Avatar billede micca Nybegynder
17. april 2004 - 00:16 Der er 23 kommentarer og
2 løsninger

Ren log

Hej,

Kunne nogen se om denne log er ren???

MVH

Michael

Logfile of HijackThis v1.97.7
Scan saved at 00:11:30, on 17-04-2004
Platform: Windows XP SP1 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP1 (6.00.2800.1106)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\Explorer.EXE
C:\WINDOWS\system32\spoolsv.exe
C:\WINDOWS\System32\carpserv.exe
C:\Programmer\Apoint2K\Apoint.exe
C:\PROGRA~1\LAUNCH~1\QtaET2S.EXE
C:\Programmer\Fælles filer\Real\Update_OB\realsched.exe
C:\Programmer\QuickTime\qttask.exe
C:\Programmer\Winamp\winampa.exe
C:\WINDOWS\System32\ctfmon.exe
C:\Programmer\Messenger\msmsgs.exe
C:\Programmer\McAfee\McAfee Shared Components\Instant Updater\RuLaunch.exe
C:\Programmer\Apoint2K\Apntex.exe
C:\Programmer\WinZip\WZQKPICK.EXE
C:\Programmer\McAfee\McAfee VirusScan\Avsynmgr.exe
C:\Programmer\Fælles filer\Microsoft Shared\VS7Debug\mdm.exe
C:\Programmer\McAfee\McAfee VirusScan\VsStat.exe
C:\Programmer\McAfee\McAfee VirusScan\Vshwin32.exe
C:\Programmer\Fælles filer\Network Associates\McShield\Mcshield.exe
C:\Programmer\McAfee\McAfee VirusScan\Avconsol.exe
C:\WINDOWS\System32\wuauclt.exe
E:\Programmer\Spyware Programmer\HijackThis.exe

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Bar = http://find.tdconline.dk/msie_google.php
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = http://www.opasia.dk/msie_search.html
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://mail.tdconline.dk/
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://tdconline.dk
R0 - HKLM\Software\Microsoft\Internet Explorer\Search,SearchAssistant = http://www.opasia.dk/msie_search.html
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Hyperlinks
O2 - BHO: (no name) - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Programmer\Adobe\Acrobat 5.0\Reader\ActiveX\AcroIEHelper.ocx
O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINDOWS\System32\msdxm.ocx
O3 - Toolbar: McAfee VirusScan - {ACB1E670-3217-45C4-A021-6B829A8A27CB} - C:\Programmer\McAfee\McAfee VirusScan\VSCShellExtension.dll
O4 - HKLM\..\Run: [CARPService] carpserv.exe
O4 - HKLM\..\Run: [Apoint] C:\Programmer\Apoint2K\Apoint.exe
O4 - HKLM\..\Run: [LManager] C:\PROGRA~1\LAUNCH~1\QtaET2S.EXE
O4 - HKLM\..\Run: [TkBellExe] "C:\Programmer\Fælles filer\Real\Update_OB\realsched.exe" -osboot
O4 - HKLM\..\Run: [QuickTime Task] "C:\Programmer\QuickTime\qttask.exe" -atboottime
O4 - HKLM\..\Run: [Configuration Loader] explore.exe
O4 - HKLM\..\Run: [WinampAgent] C:\Programmer\Winamp\winampa.exe
O4 - HKLM\..\Run: [NeroFilterCheck] C:\WINDOWS\system32\NeroCheck.exe
O4 - HKLM\..\RunServices: [Configuration Loader] explore.exe
O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\ctfmon.exe
O4 - HKCU\..\Run: [MSMSGS] "C:\Programmer\Messenger\msmsgs.exe" /background
O4 - HKCU\..\Run: [McAfee.InstantUpdate.Monitor] "C:\Programmer\McAfee\McAfee Shared Components\Instant Updater\RuLaunch.exe" /STARTMONITOR
O4 - HKLM\..\RunOnce: [SpyBotSnD] "C:\Programmer\Spybot - Search & Destroy\SpybotSD.exe" /autocheck
O4 - Global Startup: WinZip Quick Pick.lnk = C:\Programmer\WinZip\WZQKPICK.EXE
O4 - Global Startup: Microsoft Office.lnk = C:\Programmer\Microsoft Office\Office10\OSA.EXE
O6 - HKCU\Software\Policies\Microsoft\Internet Explorer\Restrictions present
O6 - HKCU\Software\Policies\Microsoft\Internet Explorer\Control Panel present
O8 - Extra context menu item: E&xport to Microsoft Excel - res://C:\PROGRA~1\MICROS~2\Office10\EXCEL.EXE/3000
O9 - Extra button: Related (HKLM)
O9 - Extra 'Tools' menuitem: Show &Related Links (HKLM)
O14 - IERESET.INF: START_PAGE_URL=http://tdconline.dk
O16 - DPF: {D27CDB6E-AE6D-11CF-96B8-444553540000} (Shockwave Flash Object) - http://download.macromedia.com/pub/shockwave/cabs/flash/swflash.cab
Avatar billede thesurfer Nybegynder
17. april 2004 - 00:20 #1
Nej, den er ikke ren :-)
Du har en agobot/gaobot virus..

