hjælp windows xp (winlogon.exe har virus)

winlogon.exe starter kun op når norton starter op... har jeg lige fundet ud af...

følg denne vejledning http://www.eksperten.dk/artikler/127 , jeg foreslår det pga dette http://securityresponse.symantec.com/avcenter/venc/data/backdoor.graybird.html

"When Backdoor.Graybird runs, it performs the following actions:

Copies itself as one of the following filenames:
%System%\Svch0st.exe
%System%\Winlogon.exe
%System%\Explorer.exe"

Logfile of HijackThis v1.98.0
Scan saved at 13:46:29, on 26-07-2004
Platform: Windows XP  (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 (6.00.2600.0000)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\spoolsv.exe
C:\WINDOWS\System32\nvsvc32.exe
C:\WINDOWS\System32\windowssvc.exe
C:\WINDOWS\Explorer.exe
C:\WINDOWS\winlogon.exe
C:\WINDOWS\Mixer.exe
C:\Programmer\Messenger Plus! 3\MsgPlus.exe
C:\Programmer\Winamp\winampa.exe
C:\Programmer\Lavasoft\Ad-aware 6\Ad-watch.exe
C:\WINDOWS\System32\ctfmon.exe
C:\WINDOWS\System32\RUNDLL32.EXE
c:\progra~1\intern~1\iexplore.exe
C:\WINDOWS\System32\snlogsvc.exe
c:\progra~1\intern~1\iexplore.exe
C:\Programmer\MSN Messenger\msnmsgr.exe
C:\WINDOWS\System32\wuauclt.exe
C:\HijackThis\hijackthis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.hbrwckcvbxgroemazs.com/E/86d70Lb7yx2H4awnBMcG7XIgOJmGaThXEYf5h1M7I.html
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://www.microsoft.com/isapi/redir.dll?prd=ie&pver=6&ar=msnhome
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://www.microsoft.com/isapi/redir.dll?prd=ie&ar=iesearch
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.microsoft.com/isapi/redir.dll?prd={SUB_PRD}&clcid={SUB_CLSID}&pver={SUB_PVER}&ar=home
R0 - HKLM\Software\Microsoft\Internet Explorer\Search,SearchAssistant = http://www.mugyeayzhtrxrssvtgb.net/E/86d70Lb7wSm8_o2I8RX4bCikC6t8JlfmgqPbND_vuXRnUf_fYcezTJP8wjWUju.html
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Hyperlinks
F0 - system.ini: Shell=Explorer.exe c:\windows\system32\system32
F2 - REG:system.ini: Shell=Explorer.exe C:\WINDOWS\system32\fservice.exe
O2 - BHO: (no name) - {0A436F7E-45E0-121B-0965-7D625354FD2F} - C:\PROGRA~1\FACEDE~1\way 1.exe
O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\System32\NvCpl.dll,NvStartup
O4 - HKLM\..\Run: [nwiz] nwiz.exe /install
O4 - HKLM\..\Run: [C-Media Mixer] Mixer.exe /startup
O4 - HKLM\..\Run: [MessengerPlus3] "C:\Programmer\Messenger Plus! 3\MsgPlus.exe"
O4 - HKLM\..\Run: [Comp Web] C:\PROGRA~1\AXISHE~1\pure build rdr.exe
O4 - HKLM\..\Run: [Services32 ] C:\WINDOWS\system32.exe
O4 - HKLM\..\Run: [GLSetIT32] c:\windows\system32\system32
O4 - HKLM\..\Run: [Microsoft Update] snlogsvc.exe
O4 - HKLM\..\Run: [WinampAgent] C:\Programmer\Winamp\winampa.exe
O4 - HKLM\..\Run: [Ad-watch] "C:\Programmer\Lavasoft\Ad-aware 6\Ad-watch.exe"
O4 - HKLM\..\Run: [regsrv] scvhost.exe
O4 - HKLM\..\Run: [SafeMediaEncNew] C:\Documents and Settings\All Users\Application Data\GridUploadSafeMedia\camp seek.exe
O4 - HKLM\..\RunServices: [Microsoft Update] snlogsvc.exe
O4 - HKLM\..\RunServices: [regsrv] scvhost.exe
O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\ctfmon.exe
O4 - HKCU\..\Run: [NvMediaCenter] RUNDLL32.EXE C:\WINDOWS\System32\NVMCTRAY.DLL,NvTaskbarInit
O4 - HKCU\..\Run: [MessengerPlus3] "C:\Programmer\Messenger Plus! 3\MsgPlus.exe" /WinStart
O4 - HKCU\..\Run: [Services32 ] C:\WINDOWS\system32.exe
O4 - HKCU\..\Run: [Microsoft Update] snlogsvc.exe
O4 - HKCU\..\Run: [msnmsgr] "C:\Programmer\MSN Messenger\msnmsgr.exe" /background

