Søg
Avatar billede strych9 Praktikant
02. april 2005 - 01:14 Der er 7 kommentarer og
1 løsning

smss.exe

Når jeg starter Windows får jeg følgende fejl:
smss.exe - Application Error
The instruction at "0x00405518" referenced memory at "0x001d2000". The memory could not be "read".

Så jeg kigger mig omkring og finder i d:\windows en smss.exe, og den skal da vist kun ligge i system32.
Prøver jeg at slette filen kommer den igen under næste genstart. Dens størrelse er 27kb mod 50kb for den der ligger i

system32.
Jeg uploadede den så til virusscan.jotti.org for at checke, for housecall fandt ikke noget. Panda onlinescanner gjorde.
Her er hvad jotti scanneren fandt af interesse:

Packers detected:  FSG, PE_PATCH
BitDefender  BehavesLike:Trojan.FirewallBypass (probable variant) 
Dr.Web  Trojan.PWS.LDPinch.377 
Kaspersky Anti-Virus  Trojan-PSW.Win32.LdPinch.mp 
NOD32  probably unknown NewHeur_PE (probable variant) 
Norman Virus Control  Sandbox: W32/Backdoor; [ General information ]

* Creating several executable files on hard-drive.
* File length: 27241 bytes.

[ Changes to filesystem ]
* Creates file C:\temp\ole320.
* Creates file C:\WINDOWS\Temp\cmd.txt.
* Creates file C:\bin.
* Deletes file C:\bin.

[ Changes to registry ]
* Creates key "HKLM\Software\Microsoft\Windows\CurrentVersion\Port".
* Sets value "default"="© " in key "HKLM\Software\Microsoft\Windows\CurrentVersion\Port".
* Reads value "SMTP Email Address"="" in key "HKCU\Software\Microsoft\Internet Account Manager\Accounts\unreal".

[ Changes to system settings ]
* Read RAS entry properties.

[ Network services ]
* Connects to "irc.pinch2.cc" on port 6667 (IP).
* Connects to IRC server.
* IRC: Uses nickname FAKE.
* IRC: Uses username FAKE.
* Downloads file from

http://chameleonexpo.com.au/img/ret.php?&name=SANDBOX&ip1=192.168.0.101&ftpport=2121&ftpuser=kotik&ftppass=g99&socks5por

t=1650614882&proxyport=1080&consoleport=2050&cid=kotik&winver=ME&uid=%hu&1335380034 as C:\WINDOWS\Temp\cmd.txt.
* IRC: Joins channel #kotik.
* Downloads file from

http://chameleonexpo.com.au/img/ret.php?&name=SANDBOX&ip1=192.168.0.101&ftpport=2121&ftpuser=kotik&ftppass=g99&socks5por

t=1650614882&proxyport=1080&consoleport=2050&cid=kotik&winver=ME&uid=%hu&380636641 as C:\WINDOWS\Temp\cmd.txt.
* Downloads file from

http://chameleonexpo.com.au/img/ret.php?&name=SANDBOX&ip1=192.168.0.101&ftpport=2121&ftpuser=kotik&ftppass=g99&socks5por

t=1650614882&proxyport=1080&consoleport=2050&cid=kotik&winver=ME&uid=%hu&6240874 as C:\WINDOWS\Temp\cmd.txt.
* Downloads file from

http://chameleonexpo.com.au/img/ret.php?&name=SANDBOX&ip1=192.168.0.101&ftpport=2121&ftpuser=kotik&ftppass=g99&socks5por

t=1650614882&proxyport=1080&consoleport=2050&cid=kotik&winver=ME&uid=%hu&1811154262 as C:\WINDOWS\Temp\cmd.txt. 

VBA32  Trojan-PSW.Win32.LdPinch.mp 

Resten af scannerne finder ikke noget.

Disse omtalte ændringer findes ikke på mit system:
* Creates file C:\WINDOWS\Temp\cmd.txt.
* Creates file C:\bin.
* Deletes file C:\bin.

