[LØST]Et bittelite "System Alert!"-spyware problem

[Tatt av vinen]

Hei. Jeg fikk nettopp ned et et lite spyware som la seg på verktøylinjen på desktopen, og vil ikke bort. Har kjørt SpyBot 2 ganger, men det går ikke bort.

En punktlig forklaring om hvordan jeg kan få fjernet det hadde vært kjempefint.

 

Takker for alle nyttige svar.

 

Mulig jeg også har andre infeksjoner, her er en HJT-logg:

 

Klikk for å se/fjerne innholdet nedenfor

Logfile of HijackThis v1.99.1

Scan saved at 22:42:22, on 20.05.2007

Platform: Windows XP SP2 (WinNT 5.01.2600)

MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)

 

Running processes:

C:\WINDOWS\System32\smss.exe

C:\WINDOWS\system32\winlogon.exe

C:\WINDOWS\system32\services.exe

C:\WINDOWS\system32\lsass.exe

C:\WINDOWS\system32\Ati2evxx.exe

C:\WINDOWS\system32\svchost.exe

C:\WINDOWS\System32\svchost.exe

C:\Programfiler\Fellesfiler\Symantec Shared\ccSetMgr.exe

C:\Programfiler\Fellesfiler\Symantec Shared\SNDSrvc.exe

C:\Programfiler\Fellesfiler\Symantec Shared\ccEvtMgr.exe

C:\WINDOWS\system32\spoolsv.exe

C:\Programfiler\Fellesfiler\Symantec Shared\ccProxy.exe

C:\Programfiler\Norton Internet Security\Norton AntiVirus\navapsvc.exe

C:\WINDOWS\system32\slserv.exe

C:\WINDOWS\system32\svchost.exe

C:\Programfiler\Fellesfiler\Symantec Shared\Security Center\SymWSC.exe

C:\WINDOWS\system32\Ati2evxx.exe

C:\WINDOWS\Explorer.EXE

C:\Programfiler\Fellesfiler\Symantec Shared\Security Center\SymWSCNo.exe

C:\Programfiler\Winamp\winamp.exe

C:\Programfiler\MSN Messenger\msnmsgr.exe

C:\Programfiler\Opera\Opera.exe

C:\Documents and Settings\Øyvind\Skrivebord\HijackThis.exe

 

O4 - HKCU\..\Run: [msnmsgr] "C:\Programfiler\MSN Messenger\msnmsgr.exe" /background

O20 - Winlogon Notify: WgaLogon - C:\WINDOWS\

O23 - Service: Ati HotKey Poller - ATI Technologies Inc. - C:\WINDOWS\system32\Ati2evxx.exe

O23 - Service: Symantec Event Manager (ccEvtMgr) - Symantec Corporation - C:\Programfiler\Fellesfiler\Symantec Shared\ccEvtMgr.exe

O23 - Service: Symantec Network Proxy (ccProxy) - Symantec Corporation - C:\Programfiler\Fellesfiler\Symantec Shared\ccProxy.exe

O23 - Service: Symantec Password Validation (ccPwdSvc) - Symantec Corporation - C:\Programfiler\Fellesfiler\Symantec Shared\ccPwdSvc.exe

O23 - Service: Symantec Settings Manager (ccSetMgr) - Symantec Corporation - C:\Programfiler\Fellesfiler\Symantec Shared\ccSetMgr.exe

O23 - Service: Norton AntiVirus Auto-Protect-tjeneste (navapsvc) - Symantec Corporation - C:\Programfiler\Norton Internet Security\Norton AntiVirus\navapsvc.exe

O23 - Service: ScriptBlocking Service (SBService) - Symantec Corporation - C:\PROGRA~1\FELLES~1\SYMANT~1\SCRIPT~1\SBServ.exe

O23 - Service: SmartLinkService (SLService) - - C:\WINDOWS\SYSTEM32\slserv.exe

O23 - Service: Symantec Network Drivers Service (SNDSrvc) - Symantec Corporation - C:\Programfiler\Fellesfiler\Symantec Shared\SNDSrvc.exe

O23 - Service: SymWMI Service (SymWSC) - Symantec Corporation - C:\Programfiler\Fellesfiler\Symantec Shared\Security Center\SymWSC.exe

 

Lite bilde:

 

 

Vanskelig å se at det står "System Alert" der, men det gjør det altså. Ikonet er det blå spørsmålstegnet.

