[MagganS]

Hej! För första gången har vår dator blivit smittad av virus eller spionprogram eller vad det nu är. :thumbsdown: F-secure varnar titt som tätt för SweetIM och det är inte speciellt kul. Är det ett farligt spionprogram eller vad? Och vad gör man för att ta bort det? Hoppas på att få hjälp!
Mvh Maggan

[Cecilia]

Så farligt är det väl inte, men det ska väl gå bra att avinstallera i Kontrollpanelen - Lägg till eller ta bort program och om F-secure hittar något efter det så är det väl bara att låta F-secure ta bort det.

Det är visst något i licensvillkoren som inte är bra, jag har inte studerat dem i detalj.
http://www.systemloo...oolbar_dll.html

[MagganS]

Hej! Jag har redan provat avinstallera på Lägg till/ta bort program. Där låg två stycken SweetIm-program, det mindre fungerade bra att ta bort, det större gick inte - fick meddelande "har inträffat allvarligt fel vid installationen" eller något liknande. Programmet ligger kvar. Kan inte hitta i Utforskaren var det ligger, så jag kommer inte åt att deleta filerna manuellt.
Har försökt låta F-secure ta bort programmet men det verkar inte fungera. Spelar ingen roll om jag lägger det i karantän och sedan tar bort eller om jag klickar på att F-secure ska "ta bort filen". Efter ett tag, vid nästa säkerhetsscanning antar jag, så kommer det upp en virusvarning i alla fall på skärmen.
Mvh

[Cecilia]

Vi kan se om HijackThis visar något. Ladda ner från en av länkarna:
http://www.trendsecu.../HJTInstall.exe
http://www.download....4-10227353.html
Installera, starta och välj "Do a system scan and save a logfile", kopiera loggen som kommer upp (inget annat).

I ditt svar bifogar du HijackThis-loggen på detta sätt:
Tryck på LOG-knappen i Besvara-fönstret
Klistra in loggen
Tryck igen på LOG-knappen

[MagganS]

Logfile of Trend Micro HijackThis v2.0.2 Scan saved at 21:45:07, on 2008-12-08 Platform: Windows XP

Logfile of Trend Micro HijackThis v2.0.2
Scan saved at 21:45:07, on 2008-12-08
Platform: Windows XP SP3 (WinNT 5.01.2600)
MSIE: Internet Explorer v7.00 (7.00.6000.16735)
Boot mode: Normal

