Hjælp til min HijackThis logfil

Gå i kontrolpanel -> tilføj/fjern programmer og slet DAP. Du kan anvende Stardownloader i stedet.
DAP er fyldt med spyware…
Her er et link:
http://www.vollversion.de/download/stardownloader_1342.html

Genstart og ny log please :O)

Det med DAP har du vist fortalt mig en gang før :) Den er slettet og jeg har kørt endnu et spywaretjek før loggen.

Logfile of HijackThis v1.98.2
Scan saved at 09:19:51, on 24-08-2004
Platform: Windows XP SP1 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP1 (6.00.2800.1106)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\SYSTEM32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\Explorer.EXE
C:\WINDOWS\system32\spoolsv.exe
C:\Programmer\Webserver\Apache2\bin\Apache.exe
c:\PROGRA~1\mcafee.com\vso\mcvsrte.exe
C:\PROGRA~1\McAfee.com\PERSON~1\MPFSERVICE.exe
C:\Programmer\Webserver\MySQL4\bin\mysqld-nt.exe
C:\WINDOWS\System32\nvsvc32.exe
C:\Programmer\Another IE Popup Killer\Another IE Popup Killer.exe
C:\WINDOWS\System32\svchost.exe
C:\Programmer\Webserver\Apache2\bin\Apache.exe
C:\PROGRA~1\mcafee.com\agent\mcagent.exe
C:\Programmer\Ad-aware Pro\Ad-watch.exe
C:\Programmer\iTunes\iTunesHelper.exe
C:\PROGRA~1\McAfee.com\PERSON~1\MpfTray.exe
C:\PROGRA~1\mcafee.com\vso\mcvsshld.exe
C:\Programmer\Microsoft Hardware\Mouse\point32.exe
C:\Programmer\Spamihilator\spamihilator.exe
C:\WINDOWS\System32\ctfmon.exe
c:\progra~1\mcafee.com\vso\mcvsescn.exe
C:\Programmer\Sizer\sizer.exe
C:\WINDOWS\system32\ntvdm.exe
C:\WINDOWS\System32\devldr32.exe
C:\PROGRA~1\McAfee.com\PERSON~1\MpfAgent.exe
C:\WINDOWS\System32\wuauclt.exe
C:\Programmer\iPod\bin\iPodService.exe
c:\PROGRA~1\mcafee.com\vso\mcshield.exe
C:\Documents and Settings\Jong\Skrivebord\hijackthis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.webroot.dev/
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Hyperlinks
O1 - Hosts: 127.0.0.2 www.jongbiz.dev jongbiz.dev
O1 - Hosts: 127.0.0.2 www.engine.dev engine.dev
O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Programmer\Adobe\Acrobat 6.0\Reader\ActiveX\AcroIEHelper.dll
O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINDOWS\System32\msdxm.ocx
O3 - Toolbar: McAfee VirusScan - {BA52B914-B692-46c4-B683-905236F6F655} - c:\progra~1\mcafee.com\vso\mcvsshl.dll
O4 - HKLM\..\Run: [aiepk] C:\Programmer\Another IE Popup Killer\Another IE Popup Killer.exe
O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\System32\NvCpl.dll,NvStartup
O4 - HKLM\..\Run: [MCAgentExe] c:\PROGRA~1\mcafee.com\agent\mcagent.exe
O4 - HKLM\..\Run: [MCUpdateExe] C:\PROGRA~1\mcafee.com\agent\mcupdate.exe
