Blir ikke kvitt spyware!

[Plecto]

Har et stort spyware problem. Bare helt plutselig så ble pcen min bomba med spyware! Pcen ble omtrent ubrukelig da det kom opp popups og programmer som "vil lastes ned" hele tia. Jeg søker konstant med adaware, spybot, antispyware, cwsshredder og Norton. Det kommer opp ca. 10-20 virusmeldinger hver dag, men de blir som regel slettet. Hver gang jeg har fått søkt med programmene så blir der rolig en liten stund og så er det pån igjen. Hvordan blir jeg kvitt dette?

[MindTooth]

Hvilke antivirus program bruker du?

 

Har du også prøvd å fjerne noen programmer ifra Legg til/eller fjern programvare?

[berxter]

1. kjør CrapCleaner for å fjerne søppel og rask som ellers forvirrer Pandaloggen.

2. kjør Panda Activescan Husk see report og save report

3. last ned og kjør HijackThis . Legg den i en egen folder, eks c:\HJT

 

4. Legg ut HJT-loggen og Pandaloggen for alles påsyn.

 

 

Bernt K

[Plecto]

Bruker Norton 2005 som antivirus program.

 

Hijack This log file:

 

Logfile of HijackThis v1.99.1

Scan saved at 11:05:49, on 16.02.2004

Platform: Windows XP (WinNT 5.01.2600)

MSIE: Internet Explorer v6.00 (6.00.2600.0000)

 

Running processes:

D:\WINDOWS\System32\smss.exe

D:\WINDOWS\system32\winlogon.exe

D:\WINDOWS\system32\services.exe

D:\WINDOWS\system32\lsass.exe

D:\WINDOWS\system32\svchost.exe

D:\WINDOWS\System32\svchost.exe

D:\Programfiler\Intel\Wireless\Bin\EvtEng.exe

D:\Programfiler\Intel\Wireless\Bin\S24EvMon.exe

D:\Programfiler\Intel\Wireless\Bin\WLKeeper.exe

D:\WINDOWS\system32\rundll32.exe

D:\Programfiler\Fellesfiler\Symantec Shared\ccSetMgr.exe

D:\Programfiler\Fellesfiler\Symantec Shared\SNDSrvc.exe

D:\Programfiler\Fellesfiler\Symantec Shared\SPBBC\SPBBCSvc.exe

D:\WINDOWS\Explorer.EXE

D:\Programfiler\Fellesfiler\Symantec Shared\ccEvtMgr.exe

D:\WINDOWS\system32\spoolsv.exe

D:\Programfiler\Intel\Wireless\Bin\ifrmewrk.exe

D:\WINDOWS\System32\hkcmd.exe

D:\WINDOWS\System32\igfxpers.exe

D:\Programfiler\D-Tools\daemon.exe

D:\Programfiler\Fellesfiler\Symantec Shared\ccApp.exe

D:\Programfiler\Java\jre1.5.0_06\bin\jusched.exe

D:\WINDOWS\System32\igfxsrvc.exe

C:\windows\winsysban8.exe

D:\Programfiler\Microsoft AntiSpyware\gcasServ.exe

D:\WINDOWS\System32\ctfmon.exe

D:\Programfiler\MSN Messenger\MsnMsgr.Exe

D:\Programfiler\Microsoft AntiSpyware\gcasDtServ.exe

D:\WINDOWS\VG9yLUFybmUgRm9yc21v\command.exe

D:\Programfiler\Fellesfiler\Microsoft Shared\VS7DEBUG\MDM.EXE

D:\Programfiler\Norton AntiVirus\navapsvc.exe

D:\Programfiler\Norton AntiVirus\IWP\NPFMntor.exe

D:\WINDOWS\System32\perfont.exe

D:\Programfiler\Intel\Wireless\Bin\RegSrvc.exe

D:\WINDOWS\System32\r_server.exe

D:\Programfiler\Alcohol Soft\Alcohol 120\StarWind\StarWindService.exe

D:\Programfiler\Fellesfiler\Symantec Shared\CCPD-LC\symlcsvc.exe

D:\WINDOWS\system32\cmd.exe

D:\WINDOWS\system32\ftp.exe

D:\Programfiler\BearShare\BearShare.exe

D:\Programfiler\BearShare\BearShare.exe

D:\Programfiler\Opera\Opera.exe

D:\Programfiler\CCleaner\ccleaner.exe

D:\Programfiler\Internet Explorer\iexplore.exe

D:\Documents and Settings\Torri\Skrivebord\hijackthis.exe

 

