Smitfraud virus

20 juni, 2005

Min dator har drabbats av viruset Trojan-Spy.HTML.Smitfraud.c. Jag skulle bli väldigt glad om någon kunde hjälpa mig att bli av med detta.

Här är min Hijack logg:

[log]Logfile of HijackThis v1.99.1

Scan saved at 17:13:02, on 2005-06-20

Platform: Windows XP (WinNT 5.01.2600)

MSIE: Internet Explorer v6.00 SP1 (6.00.2600.0000)

Running processes:

C:\WINDOWS\System32\smss.exe

C:\WINDOWS\system32\winlogon.exe

C:\WINDOWS\system32\services.exe

C:\WINDOWS\system32\lsass.exe

C:\WINDOWS\system32\svchost.exe

C:\WINDOWS\System32\svchost.exe

C:\WINDOWS\system32\spoolsv.exe

C:\Program\F-Secure\Common\FSM32.EXE

C:\Program\Java\j2re1.4.2_05\bin\jusched.exe

C:\WINDOWS\System32\ctfmon.exe

C:\Program\Messenger\msmsgs.exe

C:\PROGRAM\INCRED~1\bin\ImApp.exe

C:\Program\TELIAA~1\7836882\Program\SERVIC~1.EXE

C:\Program\F-Secure\Anti-Virus\fsgk32st.exe

C:\Program\Telia Anti-Virus\7836882\Program\fspex.exe

C:\Program\Telia Anti-Virus\7836882\program\fsbwsys.exe

C:\Program\F-Secure\Anti-Virus\FSGK32.EXE

C:\Program\F-Secure\Common\FSMA32.EXE

C:\Program\F-Secure\Anti-Virus\fssm32.exe

C:\Program\Delade filer\Microsoft Shared\VS7Debug\mdm.exe

C:\Program\F-Secure\Common\FSMB32.EXE

C:\Program\F-Secure\Common\FCH32.EXE

C:\Program\F-Secure\Common\FAMEH32.EXE

C:\Program\F-Secure\FWES\Program\fsdfwd.exe

C:\Program\F-Secure\Anti-Virus\fsav32.exe

C:\Program\F-Secure\FSGUI\fsguiexe.exe

C:\WINDOWS\System32\wuauclt.exe

C:\Program\Internet Explorer\IEXPLORE.EXE

C:\Documents and Settings\Admin\Skrivbord\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://login1.telia.com/

R1 - HKCU\Software\Microsoft\Internet Connection Wizard,ShellNext = wmplayer.exe

R1 - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings,ProxyOverride = localhost

R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Länkar

F2 - REG:system.ini: Shell=Explorer.exe, msmsgs.exe

O2 - BHO: Yahoo! Companion BHO - {02478D38-C3F9-4efb-9B51-7695ECA05670} - C:\Program\Yahoo!\Companion\Installs\cpn\ycomp5_5_7_0.dll

O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Program\Adobe\Acrobat 6.0\Reader\ActiveX\AcroIEHelper.dll

O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINDOWS\System32\msdxm.ocx

O3 - Toolbar: Yahoo! Companion - {EF99BD32-C1FB-11D2-892F-0090271D4F88} - C:\Program\Yahoo!\Companion\Installs\cpn\ycomp5_5_7_0.dll

O4 - HKLM\..\Run: [F-Secure Manager] "C:\Program\F-Secure\Common\FSM32.EXE" /splash

O4 - HKLM\..\Run: [F-Secure TNB] "C:\Program\F-Secure\TNB\TNBUtil.exe" /CHECKALL /WAITFORSW

O4 - HKLM\..\Run: [sunJavaUpdateSched] C:\Program\Java\j2re1.4.2_05\bin\jusched.exe

O4 - HKLM\..\Run: [F-Secure Startup Wizard] "C:\Program\F-Secure\FSGUI\FSSW.EXE" /reboot

O4 - HKLM\..\Run: [RegSvr32] C:\WINDOWS\System32\msmsgs.exe

O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\ctfmon.exe

O4 - HKCU\..\Run: [MSMSGS] "C:\Program\Messenger\msmsgs.exe" /background

O4 - HKCU\..\Run: [incrediMail] C:\PROGRAM\INCRED~1\bin\IncMail.exe /c

O4 - Global Startup: Microsoft Office.lnk = C:\Program\Microsoft Office\Office10\OSA.EXE

O8 - Extra context menu item: &Add animation to IncrediMail Style Box - C:\PROGRAM\INCRED~1\bin\resources\WebMenuImg.htm

O8 - Extra context menu item: E&xportera till Microsoft Excel - res://C:\Program\MICROS~2\Office10\EXCEL.EXE/3000

O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program\Java\j2re1.4.2_05\bin\npjpi142_05.dll

O9 - Extra 'Tools' menuitem: Sun Java-konsol - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program\Java\j2re1.4.2_05\bin\npjpi142_05.dll

O9 - Extra button: Related - {c95fe080-8f5d-11d2-a20b-00aa003c157a} - C:\WINDOWS\web\related.htm

O9 - Extra 'Tools' menuitem: Show &Related Links - {c95fe080-8f5d-11d2-a20b-00aa003c157a} - C:\WINDOWS\web\related.htm

