Uønsket popup-browser

kigger på den

Hent denne scanner:
http://www.superantispyware.com/downloads/SUPERAntiSpyware1241.exe
Installer programmet, start programmet, klik på Check for updates, når det er opdateret, luk programmet
(men lad være med at scanne endnu).

------

Hent denne scanner.
ftp://ftp.drweb.com/pub/drweb/cureit/drweb-cureit.exe
(men lad være med at scanne endnu).

------

Åbn en tilfældig mappe, klik på Funktioner=>Mappeindstillinger=>Vis.
Fjern flueben ved "Skjul beskyttede operativsystemfiler".
Fjern flueben ved "Skjul filtypenavne for kendte filtyper".
Sæt prik i "Vis skjulte filer og mapper".
(Når du er erklæret ren igen, skal du huske at sætte indstillingerne tilbage)

-----

Du skal nu til at i gang med at fixe:
Kør Hijackthis, scan, sæt flueben ved linien/linierne listet her, luk alle vinduer undtaget Hijackthis, klik på fix checked, luk hijackthis igen.


O21 - SSODL: SystemCheck2 - {54645654-2225-4455-44A1-9F4543D34546} - C:\WINDOWS\System32\vbsys2.dll


Find og slet den/disse manuelt:

C:\WINDOWS\System32\vbsys2.dll

Hent denne bats fil og kør den :
http://www.spywareinfo.dk/download/cleantempxp2k.bat
den sletter alt i din temp mappe.


Genstart computeren i fejlsikret tilstand(Du skal klikke på f8 tasten under genstarten (ca. lige når der er talt ram), og så vælge fejlsikret tilstand. Er du i tvivl, så klik bare på f8 flere gange.)


Dobbeltklik på drweb-cureit.exe, den vil køre en expressscan, det siger du ja til.
Når den skriver Done nederst til venstre, skal du klikke på Options->Change settings.
Skift til fanebladet Scan, fjern fluebenet ved Heuristic analysis.
Skift til fanebladet Actions, her skal alle punkter under Malware sættes til Rename.
Klik så på det eller de drev du vil have scannet, der kommer en rød prik for at vise det/de er valgt.

Klik så på den grønne pil ovre til højre på siden, så starter scanningen.
Første gang Dr.Web finder noget, klik "Yes to All", så fjerner den hvad den finder.
Klik så på Start->Søg, find filen drweb32w.log kopier det nederste af teksten herind, startende med:
Scan statistics.

---------

Start SuperAntiSpyware programmet, klik på Scan your Computer, sæt flueben i de drev der skal scannes.
(Fixed disk betyder harddisk)
Flyt prikken til Perform complete scan og klik på Næste, så kører scanningen.

Når den er færdig kommer der et vindue med en opsummering, klik på OK, klik så på næste og så på Udfør.

Der kommer et vindue med Quarantine and removal Complete, klik på OK, klik på Udfør.
Luk programmet.

Start SuperAntiSpyware igen, klik på Preferences, skift til fanebladet Statistics/Logs, i vinduet dobbeltklikker du på SUPERAntiSpyware Scan Log, den åbner i notesblok, kopier resultatet herind.

--------

Genstart normalt og kom med en ny hijackthis samt logsne fra SuperAntiSpyware og Dr.web.

Ok her kommer logsene

Først drweb:

Scan statistics

Objects scanned: 113392
Infected objects found: 7
Objects with modifications found: 0
Suspicious objects found: 0
Adware programs found: 0
Dialer programs found: 0
Joke programs found: 0
Riskware programs found: 0
Hacktool programs found: 0
Objects cured: 0
Objects deleted: 7
Objects renamed: 0
Objects moved: 0
Objects ignored: 0
Scan speed: 1252 Kb/s
Scan time: 00:52:22



Total session statistics

Objects scanned: 113652
Infected objects found: 7
Objects with modifications found: 0
Suspicious objects found: 0
Adware programs found: 0
Dialer programs found: 0
Joke programs found: 0
Riskware programs found: 0
Hacktool programs found: 0
Objects cured: 0
Objects deleted: 7
Objects renamed: 0
Objects moved: 0
Objects ignored: 0
Scan speed: 1257 Kb/s
Scan time: 00:52:55


Her kommer SuperAntispyware:

SUPERAntiSpyware Scan Log
Generated 06/04/2006 at 10:17 PM

Core Rules Database Version : 2964
Trace Rules Database Version: 1066

Memory threats detected  : 0
Registry threats detected : 0
File threats detected    : 25

Adware.Tracking Cookie
    C:\Documents and Settings\Niels.NIELS_IGEN\Cookies\niels@adultfriendfinder[2].txt
    C:\Documents and Settings\Niels.NIELS_IGEN\Cookies\niels@adtech[2].txt
    C:\Documents and Settings\Niels.NIELS_IGEN\Cookies\niels@mediaplex[1].txt
    C:\Documents and Settings\Niels.NIELS_IGEN\Cookies\niels@doubleclick[1].txt
    C:\Documents and Settings\Niels.NIELS_IGEN\Cookies\niels@track.adform[2].txt
    C:\Documents and Settings\Niels.NIELS_IGEN\Cookies\niels@cgi-bin[2].txt
    C:\Documents and Settings\Niels.NIELS_IGEN\Cookies\niels@ad.globalmediaservices[1].txt
    C:\Documents and Settings\Niels.NIELS_IGEN\Cookies\niels@rotator.adjuggler[1].txt
    C:\Documents and Settings\Niels\Cookies\niels@ad1.emediate[2].txt
    C:\Documents and Settings\Niels\Cookies\niels@adform[2].txt
    C:\Documents and Settings\Niels\Cookies\niels@ads2.jubii[1].txt
    C:\Documents and Settings\Niels\Cookies\niels@image.masterstats[1].txt
    C:\Documents and Settings\Niels\Cookies\niels@katja-kean-fucking.erosex[1].txt
    C:\Documents and Settings\Niels\Cookies\niels@katja-kean-pics.erosex[1].txt
    C:\Documents and Settings\Niels\Cookies\niels@katja-kean.erosex[1].txt
    C:\Documents and Settings\Niels\Cookies\niels@newsexgallery[1].txt
    C:\Documents and Settings\Niels\Cookies\niels@pornstars.erosex[1].txt
    C:\Documents and Settings\Niels\Cookies\niels@toplist_[2].txt
    C:\Documents and Settings\Niels\Cookies\niels@www.sex-mission[1].txt
    C:\Documents and Settings\Niels\Cookies\niels@www.sexaben[1].txt
    C:\Documents and Settings\Niels\Cookies\niels@www.toyboxxx[1].txt

Trojan.Unknown Origin
    C:\WINDOWS\system32\dtptdinb.exe
    C:\WINDOWS\system32\dxdlqaaa.exe
    C:\WINDOWS\system32\gndbcaaa.exe
    C:\WINDOWS\system32\jtrcaaaa.exe

Og til sidst en ny HiJackthis:


Logfile of HijackThis v1.99.1
Scan saved at 22:36:09, on 04-06-2006
Platform: Windows XP SP1 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP1 (6.00.2800.1106)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\csrss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\spoolsv.exe
C:\WINDOWS\System32\CTsvcCDA.EXE
C:\WINDOWS\system32\drivers\KodakCCS.exe
C:\Programmer\Fælles filer\Microsoft Shared\VS7Debug\mdm.exe
C:\Norman\Npf\BIN\NPFSVICE.EXE
C:\Norman\Bin\Zanda.exe
C:\WINDOWS\System32\nvsvc32.exe
C:\WINDOWS\System32\ScsiAccess.EXE
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\System32\wdfmgr.exe
C:\Norman\Nvc\bin\nvcoas.exe
C:\Norman\bin\NJEEVES.EXE
C:\Norman\Nvc\BIN\NVCSCHED.EXE
C:\WINDOWS\Explorer.EXE
C:\Norman\Nvc\BIN\nipsvc.exe
C:\WINDOWS\anvshell.exe
C:\WINDOWS\Mixer.exe
C:\Programmer\QuickTime\qttask.exe
C:\Programmer\Hewlett-Packard\Digital Imaging\Bin\hpqWRG.exe
C:\Programmer\Support.com\bin\tgcmd.exe
C:\Norman\bin\ZLH.EXE
C:\Programmer\Sony Ericsson\Mobile2\Application Launcher\Application Launcher.exe
C:\Programmer\Adobe\Photoshop Album Starter Edition\3.0\Apps\apdproxy.exe
C:\WINDOWS\System32\ctfmon.exe
C:\Programmer\Messenger\msmsgs.exe
C:\Programmer\SUPERAntiSpyware\SUPERAntiSpyware.exe
C:\Norman\Nvc\BIN\NIP.EXE
C:\Norman\Nvc\bin\cclaw.exe
C:\Programmer\Fælles filer\Teleca Shared\CapabilityManager.exe
C:\Norman\Npf\BIN\npfmsg2.exe
C:\Programmer\Hewlett-Packard\Digital Imaging\bin\hpobnz08.exe
C:\Programmer\Hewlett-Packard\Digital Imaging\bin\hpotdd01.exe
C:\Programmer\Kodak\Kodak EasyShare software\bin\EasyShare.exe
C:\Programmer\Kodak\KODAK Software Updater\7288971\Program\backWeb-7288971.exe
C:\Programmer\Hewlett-Packard\Digital Imaging\bin\hpoevm08.exe
C:\WINDOWS\System32\HPZipm12.exe
C:\Programmer\Fælles filer\Teleca Shared\Generic.exe
C:\Programmer\Sony Ericsson\Mobile2\Mobile Phone Monitor\epmworker.exe
C:\Programmer\Internet Explorer\iexplore.exe
C:\Program Files\HijackThis\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://formel1.jubii.dk/
R1 - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings,ProxyOverride = localhost
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Hyperlinks
O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Programmer\Adobe\Acrobat 5.0\Reader\ActiveX\AcroIEHelper.ocx
O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINDOWS\System32\msdxm.ocx
O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\System32\NvCpl.dll,NvStartup
O4 - HKLM\..\Run: [anvshell] anvshell.exe
O4 - HKLM\..\Run: [C-Media Mixer] Mixer.exe /startup
O4 - HKLM\..\Run: [NeroCheck] C:\WINDOWS\System32\NeroCheck.exe
O4 - HKLM\..\Run: [QuickTime Task] "C:\Programmer\QuickTime\qttask.exe" -atboottime
O4 - HKLM\..\Run: [HPpromo psc 2175] "C:\Programmer\Hewlett-Packard\Digital Imaging\Bin\hpqWRG.exe" /N "psc 2175" -r
O4 - HKLM\..\Run: [nwiz] nwiz.exe /install
O4 - HKLM\..\Run: [hcenter] "C:\Programmer\Support.com\bin\tgcmd.exe" /server /startmonitor
O4 - HKLM\..\Run: [Norman ZANDA] C:\Norman\bin\ZLH.EXE /LOAD /SPLASH
O4 - HKLM\..\Run: [Sony Ericsson PC Suite] "C:\Programmer\Sony Ericsson\Mobile2\Application Launcher\Application Launcher.exe" /startoptions
O4 - HKLM\..\Run: [Adobe Photo Downloader] "C:\Programmer\Adobe\Photoshop Album Starter Edition\3.0\Apps\apdproxy.exe"
O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\ctfmon.exe
O4 - HKCU\..\Run: [MSMSGS] "C:\Programmer\Messenger\msmsgs.exe" /background
O4 - HKCU\..\Run: [SUPERAntiSpyware] C:\Programmer\SUPERAntiSpyware\SUPERAntiSpyware.exe
O4 - Global Startup: hp psc 2000 Series.lnk = C:\Programmer\Hewlett-Packard\Digital Imaging\bin\hpobnz08.exe
O4 - Global Startup: hpoddt01.exe.lnk = ?
O4 - Global Startup: Kodak EasyShare software.lnk = C:\Programmer\Kodak\Kodak EasyShare software\bin\EasyShare.exe
O4 - Global Startup: Kodak software updater.lnk = C:\Programmer\Kodak\KODAK Software Updater\7288971\Program\backWeb-7288971.exe
O4 - Global Startup: Microsoft Office.lnk = C:\Programmer\Microsoft Office\Office10\OSA.EXE
O8 - Extra context menu item: E&ksporter til Microsoft Excel - res://C:\PROGRA~1\MICROS~2\Office10\EXCEL.EXE/3000
O12 - Plugin for .spop: C:\Programmer\Internet Explorer\Plugins\NPDocBox.dll
O12 - Plugin for .wav: C:\Programmer\Internet Explorer\PLUGINS\npqtplugin.dll
O16 - DPF: {A18962F6-E6ED-40B1-97C9-1FB36F38BFA8} (Aurigma Image Uploader 3.5 Control) - http://light.gabs.dk/imageuploader/ImageUploader3.cab
O20 - Winlogon Notify: SASWinLogon - C:\Programmer\SUPERAntiSpyware\SASWINLO.dll
O23 - Service: Creative Service for CDROM Access - Creative Technology Ltd - C:\WINDOWS\System32\CTsvcCDA.EXE
O23 - Service: Kodak Camera Connection Software (KodakCCS) - Eastman Kodak Company - C:\WINDOWS\system32\drivers\KodakCCS.exe
O23 - Service: Norman API-hooking helper (NipSvc) - Unknown owner - C:\Norman\Nvc\BIN\nipsvc.exe
O23 - Service: Norman NJeeves - Unknown owner - C:\Norman\bin\NJEEVES.EXE
O23 - Service: Norman Type-R - Unknown owner - C:\Norman\Npf\BIN\NPFSVICE.EXE
O23 - Service: Norman ZANDA - Unknown owner - C:\Norman\Bin\Zanda.exe
O23 - Service: Norman Virus Control on-access component (nvcoas) - Norman ASA - C:\Norman\Nvc\bin\nvcoas.exe
O23 - Service: Norman Virus Control Scheduler (NVCScheduler) - Norman Data Defense Systems - C:\Norman\Nvc\BIN\NVCSCHED.EXE
O23 - Service: %NVSVC.name% (NVSvc) - NVIDIA Corporation - C:\WINDOWS\System32\nvsvc32.exe
O23 - Service: Pml Driver HPZ12 - HP - C:\WINDOWS\System32\HPZipm12.exe
O23 - Service: ScsiAccess - Unknown owner - C:\WINDOWS\System32\ScsiAccess.EXE

