Mystisk hændelse spybot 1.3.

puha, se ud til at være denne:
http://www.pestpatrol.com/pestinfo/z/z-demon.asp

Kør en tur med denne:  http://www.spywareinfo.dk/download/mwav.exe - Virusscanner.
Aktiver det hele i opsætningen derinde, så den kan skanne alt igennem.

herefter henter du programmet HiJackThis, installer det, kør en scan, gem loggen i en nyoprettet mappe. DU MÅ IKKE SLETTE NOGET SELV.
Kopier hele loggen fra HJT og læg den herind - en "log" ekspert vil så kigge på den og sige hvad du skal gøre, jeg har ikke helt check på loggen.

http://www.spychecker.com/download/download_hijackthis.html

Tænkte det nok. gør som der siges/skrives

Logfile of HijackThis v1.97.7
Scan saved at 21:10:02, on 07-11-2004
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)

Running processes:
D:\WINDOWS\System32\smss.exe
D:\WINDOWS\system32\winlogon.exe
D:\WINDOWS\system32\services.exe
D:\WINDOWS\system32\lsass.exe
D:\WINDOWS\system32\svchost.exe
D:\WINDOWS\System32\svchost.exe
D:\WINDOWS\system32\spoolsv.exe
D:\WINDOWS\Explorer.EXE
D:\WINDOWS\system32\NVATray.exe
D:\programfiles\asus\probe\AsusProb.exe
D:\PROGRA~1\Dantz\RETROS~1\ComboButton.exe
D:\WINDOWS\Dit.exe
D:\WINDOWS\system32\ctfmon.exe
D:\WINDOWS\DitExp.exe
D:\PROGRA~1\Grisoft\AVG6\avgserv.exe
D:\WINDOWS\system32\nvsvc32.exe
D:\PROGRA~1\Grisoft\AVG6\AVGCC32.EXE
D:\Programmer\Internet Explorer\iexplore.exe
D:\Documents and Settings\Jan Fjorbak\Skrivebord\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://fjorbakdata.dk/
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Hyperlinks
O2 - BHO: (no name) - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - D:\Programmer\Adobe\Acrobat 5.0\Reader\ActiveX\AcroIEHelper.ocx
O2 - BHO: (no name) - {53707962-6F74-2D53-2644-206D7942484F} - D:\Programmer\Spybot - Search & Destroy\SDHelper.dll
O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE NvQTwk,NvCplDaemon initialize
O4 - HKLM\..\Run: [nwiz] nwiz.exe /install
O4 - HKLM\..\Run: [NVIDIA nForce APU1 Utilities] NVATray.exe
O4 - HKLM\..\Run: [ASUS Probe] d:\programfiles\asus\probe\AsusProb.exe
O4 - HKLM\..\Run: [MaxtorCombo] "D:\PROGRA~1\Dantz\RETROS~1\ComboButton.exe"
O4 - HKLM\..\Run: [Dit] Dit.exe
O4 - HKLM\..\Run: [AVG_CC] D:\PROGRA~1\Grisoft\AVG6\avgcc32.exe /STARTUP
O4 - HKLM\..\Run: [PinnacleDriverCheck] D:\WINDOWS\system32\PSDrvCheck.exe -CheckReg
O4 - HKCU\..\Run: [CTFMON.EXE] D:\WINDOWS\system32\ctfmon.exe
O4 - Global Startup: Microsoft Office.lnk = D:\Programmer\Microsoft Office\Office\OSA9.EXE
O4 - Global Startup: Adobe Gamma Loader.lnk = ?
O8 - Extra context menu item: E&ksporter til Microsoft Excel - res://D:\PROGRA~1\MICROS~2\Office10\EXCEL.EXE/3000
O9 - Extra button: Messenger (HKLM)
O9 - Extra 'Tools' menuitem: Windows Messenger (HKLM)
O12 - Plugin for .spop: D:\Programmer\Internet Explorer\Plugins\NPDocBox.dll
O16 - DPF: {D8575CE3-3432-4540-88A9-85A1325D3375} (e-Safekey) - https://netbank.bgbank.dk/html/activex/e-Safekey/BG/e-Safekey.cab

hej igen kan du hjælpe her??

Hej igen haverslev

Kunne du hjælpe eller er der en anden der kan ;-)


jan

umiddelbart se loggen ren ud.

