Virus hjælp. W32.Spybot.Worm

Prøv evt. http://housecall.trendmicro.com/

og hvis den ikke kan, så klarer vi det med en hijackthis http://www.arlet.dk/hjt.htm

OK jeg på vej på arbejde, kan først svare i aften efter 22, men tak for hurtige svar :)

Du vender bare tilbage når du sidder ved maskinen :-)

Ja så jeg klar til at dræbe den virus.

EFter at havde scannet med  http://housecall.trendmicro.com/ finder den 1 fil der er Infektet. Men når jeg sletter og genstater er den der stadig. Det noget med denne virus, ligger sig selv ind igen ?

så kør først et scan med housecall og hvis den ikke fjerner den, så hent en hijackthis

prøv at slå din systemgendannelse fra(hvis du har xp eller ME) og scan igen

Så nu har jeg hentet og install hijackthis. Har trykket scan

Kommer en masse tekst

ja, alt det kopier du heriind i tråden

Kan jeg ikke sende den til en mail i stedet.... ????

det kan du godt, men den bliver kopieret herind i tråden alligevel, for det skal den i følge E´s regler.

Find mailadresse her: www.arlet.dk/kontakt.htm

Du kan være ganske rolig, med dine bank oplysninger. Dem har jeg fjernet nu, men ingen ville kunne bruge dem til noget.

Platform: Windows XP  (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 (6.00.2600.0000)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\Programmer\TGTSoft\StyleXP\StyleXPService.exe
C:\WINDOWS\system32\spoolsv.exe
C:\WINDOWS\Explorer.EXE
C:\Programmer\Norton Personal Firewall\IAMAPP.EXE
C:\PROGRA~1\NORTON~2\navapw32.exe
D:\refreshlock\RefreshLock.exe
C:\Programmer\Microsoft Hardware\Mouse\point32.exe
C:\WINDOWS\System32\CTHELPER.EXE
C:\Programmer\Norton AntiVirus\navapsvc.exe
C:\Programmer\Norton Personal Firewall\NISUM.EXE
C:\Programmer\Norton Utilities\NPROTECT.EXE
C:\WINDOWS\System32\RUNDLL32.EXE
C:\WINDOWS\System32\ctfmon.exe
C:\WINDOWS\System32\winsvc32\WinSvc16.exe
C:\WINDOWS\System32\nvsvc32.exe
C:\Programmer\Speed Disk\nopdb.exe
C:\WINDOWS\System32\svchost.exe
C:\Programmer\Norton Personal Firewall\SymProxySvc.exe
C:\WINDOWS\System32\MsPMSPSv.exe
C:\Programmer\Norton Personal Firewall\NISSERV.EXE
C:\Programmer\Internet Explorer\IEXPLORE.EXE
C:\Documents and Settings\Claudio\Skrivebord\hjt.exe
C:\Programmer\Outlook Express\msimn.exe
C:\Programmer\Messenger\msmsgs.exe
C:\Programmer\Adobe\Acrobat 4.0\Reader\AcroRd32.exe

