Hi,
Mein Problem: durch das Fixen und Löschen bestimmter Datein im abgesicherten Modus mit HJT konnte ich mein Trojaner Problem beheben. Aber anscheinend ist mein PC nicht ganz sauber, denn nach undefinierter Zeit habe ich wieder about:blank als Startseite, des Weiteren werde ich wenn ich auf eine ganz bestimmte normale url klicke auf irgendwelche seiten pornografischen Inhalts weitergeleitet, hier mein log file:

Logfile of HijackThis v1.99.0
Scan saved at 15:00:06, on 11.02.05
Platform: Windows 98 SE (Win9x 4.10.2222A)
MSIE: Internet Explorer v6.00 SP1 (6.00.2800.1106)

Running processes:
C:\WINDOWS\SYSTEM\KERNEL32.DLL
C:\WINDOWS\SYSTEM\MSGSRV32.EXE
C:\WINDOWS\SYSTEM\MPREXE.EXE
C:\PROGRAMME\NORTON PERSONAL FIREWALL\NISSERV.EXE
C:\WINDOWS\SYSTEM\mmtask.tsk
C:\PROGRAMME\NORTON PERSONAL FIREWALL\NISUM.EXE
C:\PROGRAMME\NORTON PERSONAL FIREWALL\SYMPROXYSVC.EXE
C:\WINDOWS\EXPLORER.EXE
C:\PROGRAMME\NORTON PERSONAL FIREWALL\IAMAPP.EXE
C:\WINDOWS\SYSTEM\DDHELP.EXE
C:\WINDOWS\RUNDLL32.EXE
C:\EIGENE DATEIEN\HJT\HIJACKTHIS.EXE

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Bar = res://C:\WINDOWS\TEMP\se.dll/sp.html
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = about:blank
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Bar = res://C:\WINDOWS\TEMP\se.dll/sp.html
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = about:blank
R1 - HKCU\Software\Microsoft\Internet Explorer\Search,SearchAssistant = about:blank
R0 - HKLM\Software\Microsoft\Internet Explorer\Search,SearchAssistant = about:blank
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,HomeOldSP = about:blank
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,HomeOldSP = about:blank
O2 - BHO: (no name) - {FEC886B5-7C2C-11D9-B658-00E022F95547} - C:\WINDOWS\SYSTEM\CEMPH.DLL
O4 - HKLM\..\Run: [iamapp] C:\Programme\Norton Personal Firewall\IAMAPP.EXE
O4 - HKLM\..\Run: [sp] rundll32 C:\WINDOWS\TEMP\SE.DLL,DllInstall
O4 - HKLM\..\RunServices: [nisserv] C:\Programme\Norton Personal Firewall\NISSERV.EXE
O18 - Filter: text/html - {FEC886B4-7C2C-11D9-B658-00E04DB5F0DC} - C:\WINDOWS\SYSTEM\CEMPH.DLL
O18 - Filter: text/plain - {FEC886B4-7C2C-11D9-B658-00E04DB5F0DC} - C:\WINDOWS\SYSTEM\CEMPH.DLL

Ich könnte jetzt in den abgesicherten Modos gehen und mit HJF die Dateien fixen, jedoch hilft das nicht viel, denn nach einer gewissen Zeit habe ich wieder about:blank als Startseite...

Des Weiteren habe ich versucht eine Anleitung mit escan zubefolgen, jedoch will escan ums verrecken nicht auf meinem PC laufen, es startet zwar eine Anwendung (Str+Alt+Entf) aber es passiert nichts ...

Schon mal danke
MfG Juzam

@Juzam
wechsle in den abgesicherten modus und fixe mit HJT
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Bar = res://C:\WINDOWS\TEMP\se.dll/sp.html
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Bar = res://C:\WINDOWS\TEMP\se.dll/sp.html
O2 - BHO: (no name) - {FEC886B5-7C2C-11D9-B658-00E022F95547} - C:\WINDOWS\SYSTEM\CEMPH.DLL
O4 - HKLM\..\Run: [sp] rundll32 C:\WINDOWS\TEMP\SE.DLL,DllInstall
O18 - Filter: text/html - {FEC886B4-7C2C-11D9-B658-00E04DB5F0DC} - C:\WINDOWS\SYSTEM\CEMPH.DLL
O18 - Filter: text/plain - {FEC886B4-7C2C-11D9-B658-00E04DB5F0DC} - C:\WINDOWS\SYSTEM\CEMPH.DLL
lösche danach manuell
C:\WINDOWS\SYSTEM\CEMPH.DLL
C:\WINDOWS\TEMP\SE.DLL
neu booten, neues HJT logfile posten
chaosman

1.escan
-lade dir escan runter und gehe genau nach dieser anleitung vor (ab da, abgesicherter modus, im abgesicherten modus sollte escan laufen können)

2.einträge löschen
-fixe mit HijackThis diese einträge:
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Bar = res://C:\WINDOWS\TEMP\se.dll/sp.html
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Bar = res://C:\WINDOWS\TEMP\se.dll/sp.html
O2 - BHO: (no name) - {FEC886B5-7C2C-11D9-B658-00E022F95547} - C:\WINDOWS\SYSTEM\CEMPH.DLL
O4 - HKLM\..\Run: [sp] rundll32 C:\WINDOWS\TEMP\SE.DLL,DllInstall
O18 - Filter: text/html - {FEC886B4-7C2C-11D9-B658-00E04DB5F0DC} - C:\WINDOWS\SYSTEM\CEMPH.DLL
O18 - Filter: text/plain - {FEC886B4-7C2C-11D9-B658-00E04DB5F0DC} - C:\WINDOWS\SYSTEM\CEMPH.DLL

