"problem løst"Hjelp til hijackthislog

[joe1982]

Hei

 

Har fått virus\spyware på pcen og har prøvd avast og anti spyware uten hell.

 

Jeg fikk råd fra en person på et annet forum om å kjøre http://www.trendsecure.com/portal/en-US/th.../hijackthis.php

 

og så ta vare på loggen og skrive det her, så ville jeg få hjelp av noen som forhåpentligvis vet hvordan jeg blir kvitt problemet.

 

På forhånd tusen takk!!

Log_scan_av_pc.txt

Endret 27. august 2007 av joe1982

[norbat]

Hent Combofix, og legg det på skrivebordet

 

Kjør combofix.exe, og følg veiledningen.

Ikke klikk på vinduet mens programmet kjører.

 

Last ned SAS, installer, oppdater og kjør en full (Complete) scan.

 

Post loggfilen fra combofix(vanligvis c:\combofix.txt), SAS-loggen (preferences->statistics/logs) + ny HJT-logg.

[joe1982]

Da er det gjort. her er loggene.

 

Tusen takk for hjelpen!

 

 

Får ikke lagt til SAS-loggen. legger den derfor under (ikke som vedlegg) Håper det går greit.

 

SUPERAntiSpyware Scan Log

http://www.superantispyware.com

 

Generated 08/26/2007 at 06:41 PM

 

Application Version : 3.9.1008

 

Core Rules Database Version : 3292

Trace Rules Database Version: 1303

 

Scan type : Complete Scan

Total Scan Time : 00:23:50

 

Memory items scanned : 543

Memory threats detected : 0

Registry items scanned : 3983

Registry threats detected : 0

File items scanned : 22824

File threats detected : 41

 

Adware.Tracking Cookie

C:\Documents and Settings\Halvard\Cookies\[email protected][2].txt

C:\Documents and Settings\Halvard\Cookies\halvard@doubleclick[1].txt

C:\Documents and Settings\Halvard\Cookies\[email protected][1].txt

C:\Documents and Settings\Halvard\Cookies\[email protected][1].txt

 

Adware.Casino Games (Golden Palace Casino)

C:\POKER\TITAN POKER\CASINO.EXE

C:\DOCUMENTS AND SETTINGS\ALL USERS\SKRIVEBORD\TITAN POKER.LNK

C:\POKER\CDPOKER\CASINO.EXE

C:\DOCUMENTS AND SETTINGS\ALL USERS\SKRIVEBORD\CDPOKER.LNK

C:\POKER\EXPEKT POKER\CASINO.EXE

C:\DOCUMENTS AND SETTINGS\ALL USERS\SKRIVEBORD\EXPEKT POKER.LNK

C:\DOCUMENTS AND SETTINGS\ALL USERS\START-MENY\PROGRAMMER\TITAN POKER\TITAN POKER.LNK

C:\DOCUMENTS AND SETTINGS\ALL USERS\START-MENY\PROGRAMMER\CDPOKER\CDPOKER.LNK

C:\DOCUMENTS AND SETTINGS\ALL USERS\START-MENY\PROGRAMMER\EXPEKT POKER\EXPEKT POKER.LNK

C:\DOCUMENTS AND SETTINGS\ALL USERS\START-MENY\TITAN POKER.LNK

C:\DOCUMENTS AND SETTINGS\HALVARD\PROGRAMDATA\MICROSOFT\INTERNET EXPLORER\QUICK LAUNCH\TITAN POKER.LNK

C:\DOCUMENTS AND SETTINGS\HALVARD\PROGRAMDATA\MICROSOFT\INTERNET EXPLORER\QUICK LAUNCH\CDPOKER.LNK

 

Trojan.Net-MU/Gen

C:\SYSTEM VOLUME INFORMATION\_RESTORE{958DB10F-5EB4-40B7-BE84-FD835B712632}\RP64\A0035769.EXE

 

Trojan.Net-MSV/VPS-G

C:\SYSTEM VOLUME INFORMATION\_RESTORE{958DB10F-5EB4-40B7-BE84-FD835B712632}\RP65\A0035965.DLL

 

Trace.Known Threat Sources

C:\Documents and Settings\Halvard\Lokale innstillinger\Temporary Internet Files\Content.IE5\QPTE7U1W\cut1_2[1].gif

C:\Documents and Settings\Halvard\Lokale innstillinger\Temporary Internet Files\Content.IE5\P7FFXTGE\shadow_con_right[1].png

C:\Documents and Settings\Halvard\Lokale innstillinger\Temporary Internet Files\Content.IE5\CFLR2QZ9\load_txt[1].gif

C:\Documents and Settings\Halvard\Lokale innstillinger\Temporary Internet Files\Content.IE5\LZF3LHCE\shadow_con_left[1].png

C:\Documents and Settings\Halvard\Lokale innstillinger\Temporary Internet Files\Content.IE5\LZF3LHCE\cut2_2[1].gif

C:\Documents and Settings\Halvard\Lokale innstillinger\Temporary Internet Files\Content.IE5\GTYVKDQ3\cut1[1].gif

C:\Documents and Settings\Halvard\Lokale innstillinger\Temporary Internet Files\Content.IE5\CFLR2QZ9\shadow_bottom[1].png

C:\Documents and Settings\Halvard\Lokale innstillinger\Temporary Internet Files\Content.IE5\S5IJGLAN\bord_bttm[1].gif

C:\Documents and Settings\Halvard\Lokale innstillinger\Temporary Internet Files\Content.IE5\EL1MNQHK\main_top[1].gif

C:\Documents and Settings\Halvard\Lokale innstillinger\Temporary Internet Files\Content.IE5\QPTE7U1W\load_pointer[1].gif

C:\Documents and Settings\Halvard\Lokale innstillinger\Temporary Internet Files\Content.IE5\QPTE7U1W\buy_n[1].gif

C:\Documents and Settings\Halvard\Lokale innstillinger\Temporary Internet Files\Content.IE5\P7FFXTGE\load_flash_bg[1].gif

C:\Documents and Settings\Halvard\Lokale innstillinger\Temporary Internet Files\Content.IE5\K75VUYFT\cut4[1].gif

C:\Documents and Settings\Halvard\Lokale innstillinger\Temporary Internet Files\Content.IE5\DG4V1DCL\cut3[1].gif

C:\Documents and Settings\Halvard\Lokale innstillinger\Temporary Internet Files\Content.IE5\01QBCDIR\03[1].swf

C:\Documents and Settings\Halvard\Lokale innstillinger\Temporary Internet Files\Content.IE5\LZF3LHCE\cut2[1].gif

C:\Documents and Settings\Halvard\Lokale innstillinger\Temporary Internet Files\Content.IE5\GTYVKDQ3\main_top2[1].gif

C:\Documents and Settings\Halvard\Lokale innstillinger\Temporary Internet Files\Content.IE5\LZF3LHCE\home_s[1].gif

C:\Documents and Settings\Halvard\Lokale innstillinger\Temporary Internet Files\Content.IE5\QPTE7U1W\down_n[1].gif

C:\Documents and Settings\Halvard\Lokale innstillinger\Temporary Internet Files\Content.IE5\EL1MNQHK\load_bttn[1].gif

C:\Documents and Settings\Halvard\Lokale innstillinger\Temporary Internet Files\Content.IE5\K75VUYFT\spacer[1].gif

C:\Documents and Settings\Halvard\Lokale innstillinger\Temporary Internet Files\Content.IE5\K1IVWX2Z\main[1].htm

C:\Documents and Settings\Halvard\Lokale innstillinger\Temporary Internet Files\Content.IE5\K1IVWX2Z\load_bg[1].gif

Combifix_log.txt

hijackthis_log_nyest.txt

[norbat]

Kjør HJT, velg "Do a system scan only", sett merke framfor følgende linjer og klikk 'Fix checked':

 

O4 - HKLM\..\Run: [afrfgjfb] C:\WINDOWS\system32\zfssfxjx.exe

O24 - Desktop Component 0: Privacy Protection - file:///C:\WINDOWS\privacy_danger\index.htm

 

Last ned Killbox

 

Start Killbox

Velg å 'Delete on reboot'

 

Følgende skal settes inn:

C:\WINDOWS\system32\zfssfxjx.exe

 

Restart

 

Morpheus Toolbar, er det noe du trenger? Hvis ikke, avinstaller det fra legg til/fjern programmer.

 

Post ny HJT-logg og fortell hvordan pc'n kjører.

[joe1982]

Hei

 

Nå er jeg kvitt bakgrunen på skjermen som viruset hadde installert.

POP-upsene har også forsvunnet, (ihvertfall de 5 min som PCen har vært på) Den eneste feilen jeg for øyeblikket har merket er internettsiden som automatisk kommer opp når jeg trykker på internett explorer. jeg har prøvd å bytte den på kontrollåanel, men den kommer opp uansett.

 

legger og ved hjt-loggen som du skrev.

hijackthis_aller_siste.txt

[norbat]

Hei,

Litt opprydding til slutt.

 

Kjør HJT og fix følgende linjer:

 

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://softwarereferral.com/jump.php?wmid=...=MjI6Ojg5&lid=2

O2 - BHO: (no name) - {7E853D72-626A-48EC-A868-BA8D5E23E045} - (no file)

O4 - HKLM\..\RunOnce: [MorpheusToolbar Uninstall] rundll32 C:\PROGRA~1\UNINST~1.DLL,O -2

O9 - Extra button: Run IMVU - {d9288080-1baa-4bc4-9cf8-a92d743db949} - C:\Documents and Settings\Halvard\Start-meny\Programmer\IMVU\Run IMVU.lnk (file missing)

 

Hvis du ikke spiller poker mer, kan det være en ide å avinstallere disse programmene (Titan Poker m.fl). Disse blir betraktet som adware av en del av-prog.

 

Last ned CCleaner.

Under installasjonen får du spm om du vil installere yahoo toolbar. Det kan du la være.

Start programmet. Gå til 'Valg'->'Avansert'. Fjern avkryssingen framfor: "bare slett midlertidige filer......." Klikk på 'Renser' og deretter 'Kjør CCleaner'.

Kjør også noen runder med 'Saker' til det ikke finner flere feil.

 

Restart pc'n og se om ikke den internettsiden som kommer opp i IE er borte.

[joe1982]

Siden gårfortsatt ikke vekk. Den er vekke helt til jeg restarter pcen, men så kommer den tilbake.

 

Denne linjen er fortsatt i HJT:

 

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://softwarereferral.com/jump.php?wmid=...=MjI6Ojg5&lid=2

 

Jeg har prøvd å gjøre som du skrev 2 ganger, men det hjalp ikke.

[norbat]

Prøv en gang til å fjerne den R0-linja. Lukk alle programmer før du kjører HJT (inkl. IE)

[joe1982]

Fantastisk!

 

Der var jeg kvitt det. Tusen takk!

[norbat]

Bare hyggelig.

 

Du bør nullstille gjenopprettingsmappa slik at du ikke blir infisert ved en evt. systemgjenoppretting.

Kontrollpanel->system->systemgjenoppretting . Sett merke framfor "Slå av Systemgjenopprettingen .....",

restart pc, fjern merket igjen for å aktivere funksjonen.