nicht in Ordnung. Ich habe den Kaspersky laufen, der sagt mir regelmäßig was über diesen von Dir genannten Trojaner, und natürlich blockt bzw. entfernt er ihn auch.

    Zitat von PRONOMEN


    An Deinem System ist irgendwas Größeres nicht in Ordnung. Ich habe den Kaspersky laufen, der sagt mir regelmäßig was über diesen von Dir genannten Trojaner, und natürlich blockt bzw. entfernt er ihn auch.

    Wie gesagt .... Kasperski hat den Trojaner nicht gefunden. Und an dem von SW Doctor angegebenen Ort in der Registry sind keine Einträge / Werte gesetzt. Also doch nur ein Trick von SW Doctor :?:

    BTW. Welches Tool zum Aufspüren, Blockieren, Löschen von Spy, Trojanern usw. würdet ihr mir denn empfehlen ?

    Peter Kruse schrieb:

    Zitat

    Programm Files und Registry nichts mit dem Namen DriveCleaner zu finden.


    Keine UDCPChk.dll / UDCShell.dll? Irgendwo muss eine dll bei Dir an einen nativen Windows-Service andocken.

    Deine Frage, ob vielleicht noch andere "saubere" Firmen in dieser Spyware-Entfernungs-Maschinerie mitdrinhängen, kann ich von hier aus und nach meinen Erfahrungen bestätigen. Dort greifen bereits grosse und kleine Zahnräder ineinander - auf Kosten des Users. Lasse die Finger von kostenpflichtigen Progs. zur Entfernung.

    Lade Dir HijackThis herunter. Die anschliessende Log-File Auswertung müsste dann soetwas ergeben wie folgt:

    O4 - HKLM\..\Run: [DriveCleaner 2006 Free] "C:\Program Files\DriveCleaner 2006 Free\UDC2006.exe" /min
    O4 - HKLM\..\Run: [SDR6_Check] "C:\Program Files\Common Files\DriveCleaner 2006 Free\udcsdr.exe"
    O4 - HKLM\..\Run: [PAS_Check] "C:\Program Files\Common Files\DriveCleaner 2006 Free\udcpas.exe"
    O4 - HKLM\..\Run: [UDC6cw] "C:\Program Files\DriveCleaner 2006 Free\UDC6cw.exe" -c

    Nocheinmal - in Deiner Registry muss es im Subkey: Run
    HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
    einen Eintrag geben der ungefähr lautet wie:
    C:\Program Files\DriveCleaner 2006 Free\UDC2006.exe" /min"

    DriveCleaner ist kein Rootkit und lässt sich auf API-Ebene entfernen. Bezüglich PWS.Tanspy (sofern kein False-Positive) möchte ich Dir nahelegen, den Computer vom Internet zu trennen und Deine Bank bzw. andere vertrauenswürdige Online-Insitute über die Infektion zu informieren und nach Säuberung (bzw. Neuinstallation des Systems) Deine PW´s zu ändern.


    Oliver

    Einmal editiert, zuletzt von Oliver222 (26. Dezember 2006 um 06:16)

    keine der oben genannten dll`s zu finden. Registry Einträge auch nicht.
    Nachfolgend mal mein LogFile.

    Wie kann ich herausfinden ob PWS.Tanspy = Fals-Positiv/Negativ ist. Ich habe mit Kaspersky Online gescant. Ausser ein paar harmlosen verfolgenden Cookies wurde nichts gefunden.

    Logfile of HijackThis v1.99.1
    Scan saved at 08:14:24, on 21.12.2006
    Platform: Windows 2000 SP4 (WinNT 5.00.2195)
    MSIE: Internet Explorer v6.00 SP1 (6.00.2800.1106)

    Running processes:
    C:\WINDOWS.000\System32\smss.exe
    C:\WINDOWS.000\system32\winlogon.exe
    C:\WINDOWS.000\system32\services.exe
    C:\WINDOWS.000\system32\lsass.exe
    C:\WINDOWS.000\system32\svchost.exe
    C:\WINDOWS.000\system32\spoolsv.exe
    C:\Programme\Symantec\LiveUpdate\ALUSchedulerSvc.exe
    C:\Programme\Gemeinsame Dateien\Symantec Shared\ccSetMgr.exe
    C:\WINDOWS.000\System32\svchost.exe
    C:\WINDOWS.000\system32\hidserv.exe
    C:\Programme\Norton AntiVirus\navapsvc.exe
    C:\Programme\Norton AntiVirus\IWP\NPFMntor.exe
    C:\WINDOWS.000\system32\nvsvc32.exe
    C:\WINDOWS.000\system32\oodag.exe
    C:\WINDOWS.000\system32\MSTask.exe
    C:\Programme\Gemeinsame Dateien\Symantec Shared\SNDSrvc.exe
    C:\Programme\Gemeinsame Dateien\Symantec Shared\SPBBC\SPBBCSvc.exe
    C:\WINDOWS.000\system32\stisvc.exe
    C:\Programme\Gemeinsame Dateien\Symantec Shared\CCPD-LC\symlcsvc.exe
    C:\WINDOWS.000\System32\WBEM\WinMgmt.exe
    C:\WINDOWS.000\System32\mspmspsv.exe
    C:\WINDOWS.000\system32\svchost.exe
    C:\Programme\Gemeinsame Dateien\Symantec Shared\ccEvtMgr.exe
    C:\WINDOWS.000\System32\svchost.exe
    C:\WINDOWS.000\Explorer.EXE
    C:\Programme\Gemeinsame Dateien\Symantec Shared\ccApp.exe
    C:\Programme\Java\jre1.5.0_10\bin\jusched.exe
    C:\Programme\Spamihilator\spamihilator.exe
    C:\Programme\FRITZ!\FriFax32.exe
    C:\WINDOWS.000\system32\rundll32.exe
    C:\Programme\T-DSL SpeedManager\TSMSvc.exe
    C:\Programme\Gemeinsame Dateien\Symantec Shared\Security Console\NSCSRVCE.EXE
    C:\Programme\Microsoft Office\Office\OUTLOOK.EXE
    C:\WINDOWS.000\system32\cmd.exe
    D:\eigene Programme\Langenscheidt T1 6_0\Engine\mte\bin\engine.exe
    C:\WINDOWS.000\msagent\AgentSvr.exe
    C:\PROGRA~1\MOZILL~1\FIREFOX.EXE
    C:\PROGRA~1\WinZip\winzip32.exe
    C:\DOKUME~1\ADMINI~1\LOKALE~1\Temp\HijackThis.exe