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.searchby.net/

R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = about:blank

R0 - HKLM\Software\Microsoft\Internet Explorer\Search,SearchAssistant = about:blank

R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Koblinger

O2 - BHO: ADOUsefulNet Object - {EFF1B7BE-A875-450E-AD69-E93457DCEE6A} - D:\WINDOWS\System32\vturq.dll

O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - D:\WINDOWS\System32\msdxm.ocx

O3 - Toolbar: Norton AntiVirus - {42CDD1BF-3FFB-4238-8AD1-7859DF00B1D6} - D:\Programfiler\Norton AntiVirus\NavShExt.dll

O4 - HKLM\..\Run: [intelWireless] D:\Programfiler\Intel\Wireless\Bin\ifrmewrk.exe /tf Intel PROSet/Wireless

O4 - HKLM\..\Run: [igfxtray] D:\WINDOWS\System32\igfxtray.exe

O4 - HKLM\..\Run: [igfxhkcmd] D:\WINDOWS\System32\hkcmd.exe

O4 - HKLM\..\Run: [igfxpers] D:\WINDOWS\System32\igfxpers.exe

O4 - HKLM\..\Run: [DAEMON Tools-1033] "D:\Programfiler\D-Tools\daemon.exe" -lang 1033

O4 - HKLM\..\Run: [ccApp] "D:\Programfiler\Fellesfiler\Symantec Shared\ccApp.exe"

O4 - HKLM\..\Run: [sSC_UserPrompt] D:\Programfiler\Fellesfiler\Symantec Shared\Security Center\UsrPrmpt.exe

O4 - HKLM\..\Run: [symantec NetDriver Monitor] D:\PROGRA~1\SYMNET~1\SNDMon.exe /Consumer

O4 - HKLM\..\Run: [sunJavaUpdateSched] D:\Programfiler\Java\jre1.5.0_06\bin\jusched.exe

O4 - HKLM\..\Run: [WinDLL (xvd32.dll)] rundll32.exe D:\WINDOWS\System32\xvd32.dll,start

O4 - HKLM\..\Run: [winsysupd] C:\windows\winsysupd8.exe

O4 - HKLM\..\Run: [winsysban] C:\windows\winsysban8.exe

O4 - HKLM\..\Run: [gcasServ] "D:\Programfiler\Microsoft AntiSpyware\gcasServ.exe"

O4 - HKCU\..\Run: [CTFMON.EXE] D:\WINDOWS\System32\ctfmon.exe

O4 - HKCU\..\Run: [MsnMsgr] "D:\Programfiler\MSN Messenger\MsnMsgr.Exe" /background

O4 - HKCU\..\Run: [ultimate Popup Killer] D:\Programfiler\Ultimate Popup Killer\Popupkiller.exe

O4 - Global Startup: Adobe Reader Speed Launch.lnk = D:\Programfiler\Adobe\Acrobat 7.0\Reader\reader_sl.exe

O8 - Extra context menu item: Allow popups - file://D:\Programfiler\Ultimate Popup Killer\Popupkiller.html

O8 - Extra context menu item: E&xport to Microsoft Excel - res://D:\PROGRA~1\MICROS~2\OFFICE11\EXCEL.EXE/3000

O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - D:\Programfiler\Java\jre1.5.0_06\bin\ssv.dll

O9 - Extra 'Tools' menuitem: Sun Java Console - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - D:\Programfiler\Java\jre1.5.0_06\bin\ssv.dll

O9 - Extra button: Research - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - D:\PROGRA~1\MICROS~2\OFFICE11\REFIEBAR.DLL

