Intrång av "favoriter"

31 januari, 2004

Jag har fått ett par problem i Internet Explorer 5.0.

Varje gång jag startar datorn och öppnar IE har det lagt sig en ny startsida där (thesearch.com tror jag den heter, en sida jag aldrig varit på, åtminstone inte såvitt jag kan minnas). Jag brukar annars vilja ha den helt tom ("about:blank" som det heter), vilket fungerat bra hittills. Har tagit bort den ovälkomna startsidan i IE, och sen har det gått bra hela tiden jag har datorn igång. Kan också stänga IE och öppna igen och fortfarande är startsidan tom ("about:blank"). Men så fort jag startar om datorn och ska öppna IE igen är thesearch.com där igen. Har varit inne lite i registret och kollat och även tagit bort några ställen där thesearch.com-adressen förekommer, men det verkar inte hjälpa.

Den andra saken är att det lagt sig en massa länkar i mina Favoriter som jag inte vill ha där. Det började uppträda samtidigt som startsideproblemet. Samma sak där: Jag kan ta bort dem manuellt i IE och så länge datorn är på går det bra att stänga och öppna IE utan att de ovälkomna Favoriterna är med. Men så fort jag startar om datorn och öppnar IE är de där igen.

Hur ska jag komma tillrätta med dessa båda problem? Är det något ställe i registret som man kan ändra? Var och hur i så fall? Tilläggas bör kanske att jag kör Windows 2000.

31 januari, 2004

ok... de är en problem med någon typ av spyware som du har omedveten nedladdat från en w-sida (kanske på downloads.com, med vissa filer som man ladda ner får man ofta spyware på köpet, tyvärr)vissa av dom ändra inställningar på explorer, och eftersom spyware är laddat på din HD (nogostans, vete f... vart), varje gång du starta om datoren, inställningarna på explorer ändras.

Medicinen heter "Spybot - search & destroy" . Är en gratis program (utan spyware!) liknande Norton antivirus, men med gratis uppdateringar. Tycker själv att den ÄR BÄTTRE en Norton.

kan t.o.m. startas samtidig med datorn INNAN spyware laddas på RAM, och visar/fråga om filen.

Kom inte ihåg vart har jag hittat den, men sök efter den på nätet, Spybot - search & destroy

31 januari, 2004

Hej Knatte Knäpp!

Det finns två steg du behöver ta. Det första steget är att ladda ner Ad-Aware 6. Det är ett program som tar bort trackware, hijackade startsidor (startsidan är ny och kan inte ändras), oönskade favoriter, program som har lagt in utan ens vetskap och liknande. Programmet hittar du på

http://www.lavasoft.de/swedish/support/download/

Installera programmet och uppdatera referensfilen genom att klicka på "Check for updates" när du har startat upp programmet.

Frölj sedan instruktionerna på den här sidan för att göra en "full scan":

http://www.lavahelp.com/howto/fullscan/index.html

Ta bort allt som Ad-Aware hittar. Kolla nu om dina problem är borta, är de inte det så ladda ner HiJackThis här:

http://www.merijn.org/files/HijackThis.exe

Gör en "Scan" och posta loggen här på forumet så hjälper vi dig.

Lycka till!

--------------------

Jonathan Hansen

Lavasoft - Moderator and BetaTeam

http://www.lavasoftsupport.com

1 februari, 2004

Tack för tipsen Stegal och Hansen.

Jag har nu kört både Adware6.0, SpyBot Search & Destroy och HiJackThis ett flertal gånger allt efter de instruktioner som fanns i programmens Hjälp och på deras hemsidor. Har sedan startat om datorn emellan för att se effekten. Har också ställt in så att Spybot gör en scanning direkt när Windows2000 startat.

Men det kommer upp samma resultat i scanningen, trots att jag åtgärdat dessa vid förra datoromstarten och scanningen. Detta gäller även Adware och HiJackThis. Det är betydligt enklare att göra ändringarna direkt i Internet Explorer eller i Document&Settings-mappen. Det har samma effekt som de tre programmen. Någon permanent förändring blir det alltså inte.

En eller flera rubriker som kommer upp vid scanningarna är CoolWWWSearch. På SpyBots sida hämtade jag där hem CoolWWWSearch.SmartKiller v1 och v2 och körde den men det verkade inte ha någon effekt.

