Hjelp til å fjerne browser hijack

[glotón]

Har et problem med en pc. Det har kommet inn noe jeg tror er en browser hijack på den. Nå maskinen er tilkoblet internett åpner den automatisk Internet explorer og går inn på div xxx sider. Disse vinduene kommer tilbake uansett hvor mange ganger de blir lukket. Men hvis internett forbindelsen blir slått av skjer det ingenting.

 

Jeg har prøvd div. spyware removere og anti-virus, men sålangt har ingenting fungert. Har dere noen tips? Har jeg bare brukt feil programmer, eller er det andre muligheter for å løse problemet?

 

Takker på forhånd for all hjelp!

[zjulik]

Hijackthis (sig).

[glotón]

Jeg har nå lastet ned HijackThis og kjørt den. Jeg slettet noen filer, men jeg forstod ikke alt, hivs noen hadde hatt tid til å se gjennom loggen hadde jeg blitt meget takknemmelig!!

 

Logfile of HijackThis v1.99.1

Scan saved at 21:42:06, on 27.07.2005

Platform: Windows XP SP2 (WinNT 5.01.2600)

MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)

 

Running processes:

C:\WINDOWS\System32\smss.exe

C:\WINDOWS\system32\winlogon.exe

C:\WINDOWS\system32\services.exe

C:\WINDOWS\system32\lsass.exe

C:\WINDOWS\system32\svchost.exe

C:\WINDOWS\System32\svchost.exe

C:\WINDOWS\Explorer.EXE

C:\Program Files\Common Files\Symantec Shared\ccSetMgr.exe

C:\Program Files\Common Files\Symantec Shared\SPBBC\SPBBCSvc.exe

C:\Program Files\Common Files\Symantec Shared\ccEvtMgr.exe

C:\WINDOWS\system32\spoolsv.exe

C:\Program Files\Norton AntiVirus\navapsvc.exe

C:\Program Files\Norton AntiVirus\IWP\NPFMntor.exe

C:\Program Files\Common Files\Symantec Shared\CCPD-LC\symlcsvc.exe

C:\WINDOWS\system32\wscntfy.exe

C:\Program Files\Norton AntiVirus\SAVScan.exe

C:\Program Files\Common Files\Symantec Shared\ccApp.exe

C:\WINDOWS\system32\bcmwltry.exe

C:\WINDOWS\system32\spool\drivers\w32x86\3\hpztsb11.exe

C:\Program Files\HP\HP Software Update\HPWuSchd2.exe

C:\Program Files\HP\hpcoretech\hpcmpmgr.exe

C:\WINDOWS\system32\hphmon06.exe

C:\WINDOWS\system32\ctfmon.exe

C:\Program Files\Microsoft ActiveSync\WCESCOMM.EXE

C:\Program Files\Internet Explorer\iexplore.exe

C:\WINDOWS\system32\HPZipm12.exe

C:\WINDOWS\System32\svchost.exe

C:\Program Files\HP\Digital Imaging\bin\hpqgalry.exe

C:\DriverLoad\svchost.exe

C:\DriverLoad\svchost.exe

C:\DriverLoad\svchost.exe

C:\DriverLoad\svchost.exe

C:\DriverLoad\svchost.exe

C:\Documents and Settings\Administrator\Desktop\hijack\hijackthis\HijackThis.exe

 

O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Program Files\Adobe\Acrobat 7.0\ActiveX\AcroIEHelper.dll

O2 - BHO: CNavExtBho Class - {BDF3E430-B101-42AD-A544-FADC6B084872} - C:\Program Files\Norton AntiVirus\NavShExt.dll

O3 - Toolbar: Norton AntiVirus - {42CDD1BF-3FFB-4238-8AD1-7859DF00B1D6} - C:\Program Files\Norton AntiVirus\NavShExt.dll

O4 - HKLM\..\Run: [ccApp] "C:\Program Files\Common Files\Symantec Shared\ccApp.exe"

