Avatar billede martinmc Nybegynder
30. oktober 2004 - 22:52 Der er 13 kommentarer og
2 løsninger

HijackThis Log.

Nogen der gider tjekke den her:

D:\WINDOWS\System32\smss.exe
D:\WINDOWS\system32\winlogon.exe
D:\WINDOWS\system32\services.exe
D:\WINDOWS\system32\lsass.exe
D:\WINDOWS\system32\svchost.exe
D:\WINDOWS\System32\svchost.exe
D:\WINDOWS\system32\LEXBCES.EXE
D:\WINDOWS\system32\spoolsv.exe
D:\WINDOWS\system32\LEXPPS.EXE
D:\WINDOWS\Explorer.exe
D:\WINDOWS\System32\System32.exe
D:\WINDOWS\System32\LXSUPMON.EXE
D:\Programmer\ISTsvc\istsvc.exe
D:\WINDOWS\system32\gearsec.exe
D:\WINDOWS\System32\RUNDLL32.EXE
D:\WINDOWS\System32\nvsvc32.exe
D:\WINDOWS\System32\yuvjhl.exe
D:\Program Files\Windows SyncroAd\SyncroAd.exe
D:\Program Files\Windows SyncroAd\WinSync.exe
D:\WINDOWS\System32\ctfmon.exe
D:\WINDOWS\System32\wuauclt.exe
D:\WINDOWS\System32\svchost.exe
D:\Programmer\MSN Messenger\msnmsgr.exe
D:\Programmer\WinRAR\WinRAR.exe
D:\PROGRA~1\WINZIP\winzip32.exe
D:\Documents and Settings\Martin\Lokale indstillinger\Temp\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Hyperlinks
F2 - REG:system.ini: Shell=Explorer.exe D:\WINDOWS\System32\System32.exe
F3 - REG:win.ini: run=Regsrv32.exe
O2 - BHO: (no name) - {000020DD-C72E-4113-AF77-DD56626C6C42} - (no file)
O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - D:\Programmer\Adobe\Acrobat 6.0\Reader\ActiveX\AcroIEHelper.dll
O2 - BHO: (no name) - {83DE62E0-5805-11D8-9B25-00E04C60FAF2} - D:\WINDOWS\2_0_1browserhelper2.dll
O2 - BHO: BHObj Class - {8F4E5661-F99E-4B3E-8D85-0EA71C0748E4} - D:\WINDOWS\wsem302.dll
O2 - BHO: FlashFXP Helper for Internet Explorer - {E5A1691B-D188-4419-AD02-90002030B8EE} - D:\Programmer\FlashFXP\IEFlash.dll (file missing)
O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - D:\WINDOWS\System32\msdxm.ocx
O3 - Toolbar: MSN - {BDAD1DAD-C946-4A17-ADC1-64B5B4FF55D0} - D:\Programmer\MSN Apps\MSN Toolbar\01.02.3000.1001\da\msntb.dll (file missing)
O4 - HKLM\..\Run: [LXSUPMON] D:\WINDOWS\System32\LXSUPMON.EXE RUN
O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE D:\WINDOWS\System32\NvCpl.dll,NvStartup
O4 - HKLM\..\Run: [BearShare] "D:\Programmer\BearShare\BearShare.exe" /pause
O4 - HKLM\..\Run: [QuickTime Task] "D:\Programmer\QuickTime\qttask.exe" -atboottime
O4 - HKLM\..\Run: [NeroFilterCheck] D:\WINDOWS\system32\NeroCheck.exe
