DDCYYVW.DLL Spya (trojan backdoor)

July 6, 2007

Så var det dags igen. Har drabbats av en spya som inte syns i utforskaren. Den har tydligen en tendens att att byta skepnad, så vitt jag vet går den under ett 50-tal namn, bl a URQQQRS.DLL.

Vondofix hittade den här ddcyyvw av en slump i %wimdir%sys32 men den finns inte där?! När Vondofix ska reboota går datorn ner i viloläge fast jag "förbjudit" den (tror jag). (By some reason kan jag inte köra felsäkert för då blandar hårddiskarna ihop sig = Erd C + ominstall (en annan historia)).

"We can attempt to clean this machine but i can't guarantee that it will be 100% secure afterwards." SB s&d.

Hur ska jag ta bort eländet när jag inte ser den?????

Mvh Pc

[log]URQQQRS.DLL may use 46 or more path and file names, these are the most common:

1 :%DESKTOP%\BACKUPS\BACKUP-20070323-164337-673.DLL

2 :%WINDIR%\SYSTEM32\AWTQPQP.DLL

3 :%WINDIR%\SYSTEM32\DDCBYYW.DLL

4 :%WINDIR%\SYSTEM32\DDCYYVW.DLL

5 :%WINDIR%\SYSTEM32\EFCCAAB.DLL

6 :%WINDIR%\SYSTEM32\FCCCYAB.DLL

7 :%WINDIR%\SYSTEM32\HGGEEBX.DLL

8 :%WINDIR%\SYSTEM32\JKKIJII.DLL

9 :%WINDIR%\SYSTEM32\JKKJIHI.DLL

10:%WINDIR%\SYSTEM32\KHFDAWV.DLL

11:%WINDIR%\SYSTEM32\KHFECDD.DLL

12:%WINDIR%\SYSTEM32\KHFFFFE.DLL

13:%WINDIR%\SYSTEM32\LJJIFDE.DLL

14:%WINDIR%\SYSTEM32\LJJIGEB.DLL

15:%WINDIR%\SYSTEM32\LJJIIFC.DLL[/log]

July 6, 2007

"We can attempt to clean this machine but i can't guarantee that it will be 100% secure afterwards." SB s&d.

Varifrån kommer det?

Börja med en HijackThis-logg.

July 6, 2007

Spybot Search and Destroy's forumsida /Pc

July 6, 2007

du menar alltså att datorn går ner i viloläge trots att du använder den :0

July 6, 2007

Den här sidan? http://forums.spybot.info/showthread.php?t=14922

Den datorn har ju flera infektioner, bara för att någon där är mycket allvarlig så behöver ju inte det betyda att din dator har just den infektionen.

Det finns alternativ till VundoFix, men först en HijackThis-logg.

Hur ser du att datorn går ner i viloläge? Och hur långt har omstarten kommit då?

July 6, 2007

Nej, när Vundofix skall reboota går datorn ner i vänteläge istället. Rebooten blir ett viloläge. "Entering sleep mode" istället för "loggas ut" eller vad det nu står vid omstart.

Skickar med HJT-loggen. Finns ett och annat jack verkar det som!?

MVH pc

ädet:

Jag kanske har sovit för lite på sistone men nu verkar datorn/Vundofix jobba på trots allt....Avvaktar en stund och ser om den startar eller somnar. // Pc

[log]Logfile of HijackThis v1.99.1

Scan saved at 14:28:04, on 2007-07-06

Platform: Unknown Windows (WinNT 6.00.1904)

MSIE: Internet Explorer v7.00 (7.00.6000.16473)

Running processes:

E:\Windows\system32\Dwm.exe

E:\Windows\Explorer.EXE

E:\Program Files\Windows Defender\MSASCui.exe

C:\Program\DAEMON Tools\daemon.exe

E:\Program Files\ESET\nod32kui.exe

E:\Program Files\SlySoft\CloneCD\CloneCDTray.exe

E:\Windows\WindowsMobile\wmdc.exe

E:\Windows\System32\rundll32.exe

E:\Program Files\Adobe\Acrobat 6.0\Distillr\acrotray.exe

E:\Windows\System32\rundll32.exe

E:\Windows\system32\wbem\unsecapp.exe

E:\Windows\System32\mobsync.exe

E:\Program Files\Windows Media Player\wmpnscfg.exe

E:\Windows\system32\taskeng.exe

E:\Program Files\Hijackthis\HijackThis.exe

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = http://go.microsoft.com/fwlink/?LinkId=54896'>http://go.microsoft.com/fwlink/?LinkId=54896'>http://go.microsoft.com/fwlink/?LinkId=54896

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.google.se/webhp

R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://go.microsoft.com/fwlink/?LinkId=69157'>http://go.microsoft.com/fwlink/?LinkId=69157

R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://go.microsoft.com/fwlink/?LinkId=54896

R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = http://go.microsoft.com/fwlink/?LinkId=54896

R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = http://go.microsoft.com/fwlink/?LinkId=69157

R0 - HKLM\Software\Microsoft\Internet Explorer\Search,SearchAssistant =

R0 - HKLM\Software\Microsoft\Internet Explorer\Search,CustomizeSearch =

R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName =

O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - E:\Program Files\Adobe\Acrobat 7.0\ActiveX\AcroIEHelper.dll

O4 - HKLM\..\Run: [Windows Defender] %ProgramFiles%\Windows Defender\MSASCui.exe -hide

