hijack og drweb files til kommentar

Det var meget der var fjernet ;-)

-- Hent Combofix fra et af disse links, og gem den på dit skrivebord:
http://download.bleepingcomputer.com/sUBs/combofix.exe
http://www.techsupportforum.com/sectools/sUBs/ComboFix.exe

-- Kør så combofix.exe, som du hentede tidligere, og følg anvisningerne.
Du bør ikke klikke på vinduet imens værktøjet kører, idet det kan få din computer til at fryse.
Når combofix er færdig, og efter det har genstartet, skulle der gerne åbnes en logfil: combofix.txt
Indholdet af denne fil må du gerne lægge herind.

BEMÆRK at Combofix af nogle virusscannere bliver detekteret som inficeret. Dette har dog intet på sig.

ComboFix-log


ComboFix 07-10-07.1 - Niels 2007-10-07 10:40:57.1 - NTFSx86
Microsoft Windows XP Professional  5.1.2600.2.1252.1.1033.18.187 [GMT 2:00]
Running from: F:\ComboFix\ComboFix.exe
* Created a new restore point
.

(((((((((((((((((((((((((((((((((((((((  Other Deletions  )))))))))))))))))))))))))))))))))))))))))))))))))
.

C:\Documents and Settings\All Users\Application Data\HotbarSA
C:\Documents and Settings\All Users\Application Data\HotbarSA\HotbarSA.dat
C:\Documents and Settings\All Users\Application Data\HotbarSA\HotbarSA_kyf.dat
C:\Documents and Settings\All Users\Application Data\HotbarSA\HotbarSAEula.mht
C:\Documents and Settings\All Users\Application Data\HotbarSA\HotbarSAAbout.mht
C:\Documents and Settings\All Users\Application Data\HotbarSA\HotbarSAau.dat
C:\Documents and Settings\Niels\Application Data\HbTools
C:\Documents and Settings\Niels\Application Data\HbTools\HbTools.log
C:\Documents and Settings\Niels\Application Data\HbTools\v3.0\HbTools\dynamic\1070542.sdf
C:\Documents and Settings\Niels\Application Data\HbTools\v3.0\HbTools\dynamic\TooltipXML\10807
C:\Documents and Settings\Niels\Application Data\HbTools\v3.0\HbTools\dynamic\TooltipXML\26664
C:\Documents and Settings\Niels\Application Data\HbTools\v3.0\HbTools\dynamic\TooltipXML\64414
C:\Documents and Settings\Niels\Application Data\HbTools\v3.0\HbTools\dynamic\TooltipXML\66836
C:\Documents and Settings\Niels\Application Data\HbTools\v3.0\HbTools\dynamic\TooltipXML\75013
C:\Documents and Settings\Niels\Application Data\HbTools\v3.0\HbTools\dynamic\TooltipXML\93921
C:\Documents and Settings\Niels\ResErrors.log
C:\WINDOWS\cookies.ini
C:\WINDOWS\system32\aybeg.bak1
C:\WINDOWS\system32\aybeg.ini
C:\WINDOWS\system32\cfhkj.bak1
C:\WINDOWS\system32\cfhkj.bak2
C:\WINDOWS\system32\cfhkj.ini
C:\WINDOWS\system32\dccdd.bak1
C:\WINDOWS\system32\dccdd.bak1
C:\WINDOWS\system32\dccdd.bak2
C:\WINDOWS\system32\dccdd.bak2
C:\WINDOWS\system32\dccdd.ini2
C:\WINDOWS\system32\dccdd.ini2
C:\WINDOWS\system32\dccdd.tmp
C:\WINDOWS\system32\dccdd.tmp
C:\WINDOWS\system32\ewsxnxau.dll
C:\WINDOWS\system32\ghhkj.bak1
C:\WINDOWS\system32\ghhkj.bak2
C:\WINDOWS\system32\ghhkj.ini
C:\WINDOWS\system32\ghkmp.bak1
C:\WINDOWS\system32\ghkmp.ini
C:\WINDOWS\system32\hhkmp.bak1
C:\WINDOWS\system32\hhkmp.bak2
C:\WINDOWS\system32\hhkmp.ini
C:\WINDOWS\system32\ijkkj.bak1
C:\WINDOWS\system32\ijkkj.ini
C:\WINDOWS\system32\ijkkj.tmp
C:\WINDOWS\system32\ijkmp.bak1
C:\WINDOWS\system32\ijkmp.bak2
C:\WINDOWS\system32\ijkmp.ini
C:\WINDOWS\system32\jjjlm.bak1
C:\WINDOWS\system32\jjjlm.bak2
C:\WINDOWS\system32\jvvgxexj.dll
C:\WINDOWS\system32\khotpkld.dll
C:\WINDOWS\system32\llkkj.bak1
C:\WINDOWS\system32\llkkj.ini
C:\WINDOWS\system32\mhcddviy.dll
C:\WINDOWS\system32\mlnmp.bak1
C:\WINDOWS\system32\mlnmp.ini
C:\WINDOWS\system32\npqss.bak1
C:\WINDOWS\system32\npqss.bak2
C:\WINDOWS\system32\npqss.ini
C:\WINDOWS\system32\phyatoup.dll
C:\WINDOWS\system32\poolagrx.dll
C:\WINDOWS\system32\pqtss.bak1
C:\WINDOWS\system32\pqtss.ini
C:\WINDOWS\system32\rqtwa.bak1
C:\WINDOWS\system32\rqtwa.ini
C:\WINDOWS\system32\wycdd.bak1
C:\WINDOWS\system32\wycdd.ini

