Søg
Avatar billede sbpweb.dk Nybegynder
14. februar 2005 - 09:12 Der er 11 kommentarer og
1 løsning

HiJackThis log

Hej eksperter,

Jeg sidder ved en pc, som jeg tror er hijacked.
Selvom min startside i IE står til "blank", så bliver jeg smidt ind på en slags portalside, hver gang jeg starter IE.
Desuden får jeg ofte popups med fake beskeder om at min computer er inficeret med spyware.
Jeg har scannet min computer med HiJackThis og her kommer min log. Jeg håber I kan hjælpe mig!!

---------------------------------

Logfile of HijackThis v1.98.2
Scan saved at 09:05:00, on 14-02-2005
Platform: Windows 2000 SP2 (WinNT 5.00.2195)
MSIE: Internet Explorer v6.00 SP1 (6.00.2800.1106)

Running processes:
C:\WINNT\System32\smss.exe
C:\WINNT\system32\winlogon.exe
C:\WINNT\system32\services.exe
C:\WINNT\system32\lsass.exe
C:\WINNT\System32\SCardSvr.exe
C:\WINNT\system32\svchost.exe
C:\WINNT\system32\spoolsv.exe
C:\PROGRA~1\SYMANT~1\SYMANT~1\DefWatch.exe
C:\WINNT\System32\svchost.exe
C:\PROGRA~1\SYMANT~1\SYMANT~1\Rtvscan.exe
C:\WINNT\system32\regsvc.exe
C:\WINNT\system32\MSTask.exe
C:\WINNT\System32\WBEM\WinMgmt.exe
C:\WINNT\Explorer.EXE
C:\Programmer\Symantec_Client_Security\Symantec AntiVirus\vptray.exe
C:\WINNT\System32\rundll32.exe
C:\WINNT\System32\internat.exe
C:\Programmer\Adobe\Acrobat 4.0\Distillr\AcroTray.exe
C:\Documents and Settings\sbp\Skrivebord\HijackThis.exe

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Bar = res://C:\DOCUME~1\sbp\LOKALE~1\Temp\se.dll/sp.html
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = about:blank
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Bar = res://C:\DOCUME~1\sbp\LOKALE~1\Temp\se.dll/sp.html
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = about:blank
R1 - HKCU\Software\Microsoft\Internet Explorer\Search,SearchAssistant = about:blank
R0 - HKLM\Software\Microsoft\Internet Explorer\Search,SearchAssistant = about:blank
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,HomeOldSP = about:blank
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,HomeOldSP = about:blank
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Hyperlinks
O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Programmer\Adobe\Acrobat 6.0\Reader\ActiveX\AcroIEHelper.dll
O2 - BHO: (no name) - {53707962-6F74-2D53-2644-206D7942484F} - C:\PROGRA~1\SPYBOT~1\SDHelper.dll
O2 - BHO: (no name) - {7E35B6A2-CFAE-451E-83AE-4553317F7FFC} - C:\WINNT\System32\omle.dll
O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINNT\System32\msdxm.ocx
O4 - HKLM\..\Run: [Synchronization Manager] mobsync.exe /logon
O4 - HKLM\..\Run: [vptray] C:\Programmer\Symantec_Client_Security\Symantec AntiVirus\vptray.exe
O4 - HKLM\..\Run: [sp] rundll32 C:\DOCUME~1\spa\LOKALE~1\Temp\se.dll,DllInstall
O4 - HKCU\..\Run: [internat.exe] internat.exe
O4 - Global Startup: Acrobat Assistant.lnk = C:\Programmer\Adobe\Acrobat 4.0\Distillr\AcroTray.exe
O4 - Global Startup: Microsoft Office.lnk = C:\Programmer\Microsoft Office\Office\OSA9.EXE
O16 - DPF: {74D05D43-3236-11D4-BDCD-00C04F9A3B61} (HouseCall Control) - http://housecall.trendmicro-europe.com/housecall/Xscan53.cab
O16 - DPF: {C07E5288-22FB-11D7-962E-0004AC77C761} (Dataloen.ctlVirtuelDesktop) - http://activex.dataloen.dk/controls/Dataloen3311.CAB
O17 - HKLM\System\CCS\Services\Tcpip\Parameters: Domain = hh.lan
O17 - HKLM\System\CCS\Services\Tcpip\..\{4564554E-E000-473D-9ECA-2429D7D77959}: NameServer = 192.168.20.10,193.88.44.22
O17 - HKLM\System\CS1\Services\Tcpip\Parameters: Domain = hh.lan
O17 - HKLM\System\CS1\Services\Tcpip\..\{4564554E-E000-473D-9ECA-2429D7D77959}: NameServer = 192.168.20.10,193.88.44.22
O17 - HKLM\System\CS2\Services\Tcpip\Parameters: Domain = hh.lan
O17 - HKLM\System\CS2\Services\Tcpip\..\{4564554E-E000-473D-9ECA-2429D7D77959}: NameServer = 192.168.20.10,193.88.44.22
O18 - Filter: text/html - {5EF4AE84-AA69-4B64-B14E-3678CE4DC0ED} - C:\WINNT\System32\omle.dll
O18 - Filter: text/plain - {5EF4AE84-AA69-4B64-B14E-3678CE4DC0ED} - C:\WINNT\System32\omle.dll
Avatar billede kalp Novice
14. februar 2005 - 09:16 #1
Jeg ser på det:)
Avatar billede kalp Novice
14. februar 2005 - 09:20 #2
Download CWShredder(vi skal bruge den senere)
http://www.mdegn.dk/download/CWShredder.exe

