Win7 - NTVDM CPU error, googling foreslår virus

[Sio]

Jeg har gått over til Win7 fra Vista da explorer begynnte og flashe toolbaren over fullskjerm-applicasjoner og annen rar oppførsel.

 

Jeg har kost meg med Win7 og aldri hatt et eneste problem, til idag.

 

Jeg tenkte jeg skulle få opp Ventrilo slik at jeg kunne holde kontakt med de som missliker skype.

Men da innstalasjonsfilen var lastet ned kunne ikke Vista7 gjenskjenne filen, noe som er rart siden Windows selv står for pakkeformatet MSI.

 

Kjørte jeg filen i kompabillitetsmodus for XP eller Vista startet filen noe som ser ut som et CMD vindu og gav meg et morsomt error vindu som sa at "NTVDM CPU has encountered an illegal instruction" Yes da.

 

Googling gav meg guides på sjekking av registeret mitt hvor jeg ikke fant noe suspekt.

MBaM og SaS fant noe morsomt reklame greier som gudene vet hvor kom fra, men dette ble slettet og nye scans ble kjørt som kun gav meg positive resultater.

 

Her er en HijackThis log som jeg mener er ren, men jeg kan fort ta feil:

 

Logfile of Trend Micro HijackThis v2.0.2

Scan saved at 23:44:17, on 01.07.2009

Platform: Unknown Windows (WinNT 6.01.3164)

MSIE: Internet Explorer v8.00 (8.00.7260.0000)

Boot mode: Normal

 

Running processes:

F:\Windows\system32\Dwm.exe

F:\Windows\Explorer.EXE

F:\Windows\system32\taskhost.exe

F:\Program Files\Java\jre6\bin\jusched.exe

F:\Program Files\Skype\Phone\Skype.exe

F:\Internett relay programs\uTorrent\uTorrent.exe

F:\Security\SaS\SUPERAntiSpyware.exe

F:\Program Files\Curse\CurseClient.exe

F:\Games\Steam\Steam.exe

F:\Program Files\Windows Live\Messenger\msnmsgr.exe

F:\Program Files\Hamachi\hamachi.exe

F:\Program Files\MagicDisc\MagicDisc.exe

F:\Program Files\Skype\Plugin Manager\skypePM.exe

F:\Internett relay programs\firefox.exe

F:\Windows\system32\ntvdm.exe

F:\Windows\system32\conhost.exe

F:\Windows\explorer.exe

F:\Program Files\Trend Micro\HijackThis\HijackThis.exe

F:\Media\Audio\Spotify\spotify.exe

 

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = http://go.microsoft.com/fwlink/?LinkId=54896

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = www.google.no

R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://go.microsoft.com/fwlink/?LinkId=69157

R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://go.microsoft.com/fwlink/?LinkId=54896

R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = http://go.microsoft.com/fwlink/?LinkId=54896

R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = http://go.microsoft.com/fwlink/?LinkId=69157

R0 - HKLM\Software\Microsoft\Internet Explorer\Search,SearchAssistant =

R0 - HKLM\Software\Microsoft\Internet Explorer\Search,CustomizeSearch =

R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName =

O2 - BHO: AcroIEHelperStub - {18DF081C-E8AD-4283-A596-FA578C2EBDC3} - F:\Program Files\Common Files\Adobe\Acrobat\ActiveX\AcroIEHelperShim.dll

O2 - BHO: AskBar BHO - {201f27d4-3704-41d6-89c1-aa35e39143ed} - F:\Program Files\AskBarDis\bar\bin\askBar.dll (file missing)

O2 - BHO: Påloggingshjelp for Windows Live - {9030D464-4C02-4ABF-8ECC-5164760863C6} - F:\Program Files\Common Files\Microsoft Shared\Windows Live\WindowsLiveLogin.dll

O2 - BHO: Java Plug-In 2 SSV Helper - {DBC80044-A445-435b-BC74-9C25C1C588A9} - F:\Program Files\Java\jre6\bin\jp2ssv.dll

O3 - Toolbar: Ask Toolbar - {3041d03e-fd4b-44e0-b742-2d9b88305f98} - F:\Program Files\AskBarDis\bar\bin\askBar.dll (file missing)

O4 - HKLM\..\Run: [AdobeCS4ServiceManager] "F:\Program Files\Common Files\Adobe\CS4ServiceManager\CS4ServiceManager.exe" -launchedbylogin

O4 - HKLM\..\Run: [Adobe Reader Speed Launcher] "F:\Program Files\Adobe\Reader 9.0\Reader\Reader_sl.exe"