O4 - HKLM\..\Run: [DAEMON Tools] "c:\Program\DAEMON Tools\daemon.exe" -lang 1033

O4 - HKLM\..\Run: [nod32kui] "E:\Program Files\Eset\nod32kui.exe" /WAITSERVICE

O4 - HKLM\..\Run: [CloneCDTray] "E:\Program Files\SlySoft\CloneCD\CloneCDTray.exe" /s

O4 - HKLM\..\Run: [Windows Mobile Device Center] %windir%\WindowsMobile\wmdc.exe

O4 - HKLM\..\Run: [NvSvc] RUNDLL32.EXE E:\Windows\system32\nvsvc.dll,nvsvcStart

O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE E:\Windows\system32\NvCpl.dll,NvStartup

O4 - HKLM\..\Run: [NvMediaCenter] RUNDLL32.EXE E:\Windows\system32\NvMcTray.dll,NvTaskbarInit

O4 - Global Startup: Acrobat Assistant.lnk = E:\Program Files\Adobe\Acrobat 6.0\Distillr\acrotray.exe

O4 - Global Startup: Adobe Gamma Loader.lnk = E:\Program Files\Common Files\Adobe\Calibration\Adobe Gamma Loader.exe

O4 - Global Startup: Adobe Reader Speed Launch.lnk = E:\Program Files\Adobe\Acrobat 7.0\Reader\reader_sl.exe

O8 - Extra context menu item: E&xportera till Microsoft Excel - res://E:\PROGRA~1\MICROS~3\OFFICE11\EXCEL.EXE/3000

O9 - Extra button: @E:\Windows\WindowsMobile\INetRepl.dll,-222 - {2EAF5BB1-070F-11D3-9307-00C04FAE2D4F} - E:\Windows\WindowsMobile\INetRepl.dll

O9 - Extra button: (no name) - {2EAF5BB2-070F-11D3-9307-00C04FAE2D4F} - E:\Windows\WindowsMobile\INetRepl.dll

O9 - Extra 'Tools' menuitem: @E:\Windows\WindowsMobile\INetRepl.dll,-223 - {2EAF5BB2-070F-11D3-9307-00C04FAE2D4F} - E:\Windows\WindowsMobile\INetRepl.dll

O9 - Extra button: Referensinformation - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - E:\PROGRA~1\MICROS~3\OFFICE11\REFIEBAR.DLL

O10 - Unknown file in Winsock LSP: e:\windows\system32\nlaapi.dll

O10 - Unknown file in Winsock LSP: e:\windows\system32\napinsp.dll

O11 - Options group: [iNTERNATIONAL] International*

O13 - Gopher Prefix:

O16 - DPF: {49232000-16E4-426C-A231-62846947304B} (SysData Class) - http://ipgweb.cce.hp.com/rdqcpc/downloads/sysinfo.cab

O16 - DPF: {AB86CE53-AC9F-449F-9399-D8ABCA09EC09} (Get_ActiveX Control) - https://h17000.www1.hp.com/ewfrf-JAVA/Secure/HPGetDownloadManager.ocx

O16 - DPF: {D821DC4A-0814-435E-9820-661C543A4679} (CRLDownloadWrapper Class) - http://drmlicense.one.microsoft.com/crlupdate/en/crlocx.ocx

O17 - HKLM\System\CCS\Services\Tcpip\..\{25F39F6C-5DBB-45C3-9014-CFAC0A446CA5}: NameServer = 195.54.122.200,195.54.122.204,81.26.227.3

O17 - HKLM\System\CCS\Services\Tcpip\..\{BBA0C952-B989-454D-B925-5076745A4CE4}: NameServer = 195.54.122.204,195.54.122.200,81.26.227.3

O18 - Protocol: livecall - {828030A1-22C1-4009-854F-8E305202313F} - E:\PROGRA~1\MSNMES~1\MSGRAP~1.DLL

O18 - Protocol: msnim - {828030A1-22C1-4009-854F-8E305202313F} - E:\PROGRA~1\MSNMES~1\MSGRAP~1.DLL

O20 - Winlogon Notify: ddcyyvw - ddcyyvw.dll (file missing)

O23 - Service: Agere Modem Call Progress Audio (AgereModemAudio) - Agere Systems - E:\Windows\system32\agrsmsvc.exe

O23 - Service: InstallDriver Table Manager (IDriverT) - Macrovision Corporation - E:\Program Files\Common Files\InstallShield\Driver\1150\Intel 32\IDriverT.exe

O23 - Service: LightScribeService Direct Disc Labeling Service (LightScribeService) - Hewlett-Packard Company - E:\Program Files\Common Files\LightScribe\LSSrvc.exe

O23 - Service: NBService - Nero AG - E:\Program Files\Nero\Nero 7\Nero BackItUp\NBService.exe

O23 - Service: NOD32 Kernel Service (NOD32krn) - Eset - E:\Program Files\Eset\nod32krn.exe

O23 - Service: O&O Defrag - O&O Software GmbH - E:\Windows\system32\oodag.exe

O23 - Service: @%SystemRoot%\system32\qwave.dll,-1 (QWAVE) - Unknown owner - %windir%\system32\svchost.exe (file missing)

O23 - Service: StarWind iSCSI Service (StarWindService) - Rocket Division Software - D:\Program\alcohol\Alcohol 120\StarWind\StarWindService.exe

O23 - Service: VundoFix Service (VundoFixSvc) - Atribune.org - E:\Windows\SYSTEM32\VundoFixSVC.exe[/log]

[inlägget ändrat 2007-07-06 15:03:53 av Plaincollar]

July 6, 2007

Det är inte så att datorn bara stänger av sig eller kraschar, för skärmar visar ofta något sådant om sleep mode när de inte längre får någon signal från datorn.