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Bar = http://kekimi.t.muxa.cc/s.php?aid=240 (obfuscated)
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = http://kekimi.t.muxa.cc/s.php?aid=240 (obfuscated)
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.google.dk/
R1 - HKCU\Software\Microsoft\Internet Explorer\Search,SearchAssistant = http://kekimi.t.muxa.cc/s.php?aid=240 (obfuscated)
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = http://kekimi.t.muxa.cc/h.php?aid=240 (obfuscated)
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Bar = http://kekimi.t.muxa.cc/s.php?aid=240 (obfuscated)
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = http://kekimi.t.muxa.cc/s.php?aid=240 (obfuscated)
R0 - HKLM\Software\Microsoft\Internet Explorer\Search,SearchAssistant = http://kekimi.t.muxa.cc/s.php?aid=240 (obfuscated)
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Hyperlinks
O2 - BHO: NAV Helper - {BDF3E430-B101-42AD-A544-FADC6B084872} - C:\Programmer\Norton AntiVirus\NavShExt.dll
O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINDOWS\System32\msdxm.ocx
O3 - Toolbar: Norton AntiVirus - {42CDD1BF-3FFB-4238-8AD1-7859DF00B1D6} - C:\Programmer\Norton AntiVirus\NavShExt.dll
O4 - HKLM\..\Run: [iamapp] C:\Programmer\Norton Personal Firewall\IAMAPP.EXE
O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\System32\NvCpl.dll,NvStartup
O4 - HKLM\..\Run: [nwiz] nwiz.exe /install
O4 - HKLM\..\Run: [NAV Agent] C:\PROGRA~1\NORTON~2\navapw32.exe
O4 - HKLM\..\Run: [RefreshLock] D:\refreshlock\RefreshLock.exe
O4 - HKLM\..\Run: [POINTER] C:\Programmer\Microsoft Hardware\Mouse\point32.exe
O4 - HKLM\..\Run: [WINDVDPatch] CTHELPER.EXE
O4 - HKLM\..\Run: [UpdReg] C:\WINDOWS\UpdReg.EXE
O4 - HKLM\..\Run: [Jet Detection] C:\Programmer\Creative\SBLive\PROGRAM\ADGJDet.exe
O4 - HKLM\..\Run: [QuickTime Task] "C:\Programmer\QuickTime\qttask.exe" -atboottime
O4 - HKLM\..\Run: [NeroCheck] C:\WINDOWS\system32\NeroCheck.exe
O4 - HKLM\..\RunServices: [WinSvc16.exe] C:\WINDOWS\System32\winsvc32\WinSvc16.exe
O4 - HKCU\..\Run: [NvMediaCenter] RUNDLL32.EXE C:\WINDOWS\System32\NVMCTRAY.DLL,NvTaskbarInit
O4 - HKCU\..\Run: [Steam] "c:\programmer\steam\steam.exe" -silent
O4 - HKCU\..\Run: [ctfmon.exe] C:\WINDOWS\System32\ctfmon.exe
O4 - Global Startup: WinSvc16.exe
O4 - Global User Startup: WinSvc16.exe
O9 - Extra button: Messenger (HKLM)
O9 - Extra 'Tools' menuitem: Windows Messenger (HKLM)
O16 - DPF: {0A5FD7C5-A45C-49FC-ADB5-9952547D5715} (Creative Software AutoUpdate) - http://www.creative.com/SU/ocx/12119/CTSUEng.cab
O16 - DPF: {166B1BCA-3F9C-11CF-8075-444553540000} (Shockwave ActiveX Control) - http://download.macromedia.com/pub/shockwave/cabs/director/sw.cab
O16 - DPF: {33564D57-0000-0010-8000-00AA00389B71} - http://download.microsoft.com/download/F/6/E/F6E491A6-77E1-4E20-9F5F-94901338C922/wmv9VCM.CAB
O16 - DPF: {54B52E52-8000-4413-BD67-FC7FE24B59F2} (EARTPatchX Class) - http://files.ea.com/downloads/rtpatch/v2/EARTPX.cab
O16 - DPF: {62475759-9E84-458E-A1AB-5D2C442ADFDE} - http://a1540.g.akamai.net/7/1540/52/20031216/qtinstall.info.apple.com/mickey/us/win/QuickTimeInstaller.exe
O16 - DPF: {74D05D43-3236-11D4-BDCD-00C04F9A3B61} (HouseCall Control) - http://a840.g.akamai.net/7/840/537/2003120501/housecall.antivirus.com/housecall/xscan53.cab
O16 - DPF: {9F1C11AA-197B-4942-BA54-47A8489BB47F} (Update Class) - http://v4.windowsupdate.microsoft.com/CAB/x86/unicode/iuctl.CAB?37975.1320601852
O16 - DPF: {B9A296D4-38AC-4566-8168-F7ACAF7D35E6} (Eyeball Video Session Control) - http://imlive.com/ChatSource/gVideoContol.cab
O16 - DPF: {D27CDB6E-AE6D-11CF-96B8-444553540000} (Shockwave Flash Object) - http://download.macromedia.com/pub/shockwave/cabs/flash/swflash.cab
O16 - DPF: {F6ACF75C-C32C-447B-9BEF-46B766368D29} (Creative Software AutoUpdate Support Package) - http://www.creative.com/SU/ocx/12119/CTPID.cab

løber demn lige igennem

ok tak :)

Du skal nu til at i gang med at fixe:

Deaktiver systemgendannelse:
http://www.arlet.dk/systemgendannelsen.htm

Kør Hijackthis, scan, sæt flueben ved linierne listet her, luk alle vinduer undtaget Hijackthis, klik på fix checked, genstart i fejlsikret(Tryk <F8> under opstart) og slet filerne listet nederst.
Dobbelttjek, så alt kommer med.

