Startside - about:blank Trusted start page

argh ja den har jeg også haft rigtig mange problemer med. Jeg havde den i over 3 månedere indtil jeg formaterede min computer. Var faktisk årsag til Browser skifte ;)

Det var ikke verdens længste log, har du selv fixet noget?
Hvis du har, så kør HJT igen, vælg Config->Backups, marker linierne en af gangen og klik på Restore.
Bagefter henter du en nyere Hijackthis, og kører en ny scanning.
http://danborg.org/spy/HJT/hijackthis.exe

Hej Fromsej,

Med den nye version aj HJT ser den således ud:

Logfile of HijackThis v1.99.0
Scan saved at 11:30:13, on 13-01-2005
Platform: Windows XP SP1 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP1 (6.00.2800.1106)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\spoolsv.exe
C:\WINDOWS\Explorer.EXE
C:\Programmer\AVPersonal\AVGUARD.EXE
C:\Programmer\QuickTime\qttask.exe
C:\Programmer\AVPersonal\AVWUPSRV.EXE
C:\Programmer\Internet Explorer\iexplore.exe
C:\Documents and Settings\Morten Lesak\Skrivebord\hijackthis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = about:blank
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = about:blank
O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Programmer\Adobe\Acrobat 6.0\Reader\ActiveX\AcroIEHelper.dll
O2 - BHO: Control Popups in Internet Explorer - {41353F8B-78CE-48A5-BE44-153ED293D192} - C:\Programmer\PopupPopper\PopLib.dll
O4 - HKLM\..\Run: [QuickTime Task] "C:\Programmer\QuickTime\qttask.exe" -atboottime
O9 - Extra button: PopupPopper Kontrol Panel - {3E94F358-9537-4BBA-8D12-D7F8A0136973} - C:\Programmer\PopupPopper\SiteList.exe
O15 - Trusted IP range:  (HKLM)
O23 - Service: AntiVir Service - H+BEDV Datentechnik GmbH - C:\Programmer\AVPersonal\AVGUARD.EXE
O23 - Service: AntiVir Update - H+BEDV Datentechnik GmbH, Germany - C:\Programmer\AVPersonal\AVWUPSRV.EXE


De to R0 med startside about:blank havde jeg selv fjernet i fejlsikret tilstand men 015 har ikke været der før så det er vel den der er problemet?

Fixes: (Jeg går ud fra du ved hvordan*S*)
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = about:blank
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = about:blank
O15 - Trusted IP range:  (HKLM)

Åbn notepad/notesblok og kopier dette ind:


REGEDIT4

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\ShellServiceObjectDelayLoad]
"System"=-
[-HKEY_CLASSES_ROOT\CLSID\{061646A1-DC57-487D-B023-A938198C174E}]
[-HKEY_CLASSES_ROOT\CLSID\{4E8A9E72-8942-40EF-88DF-A559152F6B41}]
[-HKEY_CLASSES_ROOT\CLSID\{6E94CEC3-0C84-4310-AE20-CD4090178388}]


Gem dette som clear.reg
Under filnavn, sæt filtype til alle filer

Efter du har gemt denne fil, dobbeltklik på den, og sig ja til at flette.

Åbn notesblok, kopier dette ind, gem filen som range.reg.
Dobbeltklik på range.reg og sig ja til at flette.

REGEDIT4

[-HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Internet Settings\ZoneMap\Ranges]

[-HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Internet Settings\ZoneMap\Ranges]

[HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Internet Settings\ZoneMap\Ranges]

[HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Internet Settings\ZoneMap\Ranges]


Genstart så og kom med en ny log.

Har fixet de tre punkter i HJT, men har et meget banalt problem!
Jeg kan ikke åbne Notesblok! Har forsøgt 20 gange nu...
Kan den gendannes på en eller anden måde?

Eller kan problemet fixes uden notesblok?

Notesblok ligger mindst to forskellige steder, den du som standard bruger ligger i C:\windows\system32, prøv at åbne C:\windows og brug den der ligger der.
Filen hedder Notepad.exe.
Det er CWS der har mingeleret med din Notesblok, så jo det er en CWS infektion du har.

Hej igen,

Nu har jeg gjort som du sagde og her er den nye log:

Logfile of HijackThis v1.99.0
Scan saved at 13:01:11, on 13-01-2005
Platform: Windows XP SP1 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP1 (6.00.2800.1106)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\Explorer.EXE
C:\WINDOWS\system32\spoolsv.exe
C:\Programmer\QuickTime\qttask.exe
C:\Programmer\AVPersonal\AVGUARD.EXE
C:\Programmer\AVPersonal\AVWUPSRV.EXE
C:\Documents and Settings\Morten Lesak\Skrivebord\hijackthis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = about:blank
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = about:blank
O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Programmer\Adobe\Acrobat 6.0\Reader\ActiveX\AcroIEHelper.dll
O2 - BHO: Control Popups in Internet Explorer - {41353F8B-78CE-48A5-BE44-153ED293D192} - C:\Programmer\PopupPopper\PopLib.dll
O4 - HKLM\..\Run: [QuickTime Task] "C:\Programmer\QuickTime\qttask.exe" -atboottime
O9 - Extra button: PopupPopper Kontrol Panel - {3E94F358-9537-4BBA-8D12-D7F8A0136973} - C:\Programmer\PopupPopper\SiteList.exe
O23 - Service: AntiVir Service - H+BEDV Datentechnik GmbH - C:\Programmer\AVPersonal\AVGUARD.EXE
O23 - Service: AntiVir Update - H+BEDV Datentechnik GmbH, Germany - C:\Programmer\AVPersonal\AVWUPSRV.EXE

Hej Fromsej,

Her er en løsning jeg fik fra et engelsk forum:

SHORT SOLUTION: Start up in safe mode. Delete directory ":\Program Files\PPC Advertor\". Open IE and type in a new start page. Restart to normal windows.

På den måde havde han fjernet problemet, men jeg har lige forsøgt at slette men får denne melding: Det er ikke muligt at slette ppc.dll:Adgang nægtet. Kontroller, at disken ikke er fuld eller skrivebeskyttet, og at filen ikke er i brug.

Hvordan kan jeg få adgang til at slette filen?

Har lige scannet den fil med Jotti's malware scan 2.42:
INFECTED/MALWARE : Trojan.Win32.StartPage.se, så der er vidst ikke meget tvivl om at det er hele problemet!

Men den kan ikke slettes!

Hej igen,

Jeg har løst problemet. Jeg downloadede Dr Delete og slettede filen \Program Files\PPC Advertor\. Nu kører det hele som det skal igen!

Tak for hjælpen alligevel Fromsej og 200 point til dig.

Velbekomme, tag du bare dine point igen.*S*
Eller giv mig 15 for forsøget, 200 er meget.
Jeg er mere glad for løsningen, den kendte jeg ikke.

Links til sikker surfing:
http://www.eksperten.dk/artikler/144
http://www.eksperten.dk/artikler/254
Som minimum anbefaler jeg Spywareguard, Spywareblaster, IE-Spyad og IE Privacy Keeper.
Mvh:
Fromsej/Team Spywarefri.

Jeg går ikke så meget op i de points må jeg nok indrømme, men du får dine 15 points!