Hallo PC - Experten,

Ich bräuchte Eure HILFE.
Ich habe ein, glaube "Spyware" Problem, da ich immer, wenn ich im Internet surfe, ein PopUp-Fenster öffnet und da steht:
sie haben ein Spyware und laden sie den Programm runter, um es zu beheben .
Ich habe alles ausprobiert, AdWare, Spybot, CWShredder, HiJackThis und eScan (und im "abgesicherten Modus"), um den Fehler zu beheben, ich bekomme es weg, aber irgendwann kommt er wieder .
Es liegt an "SE.DLL"
Hier ist mein Logfile, vielleicht wisst Ihr ja mehr

Logfile of HijackThis v1.99.1
Scan saved at 13:01:02, on 01.03.05
Platform: Windows 98 Gold (Win9x 4.10.1998)
MSIE: Internet Explorer v6.00 SP1 (6.00.2800.1106)

Running processes:
C:\WINDOWS\SYSTEM\KERNEL32.DLL
C:\WINDOWS\SYSTEM\MSGSRV32.EXE
C:\WINDOWS\SYSTEM\MPREXE.EXE
C:\WINDOWS\SYSTEM\mmtask.tsk
C:\WINDOWS\EXPLORER.EXE
C:\PROGRAMME\TDSLSM\SPEEDMGR.EXE
C:\PROGRAMME\HEWLETT-PACKARD\HP PRECISIONSCAN\PRECISIONSCAN\HPLAMP.EXE
C:\WINDOWS\SYSTEM\HPSJVXD.EXE
C:\WINDOWS\SYSTEM\STIMON.EXE
C:\WINDOWS\SYSTEM\DDHELP.EXE
C:\WINDOWS\SYSTEM\RNAAPP.EXE
C:\WINDOWS\SYSTEM\TAPISRV.EXE
C:\WINDOWS\RUNDLL32.EXE
C:\EIGENE DATEIEN\DINCER\HIJACKTHIS.EXE

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Bar = res://C:\WINDOWS\TEMP\se.dll/sp.html
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = about:blank
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Bar = res://C:\WINDOWS\TEMP\se.dll/sp.html
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = about:blank
R1 - HKCU\Software\Microsoft\Internet Explorer\Search,SearchAssistant = about:blank
R0 - HKLM\Software\Microsoft\Internet Explorer\Search,SearchAssistant = about:blank
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,HomeOldSP = about:blank
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,HomeOldSP = about:blank
O2 - BHO: (no name) - {453AC545-8A4B-11D9-AECB-0030706751A3} - C:\WINDOWS\SYSTEM\GIHEE.DLL
O4 - HKLM\..\Run: [T-DSL SpeedMgr] C:\PROGRAMME\TDSLSM\SPEEDMGR.EXE
O4 - HKLM\..\Run: [hpppt] C:\Programme\Hewlett-Packard\HP PrecisionScan\PrecisionScan\hpppt.exe /ICON
O4 - HKLM\..\Run: [HP Lamp] C:\Programme\Hewlett-Packard\HP PrecisionScan\PrecisionScan\HPLamp.exe
O4 - HKLM\..\Run: [HPSCANMonitor] C:\WINDOWS\SYSTEM\hpsjvxd.exe
O4 - HKLM\..\Run: [StillImageMonitor] C:\WINDOWS\SYSTEM\STIMON.EXE
O4 - HKLM\..\Run: [sp] rundll32 C:\WINDOWS\TEMP\SE.DLL,DllInstall
O15 - Trusted Zone: *.windupdates.com (HKLM)
O15 - Trusted Zone: *.skoobidoo.com (HKLM)
O15 - Trusted IP range: 67.19.185.246
O15 - ProtocolDefaults: 'http' protocol is in Trusted Zone, should be Internet Zone
O18 - Filter: text/html - {453AC544-8A4B-11D9-AECB-00301F2BF438} - C:\WINDOWS\SYSTEM\GIHEE.DLL
O18 - Filter: text/plain - {453AC544-8A4B-11D9-AECB-00301F2BF438} - C:\WINDOWS\SYSTEM\GIHEE.DLL

Ich hoffe IHR könnt mir weiter HELFEN und bin für jeden Ratschlag DANKBAR.

Mit freundlichen Grüßen
Frost

Hallo Frost,

hast Du dies schon versucht?
SE.DLL-Problem--->http://www.trojaner-board.de/showthr...ghlight=se.dll

Damit gehen diese weg:
Trusted Zone-Einträge--->http://www.trojaner-board.de/showpos...6&postcount=31

dartus

Hi dartus,

das habe ich schon ausprobiert, hat auch nichts gebracht.

Aber DANKE für den Tipp

MfG
Frost

Hallo Frost,

das dachte ich mit.
Hier ein Thread mit einer Lösungsmöglichkeit unter WIN98:

http://www.trojaner-board.de/showthread.php?t=14512

dartus

Insbesondere brauchen wir mal folgendes:

Lade Dir mal das Tool StartDreck herunter, starte es und poste ein Log davon. Danke!

Hi dartus,

ich war Dir mal wieder ein schritt vorraus.
Ich habe die Thread schon durch stöbert und es hat ebenfalls nicht geklappt.

MfG
Frost

Hi Lutz,

hier ist der Logfile von Startdreck :

»Registry
»Run Keys
»Current User
»Run
»RunOnce
»Default User
»Run
»RunOnce
»Local Machine
»Run
*T-DSL SpeedMgr=C:\PROGRAMME\TDSLSM\SPEEDMGR.EXE
*hpppt=C:\Programme\Hewlett-Packard\HP PrecisionScan\PrecisionScan\hpppt.exe /ICON
*HP Lamp=C:\Programme\Hewlett-Packard\HP PrecisionScan\PrecisionScan\HPLamp.exe
*HPSCANMonitor=C:\WINDOWS\SYSTEM\hpsjvxd.exe
*StillImageMonitor=C:\WINDOWS\SYSTEM\STIMON.EXE
*sp=rundll32 C:\WINDOWS\TEMP\SE.DLL,DllInstall
»RunOnce
»RunServices
»RunServicesOnce
**ctz=rundll32 C:\WINDOWS\ARTGALTY.CAG,DllGetClassObject
»RunOnceEx
»RunServicesOnceEx
»File Associations (CR)
+.bat
*batfile="%1" %*
+.com
*comfile="%1" %*
+.exe
*exefile="%1" %*
+.hta
*htafile=C:\WINDOWS\SYSTEM\MSHTA.EXE "%1" %*
+.htm
*htmlfile="C:\PROGRA~1\INTERN~1\iexplore.exe" -nohome
+.html
*htmlfile="C:\PROGRA~1\INTERN~1\iexplore.exe" -nohome
+.js
*JSFile=C:\WINDOWS\WScript.exe "%1" %*
+.jse
*JSEFile=C:\WINDOWS\WScript.exe "%1" %*
+.pif
*piffile="%1" %*
+.reg
*regfile=regedit.exe "%1"
+.scr
*scrfile="%1" /S
+.txt
*txtfile=C:\WINDOWS\NOTEPAD.EXE %1
+.vbs
*VBSFile=C:\WINDOWS\WScript.exe "%1" %*
+.vbe
*VBEFile=C:\WINDOWS\WScript.exe "%1" %*
+.wsh
*WSHFile=C:\WINDOWS\WScript.exe "%1" %*
+.wsf
*WSFFile=C:\WINDOWS\WScript.exe "%1" %*
+.lnk
`lnkfile= [key or value does not exist]
»Browser Helper Objects (LM)
*{DE1B059E-8B1F-11D9-AECB-0030679892B0}
`InprocServer32=C:\WINDOWS\SYSTEM\DDJLBA.DLL
»Files
»Autostart Folders
»Current User
»Default User
»Local Machine
»INI-Files
»WIN.INI\[windows]
*LOAD=
*RUN=
»SYSTEM.INI\[boot]
*SHELL=Explorer.exe
»Text Files
*C:\msdos.sys
*C:\config.sys
*C:\autoexec.bat
*C:\WINDOWS\wininit.bak
»System/Drivers
»Running Processes
+FFCFE88D=C:\WINDOWS\SYSTEM\KERNEL32.DLL
+FFFFBC11=C:\WINDOWS\SYSTEM\MSGSRV32.EXE
+FFFFABA1=C:\WINDOWS\SYSTEM\MPREXE.EXE
+FFFF1A15=C:\WINDOWS\RUNDLL32.EXE
+FFFF1745=C:\WINDOWS\SYSTEM\mmtask.tsk
+FFFF31B5=C:\WINDOWS\EXPLORER.EXE
+FFFE4001=C:\PROGRAMME\TDSLSM\SPEEDMGR.EXE
+FFFE06B1=C:\PROGRAMME\HEWLETT-PACKARD\HP PRECISIONSCAN\PRECISIONSCAN\HPLAMP.EXE
+FFFDDE25=C:\WINDOWS\SYSTEM\HPSJVXD.EXE
+FFFDAC81=C:\WINDOWS\SYSTEM\STIMON.EXE
+FFFDF20D=C:\WINDOWS\RUNDLL32.EXE
+FFFD3C7D=C:\WINDOWS\SYSTEM\RNAAPP.EXE
+FFFCE8C5=C:\WINDOWS\SYSTEM\TAPISRV.EXE
+FFFC1209=C:\WINDOWS\SYSTEM\DDHELP.EXE
+FFFAD8E1=C:\EIGENE DATEIEN\DINCER\STARTDRECK\STARTDRECK.EXE
»NT Services
»Application specific

Ich hoffe Du kannst damit was anfangen, denn ich kann es nicht.

MfG
Frost

Hallo Frost,

**ctz=rundll32 C:\WINDOWS\ARTGALTY.CAG,DllGetClassObject

das dürfte das Problem sein.
Da ich mir nicht absolut sicher bin wie das Teil weg, hoffe ich, dass andere Dir helfen können.

dartus

Hallo Frost,

ich sehe das wie dartus.

**ctz=rundll32 C:\WINDOWS\ARTGALTY.CAG,DllGetClassObject

dürfte das Hauptproblem sein.

Entweder Du 'wagst' es mit dem hier beschriebenen Tool -> http://www.trojaner-board.de/showthread.php?t=14366 (3. Posting) oder wir versuchen es manuell nach ramans Anweisung.

Kopiere hierfür bitte alles zwischen ---cut--- in Notepad und speichere die Datei in c:\windows mit dem Namen test25.bat dann fahre den Rechner im MS-DOS-Modus herunter. Du solltest dann am Dosprompt landen. Sieht ungefähr so aus:

C:\WINDOWS\>

dort test25 eingeben und ENTER drücken, dann den Rechner neu starten. Sollte beim Neustart eine Fehlermeldung kommen bitte diese hier posten. Den erzeugten Ordner c:\test25 packen (Winzip oder vergleichbar) und per Mail an mich (badfiles@bul-online.de) schicken.

---cut---
md c:\test25
ren C:\WINDOWS\ARTGALTY.CAG ARTGALTY.XXX
copy C:\WINDOWS\ARTGALTY.XXX c:\test25
dir c:\windows\*.* /a:s /od >c:\test25\system.txt
dir c:\windows\*.* /a:h /od >c:\test25\hidden.txt
dir c:\windows\*.* /a:r /od >c:\test25\read.txt
---cut---

Vergewissere Dich bitte unmittelbar, bevor Du dies ausführst, ob die Datei ARTGALTY.CAG aus dem Startdreck-Log noch so heißt, ansonsten den entsprechenden Part zwischen ---cut--- anpassen. Zwischen ausführen von Startdreck und dieser Batch-Datei sollte kein normales Neustarten des Systems erfolgen!

Aktualisiere dann eScan, lasse es noch einmal im abgesicherten Modus über alle Dateien laufen und poste die Funde. Außerdem führe dann noch einmal HijackThis aus und poste das aktuelle Log.
Diese (oder ähnliche) Einträge kannst Du dann fixen:

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Bar = res://C:\WINDOWS\TEMP\se.dll/sp.html
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = about:blank
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Bar = res://C:\WINDOWS\TEMP\se.dll/sp.html
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = about:blank
R1 - HKCU\Software\Microsoft\Internet Explorer\Search,SearchAssistant = about:blank
R0 - HKLM\Software\Microsoft\Internet Explorer\Search,SearchAssistant = about:blank
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,HomeOldSP = about:blank
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,HomeOldSP = about:blank
O2 - BHO: (no name) - {453AC545-8A4B-11D9-AECB-0030706751A3} - C:\WINDOWS\SYSTEM\GIHEE.DLL <- Die Datei heißt vermutl. inzwischen anders!
O4 - HKLM\..\Run: [sp] rundll32 C:\WINDOWS\TEMP\SE.DLL,DllInstall
O18 - Filter: text/html - {453AC544-8A4B-11D9-AECB-00301F2BF438} - C:\WINDOWS\SYSTEM\GIHEE.DLL
O18 - Filter: text/plain - {453AC544-8A4B-11D9-AECB-00301F2BF438} - C:\WINDOWS\SYSTEM\GIHEE.DLL