O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE F:\Windows\system32\NvCpl.dll,NvStartup

O4 - HKLM\..\Run: [sunJavaUpdateSched] "F:\Program Files\Java\jre6\bin\jusched.exe"

O4 - HKCU\..\Run: [skype] "F:\Program Files\Skype\Phone\Skype.exe" /nosplash /minimized

O4 - HKCU\..\Run: [uTorrent] "F:\Internett relay programs\uTorrent\uTorrent.exe"

O4 - HKCU\..\Run: [sUPERAntiSpyware] F:\Security\SaS\SUPERAntiSpyware.exe

O4 - HKCU\..\Run: [CurseClient] F:\Program Files\Curse\CurseClient.exe -silent

O4 - HKCU\..\Run: [steam] "F:\Games\Steam\Steam.exe" -silent

O4 - HKCU\..\Run: [msnmsgr] "F:\Program Files\Windows Live\Messenger\msnmsgr.exe" /background

O4 - HKUS\S-1-5-19\..\Run: [sidebar] %ProgramFiles%\Windows Sidebar\Sidebar.exe /autoRun (User 'LOCAL SERVICE')

O4 - HKUS\S-1-5-19\..\RunOnce: [mctadmin] F:\Windows\System32\mctadmin.exe (User 'LOCAL SERVICE')

O4 - HKUS\S-1-5-20\..\Run: [sidebar] %ProgramFiles%\Windows Sidebar\Sidebar.exe /autoRun (User 'NETWORK SERVICE')

O4 - HKUS\S-1-5-20\..\RunOnce: [mctadmin] F:\Windows\System32\mctadmin.exe (User 'NETWORK SERVICE')

O4 - Startup: hamachi.lnk = F:\Program Files\Hamachi\hamachi.exe

O4 - Startup: MagicDisc.lnk = F:\Program Files\MagicDisc\MagicDisc.exe

O13 - Gopher Prefix:

O18 - Protocol: skype4com - {FFC8B962-9B40-4DFF-9458-1830C7DD7F5D} - F:\PROGRA~1\COMMON~1\Skype\SKYPE4~1.DLL

O20 - Winlogon Notify: !SASWinLogon - F:\Security\SaS\SASWINLO.dll

O23 - Service: ASKUpgrade - Unknown owner - F:\Program Files\AskBarDis\bar\bin\ASKUpgrade.exe (file missing)

O23 - Service: FLEXnet Licensing Service - Acresso Software Inc. - F:\Program Files\Common Files\Macrovision Shared\FLEXnet Publisher\FNPLicensingService.exe

O23 - Service: NVIDIA Display Driver Service (nvsvc) - NVIDIA Corporation - F:\Windows\system32\nvvsvc.exe

O23 - Service: Steam Client Service - Valve Corporation - F:\Program Files\Common Files\Steam\SteamService.exe

O23 - Service: NVIDIA Stereoscopic 3D Driver Service (Stereo Service) - NVIDIA Corporation - F:\Windows\System32\nvSCPAPISvr.exe

 

--

End of file - 4835 bytes

 

 

 

Er det noen andre som finner malware eller annet virus på computeren min? Jeg kjører ingen brannmur utenom Windows7 sin standard. WinUpdate har heller ingen nye godsaker til meg.

[raWrz]

.. ikke for og være frekk men:

støtter ventrilo Win7? etter hva soms står på nettsia:

Nei

så det blir delvis "riktig" at VT ikke skal funke 120% i Win7

 

uansett post loggene som MBAM og SaS laget

[Sio]

.. ikke for og være frekk men:

støtter ventrilo Win7? etter hva soms står på nettsia:

Nei

så det blir delvis "riktig" at VT ikke skal funke 120% i Win7

 

uansett post loggene som MBAM og SaS laget

 

Ventrilo har ikke støtte for Win7, men det gjør fint lite så lenge det har støtte for Vista. Jeg sier dette med trygghet fordi da jeg brukte google fant jeg ut at mange kjørte Ventrilo på Win7 uten problemer men med lagproblemer ble fikset med noen lettere modifikasjoner innad Ventrilo.

 

Jeg har aldri så lenge jeg har kjørt Win7 opplevd et kompatiblitets-problem da "kjør i kompabilitetsmodus for X" alltid ha vært løsningen.

 

Dette problemet er også å finne for XP, Vista og Win2k brukere, det er også og finne for andre applikasjoner enn innstaleren til Ventrilo 3.

