En der vil se på en Hijackthis log-fil

kigger

Ja, det er noget kedeligt spyware der er på computeren..

Vi kører lige endnu en scanner, før vi går igang med loggen ...

Hent og installer denne scanner:
http://www.superantispyware.com/downloads/SUPERAntiSpyware1241.exe

Start programmet, klik på Check for updates, når det er opdateret, luk programmet og genstart i fejlsikret.

Start programmet, klik på Scan your Computer, sæt flueben i de drev der skal scannes.
(Fixed disk betyder harddisk)
Flyt prikken til Perform complete scan og klik på Næste, så kører scanningen.

Når den er færdig kommer der et vindue med en opsummering, klik på OK, klik så på næste og så på Udfør.

Der kommer et vindue med Quarantine and removal Complete, klik på OK, klik på Udfør.
Luk programmet.

Start SuperAntiSpyware igen, klik på Preferences, skift til fanebladet Statistics/Logs, i vinduet dobbeltklikker du på SUPERAntiSpyware Scan Log, den åbner i notesblok, kopier resultatet herind.

Kom også med en frisk hijackthislog.

Jeg prøver...

Jeg har nu installeret SuperAntiSpyware. Når jeg starter den op i fejlsikret tilstand (safe mode) og starter programmet skriver den "The Windows Installer Service could not open the program. This could happen i Windows Safe mode".... Hvad så?

Jeg har opdateret programmet også.

OK, så kør den bare fra almindelig mode(altså ikke fejlsikret)

Jeg prøver...

Så er det gjort.

Log-fil fra SuperAntispyware:

SUPERAntiSpyware Scan Log
Generated 04/20/2006 at 09:27 PM

Core Rules Database Version : 2884
Trace Rules Database Version: 1036

Memory threats detected  : 1
Registry threats detected : 17
File threats detected    : 18

Unclassified.Unknown Origin/System
    C:\WINDOWS\SYSTEM32\NVCTRL.EXE
    C:\WINDOWS\SYSTEM32\NVCTRL.EXE
    C:\WINDOWS\system32\dfrgsrv.exe
    C:\WINDOWS\Prefetch\DFRGSRV.EXE-3B99BE72.pf
    C:\WINDOWS\Prefetch\NVCTRL.EXE-06D3483B.pf

Trojan.Homepage
    HKLM\Software\Classes\CLSID\{7A932ED2-1737-4AB8-B84D-C71779958551}
    HKCR\CLSID\{7A932ED2-1737-4AB8-B84D-C71779958551}
    HKCR\CLSID\{7A932ED2-1737-4AB8-B84D-C71779958551}
    HKCR\CLSID\{7A932ED2-1737-4AB8-B84D-C71779958551}\InprocServer32
    HKCR\CLSID\{7A932ED2-1737-4AB8-B84D-C71779958551}\InprocServer32#ThreadingModel
    C:\WINDOWS\system32\hpFCED.tmp
    HKLM\Software\Classes\CLSID\{8D83B16E-0DE1-452B-AC52-96EC0B34AA4B}
    HKCR\CLSID\{8D83B16E-0DE1-452B-AC52-96EC0B34AA4B}
    HKCR\CLSID\{8D83B16E-0DE1-452B-AC52-96EC0B34AA4B}
    HKCR\CLSID\{8D83B16E-0DE1-452B-AC52-96EC0B34AA4B}\InprocServer32
    HKCR\CLSID\{8D83B16E-0DE1-452B-AC52-96EC0B34AA4B}\InprocServer32#ThreadingModel
    C:\WINDOWS\system32\hpC2A7.tmp
    HKLM\Software\Microsoft\Windows\CurrentVersion\Explorer\Browser Helper Objects\{8d83b16e-0de1-452b-ac52-96ec0b34aa4b}

Trojan.Security Toolbar
    C:\Documents and Settings\All Users\Start Menu\Online Security Guide.url
    C:\Documents and Settings\All Users\Start Menu\Security Troubleshooting.url
    C:\Documents and Settings\Kim\Favorites\Antivirus Test Online.url

