msmsgraf.exe?

edit: ich dachte erst ich hätte ruhe, aber hatte anitvir wieder was gemeldet.....bin mit meinem latein am ende
 
DaveKnell schrieb:
This looks like our dialler being called by someone else's spyware - if anyone has a copy of msmsgraf.exe that they could e-mail to me, I'd be very pleased as we can check it out and disable whichever client of ours is responsible.
Zum Vergrößern anklicken....
Liebe mods, ihr wisst auch nicht, ob das wirklich Mr Knell war? Sollte dem jemand diese Datei schicken? Ich habe keine... keine Meinung und keine Datei ;)
aka
 
Vielleicht liegts am Namen, ich heiss auch Lars 8) und krieg die scheisse auch nich weg... wie soll man denn so arbeiten????????????
 
Hallo Leute!

Auch ich kämpfe seit einigenTagen mit dem Problem "Coulomb" und "msmsgraf", hoffe jetzt aber, dass ich ihn erwischt habe :D .
Ich kann's allerdings nur für <Windows ME> beschreiben.
Wenn's interessiert gebt Bescheid. Ich werde dann mal meine Schmierzettel ordnen und abschreiben.
 
Also, ich hab's jetzt mal aufgeschrieben. Probiert's mal aus.


Windows ME

Dialer Coulomb/Hardcore/msmsgraf.exe entfernen
(Dialer erscheint alle 10 – 60 Minuten)

· Mit „Ad-Aware“ den PC durchsuchen
Meist findet sich dann „Coulomb/Hardcore“ und „msmsgraf.exe“
Beides mit Ad-Aware löschen

· Mit „RegCleaner“ den PC auf Registry-Neueinträge prüfen
Meist findet sich dann „Coulomb – Hardcore“ und „Unbekannt – Coulomb“
Beides mit „RegCleaner“ löschen

· „Coulomb“ und „msmsgraf.exe“ schreiben sich sowohl in die „Hotkeys“, als auch in das „Windows / System“
Sie sollten eigentlich nach der Löschung mit „Ad-Aware“ und „RegCleaner“ dort nicht mehr vorhanden sein, aber trotzdem zur Sicherheit noch mal nachschauen:

Start – Ausführen: regedit / Bearbeiten / Suchen: „Coulomb“
Meist findet sich dieser Ordner dann unter HKEY_CURRENT_USER/Software
oder HKEY_LOCAL_MACHINE/Software
Diesen Ordner (wenn noch vorhanden) löschen


Start – Suchen – Nach Dateien oder Ordnern: nach „msmsgraf.exe“ suchen
Löschen (wenn noch vorhanden)

· Wichtig, um das erneute Erscheinen des Dialers zu verhindern:
Start – Ausführen: regedit / Bearbeiten / Suchen: „winsvc32.exe“ („exe“)
Meist findet sie sich unter HKEY_CURRENT_USER/Software/Microsoft/Internet Explorer/Explorer Bars/{C4EE31F3-4768-11D2-BE5C-00A0C9A83DA1}/ FilesNamedMRU
Diese Exe-Dateien löschen. Es kann auch gleich der ganze Schlüssel gelöscht werden. Er installiert sich wieder (ohne die Exe-Datei)

· Zum Schluss:
Start – Suchen – Nach Dateien oder Ordnern: nach „hosts“ suchen
Alle „hosts“ nacheinander mit „Editor“ öffnen
In den „hosts“ und/oder „lmHosts“ sind meist Adresseinträge „127.0.0.1“ vorhanden
Diese Adresseinträge löschen


Viel Glück!
 
ms...graf

:cry: ups ist das komplizert :cry:

Ich habe die Mutter aller Anwendungen genutzt!!!

Format C:

Alles neu installiert.
Das Ding is wech !!!

Habe nur eine Festplatte für alle Software,
da ging das zum Glück etwas schneller.

Gruß
Sven
 
Hi TSCoreNinja.

Du schreibst, dass der Adresseintrag "127.0.0.1" wohl doch nicht gelöscht werden muss. Ich hab's gelöscht, hat das irgendwo Auswirkungen? Gemerkt hab ich bis jetzt noch nix.
 
klausi schrieb:
Hi TSCoreNinja.
Du schreibst, dass der Adresseintrag "127.0.0.1" wohl doch nicht gelöscht werden muss. Ich hab's gelöscht, hat das irgendwo Auswirkungen? Gemerkt hab ich bis jetzt noch nix.
Zum Vergrößern anklicken....
Kurzer Hintergrund des Host-Files:

Das Internet Protocol TCP/IP erlaubt sowohl numerische als auch symbolische Namen (z.B. www.google.com und 216.239.41.104). Das Mapping zwischen den beiden wird per DNS oder Domain Name Service verwaltet. Dabei gibt es bestimmt numerische Bereiche, die fuer spezielle Zwecke verwendet werden. So ist 127.0.0.1 immer der lokale Rechner (Anfragen gehen also nur scheinbar ueber das Netz). Gleichzeitig ist diesem per Konvention auch der Name localhost bzw in Langform (fully qualified ;-) ) localhost.localdomain zugewiesen.

