Er jeg blevet "hacket" ? 19-01-05 16:41 : bennymanden 19-01-05 17:41 : BjarneD 19-01-05 18:06 : bennymanden 19-01-05 18:07 : SonjaAS 19-01-05 18:13 : bennymanden 19-01-05 18:21 : tedd 19-01-05 18:29 : SonjaAS 19-01-05 18:33 : BjarneD 19-01-05 18:58 : tedd 19-01-05 19:09 : bennymanden 19-01-05 19:15 : BjarneD 19-01-05 19:21 : bennymanden 19-01-05 19:32 : BjarneD 19-01-05 19:33 : bennymanden 19-01-05 19:38 : BjarneD 19-01-05 19:39 : BjarneD 19-01-05 20:33 : bennymanden 19-01-05 20:52 : tedd 19-01-05 21:30 : bennymanden 19-01-05 21:33 : BjarneD 20-01-05 06:26 : bennymanden 20-01-05 15:24 : arlet 20-01-05 18:01 : BjarneD 20-01-05 19:27 : bennymanden 20-01-05 19:51 : tedd 20-01-05 20:03 : bennymanden 20-01-05 21:53 : bennymanden 20-01-05 22:04 : BjarneD 20-01-05 22:26 : bennymanden 20-01-05 22:33 : BjarneD 20-01-05 22:37 : BjarneD 21-01-05 01:50 : bennymanden 21-01-05 01:58 : tedd 21-01-05 03:04 : bennymanden 21-01-05 03:08 : bennymanden 21-01-05 05:55 : tedd 21-01-05 06:01 : tedd 21-01-05 12:17 : bennymanden 21-01-05 12:21 : bennymanden 21-01-05 12:23 : bennymanden 21-01-05 12:25 : BjarneD 21-01-05 12:30 : BjarneD 21-01-05 17:09 : arlet 21-01-05 20:36 : bennymanden 21-01-05 20:39 : bennymanden 21-01-05 23:05 : tedd 21-01-05 23:53 : _kmh. 22-01-05 00:03 : bennymanden 22-01-05 00:07 : BjarneD 22-01-05 00:11 : bennymanden 22-01-05 00:24 : BjarneD 22-01-05 04:16 : bennymanden 22-01-05 04:18 : bennymanden 22-01-05 12:56 : tedd 22-01-05 17:03 : arlet 22-01-05 21:33 : bennymanden 22-01-05 21:36 : bennymanden 22-01-05 21:43 : arlet 22-01-05 22:07 : tedd 22-01-05 22:14 : bennymanden 22-01-05 22:29 : tedd 22-01-05 22:34 : bennymanden 22-01-05 22:42 : tedd 22-01-05 23:32 : arlet 22-01-05 23:56 : bennymanden

Er jeg blevet "hacket" ? Fra : bennymanden Vist : 2086 gange 500 point Dato : 19-01-05 16:11

Hvad betyder er ikon som bliver tilføjet automatisk i diverse mapper under dokumenter? ....det er et ark med to små tandhjul og hedder > Thumbs < Databasefil på mellem 48 KB og ca. 304 KB ...... hvad er det for noget ??? Benny

Kommentar Fra : bennymanden Dato : 19-01-05 16:41

Citat Filen Thumbs er en systemfil Hvis du fjerner den, fungerer computeren eller et eller flere programmer muligvis ikke korrekt. Vil du flytte den til papirkurven? ..... hvis jeg forsøger at slette den, ser det sådan ud ??? Benny

Kommentar Fra : BjarneD Dato : 19-01-05 17:41

Hvis den hedder Thumbs.db kunne det være en registreringsfil fra IrfanView, Filen dannes når man bruger visse funktioner i programmet og kan slettes uden andre problemer end lidt langsommere dannelse af thumbnail billeder.

Kommentar Fra : bennymanden Dato : 19-01-05 18:06

Den hedder "kun" >Thumbs< så står der nedenunder at det er en Databasefil. og bagefter står der en størrelse, som ikke er ens for alle de steder den ligger. I de aktuelle mapper i >dokumenter< .... jeg har fundet ud af at den ligger i dem alle sammen, og hvis jeg sletter den efter at have læst viste dialogboks så sker der det, at hvis jeg lukker mappen og atter åbner den igen, så er >Thumbs< kommet tilbage igen. Benny

Kommentar Fra : SonjaAS Dato : 19-01-05 18:07

Det er en fil windows selv laver. Se denne side: http://www.fcs.iastate.edu/computer/tips/thumbs/default.htm Mvh Sonja

Kommentar Fra : bennymanden Dato : 19-01-05 18:13

Jeg tror ikke det er den der Sonja, og hvis det er, hvorfor dannes den så pludselig i alle mine dokumenter og med forskellig størrelse alle steder ? Den befinder sig i hver eneste mappe, jeg har nu været rundt og tjekke, og kan som sagt ikke slettes, eller i alt fald kun i få sekunder inden den gendannes, hvis jeg bevæger mig væk fra en mappe hvor jeg har slettet den så er den der straks igen hvis jeg vender tilbage til mappen ???

Kommentar Fra : tedd Dato : 19-01-05 18:21

Grunden til at du ikke kan se efternavnet db er at du har flueben i skjul filtypenavn for kendte filtyper Under Funktioner > mappeindstillinger > Vis Som der står når du prøver at slette den er det en systemfil som windows selv genererer. Den bruges til at "cache" fildata så opdateringen og visning af mappeindhold går hurtigere!

Kommentar Fra : SonjaAS Dato : 19-01-05 18:29

Den har forskellig størrelse, fordi det er forskelligt, hvor mange thumbnails den indeholder. Jeg får samme besked som dig, og også hos mig gendannes den lige så hurtigt, som den slettes. Jeg har tænkt mig at afprøve metoden, der er angivet på siden til at fjerne dem, men har desværre ikke tid lige nu, da jeg skal på skole. Men jeg prøver i morgen. Mvh Sonja

Kommentar Fra : BjarneD Dato : 19-01-05 18:33

Har du IrfanView installeret, Benny for det er rigtigt hvad Tedd skriver om filens extension. Der er skam andre ting der laver thumbs.db, men hos mig kommer den kun når jeg har kigget billeder med IrfanView.

Kommentar Fra : tedd Dato : 19-01-05 18:58

Der bliver kun lavet en thumbs.db hvis der ligger billeder i mappen, så vidt jeg ved!! Hvis du åbner en thumbs.db fil i notepad vil du osse kunne se at det eneste forståelige tekst der har noget med jpg og andre billed endelser at gøre!

Kommentar Fra : bennymanden Dato : 19-01-05 19:09

OK - det er rigtig nok som flere skriver, det er Thumbs.db ! ... min frygt kom af, at jeg synes der skete flere mærkelige ting lige på en gang: Der kommer en masse af de "popup" ting og advarsler om spyware (onlineScanning) står der og den advarer om alle mulige "huller" i mit system og åbne porte osv. .... jeg plejer at sige nej til diverse tilbud om at få udbedret diverse fejl. Disse ting var der slet ikke noget af for 3 dage siden, men hele tiden nu.... ..... i aftes gik min pc så helt i baglås, alle ikoner forsvandt fra skrivebordet og endnu værre så forsvandt proceslinien også, så jeg kunne intet gøre.... <Ctrl+Alt+Del> "luk computeren" ..... efter flere forsøg, jeg kunne heller ikke starte i Fejlsikker Tilstand > jeg endte med en skærm hvor jeg skulle Logon - men det kunne ikke lade sig gøre, den gik hele tiden tilbage til "Logonsiden" ... til sidst valgte jeg at starte med: Bootdevice>CD-Rom .... og så med winXP-Cd´en foretage en reparation, det endte med at gå godt, og jeg kan nu køre igen, men altså med alt det "popup" og mærkelige sager, det virker nogen gange som om min pc arbejder på højtryk, selvom jeg slet ikke er i gang med noget, det har den heller ikke gjort før

Kommentar Fra : BjarneD Dato : 19-01-05 19:15

Du må hellere få lavet en Hijackthis log. Du kan finde genveje og beskrivelser på www.arlet.dk

Kommentar Fra : bennymanden Dato : 19-01-05 19:21

..... det er som om der er foretaget ændringer flere steder f.eks i registreringsnøgler, er der nogen mulighed/fare for at man kan være blevet "hacket" og at der udefra kan foretages ændringer inde i mit system. Kan man f.eks. opsnappe E-mail enten på vej ind eller på vej ud ? Jeg har prøvet med flere forskellige VirusScannere og Spywarebekæmpere ( AGV og Adaware 6.0 og Spyboot - Search and destroy ) ...den sidste fortager ændringer i nogle af de der filer i registreringsdatabasen. der er også et par stykker af de der "dialere" og hvad de ellers hedder som ikke bliver slettet, men meldt som "mulige fejl" - jeg ved ikke med alt det der, men er der nogen der har nogle erfaringer, og måske kan sige lidt om HVAD der KAN ske, og hvad der sandsynligvis ER sket ??? hilsen Benny

Kommentar Fra : BjarneD Dato : 19-01-05 19:32

Du behøver bestemt ikke at være hacket for, at opleve det der. Du har sandsynligvis selv hentet skidtet, selvfølgelig uden, at vide det.

Kommentar Fra : bennymanden Dato : 19-01-05 19:33

tak tedd - det er helt rigtigt med den der Thumbs.db, og jeg har da også en hel del billeder i næsten alle mapperne i dokumenter, men hvad er dit syn på alt det andet jeg oplever? Jeg har ikke IrfanView installeret, bruger vist mest windows egen. Hvorfor skal man altid lave en Hijackthis nu til dags ? Hvad gør man med den, og hvorfor skal der laves ændringer og slettes osv. Udleverer man ikke sig selv og sin PC med sådan en Hijackthis Log ??? ..... ja, ja grin bare af mig, men når jeg nu ikke ved hvad det er for noget, så må man vel spørge ??? Jeg tænkte ellers på; kunne det måske være en ide at lave en gendannelse fra en uge siden, dengang var problemerne ikke kommet endnu?

Kommentar Fra : BjarneD Dato : 19-01-05 19:38

Jeg bruger sjældent Hijackthis når jeg selv renser en maskine, men det er fordi jeg kan finde de samme oplysninger uden, men når man skal guide online er det en fin måde, at forenkle rensningen fordi det giver et godt overblik over de ting der er aktive på maskinen. Du udleverer kun at du har besøgt sex sider hvis du har dialere, men alle der har en smule forstand på det ved, at de sider behøver du ikke selv at have valgt. Det er sikkert thumbnails i XP der genererer thumb.

Kommentar Fra : BjarneD Dato : 19-01-05 19:39

P.S.! Jeg har kun dårlige erfaringer med systemgendannelse i forbindelse med "snavs".

Kommentar Fra : bennymanden Dato : 19-01-05 20:33

Det giver sig selv, jeg har fjernet Spybot Spyware Removal i dag, og når jeg går ind i Systemgendannelse er den eneste dato jeg får mulighed på gendannelse er i dag 19/1 ..... jeg kan ikke flytte til tidligere mdr. eller noget. Benny

Kommentar Fra : tedd Dato : 19-01-05 20:52

Kunne godt lyde som om du har en bagdør trojan! spy og addware vil som regel osse blive afsløret af en hijack log! Osse orme og virus som regel. Derfor er det en god ide at sende en hijackthis logfil ind!

Kommentar Fra : bennymanden Dato : 19-01-05 21:30

..... ? OK tedd... jamen skal jeg lave en og sende ind her, er der nogen som på en forståelig måde kan fortælle mig om de ændringer jeg skal lave, og ikke mindst hvordan jeg gør det ? Eller er der andre løsninger ? Benny Jeg synes da også at det er mærkeligt der ikke er nogen tilgængelige gendannelsespunkter, jeg har da med held gendannet flere gange og da set, at der var masser af datoer hvorfra man kunne gendanne, nu er der kun i dag tilgængelig.

Kommentar Fra : BjarneD Dato : 19-01-05 21:33

Vi kan måske lokke Arlet til ved hjælp af en mail til ham.

