Nogle der har tid til at kigge på min hijacklog?

Jeg kigger på den :-)

Du har lidt forskelligt i din log.

Download denne, og gem den på dit skrivebord:
http://www.wilderssecurity.net/downloads/rbkiller.exe

Hent dette program, og gem det på skrivebordet.
http://secured2k.home.comcast.net/tools/VirtumundoBeGone.exe

Luk alle kørende programmer, også Internetvinduer, dobbeltklik på VirtumundoBeGone.exe på skrivebordet, læs intro-informationen, klik så på Continue, klik på Start.
Når den spørger om du vil fortsætte, klik på Yes for at køre fixet.
Klik så på Save log.

Det sker sommetider at fixet afslutter med "BSOD"(blå skærm og frosset PC) så skal du bare genstarte på Resetknappen.

Når computeren er genstartet, kører du rbkiller.exe, og følger instruksionerne. Genstart herefter computeren igen.

Der kommer en tekstfil på dit skrivebord der hedder VBG.TXT åbn den og kopier teksten herind. Der kommer også en fil, der hedder scanlog.txt -- den skal du også lægge herind. Endelig må du gerne lave en ny HJT-log, som du lægger herind.

Hej igen.. tak for dine 2 programmer...

de sidste program som er rbkiller ser ud ikke ud til at virke på min computer.. Der står Rapidblaster is not detected eller i noget den stil. hmm...

men fra det forrige programer har jeg logfilen her:


[01/25/2006, 14:24:19] - VirtumundoBeGone v1.5 ( "C:\Documents and Settings\AnhDu Vu\Skrivebord\VirtumundoBeGone.exe" )
[01/25/2006, 14:24:20] - Detected System Information:
[01/25/2006, 14:24:20] -  Windows Version: 5.1.2600, Service Pack 2
[01/25/2006, 14:24:20] -  Current Username: AnhDu Vu (Admin)
[01/25/2006, 14:24:20] -  Windows is in NORMAL mode.
[01/25/2006, 14:24:21] - Searching for Browser Helper Objects:
[01/25/2006, 14:24:21] -  BHO 1: {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} (AcroIEHlprObj Class)
[01/25/2006, 14:24:21] -  BHO 2: {5BAB4B5B-68BC-4B02-94D6-2FC0DE4A7897} (Yahoo! IE Services Button)
[01/25/2006, 14:24:21] -  BHO 3: {83A5F7B7-DC75-44CE-9195-264F41709FA9} (ATLDistrib Object)
[01/25/2006, 14:24:21] - ALERT: Found ATLDistrib Object!
[01/25/2006, 14:24:21] -  BHO 4: {9ECB9560-04F9-4bbc-943D-298DDF1699E1} (CNisExtBho Class)
[01/25/2006, 14:24:21] -  BHO 5: {BDF3E430-B101-42AD-A544-FADC6B084872} (CNavExtBho Class)
[01/25/2006, 14:24:21] - Finished Searching Browser Helper Objects
[01/25/2006, 14:24:21] - *** Detected ATLDistrib Object
[01/25/2006, 14:24:21] - Trying to remove ATLDistrib Object...
[01/25/2006, 14:24:22] -    Terminating Process: IEXPLORE.EXE
[01/25/2006, 14:24:23] -    Terminating Process: RUNDLL32.EXE
[01/25/2006, 14:24:23] -    Disabling Automatic Shell Restart
[01/25/2006, 14:24:23] -    Terminating Process: EXPLORER.EXE
[01/25/2006, 14:24:23] -    Suspending the NT Session Manager System Service
[01/25/2006, 14:24:23] -    Terminating Windows NT Logon/Logoff Manager
[01/25/2006, 14:24:24] -    Re-enabling Automatic Shell Restart
[01/25/2006, 14:24:24] -  File to disable: C:\WINDOWS\system32\sstuu.dll
[01/25/2006, 14:24:24] -  Renaming C:\WINDOWS\system32\sstuu.dll -> C:\WINDOWS\system32\sstuu.dll.vir
[01/25/2006, 14:24:24] - ! File rename was unsucessful.
[01/25/2006, 14:24:24] -  Attempting to Deny Access to C:\WINDOWS\system32\sstuu.dll
[01/25/2006, 14:24:24] - *** IMPORTANT: Delete/Rename/Move on reboot (like Killbox) MAY NOT work.
[01/25/2006, 14:24:24] -  ERROR: Der blev ikke udført nogen afbildning mellem kontonavne og sikkerheds-id.

[01/25/2006, 14:24:24] - *** IMPORTANT: The file is disabled and will need to be deleted by the user.
[01/25/2006, 14:24:24] -  Removing HKLM\...\Browser Helper Objects\{83A5F7B7-DC75-44CE-9195-264F41709FA9}
[01/25/2006, 14:24:24] -  Removing HKCR\CLSID\{83A5F7B7-DC75-44CE-9195-264F41709FA9}
[01/25/2006, 14:24:24] -  Adding Kill Bit for ActiveX for GUID: {83A5F7B7-DC75-44CE-9195-264F41709FA9}
[01/25/2006, 14:24:25] -  Deleting ATLEvents/MSEvents Registry entries
[01/25/2006, 14:24:25] -  Removing HKLM\...\Winlogon\Notify\sstuu
[01/25/2006, 14:24:25] - Searching for Browser Helper Objects:
[01/25/2006, 14:24:25] -  BHO 1: {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} (AcroIEHlprObj Class)
[01/25/2006, 14:24:25] -  BHO 2: {5BAB4B5B-68BC-4B02-94D6-2FC0DE4A7897} (Yahoo! IE Services Button)
[01/25/2006, 14:24:25] -  BHO 3: {9ECB9560-04F9-4bbc-943D-298DDF1699E1} (CNisExtBho Class)
[01/25/2006, 14:24:25] -  BHO 4: {BDF3E430-B101-42AD-A544-FADC6B084872} (CNavExtBho Class)
[01/25/2006, 14:24:25] - Finished Searching Browser Helper Objects
[01/25/2006, 14:24:25] - Finishing up...
[01/25/2006, 14:24:25] - A restart is needed.
[01/25/2006, 14:24:28] - Attempting to Restart via STOP error (Blue Screen!)

[01/25/2006, 14:31:11] - VirtumundoBeGone v1.5 ( "C:\Documents and Settings\AnhDu Vu\Skrivebord\VirtumundoBeGone.exe" )
[01/25/2006, 14:31:18] - Detected System Information:
[01/25/2006, 14:31:18] -  Windows Version: 5.1.2600, Service Pack 2
[01/25/2006, 14:31:18] -  Current Username: AnhDu Vu (Admin)
[01/25/2006, 14:31:18] -  Windows is in NORMAL mode.
[01/25/2006, 14:31:18] - Searching for Browser Helper Objects:
[01/25/2006, 14:31:18] -  BHO 1: {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} (AcroIEHlprObj Class)
[01/25/2006, 14:31:19] -  BHO 2: {5BAB4B5B-68BC-4B02-94D6-2FC0DE4A7897} (Yahoo! IE Services Button)
[01/25/2006, 14:31:19] -  BHO 3: {9ECB9560-04F9-4bbc-943D-298DDF1699E1} (CNisExtBho Class)
[01/25/2006, 14:31:19] -  BHO 4: {BDF3E430-B101-42AD-A544-FADC6B084872} (CNavExtBho Class)
[01/25/2006, 14:31:19] - Finished Searching Browser Helper Objects
[01/25/2006, 14:31:19] - Finishing up...
[01/25/2006, 14:31:19] - Nothing found! Exiting...

Den nye hijack:

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\Programmer\Fælles filer\Symantec Shared\ccSetMgr.exe
C:\Programmer\Fælles filer\Symantec Shared\SNDSrvc.exe
C:\Programmer\Fælles filer\Symantec Shared\ccEvtMgr.exe
C:\WINDOWS\Explorer.EXE
C:\WINDOWS\system32\spoolsv.exe
C:\Programmer\Fælles filer\Symantec Shared\ccProxy.exe
C:\Programmer\ewido anti-malware\ewidoctrl.exe
C:\Programmer\ewido anti-malware\ewidoguard.exe
C:\Programmer\Fælles filer\Microsoft Shared\VS7Debug\mdm.exe
C:\Programmer\Norton Internet Security\Norton AntiVirus\navapsvc.exe
C:\Programmer\Norton Internet Security\Norton AntiVirus\SAVScan.exe
C:\WINDOWS\system32\slserv.exe
C:\WINDOWS\system32\svchost.exe
C:\Programmer\Fælles filer\Symantec Shared\Security Center\SymWSC.exe
C:\WINDOWS\system32\drivers\Icon.exe
C:\Programmer\Synaptics\SynTP\SynTPLpr.exe
C:\Programmer\Synaptics\SynTP\SynTPEnh.exe
C:\WINDOWS\SOUNDMAN.EXE
C:\WINDOWS\system32\igfxtray.exe
C:\Programmer\Java\j2re1.4.2_05\bin\jusched.exe
C:\Programmer\Fælles filer\Symantec Shared\ccApp.exe
C:\Apps\Powercinema\PCMService.exe
C:\WINDOWS\System32\hkcmd.exe
C:\Programmer\QuickTime\qttask.exe
C:\Programmer\Steam\Steam.exe
C:\Programmer\Internet Explorer\IEXPLORE.EXE
C:\Documents and Settings\AnhDu Vu\Skrivebord\hijackthis\hijackthis.exe
C:\Programmer\Messenger\msmsgs.exe

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Bar = http://format.packardbell.com/cgi-bin/redirect/?country=DK&range=AD&phase=6&key=SEARCH
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = file://C:\APPS\IE\offline\dan.htm
R1 - HKCU\Software\Microsoft\Internet Connection Wizard,ShellNext = http://www.google.dk/
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Window Title = Packard Bell
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Hyperlinks
O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Programmer\Adobe\Acrobat 6.0\Reader\ActiveX\AcroIEHelper.dll
O2 - BHO: Yahoo! IE Services Button - {5BAB4B5B-68BC-4B02-94D6-2FC0DE4A7897} - C:\Programmer\Yahoo!\Common\yiesrvc.dll
O2 - BHO: CNisExtBho Class - {9ECB9560-04F9-4bbc-943D-298DDF1699E1} - C:\Programmer\Fælles filer\Symantec Shared\AdBlocking\NISShExt.dll
O2 - BHO: CNavExtBho Class - {BDF3E430-B101-42AD-A544-FADC6B084872} - C:\Programmer\Norton Internet Security\Norton AntiVirus\NavShExt.dll
O3 - Toolbar: Web assistant - {0B53EAC3-8D69-4b9e-9B19-A37C9A5676A7} - C:\Programmer\Fælles filer\Symantec Shared\AdBlocking\NISShExt.dll
O3 - Toolbar: Norton AntiVirus - {42CDD1BF-3FFB-4238-8AD1-7859DF00B1D6} - C:\Programmer\Norton Internet Security\Norton AntiVirus\NavShExt.dll
O4 - HKLM\..\Run: [IMJPMIG8.1] "C:\WINDOWS\IME\imjp8_1\IMJPMIG.EXE" /Spoil /RemAdvDef /Migration32
O4 - HKLM\..\Run: [PHIME2002ASync] C:\WINDOWS\system32\IME\TINTLGNT\TINTSETP.EXE /SYNC
O4 - HKLM\..\Run: [PHIME2002A] C:\WINDOWS\system32\IME\TINTLGNT\TINTSETP.EXE /IMEName
O4 - HKLM\..\Run: [Icon] C:\WINDOWS\system32\drivers\Icon.exe
O4 - HKLM\..\Run: [SynTPLpr] C:\Programmer\Synaptics\SynTP\SynTPLpr.exe
O4 - HKLM\..\Run: [SynTPEnh] C:\Programmer\Synaptics\SynTP\SynTPEnh.exe
O4 - HKLM\..\Run: [SoundMan] SOUNDMAN.EXE
O4 - HKLM\..\Run: [IgfxTray] C:\WINDOWS\system32\igfxtray.exe
O4 - HKLM\..\Run: [SunJavaUpdateSched] C:\Programmer\Java\j2re1.4.2_05\bin\jusched.exe
O4 - HKLM\..\Run: [ccApp] "C:\Programmer\Fælles filer\Symantec Shared\ccApp.exe"
O4 - HKLM\..\Run: [URLLSTCK.exe] C:\Programmer\Norton Internet Security\UrlLstCk.exe
O4 - HKLM\..\Run: [PCMService] "c:\Apps\Powercinema\PCMService.exe"
O4 - HKLM\..\Run: [HotKeysCmds] C:\WINDOWS\System32\hkcmd.exe
O4 - HKLM\..\Run: [ClickMe] C:\apps\ClickMe\ClickMe.exe
O4 - HKLM\..\Run: [Symantec NetDriver Monitor] C:\PROGRA~1\SYMNET~1\SNDMon.exe
O4 - HKLM\..\Run: [NeroFilterCheck] C:\WINDOWS\system32\NeroCheck.exe
O4 - HKLM\..\Run: [QuickTime Task] "C:\Programmer\QuickTime\qttask.exe" -atboottime
O4 - HKCU\..\Run: [MSMSGS] "C:\Programmer\Messenger\msmsgs.exe" /background
O4 - HKCU\..\Run: [Steam] "C:\Programmer\Steam\Steam.exe" -silent
O8 - Extra context menu item: &Yahoo! Search - file:///C:\Programmer\Yahoo!\Common/ycsrch.htm
O8 - Extra context menu item: Yahoo! &Dictionary - file:///C:\Programmer\Yahoo!\Common/ycdict.htm
O8 - Extra context menu item: Yahoo! &Maps - file:///C:\Programmer\Yahoo!\Common/ycmap.htm
O8 - Extra context menu item: Yahoo! &SMS - file:///C:\Programmer\Yahoo!\Common/ycsms.htm
O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programmer\Java\j2re1.4.2_05\bin\npjpi142_05.dll
O9 - Extra 'Tools' menuitem: Sun Java Console - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programmer\Java\j2re1.4.2_05\bin\npjpi142_05.dll
O9 - Extra button: Yahoo! Services - {5BAB4B5B-68BC-4B02-94D6-2FC0DE4A7897} - C:\Programmer\Yahoo!\Common\yiesrvc.dll
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programmer\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programmer\Messenger\msmsgs.exe
O14 - IERESET.INF: START_PAGE_URL=file://C:\APPS\IE\offline\dan.htm
O16 - DPF: {30528230-99f7-4bb4-88d8-fa1d4f56a2ab} (YInstStarter Class) - C:\Programmer\Yahoo!\Common\yinsthelper.dll
O16 - DPF: {B38870E4-7ECB-40DA-8C6A-595F0A5519FF} (MsnMessengerSetupDownloadControl Class) - http://messenger.msn.com/download/MsnMessengerSetupDownloader.cab
O18 - Protocol: msnim - {828030A1-22C1-4009-854F-8E305202313F} - "C:\PROGRA~1\MSNMES~1\msgrapp.dll" (file missing)
O20 - Winlogon Notify: igfxcui - C:\WINDOWS\SYSTEM32\igfxsrvc.dll
O23 - Service: Symantec Event Manager (ccEvtMgr) - Symantec Corporation - C:\Programmer\Fælles filer\Symantec Shared\ccEvtMgr.exe
O23 - Service: Symantec Network Proxy (ccProxy) - Symantec Corporation - C:\Programmer\Fælles filer\Symantec Shared\ccProxy.exe
O23 - Service: Symantec Password Validation (ccPwdSvc) - Symantec Corporation - C:\Programmer\Fælles filer\Symantec Shared\ccPwdSvc.exe
O23 - Service: Symantec Settings Manager (ccSetMgr) - Symantec Corporation - C:\Programmer\Fælles filer\Symantec Shared\ccSetMgr.exe
O23 - Service: ewido security suite control - ewido networks - C:\Programmer\ewido anti-malware\ewidoctrl.exe
O23 - Service: ewido security suite guard - ewido networks - C:\Programmer\ewido anti-malware\ewidoguard.exe
O23 - Service: InstallDriver Table Manager (IDriverT) - Macrovision Corporation - C:\Programmer\Fælles filer\InstallShield\Driver\11\Intel 32\IDriverT.exe
O23 - Service: Norton AntiVirus Auto Protect (navapsvc) - Symantec Corporation - C:\Programmer\Norton Internet Security\Norton AntiVirus\navapsvc.exe
O23 - Service: SAVScan - Symantec Corporation - C:\Programmer\Norton Internet Security\Norton AntiVirus\SAVScan.exe
O23 - Service: ScriptBlocking Service (SBService) - Symantec Corporation - C:\PROGRA~1\FÆLLES~1\SYMANT~1\SCRIPT~1\SBServ.exe
O23 - Service: SmartLinkService (SLService) -  - C:\WINDOWS\SYSTEM32\slserv.exe
O23 - Service: Symantec Network Drivers Service (SNDSrvc) - Symantec Corporation - C:\Programmer\Fælles filer\Symantec Shared\SNDSrvc.exe
O23 - Service: SymWMI Service (SymWSC) - Symantec Corporation - C:\Programmer\Fælles filer\Symantec Shared\Security Center\SymWSC.exe

