sp.exe har lagt seg på C: Virus? (+ mere feil)

moray · 28. september 2004

Er dette et virus? Får ikke fjernet den heller. Eller det vil si. Den kommer tilbake. Har hatt problemer med at maskinen, eller rettere sagt IE som oppfører seg merkelig. Kommer opp noen rammer på i tilfeldig rekkefølge på venstre eller høyre side blant annet. Har også hatt popups. (bla. NTsearch.com)

Ntsearch finner igjen ord på internettsidene jeg er inne på og linker til sin egen side. Merkelig.

Edit: Topic + mere feil

Endret 25. oktober 2004 av morcan

Syar-2003 · 28. september 2004

http://www.neuber.com/taskmanager/process/sp.exe.html

Syar-2003 · 28. september 2004

En link til for info :

http://www.faqfarm.com/Computer/Virus/44269

Håper du blir kvitt'n .

moray · 28. september 2004

Æsj, det var det jeg fryktet. Virus. Har prøvd å reinnstallere IE, slette fila fra Taskmanager og fra rota, men den kommer igjen. Den siste gangen fant jeg den ikke i tskmanager. lenger, men tror det bare er et tidsspørsmål før den er tilbake.

Syar-2003 · 28. september 2004

Har du prøvd med cwshredder og spybot 1.3 også .

Det er jo en "cool web search" infeksjon .

Har du sjekket skikkelig i "run" seksjonene i registry og startupfolderen i windows startmeny.

HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run

..\RunOnce

..\RunEx

Og evt.

HKCU\Software\Microsoft\Windows\CurrentVersion\Run

Tr1llobite · 28. september 2004

Cool Web Search kjenner jo alle som har installert windows før, og som ikke har hatt hastverk med å skaffe antivirus og antispy :!:

moray · 28. september 2004

Den spybotversjonen jeg kjørte var 1.2 (Gammel?)

Kjørte akkurat cwshredder, og programmet rettet opp tre verdier i registret. Håper det var feilen. Takk for hjelp så langt i hvert fall.

moray · 29. september 2004

Hmm. viruset er visst ikke borte. MHTMLRedir.expliot, sier Norton.

moray · 9. oktober 2004

Og nå ligger sp.exe på rota igjen..

Noen flere tips/erfaringer?

Syar-2003 · 9. oktober 2004

Har du hatt en system restore eller noe ?

"Anyway"

Har falt for denne.

http://www.windowsecurity.com/trojanscan

Du må godta install av en activeX kontroll for å kjøre den.Dvs å bruke IE.

Og oppdater til Sp2 ..hvis du ikke allerede har gjort det.

Installer spybot 1.3 og immunize systemet ditt .

En registry watcher er også lurt å installere .

Startup monitor overvåker run entryene i registry og vil således

hindre ufrivillig installasjon av slikt.

Screenshot av en spyware/trojan install

http://www.mlin.net/StartupMonitor.shtml

moray · 25. oktober 2004

Takk så langt, men har fremdeles ikke fått has på problemet.. (har prøvd det overstående)

Ikke hatt system restore.

Har tatt et par screenshots:

Dette skjer når jeg kjører spybot 1.3, men de blir ikke borte når jeg kjører en test til, så er de der fremdeles selv om jeg velger "fix problem":

Dette er startbildet jeg får med IE:

Det kommer alltid opp et par popups..

Selv bruker jeg Opera, men det er andre som bruker maskinen også, så skulle gjerne hatt IE clean..

sp.exe er borte fra rota.

Syar-2003 · 25. oktober 2004

Søk etter sp.html over alle partisjoner / disker (og i hidden folders) .

Ser ut til at IE starter opp med den .

Dette er en av grunnene til at man angrer på å ha slått av system restore , ikke sant . Skulle ønske flere ser hvor glimrende det er å ha den .

Du kan prøve pest patrol . Hvis den ikke får tilgang til filene som skal slettes gjør den det ved "neste" reboot ,

før windows gui har startet opp helt .

Ta også først en titt her:

http://computercops.biz/modules.php?name=F...wtopic&p=179477

moray · 25. oktober 2004

Her er en logg fra Hijackthis: Kan det være noe som skal slettes her?

