Nimda W32! Hvordan fjerner jeg den?

http://securityresponse.symantec.com/avcenter/venc/data/w32.nimda.a@mm.html

Scroll ned til "Removal Instructions"

/Lebon

Hvordan ved du det er .a versionen jeg har? (Kan ikke selv finde ud af hvordan man ser forskel)

En ny god scanner:

Tag et onlinescan med RAV http://www.ravantivirus.com/scan/

Den finder dem næsten helt sikkert.

Hvis der ikke er noget der virker, har jeg en anden sikker metode...

Arlet ->
Jeg prøver lige at scanne først, men hvis du er offline inden jeg er færdig kan du så ikke skrive den sikre metode?

Hvordan sikre jeg mig at virusen ikke kommer igen?

Du får den med det samme..

Det er en hijackthis, som jeg tjekker og finder dem manuelt, den virker hver gang. Var bare nemmere hvis onlinescanneren tog den*S*

For at løse problemet skal du hente 2 programmer.

Først spybot : http://www.spywarefri.dk/vaerktoj.htm#spybot
direkte link : http://download.com.com/3000-2144-10122137.html?part=104443&subj=dlpage&tag=button

Installer og kør Spybot, opdater online, scan, alle filer den har fundet, der er røde skal markeres, tryk så på afhjælp valgte problemer, derefter genstarter du

Derefter hijackthis : http://www.spywarefri.dk/vaerktoj.htm#hijackthis
direkte link :         http://www.webattack.com/get/hijackthis.html
den udpakker du og kører Hijackthis, scan, save log og kopier logfilen herind, så kigger vi på den.


DU MÅ IKKE FIXE NOGET SELV. NÅR VI HAR TJEKKET LOGGEN IGENNEM FORTÆLLER VI DIG HVAD DER SKAL SLETTES...


Manual for installering af hijackthis:
http://www.spywarefri.dk/hijackthis.man.htm

Sådan noget ved jeg bare.... ;) Havde ikke lige set at der var flere versioner...men nu ved du hvor du kan finde løsningen til w32 nimda.A! :o)

/Lebon

Jeg går i gang med det samme!

Bare i orden, du råber bare op, hvis der er noget

Så er log'en kommet:

Logfile of HijackThis v1.97.6
Scan saved at 19:03:26, on 13-11-2003
Platform: Windows XP SP1 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP1 (6.00.2800.1106)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\SYSTEM32\WISPTIS.EXE
C:\WINDOWS\system32\spoolsv.exe
C:\WINDOWS\System32\tabbtnu.exe
C:\WINDOWS\Explorer.EXE
C:\WINDOWS\System32\ctfmon.exe
C:\WINDOWS\AGRSMMSG.exe
C:\Program Files\Symantec\Norton Ghost 2003\GhostStartTrayApp.exe
C:\Program Files\ltmoh\Ltmoh.exe
C:\WINDOWS\System32\hkcmd.exe
C:\Program Files\Fujitsu\Utils\fjevents.exe
C:\Program Files\Fujitsu\Utils\FjDspMon.exe
C:\Program Files\Common Files\microsoft shared\ink\TabTip.exe
C:\Program Files\Fujitsu\Utils\FjMnuIco.exe
C:\Program Files\Apoint2K\Apoint.exe
C:\WINDOWS\SOUNDMAN.EXE
C:\Program Files\Fujitsu\BtnHnd\BtnHnd.exe
C:\Program Files\MSN Messenger\MsnMsgr.Exe
C:\WINDOWS\System32\igfxext.exe
C:\Program Files\Common Files\microsoft shared\ink\TPA.exe
C:\Program Files\Apoint2K\Apntex.exe
C:\WINDOWS\System32\drivers\CDAC11BA.EXE
C:\WINDOWS\System32\digtizer.exe
C:\Program Files\Symantec\Norton Ghost 2003\GhostStartService.exe
C:\Program Files\Common Files\Microsoft Shared\VS7Debug\mdm.exe
C:\Program Files\Internet Explorer\IEXPLORE.EXE
C:\Documents and Settings\Troels Lindgreen\Local Settings\Temp\Midlertidig mappe 1 for hijackthis.zip\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.connery.dk/
O2 - BHO: (no name) - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Program Files\Adobe\Acrobat 6.0\Reader\ActiveX\AcroIEHelper.dll
O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINDOWS\System32\msdxm.ocx
O3 - Toolbar: &Google - {2318C2B1-4965-11d4-9B18-009027A5CD4F} - C:\WINDOWS\Downloaded Program Files\googlenav.dll
O4 - HKLM\..\Run: [TabletTip] "C:\Program Files\Common Files\microsoft shared\ink\tabtip.exe" /resume
O4 - HKLM\..\Run: [AuditMode] C:\sysprep\factory.exe -logon
O4 - HKLM\..\Run: [AGRSMMSG] AGRSMMSG.exe
O4 - HKLM\..\Run: [GhostStartTrayApp] C:\Program Files\Symantec\Norton Ghost 2003\GhostStartTrayApp.exe
O4 - HKLM\..\Run: [LtMoh] C:\Program Files\ltmoh\Ltmoh.exe
O4 - HKLM\..\Run: [HotKeysCmds] C:\WINDOWS\System32\hkcmd.exe
O4 - HKLM\..\Run: [FjEvents] C:\Program Files\Fujitsu\Utils\fjevents.exe
O4 - HKLM\..\Run: [FjDspMon] C:\Program Files\Fujitsu\Utils\FjDspMon.exe
O4 - HKLM\..\Run: [Fujitsu Menu] C:\Program Files\Fujitsu\Utils\FjMnuIco.exe
O4 - HKLM\..\Run: [Apoint] C:\Program Files\Apoint2K\Apoint.exe
O4 - HKLM\..\Run: [SoundMan] SOUNDMAN.EXE
O4 - HKLM\..\Run: [LoadBtnHnd] C:\Program Files\Fujitsu\BtnHnd\BtnHnd.exe
O4 - HKCU\..\Run: [ctfmon.exe] C:\WINDOWS\System32\ctfmon.exe
O4 - HKCU\..\Run: [MsnMsgr] "C:\Program Files\MSN Messenger\MsnMsgr.Exe" /background
O4 - Global Startup: Adobe Gamma Loader.lnk = C:\Program Files\Common Files\Adobe\Calibration\Adobe Gamma Loader.exe
O4 - Global Startup: Microsoft Office.lnk = C:\Program Files\Microsoft Office\Office10\OSA.EXE
O8 - Extra context menu item: &Google Search - res://C:\WINDOWS\Downloaded Program Files\googlenav.dll/cmsearch.html
O8 - Extra context menu item: Backward &Links - res://C:\WINDOWS\Downloaded Program Files\googlenav.dll/cmbacklinks.html
O8 - Extra context menu item: Cac&hed Snapshot of Page - res://C:\WINDOWS\Downloaded Program Files\googlenav.dll/cmcache.html
O8 - Extra context menu item: E&ksporter til Microsoft Excel - res://C:\PROGRA~1\MICROS~3\Office10\EXCEL.EXE/3000
O8 - Extra context menu item: Si&milar Pages - res://C:\WINDOWS\Downloaded Program Files\googlenav.dll/cmsimilar.html
O9 - Extra button: Related (HKLM)
O9 - Extra 'Tools' menuitem: Show &Related Links (HKLM)
O16 - DPF: {6CB5E471-C305-11D3-99A8-000086395495} (Google Activate) - http://toolbar.google.com/data/da/big/1.1.62-big/GoogleNav.cab
O16 - DPF: {9A9307A0-7DA4-4DAF-B042-5009F29E09E1} (ActiveScan Installer Class) - http://www.pandasoftware.com/activescan/as5/asinst.cab
O16 - DPF: {9F1C11AA-197B-4942-BA54-47A8489BB47F} (Update Class) - http://v4.windowsupdate.microsoft.com/CAB/x86/unicode/iuctl.CAB?37923.1364930556
O16 - DPF: {A3009861-330C-4E10-822B-39D16EC8829D} (CRAVOnline Object) - http://www.ravantivirus.com/scan/ravonline.cab
O16 - DPF: {D27CDB6E-AE6D-11CF-96B8-444553540000} (Shockwave Flash Object) - http://download.macromedia.com/pub/shockwave/cabs/flash/swflash.cab

hmm. Du syntes, jeg skulle have noget at lave..

Jeg tjekker den lige igennem, der går en halv times tid

Slet ikke noget imens

Den her kan finde, fjerne og reparere din puter:
http://www.pandasoftware.com/download/utilities/validacion.aspx?CodigoProducto=12&TipoUsuario=2&TipoLead=2&Tipo=5&DocID=Z07&Ref=WW-DES-PQR&Idioma=2

Du skal bare lige udfylde en formular inden du kan hente den

Du skal ikke køre hverken scan eller programmer, mens jeg tjekker den log

arlet -> ok... jeg venter

o lol

Der var en del snavs:
Du skal nu til at i gang med at fixe. Men først skal du lige have noget instruktion. Allerførst skal du slå systemgendannelse fra. Hvis du ikke ved hvordan du gør det så kig her: http://www.spywarefri.dk/virus.htm#alle derefter skal du åbne hijackthis. Du får herunder nogle filer som du skal fixe, det du skal gøre er at sætte en vinge ud for alle disse filer. IKKE FIXE endnu. Når du har gjort det så lukker du alle andre vinduer ned, det er meget vigtigt at det eneste vindue som er åbent er HijackThis vinduet. Husk også at lukke dette vindue når du har markeret filerne. Nu må du fixe. Klik på Fix chekede. Efter fix skal du genstarte din computer.
Her er de filer, du skal fixe :


O4 - HKLM\..\Run: [TabletTip] "C:\Program Files\Common Files\microsoft shared\ink\tabtip.exe" /resume
O4 - HKLM\..\Run: [AuditMode] C:\sysprep\factory.exe -logon
O4 - HKLM\..\Run: [FjEvents] C:\Program Files\Fujitsu\Utils\fjevents.exe
O4 - HKLM\..\Run: [FjDspMon] C:\Program Files\Fujitsu\Utils\FjDspMon.exe
O4 - HKLM\..\Run: [Fujitsu Menu] C:\Program Files\Fujitsu\Utils\FjMnuIco.exe


Derefter Genstarter du i fejlsikret tilstand(Fejlsikret tilstand kommer du i ved at trykke på <F8> når maskinen starter op, lige inden den begynder at indlæse Windows.) Find følgende fil i Stifinder og slet den:


C:\WINDOWS\SYSTEM32\WISPTIS.EXE
C:\WINDOWS\System32\tabbtnu.exe
C:\Program Files\Fujitsu\Utils\fjevents.exe
C:\Program Files\Fujitsu\Utils\FjDspMon.exe
C:\Program Files\Fujitsu\Utils\FjMnuIco.exe
C:\WINDOWS\System32\igfxext.exe
C:\WINDOWS\System32\digtizer.exe


Derefter genstarter du og sender en ny log herind, for at se om vi har fået den helt ren.
Først når din log er endelig godkendt, må de aktiver din systemgendannelse igen.

Så har jeg gjort som du sagde, men følgende kunne ikke slettes:

C:\WINDOWS\SYSTEM32\WISPTIS.EXE
C:\WINDOWS\System32\tabbtnu.exe

Der kom en box så skrev at filen(erne) ikke kunne slettes.