Vid scanningarna kom det också upp en massa rubriker med namndet BackWeb. Dessa tog jag först bort men eftersom det då uppstod ett felmeddelande som poppade upp när jag startat Windows, och fortsatte poppa upp så fort jag stängt det, återställde jag alla som hette BackWeb igen och då försvann felmeddelandet.

Vid ett tillfälle kunde jag sedan inte gå in och ändra i Internet Explorers Verktyg-Internet-alternativ. Då scannade jag igen med de tre programmen och då hittades något som kunde blockera ändringar i IE:s Internet-alternativ. Jag tog bort det och sen fungerade det igen.

Nu senast körde jag HiJackThis innan jag öppnade IE och då hittades åter en massa "the.search" dvs den adress som lägger sig som startsida. Tog bort dessa och då fanns den inte kvar när jag startade IE. Men jag misstänker att man måste ta bort dessa via någon av de tre programmen vid varje Windowsstart.

Inga av mina scanningar verkar ha någon som helst effekt på de länkar som lägger sig bland mina favoriter. De får jag ta bort för hand i IE direkt, eller lite enklare i Documents&Settings-mappen, vid varje Windowsomstart.

Någon permanent bot mot dessa problem verkar alltså inte vara i sikte. Antingen får jag ta bort det för hand vid varje Windowsstart eller finns det någon annan lösning? Skulle det hjälpa om jag installerade om IE 5.0, eller kanske uppgraderade till en nyare IE-version? Mina favoriter kan jag ju spara i en mapp och sedan lägga in ganska enkelt i den nyinstallerade IE.

Det är ju inte alldeles livsnödvändigt att få bort ovälkomna startsidor och favoriter i IE, men det vore ju skönt att bli av med skiten. Så har ni några tips efter att ha läst texten ovan, får ni gärna komma med dem.

1 februari, 2004

Knatte Knäpp , hej

Lägg HiJack This loggen här, den kan vara svår att tolka men du får hjälp med det. Det finns små program kvar som ska tas bort "för hand"

Die Hard

1 februari, 2004

Här kommer två loggar från HiJackThis. Nr 1 är som den såg ut när jag rensat bort det oönskade i IE, dels med "de tre programmen" och dels i IE direkt.

Log nr 2 visar hur det ser ut när jag sedan startat om datorn och den oönskade startsidan och de oönskade favoriterna åter tagit sig in i IE.

LOG nr 1:

Logfile of HijackThis v1.97.7

Scan saved at 16:37:56, on 2004-02-01

Platform: Windows 2000 (WinNT 5.00.2195)

MSIE: Internet Explorer v5.00 (5.00.2920.0000)

Running processes:

F:\WINNT\System32\smss.exe

F:\WINNT\system32\winlogon.exe

F:\WINNT\system32\services.exe

F:\WINNT\system32\lsass.exe

F:\WINNT\system32\svchost.exe

F:\WINNT\system32\spoolsv.exe

F:\Program\F-SECU~1\backweb\4476822\Program\SERVIC~1.EXE

F:\WINNT\System32\svchost.exe

F:\Program\F-Secure Internet Security\Anti-Virus\fsgk32st.exe

F:\Program\F-Secure Internet Security\Anti-Virus\FSGK32.EXE

F:\Program\F-Secure Internet Security\backweb\4476822\program\fsbwsys.exe

F:\Program\F-Secure Internet Security\Common\FSMA32.EXE

F:\Program\F-Secure Internet Security\Anti-Virus\fssm32.exe

F:\Program\F-Secure Internet Security\Common\FSMB32.EXE

F:\Program\Symantec\Norton Ghost 2003\GhostStartService.exe

F:\WINNT\System32\mgabg.exe

F:\Program\F-Secure Internet Security\Common\FCH32.EXE

F:\Program\F-Secure Internet Security\Common\FAMEH32.EXE

F:\Program\F-Secure Internet Security\Anti-Virus\fsav32.exe

F:\WINNT\system32\regsvc.exe

F:\WINNT\system32\MSTask.exe

F:\WINNT\system32\stisvc.exe

F:\WINNT\System32\WBEM\WinMgmt.exe

F:\Program\F-Secure Internet Security\FWES\Program\fsdfwd.exe

F:\WINNT\Explorer.exe

F:\WINNT\System32\PDesk.exe

F:\WINNT\System32\RunDll32.exe

F:\Program\F-Secure Internet Security\Common\FSM32.EXE

F:\Program\Symantec\Norton Ghost 2003\GhostStartTrayApp.exe

F:\Program\Delade filer\Real\Update_OB\realsched.exe

F:\Program\QuickTime\qttask.exe

F:\Program\F-Secure Internet Security\backweb\4476822\Program\BackWeb-4476822.exe

