Norman Virus Control driver mig til vanvid - HJÆLP!!

Det kunne være en virus der forsøger at fohindre dine sikkerhedsprogrammer i at starte, så jeg synes det ville være på sin plads at se en HiJackThis log fra maskinen:

Følg vejledningen her:
Gå ind her og hent Hijackthis.
http://danborg.org/spy/HJT/hijackthis.exe
Kør Hijackthis, scan, save log og kopier logfilen herind, så kigger jeg på den. Lad være med at slette noget selv med Hijackthis, det kan skade mere end det gavner.

Hej Tonny,

Jeg har næsten lige fået tjekket min log et eller andet sted, hvor man kunne få den tjekket automatisk og der var kun en enkelt linje, som var oprydning, men du får den da lige alligevel. Håber næsten, at du finder noget :o)

Logfile of HijackThis v1.99.1
Scan saved at 02:50:33, on 17-04-2005
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\csrss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\Ati2evxx.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\Programmer\Ahead\InCD\InCDsrv.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\system32\svchost.exe
C:\Programmer\Fujitsu Siemens Computers\Odyssey Client for Fujitsu Siemens Computers\odClientService.exe
C:\WINDOWS\system32\spoolsv.exe
C:\WINDOWS\system32\Ati2evxx.exe
C:\WINDOWS\Explorer.EXE
C:\Programmer\Norman\bin\ZLH.EXE
c:\progra~1\pinnacle\mediac~1\epgspo~2.exe
C:\Programmer\Microsoft SQL Server\MSSQL$PINNACLESYS\Binn\sqlservr.exe
C:\Programmer\Norman\bin\ZANDA.EXE
C:\WINDOWS\system32\slserv.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\system32\wdfmgr.exe
c:\programmer\pinnacle\shared files\programs\mediaserver\pmshost.exe
C:\Programmer\Norman\Nvc\BIN\NIP.EXE
C:\Programmer\Mozilla Firefox\firefox.exe
C:\Programmer\Norman\bin\NJEEVES.EXE
C:\PROGRAMMER\NORMAN\Nvc\BIN\nvcoas.exe
C:\PROGRAMMER\NORMAN\Nvc\BIN\nipsvc.exe
C:\PROGRAMMER\NORMAN\Nvc\BIN\NVCSCHED.EXE
C:\WINDOWS\System32\alg.exe
C:\Programmer\Norman\Nvc\bin\cclaw.exe
C:\Programmer\Microsoft Office\OFFICE11\OUTLOOK.EXE
C:\Programmer\Microsoft Office\OFFICE11\WINWORD.EXE
C:\Programmer\MSN Messenger\msnmsgr.exe
C:\Programmer\Norman\Nvc\BIN\npfmsg2.exe
C:\PROGRAMMER\NORMAN\Nvc\BIN\NPFSVICE.EXE
C:\Documents and Settings\Anders Pedersen\Skrivebord\Downloads\Crap\hijackthis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = https://netbank.danskebank.dk/html/index.html?site=DBNB
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.google.dk/
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Hyperlinks
O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Programmer\Adobe\Acrobat 7.0\ActiveX\AcroIEHelper.dll
O2 - BHO: (no name) - {FFFFFEF0-5B30-21D4-945D-000000000000} - C:\PROGRA~1\STARDO~1\SDIEInt.dll
O4 - HKLM\..\Run: [Norman ZANDA] C:\Programmer\Norman\bin\ZLH.EXE /LOAD /SPLASH
O8 - Extra context menu item: E&ksporter til Microsoft Excel - res://C:\PROGRA~1\MICROS~4\OFFICE11\EXCEL.EXE/3000
O8 - Extra context menu item: Enqueue in Star Downloader - C:\Programmer\Star Downloader\sdieenq.htm
O8 - Extra context menu item: Overfør med Star Downloader - C:\Programmer\Star Downloader\sdie.htm
O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programmer\Java\jre1.5.0_01\bin\npjpi150_01.dll
O9 - Extra 'Tools' menuitem: Sun Java Console - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programmer\Java\jre1.5.0_01\bin\npjpi150_01.dll
O9 - Extra button: Opslag - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - C:\PROGRA~1\MICROS~4\OFFICE11\REFIEBAR.DLL