O4 - HKLM\..\Run: [bcmwltry] bcmwltry.exe

O4 - HKLM\..\Run: [removecpl] RemoveCpl.exe

O4 - HKLM\..\Run: [symantec NetDriver Monitor] C:\PROGRA~1\SYMNET~1\SNDMon.exe /Consumer

O4 - HKLM\..\Run: [HPDJ Taskbar Utility] C:\WINDOWS\system32\spool\drivers\w32x86\3\hpztsb11.exe

O4 - HKLM\..\Run: [HPHUPD06] C:\Program Files\HP\{AAC4FC36-8F89-4587-8DD3-EBC57C83374D}\hphupd06.exe

O4 - HKLM\..\Run: [HP Software Update] "C:\Program Files\HP\HP Software Update\HPWuSchd2.exe"

O4 - HKLM\..\Run: [HP Component Manager] "C:\Program Files\HP\hpcoretech\hpcmpmgr.exe"

O4 - HKLM\..\Run: [HPHmon06] C:\WINDOWS\system32\hphmon06.exe

O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\ctfmon.exe

O4 - HKCU\..\Run: [Gadu-Gadu] "C:\Program Files\Gadu-Gadu\gg.exe" /tray

O4 - HKCU\..\Run: [H/PC Connection Agent] "C:\Program Files\Microsoft ActiveSync\WCESCOMM.EXE"

O4 - Global Startup: HP Digital Imaging Monitor.lnk = C:\Program Files\HP\digital imaging\bin\hpqtra08.exe

O4 - Global Startup: HP Image Zone Hurtigstart.lnk = C:\Program Files\HP\digital imaging\bin\hpqthb08.exe

O4 - Global Startup: Hurtigstart for Adobe Reader.lnk = C:\Program Files\Adobe\Acrobat 7.0\Reader\reader_sl.exe

O4 - Global Startup: Microsoft Office.lnk = C:\Program Files\Microsoft Office\Office10\OSA.EXE

O8 - Extra context menu item: E&xport to Microsoft Excel - res://C:\PROGRA~1\MICROS~2\Office10\EXCEL.EXE/3000

O9 - Extra button: Create Mobile Favorite - {2EAF5BB1-070F-11D3-9307-00C04FAE2D4F} - C:\Program Files\Microsoft ActiveSync\INETREPL.DLL

O9 - Extra button: (no name) - {2EAF5BB2-070F-11D3-9307-00C04FAE2D4F} - C:\Program Files\Microsoft ActiveSync\INETREPL.DLL

O9 - Extra 'Tools' menuitem: Create Mobile Favorite... - {2EAF5BB2-070F-11D3-9307-00C04FAE2D4F} - C:\Program Files\Microsoft ActiveSync\INETREPL.DLL

O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe

O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe

O16 - DPF: {6414512B-B978-451D-A0D8-FCFDF33E833C} (WUWebControl Class) - http://v5.windowsupdate.microsoft.com/v5co...b?1096994668029

O20 - Winlogon Notify: igfxcui - C:\WINDOWS\SYSTEM32\igfxsrvc.dll

O23 - Service: Symantec Event Manager (ccEvtMgr) - Symantec Corporation - C:\Program Files\Common Files\Symantec Shared\ccEvtMgr.exe

O23 - Service: Symantec Password Validation (ccPwdSvc) - Symantec Corporation - C:\Program Files\Common Files\Symantec Shared\ccPwdSvc.exe

O23 - Service: Symantec Settings Manager (ccSetMgr) - Symantec Corporation - C:\Program Files\Common Files\Symantec Shared\ccSetMgr.exe

O23 - Service: Norton AntiVirus Auto-Protect Service (navapsvc) - Symantec Corporation - C:\Program Files\Norton AntiVirus\navapsvc.exe

