Hjælp jeg har virus. Har Sasser og lign

Hent Spybot og HijackThis:
http://www.spywarefri.dk/vaerktoj.htm

Installer og kør Spybot, opdater online, scan, afhjælp valgte problemer og genstart.

Derefter udpakker og kører du Hijackthis > Scan > Save log. Kopier logfilen herind, så kigger vi på den.
Lad være med at slette noget selv med Hijackthis, vi skal nok hjælpe med at tyde loggen.

Har SpyBot inde.. Det du mener med Online scan er at jeg bare skal have den nyeste vers. eller hvad? :)

Tag lige en tur med Stinger, inden du kopierer en log fra HijackThis herind: http://vil.nai.com/vil/stinger/

Spybot: opdater online (nyeste - ja) > scan...

Ok.. Skal lige siges at jeg næsten lige har kørt en scan med HouseCall.. ;) Bare så du ved det.. Og der har den fjernet en del af de Sasser viruser.. Når jeg starter min computer op siger den også det der med at der er sket en fejl og den vil slukke efter 60 sec.. Er det stadig blaster der er på spil der..
Jeg plejer bare at køre Run > og så skrive shutdown -a , men det vil jeg også gerne have fixet så jeg ikke skal skrive det :)

Kom nu med den log så kigger vi på det

Hvis computeren vil genstarte bruger du rigtigt nok shutdown -a Følg min vejledning. Først Stinger derefter Spybot og HijackThis.

Slå systemgendannelse fra-kør stinger-hent sikkerhedsopdateringer hos microsoft.

Tror det er lettere en af jer laver en samlet guide.. Ellers bliver det uoverskugeligt.. Jeg kører Stinger nu.. Efter det smider jeg en hijackthislog til jer.. Og så ser vi på det drenge ;) På forhånd tak :)