Enligt HijackThis-loggen så ser Vundo-infektionen ut att vara oskadliggjord i alla fall. Men VundoFix väntar på att gå klart.

Ladda ner ComboFix:

http://download.bleepingcomputer.com/sUBs/ComboFix.exe

Kör den och följ anvisningarna som visas.

VIKTIGT! Klicka inte på Combofix-fönstret med musen när den körs annars kan den hänga upp sig.

När den är färdig så ska en logg komma upp, klistra in den här, samt en ny HijackThis-logg.

July 6, 2007

Hej Cecilia

Problemet är på min stationära dator som tyvärr!! kör Vista vilket Combofix precis som jag inte gillar........ Finns det något alternativ till Combo? // Pc

July 6, 2007

Hur har det gått med VundoFix? Har du fått någon logg C:\vundofix.txt? I så fall vill jag se den.

Se om det här fungerar då. Ladda ner Deckard's System Scanner till Skrivbordet.

http://www.techsupportforum.com/sectools/Deckard/dss.exe

Avsluta alla program.

Kör programmet och följ anvisningarna som visas.

När det är klart så skapas två loggfiler, main.txt och extra.txt i samma mapp som skannern ligger i. Klistra in dem här.

July 6, 2007

Nä, Vundo gick ner för reboot men den stannade där. Burken gick för fullt men processorn verkade stå still. Efter ett par timmar! startade jag om. Skall köra Deckard nu direkt. Återkommer. // Pc

July 7, 2007

Hej

Försökte köra Deckards men mitt i så dök det upp "dss.exe has stoped working" "Do you..send information...Microsoft...."

Kan det precis som Combo ha problem med Vista eller..? Vad göra???

Häsn Pc

Ädet:

Vet inte om det här säger något...?

[log]- System

- Provider

[ Name] Windows Error Reporting

- EventID 1001

[ Qualifiers] 0

Level 4

Task 0

Keywords 0x80000000000000

- TimeCreated

[ SystemTime] 2007-07-07T02:38:11.000Z

EventRecordID 15054

Channel Application

Computer nok-PC

Security

- EventData

431750777

1

APPCRASH

None

0

dss.exe

3.2.2.0

458d07e2

ntdll.dll

6.0.6000.16386

4549bdc9

c0000005

00062086

E:\Users\Administrator.nok-PC\AppData\Local\Temp\WER2DBE.tmp.version.txt E:\Users\Administrator.nok-PC\AppData\Local\Temp\WER489A.tmp.appcompat.txt E:\Users\Administrator.nok-PC\AppData\Local\Temp\WER5CDF.tmp.mdmp

E:\Users\Administrator.nok-PC\AppData\Local\Microsoft\Windows\WER\ReportArchive\Report05872548

- System

- Provider

[ Name] Microsoft-Windows-DistributedCOM

[ Guid] {1B562E86-B7AA-4131-BADC-B6F3A001407E}

[ EventSourceName] DCOM

- EventID 10029

[ Qualifiers] 49152

Version 0

Level 4

Task 0

Opcode 0

Keywords 0x80000000000000

- TimeCreated

[ SystemTime] 2007-07-07T02:16:48.000Z

EventRecordID 31881

Correlation

- Execution

[ ProcessID] 0

[ ThreadID] 0

Channel System

Computer nok-PC

Security

- EventData

param1 VSS

param2

param3 {E579AB5F-1CC4-44B4-BED9-DE0991FF0623} [/log]

[inlägget ändrat 2007-07-07 16:34:13 av Plaincollar]

July 7, 2007

Kan ju vara otrevligheten som orsakar det också. Skapades det någon logg?

Försök köra skannern i felsäkert läge.

July 7, 2007

Cecilia

Ja men det är väl inte riktigt en log...

Ja det där med safe mode...; När jag startar safe mode så kraschar allting. Har hänt två gånger (de enda gångerna jag använt safe mode) första gången fick ett fullblodsproffs det att fungera efter x antal timmar, andra gången fick jag ominstallera rubbet. Så har burken varit från först början......

Visserligen har jag 500 GB i burken men 95% är skräp så jag kan nog gambla en del. Så vad kan man göra i unsafe mode? Vill ju inte ha något elände i burken som ingen riktigt vet vad det är.

Häls Pc

[log]Administrator\Documents\dss_stopper.txt

E:\Users\Administrator.nok-PC\AppData\Local\Temp\WER2DBE.tmp.version.txt

E:\Users\Administrator.nok-PC\AppData\Local\Temp\WER489A.tmp.appcompat.txt

E:\Users\Administrator.nok-PC\AppData\Local\Temp\WER5CDF.tmp.mdmp

Read our privacy statement:

http://go.microsoft.com/fwlink/?linkid=50163&clcid=0x0409[/log]

July 7, 2007

Jag har inte sett din ändring av ditt inlägg igår förrän nu.

APPCRASH

None

0

dss.exe

dss.exe är Deckards skanner, APPCRASH är väl en förkortning för Application (Program) krasch.

Vet för lite hur felmeddelendena i Vista är uppbyggda för att våga mig på en tolkning.

Både ComboFix och Deckards skanner går igenom mappar som är vanliga att otrevligheter lägger sig i och listar upp filer som har tillkommit eller ändrats där sista månaden. Man kan sedan slå upp dessa filer så att man vet om det är något otrevligt kvar i dessa mappar.

