about:blank virus

http://www.spywarefri.dk/vaerktoj.htm#hijackthis
Hent hijackthis scan og gem loggen. Kopier den herind så kigger vi på den

Det kan være det er een af de grimme og så vil vi gerne se en log til at starte med...

Nu har jeg lige slettet loggen igen. Jeg kommer tilbage når virussen har slået til igen. Lige nu ser det ud som om den er væk, hijack-this kan ikke finde den. Men den kommer højst sansynligt tilbage, det gjorde den ihvertfald idag, hvor jeg igår også fjernede den, genstartede computeren osv.

Men hvad er det også i skal bruge Hijack-This loggen til? Jeg har nemlig slettet det jeg skulle slette. Resten som jeg har gennemsøgt, er noget jeg kender til, som mine programmer, herunder DAP osv. der altså ikke behøver at blive slettet.

AHA!

Jeg lavede lige et lille trick på den for at se om den gjorde hvad jeg troede den gjorde, og det gjorde den så: Den kommer tilbage hver dag! Jeg satte nemlig tiden 1 dag frem, genstartede computeren, og så kom den frem igen.

Her er så loggen:

Logfile of HijackThis v1.97.7
Scan saved at 17:31:43, on 22-04-2004
Platform: Windows XP  (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 (6.00.2600.0000)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\Explorer.EXE
C:\WINDOWS\System32\PDesk\PDesk.exe
C:\Program Files\Common Files\Real\Update_OB\realsched.exe
C:\Program Files\QuickTime\qttask.exe
C:\WINDOWS\System32\ctfmon.exe
C:\WINDOWS\System32\devldr32.exe
C:\Documents and Settings\Lasse\Desktop\desktop3\HijackThis.exe

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Bar = res://C:\WINDOWS\System32\oik.dll/sp.html (obfuscated)
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = res://C:\WINDOWS\System32\oik.dll/sp.html (obfuscated)
R1 - HKCU\Software\Microsoft\Internet Explorer\Search,SearchAssistant = res://C:\WINDOWS\System32\oik.dll/sp.html (obfuscated)
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Bar = res://C:\WINDOWS\System32\oik.dll/sp.html (obfuscated)
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = res://C:\WINDOWS\System32\oik.dll/sp.html (obfuscated)
R0 - HKLM\Software\Microsoft\Internet Explorer\Search,SearchAssistant = res://C:\WINDOWS\System32\oik.dll/sp.html (obfuscated)
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,HomeOldSP = about:blank
O2 - BHO: (no name) - {E0EE64CA-2650-4393-8A13-2E8E79F0E6BF} - C:\WINDOWS\System32\oik.dll
O3 - Toolbar: DAP Bar - {62999427-33FC-4baf-9C9C-BCE6BD127F08} - C:\Program Files\DAP\DAPIEBar.dll
O4 - HKLM\..\Run: [Matrox Powerdesk] C:\WINDOWS\System32\PDesk\PDesk.exe /Autolaunch
O4 - HKLM\..\Run: [NeroCheck] C:\WINDOWS\System32\\NeroCheck.exe
O4 - HKLM\..\Run: [WinampAgent] "C:\Program Files\Winamp3\winampa.exe"
O4 - HKLM\..\Run: [TkBellExe] "C:\Program Files\Common Files\Real\Update_OB\realsched.exe" -osboot
O4 - HKLM\..\Run: [QuickTime Task] "C:\Program Files\QuickTime\qttask.exe" -atboottime
O4 - HKCU\..\Run: [ctfmon.exe] C:\WINDOWS\System32\ctfmon.exe
O4 - HKCU\..\RunServices: [Image] rundll32 C:\WINDOWS\image.dll,Install
O8 - Extra context menu item: &Download with &DAP - C:\PROGRA~1\DAP\dapextie.htm
O8 - Extra context menu item: Download &all with DAP - C:\PROGRA~1\DAP\dapextie2.htm
O9 - Extra 'Tools' menuitem: Sun Java Console (HKLM)
O9 - Extra button: Run DAP (HKLM)
O9 - Extra button: Coches (HKLM)
O9 - Extra button: ICQ Lite (HKLM)
O9 - Extra 'Tools' menuitem: ICQ Lite (HKLM)
O9 - Extra button: Related (HKLM)
O9 - Extra 'Tools' menuitem: Show &Related Links (HKLM)
O16 - DPF: {02BF25D5-8C17-4B23-BC80-D3488ABDDC6B} (QuickTime Object) - http://www.apple.com/qtactivex/qtplugin.cab
O16 - DPF: {166B1BCA-3F9C-11CF-8075-444553540000} (Shockwave ActiveX Control) - http://download.macromedia.com/pub/shockwave/cabs/director/sw.cab
O16 - DPF: {9F1C11AA-197B-4942-BA54-47A8489BB47F} (Update Class) - http://v4.windowsupdate.microsoft.com/CAB/x86/unicode/iuctl.CAB?38092.2949421296
O16 - DPF: {D27CDB6E-AE6D-11CF-96B8-444553540000} (Shockwave Flash Object) - http://download.macromedia.com/pub/shockwave/cabs/flash/swflash.cab
O16 - DPF: {F54C1137-5E34-4B95-95A5-BA56D4D8D743} (Secure Delivery) - http://www.gamespot.com/KDX22/download/kdx.cab
O17 - HKLM\System\CCS\Services\Tcpip\..\{2B58A84D-8B92-485A-8022-884450A29187}: NameServer = 194.239.134.83,193.162.153.64
O17 - HKLM\System\CCS\Services\Tcpip\..\{A7845732-2AEE-482A-B358-CCDBCEABAB75}: NameServer = 194.239.134.83,193.162.153.64
O17 - HKLM\System\CS1\Services\Tcpip\..\{2B58A84D-8B92-485A-8022-884450A29187}: NameServer = 194.239.134.83,193.162.153.64
O17 - HKLM\System\CS2\Services\Tcpip\..\{2B58A84D-8B92-485A-8022-884450A29187}: NameServer = 194.239.134.83,193.162.153.64

