En mulig keylogger

Ikke noget i loggen.
Har du prøvet at sætte den til dit netkabel, i stedet for det trådløse?

Hent Combofix, og gem den på dit skrivebord:
http://download.bleepingcomputer.com/sUBs/combofix.exe

-- Kør så combofix.exe, og følg anvisningerne.
Du bør ikke klikke på vinduet imens værktøjet kører, idet det kan få din computer til at fryse.
Når combofix er færdig, og efter det har genstartet, skulle der gerne åbnes en logfil: combofix.txt
Indholdet af denne fil må du gerne lægge herind.

Hej Fromsej

Hermed filen. Det skal siges at jeg inden jeg læste din kommentar, har lavet en recover på kværnen, men den laver præcis samme nummer nu!
Jeg har ikke prøvet det med netværkskabel endnu, men det prøver jeg lige imorgen.

På forhånd tak

Tue

Manja - 06-11-19  0:03:21,54    Service Pack 2
ComboFix 06.11.9 - Running from: "C:\Documents and Settings\Manja\Skrivebord"

(((((((((((((((((((((((((((((((  Files Created from 2006-10-19 to 2006-11-19  ))))))))))))))))))))))))))))))))))


2006-11-18    23:17    22,752    --a------    C:\WINDOWS\system32\spupdsvc.exe
2006-11-18    23:09    816,672    --a------    C:\WINDOWS\system32\drivers\avg7core.sys
2006-11-18    23:09    4,960    --a------    C:\WINDOWS\system32\drivers\avgtdi.sys
2006-11-18    23:09    4,224    --a------    C:\WINDOWS\system32\drivers\avg7rsw.sys
2006-11-18    23:09    3,968    --a------    C:\WINDOWS\system32\drivers\avgclean.sys
2006-11-18    23:09    28,416    --a------    C:\WINDOWS\system32\drivers\avg7rsxp.sys
2006-11-18    20:50    49,152    --a------    C:\WINDOWS\system32\QtBtLib.dll
2006-11-18    20:50    258,048    --a------    C:\WINDOWS\system32\Uninstall_eRecovery.exe
2006-11-18    20:50    16,896    --a------    C:\WINDOWS\system32\drivers\DKbFltr.SYS
2006-11-18    20:50    147,456    --a------    C:\WINDOWS\UNINST32.EXE
2006-11-18    20:39    9,600    --a------    C:\WINDOWS\system32\drivers\hidusb.sys
2006-11-18    20:39    12,160    --a------    C:\WINDOWS\system32\drivers\mouhid.sys
2006-11-18    20:37    589,824    --a------    C:\WINDOWS\AntiV.EXE
2006-11-18    20:37    163,840    --a------    C:\WINDOWS\AExec.exe
2006-11-04    14:14    1,245,696    --a------    C:\WINDOWS\system32\msxml4.dll
2006-11-04    14:10    82,432    --a------    C:\WINDOWS\system32\msxml4r.dll


((((((((((((((((((((((((((((((((((((((((((((((((  Find3M Report  )))))))))))))))))))))))))))))))))))))))))))))))))))))   


2006-11-18 23:56    --------    d--------    C:\Programmer\MSN Messenger
2006-11-18 23:47    --------    d--------    C:\Programmer\MSXML 4.0
2006-11-18 23:14    --------    d--------    C:\Programmer\Lavasoft
2006-11-18 23:14    --------    d--------    C:\Documents and Settings\Manja\Application Data\Lavasoft
2006-11-18 23:09    --------    d--------    C:\Programmer\Grisoft
2006-11-18 23:09    --------    d--------    C:\Documents and Settings\Manja\Application Data\AVG7
2006-11-18 22:59    --------    d--------    C:\Documents and Settings\Manja\Application Data\Macromedia
2006-11-18 20:50    --------    d--------    C:\Programmer\Launch Manager
2006-11-18 20:49    1024    -r-h-----    C:\WINDOWS\system32\NTIBUN4.dll
2006-11-18 20:48    6144    --a------    C:\WINDOWS\system32\drivers\NTIDrvr.sys
2006-11-18 20:48    1024    -r-h-----    C:\WINDOWS\system32\NTIMPEG2.dll
2006-11-18 20:48    1024    -r-h-----    C:\WINDOWS\system32\NTIMP3.dll
2006-11-18 20:48    1024    -r-h-----    C:\WINDOWS\system32\NTIFCD3.dll
2006-11-18 20:48    1024    -r-h-----    C:\WINDOWS\system32\NTICDMK7.dll
2006-11-18 20:47    --------    d--------    C:\Programmer\SiS VGA Utilities V3.65f
2006-11-18 20:37    634    --a------    C:\WINDOWS\HOTFIX.BAT
2006-11-18 20:37    529    --a------    C:\WINDOWS\CLEANUP.CMD
2006-10-13 13:40    142848    --a------    C:\WINDOWS\system32\nwprovau.dll
2006-09-13 06:06    1084416    --a------    C:\WINDOWS\system32\msxml3.dll
2006-08-25 16:51    617472    --a------    C:\WINDOWS\system32\comctl32.dll
2006-08-21 13:27    16896    --a------    C:\WINDOWS\system32\fltlib.dll
2006-08-21 10:14    23040    --a------    C:\WINDOWS\system32\fltMc.exe


