Avatar billede kristianals Nybegynder
17. januar 2005 - 20:46 Der er 9 kommentarer og
1 løsning

Backdoor.trojan

Hjææææælp!
Norton Antivirus har spottet Backdoor.trojan på en af mine PC´ere og kan ikke selv komme af med den.
Jeg kan se at første skridt nok er HijackThis så her er rapporten:

Logfile of HijackThis v1.99.0
Scan saved at 20:42:34, on 17-01-2005
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)

Running processes:
F:\WINDOWS\System32\smss.exe
F:\WINDOWS\system32\winlogon.exe
F:\WINDOWS\system32\services.exe
F:\WINDOWS\system32\lsass.exe
F:\WINDOWS\System32\Ati2evxx.exe
F:\WINDOWS\system32\svchost.exe
F:\WINDOWS\System32\svchost.exe
F:\WINDOWS\system32\brsvc01a.exe
F:\WINDOWS\system32\brss01a.exe
F:\WINDOWS\system32\spoolsv.exe
F:\WINDOWS\system32\Ati2evxx.exe
F:\WINDOWS\Explorer.EXE
F:\Programmer\CyberLink\PowerDVD\PDVDServ.exe
F:\Programmer\Intel\IDU\iptray.exe
F:\PROGRA~1\NORTON~1\navapw32.exe
F:\WINDOWS\ALCWZRD.EXE
F:\Programmer\QuickTime\qttask.exe
F:\Programmer\iTunes\iTunesHelper.exe
F:\Programmer\Microsoft Hardware\Mouse\point32.exe
F:\Programmer\Java\j2re1.4.2_06\bin\jusched.exe
F:\WINDOWS\system32\ctfmon.exe
c:\Programmer\Sektornet VPN\cvpnd.exe
F:\Programmer\Executive Software\DiskeeperLite\DkService.exe
F:\Programmer\Intel\IDU\IDUServ.exe
F:\Programmer\Norton AntiVirus\navapsvc.exe
F:\Programmer\iPod\bin\iPodService.exe
F:\PROGRA~1\Grisoft\AVGFRE~1\avgamsvr.exe
F:\PROGRA~1\Grisoft\AVGFRE~1\avgupsvc.exe
F:\DOCUME~1\Kristian\LOKALE~1\Temp\Midlertidig mappe 1 for hijackthis.zip\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.google.dk/
R0 - HKLM\Software\Microsoft\Internet Explorer\Search,SearchAssistant =
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Hyperlinks
F2 - REG:system.ini: UserInit=F:\WINDOWS\system32\Userinit.exe
O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - F:\Programmer\Adobe\Acrobat 5.0\Reader\ActiveX\AcroIEHelper.ocx
O2 - BHO: NAV Helper - {BDF3E430-B101-42AD-A544-FADC6B084872} - F:\Programmer\Norton AntiVirus\NavShExt.dll
O3 - Toolbar: Norton AntiVirus - {42CDD1BF-3FFB-4238-8AD1-7859DF00B1D6} - F:\Programmer\Norton AntiVirus\NavShExt.dll
O4 - HKLM\..\Run: [NeroFilterCheck] F:\WINDOWS\system32\NeroCheck.exe
O4 - HKLM\..\Run: [RemoteControl] F:\Programmer\CyberLink\PowerDVD\PDVDServ.exe
O4 - HKLM\..\Run: [ipTray.exe] "F:\Programmer\Intel\IDU\iptray.exe"
O4 - HKLM\..\Run: [SonicFocus] "F:\Programmer\Sonic Focus\SFIGUI\\SFIGUI.EXE" BOOT
O4 - HKLM\..\Run: [NAV Agent] F:\PROGRA~1\NORTON~1\navapw32.exe
O4 - HKLM\..\Run: [Genvej til egenskabsside for High Definition Audio] HDAudPropShortcut.exe
O4 - HKLM\..\Run: [SoundMan] SOUNDMAN.EXE
O4 - HKLM\..\Run: [AlcWzrd] ALCWZRD.EXE
O4 - HKLM\..\Run: [Alcmtr] ALCMTR.EXE
O4 - HKLM\..\Run: [QuickTime Task] "F:\Programmer\QuickTime\qttask.exe" -atboottime
O4 - HKLM\..\Run: [iTunesHelper] F:\Programmer\iTunes\iTunesHelper.exe
O4 - HKLM\..\Run: [POINTER] point32.exe
O4 - HKLM\..\Run: [SunJavaUpdateSched] F:\Programmer\Java\j2re1.4.2_06\bin\jusched.exe
