Du könntest ja diesen mal installieren:
http://www.sysinternals.com/ntw2k/fr.../procexp.shtml
und die in Frage kommenden Prozesse (z.B. svchost...) einzeln durchgehen (sobald die Meldung wieder erscheint) und schauen bei welchem etwas derartiges aufgerufen/ausgeführt wird. Dort könntest Du es zumindest lokalisieren und dann ggf. im System löschen.

Was ist sus dem HijackThis-Log geworden, welches beim Auftreten der Startpage-Meldung gemacht werden sollte?

Hallo Feierfox,

hier das neueste Log-File von HijackThis, nachdem ich StartPage gelöscht habe.

Die normalerweise vorhandenen Dateien, die StartPage erzeugt sind nicht darin vorhanden.

Es sieht wie immer gut aus.

Gruß

AL-ADIN

Logfile of HijackThis v1.99.0
Scan saved at 00:16:01, on 02.03.2005
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\Ati2evxx.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\spoolsv.exe
C:\WINDOWS\system32\Ati2evxx.exe
C:\WINDOWS\Explorer.EXE
C:\Programme\Saitek\Software\SaiSmart.exe
C:\Programme\Saitek\Software\Profiler.exe
C:\Programme\Intel\Intel Application Accelerator\iaanotif.exe
C:\Programme\CyberLink\PowerDVD\DVDLauncher.exe
C:\Programme\Creative\SBAudigy2ZS\Surround Mixer\CTSysVol.exe
C:\Programme\Creative\SBAudigy2ZS\DVDAudio\CTDVDDET.EXE
C:\APPLI\Zone Labs\ZoneAlarm\zlclient.exe
C:\APPLI\AVPersonal\AVGNT.EXE
C:\Programme\Microsoft AntiSpyware\gcasServ.exe
C:\WINDOWS\system32\ctfmon.exe
C:\APPLI\AVPersonal\AVGUARD.EXE
C:\Programme\Microsoft AntiSpyware\gcasDtServ.exe
C:\APPLI\AVPersonal\AVWUPSRV.EXE
C:\WINDOWS\system32\CTsvcCDA.EXE
C:\Programme\Intel\Intel Application Accelerator\iaantmon.exe
C:\WINDOWS\System32\snmp.exe
C:\WINDOWS\SYSTEM32\ZoneLabs\vsmon.exe
C:\Programme\Internet Explorer\iexplore.exe
C:\Dokumente und Einstellungen\Harald\Eigene Dateien\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.t-online.de/
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = www.t-online.de
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Local Page =
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Local Page =
O4 - HKLM\..\Run: [SaiSmart] C:\Programme\Saitek\Software\SaiSmart.exe
O4 - HKLM\..\Run: [Profiler] C:\Programme\Saitek\Software\Profiler.exe
O4 - HKLM\..\Run: [IAAnotif] C:\Programme\Intel\Intel Application Accelerator\iaanotif.exe
O4 - HKLM\..\Run: [DVDLauncher] "C:\Programme\CyberLink\PowerDVD\DVDLauncher.exe"
O4 - HKLM\..\Run: [CTSysVol] C:\Programme\Creative\SBAudigy2ZS\Surround Mixer\CTSysVol.exe /r
O4 - HKLM\..\Run: [CTDVDDET] C:\Programme\Creative\SBAudigy2ZS\DVDAudio\CTDVDDET.EXE
O4 - HKLM\..\Run: [ATIPTA] C:\Programme\ATI Technologies\ATI Control Panel\atiptaxx.exe
O4 - HKLM\..\Run: [Zone Labs Client] "C:\APPLI\Zone Labs\ZoneAlarm\zlclient.exe"
O4 - HKLM\..\Run: [AVGCtrl] C:\APPLI\AVPersonal\AVGNT.EXE /min
O4 - HKLM\..\Run: [gcasServ] "C:\Programme\Microsoft AntiSpyware\gcasServ.exe"
O4 - HKCU\..\Run: [ctfmon.exe] C:\WINDOWS\system32\ctfmon.exe
O8 - Extra context menu item: Nach Microsoft &Excel exportieren - res://C:\APPLI\MICROS~1\OFFICE11\EXCEL.EXE/3000
O16 - DPF: {17492023-C23A-453E-A040-C7C580BBF700} (Windows Genuine Advantage Validation Tool) - http://go.microsoft.com/fwlink/?link...67&clcid=0x409
O17 - HKLM\System\CCS\Services\Tcpip\..\{79583E2B-08D9-4027-856F-19F05256E0F4}: NameServer = 192.168.0.1
O18 - Filter hijack: text/webviewhtml - (no CLSID) - (no file)
O18 - Filter hijack: text/xml - (no CLSID) - (no file)
O23 - Service: AntiVir Service - H+BEDV Datentechnik GmbH - C:\APPLI\AVPersonal\AVGUARD.EXE
O23 - Service: Ati HotKey Poller - ATI Technologies Inc. - C:\WINDOWS\system32\Ati2evxx.exe
O23 - Service: AntiVir Update - H+BEDV Datentechnik GmbH, Germany - C:\APPLI\AVPersonal\AVWUPSRV.EXE
O23 - Service: Creative Service for CDROM Access - Creative Technology Ltd - C:\WINDOWS\system32\CTsvcCDA.EXE
O23 - Service: IAA Event Monitor - Intel Corporation - C:\Programme\Intel\Intel Application Accelerator\iaantmon.exe
O23 - Service: TrueVector Internet Monitor - Zone Labs Inc. - C:\WINDOWS\SYSTEM32\ZoneLabs\vsmon.exe