Logfile of HijackThis v1.98.2

Scan saved at 00:16:00, on 26.10.2004

Platform: Windows XP SP2 (WinNT 5.01.2600)

MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)

Running processes:

C:\WINDOWS\System32\smss.exe

C:\WINDOWS\system32\winlogon.exe

C:\WINDOWS\system32\services.exe

C:\WINDOWS\system32\lsass.exe

C:\WINDOWS\system32\svchost.exe

C:\WINDOWS\System32\svchost.exe

C:\WINDOWS\Explorer.EXE

C:\WINDOWS\system32\spoolsv.exe

C:\WINDOWS\system32\RUNDLL32.EXE

C:\PROGRA~1\ZONELA~1\ZONEAL~1\zlclient.exe

C:\Programfiler\Motherboard Monitor 5\MBM5.EXE

C:\Programfiler\CpuIdle\cpuidle.exe

C:\Programfiler\Winamp\Winampa.exe

C:\Programfiler\NVIDIA Corporation\NvMixer\NvMixerTray.exe

C:\Programfiler\iTunes\iTunesHelper.exe

C:\Programfiler\QuickTime\qttask.exe

C:\Programfiler\Fellesfiler\Symantec Shared\ccApp.exe

C:\Programfiler\CyberLink\PowerDVD\PDVDServ.exe

C:\WINDOWS\system32\ctfmon.exe

C:\Programfiler\Google\Google Desktop Search\GoogleDesktop.exe

C:\Programfiler\Odometer\Odometer.exe

C:\Programfiler\Silicon Image\SiISATARaid\SATARaid.exe

C:\Programfiler\Fellesfiler\Symantec Shared\ccEvtMgr.exe

C:\Programfiler\Norton AntiVirus\navapsvc.exe

C:\Programfiler\Norton AntiVirus\AdvTools\NPROTECT.EXE

C:\WINDOWS\System32\nvsvc32.exe

G:\Relax\relax.exe

C:\WINDOWS\System32\svchost.exe

C:\WINDOWS\system32\ZoneLabs\vsmon.exe

C:\Programfiler\Google\Google Desktop Search\GoogleDesktopIndex.exe

C:\Programfiler\Google\Google Desktop Search\GoogleDesktopCrawl.exe

C:\Programfiler\iPod\bin\iPodService.exe

C:\WINDOWS\system32\wscntfy.exe

C:\Programfiler\Opera7\Opera.exe

C:\Programfiler\WinRAR\WinRAR.exe

C:\DOCUME~1\m\LOKALE~1\Temp\Rar$EX00.531\HijackThis.exe

C:\Programfiler\Messenger\msmsgs.exe

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Bar = about:NavigationFailure

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = about:NavigationFailure

R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Bar = about:NavigationFailure

R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = about:NavigationFailure

R1 - HKCU\Software\Microsoft\Internet Explorer\Search,SearchAssistant = about:NavigationFailure

R0 - HKLM\Software\Microsoft\Internet Explorer\Search,SearchAssistant = about:NavigationFailure

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,HomeOldSP = about:blank

R1 - HKLM\Software\Microsoft\Internet Explorer\Main,HomeOldSP = about:blank

R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Koblinger

O2 - BHO: (no name) - {53707962-6F74-2D53-2644-206D7942484F} - C:\PROGRA~1\SPYBOT~1\SDHelper.dll

O2 - BHO: (no name) - {596010B6-3903-4FCA-8894-19499CCC6CB3} - C:\WINDOWS\system32\ldebl.dll

O2 - BHO: Google Desktop Search Capture - {7c1ce531-09e9-4fc5-9803-1c2956615786} - C:\Programfiler\Google\Google Desktop Search\GoogleDesktopIE.dll

O3 - Toolbar: Norton AntiVirus - {42CDD1BF-3FFB-4238-8AD1-7859DF00B1D6} - C:\Programfiler\Norton AntiVirus\NavShExt.dll

O3 - Toolbar: Easy-WebPrint - {327C2873-E90D-4c37-AA9D-10AC9BABA46C} - C:\Programfiler\Canon\Easy-WebPrint\Toolband.dll

O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\System32\NvCpl.dll,NvStartup

O4 - HKLM\..\Run: [nwiz] nwiz.exe /install

O4 - HKLM\..\Run: [NvMediaCenter] RUNDLL32.EXE C:\WINDOWS\System32\NvMcTray.dll,NvTaskbarInit

O4 - HKLM\..\Run: [Zone Labs Client] C:\PROGRA~1\ZONELA~1\ZONEAL~1\zlclient.exe

O4 - HKLM\..\Run: [MBM 5] "C:\Programfiler\Motherboard Monitor 5\MBM5.EXE"