Hijackthis log :) :
Logfile of HijackThis v1.97.7
Scan saved at 20:04:23, on 26-05-2004
Platform: Windows XP SP1 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP1 (6.00.2800.1106)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\spoolsv.exe
C:\WINDOWS\System32\nvsvc32.exe
C:\WINDOWS\system32\15679_up.exe
C:\WINDOWS\Explorer.EXE
C:\WINDOWS\System32\rmctrl.exe
C:\Program Files\PCI Audio Applications\Bin\WDM\noSPDIF\Mixer.exe
C:\Program Files\Winamp\winampa.exe
C:\PROGRA~1\BLUELO~1\Settings Setup File.exe
C:\WINDOWS\System32\ctfmon.exe
C:\WINDOWS\System32\svchost.exe
C:\Program Files\Winamp\winamp.exe
C:\Curse\mirc.exe
C:\Program Files\Internet Explorer\iexplore.exe
C:\Program Files\Internet Explorer\iexplore.exe
C:\WINDOWS\system32\15679_up.exe
C:\WINDOWS\system32\15679_up.exe
C:\WINDOWS\system32\15679_up.exe
C:\WINDOWS\system32\15679_up.exe
C:\WINDOWS\system32\15679_up.exe
C:\WINDOWS\system32\15679_up.exe
C:\WINDOWS\system32\15679_up.exe
C:\WINDOWS\system32\15679_up.exe
C:\WINDOWS\system32\15679_up.exe
C:\WINDOWS\system32\15679_up.exe
C:\WINDOWS\system32\15679_up.exe
C:\Documents and Settings\Administrator\Desktop\hijack\HijackThis.exe
C:\WINDOWS\system32\15679_up.exe
C:\WINDOWS\system32\15679_up.exe
C:\WINDOWS\system32\15679_up.exe
C:\WINDOWS\system32\15679_up.exe
C:\WINDOWS\system32\15679_up.exe
C:\WINDOWS\system32\15679_up.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.nationx.dk/
O2 - BHO: (no name) - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Program Files\Adobe\Acrobat 6.0\Reader\ActiveX\AcroIEHelper.dll
O2 - BHO: (no name) - {9CD10BEE-719A-4FA5-31D6-3A88DF083231} - C:\PROGRA~1\CURBLO~1\isodelete.dll
O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINDOWS\System32\msdxm.ocx
O3 - Toolbar: face loud pile - {19E3F26F-7807-F8AA-13A2-81AD7FFDD4C9} - C:\PROGRA~1\CURBLO~1\isodelete.dll
O4 - HKLM\..\Run: [1A:Stardock TrayMonitor] "C:\Program Files\Common Files\stardock\TrayServer.exe"
O4 - HKLM\..\Run: [C-Media Mixer] C:\Program Files\PCI Audio Applications\Bin\AudioRack.exe /MixerStartup
O4 - HKLM\..\Run: [MessengerPlus2] "C:\Program Files\Messenger Plus! 2\MsgPlus.exe"
O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\System32\NvCpl.dll,NvStartup
O4 - HKLM\..\Run: [nwiz] nwiz.exe /install
O4 - HKLM\..\Run: [DU Meter] C:\Program Files\DU Meter\DUMeter.exe
O4 - HKLM\..\Run: [Realtime Audio Engine] mmrtkrnl.exe
O4 - HKLM\..\Run: [RemoteControl] C:\WINDOWS\System32\rmctrl.exe
O4 - HKLM\..\Run: [WinampAgent] C:\Program Files\Winamp\winampa.exe
O4 - HKLM\..\Run: [NeroFilterCheck] C:\WINDOWS\system32\NeroCheck.exe
O4 - HKLM\..\Run: [NeroCheck] C:\WINDOWS\system32\NeroCheck.exe
O4 - HKLM\..\Run: [Admin grim] C:\PROGRA~1\BLUELO~1\Settings Setup File.exe
O4 - HKLM\..\Run: [Ad-aware] "I:\Appz\AD-AWA~1\Ad-aware.exe" +c
O4 - HKLM\..\Run: [UserFaultCheck] %systemroot%\system32\dumprep 0 -u
O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\ctfmon.exe
O4 - Global Startup: Adobe Gamma Loader.lnk = C:\Program Files\Common Files\Adobe\Calibration\Adobe Gamma Loader.exe
O8 - Extra context menu item: E&xport to Microsoft Excel - res://C:\PROGRA~1\MICROS~2\Office10\EXCEL.EXE/3000
O9 - Extra button: Messenger (HKLM)
O9 - Extra 'Tools' menuitem: Messenger (HKLM)
O16 - DPF: {00B71CFB-6864-4346-A978-C0A14556272C} (Checkers Class) - http://messenger.zone.msn.com/binary/msgrchkr.cab
O16 - DPF: {1221EA33-878F-4672-B799-05DAAF1298CF} (sysinfo1 Class) - http://www.tele2adsl.dk/pctest/systeminfo1.dll
O16 - DPF: {166B1BCA-3F9C-11CF-8075-444553540000} (Shockwave ActiveX Control) - http://download.macromedia.com/pub/shockwave/cabs/director/sw.cab
O16 - DPF: {2917297F-F02B-4B9D-81DF-494B6333150B} (Minesweeper Flags Class) - http://messenger.zone.msn.com/binary/MineSweeper.cab
O16 - DPF: {31B7EB4E-8B4B-11D1-A789-00A0CC6651A8} (Cult3D ActiveX Player) - http://www.cult3d.com/download/cult.cab
O16 - DPF: {33564D57-0000-0010-8000-00AA00389B71} - http://download.microsoft.com/download/F/6/E/F6E491A6-77E1-4E20-9F5F-94901338C922/wmv9VCM.CAB
O16 - DPF: {5D8844F9-1CB8-11D2-A0A0-00600859EB9F} (PatchCtl Class) - file://I:\Gamez\Fifa 2004\update.1.1\patchx2.cab
O16 - DPF: {74D05D43-3236-11D4-BDCD-00C04F9A3B61} (HouseCall Control) - http://housecall.trendmicro-europe.com/housecall/Xscan53.cab
O16 - DPF: {8E0D4DE5-3180-4024-A327-4DFAD1796A8D} (MessengerStatsClient Class) - http://messenger.zone.msn.com/binary/MessengerStatsClient.cab
O16 - DPF: {9F1C11AA-197B-4942-BA54-47A8489BB47F} (Update Class) - http://v4.windowsupdate.microsoft.com/CAB/x86/unicode/iuctl.CAB?37904.4926273148
O16 - DPF: {C81B5180-AFD1-41A3-97E1-99E8D254DB98} (CSS Web Installer Class) - http://scanner.virus112.com/cabs/cssweb.cab
O16 - DPF: {D27CDB6E-AE6D-11CF-96B8-444553540000} (Shockwave Flash Object) - http://download.macromedia.com/pub/shockwave/cabs/flash/swflash.cab
O16 - DPF: {D4003A01-9B2C-4E24-9CD2-8D7DB1BDE096} - http://www.degulesider.dk/tool/DGSCab.cab
O16 - DPF: {F6BF0D00-0B2A-4A75-BF7B-F385591623AF} (Solitaire Showdown Class) - http://messenger.zone.msn.com/binary/SolitaireShowdown.cab

