Bryter seg inn på eksens maskin

[siggii]

Ok, her er den typiske sjalu eks-kjæresten:

 

De har vært sammen en stund. Gutten er sjalu, og en dag bestemmer jenta seg for å gjøre det slutt. Gutten har kanskje vært forbredt på at jenta gjør det slutt, og har derfor bestemt seg for å gjøre ukene etterpå sure for henne.

 

Det som har skjedd er at i ettertid finner jenta ut at gutten stadig titter innom pc´n hennes. Han leser gamle MSN-logger og ser på bilder. Holder seg stort sett oppdatert på eks-kjærestens hverdag.

 

Det jeg lurer på da, det er: Kan dette være realistisk? Eller lettere sagt, hvor realistisk? Vet ikke hvor datakyndig han er, men kan han ha lagt inn et program på maskinen hennes når han satt på den før bruddet, som gjør at han enkelt kan koble seg på maskinen gjennom nett? Evt. hvilket, hva gjør det og hvordan sperrer man det?

 

Er det andre måter en gjennomsnittlig datakyndig person kan koble seg på å få slike friheter?

(tenker da på en vanlig person, kan mye om data, men ikke så mye at han kan skikkelik mye. Tenker ikke på en nerd. Skjønner?)

 

Håper noen kan svare. Hadde vært greit å få orden på.

[DeadManWalking]

Det er avhengig av om vedkommende kjenner en nerd! Tihi, for min del er dette en smal sak. Jeg kan fint skrive programmet selv også, så dette er en smalsak for noen som virkelig vet hva dem driver med. Og hvordan dette kan oppdages? Ja, jeg ville sjekket nettbruk av alle programmer. Aktivert en brannmur, mer kan man ikke gjøre. Så sant det han bruker ikke er oppdaget av antivirusprogrammet hjelper ikke det.

 

Det er ikke liten sannsynlighet, det lar seg gjøre. Og det er kommersielle programmer som tilbyr dette om jeg ikke tar helt feil?

[siggii]

hmm.. Jeg kjenner jo ikke typen da. Men av det jeg blr fortalt er han ikke en supernerd, men kan jo godt hende kammeraten er. Det som virker mest sannsynlig for meg er at han bruker et ferdig koda program. Legger det inn som en trojaner etc på maskinen hennes og kobler seg enkelt på fra sin maskin med et passord eller noe...

 

Må få noen til å se på den maskinen da.

[snippsat]

He ja det beste er er om du poster noen logger.

Er det noe som ikke skal være der fjerner vi det.

 

Når pcen er ren er eneste mulighet og bryte se inn på pcen igjen,ikke at jeg tro han har gjort det i første omgang.

 

Når det gjelder msn er rådet alltid det samme bytt passord.

Msn har bra sikkerhet,det er som regel at noen får tak i passord og logger seg inn på andres konto.

 

Bedere sikkerheten er en mulighet nå er de 2 beste brannvegger gratis så det koster ingen ting og få bra sikkerhet.

 

Last ned HijackThis legg i egen mappe på skrivebordet.

Start programmet og velg "Trykk scan og save log" .

Loggfilen kopierer du og limer inn i posten din.

Helst med skjult tekst [1skjul] logg her [1/skjul] fjern 1 for skjult tekst.

 

Last Combofix ned ,legg på skrivebordet.

Ikke klikk på vindu mens programet kjører.

post logg C:\combofix.txt

[r2d290]

Jeg snubla over et program i forrige uke som gjorde nettop dette: logget alt av msn-adresser, internettsider, ny vinduer som ble åpnet, alt av bilder, det var en innebygget keylogger, og alt kunne lagres til en html-fil som enkelt kan lastes opp på internett for å spionere.

 

Combofix vil avsløre alt av programmer som er installert, så hvis du legger ut en combofix-logg, kan vi kanskje se om det er en synder...

 

edit: litt sen der :/

Endret 6. mai 2008 av r2d290

[siggii]

Takk for svar folkens. Skal prøve å få henne til å kjøre hijack for logg så fort som mulig. Finner jeg ikke noe rart selv, så poster jeg det her.

 

Forresten, morsomt så mange bra svar man får i løpet av en halvtime

[r2d290]

Vel, "antivirus og datasikkerhet" er en ganske aktiv del av forumet.

