Trojan.Nebuler - Hvordan fjerne?

[Gissan]

Hei!

 

Jeg har fått en trojan på pcen min. Den heter Trojan.Nebuler og ligger i C:/Windows/Temp.

 

Fant dette på symatecs hjemmesider.

 

Trojanen står forklart som "Low Risk", og det står også en forklaring til hvordan jeg fjerner det.

 

Finner det andre metoder for å få fjernet trojanen enn den avanserte metoden som står forklart?

 

fant også denne linken, hvor trojanen er blitt fjernet, men fremgangmetoden er litt uklar

 

Vær så snill og hjelp meg!

 

EDIT: Fikset linker og slikt!

Endret 14. august 2006 av tissedam

[berxter]

Heh, husker den.., tråden ble litt lang og uoversiktlig. Vi prøver med følgende:

Last ned og kjør Ewido i safe mode slik:

http://rstones12.geekstogo.com/ewidosetup.htm

Plukk ned ccleaner (google) og kjør den (fjerner tempfiler, cookies og søppel generelt).

Ta en Panda Activescan, husk see report og save report.

Hent ned HijackThis fra f eks www.merijn.org, "do a scan and save a logfile".

 

Gjør dette i rekkefølgen som nevnt.

Legg ut loggene fra Panda og HijackThis.

Antar at Ewido og Panda vil ha fjernet det meste, men det kan ligge igjen noe grums som vi ser i loggene.

 

Bernt K

[Gissan]

Heh, husker den.., tråden ble litt lang og uoversiktlig. Vi prøver med følgende:

Last ned og kjør Ewido i safe mode slik:

http://rstones12.geekstogo.com/ewidosetup.htm

Plukk ned ccleaner (google) og kjør den (fjerner tempfiler, cookies og søppel generelt).

Ta en Panda Activescan, husk see report og save report.

Hent ned HijackThis fra f eks www.merijn.org, "do a scan and save a logfile".

 

Gjør dette i rekkefølgen som nevnt.

Legg ut loggene fra Panda og HijackThis.

Antar at Ewido og Panda vil ha fjernet det meste, men det kan ligge igjen noe grums som vi ser i loggene.

 

Bernt K

6670904[/snapback]

Prøver det jeg da.

 

Hvor lang tid tar det?

 

Hvordan starte i Safe-Mode?

 

EDIT: Fant det på linken du sendte!

Endret 14. august 2006 av tissedam

[berxter]

Pandascanen tar fort en times tid, og det samme gjør Ewidoen, men det er verd anstrengelsen.

 

Bernt K

[Gissan]

Da er scanningen startet, og jeg går ut en tur. Kommer tilbake og kjører ccleaner og Panda ActiveScan, samt HijackThis.

 

Loggene blir lagt ut om noen timer.

 

*Håpe på at dette hjelper*

 

EDIT: Da jeg startet maskinen i sikkerhetsmodus, var det lagt til en ny bruker, med navn "Administrator". Jeg tenkte det var ewidos verk, så jeg valgte den brukeren.

 

Burde jeg ha valgt min egen bruker, eller vil ewido finne trojanene som eventuellt ligger i C:\Documents and Settings\(min bruker) osv?

 

Bør jeg kjøre Scannen fra begge brukerne?

Endret 14. august 2006 av tissedam

[berxter]

Det er å anbefale at ccleaner blir kjørt for alle brukere, men Panda og Ewido gir katta i det så lenge de blir kjørt fra en konto som har administratorrettigheter.

 

Bernt K

Endret 14. august 2006 av berxter

[Gissan]

Skal ccleaner kjøres i sikkermodus også? Safe-mode?

 

Trenger svar fort!

 

EDIT: Når jeg startet maskinen i vanlig modus igjen, var den nye kontoen borte. Jeg tror det var ewido som lagde kontoen. Jeg kjørte CCleaner fra vanlig modus, samme gjør jeg med panda og hijackthis.

 

Loggene blir postet om 1 time ca.

 

BTW, ccleaner fant 1 GB (!) unødvendig materiale, og alt er blitt slettet. Tipper (og håper, selvfølgelig) at den stygge onde trojanske hest var med i "flytte-lasset" til boss-haugen!

