[Løst] Dataproblematikk, trojanere og virus - Logges utover kvelden!

Teds · 3. februar 2009

Hei,

Da har en venninne av meg vært litt uheldig og fått inn en god del småsnusk på maskinen sin. Av det jeg kunne se før maskinen var frosset var: : QuickInstallPack, SecureExpertCleaner, Virus Remover 2008 og AntiVirus 360. Gjennom sikkermodus har jeg fått slettet SecureExpertCleaner og Virus Remover 2008, men ennå ligger AntiVirus 260 i veien for at normal oppstart skal være mulig.

Har akkurat satt i gang med MBAM og vil deretter kjøre ComboFix, etterfulgt av en hel del egne, valgte programmer. Logger vil komme så raskt så mulig, og jeg håper på kommentarer og tilbakemeldinger.

Redigert: Da viste deg seg at installeringsfilen til MBAM ikke ville starte i sikkermodus, og prøver dermed ved normal oppstart i stedet for.

Redigert2: Da viser det seg også at MBAM ikke vil kjøre ved vanlig oppstart, legger seg i taskmanager, men intet vises. ComboFix kjøres.

Redigert3: Ei heller ComboFix ville kjøre fra .exe-fil så av den grunn kjørte jeg en HijackThis! aller først. Loggen kommer så fort jeg har fått flyttet den over på stasjonær maskin.

Redigert4: Her kommer HijackThis-loggen, håper noen kan se på den!

Logfile of HijackThis v1.99.1

Scan saved at 18:58:47, on 03.02.2009

Platform: Windows XP SP3 (WinNT 5.01.2600)

MSIE: Internet Explorer v7.00 (7.00.6000.16762)

Running processes:

C:\WINDOWS\System32\smss.exe

C:\WINDOWS\system32\csrss.exe

C:\WINDOWS\system32\winlogon.exe

C:\WINDOWS\system32\services.exe

C:\WINDOWS\system32\lsass.exe

C:\Programfiler\Norman\Npm\Bin\Elogsvc.exe

C:\WINDOWS\system32\svchost.exe

C:\WINDOWS\System32\svchost.exe

C:\Programfiler\Norman\Npm\Bin\Zanda.exe

C:\Programfiler\Norman\npm\bin\nvoy.exe

C:\WINDOWS\system32\svchost.exe

C:\WINDOWS\Explorer.EXE

C:\WINDOWS\ATK0100\HControl.exe

C:\WINDOWS\SOUNDMAN.EXE

C:\Programfiler\ASUS\Wireless Console 2\wcourier.exe

C:\Programfiler\Norman\Npm\Bin\ZLH.EXE

C:\Programfiler\iTunes\iTunesHelper.exe

C:\Programfiler\Windows Live\Messenger\MsnMsgr.Exe

C:\WINDOWS\system32\ctfmon.exe

C:\Programfiler\DNA\btdna.exe

C:\WINDOWS\system32\spoolsv.exe

C:\DOCUME~1\Vidar\LOKALE~1\Temp\a.exe

C:\DOCUME~1\Vidar\LOKALE~1\Temp\~tmpa.exe

C:\WINDOWS\system32\ctfmon.exe

C:\Programfiler\Fellesfiler\Apple\Mobile Device Support\bin\AppleMobileDeviceService.exe

C:\WINDOWS\system32\ASWLSVC.exe

C:\WINDOWS\ATKKBService.exe

C:\Programfiler\Bonjour\mDNSResponder.exe

C:\Programfiler\Fellesfiler\LightScribe\LSSrvc.exe

C:\WINDOWS\system32\svchost.exe

C:\WINDOWS\system32\wdfmgr.exe

C:\WINDOWS\system32\ASWL2K.exe

C:\Programfiler\Norman\Npm\bin\NVCSCHED.EXE

C:\Programfiler\Norman\Npm\bin\NJEEVES.EXE

C:\Programfiler\iPod\bin\iPodService.exe

C:\WINDOWS\System32\alg.exe

C:\Programfiler\Norman\nse\bin\NSESVC.EXE

C:\WINDOWS\ATK0100\ATKOSD.exe

C:\DOCUME~1\Vidar\LOKALE~1\Temp\~tmpd.exe

C:\Programfiler\Norman\Nvc\bin\nvcoas.exe

C:\Programfiler\Norman\Nvc\Bin\Nip.exe

C:\Programfiler\Norman\Nvc\Bin\cclaw.exe

C:\Documents and Settings\Vidar\Skrivebord\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.ask.com/?o=101764&l=dis

