Søg
Avatar billede vind Nybegynder
06. januar 2005 - 19:02 Der er 5 kommentarer og
1 løsning

HijackThis - så blev det min tur.

Hej alle.
Ja, så blev det min tur. Er det mon nogen der vil tage et lille kig på nedenstående log?

På forhånd tak.
//vind

_____________________________________________________
Logfile of HijackThis v1.99.0
Scan saved at 18:50:38, on 06-01-2005
Platform: Windows 2000 SP3 (WinNT 5.00.2195)
MSIE: Internet Explorer v6.00 SP1 (6.00.2800.1106)

Running processes:
C:\WINNT\Explorer.EXE
C:\WINNT\System32\Promon.exe
C:\Programmer\Compaq\EAB\EabServr.exe
C:\Programmer\Compaq\Hotkey Software\hkss.exe
C:\TNGSD\BIN\triggusr.exe
C:\PROGRA~1\Logitech\MOUSEW~1\SYSTEM\EM_EXEC.EXE
C:\PROGRA~1\CA\ETRUST~1\realmon.exe
C:\Programmer\Microsoft ActiveSync\WCESCOMM.EXE
C:\SxpInst\sxplog32.exe
C:\Programmer\TEXTware\HotKey\TWALINK.EXE
C:\jetsuite\JETSTAT.EXE
C:\Programmer\Microsoft Office\Office\OUTLOOK.EXE
C:\Programmer\Fælles filer\System\MAPI\1030\nt\MAPISP32.EXE
C:\WINNT\msagent\AgentSvr.exe
C:\Programmer\Microsoft ActiveSync\WCESMgr.exe
C:\DOCUME~1\byev\LOKALE~1\Temp\searchbarcash.exe
C:\WINNT\System32\rundll32.exe
C:\WINNT\System32\rundll32.exe
C:\WINNT\System32\rundll32.exe
C:\WINNT\System32\rundll32.exe
C:\Documents and Settings\byev\Skrivebord\HijackThis.exe

