hijackthis - STORT hjælp behøves

Jeg ser på den :-)

-- Hent denne fil, og pak den ud til en mappe på skrivebordet:
http://downloads.andymanchesta.com/RemovalTools/SDFix.zip

-- Genstart i fejlsikret, hvis du ikke ved hvordan så kig her:
http://www.ctrlaltdel.dk/forum/forum_posts.asp?TID=23&PN=1

-- Gå så ind i mappen SDFix, som du hentede tidligere. Dobbeltklik på filen RunThis.bat, for at starte værktøjet. Tryk "y" for at bekræfte, at du kører værktøjet på egen risiko. Så vil værktøjet gå i gang med at fjerne trojanservicen, og lave et par reparationer af registreringsdatabasen. På et tidspunkt vil det bede dig om at trykke en taste for at genstarte computeren. Det skal du gøre, hvorefter computeren vil genstarte efter 15 sekunder.

Genstarten vil tage lidt længere end sædvanligt, idet værktøjet skal have tid til at udføre sit arbejde. Når skrivebordet dukker op, vil værktøjet skrive "Finished". Tryk herefter en taste for at indlæse dine skrivebordsikoner igen.

Åben så SDFix-mappen, find filen Report.txt, og kopier indholdet af denne fil herind.

-- Hent så Combofix, og gem den på dit skrivebord:
http://download.bleepingcomputer.com/sUBs/combofix.exe

--  Kør så combofix.exe, som du hentede tidligere, og følg anvisningerne.
Du bør ikke klikke på vinduet imens værktøjet kører, idet det kan få din computer til at fryse.
Når combofix er færdig, og efter det har genstartet, skulle der gerne åbnes en logfil: combofix.txt
Indholdet af denne fil må du gerne lægge herind.

-- Find herefter Hijackthis-programmet. Giv det et nyt navn (fx. HJT.exe), og lav en ny log med det, som du lægger herind til check.

Efter et par forsøg lykkedes det at køre SDfix (uha, det er sgu spændende det her) med følgende tekst:

SDFix: Version 1.27
-------------------

Scan run on:
02-10-2006

Time:
20:24


Microsoft Windows XP [version 5.1.2600]

Running from: C:\Documents and Settings\jesper\Skrivebord\SDFix

                                Stage One...

Checking Services...

Name:
-----


Path:
----





Repairing Registry...










Killing PID 656 'winservnt32.exe'


















Killing PID 652 'winservnt32.exe'

Restoring Default Hosts File...

Stage One Complete

Rebooting!

                                Stage Two...

Registry Cleaning Finished...

Checking For Malware Files:
--------------------------

C:\DR.EXE
C:\DRSMAR~1.EXE
C:\DRSMAR~2.EXE
C:\DRSMAR~3.EXE
C:\DOCUME~1\JESPER\LOKALE~1\TEMP\C27D8F~1.EXE
C:\Windows\system32\07647_netapi.exe
C:\Windows\system32\08646_netapi.exe
C:\Windows\system32\20554_netapi.exe
C:\Windows\system32\26271_netapi.exe
C:\Windows\system32\52707_netapi.exe
C:\Windows\system32\60654_netapi.exe
C:\Windows\system32\81734_netapi.exe
C:\Windows\system32\84257_netapi.exe
C:\Windows\Prefetch\ERASEME_27723.EXE-04C67D6B.pf
C:\Windows\system32\eraseme_07036.exe
C:\Windows\system32\eraseme_27723.exe
C:\bootini.exe
C:\Windows\system32\bootini.exe
C:\Windows\system32\i
C:\Windows\system32\winservnt32.exe

Backing Up and Removing any Files Found...

                                Final Check:

Remaining Services:
------------------

Remaining Files:
--------------



*Any removed Files are saved in the SDFix\backups Folder*

                                *FINISHED*

Det ser ud til at SDfix har gjort et godt stykke arbejde. Så mangler du bare de 2 andre logs *S*

Så lykkedes det.
Her er combofilen:
jesper - 06-10-02 22:09:42.53    Service Pack 1
ComboFix 06.09.28 - Running from: "C:\Documents and Settings\jesper\Skrivebord"

(((((((((((((((((((((((((((((((((((((((((((((  Look2Me's Log  ))))))))))))))))))))))))))))))))))))))))))))))))))

REGISTRY ENTRIES REMOVED:

[HKEY_CLASSES_ROOT\CLSID\{7FDD1188-D898-4777-87C0-2051EA70E48B}]
@=""

[HKEY_CLASSES_ROOT\CLSID\{7FDD1188-D898-4777-87C0-2051EA70E48B}\Implemented Categories]
@=""

[HKEY_CLASSES_ROOT\CLSID\{7FDD1188-D898-4777-87C0-2051EA70E48B}\Implemented Categories\{00021492-0000-0000-C000-000000000046}]
@=""

