Hvordan fjernes Spywarequake?

0. Hent hijackthis her http://danborg.org/spy1/HJT/hijackthis.exe

1. Hent og dobbeltklik på smitRem.exe

http://noahdfear.geekstogo.com/click%20counter/click.php?id=1

Programmet pakker sig ud til mappen smitRem.


2. Hent Ewido, hvis du ikke har den i forvejen:

http://www.spywarefri.dk/downloads1/ewido-setup.exe

Installer og kør Ewido - Opdater straks efter installationen programmet (men lad være med at scanne endnu).


3. Hent disse to filer. Du skal bruge dem senere

Hent og udpak FixFalcon.zip http://www.fromsej.dk/download/FixFalcon.zip

Hent også denne fil http://www.mvps.org/winhelp2002/DelDomains.inf



4. Genstart i fejlsikret. Hvis du ikke ved hvordan så kig her:

http://www.ctrlaltdel.dk/forum/forum_posts.asp?TID=110&PN=1


5. Åbn mappen FixFalcon, og dobbeltklik BFU. Klik på mappen i øverste højre hjørne. Find og marker SpyF, klik ÅBN.

Klik EXECUTE. Dine ikoner på skrivebordet vil forsvinde i et øjeblik. Når fixet færdigt, klik Exit.


6. Åbn mappen smitRem, og dobbeltklik på RunThis.bat (Følg vejledningen i vinduet.)


7. Kør en fuld scanning med Ewido. Programmet laver en lille log, som du skal kopiere herind.

8. Genstart til normal tilstand. Højreklik på DelDomains, og vælg installer (BEMÆRK: Hvis du har IE-Spyad eller Spywareblaster installeret, skal deres beskyttelse genaktiveres.)


9. Kør en scanning med X-Cleaner her (OBS kun for XP og Win 2000) http://www.spywarefri.dk/spywarefri-onlinescan.htm


10. Genstart og kom med en Hijackthis log, samt loggen fra Ewido. Find smitfiles.txt via Start/Søg. Kopier også denne log ind.

Hijackthis loggen laver du ved at starte programmet, klikke på Scan and save a logfile og kopiere teksten herind.

lige inden jeg gør alt det her, så har jeg tilsyneladende fået fjernet spywarequake med denne fix: http://www.csis.dk/Default.asp?page=article.asp&tekstID=469

Problemet er nu at jeg ikke kan åbne IE. Overhovedet. Er der en simplere løsning til det end ovenstående?

Hvis jeg går i egenskaber og ændrer startsiden til jubii.dk ændrer den den tilbage til "about:blank" Det er ikke et godt tegn, vel?

Jeg hentede og tjekkede den regfil, den fjerner ikke Spywarequake, kun et par nøgler i regdatabasen.

Ja, der er en simplere løsning, den hedder format C: og forfra.
Men det er vel ikke et tema, så du bliver nødt til at følge anvisningen.

Prøv dette først med hensyn til IE:
Hent de her to programmer:
http://cexx.org/lspfix.htm - http://cexx.org/lspfix.zip
http://www.bleepingcomputer.com/forums/index.php?showtutorial=59 - Vejledning.
http://danborg.org/spy/Newnet/winsockxpfix.exe - Winsockfix.
Kør først LSPfix, sæt flueben i I know what I am doing, klik på finish, genstart så burde det virke.
Gør det ikke det, så prøv det andet program, klik først på Reg-backup, og gem en kopi af din regdatabase, når det er slut klik på Fix, når den er færdig genstart og så skulle du gerne kunne komme på nettet igen.
De to programmer fylder ikke mere end de begge to kan være på samme diskette.

ok, jeg er igang. Til orientering har min virusscanner nu fundet en trojaner...

Nej, ingen af de to programmer får explorer til at virke...

Er du på nettet fra en anden PC, så hent programmerne og brænd dem på en skive, du må så hente den manuelle opdatering til Ewido her:
http://download.ewido.net/ewido-signatures-full-20060331.exe

Det er umuligt at vide hvad der blokerer før jeg ser de logs.

