Jobbiga ikoner

[calle bengtsson]

Hej. Jag har för ett tag sedan fått upp 4 nya ikoner på mitt skrivbord, det är något i stil med casino online, poker, find a date och liknande. jag har försökt ta bort dom med flera olika anti spyware program, men inget har fungerat. någon som har en idé?

 

tack

 

[Cecilia]

Du får ta ut en logg med HijackThis så att det går att se vad som händer på din dator. Programmet finns här:

http://www.spywareinfo.com/~merijn/downloads.html

Kör, skanna och spara loggen (inget annat).

 

I ditt svar här skriver du hur det har gått och bifogar loggen på detta sätt:

Tryck på LOG-knappen i Besvara-fönstret

Klistra in loggen

Tryck igen på LOG-knappen

 

[calle bengtsson]

[log]Logfile of HijackThis v1.99.1

Scan saved at 14:41:42, on 2005-05-29

Platform: Windows XP SP2 (WinNT 5.01.2600)

MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)

 

Running processes:

C:\WINDOWS\System32\smss.exe

C:\WINDOWS\system32\winlogon.exe

C:\WINDOWS\system32\services.exe

C:\WINDOWS\system32\lsass.exe

C:\WINDOWS\system32\svchost.exe

C:\WINDOWS\System32\svchost.exe

C:\WINDOWS\system32\spoolsv.exe

C:\Program\CA\eTrust EZ Armor\eTrust EZ Antivirus\isafe.exe

C:\WINDOWS\system32\nvsvc32.exe

C:\WINDOWS\System32\svchost.exe

C:\Program\CA\ETRUST~1\ETRUST~1\VetMsg.exe

C:\WINDOWS\SYSTEM32\ZoneLabs\vsmon.exe

C:\WINDOWS\BCMSMMSG.exe

C:\Program\Messenger Plus! 3\MsgPlus.exe

C:\Program\MSN Apps\Updater\01.03.0000.1005\sv\msnappau.exe

C:\Program\Delade filer\Real\Update_OB\realsched.exe

C:\Program\CA\ETRUST~1\ETRUST~1\VetTray.exe

C:\Program\CA\eTrust EZ Armor\eTrust EZ Firewall\ca.exe

C:\WINDOWS\system32\RUNDLL32.EXE

C:\WINDOWS\SYSTEM32\tbctray.exe

C:\Program\PeerGuardian pr14\PeerGuardian_1.99b_pr14.exe

C:\Program\MSN Messenger\msnmsgr.exe

c:\program\intern~1\iexplore.exe

C:\Program\Internet Explorer\iexplore.exe

C:\Program\Windows Media Player\wmplayer.exe

C:\WINDOWS\system32\drwtsn32.exe

C:\WINDOWS\system32\drwtsn32.exe

C:\Program\Mozilla Firefox\firefox.exe

C:\Program\Microsoft Office\Office\WINWORD.EXE

C:\WINDOWS\system32\drwtsn32.exe

C:\WINDOWS\system32\taskmgr.exe

C:\WINDOWS\explorer.exe

C:\Documents and Settings\Calle Bengtsson_2\Skrivbord\Säkerhet\HijackThis.exe

 

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://www.euro.dell.com/countries/se/sve/gen/default.htm

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Bar = http://www.ssxqvbdpfw.com/v665mKPiXdlu82gwlXr25RGUlydkUH4uaSPs0pBixis4D4h1IViMI1zfLA3ZURcO.html

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.gciopoyhgumdqibsegbatyj.net/v665mKPiXdmr8ppCywt/Huy1O3tRx0v_UQiIR0Bnp1Q.html

O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Program\Adobe\Acrobat 5.0\Reader\ActiveX\AcroIEHelper.ocx

O2 - BHO: (no name) - {293DBF88-76E3-2FCA-612E-0540BA41AF7F} - C:\DOCUME~1\LASSEB~1\APPLIC~1\ONLINE~1\Warn Scr.exe (file missing)

O2 - BHO: (no name) - {53707962-6F74-2D53-2644-206D7942484F} - C:\Program\SPYBOT~1\SDHelper.dll

O2 - BHO: (no name) - {72FE4A2E-EB3D-2B92-3717-1EA67E9437B3} - C:\DOCUME~1\CALLEB~2\APPLIC~1\ONLINE~1\Warn Scr.exe

O2 - BHO: ST - {9394EDE7-C8B5-483E-8773-474BF36AF6E4} - C:\Program\MSN Apps\ST\01.03.0000.1005\en-xu\stmain.dll

