HijackThis log

Til info, så er problemet vedr "about:blank" og diverse popups. Har proøvet de gængse værktøjer, men intet formår at dræbe den for alvor...

www.downloadportal.dk

skriv spyware i søgmaskinen og download det nyeste software til løsning af problemet...

http://www.spywareinfo.com/~merijn/files/cwshredder.zip
Kør CWShredder, afbryd din internetforbindelse fysisk (stikket ud), deaktiver ALLE sikkerhedsprogrammer, luk alle vinduer undtaget cwshredder, klik på Fix, så scanner den, når den er færdig, klik på Next, klik på Exit.
Genstart og ny hijackthislog (lånt fra arlet.dk)

data2k.dk: Kan du være lidt mere specifik - kan du se ud fra loggen at der er noget specielt software der vil hjælpe, eller mener du at software fra www.downloadportal.dk generelt kan hjælpe?

data2k.dk> hvilken en af de 1807 resultater skal han så vælge???

frewald> vi skal nok få den startside fjernet - cwshredder er et kanont værktøj til det.

john_stigers: CWShredder er kørt uden meget held - dog uden at koble fra nettet. Gør det dog gerne hvis det er et kardinalpunkt :)

1. Det første du skal gøre er at hente Servicefilter her:
http://home.comcast.net/~rand1038/vbscript/ServiceFilter099.zip

Pak zipfilen ud i C:\getservice åbn mappen du pakkede den ud i, og dobbeltklik på servicefilter.vbs , der kommer en logfil ud af det, denne logfil kopierer du herind i dit næste indlæg.
Mens vi prøver at rense din PC må du ikke genstarte den.

LOL.... ja data2k.dk det var sgu lidt dårlig forklaret..

http://downloadportal.dk/showdownload.asp?rid=4132&sp=title
http://www.downloadportal.dk/showdownload.asp?rid=4136&sp=title
http://www.downloadportal.dk/showdownload.asp?rid=4137&sp=title
http://www.downloadportal.dk/showdownload.asp?rid=4133&sp=title

kunne finde de 4 i alt rodet

fromsej klarer den herfra - han skal nok få skidtet væk :)

fromsej: dejligt at se dig ;)

fromsej: unable to open this internet site
Har du en anden adresse?

hmm.. slap lige af folkens! men nu kan det være lige meget...
tænkte lidt på kalp's link http://www.downloadportal.dk/showdownload.asp?rid=4136&sp=title
og
http://www.downloadportal.dk/showdownload.asp?rid=4137&sp=title

men never mind: )

Det her link virker.
http://home.comcast.net/~rand1038/vbscript/ServiceFilter.zip

john_stigers... hvad mener du med 1807 resultater? der kom da kun 9! jeg søgte lige med spyware... så mit forslag var da godt nok!

ServiceFilter output:
The script did not recognize the services listed below.
This does not mean they are a problem.

Please post everything below the row of # signs
and nothing from above it.

Thank You
################################################################################

ServiceFilter 1.0
by rand1038

Microsoft Windows XP Professional
Version: 5.1.2600 Service Pack 1
nov 4, 2004 20:51:58

Service Name: O?’ŽrtñåȲ$Ó
Display Name: Workstation NetLogon Service
Start Mode: Auto
Start Name: LocalSystem
Description: ...
Service Type: Share Process
Path: c:\windows\netfxocm.log:tplap /s
State: Running
Process ID: 1480
Started: True
Exit Code: 0
Accept Pause: False
Accept Stop: True

Service Name: SwPrv
Display Name: MS Software Shadow Copy Provider
Start Mode: Manual
Start Name: LocalSystem
Description: Manages software-based volume shadow copies ...
Service Type: Own Process
Path: c:\windows\system32\dllhost.exe /processid:{9ae6a7ec-e53f-46ef-9117-02ede2f6c59a}
State: Stopped
Process ID: 0
Started: False
Exit Code: 1077
Accept Pause: False
Accept Stop: False


Script Execution Time: 2,34375 seconds.

1A. Hent The Hoster her:
http://members.aol.com/toadbee/hoster.zip
Forklaring følger senere

2. Du skal kunne se alle filer, følg denne vejledning.
Åbn en tilfældig mappe, klik på Funktioner=>Mappeindstillinger=>Vis.
Fjern flueben ved "Skjul beskyttede operativsystemfiler".
Fjern flueben ved "Skjul filtypenavne for kendte filtyper".
Sæt prik i "Vis skjulte filer og mapper".

