Meget besvær med evt. HiJacking

Her er en HiJackThis:

Logfile of HijackThis v1.97.7
Scan saved at 12:33:19, on 05-07-2004
Platform: Windows XP  (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP1 (6.00.2600.0000)

Running processes:
H:\WINDOWS\System32\smss.exe
H:\WINDOWS\system32\winlogon.exe
H:\WINDOWS\system32\services.exe
H:\WINDOWS\system32\lsass.exe
H:\WINDOWS\system32\svchost.exe
H:\WINDOWS\System32\svchost.exe
H:\Programmer\TGTSoft\StyleXP\StyleXPService.exe
H:\WINDOWS\system32\spoolsv.exe
H:\Programmer\Fælles filer\Stardock\SDMCP.exe
H:\WINDOWS\System32\nvsvc32.exe
H:\WINDOWS\System32\svchost.exe
H:\Programmer\Fælles filer\Ulead Systems\DVD\ULCDRSvr.exe
H:\WINDOWS\netyg32.exe
H:\WINDOWS\Explorer_original.exe
H:\Programmer\Fælles filer\stardock\TrayServer.exe
H:\Programmer\Logitech\iTouch\iTouch.exe
H:\WINDOWS\System32\CTHELPER.EXE
H:\WINDOWS\System32\RUNDLL32.EXE
H:\WINDOWS\mfcmw32.exe
H:\Programmer\TGTSoft\StyleXP\StyleXP.exe
H:\Programmer\Stardock\ObjectDock\ObjectDock.exe
H:\Programmer\SpywareGuard\sgmain.exe
H:\Programmer\SpywareGuard\sgbhp.exe
H:\Temp\HijackThis 1.97.0.7.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = about:mozilla
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Window Title =
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Hyperlinks
F0 - system.ini: Shell=Explorer_original.exe
F2 - REG:system.ini: Shell=Explorer_original.exe
F2 - REG:system.ini: UserInit=I:\WINDOWS\system32\userinit.exe,T:\WINDOWS\system32\userinit.exe,H:\WINDOWS\system32\userinit.exe,
O2 - BHO: (no name) - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - H:\Programmer\Adobe\Acrobat 5.0\Reader\ActiveX\AcroIEHelper.ocx
O2 - BHO: (no name) - {44FC7EE2-610F-36B3-5BD9-63448F6F8F2F} - H:\WINDOWS\system32\ipip32.dll
O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - H:\WINDOWS\System32\msdxm.ocx
O4 - HKLM\..\Run: [1A:Stardock TrayMonitor] "H:\Programmer\Fælles filer\stardock\TrayServer.exe"
O4 - HKLM\..\Run: [zBrowser Launcher] H:\Programmer\Logitech\iTouch\iTouch.exe
O4 - HKLM\..\Run: [WINDVDPatch] CTHELPER.EXE
O4 - HKLM\..\Run: [Jet Detection] H:\Programmer\Creative\SBLive\PROGRAM\ADGJDet.exe
O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE H:\WINDOWS\System32\NvCpl.dll,NvStartup
O4 - HKLM\..\Run: [nwiz] nwiz.exe /install
O4 - HKLM\..\Run: [MOD] H:\Programmer\Microangelo\muamgr.exe
O4 - HKLM\..\Run: [NeroFilterCheck] H:\WINDOWS\system32\NeroCheck.exe
O4 - HKLM\..\Run: [NvMediaCenter] RUNDLL32.EXE H:\WINDOWS\System32\NvMcTray.dll,NvTaskbarInit
O4 - HKLM\..\Run: [anvshell] anvshell.exe
O4 - HKLM\..\Run: [LiveNote] livenote.exe
O4 - HKLM\..\Run: [KernelFaultCheck] %systemroot%\system32\dumprep 0 -k
O4 - HKLM\..\Run: [mfcmw32.exe] H:\WINDOWS\mfcmw32.exe
O4 - HKLM\..\Run: [MSConfig] H:\WINDOWS\PCHealth\HelpCtr\Binaries\MSConfig.exe /auto
O4 - HKCU\..\Run: [STYLEXP] H:\Programmer\TGTSoft\StyleXP\StyleXP.exe -Hide
O4 - HKLM\..\RunOnce: [ntsb.exe] H:\WINDOWS\ntsb.exe
O4 - HKLM\..\RunOnce: [d3od.exe] H:\WINDOWS\d3od.exe
O4 - Startup: Stardock ObjectDock.lnk = H:\Programmer\Stardock\ObjectDock\ObjectDock.exe
O4 - Startup: SpywareGuard.lnk = H:\Programmer\SpywareGuard\sgmain.exe
O9 - Extra 'Tools' menuitem: Sun Java Console (HKLM)
O9 - Extra button: TREND MICRO HouseCall (HKLM)
O9 - Extra button: Opslag (HKLM)
O16 - DPF: {166B1BCA-3F9C-11CF-8075-444553540000} (Shockwave ActiveX Control) - http://download.macromedia.com/pub/shockwave/cabs/director/sw.cab
O16 - DPF: {19E28AFC-EAE3-4CE5-AC83-2407B42F57C9} (MSSecurityAdvisor Class) - http://download.microsoft.com/download/0/5/c/05c905f4-dd30-427d-a3de-373c3e5552fc/msSecAdv.cab?1073727953247
O16 - DPF: {33564D57-0000-0010-8000-00AA00389B71} - http://download.microsoft.com/download/F/6/E/F6E491A6-77E1-4E20-9F5F-94901338C922/wmv9VCM.CAB
O16 - DPF: {71AEE1E3-1B65-41FA-BBD2-565CBD1359D8} (Util Class) - https://udstedelse.certifikat.tdc.dk/csp/authenticode/PrimeInkCSPInstall0703.exe
O16 - DPF: {74D05D43-3236-11D4-BDCD-00C04F9A3B61} (HouseCall Control) - http://a840.g.akamai.net/7/840/537/2004061001/housecall.trendmicro.com/housecall/xscan53.cab
O16 - DPF: {7ED7005B-4AF6-4CFF-9AE0-F243C4B8260F} (HouseCallButton.setup) - http://de.trendmicro-europe.com/file_downloads/common/housecall/HouseCallButton.CAB
O16 - DPF: {9A9307A0-7DA4-4DAF-B042-5009F29E09E1} (ActiveScan Installer Class) - http://www.pandasoftware.com/activescan/as5/asinst.cab
O16 - DPF: {9F1C11AA-197B-4942-BA54-47A8489BB47F} (Update Class) - http://v4.windowsupdate.microsoft.com/CAB/x86/unicode/iuctl.CAB?38098.4146412037
O16 - DPF: {A590956F-AE99-4419-BB39-3C721276C625} (Util Class) - https://udstedelse.certifikat.tdc.dk/csp/authenticode/PrimeInkCSP-0504.exe
O16 - DPF: {D27CDB6E-AE6D-11CF-96B8-444553540000} (Shockwave Flash Object) - http://download.macromedia.com/pub/shockwave/cabs/flash/swflash.cab

