win 2000 uendeligt langsomt - hijackthis logfil

Imens du venter på virus-nørderne kunne du da køre en "chkdsk /r" på dyret

I første omgang ønsker vi at se en såkaldt HiJackThis log - vejledning herfra -> http://www.spywarefri.dk/forum/links/hjtanv.htm
Derefter følger evt procedure ...

Alderen begynder at sætte sine spor, i min barnlige naivitet troede jeg at det var "en såkaldt HiJackThis log " spørgeren havde lagt ud med

Citat fra http://www.spywarefri.dk/forum/links/hjtanv.htm ->
2) ...Derefter skal du downloade og køre tre små programmer på din computer. Hijackthis, Ewido samt Cleantemp....

Jeg har nu kørt som anbefalet, og der er en del som tyder på at computeren ikke har det så godt... Når man lukker ned, kommer den med en fejl, CCApp som skal lukkes med tvang, prøver jeg at køre fejlsikret kommer den aldrig ind, s¨jeg blev nødt til at gøre tinegne fra alm. opstart.Og selvom jeg har skiftet baggrundsbilledet på skærmen, som var vel stort, ligger det satdig og spøger bagved (den tager iøvrigt mellem 5-10 minutter om at starte op!)

Tak Helge for anbefalingen, har prøvet det, men det resulterer bare i at den hver gang der startes op, prøver at teste, men kommer med en fejl om at den ikke kunne åbne disken (?)

Nå men her er den ny hijackthis log:
Logfile of HijackThis v1.99.1
Scan saved at 16:32:18, on 28-10-2006
Platform: Windows 2000 SP4 (WinNT 5.00.2195)
MSIE: Internet Explorer v6.00 SP1 (6.00.2800.1106)