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Bar = http://kekimi.t.muxa.cc/s.php?aid=240 (obfuscated)
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = http://kekimi.t.muxa.cc/s.php?aid=240 (obfuscated)
R1 - HKCU\Software\Microsoft\Internet Explorer\Search,SearchAssistant = http://kekimi.t.muxa.cc/s.php?aid=240 (obfuscated)
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = http://kekimi.t.muxa.cc/h.php?aid=240 (obfuscated)
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Bar = http://kekimi.t.muxa.cc/s.php?aid=240 (obfuscated)
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = http://kekimi.t.muxa.cc/s.php?aid=240 (obfuscated)
R0 - HKLM\Software\Microsoft\Internet Explorer\Search,SearchAssistant = http://kekimi.t.muxa.cc/s.php?aid=240 (obfuscated)

O4 - HKLM\..\Run: [UpdReg] C:\WINDOWS\UpdReg.EXE
O4 - HKLM\..\Run: [QuickTime Task] "C:\Programmer\QuickTime\qttask.exe" -atboottime
O4 - HKLM\..\RunServices: [WinSvc16.exe] C:\WINDOWS\System32\winsvc32\WinSvc16.exe
O4 - Global Startup: WinSvc16.exe
O4 - Global User Startup: WinSvc16.exe

O16 - DPF: {166B1BCA-3F9C-11CF-8075-444553540000} (Shockwave ActiveX Control) - http://download.macromedia.com/pub/shockwave/cabs/director/sw.cab


--------------------------------------------------------------------

Åbn en mappe, klik på Funktioner=>Mappeindstillinger=>Vis.
Fjern flueben ved "Skjul beskyttede operativsystemfiler".
Fjern flueben ved "Skjul filtypenavne for kendte filtyper".
Sæt prik i "Vis skjulte filer og mapper".

--------------------------------------------------------------------

Find og slet i fejlsikret:

C:\WINDOWS\System32\winsvc32\WinSvc16.exe


Hent Sp1 til Windows og IE samt alle kritiske opdateringer her:
http://v4.windowsupdate.microsoft.com/da/default.asp

Derefter genstarter du og sender en ny log herind, for at se om vi har fået den helt ren.
Først når din log er endelig godkendt, må du aktiver din systemgendannelse igen.

Logfile of HijackThis v1.97.7
Scan saved at 23:16:53, on 18-02-2004
Platform: Windows XP  (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 (6.00.2600.0000)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\Programmer\TGTSoft\StyleXP\StyleXPService.exe
C:\WINDOWS\system32\spoolsv.exe
C:\WINDOWS\Explorer.EXE
C:\Programmer\Norton Personal Firewall\IAMAPP.EXE
C:\PROGRA~1\NORTON~2\navapw32.exe
D:\refreshlock\RefreshLock.exe
C:\Programmer\Microsoft Hardware\Mouse\point32.exe
C:\WINDOWS\System32\CTHELPER.EXE
C:\Programmer\Norton AntiVirus\navapsvc.exe
C:\Programmer\Norton Personal Firewall\NISUM.EXE
C:\WINDOWS\System32\RUNDLL32.EXE
C:\programmer\steam\steam.exe
C:\WINDOWS\System32\ctfmon.exe
C:\Programmer\Norton Utilities\NPROTECT.EXE
C:\WINDOWS\System32\nvsvc32.exe
C:\Programmer\Speed Disk\nopdb.exe
C:\WINDOWS\System32\svchost.exe
C:\Programmer\Norton Personal Firewall\SymProxySvc.exe
C:\WINDOWS\System32\MsPMSPSv.exe
C:\Programmer\Norton Personal Firewall\NISSERV.EXE
C:\Programmer\Internet Explorer\IEXPLORE.EXE
C:\Documents and Settings\Claudio\Skrivebord\hjt.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.google.dk/
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Hyperlinks
O2 - BHO: NAV Helper - {BDF3E430-B101-42AD-A544-FADC6B084872} - C:\Programmer\Norton AntiVirus\NavShExt.dll
O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINDOWS\System32\msdxm.ocx
O3 - Toolbar: Norton AntiVirus - {42CDD1BF-3FFB-4238-8AD1-7859DF00B1D6} - C:\Programmer\Norton AntiVirus\NavShExt.dll
O4 - HKLM\..\Run: [iamapp] C:\Programmer\Norton Personal Firewall\IAMAPP.EXE
O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\System32\NvCpl.dll,NvStartup
O4 - HKLM\..\Run: [nwiz] nwiz.exe /install
O4 - HKLM\..\Run: [NAV Agent] C:\PROGRA~1\NORTON~2\navapw32.exe
O4 - HKLM\..\Run: [RefreshLock] D:\refreshlock\RefreshLock.exe
O4 - HKLM\..\Run: [POINTER] C:\Programmer\Microsoft Hardware\Mouse\point32.exe
O4 - HKLM\..\Run: [WINDVDPatch] CTHELPER.EXE
O4 - HKLM\..\Run: [Jet Detection] C:\Programmer\Creative\SBLive\PROGRAM\ADGJDet.exe
O4 - HKLM\..\Run: [NeroCheck] C:\WINDOWS\system32\NeroCheck.exe
O4 - HKCU\..\Run: [NvMediaCenter] RUNDLL32.EXE C:\WINDOWS\System32\NVMCTRAY.DLL,NvTaskbarInit
O4 - HKCU\..\Run: [Steam] "c:\programmer\steam\steam.exe" -silent
O4 - HKCU\..\Run: [ctfmon.exe] C:\WINDOWS\System32\ctfmon.exe
O9 - Extra button: Messenger (HKLM)
O9 - Extra 'Tools' menuitem: Windows Messenger (HKLM)
O16 - DPF: {0A5FD7C5-A45C-49FC-ADB5-9952547D5715} (Creative Software AutoUpdate) - http://www.creative.com/SU/ocx/12119/CTSUEng.cab
O16 - DPF: {33564D57-0000-0010-8000-00AA00389B71} - http://download.microsoft.com/download/F/6/E/F6E491A6-77E1-4E20-9F5F-94901338C922/wmv9VCM.CAB
O16 - DPF: {54B52E52-8000-4413-BD67-FC7FE24B59F2} (EARTPatchX Class) - http://files.ea.com/downloads/rtpatch/v2/EARTPX.cab
O16 - DPF: {62475759-9E84-458E-A1AB-5D2C442ADFDE} - http://a1540.g.akamai.net/7/1540/52/20031216/qtinstall.info.apple.com/mickey/us/win/QuickTimeInstaller.exe
O16 - DPF: {74D05D43-3236-11D4-BDCD-00C04F9A3B61} (HouseCall Control) - http://a840.g.akamai.net/7/840/537/2003120501/housecall.antivirus.com/housecall/xscan53.cab
O16 - DPF: {9F1C11AA-197B-4942-BA54-47A8489BB47F} (Update Class) - http://v4.windowsupdate.microsoft.com/CAB/x86/unicode/iuctl.CAB?37975.1320601852
O16 - DPF: {B9A296D4-38AC-4566-8168-F7ACAF7D35E6} (Eyeball Video Session Control) - http://imlive.com/ChatSource/gVideoContol.cab
O16 - DPF: {D27CDB6E-AE6D-11CF-96B8-444553540000} (Shockwave Flash Object) - http://download.macromedia.com/pub/shockwave/cabs/flash/swflash.cab