O4 - HKLM\..\Run: [CpuIdle] C:\Programfiler\CpuIdle\cpuidle.exe

O4 - HKLM\..\Run: [WinampAgent] "C:\Programfiler\Winamp\Winampa.exe"

O4 - HKLM\..\Run: [NvMixerTray] C:\Programfiler\NVIDIA Corporation\NvMixer\NvMixerTray.exe

O4 - HKLM\..\Run: [nForce Tray Options] sstray.exe /r

O4 - HKLM\..\Run: [PSDrvCheck] "c:\programfiler\pinnacle\edition 5\program\PSDrvCheck.exe" -CheckReg

O4 - HKLM\..\Run: [iTunesHelper] C:\Programfiler\iTunes\iTunesHelper.exe

O4 - HKLM\..\Run: [QuickTime Task] "C:\Programfiler\QuickTime\qttask.exe" -atboottime

O4 - HKLM\..\Run: [ccApp] "C:\Programfiler\Fellesfiler\Symantec Shared\ccApp.exe"

O4 - HKLM\..\Run: [ccRegVfy] "C:\Programfiler\Fellesfiler\Symantec Shared\ccRegVfy.exe"

O4 - HKLM\..\Run: [Advanced Tools Check] C:\PROGRA~1\NORTON~1\AdvTools\ADVCHK.EXE

O4 - HKLM\..\Run: [NeroFilterCheck] C:\WINDOWS\system32\NeroCheck.exe

O4 - HKLM\..\Run: [PinnacleDriverCheck] C:\WINDOWS\System32\PSDrvCheck.exe -CheckReg

O4 - HKLM\..\Run: [RemoteControl] C:\Programfiler\CyberLink\PowerDVD\PDVDServ.exe

O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\ctfmon.exe

O4 - HKCU\..\Run: [NvMediaCenter] RUNDLL32.EXE C:\WINDOWS\System32\NVMCTRAY.DLL,NvTaskbarInit

O4 - HKCU\..\Run: [skype] "C:\Program Files\Skype\Phone\Skype.exe" /nosplash /minimized

O4 - HKCU\..\Run: [Google Desktop Search] "C:\Programfiler\Google\Google Desktop Search\GoogleDesktop.exe" /startup

O4 - Global Startup: Adobe Gamma Loader.lnk = C:\Programfiler\Fellesfiler\Adobe\Calibration\Adobe Gamma Loader.exe

O4 - Global Startup: Microsoft Office.lnk = C:\Programfiler\Microsoft Office\Office10\OSA.EXE

O4 - Global Startup: Odometer.lnk = C:\Programfiler\Odometer\Odometer.exe

O4 - Global Startup: SATARaid.lnk = ?

O8 - Extra context menu item: E&ksporter til Microsoft Excel - res://C:\PROGRA~1\MICROS~2\Office10\EXCEL.EXE/3000

O8 - Extra context menu item: Easy-WebPrint Add To Print List - res://C:\Programfiler\Canon\Easy-WebPrint\Resource.dll/RC_AddToList.html

O8 - Extra context menu item: Easy-WebPrint High Speed Print - res://C:\Programfiler\Canon\Easy-WebPrint\Resource.dll/RC_HSPrint.html

O8 - Extra context menu item: Easy-WebPrint Preview - res://C:\Programfiler\Canon\Easy-WebPrint\Resource.dll/RC_Preview.html

O8 - Extra context menu item: Easy-WebPrint Print - res://C:\Programfiler\Canon\Easy-WebPrint\Resource.dll/RC_Print.html

O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programfiler\Messenger\msmsgs.exe

O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programfiler\Messenger\msmsgs.exe

O10 - Unknown file in Winsock LSP: c:\programfiler\google\google desktop search\googledesktopnetwork1.dll

O18 - Filter: text/html - {9BD278BD-1632-4B05-8D6B-FEA1ACB4DF67} - C:\WINDOWS\system32\ldebl.dll

O18 - Filter: text/plain - {9BD278BD-1632-4B05-8D6B-FEA1ACB4DF67} - C:\WINDOWS\system32\ldebl.dll

Edit: Lurer spesielt på de R1 som viser about:blank

Endret 25. oktober 2004 av morcan

Syar-2003 · 25. oktober 2004

Lag en backup med hijack this først.

Deretter bør du fjerne disse: