*Fikset* Takk RJR - Trojaner trøbbel (e.l.)

[Wetatron]

Heisann, har en litt eldre bærbar her som nå sliter litt med trojanere/spyware eller noe.

 

Det hele startet med at AVG antivirus kom med en beskjed, og da oppdaget jeg også at SpyMarshal (bogus-scanner) var installert. Fjernet den siste, installerte også AVG Anti-Spyware og startet søkingen. Har funnet og fjernet noe med antivirusen ser det ut til, men SpyWare'n sliter jeg mer med.

 

Ved oppstart, og "jevne mellomrom" ellers, sier AVG AS (Anti-Spyware) ifra om at filer som "1.exe", "3.exe", "yqsuyy.exe" og "devgt.exe" er detektert og er farlige..

 

Anti-Spyware henger seg når jeg tar vanlig søk, og ser dermed ut til å funke dårlig.

Antivirusen ser ikke ut til å finne noe mer, skal prøve med trend housecall etterpå.

 

Så spørsmålet mitt er egentlig om noen har et råtips om hvordan jeg får fjernet tull? Har tenkt å poste hijackthis log snart, bare denne virusscannen blir ferdig.

 

Takk på forhånd for all hjelp, og fortsatt god jul..

--Mario

 

*****EDIT*****

HiJackThis log ligger nå i post nr 3..

Endret 27. desember 2006 av Wetatron

[Gjest medlem-105082]

Hijackthis log først

Endret 26. desember 2006 av medlem-105082

[Wetatron]

Må huske at jeg tar clean eller clean -> quarantine på disse exe-filene som jeg blir advart om for øyeblikket, vet ikke om det kan ha noe å si her..

 

-----------------

 

Logfile of HijackThis v1.99.1

Scan saved at 14:45:21, on 26.12.2006

Platform: Windows XP SP2 (WinNT 5.01.2600)

MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)

 

Running processes:

C:\WINDOWS\System32\smss.exe

C:\WINDOWS\system32\csrss.exe

C:\WINDOWS\system32\winlogon.exe

C:\WINDOWS\system32\services.exe

C:\WINDOWS\system32\lsass.exe

C:\WINDOWS\System32\ibmpmsvc.exe

C:\WINDOWS\System32\Ati2evxx.exe

C:\WINDOWS\system32\svchost.exe

C:\WINDOWS\system32\svchost.exe

C:\WINDOWS\System32\svchost.exe

C:\WINDOWS\System32\svchost.exe

C:\WINDOWS\system32\Ati2evxx.exe

C:\WINDOWS\System32\svchost.exe

C:\WINDOWS\Explorer.EXE

C:\WINDOWS\system32\spoolsv.exe

C:\Program Files\Grisoft\AVG Anti-Spyware 7.5\guard.exe

C:\PROGRA~1\Grisoft\AVGFRE~1\avgamsvr.exe

C:\PROGRA~1\Grisoft\AVGFRE~1\avgupsvc.exe

C:\PROGRA~1\Grisoft\AVGFRE~1\avgemc.exe

C:\Program Files\Common Files\Microsoft Shared\VS7Debug\mdm.exe

C:\Program Files\Analog Devices\SoundMAX\SMAgent.exe

C:\drivere\AirPlus Xtreme G\AirPlusCFG.exe

C:\Program Files\Alpha Networks\ANIWZCS Service\WZCSLDR.exe

C:\PROGRA~1\ThinkPad\PkgMgr\HOTKEY\TPHKMGR.exe

C:\Program Files\Synaptics\SynTP\SynTPLpr.exe

C:\Program Files\ThinkPad\PkgMgr\HOTKEY\TPONSCR.exe

C:\Program Files\ThinkPad\PkgMgr\HOTKEY_1\TpScrex.exe

C:\Program Files\Synaptics\SynTP\SynTPEnh.exe

C:\WINDOWS\System32\spool\drivers\w32x86\3\hpztsb09.exe

C:\Program Files\HP\hpcoretech\hpcmpmgr.exe

C:\Program Files\Hewlett-Packard\HP Software Update\HPWuSchd2.exe

C:\Program Files\Hewlett-Packard\Digital Imaging\bin\hpotdd01.exe

C:\Program Files\iTunes\iTunesHelper.exe

C:\Program Files\QuickTime\qttask.exe

C:\Program Files\iPod\bin\iPodService.exe

C:\PROGRA~1\Grisoft\AVGFRE~1\avgcc.exe

C:\Program Files\Adobe\Photoshop Album Starter Edition\3.0\Apps\apdproxy.exe

C:\Program Files\Grisoft\AVG Anti-Spyware 7.5\avgas.exe

C:\WINDOWS\System32\svchost.exe

C:\WINDOWS\system32\drivers\spoclsv.exe

C:\WINDOWS\System32\svchost.exe

C:\download\hijackthis\HijackThis.exe

 

