Avatar billede HjaelpMig100 Nybegynder
23. januar 2015 - 06:27 Der er 17 kommentarer og
1 løsning

Hacket af en "ven"

Hej med jer herinde :-)

Jeg har kommet til at dummet mig med at stole på en person over nettet og ladet ham hjælpe mig med at opdatere en driver til mit grafikkort, efter han har hjulpet mig er der sket nogle underlige ting som at CPU niveauet er oppe og toppe i 98% og flere underlige programmer køre, jeg har fået en Java Update som jeg læste mig frem til kunne være en snyder/Trojan?

Det handler om en eller flere dllhost.exe COM Surrogate file(r) som jeg ville have logget til jer igennem HiJackThis, problemet er at jeg nu får en meddelelse der hedder følgende

"For some reason your system denied write access to the Hosts file.
If any hijacked domains are in this file, HiJackThis may NOT be able to fix this.

If that happens, you need to edit the file yourself. To do this, click start, run and type:

notepad C:\WINDOWS\System32\drivers\etc\hosts"

Problemet er lidt at jeg ikke aner hvad jeg laver og ikke har erfaring med at rode med disse problemer samt mit computer-engelsk ikke er eksisterende. Jeg kan lave en log fil hvor det ser ud til at de dllhost.exe ikke er på, fordi jeg tror at selve filen blokere for HiJackThis?

Håber der sidder nogle flinke kloge mennesker derude, som har lyst til en hjælpe et it-fjols på vej til en sikker pc igen :-D
Avatar billede HjaelpMig100 Nybegynder
23. januar 2015 - 06:36 #1
Det skal lige siges at personen efter sigende skulle vide en del om programmering og er en haj til det - Jeg kan så desværre ikke vurdere hvor god han er. Endnu værre aner jeg ikke om mine personlige oplysninger, koder m.m er i fare eller ej?

Knapt så fedt! Det har resulteret i at jeg har siddet oppe en del af natten for at finde ud af hvad der er op og ned - Jeg har ikke prøvet noget lignende før og er ret frustreret over det :-D
Avatar billede claes57 Ekspert
23. januar 2015 - 10:32 #2
hent og kør http://www.tweaking.com/content/page/windows_repair_all_in_one.html
alle punkter igennem.
Derefter kan du med slimdrivers opdatere alle drivere. https://www.slimwareutilities.com/slimdrivers.php tag det lille link lige under den grønne knap. Kør programmet, og hent alt hvad den foreslår - og bliv ved til den ikke finder mere (kan være flere genstarter).
23. januar 2015 - 11:39 #3
PAS PÅ med denNe "Slimdrivers" !!!
FRAKLIK Uønskede 'ting' under INSTALLATIONEN !!!
23. januar 2015 - 11:40 #4
PS: en HiackThis er KUN VEJLEDENDE !!!
Avatar billede Slettet bruger
23. januar 2015 - 12:55 #5
Jeg vil ikke selv bruge slimdriver eller Windows Repair ( All in One ).

@HjaelpMig100 hent Malwarebytes og følg denne vejledning :
http://www.eksperten.dk/guide/1605
Avatar billede claes57 Ekspert
23. januar 2015 - 13:04 #6
>pixxel Malwarebytes ligger som punkt i Windows Repair (All in One). Men der bliver så bla også køre en windows rep af systemfiler, og justering af rettigheder til filer (fx skriveadgang til Hosts).
Avatar billede HjaelpMig100 Nybegynder
23. januar 2015 - 13:11 #7
Det skal lige nævnes at jeg har brugt AdwCleaner, ccleaner og malwarebytes - Er dette program @claes57 nævner nødvendigt for at komme af med virus?

Kan se der kører tre programmer i baggrunden som hedder conhost.exe igennem "postgres", "NETVÆRK" og "SYSTEM" - Alle tre står som konsolvinduevært i beskrivelsen.

Jeg kommer tilbage til spørgsmålet igen omkring HiJackThis loggen. Hvis nu jeg får den meddelelse i HJT - Kan den eventuelle trojan/virus gøre at HJT ikke vil vise den i logfilen, fordi denne er programmeret til at gemme sig for HJT?