Start med:
- Deaktiver DCOM-tjenesten, via programmet DCOMbobulator: http://www.grc.com/dcom

Skriv når du har gjort det..
Avatar billede thesurfer Nybegynder
17. april 2004 - 00:21 #2
Det ville nok være en god ide, at oprette en mappe specielt til HijackThis..
Når man fixer med HijackThis, oprettes en backup fil, for hver linie man fixer..
Avatar billede johnstigers Seniormester
17. april 2004 - 00:22 #3
det er den ikke, du har graybird.g virus
Avatar billede thesurfer Nybegynder
17. april 2004 - 00:22 #4
john_stigers> Hvor kan du se "graybird.g" henne?
Avatar billede fromsej Praktikant
17. april 2004 - 00:23 #5
Flyt først filen Hijackthis til en mappe oprettet kun til den.

Deaktiver systemgendannelse:
http://www.spywarefri.dk/virusscannere.htm#alle

Kør Hijackthis, scan, sæt flueben ved linierne listet her, luk alle vinduer undtaget Hijackthis, klik på fix checked, genstart i fejlsikret(Tryk <F8> under opstart) og slet filen listet nederst.
Dobbelttjek, så alt kommer med.

O4 - HKLM\..\Run: [QuickTime Task] "C:\Programmer\QuickTime\qttask.exe" -atboottime
O4 - HKLM\..\Run: [Configuration Loader] explore.exe
O4 - HKLM\..\RunServices: [Configuration Loader] explore.exe

---------------------------------------
Har du selv lavet restriktioner på din Internet Explorer f.eks. med spybot?
Ellers skal de her fixes.
O6 - HKCU\Software\Policies\Microsoft\Internet Explorer\Restrictions present
O6 - HKCU\Software\Policies\Microsoft\Internet Explorer\Control Panel present

---------------------------------------
Åbn en mappe, klik på Funktioner=>Mappeindstillinger=>Vis.
Fjern flueben ved "Skjul beskyttede operativsystemfiler".
Fjern flueben ved "Skjul filtypenavne for kendte filtyper".
Sæt prik i "Vis skjulte filer og mapper".
Brug af Start->Søg:
Klik på "Alle filer og mapper".
Klik på "Flere avancerede indstillinger".
Sæt flueben i de tre øverste.
---------------------------------------
Slettes i fejlsikret.
explore.exe >>Brug start->Søg, VIGTIGT det er explorE.exe ikke exploreR.exe
---------------------------------------

Genstart og kom med en ny logfil, så jeg kan se om alt er med.
Avatar billede johnstigers Seniormester
17. april 2004 - 00:23 #6
O4 - HKLM\..\Run: [Configuration Loader] explore.exe
O4 - HKLM\..\RunServices: [Configuration Loader] explore.exe
Avatar billede johnstigers Seniormester
17. april 2004 - 00:23 #7
de 2 linier indikerer graybird.g
Avatar billede thesurfer Nybegynder
17. april 2004 - 00:40 #9
"[Configuration Loader]" er normalt kendetegnet Agobot/Gaobot/*bot ..
Avatar billede thesurfer Nybegynder
17. april 2004 - 00:42 #10
På dit link står der:

When Backdoor.Graybird.G runs, it performs the following actions:

  1. Copies itself as %System%\Explore.exe. The file attributes are set to Hidden and System.

      Note: %System% is a variable. The Trojan locates the System folder and copies itself to that location. By default, this is C:\Windows\System (Windows 95/98/Me), C:\Winnt\System32 (Windows NT/2000), or C:\Windows\System32 (Windows XP).
  2. Creates the value:

      "explore.exe"="%System%\Explore.exe"


      in the registry keys:
          * HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
          * HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\
            RunServices
          * HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run

            so that the Trojan runs when you start Windows.

  3. If the operating system is Windows 95/98/Me, the Trojan adds the line:

      run=%System%\explore.exe

      to the [windows] section of the Win.ini file, so that the Trojan runs when you start Windows.


Men der står ikke noget om "[Configuration Loader]"..
Avatar billede micca Nybegynder
17. april 2004 - 09:18 #11
Shit! Godt det er min kammerats pc :-/

kan ikke lige komme til det nu, men tak for svar instil nu :-)

Michael...
Avatar billede micca Nybegynder
17. april 2004 - 17:09 #12
Dcom deaktiveret!
Avatar billede thesurfer Nybegynder
17. april 2004 - 17:24 #13
Følg instruktionerne i fromsejs indlæg: 17/04-2004 00:23:21
Avatar billede micca Nybegynder
17. april 2004 - 17:29 #14
ok, tak!
Avatar billede micca Nybegynder
17. april 2004 - 18:08 #15
der er ikke nogen filer ved navn explore.exe  MEN der er nogle stykker ved navn iexplore.exe og noget andet som vist ikke er filer men de hedder iexplore
Avatar billede thesurfer Nybegynder
17. april 2004 - 18:10 #16
OK. Genstart og ny log.
Avatar billede micca Nybegynder
17. april 2004 - 18:12 #17
kommer her

Logfile of HijackThis v1.97.7
Scan saved at 18:12:03, on 17-04-2004
Platform: Windows XP SP1 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP1 (6.00.2800.1106)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\Explorer.EXE
C:\WINDOWS\system32\spoolsv.exe
C:\WINDOWS\System32\carpserv.exe
C:\Programmer\Apoint2K\Apoint.exe
C:\PROGRA~1\LAUNCH~1\QtaET2S.EXE
C:\Programmer\Fælles filer\Real\Update_OB\realsched.exe
C:\Programmer\Winamp\winampa.exe
C:\WINDOWS\System32\ctfmon.exe
C:\Programmer\Messenger\msmsgs.exe
C:\Programmer\McAfee\McAfee Shared Components\Instant Updater\RuLaunch.exe
C:\Programmer\Apoint2K\Apntex.exe
C:\Programmer\WinZip\WZQKPICK.EXE
C:\Programmer\McAfee\McAfee VirusScan\Avsynmgr.exe
C:\Programmer\Fælles filer\Microsoft Shared\VS7Debug\mdm.exe
C:\Programmer\SpywareGuard\sgbhp.exe
C:\Programmer\McAfee\McAfee VirusScan\VsStat.exe
C:\Programmer\McAfee\McAfee VirusScan\Vshwin32.exe
C:\Programmer\Fælles filer\Network Associates\McShield\Mcshield.exe
C:\Programmer\McAfee\McAfee VirusScan\Avconsol.exe
C:\Documents and Settings\Jesper\Skrivebord\Spyware\HijackThis\HijackThis.exe

