Mail frå NGT om at eg sender ut spam.

Zeph · 16. januar 2007

Fekk denne i dag

Klikk for å se/fjerne innholdet nedenfor

Hei

Vi ber om at dere leser hele denne meldingen.

Det viser seg at en eller flere datamaskin(er) tilknyttet deres

bredbåndsforbindelse benyttes til å sende ut uønsket e-post (SPAM) til et

betydelig antall brukere på Internett. Utsending av disse meldingene (SPAM) er i

strid med våre abonnementsvilkår og er vanligvis sterkt uønsket av våre kunder

og andre som benytter seg av Internett.

Dette problemet er trolig forårsaket av en datavirusinfeksjon, miskonfigurert

e-posttjener, trojaner eller en annen bakdør inn til deres datamaskin(er). For å

løse dette anbefales full reinstallasjon av datamaskinen. NextGenTel kan ikke

pålegge dere å gjøre dette, men nevner dette for å bistå dere med å håndtere

problemet som har oppstått på best mulig måte.

Masseutsendelse av SPAM som følge av et datavirus benytter ofte forfalskede

e-postadresser som avsender, og har derfor som regel ingen tilknytning til deres

egne adresser.

NB! Dersom ikke dette problemet løses raskt kan NextGenTel dessverre bli nødt

til å iverksette tiltak for å stoppe denne trafikken.

Virussøk

Trend Micro har laget et verktøy som finner de aller fleste kjente

virus/trojanere. Dette verktøyet kan kjøres direkte fra denne linken:

http://no.trendmicro-europe.com/enterprise...s/housecall.php

Klikk på knappen "Check my PC now!" og følg deretter videre instrukser. NB!

Dette kan ta noe tid.

Dersom dere benytter Microsoft Windows, kan sikkerhetshull i operativsystemet

føre til at datamaskinen blir infisert på nytt. Vi anbefaler derfor at alle

oppdateringer som er markert som "Kritiske", installeres fra

http://windowsupdate.microsoft.com. Benyttes trådløst nettverk, anbefales det at

dette sikres slik at uvedkommende ikke kan misbruke dette.

Når problemet er løst, ønskes en tilbakemelding per e-post til adressen:

[email protected]. Dersom dere har spørsmål som omhandler dette problemet,

kan Abuse Response Team kontaktes via e-post på den samme adressen, eller på

telefon 55 52 79 00 mellom kl 08:00 - 16:00. Når dere tar kontakt med oss kan

dere henvise til Abuse, og oppgi deres kundenummer som er å finne i emnefeltet.

NextGenTel anbefaler alle Internettbrukere å ha et antivirus program, som

oppdateres daglig, installert på alle datamaskiner som er tilknyttet Internett.

Videre bør operativsystemet på disse datamaskinene holdes oppdatert med alle

kritiske sikkerhetsoppdateringer. Microsoft Windows kan holdes oppdatert på

http://windowsupdate.microsoft.com

Post- og Teletilsynet har laget et nettsted - www.nettvett.no - hvor man kan

finne informasjon, råd og veiledning om sikker bruk av Internett. Informasjonen

er rettet både mot private brukere og små og mellomstore bedrifter. På dette

nettstedet vil man blant annet kunne finne mer informasjon om datavirus og SPAM,

samt hvordan man beskytter seg mot dette.

Abuse Response Team i NextGenTel håndterer blant annet klager på våre kunder som

omhandler datavirus, søppelpost og annen uønsket trafikk.

Med vennlig hilsen

Abuse Response Team

NextGenTel

Nokon som har vært borti dette før og kan kome med eit tips? Eg har AVG samt 4-5 spywareprogrammer som blir kjørt jevnlig, har ikkje funnet noko der, men skal prøve Housecall og Symantec Virus Detection og sjå om dei finn noko. Windows er så oppdatert som det kan bli.

E-post-programmer nyttar eg ikkje, berre Hotmail.

Noko drit at desse onlinescannerene berre aksepterer IE.

Når problemet er løst, ønskes en tilbakemelding per e-post til adressen:
[email protected].

Korleis skal eg egentleg vite om problemet er løyst?

Endret 16. januar 2007 av Zeph

Legion · 16. januar 2007

et eller annet ulumsk sender tydligvis ut epost fra din maskin.

dersom du ikke allerede har en brannmur på maskinen, så installer en og før stålkontroll på hvilke applikasjoner du gir senderettigheter, loggfør gjerne.

normalt et dette på port 25, men det finnes jo omveier her også

Endret 16. januar 2007 av Legion

Zeph · 16. januar 2007

Will do, laster ned Sygate Personal Firewall nå. Eg hadde Kaspersky før, men lisensen gjekk ut, kanskje eg skal skaffe meg det igjen, likte det programmet godt.

norbat · 16. januar 2007

En Hijackthis-logg kan kanskje fortelle om det er noe som snor seg i pc'n din.

