Trojaner

March 30, 2005

Hej,

är det någon kan hjälpa mig? Min dator blev hijacked och jag fick in flera trojaner. Har tagit bort en del, men har fortfarande kvar problem. Har bla en ickeönskvärd skrivbordsunderläggsbild med röd bakgrund och med texten spyware danger,som jag fick i samband med att jag fick in virus.

(verkar vara en reklam desctop för företaget smartsecurity. Det går inte att byta bild via kontrollpanelen och varje gång jag loggar in i datorn startar utforskaren. Dessutom är iconerna färre än tidigare och det går inte att högerklicka på skrivbordet. Tog bort något ad-aware som hette desctop och skrivbordsbilden försvann temporärt, när jag sedan loggade in i internet så återkom bilden och har sedan dess inte gått få bort. Även när jag skall starta explorer så börjar den alltid med about:blank som startbild. Har tagit bort ett 20 tal trojaner, har kört spybot och ad-aware men problemen kvarstår. Körde hijack this och funderar hur mycket man törs ta bort. I loggen finns bland annat nycklar med about:blank och searchmaid. Tror själv att jag utan risk törs ta bort dessa men är lite osäker. Förmodligen finns även där kommandon som startar oönskade program när jag kommer in i windows.

Här är loggen från hijack this. Vad kan jag deleta?

[log]

Logfile of HijackThis v1.98.2

Scan saved at 16:08:34, on 2005-03-30

Platform: Windows 2000 SP4 (WinNT 5.00.2195)

MSIE: Internet Explorer v6.00 SP1 (6.00.2800.1106)

Running processes:

C:\WINNT\System32\smss.exe

C:\WINNT\system32\csrss.exe

C:\WINNT\system32\services.exe

C:\WINNT\system32\lsass.exe

C:\WINNT\system32\svchost.exe

C:\WINNT\system32\spoolsv.exe

C:\WINNT\system32\mocih.exe

C:\WINNT\SYSTEM32\DNTUS26.EXE

C:\WINNT\System32\svchost.exe

C:\WINNT\system32\regsvc.exe

C:\winnt\system32\microsoft\crypto\backup\msriff\FireDaemon.EXE

c:\winnt\system32\Microsoft\Crypto\backup\msriff\rundll16.exe

C:\WINNT\system32\MSTask.exe

C:\WINNT\System32\WBEM\WinMgmt.exe

C:\WINNT\system32\svchost.exe

C:\Program\Delade filer\Logitech\QCDriver2\LVCOMS.EXE

C:\Program\QuickTime\qttask.exe

C:\Program\Delade filer\Real\Update_OB\realsched.exe

C:\WINNT\system32\Frn.exe

C:\WINNT\system32\RUNDLL32.EXE

C:\WINNT\system32\atau.exe

C:\WINNT\system32\r?ndll32.exe

C:\Program\TerraTec\DMX 6fire\DMX6Fire.exe

C:\Program\Internet Explorer\iexplore.exe

C:\Program\Real\RealPlayer\RealPlay.exe

C:\Program\Delade filer\Real\Update_OB\rnathchk.exe

C:\Program\Microsoft Office\Office\WINWORD.EXE

C:\hijack this\HijackThis.exe

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://www.searchmaid.com/search.php?qq=%s'>http://www.searchmaid.com/search.php?qq=%s'>http://www.searchmaid.com/search.php?qq=%s'>http://www.searchmaid.com/search.php?qq=%s'>http://www.searchmaid.com/search.php?qq=%s

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = about:blank

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://10.0.0.6/sd/init

R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://www.searchmaid.com/search.php?qq=%s

R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Bar = res://C:\DOCUME~1\Roger1\LOKALA~1\Temp\se.dll/spage.html

R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = about:blank

R1 - HKCU\Software\Microsoft\Internet Explorer\Search,CustomizeSearch = http://www.searchmaid.com/search.php?qq=%s

R0 - HKLM\Software\Microsoft\Internet Explorer\Search,SearchAssistant = about:blank

R0 - HKLM\Software\Microsoft\Internet Explorer\Search,CustomizeSearch = http://www.searchmaid.com/search.php?qq=%s

R1 - HKCU\Software\Microsoft\Internet Explorer\SearchURL,(Default) = http://www.searchmaid.com/search.php?qq=%s

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page_bak = http://login1.telia.com/

R1 - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings,ProxyOverride = localhost

R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Länkar

R3 - URLSearchHook: (no name) - _{CFBFAE00-17A6-11D0-99CB-00C04FD64497} - (no file)

O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Program\Adobe\Acrobat 5.0\Reader\ActiveX\AcroIEHelper.ocx

O2 - BHO: (no name) - {4AA97A8D-EE6B-49F4-9BFD-A44ADC57D964} - C:\WINNT\system32\gkoe.dll (file missing)

O2 - BHO: (no name) - {53707962-6F74-2D53-2644-206D7942484F} - C:\Program\Spybot - Search & Destroy\SDHelper.dll

O2 - BHO: (no name) - {AE14983F-07F6-2602-867A-5DB0C81F35CF} - C:\WINNT\system32\odtok.dll

O3 - Toolbar: @msdxmLC.dll,-1@1053,&Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINNT\System32\msdxm.ocx

O4 - HKLM\..\Run: [synchronization Manager] mobsync.exe /logon

O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINNT\system32\NvCpl.dll,NvStartup

O4 - HKLM\..\Run: [nwiz] nwiz.exe /install

O4 - HKLM\..\Run: [LVCOMS] C:\Program\Delade filer\Logitech\QCDriver2\LVCOMS.EXE

O4 - HKLM\..\Run: [inCD] C:\Program\Ahead\InCD\InCD.exe

O4 - HKLM\..\Run: [NeroCheck] C:\WINNT\system32\NeroCheck.exe

O4 - HKLM\..\Run: [Microsoft Netview] mssvc32.exe

O4 - HKLM\..\Run: [QuickTime Task] "C:\Program\QuickTime\qttask.exe" -atboottime

O4 - HKLM\..\Run: [Microsoft Internet Firewall Manager] GMT16.exe

O4 - HKLM\..\Run: [Microsoft Windows Depedency Rerouter] QMS32.exe

O4 - HKLM\..\Run: [Microsoft Windows Kernel Functionalities] msrundll.exe

O4 - HKLM\..\Run: [Microsoft Data Acces Objects] msdao32.exe

O4 - HKLM\..\Run: [TkBellExe] "C:\Program\Delade filer\Real\Update_OB\realsched.exe" -osboot

O4 - HKLM\..\Run: [security iGuard] C:\Program\Security iGuard\Security iGuard.exe

O4 - HKLM\..\Run: [Media Access] C:\Program Files\Media Access\MediaAccK.exe

O4 - HKLM\..\Run: [its] C:\WINNT\system32\Frn.exe

O4 - HKLM\..\Run: [service Host] C:\WINNT\system32\Services\{35170FDE-8E24-41B5-8A1B-F17ED3D88882}\SVCHOST.EXE

