Virus (igen)

Du skal fixe følgende:
O4 - HKLM\..\Run: [ixplores] ixplores.exe
O4 - HKLM\..\RunServices: [ixplores] ixplores.exe

Genstart i fejlsikret tilstand og slet:
C:\WINNT\system32\ixplores.exe

Genstart og ny log

Og virusser brænder ikke skærme af. Det er jeg sikker på...

Logfile of HijackThis v1.97.7
Scan saved at 17:07:26, on 26-03-2004
Platform: Windows 2000 SP4 (WinNT 5.00.2195)
MSIE: Internet Explorer v6.00 SP1 (6.00.2800.1106)

Running processes:
C:\WINNT\System32\smss.exe
C:\WINNT\system32\winlogon.exe
C:\WINNT\system32\services.exe
C:\WINNT\system32\lsass.exe
C:\WINNT\system32\svchost.exe
C:\WINNT\system32\spoolsv.exe
C:\PROGRA~1\Grisoft\AVG7\avgamsvr.exe
C:\PROGRA~1\Grisoft\AVG7\avgupsvc.exe
C:\WINNT\System32\svchost.exe
C:\WINNT\system32\nvsvc32.exe
C:\WINNT\system32\regsvc.exe
C:\WINNT\system32\MSTask.exe
C:\WINNT\System32\WBEM\WinMgmt.exe
C:\WINNT\system32\svchost.exe
C:\WINNT\Explorer.EXE
C:\Program Files\HijackThis\HijackThis.exe

O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINNT\system32\NvCpl.dll,NvStartup
O4 - HKLM\..\Run: [Synchronization Manager] mobsync.exe /logon
O4 - Startup: AVG Control Center.lnk = C:\Program Files\Grisoft\AVG7\avgcc.exe
O4 - Startup: Shortcut to pstrip.lnk = C:\Program Files\PowerStrip\pstrip.exe
O4 - Startup: Trillian.lnk = C:\Program Files\Trillian\trillian.exe
O9 - Extra button: Related (HKLM)
O9 - Extra 'Tools' menuitem: Show &Related Links (HKLM)


Filen musirc4.72.exe kan jeg ikke slette, den ligger i

C:\WINNT\system32\musirc4.72.exe

http://www.atshield.com/
Prøv at køre en tur med trojan hunter. Jeg tror den tager den.

Jeg kigger ind i aften igen

ellers er din log jo fin ren igen....

Den finder ikke noget.

Men mit antivirus program (AGV 7. Pro) identificere den som værende en "worm" nogle gange Randex.M og andre gange som værende Valla.2048

cal> Genstart i fejlsikret tilstand.. så skulle du gerne kunne slette den.

har jeg prøvet, men får samme besked som når jeg ikke starter i fejlsikret, den skriver: "Cannot delete musirc4.72: Access is Dined. The source file may be in use."

Prøv Dr.Delete i fejlsikret tilstand: http://www.spywarefri.dk/tipsogtricks.htm#dr.delete

Lige umiddelbart ser det ud til at have virket med Dr. Delete. men jeg vil nu gerne lige vente en times tid, da det er noget der kommer med jævne mellem rum, og tygger hele min upload.

Jeg skal nok lige give en melding igen om en times tid.

så kom den igen... uanset hvor mange gange jeg sletter den, kommer den bare igen. jeg har fixet den 4 gange, + jeg har slettet alt hvadi har bedt mig om i fejlsikret tilstand. men den bliver bare ved med at komme igen.

jeg får snart tudefjæs :(

Logfile of HijackThis v1.97.7
Scan saved at 20:06:55, on 26-03-2004
Platform: Windows 2000 SP4 (WinNT 5.00.2195)
MSIE: Internet Explorer v6.00 SP1 (6.00.2800.1106)

