En lille godnat HJ this log

Af Super Supporter Dejavuz | 10-07-2004 02:10 | 1228 visninger | 9 svar, hop til seneste

Efter endelig af have fjernet en w32.spybot.Worm i isac.exe, + div andet , ville jeg se om en ala Armageddon ;-) , ville kigge på min Log: OBS det er ikke min PC med alle disse "Erotik extra Bottums" , men min vens kærste Logfile of HijackThis v1.97.7 Scan saved at 01:54:45, on 10-07-2004 Platform: Windows XP (WinNT 5.01.2600) MSIE: Internet Explorer v6.00 SP1 (6.00.2600.0000) Running processes: C:WINDOWSSystem32smss.exe C:WINDOWSsystem32winlogon.exe C:WINDOWSsystem32services.exe C:WINDOWSsystem32lsass.exe C:WINDOWSsystem32svchost.exe C:WINDOWSSystem32svchost.exe C:WINDOWSExplorer.EXE C:WINDOWSsystem32spoolsv.exe C:ProgrammerJavaj2re1.4.2_03injusched.exe C:PROGRA~1NORTON~1 avapw32.exe C:WINDOWSSystem32ctfmon.exe C:ProgrammerMessengermsmsgs.exe C:ProgrammerNorton AntiVirus avapsvc.exe C:WINDOWSsystem32pctspk.exe C:WINDOWSSystem32wuauclt.exe A:HijackThis.exe R0 - HKCUSoftwareMicrosoftInternet ExplorerMain,Start Page = http://www.jubii.dk[...] R0 - HKCUSoftwareMicrosoftInternet ExplorerToolbar,LinksFolderName = Hyperlinks O2 - BHO: (no name) - {1BDD55B8-3985-4E59-B906-5E0AD56D6710} - (no file) O2 - BHO: NAV Helper - {BDF3E430-B101-42AD-A544-FADC6B084872} - C:ProgrammerNorton AntiVirusNavShExt.dll O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:WINDOWSSystem32msdxm.ocx O3 - Toolbar: Norton AntiVirus - {42CDD1BF-3FFB-4238-8AD1-7859DF00B1D6} - C:ProgrammerNorton AntiVirusNavShExt.dll O4 - HKLM..Run: [SunJavaUpdateSched] C:ProgrammerJavaj2re1.4.2_03injusched.exe O4 - HKLM..Run: [avserve2.exe] C:WINDOWSavserve2.exe O4 - HKLM..Run: [lsasss.exe] C:WINDOWSlsasss.exe O4 - HKLM..Run: [Windows Update] C:WINDOWSSystem32mcdfvlex.exe O4 - HKLM..Run: [NAV Agent] C:PROGRA~1NORTON~1 avapw32.exe O4 - HKLM..RunServices: [Microsoft Update] wuamgrd.exe O4 - HKCU..Run: [CTFMON.EXE] C:WINDOWSSystem32ctfmon.exe O4 - HKCU..Run: [MSMSGS] "C:ProgrammerMessengermsmsgs.exe" /background O8 - Extra context menu item: E&ksporter til Microsoft Excel - res://C:PROGRA~1MICROS~2Office10EXCEL.EXE/3000 O9 - Extra 'Tools' menuitem: Sun Java Console (HKLM) O9 - Extra button: Erotik (HKLM) O9 - Extra 'Tools' menuitem: Erotik... (HKLM) O9 - Extra button: Sol Dating (HKLM) O9 - Extra 'Tools' menuitem: Sol Dating... (HKLM) O9 - Extra button: Messenger (HKLM) O9 - Extra 'Tools' menuitem: Windows Messenger (HKLM) O16 - DPF: {3D2CB570-D425-11D5-ABD0-00008369C46F} (CSMenu Class) - https://netbank.danskebank.dk[...] O16 - DPF: {9F1C11AA-197B-4942-BA54-47A8489BB47F} (Update Class) - http://v4.windowsupdate.microsoft.com[...] O16 - DPF: {D8575CE3-3432-4540-88A9-85A1325D3375} (e-Safekey®) - https://netbank.danskebank.dk[...]
--

- Only the best dies young -

#1
Kim In Chul
Supporter Aspirant
10-07-2004 02:14

Rapporter til Admin

Hej... Start med at deaktivere systemgendannelsen, kør en ny hijackthis og sæt flueben ud for: R0 - HKCUSoftwareMicrosoftInternet ExplorerToolbar,LinksFolderName = Hyperlinks O2 - BHO: (no name) - {1BDD55B8-3985-4E59-B906-5E0AD56D6710} - (no file) O4 - HKLM..Run: [SunJavaUpdateSched] C:ProgrammerJavaj2re1.4.2_03injusched.exe O4 - HKLM..Run: [avserve2.exe] C:WINDOWSavserve2.exe O4 - HKLM..Run: [lsasss.exe] C:WINDOWSlsasss.exe O4 - HKLM..Run: [Windows Update] C:WINDOWSSystem32mcdfvlex.exe O4 - HKLM..RunServices: [Microsoft Update] wuamgrd.exe O9 - Extra button: Erotik (HKLM) O9 - Extra 'Tools' menuitem: Erotik... (HKLM) Luk alle programvinduer og klik på "fix checked" genstart så op i fejlsikret tilstand og find og slet: C:WINDOWSavserve2.exe C:WINDOWSlsasss.exe C:WINDOWSSystem32mcdfvlex.exe wuamgrd.exe (Brug søgefunktionen til at finde den, alt det den finder skal slettes...) Start så op normalt og sørg for at opdatere Windows XP med kritiske opdateringer og SP1, ellers går der ikke lang tid inden at du er inficeret igen... Smid også en log herind til kontrol.. //Kim In Chul
--