Ny log:
Logfile of HijackThis v1.97.6
Scan saved at 19:59:45, on 13-11-2003
Platform: Windows XP SP1 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP1 (6.00.2800.1106)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\SYSTEM32\WISPTIS.EXE
C:\WINDOWS\System32\tabbtnu.exe
C:\WINDOWS\Explorer.EXE
C:\WINDOWS\system32\spoolsv.exe
C:\WINDOWS\System32\ctfmon.exe
C:\WINDOWS\AGRSMMSG.exe
C:\Program Files\Symantec\Norton Ghost 2003\GhostStartTrayApp.exe
C:\Program Files\ltmoh\Ltmoh.exe
C:\WINDOWS\System32\hkcmd.exe
C:\Program Files\Apoint2K\Apoint.exe
C:\WINDOWS\SOUNDMAN.EXE
C:\Program Files\Fujitsu\BtnHnd\BtnHnd.exe
C:\Program Files\Common Files\microsoft shared\ink\TabTip.exe
C:\Program Files\MSN Messenger\MsnMsgr.Exe
C:\Program Files\Apoint2K\Apntex.exe
C:\WINDOWS\System32\drivers\CDAC11BA.EXE
C:\Program Files\Symantec\Norton Ghost 2003\GhostStartService.exe
C:\Program Files\Common Files\Microsoft Shared\VS7Debug\mdm.exe
C:\Program Files\Internet Explorer\IEXPLORE.EXE
C:\Documents and Settings\Troels Lindgreen\Local Settings\Temp\Midlertidig mappe 3 for hijackthis.zip\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.connery.dk/
O2 - BHO: (no name) - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Program Files\Adobe\Acrobat 6.0\Reader\ActiveX\AcroIEHelper.dll
O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINDOWS\System32\msdxm.ocx
O3 - Toolbar: &Google - {2318C2B1-4965-11d4-9B18-009027A5CD4F} - C:\WINDOWS\Downloaded Program Files\googlenav.dll
O4 - HKLM\..\Run: [AGRSMMSG] AGRSMMSG.exe
O4 - HKLM\..\Run: [GhostStartTrayApp] C:\Program Files\Symantec\Norton Ghost 2003\GhostStartTrayApp.exe
O4 - HKLM\..\Run: [LtMoh] C:\Program Files\ltmoh\Ltmoh.exe
O4 - HKLM\..\Run: [HotKeysCmds] C:\WINDOWS\System32\hkcmd.exe
O4 - HKLM\..\Run: [Apoint] C:\Program Files\Apoint2K\Apoint.exe
O4 - HKLM\..\Run: [SoundMan] SOUNDMAN.EXE
O4 - HKLM\..\Run: [LoadBtnHnd] C:\Program Files\Fujitsu\BtnHnd\BtnHnd.exe
O4 - HKCU\..\Run: [ctfmon.exe] C:\WINDOWS\System32\ctfmon.exe
O4 - HKCU\..\Run: [MsnMsgr] "C:\Program Files\MSN Messenger\MsnMsgr.Exe" /background
O4 - Global Startup: Adobe Gamma Loader.lnk = C:\Program Files\Common Files\Adobe\Calibration\Adobe Gamma Loader.exe
O4 - Global Startup: Microsoft Office.lnk = C:\Program Files\Microsoft Office\Office10\OSA.EXE
O8 - Extra context menu item: &Google Search - res://C:\WINDOWS\Downloaded Program Files\googlenav.dll/cmsearch.html
O8 - Extra context menu item: Backward &Links - res://C:\WINDOWS\Downloaded Program Files\googlenav.dll/cmbacklinks.html
O8 - Extra context menu item: Cac&hed Snapshot of Page - res://C:\WINDOWS\Downloaded Program Files\googlenav.dll/cmcache.html
O8 - Extra context menu item: E&ksporter til Microsoft Excel - res://C:\PROGRA~1\MICROS~3\Office10\EXCEL.EXE/3000
O8 - Extra context menu item: Si&milar Pages - res://C:\WINDOWS\Downloaded Program Files\googlenav.dll/cmsimilar.html
O9 - Extra button: Related (HKLM)
O9 - Extra 'Tools' menuitem: Show &Related Links (HKLM)
O16 - DPF: {6CB5E471-C305-11D3-99A8-000086395495} (Google Activate) - http://toolbar.google.com/data/da/big/1.1.62-big/GoogleNav.cab
O16 - DPF: {9A9307A0-7DA4-4DAF-B042-5009F29E09E1} (ActiveScan Installer Class) - http://www.pandasoftware.com/activescan/as5/asinst.cab
O16 - DPF: {9F1C11AA-197B-4942-BA54-47A8489BB47F} (Update Class) - http://v4.windowsupdate.microsoft.com/CAB/x86/unicode/iuctl.CAB?37923.1364930556
O16 - DPF: {A3009861-330C-4E10-822B-39D16EC8829D} (CRAVOnline Object) - http://www.ravantivirus.com/scan/ravonline.cab
O16 - DPF: {D27CDB6E-AE6D-11CF-96B8-444553540000} (Shockwave Flash Object) - http://download.macromedia.com/pub/shockwave/cabs/flash/swflash.cab

arlet?

Ja, så er jeg tilbage...

Kigger den lige igennem

Hent dette program og læg stien herind, så bliver de slettet ved genstart
http://www.spywarefri.dk/tipsogtricks.htm#dr.delete

Det var disse to, der skulle slettes

C:\WINDOWS\SYSTEM32\WISPTIS.EXE
C:\WINDOWS\System32\tabbtnu.exe

Genstart og ny log

er du sikker på at de skal slettes? Jeg bruger jo Xp Tablet hvor jeg bl.a. skal kunne bruge pen'en til skærmen. Og netop de to filer har ikoner med hhv pen'en og skærmen.

filen C:\Program Files\Fujitsu\Utils\FjMnuIco.exe HAR jeg slettet, men den skal jeg installere igen når vi er færdige. Jeg skal menlig bruge den når jeg drejer skærmen...

Ok, så lader du dem være, du kender. Kunne nemlig overhoved finde noget på nettet med dem..

ok :) er jeg ...øhhh vi så færdige nu?

Hvis de to er i orden. Så er du ren og kan aktiver din systemgendannelse igen

For at sikre din fremtidige færden på nettet vil jeg foreslå at du henter følgende programmer :
Spywareblaster & Spywareguard & IE-SPYAD & Ad-aware

Alle programmerne finder du her http://www.spywarefri.dk/vaerktoj.htm

Hvor der også er en beskrivelse af programmerne, samt en installations vejledning..

Alt sammen skal løbende opdateres, ligesom dit windows og IE..

Derefter kan du trygt surfe på nettet, uden at få alt det snavs på computeren.

Jeg er ked af at skuffe dig (og specielt mig!), men der ligger stadig e-mail-filer (Nimda!) rundt omkring.

