tjekke hijack this log

Den er ren.

Det lader til at du selv har været ved at lave lidt i opstarten med noget tv-out, samt en batch fil der installerer msnplus.

Har du problemer med den ?

Du kan fixe disse 2 men det er blot "oprydning", da de ligger og fylder og ikke peger på noget.
O4 - Startup: Microsoft Outlook.lnk = ?
O4 - User Startup: Microsoft Outlook.lnk = ?

->smashlotus Hvad er dit problem?

<tonnybrant>: Hvad med denne:
O4 - HKLM\..\RunOnce: [MessengerPlusUninstall] C:\WINDOWS\command.com /C "C:\WINDOWS\TEMP\MsgPlusUninst.bat"
?

Disse kan også disables - trækker bare unødvendige resouser:
O4 - HKLM\..\Run: [WinampAgent] "C:\PROGRAMMER\WINAMP\WINAMPa.exe"
O4 - Startup: Microsoft Office.lnk = C:\Programmer\Microsoft Office\Office\OSA9.EXE
O4 - Startup: Microsoft Outlook.lnk = ?
O4 - User Startup: Microsoft Office.lnk = C:\Programmer\Microsoft Office\Office\OSA9.EXE

<tonnybrant>: Bekræft gerne...

majsmarken > Jeg har efterfølgende kontrolleret den [MessengerPlusUninstall] og i andre fora, beder de faktisk brugeren om at fixe den. Da det er en "runonce" burde den være forsvundet ved næste opstart og derfor mente jeg den var ligegyldig.

Du har ret i de andre også, men besluttede ikke at fixe dem da det ikke er vores opgave at bestemme hvad brugeren skal have kørende, sålænge det ikke er snavs eller en sikkerhedsrisiko.

Blot så du ved bevæggrundende for at erklære loggen "ren" *s*

Så jeg vil anbefale at denne fjernes:
O4 - HKLM\..\RunOnce: [MessengerPlusUninstall] C:\WINDOWS\command.com /C "C:\WINDOWS\TEMP\MsgPlusUninst.bat"

Om du vil fixe disse bestemmer du selv:
O4 - HKLM\..\Run: [WinampAgent] "C:\PROGRAMMER\WINAMP\WINAMPa.exe"
O4 - Startup: Microsoft Office.lnk = C:\Programmer\Microsoft Office\Office\OSA9.EXE
O4 - Startup: Microsoft Outlook.lnk = ?
O4 - User Startup: Microsoft Office.lnk = C:\Programmer\Microsoft Office\Office\OSA9.EXE

(Hvis fejlen nu forsvinder, er der vist lige en [MessengerPlusUninstall] der skal på blacklisten)

For så vidt var der egentlig ingen "synlige" problemer, jeg har blot haft problemer med browser hijacking o.l. før på denne pc, men det lader tilsyneladende til at et frisk tjek med Ad-aware SE og den nyeste Spysweeper har gjort kål på evt. snavs.

Det med messenger plus kan meget vel være i forbindelse med en un-install jeg kørte umiddelbart før jeg lavede en hijack-this log, fordi jeg erfarer at messenger plus vist nok indeholder noget spyware snavs...

Her kommer lige en ny log, til tjek:

Logfile of HijackThis v1.98.2
Scan saved at 10:43:19, on 14-08-2004
Platform: Windows ME (Win9x 4.90.3000)
MSIE: Internet Explorer v6.00 SP1 (6.00.2800.1106)

Running processes:
C:\WINDOWS\SYSTEM\KERNEL32.DLL
C:\WINDOWS\SYSTEM\MSGSRV32.EXE
C:\WINDOWS\SYSTEM\SPOOL32.EXE
C:\WINDOWS\SYSTEM\MPREXE.EXE
C:\WINDOWS\SYSTEM\MSTASK.EXE
C:\WINDOWS\SYSTEM\SSDPSRV.EXE
C:\PROGRAMMER\FæLLES FILER\SYMANTEC SHARED\CCEVTMGR.EXE
C:\PROGRAMMER\FæLLES FILER\SYMANTEC SHARED\CCSETMGR.EXE
C:\PROGRAMMER\NORTON ANTIVIRUS\ADVTOOLS\NPROTECT.EXE
C:\WINDOWS\SYSTEM\mmtask.tsk
C:\WINDOWS\SYSTEM\RESTORE\STMGR.EXE
C:\WINDOWS\EXPLORER.EXE
C:\WINDOWS\TASKMON.EXE
C:\WINDOWS\SYSTEM\SYSTRAY.EXE
C:\WINDOWS\SYSTEM\WMIEXE.EXE
C:\PROGRAMMER\NETROPA\TOUCH MANAGER\TOUCHMGR.EXE
C:\WINDOWS\LOADQM.EXE
C:\PROGRAMMER\NETROPA\TOUCH MANAGER\MEDIACTR.EXE
C:\PROGRAMMER\FæLLES FILER\SYMANTEC SHARED\CCPD-LC\SYMLCSVC.EXE
C:\PROGRAMMER\FæLLES FILER\SYMANTEC SHARED\CCAPP.EXE
C:\PROGRAMMER\NETROPA\ONSCREEN DISPLAY\OSD.EXE
C:\PROGRAMMER\WEBROOT\SPY SWEEPER\SPYSWEEPER.EXE
C:\AMITECH\FORTRYD.EXE
C:\PROGRAMMER\NETROPA\TOUCH MANAGER\MMUSBKB2.EXE
C:\PROGRAMMER\MSN MESSENGER\MSNMSGR.EXE
C:\WINDOWS\SYSTEM\DDHELP.EXE
C:\PROGRAMMER\INTERNET EXPLORER\IEXPLORE.EXE
C:\WINDOWS\SKRIVEBORD\NY MAPPE\HIJACKTHIS.EXE

