Bliver logget af konstant

http://www.spywarefri.dk/virus.htm#msblast
Du har fået Blaster eller Gaobot, prøv vejledningen her.

Du skal opdatere RPC DCOM'en... Få opdateringen her:
http://support.microsoft.com/?kbid=824146

Du har internet kørende ik???? Du har fået en virus der ligner MS Blast osse kaldet ormen... Det du skal gøre er at ligge en firewall ind... du kan hente nogen gratis på internettet... og derefter virusscanne din computer... Jeg ved hvor du kan hente programmerne men er ikke sikker på at jeg må henvise til siderne... skriver til ekspertens Admin i aften... så skriver jeg tilbage

Tak, nu bliver jeg smidt af, jeg kan intet gøre.

Når du kommer igen.
Klik på Start=>Kør skriv shutdown-a klik OK.
Så genstarter den ikke.
Gå ind her og hent Spybot og Hijackthis.
http://www.spywarefri.dk/vaerktoj.htm
Installer og kør Spybot, opdater online, scan, afhjælp valgte problemer, genstart.
Derefter udpakker og kører du Hijackthis, scan, save log og kopier logfilen herind, så kigger vi på den.
Lad være med at slette noget selv med Hijackthis, det kan skade mere end det gavner.

Snabel Abel>>Hvorfor i alverden hente noget illegalt, når vi har masser af legale metoder?

Efter hver genstart skal du køre shutdown-a

Det er heller ikke illegalt.... Det er zonealarm.... du kan hente en gratis lovlig version på deres hjemmeside...

Ja, hvorfor så den røverhistorie?
Zonealarm er fuldt legal, eller Sygate for den sags skyld.
Men lad os lige få Blaster/Gaobot fjernet først.

Ja ja.... det er fordi det var det første spørgsmål jeg prøvede at besvare... så jeg viste ikke om jeg måtte linke til sider... mend et ved jeg så nu.... UNDSKYLD FEJLEN....

Prøv det her.... Det skulle virke....

http://securityresponse.symantec.com/avcenter/venc/data/w32.blaster.worm.removal.tool.h tml

Nu er problemet bare at jeg kan ikke køre shutdown,. Får at vide at den ikke kan finde det.

Nu får jeg dårligt lov at være på så længe det tager at skrive dette. *S*

Husk at hente den opdatering hos www.microsoft.com som lukker for det sikkerhedshul som Blaster benytter sig af. Ellers kan du blive ved med at fjerne svineriet.

Og du behøver faktisk ikke at have nogen bøvlet firewall installeret sålænge du tænker dig om herude på nettet, og har fået lukket det sikkerhedshul. Det er ligesom at skyde mus med kanoner med de firewalls i dit tilfælde.

Hent Dcombobulator:
http://grc.com/files/DCOMbob.exe
Start programmet, klik på DCOMbobulate me, klik på disable DCOM, klik på Exit, genstart.
Så skal vi have logfilen.

Så Prøv at start din computer op i fejlsikret tilstand... så skulle den ikke logge af

fromsej>>> Jeg har nu gjort som du skrev. Hvad så???

Så skal vi have logfilen fra Hijackthis.
Udpak og kør Hijackthis, scan, save log og kopier logfilen herind, så kigger vi på den.
Lad være med at slette noget selv med Hijackthis, det kan skade mere end det gavner.

the_dark>Ikke nødvendigt med firewall? Den må du vist længere ud på landet med. Mange af de exploits som er opdaget gennem tiden, kunne været stoppet med en firewall. Lige så med blaster.

Firewall er langt den bedste løsning.

fromsej>>> Jeg kørte Hijackthis i nat og da gik det fint og jeg hentede logfilen som jeg har i en mappe. For når jeg vil køre programmet nu stopper det når der står 2957/5835:C2 lop og så kan jeg heller ikke lukke på normal vis. Men som sagt jeg har den logfil fra i nat, kan jeg overføre den og i givet fald hvordan? Ja, I griner nok, men jeg er en gammel gut i vildrede. *S*

Det med den stopper der det er Spybot, ikke Hijackthis.
Kør Hijackthis i stedet for, det er den logfil jeg skal bruge.
Scan, save log, kopier logfilen herind.