#2
Armageddon
Moderator
10-07-2004 02:20

Rapporter til Admin

Hejsa, du har også haft Sasser kan jeg se. Der er et par småting som lige skal fixes. Start med at deaktivere systemgendannelse. Højreklik på "Denne Computer" på skrivebordet, vælg egenskaber og fanebladet "Systemgendannelse" og sæt flueben i "Deaktiver systemgendannelse". Klik ok og genstart. Kør en ny scanning med HJT og sæt flueben ved disse: O2 - BHO: (no name) - {1BDD55B8-3985-4E59-B906-5E0AD56D6710} - (no file) O4 - HKLM..Run: [SunJavaUpdateSched] C:ProgrammerJavaj2re1.4.2_03 injusched.exe O4 - HKLM..Run: [avserve2.exe] C:WINDOWSavserve2.exe O4 - HKLM..Run: [lsasss.exe] C:WINDOWSlsasss.exe O4 - HKLM..Run: [Windows Update] C:WINDOWSSystem32mcdfvlex.exe O4 - HKLM..RunServices: [Microsoft Update] wuamgrd.exe O9 - Extra button: Erotik (HKLM) O9 - Extra 'Tools' menuitem: Erotik... (HKLM) Luk alle øvrige programvinduer så kun HJT er åben. Klik på ”Fix checked”. Luk programmet og genstart i fejlsikret tilstand (tryk F8 efter POST skærmen). Find og slet disse: C:\WINDOWS\avserve2.exe C:\WINDOWS\lsasss.exe C:\WINDOWS\System32\mcdfvlex.exe wuamgrd.exe (søg efter den) Genstart normalt. Kør en ny scanning med HJT og smid loggen herind til kontrol. Det er vigtigt at du får opdateret systemet med SP1 og kritiske opdateringer via Windows update.
--
/Armageddon - [email protected] http://www.mdegn.dk[...]

#3
Dejavuz
Super Supporter
10-07-2004 02:44

Rapporter til Admin

Hej ... Kunne ikke finde : C:WINDOWSlsasss.exe Såden ser loggen ud nu : Logfile of HijackThis v1.97.7 Scan saved at 02:32:52, on 10-07-2004 Platform: Windows XP (WinNT 5.01.2600) MSIE: Internet Explorer v6.00 SP1 (6.00.2600.0000) Running processes: C:WINDOWSSystem32smss.exe C:WINDOWSsystem32winlogon.exe C:WINDOWSsystem32services.exe C:WINDOWSsystem32lsass.exe C:WINDOWSsystem32svchost.exe C:WINDOWSsystem32svchost.exe C:WINDOWSExplorer.EXE A:HijackThis.exe R0 - HKCUSoftwareMicrosoftInternet ExplorerMain,Start Page = R0 - HKCUSoftwareMicrosoftInternet ExplorerMain,Local Page = R0 - HKCUSoftwareMicrosoftInternet ExplorerToolbar,LinksFolderName = O2 - BHO: NAV Helper - {BDF3E430-B101-42AD-A544-FADC6B084872} - C:ProgrammerNorton AntiVirusNavShExt.dll O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:WINDOWSSystem32msdxm.ocx O3 - Toolbar: Norton AntiVirus - {42CDD1BF-3FFB-4238-8AD1-7859DF00B1D6} - C:ProgrammerNorton AntiVirusNavShExt.dll O4 - HKLM..Run: [NAV Agent] C:PROGRA~1NORTON~1 avapw32.exe O4 - HKCU..Run: [CTFMON.EXE] C:WINDOWSSystem32CTFMON.EXE O4 - HKCU..Run: [MSMSGS] "C:ProgrammerMessengermsmsgs.exe" /background O9 - Extra 'Tools' menuitem: Sun Java Console (HKLM) O9 - Extra button: Sol Dating (HKLM) O9 - Extra 'Tools' menuitem: Sol Dating... (HKLM) O9 - Extra button: Messenger (HKLM) O9 - Extra 'Tools' menuitem: Windows Messenger (HKLM) O16 - DPF: {3D2CB570-D425-11D5-ABD0-00008369C46F} (CSMenu Class) - https://netbank.danskebank.dk[...] O16 - DPF: {9F1C11AA-197B-4942-BA54-47A8489BB47F} (Update Class) - http://v4.windowsupdate.microsoft.com[...] O16 - DPF: {D8575CE3-3432-4540-88A9-85A1325D3375} (e-Safekey®) - https://netbank.danskebank.dk[...] Ser da meget pæn ud :-) hvad er denne ? O9 - Extra 'Tools' menuitem: Sun Java Console (HKLM)
--
- Only the best dies young -

