Hijackthis fandt flg

Der kommer sikkert snart en og kigger på din log..

MEN: Du mangler starten af loggen, som er *meget* vigtig. Kopier *HELE* loggen her ind.

Logfile of HijackThis v1.98.2
Scan saved at 23:25:50, on 16-10-2004
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\spoolsv.exe
C:\WINDOWS\system32\spupdsvc.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\spnpinst.exe
C:\WINDOWS\system32\Sysocmgr.exe
C:\Programmer\Java\j2re1.4.2_03\bin\jusched.exe
C:\Programmer\ExtraFilm Hjemme\Agent.exe
C:\Programmer\Messenger\msmsgs.exe
C:\WINDOWS\system32\Systmesy.exe
C:\WINDOWS\explorer.exe
D:\vira\HiJackThis\hijackthis.exe

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Bar = res://C:\WINDOWS\tawnf.dll/sp.html#37049
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = res://C:\WINDOWS\tawnf.dll/sp.html#37049
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = about:blank
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = res://C:\WINDOWS\tawnf.dll/sp.html#37049
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = res://C:\WINDOWS\tawnf.dll/sp.html#37049
R0 - HKLM\Software\Microsoft\Internet Explorer\Search,SearchAssistant = res://C:\WINDOWS\tawnf.dll/sp.html#37049
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Hyperlinks
R3 - Default URLSearchHook is missing
O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Programmer\Adobe\Acrobat 6.0\Reader\ActiveX\AcroIEHelper.dll
O2 - BHO: (no name) - {CE68E927-CD96-8DD3-F6BB-C99F97B337D6} - C:\WINDOWS\sdkfc.dll
O4 - HKLM\..\Run: [SunJavaUpdateSched] C:\Programmer\Java\j2re1.4.2_03\bin\jusched.exe
O4 - HKLM\..\Run: [ExtraFilmHemmaAgent] C:\Programmer\ExtraFilm Hjemme\Agent.exe
O4 - HKLM\..\Run: [javacw.exe] C:\WINDOWS\system32\javacw.exe
O4 - HKLM\..\Run: [Systmesy] Systmesy.exe
O4 - HKLM\..\RunServices: [Systmesy] Systmesy.exe
O4 - HKCU\..\Run: [MSMSGS] "C:\Programmer\Messenger\msmsgs.exe" /background
O4 - HKCU\..\Run: [Systmesy] Systmesy.exe
O4 - Global Startup: Microsoft Office.lnk = C:\Programmer\Microsoft Office\Office\OSA9.EXE
O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - (no file)
O9 - Extra 'Tools' menuitem: Sun Java Console - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - (no file)
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programmer\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programmer\Messenger\msmsgs.exe
O12 - Plugin for .pdf: C:\Programmer\Internet Explorer\PLUGINS\nppdf32.dll
O16 - DPF: {6414512B-B978-451D-A0D8-FCFDF33E833C} (WUWebControl Class) - http://v5.windowsupdate.microsoft.com/v5consumer/V5Controls/en/x86/client/wuweb_site.cab?1097936882348
O16 - DPF: {C81B5180-AFD1-41A3-97E1-99E8D254DB98} (CSS Web Installer Class) - http://scanner.virus112.com/cabs/cssweb.cab

Genstart i fejlsikker tilstand of slet filerne:
C:\WINDOWS\tawnf.dll
C:\WINDOWS\sdkfc.dll

Genstart til normal og ny log da der er mere der skal fixes.

John_Stigers> Vil du ikke slå systemgendannelsen fra, genstarte, fixe "res://C:\WINDOWS\"-linierne + [Systmesy]-linierne + (no file)-linierne (og måske jusched.exe + OSA9.EXE), genstarte, vise skjulte filer og derefter slette tawnf.dll + sdkfc.dll + Systmesy.exe ?

Har nu kørt i fejlsikker tilstand og slettet flg:

sdkfc.dll
javacw.exe
sdkoh32.dll
Kunne ikke finde:

tawnf.dll
crgj32.exe
submithook.dll

Her er logfilen fra HijackThis:

Logfile of HijackThis v1.98.2
Scan saved at 00:18:19, on 17-10-2004
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\spoolsv.exe
C:\WINDOWS\Explorer.EXE
C:\WINDOWS\jtkamb.dat
C:\WINDOWS\system32\spupdsvc.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\wscntfy.exe
C:\WINDOWS\system32\spnpinst.exe
C:\WINDOWS\system32\Sysocmgr.exe
C:\Programmer\Java\j2re1.4.2_03\bin\jusched.exe
C:\Programmer\ExtraFilm Hjemme\Agent.exe
C:\WINDOWS\system32\Systmesy.exe
C:\WINDOWS\system32\mfcpd32.exe
C:\Programmer\Messenger\msmsgs.exe
C:\WINDOWS\system32\wuauclt.exe
D:\vira\HiJackThis\hijackthis.exe

