Mulig Spyware/vira (hijackThis log)

Af Amatør Soul0 | 08-07-2004 20:22 | 1076 visninger | 10 svar, hop til seneste

Jeg har gennem de seneste par dage oplevet at der er diverse hjemmesider jeg ikke kan komme ind på. bla. www.heroes.dk[...] . Desuden bliver der på samtlige hjemmesider jeg besøger, genereret nogle links som alle fører til denne side http://www.ntsearch.com[...] . Jeg tror det skyldes noget spyware eller virus. Jeg har derfor kørt både norton antivirus og ad-aware, uden held. Hvis der er nogen derude der har tid til at kikke på min HijackThis log, og evt kan finde en løsning på mit problem, vil jeg blive meget taknemlig. På forhånd tak... Logfile of HijackThis v1.97.7 Scan saved at 20:11:35, on 08-07-2004 Platform: Windows XP (WinNT 5.01.2600) MSIE: Internet Explorer v6.00 (6.00.2600.0000) Running processes: C:WINDOWSSystem32smss.exe C:WINDOWSsystem32winlogon.exe C:WINDOWSsystem32services.exe C:WINDOWSsystem32lsass.exe C:WINDOWSsystem32svchost.exe C:WINDOWSSystem32svchost.exe C:WINDOWSExplorer.EXE C:WINDOWSSystem32PDeskPDesk.exe C:PROGRA~1NORTON~1 avapw32.exe C:WINDOWSSystem32wuamgrd.exe C:WINDOWSSystem32RUNDLL32.EXE C:sp.exe C:ProgrammerInternet Exploreriexplore.exe C:ProgrammerFælles filerMicrosoft SharedVS7DEBUGMDM.EXE C:WINDOWSSystem32mgabg.exe C:ProgrammerNorton AntiVirus avapsvc.exe C:WINDOWSSystem32 vsvc32.exe C:ProgrammermIRCmirc.exe C:ProgrammerMSN Messengermsnmsgr.exe C:ProgrammerInternet Exploreriexplore.exe C:Documents and SettingsSoul0Lokale indstillingerTempMidlertidig mappe 1 for hijackthis.zipHijackThis.exe R1 - HKCUSoftwareMicrosoftWindowsCurrentVersionInternet Settings,ProxyOverride = *hot-searches.com*;*lender-search.com* R0 - HKCUSoftwareMicrosoftInternet ExplorerToolbar,LinksFolderName = Hyperlinks O1 - Hosts file is located at: C:WINDOWS sdbhosts O1 - Hosts: 81.211.105.69 lender-search.com O1 - Hosts: 81.211.105.68 hot-searches.com O2 - BHO: NAV Helper - {BDF3E430-B101-42AD-A544-FADC6B084872} - C:ProgrammerNorton AntiVirusNavShExt.dll O3 - Toolbar: Norton AntiVirus - {42CDD1BF-3FFB-4238-8AD1-7859DF00B1D6} - C:ProgrammerNorton AntiVirusNavShExt.dll O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:WINDOWSSystem32msdxm.ocx O4 - HKLM..Run: [Matrox Powerdesk] C:WINDOWSSystem32PDeskPDesk.exe /Autolaunch O4 - HKLM..Run: [NAV Agent] C:PROGRA~1NORTON~1 avapw32.exe O4 - HKLM..Run: [Microsoft Update] wuamgrd.exe O4 - HKLM..Run: [NvCplDaemon] RUNDLL32.EXE C:WINDOWSSystem32NvCpl.dll,NvStartup O4 - HKLM..Run: [nwiz] nwiz.exe /install O4 - HKLM..Run: [NeroCheck] C:WINDOWSsystem32NeroCheck.exe O4 - HKLM..RunServices: [Andware Defence] Zsoft32.exe O4 - HKLM..RunServices: [Microsoft Update] wuamgrd.exe O4 - HKCU..Run: [Microsoft Update] wuamgrd.exe O4 - HKCU..Run: [NvMediaCenter] RUNDLL32.EXE C:WINDOWSSystem32NVMCTRAY.DLL,NvTaskbarInit O4 - HKCU..Run: [sp] C:sp.exe O8 - Extra context menu item: E&ksporter til Microsoft Excel - res://C:PROGRA~1MICROS~2OFFICE11EXCEL.EXE/3000 O9 - Extra 'Tools' menuitem: Sun Java Console (HKLM) O9 - Extra button: Opslag (HKLM) O9 - Extra button: Messenger (HKLM) O9 - Extra 'Tools' menuitem: Windows Messenger (HKLM) O16 - DPF: {10000000-1000-0000-1000-000000000000} - ms-its:mhtml:file://C:foo.mht!http://www.free32.com[...] O16 - DPF: {166B1BCA-3F9C-11CF-8075-444553540000} (Shockwave ActiveX Control) - http://active.macromedia.com[...] O16 - DPF: {74D05D43-3236-11D4-BDCD-00C04F9A3B61} (HouseCall Control) - http://a840.g.akamai.net[...] O16 - DPF: {9F1C11AA-197B-4942-BA54-47A8489BB47F} (Update Class) - http://v4.windowsupdate.microsoft.com[...] O16 - DPF: {D27CDB6E-AE6D-11CF-96B8-444553540000} (Shockwave Flash Object) - http://download.macromedia.com[...]
--

#1
Soul0
Amatør
08-07-2004 20:27

Rapporter til Admin

Efter jeg har læst mit eget indlæg, kan jeg se at problemet også er her. I min tråd bliver ordet "virus" samt "norton", "antivirus", "Windowa", "internet", "excel", "java" og "flash" alle lavet om til links der henføre til denne side http://www.ntsearch.com[...] Soul0 - Som håber på en snarlig løsning
--

#2
Armageddon
Moderator
08-07-2004 20:34

Rapporter til Admin

Hejsa, Der er et par småting som lige skal fixes. Start med at deaktivere systemgendannelse. Højreklik på "Denne Computer" på skrivebordet, vælg egenskaber og fanebladet "Systemgendannelse" og sæt flueben i "Deaktiver systemgendannelse". Klik ok og genstart. Kør en ny scanning med HJT og sæt flueben ved disse: R1 - HKCUSoftwareMicrosoftWindowsCurrentVersionInternet Settings,ProxyOverride = *hot-searches.com*;*lender-search.com* O1 - Hosts file is located at: C:WINDOWS sdbhosts O1 - Hosts: 81.211.105.69 lender-search.com O1 - Hosts: 81.211.105.68 hot-searches.com O4 - HKLM..Run: [Microsoft Update] wuamgrd.exe O4 - HKLM..RunServices: [Andware Defence] Zsoft32.exe O4 - HKLM..RunServices: [Microsoft Update] wuamgrd.exe O4 - HKCU..Run: [Microsoft Update] wuamgrd.exe O4 - HKCU..Run: [sp] C:sp.exe O16 - DPF: {10000000-1000-0000-1000-000000000000} - ms-its:mhtml:file://C:foo.mht!http://www.free32.com[...] Luk alle øvrige programvinduer så kun HJT er åben. Klik på ”Fix checked”. Luk programmet og genstart i fejlsikret tilstand (tryk F8 efter POST skærmen). Find og slet denne: C:\WINDOWS\System32\wuamgrd.exe C:\sp.exe Zsoft32.exe (må du søge efter) Genstart normalt. Kør en ny scanning med HJT og smid loggen herind til kontrol. Du skal også sørge for at få opdateret systemet med SP1 og kritiske opdateringer via Windows update.
--
/Armageddon - [email protected] http://www.mdegn.dk[...]