O4 - HKLM\..\Run: [CloneCDElbyCDFL] "D:\Programmer\Elaborate Bytes\CloneCD\ElbyCheck.exe" /L ElbyCDFL
O4 - HKLM\..\Run: [IST Service] D:\Programmer\ISTsvc\istsvc.exe
O4 - HKLM\..\Run: [NvMediaCenter] RUNDLL32.EXE D:\WINDOWS\System32\NvMcTray.dll,NvTaskbarInit
O4 - HKLM\..\Run: [bbfdfqjni] D:\WINDOWS\System32\yuvjhl.exe
O4 - HKLM\..\Run: [Windows SyncroAd] D:\Program Files\Windows SyncroAd\SyncroAd.exe
O4 - HKLM\..\Run: [mxypgr] D:\WINDOWS\mxypgr.exe
O4 - HKLM\..\Run: [WebRebates0] "D:\Programmer\Web_Rebates\WebRebates0.exe"
O4 - HKCU\..\Run: [MsnMsgr] "D:\Programmer\MSN Messenger\MsnMsgr.Exe" /background
O4 - HKCU\..\Run: [ctfmon.exe] D:\WINDOWS\System32\ctfmon.exe
O8 - Extra context menu item: E&xport to Microsoft Excel - res://D:\PROGRA~1\MICROS~2\OFFICE11\EXCEL.EXE/3000
O8 - Extra context menu item: Web Rebates - file://D:\Programmer\Web_Rebates\Sy1150\Tp1150\scri1150a.htm
O9 - Extra button: Research - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - D:\PROGRA~1\MICROS~2\OFFICE11\REFIEBAR.DLL
O9 - Extra button: Related - {c95fe080-8f5d-11d2-a20b-00aa003c157a} - D:\WINDOWS\web\related.htm
O9 - Extra 'Tools' menuitem: Show &Related Links - {c95fe080-8f5d-11d2-a20b-00aa003c157a} - D:\WINDOWS\web\related.htm
O16 - DPF: {15AD4789-CDB4-47E1-A9DA-992EE8E6BAD6} - http://public.windupdates.com/get_file.php?bt=ie&p=6e1d88da1d51f77eb132c045609b1ae19eccee9501ea2f8c7ea680e2ea5f44e6b494207f4a6203b2fac449861db710ff31f38429d6f232227b2a5905c689:24515e734f677cac594f3fdc891b75c6
O16 - DPF: {166B1BCA-3F9C-11CF-8075-444553540000} (Shockwave ActiveX Control) - https://download.macromedia.com/pub/shockwave/cabs/director/sw.cab
O16 - DPF: {386A771C-E96A-421F-8BA7-32F1B706892F} (Installer Class) - http://www.xxxtoolbar.com/ist/softwares/v4.0/0006_regular.cab
O16 - DPF: {A590956F-AE99-4419-BB39-3C721276C625} (Util Class) - https://udstedelse.certifikat.tdc.dk/csp/authenticode/PrimeInkCSP-0504.exe
O16 - DPF: {D8089245-3211-40F6-819B-9E5E92CD61A2} (FlashXControl Object) - https://register3.valueactive.com/286/webolr/OCX/FlashAX.cab
Avatar billede tonnybrandt Nybegynder
30. oktober 2004 - 22:57 #1
Jeg kigger lige på den ..
Avatar billede tonnybrandt Nybegynder
30. oktober 2004 - 23:02 #2
Hent denne Kaspersky scanner, den skal du bruge senere.
http://www.spywareinfo.dk/download/mwav.exe - Virusscanner.


