Er der en der kan hjælpe med at tjekke en logfil fra Hijack

Ja, kom blot med den ..

Logfile of HijackThis v1.99.1
Scan saved at 18:57:58, on 04/13/2005
Platform: Windows 98 SE (Win9x 4.10.2222A)
MSIE: Internet Explorer v6.00 SP1 (6.00.2800.1106)

Running processes:
C:\WINDOWS\SYSTEM\KERNEL32.DLL
C:\WINDOWS\SYSTEM\MSGSRV32.EXE
C:\WINDOWS\SYSTEM\MPREXE.EXE
C:\WINDOWS\SYSTEM\MSTASK.EXE
C:\WINDOWS\SYSTEM\GEMSTRMW.EXE
C:\WINDOWS\SYSTEM\HPBPRO.EXE
C:\WINDOWS\SYSTEM\HPBOID.EXE
C:\PROGRAMMER\FæLLES FILER\SYMANTEC SHARED\CCSETMGR.EXE
C:\PROGRAMMER\FæLLES FILER\SYMANTEC SHARED\CCEVTMGR.EXE
C:\WINDOWS\SYSTEM\RPCSS.EXE
C:\WINDOWS\SYSTEM\SCARDSVR.EXE
C:\WINDOWS\EXPLORER.EXE
C:\WINDOWS\RUNDLL32.EXE
C:\WINDOWS\TASKMON.EXE
C:\WINDOWS\SYSTEM\SYSTRAY.EXE
C:\PROGRAMMER\SETEC\WEB AND EMAIL SECURITY\CERTUTIL.EXE
C:\WINDOWS\SYSTEM\HPNRA.EXE
C:\WINDOWS\SYSTEM\SPOOL32.EXE
C:\PROGRAMMER\FæLLES FILER\SYMANTEC SHARED\CCAPP.EXE
C:\WINDOWS\LOADQM.EXE
C:\WINDOWS\ISRVS\DESKTOP.EXE
C:\WINDOWS\VMOGATOT.EXE
C:\PROGRAMMER\ADOBE\ACROBAT 4.0\DISTILLR\ACROTRAY.EXE
C:\WINDOWS\SYSTEM\WMIEXE.EXE
C:\DOWNLOAD\HJT.EXE
C:\PROGRAMMER\INTERNET EXPLORER\IEXPLORE.EXE