Prøv at trykke på Ctrl+alt+del 1.gang og se om nedenstående optrøder under processer:
editserver.exe
server-unpack.exe
server-unpacked.exe
z-dem0n.exe

Der gør den ikke

jeg har kun eksperten på , men jeg har lige kørt spybot igen, og der kom den frem igen

det er kørende programmer du har set på, du skal over i faneblad:processer ;)

Kan man med spybot se hvilket drev den kører på???

Haverslev, husk et svar

du kan prøve:
Start > søg > db-klik på alle filer og mapper, skriv :dem0n i øverste linie og vælg denne computer i "søg i"

Det har jeg prøvet intet resultat, det er sq da vist en hård nød

prøv at starte i fejlsikret (tryk F8 under opstart) og kør en tur med spybot.
Ellers ved jeg ikke lige, hvordan du får den væk.
Du kan måske få mere hjælp hos http://www.spywarefri.dk

De fleste fra spywarefri.dk er også på E ;) jeg har bedt en af dem om at kigge forbi.

Loggen er ren, prøv evt en scanning med Ad-aware i stedet for.
http://spywarefri.dk/vaerktoj.htm#adaware
http://www.spywarefri.dk/adaware.manual.htm

En anden ting du også skal gøre er, at hente den nyeste version af HiJackThis her:
http://www.spywarefri.dk/vaerktoj.htm
Læg herefter en ny log ind. Den nye version kan vise lidt mere end den gamle version, du har brugt.

prøver lige igen

Logfile of HijackThis v1.98.2
Scan saved at 09:39:05, on 08-11-2004
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)

Running processes:
D:\WINDOWS\System32\smss.exe
D:\WINDOWS\system32\winlogon.exe
D:\WINDOWS\system32\services.exe
D:\WINDOWS\system32\lsass.exe
D:\WINDOWS\system32\svchost.exe
D:\WINDOWS\System32\svchost.exe
D:\WINDOWS\system32\spoolsv.exe
D:\WINDOWS\Explorer.EXE
D:\WINDOWS\system32\NVATray.exe
D:\programfiles\asus\probe\AsusProb.exe
D:\PROGRA~1\Dantz\RETROS~1\ComboButton.exe
D:\WINDOWS\Dit.exe
D:\PROGRA~1\Grisoft\AVG6\avgcc32.exe
D:\WINDOWS\system32\ctfmon.exe
D:\WINDOWS\DitExp.exe
D:\PROGRA~1\Grisoft\AVG6\avgserv.exe
D:\WINDOWS\system32\nvsvc32.exe
D:\Programmer\Internet Explorer\iexplore.exe
D:\Programmer\Outlook Express\msimn.exe
D:\Documents and Settings\Jan Fjorbak\Skrivebord\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://fjorbakdata.dk/
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Hyperlinks
O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - D:\Programmer\Adobe\Acrobat 5.0\Reader\ActiveX\AcroIEHelper.ocx
O2 - BHO: (no name) - {53707962-6F74-2D53-2644-206D7942484F} - D:\Programmer\Spybot - Search & Destroy\SDHelper.dll
O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE NvQTwk,NvCplDaemon initialize
O4 - HKLM\..\Run: [nwiz] nwiz.exe /install
O4 - HKLM\..\Run: [NVIDIA nForce APU1 Utilities] NVATray.exe
O4 - HKLM\..\Run: [ASUS Probe] d:\programfiles\asus\probe\AsusProb.exe
O4 - HKLM\..\Run: [MaxtorCombo] "D:\PROGRA~1\Dantz\RETROS~1\ComboButton.exe"
O4 - HKLM\..\Run: [Dit] Dit.exe
O4 - HKLM\..\Run: [AVG_CC] D:\PROGRA~1\Grisoft\AVG6\avgcc32.exe /STARTUP
O4 - HKLM\..\Run: [PinnacleDriverCheck] D:\WINDOWS\system32\PSDrvCheck.exe -CheckReg
O4 - HKCU\..\Run: [CTFMON.EXE] D:\WINDOWS\system32\ctfmon.exe
O4 - Global Startup: Microsoft Office.lnk = D:\Programmer\Microsoft Office\Office\OSA9.EXE
O4 - Global Startup: Adobe Gamma Loader.lnk = ?
O8 - Extra context menu item: E&ksporter til Microsoft Excel - res://D:\PROGRA~1\MICROS~2\Office10\EXCEL.EXE/3000
O9 - Extra button: (no name) - {CD67F990-D8E9-11d2-98FE-00C0F0318AFE} - (no file)
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - D:\Programmer\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - D:\Programmer\Messenger\msmsgs.exe
O12 - Plugin for .spop: D:\Programmer\Internet Explorer\Plugins\NPDocBox.dll
O16 - DPF: {D8575CE3-3432-4540-88A9-85A1325D3375} (e-Safekey) - https://netbank.bgbank.dk/html/activex/e-Safekey/BG/e-Safekey.cab

