Trojaner-Board - HJT - log

Trojaner-Board (https://www.trojaner-board.de/)

- Log-Analyse und Auswertung (https://www.trojaner-board.de/log-analyse-auswertung/)

- - HJT - log - Problem (https://www.trojaner-board.de/13648-hjt-log-problem.html)

HJT - log - Problem

Hi,
Mein Problem: durch das Fixen und Löschen bestimmter Datein im abgesicherten Modus mit HJT konnte ich mein Trojaner Problem beheben. Aber anscheinend ist mein PC nicht ganz sauber, denn nach undefinierter Zeit habe ich wieder about:blank als Startseite, des Weiteren werde ich wenn ich auf eine ganz bestimmte normale url klicke auf irgendwelche seiten pornografischen Inhalts weitergeleitet, hier mein log file:

Logfile of HijackThis v1.99.0
Scan saved at 15:00:06, on 11.02.05
Platform: Windows 98 SE (Win9x 4.10.2222A)
MSIE: Internet Explorer v6.00 SP1 (6.00.2800.1106)

Running processes:
C:\WINDOWS\SYSTEM\KERNEL32.DLL
C:\WINDOWS\SYSTEM\MSGSRV32.EXE
C:\WINDOWS\SYSTEM\MPREXE.EXE
C:\PROGRAMME\NORTON PERSONAL FIREWALL\NISSERV.EXE
C:\WINDOWS\SYSTEM\mmtask.tsk
C:\PROGRAMME\NORTON PERSONAL FIREWALL\NISUM.EXE
C:\PROGRAMME\NORTON PERSONAL FIREWALL\SYMPROXYSVC.EXE
C:\WINDOWS\EXPLORER.EXE
C:\PROGRAMME\NORTON PERSONAL FIREWALL\IAMAPP.EXE
C:\WINDOWS\SYSTEM\DDHELP.EXE
C:\WINDOWS\RUNDLL32.EXE
C:\EIGENE DATEIEN\HJT\HIJACKTHIS.EXE

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Bar = res://C:\WINDOWS\TEMP\se.dll/sp.html
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = about:blank
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Bar = res://C:\WINDOWS\TEMP\se.dll/sp.html
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = about:blank
R1 - HKCU\Software\Microsoft\Internet Explorer\Search,SearchAssistant = about:blank
R0 - HKLM\Software\Microsoft\Internet Explorer\Search,SearchAssistant = about:blank
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,HomeOldSP = about:blank
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,HomeOldSP = about:blank
O2 - BHO: (no name) - {FEC886B5-7C2C-11D9-B658-00E022F95547} - C:\WINDOWS\SYSTEM\CEMPH.DLL
O4 - HKLM\..\Run: [iamapp] C:\Programme\Norton Personal Firewall\IAMAPP.EXE
O4 - HKLM\..\Run: [sp] rundll32 C:\WINDOWS\TEMP\SE.DLL,DllInstall
O4 - HKLM\..\RunServices: [nisserv] C:\Programme\Norton Personal Firewall\NISSERV.EXE
O18 - Filter: text/html - {FEC886B4-7C2C-11D9-B658-00E04DB5F0DC} - C:\WINDOWS\SYSTEM\CEMPH.DLL
O18 - Filter: text/plain - {FEC886B4-7C2C-11D9-B658-00E04DB5F0DC} - C:\WINDOWS\SYSTEM\CEMPH.DLL

Ich könnte jetzt in den abgesicherten Modos gehen und mit HJF die Dateien fixen, jedoch hilft das nicht viel, denn nach einer gewissen Zeit habe ich wieder about:blank als Startseite...

Des Weiteren habe ich versucht eine Anleitung mit escan zubefolgen, jedoch will escan ums verrecken nicht auf meinem PC laufen, es startet zwar eine Anwendung (Str+Alt+Entf) aber es passiert nichts ...

Schon mal danke
MfG Juzam

@Juzam
wechsle in den abgesicherten modus und fixe mit HJT
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Bar = res://C:\WINDOWS\TEMP\se.dll/sp.html
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Bar = res://C:\WINDOWS\TEMP\se.dll/sp.html
O2 - BHO: (no name) - {FEC886B5-7C2C-11D9-B658-00E022F95547} - C:\WINDOWS\SYSTEM\CEMPH.DLL
O4 - HKLM\..\Run: [sp] rundll32 C:\WINDOWS\TEMP\SE.DLL,DllInstall
O18 - Filter: text/html - {FEC886B4-7C2C-11D9-B658-00E04DB5F0DC} - C:\WINDOWS\SYSTEM\CEMPH.DLL
O18 - Filter: text/plain - {FEC886B4-7C2C-11D9-B658-00E04DB5F0DC} - C:\WINDOWS\SYSTEM\CEMPH.DLL
lösche danach manuell
C:\WINDOWS\SYSTEM\CEMPH.DLL
C:\WINDOWS\TEMP\SE.DLL
neu booten, neues HJT logfile posten
chaosman