Genstart i Fejlsikret tilstand ved at taste F8 under opstart.
Kør HijackThis, scan og sæt et flueben ud for disse linjer - luk øvrige programvinduer - klik "Fix checked":

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Bar = res://C:\DOCUME~1\sbp\LOKALE~1\Temp\se.dll/sp.html
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = about:blank
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Bar = res://C:\DOCUME~1\sbp\LOKALE~1\Temp\se.dll/sp.html
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = about:blank
R1 - HKCU\Software\Microsoft\Internet Explorer\Search,SearchAssistant = about:blank
R0 - HKLM\Software\Microsoft\Internet Explorer\Search,SearchAssistant = about:blank
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,HomeOldSP = about:blank
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,HomeOldSP = about:blank
O2 - BHO: (no name) - {7E35B6A2-CFAE-451E-83AE-4553317F7FFC} - C:\WINNT\System32\omle.dll
O18 - Filter: text/html - {5EF4AE84-AA69-4B64-B14E-3678CE4DC0ED} - C:\WINNT\System32\omle.dll
O18 - Filter: text/plain - {5EF4AE84-AA69-4B64-B14E-3678CE4DC0ED} - C:\WINNT\System32\omle.dll

Åbn Stifinder, klik på Funktioner=>Mappeindstillinger=>Vis.
Fjern flueben ved "Skjul beskyttede operativsystemfiler".
Fjern flueben ved "Skjul filtypenavne for kendte filtyper".
Sæt prik i "Vis skjulte filer og mapper".

Slet denne fil

C:\WINNT\System32\omle.dll

Angående CWShredder:
Pak zipfilen ud i en mappe.
Kør programmet, tjek for updates, afbryd din internetforbindelse fysisk (stikket ud), luk alle vinduer undtaget cwshredder, klik på Fix, den scanner nu, når den er færdigt klik på Next, klik på Exit.

Gå herefter i Start -> Programmer -> Tilbehør -> Systemværktøjer -> Diskoprydning og slet temp-filer, temporary internet files og papirkurv.
Avatar billede kalp Novice
14. februar 2005 - 09:21 #3
Når du har gjort det genstarter du selvfølgelig normalt og sender mig en ny log, men med det nye hijackthis
http://downloadportal.dk/showdownload.asp?rid=4212&sp=Hijackthis
Avatar billede sbpweb.dk Nybegynder
14. februar 2005 - 14:18 #4
Jeg har fulgt dine instrukser, og poster hermed en ny log:

Logfile of HijackThis v1.99.0
Scan saved at 14:16:53, on 14-02-2005
Platform: Windows 2000 SP2 (WinNT 5.00.2195)
MSIE: Internet Explorer v6.00 SP1 (6.00.2800.1106)

Running processes:
C:\WINNT\System32\smss.exe
C:\WINNT\system32\winlogon.exe
C:\WINNT\system32\services.exe
C:\WINNT\system32\lsass.exe
C:\WINNT\System32\SCardSvr.exe
C:\WINNT\system32\svchost.exe
C:\WINNT\system32\spoolsv.exe
C:\PROGRA~1\SYMANT~1\SYMANT~1\DefWatch.exe
C:\WINNT\System32\svchost.exe
C:\PROGRA~1\SYMANT~1\SYMANT~1\Rtvscan.exe
C:\WINNT\system32\regsvc.exe
C:\WINNT\system32\MSTask.exe
C:\WINNT\System32\WBEM\WinMgmt.exe
C:\WINNT\Explorer.EXE
C:\Programmer\Symantec_Client_Security\Symantec AntiVirus\vptray.exe
C:\WINNT\System32\rundll32.exe
C:\WINNT\System32\internat.exe
C:\Programmer\Adobe\Acrobat 4.0\Distillr\AcroTray.exe
C:\Documents and Settings\sbp\Skrivebord\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Hyperlinks
O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Programmer\Adobe\Acrobat 6.0\Reader\ActiveX\AcroIEHelper.dll
O2 - BHO: (no name) - {53707962-6F74-2D53-2644-206D7942484F} - C:\PROGRA~1\SPYBOT~1\SDHelper.dll
O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINNT\System32\msdxm.ocx
O4 - HKLM\..\Run: [Synchronization Manager] mobsync.exe /logon
O4 - HKLM\..\Run: [vptray] C:\Programmer\Symantec_Client_Security\Symantec AntiVirus\vptray.exe
O4 - HKLM\..\Run: [sp] rundll32 C:\DOCUME~1\spa\LOKALE~1\Temp\se.dll,DllInstall
O4 - HKCU\..\Run: [internat.exe] internat.exe
O4 - Global Startup: Acrobat Assistant.lnk = C:\Programmer\Adobe\Acrobat 4.0\Distillr\AcroTray.exe
O4 - Global Startup: Microsoft Office.lnk = C:\Programmer\Microsoft Office\Office\OSA9.EXE
O16 - DPF: {74D05D43-3236-11D4-BDCD-00C04F9A3B61} (HouseCall Control) - http://housecall.trendmicro-europe.com/housecall/Xscan53.cab
O17 - HKLM\System\CCS\Services\Tcpip\Parameters: Domain = hh.lan
O17 - HKLM\System\CCS\Services\Tcpip\..\{4564554E-E000-473D-9ECA-2429D7D77959}: NameServer = 192.168.20.10,193.88.44.22
O17 - HKLM\System\CS1\Services\Tcpip\Parameters: Domain = hh.lan
O17 - HKLM\System\CS1\Services\Tcpip\..\{4564554E-E000-473D-9ECA-2429D7D77959}: NameServer = 192.168.20.10,193.88.44.22
O17 - HKLM\System\CS2\Services\Tcpip\Parameters: Domain = hh.lan
O17 - HKLM\System\CS2\Services\Tcpip\..\{4564554E-E000-473D-9ECA-2429D7D77959}: NameServer = 192.168.20.10,193.88.44.22
O23 - Service: DefWatch - Symantec Corporation - C:\PROGRA~1\SYMANT~1\SYMANT~1\DefWatch.exe
O23 - Service: Logical Disk Manager Administrative Service - VERITAS Software Corp. - C:\WINNT\System32\dmadmin.exe
O23 - Service: Macromedia Licensing Service - Unknown - C:\Programmer\Fælles filer\Macromedia Shared\Service\Macromedia Licensing.exe
O23 - Service: Symantec AntiVirus Client - Symantec Corporation - C:\PROGRA~1\SYMANT~1\SYMANT~1\Rtvscan.exe
Avatar billede kalp Novice
14. februar 2005 - 14:21 #5
Den er ren:)
Avatar billede sbpweb.dk Nybegynder
14. februar 2005 - 22:15 #6
Okay. Men jeg forstår bare ikke hvorfor jeg så stadigvæk for umotiverede popups? Endda helt uafhængigt af hvilke sider jeg er inde på.
Problemet med startsiden er imidlertid væk...
Avatar billede sbpweb.dk Nybegynder
14. februar 2005 - 22:15 #7
for = får
Avatar billede kalp Novice
14. februar 2005 - 22:32 #8
Det skyldes sikkert fordi jeg overså noget!!

