Avatar billede skyum Nybegynder
04. maj 2005 - 04:41 Der er 8 kommentarer og
1 løsning

msmsgs.exe - Hijack

Jeg har fået Hijacked min browser og årsagen var denne fil (iflg. MSSpyware). Jeg har nu forsøgt at rense computeren med SpyWeb og MSAntispyware). Ved gentagne scanninger er der ikke noget tilbage.
Men er der en der gider at kigge på min log fil:

Logfile of HijackThis v1.99.1
Scan saved at 10:33:09, on 04-05-2005
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\csrss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\spoolsv.exe
C:\WINDOWS\Explorer.EXE
C:\PROGRA~1\Grisoft\AVGFRE~1\avgcc.exe
C:\PROGRA~1\Grisoft\AVGFRE~1\avgemc.exe
C:\Programmer\QuickTime\qttask.exe
D:\Programmer\Adobe_Suite\Adobe Version Cue\ControlPanel\VersionCueTray.exe
C:\Programmer\Java\jre1.5.0_01\bin\jusched.exe
C:\Programmer\Zone Labs\ZoneAlarm\zlclient.exe
C:\WINDOWS\SOUNDMAN.EXE
C:\WINDOWS\Twain_32\FlatBed\HotKey.exe
C:\Programmer\Microsoft AntiSpyware\gcasServ.exe
D:\Phone\Skype.exe
C:\WINDOWS\system32\RUNDLL32.EXE
C:\Programmer\Webroot\Spy Sweeper\SpySweeper.exe
C:\Programmer\Microsoft AntiSpyware\gcasDtServ.exe
C:\PROGRA~1\Grisoft\AVGFRE~1\avgamsvr.exe
C:\PROGRA~1\Grisoft\AVGFRE~1\avgupsvc.exe
C:\WINDOWS\System32\inetsrv\inetinfo.exe
c:\mysql\bin\mysqld-nt.exe
C:\WINDOWS\System32\nvsvc32.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\System32\wdfmgr.exe
C:\WINDOWS\system32\ZONELABS\vsmon.exe
D:\Programmer\Nikon\NkbMonitor.exe
D:\Programmer\Adobe_Suite\Adobe Acrobat 6.0\Distillr\acrotray.exe
C:\mysql\bin\winmysqladmin.exe
C:\WINDOWS\System32\alg.exe
C:\WINDOWS\system32\wscntfy.exe
C:\WINDOWS\system32\wscntfy.exe
E:\wincmd4\WINCMD32.EXE
E:\download\hijackthis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Hyperlinks
O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - D:\Programmer\Adobe_Suite\Adobe Acrobat 6.0\Acrobat\ActiveX\AcroIEHelper.dll
O2 - BHO: AcroIEToolbarHelper Class - {AE7CD045-E861-484f-8273-0445EE161910} - D:\Programmer\Adobe_Suite\Adobe Acrobat 6.0\Acrobat\AcroIEFavClient.dll
O3 - Toolbar: Adobe PDF - {47833539-D0C5-4125-9FA8-0819E2EAAC93} - D:\Programmer\Adobe_Suite\Adobe Acrobat 6.0\Acrobat\AcroIEFavClient.dll
O4 - HKLM\..\Run: [AVG7_CC] C:\PROGRA~1\Grisoft\AVGFRE~1\avgcc.exe /STARTUP
O4 - HKLM\..\Run: [AVG7_EMC] C:\PROGRA~1\Grisoft\AVGFRE~1\avgemc.exe
O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\System32\NvCpl.dll,NvStartup
O4 - HKLM\..\Run: [nwiz] nwiz.exe /install
O4 - HKLM\..\Run: [QuickTime Task] "C:\Programmer\QuickTime\qttask.exe" -atboottime
O4 - HKLM\..\Run: [AdobeVersionCue] D:\Programmer\Adobe_Suite\Adobe Version Cue\ControlPanel\VersionCueTray.exe
O4 - HKLM\..\Run: [SunJavaUpdateSched] C:\Programmer\Java\jre1.5.0_01\bin\jusched.exe
O4 - HKLM\..\Run: [Zone Labs Client] "C:\Programmer\Zone Labs\ZoneAlarm\zlclient.exe"
O4 - HKLM\..\Run: [SoundMan] SOUNDMAN.EXE
O4 - HKLM\..\Run: [HotKey] C:\WINDOWS\Twain_32\FlatBed\HotKey.exe
O4 - HKLM\..\Run: [gcasServ] "C:\Programmer\Microsoft AntiSpyware\gcasServ.exe"
O4 - HKCU\..\Run: [Skype] "D:\Phone\Skype.exe" /nosplash /minimized
O4 - HKCU\..\Run: [NvMediaCenter] RUNDLL32.EXE C:\WINDOWS\System32\NVMCTRAY.DLL,NvTaskbarInit
O4 - HKCU\..\Run: [MSMSGS] "C:\Programmer\Messenger\msmsgs.exe" /background
O4 - HKCU\..\Run: [SpySweeper] "C:\Programmer\Webroot\Spy Sweeper\SpySweeper.exe" /0
O4 - Startup: WinMySQLadmin.lnk = C:\mysql\bin\winmysqladmin.exe
O4 - Global Startup: Microsoft Office.lnk = C:\Programmer\Microsoft Office\Office10\OSA.EXE
O4 - Global Startup: Adobe Gamma Loader.lnk = ?
O4 - Global Startup: NkbMonitor.exe.lnk = D:\Programmer\Nikon\NkbMonitor.exe
O4 - Global Startup: Acrobat Assistant.lnk = D:\Programmer\Adobe_Suite\Adobe Acrobat 6.0\Distillr\acrotray.exe
O8 - Extra context menu item: E&ksporter til Microsoft Excel - res://D:\PROGRA~1\MICROS~1\Office10\EXCEL.EXE/3000
O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programmer\Java\jre1.5.0_01\bin\npjpi150_01.dll
O9 - Extra 'Tools' menuitem: Sun Java Console - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programmer\Java\jre1.5.0_01\bin\npjpi150_01.dll
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programmer\Messenger\msmsgs.exe (file missing)
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programmer\Messenger\msmsgs.exe (file missing)
O16 - DPF: {17492023-C23A-453E-A040-C7C580BBF700} (Windows Genuine Advantage Validation Tool) - http://go.microsoft.com/fwlink/?linkid=36467&clcid=0x409
O16 - DPF: {6414512B-B978-451D-A0D8-FCFDF33E833C} (WUWebControl Class) - http://v5.windowsupdate.microsoft.com/v5consumer/V5Controls/en/x86/client/wuweb_site.cab?1113732993186
O16 - DPF: {9B03C5F1-F5AB-47EE-937D-A8EDA626F876} (Anonymizer Anti-Spyware Scanner) - http://download.zonelabs.com/bin/promotions/spywaredetector/WebAAS.cab
O16 - DPF: {B38870E4-7ECB-40DA-8C6A-595F0A5519FF} (MsnMessengerSetupDownloadControl Class) - http://messenger.msn.com/download/msnmessengersetupdownloader.cab
O17 - HKLM\System\CCS\Services\Tcpip\..\{AF3270CF-00EC-4303-A485-04AE313E40E1}: NameServer = 192.168.1.1
O23 - Service: Adobe LM Service - Unknown owner - C:\Programmer\Fælles filer\Adobe Systems Shared\Service\Adobelmsvc.exe
O23 - Service: AdobeVersionCue - Adobe Sytems - D:\Programmer\Adobe_Suite\Adobe Version Cue\service\VersionCue.exe
O23 - Service: AVG7 Alert Manager Server (Avg7Alrt) - GRISOFT, s.r.o. - C:\PROGRA~1\Grisoft\AVGFRE~1\avgamsvr.exe
O23 - Service: AVG7 Update Service (Avg7UpdSvc) - GRISOFT, s.r.o. - C:\PROGRA~1\Grisoft\AVGFRE~1\avgupsvc.exe
O23 - Service: MySql - Unknown owner - c:/mysql/bin/mysqld-nt.exe
O23 - Service: NVIDIA Driver Helper Service (NVSvc) - NVIDIA Corporation - C:\WINDOWS\System32\nvsvc32.exe
O23 - Service: TrueVector Internet Monitor (vsmon) - Zone Labs LLC - C:\WINDOWS\system32\ZONELABS\vsmon.exe