Det nytter ikke, at fjerne virus, når systemgendannelse er slået til, de vil være der efter genstart igen. Den skal deaktiveres.

Er i igang med at lave en guide til hvad jeg skal gøre nu? :)

Tror resist er i gang - men der er lidt snavs

P.s. de svchost du har kørende er ok

ok ;)

Nu er jeg i gang ;-)

godt

zZzZ :D

Slå systemgendannelse fra. Hvis du ikke ved, hvordan du gør så kig her: http://www.spywarefri.dk/virusscannere.htm#alle

Herunder er der nogle filer, som du skal fixe. Sæt en vinge ud for disse filer. Når du har gjort det, så lukker du alle andre vinduer ned.

Fix disse med HijackThis:

O2 - BHO: (no name) - {9CD10BEE-719A-4FA5-31D6-3A88DF083231} - C:\PROGRA~1\CURBLO~1\isodelete.dll

O3 - Toolbar: face loud pile - {19E3F26F-7807-F8AA-13A2-81AD7FFDD4C9} - C:\PROGRA~1\CURBLO~1\isodelete.dll

O4 - HKLM\..\Run: [Admin grim] C:\PROGRA~1\BLUELO~1\Settings Setup File.exe


----
Åbn en mappe, klik på Funktioner=>Mappeindstillinger=>Vis.
Fjern flueben ved "Skjul beskyttede operativsystemfiler".
Fjern flueben ved "Skjul filtypenavne for kendte filtyper".
Sæt prik i "Vis skjulte filer og mapper".
----

Gå i Start > Kør. Skriv: msconfig > OK. I fanebladet start fjerner du fluebenene ud for 15679_up.exe > OK

Genstart i fejlsikret tilstand (F8 i opstart).  Find og slet:

C:\PROGRA~1\CURBLO~1\isodelete.dll >>>> mappen CURBLO~1
C:\PROGRA~1\BLUELO~1\Settings Setup File.exe >>>> mappen BLUELO~1
C:\WINDOWS\system32\15679_up.exe >>>> filen 15679_up.exe

Genstart almindeligt og send en ny log herind til tjek

weee :)
Så går vi i krig :p

hmm.. kan ikke finde systemgendanelse.. Jeg har jo Win XP pro.. Der sker altså ikke det samme når man trykker Højre Mus på skrivebordet.. Der kommer bare sådan noget som hvis man lavede egenskaber på et normalt ikon eller lign..
Såå hvad skal jeg gøre istedet for?
Jeg har så fundet ud af at hvis man går ind i Denne Computer kan man vælge:
View System Information som er den eneste mulighed.. Når jeg går herind kan jeg stadig ikke finde noget.. Hvad gør jeg så?

Nej... Højreklik på IKONET denne computer - følg så vejledningen :)

Synes lige du skal se det her..
Fremgansmåden var:
Trykkede på Start > Denne Computer ligger oxo i start menuen, der trykkede jeg højre mus > Og Egenskaber > Så kommer der dette frem: www.home.no/simonla/hmm.jpg
Hvad skal jeg så?

r0ll0dk>
mystisk... det faneblad har du jo ikke...

nej nemlig :)

Den guide der er nok lavet til XP Home Edition.. og self ME

Er der en Start > Kør. Skriv: msconfig > OK Prik i Diagnostisk start? Ellers prøv at fixe og slette som beskrevet fra fejlsikret tilstand.

