Virus/trojan som drabbat datorn?!

Webber2003 skrev:

Nu tyvärr ännu ett problem, jag kan inte gå in på windows update, får fram följande meddelande varje gång:

"Det har inträffat ett problem och den begärda sidan kan inte visas. Via länkarna nedan kan du söka information om problemet." Länkarna ger dock ingen vidare utförligare information.

Ok.
Det var inte bra det här.
Måste fråga. Hoppas att du inte tar min fråga som om jag är otrevlig på något sätt (det är jag absolut inte) ;)
Är det en licensierad/laglig XP du har?

MVH/Malou

Jadå det är en Xp version som följde med datorn, det är väl dock ej någon ren windows version utan även en drös compaq program.

Webber2003 skrev:

Jadå det är en Xp version som följde med datorn, det är väl dock ej någon ren windows version utan även en drös compaq program.

Ok.
En så kallad märkesdator.
Att det är en XP version ser jag i loggorna. Det jag blev lite undrande över var om den är licensierad/laglig.
Men det borde den ju vara om du har köpt den i en datorbutik med medföljande XP recovery installation.

Lyckades du få hem och installerat Microsoft Antispyware?
http://www.microsoft.com/downloads/...&displaylang=en

I så fall hittade den någonting och kunde ta bort?

MVH/Malou

Ja den hittade något vid namn "Max" som var någon form av adware programvara.

MaxSearch Adware heter den visst.

Viursmeddelandet fortsätter dock, se den tidigare bifogade bilden.

Webber2003 skrev:

Ja den hittade något vid namn "Max" som var någon form av adware programvara.

MaxSearch Adware heter den visst.

Ok.
Mycket bra att MSAS hittade (y)
Och den tog bort otyget?

Har du provat att försöka hämta hem säkerhetsuppdateringarna igen efter du har scannat med MSAS?

Gör nu en ny HJT-log så får vi se om det hittas något mer?

MVH/Malou

Ja det här med Windows update fungerar fortfarande ej, har nu iallafall installerad service pack 1.

Logfile of HijackThis v1.99.1
Scan saved at 20:12:14, on 2005-11-27
Platform: Windows XP SP1 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP1 (6.00.2800.1106)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\Explorer.EXE
C:\WINDOWS\system32\spoolsv.exe
C:\WINDOWS\System32\Promon.exe
C:\Program\Compaq\Easy Access Button Support\StartEAK.exe
C:\Program\CA\eTrust Internet Security Suite\eTrust EZ Antivirus\CAVTray.exe
C:\Program\CA\eTrust Internet Security Suite\eTrust EZ Antivirus\CAVRID.exe
C:\Program\Adaptec\Easy CD Creator 5\DirectCD\DirectCD.exe
C:\Program\Canon\MultiPASS4\monitr32.exe
C:\Program\Canon\MultiPASS4\MPTBox.exe
C:\Program\Microsoft AntiSpyware\gcasServ.exe
C:\WINDOWS\System32\ctfmon.exe
C:\Program\Compaq\Easy Access Button Support\CPQEAKSYSTEMTRAY.EXE
C:\Program\Messenger\msmsgs.exe
C:\WINDOWS\System32\devldr32.exe
C:\Program\Compaq\Easy Access Button Support\CPQEADM.EXE
C:\Compaq\EAKDRV\EAUSBKBD.EXE
C:\Program\Internet Explorer\iexplore.exe
C:\Program\Compaq\EASYAC~1\BttnServ.exe
C:\Program\CA\eTrust Internet Security Suite\eTrust EZ Antivirus\ISafe.exe
C:\Program\Canon\MultiPASS4\MPSERVIC.EXE
C:\WINDOWS\System32\nvsvc32.exe
C:\Program\CA\eTrust Internet Security Suite\eTrust EZ Antivirus\VetMsg.exe
C:\Program\Microsoft AntiSpyware\gcasDtServ.exe
C:\Program\Internet Explorer\iexplore.exe
C:\Program\Hijackthis\HijackThis.exe
C:\WINDOWS\MSmedia.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.webforum.nu/
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.webforum.nu/
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Länkar
O4 - HKLM\..\Run: [Promon.exe] Promon.exe
O4 - HKLM\..\Run: [WCOLOREAL] C:\Program\COMPAQ\Coloreal\coloreal.exe
O4 - HKLM\..\Run: [CPQEASYACC] C:\Program\Compaq\Easy Access Button Support\StartEAK.exe
O4 - HKLM\..\Run: [srmclean] C:\Cpqs\Scom\srmclean.exe
O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\System32\NvCpl.dll,NvStartup
O4 - HKLM\..\Run: [nwiz] nwiz.exe /install
O4 - HKLM\..\Run: [CaAvTray] "C:\Program\CA\eTrust Internet Security Suite\eTrust EZ Antivirus\CAVTray.exe"
O4 - HKLM\..\Run: [CAVRID] "C:\Program\CA\eTrust Internet Security Suite\eTrust EZ Antivirus\CAVRID.exe"
O4 - HKLM\..\Run: [AdaptecDirectCD] "C:\Program\Adaptec\Easy CD Creator 5\DirectCD\DirectCD.exe"
O4 - HKLM\..\Run: [monitr32] C:\Program\Canon\MultiPASS4\monitr32.exe
O4 - HKLM\..\Run: [MPTBox] C:\Program\Canon\MultiPASS4\MPTBox.exe
O4 - HKLM\..\Run: [gcasServ] "C:\Program\Microsoft AntiSpyware\gcasServ.exe"
O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\ctfmon.exe
O4 - HKCU\..\Run: [MSMSGS] "C:\Program\Messenger\msmsgs.exe" /background
O16 - DPF: {17492023-C23A-453E-A040-C7C580BBF700} (Windows Genuine Advantage Validation Tool) - http://go.microsoft.com/fwlink/?linkid=39204
O16 - DPF: {193C772A-87BE-4B19-A7BB-445B226FE9A1} (ewidoOnlineScan Control) - http://download.ewido.net/ewidoOnlineScan.cab
O16 - DPF: {56393399-041A-4650-94C7-13DFCB1F4665} (PSFormX Control) - http://www.pestpatrol.com/pestscan/pestscan.cab
O16 - DPF: {6414512B-B978-451D-A0D8-FCFDF33E833C} (WUWebControl Class) - http://update.microsoft.com/windowsupdate/v6/V5Controls/en/x86/client/wuweb_site.cab?1133043603405
O16 - DPF: {6E32070A-766D-4EE6-879C-DC1FA91D2FC3} (MUWebControl Class) - http://update.microsoft.com/microsoftupdate/v6/V5Controls/en/x86/client/muweb_site.cab?1133115071404
O23 - Service: CAISafe - Computer Associates International, Inc. - C:\Program\CA\eTrust Internet Security Suite\eTrust EZ Antivirus\ISafe.exe
O23 - Service: IMAPI CD-Burning COM Service (ImapiService) - Roxio Inc. - C:\WINDOWS\System32\ImapiRox.exe
O23 - Service: MicroSoft Media Tools - Unknown owner - C:\WINDOWS\MSmedia.exe
O23 - Service: MpService - Canon Inc - C:\Program\Canon\MultiPASS4\MPSERVIC.EXE
O23 - Service: Intel(R) NMS (NMSSvc) - Intel Corporation - C:\WINDOWS\System32\NMSSvc.exe
O23 - Service: NVIDIA Display Driver Service (NVSvc) - NVIDIA Corporation - C:\WINDOWS\System32\nvsvc32.exe
O23 - Service: VET Message Service (VETMSGNT) - Computer Associates International, Inc. - C:\Program\CA\eTrust Internet Security Suite\eTrust EZ Antivirus\VetMsg.exe

Det här verkar tyvärr vara en hård nöt att knäcka. :(

Hej Webber2003 :)

Ja det här med Windows update fungerar fortfarande ej, har nu iallafall installerad service pack 1.

Ok.
Underbart att du i alla fall fick SP1 (bättre än ingenting just nu).

Skulle du vilja kontrollera vad för ändelse som står bakom den här nedanstående rödmarkerade filen.

C:\Windows\System32\rdriv

Öppna HJT. Klicka på Scan-knappen. Bocka för nedanstående detalj. Klicka på Fix Checked-knappen.
O23 - Service: MicroSoft Media Tools - Unknown owner - C:\WINDOWS\MSmedia.exe

Då du gjort ovanstående:
Starta om datorn i felsäkert läge (tryck F8 upprepade gånger):
För att hitta den mapp du nu skall leta upp, måste du klicka (windowstangent+E) och i verktygsfältet klicka på "Verktyg>mappalternativ" och under "Visa" klicka på "Visa dolda filer och mappar" samt avbocka "dölj filnamstillägg för kända filtyper" och "Dölj skyddade operativsystemfiler"

Sök/Leta reda på:
Delita den rödmarkerade mappen:
C:\WINDOWS\MSmedia.exe<=Delita mappen.

Töm papperskorgen.
Starta om datorn till normalläge igen.

Gör nu ett nytt försök med att hämta uppdateringarna.

Gör en ny HJT-log, kopiera in den hit.
Lämna gärna med informationen ang C:\Windows\System32\rdriv

MVH/Malou

Webber2003 skrev:

Det här verkar tyvärr vara en hård nöt att knäcka. :(

Hehehe...
Ja, den är enveten den här rackaren.
Men skam den som ger sig ;)

MVH/Malou

Jag vill verkligen tacka för all den tid du lägger ner för min skull.

Filen hetet: C:\Windows\System32\rdriv.sys

Fortsätter härmed att ta bort filen, återkommer strax...

Tror nu att vi kan vara i rätt riktning, inga virusvarningar nu när jag startade om datorn.

Följande logg har jag här nu:

Logfile of HijackThis v1.99.1
Scan saved at 20:41:53, on 2005-11-27
Platform: Windows XP SP1 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP1 (6.00.2800.1106)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\spoolsv.exe
C:\WINDOWS\Explorer.EXE
C:\WINDOWS\System32\Promon.exe
C:\Program\Compaq\Easy Access Button Support\StartEAK.exe
C:\Program\CA\eTrust Internet Security Suite\eTrust EZ Antivirus\CAVTray.exe
C:\Program\CA\eTrust Internet Security Suite\eTrust EZ Antivirus\CAVRID.exe
C:\Program\Adaptec\Easy CD Creator 5\DirectCD\DirectCD.exe
C:\Program\Canon\MultiPASS4\MPTBox.exe
C:\Program\Microsoft AntiSpyware\gcasServ.exe
C:\WINDOWS\System32\ctfmon.exe
C:\Program\Messenger\msmsgs.exe
C:\Program\Microsoft AntiSpyware\gcasDtServ.exe
C:\Program\Compaq\Easy Access Button Support\CPQEAKSYSTEMTRAY.EXE
C:\Program\Compaq\Easy Access Button Support\CPQEADM.EXE
C:\Compaq\EAKDRV\EAUSBKBD.EXE
C:\Program\Compaq\EASYAC~1\BttnServ.exe
C:\WINDOWS\System32\devldr32.exe
C:\Program\CA\eTrust Internet Security Suite\eTrust EZ Antivirus\ISafe.exe
C:\Program\Canon\MultiPASS4\MPSERVIC.EXE
C:\WINDOWS\System32\NMSSvc.exe
C:\WINDOWS\System32\nvsvc32.exe
C:\Program\CA\eTrust Internet Security Suite\eTrust EZ Antivirus\VetMsg.exe
C:\Program\Hijackthis\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.webforum.nu/
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.webforum.nu/
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Länkar
O4 - HKLM\..\Run: [Promon.exe] Promon.exe
O4 - HKLM\..\Run: [WCOLOREAL] C:\Program\COMPAQ\Coloreal\coloreal.exe
O4 - HKLM\..\Run: [CPQEASYACC] C:\Program\Compaq\Easy Access Button Support\StartEAK.exe
O4 - HKLM\..\Run: [srmclean] C:\Cpqs\Scom\srmclean.exe
O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\System32\NvCpl.dll,NvStartup
O4 - HKLM\..\Run: [nwiz] nwiz.exe /install
O4 - HKLM\..\Run: [CaAvTray] "C:\Program\CA\eTrust Internet Security Suite\eTrust EZ Antivirus\CAVTray.exe"
O4 - HKLM\..\Run: [CAVRID] "C:\Program\CA\eTrust Internet Security Suite\eTrust EZ Antivirus\CAVRID.exe"
O4 - HKLM\..\Run: [AdaptecDirectCD] "C:\Program\Adaptec\Easy CD Creator 5\DirectCD\DirectCD.exe"
O4 - HKLM\..\Run: [monitr32] C:\Program\Canon\MultiPASS4\monitr32.exe
O4 - HKLM\..\Run: [MPTBox] C:\Program\Canon\MultiPASS4\MPTBox.exe
O4 - HKLM\..\Run: [gcasServ] "C:\Program\Microsoft AntiSpyware\gcasServ.exe"
O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\ctfmon.exe
O4 - HKCU\..\Run: [MSMSGS] "C:\Program\Messenger\msmsgs.exe" /background
O16 - DPF: {17492023-C23A-453E-A040-C7C580BBF700} (Windows Genuine Advantage Validation Tool) - http://go.microsoft.com/fwlink/?linkid=39204
O16 - DPF: {193C772A-87BE-4B19-A7BB-445B226FE9A1} (ewidoOnlineScan Control) - http://download.ewido.net/ewidoOnlineScan.cab
O16 - DPF: {56393399-041A-4650-94C7-13DFCB1F4665} (PSFormX Control) - http://www.pestpatrol.com/pestscan/pestscan.cab
O16 - DPF: {6414512B-B978-451D-A0D8-FCFDF33E833C} (WUWebControl Class) - http://update.microsoft.com/windowsupdate/v6/V5Controls/en/x86/client/wuweb_site.cab?1133043603405
O16 - DPF: {6E32070A-766D-4EE6-879C-DC1FA91D2FC3} (MUWebControl Class) - http://update.microsoft.com/microsoftupdate/v6/V5Controls/en/x86/client/muweb_site.cab?1133115071404
O23 - Service: CAISafe - Computer Associates International, Inc. - C:\Program\CA\eTrust Internet Security Suite\eTrust EZ Antivirus\ISafe.exe
O23 - Service: IMAPI CD-Burning COM Service (ImapiService) - Roxio Inc. - C:\WINDOWS\System32\ImapiRox.exe
O23 - Service: MpService - Canon Inc - C:\Program\Canon\MultiPASS4\MPSERVIC.EXE
O23 - Service: Intel(R) NMS (NMSSvc) - Intel Corporation - C:\WINDOWS\System32\NMSSvc.exe
O23 - Service: NVIDIA Display Driver Service (NVSvc) - NVIDIA Corporation - C:\WINDOWS\System32\nvsvc32.exe
O23 - Service: VET Message Service (VETMSGNT) - Computer Associates International, Inc. - C:\Program\CA\eTrust Internet Security Suite\eTrust EZ Antivirus\VetMsg.exe

Kom ett nytt virusmeddelande, se bifogad bild. Antivirusprogramvaran verkar dock denna gången lyckas ta bort den.

Hej Webber2003 :)

Tack själv för att jag får hjälpa. Bara roligt att få hjälpa ;)

Filen hetet: C:\Windows\System32\rdriv.sys

Tror nu att vi kan vara i rätt riktning, inga virusvarningar nu när jag startade om datorn.

Tack.
Ok. Vi får hålla ett öga på den här ett litet tag till.
Håller på med en översättning ang ett verktyg som skall kunna ta sig an denna rdriv.sys.
Håll noga koll på ditt antivirusprogram om den börjar att varna för ovanstående fil igen. Om så skulle ske så tar vi till verktyget samt lite till för att kunna eliminera den här.

Ang din HJT-log så kan jag längre inte se några otyg eller andra konstigheter i den. Mycket ren och fin.
Mycket bra jobbat av dig (y)

Gör nu som så att du använder datorn som du brukar göra, surfa runt, startar om datorn m.m.
Samt håller koll på antivirusprogrammet om den börjar varna för filen igen.
Återkom gärna om en stund och berätta.

MVH/Malou

Verkligen ett stort tack till dig för all den tid du tagit dig, jag ska nu prova att surfa runt och se om man får några fler virusvarningar eller liknande.

:birp

Webber2003 skrev:

Kom ett nytt virusmeddelande, se bifogad bild. Antivirusprogramvaran verkar dock denna gången lyckas ta bort den.

Ok.
Mycket bra att den lyckades (y)

Gör en test med att scanna med Ewido Onlinescanner:
Ewido Online Scanner (Beta)

OBS: Fungerar ej med Opera/Fire Fox som webbläsare:

En dialogbox kommer att dyka upp där du får en förfrågan om du vill ladda ner och installera Ewido Security Suite Online Scanner. Klicka "Yes" (ja) för att tillåta nerladdningen.
Du måste även tillåta Active X.
http://www.ewido.net/en/onlinescan/run/

Spara och kopiera in loggen hit som du får. Samt ta bort allt den hittar.

MVH/Malou

Webber2003 skrev:

Verkligen ett stort tack till dig för all den tid du tagit dig, jag ska nu prova att surfa runt och se om man får några fler virusvarningar eller liknande.

:birp

Tack själv för att jag får hjälpa ;)
Det gör du rätt i att testa datorn och se om det kommer upp fler varningar (y)

MVH/Malou

Ja programmet ärborttaget på felaktigt sätt nu måste nu ju strula till det

Enklast vore o anvinstallera de dierkt från början
mena när en kille vill ändra ulösningen på sin skärm så ber du väll han inte ändra reg nycklarna o boota om ?

Du som klanta till de för han från början ...

Ja nu fungerade det att köra med online versionen och följande logg säger följande:

__
ewido security suite online scanner
http://www.ewido.net
__

Name: Spyware.Cookie.2o7
Path: C:\Documents and Settings\Peter Beckman\Cookies\peter <beckman@2o7[2].txt>
Risk: Medium

Name: Spyware.Cookie.Advertising
Path: C:\Documents and Settings\Peter Beckman\Cookies\peter <beckman@advertising[1].txt>
Risk: Medium

Name: Spyware.Cookie.Atdmt
Path: C:\Documents and Settings\Peter Beckman\Cookies\peter <beckman@atdmt[2].txt>
Risk: Medium

Name: Spyware.Cookie.Com
Path: C:\Documents and Settings\Peter Beckman\Cookies\peter <beckman@com[2].txt>
Risk: Medium

Name: Spyware.Cookie.Doubleclick
Path: C:\Documents and Settings\Peter Beckman\Cookies\peter <beckman@doubleclick[2].txt>
Risk: Medium

Name: Spyware.Cookie.Hitbox
Path: C:\Documents and Settings\Peter Beckman\Cookies\peter <beckman@ehg-idgab.hitbox[2].txt>
Risk: Medium

Name: Spyware.Cookie.Hitbox
Path: C:\Documents and Settings\Peter Beckman\Cookies\peter <beckman@hitbox[2].txt>
Risk: Medium

Name: Spyware.Cookie.Itrack
Path: C:\Documents and Settings\Peter Beckman\Cookies\peter <beckman@ilead.itrack[2].txt>
Risk: Medium

Name: Spyware.Cookie.Mediaplex
Path: C:\Documents and Settings\Peter Beckman\Cookies\peter <beckman@mediaplex[1].txt>
Risk: Medium

Name: Spyware.Cookie.2o7
Path: C:\Documents and Settings\Peter Beckman\Cookies\peter <beckman@microsofteup.112.2o7[1].txt>
Risk: Medium

Name: Spyware.Cookie.Tradedoubler
Path: C:\Documents and Settings\Peter Beckman\Cookies\peter <beckman@tradedoubler[1].txt>
Risk: Medium
.......................................

Det ser som sagt ut att bara vara "snälla" cookies.