Hijackthis log

[Sharon]

Daar ben ik weer.... Kan iemand mij vertellen welke ik kan deleten.
Alvast bedankt
Sharon

Logfile of HijackThis v1.98.2
Scan saved at 19:35:18, on 5-12-2004
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\System32\Ati2evxx.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\spoolsv.exe
C:\PROGRA~1\Grisoft\AVG6\avgserv.exe
C:\Program Files\Common Files\Symantec Shared\ccEvtMgr.exe
C:\Program Files\Common Files\Microsoft Shared\VS7DEBUG\MDM.EXE
C:\Program Files\Norton AntiVirus\navapsvc.exe
C:\Program Files\Norton AntiVirus\AdvTools\NPROTECT.EXE
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\ZoneLabs\vsmon.exe
C:\WINDOWS\system32\Ati2evxx.exe
C:\WINDOWS\Explorer.EXE
C:\Program Files\Common Files\Symantec Shared\ccApp.exe
C:\WINDOWS\SOUNDMAN.EXE
C:\PROGRA~1\Grisoft\AVG6\avgcc32.exe
C:\Program Files\Zone Labs\ZoneAlarm\zlclient.exe
C:\WINDOWS\system32\m2gr32.exe
C:\WINDOWS\system32\ctfmon.exe
C:\Program Files\Messenger\msmsgs.exe
C:\Program Files\Internet Explorer\iexplore.exe
C:\Documents and Settings\Sharon\Local Settings\Temporary Internet Files\Content.IE5\CXE3GXIN\hijackthis[1].exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.startpagina.nl/
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Koppelingen
O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Program Files\Adobe\Acrobat 6.0\Reader\ActiveX\AcroIEHelper.dll
O2 - BHO: (no name) - {53707962-6F74-2D53-2644-206D7942484F} - C:\PROGRA~1\SPYBOT~1\SDHelper.dll
O2 - BHO: NAV Helper - {BDF3E430-B101-42AD-A544-FADC6B084872} - C:\Program Files\Norton AntiVirus\NavShExt.dll
O3 - Toolbar: Norton AntiVirus - {42CDD1BF-3FFB-4238-8AD1-7859DF00B1D6} - C:\Program Files\Norton AntiVirus\NavShExt.dll
O4 - HKLM\..\Run: [ccApp] "C:\Program Files\Common Files\Symantec Shared\ccApp.exe"
O4 - HKLM\..\Run: [ccRegVfy] "C:\Program Files\Common Files\Symantec Shared\ccRegVfy.exe"
O4 - HKLM\..\Run: [Advanced Tools Check] C:\PROGRA~1\NORTON~1\AdvTools\ADVCHK.EXE
O4 - HKLM\..\Run: [SoundMan] SOUNDMAN.EXE
O4 - HKLM\..\Run: [Fortis Secure Layer Config] cseinst.exe -o-h
O4 - HKLM\..\Run: [AVG_CC] C:\PROGRA~1\Grisoft\AVG6\avgcc32.exe /STARTUP
O4 - HKLM\..\Run: [Zone Labs Client] "C:\Program Files\Zone Labs\ZoneAlarm\zlclient.exe"
O4 - HKLM\..\Run: [NvCplD] C:\WINDOWS\system32\m2gr32.exe
O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\ctfmon.exe
O4 - HKCU\..\Run: [MSMSGS] "C:\Program Files\Messenger\msmsgs.exe" /background
O8 - Extra context menu item: E&xporteren naar Microsoft Excel - res://C:\PROGRA~1\MICROS~2\OFFICE11\EXCEL.EXE/3000
O9 - Extra button: Onderzoek - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - C:\PROGRA~1\MICROS~2\OFFICE11\REFIEBAR.DLL
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe
O16 - DPF: {4E15D681-1D20-11D4-8B72-000021DA1956} - http://www.humorcash.nl/plugins/black/bla19/nl/nl.exe
O16 - DPF: {6414512B-B978-451D-A0D8-FCFDF33E833C} (WUWebControl Class) - http://v5.windowsupdate.microsoft.com/v5consumer/V5Controls/en/x86/client/wuweb_site.cab?1096063518546
O16 - DPF: {74D05D43-3236-11D4-BDCD-00C04F9A3B61} (HouseCall Besturing) - http://a840.g.akamai.net/7/840/537/2004061001/housecall.trendmicro.com/housecall/xscan53.cab
O16 - DPF: {D27CDB6E-AE6D-11CF-96B8-444553540000} (Shockwave Flash Object) - https://download.macromedia.com/pub/shockwave/cabs/flash/swflash.cab

[Buffy]

Hoi Sharon,


Je hebt HijackThis in de map tijdelijke internetbestanden staan. Dat is niet handig, want die map wordt nogal eens geleegd en dan raak je HijackThis dus kwijt (en de back-ups die het programma aanmaakt ook). Maak dus even een eigen, permanente map voor HijackThis, bijvoorbeeld C:\Program Files\HJT. Verplaats HijackThis naar die map en draai het nu dus vanuit die map.