Kør Hijackthis, scan, sæt flueben ved linierne listet her, luk alle vinduer undtaget Hijackthis, klik på fix checked, slet mapper og filer listet nederst.
Dobbelttjek, så alt kommer med.

F2 - REG:system.ini: Shell=Explorer.exe D:\WINDOWS\System32\System32.exe
F3 - REG:win.ini: run=Regsrv32.exe
O2 - BHO: (no name) - {000020DD-C72E-4113-AF77-DD56626C6C42} - (no file)
O2 - BHO: (no name) - {83DE62E0-5805-11D8-9B25-00E04C60FAF2} - D:\WINDOWS\2_0_1browserhelper2.dll
O2 - BHO: BHObj Class - {8F4E5661-F99E-4B3E-8D85-0EA71C0748E4} - D:\WINDOWS\wsem302.dll
O2 - BHO: FlashFXP Helper for Internet Explorer - {E5A1691B-D188-4419-AD02-90002030B8EE} - D:\Programmer\FlashFXP\IEFlash.dll (file missing)
O3 - Toolbar: MSN - {BDAD1DAD-C946-4A17-ADC1-64B5B4FF55D0} - D:\Programmer\MSN Apps\MSN Toolbar\01.02.3000.1001\da\msntb.dll (file missing)
O4 - HKLM\..\Run: [BearShare] "D:\Programmer\BearShare\BearShare.exe" /pause
O4 - HKLM\..\Run: [IST Service] D:\Programmer\ISTsvc\istsvc.exe
O4 - HKLM\..\Run: [bbfdfqjni] D:\WINDOWS\System32\yuvjhl.exe
O4 - HKLM\..\Run: [Windows SyncroAd] D:\Program Files\Windows SyncroAd\SyncroAd.exe
O4 - HKLM\..\Run: [mxypgr] D:\WINDOWS\mxypgr.exe
O4 - HKLM\..\Run: [WebRebates0] "D:\Programmer\Web_Rebates\WebRebates0.exe"
O8 - Extra context menu item: Web Rebates - file://D:\Programmer\Web_Rebates\Sy1150\Tp1150\scri1150a.htm
O9 - Extra button: Related - {c95fe080-8f5d-11d2-a20b-00aa003c157a} - D:\WINDOWS\web\related.htm
O9 - Extra 'Tools' menuitem: Show &Related Links - {c95fe080-8f5d-11d2-a20b-00aa003c157a} - D:\WINDOWS\web\related.htm
O16 - DPF: {15AD4789-CDB4-47E1-A9DA-992EE8E6BAD6} - http://public.windupdates.com/get_file.php?bt=ie&p=6e1d88da1d51f77eb132c045609b1ae19eccee9501ea2f8c7ea680e2ea5f44e6b494207f4a6203b2fac449861db710ff31f38429d6f232227b2a5905c689:24515e734f677cac594f3fdc891b75c6
O16 - DPF: {386A771C-E96A-421F-8BA7-32F1B706892F} (Installer Class) - http://www.xxxtoolbar.com/ist/softwares/v4.0/0006_regular.cab

Så skal du genstarte pc'en i fejlsikret tilstand. Klik F8 under opstart.

---------------------------------------
Sletning af filer og mapper:
Åbn en mappe, klik på Funktioner=>Mappeindstillinger=>Vis.
Fjern flueben ved "Skjul beskyttede operativsystemfiler".
Fjern flueben ved "Skjul filtypenavne for kendte filtyper".
Sæt prik i "Vis skjulte filer og mapper".
Brug af Start->Søg.
Klik på "Alle filer og mapper"
Klik på "Avancerede indstillinger"
Sæt flueben i de tre øverste.
-------------------
Mapper:
D:\Programmer\FlashFXP
D:\Programmer\BearShare
D:\Programmer\ISTsvc
D:\Program Files\Windows SyncroAd
D:\Programmer\Web_Rebates

Filer:
D:\WINDOWS\System32\System32.exe
D:\WINDOWS\System32\yuvjhl.exe
D:\WINDOWS\2_0_1browserhelper2.dll
D:\WINDOWS\wsem302.dll

---------------------------------------
Så kører du engangsskanneren fra Kaspersky - Aktiver det hele i opsætningen derinde, så den kan skanne alt igennem.
---------------------------------------

Genstart normalt og kom med en ny log til kontrol
Avatar billede tonnybrandt Nybegynder
30. oktober 2004 - 23:04 #3
Når du kommer med den nye log, skal hele loggen med. Også toppen hvor styresystem osv er nævnt.
Avatar billede martinmc Nybegynder
30. oktober 2004 - 23:46 #4
Mangler at køre Kaspersky scanner, da linket ikke virkede, men prøver lige at finde et andet sted at hente programmet. ok?