1.escan
-lade dir escan runter und gehe genau nach dieser anleitung vor (ab da, abgesicherter modus, im abgesicherten modus sollte escan laufen können)

2.einträge löschen
-fixe mit hijackthis diese einträge:
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Bar = res://C:\WINDOWS\TEMP\se.dll/sp.html
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Bar = res://C:\WINDOWS\TEMP\se.dll/sp.html
O2 - BHO: (no name) - {FEC886B5-7C2C-11D9-B658-00E022F95547} - C:\WINDOWS\SYSTEM\CEMPH.DLL
O4 - HKLM\..\Run: [sp] rundll32 C:\WINDOWS\TEMP\SE.DLL,DllInstall
O18 - Filter: text/html - {FEC886B4-7C2C-11D9-B658-00E04DB5F0DC} - C:\WINDOWS\SYSTEM\CEMPH.DLL
O18 - Filter: text/plain - {FEC886B4-7C2C-11D9-B658-00E04DB5F0DC} - C:\WINDOWS\SYSTEM\CEMPH.DLL

3.dateien löschen
-lösche die datei cemph.dll im ordner c:\windows\system
-lösche natürlich auch alle von escan beanstandeten dateien (alle infected)
(falls die dateien nicht angezeigt werden gehe so vor:
klicke auf extras, dann auf ordneroptionen
klicke auf ansicht
mach den haken bei "geschützte systemdateien ausblenden" weg
mach nen haken bei "inhalte von systemordnern anzeigen" hin
selektiere "alle dateien und ordner anzeigen")

4.ergebnisse
-gehe wieder in den normalen modus
-öffne die datei mwav.log,klicke auf bearbeiten dann auf suchen
-gebe infected ein
-suche weiter,markiere die treffer und kopiere sie ins forum
-poste ein neues hijackthis log

konnte escan auch im abgesicherten modus nicht zum laufen bringen ...
cemph.dll in windows\system war nicht existent
se.dll in windows\temp hab ich gelöscht
hier mein log file:

Logfile of HijackThis v1.99.0
Scan saved at 20:17:43, on 11.02.05
Platform: Windows 98 SE (Win9x 4.10.2222A)
MSIE: Internet Explorer v6.00 SP1 (6.00.2800.1106)

Running processes:
C:\WINDOWS\SYSTEM\KERNEL32.DLL
C:\WINDOWS\SYSTEM\MSGSRV32.EXE
C:\WINDOWS\SYSTEM\MPREXE.EXE
C:\WINDOWS\SYSTEM\mmtask.tsk
C:\PROGRAMME\NORTON PERSONAL FIREWALL\NISSERV.EXE
C:\PROGRAMME\NORTON PERSONAL FIREWALL\NISUM.EXE
C:\WINDOWS\EXPLORER.EXE
C:\PROGRAMME\NORTON PERSONAL FIREWALL\SYMPROXYSVC.EXE
C:\PROGRAMME\NORTON PERSONAL FIREWALL\IAMAPP.EXE
C:\EIGENE DATEIEN\HJT\HIJACKTHIS.EXE

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = about:blank
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.ebay.de/
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = about:blank
R1 - HKCU\Software\Microsoft\Internet Explorer\Search,SearchAssistant = about:blank
R0 - HKLM\Software\Microsoft\Internet Explorer\Search,SearchAssistant = about:blank
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,HomeOldSP = about:blank
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,HomeOldSP = about:blank
O4 - HKLM\..\Run: [iamapp] C:\Programme\Norton Personal Firewall\IAMAPP.EXE
O4 - HKLM\..\RunServices: [nisserv] C:\Programme\Norton Personal Firewall\NISSERV.EXE

so der startpage ist weg. das mit escan stimmt mich doch etwas nachdenklich..
bei escan... steht da irgendetwas da? irgendeine fehlermeldung oder sowas..