O15 - Trusted Zone: *.danicapension.dk
O15 - Trusted Zone: *.danskebank.dk
O15 - Trusted Zone: *.sf-anytime.com
O16 - DPF: {01FE8D0A-51AD-459B-B62B-85E135128B32} (DD_v4.DDv4) - http://www.drivershq.com/DD_v4.CAB
O16 - DPF: {17492023-C23A-453E-A040-C7C580BBF700} (Windows Genuine Advantage Validation Tool) - http://go.microsoft.com/fwlink/?linkid=36467&clcid=0x409
O16 - DPF: {3D2CB570-D425-11D5-ABD0-00008369C46F} (CSMenu Class) - https://netbank.danskebank.dk/html/activex/DB/Menu.cab
O16 - DPF: {54B52E52-8000-4413-BD67-FC7FE24B59F2} (EARTPatchX Class) - http://files.ea.com/downloads/rtpatch/v2/EARTPX.cab
O16 - DPF: {74D05D43-3236-11D4-BDCD-00C04F9A3B61} (HouseCall Control) - http://a840.g.akamai.net/7/840/537/2004061001/housecall.trendmicro.com/housecall/xscan53.cab
O16 - DPF: {B38870E4-7ECB-40DA-8C6A-595F0A5519FF} (MsnMessengerSetupDownloadControl Class) - http://messenger.msn.com/download/msnmessengersetupdownloader.cab
O16 - DPF: {D8089245-3211-40F6-819B-9E5E92CD61A2} (FlashXControl Object) - https://casinoclassic.microgaming.com/casinoclassic/FlashAX.cab
O16 - DPF: {D8575CE3-3432-4540-88A9-85A1325D3375} (e-Safekey) - https://netbank.danskebank.dk/html/activex/e-Safekey/DB/e-Safekey.cab
O23 - Service: Adobe LM Service - Unknown owner - C:\Programmer\Fælles filer\Adobe Systems Shared\Service\Adobelmsvc.exe
O23 - Service: Ati HotKey Poller - ATI Technologies Inc. - C:\WINDOWS\system32\Ati2evxx.exe
O23 - Service: Pinnacle Systems tvtv Spooler (EpgSpooler) -  - c:\progra~1\pinnacle\mediac~1\epgspo~2.exe
O23 - Service: InCD Helper (InCDsrv) - Nero AG - C:\Programmer\Ahead\InCD\InCDsrv.exe
O23 - Service: Norman API-hooking helper (NipSvc) - Unknown owner - C:\PROGRAMMER\NORMAN\Nvc\BIN\nipsvc.exe
O23 - Service: Norman NJeeves - Unknown owner - C:\Programmer\Norman\bin\NJEEVES.EXE
O23 - Service: Norman Type-R - Unknown owner - C:\PROGRAMMER\NORMAN\Nvc\BIN\NPFSVICE.EXE
O23 - Service: Norman ZANDA - Unknown owner - C:\Programmer\Norman\bin\ZANDA.EXE
O23 - Service: Norman Virus Control on-access component (nvcoas) - Norman ASA - C:\PROGRAMMER\NORMAN\Nvc\BIN\nvcoas.exe
O23 - Service: Nvcp69ntss - Norman ASA - (no file)
O23 - Service: Norman Virus Control Scheduler (NVCScheduler) - Norman Data Defense Systems - C:\PROGRAMMER\NORMAN\Nvc\BIN\NVCSCHED.EXE
O23 - Service: Odyssey Client (odClientService) - Funk Software, Inc. - C:\Programmer\Fujitsu Siemens Computers\Odyssey Client for Fujitsu Siemens Computers\odClientService.exe
O23 - Service: Pinnacle Systems Media Service (PinnacleSys.MediaServer) - Pinnacle Systems - c:\programmer\pinnacle\shared files\programs\mediaserver\pmshost.exe
O23 - Service: Pml Driver HPZ12 - HP - C:\WINDOWS\system32\HPZipm12.exe
O23 - Service: SmartLinkService (SLService) -  - C:\WINDOWS\SYSTEM32\slserv.exe
O23 - Service: TuneUp WinStyler Theme Service (TUWinStylerThemeSvc) - TuneUp Software GmbH - C:\Programmer\TuneUp Utilities 2004\WinStylerThemeSvc.exe

Desværre, så er loggen ren. Der var ikke nogen virus.

Det lader til at være en bærbar ?
Prøv lige at tage cdrom-drevet ud og genstart computeren. Se om det gav en forskel.
(har lige set en med et defekt cdromdrev, og den opførte sig dybt underligt og var ekstremt lang tid om at starte op)

He he... Så er det i hvert fald den mest latterlige bærbare pc jeg nogensinde har set ;o)

Spøg til side - hvorfor lader det til at være det?

Mht. loggen, er der så heller ikke noget som kunne tage ekstremt lang tid at starte op?

Tænk over hvad du har installeret inden problemet opstod.
Du kan altid downloade nyeste version af dine Norman programmer (exe filerne), hive dit netstik ud, afinstallere og geninstallere Norman.

HP software kan give problemer, men det kan jeg ikke se du har noget af.

Tune Up Utilities kan i sjældne tilfælde lave noget skidt - opstod problemet efter en oprydning med Tune Up?

Hmmm.... Synes faktisk det har været sådan så længe jeg kan huske det - i hvert fald før jeg installerede Tuneup Utilities (genialt program forøvrigt). Jeg har bare "levet med" problemet indtil nu(dvs. jeg har selv prøvet mig frem til, hvad det kunne være)

Mht. denne linje i loggen 'O23 - Service: Nvcp69ntss - Norman ASA - (no file)' - hvad er det? Jeg kan ikke fixe den med hijackthis og jeg kan heller ikke finde noget om den på nettet overhovedet!?!

Den er egentligt lidt underlig, for normalt er det et lidt andet filnavn der står i "Norman ASA" tjenesten.
Der skulle have stået dette foran: "Norman Virus Control on-access component"

Det tyder på at der måske er en anelse rod i installationen af Norman tjenesterne, så du kan evt prøve at deaktivere den og se om det hjælper på dine problemer.

Klik start | kør, skriv services.msc og tryk enter.
Find tjenesten Nvcp69ntss, højreklik den og vælg egenskaber. Klik stop og vælg Deaktiveret i starttype.

Genstart og se om det hjalp noget.

der er ikke nogen tjeneste der hedder sådan... dem der starter med N og har noget med norman at gøre er:

Norman API-hooking helper
Norman Njeeves
Norman Type-R
Norman Virus Control on-access component
Norman Virus Control Scheduler
Norman Zanda

Så nvcp69ntss ligner heller ikke engang en forkortelse for nogen af dem!?

Tonny - bliver lige nødt til at spørge: hvorfor ser min comp ud til at være bærbar? lyder som om der ligger noget på den som ikke behøver at være der...

Det er denne:
Norman Virus Control on-access component
som giver den lidt mærkelige linie i loggen og noget må der være galt med tjenesten siden HiJackThis ikke kan læse tjenesten ordentligt. Den plejer den ikke at have problemer med.

Og det var denne linie der forledte mig til at tro at det var en bærbar computer:
O23 - Service: Odyssey Client (odClientService) - Funk Software, Inc. - C:\Programmer\Fujitsu Siemens Computers\Odyssey Client for Fujitsu Siemens Computers\odClientService.exe

Jeg havde lige glemt at Fujitsu også laver stationære pc'ere *s*

Så jeg skal prøve at slå den tjeneste fra (on-access)?

Hvad er den Odyssey Client egentlig for noget - noget netværkshalløj, eller...?

Ja du skal prøve at slå den fra og se om den så starter hurtigere op.

Og ja, det oddessey lader til at være noget wireless netværks software.
http://www.fujitsu-siemens.co.uk/rl/servicesupport/techsupport/software/Odessey%20Client/wp_odyssey_client.doc

Argh... Jeg ved ikke om jeg får lov at stoppe servicen. Der kommer en dialogboks, hvor der står:

"Tjenesten Norman Virus Control on-access component på Lokal computer kunne ikke stoppes. Tjenesten returnerede en fejl. Dette kan skyldes en intern fejl i windows eller i tjenesten. Kontakt systemadministrator, hvis problemet fortsætter."

Når jeg trykker ok, skifter teksten i højreklik-boksen om til "start" - altså som om den ER stoppet... Men da jeg genstartede computeren kunne jeg se, at den prøvede på at starte op ganske som den plejer...

Jeg vil gerne lige påpege, at både windows og norman er lovlige kopier, så det er ikke der den er gal... (bare så det i hvert fald er udelukket)

Som sagt, når man har nogle programmer der ikke kører som de skal og intet andet hjælper, kan det være en god idé med en reinstallation. Det tager vel næppe mere end 1 times tid så det er overkommeligt.

Som jeg skrev i det første indlæg

"Nu har jeg så lige prøvet at afinstallere alt der hedder Norman og installere det igen. Derefter prøvede jeg at sætte min comp til kun at starte op med Norman, men det er stadig det samme :o("

Jeg nægter simpelthen at reinstallere hele min comp, hvis det er det du mener? Der må være en anden løsning...

Sorry anoz - de par linier overså jeg.
Jeg løser faktisk selv mine pc problemer med en formatering :o/ Så har man arbejde til et par dage.
Der er jo også noget der hedder at køre en repair af windows. Jeg har selv en forudinstalleret version af XP så jeg har aldrig selv gjort det.
Men vi kan da spørge Tonny om det er en mulighed?