SUPERAntiSpyware Free Edition ska fungera i Vista i alla fall. Ladda hem och installera gratisversionen av SUPERAntiSpyware Free Edition:

http://www.superantispyware.com/download.html

Starta programmet, klicka på Check for updates.

Klicka på Scan your Computer.

Bocka för alla hårddiskar (fixed drive/disk).

Välj Perform complete scan

Nästa/Next

När skanningen är klar som kommer det upp en sammanfattning, tryck på OK

Nästa/Next

Utför eller liknande

Ett fönster med Quarantine and removal Complete kommer upp

OK

Utför eller liknande

Avsluta programmet.

Starta om.

Starta SUPERAntiSpyware, tryck på Preferences, välj fliken Statistics/Logs.

Dubbelklicka på den nyaste SUPERAntiSpyware Scan Log så att loggen kommer upp i Anteckningar.

Klistra in loggen i ditt svar samt en ny HijackThis-logg.

July 10, 2007

Hej Cecilia

Ursäkta att jag inte återkommit förrän nu men här har allt som kan förkniippas med IT har satt sit på tvären. Alla musar t ex har levt sitt eget liv, tyvärr på fler datorer än denna.

Jag körde Superspy 2 ggr. 1:a svepet gav 186 virusvarningar, 2:a gav 8. Jag hittade en lustig process, URLMon.exe. Jag´chansade och körde safe mode (vilket fungerade?) och deletade den. Den är inte jätteomskriven på Google. Bifogar loggarna från Superspy. Får se om du ser något?

MVH Pc

[log]SUPERAntiSpyware Scan Log

http://www.superantispyware.com'>http://www.superantispyware.com

Generated 07/10/2007 at 08:59 AM

Application Version : 3.9.1008

Core Rules Database Version : 3267

Trace Rules Database Version: 1278

Scan type : Complete Scan

Total Scan Time : 01:57:06

Memory items scanned : 653

Memory threats detected : 0

Registry items scanned : 7230

Registry threats detected : 6

File items scanned : 179222

File threats detected : 187

Adware.Vundo Variant

HKLM\Software\Classes\CLSID\{7AC06F58-F80C-4940-A14C-E09FE77F9DD2}

HKCR\CLSID\{7AC06F58-F80C-4940-A14C-E09FE77F9DD2}

HKCR\CLSID\{7AC06F58-F80C-4940-A14C-E09FE77F9DD2}\InprocServer32

HKCR\CLSID\{7AC06F58-F80C-4940-A14C-E09FE77F9DD2}\InprocServer32#ThreadingModel

E:\WINDOWS\SYSTEM32\DDCYYVW.DLL

HKLM\Software\Microsoft\Windows\CurrentVersion\Explorer\ShellExecuteHooks#{7AC06F58-F80C-4940-A14C-E09FE77F9DD2}

HKCR\CLSID\{7AC06F58-F80C-4940-A14C-E09FE77F9DD2}

Adware.Tracking Cookie

E:\Users\Administrator.nok-PC\AppData\Roaming\Microsoft\Windows\Cookies\administrator@atdmt[2].txt

E:\Users\Administrator.nok-PC\AppData\Roaming\Microsoft\Windows\Cookies\administrator@adtech[2].txt

E:\Users\Administrator.nok-PC\AppData\Roaming\Microsoft\Windows\Cookies\administrator@adbrite[2].txt

E:\Users\Administrator.nok-PC\AppData\Roaming\Microsoft\Windows\Cookies\administrator@specificclick[2].txt

E:\Users\Administrator.nok-PC\AppData\Roaming\Microsoft\Windows\Cookies\administrator@revsci[2].txt

E:\Users\Administrator.nok-PC\AppData\Roaming\Microsoft\Windows\Cookies\administrator@tribalfusion[1].txt

E:\Users\Administrator.nok-PC\AppData\Roaming\Microsoft\Windows\Cookies\administrator@zango[2].txt

E:\Users\Administrator.nok-PC\AppData\Roaming\Microsoft\Windows\Cookies\administrator@www.zango[2].txt

E:\Users\Administrator.nok-PC\AppData\Roaming\Microsoft\Windows\Cookies\administrator@ads.adbrite[2].txt

E:\Users\Administrator.nok-PC\AppData\Roaming\Microsoft\Windows\Cookies\administrator@www.zango[3].txt

E:\Users\Administrator.nok-PC\AppData\Roaming\Microsoft\Windows\Cookies\administrator@imrworldwide[2].txt

E:\Users\Administrator.nok-PC\AppData\Roaming\Microsoft\Windows\Cookies\administrator@ad.adtoma[2].txt

E:\Users\Administrator.nok-PC\AppData\Roaming\Microsoft\Windows\Cookies\administrator@livenation.122.2o7[1].txt

E:\Users\Administrator.nok-PC\AppData\Roaming\Microsoft\Windows\Cookies\administrator@adserver.banneradministration[2].txt

E:\Users\Administrator.nok-PC\AppData\Roaming\Microsoft\Windows\Cookies\administrator@questionmarket[1].txt

E:\Users\Administrator.nok-PC\AppData\Roaming\Microsoft\Windows\Cookies\administrator@thoughtsmedia.us.intellitxt[1].txt

E:\Users\Administrator.nok-PC\AppData\Roaming\Microsoft\Windows\Cookies\administrator@tripod[1].txt

E:\Users\Administrator.nok-PC\AppData\Roaming\Microsoft\Windows\Cookies\administrator@ad.yieldmanager[2].txt