Jeg klokker nok i det. *S* Jeg prøver.

Om jeg kan finde ud af at få denne logfil overført til denne side????

squashguy>Tja, enighed er en gylden ting - men forefindes desværre ikke her.

Buster58>>Når du har gemt logfilen finder du den under navnet Hijackthis.log, højreklik på den vælg Åbn med vælg Notepad/Notesblok.
I Notepad klikker du på rediger, marker alt, rediger igen kopier, så går du herind og højreklikker i skrivefeltet og vælger sæt ind.

Logfile of HijackThis v1.97.7
Scan saved at 04:16:58, on 04-01-2004
Platform: Windows XP SP1 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP1 (6.00.2800.1106)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\Explorer.EXE
C:\WINDOWS\system32\spoolsv.exe
C:\Programmer\Roxio\Easy CD Creator 6\AudioCentral\RxMon.exe
C:\recycler\S-1-5-21-861867501-1464284298-725345543-1719\_\_buhb\csrrs.exe
C:\Programmer\Messenger\msmsgs.exe
C:\Programmer\WinZip\WZQKPICK.EXE
C:\Programmer\Roxio\Easy CD Creator 6\AudioCentral\Playlist.exe
C:\Programmer\Fælles filer\Microsoft Shared\VS7Debug\mdm.exe
C:\WINDOWS\System32\sndloader.exe
C:\Programmer\Internet Explorer\IEXPLORE.EXE
C:\recycler\S-1-5-21-861867501-1464284298-725345543-1719\_\_buhb\winlogin.exe
C:\PROGRA~1\WINZIP\winzip32.exe
C:\Documents and Settings\Hans\Lokale indstillinger\Temp\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.ofir.dk/
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Hyperlinks
O2 - BHO: (no name) - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Programmer\Adobe\Acrobat 6.0\Reader\ActiveX\AcroIEHelper.dll
O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINDOWS\System32\msdxm.ocx
O4 - HKLM\..\Run: [Configuration Loader] SERVlCES.exe
O4 - HKLM\..\Run: [RoxioEngineUtility] "C:\Programmer\Fælles filer\Roxio Shared\System\EngUtil.exe"
O4 - HKLM\..\Run: [RoxioAudioCentral] "C:\Programmer\Roxio\Easy CD Creator 6\AudioCentral\RxMon.exe"
O4 - HKLM\..\Run: [Sound Loader] sndloader.exe
O4 - HKLM\..\Run: [LWBMOUSE] C:\Programmer\Browser Mouse\Browser Mouse\1.0\lwbwheel.exe
O4 - HKLM\..\Run: [ashMaiSv] C:\PROGRA~1\ALWILS~1\Avast4\ashmaisv.exe
O4 - HKLM\..\Run: [Windows Services] c:\recycler\S-1-5-21-861867501-1464284298-725345543-1719\_\_buhb\csrrs.exe
O4 - HKLM\..\RunServices: [Configuration Loader] SERVlCES.exe
O4 - HKLM\..\RunServices: [Sound Loader] sndloader.exe
O4 - HKCU\..\Run: [MSMSGS] "C:\Programmer\Messenger\msmsgs.exe" /background
O4 - Global Startup: WinZip Quick Pick.lnk = C:\Programmer\WinZip\WZQKPICK.EXE
O8 - Extra context menu item: E&ksporter til Microsoft Excel - res://C:\PROGRA~1\MICROS~2\Office10\EXCEL.EXE/3000
O16 - DPF: {0A7F4407-A1C8-496A-9670-F13370CAAACC} (SysReg_DK Control) - http://81.19.245.211/system/SysREG_DK.cab
O16 - DPF: {166B1BCA-3F9C-11CF-8075-444553540000} (Shockwave ActiveX Control) - http://download.macromedia.com/pub/shockwave/cabs/director/swdir.cab
O16 - DPF: {9A9307A0-7DA4-4DAF-B042-5009F29E09E1} (ActiveScan Installer Class) - http://www.pandasoftware.com/activescan/as5/asinst.cab
O16 - DPF: {9F1C11AA-197B-4942-BA54-47A8489BB47F} (Update Class) - http://v4.windowsupdate.microsoft.com/CAB/x86/unicode/iuctl.CAB?37971.449537037
O16 - DPF: {D27CDB6E-AE6D-11CF-96B8-444553540000} (Shockwave Flash Object) - http://fpdownload.macromedia.com/pub/shockwave/cabs/flash/swflash.cab

Jeg håber det er rigtigt.

