Start fil - hvor ?

Du kan jo besøge www.spywarefri.dk og hente hijackthis.
Den fjerner disse scripts.
Læg en logfil herind, men lade være med at slette noget før eksperterne har set på den......

Control panel > Administrative tools > Computer management > System tools > System Information > Software Environment > Startup Programs

Der kan du måske finde det, men pas nu på hvad du gør  :o)

Logfile of HijackThis v1.97.3
Scan saved at 14:11:57, on 10-11-2003
Platform: Windows 2000 SP4 (WinNT 5.00.2195)
MSIE: Internet Explorer v6.00 SP1 (6.00.2800.1106)

Running processes:
C:\WINNT\System32\smss.exe
C:\WINNT\system32\winlogon.exe
C:\WINNT\system32\services.exe
C:\WINNT\system32\lsass.exe
C:\WINNT\system32\svchost.exe
C:\WINNT\system32\spoolsv.exe
C:\WINNT\System32\msdtc.exe
C:\WINNT\SYSTEM32\DNTUS26.EXE
C:\WINNT\System32\svchost.exe
C:\INTERS~1\isftpd\isftpd.exe
C:\INTERS~1\ishttpd\ishttpd.exe
C:\INTERS~1\utils\scheduler.exe
C:\WINNT\System32\llssrv.exe
C:\WINNT\system32\regsvc.exe
C:\WINNT\system32\r_server.exe
C:\WINNT\system32\MSTask.exe
C:\WINNT\System32\WBEM\WinMgmt.exe
C:\WINNT\system32\svchost.exe
C:\WINNT\system32\Dfssvc.exe
C:\WINNT\System32\inetsrv\inetinfo.exe
C:\WINNT\System32\svchost.exe
C:\WINNT\Explorer.EXE
C:\WINNT\twain_32\miitwain\plugins\svchost.exe
C:\Program Files\WinZip\WZQKPICK.EXE
C:\WINNT\system32\cmd.exe
C:\Program Files\SendXMS\sendxms.exe
C:\WINNT\system32\ntvdm.exe
C:\Program Files\Common Files\System\MSSearch\Bin\mssearch.exe
C:\Program Files\Internet Explorer\IEXPLORE.EXE
C:\Apps\hijack\HijackThis.exe

O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINNT\system32\msdxm.ocx
O4 - HKLM\..\Run: [sysman] c:\WINNT\twain_32\miitwain\plugins\svchost.exe
O4 - HKLM\..\Run: [systask] c:\WINNT\twain_32\miitwain\plugins\secure.bat
O4 - Global Startup: Service Manager.lnk = C:\Program Files\Microsoft SQL Server\80\Tools\Binn\sqlmangr.exe
O9 - Extra button: Related (HKLM)
O9 - Extra 'Tools' menuitem: Show &Related Links (HKLM)
O16 - DPF: {9A9307A0-7DA4-4DAF-B042-5009F29E09E1} (ActiveScan Installer Class) - http://www.pandasoftware.com/activescan/as5/asinst.cab
O16 - DPF: {9F1C11AA-197B-4942-BA54-47A8489BB47F} (Update Class) - http://v4.windowsupdate.microsoft.com/CAB/x86/unicode/iuctl.CAB?37881.3245833333
O17 - HKLM\System\CCS\Services\Tcpip\..\{1AD9BBD1-93F8-49A0-8860-15274A2A6A5E}: NameServer = 212.54.64.170,212.54.64.171
O17 - HKLM\System\CS1\Services\Tcpip\..\{1AD9BBD1-93F8-49A0-8860-15274A2A6A5E}: NameServer = 212.54.64.170,212.54.64.171
O17 - HKLM\System\CS2\Services\Tcpip\..\{1AD9BBD1-93F8-49A0-8860-15274A2A6A5E}: NameServer = 212.54.64.170,212.54.64.171

tryk på startmenuen > vælg kør > og skriv: msconfig
Desuden prøv at se på hvilkene system service der køre på systemet.
højereclick på denne computer og vælg administere og find tjenester.

GL med det :)

svende: - den kan ikke finde filen !

idanielsen: der står en fil der hedder internat.exe

det lyder da ikke rigtig - de andre er noegt systemtask og lign som jo skal være der.