Til gengæld findes denne reg key: HKLM\Software\Microsoft\Windows\CurrentVersion\Port

Og så den obligatoriske hijackthis log:
Logfile of HijackThis v1.99.1
Scan saved at 01:06:03, on 02-04-2005
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)

Running processes:
D:\WINDOWS\System32\smss.exe
D:\WINDOWS\system32\csrss.exe
D:\WINDOWS\system32\winlogon.exe
D:\WINDOWS\system32\services.exe
D:\WINDOWS\system32\lsass.exe
D:\WINDOWS\system32\svchost.exe
D:\WINDOWS\system32\svchost.exe
D:\WINDOWS\System32\svchost.exe
D:\WINDOWS\System32\svchost.exe
D:\WINDOWS\System32\svchost.exe
D:\WINDOWS\system32\spoolsv.exe
D:\WINDOWS\Explorer.EXE
D:\WINDOWS\System32\drivers\CDAC11BA.EXE
D:\Program Files\Common Files\Microsoft Shared\VS7Debug\mdm.exe
D:\Program Files\NMapWin\bin\nmapserv.exe
D:\WINDOWS\system32\nvsvc32.exe
D:\WINDOWS\System32\svchost.exe
D:\WINDOWS\system32\wdfmgr.exe
D:\Program Files\Common Files\Logitech\QCDriver3\LVCOMS.EXE
D:\Program Files\Logitech\ImageStudio\LogiTray.exe
D:\WINDOWS\system32\RUNDLL32.EXE
D:\Program Files\D-Tools\daemon.exe
D:\Program Files\QuickTime\qttask.exe
D:\Program Files\Java\jre1.5.0_01\bin\jusched.exe
D:\WINDOWS\system32\ctfmon.exe
D:\WINDOWS\system32\rundll32.exe
D:\Program Files\MSN Messenger\MsnMsgr.Exe
D:\Program Files\YPOPs\YPOPs.exe
D:\Program Files\Logitech\MouseWare\system\em_exec.exe
D:\PROGRA~1\ICQ\ICQ.exe
D:\Program Files\VMware\VMware Workstation\vmware-authd.exe
D:\WINDOWS\System32\vmnat.exe
D:\WINDOWS\System32\vmnetdhcp.exe
D:\WINDOWS\System32\inetsrv\inetinfo.exe
D:\WINDOWS\System32\alg.exe
D:\WINDOWS\system32\NOTEPAD.EXE
D:\WINDOWS\system32\wuauclt.exe
D:\WINDOWS\system32\wscntfy.exe
D:\Program Files\Internet Explorer\iexplore.exe
D:\hjt\HijackThis.exe

