hjt-log og uddrag fra jotti vedr. infektion

Download hijackthis herfra og gem det i en folder for sig selv på dit skrivebord

http://downloadportal.dk/showdownload.asp?rid=3967&sp=Hijackthis%201.91
eller et direkte download link herfra www.arlet.dk/hjt.exe

Start programmet og vælge, at udføre en scan samt gemme en log fil.
Når hijackthis er færdig med, at scanne vil den bede dig om en placering hvor du vil gemme "hijackthis" en tekst fil.
Gem den i samme folder som hijackthis. Når du har sagt okay hopper der et nyt vindue frem nemlig notepad med en masse tekst linjer. Marker alle linjerne og kopir dem herind så jeg kan kigge på dem. Du må ikke selv begynde, at fikse noget i hijackthis.

Logfile of HijackThis v1.99.1
Scan saved at 00:05:58, on 25-04-2005
Platform: Windows XP  (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP1 (6.00.2600.0000)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\csrss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\spoolsv.exe
C:\WINDOWS\Explorer.EXE
C:\WINDOWS\SOUNDMAN.EXE
C:\Documents and Settings\Tonni\Skrivebord\installs\bin\ZLH.EXE
C:\WINDOWS\System32\comsrsko.exe
C:\Programmer\SpywareGuard\sgmain.exe
C:\Programmer\SpywareGuard\sgbhp.exe
C:\WINDOWS\System32\cisvc.exe
C:\NORMAN\Nvc\BIN\NPFSVICE.EXE
C:\Documents and Settings\Tonni\Skrivebord\installs\bin\ZANDA.EXE
C:\WINDOWS\System32\nvsvc32.exe
C:\WINDOWS\System32\wdfmgr.exe
C:\Documents and Settings\Tonni\Skrivebord\installs\Nvc\BIN\NIP.EXE
C:\Documents and Settings\Tonni\Skrivebord\installs\Nvc\BIN\npfmsg2.exe
C:\DOCUMENTS AND SETTINGS\TONNI\SKRIVEBORD\INSTALLS\Nvc\BIN\NVCSCHED.EXE
C:\DOCUMENTS AND SETTINGS\TONNI\SKRIVEBORD\INSTALLS\Nvc\BIN\nipsvc.exe
C:\Documents and Settings\Tonni\Skrivebord\installs\bin\NJEEVES.EXE
C:\DOCUMENTS AND SETTINGS\TONNI\SKRIVEBORD\INSTALLS\Nvc\BIN\nvcoas.exe
C:\Documents and Settings\Tonni\Skrivebord\installs\Nvc\bin\cclaw.exe
C:\Documents and Settings\Tonni\Skrivebord\installs\hijackthis\hijackthis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://spil.tv2.dk/whist/
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Hyperlinks
O2 - BHO: SpywareGuard Download Protection - {4A368E80-174F-4872-96B5-0B27DDD11DB2} - C:\Programmer\SpywareGuard\dlprotect.dll
O2 - BHO: (no name) - {53707962-6F74-2D53-2644-206D7942484F} - C:\PROGRA~1\SPYBOT~1\SDHelper.dll
O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINDOWS\System32\msdxm.ocx
O4 - HKLM\..\Run: [NeroCheck] C:\WINDOWS\System32\\NeroCheck.exe
O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\System32\NvCpl.dll,NvStartup
O4 - HKLM\..\Run: [nwiz] nwiz.exe /install
O4 - HKLM\..\Run: [SoundMan] SOUNDMAN.EXE
O4 - HKLM\..\Run: [Norman ZANDA] C:\Documents and Settings\Tonni\Skrivebord\installs\bin\ZLH.EXE /LOAD /SPLASH
O4 - Startup: SpywareGuard.lnk = C:\Programmer\SpywareGuard\sgmain.exe
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programmer\Messenger\MSMSGS.EXE
O9 - Extra 'Tools' menuitem: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programmer\Messenger\MSMSGS.EXE
O12 - Plugin for .spop: C:\Programmer\Internet Explorer\Plugins\NPDocBox.dll
O16 - DPF: {D8575CE3-3432-4540-88A9-85A1325D3375} (e-Safekey®) - https://netbank.danskebank.dk/html/activex/e-Safekey/DB/e-Safekey.cab
O16 - DPF: {F6A56D95-A3A3-11D2-AC26-400000058481} (Danske e-Sec) - https://netbank.danskebank.dk/html/activex/danskesikker/DB/DanskeSikker.cab
O23 - Service: Norman API-hooking helper (NipSvc) - Unknown owner - C:\DOCUMENTS AND SETTINGS\TONNI\SKRIVEBORD\INSTALLS\Nvc\BIN\nipsvc.exe
O23 - Service: Norman NJeeves - Unknown owner - C:\Documents and Settings\Tonni\Skrivebord\installs\bin\NJEEVES.EXE
O23 - Service: Norman Type-R - Unknown owner - C:\NORMAN\Nvc\BIN\NPFSVICE.EXE
O23 - Service: Norman ZANDA - Unknown owner - C:\Documents and Settings\Tonni\Skrivebord\installs\bin\ZANDA.EXE
O23 - Service: Norman Virus Control on-access component (nvcoas) - Norman ASA - C:\DOCUMENTS AND SETTINGS\TONNI\SKRIVEBORD\INSTALLS\Nvc\BIN\nvcoas.exe
O23 - Service: Norman Virus Control Scheduler (NVCScheduler) - Norman Data Defense Systems - C:\DOCUMENTS AND SETTINGS\TONNI\SKRIVEBORD\INSTALLS\Nvc\BIN\NVCSCHED.EXE
O23 - Service: NVIDIA Driver Helper Service (NVSvc) - NVIDIA Corporation - C:\WINDOWS\System32\nvsvc32.exe

