fjerning av reklame popups og virs

[Pozzolan]

Se på Symantec og her for å fjerne det.

[berxter]

jøssogjøss, ja jeg sa jo at ewido ga en lang logg... Hva sier HJT nå? Dersom den rapporterer (file missing) på 020- innførselen eller ingenting der det bare å evt fikse det med HJT, og du skulle være rein.

 

Bernt K

Til Stealthy: jepp, vi har vært gjennom den biten med vxfinder,l2mfix,cwshredder osv, men de var ikke gode nok, så tipset Zjulik om en l2m remover fra Majorgeeks, og det kan hende den tok infeksjonen.

 

DS

Endret 19. februar 2006 av berxter

[krøllas]

fersk HJT logg : ser det ikke bra ut?

 

 

Logfile of HijackThis v1.99.1

Scan saved at 19:54:47, on 19.02.2006

Platform: Windows XP SP2 (WinNT 5.01.2600)

MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)

 

Running processes:

C:\WINDOWS\System32\smss.exe

C:\WINDOWS\system32\winlogon.exe

C:\WINDOWS\system32\services.exe

C:\WINDOWS\system32\lsass.exe

C:\WINDOWS\system32\svchost.exe

C:\WINDOWS\System32\svchost.exe

P:\Sygate Firewall\smc.exe

C:\WINDOWS\system32\spoolsv.exe

C:\WINDOWS\system32\rundll32.exe

C:\WINDOWS\Explorer.EXE

P:\quicktime\iTunesHelper.exe

C:\Programfiler\QuickTime\qttask.exe

C:\Programfiler\Java\jre1.5.0_06\bin\jusched.exe

P:\Norman\Bin\ZLH.EXE

C:\WINDOWS\TBPanel.exe

C:\Programfiler\MSI\Live Update 3\LMonitor.exe

C:\Programfiler\Hewlett-Packard\HP Share-to-Web\hpgs2wnd.exe

C:\Programfiler\Adobe\Photoshop Album Starter Edition\3.0\Apps\apdproxy.exe

C:\WINDOWS\SOUNDMAN.EXE

C:\Programfiler\NVIDIA Corporation\NvMixer\NVMixerTray.exe

C:\WINDOWS\system32\ctfmon.exe

C:\Programfiler\MSN Messenger\MsnMsgr.Exe

C:\Programfiler\Hewlett-Packard\HP Share-to-Web\hpgs2wnf.exe

C:\WINDOWS\system32\CTsvcCDA.EXE

P:\Ewido\ewido anti-malware\ewidoctrl.exe

P:\Ewido\ewido anti-malware\ewidoguard.exe

P:\Norman\Bin\Zanda.exe

C:\WINDOWS\system32\nvsvc32.exe

C:\WINDOWS\system32\svchost.exe

C:\Programfiler\iPod\bin\iPodService.exe

P:\Norman\Nvc\bin\nvcoas.exe

P:\Norman\Nvc\BIN\nipsvc.exe

P:\Norman\bin\NJEEVES.EXE

P:\Norman\Nvc\BIN\NVCSCHED.EXE

P:\Norman\Nvc\BIN\NIP.EXE

P:\Norman\Nvc\bin\cclaw.exe

P:\MOZILLA\FIREFOX.EXE

P:\Teamspeak2_RC2\TS\TeamSpeak.exe

P:\Fraps å\fraps.exe

P:\WinRaR\WinRAR.exe

C:\DOCUME~1\Jonas\LOKALE~1\Temp\Rar$EX00.235\HijackThis.exe

 

R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Koblinger

O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\system32\NvCpl.dll,NvStartup

O4 - HKLM\..\Run: [iTunesHelper] "P:\quicktime\iTunesHelper.exe"

O4 - HKLM\..\Run: [QuickTime Task] "C:\Programfiler\QuickTime\qttask.exe" -atboottime

O4 - HKLM\..\Run: [sunJavaUpdateSched] C:\Programfiler\Java\jre1.5.0_06\bin\jusched.exe

O4 - HKLM\..\Run: [Norman ZANDA] P:\Norman\Bin\ZLH.EXE /LOAD /SPLASH

O4 - HKLM\..\Run: [Gainward] C:\WINDOWS\TBPanel.exe /A

O4 - HKLM\..\Run: [nwiz] nwiz.exe /install

O4 - HKLM\..\Run: [LiveMonitor] C:\Programfiler\MSI\Live Update 3\LMonitor.exe

O4 - HKLM\..\Run: [share-to-Web Namespace Daemon] C:\Programfiler\Hewlett-Packard\HP Share-to-Web\hpgs2wnd.exe

O4 - HKLM\..\Run: [Adobe Photo Downloader] "C:\Programfiler\Adobe\Photoshop Album Starter Edition\3.0\Apps\apdproxy.exe"

O4 - HKLM\..\Run: [soundMan] SOUNDMAN.EXE

O4 - HKLM\..\Run: [NvMediaCenter] RUNDLL32.EXE C:\WINDOWS\system32\NvMcTray.dll,NvTaskbarInit

O4 - HKLM\..\Run: [NVMixerTray] "C:\Programfiler\NVIDIA Corporation\NvMixer\NVMixerTray.exe"

O4 - HKLM\..\Run: [smcService] P:\SYGATE~1\smc.exe -startgui

O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\ctfmon.exe

O4 - HKCU\..\Run: [MsnMsgr] "C:\Programfiler\MSN Messenger\MsnMsgr.Exe" /background

O4 - HKCU\..\Run: [MSMSGS] "C:\Programfiler\Messenger\msmsgs.exe" /background

O4 - HKCU\..\Run: [steam] "p:\valve\steam.exe" -silent

O4 - Global Startup: Adobe Reader Speed Launch.lnk = C:\Programfiler\Adobe\Acrobat 7.0\Reader\reader_sl.exe