[HKEY_CLASSES_ROOT\CLSID\{7FDD1188-D898-4777-87C0-2051EA70E48B}\InprocServer32]
@="C:\\Windows\\system32\\aal.dll"
"ThreadingModel"="Apartment"

* * * * * * * * * * * * * * * * * * * * * * * * * * * * * * * * * * * * * * * * * * * * * * * * * * * *


FILES REMOVED:

C:\WINDOWS\system32\aal.dll
C:\WINDOWS\system32\i4jq0e15eh.dll
C:\WINDOWS\system32\m4nq0e55eh.dll
C:\WINDOWS\system32\m646lghs1646.dll
C:\WINDOWS\system32\guard.tmp


Granting sedebugprivilege to Administratorer  ... successful


(((((((((((((((((((((((((((((((((((((((((((  E-Give / Ssk's Log  )))))))))))))))))))))))))))))))))))))))))))))))))


C:\Windows\system32\dxclib303562752.dll
C:\Documents and Settings\jesper\Application Data\Dxccwrd.dll
C:\Documents and Settings\jesper\Application Data\Dxcdmns.dll
C:\Documents and Settings\jesper\Application Data\Dxcknwrd.dll
C:\Documents and Settings\Jette Nielsen\Application Data\Dxccwrd.dll
C:\Documents and Settings\Jette Nielsen\Application Data\Dxcknwrd.dll
C:\Windows\system32\bkd.exe
C:\Programmer\DeluxeCommunications\Dxc.exe
C:\Programmer\DeluxeCommunications\DxcBho.dll
C:\Programmer\DeluxeCommunications\DxcCore.dll


* * *  POST RUN FILES/FOLDERS  * * * * * * * * * * * * * * * * * * * * * * * * * * * * * * * * * *


((((((((((((((((((((((((((((((((((((((((((((  Other Deletions  )))))))))))))))))))))))))))))))))))))))))))))))))


C:\Windows\drsmartload2.dat
C:\Windows\keyboard1.dat
C:\Windows\teller2.chk
C:\dfndrff_e10.exe
C:\dfndrff_e12.exe
C:\dfndrff_e18.exe
C:\deskbar.exe
C:\deskbar_e12.exe
C:\deskbar_e13.exe
C:\deskbar_e18.exe
C:\kybrdff_e12.exe
C:\kybrdff_e18.exe
C:\nwnmff_e12.exe
C:\nwnmff_e16.exe
C:\nwnmff_e18.exe
C:\ac3_0010.exe
C:\Windows\uninstall_nmon.vbs
C:\Documents and Settings\LocalService\Application Data\NetMon
C:\Programmer\Deskbar


(((((((((((((((((((((((((((((((  Files Created from 2006-09-02 to 2006-10-02  ))))))))))))))))))))))))))))))))))


2006-10-01    02:34    15,781    --a------    C:\WINDOWS\system32\drivers\mdc8021x.sys
2006-10-01    02:33    94,208    --a------    C:\WINDOWS\system32\DNIN50.DLL
2006-10-01    02:33    211,072    --a------    C:\WINDOWS\system32\drivers\RT2500.sys
2006-10-01    02:33    17,149    --a------    C:\WINDOWS\system32\DNINDIS5.SYS
2006-09-30    21:00    0    --a------    C:\WINDOWS\system32\psniffcc.exe
2006-09-27    19:27    159,744    --a------    C:\WINDOWS\system32\SIX.exe
2006-09-23    12:48    61,440    --a------    C:\WINDOWS\system32\setup_41852.exe
2006-09-22    00:09    1,233    --a------    C:\WINDOWS\system32\lawbeb0f.sys
2006-09-22    00:06    32,768    --a------    C:\DXC1205b.exe
2006-09-16    19:17    44,544    --ahs----    C:\WINDOWS\system32\net32a.exe
2006-09-13    23:00    41,208    --a------    C:\WINDOWS\system32\aegent.exe
2006-09-12    08:55    131,072    -r-hs----    C:\WINDOWS\mtcls32.exe


((((((((((((((((((((((((((((((((((((((((((((((((  Find3M Report  )))))))))))))))))))))))))))))))))))))))))))))))))))))


2006-10-01 09:26    --------    d---s----    C:\Documents and Settings\jesper\Application Data\Microsoft
2006-10-01 09:26    --------    d--------    C:\Documents and Settings\jesper\Application Data\InterTrust
2006-10-01 09:26    --------    d--------    C:\Documents and Settings\jesper\Application Data\Identities
2006-10-01 09:26    --------    d--------    C:\Documents and Settings\jesper\Application Data\Help
2006-10-01 02:33    --------    d--h-----    C:\Programmer\InstallShield Installation Information
2006-10-01 02:33    --------    d--------    C:\Programmer\Belkin
2006-09-30 22:39    --------    d--------    C:\Programmer\Lavasoft


