Irriterende virus alert...

[Alf91]

jeg skal fikse en pc der det kommer opp en pop-up melding som heter virus alert... den legger seg på statuslinja og går ikke an å fjerne, uheldegvis vil ingen spywareprogrammer gjenkjenne denne pop-upen og heller ikke virusprogrammer.

Noen som har hatt dette problemet eller som kan hjelpe?

[zjulik]

Last ned Hijackthis fra min signatur, scan til en loggfil, lim inn loggen her. Da ser vi hva du har fått, og kan gi råd videre.

[Alf91]

her har vi loggen

 

 

Logfile of HijackThis v1.99.1

Scan saved at 11:23:11, on 01.06.2006

Platform: Windows XP SP2 (WinNT 5.01.2600)

MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)

 

Running processes:

C:\WINDOWS\System32\smss.exe

C:\WINDOWS\system32\winlogon.exe

C:\WINDOWS\system32\services.exe

C:\WINDOWS\system32\lsass.exe

C:\WINDOWS\system32\svchost.exe

C:\Programfiler\Windows Defender\MsMpEng.exe

C:\WINDOWS\System32\svchost.exe

C:\WINDOWS\System32\S24EvMon.exe

C:\WINDOWS\system32\spoolsv.exe

C:\PROGRA~1\TRENDM~1\INTERN~1\PcCtlCom.exe

C:\WINDOWS\system32\ZCfgSvc.exe

C:\WINDOWS\System32\svchost.exe

C:\PROGRA~1\TRENDM~1\INTERN~1\Tmntsrv.exe

C:\PROGRA~1\TRENDM~1\INTERN~1\tmproxy.exe

C:\WINDOWS\Explorer.EXE

C:\WINDOWS\system32\dcomcfg.exe

C:\Programfiler\Trend Micro\Internet Security 14\pccguide.exe

C:\WINDOWS\SOUNDMAN.EXE

C:\PROGRA~1\LAUNCH~1\CPLBCL53.EXE

C:\WINDOWS\AGRSMMSG.exe

C:\WINDOWS\System32\igfxtray.exe

C:\WINDOWS\System32\hkcmd.exe

C:\Programfiler\Java\jre1.5.0_06\bin\jusched.exe

C:\Programfiler\Windows Defender\MSASCui.exe

C:\Programfiler\QuickTime\qttask.exe

C:\WINDOWS\system32\ctfmon.exe

D:\AV\hijackthis\HijackThis.exe

 

O2 - BHO: (no name) - {53707962-6F74-2D53-2644-206D7942484F} - C:\Programfiler\Spybot - Search & Destroy\SDHelper.dll

O2 - BHO: SSVHelper Class - {761497BB-D6F0-462C-B6EB-D4DAF1D92D43} - C:\Programfiler\Java\jre1.5.0_06\bin\ssv.dll

O2 - BHO: Nothing - {f79fd28e-36ee-4989-aa61-9dd8e30a82fa} - C:\WINDOWS\system32\hp100.tmp

O4 - HKLM\..\Run: [pccguide.exe] "C:\Programfiler\Trend Micro\Internet Security 14\pccguide.exe"

O4 - HKLM\..\Run: [soundMan] SOUNDMAN.EXE

O4 - HKLM\..\Run: [LManager] C:\PROGRA~1\LAUNCH~1\CPLBCL53.EXE

O4 - HKLM\..\Run: [AGRSMMSG] AGRSMMSG.exe

O4 - HKLM\..\Run: [igfxTray] C:\WINDOWS\System32\igfxtray.exe

O4 - HKLM\..\Run: [HotKeysCmds] C:\WINDOWS\System32\hkcmd.exe

O4 - HKLM\..\Run: [sunJavaUpdateSched] C:\Programfiler\Java\jre1.5.0_06\bin\jusched.exe

O4 - HKLM\..\Run: [Windows Defender] "C:\Programfiler\Windows Defender\MSASCui.exe" -hide

O4 - HKLM\..\Run: [QuickTime Task] "C:\Programfiler\QuickTime\qttask.exe" -atboottime

O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\ctfmon.exe

O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programfiler\Java\jre1.5.0_06\bin\ssv.dll

O9 - Extra 'Tools' menuitem: Sun Java Console - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programfiler\Java\jre1.5.0_06\bin\ssv.dll

O16 - DPF: {17492023-C23A-453E-A040-C7C580BBF700} (Windows Genuine Advantage Validation Tool) - http://go.microsoft.com/fwlink/?linkid=39204

O16 - DPF: {6414512B-B978-451D-A0D8-FCFDF33E833C} (WUWebControl Class) - http://update.microsoft.com/windowsupdate/...b?1136804197844

O20 - Winlogon Notify: igfxcui - C:\WINDOWS\SYSTEM32\igfxsrvc.dll

O20 - Winlogon Notify: Sebring - C:\WINDOWS\System32\LgNotify.dll

O20 - Winlogon Notify: WgaLogon - C:\WINDOWS\

O23 - Service: InstallDriver Table Manager (IDriverT) - Macrovision Corporation - C:\Programfiler\Fellesfiler\InstallShield\Driver\11\Intel 32\IDriverT.exe

O23 - Service: Kortveksling (IntelRoam) - Intel Corporation - C:\Programfiler\Intel\Switching\User\RoamSvc.exe

O23 - Service: Intel NCS NetService (NetSvc) - Intel® Corporation - C:\Programfiler\Intel\NCS\Sync\NetSvc.exe

O23 - Service: Trend Micro Central Control Component (PcCtlCom) - Trend Micro Incorporated. - C:\PROGRA~1\TRENDM~1\INTERN~1\PcCtlCom.exe

O23 - Service: Spectrum24 Event Monitor (S24EventMonitor) - Intel Corporation - C:\WINDOWS\System32\S24EvMon.exe

O23 - Service: Trend Micro Real-time Service (Tmntsrv) - Trend Micro Incorporated. - C:\PROGRA~1\TRENDM~1\INTERN~1\Tmntsrv.exe

O23 - Service: Trend Micro Personal Firewall (TmPfw) - Trend Micro Inc. - C:\PROGRA~1\TRENDM~1\INTERN~1\TmPfw.exe

O23 - Service: Trend Micro Proxy Service (tmproxy) - Trend Micro Inc. - C:\PROGRA~1\TRENDM~1\INTERN~1\tmproxy.exe

 

 

men tror ikke den ligger der.. derfor er det vanskelig å slette den

[zjulik]

La meg først si (ikke uventet?) at du nok skulle ha postet en siste HJT-logg i den forrige tråden. For dette ser veldig ut som den samme maskinen altså.

 

Her er spor etter SpywareQuake:

C:\WINDOWS\system32\dcomcfg.exe

http://www.processlibrary.com/directory/files/dcomcfg/

O2 - BHO: Nothing - {f79fd28e-36ee-4989-aa61-9dd8e30a82fa} - C:\WINDOWS\system32\hp100.tmp

 

Prøv denne siden:

http://www.bleepingcomputer.com/forums/topic47826.html

[Alf91]

Riktig det.. har prøvd å fjerne den fra registeret, men det gikk ikke bra.. =) skal sjekke nettsidene nå

[Alf91]

La meg først si (ikke uventet?) at du nok skulle ha postet en siste HJT-logg i den forrige tråden. For dette ser veldig ut som den samme maskinen altså.

 

Her er spor etter SpywareQuake:

C:\WINDOWS\system32\dcomcfg.exe

http://www.processlibrary.com/directory/files/dcomcfg/

O2 - BHO: Nothing - {f79fd28e-36ee-4989-aa61-9dd8e30a82fa} - C:\WINDOWS\system32\hp100.tmp

 

Prøv denne siden:

http://www.bleepingcomputer.com/forums/topic47826.html

6220777[/snapback]

 

vil helst ikke laste ned noe nytt.. det er en viss risiko å laste ned ukjente programmer =)

[zjulik]

vil helst ikke laste ned noe nytt.. det er en viss risiko å laste ned ukjente programmer =) 

 

Da kan jeg ikke hjelpe deg dessverre.

Merk at bleepingcomputer er et av de aller beste utgangspunktene for å bli kvitt SpywareQuake/SpyFalcon/SpyAxe. Man behøver ikke være skeptisk til det fastlegen gir fordi om man har vært uheldig med medisin kjøpt på Ebay...

[Alf91]

ok, hvis ingenting annet hjelper, kan jeg jo kanskje prøve bleepingcomputer.

[berxter]

Sa ikke du at du hadde kjørt SmitFraudFix? Den må du kjøre i safe mode, og velge aternativ 2:

 

Clean:

Reboot your computer in Safe Mode (before the Windows icon appears, tap the F8 key continually)

Double-click smitfraudfix.cmd

Select 2 and hit Enter to delete infect files.

You will be prompted: Do you want to clean the registry ? answer Y (yes) and hit Enter in order to remove the Desktop background and clean registry keys associated with the infection.

The tool will now check if wininet.dll is infected. You may be prompted to replace the infected file (if found): Replace infected file ? answer Y (yes) and hit Enter to restore a clean file.

A reboot may be needed to finish the cleaning process. The report can be found at the root of the system drive, usually at C:\rapport.txt

 

Dette tar Spyfalcon/Axe/osv.

 

Bleepingcomputer er en kjempesite, men så vidt jeg husker ber de deg om å bruke SmitRem, og det er ikke oppdatert på noen tid, slik at SmitFraudFix i dag er sterkere. Jeg har ikke hørt om noen tilfeller der SFF ikke har tatt denne typen infeksjon hvis kjørt riktig.

 

Bernt K

[Alf91]

Sa ikke du at du hadde kjørt SmitFraudFix? Den må du kjøre i safe mode, og velge aternativ 2:

 

Clean:

Reboot your computer in Safe Mode (before the Windows icon appears, tap the F8 key continually)

Double-click smitfraudfix.cmd

Select 2 and hit Enter to delete infect files.

You will be prompted: Do you want to clean the registry ? answer Y (yes) and hit Enter in order to remove the Desktop background and clean registry keys associated with the infection.

The tool will now check if wininet.dll is infected. You may be prompted to replace the infected file (if found): Replace infected file ? answer Y (yes) and hit Enter to restore a clean file.

A reboot may be needed to finish the cleaning process. The report can be found at the root of the system drive, usually at C:\rapport.txt

 

Dette tar Spyfalcon/Axe/osv.

 

Bleepingcomputer er en kjempesite, men så vidt jeg husker ber de deg om å bruke SmitRem, og det er ikke oppdatert på noen tid, slik at SmitFraudFix i dag er sterkere. Jeg har ikke hørt om noen tilfeller der SFF ikke har tatt denne typen infeksjon hvis kjørt riktig.

 

Bernt K

6220993[/snapback]

 

det var vist smitrem jeg kjørte, og såklart kjørte jeg det i sikker modus

[berxter]

Jepp, prøv da med SmitFraudFix; det pleier å gå bra.

 

Bernt K