Den er her den nye

Jeg kunne finde mappen: C:\WINDOWS\System32\winsvc32\  Men denne fil: WinSvc16.exe var ikke i.

Arlet er den god nu ???

Min norton finder 2 infected files på skrivebordet. Det backup filer fra Hijack programmet. Skal jeg bare slette dem ??

Ja, men du mangler både Servicepack og opdatering af Internet Explorer.

http://intern.sdu.dk/it-service/tjenester/ftphotel/ftpindhold/ servicepacks + IE

http://www.microsoft.com/downloads/details.aspx?FamilyId=D531BF00-D7BE-48E3-ABCC-961602BD72C2&displaylang=da - Hotfixes efter SP1 til XP.

De backupfiler sletter du bare.

Er det den der hedder: Windows XP Service Pack 1 - 140 MB  ??

Kan ikke slette dem. Adgang nægtet

Ok norton kunne godt Quarantine dem

1.Ja, husk at få den danske, hvis din XP er dansk.
2.Prøv i fejlsikret.

Er det "ok" at Norton har Quarantine dem. (hvad den nu end betyder :)

Ja, så burde du kunne slette dem derfra.

Men er alt ok efter jeg henter de 2 filer: Windows XP Service Pack 1 - 140 MB og  WindowsXP-KB826939-x86-DAN.exe ?

Skal jeg så slå system gendannelse til igen ?

Må jeg så ikke lave system gendannelser fra efter denne dato i dag ??

Rolig nu.*S*
Når du har hentet og installeret de to ting, så genstart og kom med en ny logfil, så vi er sikre på du ikke lige har snuppet en Blaster eller Gaobot i mellemtiden.

hehe ok da :)

NEEEEEJJJJ

Kan slet ikke komme ind i min pc nu..!!!!!

DLL FILEN MSGINA.DLL TIL LOGON BRUGER GRÆNSE KUNNE IKKE INDLÆSES.

--- WINLOGON.EXE - INDGANGSPUNKTET BLEV IKKE FUNDET.

ASSOCISDANGEROUS BLEV IKKE FUNDET I DLL-BIBLIOTEKET SHLWAPI.DCC

NEJ NEJ HVAD GØR JEG ???????

