Startsidan ändras

26 december, 2004

Jag har problem med att IE hela tiden ställer om startsidan till http://default.home .. Norton hittade ett virus (Backdoor Tofger) tog bort det, har kört Ad-aware oxå men inget hjälper. Går inte att komma ut på nätet heller om jag inte går till startsidan först. Det står "Access denied-Virus warning" bara om jag t.ex. vill gå till pcforalla.se eller vilken sida whatever. Blir galen snart, har letat i alla mappar men hittar inget som ser misstänkt ut. Har brandvägg Norton antivirus, dator Compaq 6414 ca två år gammal.

26 december, 2004

Ladda hem HJT och posta en logg i Generella säkerhetsfrågor

så får du hjälp med att tolka loggen.

http://koti.mbnet.fi/pattaya1/HijackThis.exe

26 december, 2004

Kan det vara det här du menar?

Logfile of HijackThis v1.99.0

Scan saved at 15:15:45, on 2004-12-26

Platform: Windows XP SP1 (WinNT 5.01.2600)

MSIE: Internet Explorer v6.00 SP1 (6.00.2800.1106)

Running processes:

C:\WINDOWS\System32\smss.exe

C:\WINDOWS\system32\winlogon.exe

C:\WINDOWS\system32\services.exe

C:\WINDOWS\system32\lsass.exe

C:\WINDOWS\system32\svchost.exe

C:\WINDOWS\System32\svchost.exe

C:\WINDOWS\Explorer.EXE

C:\WINDOWS\system32\spoolsv.exe

C:\Program\COMPAQ\Easy Access Button Support\StartEAK.exe

C:\Program\Roxio\Easy CD Creator 5\DirectCD\DirectCD.exe

C:\Program\Analog Devices\SoundMAX\Smtray.exe

C:\Program\QuickTime\qttask.exe

C:\Program\MI948F~1\GAMECO~1\Common\SWTrayV4.exe

C:\Program\NORTON~1\navapw32.exe

C:\Program\Delade filer\Real\Update_OB\realsched.exe

C:\WINDOWS\System32\ctfmon.exe

C:\Program\Compaq\Easy Access Button Support\CPQEAKSYSTEMTRAY.EXE

C:\Program\Compaq\Easy Access Button Support\CPQEADM.EXE

C:\Program\Hewlett-Packard\Digital Imaging\bin\hpobnz08.exe

C:\Compaq\EAKDRV\EAUSBKBD.EXE

C:\Program\Hewlett-Packard\Digital Imaging\bin\hpotdd01.exe

C:\Program\Compaq\EASYAC~1\BttnServ.exe

C:\Program\Delade filer\Microsoft Shared\Works Shared\wkcalrem.exe

C:\Program\Norton AntiVirus\navapsvc.exe

C:\WINDOWS\System32\nvsvc32.exe

C:\Program\Webshots\WebshotsTray.exe

C:\Program\EFFICI~1\ENTERN~1\app\pppoeservice.exe

C:\WINDOWS\System32\svchost.exe

C:\Program\Hewlett-Packard\Digital Imaging\bin\hpoevm08.exe

C:\WINDOWS\System32\HPZipm12.exe

C:\Program\Hewlett-Packard\Digital Imaging\Bin\hpoSTS08.exe

C:\WINDOWS\System32\wuauclt.exe

C:\Program\Internet Explorer\iexplore.exe

C:\Program\Hewlett-Packard\PhotoSmart\ACDSys\ACD\ACDSee\ACDSee.exe

C:\Documents and Settings\Gert - Mellis ¤¤¤¤¤¤\Lokala inställningar\Temporary Internet Files\Content.IE5\NI0JVTC5\HijackThis[1].exe

R1 - HKCU\Software\Microsoft\Internet Explorer,SearchURL = http://sharempeg.com/find/

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://default.home'>http://default.home

R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = http://default.home

R1 - HKCU\Software\Microsoft\Internet Explorer\Search,CustomizeSearch = http://coolsearcher.info/sp.htm

R1 - HKLM\Software\Microsoft\Internet Explorer\Search,Default_Search_URL = http://www.searchv.com/search.html

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Local Page = C:\WINDOWS\about.htm

R1 - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings,ProxyOverride = localhost

R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Länkar

O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Program\Adobe\Acrobat 5.0\Reader\ActiveX\AcroIEHelper.ocx

