Spyware eller programfejl

Prøv at kig din reg-base igennem og se hvad det er som henviser til disse to filer, også fjern de nøgler...

Det er muligvis en trojan. Prøv det her:
1. Check om du har WebDialer installeret i Tilføj/Fjern programmer. Hvis ja, slet det!
2. Har du underlige programmer kørende i taskbar (Ctrl-Alt-Delete), så stop dem !
3. Søg efter openme.exe med Find Filer og nak dem
4. Kig i System.ini og find linjen: shell=Explorer.exe openme.exe
5. Ret linjen i Pkt 4. så den ser således ud: shell=Explorer.exe
6. Slet dine filer i Temp-mappen

smid en hijackthis log så er jeg sikker på en af de tunge drenge lige vil slå blikkket over den :)

Nu er jeg ikke lige århundretes klogeste dreng, så..

Logfile of HijackThis v1.98.0
Scan saved at 10:55:32, on 29-07-2004
Platform: Windows XP  (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 (6.00.2600.0000)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\spoolsv.exe
C:\WINDOWS\Explorer.exe
C:\Programmer\Keymaestro\Multimedia Keyboard\nhksrv.exe
C:\Programmer\Norton AntiVirus\navapsvc.exe
C:\WINDOWS\System32\svchost.exe
C:\PROGRA~1\NORTON~1\navapw32.exe
C:\Programmer\D-Tools\daemon.exe
C:\Programmer\Java\j2re1.4.2_04\bin\jusched.exe
C:\WINDOWS\system32\dumprep.exe
C:\Programmer\Internet Explorer\IEXPLORE.EXE
C:\WINDOWS\System32\dwwin.exe
C:\Documents and Settings\Silas J\Dokumenter\Programs\hijackthis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Hyperlinks
F2 - REG:system.ini: Shell=Explorer.exe openme.exe
O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Programmer\Adobe\Acrobat 6.0\Reader\ActiveX\AcroIEHelper.dll
O2 - BHO: (no name) - {53707962-6F74-2D53-2644-206D7942484F} - C:\Programmer\Spybot - Search & Destroy\SDHelper.dll
O2 - BHO: NAV Helper - {BDF3E430-B101-42AD-A544-FADC6B084872} - C:\Programmer\Norton AntiVirus\NavShExt.dll
O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINDOWS\System32\msdxm.ocx
O3 - Toolbar: Norton AntiVirus - {42CDD1BF-3FFB-4238-8AD1-7859DF00B1D6} - C:\Programmer\Norton AntiVirus\NavShExt.dll
O4 - HKLM\..\Run: [NAV Agent] C:\PROGRA~1\NORTON~1\navapw32.exe
O4 - HKLM\..\Run: [DAEMON Tools-1033] "C:\Programmer\D-Tools\daemon.exe"  -lang 1033
O4 - HKLM\..\Run: [Cmaudio] RunDll32 cmicnfg.cpl,CMICtrlWnd
O4 - HKLM\..\Run: [SunJavaUpdateSched] C:\Programmer\Java\j2re1.4.2_04\bin\jusched.exe
O4 - HKLM\..\Run: [zierd32] C:\WINDOWS\System32\kolder.exe C:\WINDOWS\System32\dirote.exe
O4 - HKLM\..\Run: [KernelFaultCheck] %systemroot%\system32\dumprep 0 -k
O4 - HKLM\..\Run: [MULTIMEDIA KEYBOARD] C:\Programmer\Keymaestro\Multimedia Keyboard\MMKeybd.exe
O4 - HKCU\..\Run: [MsnMsgr] "C:\Programmer\MSN Messenger\MsnMsgr.Exe" /background
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programmer\Messenger\MSMSGS.EXE
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programmer\Messenger\MSMSGS.EXE
O16 - DPF: {2917297F-F02B-4B9D-81DF-494B6333150B} (Minesweeper Flags Class) - http://messenger.zone.msn.com/binary/MineSweeper.cab28578.cab
O16 - DPF: {8E0D4DE5-3180-4024-A327-4DFAD1796A8D} (MessengerStatsClient Class) - http://messenger.zone.msn.com/binary/MessengerStatsClient.cab28578.cab
O16 - DPF: {99410CDE-6F16-42CE-9D49-3807F78F0287} (ZangoInstaller Class) - http://infinity.zango.com/gateway/resources/default/zangoinstaller.cab?productid=542

sådan

der har vi ihvertfald openme.exe - men VENT med at fixe noget som helst før indtil en fra team spywarefri kommer forbi eller en anden kompentent fyr.

Hvor længe tror du det tager?

silas_j svært at sige ;)

men prøv det magictouch siger ;) han er også en dygtig fyr.

Ok.. Havde ikke lige set det

triple-x> tak for de rosende ord;)
silas j>> jeg ta´r den herfra;)

hvordan kan jeg komme ind i System.ini

Hej silas: hvornår har du sidst opdateret WinXP ?

vælg start menu og kør. skriv derefter system.ini

; for 16-bit app support
[drivers]
wave=mmdrv.dll
timer=timer.drv
[mci]
[driver32]
[386enh]
woafont=app850.FON
EGA80WOA.FON=EGA80850.FON
EGA40WOA.FON=EGA40850.FON
CGA80WOA.FON=CGA80850.FON
CGA40WOA.FON=CGA40850.FON

Det er det eneste der står...
Kan ikke lige se hvor der skulle være noget henne...

Catbody>> Hmm... 1 til 1½ uge siden, warum?

silas >>  der fremgår ikke af loggen at XP er incl. SP1

Nej... Men det har jeg prøvet at installere op til flere gange uden held.. Så gav jeg bare op, hvis man opdaterer skulle det vist alligevel ikke gøre den store forskel...

Hvorfor kan du ikke opdatere?
Scan med Hijackthis, luk alle andre vinduer, sæt en vinge i disse og FIX:
F2 - REG:system.ini: Shell=Explorer.exe openme.exe
O4 - HKLM\..\Run: [KernelFaultCheck] %systemroot%\system32\dumprep 0 -k

Genstart og send ny log

Kender du de to exe filer her:
C:\WINDOWS\System32\kolder.exe C:\WINDOWS\System32\dirote.exe

Hvis ikke, så tjek dem her:
http://www.kaspersky.com/de/scanforvirus
Og fortæl resultatet


Og opdater

http://v4.windowsupdate.microsoft.com/da/default.asp

http://www.sophos.com/virusinfo/analyses/w32randonah.html
ang. dirote.dk

dirote.exe selvfølgelig *GG* jeg lader magic overtage fra nu af, fortsat god dag

kolder.exe - packed with Cexe
kolder.exe/1091093062.43292 Ok
kolder.exe Ok
Det er godt ikke....

Den kan ikke finde nogen dirote.exe.. Det er skidt ikke

Triple-x, tak for det hurtige svar :D

Tak for hjælpen :) Har geninstalleret og det er long gone.
Da ingen kom med et "svar" lukker jeg tråden.