hmm..og  min internet favoritter var der tilføjet et par adresser med noget 'snyde' anti spyware...og min adaware  er nu ude af drift.....det var vist  de oplysninger jeg lige ka komme på nu

på forhånd tak

tak for hurtig reaktion kalp :-)

Genstart i Fejlsikret tilstand ved at taste F8 under opstart

Åbn Stifinder, klik på Funktioner=>Mappeindstillinger=>Vis.
Fjern flueben ved "Skjul beskyttede operativsystemfiler".
Fjern flueben ved "Skjul filtypenavne for kendte filtyper".
Sæt prik i "Vis skjulte filer og mapper".

Find og slet

Filerne

C:\WINDOWS\System32\comsrsko.exe
C:\WINDOWS\SYSTEM\iuypvaaa.dll
C:\WINDOWS\SYSTEM\kasgfka.dll
C:\WINDOWS\SYSTEM\pautgine.dll

Genstart normalt og ny log fra hijackthis.

her er den nye log fra normal stand : Logfile of HijackThis v1.99.1
Scan saved at 00:27:08, on 25-04-2005
Platform: Windows XP  (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP1 (6.00.2600.0000)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\csrss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\Explorer.EXE
C:\WINDOWS\system32\spoolsv.exe
C:\WINDOWS\SOUNDMAN.EXE
C:\Documents and Settings\Tonni\Skrivebord\installs\bin\ZLH.EXE
C:\Programmer\SpywareGuard\sgmain.exe
C:\Programmer\SpywareGuard\sgbhp.exe
C:\WINDOWS\System32\cisvc.exe
C:\NORMAN\Nvc\BIN\NPFSVICE.EXE
C:\Documents and Settings\Tonni\Skrivebord\installs\bin\ZANDA.EXE
C:\WINDOWS\System32\nvsvc32.exe
C:\WINDOWS\System32\wdfmgr.exe
C:\Documents and Settings\Tonni\Skrivebord\installs\Nvc\BIN\NIP.EXE
C:\Documents and Settings\Tonni\Skrivebord\installs\Nvc\BIN\npfmsg2.exe
C:\DOCUMENTS AND SETTINGS\TONNI\SKRIVEBORD\INSTALLS\Nvc\BIN\NVCSCHED.EXE
C:\DOCUMENTS AND SETTINGS\TONNI\SKRIVEBORD\INSTALLS\Nvc\BIN\nipsvc.exe
C:\Documents and Settings\Tonni\Skrivebord\installs\bin\NJEEVES.EXE
C:\DOCUMENTS AND SETTINGS\TONNI\SKRIVEBORD\INSTALLS\Nvc\BIN\nvcoas.exe
C:\Documents and Settings\Tonni\Skrivebord\installs\Nvc\bin\cclaw.exe
C:\Documents and Settings\Tonni\Skrivebord\installs\hijackthis\hijackthis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://spil.tv2.dk/whist/
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Hyperlinks
O2 - BHO: SpywareGuard Download Protection - {4A368E80-174F-4872-96B5-0B27DDD11DB2} - C:\Programmer\SpywareGuard\dlprotect.dll
