Virus etter formatering. Trojaner? (Bilder)

[Dr.Ittsekk]

Alt tyder på at jeg har fått virus etter min nyinstallering av XP, men jeg er usikker på hvordan det har hendt og hva jeg skal gjøre for å bli kvitt problemet.

 

Formatering og reinstallering startet for 3 timer siden.

 

Dette er hvordan jeg har formatert og installert div programvare:

- Installering av Windows XP pro, versjon 2002, SP 1

Jeg installerte windows på en partisjon C: på 100GB og lot resten (H: 150GB) være en ny partisjon. Disse ble begge formatert.

I tillegg til dette har jeg to disker (D: 200GB og E: 250GB) som er fylt med film og musikk.

 

- Installerte drivere til hovedkort fra CD som fulgte med.

 

- Installerte avast! antivirus

 

- Installerte Spybot – S & D 1.4

 

- Installerte nyeste Nvidia drivere til mitt 7800GT

 

- Installerte Office XP, Abobe Reader, DU Super Controller, MediaMonkey 2.5, Opera 9.0, VLC media player og WinRAR.

 

Når jeg restartet maskinen etter installasjonen av avast! Fikk jeg melding om at en trojaner hadde kommet seg inn. (Forsøk på å fikse problemet var ikke vellykket.) Dette fikk jeg naturlig nok ikke tatt bilde av etter som dette skjer før innlogging på XP.

 

Etter innlogging får jeg denne feilmeldingen fra Avast!

[Dr.Ittsekk]

Etter dette har jeg installert ErrorSafe som utgir seg for å være et antivirus program fra MS.

Av det programmet fikk jeg denne beskjeden.

Endret 10. august 2006 av Dr.Ittsekk

[Dr.Ittsekk]

Jeg har også et program som kjører (Projekt1) som jeg ikke klare å stoppe.

 

 

Som dere ser trenger jeg hjelp..

Alle svar taes imot med takk.

 

 

Edit: Beklager 3 innlegg, det skyldes at man kun kan legge til ett bilde i hver post.

Endret 10. august 2006 av Dr.Ittsekk

[Jarmo]

ErrorSafe er en malware/spyware og har ingenting med MS å gjøre.

Faktisk en av de største drittene på nettet nå for tiden...

[Dr.Ittsekk]

ErrorSafe er en malware/spyware og har ingenting med MS å gjøre.

Faktisk en av de største drittene på nettet nå for tiden...

6651743[/snapback]

Jeg tenkte meg det, men når gode råd er dyre osv. . . .

Uansett fikk jeg beskjed om virus før jeg installerte det.

 

Kan dette viruset (eller hva nå det er) ha ligget på en eller begge av mine ”gamle” disker?

 

Edit: Glemte å si at Opera ikke lar seg starte.

Endret 10. august 2006 av Dr.Ittsekk

[berxter]

Errorsafe skulle la seg ta med SpyBot kjørt i sikker modus. Ewido det samme.

Dersom det ikke går, ettersom den bruker Vundo/winfixerprotokoller, skulle VundoFix greie brasene. Den er litt mer "trixy", så prøv Spybot og Ewido i safe mode først. Du trenger å ha en HijackThislogg for hånden.

http://www.bleepingcomputer.com/forums/topic18610.html

 

findthewebsiteyouneed skulle Spybot hjelpe mot.

 

Du sier at Errorsafe gir melding om findthewebsiteyouneed; jeg er ikke helt sikker på om det er Errorsafe eller Win Antivirus Pro. Samme kan det være, det er uansett svineri og bæsj. Se i kontrollpanelet om du finner Win Antivirus, og fjern den...

 

Og så standardrådene, burde hjelpe; særlig Panda gir en kjempemessig logg for videre arbeid.

 

Cwshredder

Spysweeper trialversjon

ccleaner et par ganger

Panda Activescan (Acitve-Xversjonen, ikke Europeversjonen)

 

Disse hjelper Google deg med

 

Etterpå en HijackThislogg, kanskje? Du finner'n hos f eks www.merijn.org. Ser gjerne en Pandalogg samtidig.

 

Bernt K

Endret 11. august 2006 av berxter

[arg]

Kan forøvrig ikke se at du har instalert branmur før du tok i bruk nettet. Dette er et must. Etter install av sp1, bør du oppdatere til sp2 før du begynner å bruke nettet aktivt. Det finnes mange ulumskheter der ute som skanner etter ubeskyttede maskiner som de kan legge seg inn på.

[Dr.Ittsekk]

Jeg tok en runde med Panda, VundoFix og Brute Force Uninstaller i går kveld noe jeg tror fikset problemet. Uansett var jeg tydeligvis ikke helt fornøyd med resultatet så jeg formaterte den disken på nytt og la inn XP pro SP2 2004 Eng. Nå virker tilsynelatende alt som det skal.

 

Kan det hende at jeg har noe gruff på D: eller E:? Disse har jeg ikke formatert og de inneholder for det meste film og musikk.

Jeg har ikke fått noen meldinger om virus på noen av de.