Endret 14. august 2006 av tissedam

[berxter]

det er ikke nødvendig å kjøre ccleaner i safe mode.

 

Bernt K

[Gissan]

det er ikke nødvendig å kjøre ccleaner i safe mode.

 

Bernt K

6672102[/snapback]

Kjører Panda nå, legger ut loggene snart.

 

Trojanen er ikke slettet, fikk jeg beskjed av Norton. Får forstsatt melding om at jeg har en trojansk hest med høy risiko på pcen i C:\Windows\Temp\tmp**.tmp

 

Håper at Panda tar den da.

 

Skal jeg ta en reboot etter Panda og HijackThis?

[berxter]

Nei, er ikke nødvendig. Hadde håpet at Ewido ville ta den, men vi får se på loggene. HJT gir bare en logg, ingen helbredelse, og det er greit om du tar ut den etter å ha kjørt Panda.

[Gissan]

Nei, er ikke nødvendig. Hadde håpet at Ewido ville ta den, men vi får se på loggene. HJT gir bare en logg, ingen helbredelse, og det er greit om du tar ut den etter å ha kjørt Panda.

6672332[/snapback]

Ja.

 

Norton AntiVirus har en pop-up stående, hvor det står: "Høy risiko. Et virus har blitt slettet (filnavn)" elns. Har dette noe å si for Panda eller de andre programmene? At Norton prøver å "bekjempe" viruset, det også?

 

Eller budre jeg avinstallert Norton før jeg begynte på helbredelsene?

 

Kan godt kjøre programmene flere ganger til, har god tid, bare det f***s stygge viruset / trojanen forsvinner.

 

Har en stasjonær pc å bruke i mellomtiden, så det er "no-problem".

 

Bare jeg slipper å reinstallere Windows, så er jeg fornøyd!

[berxter]

Næh, pleier ikke å stoppe Panda o l. Når du har tatt ut Pandaloggen, ser vi straks om det er noe grums vi må bruke spesialsletteprogrammer, f eks Killbox til, men la oss nå ikke ta sorgene på forskudd..

 

Bernt K

[Gissan]

Næh, pleier ikke å stoppe Panda o l. Når du har tatt ut Pandaloggen, ser vi straks om det er noe grums vi må bruke spesialsletteprogrammer, f eks Killbox til, men la oss nå ikke ta sorgene på forskudd..

 

Bernt K

6672930[/snapback]

Nei. Bruker gjerne 10-12 timer, bare det blir fjernet. Som sagt lider jeg ingen nød, har flere pcer.

[Gissan]

Glemte å lagre loggen fra Panda, skal jeg kjøre den en gang til?

 

Panda Scannen tok nesten 3 timer, holder det med HijackThis-loggen?

 

Panda fant ingen virus eller noe som helst trojanere eller noe.

 

Norton sier at trojanen ikke er forsvunnet

 

Her er loggen fra HijackThis:

 

Logfile of HijackThis v1.99.1

Scan saved at 17:55:48, on 14.08.2006

Platform: Windows XP SP2 (WinNT 5.01.2600)

MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)

 

Running processes:

C:\WINDOWS\System32\smss.exe

C:\WINDOWS\system32\winlogon.exe

C:\WINDOWS\system32\services.exe

C:\WINDOWS\system32\lsass.exe

C:\WINDOWS\system32\svchost.exe

C:\WINDOWS\System32\svchost.exe

C:\Programfiler\TGTSoft\StyleXP\StyleXPService.exe

C:\Programfiler\Intel\Wireless\Bin\EvtEng.exe

C:\Programfiler\Intel\Wireless\Bin\S24EvMon.exe

C:\Programfiler\Intel\Wireless\Bin\WLKeeper.exe

C:\Programfiler\Fellesfiler\Symantec Shared\ccSetMgr.exe

C:\Programfiler\Fellesfiler\Symantec Shared\ccEvtMgr.exe

C:\Programfiler\Fellesfiler\Symantec Shared\ccProxy.exe

C:\Programfiler\Fellesfiler\Symantec Shared\SNDSrvc.exe

C:\WINDOWS\system32\spoolsv.exe

C:\Programfiler\ewido anti-spyware 4.0\guard.exe

C:\Programfiler\Eset\nod32krn.exe

C:\Programfiler\Intel\Wireless\Bin\RegSrvc.exe

C:\WINDOWS\system32\svchost.exe

C:\Programfiler\RealVNC\VNC4\WinVNC4.exe

C:\WINDOWS\Explorer.EXE

C:\Programfiler\Intel\Wireless\bin\ZCfgSvc.exe

C:\WINDOWS\System32\svchost.exe

C:\Programfiler\Intel\Wireless\Bin\ifrmewrk.exe

C:\Programfiler\Intel\Wireless\Bin\EOUWiz.exe

C:\Programfiler\Fellesfiler\Symantec Shared\ccApp.exe

C:\PROGRA~1\Intel\Wireless\Bin\Dot1XCfg.exe

C:\Programfiler\iTunes\iTunesHelper.exe

C:\Programfiler\QuickTime\qttask.exe

D:\Programfiler\iPod\bin\iPodService.exe

C:\Programfiler\Synaptics\SynTP\SynTPEnh.exe

C:\Programfiler\Synaptics\SynTP\Toshiba.exe

C:\WINDOWS\SMSC\CIRHID\V1_0_0000_0\ToshibaRC.exe

C:\Programfiler\DAEMON Tools\daemon.exe

D:\Programfiler\PowerISO\PWRISOVM.EXE

C:\WINDOWS\system32\rundll32.exe

C:\Programfiler\ewido anti-spyware 4.0\ewido.exe

C:\WINDOWS\system32\ctfmon.exe

C:\Programfiler\Messenger\msmsgs.exe

C:\Programfiler\Fellesfiler\Ahead\lib\NMBgMonitor.exe

C:\Programfiler\Norton Internet Security\Norton AntiVirus\navapsvc.exe

C:\Programfiler\MSN Messenger\msnmsgr.exe

C:\Programfiler\TOSHIBA\Bluetooth Monitor\BtMon2.exe

C:\Programfiler\CNet\802.11 Wireless LAN\CNETWlanMonitor.exe

C:\WINDOWS\system32\svchost.exe

C:\Programfiler\Mozilla Firefox\firefox.exe

C:\Programfiler\WinRAR\WinRAR.exe

C:\DOCUME~1\Lefdal\LOKALE~1\Temp\Rar$EX00.078\HijackThis.exe

 

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://securityresponse.symantec.com/avcenter/fix_homepage

R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Koblinger

O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Programfiler\Adobe\Acrobat 7.0\ActiveX\AcroIEHelper.dll

O2 - BHO: DriveLetterAccess - {5CA3D70E-1895-11CF-8E15-001234567890} - C:\WINDOWS\System32\DLA\DLASHX_W.DLL

O2 - BHO: Norton Internet Security 2006 - {9ECB9560-04F9-4bbc-943D-298DDF1699E1} - C:\Programfiler\Fellesfiler\Symantec Shared\AdBlocking\NISShExt.dll

O2 - BHO: NAV Helper - {A8F38D8D-E480-4D52-B7A2-731BB6995FDD} - C:\Programfiler\Norton Internet Security\Norton AntiVirus\NavShExt.dll

O2 - BHO: FlashFXP Helper for Internet Explorer - {E5A1691B-D188-4419-AD02-90002030B8EE} - C:\Programfiler\FlashFXP\IEFlash.dll

O3 - Toolbar: Norton Internet Security 2006 - {0B53EAC3-8D69-4b9e-9B19-A37C9A5676A7} - C:\Programfiler\Fellesfiler\Symantec Shared\AdBlocking\NISShExt.dll

O3 - Toolbar: Norton AntiVirus - {C4069E3A-68F1-403E-B40E-20066696354B} - C:\Programfiler\Norton Internet Security\Norton AntiVirus\NavShExt.dll

O4 - HKLM\..\Run: [intelZeroConfig] "C:\Programfiler\Intel\Wireless\bin\ZCfgSvc.exe"