3. Hent About:Buster her http://tools.zerosrealm.com/AboutBuster.zip pak filen ud i C:\aboutbuster , den skal bruges senere.

4. Print vejledningen ud, eller gem den i et tekstdokument, da du skal af nettet nu.
Genstart i fejlsikret tilstand med netværk(tryk <F8> under genstart), fjern kablet til din internetforbindelse og følg resten af vejledningen.

5. Klik på Start->Kontrolpanel->Administration->Tjenester, find Tjenesten Workstation NetLogon Service højreklik på den og klik på Stop.
Højreklik på den igen, vælg Egenskaber, Fanebladet Generelt, skift Starttype til Deaktiveret, skriv oplysningen op i feltet Sti til ekseverbar fil, den fil skal slettes senere.

6. Tryk på <Ctrl><Alt><Delete> vælg fanebladet Processer og stop følgende processer:
C:\WINDOWS\system32\ekuob.dll
C:\WINDOWS\winxg.dll
C:\WINDOWS\system32\ierc.exe
C:\Program Files\Winad Client\Winad.exe
C:\WINDOWS\System32\dvpfwg.exe
C:\Program Files\BullsEye Network\bin\bargains.exe
c:\windows\netfxocm.log <=>Den "dårlige" fil fra punkt 5.

7. Find og slet følgende Filer:
C:\WINDOWS\system32\ekuob.dll
C:\WINDOWS\winxg.dll
C:\WINDOWS\system32\ierc.exe
C:\WINDOWS\System32\dvpfwg.exe
c:\windows\netfxocm.log
Følgende Mapper:
C:\Program Files\Winad Client\
C:\Program Files\BullsEye Network\

Hvis du får en fejl, så prøv at højreklikke på filen, vælge egenskaber og fjern hvad der måtte være af flueben, prøv så igen.

8. Luk ALLE programmer, kør så Hijackthis igen, scan og sæt flueben ved følgende:

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Bar = res://C:\WINDOWS\system32\ekuob.dll/sp.html#29620
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = res://C:\WINDOWS\system32\ekuob.dll/sp.html#29620
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = about:blank
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = res://C:\WINDOWS\system32\ekuob.dll/sp.html#29620
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Bar = res://C:\WINDOWS\system32\ekuob.dll/sp.html#29620
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = res://C:\WINDOWS\system32\ekuob.dll/sp.html#29620
R1 - HKCU\Software\Microsoft\Internet Explorer\Search,SearchAssistant = res://C:\WINDOWS\system32\ekuob.dll/sp.html#29620
R0 - HKLM\Software\Microsoft\Internet Explorer\Search,SearchAssistant = res://C:\WINDOWS\system32\ekuob.dll/sp.html#29620
R3 - Default URLSearchHook is missing
O2 - BHO: (no name) - {16699CC7-2121-F194-7988-8258EB5373BB} - C:\WINDOWS\winxg.dll
O4 - HKLM\..\Run: [ierc.exe] C:\WINDOWS\system32\ierc.exe
O4 - HKLM\..\Run: [Winad Client] C:\Program Files\Winad Client\Winad.exe
O4 - HKLM\..\Run: [btjoedtyji] C:\WINDOWS\System32\dvpfwg.exe
O4 - HKLM\..\Run: [BullsEye Network] C:\Program Files\BullsEye Network\bin\bargains.exe
O15 - Trusted Zone: *.05p.com
O15 - Trusted Zone: *.clickspring.net
O15 - Trusted Zone: *.flingstone.com
O15 - Trusted Zone: *.mt-download.com
O15 - Trusted Zone: *.my-internet.info
O15 - Trusted Zone: *.scoobidoo.com
O15 - Trusted Zone: *.searchbarcash.com
O15 - Trusted Zone: *.searchmiracle.com
O16 - DPF: {15AD4789-CDB4-47E1-A9DA-992EE8E6BAD6} - http://public.windupdates.com/get_file.php?bt=ie&p=9eafaeb2a8e2a9518112bc6e0cedee1552dd4ecb1dd748bcf1cf4d42ced1394245b14c137e17952f3a6abadc3d36297b2b37


9. Klik på Start->Kør skriv Regedit klik OK.
Du får et vindue lidt som Stifinder, klik dig frem til:
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Workstation NetLogon Service
Højreklik på den, og slet den, hvis den findes.
Klik dig så frem til:
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Enum\Root\LEGACY_Workstation NetLogon Service
Højreklik på den, og slet den, hvis den findes.
Får du ikke lov til at slette den, klik en gang på den, så den er markeret, vælg rediger, vælg tilladelser og tag fuld kontrol over nøglen, så kan du slette den.