((((((((((((((((((((((((((((((((((((((((((  Reg Loading Points  ))))))))))))))))))))))))))))))))))))))))))))))))

*Note* empty entries are not shown

[HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
"CTFMON.EXE"="C:\\Windows\\System32\\ctfmon.exe"
"MSMSGS"="\"C:\\Programmer\\Messenger\\msmsgs.exe\" /background"
"SIX"="SIX.exe"
"DeluxeCommunications"="C:\\Programmer\\DeluxeCommunications\\Dxc.exe"

[HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Runonce]
"SIX"="SIX.exe"

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
"ATIModeChange"="Ati2mdxx.exe"
"ATIPTA"="C:\\Programmer\\ATI Technologies\\ATI Control Panel\\atiptaxx.exe"
"Alogserv"="C:\\Programmer\\McAfee\\McAfee VirusScan\\alogserv.exe"
"SetecCertUtil"="C:\\Programmer\\SetWeb\\SetWeb.exe"
"QuickTime Task"="\"C:\\Programmer\\QuickTime\\qttask.exe\" -atboottime"
"DeluxeCommunications"="C:\\Programmer\\DeluxeCommunications\\Dxc.exe"
"SIX"="SIX.exe"

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\OptionalComponents]

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\OptionalComponents\IMAIL]
"Installed"="1"

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\OptionalComponents\MAPI]
"NoChange"="1"
"Installed"="1"

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\OptionalComponents\MSFS]
"Installed"="1"

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Runonce]
"SIX"="SIX.exe"

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Runservices]
"SIX"="SIX.exe"

[HKEY_CURRENT_USER\SOFTWARE\Microsoft\Internet Explorer\Desktop\Components]
"DeskHtmlVersion"=dword:00000110
"DeskHtmlMinorVersion"=dword:00000005
"Settings"=dword:00000001
"GeneralFlags"=dword:00000001

[HKEY_CURRENT_USER\SOFTWARE\Microsoft\Internet Explorer\Desktop\Components\0]
"Source"="About:Home"
"SubscribedURL"="About:Home"
"FriendlyName"="Min aktuelle startside"
"Flags"=dword:00000002
"Position"=hex:2c,00,00,00,cc,00,00,00,00,00,00,00,34,03,00,00,de,02,00,00,00,\
  00,00,00,01,00,00,00,01,00,00,00,01,00,00,00,00,00,00,00,00,00,00,00
"CurrentState"=hex:04,00,00,40
"OriginalStateInfo"=hex:18,00,00,00,ff,ff,00,00,ff,ff,00,00,ff,ff,ff,ff,ff,ff,\
  ff,ff,04,00,00,00
"RestoredStateInfo"=hex:18,00,00,00,6a,02,00,00,23,00,00,00,a4,00,00,00,9a,00,\
  00,00,01,00,00,00

[HKEY_USERS\.DEFAULT\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
"CTFMON.EXE"="C:\\Windows\\System32\\CTFMON.EXE"
"SIX"="SIX.exe"

[HKEY_USERS\.DEFAULT\SOFTWARE\Microsoft\Windows\CurrentVersion\Runonce]
"SIX"="SIX.exe"

[HKEY_USERS\S-1-5-18\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
"CTFMON.EXE"="C:\\Windows\\System32\\CTFMON.EXE"
"SIX"="SIX.exe"

[HKEY_USERS\S-1-5-18\SOFTWARE\Microsoft\Windows\CurrentVersion\Runonce]
"SIX"="SIX.exe"

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\shellexecutehooks]
"{AEB6717E-7E19-11d0-97EE-00C04FD91972}"=""

[HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\explorer]
"NoDriveTypeAutoRun"=dword:00000091

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\system]
"dontdisplaylastusername"=dword:00000000
"legalnoticecaption"=""
"legalnoticetext"=""
"shutdownwithoutlogon"=dword:00000001
"undockwithoutlogon"=dword:00000001

[HKEY_USERS\.DEFAULT\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\explorer]
"NoDriveTypeAutoRun"=dword:00000091

[HKEY_USERS\.DEFAULT\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\explorer\Run]

[HKEY_USERS\S-1-5-18\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\explorer]
"NoDriveTypeAutoRun"=dword:00000091

[HKEY_USERS\S-1-5-18\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\explorer\Run]

[HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\ShellServiceObjectDelayLoad]
"PostBootReminder"="{7849596a-48ea-486e-8937-a2a3009f31a9}"
"CDBurn"="{fbeb8a05-beee-4442-804e-409d6c4515e9}"
"WebCheck"="{E6FB5E20-DE35-11CF-9C87-00AA005127ED}"
"SysTray"="{35CEC8A3-2BE6-11D2-8773-92E220524153}"

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Shared Tools\MSCONFIG\Startupfolder]