Først opretter du en mappe kun til hijackthis og lægger programmet derover. Så har vi nemlig styr på backup filerne.
Kommer du til at slette noget forkert, kan vi altid komme tilbage og lave en restore. Derfor skal Hijack have sin egen mappe.

Første vigtige punkt er at slå systemgendannelsen fra. For Xp er det:
Højreklik på Denne Computer på skrivebordet, vælg Egenskaber og fanebladet Systemgendannelse og sæt flueben i Deaktiver systemgendannelse. Klik ok og genstart.
For ME er det: Højreklik Denne Computer, vælg Egenskaber - Ydeevne - Filsystem - Fejlfinding.
Sæt flueben i Deaktiver Systemgendannelse.
Klik OK og genstart computeren.
Ellers genskabes alt hvad vi fjerner.

Hent og opdater Ad-Aware: http://www.spywarefri.dk/vaerktoj.htm#adaware


Derefter skal du åbne hijackthis.
Du skal vinge disse filer af, jeg har beskrevet nedenunder.
Når du har gjort det så lukker du alle andre vinduer ned.
Klik på Fix checkede.

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.hbrwckcvbxgroemazs.com/E/86d70Lb7yx2H4awnBMcG7XIgOJmGaThXEYf5h1M7I.html
O2 - BHO: (no name) - {0A436F7E-45E0-121B-0965-7D625354FD2F} - C:\PROGRA~1\FACEDE~1\way 1.exe
O4 - HKLM\..\Run: [Services32 ] C:\WINDOWS\system32.exe
O4 - HKLM\..\Run: [GLSetIT32] c:\windows\system32\system32
O4 - HKLM\..\Run: [Microsoft Update] snlogsvc.exe
O4 - HKLM\..\Run: [regsrv] scvhost.exe
O4 - HKLM\..\RunServices: [Microsoft Update] snlogsvc.exe
O4 - HKLM\..\RunServices: [regsrv] scvhost.exe
O4 - HKCU\..\Run: [Services32 ] C:\WINDOWS\system32.exe
O4 - HKCU\..\Run: [Microsoft Update] snlogsvc.exe


Vi skal kunne se dine skjulte filer for at finde snavs, der skal slettes manuelt. Det er en del af processen.
Åbn en tilfældig mappe, klik på Funktioner=>Mappeindstillinger=>Vis.
Fjern flueben ved "Skjul beskyttede operativsystemfiler".
Fjern flueben ved "Skjul filtypenavne for kendte filtyper".
Sæt prik i "Vis skjulte filer og mapper".

Disse programmer skal slettes i fejlsikret tilstand. Du genstarter og trykker F8 når Windows starter op.

Søg efter disse filer:

C:\PROGRA~1\FACEDE~1\way 1.exe
C:\WINDOWS\system32.exe
c:\windows\system32\system32
C:\WINDOWS\winlogon.exe
C:\WINDOWS\System32\windowssvc.exe

Så kører du med Ad-aware. Scan og fjern alt den finder.

Derefter genstarter du og sender en ny log ind til check

C:\WINDOWS\System32\snlogsvc.exe
Skal også slettes forresten...

så er den slettet... men nu syntes jeg ikke at jeg kan se min menu mere her på eksperten... den er bare blå der står ikke noget mere... og mit media player virker heller ikke...

Logfile of HijackThis v1.98.0
Scan saved at 15:40:28, on 26-07-2004
Platform: Windows XP  (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 (6.00.2600.0000)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\spoolsv.exe
C:\WINDOWS\System32\nvsvc32.exe
C:\WINDOWS\System32\windowssvc.exe
C:\WINDOWS\Explorer.exe
C:\WINDOWS\Mixer.exe
C:\Programmer\Messenger Plus! 3\MsgPlus.exe
C:\Programmer\Winamp\winampa.exe
C:\Programmer\Lavasoft\Ad-aware 6\Ad-watch.exe
C:\Programmer\Java\j2re1.4.2_05\bin\jusched.exe
C:\WINDOWS\System32\ctfmon.exe
C:\WINDOWS\System32\RUNDLL32.EXE
C:\WINDOWS\System32\snlogsvc.exe
c:\progra~1\intern~1\iexplore.exe
c:\progra~1\intern~1\iexplore.exe
C:\Programmer\MSN Messenger\msnmsgr.exe
C:\HijackThis\hijackthis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.vhohnuxtxws.com/Xdiw1thj5n/lHd3sZtH_DfpBbgCaXgJhkNSxAkG6MAU.htm
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://www.microsoft.com/isapi/redir.dll?prd=ie&pver=6&ar=msnhome
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://www.microsoft.com/isapi/redir.dll?prd=ie&ar=iesearch
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.microsoft.com/isapi/redir.dll?prd={SUB_PRD}&clcid={SUB_CLSID}&pver={SUB_PVER}&ar=home
R0 - HKLM\Software\Microsoft\Internet Explorer\Search,SearchAssistant = http://www.emvhpzpvifeblwdsgkno.com/Xdiw1thj5n_6oucfxBF1lxeXJPH/8G1aksosEB2FRuSv2oEqcvNZ2oVxGH_YdTOy.html
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Hyperlinks
F0 - system.ini: Shell=Explorer.exe c:\windows\system32\system32
F2 - REG:system.ini: Shell=Explorer.exe C:\WINDOWS\system32\fservice.exe
O2 - BHO: (no name) - {0A436F7E-45E0-121B-0965-7D625354FD2F} - C:\PROGRA~1\FACEDE~1\way 1.exe
O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\System32\NvCpl.dll,NvStartup
O4 - HKLM\..\Run: [nwiz] nwiz.exe /install
O4 - HKLM\..\Run: [C-Media Mixer] Mixer.exe /startup
O4 - HKLM\..\Run: [MessengerPlus3] "C:\Programmer\Messenger Plus! 3\MsgPlus.exe"
O4 - HKLM\..\Run: [Comp Web] C:\PROGRA~1\AXISHE~1\pure build rdr.exe
O4 - HKLM\..\Run: [GLSetIT32] c:\windows\system32\system32
O4 - HKLM\..\Run: [WinampAgent] C:\Programmer\Winamp\winampa.exe
O4 - HKLM\..\Run: [Ad-watch] "C:\Programmer\Lavasoft\Ad-aware 6\Ad-watch.exe"
O4 - HKLM\..\Run: [regsrv] scvhost.exe
O4 - HKLM\..\Run: [SunJavaUpdateSched] C:\Programmer\Java\j2re1.4.2_05\bin\jusched.exe
O4 - HKLM\..\Run: [SafeMediaEncNew] C:\Documents and Settings\All Users\Application Data\GridUploadSafeMedia\Itch Media.exe
O4 - HKLM\..\Run: [Microsoft Update] snlogsvc.exe
O4 - HKLM\..\RunServices: [Microsoft Update] snlogsvc.exe
O4 - HKLM\..\RunServices: [regsrv] scvhost.exe
O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\ctfmon.exe
O4 - HKCU\..\Run: [NvMediaCenter] RUNDLL32.EXE C:\WINDOWS\System32\NVMCTRAY.DLL,NvTaskbarInit
O4 - HKCU\..\Run: [MessengerPlus3] "C:\Programmer\Messenger Plus! 3\MsgPlus.exe" /WinStart
O4 - HKCU\..\Run: [Services32 ] C:\WINDOWS\system32.exe
O4 - HKCU\..\Run: [Microsoft Update] snlogsvc.exe
O4 - HKCU\..\Run: [msnmsgr] "C:\Programmer\MSN Messenger\msnmsgr.exe" /background
O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\WINDOWS\System32\msjava.dll
O9 - Extra 'Tools' menuitem: Sun Java Console - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\WINDOWS\System32\msjava.dll

