Behöver hjälp med trojaninvasion!

4 februari, 2010

Hej!

I ett par veckor nu så har jag haft en trojaninvasion på datorn, och jag vet inte vad jag ska göra. I stort sett hela tiden varnar mitt antivirusprogram (har f-secure) att "virus hittats, tas bort". Viruset är alltid en trojan och befinner sig alltid i windows temp-mappen, och heter alltid svchost.exe. Oftast när viruset tas bort så uppmanas jag av f-secure att starta om datorn, vilket jag gör, men det tar ju aldrig slut. De kommer tillbaka hela tiden trots att jag tar bort dem, vad ska jag göra? Det är även samma trojaner som återkommer dessutom, jag känner igen namnen på dem.

Nu på senare tid har även antivirusprogrammet misslyckats med att ta bort viruset, dock återkommer samma virus senare och tas bort då, men kommer sen tillbaka. En annan skum sak är att Internet Explorer ibland hoppar igång av sig sjävt, trots att jag bara använder Firefox, och ibland när jag precis loggat in så dyker det upp en varningsruta som säger att Explorer blev tvunget att avslutas för att skydda datorn. Och tidigare idag när jag kollade aktivitetshanteraren för att avsluta explorer, så såg jag att det var ett tiotal processer som hette "svchost.exe" igång.

Är det något jätteallvarligt? Jag skulle göra allt för att bli av med skiten.

/Anton

4 februari, 2010

Vi kan se vad DDS visar till att börja med. Spara DDS på Skrivbordet.

http://download.bleepingcomputer.com/sUBs/dds.scr

Starta programmet genom att dubbelklicka på det.

Tryck Yes/Ja om frågan om Optional Scan dyker upp.

I ditt svar klistrar du in loggen DSS.txt, men inte Attach.txt utan den sparar du på Skrivbordet utifall att jag behöver se den senare.

4 februari, 2010

Okej, tack!

Har precis kört DDS nu:

DDS (Ver_09-12-01.01) - NTFSx86

Run by Multimedia at 18:24:44,54 on 2010-02-04

Internet Explorer: 7.0.5730.11 BrowserJavaVersion: 1.6.0_02

Microsoft Windows XP Professional 5.1.2600.3.1252.46.1033.18.1014.347 [GMT 1:00]

AV: F-Secure Internet Security 2010 10.00 *On-access scanning enabled* (Updated) {E7512ED5-4245-4B4D-AF3A-382D3F313F15}

FW: F-Secure Internet Security 2010 10.00 *enabled* {D4747503-0346-49EB-9262-997542F79BF4}

============== Running Processes ===============

C:\WINDOWS\system32\svchost -k DcomLaunch

svchost.exe

C:\Program Files\Windows Defender\MsMpEng.exe

C:\WINDOWS\System32\svchost.exe -k netsvcs

C:\WINDOWS\system32\svchost.exe -k WudfServiceGroup

svchost.exe

C:\WINDOWS\system32\spoolsv.exe

svchost.exe

C:\Program Files\Common Files\Apple\Mobile Device Support\bin\AppleMobileDeviceService.exe

