wolfmp.exe

30 september, 2004

Hej igen!

Vid 2 st olika tillfällen har jag haft en fil i Documents and Settings under lokala inställningar/temp som heter wolfmp.exe. Hela katalogen har vid båda tillfällena varit omkring 700MB stor. Vanligtvis brukar Documents and Settings katalogen ligga kring 100MB i storlek. Det ser nästan ut som det ligger ett spel i den katalogen med wolfmp.exe. Nu har jag googlat och det kan vara virus eller så är det wolfenstein multiplayer. Nu är det så att jag aldrig har haft wolfenstein installerat på datorn, ej heller har jag hittat nåt virus. Har kört ad-aware och nod32. Har agnitum outpost brandvägg.

Vad kan detta vara och hur har filerna kommit dit?

/D

1 oktober, 2004

För att få bort TrojanSpy.Win32.Wolfmp följ Pestpatrols råd om manuell borttagning:

http://www.pestpatrol.com/pestinfo/t/trojanspy_win32_wolfmp.asp

Har du uppdaterat ad-aware med den version som kom i veckan?

1 oktober, 2004

Jag har tittat på den sidan men jag hittar inte dom filerna som står där.

Förutom uppdaterat ad-aware så kör jag också pestpatrol. men hittar inget.

1 oktober, 2004

Då kanske det inte är just den trojanen i alla fall. Jag antar du har kollat i Kontrollpanelen - Lägg till och ta bort program att där inte finns något du inte känner igen.

Vi kan ju se om HijackThis hittar något.

HijackThis samt instruktioner:

http://www.majorgeeks.com/download3155.html

//eforum.idg.se/viewmsg.asp?EntriesId=618259#618305

1 oktober, 2004

Cecilia!

I kontrollpanelen verkar det se ut som det ska. Här är HJ loggen.

[log]

Running processes:

C:\WINDOWS\System32\smss.exe

C:\WINDOWS\SYSTEM32\winlogon.exe

C:\WINDOWS\system32\services.exe

C:\WINDOWS\system32\lsass.exe

C:\WINDOWS\system32\svchost.exe

C:\WINDOWS\System32\svchost.exe

C:\Program\Eset\nod32krn.exe

C:\WINDOWS\System32\nvsvc32.exe

C:\Program\Agnitum\OUTPOS~1\outpost.exe

C:\WINDOWS\Explorer.EXE

C:\Program\Eset\nod32kui.exe

C:\Program\D-Tools\daemon.exe

E:\fulDC-6.45-hashing_optional\DCPlusPlus.exe

C:\Program\Mozilla Firefox\firefox.exe

C:\HijackThis\HijackThis.exe

--------------------------------------------------

Checking Windows NT UserInit:

[HKLM\Software\Microsoft\Windows NT\CurrentVersion\Winlogon]

UserInit = C:\WINDOWS\system32\userinit.exe,

--------------------------------------------------

Autorun entries from Registry:

HKLM\Software\Microsoft\Windows\CurrentVersion\Run

NvCplDaemon = RUNDLL32.EXE C:\WINDOWS\System32\NvCpl.dll,NvStartup

nod32kui = C:\Program\Eset\nod32kui.exe /WAITSERVICE

Outpost Firewall = C:\Program\Agnitum\OUTPOS~1\outpost.exe /waitservice

DU Meter = C:\Program\DU Meter\DUMeter.exe

DAEMON Tools-1033 = "C:\Program\D-Tools\daemon.exe" -lang 1033

AWMON = "C:\Program\Lavasoft\Ad-Aware SE Professional\Ad-Watch.exe"

--------------------------------------------------

Autorun entries from Registry:

HKCU\Software\Microsoft\Windows\CurrentVersion\RunOnce

MPlayer2_FixUp = C:\WINDOWS\inf\unregmp2.exe /Fixups

--------------------------------------------------

Shell & screensaver key from C:\WINDOWS\SYSTEM.INI:

Shell=*INI section not found*

SCRNSAVE.EXE=*INI section not found*

drivers=*INI section not found*

Shell & screensaver key from Registry:

Shell=Explorer.exe

SCRNSAVE.EXE=C:\WINDOWS\System32\scrnsave.scr

drivers=*Registry value not found*

Policies Shell key:

HKCU\..\Policies: Shell=*Registry key not found*

HKLM\..\Policies: Shell=*Registry value not found*

--------------------------------------------------

Enumerating Task Scheduler jobs:

1-Click Maintenance.job

--------------------------------------------------

Enumerating Download Program Files:

[GDIChk Object]

InProcServer32 = C:\WINDOWS\Downloaded Program Files\GDIChk.dll

CODEBASE = http://www.microsoft.com/security/controls/GDI/0/GDIChk.CAB

--------------------------------------------------

Enumerating ShellServiceObjectDelayLoad items:

PostBootReminder: C:\WINDOWS\system32\SHELL32.dll

CDBurn: C:\WINDOWS\system32\SHELL32.dll

WebCheck: C:\WINDOWS\System32\webcheck.dll

SysTray: C:\WINDOWS\System32\stobject.dll

[/log]

4 oktober, 2004

HijackThis-loggen innehåller inte det den bör.

Starta HijackThis

Tryck på Config-knappen

Se till att alla rutorna utom den första (Mark...) är ikryssade

Tryck på Back

Tryck på Scan

Tryck på Save log

Spara loggen på lämpligt ställe

Kopiera in hela loggen i ditt svar här

4 oktober, 2004

När jag gör som du beskriver så ser det ut så här.

[log]

Logfile of HijackThis v1.98.0

Scan saved at 15:53:49, on 2004-10-04

Platform: Windows XP SP1 (WinNT 5.01.2600)

MSIE: Internet Explorer v6.00 SP1 (6.00.2800.1106)

Running processes:

C:\WINDOWS\System32\smss.exe

C:\WINDOWS\SYSTEM32\winlogon.exe

C:\WINDOWS\system32\services.exe

C:\WINDOWS\system32\lsass.exe

C:\WINDOWS\system32\svchost.exe

C:\WINDOWS\System32\svchost.exe

C:\Program\Eset\nod32krn.exe

C:\WINDOWS\System32\nvsvc32.exe

C:\WINDOWS\Explorer.EXE

C:\Program\Agnitum\OUTPOS~1\outpost.exe

C:\Program\Eset\nod32kui.exe

C:\Program\D-Tools\daemon.exe

C:\Program\dudez\protowall\ProtoWall.exe

C:\Program\Mozilla Firefox\firefox.exe

C:\HijackThis\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.google.se/

O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\System32\NvCpl.dll,NvStartup

O4 - HKLM\..\Run: [nod32kui] C:\Program\Eset\nod32kui.exe /WAITSERVICE

O4 - HKLM\..\Run: [Outpost Firewall] C:\Program\Agnitum\OUTPOS~1\outpost.exe /waitservice

O4 - HKLM\..\Run: [DU Meter] C:\Program\DU Meter\DUMeter.exe

O4 - HKLM\..\Run: [DAEMON Tools-1033] "C:\Program\D-Tools\daemon.exe" -lang 1033

O4 - HKLM\..\Run: [AWMON] "C:\Program\Lavasoft\Ad-Aware SE Professional\Ad-Watch.exe"

O4 - HKCU\..\Run: [ProtoWall] C:\Program\dudez\protowall\ProtoWall.exe

[/log]

4 oktober, 2004

Hej DaveTheBrave

Logfile of HijackThis v1.98.0

Ser att du använder en gammal version av HiJack This.

Ta bort den HiJack This du nu har och hämta hem den nya versionen:

OBS: Det finns en ny version av HiJack This Version 1.98.2

Den kommer zippad. Spara ner zippen till skrivbordet:

1: Skapa en mapp direkt under C:Enheten. Döp mappen till något lämpligt (EX: HiJack This).

