Hijack log

Har mistanke til en fil der hedder sdktemp.exe men er ikke sikker!!!

Jeg ser på det, øjeblik

Din mistanke er helt korrekt.
***************************************
Læs alle punkterne inden du gør noget.

(1)
Deaktiver systemgendannelse, ved at Højreklikke på "Denne Computer" på skrivebordet -> egenskaber -> Systemgendannelse -> sæt flueben i "Deaktiver systemgendannelse" -> Klik OK.

(2)
Hent scannereren http://www.spywareinfo.dk/download/mwav.exe.

(3)
Genstart computeren i fejlsikret tilstand (tryk F8 når Windows starter op), og fix følgende linjer med HijackThis:
O4 - HKLM\..\Run: [Microsoft sdk temp] sdktemp.exe
O4 - HKLM\..\Run: [Microsoft Core Support] MSxUP32.exe
O4 - HKLM\..\RunServices: [Microsoft sdk temp] sdktemp.exe

(4)
Åbn en tilfældig mappe, i menuen skal du klikke på Funktioner -> Mappeindstillinger -> Vis.
Fjern flueben ved "Skjul beskyttede operativsystemfiler" og ved "Skjul filtypenavne for kendte filtyper".
Sæt prik i "Vis skjulte filer og mapper".

søg efter og slet følgende filer:
sdktemp.exe
MSxUP32.exe

(5)
Start -> kør -> skriv "cleanmgr" -> Slet Temporary internet files, papirkurv og midlertidige filer. Gentag for alle dine drev.

(6)
Kør scanneren mwav.exe, og sæt flueben i følgende: Memory, Startup folders, drive, Registry, System folders og Services.
Sæt prik i følgende: All local drives og Scan all files. Tryk på Scan Clean.
Scanningen kan godt tage nogen tid.

(7)
Genstart computeren normalt. Lav en ny log med HijackThis, og send den herind.

(8)
Når vi er helt færdige, så husk at aktiver systemgendannelse igen.

Her er den nye hijack.