O2 - BHO: (no name) - {53707962-6F74-2D53-2644-206D7942484F} - C:\PROGRA~1\SPYBOT~1\SDHelper.dll
O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINDOWS\System32\msdxm.ocx
O4 - HKLM\..\Run: [NeroCheck] C:\WINDOWS\System32\\NeroCheck.exe
O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\System32\NvCpl.dll,NvStartup
O4 - HKLM\..\Run: [nwiz] nwiz.exe /install
O4 - HKLM\..\Run: [SoundMan] SOUNDMAN.EXE
O4 - HKLM\..\Run: [Norman ZANDA] C:\Documents and Settings\Tonni\Skrivebord\installs\bin\ZLH.EXE /LOAD /SPLASH
O4 - HKLM\..\Run: [Client Browser] :C:\WINDOWS\System32\comsrsko.exe
O4 - Startup: SpywareGuard.lnk = C:\Programmer\SpywareGuard\sgmain.exe
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programmer\Messenger\MSMSGS.EXE
O9 - Extra 'Tools' menuitem: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programmer\Messenger\MSMSGS.EXE
O12 - Plugin for .spop: C:\Programmer\Internet Explorer\Plugins\NPDocBox.dll
O16 - DPF: {D8575CE3-3432-4540-88A9-85A1325D3375} (e-Safekey®) - https://netbank.danskebank.dk/html/activex/e-Safekey/DB/e-Safekey.cab
O16 - DPF: {F6A56D95-A3A3-11D2-AC26-400000058481} (Danske e-Sec) - https://netbank.danskebank.dk/html/activex/danskesikker/DB/DanskeSikker.cab
O21 - SSODL: Connection Explorer - {785F1E67-C3FD-4D61-A5F2-8A5046CB16F3} - C:\WINDOWS\System32\pautgine.dll (file missing)
O23 - Service: Norman API-hooking helper (NipSvc) - Unknown owner - C:\DOCUMENTS AND SETTINGS\TONNI\SKRIVEBORD\INSTALLS\Nvc\BIN\nipsvc.exe
O23 - Service: Norman NJeeves - Unknown owner - C:\Documents and Settings\Tonni\Skrivebord\installs\bin\NJEEVES.EXE
O23 - Service: Norman Type-R - Unknown owner - C:\NORMAN\Nvc\BIN\NPFSVICE.EXE
O23 - Service: Norman ZANDA - Unknown owner - C:\Documents and Settings\Tonni\Skrivebord\installs\bin\ZANDA.EXE
O23 - Service: Norman Virus Control on-access component (nvcoas) - Norman ASA - C:\DOCUMENTS AND SETTINGS\TONNI\SKRIVEBORD\INSTALLS\Nvc\BIN\nvcoas.exe
O23 - Service: Norman Virus Control Scheduler (NVCScheduler) - Norman Data Defense Systems - C:\DOCUMENTS AND SETTINGS\TONNI\SKRIVEBORD\INSTALLS\Nvc\BIN\NVCSCHED.EXE
O23 - Service: NVIDIA Driver Helper Service (NVSvc) - NVIDIA Corporation - C:\WINDOWS\System32\nvsvc32.exe

jeg har  'startuprun'...og i den er der en vinupdate91408372[1] den plejer ikke at være der....er den  snavs?...og client browser--->registry-->machine run-->comrsko  står der endnu....dog havde jeg i forvejen  'disabled' den....skal jeg bare ignorere det...går det væk efter  endnu en re-start eller hvad ?

sidst men ikke mindst....du skrev ikke system 32  ved de 3 nederste..meeen det var der jeg fandt dem..og slettede dem...tog det som en stavefejl....( ber en stille bøn *S*)

hmm  ka se der i 021'eren...file missing....men det er vel oss meningen

Vi tager en tur mere:)

Fix disse i hijackthis

O4 - HKLM\..\Run: [Client Browser] :C:\WINDOWS\System32\comsrsko.exe
O21 - SSODL: Connection Explorer - {785F1E67-C3FD-4D61-A5F2-8A5046CB16F3} - C:\WINDOWS\System32\pautgine.dll (file missing)

og slet så filerne..

C:\WINDOWS\System32\pautgine.dll
C:\WINDOWS\System32\comsrsko.exe

genstart og ny log

hvis det ikke hjælper så hent

Hent DllCompare

http://download.broadbandmedic.com/DllCompare.exe
eller
http://www.fbeej.dk/Programmer/DllCompare.exe

Kør programmet og klik på Run Locate.com og vent et kort øjeblik (der kommer en meddelelse med blå skrift: "Completed the scan - click compare to continue").

Klik nu på Compare og vent lidt - denne gang tager det nok et par minutter

Når den er færdig med at lede ("completed" med blå skrift), kan du klikke på "Make a Log of what was Found". Nu spørger programmet om du vil se log'en - svar

ja og kopier log'en herind.


og det samme med

Hent silentrunner her:
http://www.silentrunners.org/Silent%20Runners.vbs

den skal du bare dobbeltklikke på og vente til den siger den er færdig.