Running processes:
C:\WINNT\System32\smss.exe
C:\WINNT\system32\winlogon.exe
C:\WINNT\system32\services.exe
C:\WINNT\system32\lsass.exe
C:\WINNT\system32\svchost.exe
C:\WINNT\system32\spoolsv.exe
C:\PROGRA~1\Grisoft\AVG7\avgamsvr.exe
C:\PROGRA~1\Grisoft\AVG7\avgupsvc.exe
C:\WINNT\System32\svchost.exe
C:\WINNT\system32\nvsvc32.exe
C:\WINNT\system32\regsvc.exe
C:\WINNT\system32\MSTask.exe
C:\WINNT\System32\WBEM\WinMgmt.exe
C:\WINNT\system32\svchost.exe
C:\WINNT\Explorer.EXE
C:\Program Files\Grisoft\AVG7\avgcc.exe
C:\Program Files\PowerStrip\pstrip.exe
C:\Program Files\Trillian\trillian.exe
C:\WINNT\system32\ixplores.exe
C:\WINNT\system32\ixplores.exe
C:\Program Files\HijackThis\HijackThis.exe

O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINNT\system32\NvCpl.dll,NvStartup
O4 - HKLM\..\Run: [Synchronization Manager] mobsync.exe /logon
O4 - HKLM\..\Run: [ixplores] ixplores.exe
O4 - HKLM\..\RunServices: [ixplores] ixplores.exe
O4 - Startup: AVG Control Center.lnk = C:\Program Files\Grisoft\AVG7\avgcc.exe
O4 - Startup: Shortcut to pstrip.lnk = C:\Program Files\PowerStrip\pstrip.exe
O4 - Startup: Trillian.lnk = C:\Program Files\Trillian\trillian.exe
O9 - Extra button: Related (HKLM)
O9 - Extra 'Tools' menuitem: Show &Related Links (HKLM)

hmm... prøv at genstarte i fejlsikret, lav en log.. altså i fejlsikret..
vil lige se hvad der startes op der..

her er den så, de er der også i fejlsikret tilstand :(

Logfile of HijackThis v1.97.7
Scan saved at 21:01:33, on 26-03-2004
Platform: Windows 2000 SP4 (WinNT 5.00.2195)
MSIE: Internet Explorer v6.00 SP1 (6.00.2800.1106)

Running processes:
C:\WINNT\System32\smss.exe
C:\WINNT\system32\winlogon.exe
C:\WINNT\system32\services.exe
C:\WINNT\system32\lsass.exe
C:\WINNT\system32\svchost.exe
C:\WINNT\System32\WBEM\WinMgmt.exe
C:\WINNT\system32\userinit.exe
C:\WINNT\Explorer.EXE
C:\Program Files\HijackThis\HijackThis.exe

O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINNT\system32\NvCpl.dll,NvStartup
O4 - HKLM\..\Run: [Synchronization Manager] mobsync.exe /logon
O4 - HKLM\..\Run: [ixplores] ixplores.exe
O4 - HKLM\..\RunServices: [ixplores] ixplores.exe
O4 - HKCU\..\Run: [ixplores] ixplores.exe
O4 - Startup: AVG Control Center.lnk = C:\Program Files\Grisoft\AVG7\avgcc.exe
O4 - Startup: Shortcut to pstrip.lnk = C:\Program Files\PowerStrip\pstrip.exe
O4 - Startup: Trillian.lnk = C:\Program Files\Trillian\trillian.exe
O9 - Extra button: Related (HKLM)
O9 - Extra 'Tools' menuitem: Show &Related Links (HKLM)

hmm.. ok, fremover starter du altid op i fejlsikret..
sæt kryds i hijackthis og fix:
O4 - HKLM\..\Run: [ixplores] ixplores.exe
O4 - HKLM\..\RunServices: [ixplores] ixplores.exe
O4 - HKCU\..\Run: [ixplores] ixplores.exe

Efter hijackthis, tryk F3 og søg efter filen: ixplores.exe
Den er muligvis skjult, så du skal kunne se skjulte filer:

Åbn en mappe, klik på Funktioner=>Mappeindstillinger=>Vis.
Fjern flueben ved "Skjul beskyttede operativsystemfiler".
Fjern flueben ved "Skjul filtypenavne for kendte filtyper".
Sæt prik i "Vis skjulte filer og mapper".

