Avatar billede almeborg Nybegynder
10. oktober 2003 - 12:39 Der er 34 kommentarer og
1 løsning

Virus name: w32.HLLW.Goabot.AE

Hej igen.
Jeg havde et spørgsmål/indlæg den 1.10.03 angående 'nedbrud', og der var her på siden enighed om, at det var orm, som var på færde.
Og der kom flere forslag til løsning af mit problem.
Desværre har ingen af disse svar hjulpet mig.
Jeg har prøvet at downloade fra Microsoft, jeg har installeret Stinger Anti-Virus, jeg har installeret Norton Anti-Virus 2003 med online opdatering og jeg har også installeret og kørt online med et program fra K-komputer, som hedder AVG. Og for at prøve helt fra bunden har jeg også formatteret harddisken og lagt XP ind påny.
Men lige meget hjælper det - og det pudsige er, at jeg har fået problemet både på min stationære og min bærbare komputer nogenlunde samtidig (der har ikke været nogen fysisk forbindelse mellem dem).

Efter at XP er lagt ind, kommer 'nedbruddet' en gang om dagen og stille udvikler det sig, så efter 4-5 dage bryder anlægget ned straks efter opstart (før at der er etableret forbindelse til nettet), så problemet må jo ligge på komputeren, men hvor????
I gr kørte jeg ligeledes en scanning som anbefalet i JyllandsPosten, men der var ingen virus nogle steder - og ti minutter senere brød anlægget ned?????

Ved et par tilfælde har Norton fanget en virus med følgende beskrivelse i dialog-boksen:   
    Objekt name: c:\windows\system32\winhlpp32.exe
    Virus name: w32.HLLW.Goabot.AE
Men samtidig går meldingen på, at denne virus nu er fjernet.

Jeg har hørt noget om, at en virus måske kan gå ind og lægge sig et sted, hvor selv en disk-formattering ikke kan fange den, og at man så skal have foretaget en 'low-level-formattering'.

Er der nogen, der kan give et bud på en løsning af min problemstilling.
Avatar billede arlet Juniormester
10. oktober 2003 - 12:41 #1
Prøv først at hente hijackthis, det kan være jeg kan finde den der, det ville være det nemmeste :
http://www.spywarefri.dk/vaerktoj.htm#hijackthis

den udpakker du og kører Hijackthis, scan, save log og kopier logfilen herind, så kigger vi på den.

DU MÅ IKKE FIXE NOGET SELV. NÅR VI HAR TJEKKET LOGGEN IGENNEM FORTÆLLER VI DIG HVAD DER SKAL SLETTES...
Avatar billede ird Praktikant
10. oktober 2003 - 12:43 #2
Avatar billede dinkie Nybegynder
10. oktober 2003 - 12:43 #3
Brug shutdown -a fra en kommando prompt for at stoppe den fra at lukke ned. (skal skrives når boksen kommer frem)

Læs siden her for at fjerne den

http://securityresponse.symantec.com/avcenter/venc/data/w32.hllw.gaobot.ae.html
Avatar billede ird Praktikant
10. oktober 2003 - 12:44 #4
mit var også et svar
Avatar billede dinkie Nybegynder
10. oktober 2003 - 12:50 #5
PS: grunden til su har fået den virus er at du ikke har patchet dit system gennem windows update. Så for fremtiden husk at opdatere jævnligt.

En firewall enten på de enkelte pc'ere vil også hjælpe. Eller at sætte en router op foran dine pc'ere mod internettet.

Du kan DL gratis software firewall her: www.zonelabs.com
Avatar billede ird Praktikant
10. oktober 2003 - 12:52 #6
så hellere sygate :-)

Der er certificret hvilket ZA ikke er :)
Avatar billede arlet Juniormester
10. oktober 2003 - 12:52 #7
Enig ird *S*
Avatar billede dinkie Nybegynder
10. oktober 2003 - 12:55 #8
Jo men sygate er også væsentligt svære at give sig i lag med som alm bruger.. Derfor zonealarm..

Og hvad er det lige sygate kan mere til den alm hjemmebruger som zonealarm ikke kan?

Hvis vi skal gå lidt videre og vil betale lidt penge så køb PCcillin fra Trend Micro der er der Antivirus, webscan, mailscan og firewall i et..
Avatar billede arlet Juniormester
10. oktober 2003 - 12:56 #9
Du sagde at det var norton der fandt den..

Du skal hente den seneste opdatering for norton her http://securityresponse.symantec.com/avcenter/download/pages/DA-N95.html

så deaktiver du din systemgendannelse og kører et scan med norton, så fjerner norton den, derefter aktiver du din systamgendannelse igen
Avatar billede ird Praktikant
10. oktober 2003 - 12:58 #10
Dinkie>> Sygate er meget nem at håndtere! ZA kan blandt andet ikke lave en backtrace. Noget andet er at ZA er ved at være for kendt af hackere og derfor nemmere at gennembryde!
Avatar billede dinkie Nybegynder
10. oktober 2003 - 13:06 #11
ird >> Det kommer vel an på personen. Jeg synes også at Sygate er bedre end Zonealarm og Kerio er bedre end Sygate.

Backtrace? og det skal en alm bruger bruge til?? De fatter jo knap nok hvad en IP adresse er. Det er efter min mening kun ting som gør det mere forvirrende for brugeren. (tro mig taler af erfaring har en hel familie der ikke aner en pind om at bruge en computer ;o) Det skal være så nemt som muligt. Eller bruger de det ikke alligevel eller kommer til at konfigurere den til at være alt for åben så den jo ikke kommer og forstyrrer dem i deres brug.

Det er da muligt at den er bedre kendt af hackere. Men det er da heller ikke det den skal holde ude. Hvis man vil ind på et system så er SW firewalls til at lukke op at skide i. Det der er pointen er at sikre sig mod de orme der leger rundt da det er dem der er størst risko ved.
Avatar billede smoker_dk Nybegynder
10. oktober 2003 - 13:08 #12
Norton kan ikke finde viruset men de har lavet en wormblaster der kan hentes på www.microsoft.dk
Avatar billede smoker_dk Nybegynder
10. oktober 2003 - 13:09 #13
Ellers kan du skrive direkte til Norton og bede dem om hjælp med at få lavet et specielt antivirus prog du kan også som jeg gjorde med min bærbar dengang jeg havde en ligende virus ringe til supporten for din laptop/bærbare
Avatar billede smoker_dk Nybegynder
10. oktober 2003 - 13:10 #14
hvad angår din formatering så husk lige at du skal slette dine partioner også ellers bliver virusen ikke fjernet hvis den ligge på din harddisk
Avatar billede ird Praktikant
10. oktober 2003 - 13:11 #15
Enig Dinkie
Avatar billede arlet Juniormester
10. oktober 2003 - 13:14 #16
smoker dk ->Hvad er det for en gang vrøvl. prøv at kigge her nederst på denne side

http://securityresponse.symantec.com/avcenter/venc/data/w32.hllw.gaobot.ae.html

Kan en opdateret norton ikke fjerne den...
Avatar billede smoker_dk Nybegynder
10. oktober 2003 - 13:18 #17
arlet den besked fik jeg dengang!
Avatar billede dinkie Nybegynder
10. oktober 2003 - 13:21 #18
Muligt smoker.dk men jeg har så sent som i mandags fjernet netop denne virus fra et system via info på det link længere oppe. Den er altså ikke så svær at fjerne..
Avatar billede almeborg Nybegynder
10. oktober 2003 - 13:54 #19
arlet!!!
Jeg har kørt Hijackthis og gemt den, men hvordan sender jeg dig logfilen. Med hensyn til Norton så har jeg hver eneste dag downloaded seneste opdatering, ligesom jeg i freeware har kørt 2004-udgaven, men uden resultat.
Avatar billede arlet Juniormester
10. oktober 2003 - 13:56 #20
du kopier loggen og sætter den ind her
Avatar billede almeborg Nybegynder
10. oktober 2003 - 14:06 #21
arlett..
Her er så en kopi af logfilen - håber du finder nogle guldkorn.