    R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Bar = http://g.msn.de/0SEDEDE/SAOS01
    R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Local Page = C:\WINDOWS.000\SYSTEM\blank.htm
    R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Window Title = Microsoft Internet Explorer bereitgestellt von T-Online International AG
    R1 - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings,ProxyServer = ftp=ftp-proxy.t-online.de:80;http=www-proxy.t-online.de:80
    R1 - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings,ProxyOverride = *.t-online.de;localhost;<local>
    O2 - BHO: Adobe PDF Reader Link Helper - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Programme\Adobe\Acrobat 7.0\ActiveX\AcroIEHelper.dll
    O2 - BHO: (no name) - {53707962-6F74-2D53-2644-206D7942484F} - C:\PROGRA~1\SPYBOT~1\SDHelper.dll
    O2 - BHO: SSVHelper Class - {761497BB-D6F0-462C-B6EB-D4DAF1D92D43} - C:\Programme\Java\jre1.5.0_10\bin\ssv.dll
    O2 - BHO: ST - {9394EDE7-C8B5-483E-8773-474BF36AF6E4} - C:\Programme\MSN Apps\ST\01.03.0000.1005\en-xu\stmain.dll
    O2 - BHO: NAV Helper - {A8F38D8D-E480-4D52-B7A2-731BB6995FDD} - C:\Programme\Norton AntiVirus\NavShExt.dll
    O2 - BHO: MSNToolBandBHO - {BDBD1DAD-C946-4A17-ADC1-64B5B4FF55D0} - C:\Programme\MSN Apps\MSN Toolbar\01.02.5000.1021\de\msntb.dll
    O3 - Toolbar: MSN - {BDAD1DAD-C946-4A17-ADC1-64B5B4FF55D0} - C:\Programme\MSN Apps\MSN Toolbar\01.02.5000.1021\de\msntb.dll
    O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINDOWS.000\system32\msdxm.ocx
    O3 - Toolbar: Norton AntiVirus - {C4069E3A-68F1-403E-B40E-20066696354B} - C:\Programme\Norton AntiVirus\NavShExt.dll
    O3 - Toolbar: Yahoo! Toolbar - {EF99BD32-C1FB-11D2-892F-0090271D4F88} - C:\Programme\Yahoo!\Companion\Installs\cpn\yt.dll
    O3 - Toolbar: T1 - {4180A6C9-26D0-4A15-A2CD-A24E3178E386} - D:\EIGENE~2\LANGEN~1\Engine\mte\StdAlone\T1IE.dll
    O4 - HKLM\..\Run: [SystemTray] SysTray.Exe
    O4 - HKLM\..\Run: [ccApp] "C:\Programme\Gemeinsame Dateien\Symantec Shared\ccApp.exe"
    O4 - HKLM\..\Run: [SSC_UserPrompt] C:\Programme\Gemeinsame Dateien\Symantec Shared\Security Center\UsrPrmpt.exe
    O4 - HKLM\..\Run: [SunJavaUpdateSched] "C:\Programme\Java\jre1.5.0_10\bin\jusched.exe"
    O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS.000\system32\NvCpl.dll,NvStartup
    O4 - HKLM\..\Run: [nwiz] nwiz.exe /install
    O4 - HKLM\..\RunServicesOnce: [1] C:\WINDOWS.000\system32\RegSvr32.exe /s C:\WINDOWS.000\system32\BCHal.dll
    O4 - HKLM\..\RunServicesOnce: [2] C:\WINDOWS.000\system32\RegSvr32.exe /s C:\WINDOWS.000\system32\BlstCtrl.dll
    O4 - HKLM\..\RunServicesOnce: [3] C:\WINDOWS.000\system32\RegSvr32.exe /s C:\WINDOWS.000\system32\BCInfo.dll
    O4 - HKLM\..\RunServicesOnce: [4] C:\WINDOWS.000\system32\RegSvr32.exe /s C:\WINDOWS.000\system32\BCMon.dll
    O4 - HKLM\..\RunServicesOnce: [5] C:\WINDOWS.000\system32\RegSvr32.exe /s C:\WINDOWS.000\system32\BCColor.dll
    O4 - HKLM\..\RunServicesOnce: [6] C:\WINDOWS.000\system32\RegSvr32.exe /s C:\WINDOWS.000\system32\BCDesk.dll
    O4 - HKLM\..\RunServicesOnce: [20] C:\WINDOWS.000\system32\RegSvr32.exe /s C:\WINDOWS.000\system32\BCPref.dll
    O4 - HKCU\..\Run: [Spamihilator] "C:\Programme\Spamihilator\spamihilator.exe"
    O4 - Startup: OUTLOOK.lnk = C:\Programme\Microsoft Office\Office\OUTLOOK.EXE
    O4 - Startup: FriFax32.lnk = C:\Programme\FRITZ!\FriFax32.exe
    O4 - Global Startup: Adobe Reader - Schnellstart.lnk = C:\Programme\Adobe\Acrobat 7.0\Reader\reader_sl.exe
    O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programme\Java\jre1.5.0_10\bin\ssv.dll
    O9 - Extra 'Tools' menuitem: Sun Java Konsole - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programme\Java\jre1.5.0_10\bin\ssv.dll
    O16 - DPF: {0A5FD7C5-A45C-49FC-ADB5-9952547D5715} (Creative Software AutoUpdate) - http://creative.com/su/ocx/15015/CTSUEng.cab
    O16 - DPF: {0EB0E74A-2A76-4AB3-A7FB-9BD8C29F7F75} (CKAVWebScan Object) - http://www.kaspersky.com/kos/german/kavwebscan_unicode.cab
    O16 - DPF: {17492023-C23A-453E-A040-C7C580BBF700} (Windows Genuine Advantage Validation Tool) - http://go.microsoft.com/fwlink/?LinkID=39204
    O16 - DPF: {1754A1BA-A1DF-4F10-B199-AA55AA1A120F} (InstallerBehaviorFactory Class) - https://signup.msn.com/pages/MsnInstC.cab
    O16 - DPF: {62475759-9E84-458E-A1AB-5D2C442ADFDE} - http://a1540.g.akamai.net/7/1540/52/2004…meInstaller.exe
    O16 - DPF: {6E32070A-766D-4EE6-879C-DC1FA91D2FC3} (MUWebControl Class) - http://update.microsoft.com/microsoftupdat…b?1123669624078
    O16 - DPF: {B38870E4-7ECB-40DA-8C6A-595F0A5519FF} (MsnMessengerSetupDownloadControl Class) - http://messenger.msn.com/download/msnme…pdownloader.cab
    O16 - DPF: {F6ACF75C-C32C-447B-9BEF-46B766368D29} (Creative Software AutoUpdate Support Package) - http://creative.com/su/ocx/15016/CTPID.cab
    O17 - HKLM\System\CCS\Services\Tcpip\..\{339AD7C9-1E71-4DA7-BF6C-6F0DD54A1F25}: NameServer = 192.168.120.252,192.168.120.253
    O23 - Service: Automatisches LiveUpdate - Scheduler - Symantec Corporation - C:\Programme\Symantec\LiveUpdate\ALUSchedulerSvc.exe
    O23 - Service: Symantec Event Manager (ccEvtMgr) - Symantec Corporation - C:\Programme\Gemeinsame Dateien\Symantec Shared\ccEvtMgr.exe
    O23 - Service: Symantec Settings Manager (ccSetMgr) - Symantec Corporation - C:\Programme\Gemeinsame Dateien\Symantec Shared\ccSetMgr.exe
    O23 - Service: AVM FRITZ!web Routing Service (de_serv) - AVM Berlin - C:\Programme\Gemeinsame Dateien\AVM\de_serv.exe
    O23 - Service: Verwaltungsdienst für die Verwaltung logischer Datenträger (dmadmin) - VERITAS Software Corp. - C:\WINDOWS.000\System32\dmadmin.exe
    O23 - Service: InstallDriver Table Manager (IDriverT) - Macrovision Corporation - C:\Programme\Gemeinsame Dateien\InstallShield\Driver\11\Intel 32\IDriverT.exe
    O23 - Service: LiveUpdate - Symantec Corporation - C:\PROGRA~1\Symantec\LIVEUP~1\LUCOMS~1.EXE
    O23 - Service: Norton AntiVirus Auto-Protect-Dienst (navapsvc) - Symantec Corporation - C:\Programme\Norton AntiVirus\navapsvc.exe
    O23 - Service: Norton AntiVirus Firewall Monitor Service (NPFMntor) - Symantec Corporation - C:\Programme\Norton AntiVirus\IWP\NPFMntor.exe
    O23 - Service: Norton Protection Center Service (NSCService) - Symantec Corporation - C:\Programme\Gemeinsame Dateien\Symantec Shared\Security Console\NSCSRVCE.EXE
    O23 - Service: NVIDIA Display Driver Service (NVSvc) - NVIDIA Corporation - C:\WINDOWS.000\system32\nvsvc32.exe
    O23 - Service: O&O Defrag - O&O Software GmbH - C:\WINDOWS.000\system32\oodag.exe
    O23 - Service: Symantec AVScan (SAVScan) - Symantec Corporation - C:\Programme\Norton AntiVirus\SAVScan.exe
    O23 - Service: Symantec Network Drivers Service (SNDSrvc) - Symantec Corporation - C:\Programme\Gemeinsame Dateien\Symantec Shared\SNDSrvc.exe
    O23 - Service: SPBBCSvc - Symantec Corporation - C:\Programme\Gemeinsame Dateien\Symantec Shared\SPBBC\SPBBCSvc.exe
    O23 - Service: Symantec Core LC - Symantec Corporation - C:\Programme\Gemeinsame Dateien\Symantec Shared\CCPD-LC\symlcsvc.exe
    O23 - Service: T-DSL SpeedManager (TSMService) - T-Systems Business Services - C:\Programme\T-DSL SpeedManager\TSMSvc.exe


    Gruß
    Peter


    Bin kein Log-File Auswertungserperte, aber diese Einträge haben in den Run-Keys (StartUp) des Systems eigentlich nichts zu suchen. Lasse das über HijackThis deaktivieren - desweiteren lösche Deine TEMP-Dateien (Inhalte, nicht die Ordner selber).

    Zitat

    C:\WINDOWS\Temp\
    C:\Temp\
    C:\Dokumente und Einstellungen\username\Lokale Einstellungen\Temp\
    C:\Dokumente und Einstellungen\user\Lokale Einstellungen\Temporary Internet Files\Content.IE5


    System Neustarten - anschliessend einen Scan mit:
    http://www.mwti.net/antivirus/free_utilities.asp


    Oliver

    Lass mal Deine Logfile bei http://www.hijackthis.de auswerten.

    Es werden mehrere Prozesse als Eventuell böse eingestuft, die allesamt in einem Verzeichnis windows.0000 liegen, dazu mindesten 1 Eintrag der sicher als Böse eingestuft ist.

    Lies jedenfalls alles in den Rubriken Beschreibung und Empfehlung, die Icons Gut, Böse oder Unbekannt sind nicht unbedingt aussagekräftig.