1. Scan met HijackThis en vink de volgende items aan:

O4 - HKLM\..\Run: [NvCplD] C:\WINDOWS\system32\m2gr32.exe

O16 - DPF: {4E15D681-1D20-11D4-8B72-000021DA1956} - http://www.humorcash.nl/plugins/black/bla19/nl/nl.exe

Sluit alle vensters behalve HijackThis zelf en klik op "Fix checked".

2. Herstart de pc in veilige modus.
Mocht je niet weten hoe dat moet, kijk dan hier even: http://www.virushelp.nl/veilige_modus.htm

Zorg ervoor dat verborgen bestanden en mappen worden weergegeven.
Hier kun je lezen hoe dat moet: http://users.telenet.be/marcvn/spyware/1117602.htm

Verwijder nu, in veilige modus dus, de volgende bestanden en mappen:

C:\WINDOWS\system32\m2gr32.exe <- dat bestand
C:\Program Files\EnterOne <- die map (indien nog aanwezig)

3. Herstart de pc in 'normale modus'.

4. Maak een nieuw log en plaats dat hier.

[Sharon]

Oké ik heb alles gedaan wat Buffy gezegd heeft, ook hetgeen hieronder staat. Sinds ik dat gedaan heb, doet mijn Internet het dus niet meer.
Ik heb overigens nu ook Firefox als standaard browser en ik heb housecall en bitdefender laten scannen.
Wat te doen?????


Verwijder nu, in veilige modus dus, de volgende bestanden en mappen:

C:\WINDOWS\system32\m2gr32.exe <- dat bestand
C:\Program Files\EnterOne <- die map (indien nog aanwezig)

3. Herstart de pc in 'normale modus'.

4. Maak een nieuw log en plaats dat hier.[/QUOTE]

[Sharon]

Ik zit nu op de PC van m'n zoon (nee hij is niet blij want hij kan nu niet MSNnen) dus ik kan geen Hijackthis log maken.

[Buffy]

Oké ik heb alles gedaan wat Buffy gezegd heeft, ook hetgeen hieronder staat. Sinds ik dat gedaan heb, doet mijn Internet het dus niet meer.

Dat je geen internet meer hebt kan onmogelijk veroorzaakt zijn door het uitvoeren van mijn instructies. Ik liet je alleen het opstartitem van EnterOne en een fout 016-item fixen en het bestand m2gr32.exe alsmede de map EnterOne verwijderen. Het is echt ondenkbaar dat die acties veroorzaken dat je internetverbinding wegvalt. Je hebt óf iets verkeerd gedaan, óf je internetverbinding is door een hele andere reden verdwenen.

Voer eens systeemherstel uit: start -> alle programma's -> bureau-accessoires -> systeemwerkset -> systeemherstel (en dan je systeem dus terugzetten naar een datum waarop het nog wel werkte).

Waarom kun je geen nieuw HijackThis-log maken? Dat snap ik niet. Daar heb je toch geen internetverbinding voor nodig?

[Sharon]

Ik ga de systeemherstel uitvoeren en kom dan terug. Ik kan geen log maken op mijn eigen computer omdat ik die log niet kan plaatsen (daar heb ik Internet voor nodig).
Ik heb overigens dubbel gechecked of ik niet de verkeerde dingen weghaalde, ik ben er dus zeker van dat ik niets heb weggehaald wat niet de bedoeling was.
De internetverbinding op de computer van mijn zoon doet het wel, dus het lijkt mij dat het iets is binnen mijn eigen computer.
ik kom later op de avond terug met de resultaten.

[Eagle Creek]

Logbestandje opslaan op diskette en via de andere PC erop zetten?

[Sharon]

Internet doet het weer. Hier is de volgende log.

Logfile of HijackThis v1.98.2
Scan saved at 10:20:48, on 8-12-2004
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\System32\Ati2evxx.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\spoolsv.exe
C:\PROGRA~1\Grisoft\AVG6\avgserv.exe
C:\Program Files\Common Files\Symantec Shared\ccEvtMgr.exe
C:\Program Files\Common Files\Microsoft Shared\VS7DEBUG\MDM.EXE
C:\Program Files\Norton AntiVirus\navapsvc.exe
C:\WINDOWS\system32\Ati2evxx.exe
C:\WINDOWS\Explorer.EXE
C:\Program Files\Norton AntiVirus\AdvTools\NPROTECT.EXE
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\ZoneLabs\vsmon.exe
C:\WINDOWS\system32\wuauclt.exe
C:\Program Files\Common Files\Symantec Shared\ccApp.exe
C:\WINDOWS\SOUNDMAN.EXE
C:\PROGRA~1\Grisoft\AVG6\avgcc32.exe
C:\Program Files\Zone Labs\ZoneAlarm\zlclient.exe
C:\WINDOWS\system32\ctfmon.exe
C:\Program Files\Messenger\msmsgs.exe
C:\WINDOWS\system32\wscntfy.exe
C:\PROGRA~1\MOZILL~1\FIREFOX.EXE
C:\Program Files\Hijackthis\hijackthis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.startpagina.nl/
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Koppelingen
O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Program Files\Adobe\Acrobat 6.0\Reader\ActiveX\AcroIEHelper.dll
O2 - BHO: (no name) - {53707962-6F74-2D53-2644-206D7942484F} - C:\PROGRA~1\SPYBOT~1\SDHelper.dll
O2 - BHO: NAV Helper - {BDF3E430-B101-42AD-A544-FADC6B084872} - C:\Program Files\Norton AntiVirus\NavShExt.dll
O3 - Toolbar: Norton AntiVirus - {42CDD1BF-3FFB-4238-8AD1-7859DF00B1D6} - C:\Program Files\Norton AntiVirus\NavShExt.dll
O4 - HKLM\..\Run: [ccApp] "C:\Program Files\Common Files\Symantec Shared\ccApp.exe"
O4 - HKLM\..\Run: [ccRegVfy] "C:\Program Files\Common Files\Symantec Shared\ccRegVfy.exe"
O4 - HKLM\..\Run: [Advanced Tools Check] C:\PROGRA~1\NORTON~1\AdvTools\ADVCHK.EXE
O4 - HKLM\..\Run: [SoundMan] SOUNDMAN.EXE
O4 - HKLM\..\Run: [Fortis Secure Layer Config] cseinst.exe -o-h
O4 - HKLM\..\Run: [AVG_CC] C:\PROGRA~1\Grisoft\AVG6\avgcc32.exe /STARTUP
O4 - HKLM\..\Run: [Zone Labs Client] "C:\Program Files\Zone Labs\ZoneAlarm\zlclient.exe"
O4 - HKLM\..\Run: [NvCplD] C:\WINDOWS\system32\m2gr32.exe
O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\ctfmon.exe
O4 - HKCU\..\Run: [MSMSGS] "C:\Program Files\Messenger\msmsgs.exe" /background
O8 - Extra context menu item: E&xporteren naar Microsoft Excel - res://C:\PROGRA~1\MICROS~2\OFFICE11\EXCEL.EXE/3000
O9 - Extra button: Onderzoek - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - C:\PROGRA~1\MICROS~2\OFFICE11\REFIEBAR.DLL
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe
O16 - DPF: {6414512B-B978-451D-A0D8-FCFDF33E833C} (WUWebControl Class) - http://v5.windowsupdate.microsoft.com/v5consumer/V5Controls/en/x86/client/wuweb_site.cab?1096063518546
O16 - DPF: {74D05D43-3236-11D4-BDCD-00C04F9A3B61} (HouseCall Besturing) - http://a840.g.akamai.net/7/840/537/2004061001/housecall.trendmicro.com/housecall/xscan53.cab
O16 - DPF: {80DD2229-B8E4-4C77-B72F-F22972D723EA} (AvxScanOnline Control) - http://www.bitdefender.com/scan/Msie/bitdefender.cab
O16 - DPF: {D27CDB6E-AE6D-11CF-96B8-444553540000} (Shockwave Flash Object) - https://download.macromedia.com/pub/shockwave/cabs/flash/swflash.cab

[Sharon]

Ik zie trouwens dat de
O4 - HKLM\..\Run: [NvCplD] C:\WINDOWS\system32\m2gr32.exe
er weer in zit. Deze moest ik van Buffy eruit halen en sindsdien deed Internet het niet meer.

[Buffy]

Ik zie trouwens dat de
O4 - HKLM\..\Run: [NvCplD] C:\WINDOWS\system32\m2gr32.exe
er weer in zit. Deze moest ik van Buffy eruit halen en sindsdien deed Internet het niet meer.

Ja, die moest je eruit halen. Het is een opstartitem van een browserhijacker die je naar vervelende pornosites stuurt (EnterOne). Het lijkt me nog steeds zeer onwaarschijnlijk (eigenlijk ondenkbaar) dat het fixen van dit item zou veroorzaken dat je internetverbinding niet meer werkt. Maar als jij het liever laat staan, moet je dat zelf weten. Ik zou zeggen: fix die regel. Levert het toch problemen op, zet dan de back-up die HijackThis heeft aangemaakt terug. Maar nogmaals: het lijkt me zeer onwaarschijnlijk dat het fixen van dit opstartitem zou veroorzaken dat je internetverbinding wegvalt.

[Sharon]

Buffy, je hebt helemaal gelijk. Ik heb de regel verwijderd en Internet doet het nog steeds. Heel erg bedankt voor je hulp en je wijsheid.
Groeten Sharon