Startside forsvundet
  Søren
Antal indlæg: 7

Hej Spywarefri.dk

Har læst indlægget fra peterjesper og har nøjagtig samme problem. Min startside er forsvundet hver gang jeg skal på Nettet, og en side der starter med blank og dernæst finder en side med sex-links dukker op. Har også set jeres svar til ham, men nu er jeg ikke lige frem en haj til computere så ville gerne om I ville ulejlige jer endnu en gang med at hjælpe mig af med problemet (skær det gerne ud i pap smile). Har kørt både ad-Aware 6.0 og Spybot, men intet ser ud til at fungere..

På forhånd tak

Søren

Antal indlæg: 176

Hej Søren.

Du skal lige som peterjesper følge vejledningen i denne link fra punkt 1-3: http://www.spywarefri.dk/hjtanv.htm

  Søren
Antal indlæg: 7

Værsgo:

Logfile of HijackThis v1.97.7
Scan saved at 18:13:51, on 18-03-2004
Platform: Windows XP SP1 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP1 (6.00.2800.1106)

Running processes:
C:/WINDOWS/System32/smss.exe
C:/WINDOWS/system32/winlogon.exe
C:/WINDOWS/system32/services.exe
C:/WINDOWS/system32/lsass.exe
C:/WINDOWS/system32/svchost.exe
C:/WINDOWS/System32/svchost.exe
C:/WINDOWS/system32/spoolsv.exe
C:/WINDOWS/System32/nvsvc32.exe
C:/WINDOWS/System32/svchost.exe
C:/WINDOWS/Explorer.EXE
C:/WINDOWS/SOUNDMAN.EXE
C:/WINDOWS/SOINTGR.EXE
C:/Programmer/Winamp3/winampa.exe
C:/Programmer/MSN Messenger/MsnMsgr.Exe
C:/Programmer/Hewlett-Packard/Digital Imaging/bin/hpohmr08.exe
C:/Programmer/Hewlett-Packard/Digital Imaging/bin/hpotdd01.exe
C:/Programmer/Fælles filer/Microsoft Shared/Works Shared/wkcalrem.exe
C:/Programmer/Microsoft Office/Office/OSA.EXE
C:/Programmer/Hewlett-Packard/Digital Imaging/bin/hpoevm08.exe
C:/Programmer/Internet Explorer/iexplore.exe
C:/Programmer/Hewlett-Packard/Digital Imaging/Bin/hpoSTS08.exe
C:/WINDOWS/System32/wuauclt.exe
C:/Documents and Settings/Søren/Dokumenter/Modtagne filer/HijackThis.exe