E:\Users\Administrator.nok-PC\AppData\Roaming\Microsoft\Windows\Cookies\administrator@track.adform[2].txt

C:\Documents and Settings\admin\Cookies\admin@imrworldwide[1].txt

C:\Documents and Settings\Administratör\Cookies\administratör@ads.revsci[1].txt

C:\Documents and Settings\Gäst\Cookies\gäst@ad.zanox[2].txt

C:\Documents and Settings\Gäst\Cookies\gäst@imrworldwide[1].txt

C:\Documents and Settings\KR\Cookies\kr@3.adbrite[2].txt

C:\Documents and Settings\KR\Cookies\kr@acvs.mediaonenetwork[1].txt

C:\Documents and Settings\KR\Cookies\kr@ad-server.gulasidorna[2].txt

C:\Documents and Settings\KR\Cookies\kr@ad.bb[2].txt

C:\Documents and Settings\KR\Cookies\kr@ad.zanox[2].txt

C:\Documents and Settings\KR\Cookies\kr@ad1.bb[2].txt

C:\Documents and Settings\KR\Cookies\kr@adrevenue[1].txt

C:\Documents and Settings\KR\Cookies\kr@ads.adbrite[1].txt

C:\Documents and Settings\KR\Cookies\kr@ads.blizzard[1].txt

C:\Documents and Settings\KR\Cookies\kr@ads.cdfreaks[2].txt

C:\Documents and Settings\KR\Cookies\kr@ads.isupport[2].txt

C:\Documents and Settings\KR\Cookies\kr@ads.nordichardware[2].txt

C:\Documents and Settings\KR\Cookies\kr@atwola[1].txt

C:\Documents and Settings\KR\Cookies\kr@chappel.pro-gmedia[2].txt

C:\Documents and Settings\KR\Cookies\kr@clicksor[1].txt

C:\Documents and Settings\KR\Cookies\kr@clicktorrent[1].txt

C:\Documents and Settings\KR\Cookies\kr@itxt.vibrantmedia[1].txt

C:\Documents and Settings\KR\Cookies\kr@media.sensis.com[2].txt

C:\Documents and Settings\KR\Cookies\kr@mediaonenetwork[1].txt

C:\Documents and Settings\KR\Cookies\kr@mywebsearch[1].txt

C:\Documents and Settings\KR\Cookies\kr@pamedia.com[1].txt

C:\Documents and Settings\KR\Cookies\kr@precisionclick[2].txt

C:\Documents and Settings\KR\Cookies\kr@sensismediasmart.com[1].txt

C:\Documents and Settings\KR\Cookies\kr@serving.rpowermedia[1].txt

C:\Documents and Settings\KR\Cookies\kr@timmson20.tripod[1].txt

C:\Documents and Settings\KR\Cookies\kr@toplist[1].txt

C:\Documents and Settings\KR\Cookies\kr@tracking.notabenestats[1].txt

C:\Documents and Settings\KR\Cookies\kr@tracking.webdiversity.co[1].txt

C:\Documents and Settings\KR\Cookies\kr@usenext[1].txt

C:\Documents and Settings\KR\Cookies\kr@www.clickgamer[1].txt

C:\Documents and Settings\KR\Cookies\kr@www.e-bannerx[1].txt

C:\Documents and Settings\KR\Cookies\kr@www.googleadservices[1].txt

C:\Documents and Settings\KR\Cookies\kr@www.googleadservices[2].txt

C:\Documents and Settings\KR\Cookies\kr@www.googleadservices[3].txt

C:\Documents and Settings\KR\Cookies\kr@www.searchenginetracking[1].txt

C:\Documents and Settings\KR\Cookies\kr@www1.addfreestats[1].txt

C:\Documents and Settings\KR\Cookies\kr@www6.addfreestats[1].txt

C:\Documents and Settings\KR\Cookies\kr@xiti[1].txt

C:\dokument and settings\KR\Cookies\kr@1.adbrite[1].txt

C:\dokument and settings\KR\Cookies\kr@3.adbrite[1].txt

C:\dokument and settings\KR\Cookies\kr@3.adbrite[2].txt

C:\dokument and settings\KR\Cookies\kr@ad.zanox[1].txt

C:\dokument and settings\KR\Cookies\kr@ad.zanox[3].txt

C:\dokument and settings\KR\Cookies\kr@ad1.targetgraph[1].txt

C:\dokument and settings\KR\Cookies\kr@adecn[1].txt

C:\dokument and settings\KR\Cookies\kr@adopt.hbmediapro[1].txt

C:\dokument and settings\KR\Cookies\kr@ads.advancedpcmedia[1].txt

C:\dokument and settings\KR\Cookies\kr@ads.digitalmedianet[1].txt

C:\dokument and settings\KR\Cookies\kr@ads.mediaturf[2].txt

C:\dokument and settings\KR\Cookies\kr@atwola[1].txt

C:\dokument and settings\KR\Cookies\kr@azjmp[1].txt

C:\dokument and settings\KR\Cookies\kr@clicksor[1].txt

C:\dokument and settings\KR\Cookies\kr@clicktorrent[2].txt

C:\dokument and settings\KR\Cookies\kr@euros4click[2].txt

C:\dokument and settings\KR\Cookies\kr@forums.hardwarezone[2].txt

C:\dokument and settings\KR\Cookies\kr@gtb1.acecounter[2].txt

C:\dokument and settings\KR\Cookies\kr@hardwarezone[2].txt

C:\dokument and settings\KR\Cookies\kr@itxt.vibrantmedia[1].txt

C:\dokument and settings\KR\Cookies\kr@kanoodle[2].txt

C:\dokument and settings\KR\Cookies\kr@keygencrack[2].txt

C:\dokument and settings\KR\Cookies\kr@m1.webstats4u[2].txt

C:\dokument and settings\KR\Cookies\kr@media.sensis.com[2].txt

C:\dokument and settings\KR\Cookies\kr@mywebsearch[1].txt

C:\dokument and settings\KR\Cookies\kr@mywebsearch[2].txt

C:\dokument and settings\KR\Cookies\kr@netmediagroup[2].txt

C:\dokument and settings\KR\Cookies\kr@postclicktracking[2].txt

C:\dokument and settings\KR\Cookies\kr@sales.liveperson[2].txt

C:\dokument and settings\KR\Cookies\kr@serialz[2].txt

C:\dokument and settings\KR\Cookies\kr@serving.rpowermedia[1].txt

C:\dokument and settings\KR\Cookies\kr@smileycentral[1].txt

C:\dokument and settings\KR\Cookies\kr@streamit.hardwarezone[2].txt

C:\dokument and settings\KR\Cookies\kr@toplist[1].txt

C:\dokument and settings\KR\Cookies\kr@warezarmy[2].txt

C:\dokument and settings\KR\Cookies\kr@warezrecon[1].txt

C:\dokument and settings\KR\Cookies\kr@www.3dstats[1].txt

C:\dokument and settings\KR\Cookies\kr@www.clickgamer[1].txt

C:\dokument and settings\KR\Cookies\kr@www.googleadservices[1].txt

C:\dokument and settings\KR\Cookies\kr@www.googleadservices[2].txt

C:\dokument and settings\KR\Cookies\kr@www.precisioncounter[1].txt

C:\dokument and settings\KR\Cookies\kr@www.short-media[2].txt

C:\dokument and settings\KR\Cookies\kr@www.warezrecon[1].txt

C:\dokument and settings\KR\Cookies\kr@www.windowsmedia[2].txt

C:\dokument and settings\KR\Cookies\kr@www3.addfreestats[2].txt

C:\dokument and settings\KR\Cookies\kr@xiti[1].txt

C:\dokument and settings\KR\Cookies\kr@xtendmedia[1].txt

E:\Users\Administrator.nok-PC\Application Data\Microsoft\Windows\Cookies\administrator@ad.adtoma[2].txt

E:\Users\Administrator.nok-PC\Application Data\Microsoft\Windows\Cookies\administrator@ad.yieldmanager[2].txt

E:\Users\Administrator.nok-PC\Application Data\Microsoft\Windows\Cookies\administrator@adbrite[2].txt

E:\Users\Administrator.nok-PC\Application Data\Microsoft\Windows\Cookies\administrator@ads.adbrite[2].txt

E:\Users\Administrator.nok-PC\Application Data\Microsoft\Windows\Cookies\administrator@adserver.banneradministration[2].txt

E:\Users\Administrator.nok-PC\Application Data\Microsoft\Windows\Cookies\administrator@adtech[2].txt

E:\Users\Administrator.nok-PC\Application Data\Microsoft\Windows\Cookies\administrator@atdmt[2].txt

E:\Users\Administrator.nok-PC\Application Data\Microsoft\Windows\Cookies\administrator@imrworldwide[2].txt

E:\Users\Administrator.nok-PC\Application Data\Microsoft\Windows\Cookies\administrator@livenation.122.2o7[1].txt

E:\Users\Administrator.nok-PC\Application Data\Microsoft\Windows\Cookies\administrator@questionmarket[1].txt

E:\Users\Administrator.nok-PC\Application Data\Microsoft\Windows\Cookies\administrator@revsci[2].txt

E:\Users\Administrator.nok-PC\Application Data\Microsoft\Windows\Cookies\administrator@specificclick[2].txt

E:\Users\Administrator.nok-PC\Application Data\Microsoft\Windows\Cookies\administrator@thoughtsmedia.us.intellitxt[1].txt

E:\Users\Administrator.nok-PC\Application Data\Microsoft\Windows\Cookies\administrator@track.adform[2].txt

E:\Users\Administrator.nok-PC\Application Data\Microsoft\Windows\Cookies\administrator@tribalfusion[1].txt

E:\Users\Administrator.nok-PC\Application Data\Microsoft\Windows\Cookies\administrator@tripod[1].txt

E:\Users\Guest\AppData\Roaming\Microsoft\Windows\Cookies\guest@imrworldwide[2].txt

E:\Users\Guest\AppData\Roaming\Microsoft\Windows\Cookies\guest@milliitah.tripod[1].txt

E:\Users\Guest\AppData\Roaming\Microsoft\Windows\Cookies\guest@tripod.lycos[1].txt

E:\Users\Guest\AppData\Roaming\Microsoft\Windows\Cookies\Low\guest@ad.adtoma[1].txt

E:\Users\Guest\AppData\Roaming\Microsoft\Windows\Cookies\Low\guest@ad.zanox[2].txt

E:\Users\Guest\AppData\Roaming\Microsoft\Windows\Cookies\Low\guest@adopt.hbmediapro[1].txt

E:\Users\Guest\AppData\Roaming\Microsoft\Windows\Cookies\Low\guest@ads.aol.co[2].txt

E:\Users\Guest\AppData\Roaming\Microsoft\Windows\Cookies\Low\guest@ads.heias[1].txt

E:\Users\Guest\AppData\Roaming\Microsoft\Windows\Cookies\Low\guest@bonnier.banneradministration[1].txt

E:\Users\Guest\AppData\Roaming\Microsoft\Windows\Cookies\Low\guest@clicktorrent[2].txt

E:\Users\Guest\AppData\Roaming\Microsoft\Windows\Cookies\Low\guest@imrworldwide[2].txt

E:\Users\Guest\AppData\Roaming\Microsoft\Windows\Cookies\Low\guest@m1.webstats.motigo[1].txt

E:\Users\Guest\AppData\Roaming\Microsoft\Windows\Cookies\Low\guest@m1.webstats4u[1].txt

E:\Users\Guest\AppData\Roaming\Microsoft\Windows\Cookies\Low\guest@mtg.banneradministration[2].txt

E:\Users\Guest\AppData\Roaming\Microsoft\Windows\Cookies\Low\guest@tracking.notabenestats[1].txt

E:\Users\Guest\AppData\Roaming\Microsoft\Windows\Cookies\Low\guest@www.googleadservices[1].txt

E:\Users\Guest\AppData\Roaming\Microsoft\Windows\Cookies\Low\guest@www1.addfreestats[1].txt

E:\Users\Guest\AppData\Roaming\Microsoft\Windows\Cookies\Low\guest@xiti[1].txt

E:\Users\Kriller\AppData\Roaming\Microsoft\Windows\Cookies\Low\kriller@ads.adbrite[2].txt

E:\Users\Kriller\AppData\Roaming\Microsoft\Windows\Cookies\Low\kriller@imrworldwide[2].txt

E:\Users\nok\AppData\Roaming\Microsoft\Windows\Cookies\Low\nok@3.adbrite[1].txt

E:\Users\nok\AppData\Roaming\Microsoft\Windows\Cookies\Low\nok@ad.zanox[1].txt

E:\Users\nok\AppData\Roaming\Microsoft\Windows\Cookies\Low\nok@clicktorrent[1].txt

E:\Users\nok\AppData\Roaming\Microsoft\Windows\Cookies\Low\nok@clomedia[1].txt

E:\Users\nok\AppData\Roaming\Microsoft\Windows\Cookies\Low\nok@imrworldwide[2].txt

E:\Users\nok\AppData\Roaming\Microsoft\Windows\Cookies\nok@3.adbrite[1].txt

E:\Users\nok\AppData\Roaming\Microsoft\Windows\Cookies\nok@ad.zanox[2].txt

E:\Users\nok\AppData\Roaming\Microsoft\Windows\Cookies\nok@atwola[1].txt

E:\Users\nok\AppData\Roaming\Microsoft\Windows\Cookies\nok@clicktorrent[2].txt

E:\Users\nok\AppData\Roaming\Microsoft\Windows\Cookies\nok@imrworldwide[2].txt

E:\Users\nok\AppData\Roaming\Microsoft\Windows\Cookies\nok@postclicktracking[1].txt

E:\Users\nok\AppData\Roaming\Microsoft\Windows\Cookies\nok@toplist[1].txt

E:\Users\nok\AppData\Roaming\Microsoft\Windows\Cookies\nok@usenext[2].txt

E:\Windows.old\Documents and Settings\kr\Cookies\kr@ad.zanox[1].txt

E:\Windows.old\Documents and Settings\kr\Cookies\kr@ads.isupport[2].txt

E:\Windows.old\Documents and Settings\kr\Cookies\kr@ads.realtechnetwork[1].txt

E:\Windows.old\Documents and Settings\kr\Cookies\kr@clicksor[1].txt

E:\Windows.old\Documents and Settings\kr\Cookies\kr@clicktorrent[2].txt

E:\Windows.old\Documents and Settings\kr\Cookies\kr@downloads.serialz[1].txt

E:\Windows.old\Documents and Settings\kr\Cookies\kr@serialdevil[2].txt

E:\Windows.old\Documents and Settings\kr\Cookies\kr@serialz[2].txt

E:\Windows.old\Documents and Settings\kr\Cookies\kr@theteenxxx[2].txt

E:\Windows.old\Documents and Settings\kr\Cookies\kr@toplist[1].txt

E:\Windows.old\Documents and Settings\kr\Cookies\kr@www.fullreleases[1].txt

E:\Windows.old\Documents and Settings\kr\Cookies\kr@www.serialdevil[1].txt

Browser Hijacker.Favorites

C:\DOKUMENT AND SETTINGS\KR\FAVORITER\ONLINE SECURITY TEST.URL

Trojan.Media-Codec

D:\MINA DOKUMENT\WM_KR MINA DOKUMENT\PPMANAGER.1056.EXE

Adware.WhenU

D:\PROGRAM\DAEMON TOOLS\SETUPDTSB.EXE

Trace.Known Threat Sources

E:\Windows.old\Documents and Settings\kr\Lokala inställningar\Temporary Internet Files\Content.IE5\YTC365A1\red_btn[1].gif

E:\Windows.old\Documents and Settings\kr\Lokala inställningar\Temporary Internet Files\Content.IE5\BU4JV9KD\chantavid03.wmv[1].jpg

E:\Windows.old\Documents and Settings\kr\Lokala inställningar\Temporary Internet Files\Content.IE5\699YJEPW\sativarosebgvid005.wmv[1].jpg

E:\Windows.old\Documents and Settings\kr\Lokala inställningar\Temporary Internet Files\Content.IE5\YTC365A1\lainoibgvid005.wmv[1].jpg