Logfile of HijackThis v1.99.1
Scan saved at 22:36:01, on 26-08-2005
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\Explorer.EXE
C:\WINDOWS\system32\LEXBCES.EXE
C:\WINDOWS\system32\spoolsv.exe
C:\WINDOWS\system32\LEXPPS.EXE
C:\Programmer\ULI5289\ALi5289.exe
C:\Programmer\Java\jre1.5.0_04\bin\jusched.exe
C:\Programmer\Lexmark X74-X75\lxbbbmgr.exe
C:\WINDOWS\SOUNDMAN.EXE
C:\Programmer\Fælles filer\Symantec Shared\ccApp.exe
C:\Programmer\Lexmark X74-X75\lxbbbmon.exe
C:\Programmer\MessengerPlus! 3\MsgPlus.exe
C:\Programmer\Microsoft ActiveSync\WCESCOMM.EXE
C:\Programmer\Messenger\msmsgs.exe
C:\WINDOWS\system32\ctfmon.exe
C:\Programmer\CASIO\Photo Loader\Plauto.exe
C:\Programmer\Fælles filer\Symantec Shared\ccSetMgr.exe
C:\Programmer\Fælles filer\Microsoft Shared\VS7Debug\mdm.exe
C:\Programmer\Norton AntiVirus\navapsvc.exe
C:\Programmer\Norton AntiVirus\IWP\NPFMntor.exe
C:\WINDOWS\System32\nvsvc32.exe
C:\Programmer\Fælles filer\Symantec Shared\SNDSrvc.exe
C:\Programmer\Fælles filer\Symantec Shared\SPBBC\SPBBCSvc.exe
C:\WINDOWS\System32\svchost.exe
C:\Programmer\Fælles filer\Symantec Shared\CCPD-LC\symlcsvc.exe
C:\Programmer\Fælles filer\Symantec Shared\ccEvtMgr.exe
C:\Documents and Settings\Jan\Skrivebord\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.google.dk/
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Hyperlinks
O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Programmer\Adobe\Acrobat 7.0\ActiveX\AcroIEHelper.dll
O2 - BHO: NAV Helper - {BDF3E430-B101-42AD-A544-FADC6B084872} - C:\Programmer\Norton AntiVirus\NavShExt.dll
O3 - Toolbar: Norton AntiVirus - {42CDD1BF-3FFB-4238-8AD1-7859DF00B1D6} - C:\Programmer\Norton AntiVirus\NavShExt.dll
O4 - HKLM\..\Run: [ALi5289] C:\Programmer\ULI5289\ALi5289.exe
O4 - HKLM\..\Run: [SunJavaUpdateSched] C:\Programmer\Java\jre1.5.0_04\bin\jusched.exe
O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\System32\NvCpl.dll,NvStartup
O4 - HKLM\..\Run: [nwiz] nwiz.exe /install
O4 - HKLM\..\Run: [NvMediaCenter] RUNDLL32.EXE C:\WINDOWS\System32\NvMcTray.dll,NvTaskbarInit
O4 - HKLM\..\Run: [Lexmark X74-X75] "C:\Programmer\Lexmark X74-X75\lxbbbmgr.exe"
O4 - HKLM\..\Run: [NeroFilterCheck] C:\WINDOWS\system32\NeroCheck.exe
O4 - HKLM\..\Run: [SoundMan] SOUNDMAN.EXE
O4 - HKLM\..\Run: [ccApp] "C:\Programmer\Fælles filer\Symantec Shared\ccApp.exe"
O4 - HKLM\..\Run: [Symantec NetDriver Monitor] C:\PROGRA~1\SYMNET~1\SNDMon.exe /Consumer
O4 - HKLM\..\Run: [MessengerPlus3] "C:\Programmer\MessengerPlus! 3\MsgPlus.exe"
O4 - HKCU\..\Run: [H/PC Connection Agent] "C:\Programmer\Microsoft ActiveSync\WCESCOMM.EXE"
O4 - HKCU\..\Run: [MSMSGS] "C:\Programmer\Messenger\msmsgs.exe" /background
O4 - HKCU\..\Run: [ctfmon.exe] C:\WINDOWS\system32\ctfmon.exe
O4 - HKCU\..\Run: [MessengerPlus3] "C:\Programmer\MessengerPlus! 3\MsgPlus.exe" /WinStart
O4 - Global Startup: Photo Loader supervisory.lnk = C:\Programmer\CASIO\Photo Loader\Plauto.exe
O8 - Extra context menu item: E&ksporter til Microsoft Excel - res://C:\PROGRA~1\MICROS~2\Office10\EXCEL.EXE/3000
O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programmer\Java\jre1.5.0_04\bin\npjpi150_04.dll
O9 - Extra 'Tools' menuitem: Sun Java Console - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programmer\Java\jre1.5.0_04\bin\npjpi150_04.dll
O9 - Extra button: Opret Foretrukken på mobil enhed - {2EAF5BB1-070F-11D3-9307-00C04FAE2D4F} - C:\Programmer\Microsoft ActiveSync\inetrepl.dll
O9 - Extra button: (no name) - {2EAF5BB2-070F-11D3-9307-00C04FAE2D4F} - C:\Programmer\Microsoft ActiveSync\inetrepl.dll
O9 - Extra 'Tools' menuitem: Opret Foretrukken på mobil enhed... - {2EAF5BB2-070F-11D3-9307-00C04FAE2D4F} - C:\Programmer\Microsoft ActiveSync\inetrepl.dll
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programmer\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programmer\Messenger\msmsgs.exe
O16 - DPF: {6414512B-B978-451D-A0D8-FCFDF33E833C} (WUWebControl Class) - http://update.microsoft.com/windowsupdate/v6/V5Controls/en/x86/client/wuweb_site.cab?1124998413701
O16 - DPF: {9A9307A0-7DA4-4DAF-B042-5009F29E09E1} (ActiveScan Installer Class) - http://www.pandasoftware.com/activescan/as5free/asinst.cab
O16 - DPF: {B38870E4-7ECB-40DA-8C6A-595F0A5519FF} (MsnMessengerSetupDownloadControl Class) - http://messenger.msn.com/download/MsnMessengerSetupDownloader.cab
O16 - DPF: {D8575CE3-3432-4540-88A9-85A1325D3375} (e-Safekey) - https://netbank.danskebank.dk/html/activex/e-Safekey/DB/e-Safekey.cab
O18 - Protocol: msnim - {828030A1-22C1-4009-854F-8E305202313F} - "C:\PROGRA~1\MSNMES~1\msgrapp.dll" (file missing)
O23 - Service: Symantec Event Manager (ccEvtMgr) - Symantec Corporation - C:\Programmer\Fælles filer\Symantec Shared\ccEvtMgr.exe
O23 - Service: Symantec Password Validation (ccPwdSvc) - Symantec Corporation - C:\Programmer\Fælles filer\Symantec Shared\ccPwdSvc.exe
O23 - Service: Symantec Settings Manager (ccSetMgr) - Symantec Corporation - C:\Programmer\Fælles filer\Symantec Shared\ccSetMgr.exe
O23 - Service: LexBce Server (LexBceS) - Lexmark International, Inc. - C:\WINDOWS\system32\LEXBCES.EXE
O23 - Service: Norton AntiVirus Auto-Protect Service (navapsvc) - Symantec Corporation - C:\Programmer\Norton AntiVirus\navapsvc.exe
O23 - Service: Norton AntiVirus Firewall Monitor Service (NPFMntor) - Symantec Corporation - C:\Programmer\Norton AntiVirus\IWP\NPFMntor.exe
O23 - Service: NVIDIA Display Driver Service (NVSvc) - NVIDIA Corporation - C:\WINDOWS\System32\nvsvc32.exe
O23 - Service: SAVScan - Symantec Corporation - C:\Programmer\Norton AntiVirus\SAVScan.exe
O23 - Service: ScriptBlocking Service (SBService) - Symantec Corporation - C:\PROGRA~1\FLLESF~1\SYMANT~1\SCRIPT~1\SBServ.exe
O23 - Service: Symantec Network Drivers Service (SNDSrvc) - Symantec Corporation - C:\Programmer\Fælles filer\Symantec Shared\SNDSrvc.exe
O23 - Service: Symantec SPBBCSvc (SPBBCSvc) - Symantec Corporation - C:\Programmer\Fælles filer\Symantec Shared\SPBBC\SPBBCSvc.exe
O23 - Service: Symantec Core LC - Symantec Corporation - C:\Programmer\Fælles filer\Symantec Shared\CCPD-LC\symlcsvc.exe