Jeg har før posted en log her, og DAP er før blevet foreslået at blive slettet. Lad være med at foreslå det, DAP står for Download Accelerator Pro, og skal IKKE slettes, det er et almindeligt download-program, jeg bruger det til download.

Det der er problemet er de øverste. Når jeg sletter dem, går der en dag, og så kommer de frem igen.

ok kigger på det :O)

Du kender jo til at fixe med hijack, så jeg vil spare dig for den smøre...

Du skal fixe:
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Bar = res://C:\WINDOWS\System32\oik.dll/sp.html (obfuscated)
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = res://C:\WINDOWS\System32\oik.dll/sp.html (obfuscated)
R1 - HKCU\Software\Microsoft\Internet Explorer\Search,SearchAssistant = res://C:\WINDOWS\System32\oik.dll/sp.html (obfuscated)
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Bar = res://C:\WINDOWS\System32\oik.dll/sp.html (obfuscated)
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = res://C:\WINDOWS\System32\oik.dll/sp.html (obfuscated)
R0 - HKLM\Software\Microsoft\Internet Explorer\Search,SearchAssistant = res://C:\WINDOWS\System32\oik.dll/sp.html (obfuscated)
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,HomeOldSP = about:blank
O2 - BHO: (no name) - {E0EE64CA-2650-4393-8A13-2E8E79F0E6BF} - C:\WINDOWS\System32\oik.dll
O4 - HKLM\..\Run: [TkBellExe] "C:\Program Files\Common Files\Real\Update_OB\realsched.exe" -osboot
O4 - HKLM\..\Run: [QuickTime Task] "C:\Program Files\QuickTime\qttask.exe" -atboottime
Og du skal gøre det i fejlsikret tilstand.

Jeg kan ikke finde noget på den der oik.dll. Hvis den findes i windows\system32 så skal den slettes.
Prøv at se om du kan finde den.

Når du har fixet vil jeg gerne se en ny log efter du har genstartet. Og husk at slå systemgendannelse fra, men det ved du jo godt, så det behøver jeg ikke huske dig på ;O)

Har jeg gjort, intet hjælper.

Har også lige prøvet at slette oik.dll.
Genstartede computeren, det virkede fint. Så satte jeg tiden en dag frem, genstartede computeren, og så var den der igen, nu bare med et nyt navn.

Jeg har checket msconfig efter om der ligger et lumsk program og generer dem. Det er der ikke.

Jeg beder fromsej kigge forbi

Han er gud

Gud var ikke på pinden, så Jesus prøver..

prøv Master-search, som du finder her:
http://www.arlet.dk/special.htm
Genstart og ny log

Virker ikke. Har også lige opdateret CWSShredder, den finder da også CWS.searchx, sletter den, men den kommer tilbage igen.

Hvad skal jeg gøre? Seriøst! Hvad er det her for noget? Jeg har søgt på google.com efter det, INGEN, absolut ingen har åbenbart været istand til at få den væk. Den kommer nemlig igen dag efter dag. Jeg mistænker den virkelig for at have lavet noget mystisk ved explorer.exe eller andre programmer i Windows... For man kan blive ved med at slette dens filer, uanset hvor de så end måtte ligge henne, og alligevel kommer de tilbage dagen efter.

Kom lige med en ny log, så nær studér jeg den

http://www.bitdefender.com/scan/licence.php
Ellers prøv lige et onlinescan ved bitdefender...

Intet hjælper.

21/04-2004 19:29:14

Har du prøvet at downloade ad-aware og køre en scan? Programmet kan hentes her: http://download.com.com/3000-8022-10214379.html?tag=lst-0-2

HYGGE

3. gang er lykkens gang:
Kom lige med en ny log, så nær studér jeg den
21/04-2004 19:29:14 og 21/04-2004 20:08:37 *S*