Running processes:
C:\WINNT\System32\smss.exe
C:\WINNT\system32\winlogon.exe
C:\WINNT\system32\services.exe
C:\WINNT\system32\lsass.exe
C:\WINNT\system32\svchost.exe
C:\WINNT\system32\spoolsv.exe
C:\Programmer\Symantec\LiveUpdate\ALUSchedulerSvc.exe
C:\Programmer\Fælles filer\Symantec Shared\ccSetMgr.exe
C:\WINNT\System32\svchost.exe
C:\Programmer\ewido anti-malware\ewidoctrl.exe
C:\Programmer\Norton AntiVirus\navapsvc.exe
C:\Programmer\Norton AntiVirus\IWP\NPFMntor.exe
C:\WINNT\system32\MSTask.exe
C:\Programmer\Fælles filer\Symantec Shared\SNDSrvc.exe
C:\Programmer\Fælles filer\Symantec Shared\SPBBC\SPBBCSvc.exe
C:\Programmer\Fælles filer\Symantec Shared\CCPD-LC\symlcsvc.exe
C:\WINNT\System32\WBEM\WinMgmt.exe
C:\WINNT\system32\svchost.exe
C:\Programmer\Fælles filer\Symantec Shared\ccEvtMgr.exe
C:\WINNT\Explorer.EXE
C:\Programmer\Fælles filer\Symantec Shared\ccApp.exe
C:\Programmer\Fælles filer\Symantec Shared\Security Console\NSCSRVCE.EXE
C:\Programmer\Internet Explorer\IEXPLORE.EXE
C:\Documents and Settings\Heine Sørensen\Skrivebord\virus m.m. programmer\hijackthis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.autoplustraktor.dk/
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.autoplustraktor.dk/
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Hyperlinks
F2 - REG:system.ini: Shell=
F2 - REG:system.ini: UserInit=C:\WINNT\system32\userinit.exe,msijavaup32.exe
O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Programmer\Adobe\Acrobat 6.0\Reader\ActiveX\AcroIEHelper.dll
O2 - BHO: NAV Helper - {A8F38D8D-E480-4D52-B7A2-731BB6995FDD} - C:\Programmer\Norton AntiVirus\NavShExt.dll
O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINNT\System32\msdxm.ocx
O3 - Toolbar: Norton AntiVirus - {C4069E3A-68F1-403E-B40E-20066696354B} - C:\Programmer\Norton AntiVirus\NavShExt.dll
O4 - HKLM\..\Run: [Synchronization Manager] mobsync.exe /logon
O4 - HKLM\..\Run: [ccApp] "C:\Programmer\Fælles filer\Symantec Shared\ccApp.exe"
O4 - HKLM\..\Run: [SSC_UserPrompt] "C:\Programmer\Fælles filer\Symantec Shared\Security Center\UsrPrmpt.exe"
O4 - HKLM\..\Run: [MSConfig] C:\Documents and Settings\Heine Sørensen\Skrivebord\msconfig.exe /auto
O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programmer\Java\jre1.5.0_06\bin\ssv.dll
O9 - Extra 'Tools' menuitem: Sun Java Console - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programmer\Java\jre1.5.0_06\bin\ssv.dll
O16 - DPF: {C81B5180-AFD1-41A3-97E1-99E8D254DB98} - http://scanner.virus112.com/cabs/cssweb.cab
O20 - Winlogon Notify: ShellScrap - C:\WINNT\system32\lv4u09h9e.dll (file missing)
O23 - Service: Automatisk LiveUpdate-planlægning - Symantec Corporation - C:\Programmer\Symantec\LiveUpdate\ALUSchedulerSvc.exe
O23 - Service: Symantec Event Manager (ccEvtMgr) - Symantec Corporation - C:\Programmer\Fælles filer\Symantec Shared\ccEvtMgr.exe
O23 - Service: Symantec Settings Manager (ccSetMgr) - Symantec Corporation - C:\Programmer\Fælles filer\Symantec Shared\ccSetMgr.exe
O23 - Service: Logical Disk Manager Administrative Service (dmadmin) - VERITAS Software Corp. - C:\WINNT\System32\dmadmin.exe
O23 - Service: ewido security suite control - ewido networks - C:\Programmer\ewido anti-malware\ewidoctrl.exe
O23 - Service: LiveUpdate - Symantec Corporation - C:\PROGRA~1\Symantec\LIVEUP~1\LUCOMS~1.EXE
O23 - Service: MainSafe Service (MSFIE) - Unknown owner - C:\WINNT\system32\mainsafe.exe (file missing)
O23 - Service: Norton AntiVirus Auto-Protect-tjeneste (navapsvc) - Symantec Corporation - C:\Programmer\Norton AntiVirus\navapsvc.exe
O23 - Service: Norton AntiVirus Firewall Monitor Service (NPFMntor) - Symantec Corporation - C:\Programmer\Norton AntiVirus\IWP\NPFMntor.exe
O23 - Service: Norton Protection Center Service (NSCService) - Symantec Corporation - C:\Programmer\Fælles filer\Symantec Shared\Security Console\NSCSRVCE.EXE
O23 - Service: qtask (qtask.exe) - Unknown owner - C:\WINNT\qtask.exe (file missing)
O23 - Service: Remote Procedure Call (RPC) Remote (RpcRemote) - Unknown owner - C:\WINNT\system32\remote.exe (file missing)
O23 - Service: Symantec AVScan (SAVScan) - Symantec Corporation - C:\Programmer\Norton AntiVirus\SAVScan.exe
O23 - Service: Symantec Network Drivers Service (SNDSrvc) - Symantec Corporation - C:\Programmer\Fælles filer\Symantec Shared\SNDSrvc.exe
O23 - Service: SPBBCSvc - Symantec Corporation - C:\Programmer\Fælles filer\Symantec Shared\SPBBC\SPBBCSvc.exe
O23 - Service: Symantec Core LC - Symantec Corporation - C:\Programmer\Fælles filer\Symantec Shared\CCPD-LC\symlcsvc.exe
O23 - Service: Windows Genuine Advantage Registration Service (wgareg) - Unknown owner - C:\WINNT\system32\wgareg.exe (file missing)

Ewido ???

den fandt 34 ting og fjernede dem:

ewido anti-malware - Procesrapport
---------------------------------------------------------

+ Oprettet den:            17:01:57, 28-10-2006
+ Rapport-Checksum:        4F42172F