((((((((((((((((((((((((((((((((((((((((((  Reg Loading Points  ))))))))))))))))))))))))))))))))))))))))))))))))

*Note* empty entries are not shown

[HKEY_CURRENT_USER\software\microsoft\windows\currentversion\run]
"CTFMON.EXE"="C:\\WINDOWS\\system32\\ctfmon.exe"
"MsnMsgr"="\"C:\\Programmer\\MSN Messenger\\MsnMsgr.Exe\" /background"

[HKEY_LOCAL_MACHINE\software\microsoft\windows\currentversion\run]
"LaunchApp"="Alaunch"
"SynTPLpr"="C:\\Programmer\\Synaptics\\SynTP\\SynTPLpr.exe"
"SynTPEnh"="C:\\Programmer\\Synaptics\\SynTP\\SynTPEnh.exe"
"SoundMan"="SOUNDMAN.EXE"
"AGRSMMSG"="AGRSMMSG.exe"
"SiSPower"="Rundll32.exe SiSPower.dll,ModeAgent"
"SiS Windows KeyHook"="C:\\WINDOWS\\system32\\keyhook.exe"
"PCMService"="\"C:\\Programmer\\Arcade\\PCMService.exe\""
"IMJPMIG8.1"="\"C:\\WINDOWS\\IME\\imjp8_1\\IMJPMIG.EXE\" /Spoil /RemAdvDef /Migration32"
"MSPY2002"="C:\\WINDOWS\\system32\\IME\\PINTLGNT\\ImScInst.exe /SYNC"
"PHIME2002ASync"="C:\\WINDOWS\\system32\\IME\\TINTLGNT\\TINTSETP.EXE /SYNC"
"PHIME2002A"="C:\\WINDOWS\\system32\\IME\\TINTLGNT\\TINTSETP.EXE /IMEName"
"LManager"="C:\\Programmer\\Launch Manager\\QtZgAcer.EXE"
"eRecoveryService"="C:\\Acer\\Empowering Technology\\eRecovery\\Monitor.exe"
"AVG7_CC"="C:\\PROGRA~1\\Grisoft\\AVGFRE~1\\avgcc.exe /STARTUP"

[HKEY_CURRENT_USER\software\microsoft\internet explorer\desktop\components]
"DeskHtmlVersion"=dword:00000110
"DeskHtmlMinorVersion"=dword:00000005
"Settings"=dword:00000001
"GeneralFlags"=dword:00000001

[HKEY_CURRENT_USER\software\microsoft\internet explorer\desktop\components\0]
"Source"="About:Home"
"SubscribedURL"="About:Home"
"FriendlyName"="Min aktuelle startside"
"Flags"=dword:00000002
"Position"=hex:2c,00,00,00,00,01,00,00,00,00,00,00,00,04,00,00,02,03,00,00,00,\
  00,00,00,01,00,00,00,01,00,00,00,01,00,00,00,00,00,00,00,00,00,00,00
"CurrentState"=hex:04,00,00,40
"OriginalStateInfo"=hex:18,00,00,00,ff,ff,00,00,ff,ff,00,00,ff,ff,ff,ff,ff,ff,\
  ff,ff,04,00,00,00
"RestoredStateInfo"=hex:18,00,00,00,6a,02,00,00,23,00,00,00,a4,00,00,00,9a,00,\
  00,00,01,00,00,00

[HKEY_USERS\.default\software\microsoft\windows\currentversion\run]
"CTFMON.EXE"="C:\\WINDOWS\\system32\\CTFMON.EXE"
"AVG7_Run"="C:\\PROGRA~1\\Grisoft\\AVGFRE~1\\avgw.exe /RUNONCE"

[HKEY_USERS\s-1-5-18\software\microsoft\windows\currentversion\run]
"CTFMON.EXE"="C:\\WINDOWS\\system32\\CTFMON.EXE"
"AVG7_Run"="C:\\PROGRA~1\\Grisoft\\AVGFRE~1\\avgw.exe /RUNONCE"

[HKEY_LOCAL_MACHINE\software\microsoft\windows\currentversion\explorer\sharedtaskscheduler]
"{438755C2-A8BA-11D1-B96B-00A0C90312E1}"="Browseui preloader"
"{8C7461EF-2B13-11d2-BE35-3078302C2030}"="Component Categories cache daemon"

[HKEY_LOCAL_MACHINE\software\microsoft\windows\currentversion\explorer\shellexecutehooks]
"{AEB6717E-7E19-11d0-97EE-00C04FD91972}"=""

