Mærkeligt problem med Antivirus

Du har formentligt fået noget skidt ind som blokerer for diverse antivirus. Det er der forskellige former for vira der gør. Prøv om du kan få listtet denne scanner ind via en memorystick ftp://ftp.drweb.com/pub/drweb/cureit/drweb-cureit.exe Den skal ikke installeres, bare køres.

Hej igen.

Jeg har nu prøvet at køre den virus scanner du linkede, men jeg har stadig det samme problem efter jeg har kørt den.

Okay, prøv så lige at komme med en HijackThis log. Hent Hijackthis her http://www.spywarefri.dk/vaerktoj.htm
Klik "Do a systemscan and save af logfile". Sæt loggen her ind i tråden

Logfile of HijackThis v1.99.1
Scan saved at 23:44:16, on 03-09-2006
Platform: Windows XP SP1 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP1 (6.00.2800.1106)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\System32\winservnt32.exe
C:\WINDOWS\Explorer.exe
C:\WINDOWS\system32\spoolsv.exe
C:\WINDOWS\SOUNDMAN.EXE
C:\WINDOWS\System32\RUNDLL32.EXE
C:\Programmer\Winamp\winampa.exe
C:\WINDOWS\System32\ctfmon.exe
C:\Programmer\MSN Messenger\MsnMsgr.Exe
C:\WINDOWS\System32\nvsvc32.exe
C:\WINDOWS\System32\wpabaln.exe
E:\hijackthis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.signon.stofanet.dk/
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Hyperlinks
F2 - REG:system.ini: Shell=Explorer.exe winservnt32.exe
F2 - REG:system.ini: UserInit=C:\WINDOWS\System32\userinit.exe,winservnt32.exe
O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINDOWS\System32\msdxm.ocx
O4 - HKLM\..\Run: [SoundMan] SOUNDMAN.EXE
O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\System32\NvCpl.dll,NvStartup
O4 - HKLM\..\Run: [nwiz] nwiz.exe /install
O4 - HKLM\..\Run: [NvMediaCenter] RUNDLL32.EXE C:\WINDOWS\System32\NvMcTray.dll,NvTaskbarInit
O4 - HKLM\..\Run: [Ms Update WinServices NT/XP] winservnt32.exe
O4 - HKLM\..\Run: [WinampAgent] C:\Programmer\Winamp\winampa.exe
O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\ctfmon.exe
O4 - HKCU\..\Run: [Ms Update WinServices NT/XP] winservnt32.exe
O4 - HKCU\..\Run: [MsnMsgr] "C:\Programmer\MSN Messenger\MsnMsgr.Exe" /background
O18 - Protocol: livecall - {828030A1-22C1-4009-854F-8E305202313F} - C:\PROGRA~1\MSNMES~1\MSGRAP~1.DLL
O18 - Protocol: msnim - {828030A1-22C1-4009-854F-8E305202313F} - C:\PROGRA~1\MSNMES~1\MSGRAP~1.DLL
O23 - Service: NVIDIA Display Driver Service (NVSvc) - NVIDIA Corporation - C:\WINDOWS\System32\nvsvc32.e

Du har fået besøg af en orm.

Jeg vil foreslå at du installerer servicepack 2, når vi er færdige med rensningen. Hvis du af en eller anden grund ikke vil det, så hent og installer dette lille program, og deaktiver DCOM http://www.grc.com/freeware/dcom.htm



Hent denne scanner, men vent med at scanne.

http://www.spywareinfo.dk/download/mwav.exe

Sæt flueben i følgende:
Memory, Startup folders, drive, Registry, System folders og Services.
Sæt prik i følgende:
All local drives og Scan all files.

Tip: du skal ikke klikke på Add to Startup folders så scannes din maskine hver gang du starter Windows op.

Start op i fejlsikret tilstand (tast f8 flere gange under opstart). Hvis du ikke kan det, så se her
http://www.ctrlaltdel.dk/forum/forum_posts.asp?TID=110&PN=1

Så åbner du scanneren, og trykker på Scan Clean. Den skanner nu, og det kan godt vare ret længe.


Når den er færdig, så klikker du i vinduet "Virus log information"(det dukker op nederst, hvis scanneren finder noget). Tryk så Ctrl+A, så er det markeret. Tryk så Ctrl+C, så er det kopieret til udklipsholder. Sæt det evt ind i et stykke notesblok,og kopier det her ind bagefter.

Bemærk, det er ikke den lange log som scanneren generer, men det lille vindue som åbner under hovedvinduet, når den finder noget.


Kør en scanning med HijackThis, så du kan se alle filer. Luk alle vinduer, sæt flueben ved disse linier, og klik fix checked.