O23 - Service: Norton AntiVirus Firewall Monitor Service (NPFMntor) - Symantec Corporation - C:\Program Files\Norton AntiVirus\IWP\NPFMntor.exe

O23 - Service: Pml Driver HPZ12 - HP - C:\WINDOWS\system32\HPZipm12.exe

O23 - Service: SAVScan - Symantec Corporation - C:\Program Files\Norton AntiVirus\SAVScan.exe

O23 - Service: ScriptBlocking Service (SBService) - Symantec Corporation - C:\PROGRA~1\COMMON~1\SYMANT~1\SCRIPT~1\SBServ.exe

O23 - Service: Symantec Network Drivers Service (SNDSrvc) - Symantec Corporation - C:\Program Files\Common Files\Symantec Shared\SNDSrvc.exe

O23 - Service: Symantec SPBBCSvc (SPBBCSvc) - Symantec Corporation - C:\Program Files\Common Files\Symantec Shared\SPBBC\SPBBCSvc.exe

O23 - Service: Symantec Core LC - Symantec Corporation - C:\Program Files\Common Files\Symantec Shared\CCPD-LC\symlcsvc.exe

[zjulik]

Det var veldig synd for analysen at du "slettet noen filer".

Styggedommen din ligger her:

 

C:\DriverLoad\svchost.exe

C:\DriverLoad\svchost.exe

C:\DriverLoad\svchost.exe

C:\DriverLoad\svchost.exe

C:\DriverLoad\svchost.exe

 

Dette er et trojanervirus. Men det starter ikke av seg selv. Noe du har tat bort i loggen har startet denne filen med maskinen din.

 

Vel - det er i og for seg bare bra at du har tatt bort linjene. Slett så bare mappen DriverLoad, og tøm tempfiler etc rikelig med CrapCleaner (sig), så skulle sjansene være gode for at du er ok.

[glotón]

 

Supert, ingenting popper opp lenger!

 

Mange, mange takk for hjelpen!!

[Mendel]

Håper du har lært nå at du ikke skal surfe på XXX sider. Aldri akseptere eller cancel på popup vinduer, bruk x'en i hjørnet for å lukke disse.

Og ikke minst fjern eventuelle p2p klienter, kazaa og disse tjenestene pleier som regel å inneholde mye virus og spyware.

Har desverre sett for mange tilfeller av fu**ed opp systemer pga disse programmene.

[glotón]

He he, jeg har lært for lenge siden, men om han som eier pc'en har lært er en annen sak...

[Colossus]

Flere svchost.exe betyr virus?

[miCro]

Flere svchost.exe betyr virus?

Nei.

 

http://www.processlibrary.com/directory/fi...chost/index.php

[zjulik]

Nei, nei - for all del ikke!!!

At du har mange svchost.exe i oppgavebehandling er helt normalt.

Men i dette tilfelle gikk det frem av loggen at det befant seg en svchost.exe på et sted der den absolutt ikke skulle være - nemlig i en mappe kalt DriverLoad.

 

Den riktige svchost.exe ligger i Windows/System32.

 

Mange virus "kamuflerer seg" ved å kalle seg selv svchost.exe og ligge andre steder enn den riktige. Andre kamuflerer seg ved å ligge på rett sted, men hete noe som ligner - svhost32.exe, for eksempel.

 

Denne kamuflasjen gjør dem vanskeligere å finne, og det kan og hende at man tror noe er virus mens det ikke er.

 

Derfor er det HijackThis er så praktisk, for der ser du ikke bare hvilke filer som kjører, men også hvopr de befinner seg, og hva som starter dem.

 

Altså - du har kanskje 5 eller 7 eller flere svchost.exe i din oppgavebehandling. Det er helt normalt. Jeg har 4 akkurat nå. Det varierer etter hva som foregår på maskinen din i øyeblikket.

[Colossus]

Ok, takk. Sjekket akkurat maskinen med HijackThis og fant ingen ting.