O2 - BHO: Google Toolbar Helper - {AA58ED58-01DD-4d91-8333-CF10577473F7} - c:\program\google\googletoolbar2.dll

O2 - BHO: MSNToolBandBHO - {BDBD1DAD-C946-4A17-ADC1-64B5B4FF55D0} - C:\Program\MSN Apps\MSN Toolbar\01.02.4000.1001\sv\msntb.dll

O3 - Toolbar: MSN - {BDAD1DAD-C946-4A17-ADC1-64B5B4FF55D0} - C:\Program\MSN Apps\MSN Toolbar\01.02.4000.1001\sv\msntb.dll

O3 - Toolbar: &Google - {2318C2B1-4965-11d4-9B18-009027A5CD4F} - c:\program\google\googletoolbar2.dll

O3 - Toolbar: Easy-WebPrint - {327C2873-E90D-4c37-AA9D-10AC9BABA46C} - C:\Program\Canon\Easy-WebPrint\Toolband.dll

O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\system32\NvCpl.dll,NvStartup

O4 - HKLM\..\Run: [bCMSMMSG] BCMSMMSG.exe

O4 - HKLM\..\Run: [WorksFUD] C:\Program\Microsoft Works\wkfud.exe

O4 - HKLM\..\Run: [Microsoft Works Portfolio] C:\Program\Microsoft Works\WksSb.exe /AllUsers

O4 - HKLM\..\Run: [Microsoft Works Update Detection] C:\Program\Microsoft Works\WkDetect.exe

O4 - HKLM\..\Run: [NeroCheck] C:\WINDOWS\system32\NeroCheck.exe

O4 - HKLM\..\Run: [iCONFIG.EXE] C:\Program\DELADE~1\SHUTTL~1\ICONFIG.EXE "Software\Shuttle Technology\80000010"

O4 - HKLM\..\Run: [nwiz] nwiz.exe /install

O4 - HKLM\..\Run: [aiepk] C:\Documents and Settings\Lasse Bengtsson Ann\Skrivbord\aiepk.exe

O4 - HKLM\..\Run: [MessengerPlus3] "C:\Program\Messenger Plus! 3\MsgPlus.exe"

O4 - HKLM\..\Run: [msnappau] "C:\Program\MSN Apps\Updater\01.03.0000.1005\sv\msnappau.exe"

O4 - HKLM\..\Run: [TkBellExe] "C:\Program\Delade filer\Real\Update_OB\realsched.exe" -osboot

O4 - HKLM\..\Run: [Loud obj chic style] C:\Documents and Settings\All Users\Application Data\Soap flap loud obj\boob support.exe

O4 - HKLM\..\Run: [VetTray] C:\Program\CA\ETRUST~1\ETRUST~1\VetTray.exe

O4 - HKLM\..\Run: [Zone Labs Client] "C:\Program\CA\eTrust EZ Armor\eTrust EZ Firewall\ca.exe"

O4 - HKLM\..\Run: [NvMediaCenter] RUNDLL32.EXE C:\WINDOWS\system32\NvMcTray.dll,NvTaskbarInit

O4 - HKLM\..\Run: [Easy-PrintToolBox] C:\Program\Canon\Easy-PrintToolBox\BJPSMAIN.EXE /logon

O4 - HKLM\..\Run: [TraySantaCruz] C:\WINDOWS\SYSTEM32\tbctray.exe

O4 - HKLM\..\Run: [Less Win Pile Grey] C:\Documents and Settings\All Users\Application Data\ARMYMOVELESSWIN\Mapiaim.exe

O4 - HKCU\..\Run: [PeerGuardian] C:\Program\PeerGuardian pr14\PeerGuardian_1.99b_pr14.exe

O4 - HKCU\..\Run: [MessengerPlus3] "C:\Program\Messenger Plus! 3\MsgPlus.exe" /WinStart

O4 - HKCU\..\Run: [OpenFilm] C:\DOCUME~1\CALLEB~2\APPLIC~1\EQMFCD~1\remote start.exe

O4 - HKCU\..\Run: [msnmsgr] "C:\Program\MSN Messenger\msnmsgr.exe" /background

O4 - Global Startup: Adobe Gamma Loader.lnk = C:\Program\Delade filer\Adobe\Calibration\Adobe Gamma Loader.exe

O8 - Extra context menu item: &Google Search - res://c:\program\google\GoogleToolbar2.dll/cmsearch.html

O8 - Extra context menu item: Backward Links - res://c:\program\google\GoogleToolbar2.dll/cmbacklinks.html

