thko.com problemer

Gå ind her og hent Spybot og Hijackthis.
http://www.spywarefri.dk/vaerktoj.htm
Installer og kør Spybot, opdater online, scan, afhjælp valgte problemer, genstart.
Derefter kører du Hijackthis, scan, save log og kopier logfilen herind, så kigger vi på den.
Fjern ikke noget med Hijackthis først, lad os se den igennem for dig.

Lyder som noget snavs ;-) Gå til www.spywarefri.dk & hent værktøjer til at finde/fjerne spy-/ad- & malware, HUSK at slå systemgendannelse fra når du sletter noget.
Når alt er fjernet så henter & kører du HiJackThis & smider en logfil ind i forummet, så er jeg sikker på at Spywareteamet vil hjælpe dig.

OK Fromsej kom først ;-) Nu er du i gode hænder !

Hej igen
Jeg har ikke rigtig tid til at lave det nu. jeg kører kun med modem men jeg skal nok give point når jeg har repareret det.
Tak til begge
Lauka

Kan et godt antivirusprogram ikke fjerne det.
Jeg har E trust antivirus

Nej det kan et antiviruspgr. ikke gøre. Du er blevet hijacked, det vil sige der er en udefra kommende hændelse som har overtaget din browser så derfor skal du gøre som fromsej siger. Download Spybot, opdater programmet, fjern alt det snavs Spybot finder. Hent Hijackthis. Kør en scanning med det, save log. Kopier denne log herind og så kigger vi på den.

Hej igen
Her er hele logfilen

Logfile of HijackThis v1.96.1
Scan saved at 12:04:21, on 23-08-2003
Platform: Windows XP  (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 (6.00.2600.0000)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\Explorer.EXE
C:\WINDOWS\system32\spoolsv.exe
C:\WINDOWS\System32\nvsvc32.exe
C:\WINDOWS\system32\pctspk.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\System32\VetMsgNT.exe
C:\PROGRA~1\Logitech\MOUSEW~1\SYSTEM\EM_EXEC.EXE
C:\PROGRA~1\COMPUT~1\ETRUST~1\ETRUST~1\VetTray.exe
C:\DOCUME~1\Lauge\APPLIC~1\xsfrmble.exe
C:\Programmer\Elaborate Bytes\CloneCD\CloneCDTray.exe
C:\WINDOWS\System32\ctfmon.exe
C:\Programmer\Messenger\msmsgs.exe
C:\DOCUME~1\Lauge\LOKALE~1\Temp\Xcp1.exe
C:\Programmer\Hewlett-Packard\Digital Imaging\bin\hpohmr08.exe
C:\Programmer\Hewlett-Packard\Digital Imaging\bin\hpotdd01.exe
C:\WINDOWS\System32\rundll32.exe
C:\Programmer\Fælles filer\Microsoft Shared\Works Shared\wkcalrem.exe
C:\Programmer\WinZip\WZQKPICK.EXE
C:\Programmer\Hewlett-Packard\Digital Imaging\bin\hpoevm08.exe
C:\Programmer\Hewlett-Packard\Digital Imaging\Bin\hpoSTS08.exe
C:\Programmer\Outlook Express\msimn.exe
C:\Programmer\Spybot - Search & Destroy\SpybotSD.exe
C:\Programmer\Internet Explorer\iexplore.exe
C:\Documents and Settings\Lauge\Dokumenter\HijackThis.exe

