Avatar billede finnmus Praktikant
05. marts 2004 - 11:45 Der er 7 kommentarer og
1 løsning

Kan ikke fjerne klez

Efter at have installeret win 2000 på 2 af mine PC'er i et lille netværk med en NT4 server, erfarer jeg (efter jeg har været på nettet og downloade samtlige updateringer på Windowsupdate), at da jeg kører Norton antivirus at der er virus på begge maskiner (2 forskellige: Klez samt Trojan.Downloader.Dyfuca.T). NAV detekterer dem men kan hverken udbedre eller sætte i karantæne. Jeg har downloadet FixKlezz på Symantics hjemmeside; men den siger der ikke er fundet virus?? Har prøvet at scanne i fejlsikret tilstand; men lige meget hjælper det. (virusprogram er opdateret) Til sidst scannede jeg med Bitfinder, som heller ikke kunne, men kom med understående resultat:
PC1:
C:\WINDOWS\Downloaded Program Files\UniDist.ocx infected: Trojan.Downloader.Dyfuca.T
C:\WINDOWS\Downloaded Program Files\UniDist.ocx unable to disinfect
C:\WINDOWS\Temporary Internet Files\Content.IE5\4DI7OLEB\minime[1].htm infected: JS.Trojan.NoClose.M
C:\WINDOWS\Temporary Internet Files\Content.IE5\4DI7OLEB\minime[1].htm unable to disinfect
C:\WINDOWS\Temporary Internet Files\Content.IE5\GTYZ81MF\UniDist[1].CAB=>UniDist.ocx infected: Trojan.Downloader.Dyfuca.T
C:\_RESTORE\ARCHIVE\FS1.CAB=>A0000007.CPY=>(Upx) infected: Trojan.Downloader.Wintrim.A
C:\_RESTORE\ARCHIVE\FS1.CAB=>A0000015.CPY=>(Upx) infected: Trojan.Downloader.Wintrim.A
C:\_RESTORE\ARCHIVE\FS1.CAB=>A0000017.CPY=>(Upx) infected: Trojan.Downloader.Wintrim.A
C:\_RESTORE\ARCHIVE\FS1.CAB=>A0000021.CPY=>(Upx) infected: Trojan.Downloader.Wintrim.A
C:\_RESTORE\ARCHIVE\FS1.CAB=>A0000023.CPY=>(Upx) infected: Trojan.Downloader.Wintrim.A
C:\_RESTORE\ARCHIVE\FS1.CAB=>A0000027.CPY=>(Upx) infected: Trojan.Downloader.Wintrim.A
C:\_RESTORE\ARCHIVE\FS1.CAB=>A0000029.CPY=>(Upx) infected: Trojan.Downloader.Wintrim.A
C:\_RESTORE\ARCHIVE\FS1.CAB=>A0000033.CPY=>(Upx) infected: Trojan.Downloader.Wintrim.A
C:\_RESTORE\ARCHIVE\FS1.CAB=>A0000035.CPY=>(Upx) infected: Trojan.Downloader.Wintrim.A
Samt:
PC2:
Memory unable to check
C:\_RESTORE\ARCHIVE\FS20.CAB=>A0001852.CPY infected: Win32.Klez.H@mm
C:\_RESTORE\ARCHIVE\FS20.CAB=>A0001864.CPY infected: Win32.Klez.H@mm
C:\_RESTORE\ARCHIVE\FS20.CAB=>A0001876.CPY infected: Win32.Klez.H@mm
C:\_RESTORE\ARCHIVE\FS20.CAB=>A0001893.CPY infected: Win32.Klez.H@mm
C:\_RESTORE\ARCHIVE\FS20.CAB=>A0001908.CPY infected: Win32.Klez.H@mm
C:\_RESTORE\ARCHIVE\FS20.CAB=>A0001926.CPY infected: Win32.Klez.H@mm
C:\_RESTORE\ARCHIVE\FS20.CAB=>A0001942.CPY infected: Win32.Klez.H@mm
C:\_RESTORE\ARCHIVE\FS20.CAB=>A0001958.CPY infected: Win32.Klez.H@mm
C:\_RESTORE\ARCHIVE\FS21.CAB=>A0001970.CPY infected: Win32.Klez.H@mm
C:\_RESTORE\ARCHIVE\FS21.CAB=>A0001988.CPY infected: Win32.Klez.H@mm
C:\_RESTORE\ARCHIVE\FS21.CAB=>A0002000.CPY infected: Win32.Klez.H@mm
C:\_RESTORE\ARCHIVE\FS21.CAB=>A0002015.CPY infected: Win32.Klez.H@mm
C:\_RESTORE\ARCHIVE\FS21.CAB=>A0002032.CPY infected: Win32.Klez.H@mm
C:\_RESTORE\ARCHIVE\FS21.CAB=>A0002050.CPY infected: Win32.Klez.H@mm
C:\_RESTORE\ARCHIVE\FS21.CAB=>A0002062.CPY infected: Win32.Klez.H@mm
C:\_RESTORE\ARCHIVE\FS21.CAB=>A0002081.CPY infected: Win32.Klez.H@mm
C:\_RESTORE\ARCHIVE\FS22.CAB=>A0002095.CPY infected: Win32.Klez.H@mm
C:\_RESTORE\ARCHIVE\FS22.CAB=>A0002110.CPY infected: Win32.Klez.H@mm
C:\_RESTORE\ARCHIVE\FS22.CAB=>A0002129.CPY infected: Win32.Klez.H@mm
C:\_RESTORE\ARCHIVE\FS22.CAB=>A0002143.CPY infected: Win32.Klez.H@mm

Såvidt jeg kan se er det komprimerede filer; men kan ikke forstå hvordan de er kommet (har intet åbnet, kan de være kommet via WindowsUpdate). Er der nogen der kan hjæpe?
Finnmus
Avatar billede serverservice Praktikant
05. marts 2004 - 13:34 #1
http://vil.nai.com/vil/stinger/  stinger kan fjerne Klez.
http://www.arlet.dk/spybothjt.htm download og kør spybot, hvad siger den nu?
Avatar billede finnmus Praktikant
09. marts 2004 - 22:48 #2
Ja du havde ret, stinger fjernede Klez, kørte så spybot (som jeg også bruger normalt),så alt er fint hvad angår "PC2".
På PC1 derimod kunne stinger ikke detektere noget. Jeg har fjernet filen UniDist(som var en skjult zip fil); men jeg kan desværre ikke komme videre med PC1...nogen gode ideer?
Avatar billede serverservice Praktikant
09. marts 2004 - 22:53 #3
I det tilfælde skal du køre hijackthis for at se hvad der ligger af snavs.
http://www.merijn.org/files/HijackThis.exe
http://www.spywarefri.dk/hijackthis.man.htm    manual

Jeg har ikke selv så meget erfaring i hijackthis så vent og se om ikke an anden kan se på den. Jeg kan prøve at få arlet eller fromsej til at se på den en dag.
Avatar billede serverservice Praktikant
09. marts 2004 - 23:00 #4
Du poster hijackthis loggen herind, men DU MÅ IKKE FIXE NOGET SELV førend en af experterne har set på den.
Avatar billede serverservice Praktikant
09. marts 2004 - 23:06 #5
Og dog. Du bør kunne fjerne wintrim.a med onlinescan herfra. den er nemlig på deres oversigt. http://housecall.trendmicro.com/
Avatar billede arlet Juniormester
10. marts 2004 - 00:11 #6
Ja, kom med den hijackthis, der er linket til. så kigger vi på den..
Avatar billede finnmus Praktikant
11. marts 2004 - 14:49 #7
Prøvede at køre onlinescan med housecall, men den fandt ikke noget.
Her er resultatetet far hijackThis:
Logfile of HijackThis v1.97.5
Scan saved at 14:43:04, on 11-03-2004
Platform: Windows 2000 SP3 (WinNT 5.00.2195)
MSIE: Internet Explorer v6.00 SP1 (6.00.2800.1106)