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Bar = http://g.msn.com/0SEENUS/SAOS01
R1 - HKCU\Software\Microsoft\Internet Connection Wizard,ShellNext = http://windowsupdate.microsoft.com/
O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - D:\Program Files\Adobe\Acrobat 7.0\ActiveX\AcroIEHelper.dll
O2 - BHO: NewzCrawlerRSSAutodiscovery2 Object - {5F50A50A-0A0F-4F58-8B1C-62BC60F9B05A} - D:\PROGRA~1\NEWZCR~1\NCRSSA~1.DLL
O2 - BHO: FlashFXP Helper for Internet Explorer - {E5A1691B-D188-4419-AD02-90002030B8EE} - D:\PROGRA~1\FlashFXP\IEFlash.dll
O4 - HKLM\..\Run: [PDF Converter Registry Controller] "D:\Program Files\ScanSoft\PDF Converter\RegistryController.exe"
O4 - HKLM\..\Run: [LVCOMS] D:\Program Files\Common Files\Logitech\QCDriver3\LVCOMS.EXE
O4 - HKLM\..\Run: [LogitechGalleryRepair] D:\Program Files\Logitech\ImageStudio\ISStart.exe
O4 - HKLM\..\Run: [LogitechImageStudioTray] D:\Program Files\Logitech\ImageStudio\LogiTray.exe
O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE D:\WINDOWS\system32\NvCpl.dll,NvStartup
O4 - HKLM\..\Run: [nwiz] nwiz.exe /install
O4 - HKLM\..\Run: [NvMediaCenter] RUNDLL32.EXE D:\WINDOWS\system32\NvMcTray.dll,NvTaskbarInit
O4 - HKLM\..\Run: [Logitech Utility] Logi_MwX.Exe
O4 - HKLM\..\Run: [Mirabilis ICQ] D:\PROGRA~1\ICQ\ICQNet.exe
O4 - HKLM\..\Run: [DAEMON Tools-1033] "D:\Program Files\D-Tools\daemon.exe"  -lang 1033
O4 - HKLM\..\Run: [Cmaudio] RunDll32 cmicnfg.cpl,CMICtrlWnd
O4 - HKLM\..\Run: [QuickTime Task] "D:\Program Files\QuickTime\qttask.exe" -atboottime
O4 - HKLM\..\Run: [KernelFaultCheck] %systemroot%\system32\dumprep 0 -k
O4 - HKLM\..\Run: [SunJavaUpdateSched] D:\Program Files\Java\jre1.5.0_01\bin\jusched.exe
O4 - HKCU\..\Run: [CTFMON.EXE] D:\WINDOWS\system32\ctfmon.exe
O4 - HKCU\..\Run: [MsnMsgr] "D:\Program Files\MSN Messenger\MsnMsgr.Exe" /background
O4 - Startup: YPOPs.lnk = ?
O4 - Global Startup: Adobe Reader Speed Launch.lnk = D:\Program Files\Adobe\Acrobat 7.0\Reader\reader_sl.exe
O8 - Extra context menu item: E&xport to Microsoft Excel - res://D:\PROGRA~1\MICROS~3\OFFICE11\EXCEL.EXE/3000
O8 - Extra context menu item: Open PDF in Word - res://D:\Program Files\ScanSoft\PDF Converter\IEShellExt.dll /100
O8 - Extra context menu item: Subscribe in NewzCrawler - file://D:\Program Files\NewzCrawler\context.htm
O8 - Extra context menu item: Subscribe to NewzCrawler - file://D:\Program Files\NewzCrawler\context.htm
O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - D:\Program Files\Java\jre1.5.0_01\bin\npjpi150_01.dll
O9 - Extra 'Tools' menuitem: Sun Java Console - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - D:\Program Files\Java\jre1.5.0_01\bin\npjpi150_01.dll