Desuden tror jeg ikke man kan msconfig på en Windows 2000 server.

log filen ser fin ud (håber arlet giver mig ret)

Har lige set den, løber den lige hurtug igennem

Har du installeret DameWare remote control client
C:\WINNT\SYSTEM32\DNTUS26.EXE

måske hedder den Mini Remote eller NT Utilities Client Agent Service???
----------------------------------------------------
kender du disse programmer:

C:\INTERS~1\isftpd\isftpd.exe
C:\INTERS~1\ishttpd\ishttpd.exe
C:\INTERS~1\utils\scheduler.exe
C:\WINNT\twain_32\miitwain\plugins\svchost.exe
---------------------------------------
kender du disse, der starter op sammen med windows:

O4 - HKLM\..\Run: [sysman] c:\WINNT\twain_32\miitwain\plugins\svchost.exe
O4 - HKLM\..\Run: [systask] c:\WINNT\twain_32\miitwain\plugins\secure.bat

Du skal være sikker på at du kender alle sammen, vend tilbage med svar

C:\WINNT\twain_32\miitwain\plugins\svchost.exe

Den der er farlig - har lige fundet ud af der ligger 8,4 GB shit på min disk.
Nogle tyske hackere har lagt sig ind via et FTP program og har hygget sig.

Kender nemlig ikke noget til servere, men alt det andet i loggen er i orden, kender bare ikke det jeg beskrev ovenover..

Kender du alle de andre??

Kan det være Radmin ?
C:\WINNT\SYSTEM32\DNTUS26.EXE

Dem kender jeg:
C:\INTERS~1\isftpd\isftpd.exe
C:\INTERS~1\ishttpd\ishttpd.exe

Disse er nu slettet:
O4 - HKLM\..\Run: [sysman] c:\WINNT\twain_32\miitwain\plugins\svchost.exe
O4 - HKLM\..\Run: [systask] c:\WINNT\twain_32\miitwain\plugins\secure.bat
C:\INTERS~1\utils\scheduler.exe

Hov den der er ikke slettet - fejl !

C:\INTERS~1\utils\scheduler.exe

prøv lige at genstarte og smid en ny log herind

Logfile of HijackThis v1.97.3
Scan saved at 16:15:15, on 10-11-2003
Platform: Windows 2000 SP4 (WinNT 5.00.2195)
MSIE: Internet Explorer v6.00 SP1 (6.00.2800.1106)

Running processes:
C:\WINNT\System32\smss.exe
C:\WINNT\system32\winlogon.exe
C:\WINNT\system32\services.exe
C:\WINNT\system32\lsass.exe
C:\WINNT\system32\svchost.exe
C:\WINNT\system32\spoolsv.exe
C:\WINNT\System32\msdtc.exe
C:\WINNT\SYSTEM32\DNTUS26.EXE
C:\WINNT\System32\svchost.exe
C:\INTERS~1\isftpd\isftpd.exe
C:\INTERS~1\ishttpd\ishttpd.exe
C:\INTERS~1\utils\scheduler.exe
C:\INTERS~1\issmtpd\issmtpd.exe
C:\WINNT\System32\llssrv.exe
C:\WINNT\system32\regsvc.exe
C:\WINNT\system32\r_server.exe
C:\WINNT\system32\MSTask.exe
C:\WINNT\System32\WBEM\WinMgmt.exe
C:\WINNT\system32\svchost.exe
C:\WINNT\system32\Dfssvc.exe
C:\WINNT\System32\inetsrv\inetinfo.exe
C:\Program Files\Common Files\System\MSSearch\Bin\mssearch.exe
C:\WINNT\System32\svchost.exe
C:\WINNT\Explorer.EXE
C:\WINNT\StartupMonitor.exe
C:\Program Files\Microsoft SQL Server\80\Tools\Binn\sqlmangr.exe
C:\WINNT\system32\taskmgr.exe
C:\WINNT\system32\mmc.exe
C:\Apps\hijack\HijackThis.exe

O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINNT\system32\msdxm.ocx
O4 - HKLM\..\Run: [Run StartupMonitor] StartupMonitor.exe
O4 - Global Startup: Service Manager.lnk = C:\Program Files\Microsoft SQL Server\80\Tools\Binn\sqlmangr.exe
O9 - Extra button: Related (HKLM)
O9 - Extra 'Tools' menuitem: Show &Related Links (HKLM)
O16 - DPF: {9A9307A0-7DA4-4DAF-B042-5009F29E09E1} (ActiveScan Installer Class) - http://www.pandasoftware.com/activescan/as5/asinst.cab
O16 - DPF: {9F1C11AA-197B-4942-BA54-47A8489BB47F} (Update Class) - http://v4.windowsupdate.microsoft.com/CAB/x86/unicode/iuctl.CAB?37881.3245833333
O17 - HKLM\System\CCS\Services\Tcpip\..\{1AD9BBD1-93F8-49A0-8860-15274A2A6A5E}: NameServer = 212.54.64.170,212.54.64.171
O17 - HKLM\System\CS1\Services\Tcpip\..\{1AD9BBD1-93F8-49A0-8860-15274A2A6A5E}: NameServer = 212.54.64.170,212.54.64.171
O17 - HKLM\System\CS2\Services\Tcpip\..\{1AD9BBD1-93F8-49A0-8860-15274A2A6A5E}: NameServer = 212.54.64.170,212.54.64.171