10. Så er det tid for About:Buster
Find så mappen C:\aboutbuster, dobbeltklik på Aboutbuster.exe, klik på OK->Start->OK-Yes lad Buster gøre sit arbejde.
Spørger han om han skal to gange, så sig ja.

11. Åbn notesblok, kopier det mellem de stiplede linier ind i dokumentet:
--------------------------------------
REGEDIT4


[-HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Uninstall\HSA]

[-HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Uninstall\SE]

[-HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Uninstall\SW]
--------------------------------------

Gem det som Fix.reg
Dobbeltklik på Fix.reg og sig ja til at flette.

12.
Pak hoster.zip ud i en mappe og dobbeltklik på Hoster.exe, klik på Restore original hosts, klik på OK.
Hvis du selv har tilføjet linier i din hosts fil, er du nødt til at gøre det igen senere.

13. Åbn Internet Explorer, klik på Funktioner->Internetindstillinger->Sikkerhed, klik på Internet(jordklodeikonet), klik på Brugerdefineret Niveau, tjek følgende:
Aktiver scripting af AxctiveX-objekter, der er markeret som sikre <-> Spørg.
Automatisk forespørgsel om AxctiveX-objekter <-> Deaktiveret.
Hent AxctiveX-objekter uden signatur <-> Deaktiveret.
Hent signerede AxctiveX-objekter <-> Spørg.

14. Sæt netstikket i igen, scan så online for virus her:
http://housecall.trendmicro.com/housecall/start_corp.asp

15. Genstart normalt, og kom med en ny Hijackthislog.

Jeg vender tilbage når jeg er nået listen igennem...

Helt OK, bare giv dig god tid.*S*

Lige en kommentar til dette link:
http://www.downloadportal.dk/showdownload.asp?rid=4136&sp=title
Hold jer fra det, for det første viser det at man har spy, selvom det ikke er tilfældet, for det andet skal man købe det for at det vil fjerne spywaren som man IKKE har.
Das ist Fup und Schwindel mein freund.

data2k> undskyld - det var mig der ikke så mig for :)

data2k> men dit link er IKKE godt - du kender sikkert reglerne - med dit link i hånden kan jeg give dig serienummeret på Microsoft Windows 2003 Enterprise Edition...

ikke så smart...

på = til

John_Stigers:

Tror det lidt noget fup, med de serienumre... ihvertfald virkede den ikke hehe...

Og til data2k.dk' forsvar... så linker folk tit til google.. og med det link kan man også finde sådan nogen ting;) man må bare stole på folk ikke gør dette

john_stigers:

jeg er nu ikke den eneste som har linket til den side herinde.. næsten ligemeget hvor man linker til på nettet kan sådan noget dukke op...

men var nu ikke klar over den sektion der.. med serials

fastpoint.. laver du ikke meget pis??

Langsomt men sikkert går det fremad - sidder på en 700MHz maskine med en 64kb forbindelse :(
Jeg er ved at skulle scanne for vira (er stadig i failsafe), men vil lige smide følgende kommentarer:
A) NetLogon servicesen (punkt 5) var ikke startet, men dog automatic
B) Ingen af de nævnte processes (punkt 6) var aktive.
C) winxg.dll (punkt 7) eksisterede ikke
D) Ingen af de nævnte keys eksisterede (punkt 9)
E) About:Buster fandt en masse ting og fixede dem (clean i run 2)
F) Min IE er Engelsk, men jeg tror nok jeg har gættet mig frem til hvordan det skulle oversættes :-)

Lad mig vide hvis der er noget jeg skal gøre før end jeg er færdig med scan for virus.

data2k.dk> at du ikke er den eneste er sådan set ligegyldigt....