Når du finder filern, skal du slette den med Dr.Delete.

genstart i fejlsikret, og smid en ny log herind.

Sådan nu ser den ren ud, men det har den også gjort før. og dine instrukser er fulgt til punkt og prikke :o)

Logfile of HijackThis v1.97.7
Scan saved at 22:14:18, on 26-03-2004
Platform: Windows 2000 SP4 (WinNT 5.00.2195)
MSIE: Internet Explorer v6.00 SP1 (6.00.2800.1106)

Running processes:
C:\WINNT\System32\smss.exe
C:\WINNT\system32\winlogon.exe
C:\WINNT\system32\services.exe
C:\WINNT\system32\lsass.exe
C:\WINNT\system32\svchost.exe
C:\WINNT\System32\WBEM\WinMgmt.exe
C:\WINNT\system32\userinit.exe
C:\WINNT\Explorer.EXE
C:\Program Files\HijackThis\HijackThis.exe

O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINNT\system32\NvCpl.dll,NvStartup
O4 - HKLM\..\Run: [Synchronization Manager] mobsync.exe /logon
O4 - Startup: AVG Control Center.lnk = C:\Program Files\Grisoft\AVG7\avgcc.exe
O4 - Startup: Shortcut to pstrip.lnk = C:\Program Files\PowerStrip\pstrip.exe
O4 - Startup: Trillian.lnk = C:\Program Files\Trillian\trillian.exe
O9 - Extra button: Related (HKLM)
O9 - Extra 'Tools' menuitem: Show &Related Links (HKLM)

hehe.. det er da godt :-)

For at holde den ren, har aovergaard lavet en artikel om emnet, du kan kigge i.
http://www.eksperten.dk/artikler/144
Som minimum anbefales Spywareguard, Spywareblaster, IE-Spyad og IE Privacy Keeper.

Vend tilbage om et par dage, så vi kan se om det hele stadig er OK :-)
..eller før, hvis der er snavs :-)

nu er den der igen :(

O4 - HKLM\..\Run: [ixplores] ixplores.exe

hmm.. hvordan kom den? var det efter et genstart? eller kørte du bare HJT igen?

Lige da jeg genstartede kiggede jeg efter, da var den der ikke. Så satte jeg mig til at spille lidt quake, og efter 20 min. kom den igen.

Jeg har deaktiveret systemgendannelsen, scannet alle mine drev med min antivirus, fundet en backdoor, og slettet den. Alt dette skete under fejlsikret tilstand.

så scannede jeg igen, og fandt ingenting. Så går der et par minutter, så er den gal igen.

hmm.. så vidt jeg ved,er der ikke nogen 'systemgendannelse' i Windows 2000..?

Højre klik på my computer > Proberties > Advanced > Startup and recovery (nede i bunden). Nederst på den side der kommer frem skal der under "Write debugging information" stå "(none)", det vælges fra dropdown menuen.

Det er hvad jeg har fået at vide fra en kammerat, han mener at det har deaktivere det der i windows XP svarer til systemgendannelse.

Har du noget antivirus?
Kig i Task Manager (listen med programmer der kører), se om den kører.. hvis den kører, afslut den.

Derefter scanner du med samtlige online antivirus scannere du finder her: http://www.arlet.dk/onlinescannere.htm

ok...

men jeg har lige fået en ny :)
C:\WINNT\system32\Winlord32.exe
mit antivirus identificerede den som værende : IRC/BackDoor.SdBot.17.BL

Prøver lige de der online scannere

hvilket antivirus program har du?
opdater det, og scan hele computeren.

Jeg bruger AVG Anti-Virus 7.0 pro

Forsøger lige alle de der online scannere, og så opdatere jeg mit antivisud, og kører en complete scan der.