Trojan.Spy-Shield/BON
    HKCR\Interface\{F82FD7D4-2EC8-40B3-A141-DE051C98DCE9}
    HKCR\Interface\{F82FD7D4-2EC8-40B3-A141-DE051C98DCE9}\ProxyStubClsid
    HKCR\Interface\{F82FD7D4-2EC8-40B3-A141-DE051C98DCE9}\ProxyStubClsid32
    HKCR\Interface\{F82FD7D4-2EC8-40B3-A141-DE051C98DCE9}\TypeLib
    HKCR\Interface\{F82FD7D4-2EC8-40B3-A141-DE051C98DCE9}\TypeLib#Version
    HKCR\AppId\{9DA1990B-9BCA-4c80-AEFB-11A40FA849F9}

Adware.Tracking Cookie
    C:\DriveM\Documents and Settings\Kim Berring\Cookies\kim berring@advertising[1].txt
    C:\DriveM\Documents and Settings\Kim Berring\Cookies\kim berring@as1.falkag[2].txt
    C:\DriveM\Documents and Settings\Kim Berring\Cookies\kim berring@servedby.advertising[1].txt
    M:\Documents and Settings\Kim Berring\Cookies\kim berring@advertising[1].txt
    M:\Documents and Settings\Kim Berring\Cookies\kim berring@as1.falkag[2].txt
    M:\Documents and Settings\Kim Berring\Cookies\kim berring@servedby.advertising[1].txt

Trojan.ErrorSafe
    C:\WINDOWS\Downloaded Program Files\UERSK_0001_N68M2202NetInstaller.exe
    C:\WINDOWS\Prefetch\UERSK_0001_N68M2202NETINSTALL-31AFC4F3.pf

Trojan.Zlob-BY
    C:\WINDOWS\system32\ncompat.tlb




Logfil fra Hijackthis:

Logfile of HijackThis v1.99.1
Scan saved at 21:33:41, on 20-04-2006
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\Program Files\Sygate\SPF\smc.exe
C:\WINDOWS\Explorer.EXE
C:\WINDOWS\system32\spoolsv.exe
C:\PROGRA~1\Grisoft\AVGFRE~1\avgamsvr.exe
C:\Program Files\Java\jre1.5.0_06\bin\jusched.exe
C:\PROGRA~1\Grisoft\AVGFRE~1\avgupsvc.exe
C:\WINDOWS\system32\RUNDLL32.EXE
C:\PROGRA~1\Grisoft\AVGFRE~1\avgemc.exe
C:\PROGRA~1\Grisoft\AVGFRE~1\avgcc.exe
C:\WINDOWS\system32\nvsvc32.exe
C:\Program Files\TrojanHunter 4.5\THGuard.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\system32\ctfmon.exe
C:\Program Files\Messenger\msmsgs.exe
C:\Program Files\SUPERAntiSpyware\SUPERAntiSpyware.exe
C:\Program Files\Adobe\Acrobat 7.0\Reader\reader_sl.exe
C:\Program Files\Hewlett-Packard\Digital Imaging\bin\hpohmr08.exe
C:\Program Files\Hewlett-Packard\Digital Imaging\bin\hpotdd01.exe
C:\Program Files\SpywareGuard\sgmain.exe
C:\Program Files\SpywareGuard\sgbhp.exe
C:\Program Files\Hewlett-Packard\Digital Imaging\bin\hpoevm08.exe
C:\Program Files\Hewlett-Packard\Digital Imaging\Bin\hpoSTS08.exe
C:\WINDOWS\system32\notepad.exe
C:\WINDOWS\system32\wuauclt.exe
C:\Documents and Settings\Kim\Desktop\hijack\hjt.exe