O4 - HKLM\..\Run: [Ad-watch] "C:\Programmer\Ad-aware Pro\Ad-watch.exe"
O4 - HKLM\..\Run: [iTunesHelper] C:\Programmer\iTunes\iTunesHelper.exe
O4 - HKLM\..\Run: [QuickTime Task] "C:\Programmer\QuickTime\qttask.exe" -atboottime
O4 - HKLM\..\Run: [MPFExe] C:\PROGRA~1\McAfee.com\PERSON~1\MpfTray.exe
O4 - HKLM\..\Run: [IMJPMIG8.1] "C:\WINDOWS\IME\imjp8_1\IMJPMIG.EXE" /Spoil /RemAdvDef /Migration32
O4 - HKLM\..\Run: [MSPY2002] C:\WINDOWS\System32\IME\PINTLGNT\ImScInst.exe /SYNC
O4 - HKLM\..\Run: [PHIME2002ASync] C:\WINDOWS\System32\IME\TINTLGNT\TINTSETP.EXE /SYNC
O4 - HKLM\..\Run: [PHIME2002A] C:\WINDOWS\System32\IME\TINTLGNT\TINTSETP.EXE /IMEName
O4 - HKLM\..\Run: [CloneCDTray] "C:\Programmer\Clone CD\CloneCDTray.exe" /s
O4 - HKLM\..\Run: [VSOCheckTask] "c:\PROGRA~1\mcafee.com\vso\mcmnhdlr.exe" /checktask
O4 - HKLM\..\Run: [VirusScan Online] "c:\PROGRA~1\mcafee.com\vso\mcvsshld.exe"
O4 - HKLM\..\Run: [POINTER] point32.exe
O4 - HKCU\..\Run: [Spamihilator] "C:\Programmer\Spamihilator\spamihilator.exe"
O4 - HKCU\..\Run: [ctfmon.exe] C:\WINDOWS\System32\ctfmon.exe
O4 - Startup: StofaNet Connector.lnk = C:\Programmer\StofaNet Connector\STOFANET.EXE
O4 - Global Startup: Sizer.lnk = C:\Programmer\Sizer\sizer.exe
O9 - Extra button: Opslag - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - C:\PROGRA~1\MICROS~2\OFFICE11\REFIEBAR.DLL
O16 - DPF: Yahoo! Chess - http://download.games.yahoo.com/games/clients/y/ct1_x.cab
O16 - DPF: Yahoo! Pool 2 - http://download.games.yahoo.com/games/clients/y/potd_x.cab
O16 - DPF: {4ED9DDF0-7479-4BBE-9335-5A1EDB1D8A21} (McAfee.com Operating System Class) - http://download.mcafee.com/molbin/shared/mcinsctl/en-us/4,0,0,83/mcinsctl.cab
O16 - DPF: {74D05D43-3236-11D4-BDCD-00C04F9A3B61} (HouseCall Control) - http://a840.g.akamai.net/7/840/537/7d90ae05585062/housecall.antivirus.com/housecall/xscan53.cab
O16 - DPF: {9A9307A0-7DA4-4DAF-B042-5009F29E09E1} (ActiveScan Installer Class) -
O16 - DPF: {A590956F-AE99-4419-BB39-3C721276C625} - https://udstedelse.certifikat.tdc.dk/csp/authenticode/PrimeInkCSP-0504.exe
O16 - DPF: {BCC0FF27-31D9-4614-A68E-C18E1ADA4389} (DwnldGroupMgr Class) - http://download.mcafee.com/molbin/shared/mcgdmgr/en-us/1,0,0,20/mcgdmgr.cab
O16 - DPF: {EB387D2F-E27B-4D36-979E-847D1036C65D} (QDiagHUpdateObj Class) - http://h30043.www3.hp.com/aio/en/check/qdiagh.cab?319
O16 - DPF: {F5131C24-E56D-11CF-B78A-444553540000} (Ikonic Menu Control) - http://activex.microsoft.com/controls/iptdweb/ikcntrls.cab
O16 - DPF: {F9408298-9658-482C-8B02-93F09A80225F} - https://udstedelse.certifikat.tdc.dk/csp/authenticode/PrimeInkCSP-0104.exe
O20 - AppInit_DLLs: PAVWAIT.DLL