Kommentar Fra : bennymanden Dato : 20-01-05 06:26

Jamen her er den så: Citat Logfile of HijackThis v1.99.0 Scan saved at 06:09:34, on 20-01-2005 Platform: Windows XP (WinNT 5.01.2600) MSIE: Internet Explorer v6.00 (6.00.2600.0000) Running processes: C:\WINDOWS\System32\smss.exe C:\WINDOWS\system32\csrss.exe C:\WINDOWS\system32\winlogon.exe C:\WINDOWS\system32\services.exe C:\WINDOWS\system32\lsass.exe C:\WINDOWS\system32\svchost.exe C:\WINDOWS\System32\svchost.exe C:\Programmer\Sygate\SPF\smc.exe C:\WINDOWS\Explorer.EXE C:\WINDOWS\System32\svchost.exe C:\WINDOWS\System32\svchost.exe C:\WINDOWS\system32\LEXBCES.EXE C:\WINDOWS\system32\spoolsv.exe C:\WINDOWS\system32\LEXPPS.EXE C:\WINDOWS\System32\alg.exe C:\PROGRA~1\Grisoft\AVGFRE~1\avgamsvr.exe C:\PROGRA~1\Grisoft\AVGFRE~1\avgupsvc.exe C:\WINDOWS\System32\DRIVERS\CDANTSRV.EXE C:\WINDOWS\System32\LXSUPMON.EXE C:\WINDOWS\System32\svchost.exe C:\Programmer\Java\j2re1.4.2_06\bin\jusched.exe C:\Programmer\QuickTime\qttask.exe C:\Programmer\iTunes\iTunesHelper.exe C:\PROGRA~1\Grisoft\AVGFRE~1\avgcc.exe C:\PROGRA~1\Grisoft\AVGFRE~1\avgemc.exe C:\Programmer\MSN Apps\Updater\01.02.3000.1001\da\msnappau.exe C:\Programmer\Lexmark X1100 Series\lxbkbmgr.exe C:\Programmer\MSN Messenger\msnmsgr.exe C:\Programmer\Skype\Phone\Skype.exe C:\Programmer\Fælles filer\Microsoft Shared\Works Shared\wkcalrem.exe C:\Programmer\Lexmark X1100 Series\lxbkbmon.exe C:\Programmer\Medionkeyboard\1.3\KbdAp32A.exe C:\Programmer\iPod\bin\iPodService.exe C:\Programmer\Messenger\msmsgs.exe C:\Documents and Settings\Torben Benny Olsen\Dokumenter\hjt.exe R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Bar = res://C:\WINDOWS\System32\mcicdb.dll/sp.html (obfuscated) R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = res://C:\WINDOWS\System32\mcicdb.dll/sp.html (obfuscated) R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Bar = res://C:\WINDOWS\System32\mcicdb.dll/sp.html (obfuscated) R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = res://C:\WINDOWS\System32\mcicdb.dll/sp.html (obfuscated) R1 - HKCU\Software\Microsoft\Internet Explorer\Search,SearchAssistant = res://C:\WINDOWS\System32\mcicdb.dll/sp.html (obfuscated) R0 - HKLM\Software\Microsoft\Internet Explorer\Search,SearchAssistant = res://C:\WINDOWS\System32\mcicdb.dll/sp.html (obfuscated) R1 - HKCU\Software\Microsoft\Internet Explorer\Main,HomeOldSP = about:blank R1 - HKLM\Software\Microsoft\Internet Explorer\Main,HomeOldSP = about:blank R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Hyperlinks O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Programmer\Adobe\Acrobat 6.0\Reader\ActiveX\AcroIEHelper.dll O2 - BHO: ST - {9394EDE7-C8B5-483E-8773-474BF36AF6E4} - C:\Programmer\MSN Apps\ST\01.02.3000.1001\en-xu\stmain.dll O2 - BHO: (no name) - {98D0A7C1-565D-449F-8660-85122DC7DAD1} - C:\WINDOWS\System32\mcicdb.dll O2 - BHO: MSNToolBandBHO - {BDBD1DAD-C946-4A17-ADC1-64B5B4FF55D0} - C:\Programmer\MSN Apps\MSN Toolbar\01.02.3000.1001\da\msntb.dll O3 - Toolbar: MSN - {BDAD1DAD-C946-4A17-ADC1-64B5B4FF55D0} - C:\Programmer\MSN Apps\MSN Toolbar\01.02.3000.1001\da\msntb.dll O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINDOWS\System32\msdxm.ocx O4 - HKLM\..\Run: [PrinTray] C:\WINDOWS\System32\spool\DRIVERS\W32X86\2\printray.exe O4 - HKLM\..\Run: [LXSUPMON] C:\WINDOWS\System32\LXSUPMON.EXE RUN O4 - HKLM\..\Run: [SmcService] C:\PROGRA~1\Sygate\SPF\smc.exe -startgui O4 - HKLM\..\Run: [SunJavaUpdateSched] C:\Programmer\Java\j2re1.4.2_06\bin\jusched.exe O4 - HKLM\..\Run: [QuickTime Task] "C:\Programmer\QuickTime\qttask.exe" -atboottime O4 - HKLM\..\Run: [iTunesHelper] C:\Programmer\iTunes\iTunesHelper.exe O4 - HKLM\..\Run: [FLMK08KB] C:\Programmer\Medionkeyboard\1.3\MMKEYBD.EXE O4 - HKLM\..\Run: [AVG7_CC] C:\PROGRA~1\Grisoft\AVGFRE~1\avgcc.exe /STARTUP O4 - HKLM\..\Run: [AVG7_EMC] C:\PROGRA~1\Grisoft\AVGFRE~1\avgemc.exe O4 - HKLM\..\Run: [msnappau] "C:\Programmer\MSN Apps\Updater\01.02.3000.1001\da\msnappau.exe" O4 - HKLM\..\Run: [Lexmark X1100 Series] "C:\Programmer\Lexmark X1100 Series\lxbkbmgr.exe" O4 - HKCU\..\Run: [msnmsgr] "C:\Programmer\MSN Messenger\msnmsgr.exe" /background O4 - HKCU\..\Run: [Skype] "C:\Programmer\Skype\Phone\Skype.exe" /nosplash /minimized O4 - Global Startup: Microsoft Works Calendar Reminders.lnk = ? O8 - Extra context menu item: &Add animation to IncrediMail Style Box - C:\PROGRA~1\INCRED~1\bin\resources\WebMenuImg.htm O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programmer\Java\j2re1.4.2_06\bin\npjpi142_06.dll O9 - Extra 'Tools' menuitem: Sun Java Console - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programmer\Java\j2re1.4.2_06\bin\npjpi142_06.dll O9 - Extra button: Related - {c95fe080-8f5d-11d2-a20b-00aa003c157a} - C:\WINDOWS\web\related.htm O9 - Extra 'Tools' menuitem: Show &Related Links - {c95fe080-8f5d-11d2-a20b-00aa003c157a} - C:\WINDOWS\web\related.htm O16 - DPF: {0246ECA8-996F-11D1-BE2F-00A0C9037DFE} (TDServer Control) - http://www.atnbangla.tv/tdserver.cab O16 - DPF: {03F998B2-0E00-11D3-A498-00104B6EB52E} (MetaStreamCtl Class) - https://components.viewpoint.com/adobe/MTSInstallers/MetaStream3.cab?url=http://www.projectgrant.com/Christopher/3dgalleries/ThumbnailFrame.html O16 - DPF: {11212111-2121-1311-1141-115611111222} - ms-its:mhtml:file://d: oo.mht!http://69.50.166.212/counter/new/x.chm::/update.exe O16 - DPF: {11818680-FCF6-11D0-9808-0800092A4865} (Adobe Form Control) - http://www.kps.dk/Codebase/FormCtl.cab O16 - DPF: {1469FF24-47F6-11D2-8805-006008C537E3} (Adobe Mail Control) - http://www.kps.dk/codebase/ffmail.cab O16 - DPF: {224F7DEA-B7C1-11D3-AB40-00902712A5C9} (PLSAddin Class) - http://www.kps.dk/codebase/plsspeller.cab O16 - DPF: {2E28242B-A689-11D4-80F2-0040266CBB8D} (KX-HCM10 Control) - http://80.199.4.57:81/kxhcm10.ocx O16 - DPF: {6414512B-B978-451D-A0D8-FCFDF33E833C} (WUWebControl Class) - http://v5.windowsupdate.microsoft.com/v5consumer/V5Controls/en/x86/client/wuweb_site.cab?1100861028217 O16 - DPF: {917623D1-D8E5-11D2-BE8B-00104B06BDE3} (CamImage Class) - http://211.79.170.21/plugin/1/AxisCamControl.cab O16 - DPF: {92EB6641-286A-11D2-A68E-00A0C996A6DD} (Adobe Signature Object) - http://www.kps.dk/codebase/jfsignature.cab O16 - DPF: {933EC14C-7B6A-4F8B-8770-820167956CC3} (ShapeShifter.Mask) - http://www.rovion.com/Controls/shapeshifter.cab O16 - DPF: {CDDCFBB3-4D93-11D2-B1A9-00A0C9B742BE} (Adobe Script Object) - http://www.kps.dk/codebase/scriptobject.cab O16 - DPF: {D8575CE3-3432-4540-88A9-85A1325D3375} (e-Safekey) - https://netbank.danskebank.dk/html/activex/e-Safekey/DB/e-Safekey.cab O16 - DPF: {EF2FB80F-0975-408E-A871-B00CC863478A} (Adobe Soft Font Installer) - http://www.kps.dk/codebase/fontinstaller.cab O16 - DPF: {F00F4763-7355-4725-82F7-0DA94A256D46} (IncrediMail) - http://www2.incredimail.com/contents/setup/downloader_sp1/imloader.cab O17 - HKLM\System\CCS\Services\Tcpip\..\{528E7A14-2E9B-4416-96FC-CA905B0F45AE}: NameServer = 69.50.188.180,195.225.176.31 O17 - HKLM\System\CCS\Services\Tcpip\..\{92177A98-0353-4519-949E-63518AEEA8A5}: NameServer = 69.50.188.180,195.225.176.31 O18 - Filter: text/html - {001C9B21-2EAE-4883-A6A4-515C3D4CD2F5} - C:\WINDOWS\System32\mcicdb.dll O18 - Filter: text/plain - {001C9B21-2EAE-4883-A6A4-515C3D4CD2F5} - C:\WINDOWS\System32\mcicdb.dll O23 - Service: AVG7 Alert Manager Server - GRISOFT, s.r.o. - C:\PROGRA~1\Grisoft\AVGFRE~1\avgamsvr.exe O23 - Service: AVG7 Update Service - GRISOFT, s.r.o. - C:\PROGRA~1\Grisoft\AVGFRE~1\avgupsvc.exe O23 - Service: C-DillaSrv - C-Dilla Ltd - C:\WINDOWS\System32\DRIVERS\CDANTSRV.EXE O23 - Service: iPod Service - Apple Computer, Inc. - C:\Programmer\iPod\bin\iPodService.exe O23 - Service: LexBce Server - Lexmark International, Inc. - C:\WINDOWS\system32\LEXBCES.EXE O23 - Service: Sygate Personal Firewall - Sygate Technologies, Inc. - C:\Programmer\Sygate\SPF\smc.exe så venter jeg spændt på om nogen kan få noget ud af den ? .... og måske komme med et godt råd eller to mvh Benny

Kommentar Fra : arlet Dato : 20-01-05 15:24

Tak for mailen, bjarneD*S* bennymanden -> Hent og kør CWSHredder herfra: http://www.arlet.dk/special.htm genstart og ny hijackthis log

Kommentar Fra : BjarneD Dato : 20-01-05 18:01

Benny nu er det bare med at have is i maven og gøre hvad Arlet foreslår.