Nein, nichts besonderes, ich mach ganz normal doppelklick auf mwavscan.com und nichts passiert, wenn ich dann die Anwendungen mit Str+Alt+Entf anschaue die gerade laufen seht da "mwav". Das Program ist jedoch nicht gestartet.
Des Weiteren habe ich immer noch das Problem wenn ich auf einer bestimmten Seite (auch eine ganznormale Online-Community) meine KNs abrufen will werde ich zu suspekten inet-seiten redirected. Ich habe ja schon ein mal mit löschen/fixen aller HJT-treffer das Problem mit der Startseite behoben, nur ist dann nach einer gewissen Zeit das Problem wieder aufgekommen.

@Juzam
anleitung escan
http://www.trojaner-board.de/42731-escan-anleitung.html
bitte genau durchlesen und genauso durchführen.

chaosman

ich kann sie inzwischen auswendig (download, extrahieren nach c:\bases, update mit kavup, und doppelklick mwavscan.com -> die anwendung startet nicht)

:headbang:

@Juzam
cemph.dll in windows\system war nicht existent
Alle dateien anzeigen
Entweder -> Windows Explorer (Win Taste +E) -> "Extras/Ordneroptionen" -> "Ansicht" -> Haken entfernen bei "Geschützte Systemdateien ausblenden (empfohlen)" und "Alle Dateien und Ordner anzeigen" aktivieren -> "OK"

Oder -> Lade den Total Commander und nimm folgende Einstellung vor:
Total Commander öffnen -> Konfigurieren -> Einstellungen -> Ansicht -> Haken setzen bei "Versteckte und Systemdateien anzeigen (nur für Experten)" -> OK

chaosman

@chaosman

ich hatte die ordnereinstellungen schon wie beschrieben, die datei mit dem pfad c:\windows\system\cemph.dll ist und war nicht auf meinem pc

das problem tritt erneut auf,

Logfile of HijackThis v1.99.0
Scan saved at 22:40:19, on 12.02.05
Platform: Windows 98 SE (Win9x 4.10.2222A)
MSIE: Internet Explorer v6.00 SP1 (6.00.2800.1106)

Running processes:
C:\WINDOWS\SYSTEM\KERNEL32.DLL
C:\WINDOWS\SYSTEM\MSGSRV32.EXE
C:\WINDOWS\SYSTEM\MPREXE.EXE
C:\PROGRAMME\NORTON PERSONAL FIREWALL\NISSERV.EXE
C:\WINDOWS\SYSTEM\mmtask.tsk
C:\PROGRAMME\NORTON PERSONAL FIREWALL\NISUM.EXE
C:\PROGRAMME\NORTON PERSONAL FIREWALL\SYMPROXYSVC.EXE
C:\WINDOWS\EXPLORER.EXE
C:\PROGRAMME\NORTON PERSONAL FIREWALL\IAMAPP.EXE
C:\PROGRAMME\INTERNET EXPLORER\IEXPLORE.EXE
C:\WINDOWS\RUNDLL32.EXE
C:\WINDOWS\SYSTEM\DDHELP.EXE
C:\EIGENE DATEIEN\HJT\HIJACKTHIS.EXE

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Bar = res://C:\WINDOWS\TEMP\se.dll/sp.html
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = about:blank
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.ebay.de/
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Bar = res://C:\WINDOWS\TEMP\se.dll/sp.html
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = about:blank
R1 - HKCU\Software\Microsoft\Internet Explorer\Search,SearchAssistant = about:blank
R0 - HKLM\Software\Microsoft\Internet Explorer\Search,SearchAssistant = about:blank
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,HomeOldSP = about:blank
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,HomeOldSP = about:blank
O2 - BHO: (no name) - {CA22C7C3-7D46-11D9-B658-00E0B8A0A52F} - C:\WINDOWS\SYSTEM\CLI.DLL
O4 - HKLM\..\Run: [iamapp] C:\Programme\Norton Personal Firewall\IAMAPP.EXE
O4 - HKLM\..\Run: [sp] rundll32 C:\WINDOWS\TEMP\SE.DLL,DllInstall
O4 - HKLM\..\RunServices: [nisserv] C:\Programme\Norton Personal Firewall\NISSERV.EXE
O18 - Filter: text/html - {CA22C7C2-7D46-11D9-B658-00E0D7EC00B4} - C:\WINDOWS\SYSTEM\CLI.DLL
O18 - Filter: text/plain - {CA22C7C2-7D46-11D9-B658-00E0D7EC00B4} - C:\WINDOWS\SYSTEM\CLI.DLL

noch nicht "clean" :(

Wegen escan, entweder ich bin zu dumm, aber ich bekomme escan nicht zum laufen, weder im normalen noch im abgesicherten modus

bin immer noch hilfesuchend...