Genstart i fejlsikret.. og fiks denne linje

O4 - HKLM\..\Run: [sp] rundll32 C:\DOCUME~1\spa\LOKALE~1\Temp\se.dll,DllInstall

Åbn Stifinder, klik på Funktioner=>Mappeindstillinger=>Vis.
Fjern flueben ved "Skjul beskyttede operativsystemfiler".
Fjern flueben ved "Skjul filtypenavne for kendte filtyper".
Sæt prik i "Vis skjulte filer og mapper".

find og slet denne fil

C:\DOCUME~1\spa\LOKALE~1\Temp\se.dll

genstart normalt og ny log.. lige for at tjekke om der er kommet nyt i loggen!
Avatar billede sbpweb.dk Nybegynder
15. februar 2005 - 08:30 #9
Har gjort som du sagde, og her er en ny log:

Logfile of HijackThis v1.99.0
Scan saved at 08:29:33, on 15-02-2005
Platform: Windows 2000 SP2 (WinNT 5.00.2195)
MSIE: Internet Explorer v6.00 SP1 (6.00.2800.1106)

Running processes:
C:\WINNT\System32\smss.exe
C:\WINNT\system32\winlogon.exe
C:\WINNT\system32\services.exe
C:\WINNT\system32\lsass.exe
C:\WINNT\System32\SCardSvr.exe
C:\WINNT\system32\svchost.exe
C:\WINNT\system32\spoolsv.exe
C:\PROGRA~1\SYMANT~1\SYMANT~1\DefWatch.exe
C:\WINNT\System32\svchost.exe
C:\PROGRA~1\SYMANT~1\SYMANT~1\Rtvscan.exe
C:\WINNT\system32\regsvc.exe
C:\WINNT\system32\MSTask.exe
C:\WINNT\System32\WBEM\WinMgmt.exe
C:\WINNT\Explorer.EXE
C:\Programmer\Symantec_Client_Security\Symantec AntiVirus\vptray.exe
C:\WINNT\System32\internat.exe
C:\Programmer\Adobe\Acrobat 4.0\Distillr\AcroTray.exe
C:\Documents and Settings\sbp\Skrivebord\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Hyperlinks
O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Programmer\Adobe\Acrobat 6.0\Reader\ActiveX\AcroIEHelper.dll
O2 - BHO: (no name) - {53707962-6F74-2D53-2644-206D7942484F} - C:\PROGRA~1\SPYBOT~1\SDHelper.dll
O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINNT\System32\msdxm.ocx
O4 - HKLM\..\Run: [Synchronization Manager] mobsync.exe /logon
O4 - HKLM\..\Run: [vptray] C:\Programmer\Symantec_Client_Security\Symantec AntiVirus\vptray.exe
O4 - HKCU\..\Run: [internat.exe] internat.exe
O4 - Global Startup: Acrobat Assistant.lnk = C:\Programmer\Adobe\Acrobat 4.0\Distillr\AcroTray.exe
O4 - Global Startup: Microsoft Office.lnk = C:\Programmer\Microsoft Office\Office\OSA9.EXE
O16 - DPF: {74D05D43-3236-11D4-BDCD-00C04F9A3B61} (HouseCall Control) - http://housecall.trendmicro-europe.com/housecall/Xscan53.cab
O17 - HKLM\System\CCS\Services\Tcpip\Parameters: Domain = hh.lan
O17 - HKLM\System\CCS\Services\Tcpip\..\{4564554E-E000-473D-9ECA-2429D7D77959}: NameServer = 192.168.20.10,193.88.44.22
O17 - HKLM\System\CS1\Services\Tcpip\Parameters: Domain = hh.lan
O17 - HKLM\System\CS1\Services\Tcpip\..\{4564554E-E000-473D-9ECA-2429D7D77959}: NameServer = 192.168.20.10,193.88.44.22
O17 - HKLM\System\CS2\Services\Tcpip\Parameters: Domain = hh.lan
O17 - HKLM\System\CS2\Services\Tcpip\..\{4564554E-E000-473D-9ECA-2429D7D77959}: NameServer = 192.168.20.10,193.88.44.22
O23 - Service: DefWatch - Symantec Corporation - C:\PROGRA~1\SYMANT~1\SYMANT~1\DefWatch.exe
O23 - Service: Logical Disk Manager Administrative Service - VERITAS Software Corp. - C:\WINNT\System32\dmadmin.exe
O23 - Service: Macromedia Licensing Service - Unknown - C:\Programmer\Fælles filer\Macromedia Shared\Service\Macromedia Licensing.exe
O23 - Service: Symantec AntiVirus Client - Symantec Corporation - C:\PROGRA~1\SYMANT~1\SYMANT~1\Rtvscan.exe
Avatar billede kalp Novice
15. februar 2005 - 08:44 #10
Den er ren:) stadig popups?!
Avatar billede sbpweb.dk Nybegynder
15. februar 2005 - 09:17 #11
Niks! De er væk! SKØNT :-)
Tusind tak for hjælpen!
Avatar billede kalp Novice
15. februar 2005 - 18:54 #12
Selv tak:)
Avatar billede Ny bruger Nybegynder

