Inst. hijackthis og ad-aware!
--
- There is something rotten in the State of Denmark - TDC4Ever (en x-tdc-supporter) :o)

Hent Ad-aware og Spybot S&D. Opdater referencefilerne på begge inden scanning af systemet. Fjern alt hvad de finder. Hent herefter HijackThis og scan systemet. Kopier loggen herind, så tager vi os af resten. Det er vigtigt at du først får fjernest mest muligt snavs med Ad-aware og Spybot.
--
/Armageddon - [email protected] http://www.mdegn.dk[...]

Armageddon: Hvor har du lært at læse den der log, hvilke ord kigger du efter?
--
- There is something rotten in the State of Denmark - TDC4Ever (en x-tdc-supporter) :o)

HJT Logfile of HijackThis v1.97.7 Scan saved at 20:36:22, on 17-04-2004 Platform: Windows XP SP1 (WinNT 5.01.2600) MSIE: Internet Explorer v6.00 SP1 (6.00.2800.1106) Running processes: C:WINDOWSSystem32smss.exe C:WINDOWSsystem32winlogon.exe C:WINDOWSsystem32services.exe C:WINDOWSsystem32lsass.exe C:WINDOWSsystem32svchost.exe C:WINDOWSSystem32svchost.exe C:WINDOWSsystem32spoolsv.exe C:WINDOWSExplorer.EXE C:WINDOWSSystem32RunDll32.exe C:WINDOWSSystem32atiptaxx.exe C:WINDOWSSystem32G-VGA.exe C:PROGRA~1GrisoftAVG6avgcc32.exe C:ProgrammerCyberLinkPowerVCRIIAgent.exe C:WINDOWSSystem32ctfmon.exe C:ProgrammerMSN MessengerMsnMsgr.Exe C:PROGRA~1GrisoftAVG6avgserv.exe C:WINDOWSSystem32svchost.exe C:ProgrammerInternet Exploreriexplore.exe C:Documents and SettingskemoSkrivebordHijackThis.exe R1 - HKCUSoftwareMicrosoftInternet ExplorerMain,Search Bar = http://homepage.com[...] href="mailto:00@[email protected]/search/" target="_BLANK" title="www.e-finder.cc">[email protected]/search/">www.e-finder.cc[...] (obfuscated) R1 - HKCUSoftwareMicrosoftInternet ExplorerMain,Search Page = http://homepage.com[...] href="mailto:00@[email protected]/search/" target="_BLANK" title="www.e-finder.cc">[email protected]/search/">www.e-finder.cc[...] (obfuscated) R0 - HKCUSoftwareMicrosoftInternet ExplorerMain,Start Page = http://www.qxl.dk[...] R1 - HKCUSoftwareMicrosoftInternet ExplorerMain,Default_Search_URL = http://homepage.com[...] href="mailto:00@[email protected]/search/" target="_BLANK" title="www.e-finder.cc">[email protected]/search/">www.e-finder.cc[...] (obfuscated) R1 - HKCUSoftwareMicrosoftInternet ExplorerSearch,SearchAssistant = http://homepage.com[...] href="mailto:00@[email protected]/search/" target="_BLANK" title="www.e-finder.cc">[email protected]/search/">www.e-finder.cc[...] (obfuscated) R1 - HKCUSoftwareMicrosoftInternet ExplorerSearch,CustomizeSearch = http://homepage.com[...] href="mailto:00@[email protected]/search/" target="_BLANK" title="www.e-finder.cc">[email protected]/search/">www.e-finder.cc[...] (obfuscated) R0 - HKLMSoftwareMicrosoftInternet ExplorerMain,Start Page = http://homepage.com[...] href="mailto:00@[email protected]/hp/" target="_BLANK" title="www.e-finder.cc">[email protected]/hp/">www.e-finder.cc[...] (obfuscated) R1 - HKLMSoftwareMicrosoftInternet ExplorerMain,Search Bar = http://homepage.com[...] href="mailto:00@[email protected]/search/" target="_BLANK" title="www.e-finder.cc">[email protected]/search/">www.e-finder.cc[...] (obfuscated) R1 - HKLMSoftwareMicrosoftInternet ExplorerMain,Search Page = http://homepage.com[...] href="mailto:00@[email protected]/search/" target="_BLANK" title="www.e-finder.cc">[email protected]/search/">www.e-finder.cc[...] (obfuscated) R1 - HKLMSoftwareMicrosoftInternet ExplorerMain,Default_Page_URL = http://www.microsoft.com[...] R1 - HKLMSoftwareMicrosoftInternet ExplorerMain,Default_Search_URL = http://homepage.com[...] href="mailto:00@[email protected]/search/" target="_BLANK" title="www.e-finder.cc">[email protected]/search/">www.e-finder.cc[...] (obfuscated) R0 - HKLMSoftwareMicrosoftInternet ExplorerSearch,CustomizeSearch = http://homepage.com[...] href="mailto:00@[email protected]/search/" target="_BLANK" title="www.e-finder.cc">[email protected]/search/">www.e-finder.cc[...] (obfuscated) R0 - HKLMSoftwareMicrosoftInternet ExplorerSearch,SearchAssistant = http://homepage.com[...] href="mailto:00@[email protected]/search/" target="_BLANK" title="www.e-finder.cc">[email protected]/search/">www.e-finder.cc[...] (obfuscated) R1 - HKCUSoftwareMicrosoftInternet ExplorerSearchURL,(Default) = http://homepage.com[...] href="mailto:00@[email protected]/search/" target="_BLANK" title="www.e-finder.cc">[email protected]/search/">www.e-finder.cc[...] (obfuscated) R0 - HKCUSoftwareMicrosoftInternet ExplorerToolbar,LinksFolderName = Hyperlinks R1 - HKLMSoftwareMicrosoftInternet ExplorerSearch,(Default) = http://homepage.com[...] href="mailto:00@[email protected]/search/" target="_BLANK" title="www.e-finder.cc">[email protected]/search/">www.e-finder.cc[...] (obfuscated) O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:WINDOWSSystem32msdxm.ocx O4 - HKLM..Run: [Cmaudio] RunDll32 cmicnfg.cpl,CMICtrlWnd O4 - HKLM..Run: [AtiPTA] atiptaxx.exe O4 - HKLM..Run: [VGAUtil] C:WINDOWSSystem32G-VGA.exe O4 - HKLM..Run: [AVG_CC] C:PROGRA~1GrisoftAVG6avgcc32.exe /STARTUP O4 - HKLM..Run: [Agent] C:ProgrammerCyberLinkPowerVCRIIAgent.exe O4 - HKLM..Run: [Remote_Agent] C:ProgrammerCyberLinkPowerVCRIIRemoteAgent.exe O4 - HKLM..Run: [KernelFaultCheck] %systemroot%system32dumprep 0 -k O4 - HKLM..Run: [ICONFIG.EXE] C:PROGRA~1FLLESF~1SHUTTL~1ICONFIG.EXE "SoftwareShuttle Technology80000010" O4 - HKLM..Run: [NeroCheck] C:WINDOWSsystem32NeroCheck.exe O4 - HKCU..Run: [CTFMON.EXE] C:WINDOWSSystem32ctfmon.exe O4 - HKCU..Run: [MsnMsgr] "C:ProgrammerMSN MessengerMsnMsgr.Exe" /background O4 - HKCU..Run: [Steam] "f:steamsteam.exe" -silent O8 - Extra context menu item: E&ksporter til Microsoft Excel - res://C:PROGRA~1MICROS~2OFFICE11EXCEL.EXE/3000 O9 - Extra button: Opslag (HKLM) O9 - Extra button: Messenger (HKLM) O9 - Extra 'Tools' menuitem: Messenger (HKLM) fjernede 2 linier fra HJT hvor " %65%68%74%74%70%2e%63%63 " stod i men er der andet der skal fjernes ????
--
Gæstebruger, opret dit eget login og få din egen signatur.