nachdem ich StartPage gelöscht habe.

Wäre vielleicht besser gewesen, das Log zu machen, BEVOR Du die Datei gelöscht hast. Denn so ist die dazugehörige Datei ja nicht mehr aktiv.

Meine Idee (ohne Garantie auf Erfolg)
1. Meldung erscheint
2. sof. HijackThis laufen lassen
3. eScan laufen lassen
4. dann erst Datei löschen

Log-Dateien posten (HjT + eScan "infected")

Hallo Feierfox,

so Scan mit HijackThis und escan ist gelaufen.

Viel hat es auf den ersten Blick nicht gebracht. Vieleicht schildere ich es kurz bevor ich die Logs bringe.

HiJackThis hat das für mich schon übliche Log erstellt, ohne das ich da jetzt noch etwas schädliches sehen kann. Vielleicht findest Du mehr raus?

escan habe ich upgedated und laufen lassen. An der Stelle, wo die Startpage-Plagegeister stehen (LokaleEinstellungen/Internet Temporary Files) ist nur der Vierenscanner wieder angesprungen, sobald escan dort zu lesen begonnen hat. Ein INFECTED wurde nicht gemeldet. Dafür 12 Errors.

Hier nun die Logs:

Logfile of HijackThis v1.99.0
Scan saved at 21:26:15, on 02.03.2005
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\Ati2evxx.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\spoolsv.exe
C:\WINDOWS\system32\Ati2evxx.exe
C:\WINDOWS\Explorer.EXE
C:\Programme\Saitek\Software\SaiSmart.exe
C:\Programme\Saitek\Software\Profiler.exe
C:\Programme\Intel\Intel Application Accelerator\iaanotif.exe
C:\Programme\CyberLink\PowerDVD\DVDLauncher.exe
C:\Programme\Creative\SBAudigy2ZS\Surround Mixer\CTSysVol.exe
C:\Programme\Creative\SBAudigy2ZS\DVDAudio\CTDVDDET.EXE
C:\APPLI\Zone Labs\ZoneAlarm\zlclient.exe
C:\APPLI\AVPersonal\AVGNT.EXE
C:\Programme\Microsoft AntiSpyware\gcasServ.exe
C:\WINDOWS\system32\ctfmon.exe
C:\Programme\Microsoft AntiSpyware\gcasDtServ.exe
C:\APPLI\AVPersonal\AVGUARD.EXE
C:\APPLI\AVPersonal\AVWUPSRV.EXE
C:\WINDOWS\system32\CTsvcCDA.EXE
C:\Programme\Intel\Intel Application Accelerator\iaantmon.exe
C:\WINDOWS\System32\snmp.exe
C:\WINDOWS\SYSTEM32\ZoneLabs\vsmon.exe
C:\WINDOWS\system32\wuauclt.exe
C:\Programme\Internet Explorer\iexplore.exe
C:\APPLI\AVPersonal\GUARDGUI.EXE
C:\Dokumente und Einstellungen\Harald\Eigene Dateien\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.t-online.de/