Zeph · 16. januar 2007

Hijackthis-logg. Ser ikkje så verst ut, kjørte den gjennom ein log analyzer og den fant eitt punkt som eg har fiksa, av ein eller annan grunn påstår den at iTunes er ein orm.

Klikk for å se/fjerne innholdet nedenfor

Logfile of HijackThis v1.99.1

Scan saved at 22:06:36, on 16.01.2007

Platform: Windows XP SP2 (WinNT 5.01.2600)

MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)

Running processes:

C:\WINDOWS\System32\smss.exe

C:\WINDOWS\system32\winlogon.exe

C:\WINDOWS\system32\services.exe

C:\WINDOWS\system32\lsass.exe

C:\WINDOWS\system32\Ati2evxx.exe

C:\WINDOWS\system32\svchost.exe

C:\WINDOWS\System32\svchost.exe

C:\WINDOWS\system32\spoolsv.exe

C:\WINDOWS\system32\Ati2evxx.exe

C:\WINDOWS\Explorer.EXE

C:\WINDOWS\System32\taskswitch.exe

C:\Program Files\Java\jre1.5.0_10\bin\jusched.exe

C:\Program Files\Logitech\iTouch\iTouch.exe

C:\Program Files\iTunes\iTunesHelper.exe

C:\PROGRA~1\Grisoft\AVGFRE~1\avgcc.exe

C:\Program Files\Prevx1\PXConsole.exe

C:\PROGRA~1\Grisoft\AVGFRE~1\avgamsvr.exe

C:\PROGRA~1\Grisoft\AVGFRE~1\avgupsvc.exe

C:\Program Files\Messenger\msmsgs.exe

C:\PROGRA~1\Grisoft\AVGFRE~1\avgemc.exe

C:\Program Files\MSN Messenger\msnmsgr.exe

C:\Program Files\SUPERAntiSpyware\SUPERAntiSpyware.exe

C:\Program Files\Prevx1\PXAgent.exe

C:\Program Files\iTunes\iTunes.exe

C:\Program Files\iPod\bin\iPodService.exe

C:\WINDOWS\System32\svchost.exe

C:\Program Files\Opera\Opera.exe

E:\Programmer\hijackthis\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName =

O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Program Files\Adobe\Acrobat 7.0\ActiveX\AcroIEHelper.dll

O2 - BHO: Malicious Scripts Scanner - {55EA1964-F5E4-4D6A-B9B2-125B37655FCB} - C:\Documents and Settings\All Users\Application Data\Prevx\pxbho.dll

O2 - BHO: SSVHelper Class - {761497BB-D6F0-462C-B6EB-D4DAF1D92D43} - C:\Program Files\Java\jre1.5.0_10\bin\ssv.dll

O2 - BHO: AcroIEToolbarHelper Class - {AE7CD045-E861-484f-8273-0445EE161910} - C:\Program Files\Adobe\Acrobat 7.0\Acrobat\AcroIEFavClient.dll

O3 - Toolbar: Adobe PDF - {47833539-D0C5-4125-9FA8-0819E2EAAC93} - C:\Program Files\Adobe\Acrobat 7.0\Acrobat\AcroIEFavClient.dll

O4 - HKLM\..\Run: [CoolSwitch] C:\WINDOWS\System32\taskswitch.exe

O4 - HKLM\..\Run: [sunJavaUpdateSched] "C:\Program Files\Java\jre1.5.0_10\bin\jusched.exe"

O4 - HKLM\..\Run: [zBrowser Launcher] C:\Program Files\Logitech\iTouch\iTouch.exe

O4 - HKLM\..\Run: [iTunesHelper] "C:\Program Files\iTunes\iTunesHelper.exe"

O4 - HKLM\..\Run: [AVG7_CC] C:\PROGRA~1\Grisoft\AVGFRE~1\avgcc.exe /STARTUP

O4 - HKLM\..\Run: [PrevxOne] "C:\Program Files\Prevx1\PXConsole.exe"

O4 - HKLM\..\Run: [KernelFaultCheck] %systemroot%\system32\dumprep 0 -k

O4 - HKLM\..\Run: [smcService] C:\PROGRA~1\Sygate\SPF\smc.exe -startgui

O4 - HKLM\..\Run: [lmjvservc] secqifab.exe

O4 - HKCU\..\Run: [MSMSGS] "C:\Program Files\Messenger\msmsgs.exe" /background

O4 - HKCU\..\Run: [msnmsgr] "C:\Program Files\MSN Messenger\msnmsgr.exe" /background

O4 - HKCU\..\Run: [sUPERAntiSpyware] C:\Program Files\SUPERAntiSpyware\SUPERAntiSpyware.exe