Du har ikke fixet dem jeg bad dig om.
Prøv een gang til :O)

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.hbrwckcvbxgroemazs.com/E/86d70Lb7yx2H4awnBMcG7XIgOJmGaThXEYf5h1M7I.html
O2 - BHO: (no name) - {0A436F7E-45E0-121B-0965-7D625354FD2F} - C:\PROGRA~1\FACEDE~1\way 1.exe
O4 - HKLM\..\Run: [Services32 ] C:\WINDOWS\system32.exe
O4 - HKLM\..\Run: [GLSetIT32] c:\windows\system32\system32
O4 - HKLM\..\Run: [Microsoft Update] snlogsvc.exe
O4 - HKLM\..\Run: [regsrv] scvhost.exe
O4 - HKLM\..\RunServices: [Microsoft Update] snlogsvc.exe
O4 - HKLM\..\RunServices: [regsrv] scvhost.exe
O4 - HKCU\..\Run: [Services32 ] C:\WINDOWS\system32.exe
O4 - HKCU\..\Run: [Microsoft Update] snlogsvc.exe
O4 - HKLM\..\Run: [Comp Web] C:\PROGRA~1\AXISHE~1\pure build rdr.exe
Dissee skal  fixes

C:\PROGRA~1\FACEDE~1\way 1.exe
C:\WINDOWS\system32.exe
c:\windows\system32\system32
C:\WINDOWS\winlogon.exe
C:\WINDOWS\System32\windowssvc.exe
C:\PROGRA~1\AXISHE~1\pure build rdr.exe
Dissee skal slette i fejlsikret

Genstart og ny log

Sådan men jeg kunne ikke finde C:\WINDOWS\winlogon.exe

Logfile of HijackThis v1.98.0
Scan saved at 18:43:51, on 26-07-2004
Platform: Windows XP  (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 (6.00.2600.0000)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\windowssvc.exe
C:\WINDOWS\Explorer.exe
C:\WINDOWS\winlogon.exe
C:\HijackThis\hijackthis.exe
C:\Programmer\Windows NT\Tilbehør\WORDPAD.EXE