Prøv evt at kigge under h:\programmer\ og h:\programmer\fælles filer\ og se om der er mapper som er oprettet omkring det tidspunkt hvor problemet startede.

Fra dit HiJack output..Er alle nedenstående programmer nogen du positivt ved du ønsker at have på maskinen:
H:\Programmer\TGTSoft\StyleXP\StyleXPService.exe
H:\Programmer\Fælles filer\Stardock\SDMCP.exe
H:\Programmer\Fælles filer\stardock\TrayServer.exe
H:\Programmer\Microangelo\muamgr.exe
Hvis er er nogen af dem du ikke kender så fjern dem!

Alle de *.exe filer hører til programmer jeg bruger på PC'en.

Jeg vil bare hulens gerne have noget hjælp til at fjerne den HiJacking.

Jeg kigger den igennem med det samme

Flyt først filen Hijackthis til en mappe oprettet kun til den.

Du skal nu til at i gang med at fixe:

Deaktiver systemgendannelse:
http://www.arlet.dk/systemgendannelsen.htm

Kør Hijackthis, scan, sæt flueben ved linierne listet her, luk alle vinduer undtaget Hijackthis, klik på fix checked, luk hijackthis igen.
Dobbelttjek, så alt kommer med.

F0 - system.ini: Shell=Explorer_original.exe
F2 - REG:system.ini: Shell=Explorer_original.exe

O2 - BHO: (no name) - {44FC7EE2-610F-36B3-5BD9-63448F6F8F2F} - H:\WINDOWS\system32\ipip32.dll

O4 - HKLM\..\Run: [mfcmw32.exe] H:\WINDOWS\mfcmw32.exe
O4 - HKLM\..\RunOnce: [ntsb.exe] H:\WINDOWS\ntsb.exe
O4 - HKLM\..\RunOnce: [d3od.exe] H:\WINDOWS\d3od.exe


--------------------------------------------------------------------

Åbn en tilfældig mappe, klik på Funktioner=>Mappeindstillinger=>Vis.
Fjern flueben ved "Skjul beskyttede operativsystemfiler".
Fjern flueben ved "Skjul filtypenavne for kendte filtyper".
Sæt prik i "Vis skjulte filer og mapper".

--------------------------------------------------------------------

Find og slet manuelt i fejlsikret(f8 ved opstart):

H:\WINDOWS\netyg32.exe
H:\WINDOWS\Explorer_original.exe
H:\WINDOWS\mfcmw32.exe



Derefter genstarter du og sender en ny log herind, for at se om vi har fået den helt ren.
Først når din log er endelig godkendt, må du aktiver din systemgendannelse igen.

Ny log:

Logfile of HijackThis v1.97.7
Scan saved at 20:57:26, on 05-07-2004
Platform: Windows XP  (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP1 (6.00.2600.0000)

Running processes:
H:\WINDOWS\System32\smss.exe
H:\WINDOWS\system32\winlogon.exe
H:\WINDOWS\system32\services.exe
H:\WINDOWS\system32\lsass.exe
H:\WINDOWS\system32\svchost.exe
H:\WINDOWS\System32\svchost.exe
H:\Programmer\TGTSoft\StyleXP\StyleXPService.exe
H:\WINDOWS\system32\spoolsv.exe
H:\Programmer\Fælles filer\Stardock\SDMCP.exe
H:\WINDOWS\System32\nvsvc32.exe
H:\WINDOWS\System32\svchost.exe
H:\Programmer\Fælles filer\Ulead Systems\DVD\ULCDRSvr.exe
H:\WINDOWS\Explorer.EXE
H:\Programmer\Fælles filer\stardock\TrayServer.exe
H:\Programmer\Logitech\iTouch\iTouch.exe
H:\WINDOWS\System32\CTHELPER.EXE
H:\WINDOWS\System32\RUNDLL32.EXE
H:\Programmer\TGTSoft\StyleXP\StyleXP.exe
H:\WINDOWS\System32\rundll32.exe
H:\Programmer\Stardock\ObjectDock\ObjectDock.exe
H:\Programmer\SpywareGuard\sgmain.exe
H:\Programmer\SpywareGuard\sgbhp.exe
H:\Temp\HijackThis 1.97.0.7.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = about:mozilla
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Window Title = Steen Hassing
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Hyperlinks