Så som: "1st floor new 4" og "photo0001" mv.

Hvad skal jeg så prøve?

Den her kan finde, fjerne og reparere din puter:
http://www.pandasoftware.com/download/utilities/validacion.aspx?CodigoProducto=12&TipoUsuario=2&TipoLead=2&Tipo=5&DocID=Z07&Ref=WW-DES-PQR&Idioma=2

wickedd jeg prøver....

FUCK!!! nu er jeg ved at blive lidt desperat. Det virkede heller ikke.

Filerne er der stadigvæk.

Har i flere idéer??

er det email filer i outlook? for så kan du jo bare slette dem..

nej, det er enkelte email-filer i fx "delte dokumenter". Kun 1 fil i hver mappe men kun nogle få mapper...

jeg ved ikke hvad der sker hvis man trykker på en af filerne, men jeg har fået at vide at det må jeg ældrig gøre, så det holder jeg mig langt fra...

fanme underligt, for den quickremover burde kunne fjerne skidtet

de er disse filer jeg snakker om:

C:\Documents and Settings\All Users\Documents\1st floor new 4.eml - Win32/Nimda.eml -> Suspicious
C:\Documents and Settings\All Users\Documents\My Music\new 3_rbc.eml - Win32/Nimda.eml -> Suspicious
C:\Documents and Settings\All Users\Documents\My Music\My Playlists\first stop.eml - Win32/Nimda.eml -> Suspicious
C:\Documents and Settings\All Users\Documents\My Music\Sample Playlists\base 1 mathias.eml - Win32/Nimda.eml -> Suspicious
C:\Documents and Settings\All Users\Documents\My Music\Sample Playlists\0003E9F2\new 1st floor - jesper 4.eml - Win32/Nimda.eml -> Suspicious
C:\Documents and Settings\All Users\Documents\My Pictures\facade north new.eml - Win32/Nimda.eml -> Suspicious
C:\Documents and Settings\All Users\Documents\My Pictures\Hyttetur\new 2.eml - Win32/Nimda.eml -> Suspicious
C:\Documents and Settings\All Users\Documents\My Videos\photo0001.eml - Win32/Nimda.eml -> Suspicious
C:\Documents and Settings\Troels Lindgreen\Local Settings\Temporary Internet Files\Content.IE5\ZAK3V5OT\wallpapers[1].exe->(UPXW) - Tool:PornDialer.gen! -> Infected

den sidste er noget andet, men desværre også en virus :(
(oversigten er fra www.ravantivirus.com/scan som jeg er i gang med nu)

Du kender de filer du gerne vil have slettet, det er godt.

Hent Dr.Delete her: http://www.spywarefri.dk/tipsogtricks.htm#dr.delete Hvor du også kan læse en lille smule om det.
Kopier de adresser ind i Dr.Delete en af gangen, så sletter dette program dem for dig. Det kan slette alt, så du skal være helt sikker på at det er de rigtig filer du kopier ind i den linje.
Pøj pøj

Nu har jeg prøvet at scanne med Panda, AVG, Avast, Housecall, RAV antivirus og 4 Nimda remove programmer, samt det i har foreslået. Den eneste der kunne finde filerne var RAV (www.ravantivirus.com/scan) men den kunne ikke fjerne dem!

Så nu har jeg slettet dem med Dr. Delete og scannet med RAV igen og den kunne (sjovt nok!) ikke finde nogle.
Men har jeg nu fået fjernet Nimda eller hva'??

Hvordan forhindre jeg at det (fucking lort!!!) kommer igen?

Jeg har læst flere steder på eksperten (+ Symantec) at man skal opdatere hos Microsoft -> Hent følgende patches fra Microsoft. De lapper de huller Nimda udnytter:
http://www.microsoft.com/technet/security/bulletin/MS00-078.asp
http://www.microsoft.com/technet/security/bulletin/MS01-020.asp
http://www.microsoft.com/technet/security/bulletin/MS01-044.asp

men dem kan jeg ikke installere! Den skriver at den ikke kan bruges. Uanset hvilken af dem jeg prøver og uanset hvilken ISS version jeg prøver!

(hvordan finder man ud af hvilken ISS version man har?)

gå ind på windows update, der henter du alt hvad der er, så får du også de filer du skal bruge, som du nævner

Takker for point:)

Ja du skal opdatere alt det du kan ved Microsoft. Det er normalt kun dem som ikke har en legal udgave, som ikke får lov til at opdatere, så det skal kunne lade sig gøre.

Det mærkelige er bare at der ikke er noget at opdatere. Alt var total up-to-date?!!