Hvordan kan det være, at C:\WINDOWS\System32\svchost.exe optræder så mange gange i loggen? Der er også et eller andet galt med Mcafee, da den starter to gange. Jeg har en mistanke til C:\PROGRA~1\McAfee.com\PERSON~1\MpfTray.exe, men det ved du sikkert bedre :) Til sidst så har jeg fornylig opdaget, at der oprettes to filer i C:\ ved opstart af Windows. De hedder aldrig det samme, men dog altid noget med t**4 og t**4.1. Disse er så at sige umulige at slette. Ved fejlsikret tilstand skabes de ikke. Ved lukning af explorer.exe kan de heller ikke slettes, når jeg prøver gennem cmd.exe. Jeg har også prøvet at lukke diverse programmer gradvis ned, for at se hvilken proces, som skaber filerne. Men det er ikke helt ligetil at se, da filerne har med pludselig at forsvinde :)

Hmmm.
Jeg ved ikke om jeg kan svare på det hele, men jeg kan da prøve :O)

Nu flere programmer du har kørende, desto flere svchost vil du have liggende i din jobliste.
Svchost.exe er et "hjælpeprogram" til de applikationer du kører på din pc.
Man kan vel kalde det en vejviser eller noget i den retning *S*
Så den er helt legal.

Jeg er ikke så stærk i Mak affe, men sådan som jeg ser din log, er det forskellige funktioner i programmet der starter op.
Så jeg tror ikke vi skal pille ved det.

De der underlige filer synes jeg vil skal scanne for.
Hent denne scanner:
http://www.mwti.net/antivirus/free_utilities.asp
Det er ligegyldigt hvilket af de 7 links du downloader fra.

Inde i opsætningen sætter du den til at scanne alt.
Kør programmet.

Hvis jeg trykker på linkekene her:
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.webroot.dev/
O1 - Hosts: 127.0.0.2 www.jongbiz.dev jongbiz.dev
O1 - Hosts: 127.0.0.2 www.engine.dev engine.dev
Så kommer jeg ingen vegne. Er det nogle sider du kender?
Ellers ville jeg fixe dem med Hijackthis.

Denne skal under alle omstændigheder fixes:
O20 - AppInit_DLLs: PAVWAIT.DLL

Genstart og ny log når du er færdig :O)

eScan Antivirus Toolkit Utility fandt kun en Gator, og så lavede den et eller andet ved C:\Programmer\Microsoft Hardware\Mouse\point32.exe. Ellers var der intet at komme efter. De to t**4 og t**4.1 er der dog stadigvæk efter at jeg har fixet O20 - AppInit_DLLs: PAVWAIT.DLL

Angåede de links, så er det nogle selvopfundne domæner jeg leger med lokalt på min Apache server, så de er gode nok :)

Nyeste log:

Logfile of HijackThis v1.98.2
Scan saved at 11:16:28, on 24-08-2004
Platform: Windows XP SP1 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP1 (6.00.2800.1106)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\SYSTEM32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\spoolsv.exe
C:\WINDOWS\Explorer.EXE
C:\Programmer\Webserver\Apache2\bin\Apache.exe
c:\PROGRA~1\mcafee.com\vso\mcvsrte.exe
C:\PROGRA~1\McAfee.com\PERSON~1\MPFSERVICE.exe
C:\Programmer\Webserver\MySQL4\bin\mysqld-nt.exe
C:\WINDOWS\System32\nvsvc32.exe
C:\Programmer\Webserver\Apache2\bin\Apache.exe
C:\WINDOWS\System32\svchost.exe
C:\Programmer\Another IE Popup Killer\Another IE Popup Killer.exe
C:\PROGRA~1\mcafee.com\agent\mcagent.exe
C:\Programmer\Ad-aware Pro\Ad-watch.exe
C:\Programmer\iTunes\iTunesHelper.exe
C:\PROGRA~1\McAfee.com\PERSON~1\MpfTray.exe
C:\PROGRA~1\mcafee.com\vso\mcvsshld.exe
C:\Programmer\Spamihilator\spamihilator.exe
C:\WINDOWS\System32\ctfmon.exe
C:\Programmer\Sizer\sizer.exe
c:\progra~1\mcafee.com\vso\mcvsescn.exe
C:\WINDOWS\system32\ntvdm.exe
C:\PROGRA~1\McAfee.com\PERSON~1\MpfAgent.exe
C:\WINDOWS\System32\devldr32.exe
C:\WINDOWS\System32\wuauclt.exe
C:\Programmer\Internet Explorer\iexplore.exe
c:\PROGRA~1\mcafee.com\vso\mcshield.exe
C:\Programmer\iPod\bin\iPodService.exe
C:\Documents and Settings\Jong\Skrivebord\hijackthis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.webroot.dev/
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Hyperlinks
O1 - Hosts: 127.0.0.2 www.jongbiz.dev jongbiz.dev
O1 - Hosts: 127.0.0.2 www.engine.dev engine.dev
O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Programmer\Adobe\Acrobat 6.0\Reader\ActiveX\AcroIEHelper.dll
O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINDOWS\System32\msdxm.ocx
O3 - Toolbar: McAfee VirusScan - {BA52B914-B692-46c4-B683-905236F6F655} - c:\progra~1\mcafee.com\vso\mcvsshl.dll
O4 - HKLM\..\Run: [aiepk] C:\Programmer\Another IE Popup Killer\Another IE Popup Killer.exe
O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\System32\NvCpl.dll,NvStartup
O4 - HKLM\..\Run: [MCAgentExe] c:\PROGRA~1\mcafee.com\agent\mcagent.exe
O4 - HKLM\..\Run: [MCUpdateExe] C:\PROGRA~1\mcafee.com\agent\mcupdate.exe
O4 - HKLM\..\Run: [Ad-watch] "C:\Programmer\Ad-aware Pro\Ad-watch.exe"
O4 - HKLM\..\Run: [iTunesHelper] C:\Programmer\iTunes\iTunesHelper.exe
O4 - HKLM\..\Run: [QuickTime Task] "C:\Programmer\QuickTime\qttask.exe" -atboottime
O4 - HKLM\..\Run: [MPFExe] C:\PROGRA~1\McAfee.com\PERSON~1\MpfTray.exe
O4 - HKLM\..\Run: [IMJPMIG8.1] "C:\WINDOWS\IME\imjp8_1\IMJPMIG.EXE" /Spoil /RemAdvDef /Migration32
O4 - HKLM\..\Run: [MSPY2002] C:\WINDOWS\System32\IME\PINTLGNT\ImScInst.exe /SYNC
O4 - HKLM\..\Run: [PHIME2002ASync] C:\WINDOWS\System32\IME\TINTLGNT\TINTSETP.EXE /SYNC
O4 - HKLM\..\Run: [PHIME2002A] C:\WINDOWS\System32\IME\TINTLGNT\TINTSETP.EXE /IMEName
O4 - HKLM\..\Run: [CloneCDTray] "C:\Programmer\Clone CD\CloneCDTray.exe" /s
O4 - HKLM\..\Run: [VSOCheckTask] "c:\PROGRA~1\mcafee.com\vso\mcmnhdlr.exe" /checktask
O4 - HKLM\..\Run: [VirusScan Online] "c:\PROGRA~1\mcafee.com\vso\mcvsshld.exe"
O4 - HKCU\..\Run: [Spamihilator] "C:\Programmer\Spamihilator\spamihilator.exe"
O4 - HKCU\..\Run: [ctfmon.exe] C:\WINDOWS\System32\ctfmon.exe
O4 - Startup: StofaNet Connector.lnk = C:\Programmer\StofaNet Connector\STOFANET.EXE
O4 - Global Startup: Sizer.lnk = C:\Programmer\Sizer\sizer.exe
O9 - Extra button: Opslag - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - C:\PROGRA~1\MICROS~2\OFFICE11\REFIEBAR.DLL
O16 - DPF: Yahoo! Chess - http://download.games.yahoo.com/games/clients/y/ct1_x.cab
O16 - DPF: Yahoo! Pool 2 - http://download.games.yahoo.com/games/clients/y/potd_x.cab
O16 - DPF: {4ED9DDF0-7479-4BBE-9335-5A1EDB1D8A21} (McAfee.com Operating System Class) - http://download.mcafee.com/molbin/shared/mcinsctl/en-us/4,0,0,83/mcinsctl.cab
O16 - DPF: {74D05D43-3236-11D4-BDCD-00C04F9A3B61} (HouseCall Control) - http://a840.g.akamai.net/7/840/537/7d90ae05585062/housecall.antivirus.com/housecall/xscan53.cab
O16 - DPF: {9A9307A0-7DA4-4DAF-B042-5009F29E09E1} (ActiveScan Installer Class) -
O16 - DPF: {A590956F-AE99-4419-BB39-3C721276C625} - https://udstedelse.certifikat.tdc.dk/csp/authenticode/PrimeInkCSP-0504.exe
O16 - DPF: {BCC0FF27-31D9-4614-A68E-C18E1ADA4389} (DwnldGroupMgr Class) - http://download.mcafee.com/molbin/shared/mcgdmgr/en-us/1,0,0,20/mcgdmgr.cab
O16 - DPF: {EB387D2F-E27B-4D36-979E-847D1036C65D} (QDiagHUpdateObj Class) - http://h30043.www3.hp.com/aio/en/check/qdiagh.cab?319
O16 - DPF: {F5131C24-E56D-11CF-B78A-444553540000} (Ikonic Menu Control) - http://activex.microsoft.com/controls/iptdweb/ikcntrls.cab
O16 - DPF: {F9408298-9658-482C-8B02-93F09A80225F} - https://udstedelse.certifikat.tdc.dk/csp/authenticode/PrimeInkCSP-0104.exe