Endret 21. mai 2007 av Leptox

[Gjest medlem-105082]

Det var en utrolig kort Hijackthis logg. Tok du med alt?

 

Du kan begynne med å laste ned SAS. Installer, oppdater, kjør 'complete scan' og slett infeksjoner hvis de oppstår.

Legg ut SAS loggen: Preferences->statistics/logs - sammen med en ny Hijackthis logg.

 

Kan du beskrive det som ligger i verktøylinjen? Hva er det bilde av, kommer det opp noe melding? Ta gjerne et screenshot

Endret 20. mai 2007 av medlem-105082

[Tatt av vinen]

Mulig jeg slettet noen filer i HJT som jeg ikke skulle ha slettet, da jeg merket ALLE og klikket deretter på "Fix checked". Har ikke opplevd noen problemer, selv etter å ha restartet, så jeg tror ikke jeg gjorde noe grovt alvorlig.

 

Edit: Kjører scan i SAS nå.

Endret 20. mai 2007 av Leptox

[Gjest medlem-105082]

Mulig jeg slettet noen filer i HJT som jeg ikke skulle ha slettet, da jeg merket ALLE og klikket deretter på "Fix checked". Har ikke opplevd noen problemer, selv etter å ha restartet, så jeg tror ikke jeg gjorde noe grovt alvorlig.

 

Edit: Kjører scan i SAS nå.

8658553[/snapback]

 

Merket du absolutt alle i Hijackthis og klikket så 'fix checked'? Hvorfor det? Var det et uhell eller gjor du det bevist? Hijackthis er et program man skal være forsiktig med å ikke slette noe som skal være der. Uansett om du ikke merker noe ville jeg nok tatt en systemoppretting. Men det bestemmer du selv altså.

 

Legg ut en logg fra SAS når den er ferdig

 

Edit: Beskriv gjerne det som ligger i verktøylinjen som spyware. Screenshot er og anbefale.

Endret 20. mai 2007 av medlem-105082

[Tatt av vinen]

Jeg er helt grønn på området, så jeg klikket og styrte i håp at det hele skulle gå bra, og at viruset skulle forsvinne.

 

Hva innebærer en systemgjenoppretting? Finnes det en risiko for at noe kan gå galt?

Endret 20. mai 2007 av Leptox

[Gjest medlem-105082]

Jeg er helt grønn på området, så jeg klikket og styrte i håp at det hele skulle gå bra, og at viruset skulle forsvinne.

 

Hva innebærer en systemgjenoppretting? Finnes det en risiko for at noe kan gå galt?

8658612[/snapback]

 

Det som er med Hijackthis er at de meste som kommer opp skal være der. Du kan nå ha slettet viktige filer til operativsystemet, antivirusprogram og diverse programmer du bruker.

 

En systemgjennoppretting tar maskinen 'tilbake' i tid. Det er nesten som en 'angre' funksjon. Det er rimelig trygt å ta systemgjennoppretting. Vil ikke si det er noe fare for at noe går galt.

 

- Kontrollpanel->system->systemgjenoppretting .

- Velg et tidspunkt før du brukte Hijackthis og følg punktene.

- Restart pc

 

Du bestemmer selv om du vil gjøre dette, men vil anbefale det.

Endret 20. mai 2007 av medlem-105082

[Tatt av vinen]

Nå finner ikke jeg noe "system" inne på kontrollpanelet.

[Gjest medlem-105082]

Start -> tilbehør -> systemverktøy -> systemgjennoppretting da?

 

Sitter på Vista, så husker ikke helt hvordan det er på XP.

Endret 20. mai 2007 av medlem-105082

[Tatt av vinen]

Kan jeg kun gjenopprette min aller siste handling?

[Gjest medlem-105082]

Kan jeg kun gjenopprette min aller siste handling?

8658786[/snapback]

 

Du kan velge hvilket tidpunkt du vil gjennopprette til. Velg et tidspunkt rett før du klikket 'fix checked'

[Tatt av vinen]

Kan jeg kun gjenopprette min aller siste handling?

8658786[/snapback]

 

Du kan velge hvilket tidpunkt du vil gjennopprette til. Velg et tidspunkt rett før du klikket 'fix checked'

8658794[/snapback]

 

Så, jeg må altså huske klokkeslettet?

[Gjest medlem-105082]

Så, jeg må altså huske klokkeslettet?

 

 

Ny løsning fra en god venn:

 

Start HJT og velg 'view the list of backup'. Velg aktuelle backup og klikk på 'Restore'

 

Glem systemgjenopprettingen. Gjør dette du

Endret 20. mai 2007 av medlem-105082

[Tatt av vinen]

Så, jeg må altså huske klokkeslettet?

 

 

Ny løsning fra en god venn:

 

Start HJT og velg 'view the list of backup'. Velg aktuelle backup og klikk på 'Restore'

 

Glem systemgjenopprettingen. Gjør dette du

8658816[/snapback]

 

Der finnes intet backup.

[Gjest medlem-105082]

Da får du ta systemgjenoppretting da. Den vanskelige måten. Husker du ikke når du klikket 'fix checked'? Var det like før du lagde denne tråden? I morges? Igår? I fjor?

[Tatt av vinen]

Da får du ta systemgjenoppretting da. Den vanskelige måten. Husker du ikke når du klikket 'fix checked'? Var det like før du lagde denne tråden? I morges? Igår? I fjor?

8658841[/snapback]

 

Skal jeg skrive inn klokkeslett? Er nærmest sikker på at det var rett over klokken 9.

[Gjest medlem-105082]

Husker ikke helt hvordan det er på XP. Men du åpner 'systemgjenoppretting -> velg et annet tidspunkt -> så velger du tidspunktet før du klikket 'fix checked'.. så nei, du trenger ikke å skrive inn klokkeslett.

 

Dette er fra Vista, vil ikke garantere det er slik på XP. Men det er da ikke så vanskelig du finner lett ut

[Tatt av vinen]

Jeg åpner systemgjenoppretting, og da dukker vinduet opp med to alternativer:

 

1. Gjenopprett datamskinen til et tidligere tidspunkt

2. Opprett et gjennopprettingstidspunkt

 

Hvilket skal jeg trykke på?

[Gjest medlem-105082]

Valg nummer 1: Gjenopprett datamskinen til et tidligere tidspunkt

[Tatt av vinen]

Done.

 

Ny logg:

 

Klikk for å se/fjerne innholdet nedenfor

Logfile of HijackThis v1.99.1

Scan saved at 23:51:50, on 20.05.2007

Platform: Windows XP SP2 (WinNT 5.01.2600)

MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)

 

Running processes:

C:\WINDOWS\System32\smss.exe

C:\WINDOWS\system32\winlogon.exe

C:\WINDOWS\system32\services.exe

C:\WINDOWS\system32\lsass.exe

C:\WINDOWS\system32\Ati2evxx.exe

C:\WINDOWS\system32\svchost.exe

C:\WINDOWS\System32\svchost.exe

C:\Programfiler\Fellesfiler\Symantec Shared\ccSetMgr.exe

C:\Programfiler\Fellesfiler\Symantec Shared\SNDSrvc.exe

C:\Programfiler\Fellesfiler\Symantec Shared\ccEvtMgr.exe

C:\WINDOWS\system32\spoolsv.exe

C:\Programfiler\Fellesfiler\Symantec Shared\ccProxy.exe

C:\Programfiler\Norton Internet Security\Norton AntiVirus\navapsvc.exe

C:\WINDOWS\system32\slserv.exe

C:\WINDOWS\system32\svchost.exe

C:\WINDOWS\system32\Ati2evxx.exe

C:\WINDOWS\Explorer.EXE

C:\Programfiler\Fellesfiler\Symantec Shared\Security Center\SymWSC.exe

C:\WINDOWS\system32\wuauclt.exe

C:\Programfiler\MSN Messenger\msnmsgr.exe

C:\Programfiler\SUPERAntiSpyware\SUPERAntiSpyware.exe

C:\Documents and Settings\Øyvind\Skrivebord\HijackThis.exe

 

O4 - HKCU\..\Run: [msnmsgr] "C:\Programfiler\MSN Messenger\msnmsgr.exe" /background

O4 - HKCU\..\Run: [sUPERAntiSpyware] C:\Programfiler\SUPERAntiSpyware\SUPERAntiSpyware.exe

O20 - Winlogon Notify: !SASWinLogon - C:\Programfiler\SUPERAntiSpyware\SASWINLO.dll

O20 - Winlogon Notify: WgaLogon - C:\WINDOWS\

O23 - Service: Ati HotKey Poller - ATI Technologies Inc. - C:\WINDOWS\system32\Ati2evxx.exe

O23 - Service: Symantec Event Manager (ccEvtMgr) - Symantec Corporation - C:\Programfiler\Fellesfiler\Symantec Shared\ccEvtMgr.exe

O23 - Service: Symantec Network Proxy (ccProxy) - Symantec Corporation - C:\Programfiler\Fellesfiler\Symantec Shared\ccProxy.exe

O23 - Service: Symantec Password Validation (ccPwdSvc) - Symantec Corporation - C:\Programfiler\Fellesfiler\Symantec Shared\ccPwdSvc.exe

O23 - Service: Symantec Settings Manager (ccSetMgr) - Symantec Corporation - C:\Programfiler\Fellesfiler\Symantec Shared\ccSetMgr.exe

O23 - Service: Norton AntiVirus Auto-Protect-tjeneste (navapsvc) - Symantec Corporation - C:\Programfiler\Norton Internet Security\Norton AntiVirus\navapsvc.exe

O23 - Service: ScriptBlocking Service (SBService) - Symantec Corporation - C:\PROGRA~1\FELLES~1\SYMANT~1\SCRIPT~1\SBServ.exe

O23 - Service: SmartLinkService (SLService) - - C:\WINDOWS\SYSTEM32\slserv.exe

O23 - Service: Symantec Network Drivers Service (SNDSrvc) - Symantec Corporation - C:\Programfiler\Fellesfiler\Symantec Shared\SNDSrvc.exe

O23 - Service: SymWMI Service (SymWSC) - Symantec Corporation - C:\Programfiler\Fellesfiler\Symantec Shared\Security Center\SymWSC.exe

 

Edit: Prøvde nå å logge inn på MSN, noe som ikke var mulig. Kan dette ha en sammenheng med viruset? Det står nemlig at problemet ligger på "nøkkelporter" når jeg feilsøker.

Endret 20. mai 2007 av Leptox

[Gjest medlem-105082]

Last ned SmitFraudFix og lagre det på skrivebordet.

 

Restart i sikkerthetsmodus -> trykk F8 til det kommer opp en meny.

Star smitfraudfix og velg valg 2. Følg instruksene.

Maskinen vil bli restartet. Legg ut en logg fra smitfraudfix -> C:\rapport.txt

 

 

Kjør en 'complete scan' med SAS. Legg ut en logg fra SAS sammen med en ny logg fra Hijackthis.

Endret 20. mai 2007 av medlem-105082