unerwünschte startseite im Internet Explorer

wiligut · 19.10.2003

Hallo zusammen,

seit einer Woche habe ich plötzlich jedes mal wenn ich den computer neu einschalte entweder http:// luckysearch.net/ydtfs/
oder globe-finder.cc als startseite. ich ändere das dann zurück auf google und nach jedem neu einschalten ist es wieder einer der beiden o.g. seiten. das passiert aber nur wenn der rechner ausgechaltet war, bei normalem neustart bleibt google.

ich hab schon mit ad-aware versucht, aber der findet keine spyware auf dem rechner.

wer weiss wie ich diesem mist wieder los werde?

danke im voraus und
gruss

wili

Frisco94 · 19.10.2003

dieses Problem hatte ich auch diese Woche.
Such mal nach folgenden Files in deinem Windowsverzeichniss:
default.css
tapicfg.exe
win.def
Lösche diese und das Problem müste gelöst sein.
Du kanst auch mal einen Virenscan machen, sollte auch helfen.

CU Frisco

wiligut · 19.10.2003

ich hab die "tapicfg.exe" im windows verzeichnis gefunden und gelöscht, dass problem scheint tatsächlich verschwunden.

vielen dank

wili

BioaSharky · 20.10.2003

http://www.spywareinfo.com/~merijn/cwschronicles.html

Code:

Variant 11: CWS.Tapicfg - Msinfo part 2

Approx date first sighted: September 21, 2003
Log reference: [url]http://boards.cexx.org/viewtopic.php?t=2075[/url]
Symptoms: Slow scrolling in IE, redirections to luckysearch.net, hijack returning on reboot, info32.exe errors.
Cleverness: 8/10
Manual removal difficulty: Involves quite some Registry editing, win.ini editing and hosts file editing. The style sheet files are marked read-only, system and hidden.
Identifying lines in HijackThis log:

R1 - HKCU\Software\Microsoft\Internet Explorer,SearchURL = [url]http://acc.count-all.com/--/?oaoca[/url] (obfuscated) 
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Bar = [url]http://acc.count-all.com/---[/url] /?oaoca (obfuscated) 
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = [url]http://acc.count-all.com/--[/url] /?oaoca (obfuscated) 
F1 - win.ini: run=C:\WINDOWS\..\PROGRA~1\COMMON~1\MICROS~1\MSINFO\info32.exe 
O1 - Hosts: 3510794918 auto.search.msn.com 
O4 - HKLM\..\Run: [Tapicfg.exe] C:\WINDOWS\SYSTEM\tapicfg.exe 
O19 - User stylesheet: C:\WINDOWS\Web\win.def O19 - User stylesheet: C:\WINDOWS\default.css  


This hijack consists of only one file, that duplicates itself in two places (info32.exe and tapicfg.exe) and acts different depending on its filename. It drops two style sheets on the system, hijacks to acc.count-all.com which redirects to luckysearch.net, and reinstalls the hijack on each reboot. The hosts file redirection also hijacks any mistyped domains to luckysearch.net.
Though a file determining its actions depending on the filename is very bad programming, it surprised me somewhat because it works so well.

wiligut · 24.10.2003

Mittlerweile habe ich die default.css und diw win.def auch gefunden, die waren bei mir nur nicht im Windows-Verzeichnis.

NAV hat eine Infektion mit Trojan.Bootdef angezeigt

Gruss
wili

Luca · 24.10.2003

Bei sowas hilft auch AD Aware von Lavasoft. Zuverlässig!

BioaSharky · 24.10.2003

@luca

Lies mal sein Start-Posting, das hab ich mich auch schon gefragt.

Original geschrieben von wiligut
...

ich hab schon mit ad-aware versucht, aber der findet keine spyware auf dem rechner.

...

Re¨Tron · 24.10.2003

Bei sowas hilft auch AD Aware von Lavasoft. Zuverlässig!

Dem kann ich nur zustimmen, solche Probleme gehoeren der Vergangenheit an.

BioaSharky · 24.10.2003

Original geschrieben von Re¨Tron
Dem kann ich nur zustimmen, solche Probleme gehoeren der Vergangenheit an.

Mag ja sein, aber wenn Du sein Posting mal durchlesen würdest, hättest Du gesehen, dass er das schon probiert hat und CWS.Tapicfg nicht gefunden wurde. Fragt sich also, welche Version er verwendet.

Ciao
BS

Re¨Tron · 24.10.2003

CWS.Tapicfg nicht gefunden wurde

Kann ich mir fast nicht vorstellen. Das ist ja die Spezialitaet des Tools, solche Sachen zu finden.

Fragt sich also, welche Version er verwendet.

Gute Frage. Ich kann mir nicht vorstellen dass er v6.0 verwendet, die watch funktion ueberwacht so ziemlich alles neben der Registry. So kommt erst gar nicht etwas rein. Wenns dann aber mal drin ist, sollte es AdAware 6.0 + update schon finden.

wiligut · 24.10.2003

hallo zusammen,

ich habe ad-aware schon recht lange installiert, könnte also vielleicht eine ältere version sein, aber über ref-update (oder wie das heisst - bin noch auf arbeit, daher meine unwissenheit) gab es schon lange kein update mehr.

mit meiner version wurde und wird jedenfalls keine spyware auf dem rechner gefunden. ad-aware funktioniert ansonsten aber sehr zuverlässig. ich habe damit schon öfter spyware entdeckt und entfernt, diesmal aber eben nicht.

gruss
wili

mr.long · 20.02.2006

hey ihr leutz
hab ma ne frage... kann mir ma jemand sagen was hijack bedeutet were echt net :ja:

mfg mr.long

BioaSharky · 21.02.2006

to hijack entspricht eigentlich dem deutschen entführen.

Einige Websites nutzen Sicherheitslücken im z.B. Internet Explorer aus, um Programme zu installieren, die den Startseiten-Eintrag im IE ändern.
Du wirst sozusagen auf diverse andere Seiten "entführt".

unerwünschte startseite im Internet Explorer

wiligut

Frisco94

wiligut

BioaSharky

wiligut

Luca

BioaSharky

Re¨Tron

BioaSharky

Re¨Tron

wiligut

mr.long

BioaSharky

unerwünschte startseite im Internet Explorer

ANGEBOTE & SPONSOREN

Neueste Beiträge

Statistik des Forums