Logfile of HijackThis v1.97.3
Scan saved at 14:05:01, on 10-10-2003
Platform: Windows XP  (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 (6.00.2600.0000)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\Explorer.EXE
C:\WINDOWS\system32\spoolsv.exe
C:\Programmer\Fælles filer\Symantec Shared\ccEvtMgr.exe
C:\Programmer\Fælles filer\Symantec Shared\ccApp.exe
C:\WINDOWS\System32\ctfmon.exe
C:\Programmer\Messenger\msmsgs.exe
C:\Programmer\Norton AntiVirus\navapsvc.exe
C:\Programmer\Norton AntiVirus\AdvTools\NPROTECT.EXE
C:\Programmer\Internet Explorer\iexplore.exe
C:\Documents and Settings\Sebina\Lokale indstillinger\Temp\Midlertidig mappe 1 for hijackthis.zip\HijackThis.exe
C:\Documents and Settings\Sebina\Lokale indstillinger\Temp\Midlertidig mappe 2 for hijackthis.zip\HijackThis.exe

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = http://www.microsoft.com/isapi/redir.dll?prd=ie&ar=iesearch
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.ofir.dk/
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.microsoft.com/isapi/redir.dll?prd={SUB_PRD}&clcid={SUB_CLSID}&pver={SUB_PVER}&ar=home
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = http://www.microsoft.com/isapi/redir.dll?prd=ie&ar=iesearch
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://www.microsoft.com/isapi/redir.dll?prd=ie&pver=6&ar=msnhome
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://www.microsoft.com/isapi/redir.dll?prd=ie&ar=iesearch
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Hyperlinks
O2 - BHO: (no name) - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Programmer\Adobe\Acrobat 6.0\Reader\ActiveX\AcroIEHelper.dll
O2 - BHO: NAV Helper - {BDF3E430-B101-42AD-A544-FADC6B084872} - C:\Programmer\Norton AntiVirus\NavShExt.dll
O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINDOWS\System32\msdxm.ocx
O3 - Toolbar: Norton AntiVirus - {42CDD1BF-3FFB-4238-8AD1-7859DF00B1D6} - C:\Programmer\Norton AntiVirus\NavShExt.dll
O4 - HKLM\..\Run: [ccApp] "C:\Programmer\Fælles filer\Symantec Shared\ccApp.exe"
O4 - HKLM\..\Run: [ccRegVfy] "C:\Programmer\Fælles filer\Symantec Shared\ccRegVfy.exe"
O4 - HKLM\..\Run: [Advanced Tools Check] C:\PROGRA~1\NORTON~1\AdvTools\ADVCHK.EXE
O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\ctfmon.exe
O4 - HKCU\..\Run: [MSMSGS] "C:\Programmer\Messenger\msmsgs.exe" /background
O9 - Extra button: Related (HKLM)
O9 - Extra 'Tools' menuitem: Show &Related Links (HKLM)
O16 - DPF: {9F1C11AA-197B-4942-BA54-47A8489BB47F} (Update Class) - http://v4.windowsupdate.microsoft.com/CAB/x86/unicode/iuctl.CAB?37903.5386342593
O16 - DPF: {D27CDB6E-AE6D-11CF-96B8-444553540000} (Shockwave Flash Object) - http://download.macromedia.com/pub/shockwave/cabs/flash/swflash.cab
O17 - HKLM\System\CCS\Services\Tcpip\..\{74503625-6971-4EC6-9DB5-FBBC669BCED3}: NameServer = 193.162.153.164 194.239.134.83
Avatar billede arlet Juniormester
10. oktober 2003 - 14:15 #22
jeg tjekker den lige. der går en lille halv time, så vender jeg tilbage. Slet ikke noget i mellem tiden
Avatar billede dinkie Nybegynder
10. oktober 2003 - 14:26 #23
Der er ikke noget farligt at se i den Hijack..
Avatar billede arlet Juniormester
10. oktober 2003 - 14:30 #24
Der var en del snavs:
Du skal nu til at i gang med at fixe. Men først skal du lige have noget instruktion. Allerførst skal du slå systemgendannelse fra. Hvis du ikke ved hvordan du gør det så kig her: http://www.spywarefri.dk/virus.htm#alle derefter skal du åbne hijackthis. Du får herunder nogle filer som du skal fixe, det du skal gøre er at sætte en vinge ud for alle disse filer. IKKE FIXE endnu. Når du har gjort det så lukker du alle andre vinduer ned, det er meget vigtigt at det eneste vindue som er åbent er HijackThis vinduet. Husk også at lukke dette vindue når du har markeret filerne. Nu må du fixe. Klik på Fix chekede. Efter fix skal du genstarte din computer.
Her er de filer, du skal fixe :