Kommentar Fra : bennymanden Dato : 20-01-05 19:27

Hej arlet & Bjarne ! Nu har jeg gjort som du skriver arlet, endda 2 gange - CWSHredder finder ikke noget CoolWebSearch, den foretager nogle ændringer i InternetExplorer ellers ikke noget. Jeg har også kørt AdAware Se et par gange, den finder til gengæld noget hver gang, sidste gang her fandt den 2 Registry Keys og 9 Registry Values og 4 Filer som var inficeret, ved nøgler og værdier står der, at de er CoolWebSearch ( Malware ) - jeg sletter alle inficerede hver gang. Jeg kørte også lige AVG med scanning af alle filer, den fandt en Trojan downloader Agent Small - den blev slettet af AVG. Her er så den nye hijackthis log: Citat Logfile of HijackThis v1.99.0 Scan saved at 19:07:32, on 20-01-2005 Platform: Windows XP (WinNT 5.01.2600) MSIE: Internet Explorer v6.00 (6.00.2600.0000) Running processes: C:\WINDOWS\System32\smss.exe C:\WINDOWS\system32\csrss.exe C:\WINDOWS\system32\winlogon.exe C:\WINDOWS\system32\services.exe C:\WINDOWS\system32\lsass.exe C:\WINDOWS\system32\svchost.exe C:\WINDOWS\System32\svchost.exe C:\Programmer\Sygate\SPF\smc.exe C:\WINDOWS\System32\svchost.exe C:\WINDOWS\System32\svchost.exe C:\WINDOWS\system32\LEXBCES.EXE C:\WINDOWS\system32\spoolsv.exe C:\WINDOWS\system32\LEXPPS.EXE C:\WINDOWS\Explorer.EXE C:\WINDOWS\System32\alg.exe C:\PROGRA~1\Grisoft\AVGFRE~1\avgamsvr.exe C:\PROGRA~1\Grisoft\AVGFRE~1\avgupsvc.exe C:\WINDOWS\System32\DRIVERS\CDANTSRV.EXE C:\WINDOWS\System32\svchost.exe C:\WINDOWS\System32\LXSUPMON.EXE C:\Programmer\Java\j2re1.4.2_06\bin\jusched.exe C:\Programmer\QuickTime\qttask.exe C:\Programmer\iTunes\iTunesHelper.exe C:\PROGRA~1\Grisoft\AVGFRE~1\avgcc.exe C:\PROGRA~1\Grisoft\AVGFRE~1\avgemc.exe C:\Programmer\MSN Apps\Updater\01.02.3000.1001\da\msnappau.exe C:\Programmer\Lexmark X1100 Series\lxbkbmgr.exe C:\Programmer\MSN Messenger\msnmsgr.exe C:\Programmer\Skype\Phone\Skype.exe C:\Programmer\Fælles filer\Microsoft Shared\Works Shared\wkcalrem.exe C:\Programmer\Medionkeyboard\1.3\KbdAp32A.exe C:\Programmer\Lexmark X1100 Series\lxbkbmon.exe C:\Programmer\iPod\bin\iPodService.exe C:\Documents and Settings\Torben Benny Olsen\Dokumenter\hjt.exe R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Bar = res://C:\WINDOWS\System32\mcicdb.dll/sp.html (obfuscated) R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = res://C:\WINDOWS\System32\mcicdb.dll/sp.html (obfuscated) R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Bar = res://C:\WINDOWS\System32\mcicdb.dll/sp.html (obfuscated) R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = res://C:\WINDOWS\System32\mcicdb.dll/sp.html (obfuscated) R1 - HKCU\Software\Microsoft\Internet Explorer\Search,SearchAssistant = res://C:\WINDOWS\System32\mcicdb.dll/sp.html (obfuscated) R0 - HKLM\Software\Microsoft\Internet Explorer\Search,SearchAssistant = res://C:\WINDOWS\System32\mcicdb.dll/sp.html (obfuscated) R1 - HKCU\Software\Microsoft\Internet Explorer\Main,HomeOldSP = about:blank R1 - HKLM\Software\Microsoft\Internet Explorer\Main,HomeOldSP = about:blank R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Hyperlinks O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Programmer\Adobe\Acrobat 6.0\Reader\ActiveX\AcroIEHelper.dll O2 - BHO: ST - {9394EDE7-C8B5-483E-8773-474BF36AF6E4} - C:\Programmer\MSN Apps\ST\01.02.3000.1002\en-xu\stmain.dll O2 - BHO: (no name) - {98D0A7C1-565D-449F-8660-85122DC7DAD1} - C:\WINDOWS\System32\mcicdb.dll O2 - BHO: MSNToolBandBHO - {BDBD1DAD-C946-4A17-ADC1-64B5B4FF55D0} - C:\Programmer\MSN Apps\MSN Toolbar\01.02.3000.1001\da\msntb.dll O3 - Toolbar: MSN - {BDAD1DAD-C946-4A17-ADC1-64B5B4FF55D0} - C:\Programmer\MSN Apps\MSN Toolbar\01.02.3000.1001\da\msntb.dll O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINDOWS\System32\msdxm.ocx O4 - HKLM\..\Run: [PrinTray] C:\WINDOWS\System32\spool\DRIVERS\W32X86\2\printray.exe O4 - HKLM\..\Run: [LXSUPMON] C:\WINDOWS\System32\LXSUPMON.EXE RUN O4 - HKLM\..\Run: [SmcService] C:\PROGRA~1\Sygate\SPF\smc.exe -startgui O4 - HKLM\..\Run: [SunJavaUpdateSched] C:\Programmer\Java\j2re1.4.2_06\bin\jusched.exe O4 - HKLM\..\Run: [QuickTime Task] "C:\Programmer\QuickTime\qttask.exe" -atboottime O4 - HKLM\..\Run: [iTunesHelper] C:\Programmer\iTunes\iTunesHelper.exe O4 - HKLM\..\Run: [FLMK08KB] C:\Programmer\Medionkeyboard\1.3\MMKEYBD.EXE O4 - HKLM\..\Run: [AVG7_CC] C:\PROGRA~1\Grisoft\AVGFRE~1\avgcc.exe /STARTUP O4 - HKLM\..\Run: [AVG7_EMC] C:\PROGRA~1\Grisoft\AVGFRE~1\avgemc.exe O4 - HKLM\..\Run: [msnappau] "C:\Programmer\MSN Apps\Updater\01.02.3000.1001\da\msnappau.exe" O4 - HKLM\..\Run: [Lexmark X1100 Series] "C:\Programmer\Lexmark X1100 Series\lxbkbmgr.exe" O4 - HKCU\..\Run: [msnmsgr] "C:\Programmer\MSN Messenger\msnmsgr.exe" /background O4 - HKCU\..\Run: [Skype] "C:\Programmer\Skype\Phone\Skype.exe" /nosplash /minimized O4 - Global Startup: Microsoft Works Calendar Reminders.lnk = ? O8 - Extra context menu item: &Add animation to IncrediMail Style Box - C:\PROGRA~1\INCRED~1\bin\resources\WebMenuImg.htm O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programmer\Java\j2re1.4.2_06\bin\npjpi142_06.dll O9 - Extra 'Tools' menuitem: Sun Java Console - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programmer\Java\j2re1.4.2_06\bin\npjpi142_06.dll O9 - Extra button: Related - {c95fe080-8f5d-11d2-a20b-00aa003c157a} - C:\WINDOWS\web\related.htm O9 - Extra 'Tools' menuitem: Show &Related Links - {c95fe080-8f5d-11d2-a20b-00aa003c157a} - C:\WINDOWS\web\related.htm O16 - DPF: {0246ECA8-996F-11D1-BE2F-00A0C9037DFE} (TDServer Control) - http://www.atnbangla.tv/tdserver.cab O16 - DPF: {03F998B2-0E00-11D3-A498-00104B6EB52E} (MetaStreamCtl Class) - https://components.viewpoint.com/adobe/MTSInstallers/MetaStream3.cab?url=http://www.projectgrant.com/Christopher/3dgalleries/ThumbnailFrame.html O16 - DPF: {11212111-2121-1311-1141-115611111222} - ms-its:mhtml:file://d: oo.mht!http://69.50.166.212/counter/new/x.chm::/update.exe O16 - DPF: {11818680-FCF6-11D0-9808-0800092A4865} (Adobe Form Control) - http://www.kps.dk/Codebase/FormCtl.cab O16 - DPF: {1469FF24-47F6-11D2-8805-006008C537E3} (Adobe Mail Control) - http://www.kps.dk/codebase/ffmail.cab O16 - DPF: {224F7DEA-B7C1-11D3-AB40-00902712A5C9} (PLSAddin Class) - http://www.kps.dk/codebase/plsspeller.cab O16 - DPF: {2E28242B-A689-11D4-80F2-0040266CBB8D} (KX-HCM10 Control) - http://80.199.4.57:81/kxhcm10.ocx O16 - DPF: {6414512B-B978-451D-A0D8-FCFDF33E833C} (WUWebControl Class) - http://v5.windowsupdate.microsoft.com/v5consumer/V5Controls/en/x86/client/wuweb_site.cab?1100861028217 O16 - DPF: {917623D1-D8E5-11D2-BE8B-00104B06BDE3} (CamImage Class) - http://211.79.170.21/plugin/1/AxisCamControl.cab O16 - DPF: {92EB6641-286A-11D2-A68E-00A0C996A6DD} (Adobe Signature Object) - http://www.kps.dk/codebase/jfsignature.cab O16 - DPF: {933EC14C-7B6A-4F8B-8770-820167956CC3} (ShapeShifter.Mask) - http://www.rovion.com/Controls/shapeshifter.cab O16 - DPF: {CDDCFBB3-4D93-11D2-B1A9-00A0C9B742BE} (Adobe Script Object) - http://www.kps.dk/codebase/scriptobject.cab O16 - DPF: {D8575CE3-3432-4540-88A9-85A1325D3375} (e-Safekey) - https://netbank.danskebank.dk/html/activex/e-Safekey/DB/e-Safekey.cab O16 - DPF: {EF2FB80F-0975-408E-A871-B00CC863478A} (Adobe Soft Font Installer) - http://www.kps.dk/codebase/fontinstaller.cab O16 - DPF: {F00F4763-7355-4725-82F7-0DA94A256D46} (IncrediMail) - http://www2.incredimail.com/contents/setup/downloader_sp1/imloader.cab O17 - HKLM\System\CCS\Services\Tcpip\..\{528E7A14-2E9B-4416-96FC-CA905B0F45AE}: NameServer = 69.50.188.180,195.225.176.31 O17 - HKLM\System\CCS\Services\Tcpip\..\{92177A98-0353-4519-949E-63518AEEA8A5}: NameServer = 69.50.188.180,195.225.176.31 O18 - Filter: text/html - {10DBEEB7-2C23-4D0F-BACD-2C02E87B5E7A} - C:\WINDOWS\System32\mcicdb.dll O18 - Filter: text/plain - {10DBEEB7-2C23-4D0F-BACD-2C02E87B5E7A} - C:\WINDOWS\System32\mcicdb.dll O23 - Service: AVG7 Alert Manager Server - GRISOFT, s.r.o. - C:\PROGRA~1\Grisoft\AVGFRE~1\avgamsvr.exe O23 - Service: AVG7 Update Service - GRISOFT, s.r.o. - C:\PROGRA~1\Grisoft\AVGFRE~1\avgupsvc.exe O23 - Service: C-DillaSrv - C-Dilla Ltd - C:\WINDOWS\System32\DRIVERS\CDANTSRV.EXE O23 - Service: iPod Service - Apple Computer, Inc. - C:\Programmer\iPod\bin\iPodService.exe O23 - Service: LexBce Server - Lexmark International, Inc. - C:\WINDOWS\system32\LEXBCES.EXE O23 - Service: Sygate Personal Firewall - Sygate Technologies, Inc. - C:\Programmer\Sygate\SPF\smc.exe Hvad nu ? mvh Benny

Kommentar Fra : tedd Dato : 20-01-05 19:51

Fjern dem her R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Bar = res://C:\WINDOWS\System32\mcicdb.dll/sp.html (obfuscated) R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = res://C:\WINDOWS\System32\mcicdb.dll/sp.html (obfuscated) R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Bar = res://C:\WINDOWS\System32\mcicdb.dll/sp.html (obfuscated) R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = res://C:\WINDOWS\System32\mcicdb.dll/sp.html (obfuscated) R1 - HKCU\Software\Microsoft\Internet Explorer\Search,SearchAssistant = res://C:\WINDOWS\System32\mcicdb.dll/sp.html (obfuscated) R0 - HKLM\Software\Microsoft\Internet Explorer\Search,SearchAssistant = res://C:\WINDOWS\System32\mcicdb.dll/sp.html (obfuscated) R1 - HKCU\Software\Microsoft\Internet Explorer\Main,HomeOldSP = about:blank R1 - HKLM\Software\Microsoft\Internet Explorer\Main,HomeOldSP = about:blank genstart og send en ny hijackthis logfil

Kommentar Fra : bennymanden Dato : 20-01-05 20:03

Hejsa tedd ! OK, det vil jeg prøve. Hvor skal jeg fjerne dem ? er det i stifinder eller hvor ? Tak Benny