.
(((((((((((((((((((((((((  Files Created from 2007-09-07 to 2007-10-07  )))))))))))))))))))))))))))))))
.

2007-10-07 10:40    51,200    --a------    C:\WINDOWS\NirCmd.exe
2007-10-06 22:59    <DIR>    d--------    C:\Program Files\jv16 PowerTools
2007-10-06 21:48    <DIR>    d--------    C:\Documents and Settings\Administrator\DoctorWeb
2007-10-06 21:31    <DIR>    d--------    C:\cureit
2007-10-06 20:26    <DIR>    d--------    C:\Hijack
2007-10-06 17:26    0    --a------    C:\WINDOWS\system32\CMMGR32.EXE
2007-10-06 17:17    83,008    --a------    C:\WINDOWS\system32\lmfuunpq.dll
2007-10-06 17:16    <DIR>    d--------    C:\Program Files\SUPERAntiSpyware
2007-10-06 17:16    <DIR>    d--------    C:\Program Files\Common Files\Wise Installation Wizard
2007-10-06 17:16    <DIR>    d--------    C:\Documents and Settings\Niels\Application Data\SUPERAntiSpyware.com
2007-10-06 17:16    <DIR>    d--------    C:\Documents and Settings\All Users\Application Data\SUPERAntiSpyware.com
2007-10-06 16:42    95,608    --a------    C:\WINDOWS\system32\AvastSS.scr
2007-10-06 16:42    94,416    --a------    C:\WINDOWS\system32\drivers\aswmon2.sys
2007-10-06 16:42    92,848    --a------    C:\WINDOWS\system32\drivers\aswmon.sys
2007-10-06 16:42    801,144    --a------    C:\WINDOWS\system32\aswBoot.exe
2007-10-06 16:42    42,912    --a------    C:\WINDOWS\system32\drivers\aswTdi.sys
2007-10-06 16:42    26,624    --a------    C:\WINDOWS\system32\drivers\aavmker4.sys
2007-10-06 16:42    23,152    --a------    C:\WINDOWS\system32\drivers\aswRdr.sys
2007-10-06 16:42    1,060,864    --a------    C:\WINDOWS\system32\MFC71.dll
2007-10-06 16:42    <DIR>    d--------    C:\Program Files\Alwil Software
2007-10-06 16:17    <DIR>    d--------    C:\Program Files\CCleaner
2007-10-06 16:06    21,504    --a--c---    C:\WINDOWS\system32\dllcache\hidserv.dll
2007-10-06 16:06    21,504    --a------    C:\WINDOWS\system32\hidserv.dll
2007-10-05 13:56    <DIR>    d--------    C:\Documents and Settings\Niels\Application Data\NoWayVirus
2007-09-18 14:42    <DIR>    d--------    C:\Documents and Settings\Niels\Application Data\WeatherDPA
2007-09-18 14:42    <DIR>    d--------    C:\Documents and Settings\All Users\Application Data\2ACA5CC3-0F83-453D-A079-1076FE1A8B65
2007-09-16 13:16    23,552    --a------    C:\WINDOWS\system32\nnnopqp.dll
2007-09-14 17:55    <DIR>    d--------    C:\Program Files\Nokia

