MSN Virus Problemer

[RocketArena]

Hei.

 

Vet ikke om dette er postet på rett plass, admin får flytte posten viss den hører hjemme en annen plass.

 

Saken er den at igår lånte min bror pcen min. Jeg har på auto accept av filer som folk sender til meg. Var en fyr som sendte meg en .rar fil av "bildene" sine, inni denne fila lå en .scr fil. Denne åpnet broren min.

 

Det som skjedde da var at MSN startet og paste samme spam og sende viruset til alle de som var online på min MSN kontakt liste.

Viruset skriver dette:

 

" A photo with me and my best friend :$ !!"

" Hey please accept my photos :-O !!"

* Så sender MSN en fil som heter "images010.zip"*

 

Jeg har kjørt HouseCall ifra Trend Mirco flere ganger uten at den finner noe.

 

Og også prøved å update Windows men uten resultat.

Så det jeg gjore var og avinnstallere MSN og legge inn en clone som heter AMSN som fungerer greit nok for min del. Men er flere av mine venner som jeg har sendt viruset til som har lyst å bruke sin gamle MSN.

 

Så derfor lurer jeg på om dere vet om det er en fix til dette viruset ute på nett ?

 

Kommer snart med en update med logg fila av Trend Micro HijackThis 2.02.

 

Håper virkelig noen kan hjelpe fordi jeg føler meg litt "skyldig" for å ha spredt dette viruset til flere av kompisene mine

 

-Erlend

 

*edit*

 

Dette er logg fila ifra Trend Micro HijackThis:

 

Logfile of Trend Micro HijackThis v2.0.2

Scan saved at 15:53:46, on 21.07.2007

Platform: Windows XP SP2 (WinNT 5.01.2600)

MSIE: Internet Explorer v7.00 (7.00.6000.16473)

Boot mode: Normal

 

Running processes:

C:\WINDOWS\System32\smss.exe

C:\WINDOWS\system32\winlogon.exe

C:\WINDOWS\system32\services.exe

C:\WINDOWS\system32\lsass.exe

C:\WINDOWS\system32\svchost.exe

C:\WINDOWS\System32\svchost.exe

C:\WINDOWS\system32\spoolsv.exe

C:\WINDOWS\Explorer.EXE

C:\WINDOWS\system32\PnkBstrA.exe

C:\Program Files\Microsoft IntelliPoint\ipoint.exe

D:\Program Files\DAEMON Tools\daemon.exe

D:\Program Files\RivaTuner v2.0 RC 16\RivaTuner.exe

C:\WINDOWS\system32\ctfmon.exe

C:\WINDOWS\System32\svchost.exe

D:\Program Files\mIRC\mirc.exe

D:\Program Files\aMSN\bin\wish.exe

D:\Program Files\Opera\Opera.exe

C:\Program Files\Internet Explorer\iexplore.exe

C:\Documents and Settings\Erlend Olsen\Desktop\HiJackThis.exe

 

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.hw.no/

R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://go.microsoft.com/fwlink/?LinkId=69157

R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://go.microsoft.com/fwlink/?LinkId=54896

R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = http://go.microsoft.com/fwlink/?LinkId=54896

R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = http://go.microsoft.com/fwlink/?LinkId=69157

O2 - BHO: Adobe PDF Reader Link Helper - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Program Files\Common Files\Adobe\Acrobat\ActiveX\AcroIEHelper.dll

O2 - BHO: SSVHelper Class - {761497BB-D6F0-462C-B6EB-D4DAF1D92D43} - C:\Program Files\Java\jre1.5.0_09\bin\ssv.dll

O4 - HKLM\..\Run: [amd_dc_opt] "C:\Program Files\AMD\amd_dc_opt\amd_dc_opt.exe"

O4 - HKLM\..\Run: [intelliPoint] "C:\Program Files\Microsoft IntelliPoint\ipoint.exe"

O4 - HKLM\..\Run: [DAEMON Tools] "D:\Program Files\DAEMON Tools\daemon.exe" -lang 1033

O4 - HKLM\..\Run: [RivaTuner] "D:\Program Files\RivaTuner v2.0 RC 16\RivaTuner.exe" /T

O4 - HKCU\..\Run: [MsnMsgr] "C:\Program Files\MSN Messenger\MsnMsgr.Exe" /background

O4 - HKCU\..\Run: [ctfmon.exe] C:\WINDOWS\system32\ctfmon.exe

O4 - HKCU\..\Run: [Octoshape Streaming Services] "C:\Program Files\Octoshape Streaming Services\Erlend Olsen\OctoshapeClient.exe" -inv:bootrun

O4 - HKCU\..\Run: [amsn] "D:\Program Files\aMSN\amsn.exe"

O4 - HKUS\S-1-5-19\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'LOCAL SERVICE')

O4 - HKUS\S-1-5-20\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'NETWORK SERVICE')

O4 - HKUS\S-1-5-18\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'SYSTEM')

O4 - HKUS\.DEFAULT\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'Default user')

O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\jre1.5.0_09\bin\ssv.dll

O9 - Extra 'Tools' menuitem: Sun Java Console - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\jre1.5.0_09\bin\ssv.dll

O9 - Extra button: (no name) - {e2e2dd38-d088-4134-82b7-f2ba38496583} - C:\WINDOWS\Network Diagnostic\xpnetdiag.exe

O9 - Extra 'Tools' menuitem: @xpsp3res.dll,-20001 - {e2e2dd38-d088-4134-82b7-f2ba38496583} - C:\WINDOWS\Network Diagnostic\xpnetdiag.exe

O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe

O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe

O10 - Unknown file in Winsock LSP: c:\windows\system32\nwprovau.dll

O16 - DPF: {02BF25D5-8C17-4B23-BC80-D3488ABDDC6B} (QuickTime Object) - http://a1540.g.akamai.net/7/1540/52/200705...ex/qtplugin.cab

O16 - DPF: {56762DEC-6B0D-4AB4-A8AD-989993B5D08B} (OnlineScanner Control) - http://www.eset.eu/buxus/docs/programs/OnlineScanner.cab

O16 - DPF: {6414512B-B978-451D-A0D8-FCFDF33E833C} (WUWebControl Class) - http://www.update.microsoft.com/windowsupd...b?1184977950156

O21 - SSODL: printers - {13B85612-A58B-456C-B2BB-8D4786E83965} - notify.dll (file missing)

O23 - Service: Adobe LM Service - Adobe Systems - C:\Program Files\Common Files\Adobe Systems Shared\Service\Adobelmsvc.exe

O23 - Service: PnkBstrA - Unknown owner - C:\WINDOWS\system32\PnkBstrA.exe

O23 - Service: Remote Packet Capture Protocol v.0 (experimental) (rpcapd) - CACE Technologies - C:\Program Files\WinPcap\rpcapd.exe

 

--

End of file - 4563 bytes

Endret 21. juli 2007 av RocketArena

[Znoken]

O16 - DPF: {02BF25D5-8C17-4B23-BC80-D3488ABDDC6B} (QuickTime Object) - http://a1540.g.akamai.net/7/1540/52/200705...ex/qtplugin.cab

 

Var det eneste jeg kunne se fra loggen som skulle vært fjernet...

 

Last ned SUPERAntiSpyware....Installer programmet, oppdater og kjør ....slett det du finner....Det anbefales og kjøre scanningen fra sikker modus....

[mhsalangli]

OT: lås broren din inne i ett kott til han har lært å ikke åpne slike ting

[Databikkja]

Rimlig uintelligent å ha på auto accept! Det er barnelærdom.

[Znoken]

Rimlig uintelligent å ha på auto accept!  Det er barnelærdom.

9114641[/snapback]

 

Bedre og kalle det for uvitenhet da....Man skal ikke sparke noen som ligger nede da...

[Databikkja]

Ok, sorry, enig i det.

[RocketArena]

O16 - DPF: {02BF25D5-8C17-4B23-BC80-D3488ABDDC6B} (QuickTime Object) - http://a1540.g.akamai.net/7/1540/52/200705...ex/qtplugin.cab

 

Var det eneste jeg kunne se fra loggen som skulle vært fjernet...

 

Last ned SUPERAntiSpyware....Installer programmet, oppdater og kjør ....slett det du finner....Det anbefales og kjøre scanningen fra sikker modus....

9114571[/snapback]

 

Har lasta ned og kjørt en scan med det progammet i safemode, fant ikke noe med det programmet heller.

 

Og @ Databikkja: Det funker helt fint for meg og ha på auto accept, jeg ser hvordan type fil det er og hvem som har sendt den til meg. Problemt her er at min bror som ikke er så kompetent på data ikke gjor det, og bare åpna fila, noe som jeg ikke vill ha gjort.

 

*OT*

 

Er heller ikke så lett og låse han inne i et skap iogmed at han er over 100kg på sokkelesten, nesten 2m høy og 27år...

[RocketArena]

En annen ting jeg syns er litt rart er at jeg ser jo at det er flere msn .exe filer som kjører enda jeg har avinnstallert programmet med "legg til/fjern programmer".

 

Disse foreksempel :

 

O4 - HKCU\..\Run: [MsnMsgr] "C:\Program Files\MSN Messenger\MsnMsgr.Exe" /background

 

O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe

 

O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe

 

Noen synspunkter på det ?

[Znoken]

Fant en side hvor det står hvordan du blir kvitt det samme msn viruset som du har...Prøv og følg instrukjonene til punkt og prikke og fortell hvordan det går....

 

Link

[RocketArena]

Fant en side hvor det står hvordan du blir kvitt det samme msn viruset som du har...Prøv og følg instrukjonene til punkt og prikke og fortell hvordan det går....

 

Link

9114857[/snapback]

 

Er nok snakk om 2 forskjellige viruser her. Det viruset som jeg har oppfører seg ikke på den måten. Det som det er snakk om der paster link til en side av et "bilde" som egentlig trojan ifølge disse to sidene http://forums.whirlpool.net.au/forum-repli...cfm/613708.html og http://forums.farkin.net/showthread.php?p=776938

 

Det viruset som jeg har prøver å sende en .zip fil til alle som jeg har på min msn kontaktliste, og inni den .zip fila ligger en .scr fil.

 

Jeg prøvde også og kjøre en fixen til Zotob viruset som man finner her

 

Men takk for linken uansett

Endret 21. juli 2007 av RocketArena

[Znoken]

Vet ikke hva du bruker som antivirus program men kan du ikke laste ned trial versonen til Nod32 som gjelder i 30 dager og ta en skikkelig scann med den for og se om den greier og finne og fjerne denne trojaneren da......

 

Nod32 trial verson

[baiaz]

Noen som vet hvordan man blir kvitt det... funket nod32?

[Traxco]

Går jo også bra og formatere C disken og innstalere win på nytt,da slipper man og krangle med dette ..

[_richter_]

Fant du ut av det!!?

 

SAMMA DRITEN HER

 

 

Flaks at jeg skillte jobb msn og privat msn i går, ellers hadde jeg sendt zips og lugubre meldinger til hele jobben samt kollegaer i danmark og vietnam!. Helsikes dritt dette.

 

Tror jeg spredde til 40+ personer i dag dog. NOD32 fant viruset men fortsetter å finne virus etter restart og clean.. Explorer.exe som er infisert. .

 

Fortsetter på løsningen her nu

[[FH]Homer]

fikk det nå...

aner ikke hva jeg skal gjøre ass... har prøvd full AVG skann men fant ikke en dritt...

noen som vet pc'en blir treigere?

Endret 17. august 2007 av [FH]Homer

[snippsat]

Må gjøres fra sikkerhetmodus følg denne.

http://oss.viztnd.com/bitdefender.shtml

 

Nod-32 er jo svaret.

Den hadde ikke sluppet dette imellom.

Men har man først fått dette kan det bli problemer.

Så install nod-32 i sikkerhetmodus

kjør den der.

 

Det kan bli problemer med boot,

det spørs hva som er smittet.

 

Selvfølgelig vil pcen bli tregere.

Endret 17. august 2007 av SNIPPSAT

[norbat]

Last ned Hijackthis. Legg det i en egen mappe på skrivebordet.

Start programmet, velg "Do a system scan and save a logfile". Loggfilen kopierer du og poster i følgnede kategori: https://www.diskusjon.no/index.php?showforum=131

[NorwegianAssassin]

Vel, har sendt ut en melding til VG, siden hvis du leser VG så er det en artikkel om akkurat det problemet, dette er meldingen jeg skrev til reporteren(løsning) :

 

Hei, jeg hadde dette viruset for noen dager siden, og jeg fant en måte å fjerne dette på:

 

Først tar du og laster ned Combofix.exe fra denne linken: http://download.bleepingcomputer.com/sUBs/ComboFix.exe

 

Legg Combofix.exe på skrivebordet, nå kjører du combofix. Combofix lager nå en logg, Du må ikke klikke på vinduet mens programmet kjører. Hvis du nå ser på loggen og finner noe mistenkelig som:

 

C:\WINDOWS\ntmngr.exe

C:\WINDOWS\lssas.exe

C:\445930.exe

C:\WINDOWS\images.zip

 

De kan også bli sett som dette i Hijackthis:

 

O4 - HKLM\..\Run: [MSN] lssas.exe

O4 - HKLM\..\Run: [MSN] ntmngr.exe

 

Hvis du fant noe som ser ut som det, så gjør du dette: trykk START nede i høyre hjørnet, trykk på KJØR og skriv inn: Combofix /u

 

Dette vil fjerne alle virus som combofix har funnet, og det vil også fjerne Combofix.exe

 

Det finnes også andre anbefalte programmer som: Hijackthis of MSNfix.

 

Veiledning MSNFix

Last ned http://sosvirus.changelog.fr/MSNFix.zip, og pakk det ut på skrivebordet.

Kjør filen 'MSNFix.bat'. Følg veiledningen

 

Veiledning Hijackthis:

Hijackthis kan på en enkel måte fjerne registeroppføringene knyttet til denne infeksjonen.

 

Last ned http://www.trendsecure.com/portal/en-US/to...ckthis/download Legg det i en egen mappe på skrivebordet.

Start programmet, velg "Do a system scan only".

Sett er merke framfor følgende linjer, om de er tilstede, og klikk Fix checked:

 

O4 - HKLM\..\Run: [MSN] lssas.exe

O4 - HKLM\..\Run: [MSN] ntmngr.exe

 

Det er lite sannsynlig at begge er tilstede samtidig.

 

Oppdater ditt antivirusprogram og kjør en full scan.

 

Kilde: https://www.diskusjon.no/index.php?showtopic=894817

 

 

Dette synes jeg dere enten burde legge ut i VG, eller informere Microsoft om dette.

 

Fredrik!

 

 

All æren går til Norbat, går rundt å hjelper mange nettstedet med dette Norbat! Takker

 

Jeg vil også anbefale dette virusprogrammet: Avast 4: Home Edition

[raw-power_Steffan]

prøv msnfix. http://itpro.no/supportforum/index.php?sho...aded&start=

Endret 27. januar 2008 av Skagen
Unødvedig quoting.

[branick]

At man har NOD32 installert og oppdatert o forkant av dette viruset vil jo ikke gjøre noen forskjell. Viruset kom allikevel inn på denne maskinen ihvertfall. NOD32 så det ikke før det prøvde å spamme hele msn-lista mi.

 

Men å kjøre trend online scan i sikkermodus fjernet alle rester av problemet