Trojaner Win32 Swizzor

[anonymanonym12345]

Jeg blir ikke kvitt denne trojaneren.. Kommer stadig tilbake.. Noen som har erfaringer?

[Znoken]

Har ikke noen erfaring med akkurat denne trojaneren da men sjekk denne siden og se om den kan være til noen hjelp....

[NorvegianDad]

Jeg sliter litt med samma skiten,jeg har søkt og slettet den flere ganger.Men den forsvinner aldri helt.Den har en skjult fil som heter LAP.COM som ligger i logen din fant jeg ut på F-secure sine sider,jeg slettet dem uten noe særlig resultat.

 

Hver gang den prøver på noe ugagn så tar norton den,men den får den ikke vekk fra maskinen

 

Visst du finner ut av en en effektiv løsning så vennligst legg den ut her eller send meg en mld.så skal jeg gjøre det samme.

 

har forøvrig prøvd følgende programmer:DrWeb,F-secure(free online-scan),a-squared anti-malware,Norman,lagt ut hijack logg,superantispyware.

alle uten om norman(som er kjøpt) finner uhumsketer og sier de sletter de,men så tar det en stund,alt fra 2-6 timer til en dag så kommer den tilbake.

 

da for jeg mld om at norman finner filen "Swizzor.Gen" og jeg sletter den hver gang!

[norbat]

BacardiKillah: Hent catchme og kjør programmet. Den vil lage en logg som du legger ut (i en egen post).

Endret 23. desember 2006 av norbat

[NorvegianDad]

Tok sin tid før jeg svarte ja,har hatt litt juleferie...

prøvde linken din,fungerte ikke...

prøvde og å finne den på AntiRootkit.com,men linken der og var dårlig.

 

Prøver nå med spyware doctor,den har funnet 71 infenksjoner hittil...vet ikke om jeg skal le eller grine..

 

deretter var det en liste med programmer inlkudert rating på dem så jeg kan prøve...

[norbat]

Foreslår at du poster en HJT-logg. Forandre hijackthis.exe til noe annet, eks. test.exe før du kjører programmet.

[NorvegianDad]

Logfile of HijackThis v1.99.1

Scan saved at 20:31:25, on 27.12.2006

Platform: Windows XP SP2 (WinNT 5.01.2600)

MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)

 

Running processes:

C:\WINDOWS\System32\smss.exe

C:\WINDOWS\system32\csrss.exe

C:\WINDOWS\system32\winlogon.exe

C:\WINDOWS\system32\services.exe

C:\WINDOWS\system32\lsass.exe

C:\WINDOWS\system32\svchost.exe

C:\WINDOWS\system32\svchost.exe

C:\WINDOWS\System32\svchost.exe

C:\WINDOWS\system32\svchost.exe

C:\WINDOWS\system32\svchost.exe

C:\WINDOWS\system32\spoolsv.exe

C:\WINDOWS\Explorer.EXE

C:\WINDOWS\system32\CTsvcCDA.EXE

C:\Norman\Npf\BIN\NPFSVICE.EXE

C:\Norman\Bin\Zanda.exe

C:\WINDOWS\system32\nvsvc32.exe

C:\WINDOWS\system32\wdfmgr.exe

C:\Norman\Nvc\BIN\NVCSCHED.EXE

C:\Norman\bin\NJEEVES.EXE

C:\Norman\Nvc\BIN\nipsvc.exe

C:\Norman\Nvc\bin\nvcoas.exe

C:\Programfiler\Microsoft IntelliPoint\point32.exe

C:\Programfiler\Java\jre1.5.0_09\bin\jusched.exe

C:\WINDOWS\RTHDCPL.EXE

C:\Programfiler\Multimedia Card Reader\shwicon2k.exe

C:\Programfiler\ANI\ANIWZCS2 Service\WZCSLDR2.exe

C:\WINDOWS\System32\alg.exe

C:\Programfiler\Creative\Sound Blaster X-Fi\DVDAudio\CTDVDDET.EXE

C:\Programfiler\Creative\Shared Files\Module Loader\DLLML.exe

C:\Programfiler\Creative\Shared Files\Module Loader\DLLML.exe

C:\Programfiler\Creative\Sound Blaster X-Fi\Volume Panel\VolPanel.exe

C:\WINDOWS\system32\RUNDLL32.EXE

C:\Norman\bin\ZLH.EXE

C:\WINDOWS\CTHELPER.EXE

C:\WINDOWS\system32\CTXFIHLP.EXE

C:\WINDOWS\system32\ctfmon.exe

C:\Programfiler\Messenger\msmsgs.exe

C:\WINDOWS\SYSTEM32\CTXFISPI.EXE

C:\Programfiler\MSN Messenger\MsnMsgr.Exe

C:\Programfiler\Creative\MediaSource\Detector\CTDetect.exe

c:\progra~1\intern~1\iexplore.exe

C:\Norman\Nvc\BIN\NIP.EXE

C:\Norman\Nvc\bin\cclaw.exe

C:\Norman\Npf\BIN\npfmsg2.exe

C:\Programfiler\Creative\ShareDLL\CADI\NotiMan.exe

C:\WINDOWS\system32\svchost.exe

C:\Programfiler\Internet Explorer\iexplore.exe

C:\WINDOWS\system32\ntvdm.exe

C:\Programfiler\Spyware Doctor\sdhelp.exe

C:\Programfiler\Internet Explorer\iexplore.exe

C:\Spill\hijack\test.exe.exe

 

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.nettavisen.no/

R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Koblinger

O2 - BHO: Adobe PDF Reader Link Helper - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Programfiler\Adobe\Acrobat 7.0\ActiveX\AcroIEHelper.dll

O2 - BHO: BitComet ClickCapture - {39F7E362-828A-4B5A-BCAF-5B79BFDFEA60} - C:\Spill\BitComet\tools\BitCometBHO.dll

O2 - BHO: PCTools Site Guard - {5C8B2A36-3DB1-42A4-A3CB-D426709BBFEB} - C:\PROGRA~1\SPYWAR~1\tools\iesdsg.dll

O2 - BHO: SSVHelper Class - {761497BB-D6F0-462C-B6EB-D4DAF1D92D43} - C:\Programfiler\Java\jre1.5.0_09\bin\ssv.dll

O2 - BHO: Windows Live Sign-in Helper - {9030D464-4C02-4ABF-8ECC-5164760863C6} - C:\Programfiler\Fellesfiler\Microsoft Shared\Windows Live\WindowsLiveLogin.dll

O2 - BHO: Google Toolbar Helper - {AA58ED58-01DD-4d91-8333-CF10577473F7} - c:\programfiler\google\googletoolbar3.dll

O2 - BHO: PCTools Browser Monitor - {B56A7D7D-6927-48C8-A975-17DF180C71AC} - C:\PROGRA~1\SPYWAR~1\tools\iesdpb.dll

O3 - Toolbar: &Google - {2318C2B1-4965-11d4-9B18-009027A5CD4F} - c:\programfiler\google\googletoolbar3.dll

O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\system32\NvCpl.dll,NvStartup

O4 - HKLM\..\Run: [nwiz] nwiz.exe /install

O4 - HKLM\..\Run: [updReg] C:\WINDOWS\UpdReg.EXE

O4 - HKLM\..\Run: [NeroFilterCheck] C:\WINDOWS\system32\NeroCheck.exe

O4 - HKLM\..\Run: [intelliPoint] "C:\Programfiler\Microsoft IntelliPoint\point32.exe"

O4 - HKLM\..\Run: [sunJavaUpdateSched] "C:\Programfiler\Java\jre1.5.0_09\bin\jusched.exe"

O4 - HKLM\..\Run: [RTHDCPL] RTHDCPL.EXE

O4 - HKLM\..\Run: [Alcmtr] ALCMTR.EXE

O4 - HKLM\..\Run: [sunkist2k] C:\Programfiler\Multimedia Card Reader\shwicon2k.exe

O4 - HKLM\..\Run: [amd_dc_opt] "C:\Programfiler\AMD\amd_dc_opt\amd_dc_opt.exe"