Kommentar Fra : bennymanden Dato : 20-01-05 21:53

JA- undskyld mig tedd ...... jeg er en i selve "Hijackthis" er operationen jo en let sag så her den: Citat Logfile of HijackThis v1.99.0 Scan saved at 21:34:55, on 20-01-2005 Platform: Windows XP (WinNT 5.01.2600) MSIE: Internet Explorer v6.00 (6.00.2600.0000) Running processes: C:\WINDOWS\System32\smss.exe C:\WINDOWS\system32\csrss.exe C:\WINDOWS\system32\winlogon.exe C:\WINDOWS\system32\services.exe C:\WINDOWS\system32\lsass.exe C:\WINDOWS\system32\svchost.exe C:\WINDOWS\System32\svchost.exe C:\Programmer\Sygate\SPF\smc.exe C:\WINDOWS\System32\svchost.exe C:\WINDOWS\Explorer.EXE C:\WINDOWS\System32\svchost.exe C:\WINDOWS\system32\LEXBCES.EXE C:\WINDOWS\system32\spoolsv.exe C:\WINDOWS\system32\LEXPPS.EXE C:\WINDOWS\System32\alg.exe C:\PROGRA~1\Grisoft\AVGFRE~1\avgamsvr.exe C:\WINDOWS\System32\LXSUPMON.EXE C:\PROGRA~1\Grisoft\AVGFRE~1\avgupsvc.exe C:\WINDOWS\System32\DRIVERS\CDANTSRV.EXE C:\Programmer\Java\j2re1.4.2_06\bin\jusched.exe C:\Programmer\QuickTime\qttask.exe C:\Programmer\iTunes\iTunesHelper.exe C:\WINDOWS\System32\svchost.exe C:\PROGRA~1\Grisoft\AVGFRE~1\avgcc.exe C:\PROGRA~1\Grisoft\AVGFRE~1\avgemc.exe C:\Programmer\Medionkeyboard\1.3\KbdAp32A.exe C:\Programmer\MSN Apps\Updater\01.02.3000.1001\da\msnappau.exe C:\Programmer\Lexmark X1100 Series\lxbkbmgr.exe C:\Programmer\MSN Messenger\msnmsgr.exe C:\Programmer\Skype\Phone\Skype.exe C:\Programmer\Fælles filer\Microsoft Shared\Works Shared\wkcalrem.exe C:\Programmer\Lexmark X1100 Series\lxbkbmon.exe C:\Programmer\iPod\bin\iPodService.exe C:\Documents and Settings\Torben Benny Olsen\Dokumenter\hjt.exe R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Bar = res://C:\WINDOWS\System32\mcicdb.dll/sp.html (obfuscated) R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = res://C:\WINDOWS\System32\mcicdb.dll/sp.html (obfuscated) R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Bar = res://C:\WINDOWS\System32\mcicdb.dll/sp.html (obfuscated) R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = res://C:\WINDOWS\System32\mcicdb.dll/sp.html (obfuscated) R1 - HKCU\Software\Microsoft\Internet Explorer\Search,SearchAssistant = res://C:\WINDOWS\System32\mcicdb.dll/sp.html (obfuscated) R0 - HKLM\Software\Microsoft\Internet Explorer\Search,SearchAssistant = res://C:\WINDOWS\System32\mcicdb.dll/sp.html (obfuscated) R1 - HKCU\Software\Microsoft\Internet Explorer\Main,HomeOldSP = about:blank R1 - HKLM\Software\Microsoft\Internet Explorer\Main,HomeOldSP = about:blank R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Hyperlinks O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Programmer\Adobe\Acrobat 6.0\Reader\ActiveX\AcroIEHelper.dll O2 - BHO: ST - {9394EDE7-C8B5-483E-8773-474BF36AF6E4} - C:\Programmer\MSN Apps\ST\01.02.3000.1002\en-xu\stmain.dll O2 - BHO: (no name) - {98D0A7C1-565D-449F-8660-85122DC7DAD1} - C:\WINDOWS\System32\mcicdb.dll O2 - BHO: MSNToolBandBHO - {BDBD1DAD-C946-4A17-ADC1-64B5B4FF55D0} - C:\Programmer\MSN Apps\MSN Toolbar\01.02.3000.1001\da\msntb.dll O3 - Toolbar: MSN - {BDAD1DAD-C946-4A17-ADC1-64B5B4FF55D0} - C:\Programmer\MSN Apps\MSN Toolbar\01.02.3000.1001\da\msntb.dll O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINDOWS\System32\msdxm.ocx O4 - HKLM\..\Run: [PrinTray] C:\WINDOWS\System32\spool\DRIVERS\W32X86\2\printray.exe O4 - HKLM\..\Run: [LXSUPMON] C:\WINDOWS\System32\LXSUPMON.EXE RUN O4 - HKLM\..\Run: [SmcService] C:\PROGRA~1\Sygate\SPF\smc.exe -startgui O4 - HKLM\..\Run: [SunJavaUpdateSched] C:\Programmer\Java\j2re1.4.2_06\bin\jusched.exe O4 - HKLM\..\Run: [QuickTime Task] "C:\Programmer\QuickTime\qttask.exe" -atboottime O4 - HKLM\..\Run: [iTunesHelper] C:\Programmer\iTunes\iTunesHelper.exe O4 - HKLM\..\Run: [FLMK08KB] C:\Programmer\Medionkeyboard\1.3\MMKEYBD.EXE O4 - HKLM\..\Run: [AVG7_CC] C:\PROGRA~1\Grisoft\AVGFRE~1\avgcc.exe /STARTUP O4 - HKLM\..\Run: [AVG7_EMC] C:\PROGRA~1\Grisoft\AVGFRE~1\avgemc.exe O4 - HKLM\..\Run: [msnappau] "C:\Programmer\MSN Apps\Updater\01.02.3000.1001\da\msnappau.exe" O4 - HKLM\..\Run: [Lexmark X1100 Series] "C:\Programmer\Lexmark X1100 Series\lxbkbmgr.exe" O4 - HKCU\..\Run: [msnmsgr] "C:\Programmer\MSN Messenger\msnmsgr.exe" /background O4 - HKCU\..\Run: [Skype] "C:\Programmer\Skype\Phone\Skype.exe" /nosplash /minimized O4 - Global Startup: Microsoft Works Calendar Reminders.lnk = ? O8 - Extra context menu item: &Add animation to IncrediMail Style Box - C:\PROGRA~1\INCRED~1\bin\resources\WebMenuImg.htm O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programmer\Java\j2re1.4.2_06\bin\npjpi142_06.dll O9 - Extra 'Tools' menuitem: Sun Java Console - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programmer\Java\j2re1.4.2_06\bin\npjpi142_06.dll O9 - Extra button: Related - {c95fe080-8f5d-11d2-a20b-00aa003c157a} - C:\WINDOWS\web\related.htm O9 - Extra 'Tools' menuitem: Show &Related Links - {c95fe080-8f5d-11d2-a20b-00aa003c157a} - C:\WINDOWS\web\related.htm O16 - DPF: {0246ECA8-996F-11D1-BE2F-00A0C9037DFE} (TDServer Control) - http://www.atnbangla.tv/tdserver.cab O16 - DPF: {03F998B2-0E00-11D3-A498-00104B6EB52E} (MetaStreamCtl Class) - https://components.viewpoint.com/adobe/MTSInstallers/MetaStream3.cab?url=http://www.projectgrant.com/Christopher/3dgalleries/ThumbnailFrame.html O16 - DPF: {11212111-2121-1311-1141-115611111222} - ms-its:mhtml:file://d: oo.mht!http://69.50.166.212/counter/new/x.chm::/update.exe O16 - DPF: {11818680-FCF6-11D0-9808-0800092A4865} (Adobe Form Control) - http://www.kps.dk/Codebase/FormCtl.cab O16 - DPF: {1469FF24-47F6-11D2-8805-006008C537E3} (Adobe Mail Control) - http://www.kps.dk/codebase/ffmail.cab O16 - DPF: {224F7DEA-B7C1-11D3-AB40-00902712A5C9} (PLSAddin Class) - http://www.kps.dk/codebase/plsspeller.cab O16 - DPF: {2E28242B-A689-11D4-80F2-0040266CBB8D} (KX-HCM10 Control) - http://80.199.4.57:81/kxhcm10.ocx O16 - DPF: {6414512B-B978-451D-A0D8-FCFDF33E833C} (WUWebControl Class) - http://v5.windowsupdate.microsoft.com/v5consumer/V5Controls/en/x86/client/wuweb_site.cab?1100861028217 O16 - DPF: {917623D1-D8E5-11D2-BE8B-00104B06BDE3} (CamImage Class) - http://211.79.170.21/plugin/1/AxisCamControl.cab O16 - DPF: {92EB6641-286A-11D2-A68E-00A0C996A6DD} (Adobe Signature Object) - http://www.kps.dk/codebase/jfsignature.cab O16 - DPF: {933EC14C-7B6A-4F8B-8770-820167956CC3} (ShapeShifter.Mask) - http://www.rovion.com/Controls/shapeshifter.cab O16 - DPF: {CDDCFBB3-4D93-11D2-B1A9-00A0C9B742BE} (Adobe Script Object) - http://www.kps.dk/codebase/scriptobject.cab O16 - DPF: {D8575CE3-3432-4540-88A9-85A1325D3375} (e-Safekey) - https://netbank.danskebank.dk/html/activex/e-Safekey/DB/e-Safekey.cab O16 - DPF: {EF2FB80F-0975-408E-A871-B00CC863478A} (Adobe Soft Font Installer) - http://www.kps.dk/codebase/fontinstaller.cab O16 - DPF: {F00F4763-7355-4725-82F7-0DA94A256D46} (IncrediMail) - http://www2.incredimail.com/contents/setup/downloader_sp1/imloader.cab O17 - HKLM\System\CCS\Services\Tcpip\..\{528E7A14-2E9B-4416-96FC-CA905B0F45AE}: NameServer = 69.50.188.180,195.225.176.31 O17 - HKLM\System\CCS\Services\Tcpip\..\{92177A98-0353-4519-949E-63518AEEA8A5}: NameServer = 69.50.188.180,195.225.176.31 O18 - Filter: text/html - {10DBEEB7-2C23-4D0F-BACD-2C02E87B5E7A} - C:\WINDOWS\System32\mcicdb.dll O18 - Filter: text/plain - {10DBEEB7-2C23-4D0F-BACD-2C02E87B5E7A} - C:\WINDOWS\System32\mcicdb.dll O23 - Service: AVG7 Alert Manager Server - GRISOFT, s.r.o. - C:\PROGRA~1\Grisoft\AVGFRE~1\avgamsvr.exe O23 - Service: AVG7 Update Service - GRISOFT, s.r.o. - C:\PROGRA~1\Grisoft\AVGFRE~1\avgupsvc.exe O23 - Service: C-DillaSrv - C-Dilla Ltd - C:\WINDOWS\System32\DRIVERS\CDANTSRV.EXE O23 - Service: iPod Service - Apple Computer, Inc. - C:\Programmer\iPod\bin\iPodService.exe O23 - Service: LexBce Server - Lexmark International, Inc. - C:\WINDOWS\system32\LEXBCES.EXE O23 - Service: Sygate Personal Firewall - Sygate Technologies, Inc. - C:\Programmer\Sygate\SPF\smc.exe ja, så blev den sådan ??? mvh Benny

Kommentar Fra : BjarneD Dato : 20-01-05 22:04

..og det hjalp ikke en skid fordi det er noget sværere at fjerne search bars end bare lige at fixe dem.

Kommentar Fra : bennymanden Dato : 20-01-05 22:26

Jamen Bjarne er det ikke noget man gør inde i "Regedit" (Registreringsdatabasen) hvis man skal slette det sådan "rigtigt" ??? Jeg har fulgt lidt med hist og her, men præcis hvordan man gør ved jeg ikke men er der ikke noget om det ??? Benny

Kommentar Fra : BjarneD Dato : 20-01-05 22:33

De ting Tedd bad dig slette er faktisk ting i registreringsdatabasen- HKCU = HKEY_CURRENT_USER HKLM = HKEY_LOCAL_MACHINE Det er bare en lettere måde når man skal guide online, men det er som du kan se ikke altid nok. Du har åbenbart fået fat i en søgeBar, måske Fresh Bar, men jeg er ikke sikker og derfor ville jeg have Arlet til at hjælpe, men han er jo en travl mand.

Kommentar Fra : BjarneD Dato : 20-01-05 22:37

Hvis jeg sad med maskinen vill ejeg nok starte i fejlsikker tilstand og slette: C:\WINDOWS\System32\mcicdb.dll/sp.html og de registreringsnøgler som Tedd bad dig fixe Her er for øvrigt en af flere der har noget af samme problem: http://computercops.biz/postp431108.html

Kommentar Fra : bennymanden Dato : 21-01-05 01:50

Hejsa ! Nu har jeg så gjort det hele igen. 1) CWSHredder 2) Kaspersky - e-Scanner 3) AdAware se > fjernet alt 4) Alt midlertidigt > slet cookies > slet filer > ryd oversigt 5) Systemværktøjer > diskoprydning her er så den sidste nye Hijackthis log: Citat Logfile of HijackThis v1.99.0 Scan saved at 01:31:53, on 21-01-2005 Platform: Windows XP (WinNT 5.01.2600) MSIE: Internet Explorer v6.00 (6.00.2600.0000) Running processes: C:\WINDOWS\System32\smss.exe C:\WINDOWS\system32\csrss.exe C:\WINDOWS\system32\winlogon.exe C:\WINDOWS\system32\services.exe C:\WINDOWS\system32\lsass.exe C:\WINDOWS\system32\svchost.exe C:\WINDOWS\System32\svchost.exe C:\Programmer\Sygate\SPF\smc.exe C:\WINDOWS\System32\svchost.exe C:\WINDOWS\Explorer.EXE C:\WINDOWS\System32\svchost.exe C:\WINDOWS\system32\LEXBCES.EXE C:\WINDOWS\system32\spoolsv.exe C:\WINDOWS\system32\LEXPPS.EXE C:\WINDOWS\System32\alg.exe C:\PROGRA~1\Grisoft\AVGFRE~1\avgamsvr.exe C:\PROGRA~1\Grisoft\AVGFRE~1\avgupsvc.exe C:\WINDOWS\System32\DRIVERS\CDANTSRV.EXE C:\WINDOWS\System32\svchost.exe C:\WINDOWS\System32\LXSUPMON.EXE C:\Programmer\Java\j2re1.4.2_06\bin\jusched.exe C:\Programmer\QuickTime\qttask.exe C:\Programmer\iTunes\iTunesHelper.exe C:\PROGRA~1\Grisoft\AVGFRE~1\avgcc.exe C:\PROGRA~1\Grisoft\AVGFRE~1\avgemc.exe C:\Programmer\Medionkeyboard\1.3\KbdAp32A.exe C:\Programmer\MSN Apps\Updater\01.02.3000.1001\da\msnappau.exe C:\Programmer\Lexmark X1100 Series\lxbkbmgr.exe C:\Programmer\MSN Messenger\msnmsgr.exe C:\Programmer\Skype\Phone\Skype.exe C:\Programmer\Fælles filer\Microsoft Shared\Works Shared\wkcalrem.exe C:\Programmer\Lexmark X1100 Series\lxbkbmon.exe C:\Programmer\iPod\bin\iPodService.exe C:\Documents and Settings\Torben Benny Olsen\Dokumenter\hjt.exe R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Bar = res://C:\WINDOWS\System32\mcicdb.dll/sp.html (obfuscated) R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = res://C:\WINDOWS\System32\mcicdb.dll/sp.html (obfuscated) R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Bar = res://C:\WINDOWS\System32\mcicdb.dll/sp.html (obfuscated) R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = res://C:\WINDOWS\System32\mcicdb.dll/sp.html (obfuscated) R1 - HKCU\Software\Microsoft\Internet Explorer\Search,SearchAssistant = res://C:\WINDOWS\System32\mcicdb.dll/sp.html (obfuscated) R0 - HKLM\Software\Microsoft\Internet Explorer\Search,SearchAssistant = res://C:\WINDOWS\System32\mcicdb.dll/sp.html (obfuscated) R1 - HKCU\Software\Microsoft\Internet Explorer\Main,HomeOldSP = about:blank R1 - HKLM\Software\Microsoft\Internet Explorer\Main,HomeOldSP = about:blank R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Hyperlinks O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Programmer\Adobe\Acrobat 6.0\Reader\ActiveX\AcroIEHelper.dll O2 - BHO: ST - {9394EDE7-C8B5-483E-8773-474BF36AF6E4} - C:\Programmer\MSN Apps\ST\01.02.3000.1002\en-xu\stmain.dll O2 - BHO: (no name) - {98D0A7C1-565D-449F-8660-85122DC7DAD1} - C:\WINDOWS\System32\mcicdb.dll O2 - BHO: MSNToolBandBHO - {BDBD1DAD-C946-4A17-ADC1-64B5B4FF55D0} - C:\Programmer\MSN Apps\MSN Toolbar\01.02.3000.1001\da\msntb.dll O3 - Toolbar: MSN - {BDAD1DAD-C946-4A17-ADC1-64B5B4FF55D0} - C:\Programmer\MSN Apps\MSN Toolbar\01.02.3000.1001\da\msntb.dll O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINDOWS\System32\msdxm.ocx O4 - HKLM\..\Run: [PrinTray] C:\WINDOWS\System32\spool\DRIVERS\W32X86\2\printray.exe O4 - HKLM\..\Run: [LXSUPMON] C:\WINDOWS\System32\LXSUPMON.EXE RUN O4 - HKLM\..\Run: [SmcService] C:\PROGRA~1\Sygate\SPF\smc.exe -startgui O4 - HKLM\..\Run: [SunJavaUpdateSched] C:\Programmer\Java\j2re1.4.2_06\bin\jusched.exe O4 - HKLM\..\Run: [QuickTime Task] "C:\Programmer\QuickTime\qttask.exe" -atboottime O4 - HKLM\..\Run: [iTunesHelper] C:\Programmer\iTunes\iTunesHelper.exe O4 - HKLM\..\Run: [FLMK08KB] C:\Programmer\Medionkeyboard\1.3\MMKEYBD.EXE O4 - HKLM\..\Run: [AVG7_CC] C:\PROGRA~1\Grisoft\AVGFRE~1\avgcc.exe /STARTUP O4 - HKLM\..\Run: [AVG7_EMC] C:\PROGRA~1\Grisoft\AVGFRE~1\avgemc.exe O4 - HKLM\..\Run: [msnappau] "C:\Programmer\MSN Apps\Updater\01.02.3000.1001\da\msnappau.exe" O4 - HKLM\..\Run: [Lexmark X1100 Series] "C:\Programmer\Lexmark X1100 Series\lxbkbmgr.exe" O4 - HKCU\..\Run: [msnmsgr] "C:\Programmer\MSN Messenger\msnmsgr.exe" /background O4 - HKCU\..\Run: [Skype] "C:\Programmer\Skype\Phone\Skype.exe" /nosplash /minimized O4 - Global Startup: Microsoft Works Calendar Reminders.lnk = ? O8 - Extra context menu item: &Add animation to IncrediMail Style Box - C:\PROGRA~1\INCRED~1\bin\resources\WebMenuImg.htm O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programmer\Java\j2re1.4.2_06\bin\npjpi142_06.dll O9 - Extra 'Tools' menuitem: Sun Java Console - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programmer\Java\j2re1.4.2_06\bin\npjpi142_06.dll O9 - Extra button: Related - {c95fe080-8f5d-11d2-a20b-00aa003c157a} - C:\WINDOWS\web\related.htm O9 - Extra 'Tools' menuitem: Show &Related Links - {c95fe080-8f5d-11d2-a20b-00aa003c157a} - C:\WINDOWS\web\related.htm O16 - DPF: {0246ECA8-996F-11D1-BE2F-00A0C9037DFE} (TDServer Control) - http://www.atnbangla.tv/tdserver.cab O16 - DPF: {03F998B2-0E00-11D3-A498-00104B6EB52E} (MetaStreamCtl Class) - https://components.viewpoint.com/adobe/MTSInstallers/MetaStream3.cab?url=http://www.projectgrant.com/Christopher/3dgalleries/ThumbnailFrame.html O16 - DPF: {11212111-2121-1311-1141-115611111222} - ms-its:mhtml:file://d: oo.mht!http://69.50.166.212/counter/new/x.chm::/update.exe O16 - DPF: {11818680-FCF6-11D0-9808-0800092A4865} (Adobe Form Control) - http://www.kps.dk/Codebase/FormCtl.cab O16 - DPF: {1469FF24-47F6-11D2-8805-006008C537E3} (Adobe Mail Control) - http://www.kps.dk/codebase/ffmail.cab O16 - DPF: {224F7DEA-B7C1-11D3-AB40-00902712A5C9} (PLSAddin Class) - http://www.kps.dk/codebase/plsspeller.cab O16 - DPF: {2E28242B-A689-11D4-80F2-0040266CBB8D} (KX-HCM10 Control) - http://80.199.4.57:81/kxhcm10.ocx O16 - DPF: {6414512B-B978-451D-A0D8-FCFDF33E833C} (WUWebControl Class) - http://v5.windowsupdate.microsoft.com/v5consumer/V5Controls/en/x86/client/wuweb_site.cab?1100861028217 O16 - DPF: {917623D1-D8E5-11D2-BE8B-00104B06BDE3} (CamImage Class) - http://211.79.170.21/plugin/1/AxisCamControl.cab O16 - DPF: {92EB6641-286A-11D2-A68E-00A0C996A6DD} (Adobe Signature Object) - http://www.kps.dk/codebase/jfsignature.cab O16 - DPF: {933EC14C-7B6A-4F8B-8770-820167956CC3} (ShapeShifter.Mask) - http://www.rovion.com/Controls/shapeshifter.cab O16 - DPF: {CDDCFBB3-4D93-11D2-B1A9-00A0C9B742BE} (Adobe Script Object) - http://www.kps.dk/codebase/scriptobject.cab O16 - DPF: {D8575CE3-3432-4540-88A9-85A1325D3375} (e-Safekey) - https://netbank.danskebank.dk/html/activex/e-Safekey/DB/e-Safekey.cab O16 - DPF: {EF2FB80F-0975-408E-A871-B00CC863478A} (Adobe Soft Font Installer) - http://www.kps.dk/codebase/fontinstaller.cab O16 - DPF: {F00F4763-7355-4725-82F7-0DA94A256D46} (IncrediMail) - http://www2.incredimail.com/contents/setup/downloader_sp1/imloader.cab O17 - HKLM\System\CCS\Services\Tcpip\..\{528E7A14-2E9B-4416-96FC-CA905B0F45AE}: NameServer = 69.50.188.180,195.225.176.31 O17 - HKLM\System\CCS\Services\Tcpip\..\{92177A98-0353-4519-949E-63518AEEA8A5}: NameServer = 69.50.188.180,195.225.176.31 O18 - Filter: text/html - {1A03827C-FB6D-4FF3-B349-AE313546FCBF} - C:\WINDOWS\System32\mcicdb.dll O18 - Filter: text/plain - {1A03827C-FB6D-4FF3-B349-AE313546FCBF} - C:\WINDOWS\System32\mcicdb.dll O23 - Service: AVG7 Alert Manager Server - GRISOFT, s.r.o. - C:\PROGRA~1\Grisoft\AVGFRE~1\avgamsvr.exe O23 - Service: AVG7 Update Service - GRISOFT, s.r.o. - C:\PROGRA~1\Grisoft\AVGFRE~1\avgupsvc.exe O23 - Service: C-DillaSrv - C-Dilla Ltd - C:\WINDOWS\System32\DRIVERS\CDANTSRV.EXE O23 - Service: iPod Service - Apple Computer, Inc. - C:\Programmer\iPod\bin\iPodService.exe O23 - Service: LexBce Server - Lexmark International, Inc. - C:\WINDOWS\system32\LEXBCES.EXE O23 - Service: Sygate Personal Firewall - Sygate Technologies, Inc. - C:\Programmer\Sygate\SPF\smc.exe jeg tror det har hjulpet lidt mvh Benny

