Virus, internett explorer, cpu..

[ojsann]

Ok, her er greia. Ved oppstart av pcen startes det en IEXPLORE.EXE som kjører, den tar 99% av prossesorkraften. Slår jeg den av kommer den igjen etter x-antall sekunder. Det går ikke an å slå på internet explorer - da den aldri kommer opp.

Hva er galt?

Endret 17. juni 2005 av ojsann

[Moltrez]

Installer antivirus program og kjør en scan. Du kan også gjøre dette via internett. housecall f.eks.

Installer/Kjør antivirus i sikkerhetsmodus. (F8 under loading av Windows, velg Sikkerhetsmodus med nettverk, slik at du har i-net tilgang).

Installer og kjør også forskjellige Ad-ware programmer. Eksempel : Ad-Aware, Spybot Search & Destroy, SpySweeper, Microsoft AntiSpyware.

[ojsann]

Har kjørt Ad-aware, Spybot S&D og Spysweeper, men det dukker stadig opp en iexplore.exe som tar opp 99% av CPU. Thoughts?

[Alastor]

Prøv microsoft antispyware.

 

www.microsoft.com

[Jankee]

Flyttes fra PCen fungerer ikke til sikkerhets-kategorien

[Jubelsau]

Hva slags antivirus program bruker du?

Endret 17. juni 2005 av Røvenskiold

[ojsann]

Har nå prøvd alle nevnte spyware-programmer, uten hell. Bruker Trend, Pc-cillin.

[ojsann]

Kjørt følgende:

Ad-Aware

Spybot Search & Destroy

SpySweeper

Microsoft AntiSpyware

 

Fortsatt ikke bra.

Noen tips, hva som helst.

Får slik "runtime .. library error.. C++" feilmelding på IEXPLORE etterhvert.

[Jubelsau]

Har du kjørt antivirus i sikkermodus?

[zjulik]

Post en HijackThis-logg.

[Bytex]

tror heller du har et problem med programvare her. Iexplore.exe ER exe-fila til Internet Explorer. Det kan selvsagt hende at "viruset" har overskrevet iexplore.exe med sin egen fil, men stort sett har virus navn som ser ut som windows-prosesser men ikke er det. Sannsynligvis fordi mange ordentlige systemfiler er write protected og viruset ikke kan slå av den.

 

Skriver jeg Iexplore.exe i run... ja så popper internet explorer opp med nytt vindu.

Endret 19. juni 2005 av Bitex

[ojsann]

HijackThis-logg, kjenner jeg ikke til - hva er det?

[ojsann]

Her, det som altså skjer et at om jeg trykker på iexplore ikonet, evt prøver fra kjør, så kommer ikke nettleseren opp, men bare legger seg "bak" og bruker mye prosessorkraft.

 

Logfile of HijackThis v1.99.1
Scan saved at 17:05:22, on 21.06.2005
Platform: Windows 2000 SP2 (WinNT 5.00.2195)
MSIE: Internet Explorer v6.00 SP1 (6.00.2800.1106)

Running processes:
C:\WINNT\System32\smss.exe
C:\WINNT\system32\csrss.exe
C:\WINNT\system32\winlogon.exe
C:\WINNT\system32\services.exe
C:\WINNT\system32\lsass.exe
C:\WINNT\system32\svchost.exe
C:\WINNT\system32\spoolsv.exe
C:\WINNT\System32\svchost.exe
C:\WINNT\system32\regsvc.exe
C:\WINNT\system32\MSTask.exe
C:\Programfiler\Webroot\Spy Sweeper\WRSSSDK.exe
C:\Programfiler\Trend Micro\PC-cillin 2002\Tmntsrv.exe
C:\WINNT\System32\WBEM\WinMgmt.exe
C:\Programfiler\Trend Micro\PC-cillin 2002\PCCPFW.exe
C:\WINNT\Explorer.EXE
C:\WINNT\loadqm.exe
C:\Programfiler\MSN Apps\Updater\01.02.3000.1001\en-us\msnappau.exe
C:\Toro\programmer\quick\qttask.exe
C:\toro\Winamp\winampa.exe
C:\Programfiler\Trend Micro\PC-cillin 2002\pccguide.exe
C:\Programfiler\Trend Micro\PC-cillin 2002\PCCClient.exe
C:\Programfiler\Trend Micro\PC-cillin 2002\Pop3trap.exe
C:\Programfiler\Fellesfiler\ACD Systems\EN\DevDetect.exe
C:\Programfiler\Microsoft AntiSpyware\gcasServ.exe
C:\Programfiler\MSN Messenger\msnmsgr.exe
C:\Programfiler\Microsoft AntiSpyware\gcasDtServ.exe
C:\Programfiler\3COM Technology Corporation\3COM Wireless USB Utility\Wlan.exe
C:\Programfiler\Internet Explorer\iexplore.exe
C:\HJT\HijackThis.exe