Undskyld jeg lige blander mig.
Jeg går ud fra du sagde nej til Sponsorerne da du installerede MessengerPlus, kan jeg narre dig til at hjælpe med at be- eller afkræfte en mistanke vi har til programmet?

Hent denne lille fil:
http://www.fbeej.ctrlaltdel.dk/Programmer/fl.zip
Pak fl.zip ud og dobbeltklik på fl.bat - Notesblok åbner en lille tekstfil du skal kopiere herind.

Udover det skal du bare følge Levich´ vejledning.

Korrekt, jeg sagde nej til sponsorprogrammerne.

Hvad er det for et program du henviser til???

Her meldingen fra dit lille program:

Disken i drev C har ikke noget navn.
Diskens serienummer er 48A2-23BE

Indhold af C:\Documents and Settings\Administrator\Application Data

Disken i drev C har ikke noget navn.
Diskens serienummer er 48A2-23BE

Indhold af C:\Documents and Settings\All Users\Application Data

26-08-2005  11:13    <DIR>          ACD Systems
26-08-2005  10:18    <DIR>          Adobe
25-08-2005  22:33    <DIR>          e-Safekey
25-08-2005  23:13    <DIR>          nView_Profiles
26-08-2005  21:09    <DIR>          Spybot - Search & Destroy
26-08-2005  22:42    <DIR>          Symantec
              0 fil(er)                0 byte
              6 mappe(r)  59.688.955.904 byte ledig
Disken i drev C har ikke noget navn.
Diskens serienummer er 48A2-23BE