C:\WINNT\SYSTEM32\DNTUS26.EXE

Er dameware.com - hvordan får jeg den væk
det er ikke noget jeg har installeret !

du skal starte op i fejlsikret og finde filen og slette den, den lugter langt væk af trojaner...

Jeg har været inde i Services og stoppe den.

Har sat den til manuel fremover - så jeg brude kunne slette den efter genstart!.

ja, hvis du ikke kan, kan du bruge dette lille program, til at slette den med http://www.spywarefri.dk/tipsogtricks.htm#dr.delete

Logfile of HijackThis v1.97.3
Scan saved at 16:24:23, on 10-11-2003
Platform: Windows 2000 SP4 (WinNT 5.00.2195)
MSIE: Internet Explorer v6.00 SP1 (6.00.2800.1106)

Running processes:
C:\WINNT\System32\smss.exe
C:\WINNT\system32\winlogon.exe
C:\WINNT\system32\services.exe
C:\WINNT\system32\lsass.exe
C:\WINNT\system32\svchost.exe
C:\WINNT\system32\spoolsv.exe
C:\WINNT\System32\msdtc.exe
C:\WINNT\System32\svchost.exe
C:\INTERS~1\isftpd\isftpd.exe
C:\INTERS~1\ishttpd\ishttpd.exe
C:\INTERS~1\utils\scheduler.exe
C:\INTERS~1\issmtpd\issmtpd.exe
C:\WINNT\System32\llssrv.exe
C:\WINNT\system32\regsvc.exe
C:\WINNT\system32\r_server.exe
C:\WINNT\system32\MSTask.exe
C:\WINNT\System32\WBEM\WinMgmt.exe
C:\WINNT\system32\svchost.exe
C:\WINNT\system32\Dfssvc.exe
C:\WINNT\System32\inetsrv\inetinfo.exe
C:\Program Files\Common Files\System\MSSearch\Bin\mssearch.exe
C:\WINNT\System32\svchost.exe
C:\WINNT\Explorer.EXE
C:\WINNT\StartupMonitor.exe
C:\Program Files\Microsoft SQL Server\80\Tools\Binn\sqlmangr.exe
C:\Apps\hijack\HijackThis.exe

O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINNT\system32\msdxm.ocx
O4 - HKLM\..\Run: [Run StartupMonitor] StartupMonitor.exe
O4 - Global Startup: Service Manager.lnk = C:\Program Files\Microsoft SQL Server\80\Tools\Binn\sqlmangr.exe
O9 - Extra button: Related (HKLM)
O9 - Extra 'Tools' menuitem: Show &Related Links (HKLM)
O16 - DPF: {9A9307A0-7DA4-4DAF-B042-5009F29E09E1} (ActiveScan Installer Class) - http://www.pandasoftware.com/activescan/as5/asinst.cab
O16 - DPF: {9F1C11AA-197B-4942-BA54-47A8489BB47F} (Update Class) - http://v4.windowsupdate.microsoft.com/CAB/x86/unicode/iuctl.CAB?37881.3245833333
O17 - HKLM\System\CCS\Services\Tcpip\..\{1AD9BBD1-93F8-49A0-8860-15274A2A6A5E}: NameServer = 212.54.64.170,212.54.64.171
O17 - HKLM\System\CS1\Services\Tcpip\..\{1AD9BBD1-93F8-49A0-8860-15274A2A6A5E}: NameServer = 212.54.64.170,212.54.64.171
O17 - HKLM\System\CS2\Services\Tcpip\..\{1AD9BBD1-93F8-49A0-8860-15274A2A6A5E}: NameServer = 212.54.64.170,212.54.64.171

Hvis du godkender:
C:\INTERS~1\utils\scheduler.exe
C:\INTERS~1\isftpd\isftpd.exe
C:\INTERS~1\ishttpd\ishttpd.exe

Så er du ren nu...

jeps - takker !

Takker for point*S*