TrojanDownloader.Zlob.IS hedder den og ligger i Win32...det må være den der er banditten...men jeg kan stadig ikke komme på nettet

ja jeg er på nettet fra computeren ved siden af, og jeg kan godt maile til den syge maskine

OK, så kør vejledningen igennem, jeg får lige en med mere forstand på netværk til at koble sig på tråden også.*S*
Sidst jeg vejledte om netværk herinde, måtte de fleste netværkshajer have ilt, sådan grinte de. ;-)

Hmm, nu tilter mails igen fra E!, de kommer i noget vilkårlig rækkefølge.

hvad betyder den sidste besked?

Undskyld, det var bare et surt opstød.
DE mails om dine indlæg er kommet i forkert rækkefølge, nå fred være med det.*S*

Så lykkedes det!
Først kommer hjt:
Logfile of HijackThis v1.99.1
Scan saved at 23:59:42, on 31-03-2006
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\Ati2evxx.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\spoolsv.exe
C:\WINDOWS\system32\Ati2evxx.exe
C:\WINDOWS\Explorer.EXE
C:\Programmer\Eset\nod32kui.exe
C:\WINDOWS\RTHDCPL.EXE
C:\Programmer\ATI Technologies\ATI Control Panel\atiptaxx.exe
C:\Programmer\Java\jre1.5.0_06\bin\jusched.exe
C:\WINDOWS\system32\ctfmon.exe
C:\Programmer\Messenger\msmsgs.exe
C:\Programmer\Microsoft ActiveSync\wcescomm.exe
C:\Programmer\Electronic Arts\EA Downloader\Core.exe
C:\PROGRA~1\MICROS~4\rapimgr.exe
C:\Programmer\Adobe\Acrobat 7.0\Reader\reader_sl.exe
C:\Programmer\ewido\security suite\ewidoctrl.exe
C:\Programmer\ewido\security suite\ewidoguard.exe
C:\Programmer\Eset\nod32krn.exe
C:\WINDOWS\system32\wscntfy.exe
C:\WINDOWS\system32\wuauclt.exe
C:\rengøring\hjt\hijackthis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Hyperlinks
O4 - HKLM\..\Run: [nod32kui] "C:\Programmer\Eset\nod32kui.exe" /WAITSERVICE
O4 - HKLM\..\Run: [RTHDCPL] RTHDCPL.EXE
O4 - HKLM\..\Run: [Alcmtr] ALCMTR.EXE
O4 - HKLM\..\Run: [ATIPTA] "C:\Programmer\ATI Technologies\ATI Control Panel\atiptaxx.exe"
O4 - HKLM\..\Run: [SunJavaUpdateSched] C:\Programmer\Java\jre1.5.0_06\bin\jusched.exe
O4 - HKLM\..\Run: [NeroFilterCheck] C:\WINDOWS\system32\NeroCheck.exe
O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\ctfmon.exe
O4 - HKCU\..\Run: [MSMSGS] "C:\Programmer\Messenger\msmsgs.exe" /background
O4 - HKCU\..\Run: [H/PC Connection Agent] "C:\Programmer\Microsoft ActiveSync\wcescomm.exe"
O4 - HKCU\..\Run: [EA Core] C:\Programmer\Electronic Arts\EA Downloader\Core.exe -silent
O4 - Global Startup: Adobe Reader Speed Launch.lnk = C:\Programmer\Adobe\Acrobat 7.0\Reader\reader_sl.exe
O4 - Global Startup: Microsoft Office.lnk = C:\Programmer\Microsoft Office\Office\OSA9.EXE
O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programmer\Java\jre1.5.0_06\bin\ssv.dll (file missing)
O9 - Extra 'Tools' menuitem: Sun Java Console - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programmer\Java\jre1.5.0_06\bin\ssv.dll (file missing)
O9 - Extra button: Create Mobile Favorite - {2EAF5BB1-070F-11D3-9307-00C04FAE2D4F} - C:\PROGRA~1\MICROS~4\INetRepl.dll
O9 - Extra button: (no name) - {2EAF5BB2-070F-11D3-9307-00C04FAE2D4F} - C:\PROGRA~1\MICROS~4\INetRepl.dll
O9 - Extra 'Tools' menuitem: Opret Foretrukken på den mobile enhed... - {2EAF5BB2-070F-11D3-9307-00C04FAE2D4F} - C:\PROGRA~1\MICROS~4\INetRepl.dll
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programmer\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programmer\Messenger\msmsgs.exe
O23 - Service: Ati HotKey Poller - ATI Technologies Inc. - C:\WINDOWS\system32\Ati2evxx.exe
O23 - Service: ATI Smart - Unknown owner - C:\WINDOWS\system32\ati2sgag.exe
O23 - Service: ewido security suite control - ewido networks - C:\Programmer\ewido\security suite\ewidoctrl.exe
O23 - Service: ewido security suite guard - ewido networks - C:\Programmer\ewido\security suite\ewidoguard.exe
O23 - Service: InstallDriver Table Manager (IDriverT) - Macrovision Corporation - C:\Programmer\Fælles filer\InstallShield\Driver\11\Intel 32\IDriverT.exe
O23 - Service: NOD32 Kernel Service (NOD32krn) - Unknown owner - C:\Programmer\Eset\nod32krn.exe
-----------------------------

Og Ewido:
---------------------------------------------------------
ewido anti-malware - Scanningsrapport
---------------------------------------------------------

+ Oprettet den:            23:42:46, 31-03-2006
+ Rapport-Checksum:        47CF6EF1

+ Scanningsresultat:
    C:\Documents and Settings\Jesper\Cookies\jesper@2o7[2].txt -> TrackingCookie.2o7 : Renset med backup
    C:\Documents and Settings\Jesper\Cookies\jesper@ad.yieldmanager[1].txt -> TrackingCookie.Yieldmanager : Renset med backup
    C:\Documents and Settings\Jesper\Cookies\jesper@adopt.euroclick[2].txt -> TrackingCookie.Euroclick : Renset med backup
    C:\Documents and Settings\Jesper\Cookies\jesper@adopt.specificclick[2].txt -> TrackingCookie.Specificclick : Renset med backup
    C:\Documents and Settings\Jesper\Cookies\jesper@adtech[2].txt -> TrackingCookie.Adtech : Renset med backup
    C:\Documents and Settings\Jesper\Cookies\jesper@advertising[1].txt -> TrackingCookie.Advertising : Renset med backup
    C:\Documents and Settings\Jesper\Cookies\jesper@as-eu.falkag[1].txt -> TrackingCookie.Falkag : Renset med backup
    C:\Documents and Settings\Jesper\Cookies\jesper@as1.falkag[2].txt -> TrackingCookie.Falkag : Renset med backup
    C:\Documents and Settings\Jesper\Cookies\jesper@atdmt[2].txt -> TrackingCookie.Atdmt : Renset med backup
    C:\Documents and Settings\Jesper\Cookies\jesper@burstnet[2].txt -> TrackingCookie.Burstnet : Renset med backup
    C:\Documents and Settings\Jesper\Cookies\jesper@casalemedia[2].txt -> TrackingCookie.Casalemedia : Renset med backup
    C:\Documents and Settings\Jesper\Cookies\jesper@clickbank[1].txt -> TrackingCookie.Clickbank : Renset med backup
    C:\Documents and Settings\Jesper\Cookies\jesper@counter12.sextracker[1].txt -> TrackingCookie.Sextracker : Renset med backup
    C:\Documents and Settings\Jesper\Cookies\jesper@counter13.sextracker[2].txt -> TrackingCookie.Sextracker : Renset med backup
    C:\Documents and Settings\Jesper\Cookies\jesper@counter2.sextracker[1].txt -> TrackingCookie.Sextracker : Renset med backup
    C:\Documents and Settings\Jesper\Cookies\jesper@counter3.sextracker[2].txt -> TrackingCookie.Sextracker : Renset med backup
    C:\Documents and Settings\Jesper\Cookies\jesper@counter4.sextracker[1].txt -> TrackingCookie.Sextracker : Renset med backup
    C:\Documents and Settings\Jesper\Cookies\jesper@counter7.sextracker[2].txt -> TrackingCookie.Sextracker : Renset med backup
    C:\Documents and Settings\Jesper\Cookies\jesper@cs.sexcounter[2].txt -> TrackingCookie.Sexcounter : Renset med backup
    C:\Documents and Settings\Jesper\Cookies\jesper@doubleclick[2].txt -> TrackingCookie.Doubleclick : Renset med backup
    C:\Documents and Settings\Jesper\Cookies\jesper@e-2dj6wfkochcpcko.stats.esomniture[2].txt -> TrackingCookie.Esomniture : Renset med backup
    C:\Documents and Settings\Jesper\Cookies\jesper@fastclick[2].txt -> TrackingCookie.Fastclick : Renset med backup
    C:\Documents and Settings\Jesper\Cookies\jesper@ivwbox[1].txt -> TrackingCookie.Ivwbox : Renset med backup
    C:\Documents and Settings\Jesper\Cookies\jesper@linksynergy[2].txt -> TrackingCookie.Linksynergy : Renset med backup
    C:\Documents and Settings\Jesper\Cookies\jesper@media.fastclick[1].txt -> TrackingCookie.Fastclick : Renset med backup
    C:\Documents and Settings\Jesper\Cookies\jesper@mediaplex[1].txt -> TrackingCookie.Mediaplex : Renset med backup
    C:\Documents and Settings\Jesper\Cookies\jesper@overture[2].txt -> TrackingCookie.Overture : Renset med backup
    C:\Documents and Settings\Jesper\Cookies\jesper@paycounter[1].txt -> TrackingCookie.Paycounter : Renset med backup
    C:\Documents and Settings\Jesper\Cookies\jesper@revenue[1].txt -> TrackingCookie.Revenue : Renset med backup
    C:\Documents and Settings\Jesper\Cookies\jesper@sel.as-eu.falkag[1].txt -> TrackingCookie.Falkag : Renset med backup
    C:\Documents and Settings\Jesper\Cookies\jesper@server.iad.liveperson[2].txt -> TrackingCookie.Liveperson : Renset med backup
    C:\Documents and Settings\Jesper\Cookies\jesper@sexlist[2].txt -> TrackingCookie.Sexlist : Renset med backup
    C:\Documents and Settings\Jesper\Cookies\jesper@sextracker[2].txt -> TrackingCookie.Sextracker : Renset med backup
    C:\Documents and Settings\Jesper\Cookies\jesper@statcounter[2].txt -> TrackingCookie.Statcounter : Renset med backup
    C:\Documents and Settings\Jesper\Cookies\jesper@tacoda[2].txt -> TrackingCookie.Tacoda : Renset med backup
    C:\Documents and Settings\Jesper\Cookies\jesper@tradedoubler[1].txt -> TrackingCookie.Tradedoubler : Renset med backup
    C:\Documents and Settings\Jesper\Cookies\jesper@trafficmp[2].txt -> TrackingCookie.Trafficmp : Renset med backup
    C:\Documents and Settings\Jesper\Cookies\jesper@tribalfusion[1].txt -> TrackingCookie.Tribalfusion : Renset med backup
    C:\Documents and Settings\Jesper\Cookies\jesper@valueclick[2].txt -> TrackingCookie.Valueclick : Renset med backup
    C:\Documents and Settings\Jesper\Cookies\jesper@xxxcounter[1].txt -> TrackingCookie.Xxxcounter : Renset med backup
    C:\Documents and Settings\Jesper\Cookies\jesper@yadro[2].txt -> TrackingCookie.Yadro : Renset med backup
    C:\Documents and Settings\Jesper\Cookies\jesper@z1.adserver[1].txt -> TrackingCookie.Adserver : Renset med backup
    C:\Documents and Settings\Jesper\Cookies\jesper@zedo[1].txt -> TrackingCookie.Zedo : Renset med backup
    C:\WINDOWS\system32\interf.tlb -> Trojan.Small : Renset med backup


::Rapport slut
---------------------------
Og smitrem:

  smitRem © log file
    version 2.8

    by noahdfear


Microsoft Windows XP [version 5.1.2600]

Running from
C:\hjt\smitrem\smitRem

~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~

Pre-run SharedTask Export

(GetSTS.exe) SharedTaskScheduler exporter by Lawrence Abrams (Grinler)
Copyright(C) 2006 BleepingComputer.com

Registry Pseudo-Format Mode (Not a valid reg file):

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\SharedTaskScheduler]
"{438755C2-A8BA-11D1-B96B-00A0C90312E1}"="Browseui preloader"
"{8C7461EF-2B13-11d2-BE35-3078302C2030}"="Component Categories cache daemon"

[HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{438755C2-A8BA-11D1-B96B-00A0C90312E1}\InProcServer32]
@="%SystemRoot%\System32\browseui.dll"


[HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{8C7461EF-2B13-11d2-BE35-3078302C2030}\InProcServer32]
@="%SystemRoot%\System32\browseui.dll"


~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~

checking for ShudderLTD key

ShudderLTD key not present!

checking for PSGuard.com key


PSGuard.com key not present!


checking for WinHound.com key


WinHound.com key not present!

spyaxe uninstaller NOT present
Winhound uninstaller NOT present
SpywareStrike uninstaller NOT present

~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~

Existing Pre-run Files


~~~ Program Files ~~~

Security Toolbar


~~~ Shortcuts ~~~



~~~ Favorites ~~~



~~~ system32 folder ~~~

1024 dir
ncompat.tlb
hp***.tmp


~~~ Icons in System32 ~~~

ts.ico
ot.ico


~~~ Windows directory ~~~



~~~ Drive root ~~~


~~~ Miscellaneous Files/folders ~~~




~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~

Command Line Process Viewer/Killer/Suspender for Windows NT/2000/XP V2.03
Copyright(C) 2002-2003 Craig.Peacock@beyondlogic.org
Killing PID 960 'explorer.exe'
Killing PID 960 'explorer.exe'

Starting registry repairs

Registry repairs complete

~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~

SharedTask Export after registry fix

(GetSTS.exe) SharedTaskScheduler exporter by Lawrence Abrams (Grinler)
Copyright(C) 2006 BleepingComputer.com

Registry Pseudo-Format Mode (Not a valid reg file):

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\SharedTaskScheduler]
"{438755C2-A8BA-11D1-B96B-00A0C90312E1}"="Browseui preloader"
"{8C7461EF-2B13-11d2-BE35-3078302C2030}"="Component Categories cache daemon"

[HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{438755C2-A8BA-11D1-B96B-00A0C90312E1}\InProcServer32]
@="%SystemRoot%\System32\browseui.dll"


[HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{8C7461EF-2B13-11d2-BE35-3078302C2030}\InProcServer32]
@="%SystemRoot%\System32\browseui.dll"


~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~

Deleting files

~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~

  Remaining Post-run Files


~~~ Program Files ~~~



~~~ Shortcuts ~~~



~~~ Favorites ~~~



~~~ system32 folder ~~~



~~~ Icons in System32 ~~~



~~~ Windows directory ~~~



~~~ Drive root ~~~


~~~ Miscellaneous Files/folders ~~~


~~~ Wininet.dll ~~~

CLEAN! :)

Det ser godt ud, der er ingen spor af skidt i de logs.

Kan den komme på nettet nu?

ja det kan den. Det er jo fantastisk

Det lyder godt.*S*

Du bør lige deaktivere systemgendannelse, genstarte og genaktivere den.
http://spywarefri.dk/virusscannere.htm#alle - Systemgendannelse.

For at holde den ren kan du kigge på vores pakke til formålet.
http://www.spywarefri.dk/manualer/sikkerhedspakke.htm
Som minimum anbefaler jeg Spywareguard, Spywareblaster, IE-Spyad og IE Privacy Keeper.
Et par artikler om sikker surfing finder du her:
http://www.spywarefri.dk/forum/topic.asp?TOPIC_ID=14414
http://fromsej.dk/html/avoid.html
Mvh:
Fromsej/Team Spywarefri.

Det er standard-parolen...:-) Mange tak for hjælpen endnu en gang, håber det bliver den sidste.

Velbekomme, tak for point. :-)