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Bar = http://P31635.thko.com/searchbar.html
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = a9125.thko.com
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Bar = http://P31635.thko.com/searchbar.html
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Hyperlinks
O2 - BHO: (no name) - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Programmer\Adobe\Acrobat 5.0\Reader\ActiveX\AcroIEHelper.ocx
O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINDOWS\System32\msdxm.ocx
O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\System32\NvCpl.dll,NvStartup
O4 - HKLM\..\Run: [nwiz] nwiz.exe /install
O4 - HKLM\..\Run: [EM_EXEC] C:\PROGRA~1\Logitech\MOUSEW~1\SYSTEM\EM_EXEC.EXE
O4 - HKLM\..\Run: [SAITEKAUTOCONFIGURE] C:\Programmer\Saitek\ST\Drv\saicnfig.exe /autorun
O4 - HKLM\..\Run: [VetTray] C:\PROGRA~1\COMPUT~1\ETRUST~1\ETRUST~1\VetTray.exe
O4 - HKLM\..\Run: [eafvck] C:\DOCUME~1\Lauge\APPLIC~1\xsfrmble.exe -QuieT
O4 - HKLM\..\Run: [CloneCDTray] C:\Programmer\Elaborate Bytes\CloneCD\CloneCDTray.exe
O4 - HKLM\..\Run: [ElbyCheckElbyCDFL] "C:\Programmer\Elaborate Bytes\CloneCD\ElbyCheck.exe" /L ElbyCDFL
O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\ctfmon.exe
O4 - HKCU\..\Run: [MSMSGS] "C:\Programmer\Messenger\msmsgs.exe" /background
O4 - HKCU\..\Run: [NVIEW] rundll32.exe nview.dll,nViewLoadHook
O4 - Startup: Hurtig søgning - indeksering.lnk = C:\MSOffice\Office\FINDFAST.EXE
O4 - Startup: Microsoft Office Hurtig start.lnk = C:\MSOffice\Office\FASTBOOT.EXE
O4 - Global Startup: hp psc 1000 series.lnk = ?
O4 - Global Startup: hpoddt01.exe.lnk = ?
O4 - Global Startup: Microsoft Office.lnk = C:\Programmer\Microsoft Office\Office\OSA9.EXE
O4 - Global Startup: Microsoft Works Calendar Reminders.lnk = ?
O4 - Global Startup: WinZip Quick Pick.lnk = C:\Programmer\WinZip\WZQKPICK.EXE
O9 - Extra button: Related (HKLM)
O9 - Extra 'Tools' menuitem: Show &Related Links (HKLM)
O16 - DPF: {1A8790BD-AEBD-11BD-A2BD-00620BD00024} (Ringkj›bing Landbobanks Netbank) - https://www.landbobanken.dk/slandbobankibp2000ib100.cab
O16 - DPF: {A1DC3241-B122-195F-B21A-000000000000} - http://www.vollsuche.de/download/free-MP3.exe
O16 - DPF: {D27CDB6E-AE6D-11CF-96B8-444553540000} (Shockwave Flash Object) - http://download.macromedia.com/pub/shockwave/cabs/flash/swflash.cab
O17 - HKLM\System\CCS\Services\Tcpip\Parameters: Domain = n18287.thko.com
O17 - HKLM\Software\..\Telephony: DomainName = n18287.thko.com
O17 - HKLM\System\CCS\Services\Tcpip\..\{F1504E2C-8E45-4433-8E19-6E0077A7DF1C}: NameServer = 212.54.64.170 212.54.64.171
O17 - HKLM\System\CS1\Services\Tcpip\Parameters: Domain = n18287.thko.com
O17 - HKLM\System\CS2\Services\Tcpip\Parameters: Domain = n18287.thko.com

til fromsej
er det hos spywarefri.dk min logfile skal lægges ind

du skal slette
C:\DOCUME~1\Lauge\LOKALE~1\Temp\Xcp1.exe  (virus eller hacker program)
kan du ikke slette det skal du åbne jobliste og temanate den fra prodsesses fanebladet.

nedenstående er det din browser heletiden logger hen på, disse skal slettes i Hijackthis programmet. Marker filerne og tryk på fix this

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Bar = http://P31635.thko.com/searchbar.html
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = a9125.thko.com
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Bar = http://P31635.thko.com/searchbar.html

O17 - HKLM\System\CCS\Services\Tcpip\Parameters: Domain = n18287.thko.com
O17 - HKLM\Software\..\Telephony: DomainName = n18287.thko.com
O17 - HKLM\System\CS1\Services\Tcpip\Parameters: Domain = n18287.thko.com
O17 - HKLM\System\CS2\Services\Tcpip\Parameters: Domain = n18287.thko.com

Nej, det er fint her, du får et resultat inden ret længe.
Mine folk er på sagen.*S*

fromsej .. enig og der kom det *GGG* :p

Vent lige lidt for der er mere. Kommer om et øjeblik men vent

Du har brug for noget information før du skal fixe. Du skal allerførst slå systemgendannelse fra for ikke at få virus igen når du genstarter. Så skal du markere alle de filer som du har fået af levithan plus den du nu får af mig. Når du har markeret dem, skal du lukke alle vinduer ned, og kun have det vindue med Hijackthis fremme. Klik så på fix chekede.

O4 - HKLM\..\Run: [eafvck] C:\DOCUME~1\Lauge\APPLIC~1\xsfrmble.exe –QuieT

Derefter skal du genstarte din computer i FEJLSIKRET tilstand.
Find og slet disse to
C:\DOCUME~1\Lauge\LOKALE~1\Temp\Xcp1.exe
C:\DOCUME~1\Lauge\APPLIC~1\xsfrmble.exe

Genstart atter din computer, og lig en ny log herind så vi kan kontrollere om du er clean.