O4 - HKLM\..\Run: [intelWireless] "C:\Programfiler\Intel\Wireless\Bin\ifrmewrk.exe" /tf Intel PROSet/Wireless

O4 - HKLM\..\Run: [EOUApp] "C:\Programfiler\Intel\Wireless\Bin\EOUWiz.exe"

O4 - HKLM\..\Run: [ccApp] "C:\Programfiler\Fellesfiler\Symantec Shared\ccApp.exe"

O4 - HKLM\..\Run: [iTunesHelper] "C:\Programfiler\iTunes\iTunesHelper.exe"

O4 - HKLM\..\Run: [QuickTime Task] "C:\Programfiler\QuickTime\qttask.exe" -atboottime

O4 - HKLM\..\Run: [EPSON Stylus Photo RX420 Series] C:\WINDOWS\System32\spool\DRIVERS\W32X86\3\E_FATI9CE.EXE /P31 "EPSON Stylus Photo RX420 Series" /O6 "USB001" /M "Stylus Photo RX420"

O4 - HKLM\..\Run: [synTPEnh] C:\Programfiler\Synaptics\SynTP\SynTPEnh.exe

O4 - HKLM\..\Run: [ToshibaApp] C:\WINDOWS\SMSC\CIRHID\V1_0_0000_0\ToshibaRC.exe

O4 - HKLM\..\Run: [nod32kui] "C:\Programfiler\Eset\nod32kui.exe" /WAITSERVICE

O4 - HKLM\..\Run: [DAEMON Tools] "C:\Programfiler\DAEMON Tools\daemon.exe" -lang 1033

O4 - HKLM\..\Run: [NeroFilterCheck] C:\WINDOWS\system32\NeroCheck.exe

O4 - HKLM\..\Run: [PWRISOVM.EXE] D:\Programfiler\PowerISO\PWRISOVM.EXE

O4 - HKLM\..\Run: [bluetoothAuthenticationAgent] rundll32.exe bthprops.cpl,,BluetoothAuthenticationAgent

O4 - HKLM\..\Run: [!ewido] "C:\Programfiler\ewido anti-spyware 4.0\ewido.exe" /minimized

O4 - HKCU\..\Run: [ctfmon.exe] C:\WINDOWS\system32\ctfmon.exe

O4 - HKCU\..\Run: [sTYLEXP] C:\Programfiler\TGTSoft\StyleXP\StyleXP.exe -Hide

O4 - HKCU\..\Run: [MSMSGS] "C:\Programfiler\Messenger\msmsgs.exe" /background

O4 - HKCU\..\Run: [bgMonitor_{79662E04-7C6C-4d9f-84C7-88D8A56B10AA}] "C:\Programfiler\Fellesfiler\Ahead\lib\NMBgMonitor.exe"

O4 - HKCU\..\Run: [msnmsgr] "C:\Programfiler\MSN Messenger\msnmsgr.exe" /background

O4 - Global Startup: Bluetooth Monitor.lnk = ?

O4 - Global Startup: CNet Wireless Utility.lnk = ?

O8 - Extra context menu item: E&ksporter til Microsoft Excel - res://C:\PROGRA~1\MICROS~2\OFFICE11\EXCEL.EXE/3000

O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programfiler\Java\jre1.5.0_04\bin\npjpi150_04.dll

O9 - Extra 'Tools' menuitem: Sun Java Console - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programfiler\Java\jre1.5.0_04\bin\npjpi150_04.dll

O9 - Extra button: Oppslag - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - C:\PROGRA~1\MICROS~2\OFFICE11\REFIEBAR.DLL

O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programfiler\Messenger\msmsgs.exe

O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programfiler\Messenger\msmsgs.exe

O16 - DPF: {9A9307A0-7DA4-4DAF-B042-5009F29E09E1} (ActiveScan Installer Class) - http://acs.pandasoftware.com/activescan/as5free/asinst.cab

O18 - Protocol: livecall - {828030A1-22C1-4009-854F-8E305202313F} - C:\PROGRA~1\MSNMES~1\MSGRAP~1.DLL

O18 - Protocol: ms-help - {314111C7-A502-11D2-BBCA-00C04F8EC294} - C:\Programfiler\Fellesfiler\Microsoft Shared\Help\hxds.dll