Logfile of HijackThis v1.98.2
Scan saved at 23:45:46, on 30-10-2004
Platform: Windows XP  (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 (6.00.2600.0000)

Running processes:
D:\WINDOWS\System32\smss.exe
D:\WINDOWS\system32\winlogon.exe
D:\WINDOWS\system32\services.exe
D:\WINDOWS\system32\lsass.exe
D:\WINDOWS\system32\svchost.exe
D:\WINDOWS\System32\svchost.exe
D:\WINDOWS\system32\LEXBCES.EXE
D:\WINDOWS\system32\spoolsv.exe
D:\WINDOWS\system32\LEXPPS.EXE
D:\WINDOWS\system32\gearsec.exe
D:\WINDOWS\Explorer.EXE
D:\WINDOWS\System32\LXSUPMON.EXE
D:\WINDOWS\System32\RUNDLL32.EXE
D:\WINDOWS\System32\ctfmon.exe
D:\Program Files\Windows SyncroAd\WinSync.exe
D:\WINDOWS\System32\wuauclt.exe
D:\Program Files\Windows SyncroAd\SyncroAd.exe
D:\Programmer\Internet Explorer\iexplore.exe
D:\PROGRA~1\WINZIP\winzip32.exe
D:\Documents and Settings\Martin\Lokale indstillinger\Temp\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Hyperlinks
O2 - BHO: MxTargetObj Class - {0000607D-D204-42C7-8E46-216055BF9918} - D:\WINDOWS\mxTarget.dll
O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - D:\Programmer\Adobe\Acrobat 6.0\Reader\ActiveX\AcroIEHelper.dll
O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - D:\WINDOWS\System32\msdxm.ocx
O4 - HKLM\..\Run: [LXSUPMON] D:\WINDOWS\System32\LXSUPMON.EXE RUN
O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE D:\WINDOWS\System32\NvCpl.dll,NvStartup
O4 - HKLM\..\Run: [QuickTime Task] "D:\Programmer\QuickTime\qttask.exe" -atboottime
O4 - HKLM\..\Run: [NeroFilterCheck] D:\WINDOWS\system32\NeroCheck.exe
O4 - HKLM\..\Run: [CloneCDElbyCDFL] "D:\Programmer\Elaborate Bytes\CloneCD\ElbyCheck.exe" /L ElbyCDFL
O4 - HKLM\..\Run: [NvMediaCenter] RUNDLL32.EXE D:\WINDOWS\System32\NvMcTray.dll,NvTaskbarInit
O4 - HKLM\..\Run: [vbtkkwguetvm] D:\WINDOWS\System32\yuvjhl.exe
O4 - HKLM\..\Run: [Windows SyncroAd] D:\Program Files\Windows SyncroAd\SyncroAd.exe
O4 - HKCU\..\Run: [MsnMsgr] "D:\Programmer\MSN Messenger\MsnMsgr.Exe" /background
O4 - HKCU\..\Run: [ctfmon.exe] D:\WINDOWS\System32\ctfmon.exe
O8 - Extra context menu item: E&xport to Microsoft Excel - res://D:\PROGRA~1\MICROS~2\OFFICE11\EXCEL.EXE/3000
O9 - Extra button: Research - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - D:\PROGRA~1\MICROS~2\OFFICE11\REFIEBAR.DLL
O16 - DPF: {166B1BCA-3F9C-11CF-8075-444553540000} (Shockwave ActiveX Control) - https://download.macromedia.com/pub/shockwave/cabs/director/sw.cab
O16 - DPF: {A590956F-AE99-4419-BB39-3C721276C625} (Util Class) - https://udstedelse.certifikat.tdc.dk/csp/authenticode/PrimeInkCSP-0504.exe
O16 - DPF: {D8089245-3211-40F6-819B-9E5E92CD61A2} (FlashXControl Object) - https://register3.valueactive.com/286/webolr/OCX/FlashAX.cab
Avatar billede martinmc Nybegynder
30. oktober 2004 - 23:48 #5
"Mapper:
D:\Programmer\FlashFXP
D:\Programmer\BearShare (Har jeg fjernet)
D:\Programmer\ISTsvc (Har jeg fjernet)
D:\Program Files\Windows SyncroAd
D:\Programmer\Web_Rebates"