" jamen hr. betjent, ham der kørte foran mig kørte hurtigere!!..."

Get the picture?

HouseCall har fundet TROJ_AGENT-1 (Malware) og kræver en reboot før end jeg kan fortsætte. Hvis jeg ikke hører andet inden for et par minutter, rebooter jeg (ikke failsafe) *ss*

john_stigers: Nu viste jeg som sagt heller ikke at siden tilbød serials... eller den side den linker til gør... men forstår godt hvad du mener.

Mens den scanner for vira, poster jeg lige HijackThis loggen; Den ser (i mine øjne) ud til at være clean nu... (?)
Logfile of HijackThis v1.98.2
Scan saved at 22:47:26, on 04-11-2004
Platform: Windows XP SP1 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP1 (6.00.2800.1106)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\Explorer.EXE
C:\WINDOWS\System32\taskmgr.exe
C:\AboutBuster\AboutBuster.exe
C:\Program Files\Internet Explorer\iexplore.exe
C:\scan\hjt.exe

O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINDOWS\System32\msdxm.ocx
O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE NvQTwk,NvCplDaemon initialize
O4 - HKLM\..\Run: [nwiz] nwiz.exe /install
O4 - HKLM\..\Run: [QuickTime Task] "C:\Program Files\QuickTime\qttask.exe" -atboottime
O4 - HKLM\..\RunOnce: [cetec] regedit.exe /s C:\DOCUME~1\Kai\LOCALS~1\Temp\cetec.reg
O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\ctfmon.exe
O4 - HKCU\..\Run: [MSMSGS] "C:\Program Files\Messenger\msmsgs.exe" /background
O4 - Global Startup: Microsoft Office.lnk = C:\Program Files\Microsoft Office\Office\OSA9.EXE
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\MSMSGS.EXE
O9 - Extra 'Tools' menuitem: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\MSMSGS.EXE
O16 - DPF: {41F17733-B041-4099-A042-B518BB6A408C} - http://a1540.g.akamai.net/7/1540/52/20020323/qtinstall.info.apple.com/qt505/us/win/QuickTimeInstaller.exe
O16 - DPF: {74D05D43-3236-11D4-BDCD-00C04F9A3B61} (HouseCall Control) - http://a840.g.akamai.net/7/840/537/2004061001/housecall.trendmicro.com/housecall/xscan53.cab

Når scanneren er færdig, skal du lige fixe denne her:
O4 - HKLM\..\RunOnce: [cetec] regedit.exe /s C:\DOCUME~1\Kai\LOCALS~1\Temp\cetec.reg
Tøm så C:\DOCUME~1\Kai\LOCALS~1\Temp\

Genstart, og en ny forhåbentlig sidste log, foreløbelig ser det rigtig godt ud.

Hmmm HouseCall fandt en masse snavs (81 trojans), og jeg rebootede på opfordring på den. Så runonce'en er naturligvis ude nu. Men her er indholdet af cetec.reg:
#####
REGEDIT4

[HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run]
"SysUpd"=-
#####

Skal jeg bare slette denne key?

Hmm mærkeligt nok kan jeg ikke finde keyen i regedit :|

Så må vi gå ud fra at den er væk, når du har tømt Tempmappen, så lad os lige se en ny Hijackthislog.

Well det var svigerfars PC og der går et stykke tid før end jeg ser den igen. Men alt ser ud til at virke, så mange tak for hjælpen :)

Gider du at ligge et svar, så vi kan gøre "regnskabet" op?

fromsej lig et svar... ellers må du selv ligge et svar frewald og lukke

Svar kommer her.
sammen med et par artikler om sikker surfing:
http://www.eksperten.dk/artikler/144
http://www.eksperten.dk/artikler/254
Som minimum anbefaler jeg Spywareguard, Spywareblaster, IE-Spyad og IE Privacy Keeper.
Mvh:
Fromsej/Team Spywarefri.

heh.. får dårlig karma for at løbe 340 åbne spørgsmål igennem for at få dem lukket:o) hehe

Tak for hjælpen alle :)

Du glemte at acceptere fromsej's svar hehe

du skal markere hans navn nede i venstre hjørne og trykker på accepter svar.

pinligt, men tak :)