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = about:blank
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://www.msn.no
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Bar = res://C:\DOCUME~1\ADMINI~1\LOKALE~1\Temp\se.dll/spage.html
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = about:blank
R1 - HKCU\Software\Microsoft\Internet Explorer\Search,SearchAssistant = about:blank
R0 - HKLM\Software\Microsoft\Internet Explorer\Search,SearchAssistant = about:blank
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Koblinger
O2 - BHO: (no name) - {53707962-6F74-2D53-2644-206D7942484F} - C:\Programfiler\Spybot - Search & Destroy\SDHelper.dll
O2 - BHO: CWebDirObj Object - {C003C49F-53E4-4A72-B7D6-0B2B9997392F} - C:\WINNT\webdir.dll
O2 - BHO: (no name) - {EA5D67AD-CD53-414A-9847-B91A2A103F12} - C:\WINNT\System32\dnhj.dll (file missing)
O3 - Toolbar: @msdxmLC.dll,-1@1044,&Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINNT\System32\msdxm.ocx
O3 - Toolbar: MSN Toolbar - {BDAD1DAD-C946-4A17-ADC1-64B5B4FF55D0} - C:\Programfiler\MSN Toolbar\01.01.1601.0\en-us\msntb.dll (file missing)
O4 - HKLM\..\Run: [Synchronization Manager] mobsync.exe /logon
O4 - HKLM\..\Run: [LoadQM] loadqm.exe
O4 - HKLM\..\Run: [msnappau] "C:\Programfiler\MSN Apps\Updater\01.02.3000.1001\en-us\msnappau.exe"
O4 - HKLM\..\Run: [QuickTime Task] "C:\Toro\programmer\quick\qttask.exe" -atboottime
O4 - HKLM\..\Run: [WinampAgent] C:\toro\Winamp\winampa.exe
O4 - HKLM\..\Run: [Oskxji] C:\Program Files\Leoog\Hhrrzp.exe
O4 - HKLM\..\Run: [pccguide.exe] "C:\Programfiler\Trend Micro\PC-cillin 2002\pccguide.exe"
O4 - HKLM\..\Run: [PCCClient.exe] "C:\Programfiler\Trend Micro\PC-cillin 2002\PCCClient.exe"
O4 - HKLM\..\Run: [Pop3trap.exe] "C:\Programfiler\Trend Micro\PC-cillin 2002\Pop3trap.exe"
O4 - HKLM\..\Run: [Device Detector] DevDetect.exe -autorun
O4 - HKLM\..\Run: [SpySweeper] "C:\Programfiler\Webroot\Spy Sweeper\SpySweeper.exe" /startintray
O4 - Global Startup: Adobe Gamma Loader.lnk = C:\Programfiler\Fellesfiler\Adobe\Calibration\Adobe Gamma Loader.exe
O9 - Extra button: Related - {c95fe080-8f5d-11d2-a20b-00aa003c157a} - C:\WINNT\web\related.htm
O9 - Extra 'Tools' menuitem: Show &Related Links - {c95fe080-8f5d-11d2-a20b-00aa003c157a} - C:\WINNT\web\related.htm
O16 - DPF: {14B87622-7E19-4EA8-93B3-97215F77A6BC} (MessengerStatsClient Class) - http://messenger.zone.msn.com/binary/MessengerStatsPAClient.cab31267.cab
O20 - Winlogon Notify: nwprovau - C:\WINNT\SYSTEM32\nwprovau.dll
O23 - Service: Adobe LM Service - Unknown owner - C:\Programfiler\Fellesfiler\Adobe Systems Shared\Service\Adobelmsvc.exe
O23 - Service: AutoComplete Service (Autocomplete) - Acesoft - C:\Programfiler\Acesoft\Tracks Eraser Pro\autocomp.exe
O23 - Service: Logical Disk Manager Administrative Service (dmadmin) - VERITAS Software Corp. - C:\WINNT\System32\dmadmin.exe
O23 - Service: PC-cillin PersonalFirewall (PCCPFW) - Trend Micro Inc. - C:\Programfiler\Trend Micro\PC-cillin 2002\PCCPFW.exe
O23 - Service: Webroot Spy Sweeper Engine (svcWRSSSDK) - Webroot Software, Inc. - C:\Programfiler\Webroot\Spy Sweeper\WRSSSDK.exe
O23 - Service: Trend NT Realtime Service (Tmntsrv) - Trend Micro Inc. - C:\Programfiler\Trend Micro\PC-cillin 2002\Tmntsrv.exe