På forhånd tak.
Avatar billede morten_leth Nybegynder
04. maj 2005 - 11:03 #1
http://securityresponse.symantec.com/avcenter/venc/data/w32.serflog.a.html
http://securityresponse.symantec.com/avcenter/venc/data/w32.serflog.removal.tool.html
http://securityresponse.symantec.com/avcenter/FixSflog.exe

Tror måske godt det kan være denne her så vidt jeg husker så gør den det der, den ligger sig endvidere inde i din hosts fil, som ligger
C:\WINDOWS\system32\drivers\etc og hedder hosts
tjek den igennem først om der står noget i den, og slet alt undtagen

127.0.0.1      localhost

Og prøv du at se om ikke et her hjælper... din HjT log kan jeg ikke hjælpe dig med...
Avatar billede skyum Nybegynder
04. maj 2005 - 13:27 #2
Filen ser ud til at være OK. Der er kun anført 127.0.0.1, bortset fra eksemplerne.
Til orientering har jeg kørt mange genstarter i safe mode og fået noget renset væk hvr gang med enten Spy sweeper eller MS antispyware. Det ser ud som om, at alt nu er OK, men med denne ved man jo ikke om den kommer tilbage - derfor min logfil. Jeg har min host t35.com mistænkt for via deres pop-up annoncer at være skyld i dette. Jeg har 2 gange aktiveret min side hos dem og begge gange gik min MS Antispyware igang. Til trods for blokeringer er det alligevel lykkedes at komme igennem.
Jeg takker for dit svar Morten og afventer om der skulle være andre der kan give et bud på denne logfil.
Avatar billede kalp Novice
04. maj 2005 - 15:51 #3
Din log er sådan set ren.
og du har da også diverse sikkerhedsprogrammer indstalleret.
Du kan dog stadig supplere med www.spywarefri.dk/pakken.htm
Avatar billede skyum Nybegynder
04. maj 2005 - 16:24 #4
Tak for svaret kalp. Det var også mit første indtryk, men med det her kan man jo ikke føle sig sikker. Som anført var jeg også overrasket over at få denne satan ind. Den var helt vild for at komme på nettet selv i safe mode.
Jeg synes, at I skal dele de 30 point. (jeg dog ikke lige hvor jeg skal trykke)
Avatar billede kalp Novice
04. maj 2005 - 16:28 #5
Det var i hvertfald ikke sådan der:) men det er okay:)

Virker din jobliste forresten? dvs. kan du få den frem?
Avatar billede skyum Nybegynder
04. maj 2005 - 18:08 #6
Beklager - jeg har aldrig riftig fundet ud af dette med at give point:(
Ja, jeg kan godt få listen frem, hvis det er den med flueben m.v.
Avatar billede kalp Novice
04. maj 2005 - 19:19 #7
Det fint så er der ingen problemer:)

Det med at give point..  der beder du bare den/de der skal have point ligge et svar (det ved de godt hvordan man gør) og så kommer der en lille boks frem helt nederst i venstre hjørne (er der kun når der er blevet lagt mindst et svar) du kan så markere et eller flere navne og trykke på accepter :)

Du kan også markere et eller flere navne og trykke afvis hvis folk har lagt svar som ikke duer:)
Avatar billede morten_leth Nybegynder
06. maj 2005 - 08:49 #8
Fred være med det.. hehe... alle kan lave fejl, og du skal nok lære det med tiden...

Jeg behøver ikke point...
Avatar billede skyum Nybegynder
06. maj 2005 - 16:58 #9
Tak for kommentaren, jeg håber dog ikke jeg skal skrive igen om dete emne.
Avatar billede Ny bruger Nybegynder

Din løsning...

Tilladte BB-code-tags: [b]fed[/b] [i]kursiv[/i] [u]understreget[/u] Web- og emailadresser omdannes automatisk til links. Der sættes "nofollow" på alle links.

Loading billede Opret Preview

Log ind eller opret profil

Hov!

For at kunne deltage på Computerworld Eksperten skal du være logget ind.

Det er heldigvis nemt at oprette en bruger: Det tager to minutter og du kan vælge at bruge enten e-mail, Facebook eller Google som login.

Du kan også logge ind via nedenstående tjenester