R1 - HKCU\Software\Microsoft\Internet Explorer,SearchURL = http://coolwebsearch.info
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Bar = http://www.couldnotfind.com/search_page.html?&account_id=145499
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = http://www.couldnotfind.com/search_page.html?&account_id=145499
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://medarbejderportalen/
R1 - HKCU\Software\Microsoft\Internet Explorer\Search,SearchAssistant = http://www.couldnotfind.com/search_page.html?&account_id=145499
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page_bak = http://medarbejderportalen/
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName =
F2 - REG:system.ini: UserInit=C:\WINNT\system32\userinit.exe
O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Programmer\Adobe\Acrobat 5.0\Reader\ActiveX\AcroIEHelper.ocx
O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINNT\System32\msdxm.ocx
O4 - HKLM\..\Run: [Synchronization Manager] mobsync.exe /logon
O4 - HKLM\..\Run: [Promon.exe] Promon.exe
O4 - HKLM\..\Run: [ATIModeChange] Ati2mdxx.exe
O4 - HKLM\..\Run: [eabconfg.cpl] C:\Programmer\Compaq\EAB\EabServr.exe /Start
O4 - HKLM\..\Run: [hkss] C:\Programmer\Compaq\Hotkey Software\hkss.exe
O4 - HKLM\..\Run: [SDJobCheck] triggusr.exe
O4 - HKLM\..\Run: [EM_EXEC] C:\PROGRA~1\Logitech\MOUSEW~1\SYSTEM\EM_EXEC.EXE
O4 - HKLM\..\Run: [Realtime Monitor] C:\PROGRA~1\CA\ETRUST~1\realmon.exe -s
O4 - HKLM\..\Run: [Sxplog] C:\SxpInst\sxpstub.exe
O4 - HKCU\..\Run: [H/PC Connection Agent] "C:\Programmer\Microsoft ActiveSync\WCESCOMM.EXE"
O4 - HKCU\..\Run: [WebSpecials] rundll32 "C:\Program Files\WebSpecials\webspec.dll",run
O4 - HKCU\..\Run: [SurfBuddy] rundll32 "C:\Program Files\SurfBuddy\sbuddy.dll",run
O4 - Global Startup: HotKey.lnk = C:\Programmer\TEXTware\HotKey\TWALINK.EXE
O4 - Global Startup: HP LaserJet 3150 Status.lnk = C:\jetsuite\JETSTAT.EXE
O4 - Global Startup: Microsoft Office.lnk = C:\Programmer\Microsoft Office\Office\OSA9.EXE
O9 - Extra button: Create Mobile Favorite - {2EAF5BB1-070F-11D3-9307-00C04FAE2D4F} - C:\Programmer\Microsoft ActiveSync\INETREPL.DLL
O9 - Extra button: (no name) - {2EAF5BB2-070F-11D3-9307-00C04FAE2D4F} - C:\Programmer\Microsoft ActiveSync\INETREPL.DLL
O9 - Extra 'Tools' menuitem: Create Mobile Favorite... - {2EAF5BB2-070F-11D3-9307-00C04FAE2D4F} - C:\Programmer\Microsoft ActiveSync\INETREPL.DLL
O9 - Extra button: Related - {c95fe080-8f5d-11d2-a20b-00aa003c157a} - C:\WINNT\web\related.htm
O9 - Extra 'Tools' menuitem: Show &Related Links - {c95fe080-8f5d-11d2-a20b-00aa003c157a} - C:\WINNT\web\related.htm
O15 - Trusted Zone: *.medarbejderportalen
O15 - Trusted Zone: *.ntsps1
O16 - DPF: {19AB65C9-3E4E-11D2-A97F-080009B3CC88} (FormFlow Version Management Object) - file://\\Ntserver2\KPS\KPS Blanket\codebase\VersionManager.cab
O17 - HKLM\System\CCS\Services\Tcpip\Parameters: Domain = fakomm.dk
O17 - HKLM\System\CCS\Services\Tcpip\..\{810EA2A1-EBA0-4B5E-91B1-7238B937E984}: NameServer = 130.67.128.112,130.67.128.162
O17 - HKLM\System\CS1\Services\Tcpip\Parameters: Domain = fakomm.dk
O17 - HKLM\System\CS1\Services\Tcpip\..\{810EA2A1-EBA0-4B5E-91B1-7238B937E984}: NameServer = 130.67.128.112,130.67.128.162
O17 - HKLM\System\CS2\Services\Tcpip\Parameters: Domain = fakomm.dk
O17 - HKLM\System\CS2\Services\Tcpip\..\{810EA2A1-EBA0-4B5E-91B1-7238B937E984}: NameServer = 130.67.128.112,130.67.128.162
O20 - AppInit_DLLs: RCEnumDD.dll
O23 - Service: Asset Management Agent - Computer Associates International, Inc. - C:\WINNT\UMCSTUB.EXE
O23 - Service: Ati HotKey Poller - Unknown - C:\WINNT\System32\Ati2evxx.exe
O23 - Service: Unicenter Message Queuing Server - Computer Associates International, Inc. - C:\Programmer\CA\SharedComponents\CAM\bin\cam.exe
O23 - Service: CA License Client - Computer Associates - C:\CA_LIC\lic98rmt.exe
O23 - Service: CA License Server - Computer Associates - C:\CA_LIC\lic98rmtd.exe
O23 - Service: Logical Disk Manager Administrative Service - VERITAS Software Corp. - C:\WINNT\System32\dmadmin.exe
O23 - Service: DM Primer - Computer Associates - C:\Programmer\CA\SharedComponents\DesktopCommonServices\DMPrimer\dmprimer.exe
O23 - Service: eTrust Antivirus RPC Server - Computer Associates International, Inc. - C:\Programmer\CA\eTrust Antivirus\InoRpc.exe
O23 - Service: eTrust Antivirus Realtime Server - Computer Associates International, Inc. - C:\Programmer\CA\eTrust Antivirus\InoRT.exe
O23 - Service: eTrust Antivirus Job Server - Computer Associates International, Inc. - C:\Programmer\CA\eTrust Antivirus\InoTask.exe
O23 - Service: jsdaemon - JetFax, Inc. - c:\jetsuite\jsdaemon.exe
O23 - Service: Event Log Watch - Computer Associates - C:\CA_LIC\LogWatNT.exe
O23 - Service: Intel(R) NMS - Intel Corporation - C:\WINNT\System32\NMSSvc.exe
O23 - Service: OracleORACLE_HOMEClientCache - Unknown - C:\oracle\BIN\ONRSD.EXE
O23 - Service: Unicenter Remote Control Host - Computer Associates International, Inc. - C:\Programmer\CA\Unicenter Remote Control\rcHost.exe
O23 - Service: Unicenter Software Delivery - Computer Associates International, Inc. - C:\TNGSD\BIN\SDSERV.EXE
Avatar billede andersenph Nybegynder
06. januar 2005 - 19:04 #1
Jeg kigger den lige igennem for dig :O)
Avatar billede andersenph Nybegynder
06. januar 2005 - 19:11 #2
Hent og opdater Ad-Aware: http://www.spywarefri.dk/vaerktoj.htm#adaware
Programmet samt brugervejledning på dansk finder du her: http://www.spywarefri.dk/vaerktoj.htm#adaware
Følg også vejledningen her til udvidet søgning: http://www.spywarefri.dk/tipsogtricks.htm#adaware

Sæt lige de indstillinger korrekt, så det er klar til brug senere.