Din løsning...

Tilladte BB-code-tags: [b]fed[/b] [i]kursiv[/i] [u]understreget[/u] Web- og emailadresser omdannes automatisk til links. Der sættes "nofollow" på alle links.

Loading billede Opret Preview
Kategori
Se alle it-kurser fra Computerworld Kurser
IT-kurser om Microsoft 365, sikkerhed, personlig vækst, udvikling, digital markedsføring, grafisk design, SAP og forretningsanalyse.
Se alle it-kurser

Flere spørgsmål fra Andet sikkerhed kategorien

Titel Indlæg Oprettet Seneste aktivitet
hvilken afløser kan I anbefale? Af jcr18 i Andet sikkerhed 5 17/03/202610:32 18/03/202615:36
Advarsler om datalæk for nogle apps Af nu_igen i Andet sikkerhed 6 02/02/202614:54 03/02/202613:45
Mail fra Yousee ? Svindel? Af nu_igen i Andet sikkerhed 4 13/01/202617:27 14/01/202609:36
Er det sandsynligt, at jeg har været udsat for phishing Af Slettet bruger i Andet sikkerhed 4 13/11/202515:09 14/11/202510:45
Google fake Af johp i Andet sikkerhed 3 27/10/202516:31 28/10/202506:52
Se alle spørgsmål i kategorien Opret spørgsmål

Log ind eller opret profil

Hov!

For at kunne deltage på Computerworld Eksperten skal du være logget ind.

Det er heldigvis nemt at oprette en bruger: Det tager to minutter og du kan vælge at bruge enten e-mail, Facebook eller Google som login.

Opret Log ind

Du kan også logge ind via nedenstående tjenester

Alle kategorier på Eksperten
IT-JOB
Seneste spørgsmål Seneste aktivitet
I dag 09:43 AI google.com Af Peter Olsen i Andre onlineløsninger
31/0310:22 Makro der gemmer vedhæftet fil fra Msg og omdøber filen Af lokesa i Excel
30/0313:45 Kablet forbindelse mellem android telefon og windows 11 pc Af 1Dorte i Android
30/0312:04 Elementtype vises - og ikke billedet? Af hkprofil i Billedbehandling
29/0312:08 Problemer med replay af købte kursusvideoer Af annam i Browsere
White papers
Flere white papers »