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.sol.no/

F2 - REG:system.ini: UserInit=C:\WINDOWS\system32\userinit.exe,devgt.exe

O2 - BHO: (no name) - {53707962-6F74-2D53-2644-206D7942484F} - C:\PROGRA~1\SPYBOT~1\SDHelper.dll

O4 - HKLM\..\Run: [D-Link AirPlus Xtreme G] C:\drivere\AirPlus Xtreme G\AirPlusCFG.exe

O4 - HKLM\..\Run: [ANIWZCSService] C:\Program Files\Alpha Networks\ANIWZCS Service\WZCSLDR.exe

O4 - HKLM\..\Run: [ATIModeChange] Ati2mdxx.exe

O4 - HKLM\..\Run: [ATIPTA] C:\Program Files\ATI Technologies\ATI Control Panel\atiptaxx.exe

O4 - HKLM\..\Run: [TPHOTKEY] C:\PROGRA~1\ThinkPad\PkgMgr\HOTKEY\TPHKMGR.exe

O4 - HKLM\..\Run: [synTPLpr] C:\Program Files\Synaptics\SynTP\SynTPLpr.exe

O4 - HKLM\..\Run: [synTPEnh] C:\Program Files\Synaptics\SynTP\SynTPEnh.exe

O4 - HKLM\..\Run: [HPDJ Taskbar Utility] C:\WINDOWS\System32\spool\drivers\w32x86\3\hpztsb09.exe

O4 - HKLM\..\Run: [HP Component Manager] "C:\Program Files\HP\hpcoretech\hpcmpmgr.exe"

O4 - HKLM\..\Run: [HP Software Update] C:\Program Files\Hewlett-Packard\HP Software Update\HPWuSchd2.exe

O4 - HKLM\..\Run: [DeviceDiscovery] C:\Program Files\Hewlett-Packard\Digital Imaging\bin\hpotdd01.exe

O4 - HKLM\..\Run: [iTunesHelper] C:\Program Files\iTunes\iTunesHelper.exe

O4 - HKLM\..\Run: [QuickTime Task] "C:\Program Files\QuickTime\qttask.exe" -atboottime

O4 - HKLM\..\Run: [AVG7_CC] C:\PROGRA~1\Grisoft\AVGFRE~1\avgcc.exe /STARTUP

O4 - HKLM\..\Run: [Adobe Photo Downloader] "C:\Program Files\Adobe\Photoshop Album Starter Edition\3.0\Apps\apdproxy.exe"

O4 - HKLM\..\Run: [NeroFilterCheck] C:\WINDOWS\system32\NeroCheck.exe

O4 - HKLM\..\Run: [!AVG Anti-Spyware] "C:\Program Files\Grisoft\AVG Anti-Spyware 7.5\avgas.exe" /minimized

O4 - HKCU\..\Run: [skype] "C:\Apps\SkypePhone\Skype.exe" /nosplash /minimized

O4 - HKCU\..\Run: [svcshare] C:\WINDOWS\system32\drivers\spoclsv.exe

O4 - Global Startup: Adobe Reader Speed Launch.lnk = C:\Program Files\Adobe\Acrobat 7.0\Reader\reader_sl.exe

O4 - Global Startup: Microsoft Office.lnk = C:\Program Files\Microsoft Office\Office10\OSA.EXE

O8 - Extra context menu item: E&ksporter til Microsoft Excel - res://C:\PROGRA~1\MICROS~2\Office10\EXCEL.EXE/3000

O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe

O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe

O16 - DPF: {1F2F4C9E-6F09-47BC-970D-3C54734667FE} - https://www-secure.symantec.com/techsupp/asa/LSSupCtl.cab

O16 - DPF: {205FF73B-CA67-11D5-99DD-444553540000} (CInstall Class) - http://www.spywarestormer.com/files2/Install.cab

O16 - DPF: {CE28D5D2-60CF-4C7D-9FE8-0F47A3308078} - https://www-secure.symantec.com/techsupp/asa/SymAData.cab