O4 - HKLM\..\Run: [AVG7_CC] F:\PROGRA~1\Grisoft\AVGFRE~1\avgcc.exe /STARTUP
O4 - HKLM\..\RunOnce: [ws_uninst] F:\DOCUME~1\Kristian\LOKALE~1\Temp\ws_uninst.exe -s
O4 - HKLM\..\RunOnce: [kilasic17165942.exe] F:\DOCUME~1\Kristian\LOKALE~1\Temp\kilasic17165942.exe /kill
O4 - HKCU\..\Run: [CTFMON.EXE] F:\WINDOWS\system32\ctfmon.exe
O4 - HKCU\..\Run: [msnmsgr] "F:\Programmer\MSN Messenger\msnmsgr.exe" /background
O4 - Startup: Start Microsoft Office Outlook.lnk = F:\Programmer\Microsoft Office\OFFICE11\OUTLOOK.EXE
O4 - Global Startup: Uni-C Sektornet VPN.lnk = C:\Programmer\Sektornet VPN\vpngui.exe
O8 - Extra context menu item: E&ksporter til Microsoft Excel - res://F:\PROGRA~1\MICROS~2\OFFICE11\EXCEL.EXE/3000
O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - F:\WINDOWS\System32\msjava.dll
O9 - Extra 'Tools' menuitem: Sun Java Console - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - F:\WINDOWS\System32\msjava.dll
O9 - Extra button: Opslag - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - F:\PROGRA~1\MICROS~2\OFFICE11\REFIEBAR.DLL
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - F:\Programmer\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - F:\Programmer\Messenger\msmsgs.exe
O12 - Plugin for .spop: F:\Programmer\Internet Explorer\Plugins\NPDocBox.dll
O16 - DPF: {6414512B-B978-451D-A0D8-FCFDF33E833C} (WUWebControl Class) - http://v5.windowsupdate.microsoft.com/v5consumer/V5Controls/en/x86/client/wuweb_site.cab?1097617136242
O16 - DPF: {A590956F-AE99-4419-BB39-3C721276C625} (Util Class) - https://lra.certifikat.tdc.dk/csp/authenticode/PrimeInkCSP-0504.exe
O16 - DPF: {D8575CE3-3432-4540-88A9-85A1325D3375} (e-Safekey) - https://netbank.danskebank.dk/html/activex/e-Safekey/DB/e-Safekey.cab
O23 - Service: Ati HotKey Poller - Unknown - F:\WINDOWS\System32\Ati2evxx.exe
O23 - Service: AVG7 Alert Manager Server - GRISOFT, s.r.o. - F:\PROGRA~1\Grisoft\AVGFRE~1\avgamsvr.exe
O23 - Service: AVG7 Update Service - GRISOFT, s.r.o. - F:\PROGRA~1\Grisoft\AVGFRE~1\avgupsvc.exe
O23 - Service: BrSplService - brother Industries Ltd - F:\WINDOWS\system32\brsvc01a.exe
O23 - Service: Cisco Systems, Inc. VPN Service - Cisco Systems, Inc. - c:\Programmer\Sektornet VPN\cvpnd.exe
O23 - Service: Diskeeper Lite.lnk - Executive Software International, Inc. - F:\Programmer\Executive Software\DiskeeperLite\DkService.exe
O23 - Service: Intel(R) Desktop Utilities Service - OSA Technologies, Inc. - F:\Programmer\Intel\IDU\IDUServ.exe
O23 - Service: iPod Service - Apple Computer, Inc. - F:\Programmer\iPod\bin\iPodService.exe
O23 - Service: Norton AntiVirus Auto Protect - Symantec Corporation - F:\Programmer\Norton AntiVirus\navapsvc.exe
O23 - Service: NetOp Helper ver. 7.65 (2004242) - Danware Data A/S - F:\Programmer\Danware Data\NetOp Remote Control\HOST\NHOSTSVC.EXE
O23 - Service: ScriptBlocking Service - Symantec Corporation - F:\PROGRA~1\FLLESF~1\SYMANT~1\SCRIPT~1\SBServ.exe

Mvh
Kristian
Avatar billede andersenph Nybegynder
17. januar 2005 - 20:49 #1
Jeg kigger den lige igennem for dig :O)
Avatar billede kristianals Nybegynder
17. januar 2005 - 20:51 #2
Det var hurtigt :)
Avatar billede andersenph Nybegynder
17. januar 2005 - 20:55 #3
Det er vi sommetider ;O)

Hent og opdater Ad-Aware: http://www.spywarefri.dk/vaerktoj.htm#adaware
Programmet samt brugervejledning på dansk finder du her: http://www.spywarefri.dk/vaerktoj.htm#adaware
Følg også vejledningen her til udvidet søgning: http://www.spywarefri.dk/tipsogtricks.htm#adaware

Sæt lige de indstillinger korrekt, så det er klar til brug senere.



Følg vejledningen her: http://www.spywarefri.dk/hjtanv.htm (punkt 6). Fix disse med HijackThis:


O4 - HKLM\..\RunOnce: [ws_uninst] F:\DOCUME~1\Kristian\LOKALE~1\Temp\ws_uninst.exe -s
O4 - HKLM\..\RunOnce: [kilasic17165942.exe] F:\DOCUME~1\Kristian\LOKALE~1\Temp\kilasic17165942.exe /kill


Vi skal kunne se dine skjulte filer for at finde snavs, der skal slettes manuelt. Det er en del af processen.

Åbn en tilfældig mappe, klik på Funktioner=>Mappeindstillinger=>Vis.
Fjern flueben ved "Skjul beskyttede operativsystemfiler".
Fjern flueben ved "Skjul filtypenavne for kendte filtyper".
Sæt prik i "Vis skjulte filer og mapper".


Disse programmer skal slettes i fejlsikret tilstand. Du genstarter og trykker F8 når Windows starter op.

Søg efter disse filer:

Ingen

Søg efter disse mapper:

F:\DOCUME~1\Kristian\LOKALE~1\Temp -> tøm mappen fuldstændigt.

Kør så programmet Ad-aware, fjern alt hvad den finder.



Hent den her scanner:
http://www.spywareinfo.dk/download/mwav.exe

Sæt flueben i følgende:
Memory, Startup folders, drive, Registry, System folders og Services.
Sæt prik i følgende:
All local drives og Scan all files
Og så trykker du på Scan Clean
Den skanner nu, og dette kan godt tage et par timer.

Derefter genstarter du og sender en ny log ind til check
Avatar billede kristianals Nybegynder
17. januar 2005 - 21:31 #4
Hmm. Der er noget der tyder på at jeg ikke når at blive færdig i dag :) Nu mangler jeg "kun" mwav.exe
Avatar billede kristianals Nybegynder
17. januar 2005 - 21:33 #5
Skal jeg også fjerne MRU forekomster i AdAware?
Avatar billede andersenph Nybegynder
17. januar 2005 - 21:35 #6
Ja væk med alt den finder...
Avatar billede kristianals Nybegynder
18. januar 2005 - 13:29 #7
Så er den nye Hijack klar.

Logfile of HijackThis v1.99.0
Scan saved at 07:01:38, on 18-01-2005
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)

Running processes:
F:\WINDOWS\System32\smss.exe
F:\WINDOWS\system32\winlogon.exe
F:\WINDOWS\system32\services.exe
F:\WINDOWS\system32\lsass.exe
F:\WINDOWS\system32\svchost.exe
F:\WINDOWS\system32\svchost.exe
F:\WINDOWS\Explorer.EXE
F:\DOCUME~1\Kristian\LOKALE~1\Temp\Midlertidig mappe 1 for hijackthis.zip\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.google.dk/
R0 - HKLM\Software\Microsoft\Internet Explorer\Search,SearchAssistant =
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Hyperlinks
F2 - REG:system.ini: UserInit=F:\WINDOWS\system32\Userinit.exe
O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - F:\Programmer\Adobe\Acrobat 5.0\Reader\ActiveX\AcroIEHelper.ocx
O2 - BHO: NAV Helper - {BDF3E430-B101-42AD-A544-FADC6B084872} - F:\Programmer\Norton AntiVirus\NavShExt.dll
O3 - Toolbar: Norton AntiVirus - {42CDD1BF-3FFB-4238-8AD1-7859DF00B1D6} - F:\Programmer\Norton AntiVirus\NavShExt.dll
O4 - HKLM\..\Run: [NeroFilterCheck] F:\WINDOWS\system32\NeroCheck.exe
O4 - HKLM\..\Run: [RemoteControl] F:\Programmer\CyberLink\PowerDVD\PDVDServ.exe
O4 - HKLM\..\Run: [ipTray.exe] "F:\Programmer\Intel\IDU\iptray.exe"
O4 - HKLM\..\Run: [SonicFocus] "F:\Programmer\Sonic Focus\SFIGUI\\SFIGUI.EXE" BOOT
O4 - HKLM\..\Run: [NAV Agent] F:\PROGRA~1\NORTON~1\navapw32.exe
O4 - HKLM\..\Run: [Genvej til egenskabsside for High Definition Audio] HDAudPropShortcut.exe
O4 - HKLM\..\Run: [SoundMan] SOUNDMAN.EXE
O4 - HKLM\..\Run: [AlcWzrd] ALCWZRD.EXE
O4 - HKLM\..\Run: [Alcmtr] ALCMTR.EXE
O4 - HKLM\..\Run: [QuickTime Task] "F:\Programmer\QuickTime\qttask.exe" -atboottime
O4 - HKLM\..\Run: [iTunesHelper] F:\Programmer\iTunes\iTunesHelper.exe
O4 - HKLM\..\Run: [SunJavaUpdateSched] F:\Programmer\Java\j2re1.4.2_06\bin\jusched.exe
O4 - HKLM\..\Run: [AVG7_CC] F:\PROGRA~1\Grisoft\AVGFRE~1\avgcc.exe /STARTUP
O4 - HKCU\..\Run: [CTFMON.EXE] F:\WINDOWS\system32\ctfmon.exe
O4 - HKCU\..\Run: [msnmsgr] "F:\Programmer\MSN Messenger\msnmsgr.exe" /background
O4 - Startup: Start Microsoft Office Outlook.lnk = F:\Programmer\Microsoft Office\OFFICE11\OUTLOOK.EXE
O4 - Global Startup: Uni-C Sektornet VPN.lnk = C:\Programmer\Sektornet VPN\vpngui.exe
O8 - Extra context menu item: E&ksporter til Microsoft Excel - res://F:\PROGRA~1\MICROS~2\OFFICE11\EXCEL.EXE/3000
O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - F:\WINDOWS\System32\msjava.dll
O9 - Extra 'Tools' menuitem: Sun Java Console - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - F:\WINDOWS\System32\msjava.dll
O9 - Extra button: Opslag - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - F:\PROGRA~1\MICROS~2\OFFICE11\REFIEBAR.DLL
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - F:\Programmer\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - F:\Programmer\Messenger\msmsgs.exe
O12 - Plugin for .spop: F:\Programmer\Internet Explorer\Plugins\NPDocBox.dll
O16 - DPF: {6414512B-B978-451D-A0D8-FCFDF33E833C} (WUWebControl Class) - http://v5.windowsupdate.microsoft.com/v5consumer/V5Controls/en/x86/client/wuweb_site.cab?1097617136242
O16 - DPF: {A590956F-AE99-4419-BB39-3C721276C625} (Util Class) - https://lra.certifikat.tdc.dk/csp/authenticode/PrimeInkCSP-0504.exe
O16 - DPF: {D8575CE3-3432-4540-88A9-85A1325D3375} (e-Safekey) - https://netbank.danskebank.dk/html/activex/e-Safekey/DB/e-Safekey.cab
O23 - Service: Ati HotKey Poller - Unknown - F:\WINDOWS\System32\Ati2evxx.exe
O23 - Service: AVG7 Alert Manager Server - GRISOFT, s.r.o. - F:\PROGRA~1\Grisoft\AVGFRE~1\avgamsvr.exe
O23 - Service: AVG7 Update Service - GRISOFT, s.r.o. - F:\PROGRA~1\Grisoft\AVGFRE~1\avgupsvc.exe
O23 - Service: BrSplService - brother Industries Ltd - F:\WINDOWS\system32\brsvc01a.exe
O23 - Service: Cisco Systems, Inc. VPN Service - Cisco Systems, Inc. - c:\Programmer\Sektornet VPN\cvpnd.exe
O23 - Service: Diskeeper Lite.lnk - Executive Software International, Inc. - F:\Programmer\Executive Software\DiskeeperLite\DkService.exe
O23 - Service: Intel(R) Desktop Utilities Service - OSA Technologies, Inc. - F:\Programmer\Intel\IDU\IDUServ.exe
O23 - Service: iPod Service - Apple Computer, Inc. - F:\Programmer\iPod\bin\iPodService.exe
O23 - Service: Norton AntiVirus Auto Protect - Symantec Corporation - F:\Programmer\Norton AntiVirus\navapsvc.exe
O23 - Service: NetOp Helper ver. 7.65 (2004242) - Danware Data A/S - F:\Programmer\Danware Data\NetOp Remote Control\HOST\NHOSTSVC.EXE
O23 - Service: ScriptBlocking Service - Symantec Corporation - F:\PROGRA~1\FLLESF~1\SYMANT~1\SCRIPT~1\SBServ.exe
Avatar billede andersenph Nybegynder
18. januar 2005 - 20:54 #8
Din log er nu helt ren.

Efter sådan en tur er det altid en god ide og rydde op i systemgendannelses filerne. Deaktiver systemgendannelse (http://www.spywarefri.dk/virusscannere.htm#alle) - genstart din computer - aktiver systemgendannelse.
Og så skal du også lige skjule dine filer og mapper igen, så du ikke ved en fejl kommer til at slette en vigtig fil. Det gør du samme sted, hvor du satte det til at vise alle filer, denne gang vælger du bare: Vis ikke skjulte filer og mapper.

Du kan også rense browser cachen

1. Klik på Funktioner - Internetindstillinger

2. Under midlertidige filer, klik på Slet cookies

3. Under midlertidige filer, klik på slet filer – sæt flueben i slet alt offline indhold

4. Under Oversigten, klik på ryd oversigten

5. Klik på ok.

Tøm din papirkurv.

Du kan rense temp med denne fil, det tager kun få sek.
www.spywareinfo.dk/download/cleantempxp2k.bat

Lidt råd med på vejen herfra skal du da også have.
For at sikre din pc fremover ville det være en god idé at bruge nogle af programmerne fra denne lille pakke som du kan se her:
http://www.spywarefri.dk/pakken.htm

Især vil jeg anbefale Spybot/og eller Ad-aware, SpywareBlaster, IE Privacy Keeper/el. EmtyTempFolder, IE-Spyad og SpywareGuard som minimum. De er alle gratis, fylder ikke meget, sløver ikke din pc og konflikter ikke med dine andre programmer
Avatar billede kristianals Nybegynder
18. januar 2005 - 22:08 #9
Hej Andersen
Tak for hjælpen. Godt gået! Mit Norton fungerede ikke så jeg afinstallerede det og satte AVG på i stedet. (Det var det jeg lige havde for nu)
Avatar billede andersenph Nybegynder
18. januar 2005 - 22:25 #10
Godt nok. AVG er også meget bedre end Norton, hvis du spørger mig....
Avatar billede Ny bruger Nybegynder

Din løsning...

Tilladte BB-code-tags: [b]fed[/b] [i]kursiv[/i] [u]understreget[/u] Web- og emailadresser omdannes automatisk til links. Der sættes "nofollow" på alle links.

Loading billede Opret Preview

Log ind eller opret profil

Hov!

For at kunne deltage på Computerworld Eksperten skal du være logget ind.

Det er heldigvis nemt at oprette en bruger: Det tager to minutter og du kan vælge at bruge enten e-mail, Facebook eller Google som login.

Du kan også logge ind via nedenstående tjenester