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\spoolsv.exe
C:\WINDOWS\Explorer.EXE
C:\WINDOWS\system32\RUNDLL32.EXE
C:\Program\Adobe\Adobe Version Cue\ControlPanel\VersionCueTray.exe
C:\Program\ExtraFilm Hemma\Agent.exe
C:\Program\Telia\Telias Sakerhetstjanster\Common\FSM32.EXE
C:\Program\QuickTime\qttask.exe
C:\Program\TomTom HOME\TomTomHOME.exe
C:\Program\Telia\Supportassistent\bin\sprtcmd.exe
C:\Program\Adobe\Photoshop Album Starter Edition\3.2\Apps\apdproxy.exe
C:\WINDOWS\system32\ctfmon.exe
C:\Program\Google\GoogleToolbarNotifier\GoogleToolbarNotifier.exe
C:\Program\Windows Live\Messenger\msnmsgr.exe
C:\Program\Adobe\Adobe Acrobat 6.0\Distillr\acrotray.exe
C:\Corel\Graphics8\programs\MFIndexer.exe
C:\Program\Telia\Telias Sakerhetstjanster\Anti-Virus\fsgk32st.exe
C:\Program\Telia\Telias Sakerhetstjanster\Common\FSMA32.EXE
C:\Program\Telia\Telias Sakerhetstjanster\Anti-Virus\FSGK32.EXE
C:\WINDOWS\system32\nvsvc32.exe
C:\Program\Telia\Telias Sakerhetstjanster\Common\FSMB32.EXE
C:\WINDOWS\system32\slserv.exe
C:\Program\Telia\Telias Sakerhetstjanster\Common\FCH32.EXE
C:\Program\Analog Devices\SoundMAX\SMAgent.exe
C:\Program\Telia\Supportassistent\bin\sprtsvc.exe
C:\WINDOWS\system32\svchost.exe
C:\Program\Telia\Telias Sakerhetstjanster\Common\FAMEH32.EXE
C:\Program\Telia\Telias Sakerhetstjanster\Anti-Virus\fsqh.exe
C:\Program\Telia\Telias Sakerhetstjanster\FSGUI\fsguidll.exe
C:\Program\Telia\Telias Sakerhetstjanster\FSAUA\program\fsaua.exe
C:\Program\Telia\Telias Sakerhetstjanster\Anti-Virus\fssm32.exe
C:\Program\Telia\Telias Sakerhetstjanster\FWES\Program\fsdfwd.exe
C:\Program\Telia\Telias Sakerhetstjanster\FSAUA\program\fsus.exe
C:\Program\Telia\Telias Sakerhetstjanster\Anti-Virus\fsav32.exe
C:\WINDOWS\system32\msiexec.exe
C:\Program\Java\jre6\bin\jqs.exe
C:\Program\Trend Micro\HijackThis\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.securitasdirect.se/
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://go.microsoft....k/?LinkId=69157
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://go.microsoft....k/?LinkId=54896
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = http://go.microsoft....k/?LinkId=54896
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = http://home.sweetim.com
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Länkar
R3 - Default URLSearchHook is missing
O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Program\Adobe\Adobe Acrobat 6.0\Acrobat\ActiveX\AcroIEHelper.dll
O2 - BHO: Java™ Plug-In SSV Helper - {761497BB-D6F0-462C-B6EB-D4DAF1D92D43} - C:\Program\Java\jre6\bin\ssv.dll
O2 - BHO: (no name) - {7E853D72-626A-48EC-A868-BA8D5E23E045} - (no file)
O2 - BHO: Windows Live inloggningshjälpen - {9030D464-4C02-4ABF-8ECC-5164760863C6} - C:\Program\Delade filer\Microsoft Shared\Windows Live\WindowsLiveLogin.dll
O2 - BHO: Google Toolbar Helper - {AA58ED58-01DD-4d91-8333-CF10577473F7} - c:\program\google\googletoolbar2.dll
O2 - BHO: AcroIEToolbarHelper Class - {AE7CD045-E861-484f-8273-0445EE161910} - C:\Program\Adobe\Adobe Acrobat 6.0\Acrobat\AcroIEFavClient.dll
O2 - BHO: Google Toolbar Notifier BHO - {AF69DE43-7D58-4638-B6FA-CE66B5AD205D} - C:\Program\Google\GoogleToolbarNotifier\3.1.807.1746\swg.dll
O2 - BHO: Windows Live Toolbar Helper - {BDBD1DAD-C946-4A17-ADC1-64B5B4FF55D0} - C:\Program\Windows Live Toolbar\msntb.dll
O2 - BHO: Java™ Plug-In 2 SSV Helper - {DBC80044-A445-435b-BC74-9C25C1C588A9} - C:\Program\Java\jre6\bin\jp2ssv.dll
O2 - BHO: JQSIEStartDetectorImpl - {E7E6F031-17CE-4C07-BC86-EABFE594F69C} - C:\Program\Java\jre6\lib\deploy\jqs\ie\jqs_plugin.dll
O3 - Toolbar: Adobe PDF - {47833539-D0C5-4125-9FA8-0819E2EAAC93} - C:\Program\Adobe\Adobe Acrobat 6.0\Acrobat\AcroIEFavClient.dll
O3 - Toolbar: &Google - {2318C2B1-4965-11d4-9B18-009027A5CD4F} - c:\program\google\googletoolbar2.dll
O3 - Toolbar: Windows Live Toolbar - {BDAD1DAD-C946-4A17-ADC1-64B5B4FF55D0} - C:\Program\Windows Live Toolbar\msntb.dll
O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\system32\NvCpl.dll,NvStartup
O4 - HKLM\..\Run: [nwiz] nwiz.exe /install
O4 - HKLM\..\Run: [NvMediaCenter] RUNDLL32.EXE C:\WINDOWS\system32\NvMcTray.dll,NvTaskbarInit
O4 - HKLM\..\Run: [AdobeVersionCue] C:\Program\Adobe\Adobe Version Cue\ControlPanel\VersionCueTray.exe
O4 - HKLM\..\Run: [ExtraFilmHemmaAgent] "C:\Program\ExtraFilm Hemma\Agent.exe"
O4 - HKLM\..\Run: [F-Secure Manager] "C:\Program\Telia\Telias Sakerhetstjanster\Common\FSM32.EXE" /splash