O2 - BHO: DOMP Class - {4C1B116F-2860-46db-8E6C-B4BFC4DFD683} - C:\WINDOWS\ietlbass32.dll

O2 - BHO: PCTools Site Guard - {5C8B2A36-3DB1-42A4-A3CB-D426709BBFEB} - C:\Program\SPYWAR~1\tools\iesdsg.dll

O2 - BHO: PCTools Browser Monitor - {B56A7D7D-6927-48C8-A975-17DF180C71AC} - C:\Program\SPYWAR~1\tools\iesdpb.dll

O2 - BHO: NAV Helper - {BDF3E430-B101-42AD-A544-FADC6B084872} - C:\Program\Norton AntiVirus\NavShExt.dll

O3 - Toolbar: Norton AntiVirus - {42CDD1BF-3FFB-4238-8AD1-7859DF00B1D6} - C:\Program\Norton AntiVirus\NavShExt.dll

O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINDOWS\System32\msdxm.ocx

O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE NvQTwk,NvCplDaemon initialize

O4 - HKLM\..\Run: [CPQEASYACC] "C:\Program\COMPAQ\Easy Access Button Support\StartEAK.exe"

O4 - HKLM\..\Run: [WCOLOREAL] C:\Program\COMPAQ\Coloreal\coloreal.exe

O4 - HKLM\..\Run: [AdaptecDirectCD] "C:\Program\Roxio\Easy CD Creator 5\DirectCD\DirectCD.exe"

O4 - HKLM\..\Run: [srmclean] C:\Cpqs\Scom\srmclean.exe

O4 - HKLM\..\Run: [smapp] "C:\Program\Analog Devices\SoundMAX\Smtray.exe"

O4 - HKLM\..\Run: [Microsoft Works Portfolio] "C:\Program\Microsoft Works\WksSb.exe" /AllUsers

O4 - HKLM\..\Run: [Microsoft Works Update Detection] "C:\Program\Microsoft Works\WkDetect.exe"

O4 - HKLM\..\Run: [CXMon] "C:\Program\Hewlett-Packard\PhotoSmart\Photo Imaging\Hpi_Monitor.exe"

O4 - HKLM\..\Run: [QuickTime Task] "C:\Program\QuickTime\qttask.exe" -atboottime

O4 - HKLM\..\Run: [sideWinderTrayV4] C:\Program\MI948F~1\GAMECO~1\Common\SWTrayV4.exe

O4 - HKLM\..\Run: [NAV Agent] C:\Program\NORTON~1\navapw32.exe

O4 - HKLM\..\Run: [TkBellExe] "C:\Program\Delade filer\Real\Update_OB\realsched.exe" -osboot

O4 - HKLM\..\Run: [symantec NetDriver Monitor] C:\Program\SYMNET~1\SNDMon.exe

O4 - HKLM\..\Run: [sSC_UserPrompt] C:\Program\Delade filer\Symantec Shared\Security Center\UsrPrmpt.exe

O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\ctfmon.exe

O4 - HKCU\..\Run: [MSMSGS] "C:\Program\Messenger\msmsgs.exe" /background

O4 - HKCU\..\Run: [spyware Begone] C:\freescan\freescan.exe -FastScan

O4 - HKCU\..\Run: [spyware Doctor] "C:\Program\Spyware Doctor\swdoctor.exe" /Q

O4 - Startup: Webshots.lnk = C:\Program\Webshots\WebshotsTray.exe

O4 - Global Startup: Adobe Gamma Loader.exe.lnk = C:\Program\Delade filer\Adobe\Calibration\Adobe Gamma Loader.exe

O4 - Global Startup: hp psc 2000 Series.lnk = C:\Program\Hewlett-Packard\Digital Imaging\bin\hpobnz08.exe

O4 - Global Startup: hpoddt01.exe.lnk = ?

O4 - Global Startup: Microsoft Office.lnk = C:\Program\Microsoft Office\Office\OSA9.EXE

O4 - Global Startup: Påminnelser för Kalendern i Microsoft Works.lnk = ?

O4 - Global Startup: ZoneAlarm Pro.lnk = C:\Program\Zone Labs\ZoneAlarm\zapro.exe

O9 - Extra button: Spyware Doctor - {2D663D1A-8670-49D9-A1A5-4C56B4E14E84} - C:\Program\SPYWAR~1\tools\iesdpb.dll

O13 - DefaultPrefix: http://ehttp.cc/?'>http://ehttp.cc/?'>http://ehttp.cc/?

O13 - WWW Prefix: http://ehttp.cc/?

O13 - WWW. Prefix: http://ehttp.cc/?

O16 - DPF: {03F998B2-0E00-11D3-A498-00104B6EB52E} (MetaStreamCtl Class) - https://components.viewpoint.com/MTSInstallers/MetaStream3.cab?url=http://www.viewpoint.com/cgi-bin/vet_install_popup.pl?1&04.00.05.04&http://www9.volvo.com/truck/3dtruckconfigurator/all/fh.asp

O16 - DPF: {1D4DB7D2-6EC9-47A3-BD87-1E41684E07BB} - http://ak.imgfarm.com/images/nocache/funwebproducts/SmileyCentralInitialSetup1.0.0.6.cab

O16 - DPF: {2BC66F54-93A8-11D3-BEB6-00105AA9B6AE} (Symantec AntiVirus scanner) - http://security.symantec.com/sscv6/SharedContent/vc/bin/AvSniff.cab

O16 - DPF: {31B7EB4E-8B4B-11D1-A789-00A0CC6651A8} (Cult3D ActiveX Player) - http://www.cult3d.com/download/cult.cab

O16 - DPF: {644E432F-49D3-41A1-8DD5-E099162EEEC5} (Symantec RuFSI Utility Class) - http://security.symantec.com/sscv6/SharedContent/common/bin/cabsa.cab

O16 - DPF: {8EB3FF4E-86A1-4717-884D-7BA2D38272CB} (F-Secure Online Scanner) - http://support.f-secure.com/ols/fscax.cab

O23 - Service: Norton AntiVirus Auto-Protect - Symantec Corporation - C:\Program\Norton AntiVirus\navapsvc.exe

O23 - Service: NVIDIA Driver Helper Service - NVIDIA Corporation - C:\WINDOWS\System32\nvsvc32.exe

O23 - Service: Pml Driver HPZ12 - HP - C:\WINDOWS\System32\HPZipm12.exe

O23 - Service: PPPoE Service - Unknown - C:\Program\EFFICI~1\ENTERN~1\app\pppoeservice.exe

O23 - Service: ScriptBlocking Service - Symantec Corporation - C:\Program\DELADE~1\SYMANT~1\SCRIPT~1\SBServ.exe

O23 - Service: Symantec Network Drivers Service - Symantec Corporation - C:\Program\Delade filer\Symantec Shared\SNDSrvc.exe

O23 - Service: SymWMI Service - Symantec Corporation - C:\Program\Delade filer\Symantec Shared\Security Center\SymWSC.exe

O23 - Service: TrueVector Internet Monitor - Zone Labs Inc. - C:\WINDOWS\system32\ZoneLabs\vsmon.exe

26 december, 2004

Oj jag kanske inte borde lagt in hela loggen här utan mailat den ist? Den blev ju lite lång. Ni kanske kan ta bort den när ni läst den, tack.

26 december, 2004

Det går bra som den är. :-) Jag är inte så bra och tolka detta, men hoppas att Zipp eller 927 kan kolla det när dem har tid.

26 december, 2004

Hej GSM!

Håller helt med (@) Zipp och/eller 927 är proffs på att tolka din logg.

Men ett litet råd.......när du fått ordning på det hela och ställt in din startsida som du vill ha den. Ladda ner Spybot - Search & Destroy ( http://www.pcworld.com/downloads/file_description/0,fid,22262,00.asp ) och gå in under:

1.Mode och markera Advanced.

2.Därefter gå in under IE Tweaks och markera de 3 kryssrutorna du finner under Miscelleneous locks.

Så får du förhoppnings behålla din startsida i fortsättning.

Lycka till.

Med vänliga hälsningar

CÅ

26 december, 2004

det är risk att hijack this inte funkar/visar fel om den ligger där den finns nu. skapa en mapp på skrivbordet och flytta den dit så duger det

scanna och bocka för dessa

R1 - HKCU\Software\Microsoft\Internet Explorer,SearchURL = http://sharempeg.com/find/

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://default.home'>http://default.home

R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = http://default.home

R1 - HKCU\Software\Microsoft\Internet Explorer\Search,CustomizeSearch = http://coolsearcher.info/sp.htm

R1 - HKLM\Software\Microsoft\Internet Explorer\Search,Default_Search_URL = http://www.searchv.com/search.html

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Local Page = C:\WINDOWS\about.htm

O2 - BHO: DOMP Class - {4C1B116F-2860-46db-8E6C-B4BFC4DFD683} - C:\WINDOWS\ietlbass32.dll

O13 - DefaultPrefix: http://ehttp.cc/?'>http://ehttp.cc/?'>http://ehttp.cc/?

O13 - WWW Prefix: http://ehttp.cc/?

O13 - WWW. Prefix: http://ehttp.cc/?

sen klickar du på fix checked. starta om i felsäkert läge och tar bort filen ietlbass32.dll, om den hittas.

starta sen om som vanligt och posta en ny logg så får vi se

26 december, 2004

zipp är proffs, jag kan kanske hälften av det han kan

26 december, 2004

Okej tack allihopa som hjälp mig, nu verkar det som spywaren fått på båten iaf. Har gjort allt som sagts här injklusive laddat hem det dära spydoktorn och bockat för miscelanneous 3 st bockar. Enda kruxet nu det är att startsidan inte går att fylla i, det går inte att markera något alls, det står bara about:blank i svag stil. Men det gör inget huvudsaken det elaka scriptet försvann sin kos. Här är senaste loggen:

Logfile of HijackThis v1.99.0

Scan saved at 17:09:50, on 2004-12-26

Platform: Windows XP SP1 (WinNT 5.01.2600)

MSIE: Internet Explorer v6.00 SP1 (6.00.2800.1106)

Running processes:

C:\WINDOWS\System32\smss.exe

C:\WINDOWS\system32\winlogon.exe

C:\WINDOWS\system32\services.exe

C:\WINDOWS\system32\lsass.exe

C:\WINDOWS\system32\svchost.exe

C:\WINDOWS\System32\svchost.exe

C:\WINDOWS\Explorer.EXE

C:\WINDOWS\system32\spoolsv.exe

C:\Program\COMPAQ\Easy Access Button Support\StartEAK.exe

C:\Program\Roxio\Easy CD Creator 5\DirectCD\DirectCD.exe

C:\Program\Analog Devices\SoundMAX\Smtray.exe

C:\Program\QuickTime\qttask.exe

C:\Program\MI948F~1\GAMECO~1\Common\SWTrayV4.exe

C:\Program\NORTON~1\navapw32.exe

C:\Program\Delade filer\Real\Update_OB\realsched.exe

C:\WINDOWS\System32\ctfmon.exe

C:\Program\Spyware Doctor\swdoctor.exe

C:\Program\Compaq\Easy Access Button Support\CPQEAKSYSTEMTRAY.EXE

C:\Program\Compaq\Easy Access Button Support\CPQEADM.EXE

C:\Compaq\EAKDRV\EAUSBKBD.EXE

C:\Program\Hewlett-Packard\Digital Imaging\bin\hpobnz08.exe

C:\Program\Hewlett-Packard\Digital Imaging\bin\hpotdd01.exe

C:\Program\Compaq\EASYAC~1\BttnServ.exe

C:\Program\Delade filer\Microsoft Shared\Works Shared\wkcalrem.exe

C:\Program\Norton AntiVirus\navapsvc.exe

C:\WINDOWS\System32\nvsvc32.exe

C:\Program\EFFICI~1\ENTERN~1\app\pppoeservice.exe

C:\Program\Webshots\WebshotsTray.exe

C:\WINDOWS\System32\svchost.exe

C:\Program\Hewlett-Packard\Digital Imaging\bin\hpoevm08.exe

C:\WINDOWS\System32\HPZipm12.exe

C:\Program\Hewlett-Packard\Digital Imaging\Bin\hpoSTS08.exe

C:\WINDOWS\System32\wuauclt.exe

C:\Program\Outlook Express\msimn.exe

C:\Program\Internet Explorer\iexplore.exe

C:\Documents and Settings\Gert - Mellis ¤¤¤¤¤¤\Lokala inställningar\Temporary Internet Files\Content.IE5\NI0JVTC5\HijackThis[1].exe

R1 - HKCU\Software\Microsoft\Internet Explorer\Search,CustomizeSearch = about:blank

O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Program\Adobe\Acrobat 5.0\Reader\ActiveX\AcroIEHelper.ocx

O2 - BHO: (no name) - {53707962-6F74-2D53-2644-206D7942484F} - C:\Program\Spybot - Search & Destroy\SDHelper.dll