 

Finner jeg ikke noe rart selv, så poster jeg det her.

1. Dersom du ikke har veldig god erfaring med hjt, så synes jeg du skal legge de ut uansett

 

2. Husk å få henne til å kjøre combofix også (ikke bare hijack)

[vargaz]

Etter 2år med administrasjon av skole maskiner, har jeg erfart at de som skal gjøre noe slikt ikke trenger å være datakyndige i det heletatt. De kan 1, google etter et slikt program 2, spørre på et forum 3, spørre noen de kjenner. Slike program er enkle å få tak i om man er interesert. Slik er det med alt.. man trenger ikke å være nerd for å være en jævel på photoshop. Kan godt hende man holder mye på med det og leser masser av tutorials.. trenger ikke være en hacker for å hacke, er bare å google etter programmer som gjør slikt for deg.

[Gusty]

Gutar og jentar. Her er loggen, slå dykk løs!

Combofix gir ikke nødvendigvis mye da dette kan ha pågått over lengre tid, så la oss se hva vi får ut av HJT først.

Klikk for å se/fjerne innholdet nedenfor

Logfile of Trend Micro HijackThis v2.0.2

Scan saved at 21:43:33, on 05.05.2008

Platform: Windows XP SP2 (WinNT 5.01.2600)

MSIE: Internet Explorer v7.00 (7.00.6000.16640)

Boot mode: Normal

 

Running processes:

C:\WINDOWS\System32\smss.exe

C:\WINDOWS\system32\csrss.exe

C:\WINDOWS\system32\winlogon.exe

C:\WINDOWS\system32\services.exe

C:\WINDOWS\system32\lsass.exe

C:\WINDOWS\system32\svchost.exe

C:\WINDOWS\system32\svchost.exe

C:\WINDOWS\System32\svchost.exe

C:\Programfiler\Intel\Wireless\Bin\EvtEng.exe

C:\Programfiler\Intel\Wireless\Bin\S24EvMon.exe

C:\Programfiler\Norman\Npm\Bin\eLogsvc.exe

C:\Programfiler\Norman\Npm\Bin\Zanda.exe

C:\WINDOWS\system32\svchost.exe

C:\WINDOWS\system32\svchost.exe

C:\WINDOWS\system32\spoolsv.exe

c:\programfiler\fellesfiler\logishrd\lvmvfm\LVPrcSrv.exe

C:\WINDOWS\system32\acs.exe

C:\Programfiler\Bonjour\mDNSResponder.exe

C:\WINDOWS\System32\svchost.exe

C:\Programfiler\Fellesfiler\LogiShrd\LVCOMSER\LVComSer.exe

C:\Programfiler\Microsoft LifeCam\MSCamS32.exe

C:\Programfiler\Intel\Wireless\Bin\RegSrvc.exe

C:\Programfiler\Spyware Doctor\pctsAuxs.exe

C:\Programfiler\Spyware Doctor\pctsSvc.exe

C:\Programfiler\Spyware Doctor\pctsTray.exe

C:\WINDOWS\system32\svchost.exe

C:\Programfiler\Windows Media Player\WMPNetwk.exe

C:\Programfiler\Fellesfiler\LogiShrd\LVCOMSER\LVComSer.exe

C:\WINDOWS\System32\alg.exe

C:\WINDOWS\ATK0100\HControl.exe

C:\WINDOWS\system32\igfxtray.exe

C:\WINDOWS\system32\hkcmd.exe

C:\WINDOWS\system32\igfxpers.exe

C:\Programfiler\Intel\Wireless\bin\ZCfgSvc.exe

C:\WINDOWS\ATK0100\ATKOSD.exe

C:\Programfiler\Intel\Wireless\Bin\ifrmewrk.exe

C:\Programfiler\Intel\Wireless\Bin\EOUWiz.exe

C:\Programfiler\ASUS WLAN Adapter\ACU.exe

C:\Programfiler\Java\jre1.6.0_05\bin\jusched.exe

C:\WINDOWS\RTHDCPL.EXE

C:\Programfiler\Sony Ericsson\Mobile2\Application Launcher\Application Launcher.exe

C:\Programfiler\Fellesfiler\LogiShrd\LComMgr\Communications_Helper.exe

C:\Programfiler\Logitech\QuickCam\Quickcam.exe

C:\WINDOWS\vVX6000.exe

C:\Programfiler\Norman\Npm\Bin\ZLH.EXE

C:\Programfiler\QuickTime\QTTask.exe

C:\WINDOWS\system32\ctfmon.exe

C:\Programfiler\Windows Media Player\WMPNSCFG.exe

C:\Programfiler\Fellesfiler\Logishrd\LQCVFX\COCIManager.exe

C:\Programfiler\Fellesfiler\Teleca Shared\Generic.exe

C:\Programfiler\Windows Media Player\wmplayer.exe

C:\Programfiler\MSN Messenger\msnmsgr.exe

C:\WINDOWS\explorer.exe

C:\Programfiler\Mozilla Firefox\firefox.exe

C:\Documents and Settings\XXX XXX\Skrivebord\hijackthis.exe

C:\WINDOWS\system32\wbem\wmiprvse.exe

 

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.startsiden.no/

R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://go.microsoft.com/fwlink/?LinkId=69157

R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://go.microsoft.com/fwlink/?LinkId=54896

R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = http://go.microsoft.com/fwlink/?LinkId=54896

R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = http://go.microsoft.com/fwlink/?LinkId=69157

R1 - HKCU\Software\Microsoft\Internet Connection Wizard,ShellNext = http://www.startsiden.no/

R1 - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings,ProxyOverride = *.local

R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Koblinger

R3 - URLSearchHook: Share_Accelerator_MM toolbar - {4596013b-6c31-408b-a266-deae5c086dc2} - C:\Programfiler\Share_Accelerator_MM\tbShar.dll

O2 - BHO: Adobe PDF Reader Link Helper - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Programfiler\Fellesfiler\Adobe\Acrobat\ActiveX\AcroIEHelper.dll

O2 - BHO: (no name) - {0BC8058C-BC95-429B-9D5A-FC3B6E5964D8} - c:\windows\system32\sdpblbu.dll

O2 - BHO: (no name) - {259F616C-A300-44F5-B04A-ED001A26C85C} - (no file)

O2 - BHO: Share_Accelerator_MM toolbar - {4596013b-6c31-408b-a266-deae5c086dc2} - C:\Programfiler\Share_Accelerator_MM\tbShar.dll

O2 - BHO: SSVHelper Class - {761497BB-D6F0-462C-B6EB-D4DAF1D92D43} - C:\Programfiler\Java\jre1.6.0_05\bin\ssv.dll

O2 - BHO: (no name) - {7E853D72-626A-48EC-A868-BA8D5E23E045} - (no file)

O2 - BHO: Windows Live Sign-in Helper - {9030D464-4C02-4ABF-8ECC-5164760863C6} - C:\Programfiler\Fellesfiler\Microsoft Shared\Windows Live\WindowsLiveLogin.dll

O2 - BHO: (no name) - {DD3F1D10-CC7B-4D15-AFC1-65A8A058D1E3} - C:\WINDOWS\system32\msencodef.dll

O3 - Toolbar: Share_Accelerator_MM toolbar - {4596013b-6c31-408b-a266-deae5c086dc2} - C:\Programfiler\Share_Accelerator_MM\tbShar.dll

O4 - HKLM\..\Run: [HControl] C:\WINDOWS\ATK0100\HControl.exe

O4 - HKLM\..\Run: [igfxtray] C:\WINDOWS\system32\igfxtray.exe

O4 - HKLM\..\Run: [igfxhkcmd] C:\WINDOWS\system32\hkcmd.exe

O4 - HKLM\..\Run: [igfxpers] C:\WINDOWS\system32\igfxpers.exe

O4 - HKLM\..\Run: [intelZeroConfig] "C:\Programfiler\Intel\Wireless\bin\ZCfgSvc.exe"

O4 - HKLM\..\Run: [intelWireless] "C:\Programfiler\Intel\Wireless\Bin\ifrmewrk.exe" /tf Intel PROSet/Wireless

O4 - HKLM\..\Run: [EOUApp] "C:\Programfiler\Intel\Wireless\Bin\EOUWiz.exe"

O4 - HKLM\..\Run: [ACU] "C:\Programfiler\ASUS WLAN Adapter\ACU.exe" -nogui

O4 - HKLM\..\Run: [sunJavaUpdateSched] "C:\Programfiler\Java\jre1.6.0_05\bin\jusched.exe"

O4 - HKLM\..\Run: [RTHDCPL] RTHDCPL.EXE

O4 - HKLM\..\Run: [Alcmtr] ALCMTR.EXE

O4 - HKLM\..\Run: [Adobe Reader Speed Launcher] "C:\Programfiler\Adobe\Reader 8.0\Reader\Reader_sl.exe"

O4 - HKLM\..\Run: [sony Ericsson PC Suite] "C:\Programfiler\Sony Ericsson\Mobile2\Application Launcher\Application Launcher.exe" /startoptions

O4 - HKLM\..\Run: [bearShare] "C:\Programfiler\BearShare\BearShare.exe" /pause

O4 - HKLM\..\Run: [LogitechCommunicationsManager] "C:\Programfiler\Fellesfiler\LogiShrd\LComMgr\Communications_Helper.exe"

O4 - HKLM\..\Run: [LogitechQuickCamRibbon] "C:\Programfiler\Logitech\QuickCam\Quickcam.exe" /hide

O4 - HKLM\..\Run: [VX6000] C:\WINDOWS\vVX6000.exe

O4 - HKLM\..\Run: [Norman ZANDA] C:\Programfiler\Norman\Npm\Bin\ZLH.EXE /LOAD /SPLASH

O4 - HKLM\..\Run: [QuickTime Task] "C:\Programfiler\QuickTime\QTTask.exe" -atboottime

O4 - HKLM\..\Run: [iSTray] "C:\Programfiler\Spyware Doctor\pctsTray.exe"

O4 - HKLM\..\Run: [LifeCam] "C:\Programfiler\Microsoft LifeCam\LifeExp.exe"

O4 - HKCU\..\Run: [ctfmon.exe] C:\WINDOWS\system32\ctfmon.exe

O4 - HKCU\..\Run: [WMPNSCFG] C:\Programfiler\Windows Media Player\WMPNSCFG.exe

O4 - HKUS\S-1-5-19\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'LOKAL TJENESTE')

O4 - HKUS\S-1-5-20\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'NETTVERKSTJENESTE')

O4 - HKUS\S-1-5-18\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'SYSTEM')

O4 - HKUS\.DEFAULT\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'Default user')

O8 - Extra context menu item: E&ksporter til Microsoft Excel - res://C:\PROGRA~1\MICROS~2\Office12\EXCEL.EXE/3000

O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programfiler\Java\jre1.6.0_05\bin\ssv.dll

O9 - Extra 'Tools' menuitem: Sun Java Console - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programfiler\Java\jre1.6.0_05\bin\ssv.dll

O9 - Extra button: Research - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - C:\PROGRA~1\MICROS~2\Office12\REFIEBAR.DLL

O9 - Extra button: (no name) - {e2e2dd38-d088-4134-82b7-f2ba38496583} - C:\WINDOWS\Network Diagnostic\xpnetdiag.exe

O9 - Extra 'Tools' menuitem: @xpsp3res.dll,-20001 - {e2e2dd38-d088-4134-82b7-f2ba38496583} - C:\WINDOWS\Network Diagnostic\xpnetdiag.exe

O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programfiler\Messenger\msmsgs.exe

O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programfiler\Messenger\msmsgs.exe

O9 - Extra button: (no name) - SolidConverterPDF - (no file) (HKCU)

O14 - IERESET.INF: START_PAGE_URL=http://www.asus.com

O16 - DPF: {0D41B8C5-2599-4893-8183-00195EC8D5F9} (asusTek_sysctrl Class) - http://support.asus.com/common/asusTek_sys_ctrl.cab

O16 - DPF: {6414512B-B978-451D-A0D8-FCFDF33E833C} (WUWebControl Class) - http://update.microsoft.com/microsoftupdat...b?1189194794328

O16 - DPF: {6E32070A-766D-4EE6-879C-DC1FA91D2FC3} (MUWebControl Class) - http://update.microsoft.com/microsoftupdat...b?1189194762515

O20 - Winlogon Notify: vumartap - C:\WINDOWS\SYSTEM32\sdpblbu.dll

O23 - Service: ASUS Configuration Service (ACS) - Unknown owner - C:\WINDOWS\system32\acs.exe

O23 - Service: ##Id_String1.6844F930_1628_4223_B5CC_5BB94B879762## (Bonjour Service) - Apple Computer, Inc. - C:\Programfiler\Bonjour\mDNSResponder.exe

O23 - Service: Norman eLogger service 6 (eLoggerSvc6) - Norman ASA - C:\Programfiler\Norman\Npm\Bin\eLogsvc.exe

O23 - Service: Intel® PROSet/Wireless Event Log (EvtEng) - Intel Corporation - C:\Programfiler\Intel\Wireless\Bin\EvtEng.exe

O23 - Service: FLEXnet Licensing Service - Macrovision Europe Ltd. - C:\Programfiler\Fellesfiler\Macrovision Shared\FLEXnet Publisher\FNPLicensingService.exe

O23 - Service: InstallDriver Table Manager (IDriverT) - Macrovision Corporation - C:\Programfiler\Fellesfiler\InstallShield\Driver\1150\Intel 32\IDriverT.exe

O23 - Service: iPod-tjeneste (iPod Service) - Unknown owner - C:\Programfiler\iPod\bin\iPodService.exe (file missing)

O23 - Service: LVCOMSer - Logitech Inc. - C:\Programfiler\Fellesfiler\LogiShrd\LVCOMSER\LVComSer.exe

O23 - Service: Process Monitor (LVPrcSrv) - Logitech Inc. - c:\programfiler\fellesfiler\logishrd\lvmvfm\LVPrcSrv.exe

O23 - Service: LVSrvLauncher - Logitech Inc. - C:\Programfiler\Fellesfiler\LogiShrd\SrvLnch\SrvLnch.exe

O23 - Service: Norman ZANDA - Norman ASA - C:\Programfiler\Norman\Npm\Bin\Zanda.exe

O23 - Service: Intel® PROSet/Wireless Registry Service (RegSrvc) - Intel Corporation - C:\Programfiler\Intel\Wireless\Bin\RegSrvc.exe

O23 - Service: Intel® PROSet/Wireless Service (S24EventMonitor) - Intel Corporation - C:\Programfiler\Intel\Wireless\Bin\S24EvMon.exe

O23 - Service: PC Tools Auxiliary Service (sdAuxService) - PC Tools - C:\Programfiler\Spyware Doctor\pctsAuxs.exe

O23 - Service: PC Tools Security Service (sdCoreService) - PC Tools - C:\Programfiler\Spyware Doctor\pctsSvc.exe

O24 - Desktop Component 0: (no name) - http://www.toyota.no/Images/lc_05_im_tcm308-195983.jpg

 

--

End of file - 10413 bytes

 

Ilovepuseklatt

[norbat]

Det ligger noe udefinert der, men om dette er knyttet til keyloggers eller remote control prog. er jeg usikker på.

 

Kunne du ha kjørt combofix også?

 

Edit: På hvilken opplever jenta at gutten titter innom? Skjer det når hun sitter framfor PC-en?

Endret 5. mai 2008 av norbat

[Gusty]

Nei, har ikke kjørt combofix, etter min erfaring finner HJT det meste. Er det nødvendig?

 

Eneste jeg finner som er spywarerelatert i HJT-loggen er Bearshare, som inneholder spy-/adwaren Zanda, men den kan såvidt jeg vet ikke utnyttes av sjalu ekser, viser stort sett bare reklame.

 

O2 - BHO: (no name) - {DD3F1D10-CC7B-4D15-AFC1-65A8A058D1E3} - C:\WINDOWS\system32\msencodef.dll

Heter vel vanligvis "msencode.dll" uten "f"? Uansett ikke kjent som spyware.

 

O2 - BHO: (no name) - {7E853D72-626A-48EC-A868-BA8D5E23E045} - (no file)

O9 - Extra button: (no name) - SolidConverterPDF - (no file) (HKCU)

Disse er deaktiverte og unødvendige, kan trygt fikses med HJT, men ikke noe must.

 

Jeg finner ikke noe skummelt her, men kanskje noen andre ser noe ikke vi ser? Her er uansett startuploggen for spesielt interesserte:

 

Klikk for å se/fjerne innholdet nedenfor

 

StartupList report, 05.05.2008, 21:45:11

StartupList version: 1.52.2

Started from : C:\Documents and Settings\XXX XXXXXXX\Skrivebord\hijackthis.EXE

Detected: Windows XP SP2 (WinNT 5.01.2600)

Detected: Internet Explorer v7.00 (7.00.6000.16640)

* Using default options

==================================================

 

Running processes:

 

C:\WINDOWS\System32\smss.exe

C:\WINDOWS\system32\csrss.exe

C:\WINDOWS\system32\winlogon.exe

C:\WINDOWS\system32\services.exe

C:\WINDOWS\system32\lsass.exe

C:\WINDOWS\system32\svchost.exe

C:\WINDOWS\system32\svchost.exe

C:\WINDOWS\System32\svchost.exe

C:\Programfiler\Intel\Wireless\Bin\EvtEng.exe

C:\Programfiler\Intel\Wireless\Bin\S24EvMon.exe

C:\Programfiler\Norman\Npm\Bin\eLogsvc.exe

C:\Programfiler\Norman\Npm\Bin\Zanda.exe

C:\WINDOWS\system32\svchost.exe

C:\WINDOWS\system32\svchost.exe

C:\WINDOWS\system32\spoolsv.exe

c:\programfiler\fellesfiler\logishrd\lvmvfm\LVPrcSrv.exe

C:\WINDOWS\system32\acs.exe

C:\Programfiler\Bonjour\mDNSResponder.exe

C:\WINDOWS\System32\svchost.exe

C:\Programfiler\Fellesfiler\LogiShrd\LVCOMSER\LVComSer.exe

C:\Programfiler\Microsoft LifeCam\MSCamS32.exe

C:\Programfiler\Intel\Wireless\Bin\RegSrvc.exe

C:\Programfiler\Spyware Doctor\pctsAuxs.exe

C:\Programfiler\Spyware Doctor\pctsSvc.exe

C:\Programfiler\Spyware Doctor\pctsTray.exe

C:\WINDOWS\system32\svchost.exe

C:\Programfiler\Windows Media Player\WMPNetwk.exe

C:\Programfiler\Fellesfiler\LogiShrd\LVCOMSER\LVComSer.exe

C:\WINDOWS\System32\alg.exe

C:\WINDOWS\ATK0100\HControl.exe

C:\WINDOWS\system32\igfxtray.exe

C:\WINDOWS\system32\hkcmd.exe

C:\WINDOWS\system32\igfxpers.exe

C:\Programfiler\Intel\Wireless\bin\ZCfgSvc.exe

C:\WINDOWS\ATK0100\ATKOSD.exe

C:\Programfiler\Intel\Wireless\Bin\ifrmewrk.exe

C:\Programfiler\Intel\Wireless\Bin\EOUWiz.exe

C:\Programfiler\ASUS WLAN Adapter\ACU.exe

C:\Programfiler\Java\jre1.6.0_05\bin\jusched.exe

C:\WINDOWS\RTHDCPL.EXE

C:\Programfiler\Sony Ericsson\Mobile2\Application Launcher\Application Launcher.exe

C:\Programfiler\Fellesfiler\LogiShrd\LComMgr\Communications_Helper.exe

C:\Programfiler\Logitech\QuickCam\Quickcam.exe

C:\WINDOWS\vVX6000.exe

C:\Programfiler\Norman\Npm\Bin\ZLH.EXE

C:\Programfiler\QuickTime\QTTask.exe

C:\WINDOWS\system32\ctfmon.exe

C:\Programfiler\Windows Media Player\WMPNSCFG.exe

C:\Programfiler\Fellesfiler\Logishrd\LQCVFX\COCIManager.exe

C:\Programfiler\Fellesfiler\Teleca Shared\Generic.exe

C:\Programfiler\Windows Media Player\wmplayer.exe

C:\Programfiler\MSN Messenger\msnmsgr.exe

C:\WINDOWS\explorer.exe

 

--------------------------------------------------

 

Checking Windows NT UserInit:

 

[HKLM\Software\Microsoft\Windows NT\CurrentVersion\Winlogon]

UserInit = C:\WINDOWS\system32\userinit.exe,

 

--------------------------------------------------

 

Autorun entries from Registry:

HKLM\Software\Microsoft\Windows\CurrentVersion\Run

 