.
((((((((((((((((((((((((((((((((((((((((  Find3M Report  ))))))))))))))))))))))))))))))))))))))))))))))))))))
.
2007-10-06 17:26    ---------    d--------    C:\Program Files\DesignPro
2007-10-06 16:13    ---------    d--------    C:\Documents and Settings\Niels\Application Data\Lavasoft
2007-09-14 17:55    ---------    d--h-----    C:\Program Files\InstallShield Installation Information
2007-09-06 12:00    26624    --a------    C:\WINDOWS\system32\drivers\aavmker4.sys
.

(((((((((((((((((((((((((((((((((((((  Reg Loading Points  ))))))))))))))))))))))))))))))))))))))))))))))))))
.
.
*Note* empty entries & legit default entries are not shown

[HKEY_LOCAL_MACHINE\~\Browser Helper Objects\{033C620D-3272-41A7-9380-70ECF1A17D03}]

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
"High Definition Audio Property Page Shortcut"="HDAShCut.exe" [2005-01-08 02:07 C:\WINDOWS\system32\HdAShCut.exe]
"SunJavaUpdateSched"="C:\Program Files\Java\jre1.6.0_02\bin\jusched.exe" [2007-07-12 04:00]
"HotKeysCmds"="C:\WINDOWS\system32\hkcmd.exe" [2005-02-23 01:34]
"RTHDCPL"="RTHDCPL.EXE" [2005-07-13 19:37 C:\WINDOWS\RTHDCPL.EXE]
"AGRSMMSG"="AGRSMMSG.exe" [2005-07-02 00:58 C:\WINDOWS\AGRSMMSG.exe]
"LtMoh"="C:\Program Files\ltmoh\Ltmoh.exe" [2005-05-19 00:57]
"SynTPEnh"="C:\Program Files\Synaptics\SynTP\SynTPEnh.exe" [2005-06-03 10:15]
"NeroFilterCheck"="C:\WINDOWS\system32\NeroCheck.exe" [2001-07-09 19:50]
"WireLessMouse"="C:\Program Files\Multimedia Mouse Driver\StartAutorun.exe" [2005-11-30 21:48]
"avast!"="C:\PROGRA~1\ALWILS~1\Avast4\ashDisp.exe" [2007-09-06 12:06]

[HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
"swg"="C:\Program Files\Google\GoogleToolbarNotifier\GoogleToolbarNotifier.exe" [2007-06-29 16:59]
"SUPERAntiSpyware"="C:\Program Files\SUPERAntiSpyware\SUPERAntiSpyware.exe" [2007-10-06 18:59]

C:\Documents and Settings\Niels\Start Menu\Programs\Startup\
HotSync Manager.lnk - C:\Program Files\Palm\HOTSYNC.EXE [2002-07-18 11:58:46]

