errorsafefreeinstall.exe problemer.. doh!

[Alf91]

Hey!

Jeg har problemer med å slette programmet/spywaren "errorsafefreeinstall.exe".

Jeg fant den når jeg kjørte Hijackthis, men Hijackthis klarte ikke å slette dette problemet. Jeg gikk inn og slettet mappene hvor "errorsafefreeinstall.exe" lå, men nå står det at den fortsatt finnes, uansett om jeg har slettet mappen dens. Den finnes altså i en mappe som ikke finnes.

 

HJELP!

[Mojo Pin]

Jeg regner med at du har sjekka i oppgavebehanling om programmet kjører ?

[Alf91]

ja, jeg har sjekket oppgavebehandlingen, men den kjører ikke

[meanbean]

Start pcen i sikker modus.

 

Trykk F8 under oppstart. velg sikkermodus uten nettverk

 

kjør hijackthis og Ad-aware og virusscan

[Alf91]

Har gjort det også...

det funket ikke, det var derfor jeg postet denne meldingen, men takk for tipset

[Alf91]

Altså..

Jeg har ikke løst problemet ennå så bare skriv mulige løsninger =D

[berxter]

Hei, Errorsafe er en Vundo/Virtumondo/Winfixervariant. Du trenger

- http://www.bleepingcomputer.com/forums/topic18610.html (bruk begge og følg oppskrifta, de skader intet)

- Ewido. Installer og oppdater; ikke kjør i normal modus. Sett den opp slik.

- En oppdatert Spybot. Vent med denne også.

- ccleaner

 

Restart i safe mode (f8 under oppstart) og kjør Ewido og Spybot.

KJør ccleaner, dersom du har flere brukere på maskina kjør for alle.

Restart, ta ut en HijackThislogg og legg den ut for offentlig beskuelse.

Dersom du ser selv at du fortsatt ikke er kvitt djevelskapen kjør en Panda Activescan, den gir en flott logg å arbeide videre med (husk see report og save report).

 

Bernt K

 

Denne burde forøvrig ha vært i kategori Sikkerhet.....

Endret 31. mai 2006 av berxter

[Alf91]

Her har vi loggen:

 

 

Logfile of HijackThis v1.99.1

Scan saved at 13:02:47, on 31.05.2006

Platform: Windows XP SP2 (WinNT 5.01.2600)

MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)

 

Running processes:

C:\WINDOWS\System32\smss.exe

C:\WINDOWS\system32\winlogon.exe

C:\WINDOWS\system32\services.exe

C:\WINDOWS\system32\lsass.exe

C:\WINDOWS\system32\svchost.exe

C:\Programfiler\Windows Defender\MsMpEng.exe

C:\WINDOWS\System32\svchost.exe

C:\WINDOWS\System32\S24EvMon.exe

C:\WINDOWS\system32\spoolsv.exe

C:\WINDOWS\system32\ZCfgSvc.exe

C:\PROGRA~1\TRENDM~1\INTERN~1\PcCtlCom.exe

C:\WINDOWS\System32\svchost.exe

C:\PROGRA~1\TRENDM~1\INTERN~1\Tmntsrv.exe

C:\PROGRA~1\TRENDM~1\INTERN~1\tmproxy.exe

C:\WINDOWS\Explorer.EXE

C:\WINDOWS\system32\dcomcfg.exe

C:\Programfiler\Trend Micro\Internet Security 14\pccguide.exe

C:\WINDOWS\SOUNDMAN.EXE

C:\PROGRA~1\LAUNCH~1\CPLBCL53.EXE

C:\WINDOWS\AGRSMMSG.exe

C:\WINDOWS\System32\igfxtray.exe

C:\WINDOWS\System32\hkcmd.exe

C:\Programfiler\Java\jre1.5.0_06\bin\jusched.exe

C:\Programfiler\Windows Defender\MSASCui.exe

C:\WINDOWS\system32\ctfmon.exe

C:\WINDOWS\system32\wuauclt.exe

D:\AV\hijackthis\HijackThis.exe

 

O2 - BHO: (no name) - {53707962-6F74-2D53-2644-206D7942484F} - C:\Programfiler\Spybot - Search & Destroy\SDHelper.dll

O2 - BHO: SSVHelper Class - {761497BB-D6F0-462C-B6EB-D4DAF1D92D43} - C:\Programfiler\Java\jre1.5.0_06\bin\ssv.dll

O2 - BHO: Nothing - {f79fd28e-36ee-4989-aa61-9dd8e30a82fa} - C:\WINDOWS\system32\hp100.tmp

O4 - HKLM\..\Run: [pccguide.exe] "C:\Programfiler\Trend Micro\Internet Security 14\pccguide.exe"

O4 - HKLM\..\Run: [soundMan] SOUNDMAN.EXE

O4 - HKLM\..\Run: [LManager] C:\PROGRA~1\LAUNCH~1\CPLBCL53.EXE

O4 - HKLM\..\Run: [AGRSMMSG] AGRSMMSG.exe

O4 - HKLM\..\Run: [igfxTray] C:\WINDOWS\System32\igfxtray.exe

O4 - HKLM\..\Run: [HotKeysCmds] C:\WINDOWS\System32\hkcmd.exe

O4 - HKLM\..\Run: [sunJavaUpdateSched] C:\Programfiler\Java\jre1.5.0_06\bin\jusched.exe

O4 - HKLM\..\Run: [NI.UERSH_0001_N68M0602] "C:\Documents and Settings\Anders\Lokale innstillinger\Temporary Internet Files\Content.IE5\KX8DA7WL\ErrorSafeFreeInstall_no[1].exe" -nag

O4 - HKLM\..\Run: [Windows Defender] "C:\Programfiler\Windows Defender\MSASCui.exe" -hide