Running processes:
C:\WINNT\System32\smss.exe
C:\WINNT\system32\winlogon.exe
C:\WINNT\system32\services.exe
C:\WINNT\system32\lsass.exe
C:\WINNT\system32\svchost.exe
C:\WINNT\system32\spoolsv.exe
C:\WINNT\System32\svchost.exe
C:\WINNT\system32\hidserv.exe
C:\Programmer\Norton AntiVirus\navapsvc.exe
C:\Programmer\Norton AntiVirus\AdvTools\NPROTECT.EXE
C:\WINNT\System32\nvsvc32.exe
C:\WINNT\system32\regsvc.exe
C:\WINNT\system32\MSTask.exe
C:\WINNT\System32\WBEM\WinMgmt.exe
C:\WINNT\system32\svchost.exe
C:\WINNT\Explorer.EXE
C:\WINNT\System32\internat.exe
C:\WINNT\System32\RUNDLL32.EXE
C:\Programmer\WinZip\WZQKPICK.EXE
C:\WINNT\System32\wuauclt.exe
C:\Programmer\Internet Explorer\IEXPLORE.EXE
C:\Programmer\Internet Explorer\IEXPLORE.EXE
C:\PROGRA~1\WINZIP\winzip32.exe
C:\unzipped\hijackthis\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.google.dk/
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Hyperlinks
O2 - BHO: (no name) - {53707962-6F74-2D53-2644-206D7942484F} - C:\PROGRA~1\SPYBOT~1\SDHelper.dll
O2 - BHO: NAV Helper - {BDF3E430-B101-42AD-A544-FADC6B084872} - C:\Programmer\Norton AntiVirus\NavShExt.dll
O3 - Toolbar: @msdxmLC.dll,-1@1033,&Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINNT\System32\msdxm.ocx
O3 - Toolbar: Norton AntiVirus - {42CDD1BF-3FFB-4238-8AD1-7859DF00B1D6} - C:\Programmer\Norton AntiVirus\NavShExt.dll
O4 - HKLM\..\Run: [Synchronization Manager] mobsync.exe /logon
O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINNT\System32\NvCpl.dll,NvStartup
O4 - HKLM\..\Run: [nwiz] nwiz.exe /install
O4 - HKLM\..\Run: [ccApp] C:\Programmer\Fælles filer\Symantec Shared\ccApp.exe
O4 - HKLM\..\Run: [Advanced Tools Check] C:\PROGRA~1\NORTON~1\AdvTools\ADVCHK.EXE
O4 - HKCU\..\Run: [internat.exe] internat.exe
O4 - HKCU\..\Run: [NvMediaCenter] RUNDLL32.EXE C:\WINNT\System32\NVMCTRAY.DLL,NvTaskbarInit
O4 - Global Startup: Microsoft Office.lnk = C:\Programmer\Microsoft Office\Office10\OSA.EXE
O4 - Global Startup: WinZip Quick Pick.lnk = C:\Programmer\WinZip\WZQKPICK.EXE
O8 - Extra context menu item: E&ksporter til Microsoft Excel - res://C:\PROGRA~1\MICROS~1\Office10\EXCEL.EXE/3000
O9 - Extra button: Related (HKLM)
O9 - Extra 'Tools' menuitem: Show &Related Links (HKLM)
O16 - DPF: {74D05D43-3236-11D4-BDCD-00C04F9A3B61} (HouseCall Control) - http://a840.g.akamai.net/7/840/537/2003120501/housecall.antivirus.com/housecall/xscan53.cab
O16 - DPF: {80DD2229-B8E4-4C77-B72F-F22972D723EA} (AvxScanOnline Control) - http://www.bitdefender.com/scan/Msie/bitdefender.cab
O16 - DPF: {9A9307A0-7DA4-4DAF-B042-5009F29E09E1} (ActiveScan Installer Class) - http://www.pandasoftware.com/activescan/as5/asinst.cab
O16 - DPF: {D27CDB6E-AE6D-11CF-96B8-444553540000} (Shockwave Flash Object) - http://fpdownload.macromedia.com/pub/shockwave/cabs/flash/swflash.cab
På forhånd tak!
Avatar billede thesurfer Nybegynder
12. marts 2004 - 20:06 #8
Du kan hente Service Pack 4 til Windows 2000 her:
http://intern.sdu.dk/it-service/tjenester/ftphotel/ftpindhold/
Avatar billede Ny bruger Nybegynder

Din løsning...

Tilladte BB-code-tags: [b]fed[/b] [i]kursiv[/i] [u]understreget[/u] Web- og emailadresser omdannes automatisk til links. Der sættes "nofollow" på alle links.

Loading billede Opret Preview
Kategori
IT-kurser om Microsoft 365, sikkerhed, personlig vækst, udvikling, digital markedsføring, grafisk design, SAP og forretningsanalyse.

Log ind eller opret profil

Hov!

For at kunne deltage på Computerworld Eksperten skal du være logget ind.

Det er heldigvis nemt at oprette en bruger: Det tager to minutter og du kan vælge at bruge enten e-mail, Facebook eller Google som login.

Du kan også logge ind via nedenstående tjenester