Ad.firstadsolution - nerviges Banner ... Trojaner?

Internet Internet Sicherheit
1

Hy leutz,
ich sitze hier an einen problem!

Ich habe mir irgendwo was von ad.firstadsolution eingefangen und jedesmal wenn ich mein firefox starte und eine seite aufrufe wirf von ad.firstadsolution ein Banner (in nem internetexplorer fenster) geöffnet, nicht nur das dies nervig ist, ich habe auch keine ahnung wie ich das wieder loswerden soll…

Ich habe mit Antivir gescannt (keine funde)
Ich habe mit TRojan Hunter gesucht 2 Trojaner wurden entfernt.
Ich habe meine Cookies gelöscht (schon wieder nichts gebracht)

und langsam verzweifle ich, habe auch schon gegoogelt, aber das einzige was ich rausfinde ist das ich nicht der einzige bin und das es ziemlich schwer wieder loszubekommen sei. Es wird mehrmals die Neuinstallation des Systems erwähnt, aber das würde ich wenn irgendwie möglich doch gerne unterlassen.

Hat mir vielleicht einer von euch nen Tip wie ich das losbekommen kann?
Oder nen HInweis nach was ich suchen muss?

Bin um jede Hilfe dankbar

Hab hier mal mit HijackThis gescannt, hab gelesen, wenn man die richtige Datei kennt, dass man die unterm abgesicherten Modus löschen kann, könnt ihr mir das auch erklären?
Und welches ist die richtige Datei!?

Danke schon mal, Thommy!