Kommentar Fra : tedd Dato : 21-01-05 01:58

ja det er en variant af coolwebsearch! Vi må lige have arlet på banen igen!

Kommentar Fra : bennymanden Dato : 21-01-05 03:04

OK tedd - tak for hjælpen indtil nu ! ... det er også nogle >Registry Values< som hedder noget med coolwebsearch den hele tiden finder den der "AdAware se" - jeg sletter dem hver gang Nå vi må se i morgen hvad der sker, jeg mener nu nok det ER blevet bedre, der kommer heller ikke popup´s mere.... godnat Benny

Kommentar Fra : tedd Dato : 21-01-05 05:55

Fjern dem her R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Bar = res://C:\WINDOWS\System32\mcicdb.dll/sp.html (obfuscated) R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = res://C:\WINDOWS\System32\mcicdb.dll/sp.html (obfuscated) R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Bar = res://C:\WINDOWS\System32\mcicdb.dll/sp.html (obfuscated) R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = res://C:\WINDOWS\System32\mcicdb.dll/sp.html (obfuscated) R1 - HKCU\Software\Microsoft\Internet Explorer\Search,SearchAssistant = res://C:\WINDOWS\System32\mcicdb.dll/sp.html (obfuscated) R0 - HKLM\Software\Microsoft\Internet Explorer\Search,SearchAssistant = res://C:\WINDOWS\System32\mcicdb.dll/sp.html (obfuscated) R1 - HKCU\Software\Microsoft\Internet Explorer\Main,HomeOldSP = about:blank R1 - HKLM\Software\Microsoft\Internet Explorer\Main,HomeOldSP = about:blank O18 - Filter: text/html - {1A03827C-FB6D-4FF3-B349-AE313546FCBF} - C:\WINDOWS\System32\mcicdb.dll O18 - Filter: text/plain - {1A03827C-FB6D-4FF3-B349-AE313546FCBF} - C:\WINDOWS\System32\mcicdb.dll Tryk på Fix checked Under Other Stuff i hijackthis går du ind under Config > Misc Tools > Delete a file on reboot Der browser du frem til system32 mappen og finder mcicdb.dll og trykker på Åbn!! genstart og send en ny hijackthis logfil

Kommentar Fra : tedd Dato : 21-01-05 06:01

Glemte lige O2 - BHO: (no name) - {98D0A7C1-565D-449F-8660-85122DC7DAD1} - C:\WINDOWS\System32\mcicdb.dll Den skal osse fixes!

Kommentar Fra : bennymanden Dato : 21-01-05 12:17

Hej tedd. Her kommer så en ny log, jeg har fixet dem du skrev, men der er ikke en mappe under system32 der hedder mcicdb.dll den nærmeste hedder mcicda.dll. Der skete noget mærkeligt da jeg genstartede, der kom en forespørgsel fra firewall om et program som ville åbne forbindelse, jeg sagde nej, men alligevel kom et eller andet ind og nu kom der et nyt ikon på skrivebordet >Wave Out Scanner & Monitor< og den startede straks en scanning af systemet og fandt 1049 items ??? nå men her kommer loggen: Citat Logfile of HijackThis v1.99.0 Scan saved at 11:59:31, on 21-01-2005 Platform: Windows XP (WinNT 5.01.2600) MSIE: Internet Explorer v6.00 (6.00.2600.0000) Running processes: C:\WINDOWS\System32\smss.exe C:\WINDOWS\system32\csrss.exe C:\WINDOWS\system32\winlogon.exe C:\WINDOWS\system32\services.exe C:\WINDOWS\system32\lsass.exe C:\WINDOWS\system32\svchost.exe C:\WINDOWS\System32\svchost.exe C:\Programmer\Sygate\SPF\smc.exe C:\WINDOWS\System32\svchost.exe C:\WINDOWS\System32\svchost.exe C:\WINDOWS\Explorer.EXE C:\WINDOWS\system32\LEXBCES.EXE C:\WINDOWS\system32\spoolsv.exe C:\WINDOWS\system32\LEXPPS.EXE C:\WINDOWS\System32\alg.exe C:\PROGRA~1\Grisoft\AVGFRE~1\avgamsvr.exe C:\PROGRA~1\Grisoft\AVGFRE~1\avgupsvc.exe C:\WINDOWS\System32\DRIVERS\CDANTSRV.EXE C:\WINDOWS\System32\svchost.exe C:\WINDOWS\System32\LXSUPMON.EXE C:\Programmer\Java\j2re1.4.2_06\bin\jusched.exe C:\Programmer\QuickTime\qttask.exe C:\Programmer\iTunes\iTunesHelper.exe C:\PROGRA~1\Grisoft\AVGFRE~1\avgcc.exe C:\PROGRA~1\Grisoft\AVGFRE~1\avgemc.exe C:\Programmer\MSN Apps\Updater\01.02.3000.1001\da\msnappau.exe C:\Programmer\Lexmark X1100 Series\lxbkbmgr.exe C:\Programmer\MSN Messenger\msnmsgr.exe C:\Programmer\Skype\Phone\Skype.exe C:\Programmer\Fælles filer\Microsoft Shared\Works Shared\wkcalrem.exe C:\Programmer\Lexmark X1100 Series\lxbkbmon.exe C:\Programmer\Medionkeyboard\1.3\KbdAp32A.exe C:\Programmer\iPod\bin\iPodService.exe C:\Documents and Settings\Torben Benny Olsen\Dokumenter\hjt.exe R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Hyperlinks R3 - URLSearchHook: (no name) - {B1F34D29-9477-CF17-595D-7BC73C2D5729} - Shaitan1678.dll (file missing) O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Programmer\Adobe\Acrobat 6.0\Reader\ActiveX\AcroIEHelper.dll O2 - BHO: ST - {9394EDE7-C8B5-483E-8773-474BF36AF6E4} - C:\Programmer\MSN Apps\ST\01.02.3000.1002\en-xu\stmain.dll O2 - BHO: MSNToolBandBHO - {BDBD1DAD-C946-4A17-ADC1-64B5B4FF55D0} - C:\Programmer\MSN Apps\MSN Toolbar\01.02.3000.1001\da\msntb.dll O3 - Toolbar: MSN - {BDAD1DAD-C946-4A17-ADC1-64B5B4FF55D0} - C:\Programmer\MSN Apps\MSN Toolbar\01.02.3000.1001\da\msntb.dll O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINDOWS\System32\msdxm.ocx O4 - HKLM\..\Run: [PrinTray] C:\WINDOWS\System32\spool\DRIVERS\W32X86\2\printray.exe O4 - HKLM\..\Run: [LXSUPMON] C:\WINDOWS\System32\LXSUPMON.EXE RUN O4 - HKLM\..\Run: [SmcService] C:\PROGRA~1\Sygate\SPF\smc.exe -startgui O4 - HKLM\..\Run: [SunJavaUpdateSched] C:\Programmer\Java\j2re1.4.2_06\bin\jusched.exe O4 - HKLM\..\Run: [QuickTime Task] "C:\Programmer\QuickTime\qttask.exe" -atboottime O4 - HKLM\..\Run: [iTunesHelper] C:\Programmer\iTunes\iTunesHelper.exe O4 - HKLM\..\Run: [FLMK08KB] C:\Programmer\Medionkeyboard\1.3\MMKEYBD.EXE O4 - HKLM\..\Run: [AVG7_CC] C:\PROGRA~1\Grisoft\AVGFRE~1\avgcc.exe /STARTUP O4 - HKLM\..\Run: [AVG7_EMC] C:\PROGRA~1\Grisoft\AVGFRE~1\avgemc.exe O4 - HKLM\..\Run: [msnappau] "C:\Programmer\MSN Apps\Updater\01.02.3000.1001\da\msnappau.exe" O4 - HKLM\..\Run: [Lexmark X1100 Series] "C:\Programmer\Lexmark X1100 Series\lxbkbmgr.exe" O4 - HKLM\..\Run: [dialer423] DTOURS.exe O4 - HKLM\..\Run: [PrcIdle] SetupExeDll.exe O4 - HKCU\..\Run: [msnmsgr] "C:\Programmer\MSN Messenger\msnmsgr.exe" /background O4 - HKCU\..\Run: [Skype] "C:\Programmer\Skype\Phone\Skype.exe" /nosplash /minimized O4 - HKCU\..\Run: [WareOut] "C:\Programmer\WareOut\WareOut.exe" O4 - HKCU\..\Run: [iesetupdll] TemplateDongle.exe O4 - HKCU\..\Run: [ABCXYZ] vxdman.exe O4 - HKCU\..\Run: [Preliminary] Preliminary.exe O4 - Global Startup: Microsoft Works Calendar Reminders.lnk = ? O8 - Extra context menu item: &Add animation to IncrediMail Style Box - C:\PROGRA~1\INCRED~1\bin\resources\WebMenuImg.htm O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programmer\Java\j2re1.4.2_06\bin\npjpi142_06.dll O9 - Extra 'Tools' menuitem: Sun Java Console - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programmer\Java\j2re1.4.2_06\bin\npjpi142_06.dll O9 - Extra button: Related - {c95fe080-8f5d-11d2-a20b-00aa003c157a} - C:\WINDOWS\web\related.htm O9 - Extra 'Tools' menuitem: Show &Related Links - {c95fe080-8f5d-11d2-a20b-00aa003c157a} - C:\WINDOWS\web\related.htm O9 - Extra button: Start spyware remover - {BF69DF00-2734-477F-8257-27CD04F88779} - C:\Programmer\WareOut\WareOut.exe (HKCU) O9 - Extra 'Tools' menuitem: Start spyware remover - {BF69DF00-2734-477F-8257-27CD04F88779} - C:\Programmer\WareOut\WareOut.exe (HKCU) O15 - Trusted Zone: http://*.63.219.181.7 O16 - DPF: {0246ECA8-996F-11D1-BE2F-00A0C9037DFE} (TDServer Control) - http://www.atnbangla.tv/tdserver.cab O16 - DPF: {03F998B2-0E00-11D3-A498-00104B6EB52E} (MetaStreamCtl Class) - https://components.viewpoint.com/adobe/MTSInstallers/MetaStream3.cab?url=http://www.projectgrant.com/Christopher/3dgalleries/ThumbnailFrame.html O16 - DPF: {11212111-2121-1311-1141-115611111222} - ms-its:mhtml:file://d: oo.mht!http://69.50.166.212/counter/new/x.chm::/update.exe O16 - DPF: {11818680-FCF6-11D0-9808-0800092A4865} (Adobe Form Control) - http://www.kps.dk/Codebase/FormCtl.cab O16 - DPF: {1469FF24-47F6-11D2-8805-006008C537E3} (Adobe Mail Control) - http://www.kps.dk/codebase/ffmail.cab O16 - DPF: {224F7DEA-B7C1-11D3-AB40-00902712A5C9} (PLSAddin Class) - http://www.kps.dk/codebase/plsspeller.cab O16 - DPF: {2E28242B-A689-11D4-80F2-0040266CBB8D} (KX-HCM10 Control) - http://80.199.4.57:81/kxhcm10.ocx O16 - DPF: {6414512B-B978-451D-A0D8-FCFDF33E833C} (WUWebControl Class) - http://v5.windowsupdate.microsoft.com/v5consumer/V5Controls/en/x86/client/wuweb_site.cab?1100861028217 O16 - DPF: {917623D1-D8E5-11D2-BE8B-00104B06BDE3} (CamImage Class) - http://211.79.170.21/plugin/1/AxisCamControl.cab O16 - DPF: {92EB6641-286A-11D2-A68E-00A0C996A6DD} (Adobe Signature Object) - http://www.kps.dk/codebase/jfsignature.cab O16 - DPF: {933EC14C-7B6A-4F8B-8770-820167956CC3} (ShapeShifter.Mask) - http://www.rovion.com/Controls/shapeshifter.cab O16 - DPF: {CDDCFBB3-4D93-11D2-B1A9-00A0C9B742BE} (Adobe Script Object) - http://www.kps.dk/codebase/scriptobject.cab O16 - DPF: {D8575CE3-3432-4540-88A9-85A1325D3375} (e-Safekey) - https://netbank.danskebank.dk/html/activex/e-Safekey/DB/e-Safekey.cab O16 - DPF: {EF2FB80F-0975-408E-A871-B00CC863478A} (Adobe Soft Font Installer) - http://www.kps.dk/codebase/fontinstaller.cab O16 - DPF: {F00F4763-7355-4725-82F7-0DA94A256D46} (IncrediMail) - http://www2.incredimail.com/contents/setup/downloader_sp1/imloader.cab O17 - HKLM\System\CCS\Services\Tcpip\..\{528E7A14-2E9B-4416-96FC-CA905B0F45AE}: NameServer = 69.50.188.180,195.225.176.31 O17 - HKLM\System\CCS\Services\Tcpip\..\{92177A98-0353-4519-949E-63518AEEA8A5}: NameServer = 69.50.188.180,195.225.176.31 O23 - Service: AVG7 Alert Manager Server - GRISOFT, s.r.o. - C:\PROGRA~1\Grisoft\AVGFRE~1\avgamsvr.exe O23 - Service: AVG7 Update Service - GRISOFT, s.r.o. - C:\PROGRA~1\Grisoft\AVGFRE~1\avgupsvc.exe O23 - Service: C-DillaSrv - C-Dilla Ltd - C:\WINDOWS\System32\DRIVERS\CDANTSRV.EXE O23 - Service: iPod Service - Apple Computer, Inc. - C:\Programmer\iPod\bin\iPodService.exe O23 - Service: LexBce Server - Lexmark International, Inc. - C:\WINDOWS\system32\LEXBCES.EXE O23 - Service: Sygate Personal Firewall - Sygate Technologies, Inc. - C:\Programmer\Sygate\SPF\smc.exe mvh Benny .... jeg har ikke så meget tid lige nu, men vender tilbage sidst på eftermiddagen.