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.sydvestjydsk.dk
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://www.microsoft.com/isapi/redir.dll?prd=ie&ar=iesearch
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.sydvestjydsk.dk
R1 - HKCU\Software\Microsoft\Internet Explorer\SearchURL,(Default) = http://www.google.com/keyword/%s
R1 - HKCU\Software\Microsoft\Internet Connection Wizard,ShellNext = iexplore
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Hyperlinks
O4 - HKLM\..\Run: [ScanRegistry] C:\WINDOWS\scanregw.exe /autorun
O4 - HKLM\..\Run: [TaskMonitor] C:\WINDOWS\taskmon.exe
O4 - HKLM\..\Run: [PCHealth] C:\WINDOWS\PCHealth\Support\PCHSchd.exe -s
O4 - HKLM\..\Run: [SystemTray] SysTray.Exe
O4 - HKLM\..\Run: [LoadPowerProfile] Rundll32.exe powrprof.dll,LoadCurrentPwrScheme
O4 - HKLM\..\Run: [nVidiaTV-OUT] Regedit /S C:\Windows\tvout.reg
O4 - HKLM\..\Run: [Touch Manager] C:\Programmer\Netropa\Touch Manager\TouchMgr.exe
O4 - HKLM\..\Run: [Startup] C:\Amitech\Startup.exe /START
O4 - HKLM\..\Run: [LoadQM] loadqm.exe
O4 - HKLM\..\Run: [Symantec Core LC] C:\Programmer\Fælles filer\Symantec Shared\CCPD-LC\symlcsvc.exe start
O4 - HKLM\..\Run: [ccApp] "C:\Programmer\Fælles filer\Symantec Shared\ccApp.exe"
O4 - HKLM\..\Run: [Advanced Tools Check] C:\PROGRA~1\NORTON~1\ADVTOOLS\ADVCHK.EXE
O4 - HKLM\..\Run: [NPROTECT] C:\PROGRA~1\NORTON~1\ADVTOOLS\NPROTECT.EXE
O4 - HKLM\..\RunServices: [LoadPowerProfile] Rundll32.exe powrprof.dll,LoadCurrentPwrScheme
O4 - HKLM\..\RunServices: [SchedulingAgent] mstask.exe
O4 - HKLM\..\RunServices: [SSDPSRV] C:\WINDOWS\SYSTEM\ssdpsrv.exe
O4 - HKLM\..\RunServices: [*StateMgr] C:\WINDOWS\System\Restore\StateMgr.exe
O4 - HKLM\..\RunServices: [ScriptBlocking] "C:\Programmer\Fælles filer\Symantec Shared\Script Blocking\SBServ.exe" -reg
O4 - HKLM\..\RunServices: [ccEvtMgr] "C:\Programmer\Fælles filer\Symantec Shared\ccEvtMgr.exe"
O4 - HKLM\..\RunServices: [ccSetMgr] "C:\Programmer\Fælles filer\Symantec Shared\ccSetMgr.exe"
O4 - HKLM\..\RunServices: [NPROTECT] C:\PROGRA~1\NORTON~1\ADVTOOLS\NPROTECT.EXE
O4 - HKCU\..\Run: [SpySweeper] "C:\Programmer\Webroot\Spy Sweeper\SPYSWEEPER.EXE" /0
O14 - IERESET.INF: START_PAGE_URL=http://www.amitech.dk
O16 - DPF: {F6A56D95-A3A3-11D2-AC26-400000058481} (Danske e-Sec) - https://netbank.danskebank.dk/netbank/activex/DanskeSikker.cab
O16 - DPF: {1A8790BD-AEBD-11BD-A2BD-00625BD00009} (Skjern Banks Netbank) - https://www.skjernbank.dk/sskjernibp2500ib100.cab
O16 - DPF: {8E0D4DE5-3180-4024-A327-4DFAD1796A8D} (MessengerStatsClient Class) - http://messenger.zone.msn.com/binary/MessengerStatsClient.cab
O16 - DPF: {2917297F-F02B-4B9D-81DF-494B6333150B} (Minesweeper Flags Class) - http://messenger.zone.msn.com/binary/MineSweeper.cab
O16 - DPF: {F6BF0D00-0B2A-4A75-BF7B-F385591623AF} (Solitaire Showdown Class) - http://messenger.zone.msn.com/binary/SolitaireShowdown.cab
O16 - DPF: {00B71CFB-6864-4346-A978-C0A14556272C} (Checkers Class) - http://messenger.zone.msn.com/binary/msgrchkr.cab
O16 - DPF: {9A9307A0-7DA4-4DAF-B042-5009F29E09E1} (ActiveScan Installer Class) - http://www.pandasoftware.com/activescan/as5/asinst.cab

