Instafinder?

9 april, 2005

Har fått ett irriterande återkommande problem...När jag besöker vissa t.ex gästböcker omdirigeras jag till en sida som heter Instafinder...:

http://www.instafinder.com/error2.asp?err=404&url=http%3A%2F%2Fwww%2Eantara%2Ecom%2Eau%2Fguestbook%2Ehtml

Det händer även när jag går "bakåt" på andra siter t.om min egen...

Har Ad-aware och Webroot Spysweeper men inget av dem hittar t.ex ngt spyware...

Någon som vet vad detta kan vara?

Tacksam för all hjälp...

9 april, 2005

Gå in på sidan http://housecall.trendmicro.com/ och gör en gratis virusavsökning där. Den bör ta bort InstaFinder det är ett en sorts adware.

This adware is a Browser Helper Object (BHO) that redirects any invalid URL that users enter to a specific site.

(Note: BHOs are components that IE loads whenever IE starts. Some exploits of BHO technology include searching all pages viewed in IE and replacing banner advertisements with other ads. It sends gathered information to a remote Web site for advertising purposes. It may also download other adware.)

This adware is a .DLL file that is part of another adware package. Once installed by the package, it registers itself as a BHO by adding the following CLSID:

{4E7BD74F-2B8D-469E-DCF7-F96DA086B434}

It is also a search hijacker. When an invalid URL is typed, it redirects the connection to the following site:

www.instafinder.com

Så se till att ta bort det.

En ska till bara. Använd helst en annan webbläsare som Opera eller Mozilla och kör bara Ie när du verkligen behöver det. Den är den mest utsatta av outgrundliga skäl och ingen kan göra något åt det.

[inlägget ändrat 2005-04-10 00:05:00 av Hundbert]

[inlägget ändrat 2005-04-10 00:07:07 av Hundbert]

9 april, 2005

Tack men nu har jag scannat datorn via denna site-men det är samma sak...Intstafinder är fortfarande kvar...Fler tips?

10 april, 2005

Du kan först prova med CWShredder:

http://www.intermute.com/spysubtract/cwshredder_download.html

Välj Download stand-alone version of CWShredder i högerkolumnen.

Om det inte heller hjälper så är det HijackThis som gäller:

http://www.spywareinfo.com/~merijn/downloads.html

Kör, skanna och spara loggen (inget annat).

I ditt svar här skriver du hur det har gått och bifogar loggen på detta sätt:

Tryck på LOG-knappen i Besvara-fönstret

Klistra in loggen

Tryck igen på LOG-knappen

10 april, 2005

Ok-det första fick inte fram något. Men här är loggen på HijackThis scan:

[log]Logfile of HijackThis v1.99.1

Scan saved at 18:38:22, on 2005-04-10

Platform: Windows XP SP2 (WinNT 5.01.2600)

MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)

Running processes:

C:\WINDOWS\System32\smss.exe

C:\WINDOWS\system32\winlogon.exe

C:\WINDOWS\system32\services.exe

C:\WINDOWS\system32\lsass.exe

C:\WINDOWS\system32\svchost.exe

C:\WINDOWS\System32\svchost.exe

C:\WINDOWS\Explorer.EXE

C:\WINDOWS\system32\spoolsv.exe

C:\WINDOWS\System32\igfxtray.exe

C:\WINDOWS\System32\hkcmd.exe

C:\WINDOWS\SOUNDMAN.EXE

C:\WINDOWS\system32\pctspk.exe

C:\WINDOWS\system32\PV92Tray.exe

C:\Program\Delade filer\Symantec Shared\ccApp.exe

C:\Program\Roxio\Easy CD Creator 5\DirectCD\DirectCD.exe

C:\WINDOWS\System32\spool\drivers\w32x86\3\hpztsb05.exe

C:\Program\Microsoft Hardware\Keyboard\type32.exe

C:\Program\QuickTime\qttask.exe

C:\Program\MYWEBS~1\bar\1.bin\mwsoemon.exe

C:\Program\Telia\Supportassistent\bin\tgcmd.exe

C:\WINDOWS\system32\P2P Networking\P2P Networking.exe

C:\Program\Musicmatch\Musicmatch Jukebox\mm_tray.exe

C:\WINDOWS\system32\ctfmon.exe

C:\Program\MUSICM~1\MUSICM~1\MMDiag.exe

C:\Program\Musicmatch\Musicmatch Jukebox\mim.exe

C:\Program\Delade filer\Symantec Shared\ccEvtMgr.exe

C:\Program\Borland\INTRBASE\bin\ibguard.exe

C:\Program\Norton AntiVirus\navapsvc.exe

C:\WINDOWS\System32\svchost.exe

C:\Program\Delade filer\Symantec Shared\Security Center\SymWSC.exe

C:\Program\Borland\INTRBASE\bin\ibserver.exe

C:\Program\Outlook Express\msimn.exe

C:\Program\Internet Explorer\iexplore.exe

C:\Documents and Settings\Administratör\Lokala inställningar\Temporary Internet Files\Content.IE5\I7OF6NU7\HijackThis1991[1].exe

C:\Program\Messenger\msmsgs.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.dogue.nu/swe.html'>http://www.dogue.nu/swe.html

R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.dogue.nu

R1 - HKCU\Software\Microsoft\Internet Connection Wizard,ShellNext = http://windowsupdate.microsoft.com/

R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Länkar

R3 - URLSearchHook: (no name) - {00A6FAF6-072E-44cf-8957-5838F569A31D} - C:\Program\MyWebSearch\SrchAstt\1.bin\MWSSRCAS.DLL

O2 - BHO: MyWebSearch Search Assistant BHO - {00A6FAF1-072E-44cf-8957-5838F569A31D} - C:\Program\MyWebSearch\SrchAstt\1.bin\MWSSRCAS.DLL

O2 - BHO: myBar BHO - {0494D0D1-F8E0-41ad-92A3-14154ECE70AC} - C:\Program\MyWay\myBar\1.bin\MYBAR.DLL

O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Program\Adobe\Acrobat 5.0\Reader\ActiveX\AcroIEHelper.ocx

O2 - BHO: mwsBar BHO - {07B18EA1-A523-4961-B6BB-170DE4475CCA} - C:\Program\MyWebSearch\bar\1.bin\MWSBAR.DLL

O2 - BHO: InstaFinderK - {4E7BD74F-2B8D-469E-90F0-F66AB581A933} - C:\Program\INSTAFINK\instafink.dll

O2 - BHO: NAV Helper - {BDF3E430-B101-42AD-A544-FADC6B084872} - C:\Program\Norton AntiVirus\NavShExt.dll

O3 - Toolbar: Norton AntiVirus - {42CDD1BF-3FFB-4238-8AD1-7859DF00B1D6} - C:\Program\Norton AntiVirus\NavShExt.dll

O3 - Toolbar: My &Search Bar - {0494D0D9-F8E0-41ad-92A3-14154ECE70AC} - C:\Program\MyWay\myBar\1.bin\MYBAR.DLL

O4 - HKLM\..\Run: [igfxTray] C:\WINDOWS\System32\igfxtray.exe

O4 - HKLM\..\Run: [HotKeysCmds] C:\WINDOWS\System32\hkcmd.exe

O4 - HKLM\..\Run: [soundMan] SOUNDMAN.EXE

O4 - HKLM\..\Run: [PCTVOICE] pctspk.exe

O4 - HKLM\..\Run: [PV92TRAY] PV92Tray.exe

O4 - HKLM\..\Run: [ccApp] "C:\Program\Delade filer\Symantec Shared\ccApp.exe"

O4 - HKLM\..\Run: [ccRegVfy] "C:\Program\Delade filer\Symantec Shared\ccRegVfy.exe"

O4 - HKLM\..\Run: [AdaptecDirectCD] "C:\Program\Roxio\Easy CD Creator 5\DirectCD\DirectCD.exe"

O4 - HKLM\..\Run: [HPDJ Taskbar Utility] C:\WINDOWS\System32\spool\drivers\w32x86\3\hpztsb05.exe

O4 - HKLM\..\Run: [intelliType] "C:\Program\Microsoft Hardware\Keyboard\type32.exe"

O4 - HKLM\..\Run: [xglmzmj] C:\WINDOWS\xglmzmj.exe

O4 - HKLM\..\Run: [QuickTime Task] "C:\Program\QuickTime\qttask.exe" -atboottime

O4 - HKLM\..\Run: [zoyexbyqah] C:\WINDOWS\System32\prxwln.exe

O4 - HKLM\..\Run: [symantec NetDriver Monitor] C:\Program\SYMNET~1\SNDMon.exe

O4 - HKLM\..\Run: [MyWebSearch Email Plugin] C:\Program\MYWEBS~1\bar\1.bin\mwsoemon.exe

O4 - HKLM\..\Run: [TeliaTGCMD] "C:\Program\Telia\Supportassistent\bin\tgcmd.exe" /server /startmonitor /deaf

O4 - HKLM\..\Run: [P2P Networking] C:\WINDOWS\system32\P2P Networking\P2P Networking.exe /AUTOSTART

O4 - HKLM\..\Run: [MimBoot] C:\Program\MUSICM~1\MUSICM~1\mimboot.exe

O4 - HKLM\..\Run: [MMTray] "C:\Program\Musicmatch\Musicmatch Jukebox\mm_tray.exe"

O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\ctfmon.exe

O4 - HKCU\..\Run: [MyWebSearch Email Plugin] C:\Program\MYWEBS~1\bar\1.bin\mwsoemon.exe

O4 - Startup: MyWebSearch Email Plugin.lnk = C:\Program\MyWebSearch\bar\1.bin\MWSOEMON.EXE

O4 - Global Startup: Microsoft Office.lnk = C:\Program\Microsoft Office\Office\OSA9.EXE

O4 - Global Startup: MyWebSearch Email Plugin.lnk = C:\Program\MyWebSearch\bar\1.bin\MWSOEMON.EXE

O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program\Messenger\msmsgs.exe

O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program\Messenger\msmsgs.exe

O12 - Plugin for .spop: C:\Program\Internet Explorer\Plugins\NPDocBox.dll

O16 - DPF: {1D4DB7D2-6EC9-47A3-BD87-1E41684E07BB} - http://ak.imgfarm.com/images/nocache/funwebproducts/ei-2/SmileyCentralFWBInitialSetup1.0.0.8-2.cab

O16 - DPF: {1D6711C8-7154-40BB-8380-3DEA45B69CBF} (Web P2P Installer) -

O16 - DPF: {4F1E5B1A-2A80-42CA-8532-2D05CB959537} (MSN Photo Upload Tool) - http://spaces.msn.com//PhotoUpload/MsnPUpld.cab

O16 - DPF: {74D05D43-3236-11D4-BDCD-00C04F9A3B61} (HouseCall Control) - http://a840.g.akamai.net/7/840/537/2004061001/housecall.trendmicro.com/housecall/xscan53.cab

O16 - DPF: {7823A620-9DD9-11CF-A662-00AA00C066D2} (PopupMenu Object) - http://activex.microsoft.com/controls/iexplorer/x86/iemenu.cab

O20 - Winlogon Notify: igfxcui - C:\WINDOWS\SYSTEM32\igfxsrvc.dll

O23 - Service: Symantec Event Manager (ccEvtMgr) - Symantec Corporation - C:\Program\Delade filer\Symantec Shared\ccEvtMgr.exe

O23 - Service: Symantec Password Validation Service (ccPwdSvc) - Symantec Corporation - C:\Program\Delade filer\Symantec Shared\ccPwdSvc.exe

O23 - Service: InterBase Guardian (InterBaseGuardian) - Inprise Corporation - C:\Program\Borland\INTRBASE\bin\ibguard.exe

O23 - Service: InterBase Server (InterBaseServer) - Inprise Corporation - C:\Program\Borland\INTRBASE\bin\ibserver.exe

O23 - Service: Macromedia Licensing Service - Unknown owner - C:\Program\Delade filer\Macromedia Shared\Service\Macromedia Licensing.exe

O23 - Service: Norton AntiVirus Auto Protect Service (navapsvc) - Symantec Corporation - C:\Program\Norton AntiVirus\navapsvc.exe

O23 - Service: ScriptBlocking Service (SBService) - Symantec Corporation - C:\Program\DELADE~1\SYMANT~1\SCRIPT~1\SBServ.exe

O23 - Service: Symantec Network Drivers Service (SNDSrvc) - Symantec Corporation - C:\Program\Delade filer\Symantec Shared\SNDSrvc.exe

O23 - Service: SymWMI Service (SymWSC) - Symantec Corporation - C:\Program\Delade filer\Symantec Shared\Security Center\SymWSC.exe

[/log]

10 april, 2005

Tråden flyttad till Spionprogram (Spyware)

---

C:\Eforum\Stefan Eklinder> moderator Internet - övrigt|

"Det finns två företeelser som är oändliga, universum och den mänskliga dumheten. Jag är dock inte säker på den förstnämnda."

- Albert Einstein

11 april, 2005

Du borde ha en brandvägg. Finns gratis t ex Sygate och Kerio.

Ha internetanslutningen urdragen så mycket som möjligt tills datorn är ren.

Du har P2P Networking igång. Du kan läsa om det här:

http://www.kephyr.com/spywarescanner/library/p2pnetworking/index.phtml

Jag tycker att det är något du borde ta bort enligt anvisningarna där.

Var säker på att du förstår allt nedan innan du fortsätter, fråga annars.

För att du inte ska råka återställa datorn till ett läge med dessa och tidigare otrevligheter i så bör du ta bort alla systemåterställningspunkter genom att avaktivera systemåterställningsfunktionen.

Den här datorn - högerklick - Egenskaper - Systemåterställning

Funktionen ska sedan sättas på när datorn är ren.

I Kontrollpanelen - Lägg till och ta bort program ser du efter om något av dessa finns:

My Search Bar

MyWay Speed Bar

My Web Search Bar

Fun Web Products Easy Installer

liknande namn

okända program

i så fall ta bort dem.

För att HijackThis ska kunna spara säkerhetskopior på det den tar bort måste den körbara filen HijackThis.exe ligga i sin egen mapp. Filen måste laddas ner. Om du laddar ner hijackthis.zip så måste den packas upp så att den körbara filen HijackThis.exe kan användas. Skapa en ny mapp t ex E:\HjT och lägg den körbara filen HijackThis.exe där (sedan kan du slänga den nedladdade filen hijackthis.zip).

[log]Kör HijackThis och skanna. Bocka för dessa rader (om de fortfarande finns kvar):

R3 - URLSearchHook: (no name) - {00A6FAF6-072E-44cf-8957-5838F569A31D} - C:\Program\MyWebSearch\SrchAstt\1.bin\MWSSRCAS.DLL

O2 - BHO: MyWebSearch Search Assistant BHO - {00A6FAF1-072E-44cf-8957-5838F569A31D} - C:\Program\MyWebSearch\SrchAstt\1.bin\MWSSRCAS.DLL

O2 - BHO: myBar BHO - {0494D0D1-F8E0-41ad-92A3-14154ECE70AC} - C:\Program\MyWay\myBar\1.bin\MYBAR.DLL

O2 - BHO: mwsBar BHO - {07B18EA1-A523-4961-B6BB-170DE4475CCA} - C:\Program\MyWebSearch\bar\1.bin\MWSBAR.DLL

O2 - BHO: InstaFinderK - {4E7BD74F-2B8D-469E-90F0-F66AB581A933} - C:\Program\INSTAFINK\instafink.dll

O3 - Toolbar: My &Search Bar - {0494D0D9-F8E0-41ad-92A3-14154ECE70AC} - C:\Program\MyWay\myBar\1.bin\MYBAR.DLL

O4 - HKLM\..\Run: [xglmzmj] C:\WINDOWS\xglmzmj.exe

O4 - HKLM\..\Run: [zoyexbyqah] C:\WINDOWS\System32\prxwln.exe

O4 - HKLM\..\Run: [P2P Networking] C:\WINDOWS\system32\P2P Networking\P2P Networking.exe /AUTOSTART

O4 - HKLM\..\Run: [MyWebSearch Email Plugin] C:\Program\MYWEBS~1\bar\1.bin\mwsoemon.exe

O4 - HKCU\..\Run: [MyWebSearch Email Plugin] C:\Program\MYWEBS~1\bar\1.bin\mwsoemon.exe

O4 - Startup: MyWebSearch Email Plugin.lnk = C:\Program\MyWebSearch\bar\1.bin\MWSOEMON.EXE

O4 - Global Startup: MyWebSearch Email Plugin.lnk = C:\Program\MyWebSearch\bar\1.bin\MWSOEMON.EXE

O16 - DPF: {1D4DB7D2-6EC9-47A3-BD87-1E41684E07BB} - http://ak.imgfarm.com/images/nocache/funwebproducts/ei-2/SmileyCe

ntralFWBInitialSetup1.0.0.8-2.cab

O16 - DPF: {1D6711C8-7154-40BB-8380-3DEA45B69CBF} (Web P2P Installer) -

Avsluta alla program och fönster förutom HijackThis.

Tryck på Fix checked.

Starta om i felsäkert läge (F8 upprepade gånger under uppstarten).

Ställ in Utforskaren så att du kan se alla filer:

Verktyg - (Mapp)alternativ eller liknande - Visning

Välj Visa dolda filer och mappar

Avbocka Dölj filnamnstillägg för kända filtyper

Avbocka Dölj skyddade operativsystemfiler

Bocka för Visa innehållet i systemmappar

Ta bort filerna:

C:\WINDOWS\xglmzmj.exe

C:\WINDOWS\System32\prxwln.exe

Ta bort mapparna:

C:\Program\MyWebSearch

C:\Program\MyWay

C:\Program\INSTAFINK

C:\WINDOWS\system32\P2P Networking

Starta om datorn i normalt läge och ta ut en ny HijackThis-logg.[/log]

[inlägget ändrat 2005-04-11 08:51:00 av Cecilia]

11 april, 2005

Sådärja-nu verkar det vara borta. Tack tusen! HIttade ett program under Ta Bort program som heter InstaFinderK-ska jag ta bort det?

Jag har den branvägg som ligger i XP windowsbrandväggen. Är den inte bra? Borde jag byta?

Loggen ser ut så här nu:

[log]Logfile of HijackThis v1.99.1

Scan saved at 14:02:26, on 2005-04-11

Platform: Windows XP SP2 (WinNT 5.01.2600)

MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)

Running processes:

C:\WINDOWS\System32\smss.exe

C:\WINDOWS\system32\winlogon.exe

C:\WINDOWS\system32\services.exe

C:\WINDOWS\system32\lsass.exe

C:\WINDOWS\system32\svchost.exe

C:\WINDOWS\System32\svchost.exe

C:\WINDOWS\Explorer.EXE

C:\WINDOWS\system32\spoolsv.exe

C:\WINDOWS\System32\igfxtray.exe

C:\WINDOWS\System32\hkcmd.exe

C:\WINDOWS\SOUNDMAN.EXE

C:\WINDOWS\system32\pctspk.exe

C:\WINDOWS\system32\PV92Tray.exe

C:\Program\Delade filer\Symantec Shared\ccApp.exe

C:\Program\Roxio\Easy CD Creator 5\DirectCD\DirectCD.exe

C:\WINDOWS\System32\spool\drivers\w32x86\3\hpztsb05.exe

C:\Program\Microsoft Hardware\Keyboard\type32.exe

C:\Program\QuickTime\qttask.exe

C:\Program\Telia\Supportassistent\bin\tgcmd.exe

C:\Program\Musicmatch\Musicmatch Jukebox\mm_tray.exe

C:\WINDOWS\system32\ctfmon.exe

C:\Program\MUSICM~1\MUSICM~1\MMDiag.exe

C:\Program\Musicmatch\Musicmatch Jukebox\mim.exe

C:\Program\Delade filer\Symantec Shared\ccEvtMgr.exe

C:\Program\Borland\INTRBASE\bin\ibguard.exe

C:\Program\Norton AntiVirus\navapsvc.exe

C:\WINDOWS\System32\svchost.exe

C:\Program\Delade filer\Symantec Shared\Security Center\SymWSC.exe

C:\Program\Messenger\msmsgs.exe

C:\Program\Borland\INTRBASE\bin\ibserver.exe

C:\Documents and Settings\Administratör\Skrivbord\HijackThis1991.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.dogue.nu/swe.html'>http://www.dogue.nu/swe.html

R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.dogue.nu

R1 - HKCU\Software\Microsoft\Internet Connection Wizard,ShellNext = http://windowsupdate.microsoft.com/

R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Länkar

O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Program\Adobe\Acrobat 5.0\Reader\ActiveX\AcroIEHelper.ocx

O2 - BHO: (no name) - {5C8B2A36-3DB1-42A4-A3CB-D426709BBFEB} - (no file)