Nej den er ok til XP pro for det kører jeg

Men jeg vil stadig gerne have hjælp.. :)

resist.. det virkede.. skal jeg sætte den til Diagnostisk start så?

ja, fix, msconfig (stop 15679_up.exe), Diagnostisk start, genstart, slet, genstart normalt, ny log - tak

VIl du ikke skære det ud i pap hvad jeg skal :)

Prøv bare at følge min vejledning 26/05-2004 20:47:42 (glem systemgendannelse) og kopier en ny log herind - tak

Gå i Start > Kør. Skriv: msconfig > OK. I fanebladet start fjerner du fluebenene ud for 15679_up.exe > OK


----

Mit faneblad vil jeg gætte på hedder Startup. Da der ikke kan være andre.
Men derinde kan jeg ikke finde den :(

Så afslut processerne. Genstart i fejlsikret og slet som beskrevet.

Tror sku den er ved og være der.. Fixer lige en ny log ;)
brb

Logfile of HijackThis v1.97.7
Scan saved at 22:07:45, on 26-05-2004
Platform: Windows XP SP1 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP1 (6.00.2800.1106)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\spoolsv.exe
C:\WINDOWS\Explorer.EXE
C:\WINDOWS\System32\nvsvc32.exe
C:\WINDOWS\System32\rmctrl.exe
C:\Program Files\Winamp\winampa.exe
C:\Program Files\PCI Audio Applications\Bin\WDM\noSPDIF\Mixer.exe
C:\WINDOWS\System32\ctfmon.exe
C:\Program Files\Internet Explorer\iexplore.exe
C:\Documents and Settings\Administrator\Desktop\stinger.exe
C:\Program Files\Winamp\winamp.exe
C:\Documents and Settings\Administrator\Desktop\hijack\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.nationx.dk/
O2 - BHO: (no name) - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Program Files\Adobe\Acrobat 6.0\Reader\ActiveX\AcroIEHelper.dll
O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINDOWS\System32\msdxm.ocx
O4 - HKLM\..\Run: [1A:Stardock TrayMonitor] "C:\Program Files\Common Files\stardock\TrayServer.exe"
O4 - HKLM\..\Run: [C-Media Mixer] C:\Program Files\PCI Audio Applications\Bin\AudioRack.exe /MixerStartup
O4 - HKLM\..\Run: [MessengerPlus2] "C:\Program Files\Messenger Plus! 2\MsgPlus.exe"
O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\System32\NvCpl.dll,NvStartup
O4 - HKLM\..\Run: [nwiz] nwiz.exe /install
O4 - HKLM\..\Run: [DU Meter] C:\Program Files\DU Meter\DUMeter.exe
O4 - HKLM\..\Run: [Realtime Audio Engine] mmrtkrnl.exe
O4 - HKLM\..\Run: [RemoteControl] C:\WINDOWS\System32\rmctrl.exe
O4 - HKLM\..\Run: [WinampAgent] C:\Program Files\Winamp\winampa.exe
O4 - HKLM\..\Run: [NeroFilterCheck] C:\WINDOWS\system32\NeroCheck.exe
O4 - HKLM\..\Run: [NeroCheck] C:\WINDOWS\system32\NeroCheck.exe
O4 - HKLM\..\Run: [Ad-aware] "I:\Appz\AD-AWA~1\Ad-aware.exe" +c
O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\ctfmon.exe
O4 - Global Startup: Adobe Gamma Loader.lnk = C:\Program Files\Common Files\Adobe\Calibration\Adobe Gamma Loader.exe
O8 - Extra context menu item: E&xport to Microsoft Excel - res://C:\PROGRA~1\MICROS~2\Office10\EXCEL.EXE/3000
O9 - Extra button: Messenger (HKLM)
O9 - Extra 'Tools' menuitem: Messenger (HKLM)
O16 - DPF: {00B71CFB-6864-4346-A978-C0A14556272C} (Checkers Class) - http://messenger.zone.msn.com/binary/msgrchkr.cab
O16 - DPF: {1221EA33-878F-4672-B799-05DAAF1298CF} (sysinfo1 Class) - http://www.tele2adsl.dk/pctest/systeminfo1.dll
O16 - DPF: {166B1BCA-3F9C-11CF-8075-444553540000} (Shockwave ActiveX Control) - http://download.macromedia.com/pub/shockwave/cabs/director/sw.cab
O16 - DPF: {2917297F-F02B-4B9D-81DF-494B6333150B} (Minesweeper Flags Class) - http://messenger.zone.msn.com/binary/MineSweeper.cab
O16 - DPF: {31B7EB4E-8B4B-11D1-A789-00A0CC6651A8} (Cult3D ActiveX Player) - http://www.cult3d.com/download/cult.cab
O16 - DPF: {33564D57-0000-0010-8000-00AA00389B71} - http://download.microsoft.com/download/F/6/E/F6E491A6-77E1-4E20-9F5F-94901338C922/wmv9VCM.CAB
O16 - DPF: {5D8844F9-1CB8-11D2-A0A0-00600859EB9F} (PatchCtl Class) - file://I:\Gamez\Fifa 2004\update.1.1\patchx2.cab
O16 - DPF: {74D05D43-3236-11D4-BDCD-00C04F9A3B61} (HouseCall Control) - http://housecall.trendmicro-europe.com/housecall/Xscan53.cab
O16 - DPF: {8E0D4DE5-3180-4024-A327-4DFAD1796A8D} (MessengerStatsClient Class) - http://messenger.zone.msn.com/binary/MessengerStatsClient.cab
O16 - DPF: {9F1C11AA-197B-4942-BA54-47A8489BB47F} (Update Class) - http://v4.windowsupdate.microsoft.com/CAB/x86/unicode/iuctl.CAB?37904.4926273148
O16 - DPF: {C81B5180-AFD1-41A3-97E1-99E8D254DB98} (CSS Web Installer Class) - http://scanner.virus112.com/cabs/cssweb.cab
O16 - DPF: {D27CDB6E-AE6D-11CF-96B8-444553540000} (Shockwave Flash Object) - http://download.macromedia.com/pub/shockwave/cabs/flash/swflash.cab
O16 - DPF: {D4003A01-9B2C-4E24-9CD2-8D7DB1BDE096} - http://www.degulesider.dk/tool/DGSCab.cab
O16 - DPF: {F6BF0D00-0B2A-4A75-BF7B-F385591623AF} (Solitaire Showdown Class) - http://messenger.zone.msn.com/binary/SolitaireShowdown.cab