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.google.dk/
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName =
R3 - Default URLSearchHook is missing
O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINDOWS\SYSTEM\MSDXM.OCX
O3 - Toolbar: Norton AntiVirus - {42CDD1BF-3FFB-4238-8AD1-7859DF00B1D6} - C:\Programmer\Norton AntiVirus\NavShExt.dll
O4 - HKLM\..\Run: [Skan registreringsdatabase] C:\WINDOWS\scanregw.exe /autorun
O4 - HKLM\..\Run: [Job-oversigt] C:\WINDOWS\taskmon.exe
O4 - HKLM\..\Run: [SystemTray] SysTray.Exe
O4 - HKLM\..\Run: [LoadPowerProfile] Rundll32.exe powrprof.dll,LoadCurrentPwrScheme
O4 - HKLM\..\Run: [TCASUTIEXE] TCAUDIAG.EXE -off
O4 - HKLM\..\Run: [SetecCertUtil] C:\Programmer\Setec\Web and Email Security\Certutil.exe
O4 - HKLM\..\Run: [HP Network Registry Agent] C:\WINDOWS\SYSTEM\hpnra.exe
O4 - HKLM\..\Run: [HPLJ Config] C:\Programmer\Hewlett-Packard\CLJ2500\SetConfig.exe
O4 - HKLM\..\Run: [ccApp] "C:\Programmer\Fælles filer\Symantec Shared\ccApp.exe"
O4 - HKLM\..\Run: [LoadQM] loadqm.exe
O4 - HKLM\..\Run: [CriticalUpdate] C:\WINDOWS\SYSTEM\wucrtupd.exe -startup
O4 - HKLM\..\Run: [Symantec NetDriver Monitor] C:\PROGRA~1\SYMNET~1\SNDMON.EXE
O4 - HKLM\..\Run: [SpySpotter] C:\PROGRAMMER\SPYSPOTTER\SpySpotter.exe
O4 - HKLM\..\Run: [Desktop Search] C:\WINDOWS\isrvs\desktop.exe
O4 - HKLM\..\Run: [ffis] C:\WINDOWS\isrvs\ffisearch.exe
O4 - HKLM\..\Run: [FARMMEXT] C:\WINDOWS\FARMMEXT.exe
O4 - HKLM\..\Run: [duxvfqfmqgdtqqmplrfnll] C:\WINDOWS\vmogatot.exe
O4 - HKLM\..\Run: [EbatesMoeMoneyMaker0] "C:\PROGRAMMER\EBATES_MOEMONEYMAKER\EbatesMoeMoneyMaker0.exe"
O4 - HKLM\..\RunServices: [LoadPowerProfile] Rundll32.exe powrprof.dll,LoadCurrentPwrScheme
O4 - HKLM\..\RunServices: [Planlægningsagent] C:\WINDOWS\SYSTEM\mstask.exe
O4 - HKLM\..\RunServices: [GemStRmW] GemStRmW.exe /w8000 /apm /r60000 /k15000 /nGrSerial.VxD
O4 - HKLM\..\RunServices: [HP Port Resolver] C:\WINDOWS\SYSTEM\hpbpro.exe
O4 - HKLM\..\RunServices: [HP Status Server] C:\WINDOWS\SYSTEM\hpboid.exe
O4 - HKLM\..\RunServices: [ScriptBlocking] "C:\Programmer\Fælles filer\Symantec Shared\Script Blocking\SBServ.exe" -reg
O4 - HKLM\..\RunServices: [ccSetMgr] "C:\Programmer\Fælles filer\Symantec Shared\ccSetMgr.exe"
O4 - HKLM\..\RunServices: [ccEvtMgr] "C:\Programmer\Fælles filer\Symantec Shared\ccEvtMgr.exe"
O4 - HKLM\..\RunServices: [KB891711] C:\WINDOWS\SYSTEM\KB891711\KB891711.EXE
O4 - Startup: Microsoft Office.lnk = C:\Programmer\Microsoft Office\Office\OSA9.EXE
O4 - Startup: Adobe Gamma Loader.exe.lnk = ?
O4 - Startup: Acrobat Assistant.lnk = C:\Programmer\Adobe\Acrobat 4.0\Distillr\AcroTray.exe
O10 - Unknown file in Winsock LSP: c:\windows\system\aklsp.dll
O10 - Unknown file in Winsock LSP: c:\windows\system\aklsp.dll
O10 - Unknown file in Winsock LSP: c:\windows\system\aklsp.dll
O10 - Unknown file in Winsock LSP: c:\windows\system\aklsp.dll
O10 - Unknown file in Winsock LSP: c:\windows\system\aklsp.dll
O10 - Unknown file in Winsock LSP: c:\windows\system\aklsp.dll
O10 - Unknown file in Winsock LSP: c:\windows\system\aklsp.dll
O16 - DPF: {F6A56D95-A3A3-11D2-AC26-400000058481} (Danske e-Sec) - https://netbank.bgbank.dk/html/activex/danskesikker/BG/DanskeSikker.cab
O16 - DPF: {ABCCB0F0-514E-4BA6-989D-C67E5DBC2946} - https://netbank.bgbank.dk/download/keydownload/BG/KeyDownloader.cab
O16 - DPF: {C07E5288-22FB-11D7-962E-0004AC77C761} (Dataloen.ctlVirtuelDesktop) - http://activex.dataloen.dk/controls/Dataloen3315.CAB
O16 - DPF: {D8575CE3-3432-4540-88A9-85A1325D3375} (e-Safekey) - https://netbank.bgbank.dk/html/activex/e-Safekey/BG/e-Safekey.cab
O16 - DPF: {5BDBA960-6534-11D3-97C7-00500422B550} (LotusDRSControl Class) - http://www.duf.dk/download/dolcontrol.cab
O16 - DPF: {1230CB21-C88D-11CF-B347-000000000000} - http://www.eingang69.de/EroticAccess/cabs/1786015.cab
O16 - DPF: {042EEA26-2402-4E5A-B5BB-0FB445A5526E} (VacPro.win98_P) - http://www9.advnt01.com/dialer/win98_P.CAB
O16 - DPF: {205FF73B-CA67-11D5-99DD-444553540000} - http://www.spywarestormer.com/files2/Install.cab
O18 - Filter: text/html - {950238FB-C706-4791-8674-4D429F85897E} - (no file)

Jeg kigger lige på den ..

Mange tak skal du ha' - det er en kæmpe hjælp, skal du vide.
VH
Jesper

Hent dette program:
http://cexx.org/lspfix.zip
Udpak filen til sin egen mappe.

Hent denne (Kaspersky) scanner, den skal du bruge senere.
http://www.spywareinfo.dk/download/mwav.exe - Virusscanner.

Kør først LSPfix, sæt flueben i I know what I am doing, Flyt aklsp.dll fra venstre vindue til højre vindue, klik på finish, genstart.

Afinstaller Spyspotter i tilføj/fjern programmer i kontrol panelet.

Så skal du genstarte pc'en i fejlsikret tilstand. Klik F8 under opstart.

Kør Hijackthis, scan, sæt flueben ved linierne listet her, luk alle vinduer undtaget Hijackthis, klik på fix checked, slet mapper og filer listet nederst.
Dobbelttjek, så alt kommer med.

R3 - Default URLSearchHook is missing
O4 - HKLM\..\Run: [SpySpotter] C:\PROGRAMMER\SPYSPOTTER\SpySpotter.exe
O4 - HKLM\..\Run: [Desktop Search] C:\WINDOWS\isrvs\desktop.exe
O4 - HKLM\..\Run: [ffis] C:\WINDOWS\isrvs\ffisearch.exe
O4 - HKLM\..\Run: [FARMMEXT] C:\WINDOWS\FARMMEXT.exe
O4 - HKLM\..\Run: [duxvfqfmqgdtqqmplrfnll] C:\WINDOWS\vmogatot.exe
O4 - HKLM\..\Run: [EbatesMoeMoneyMaker0] "C:\PROGRAMMER\EBATES_MOEMONEYMAKER\EbatesMoeMoneyMaker0.exe"
O16 - DPF: {1230CB21-C88D-11CF-B347-000000000000} - http://www.eingang69.de/EroticAccess/cabs/1786015.cab
O16 - DPF: {042EEA26-2402-4E5A-B5BB-0FB445A5526E} (VacPro.win98_P) - http://www9.advnt01.com/dialer/win98_P.CAB
O18 - Filter: text/html - {950238FB-C706-4791-8674-4D429F85897E} - (no file)

---------------------------------------
Sletning af filer og mapper:
Åbn en mappe, klik på Funktioner=>Mappeindstillinger=>Vis.
Fjern flueben ved "Skjul beskyttede operativsystemfiler".
Fjern flueben ved "Skjul filtypenavne for kendte filtyper".
Sæt prik i "Vis skjulte filer og mapper".
Brug af Start->Søg.
Klik på "Alle filer og mapper"
Klik på "Avancerede indstillinger"
Sæt flueben i de tre øverste.
-------------------
Mapper:
C:\PROGRAMMER\SPYSPOTTER
C:\WINDOWS\isrvs
C:\PROGRAMMER\EBATES_MOEMONEYMAKER

Filer:
C:\WINDOWS\FARMMEXT.exe
C:\WINDOWS\vmogatot.exe

Du kan deaktivere denne,KB891711 i msconfig, (fanebladet start) hvis du har problemer med pc'en efter at den er helt ren. Nogle får problemer efter denne opdatering.
[KB891711] C:\WINDOWS\SYSTEM\KB891711\KB891711.EXE


Så kører du engangsskanneren fra Kaspersky - Aktiver det hele i opsætningen derinde, så den kan skanne alt igennem.