Prøv at give mig et "navn" på de t**4 filer der starter op. Så har jeg lidt at søge på måske....

Din log er ren nu :O)

t1eg og t1eg.1

De angives på formen t1** og t1**.1 - så forkert første gang :) De sidste to er altid bogstaver. Sidste gang var det es. Første gang jeg opdagede dem, var det hg. Jeg har selv prøvet at søge lidt på google, pandas virusleksikon samt mcafees virusleksikon, men har ikke fundet noget brugbart. Håber du kan.

Næ, det passer vist ikke hvad jeg siger, ellers kunne de jo ikke ende med et 4-tal :) Den korrekte form må så være t*** og t***.1. De kan ikke åbnes, flyttes, omdøbes, eller slettet. De er der bare :)

kigger lige på det

http://downloads.subratam.org/KillBox.zip

http://home8.inet.tele.dk/fbj/TheKillBoxBrugsanvisning.htm

Pak Killbox ud i en mappe for sig selv og følg brugsanvisningen.

Skriv det navn de har nu ind, og se om det hjælper

Jeg har fundet synderen :)

Pocket Killbox kunne desværre ikke hjælpe på problemet. Jeg prøvede også at sætte dem i kø, og slette dem ved opstart. Problemet er, at de automatisk slettes ved afslutning af den pågældende proces, og nye oprettes ved start.

Det eneste jeg har installeret for nylig er software til min MS optical mouse blue, Apache 2, PHP 5 og MySQL 4. Jeg har sat til MySQL til at kører som en service i Windows, og den startes automatisk.

Jeg startede med at afinstallere software til min mus. Intet der. Så prøvede jeg at lukke ned for Apache. Heller intet. Så prøvede jeg MySQL, og vupti, så forsvandt de :) Så nu vil jeg kigge nærmere på nogle instillinger.

Tak for hjælpen, læg et svar :)

Kommer her :O)

Godt du fandt fejlem