O4 - Global Startup: Microsoft Office.lnk = C:\Programfiler\Microsoft Office\Office\OSA9.EXE

O12 - Plugin for .spop: C:\Programfiler\Internet Explorer\Plugins\NPDocBox.dll

O16 - DPF: {9A9307A0-7DA4-4DAF-B042-5009F29E09E1} (ActiveScan Installer Class) - http://acs.pandasoftware.com/activescan/as5free/asinst.cab

O16 - DPF: {B38870E4-7ECB-40DA-8C6A-595F0A5519FF} (MsnMessengerSetupDownloadControl Class) - http://messenger.msn.com/download/msnmesse...pdownloader.cab

O20 - Winlogon Notify: WgaLogon - C:\WINDOWS\

O23 - Service: Creative Service for CDROM Access - Creative Technology Ltd - C:\WINDOWS\system32\CTsvcCDA.EXE

O23 - Service: ewido security suite control - ewido networks - P:\Ewido\ewido anti-malware\ewidoctrl.exe

O23 - Service: ewido security suite guard - ewido networks - P:\Ewido\ewido anti-malware\ewidoguard.exe

O23 - Service: InstallDriver Table Manager (IDriverT) - Macrovision Corporation - C:\Programfiler\Fellesfiler\InstallShield\Driver\11\Intel 32\IDriverT.exe

O23 - Service: iPod Service (iPodService) - Apple Computer, Inc. - C:\Programfiler\iPod\bin\iPodService.exe

O23 - Service: Norman API-hooking helper (NipSvc) - Unknown owner - P:\Norman\Nvc\BIN\nipsvc.exe

O23 - Service: Norman NJeeves - Unknown owner - P:\Norman\bin\NJEEVES.EXE

O23 - Service: Norman ZANDA - Unknown owner - P:\Norman\Bin\Zanda.exe

O23 - Service: Norman Virus Control on-access component (nvcoas) - Norman ASA - P:\Norman\Nvc\bin\nvcoas.exe

O23 - Service: Norman Virus Control Scheduler (NVCScheduler) - Norman Data Defense Systems - P:\Norman\Nvc\BIN\NVCSCHED.EXE

O23 - Service: NVIDIA Display Driver Service (NVSvc) - NVIDIA Corporation - C:\WINDOWS\system32\nvsvc32.exe

O23 - Service: Sygate Personal Firewall (SmcService) - Sygate Technologies, Inc. - P:\Sygate Firewall\smc.exe

[berxter]

Phew! Jeg synes denne ser helt rein og fin ut.

Hvordan går maskina nå?

 

Bernt K

[zjulik]

Vel, jeg skal ikke ta ære for L2MRemover-en, fant den bare tilfeldig via Google, men har ingen erfaring med den selv. Majorgeeks er likevel et sted jeg har tillit til.

 

Har den gjort jobben, får vi notere oss den til neste gang

Endret 19. februar 2006 av zjulik

[berxter]

Men du skal ha æren for å ha foreslått den... Har du noen anelse om hvorfor denne var så gjenstridig og ikke reagerte på de vanlige som vi prøvde?

 

Bernt K

[krøllas]

Tusen takk til de som hjalp meg!! Gleder meg virkelig å se at noen tar andres problemer så seriøst

[zjulik]

Så alt er på stell igjen nå?

 

Har du noen anelse om hvorfor denne var så gjenstridig og ikke reagerte på de vanlige som vi prøvde?

Ingen aning. Kanskje dette programmet er bedre skrudd sammen? Eller nyere?

 

Tusen takk til de som hjalp meg!! Gleder meg virkelig å se at noen tar andres problemer så seriøst

Å grafse i andres problemer får en til å glemme sine egne

[berxter]

Til Kaldahl: Dersom du nå synes at maskina går greit, uten popups osv bør du renske ut i System Restore: start-programs-accessories-system tools-system restore. Her stopper du system restore, og aktiverer den, gjerne etter en reboot.

Alternativt kan du opprette et nytt restore punkt, for så å kjøre disk clean up og slette alle andre enn det siste punktet.

Ta også en ny runde med CrapCleaner; noe du forøvrig bør gjøre en gang i blant.

 

Bernt K

[ATWindsor]

Jeg anbefaler deg å bytte til en annen brannmur slik som Sygate eller Zonealarm.

Hvordan går det med hijackthis loggen?

5611898[/snapback]

 

 

Hvorfor anbefaler du dette?

 

AtW

[krøllas]

Til Kaldahl: Dersom du nå synes at maskina går greit, uten popups osv bør du renske ut i System Restore: start-programs-accessories-system tools-system restore. Her stopper du system restore, og aktiverer den, gjerne etter en reboot.

Alternativt kan du opprette et nytt restore punkt, for så å kjøre disk clean up og slette alle andre enn det siste punktet.

Ta også en ny runde med CrapCleaner; noe du forøvrig bør gjøre en gang i blant.

 

Bernt K

5634288[/snapback]

 

 

skal jeg gjenopprette til gjenopprettingspunkt eller opprette til et tidligere tidspunkt?

[berxter]

Ingen av delene! Dersom du gjenoppretter en gammel versjon kverker du arbeidet vi har gjort. Jeg er enkelte ganger litt klønete til å forklare meg, så les her Symantecs oppskrift:

 

http://service1.symantec.com/SUPPORT/tsgen...001111912274039

 

Dette gjør vi for å fjerne evt rester av infeksjonen som kan ligge igjen i gamle restorepunkter, og for å gi deg et reint punkt for senere behov. Du kan velge å opprette et nytt restorepunkt, og det synes jeg du skal gjøre.

 

Bernt K