Sliter med spyware/spamming

[mushi]

Har i den siste tiden fått mail fra nextgentel om at jeg spammer fra pcene i huset og de ba meg løse problemet ellers ble de nødt til å stenge linja.

 

Scannet da med nod32, spybot og ad-aware(ligger på alle pcene). eneste jeg fant var noen tracking cookies med falske eposter. f.eks [email protected]

Slettet disse med ad-aware, men de kom tilbake...

 

Da slettet jeg alle cookies på alle 3 pcene i huset, og trodde problemet var borte, men i dag fikk jeg mail igjen, om at problemet ikke var løst.

Har nå gått så lant å skrudd på windows firewallen, men tviler på at det har noe å si.

 

Noen tips til programmer eller ting jeg kan gjøre?

Har ikke lyst å legge inn windows på nytt, da jeg gjorde det for et par mnd siden, og vil helst ikke formatere alle diskene, da jeg nesten må lage backup av 1tb, men vil heller ikke få linja mi stengt

 

Litt om pcene:

pc1: windows xp pro, bruker opera9

pc2: windows xp pro, bruker opera9

pc3(laptop) windows xp home, bruker opera9

router/modem: thompson speedtouch 5x6

 

Programmene jeg bruker er altså nod32, ad-aware SE og spybot s&d, alle er oppdatert.

har ikke hatt noen problemer før august (ifølge nextgentel) og har ikke merket noe feil på pcene(tregere,feilmeldinger).

 

hjelp!

Endret 22. september 2006 av mushi

[crazycooler]

Jeg bruker også Adaware,denne" tar"litt men ikke alt.Kjører også webroot Spysweeper,den er jeg sånn passe fornøyd med.Zone Alarm er den jeg synes gir mest for penga!!!.

Kombinasjonen her har hjulpet meg masse!

[Pozzolan]

Legg ut hijackthis logger fra alle pcene som er tilkoblet.

[mushi]

la ut alle loggene nå.

pc1.txt er min pc. akkurat lagt inn noen spyware programmer og fjernet endel.

pc2 er dama sin, urørt siden forrige uke, kun slettet cookies

pc3 er den bærbare til en kompis som bor her for tiden, urørt siden forrige uke, kun slettet cookies.

[agvg]

http://www.pandasoftware.no/

 

Ta den sjekken øverst til venstre, Panda er rå mot spyware.

[Pozzolan]

Jeg tror at PC nr 3 er synderen.

 

Last ned Killbox, CWShredder og ha hjt tilgjengelig.

 

Start i sikkermodus.

 

Kjør CWShredder og slett alt den finner hvis den finner noe.

 

Slett følgende med hijackthis:

 

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = about:blank
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = about:blank
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Bar = about:blank
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = about:blank
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = about:blank
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = about:blank
R0 - HKLM\Software\Microsoft\Internet Explorer\Search,SearchAssistant = about:blank
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Local Page = about:blank
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Local Page = about:blank
O4 - HKLM\..\Run: [ÿ_zskUENWYDA]RAGQ] C:\WINDOWS\system32\_zskdmwinGHQ\QGAR]ADYWNEU.exe
O4 - HKLM\..\RunServices: [ÿ_zskUENWYDA]RAGQ] C:\WINDOWS\system32\_zskdmwinGHQ\QGAR]ADYWNEU.exe
O4 - HKCU\..\Run: [ÿ_zskUENWYDA]RAGQ] C:\WINDOWS\system32\_zskdmwinGHQ\QGAR]ADYWNEU.exe

 

Slett så C:\WINDOWS\system32\_zskdmwinGHQ\ med Killbox

 

Husk å slå av system restore før du fjerner noe.

 

Etter at du har gjort dette legger du ut en ny logg fra PC3.

