mysearchnow.com + Hijackthis

jeg kigger engang

Slå systemgendannelse fra.

Fix nedenstående:
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = mysearchnow.com
O4 - HKLM\..\Run: [Configuration Loading] svchos1.exe
O4 - HKLM\..\RunServices: [Configuration Loading] svchos1.exe

Genstart
Slet denne fil: C:\WINDOWS\System32\svchos1.exe

Lad mig se en ny log inden du slår systemgendannelse til igen.

Din spyware er iøvrigt kommet fra Messenger+ til din orientering.

Det du havde er Agobot. Hvis du har en fil der hedder C:\WINDOWS\System32\RPCFIX.exe så skal denne også slettes.

Hent og kør også CWShredder fra http://209.133.47.12/~merijn/files/CWShredder.exe

Slutteligt kør et Housecall fra http://housecall.trendmicro.com

Du skulle nu i hvert fald i teorien være ren, men lad mig se en ny hijackthis log når du har gjort alt dette.

Kender du dette program (jeg gør ikke)?: O4 - HKLM\..\Run: [That scr] C:\PROGRA~1\SHIMGR~1\Flawplatform.exe

Hvis ikke, skal det også fixes med HijackThis og slettes fra fejlsikret tilstand (mappen SHIMGR~1).


Er det med vilje du har disse tre? Ellers skal de også fixes med HijackThis:
O9 - Extra button: PartyPoker.com (HKLM)
O9 - Extra 'Tools' menuitem: PartyPoker.com (HKLM)
O9 - Extra button: Ladbrokes Poker (HKLM)

Hej og tak for jeres hjælp. svchos1.exe kan ikke slettes da adgang er nægtet. De andre er fjenet fra hijack´er (resist: de tre O9 er ok, jeg kender dem)