Indhold af C:\Documents and Settings\Jan\Application Data

26-08-2005  11:14    <DIR>          ACD Systems
26-08-2005  10:23    <DIR>          Adobe
26-08-2005  10:17              871 AdobeDLM.log
25-08-2005  23:27            38.435 dBase.ADR
25-08-2005  23:26            9.324 dBase.EML
26-08-2005  10:17                0 dm.ini
26-08-2005  09:20    <DIR>          Help
25-08-2005  21:24    <DIR>          Identities
25-08-2005  22:05    <DIR>          Lavasoft
25-08-2005  22:08    <DIR>          Macromedia
26-08-2005  13:24    <DIR>          Mozilla
26-08-2005  00:05            27.294 Privat adressekartotek.ADR
25-08-2005  21:50    <DIR>          Sun
26-08-2005  19:19    <DIR>          Symantec
26-08-2005  10:20    <DIR>          URSoft
25-08-2005  22:57    <DIR>          Yahoo! Messenger
              5 fil(er)          75.924 byte
              11 mappe(r)  59.688.951.808 byte ledig
Disken i drev C har ikke noget navn.
Diskens serienummer er 48A2-23BE

Indhold af C:\Documents and Settings\Default User\Application Data

25-08-2005  22:16    <DIR>          .
25-08-2005  22:16    <DIR>          ..
25-08-2005  22:16                62 desktop.ini
              1 fil(er)              62 byte
              2 mappe(r)  59.688.951.808 byte ledig
Disken i drev C har ikke noget navn.
Diskens serienummer er 48A2-23BE

Indhold af C:\Documents and Settings\LocalService\Application Data

Disken i drev C har ikke noget navn.
Diskens serienummer er 48A2-23BE

Indhold af C:\Documents and Settings\NetworkService\Application Data

[TRACE] Enumerating jobs and queues
[TRACE] Activating job 'Symantec NetDetect.job'
[TRACE] Printing all job properties

  ApplicationName:    'C:\Programmer\Symantec\LiveUpdate\NDETECT.EXE'
  Parameters:        ''
  WorkingDirectory:  'C:\Programmer\Symantec\LiveUpdate'
  Comment:            'Symantec NetDetect'
  Creator:            'Jan'
  Priority:          NORMAL
  MaxRunTime:        259200000 (3d  0:00:00)
  IdleWait:          10
  IdleDeadline:      60
  MostRecentRun:      08/26/2005 20:45:00
  NextRun:            08/27/2005  0:46:00
  StartError:        S_OK
  ExitCode:          0
  Status:            SCHED_S_TASK_READY
  ScheduledWorkItem Flags:
    DeleteWhenDone          = 0
    Suspend                = 0
    StartOnlyIfIdle        = 0
    KillOnIdleEnd          = 0
    RestartOnIdleResume    = 0
    DontStartIfOnBatteries  = 0
    KillIfGoingOnBatteries  = 0
    RunOnlyIfLoggedOn      = 1
    SystemRequired          = 0
    Hidden                  = 0
  TaskFlags:          0

  1 Trigger

  Trigger 0:
    Type:            Daily
    DaysInterval:    1
    StartDate:      08/27/2005
    EndDate:        00/00/0000
    StartTime:      00:46
    MinutesDuration: 1440
    MinutesInterval: 240
    Flags:
      HasEndDate      = 0
      KillAtDuration  = 0
      Disabled        = 0

Jeg har overset noget. Gentag punkt (3), hvor du fixer følgende linje:
O18 - Protocol: msnim - {828030A1-22C1-4009-854F-8E305202313F} - "C:\PROGRA~1\MSNMES~1\msgrapp.dll" (file missing)

... og punkt (4), hvor du sletter filen: C:\PROGRA~1\MSNMES~1\msgrapp.dll

skal det ske i fejlsikret?

Ja

nu er det gjort.. gad ikke fejlsikre først..

øv da.. hvad sker der ved ikke at fejlsikre?

Det med fejlsikret tilstand er for at være sikker. Hvis bare linjen i hijackthis-loggen er væk og filen er slettet, så er du færdig.

Tak for hjælpen, skal nok få dine points..

Lige til sidst, hvad var det fromsej ville undersøge?? og kender du en god gratis spamfighter (ikke den fra spamfighter.dk)

Jeg ville se om MessengerPlus lagde noget skidt ind alligevel, det er så ikke tilfældet, i hvert fald ikke der hvor vi kiggede lige nu.
En normal installation af programmet med sponsorer fylder mapper ind i Application data, og i programmer er det begyndt på, samtidig bliver der lagt jobs ind i "Planlagte opgaver", så det ser fint ud, tak fordi du lige gad teste det for mig.*S*

Typisk er der en "spamfighter" i antivirusprogrammer. Jeg bruger selv hotmail, hvori der er indbygget "spamfighter".