Genstart og kom med en ny HiJackThis logfil til kontrol.

Ok - jeg er i gang

Der kommer stadig pop-up reklamer. jeg synes ikke Kaspersky lavede et godt job - måske gjorde jeg noget galt.  Her er logfilen fra Hijack.
------------------------------
Logfile of HijackThis v1.99.1
Scan saved at 20:53:27, on 04/13/2005
Platform: Windows 98 SE (Win9x 4.10.2222A)
MSIE: Internet Explorer v6.00 SP1 (6.00.2800.1106)

Running processes:
C:\WINDOWS\SYSTEM\KERNEL32.DLL
C:\WINDOWS\SYSTEM\MSGSRV32.EXE
C:\WINDOWS\SYSTEM\MPREXE.EXE
C:\WINDOWS\SYSTEM\MSTASK.EXE
C:\WINDOWS\SYSTEM\GEMSTRMW.EXE
C:\WINDOWS\SYSTEM\HPBPRO.EXE
C:\WINDOWS\SYSTEM\HPBOID.EXE
C:\PROGRAMMER\FæLLES FILER\SYMANTEC SHARED\CCSETMGR.EXE
C:\PROGRAMMER\FæLLES FILER\SYMANTEC SHARED\CCEVTMGR.EXE
C:\WINDOWS\SYSTEM\RPCSS.EXE
C:\WINDOWS\SYSTEM\SCARDSVR.EXE
C:\WINDOWS\EXPLORER.EXE
C:\WINDOWS\RUNDLL32.EXE
C:\WINDOWS\TASKMON.EXE
C:\WINDOWS\SYSTEM\SYSTRAY.EXE
C:\PROGRAMMER\SETEC\WEB AND EMAIL SECURITY\CERTUTIL.EXE
C:\WINDOWS\SYSTEM\HPNRA.EXE
C:\WINDOWS\SYSTEM\SPOOL32.EXE
C:\PROGRAMMER\FæLLES FILER\SYMANTEC SHARED\CCAPP.EXE
C:\WINDOWS\LOADQM.EXE
C:\PROGRAMMER\ADOBE\ACROBAT 4.0\DISTILLR\ACROTRAY.EXE
C:\PROGRAMMER\WINZIP\WZQKPICK.EXE
C:\WINDOWS\SYSTEM\WMIEXE.EXE
C:\DOWNLOAD\HJT.EXE