Kommer den mon igennem DCom.. ?
Kan i hvert fald ikke skade at lukke den hvis dne er åben.
http://www.spywarefri.dk/tipsogtricks.htm#DCom

jeg fandt den her tidligere.. ved ikke om den kan bruges:
http://securityresponse.symantec.com/avcenter/venc/data/w32.hllw.gaobot.bt.html

HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run

HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\RunServices

I de mapper inde i regedit fandt jeg aktiveringerne af ixplores, + panda active scan har indtil vidre fundet og repareret 2 infectioner.

direkte til dcom: http://grc.com/dcom/

Jeg har nu disablet DCom, med det der program.

Det der står neden under her, er hvad Panda active scan fandt.

Incident                      Status                        Location   

Bck/Sdbot.SJ                  Disinfected                  Operating system                                                                                                                                                         
W32/Gaobot.KC.worm            Disinfected                  C:\Documents and Settings\Kenneth Petterson\msconfig.dat                                                                                                                 
W32/Gaobot.KC.worm            Disinfected                  C:\WINNT\system32\wuamgrd.exe

mon ikke jeg er ved at være clean nu ? :)

ny log tak :-)

Logfile of HijackThis v1.97.7
Scan saved at 23:40:28, on 26-03-2004
Platform: Windows 2000 SP4 (WinNT 5.00.2195)
MSIE: Internet Explorer v6.00 SP1 (6.00.2800.1106)

Running processes:
C:\WINNT\System32\smss.exe
C:\WINNT\system32\winlogon.exe
C:\WINNT\system32\services.exe
C:\WINNT\system32\lsass.exe
C:\WINNT\system32\svchost.exe
C:\WINNT\system32\spoolsv.exe
C:\PROGRA~1\Grisoft\AVG7\avgamsvr.exe
C:\PROGRA~1\Grisoft\AVG7\avgupsvc.exe
C:\WINNT\System32\svchost.exe
C:\WINNT\system32\nvsvc32.exe
C:\WINNT\system32\regsvc.exe
C:\WINNT\system32\MSTask.exe
C:\WINNT\System32\WBEM\WinMgmt.exe
C:\WINNT\system32\svchost.exe
C:\WINNT\Explorer.EXE
C:\Program Files\Grisoft\AVG7\avgcc.exe
C:\Program Files\PowerStrip\pstrip.exe
C:\Program Files\Trillian\trillian.exe
C:\Program Files\Internet Explorer\iexplore.exe
C:\Program Files\HijackThis\HijackThis.exe

O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINNT\system32\NvCpl.dll,NvStartup
O4 - HKLM\..\Run: [Synchronization Manager] mobsync.exe /logon
O4 - Startup: AVG Control Center.lnk = C:\Program Files\Grisoft\AVG7\avgcc.exe
O4 - Startup: Shortcut to pstrip.lnk = C:\Program Files\PowerStrip\pstrip.exe
O4 - Startup: Trillian.lnk = C:\Program Files\Trillian\trillian.exe
O9 - Extra button: Related (HKLM)
O9 - Extra 'Tools' menuitem: Show &Related Links (HKLM)
O16 - DPF: {74D05D43-3236-11D4-BDCD-00C04F9A3B61} (HouseCall Control) - http://a840.g.akamai.net/7/840/537/2003120501/housecall.antivirus.com/housecall/xscan53.cab
O16 - DPF: {9A9307A0-7DA4-4DAF-B042-5009F29E09E1} (ActiveScan Installer Class) - http://www.pandasoftware.com/activescan/as5/asinst.cab

de andre gange kom ixplores igen efter en lille times tid.

OK.. vi tester lige.. du kommer bare tilbage hvis den dukker frem igen..
hvis den ikke er tilbage i løbet af en time, prøv at spille Quake.. ser om den så kommer frem..

så den gal igen, nu har jeg også fået besøg af en smsss.exe :/

Logfile of HijackThis v1.97.7
Scan saved at 23:58:04, on 26-03-2004
Platform: Windows 2000 SP4 (WinNT 5.00.2195)
MSIE: Internet Explorer v6.00 SP1 (6.00.2800.1106)