HControl = C:\WINDOWS\ATK0100\HControl.exe

igfxtray = C:\WINDOWS\system32\igfxtray.exe

igfxhkcmd = C:\WINDOWS\system32\hkcmd.exe

igfxpers = C:\WINDOWS\system32\igfxpers.exe

IntelZeroConfig = "C:\Programfiler\Intel\Wireless\bin\ZCfgSvc.exe"

IntelWireless = "C:\Programfiler\Intel\Wireless\Bin\ifrmewrk.exe" /tf Intel PROSet/Wireless

EOUApp = "C:\Programfiler\Intel\Wireless\Bin\EOUWiz.exe"

ACU = "C:\Programfiler\ASUS WLAN Adapter\ACU.exe" -nogui

SunJavaUpdateSched = "C:\Programfiler\Java\jre1.6.0_05\bin\jusched.exe"

RTHDCPL = RTHDCPL.EXE

Alcmtr = ALCMTR.EXE

Adobe Reader Speed Launcher = "C:\Programfiler\Adobe\Reader 8.0\Reader\Reader_sl.exe"

Sony Ericsson PC Suite = "C:\Programfiler\Sony Ericsson\Mobile2\Application Launcher\Application Launcher.exe" /startoptions

BearShare = "C:\Programfiler\BearShare\BearShare.exe" /pause

LogitechCommunicationsManager = "C:\Programfiler\Fellesfiler\LogiShrd\LComMgr\Communications_Helper.exe"

LogitechQuickCamRibbon = "C:\Programfiler\Logitech\QuickCam\Quickcam.exe" /hide

VX6000 = C:\WINDOWS\vVX6000.exe

Norman ZANDA = C:\Programfiler\Norman\Npm\Bin\ZLH.EXE /LOAD /SPLASH

QuickTime Task = "C:\Programfiler\QuickTime\QTTask.exe" -atboottime

ISTray = "C:\Programfiler\Spyware Doctor\pctsTray.exe"

LifeCam = "C:\Programfiler\Microsoft LifeCam\LifeExp.exe"

 

--------------------------------------------------

 

Autorun entries from Registry:

HKCU\Software\Microsoft\Windows\CurrentVersion\Run

 

ctfmon.exe = C:\WINDOWS\system32\ctfmon.exe

WMPNSCFG = C:\Programfiler\Windows Media Player\WMPNSCFG.exe

 

--------------------------------------------------

 

Autorun entries in Registry subkeys of:

HKLM\Software\Microsoft\Windows\CurrentVersion\Run

 

[OptionalComponents]

=

 

--------------------------------------------------

 

Autorun entries in Registry subkeys of:

HKCU\Software\Microsoft\Windows\CurrentVersion\Run

 

[AdobeUpdater]

=

 

--------------------------------------------------

 

Shell & screensaver key from C:\WINDOWS\SYSTEM.INI:

 

Shell=*INI section not found*

SCRNSAVE.EXE=*INI section not found*

drivers=*INI section not found*

 

Shell & screensaver key from Registry:

 

Shell=Explorer.exe

SCRNSAVE.EXE=C:\WINDOWS\system32\logon.scr

drivers=*Registry value not found*

 

Policies Shell key:

 

HKCU\..\Policies: Shell=*Registry key not found*

HKLM\..\Policies: Shell=*Registry value not found*

 

--------------------------------------------------

 

 

Enumerating Browser Helper Objects:

 

(no name) - C:\Programfiler\Fellesfiler\Adobe\Acrobat\ActiveX\AcroIEHelper.dll - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3}

(no name) - c:\windows\system32\sdpblbu.dll - {0BC8058C-BC95-429B-9D5A-FC3B6E5964D8}

(no name) - (no file) - {259F616C-A300-44F5-B04A-ED001A26C85C}

(no name) - C:\Programfiler\Share_Accelerator_MM\tbShar.dll - {4596013b-6c31-408b-a266-deae5c086dc2}

(no name) - C:\Programfiler\Java\jre1.6.0_05\bin\ssv.dll - {761497BB-D6F0-462C-B6EB-D4DAF1D92D43}

(no name) - (no file) - {7E853D72-626A-48EC-A868-BA8D5E23E045}

(no name) - C:\Programfiler\Fellesfiler\Microsoft Shared\Windows Live\WindowsLiveLogin.dll - {9030D464-4C02-4ABF-8ECC-5164760863C6}

