problemer med fjerning av trojan.generic.adv -> nytt problem s.2

[Alastor]

Tips ang slike bugger, legg det dere ønsker at bruker skal legge inn i notisblokk med CODE-tags.

 

blablabla

Endret 7. september 2008 av Alastor

[snippsat]

Bror har kommet noe lengre enn meg, og fått problemer med den ...lib fila. Tviler ikke på at Trend har noe med dette å gjøre, men...

Detter en intertn feil fra Trend Internet Security.

Nevte det i post #5.

 

De temp filene kan du slette manuelt.

 

Da må du du se linker i denne posten om problemet.

 

Du kan fjerne combofix ved å skrive combofix /u fra kjør-vinduet. Denne kommandoen gjør at filer i karantene og backups blir slette. Systemgjenopprettingsmappa nullstilt etc.

Endret 7. september 2008 av SNIPPSAT

[Ragnarokk]

Lagt ny CFScript fil, her er ny combologg

 

ComboFix 08-09-04.09 - Jørund 2008-09-07 16:34:29.6 - NTFSx86

Microsoft Windows XP Home Edition 5.1.2600.2.1252.1.1044.18.479 [GMT 2:00]

Running from: C:\Documents and Settings\Jørund\Skrivebord\ComboFix.exe

Command switches used :: C:\Documents and Settings\Jørund\Skrivebord\CFScript.txt

* Created a new restore point

 

WARNING -THIS MACHINE DOES NOT HAVE THE RECOVERY CONSOLE INSTALLED !!

.

 

((((((((((((((((((((((((((((((((((((((( Other Deletions )))))))))))))))))))))))))))))))))))))))))))))))))

.

 

C:\WINDOWS\003144_.tmp

C:\WINDOWS\003145_.tmp

C:\WINDOWS\003146_.tmp

 

.

((((((((((((((((((((((((( Files Created from 2008-08-07 to 2008-09-07 )))))))))))))))))))))))))))))))

.

 

2008-09-05 23:51 . 2008-09-05 23:55 <DIR> d-------- C:\Programfiler\Malwarebytes' Anti-Malware

2008-09-05 23:51 . 2008-09-05 23:51 <DIR> d-------- C:\Documents and Settings\Jørund\Programdata\Malwarebytes

2008-09-05 23:51 . 2008-09-05 23:51 <DIR> d-------- C:\Documents and Settings\All Users\Programdata\Malwarebytes

2008-09-05 23:51 . 2008-09-02 00:16 38,528 --a------ C:\WINDOWS\system32\drivers\mbamswissarmy.sys

2008-09-05 23:51 . 2008-09-02 00:16 17,200 --a------ C:\WINDOWS\system32\drivers\mbam.sys

2008-09-05 23:13 . 2008-09-07 16:31 <DIR> dr-h----- C:\Documents and Settings\Jørund\Siste

2008-09-05 23:13 . 2008-09-07 16:31 <DIR> dr-h----- C:\Documents and Settings\Jørund\Siste

2008-09-05 13:25 . 2008-09-05 23:41 1,880 --a------ C:\WINDOWS\DCEBOOT.CFG

2008-09-04 21:36 . 2008-09-05 13:25 <DIR> d-------- C:\WINDOWS\LastGood

2008-09-04 18:25 . 2008-09-04 18:25 113,838 --a------ C:\WINDOWS\system\6.0.2900.2180_EN.zip

2008-09-04 11:45 . 2005-09-19 20:54 <DIR> dr------- C:\Documents and Settings\Administrator.J-1617F615D9814.001\Start-meny

2008-09-04 11:45 . 2005-09-19 20:54 <DIR> d--h----- C:\Documents and Settings\Administrator.J-1617F615D9814.001\Skrivere

2008-09-04 11:45 . 2005-09-19 20:54 <DIR> d-------- C:\Documents and Settings\Administrator.J-1617F615D9814.001\Skrivebord

2008-09-04 11:45 . 2005-09-19 20:54 <DIR> d--h----- C:\Documents and Settings\Administrator.J-1617F615D9814.001\Siste

2008-09-04 11:45 . 2005-09-19 20:54 <DIR> dr-h----- C:\Documents and Settings\Administrator.J-1617F615D9814.001\Programdata

2008-09-04 11:45 . 2005-09-19 20:54 <DIR> d-------- C:\Documents and Settings\Administrator.J-1617F615D9814.001\Mine dokumenter