C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\spoolsv.exe
C:\Programme\AntiVir PersonalEdition Classic\sched.exe
C:\Programme\AntiVir PersonalEdition Classic\avguard.exe
C:\Programme\Gemeinsame Dateien\Microsoft Shared\VS7DEBUG\MDM.EXE
C:\WINDOWS\system32\nvsvc32.exe
C:\WINDOWS\System32\snmp.exe
C:\Programme\Analog Devices\SoundMAX\SMAgent.exe
C:\WINDOWS\system32\svchost.exe
C:\Programme\Canon\CAL\CALMAIN.exe
C:\WINDOWS\Explorer.EXE
C:\Programme\Analog Devices\SoundMAX\SMax4PNP.exe
C:\WINDOWS\System32\svchost.exe
C:\Programme\Analog Devices\SoundMAX\Smax4.exe
C:\Program Files\ASUS\Probe\AsusProb.exe
C:\Programme\AntiVir PersonalEdition Classic\avgnt.exe
C:\Programme\Winamp\winampa.exe
C:\Programme\Anti-Blaxx 1.18\Anti-Blaxx.exe
C:\Programme\D-Tools\daemon.exe
C:\Programme\QuickTime\qttask.exe
C:\Programme\Java\jre1.5.0_09\bin\jusched.exe
C:\Programme\Adobe\Photoshop Album Starter Edition\3.0\Apps\apdproxy.exe
C:\Programme\Google\Google Desktop Search\GoogleDesktop.exe
C:\WINDOWS\system32\RUNDLL32.EXE
C:\Programme\SlySoft\CloneCD\CloneCDTray.exe
C:\Programme\Google\Google Desktop Search\GoogleDesktopIndex.exe
F:\Programme\VirtualCloneDrive\VCDDaemon.exe
F:\Programme\TrojanHunter 4.6\THGuard.exe
C:\Programme\Internet Explorer\iexplore.exe
C:\Programme\MSN Messenger\MsnMsgr.Exe
C:\Programme\Gemeinsame Dateien\Ahead\Lib\NMBgMonitor.exe
C:\Programme\SlySoft\AnyDVD\AnyDVD.exe
c:\progra~1\intern~1\iexplore.exe
c:\progra~1\intern~1\iexplore.exe
C:\Programme\Google\Google Desktop Search\GoogleDesktopCrawl.exe
J:\Programme\Microsoft Office\OFFICE11\OUTLOOK.EXE
C:\Programme\WinZip\WZQKPICK.EXE
J:\Programme\Microsoft Office\OFFICE11\WINWORD.EXE
C:\WINDOWS\msagent\AgentSvr.exe
C:\Programme\Mozilla Firefox\firefox.exe
C:\Programme\WinRAR\WinRAR.exe
C:\DOKUME~1\USer\LOKALE~1\Temp\Rar$EX00.047\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.chat4free.de/c4f_chateingang.html
O2 - BHO: Adobe PDF Reader Link Helper - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Programme\Adobe\Acrobat 7.0\ActiveX\AcroIEHelper.dll
O2 - BHO: SSVHelper Class - {761497BB-D6F0-462C-B6EB-D4DAF1D92D43} - C:\Programme\Java\jre1.5.0_09\bin\ssv.dll
O4 - HKLM…\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\system32\NvCpl.dll,NvStartup
O4 - HKLM…\Run: [nwiz] nwiz.exe /install
O4 - HKLM…\Run: [SoundMAXPnP] C:\Programme\Analog Devices\SoundMAX\SMax4PNP.exe
O4 - HKLM…\Run: [SoundMAX] „C:\Programme\Analog Devices\SoundMAX\Smax4.exe“ /tray
O4 - HKLM…\Run: [ASUS Probe] C:\Program Files\ASUS\Probe\AsusProb.exe
O4 - HKLM…\Run: [avgnt] „C:\Programme\AntiVir PersonalEdition Classic\avgnt.exe“ /min
O4 - HKLM…\Run: [Winamp Agent] C:\Programme\Winamp\winampa.exe
O4 - HKLM…\Run: [Anti-Blaxx Manager] C:\Programme\Anti-Blaxx 1.18\Anti-Blaxx.exe
O4 - HKLM…\Run: [DAEMON Tools-1033] „C:\Programme\D-Tools\daemon.exe“ -lang 1033
O4 - HKLM…\Run: [QuickTime Task] „C:\Programme\QuickTime\qttask.exe“ -atboottime
O4 - HKLM…\Run: [SunJavaUpdateSched] „C:\Programme\Java\jre1.5.0_09\bin\jusched.exe“
O4 - HKLM…\Run: [Adobe Photo Downloader] „C:\Programme\Adobe\Photoshop Album Starter Edition\3.0\Apps\apdproxy.exe“
O4 - HKLM…\Run: [Google Desktop Search] „C:\Programme\Google\Google Desktop Search\GoogleDesktop.exe“ /startup
O4 - HKLM…\Run: [NeroFilterCheck] C:\Programme\Gemeinsame Dateien\Ahead\Lib\NeroCheck.exe
O4 - HKLM…\Run: [NvMediaCenter] RUNDLL32.EXE C:\WINDOWS\system32\NvMcTray.dll,NvTaskbarInit
O4 - HKLM…\Run: [CloneCDTray] „C:\Programme\SlySoft\CloneCD\CloneCDTray.exe“ /s
O4 - HKLM…\Run: [Builderrorfastcoal] C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\DartFiveBuildError\Drivesecond.exe
O4 - HKLM…\Run: [VirtualCloneDrive] „F:\Programme\VirtualCloneDrive\VCDDaemon.exe“ /s
O4 - HKLM…\Run: [THGuard] „F:\Programme\TrojanHunter 4.6\THGuard.exe“
O4 - HKCU…\Run: [MsnMsgr] „C:\Programme\MSN Messenger\MsnMsgr.Exe“ /background
O4 - HKCU…\Run: [BgMonitor_{79662E04-7C6C-4d9f-84C7-88D8A56B10AA}] „C:\Programme\Gemeinsame Dateien\Ahead\Lib\NMBgMonitor.exe“
O4 - HKCU…\Run: [AnyDVD] „C:\Programme\SlySoft\AnyDVD\AnyDVD.exe“
O4 - HKCU…\Run: [Rule junk] C:\DOKUME~1\USer\ANWEND~1\OPTION~1\Site Remote.exe
O4 - Startup: Adobe Gamma.lnk = C:\Programme\Gemeinsame Dateien\Adobe\Calibration\Adobe Gamma Loader.exe
O4 - Global Startup: Adobe Gamma Loader.lnk = C:\Programme\Gemeinsame Dateien\Adobe\Calibration\Adobe Gamma Loader.exe
O4 - Global Startup: Adobe Reader - Schnellstart.lnk = C:\Programme\Adobe\Acrobat 7.0\Reader\reader_sl.exe
O4 - Global Startup: Microsoft Office Outlook 2003.lnk = ?
O4 - Global Startup: WinZip Quick Pick.lnk = C:\Programme\WinZip\WZQKPICK.EXE
O8 - Extra context menu item: Nach Microsoft &Excel exportieren - res://J:\PROGRA~1\MICROS~1\OFFICE11\EXCEL.EXE/3000
O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programme\Java\jre1.5.0_09\bin\ssv.dll
O9 - Extra ‚Tools‘ menuitem: Sun Java Konsole - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programme\Java\jre1.5.0_09\bin\ssv.dll
O9 - Extra button: Recherchieren - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - J:\PROGRA~1\MICROS~1\OFFICE11\REFIEBAR.DLL
O9 - Extra button: ICQ Lite - {B863453A-26C3-4e1f-A54D-A2CD196348E9} - C:\Programme\ICQLite\ICQLite.exe
O9 - Extra ‚Tools‘ menuitem: ICQ Lite - {B863453A-26C3-4e1f-A54D-A2CD196348E9} - C:\Programme\ICQLite\ICQLite.exe
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe
O9 - Extra ‚Tools‘ menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe
O16 - DPF: {14B87622-7E19-4EA8-93B3-97215F77A6BC} (MessengerStatsClient Class) - http://messenger.zone.msn.com/binary/MessengerStatsP…
O16 - DPF: {B8BE5E93-A60C-4D26-A2DC-220313175592} (ZoneIntro Class) - http://messenger.zone.msn.com/binary/ZIntro.cab47946…
O16 - DPF: {D27CDB6E-AE6D-11CF-96B8-444553540000} (Shockwave Flash Object) - https://fpdownload.macromedia.com/pub/shockwave/cabs…
O18 - Protocol: livecall - {828030A1-22C1-4009-854F-8E305202313F} - C:\PROGRA~1\MSNMES~1\MSGRAP~1.DLL
O18 - Protocol: msnim - {828030A1-22C1-4009-854F-8E305202313F} - C:\PROGRA~1\MSNMES~1\MSGRAP~1.DLL
O20 - AppInit_DLLs: C:\PROGRA~1\Google\GOOGLE~1\GOEC62~1.DLL
O20 - Winlogon Notify: WgaLogon - C:\WINDOWS\SYSTEM32\WgaLogon.dll
O23 - Service: AntiVir PersonalEdition Classic Planer (AntiVirScheduler) - Avira GmbH - C:\Programme\AntiVir PersonalEdition Classic\sched.exe
O23 - Service: AntiVir PersonalEdition Classic Guard (AntiVirService) - AVIRA GmbH - C:\Programme\AntiVir PersonalEdition Classic\avguard.exe
O23 - Service: Canon Camera Access Library 8 (CCALib8) - Canon Inc. - C:\Programme\Canon\CAL\CALMAIN.exe
O23 - Service: InstallDriver Table Manager (IDriverT) - Macrovision Corporation - C:\Programme\Gemeinsame Dateien\InstallShield\Driver\11\Intel 32\IDriverT.exe
O23 - Service: NBService - Nero AG - C:\Programme\Nero\Nero 7\Nero BackItUp\NBService.exe
O23 - Service: NVIDIA Display Driver Service (NVSvc) - NVIDIA Corporation - C:\WINDOWS\system32\nvsvc32.exe
O23 - Service: SoundMAX Agent Service (SoundMAX Agent Service (default)) - Analog Devices, Inc. - C:\Programme\Analog Devices\SoundMAX\SMAgent.exe

2

Hy leutz,
ich sitze hier an einen problem!

Ich habe mir irgendwo was von ad.firstadsolution eingefangen
und jedesmal wenn ich mein firefox starte und eine seite
aufrufe wirf von ad.firstadsolution ein Banner (in nem
internetexplorer fenster) geöffnet, nicht nur das dies nervig
ist, ich habe auch keine ahnung wie ich das wieder loswerden
soll…

Den Logfile kann man übrigens auch automatisch Auswerten lassen:
http://www.hijackthis.de/logfiles/e3e38d1f1f1d302303…

Gruss
Max

3

Hi Thommy

Ich habe mir irgendwo was von ad.firstadsolution eingefangen
und jedesmal wenn ich mein firefox starte und eine seite
aufrufe wirf von ad.firstadsolution ein Banner (in nem
internetexplorer fenster) geöffnet, nicht nur das dies nervig
ist, ich habe auch keine ahnung wie ich das wieder loswerden
soll…

Ich habe mit Antivir gescannt (keine funde)
Ich habe mit TRojan Hunter gesucht 2 Trojaner wurden entfernt.

Hehe, was entfernt wurde, waren die Dateien, die die Trojaner verändert haben. Ein anständiger Trojaner kriegste nicht so leicht entfernt

Ich habe meine Cookies gelöscht (schon wieder nichts gebracht)

und langsam verzweifle ich, habe auch schon gegoogelt, aber
das einzige was ich rausfinde ist das ich nicht der einzige
bin und das es ziemlich schwer wieder loszubekommen sei. Es
wird mehrmals die Neuinstallation des Systems erwähnt, aber
das würde ich wenn irgendwie möglich doch gerne unterlassen.

tja, leider ist das irgendwie unumgänglich

Hat mir vielleicht einer von euch nen Tip wie ich das
losbekommen kann?

siehe oben

Oder nen HInweis nach was ich suchen muss?

nach einem Image-Progi fürs nexte Mal. Ich fühle mit dir, hab auch grade Win neu aufgesetzt

Bin um jede Hilfe dankbar

Hab hier mal mit HijackThis gescannt, hab gelesen, wenn man
die richtige Datei kennt, dass man die unterm abgesicherten
Modus löschen kann, könnt ihr mir das auch erklären?
Und welches ist die richtige Datei!?

nur ein Beispiel: nerocheck.exe ist an sich ne harmlose Datei, wenn sie im system32-Ordner werkelt, wo sie hingehört. Bei dir steht sie unter :smiley:ateien\Ahead\Lib\NeroCheck.exe.Klingelts? oder:
loader.exe kann harmlos sein, kann auch ein Trojaner sein.
und so weiter.
Das einzig richtige: Format C:

Gruss
ExNicki

4

Hallo Thommy,

hatte mir auch schonmal so etwas eingefangen, ohne dass ich’s merkte. Ich hab die Webseitenbetreiber verflucht, weil ich dachte, die schmeißen einem selbst bei seriös erscheinenden Angeboten diese Werbeframes vor die Nase…

Bei mir lag es an der FHFMM.dll. Das Freeware-Programm BHODemon hat’s gefunden. Danach war Ruhe.

Gruß!

Horst

5

Kannst auch pop-up Fenster, die dich nerven mit deinem Brwoser bannen. Bei Firefox wiess ich nicht wie, aber bei Internet Explorer geht man in Extras-Internetoptionen-Datenschutz-Sites und dort dann die Adresse vom nervenden Pop-up eintragen und „sperren“ anklicken. Weiterhn würde ich Ad-Aware installieren, da gibt’s ein Prog namens Ad-watch, welches auch verhindert das sich die Pop-up Fenster öffnen.

6

Hi

Ich habe mit Antivir gescannt (keine funde)
Ich habe mit TRojan Hunter gesucht 2 Trojaner wurden entfernt.

Hehe, was entfernt wurde, waren die Dateien, die die Trojaner
verändert haben.

Oder ein Fehlalarm und völlig harmlose Dateien.
Man muss allen Funden selbst nachrecherchieren, am Ende löscht man sonst dummerweise Dateien die harmlos waren aber zum Ausführen von irgendwas wichtig.

Wenn ich nen aktiven Trojaner aufm System hätte würd ich mich selbst nach dessen angeblicher Entfernung aber auch net mehr sicher fühlen :confused:

MfG
Lilly