Running processes:
C:\WINNT\System32\smss.exe
C:\WINNT\system32\winlogon.exe
C:\WINNT\system32\services.exe
C:\WINNT\system32\lsass.exe
C:\WINNT\system32\svchost.exe
C:\WINNT\system32\spoolsv.exe
C:\PROGRA~1\Grisoft\AVG7\avgamsvr.exe
C:\PROGRA~1\Grisoft\AVG7\avgupsvc.exe
C:\WINNT\System32\svchost.exe
C:\WINNT\system32\nvsvc32.exe
C:\WINNT\system32\regsvc.exe
C:\WINNT\system32\MSTask.exe
C:\WINNT\System32\WBEM\WinMgmt.exe
C:\WINNT\system32\svchost.exe
C:\WINNT\Explorer.EXE
C:\Program Files\Grisoft\AVG7\avgcc.exe
C:\Program Files\PowerStrip\pstrip.exe
C:\Program Files\Trillian\trillian.exe
C:\Program Files\Internet Explorer\iexplore.exe
C:\WINNT\system32\smsss.exe
C:\WINNT\system32\ixplores.exe
C:\WINNT\system32\ixplores.exe
C:\Program Files\HijackThis\HijackThis.exe

O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINNT\system32\NvCpl.dll,NvStartup
O4 - HKLM\..\Run: [Synchronization Manager] mobsync.exe /logon
O4 - HKLM\..\Run: [smsss] smsss.exe
O4 - HKLM\..\Run: [ixplores] ixplores.exe
O4 - HKLM\..\RunServices: [smsss] smsss.exe
O4 - HKLM\..\RunServices: [ixplores] ixplores.exe
O4 - Startup: AVG Control Center.lnk = C:\Program Files\Grisoft\AVG7\avgcc.exe
O4 - Startup: Shortcut to pstrip.lnk = C:\Program Files\PowerStrip\pstrip.exe
O4 - Startup: Trillian.lnk = C:\Program Files\Trillian\trillian.exe
O9 - Extra button: Related (HKLM)
O9 - Extra 'Tools' menuitem: Show &Related Links (HKLM)
O16 - DPF: {74D05D43-3236-11D4-BDCD-00C04F9A3B61} (HouseCall Control) - http://a840.g.akamai.net/7/840/537/2003120501/housecall.antivirus.com/housecall/xscan53.cab
O16 - DPF: {9A9307A0-7DA4-4DAF-B042-5009F29E09E1} (ActiveScan Installer Class) - http://www.pandasoftware.com/activescan/as5/asinst.cab

Genstart din computer i fejlsikret tilstand.

Fix disse:
O4 - HKLM\..\Run: [smsss] smsss.exe
O4 - HKLM\..\Run: [ixplores] ixplores.exe
O4 - HKLM\..\RunServices: [smsss] smsss.exe
O4 - HKLM\..\RunServices: [ixplores] ixplores.exe

Inden du skal finde og slette disse filer i fejlsikret tilstand, så følg denne vejledning:
Åbn en mappe, klik på Funktioner >Mappeindstillinger >Vis.
Fjern flueben ved "Skjul beskyttede operativsystemfiler".
Fjern flueben ved "Skjul filtypenavne for kendte filtyper".
Sæt prik i "Vis skjulte filer og mapper".

Find og slet disse:
C:\WINNT\system32\smsss.exe>> filen smsss.exe
C:\WINNT\system32\ixplores.exe>> filen ixplores.exe - pas på du ikke tager den legale
C:\WINNT\system32\ixplores.exe

Genstart din computer.
Du skal også lige hente og installere programmet Ad-aware. Opdater det straks efter installationen, og inden du kører en scanning med denne. Fjern alt hvad den finder. Programmet samt brugervejledning på dansk finder du her: http://www.spywarefri.dk/vaerktoj.htm#adaware

Genstart din computer, kør en ny scanning med HijackThis, kopier en ny log herind til tjek.