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Shared Tools\MSCONFIG\Startupfolder\C:^Documents and Settings^All Users^Menuen Start^Programmer^Start^Microsoft Office.lnk]
"path"="C:\\Documents and Settings\\All Users\\Menuen Start\\Programmer\\Start\\Microsoft Office.lnk"
"backup"="C:\\Windows\\pss\\Microsoft Office.lnkCommon Startup"
"location"="Common Startup"
"command"="C:\\PROGRA~1\\MICROS~2\\Office\\OSA9.EXE -b -l"
"item"="Microsoft Office"

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Shared Tools\MSCONFIG\Startupreg]

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Shared Tools\MSCONFIG\Startupreg\Cpqset]
"key"="SOFTWARE\\Microsoft\\Windows\\CurrentVersion\\Run"
"item"="cpqset"
"hkey"="HKLM"
"command"="C:\\Programmer\\compaq\\cpqsetup\\cpqset.exe"
"inimapping"="0"

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Shared Tools\MSCONFIG\Startupreg\eabconfg.cpl]
"key"="SOFTWARE\\Microsoft\\Windows\\CurrentVersion\\Run"
"item"="EabServr"
"hkey"="HKLM"
"command"="C:\\Programmer\\Compaq\\EAB\\EabServr.exe /Start"
"inimapping"="0"

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Shared Tools\MSCONFIG\Startupreg\srmclean]
"key"="SOFTWARE\\Microsoft\\Windows\\CurrentVersion\\Run"
"item"="srmclean"
"hkey"="HKLM"
"command"="C:\\Cpqs\\Scom\\srmclean.exe"
"inimapping"="0"

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Shared Tools\MSCONFIG\Startupreg\SynTPEnh]
"key"="SOFTWARE\\Microsoft\\Windows\\CurrentVersion\\Run"
"item"="SynTPEnh"
"hkey"="HKLM"
"command"="C:\\Programmer\\Synaptics\\SynTP\\SynTPEnh.exe"
"inimapping"="0"

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Shared Tools\MSCONFIG\Startupreg\SynTPLpr]
"key"="SOFTWARE\\Microsoft\\Windows\\CurrentVersion\\Run"
"item"="SynTPLpr"
"hkey"="HKLM"
"command"="C:\\Programmer\\Synaptics\\SynTP\\SynTPLpr.exe"
"inimapping"="0"


HKEY_LOCAL_MACHINE\system\currentcontrolset\control\securityproviders
securityproviders REG_SZ  msapsspc.dll, schannel.dll, digest.dll, msnsspc.dll


Contents of the 'Scheduled Tasks' folder
C:\Windows\tasks\Daglig backup.job
C:\Windows\tasks\FRU Task #Hewlett-Packard#hp psc 2170 series#1093003777.job

Completion time: 02-10-2006 22:13:46.22
ComboFix.txt
ComboFix2.txt

Og her den nye hijackfil. Jeg kunne kun køre hijack.exe, hvis computeren var i fejlsikret tilstand!!

Logfile of HijackThis v1.99.1
Scan saved at 22:23:51, on 02-10-2006
Platform: Windows XP SP1 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP1 (6.00.2800.1106)

Running processes:
C:\Windows\System32\smss.exe
C:\Windows\system32\winlogon.exe
C:\Windows\system32\services.exe
C:\Windows\system32\lsass.exe
C:\Windows\system32\svchost.exe
C:\Windows\system32\svchost.exe
C:\Windows\Explorer.EXE
C:\Documents and Settings\jesper\Skrivebord\hjt.exe.exe

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Bar = http://go.compaq.com/2Q00CPT/0406/bF8.asp
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://go.compaq.com/2Q00CPT/0406/bF7.asp
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Hyperlinks
R3 - URLSearchHook: (no name) - {A8BD6820-6ED7-423E-9558-2D1486B0FEEA} - C:\Programmer\DeluxeCommunications\DxcBho.dll (file missing)
O4 - HKLM\..\Run: [ATIModeChange] Ati2mdxx.exe
O4 - HKLM\..\Run: [ATIPTA] C:\Programmer\ATI Technologies\ATI Control Panel\atiptaxx.exe
O4 - HKLM\..\Run: [Alogserv] C:\Programmer\McAfee\McAfee VirusScan\alogserv.exe
O4 - HKLM\..\Run: [SetecCertUtil] C:\Programmer\SetWeb\SetWeb.exe
O4 - HKLM\..\Run: [QuickTime Task] "C:\Programmer\QuickTime\qttask.exe" -atboottime
O4 - HKLM\..\Run: [DeluxeCommunications] C:\Programmer\DeluxeCommunications\Dxc.exe
O4 - HKLM\..\Run: [SIX] SIX.exe
O4 - HKLM\..\RunServices: [SIX] SIX.exe
O4 - HKLM\..\RunOnce: [SIX] SIX.exe
O4 - HKCU\..\Run: [CTFMON.EXE] C:\Windows\System32\ctfmon.exe
O4 - HKCU\..\Run: [MSMSGS] "C:\Programmer\Messenger\msmsgs.exe" /background
O4 - HKCU\..\Run: [SIX] SIX.exe
O4 - HKCU\..\Run: [DeluxeCommunications] C:\Programmer\DeluxeCommunications\Dxc.exe
O4 - HKCU\..\RunOnce: [SIX] SIX.exe
O4 - Global Startup: Belkin 802.11g Wireless Card Utility.lnk = ?
O4 - Global Startup: hp psc 2000 Series.lnk = C:\Programmer\Hewlett-Packard\Digital Imaging\bin\hpobnz08.exe
O4 - Global Startup: hpoddt01.exe.lnk = ?
O16 - DPF: {11818680-FCF6-11D0-9808-0800092A4865} (Adobe Form Control) - http://www.kps.dk/Codebase/FormCtl.cab
O16 - DPF: {6414512B-B978-451D-A0D8-FCFDF33E833C} (WUWebControl Class) - http://v5.windowsupdate.microsoft.com/v5consumer/V5Controls/en/x86/client/wuweb_site.cab?1095674548168
O16 - DPF: {86294D95-BE2C-47C2-9ABD-F5DCEAB41C35} (DocTransform.Transformer) - http://www.blankethotel.dk/ddt/DocumentDataTransformation.CAB
O16 - DPF: {C07E5288-22FB-11D7-962E-0004AC77C761} (Dataloen.ctlVirtuelDesktop) - http://activex.dataloen.dk/controls/Dataloen3319.CAB
O16 - DPF: {CDDCFBB3-4D93-11D2-B1A9-00A0C9B742BE} (Adobe Script Object) - http://www.kps.dk/codebase/scriptobject.cab
O16 - DPF: {D8575CE3-3432-4540-88A9-85A1325D3375} (e-Safekey) - https://netbank.danskebank.dk/html/activex/e-Safekey/DB/e-Safekey.cab
O16 - DPF: {F5D98C43-DB16-11CF-8ECA-0000C0FD59C7} (ActiveCGM Control) - http://80.198.90.242/webgis/acgm/acgm.cab
O20 - AppInit_DLLs: dxclib303562752.dll
O23 - Service: Ati HotKey Poller - Unknown owner - C:\Windows\System32\Ati2evxx.exe
O23 - Service: AVSync Manager (AvSynMgr) - Networks Associates Technologies, Inc. - C:\Programmer\McAfee\McAfee VirusScan\Avsynmgr.exe
O23 - Service: McShield - Unknown owner - C:\Programmer\Fælles filer\Network Associates\McShield\Mcshield.exe
O23 - Service: Microsoft Security Login Service - Unknown owner - C:\Windows\System32\dllcache\mssecure32.exe
O23 - Service: Microsoft update Service - Unknown owner - C:\Windows\System32\dllcache\msiupdate32.exe
O23 - Service: mtc l32 (mtcl32) - Unknown owner - C:\Windows\mtcls32.exe
O23 - Service: Windows Genuine Advantage Registration Service (net32a) - Unknown owner - C:\Windows\System32\net32a.exe
O23 - Service: Pml Driver HPZ12 - HP - C:\Windows\System32\HPZipm12.exe
O23 - Service: SoundMAX Agent Service (SoundMAX Agent Service (default)) - Analog Devices, Inc. - C:\Programmer\Analog Devices\SoundMAX\SMAgent.exe

Der mangler også stadig noget.

-- Hent Avenger her:
http://swandog46.geekstogo.com/avenger.zip

-- Pak Avenger-programmet ud og dobbeltklik på avenger.exe

-- Sæt en prik i "Input Script Manually" og klik på Luppen - nu dukker der et lille vindue op, hvor du skal kopiere indholdet mellem de stiplede linier ind:

-----------------------------
Files to delete:
C:\WINDOWS\system32\psniffcc.exe
C:\WINDOWS\system32\SIX.exe
C:\WINDOWS\system32\setup_41852.exe
C:\WINDOWS\system32\lawbeb0f.sys
C:\DXC1205b.exe
C:\WINDOWS\system32\aegent.exe
C:\WINDOWS\mtcls32.exe
C:\WINDOWS\system32\net32a.exe
C:\WINDOWS\system32\dxclib303562752.dll
C:\Windows\System32\dllcache\mssecure32.exe
C:\Windows\System32\dllcache\msiupdate32.exe

Folders to Delete:
C:\Programmer\DeluxeCommunications

registry keys to delete:
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Microsoft Security Login Service
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Microsoft update Service
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\mtcl32
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\net32a

registry values to delete:
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run|SIX
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Runonce|SIX
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Runservices|SIX
HKEY_USERS\.DEFAULT\SOFTWARE\Microsoft\Windows\CurrentVersion\Run|SIX
HKEY_USERS\.DEFAULT\SOFTWARE\Microsoft\Windows\CurrentVersion\Runonce|SIX
HKEY_USERS\S-1-5-18\SOFTWARE\Microsoft\Windows\CurrentVersion\Run|SIX
HKEY_USERS\S-1-5-18\SOFTWARE\Microsoft\Windows\CurrentVersion\Runonce|SIX
-----------------------------

-- Klik på Trafiklyset i Avenger. Programmet vil opfordre dig til at genstarte computeren straks, hvilket du skal gøre. Programmet vil lukke din computer, slette filerne og starte computeren igen.