Starte deinen PC im abgesicherten Modus.

fixe mit HijackThis:

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Bar = res://C:\WINDOWS\TEMP\se.dll/sp.html
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Bar = res://C:\WINDOWS\TEMP\se.dll/sp.html

O2 - BHO: (no name) - {CA22C7C3-7D46-11D9-B658-00E0B8A0A52F} - C:\WINDOWS\SYSTEM\CLI.DLL

O4 - HKLM\..\Run: [sp] rundll32 C:\WINDOWS\TEMP\SE.DLL,DllInstall

O18 - Filter: text/html - {CA22C7C2-7D46-11D9-B658-00E0D7EC00B4} - C:\WINDOWS\SYSTEM\CLI.DLL
O18 - Filter: text/plain - {CA22C7C2-7D46-11D9-B658-00E0D7EC00B4} - C:\WINDOWS\SYSTEM\CLI.DLL

lösche deine Temp und Temporary Internet Files mit www.clearprog.de

lösche manuell (lass dir bei den Ordneroptionen alle Dateien anzeigen!):
C:\WINDOWS\SYSTEM\CLI.DLL

Scanne dein System mit deinem Virenscanner (falls du einen hast ;) ).

Neustart.

Problem behoben?

Falls du eScan wirklich nicht ausführen kannst, könntest du es auch mal mit der 30-Tage Testversion von Kaspersky oder AVK versuchen...

das Ergebnis mit AVK

Virenprüfung mit AntiVirenKit
Version 15.0.5
Virensignaturen vom 07.02.05
Startzeit: 13.02.05 14:36
Engine(s): KAV-Engine (AVK 15.0.2933), BD-Engine (BD 15.0.247)
Heuristik: Ein
Archive: Ein
Systembereiche: Ein