 

Det som irriterer meg er hvordan viruset kommer seg inn. Etter innstallering av XP og hovedkortdrivere er det første jeg gjør å åpne Internet Explorer som sender meg til http://www.msn.com/ som er default. Deretter g[r jeg til www.hw.no vidre til http://www.hardware.no/guider/programvare/...r_windows/26850 der laster jeg ned avast! og under den etterfølgende restarten av maskinen får jeg virusalarmen som er vist over.

[berxter]

Det er vel sannsynlig at du får angrepet tvert. Gjennomsnittlig levetid for en ubeskyttet maskin er vel ca 13 minutter før infeksjonen er et faktum. Det går bedre med SP2, ettersom brannmuren der er på ved default. Er du sikker på at problemet ikke har dukket opp igjen? Det kan jo ha gjemt seg dropperfiler på andre partisjoner. Hvis du ikke vil legge ut en HJTlogg her kan du ta ut en og kjøre den gjennom en autoanalysator, f eks www.hijackthis.de, bare du ikke tar alt verktøyet sier for god fisk. Den er kjent for å gi noen få falske positiver.

 

Bernt K

[Dr.Ittsekk]

Nå får jeg dette resultatet med hijackthis:

Skjult tekst: (Marker innholdet i feltet for å se teksten):

Logfile of HijackThis v1.99.1

Scan saved at 1:27:04 AM, on 8/12/2006

Platform: Windows XP SP2 (WinNT 5.01.2600)

MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)

 

Running processes:

C:\WINDOWS\System32\smss.exe

C:\WINDOWS\system32\winlogon.exe

C:\WINDOWS\system32\services.exe

C:\WINDOWS\system32\lsass.exe

C:\WINDOWS\system32\svchost.exe

C:\WINDOWS\System32\svchost.exe

C:\WINDOWS\system32\spoolsv.exe

C:\WINDOWS\Explorer.EXE

C:\PROGRA~1\ALWILS~1\Avast4\ashDisp.exe

C:\WINDOWS\SOUNDMAN.EXE

C:\WINDOWS\system32\RUNDLL32.EXE

C:\Program Files\Alwil Software\Avast4\aswUpdSv.exe

C:\Program Files\Alwil Software\Avast4\ashServ.exe

C:\WINDOWS\system32\nvsvc32.exe

C:\Program Files\Alwil Software\Avast4\ashMaiSv.exe

C:\Program Files\Alwil Software\Avast4\ashWebSv.exe

C:\WINDOWS\system32\wpabaln.exe

C:\Program Files\Internet Explorer\iexplore.exe

C:\Program Files\Internet Explorer\iexplore.exe

C:\Program Files\Internet Explorer\iexplore.exe

C:\DOCUME~1\X\LOCALS~1\Temp\Temporary Directory 1 for hijackthis[1].zip\HijackThis.exe

 

O4 - HKLM\..\Run: [iMJPMIG8.1] "C:\WINDOWS\IME\imjp8_1\IMJPMIG.EXE" /Spoil /RemAdvDef /Migration32

O4 - HKLM\..\Run: [PHIME2002ASync] C:\WINDOWS\system32\IME\TINTLGNT\TINTSETP.EXE /SYNC

O4 - HKLM\..\Run: [PHIME2002A] C:\WINDOWS\system32\IME\TINTLGNT\TINTSETP.EXE /IMEName

O4 - HKLM\..\Run: [avast!] C:\PROGRA~1\ALWILS~1\Avast4\ashDisp.exe

O4 - HKLM\..\Run: [soundMan] SOUNDMAN.EXE

O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\system32\NvCpl.dll,NvStartup

O4 - HKLM\..\Run: [nwiz] nwiz.exe /install

O4 - HKLM\..\Run: [NvMediaCenter] RUNDLL32.EXE C:\WINDOWS\system32\NvMcTray.dll,NvTaskbarInit

O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe

O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe

O23 - Service: avast! iAVS4 Control Service (aswUpdSv) - Unknown owner - C:\Program Files\Alwil Software\Avast4\aswUpdSv.exe

O23 - Service: avast! Antivirus - Unknown owner - C:\Program Files\Alwil Software\Avast4\ashServ.exe

O23 - Service: avast! Mail Scanner - Unknown owner - C:\Program Files\Alwil Software\Avast4\ashMaiSv.exe" /service (file missing)

O23 - Service: avast! Web Scanner - Unknown owner - C:\Program Files\Alwil Software\Avast4\ashWebSv.exe" /service (file missing)

O23 - Service: NVIDIA Display Driver Service (NVSvc) - NVIDIA Corporation - C:\WINDOWS\system32\nvsvc32.exe

Jeg er litt usikker på C:\WINDOWS\system32\RUNDLL32.EXE

Før den sitste formateringen ville ikke RUNDLL32.EXE avsluttes av seg selv ved restart av maskinen. Det kan hende at den da lå på en annen plass en det den nå gjør. Nå synes jeg alt ser ok ut.

 

www.hijackthis.de forteller meg at alt er ok. Stemmer dette?

 

PS.: Takk for hjelpen

[berxter]

Stemmer det. Rundll32.exe er på rett sted og er søkke normal.

 

Bernt K