Skit i burken...

7 mars, 2011

Hej,

Har en dator som vi inte använder så mycket men nu har den helt fått spel och det kommer hela tiden upp fönster med virusvarningar osv. Det är något som heter "XP Internet Security 2011 Firewall Alert" som hela tiden vill att man ska godkänna att köra programmet och jag antar att det är nåt fuffens.

Startar jag internet så kommer bara programmets egna sida upp så det går inte att gå ut på nätet. Det går inte heller att starta MBAM men jag har kört DDS.scr, här kommer loggarna:

.

DDS (Ver_11-03-05.01) - NTFSx86

Run by Verkstan at 11:24:41,53 on 2011-03-07

Internet Explorer: 7.0.5730.13

Microsoft Windows XP Professional 5.1.2600.3.1252.46.1053.18.511.261 [GMT 1:00]

.

============== Running Processes ===============

.

C:\WINDOWS\system32\svchost -k DcomLaunch

svchost.exe

C:\WINDOWS\System32\svchost.exe -k netsvcs

svchost.exe

C:\WINDOWS\system32\spoolsv.exe

C:\WINDOWS\Explorer.EXE

C:\WINDOWS\SOUNDMAN.EXE

C:\Program\Personal\bin\Personal.exe

C:\Program\NORTON~1\navapw32.exe

C:\WINDOWS\system32\RUNDLL32.EXE

C:\WINDOWS\system32\ctfmon.exe

svchost.exe

C:\Program\Delade filer\Autodata Limited Shared\Service\ADCDLicSvc.exe

C:\WINDOWS\System32\svchost.exe -k HTTPFilter

C:\Program\Delade filer\Microsoft Shared\VS7Debug\mdm.exe

C:\Program\Norton AntiVirus\navapsvc.exe

C:\WINDOWS\system32\nvsvc32.exe

C:\WINDOWS\system32\svchost.exe -k imgsvc

C:\Program\Windows Media Player\WMPNSCFG.exe

C:\Documents and Settings\Verkstan\Skrivbord\dds (2).scr

.

============== Pseudo HJT Report ===============

.

uStart Page = hxxp://www.leta.se/

BHO: Adobe PDF Reader Link Helper: {06849e9f-c8d7-4d59-b87d-784b7d6be0b3} - c:\program\adobe\acrobat 7.0\activex\AcroIEHelper.dll

BHO: CNavExtBho Class: {bdf3e430-b101-42ad-a544-fadc6b084872} - c:\program\norton antivirus\NavShExt.dll

TB: Norton AntiVirus: {42cdd1bf-3ffb-4238-8ad1-7859df00b1d6} - c:\program\norton antivirus\NavShExt.dll

uRun: [CTFMON.EXE] c:\windows\system32\ctfmon.exe

uRun: [updateMgr] "c:\program\adobe\acrobat 7.0\reader\AdobeUpdateManager.exe" AcRdB7_0_9 -reboot 1

uRun: [WMPNSCFG] c:\program\windows media player\WMPNSCFG.exe

mRun: [soundMan] SOUNDMAN.EXE

mRun: [NvCplDaemon] RUNDLL32.EXE c:\windows\system32\NvCpl.dll,NvStartup

mRun: [nwiz] nwiz.exe /install

mRun: [NvMediaCenter] RUNDLL32.EXE c:\windows\system32\NvMcTray.dll,NvTaskbarInit

mRun: [NAV Agent] c:\program\norton~1\navapw32.exe

dRun: [CTFMON.EXE] c:\windows\system32\CTFMON.EXE

StartupFolder: c:\docume~1\verkstan\start-~1\program\autost~1\allian~1.lnk - \\bokföring\allians\data\AlliansPathfinder.exe

StartupFolder: c:\docume~1\alluse~1\start-~1\program\autost~1\adobeg~1.lnk - c:\program\delade filer\adobe\calibration\Adobe Gamma Loader.exe

StartupFolder: c:\docume~1\alluse~1\start-~1\program\autost~1\adober~1.lnk - c:\program\adobe\acrobat 7.0\reader\reader_sl.exe

StartupFolder: c:\docume~1\alluse~1\start-~1\program\autost~1\micros~1.lnk - c:\program\microsoft office\office10\OSA.EXE

StartupFolder: c:\docume~1\alluse~1\start-~1\program\autost~1\personal.lnk - c:\program\personal\bin\Personal.exe

IE: E&xportera till Microsoft Excel - c:\program\micros~2\office10\EXCEL.EXE/3000

IE: {e2e2dd38-d088-4134-82b7-f2ba38496583} - %windir%\Network Diagnostic\xpnetdiag.exe

IE: {FB5F1910-F110-11d2-BB9E-00C04F795683} - c:\program\messenger\msmsgs.exe

DPF: {17492023-C23A-453E-A040-C7C580BBF700} - hxxp://go.microsoft.com/fwlink/?linkid=39204

DPF: {6414512B-B978-451D-A0D8-FCFDF33E833C} - hxxp://update.microsoft.com/windowsupdate/v6/V5Controls/en/x86/client/wuweb_site.cab?1124959871312

DPF: {D27CDB6E-AE6D-11CF-96B8-444553540000} - hxxp://fpdownload.macromedia.com/pub/shockwave/cabs/flash/swflash.cab

Handler: cdo - {CD00020A-8B95-11D1-82DB-00C04FB1625D} - c:\program\delade filer\microsoft shared\web folders\PKMCDO.DLL

SSODL: WPDShServiceObj - {AAA288BA-9A4C-45B0-95D7-94D524869DB5} - c:\windows\system32\WPDShServiceObj.dll

IFEO: image file execution options - svchost.exe

Hosts: 74.125.45.100 4-open-davinci.com

Hosts: 74.125.45.100 securitysoftwarepayments.com

Hosts: 74.125.45.100 privatesecuredpayments.com

Hosts: 74.125.45.100 secure.privatesecuredpayments.com

Hosts: 74.125.45.100 getantivirusplusnow.com

.

