¨trojan som jag inte lyckas ta bort! hjälp!

7 september, 2005

Norton Internet Security hittar följande. En trojan i C:/x.cab har infekterat filen vbsys.dll. Programmet kan inte sätta trojanen i karantän eller ta bort den. Kan nån hjälpa mig? Jag är inte nån hacker!

7 september, 2005

Försök först med antispionprogrammen Ad-aware och Spybot S&D:

http://www.lavasoft.com

http://www.safer-networking.org/en/download/index.html

Installlera och kör programmen och låt dem ta bort allt kritiskt resp. rödmarkerat som de hittar.

Om det inte hjälper så är det dags för HijackThis. Programmet finns här:

http://www.spywareinfo.com/~merijn/downloads.html

Kör, skanna och spara loggen (inget annat).

I ditt svar här så bifogar du HijackThis-loggen på detta sätt:

Tryck på LOG-knappen i Besvara-fönstret

Klistra in loggen

Tryck igen på LOG-knappen

7 september, 2005

[log]Logfile of HijackThis v1.99.1

Scan saved at 18:58:20, on 2005-09-07

Platform: Windows XP SP2 (WinNT 5.01.2600)

MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)

Running processes:

C:\WINDOWS\System32\smss.exe

C:\WINDOWS\system32\winlogon.exe

C:\WINDOWS\system32\services.exe

C:\WINDOWS\system32\lsass.exe

C:\WINDOWS\System32\Ati2evxx.exe

C:\WINDOWS\system32\svchost.exe

C:\WINDOWS\System32\svchost.exe

C:\WINDOWS\system32\spoolsv.exe

C:\WINDOWS\system32\Ati2evxx.exe

C:\WINDOWS\Explorer.EXE

C:\Program\Delade filer\Symantec Shared\ccProxy.exe

C:\Program\Delade filer\Symantec Shared\ccSetMgr.exe

C:\Program\Norton Internet Security\ISSVC.exe

C:\Program\Norton Internet Security\Norton AntiVirus\navapsvc.exe

C:\Program\Delade filer\Symantec Shared\SNDSrvc.exe

C:\Program\Analog Devices\SoundMAX\SMAgent.exe

C:\Program\Delade filer\Symantec Shared\SPBBC\SPBBCSvc.exe

C:\Program\Delade filer\Symantec Shared\CCPD-LC\symlcsvc.exe

C:\Program\Delade filer\Symantec Shared\ccEvtMgr.exe

C:\Program\Apoint2K\Apoint.exe

C:\WINDOWS\AGRSMMSG.exe

C:\Program\ATI Technologies\ATI Control Panel\atiptaxx.exe

C:\Program\Java\j2re1.4.2_05\bin\jusched.exe

C:\Program\HP\Digital Imaging\Unload\hpqcmon.exe

C:\Program\HP\HP Share-to-Web\hpgs2wnd.exe

C:\Program\HPQ\Quick Launch Buttons\EabServr.exe

C:\WINDOWS\System32\hphmon05.exe

C:\Program\Hewlett-Packard\HP Software Update\HPWuSchd.exe

C:\Program\Delade filer\Symantec Shared\ccApp.exe

C:\Program\iTunes\iTunesHelper.exe

C:\Program\QuickTime\qttask.exe

C:\Program\HP\HP Share-to-Web\hpgs2wnf.exe

C:\Program\Logitech\MediaLife\MediaLifeService.exe

C:\WINDOWS\system32\ctfmon.exe

C:\Program\Apoint2K\Apntex.exe

C:\Program\iPod\bin\iPodService.exe

C:\Program\MSN Messenger\MsnMsgr.Exe

C:\Program\HP\Digital Imaging\bin\hpqtra08.exe

C:\Program\Nikon\PictureProject\NkbMonitor.exe

C:\WINDOWS\System32\svchost.exe

C:\Program\Delade filer\Symantec Shared\NMain.exe

C:\Program\Internet Explorer\iexplore.exe

C:\Program\Delade filer\Symantec Shared\AdBlocking\NSMdtr.exe

C:\Program\Messenger\msmsgs.exe

C:\DOCUME~1\LINUS&~1\LOKALA~1\Temp\Temporär katalog 1 för hijackthis[1].zip\HijackThis.exe

R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://www.hp.com

R1 - HKCU\Software\Microsoft\Internet Connection Wizard,ShellNext = http://www.hp.com/

R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Länkar

O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Program\Adobe\Acrobat 6.0\Reader\ActiveX\AcroIEHelper.dll

O2 - BHO: (no name) - {53707962-6F74-2D53-2644-206D7942484F} - C:\Program\Spybot - Search & Destroy\SDHelper.dll

O2 - BHO: Norton Internet Security - {9ECB9560-04F9-4bbc-943D-298DDF1699E1} - C:\Program\Delade filer\Symantec Shared\AdBlocking\NISShExt.dll

O2 - BHO: NAV Helper - {BDF3E430-B101-42AD-A544-FADC6B084872} - C:\Program\Norton Internet Security\Norton AntiVirus\NavShExt.dll

O3 - Toolbar: Norton Internet Security - {0B53EAC3-8D69-4b9e-9B19-A37C9A5676A7} - C:\Program\Delade filer\Symantec Shared\AdBlocking\NISShExt.dll

O3 - Toolbar: Norton AntiVirus - {42CDD1BF-3FFB-4238-8AD1-7859DF00B1D6} - C:\Program\Norton Internet Security\Norton AntiVirus\NavShExt.dll

O4 - HKLM\..\Run: [Apoint] C:\Program\Apoint2K\Apoint.exe

O4 - HKLM\..\Run: [AGRSMMSG] AGRSMMSG.exe

O4 - HKLM\..\Run: [ATIModeChange] Ati2mdxx.exe

O4 - HKLM\..\Run: [Cpqset] C:\Program\HPQ\Default Settings\cpqset.exe

O4 - HKLM\..\Run: [ATIPTA] C:\Program\ATI Technologies\ATI Control Panel\atiptaxx.exe

O4 - HKLM\..\Run: [sunJavaUpdateSched] C:\Program\Java\j2re1.4.2_05\bin\jusched.exe

O4 - HKLM\..\Run: [CamMonitor] C:\Program\HP\Digital Imaging\Unload\hpqcmon.exe

O4 - HKLM\..\Run: [share-to-Web Namespace Daemon] C:\Program\HP\HP Share-to-Web\hpgs2wnd.exe

O4 - HKLM\..\Run: [eabconfg.cpl] C:\Program\HPQ\Quick Launch Buttons\EabServr.exe /Start

O4 - HKLM\..\Run: [updateManager] "C:\Program\Delade filer\Sonic\Update Manager\sgtray.exe" /r

O4 - HKLM\..\Run: [HPHUPD05] c:\Program\HP\{45B6180B-DCAB-4093-8EE8-6164457517F0}\hphupd05.exe

O4 - HKLM\..\Run: [HPHmon05] C:\WINDOWS\System32\hphmon05.exe

O4 - HKLM\..\Run: [HP Software Update] "C:\Program\Hewlett-Packard\HP Software Update\HPWuSchd.exe"

O4 - HKLM\..\Run: [ccApp] "C:\Program\Delade filer\Symantec Shared\ccApp.exe"

O4 - HKLM\..\Run: [symantec NetDriver Monitor] C:\Program\SYMNET~1\SNDMon.exe /Consumer

O4 - HKLM\..\Run: [iTunesHelper] C:\Program\iTunes\iTunesHelper.exe

O4 - HKLM\..\Run: [QuickTime Task] "C:\Program\QuickTime\qttask.exe" -atboottime

O4 - HKLM\..\Run: [PCMService] "C:\Program\Logitech\MediaLife\MediaLifeService.exe"

O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\ctfmon.exe

O4 - HKCU\..\Run: [MsnMsgr] "C:\Program\MSN Messenger\MsnMsgr.Exe" /background

O4 - Global Startup: Adobe Gamma Loader.lnk = C:\Program\Delade filer\Adobe\Calibration\Adobe Gamma Loader.exe

O4 - Global Startup: HP Digital Imaging Monitor.lnk = C:\Program\HP\Digital Imaging\bin\hpqtra08.exe

O4 - Global Startup: Microsoft Office.lnk = C:\Program\Microsoft Office\Office10\OSA.EXE

O4 - Global Startup: NkbMonitor.exe.lnk = C:\Program\Nikon\PictureProject\NkbMonitor.exe

O8 - Extra context menu item: E&xport to Microsoft Excel - res://C:\Program\MICROS~3\Office10\EXCEL.EXE/3000

O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program\Java\j2re1.4.2_05\bin\npjpi142_05.dll

O9 - Extra 'Tools' menuitem: Sun Java-konsol - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program\Java\j2re1.4.2_05\bin\npjpi142_05.dll

O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program\Messenger\msmsgs.exe

O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program\Messenger\msmsgs.exe

O14 - IERESET.INF: START_PAGE_URL=http://www.hp.com

O16 - DPF: {288C5F13-7E52-4ADA-A32E-F5BF9D125F98} (CR64Loader Object) - http://www.miniclip.com/inflaterball/miniclipGameLoader.dll

O16 - DPF: {3A7FE611-1994-4EF1-A09F-99456752289D} - http://install.wildtangent.com/ActiveLauncher/ActiveLauncher.cab

O16 - DPF: {6414512B-B978-451D-A0D8-FCFDF33E833C} (WUWebControl Class) - http://v5.windowsupdate.microsoft.com/v5consumer/V5Controls/en/x86/client/wuweb_site.cab?1100191605375

O16 - DPF: {B38870E4-7ECB-40DA-8C6A-595F0A5519FF} (MsnMessengerSetupDownloadControl Class) - http://messenger.msn.com/download/msnmessengersetupdownloader.cab

O16 - DPF: {B8BE5E93-A60C-4D26-A2DC-220313175592} (ZoneIntro Class) - http://zone.msn.com/binFramework/v10/ZIntro.cab34246.cab

O16 - DPF: {C4925E65-7A1E-11D2-8BB4-00A0C9CC72C3} (Virtools WebPlayer Class) - http://a532.g.akamai.net/f/532/6712/4h/player.virtools.com/downloads/player/Install3.0/Installer.exe

O16 - DPF: {DF780F87-FF2B-4DF8-92D0-73DB16A1543A} (PopCapLoader Object) - http://www.shockwave.com/content/insaniquarium/popcaploader_v6.cab

O23 - Service: Ati HotKey Poller - Unknown owner - C:\WINDOWS\System32\Ati2evxx.exe

O23 - Service: Symantec Event Manager (ccEvtMgr) - Symantec Corporation - C:\Program\Delade filer\Symantec Shared\ccEvtMgr.exe

O23 - Service: Symantec Network Proxy (ccProxy) - Symantec Corporation - C:\Program\Delade filer\Symantec Shared\ccProxy.exe

O23 - Service: Symantec Password Validation (ccPwdSvc) - Symantec Corporation - C:\Program\Delade filer\Symantec Shared\ccPwdSvc.exe

O23 - Service: Symantec Settings Manager (ccSetMgr) - Symantec Corporation - C:\Program\Delade filer\Symantec Shared\ccSetMgr.exe

O23 - Service: iPod-tjänst (iPodService) - Apple Computer, Inc. - C:\Program\iPod\bin\iPodService.exe

O23 - Service: ISSvc (ISSVC) - Symantec Corporation - C:\Program\Norton Internet Security\ISSVC.exe

O23 - Service: Norton AntiVirus Auto Protect-tjänst (navapsvc) - Symantec Corporation - C:\Program\Norton Internet Security\Norton AntiVirus\navapsvc.exe

O23 - Service: SAVScan - Symantec Corporation - C:\Program\Norton Internet Security\Norton AntiVirus\SAVScan.exe

O23 - Service: ScriptBlocking Service (SBService) - Symantec Corporation - C:\Program\DELADE~1\SYMANT~1\SCRIPT~1\SBServ.exe

O23 - Service: Symantec Network Drivers Service (SNDSrvc) - Symantec Corporation - C:\Program\Delade filer\Symantec Shared\SNDSrvc.exe

O23 - Service: SoundMAX Agent Service (SoundMAX Agent Service (default)) - Analog Devices, Inc. - C:\Program\Analog Devices\SoundMAX\SMAgent.exe

O23 - Service: Symantec SPBBCSvc (SPBBCSvc) - Symantec Corporation - C:\Program\Delade filer\Symantec Shared\SPBBC\SPBBCSvc.exe

O23 - Service: Symantec Core LC - Symantec Corporation - C:\Program\Delade filer\Symantec Shared\CCPD-LC\symlcsvc.exe

[/log]

7 september, 2005

Adwre och Spybot hittade grejer båda två men inte den. Denhittade dock nån slags "Firewall-disbler" som jag är glad att bli av med. Hjälper Log-filen på nåt sätt?

Vad gör förresten den här trojanen, vet du det? Jag vågar inte göra bankärendeno dyl förrän det här är fixat.

Tack förresten Cecilia!!!

[inlägget ändrat 2005-09-07 19:53:36 av Limoa]

8 september, 2005

Tack för poängen!

Då ska vi se.

Eftersom filen C:\x.cab inte syns till i loggen (vilket jag har sett förr) så betyder det att trojanen med stor sannolikhet inte är aktiv, antingen så har Norton förhindrat det eller så har Ad-aware/Spybot gjort det. Jag vet inte vad trojanen heter och då är det svårt att veta vad den gör. Det är alltid ett klokt val att undvika internetbanker och liknande ställen när man har otrevligheter i datorn.

Var säker på att du förstår allt nedan innan du fortsätter, fråga annars.

För att du inte ska råka återställa datorn till ett läge med dessa otrevligheter i så bör du ta bort alla systemåterställningspunkter genom att avaktivera systemåterställningsfunktionen.

Den här datorn - högerklick - Egenskaper - Systemåterställning

Funktionen ska sedan sättas på när datorn är ren.

För att HijackThis ska kunna spara säkerhetskopior på det den tar bort måste den körbara filen HijackThis.exe ligga i sin egen mapp och får inte köras innifrån den nedladdade filen hijackthis.zip. Skapa en ny mapp t ex C:\HjT och lägg den körbara filen HijackThis.exe där. Släng den nedladdade filen hijackthis.zip, den behövs inte längre.

Gå till Kontrollpanelen - Lägg till och ta bort program, om du där har Wild Tangent så ta bort den.

[log]Kör HijackThis och skanna. Bocka för dessa rader:

O16 - DPF: {3A7FE611-1994-4EF1-A09F-99456752289D} - http://install.wildtangent.com/ActiveLauncher/ActiveLauncher.cab

O16 - DPF: {DF780F87-FF2B-4DF8-92D0-73DB16A1543A} (PopCapLoader Object) - http://www.shockwave.com/content/insaniquarium/popcaploader_v6.cab

Avsluta alla program och fönster förutom HijackThis.

Tryck på Fix checked.

Starta om datorn i felsäkert läge, genom att trycka upprepade gånger på F8 under uppstarten och sedan välja Felsäkert i menyn.

Ställ in Utforskaren så att du kan se alla filer:

Verktyg - (Mapp)alternativ eller liknande - Visning

Välj Visa dolda filer och mappar

Avbocka Dölj filnamnstillägg för kända filtyper

Avbocka Dölj skyddade operativsystemfiler

Ta bort filen (om den fortfarande finns kvar):

C:\x.cab

Ta bort mappen (om den finns):

C:\Program\Wild Tangent

Starta om datorn i normalt läge och ta ut en ny HijackThis-logg. I ditt svar här så skriver du hur det har gått samt klistrar in HijackThis-loggen.[/log]

8 september, 2005

Oj, vilken instruktion. Den borde jag klara! Får dock vänta till efter jobbet. Återkommer vid 18tiden med förhoppningsvis en ny logg.

8 september, 2005

Då blir det nog först i morgon som jag kan titta på den.

8 september, 2005

Jag är bara tacksam för att du hjälper mig! Tack igen Cecilia!

8 september, 2005

Här är loggfilen. Norton Antivirus Scan gav följande nu: "Den komprimerade filen vbsys.dll i C:\RECYCLER\S-1-5-21-4281810384-2668870044-323722865-500\Dc1.cab är smittad med viruset Trojan Horse."

[log]Logfile of HijackThis v1.99.1

Scan saved at 17:11:38, on 2005-09-08

Platform: Windows XP SP2 (WinNT 5.01.2600)

MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)

Running processes:

C:\WINDOWS\System32\smss.exe

C:\WINDOWS\system32\winlogon.exe

C:\WINDOWS\system32\services.exe

C:\WINDOWS\system32\lsass.exe

C:\WINDOWS\System32\Ati2evxx.exe

C:\WINDOWS\system32\svchost.exe

C:\WINDOWS\System32\svchost.exe

C:\WINDOWS\system32\spoolsv.exe

C:\Program\Delade filer\Symantec Shared\ccProxy.exe

C:\Program\Delade filer\Symantec Shared\ccSetMgr.exe

C:\Program\Norton Internet Security\ISSVC.exe

C:\Program\Norton Internet Security\Norton AntiVirus\navapsvc.exe

C:\Program\Delade filer\Symantec Shared\SNDSrvc.exe

C:\Program\Analog Devices\SoundMAX\SMAgent.exe

C:\Program\Delade filer\Symantec Shared\SPBBC\SPBBCSvc.exe

C:\Program\Delade filer\Symantec Shared\CCPD-LC\symlcsvc.exe

C:\Program\Delade filer\Symantec Shared\ccEvtMgr.exe

C:\WINDOWS\system32\Ati2evxx.exe

C:\WINDOWS\Explorer.EXE

C:\Program\Apoint2K\Apoint.exe

C:\WINDOWS\AGRSMMSG.exe

C:\Program\ATI Technologies\ATI Control Panel\atiptaxx.exe

C:\Program\Java\j2re1.4.2_05\bin\jusched.exe

C:\Program\HP\Digital Imaging\Unload\hpqcmon.exe

C:\Program\HP\HP Share-to-Web\hpgs2wnd.exe

C:\Program\HPQ\Quick Launch Buttons\EabServr.exe

C:\Program\Delade filer\Sonic\Update Manager\sgtray.exe

C:\Program\HP\HP Share-to-Web\hpgs2wnf.exe

C:\WINDOWS\System32\hphmon05.exe

C:\Program\Hewlett-Packard\HP Software Update\HPWuSchd.exe

C:\Program\Delade filer\Symantec Shared\ccApp.exe

C:\Program\Apoint2K\Apntex.exe

C:\Program\iTunes\iTunesHelper.exe

C:\Program\QuickTime\qttask.exe

C:\Program\Logitech\MediaLife\MediaLifeService.exe

C:\WINDOWS\system32\ctfmon.exe

C:\Program\iPod\bin\iPodService.exe

C:\Program\MSN Messenger\MsnMsgr.Exe

C:\Program\HP\Digital Imaging\bin\hpqtra08.exe

C:\Program\Nikon\PictureProject\NkbMonitor.exe

C:\WINDOWS\System32\svchost.exe

C:\Program\Messenger\msmsgs.exe

C:\WINDOWS\system32\wuauclt.exe

C:\Program\Delade filer\Symantec Shared\NMain.exe

C:\Program\Internet Explorer\iexplore.exe

C:\Program\Delade filer\Symantec Shared\AdBlocking\NSMdtr.exe

C:\Program\HjT\HijackThis.exe