O8 - Extra context menu item: Cached Snapshot of Page - res://c:\program\google\GoogleToolbar2.dll/cmcache.html

O8 - Extra context menu item: Easy-WebPrint Add To Print List - res://C:\Program\Canon\Easy-WebPrint\Resource.dll/RC_AddToList.html

O8 - Extra context menu item: Easy-WebPrint High Speed Print - res://C:\Program\Canon\Easy-WebPrint\Resource.dll/RC_HSPrint.html

O8 - Extra context menu item: Easy-WebPrint Preview - res://C:\Program\Canon\Easy-WebPrint\Resource.dll/RC_Preview.html

O8 - Extra context menu item: Easy-WebPrint Print - res://C:\Program\Canon\Easy-WebPrint\Resource.dll/RC_Print.html

O8 - Extra context menu item: Similar Pages - res://c:\program\google\GoogleToolbar2.dll/cmsimilar.html

O8 - Extra context menu item: Translate into English - res://c:\program\google\GoogleToolbar2.dll/cmtrans.html

O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program\Messenger\msmsgs.exe

O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program\Messenger\msmsgs.exe

O12 - Plugin for .mp3: C:\Program\Internet Explorer\PLUGINS\npqtplugin4.dll

O12 - Plugin for ôå: C:\Program\Internet Explorer\PLUGINS\npqtplugin5.dll

O16 - DPF: {17492023-C23A-453E-A040-C7C580BBF700} (Windows Genuine Advantage Validation Tool) - http://go.microsoft.com/fwlink/?linkid=36467&clcid=0x409

O16 - DPF: {2917297F-F02B-4B9D-81DF-494B6333150B} (Minesweeper Flags Class) - http://messenger.zone.msn.com/binary/MineSweeper.cab

O16 - DPF: {41F17733-B041-4099-A042-B518BB6A408C} - http://a1540.g.akamai.net/7/1540/52/20021126/qtinstall.info.apple.com/sikes/se/win/QuickTimeInstaller.exe

O16 - DPF: {4F1E5B1A-2A80-42CA-8532-2D05CB959537} (MSN Photo Upload Tool) - http://by13fd.bay13.hotmail.msn.com/resources/MsnPUpld.cab

O16 - DPF: {56336BCB-3D8A-11D6-A00B-0050DA18DE71} (RdxIE Class) - http://software-dl.real.com/116b41ab43700fa9c920/netzip/RdxIE601.cab

O16 - DPF: {58172624-85DD-4482-9E64-02ADCA637E96} - http://www.kungfuchess.com/activex/web580.cab

O16 - DPF: {7099D57A-2CF3-4919-9874-A035F8193AA0} (InstaladorCharisma Control) - http://www.redzone.nu/download/charisma/instaladorcharisma.cab

O16 - DPF: {83873F92-B99B-400A-9E36-52B5F4970FB7} (FileSharingCtrl Class) - http://appdirectory.messenger.msn.com/AppDirectory/P4Apps/FileSharing/sv/filesharingctrl.cab

O16 - DPF: {8E0D4DE5-3180-4024-A327-4DFAD1796A8D} (MessengerStatsClient Class) - http://messenger.zone.msn.com/binary/MessengerStatsClient.cab

O16 - DPF: {F04A8AE2-A59D-11D2-8792-00C04F8EF29D} (Hotmail Attachments Control) - http://by2fd.bay2.hotmail.msn.com/activex/HMAtchmt.ocx

O16 - DPF: {F6BF0D00-0B2A-4A75-BF7B-F385591623AF} (Solitaire Showdown Class) - http://messenger.zone.msn.com/binary/SolitaireShowdown.cab

O23 - Service: CA ISafe (CAISafe) - Computer Associates International, Inc. - C:\Program\CA\eTrust EZ Armor\eTrust EZ Antivirus\isafe.exe

O23 - Service: Intel® NMS (NMSSvc) - Intel Corporation - C:\WINDOWS\System32\NMSSvc.exe

O23 - Service: NVIDIA Display Driver Service (NVSvc) - NVIDIA Corporation - C:\WINDOWS\system32\nvsvc32.exe

O23 - Service: VET Message Service (VETMSGNT) - Computer Associates International, Inc. - C:\Program\CA\ETRUST~1\ETRUST~1\VetMsg.exe

O23 - Service: TrueVector Internet Monitor (vsmon) - Zone Labs Inc. - C:\WINDOWS\SYSTEM32\ZoneLabs\vsmon.exe

 

[/log]

 

[Cecilia]

Messenger Plus 3 är ökänt för att installera spionprogram på datorn om man inte är väldigt noggrann och avbockar/svarar nej på allt som har med sponsorprogram att göra under installationen. Om du inte är alldeles säker på att du gjorde det så avinstallera programmet från Kontrollpanelen - Lägg till och ta bort. Läs noggrannt vad som kommer upp under avinstallationen, för det håller på och trixar då också.