Note: multiple HOSTS entries found. Please refer to Attach.txt

.

============= SERVICES / DRIVERS ===============

.

R2 navapsvc;Norton AntiVirus Auto Protect Service;c:\program\norton antivirus\Navapsvc.exe [2001-8-16 115792]

R3 NAVAP;NAVAP;c:\windows\system32\drivers\NAVAP.SYS [2001-8-3 182896]

R3 NAVENG;NAVENG;c:\program\delade~1\symant~1\virusd~1\20081217.003\NAVENG.Sys [2008-12-18 89104]

R3 NAVEX15;NAVEX15;c:\program\delade~1\symant~1\virusd~1\20081217.003\NavEx15.Sys [2008-12-18 876112]

S2 SBService;ScriptBlocking Service;c:\program\delade~1\symant~1\script~1\SBServ.exe [2001-8-13 54408]

S3 MBAMSwissArmy;MBAMSwissArmy;c:\windows\system32\drivers\mbamswissarmy.sys [2010-8-16 38224]

.

=============== Created Last 30 ================

.

2011-03-06 08:04:35 323584 --sha-w- c:\docume~1\verkstan\lokala~1\applic~1\pcv.exe

.

==================== Find3M ====================

.

2011-01-21 14:44:07 439808 ----a-w- c:\windows\system32\shimgvw.dll

2011-01-07 14:09:02 290048 ----a-w- c:\windows\system32\atmfd.dll

2010-12-31 14:04:15 1854976 ----a-w- c:\windows\system32\win32k.sys

2010-12-22 12:34:22 301568 ----a-w- c:\windows\system32\kerberos.dll

2010-12-20 23:06:58 832512 ----a-w- c:\windows\system32\wininet.dll

2010-12-20 23:06:57 78336 ----a-w- c:\windows\system32\ieencode.dll

2010-12-20 23:06:57 1830912 ------w- c:\windows\system32\inetcpl.cpl

2010-12-20 23:06:56 17408 ------w- c:\windows\system32\corpol.dll

2010-12-20 17:25:55 730624 ----a-w- c:\windows\system32\lsasrv.dll

2010-12-20 12:55:36 389120 ------w- c:\windows\system32\html.iec

2010-12-09 15:15:15 722944 ----a-w- c:\windows\system32\ntdll.dll

2010-12-09 15:14:02 2193536 ----a-w- c:\windows\system32\ntoskrnl.exe

2010-12-09 15:13:54 2070144 ----a-w- c:\windows\system32\ntkrnlpa.exe

2010-12-09 14:30:25 33280 ----a-w- c:\windows\system32\csrsrv.dll

.

============= FINISH: 11:25:24,34 ===============

7 mars, 2011

Spara RKill av Grinler på Skrivbordet, för över det med hjälp av USB-minne eller liknande från en dator med fungerande internet-anslutning (eller se om internet fungerar om du startar datorn i felsäkert läge med nätverk). Ladda ner det från :

http://download.bleepingcomputer.com/grinler/iExplore.exe

Filen är RKill men heter inte RKill för att lura det skadliga programmet.

Stäng av antivirusprogrammet och liknande säkerhetsprogram om du har några.

Hur? Se http://www.bleepingcomputer.com/forums/topic114351.html

Starta Rkill genom att dubbelklicka på den.

Det blir ett svart fönster/ruta en stund om programmet lyckades köra.

Upprepa körningen av RKill några gånger tills du inte ser till det falska programmet (max 10 gånger).

Om du får ett meddelande om att RKill är skadligt så bry dig inte om det. Det är det skadliga programmet som inte vill bli stoppat. Lämna kvar varningen på skärmen och kör RKill en gång till.

Om du startar om datorn får du köra RKill igen.

Se om du nu kan köra MBAM.

7 mars, 2011

Hejsan,

Jag körde RKill ett par gånger sen MBAM och här kommer loggen. Nu verkar datorn fungera igen.

Malwarebytes' Anti-Malware 1.50.1.1100

www.malwarebytes.org

Databasversion: 5979

Windows 5.1.2600 Service Pack 3

Internet Explorer 7.0.5730.13

2011-03-07 12:30:37

mbam-log-2011-03-07 (12-30-37).txt

Skanningstyp: Snabbskanning

Antal skannade objekt: 144903

Förfluten tid: 2 minut(er), 15 sekund(er)

Infekterade minnesprocesser: 0

Infekterade minnesmoduler: 0

Infekterade registernycklar: 0

Infekterade registervärden: 0

Infekterade registerdataposter: 0

Infekterade mappar: 0

Infekterade filer: 0

Infekterade minnesprocesser: