Program starter efter bootup!

start/kør og skriv msconfig

http://spybot.eon.net.au/index.php?lang=en&page=download - Renser for Spyware
Prøv om ikke spybot kan klare det.

Men hvis du kan afinstallere det..feks m. til/fjern programmer...så burde det ikke stå der..:O)
Men check om der rester..

Okay..Fromsej..så er der jo oz ad-aware..:O)
Men det da ikke spørgsmålet..?

Nej, og det ser rigtigt grimt ud.
http://www.uwm.edu/IMT/purchase/itpsfaqs/ocxdll.html

bartfreak>>Msconfig i win2K?

bartfreak > øhh, msconfig?? Når jeg prøver at køre det skriver den: Cannot fint the file 'msconfig' (or one of it's components). Make sure the path and filename are correct and that all required libraries are available.
Der er ikke noget uninstallprog., så den løsning går ikke.
Hvad er ad-aware og hvad snakker i om??

Msconfig findes ikke i win2K.
Du har vel ikke selv hentet FTP programmet Serv-U?
Hvis ikke, og det link jeg gav dig er rigtigt, har du problemer.
Jeg har kaldt på Virus eliten.*S*

nej jeg har ikke selv hentet programmet. Jeg sidder lige og glor lidt på det link - men jeg kan ikke lige finde ud af om beskrivelsen passer

Det kunne være denne
http://www.safersite.com/PestInfo/db/s/servu-kill_c.asp
passer fint med at den kommer når windows setup starter.
Jeg vil næsten tro at den kan fjernes med Spywarefjerneren fra Spywarefri.dk
Gå ind på www.spywarefri.dk På forsiden midtpå kan du du klikke dig videre til onlinescanneren. Det er muligt den kan fjerne den. Værd at prøve i hvert fald.

jeg har fundet denne fil: dtcsetup.exe - 803 kb - som passer lidt på beskrivelsen til den omtalte virus af "fromsej".

perhaps > jeg prøver lige det program/link der.

Det lover ikke godt det her, fuck

Måske er det ikke den alligevel, men den er set her på det seneste. Du skal ikke ta' dig af at der står noget med windows95. Den er navnlig på jagt efter FTP-programmet Serv-U. Og så er det jeg stiller det samme spørgsmål som fromsej: Har du downloaded Serv-U? Kør nu lige den onlinescanning som jeg henviser til og kom så tilbage. Det er i hvert fald ingen virus.

har kørt online-scanneren. Den fandt noget som den så slettede, men det lød ikke som den du beskrev. Og Serv-U er der stadig.
Nej har ikke selv downloadet Serv-U, kender det overhovedet ikke. Jeg prøver at hente et andet program nu - PestPatrol.
Jeg regner m at slette hele den folder nu her c:\winnt\system32\rmtcgf\ - sker der noget v det??
Og som tidligere spurgt - msconfig virker jo ikke, men er der et andet sted jeg kan gøre det i win2000

Nej lad vær med at hente PestPatrol. Vi må ha' fat i HijackThis. Er du med fromsej til at kigge på loggen?

Download det lille værktøj HijackThis fra siden her
http://www.spywarefri.dk/vaerktoj.htm#18.04.2003.
og læg loggen ind her på siden, så kigger fromsej og jeg på den og fortæller dig hvad du skal fixe (HijackThis kalder det fixe) Er du med?

Perhaps>>Ja, jeg skal nok kigge med.*S*

øhh okay - er i gang.

pestpatrol fandt faktisk noget i den mappe og har nu slettet det, men jeg gør lige det andet alligevel

Logfile of HijackThis v1.93.0
Scan saved at 9:28:25 PM, on 6/19/2003
Platform: Windows 2000  (WinNT 5.00.2195)
MSIE: Internet Explorer v5.00 (5.00.2920.0000)

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page=http://localhost/HMKatalog
O2 - BHO: (no name) - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Program Files\Adobe\Acrobat 5.0\Reader\ActiveX\AcroIEHelper.ocx
O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINNT\System32\msdxm.ocx
O4 - HKLM\..\Run: [Synchronization Manager] mobsync.exe /logon
O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE NvQTwk,NvCplDaemon initialize
O4 - HKLM\..\Run: [nwiz] nwiz.exe /install
O4 - HKLM\..\Run: [Logitech Utility] Logi_MwX.Exe
O4 - HKLM\..\Run: [ATM Control] C:\winnt\system32\adpn.exe
O4 - HKLM\..\Run: [LoadQM] loadqm.exe
O4 - HKLM\..\Run: [WinApp32] msapp.exe
O4 - HKLM\..\Run: [CloneCDElbyCDFL] "C:\Program Files\Elaborate Bytes\CloneCD\ElbyCheck.exe" /L ElbyCDFL
O4 - HKLM\..\Run: [APVXDWIN] "C:\Program Files\Panda Software\Panda Antivirus Titanium\APVXDWIN.EXE" /s
O4 - HKLM\..\Run: [NeroCheck] C:\WINNT\system32\NeroCheck.exe
O4 - HKLM\..\Run: [Services Host] scchost.exe
O4 - HKLM\..\Run: [rundll134] C:\WINNT\SYSTEM32\RMTCFG\hidden32.exe C:\WINNT\SYSTEM32\RMTCFG\rmtcfg.exe
O4 - HKLM\..\Run: [rundll569] C:\WINNT\SYSTEM32\RMTCFG\hidden32.exe C:\WINNT\SYSTEM32\RMTCFG\setup.bat
O4 - HKLM\..\Run: [rundll777] C:\WINNT\SYSTEM32\RMTCFG\hidden32.exe C:\WINNT\SYSTEM32\RMTCFG\files\mdll.exe
O4 - HKLM\..\Run: [rundll946] C:\WINNT\SYSTEM32\RMTCFG\hidden32.exe C:\WINNT\SYSTEM32\RMTCFG\secure.bat
O4 - HKLM\..\Run: [PestPatrol Control Center] C:\Program Files\PestPatrol\PPControl.exe
O4 - HKLM\..\Run: [PPMemCheck] C:\PROGRA~2\PESTPA~1\PPMemCheck.exe
O4 - HKLM\..\Run: [CookiePatrol] C:\PROGRA~2\PESTPA~1\CookiePatrol.exe
O4 - HKLM\..\RunServices: [Services Host] scchost.exe
O4 - HKCU\..\Run: [internat.exe] internat.exe
O4 - HKCU\..\Run: [msnmsgr] "C:\Program Files\MSN Messenger\MsnMsgr.Exe" /background
O4 - Global Startup: Microsoft Office.lnk = C:\Program Files\Microsoft Office\Office\OSA9.EXE
O9 - Extra button: Related (HKLM)
O9 - Extra 'Tools' menuitem: Show &Related Links (HKLM)
O16 - DPF: {166B1BCA-3F9C-11CF-8075-444553540000} (Shockwave ActiveX Control) - http://download.macromedia.com/pub/shockwave/cabs/director/sw.cab
O16 - DPF: {D27CDB6E-AE6D-11CF-96B8-444553540000} (Shockwave Flash Object) - http://active.macromedia.com/flash2/cabs/swflash.cab

Starter du fra neden af fromsej, så starter jeg fra oven.

OK

Kan du genkende din startside til at være: HM katalog ?

yes - det er helt korrekt.

Fixes:
O4 - HKLM\..\RunServices: [Services Host] scchost.exe

fromsej> øhhm - help!!! Hvad betyder det du lige skrev

Fixes:
O4 - HKLM\..\Run: [Services Host] scchost.exe

Det betyder at du skal markere det i Hijackthis, og vælge fix checked.
Du må IKKE have andre programmer kørende imens.

Ok! fromsej, jeg så pludselig at vi var kommet til samme resultat. Skal lige høre fra moller06 om han kender til startsiden HM Katalog.

hvad gør det?? - bare lige inden jeg gør det.

ja jeg kender til startsiden.

perhaps>>Den optræder to steder, derfor forvirringen.*S*
moller06>>Det fjerner problemet fra din maskine.

øhh, der er jo 2 af den i snakker om.

O4 - HKLM\..\Run: [Services Host] scchost.exe
og
O4 - HKLM\..\RunServices: [Services Host] scchost.exe

ja, det fjerner problemet måske, men hvad er det og hvorfor og hvordan og hvem?? :-)

skal jeg fjerne begge to??
Og hvem vil have pointene??

Ja, undskyld hvis det forvirrer, men begge skal fixes for scchost.exe er virus.

Du skal fjerne begge to.
Point taler vi om, når din maskine er ren.*S*

Hvis du kender til startsiden HMKatalog så skal du ikke fixe denne
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page=http://localhost/HMKatalog

21:49:17
Hvad? Virus
Hvorfor? Intet antivirusprogram, eller mangelfuld opdatering.
Hvem? Det har jeg ingen anelse om.*S*

Jeg tror mangelfuld opdatering, da du jo har Panda Titanium.