3.dateien löschen
-lösche die datei cemph.dll im ordner c:\windows\system
-lösche natürlich auch alle von escan beanstandeten dateien (alle infected)
(falls die dateien nicht angezeigt werden gehe so vor:
klicke auf extras, dann auf ordneroptionen
klicke auf ansicht
mach den haken bei "geschützte systemdateien ausblenden" weg
mach nen haken bei "inhalte von systemordnern anzeigen" hin
selektiere "alle dateien und ordner anzeigen")

4.ergebnisse
-gehe wieder in den normalen modus
-öffne die datei mwav.log,klicke auf bearbeiten dann auf suchen
-gebe infected ein
-suche weiter,markiere die treffer und kopiere sie ins forum
-poste ein neues HijackThis log

konnte escan auch im abgesicherten modus nicht zum laufen bringen ...
cemph.dll in windows\system war nicht existent
se.dll in windows\temp hab ich gelöscht
hier mein log file:

Logfile of HijackThis v1.99.0
Scan saved at 20:17:43, on 11.02.05
Platform: Windows 98 SE (Win9x 4.10.2222A)
MSIE: Internet Explorer v6.00 SP1 (6.00.2800.1106)

Running processes:
C:\WINDOWS\SYSTEM\KERNEL32.DLL
C:\WINDOWS\SYSTEM\MSGSRV32.EXE
C:\WINDOWS\SYSTEM\MPREXE.EXE
C:\WINDOWS\SYSTEM\mmtask.tsk
C:\PROGRAMME\NORTON PERSONAL FIREWALL\NISSERV.EXE
C:\PROGRAMME\NORTON PERSONAL FIREWALL\NISUM.EXE
C:\WINDOWS\EXPLORER.EXE
C:\PROGRAMME\NORTON PERSONAL FIREWALL\SYMPROXYSVC.EXE
C:\PROGRAMME\NORTON PERSONAL FIREWALL\IAMAPP.EXE
C:\EIGENE DATEIEN\HJT\HIJACKTHIS.EXE

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = about:blank
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.ebay.de/
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = about:blank
R1 - HKCU\Software\Microsoft\Internet Explorer\Search,SearchAssistant = about:blank
R0 - HKLM\Software\Microsoft\Internet Explorer\Search,SearchAssistant = about:blank
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,HomeOldSP = about:blank
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,HomeOldSP = about:blank
O4 - HKLM\..\Run: [iamapp] C:\Programme\Norton Personal Firewall\IAMAPP.EXE
O4 - HKLM\..\RunServices: [nisserv] C:\Programme\Norton Personal Firewall\NISSERV.EXE

so der startpage ist weg. das mit escan stimmt mich doch etwas nachdenklich..
bei escan... steht da irgendetwas da? irgendeine fehlermeldung oder sowas..

Nein, nichts besonderes, ich mach ganz normal doppelklick auf mwavscan.com und nichts passiert, wenn ich dann die Anwendungen mit Str+Alt+Entf anschaue die gerade laufen seht da "mwav". Das Program ist jedoch nicht gestartet.
Des Weiteren habe ich immer noch das Problem wenn ich auf einer bestimmten Seite (auch eine ganznormale Online-Community) meine KNs abrufen will werde ich zu suspekten inet-seiten redirected. Ich habe ja schon ein mal mit löschen/fixen aller HJT-treffer das Problem mit der Startseite behoben, nur ist dann nach einer gewissen Zeit das Problem wieder aufgekommen.

@Juzam
anleitung escan
http://www.trojaner-board.de/42731-escan-anleitung.html
bitte genau durchlesen und genauso durchführen.

chaosman

Hallo,

ich bin ganz neu und hoffe, jetzt an der richtigen Stelle zu antworten.
Wenn ich jetzt einen Formalfehler mache, fallt bitte nicht alle auf ein-
mal über mich her, sondern erklärt mir was ich falsch mache.

Ich habe zufällig mit google die Eingaben gesehen, da ich mit se.dll
das gleiche Problem habe.

Ich habe aber festgestellt, wenn ich das System mit einer Bootdiskette
für Win 98 SE hochgefahren habe und dann se.dll mit Norton Comm
gelöscht habe, wird die Datei sofort im System wieder mit dem Lösch-
datum regeneriert. Es muß als eine Datei auf dem System´sein, die das
verursacht, von außen kann es nicht kommen, da ich den Routerstecker
beim Booten abgezogen hatte.

Ist das inzwischen anderen nur mir nicht bekannt, wie diese Datei heißt?

Ich habe das "Theater" hier jetzt seit 2 Tagen. Mein hijackthis-log-File
kann ich aus persönlichen nicht posten

Mit Ausnahme einer Dateieintragung für "DGPK.DLL", die mir unbekannt ist,
kenne ich alle Einträge, und die sind nicht neu.

Diese "DGPK.DLL" wird von Kaspersky als normale dll-Datei identifiziert.

In gewissen Abständen wird auf dem Bildschirm ein Warnfenster sichtbar
mit dem Hinweis, daß das System infiziert sei.

Gruß
Famulus