O18 - Protocol: msnim - {828030A1-22C1-4009-854F-8E305202313F} - C:\PROGRA~1\MSNMES~1\MSGRAP~1.DLL

O20 - Winlogon Notify: igfxcui - C:\WINDOWS\SYSTEM32\igfxdev.dll

O20 - Winlogon Notify: WgaLogon - C:\WINDOWS\SYSTEM32\WgaLogon.dll

O23 - Service: Symantec Event Manager (ccEvtMgr) - Symantec Corporation - C:\Programfiler\Fellesfiler\Symantec Shared\ccEvtMgr.exe

O23 - Service: Symantec Network Proxy (ccProxy) - Symantec Corporation - C:\Programfiler\Fellesfiler\Symantec Shared\ccProxy.exe

O23 - Service: Symantec Settings Manager (ccSetMgr) - Symantec Corporation - C:\Programfiler\Fellesfiler\Symantec Shared\ccSetMgr.exe

O23 - Service: Intel® PROSet/Wireless Event Log (EvtEng) - Intel Corporation - C:\Programfiler\Intel\Wireless\Bin\EvtEng.exe

O23 - Service: ewido anti-spyware 4.0 guard - Anti-Malware Development a.s. - C:\Programfiler\ewido anti-spyware 4.0\guard.exe

O23 - Service: InstallDriver Table Manager (IDriverT) - Macrovision Corporation - C:\Programfiler\Fellesfiler\InstallShield\Driver\11\Intel 32\IDriverT.exe

O23 - Service: iPodService - Apple Computer, Inc. - D:\Programfiler\iPod\bin\iPodService.exe

O23 - Service: SQL Server (SQLEXPRESS) (MSSQL$SQLEXPRESS) - Unknown owner - C:\Programfiler\Microsoft SQL Server\MSSQL.1\MSSQL\Binn\sqlservr.exe" -sSQLEXPRESS (file missing)

O23 - Service: Norton AntiVirus Auto-Protect-tjeneste (navapsvc) - Symantec Corporation - C:\Programfiler\Norton Internet Security\Norton AntiVirus\navapsvc.exe

O23 - Service: NOD32 Kernel Service (NOD32krn) - Eset - C:\Programfiler\Eset\nod32krn.exe

O23 - Service: Intel® PROSet/Wireless Registry Service (RegSrvc) - Intel Corporation - C:\Programfiler\Intel\Wireless\Bin\RegSrvc.exe

O23 - Service: Intel® PROSet/Wireless Service (S24EventMonitor) - Intel Corporation - C:\Programfiler\Intel\Wireless\Bin\S24EvMon.exe

O23 - Service: Symantec AVScan (SAVScan) - Symantec Corporation - C:\Programfiler\Norton Internet Security\Norton AntiVirus\SAVScan.exe

O23 - Service: Symantec Network Drivers Service (SNDSrvc) - Symantec Corporation - C:\Programfiler\Fellesfiler\Symantec Shared\SNDSrvc.exe

O23 - Service: StyleXPService - Unknown owner - C:\Programfiler\TGTSoft\StyleXP\StyleXPService.exe

O23 - Service: VNC Server Version 4 (WinVNC4) - Unknown owner - C:\Programfiler\RealVNC\VNC4\WinVNC4.exe" -service (file missing)

O23 - Service: Intel® PROSet/Wireless SSO Service (WLANKEEPER) - Intel® Corporation - C:\Programfiler\Intel\Wireless\Bin\WLKeeper.exe

[Gissan]

Fikk denne meldingen opp, etter at jeg hadde utført alt du ba meg om.

 

 

Og så lurte jeg på en ting til. Jeg leste på siden til norton her

 

Kan jeg ikke finne ut hva filen heter, og slette med Killbox eller hva nå kalte det?

[berxter]

Næmmen, se der, jo. Du har både Nod32 og Norton installert! De beskytter filene for hverandre! Avinstaller fluksens ett av dem, eller i det minste stopp ett. Du kan godt ha flere AVprogrammer installert, men bare ett må autostarte. Anbefaler deg å slå av Nod, og så kjøre ett nytt Nortonscan, gjerne i safe mode.