HELLER IKKE I FEJL SIKRET TILSTAND

nu kom jeg ind med fejlsikret tilstand. HVAD GØR JEG ??  Laver en system gendanelse ??

???

Når du er i fejlsikret, så prøv at genstarte og se om, du så ikke kan komme ind normalt

Kan godt komme ind normalt nu, men den er helt gal, kan kun se 4 farver og der ingen system gendannelses punkter. Der mangler noget dll fil når jeg starter op. Hvad er der gået galt ? Nu den jo lige til at lave format: c på som jeg virkelig håbede jeg kunne undgå. Har i (exp) været lidt for hurtige på aftrækkeren :)  Jeg har PRÆSIS gjort som jeg skulle ifølge anvisningen.....

Jeg hjemme efter 18 hvis du >arlet eller nogle andre gider hjælpe en stakkels mand, med sin "smid i havet pc"

I fejlsikret prøv:
Klik på Start>>Kør skriv SFC /scannow klik OK.
Husk mellemrum mellem SFC og /scannow

ok prøver jeg lige

Den kan kun køre: Klik på Start>>Kør skriv SFC /scannow i alm ikke fejlsikret

Nå men jeg Laver en Format C: uden at jeg kan lave nogle form for back up. Dejligt med en masse Tabte data og en nedbrudt pc. Jeg takker for hjælpen.

Og lige til Arlet> Pas nu på med at vejlede folk hvis du ikke helt ved hvad du laver.

illdisposed -> Der er ikke slettet noget i den log, der ikke er snavs...

Jeg har jo gjort PRÆSIS som du sagde punkt for punkt...

Printede det ud og var meget omhyggelig !!

kan se at det er efter du hentede sp1 og blaster opdateringen.
Installerer du dem med det samme??

Det kan godt være det var efter en af disse 2 opdateringer: Windows XP Service Pack 1 - 140 MB og  WindowsXP-KB826939-x86-DAN.exe

Som sagt: Find og slet i fejlsikret:

C:\WINDOWS\System32\winsvc32\WinSvc16.exe


Hent Sp1 til Windows og IE samt alle kritiske opdateringer her:
http://v4.windowsupdate.microsoft.com/da/default.asp

Derefter genstarter du og sender en ny log herind, for at se om vi har fået den helt ren.
Først når din log er endelig godkendt, må du aktiver din systemgendannelse igen.

Er det ikke det jeg skulle ?

Jo, alt hvad du har gjort er rigtigt. men et eller andet har ví lavet, prøver bare at finde frem til hvor når computeren gik amok. Hvad havde du lavet lige inden du genstartede og hvor den ikke ville mere

Jeg installerede WindowsXP-KB826939-x86-DAN.exe og ville genstarte for at installere den næste: Windows XP Service Pack 1 - 140 MB....

Der stod jo jeg først skulle genstarte efter jeg havde lavet det hele og installeret de 2 pakker. Men efter den første var jeg nød til at genstarte. Og så Gik den amok med DLL filer der mangler og WINLOGON.EXE - INDGANGSPUNKTET BLEV IKKE FUNDET.

Har du prøvet SFC /scannow?
XP skal kunne køre det i fejlsikret.

Vejledningen er lavet af brugeren Resten.

1:Det første du skal gøre er at boote op på din Windows XP/2000 CD, husk at din bios skal stå til at være first bootdevice cdrom.
Når den har installeret nogle foreløbige filer skal du;

2: springe det første tilbud om repair i Consolemode over og fortsætte din installation (nyinstallation)

3: Nu kan du så vælge hvilket drev din nye installation skal ligge på og her er det gerne dit C drev.

4: Og nu fortæller den dig der er et styresystem på dette drev og om du vil slette det (L) eller du vil lave en repair (R) - det er her du skal trykke på R.

5: Og du vil nu se at den laver en helt ny installation men det dejlige er bare den beholder alle dine indstillinger og dit skrive bord intakt men nu har du sluppet for alle dine fejl og mangler :-)

6:Lav kaffe, og slap lidt af i ventetiden.

7:PS husk at have din CD-Key klar, denne skal bruges da det jo er en "nyinstallation"

>Fromsej. Ville ønske du havde sagt det lidt før. Har lavet en helt frisk
Format C:.. 

Så nu har jeg kun 5664 drivere og codecs og opsætninger tilbage :)

Men mange tak for venligheden...

Øv, det er jeg ked af jeg ikke nåede.
Et program der kan hjælpe dig med driverne er Aida:
http://www.aida32.hu/aida-download.php?bit=32 - info om PC
Til Codecs kan du bruge Gspot:
http://www.divx-digest.com/software/gspot.html