O3 - Toolbar: &Google - {2318C2B1-4965-11d4-9B18-009027A5CD4F} - c:\program files\google\googletoolbar1.dll
O3 - Toolbar: (no name) - {736b5468-bdad-41be-92d0-22ae2ddf7bcb} - (no file)
O4 - HKLM\..\Run: [NeroFilterCheck] C:\WINDOWS\system32\NeroCheck.exe
O4 - HKLM\..\Run: [SunJavaUpdateSched] C:\Program Files\Java\jre1.5.0_06\bin\jusched.exe
O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\system32\NvCpl.dll,NvStartup
O4 - HKLM\..\Run: [nwiz] nwiz.exe /install
O4 - HKLM\..\Run: [NvMediaCenter] RUNDLL32.EXE C:\WINDOWS\system32\NvMcTray.dll,NvTaskbarInit
O4 - HKLM\..\Run: [AVG7_CC] C:\PROGRA~1\Grisoft\AVGFRE~1\avgcc.exe /STARTUP
O4 - HKLM\..\Run: [SmcService] C:\PROGRA~1\Sygate\SPF\smc.exe -startgui
O4 - HKLM\..\Run: [THGuard] "C:\Program Files\TrojanHunter 4.5\THGuard.exe"
O4 - HKCU\..\Run: [ctfmon.exe] C:\WINDOWS\system32\ctfmon.exe
O4 - HKCU\..\Run: [MSMSGS] "C:\Program Files\Messenger\msmsgs.exe" /background
O4 - HKCU\..\Run: [SUPERAntiSpyware] C:\Program Files\SUPERAntiSpyware\SUPERAntiSpyware.exe
O4 - Startup: SpywareGuard.lnk = C:\Program Files\SpywareGuard\sgmain.exe
O4 - Startup: startup.bat
O4 - Global Startup: Adobe Reader Hurtigstart.lnk = C:\Program Files\Adobe\Acrobat 7.0\Reader\reader_sl.exe
O4 - Global Startup: hp psc 1000 series.lnk = ?
O4 - Global Startup: hpoddt01.exe.lnk = ?
O8 - Extra context menu item: &Google Search - res://c:\program files\google\GoogleToolbar1.dll/cmsearch.html
O8 - Extra context menu item: &Translate English Word - res://c:\program files\google\GoogleToolbar1.dll/cmwordtrans.html
O8 - Extra context menu item: Backward Links - res://c:\program files\google\GoogleToolbar1.dll/cmbacklinks.html
O8 - Extra context menu item: Cached Snapshot of Page - res://c:\program files\google\GoogleToolbar1.dll/cmcache.html
O8 - Extra context menu item: E&ksporter til Microsoft Excel - res://C:\PROGRA~1\MICROS~2\OFFICE11\EXCEL.EXE/3000
O8 - Extra context menu item: Similar Pages - res://c:\program files\google\GoogleToolbar1.dll/cmsimilar.html
O8 - Extra context menu item: Translate Page into English - res://c:\program files\google\GoogleToolbar1.dll/cmtrans.html
O16 - DPF: {B64F4A7C-97C9-11DA-8BDE-F66BAD1E3F3A} - http://locator1.cdn.imagesrvr.com/sites/errorsafe.com/www/download/2006/cabs/ErrorSafeFreeInstall_dk.cab
O16 - DPF: {D8575CE3-3432-4540-88A9-85A1325D3375} (e-Safekey) - https://netbank.danskebank.dk/html/activex/e-Safekey/DB/e-Safekey.cab
O20 - Winlogon Notify: SASWinLogon - C:\Program Files\SUPERAntiSpyware\SASWINLO.dll
O23 - Service: AVG7 Alert Manager Server (Avg7Alrt) - GRISOFT, s.r.o. - C:\PROGRA~1\Grisoft\AVGFRE~1\avgamsvr.exe
O23 - Service: AVG7 Update Service (Avg7UpdSvc) - GRISOFT, s.r.o. - C:\PROGRA~1\Grisoft\AVGFRE~1\avgupsvc.exe
O23 - Service: AVG E-mail Scanner (AVGEMS) - GRISOFT, s.r.o. - C:\PROGRA~1\Grisoft\AVGFRE~1\avgemc.exe
O23 - Service: NVIDIA Display Driver Service (NVSvc) - NVIDIA Corporation - C:\WINDOWS\system32\nvsvc32.exe
O23 - Service: Pml Driver HPZ12 - HP - C:\WINDOWS\system32\HPZipm12.exe
O23 - Service: Sygate Personal Firewall Pro (SmcService) - Sygate Technologies, Inc. - C:\Program Files\Sygate\SPF\smc.exe

I Arlet's fravær hjælper jeg dig lige videre ...

Fix disse 2 i HiJackThis:

O3 - Toolbar: (no name) - {736b5468-bdad-41be-92d0-22ae2ddf7bcb} - (no file)
O16 - DPF: {B64F4A7C-97C9-11DA-8BDE-F66BAD1E3F3A} - http://locator1.cdn.imagesrvr.com/sites/errorsafe.com/www/download/2006/cabs/ErrorSafeFreeInstall_dk.cab

Kender du denne:
startup.bat

Hvis du ikke kender den, bør du højreklikke den og vælge rediger. Er indholdet læseligt, så læg det herind så vi kan se hvad der står i den.

Genstart til sidst og kom med en ny HiJackThis log.

Jeg har fjernet de to første - hvordan redigerer jeg startup.bat? Skal jeg gøre det i Hijackthis eller finde den på computeren, eller?

Jeg kan ikke højreklikke på den i Hijack this

Den bør findes her:
Start | programmer | start | start.bat

Altså i din start-menu.

OK, der står der her:

@Echo off
Echo Making a M drive ...
Subst M: C:\DriveM

No problem, den er ren.

Den laver blot et virtuelt m: drev

Jeg har selv lavet M-drevet.

Så mangler der blot en genstart og en ny (ren) hijackthis log

Ok, mange tak for hjælpen!... Jeg deler pointene mellem Arlet og dig.

Lige et sidste spørgsmål: Vil du anbefale at min bror har SuperAntiSpyware-programmet liggende i stedet for Spywareguard?

Jeg genstarter og laver en ny Hijackthis log nu

Nej, blot giv Arlet pointene. Han lavede arbejdet.

Mht SAS:
Kun hvis han har tænkt sig at købe det. Der er kun aktiv beskyttelse i købeversionen. I gratisversionen kan man opdatere manuelt og bruge den som alternativ scanner.

Skal antispyware'n være gratis og med aktiv beskyttelse, så vil jeg anbefale Microsoft Defender.
http://www.microsoft.com/athome/security/spyware/software/default.mspx

Ny hijackthis log:
Logfile of HijackThis v1.99.1
Scan saved at 22:25:19, on 20-04-2006
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\Program Files\Sygate\SPF\smc.exe
C:\WINDOWS\Explorer.EXE
C:\WINDOWS\system32\spoolsv.exe
C:\PROGRA~1\Grisoft\AVGFRE~1\avgamsvr.exe
C:\Program Files\Java\jre1.5.0_06\bin\jusched.exe
C:\WINDOWS\system32\RUNDLL32.EXE
C:\PROGRA~1\Grisoft\AVGFRE~1\avgcc.exe
C:\PROGRA~1\Grisoft\AVGFRE~1\avgupsvc.exe
C:\PROGRA~1\Grisoft\AVGFRE~1\avgemc.exe
C:\Program Files\TrojanHunter 4.5\THGuard.exe
C:\WINDOWS\system32\ctfmon.exe
C:\Program Files\Messenger\msmsgs.exe
C:\WINDOWS\system32\nvsvc32.exe
C:\Program Files\SUPERAntiSpyware\SUPERAntiSpyware.exe
C:\WINDOWS\system32\svchost.exe
C:\Program Files\Adobe\Acrobat 7.0\Reader\reader_sl.exe
C:\Program Files\Hewlett-Packard\Digital Imaging\bin\hpohmr08.exe
C:\Program Files\Hewlett-Packard\Digital Imaging\bin\hpotdd01.exe
C:\Program Files\SpywareGuard\sgmain.exe
C:\Program Files\Hewlett-Packard\Digital Imaging\bin\hpoevm08.exe
C:\Program Files\SpywareGuard\sgbhp.exe
C:\Program Files\Hewlett-Packard\Digital Imaging\Bin\hpoSTS08.exe
C:\Documents and Settings\Kim\Desktop\hijack\hjt.exe
C:\WINDOWS\system32\wuauclt.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.msn.dk/
O3 - Toolbar: &Google - {2318C2B1-4965-11d4-9B18-009027A5CD4F} - c:\program files\google\googletoolbar1.dll
O4 - HKLM\..\Run: [NeroFilterCheck] C:\WINDOWS\system32\NeroCheck.exe
O4 - HKLM\..\Run: [SunJavaUpdateSched] C:\Program Files\Java\jre1.5.0_06\bin\jusched.exe
O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\system32\NvCpl.dll,NvStartup
O4 - HKLM\..\Run: [nwiz] nwiz.exe /install
O4 - HKLM\..\Run: [NvMediaCenter] RUNDLL32.EXE C:\WINDOWS\system32\NvMcTray.dll,NvTaskbarInit
O4 - HKLM\..\Run: [AVG7_CC] C:\PROGRA~1\Grisoft\AVGFRE~1\avgcc.exe /STARTUP
O4 - HKLM\..\Run: [SmcService] C:\PROGRA~1\Sygate\SPF\smc.exe -startgui
O4 - HKLM\..\Run: [THGuard] "C:\Program Files\TrojanHunter 4.5\THGuard.exe"
O4 - HKCU\..\Run: [ctfmon.exe] C:\WINDOWS\system32\ctfmon.exe
O4 - HKCU\..\Run: [MSMSGS] "C:\Program Files\Messenger\msmsgs.exe" /background
O4 - HKCU\..\Run: [SUPERAntiSpyware] C:\Program Files\SUPERAntiSpyware\SUPERAntiSpyware.exe
O4 - Startup: SpywareGuard.lnk = C:\Program Files\SpywareGuard\sgmain.exe
O4 - Startup: startup.bat
O4 - Global Startup: Adobe Reader Hurtigstart.lnk = C:\Program Files\Adobe\Acrobat 7.0\Reader\reader_sl.exe
O4 - Global Startup: hp psc 1000 series.lnk = ?
O4 - Global Startup: hpoddt01.exe.lnk = ?
O8 - Extra context menu item: &Google Search - res://c:\program files\google\GoogleToolbar1.dll/cmsearch.html
O8 - Extra context menu item: &Translate English Word - res://c:\program files\google\GoogleToolbar1.dll/cmwordtrans.html
O8 - Extra context menu item: Backward Links - res://c:\program files\google\GoogleToolbar1.dll/cmbacklinks.html
O8 - Extra context menu item: Cached Snapshot of Page - res://c:\program files\google\GoogleToolbar1.dll/cmcache.html
O8 - Extra context menu item: E&ksporter til Microsoft Excel - res://C:\PROGRA~1\MICROS~2\OFFICE11\EXCEL.EXE/3000
O8 - Extra context menu item: Similar Pages - res://c:\program files\google\GoogleToolbar1.dll/cmsimilar.html
O8 - Extra context menu item: Translate Page into English - res://c:\program files\google\GoogleToolbar1.dll/cmtrans.html
O16 - DPF: {D8575CE3-3432-4540-88A9-85A1325D3375} (e-Safekey) - https://netbank.danskebank.dk/html/activex/e-Safekey/DB/e-Safekey.cab
O20 - Winlogon Notify: SASWinLogon - C:\Program Files\SUPERAntiSpyware\SASWINLO.dll
O23 - Service: AVG7 Alert Manager Server (Avg7Alrt) - GRISOFT, s.r.o. - C:\PROGRA~1\Grisoft\AVGFRE~1\avgamsvr.exe
O23 - Service: AVG7 Update Service (Avg7UpdSvc) - GRISOFT, s.r.o. - C:\PROGRA~1\Grisoft\AVGFRE~1\avgupsvc.exe
O23 - Service: AVG E-mail Scanner (AVGEMS) - GRISOFT, s.r.o. - C:\PROGRA~1\Grisoft\AVGFRE~1\avgemc.exe
O23 - Service: NVIDIA Display Driver Service (NVSvc) - NVIDIA Corporation - C:\WINDOWS\system32\nvsvc32.exe
O23 - Service: Pml Driver HPZ12 - HP - C:\WINDOWS\system32\HPZipm12.exe
O23 - Service: Sygate Personal Firewall Pro (SmcService) - Sygate Technologies, Inc. - C:\Program Files\Sygate\SPF\smc.exe

Så blev loggen ren, så du er sådan set færdig nu. *s*

Takker mange gange! Håber at du med "sådan set" mener at den er der!?...  ;o)

Jamen velbekomme *s*

Sådan set, er fordi Arlet nok giver dig et link til forskelligt sikkerheds software, som kunne gavne maskinen.

Men loggen er ren og maskinen må erklæres for renset.

OK, så venter jeg på det!...

Tak endnu en gang, og godnat og sov godt!...

tunebasen -> Som tonnybrandt skrev, så er du ren..

Efter sådan en tur er det altid en god ide og rydde op i dine systemgendannelses filerne.
Deaktiver systemgendannelse ( http://www.arlet.dk/systemgendannelsen.htm ) - genstart din computer - aktiver systemgendannelse.

Generel oprydning: http://www.arlet.dk/oprydning.htm

For at beskytte dig mod snavs har jeg lavet en sikkerhedspakke,
som du kan se her : www.arlet.dk/pakke.htm

tonnybrandt -> Der ligger point til dig her: http://www.eksperten.dk/spm/704355

Du SKAL tage imod dem, som tak for hjælpen her*S*

Endnu en gang: Tak for hjælpen til jer begge!...