Kommentar Fra : bennymanden Dato : 21-01-05 12:21

Det er helt skørt nu, når jeg trykkede på send indlæg kom en side op med nøgne kvinder, >my private photos< eller sådan noget, men mit indlæg blev da sendt .... det der program jeg omtalte som installerede sig selv har også placeret en kost længst til højre i min øverste værktøjslinie ??? jeg vender tilbage Benny

Kommentar Fra : bennymanden Dato : 21-01-05 12:23

det hedder ikke Wave Out > men: Ware Out Scanner & Monitor Benny

Kommentar Fra : BjarneD Dato : 21-01-05 12:25

Når man har ting der gendanner sig efter de er slettet skyldes det, at der en motherfile, der genererer tingene og før den bliver fundet og slettet kan problemet ikke løses. Motherfilen genkendes sjældent som virus af almindelige AV programmer da de kun opdages i simuleret miljø. En skanning med Kaspersky skanneren som Briani har anvist burde kunne finde og fjerne den hvis det sker i fejlsikker tilstand -måske!

Kommentar Fra : BjarneD Dato : 21-01-05 12:30

Må hellere tilføje, at den slags filer typisk er en slags trojanere og derfor skal rensning ske med Internetforbindelsen afbrudt da den sandsynligvis har forbindelse ud og ind af din computer. Det du har fået ind nu kan jeg ikke finde noget om, men mon ikke dette bare er begyndelsen. Hvis Arlet ikke har tid eller ikke vil fordi der sker indblanding kan du lægge en log på www.spywarefri.dk forum.

Kommentar Fra : arlet Dato : 21-01-05 17:09

bennymanden -> Du må meget undskylde, men har simpelhen ikke haft tid til at komme til computeren før nu.. Start op i fejlsikret og fix disse: R3 - URLSearchHook: (no name) - {B1F34D29-9477-CF17-595D-7BC73C2D5729} - Shaitan1678.dll (file missing) O4 - HKLM\..\Run: [dialer423] DTOURS.exe O4 - HKLM\..\Run: [PrcIdle] SetupExeDll.exe O4 - HKCU\..\Run: [WareOut] "C:\Programmer\WareOut\WareOut.exe" O4 - HKCU\..\Run: [iesetupdll] TemplateDongle.exe O4 - HKCU\..\Run: [ABCXYZ] vxdman.exe O4 - HKCU\..\Run: [Preliminary] Preliminary.exe O9 - Extra button: Related - {c95fe080-8f5d-11d2-a20b-00aa003c157a} - C:\WINDOWS\web\related.htm O9 - Extra 'Tools' menuitem: Show &Related Links - {c95fe080-8f5d-11d2-a20b-00aa003c157a} - C:\WINDOWS\web\related.htm O9 - Extra button: Start spyware remover - {BF69DF00-2734-477F-8257-27CD04F88779} - C:\Programmer\WareOut\WareOut.exe (HKCU) O9 - Extra 'Tools' menuitem: Start spyware remover - {BF69DF00-2734-477F-8257-27CD04F88779} - C:\Programmer\WareOut\WareOut.exe (HKCU) O15 - Trusted Zone: http://*.63.219.181.7 O16 - DPF: {11212111-2121-1311-1141-115611111222} - ms-its:mhtml:file://d: oo.mht!http://69.50.166.212/counter/new/x.chm::/update.exe genstart normalt og ny log

Kommentar Fra : bennymanden Dato : 21-01-05 20:36

Helt OK arlet, jeg er også først lige kommet hjem, men nu er det så week-end. Jeg har gjort som du skrev, men jeg slettede den der "Ware Out" igen her i middags, der var en "Uninstall" med den, som jeg benyttede. tre af dem du havde skrevet: 04-HKLM\..\Run: [dialer423]DTOURS.exe [WareOut]C:\Programmer\WareOut\WareOut.exe [ABCXYZ]vxdman.exe var ikke mere til stede i den log jeg fik i "fejlsikker" ... de andre har jeg fixet: Citat Logfile of HijackThis v1.99.0 Scan saved at 20:23:20, on 21-01-2005 Platform: Windows XP (WinNT 5.01.2600) MSIE: Internet Explorer v6.00 (6.00.2600.0000) Running processes: C:\WINDOWS\System32\smss.exe C:\WINDOWS\system32\csrss.exe C:\WINDOWS\system32\winlogon.exe C:\WINDOWS\system32\services.exe C:\WINDOWS\system32\lsass.exe C:\WINDOWS\system32\svchost.exe C:\WINDOWS\System32\svchost.exe C:\Programmer\Sygate\SPF\smc.exe C:\WINDOWS\System32\svchost.exe C:\WINDOWS\System32\svchost.exe C:\WINDOWS\Explorer.EXE C:\WINDOWS\system32\LEXBCES.EXE C:\WINDOWS\system32\spoolsv.exe C:\WINDOWS\system32\LEXPPS.EXE C:\WINDOWS\System32\alg.exe C:\PROGRA~1\Grisoft\AVGFRE~1\avgamsvr.exe C:\WINDOWS\System32\LXSUPMON.EXE C:\Programmer\Java\j2re1.4.2_06\bin\jusched.exe C:\PROGRA~1\Grisoft\AVGFRE~1\avgupsvc.exe C:\Programmer\QuickTime\qttask.exe C:\Programmer\iTunes\iTunesHelper.exe C:\WINDOWS\System32\DRIVERS\CDANTSRV.EXE C:\PROGRA~1\Grisoft\AVGFRE~1\avgcc.exe C:\PROGRA~1\Grisoft\AVGFRE~1\avgemc.exe C:\Programmer\MSN Apps\Updater\01.02.3000.1001\da\msnappau.exe C:\Programmer\Lexmark X1100 Series\lxbkbmgr.exe C:\Programmer\MSN Messenger\msnmsgr.exe C:\Programmer\Skype\Phone\Skype.exe C:\WINDOWS\System32\svchost.exe C:\Programmer\Fælles filer\Microsoft Shared\Works Shared\wkcalrem.exe C:\Programmer\Lexmark X1100 Series\lxbkbmon.exe C:\Programmer\Medionkeyboard\1.3\KbdAp32A.exe C:\Programmer\iPod\bin\iPodService.exe C:\Programmer\Internet Explorer\iexplore.exe C:\Documents and Settings\Torben Benny Olsen\Dokumenter\hjt.exe R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Hyperlinks O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Programmer\Adobe\Acrobat 6.0\Reader\ActiveX\AcroIEHelper.dll O2 - BHO: ST - {9394EDE7-C8B5-483E-8773-474BF36AF6E4} - C:\Programmer\MSN Apps\ST\01.02.3000.1002\en-xu\stmain.dll O2 - BHO: MSNToolBandBHO - {BDBD1DAD-C946-4A17-ADC1-64B5B4FF55D0} - C:\Programmer\MSN Apps\MSN Toolbar\01.02.3000.1001\da\msntb.dll O3 - Toolbar: MSN - {BDAD1DAD-C946-4A17-ADC1-64B5B4FF55D0} - C:\Programmer\MSN Apps\MSN Toolbar\01.02.3000.1001\da\msntb.dll O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINDOWS\System32\msdxm.ocx O4 - HKLM\..\Run: [PrinTray] C:\WINDOWS\System32\spool\DRIVERS\W32X86\2\printray.exe O4 - HKLM\..\Run: [LXSUPMON] C:\WINDOWS\System32\LXSUPMON.EXE RUN O4 - HKLM\..\Run: [SmcService] C:\PROGRA~1\Sygate\SPF\smc.exe -startgui O4 - HKLM\..\Run: [SunJavaUpdateSched] C:\Programmer\Java\j2re1.4.2_06\bin\jusched.exe O4 - HKLM\..\Run: [QuickTime Task] "C:\Programmer\QuickTime\qttask.exe" -atboottime O4 - HKLM\..\Run: [iTunesHelper] C:\Programmer\iTunes\iTunesHelper.exe O4 - HKLM\..\Run: [FLMK08KB] C:\Programmer\Medionkeyboard\1.3\MMKEYBD.EXE O4 - HKLM\..\Run: [AVG7_CC] C:\PROGRA~1\Grisoft\AVGFRE~1\avgcc.exe /STARTUP O4 - HKLM\..\Run: [AVG7_EMC] C:\PROGRA~1\Grisoft\AVGFRE~1\avgemc.exe O4 - HKLM\..\Run: [msnappau] "C:\Programmer\MSN Apps\Updater\01.02.3000.1001\da\msnappau.exe" O4 - HKLM\..\Run: [Lexmark X1100 Series] "C:\Programmer\Lexmark X1100 Series\lxbkbmgr.exe" O4 - HKCU\..\Run: [msnmsgr] "C:\Programmer\MSN Messenger\msnmsgr.exe" /background O4 - HKCU\..\Run: [Skype] "C:\Programmer\Skype\Phone\Skype.exe" /nosplash /minimized O4 - Global Startup: Microsoft Works Calendar Reminders.lnk = ? O8 - Extra context menu item: &Add animation to IncrediMail Style Box - C:\PROGRA~1\INCRED~1\bin\resources\WebMenuImg.htm O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programmer\Java\j2re1.4.2_06\bin\npjpi142_06.dll O9 - Extra 'Tools' menuitem: Sun Java Console - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programmer\Java\j2re1.4.2_06\bin\npjpi142_06.dll O16 - DPF: {0246ECA8-996F-11D1-BE2F-00A0C9037DFE} (TDServer Control) - http://www.atnbangla.tv/tdserver.cab O16 - DPF: {03F998B2-0E00-11D3-A498-00104B6EB52E} (MetaStreamCtl Class) - https://components.viewpoint.com/adobe/MTSInstallers/MetaStream3.cab?url=http://www.projectgrant.com/Christopher/3dgalleries/ThumbnailFrame.html O16 - DPF: {11818680-FCF6-11D0-9808-0800092A4865} (Adobe Form Control) - http://www.kps.dk/Codebase/FormCtl.cab O16 - DPF: {1469FF24-47F6-11D2-8805-006008C537E3} (Adobe Mail Control) - http://www.kps.dk/codebase/ffmail.cab O16 - DPF: {224F7DEA-B7C1-11D3-AB40-00902712A5C9} (PLSAddin Class) - http://www.kps.dk/codebase/plsspeller.cab O16 - DPF: {2E28242B-A689-11D4-80F2-0040266CBB8D} (KX-HCM10 Control) - http://80.199.4.57:81/kxhcm10.ocx O16 - DPF: {6414512B-B978-451D-A0D8-FCFDF33E833C} (WUWebControl Class) - http://v5.windowsupdate.microsoft.com/v5consumer/V5Controls/en/x86/client/wuweb_site.cab?1100861028217 O16 - DPF: {917623D1-D8E5-11D2-BE8B-00104B06BDE3} (CamImage Class) - http://211.79.170.21/plugin/1/AxisCamControl.cab O16 - DPF: {92EB6641-286A-11D2-A68E-00A0C996A6DD} (Adobe Signature Object) - http://www.kps.dk/codebase/jfsignature.cab O16 - DPF: {933EC14C-7B6A-4F8B-8770-820167956CC3} (ShapeShifter.Mask) - http://www.rovion.com/Controls/shapeshifter.cab O16 - DPF: {CDDCFBB3-4D93-11D2-B1A9-00A0C9B742BE} (Adobe Script Object) - http://www.kps.dk/codebase/scriptobject.cab O16 - DPF: {D8575CE3-3432-4540-88A9-85A1325D3375} (e-Safekey) - https://netbank.danskebank.dk/html/activex/e-Safekey/DB/e-Safekey.cab O16 - DPF: {EF2FB80F-0975-408E-A871-B00CC863478A} (Adobe Soft Font Installer) - http://www.kps.dk/codebase/fontinstaller.cab O16 - DPF: {F00F4763-7355-4725-82F7-0DA94A256D46} (IncrediMail) - http://www2.incredimail.com/contents/setup/downloader_sp1/imloader.cab O17 - HKLM\System\CCS\Services\Tcpip\..\{528E7A14-2E9B-4416-96FC-CA905B0F45AE}: NameServer = 69.50.188.180,195.225.176.31 O17 - HKLM\System\CCS\Services\Tcpip\..\{92177A98-0353-4519-949E-63518AEEA8A5}: NameServer = 69.50.188.180,195.225.176.31 O23 - Service: AVG7 Alert Manager Server - GRISOFT, s.r.o. - C:\PROGRA~1\Grisoft\AVGFRE~1\avgamsvr.exe O23 - Service: AVG7 Update Service - GRISOFT, s.r.o. - C:\PROGRA~1\Grisoft\AVGFRE~1\avgupsvc.exe O23 - Service: C-DillaSrv - C-Dilla Ltd - C:\WINDOWS\System32\DRIVERS\CDANTSRV.EXE O23 - Service: iPod Service - Apple Computer, Inc. - C:\Programmer\iPod\bin\iPodService.exe O23 - Service: LexBce Server - Lexmark International, Inc. - C:\WINDOWS\system32\LEXBCES.EXE O23 - Service: Sygate Personal Firewall - Sygate Technologies, Inc. - C:\Programmer\Sygate\SPF\smc.exe nu ser den sådan ud.

Kommentar Fra : bennymanden Dato : 21-01-05 20:39

det skal lige tilføjes, at Sygate Firewall spurgte om tilladelse til at Stifinder oprettede forbindelse til WareOut under opstarten, dette sagde jeg nej til .... Benny

Kommentar Fra : tedd Dato : 21-01-05 23:05

Nu begynder det da at ligne noget

Kommentar Fra : _kmh. Dato : 21-01-05 23:53

Ok tedd, jeg har ikke forstand på at se i sådan en log, så jeg gør blot hvad i siger, dig og arlet, men et eller andet tyder på at noget er blevet bedre, dog har jeg to gange her i aften stadig været udsat for et popopattack, det er noget med online spil eller cassino og en masse afklædte damer, det mest irriterende ved dem er, at de overtager siden, så når jeg lukker dem, så er jeg også ude derfra hvor jeg ellers var kandu.dk for eksempel. Min startside blev også hele tiden ændret til about:blank - jeg satte den til google her til aften, og det er den stadig, så forbedringer ER der sket

Kommentar Fra : bennymanden Dato : 22-01-05 00:03

UPS ... tedd det var min samlevers profil, hun har været lidt ved maskinen i aften, jeg fik hende til at lave en profil i går. Jeg prøver på at få hende lidt igang med PC´en også. Nu gik jeg direkte ind fra min mailboks, og bemærkede ikke at det var hende der var logget på, det må jeg til at lære at se efter, det har jo aldrig været et problem før Benny PS: Det VAR mig som skrev under kmh.

Kommentar Fra : BjarneD Dato : 22-01-05 00:07

Måske lærer du noget, som du kan lære veninden

Kommentar Fra : bennymanden Dato : 22-01-05 00:11

Ja, det kan jeg da håbe Bjarne ....... nu skal vi bare have hende lidt igang, så må hun ha´ sin egen maskine. Jeg lader hende prøve selv, det tror jeg er det bedste, hun har ellers været modstander af computer. (måske synes hun jeg sidder her for meget ) ...... hun har selv lavet sin profil om til Superbruger her i aften fortæller hun lige, så nu slipper vi ikke for hende. Benny

Kommentar Fra : BjarneD Dato : 22-01-05 00:24

Det er det samme med biler og computere, vil du have din egen i fred må du op med pungen. Jeg fik min til at købe sin egen computer, men bilen måtte farmand betale og det rykkkede da lidt på kontoen, men konen blev glad

Kommentar Fra : bennymanden Dato : 22-01-05 04:16

Hej igen til ekspertpanelet ! ( arlet & tedd ) jeg har renset lidt ud og ryddet op i start m.m. nu ser den sådan her ud, hvad siger i til det ? Citat Logfile of HijackThis v1.99.0 Scan saved at 04:02:48, on 22-01-2005 Platform: Windows XP (WinNT 5.01.2600) MSIE: Internet Explorer v6.00 (6.00.2600.0000) Running processes: C:\WINDOWS\System32\smss.exe C:\WINDOWS\system32\csrss.exe C:\WINDOWS\system32\winlogon.exe C:\WINDOWS\system32\services.exe C:\WINDOWS\system32\lsass.exe C:\WINDOWS\system32\svchost.exe C:\WINDOWS\System32\svchost.exe C:\Programmer\Sygate\SPF\smc.exe C:\WINDOWS\System32\svchost.exe C:\WINDOWS\System32\svchost.exe C:\WINDOWS\Explorer.EXE C:\WINDOWS\system32\LEXBCES.EXE C:\WINDOWS\system32\LEXPPS.EXE C:\WINDOWS\system32\spoolsv.exe C:\WINDOWS\System32\alg.exe C:\PROGRA~1\Grisoft\AVGFRE~1\avgamsvr.exe C:\PROGRA~1\Grisoft\AVGFRE~1\avgupsvc.exe C:\PROGRA~1\Grisoft\AVGFRE~1\avgcc.exe C:\PROGRA~1\Grisoft\AVGFRE~1\avgemc.exe C:\Programmer\Lexmark X1100 Series\lxbkbmgr.exe C:\Programmer\MSN Apps\Updater\01.02.3000.1001\da\msnappau.exe C:\Programmer\MSN Messenger\msnmsgr.exe C:\WINDOWS\System32\DRIVERS\CDANTSRV.EXE C:\WINDOWS\System32\svchost.exe C:\Programmer\Medionkeyboard\1.3\KbdAp32A.exe C:\Programmer\Lexmark X1100 Series\lxbkbmon.exe C:\Documents and Settings\Torben Benny Olsen\Dokumenter\hjt.exe R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Hyperlinks O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Programmer\Adobe\Acrobat 6.0\Reader\ActiveX\AcroIEHelper.dll O2 - BHO: ST - {9394EDE7-C8B5-483E-8773-474BF36AF6E4} - C:\Programmer\MSN Apps\ST\01.02.3000.1002\en-xu\stmain.dll O2 - BHO: MSNToolBandBHO - {BDBD1DAD-C946-4A17-ADC1-64B5B4FF55D0} - C:\Programmer\MSN Apps\MSN Toolbar\01.02.3000.1001\da\msntb.dll O3 - Toolbar: MSN - {BDAD1DAD-C946-4A17-ADC1-64B5B4FF55D0} - C:\Programmer\MSN Apps\MSN Toolbar\01.02.3000.1001\da\msntb.dll O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINDOWS\System32\msdxm.ocx O4 - HKLM\..\Run: [SmcService] C:\PROGRA~1\Sygate\SPF\smc.exe -startgui O4 - HKLM\..\Run: [FLMK08KB] C:\Programmer\Medionkeyboard\1.3\MMKEYBD.EXE O4 - HKLM\..\Run: [AVG7_CC] C:\PROGRA~1\Grisoft\AVGFRE~1\avgcc.exe /STARTUP O4 - HKLM\..\Run: [AVG7_EMC] C:\PROGRA~1\Grisoft\AVGFRE~1\avgemc.exe O4 - HKLM\..\Run: [Lexmark X1100 Series] "C:\Programmer\Lexmark X1100 Series\lxbkbmgr.exe" O4 - HKLM\..\Run: [msnappau] "C:\Programmer\MSN Apps\Updater\01.02.3000.1001\da\msnappau.exe" O4 - HKCU\..\Run: [msnmsgr] "C:\Programmer\MSN Messenger\msnmsgr.exe" /background O8 - Extra context menu item: &Add animation to IncrediMail Style Box - C:\PROGRA~1\INCRED~1\bin\resources\WebMenuImg.htm O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programmer\Java\j2re1.4.2_06\bin\npjpi142_06.dll O9 - Extra 'Tools' menuitem: Sun Java Console - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programmer\Java\j2re1.4.2_06\bin\npjpi142_06.dll O15 - Trusted Zone: http://*.63.219.181.7 O16 - DPF: {0246ECA8-996F-11D1-BE2F-00A0C9037DFE} (TDServer Control) - http://www.atnbangla.tv/tdserver.cab O16 - DPF: {03F998B2-0E00-11D3-A498-00104B6EB52E} (MetaStreamCtl Class) - https://components.viewpoint.com/adobe/MTSInstallers/MetaStream3.cab?url=http://www.projectgrant.com/Christopher/3dgalleries/ThumbnailFrame.html O16 - DPF: {11818680-FCF6-11D0-9808-0800092A4865} (Adobe Form Control) - http://www.kps.dk/Codebase/FormCtl.cab O16 - DPF: {1469FF24-47F6-11D2-8805-006008C537E3} (Adobe Mail Control) - http://www.kps.dk/codebase/ffmail.cab O16 - DPF: {224F7DEA-B7C1-11D3-AB40-00902712A5C9} (PLSAddin Class) - http://www.kps.dk/codebase/plsspeller.cab O16 - DPF: {2E28242B-A689-11D4-80F2-0040266CBB8D} (KX-HCM10 Control) - http://80.199.4.57:81/kxhcm10.ocx O16 - DPF: {6414512B-B978-451D-A0D8-FCFDF33E833C} (WUWebControl Class) - http://v5.windowsupdate.microsoft.com/v5consumer/V5Controls/en/x86/client/wuweb_site.cab?1100861028217 O16 - DPF: {917623D1-D8E5-11D2-BE8B-00104B06BDE3} (CamImage Class) - http://211.79.170.21/plugin/1/AxisCamControl.cab O16 - DPF: {92EB6641-286A-11D2-A68E-00A0C996A6DD} (Adobe Signature Object) - http://www.kps.dk/codebase/jfsignature.cab O16 - DPF: {933EC14C-7B6A-4F8B-8770-820167956CC3} (ShapeShifter.Mask) - http://www.rovion.com/Controls/shapeshifter.cab O16 - DPF: {CDDCFBB3-4D93-11D2-B1A9-00A0C9B742BE} (Adobe Script Object) - http://www.kps.dk/codebase/scriptobject.cab O16 - DPF: {D8575CE3-3432-4540-88A9-85A1325D3375} (e-Safekey) - https://netbank.danskebank.dk/html/activex/e-Safekey/DB/e-Safekey.cab O16 - DPF: {EF2FB80F-0975-408E-A871-B00CC863478A} (Adobe Soft Font Installer) - http://www.kps.dk/codebase/fontinstaller.cab O16 - DPF: {F00F4763-7355-4725-82F7-0DA94A256D46} (IncrediMail) - http://www2.incredimail.com/contents/setup/downloader_sp1/imloader.cab O17 - HKLM\System\CCS\Services\Tcpip\..\{528E7A14-2E9B-4416-96FC-CA905B0F45AE}: NameServer = 69.50.188.180,195.225.176.31 O17 - HKLM\System\CCS\Services\Tcpip\..\{92177A98-0353-4519-949E-63518AEEA8A5}: NameServer = 69.50.188.180,195.225.176.31 O23 - Service: AVG7 Alert Manager Server - GRISOFT, s.r.o. - C:\PROGRA~1\Grisoft\AVGFRE~1\avgamsvr.exe O23 - Service: AVG7 Update Service - GRISOFT, s.r.o. - C:\PROGRA~1\Grisoft\AVGFRE~1\avgupsvc.exe O23 - Service: C-DillaSrv - C-Dilla Ltd - C:\WINDOWS\System32\DRIVERS\CDANTSRV.EXE O23 - Service: iPod Service - Apple Computer, Inc. - C:\Programmer\iPod\bin\iPodService.exe O23 - Service: LexBce Server - Lexmark International, Inc. - C:\WINDOWS\system32\LEXBCES.EXE O23 - Service: Sygate Personal Firewall - Sygate Technologies, Inc. - C:\Programmer\Sygate\SPF\smc.exe god week-end mvh Benny

Kommentar Fra : tedd Dato : 22-01-05 12:56

Bortset fra at du skal ind på windows update og downloade nogle sikkerhedspatches (bla. SP2, og osse til IE) ser det i mine øjne godt ud!! Men det er arlet der er eksperten indenfor hijackthis, så lad lige ham komme ind!