[mushi]

da var pc3 fiksa forhåpentligvis.

logg fra pc3 i vedlegg

fant ikke den filen med killbox og fant ikke noe med cwshredder, fikk bare kjørt hjt

Endret 23. september 2006 av mushi

[Pozzolan]

Prøv å slette C:\WINDOWS\system32\_zskdmwinGHQ\QGAR]ADYWNEU.exe med killbox. Bør funke

[mushi]

fant den i hjt, og fjernet den der, men fant ikke mappen _zskdmwinghq i det hele tatt etter den forsvant fra hjt med killbox, finner ikke den filen heller. glemte loggen i forrige innlegg

Endret 23. september 2006 av mushi

[mushi]

la med litt av mailen jeg fikk fra ngt, tilfelle det er noe annet som er feil:

>e-post er sendt med forfalskede nextgentel.com-adresser:

> >-------------

> >Received: from 8.84-48-229.nextgentel.com

> (8.84-48-229.nextgentel.com

> >[84.48.229.8])

> > by mx20.lax.untd.com with SMTP id AABCRSSYKATBW3D2

> > for <X> (sender <[email protected]>);

> > Fri,  1 Sep 2006 07:25:13 -0700 (PDT)

> >Message-ID: <000b01c6cdd2$ad2d6f20$08e53054@eier>

> >From: "portray reality" <[email protected]>

> >-------------

> >

> >-------------

> >Received: from 8.84-48-229.nextgentel.com (84.48.229.8)

> >  by tugela.quintns.be with SMTP; 31 Aug 2006 21:18:19 -0000

> >Message-ID: <0010______________________3054@eier>

> >From:  "flogging weaker" <[email protected]>

> >To: x

> >Subject: [sPAM] license

> >-------------

> >

> >-------------

> >Received: from 8.84-48-229.nextgentel.com

> (8.84-48-229.nextgentel.com

> >[84.48.229.8])

> > by www.cryptography.com (8.12.8/8.12.8) with ESMTP id

> k73CGDqL003105

> > for <x>; Thu, 3 Aug 2006 05:16:15 -0700

> >From: "revealed along" <[email protected]>

> >To: x

> >Subject: Through websites

[Pozzolan]

Slå på visning av skjulte filer.

 

 

O4 - HKLM\..\Run: [ÿ_zskUENWYDA]RAGQ] C:\WINDOWS\system32\_zskdmwinGHQ\QGAR]ADYWNEU.exe  	
O4 - HKLM\..\RunServices: [ÿ_zskUENWYDA]RAGQ] C:\WINDOWS\system32\_zskdmwinGHQ\QGAR]ADYWNEU.exe
O4 - HKCU\..\Run: [shell] "C:\Programfiler\Fellesfiler\Microsoft Shared\Web Folders\ibm00001.exe"
O4 - HKCU\..\Run: [ÿ_zskUENWYDA]RAGQ] C:\WINDOWS\system32\_zskdmwinGHQ\QGAR]ADYWNEU.exe  	

Alle disse må vekk med hijackthis

 

Slett så C:\WINDOWS\system32\_zskdmwinGHQ\ hvis du finner den med killbox og slett

C:\Programfiler\Fellesfiler\Microsoft Shared\Web Folders\ibm00001.exe"

 

Gjøres i sikkermodus med system restore avslått.

 

Kjør gjerne en online scan med panda og post loggen her.

[mushi]

dette var det jeg gjorde på pc3:

1.startet opp i sikkerhetsmodus

2.skrudde av system restore

3. skrudde på skjulte filer

4. kjørte hjt, prøvde å fjerne de jeg skulle, men når jeg scannet en gang til, så var de der igjen

5. prøvde å fjerne de i killbox, men står bare file/folder dont exist

6. søkte manuelt etter de exe.filene, men fant ikke noe da heller.

7. kjørte panda, fant noe virus og diverse, den fjernet noe.

 

la med panda loggen.

Endret 24. september 2006 av mushi

[Pozzolan]

Går det å bruke killbox på filene som ble funnet av panda?