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = http://www.microsoft.com/isapi/redir.dll?prd=ie&ar=iesearch
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.microsoft.com/isapi/redir.dll?prd={SUB_PRD}&clcid={SUB_CLSID}&pver={SUB_PVER}&ar=home
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = http://www.microsoft.com/isapi/redir.dll?prd=ie&ar=iesearch
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://www.microsoft.com/isapi/redir.dll?prd=ie&pver=6&ar=msnhome
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://www.microsoft.com/isapi/redir.dll?prd=ie&ar=iesearch

Derefter genstarter du og sender en ny log herind, for at se om vi har fået den helt ren.
Først når din log er endelig godkendt, må de aktiver din systemgendannelse igen.
Avatar billede dinkie Nybegynder
10. oktober 2003 - 14:45 #25
Okay nu siger jeg det kun en gang mere.

Du skal opdatere dine windows installationer med seneste patches fra http://windowsupdate.microsoft.com så kan du undgå at den kommer ind på dine maskiner igen. Samt bruge en software firewall eller router.

Virussen er der ikke pt at dømme ud fra din Hijacks fil da den jo er slettet af Norton. Men den vil blive ved med at komme igen og igen og igen hvis du ikke får opdateret. Læs mine tidligere kommentarer i denne tråd og følg dem så er du på den sikre side med den virus.
Avatar billede dinkie Nybegynder
10. oktober 2003 - 14:47 #26
De ting du bliver bedt om at slette ud fra din Hijacs fil er okay.. Men de er ikke kritiske og har overhovedet INTET at gøre med den virus.
Avatar billede arlet Juniormester
10. oktober 2003 - 14:49 #27
vi er enige dinkie.

Han har ingen virus på sin computer...
Avatar billede dinkie Nybegynder
10. oktober 2003 - 14:51 #28
Nej ikke lige pt.. Men det er jo igen fordi Norton faktisk får den fjernet. Men opdaterer han ikke bliver den jo bare ved med at dumpe ind igen og igen..

Så gider du også give samtykke til at han skal opdatere.. :o)
Avatar billede arlet Juniormester
10. oktober 2003 - 14:53 #29
dinkie ->Vi kan ikke være mere enige.

almeborg ->Husk at få opdateret både windows og IE

men smid lige en ny log efter du har genstartet...
Avatar billede almeborg Nybegynder
10. oktober 2003 - 15:22 #30
arlett..
Her er så en logfil