-- Efter genstarten vil der dukke et notepad-vindue op, med en log for Avengers handlinger. Den må du gerne lægge ind i dit næste svar.

-- Kør Hijackthis, vælg "Do a system scan only", sæt flueben ved linierne listet her, luk alle vinduer undtaget Hijackthis, klik på fix checked (nogle af linierne er muligvis allerede forsvundet).

R3 - URLSearchHook: (no name) - {A8BD6820-6ED7-423E-9558-2D1486B0FEEA} - C:\Programmer\DeluxeCommunications\DxcBho.dll (file missing)
O4 - HKLM\..\Run: [DeluxeCommunications] C:\Programmer\DeluxeCommunications\Dxc.exe
O4 - HKLM\..\Run: [SIX] SIX.exe
O4 - HKLM\..\RunServices: [SIX] SIX.exe
O4 - HKLM\..\RunOnce: [SIX] SIX.exe
O4 - HKCU\..\Run: [SIX] SIX.exe
O4 - HKCU\..\Run: [DeluxeCommunications] C:\Programmer\DeluxeCommunications\Dxc.exe
O4 - HKCU\..\RunOnce: [SIX] SIX.exe
O16 - DPF: {F5D98C43-DB16-11CF-8ECA-0000C0FD59C7} (ActiveCGM Control) - http://80.198.90.242/webgis/acgm/acgm.cab
O20 - AppInit_DLLs: dxclib303562752.dll

Genstart computeren, og lav en ny log med Hijackthis, som du lægger herind sammen med loggen fra Avenger

Hov, jeg glemte lige: I tillæg vil jeg også gerne se en log fra Gmer:

Download Gmer-rootkit scanner, og pak den ud til skrivebordet:
http://www.gmer.net/gmer.zip
Kør programmet, klik på fanebladet "Rootkit", og klik på "Scan". Når scanningen er færdig, skal du klikke på "Copy". Så dukker et vindue op, som fortæller at resultatet af rootkit-scanningen er blevet lagt ind i udklipsholderen. Du kan herefter gå ind i denne tråd, og kopiere indholdet herind, ved at stille dig i indtastningsfeltet, og trykke ctrl-v.

Her kommer først avenger log:
Logfile of The Avenger version 1, by Swandog46
Running from registry key:
\Registry\Machine\System\CurrentControlSet\Services\fonhvxmh

*******************

Script file located at: \??\C:\nvcvnlok.txt
Script file opened successfully.

Script file read successfully

Backups directory opened successfully at C:\Avenger

*******************

Beginning to process script file:

File C:\WINDOWS\system32\psniffcc.exe deleted successfully.
File C:\WINDOWS\system32\SIX.exe deleted successfully.
File C:\WINDOWS\system32\setup_41852.exe deleted successfully.
File C:\WINDOWS\system32\lawbeb0f.sys deleted successfully.
File C:\DXC1205b.exe deleted successfully.
File C:\WINDOWS\system32\aegent.exe deleted successfully.
File C:\WINDOWS\mtcls32.exe deleted successfully.
File C:\WINDOWS\system32\net32a.exe deleted successfully.


File C:\WINDOWS\system32\dxclib303562752.dll not found!
Deletion of file C:\WINDOWS\system32\dxclib303562752.dll failed!

Could not process line:
C:\WINDOWS\system32\dxclib303562752.dll
Status: 0xc0000034

File C:\Windows\System32\dllcache\mssecure32.exe deleted successfully.
File C:\Windows\System32\dllcache\msiupdate32.exe deleted successfully.


Folder C:\Programmer\DeluxeCommunications not found!
Deletion of folder C:\Programmer\DeluxeCommunications failed!

Could not process line:
C:\Programmer\DeluxeCommunications
Status: 0xc0000034

Registry key HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Microsoft Security Login Service deleted successfully.
Registry key HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Microsoft update Service deleted successfully.
Registry key HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\mtcl32 deleted successfully.
Registry key HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\net32a deleted successfully.
Registry value HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run|SIX deleted successfully.
Registry value HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Runonce|SIX deleted successfully.
Registry value HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Runservices|SIX deleted successfully.
Registry value HKEY_USERS\.DEFAULT\SOFTWARE\Microsoft\Windows\CurrentVersion\Run|SIX deleted successfully.
Registry value HKEY_USERS\.DEFAULT\SOFTWARE\Microsoft\Windows\CurrentVersion\Runonce|SIX deleted successfully.