Men de tre andre kunne jeg ikke se, selvom jeg havde ændret det i indstillinger osv. :S
Avatar billede martinmc Nybegynder
30. oktober 2004 - 23:53 #6
Nu kunne man godt komme ind på linket. Prøver lige og vender så tilbage med en log ;)
Avatar billede tonnybrandt Nybegynder
30. oktober 2004 - 23:54 #7
Genstart pc'en i fejlsikret tilstand. Klik F8 under opstart.

Kør Hijackthis, scan, sæt flueben ved linierne listet her, luk alle vinduer undtaget Hijackthis, klik på fix checked.

O2 - BHO: MxTargetObj Class - {0000607D-D204-42C7-8E46-216055BF9918} - D:\WINDOWS\mxTarget.dll
O4 - HKLM\..\Run: [vbtkkwguetvm] D:\WINDOWS\System32\yuvjhl.exe
O4 - HKLM\..\Run: [Windows SyncroAd] D:\Program Files\Windows SyncroAd\SyncroAd.exe

Slet disse filer:
D:\WINDOWS\mxTarget.dll
D:\WINDOWS\System32\yuvjhl.exe

Samt denne mappe:
D:\Program Files\Windows SyncroAd

Genstart normalt og kom med en ny log til kontrol

Efterfølgende skal du opdatere computeren med minimum sp1. Den kan hentes her:
http://intern.sdu.dk/it-service/tjenester/ftphotel/ftpindhold

Underligt at du ikke kan hente den scanner. Du er nr 2 der siger det idag, mens jeg ingen problemer har med at hente den.
Avatar billede tonnybrandt Nybegynder
30. oktober 2004 - 23:55 #8
Ok, så kør scanneren i fejlsikret tilstand som beskrevet før, og udfør samtidig det jeg lige har lagt.
Avatar billede martinmc Nybegynder
31. oktober 2004 - 00:15 #9
Går i krig med det der og vender tilbage. :)
Avatar billede martinmc Nybegynder
31. oktober 2004 - 00:26 #10
Logfile of HijackThis v1.98.2
Scan saved at 00:25:49, on 31-10-2004
Platform: Windows XP  (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 (6.00.2600.0000)

Running processes:
D:\WINDOWS\System32\smss.exe
D:\WINDOWS\system32\winlogon.exe
D:\WINDOWS\system32\services.exe
D:\WINDOWS\system32\lsass.exe
D:\WINDOWS\system32\svchost.exe
D:\WINDOWS\System32\svchost.exe
D:\WINDOWS\system32\LEXBCES.EXE
D:\WINDOWS\system32\spoolsv.exe
D:\WINDOWS\system32\LEXPPS.EXE
D:\WINDOWS\system32\gearsec.exe
D:\WINDOWS\System32\nvsvc32.exe
D:\WINDOWS\Explorer.EXE
D:\WINDOWS\System32\LXSUPMON.EXE
D:\WINDOWS\System32\RUNDLL32.EXE
D:\WINDOWS\System32\ctfmon.exe
D:\WINDOWS\System32\wuauclt.exe
D:\WINDOWS\System32\wuauclt.exe
D:\Programmer\Internet Explorer\iexplore.exe
D:\Documents and Settings\Martin\Skrivebord\ting\Download\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Hyperlinks
O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - D:\Programmer\Adobe\Acrobat 6.0\Reader\ActiveX\AcroIEHelper.dll
O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - D:\WINDOWS\System32\msdxm.ocx
O4 - HKLM\..\Run: [LXSUPMON] D:\WINDOWS\System32\LXSUPMON.EXE RUN
O4 - HKLM\..\Run: [NeroFilterCheck] D:\WINDOWS\system32\NeroCheck.exe
O4 - HKLM\..\Run: [CloneCDElbyCDFL] "D:\Programmer\Elaborate Bytes\CloneCD\ElbyCheck.exe" /L ElbyCDFL
O4 - HKLM\..\Run: [NvMediaCenter] RUNDLL32.EXE D:\WINDOWS\System32\NvMcTray.dll,NvTaskbarInit
O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE D:\WINDOWS\System32\NvCpl.dll,NvStartup
O4 - HKCU\..\Run: [MsnMsgr] "D:\Programmer\MSN Messenger\MsnMsgr.Exe" /background
O4 - HKCU\..\Run: [ctfmon.exe] D:\WINDOWS\System32\ctfmon.exe
O8 - Extra context menu item: E&xport to Microsoft Excel - res://D:\PROGRA~1\MICROS~2\OFFICE11\EXCEL.EXE/3000
O9 - Extra button: Research - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - D:\PROGRA~1\MICROS~2\OFFICE11\REFIEBAR.DLL
O16 - DPF: {166B1BCA-3F9C-11CF-8075-444553540000} (Shockwave ActiveX Control) - https://download.macromedia.com/pub/shockwave/cabs/director/sw.cab
O16 - DPF: {A590956F-AE99-4419-BB39-3C721276C625} (Util Class) - https://udstedelse.certifikat.tdc.dk/csp/authenticode/PrimeInkCSP-0504.exe
O16 - DPF: {D8089245-3211-40F6-819B-9E5E92CD61A2} (FlashXControl Object) - https://register3.valueactive.com/286/webolr/OCX/FlashAX.cab