C:\Program Files\Bonjour\mDNSResponder.exe

C:\Program Files\Executive Software\Diskeeper\DkService.exe

C:\WINDOWS\eHome\ehRecvr.exe

C:\WINDOWS\eHome\ehSched.exe

C:\Program Files\F-Secure Internet Security\Anti-Virus\fsgk32st.exe

C:\Program Files\F-Secure Internet Security\Common\FSMA32.EXE

C:\Program Files\F-Secure Internet Security\Anti-Virus\FSGK32.EXE

C:\Program Files\F-Secure Internet Security\Common\FSHDLL32.EXE

C:\Program Files\Intel\IDU\IDUServ.exe

C:\Program Files\Common Files\LightScribe\LSSrvc.exe

C:\Program Files\Maxtor\Maxtor Backup\MaxBackServiceInt.exe

C:\Program Files\Microsoft\Search Enhancement Pack\SeaPort\SeaPort.exe

svchost.exe

C:\WINDOWS\system32\svchost.exe -k imgsvc

C:\WINDOWS\system32\Tablet.exe

C:\WINDOWS\system32\dllhost.exe

C:\Program Files\F-Secure Internet Security\Anti-Virus\fssm32.exe

C:\Program Files\F-Secure Internet Security\FWES\Program\fsdfwd.exe

C:\WINDOWS\Explorer.EXE

C:\Program Files\F-Secure Internet Security\Anti-Virus\fsav32.exe

C:\WINDOWS\ehome\ehtray.exe

C:\WINDOWS\system32\igfxpers.exe

C:\Program Files\Intel\IDU\iptray.exe

C:\Program Files\Intel\IDU\awtray.exe

C:\WINDOWS\eHome\ehmsas.exe

C:\Program1\CyberLink DVD Solution\PowerDVD\PDVDServ.exe

C:\Program Files\Java\jre1.6.0_02\bin\jusched.exe

C:\Program Files\HighCriteria\TotalRecorder\TotRecSched.exe

C:\Program Files\MessengerPlus! 3\MsgPlus.exe

C:\Program Files\Windows Defender\MSASCui.exe

C:\Program1\FarStone\RestoreIT\RestoreIT_XP\VBPTASK.EXE

C:\Program Files\Maxtor\OneTouch\utils\Onetouch.exe

C:\Program Files\Maxtor\OneTouch Status\maxmenumgr.exe

C:\Program Files\F-Secure Internet Security\Common\FSM32.EXE

C:\Program Files\QuickTime\QTTask.exe

C:\Program Files\iTunes\iTunesHelper.exe

C:\WINDOWS\system32\ctfmon.exe

C:\Program Files\Skype\Phone\Skype.exe

C:\Program1\NETGEAR\WG311v3\wlancfg5.exe

C:\WINDOWS\system32\WTablet\TabUserW.exe

C:\Program Files\iPod\bin\iPodService.exe

C:\Program Files\Mozilla Firefox\firefox.exe

C:\Program Files\Java\jre1.6.0_02\bin\jucheck.exe

C:\Documents and Settings\Multimedia\Desktop\dds.scr

============== Pseudo HJT Report ===============

uStart Page = hxxp://subdvd.com/

uSearch Bar = hxxp://g.msn.se/0SESVSE/SAOS02

uInternet Settings,ProxyOverride = *.local

BHO: Adobe PDF Reader Link Helper: {06849e9f-c8d7-4d59-b87d-784b7d6be0b3} - c:\program files\adobe\acrobat 7.0\activex\AcroIEHelper.dll

BHO: Skype add-on (mastermind): {22bf413b-c6d2-4d91-82a9-a0f997ba588c} - c:\program files\skype\toolbars\internet explorer\SkypeIEPlugin.dll

BHO: {53707962-6f74-2d53-2644-206d7942484f} - c:\program1\spybot - search & destroy\SDHelper.dll

{5dde5591-a8ab-4897-93ef-1e4e943f85a7}

BHO: Search Helper: {6ebf7485-159f-4bff-a14f-b9e3aac4465b} - c:\program files\microsoft\search enhancement pack\search helper\SEPsearchhelperie.dll

BHO: SSVHelper Class: {761497bb-d6f0-462c-b6eb-d4daf1d92d43} - c:\program files\java\jre1.6.0_02\bin\ssv.dll

BHO: Windows Live inloggningshjälpen: {9030d464-4c02-4abf-8ecc-5164760863c6} - c:\program files\common files\microsoft shared\windows live\WindowsLiveLogin.dll

BHO: Browsing Protection Class: {c6867eb7-8350-4856-877f-93cf8ae3dc9c} - c:\program files\f-secure internet security\nrs\iescript\baselitmus.dll

BHO: Windows Live Toolbar Helper: {e15a8dc0-8516-42a1-81ea-dc94ec1acf10} - c:\program files\windows live\toolbar\wltcore.dll

TB: Protection Bar: {cc18ae76-7e65-4258-a193-9ea0c52da6b8} -

TB: &Windows Live Toolbar: {21fa44ef-376d-4d53-9b0f-8a89d3229068} - c:\program files\windows live\toolbar\wltcore.dll

TB: Browsing Protection Toolbar: {265eee8e-3228-44d3-aea5-f7fdf5860049} - c:\program files\f-secure internet security\nrs\iescript\baselitmus.dll

TB: {BDAD1DAD-C946-4A17-ADC1-64B5B4FF55D0} - No File

uRun: [ctfmon.exe] c:\windows\system32\ctfmon.exe

uRun: [PowerBar]

uRun: [updateMgr] c:\program1\adobe\acrobat 7.0\reader\AdobeUpdateManager.exe AcRdB7_0_5

uRun: [skype] "c:\program files\skype\phone\Skype.exe" /nosplash /minimized

uRun: [AntiVirus Plus] "c:\windows\system32\rundll32.exe" "c:\documents and settings\multimedia\application data\antivirus plus\AntiVirus Plus.70700.dll", start 70700

mRun: [ehTray] c:\windows\ehome\ehtray.exe

mRun: [igfxtray] c:\windows\system32\igfxtray.exe

mRun: [igfxhkcmd] c:\windows\system32\hkcmd.exe

mRun: [igfxpers] c:\windows\system32\igfxpers.exe

mRun: [sigmatelSysTrayApp] sttray.exe

mRun: [ipTray.exe] "c:\program files\intel\idu\iptray.exe"

mRun: [awTray.exe] "c:\program files\intel\idu\awtray.exe"

mRun: [DiskeeperSystray] "c:\program files\executive software\diskeeper\DkIcon.exe"

mRun: [farstone]

mRun: [RemoteControl] "c:\program1\cyberlink dvd solution\powerdvd\PDVDServ.exe"

mRun: [PinnacleDriverCheck] c:\windows\system32\\PSDrvCheck.exe

mRun: [sunJavaUpdateSched] "c:\program files\java\jre1.6.0_02\bin\jusched.exe"

mRun: [TotalRecorderScheduler] "c:\program files\highcriteria\totalrecorder\TotRecSched.exe"

mRun: [MessengerPlus3] "c:\program files\messengerplus! 3\MsgPlus.exe"

mRun: [intelAudioStudio] "c:\program files\intel audio studio\IntelAudioStudio.exe" BOOT

mRun: [Windows Defender] "c:\program files\windows defender\MSASCui.exe" -hide

mRun: [NeroFilterCheck] c:\windows\system32\NeroCheck.exe

mRun: [RestoreIT!] "c:\program1\farstone\restoreit\restoreit_xp\VBPTASK.EXE" VBStart

mRun: [MaxtorOneTouch] c:\program files\maxtor\onetouch\utils\Onetouch.exe

mRun: [<NO NAME>]

mRun: [mxomssmenu] "c:\program files\maxtor\onetouch status\maxmenumgr.exe"

mRun: [F-Secure Manager] "c:\program files\f-secure internet security\common\FSM32.EXE" /splash

mRun: [F-Secure TNB] "c:\program files\f-secure internet security\fsgui\TNBUtil.exe" /CHECKALL /WAITFORSW

mRun: [QuickTime Task] "c:\program files\quicktime\QTTask.exe" -atboottime

mRun: [iTunesHelper] "c:\program files\itunes\iTunesHelper.exe"

dRun: [ctfmon.exe] c:\windows\system32\CTFMON.EXE

dRun: [DWQueuedReporting] "c:\progra~1\common~1\micros~1\dw\dwtrig20.exe" -t

mExplorerRun: [RTHDBPL] c:\documents and settings\multimedia\application data\systemproc\lsass.exe

StartupFolder: c:\docume~1\multim~1\startm~1\programs\startup\antivi~1.lnk - c:\windows\system32\rundll32.exe

StartupFolder: c:\docume~1\alluse~1\startm~1\programs\startup\adober~1.lnk - c:\program files\adobe\acrobat 7.0\reader\reader_sl.exe

StartupFolder: c:\docume~1\alluse~1\startm~1\programs\startup\antivi~1.lnk - c:\windows\system32\rundll32.exe

StartupFolder: c:\docume~1\alluse~1\startm~1\programs\startup\netgea~1.lnk - c:\windows\installer\{70014586-7bba-4a92-a610-cdc896c48f8f}\NewShortcut1_1.exe

StartupFolder: c:\docume~1\alluse~1\startm~1\programs\startup\tabuse~1.lnk - c:\windows\system32\wtablet\TabUserW.exe

IE: Download with Xilisoft YouTube Video Converter - c:\program files\xilisoft\youtube video converter\upod_link.HTM

IE: {e2e2dd38-d088-4134-82b7-f2ba38496583} - %windir%\Network Diagnostic\xpnetdiag.exe

IE: {FB5F1910-F110-11d2-BB9E-00C04F795683} - c:\program files\messenger\msmsgs.exe

IE: {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - {CAFEEFAC-0016-0000-0002-ABCDEFFEDCBC} - c:\program files\java\jre1.6.0_02\bin\ssv.dll

IE: {5067A26B-1337-4436-8AFE-EE169C2DA79F} - {77BF5300-1474-4EC7-9980-D32B190E9B07} - c:\program files\skype\toolbars\internet explorer\SkypeIEPlugin.dll

IE: {77BF5300-1474-4EC7-9980-D32B190E9B07} - {77BF5300-1474-4EC7-9980-D32B190E9B07} - c:\program files\skype\toolbars\internet explorer\SkypeIEPlugin.dll

LSP: c:\program files\f-secure internet security\fsps\program\FSLSP.DLL

DPF: {0B79F48A-E8D6-11DB-9283-E25056D89593} - hxxp://support.f-secure.com/ols/fscax.cab

DPF: {166B1BCA-3F9C-11CF-8075-444553540000} - hxxp://download.macromedia.com/pub/shockwave/cabs/director/sw.cab

DPF: {215B8138-A3CF-44C5-803F-8226143CFC0A} - hxxp://eu-housecall.trendmicro-europe.com/housecall/applet/html/native/x86/win32/activex/hcImpl.cab

DPF: {67DABFBF-D0AB-41FA-9C46-CC0F21721616} - hxxp://go.divx.com/plugin/DivXBrowserPlugin.cab

DPF: {6E32070A-766D-4EE6-879C-DC1FA91D2FC3} - hxxp://www.update.microsoft.com/microsoftupdate/v6/V5Controls/en/x86/client/muweb_site.cab?1187650169578

DPF: {8AD9C840-044E-11D1-B3E9-00805F499D93} - hxxp://java.sun.com/update/1.6.0/jinstall-1_6_0_02-windows-i586.cab

DPF: {8FFBE65D-2C9C-4669-84BD-5829DC0B603C} - hxxp://fpdownload.macromedia.com/get/flashplayer/current/ultrashim.cab

DPF: {B8BE5E93-A60C-4D26-A2DC-220313175592} - hxxp://messenger.zone.msn.com/binary/ZIntro.cab56649.cab

DPF: {C3F79A2B-B9B4-4A66-B012-3EE46475B072} - hxxp://messenger.zone.msn.com/binary/MessengerStatsPAClient.cab56907.cab

DPF: {CAFEEFAC-0015-0000-0011-ABCDEFFEDCBA} - hxxp://java.sun.com/update/1.5.0/jinstall-1_5_0_11-windows-i586.cab

DPF: {CAFEEFAC-0016-0000-0001-ABCDEFFEDCBA} - hxxp://java.sun.com/update/1.6.0/jinstall-1_6_0_01-windows-i586.cab

DPF: {CAFEEFAC-0016-0000-0002-ABCDEFFEDCBA} - hxxp://java.sun.com/update/1.6.0/jinstall-1_6_0_02-windows-i586.cab

DPF: {CAFEEFAC-FFFF-FFFF-FFFF-ABCDEFFEDCBA} - hxxp://java.sun.com/update/1.6.0/jinstall-1_6_0_02-windows-i586.cab

DPF: {D27CDB6E-AE6D-11CF-96B8-444553540000} - hxxp://fpdownload2.macromedia.com/get/flashplayer/current/swflash.cab

DPF: {F5A7706B-B9C0-4C89-A715-7A0C6B05DD48} - hxxp://messenger.zone.msn.com/binary/MineSweeper.cab56986.cab

DPF: {F6BF0D00-0B2A-4A75-BF7B-F385591623AF} - hxxp://messenger.zone.msn.com/binary/SolitaireShowdown.cab31267.cab

TCP: {49EBCB0D-A01E-4673-986C-4366844FA9EC} = 192.168.1.1

Handler: skype4com - {FFC8B962-9B40-4DFF-9458-1830C7DD7F5D} - c:\progra~1\common~1\skype\SKYPE4~1.DLL

Notify: igfxcui - igfxdev.dll

AppInit_DLLs: MsgPlusLoader.dll

SSODL: WPDShServiceObj - {AAA288BA-9A4C-45B0-95D7-94D524869DB5} - c:\windows\system32\WPDShServiceObj.dll

STS: {a4029063-4fe3-422c-ac72-12905c09642a}: clinker

SEH: Microsoft AntiMalware ShellExecuteHook: {091eb208-39dd-417d-a5dd-7e2c2d8fb9cb} - c:\progra~1\wifd1f~1\MpShHook.dll

================= FIREFOX ===================

FF - ProfilePath - c:\docume~1\multim~1\applic~1\mozilla\firefox\profiles\rtgz811r.default\

FF - component: c:\program files\f-secure internet security\nrs\litmus-ff@f-secure.com\components\litmus-ff.dll

FF - plugin: c:\program files\mozilla firefox\plugins\npcnc32.dll

FF - plugin: c:\windows\system32\clickteam\vitalize\v4\npcnc32.dll

FF - HiddenExtension: Microsoft .NET Framework Assistant: {20a82645-c095-46ed-80e3-08825760534b} - c:\windows\microsoft.net\framework\v3.5\windows presentation foundation\dotnetassistantextension\

FF - HiddenExtension: Internal security: No Registry Reference - c:\program files\mozilla firefox\extensions\{8CE11043-9A15-4207-A565-0C94C42D590D}

FF - HiddenExtension: Java Console: No Registry Reference - c:\program files\mozilla firefox\extensions\{CAFEEFAC-0016-0000-0001-ABCDEFFEDCBA}

FF - HiddenExtension: Java Console: No Registry Reference - c:\program files\mozilla firefox\extensions\{CAFEEFAC-0016-0000-0002-ABCDEFFEDCBA}

---- FIREFOX POLICIES ----

c:\program files\mozilla firefox\greprefs\all.js - pref("browser.visited_color", "#551A8B");

c:\program files\mozilla firefox\greprefs\security-prefs.js - pref("security.ssl3.rsa_seed_sha", true);

c:\program files\mozilla firefox\defaults\pref\firefox-l10n.js - pref("browser.fixup.alternate.suffix", ".se");

c:\program files\mozilla firefox\defaults\pref\firefox.js - pref("browser.videoFeeds.handler", "ask");

============= SERVICES / DRIVERS ===============

R0 fsbts;fsbts;c:\windows\system32\drivers\fsbts.sys [2009-3-27 33920]

R0 FSFW;F-Secure Firewall Driver;c:\windows\system32\drivers\fsdfw.sys [2009-3-27 80000]

R0 RITFSD;RITFSD;c:\windows\system32\drivers\RITFSD.sys [2006-3-8 33249]

R0 VVBackd5;VVBackd5;c:\windows\system32\drivers\VVBackd5.sys [2007-8-21 183987]

R1 F-Secure HIPS;F-Secure HIPS Driver;c:\program files\f-secure internet security\hips\drivers\fshs.sys [2009-3-27 68064]

R2 F-Secure Gatekeeper Handler Starter;FSGKHS;c:\program files\f-secure internet security\anti-virus\fsgk32st.exe [2009-3-27 215648]

R2 McrdSvc;Media Center Extender Service;c:\windows\ehome\mcrdsvc.exe [2005-8-5 99328]

R2 Rcfilter;Rcfilter;c:\windows\system32\drivers\Rcfilter.sys [2006-3-8 31872]

R2 WinDefend;Windows Defender;c:\program files\windows defender\MsMpEng.exe [2006-11-4 13592]

R3 exdisk;Express Disk Service;c:\windows\system32\drivers\exdisk.sys [2006-3-8 14074]

R3 F-Secure Gatekeeper;F-Secure Gatekeeper;c:\program files\f-secure internet security\anti-virus\minifilter\fsgk.sys [2009-3-27 107104]

R3 FSORSPClient;F-Secure ORSP Client;c:\program files\f-secure internet security\orsp client\fsorsp.exe [2009-3-27 56000]

S3 F-Secure Standalone Minifilter;F-Secure Standalone Minifilter;c:\docume~1\admini~1\locals~1\temp\onlinescanner\anti-virus\fsgk.sys [2007-8-16 52736]

S4 F-Secure Filter;F-Secure File System Filter;c:\program files\f-secure internet security\anti-virus\win2k\fsfilter.sys [2009-3-27 39776]

S4 F-Secure Recognizer;F-Secure File System Recognizer;c:\program files\f-secure internet security\anti-virus\win2k\fsrec.sys [2009-3-27 25184]

=============== Created Last 30 ================

2010-01-26 10:31:42 128 ----a-w- c:\windows\system32\perf.dat

2010-01-26 09:51:11 552 ----a-w- c:\windows\system32\d3d8caps.dat

2010-01-25 16:25:55 10 ----a-w- C:\confin.sys

2010-01-20 13:22:43 0 d-sh--w- c:\docume~1\multim~1\applic~1\SystemProc

2010-01-20 13:22:14 0 d-----w- c:\docume~1\multim~1\applic~1\AntiVirus Plus

2010-01-13 12:22:08 471552 -c----w- c:\windows\system32\dllcache\aclayers.dll

==================== Find3M ====================

2010-02-04 17:15:23 12942 ----a-w- c:\windows\system32\tablet.dat

2010-01-14 10:12:06 181120 ------w- c:\windows\system32\MpSigStub.exe

2005-01-09 08:54:32 182568 -c--a-w- c:\program files\shortcircuit.chm

2005-01-05 16:22:44 3802 -c--a-w- c:\program files\morphEQ-preset.xml

2004-10-01 23:00:16 40960 ----a-w- c:\program files\Uninstall_CDS.exe

2005-05-14 00:12:00 217073 --sha-r- c:\windows\meta4.exe

2005-10-24 18:13:58 66560 --sha-r- c:\windows\MOTA113.exe

2005-07-14 19:31:20 27648 --sha-r- c:\windows\system32\AVSredirect.dll

2005-06-26 22:32:28 616448 --sha-r- c:\windows\system32\cygwin1.dll

2005-06-22 05:37:42 45568 --sha-r- c:\windows\system32\cygz.dll

2004-01-25 07:00:00 70656 --sha-r- c:\windows\system32\i420vfw.dll

2005-02-28 20:16:22 240128 --sha-r- c:\windows\system32\x.264.exe

2004-01-25 07:00:00 70656 --sha-r- c:\windows\system32\yv12vfw.dll

2008-12-03 21:10:11 32768 --sha-w- c:\windows\system32\config\systemprofile\local settings\history\history.ie5\mshist012008120320081204\index.dat

============= FINISH: 18:27:00,82 ===============

Personligen har jag absolut ingen aning om vad det betyder, men hoppas att du vet. Stort tack igen för ditt svar!

4 februari, 2010

Antivirus Plus och SystemProc ser det ut som att datorn är drabbad av.

Fungerar engelska för dig?

I så fall följ anvisningarna på

http://www.bleepingcomputer.com/virus-removal/remove-antivirus-plus

Notera att dessa anvisningar oftast inte räcker för att få datorn ren utan du behöver återkomma med ett svar för fortsatt rensning.

Annars så kommer en här en översättning men titta gärna på bilderna i den engelska guiden samtidigt.

Läs igenom noga och fråga om det är något som känns oklart.

Det är bra om du kan skriva ut det här också, åtminstone från punkt 11 då du måste stänga av webbläsaren.

2. Spara RKill av Grinler på Skrivbordet. Ladda ner det från den första av dessa länkar:

http://download.bleepingcomputer.com/grinler/rkill.com

http://download.bleepingcomputer.com/grinler/rkill.pif

http://download.bleepingcomputer.com/grinler/rkill.scr

http://download.bleepingcomputer.com/grinler/rkill.exe

3. Starta Rkill (i Vista och Windows 7 genom att högerklicka på filen och välj Kör som administratör om det valet finns).

Det blir ett svart fönster/ruta en stund om programmet lyckades köra.

Om det inte blev något svart fönster/ruta så ta bort den RKill-varianten och upprepa med nästa RKill.

Om du får ett meddelande om att RKill är skadligt så bry dig inte om det. Det är det skadliga programmen som inte vill bli stoppat. Lämna kvar varningen på skärmen och kör RKill en gång till.

Kör RKill flera gånger efter varandra tills du inte ser till det skadliga programmet längre, dock max 10 gånger. Fortsätt med resten sedan.

Om inte någon av program-varianterna kan köra så berätta det.

4.Spara MBAM på nytt från en av dessa länkar

http://download.bleepingcomputer.com/malwarebytes/mbam-setup.exe

http://download.cnet.com/Malwarebytes-Anti-Malware/3000-8022_4-10804572.html?part=dl-10804572&subj=dl&tag=button

Spara filen på Skrivbordet.

5. Stäng av alla program du ser inklusive Internet Explorer.

6. Dubbelklicka på ikonen som är installationsfilen för MBAM och som du bytte namn på. Installationen av MBAM börjar.

7. Ändra inte standardinställningarna under installationen. Se till i slutet av installationen att det INTE är bockar för:

Uppdatera Malwarebytes' Anti-Malware

Starta Malwarebytes' Anti-Malware

Tryck på Slutför

Om det kommer upp något om att du ska starta om datorn så gör INTE det.

Om det blir ett felmeddelande som ser ut som bilden under punkt 7 i den engelska guiden så tryck bara på OK.

8. Spara denna fil:

http://mbam.malwarebytes.org/program/random.php

Välj att spara den i mappen:

C:\program\Malwarebytes' Anti-Malware

Ändra inte det föreslagna filnamnet! Men skriv ner det.

9. Öppna mappen "C:\program\Malwarebytes' Anti-Malware" och leta reda på det filnamn som du skrev ner i punkt 8 och dubbelklicka på den. MBAM startar nu.

10. Välj fliken Uppdatera och där trycker du på knappen för att uppdatera. När det kommer upp ett meddelande så tryck på OK.

11. Välj fliken Skanna (eller något liknande ord). Välj "Utför fullständig skanning" och därefter trycker du på Skanna.

12. MBAM kommer att söka igenom datorn. Beroende på hur mycket filer du har så kan det ta några timmar. Lämna datorn ifred under tiden.

13. När skanningen är klar så kommer det upp ett meddelande och då trycker du på OK.

14. Tryck på "Visa resultat".

15. Allt som MBAM hittade visas. Se till att alla hittade filer är förbockade. Tryck på knappen "Ta bort markerade". Om det kommer upp ett meddelande om att datorn ska startas om så låt datorn göra det.

16. När MBAM har tagit bort allt så kommer det upp en logg i Anteckningar. Kopiera loggen och klistra in i ditt svar här.

17. Avsluta MBAM.

5 februari, 2010

Stort tack!

Det är dock en sak jag undrar över innan jag kör igång.

Kör RKill flera gånger efter varandra tills du inte ser till det skadliga programmet längre, dock max 10 gånger. Fortsätt med resten sedan.