 

Hva sa Ewido?

 

HJTloggen er rein, så jeg antar du blir kvitt'n nå.

 

Ellers får vi følge Nortons oppskrift (delvis ihvertfall); du kan jo prøve om regeditkommandoen fungerer: start->run->regedit., og etterpå prøve Killbox dersom den er der. Da følger du i såfall Nortons pkt 1 for å finne ut filnavnet og bruke Killbox på "C:\WINDOWS\system32\winXXX32" der winXXX er filnavnet du finner ut.

 

 

Bernt K

[Gissan]

Næmmen, se der, jo. Du har både Nod32 og Norton installert! De beskytter filene for hverandre! Avinstaller fluksens ett av dem, eller i det minste stopp ett. Du kan godt ha flere AVprogrammer installert, men bare ett må autostarte. Anbefaler deg å slå av Nod, og så kjøre ett nytt Nortonscan, gjerne i safe mode.

 

Hva sa Ewido?

 

HJTloggen er rein, så jeg antar du blir kvitt'n nå.

 

Ellers får vi følge Nortons oppskrift (delvis ihvertfall); du kan jo prøve om regeditkommandoen fungerer: start->run->regedit., og etterpå prøve Killbox dersom den er der. Da følger du i såfall Nortons pkt 1 for å finne ut filnavnet og bruke Killbox på "C:\WINDOWS\system32\winXXX32" der winXXX er filnavnet du finner ut.

 

 

Bernt K

6674063[/snapback]

Ewido slettet to trojanere, men tror ikke det er den riktige, da Norton fortsatt gir beskjed om at trojanen er der.

 

Nod32 funker ikke anyway, men jeg kan godt avinstallere det.

 

Problemet er at Norton ikke klarer å fjerne det. Som du ser i bildet, er filen blitt slettet allerede. Jeg trykker OK, og 2 sekunder etterpå kommer det en ny fil inn. Som Symatec forklarer i siden sin, kopierer programmet seg selv.

 

Håper jeg blir kvitt den ihvertfall.

[berxter]

Avinstaller Nod, kjør Norton i safe mode, reboot og kjør ccleaner, se til at recycle bin er tømt, også Norton Protected Storage hvis den er der (i recycle bin), Norton en gang til. Tilbakemelding.

 

Du kan også åpne c:\windows\system32\ og se etter om du finner noen av disse:

 

winasp32.dll

winkrt32.dll

winpya32.dll

winvdj32.dll

winxna32.dll

 

Bernt K

[Gissan]

Avinstaller Nod, kjør Norton i safe mode, reboot og kjør ccleaner, se til at recycle bin er tømt, også Norton Protected Storage hvis den er der (i recycle bin), Norton en gang til. Tilbakemelding.

 

Du kan også åpne c:\windows\system32\ og se etter om du finner noen av disse:

 

winasp32.dll

winkrt32.dll

winpya32.dll

winvdj32.dll

winxna32.dll

 

Bernt K

6674339[/snapback]

Mulig å kjøre Norton i Safe-Mode. Da gjør jeg det i vanlig modus.

 

Skal se etter de filene.

 

Ellers får vi følge Nortons oppskrift (delvis ihvertfall); du kan jo prøve om regeditkommandoen fungerer: start->run->regedit., og etterpå prøve Killbox dersom den er der. Da følger du i såfall Nortons pkt 1 for å finne ut filnavnet og bruke Killbox på "C:\WINDOWS\system32\winXXX32" der winXXX er filnavnet du finner ut.

 

 

Bernt K

6674063[/snapback]

Finner ikke filen i registeret. Det ligger ingenting i den sisste mappen som begynner på Win. Er den vekke da?

[berxter]

Du har selvsagt fortalt Windows at den skal vise deg alle filer, ja? Tools->folder options, show hidden files and folders OG fjerne haka i "hide extensions for known file types" OG "Hide Protected operating system files"?

 

Slik:

http://www.computerhope.com/issues/ch000516.htm

 

Det SKAL være minst 15-20 filer som begynner med "win" i folderen.

 

Bernt K