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.google.dk/
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName =
O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINDOWS\SYSTEM\MSDXM.OCX
O3 - Toolbar: Norton AntiVirus - {42CDD1BF-3FFB-4238-8AD1-7859DF00B1D6} - C:\Programmer\Norton AntiVirus\NavShExt.dll
O4 - HKLM\..\Run: [Skan registreringsdatabase] C:\WINDOWS\scanregw.exe /autorun
O4 - HKLM\..\Run: [Job-oversigt] C:\WINDOWS\taskmon.exe
O4 - HKLM\..\Run: [SystemTray] SysTray.Exe
O4 - HKLM\..\Run: [LoadPowerProfile] Rundll32.exe powrprof.dll,LoadCurrentPwrScheme
O4 - HKLM\..\Run: [TCASUTIEXE] TCAUDIAG.EXE -off
O4 - HKLM\..\Run: [SetecCertUtil] C:\Programmer\Setec\Web and Email Security\Certutil.exe
O4 - HKLM\..\Run: [HP Network Registry Agent] C:\WINDOWS\SYSTEM\hpnra.exe
O4 - HKLM\..\Run: [HPLJ Config] C:\Programmer\Hewlett-Packard\CLJ2500\SetConfig.exe
O4 - HKLM\..\Run: [ccApp] "C:\Programmer\Fælles filer\Symantec Shared\ccApp.exe"
O4 - HKLM\..\Run: [LoadQM] loadqm.exe
O4 - HKLM\..\Run: [CriticalUpdate] C:\WINDOWS\SYSTEM\wucrtupd.exe -startup
O4 - HKLM\..\Run: [Symantec NetDriver Monitor] C:\PROGRA~1\SYMNET~1\SNDMON.EXE
O4 - HKLM\..\RunServices: [LoadPowerProfile] Rundll32.exe powrprof.dll,LoadCurrentPwrScheme
O4 - HKLM\..\RunServices: [Planlægningsagent] C:\WINDOWS\SYSTEM\mstask.exe
O4 - HKLM\..\RunServices: [GemStRmW] GemStRmW.exe /w8000 /apm /r60000 /k15000 /nGrSerial.VxD
O4 - HKLM\..\RunServices: [HP Port Resolver] C:\WINDOWS\SYSTEM\hpbpro.exe
O4 - HKLM\..\RunServices: [HP Status Server] C:\WINDOWS\SYSTEM\hpboid.exe
O4 - HKLM\..\RunServices: [ScriptBlocking] "C:\Programmer\Fælles filer\Symantec Shared\Script Blocking\SBServ.exe" -reg
O4 - HKLM\..\RunServices: [ccSetMgr] "C:\Programmer\Fælles filer\Symantec Shared\ccSetMgr.exe"
O4 - HKLM\..\RunServices: [ccEvtMgr] "C:\Programmer\Fælles filer\Symantec Shared\ccEvtMgr.exe"
O4 - Startup: Microsoft Office.lnk = C:\Programmer\Microsoft Office\Office\OSA9.EXE
O4 - Startup: Adobe Gamma Loader.exe.lnk = ?
O4 - Startup: Acrobat Assistant.lnk = C:\Programmer\Adobe\Acrobat 4.0\Distillr\AcroTray.exe
O4 - Startup: WinZip Quick Pick.lnk = C:\Programmer\WinZip\WZQKPICK.EXE
O16 - DPF: {F6A56D95-A3A3-11D2-AC26-400000058481} (Danske e-Sec) - https://netbank.bgbank.dk/html/activex/danskesikker/BG/DanskeSikker.cab
O16 - DPF: {ABCCB0F0-514E-4BA6-989D-C67E5DBC2946} - https://netbank.bgbank.dk/download/keydownload/BG/KeyDownloader.cab
O16 - DPF: {C07E5288-22FB-11D7-962E-0004AC77C761} (Dataloen.ctlVirtuelDesktop) - http://activex.dataloen.dk/controls/Dataloen3315.CAB
O16 - DPF: {D8575CE3-3432-4540-88A9-85A1325D3375} (e-Safekey) - https://netbank.bgbank.dk/html/activex/e-Safekey/BG/e-Safekey.cab
O16 - DPF: {5BDBA960-6534-11D3-97C7-00500422B550} (LotusDRSControl Class) - http://www.duf.dk/download/dolcontrol.cab
O16 - DPF: {205FF73B-CA67-11D5-99DD-444553540000} - http://www.spywarestormer.com/files2/Install.cab

Denne kommer f.eks. op først:
http://www.9ringtone.com/dk/index.php

Er du stadig med?

jeps, er igang med at kigge ..

Jeg har også en log fra Kaspersky - vil du se den. Den har fundet 39 viruser, men ikke fjernet nogen.

Loggen er faktisk ren, så hvad det end er der laver disse popup reklamer, kan det ikke ses i loggen.
Det skal så også siges at det er ret usædvanligt at spywareprogrammer viser danske sider, så det er muligvis blot en side du er kommet ind på der viser popup reklamer.