2: Öppna zippen som du sparat på skrivbordet. Ta tag i HiJack This och flytta över den till den mapp du nyss skapade på C:Enheten.

OBS: Ej kopiera eller skapa genväg:

3: Sedan kasta zippen som du sparat på skrivbordet.

http://www.majorgeeks.com/download3155.html

Då du gjort ovanstående samt laddat ner HiJack This:

Gör så här:

Bara dubbelklicka så öppnas den. Klicka *scan* och knappen visar *save logfile*. Lägg den någonstans och en textfil kommer upp, kopiera den hit, så får du hjälp att tolka den. Det mesta i logfilen är nödvändiga komponenter, så fixa inget själv.

Då du gjort ovanstående:

Skulle du då vilja kopiera in loggorna från Ad-Aware samt från HJT (HiJack This) hit till tråden. Så skall vi ta en titt.

MVH/Malou

****Ha en fortsatt underbar dag****

Team Lavasoft

Lavasupporten

[inlägget ändrat 2004-10-04 16:13:05 av malou jansson]

4 oktober, 2004

Hej!

Nu är jag mycket undrande här.

Varför skall det här nedanstående göras och i vilket syfte?????????

HijackThis-loggen innehåller inte det den bör.

Starta HijackThis

Tryck på Config-knappen

Se till att alla rutorna utom den första (Mark...) är ikryssade

Tryck på Back

Tryck på Scan

Tryck på Save log

Spara loggen på lämpligt ställe

Kopiera in hela loggen i ditt svar här

MVH/Malou

****Ha en fortsatt underbar dag****

Team Lavasoft

Lavasupporten

4 oktober, 2004

Varför skall det här nedanstående göras och i vilket syfte?????????

Jag skrev det där eftersom loggen från HijackThis saknade info och hade info som man inte brukar se. Eftersom jag inte visste om detta berodde på fel ikryssningar eller felaktigt handhavande så skrev jag en nogrann handledning som skulle täcka in båda fallen.

4 oktober, 2004

Hej Cecilia

Eftersom jag inte visste om detta berodde på fel ikryssningar eller felaktigt handhavande så skrev jag en nogrann handledning som skulle täcka in båda fallen.

Ok. Jättebra.

I regel brukar dessa redan var förinställda i HiJack Thisen och ingenting man behöver göra manuellt (så tillvida användaren inte varit och kryssat av eller i) förståss.

Tänkte först att det var backupper som skulle återställas (då gör man på ett annat sätt), men eftersom ingenting har bockats eller fixats i HJT så kunde det ju inte vara det.

Blev minst sagt orolig här )

MVH/Malou

****Ha en fortsatt underbar dag****

Team Lavasoft

Lavasupporten

5 oktober, 2004

Tack för ert tålamod.

Nu ska vi se om jag fått till det.

[log]

Logfile of HijackThis v1.98.2

Scan saved at 20:33:48, on 2004-10-05

Platform: Windows XP SP1 (WinNT 5.01.2600)

MSIE: Internet Explorer v6.00 SP1 (6.00.2800.1106)

Running processes:

C:\WINDOWS\System32\smss.exe

C:\WINDOWS\SYSTEM32\winlogon.exe

C:\WINDOWS\system32\services.exe

C:\WINDOWS\system32\lsass.exe

C:\WINDOWS\system32\svchost.exe

C:\WINDOWS\System32\svchost.exe

C:\Program\Eset\nod32krn.exe

C:\WINDOWS\System32\nvsvc32.exe

C:\WINDOWS\System32\oodag.exe

C:\Program\Agnitum\OUTPOS~1\outpost.exe

C:\WINDOWS\Explorer.EXE

C:\Program\Eset\nod32kui.exe

C:\Program\DU Meter\DUMeter.exe

C:\Program\D-Tools\daemon.exe

C:\Program\dudez\protowall\ProtoWall.exe

C:\hijackthis\HijackThis.exe