F:\WINNT\System32\MMTray.exe

F:\WINNT\System32\internat.exe

F:\WINNT\System32\olehelp.exe

F:\Program\HiJackThis\HijackThis.exe

R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://se.msn.com'>http://se.msn.com

R1 - HKCU\Software\Microsoft\Internet Explorer\SearchURL,(Default) = about:blank

R1 - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings,ProxyOverride = localhost

R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Länkar

O3 - Toolbar: @msdxmLC.dll,-1@1053,&Radio - {8E718888-423F-11D2-876E-00A0C9082467} - F:\WINNT\System32\msdxm.ocx

O4 - HKLM\..\Run: [synchronization Manager] mobsync.exe /logon

O4 - HKLM\..\Run: [Matrox Powerdesk] F:\WINNT\System32\PDesk.exe /Autolaunch

O4 - HKLM\..\Run: [Cmaudio] RunDll32 cmicnfg.dll,CMICtrlWnd

O4 - HKLM\..\Run: [Mirabilis ICQ] F:\Program\ICQ\ICQNet.exe

O4 - HKLM\..\Run: [F-Secure Manager] "F:\Program\F-Secure Internet Security\Common\FSM32.EXE" /splash

O4 - HKLM\..\Run: [F-Secure TNB] "F:\Program\F-Secure Internet Security\TNB\TNBUtil.exe" /CHECKALL

O4 - HKLM\..\Run: [GhostStartTrayApp] F:\Program\Symantec\Norton Ghost 2003\GhostStartTrayApp.exe

O4 - HKLM\..\Run: [TkBellExe] "F:\Program\Delade filer\Real\Update_OB\realsched.exe" -osboot

O4 - HKLM\..\Run: [QuickTime Task] "F:\Program\QuickTime\qttask.exe" -atboottime

O4 - HKLM\..\Run: [Tapicfg.exe] \tapicfg.exe

O4 - HKLM\..\Run: [MMTray] MMTray.exe

O4 - HKLM\..\Run: [Windows Security Assistant] F:\WINNT\system32\rundll32.vbe

O4 - HKLM\..\Run: [spybotSnD] "F:\Program\SpyBot\SpybotSD.exe"

O4 - HKLM\..\RunServices: [Windows Security Assistant] F:\WINNT\system32\rundll32.vbe

O4 - HKCU\..\Run: [internat.exe] internat.exe

O4 - HKCU\..\Run: [Mirabilis ICQ] F:\Program\Icq2000b\ICQ\ICQ.exe -minimize

O4 - HKCU\..\Run: [olehelp] F:\WINNT\System32\olehelp.exe

O4 - HKCU\..\Run: [Windows Security Assistant] F:\WINNT\system32\rundll32.vbe

O4 - Startup: PGPtray.lnk = F:\Program\PGP\PGP602i\PGPtray.exe

O6 - HKCU\Software\Policies\Microsoft\Internet Explorer\Restrictions present

O6 - HKCU\Software\Policies\Microsoft\Internet Explorer\Control Panel present

O9 - Extra button: ICQ Pro (HKLM)

O9 - Extra 'Tools' menuitem: ICQ (HKLM)

O9 - Extra button: Real.com (HKLM)

O14 - IERESET.INF: START_PAGE_URL=http://se.msn.com

O14 - IERESET.INF: MS_START_PAGE_URL=http://se.msn.com

O16 - DPF: ChatSpace Full Java Client 3.1.0.229 - http://surechat.com:9000/Java/cfs31229.cab'>http://surechat.com:9000/Java/cfs31229.cab

O16 - DPF: {02BF25D5-8C17-4B23-BC80-D3488ABDDC6B} (QuickTime Object) - http://www.apple.com/qtactivex/qtplugin.cab'>http://www.apple.com/qtactivex/qtplugin.cab