Gad vist om problemet er så stort. Se denne

http://forums.net-integration.net/index.php?&act=ST&f=28&t=24034

nederste indlæg af "Oct 28 2004, 06:04 AM"

Tjaa.. loggen viser da heller ikke noget nyt, så muligvis er det blot en opdatering af Spybot der skal til.

tonnybrandt > for lige at forstå dette her helt rigtigt.
Mener du så, at den nyeste version af spybot tager den slags?
En anden ting, hvad med den nye hjt log, her tænker jeg på linien:
O9 - Extra button: (no name) - {CD67F990-D8E9-11d2-98FE-00C0F0318AFE} - (no file)

haverslev > Ud fra det link, mener jeg at det er uklart om der var en bug i spybot der gjorde at den skrev denne fejl, eller om den er blevet rettet så den identificerer og fjerner snavset korrekt. Så det kan jeg ikke svare på.
Du har ret mht loggen. Den linie havde jeg overset :(
Den gør ingen skade men skal bestemt heller ikke være i loggen. Det er Real.com knappen.

fjorbak > du skal lige fixe denne linie i loggen og genstarte.
O9 - Extra button: (no name) - {CD67F990-D8E9-11d2-98FE-00C0F0318AFE} - (no file)
Du kan blot køre HiJackThis bagefter og kontrollere at linien ikke længere er i loggen. Du behøver ikke komme med en ny log, blot for den smule.

tonnybrandt > tak, sådan forstår jeg det også.
( er ikke helt ferm, til det det Tønder sprog )  ;o)

Det er ellers nemt at forstå, hvis de ellers udtrykker sig ordentligt, hvilket bestemt ikke var tilfældet her *s*

Hej Begge to

tonnybrandt, hvad mener du med "hvis de ellers udtrykker sig ordentligt, hvilket bestem ikke var tilfældet her"

Jan

Det der menes, er at du skal hente en ny opdateret spybot og kører den ;)
http://www.safer-networking.org/en/download/index.html

Det var til haverslev's bemærkning omkring Tønder sprog *s*

ja og vor "snak" gik på det link, som falster kom med :08/11-2004 14:13:20 - ;)

sorry for spam

haverslev -> ahr du set min kommentar til din artikel?

kenp >
Nej, men har nu og kan kun sige at jeg prøvede det sidste gang du skrev om det, der virkede det ikke hos mig, men vil da prøve igen.
Hvis ok, ja så retter jeg selvfølgelig i artiklen - Tak :o)

:) ellers skriv lige til mig så skal jeg da gerne teste det igen :) ken @ danborg . org

kenp > har stoppet den og må sige du har ret. ;)
Men forstår ikke hvorfor det "kører" videre nu og ikke da jeg prøvede sidst - hva` kan have indflydelse på det?

Jeg har selvfølge lig hentet ver.1.3, da ver.1.2 ikke har virket i flere måneder og spybot og Ad-Aware begge er programmer man bør køre på lige fod med et antivirusprogram.

Og kan oplyse at dette ikke virker men i Ad-Aware viser problemet sig ikke.

Jeg har slettet den linie 9.

Jan

haverslev -> *SS* ja jeg mente nok at have ret ;) men hvis du ikke har fået konfigurert det inden du afbryder servicecenter så kan det være årsagen dertil.

fjorbak > kan spybot heller ikke "fjerne" den i fejlsikret tilstand, samt med alle processer stoppet i joblisten ?

kenp > ja måske dette var problemet, men er rettet i artikel - Tak ;o)

Gode venner

Problemet er ikke løst hverken på den ene eller anden måde, og jeg er bekendt med at flere har den samme fejlmelding, så det er ikke godt, fejlen opstår ikke i Ad aware SE, så jeg tror ikke jeg vil gøre mere ved det og simpelthen vente og se.

Jan

lukker