[HKEY_LOCAL_MACHINE\software\microsoft\windows nt\currentversion\winlogon\notify\!SASWinLogon]
C:\Program Files\SUPERAntiSpyware\SASWINLO.DLL 2007-10-06 18:59 294912 C:\Program Files\SUPERAntiSpyware\SASWINLO.DLL

[HKEY_LOCAL_MACHINE\software\microsoft\windows nt\currentversion\winlogon\notify\nnnopqp]
nnnopqp.dll 2007-09-16 13:16 23552 C:\WINDOWS\system32\nnnopqp.dll

R1 ewido security suite driver;ewido security suite driver;\??\C:\Program Files\ewido\security suite\guard.sys
R3 FUJ02E1;%FUJ02E1.DeviceDesc%;C:\WINDOWS\system32\Drivers\FUJ02E1.sys
R3 FUJ02E3;Fujitsu FUJ02E3 Device Driver;C:\WINDOWS\system32\DRIVERS\FUJ02E3.sys

.
Contents of the 'Scheduled Tasks' folder
"2007-10-07 06:18:11 C:\WINDOWS\Tasks\Check Updates for Windows Live Toolbar.job"
.
**************************************************************************

catchme 0.3.1169 W2K/XP/Vista - rootkit/stealth malware detector by Gmer, http://www.gmer.net
Rootkit scan 2007-10-07 13:25:01
Windows 5.1.2600 Service Pack 2 NTFS

scanning hidden processes ...

scanning hidden autostart entries ...

scanning hidden files ...

scan completed successfully
hidden files: 0

**************************************************************************

[HKEY_LOCAL_MACHINE\system\ControlSet001\Services\Aavmker4]

.
Completion time: 2007-10-07 13:27:17 - machine was rebooted
C:\ComboFix-quarantined-files.txt ... 2007-10-07 13:27
.
    --- E O F ---

Kopiér indholdet mellem de stiplede linier ind i et notepad-vindue, og gem indholdet i samme mappe, som Combofix ligger med navnet CFScript.txt.
Når du gemmer, skal du sikre, at der under "filtyper" står "alle filer".

-------------------------
File::
C:\WINDOWS\system32\lmfuunpq.dll
C:\WINDOWS\system32\aswBoot.exe
C:\Documents and Settings\All Users\Application Data\2ACA5CC3-0F83-453D-A079-1076FE1A8B65
C:\WINDOWS\system32\nnnopqp.dll

Folder::
C:\Documents and Settings\Niels\Application Data\NoWayVirus
C:\Documents and Settings\Niels\Application Data\WeatherDPA
-------------------------

Tag så fat i den nye fil med musen, og før den hen over Combofix-filen, hvorefter du "giver slip" med musen. - http://www.fromsej.saknet.dk/billeder/cfscript.gif
Så skulle Combofix gerne give sig til at arbejde. Muligvis vil den kræve en genstart, hvilket du skal tillade. Du bør ikke klikke på vinduet imens værktøjet kører, idet det kan få din computer til at fryse.

Genstart. Kopier indholdet af Combofix.txt her ind sammen med en ny hijackthis

Jeg har afleveret computeren den skulle til Vejle inden aften

Jeg kiggede selv lidt på det, jeg kan huske at jeg slettede
C:\Documents and Settings\All Users\Application Data\2ACA5CC3-0F83-453D-A079-1076FE1A8B65

og

Folder::
C:\Documents and Settings\Niels\Application Data\NoWayVirus
C:\Documents and Settings\Niels\Application Data\WeatherDPA

der var et par stykker i Hijack også

O2 - BHO: (no name) - {033C620D-3272-41A7-9380-70ECF1A17D03} - (no file)
O2 - BHO: (no name) - {7E853D72-626A-48EC-A868-BA8D5E23E045} - (no file)

Men tak for hjælpen, vi ser hvordan det går, men det kørte da uden problemer, så må vi tage det op senere hvis der viser sig problemer.

Læg svar

Det gør jeg så..