Gleichzeitig ist es moeglich, gewisse Paare von numerischen/symbolischen Adressen direkt im host File anzugeben, so dass gar keine Anfrage an den Domain Name Server passiert. Durch den Eintrag
Code: 
127.0.0.1  localhost
wird dieses Mapping fuer den Namen localhost gemacht.


Probiere mal folgendes:
Oeffne eine DOS Eingabeaufforderung, und tippe
Code: 
ping 127.0.0.1
und
Code: 
ping localhost
ein. Meiner Einschaetzung nach sollte bei 2. Befehl "Unknown host" kommen. Es gibt unter Umstaenden aber Programme, die den Namen localhost verwenden, und die somit Fehler produzieren werden. Wieviele dies benutzen, weiss ich nicht.

BTW, zum Blocken von Anzeigenseiten und Dialersits bietet das host File sehr interessante Moeglichkeiten. Ist die Downloaddomain z.B. download.mydialer.com, bewirkt ein Eintrag
Code: 
127.0.0.1 download.mydialer.com
, dass der Zugriffe auf den Dialer mit einem
Code: 
File not Found
endet.

BTW, genauer steht es z.B. hier http://accs-net.com/hosts/what_is_hosts.html
 
So, machen wir es mal gaaanz einfach!

In der hosts-Datei findet man bei einer Grund-Installation nur einen Eintrag, nämlich

127.0.0.1 localhost

127.0.0.1 ist eine sog. IP-Adresse und stellt eine Besonderheit dar. Sie zeigt immer auf den eigenen Rechner, an dem man gerade arbeitet.

Sollten dort Webadressen (wie z.B. www.computerbetrug.de) hinter 127.0.0.1 eingetragen sein, so würde bei einem Aufruf dieser Adresse die entsprechende Seite auf einem Webserver auf dem eigenen Rechner (eben 127.0.0.1) gesucht werden. Zumeist läuft dort aber keiner und dadurch käme es zu einer Fehlermeldung (Seite kann nicht angezeigt werden....)
Wäre ein Webserver installiert und auch laufen, würde die Startseite des Webservers angezeigt werden.
In jedem Falle aber wäre computerbetrug.de von diesem Rechner aus als Webseite im Internet nicht erreichbar.

Man könnte sich das z.B. in der Form zunutze machen, dass man boshafte Webseiten dort in der Form...

127.0.0.1 boshafte Webseite

einträgt. Das wäre dann mit dem Willen und Wissen des Besitzers. Diese boshafte Webseite wäre dann nicht mehr erreichbar. Es gibt im WWW einige solcher hosts-Dateien zum Download. Die, die ich mir ins System kopiert habe, hat 983 Einträge und blendet damit etliche Webserver aus, von denen nervige Werbebanner und Dialerseiten ausgehen.

Nehmen wir mal an, dass ein Fiesling auf die Idee kommt, einen Eintrag für die Webadresse einer vielbesuchten Seite in die hosts vorzunehmen, der nicht auf 127.0.0.1, sondern auf einen Server im Internet zeigt, der mit Boshaftigkeiten um sich wirft. Beispiel:

x.x.x.x www.computerbetrug.de

oder gar

x.x.x.x www.google.de

(wobei jedes x für eine Zahl zwischen 0 und 255 steht). Dann würde man voller Vertrauen computerbetrug.de oder google.de aufrufen, landet aber gaaaanz woanders. Vielleicht ist die angezeigte Seite sogar noch dem Original angepasst und der User merkt zunächst einmal gar nichts, bekommt aber eine Flut von kostenlosen Zugangstools und was weiß ich um die Ohren gehauen.

So, und nun, nach diesen Infos, kann man sich überlegen, ob es Sinn macht, in der hosts alle 127.0.0.1-Einträge zu löschen.
Einträge dieser Art können für Fieslinge eigentlich nur dann Sinn machen, wenn es ihnen gelingt, einen Webserver im System zu installieren, der selbst ein Boshaftigkeiten bereithält, oder aber, wenn sie bestimmte Seiten unerreichbar machen wollen.
Interessanter sind da eigentlich eher Einträge mit einer anderen IP als der 127.0.0.1. Da wäre es wissenswert, wohin der Aufruf tatsächlich führt.
 