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Bar = http://find.tdconline.dk/msie_google.php
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = http://www.opasia.dk/msie_search.html
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://mail.tdconline.dk/
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://tdconline.dk
R0 - HKLM\Software\Microsoft\Internet Explorer\Search,SearchAssistant = http://www.opasia.dk/msie_search.html
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Hyperlinks
O2 - BHO: (no name) - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Programmer\Adobe\Acrobat 5.0\Reader\ActiveX\AcroIEHelper.ocx
O2 - BHO: SpywareGuard Download Protection - {4A368E80-174F-4872-96B5-0B27DDD11DB2} - C:\Programmer\SpywareGuard\dlprotect.dll
O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINDOWS\System32\msdxm.ocx
O3 - Toolbar: McAfee VirusScan - {ACB1E670-3217-45C4-A021-6B829A8A27CB} - C:\Programmer\McAfee\McAfee VirusScan\VSCShellExtension.dll
O4 - HKLM\..\Run: [CARPService] carpserv.exe
O4 - HKLM\..\Run: [Apoint] C:\Programmer\Apoint2K\Apoint.exe
O4 - HKLM\..\Run: [LManager] C:\PROGRA~1\LAUNCH~1\QtaET2S.EXE
O4 - HKLM\..\Run: [TkBellExe] "C:\Programmer\Fælles filer\Real\Update_OB\realsched.exe" -osboot
O4 - HKLM\..\Run: [WinampAgent] C:\Programmer\Winamp\winampa.exe
O4 - HKLM\..\Run: [NeroFilterCheck] C:\WINDOWS\system32\NeroCheck.exe
O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\ctfmon.exe
O4 - HKCU\..\Run: [MSMSGS] "C:\Programmer\Messenger\msmsgs.exe" /background
O4 - HKCU\..\Run: [McAfee.InstantUpdate.Monitor] "C:\Programmer\McAfee\McAfee Shared Components\Instant Updater\RuLaunch.exe" /STARTMONITOR
O4 - Startup: SpywareGuard.lnk = C:\Programmer\SpywareGuard\sgmain.exe
O4 - Global Startup: WinZip Quick Pick.lnk = C:\Programmer\WinZip\WZQKPICK.EXE
O4 - Global Startup: Microsoft Office.lnk = C:\Programmer\Microsoft Office\Office10\OSA.EXE
O8 - Extra context menu item: E&xport to Microsoft Excel - res://C:\PROGRA~1\MICROS~2\Office10\EXCEL.EXE/3000
O9 - Extra button: Related (HKLM)
O9 - Extra 'Tools' menuitem: Show &Related Links (HKLM)
O14 - IERESET.INF: START_PAGE_URL=http://tdconline.dk
O16 - DPF: {D27CDB6E-AE6D-11CF-96B8-444553540000} (Shockwave Flash Object) - http://download.macromedia.com/pub/shockwave/cabs/flash/swflash.cab
Avatar billede thesurfer Nybegynder
17. april 2004 - 18:41 #18
- Fix, med mindre at det er dig er har valgt dem:
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Bar = http://find.tdconline.dk/msie_google.php
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = http://www.opasia.dk/msie_search.html
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://mail.tdconline.dk/
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://tdconline.dk
R0 - HKLM\Software\Microsoft\Internet Explorer\Search,SearchAssistant = http://www.opasia.dk/msie_search.html

- Fix:
O4 - HKLM\..\Run: [TkBellExe] "C:\Programmer\Fælles filer\Real\Update_OB\realsched.exe" -osboot
O4 - Global Startup: Microsoft Office.lnk = C:\Programmer\Microsoft Office\Office10\OSA.EXE
O8 - Extra context menu item: E&xport to Microsoft Excel - res://C:\PROGRA~1\MICROS~2\Office10\EXCEL.EXE/3000
O14 - IERESET.INF: START_PAGE_URL=http://tdconline.dk

- Kan fixes, da den er overflødig (men det kommer an på hvor ofte du bruger den):
O4 - Global Startup: WinZip Quick Pick.lnk = C:\Programmer\WinZip\WZQKPICK.EXE


- Slettes i fejlsikret tilstand (tryk F8 ved opstarten, lige inden Windows logoet kommer frem):
C:\Programmer\Fælles filer\Real\Update_OB\realsched.exe
Avatar billede thesurfer Nybegynder
17. april 2004 - 18:41 #19
.. derefter genstarter du og smider en ny log herind..
Avatar billede micca Nybegynder
17. april 2004 - 18:57 #20
REN???