#3 Det er selvlært. Jeg har et godt kendskab til Windows operativsystemer og ved hvilke processer der er legitime og hvilker der er malware. Så først kigger jeg på kørende processer og kan straks spotte om der er malware i mellem. Dernæst er det registreringsdatabasen. Her kigger jeg først på nøglerne omkring startside, searchbar og andet skummelt. Herefter hvad der er sat til at starte op med Windows. Jeg har lavet en stor database med en masse filnavne i. Her er der en kort beskrivelse af filen samt om det er en systemfil, programfil eller malware (som dækker virus, orme, trojanere m.m.). Man kan nemlig godt blive snydt hvis man ikke er nok inde i det. I nogle tilfælde kan et filnavn nemlig godt dække over både en legitim systemfil og malware - forskellen er blot om den ligger i den ene eller anden mappe. Det er et spørgsmål om at kende systemerne godt og så bare arbejde med det. Er du interesseret i at hjælpe til? - det kunne være fint hvis der var en 2-3 stykker mere herinde som kunne hjælpe med disse log-filer.
--
/Armageddon - [email protected] http://www.mdegn.dk[...]

ARMAGEDON var der noget i min log fil der gav mistanke ????
--
Gæstebruger, opret dit eget login og få din egen signatur.

Kunne være sjovt nok at lære. Er rimeligt inde i Running processes. Men de der R og 0x ser noget besværlige ud!
--
- There is something rotten in the State of Denmark - TDC4Ever (en x-tdc-supporter) :o)

#6 Ja, der er lidt som skal fixes. Deaktiver systemgendannelse. Kør en ny scanning med HJT og sæt flueben ved disse: R1 - HKCUSoftwareMicrosoftInternet ExplorerMain,Search Bar = http://homepage.com[...] href="mailto:00@[email protected]/search/" target="_BLANK" title="www.e-finder.cc">[email protected]/search/">www.e-finder.cc[...] (obfuscated) R1 - HKCUSoftwareMicrosoftInternet ExplorerMain,Search Page = http://homepage.com[...] href="mailto:00@[email protected]/search/" target="_BLANK" title="www.e-finder.cc">[email protected]/search/">www.e-finder.cc[...] (obfuscated) R1 - HKCUSoftwareMicrosoftInternet ExplorerMain,Default_Search_URL = http://homepage.com[...] href="mailto:00@[email protected]/search/" target="_BLANK" title="www.e-finder.cc">[email protected]/search/">www.e-finder.cc[...] (obfuscated) R1 - HKCUSoftwareMicrosoftInternet ExplorerSearch,SearchAssistant = http://homepage.com[...] href="mailto:00@[email protected]/search/" target="_BLANK" title="www.e-finder.cc">[email protected]/search/">www.e-finder.cc[...] (obfuscated) R1 - HKCUSoftwareMicrosoftInternet ExplorerSearch,CustomizeSearch = http://homepage.com[...] href="mailto:00@[email protected]/search/" target="_BLANK" title="www.e-finder.cc">[email protected]/search/">www.e-finder.cc[...] (obfuscated) R0 - HKLMSoftwareMicrosoftInternet ExplorerMain,Start Page = http://homepage.com[...] href="mailto:00@[email protected]/hp/" target="_BLANK" title="www.e-finder.cc">[email protected]/hp/">www.e-finder.cc[...] (obfuscated) R1 - HKLMSoftwareMicrosoftInternet ExplorerMain,Search Bar = http://homepage.com[...] href="mailto:00@[email protected]/search/" target="_BLANK" title="www.e-finder.cc">[email protected]/search/">www.e-finder.cc[...] (obfuscated) R1 - HKLMSoftwareMicrosoftInternet ExplorerMain,Search Page = http://homepage.com[...] href="mailto:00@[email protected]/search/" target="_BLANK" title="www.e-finder.cc">[email protected]/search/">www.e-finder.cc[...] (obfuscated) R1 - HKLMSoftwareMicrosoftInternet ExplorerMain,Default_Page_URL = http://www.microsoft.com[...] R1 - HKLMSoftwareMicrosoftInternet ExplorerMain,Default_Search_URL = http://homepage.com[...] href="mailto:00@[email protected]/search/" target="_BLANK" title="www.e-finder.cc">[email protected]/search/">www.e-finder.cc[...] (obfuscated) R0 - HKLMSoftwareMicrosoftInternet ExplorerSearch,CustomizeSearch = http://homepage.com[...] href="mailto:00@[email protected]/search/" target="_BLANK" title="www.e-finder.cc">[email protected]/search/">www.e-finder.cc[...] (obfuscated) R0 - HKLMSoftwareMicrosoftInternet ExplorerSearch,SearchAssistant = http://homepage.com[...] href="mailto:00@[email protected]/search/" target="_BLANK" title="www.e-finder.cc">[email protected]/search/">www.e-finder.cc[...] (obfuscated) R1 - HKCUSoftwareMicrosoftInternet ExplorerSearchURL,(Default) = http://homepage.com[...] href="mailto:00@[email protected]/search/" target="_BLANK" title="www.e-finder.cc">[email protected]/search/">www.e-finder.cc[...] (obfuscated) R0 - HKCUSoftwareMicrosoftInternet ExplorerToolbar,LinksFolderName = Hyperlinks R1 - HKLMSoftwareMicrosoftInternet ExplorerSearch,(Default) = http://homepage.com[...] href="mailto:00@[email protected]/search/" target="_BLANK" title="www.e-finder.cc">[email protected]/search/">www.e-finder.cc[...] (obfuscated) Luk alle programvinduer ned så kun HJT er åbent. Klik på "Fix checked". Genstart maskinen. Scan med HJT igen og kopier loggen herind til kontrol. Hvis alt er i orden kan du aktivere systemgendannelse igen.
--
/Armageddon - [email protected] http://www.mdegn.dk[...]