O4 - HKLM\..\Run: [F-Secure TNB] "C:\Program\Telia\Telias Sakerhetstjanster\FSGUI\TNBUtil.exe" /CHECKALL /WAITFORSW
O4 - HKLM\..\Run: [QuickTime Task] "C:\Program\QuickTime\qttask.exe" -atboottime
O4 - HKLM\..\Run: [TomTomHOME.exe] "C:\Program\TomTom HOME\TomTomHOME.exe" -s
O4 - HKLM\..\Run: [Telia] "C:\Program\Telia\Supportassistent\bin\sprtcmd.exe" /P Telia
O4 - HKLM\..\Run: [SunJavaUpdateSched] "C:\Program\Java\jre6\bin\jusched.exe"
O4 - HKLM\..\Run: [Adobe Photo Downloader] "C:\Program\Adobe\Photoshop Album Starter Edition\3.2\Apps\apdproxy.exe"
O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\ctfmon.exe
O4 - HKCU\..\Run: [swg] C:\Program\Google\GoogleToolbarNotifier\GoogleToolbarNotifier.exe
O4 - HKCU\..\Run: [MsnMsgr] "C:\Program\Windows Live\Messenger\msnmsgr.exe" /background
O4 - HKUS\S-1-5-19\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'LOKAL TJÄNST')
O4 - HKUS\S-1-5-20\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'NETWORK SERVICE')
O4 - HKUS\S-1-5-18\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'SYSTEM')
O4 - HKUS\.DEFAULT\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'Default user')
O4 - Global Startup: Acrobat Assistant.lnk = C:\Program\Adobe\Adobe Acrobat 6.0\Distillr\acrotray.exe
O4 - Global Startup: Adobe Gamma Loader.lnk = C:\Program\Delade filer\Adobe\Calibration\Adobe Gamma Loader.exe
O4 - Global Startup: Corel MEDIA FOLDERS INDEXER 8.LNK = C:\Corel\Graphics8\programs\MFIndexer.exe
O4 - Global Startup: Microsoft Office.lnk = C:\Program\Microsoft Office\Office\OSA9.EXE
O8 - Extra context menu item: &Windows Live Search - res://C:\Program\Windows Live Toolbar\msntb.dll/search.htm
O9 - Extra button: (no name) - {e2e2dd38-d088-4134-82b7-f2ba38496583} - C:\WINDOWS\Network Diagnostic\xpnetdiag.exe
O9 - Extra 'Tools' menuitem: @xpsp3res.dll,-20001 - {e2e2dd38-d088-4134-82b7-f2ba38496583} - C:\WINDOWS\Network Diagnostic\xpnetdiag.exe
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program\Messenger\msmsgs.exe
O15 - Trusted Zone: www.postfoto.se
O16 - DPF: {20A60F0D-9AFA-4515-A0FD-83BD84642501} (Checkers Class) - http://messenger.zon...kr.cab56986.cab
O16 - DPF: {230C3D02-DA27-11D2-8612-00A0C93EEA3C} (SAXFile FileUpload ActiveX Control) - http://www.postfoto....ile/saxfile.cab
O16 - DPF: {B8BE5E93-A60C-4D26-A2DC-220313175592} (MSN Games - Installer) - http://messenger.zon...ro.cab56649.cab
O16 - DPF: {BD393C14-72AD-4790-A095-76522973D6B8} (CBreakshotControl Class) - http://messenger.zon...ot.cab57213.cab
O16 - DPF: {C3F79A2B-B9B4-4A66-B012-3EE46475B072} (MessengerStatsClient Class) - http://messenger.zon...nt.cab56907.cab
O16 - DPF: {C9386579-3C0F-4713-82C6-5BA8088C7C8D} (Windows Live SkyDrive Upload Tool) - https://secure.share....RichUpload.cab
O16 - DPF: {E008A543-CEFB-4559-912F-C27C2B89F13B} (Domino Web Access 7 Control) - https://webmail.secu...t.com/dwa7W.cab
O23 - Service: AdobeVersionCue - Adobe Sytems - C:\Program\Adobe\Adobe Version Cue\service\VersionCue.exe
O23 - Service: F-Secure Gatekeeper Handler Starter - F-Secure Corporation - C:\Program\Telia\Telias Sakerhetstjanster\Anti-Virus\fsgk32st.exe
O23 - Service: F-Secure Automatic Update Agent (FSAUA) - F-Secure Corporation - C:\Program\Telia\Telias Sakerhetstjanster\FSAUA\program\fsaua.exe
O23 - Service: F-Secure Anti-Virus Firewall Daemon (FSDFWD) - F-Secure Corporation - C:\Program\Telia\Telias Sakerhetstjanster\FWES\Program\fsdfwd.exe
O23 - Service: FSMA - F-Secure Corporation - C:\Program\Telia\Telias Sakerhetstjanster\Common\FSMA32.EXE
O23 - Service: Google Updater Service (gusvc) - Google - C:\Program\Google\Common\Google Updater\GoogleUpdaterService.exe
O23 - Service: Java Quick Starter (JavaQuickStarterService) - Sun Microsystems, Inc. - C:\Program\Java\jre6\bin\jqs.exe
O23 - Service: NVIDIA Display Driver Service (NVSvc) - NVIDIA Corporation - C:\WINDOWS\system32\nvsvc32.exe
O23 - Service: SmartLinkService (SLService) - - C:\WINDOWS\SYSTEM32\slserv.exe
O23 - Service: SoundMAX Agent Service (SoundMAX Agent Service (default)) - Analog Devices, Inc. - C:\Program\Analog Devices\SoundMAX\SMAgent.exe
O23 - Service: SupportSoft Sprocket Service (telia) (sprtsvc_telia) - SupportSoft, Inc. - C:\Program\Telia\Supportassistent\bin\sprtsvc.exe
O23 - Service: SupportSoft RemoteAssist - SupportSoft, Inc. - C:\Program\Delade filer\SupportSoft\bin\ssrc.exe

--
End of file - 9788 bytes

[Cecilia]

Nä, finns inget med SweetIM där och det brukar synas. Nästa gång F-secure hittar det så skriv i ditt svar här exakt i vilken fil och mapp det hittas.

[MagganS]

Tack, vad du är snäll!!! Det är hemdatorn det gäller och där sitter jag inte så ofta i veckorna så det kan ta några dagar innan jag "får napp". Men jag återkommer. Ha det gott tills dess!
Mvh Maggan

[MagganS]

Lät datorn stå på och fick upp virusvarningen. Tog bort följande fil:

C:\System Volume Information\_restore{02E2CA74-CB97-47FD-AC8A-38631AC0C159}\RP495\A0113361.dll Åtgärd: tagits bort

Sökte i Utforskaren efter ovanstående men den gick inte att hitta. Iofs efter att jag låtit F-secure ta bort filen men även vid manuellt letande direkt under C: så finns inte ens någon System Volume Information-katalog.

Ögnade igenom HijackThis-loggen och såg följande rad:

R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = http://home.sweetim.com

Säger inte mig något men kanske ser du någon betydelse?

[Bosse-i-skogen]

SweetIm, http://www.sweetim.com/, är inget farligt enligt min erfarenhet och lite googlande. http://www.truste.or...=102&sealid=112

Det du gör när du installerar det (för att få miljoner olika blinknigar med mera att använda i messenger) är att en toolbar läggs till i internet explorer. Vill du använda programet så kan du bara dölja toolbaren, eller ha den kvar.

Men det störiga är att om den du skickar en blinkning till i messenger inte har sweetIm installerat så skickas en konstig länk istället för din blinkning och detta kan ju göra den andra nervös. Men om motparten klickar på länken och installerar sweetIm så kan ni ju ha kul med att skicka en massa i messenger.

Mitt förlag för att avinstallera sweetIm är att helt enkelt installera det igen med f-secure avstängt och sen avinstallera det igen med ett riktig avinstallationsprogrem. Det går med lägg till/ta bort program också men ofta ligger det då rester kvar i registret och på andra ställen.

Två poster är det som ska avinstalleras. Om du bara avistallerar toolbaren så åker även hela sweetIm.

Bosse
http://bosse.bloggar.nu

[Inlägget ändrat 2008-12-09 00:09:32 av Bosse-i-skogen]

[Cecilia]

Förlåt, läste loggen lite slarvigt där, just den raden betyder bara att sweetim.com är startsida, inte att det finns något i datorn som har med SweetIM att göra.

Skanna med HijackThis och bocka för:

R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = http://home.sweetim.com

Avsluta alla andra program.
Tryck Fix checked.