O16 - DPF: {17492023-C23A-453E-A040-C7C580BBF700} (Windows Genuine Advantage Validation Tool) - http://go.microsoft.com/fwlink/?linkid=48835

O16 - DPF: {9A9307A0-7DA4-4DAF-B042-5009F29E09E1} (ActiveScan Installer Class) - http://acs.pandasoftware.com/activescan/as5free/asinst.cab

O16 - DPF: {B8BE5E93-A60C-4D26-A2DC-220313175592} (ZoneIntro Class) - http://cdn2.zone.msn.com/binFramework/v10/...ro.cab34246.cab

O16 - DPF: {E5D419D6-A846-4514-9FAD-97E826C84822} (HeartbeatCtl Class) - http://fdl.msn.com/zone/datafiles/heartbeat.cab

O18 - Protocol: msnim - {828030A1-22C1-4009-854F-8E305202313F} - "D:\PROGRA~1\MSNMES~1\msgrapp.dll" (file missing)

O20 - Winlogon Notify: Installer - D:\WINDOWS\system32\h82o0if3e82.dll

O20 - Winlogon Notify: vturq - D:\WINDOWS\System32\vturq.dll

O23 - Service: Symantec Event Manager (ccEvtMgr) - Symantec Corporation - D:\Programfiler\Fellesfiler\Symantec Shared\ccEvtMgr.exe

O23 - Service: Symantec Password Validation (ccPwdSvc) - Symantec Corporation - D:\Programfiler\Fellesfiler\Symantec Shared\ccPwdSvc.exe

O23 - Service: Symantec Settings Manager (ccSetMgr) - Symantec Corporation - D:\Programfiler\Fellesfiler\Symantec Shared\ccSetMgr.exe

O23 - Service: Command Service (cmdService) - Unknown owner - D:\WINDOWS\VG9yLUFybmUgRm9yc21v\command.exe

O23 - Service: EvtEng - Intel Corporation - D:\Programfiler\Intel\Wireless\Bin\EvtEng.exe

O23 - Service: Norton AntiVirus Auto-Protect Service (navapsvc) - Symantec Corporation - D:\Programfiler\Norton AntiVirus\navapsvc.exe

O23 - Service: Norton AntiVirus Firewall Monitor Service (NPFMntor) - Symantec Corporation - D:\Programfiler\Norton AntiVirus\IWP\NPFMntor.exe

O23 - Service: Performance True Type Font (PerfFont) - Unknown owner - D:\WINDOWS\System32\perfont.exe

O23 - Service: RegSrvc - Intel Corporation - D:\Programfiler\Intel\Wireless\Bin\RegSrvc.exe

O23 - Service: Remote Administrator Service (r_server) - Unknown owner - D:\WINDOWS\System32\r_server.exe" /service (file missing)

O23 - Service: Spectrum24 Event Monitor (S24EventMonitor) - Intel Corporation - D:\Programfiler\Intel\Wireless\Bin\S24EvMon.exe

O23 - Service: SAVScan - Symantec Corporation - D:\Programfiler\Norton AntiVirus\SAVScan.exe

O23 - Service: ScriptBlocking Service (SBService) - Symantec Corporation - D:\PROGRA~1\FELLES~1\SYMANT~1\SCRIPT~1\SBServ.exe

O23 - Service: Symantec Network Drivers Service (SNDSrvc) - Symantec Corporation - D:\Programfiler\Fellesfiler\Symantec Shared\SNDSrvc.exe

O23 - Service: Symantec SPBBCSvc (SPBBCSvc) - Symantec Corporation - D:\Programfiler\Fellesfiler\Symantec Shared\SPBBC\SPBBCSvc.exe

O23 - Service: StarWind iSCSI Service (StarWindService) - Rocket Division Software - D:\Programfiler\Alcohol Soft\Alcohol 120\StarWind\StarWindService.exe

O23 - Service: Symantec Core LC - Symantec Corporation - D:\Programfiler\Fellesfiler\Symantec Shared\CCPD-LC\symlcsvc.exe

O23 - Service: WLANKEEPER - Intel® Corporation - D:\Programfiler\Intel\Wireless\Bin\WLKeeper.exe

 

 

Pandaloggen fikk jeg ikke til. Fikk problemer med noe "debugging" greier og til slutt kom det "svarer ikke".