O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\ctfmon.exe

O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programfiler\Java\jre1.5.0_06\bin\ssv.dll

O9 - Extra 'Tools' menuitem: Sun Java Console - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programfiler\Java\jre1.5.0_06\bin\ssv.dll

O16 - DPF: {17492023-C23A-453E-A040-C7C580BBF700} (Windows Genuine Advantage Validation Tool) - http://go.microsoft.com/fwlink/?linkid=39204

O16 - DPF: {6414512B-B978-451D-A0D8-FCFDF33E833C} (WUWebControl Class) - http://update.microsoft.com/windowsupdate/...b?1136804197844

O20 - Winlogon Notify: igfxcui - C:\WINDOWS\SYSTEM32\igfxsrvc.dll

O20 - Winlogon Notify: Sebring - C:\WINDOWS\System32\LgNotify.dll

O20 - Winlogon Notify: WgaLogon - C:\WINDOWS\

O23 - Service: InstallDriver Table Manager (IDriverT) - Macrovision Corporation - C:\Programfiler\Fellesfiler\InstallShield\Driver\11\Intel 32\IDriverT.exe

O23 - Service: Kortveksling (IntelRoam) - Intel Corporation - C:\Programfiler\Intel\Switching\User\RoamSvc.exe

O23 - Service: Intel NCS NetService (NetSvc) - Intel® Corporation - C:\Programfiler\Intel\NCS\Sync\NetSvc.exe

O23 - Service: Trend Micro Central Control Component (PcCtlCom) - Trend Micro Incorporated. - C:\PROGRA~1\TRENDM~1\INTERN~1\PcCtlCom.exe

O23 - Service: Spectrum24 Event Monitor (S24EventMonitor) - Intel Corporation - C:\WINDOWS\System32\S24EvMon.exe

O23 - Service: Trend Micro Real-time Service (Tmntsrv) - Trend Micro Incorporated. - C:\PROGRA~1\TRENDM~1\INTERN~1\Tmntsrv.exe

O23 - Service: Trend Micro Personal Firewall (TmPfw) - Trend Micro Inc. - C:\PROGRA~1\TRENDM~1\INTERN~1\TmPfw.exe

O23 - Service: Trend Micro Proxy Service (tmproxy) - Trend Micro Inc. - C:\PROGRA~1\TRENDM~1\INTERN~1\tmproxy.exe

 

 

[zjulik]

Du får hente kaffe eller brus og sette igang med jobblisten berxter postet.

[TuxMaster]

det skal gå ann å fjerne den fra regedit.

[Alf91]

det skal gå ann å fjerne den fra regedit.

6214399[/snapback]

 

 

Hvor i regedit tror du den ligger etter du har sett på loggen??

[berxter]

Oops! Her var det ikke bare Errorsafe! Du har også en SmitFraudvariant, vel, egentlig en Zlob-JW-trojaner, men den bygger på SF/SpyAxe og fjernes med SFF.

 

O2 - BHO: Nothing - {f79fd28e-36ee-4989-aa61-9dd8e30a82fa} - C:\WINDOWS\system32\hp100.tmp

og denne

C:\WINDOWS\system32\dcomcfg.exe

 

I tillegg til det jeg nevnte tidligere må du til med SmitfraudFix.

 

Jeg tviler sterkt på at du greide å fixe hele Errorsafeproblemet ved å søke med regedit. ( Her er en postrekke fra en som hadde samme problemet, og den forsvant ikke så lett...) og SpyAxe ligger fortsatt der og gliser med svartråtne tenner.

Kjør Smitfraudfix, og jeg ville ikke vært sikker på at alt tilhørende Errorsafe er vekk uten å ha kjørt ihvertfall Ewido og SpyBot i safe mode, og lagt ut en Activescanlogg.

 

Bernt K

Endret 31. mai 2006 av berxter

[Alf91]

FANT DEN!

 

jeg brukte regedit søkeegenskapen og fant den med en gang.. TAKK!

[TuxMaster]

FANT DEN!

 

jeg brukte regedit søkeegenskapen og fant den med en gang.. TAKK!

6214539[/snapback]

 

hehe skulle akkurat til å skrive at du kunne søke der men du fant det vist self

[berxter]

Se min kommentar over; det er mer...

 

Bernt K

[zjulik]

Dette er en spennende tråd. En kakerlakk er sett på badet. Pinsett er brukt for å drepe den ene som ble observert. Boksen med megaspray er fremdeles uåpnet. Er han nå fri for udyr?? Spennende.

[Alf91]

Dette er en spennende tråd. En kakerlakk er sett på badet. Pinsett er brukt for å drepe den ene som ble observert. Boksen med megaspray er fremdeles uåpnet. Er han nå fri for udyr?? Spennende.

6214897[/snapback]

 

håper det

[Alf91]

BTW...

Jeg brukte smitfraudfix også.. ba<re litt tidligere, men errorsafefreeinstall.exe gikk ikke bort av det programmet, så jeg gikk i regedit og slettet det, da var jeg ferdig med problemet og det var ikke tegn til spyware lenger

[zjulik]

Tar du sjansen på å vise oss en ny logg?

[berxter]

Jeg er mest spent på om vi får se noen Pandalogg. Jeg kaverer nesten for at det ligger igjen rester hist og pist. Ccleaner bør ha tømt Temporary InternetFiles, så, vel, vi får kanskje se. Dersom han hadde kjørt Errorsafe måtte vel storsprayen fram.

 

Alf91: Jeg går ut i fra at du kjørte SmitFraudFix etter at du tok ut HJTloggen, ja? Hvis du tok ut loggen etterpå er toalettet fortsatt ikke spylt....

 

Bernt K