#4
Dejavuz
Super Supporter
10-07-2004 02:51

Rapporter til Admin

Hov glemte at genstarte normalt i #3 lige et øjeblik :-/
--
- Only the best dies young -

#5
Armageddon
Moderator
10-07-2004 02:55

Rapporter til Admin

Jo nu er loggen pæn og ren igen. Du kan godt aktivere systemgendannelse igen. Få dog opdateret systemet med SP1 og kritiske opdateringer via Windows update. O9 - Extra 'Tools' menuitem: Sun Java Console (HKLM) er en ekstra ting som fremkommer fodi du har installeret Sun Java. Hvis du ikke bruger deres Java Console og ikke vil have den så kan du bare fixe den.
--
/Armageddon - [email protected] http://www.mdegn.dk[...]

#6
Dejavuz
Super Supporter
10-07-2004 02:55

Rapporter til Admin

Her er den så : Logfile of HijackThis v1.97.7 Scan saved at 02:51:11, on 10-07-2004 Platform: Windows XP (WinNT 5.01.2600) MSIE: Internet Explorer v6.00 SP1 (6.00.2600.0000) Running processes: C:WINDOWSSystem32smss.exe C:WINDOWSsystem32winlogon.exe C:WINDOWSsystem32services.exe C:WINDOWSsystem32lsass.exe C:WINDOWSsystem32svchost.exe C:WINDOWSSystem32svchost.exe C:WINDOWSExplorer.EXE C:WINDOWSsystem32spoolsv.exe C:PROGRA~1NORTON~1 avapw32.exe C:WINDOWSSystem32ctfmon.exe C:ProgrammerMessengermsmsgs.exe C:ProgrammerNorton AntiVirus avapsvc.exe C:WINDOWSsystem32pctspk.exe A:HijackThis.exe C:WINDOWSSystem32wuauclt.exe R0 - HKCUSoftwareMicrosoftInternet ExplorerMain,Start Page = http://www.jubii.dk[...] O2 - BHO: NAV Helper - {BDF3E430-B101-42AD-A544-FADC6B084872} - C:ProgrammerNorton AntiVirusNavShExt.dll O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:WINDOWSSystem32msdxm.ocx O3 - Toolbar: Norton AntiVirus - {42CDD1BF-3FFB-4238-8AD1-7859DF00B1D6} - C:ProgrammerNorton AntiVirusNavShExt.dll O4 - HKLM..Run: [NAV Agent] C:PROGRA~1NORTON~1 avapw32.exe O4 - HKCU..Run: [CTFMON.EXE] C:WINDOWSSystem32ctfmon.exe O4 - HKCU..Run: [MSMSGS] "C:ProgrammerMessengermsmsgs.exe" /background O8 - Extra context menu item: E&ksporter til Microsoft Excel - res://C:PROGRA~1MICROS~2Office10EXCEL.EXE/3000 O9 - Extra 'Tools' menuitem: Sun Java Console (HKLM) O9 - Extra button: Sol Dating (HKLM) O9 - Extra 'Tools' menuitem: Sol Dating... (HKLM) O9 - Extra button: Messenger (HKLM) O9 - Extra 'Tools' menuitem: Windows Messenger (HKLM) O16 - DPF: {3D2CB570-D425-11D5-ABD0-00008369C46F} (CSMenu Class) - https://netbank.danskebank.dk[...] O16 - DPF: {9F1C11AA-197B-4942-BA54-47A8489BB47F} (Update Class) - http://v4.windowsupdate.microsoft.com[...] O16 - DPF: {D8575CE3-3432-4540-88A9-85A1325D3375} (e-Safekey®) - https://netbank.danskebank.dk[...]
--
- Only the best dies young -

#7
Armageddon
Moderator
10-07-2004 02:57

Rapporter til Admin

#6 Mit svar i #5 gælder også for den nye log.
--
/Armageddon - [email protected] http://www.mdegn.dk[...]

#8
Dejavuz
Super Supporter
10-07-2004 02:59

Rapporter til Admin

Nå det var måske ikke nødvendig med genstart ... ja den må opdateres med SP1 og kritiske opdateringer I har ret. ( Blir I aldrig trætte af disse logs ) Tusind tak skal I have :-)
--
- Only the best dies young -

#9
Armageddon
Moderator
10-07-2004 03:09

Rapporter til Admin

#8 Jo det er nødvendigt med genstart så systemet bliver indlæst efter ændringerne. Samtidig kan vi så også kontrollere om ændringerne er trådt i kraft og har virket efter hensigten. En gang i mellem kan det være hårdt at slide med disse logs, men vi er heldigvis flere til det og kan fordele arbejdet lidt mellem os.
--
/Armageddon - [email protected] http://www.mdegn.dk[...]