Følg vejledningen her: http://www.spywarefri.dk/hjtanv.htm (punkt 6). Fix disse med HijackThis:

R1 - HKCU\Software\Microsoft\Internet Explorer,SearchURL = http://coolwebsearch.info
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Bar = http://www.couldnotfind.com/search_page.html?&account_id=145499
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = http://www.couldnotfind.com/search_page.html?&account_id=145499
R1 - HKCU\Software\Microsoft\Internet Explorer\Search,SearchAssistant = http://www.couldnotfind.com/search_page.html?&account_id=145499
F2 - REG:system.ini: UserInit=C:\WINNT\system32\userinit.exe (skal kun fixes hvis din computer IKKE optræder som server)
O4 - HKCU\..\Run: [WebSpecials] rundll32 "C:\Program Files\WebSpecials\webspec.dll",run
O4 - HKCU\..\Run: [SurfBuddy] rundll32 "C:\Program Files\SurfBuddy\sbuddy.dll",run
O9 - Extra button: Related - {c95fe080-8f5d-11d2-a20b-00aa003c157a} - C:\WINNT\web\related.htm
O9 - Extra 'Tools' menuitem: Show &Related Links - {c95fe080-8f5d-11d2-a20b-00aa003c157a} - C:\WINNT\web\related.htm


Vi skal kunne se dine skjulte filer for at finde snavs, der skal slettes manuelt. Det er en del af processen.

Åbn en tilfældig mappe, klik på Funktioner=>Mappeindstillinger=>Vis.
Fjern flueben ved "Skjul beskyttede operativsystemfiler".
Fjern flueben ved "Skjul filtypenavne for kendte filtyper".
Sæt prik i "Vis skjulte filer og mapper".


Disse programmer skal slettes i fejlsikret tilstand. Du genstarter og trykker F8 når Windows starter op.

Søg efter disse filer:

Ingen

Søg efter disse mapper:

C:\Program Files\WebSpecials
C:\Program Files\SurfBuddy

Kør så programmet Ad-aware, fjern alt hvad den finder.



Hent den her scanner:
http://www.spywareinfo.dk/download/mwav.exe

Sæt flueben i følgende:
Memory, Startup folders, drive, Registry, System folders og Services.
Sæt prik i følgende:
All local drives og Scan all files
Og så trykker du på Scan Clean
Den skanner nu, og dette kan godt tage et par timer.

Derefter genstarter du og sender en ny log ind til check
Avatar billede vind Nybegynder
06. januar 2005 - 22:41 #3
SUPER! Mange tak for hjælpen.
Læg et svar.

//vind
Avatar billede andersenph Nybegynder
06. januar 2005 - 22:43 #4
Det kommer her, men jeg ville jo gerne lige se en ny log fra dig til check :O)
Avatar billede vind Nybegynder
07. januar 2005 - 15:24 #5
Hermed min log efter "udrensningen", samt med skjulte filer:

Logfile of HijackThis v1.99.0
Scan saved at 15:23:14, on 07-01-2005
Platform: Windows 2000 SP3 (WinNT 5.00.2195)
MSIE: Internet Explorer v6.00 SP1 (6.00.2800.1106)

Running processes:
C:\WINNT\Explorer.EXE
C:\WINNT\System32\Promon.exe
C:\Programmer\Compaq\EAB\EabServr.exe
C:\Programmer\Compaq\Hotkey Software\hkss.exe
C:\TNGSD\BIN\triggusr.exe
C:\PROGRA~1\Logitech\MOUSEW~1\SYSTEM\EM_EXEC.EXE
C:\PROGRA~1\CA\ETRUST~1\realmon.exe
C:\Programmer\Microsoft ActiveSync\WCESCOMM.EXE
C:\SxpInst\sxplog32.exe
C:\Programmer\TEXTware\HotKey\TWALINK.EXE
C:\jetsuite\JETSTAT.EXE
C:\Programmer\Internet Explorer\iexplore.exe
C:\Programmer\Microsoft ActiveSync\WCESMgr.exe
C:\Programmer\Microsoft Office\Office\OUTLOOK.EXE
C:\Programmer\Fælles filer\System\MAPI\1030\nt\MAPISP32.EXE
C:\WINNT\msagent\AgentSvr.exe
C:\Documents and Settings\byev\Skrivebord\hijackthis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://medarbejderportalen/
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page_bak = http://medarbejderportalen/
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName =
F2 - REG:system.ini: UserInit=C:\WINNT\system32\userinit.exe
O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Programmer\Adobe\Acrobat 5.0\Reader\ActiveX\AcroIEHelper.ocx
O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINNT\System32\msdxm.ocx
O4 - HKLM\..\Run: [Synchronization Manager] mobsync.exe /logon
O4 - HKLM\..\Run: [Promon.exe] Promon.exe
O4 - HKLM\..\Run: [ATIModeChange] Ati2mdxx.exe
O4 - HKLM\..\Run: [eabconfg.cpl] C:\Programmer\Compaq\EAB\EabServr.exe /Start
O4 - HKLM\..\Run: [hkss] C:\Programmer\Compaq\Hotkey Software\hkss.exe
O4 - HKLM\..\Run: [SDJobCheck] triggusr.exe
O4 - HKLM\..\Run: [EM_EXEC] C:\PROGRA~1\Logitech\MOUSEW~1\SYSTEM\EM_EXEC.EXE
O4 - HKLM\..\Run: [Realtime Monitor] C:\PROGRA~1\CA\ETRUST~1\realmon.exe -s
O4 - HKLM\..\Run: [Sxplog] C:\SxpInst\sxpstub.exe
O4 - HKCU\..\Run: [H/PC Connection Agent] "C:\Programmer\Microsoft ActiveSync\WCESCOMM.EXE"
O4 - Global Startup: HotKey.lnk = C:\Programmer\TEXTware\HotKey\TWALINK.EXE
O4 - Global Startup: HP LaserJet 3150 Status.lnk = C:\jetsuite\JETSTAT.EXE
O4 - Global Startup: Microsoft Office.lnk = C:\Programmer\Microsoft Office\Office\OSA9.EXE
O9 - Extra button: Create Mobile Favorite - {2EAF5BB1-070F-11D3-9307-00C04FAE2D4F} - C:\Programmer\Microsoft ActiveSync\INETREPL.DLL
O9 - Extra button: (no name) - {2EAF5BB2-070F-11D3-9307-00C04FAE2D4F} - C:\Programmer\Microsoft ActiveSync\INETREPL.DLL
O9 - Extra 'Tools' menuitem: Create Mobile Favorite... - {2EAF5BB2-070F-11D3-9307-00C04FAE2D4F} - C:\Programmer\Microsoft ActiveSync\INETREPL.DLL
O9 - Extra button: Related - {c95fe080-8f5d-11d2-a20b-00aa003c157a} - C:\WINNT\web\related.htm
O9 - Extra 'Tools' menuitem: Show &Related Links - {c95fe080-8f5d-11d2-a20b-00aa003c157a} - C:\WINNT\web\related.htm
O15 - Trusted Zone: *.medarbejderportalen
O15 - Trusted Zone: *.ntsps1
O16 - DPF: {19AB65C9-3E4E-11D2-A97F-080009B3CC88} (FormFlow Version Management Object) - file://\\Ntserver2\KPS\KPS Blanket\codebase\VersionManager.cab
O17 - HKLM\System\CCS\Services\Tcpip\Parameters: Domain = fakomm.dk
O17 - HKLM\System\CCS\Services\Tcpip\..\{810EA2A1-EBA0-4B5E-91B1-7238B937E984}: NameServer = 130.67.128.112,130.67.128.162
O17 - HKLM\System\CS1\Services\Tcpip\Parameters: Domain = fakomm.dk
O17 - HKLM\System\CS1\Services\Tcpip\..\{810EA2A1-EBA0-4B5E-91B1-7238B937E984}: NameServer = 130.67.128.112,130.67.128.162
O17 - HKLM\System\CS2\Services\Tcpip\Parameters: Domain = fakomm.dk
O17 - HKLM\System\CS2\Services\Tcpip\..\{810EA2A1-EBA0-4B5E-91B1-7238B937E984}: NameServer = 130.67.128.112,130.67.128.162
O20 - AppInit_DLLs: RCEnumDD.dll
O23 - Service: Asset Management Agent - Computer Associates International, Inc. - C:\WINNT\UMCSTUB.EXE
O23 - Service: Ati HotKey Poller - Unknown - C:\WINNT\System32\Ati2evxx.exe
O23 - Service: Unicenter Message Queuing Server - Computer Associates International, Inc. - C:\Programmer\CA\SharedComponents\CAM\bin\cam.exe
O23 - Service: CA License Client - Computer Associates - C:\CA_LIC\lic98rmt.exe
O23 - Service: CA License Server - Computer Associates - C:\CA_LIC\lic98rmtd.exe
O23 - Service: Logical Disk Manager Administrative Service - VERITAS Software Corp. - C:\WINNT\System32\dmadmin.exe
O23 - Service: DM Primer - Computer Associates - C:\Programmer\CA\SharedComponents\DesktopCommonServices\DMPrimer\dmprimer.exe
O23 - Service: eTrust Antivirus RPC Server - Computer Associates International, Inc. - C:\Programmer\CA\eTrust Antivirus\InoRpc.exe
O23 - Service: eTrust Antivirus Realtime Server - Computer Associates International, Inc. - C:\Programmer\CA\eTrust Antivirus\InoRT.exe
O23 - Service: eTrust Antivirus Job Server - Computer Associates International, Inc. - C:\Programmer\CA\eTrust Antivirus\InoTask.exe
O23 - Service: jsdaemon - JetFax, Inc. - c:\jetsuite\jsdaemon.exe
O23 - Service: Event Log Watch - Computer Associates - C:\CA_LIC\LogWatNT.exe
O23 - Service: Intel(R) NMS - Intel Corporation - C:\WINNT\System32\NMSSvc.exe
O23 - Service: OracleORACLE_HOMEClientCache - Unknown - C:\oracle\BIN\ONRSD.EXE
O23 - Service: Unicenter Remote Control Host - Computer Associates International, Inc. - C:\Programmer\CA\Unicenter Remote Control\rcHost.exe
O23 - Service: Unicenter Software Delivery - Computer Associates International, Inc. - C:\TNGSD\BIN\SDSERV.EXE

Tak for hjælpen!!
//vind
Avatar billede andersenph Nybegynder
07. januar 2005 - 17:26 #6
Det var så lidt da.

Du er godkendt, pånær een ting. Du mangler at opdatere dit Windows 2000 til ServicePack 4.

Du finder den her:
ftp://ftp.sdu.dk/pub/microsoft/w2k/sp4/dk/w2ksp4_da.exe
Avatar billede Ny bruger Nybegynder

Din løsning...

Tilladte BB-code-tags: [b]fed[/b] [i]kursiv[/i] [u]understreget[/u] Web- og emailadresser omdannes automatisk til links. Der sættes "nofollow" på alle links.

Loading billede Opret Preview
Kategori
Se alle it-kurser fra Computerworld Kurser
IT-kurser om Microsoft 365, sikkerhed, personlig vækst, udvikling, digital markedsføring, grafisk design, SAP og forretningsanalyse.
Se alle it-kurser

Flere spørgsmål fra Andet sikkerhed kategorien

Titel Indlæg Oprettet Seneste aktivitet
hvilken afløser kan I anbefale? Af jcr18 i Andet sikkerhed 5 17/03/202610:32 18/03/202615:36
Advarsler om datalæk for nogle apps Af nu_igen i Andet sikkerhed 6 02/02/202614:54 03/02/202613:45
Mail fra Yousee ? Svindel? Af nu_igen i Andet sikkerhed 4 13/01/202617:27 14/01/202609:36
Er det sandsynligt, at jeg har været udsat for phishing Af Slettet bruger i Andet sikkerhed 4 13/11/202515:09 14/11/202510:45
Google fake Af johp i Andet sikkerhed 3 27/10/202516:31 28/10/202506:52
Se alle spørgsmål i kategorien Opret spørgsmål

Log ind eller opret profil

Hov!

For at kunne deltage på Computerworld Eksperten skal du være logget ind.

Det er heldigvis nemt at oprette en bruger: Det tager to minutter og du kan vælge at bruge enten e-mail, Facebook eller Google som login.

Opret Log ind

Du kan også logge ind via nedenstående tjenester

Alle kategorier på Eksperten
Seneste spørgsmål Seneste aktivitet
04/0409:43 AI google.com Af Peter Olsen i Andre onlineløsninger
31/0310:22 Makro der gemmer vedhæftet fil fra Msg og omdøber filen Af lokesa i Excel
30/0313:45 Kablet forbindelse mellem android telefon og windows 11 pc Af 1Dorte i Android
30/0312:04 Elementtype vises - og ikke billedet? Af hkprofil i Billedbehandling
29/0312:08 Problemer med replay af købte kursusvideoer Af annam i Browsere
White papers
Flere white papers »