O4 - HKLM\..\Run: [khmx] C:\WINNT\khmx.exe

O4 - HKLM\..\Run: [bgk] C:\WINNT\system32\Euj.exe

O4 - HKLM\..\Run: [Aeh] C:\WINNT\Akt.exe

O4 - HKLM\..\Run: [Disk Keeper] C:\DOCUME~1\Roger1\LOKALA~1\Temp\keep.exe

O4 - HKLM\..\Run: [Quk] C:\WINNT\system32\Rfj.exe

O4 - HKLM\..\Run: [Tps] C:\WINNT\system32\Lpv.exe

O4 - HKLM\..\Run: [bhk] C:\WINNT\system32\Uqj.exe

O4 - HKLM\..\Run: [ieh] C:\WINNT\system32\Ven.exe

O4 - HKLM\..\Run: [Kao] C:\WINNT\system32\Eje.exe

O4 - HKLM\..\Run: [Cvb] C:\WINNT\Afm.exe

O4 - HKLM\..\Run: [Pre] C:\WINNT\Dan.exe

O4 - HKLM\..\Run: [Kac] C:\WINNT\Sna.exe

O4 - HKLM\..\RunServices: [Microsoft Netview] mssvc32.exe

O4 - HKLM\..\RunServices: [Microsoft Internet Firewall Manager] GMT16.exe

O4 - HKLM\..\RunServices: [Microsoft Windows Depedency Rerouter] QMS32.exe

O4 - HKLM\..\RunServices: [Microsoft Windows Kernel Functionalities] msrundll.exe

O4 - HKLM\..\RunServices: [Microsoft Data Acces Objects] msdao32.exe

O4 - HKCU\..\Run: [system Soap Pro] C:\PROGRAM\SYSTEM~1\soap.exe min

O4 - HKCU\..\Run: [NvMediaCenter] RUNDLL32.EXE C:\WINNT\System32\NVMCTRAY.DLL,NvTaskbarInit

O4 - HKCU\..\Run: [its] C:\WINNT\system32\Frn.exe

O4 - Global Startup: DMX 6fire 2496 ControlPanel.lnk = C:\Program\TerraTec\DMX 6fire\DMX6Fire.exe

O4 - Global Startup: Adobe Gamma Loader.lnk = C:\Program\Delade filer\Adobe\Calibration\Adobe Gamma Loader.exe

O4 - Global Startup: Microsoft Office.lnk = C:\Program\Microsoft Office\Office\OSA9.EXE

O9 - Extra button: (no name) - {CD67F990-D8E9-11d2-98FE-00C0F0318AFE} - (no file)

O9 - Extra button: Microsoft AntiSpyware helper - {30345CF8-273A-4DAF-83E8-E61127C2DBC9} - (no file) (HKCU)

O9 - Extra 'Tools' menuitem: Microsoft AntiSpyware helper - {30345CF8-273A-4DAF-83E8-E61127C2DBC9} - (no file) (HKCU)

O15 - Trusted Zone: *.iframedollars.biz

O15 - Trusted Zone: *.slotchbar.com

O16 - DPF: {15AD6789-CDB4-47E1-A9DA-992EE8E6BAD6} - http://static.windupdates.com/cab/6247971CanadaInc/ie/bridge-c282.cab

O16 - DPF: {62475759-9E84-458E-A1AB-5D2C442ADFDE} - http://a1540.g.akamai.net/7/1540/52/20040105/qtinstall.info.apple.com/mickey/se/win/QuickTimeFullInstaller.exe

O16 - DPF: {9A9307A0-7DA4-4DAF-B042-5009F29E09E1} (ActiveScan Installer Class) - http://www.pandasoftware.com/activescan/as5/asinst.cab

O16 - DPF: {9E98E84C-79E1-49C3-82EB-798FCD552EFB} - http://advnt01.com/dialer/internazionale_ver4.CAB

[/log]

March 30, 2005

Du har en äldre version av hijackthis, ladda ner senaste versionen

här:http://www.majorgeeks.com/download3155.html ta en ny

log och lägg ut den.

[inlägget ändrat 2005-03-30 17:11:23 av Brynäsarn]

March 30, 2005

Oj, det var mycket i den loggen.

