Massivt spyware angrep på pc'n

[Brian]

Hei

 

Da var det tid for å berge pc'n til foreldrene igjen, og som vanlig er hele greia kjørt i grøfta. I vanlig modus er det bare å gi opp å arbeide med pc'n, da alt fra nett til oppgavebehandling osv er blokkert/fjernet. Fikk etter mye om og med gjort litt da jeg kom inn i sikkermodus som administrator. Jeg klarer også etter en del krangling å få opp internet explorer og kommet meg på nett, men jeg får ikke lastet ned noe uansett hva jeg gjør. Når jeg skal laste ned SAS fra www.filehippo.com så kommer følgende melding opp: Kan ikke laste ned SUPERAntiSpyware.exe fra fs5.filehippo.com. kan ikke åpne dette Internett-området. Det aktuelle området er enten utilgjengelig eller finnes ikke. Prøv på nytt senere.

Prøver jeg på andre nettsteder skjer det samme, eller jeg får standardmeldinga "siden kan ikke vises" når jeg prøver å skaffe programmet. Kjørte en full scan med ad-aware før det ble for ille, men den hadde utdaterte oppdateringer og fant ikke overveldende mye. Slettet det den fant, men det er like ille enda. Så hva er mulighetene her? Jeg får tilgang på det meste på pc'n nå for øyeblikket etter veldig mye om og men, men jeg får ikke lastet ned noe for å fjerne dritten.

Endret 29. juli 2008 av Brian

[snippsat]

I sikkerhetmodus med nettverk.

 

Last Combofix ned ,legg på skrivebordet.

Ikke klikk på vindu mens programet kjører.

post logg C:\combofix.txt

 

Kan også overføre combofix fra en annen pc.

 

Får du kjørt hjt ta med en logg derfra.

 

Last ned HijackThis legg i egen mappe på skrivebordet.

Start programmet og velg "Trykk scan og save log"

Post HijackThis.txt

Endret 29. juli 2008 av SNIPPSAT

[Brian]

Ja, jeg får prøve å skaffe filene fra en annen pc, for denne er helt håpløs. Den finner ingen av linkene dine, siden det tydeligvis blokkerer alt av nedlastninger, og alt som inneholder ordet spyware. Den driver også å legger til tegn og bokstaver i det jeg skriver av og til, slik at det kan bli noe skikkelig herk å komme inn på enkelte nettsider.

[snippsat]

Har du prøvd boot trykk f8 flere ganger,velg sikkerhetmodus med nettverk.

 

Last ned og kjør combofix her.

[Brian]

Ja, dette var hele tiden i sikkermodus. Fikk hentet filene fra en annen pc, men det var plent umulig å få kjørt programmene verken fra pc`n eller usb pinne. Det hadde faktisk kommet så dypt inn i systemet at det har tuklet med systeminnstillingene som nektet meg å foreta noe innstalleringer etc. Så det er vel bare reinnstallering som er eneste utvei tipper jeg, hvis du da ikke har noen andre forslag?

[snippsat]

Hmm hijackthis executeable får du kjørt den?

 

Tilbehør->systemverktøy->systemgjennoppretting.

Sette den tilbake kan hjelpe.

 

Det er manuel fjerning,dette er ikke så lett viss man ikke har erfaring med dette.

Oppstart delen av register.

Start->kjør->regedit

[HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]

<----->

 

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]

<----->

 

Fjerne det som ser mistenkelig ut.

Restart.

 

Det er også trikset og lage en ny bruker og logge seg på den.

[Brian]

Skal gi det et forsøk i morgen. Men hvordan kjører man hijackthis executeable? Jeg får iallefall ikke noe tilgang til setup fila.

 

Kan sjekke registret manuelt i morgen og se om jeg finner noe greier der. Men jeg vet ikke helt om ny bruker vil fungere i og med at systemansvarlig har deaktivert all form for innstallering på pc`n, men det skader ikke å prøve.

 

edit: Jeg kan jo kansje prøve å lage en ny pasordbeskyttet admin konto, med et ganske greit passord i tilfelle den begynner å hacke det. Deretter gå inn og resette systemresursene til full tilgang på den kontoen, og krysse fingrene for at jeg får kjørt noen av programmene.

Endret 31. juli 2008 av Brian

[snippsat]

Men hvordan kjører man hijackthis executeable

Det er ikke noe setup,dobbelklikke og så skal den kjøre.

 

Se etter disable local/group policy eller policy.

I registert under oppstart delen dette er noe som kan sperre det meste.

Endret 31. juli 2008 av SNIPPSAT

[Brian]

Sjekket oppstartsregistret, men fant ikke noe mistenkelig der, slettet to-tre oppføringer, men fortsatt er det samme greia. Oppretta også en ny adminkonto, og prøvde å sette full tilgang til kontoen manuelt. Men straks jeg gir hvilken som helst konto full tilgang, så kommer det rett etter opp en identisk oppføring med begrenset tilgang. Så derfor får jeg ikke lagt inn full tilgang heller siden noe overstyrer og legger inn nye tilganger med begrensede midler. Får fremdeles ikke kjørt en ting, ikke hijackthis, ikke combofix, ingenting.