Øhh, hvorfor accepterede du?
Er problemet væk, og skulle Perhaps ikke have haft points, det er ham der kører showet med Hijackthis.

thankz i to - nu skulle jeg være klar igen - og nu dukker det program ikke op længere. Takker.
Men lige et sidste spørgsmål - findes der et tilsvarende program 'msconfig' - til win2000??

øhh, nu håber jeg ikk at nogen blev sure - jeg syntes bare at i begge havde ydet en præstation og så fandt jeg først lige ud af nu at man kunne give point til begge to på en gang. :-)

moller06>>Ja, der findes et Msconfig til Win2K, jeg må bare ikke give dig linket.
Men Google er din ven.*S*
Bartfreak>>Synes du ikke du burde give de 15 point til Perhaps?

moller06>>Ja OK, men det var nu Perhaps der skulle have haft, i stedet for Bartfreak.

ej fuck - det var sku da ikke bartfreak - jeg er sku da kommet til at give forkert - shit

kan jeg gøre noget for at lave det om på nogen måde??
Er det lovligt at lave et nyt spm eller noget??

moller06>>Det kan klares ved at du laver et nyt spørgsmål kaldet point til Perhaps.
I det spørgsmål skriver du nummeret på det spørgsmål her, og så kommer du tilbage hertil og skriver nummeret på det nye spørgsmål.*S*
Hvis Bartfreak er en fairplayer, giver han dig dine point igen.

Du har haft denne virus som nu er fjernet ved hjælp af HijackThis
http://www.symantec.com/avcenter/venc/data/w32.hllw.donk.html#removalinstructions
Det at jeg spurgte om du kunne genkende din startside er fordi at noget spyware (Hijackere) lægger deres egen startside ind og når den ikke lige forekommer mig bekendt spørger jeg altid. Havde du haft jubii f.eks. havde jeg ikke spurgt.
Det med points hænger jeg mig ikke så meget i.
Godt du fik fjernet dit skidt og tak for samarbejdet fromsej.

ja ja, men er nu alligevel ved at oprette et nyt spm til dig nu - tjek om lidt.

Ja, det var nok engang et fint resultat.*S*
Selv tak for samarbejdet, det er altid en fornøjelse.
Point er nu heller ikke så vigtige for mig, det vigtige er at få udryddet skidtet, og så gør det jo ikke noget at spørger, som her, er glad for vores hjælp.

point til perhaps : http://www.eksperten.dk/spm/366972

moller06>>Vi har lige diskuteret lidt frem og tilbage, og er nået frem til at følgende også skal fixes.
O4 - HKLM\..\Run: [rundll134] C:\WINNT\SYSTEM32\RMTCFG\hidden32.exe C:\WINNT\SYSTEM32\RMTCFG\rmtcfg.exe
O4 - HKLM\..\Run: [rundll569] C:\WINNT\SYSTEM32\RMTCFG\hidden32.exe C:\WINNT\SYSTEM32\RMTCFG\setup.bat
O4 - HKLM\..\Run: [rundll777] C:\WINNT\SYSTEM32\RMTCFG\hidden32.exe C:\WINNT\SYSTEM32\RMTCFG\files\mdll.exe
O4 - HKLM\..\Run: [rundll946] C:\WINNT\SYSTEM32\RMTCFG\hidden32.exe C:\WINNT\SYSTEM32\RMTCFG\secure.bat

Vi beklager at vi overså det første gang.*S*

takker. Det var også i det bibliotek at Serv-U havde lagt sig og det bibliotek har jeg egentlig også fjernet nu. Jeg er glad for at der er nogen som har styr på hvordan det skal se ud.
Men ren nysgerrighed, hvordan kan i se at det ikke skal være der??

For det første har vi anlagt en lille database sådan for os selv, som viser de grimme ting.

For det andet har vi efterhånden kigget på så mange HijackThis logs at vi ved hvilke Urls og nøgler altid går igen og som skal være der. For mit vedkommende så har jeg flere nøgler i hovedet.

For det tredje (og det er for mit eget vedkommende)er jeg meget interesseret i privat computer-sikkerhed. Jeg læser alt alle vegne om emnet og deltager i flere fora i Europa og USA hvor jeg også aflæser HijackThis logs. Min specielle interesse er spyware. Desuden er jeg skribent på Spywarefri.dk

Nogenlunde det samme gør sig gældende for fromsej og aovergaard. Sidstnævnte er også skribent på spywarefri og underviser bl.a. i IT.