O4 - HKLM\..\Run: [ANIWZCS2Service] C:\Programfiler\ANI\ANIWZCS2 Service\WZCSLDR2.exe

O4 - HKLM\..\Run: [QuickTime Task] "C:\Programfiler\QuickTime\qttask.exe" -atboottime

O4 - HKLM\..\Run: [CTDVDDET] "C:\Programfiler\Creative\Sound Blaster X-Fi\DVDAudio\CTDVDDET.EXE"

O4 - HKLM\..\Run: [RCSystem] "C:\Programfiler\Creative\Shared Files\Module Loader\DLLML.exe" RCSystem * -Startup

O4 - HKLM\..\Run: [AudioDrvEmulator] "C:\Programfiler\Creative\Shared Files\Module Loader\DLLML.exe" -1 AudioDrvEmulator "C:\Programfiler\Creative\Shared Files\Module Loader\Audio Emulator\AudDrvEm.dll"

O4 - HKLM\..\Run: [VolPanel] "C:\Programfiler\Creative\Sound Blaster X-Fi\Volume Panel\VolPanel.exe" /r

O4 - HKLM\..\Run: [NvMediaCenter] RUNDLL32.EXE C:\WINDOWS\system32\NvMcTray.dll,NvTaskbarInit

O4 - HKLM\..\Run: [Norman ZANDA] C:\Norman\bin\ZLH.EXE /LOAD /SPLASH

O4 - HKLM\..\Run: [CTHelper] CTHELPER.EXE

O4 - HKLM\..\Run: [CTxfiHlp] CTXFIHLP.EXE

O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\ctfmon.exe

O4 - HKCU\..\Run: [MSMSGS] "C:\Programfiler\Messenger\msmsgs.exe" /background

O4 - HKCU\..\Run: [MsnMsgr] "C:\Programfiler\MSN Messenger\MsnMsgr.Exe" /background

O4 - HKCU\..\Run: [Creative Detector] C:\Programfiler\Creative\MediaSource\Detector\CTDetect.exe /R

O4 - HKCU\..\Run: [NameWait] C:\DOCUME~1\NILSFR~1\PROGRA~1\PLUSFL~1\DvdComp.exe

O4 - HKCU\..\Run: [sUPERAntiSpyware] C:\Programfiler\SUPERAntiSpyware\SUPERAntiSpyware.exe

O4 - Global Startup: Hurtigstart for Adobe Reader.lnk = C:\Programfiler\Adobe\Acrobat 7.0\Reader\reader_sl.exe

O4 - Global Startup: Microsoft Office.lnk = C:\Programfiler\Microsoft Office\Office10\OSA.EXE

O8 - Extra context menu item: Download all links using BitComet - res://C:\Spill\BitComet\BitComet.exe/AddAllLink.htm

O8 - Extra context menu item: Download all videos using BitComet - res://C:\Spill\BitComet\BitComet.exe/AddVideo.htm

O8 - Extra context menu item: Download link using &BitComet - res://C:\Spill\BitComet\BitComet.exe/AddLink.htm

O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programfiler\Java\jre1.5.0_09\bin\ssv.dll

O9 - Extra 'Tools' menuitem: Sun Java Console - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programfiler\Java\jre1.5.0_09\bin\ssv.dll

O9 - Extra button: Spyware Doctor - {2D663D1A-8670-49D9-A1A5-4C56B4E14E84} - C:\PROGRA~1\SPYWAR~1\tools\iesdpb.dll

O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programfiler\Messenger\msmsgs.exe

O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programfiler\Messenger\msmsgs.exe

O16 - DPF: {6414512B-B978-451D-A0D8-FCFDF33E833C} (WUWebControl Class) - http://update.microsoft.com/windowsupdate/...b?1137417613093

O16 - DPF: {9D190AE6-C81E-4039-8061-978EBAD10073} (F-Secure Online Scanner 3.0) - http://support.f-secure.com/ols/fscax.cab

O16 - DPF: {D27CDB6E-AE6D-11CF-96B8-444553540000} (Shockwave Flash Object) - https://fpdownload.macromedia.com/pub/shock...ash/swflash.cab