O4 - Startup: iTunes.lnk = C:\Program Files\iTunes\iTunes.exe

O4 - Startup: Musikk.txt

O8 - Extra context menu item: Convert link target to Adobe PDF - res://C:\Program Files\Adobe\Acrobat 7.0\Acrobat\AcroIEFavClient.dll/AcroIECapture.html

O8 - Extra context menu item: Convert link target to existing PDF - res://C:\Program Files\Adobe\Acrobat 7.0\Acrobat\AcroIEFavClient.dll/AcroIEAppend.html

O8 - Extra context menu item: Convert selected links to Adobe PDF - res://C:\Program Files\Adobe\Acrobat 7.0\Acrobat\AcroIEFavClient.dll/AcroIECaptureSelLinks.html

O8 - Extra context menu item: Convert selected links to existing PDF - res://C:\Program Files\Adobe\Acrobat 7.0\Acrobat\AcroIEFavClient.dll/AcroIEAppendSelLinks.html

O8 - Extra context menu item: Convert selection to Adobe PDF - res://C:\Program Files\Adobe\Acrobat 7.0\Acrobat\AcroIEFavClient.dll/AcroIECapture.html

O8 - Extra context menu item: Convert selection to existing PDF - res://C:\Program Files\Adobe\Acrobat 7.0\Acrobat\AcroIEFavClient.dll/AcroIEAppend.html

O8 - Extra context menu item: Convert to Adobe PDF - res://C:\Program Files\Adobe\Acrobat 7.0\Acrobat\AcroIEFavClient.dll/AcroIECapture.html

O8 - Extra context menu item: Convert to existing PDF - res://C:\Program Files\Adobe\Acrobat 7.0\Acrobat\AcroIEFavClient.dll/AcroIEAppend.html

O8 - Extra context menu item: E&xport to Microsoft Excel - res://C:\PROGRA~1\MICROS~2\OFFICE11\EXCEL.EXE/3000

O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\jre1.5.0_10\bin\ssv.dll

O9 - Extra 'Tools' menuitem: Sun Java Console - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\jre1.5.0_10\bin\ssv.dll

O9 - Extra button: Research - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - C:\PROGRA~1\MICROS~2\OFFICE11\REFIEBAR.DLL

O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe

O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe

O16 - DPF: {17492023-C23A-453E-A040-C7C580BBF700} (Windows Genuine Advantage Validation Tool) - http://go.microsoft.com/fwlink/?linkid=39204

O16 - DPF: {2BC66F54-93A8-11D3-BEB6-00105AA9B6AE} (Symantec AntiVirus scanner) - http://security.symantec.com/sscv6/SharedC...bin/AvSniff.cab

O16 - DPF: {4F1E5B1A-2A80-42CA-8532-2D05CB959537} (MSN Photo Upload Tool) - http://by112fd.bay112.hotmail.msn.com/resources/MsnPUpld.cab

O16 - DPF: {6414512B-B978-451D-A0D8-FCFDF33E833C} (WUWebControl Class) - http://update.microsoft.com/windowsupdate/...b?1143476802406

O16 - DPF: {644E432F-49D3-41A1-8DD5-E099162EEEC5} (Symantec RuFSI Utility Class) - http://security.symantec.com/sscv6/SharedC...n/bin/cabsa.cab

O16 - DPF: {B38870E4-7ECB-40DA-8C6A-595F0A5519FF} (MsnMessengerSetupDownloadControl Class) - http://messenger.msn.com/download/MsnMesse...pDownloader.cab

O18 - Protocol: msnim - {828030A1-22C1-4009-854F-8E305202313F} - "C:\PROGRA~1\MSNMES~1\msgrapp.dll" (file missing)

O20 - Winlogon Notify: !SASWinLogon - C:\Program Files\SUPERAntiSpyware\SASWINLO.DLL

O20 - Winlogon Notify: WgaLogon - C:\WINDOWS\SYSTEM32\WgaLogon.dll

O23 - Service: Adobe LM Service - Adobe Systems - C:\Program Files\Common Files\Adobe Systems Shared\Service\Adobelmsvc.exe

O23 - Service: Ati HotKey Poller - ATI Technologies Inc. - C:\WINDOWS\system32\Ati2evxx.exe

O23 - Service: ATI Smart - Unknown owner - C:\WINDOWS\system32\ati2sgag.exe

O23 - Service: AVG7 Alert Manager Server (Avg7Alrt) - GRISOFT, s.r.o. - C:\PROGRA~1\Grisoft\AVGFRE~1\avgamsvr.exe

O23 - Service: AVG7 Update Service (Avg7UpdSvc) - GRISOFT, s.r.o. - C:\PROGRA~1\Grisoft\AVGFRE~1\avgupsvc.exe