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = www.t-online.de
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Local Page =
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Local Page =
O4 - HKLM\..\Run: [SaiSmart] C:\Programme\Saitek\Software\SaiSmart.exe
O4 - HKLM\..\Run: [Profiler] C:\Programme\Saitek\Software\Profiler.exe
O4 - HKLM\..\Run: [IAAnotif] C:\Programme\Intel\Intel Application Accelerator\iaanotif.exe
O4 - HKLM\..\Run: [DVDLauncher] "C:\Programme\CyberLink\PowerDVD\DVDLauncher.exe"
O4 - HKLM\..\Run: [CTSysVol] C:\Programme\Creative\SBAudigy2ZS\Surround Mixer\CTSysVol.exe /r
O4 - HKLM\..\Run: [CTDVDDET] C:\Programme\Creative\SBAudigy2ZS\DVDAudio\CTDVDDET.EXE
O4 - HKLM\..\Run: [ATIPTA] C:\Programme\ATI Technologies\ATI Control Panel\atiptaxx.exe
O4 - HKLM\..\Run: [Zone Labs Client] "C:\APPLI\Zone Labs\ZoneAlarm\zlclient.exe"
O4 - HKLM\..\Run: [AVGCtrl] C:\APPLI\AVPersonal\AVGNT.EXE /min
O4 - HKLM\..\Run: [gcasServ] "C:\Programme\Microsoft AntiSpyware\gcasServ.exe"
O4 - HKCU\..\Run: [ctfmon.exe] C:\WINDOWS\system32\ctfmon.exe
O8 - Extra context menu item: Nach Microsoft &Excel exportieren - res://C:\APPLI\MICROS~1\OFFICE11\EXCEL.EXE/3000
O16 - DPF: {17492023-C23A-453E-A040-C7C580BBF700} (Windows Genuine Advantage Validation Tool) - http://go.microsoft.com/fwlink/?link...67&clcid=0x409
O17 - HKLM\System\CCS\Services\Tcpip\..\{79583E2B-08D9-4027-856F-19F05256E0F4}: NameServer = 192.168.0.1
O18 - Filter hijack: text/webviewhtml - (no CLSID) - (no file)
O18 - Filter hijack: text/xml - (no CLSID) - (no file)
O23 - Service: AntiVir Service - H+BEDV Datentechnik GmbH - C:\APPLI\AVPersonal\AVGUARD.EXE
O23 - Service: Ati HotKey Poller - ATI Technologies Inc. - C:\WINDOWS\system32\Ati2evxx.exe
O23 - Service: AntiVir Update - H+BEDV Datentechnik GmbH, Germany - C:\APPLI\AVPersonal\AVWUPSRV.EXE
O23 - Service: Creative Service for CDROM Access - Creative Technology Ltd - C:\WINDOWS\system32\CTsvcCDA.EXE
O23 - Service: IAA Event Monitor - Intel Corporation - C:\Programme\Intel\Intel Application Accelerator\iaantmon.exe
O23 - Service: TrueVector Internet Monitor - Zone Labs Inc. - C:\WINDOWS\SYSTEM32\ZoneLabs\vsmon.exe

Wed Mar 02 21:28:05 2005 => **********************************************************
Wed Mar 02 21:28:05 2005 => eScan AntiVirus Toolkit Utility.
Wed Mar 02 21:28:05 2005 => Copyright © 2003-2004, MicroWorld Technologies Inc.
Wed Mar 02 21:28:05 2005 => **********************************************************
Wed Mar 02 21:28:05 2005 => Version 4.8.8 (C:\bases\mwavscan.com)
Wed Mar 02 21:28:05 2005 => Log File: C:\bases\MWAV.LOG
Wed Mar 02 21:28:05 2005 => Last Scan Date and Time: 24.02.2005 19:55:08
Wed Mar 02 21:28:07 2005 => Latest Date of files inside MWAV: 24 Feb 2005 20:32:31.
Wed Mar 02 21:28:08 2005 => AV Library Loaded...
Wed Mar 02 21:28:08 2005 => Scanning File C:\bases\kavss.exe
Wed Mar 02 21:28:08 2005 => Scanning File C:\bases\Getvlist.exe
Wed Mar 02 21:28:09 2005 => Scanning File C:\bases\kavss.dll
Wed Mar 02 21:28:09 2005 => Scanning File C:\bases\kavssdi.dll
Wed Mar 02 21:28:09 2005 => Scanning File C:\bases\kavssi.dll
Wed Mar 02 21:28:09 2005 => Scanning File C:\bases\kavvlg.dll
Wed Mar 02 21:28:09 2005 => Scanning File C:\bases\msvlclnt.dll
Wed Mar 02 21:28:09 2005 => Scanning File C:\bases\ipc.dll
Wed Mar 02 21:28:09 2005 => Scanning File C:\bases\main.avi
Wed Mar 02 21:28:09 2005 => Scanning File C:\bases\virus.avi
Wed Mar 02 21:28:09 2005 => Virus Database Date: 2005/02/24
Wed Mar 02 21:28:09 2005 => Virus Database Count: 119346
Wed Mar 02 21:28:29 2005 => Generating Virus List... getvlist.exe C:\bases\vlist.txt
Wed Mar 02 21:30:24 2005 => AV Library Unloaded (3)...

Wed Mar 02 22:57:13 2005 => ***** Scanning complete. *****

Wed Mar 02 22:57:13 2005 => Total Files Scanned: 75660
Wed Mar 02 22:57:13 2005 => Total Virus(es) Found: 0
Wed Mar 02 22:57:13 2005 => Total Disinfected Files: 0
Wed Mar 02 22:57:13 2005 => Total Files Renamed: 0
Wed Mar 02 22:57:13 2005 => Total Deleted Files: 0
Wed Mar 02 22:57:13 2005 => Total Errors: 12
Wed Mar 02 22:57:13 2005 => Time Elapsed: 01:23:17
Wed Mar 02 22:57:13 2005 => Virus Database Date: 2005/03/02
Wed Mar 02 22:57:13 2005 => Virus Database Count: 120028

Wed Mar 02 22:57:13 2005 => Scan Completed.

In einem dieser Ordner steht der StartPage. Man kann löschen wie man will, erschreibt sich immer wieder da hinein.

Wed Mar 02 21:36:05 2005 => Scanning C:\DOKUME~1\Harald\LOKALE~1\TEMPOR~1\Content.IE5 Directory
Wed Mar 02 21:36:05 2005 => Scanning Folder: C:\DOKUME~1\Harald\LOKALE~1\TEMPOR~1\Content.IE5\*.*
Wed Mar 02 21:36:05 2005 => Scanning Folder: C:\DOKUME~1\Harald\LOKALE~1\TEMPOR~1\Content.IE5\2XGBC7WR\*.*

Wed Mar 02 21:36:25 2005 => Scanning Folder: C:\DOKUME~1\Harald\LOKALE~1\TEMPOR~1\Content.IE5\MN6P23SZ\*.*

Wed Mar 02 21:36:31 2005 => Scanning Folder: C:\DOKUME~1\Harald\LOKALE~1\TEMPOR~1\Content.IE5\OPQFAZI7\*.*


Gruß

AL-ADIN

Tja, bin mit meinem Latein am Ende....

Wenn Du nicht neu aufsetzen willst, empfehle ich (am besten gleich nach dem Systemstart oder besser beim Beenden des IE) das Löschen des Cache. Kann man auch bei "Internetoptionen" automatisch löschen lassen. Das obligatorische Leeren des INFECTED-Ordners und das Fixen der 018-Einträge. Kennst Du ja alles schon und kannst es sicher nicht mehr hören....
Sorry

Hallo Feierfox und Leser,

nach nun mehr sechs oder acht Wochen, genau weiß ich das schon gar nicht mehr, habe ich mich entschlossen, mein System neu zu installieren.

Ehrlich gesagt, bin ich schon etwas demotiviert.

Da ich aber positiv denkend eingestellt bin, nehme ich wenigstens eine große Zahl neu gewonnener Kenntnisse über das Windows-System ansich mit. Die Erfahrung war es mir wert.

In diesem Sinne an alle Leidensgenossen

Gruß
AL-ADIN

P.S. Format C: for ever!!

P.S.S. Ich bleibe dem Forum trotzdem treu, um meine Kenntnisse zu erweitern.