Det lyder jo som om der ER en fejl i den tjeneste.

Så synes jeg vi skal være voldsomme og råt og brutalt slette den !!!!

Genstart i fejlsikret tilstand.

Klik start | kør, skriv regedit og tryk enter.
Find denne nøgle i registreringsdatabasen og udvid den så du kan se de underliggende objekter.
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services

Udvid den så du kan se de underliggende nøgler.
Højreklik denne nøgle og vælg slet:
"Nvcp69ntss" eller "Norman Virus Control on-access component"

(højreklik den evt først og vælg eksporter, så du kan importere den igen, hvis det ikke hjalp på problemet)


Generelt:
Hvis du bliver nægtet adgang så udfør følgende for at sætte sikkerheden så du må slette:

Klik Nøglen så den er markeret.
Klik Rediger | Tilladelser.
Marker "Alle" og sæt kryds i Tillad i "Fuld kontrol".
Klik knappen Avanceret, og sæt kryds i den nederste: "Erstat tilladelsesposter på alle underobj......"
Klik Anvend og ok
Og igen Anvend og ok.

Luk regedit

Genstart normalt og kom med en ny log.

Hov, jeg havde da overset at der var et spørgsmål til mig.

Ja, en repair er bestemt en mulighed da det faktisk er en helt ny installation af xp, men den beholder alle installerede programmer og instaillinger. Dog mister man alle opdateringer af styresystemet, såsom servicepack's og den slags.

Det skal så siges at netop det med at den beholder alle installerede programmer kan være et problem i dette tilfælde.

Ulrik -> det var ikke for at lyde bitter :o)

Jeg er bare så frustreret over, at skidtet ikke bare virker!

Tonny -> Jeg prøver lige dit forslag...

tonny er det hele nvcp69ntss-mappen jeg skal slette? Og hvad så bagefter?

Ja, det er hele mappen der skal slettes.

Bagefter skal du så prøve at se om den nu starter hurtigere og f.eks firewall'en kommer hurtigere op. Hvis den nu opfører sig normalt har vi en ny situation som vi så kan tage stilling til i det tilfælde.

ok... prøver lige!

Hey...

Jeg slettede som du sagde og første gang jeg genstartede gik nogenlunde... Jeg pøvede en enkelt gang mere og det gik en smule bedre - faktisk tæt på perfekt og jeg tænkte "TONNY ER EN GUD :o)"...

Men så prøvede jeg lige at slukke den helt og lade den stå i 2 minutter og nu er den gal igen...

Hvis du ikke har flere idéer så tror jeg, at programmet ryger ud, for jeg tvivler på, at Norman selv kan komme med løsningsforslag der bare er i nærheden af dine ;o)

Det har jeg desværre ikke :(

2 vidt forskellige forslag:

1. åbn en konto på www.spywarefri.dk og stil spørgsmålet om Norman i forum'et der. Vi sælger jo faktisk produktet, og der er flere af mine kolleger der kører med produktet. Jeg gør desværre ikke og har derfor ingen erfaring med produktet udover hvad jeg ser i HJT logs.

2. Skrot det, og installer f.eks Avast og Sygate, som begge er gratis.
http://www.spywarefri.dk/pakken.htm

Øv øv, men det er der jo ikke noget at gøre ved. Jeg prøver at høre ad inde på spywarefri - tak for tippet!

Dit forslag nr. 2 har jeg selv tænkt over og det bliver helt klart løsningen, hvis jeg ikke får det til at virke.

Du skal i hvert fald have mange tak for din tid og hvis du vil have et par point for din tid, så må du gerne lægge et svar. Jeg lukker i morgen...

- anoz

Jamen velbekomme og surt at vi ikke kunne komme nærmere en løsning, men du havde faktisk selv forsøgt næsten alt det jeg kunne foreslå.

Her kommer så et svar, hvis der skulle falde lidt af *s*

Jeg har oprettet en tråd på spywarefri, hvor jeg har linket hertil for beskrivelse af problemet - håber der er en, der kommer med en eller anden magisk løsning :o)

Vi deler points fifty-fifty og jeg lukker spm. nu pga. ny tråd på spywarefri.

Du skal i hvert fald have 1000 tak for forsøget :o)

Jamen velbekomme og jeg takker for point.

Jeg skal nok følge med i din nye tråd på SWF:
http://www.spywarefri.dk/forum/topic.asp?TOPIC_ID=13141