mulig virus. MyDoom.

[MagnusW]

etter at jeg lastet ned IE 7 beta har jeg fått en popup som kommer hele tiden. får ikke lastet opp bildet nå, men det står:"Ditt system kan være utsatt for MyDoom Virus! Vi anbefaler at du LASTER NED ett av følgende sikkerhetsprogrammer for å forebygge nye malware-infeksjoner. "

 

Videre står det: OBS! Sikkerhetssenteret har oppdaget sikkerhetsbrister i PC-en, som kan sende privatinformasjon og dokumenter til en annen PC. En av prosessene (Win32res.exe) har nettopp sent denne informasjonen:

 

IP adresse: "xx.xxx.xxxx.xx"

Browser: Mozilla/4.0 (compatible; MSIE 7.0; Windows NT 5.1; SV1; .NET CLR 1.1.4322)

Operativsystem: Windows XP

PC-informasjon: Obtained

Hvor PC-en befinner seg: Norway, Bergen

 

 

 

Jeg bor ikke i Bergen, så det er ikke sant.

Skal prøve å få lagt ut bilde, men hva tror dere om dette?

Endret 4. mai 2006 av MagnusW

[Dahl]

Høres ut som et kreativt forsøk på å lure deg til å laste ned noe malware. Lastet du ned IE7 Beta fra Microsofts nettsted? Når og hvor får du denne feilmeldingen? Kan du poste et skjermbilde av den?

Endret 4. mai 2006 av Dahl

[MagnusW]

IE7 lastet jeg ned fra microsoft sine sider ja.

Det vil liksom at jeg skal laste ned et virus program som heter WinAntiVirusPRO 2006.

[Dahl]

Det tok meg under et halvt sekund å se at dette er et svært dårlig forsøk på å få deg til å installere malware. Bare humbug, med andre ord.

[MagnusW]

okei bra

Men jeg har fortsatt sinnsykt mange popups etter IE7. noen som vet hvordan jeg fjerner IE?

[DilliMusic]

hehe bruk mozilla firefox;)

[MagnusW]

jeg gjør det, men skulle sjekke hvordan den nye så ut

[DilliMusic]

okei bra

Men jeg har fortsatt sinnsykt mange popups etter IE7. noen som vet hvordan jeg fjerner IE?

6040981[/snapback]

 

kan hende jeg tar feil men tror ikke det går, bare bruk mozilla og sett det som standard nettleser

[DilliMusic]

jeg gjør det, men skulle sjekke hvordan den nye så ut

6041004[/snapback]

 

hehe okey

[Dahl]

hehe bruk mozilla firefox;)

6040999[/snapback]

Det svarer ikke spørsmålet hans i det hele tatt. Han velger selv hva slags nettleser han vil bruke, og han skal slippe å bli overfalt av unger som nettopp har skjønt at Firefox er "det pro-ene bruker".

 

MagnusW: Installer Ad-Aware og Spybot Search and Destroy, og forsøk å rense opp i maskinen din. Skann også med et oppdatert antivirusprogram.

[MagnusW]

hehe bruk mozilla firefox;)

6040999[/snapback]

Det svarer ikke spørsmålet hans i det hele tatt. Han velger selv hva slags nettleser han vil bruke, og han skal slippe å bli overfalt av unger som nettopp har skjønt at Firefox er "det pro-ene bruker".

 

MagnusW: Installer Ad-Aware og Spybot Search and Destroy, og forsøk å rense opp i maskinen din. Skann også med et oppdatert antivirusprogram.

6041024[/snapback]

 

Takk Dahl! Kjører Ad-aware nå og laster ned Spybot Search and Destroy

Men vet du om det går å fjerne IE?

[Kadmium]

Skal du fjerne IE komplett?

[Dahl]

Men vet du om det går å fjerne IE?

6041063[/snapback]

Nei, det vet jeg dessverre ikke, da jeg ikke har prøvd IE7 Beta.

[MagnusW]

Skal du fjerne IE komplett?

6041068[/snapback]

 

ja, vil gjerne det.