Prøv at downloade og installer AdAware.
Programmet samt brugervejledning på dansk finder du her: http://www.spywarefri.dk/vaerktoj.htm#adaware

Installer, det og opdater det online, men genstart så i fejlsikret tilstand og kør en fuld scanning og se hvad den kan finde.

Ja, den vil jeg godt se hvis det er den "korte version", altså den der nævner de 39 vira og ikke mere.

OK - det prøver jeg - må jeg vende tilbage i morgen, hvis det ikke virker? jeg er villig til at give dig alle min point, hvis det kan lade sig gøre!!!

Selvfølgelig. Jeg er online med mellemrum hele dagen *s*

Du kan godt lukke dit andet spørgsmål. Vi gør selvfølgelig arbejdet færdigt her.

Jeg går ud fra at AdAware ikke fandt noget, og derfor bør du installere en popupstopper. En af dem vi ser tit i logs og som folk er glade for er denne gratis "popupstopper"
Her er en side der forklarer lidt om programmet samt har link til download af programmet:
http://www.kaagaard.dk/antivirus/antipopup.htm

Hej igen

Jeg har installeret Google Toolbar(engelsk-med pop up blocker). Men det hjælper ik' en ski.
Jeg ved ikke hvordan det virker det her. Det er ikke traditionel pop-up.

jeg prøver lige den du anbefaler!!!

Vi sidder stadig med problemet - du har ikke andre muligheder. Jeg sidder med en ekspert lige nu(han er ihvertfald bedre end mig) - var det en mulighed at vi kunne ringe dig op?

Jo der er stadig flere muligheder tilbage.

Jeg har gennemlæst loggen på kryds og tværs og den ER altså ren, men muligheden for at noget snavs har cmoufleret sig med samme navn som en lovlig proces er selvfølgelig til stede.

Så prøv lige dette for at udelukke at dette skulle være tilfældet.

Klik start | kør, skriv msconfig og tryk enter.
På fanebladet start fjerner du krydset i alle programmer med undtagelse af systray.

Genstart og se om det hjalp på problemet.

Jeg finder lige nogle andre ting vi kan undersøge maskinen med imens ..

Hvis ovenstående ikke hjælper, så skal vi se nogle flere logs.

Hent silentrunner her:
http://www.silentrunners.org/Silent%20Runners.vbs

Kør programmet og læg log-filen herind (den lægger sig i samme mappe som silentrunner programmet ligger i).

Hent findit98 her:
http://www.thatcomputerguy.us/downloads/findit98.zip

Udpak programmet til en folder på harddisken, og  dobbeltklik find.bat.
Den vil køre et stykke tid og lave en log, Den lægger du også herind.
(ignorer evt fejl programmet kommer med)

Det ser faktisk ud til at det har hjulpet at slå tingene fra inde i msconfig - hvad gør vi så nu?

Er denne et problem: GemStRmW.exe

eller denne: TCASUTIEXE

Der er så kun en ting at gøre. Læg tingene ind igen, en ad gangen, hver gang med en genstart og en test af om problemet er kommet igen. Når problemet kommer igen, har vi navnet på linien/filen.

Alle linierne er legale, så jeg kan ikke sige hvilken en der er snavset, men jeg vil gerne lige have det at vide, så vi kan prøve at uploade den til jotti og se om den kan give et navn på infektionen.

Jeg tror det er væk nu. Jeg fandt en Spy Sweeper på: www.spyware-removal.com/betterinternet-uninstall.html. Grunden til jeg gik efter den var at der kom noget op der hed: betterinternet. Jeg tror, det var der problemer havde sin grund. Lige nu ser det ihvertfald ud til at virke.
Men super mange tak for hjælpen "tonnybrandt"- det her var en hård nød at knække.

Jamen velbekomme. Og jeg er enig, den var noget mere bøvlet end normalt *s*

Du kan lukke spørgsmålet ved at markere mit navn nede til venstre og trykke accepter.
(blot for en god ordens skyld) *s*

det troede jeg egentlig at jeg havde gjort - ok, nu er også det på plads

Alt iorden og takker for point :)