R1 - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings,ProxyOverride = *.local

R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Koblinger

O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Programfiler\Adobe\Acrobat 7.0\ActiveX\AcroIEHelper.dll

O2 - BHO: &Research - {0B014B81-4E12-46F9-806F-55867AF8FD3C} - C:\WINDOWS\system32\winsystems.dll

O2 - BHO: AskBar BHO - {201f27d4-3704-41d6-89c1-aa35e39143ed} - C:\Programfiler\AskBarDis\bar\bin\askBar.dll

O2 - BHO: XML module - {500BCA15-57A7-4eaf-8143-8C619470B13D} - C:\WINDOWS\system32\msxml71.dll

O2 - BHO: SSVHelper Class - {761497BB-D6F0-462C-B6EB-D4DAF1D92D43} - C:\Programfiler\Java\jre1.6.0_05\bin\ssv.dll

O2 - BHO: (no name) - {7E853D72-626A-48EC-A868-BA8D5E23E045} - (no file)

O2 - BHO: Påloggingshjelp for Windows Live - {9030D464-4C02-4ABF-8ECC-5164760863C6} - C:\Programfiler\Fellesfiler\Microsoft Shared\Windows Live\WindowsLiveLogin.dll

O2 - BHO: Google Toolbar Helper - {AA58ED58-01DD-4d91-8333-CF10577473F7} - c:\programfiler\google\googletoolbar1.dll (file missing)

O2 - BHO: Google Toolbar Notifier BHO - {AF69DE43-7D58-4638-B6FA-CE66B5AD205D} - C:\Programfiler\Google\GoogleToolbarNotifier\3.1.807.1746\swg.dll

O2 - BHO: Windows Live Toolbar Helper - {BDBD1DAD-C946-4A17-ADC1-64B5B4FF55D0} - C:\Programfiler\Windows Live Toolbar\msntb.dll

O2 - BHO: iercptbho - {D4CDC21D-43BE-4101-A1EF-E379F134771E} - C:\Documents and Settings\Vidar\Lokale innstillinger\Programdata\qip\iercpt.dll

O3 - Toolbar: Windows Live Toolbar - {BDAD1DAD-C946-4A17-ADC1-64B5B4FF55D0} - C:\Programfiler\Windows Live Toolbar\msntb.dll

O3 - Toolbar: &Google - {2318C2B1-4965-11d4-9B18-009027A5CD4F} - c:\programfiler\google\googletoolbar1.dll (file missing)

O3 - Toolbar: Ask Toolbar - {3041d03e-fd4b-44e0-b742-2d9b88305f98} - C:\Programfiler\AskBarDis\bar\bin\askBar.dll

O4 - HKLM\..\Run: [HControl] C:\WINDOWS\ATK0100\HControl.exe

O4 - HKLM\..\Run: [soundMan] SOUNDMAN.EXE

O4 - HKLM\..\Run: [Wireless Console 2] C:\Programfiler\ASUS\Wireless Console 2\wcourier.exe

O4 - HKLM\..\Run: [Norman ZANDA] "C:\Programfiler\Norman\Npm\Bin\ZLH.EXE" /LOAD /SPLASH

O4 - HKLM\..\Run: [QuickTime Task] "C:\Programfiler\QuickTime\qttask.exe" -atboottime

O4 - HKLM\..\Run: [iTunesHelper] "C:\Programfiler\iTunes\iTunesHelper.exe"

O4 - HKCU\..\Run: [MsnMsgr] "C:\Programfiler\Windows Live\Messenger\MsnMsgr.Exe" /background

O4 - HKCU\..\Run: [ctfmon.exe] C:\WINDOWS\system32\ctfmon.exe

O4 - HKCU\..\Run: [bitTorrent DNA] "C:\Programfiler\DNA\btdna.exe"

O4 - HKCU\..\Run: [Cognac] C:\DOCUME~1\Vidar\LOKALE~1\Temp\~tmpa.exe

O4 - HKCU\..\Run: [MSFox] C:\DOCUME~1\Vidar\LOKALE~1\Temp\a.exe

O4 - HKCU\..\Run: [21440207872931010657080978530214] C:\Programfiler\Antivirus 2009\av2009.exe

O4 - HKCU\..\Run: [QuickInstallPack] C:\Documents and Settings\Vidar\Lokale innstillinger\Programdata\qip\QuickInstallPack.exe

O8 - Extra context menu item: &Windows Live Search - res://C:\Programfiler\Windows Live Toolbar\msntb.dll/search.htm

O8 - Extra context menu item: E&ksporter til Microsoft Excel - res://C:\PROGRA~1\MICROS~2\OFFICE11\EXCEL.EXE/3000

O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programfiler\Java\jre1.6.0_05\bin\ssv.dll

O9 - Extra 'Tools' menuitem: Sun Java Console - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programfiler\Java\jre1.6.0_05\bin\ssv.dll

O9 - Extra button: Oppslag - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - C:\PROGRA~1\MICROS~2\OFFICE11\REFIEBAR.DLL

O9 - Extra button: (no name) - {e2e2dd38-d088-4134-82b7-f2ba38496583} - %windir%\Network Diagnostic\xpnetdiag.exe (file missing)

O9 - Extra 'Tools' menuitem: @xpsp3res.dll,-20001 - {e2e2dd38-d088-4134-82b7-f2ba38496583} - %windir%\Network Diagnostic\xpnetdiag.exe (file missing)

O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programfiler\Messenger\msmsgs.exe

O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programfiler\Messenger\msmsgs.exe

O10 - Unknown file in Winsock LSP: c:\programfiler\bonjour\mdnsnsp.dll

O11 - Options group: [iNTERNATIONAL] International*

O16 - DPF: {0CCA191D-13A6-4E29-B746-314DEE697D83} (Facebook Photo Uploader 5) - http://upload.facebook.com/controls/Facebo...toUploader5.cab

O16 - DPF: {5C6698D9-7BE4-4122-8EC5-291D84DBD4A0} (Facebook Photo Uploader 4 Control) - http://upload.facebook.com/controls/Facebo...toUploader3.cab

O16 - DPF: {6414512B-B978-451D-A0D8-FCFDF33E833C} (WUWebControl Class) - http://www.update.microsoft.com/windowsupd...b?1199968055203

O18 - Protocol: livecall - {828030A1-22C1-4009-854F-8E305202313F} - C:\PROGRA~1\WINDOW~4\MESSEN~1\MSGRAP~1.DLL

O18 - Protocol: msnim - {828030A1-22C1-4009-854F-8E305202313F} - C:\PROGRA~1\WINDOW~4\MESSEN~1\MSGRAP~1.DLL

O20 - Winlogon Notify: dimsntfy - %SystemRoot%\System32\dimsntfy.dll (file missing)

O20 - Winlogon Notify: igfxcui - C:\WINDOWS\SYSTEM32\igfxdev.dll

O23 - Service: Apple Mobile Device - Apple Inc. - C:\Programfiler\Fellesfiler\Apple\Mobile Device Support\bin\AppleMobileDeviceService.exe

O23 - Service: ASWLSVC - Unknown owner - C:\WINDOWS\system32\ASWLSVC.exe

O23 - Service: ATK Keyboard Service (ATKKeyboardService) - ASUSTeK COMPUTER INC. - C:\WINDOWS\ATKKBService.exe

O23 - Service: Bonjour-tjeneste (Bonjour Service) - Apple Inc. - C:\Programfiler\Bonjour\mDNSResponder.exe

O23 - Service: Norman eLogger service 6 (eLoggerSvc6) - Norman ASA - C:\Programfiler\Norman\Npm\Bin\Elogsvc.exe

O23 - Service: Google Updater Service (gusvc) - Google - C:\Programfiler\Google\Common\Google Updater\GoogleUpdaterService.exe

O23 - Service: iPod-tjeneste (iPod Service) - Apple Inc. - C:\Programfiler\iPod\bin\iPodService.exe

O23 - Service: LightScribeService Direct Disc Labeling Service (LightScribeService) - Hewlett-Packard Company - C:\Programfiler\Fellesfiler\LightScribe\LSSrvc.exe

O23 - Service: Norman NJeeves - Norman ASA - C:\Programfiler\Norman\Npm\bin\NJEEVES.EXE

O23 - Service: Norman ZANDA - Norman ASA - C:\Programfiler\Norman\Npm\Bin\Zanda.exe

O23 - Service: Norman Scanner Engine Service (nsesvc) - Unknown owner - C:\Programfiler\Norman\nse\bin\NSESVC.EXE" -daemon (file missing)

O23 - Service: Norman Virus Control on-access component (nvcoas) - Norman ASA - C:\Programfiler\Norman\Nvc\bin\nvcoas.exe

O23 - Service: Norman Virus Control Scheduler (NVCScheduler) - Norman ASA - C:\Programfiler\Norman\Npm\bin\NVCSCHED.EXE

O23 - Service: Norman's Very Own supplY of resources (NVOY) - Norman ASA - C:\Programfiler\Norman\npm\bin\nvoy.exe

Med vennlig hilsen,

Ole Martin Haugesten.

Endret 4. februar 2009 av Teds

norbat · 3. februar 2009

Prøv følgende:

Last ned Roguefix til skrivebordet (høyreklikk på linken og velg lagre som). Du får føre den over med minnepenna.

Kjør roguefix.bat-fila og følg veiledningen.

Forsøk deretter å kjøre mbam

Endret 3. februar 2009 av norbat

Teds · 3. februar 2009

RougeFix er kjørt og spør meg nå om å slette filen "beep.sys" om jeg vil ha renset maskinen, ser ikke denne filen som en potensiell farlighet og slette?

Står videre at denne filen kun behandler systemalarmer, så tar sjansen.

norbat · 3. februar 2009

Kan hentes på nytt, hvis ønskelig.

Endret 3. februar 2009 av norbat

Teds · 3. februar 2009

Fikk videre en liten melding fra Windows, direkte hentet: "Filbeskyttelse for Windows | Filer som kreves for at Windows skal kjøre skikkelig har blitt erstattet av versjoner som ikke gjenkjennes. Windows må opprette de opprinnelige versjonene av disse filene for å beholde systemstabilitet. Sett inn CD-ROM for Windows XP Home nå. Valg: Prøv på nytt, Mer informasjon og avbryt."

Videre sier RougeFix i bakgrunnen: "Do you want to set your DESKTOP BACKGROUND back to the Windows default settings? These changes will not take effect untill you reboot.

Press N then ENTER if your desktop background has not changed or you prefer to do it manually.

Press Y then ENTER to reset."

Det skal sies at skrivebordet/bakgrunnen er uendret, men hva med Windows-henvendelsen?

Takker så langt!

Endret 3. februar 2009 av Teds

norbat · 3. februar 2009

Du bør følge oppfordringen. Spm. er vel om du har en xp cd?

Har .bat-fila kjørt ferdig eller må du gjøre valgene først?

Teds · 3. februar 2009

Har en XP-cd liggende et sted, men det er en Professional-utgave, vil det fungere da?

Valgene i RougeFix og Windows sin henvendelse er uavhengige av hverandre, så det er mulig å fullføre RougeFix, eller omvendt

norbat · 3. februar 2009

Da fortsetter du bare...

Teds · 3. februar 2009

RougeFix ble gjennomført og maskinen restartes av RougeFix. Maskinen starter opp uten noen symptomer på feil, og MBAM starter som fanken!

Både MBAM og ComboFix kjøres og logger vil komme ut så fort som mulig.

Tusen millioner takk enn så lenge norbat. Dette er ikke første gang du redder meg fra en søvnløs natt med prøving og feiling.

Redigert1: Hvor smart er det å koble en maskin opp mot internett i den tilstanden den er nå? Ser du henviser til en full oppdatering av MBAM, men vet ikke om dette vil være mer destruktivt for maskinen å bli oppkoblet mot nettet.

Redigert2: MBAM ble oppdatert over nett gjennom kablet nett, trådløst fungerte visst ikke, ennå. Hurtigsøk pågår, logg kommer.

Redigert3: MBAM fant 43 infiserte filer, mesteparten ble slettet, mens de resterende filene skulle bli slettet ved ny oppstart. Logg ble først lagret, deretter ble maskinen restartet etter MBAM sitt ønske.

Endret 3. februar 2009 av Teds

Teds · 3. februar 2009

Er klar over dobbelt innlegg, men ser null poeng i å legge logger i allerede gjeldene innlegg, da dette er mer hensiktsmessig for alle parter.

Logg HijackThis (*OPPDATERT*):

Logfile of HijackThis v1.99.1

Scan saved at 8:26:27 , on 03.02.2009

Platform: Windows XP SP3 (WinNT 5.01.2600)

MSIE: Internet Explorer v7.00 (7.00.6000.16762)

Running processes:

C:\WINDOWS\System32\smss.exe

C:\WINDOWS\system32\csrss.exe

C:\WINDOWS\system32\winlogon.exe

C:\WINDOWS\system32\services.exe

C:\WINDOWS\system32\lsass.exe

C:\Programfiler\Norman\Npm\Bin\Elogsvc.exe

C:\WINDOWS\system32\svchost.exe

C:\WINDOWS\System32\svchost.exe

C:\Programfiler\Norman\Npm\Bin\Zanda.exe

C:\Programfiler\Norman\npm\bin\nvoy.exe

C:\WINDOWS\system32\svchost.exe

C:\WINDOWS\system32\spoolsv.exe

C:\Programfiler\Fellesfiler\Apple\Mobile Device Support\bin\AppleMobileDeviceService.exe

C:\WINDOWS\system32\ASWLSVC.exe

C:\WINDOWS\ATK0100\HControl.exe

C:\WINDOWS\ATKKBService.exe

C:\WINDOWS\SOUNDMAN.EXE

C:\Programfiler\Norman\Npm\Bin\ZLH.EXE

C:\Programfiler\Bonjour\mDNSResponder.exe

C:\Programfiler\iTunes\iTunesHelper.exe

C:\Programfiler\Windows Live\Messenger\MsnMsgr.Exe

C:\WINDOWS\system32\ctfmon.exe

C:\Programfiler\DNA\btdna.exe

C:\Programfiler\Fellesfiler\LightScribe\LSSrvc.exe

C:\WINDOWS\system32\ASWL2K.exe

C:\WINDOWS\system32\svchost.exe

C:\WINDOWS\system32\wdfmgr.exe

C:\Programfiler\Norman\Npm\bin\NVCSCHED.EXE

C:\Programfiler\Norman\Npm\bin\NJEEVES.EXE

C:\Programfiler\iPod\bin\iPodService.exe

C:\Programfiler\Norman\nse\bin\NSESVC.EXE

C:\WINDOWS\System32\alg.exe

C:\WINDOWS\ATK0100\ATKOSD.exe

C:\Programfiler\Norman\Nvc\Bin\Nip.exe

C:\WINDOWS\explorer.exe

C:\WINDOWS\system32\wuauclt.exe

C:\Documents and Settings\Vidar\Skrivebord\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.ask.com/?o=101764&l=dis

R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://go.microsoft.com/fwlink/?LinkId=69157

R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://go.microsoft.com/fwlink/?LinkId=54896

R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = http://go.microsoft.com/fwlink/?LinkId=54896