uønsket ikoner på mit skrivebord.

lyder som spyware og browser hijacked.. er ik den største ekspert herinde så lad os høre hvad de store drenge siger :)

Jeg kigger lige loggen igennem :-)

Hej Leifjoel.
Nu lægger jeg en procedure, som du kan følge. Jeg er ikke selv hjemme før sent søndag, så jeg kan nok først give dig feedback på dine svar herefter. Andre er selvfølgelig velkomne til at tage over, hvis det er nødvendigt :-)

Du har en lop-infektion, og den skal helst tages i nogle hug, som følger rimelig kort efter hinanden. Da jeg ikke vil kunne give dig disse hug fortløbende, prøver jeg lige at forklare dig hvad du skal gøre i både første og andet hug. Hvis noget går galt undervejs, så prøv bare at springe punktet over, og fortsæt med det næste.

1. RUNDE:
===========
Hent dette program: ftp://ftp.drweb.com/pub/drweb/cureit/drweb-cureit.exe

Kør herefter HJT, og fix følgende linier:

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Bar = http://www.cwggetadruxvaccnnx.com/pN3XvaPowMzxmSGADCtAdG3OBm3k77kmEeYJOGd9xxb22OuVIsunRCjYJ9nCC1OU.html
O2 - BHO: (no name) - {90CD9489-6096-0F05-DEC9-435045FE31B5} - C:\DOCUME~1\Leif\APPLIC~1\AMOKGR~1\shim part.exe
O2 - BHO: (no name) - {CB0E612F-FD48-0B5D-88F0-58B6812BA979} - C:\DOCUME~1\Leif\APPLIC~1\AMOKGR~1\shim part.exe
O4 - HKLM\..\Run: [PROXYMOVEPLAYDOG] C:\Documents and Settings\All Users\Application Data\POLL BURN PROXY MOVE\title nurb.exe
O4 - HKLM\..\Run: [Trans two intra enc] C:\Documents and Settings\All Users\Application Data\more part trans two\Frag Grid.exe
O4 - HKCU\..\Run: [Pilebalm] C:\DOCUME~1\Leif\APPLIC~1\DEADTY~1\HIDE BIKE.exe

Genstart herefter til fejlsikret tilstand (tryk F8 under opstarten). Sørg for at du kan se alle filer og mapper:
Åbn en mappe, klik på Funktioner=>Mappeindstillinger=>Vis.
Fjern flueben ved "Skjul beskyttede operativsystemfiler".
Fjern flueben ved "Skjul filtypenavne for kendte filtyper".
Sæt prik i "Vis skjulte filer og mapper".

Slet herefter følgende mapper (bemærk at navnene er forkortet -- man kan ikke se hele navnet, men kun begyndelsen):
C:\DOCUME~1\Leif\APPLIC~1\AMOKGR~1\
C:\Documents and Settings\All Users\Application Data\POLL BURN PROXY MOVE\
C:\Documents and Settings\All Users\Application Data\more part trans two\
C:\DOCUME~1\Leif\APPLIC~1\DEADTY~1\

Kør herefter et scan med DrWeb: Dobbeltklik på drweb-cureit.exe, den vil køre en expressscan, det siger du ja til.
Når den skriver Done nederst til venstre, skal du klikke på det eller de drev du vil have scannet, der kommer en rød prik for at vise det/de valgte.
Klik så på den grønne fodgænger ovre til højre på siden, så starter scanningen.
Klik så på Start->Søg, find filen drweb32w.log kopier det nederste af teksten herind, startende med:
Scan statistics.

Genstart til normal tilstand. Hent denne lille fil: http://www.fbeej.ctrlaltdel.dk/Programmer/fl.zip
Pak fl.zip ud og dobbeltklik på fl.bat - Notesblok åbner en lille tekstfil, som du skal bruge til 2. runde. Gem den et sted, hvor du kan finde den igen.


2. RUNDE:
=========
Genstart computeren til normal tilstand. Kør HJT, og se om du stadig har en linie, der starter med R1, og som har et langt og mærkeligt navn. Hvis du har, så fix den igen. Lav et nyt scan med HJT, og se om den stadig er der. Hvis ja, så fix igen. Det kan godt være det skal gøres et par gange.

