Hur i hevee!! får man bort trojanen?

15 Maj, 2005

Sitter med Windows XP, brandväggen aktiverad.

Har Antivir som antivirusprogram, och Ad-Watch igång.

Men trots all min säkerhet får jag flera gånger om dagen varningar från Antivir att en fil på datorn (oftast i windowskatalogen, och oftast en .exe-fil) är en trojansk häst.

Man kan välja att "deny access", "delete file", "move to quarantine directory" osv.

Men inget hjälper, skiten kommer tillbaks senare vad man än väljer.

Hur f-n får man bort det?

15 Maj, 2005

Du kan börja med att klista in en highjackthislog här

15 Maj, 2005

Ladda ner HijackThis från länken nedan

http://www.bleepingcomputer.com/files/Merijn/HijackThis.zip

Lägg HijackThis.exe i sin egna PERMANENTA MAPP!

e.x C:\HJT

Det är viktigt att skapa en permanent mapp för det t.ex C:\HJT. Detta är nödvändigt eftersom HJT skapar backups som du kan återställa när någonting har gått fel.

Navigera till C:\HJT och dubbelklicka på hijackthis.exe

När programmet startar, klicka på Scan + save logfile knappen.

Kopiera loggen och skicka hit den

Scanna datorn med denna scanner

http://www.spywareinfo.dk/download/mwav.exe

Dubbelklicka på mwav.exe sen klicka Unzip och den skapar automatiskt en ny mapp C:\Kapersky

Sen öppna Kapersky mappen och dubbelklicka på kavupd.exe och leta uppdateringar.

När den är klar så tryck på nån tangent och det blir automatiskt 2 nya mappar på C:\

C:\Bases

C:\Downloads

Öppna Downloads mappen och måla alla filer och Klipp ut

Klicka på Kapersky mappen och klistra in och svara ja till alla.

Sen öppna Kapersky mappen och dubbelklicka på mwavscan.com

Bocka i Drive och Scan All Files.

Sen klicka på Scan och låt den scanna klart.(kan ta upp till 2 timmar)

Kopiera det som blir i nedre fönster.

Först måla svart sen Ctrl+C (kopiera)

Sen Ctrl+V (klista in)

Skicka hit loggen från scannen,alltså allt som kommer i nedre fönster.

15 Maj, 2005

Hijack-loggen:

[log]

Logfile of HijackThis v1.99.1

Scan saved at 15:29:42, on 2005-05-15

Platform: Windows XP SP2 (WinNT 5.01.2600)

MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)

Running processes:

C:\WINDOWS\System32\smss.exe

C:\WINDOWS\SYSTEM32\winlogon.exe

C:\WINDOWS\system32\services.exe

C:\WINDOWS\system32\lsass.exe

C:\WINDOWS\system32\svchost.exe

C:\WINDOWS\System32\svchost.exe

C:\WINDOWS\system32\spoolsv.exe

C:\Program\AVPersonal\AVGUARD.EXE

C:\Program\AVPersonal\AVWUPSRV.EXE

C:\WINDOWS\SYSTEM32\GEARSEC.EXE

C:\WINDOWS\system32\nvsvc32.exe

C:\WINDOWS\system32\svchost.exe

C:\WINDOWS\Explorer.EXE

C:\Program\Java\jre1.5.0_02\bin\jusched.exe

C:\Program\Delade filer\Real\Update_OB\realsched.exe

C:\Program\Lavasoft\AD-AWA~1\Ad-Watch.exe

C:\WINDOWS\CTHELPER.EXE

C:\Program\AVPersonal\AVGNT.EXE

C:\Program\Creative Professional\E-MU PatchMix DSP\EmuPatchMixDSP.exe

C:\WINDOWS\System32\svchost.exe

C:\Program\foobar2000\foobar2000.exe

C:\Program\Mozilla Firefox\firefox.exe

C:\Program\Trillian\trillian.exe

C:\Program\Hijack\HijackThis.exe

R1 - HKCU\Software\Microsoft\Internet Connection Wizard,ShellNext = http://windowsupdate.microsoft.com/

R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Länkar

O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Program\Adobe\Acrobat 5.0\Reader\ActiveX\AcroIEHelper.ocx

O4 - HKLM\..\Run: [QuickTime Task] "C:\Program\QuickTime\qttask.exe" -atboottime

O4 - HKLM\..\Run: [LiveNote] livenote.exe

O4 - HKLM\..\Run: [sunJavaUpdateSched] C:\Program\Java\jre1.5.0_02\bin\jusched.exe

O4 - HKLM\..\Run: [TkBellExe] "C:\Program\Delade filer\Real\Update_OB\realsched.exe" -osboot

O4 - HKLM\..\Run: [NeroFilterCheck] C:\WINDOWS\system32\NeroCheck.exe

O4 - HKLM\..\Run: [AWMON] "C:\Program\Lavasoft\AD-AWA~1\Ad-Watch.exe"

O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\system32\NvCpl.dll,NvStartup

O4 - HKLM\..\Run: [nwiz] nwiz.exe /install

O4 - HKLM\..\Run: [NvMediaCenter] RUNDLL32.EXE C:\WINDOWS\system32\NvMcTray.dll,NvTaskbarInit

O4 - HKLM\..\Run: [CTHelper] CTHELPER.EXE

O4 - HKLM\..\Run: [AVGCtrl] C:\Program\AVPersonal\AVGNT.EXE /min

O4 - HKLM\..\RunOnce: [WIAWizardMenu] RUNDLL32.EXE C:\WINDOWS\system32\sti_ci.dll,WiaCreateWizardMenu

O4 - HKCU\..\Run: [setDefaultMIDI] MIDIDef.exe

O4 - Global Startup: Adobe Gamma Loader.lnk = C:\Program\Delade filer\Adobe\Calibration\Adobe Gamma Loader.exe

O4 - Global Startup: Microsoft Office.lnk = C:\Program\Microsoft Office\Office10\OSA.EXE

O8 - Extra context menu item: E&xportera till Microsoft Excel - res://C:\Program\MICROS~1\Office10\EXCEL.EXE/3000

O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program\Java\jre1.5.0_02\bin\npjpi150_02.dll

O9 - Extra 'Tools' menuitem: Sun Java-konsol - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program\Java\jre1.5.0_02\bin\npjpi150_02.dll

O12 - Plugin for .spop: C:\Program\Internet Explorer\Plugins\NPDocBox.dll

O23 - Service: AntiVir Service (AntiVirService) - H+BEDV Datentechnik GmbH - C:\Program\AVPersonal\AVGUARD.EXE

O23 - Service: AntiVir Update (AVWUpSrv) - H+BEDV Datentechnik GmbH, Germany - C:\Program\AVPersonal\AVWUPSRV.EXE

O23 - Service: GEARSecurity - GEAR Software - C:\WINDOWS\SYSTEM32\GEARSEC.EXE

O23 - Service: ASUS Driver Helper Service (NVSvc) - NVIDIA Corporation - C:\WINDOWS\system32\nvsvc32.exe

O23 - Service: System Startup Service (SvcProc) - Unknown owner - C:\WINDOWS\svcproc.exe[/log]

[inlägget ändrat 2005-05-18 11:07:23 av Erik Junesjö]

15 Maj, 2005

Navigera till hijackthis.exe

Välj scan, bocka i dessa rader:

O23 - Service: System Startup Service (SvcProc) - Unknown owner - C:\WINDOWS\svcproc.exe

Klicka nu på Fix Checked

Gå nu till Start och sen "Kör" och skriv i services.msc

Go to start /run and type services.msc

I rutan som öppnas, scrolla ner till System Startup Service (SvcProc) , högerklicka på den, välj "Egenskaper" och klicka på "Stoppa Tjänsten". När den visar att den är stoppad, klicka sedan på "Startmetod" och välj den till Inaktivierad. Klicka på OK tills du kommer tillbaka till windows.

Väntar nu på mwav scannen..

15 Maj, 2005

Mwav-scannen kommer...hade problem att klistra in den här bara...

får lösa det, kanske dela upp den eller något.

[inlägget ändrat 2005-05-15 20:41:55 av Pez]

15 Maj, 2005

Okej, här är den:

[log]

File C:\WINDOWS\jxcheuu.exe tagged as not-a-virus:AdWare.BetterInternet.c. No Action Taken.

File C:\Documents and Settings\Petter\Lokala inställningar\Temp\APC\aurareco.exe tagged as not-a-virus:AdWare.BetterInternet. No Action Taken.

File C:\Documents and Settings\Petter\Lokala inställningar\Temp\BMK\aurareco.exe tagged as not-a-virus:AdWare.BetterInternet. No Action Taken.

File C:\Documents and Settings\Petter\Lokala inställningar\Temp\COS\aurareco.exe tagged as not-a-virus:AdWare.BetterInternet. No Action Taken.

File C:\Documents and Settings\Petter\Lokala inställningar\Temp\DJU\aurareco.exe tagged as not-a-virus:AdWare.BetterInternet. No Action Taken.

File C:\Documents and Settings\Petter\Lokala inställningar\Temp\DJW\aurareco.exe tagged as not-a-virus:AdWare.BetterInternet. No Action Taken.

File C:\Documents and Settings\Petter\Lokala inställningar\Temp\DUC\aurareco.exe tagged as not-a-virus:AdWare.BetterInternet. No Action Taken.

File C:\Documents and Settings\Petter\Lokala inställningar\Temp\FEU\aurareco.exe tagged as not-a-virus:AdWare.BetterInternet. No Action Taken.

File C:\Documents and Settings\Petter\Lokala inställningar\Temp\JNS\aurareco.exe tagged as not-a-virus:AdWare.BetterInternet. No Action Taken.

File C:\Documents and Settings\Petter\Lokala inställningar\Temp\LGK\aurareco.exe tagged as not-a-virus:AdWare.BetterInternet. No Action Taken.

File C:\Documents and Settings\Petter\Lokala inställningar\Temp\LTU\aurareco.exe tagged as not-a-virus:AdWare.BetterInternet. No Action Taken.

File C:\Documents and Settings\Petter\Lokala inställningar\Temp\QIH\aurareco.exe tagged as not-a-virus:AdWare.BetterInternet. No Action Taken.

File C:\Documents and Settings\Petter\Lokala inställningar\Temp\VRI\aurareco.exe tagged as not-a-virus:AdWare.BetterInternet. No Action Taken.

File C:\Documents and Settings\Petter\Lokala inställningar\Temp\VTH\aurareco.exe tagged as not-a-virus:AdWare.BetterInternet. No Action Taken.

File C:\Documents and Settings\Petter\Lokala inställningar\Temp\YHM\aurareco.exe tagged as not-a-virus:AdWare.BetterInternet. No Action Taken.

File C:\Program\AVPersonal\INFECTED\FYYQRWRERC.EXE.001 tagged as not-a-virus:AdWare.BetterInternet. No Action Taken.

File C:\Program\AVPersonal\INFECTED\FYYQRWRERC.EXE.002 tagged as not-a-virus:AdWare.BetterInternet. No Action Taken.

File C:\Program\AVPersonal\INFECTED\FYYQRWRERC.EXE.003 tagged as not-a-virus:AdWare.BetterInternet. No Action Taken.

File C:\Program\AVPersonal\INFECTED\FYYQRWRERC.EXE.004 tagged as not-a-virus:AdWare.BetterInternet. No Action Taken.

File C:\Program\AVPersonal\INFECTED\FYYQRWRERC.EXE.VIR tagged as not-a-virus:AdWare.BetterInternet. No Action Taken.

File C:\WINDOWS\jxcheuu.exe tagged as not-a-virus:AdWare.BetterInternet.c. No Action Taken.[/log]

[inlägget ändrat 2005-05-18 11:07:02 av Erik Junesjö]

16 Maj, 2005

Vi kör såhär.

Ladda ner Crap Cleaner

"CCleaner"

Den rensar rent i dina Temporära Internetfiler, Cookies m.m.

http://www.majorgeeks.com/download4191.html

Hur man rensar rent och använder Ccleaner:

Du ser nu två fönster i CCleaner:

Det högra fönstret är Status-Fönster:

Här ser du två knappar snett ner till höger i Status-Fönstret:

För flik 1 och 2 heter knapparna Analysera och Starta Rensning

För flik 3 heter knapparna Sök för Issius och Fixa valda Issues

Vänstra Fönstret har tre flikar:

1: ”Windows” är då Microsofts "soptunna" av allt skräp

I "Avancerat" behöver ingenting bockas i . "Default" läget är helt OK

- Klicka på ”Analysera” sedan klicka på Starta rensning i det högra Status-Fönstret.

2: ”Applikationer” är lite blandat med även städning av sk 3:e partsprogram.

- Klicka på ”Analysera” sedan klicka på Starta rensning i det högra Status-Fönstret.

3: "Issues" städar även registret.

- Klicka på ”Sök för Issius” och sedan ”Fixa valda Issues ” i det högra Status-Fönstret

Töm din AVPersonal Quarantine list

C:\WINDOWS\jxcheuu.exe

Sätt nu Windows till att visa gömda filer, det gör du genom:

*Den här datorn -> Klicka på Vertygsfältet

*Verktyg -> Ner till "Mappalternativ"

*Mappalternativ -> Klicka på fliken "Visning"

*Visning -> Ner till listan

*Sätt en bock vid "Visa dolda filer och mappar"

*Avbocka "Dölj filnamstillägg fär kända filtyper"

*Avbocka "Dölj skyddade operativsystemfiler" -> Verkställ och sen OK

Nu måste du starta om datorn i felsäkert läge (tryck F8 upprepade gånger under uppstart):

Leta nu upp dessa filer och mappar

C:\WINDOWS\jxcheuu.exe <== Ta bort filen.

Töm papperskorgen och starta om tillbaka i normalt läge.

Nu är du väl ren, finns inget kvar av mwav.

Skicka hit en ny fräsh hjtlogg så vi kan vara säkra

16 Maj, 2005

Tack för att du tar dig tid att hjälpa mig, uppskattas verkligen.

Följde dina anvisningar och gjorde en ny hijack-scan. Antivir varnade dock för en trojan, så helt frisk är nog inte datorn än.. :-(

[log]Loggen:

Logfile of HijackThis v1.99.1

Scan saved at 21:48:32, on 2005-05-16

Platform: Windows XP SP2 (WinNT 5.01.2600)

MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)

Running processes:

C:\WINDOWS\System32\smss.exe

C:\WINDOWS\SYSTEM32\winlogon.exe

C:\WINDOWS\system32\services.exe

C:\WINDOWS\system32\lsass.exe

C:\WINDOWS\system32\svchost.exe

C:\WINDOWS\System32\svchost.exe

C:\WINDOWS\system32\spoolsv.exe

C:\Program\AVPersonal\AVGUARD.EXE

C:\Program\AVPersonal\AVWUPSRV.EXE

C:\WINDOWS\SYSTEM32\GEARSEC.EXE

C:\WINDOWS\system32\nvsvc32.exe

C:\WINDOWS\system32\svchost.exe

C:\WINDOWS\system32\wuauclt.exe