Det er det, jeg kigger den igennem når jeg har set krønikken.

Tak. Skal selv se.

Her har alt fungeret siden jeg fulgte fromsej's anvisninger. Er der nogle af ovenstående filer der skal slettes?

Sorry, jeg har glemt dig, jeg sætter lige flasg på dig og tager den i morgen eftermiddag.

fromsej>>> Helt OK. Det hele virker perfekt.

Buster58>>Undskyld ventetiden, der var et par rigtig grimme imellem, nu skal vi lige have dem væk, så skal vi have beskyttet din PC noget bedre.

Deaktiver systemgendannelse:
http://www.spywarefri.dk/virusscannere.htm#alle

Kør Hijackthis, scan, sæt flueben ved linierne listet her, luk alle vinduer undtaget Hijackthis, klik på fix checked, genstart i fejlsikret(Tryk <F8> under opstart) og slet filerne listet nederst.
Dobbelttjek, så alt kommer med.


O4 - HKLM\..\Run: [Configuration Loader] SERVlCES.exe
O4 - HKLM\..\Run: [Sound Loader] sndloader.exe
O4 - HKLM\..\Run: [Windows Services] c:\recycler\S-1-5-21-861867501-1464284298-725345543-1719\_\_buhb\csrrs.exe
O4 - HKLM\..\RunServices: [Configuration Loader] SERVlCES.exe
O4 - HKLM\..\RunServices: [Sound Loader] sndloader.exe
O16 - DPF: {0A7F4407-A1C8-496A-9670-F13370CAAACC} (SysReg_DK Control) - http://81.19.245.211/system/SysREG_DK.cab
O16 - DPF: {166B1BCA-3F9C-11CF-8075-444553540000} (Shockwave ActiveX Control) - http://download.macromedia.com/pub/shockwave/cabs/director/swdir.cab

---------------------------------------
Åbn en mappe, klik på Funktioner=>Mappeindstillinger=>Vis.
Fjern flueben ved "Skjul beskyttede operativsystemfiler".
Fjern flueben ved "Skjul filtypenavne for kendte filtyper".
Sæt prik i "Vis skjulte filer og mapper".

---------------------------------------
Slettes i fejlsikret.
C:\recycler <= Mappen.
C:\WINDOWS\System32\sndloader.exe <= Filen.
SERVlCES.exe => brug Start-søg, vær MEGET opmærksom på at det er lille "L" i midten, altså servLces.exe , hvis den er der skal den slettes, derefter tømmer du papirkurven.

---------------------------------------
Genstart og kom med en ny logfil, så jeg kan se om alt er med.

Tak for point, jeg vil gerne lige tjekke din nye logfil igennem, så kan du kigge på lidt sikkerhedsprogrammer fra vore pakke imens.
http://www.spywarefri.dk/pakken.htm

fromsej>>> Jeg er åbenbart et problembarn. *S* Jeg har fulgt din anvisning og jeg er overbevist om at du er på rette spor. Men problemet er bare at jeg kan ikke komme i fejlsikret tilstand med F8. Det erfarede jeg allere i eftermiddags da jeg startede op. Da ville ikonerne på skrivebordet ikke komme frem. Jeg lod den stå og efter ca. 15 min. kom alt frem stille og rolig, men med en meddelelse: Win kan ikke finde: C:\windows\Fonts\font2\syscnfg.exe Alt virkede og virker stadig, men når jeg trykker på F8 når jeg genstarter klikker det i kabinettet og der kommer en box frem, en blå, hvor der står floppy og tre andre valgmuligheder. Men i fejlsikret tilstand kommer jeg ikke. Så jeg har ikke udført sidste del af anvisningerne. De første ser dog ud til at være slette alligevel. Ja, jeg vil kigge lidt på pakken og så snart jeg kører fornuftigt skal jeg også have et medlemskab.

Hmm, så prøv at se om du kan slette dem i normal tilstand, for væk skal de.

Jeg har nu forsøgt at slette recycler og system32\sndloader.exe. Den første kan jeg ikke finde og den anden vil ikke lade sig slette i normaltilstand. Men hvorfor kan jeg ikke komme i fejlsikret tilstand? Det lyder ikke rart under opstart når jeg holder F8 nede. Men jeg sender lige logfilen.

Hovsa, det ser ikke rigtigt ud. *S* Hvad pokker er der gået galt?

Logfile of HijackThis v1.97.7
Scan saved at 04:16:58, on 04-01-2004
Platform: Windows XP SP1 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP1 (6.00.2800.1106)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\Explorer.EXE
C:\WINDOWS\system32\spoolsv.exe
C:\Programmer\Roxio\Easy CD Creator 6\AudioCentral\RxMon.exe
C:\recycler\S-1-5-21-861867501-1464284298-725345543-1719\_\_buhb\csrrs.exe
C:\Programmer\Messenger\msmsgs.exe
C:\Programmer\WinZip\WZQKPICK.EXE
C:\Programmer\Roxio\Easy CD Creator 6\AudioCentral\Playlist.exe
C:\Programmer\Fælles filer\Microsoft Shared\VS7Debug\mdm.exe
C:\WINDOWS\System32\sndloader.exe
C:\Programmer\Internet Explorer\IEXPLORE.EXE
C:\recycler\S-1-5-21-861867501-1464284298-725345543-1719\_\_buhb\winlogin.exe
C:\PROGRA~1\WINZIP\winzip32.exe
C:\Documents and Settings\Hans\Lokale indstillinger\Temp\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.ofir.dk/
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Hyperlinks
O2 - BHO: (no name) - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Programmer\Adobe\Acrobat 6.0\Reader\ActiveX\AcroIEHelper.dll
O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINDOWS\System32\msdxm.ocx
O4 - HKLM\..\Run: [Configuration Loader] SERVlCES.exe
O4 - HKLM\..\Run: [RoxioEngineUtility] "C:\Programmer\Fælles filer\Roxio Shared\System\EngUtil.exe"
O4 - HKLM\..\Run: [RoxioAudioCentral] "C:\Programmer\Roxio\Easy CD Creator 6\AudioCentral\RxMon.exe"
O4 - HKLM\..\Run: [Sound Loader] sndloader.exe
O4 - HKLM\..\Run: [LWBMOUSE] C:\Programmer\Browser Mouse\Browser Mouse\1.0\lwbwheel.exe
O4 - HKLM\..\Run: [ashMaiSv] C:\PROGRA~1\ALWILS~1\Avast4\ashmaisv.exe
O4 - HKLM\..\Run: [Windows Services] c:\recycler\S-1-5-21-861867501-1464284298-725345543-1719\_\_buhb\csrrs.exe
O4 - HKLM\..\RunServices: [Configuration Loader] SERVlCES.exe
O4 - HKLM\..\RunServices: [Sound Loader] sndloader.exe
O4 - HKCU\..\Run: [MSMSGS] "C:\Programmer\Messenger\msmsgs.exe" /background
O4 - Global Startup: WinZip Quick Pick.lnk = C:\Programmer\WinZip\WZQKPICK.EXE
O8 - Extra context menu item: E&ksporter til Microsoft Excel - res://C:\PROGRA~1\MICROS~2\Office10\EXCEL.EXE/3000
O16 - DPF: {0A7F4407-A1C8-496A-9670-F13370CAAACC} (SysReg_DK Control) - http://81.19.245.211/system/SysREG_DK.cab
O16 - DPF: {166B1BCA-3F9C-11CF-8075-444553540000} (Shockwave ActiveX Control) - http://download.macromedia.com/pub/shockwave/cabs/director/swdir.cab
O16 - DPF: {9A9307A0-7DA4-4DAF-B042-5009F29E09E1} (ActiveScan Installer Class) - http://www.pandasoftware.com/activescan/as5/asinst.cab
O16 - DPF: {9F1C11AA-197B-4942-BA54-47A8489BB47F} (Update Class) - http://v4.windowsupdate.microsoft.com/CAB/x86/unicode/iuctl.CAB?37971.449537037
O16 - DPF: {D27CDB6E-AE6D-11CF-96B8-444553540000} (Shockwave Flash Object) - http://fpdownload.macromedia.com/pub/shockwave/cabs/flash/swflash.cab

Deaktiver systemgendannelse:
http://www.spywarefri.dk/virusscannere.htm#alle
Derefter klikker du på Start=>Kør skriver MSconfig og klikker OK.
Fanebladet Generelt sætter du prik i diagnostisk start, og genstarter, nu er du i fejlsikret.

Kør Hijackthis, scan, sæt flueben ved linierne listet her, luk alle vinduer undtaget Hijackthis, klik på fix checked, slet filerne listet nederst.
Dobbelttjek, så alt kommer med.


O4 - HKLM\..\Run: [Configuration Loader] SERVlCES.exe
O4 - HKLM\..\Run: [Sound Loader] sndloader.exe
O4 - HKLM\..\Run: [Windows Services] c:\recycler\S-1-5-21-861867501-1464284298-725345543-1719\_\_buhb\csrrs.exe
O4 - HKLM\..\RunServices: [Configuration Loader] SERVlCES.exe
O4 - HKLM\..\RunServices: [Sound Loader] sndloader.exe
O16 - DPF: {0A7F4407-A1C8-496A-9670-F13370CAAACC} (SysReg_DK Control) - http://81.19.245.211/system/SysREG_DK.cab
O16 - DPF: {166B1BCA-3F9C-11CF-8075-444553540000} (Shockwave ActiveX Control) - http://download.macromedia.com/pub/shockwave/cabs/director/swdir.cab
O16 - DPF: {D27CDB6E-AE6D-11CF-96B8-444553540000} (Shockwave Flash Object) - http://fpdownload.macromedia.com/pub/shockwave/cabs/flash/swflash.cab
---------------------------------------
Åbn en mappe, klik på Funktioner=>Mappeindstillinger=>Vis.
Fjern flueben ved "Skjul beskyttede operativsystemfiler".
Fjern flueben ved "Skjul filtypenavne for kendte filtyper".
Sæt prik i "Vis skjulte filer og mapper".

---------------------------------------
Slettes i fejlsikret.
C:\recycler <=Mappen.
C:\WINDOWS\System32\sndloader.exe <=Filen.
SERVlCES.exe => bemærk det er servLces.exe brug start=>Søg.

---------------------------------------
Kør MSconfig igen, og sæt den til normal start.
Genstart og kom med en ny logfil, så jeg kan se om alt er med.

Hvis vi ikke får det pelset nu, så tager vi de helt drastiske metoder i brug, men så skal du sende en mail til mig.

fromsej>>>Jeg har indset at 60 point hvis er alt for lidt i dette tilfælde. *S*Jeg har gjort som skriver, kørt MSconfig og genstartet, men det eneste der kommer ud af det er en urolig opstart (skærm: Dyret vil åbenbart ikke i fejlsikret. *G* Når jeg genstarter kommer den box med: C:\Windows\Fonts\font2\syscnfg.exe

Jeg sider med en frygt, ved genstart, for at komme til at side med sort skærm, uden forbindelse med omverdnen. *S*

C:\Windows\Fonts\font2\syscnfg.exe
Skal også slettes.

Når jeg søger den fil, er der inget resultat. Men hvordan pokker kommer jeg i fejlsikret? Der må da være noget helt galt. Men ellers funker systemet.

Send mig en mail, jeg har en mulig løsning på problemet.
from09sej(at)webspeed.dk
Erstat (at) med @