Nu skal jeg kigge din nye log igennem.

Din log ser umiddelbart ren ud ;-)

På de problemer, du har beskrevet før i denne tråd, kan det godt se ud til, at du skal køre denne kommando:

Indsæt din XP-cd i dit drev.
Gå i start
Kør
Skriv: sfc /scannow
OK

Er der nogle systemfiler, som ikke har det så godt, så bliver de repareret og mangler der nogle, så bliver de gendannet.

Der er dog et prob..
Der komemr stadig det der med at den vil lukke ned efter 60 sec

Tag en onlinescanning med Housecall og Bitdefender:

Housecall: http://housecall.trendmicro.com/
BitDefender: http://www.bitdefender.com/scan/license.php

Se også lige her: http://www.spywarefri.dk/virus.htm#sasser

Ok.. Jeg prøver og dog et aller aller sidste spørgsmål :)
Jeg har problemer med mit msn.. Tror måske også det er blevet infisceret..
Kan ikke installere det.. Den kommer med en fejl :x

Har du prøvet sfc /scannow? Ellers prøv det.

Husk at læse her, så du kan få Sasser helt væk: http://www.spywarefri.dk/virus.htm#sasser og få onlinescannet med diverse scannere - Housecall, Bitdefender, Panda.

Her kan du se hvad der sker:
www.home.no/simonla

Der ser ud til at være mange muligheder. Prøv at søge i Google på: error 2755 msn messenger

Du har prøvet sfc, læst om Sasser på www.spywarefri.dk og onlinescannet?

Du kan eventuelt også prøve Stinger igen.

Prøv også at besøge Windows Update.