#3
Kim In Chul
Supporter Aspirant
08-07-2004 20:40

Rapporter til Admin

Hej du har lidt som skal fikses... Start med at deaktivere systemgendannelsen, kør en ny hijackthis og sæt flueben ud for: R1 - HKCUSoftwareMicrosoftWindowsCurrentVersionInternet Settings,ProxyOverride = *hot-searches.com*;*lender-search.com* O1 - Hosts file is located at: C:WINDOWS sdbhosts O1 - Hosts: 81.211.105.69 lender-search.com O1 - Hosts: 81.211.105.68 hot-searches.com O4 - HKLM..Run: [Microsoft Update] wuamgrd.exe O4 - HKLM..RunServices: [Andware Defence] Zsoft32.exe O4 - HKLM..RunServices: [Microsoft Update] wuamgrd.exe O4 - HKCU..Run: [Microsoft Update] wuamgrd.exe O4 - HKCU..Run: [sp] C:sp.exe O16 - DPF: {10000000-1000-0000-1000-000000000000} - ms-its:mhtml:file://C:foo.mht!http://www.free32.com[...] Luk alle programvinduer og klik på "fix checked" genstart så computeren op i fejlsikret tilstand(F8 under opstart) find så og slet: C:WINDOWS sdbhosts wuamgrd.exe (Brug søgefunktionen og slet alt det den finder) Zsoft32.exe (Brug søgefunktionen og slet alt med den finder) C:sp.exe Start så op normalt og smid en log herind til kontrol(Vigtigt) //Kim In Chul
--

#4
Mr_Mo
Maxi Nørd
08-07-2004 20:45

Rapporter til Admin

Hehe, jeg lavet også en, men opdaterede og så at Armageddon postet for 2 min. siden :)
--
Athlon 1.2GHz, Ati Radeon 9500@9700, 256MB RAM, 40GB HD, SB Live!@ Audigy 2 http://service.futuremark.com[...] http://service.futuremark.com[...]

#5
ZuNk
Supporter Aspirant
08-07-2004 20:55

Rapporter til Admin

#4 Træls hva'?! :D Synd! Han ER og BLIVER den hurtigtse :-/
--
[=-Intel NB-72 | P4 1.5 | 2*256 SDR | Radeon 9000PRO | 2*40Gb | SB audigy1 | M$3.0 | black icemat -=] <-- Min lorte spand c",)

#6
Soul0
Amatør
09-07-2004 00:12

Rapporter til Admin

#2 Jeg kan desvære ikke finde Zsoft32.exe Jeg kan heller ikke finde C:WINDOWSSystem32wuamgrd.exe, men i c:windowsprefetch ligger der en fil der hedder wuamgrd.exe-064cD96B.pf Kan det være den du mener? men mit umiddelbare problem blev løst efter jeg fixede og slettede sp.exe #3 Kan se at du lige har lidt mere med jeg skal rode ved. ordner jeg nu. btw. tak for de MEGET hurtige svar. det kunne jo være jeg skulle komme her noget oftere:) //Soul0
--

#7
Kim In Chul
Supporter Aspirant
09-07-2004 00:20

Rapporter til Admin

#6 Du skal da være velkommen til at komme noget hermere:D Men som sagt, og som du os for at vide et par gange er: Armageddon er altså den bedste herinde til de hijackthis logs, så ham skal du nok stole lidt mere på... Og for at besvare dit spørgsmål: Så alt det du søger efter med søgeordet "wuamgrd.exe" skal slettes!!! http://download.broadbandmedic.com[...] Du kan bruge dette program til at undgå at starte op i fejlsikret tilstand... men pas på, dette program sletter ALT så du skal være varsom med hvad du sletter... (det virker lidt som Dr. Delete) Du skal være velkommen til at spørge mere.. //Kim In Chul
--