E:\Windows.old\Documents and Settings\kr\Lokala inställningar\Temporary Internet Files\Content.IE5\BU4JV9KD\brookehavenbgvid008.wmv[1].jpg

E:\Windows.old\Documents and Settings\kr\Lokala inställningar\Temporary Internet Files\Content.IE5\BU4JV9KD\natashavidall.wmv[1].jpg

E:\Windows.old\Documents and Settings\kr\Lokala inställningar\Temporary Internet Files\Content.IE5\699YJEPW\terriweigelbgvid010.wmv[1].jpg

E:\Windows.old\Documents and Settings\kr\Lokala inställningar\Temporary Internet Files\Content.IE5\699YJEPW\DetectEnvironment[1].js

E:\Windows.old\Documents and Settings\kr\Lokala inställningar\Temporary Internet Files\Content.IE5\KXG7ORGV\kianavid08.wmv[1].jpg

E:\Windows.old\Documents and Settings\kr\Lokala inställningar\Temporary Internet Files\Content.IE5\YTC365A1\lc[2].js

E:\Windows.old\Documents and Settings\kr\Lokala inställningar\Temporary Internet Files\Content.IE5\699YJEPW\gecv2[1].js

E:\Windows.old\Documents and Settings\kr\Lokala inställningar\Temporary Internet Files\Content.IE5\699YJEPW\courtneyvid07.wmv[1].jpg

E:\Windows.old\Documents and Settings\kr\Lokala inställningar\Temporary Internet Files\Content.IE5\KXG7ORGV\janamackenzieggvid010.wmv[1].jpg

E:\Windows.old\Documents and Settings\kr\Lokala inställningar\Temporary Internet Files\Content.IE5\699YJEPW\Layout[1].js[/log]

[log]SUPERAntiSpyware Scan Log

http://www.superantispyware.com

Generated 07/10/2007 at 06:55 PM

Application Version : 3.9.1008

Core Rules Database Version : 3267

Trace Rules Database Version: 1278

Scan type : Complete Scan

Total Scan Time : 02:02:17

Memory items scanned : 612

Memory threats detected : 0

Registry items scanned : 7235

Registry threats detected : 0

File items scanned : 179782

File threats detected : 8

Adware.Tracking Cookie

E:\Users\Administrator.nok-PC\AppData\Roaming\Microsoft\Windows\Cookies\administrator@atdmt[1].txt

E:\Users\Administrator.nok-PC\AppData\Roaming\Microsoft\Windows\Cookies\administrator@adtech[2].txt

E:\Users\Administrator.nok-PC\AppData\Roaming\Microsoft\Windows\Cookies\administrator@adbrite[2].txt

E:\Users\Administrator.nok-PC\AppData\Roaming\Microsoft\Windows\Cookies\administrator@ads.adbrite[1].txt

E:\Users\Administrator.nok-PC\Application Data\Microsoft\Windows\Cookies\administrator@adbrite[2].txt

E:\Users\Administrator.nok-PC\Application Data\Microsoft\Windows\Cookies\administrator@ads.adbrite[1].txt

E:\Users\Administrator.nok-PC\Application Data\Microsoft\Windows\Cookies\administrator@adtech[2].txt

E:\Users\Administrator.nok-PC\Application Data\Microsoft\Windows\Cookies\administrator@atdmt[1].txt[/log]

July 10, 2007

Inget att be om ursäkt för.

Det var ju tur att det mesta som SUPERAntiSpyware hittade var cookies som ju inte är farliga för datorn. Den hittade lite Vundo-grejor också.

Jag´chansade och körde safe mode

En ny HijackThis-logg så får vi se om allt ser bra ut där.

July 11, 2007

Hej, översänder hjt-loggen!

Mvh Pc

[log]Logfile of HijackThis v1.99.1

Scan saved at 19:33:14, on 2007-07-11

Platform: Unknown Windows (WinNT 6.00.1904)

MSIE: Internet Explorer v7.00 (7.00.6000.16473)

Running processes:

E:\Windows\system32\Dwm.exe

E:\Windows\Explorer.EXE

E:\Program Files\Windows Defender\MSASCui.exe

C:\Program\DAEMON Tools\daemon.exe

E:\Program Files\ESET\nod32kui.exe

E:\Windows\WindowsMobile\wmdc.exe

E:\Windows\System32\rundll32.exe

E:\Program Files\Grisoft\AVG Anti-Spyware 7.5\avgas.exe

E:\Program Files\Microsoft IntelliPoint\ipoint.exe

E:\Program Files\Microsoft IntelliType Pro\itype.exe

C:\WINDOWS\system32\drivers\setup\manager.exe

E:\Program Files\SUPERAntiSpyware\SUPERAntiSpyware.exe

E:\Program Files\Adobe\Acrobat 6.0\Distillr\acrotray.exe

E:\Windows\System32\mobsync.exe

E:\Program Files\Uniblue\RegistryBooster 2\RegistryBooster.exe

E:\Windows\system32\wbem\unsecapp.exe

E:\Program Files\Windows Media Player\wmpnscfg.exe

E:\Windows\system32\taskeng.exe

C:\WINDOWS\system32\drivers\setup\irc\irc.exe

E:\Windows\system32\taskmgr.exe

E:\Windows\system32\conime.exe

E:\Windows\system32\wuauclt.exe

E:\Program Files\Internet Explorer\iexplore.exe

E:\Program Files\Windows NT\Accessories\WORDPAD.EXE