2008-09-04 11:45 . 2007-12-12 00:38 <DIR> d--h----- C:\Documents and Settings\Administrator.J-1617F615D9814.001\Maler

2008-09-04 11:45 . 2008-09-07 16:36 <DIR> d--h----- C:\Documents and Settings\Administrator.J-1617F615D9814.001\Lokale innstillinger

2008-09-04 11:45 . 2005-09-19 20:54 <DIR> d-------- C:\Documents and Settings\Administrator.J-1617F615D9814.001\Favoritter

2008-09-04 11:45 . 2005-09-19 20:54 <DIR> d--h----- C:\Documents and Settings\Administrator.J-1617F615D9814.001\AndrMask

2008-09-04 11:45 . 2008-09-04 11:45 <DIR> d-------- C:\Documents and Settings\Administrator.J-1617F615D9814.001

2008-09-04 10:07 . 2008-09-05 23:41 10,752 --a------ C:\WINDOWS\DCEBoot.exe

2008-08-21 11:20 . 2008-09-05 23:16 <DIR> d-------- C:\WINDOWS\system32\CatRoot_bak

 

.

(((((((((((((((((((((((((((((((((((((((( Find3M Report ))))))))))))))))))))))))))))))))))))))))))))))))))))

.

2008-09-05 11:25 64,000 ----a-w C:\WINDOWS\system32\samlib.dll

2008-09-04 08:07 --------- d-----w C:\Programfiler\SUPERAntiSpyware

2008-09-01 17:46 --------- d-----w C:\Programfiler\Java

2008-07-18 20:10 94,920 ----a-w C:\WINDOWS\system32\cdm.dll

2008-07-18 20:10 53,448 ----a-w C:\WINDOWS\system32\wuauclt.exe

2008-07-18 20:10 45,768 ----a-w C:\WINDOWS\system32\wups2.dll

2008-07-18 20:10 36,552 ----a-w C:\WINDOWS\system32\wups.dll

2008-07-18 20:09 563,912 ----a-w C:\WINDOWS\system32\wuapi.dll

2008-07-18 20:09 325,832 ----a-w C:\WINDOWS\system32\wucltui.dll

2008-07-18 20:09 205,000 ----a-w C:\WINDOWS\system32\wuweb.dll

2008-07-18 20:09 1,811,656 ----a-w C:\WINDOWS\system32\wuaueng.dll

2008-07-18 20:07 270,880 ----a-w C:\WINDOWS\system32\mucltui.dll

2008-07-18 20:07 210,976 ----a-w C:\WINDOWS\system32\muweb.dll

2008-07-18 17:08 36,368 ----a-w C:\WINDOWS\system32\drivers\tmpreflt.sys

2008-07-18 17:08 205,328 ----a-w C:\WINDOWS\system32\drivers\tmxpflt.sys

2008-07-18 16:51 1,195,448 ----a-w C:\WINDOWS\system32\drivers\vsapint.sys

2008-07-07 20:33 253,952 ----a-w C:\WINDOWS\system32\es.dll

2008-06-24 16:24 74,240 ----a-w C:\WINDOWS\system32\mscms.dll

2008-06-23 15:41 658,944 ----a-w C:\WINDOWS\system32\wininet.dll

2008-06-20 17:43 246,784 ----a-w C:\WINDOWS\system32\mswsock.dll

2008-02-25 09:44 603,176 ----a-w C:\Documents and Settings\Jørund\autoruns.exe

2008-02-25 09:44 603,176 ----a-w C:\Documents and Settings\Jørund\autoruns.exe

2008-02-25 09:44 513,064 ----a-w C:\Documents and Settings\Jørund\autorunsc.exe

2008-02-25 09:44 513,064 ----a-w C:\Documents and Settings\Jørund\autorunsc.exe

.

 

((((((((((((((((((((((((((((((((((((( Reg Loading Points ))))))))))))))))))))))))))))))))))))))))))))))))))

.

.

*Note* empty entries & legit default entries are not shown

REGEDIT4

 

[HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]

"CTFMON.EXE"="C:\WINDOWS\system32\ctfmon.exe" [2004-09-28 15360]

"MsnMsgr"="C:\Programfiler\MSN Messenger\MsnMsgr.Exe" [2007-01-19 5674352]

 

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]

"SoundMAXPnP"="C:\Programfiler\Analog Devices\SoundMAX\SMax4PNP.exe" [2004-06-30 1388544]

"NvCplDaemon"="C:\WINDOWS\system32\NvCpl.dll" [2005-08-02 7110656]

"NvMediaCenter"="C:\WINDOWS\system32\NvMcTray.dll" [2005-08-02 86016]

"HPDJ Taskbar Utility"="C:\WINDOWS\system32\spool\drivers\w32x86\3\hpztsb08.exe" [2003-03-11 172032]

"NeroCheck"="C:\WINDOWS\system32\NeroCheck.exe" [2001-07-09 155648]

"SSBkgdUpdate"="C:\Programfiler\Fellesfiler\Scansoft Shared\SSBkgdUpdate\SSBkgdupdate.exe" [2003-09-30 155648]

"OpwareSE4"="C:\Programfiler\ScanSoft\OmniPageSE4.0\OpwareSE4.exe" [2006-03-21 69632]

"UfSeAgnt.exe"="C:\Programfiler\Trend Micro\Internet Security\UfSeAgnt.exe" [2008-07-29 1398024]

"Adobe Reader Speed Launcher"="C:\Programfiler\Adobe\Reader 8.0\Reader\Reader_sl.exe" [2008-01-11 39792]

"SunJavaUpdateSched"="C:\Programfiler\Java\jre1.6.0_07\bin\jusched.exe" [2008-06-10 144784]

"nwiz"="nwiz.exe" [2005-08-02 C:\WINDOWS\system32\nwiz.exe]

"BluetoothAuthenticationAgent"="bthprops.cpl" [2004-09-28 C:\WINDOWS\system32\bthprops.cpl]

 

[HKEY_USERS\.DEFAULT\Software\Microsoft\Windows\CurrentVersion\Run]

"CTFMON.EXE"="C:\WINDOWS\system32\CTFMON.EXE" [2004-09-28 15360]

 

C:\Documents and Settings\J›rund\Start-meny\Programmer\Oppstart\

Adobe Gamma.lnk - C:\Programfiler\Fellesfiler\Adobe\Calibration\Adobe Gamma Loader.exe [2005-03-16 113664]

 

C:\Documents and Settings\All Users\Start-meny\Programmer\Oppstart\

Microsoft Office.lnk - C:\Programfiler\Microsoft Office\Office\OSA9.EXE [1999-02-17 65588]

WinZip Quick Pick.lnk - C:\Programfiler\WinZip\WZQKPICK.EXE [2006-01-11 122880]

 

[hkey_local_machine\software\microsoft\windows\currentversion\explorer\ShellExecuteHooks]

"{5AE067D3-9AFB-48E0-853A-EBB7F4A000DA}"= "C:\Programfiler\SUPERAntiSpyware\SASSEH.DLL" [2006-12-20 77824]

 

[HKEY_LOCAL_MACHINE\software\microsoft\windows nt\currentversion\winlogon\notify\!SASWinLogon]

2007-04-19 12:41 294912 C:\Programfiler\SUPERAntiSpyware\SASWINLO.dll

 

[HKEY_LOCAL_MACHINE\software\microsoft\security center\Monitoring\TrendAntiVirus]

"DisableMonitoring"=dword:00000001

 

[HKEY_LOCAL_MACHINE\software\microsoft\security center\Monitoring\TrendFirewall]

"DisableMonitoring"=dword:00000001

 

[HKLM\~\services\sharedaccess\parameters\firewallpolicy\standardprofile]

"EnableFirewall"= 0 (0x0)

 

[HKLM\~\services\sharedaccess\parameters\firewallpolicy\standardprofile\AuthorizedApplications\List]

"%windir%\\system32\\sessmgr.exe"=

"C:\\Programfiler\\LimeWire\\LimeWire.exe"=

"C:\\Programfiler\\Messenger\\msmsgs.exe"=

"C:\\Programfiler\\MSN Messenger\\msnmsgr.exe"=

"C:\\Programfiler\\MSN Messenger\\livecall.exe"=

 

S3 OMNUSB;Omnikey AG CardMan 2020 USB-smartkortleser;C:\WINDOWS\system32\DRIVERS\sccmusbm.sys [2001-08-17 23936]

 

*Newly Created Service* - PSEXESVC

.

 

**************************************************************************

 

catchme 0.3.1361 W2K/XP/Vista - rootkit/stealth malware detector by Gmer, http://www.gmer.net

Rootkit scan 2008-09-07 16:36:45

Windows 5.1.2600 Service Pack 2 NTFS

 

scanning hidden processes ...