#8
Soul0
Ny på siden
21-07-2004 16:39

Rapporter til Admin

Nu har jeg langt om længe fået tid til at slette det sidste. jeg mangler dog stadig at opdateret systemet med SP1 og kritiske opdateringer via Windows update. Men indtil jeg får tiden, ser min log således ud. Logfile of HijackThis v1.97.7 Scan saved at 16:36:14, on 21-07-2004 Platform: Windows XP (WinNT 5.01.2600) MSIE: Internet Explorer v6.00 (6.00.2600.0000) Running processes: C:WINDOWSSystem32smss.exe C:WINDOWSsystem32winlogon.exe C:WINDOWSsystem32services.exe C:WINDOWSsystem32lsass.exe C:WINDOWSsystem32svchost.exe C:WINDOWSSystem32svchost.exe C:ProgrammerFælles filerMicrosoft SharedVS7DEBUGMDM.EXE C:WINDOWSSystem32mgabg.exe C:ProgrammerNorton AntiVirus avapsvc.exe C:WINDOWSSystem32 vsvc32.exe C:WINDOWSExplorer.EXE C:WINDOWSSystem32PDeskPDesk.exe C:PROGRA~1NORTON~1 avapw32.exe C:ProgrammerInternet Exploreriexplore.exe C:WINDOWSSystem32RUNDLL32.EXE C:ProgrammerMicrosoft OfficeOFFICE11WINWORD.EXE C:Documents and SettingsSoul0Lokale indstillingerTempMidlertidig mappe 6 for hijackthis.zipHijackThis.exe R0 - HKCUSoftwareMicrosoftInternet ExplorerToolbar,LinksFolderName = Hyperlinks O2 - BHO: (no name) - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:ProgrammerAdobeAcrobat 5.0ReaderActiveXAcroIEHelper.ocx O2 - BHO: NAV Helper - {BDF3E430-B101-42AD-A544-FADC6B084872} - C:ProgrammerNorton AntiVirusNavShExt.dll O3 - Toolbar: Norton AntiVirus - {42CDD1BF-3FFB-4238-8AD1-7859DF00B1D6} - C:ProgrammerNorton AntiVirusNavShExt.dll O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:WINDOWSSystem32msdxm.ocx O4 - HKLM..Run: [Matrox Powerdesk] C:WINDOWSSystem32PDeskPDesk.exe /Autolaunch O4 - HKLM..Run: [NAV Agent] C:PROGRA~1NORTON~1 avapw32.exe O4 - HKLM..Run: [NvCplDaemon] RUNDLL32.EXE C:WINDOWSSystem32NvCpl.dll,NvStartup O4 - HKLM..Run: [nwiz] nwiz.exe /install O4 - HKLM..Run: [NeroCheck] C:WINDOWSsystem32NeroCheck.exe O4 - HKCU..Run: [NvMediaCenter] RUNDLL32.EXE C:WINDOWSSystem32NVMCTRAY.DLL,NvTaskbarInit O8 - Extra context menu item: E&ksporter til Microsoft Excel - res://C:PROGRA~1MICROS~2OFFICE11EXCEL.EXE/3000 O9 - Extra 'Tools' menuitem: Sun Java Console (HKLM) O9 - Extra button: Opslag (HKLM) O9 - Extra button: Messenger (HKLM) O9 - Extra 'Tools' menuitem: Windows Messenger (HKLM) O12 - Plugin for .spop: C:ProgrammerInternet ExplorerPluginsNPDocBox.dll O16 - DPF: {166B1BCA-3F9C-11CF-8075-444553540000} (Shockwave ActiveX Control) - http://active.macromedia.com[...] O16 - DPF: {74D05D43-3236-11D4-BDCD-00C04F9A3B61} (HouseCall Control) - http://a840.g.akamai.net[...] O16 - DPF: {9F1C11AA-197B-4942-BA54-47A8489BB47F} (Update Class) - http://v4.windowsupdate.microsoft.com[...] O16 - DPF: {D27CDB6E-AE6D-11CF-96B8-444553540000} (Shockwave Flash Object) - http://download.macromedia.com[...]
--

#9
Armageddon
Moderator
21-07-2004 16:44

Rapporter til Admin

Nu er loggen helt ren. Aktiver bare systemgendannelse igen. Du bør finde tid hurtigt muligt til at få systemet opdateret ellers risikerer du at få det inficeret lynhurtigt og skal igennem hele balladen igen.
--
/Armageddon - [email protected] http://www.mdegn.dk[...]

#10
Soul0
Ny på siden
21-07-2004 17:37

Rapporter til Admin

#9 Jeg sætter lige systemgendannelsen til, og så må compen jo lige hente hvad jeg skal bruge i nat:) //Soul0 - Som siger tusinde tak for hjælpen
--