[berxter]

Du har en Vundo/Virtumondo/Winfixer infeksjon. Det fins et verktøy, VirtuMundoBegone som tar den, og jeg ville normalt ha linket direkte dit, men det synes som siden er nede for øyeblikket.

Alt 1:

gå til http://www.aumha.net/ ->Parasite fighting recipes-> Vundo.

 

Alt 2:

gå til http://www.bleepingcomputer.com/forums/topic18610.html

 

Begge nevner Virtumondobegone, men den første gir også en alternativ fix.

I tillegg er det noe mer snusk, du kan begynne med Trojanscan .

Ettersom Panda fikk problemer kan du prøve enten den Javabaserte Housecall eller den ActiveXbaserte samme.

Gjør dette, prøv panda igjen (ikke at den nødvendigvis er den beste, men den gir en så lettlest og grei logg for videre arbeid), ny HJT-logg og helst en flott Pandalogg. Det kan hende det blir litt lettere med Vundo borte.

 

Bernt K

Endret 16. februar 2006 av berxter

[Plecto]

Neidu... må nesten gi tapt her . Prøvde den vundo fjerninga, men begge disse programmene jeg lasta ned fortalte at jeg ikke hadde det på maskinen (jeg gjorde alt som stod på den forum siden). Den troyscannen fant en del dritt og jeg gikk inn å sletta det jeg fant og kunne se (var kanskje ikke så lurt), men det retta ikke akkurat på problemene. Ingen av housecallene fungerte. Den første fikk jeg satt igang, men "siden kan ikke vises" kom en liten stund etter og jeg prøvde flere ganger. Den andre fikk jeg en feilmelding først før den etterhvert hang seg.

 

Hvis jeg formaterer pcen; hvordan kan jeg forsikre meg om at ikke dette kommer igjen? Og hvorfor fikk jeg dette? Har aldri skjedd før...

[berxter]

Å dærsken sier du det. Vel, hadde det litt travelt med å komme hjem ved første post, så her kommer den utvidede versjonen jeg håpet vi kunne ta en snarvei gjennom med Panda: Vi kan ikke gi oss så lett.....

Du kjørte VundoFix (Alternativ nedlasting Her)

med første fil:

D:\WINDOWS\System32\vturq.dll

 

og andre fil

D:\WINDOWS\System32\qrutv.*

 

og så få HJT til å fikse

O2 - BHO: ADOUsefulNet Object - {EFF1B7BE-A875-450E-AD69-E93457DCEE6A} - D:\WINDOWS\System32\vturq.dll

og

O20 - Winlogon Notify: vturq - D:\WINDOWS\System32\vturq.dll

 

kjør også Aboutbuster

 

Få HJT til å fikse

 

C:\windows\winsysban8.exe

D:\WINDOWS\VG9yLUFybmUgRm9yc21v\command.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.searchby.net/

R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = about:blank

R0 - HKLM\Software\Microsoft\Internet Explorer\Search,SearchAssistant = about:blank

R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Koblinger

O4 - HKLM\..\Run: [WinDLL (xvd32.dll)] rundll32.exe D:\WINDOWS\System32\xvd32.dll,start

O4 - HKLM\..\Run: [winsysupd] C:\windows\winsysupd8.exe

O4 - HKLM\..\Run: [winsysban] C:\windows\winsysban8.exe

O20 - Winlogon Notify: Installer - D:\WINDOWS\system32\h82o0if3e82.dll

O23 - Service: Performance True Type Font (PerfFont) - Unknown owner - D:\WINDOWS\System32\perfont.exe

O23 - Service: Command Service (cmdService) - Unknown owner - D:\WINDOWS\VG9yLUFybmUgRm9yc21v\command.exe

 

Last ned Ewido , installer og oppdater, IKKE KJØR SCAN i normal mode.

Reboot i safe mode (f8 under boot)

og kjør Ewido.

Dette burde lette på trykket; post en ny HJT-logg etterpå.

 

Bernt K