Logfile of HijackThis v1.97.3
Scan saved at 15:18:37, on 10-10-2003
Platform: Windows XP  (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 (6.00.2600.0000)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\spoolsv.exe
C:\Programmer\Fælles filer\Symantec Shared\ccEvtMgr.exe
C:\WINDOWS\Explorer.EXE
C:\Programmer\Fælles filer\Symantec Shared\ccApp.exe
C:\WINDOWS\System32\ctfmon.exe
C:\Programmer\Messenger\msmsgs.exe
C:\Programmer\Norton AntiVirus\navapsvc.exe
C:\Programmer\Norton AntiVirus\AdvTools\NPROTECT.EXE
C:\Documents and Settings\Sebina\Lokale indstillinger\Temp\Midlertidig mappe 4 for hijackthis.zip\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.ofir.dk/
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Hyperlinks
O2 - BHO: (no name) - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Programmer\Adobe\Acrobat 6.0\Reader\ActiveX\AcroIEHelper.dll
O2 - BHO: NAV Helper - {BDF3E430-B101-42AD-A544-FADC6B084872} - C:\Programmer\Norton AntiVirus\NavShExt.dll
O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINDOWS\System32\msdxm.ocx
O3 - Toolbar: Norton AntiVirus - {42CDD1BF-3FFB-4238-8AD1-7859DF00B1D6} - C:\Programmer\Norton AntiVirus\NavShExt.dll
O4 - HKLM\..\Run: [ccApp] "C:\Programmer\Fælles filer\Symantec Shared\ccApp.exe"
O4 - HKLM\..\Run: [ccRegVfy] "C:\Programmer\Fælles filer\Symantec Shared\ccRegVfy.exe"
O4 - HKLM\..\Run: [Advanced Tools Check] C:\PROGRA~1\NORTON~1\AdvTools\ADVCHK.EXE
O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\ctfmon.exe
O4 - HKCU\..\Run: [MSMSGS] "C:\Programmer\Messenger\msmsgs.exe" /background
O9 - Extra button: Related (HKLM)
O9 - Extra 'Tools' menuitem: Show &Related Links (HKLM)
O16 - DPF: {9F1C11AA-197B-4942-BA54-47A8489BB47F} (Update Class) - http://v4.windowsupdate.microsoft.com/CAB/x86/unicode/iuctl.CAB?37903.5386342593
O16 - DPF: {D27CDB6E-AE6D-11CF-96B8-444553540000} (Shockwave Flash Object) - http://download.macromedia.com/pub/shockwave/cabs/flash/swflash.cab
Avatar billede almeborg Nybegynder
10. oktober 2003 - 15:24 #31
arlet og dinkie....

Ja, jeg skal nok opdatere min windows, men hvad er en IE, som jeg også skal opdatere??
Avatar billede arlet Juniormester
10. oktober 2003 - 15:26 #32
internet explorer..

du henter bare alt hvad der er på windows update, så er alt opdateret
Avatar billede arlet Juniormester
10. oktober 2003 - 15:32 #33
Den er helt ren nu og med din windows opdaterer samt IE, så håber vi på at problemet er løst
Avatar billede almeborg Nybegynder
10. oktober 2003 - 15:34 #34
arlet..
Tak for hjælpen, du får så de 60 point, men jeg vender nok tilbage. Dette var den bærbare, og een af de nærmeste dage kommer jeg i nærheden af min stationære, så også her har jeg brug for hjælp.
Avatar billede arlet Juniormester
10. oktober 2003 - 15:37 #35
Takker for point *S*

Du vender bare tilbage...

Men næste gang så opret i virus kategorien.

du kan bare smide logfilen i spørgsmålet...
Avatar billede Ny bruger Nybegynder

Din løsning...

Tilladte BB-code-tags: [b]fed[/b] [i]kursiv[/i] [u]understreget[/u] Web- og emailadresser omdannes automatisk til links. Der sættes "nofollow" på alle links.

Loading billede Opret Preview
Kategori
IT-kurser om Microsoft 365, sikkerhed, personlig vækst, udvikling, digital markedsføring, grafisk design, SAP og forretningsanalyse.

Log ind eller opret profil

Hov!

For at kunne deltage på Computerworld Eksperten skal du være logget ind.

Det er heldigvis nemt at oprette en bruger: Det tager to minutter og du kan vælge at bruge enten e-mail, Facebook eller Google som login.

Du kan også logge ind via nedenstående tjenester