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Bar = res://C:\WINDOWS\qqgie.dll/sp.html#37049
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = res://C:\WINDOWS\qqgie.dll/sp.html#37049
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = about:blank
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = res://C:\WINDOWS\qqgie.dll/sp.html#37049
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Bar = res://C:\WINDOWS\qqgie.dll/sp.html#37049
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = res://C:\WINDOWS\qqgie.dll/sp.html#37049
R0 - HKLM\Software\Microsoft\Internet Explorer\Search,SearchAssistant = res://C:\WINDOWS\qqgie.dll/sp.html#37049
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Hyperlinks
R3 - Default URLSearchHook is missing
O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Programmer\Adobe\Acrobat 6.0\Reader\ActiveX\AcroIEHelper.dll
O2 - BHO: (no name) - {6EFA1A5C-5C50-9372-566B-822D6BC8B2D7} - C:\WINDOWS\system32\sdkqh32.dll
O4 - HKLM\..\Run: [SunJavaUpdateSched] C:\Programmer\Java\j2re1.4.2_03\bin\jusched.exe
O4 - HKLM\..\Run: [ExtraFilmHemmaAgent] C:\Programmer\ExtraFilm Hjemme\Agent.exe
O4 - HKLM\..\Run: [Systmesy] Systmesy.exe
O4 - HKLM\..\Run: [mfcpd32.exe] C:\WINDOWS\system32\mfcpd32.exe
O4 - HKLM\..\RunServices: [Systmesy] Systmesy.exe
O4 - HKCU\..\Run: [MSMSGS] "C:\Programmer\Messenger\msmsgs.exe" /background
O4 - HKCU\..\Run: [Systmesy] Systmesy.exe
O4 - Global Startup: Microsoft Office.lnk = C:\Programmer\Microsoft Office\Office\OSA9.EXE
O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - (no file)
O9 - Extra 'Tools' menuitem: Sun Java Console - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - (no file)
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programmer\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programmer\Messenger\msmsgs.exe
O12 - Plugin for .pdf: C:\Programmer\Internet Explorer\PLUGINS\nppdf32.dll
O16 - DPF: {6414512B-B978-451D-A0D8-FCFDF33E833C} (WUWebControl Class) - http://v5.windowsupdate.microsoft.com/v5consumer/V5Controls/en/x86/client/wuweb_site.cab?1097936882348
O16 - DPF: {C81B5180-AFD1-41A3-97E1-99E8D254DB98} (CSS Web Installer Class) - http://scanner.virus112.com/cabs/cssweb.cab

tawnf.dll + sdkfc.dll er mog bekendt ikke systemfiler - derfor vil jeg ikke bruge systemgendannelse.
res://C:\WINDOWS\"-linierne (hvis de stadig er der efter boot) skal selvfølgelig fixes - men kun hvis de stadig er i loggen efter boot.
Systmesy.exe er ikke snavs.

OK - se bort fra indlægget ovenover - det var til thesurfer ;)

Tjekker log nu.

Vi prøver den basale måde først:
sæt vinge ved disse og klik på fix:
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Bar = res://C:\WINDOWS\qqgie.dll/sp.html#37049
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = res://C:\WINDOWS\qqgie.dll/sp.html#37049
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = about:blank
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = res://C:\WINDOWS\qqgie.dll/sp.html#37049
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Bar = res://C:\WINDOWS\qqgie.dll/sp.html#37049
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = res://C:\WINDOWS\qqgie.dll/sp.html#37049
R0 - HKLM\Software\Microsoft\Internet Explorer\Search,SearchAssistant = res://C:\WINDOWS\qqgie.dll/sp.html#37049
R3 - Default URLSearchHook is missing
O2 - BHO: (no name) - {6EFA1A5C-5C50-9372-566B-822D6BC8B2D7} - C:\WINDOWS\system32\sdkqh32.dll
O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - (no file)
O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - (no file)

Genstart og ny log

Systmesy.exe skal væk! Langt væk http://www.sophos.com/virusinfo/analyses/w32rbotkq.html

John_Stigers> ang systemgendannelsen: den skal slåes fra, så de ikke er med, når sys.gen.dan slåes til igen.

På Windows ME og XP skal man *altid* slå sys.gen.dan *FRA*, før man begynder at fixe loggen..