Avsluta dessa program från Aktivitetshanteraren:

DNTUS26.EXE

regsvc.exe

FireDaemon.EXE

rundll16.exe

Frn.exe

atau.exe

r?ndll32.exe

DMX6Fire.exe

Du har bland annat råkat ut för en trojan som stjäl data, loggar knappnedtryckningar, så du bör byta ut alla lösenord. Det står om den här:

http://securityresponse.symantec.com/avcenter/venc/data/backdoor.binghe.html

Skanna med denna online-skanning som förhoppningsvis kan ta bort filerna:

http://security.symantec.com/sscv6/default.asp?langid=ie&venid=sym

Följ sedan anvisningarna för registerändringar enligt den första länken.

Gå till Kontrollpanelen - Lägg till och ta bort program och ta bort:

Security iGuard

Media Acess

och andra okända program.

Security iGuard är inget lämpligt program att ha, du kan läsa om det här:

http://www.spywarewarrior.com/rogue_anti-spyware.htm

Ladda hem antivirus och brandvägg, finns gratis t ex från AVG, Avast resp. Sygate, Kerio.

Skanna med antivirusprogrammet och taa bort det den hittar. Stoppa alla dina otrevligheter som vill ut på internet med brndväggen, så att det inte kommer in nytt hela tiden.

Starta om i felsäkert läge (tryck F8 upprepade gånger under uppstarten) och skanna med antivirusprogram, Ad-aware och Spybot Search & Destroy.

Starta om i normalt läge. Uppdatera HijackThis till den nya versionen 1.99.1 som Brynäsaren skriver. Lägg ut en ny HijackThis-logg.

March 30, 2005

Gratis antivirusprogram kan du ladda ner här:

Avast http://www.avast.com

AVG http://www.grisoft.vom

Gratisversioner av brandväggar:

Sygate http://www.sygate.com

Kerio http://www.kerio.com

March 30, 2005

Tack för svaret!

De program Du ville att jag skulle stänga finns ej.

De jag skulle ta bort finns inte med under "Lägg till och ta bort program.

Skanna online gick inte , fick följande meddelande:

Unable to run Virus Detection

In order to run Virus Detection you must be using Microsoft Internet Explorer 5.0 or higher with ActiveX and Scripting enabled.

När jag skulle fixa i registret fanns inte det jag skulle ta bort. Men där hittade jag något som heter "sp rundll32 C:\..........\temp\se.dll, DllInstall"

Det verkar skumt, hur ska jag gör tro?

March 30, 2005

Antivirus och brandvägg först. Sedan en ny logg-fil från nya versionen av HijackThis, så får vi försöka med den direkt.

March 31, 2005

Hej,

har testat det du föreslog. Lyckades ånyo ta bort 2 trojaner när jag scannade i felsäkert läge. Men när jag skulle logga in på internet (får alltid about:blank) och ändrade till min riktiga startsida så återkom smartsecurity desc top. Har laddat ned den nyare verisonen av hijack this men tycker mig inte se någon större skillnad. Är det bara att formatera datorn tror du? Eller kan jag ta bort några nycklar ifrån hijack this?

[log]

Logfile of HijackThis v1.99.1

Scan saved at 19:29:04, on 2005-03-31

Platform: Windows 2000 SP4 (WinNT 5.00.2195)

MSIE: Internet Explorer v6.00 SP1 (6.00.2800.1106)

Running processes:

C:\WINNT\System32\smss.exe

C:\WINNT\system32\winlogon.exe

C:\WINNT\system32\services.exe

C:\WINNT\system32\lsass.exe

C:\WINNT\system32\svchost.exe

C:\WINNT\system32\spoolsv.exe

C:\WINNT\SYSTEM32\DNTUS26.EXE

C:\WINNT\System32\svchost.exe

C:\WINNT\system32\regsvc.exe

C:\winnt\system32\microsoft\crypto\backup\msriff\FireDaemon.EXE

C:\WINNT\system32\MSTask.exe

c:\winnt\system32\Microsoft\Crypto\backup\msriff\rundll16.exe

C:\WINNT\System32\WBEM\WinMgmt.exe

C:\WINNT\system32\svchost.exe

C:\WINNT\Explorer.EXE