Could not delete registry value HKEY_USERS\S-1-5-18\SOFTWARE\Microsoft\Windows\CurrentVersion\Run|SIX
Deletion of registry value HKEY_USERS\S-1-5-18\SOFTWARE\Microsoft\Windows\CurrentVersion\Run|SIX failed!
Status: 0xc0000034



Could not delete registry value HKEY_USERS\S-1-5-18\SOFTWARE\Microsoft\Windows\CurrentVersion\Runonce|SIX
Deletion of registry value HKEY_USERS\S-1-5-18\SOFTWARE\Microsoft\Windows\CurrentVersion\Runonce|SIX failed!
Status: 0xc0000034


Completed script processing.

*******************

Finished!  Terminate.

og så hijack log:
Logfile of HijackThis v1.99.1
Scan saved at 08:00:07, on 03-10-2006
Platform: Windows XP SP1 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP1 (6.00.2800.1106)

Running processes:
C:\Windows\System32\smss.exe
C:\Windows\system32\winlogon.exe
C:\Windows\system32\services.exe
C:\Windows\system32\lsass.exe
C:\Windows\system32\svchost.exe
C:\Windows\System32\svchost.exe
C:\Windows\system32\spoolsv.exe
C:\Windows\System32\Ati2evxx.exe
C:\Programmer\McAfee\McAfee VirusScan\Avsynmgr.exe
C:\Programmer\Analog Devices\SoundMAX\SMAgent.exe
C:\Windows\System32\svchost.exe
C:\Programmer\McAfee\McAfee VirusScan\VsStat.exe
C:\Programmer\McAfee\McAfee VirusScan\Vshwin32.exe
C:\Programmer\Fælles filer\Network Associates\McShield\Mcshield.exe
C:\Programmer\McAfee\McAfee VirusScan\Avconsol.exe
C:\Windows\Explorer.EXE
C:\Programmer\ATI Technologies\ATI Control Panel\atiptaxx.exe
C:\Programmer\McAfee\McAfee VirusScan\alogserv.exe
C:\Programmer\SetWeb\SetWeb.exe
C:\Programmer\QuickTime\qttask.exe
C:\Windows\System32\ctfmon.exe
C:\Programmer\Messenger\msmsgs.exe
C:\Programmer\Belkin\Belkin 802.11g Wireless Card Configuration Utility\utility.exe
C:\Programmer\Hewlett-Packard\Digital Imaging\bin\hpobnz08.exe
C:\Programmer\Hewlett-Packard\Digital Imaging\bin\hpotdd01.exe
C:\Programmer\Hewlett-Packard\Digital Imaging\bin\hpoevm08.exe
C:\Programmer\Hewlett-Packard\Digital Imaging\Bin\hpoSTS08.exe
C:\Documents and Settings\jesper\Skrivebord\hjt.exe.exe

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Bar = http://go.compaq.com/2Q00CPT/0406/bF8.asp
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://go.compaq.com/2Q00CPT/0406/bF7.asp
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Hyperlinks
O4 - HKLM\..\Run: [ATIModeChange] Ati2mdxx.exe
O4 - HKLM\..\Run: [ATIPTA] C:\Programmer\ATI Technologies\ATI Control Panel\atiptaxx.exe
O4 - HKLM\..\Run: [Alogserv] C:\Programmer\McAfee\McAfee VirusScan\alogserv.exe
O4 - HKLM\..\Run: [SetecCertUtil] C:\Programmer\SetWeb\SetWeb.exe
O4 - HKLM\..\Run: [QuickTime Task] "C:\Programmer\QuickTime\qttask.exe" -atboottime
O4 - HKCU\..\Run: [CTFMON.EXE] C:\Windows\System32\ctfmon.exe
O4 - HKCU\..\Run: [MSMSGS] "C:\Programmer\Messenger\msmsgs.exe" /background
O4 - Global Startup: Belkin 802.11g Wireless Card Utility.lnk = ?
O4 - Global Startup: hp psc 2000 Series.lnk = C:\Programmer\Hewlett-Packard\Digital Imaging\bin\hpobnz08.exe
O4 - Global Startup: hpoddt01.exe.lnk = ?
O16 - DPF: {11818680-FCF6-11D0-9808-0800092A4865} (Adobe Form Control) - http://www.kps.dk/Codebase/FormCtl.cab
O16 - DPF: {6414512B-B978-451D-A0D8-FCFDF33E833C} (WUWebControl Class) - http://v5.windowsupdate.microsoft.com/v5consumer/V5Controls/en/x86/client/wuweb_site.cab?1095674548168
O16 - DPF: {86294D95-BE2C-47C2-9ABD-F5DCEAB41C35} (DocTransform.Transformer) - http://www.blankethotel.dk/ddt/DocumentDataTransformation.CAB
O16 - DPF: {C07E5288-22FB-11D7-962E-0004AC77C761} (Dataloen.ctlVirtuelDesktop) - http://activex.dataloen.dk/controls/Dataloen3319.CAB
O16 - DPF: {CDDCFBB3-4D93-11D2-B1A9-00A0C9B742BE} (Adobe Script Object) - http://www.kps.dk/codebase/scriptobject.cab
O16 - DPF: {D8575CE3-3432-4540-88A9-85A1325D3375} (e-Safekey) - https://netbank.danskebank.dk/html/activex/e-Safekey/DB/e-Safekey.cab
O23 - Service: Ati HotKey Poller - Unknown owner - C:\Windows\System32\Ati2evxx.exe
O23 - Service: AVSync Manager (AvSynMgr) - Networks Associates Technologies, Inc. - C:\Programmer\McAfee\McAfee VirusScan\Avsynmgr.exe
O23 - Service: McShield - Unknown owner - C:\Programmer\Fælles filer\Network Associates\McShield\Mcshield.exe
O23 - Service: Pml Driver HPZ12 - HP - C:\Windows\System32\HPZipm12.exe
O23 - Service: SoundMAX Agent Service (SoundMAX Agent Service (default)) - Analog Devices, Inc. - C:\Programmer\Analog Devices\SoundMAX\SMAgent.exe