Logfile of HijackThis v1.98.2
Scan saved at 00:42:15, on 17-10-2004
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\spoolsv.exe
C:\WINDOWS\Explorer.EXE
C:\Programmer\Java\j2re1.4.2_03\bin\jusched.exe
C:\Programmer\ExtraFilm Hjemme\Agent.exe
C:\WINDOWS\jtkamb.dat
C:\WINDOWS\system32\Systmesy.exe
C:\WINDOWS\system32\mfcpd32.exe
C:\Programmer\Messenger\msmsgs.exe
C:\WINDOWS\system32\spupdsvc.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\wscntfy.exe
C:\WINDOWS\system32\spnpinst.exe
C:\WINDOWS\system32\wuauclt.exe
C:\WINDOWS\system32\Sysocmgr.exe
D:\vira\HiJackThis\hijackthis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Hyperlinks
R3 - Default URLSearchHook is missing
O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Programmer\Adobe\Acrobat 6.0\Reader\ActiveX\AcroIEHelper.dll
O2 - BHO: (no name) - {610146D6-50AE-6627-57CD-E713C4595869} - C:\WINDOWS\iehv32.dll
O4 - HKLM\..\Run: [SunJavaUpdateSched] C:\Programmer\Java\j2re1.4.2_03\bin\jusched.exe
O4 - HKLM\..\Run: [ExtraFilmHemmaAgent] C:\Programmer\ExtraFilm Hjemme\Agent.exe
O4 - HKLM\..\Run: [Systmesy] Systmesy.exe
O4 - HKLM\..\Run: [mfcpd32.exe] C:\WINDOWS\system32\mfcpd32.exe
O4 - HKLM\..\RunServices: [Systmesy] Systmesy.exe
O4 - HKCU\..\Run: [MSMSGS] "C:\Programmer\Messenger\msmsgs.exe" /background
O4 - HKCU\..\Run: [Systmesy] Systmesy.exe
O4 - Global Startup: Microsoft Office.lnk = C:\Programmer\Microsoft Office\Office\OSA9.EXE
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programmer\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programmer\Messenger\msmsgs.exe
O12 - Plugin for .pdf: C:\Programmer\Internet Explorer\PLUGINS\nppdf32.dll
O16 - DPF: {6414512B-B978-451D-A0D8-FCFDF33E833C} (WUWebControl Class) - http://v5.windowsupdate.microsoft.com/v5consumer/V5Controls/en/x86/client/wuweb_site.cab?1097936882348
O16 - DPF: {C81B5180-AFD1-41A3-97E1-99E8D254DB98} (CSS Web Installer Class) - http://scanner.virus112.com/cabs/cssweb.cab

Har fået det hele til at virke
Takker for hjælpen.
Drop lige et svar til point

Du er stadig ikke ren...

Hent og kør denne scanner fra Kaspersky : http://www.arlet.dk/mwti.htm
Slet alt hvad den finder

genstart og ny log

johnstigers -> Det er ikke for at blande mig*S*

Har kørt Kaspersky, og afleveret pc'eren, så ny log kan ikke laves.

Det vil sige at spørgsmålet ikke kan afsluttes korrekt?
Jeg takker for point.

Filen Systmesy.exe ser ikke helt uskyldig ud.. hvis den stadig er i loggen, er loggen ikke ren.. dvs, spm'et bør ikke afsluttes endnu..

Men det er op til spørgeren.....

http://www.spywarefri.dk/forum/topic.asp?TOPIC_ID=5437
+
http://www.spywarefri.dk/forum/topic.asp?TOPIC_ID=6099

hhv. abovergaard og resist fjerner den ikke i disse logs, så jeg vil mene den er ok! :)

thesurfer-> det er helt rigtigt, at sysmesy.exe ikke er uskyldig. Tjek mit link 17/10-2004 00:32:10. Der er dog en god chance for at den er blevet nappet af virusscanneren ;)

John-stigers-> hvis du lige tjekker tråden med resist, så vil du se at den er væk, efter at kaspersky scanneren er kørt ;)

John > Den ER snavset og skal fjernes. Hvis du kigger i begge de logs du linker til, så bliver brugeren i begge logs bedt om at køre en virusscanner og den nappede filen og registreringen idet den ikke længere er i de efterfølgende logs.

Blot lige for at få på plads hvorfor resist og Anette ikke manuelt fjernede filen.

forevernewbie> Jeg undskylder.. havde ikke set 17/10-2004 00:32:10..

I har ret - det ændrer dog ikke på at spørger åbenbart ikke har pc´en længere :(

thesurfer-> np