Prüfung der Systembereiche...
Prüfung aller lokalen Festplatten...
Objekt: rundll32.vbe
Pfad: C:\WINDOWS\SYSTEM32
Status: Datei in Quarantäne verschoben
Virus: Trojan.VBS.StartPage.g (KAV-Engine)
Objekt: showFace[1].htm
Pfad: C:\WINDOWS\Local Settings\Temporary Internet Files\Content.IE5\LXRSSLKF
Status: Datei in Quarantäne verschoben
Virus: Trojan.Downloader.Small.WV (BD-Engine)
Objekt: index[1].chm
Pfad: C:\WINDOWS\Local Settings\Temporary Internet Files\Content.IE5\0DA3C56F
Status: Datei in Quarantäne verschoben
Virus: Trojan-Downloader.Win32.Donn.u (KAV-Engine)
Objekt: 1.htm
In Archiv: C:\WINDOWS\Local Settings\Temporary Internet Files\Content.IE5\1L5SL7HG\ddfs[1].chm
Status: Virus gefunden
Virus: Exploit.HTML.CodeBaseExec (KAV-Engine)
Objekt: frame.exe
In Archiv: C:\WINDOWS\Local Settings\Temporary Internet Files\Content.IE5\1L5SL7HG\ddfs[1].chm
Status: Virus gefunden
Virus: Trojan-Downloader.Win32.Agent.ho (KAV-Engine)
Objekt: ddfs[1].chm
Pfad: C:\WINDOWS\Local Settings\Temporary Internet Files\Content.IE5\1L5SL7HG
Status: Datei in Quarantäne verschoben
Virus: Exploit.HTML.CodeBaseExec, Trojan-Downloader.Win32.Agent.ho (KAV-Engine)
Objekt: showFace[1].htm
Pfad: C:\WINDOWS\Local Settings\Temporary Internet Files\Content.IE5\1L5SL7HG
Status: Datei in Quarantäne verschoben
Virus: Trojan.Downloader.Small.WV (BD-Engine)
Objekt: index[1].htm
Pfad: C:\WINDOWS\Local Settings\Temporary Internet Files\Content.IE5\47GJ4ZO9
Status: Datei in Quarantäne verschoben
Virus: Exploit.HTML.Mht (KAV-Engine)
Objekt: enter_to[1].htm
Pfad: C:\WINDOWS\Local Settings\Temporary Internet Files\Content.IE5\I4EIT1DN
Status: Datei in Quarantäne verschoben
Virus: Trojan-Downloader.JS.gen (KAV-Engine)
Objekt: Index.html
In Archiv: C:\WINDOWS\Local Settings\Temporary Internet Files\Content.IE5\K5EVWD2J\index[1].chm
Status: Virus gefunden
Virus: Trojan-Downloader.JS.gen (KAV-Engine)
Objekt: index[1].chm
Pfad: C:\WINDOWS\Local Settings\Temporary Internet Files\Content.IE5\K5EVWD2J
Status: Datei in Quarantäne verschoben
Virus: Trojan-Downloader.JS.gen (KAV-Engine)
Objekt: indexold[1].htm
Pfad: C:\WINDOWS\Local Settings\Temporary Internet Files\Content.IE5\QFJZ1N9F
Status: Datei in Quarantäne verschoben
Virus: Trojan-Downloader.JS.gen (KAV-Engine)
Objekt: count2[1].gif
Pfad: C:\WINDOWS\Local Settings\Temporary Internet Files\Content.IE5\QFJZ1N9F
Status: Datei in Quarantäne verschoben
Virus: Trojan-Dropper.Win32.Small.rq (KAV-Engine)
Objekt: Bubble.class
In Archiv: C:\WINDOWS\Local Settings\Temporary Internet Files\Content.IE5\ET0JWH63\mmm[1].jar
Status: Virus gefunden
Virus: Trojan.Java.ClassLoader.Dummy.e (KAV-Engine)
Objekt: VerifierBug.class
In Archiv: C:\WINDOWS\Local Settings\Temporary Internet Files\Content.IE5\ET0JWH63\mmm[1].jar
Status: Virus gefunden
Virus: Exploit.Java.Bytverify (KAV-Engine)
Objekt: Dummy.class
In Archiv: C:\WINDOWS\Local Settings\Temporary Internet Files\Content.IE5\ET0JWH63\mmm[1].jar
Status: Virus gefunden
Virus: Trojan.Java.ClassLoader.Dummy.c (KAV-Engine)
Objekt: Beyond.class
In Archiv: C:\WINDOWS\Local Settings\Temporary Internet Files\Content.IE5\ET0JWH63\mmm[1].jar
Status: Virus gefunden
Virus: Trojan-Downloader.Java.OpenStream.h (KAV-Engine)
Objekt: mmm[1].jar
Pfad: C:\WINDOWS\Local Settings\Temporary Internet Files\Content.IE5\ET0JWH63
Status: Datei in Quarantäne verschoben
Virus: Trojan.Java.ClassLoader.Dummy.e, Exploit.Java.Bytverify, Trojan.Java.ClassLoader.Dummy.c, Trojan-Downloader.Java.OpenStream.h (KAV-Engine)
Objekt: showFace[1].htm
Pfad: C:\WINDOWS\Local Settings\Temporary Internet Files\Content.IE5\W1EN8TE3
Status: Datei in Quarantäne verschoben
Virus: Trojan.Downloader.Small.WV (BD-Engine)
Objekt: mirc.exe
Pfad: C:\Programme\mIRC-mercadia
Status: Datei in Quarantäne verschoben
Virus: not-a-virus:RiskWare.mIRC.6.03 (KAV-Engine)
Objekt: mirc.exe
Pfad: C:\Eigene Dateien\ICQ Lite\129314425\Fat_Rabbit_314168223
Status: Datei in Quarantäne verschoben
Virus: not-a-virus:RiskWare.mIRC.6.03 (KAV-Engine)
Objekt: backup-20050129-001745-456.dll
Pfad: C:\Eigene Dateien\HJT\backups
Status: Datei in Quarantäne verschoben
Virus: Trojan.Win32.StartPage.ix (KAV-Engine)
Objekt: backup-20050130-135940-550.dll
Pfad: C:\Eigene Dateien\HJT\backups
Status: Datei in Quarantäne verschoben
Virus: Trojan.Win32.StartPage.qr (KAV-Engine)
Objekt: backup-20050207-190827-515.dll
Pfad: C:\Eigene Dateien\HJT\backups
Status: Datei in Quarantäne verschoben
Virus: Trojan.Win32.StartPage.uo (KAV-Engine)
Objekt: hltv.exe
Pfad: C:\Spiele\Counter-Strike
Status: Datei in Quarantäne verschoben
Virus: not-a-virus:RiskWare.Proxy.Hltv (KAV-Engine)
Objekt: kkzbbosrcwn.exe
Pfad: C:
Status: Datei in Quarantäne verschoben
Virus: Trojan-Downloader.Win32.Femad.j (KAV-Engine)
Analyse vollständig durchgeführt: 13.02.05 16:03
50790 Dateien überprüft
19 infizierte Dateien gefunden
0 verdächtige Dateien gefunden

@Juzam
bei dieser sammlung würde ich neu aufsetzen(format C)
btw clearprog hast du wohl nicht eingesetzt?

hier eine anleitung
http://www.trojaner-board.de/showpos...28&postcount=2

sry
chaosman