[HKEY_CURRENT_USER\software\microsoft\windows\currentversion\policies\explorer]
"NoDriveTypeAutoRun"=dword:00000091

[HKEY_CURRENT_USER\software\microsoft\windows\currentversion\policies\explorer\Run]

[HKEY_LOCAL_MACHINE\software\microsoft\windows\currentversion\policies\system]
"dontdisplaylastusername"=dword:00000000
"legalnoticecaption"=""
"legalnoticetext"=""
"shutdownwithoutlogon"=dword:00000001
"undockwithoutlogon"=dword:00000001

[HKEY_USERS\.default\software\microsoft\windows\currentversion\policies\explorer]
"NoDriveTypeAutoRun"=dword:00000091

[HKEY_USERS\s-1-5-18\software\microsoft\windows\currentversion\policies\explorer]
"NoDriveTypeAutoRun"=dword:00000091

[HKEY_LOCAL_MACHINE\software\microsoft\windows\currentversion\shellserviceobjectdelayload]
"PostBootReminder"="{7849596a-48ea-486e-8937-a2a3009f31a9}"
"CDBurn"="{fbeb8a05-beee-4442-804e-409d6c4515e9}"
"WebCheck"="{E6FB5E20-DE35-11CF-9C87-00AA005127ED}"
"SysTray"="{35CEC8A3-2BE6-11D2-8773-92E220524153}"

[HKEY_LOCAL_MACHINE\system\currentcontrolset\control\securityproviders]   
"SecurityProviders"="msapsspc.dll, schannel.dll, digest.dll, msnsspc.dll"

Completion time: 06-11-19  0:03:41.01
C:\ComboFix.txt ... 06-11-19 00:03

-- Hent Avenger her:
http://swandog46.geekstogo.com/avenger.zip

-- Pak Avenger-programmet ud og dobbeltklik på avenger.exe

-- Sæt en prik i "Input Script Manually" og klik på Luppen - nu dukker der et lille vindue op, hvor du skal kopiere HELE indholdet mellem de stiplede linier ind:
----------------------
Files to delete:
C:\WINDOWS\AntiV.EXE
----------------------
-- Klik på Trafiklyset i Avenger. Programmet vil opfordre dig til at genstarte computeren straks, hvilket du skal gøre. Programmet vil lukke din computer, slette filerne og starte computeren igen.

-- Efter genstarten vil der dukke et notepad-vindue op, med en log for Avengers handlinger. Den må du gerne lægge ind i dit næste svar.

Fromsej, du er for sej!

Hermed loggen:


Logfile of The Avenger version 1, by Swandog46
Running from registry key:
\Registry\Machine\System\CurrentControlSet\Services\sjfsoiiq

*******************

Script file located at: \??\C:\vipvqomf.txt
Script file opened successfully.

Script file read successfully

Backups directory opened successfully at C:\Avenger

*******************

Beginning to process script file:

File C:\WINDOWS\AntiV.EXE deleted successfully.

Completed script processing.

*******************

Finished!  Terminate.

Det ser fint ud, hjalp det?

Nej! Messenger sender med sikkerhed, bogstav for bogstav, når man taster. Dette gælder både med kabel og trådløst netvæk. Trækker jeg stikket ud/lukker for den trådløse, så bliver skrivehastigheden normal (men kan af gode grunde naturligvis ikke logge på!)
MEN jeg har fundet en gammel Messenger ver. 4.7 og her er intet problem med den.
Den der driller er 8.0 og det er KUN på min kones maskine den gør omtalte.
Jeg har ikke fundet andre programmer hvor man synligt kan se at der er noget galt.

Det lyder underligt, har du prøvet med version 7.5?

Det samme sker. Prøver at gå på en 7,0 og nedefter :-)

7.0 sender ikke før man beder den om det og jeg har taget 7,5 og 8.0 af.
Så er spørgsmålet om den kan nakke mig andre steder eller om det KUN er messenger den er hoppet på?

Hvis du er usikker på om der er noget skidt, så synes jeg du skal tage den fulde konsekvens og formatere bæstet, brug evt Killdisk for at rydde den helt.

Med de midler vi har, kan vi ikke se mere skidt i din maskine.

Ja, der er nok ingen vej uden om. Hvordan virker det der Killdisk?

Det rydder harddisken fuldstændigt, er den delt i flere bliver alle andre partitioner også fjernet.
Den fremstår faktisk bagefter som da den kom fra fabrikken, upartitioneret og uformateret.
Jeg har lavet denne vejledning til programmet:
http://www.spywarefri.dk/forum/topic.asp?TOPIC_ID=18283

Her er en vejledning, til sikker installation:
http://www.spywarefri.dk/forum/topic.asp?TOPIC_ID=27627

Super! Tak for hjælpen igen, igen, igen! Hvergang håber jeg det bliver sidste gang, men lader ikke til at man helt kan undgå virus m.m.

Smid et svar, så du kan få dine meget velfortjente point :-)

Det kommer her.*S*