Levithan>>Det er fint nok du hjælper til, men det hele skal med første gang, og det er lige så vigtigt at komme med vejledningen om hvordan man gør.
De to du ikke fandt er faktisk temmelig slemme, det er dem der er skyld i det meste af snavset, men OK alle skal jo starte et sted, og os fra Spywarefri har jo efterhånden temmelig stor rutine i at klare den slags ting.

hej det er lauka igen
her er min seneste logfile

Logfile of HijackThis v1.96.1
Scan saved at 13:31:59, on 23-08-2003
Platform: Windows XP  (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 (6.00.2600.0000)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\Explorer.EXE
C:\WINDOWS\system32\spoolsv.exe
C:\WINDOWS\System32\nvsvc32.exe
C:\WINDOWS\system32\pctspk.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\System32\VetMsgNT.exe
C:\PROGRA~1\Logitech\MOUSEW~1\SYSTEM\EM_EXEC.EXE
C:\PROGRA~1\COMPUT~1\ETRUST~1\ETRUST~1\VetTray.exe
C:\Programmer\Elaborate Bytes\CloneCD\CloneCDTray.exe
C:\WINDOWS\System32\ctfmon.exe
C:\Programmer\Messenger\msmsgs.exe
C:\Programmer\Hewlett-Packard\Digital Imaging\bin\hpohmr08.exe
C:\Programmer\Hewlett-Packard\Digital Imaging\bin\hpotdd01.exe
C:\Programmer\Fælles filer\Microsoft Shared\Works Shared\wkcalrem.exe
C:\Programmer\WinZip\WZQKPICK.EXE
C:\WINDOWS\System32\rundll32.exe
C:\Programmer\Hewlett-Packard\Digital Imaging\bin\hpoevm08.exe
C:\Programmer\Hewlett-Packard\Digital Imaging\Bin\hpoSTS08.exe
C:\Documents and Settings\Lauge\Dokumenter\HijackThis.exe

O2 - BHO: (no name) - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Programmer\Adobe\Acrobat 5.0\Reader\ActiveX\AcroIEHelper.ocx
O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINDOWS\System32\msdxm.ocx
O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\System32\NvCpl.dll,NvStartup
O4 - HKLM\..\Run: [nwiz] nwiz.exe /install
O4 - HKLM\..\Run: [EM_EXEC] C:\PROGRA~1\Logitech\MOUSEW~1\SYSTEM\EM_EXEC.EXE
O4 - HKLM\..\Run: [SAITEKAUTOCONFIGURE] C:\Programmer\Saitek\ST\Drv\saicnfig.exe /autorun
O4 - HKLM\..\Run: [VetTray] C:\PROGRA~1\COMPUT~1\ETRUST~1\ETRUST~1\VetTray.exe
O4 - HKLM\..\Run: [CloneCDTray] C:\Programmer\Elaborate Bytes\CloneCD\CloneCDTray.exe
O4 - HKLM\..\Run: [ElbyCheckElbyCDFL] "C:\Programmer\Elaborate Bytes\CloneCD\ElbyCheck.exe" /L ElbyCDFL
O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\ctfmon.exe
O4 - HKCU\..\Run: [MSMSGS] "C:\Programmer\Messenger\msmsgs.exe" /background
O4 - HKCU\..\Run: [NVIEW] rundll32.exe nview.dll,nViewLoadHook
O4 - Startup: Hurtig søgning - indeksering.lnk = C:\MSOffice\Office\FINDFAST.EXE
O4 - Startup: Microsoft Office Hurtig start.lnk = C:\MSOffice\Office\FASTBOOT.EXE
O4 - Global Startup: hp psc 1000 series.lnk = ?
O4 - Global Startup: hpoddt01.exe.lnk = ?
O4 - Global Startup: Microsoft Office.lnk = C:\Programmer\Microsoft Office\Office\OSA9.EXE
O4 - Global Startup: Microsoft Works Calendar Reminders.lnk = ?
O4 - Global Startup: WinZip Quick Pick.lnk = C:\Programmer\WinZip\WZQKPICK.EXE
O9 - Extra button: Related (HKLM)
O9 - Extra 'Tools' menuitem: Show &Related Links (HKLM)
O16 - DPF: {1A8790BD-AEBD-11BD-A2BD-00620BD00024} (Ringkj›bing Landbobanks Netbank) - https://www.landbobanken.dk/slandbobankibp2000ib100.cab
O16 - DPF: {D27CDB6E-AE6D-11CF-96B8-444553540000} (Shockwave Flash Object) - http://download.macromedia.com/pub/shockwave/cabs/flash/swflash.cab

Så er du clean. Tillykke med det.

aovergaard/TeamSpywarefri

er fromsej enig??

Hvordan undgår man den slags i fremtiden???
Arbejder i sammen??

Ja, det er jeg 100%
Vi arbejder sammen omkring de logfiler hver dag, så det den ene kommer med er opnået i et enigt panel, jeg har dog ikke deltaget så meget i den her log, så points må tilfalde Aovergaard, flest, og lidt til Levithan for forsøget.
Mvh:
Fromsej/Team Spywarefri.

Mange tak skal I have
Det er en fornøjelse at der er nogen der ved hvad de har med at gøre
Med venlig hilsen Lauka

Velbekomme og tak for point.*S*
Nu skal vi lige have garderet dig mod lignende problemer i fremtiden.
Gå ind her: http://www.spywarefri.dk/vaerktoj.htm
Hent Spywareblaster, Spywareguard, IE-Spyad og evt. Empty Temp Folders.
Installer programmerne, så er du 99% garderet, huk at opdatere dem med jævne mellemrum.

Takker for point:)

Aovergaard/TeamSpywarefri