Angående Rbkiller så er det helt i orden. Jeg var også lidt i tvivl om, om du havde den infektion, som den gælder for. Prøv så lige at uploade en fil her:
http://virusscan.jotti.org/
Klik på Gennemse, klik dig så frem til C:\WINDOWS\system32\drivers\Icon.exe og klik så Submit.

Så kommer der et resultat, som du gerne må paste herind.

Derudover ser det ud til at det lykkedes at få den værste infektion væk :-)

Jeg synes lige du skal fixe denne linie med HJT også (det er vist ikke decideret skidt, men snarere en joke/et irritationsmoment):
O4 - HKLM\..\Run: [ClickMe] C:\apps\ClickMe\ClickMe.exe

Slet herefter mappen:
C:\apps\ClickMe\

Genstart, og check at linien er væk fra HJT-loggen. Hvordan kører computeren nu?

sådan..og jo:

Service load:  0%        100% 

File:  Icon.exe 
Status:  OK 
MD5  49d568d4c78b56e0d1bb156414dbc649 
Packers detected:  -
Scanner results 
AntiVir  Found nothing
ArcaVir  Found nothing
Avast  Found nothing
AVG Antivirus  Found nothing
BitDefender  Found nothing
ClamAV  Found nothing
Dr.Web  Found nothing
F-Prot Antivirus  Found nothing
Fortinet  Found nothing
Kaspersky Anti-Virus  Found nothing
NOD32  Found nothing
Norman Virus Control  Found nothing
UNA  Found nothing
VBA32  Found nothing
 
min computer virker en del bedre nu... men jeg har stadig det store problem men min msn... det bliver ved med at afbryde min forbindelse hvor den så tæller ned i ca. 30 sekunder at den logger på igen. hmm...

Ok, icon.exe var ren. Så tror jeg vi kan konkludere at din pc er ren. Der er mange der rapporterer om ustabilitet fra msn i øjeblikket. Jeg tror det ligger på udbyderens side.

For at gøre arbejdet helt færdig:
Det kan være en god ide og rydde op i systemgendannelses filerne. Deaktiver systemgendannelse (http://www.spywarefri.dk/virusscannere.htm#alle) - genstart din computer - aktiver systemgendannelse.
Og så kan det også være en god ide at skjule dine systemfiler og -mapper igen, så du ikke ved en fejl kommer til at slette en vigtig fil. Det gør du samme sted, hvor du satte det til at vise alle filer, denne gang vælger du bare: Vis ikke skjulte filer og mapper.

Det kan også være en god ide at få renset ud i dine midlertidige filer. Det kan gøres på en hurtig og nem måde med denne fil
www.spywareinfo.dk/download/cleantempxp2k.bat
---------------------------

For at forhindre gentagelser, vil jeg anbefale dig at lægge nogle små programmer ind, som forhindrer spyware i at komme ind i første omgang. Du finder links og gode råd her:
http://www.spywarefri.dk/manualer/sikkerhedspakke.htm

Jeg vil også foreslå, at du læser denne artikel om hvordan du kan undgå at blive inficeret i fremtiden:
http://www.spywarefri.dk/forum/topic.asp?TOPIC_ID=14414

mange tak for hjælpen:)

Det var så lidt. Jeg takker for point :-)