O18 - Protocol: livecall - {828030A1-22C1-4009-854F-8E305202313F} - C:\PROGRA~1\MSNMES~1\MSGRAP~1.DLL

O18 - Protocol: msnim - {828030A1-22C1-4009-854F-8E305202313F} - C:\PROGRA~1\MSNMES~1\MSGRAP~1.DLL

O20 - Winlogon Notify: !SASWinLogon - C:\Programfiler\SUPERAntiSpyware\SASWINLO.dll

O23 - Service: ANIWZCSd Service (ANIWZCSdService) - Alpha Networks Inc. - C:\Programfiler\ANI\ANIWZCS2 Service\ANIWZCSdS.exe

O23 - Service: Creative Service for CDROM Access - Creative Technology Ltd - C:\WINDOWS\system32\CTsvcCDA.EXE

O23 - Service: InstallDriver Table Manager (IDriverT) - Macrovision Corporation - C:\Programfiler\Fellesfiler\InstallShield\Driver\11\Intel 32\IDriverT.exe

O23 - Service: Norman API-hooking helper (NipSvc) - Unknown owner - C:\Norman\Nvc\BIN\nipsvc.exe

O23 - Service: Norman NJeeves - Unknown owner - C:\Norman\bin\NJEEVES.EXE

O23 - Service: Norman Type-R - Unknown owner - C:\Norman\Npf\BIN\NPFSVICE.EXE

O23 - Service: Norman ZANDA - Unknown owner - C:\Norman\Bin\Zanda.exe

O23 - Service: Norman Virus Control on-access component (nvcoas) - Norman ASA - C:\Norman\Nvc\bin\nvcoas.exe

O23 - Service: Norman Virus Control Scheduler (NVCScheduler) - Norman Data Defense Systems - C:\Norman\Nvc\BIN\NVCSCHED.EXE

O23 - Service: NVIDIA Display Driver Service (NVSvc) - NVIDIA Corporation - C:\WINDOWS\system32\nvsvc32.exe

O23 - Service: PC Tools Spyware Doctor (SDhelper) - PC Tools Research Pty Ltd - C:\Programfiler\Spyware Doctor\sdhelp.exe

[NorvegianDad]

Spyware doctor var kanon bra da,men etter den fant alt tullet,måtte jeg plutselig registrere og kjøpe programmet for å fjerne farligheter.

sporet opp alle filer jeg kunne og slettet dem manuelt.

får se om det hjelper

[norbat]

Spyware Doctor (SD) er et glimrende program - og sikker verdt lisenspengene.

 

HJT-loggen ser fin ut. Hvor finner SD filene?

 

En runde med Superantispyware med påfølgende logg (preferences->statistics/logs) kunne har vært interessant.

[NorvegianDad]

Spyware Doctor (SD) er et glimrende program - og sikker verdt lisenspengene.

 

HJT-loggen ser fin ut. Hvor finner SD filene?

 

En runde med Superantispyware med påfølgende logg (preferences->statistics/logs) kunne har vært interessant.

7588527[/snapback]

 

Sikkert verdt hver krone,tror nok jeg bytter til det eller f-secure når jeg er ferdig med norman-abonnementet som fulgte med Pc'en...

 

husker ikke hvor den fant filene søker med SD og SAS nå,så kan jeg legge ut fine logger og hvor den fant filene.

 

EDIT:SAS fant bare cookies,ble bare slettet...søker enda med SD,tar litt lenger tid

 

Der var SD ferdig han fant følgende:

 

-netpumper i registeret:HKCR/interface/a8bof390-e6bf-4027-a4d4- 1e436f5e27b/tybelib##

og maaaange lignende

 

-Lop.com i cookies og registeret:

cookies:

C:\documents&settings/nilsfredrikbø[email protected][1].txt

c:\documents&settings/nilsfredrikbø[email protected][1].txt

registeret:

HKCU/Software/microsoft/internetexplorer/new windows/allow##dns.look-up.com

HKCU/Software/microsoft/internetexplorer/new windows/allow##wwwdns.look-up.com

 

ellers fant den noen known bad sites,litt advertising og noen tracking cookies

Endret 27. desember 2006 av BacardiKillah