Spyware eller virus?

Der er vel ikke andet at gøre end at formatere...

Tror ikke du skal lede efter en virus, det er nok nærmere noget "Ad-killer" software du har du har installeret der dræber siden fordi den tror det er reklame eller lignede, prøv lige at gå i gennem din "Add/Remove Software" kig efter ord som popup killer, ads advertisement etc.

Har gjort og det hele er fjernet (alt det unødvendige, og det som den selv har installeret)

Den har ændret min startside til www.clicksearchclick.com/index.php?aff=19 kan jeg se..!

Prøv at smide hijackthis-loggen herind, så kan jeg se den igennem.

Logfile of HijackThis v1.99.1
Scan saved at 16:34:34, on 21-06-2005
Platform: Windows XP  (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 (6.00.2600.0000)

Running processes:
C:\WINDOZE\System32\smss.exe
C:\WINDOZE\system32\winlogon.exe
C:\WINDOZE\system32\services.exe
C:\WINDOZE\system32\lsass.exe
C:\WINDOZE\system32\svchost.exe
C:\WINDOZE\System32\svchost.exe
C:\WINDOZE\system32\spoolsv.exe
C:\Programmer\NetLimiter\NetLimiter.exe
C:\WINDOZE\System32\Services\{A5E1E440-1CF6-4D9F-8412-4CA87E5F2FA1}\SVCHOST.EXE
C:\Programmer\Messenger\msmsgs.exe
C:\Programmer\MSN Messenger\MsnMsgr.Exe
C:\WINDOZE\stchost.exe
C:\WINDOZE\System32\nvsvc32.exe
C:\WINDOZE\System32\svchost.exe
C:\WINDOZE\System32\devldr32.exe
C:\WINDOZE\System32\wpabaln.exe
C:\Programmer\The All-Seeing Eye\eye.exe
C:\Programmer\Internet Explorer\IEXPLORE.EXE
C:\files\hijackthis\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.clicksearchclick.com/index.php?aff=19
O4 - HKLM\..\Run: [NetLimiter] C:\Programmer\NetLimiter\NetLimiter.exe /s
O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOZE\System32\NvCpl.dll,NvStartup
O4 - HKLM\..\Run: [NeroFilterCheck] C:\WINDOZE\system32\NeroCheck.exe
O4 - HKLM\..\Run: [desktop] C:\WINDOZE\System32\desktop.exe
O4 - HKLM\..\Run: [desktop] C:\WINDOZE\System32\desktop.exe
O4 - HKLM\..\Run: [Service Host] C:\WINDOZE\System32\Services\{A5E1E440-1CF6-4D9F-8412-4CA87E5F2FA1}\SVCHOST.EXE
O4 - HKLM\..\Run: [KernelFaultCheck] %systemroot%\system32\dumprep 0 -k
O4 - HKLM\..\Run: [Disk Keeper] C:\WINDOZE\System32\Services\{A5E1E440-1CF6-4D9F-8412-4CA87E5F2FA1}\SECURITY.EXE
O4 - HKLM\..\RunServices: [desktop] C:\WINDOZE\System32\desktop.exe
O4 - HKCU\..\Run: [MSMSGS] "C:\Programmer\Messenger\msmsgs.exe" /background
O4 - HKCU\..\Run: [MsnMsgr] "C:\Programmer\MSN Messenger\MsnMsgr.Exe" /background
O16 - DPF: {6414512B-B978-451D-A0D8-FCFDF33E833C} (WUWebControl Class) - http://v5.windowsupdate.microsoft.com/v5consumer/V5Controls/en/x86/client/wuweb_site.cab?1119360068108
O23 - Service: stchost.exe (moto) - Unknown owner - C:\WINDOZE\stchost.exe
O23 - Service: NVIDIA Display Driver Service (NVSvc) - NVIDIA Corporation - C:\WINDOZE\System32\nvsvc32.exe

microsoft har også et anti spy program søg på google på microsoft antispy

kan ikke downloade den for når jeg kommer til det sted hvor der står "Download" udskifter den linket med et link fra clicksearchclick.com :(

Jeg ville fjerne disse også iflg. søgning herinde, http://www.sysinfo.org/startuplist.php?filter=&count=&type= men er ikke ekspert i logfiler


O4 - HKLM\..\Run: [desktop] C:\WINDOZE\System32\desktop.exe
O4 - HKLM\..\Run: [desktop] C:\WINDOZE\System32\desktop.exe
O4 - HKLM\..\Run: [Service Host] C:\WINDOZE\System32\Services\{A5E1E440-1CF6-4D9F-8412-4CA87E5F2FA1}\SVCHOST.EXE
O4 - HKLM\..\Run: [Disk Keeper] C:\WINDOZE\System32\Services\{A5E1E440-1CF6-4D9F-8412-4CA87E5F2FA1}\SECURITY.EXE
O4 - HKLM\..\RunServices: [desktop] C:\WINDOZE\System32\desktop.exe
O4 - HKCU\..\Run: [MsnMsgr] "C:\Programmer\MSN Messenger\MsnMsgr.Exe" /background

Og uden tvivl også denne

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.clicksearchclick.com/index.php?aff=19

Jeg har prøvet, men de kommer tilbage, selvom jeg også genstarter computeren..!
Var der ikke et program der hed "Kasper" der kunne klare dem?

Jeg har været væk fra computeren indtil nu. Jeg laver en vejledning til dig - det tager ca. 10 min.

kay takker :P

Læs alle punkterne inden du gør noget.

(1)
Deaktiver systemgendannelse, ved at Højreklikke på "Denne Computer" på skrivebordet -> egenskaber -> Systemgendannelse -> sæt flueben i "Deaktiver systemgendannelse" -> Klik OK.

(2)
Hent scannereren http://www.spywareinfo.dk/download/mwav.exe.

(3)
Genstart computeren i fejlsikret tilstand (tryk F8 når Windows starter op), og fix følgende linjer med HijackThis:
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.clicksearchclick.com/index.php?aff=19
O4 - HKLM\..\Run: [desktop] C:\WINDOZE\System32\desktop.exe
O4 - HKLM\..\Run: [desktop] C:\WINDOZE\System32\desktop.exe
O4 - HKLM\..\Run: [Service Host] C:\WINDOZE\System32\Services\{A5E1E440-1CF6-4D9F-8412-4CA87E5F2FA1}\SVCHOST.EXE
O4 - HKLM\..\Run: [Disk Keeper] C:\WINDOZE\System32\Services\{A5E1E440-1CF6-4D9F-8412-4CA87E5F2FA1}\SECURITY.EXE
O4 - HKLM\..\RunServices: [desktop] C:\WINDOZE\System32\desktop.exe
O23 - Service: stchost.exe (moto) - Unknown owner - C:\WINDOZE\stchost.exe

Åbn en tilfældig mappe, i menuen klik på Funktioner -> Mappeindstillinger -> Vis.
Fjern flueben ved "Skjul beskyttede operativsystemfiler".
Fjern flueben ved "Skjul filtypenavne for kendte filtyper".
Sæt prik i "Vis skjulte filer og mapper".

søg efter og slet følgende filer:
C:\WINDOZE\stchost.exe
C:\WINDOZE\System32\desktop.exe
C:\WINDOZE\System32\Services\{A5E1E440-1CF6-4D9F-8412-4CA87E5F2FA1}\SVCHOST.EXE
C:\WINDOZE\System32\Services\{A5E1E440-1CF6-4D9F-8412-4CA87E5F2FA1}\SECURITY.EXE

(4)
Start -> programmer -> tilbehør -> systemværktøjer -> diskoprydning -> Slet Temporary internet files, papirkurv og midlertidige filer.

(5)
Kør scanneren mwav.exe, og sæt flueben i følgende:
Memory, Startup folders, drive, Registry, System folders og Services.
Sæt prik i følgende: All local drives og Scan all files.
Tryk på Scan Clean
Scanningen kan godt tage et par timer.

(6)
Genstart computeren normalt. Lav en ny log med HijackThis, og send den herind.

(7)
Når vi er helt færdige, så husk at aktiver systemgendannelse igen.

******************
Jeg kan anbefale dig at installeret service pack 2 til windows xp, da det giver større sikkerhed mod virus, spyware osv. Men det skal være på et "rent" system.

PS.der kommer ingen mails fra Eksperten iøjeblikket pga. fejl fra E's side så der ka gå lidt tid inden der blir svaret...

Som nævnt (=kraftigt anbefalet!) => Du kan hente SP2 her som 'løs' fil (~280Mb):
http://intern.sdu.dk/it-service/tjenester/ftphotel/ftpindhold/
Download/copy til et passende medie.
Afbryd fra det 'farlige' internet (stikket fysisk UD).
Instaler SP2 pakken.
Når det er så gået godt og efter en genstart eller to - først DA tilslut internettet igen og gå i start ->programmer ->Windowsupdate og lade din maskine scanne for nyeste opdateringer. Installer dem du får anbefalet.

Good Luck... men først når putter er erklæret 'ren' ...

(Tja - hvis du ikke får dette gennemført ses vi nok snart igen...i virus kategorien?)

... dette med SP2 gælder sandelig også hvis du vælger at rydde butikken og begynde forfra. Altså SP2 bør (skal) lægges ind FØR FØR nogen forbindelse til internettet...

Altså SP2 bør (skal) lægges ind FØR FØR nogen forbindelse til internettet...


? hvordan vil du lige gøre dette den ligger jo på nettet

Det aktuelle problem er fjernelse af det snavs der er på computeren. Det med SP2 er for at forhindre at problemet opstår igen.

Jeg valgte at formatere den, tilsidst satte den sig fast hele tiden når jeg var i windows..!
I kan bare ligge nogle svar, jeg kan sikkert bruge dette spørgesmål på et senere tidspunkt :)

ok