O17 - HKLM\System\CCS\Services\Tcpip\..\{45E9397C-B9AC-474D-8DC5-E8647590344A}: NameServer = 85.255.116.132,85.255.112.221

O17 - HKLM\System\CCS\Services\Tcpip\..\{4B414939-6007-44F7-BF61-629A8DB06045}: NameServer = 85.255.116.132,85.255.112.221

O17 - HKLM\System\CCS\Services\Tcpip\..\{4C285CF6-DB48-4543-92D2-2B1DCF264F1C}: NameServer = 85.255.116.132,85.255.112.221

O17 - HKLM\System\CCS\Services\Tcpip\..\{CBB0E8AC-ED2B-4D01-8BC9-28C286693E3F}: NameServer = 85.255.116.132,85.255.112.221

O17 - HKLM\System\CS1\Services\Tcpip\Parameters: NameServer = 85.255.116.132 85.255.112.221

O17 - HKLM\System\CCS\Services\Tcpip\Parameters: NameServer = 85.255.116.132 85.255.112.221

O23 - Service: Ati HotKey Poller - Unknown owner - C:\WINDOWS\System32\Ati2evxx.exe

O23 - Service: AVG Anti-Spyware Guard - Anti-Malware Development a.s. - C:\Program Files\Grisoft\AVG Anti-Spyware 7.5\guard.exe

O23 - Service: AVG7 Alert Manager Server (Avg7Alrt) - GRISOFT, s.r.o. - C:\PROGRA~1\Grisoft\AVGFRE~1\avgamsvr.exe

O23 - Service: AVG7 Update Service (Avg7UpdSvc) - GRISOFT, s.r.o. - C:\PROGRA~1\Grisoft\AVGFRE~1\avgupsvc.exe

O23 - Service: AVG E-mail Scanner (AVGEMS) - GRISOFT, s.r.o. - C:\PROGRA~1\Grisoft\AVGFRE~1\avgemc.exe

O23 - Service: IBM PM Service (IBMPMSVC) - Unknown owner - C:\WINDOWS\System32\ibmpmsvc.exe

O23 - Service: iPod-tjeneste (iPodService) - Apple Computer, Inc. - C:\Program Files\iPod\bin\iPodService.exe

O23 - Service: SoundMAX Agent Service (SoundMAX Agent Service (default)) - Analog Devices, Inc. - C:\Program Files\Analog Devices\SoundMAX\SMAgent.exe

[Wetatron]

...

C:\WINDOWS\system32\drivers\spoclsv.exe

...

F2 - REG:system.ini: UserInit=C:\WINDOWS\system32\userinit.exe,devgt.exe

...

O4 - HKCU\..\Run: [svcshare] C:\WINDOWS\system32\drivers\spoclsv.exe

...

 

-----

 

Dette er de tingene jeg selv ser og mistenker for øyeblikket.. spoclsv er jeg ganske sikker på er mindre nice, devgt tror jeg muligens er det..

 

Spørsmålene blir da; er det noe mer? Og hvordan får jeg fjernet det (en gang for alle).

 

--Mario

[Gjest medlem-105082]

Kjør Hijackthis og slett:

 

F2 - REG:system.ini: UserInit=C:\WINDOWS\system32\userinit.exe,devgt.exe

 

O4 - HKCU\..\Run: [svcshare] C:\WINDOWS\system32\drivers\spoclsv.exe

 

C:\WINDOWS\system32\drivers\spoclsv.exe

 

Har du innstalert "Spywarestormer" på dataen din? Hvis du har det, gå inn på "legg til og fjern programmer" og avinstaller. Hvis den ikke ligger der så slett dette i Hijackthis: O16 - DPF: {205FF73B-CA67-11D5-99DD-444553540000} (CInstall Class) - http://www.spywarestormer.com/files2/Install.cab

 

Ellers kan du ta en scan med SAS... Oppdater, kjør, slett alt den finner.

 

Scan med ccleaner tilslutt.

Endret 26. desember 2006 av medlem-105082

[Wetatron]

Tusen takk for hjelpen!

 

Kjørte en scan med trendmicro housecall som sa den fant og fjernet noen ting, så fix'et jeg med hijackthis, etterfulgt av SAS som fant og fjernet noe og til slutt CCcleaner.. Ser ut til at maskina har det bedre nå!

[Gjest medlem-105082]

Ingen årsak! Bra maskinen fungerer fint