Kommentar Fra : arlet Dato : 22-01-05 17:03

Denne linie skal fixes i hijackthis – hak den af og vælg fix checked: O16 - DPF: {03F998B2-0E00-11D3-A498-00104B6EB52E} (MetaStreamCtl Class) - https://components.viewpoint.com/MTSInstallers/MetaStream3.cab?url=http://www.viewpoint.com/cgi-bin/compaq.v2/vet_install_popup.pl?1&4&04.00.08.43-hp&http://h71016.www7.hp.com/html/interactive/msa500/model.html?jumpid=in_r2910_viewpoint/msa500/store genstart og derefter følg tedd´s råd ang opdateringer...

Kommentar Fra : bennymanden Dato : 22-01-05 21:33

Tak begge to, jeg har gjort som du skrev <arlet> - så mangler jeg blot at lave lidt opdateringer. Hvilke skal jeg vælge ? Jeg har hørt så meget dårligt om PS2 at jeg i første omgang helst vil undgå denne. Internet Explorer burde selv tilbyde opdateringer, det er den i alt fald indstillet til. Så et sidste problem her på falderebet, hvorfor og hvordan kan det være, at nogle af de der utidige link gendannes i "foretrukne" - jeg slettede dem jeg ikke selv havde tilføjet bl.a. : Free Online Dating - Play With Girls - Viagra - Xanax Online - xxx personal photos + nogle flere, jeg kan se det er nogle af dem som popper op og overtager den side jeg nåtte være på. Hvordan slipper jeg helt af med dem ? Efter genstart var de i listen "foretrukne" igen hilsen Benny

Kommentar Fra : bennymanden Dato : 22-01-05 21:36

Så skete det igen, lige når jeg trykker på "Send indlæg" - så får jeg en side med en halvnøgen ung pige hvorunder der står >my personal photos< - den overtager simpelthen siden, men tilsyneladende bliver mit indlæg sendt alligevel ??? Benny

Accepteret svar Fra : arlet Modtaget 500 point Dato : 22-01-05 21:43

Ja, kan se at den linje 15 er kommet ind igen... Fjerner alle entries i zonen: Download DelDomains.inf http://www.mvps.org/winhelp2002/DelDomains.inf højreklik på DelDomains.inf og vælg: Install derefter installer disse programmer fra min pakke: http://www.arlet.dk/pakke.htm derefter gå ind på http://v5.windowsupdate.microsoft.com/v5consumer/default.aspx?ln=da og hent hvad der ligger der..

Kommentar Fra : tedd Dato : 22-01-05 22:07

Og hent SP2 selvom du har hørt dårligt om den!! Lav et gendannelsespunkt lige før du gør det, så du kan komme tilbage! Men SP2 er altså guld værd på winxp efter min mening!

Kommentar Fra : bennymanden Dato : 22-01-05 22:14

Jeg har gjort som du skrev arlet, windowsupdate lykkedes ikke, der blev meldt om en opstået fejl, men jeg prøver igen senere ..... tedd, jeg kunne selvfølgelig lave et gendannelsespunkt og så prøve, jeg har iøvrigt SP2 liggende på en Cd. Jeg kan også se at den der linie 15 nu er forsvundet arlet, men jeg kan da lige sende en log med: Citat Logfile of HijackThis v1.99.0 Scan saved at 22:01:48, on 22-01-2005 Platform: Windows XP (WinNT 5.01.2600) MSIE: Internet Explorer v6.00 (6.00.2600.0000) Running processes: C:\WINDOWS\System32\smss.exe C:\WINDOWS\system32\csrss.exe C:\WINDOWS\system32\winlogon.exe C:\WINDOWS\system32\services.exe C:\WINDOWS\system32\lsass.exe C:\WINDOWS\system32\svchost.exe C:\WINDOWS\System32\svchost.exe C:\Programmer\Sygate\SPF\smc.exe C:\WINDOWS\System32\svchost.exe C:\WINDOWS\System32\svchost.exe C:\WINDOWS\Explorer.EXE C:\WINDOWS\system32\LEXBCES.EXE C:\WINDOWS\system32\spoolsv.exe C:\WINDOWS\system32\LEXPPS.EXE C:\WINDOWS\System32\alg.exe C:\PROGRA~1\Grisoft\AVGFRE~1\avgamsvr.exe C:\PROGRA~1\Grisoft\AVGFRE~1\avgupsvc.exe C:\WINDOWS\System32\DRIVERS\CDANTSRV.EXE C:\PROGRA~1\Grisoft\AVGFRE~1\avgcc.exe C:\PROGRA~1\Grisoft\AVGFRE~1\avgemc.exe C:\Programmer\Lexmark X1100 Series\lxbkbmgr.exe C:\WINDOWS\System32\svchost.exe C:\Programmer\MSN Apps\Updater\01.02.3000.1001\da\msnappau.exe C:\Programmer\MSN Messenger\msnmsgr.exe C:\Programmer\Messenger\msmsgs.exe C:\Programmer\Medionkeyboard\1.3\KbdAp32A.exe C:\Programmer\Lexmark X1100 Series\lxbkbmon.exe C:\WINDOWS\System32\usrshutd.exe C:\WINDOWS\System32\winmsdc.exe C:\WINDOWS\System32\vwipxspnt.exe C:\WINDOWS\System32\SPOOL\DRIVERS\W32X86\3\LXBKPSWX.EXE C:\WINDOWS\System32\SPOOL\DRIVERS\W32X86\3\LXBKJSWX.EXE C:\Programmer\SpywareGuard\sgmain.exe C:\Programmer\SpywareGuard\sgbhp.exe C:\Programmer\Internet Explorer\iexplore.exe C:\Documents and Settings\Torben Benny Olsen\Dokumenter\hjt.exe R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Hyperlinks O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Programmer\Adobe\Acrobat 6.0\Reader\ActiveX\AcroIEHelper.dll O2 - BHO: SpywareGuard Download Protection - {4A368E80-174F-4872-96B5-0B27DDD11DB2} - C:\Programmer\SpywareGuard\dlprotect.dll O2 - BHO: ST - {9394EDE7-C8B5-483E-8773-474BF36AF6E4} - C:\Programmer\MSN Apps\ST\01.02.3000.1002\en-xu\stmain.dll O2 - BHO: MSNToolBandBHO - {BDBD1DAD-C946-4A17-ADC1-64B5B4FF55D0} - C:\Programmer\MSN Apps\MSN Toolbar\01.02.3000.1001\da\msntb.dll O3 - Toolbar: MSN - {BDAD1DAD-C946-4A17-ADC1-64B5B4FF55D0} - C:\Programmer\MSN Apps\MSN Toolbar\01.02.3000.1001\da\msntb.dll O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINDOWS\System32\msdxm.ocx O4 - HKLM\..\Run: [SmcService] C:\PROGRA~1\Sygate\SPF\smc.exe -startgui O4 - HKLM\..\Run: [FLMK08KB] C:\Programmer\Medionkeyboard\1.3\MMKEYBD.EXE O4 - HKLM\..\Run: [AVG7_CC] C:\PROGRA~1\Grisoft\AVGFRE~1\avgcc.exe /STARTUP O4 - HKLM\..\Run: [AVG7_EMC] C:\PROGRA~1\Grisoft\AVGFRE~1\avgemc.exe O4 - HKLM\..\Run: [Lexmark X1100 Series] "C:\Programmer\Lexmark X1100 Series\lxbkbmgr.exe" O4 - HKLM\..\Run: [msnappau] "C:\Programmer\MSN Apps\Updater\01.02.3000.1001\da\msnappau.exe" O4 - HKCU\..\Run: [msnmsgr] "C:\Programmer\MSN Messenger\msnmsgr.exe" /background O4 - HKCU\..\Run: [MSMSGS] "C:\Programmer\Messenger\msmsgs.exe" /background O4 - Startup: SpywareGuard.lnk = C:\Programmer\SpywareGuard\sgmain.exe O8 - Extra context menu item: &Add animation to IncrediMail Style Box - C:\PROGRA~1\INCRED~1\bin\resources\WebMenuImg.htm O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programmer\Java\j2re1.4.2_06\bin\npjpi142_06.dll O9 - Extra 'Tools' menuitem: Sun Java Console - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programmer\Java\j2re1.4.2_06\bin\npjpi142_06.dll O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programmer\Messenger\MSMSGS.EXE O9 - Extra 'Tools' menuitem: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programmer\Messenger\MSMSGS.EXE O16 - DPF: {0246ECA8-996F-11D1-BE2F-00A0C9037DFE} (TDServer Control) - http://www.atnbangla.tv/tdserver.cab O16 - DPF: {11818680-FCF6-11D0-9808-0800092A4865} (Adobe Form Control) - http://www.kps.dk/Codebase/FormCtl.cab O16 - DPF: {1469FF24-47F6-11D2-8805-006008C537E3} (Adobe Mail Control) - http://www.kps.dk/codebase/ffmail.cab O16 - DPF: {224F7DEA-B7C1-11D3-AB40-00902712A5C9} (PLSAddin Class) - http://www.kps.dk/codebase/plsspeller.cab O16 - DPF: {2E28242B-A689-11D4-80F2-0040266CBB8D} (KX-HCM10 Control) - http://80.199.4.57:81/kxhcm10.ocx O16 - DPF: {6414512B-B978-451D-A0D8-FCFDF33E833C} (WUWebControl Class) - http://v5.windowsupdate.microsoft.com/v5consumer/V5Controls/en/x86/client/wuweb_site.cab?1100861028217 O16 - DPF: {917623D1-D8E5-11D2-BE8B-00104B06BDE3} (CamImage Class) - http://211.79.170.21/plugin/1/AxisCamControl.cab O16 - DPF: {92EB6641-286A-11D2-A68E-00A0C996A6DD} (Adobe Signature Object) - http://www.kps.dk/codebase/jfsignature.cab O16 - DPF: {933EC14C-7B6A-4F8B-8770-820167956CC3} (ShapeShifter.Mask) - http://www.rovion.com/Controls/shapeshifter.cab O16 - DPF: {CDDCFBB3-4D93-11D2-B1A9-00A0C9B742BE} (Adobe Script Object) - http://www.kps.dk/codebase/scriptobject.cab O16 - DPF: {D8575CE3-3432-4540-88A9-85A1325D3375} (e-Safekey) - https://netbank.danskebank.dk/html/activex/e-Safekey/DB/e-Safekey.cab O16 - DPF: {EF2FB80F-0975-408E-A871-B00CC863478A} (Adobe Soft Font Installer) - http://www.kps.dk/codebase/fontinstaller.cab O16 - DPF: {F00F4763-7355-4725-82F7-0DA94A256D46} (IncrediMail) - http://www2.incredimail.com/contents/setup/downloader_sp1/imloader.cab O17 - HKLM\System\CCS\Services\Tcpip\..\{528E7A14-2E9B-4416-96FC-CA905B0F45AE}: NameServer = 69.50.188.180,195.225.176.31 O17 - HKLM\System\CCS\Services\Tcpip\..\{92177A98-0353-4519-949E-63518AEEA8A5}: NameServer = 69.50.188.180,195.225.176.31 O23 - Service: AVG7 Alert Manager Server - GRISOFT, s.r.o. - C:\PROGRA~1\Grisoft\AVGFRE~1\avgamsvr.exe O23 - Service: AVG7 Update Service - GRISOFT, s.r.o. - C:\PROGRA~1\Grisoft\AVGFRE~1\avgupsvc.exe O23 - Service: C-DillaSrv - C-Dilla Ltd - C:\WINDOWS\System32\DRIVERS\CDANTSRV.EXE O23 - Service: iPod Service - Apple Computer, Inc. - C:\Programmer\iPod\bin\iPodService.exe O23 - Service: LexBce Server - Lexmark International, Inc. - C:\WINDOWS\system32\LEXBCES.EXE O23 - Service: Sygate Personal Firewall - Sygate Technologies, Inc. - C:\Programmer\Sygate\SPF\smc.exe nu blev den så sådan, hvad mener i ? mvh Benny

Kommentar Fra : tedd Dato : 22-01-05 22:29

hvis du kun kører winxp rent uden sp1 eller 2 vil du få problemet igen og igen!

Kommentar Fra : bennymanden Dato : 22-01-05 22:34

Ok tedd - nu vil jeg lige høre hvad arlet mener om den nye log, så prøver jeg at installere SP2 jeg har lige kørt Ad-Aware, den fandt ingenting så lavede jeg en genstart og der skete ikke noget, det var faktisk en hurtigere startup-fase end jeg har set længe, der var heller ikke tilføjet noget i "foretrukne" så jeg tror vi fik gjort noget ved det denne gang mvh Benny

Kommentar Fra : tedd Dato : 22-01-05 22:42

Det undrer mig lidt med de to 017, man burde tro at een var nok! Men kom nu ind arlet istedet for at blive væk. Vi er mange der savner dig

Kommentar Fra : arlet Dato : 22-01-05 23:32

Jeg bliver nødt til også at passe familien*S* bennymanden -> Loggen er ren nu.. Efter sådan en tur er det altid en god ide og rydde op i dine systemgendannelses filerne. Deaktiver systemgendannelse (http://www.arlet.dk/systemgendannelsen.htm) - genstart din computer - aktiver systemgendannelse. Og så skal du også lige skjule dine filer og mapper igen, så du ikke ved en fejl kommer til at slette en vigtig fil. Det gør du samme sted, hvor du satte det til at vise alle filer, denne gang vælger du bare: Vis ikke skjulte filer og mapper.

Godkendelse af svar Fra : bennymanden Dato : 22-01-05 23:56

Tusind tak for hjælpen <arlet> ...... det havde jeg aldrig klaret selv så nu er jeg min comp kører rigtig fint igen, jeg har gjort som du skrev til sidst også, og igen fjernet fluebenet i "deaktiver" ...... Jeg må så lige høre efter <tedd> og få lavet de opdateringer. ... så regner jeg med at vi fik "has på dem" og jeg håber aldrig at se dem igen mange tak arlet, så tilbage til familien hilsen Benny PS: der kommer også lige en "skilling" til dig tedd

Du har følgende muligheder

Eftersom du ikke er logget ind i systemet, kan du ikke skrive et indlæg til dette spørgsmål. Hvis du ikke allerede er registreret, kan du gratis blive medlem, ved at trykke på "Bliv medlem" ude i menuen.