O16 - DPF: {166B1BCA-3F9C-11CF-8075-444553540000} (Shockwave ActiveX Control) - http://download.macromedia.com/pub/shockwave/cabs/director/sw.cab'>http://download.macromedia.com/pub/shockwave/cabs/director/sw.cab

O16 - DPF: {D27CDB6E-AE6D-11CF-96B8-444553540000} (Shockwave Flash Object) - http://download.macromedia.com/pub/shockwave/cabs/flash/swflash.cab'>http://download.macromedia.com/pub/shockwave/cabs/flash/swflash.cab

O16 - DPF: {f760cb9e-c60f-4a89-890e-fae8b849493e} -

LOG nr 2:

Logfile of HijackThis v1.97.7

Scan saved at 16:45:22, on 2004-02-01

Platform: Windows 2000 (WinNT 5.00.2195)

MSIE: Internet Explorer v5.00 (5.00.2920.0000)

Running processes:

F:\WINNT\System32\smss.exe

F:\WINNT\system32\winlogon.exe

F:\WINNT\system32\services.exe

F:\WINNT\system32\lsass.exe

F:\WINNT\system32\svchost.exe

F:\WINNT\system32\spoolsv.exe

F:\Program\F-SECU~1\backweb\4476822\Program\SERVIC~1.EXE

F:\WINNT\System32\svchost.exe

F:\Program\F-Secure Internet Security\Anti-Virus\fsgk32st.exe

F:\Program\F-Secure Internet Security\Anti-Virus\FSGK32.EXE

F:\Program\F-Secure Internet Security\backweb\4476822\program\fsbwsys.exe

F:\Program\F-Secure Internet Security\Common\FSMA32.EXE

F:\Program\F-Secure Internet Security\Anti-Virus\fssm32.exe

F:\Program\F-Secure Internet Security\Common\FSMB32.EXE

F:\Program\Symantec\Norton Ghost 2003\GhostStartService.exe

F:\WINNT\System32\mgabg.exe

F:\Program\F-Secure Internet Security\Common\FCH32.EXE

F:\Program\F-Secure Internet Security\Common\FAMEH32.EXE

F:\Program\F-Secure Internet Security\Anti-Virus\fsav32.exe

F:\WINNT\system32\regsvc.exe

F:\WINNT\system32\MSTask.exe

F:\WINNT\system32\stisvc.exe

F:\WINNT\System32\WBEM\WinMgmt.exe

F:\Program\F-Secure Internet Security\FWES\Program\fsdfwd.exe

F:\WINNT\Explorer.exe

F:\WINNT\System32\PDesk.exe

F:\WINNT\System32\RunDll32.exe

F:\Program\F-Secure Internet Security\Common\FSM32.EXE

F:\Program\Symantec\Norton Ghost 2003\GhostStartTrayApp.exe

F:\Program\Delade filer\Real\Update_OB\realsched.exe

F:\Program\QuickTime\qttask.exe

F:\WINNT\System32\MMTray.exe

F:\Program\F-Secure Internet Security\backweb\4476822\Program\BackWeb-4476822.exe

F:\WINNT\System32\internat.exe

F:\WINNT\System32\olehelp.exe

F:\Program\HiJackThis\HijackThis.exe

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,SearchURL = http://thesearchs.com'>http://thesearchs.com'>http://thesearchs.com'>http://thesearchs.com

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Bar = http://thesearchs.com/search.html'>http://thesearchs.com/search.html'>http://thesearchs.com/search.html'>http://thesearchs.com/search.html'>http://thesearchs.com/search.html'>http://thesearchs.com/search.html'>http://thesearchs.com/search.html

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = http://thesearchs.com/search.html

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://thesearchs.com

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://thesearchs.com/search.html

R1 - HKLM\Software\Microsoft\Internet Explorer\Main,SearchURL = http://thesearchs.com

R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = http://thesearchs.com

R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Bar = http://thesearchs.com/search.html

R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = http://thesearchs.com/search.html

R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://se.msn.com

R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://thesearchs.com/search.html

R0 - HKLM\Software\Microsoft\Internet Explorer\Search,SearchAssistant = http://thesearchs.com/search.html

R1 - HKCU\Software\Microsoft\Internet Explorer\SearchURL,(Default) = http://find4u.net/index.htm

R1 - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings,ProxyOverride = localhost

R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Länkar

O3 - Toolbar: @msdxmLC.dll,-1@1053,&Radio - {8E718888-423F-11D2-876E-00A0C9082467} - F:\WINNT\System32\msdxm.ocx

O4 - HKLM\..\Run: [synchronization Manager] mobsync.exe /logon

O4 - HKLM\..\Run: [Matrox Powerdesk] F:\WINNT\System32\PDesk.exe /Autolaunch

O4 - HKLM\..\Run: [Cmaudio] RunDll32 cmicnfg.dll,CMICtrlWnd

O4 - HKLM\..\Run: [Mirabilis ICQ] F:\Program\ICQ\ICQNet.exe

O4 - HKLM\..\Run: [F-Secure Manager] "F:\Program\F-Secure Internet Security\Common\FSM32.EXE" /splash

O4 - HKLM\..\Run: [F-Secure TNB] "F:\Program\F-Secure Internet Security\TNB\TNBUtil.exe" /CHECKALL

O4 - HKLM\..\Run: [GhostStartTrayApp] F:\Program\Symantec\Norton Ghost 2003\GhostStartTrayApp.exe

O4 - HKLM\..\Run: [TkBellExe] "F:\Program\Delade filer\Real\Update_OB\realsched.exe" -osboot

O4 - HKLM\..\Run: [QuickTime Task] "F:\Program\QuickTime\qttask.exe" -atboottime

O4 - HKLM\..\Run: [Tapicfg.exe] \tapicfg.exe

O4 - HKLM\..\Run: [MMTray] MMTray.exe

O4 - HKLM\..\Run: [Windows Security Assistant] F:\WINNT\system32\rundll32.vbe

O4 - HKLM\..\Run: [spybotSnD] "F:\Program\SpyBot\SpybotSD.exe"

O4 - HKLM\..\RunServices: [Windows Security Assistant] F:\WINNT\system32\rundll32.vbe

O4 - HKCU\..\Run: [internat.exe] internat.exe

O4 - HKCU\..\Run: [Mirabilis ICQ] F:\Program\Icq2000b\ICQ\ICQ.exe -minimize

O4 - HKCU\..\Run: [olehelp] F:\WINNT\System32\olehelp.exe

O4 - HKCU\..\Run: [Windows Security Assistant] F:\WINNT\system32\rundll32.vbe

O4 - Startup: PGPtray.lnk = F:\Program\PGP\PGP602i\PGPtray.exe

O6 - HKCU\Software\Policies\Microsoft\Internet Explorer\Restrictions present

O6 - HKCU\Software\Policies\Microsoft\Internet Explorer\Control Panel present

O9 - Extra button: ICQ Pro (HKLM)

O9 - Extra 'Tools' menuitem: ICQ (HKLM)

O9 - Extra button: Real.com (HKLM)

O14 - IERESET.INF: START_PAGE_URL=http://se.msn.com

O14 - IERESET.INF: MS_START_PAGE_URL=http://se.msn.com

O16 - DPF: ChatSpace Full Java Client 3.1.0.229 - http://surechat.com:9000/Java/cfs31229.cab

O16 - DPF: {02BF25D5-8C17-4B23-BC80-D3488ABDDC6B} (QuickTime Object) - http://www.apple.com/qtactivex/qtplugin.cab

O16 - DPF: {166B1BCA-3F9C-11CF-8075-444553540000} (Shockwave ActiveX Control) - http://download.macromedia.com/pub/shockwave/cabs/director/sw.cab

O16 - DPF: {D27CDB6E-AE6D-11CF-96B8-444553540000} (Shockwave Flash Object) - http://download.macromedia.com/pub/shockwave/cabs/flash/swflash.cab

O16 - DPF: {f760cb9e-c60f-4a89-890e-fae8b849493e} -

Hittar ni något i dessa loggar som går att åtgärda för att komma åt problemet, vore jag verkligen tacksam.

1 februari, 2004

Knatte Knäpp, :-))

Stäng alla öppna program samt Internet Explorer, kör HiJack This och sätt en bock bredvid följande detaljer, sedan klicka "Fix Checked":

[FET]R1 - HKCU\Software\Microsoft\Internet Explorer\Main,SearchURL = http://thesearchs.com'>http://thesearchs.com'>http://thesearchs.com'>http://thesearchs.com