Avatar billede realone Nybegynder
18. august 2005 - 23:30 Der er 10 kommentarer og
1 løsning

WPA.exe forringer internettet

Hej eksperter

Jeg har lige nu formateret min computer efter at have været udsat for flere vira. Til daglig spiller jeg en smule Counter-Strike, og mit problem nu er, at forbindelsen hvert andet sekund pinger 400 (normalping er ~20-30).

Min process-liste er kigget igennem, og jeg fandt en fil ved navn "wpa.exe". Denne fil havde jeg ikke hørt om før, så jeg prøvede finde det, jeg kunne. Hvad jeg indtil videre har fundet ud af er, at Microsoft benytter forkortelsen WPA for et eller andet med trådløst netværk - hvilket jeg ikke har i min PC.

Jeg kan ikke lukke processen, og sletter jeg filen (i fejlsikret tilstand), dukker den bare op igen. Filen deltager også i HiJackThis-loggen (se nederst). Efter flere forsøg er jeg efterhånden ret sikker på, at det er denne fil, der forårsager lagget. Jeg er også ret sikker på, at filen er kommet i forbindelse med en security-update fra Microsoft, som jeg har installeret for at slippe for virussen (KB835732).

Denne KB kan jeg dog ikke slette i tilføj/fjern programmer, som jeg ellers plejer at kunne.

I bund og grund har jeg brug for alt den hjælp, jeg kan få - jeg gider bare ikke at formatere igen.

Der er 200 points på spil for den her - på forhånd tak for hjælpen. :)
Avatar billede ksoren Nybegynder
18. august 2005 - 23:44 #1
Der er flere orme i omløb lige nu, som udnytter et af de seneste huller i Windows
http://securityresponse.symantec.com/avcenter/venc/data/w32.esbot.b.html
Avatar billede halvamatoer Nybegynder
18. august 2005 - 23:45 #2
Avatar billede halvamatoer Nybegynder
18. august 2005 - 23:46 #3
Damm jeg tøvede - skulle lige checke noget - for langson igen.
Avatar billede kalp Novice
19. august 2005 - 10:03 #4
realone >> send mig din hijackthis log her i dit spørgsmål
Avatar billede realone Nybegynder
19. august 2005 - 12:44 #5
Ups, ja - den glemte jeg lige at tilføje :)

Logfile of HijackThis v1.99.1
Scan saved at 12:45:04, on 19-08-2005
Platform: Windows 2000 SP4 (WinNT 5.00.2195)
MSIE: Internet Explorer v6.00 SP1 (6.00.2800.1106)

Running processes:
C:\WINNT\System32\smss.exe
C:\WINNT\system32\winlogon.exe
C:\WINNT\system32\services.exe
C:\WINNT\system32\lsass.exe
C:\WINNT\system32\svchost.exe
C:\WINNT\system32\spoolsv.exe
C:\WINNT\System32\svchost.exe
C:\WINNT\system32\nvsvc32.exe
C:\WINNT\system32\regsvc.exe
C:\WINNT\system32\MSTask.exe
C:\WINNT\System32\WBEM\WinMgmt.exe
C:\WINNT\system32\svchost.exe
C:\WINNT\Explorer.EXE
C:\WINNT\system32\RUNDLL32.EXE
C:\Programmer\MSN Messenger\MsnMsgr.Exe
C:\Programmer\Internet Explorer\IEXPLORE.EXE
G:\hijackthis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://xplayn.boomtown.net/2653
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Hyperlinks
O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Programmer\Adobe\Acrobat 6.0\Reader\ActiveX\AcroIEHelper.dll
O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINNT\system32\msdxm.ocx
O4 - HKLM\..\Run: [Synchronization Manager] mobsync.exe /logon
O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINNT\system32\NvCpl.dll,NvStartup
O4 - HKLM\..\Run: [nwiz] nwiz.exe /install
O4 - HKLM\..\Run: [NvMediaCenter] RUNDLL32.EXE C:\WINNT\system32\NvMcTray.dll,NvTaskbarInit
O4 - HKLM\..\Run: [NeroFilterCheck] C:\WINNT\system32\NeroCheck.exe
O4 - HKCU\..\Run: [Steam] "e:\steam\steam.exe" -silent
O4 - HKCU\..\Run: [MsnMsgr] "C:\Programmer\MSN Messenger\MsnMsgr.Exe" /background
O9 - Extra button: Related - {c95fe080-8f5d-11d2-a20b-00aa003c157a} - C:\WINNT\web\related.htm
O9 - Extra 'Tools' menuitem: Show &Related Links - {c95fe080-8f5d-11d2-a20b-00aa003c157a} - C:\WINNT\web\related.htm
O15 - Trusted Zone: *.line6.net
O16 - DPF: {6414512B-B978-451D-A0D8-FCFDF33E833C} (WUWebControl Class) - http://update.microsoft.com/windowsupdate/v6/V5Controls/en/x86/client/wuweb_site.cab?1124390295125
O16 - DPF: {B38870E4-7ECB-40DA-8C6A-595F0A5519FF} (MsnMessengerSetupDownloadControl Class) - http://messenger.msn.com/download/msnmessengersetupdownloader.cab
O23 - Service: Logical Disk Manager Administrative Service (dmadmin) - VERITAS Software Corp. - C:\WINNT\System32\dmadmin.exe
O23 - Service: NVIDIA Display Driver Service (NVSvc) - NVIDIA Corporation - C:\WINNT\system32\nvsvc32.exe
O23 - Service: Windows Product Activation (wpa) - Unknown owner - C:\WINNT\system32\wpa.exe
Avatar billede fromsej Praktikant
19. august 2005 - 12:50 #6
Hmm, det er kun anden gang jeg ser den på en win 2K maskine, første gang var i går.

O23 - Service: Windows Product Activation (wpa) - Unknown owner - C:\WINNT\system32\wpa.exe

Det smager af snavs, men prøv lige at uploade C:\WINNT\system32\wpa.exe hos Jotti, lad os høre resultatet.
http://virusscan.jotti.org/
Avatar billede realone Nybegynder
19. august 2005 - 12:53 #7
HiJackThis efter at have kørt EsBot-removal:

Logfile of HijackThis v1.99.1
Scan saved at 12:53:17, on 19-08-2005
Platform: Windows 2000 SP4 (WinNT 5.00.2195)
MSIE: Internet Explorer v6.00 SP1 (6.00.2800.1106)

Running processes:
C:\WINNT\System32\smss.exe
C:\WINNT\system32\winlogon.exe
C:\WINNT\system32\services.exe
C:\WINNT\system32\lsass.exe
C:\WINNT\system32\svchost.exe
C:\WINNT\system32\spoolsv.exe
C:\WINNT\System32\svchost.exe
C:\WINNT\system32\nvsvc32.exe
C:\WINNT\system32\regsvc.exe
C:\WINNT\system32\MSTask.exe
C:\WINNT\System32\WBEM\WinMgmt.exe
C:\WINNT\system32\svchost.exe
C:\WINNT\Explorer.EXE
C:\WINNT\system32\RUNDLL32.EXE
C:\Programmer\MSN Messenger\MsnMsgr.Exe
C:\Programmer\Internet Explorer\IEXPLORE.EXE
G:\hijackthis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://xplayn.boomtown.net/2653
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Hyperlinks
O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Programmer\Adobe\Acrobat 6.0\Reader\ActiveX\AcroIEHelper.dll
O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINNT\system32\msdxm.ocx
O4 - HKLM\..\Run: [Synchronization Manager] mobsync.exe /logon
O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINNT\system32\NvCpl.dll,NvStartup
O4 - HKLM\..\Run: [nwiz] nwiz.exe /install
O4 - HKLM\..\Run: [NvMediaCenter] RUNDLL32.EXE C:\WINNT\system32\NvMcTray.dll,NvTaskbarInit
O4 - HKLM\..\Run: [NeroFilterCheck] C:\WINNT\system32\NeroCheck.exe
O4 - HKCU\..\Run: [Steam] "e:\steam\steam.exe" -silent
O4 - HKCU\..\Run: [MsnMsgr] "C:\Programmer\MSN Messenger\MsnMsgr.Exe" /background
O9 - Extra button: Related - {c95fe080-8f5d-11d2-a20b-00aa003c157a} - C:\WINNT\web\related.htm
O9 - Extra 'Tools' menuitem: Show &Related Links - {c95fe080-8f5d-11d2-a20b-00aa003c157a} - C:\WINNT\web\related.htm
O15 - Trusted Zone: *.line6.net
O16 - DPF: {6414512B-B978-451D-A0D8-FCFDF33E833C} (WUWebControl Class) - http://update.microsoft.com/windowsupdate/v6/V5Controls/en/x86/client/wuweb_site.cab?1124390295125
O16 - DPF: {B38870E4-7ECB-40DA-8C6A-595F0A5519FF} (MsnMessengerSetupDownloadControl Class) - http://messenger.msn.com/download/msnmessengersetupdownloader.cab
O23 - Service: Logical Disk Manager Administrative Service (dmadmin) - VERITAS Software Corp. - C:\WINNT\System32\dmadmin.exe
O23 - Service: NVIDIA Display Driver Service (NVSvc) - NVIDIA Corporation - C:\WINNT\system32\nvsvc32.exe
Avatar billede realone Nybegynder
19. august 2005 - 12:53 #8
ksoren smid lige et svar, fortjenesten må være din. :)
Avatar billede kalp Novice
19. august 2005 - 22:49 #9
Download DelDomains.inf
http://www.mvps.org/winhelp2002/DelDomains.inf
eller
http://www.greyknight17.com/spy/DelO15Domains.inf

Højreklik på DelDomains.inf og vælg: Install

Genstart i fejlsikret tilstand.

Fix disse linjer i hijackthis

O9 - Extra button: Related - {c95fe080-8f5d-11d2-a20b-00aa003c157a} - C:\WINNT\web\related.htm
O9 - Extra 'Tools' menuitem: Show &Related Links - {c95fe080-8f5d-11d2-a20b-00aa003c157a} - C:\WINNT\web\related.htm
O15 - Trusted Zone: *.line6.net

Højreklik på DelDomains.inf og vælg: Install (Yep igen)

--------------------------
Hvad jeg lige bad dig om, at gøre har ikke så meget med w32.esbot.b infektionen, at gøre... men det bør fjernes alligevel.
Avatar billede realone Nybegynder
21. august 2005 - 13:53 #10
Line6 skal ikke fjernes, idet Line6 er producenten af min GuitarPort (guitarforstærker). :)
Avatar billede realone Nybegynder
20. juli 2010 - 17:09 #11
Dem, der vil have point, smider svar.
Avatar billede Ny bruger Nybegynder

Din løsning...

Tilladte BB-code-tags: [b]fed[/b] [i]kursiv[/i] [u]understreget[/u] Web- og emailadresser omdannes automatisk til links. Der sættes "nofollow" på alle links.

Loading billede Opret Preview
Kategori
IT-kurser om Microsoft 365, sikkerhed, personlig vækst, udvikling, digital markedsføring, grafisk design, SAP og forretningsanalyse.

Log ind eller opret profil

Hov!

For at kunne deltage på Computerworld Eksperten skal du være logget ind.

Det er heldigvis nemt at oprette en bruger: Det tager to minutter og du kan vælge at bruge enten e-mail, Facebook eller Google som login.

Du kan også logge ind via nedenstående tjenester