Logfile of HijackThis v1.97.7
Scan saved at 10:17:29, on 27-03-2004
Platform: Windows 2000 SP4 (WinNT 5.00.2195)
MSIE: Internet Explorer v6.00 SP1 (6.00.2800.1106)

Running processes:
C:\WINNT\System32\smss.exe
C:\WINNT\system32\winlogon.exe
C:\WINNT\system32\services.exe
C:\WINNT\system32\lsass.exe
C:\WINNT\system32\svchost.exe
C:\WINNT\system32\spoolsv.exe
C:\PROGRA~1\Grisoft\AVG7\avgamsvr.exe
C:\PROGRA~1\Grisoft\AVG7\avgupsvc.exe
C:\WINNT\System32\svchost.exe
C:\WINNT\system32\nvsvc32.exe
C:\WINNT\system32\regsvc.exe
C:\WINNT\system32\MSTask.exe
C:\WINNT\System32\WBEM\WinMgmt.exe
C:\WINNT\system32\svchost.exe
C:\WINNT\Explorer.EXE
C:\Program Files\Grisoft\AVG7\avgcc.exe
C:\Program Files\PowerStrip\pstrip.exe
C:\Program Files\Trillian\trillian.exe
C:\Program Files\DU Meter\DUMeter.exe
C:\Program Files\HijackThis\HijackThis.exe

O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINNT\system32\NvCpl.dll,NvStartup
O4 - HKLM\..\Run: [Synchronization Manager] mobsync.exe /logon
O4 - HKLM\..\Run: [DU Meter] C:\Program Files\DU Meter\DUMeter.exe
O4 - Startup: AVG Control Center.lnk = C:\Program Files\Grisoft\AVG7\avgcc.exe
O4 - Startup: Shortcut to pstrip.lnk = C:\Program Files\PowerStrip\pstrip.exe
O4 - Startup: Trillian.lnk = C:\Program Files\Trillian\trillian.exe
O9 - Extra button: Related (HKLM)
O9 - Extra 'Tools' menuitem: Show &Related Links (HKLM)
O16 - DPF: {74D05D43-3236-11D4-BDCD-00C04F9A3B61} (HouseCall Control) - http://a840.g.akamai.net/7/840/537/2003120501/housecall.antivirus.com/housecall/xscan53.cab
O16 - DPF: {9A9307A0-7DA4-4DAF-B042-5009F29E09E1} (ActiveScan Installer Class) - http://www.pandasoftware.com/activescan/as5/asinst.cab
O16 - DPF: {D27CDB6E-AE6D-11CF-96B8-444553540000} (Shockwave Flash Object) - http://download.macromedia.com/pub/shockwave/cabs/flash/swflash.cab

AD-Aware fandt ikke noget

Installer:

Trojanhunter - http://www.diamondcs.com.au/tds/downloads/tds3setup.exe
Avast (antivirus) - http://download2.avast.com/iavs4pro/setupeng.exe
Sygate Personal Firewall - http://download.com.com/3001-2092-10184369.html
SpywareGuard - http://www.majorgeeks.com/download3045.html (under Download nede til højre)
SpywareBlaster - http://www.javacoolsoftware.net/downloads/spywareblastersetup.exe


Når firewall'en er installeret, scan hele din computer med Avast.

Din computer er nu helt ren og du må gerne slå systemgendannelsen til igen.
For at sikre din pc fremover ville det være en god idé at bruge nogle af programmerne fra vores lille pakke som du kan se her:
http://www.spywarefri.dk/pakken.htm

Især vil jeg anbefale Spybot/og eller Ad-aware, SpywareBlaster, IE Privacy Keeper/el. EmtyTempFolder, IE-Spyad og SpywareGuard som minimum. De er alle gratis, fylder ikke meget, sløver ikke din pc og konflikter ikke med dine andre programmer

Jeg takker mange gange for jeres hjælp, jeg tror nu ikke at den kommer igen. :o)

Velbekommen. Takker for point:) jeg deler lidt med thesurfer, han har også fortjent det. http://www.eksperten.dk/spm/482836 her kan de hentes thesurfer.

hmm. havde overset et par indlæg, da jeg postede mit indlæg 27/03-2004 12:54:15..