 

Det ser ut som att du har två brandväggar igång dels PeerGuardian och dels eTrust/ZoneLabs. Att ha två brandväggar ger inget ytterligare skydd och kan leda till långsam dator pga konflikter mellan de två programmen.

 

Var säker på att du förstår allt nedan innan du fortsätter, fråga annars.

 

För att du inte ska råka återställa datorn till ett läge med dessa och tidigare otrevligheter i så bör du ta bort alla systemåterställningspunkter genom att avaktivera systemåterställningsfunktionen.

Den här datorn - högerklick - Egenskaper - Systemåterställning

Funktionen ska sedan sättas på när datorn är ren.

 

För att HijackThis ska kunna spara säkerhetskopior på det den tar bort måste den körbara filen HijackThis.exe ligga i sin egen mapp. Skapa en ny mapp t ex Skrivbord\Säkerhet\HjT och lägg den körbara filen HijackThis.exe där.

 

[log]Kör HijackThis och skanna. Bocka för dessa rader (om de fortfarande finns kvar):

 

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Bar = http://www.ssxqvbdpfw.com/v665mKPiXdlu82gwlXr25RGUlydkUH4uaSPs0pB

ixis4D4h1IViMI1zfLA3ZURcO.html

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.gciopoyhgumdqibsegbatyj.net/v665mKPiXdmr8ppCywt/Huy1O3

tRx0v_UQiIR0Bnp1Q.html

O2 - BHO: (no name) - {293DBF88-76E3-2FCA-612E-0540BA41AF7F} - C:\DOCUME~1\LASSEB~1\APPLIC~1\ONLINE~1\Warn Scr.exe (file missing)

O2 - BHO: (no name) - {72FE4A2E-EB3D-2B92-3717-1EA67E9437B3} - C:\DOCUME~1\CALLEB~2\APPLIC~1\ONLINE~1\Warn Scr.exe

O4 - HKLM\..\Run: [Loud obj chic style] C:\Documents and Settings\All Users\Application Data\Soap flap loud obj\boob support.exe

O4 - HKLM\..\Run: [Less Win Pile Grey] C:\Documents and Settings\All Users\Application Data\ARMYMOVELESSWIN\Mapiaim.exe

O4 - HKCU\..\Run: [OpenFilm] C:\DOCUME~1\CALLEB~2\APPLIC~1\EQMFCD~1\remote start.exe

O16 - DPF: {56336BCB-3D8A-11D6-A00B-0050DA18DE71} (RdxIE Class) - http://software-dl.real.com/116b41ab43700fa9c920/netzip/RdxIE601.

cab

O16 - DPF: {58172624-85DD-4482-9E64-02ADCA637E96} - http://www.kungfuchess.com/activex/web580.cab

 

Avsluta alla program och fönster förutom HijackThis.

 

Tryck på Fix checked.

 

Starta om i felsäkert läge (F8 upprepade gånger under uppstarten).

 

Ställ in Utforskaren så att du kan se alla filer:

Verktyg - (Mapp)alternativ eller liknande - Visning

Välj Visa dolda filer och mappar

Avbocka Dölj filnamnstillägg för kända filtyper

Avbocka Dölj skyddade operativsystemfiler

Bocka för Visa innehållet i systemmappar

 

Ta bort mapparna:

C:\DOCUME~1\LASSEB~1\APPLIC~1\ONLINE~1

C:\DOCUME~1\CALLEB~2\APPLIC~1\ONLINE~1

C:\Documents and Settings\All Users\Application Data\Soap flap loud obj

C:\Documents and Settings\All Users\Application Data\ARMYMOVELESSWIN

C:\DOCUME~1\CALLEB~2\APPLIC~1\EQMFCD~1

där ~1 står för ett antal godtyckliga tecken.

 

Det ser ut som att det finns flera användare/konton på datorn. Då måste allt ovanstående upprepas för samtliga användare.

 

Starta om datorn i normalt läge och ta ut en ny HijackThis-logg.[/log]

 

[znej]

PeerGuardian är inte någon vanlig brandvägg. Den används för att stoppa piratjägare när man laddar ner med fildelningsprogram. Den kan användas tillsammans med en riktig brandvägg som ZoneAlarm.