Ukjent men grusomt problem

[Simen Rasmussen]

Etter minimal bruk av butikkformatert maskin kom det opp meldinger om at det er feil på maskinen, osv. og at man må laste ned en regfix. eller computer doctor. og mange slike program.

 

Men tenkte slik at om jeg lastet ned et alternativt program, ville jeg bli kvitt problemene som programmet beskriver. Men det er tydeligvis et program som bare spammer reklame, og lar seg ikke slette av Norton Antivirus, Ad Aware eller CCleaner.

 

Har også innstallert et av programmene som det blir spammet for, og det er bare et meningsløst program som "scanner" og finner problem. For å løse dem må man selvsagt registrere seg, og betale.

 

Hva er det for noe? Og hva skal jeg gjøre.

[araziel]

testa spybot? en annen sak er at du alltid bør kjøre spybot/ad-aware i safemode hvis du vet du har noe muffens, hvis ikke kan de ofte ikke fjerne filene fordi de er i bruk.

[Simen Rasmussen]

Har kjørt Norton Antivirus i sikkerhetsmodus, måtte ta en grundigere sjekk etter malen som Telenor sendte. De stengte av e-post tilgangen i samme tidsrommet.

[berxter]

Legg ut en HijackThislogg til oss, så kanskje vi finner ut hva som er galt.

 

Bernt K

[Simen Rasmussen]

Ok, men det er ikke denne maskinen, så den kommer ikke omgående. Men takk skal du ha.

[zjulik]

Har også innstallert et av programmene som det blir spammet for

Det må du aldri gjøre.

[berxter]

Kan vel kanskje begynne å finne fram åtgjerder for å fjerne Errorsafe med en gang? Og denne gangen blir den verre.. Nuvel, kan jo være noe annet svineri.

 

Bernt K

[zjulik]

En fyr du aldri har sett før kommer bort til deg på gaten og sier, "du er syk, ta denne medisinen", og så gir han deg en pilleeske. Du sier nei, men han fortsetter å følge etter deg. Hva gjør du? "Jeg får vel prøve den da"...?

 

- Ikke vondt ment til deg Simen - bare et generelt hjertesukk, folkens. Når noe popper opp og sier at du er i trøbbel - ikke ta imot.

[Simen Rasmussen]

Jaja, men ikke min maskin Den fungerer fint, og det er ikke installasjonen av programmet som gjør problemet. Men det som "reklamerer" for feilene, og viser frem alle mulige adresser. Som pop ups, signert tjenesten messenger.

 

Hvordan slette slike?

[zjulik]

I XP SP2 er den deaktivert. Jeg vil sterkt anbefale å legge inn SP2 hvis du har XP. (Ingen validering kreves:))

Har du ikke det, er det Kontrollpanel / Administrative verktøy / Tjenester - stans og deaktiver (->egenskaper) Messenger.

[Simen Rasmussen]

Aaa, no trur eg at eg forstår, faktisk heile samanhengen! Takk skal du ha zjulik. "Ulurt". SP2..

[PerB]

... og det er ikke installasjonen av programmet som gjør problemet. Men det som "reklamerer" for feilene, og viser frem alle mulige adresser. Som pop ups, signert tjenesten messenger.

6232730[/snapback]

Det er installasjonen som er årsaken til problemet.

[Simen Rasmussen]

Nei problemet var der før installasjonen, det som har lagt seg og spammer fram vinduer, tar internettkapasitet, og sender ut e-poster. Det var der før installasjonen av programmet, det blir bare som en bisetning det du. Ville få fram hva den/det reklamerer for.

[berxter]

Eh; har jeg forstått deg rett? (ettersom det ikke er din maskin; istedet for "du" kan du sette inn valgfritt 3. person entall)

 

1: Du fikk noen popups osv

2. Du installerte et alternativt (ikke navngitt) program, men dette viste seg å være bæsj, og du blir det ikke kvitt, stadig nye popups, bare verre

3. Du "gir etter" for presset fra en av popupsene og installerer et fra en popup; dette er også halstarrig og vondt å fjerne

4. Det blir verre og verre

 

Du har altså selv installert 2 stk program som ikke bare har vært nytteløse, men også bidratt til å øke problemene... Slett ikke for å mobbe; neida, ingenlunde..

 

 

Ser fram til den HijackThisloggen, jeg..

 

Bernt K

Endret 4. juni 2006 av berxter

[Simen Rasmussen]

Morroklump

 

Det er ikke popups, men interne meldinger, liknende feilmeldinger.

Det ble ikke verre, det vedvarte. Og det programmet viser bare feil, men for å fjerne dem krevst det registrering og store summer for å bruke det.

 

Blir ikke verre, det er der like mye. E-Post og internett er bare oppe for så lenge, blir sikkert stengt igjen. Akkurat det svir mest, ikke det at det opptar datamaskinen og gjør den ineffektiv til det meste.

[zjulik]

Hvor lenge skal vi spikke fliser før du poster Hijackthisloggen og lar oss fikse situasjonen for deg?

[Simen Rasmussen]

Hehe, er ikke min datamaskin, og jeg prøver å leve et selvstendig liv Men skal prøve idag, det er faktisk en belastning problemet

[Murty_]

Sliter med samme problem. Har noe dritt i trayen som gir med irriterende pop-ups veldig ofte, disse tabber meg også ut av spill. Frustrerende.

 

Har prøvd Ad-aware, men får det ikke vekk. Her er min HijackThis loggfile:

 

Logfile of HijackThis v1.99.1

Scan saved at 13:40:25, on 07.06.2006

Platform: Windows XP SP2 (WinNT 5.01.2600)

MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)

 

Running processes:

C:\WINDOWS\System32\smss.exe

C:\WINDOWS\system32\winlogon.exe

C:\WINDOWS\system32\services.exe

C:\WINDOWS\system32\lsass.exe

C:\WINDOWS\system32\Ati2evxx.exe

C:\WINDOWS\system32\svchost.exe

C:\WINDOWS\System32\svchost.exe

C:\WINDOWS\system32\spoolsv.exe

C:\WINDOWS\system32\UAService7.exe

C:\WINDOWS\system32\Ati2evxx.exe

C:\WINDOWS\Explorer.EXE

C:\WINDOWS\system32\atmclk.exe

C:\WINDOWS\system32\dcomcfg.exe

C:\Programfiler\ATI Technologies\ATI Control Panel\atiptaxx.exe

C:\Programfiler\ABIT\ABIT uGuru\uGuru.exe

C:\Programfiler\CyberLink DVD Solution\PowerDVD\PDVDServ.exe

C:\WINDOWS\system32\rundll32.exe

C:\Programfiler\Java\jre1.5.0_06\bin\jusched.exe

C:\Programfiler\iTunes\iTunesHelper.exe

C:\Programfiler\Fellesfiler\PCSuite\DataLayer\DataLayer.exe

C:\Programfiler\Nokia\Nokia PC Suite 6\LaunchApplication.exe

C:\Programfiler\MSN Messenger\MsnMsgr.Exe

C:\Programfiler\Messenger\msmsgs.exe

C:\Programfiler\Nokia\Nokia PC Suite 6\PcSync2.exe

C:\Programfiler\NETGEAR\WG311v3\wlancfg5.exe

C:\Programfiler\Fraps\fraps.exe

C:\Programfiler\mIRC\mirc.exe

C:\Programfiler\Xfire\Xfire.exe

C:\Programfiler\ABIT\ABIT uGuru\uGuru_Event_Receiver.exe

C:\PROGRA~1\FELLES~1\PCSuite\Services\SERVIC~1.EXE

C:\Programfiler\iPod\bin\iPodService.exe

C:\PROGRA~1\FELLES~1\Nokia\MPAPI\MPAPI3s.exe

C:\WINDOWS\system32\WgaTray.exe

C:\WINDOWS\System32\svchost.exe

C:\Programfiler\Mozilla Firefox\firefox.exe

C:\WINDOWS\System32\svchost.exe

C:\Programfiler\WinRAR\WinRAR.exe

C:\DOCUME~1\Murty\LOKALE~1\Temp\Rar$EX00.968\HijackThis.exe

 

R1 - HKLM\Software\Microsoft\Internet Explorer\Main,SearchURL = prosearching.com

R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page_bak = prosearching.com

O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Programfiler\Adobe\Acrobat 6.0\Reader\ActiveX\AcroIEHelper.dll

O2 - BHO: Nothing - {6ab7158b-4bff-4160-ad7d-4d622df548cf} - C:\WINDOWS\system32\hp100.tmp

O2 - BHO: SSVHelper Class - {761497BB-D6F0-462C-B6EB-D4DAF1D92D43} - C:\Programfiler\Java\jre1.5.0_06\bin\ssv.dll

O2 - BHO: Nothing - {f79fd28e-36ee-4989-aa61-9dd8e30a82fa} - C:\WINDOWS\system32\hp100.tmp

O4 - HKLM\..\Run: [ATIPTA] C:\Programfiler\ATI Technologies\ATI Control Panel\atiptaxx.exe

O4 - HKLM\..\Run: [ABIT uGuru] C:\Programfiler\ABIT\ABIT uGuru\uGuru.exe

O4 - HKLM\..\Run: [RemoteControl] "C:\Programfiler\CyberLink DVD Solution\PowerDVD\PDVDServ.exe"

O4 - HKLM\..\Run: [bluetoothAuthenticationAgent] rundll32.exe bthprops.cpl,,BluetoothAuthenticationAgent

O4 - HKLM\..\Run: [sunJavaUpdateSched] C:\Programfiler\Java\jre1.5.0_06\bin\jusched.exe

O4 - HKLM\..\Run: [iTunesHelper] "C:\Programfiler\iTunes\iTunesHelper.exe"

O4 - HKLM\..\Run: [stormCodec_Helper] "C:\Programfiler\Ringz Studio\Storm Codec\StormSet.exe" /S /opti