F2 - REG:system.ini: UserInit=I:\WINDOWS\system32\userinit.exe,T:\WINDOWS\system32\userinit.exe,H:\WINDOWS\system32\userinit.exe,
O2 - BHO: (no name) - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - H:\Programmer\Adobe\Acrobat 5.0\Reader\ActiveX\AcroIEHelper.ocx
O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - H:\WINDOWS\System32\msdxm.ocx
O4 - HKLM\..\Run: [1A:Stardock TrayMonitor] "H:\Programmer\Fælles filer\stardock\TrayServer.exe"
O4 - HKLM\..\Run: [zBrowser Launcher] H:\Programmer\Logitech\iTouch\iTouch.exe
O4 - HKLM\..\Run: [WINDVDPatch] CTHELPER.EXE
O4 - HKLM\..\Run: [Jet Detection] H:\Programmer\Creative\SBLive\PROGRAM\ADGJDet.exe
O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE H:\WINDOWS\System32\NvCpl.dll,NvStartup
O4 - HKLM\..\Run: [nwiz] nwiz.exe /install
O4 - HKLM\..\Run: [MOD] H:\Programmer\Microangelo\muamgr.exe
O4 - HKLM\..\Run: [NeroFilterCheck] H:\WINDOWS\system32\NeroCheck.exe
O4 - HKLM\..\Run: [NvMediaCenter] RUNDLL32.EXE H:\WINDOWS\System32\NvMcTray.dll,NvTaskbarInit
O4 - HKLM\..\Run: [LiveNote] livenote.exe
O4 - HKLM\..\Run: [KernelFaultCheck] %systemroot%\system32\dumprep 0 -k
O4 - HKCU\..\Run: [STYLEXP] H:\Programmer\TGTSoft\StyleXP\StyleXP.exe -Hide
O4 - HKCU\..\Run: [NvMediaCenter] RUNDLL32.EXE H:\WINDOWS\System32\NVMCTRAY.DLL,NvTaskbarInit
O4 - HKCU\..\Run: [ASUS SmartDoctor] H:\Programmer\ASUS\SmartDoctor\\SmartDoctor.exe  /start
O4 - Startup: Stardock ObjectDock.lnk = H:\Programmer\Stardock\ObjectDock\ObjectDock.exe
O4 - Startup: SpywareGuard.lnk = H:\Programmer\SpywareGuard\sgmain.exe
O4 - Startup: PowerReg Scheduler.exe
O9 - Extra 'Tools' menuitem: Sun Java Console (HKLM)
O9 - Extra button: TREND MICRO HouseCall (HKLM)
O9 - Extra button: Opslag (HKLM)
O16 - DPF: {166B1BCA-3F9C-11CF-8075-444553540000} (Shockwave ActiveX Control) - http://download.macromedia.com/pub/shockwave/cabs/director/sw.cab
O16 - DPF: {19E28AFC-EAE3-4CE5-AC83-2407B42F57C9} (MSSecurityAdvisor Class) - http://download.microsoft.com/download/0/5/c/05c905f4-dd30-427d-a3de-373c3e5552fc/msSecAdv.cab?1073727953247
O16 - DPF: {33564D57-0000-0010-8000-00AA00389B71} - http://download.microsoft.com/download/F/6/E/F6E491A6-77E1-4E20-9F5F-94901338C922/wmv9VCM.CAB
O16 - DPF: {71AEE1E3-1B65-41FA-BBD2-565CBD1359D8} (Util Class) - https://udstedelse.certifikat.tdc.dk/csp/authenticode/PrimeInkCSPInstall0703.exe
O16 - DPF: {74D05D43-3236-11D4-BDCD-00C04F9A3B61} (HouseCall Control) - http://a840.g.akamai.net/7/840/537/2004061001/housecall.trendmicro.com/housecall/xscan53.cab
O16 - DPF: {7ED7005B-4AF6-4CFF-9AE0-F243C4B8260F} (HouseCallButton.setup) - http://de.trendmicro-europe.com/file_downloads/common/housecall/HouseCallButton.CAB
O16 - DPF: {9A9307A0-7DA4-4DAF-B042-5009F29E09E1} (ActiveScan Installer Class) - http://www.pandasoftware.com/activescan/as5/asinst.cab
O16 - DPF: {9F1C11AA-197B-4942-BA54-47A8489BB47F} (Update Class) - http://v4.windowsupdate.microsoft.com/CAB/x86/unicode/iuctl.CAB?38098.4146412037
O16 - DPF: {A590956F-AE99-4419-BB39-3C721276C625} (Util Class) - https://udstedelse.certifikat.tdc.dk/csp/authenticode/PrimeInkCSP-0504.exe
O16 - DPF: {D27CDB6E-AE6D-11CF-96B8-444553540000} (Shockwave Flash Object) - http://download.macromedia.com/pub/shockwave/cabs/flash/swflash.cab