Menar du att Antivirus plus kommer att hoppa igång medan jag kör RKill? Eller hur vet jag när programmet är borta? På skrivbordet finns det en Antivirus plus-genväg, kommer ikonen försvinna om det går rätt till?

5 februari, 2010

Du märker inte av det skadliga programmet normalt? I så fall kör RKill en gång.

Det handlar inte om att en genväg ska försvinna utan ofta när man har detta skadliga program så har man svårt att få bort informationsfönster som kommer från det och det är de fönstren som ska försvinna.

5 februari, 2010

Aha, okej.

Nej, jag märker inte av programmet. Gjorde det i början när eländet startade, hehe. Men okej, då är det bara att köra på alltså!

5 februari, 2010

Japp :thumbsup:

7 februari, 2010

Nu blev precis färdig med allt. Åkte bort i förrgår så kunde inte göra nåt förrän idag. Här är loggen:

Malwarebytes' Anti-Malware 1.44

Databasversion: 3700

Windows 5.1.2600 Service Pack 3

Internet Explorer 7.0.5730.11

2010-02-07 15:01:44

mbam-log-2010-02-07 (15-01-44).txt

Skanningstyp: Fullständig skanning (B:\|C:\|E:\|)

Antal skannade objekt: 382903

Förfluten tid: 2 hour(s), 52 minute(s), 56 second(s)

Infekterade minnesprocesser: 0

Infekterade minnesmoduler: 0

Infekterade registernycklar: 0

Infekterade registervärden: 1

Infekterade registerdataposter: 0

Infekterade mappar: 7

Infekterade filer: 21

Infekterade minnesprocesser:

(Inga illasinnade poster hittades)

Infekterade minnesmoduler:

(Inga illasinnade poster hittades)

Infekterade registernycklar:

(Inga illasinnade poster hittades)

Infekterade registervärden:

HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\antivirus plus (Rogue.AntivirusPlus) -> Quarantined and deleted successfully.

Infekterade registerdataposter:

(Inga illasinnade poster hittades)

Infekterade mappar:

C:\Documents and Settings\All Users\Start Menu\Programs\AntiVirus Plus (Rogue.AntiVirusPlus) -> Quarantined and deleted successfully.

C:\Documents and Settings\Anton\Start Menu\Programs\AntiVirus Plus (Rogue.AntiVirusPlus) -> Quarantined and deleted successfully.

C:\Documents and Settings\Multimedia\Start Menu\Programs\AntiVirus Plus (Rogue.AntiVirusPlus) -> Quarantined and deleted successfully.

C:\Documents and Settings\Multimedia\Application Data\AntiVirus Plus (Rogue.AntiVirusPlus) -> Quarantined and deleted successfully.

C:\Program Files\Mozilla Firefox\extensions\{8CE11043-9A15-4207-A565-0C94C42D590D} (Trojan.Swisyn) -> Quarantined and deleted successfully.

C:\Program Files\Mozilla Firefox\extensions\{8CE11043-9A15-4207-A565-0C94C42D590D}\chrome (Trojan.Swisyn) -> Quarantined and deleted successfully.

C:\Program Files\Mozilla Firefox\extensions\{8CE11043-9A15-4207-A565-0C94C42D590D}\chrome\content (Trojan.Swisyn) -> Quarantined and deleted successfully.

Infekterade filer:

C:\Documents and Settings\Multimedia\Local Settings\Temp\xoreswcnam.tmp (Trojan.Dropper) -> Quarantined and deleted successfully.

C:\WINDOWS\RegGenieOnUninstall.exe (Spyware.Passwords) -> Quarantined and deleted successfully.

C:\Documents and Settings\All Users\Start Menu\Programs\AntiVirus Plus\AntiVirus Plus.lnk (Rogue.AntiVirusPlus) -> Quarantined and deleted successfully.

C:\Documents and Settings\All Users\Start Menu\Programs\AntiVirus Plus\EULA.url (Rogue.AntiVirusPlus) -> Quarantined and deleted successfully.

C:\Documents and Settings\Anton\Start Menu\Programs\AntiVirus Plus\AntiVirus Plus.lnk (Rogue.AntiVirusPlus) -> Quarantined and deleted successfully.

C:\Documents and Settings\Anton\Start Menu\Programs\AntiVirus Plus\EULA.url (Rogue.AntiVirusPlus) -> Quarantined and deleted successfully.

C:\Documents and Settings\Multimedia\Start Menu\Programs\AntiVirus Plus\AntiVirus Plus.lnk (Rogue.AntiVirusPlus) -> Quarantined and deleted successfully.

C:\Documents and Settings\Multimedia\Start Menu\Programs\AntiVirus Plus\EULA.url (Rogue.AntiVirusPlus) -> Quarantined and deleted successfully.

C:\Program Files\Mozilla Firefox\extensions\{8CE11043-9A15-4207-A565-0C94C42D590D}\chrome.manifest (Trojan.Swisyn) -> Quarantined and deleted successfully.

C:\Program Files\Mozilla Firefox\extensions\{8CE11043-9A15-4207-A565-0C94C42D590D}\install.rdf (Trojan.Swisyn) -> Quarantined and deleted successfully.

C:\Program Files\Mozilla Firefox\extensions\{8CE11043-9A15-4207-A565-0C94C42D590D}\chrome\content\timer.xul (Trojan.Swisyn) -> Quarantined and deleted successfully.

C:\Documents and Settings\Anton\Application Data\avp.ico (Rogue.AntiVirusPlus) -> Quarantined and deleted successfully.

C:\Documents and Settings\Multimedia\Application Data\avp.ico (Rogue.AntiVirusPlus) -> Quarantined and deleted successfully.

C:\Documents and Settings\Anton\Desktop\AntiVirus Plus.lnk (Rogue.AntiVirusPlus) -> Quarantined and deleted successfully.

C:\Documents and Settings\Multimedia\Desktop\AntiVirus Plus.lnk (Rogue.AntiVirusPlus) -> Quarantined and deleted successfully.

C:\Documents and Settings\Anton\Application Data\Microsoft\Internet Explorer\Quick Launch\AntiVirus Plus.lnk (Rogue.AntiVirusPlus) -> Quarantined and deleted successfully.

C:\Documents and Settings\Multimedia\Application Data\Microsoft\Internet Explorer\Quick Launch\AntiVirus Plus.lnk (Rogue.AntiVirusPlus) -> Quarantined and deleted successfully.

C:\Documents and Settings\All Users\Start Menu\Programs\Startup\AntiVirus Plus.lnk (Rogue.AntiVirusPlus) -> Quarantined and deleted successfully.

C:\Documents and Settings\Anton\Start Menu\Programs\Startup\AntiVirus Plus.lnk (Rogue.AntiVirusPlus) -> Quarantined and deleted successfully.

C:\Documents and Settings\Multimedia\Start Menu\Programs\Startup\AntiVirus Plus.lnk (Rogue.AntiVirusPlus) -> Quarantined and deleted successfully.

C:\confin.sys (Malware.Trace) -> Quarantined and deleted successfully.

Är det nåt mer som ska göras nu? Ska tömma karantän till exempel?

7 februari, 2010

Starta om datorn och kör MBAM igen så får vi se om där är något kvar. Om något hittas så klistra in loggen.

Klistra in en ny DDS-logg också så får vi se om det är något kvar där.

7 februari, 2010

Ska jag skanna igen med MBAM menar du? Isåfall återkommer jag om några timmar, för det tog rätt lång tid.

Än en gång, stort tack för din hjälp!

7 februari, 2010

Det räcker med en snabbskanning av C: och det brukar gå betydligt fortare.

7 februari, 2010

Inga skadliga program hittades den här gången. Postar loggfilerna ändå:

Malwarebytes' Anti-Malware 1.44

Databasversion: 3701

Windows 5.1.2600 Service Pack 3

Internet Explorer 7.0.5730.11

2010-02-07 20:49:30

mbam-log-2010-02-07 (20-49-30).txt

Skanningstyp: Fullständig skanning (B:\|C:\|E:\|)

Antal skannade objekt: 374269

Förfluten tid: 1 hour(s), 47 minute(s), 42 second(s)

Infekterade minnesprocesser: 0

Infekterade minnesmoduler: 0

Infekterade registernycklar: 0

Infekterade registervärden: 0

Infekterade registerdataposter: 0

Infekterade mappar: 0

Infekterade filer: 0

Infekterade minnesprocesser:

(Inga illasinnade poster hittades)

Infekterade minnesmoduler:

(Inga illasinnade poster hittades)

Infekterade registernycklar:

(Inga illasinnade poster hittades)

Infekterade registervärden:

(Inga illasinnade poster hittades)

Infekterade registerdataposter:

(Inga illasinnade poster hittades)

Infekterade mappar:

(Inga illasinnade poster hittades)

Infekterade filer:

(Inga illasinnade poster hittades)

DDS (Ver_09-12-01.01) - NTFSx86

Run by Multimedia at 20:52:04,67 on 2010-02-07

Internet Explorer: 7.0.5730.11 BrowserJavaVersion: 1.6.0_02

Microsoft Windows XP Professional 5.1.2600.3.1252.46.1033.18.1014.226 [GMT 1:00]