Logfile of HijackThis v1.97.7
Scan saved at 18:56:09, on 17-04-2004
Platform: Windows XP SP1 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP1 (6.00.2800.1106)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\Explorer.EXE
C:\WINDOWS\system32\spoolsv.exe
C:\WINDOWS\System32\carpserv.exe
C:\Programmer\Apoint2K\Apoint.exe
C:\PROGRA~1\LAUNCH~1\QtaET2S.EXE
C:\Programmer\Winamp\winampa.exe
C:\WINDOWS\System32\ctfmon.exe
C:\Programmer\Messenger\msmsgs.exe
C:\Programmer\McAfee\McAfee Shared Components\Instant Updater\RuLaunch.exe
C:\Programmer\WinZip\WZQKPICK.EXE
C:\Programmer\Apoint2K\Apntex.exe
C:\Programmer\SpywareGuard\sgmain.exe
C:\Programmer\McAfee\McAfee VirusScan\Avsynmgr.exe
C:\Programmer\Fælles filer\Microsoft Shared\VS7Debug\mdm.exe
C:\Programmer\SpywareGuard\sgbhp.exe
C:\Programmer\McAfee\McAfee VirusScan\VsStat.exe
C:\Programmer\McAfee\McAfee VirusScan\Vshwin32.exe
C:\Programmer\Fælles filer\Network Associates\McShield\Mcshield.exe
C:\Programmer\McAfee\McAfee VirusScan\Avconsol.exe
C:\Documents and Settings\Jesper\Skrivebord\Spyware\HijackThis\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Hyperlinks
O2 - BHO: (no name) - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Programmer\Adobe\Acrobat 5.0\Reader\ActiveX\AcroIEHelper.ocx
O2 - BHO: SpywareGuard Download Protection - {4A368E80-174F-4872-96B5-0B27DDD11DB2} - C:\Programmer\SpywareGuard\dlprotect.dll
O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINDOWS\System32\msdxm.ocx
O3 - Toolbar: McAfee VirusScan - {ACB1E670-3217-45C4-A021-6B829A8A27CB} - C:\Programmer\McAfee\McAfee VirusScan\VSCShellExtension.dll
O4 - HKLM\..\Run: [CARPService] carpserv.exe
O4 - HKLM\..\Run: [Apoint] C:\Programmer\Apoint2K\Apoint.exe
O4 - HKLM\..\Run: [LManager] C:\PROGRA~1\LAUNCH~1\QtaET2S.EXE
O4 - HKLM\..\Run: [WinampAgent] C:\Programmer\Winamp\winampa.exe
O4 - HKLM\..\Run: [NeroFilterCheck] C:\WINDOWS\system32\NeroCheck.exe
O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\ctfmon.exe
O4 - HKCU\..\Run: [MSMSGS] "C:\Programmer\Messenger\msmsgs.exe" /background
O4 - HKCU\..\Run: [McAfee.InstantUpdate.Monitor] "C:\Programmer\McAfee\McAfee Shared Components\Instant Updater\RuLaunch.exe" /STARTMONITOR
O4 - Startup: SpywareGuard.lnk = C:\Programmer\SpywareGuard\sgmain.exe
O4 - Global Startup: WinZip Quick Pick.lnk = C:\Programmer\WinZip\WZQKPICK.EXE
O9 - Extra button: Related (HKLM)
O9 - Extra 'Tools' menuitem: Show &Related Links (HKLM)
O16 - DPF: {D27CDB6E-AE6D-11CF-96B8-444553540000} (Shockwave Flash Object) - http://download.macromedia.com/pub/shockwave/cabs/flash/swflash.cab
Avatar billede thesurfer Nybegynder
17. april 2004 - 19:04 #21
- Den er ren :-)

- For at holde den ren, har aovergaard lavet en artikel om emnet, du kan kigge i: http://www.eksperten.dk/artikler/144
Som minimum anbefales Spywareguard, Spywareblaster, IE-Spyad og IE Privacy Keeper.

-- Jeg tillader mig at smide et svar.. husk at markere begge navne i boksen, inden du klikker på Accepter-knappen..
Avatar billede thesurfer Nybegynder
17. april 2004 - 19:04 #22
- Du skal lige ha' genaktiveret systemgendannelsen:
Højreklik på "Denne Computer" på skrivebordet, vælg egenskaber og fanebladet "Systemgendannelse" og fjern flueben i "Deaktiver systemgendannelse". Klik ok og genstart.
Avatar billede micca Nybegynder
17. april 2004 - 19:06 #23
tak for hjælpen ;-)
Avatar billede thesurfer Nybegynder
17. april 2004 - 19:08 #24
Det var så lidt.. er der problemer, kommer du bare igen :-)

De der backup filer, kan du bare gemme en ugestid.. hvis der ikke er problemer, sletter du dem bare..
Avatar billede micca Nybegynder
17. april 2004 - 19:37 #25
super...
Avatar billede Ny bruger Nybegynder

Din løsning...

Tilladte BB-code-tags: [b]fed[/b] [i]kursiv[/i] [u]understreget[/u] Web- og emailadresser omdannes automatisk til links. Der sættes "nofollow" på alle links.

Loading billede Opret Preview
Kategori
IT-kurser om Microsoft 365, sikkerhed, personlig vækst, udvikling, digital markedsføring, grafisk design, SAP og forretningsanalyse.

Log ind eller opret profil

Hov!

For at kunne deltage på Computerworld Eksperten skal du være logget ind.

Det er heldigvis nemt at oprette en bruger: Det tager to minutter og du kan vælge at bruge enten e-mail, Facebook eller Google som login.

Du kan også logge ind via nedenstående tjenester