Så er du ren og kan aktiver din systemgendannelse igen

For at beskytte dig mod snavs har jeg lavet en sikkerhedspakke,
som du kan hente her : www.arlet.dk/pakke.htm

Meget vigtigt:
Hent Sp1 til Windows og IE samt alle kritiske opdateringer her:
http://v4.windowsupdate.microsoft.com/da/default.asp

Arlet, kiggede lige på din side. Meget pæn (i IE) men i Netscape virker den sådan set ikke :(

fbizen: Det er altså HÅBLØST at skulle tage hensyn til de ca. 2 ud af 1000!! (0,2 %iflg. New York Times) der stadig "hænger fast i" Netscape.
Hvis du hader MS så brug da Mozilla eller Opera...arlets sider fungerer fint!

arlet: Kanon hurtig løsning, er denne specifikke Hijack i øvrigt kendt under et bestemt navn?

1000 tak for hjælpen, Arlet.

Har alle 4 programmer kørende (også inden angrebet), så jeg er vel dækket ind, skulle
man tro ;o)

SP1 har jeg på CD fra Microsoft, men mit system bliver langsomt, synes jeg.
IE6 er dog med SP1.

samohtrelhe -> Nej, ikke mig bekendt. og tak for roserne..

fbisen-> Jeg troede faktisk at den virkede til dem alle sammen, men beklager at den ikke virker i netscape..