Logfile of HijackThis v1.97.7 Scan saved at 21:00:10, on 17-04-2004 Platform: Windows XP SP1 (WinNT 5.01.2600) MSIE: Internet Explorer v6.00 SP1 (6.00.2800.1106) Running processes: C:WINDOWSSystem32smss.exe C:WINDOWSsystem32winlogon.exe C:WINDOWSsystem32services.exe C:WINDOWSsystem32lsass.exe C:WINDOWSsystem32svchost.exe C:WINDOWSSystem32svchost.exe C:WINDOWSsystem32spoolsv.exe C:WINDOWSExplorer.EXE C:WINDOWSSystem32RunDll32.exe C:WINDOWSSystem32atiptaxx.exe C:WINDOWSSystem32G-VGA.exe C:PROGRA~1GrisoftAVG6avgcc32.exe C:ProgrammerCyberLinkPowerVCRIIAgent.exe C:WINDOWSSystem32ctfmon.exe C:ProgrammerMSN MessengerMsnMsgr.Exe F:steamsteam.exe C:PROGRA~1GrisoftAVG6avgserv.exe C:WINDOWSSystem32svchost.exe C:Documents and SettingskemoSkrivebordHijackThis.exe R0 - HKCUSoftwareMicrosoftInternet ExplorerMain,Start Page = http://www.qxl.dk[...] O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:WINDOWSSystem32msdxm.ocx O4 - HKLM..Run: [Cmaudio] RunDll32 cmicnfg.cpl,CMICtrlWnd O4 - HKLM..Run: [AtiPTA] atiptaxx.exe O4 - HKLM..Run: [VGAUtil] C:WINDOWSSystem32G-VGA.exe O4 - HKLM..Run: [AVG_CC] C:PROGRA~1GrisoftAVG6avgcc32.exe /STARTUP O4 - HKLM..Run: [Agent] C:ProgrammerCyberLinkPowerVCRIIAgent.exe O4 - HKLM..Run: [Remote_Agent] C:ProgrammerCyberLinkPowerVCRIIRemoteAgent.exe O4 - HKLM..Run: [KernelFaultCheck] %systemroot%system32dumprep 0 -k O4 - HKLM..Run: [ICONFIG.EXE] C:PROGRA~1FLLESF~1SHUTTL~1ICONFIG.EXE "SoftwareShuttle Technology80000010" O4 - HKLM..Run: [NeroCheck] C:WINDOWSsystem32NeroCheck.exe O4 - HKCU..Run: [CTFMON.EXE] C:WINDOWSSystem32ctfmon.exe O4 - HKCU..Run: [MsnMsgr] "C:ProgrammerMSN MessengerMsnMsgr.Exe" /background O4 - HKCU..Run: [Steam] "f:steamsteam.exe" -silent O8 - Extra context menu item: E&ksporter til Microsoft Excel - res://C:PROGRA~1MICROS~2OFFICE11EXCEL.EXE/3000 O9 - Extra button: Opslag (HKLM) O9 - Extra button: Messenger (HKLM) O9 - Extra 'Tools' menuitem: Messenger (HKLM) Så tror jeg at det er slut :)
--
Gæstebruger, opret dit eget login og få din egen signatur.

Jeg har også lige haft denne i min explorer jeg måtte formatere min WinXP, Jeg hader de SV*N der skal lave sådan noget fis for man bruger al for meget tid på at fjerne problemet GRRR ;D
--
P4 2.6GHz 800FSB, ASUS P4P800 Deluxe, 2x512MB Kingston PC3000 HyperX, 120GB Western Digital, 120GB Maxtor Radeon9800Pro, Audigy 2 Platinum, 17" TFT Fujitsu, Logitech Cordless Desktop MX.

#9 Yes - loggen er fin og ren :) Du kan nu aktivere systemgendannelse igen.
--
/Armageddon - [email protected] http://www.mdegn.dk[...]

Skulle hilse fra min kammerat og sige 100000000 mange gange tak
--
Gæstebruger, opret dit eget login og få din egen signatur.