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.vhohnuxtxws.com/Xdiw1thj5n/lHd3sZtH_DfpBbgCaXgJhkNSxAkG6MAU.htm
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://www.microsoft.com/isapi/redir.dll?prd=ie&pver=6&ar=msnhome
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://www.microsoft.com/isapi/redir.dll?prd=ie&ar=iesearch
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.microsoft.com/isapi/redir.dll?prd={SUB_PRD}&clcid={SUB_CLSID}&pver={SUB_PVER}&ar=home
R0 - HKLM\Software\Microsoft\Internet Explorer\Search,SearchAssistant = http://www.emvhpzpvifeblwdsgkno.com/Xdiw1thj5n_6oucfxBF1lxeXJPH/8G1aksosEB2FRuSv2oEqcvNZ2oVxGH_YdTOy.html
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Hyperlinks
F2 - REG:system.ini: Shell=Explorer.exe C:\WINDOWS\system32\fservice.exe
O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\System32\NvCpl.dll,NvStartup
O4 - HKLM\..\Run: [nwiz] nwiz.exe /install
O4 - HKLM\..\Run: [C-Media Mixer] Mixer.exe /startup
O4 - HKLM\..\Run: [MessengerPlus3] "C:\Programmer\Messenger Plus! 3\MsgPlus.exe"
O4 - HKLM\..\Run: [WinampAgent] C:\Programmer\Winamp\winampa.exe
O4 - HKLM\..\Run: [Ad-watch] "C:\Programmer\Lavasoft\Ad-aware 6\Ad-watch.exe"
O4 - HKLM\..\Run: [regsrv] scvhost.exe
O4 - HKLM\..\Run: [SunJavaUpdateSched] C:\Programmer\Java\j2re1.4.2_05\bin\jusched.exe
O4 - HKLM\..\Run: [SafeMediaEncNew] C:\Documents and Settings\All Users\Application Data\GridUploadSafeMedia\Itch Media.exe
O4 - HKLM\..\Run: [Microsoft Update] snlogsvc.exe
O4 - HKLM\..\RunServices: [Microsoft Update] snlogsvc.exe
O4 - HKLM\..\RunServices: [regsrv] scvhost.exe
O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\ctfmon.exe
O4 - HKCU\..\Run: [NvMediaCenter] RUNDLL32.EXE C:\WINDOWS\System32\NVMCTRAY.DLL,NvTaskbarInit
O4 - HKCU\..\Run: [MessengerPlus3] "C:\Programmer\Messenger Plus! 3\MsgPlus.exe" /WinStart
O4 - HKCU\..\Run: [Microsoft Update] snlogsvc.exe

Kommer til dig lidt senere i aften, så får vi has på den

Du skal kunne se alle filer for at finde c:\windows\winlogon.exe

Åbn en tilfældig mappe, klik på Funktioner=>Mappeindstillinger=>Vis.
Fjern flueben ved "Skjul beskyttede operativsystemfiler".
Fjern flueben ved "Skjul filtypenavne for kendte filtyper".
Sæt prik i "Vis skjulte filer og mapper".

det hjælper heller ikke... kan stadig ikke finde den... hvis jeg ikke snart får løst problemet formatere jeg bare... :-( men Tak for hjælpen... jeg lader lige spørgsmålet være åbnet en lille time mere... Men tak for hjælpen alle sammen.. hvis i lige lægger et svar ind så får andersenph 20 point og cp1
10 point

O4 - HKLM\..\Run: [regsrv] scvhost.exe
O4 - HKLM\..\Run: [Microsoft Update] snlogsvc.exe
O4 - HKLM\..\RunServices: [Microsoft Update] snlogsvc.exe
O4 - HKLM\..\RunServices: [regsrv] scvhost.exe
O4 - HKCU\..\Run: [Microsoft Update] snlogsvc.exe
Prøv lige at fixe disse filer med hijackthis.

Start op i fejlsikret og gå i start -> søg -> søg efter filer skriv C:\WINDOWS\winlogon.exe. Slet den.

Og husk det må ikke være den der ligger i System32 mappen. Den er nemlig legal....

Kom med en ny log, når du har genstartet :O)

jeg har formateret nu... og er kørende igen... så... men du får de point

gi pointene til "andersenph" det er ham der har lavet det store stykke arbejde ;)

Det skal jeg gøre så... men du skal også have en stor Tak

det er bare ok ;)

Jamen så lægger jeg et svar
http://www.eksperten.dk/artikler/144
http://www.eksperten.dk/artikler/254
Her er lidt læsning om sikker surfing på nettet.

her var lidt point... tak for det hele...

Selv tak da :O)