 

scanning hidden autostart entries ...

 

scanning hidden files ...

 

scan completed successfully

hidden files: 0

 

**************************************************************************

.

--------------------- DLLs Loaded Under Running Processes ---------------------

 

PROCESS: C:\WINDOWS\system32\winlogon.exe

-> C:\WINDOWS\system32\SAMLIB.dll

 

PROCESS: C:\WINDOWS\system32\lsass.exe

-> C:\WINDOWS\system32\SAMLIB.dll

.

Completion time: 2008-09-07 16:38:14

ComboFix-quarantined-files.txt 2008-09-07 14:38:05

ComboFix2.txt 2008-09-06 06:38:40

ComboFix3.txt 2008-09-05 21:47:22

ComboFix4.txt 2008-04-26 07:08:12

ComboFix5.txt 2008-09-07 14:31:48

 

Pre-Run: 44,717,490,176 byte ledig

Post-Run: 44,706,684,928 byte ledig

 

138 --- E O F --- 2008-09-05 21:06:50

 

 

Du kan fjerne combofix ved å skrive combofix /u fra kjør-vinduet. Denne kommandoen gjør at filer i karantene og backups blir slette. Systemgjenopprettingsmappa nullstilt etc.

 

Gjøre dette nå?

[snippsat]

Ja kjør combofix /u nå.

 

Feilen har TRend lagd så da må søke løsning rund den.

[Ragnarokk]

Ok, da har jeg kjørt combofix /u, programmet er nå avinstallert.

[ola-ola]

Angående Trends rolle i dette, så kan det være verd å ta en titt på oppdateringene på

http://hellreject.baywords.com/2008/09/04/...hemedll-solved/

 

Det nevnes en spesifikk signaturfil og programversjon.

 

Jeg gjorde selv følgende:

Jeg la uxtheme.dll og samlib.dll fra en frisk maskin på en diskett, og koblet en ekstern diskettstasjon til maskinen.

 

Startet maskinen med Windows XP installasjons-CD

Valgte E for reparasjonskonsollen.

 

Kommandoer:

a:

copy uxtheme.dll c:\windows\system32\

copy samlib.dll c:\windows\system32\

c:

cd programfiler

cd trend micro

cd internet security

cd component

cd pattern

cd 0x00000004

dir

 

-----

Her fikk jeg opp filen lpt$vpn.521

-----

 

del lpt$vpn.521

exit

 

For oss "gamle" som fortsatt kan knote i DOS, så er reparasjonskonsollen til XP svært tungvint å jobbe i siden ikke wildcards kan brukes.

 

 

Maskinen startet normalt. Jeg kunne da avinstallere Trend IS, og erstatte med Kapersky.

Trend IS lar seg ikke avinstallere i sikkermodus.

 

Jeg har tenkt etterpå at det kunne vært interessant å se om en ny oppdatering av Trend ville fikset det slik at jeg hadde både en ufarlig signaturfil og programvareversjon, men det er ikke prøvet.

[Ragnarokk]

Vel, etter å ha vært inne hos trend.no, og funnet "oppskrift" på hvordan løse problemet, har jeg nå vært strandet uten pc til nå. Det gikk rettt til h... etter restarting, samme problem- bare være. nå var, som enkelte forutså, samblib.dll borte. Uansett ville ikke maskina gi anent enn sort skjerm, og jeg kontaktet trends supporttelefon for videre anvisninger. Fikk mail med ny oppskrift,¨på hvordan få fikset opp i uxTheme fila, men nå var det jo samlib som var problemet- det spurte de aldri om!!! Men, fikk omsider fikset det, triksa til samlib, og komemr nå inn på maskina igjen.

 

Det nye nå er følgende beskjed som ikke vil bort;

 

jusched.exe- ugyldig bilde

Programmet eller DLLen C:\WINDOWS\system32\CLBCATQ.DLL er ikke et gyldig Windows-bilde. Kontroller dette mo t innstallasjonsdisketten.

 

 

Så, nå hva???

 

Edit:

 

ser ut til at jeg nå har fått det til, brukt halve kvelden nå, og masse hodepine og stygge ord. Men, masknia restarter fint, beskjeden er borte, Opera fungerer igjen (fungerte ike så lenge beskjeden var der), og alt virker greit.

 

 

Tusen hjertelig til Snippsat- og andre!

Endret 8. september 2008 av Ragnarokk

[filmnils]

Vel, etter å ha vært inne hos trend.no, og funnet "oppskrift" på hvordan løse problemet, har jeg nå vært strandet uten pc til nå. Det gikk rettt til h... etter restarting, samme problem- bare være. nå var, som enkelte forutså, samblib.dll borte. Uansett ville ikke maskina gi anent enn sort skjerm, og jeg kontaktet trends supporttelefon for videre anvisninger. Fikk mail med ny oppskrift,¨på hvordan få fikset opp i uxTheme fila, men nå var det jo samlib som var problemet- det spurte de aldri om!!! Men, fikk omsider fikset det, triksa til samlib, og komemr nå inn på maskina igjen.

 

Det nye nå er følgende beskjed som ikke vil bort;

 

jusched.exe- ugyldig bilde

Programmet eller DLLen C:\WINDOWS\system32\CLBCATQ.DLL er ikke et gyldig Windows-bilde. Kontroller dette mo t innstallasjonsdisketten.

 

 

Så, nå hva???

 

Edit:

 

ser ut til at jeg nå har fått det til, brukt halve kvelden nå, og masse hodepine og stygge ord. Men, masknia restarter fint, beskjeden er borte, Opera fungerer igjen (fungerte ike så lenge beskjeden var der), og alt virker greit.

 

 

Tusen hjertelig til Snippsat- og andre!

 

huff kom over denne tråden og kjenner meg igjen. har hatt samme problem i hele dag selv.

vi har derimot brukt denne tråden: https://www.diskusjon.no/index.php?showtopi...20&start=20

 

så tydelig mange med disse problemene.. leste at over 1000 nordmenne foreløpig har kontaktet Trend support ang dette trøbblet (og regner med at ikke alle har ringt inn der så trolig mange flere også som er rammet)

 

men som deg etter mye hodebry nærmer jeg meg også en løsning. kom endelig inn i windows igjen etter mye om og men og fikk lastet ned nyeste updaten fra trend som sku fikse problemet, men usikker på om det egentlig fikser problemer med samlib.dll for programmet fortsetter å sette filen i karantene, så nå har jeg ikke turt å skru av pcen i frykt for

å ikke få startet den igjen... men kjekt og ha noe å se frem til å jobbe med i morgen også!

[black-eagle]

Vel, etter å ha vært inne hos trend.no, og funnet "oppskrift" på hvordan løse problemet, har jeg nå vært strandet uten pc til nå. Det gikk rettt til h... etter restarting, samme problem- bare være. nå var, som enkelte forutså, samblib.dll borte. Uansett ville ikke maskina gi anent enn sort skjerm, og jeg kontaktet trends supporttelefon for videre anvisninger. Fikk mail med ny oppskrift,¨på hvordan få fikset opp i uxTheme fila, men nå var det jo samlib som var problemet- det spurte de aldri om!!! Men, fikk omsider fikset det, triksa til samlib, og komemr nå inn på maskina igjen.

 

Det nye nå er følgende beskjed som ikke vil bort;

 

jusched.exe- ugyldig bilde

Programmet eller DLLen C:\WINDOWS\system32\CLBCATQ.DLL er ikke et gyldig Windows-bilde. Kontroller dette mo t innstallasjonsdisketten.

 

 

Så, nå hva???

 

Edit:

 

ser ut til at jeg nå har fått det til, brukt halve kvelden nå, og masse hodepine og stygge ord. Men, masknia restarter fint, beskjeden er borte, Opera fungerer igjen (fungerte ike så lenge beskjeden var der), og alt virker greit.

 

 

Tusen hjertelig til Snippsat- og andre!

 

Hei! Hvordan ble du kvitt meldinga med CLBCATQ.DLL er ikke et gyldig windows-bilde???

Hvis du gidder å svare på

 

[email protected]

 

er det supert! Jeg er litt til og fra her, derfor...

[filmnils]

Hei! Hvordan ble du kvitt meldinga med CLBCATQ.DLL er ikke et gyldig windows-bilde???

Hvis du gidder å svare på

 

[email protected]

 

er det supert! Jeg er litt til og fra her, derfor...

 

Søk på nettet og last ned clbcatq.dll, så slenger du den i windows/system32 mappen og saken skal være biff (gjerne med fløtestuete poteter også)

 

Var ihvertfall slik jeg fikk vekk både den og andre lignende feilmeldinger!

Laster forøvrig dll filer ned fra dlldump.com for de kjenner jeg meg ganske sikre på.