R1 - HKCU/Software/Microsoft/Internet Explorer/Main,Search Bar = http://bmjqdo.t.rack.cc/sp.php (obfuscated)
R1 - HKCU/Software/Microsoft/Internet Explorer/Main,Search Page = http://bmjqdo.t.rack.cc/sp.php (obfuscated)
R0 - HKCU/Software/Microsoft/Internet Explorer/Main,Start Page = http://bmjqdo.t.rack.cc/hp.php (obfuscated)
R1 - HKCU/Software/Microsoft/Internet Explorer/Search,SearchAssistant = http://bmjqdo.t.rack.cc/sp.php (obfuscated)
R1 - HKCU/Software/Microsoft/Internet Explorer/Search,CustomizeSearch = about:blank
R0 - HKLM/Software/Microsoft/Internet Explorer/Main,Start Page = http://bmjqdo.t.rack.cc/hp.php (obfuscated)
R1 - HKLM/Software/Microsoft/Internet Explorer/Main,Search Bar = http://bmjqdo.t.rack.cc/sp.php (obfuscated)
R1 - HKLM/Software/Microsoft/Internet Explorer/Main,Search Page = http://bmjqdo.t.rack.cc/sp.php (obfuscated)
R1 - HKLM/Software/Microsoft/Internet Explorer/Main,Default_Page_URL = http://www.medion.com/
R0 - HKLM/Software/Microsoft/Internet Explorer/Search,SearchAssistant = http://bmjqdo.t.rack.cc/sp.php (obfuscated)
R1 - HKCU/Software/Microsoft/Internet Explorer/SearchURL,(Default) = about:blank
R1 - HKCU/Software/Microsoft/Internet Explorer/Main,HomeOldSP = http://bmjqdo.t.rack.cc/hp.php (obfuscated)
R0 - HKCU/Software/Microsoft/Internet Explorer/Toolbar,LinksFolderName = Hyperlinks
O2 - BHO: (no name) - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:/Programmer/Adobe/Acrobat 5.0/Reader/ActiveX/AcroIEHelper.ocx
O2 - BHO: (no name) - {1F48AA48-C53A-4E21-85E7-AC7CC6B5FFAD} - C:/DOCUME~1/SREN~1/LOKALE~1/Temp/winmkin.dll
O3 - Toolbar: &Radio; - {8E718888-423F-11D2-876E-00A0C9082467} - C:/WINDOWS/System32/msdxm.ocx
O4 - HKLM/../Run: [NvCplDaemon] RUNDLL32.EXE NvQTwk,NvCplDaemon initialize
O4 - HKLM/../Run: [nwiz] nwiz.exe /install
O4 - HKLM/../Run: [SoundMan] SOUNDMAN.EXE
O4 - HKLM/../Run: [NeroCheck] C:/WINDOWS/System32//NeroCheck.exe
O4 - HKLM/../Run: [SO5 Integrator Pass Two] C:/WINDOWS/SOINTGR.EXE
O4 - HKLM/../Run: [WinampAgent] “C:/Programmer/Winamp3/winampa.exe”
O4 - HKLM/../Run: [sys] regedit -s sys.reg
O4 - HKCU/../Run: [msnmsgr] “C:/Programmer/MSN Messenger/MsnMsgr.Exe” /background
O4 - Startup: Microsoft Hurtig søgning.lnk = C:/Programmer/Microsoft Office/Office/FINDFAST.EXE
O4 - Startup: Microsoft Office-start.lnk = C:/Programmer/Microsoft Office/Office/OSA.EXE
O4 - Global Startup: hp psc 1000 series.lnk = ?
O4 - Global Startup: hpoddt01.exe.lnk = ?
O4 - Global Startup: Microsoft Office.lnk = C:/Programmer/Microsoft Office/Office/OSA9.EXE
O4 - Global Startup: Microsoft Works Calendar Reminders.lnk = ?
O6 - HKCU/Software/Policies/Microsoft/Internet Explorer/Control Panel present
O9 - Extra button: SEARCH (HKLM)
O9 - Extra button: ANTIVIRUS (HKLM)
O9 - Extra button: ENTERTAINMENT (HKLM)
O9 - Extra button: SECURITY (HKLM)
O9 - Extra button: SEARCH (HKLM)
O14 - IERESET.INF: START_PAGE_URL=http://www.medion.com/
O16 - DPF: {166B1BCA-3F9C-11CF-8075-444553540000} (Shockwave ActiveX Control) - http://download.macromedia.com/pub/shockwave/cabs/director/sw.cab
O16 - DPF: {9F1C11AA-197B-4942-BA54-47A8489BB47F} (Update Class) - http://v4.windowsupdate.microsoft.com/CAB/x86/unicode/iuctl.CAB?37846.9721412037
O16 - DPF: {D27CDB6E-AE6D-11CF-96B8-444553540000} (Shockwave Flash Object) - http://download.macromedia.com/pub/shockwave/cabs/flash/swflash.cab
O16 - DPF: {D8089245-3211-40F6-819B-9E5E92CD61A2} (FlashXControl Object) - https://register3.valueactive.com/vip_236/webolr/OCX/FlashAX.cab
O16 - DPF: {D8575CE3-3432-4540-88A9-85A1325D3375} (e-Safekey®) - https://netbank.danskebank.dk/html/activex/e-Safekey/DB/e-Safekey.cab
O16 - DPF: {F6A56D95-A3A3-11D2-AC26-400000058481} (Danske e-Sec) - https://netbank.danskebank.dk/html/activex/danskesikker/DB/DanskeSikker.cab

På forhånd tak

Søren

Redaktør
Avatar
Antal indlæg: 11785

Hent CWShredder her:

http://www.spywareinfo.com/~merijn/files/CWShredder.exe

Kør programmet, tjek for updates, luk alle vinduer, undtagen CWShredder, klik på Fix. Programmet scanner nu. Når det er færdigt, så klik på Next og Exit.

Genstart og derefter sender du en ny HijackThis-log herind.

 

Signatur

Med venlig hilsen
Resist TeamSpywarefri

Member of: Alliance of Security Analysis Professionals

  Søren
Antal indlæg: 7

Her er så den nye Hijack-logfile..

Logfile of HijackThis v1.97.7
Scan saved at 21:29:15, on 18-03-2004
Platform: Windows XP SP1 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP1 (6.00.2800.1106)

Running processes:
C:/WINDOWS/System32/smss.exe
C:/WINDOWS/system32/winlogon.exe
C:/WINDOWS/system32/services.exe
C:/WINDOWS/system32/lsass.exe
C:/WINDOWS/system32/svchost.exe
C:/WINDOWS/System32/svchost.exe
C:/WINDOWS/system32/spoolsv.exe
C:/WINDOWS/Explorer.EXE
C:/WINDOWS/SOUNDMAN.EXE
C:/WINDOWS/SOINTGR.EXE
C:/Programmer/Winamp3/winampa.exe
C:/Programmer/MSN Messenger/MsnMsgr.Exe
C:/Programmer/Hewlett-Packard/Digital Imaging/bin/hpohmr08.exe
C:/Programmer/Hewlett-Packard/Digital Imaging/bin/hpotdd01.exe
C:/Programmer/Fælles filer/Microsoft Shared/Works Shared/wkcalrem.exe
C:/Programmer/Microsoft Office/Office/OSA.EXE
C:/WINDOWS/System32/nvsvc32.exe
C:/Programmer/Hewlett-Packard/Digital Imaging/bin/hpoevm08.exe
C:/WINDOWS/System32/svchost.exe
C:/Programmer/Hewlett-Packard/Digital Imaging/Bin/hpoSTS08.exe
C:/Programmer/Internet Explorer/iexplore.exe
C:/WINDOWS/System32/wuauclt.exe
C:/Documents and Settings/Søren/Dokumenter/Modtagne filer/HijackThis.exe

R1 - HKCU/Software/Microsoft/Internet Explorer/Search,CustomizeSearch = about:blank
R1 - HKLM/Software/Microsoft/Internet Explorer/Main,Default_Page_URL = http://www.medion.com/
R1 - HKCU/Software/Microsoft/Internet Explorer/SearchURL,(Default) = about:blank
R0 - HKCU/Software/Microsoft/Internet Explorer/Toolbar,LinksFolderName = Hyperlinks
O2 - BHO: (no name) - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:/Programmer/Adobe/Acrobat 5.0/Reader/ActiveX/AcroIEHelper.ocx
O2 - BHO: (no name) - {1F48AA48-C53A-4E21-85E7-AC7CC6B5FFAD} - C:/DOCUME~1/SREN~1/LOKALE~1/Temp/winmkin.dll
O3 - Toolbar: &Radio; - {8E718888-423F-11D2-876E-00A0C9082467} - C:/WINDOWS/System32/msdxm.ocx
O4 - HKLM/../Run: [NvCplDaemon] RUNDLL32.EXE NvQTwk,NvCplDaemon initialize
O4 - HKLM/../Run: [nwiz] nwiz.exe /install
O4 - HKLM/../Run: [SoundMan] SOUNDMAN.EXE
O4 - HKLM/../Run: [NeroCheck] C:/WINDOWS/System32//NeroCheck.exe
O4 - HKLM/../Run: [SO5 Integrator Pass Two] C:/WINDOWS/SOINTGR.EXE
O4 - HKLM/../Run: [WinampAgent] “C:/Programmer/Winamp3/winampa.exe”
O4 - HKCU/../Run: [msnmsgr] “C:/Programmer/MSN Messenger/MsnMsgr.Exe” /background
O4 - Startup: Microsoft Hurtig søgning.lnk = C:/Programmer/Microsoft Office/Office/FINDFAST.EXE
O4 - Startup: Microsoft Office-start.lnk = C:/Programmer/Microsoft Office/Office/OSA.EXE
O4 - Global Startup: hp psc 1000 series.lnk = ?
O4 - Global Startup: hpoddt01.exe.lnk = ?
O4 - Global Startup: Microsoft Office.lnk = C:/Programmer/Microsoft Office/Office/OSA9.EXE
O4 - Global Startup: Microsoft Works Calendar Reminders.lnk = ?
O14 - IERESET.INF: START_PAGE_URL=http://www.medion.com/
O16 - DPF: {166B1BCA-3F9C-11CF-8075-444553540000} (Shockwave ActiveX Control) - http://download.macromedia.com/pub/shockwave/cabs/director/sw.cab
O16 - DPF: {9F1C11AA-197B-4942-BA54-47A8489BB47F} (Update Class) - http://v4.windowsupdate.microsoft.com/CAB/x86/unicode/iuctl.CAB?37846.9721412037
O16 - DPF: {D27CDB6E-AE6D-11CF-96B8-444553540000} (Shockwave Flash Object) - http://download.macromedia.com/pub/shockwave/cabs/flash/swflash.cab
O16 - DPF: {D8089245-3211-40F6-819B-9E5E92CD61A2} (FlashXControl Object) - https://register3.valueactive.com/vip_236/webolr/OCX/FlashAX.cab
O16 - DPF: {D8575CE3-3432-4540-88A9-85A1325D3375} (e-Safekey®) - https://netbank.danskebank.dk/html/activex/e-Safekey/DB/e-Safekey.cab
O16 - DPF: {F6A56D95-A3A3-11D2-AC26-400000058481} (Danske e-Sec) - https://netbank.danskebank.dk/html/activex/danskesikker/DB/DanskeSikker.cab

Redaktør
Avatar
Antal indlæg: 11785

Nu skal jeg kigge loggen igennem.

Signatur

Med venlig hilsen
Resist TeamSpywarefri

Member of: Alliance of Security Analysis Professionals

Redaktør
Avatar
Antal indlæg: 11785

Følg vejledningen her: http://www.spywarefri.dk/hjtanv.htm (punkt 4-5). Fix disse med HijackThis:

R1 - HKCU/Software/Microsoft/Internet Explorer/Search,CustomizeSearch = about:blank
R1 - HKCU/Software/Microsoft/Internet Explorer/SearchURL,(Default) = about:blank

O2 - BHO: (no name) - {1F48AA48-C53A-4E21-85E7-AC7CC6B5FFAD} - C:/DOCUME~1/SREN~1/LOKALE~1/Temp/winmkin.dll

O4 - Startup: Microsoft Hurtig søgning.lnk = C:/Programmer/Microsoft Office/Office/FINDFAST.EXE
O4 - Startup: Microsoft Office-start.lnk = C:/Programmer/Microsoft Office/Office/OSA.EXE
O4 - Global Startup: Microsoft Office.lnk = C:/Programmer/Microsoft Office/Office/OSA9.EXE

O16 - DPF: {166B1BCA-3F9C-11CF-8075-444553540000} (Shockwave ActiveX Control) - http://download.macromedia.com/pub/shockwave/cabs/director/sw.cab
O16 - DPF: {D8089245-3211-40F6-819B-9E5E92CD61A2} (FlashXControl Object) - https://register3.valueactive.com/vip_236/webolr/OCX/FlashAX.cab

——
Åbn en mappe, klik på Funktioner=>Mappeindstillinger=>Vis.
Fjern flueben ved “Skjul beskyttede operativsystemfiler”.
Fjern flueben ved “Skjul filtypenavne for kendte filtyper”.
Sæt prik i “Vis skjulte filer og mapper”.
——

Genstart i fejlsikret tilstand (F8 i opstart). Find og slet:

C:/DOCUME~1/SREN~1/LOKALE~1/Temp/winmkin.dll >>>> filen winmkin.dll

Genstart normalt og ny log til tjek - tak

Signatur

Med venlig hilsen
Resist TeamSpywarefri

Member of: Alliance of Security Analysis Professionals

  Søren
Antal indlæg: 7

Jeg kan ikke finde den sidste fil, men er heller ikke sikker på jeg er i fejlsikret tilstand.. Som sagt er jeg ikke nogen konge ved en computer.. hvornår skal jeg trykke F8 f.eks.?? lige så snart skærmen er sort eller??

Redaktør
Antal indlæg: 25535

Du kan taste på f8 tasten idet computeren starter op, tryk bare flere gange, så skal du nok ramme det rigtige tidspunkt.

Du skal søge efter den fil der i skjulte filer, den er nemlig skjult den der.

  Søren
Antal indlæg: 7

Nu har jeg forsøgt at finde den fil i fejlsikret tilstand og har også søgt i “skjulte mapper og filer”.. Den er der altså ikke..
Du får lige den nyeste Hijack-log, så kan du se om det stadig er helt galt.. Må desværre til køjs, da arbejdet kalder i morgen, men skriv endelig tilbage så jeg (forhåbentligt) kan blive helt fri.
Skriv også lige hvad jeg skal gøre mht den manglende fil..

Logfile of HijackThis v1.97.7
Scan saved at 00:33:45, on 19-03-2004
Platform: Windows XP SP1 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP1 (6.00.2800.1106)

Running processes:
C:/WINDOWS/System32/smss.exe
C:/WINDOWS/system32/winlogon.exe
C:/WINDOWS/system32/services.exe
C:/WINDOWS/system32/lsass.exe
C:/WINDOWS/system32/svchost.exe
C:/WINDOWS/System32/svchost.exe
C:/WINDOWS/system32/spoolsv.exe
C:/WINDOWS/Explorer.EXE
C:/WINDOWS/SOUNDMAN.EXE
C:/WINDOWS/SOINTGR.EXE
C:/Programmer/Winamp3/winampa.exe
C:/Programmer/MSN Messenger/MsnMsgr.Exe
C:/Programmer/Hewlett-Packard/Digital Imaging/bin/hpohmr08.exe
C:/Programmer/Hewlett-Packard/Digital Imaging/bin/hpotdd01.exe
C:/Programmer/Fælles filer/Microsoft Shared/Works Shared/wkcalrem.exe
C:/WINDOWS/System32/nvsvc32.exe
C:/Programmer/Hewlett-Packard/Digital Imaging/bin/hpoevm08.exe
C:/WINDOWS/System32/svchost.exe
C:/Programmer/Hewlett-Packard/Digital Imaging/Bin/hpoSTS08.exe
C:/WINDOWS/System32/wuauclt.exe
C:/Documents and Settings/Søren/Dokumenter/Modtagne filer/HijackThis.exe

R1 - HKLM/Software/Microsoft/Internet Explorer/Main,Default_Page_URL = http://www.medion.com/
R0 - HKCU/Software/Microsoft/Internet Explorer/Toolbar,LinksFolderName = Hyperlinks
O2 - BHO: (no name) - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:/Programmer/Adobe/Acrobat 5.0/Reader/ActiveX/AcroIEHelper.ocx
O3 - Toolbar: &Radio; - {8E718888-423F-11D2-876E-00A0C9082467} - C:/WINDOWS/System32/msdxm.ocx
O4 - HKLM/../Run: [NvCplDaemon] RUNDLL32.EXE NvQTwk,NvCplDaemon initialize
O4 - HKLM/../Run: [nwiz] nwiz.exe /install
O4 - HKLM/../Run: [SoundMan] SOUNDMAN.EXE
O4 - HKLM/../Run: [NeroCheck] C:/WINDOWS/System32//NeroCheck.exe
O4 - HKLM/../Run: [SO5 Integrator Pass Two] C:/WINDOWS/SOINTGR.EXE
O4 - HKLM/../Run: [WinampAgent] “C:/Programmer/Winamp3/winampa.exe”
O4 - HKCU/../Run: [msnmsgr] “C:/Programmer/MSN Messenger/MsnMsgr.Exe” /background
O4 - Global Startup: hp psc 1000 series.lnk = ?
O4 - Global Startup: hpoddt01.exe.lnk = ?
O4 - Global Startup: Microsoft Works Calendar Reminders.lnk = ?
O14 - IERESET.INF: START_PAGE_URL=http://www.medion.com/
O16 - DPF: {9F1C11AA-197B-4942-BA54-47A8489BB47F} (Update Class) - http://v4.windowsupdate.microsoft.com/CAB/x86/unicode/iuctl.CAB?37846.9721412037
O16 - DPF: {D27CDB6E-AE6D-11CF-96B8-444553540000} (Shockwave Flash Object) - http://download.macromedia.com/pub/shockwave/cabs/flash/swflash.cab
O16 - DPF: {D8575CE3-3432-4540-88A9-85A1325D3375} (e-Safekey®) - https://netbank.danskebank.dk/html/activex/e-Safekey/DB/e-Safekey.cab
O16 - DPF: {F6A56D95-A3A3-11D2-AC26-400000058481} (Danske e-Sec) - https://netbank.danskebank.dk/html/activex/danskesikker/DB/DanskeSikker.cab


Mange tak for hjælpen indtil videre.. Lad os nu få has på det lort

Søren

Redaktør
Antal indlæg: 25535

Hej Søren

Skidt med den fil du ikke kan finde, for den er væk nu.

Din computer er nu helt ren og du må gerne slå systemgendannelsen til igen.
For at sikre din pc fremover ville det være en god idé at bruge nogle af programmerne fra vores lille pakke som du kan se her:
http://www.spywarefri.dk/pakken.htm

Især vil jeg anbefale Spybot/og eller Ad-aware, SpywareBlaster, IE Privacy Keeper, IE-Spyad og SpywareGuard som minimum. De er alle gratis, fylder ikke meget, sløver ikke din pc og konflikter ikke med dine andre programmer

Og så skal du også lige skjule dine filer og mapper igen, så du ikke ved en fejl kommer til at slette en vigtig fil. Det gør du samme sted, hvor du satte det til at vise alle filer, denne gang vælger du bare: Vis ikke skjulte filer og mapper.

  Søren
Antal indlæg: 7

Mange tak for hjælpen.. Har installeret alle de programmer du anbefalede og kørt dem alle.. Lad os så håbe det er nok.. Har bare lige et sidste spørgsmål.. Da jeg kørte SpywareBlaster dukkede der en lang række “item names” op alle med rød skrift og langt de fleste “typed” som spyware.. Skal jeg gøre noget ved dem og så tilfælde hvordan..??

Ellers rigtig mange tak for hjælpen.. Håber det fungerer nu

Søren

Redaktør
Antal indlæg: 25535

Hej Søren

Når alle de adresser der er røde, så er du endnu ikke beskyttet mod de ting. Det du skal gøre er, at du klikker på : Select All og derefter på Protect Against Checked items

Inden du gør det, er det en rigtig god idé at klikke på check for update.

Prøv lige at kigge i min manual hvis du er i tvivl: http://www.spywarefri.dk/spybl.manuel.htm

Ellers vender du bare tilbage igen.

  Søren
Antal indlæg: 7

Så er den klaret.. Og startsiden var tilbage da jeg loggede på mit Internet nu her.. Herligt..
Meeeen.. Jeg har lige et allersidste spørgsmål til jer, som jeg kom i tanke om i dag.. På denne PC er vi 2 brugere.. Skal jeg logge på med hendes bruger og gøre noget der, eller er det hele fixet nu..??

Tusind tak for hjælpen, og et tilskud til siden skal nok komme fra min side smile

Redaktør
Avatar
Antal indlæg: 21397

Det hele er fixet nu smile

Signatur

“Kræften er mit livs sværeste kamp. Jeg vil håbe, for håbet dør aldrig. Jeg vil kæmpe, for selv en svag kamp er bedre end ingen kamp.”