[berxter]

Du skal ikke være fornøyd ennå. Det skal slett ikke forundre meg om du har en øøørliten Vundoinfeksjon... Du får legge ut en HijackThislogg (du finner HJT bl a hos www.merijn.org)

 

Bernt K

[MagnusW]

det skjønte jeg ikke noe av?

[Pozzolan]

Last ned hijackkthis og post en log.

Link finner du i signaturen min.

[MagnusW]

her er log'en:

 

Logfile of HijackThis v1.99.1

Scan saved at 00:13:10, on 05.05.2006

Platform: Windows XP SP2 (WinNT 5.01.2600)

MSIE: Internet Explorer v7.00 (7.00.5346.0005)

 

Running processes:

C:\WINDOWS\System32\smss.exe

C:\WINDOWS\system32\winlogon.exe

C:\WINDOWS\system32\services.exe

C:\WINDOWS\system32\lsass.exe

C:\WINDOWS\system32\Ati2evxx.exe

C:\WINDOWS\system32\svchost.exe

C:\WINDOWS\System32\svchost.exe

C:\Program Files\Common Files\Symantec Shared\ccSetMgr.exe

C:\Program Files\Common Files\Symantec Shared\SNDSrvc.exe

C:\Program Files\Common Files\Symantec Shared\SPBBC\SPBBCSvc.exe

C:\Program Files\Common Files\Symantec Shared\ccEvtMgr.exe

C:\WINDOWS\system32\spoolsv.exe

C:\Program Files\Symantec\LiveUpdate\ALUSchedulerSvc.exe

C:\WINDOWS\system32\CTsvcCDA.EXE

C:\Program Files\Common Files\Microsoft Shared\VS7DEBUG\MDM.EXE

C:\Program Files\Norton AntiVirus\navapsvc.exe

C:\Program Files\Norton AntiVirus\IWP\NPFMntor.exe

C:\WINDOWS\system32\svchost.exe

C:\Program Files\Common Files\Symantec Shared\Security Center\SymWSC.exe

C:\WINDOWS\system32\Ati2evxx.exe

C:\WINDOWS\Explorer.EXE

C:\Program Files\Common Files\Symantec Shared\ccApp.exe

C:\Program Files\Synaptics\SynTP\SynTPLpr.exe

C:\Program Files\Synaptics\SynTP\SynTPEnh.exe

C:\Program Files\ATI Technologies\ATI Control Panel\atiptaxx.exe

C:\Program Files\HPQ\Quick Launch Buttons\EabServr.exe

C:\Program Files\Java\jre1.5.0_06\bin\jusched.exe

C:\Program Files\iTunes\iTunesHelper.exe

C:\Program Files\QuickTime\qttask.exe

C:\Program Files\Common Files\Real\Update_OB\realsched.exe

C:\Program Files\iPod\bin\iPodService.exe

C:\Program Files\Winamp\winampa.exe

C:\Program Files\winupdates\Setup.exe

C:\Program Files\Messenger\msmsgs.exe

C:\WINDOWS\system32\ctfmon.exe

C:\Program Files\MSN Messenger\MsnMsgr.Exe

C:\Program Files\Creative\MediaSource\Detector\CTDetect.exe

C:\Program Files\LimeWire\LimeWire.exe

C:\WINDOWS\System32\svchost.exe

C:\Program Files\Mozilla Firefox\firefox.exe

C:\Documents and Settings\Magnus\My Documents\setup\HijackThis.exe

 

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.whatsfind.com/route.html

R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://go.microsoft.com/fwlink/?LinkId=54729

R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://go.microsoft.com/fwlink/?LinkId=54896

R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = http://go.microsoft.com/fwlink/?LinkId=54896

R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = http://go.microsoft.com/fwlink/?LinkId=552...cid={SUB_CLCID}

O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Program Files\Adobe\Acrobat 6.0\Reader\ActiveX\AcroIEHelper.dll

O2 - BHO: (no name) - {53707962-6F74-2D53-2644-206D7942484F} - C:\Program Files\Spybot - Search & Destroy\SDHelper.dll

O2 - BHO: SSVHelper Class - {761497BB-D6F0-462C-B6EB-D4DAF1D92D43} - C:\Program Files\Java\jre1.5.0_06\bin\ssv.dll

O2 - BHO: NAV Helper - {BDF3E430-B101-42AD-A544-FADC6B084872} - C:\Program Files\Norton AntiVirus\NavShExt.dll

O3 - Toolbar: Norton AntiVirus - {42CDD1BF-3FFB-4238-8AD1-7859DF00B1D6} - C:\Program Files\Norton AntiVirus\NavShExt.dll

O4 - HKLM\..\Run: [ccApp] "C:\Program Files\Common Files\Symantec Shared\ccApp.exe"

O4 - HKLM\..\Run: [synTPLpr] C:\Program Files\Synaptics\SynTP\SynTPLpr.exe

O4 - HKLM\..\Run: [synTPEnh] C:\Program Files\Synaptics\SynTP\SynTPEnh.exe

O4 - HKLM\..\Run: [ATIPTA] C:\Program Files\ATI Technologies\ATI Control Panel\atiptaxx.exe

O4 - HKLM\..\Run: [Cpqset] C:\Program Files\HPQ\Default Settings\cpqset.exe

O4 - HKLM\..\Run: [eabconfg.cpl] C:\Program Files\HPQ\Quick Launch Buttons\EabServr.exe /Start

O4 - HKLM\..\Run: [updateManager] "C:\Program Files\Common Files\Sonic\Update Manager\sgtray.exe" /r

O4 - HKLM\..\Run: [sunJavaUpdateSched] C:\Program Files\Java\jre1.5.0_06\bin\jusched.exe

O4 - HKLM\..\Run: [iTunesHelper] "C:\Program Files\iTunes\iTunesHelper.exe"

O4 - HKLM\..\Run: [QuickTime Task] "C:\Program Files\QuickTime\qttask.exe" -atboottime

O4 - HKLM\..\Run: [TkBellExe] "C:\Program Files\Common Files\Real\Update_OB\realsched.exe" -osboot

O4 - HKLM\..\Run: [bearShare] "C:\Program Files\BearShare\BearShare.exe" /pause

O4 - HKLM\..\Run: [WinampAgent] C:\Program Files\Winamp\winampa.exe

O4 - HKLM\..\Run: [rmalt] C:\Program Files\winupdates\Setup.exe

O4 - HKCU\..\Run: [MSMSGS] "C:\Program Files\Messenger\msmsgs.exe" /background

O4 - HKCU\..\Run: [ctfmon.exe] C:\WINDOWS\system32\ctfmon.exe

O4 - HKCU\..\Run: [MsnMsgr] "C:\Program Files\MSN Messenger\MsnMsgr.Exe" /background

O4 - HKCU\..\Run: [Creative Detector] C:\Program Files\Creative\MediaSource\Detector\CTDetect.exe /R

O4 - Startup: Adobe Gamma.lnk = C:\Program Files\Common Files\Adobe\Calibration\Adobe Gamma Loader.exe

O4 - Startup: LimeWire On Startup.lnk = C:\Program Files\LimeWire\LimeWire.exe

O6 - HKCU\Software\Policies\Microsoft\Internet Explorer\Control Panel present

O7 - HKCU\Software\Microsoft\Windows\CurrentVersion\Policies\System, DisableRegedit=1

O8 - Extra context menu item: E&xport to Microsoft Excel - res://C:\PROGRA~1\MICROS~2\OFFICE11\EXCEL.EXE/3000

O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\jre1.5.0_06\bin\ssv.dll

O9 - Extra 'Tools' menuitem: Sun Java Console - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\jre1.5.0_06\bin\ssv.dll

O9 - Extra button: Research - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - C:\PROGRA~1\MICROS~2\OFFICE11\REFIEBAR.DLL

O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe

O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe

O11 - Options group: [iNTERNATIONAL] International*

O16 - DPF: {39D420B3-E0EB-424C-89AA-C24F8DE7EF79} (KooPlayer Control) - http://www.tvkoo.com/update/KooPlayer.ocx

O18 - Protocol: msnim - {828030A1-22C1-4009-854F-8E305202313F} - "C:\PROGRA~1\MSNMES~1\msgrapp.dll" (file missing)

O23 - Service: Adobe LM Service - Adobe Systems - C:\Program Files\Common Files\Adobe Systems Shared\Service\Adobelmsvc.exe

O23 - Service: Ati HotKey Poller - Unknown owner - C:\WINDOWS\system32\Ati2evxx.exe

O23 - Service: Automatic LiveUpdate Scheduler - Symantec Corporation - C:\Program Files\Symantec\LiveUpdate\ALUSchedulerSvc.exe

O23 - Service: Symantec Event Manager (ccEvtMgr) - Symantec Corporation - C:\Program Files\Common Files\Symantec Shared\ccEvtMgr.exe

O23 - Service: Symantec Password Validation (ccPwdSvc) - Symantec Corporation - C:\Program Files\Common Files\Symantec Shared\ccPwdSvc.exe

O23 - Service: Symantec Settings Manager (ccSetMgr) - Symantec Corporation - C:\Program Files\Common Files\Symantec Shared\ccSetMgr.exe

O23 - Service: Creative Service for CDROM Access - Creative Technology Ltd - C:\WINDOWS\system32\CTsvcCDA.EXE

O23 - Service: HP WMI Interface (hpqwmi) - Hewlett-Packard Development Company, L.P. - C:\Program Files\HPQ\SHARED\HPQWMI.exe

O23 - Service: InstallDriver Table Manager (IDriverT) - Macrovision Corporation - C:\Program Files\Common Files\InstallShield\Driver\11\Intel 32\IDriverT.exe

O23 - Service: iPodService - Apple Computer, Inc. - C:\Program Files\iPod\bin\iPodService.exe

O23 - Service: LiveUpdate - Symantec Corporation - C:\PROGRA~1\Symantec\LIVEUP~1\LUCOMS~1.EXE

O23 - Service: Norton AntiVirus Auto-Protect Service (navapsvc) - Symantec Corporation - C:\Program Files\Norton AntiVirus\navapsvc.exe

O23 - Service: Norton AntiVirus Firewall Monitor Service (NPFMntor) - Symantec Corporation - C:\Program Files\Norton AntiVirus\IWP\NPFMntor.exe

O23 - Service: SAVScan - Symantec Corporation - C:\Program Files\Norton AntiVirus\SAVScan.exe

O23 - Service: ScriptBlocking Service (SBService) - Symantec Corporation - C:\PROGRA~1\COMMON~1\SYMANT~1\SCRIPT~1\SBServ.exe

O23 - Service: Symantec Network Drivers Service (SNDSrvc) - Symantec Corporation - C:\Program Files\Common Files\Symantec Shared\SNDSrvc.exe

O23 - Service: Symantec SPBBCSvc (SPBBCSvc) - Symantec Corporation - C:\Program Files\Common Files\Symantec Shared\SPBBC\SPBBCSvc.exe

O23 - Service: SymWMI Service (SymWSC) - Symantec Corporation - C:\Program Files\Common Files\Symantec Shared\Security Center\SymWSC.exe

 

 

 

[berxter]

OK; last ned Killbox og unzip den til desktopen.

Kjør HJT igjen; sett en hake ved

 

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.whatsfind.com/route.html

O4 - HKLM\..\Run: [rmalt] C:\Program Files\winupdates\Setup.exe

O7 - HKCU\Software\Microsoft\Windows\CurrentVersion\Policies\System, DisableRegedit=1

velg fix checked.

 

Start Killbox, velg delete on reboot, klistre inn denne:

C:\Program Files\winupdates\Setup.exe

Reboot.

 

Plukk ned og kjør ccleaner (google)

Kjør en runde med Panda Activescan (link i sigen til stealthy)(husk see report/save report)

Legg ut Pandaloggen og en ny HJTlogg.

 

Bernt K

[MagnusW]

holder på å kjøre Panda ActiveScan. Postere log'ene når den er ferdig