Sådan ser den ud nu. Den der Service Pack 1 og 2 tror jeg, jeg venter til imorgen med at hente. :D
Fylder en del..
Avatar billede tonnybrandt Nybegynder
31. oktober 2004 - 00:29 #11
Så er den pinligt ren.

Efter sådan en tur er det altid en god ide og rydde op i systemgendannelses filerne. Deaktiver systemgendannelse  - genstart din computer - aktiver systemgendannelse.
(klik start | indstillinger | kontrolpanel | system, fanebladet systemgendannelse)

Du kan evt installere nogle af programmerne i spywarefri pakken..de er alle små, konflikter ikke og er meget effektive mod snavs af den slags du lige har været angrebet af.

Specielt anbefaler vi Spybot,spywareblaster, IE-Spyad og spywareguard.
Se mere i "pakken" her
http://www.spywarefri.dk/pakken.htm

Og sørg så for at få den opdateret med den servicepack. Så slipper du måske for problemer i fremtiden *s*
Avatar billede martinmc Nybegynder
31. oktober 2004 - 00:32 #12
Hehe. Skal hente de ting imorgen.

Tak for hjælpen. :)

MartinMC
Avatar billede tonnybrandt Nybegynder
31. oktober 2004 - 00:38 #13
Velbekomme og takker for point :)
Avatar billede martinmc Nybegynder
31. oktober 2004 - 09:40 #14
TAkker... PC'en kører meget hurtigere end før :)
Avatar billede tonnybrandt Nybegynder
31. oktober 2004 - 09:42 #15
Fint *s*

Ja, sådan noget snavs trækker altså tænder ud på en computer *s*
Avatar billede Ny bruger Nybegynder

Din løsning...

Tilladte BB-code-tags: [b]fed[/b] [i]kursiv[/i] [u]understreget[/u] Web- og emailadresser omdannes automatisk til links. Der sættes "nofollow" på alle links.

Loading billede Opret Preview
Kategori
IT-kurser om Microsoft 365, sikkerhed, personlig vækst, udvikling, digital markedsføring, grafisk design, SAP og forretningsanalyse.

Log ind eller opret profil

Hov!

For at kunne deltage på Computerworld Eksperten skal du være logget ind.

Det er heldigvis nemt at oprette en bruger: Det tager to minutter og du kan vælge at bruge enten e-mail, Facebook eller Google som login.

Du kan også logge ind via nedenstående tjenester