[zjulik]

Heisan

Her er det litt å ta fatt i. Sett over kaffen og regn med noen omstarter.

 

Punkt 1

Start HijackThis igjen og slett følgende:

 

"Skader" på nettleseren:

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = about:blank

R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Bar = res://C:\DOCUME~1\ADMINI~1\LOKALE~1\Temp\se.dll/spage.html

R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = about:blank

R1 - HKCU\Software\Microsoft\Internet Explorer\Search,SearchAssistant = about:blank

R0 - HKLM\Software\Microsoft\Internet Explorer\Search,SearchAssistant = about:blank

 

Rest fra gammel toolbar:

O2 - BHO: CWebDirObj Object - {C003C49F-53E4-4A72-B7D6-0B2B9997392F} - C:\WINNT\webdir.dll

 

Manglende filer:

O2 - BHO: (no name) - {EA5D67AD-CD53-414A-9847-B91A2A103F12} - C:\WINNT\System32\dnhj.dll (file missing)

O3 - Toolbar: MSN Toolbar - {BDAD1DAD-C946-4A17-ADC1-64B5B4FF55D0} - C:\Programfiler\MSN Toolbar\01.01.1601.0\en-us\msntb.dll (file missing)

 

Mystisk fil (beholdes hvis du selv vet hva det er):

O4 - HKLM\..\Run: [Oskxji] C:\Program Files\Leoog\Hhrrzp.exe

 

Punkt 2

Slett C:\WINNT\webdir.dll

Slett C:\Program Files\Leoog (mappe)

 

Punkt 3

Last ned og kjør CrapCleaner (link i sigen min). Velg "Run Cleaner".

 

Punkt 4

Last ned og kjør CWShredder fra http://www.intermute.com/spysubtract/cwshr...r_download.html

Be programmet fikse hva det kan.

 

Punkt 5

Hvis du ikke har kjørt AdAware eller SpyBot på en stund, gjør du det nå.

 

Punkt 6

Hvis du i punkt 2 fikk feil ved forsøk på sletting av noe, ta en omstart inn i Safe Mode og slett der. Safe Mode kommer du inn i ved å trykke F8 noen ganger rett etter omstart. I Safe Mode gjentar du også punkt 1-5.

 

Når alt dette er gjort, tar du en vanlig omstart, og gjentar så hele prosessen fra og med punkt 1 for å se om noe av skiten er tilbake.

 

Deretter kan du poste en ny logg!

Endret 22. juni 2005 av zjulik

[ojsann]

Tusen takk for en såpass grundig guide. Kan nå melde om at maskinen er frisk igjen. Takker.