Har fået spyware.. og kan ikke slette det! (argh)

Velkommen i [mssearchnet.exe] klubben !!!

Følg guiden herfra -> http://www.eksperten.dk/artikler/755

(Ikke nødvendigvis mig der følger op...)

hehe, tak. Kigger på det..

lige en kommentar: man skal hente ewido - den har jeg i forvejen, og den kan ikke slette det..

... nææææ - ikke nødvendigvis - men den ka' æde andre utøjer som tit følger med...
Læg også Loggen som beskrevet...

Det i http://www.eksperten.dk/artikler/755 er 'kun' de indledende manøvre - mere kan/vil følge...

ok, her kommer Dr. Web loggen: (jeg har stadig snavset, der iøvrigt hedder SpyFalcon..)

Scan statistics
-----------------------------------------------------------------------------
Objects scanned: 260161
Infected objects found: 1
Objects with modifications found: 0
Suspicious objects found: 0
Adware programs found: 16
Dialer programs found: 0
Joke programs found: 0
Riskware programs found: 0
Hacktool programs found: 1
Objects cured: 0
Objects deleted: 1
Objects renamed: 16
Objects moved: 0
Objects ignored: 0
Scan speed: 262 Kb/s
Scan time: 02:02:29

Lad os se Hijackthisloggen.
Spyfalcon er åbenbart en ny variant.

Lige en tanke: hver gang jeg logger på nettet/tilslutter Indernet, giver det så ikke en mulighed for at snavset kan re-opdatere sig selv efter at det er blevet slettet?

Jo, men vi har forhåbentlig midlerne til at pelse falken.

*pelse falken* lol :)

hmm, af en eller anden grund kan jeg ikke få min pc til at starte po i fejlsikret - kan det have noget at gøre med at jeg kører med XP?

her kommer HJT-loggen (SpyFalcon er der stadig):

Logfile of HijackThis v1.99.1
Scan saved at 21:10:43, on 09-02-2006
Platform: Windows XP SP1 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP1 (6.00.2800.1106)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\Explorer.EXE
C:\WINDOWS\system32\LEXBCES.EXE
C:\WINDOWS\system32\spoolsv.exe
C:\WINDOWS\system32\LEXPPS.EXE
C:\WINDOWS\System32\mssearchnet.exe
C:\Program Files\MusicMatch\MusicMatch Jukebox\mmtask.exe
C:\WINDOWS\System32\RUNDLL32.EXE
C:\PROGRA~1\Grisoft\AVGFRE~1\avgcc.exe
C:\Program Files\Common Files\Real\Update_OB\realsched.exe
C:\Programmer imod snavs\Netveda ildmur\ipcTray.exe
C:\WINDOWS\System32\ctfmon.exe
C:\PROGRA~1\Grisoft\AVGFRE~1\avgamsvr.exe
C:\PROGRA~1\Grisoft\AVGFRE~1\avgupsvc.exe
C:\PROGRA~1\Grisoft\AVGFRE~1\avgemc.exe
C:\Programmer imod snavs\ewido security suite\ewidoctrl.exe
C:\Program Files\Messenger\msmsgs.exe
C:\Programmer imod snavs\Netveda ildmur\ipcsvc.exe
C:\Program Files\Common Files\Microsoft Shared\VS7Debug\mdm.exe
C:\WINDOWS\System32\nvsvc32.exe
C:\Programmer imod snavs\SpywareGuard\sgmain.exe
C:\Programmer imod snavs\SpywareGuard\sgbhp.exe
C:\WINDOWS\System32\wuauclt.exe
C:\WINDOWS\System32\nvctrl.exe
C:\Program Files\Internet Explorer\iexplore.exe
C:\Programmer imod snavs\Hijackthis\hijackthis.exe

O2 - BHO: HomepageBHO - {4da4616d-7e6e-4fd9-a2d5-b6c535733e22} - C:\WINDOWS\System32\hp1459.tmp
O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINDOWS\System32\msdxm.ocx
O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\System32\NvCpl.dll,NvStartup
O4 - HKLM\..\Run: [nwiz] nwiz.exe /install
O4 - HKLM\..\Run: [Cmaudio] RunDll32 cmicnfg.cpl,CMICtrlWnd
O4 - HKLM\..\Run: [mmtask] c:\Program Files\MusicMatch\MusicMatch Jukebox\mmtask.exe
O4 - HKLM\..\Run: [NeroCheck] C:\WINDOWS\system32\NeroCheck.exe
O4 - HKLM\..\Run: [NvMediaCenter] RUNDLL32.EXE C:\WINDOWS\System32\NvMcTray.dll,NvTaskbarInit
O4 - HKLM\..\Run: [AVG7_CC] C:\PROGRA~1\Grisoft\AVGFRE~1\avgcc.exe /STARTUP
O4 - HKLM\..\Run: [TkBellExe] "C:\Program Files\Common Files\Real\Update_OB\realsched.exe"  -osboot
O4 - HKLM\..\Run: [SafetyNet] "C:\Programmer imod snavs\Netveda ildmur\ipcTray.exe"
O4 - HKLM\..\Run: [SafetyNet_Notifier] "C:\Programmer imod snavs\Netveda ildmur\ipcLn.exe"
O4 - HKLM\..\Run: [SpyFalcon] C:\Program Files\SpyFalcon\SpyFalcon.exe /h
O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\ctfmon.exe
O4 - HKCU\..\Run: [MSMSGS] "C:\Program Files\Messenger\msmsgs.exe" /background
O4 - HKCU\..\Run: [updateMgr] C:\Program Files\Adobe\Acrobat 7.0\Reader\AdobeUpdateManager.exe AcRdB7_0_0 -reboot 1
O4 - Startup: SpywareGuard.lnk = C:\Programmer imod snavs\SpywareGuard\sgmain.exe
O4 - Global Startup: Adobe Reader Speed Launch.lnk = C:\Program Files\Adobe\Acrobat 7.0\Reader\reader_sl.exe
O8 - Extra context menu item: E&xport to Microsoft Excel - res://C:\PROGRA~1\MICROS~2\Office10\EXCEL.EXE/3000
O23 - Service: AVG7 Alert Manager Server (Avg7Alrt) - GRISOFT, s.r.o. - C:\PROGRA~1\Grisoft\AVGFRE~1\avgamsvr.exe
O23 - Service: AVG7 Update Service (Avg7UpdSvc) - GRISOFT, s.r.o. - C:\PROGRA~1\Grisoft\AVGFRE~1\avgupsvc.exe
O23 - Service: AVG E-mail Scanner (AVGEMS) - GRISOFT, s.r.o. - C:\PROGRA~1\Grisoft\AVGFRE~1\avgemc.exe
O23 - Service: ewido security suite control - ewido networks - C:\Programmer imod snavs\ewido security suite\ewidoctrl.exe
O23 - Service: NetVeda Safety.Net (ipcSvc) - NetVeda LLC - C:\Programmer imod snavs\Netveda ildmur\ipcsvc.exe
O23 - Service: LexBce Server (LexBceS) - Lexmark International, Inc. - C:\WINDOWS\system32\LEXBCES.EXE
O23 - Service: NVIDIA Display Driver Service (NVSvc) - NVIDIA Corporation - C:\WINDOWS\System32\nvsvc32.exe

Vi prøver et helt nyt fix.
Det tager åbenbart lang tid, hvor der ikke sker noget, men lad det køre færdigt.

Download SmitFraud.exe:
http://www.ik-cs.com/programs/virtools/SmitFraud.exe

Dobbeltklik på SmitFraud.exe pak den ud i C:\McAfee

Hvis du har en Firewall, skal den deaktiveres, eller Wget.exe skal have tilladelse til at gå på nettet.

Åbn mappen C:\Mcafee og dobbeltklik på clean.bat

Der åbner en internetside, kaldet C:\mcafee\Normal_ScanReport.HTML, den lukker du bare igen i første omgang.
Åbn så mappen C:\mcafee, højreklik på Normal_ScanReport.HTML vælg Kopier, åbn mappen dokumenter højreklik et tomt sted, vælg Sæt ind, så har du en kopi af rapporten, for en sikkerheds skyld.
Genstart i fejlsikret med netværk, kør clean.bat igen, så skulle der gerne komme en side der hedder C:\mcafee\Safe_ScanReport.HTML, den lukker du bare, kopierer på samme måde og genstarter.

Når du har genstartet, så åbn de to rapporter og kopier dem ind her, så kigger vi på dem.

ok, vender tilbage senere i dag med resultatet..

Øhm, der gik så et eller andet galt der:

Da jeg trykkede på clean.bat kom der ingen internetside. Istedet forsvandt min taskbar og alt hvad jeg kunne se var mit baggrundsbillede. Der kom så et par små beskeder op en gang imellem, men så skete der intet i et godt stykke tid, så jeg slukkede computeren og prøvede igen, med samme resultat.

Til gengæld ser det ud til at Spyfalcon er væk. Skal jeg prøve at lave en HJT?

Ja, prøv det.

Det skal siges at jeg ikke selv har prøvet det værktøj endnu, vejledningen er oversat, men jeg skal have det testet igennem.

ok..

Her kommer den:

gfile of HijackThis v1.99.1
Scan saved at 16:02:17, on 11-02-2006
Platform: Windows XP SP1 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP1 (6.00.2800.1106)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\Explorer.EXE
C:\WINDOWS\system32\LEXBCES.EXE
C:\WINDOWS\system32\spoolsv.exe
C:\WINDOWS\system32\LEXPPS.EXE
C:\Program Files\MusicMatch\MusicMatch Jukebox\mmtask.exe
C:\WINDOWS\System32\RUNDLL32.EXE
C:\PROGRA~1\Grisoft\AVGFRE~1\avgcc.exe
C:\Program Files\Common Files\Real\Update_OB\realsched.exe
C:\Programmer imod snavs\Netveda ildmur\ipcTray.exe
C:\WINDOWS\System32\ctfmon.exe
C:\Program Files\Messenger\msmsgs.exe
C:\Programmer imod snavs\SpywareGuard\sgmain.exe
C:\Programmer imod snavs\SpywareGuard\sgbhp.exe
C:\PROGRA~1\Grisoft\AVGFRE~1\avgamsvr.exe
C:\PROGRA~1\Grisoft\AVGFRE~1\avgupsvc.exe
C:\PROGRA~1\Grisoft\AVGFRE~1\avgemc.exe
C:\Programmer imod snavs\ewido security suite\ewidoctrl.exe
C:\Programmer imod snavs\Netveda ildmur\ipcsvc.exe
C:\Program Files\Common Files\Microsoft Shared\VS7Debug\mdm.exe
C:\WINDOWS\System32\nvsvc32.exe
C:\WINDOWS\System32\wuauclt.exe
C:\Programmer imod snavs\Hijackthis\hijackthis.exe

O2 - BHO: HomepageBHO - {4da4616d-7e6e-4fd9-a2d5-b6c535733e22} - C:\WINDOWS\System32\hp1C29.tmp (file missing)
O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINDOWS\System32\msdxm.ocx
O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\System32\NvCpl.dll,NvStartup
O4 - HKLM\..\Run: [nwiz] nwiz.exe /install
O4 - HKLM\..\Run: [Cmaudio] RunDll32 cmicnfg.cpl,CMICtrlWnd
O4 - HKLM\..\Run: [mmtask] c:\Program Files\MusicMatch\MusicMatch Jukebox\mmtask.exe
O4 - HKLM\..\Run: [NeroCheck] C:\WINDOWS\system32\NeroCheck.exe
O4 - HKLM\..\Run: [NvMediaCenter] RUNDLL32.EXE C:\WINDOWS\System32\NvMcTray.dll,NvTaskbarInit
O4 - HKLM\..\Run: [AVG7_CC] C:\PROGRA~1\Grisoft\AVGFRE~1\avgcc.exe /STARTUP
O4 - HKLM\..\Run: [TkBellExe] "C:\Program Files\Common Files\Real\Update_OB\realsched.exe"  -osboot
O4 - HKLM\..\Run: [SafetyNet] "C:\Programmer imod snavs\Netveda ildmur\ipcTray.exe"
O4 - HKLM\..\Run: [SafetyNet_Notifier] "C:\Programmer imod snavs\Netveda ildmur\ipcLn.exe"
O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\ctfmon.exe
O4 - HKCU\..\Run: [MSMSGS] "C:\Program Files\Messenger\msmsgs.exe" /background
O4 - HKCU\..\Run: [updateMgr] C:\Program Files\Adobe\Acrobat 7.0\Reader\AdobeUpdateManager.exe AcRdB7_0_0 -reboot 1
O4 - Startup: SpywareGuard.lnk = C:\Programmer imod snavs\SpywareGuard\sgmain.exe
O4 - Global Startup: Adobe Reader Speed Launch.lnk = C:\Program Files\Adobe\Acrobat 7.0\Reader\reader_sl.exe
O8 - Extra context menu item: E&xport to Microsoft Excel - res://C:\PROGRA~1\MICROS~2\Office10\EXCEL.EXE/3000
O18 - Filter: text/html - (no CLSID) - (no file)
O18 - Filter: text/plain - (no CLSID) - (no file)
O23 - Service: AVG7 Alert Manager Server (Avg7Alrt) - GRISOFT, s.r.o. - C:\PROGRA~1\Grisoft\AVGFRE~1\avgamsvr.exe
O23 - Service: AVG7 Update Service (Avg7UpdSvc) - GRISOFT, s.r.o. - C:\PROGRA~1\Grisoft\AVGFRE~1\avgupsvc.exe
O23 - Service: AVG E-mail Scanner (AVGEMS) - GRISOFT, s.r.o. - C:\PROGRA~1\Grisoft\AVGFRE~1\avgemc.exe
O23 - Service: ewido security suite control - ewido networks - C:\Programmer imod snavs\ewido security suite\ewidoctrl.exe
O23 - Service: NetVeda Safety.Net (ipcSvc) - NetVeda LLC - C:\Programmer imod snavs\Netveda ildmur\ipcsvc.exe
O23 - Service: LexBce Server (LexBceS) - Lexmark International, Inc. - C:\WINDOWS\system32\LEXBCES.EXE
O23 - Service: NVIDIA Display Driver Service (NVSvc) - NVIDIA Corporation - C:\WINDOWS\System32\nvsvc32.exe

Hent CWShredder her:
http://danborg.org/spy/CWS/cwshredder.exe
Placer det i en mappe for sig selv.
Kør CWShredder, afbryd din internetforbindelse fysisk(stikket ud), deaktiver ALLE sikkerhedsprogrammer, luk alle vinduer undtaget cwshredder, klik på Fix, den scanner nu, når den er færdig klik på Next, klik på Exit.
---------------------------------------
Kør Hijackthis, scan, sæt flueben ved linierne listet her, luk alle vinduer undtaget Hijackthis, klik på fix checked, genstart i fejlsikret (tryk på <F8> under opstarten), slet mapper og filer listet længere nede.

O2 - BHO: HomepageBHO - {4da4616d-7e6e-4fd9-a2d5-b6c535733e22} - C:\WINDOWS\System32\hp1C29.tmp (file missing)
O18 - Filter: text/html - (no CLSID) - (no file)
O18 - Filter: text/plain - (no CLSID) - (no file)
---------------------------------------
Genstart normalt og kom med en frisk Hijackthislog.
Husk at genaktivere dine sikkerhedsprogrammer, inden du logger på nettet.

ok mate, følger instrukserne og kommer m resultatet senere i aften :).

så er jeg tilbage :).

Lige et par kommentarer først:

1. Jeg kan ikke genstarte i fejlsikret tilstand..??
2. CWshredder fandt intet

her er HJT-loggen:

Logfile of HijackThis v1.99.1
Scan saved at 22:53:55, on 14-02-2006
Platform: Windows XP SP1 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP1 (6.00.2800.1106)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\Explorer.EXE
C:\WINDOWS\system32\LEXBCES.EXE
C:\WINDOWS\system32\spoolsv.exe
C:\WINDOWS\system32\LEXPPS.EXE
C:\Program Files\MusicMatch\MusicMatch Jukebox\mmtask.exe
C:\WINDOWS\System32\RUNDLL32.EXE
C:\PROGRA~1\Grisoft\AVGFRE~1\avgcc.exe
C:\Program Files\Common Files\Real\Update_OB\realsched.exe
C:\Programmer imod snavs\Netveda ildmur\ipcTray.exe
C:\WINDOWS\System32\ctfmon.exe
C:\Program Files\Messenger\msmsgs.exe
C:\Program Files\Adobe\Acrobat 7.0\Reader\reader_sl.exe
C:\Programmer imod snavs\SpywareGuard\sgmain.exe
C:\Programmer imod snavs\SpywareGuard\sgbhp.exe
C:\PROGRA~1\Grisoft\AVGFRE~1\avgamsvr.exe
C:\PROGRA~1\Grisoft\AVGFRE~1\avgupsvc.exe
C:\PROGRA~1\Grisoft\AVGFRE~1\avgemc.exe
C:\Programmer imod snavs\ewido security suite\ewidoctrl.exe
C:\Programmer imod snavs\Netveda ildmur\ipcsvc.exe
C:\Program Files\Common Files\Microsoft Shared\VS7Debug\mdm.exe
C:\WINDOWS\System32\nvsvc32.exe
C:\Program Files\Internet Explorer\iexplore.exe
C:\WINDOWS\System32\wuauclt.exe
C:\Programmer imod snavs\Hijackthis\hijackthis.exe

O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINDOWS\System32\msdxm.ocx
O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\System32\NvCpl.dll,NvStartup
O4 - HKLM\..\Run: [nwiz] nwiz.exe /install
O4 - HKLM\..\Run: [Cmaudio] RunDll32 cmicnfg.cpl,CMICtrlWnd
O4 - HKLM\..\Run: [mmtask] c:\Program Files\MusicMatch\MusicMatch Jukebox\mmtask.exe
O4 - HKLM\..\Run: [NeroCheck] C:\WINDOWS\system32\NeroCheck.exe
O4 - HKLM\..\Run: [NvMediaCenter] RUNDLL32.EXE C:\WINDOWS\System32\NvMcTray.dll,NvTaskbarInit
O4 - HKLM\..\Run: [AVG7_CC] C:\PROGRA~1\Grisoft\AVGFRE~1\avgcc.exe /STARTUP
O4 - HKLM\..\Run: [TkBellExe] "C:\Program Files\Common Files\Real\Update_OB\realsched.exe"  -osboot
O4 - HKLM\..\Run: [SafetyNet] "C:\Programmer imod snavs\Netveda ildmur\ipcTray.exe"
O4 - HKLM\..\Run: [SafetyNet_Notifier] "C:\Programmer imod snavs\Netveda ildmur\ipcLn.exe"
O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\ctfmon.exe
O4 - HKCU\..\Run: [MSMSGS] "C:\Program Files\Messenger\msmsgs.exe" /background
O4 - HKCU\..\Run: [updateMgr] C:\Program Files\Adobe\Acrobat 7.0\Reader\AdobeUpdateManager.exe AcRdB7_0_0 -reboot 1
O4 - Startup: SpywareGuard.lnk = C:\Programmer imod snavs\SpywareGuard\sgmain.exe
O4 - Global Startup: Adobe Reader Speed Launch.lnk = C:\Program Files\Adobe\Acrobat 7.0\Reader\reader_sl.exe
O8 - Extra context menu item: E&xport to Microsoft Excel - res://C:\PROGRA~1\MICROS~2\Office10\EXCEL.EXE/3000
O23 - Service: AVG7 Alert Manager Server (Avg7Alrt) - GRISOFT, s.r.o. - C:\PROGRA~1\Grisoft\AVGFRE~1\avgamsvr.exe
O23 - Service: AVG7 Update Service (Avg7UpdSvc) - GRISOFT, s.r.o. - C:\PROGRA~1\Grisoft\AVGFRE~1\avgupsvc.exe
O23 - Service: AVG E-mail Scanner (AVGEMS) - GRISOFT, s.r.o. - C:\PROGRA~1\Grisoft\AVGFRE~1\avgemc.exe
O23 - Service: ewido security suite control - ewido networks - C:\Programmer imod snavs\ewido security suite\ewidoctrl.exe

hello mate? Har du fået set på den?

:)

Ups, ja nu har jeg, du var røget i glemmebogen, efter vores eget forum blev tæppebombet med nye brugere igår efter et indslag i DR Rabatten.
http://www.dr.dk/DR1/Rabatten/Indslag/2006/0215092743.htm

Så er din log ren, vi behøver ikke se flere.
Du bør lige deaktivere systemgendannelse, genstarte og genaktivere den.
http://spywarefri.dk/virusscannere.htm#alle - Systemgendannelse.

For at holde den ren kan du kigge på vores pakke til formålet.
http://www.spywarefri.dk/manualer/sikkerhedspakke.htm
Som minimum anbefaler jeg Spywareguard, Spywareblaster, IE-Spyad og IE Privacy Keeper.
Et par artikler om sikker surfing finder du her:
http://www.spywarefri.dk/forum/topic.asp?TOPIC_ID=14414
http://fromsej.dk/html/avoid.html
Mvh:
Fromsej/Team Spywarefri.

Hehe, det er skam helt okay

Har faktisk pakken i forvejen, men lidt gris røg alligevel gennem barrikaderne - det kan jo ske..

Tak for hjælpen og god søndag :)

Velbekomme, tak for point.*S*