Så skal du finde loggen fra fl.bat-filen. Et stykke nede i den log, vil du finde nogle linier, der starter med:
[TRACE] Activating job

Nogle af disse linier vil henvise til en fil, der starter med 'A' efterfulgt af 15 bogstaver/tal og '.job'

Navnene på disse filer skal du notere dig. Herefter skal du gå ind i stifinder, og navigere frem til følgende mappe:
c:\Windows\Tasks

Herinde vil du finde de samme filnavne, og dem skal du slette.

Genstart herefter computeren, og lav en ny HJT-log, som du lægger herind. Lav også en ny log med fl.bat, som du lægger herind. Så ser vi hvor langt du er kommet :-)

Hej ejvindh
først mange tak fordi du gider hjælpe os. det er vi meget glade for.

jeg har nu kommet igennem runde 1. & 2. uden de store problemer.
under runde 1. skriver du at jeg skal ligge scan statistics her ind. der kommer 2 scan statistics frem i loggen. de lyder sådan her :

Den første scan (øverst på loggen)

Scan statistics
-----------------------------------------------------------------------------
Objects scanned: 109
Infected objects found: 0
Objects with modifications found: 0
Suspicious objects found: 1
Adware programs found: 0
Dialer programs found: 0
Joke programs found: 0
Riskware programs found: 0
Hacktool programs found: 0
Objects cured: 0
Objects deleted: 0
Objects renamed: 1
Objects moved: 0
Objects ignored: 0
Scan speed: 812 Kb/s
Scan time: 00:00:46

Den nederste scan. (i bunden af loggen)

Scan statistics
----------------------------------------------------------------------------------
Objects scanned: 117883
Infected objects found: 3665
Objects with modifications found: 0
Suspicious objects found: 8
Adware programs found: 0
Dialer programs found: 0
Joke programs found: 0
Riskware programs found: 0
Hacktool programs found: 0
Objects cured: 0
Objects deleted: 3665
Objects renamed: 8
Objects moved: 0
Objects ignored: 0
Scan speed: 205 Kb/s
Scan time: 02:05:05

-------------------------------------------------------------------------------------

her er min nye hijackthis log.

Logfile of HijackThis v1.99.1
Scan saved at 23:03:50, on 28-01-2006
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\Programmer\Ahead\InCD\InCDsrv.exe
C:\WINDOWS\Explorer.EXE
C:\WINDOWS\system32\spoolsv.exe
C:\PROGRA~1\TEXTBR~1.0\Bin\INSTAN~1.EXE
C:\Programmer\Hewlett-Packard\Digital Imaging\Unload\hpqcmon.exe
C:\Programmer\Hewlett-Packard\HP Share-to-Web\hpgs2wnd.exe
C:\Programmer\Ahead\InCD\InCD.exe
C:\Programmer\CyberLink\PowerDVD\PDVDServ.exe
C:\Programmer\Browser MOUSE\mouse32a.exe
C:\Programmer\Office keyboard utility\1.1\OFFICEKB.exe
C:\Programmer\Java\jre1.5.0_06\bin\jusched.exe
C:\PROGRA~1\Grisoft\AVGFRE~1\avgcc.exe
C:\PROGRA~1\Grisoft\AVGFRE~1\avgemc.exe
C:\Programmer\Lexmark 2300 Series\lxcgmon.exe
C:\Programmer\Office keyboard utility\1.1\MMKEYB.EXE
C:\Programmer\Lexmark 2300 Series\ezprint.exe
C:\WINDOWS\system32\ctfmon.exe
C:\Programmer\Adobe\Acrobat 7.0\Reader\reader_sl.exe
C:\Programmer\Office keyboard utility\1.1\TrayMon.exe
C:\Programmer\Office keyboard utility\1.1\osd.exe
C:\Programmer\Hewlett-Packard\HP Share-to-Web\hpgs2wnf.exe
C:\Programmer\Office keyboard utility\1.1\nhksrv.exe
C:\PROGRA~1\Grisoft\AVGFRE~1\avgamsvr.exe
C:\PROGRA~1\Grisoft\AVGFRE~1\avgupsvc.exe
C:\Programmer\Fælles filer\Microsoft Shared\VS7DEBUG\MDM.EXE
C:\Programmer\Medion\ScanPanel\ScnPanel.exe
C:\WINDOWS\System32\nvsvc32.exe
C:\WINDOWS\system32\pctspk.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\lxcgcoms.exe
C:\Documents and Settings\Leif\Skrivebord\HijackThis.exe
C:\Documents and Settings\Leif\Skrivebord\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Hyperlinks
O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Programmer\Adobe\Acrobat 7.0\ActiveX\AcroIEHelper.dll
O2 - BHO: (no name) - {53707962-6F74-2D53-2644-206D7942484F} - C:\PROGRA~1\SPYBOT~1\SDHelper.dll
O2 - BHO: SSVHelper Class - {761497BB-D6F0-462C-B6EB-D4DAF1D92D43} - C:\Programmer\Java\jre1.5.0_06\bin\ssv.dll
O2 - BHO: Google Toolbar Helper - {AA58ED58-01DD-4d91-8333-CF10577473F7} - c:\programmer\google\googletoolbar2.dll
O3 - Toolbar: &Google - {2318C2B1-4965-11d4-9B18-009027A5CD4F} - c:\programmer\google\googletoolbar2.dll
O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\System32\NvCpl.dll,NvStartup
O4 - HKLM\..\Run: [nwiz] nwiz.exe /install
O4 - HKLM\..\Run: [NeroFilterCheck] C:\WINDOWS\system32\NeroCheck.exe
O4 - HKLM\..\Run: [InstantAccess] C:\PROGRA~1\TEXTBR~1.0\Bin\INSTAN~1.EXE /h
O4 - HKLM\..\Run: [RegisterDropHandler] C:\PROGRA~1\TEXTBR~1.0\Bin\REGIST~1.EXE
O4 - HKLM\..\Run: [CamMonitor] C:\Programmer\Hewlett-Packard\Digital Imaging\\Unload\hpqcmon.exe
O4 - HKLM\..\Run: [Share-to-Web Namespace Daemon] C:\Programmer\Hewlett-Packard\HP Share-to-Web\hpgs2wnd.exe
O4 - HKLM\..\Run: [NvMediaCenter] RUNDLL32.EXE C:\WINDOWS\System32\NvMcTray.dll,NvTaskbarInit
O4 - HKLM\..\Run: [InCD] C:\Programmer\Ahead\InCD\InCD.exe
O4 - HKLM\..\Run: [RemoteControl] C:\Programmer\CyberLink\PowerDVD\PDVDServ.exe
O4 - HKLM\..\Run: [FLMOFFICE4DMOUSE] C:\Programmer\Browser MOUSE\mouse32a.exe
O4 - HKLM\..\Run: [FLMOFFICEKEYBOARD] C:\Programmer\Office keyboard utility\1.1\OFFICEKB.exe
O4 - HKLM\..\Run: [SunJavaUpdateSched] C:\Programmer\Java\jre1.5.0_06\bin\jusched.exe
O4 - HKLM\..\Run: [AVG7_CC] C:\PROGRA~1\Grisoft\AVGFRE~1\avgcc.exe /STARTUP
O4 - HKLM\..\Run: [AVG7_EMC] C:\PROGRA~1\Grisoft\AVGFRE~1\avgemc.exe
O4 - HKLM\..\Run: [LXCGCATS] rundll32 C:\WINDOWS\System32\spool\DRIVERS\W32X86\3\LXCGtime.dll,_RunDLLEntry@16
O4 - HKLM\..\Run: [lxcgmon.exe] "C:\Programmer\Lexmark 2300 Series\lxcgmon.exe"
O4 - HKLM\..\Run: [EzPrint] "C:\Programmer\Lexmark 2300 Series\ezprint.exe"
O4 - HKLM\..\Run: [FaxCenterServer] "C:\Programmer\Lexmark Fax Solutions\fm3032.exe" /s
O4 - HKLM\..\RunServices: [RegisterDropHandler] C:\PROGRA~1\TEXTBR~1.0\Bin\REGIST~1.EXE
O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\ctfmon.exe
O4 - Startup: restart_vs.lnk = D:\Viewsonic.exe
O4 - Global Startup: Adobe Reader Hurtigstart.lnk = C:\Programmer\Adobe\Acrobat 7.0\Reader\reader_sl.exe
O4 - Global Startup: LG SyncManager.lnk = ?
O4 - Global Startup: ScanPanel.lnk = C:\Programmer\Medion\ScanPanel\ScnPanel.exe
O8 - Extra context menu item: &Google-søgning - res://C:\Programmer\Google\GoogleToolbar2.dll/cmsearch.html
O8 - Extra context menu item: &Oversæt engelsk ord - res://C:\Programmer\Google\GoogleToolbar2.dll/cmwordtrans.html
O8 - Extra context menu item: E&ksporter til Microsoft Excel - res://C:\PROGRA~1\MICROS~2\OFFICE11\EXCEL.EXE/3000
O8 - Extra context menu item: Lignende sider - res://C:\Programmer\Google\GoogleToolbar2.dll/cmsimilar.html
O8 - Extra context menu item: Tilbage via links - res://C:\Programmer\Google\GoogleToolbar2.dll/cmbacklinks.html
O8 - Extra context menu item: Øjebliksbillede af side i cache - res://C:\Programmer\Google\GoogleToolbar2.dll/cmcache.html
O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programmer\Java\jre1.5.0_06\bin\ssv.dll
O9 - Extra 'Tools' menuitem: Sun Java Console - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programmer\Java\jre1.5.0_06\bin\ssv.dll
O9 - Extra button: Opslag - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - C:\PROGRA~1\MICROS~2\OFFICE11\REFIEBAR.DLL
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programmer\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programmer\Messenger\msmsgs.exe
O14 - IERESET.INF: START_PAGE_URL=http://www.tdconline.dk/start
O18 - Protocol: msnim - {828030A1-22C1-4009-854F-8E305202313F} - "C:\PROGRA~1\MSNMES~1\msgrapp.dll" (file missing)
O23 - Service: AVG7 Alert Manager Server (Avg7Alrt) - GRISOFT, s.r.o. - C:\PROGRA~1\Grisoft\AVGFRE~1\avgamsvr.exe
O23 - Service: AVG7 Update Service (Avg7UpdSvc) - GRISOFT, s.r.o. - C:\PROGRA~1\Grisoft\AVGFRE~1\avgupsvc.exe
O23 - Service: InCD Helper (InCDsrv) - Ahead Software AG - C:\Programmer\Ahead\InCD\InCDsrv.exe
O23 - Service: lxcg_device -  - C:\WINDOWS\system32\lxcgcoms.exe
O23 - Service: Netropa NHK Server (nhksrv) - Unknown owner - C:\Programmer\Office keyboard utility\1.1\nhksrv.exe
O23 - Service: NVIDIA Display Driver Service (NVSvc) - NVIDIA Corporation - C:\WINDOWS\System32\nvsvc32.exe
O23 - Service: PCTEL Speaker Phone (Pctspk) - PCtel, Inc. - C:\WINDOWS\system32\pctspk.exe
-------------------------------------------------------------------------------------

og her har du min findlop tekst.
(der er en fil som starter med Axxxxxxxxxxxxxxx.job men der ligger ikke noget i c:\Windows\Tasks ikke anden end en program der hedder "start ny opgave")

Disken i drev C har ikke noget navn.
Diskens serienummer er 106B-F3C3

Indhold af C:\Documents and Settings\All Users\Application Data

19-12-2005  17:37    <DIR>          Adobe
21-10-2004  16:24    <DIR>          Ahead
23-01-2006  11:27    <DIR>          Avg7
21-10-2004  17:27    <DIR>          CyberLink
19-12-2004  01:36    <DIR>          DVD Shrink
11-01-2006  11:35    <DIR>          FaxCtr
28-04-2005  17:52    <DIR>          Grisoft
23-02-2004  10:14    <DIR>          MSN6
04-09-2004  12:09    <DIR>          nView_Profiles
03-09-2004  21:33    <DIR>          Spybot - Search & Destroy
15-12-2005  14:24    <DIR>          Support.com
28-04-2005  17:43    <DIR>          Symantec
02-09-2005  14:30    <DIR>          Windows Genuine Advantage
              0 fil(er)                0 byte
              13 mappe(r)  14.233.346.048 byte ledig
Disken i drev C har ikke noget navn.
Diskens serienummer er 106B-F3C3

Indhold af C:\Documents and Settings\Leif\Application Data

21-05-2005  22:57    <DIR>          Adobe
19-12-2005  17:40    <DIR>          AdobeUM
28-11-2004  00:53    <DIR>          Ahead
20-11-2005  20:46    <DIR>          AVG7
22-10-2004  17:15    <DIR>          CyberLink
12-01-2006  07:23    <DIR>          FaxCtr
30-11-2005  11:52    <DIR>          Google
30-01-2004  23:27    <DIR>          Help
21-06-2004  16:55    <DIR>          Hewlett-Packard
30-01-2004  00:02    <DIR>          Identities
19-10-2004  22:32    <DIR>          Leadertech
06-02-2004  12:34    <DIR>          Macromedia
21-06-2004  16:40    <DIR>          Mappen Share-to-Web-overf›rsel
06-11-2005  13:29    <DIR>          MSN6
19-12-2004  00:36    <DIR>          Real
20-12-2005  17:32    <DIR>          Sun
30-01-2004  01:16    <DIR>          Symantec
20-08-2005  12:17    <DIR>          Trend Micro
              0 fil(er)                0 byte
              18 mappe(r)  14.233.346.048 byte ledig
Disken i drev C har ikke noget navn.
Diskens serienummer er 106B-F3C3

Indhold af C:\Documents and Settings\Default User\Application Data

29-01-2004  23:44    <DIR>          .
29-01-2004  23:44    <DIR>          ..
29-01-2004  23:44                62 desktop.ini
              1 fil(er)              62 byte
              2 mappe(r)  14.233.346.048 byte ledig
Disken i drev C har ikke noget navn.
Diskens serienummer er 106B-F3C3

Indhold af C:\Documents and Settings\LocalService\Application Data

Disken i drev C har ikke noget navn.
Diskens serienummer er 106B-F3C3

Indhold af C:\Documents and Settings\NetworkService\Application Data

[TRACE] Enumerating jobs and queues
[TRACE] Activating job 'AE87DAC491804B0C.job'
[TRACE] Printing all job properties

  ApplicationName:    'c:\docume~1\leif\applic~1\deadty~1\4gplmeow.exe'
  Parameters:        ''
  WorkingDirectory:  ''
  Comment:            ''
  Creator:            'Leif'
  Priority:          NORMAL
  MaxRunTime:        259200000 (3d  0:00:00)
  IdleWait:          10
  IdleDeadline:      60
  MostRecentRun:      01/28/2006 19:00:00
  NextRun:            01/29/2006  0:00:00
  StartError:        0x80070003
  ExitCode:          0
  Status:            SCHED_S_TASK_READY
  ScheduledWorkItem Flags:
    DeleteWhenDone          = 0
    Suspend                = 0
    StartOnlyIfIdle        = 0
    KillOnIdleEnd          = 0
    RestartOnIdleResume    = 0
    DontStartIfOnBatteries  = 0
    KillIfGoingOnBatteries  = 0
    RunOnlyIfLoggedOn      = 1
    SystemRequired          = 0
    Hidden                  = 1
  TaskFlags:          0

  1 Trigger

  Trigger 0:
    Type:            Daily
    DaysInterval:    1
    StartDate:      06/14/2000
    EndDate:        00/00/0000
    StartTime:      00:00
    MinutesDuration: 1440
    MinutesInterval: 60
    Flags:
      HasEndDate      = 0
      KillAtDuration  = 0
      Disabled        = 0

Det ser rigtig godt ud. Jeg tror den er død allerede. Hvordan kører computeren? Vi kan lige lave lidt oprydning for at få fjernet det job (men så vidt jeg kan se, er den tilhørende mappe slettet):

Kopier teksten mellem de stiplede linier ind i et notepad-vindue. Gem filen som sletjob.bat, hvor du sikrer dig, at der under Filtype står "Alle filer"

--------------------------
%systemdrive%
cd %systemdrive%\WINDOWS\Tasks
attrib -r -s -h AE87DAC491804B0C.job
del AE87DAC491804B0C.job
--------------------------

Genstart herefter til fejlsikret tilstand (tast F8 under opstarten).

Dobbeltklik på sletjob.bat. Et sort dos-vindue vil kort åbnes og lukkes.

Genstart herefter til normal tilstand. Kør fl.bat igen, og send den nye log herind.
Lav også en ny HJT-log, som du lægger herind. Så vi kan være helt sikker på, at den ikke nåede at gendanne sig :-)

Forresten: Hvis du stadig har ikonerne på skrivebordet, kan du også lige prøve om du kan slette dem, når du er i fejlsikret tilstand.

det gør jeg så nu.
ikonerne på skrivebordet er væk..

findlob.txt

Disken i drev C har ikke noget navn.
Diskens serienummer er 106B-F3C3

Indhold af C:\Documents and Settings\All Users\Application Data

19-12-2005  17:37    <DIR>          Adobe
21-10-2004  16:24    <DIR>          Ahead
23-01-2006  11:27    <DIR>          Avg7
21-10-2004  17:27    <DIR>          CyberLink
19-12-2004  01:36    <DIR>          DVD Shrink
11-01-2006  11:35    <DIR>          FaxCtr
28-04-2005  17:52    <DIR>          Grisoft
23-02-2004  10:14    <DIR>          MSN6
04-09-2004  12:09    <DIR>          nView_Profiles
03-09-2004  21:33    <DIR>          Spybot - Search & Destroy
15-12-2005  14:24    <DIR>          Support.com
28-04-2005  17:43    <DIR>          Symantec
02-09-2005  14:30    <DIR>          Windows Genuine Advantage
              0 fil(er)                0 byte
              13 mappe(r)  14.126.972.928 byte ledig
Disken i drev C har ikke noget navn.
Diskens serienummer er 106B-F3C3

Indhold af C:\Documents and Settings\Leif\Application Data

21-05-2005  22:57    <DIR>          Adobe
19-12-2005  17:40    <DIR>          AdobeUM
28-11-2004  00:53    <DIR>          Ahead
20-11-2005  20:46    <DIR>          AVG7
22-10-2004  17:15    <DIR>          CyberLink
12-01-2006  07:23    <DIR>          FaxCtr
30-11-2005  11:52    <DIR>          Google
30-01-2004  23:27    <DIR>          Help
21-06-2004  16:55    <DIR>          Hewlett-Packard
30-01-2004  00:02    <DIR>          Identities
19-10-2004  22:32    <DIR>          Leadertech
06-02-2004  12:34    <DIR>          Macromedia
21-06-2004  16:40    <DIR>          Mappen Share-to-Web-overf›rsel
06-11-2005  13:29    <DIR>          MSN6
19-12-2004  00:36    <DIR>          Real
20-12-2005  17:32    <DIR>          Sun
30-01-2004  01:16    <DIR>          Symantec
20-08-2005  12:17    <DIR>          Trend Micro
              0 fil(er)                0 byte
              18 mappe(r)  14.126.972.928 byte ledig
Disken i drev C har ikke noget navn.
Diskens serienummer er 106B-F3C3

Indhold af C:\Documents and Settings\Default User\Application Data

29-01-2004  23:44    <DIR>          .

