Fjernelse af Virus.Win32. Hidrag.a

Download hijackthis herfra og gem det i en folder for sig selv på dit skrivebord

http://www.downloadportal.dk/viewinfo.asp?rid=1658
Eller
http://www.arlet.dk/hjt.exe

Start programmet og vælge, at udføre en scan samt gemme en log fil.
Når hijackthis er færdig med, at scanne vil den bede dig om en placering hvor du vil gemme "hijackthis" en tekst fil.
Gem den i samme folder som hijackthis. Når du har sagt okay hopper der et nyt vindue frem nemlig notepad med en masse tekst linjer. Marker alle linjerne og kopir dem herind så jeg kan kigge på dem. Du må ikke selv begynde, at fikse noget i hijackthis.

Logfile of HijackThis v1.99.1
Scan saved at 23:02:41, on 22-07-2005
Platform: Windows XP SP1 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP1 (6.00.2800.1106)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\Programmer\TGTSoft\StyleXP\StyleXPService.exe
C:\WINDOWS\Explorer.EXE
C:\WINDOWS\system32\spoolsv.exe
C:\Programmer\ABIT\ABIT uGuru\uGuru.exe
C:\Programmer\Hewlett-Packard\Toolbox2.0\Apache Tomcat 4.0\webapps\Toolbox\StatusClient\StatusClient.exe
C:\WINDOWS\SOUNDMAN.EXE
C:\Programmer\Java\jre1.5.0_02\bin\jusched.exe
C:\Programmer\QuickTime\qttask.exe
C:\programmer\powerstrip\pstrip.exe
C:\Programmer\Microsoft IntelliPoint\point32.exe
C:\Programmer\iTunes\iTunesHelper.exe
C:\Programmer\Kaspersky Lab\Kaspersky Anti-Virus Personal Pro 5\kav.exe
C:\WINDOWS\System32\RUNDLL32.EXE
C:\Programmer\Winamp\winampa.exe
C:\Programmer\Eraser\eraser.exe
C:\Programmer\Samurize\Client.exe
C:\Programmer\Samurize\Client.exe
C:\Programmer\Kaspersky Lab\Kaspersky Anti-Virus Personal Pro 5\kavmm.exe
C:\Programmer\Jetico\BestCrypt\BCResident.exe
C:\WINDOWS\System32\nvsvc32.exe
C:\WINDOWS\System32\svchost.exe
C:\Programmer\Hewlett-Packard\Toolbox2.0\Javasoft\JRE\1.3.1\bin\javaw.exe
C:\Programmer\iPod\bin\iPodService.exe
C:\Programmer\MSN Messenger\msnmsgr.exe
C:\Programmer\Winamp\Winamp.exe
C:\Programmer\Mozilla Thunderbird\thunderbird.exe
C:\WINDOWS\system32\HPBPRO.EXE
C:\HJT\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.google.dk/
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Hyperlinks
O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Programmer\Adobe\Acrobat 7.0\ActiveX\AcroIEHelper.dll
O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINDOWS\System32\msdxm.ocx
O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\System32\NvCpl.dll,NvStartup
O4 - HKLM\..\Run: [nwiz] nwiz.exe /install
O4 - HKLM\..\Run: [ABIT uGuru] C:\Programmer\ABIT\ABIT uGuru\uGuru.exe
O4 - HKLM\..\Run: [StatusClient] C:\Programmer\Hewlett-Packard\Toolbox2.0\Apache Tomcat 4.0\webapps\Toolbox\StatusClient\StatusClient.exe /auto
O4 - HKLM\..\Run: [TomcatStartup] C:\Programmer\Hewlett-Packard\Toolbox2.0\hpbpsttp.exe
O4 - HKLM\..\Run: [SoundMan] SOUNDMAN.EXE
O4 - HKLM\..\Run: [SunJavaUpdateSched] C:\Programmer\Java\jre1.5.0_02\bin\jusched.exe
O4 - HKLM\..\Run: [QuickTime Task] "C:\Programmer\QuickTime\qttask.exe" -atboottime
O4 - HKLM\..\Run: [PowerStrip] c:\programmer\powerstrip\pstrip.exe
O4 - HKLM\..\Run: [NeroFilterCheck] C:\WINDOWS\system32\NeroCheck.exe
O4 - HKLM\..\Run: [IntelliPoint] "C:\Programmer\Microsoft IntelliPoint\point32.exe"
O4 - HKLM\..\Run: [iTunesHelper] "C:\Programmer\iTunes\iTunesHelper.exe"
O4 - HKLM\..\Run: [KAV50] "C:\Programmer\Kaspersky Lab\Kaspersky Anti-Virus Personal Pro 5\kav.exe" -run -n PersonalPro -v 5.0.0.0 -chkss
O4 - HKLM\..\Run: [NvMediaCenter] RUNDLL32.EXE C:\WINDOWS\System32\NvMcTray.dll,NvTaskbarInit
O4 - HKLM\..\Run: [WinampAgent] C:\Programmer\Winamp\winampa.exe
O4 - HKCU\..\Run: [STYLEXP] C:\Programmer\TGTSoft\StyleXP\StyleXP.exe -Hide
O4 - HKCU\..\Run: [Eraser] C:\Programmer\Eraser\eraser.exe -hide
O4 - Startup: Client Default.lnk = C:\Programmer\Samurize\Client.exe
O4 - Startup: Client kaew part 1.lnk = C:\Programmer\Samurize\Client.exe
O4 - Startup: Client kaew part 2.lnk = C:\Programmer\Samurize\Client.exe
O4 - Startup: Client kaew.lnk = C:\Programmer\Samurize\Client.exe
O4 - Global Startup: Adobe Gamma Loader.lnk = ?
O4 - Global Startup: Adobe Reader Hurtigstart.lnk = C:\Programmer\Adobe\Acrobat 7.0\Reader\reader_sl.exe
O4 - Global Startup: BestCrypt Auto Open.lnk = C:\Programmer\Jetico\BestCrypt\BestCrypt.exe
O8 - Extra context menu item: E&xport to Microsoft Excel - res://C:\PROGRA~1\MICROS~3\OFFICE11\EXCEL.EXE/3000
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programmer\Messenger\MSMSGS.EXE
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programmer\Messenger\MSMSGS.EXE
O16 - DPF: {3D2CB570-D425-11D5-ABD0-00008369C46F} (CSMenu Class) - https://netbank.danskebank.dk/html/activex/DB/Menu.cab
O16 - DPF: {6414512B-B978-451D-A0D8-FCFDF33E833C} (WUWebControl Class) - http://v5.windowsupdate.microsoft.com/v5consumer/V5Controls/en/x86/client/wuweb_site.cab?1107184868625
O16 - DPF: {B38870E4-7ECB-40DA-8C6A-595F0A5519FF} (MsnMessengerSetupDownloadControl Class) - http://messenger.msn.com/download/MsnMessengerSetupDownloader.cab
O16 - DPF: {D8575CE3-3432-4540-88A9-85A1325D3375} (e-Safekey) - https://netbank.danskebank.dk/html/activex/e-Safekey/DB/e-Safekey.cab
O20 - AppInit_DLLs: hplun.dll
O23 - Service: Adobe LM Service - Unknown owner - C:\Programmer\Fælles filer\Adobe Systems Shared\Service\Adobelmsvc.exe
O23 - Service: iPod Service (iPodService) - Apple Computer, Inc. - C:\Programmer\iPod\bin\iPodService.exe
O23 - Service: Kaspersky Anti-Virus Service (KLBLMain) - Unknown owner - C:\Programmer\Kaspersky Lab\Kaspersky Anti-Virus Personal Pro 5\kavmm.exe" -run bl -n PersonalPro -v 5.0.0.0 -ttsr 10000000 (file missing)
O23 - Service: Macromedia Licensing Service - Unknown owner - C:\Programmer\Fælles filer\Macromedia Shared\Service\Macromedia Licensing.exe
O23 - Service: NVIDIA Display Driver Service (NVSvc) - NVIDIA Corporation - C:\WINDOWS\System32\nvsvc32.exe
O23 - Service: Pml Driver HPZ12 - HP - C:\WINDOWS\system32\HPZipm12.exe
O23 - Service: StyleXPService - Unknown owner - C:\Programmer\TGTSoft\StyleXP\StyleXPService.exe

Du har kaspersky scanneren installeret.. den burde godt kunne klare den virus.. der er intet i loggen.

så gør følgende.

hent ewido http://shop.element5.com/product.html?productid=531168

genstart i fejlsikret tilstand.. slå hele opsætningen til i kaspersky og scan din pc..

scan herefter med ewido og meld tilbage med resultatet til mig:)

hvilken mappe ligger filen forresten i?

Filen, som er inficeret med virussen, ligger i mappen D:\96e014ae94aff\sp2

Helt præcist: D:\96e014ae94aff\sp2\update\update.exe

Er din pc ved automatisk selv at hente opdateringer til windows? kan se du har sp1 men kunne se ud som om den henter til sp2... i hvertfald kør mit forslag først.. du har måske adgang til mappen i fejlsikret tilstand forresten

Jeg skriver fra en anden computer:

Er nu i gang med en fuld scanning med Kaspersky i fejlsikret tilstand. Har desuden og slået Systemgendannelse fra.

Scanningen kommer til at tage et par timer, men jeg giver besked så snart den er færdig.

Min computer er ikke igang med nogle opdateringer til Windows. Jeg ikke villet installere SP2, så jeg ved ikke hvor de filer kommer fra.

Det helt fint:) husk også at køre ewido efterfølgende eftersom den ofte finder andre elementer som kaspersky ikke kan se:)

Vi ser hvad der sker med mappen efter de to programmer er færdige.. hvis ikke det er noget windows opdateringsværk så er det højest sandsynligt snavs, men synes bare jeg har set det før som windows opdateringer der er i gang.. men det finder vi ud af:) hvis vi kan komme ind i mappen så kan vi undersøge filen update.exe .. men den tid den sorg:)

Jeg kørte både Kaspersky og Edwio i fejlsikret tilstand i går nat, men ingen af dem fandt virussen :S

Det kan være den er væk, men der var ingen rapport om at den blev slettet.

Jeg kan stadig ikke komme ind i mappen. Hvad gør jeg nu?

Jeg er stadig ikke sikker på, at det er snavs.. vent og se om din virus scanner skulle brokke sig over filen i mappen igen.. hvis den gør så slet hele mappen.. det kan du evt. gøre i fejlsikret tilstand.. hvis du alligevel ikke skal opdatere til SP2 og det er det eneste jeg tror det kan være så  har du jo ikke brug for mappen alligevel.

så har jeg desuden ikke god erfaring med filer som hedder update.exe :)