Det lykkedes mig ikke at slette vbsys2.dll manuelt men jeg lagde mærke til at DrWeb fangede den så jeg håber at det er godt nok?
Nu håber jeg så at du kan give mig gode nyheder.Men det ser da i hvert fald ud til at popupen er elimineret. :o)
Mvh Niels

PS: Tak for hurtig respons!

Hej Arlet.
Jeg kan se at du er back online efter en lille pause.Vil du tjekke mine logger om de nu er rene? Jeg er nybegynder herinde så jeg gav dig dine point med det samme.Derudover kom jeg til at svare selv i stedet for ar lave en kommentar.På forhånd tak. :oD

Mvh Niels

Det må du MEGET undskylde, den må være smuttet for mig..

Så er din log ren.

Efter sådan en tur er det altid en god ide og rydde op i dine systemgendannelses filerne.
Deaktiver systemgendannelse ( http://www.arlet.dk/systemgendannelsen.htm ) - genstart din computer - aktiver systemgendannelse.

Generel oprydning: http://www.arlet.dk/oprydning.htm

For at beskytte dig mod snavs har jeg lavet en sikkerhedspakke,
som du kan se her : www.arlet.dk/pakke.htm

Det er helt ok.

Tak for feedbacken.Jeg vil følge dine andre råd så jeg kan minimere risikoen for den slags snavs igen.

Tak for super support!

Lige et tillægsspørgsmål:Er risikoen for virus meget større med SP1 frem for SP2?

Nej, det kommer helt an på din virusprogram..

Derimod er computeren mere sikret mod angreb, da der er lukket en masse huller med sp2, så det kan jeg godt anbefale at du henter og installer

Du kan (også) hente ServicePack2 (SP2) her som 'løs' fil (~280Mb):
http://intern.sdu.dk/it-service/tjenester/ftphotel/ftpindhold/
Download/copy til et passende sted på din putter.
Afbryd fra det 'farlige' internet (stikket fysisk UD).
Instaler SP2 pakken.
Når det er så gået godt og efter en genstart eller to - først DA tilslut internettet igen og gå i start ->programmer ->Windowsupdate og lade din maskine scanne for nyeste opdateringer. Installer dem du får anbefalet. Der skal nok være ~40 'pakker'.

Safe Surfing...