O23 - Service: Telias säkerhetstjänster (BackWeb Client - 7836882) - Unknown owner - C:\Program\TELIAA~1\7836882\Program\SERVIC~1.EXE

O23 - Service: F-Secure Gatekeeper Handler Starter - F-Secure Corp. - C:\Program\F-Secure\Anti-Virus\fsgk32st.exe

O23 - Service: fsbwsys - F-Secure Corp. - C:\Program\Telia Anti-Virus\7836882\program\fsbwsys.exe

O23 - Service: F-Secure Anti-Virus Firewall Daemon (FSDFWD) - F-Secure Corporation - C:\Program\F-Secure\FWES\Program\fsdfwd.exe

O23 - Service: FSMA - F-Secure Corporation - C:\Program\F-Secure\Common\FSMA32.EXE[/log]

20 juni, 2005

//eforum.idg.se/viewmsg.asp?EntriesId=721250

---

C:\Eforum\Stefan Eklinder>|

"Det finns två företeelser som är oändliga, universum och den mänskliga dumheten. Jag är dock inte säker på den förstnämnda."

- Albert Einstein

-->Passerade 10.000 inlägg den 1 maj 2005 kl: 16.48<--

20 juni, 2005

Jag har läst igenom den tråden som du länkade till, men jag undrar om jag ska göra precis likadant. Har det inte betydelse hur Hijack loggen ser ut? Ska jag t ex köra FIX på samma rader efter att ha scannat med Hijack?

Mvh, matfa

20 juni, 2005

Jag skulle titta på det här t ex:

Zipp. skrev:

Ladda ner KillBox

http://www.bleepingcomputer.com/files/spyware/KillBox.zip

Unzippa den på skrivbordet

Ladda ner och spara smitfraud.reg på skrivbordet

http://www.bleepingcomputer.com/files/reg/smitfraud.reg

...sen skulle jag flukta igenom loggen han postat också. Trojan som trojan, så det borde vara samma filer och annat som ska tas bort. Såvida du inte har lite annat skräp i systemet.

---

C:\Eforum\Stefan Eklinder>|

"Det finns två företeelser som är oändliga, universum och den mänskliga dumheten. Jag är dock inte säker på den förstnämnda."

- Albert Einstein

-->Passerade 10.000 inlägg den 1 maj 2005 kl: 16.48<--

20 juni, 2005

Ladda ner KillBox

http://www.bleepingcomputer.com/files/spyware/KillBox.zip

Unzippa den på skrivbordet

Ladda ner och spara smitfraud.reg på skrivbordet

http://www.bleepingcomputer.com/files/reg/smitfraud.reg

Avinstallera via Kontrollpanelen om det finns

[log]Security IGuard

Virtual Maid

Search Maid

Dubbelklicka på smitfraud.reg du har på skrivbordet och svara Ja

Skapa en ny mapp på C:\ och placera HijackThis.exe dit så C:\HjT\HijackThis.exe

Öppna KillBoxen och bocka i Delete on Reboot

Sen kopiera rader nedan alla på en gång

C:\wp.exe

C:\wp.bmp

C:\bsw.exe

C:\Windows\sites.ini

C:\Windows\popuper.exe

C:\Windows\System32\hhk.dll

C:\Windows\System32\wldr.dll

C:\Windows\System32\helper.exe

C:\Windows\System32\intmon.exe

C:\Windows\System32\shnlog.exe

C:\Windows\system32\perfcii.ini

C:\Windows\System32\intmonp.exe

C:\Windows\System32\msmsgs.exe

C:\Windows\system32\msole32.exe

C:\Windows\System32\ole32vbs.exe

Sen i KillBox klicka File > Paste from Clipboard

Då ska du se att filer är i KillBoxen.

Sen klicka på Delete (röd med vit X)

Svara ja på bägge frågor och om inte datorn startas om automatiskt så starta om den.

Gå sen direkt i FELSÄKERT läge.

Scanna med Hijack bocka i följande rader om dom är kvar och klicka FIX checked

F2 - REG:system.ini: Shell=Explorer.exe, msmsgs.exe

O4 - HKLM\..\Run: [RegSvr32] C:\WINDOWS\System32\msmsgs.exe

O9 - Extra button: Related - {c95fe080-8f5d-11d2-a20b-00aa003c157a} - C:\WINDOWS\web\related.htm

O9 - Extra 'Tools' menuitem: Show &Related Links - {c95fe080-8f5d-11d2-a20b-00aa003c157a} - C:\WINDOWS\web\related.htm

Sen ta bort dessa mappar om dom finns

C:\Program Files\Search Maid

C:\Program Files\Virtual Maid

C:\Windows\System32\Log Files

C:\Program Files\Security IGuard

Starta sen normalt och ny Hijack logg.

[/log]

20 juni, 2005

Hej Zipp och tack för att du vill hjälpa mig.

Jag har följt dina instruktioner och bifogar en ny Hijack logg.

När jag startade om datorn upptäckte mitt virusprogram viruset "Virus.Win32Nsag.a" som inte gick att bekämpa. Det finns i filen "C:\Windows\System32\WININET.DLL".