Det ser ret forvirrende ud med tweaking, når mit pc-engelsk som sagt ikke er eksisterende og jeg ikke ved hvad der er op og ned.
Samtidig mistænker jeg nvidia som værende et af problemerne måske, fordi personen netop valgte præcis dette til mig over teamviewer.

Ydermere vil jeg høre om det har nogen betydning om jeg tænder og slukket pc'en og om der vil komme mere og mere vrøvl jo mere jeg gør det?

@karise_larry Fedt du lige advare, når man ikke ved så meget om det :D Jeg er enormt forvirret og en anelse bange for om personen kan finde på at misbruge mine koder :/ Jeg virker måske alt for sikker på at det er præcis ham, men jeg har aldrig haft noget i den stil af problemer, før efter han har hjulpet mig og han var alt for ivrig efter at ville hjælpe mig, hvilket jeg tog for gode varer :/
Avatar billede HjaelpMig100 Nybegynder
23. januar 2015 - 13:16 #8
Jeg kørte den i morges og den kører mere flydende nu, jeg er desværre stadig bange for at der er en trojan inde som jeg skrev for lidt siden :/

Den viser som sagt stadig conhost.exe i tre styk's inde i Detaljer, det virker ikke som om disse skulle kører tænker jeg :P
Avatar billede HjaelpMig100 Nybegynder
23. januar 2015 - 13:42 #9
Logfile of Trend Micro HijackThis v2.0.5
Scan saved at 13:32:58, on 23-01-2015
Platform: Unknown Windows (WinNT 6.02.1008)
MSIE: Internet Explorer v11.0 (11.00.9600.17416)

FIREFOX: 35.0 (x86 da)
Boot mode: Normal

Running processes:
C:\Program Files (x86)\NVIDIA Corporation\Update Core\NvBackend.exe
C:\Program Files (x86)\Google\Chrome\Application\chrome.exe
C:\Program Files (x86)\Google\Chrome\Application\chrome.exe
C:\Program Files (x86)\Google\Chrome\Application\chrome.exe
C:\Program Files (x86)\Google\Chrome\Application\chrome.exe
C:\Program Files (x86)\Google\Chrome\Application\chrome.exe
C:\WINDOWS\syswow64\wwahost.exe
C:\Users\Bruger\Downloads\HijackThis.exe.exe
C:\Program Files (x86)\Google\Chrome\Application\chrome.exe
C:\Program Files (x86)\Google\Chrome\Application\chrome.exe

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = about:blank
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = http://go.microsoft.com/fwlink/?LinkId=54896
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = https://www.google.dk/
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://go.microsoft.com/fwlink/p/?LinkId=255141
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://go.microsoft.com/fwlink/?LinkId=54896
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = http://go.microsoft.com/fwlink/?LinkId=54896
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = http://go.microsoft.com/fwlink/p/?LinkId=255141
R0 - HKLM\Software\Microsoft\Internet Explorer\Search,SearchAssistant =
R0 - HKLM\Software\Microsoft\Internet Explorer\Search,CustomizeSearch =
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Local Page = C:\Windows\SysWOW64\blank.htm
R1 - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings,ProxyOverride = *.local
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName =
F2 - REG:system.ini: UserInit=userinit.exe,
O4 - HKLM\..\Run: [iTunesHelper] "C:\Program Files (x86)\iTunes\iTunesHelper.exe"
O4 - HKCU\..\Run: [CCleaner Monitoring] "C:\Program Files\CCleaner\CCleaner64.exe" /MONITOR
O4 - Global Startup: SetPointII.lnk = ?
O11 - Options group: [ACCELERATED_GRAPHICS] Accelerated graphics
O23 - Service: @%SystemRoot%\system32\Alg.exe,-112 (ALG) - Unknown owner - C:\WINDOWS\System32\alg.exe (file missing)
O23 - Service: Apple Mobile Device - Apple Inc. - C:\Program Files (x86)\Common Files\Apple\Mobile Device Support\AppleMobileDeviceService.exe
O23 - Service: AppleChargerSrv - Unknown owner - C:\WINDOWS\system32\AppleChargerSrv.exe (file missing)
O23 - Service: Bonjour tjeneste (Bonjour Service) - Apple Inc. - C:\Program Files\Bonjour\mDNSResponder.exe
O23 - Service: @%SystemRoot%\system32\efssvc.dll,-100 (EFS) - Unknown owner - C:\WINDOWS\System32\lsass.exe (file missing)
O23 - Service: @%systemroot%\system32\fxsresm.dll,-118 (Fax) - Unknown owner - C:\WINDOWS\system32\fxssvc.exe (file missing)
O23 - Service: NVIDIA GeForce Experience Service (GfExperienceService) - NVIDIA Corporation - C:\Program Files\NVIDIA Corporation\GeForce Experience Service\GfExperienceService.exe
O23 - Service: Google Update Tjeneste (gupdate) (gupdate) - Google Inc. - C:\Program Files (x86)\Google\Update\GoogleUpdate.exe
O23 - Service: Google Update Tjeneste (gupdatem) (gupdatem) - Google Inc. - C:\Program Files (x86)\Google\Update\GoogleUpdate.exe
O23 - Service: @%SystemRoot%\system32\ieetwcollectorres.dll,-1000 (IEEtwCollectorService) - Unknown owner - C:\WINDOWS\system32\IEEtwCollector.exe (file missing)
O23 - Service: Intel(R) Capability Licensing Service Interface - Intel(R) Corporation - C:\Program Files\Intel\iCLS Client\HeciServer.exe
O23 - Service: iPod-tjeneste (iPod Service) - Apple Inc. - C:\Program Files\iPod\bin\iPodService.exe
O23 - Service: Intel(R) Dynamic Application Loader Host Interface Service (jhi_service) - Intel Corporation - C:\Program Files (x86)\Intel\Intel(R) Management Engine Components\DAL\jhi_service.exe
O23 - Service: @keyiso.dll,-100 (KeyIso) - Unknown owner - C:\WINDOWS\system32\lsass.exe (file missing)
O23 - Service: Intel(R) Management and Security Application Local Management Service (LMS) - Intel Corporation - C:\Program Files (x86)\Intel\Intel(R) Management Engine Components\LMS\LMS.exe
O23 - Service: MBAMScheduler - Malwarebytes Corporation - C:\Program Files (x86)\Malwarebytes Anti-Malware\mbamscheduler.exe
O23 - Service: MBAMService - Malwarebytes Corporation - C:\Program Files (x86)\Malwarebytes Anti-Malware\mbamservice.exe
O23 - Service: Mozilla Maintenance Service (MozillaMaintenance) - Mozilla Foundation - C:\Program Files (x86)\Mozilla Maintenance Service\maintenanceservice.exe
O23 - Service: @comres.dll,-2797 (MSDTC) - Unknown owner - C:\WINDOWS\System32\msdtc.exe (file missing)
O23 - Service: @%SystemRoot%\System32\netlogon.dll,-102 (Netlogon) - Unknown owner - C:\WINDOWS\system32\lsass.exe (file missing)
O23 - Service: NVIDIA Network Service (NvNetworkService) - NVIDIA Corporation - C:\Program Files (x86)\NVIDIA Corporation\NetService\NvNetworkService.exe
O23 - Service: NVIDIA Streamer Service (NvStreamSvc) - NVIDIA Corporation - C:\Program Files\NVIDIA Corporation\NvStreamSrv\nvstreamsvc.exe
O23 - Service: NVIDIA Display Driver Service (nvsvc) - Unknown owner - C:\WINDOWS\system32\nvvsvc.exe (file missing)
O23 - Service: postgresql-8.4 - PostgreSQL Server 8.4 (postgresql-8.4) - PostgreSQL Global Development Group - c:/postgreSQL/bin/pg_ctl.exe
O23 - Service: @%systemroot%\system32\Locator.exe,-2 (RpcLocator) - Unknown owner - C:\WINDOWS\system32\locator.exe (file missing)
O23 - Service: @%SystemRoot%\system32\samsrv.dll,-1 (SamSs) - Unknown owner - C:\WINDOWS\system32\lsass.exe (file missing)
O23 - Service: @%SystemRoot%\system32\snmptrap.exe,-3 (SNMPTRAP) - Unknown owner - C:\WINDOWS\System32\snmptrap.exe (file missing)
O23 - Service: @%systemroot%\system32\spoolsv.exe,-1 (Spooler) - Unknown owner - C:\WINDOWS\System32\spoolsv.exe (file missing)
O23 - Service: @%SystemRoot%\system32\sppsvc.exe,-101 (sppsvc) - Unknown owner - C:\WINDOWS\system32\sppsvc.exe (file missing)
O23 - Service: Steam Client Service - Valve Corporation - C:\Program Files (x86)\Common Files\Steam\SteamService.exe
O23 - Service: NVIDIA Stereoscopic 3D Driver Service (Stereo Service) - NVIDIA Corporation - C:\Program Files (x86)\NVIDIA Corporation\3D Vision\nvSCPAPISvr.exe
O23 - Service: TeamViewer 10 (TeamViewer) - TeamViewer GmbH - C:\Program Files (x86)\TeamViewer\TeamViewer_Service.exe
O23 - Service: @%SystemRoot%\system32\ui0detect.exe,-101 (UI0Detect) - Unknown owner - C:\WINDOWS\system32\UI0Detect.exe (file missing)
O23 - Service: Intel(R) Management and Security Application User Notification Service (UNS) - Intel Corporation - C:\Program Files (x86)\Intel\Intel(R) Management Engine Components\UNS\UNS.exe
O23 - Service: @%SystemRoot%\system32\vaultsvc.dll,-1003 (VaultSvc) - Unknown owner - C:\WINDOWS\system32\lsass.exe (file missing)
O23 - Service: @%SystemRoot%\system32\vds.exe,-100 (vds) - Unknown owner - C:\WINDOWS\System32\vds.exe (file missing)
O23 - Service: @%systemroot%\system32\vssvc.exe,-102 (VSS) - Unknown owner - C:\WINDOWS\system32\vssvc.exe (file missing)
O23 - Service: @%systemroot%\system32\wbengine.exe,-104 (wbengine) - Unknown owner - C:\WINDOWS\system32\wbengine.exe (file missing)
O23 - Service: @%ProgramFiles%\Windows Defender\MpAsDesc.dll,-320 (WdNisSvc) - Unknown owner - C:\Program Files (x86)\Windows Defender\NisSrv.exe (file missing)
O23 - Service: @%ProgramFiles%\Windows Defender\MpAsDesc.dll,-310 (WinDefend) - Unknown owner - C:\Program Files (x86)\Windows Defender\MsMpEng.exe (file missing)
O23 - Service: @%Systemroot%\system32\wbem\wmiapsrv.exe,-110 (wmiApSrv) - Unknown owner - C:\WINDOWS\system32\wbem\WmiApSrv.exe (file missing)
O23 - Service: @%PROGRAMFILES%\Windows Media Player\wmpnetwk.exe,-101 (WMPNetworkSvc) - Unknown owner - C:\Program Files (x86)\Windows Media Player\wmpnetwk.exe (file missing)

--
End of file - 8144 bytes

Jeg skal ikke gøre mig klog på dette, men NVIDIA skulle vel ikke have noget at gøre med system32? Har som sagt kørt både ccleaner og malwarebytes samt AdWcleaner - Ham gutten fik mig til at hente NVIDIA GeForce Experience Service (GfExperienceService) som jeg ikke aner om er fair, samt jeg har fået en Java Update som jeg ikke kan slette igen, føler mig helt på bar bund her :/
Avatar billede f-arn Guru
23. januar 2015 - 14:42 #10
...men NVIDIA skulle vel ikke have noget at gøre med system32?

Hvorfor kæder du NVIDIA sammen med System32?

Det kan godt være jeg er blind, men udfra hvad du har sendt - kan jeg ikke lige få øje på sammenhængen?
Avatar billede HjaelpMig100 Nybegynder
23. januar 2015 - 17:30 #11
@f-arn på grund af dette i HiJackThis

O23 - Service: NVIDIA Display Driver Service (nvsvc) - Unknown owner - C:\WINDOWS\system32\nvvsvc.exe (file missing)

Så jeg kan ikke se hvorfor de skal kædes sammen, eller om det er meningen at driver service skal ligge på system32 - Igen så aner jeg som sagt ikke hvad jeg laver og hvad der er farligt eller ej :/

Håber der er nogen der kan hjælpe, jeg har som sagt kørt diverse ting, men er stadig ret øm omkring at denne person skulle kunne fange diverse koder og vil mig det ondt, fordi han åbenbart morer sig med det?

Det er selvfølgelig nemt at give ham skylden, men jeg har bare aldrig oplevet dette før jeg er kommet i kontakt med ham, hvorefter han hjalp mig med at opdatere grafik kortet - Det giver bare mest mening for mig, som ikke har specielt forstand på virus etc :)
Avatar billede f-arn Guru
24. januar 2015 - 16:02 #12
Ok - jeg var blind :)

Filnavnet er legitimt, og skal ligge under tjenester i system32.

Har den fil en digital signatur?, for på trods af hvad HJT skriver, eksisterer filen sikkert :)

Jeg kan godt køre et større check med logs fra noget der er bedre end HJT, men da dette er et "åbent forum" er jeg lidt tøvende - der kommer nemt for meget "støj".
Avatar billede HjaelpMig100 Nybegynder
24. januar 2015 - 18:47 #13
Det kan ske ;)

Jeg ved ikke hvad en digital signatur er :)

Overvejer stærkt at hyre en professionel til dette, jeg kan se at conhost.exe stadig køre efter jeg har reboot'et til win 8 :/

Igen er jeg enormt bange for at ham tossen der har et dårligt ry (har jeg efterfølgende fundet ud af, at han har generet en anden person igennem to år) hygger sig gevaldigt med dette.

Kan det passe at hvis jeg nu havde en trojansk hest inde, at det er muligt den ikke bliver slettet?
Selv efter jeg kørte AdwCleaner, Malwarebytes og ccleaner?

Jeg er lidt chokeret over dette og har nu brugt 3 dage på det on/off :(
Avatar billede f-arn Guru
24. januar 2015 - 19:16 #14
Til 64 bit Windows, hent Farbar Recovery Scan Tool x64 og gem den på Skrivebordet.

Start FRST64.

Kopier nedenstående ind i boksen efter "Search:".

nvvsvc.exe

Klik på Search File(s) knappen, og kopier loggen (Search.txt) herind.

------

Kan det passe at hvis jeg nu havde en trojansk hest inde, at det er muligt den ikke bliver slettet?
Selv efter jeg kørte AdwCleaner, Malwarebytes og ccleaner?


Hverken Adwcleaner eller CCleaner sletter trjanske heste. Malwarebytes ville sikkert slette den, hvis det var entrojansk hest du havde, men der er jo mange andre former for infektioner.
Avatar billede HjaelpMig100 Nybegynder
24. januar 2015 - 22:55 #15
Hej igen f-arn.

Har prøvet "alt" nu og det virker som om de ting der kører som baggrundsprogrammer er ok, de fylder intet i mapperne og fik kørt Tweaking som du nævte, samt geninstalleret windows.

Hvis du skriver et svar får du pointene imorgen, for jeg havde ikke fundet frem til det uden din hjælp, så jeg takker og bukker :o) !
Avatar billede f-arn Guru
24. januar 2015 - 23:28 #16
Det var nu claes57 der nævte Tweaking.

Jeg synes ikke jeg har bidraget med noget der kræver point, så jeg hopper over :)
Avatar billede HjaelpMig100 Nybegynder
25. januar 2015 - 01:05 #17
Hov, kan godt se du ikke kan tage credit for den f-arn hehe :P

Hvis du kan skrive et svar claes57, så smider jeg pointene over til dig :o)
Avatar billede HjaelpMig100 Nybegynder
26. januar 2015 - 12:15 #18
Det virker ikke som om der er nogle der vil have de point, jeg takker dog alligevel for jeres hjælpsomhed og lukker tråden :o)
Avatar billede Ny bruger Nybegynder

Din løsning...

Tilladte BB-code-tags: [b]fed[/b] [i]kursiv[/i] [u]understreget[/u] Web- og emailadresser omdannes automatisk til links. Der sættes "nofollow" på alle links.

Loading billede Opret Preview
Kategori
IT-kurser om Microsoft 365, sikkerhed, personlig vækst, udvikling, digital markedsføring, grafisk design, SAP og forretningsanalyse.

Log ind eller opret profil

Hov!

For at kunne deltage på Computerworld Eksperten skal du være logget ind.

Det er heldigvis nemt at oprette en bruger: Det tager to minutter og du kan vælge at bruge enten e-mail, Facebook eller Google som login.

Du kan også logge ind via nedenstående tjenester