      0: System Process
      8: System Process
    148: \SystemRoot\System32\smss.exe
    172: System Process
    192: \??\C:\WINNT\system32\winlogon.exe
    220: C:\WINNT\system32\services.exe
    232: C:\WINNT\system32\lsass.exe
    408: C:\WINNT\system32\svchost.exe
    440: C:\WINNT\system32\spoolsv.exe
    480: C:\Programmer\Symantec\LiveUpdate\ALUSchedulerSvc.exe
    512: C:\Programmer\Fælles filer\Symantec Shared\ccSetMgr.exe
    536: C:\WINNT\System32\svchost.exe
    548: C:\Programmer\ewido anti-malware\ewidoctrl.exe
    576: C:\Programmer\Norton AntiVirus\navapsvc.exe
    672: C:\Programmer\Norton AntiVirus\IWP\NPFMntor.exe
    728: C:\WINNT\system32\MSTask.exe
    752: C:\Programmer\Fælles filer\Symantec Shared\SNDSrvc.exe
    832: C:\Programmer\Fælles filer\Symantec Shared\SPBBC\SPBBCSvc.exe
    844: C:\WINNT\system32\svchost.exe
    872: C:\Programmer\Fælles filer\Symantec Shared\CCPD-LC\symlcsvc.exe
    892: C:\WINNT\System32\WBEM\WinMgmt.exe
    972: C:\Programmer\Fælles filer\Symantec Shared\ccEvtMgr.exe
    1012: C:\WINNT\Explorer.EXE
    1232: C:\Programmer\Fælles filer\Symantec Shared\ccApp.exe
    1520: C:\Programmer\Fælles filer\Symantec Shared\Security Console\NSCSRVCE.EXE
    1524: C:\Programmer\Internet Explorer\IEXPLORE.EXE
    1820: C:\Programmer\ewido anti-malware\SecuritySuite.exe

Kør en scanning med Hijackthis,
Du får herunder nogle filer, som du skal fixe. Det, du skal gøre, er at sætte et flueben ud for disse filer. Når du har gjort det, så lukker du alle andre vinduer ned. Det er meget vigtigt at det eneste vindue, som er åbent er HijackThis vinduet. Husk også at lukke dette vindue, når du har markeret filerne. Nu må du fixe. Klik på Fix checked.

Det er disse, som skal fixes:

F2 - REG:system.ini: Shell=
F2 - REG:system.ini: UserInit=C:\WINNT\system32\userinit.exe,msijavaup32.exe
O4 - HKLM\..\Run: [MSConfig] C:\Documents and Settings\Heine Sørensen\Skrivebord\msconfig.exe /auto
O16 - DPF: {C81B5180-AFD1-41A3-97E1-99E8D254DB98} - http://scanner.virus112.com/cabs/cssweb.cab
O23 - Service: MainSafe Service (MSFIE) - Unknown owner - C:\WINNT\system32\mainsafe.exe (file missing)
O23 - Service: qtask (qtask.exe) - Unknown owner - C:\WINNT\qtask.exe (file missing)
O23 - Service: Remote Procedure Call (RPC) Remote (RpcRemote) - Unknown owner - C:\WINNT\system32\remote.exe (file missing)
O16 - DPF: {C81B5180-AFD1-41A3-97E1-99E8D254DB98} - http://scanner.virus112.com/cabs/cssweb.cab
O20 - Winlogon Notify: ShellScrap - C:\WINNT\system32\lv4u09h9e.dll (file missing)
O23 - Service: Windows Genuine Advantage Registration Service (wgareg) - Unknown owner - C:\WINNT\system32\wgareg.exe (file missing)

For at kunne se alle filer og mapper, så følg denne vejledning:
http://www.spywareinfo.dk/tip-og-tricks/mappeindstillinger.htm

Genstart i fejlsikret tilstand http://www.spywareinfo.dk/#/htm/fejlsikret_tilstand.htm

Søg og slet de markerede filer/mapper hvis de stadig findes. Ellers fortsætter du bare vejledningen. De kan være røget i fixet.

msijavaup32.exe
C:\WINNT\system32\mainsafe.exe
C:\WINNT\system32\remote.exe
C:\WINNT\system32\wgareg.exe
C:\WINNT\system32\lv4u09h9e.dll

Genstart, kør en ny scanning med hijackthis, og kopier en frisk log herind til tjek.