Den nye hijack ser således ud:
Logfile of HijackThis v1.97.7
Scan saved at 23:34:19, on 26-05-2004
Platform: Windows XP SP1 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP1 (6.00.2800.1106)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\spoolsv.exe
C:\WINDOWS\Explorer.EXE
C:\WINDOWS\System32\igfxtray.exe
C:\WINDOWS\System32\hkcmd.exe
C:\Programmer\Analog Devices\SoundMAX\PmProxy.exe
C:\WINDOWS\LTSMMSG.exe
C:\WINDOWS\System32\00THotkey.exe
C:\WINDOWS\System32\svchos1.exe
C:\WINDOWS\System32\TPWRTRAY.EXE
C:\Programmer\Analog Devices\SoundMAX\SMAgent.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\System32\TFNF5.exe
C:\Programmer\Apoint2K\Apoint.exe
C:\Programmer\TOSHIBA\TouchED\TouchED.Exe
C:\Programmer\Hewlett-Packard\Digital Imaging\Unload\hpqcmon.exe
C:\Programmer\Hewlett-Packard\HP Share-to-Web\hpgs2wnd.exe
C:\Programmer\Messenger Plus! 3\MsgPlus.exe
c:\Programmer\Hewlett-Packard\HP Share-to-Web\hpgs2wnf.exe
C:\WINDOWS\System32\ctfmon.exe
C:\Programmer\Messenger\MSMSGS.EXE
C:\Programmer\Apoint2K\Apntex.exe
C:\Programmer\MSN Messenger\msnmsgr.exe
C:\Programmer\Skyr@cer Pro Utility\WLANPRO.exe
C:\Programmer\Internet Explorer\iexplore.exe
C:\Documents and Settings\Sarah\Skrivebord\hjt.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Hyperlinks
O2 - BHO: (no name) - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Programmer\Adobe\Acrobat 5.0\Reader\ActiveX\AcroIEHelper.ocx
O2 - BHO: (no name) - {53707962-6F74-2D53-2644-206D7942484F} - C:\Programmer\Spybot - Search & Destroy\SDHelper.dll
O2 - BHO: (no name) - {C08DF07A-3E49-4E25-9AB0-D3882835F153} - C:\Programmer\TEXTware\QUICKfind\PlugIns\IEHelp.dll
O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINDOWS\System32\msdxm.ocx
O4 - HKLM\..\Run: [IgfxTray] C:\WINDOWS\System32\igfxtray.exe
O4 - HKLM\..\Run: [HotKeysCmds] C:\WINDOWS\System32\hkcmd.exe
O4 - HKLM\..\Run: [PmProxy] C:\Programmer\Analog Devices\SoundMAX\PmProxy.exe
O4 - HKLM\..\Run: [LTSMMSG] LTSMMSG.exe
O4 - HKLM\..\Run: [00THotkey] C:\WINDOWS\System32\00THotkey.exe
O4 - HKLM\..\Run: [000StTHK] 000StTHK.exe
O4 - HKLM\..\Run: [Tpwrtray] TPWRTRAY.EXE
O4 - HKLM\..\Run: [TFNF5] TFNF5.exe
O4 - HKLM\..\Run: [Apoint] C:\Programmer\Apoint2K\Apoint.exe
O4 - HKLM\..\Run: [TouchED] C:\Programmer\TOSHIBA\TouchED\TouchED.Exe
O4 - HKLM\..\Run: [CamMonitor] c:\Programmer\Hewlett-Packard\Digital Imaging\\Unload\hpqcmon.exe
O4 - HKLM\..\Run: [Share-to-Web Namespace Daemon] c:\Programmer\Hewlett-Packard\HP Share-to-Web\hpgs2wnd.exe
O4 - HKLM\..\Run: [MessengerPlus3] "C:\Programmer\Messenger Plus! 3\MsgPlus.exe"
O4 - HKLM\..\Run: [Configuration Loading] svchos1.exe
O4 - HKLM\..\RunServices: [Configuration Loading] svchos1.exe
O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\ctfmon.exe
O4 - HKCU\..\Run: [MessengerPlus3] "C:\Programmer\Messenger Plus! 3\MsgPlus.exe" /WinStart
O4 - HKCU\..\Run: [MSMSGS] "C:\Programmer\Messenger\MSMSGS.EXE" /background
O4 - HKCU\..\Run: [msnmsgr] "C:\Programmer\MSN Messenger\msnmsgr.exe" /background
O4 - Global Startup: Microsoft Office.lnk = C:\Programmer\Microsoft Office\Office10\OSA.EXE
O4 - Global Startup: Skyr@cer Pro Configuration Utility.lnk = C:\Programmer\Skyr@cer Pro Utility\WLANPRO.exe
O8 - Extra context menu item: E&ksporter til Microsoft Excel - res://C:\PROGRA~1\MICROS~2\Office10\EXCEL.EXE/3000
O9 - Extra button: PartyPoker.com (HKLM)
O9 - Extra 'Tools' menuitem: PartyPoker.com (HKLM)
O9 - Extra button: Ladbrokes Poker (HKLM)
O9 - Extra button: Messenger (HKLM)
O9 - Extra 'Tools' menuitem: Messenger (HKLM)
O16 - DPF: {1A8790BD-AEBD-11BD-A2BD-00620BD00020} (Egnsbank Nords Netbank) - https://www.nordbank.dk/segnsbanknordibp2000ib100.cab
O16 - DPF: {1A8790BD-AEBD-11BD-A2BD-00625BD00020} (Egnsbank Nords Netbank) - https://www.nordbank.dk/segnsbanknordibp2500ib100.cab
O16 - DPF: {74D05D43-3236-11D4-BDCD-00C04F9A3B61} (HouseCall Control) - http://a840.g.akamai.net/7/840/537/2004033001/housecall.antivirus.com/housecall/xscan53.cab
O16 - DPF: {D27CDB6E-AE6D-11CF-96B8-444553540000} (Shockwave Flash Object) - http://download.macromedia.com/pub/shockwave/cabs/flash/swflash.cab
O16 - DPF: {D8575CE3-3432-4540-88A9-85A1325D3375} (e-Safekey) - https://netbank.danskebank.dk/html/activex/e-Safekey/DB/e-Safekey.cab

hmm ja, du har så stadig Agobot.
Reagerede Housecall slet ikke på den?

Men ok, fix de her to igen:

O4 - HKLM\..\Run: [Configuration Loading] svchos1.exe
O4 - HKLM\..\RunServices: [Configuration Loading] svchos1.exe

Og nu starter du i fejlsikret tilstand (hvilket du kan gøre ved at trykke f8 under opstart), finder og sletter disse to filer:

C:\WINDOWS\System32\svchos1.exe
C:\WINDOWS\System32\RPCFIX.exe

Genstart og ny log.

Bingo det virker nu

Tak for hjælpen.

Vil du lægge et svar, strych9 ?

ok =)
Men du må stadig gerne smide en ny log hvis du vil kigges efter i sømmene igen.