(no name) - C:\WINDOWS\system32\msencodef.dll - {DD3F1D10-CC7B-4D15-AFC1-65A8A058D1E3}

 

--------------------------------------------------

 

Enumerating Task Scheduler jobs:

 

Symantec NetDetect.job

Microsoft_Hardware_Launch_setup_exe.job

AppleSoftwareUpdate.job

Microsoft_Hardware_Launch_LifeExp_exe.job

 

--------------------------------------------------

 

Enumerating Download Program Files:

 

[asusTek_sysctrl Class]

InProcServer32 = C:\WINDOWS\DOWNLO~1\ASUSTE~1.DLL

CODEBASE = http://support.asus.com/common/asusTek_sys_ctrl.cab

 

[shockwave ActiveX Control]

InProcServer32 = C:\WINDOWS\system32\macromed\Director\SwDir.dll

CODEBASE = http://download.macromedia.com/pub/shockwa...director/sw.cab

 

[WUWebControl Class]

InProcServer32 = C:\WINDOWS\system32\wuweb.dll

CODEBASE = http://update.microsoft.com/microsoftupdat...b?1189194794328

 

[MUWebControl Class]

InProcServer32 = C:\WINDOWS\system32\muweb.dll

CODEBASE = http://update.microsoft.com/microsoftupdat...b?1189194762515

 

[{8FFBE65D-2C9C-4669-84BD-5829DC0B603C}]

CODEBASE = http://fpdownload.macromedia.com/get/flash...t/ultrashim.cab

 

[shockwave Flash Object]

InProcServer32 = C:\WINDOWS\system32\Macromed\Flash\Flash9d.ocx

CODEBASE = http://fpdownload.macromedia.com/pub/shock...ash/swflash.cab

 

--------------------------------------------------

 

Enumerating Winsock LSP files:

 

NameSpace #4: C:\Programfiler\Bonjour\mdnsNSP.dll

Protocol #1: C:\Programfiler\Fellesfiler\PC Tools\LSP\PCTLsp.dll

Protocol #2: C:\Programfiler\Fellesfiler\PC Tools\LSP\PCTLsp.dll

Protocol #3: C:\Programfiler\Fellesfiler\PC Tools\LSP\PCTLsp.dll

Protocol #23: C:\Programfiler\Fellesfiler\PC Tools\LSP\PCTLsp.dll

 

--------------------------------------------------

 

Enumerating Windows NT logon/logoff scripts:

*No scripts set to run*

 

Windows NT checkdisk command:

BootExecute = autocheck autochk *

 

Windows NT 'Wininit.ini':

PendingFileRenameOperations: C:\Programfiler\Norman\nupd.sem|||\

 

--------------------------------------------------

 

Enumerating ShellServiceObjectDelayLoad items:

 

PostBootReminder: C:\WINDOWS\system32\SHELL32.dll

CDBurn: C:\WINDOWS\system32\SHELL32.dll

WebCheck: C:\WINDOWS\system32\webcheck.dll

SysTray: C:\WINDOWS\system32\stobject.dll

WPDShServiceObj: C:\WINDOWS\system32\WPDShServiceObj.dll

 

--------------------------------------------------

End of report, 9 354 bytes

Report generated in 0,156 seconds

 

 

Takker for hjelpen

[norbat]

Både C:\WINDOWS\system32\msencodef.dll og c:\windows\system32\sdpblbu.dll kan være hva som helst og hijackthis finner dessverre ikke alt. En combofix er å foretrekke, men skal ikke mase noe mer om det.

[Ueland]

Det kan jo være greit å nevne at slik overvåking som trådstarter her snakker om, selvsagt er ulovlig. Skulle man finne noen slike overvåkingsprogammer kan man vurdere å overlate saken til det lokale politiet, det er i så tilfelle viktig at man ikke fjerner spionprogrammene, slik at man gir politiet beviser og spor å jobbe videre med.

 

En annen mulighet kan og være å installere en pakkesniffer, dvs et program som lar deg vise all aktivitet over nett, på den lokale maskinen. Men er det ikke snakk om særlig datakyndige folk, er det nok ikke det enkleste å gjøre.

 

Men som andre her nevner, det er desverre både lett å finne slike programmer, og eventuelt lage slike programmer selv..