NB: Inden næste kørsel med HiJackThis.exe skal du OMDØBE programfilen HiJackThis.exe til ALTERNATIV.exe , da visse uønskede elementer har en tendens til at skjule sig når der kører en process ved navn HiJackThis.exe !!!

------------------------------------------------------------------------

PS: Denne fil/Program ->
C:\Documents and Settings\Heine Sørensen\Skrivebord\msconfig.exe
kan du med fordel flytte ned i
C:\WINNT\System32

Jeg har nu kørt det, men kan STADIG ikke åbne i fejlsikret tilstand, den stopper bare ved sort skærm med en blinkende cursor... og computeren er stadig lige langsom!! Det ser forøvrigt ud til at fejl 023 ´erne ikke kan slettes...

Logfile of HijackThis v1.99.1
Scan saved at 18:18:10, on 28-10-2006
Platform: Windows 2000 SP4 (WinNT 5.00.2195)
MSIE: Internet Explorer v6.00 SP1 (6.00.2800.1106)

Running processes:
C:\WINNT\System32\smss.exe
C:\WINNT\system32\winlogon.exe
C:\WINNT\system32\services.exe
C:\WINNT\system32\lsass.exe
C:\WINNT\system32\svchost.exe
C:\WINNT\system32\spoolsv.exe
C:\Programmer\Symantec\LiveUpdate\ALUSchedulerSvc.exe
C:\Programmer\Fælles filer\Symantec Shared\ccSetMgr.exe
C:\WINNT\System32\svchost.exe
C:\Programmer\ewido anti-malware\ewidoctrl.exe
C:\Programmer\Norton AntiVirus\navapsvc.exe
C:\Programmer\Norton AntiVirus\IWP\NPFMntor.exe
C:\WINNT\system32\MSTask.exe
C:\Programmer\Fælles filer\Symantec Shared\SNDSrvc.exe
C:\Programmer\Fælles filer\Symantec Shared\SPBBC\SPBBCSvc.exe
C:\Programmer\Fælles filer\Symantec Shared\CCPD-LC\symlcsvc.exe
C:\WINNT\System32\WBEM\WinMgmt.exe
C:\WINNT\system32\svchost.exe
C:\Programmer\Fælles filer\Symantec Shared\ccEvtMgr.exe
C:\WINNT\Explorer.EXE
C:\Programmer\Fælles filer\Symantec Shared\ccApp.exe
C:\Programmer\Fælles filer\Symantec Shared\Security Console\NSCSRVCE.EXE
C:\Documents and Settings\Heine Sørensen\Skrivebord\virus m.m. programmer\alternativ.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.autoplustraktor.dk/
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.autoplustraktor.dk/
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Hyperlinks
O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Programmer\Adobe\Acrobat 6.0\Reader\ActiveX\AcroIEHelper.dll
O2 - BHO: NAV Helper - {A8F38D8D-E480-4D52-B7A2-731BB6995FDD} - C:\Programmer\Norton AntiVirus\NavShExt.dll
O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINNT\System32\msdxm.ocx
O3 - Toolbar: Norton AntiVirus - {C4069E3A-68F1-403E-B40E-20066696354B} - C:\Programmer\Norton AntiVirus\NavShExt.dll
O4 - HKLM\..\Run: [Synchronization Manager] mobsync.exe /logon
O4 - HKLM\..\Run: [ccApp] "C:\Programmer\Fælles filer\Symantec Shared\ccApp.exe"
O4 - HKLM\..\Run: [SSC_UserPrompt] "C:\Programmer\Fælles filer\Symantec Shared\Security Center\UsrPrmpt.exe"
O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programmer\Java\jre1.5.0_06\bin\ssv.dll
O9 - Extra 'Tools' menuitem: Sun Java Console - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programmer\Java\jre1.5.0_06\bin\ssv.dll
O23 - Service: Automatisk LiveUpdate-planlægning - Symantec Corporation - C:\Programmer\Symantec\LiveUpdate\ALUSchedulerSvc.exe
O23 - Service: Symantec Event Manager (ccEvtMgr) - Symantec Corporation - C:\Programmer\Fælles filer\Symantec Shared\ccEvtMgr.exe
O23 - Service: Symantec Settings Manager (ccSetMgr) - Symantec Corporation - C:\Programmer\Fælles filer\Symantec Shared\ccSetMgr.exe
O23 - Service: Logical Disk Manager Administrative Service (dmadmin) - VERITAS Software Corp. - C:\WINNT\System32\dmadmin.exe
O23 - Service: ewido security suite control - ewido networks - C:\Programmer\ewido anti-malware\ewidoctrl.exe
O23 - Service: LiveUpdate - Symantec Corporation - C:\PROGRA~1\Symantec\LIVEUP~1\LUCOMS~1.EXE
O23 - Service: MainSafe Service (MSFIE) - Unknown owner - C:\WINNT\system32\mainsafe.exe (file missing)
O23 - Service: Norton AntiVirus Auto-Protect-tjeneste (navapsvc) - Symantec Corporation - C:\Programmer\Norton AntiVirus\navapsvc.exe
O23 - Service: Norton AntiVirus Firewall Monitor Service (NPFMntor) - Symantec Corporation - C:\Programmer\Norton AntiVirus\IWP\NPFMntor.exe
O23 - Service: Norton Protection Center Service (NSCService) - Symantec Corporation - C:\Programmer\Fælles filer\Symantec Shared\Security Console\NSCSRVCE.EXE
O23 - Service: qtask (qtask.exe) - Unknown owner - C:\WINNT\qtask.exe (file missing)
O23 - Service: Remote Procedure Call (RPC) Remote (RpcRemote) - Unknown owner - C:\WINNT\system32\remote.exe (file missing)
O23 - Service: Symantec AVScan (SAVScan) - Symantec Corporation - C:\Programmer\Norton AntiVirus\SAVScan.exe
O23 - Service: Symantec Network Drivers Service (SNDSrvc) - Symantec Corporation - C:\Programmer\Fælles filer\Symantec Shared\SNDSrvc.exe
O23 - Service: SPBBCSvc - Symantec Corporation - C:\Programmer\Fælles filer\Symantec Shared\SPBBC\SPBBCSvc.exe
O23 - Service: Symantec Core LC - Symantec Corporation - C:\Programmer\Fælles filer\Symantec Shared\CCPD-LC\symlcsvc.exe
O23 - Service: Windows Genuine Advantage Registration Service (wgareg) - Unknown owner - C:\WINNT\system32\wgareg.exe (file missing)