O4 - HKLM\..\Run: [DataLayer] C:\Programfiler\Fellesfiler\PCSuite\DataLayer\DataLayer.exe

O4 - HKLM\..\Run: [PCSuiteTrayApplication] C:\Programfiler\Nokia\Nokia PC Suite 6\LaunchApplication.exe -onlytray

O4 - HKLM\..\Run: [DAEMON Tools-1033] "C:\Programfiler\D-Tools\daemon.exe" -lang 1033

O4 - HKLM\..\Run: [fd99132e.exe] C:\WINDOWS\system32\fd99132e.exe

O4 - HKCU\..\Run: [MsnMsgr] "C:\Programfiler\MSN Messenger\MsnMsgr.Exe" /background

O4 - HKCU\..\Run: [Power2GoExpress] C:\Programfiler\Java\jre1.5.0_02\bin\jusched.exe

O4 - HKCU\..\Run: [MSMSGS] "C:\Programfiler\Messenger\msmsgs.exe" /background

O4 - HKCU\..\Run: [PcSync] C:\Programfiler\Nokia\Nokia PC Suite 6\PcSync2.exe /NoDialog

O4 - HKCU\..\Run: [Fraps] C:\PROGRAMFILER\FRAPS\FRAPS.EXE

O4 - Startup: Fraps.lnk = C:\Programfiler\Fraps\fraps.exe

O4 - Startup: mIRC.lnk = C:\Programfiler\mIRC\mirc.exe

O4 - Startup: Xfire.lnk = C:\Programfiler\Xfire\Xfire.exe

O4 - Global Startup: NETGEAR WG311v3 Wireless Assistant.lnk = ?

O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programfiler\Java\jre1.5.0_06\bin\ssv.dll

O9 - Extra 'Tools' menuitem: Sun Java Console - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programfiler\Java\jre1.5.0_06\bin\ssv.dll

O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programfiler\Messenger\msmsgs.exe

O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programfiler\Messenger\msmsgs.exe

O16 - DPF: {74CD40EA-EF77-4BAD-808A-B5982DA73F20} - http://yax-download.yazzle.net/YazzleActiveX.cab?refid=1123

O18 - Protocol: msnim - {828030A1-22C1-4009-854F-8E305202313F} - "C:\PROGRA~1\MSNMES~1\msgrapp.dll" (file missing)

O20 - Winlogon Notify: WgaLogon - C:\WINDOWS\SYSTEM32\WgaLogon.dll

O20 - Winlogon Notify: winwil32 - C:\WINDOWS\SYSTEM32\winwil32.dll

O23 - Service: Ati HotKey Poller - ATI Technologies Inc. - C:\WINDOWS\system32\Ati2evxx.exe

O23 - Service: ATI Smart - Unknown owner - C:\WINDOWS\system32\ati2sgag.exe

O23 - Service: InstallDriver Table Manager (IDriverT) - Macrovision Corporation - C:\Programfiler\Fellesfiler\InstallShield\Driver\11\Intel 32\IDriverT.exe

O23 - Service: iPodService - Apple Computer, Inc. - C:\Programfiler\iPod\bin\iPodService.exe

O23 - Service: SecuROM User Access Service (V7) (UserAccess7) - Sony DADC Austria AG. - C:\WINDOWS\system32\UAService7.exe

[berxter]

Jepp, her var det litt av hvert.

Gjør dette i rekkefølge:

- Smitfraudfix, den kan du kjøre i safe mode og velge alternativ 2 straks

- cwshredder denne også i safe mode

- ccleaner

 

Søren, der så jeg winwil32.

Det betyr at du må laste ned Ewido, sett den opp slik oppdatere den og så kjøre den også i safe mode.

Du kan gjerne bruke samme boot til safe mode til SmitFraudFix, cwshredder og Ewido.

Restart på vanlig måte, en runde med ccleaner.

Kjør så HJT, do a scan only, og hak av disse (om de fortsatt er der; ingen krise om de er vekk) og ta "fix checked"

 

R1 - HKLM\Software\Microsoft\Internet Explorer\Main,SearchURL = prosearching.com

R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page_bak = prosearching.com

O4 - HKLM\..\Run: [fd99132e.exe] C:\WINDOWS\system32\fd99132e.exe

O16 - DPF: {74CD40EA-EF77-4BAD-808A-B5982DA73F20} - http://yax-download.yazzle.net/YazzleActiveX.cab?refid=1123

O20 - Winlogon Notify: winwil32 - C:\WINDOWS\SYSTEM32\winwil32.dll (den siste skal nå teoretisk ha (file missing))

 

Nok en runde ccleaner

 

- og en avsluttende (forhåpentligvis) runde med Panda Activescan, husk see report og save report.

 

Legg så ut Pandaloggen sammen med en fersk HJTlogg.

 

Bernt K

Endret 7. juni 2006 av berxter

[Murty_]

Kjørte nettopp Smitfraudfix i safemode, den fikk vekk skiten, noe jeg takker for

Anbefaler du fortsatt at jeg burde kjøre gjennom alle de der?