DaveKnell schrieb:
Dear Aka-Aka,
I'm here to help. This sort of thing does us, as a company, no good. If I can get hold of a copy of the spyware which is loading our dialler (not from our servers, as far as I can tell, or I would stop it there) then I'll cut off whoever is doing it and we can provide instructions as to how to prevent it from happening again.
Zum Vergrößern anklicken....
Dear Mr Knell. If someone is misusing your dialler, which service would be used or which number would be dialled if your dialler was NOT misused? (it would be interesting to know the numbers in Germany, particularly, but also - if they exist - in UK or somewhere else)
__________
with regards
aka-aka
 
Ich dreh bald noch durch mit dem Mist!
Erst hiess das Ding msmsgraf.exe, dann msmsgraf2.....inzwischen nennt es sich msnk......und nicht totzukriegen der Mist!.

Ich sollt ihn beinahe drauflassen, solange es keine Kosten verursacht! :bigcry:
 
Gast32 schrieb:
...Erst hiess das Ding msmsgraf.exe, dann msmsgraf2.....inzwischen nennt es sich msnk......und nicht totzukriegen der Mist!...
Zum Vergrößern anklicken....


Bei mir ist es ganz genau das selbe Problem.

Bei der msmsgraf.exe und msmsgraf2.exe hat sich immer noch kurz ein Fenster mit der Betitelung "Hardcore" geöffnet. Als ich versucht habe diese "127.0...." nochmals aufzurufen lief ich natürlich ins Leere.

Nun bei der msnk.exe installiert sich immer wieder ein Dialer namens "HotXXX".
Zum Vergrößern anklicken....
 
Aka-Aka schrieb:
DaveK* schrieb:
Dear Aka-Aka,
I'm here to help. This sort of thing does us, as a company, no good. If I can get hold of a copy of the spyware which is loading our dialler (not from our servers, as far as I can tell, or I would stop it there) then I'll cut off whoever is doing it and we can provide instructions as to how to prevent it from happening again.
Zum Vergrößern anklicken....
Dear Mr K*l. If someone is misusing your dialler, which service would be used or which number would be dialled if your dialler was NOT misused? (it would be interesting to know the numbers in Germany, particularly, but also - if they exist - in UK or somewhere else)
Zum Vergrößern anklicken....
Liebes Forum. Der Herr K* ist der Chef von "Coulomb" und ich hoffe schon, dass der an seine Datei kommt. Zu verlieren hat man dabei, denke ich, nicht viel... Immerhin wird Herr K*l sogar von britischen Parlamentariern in Unterhausdebatten zitiert ;)
Ich würde aber doch gerne wissen, welche Nummer sein Dial(l)er wählt, wenn er nicht gecrackt ist...

UK-Parlamentarier schrieb:
...I have had an interesting e-mail from David K* of Coulomb Ltd. (...) he makes three recommendations that are worth cosideration (...)
Mr K* schrieb:
TNO's who provide numbers to repeat offenders should ... have ... their authorisation to provide numbers removed
Zum Vergrößern anklicken....
(Netzanbieter, die Nummern bereitstellen für wiederholt auffällige (Anbieter) sollten die Berechtigung verlieren, Nummern anbieten zu dürfen
Zum Vergrößern anklicken....
Wow!
 
Hat sich ja ganz schön ausgebreitet das Thema.

Hm, also ich hab seit meinem letzten Eintrag alles mögliche versucht um das Ding wegzubekommen. Aber hat nix gebracht. Erst kam er unter dem Namen msmsgraf2.exe wieder, und nun heißt er msnk.exe. Habe den PC im abgesicherten Modus gesäubert, 2 mal, hat aber nix genützt. Bin langsam am verzweifeln.
 
So, Lösung scheint wohl immer noch niemand zu haben.
Hab inzwischen aufegeben wollen und gedacht, ich lass das Ding einfach auf dem Rechner. Hab ja dsl, also egal.
Blooooooss......diese HotXXX scheint sich von selber nach 5 min. zu löschen und verursacht dadurch einen erneuten Download nach kurzer Zeit :bigcry:
 
Naja, ich werde wohl irgendwann die Woche den PC platt machen. Bringt sonst nix. Mir wäre das auch egal das ich den auf dem Rechner habe, habe auch DSL. Aber der unterbricht immer meine Internetverbindung, und deshalb störts.
 
Zurück
Oben