O4 - Startup: Microsoft Office.lnk = C:\Programmer\Microsoft Office\Office\OSA9.EXE
Jeg er uenig med alle i at denne skal fixes- gør man det kan det ikke lade sig gøre at bruge Office programlinie/hurtigstart , det er selvfølgelig ok hvis man aldrig skal bruge den.

en god ide ville være at bruge spybot og installere den med Resident IE - så kontrollerer den dine Ie indstillinger hvis der er ændringer. Evt. også IEspyad og spywareblaster - men op til dig.
jvf.
http://www.spywarefri.dk/pakken.htm

Hej Dannyboyd, tak for din kommentar.. :-)

Jeg har haft hele spywarefri's pakkeløsning installeret, men jeg har valgt at skifte over til spysweeper (betalingssoftware) som klare det meste af det, som gratis-programmerne stod for inkl. kontrol af mine Ie indstillinger hvis der sker ændringer m.m.

citat fra spywarefri.dk:
"Spy Sweeper er til dig, som gerne vil købe et spywarebekæmpende progam, som dækker alle de små gratis programmer på en gang. Dette program er et kvalitetsværktøj, som koster 199 kr. for et års licens. Det eneste som trækker i den forkerte retning, er at programmet ikke er gratis. Man får dog fuld valuta for pengene, idet Spy Sweeper har flere gode features."
http://www.spywarefri.dk/vaerktoj.htm#spysweeper

Din log er ren. Fint, at vi lige fik forklaringen på den [MessengerPlusUninstall] linie.
Det lyder til at du har fint styr på at undgå spyware *s*

Jeg lægger et svar og vil opfordre Danny og Majsmarken til at gøre det samme.

Danny > Jeg er helt enig mht office.lnk. Som jeg skrev er det ikke vores opgave at bestemme hvad brugeren må have kørende, sålænge det ikke snavs eller en sikkerhedsrisiko :)

->smashlotus ok tak for tippet . viil også overveje spysweeper så.
Glad for at tonnybrandt er enig med mig omkring osa9.exe da jeg har set mange fixe den uden at fortælle hvorfor.

->Tonnybrandt kan du give et bud her - en disk med formatet RAW som ikke kan læses. er der en holdbar løsning andet end at forsøge at gendanne filerne?
http://www.eksperten.dk/spm/526328

Der er en 'tråd' her ang [Messenger Plus 3.0]:
http://www.eksperten.dk/spm/528544

Nok er det ikke virus (?) eller snavs (? men hvad gør denne:
O4 - HKLM\..\Run: [nVidiaTV-OUT] Regedit /S C:\Windows\tvout.reg

O4 - HKLM\..\Run: [Startup] C:\Amitech\Startup.exe /START

Har ikke set det før...

->majsmarken jeg kan heller ikke finde noget info på dem , hvilket kunne tyde på at det var snavs. så godt set - hvad mener du tonnybrandt?

O4 - HKLM\..\Run: [Startup] C:\Amitech\Startup.exe /START
... kunne nok være noget (reklame) der fulgte med maskinen ved køb (fra Amitech?)
Spørger kan måske svare ?

O4 - HKLM\..\Run: [nVidiaTV-OUT] Regedit /S C:\Windows\tvout.reg
Jeg har meget stor tillid til resist og han fjerner den ikke her:
http://www.eksperten.dk/spm/518622

O4 - HKLM\..\Run: [Startup] C:\Amitech\Startup.exe /START
Amitech pc'ere blev leveret med et "Go-back" system, hvor brugere kunne fortryde evt opgraderinger/installeringer af software og jeg går stærkt ud fra at det er den der ses her.

dannyboyd > Jeg har kigget spm du henviser til og har desværre ikke nogen input. Jeg mener at det er en af de uløselige, hvor data er mistet. Forhåbentlig for brugeren tager jeg fejl.

->ok Tonny , takker - Det er bare mærkeligt at så mange brugere får samme fejl....
Så skal de nok ikke fjernes alligevel de hijack strenge.

Tak for hjælpen alle 3!

tonnybrandt >> jo tak, jeg synes nu også selv jeg er ved at have rimelig styr på alt det med spyware, takket være især spywarefri.dk - en genial og uundværlig webside efter min mening.. dog må jeg stadig ty til jeres hjælp mht hijackthis-logs ;-)

dannyboyd >> kan i hvert fald godt give spysweeper mine varmeste anbefalinger, utrolig brugervenligt, nemt, og GRUNDIGT program at have med at gøre... Kan i øvrigt prøves gratis i en periode :-) se evt spywarefri.dk

Mvh. Peter

Velbekomme og takker for point.
Tjaa.. jeg kan ikke være uenig i din mening om Spywarefri.dk, siden jeg selv lige er blevet supporter på siten *S*