 

Anyway, jeg skal rote frem disse loggene.

 

MBAM:

 

Malwarebytes' Anti-Malware 1.38

Database version: 2297

Windows 6.1.7260

 

01.07.2009 22:34:24

mbam-log-2009-07-01 (22-34-24).txt

 

Scan type: Quick Scan

Objects scanned: 76058

Time elapsed: 2 minute(s), 6 second(s)

 

Memory Processes Infected: 1

Memory Modules Infected: 0

Registry Keys Infected: 0

Registry Values Infected: 1

Registry Data Items Infected: 0

Folders Infected: 0

Files Infected: 4

 

Memory Processes Infected:

F:\Users\Sio\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\smgr34.exe (Trojan.Agent) -> Unloaded process successfully.

 

Memory Modules Infected:

(No malicious items detected)

 

Registry Keys Infected:

(No malicious items detected)

 

Registry Values Infected:

HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\Hattric (Backdoor.Agent) -> Quarantined and deleted successfully.

 

Registry Data Items Infected:

(No malicious items detected)

 

Folders Infected:

(No malicious items detected)

 

Files Infected:

H:\Autorun.inf (Worm.Agent.H) -> Delete on reboot.

J:\Autorun.inf (Worm.Agent.H) -> Delete on reboot.

C:\Windows\System32\hattric\smss.exe (Backdoor.Agent) -> Quarantined and deleted successfully.

f:\Users\Sio\AppData\Roaming\microsoft\Windows\start menu\Programs\Startup\smgr34.exe (Trojan.Agent) -> Quarantined and deleted successfully.

 

 

 

SAS:

 

SUPERAntiSpyware Scan Log

http://www.superantispyware.com

 

Generated 07/01/2009 at 10:54 PM

 

Application Version : 4.26.1006

 

Core Rules Database Version : 3952

Trace Rules Database Version: 1894

 

Scan type : Quick Scan

Total Scan Time : 00:07:25

 

Memory items scanned : 617

Memory threats detected : 0

Registry items scanned : 388

Registry threats detected : 0

File items scanned : 15790

File threats detected : 6

 

Adware.Tracking Cookie

F:\Users\Sio\AppData\Roaming\Microsoft\Windows\Cookies\sio@tradedoubler[3].txt

F:\Users\Sio\AppData\Roaming\Microsoft\Windows\Cookies\[email protected][1].txt

F:\Users\Sio\AppData\Roaming\Microsoft\Windows\Cookies\sio@smartadserver[3].txt

F:\Users\Sio\AppData\Roaming\Microsoft\Windows\Cookies\sio@atdmt[1].txt

F:\Users\Sio\AppData\Roaming\Microsoft\Windows\Cookies\sio@serving-sys[2].txt

F:\Users\Sio\AppData\Roaming\Microsoft\Windows\Cookies\[email protected][2].txt

 

 

Endret 1. juli 2009 av Sio

[raWrz]

fant litt tips osv rundt omking

restart datan ?

(etter hva jeg forstår av den erroren så er det fordi at windows ikke vill at det programmet skal bruke noe minne)

dette går også inn sammen med virus fordi noen virus filer som vil kjøre trolig vil bruke mer minne enn det windows vill )

 

kansje løsning:

http://support.microsoft.com/kb/q196453/

http://social.msdn.microsoft.com/Forums/en...c4-6bacd8a397d4

 

(ps: siden vi begge hvet at Ventrilo sin install fil ikke er noe virus så trenger ikke dette være virus realitert )

 

edit: har du latt mbam starte om dataen din?

Endret 1. juli 2009 av Submit

[Sio]

Jeg har også tenkt at dette ikke nødvendigvis må være virus relatert.

Men NTVDM er den virtuelle tjenesten som gir større for 16bit, eller er jeg ute og kjører nå?

Jeg tenker at jeg legger meg nå, og imorgen kveld skal jeg finne en annen 16bit applikasjon og se om jeg får samme error. Noe jeg sannsynligvis gjør.

Jeg skal på jobb imorgen og må legge meg ASAP. 5timer til jeg skal opp!

 

PS: Jeg var også inne på det forumet du linker til og jeg siterer en person:

"This looks strongly to be virus related. "

 

Da satt jeg forann PCn igjen, har litt tid før jeg drar på jobben.

Skal se hva som kan skje...

 

Skal la MBam restarte nå også poster jeg etterpå.

 

Ingen forskjell med MBAM reboot.

Endret 2. juli 2009 av Sio