C:\System Volume Information\_restore är stället där systemåterställningsfunktionen lagrar olika systemåterställningspunkter. Det betyder att medan din dator hade SweetIM installerad så skapade Windows en systemåterställningspunkt. Så länge som de filerna ligger i den mappen så är de ofarliga. Däremot så om du återställer till en tidigare tidpunkt så blir även SweetIM återställd.

Du kan ta bort samtliga systemåterställningspunkter genom att stänga av systemåterställningsfunktionen, starta om datorn och så slå på funktionen igen. Skapa sedan en ny punkt.
Systemåterställningsfunktionen slår man av och på här:
Högerklick på Den här datorn - Egenskaper - Systemåterställning

[Cecilia]

Citat

SweetIm, http://www.sweetim.com/, är inget farligt enligt min erfarenhet

Det är ju inte farligt på det sättet att det ställer till något med datorn. Utan det är licensvillkoren
http://www.eulascan....ct.aspx?pid=146
som inte är riktigt schyssta, där Macrogaming får rätten att använda personlig information som man har skrivit i MSN, t ex samtliga konversationer.

[Bosse-i-skogen]

Citat

Det är ju inte farligt på det sättet att det ställer till något med datorn. Utan det är licensvillkoren
http://www.eulascan....ct.aspx?pid=146
som inte är riktigt schyssta, där Macrogaming får rätten att använda personlig information som man har skrivit i MSN, t ex samtliga konversationer.

Usch då! Det gäller att läsa det finstilta! Jag förstår inte hur programet kan hamna på en sida för thrusted sites när de har dessa villkor. Jag testade det några dagar men det var bara tråkigt och "för mycket" blinkningar att välja mellan. Jag fick beslutsångest om vilken blinkning jag skulle skicka. :D


Bosse
http://bosse.bloggar.nu

[Cecilia]

Citat

Jag fick beslutsångest om vilken blinkning jag skulle skicka. :D

Hehe :)

[MagganS]

Mmmmm, jag har förstått att det är något sådant skräp. Så går det när dottern får "låna" datorn och chatta med kompisarna på msn. Lär bli striktare förhållningsorder hädanefter kan jag lova. Har fått klart för mig att det inte är något spionprogram i den bemärkelsen att man ska vara aktsam vid t ex ärenden i Internet-banken. Det som är mest störande är att virusvarningar kommer upp titt som tätt. Är ju iofs inga problem att åtgärda där, men risken är ju att man blir lite blasé och inte reagerar om/när det kommer en varning för ett annat virus. Ingen bra idé alltså att låta detta sk*t ligga kvar.

[MagganS]

OK, men jag vill ju inte ha detta program som en av mina startsidor. Försvinner det automatiskt sedan, när programmet väl är bortplockat eller behöver jag ta bort det ur Explorer-uppstarten också?

När du skriver att jag ska "skapa en ny återställningspunkt", hur gör man det? Är det genom att slå på systemåterställningsfunktionen efteråt? Eller finns det som val när man väl är där? Är på jobbet nu och vill inte testa här. Kolla hemma ikväll.

[Bosse-i-skogen]

Citat

OK, men jag vill ju inte ha detta program som en av mina startsidor. Försvinner det automatiskt sedan, när programmet väl är bortplockat eller behöver jag ta bort det ur Explorer-uppstarten också?

Startsidan ändrar du till vad du vill i Internetalternativ i kontrollpanelen efter avinstalltionen av sweetim.

Jag hade gjort så här:

Eftersom sweetim inte är farligt med risk för att du får in virus i datorn så är det ju, som jag skriver i ett tidigare inlägg, enklast att inaktivera f-secure, installera sweetim igen och avinstallera det igen utan att starta om datorn. På detta sättet är installationen intakt utan att f-secure på något vis rört till det genom att ta bort, bytt namn eller lagt någon av sweetim:s filer i karantän. Och då ska avinstallation inte vara något problem.

Bosse
http://bosse.bloggar.nu

[Cecilia]

Citat

OK, men jag vill ju inte ha detta program som en av mina startsidor. Försvinner det automatiskt sedan, när programmet väl är bortplockat eller behöver jag ta bort det ur Explorer-uppstarten också?

När du fixar så som jag skrev med HijackThis så är startsidan borta från Internet Explorer.

Citat

När du skriver att jag ska "skapa en ny återställningspunkt", hur gör man det?

Om du inte ser till det när du slår på funktionen så hojta till.