O9 - Extra button: ICQ Pro - {6224f700-cba3-4071-b251-47cb894244cd} - D:\PROGRA~1\ICQ\ICQ.exe
O9 - Extra 'Tools' menuitem: ICQ - {6224f700-cba3-4071-b251-47cb894244cd} - D:\PROGRA~1\ICQ\ICQ.exe
O9 - Extra button: Research - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - D:\PROGRA~1\MICROS~3\OFFICE11\REFIEBAR.DLL
O9 - Extra button: Newz Crawler - {CA7C41C8-5C9D-4A03-A101-B0AA4F0C3ABC} - D:\Program Files\NewzCrawler\News.exe
O9 - Extra 'Tools' menuitem: Newz Crawler - {CA7C41C8-5C9D-4A03-A101-B0AA4F0C3ABC} - D:\Program Files\NewzCrawler\News.exe
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - D:\Program Files\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - D:\Program Files\Messenger\msmsgs.exe
O16 - DPF: ppctlcab - http://www.pestscan.com/scanner/ppctlcab.cab
O16 - DPF: {6414512B-B978-451D-A0D8-FCFDF33E833C} (WUWebControl Class) - http://v5.windowsupdate.microsoft.com/v5consumer/V5Controls/en/x86/client/wuweb_site.cab?1093022127383
O16 - DPF: {74D05D43-3236-11D4-BDCD-00C04F9A3B61} (HouseCall Control) - http://a840.g.akamai.net/7/840/537/2004061001/housecall.trendmicro.com/housecall/xscan53.cab
O16 - DPF: {9A9307A0-7DA4-4DAF-B042-5009F29E09E1} (ActiveScan Installer Class) - http://www.pandasoftware.com/activescan/as5/asinst.cab
O17 - HKLM\System\CCS\Services\Tcpip\..\{48A02866-8560-4E86-AC7E-B56F4D6C2A50}: NameServer = 80.65.204.5,80.65.204.15
O17 - HKLM\System\CCS\Services\Tcpip\..\{A582FA24-B637-46F0-BFF7-A067B54EF8EF}: NameServer = 194.239.134.83,193.162.153.164
O21 - SSODL: system - {B2A6BD49-D0BA-487E-A437-DA5E2E996E74} - inhelp32.dll (file missing)
O23 - Service: Adobe LM Service - Unknown owner - D:\Program Files\Common Files\Adobe Systems Shared\Service\Adobelmsvc.exe
O23 - Service: Ati HotKey Poller - Unknown owner - D:\WINDOWS\System32\Ati2evxx.exe
O23 - Service: ATI Smart - Unknown owner - D:\WINDOWS\system32\ati2sgag.exe
O23 - Service: C-DillaCdaC11BA - Macrovision - D:\WINDOWS\System32\drivers\CDAC11BA.EXE
O23 - Service: Macromedia Licensing Service - Unknown owner - D:\Program Files\Common Files\Macromedia Shared\Service\Macromedia Licensing.exe
O23 - Service: NMap - Unknown owner - D:\Program Files\NMapWin\bin\nmapserv.exe
O23 - Service: NVIDIA Display Driver Service (NVSvc) - NVIDIA Corporation - D:\WINDOWS\system32\nvsvc32.exe
O23 - Service: VMware Authorization Service (VMAuthdService) - VMware, Inc. - D:\Program Files\VMware\VMware Workstation\vmware-authd.exe
O23 - Service: VMware DHCP Service (VMnetDHCP) - VMware, Inc. - D:\WINDOWS\System32\vmnetdhcp.exe
O23 - Service: VMware NAT Service - VMware, Inc. - D:\WINDOWS\System32\vmnat.exe

Man kan undre sig over at både ATI og nVidia bliver nævnt, men for 1½ år siden havde jeg da vist nok også et ATI kort installeret på maskinen hvor jeg så har nVidia nu. Det jeg synes er underligt er at jeg har kørt den lidt ældre version af hijackthis før, og der stod der altså intet om ATI!
Avatar billede tonnybrandt Nybegynder
02. april 2005 - 01:22 #1
Jeg kigger lige på den ..
Avatar billede tonnybrandt Nybegynder
02. april 2005 - 01:30 #2
Der er faktisk kun denne linie der stikker i øjnene:

O21 - SSODL: system - {B2A6BD49-D0BA-487E-A437-DA5E2E996E74} - inhelp32.dll (file missing)

Du kan sikkert ikke fjerne den med HiJackThis, så således fjerner du den:

Genstart i fejlsikret tilstand.

Klik start | kør, skriv regedit og tryk enter.
Find denne nøgle i registreringsdatabasen og udvid den så du kan se de underliggende objekter.
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services

Udvid den så du kan se de underliggende nøgler.
Højreklik denne nøgle og vælg slet:
"system"

Generelt:
Hvis du bliver nægtet adgang så udfør følgende for at sætte sikkerheden så du må slette:

Klik Nøglen så den er markeret.
Klik Rediger | Tilladelser.
Marker "Alle" og sæt kryds i Tillad i "Fuld kontrol".
Klik knappen Avanceret, og sæt kryds i den nederste: "Erstat tilladelsesposter på alle underobj......"
Klik Anvend og ok
Og igen Anvend og ok.

Luk regedit.

Afinstaller Alt hvad der hedder noget med ATI i tilføj/fjern programmer i kontrolpanelet.

Genstart igen i fejlsikker tilstand og fix disse linier i HiJackThis hvis de ikke
automatisk er forsvundet:

O4 - HKLM\..\Run: [KernelFaultCheck] %systemroot%\system32\dumprep 0 -k
O23 - Service: Ati HotKey Poller - Unknown owner - D:\WINDOWS\System32\Ati2evxx.exe
O23 - Service: ATI Smart - Unknown owner - D:\WINDOWS\system32\ati2sgag.exe

(Den gamle version af HiJackThis viste ikke services, så derfor kunne du ikke se linierne)

Genstart normalt og kom med en ny log.

Imens kigger jeg lige på informationen omkring den virus du uploadede.
Avatar billede tonnybrandt Nybegynder
02. april 2005 - 01:39 #3
Det lader til at være denne her du har inde:
http://securityresponse.symantec.com/avcenter/venc/data/w32.dalbug.worm.html

Dog er den ikke aktiv, da der ikke var spor af den i loggen.
Avatar billede strych9 Praktikant
02. april 2005 - 02:19 #4
Da jeg fjernede denne: O21 - SSODL: system - {B2A6BD49-D0BA-487E-A437-DA5E2E996E74} - inhelp32.dll (file missing)

så holdt fejlbeskeden op med at komme under opstart.
Og så havde jeg også lige et ATI kontrol panel der skulle fjernes i tilføj/fjern programmer lol

Logfile of HijackThis v1.99.1
Scan saved at 02:07:32, on 02-04-2005
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)

Running processes:
D:\WINDOWS\System32\smss.exe
D:\WINDOWS\system32\winlogon.exe
D:\WINDOWS\system32\services.exe
D:\WINDOWS\system32\lsass.exe
D:\WINDOWS\system32\svchost.exe
D:\WINDOWS\System32\svchost.exe
D:\WINDOWS\system32\spoolsv.exe
D:\WINDOWS\Explorer.EXE
D:\Program Files\Common Files\Logitech\QCDriver3\LVCOMS.EXE
D:\Program Files\Logitech\ImageStudio\LogiTray.exe
D:\WINDOWS\system32\RUNDLL32.EXE
D:\WINDOWS\system32\rundll32.exe
D:\Program Files\D-Tools\daemon.exe
D:\Program Files\QuickTime\qttask.exe
D:\Program Files\Java\jre1.5.0_01\bin\jusched.exe
D:\WINDOWS\system32\ctfmon.exe
D:\Program Files\MSN Messenger\MsnMsgr.Exe
D:\WINDOWS\System32\drivers\CDAC11BA.EXE
D:\Program Files\Common Files\Microsoft Shared\VS7Debug\mdm.exe
D:\Program Files\NMapWin\bin\nmapserv.exe
D:\Program Files\YPOPs\YPOPs.exe
D:\Program Files\Logitech\MouseWare\system\em_exec.exe
D:\PROGRA~1\ICQ\ICQ.exe
D:\WINDOWS\system32\nvsvc32.exe
D:\WINDOWS\System32\svchost.exe
D:\Program Files\VMware\VMware Workstation\vmware-authd.exe
D:\WINDOWS\System32\vmnat.exe
D:\WINDOWS\System32\vmnetdhcp.exe
D:\WINDOWS\System32\inetsrv\inetinfo.exe
D:\WINDOWS\system32\wuauclt.exe
D:\WINDOWS\system32\wuauclt.exe
D:\WINDOWS\system32\wscntfy.exe
D:\hjt\HijackThis.exe

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Bar = http://g.msn.com/0SEENUS/SAOS01
R1 - HKCU\Software\Microsoft\Internet Connection Wizard,ShellNext = http://windowsupdate.microsoft.com/
O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - D:\Program Files\Adobe\Acrobat 7.0\ActiveX\AcroIEHelper.dll
O2 - BHO: NewzCrawlerRSSAutodiscovery2 Object - {5F50A50A-0A0F-4F58-8B1C-62BC60F9B05A} - D:\PROGRA~1\NEWZCR~1\NCRSSA~1.DLL
O2 - BHO: FlashFXP Helper for Internet Explorer - {E5A1691B-D188-4419-AD02-90002030B8EE} - D:\PROGRA~1\FlashFXP\IEFlash.dll
O4 - HKLM\..\Run: [PDF Converter Registry Controller] "D:\Program Files\ScanSoft\PDF Converter\RegistryController.exe"
O4 - HKLM\..\Run: [LVCOMS] D:\Program Files\Common Files\Logitech\QCDriver3\LVCOMS.EXE
O4 - HKLM\..\Run: [LogitechGalleryRepair] D:\Program Files\Logitech\ImageStudio\ISStart.exe
O4 - HKLM\..\Run: [LogitechImageStudioTray] D:\Program Files\Logitech\ImageStudio\LogiTray.exe
O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE D:\WINDOWS\system32\NvCpl.dll,NvStartup
O4 - HKLM\..\Run: [nwiz] nwiz.exe /install
O4 - HKLM\..\Run: [NvMediaCenter] RUNDLL32.EXE D:\WINDOWS\system32\NvMcTray.dll,NvTaskbarInit
O4 - HKLM\..\Run: [Logitech Utility] Logi_MwX.Exe
O4 - HKLM\..\Run: [Mirabilis ICQ] D:\PROGRA~1\ICQ\ICQNet.exe
O4 - HKLM\..\Run: [DAEMON Tools-1033] "D:\Program Files\D-Tools\daemon.exe"  -lang 1033
O4 - HKLM\..\Run: [Cmaudio] RunDll32 cmicnfg.cpl,CMICtrlWnd
O4 - HKLM\..\Run: [QuickTime Task] "D:\Program Files\QuickTime\qttask.exe" -atboottime
O4 - HKLM\..\Run: [KernelFaultCheck] %systemroot%\system32\dumprep 0 -k
O4 - HKLM\..\Run: [SunJavaUpdateSched] D:\Program Files\Java\jre1.5.0_01\bin\jusched.exe
O4 - HKCU\..\Run: [CTFMON.EXE] D:\WINDOWS\system32\ctfmon.exe
O4 - HKCU\..\Run: [MsnMsgr] "D:\Program Files\MSN Messenger\MsnMsgr.Exe" /background
O4 - Startup: YPOPs.lnk = ?
O4 - Global Startup: Adobe Reader Speed Launch.lnk = D:\Program Files\Adobe\Acrobat 7.0\Reader\reader_sl.exe
O8 - Extra context menu item: E&xport to Microsoft Excel - res://D:\PROGRA~1\MICROS~3\OFFICE11\EXCEL.EXE/3000
O8 - Extra context menu item: Open PDF in Word - res://D:\Program Files\ScanSoft\PDF Converter\IEShellExt.dll /100
O8 - Extra context menu item: Subscribe in NewzCrawler - file://D:\Program Files\NewzCrawler\context.htm
O8 - Extra context menu item: Subscribe to NewzCrawler - file://D:\Program Files\NewzCrawler\context.htm
O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - D:\Program Files\Java\jre1.5.0_01\bin\npjpi150_01.dll
O9 - Extra 'Tools' menuitem: Sun Java Console - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - D:\Program Files\Java\jre1.5.0_01\bin\npjpi150_01.dll
O9 - Extra button: ICQ Pro - {6224f700-cba3-4071-b251-47cb894244cd} - D:\PROGRA~1\ICQ\ICQ.exe
O9 - Extra 'Tools' menuitem: ICQ - {6224f700-cba3-4071-b251-47cb894244cd} - D:\PROGRA~1\ICQ\ICQ.exe
O9 - Extra button: Research - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - D:\PROGRA~1\MICROS~3\OFFICE11\REFIEBAR.DLL
O9 - Extra button: Newz Crawler - {CA7C41C8-5C9D-4A03-A101-B0AA4F0C3ABC} - D:\Program Files\NewzCrawler\News.exe
O9 - Extra 'Tools' menuitem: Newz Crawler - {CA7C41C8-5C9D-4A03-A101-B0AA4F0C3ABC} - D:\Program Files\NewzCrawler\News.exe
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - D:\Program Files\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - D:\Program Files\Messenger\msmsgs.exe
O16 - DPF: ppctlcab - http://www.pestscan.com/scanner/ppctlcab.cab
O16 - DPF: {6414512B-B978-451D-A0D8-FCFDF33E833C} (WUWebControl Class) - http://v5.windowsupdate.microsoft.com/v5consumer/V5Controls/en/x86/client/wuweb_site.cab?1093022127383
O16 - DPF: {74D05D43-3236-11D4-BDCD-00C04F9A3B61} (HouseCall Control) - http://a840.g.akamai.net/7/840/537/2004061001/housecall.trendmicro.com/housecall/xscan53.cab
O16 - DPF: {9A9307A0-7DA4-4DAF-B042-5009F29E09E1} (ActiveScan Installer Class) - http://www.pandasoftware.com/activescan/as5/asinst.cab
O17 - HKLM\System\CCS\Services\Tcpip\..\{48A02866-8560-4E86-AC7E-B56F4D6C2A50}: NameServer = 80.65.204.5,80.65.204.15
O17 - HKLM\System\CCS\Services\Tcpip\..\{A582FA24-B637-46F0-BFF7-A067B54EF8EF}: NameServer = 194.239.134.83,193.162.153.164
O23 - Service: Adobe LM Service - Unknown owner - D:\Program Files\Common Files\Adobe Systems Shared\Service\Adobelmsvc.exe
O23 - Service: C-DillaCdaC11BA - Macrovision - D:\WINDOWS\System32\drivers\CDAC11BA.EXE
O23 - Service: Macromedia Licensing Service - Unknown owner - D:\Program Files\Common Files\Macromedia Shared\Service\Macromedia Licensing.exe
O23 - Service: NMap - Unknown owner - D:\Program Files\NMapWin\bin\nmapserv.exe
O23 - Service: NVIDIA Display Driver Service (NVSvc) - NVIDIA Corporation - D:\WINDOWS\system32\nvsvc32.exe
O23 - Service: VMware Authorization Service (VMAuthdService) - VMware, Inc. - D:\Program Files\VMware\VMware Workstation\vmware-authd.exe
O23 - Service: VMware DHCP Service (VMnetDHCP) - VMware, Inc. - D:\WINDOWS\System32\vmnetdhcp.exe
O23 - Service: VMware NAT Service - VMware, Inc. - D:\WINDOWS\System32\vmnat.exe

smss.exe er holdt op med at smide sig selv i windows folderen, så det ser godt ud.
Jeg undrer mig lidt over det link du har givet der.
De her findes ikke på mit system:
%windir%\inf\Cdrom.sys
%windir%\Fonts\Dosoem.fon
%windir%\Help\Dosapp.hlp
%windir%\System32\Lady.exe

til gengæld har jeg denne her:
%windir%\System32\lmhsvc.exe

Synes du at jeg skal slette den?

Sidst, så er jeg fuldstændig uforstående over hvordan denne er kommet ind på mit system. Der er password på mine konti, ingen åbne shares ... Men til gengæld har jeg en kone der bruger outlook til at tømme sin spam fyldte yahoo account. Måske det er det.
Avatar billede tonnybrandt Nybegynder
02. april 2005 - 02:27 #5
Ja, denne skal slettes:
%windir%\System32\lmhsvc.exe

samt denne:
c:\windows\system32\inhelp32.dll

Jeg kan ikke sige hvordan virus'en er kommet ind, da den jo ikke skulle kunne inficere din computer, når du ikke har åbne shares.

loggen er ren nu.

Efter sådan en tur er det altid en god ide og rydde op i systemgendannelses filerne. Deaktiver systemgendannelse  - genstart din computer - aktiver systemgendannelse.
(klik start | indstillinger | kontrolpanel | system, fanebladet systemgendannelse)

Du kan evt installere nogle af programmerne i spywarefri pakken..de er alle små, konflikter ikke og er meget effektive mod snavs af den slags du lige har været angrebet af.

Specielt anbefaler vi Spybot,spywareblaster, IE-Spyad og spywareguard.
Se mere i "pakken" her
http://www.spywarefri.dk/pakken.htm
Avatar billede tonnybrandt Nybegynder
02. april 2005 - 02:28 #6
c:\windows\system32\inhelp32.dll
Skulle selvfølgelig have været
D:\windows\system32\inhelp32.dll
Avatar billede strych9 Praktikant
02. april 2005 - 02:43 #7
Jeg ved ikke med den der lmhsvc.exe... Der står i filinformationen at det er en microsoft fil med build 2180. Men sp2 er vist build 2158 så det giver ikke meget mening som jeg har forstået det.
I hvert fald har jeg flyttet den væk fra system32 og det lader til at virke fint, så mange tak for hjælpen Tonny.
Avatar billede tonnybrandt Nybegynder
02. april 2005 - 10:35 #8
Velbekomme, og takker for point :)
Avatar billede Ny bruger Nybegynder

Din løsning...

Tilladte BB-code-tags: [b]fed[/b] [i]kursiv[/i] [u]understreget[/u] Web- og emailadresser omdannes automatisk til links. Der sættes "nofollow" på alle links.

Loading billede Opret Preview
Kategori
Se alle it-kurser fra Computerworld Kurser
IT-kurser om Microsoft 365, sikkerhed, personlig vækst, udvikling, digital markedsføring, grafisk design, SAP og forretningsanalyse.
Se alle it-kurser

Flere spørgsmål fra Virus kategorien

Titel Indlæg Oprettet Seneste aktivitet
Vil skrifte antivirusprogram. Af ErikHg i Virus 22 26/11/202510:42 23/12/202514:29
Er gratis Bitdefender værd at installere ? Af Ikke-ekspert i Virus 8 31/08/202519:08 01/09/202514:18
Ukendte filer på min Pc Af jonpet i Virus 10 03/02/202514:20 04/02/202511:05
mulig ukendt virus Af jackie18 i Virus 3 18/01/202514:07 18/01/202516:39
virus popper op med jævne mellemrum Af Malm i Virus 13 18/01/202511:40 20/01/202517:53
Se alle spørgsmål i kategorien Opret spørgsmål

Log ind eller opret profil

Hov!

For at kunne deltage på Computerworld Eksperten skal du være logget ind.

Det er heldigvis nemt at oprette en bruger: Det tager to minutter og du kan vælge at bruge enten e-mail, Facebook eller Google som login.

Opret Log ind

Du kan også logge ind via nedenstående tjenester

Alle kategorier på Eksperten
Seneste spørgsmål Seneste aktivitet
I dag 00:59 Mobilepay app virker ikke mere på Xiaomi Redmi Note 13 Pro Af henrixx i Apps til Android
I går 19:09 Download Win 11 - 25H2 Af ErikHg i Windows
30/0410:42 Access Import af csv fil - forkerte datatyper Af Henrik Berg Hansen i Andet software
29/0419:37 Hente CSV fil, indsætte CSV data i TABEL for JAVASCRIPT Af snestrup2000 i Programmeringsværktøjer
29/0412:23 Facebook Af hkv i Sociale medier
White papers
Flere white papers »