Søg efter filen
msijavaup32.exe
og den fulde path/sti sættes ind i nedenstående Avenger liste



-- Hent Avenger her:
http://swandog46.geekstogo.com/avenger.zip

-- Pak Avenger-programmet ud og dobbeltklik på avenger.exe

-- Sæt en prik i "Input Script Manually" og klik på Luppen - nu dukker der et lille vindue op, hvor du skal kopiere nedenstående indholde ind:


Files to delete:
C:\WINNT\system32\mainsafe.exe
C:\WINNT\system32\remote.exe
C:\WINNT\system32\wgareg.exe
C:\WINNT\system32\lv4u09h9e.dll



-- Klik på Trafiklyset i Avenger. Programmet vil opfordre dig til at genstarte computeren straks, hvilket du skal gøre. Programmet vil lukke din computer, slette filerne og starte computeren igen.

-- Efter genstarten vil der dukke et notepad-vindue op, med en log for Avengers handlinger. Den må du gerne lægge ind i dit næste svar.

Genstart computeren, og lav en ny log med Hijackthis, som du lægger herind sammen med loggen fra Avenger.

Hvis alt andet svipser - overvej at downloade - brænde og boote på bootcd du kan finde på http://www.it-knowlegde.dk/bootcd.html AFSNIT 2 - herefter kører du en "chkdsk.exe" fra den cd, det er muligt at du skal aktivere R/W til NTFS fra samme bootcd http://www.it-knowlegde.dk/rw_til_ntfs.html
Forskellen på "chkdsk" fra denne cd og så fra XP-skiven er den at med bootcd-en er det "chkdsk.exe" fra det installerede operativsystem der kører og det giver ofte bedre resultater

Feedback ?

Feedback [2]?

Tid til at lukke??

ingen der svarede så lukker jeg den