hijackthis.log

Logfile of HijackThis v1.99.1
Scan saved at 11:51:08, on 29-01-2006
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\Programmer\Ahead\InCD\InCDsrv.exe
C:\WINDOWS\Explorer.EXE
C:\WINDOWS\system32\spoolsv.exe
C:\PROGRA~1\TEXTBR~1.0\Bin\INSTAN~1.EXE
C:\Programmer\Hewlett-Packard\Digital Imaging\Unload\hpqcmon.exe
C:\Programmer\Hewlett-Packard\HP Share-to-Web\hpgs2wnd.exe
C:\Programmer\Ahead\InCD\InCD.exe
C:\Programmer\CyberLink\PowerDVD\PDVDServ.exe
C:\Programmer\Browser MOUSE\mouse32a.exe
C:\Programmer\Office keyboard utility\1.1\OFFICEKB.exe
C:\Programmer\Java\jre1.5.0_06\bin\jusched.exe
C:\PROGRA~1\Grisoft\AVGFRE~1\avgcc.exe
C:\PROGRA~1\Grisoft\AVGFRE~1\avgemc.exe
C:\Programmer\Lexmark 2300 Series\lxcgmon.exe
C:\Programmer\Lexmark 2300 Series\ezprint.exe
C:\WINDOWS\system32\ctfmon.exe
C:\Programmer\Office keyboard utility\1.1\MMKEYB.EXE
C:\Programmer\Adobe\Acrobat 7.0\Reader\reader_sl.exe
C:\Programmer\Hewlett-Packard\HP Share-to-Web\hpgs2wnf.exe
C:\Programmer\Office keyboard utility\1.1\nhksrv.exe
C:\Programmer\Office keyboard utility\1.1\TrayMon.exe
C:\Programmer\Office keyboard utility\1.1\osd.exe
C:\PROGRA~1\Grisoft\AVGFRE~1\avgamsvr.exe
C:\PROGRA~1\Grisoft\AVGFRE~1\avgupsvc.exe
C:\Programmer\Fælles filer\Microsoft Shared\VS7DEBUG\MDM.EXE
C:\WINDOWS\System32\nvsvc32.exe
C:\Programmer\Medion\ScanPanel\ScnPanel.exe
C:\WINDOWS\system32\pctspk.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\lxcgcoms.exe
C:\WINDOWS\system32\notepad.exe
C:\WINDOWS\system32\wuauclt.exe
C:\Documents and Settings\Leif\Skrivebord\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.ni.dk/
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Hyperlinks
O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Programmer\Adobe\Acrobat 7.0\ActiveX\AcroIEHelper.dll
O2 - BHO: (no name) - {53707962-6F74-2D53-2644-206D7942484F} - C:\PROGRA~1\SPYBOT~1\SDHelper.dll
O2 - BHO: SSVHelper Class - {761497BB-D6F0-462C-B6EB-D4DAF1D92D43} - C:\Programmer\Java\jre1.5.0_06\bin\ssv.dll
O2 - BHO: Google Toolbar Helper - {AA58ED58-01DD-4d91-8333-CF10577473F7} - c:\programmer\google\googletoolbar2.dll
O3 - Toolbar: &Google - {2318C2B1-4965-11d4-9B18-009027A5CD4F} - c:\programmer\google\googletoolbar2.dll
O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\System32\NvCpl.dll,NvStartup
O4 - HKLM\..\Run: [nwiz] nwiz.exe /install
O4 - HKLM\..\Run: [NeroFilterCheck] C:\WINDOWS\system32\NeroCheck.exe
O4 - HKLM\..\Run: [InstantAccess] C:\PROGRA~1\TEXTBR~1.0\Bin\INSTAN~1.EXE /h
O4 - HKLM\..\Run: [RegisterDropHandler] C:\PROGRA~1\TEXTBR~1.0\Bin\REGIST~1.EXE
O4 - HKLM\..\Run: [CamMonitor] C:\Programmer\Hewlett-Packard\Digital Imaging\\Unload\hpqcmon.exe
O4 - HKLM\..\Run: [Share-to-Web Namespace Daemon] C:\Programmer\Hewlett-Packard\HP Share-to-Web\hpgs2wnd.exe
O4 - HKLM\..\Run: [NvMediaCenter] RUNDLL32.EXE C:\WINDOWS\System32\NvMcTray.dll,NvTaskbarInit
O4 - HKLM\..\Run: [InCD] C:\Programmer\Ahead\InCD\InCD.exe
O4 - HKLM\..\Run: [RemoteControl] C:\Programmer\CyberLink\PowerDVD\PDVDServ.exe
O4 - HKLM\..\Run: [FLMOFFICE4DMOUSE] C:\Programmer\Browser MOUSE\mouse32a.exe
O4 - HKLM\..\Run: [FLMOFFICEKEYBOARD] C:\Programmer\Office keyboard utility\1.1\OFFICEKB.exe
O4 - HKLM\..\Run: [SunJavaUpdateSched] C:\Programmer\Java\jre1.5.0_06\bin\jusched.exe
O4 - HKLM\..\Run: [AVG7_CC] C:\PROGRA~1\Grisoft\AVGFRE~1\avgcc.exe /STARTUP
O4 - HKLM\..\Run: [AVG7_EMC] C:\PROGRA~1\Grisoft\AVGFRE~1\avgemc.exe
O4 - HKLM\..\Run: [LXCGCATS] rundll32 C:\WINDOWS\System32\spool\DRIVERS\W32X86\3\LXCGtime.dll,_RunDLLEntry@16
O4 - HKLM\..\Run: [lxcgmon.exe] "C:\Programmer\Lexmark 2300 Series\lxcgmon.exe"
O4 - HKLM\..\Run: [EzPrint] "C:\Programmer\Lexmark 2300 Series\ezprint.exe"
O4 - HKLM\..\Run: [FaxCenterServer] "C:\Programmer\Lexmark Fax Solutions\fm3032.exe" /s
O4 - HKLM\..\RunServices: [RegisterDropHandler] C:\PROGRA~1\TEXTBR~1.0\Bin\REGIST~1.EXE
O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\ctfmon.exe
O4 - Startup: restart_vs.lnk = D:\Viewsonic.exe
O4 - Global Startup: Adobe Reader Hurtigstart.lnk = C:\Programmer\Adobe\Acrobat 7.0\Reader\reader_sl.exe
O4 - Global Startup: LG SyncManager.lnk = ?
O4 - Global Startup: ScanPanel.lnk = C:\Programmer\Medion\ScanPanel\ScnPanel.exe
O8 - Extra context menu item: &Google-søgning - res://C:\Programmer\Google\GoogleToolbar2.dll/cmsearch.html
O8 - Extra context menu item: &Oversæt engelsk ord - res://C:\Programmer\Google\GoogleToolbar2.dll/cmwordtrans.html
O8 - Extra context menu item: E&ksporter til Microsoft Excel - res://C:\PROGRA~1\MICROS~2\OFFICE11\EXCEL.EXE/3000
O8 - Extra context menu item: Lignende sider - res://C:\Programmer\Google\GoogleToolbar2.dll/cmsimilar.html
O8 - Extra context menu item: Tilbage via links - res://C:\Programmer\Google\GoogleToolbar2.dll/cmbacklinks.html
O8 - Extra context menu item: Øjebliksbillede af side i cache - res://C:\Programmer\Google\GoogleToolbar2.dll/cmcache.html
O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programmer\Java\jre1.5.0_06\bin\ssv.dll
O9 - Extra 'Tools' menuitem: Sun Java Console - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programmer\Java\jre1.5.0_06\bin\ssv.dll
O9 - Extra button: Opslag - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - C:\PROGRA~1\MICROS~2\OFFICE11\REFIEBAR.DLL
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programmer\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programmer\Messenger\msmsgs.exe
O14 - IERESET.INF: START_PAGE_URL=http://www.tdconline.dk/start
O18 - Protocol: msnim - {828030A1-22C1-4009-854F-8E305202313F} - "C:\PROGRA~1\MSNMES~1\msgrapp.dll" (file missing)
O23 - Service: AVG7 Alert Manager Server (Avg7Alrt) - GRISOFT, s.r.o. - C:\PROGRA~1\Grisoft\AVGFRE~1\avgamsvr.exe
O23 - Service: AVG7 Update Service (Avg7UpdSvc) - GRISOFT, s.r.o. - C:\PROGRA~1\Grisoft\AVGFRE~1\avgupsvc.exe
O23 - Service: InCD Helper (InCDsrv) - Ahead Software AG - C:\Programmer\Ahead\InCD\InCDsrv.exe
O23 - Service: lxcg_device -  - C:\WINDOWS\system32\lxcgcoms.exe
O23 - Service: Netropa NHK Server (nhksrv) - Unknown owner - C:\Programmer\Office keyboard utility\1.1\nhksrv.exe
O23 - Service: NVIDIA Display Driver Service (NVSvc) - NVIDIA Corporation - C:\WINDOWS\System32\nvsvc32.exe
O23 - Service: PCTEL Speaker Phone (Pctspk) - PCtel, Inc. - C:\WINDOWS\system32\pctspk.exe

Jep, så blev loggene rene. :-)

For at gøre arbejdet helt færdig:
Det kan være en god ide og rydde op i systemgendannelses filerne. Deaktiver systemgendannelse (http://www.spywarefri.dk/virusscannere.htm#alle) - genstart din computer - aktiver systemgendannelse.
Og så kan det også være en god ide at skjule dine systemfiler og -mapper igen, så du ikke ved en fejl kommer til at slette en vigtig fil. Det gør du samme sted, hvor du satte det til at vise alle filer, denne gang vælger du bare: Vis ikke skjulte filer og mapper.

Det kan også være en god ide at få renset ud i dine midlertidige filer. Det kan gøres på en hurtig og nem måde med denne fil
www.spywareinfo.dk/download/cleantempxp2k.bat
---------------------------

For at forhindre gentagelser, vil jeg anbefale dig at lægge nogle små programmer ind, som forhindrer spyware i at komme ind i første omgang. Du finder links og gode råd her:
http://www.spywarefri.dk/manualer/sikkerhedspakke.htm

Jeg vil også foreslå, at du læser denne artikel om hvordan du kan undgå at blive inficeret i fremtiden:
http://www.spywarefri.dk/forum/topic.asp?TOPIC_ID=14414

mange tak for hjælpen...
det er for vildt at sådan den kloge hjoveder som jer gider bruge tid på hjælpe os..
hvis du ligger et svar så skal jeg sender point til dig..
igen mange tak for hjælpen

Det var så lidt. Jeg har allerede lagt et svar, så du kan bare markere mit navn ude til venstre, og så klikke på accepter. Så bliver spørgsmålet lukket korrekt :-)

Takker for point :-)