og til sidst gmer log:
GMER 1.0.11.11390 - http://www.gmer.net
Rootkit 2006-10-03 15:18:35
Windows 5.1.2600 Service Pack 1


---- Files - GMER 1.0.11 ----

ADS  C:\Documents and Settings\Jette Nielsen\Skrivebord\Navision.pif:SummaryInformation                   
ADS  C:\Documents and Settings\Jette Nielsen\Skrivebord\Navision.pif:{4c8cc155-6c1e-11d1-8e41-00c04fb9386d} 

---- EOF - GMER 1.0.11 ----

Det ser fornuftigt ud. Loggene er rene. Har du også fået løst dit problem?

For at gøre arbejdet helt færdig:
Det kan være en god ide og rydde op i systemgendannelses filerne. Deaktiver systemgendannelse (http://www.spywarefri.dk/virusscannere.htm#alle) - genstart din computer - aktiver systemgendannelse.
Og så kan det også være en god ide at skjule dine systemfiler og -mapper igen, så du ikke ved en fejl kommer til at slette en vigtig fil. Det gør du samme sted, hvor du satte det til at vise alle filer, denne gang vælger du bare: Vis ikke skjulte filer og mapper.

Det kan også være en god ide at få renset ud i dine midlertidige filer. Det kan gøres på en hurtig og nem måde med denne fil
www.spywareinfo.dk/download/cleantempxp2k.bat
---------------------------

For at forhindre gentagelser, vil jeg anbefale dig at lægge nogle små programmer ind, som forhindrer spyware i at komme ind i første omgang. Du finder links og gode råd her:
http://www.spywarefri.dk/manualer/sikkerhedspakke.htm

Jeg vil også foreslå, at du læser disse artikler om hvordan du kan undgå at blive inficeret i fremtiden:
http://www.spywarefri.dk/forum/topic.asp?TOPIC_ID=14414
http://www.ejvindh.net/viewtopic.php?t=37

Jaaaa, nu kan jeg åbne virusprogram igen, og ingen popups. Og vil gerne connecte til internettet, meeeen, når den er godt igang med at åbne f.eks www.jp.dk, så får jeg en fejlmeddelelsen "iexplore.exe har fundet en fejl og afsluttes osv." Når jeg beder om flere oplysninger om fejlen, står der "fejlsignatur: AppName: iexplore.exe AppVer: 6.0.2800.1106 ModName:flash.ocx ModVer 6.29.0 Offset:00054564
Har du et bud på hvad det skyldes?

Nu har jeg prøvet at åbne forskellige sider, og det er åbenbart kun jp.dk og eb.dk som ikke kan åbnes.
Det er nok for meget at forlange at du også har en forklaring på det, du har allerede gjort et fantastisk stykke arbejde.  Jeg er virkelig imponeret.
Jeg skynder mig at tildele dig pointene.
Mange tak for hjælpen

Du er velkommen. Angående det resterende problem, så har du ret i, at det kan være lidt svært at nå frem til en endelig løsning på det. Et par forslag har jeg dog:

-- Prøv lige at hente denne lille fil:
http://www.fbeej.ctrlaltdel.dk/Programmer/iereg.zip
Pak den ud og kør iereg.bat. Genstart og se om det har hjulpet.

-- Flash.ocx hører til "Flash Player Version 6". Hvis du har den installeret så kan det være du skal prøve at afinstallere, og så geninstallere det. Så kan det være det hjælper.

-- Hvis det heller ikke hjælper, kan du prøve et sfc-scan:
http://www.hcma.dk/tips21to30.htm#no22