Logfile of HijackThis v1.99.1
Scan saved at 00:43:31, on 25-04-2005
Platform: Windows XP  (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP1 (6.00.2600.0000)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\csrss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\Explorer.EXE
C:\WINDOWS\system32\spoolsv.exe
C:\WINDOWS\SOUNDMAN.EXE
C:\Documents and Settings\Tonni\Skrivebord\installs\bin\ZLH.EXE
C:\Programmer\SpywareGuard\sgmain.exe
C:\Programmer\SpywareGuard\sgbhp.exe
C:\WINDOWS\System32\cisvc.exe
C:\NORMAN\Nvc\BIN\NPFSVICE.EXE
C:\Documents and Settings\Tonni\Skrivebord\installs\bin\ZANDA.EXE
C:\WINDOWS\System32\nvsvc32.exe
C:\WINDOWS\System32\wdfmgr.exe
C:\Documents and Settings\Tonni\Skrivebord\installs\Nvc\BIN\NIP.EXE
C:\Documents and Settings\Tonni\Skrivebord\installs\Nvc\BIN\npfmsg2.exe
C:\DOCUMENTS AND SETTINGS\TONNI\SKRIVEBORD\INSTALLS\Nvc\BIN\nipsvc.exe
C:\DOCUMENTS AND SETTINGS\TONNI\SKRIVEBORD\INSTALLS\Nvc\BIN\NVCSCHED.EXE
C:\Documents and Settings\Tonni\Skrivebord\installs\bin\NJEEVES.EXE
C:\DOCUMENTS AND SETTINGS\TONNI\SKRIVEBORD\INSTALLS\Nvc\BIN\nvcoas.exe
C:\Documents and Settings\Tonni\Skrivebord\installs\Nvc\bin\cclaw.exe
C:\Documents and Settings\Tonni\Skrivebord\installs\hijackthis\hijackthis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://spil.tv2.dk/whist/
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Hyperlinks
O2 - BHO: SpywareGuard Download Protection - {4A368E80-174F-4872-96B5-0B27DDD11DB2} - C:\Programmer\SpywareGuard\dlprotect.dll
O2 - BHO: (no name) - {53707962-6F74-2D53-2644-206D7942484F} - C:\PROGRA~1\SPYBOT~1\SDHelper.dll
O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINDOWS\System32\msdxm.ocx
O4 - HKLM\..\Run: [NeroCheck] C:\WINDOWS\System32\\NeroCheck.exe
O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\System32\NvCpl.dll,NvStartup
O4 - HKLM\..\Run: [nwiz] nwiz.exe /install
O4 - HKLM\..\Run: [SoundMan] SOUNDMAN.EXE
O4 - HKLM\..\Run: [Norman ZANDA] C:\Documents and Settings\Tonni\Skrivebord\installs\bin\ZLH.EXE /LOAD /SPLASH
O4 - Startup: SpywareGuard.lnk = C:\Programmer\SpywareGuard\sgmain.exe
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programmer\Messenger\MSMSGS.EXE
O9 - Extra 'Tools' menuitem: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programmer\Messenger\MSMSGS.EXE
O12 - Plugin for .spop: C:\Programmer\Internet Explorer\Plugins\NPDocBox.dll
O16 - DPF: {D8575CE3-3432-4540-88A9-85A1325D3375} (e-Safekey®) - https://netbank.danskebank.dk/html/activex/e-Safekey/DB/e-Safekey.cab
O16 - DPF: {F6A56D95-A3A3-11D2-AC26-400000058481} (Danske e-Sec) - https://netbank.danskebank.dk/html/activex/danskesikker/DB/DanskeSikker.cab
O23 - Service: Norman API-hooking helper (NipSvc) - Unknown owner - C:\DOCUMENTS AND SETTINGS\TONNI\SKRIVEBORD\INSTALLS\Nvc\BIN\nipsvc.exe
O23 - Service: Norman NJeeves - Unknown owner - C:\Documents and Settings\Tonni\Skrivebord\installs\bin\NJEEVES.EXE
O23 - Service: Norman Type-R - Unknown owner - C:\NORMAN\Nvc\BIN\NPFSVICE.EXE
O23 - Service: Norman ZANDA - Unknown owner - C:\Documents and Settings\Tonni\Skrivebord\installs\bin\ZANDA.EXE
O23 - Service: Norman Virus Control on-access component (nvcoas) - Norman ASA - C:\DOCUMENTS AND SETTINGS\TONNI\SKRIVEBORD\INSTALLS\Nvc\BIN\nvcoas.exe
O23 - Service: Norman Virus Control Scheduler (NVCScheduler) - Norman Data Defense Systems - C:\DOCUMENTS AND SETTINGS\TONNI\SKRIVEBORD\INSTALLS\Nvc\BIN\NVCSCHED.EXE
O23 - Service: NVIDIA Driver Helper Service (NVSvc) - NVIDIA Corporation - C:\WINDOWS\System32\nvsvc32.exe

her er den nye log...ser ud som om det har hjulpet..men....ingen af de to filer var i c/system32....osv...men  der var og har hele tiden været en : comrsko.ocx fil....med under titel...active x object....skal den væk ?

venter lige med dit nyeste forslag til du har kommenteret det her...

nu er loggen ren:) og ja bare slet comrsko.ocx

super....tusind tak 

og  også for super hurtig aktion :-)

så skal du bare lægge et svar ;o)

hovsa har jeg da helt glemt:P
og selv tak:))