O23 - Service: AVG E-mail Scanner (AVGEMS) - GRISOFT, s.r.o. - C:\PROGRA~1\Grisoft\AVGFRE~1\avgemc.exe

O23 - Service: InstallDriver Table Manager (IDriverT) - Macrovision Corporation - C:\Program Files\Common Files\InstallShield\Driver\11\Intel 32\IDriverT.exe

O23 - Service: iPod Service - Apple Computer, Inc. - C:\Program Files\iPod\bin\iPodService.exe

O23 - Service: Microsoft authenticate service (MsaSvc) - Unknown owner - C:\WINDOWS\system32\msasvc.exe (file missing)

O23 - Service: Prevx Agent (PREVXAgent) - Unknown owner - C:\Program Files\Prevx1\PXAgent.exe" -f (file missing)

O23 - Service: Remote Packet Capture Protocol v.0 (experimental) (rpcapd) - Unknown owner - %ProgramFiles%\WinPcap\rpcapd.exe" -d -f "%ProgramFiles%\WinPcap\rpcapd.ini (file missing)

O23 - Service: Sygate Personal Firewall (SmcService) - Sygate Technologies, Inc. - C:\Program Files\Sygate\SPF\smc.exe

Er ikkje lett når eg ikkje veit kva eg skal leite etter, om ikkje Kaspersky finn noko tar eg heller kontakt med NGT og høyrer kva dei har å sei. Har kjørt SAS, Ad-Aware, Spybot S&D, Prevx1 og Symantec Scan utan å finne noko som kan minne om virus.

Endret 16. januar 2007 av Zeph

norbat · 16. januar 2007

Se om WinPcap kan fjernes fra legg til/fjern programmer.

Kjør HJT og fix:

O4 - HKLM\..\Run: [lmjvservc] secqifab.exe <-FINNER INGEN INFO OM DENNE OG DA LUKTER DET MUGG LANG VEI.

O23 - Service: Microsoft authenticate service (MsaSvc) - Unknown owner - C:\WINDOWS\system32\msasvc.exe (file missing)

O23 - Service: Remote Packet Capture Protocol v.0 (experimental) (rpcapd) - Unknown owner - %ProgramFiles%\WinPcap\rpcapd.exe" -d -f "%ProgramFiles%\WinPcap\rpcapd.ini (file missing)

Klikk på Start-kjør. Skriv: Services.msc klikk OK.

Finn følgende services: Microsoft authenticate service (MsaSvc), høyreklikk på den, velg egenskaper. Under oppstartstype velger du deaktivert.

Last ned DrWeb

Restart i sikker modus (tapp f8 under oppstart)

Kjør drweb-cureit.exe (si ja til å kjøre en express scan)

Når dette er ferdig klikker du på Option -> Change settings.

Under fanearket Scan, fjerner du haken ved Heuristic analysis.

Under fanearket Actions, skal alle punkt under Malware settes til Rename.

Velg partisjon du vil scanne og klikk deretter på den grønne pilen for

å starte scanningen. Velg "yes to all" når det finner noe for første gang.

Restart i normal modus og post en ny HJT-logg. Forandre programnavnet hijackthis.exe til noe annet, eks. test.exe før du kjører programmet.

Endret 16. januar 2007 av norbat

Zeph · 17. januar 2007

Takk for all hjelp så langt, har gjort alt du sa til punkt og prikke, her kjem loggen.

Klikk for å se/fjerne innholdet nedenfor

Logfile of HijackThis v1.99.1

Scan saved at 20:19:13, on 17.01.2007

Platform: Windows XP SP2 (WinNT 5.01.2600)

MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)

Running processes:

C:\WINDOWS\System32\smss.exe

C:\WINDOWS\system32\winlogon.exe

C:\WINDOWS\system32\services.exe

C:\WINDOWS\system32\lsass.exe

C:\WINDOWS\system32\Ati2evxx.exe

C:\WINDOWS\system32\svchost.exe

C:\WINDOWS\System32\svchost.exe

C:\WINDOWS\system32\spoolsv.exe

C:\WINDOWS\system32\Ati2evxx.exe

C:\WINDOWS\Explorer.EXE

C:\WINDOWS\System32\taskswitch.exe

C:\Program Files\Java\jre1.5.0_10\bin\jusched.exe

C:\Program Files\Logitech\iTouch\iTouch.exe

C:\Program Files\Kaspersky Lab\Kaspersky Internet Security 6.0\avp.exe

C:\Program Files\MSN Messenger\msnmsgr.exe

C:\Program Files\SUPERAntiSpyware\SUPERAntiSpyware.exe

C:\Program Files\iTunes\iTunes.exe

C:\WINDOWS\System32\svchost.exe

C:\Program Files\iPod\bin\iPodService.exe

E:\Programmer\hijackthis\test.exe