F2 - REG:system.ini: Shell=Explorer.exe winservnt32.exe
F2 - REG:system.ini: UserInit=C:\WINDOWS\System32\userinit.exe,winservnt32.exe
O4 - HKLM\..\Run: [Ms Update WinServices NT/XP] winservnt32.exe
O4 - HKCU\..\Run: [Ms Update WinServices NT/XP] winservnt32.exe

Slet denne fil, hvis scanneren ikke har snuppet den:

C:\WINDOWS\System32\ winservnt32.exe <- Denne fil

Hmm.. computeren vil ikke lade mig åbne scanneren, hver gang jeg åbner den, bliver den ved med at sige, at programmet ikke svarer og så lukker den bare ned.

Det er nok virussen der gør det. Gør lige dette, og se om du kan køre scanneren bagefter.

Hent Avenger her:
http://swandog46.geekstogo.com/avenger.zip

1. Pak Avenger-programmet ud og dobbeltklik på avenger.exe

2. Sæt en prik i "Input Script Manually" og klik på Luppen - nu dukker der et lille vindue op, hvor du skal kopiere indholdet mellem de stiplede linier ind:

-----------------------------

Files to delete:
C:\WINDOWS\System32\winservnt32.exe

-----------------------------

3. Klik på Trafiklyset i Avenger. Programmet vil opfordre dig til at genstarte computeren straks, hvilket du skal gøre. Programmet vil lukke din computer, slette filerne og starte computeren igen.

4. Efter genstarten vil der dukke et notepad-vindue op, med en log for Avengers handlinger. Den må du gerne lægge ind i dit næste svar.

Kør en scanning med HijackThis, så du kan se alle filer. Luk alle vinduer, sæt flueben ved disse linier, og klik fix checked.

F2 - REG:system.ini: Shell=Explorer.exe winservnt32.exe
F2 - REG:system.ini: UserInit=C:\WINDOWS\System32\userinit.exe,winservnt32.exe
O4 - HKLM\..\Run: [Ms Update WinServices NT/XP] winservnt32.exe
O4 - HKCU\..\Run: [Ms Update WinServices NT/XP] winservnt32.exe

Kom også med en frisk HijakThis.

Ikke for at jage med dig, men jeg vil foreslå at du følger op så hurtigt som muligt, da du muligvis har en hacker inde http://www.sophos.com/security/analyses/w32vanebotg.html

Det er for mærkeligt det her, der kommer intet frem i det lille vindue når jeg trykker på luppen, det er bare tomt.

Lyder ikke alt for fedt :(

Ville det hjælpe hvis jeg formaterede alt ting? selvom jeg ikke er meget for det.

Ja, det ville hjælpe, men lad os nu lige prøve at få den væk. Der er stadigvæk flere muligheder.

Hent Unlocker, og installer programmet http://ccollomb.free.fr/unlocker/

Find filen her:

C:\WINDOWS\System32\ winservnt32.exe

Højreklik på filen, vælg Unlocker. Marker filen og klik "lås alle op". I menuen "handling" vælger du slet. Hvis den vil slette ved genstart, så lad den gøre det.

Den kan ikke starte programmet op. Ser ud til at der ikke er noget der virker? :(

Hmm, vi prøver lige at deaktivere joblisten. Hent denne lille fil http://www.dougknox.com/xp/utils/xp_taskmgrenab.htm

Udpak den og kør den. Fjern fluebenet og klik apply og exit.

Gå så i HijackThis->Config->Misc Tools->Delete af file on reboot. Find den famøse fil, og sig ja til genstarten.

Prøv evt lige at tjekke om de andre værktøjer vil køre nu

Hm synes ikke rigtig det har hjulpet. Programmerne virker stadig ikke.

Logfile of HijackThis v1.99.1
Scan saved at 01:11:28, on 05-09-2006
Platform: Windows XP SP1 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP1 (6.00.2800.1106)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\System32\msejavaupdt32.exe
C:\WINDOWS\Explorer.exe
C:\WINDOWS\system32\spoolsv.exe
C:\WINDOWS\SOUNDMAN.EXE
C:\WINDOWS\System32\RUNDLL32.EXE
C:\Programmer\Winamp\winampa.exe
C:\Programmer\Java\jre1.5.0_06\bin\jusched.exe
E:\Unlocker\UnlockerAssistant.exe
C:\WINDOWS\System32\ctfmon.exe
C:\Programmer\MSN Messenger\MsnMsgr.Exe
C:\WINDOWS\System32\nvsvc32.exe
E:\hijackthis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.signon.stofanet.dk/
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Hyperlinks
F2 - REG:system.ini: Shell=Explorer.exe msejavaupdt32.exe
F2 - REG:system.ini: UserInit=C:\WINDOWS\System32\userinit.exe,msejavaupdt32.exe
O2 - BHO: SSVHelper Class - {761497BB-D6F0-462C-B6EB-D4DAF1D92D43} - C:\Programmer\Java\jre1.5.0_06\bin\ssv.dll
O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINDOWS\System32\msdxm.ocx
O4 - HKLM\..\Run: [SoundMan] SOUNDMAN.EXE
O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\System32\NvCpl.dll,NvStartup
O4 - HKLM\..\Run: [nwiz] nwiz.exe /install
O4 - HKLM\..\Run: [NvMediaCenter] RUNDLL32.EXE C:\WINDOWS\System32\NvMcTray.dll,NvTaskbarInit
O4 - HKLM\..\Run: [WinampAgent] C:\Programmer\Winamp\winampa.exe
O4 - HKLM\..\Run: [Ms Java Update For Windows NT/XP] msejavaupdt32.exe
O4 - HKLM\..\Run: [SunJavaUpdateSched] C:\Programmer\Java\jre1.5.0_06\bin\jusched.exe
O4 - HKLM\..\Run: [UnlockerAssistant] "E:\Unlocker\UnlockerAssistant.exe"
O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\ctfmon.exe
O4 - HKCU\..\Run: [MsnMsgr] "C:\Programmer\MSN Messenger\MsnMsgr.Exe" /background
O4 - HKCU\..\Run: [Ms Java Update For Windows NT/XP] msejavaupdt32.exe
O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programmer\Java\jre1.5.0_06\bin\ssv.dll
O9 - Extra 'Tools' menuitem: Sun Java Console - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programmer\Java\jre1.5.0_06\bin\ssv.dll
O18 - Protocol: livecall - {828030A1-22C1-4009-854F-8E305202313F} - C:\PROGRA~1\MSNMES~1\MSGRAP~1.DLL
O18 - Protocol: msnim - {828030A1-22C1-4009-854F-8E305202313F} - C:\PROGRA~1\MSNMES~1\MSGRAP~1.DLL
O23 - Service: NVIDIA Display Driver Service (NVSvc) - NVIDIA Corporation - C:\WINDOWS\System32\nvsvc32.exe

Jeg er her endnu. Arbejder på sagen.

Den skifter åbenbart navn. Vi prøver igen. Du må ikke genstarte før jeg siger til. Nu skal du i regedit. Se hvordan du gør her http://www.spywarefri.dk/forum/topic.asp?TOPIC_ID=3441 Husk backup.

I registreringsdatabasen klikker du dig frem til denne værdi:

HKLM\SYSTEM\CurrentControlSet\Services\SharedAccess

Marker mappen. I det højre vindue finder du værdien START. Dobbeltklik værdien, og lav værdien om til 2, og klik ok.

Nu klikker du dig frem til denne værdi:

HKLM\SYSTEM\CurrentControlSet\Services\wuauserv

Marker mappen. I det højre vindue finder du værdien START. Dobbeltklik værdien, og lav værdien om til 2, og klik ok.

Kør en scanning med HijackThis, så du kan se alle filer. Luk alle vinduer, sæt flueben ved disse linier, og klik fix checked.

F2 - REG:system.ini: Shell=Explorer.exe msejavaupdt32.exe
F2 - REG:system.ini: UserInit=C:\WINDOWS\System32\userinit.exe,msejavaupdt32.exe
O4 - HKLM\..\Run: [Ms Java Update For Windows NT/XP] msejavaupdt32.exe
O4 - HKCU\..\Run: [Ms Java Update For Windows NT/XP] msejavaupdt32.exe

Prøv at køre Avenger igen:

2. Sæt en prik i "Input Script Manually" og klik på Luppen - nu dukker der et lille vindue op, hvor du skal kopiere indholdet mellem de stiplede linier ind:

-----------------------------

Files to delete:
C:\WINDOWS\System32\msejavaupdt32.exe

-----------------------------

3. Klik på Trafiklyset i Avenger. Programmet vil opfordre dig til at genstarte computeren straks, hvilket du skal gøre. Programmet vil lukke din computer, slette filerne og starte computeren igen.

4. Efter genstarten vil der dukke et notepad-vindue op, med en log for Avengers handlinger. Den må du gerne lægge ind i dit næste svar.


Hvis værktøjerne stadigvæk ikke vil køre, så prøv at slette filen manuelt.

Går i seng nu. Vender tilbage i morgen. Hmm, i dag bliver det vel

Hov undskyld, jeg smuttede i seng i går. Jeg er ikke lige hjemme i dag, men jeg prøver lige det der når jeg kommer hjem på et tidspunkt i aften eller i morgen tidlig.

Helt ok, jeg var også længe om at svare

Den vil slet ikke tillade mig at åbne start -> kør -> regedit, den lukker bare ned med det samme.

Tror jeg formatere det hele.

Hvis du gider og smide et svar, så du kan få dine point som tak for at du gad og bruge så meget tid på det, ville det være super.

Hvad gør dette program?
http://www.grc.com/freeware/dcom.htm

Det program lukker for sårbarheden i DCOM i servicepack 1. Brug det endelig, hvis du ikke ønsker servicepack 2. Dette vil også være en fordel http://www.grc.com/unpnp/unpnp.htm

Hvis du alligevel skulle få mod på at fortsætte, vil du muligvis kunne reparere regedit med "Infiltration Recovery Tool" http://www.excessive-software.eu.tt/

Bare kør det og klik Apply (UDEN flueben).

Hvis du formatterer, vil jeg foreslå at du får aktiveret en firewall inden du går på nettet. Efter min mening er Comodo den bedste i øjeblikket, og du får licensen gratis http://www.personalfirewall.comodo.com/

En anden god løsning er beskrevet her, hvor du kan lægge Servicepack 2 ind på din Windows CD http://www.young-andersen.dk/tips.html#slipstream

Jeg har formateret min computer nu og er forhåbenlig sluppet af med den.

Det er du helt sikkert. Tak for point.

Så lidt.. hmm tænkte på, den firewall du linkede, den vil ikke lade mig spille World of warcraft, hvordan sætter jeg den op så jeg ikke behøver at slå den fra hver gang??

Her er konfigurationen på flere spil http://forums.comodo.com/index.php?topic=1706.msg12793

Tjek lige næstnederste indlæg, som forklarer hvorfor WOW ikke får fuld tilladelse automatisk.

Tak, men ved ikke lige helt hvordan jeg sætter op? altså hvor jeg ændrer tingene? port nummer osv.

Hm og efter jeg har fået den firewall op og køre, så kan jeg max være på nettet i 1 time eller mindre, så ryger jeg bare af og må genstarte computeren og så fungere det igen. Hvorfor gør den det?

Hvorfor du bliver smidt af nettet kan jeg ikke sige, men jeg kan se i deres forum, at Comodo kan have lidt problemer med visse netkort. Comodo bliver løbende opdateret, så prøv lige at tjekke for opdateringer. Det kan være det løser det.

Her er der en flash film, der viser hvordan du sætter de regler op http://www.embsolutions.com.au/cpf_rule/index.htm

Comodo arbejder på at forbedre problemerne med spil, men spil kan desværre ofte være et problem i forbindelse med firewalls, desværre.

En anden mulighed kunne være at prøve Sygate i stedet for. Den skulle være lidt mindre problematisk mht spil  http://www.oldversion.com/program.php?n=sygate

Nyeste version er stadigvæk en udmærket firewall.

Hmm synes ikke mit firewall ser ud som det på den flash film. Når jeg skal trykke på vinduet Tasks - Network rule, kan jeg ikke finde det. På deres skærm er det 4 kategorier under hinanden. På min har jeg 6 "store billeder" i stedet og kan ikke finde frem til det vindue der hedder: Network Control Rule

Jeg har lige hentet den igen.

I "Security", så klik på "Tasks", og klik så på "scan for known applications", og kør en scanning.

Klik så på "Network monitor" og på "+ add" og lav de to selvstændige regler som er nævnt her http://forums.comodo.com/index.php?topic=1706.msg12793

World of Warcraft (1/2)

Action : Allow
Protocol : TCP
Direction : In/Out
source IP : ANY
Remote IP : ANY
Source Port : ANY
Remote Port : A set of Ports - 3724, 6112

og bagefter denne:

Action : Allow
Protocol : TCP
Direction : In/Out
source IP : ANY
Remote IP : ANY
Source Port : ANY
Remote Port : A port range - Start port : 6881 - End Port : 6999

Så burde det virke.

Problemet er, at wow.exe ikke er den eneste fil som skal på nettet når du spiller, og du kan ikke se firewallens alarmer på de andre filer, når spillet er i full screen. De arbejder angiveligt på problemet, så tjek for opdateringer en gang imellem.

Du kan så i stedet for de førstnævnte regler, prøve at gå i "Application monitor", klik Add, og tilføj samtlige exe filer i spillets mappe. Skal gøres en efter en. Det vil være lidt mere sikkert end de førstnævnte regler, men jeg tør ikke love det vil virke.

Har sat det op som nævnt øverst og ser om det virker.

Hm efter jeg har sat det op, virker mit world of warcraft igen ikke. programmet svarer ikke når jeg åbner det.

Nu fungere det vidst.

Jeg fatter bare ikke hvorfor jeg ikke kan være på nettet i mere end 1 time af gangen når jeg har firewall på. Er nødt til at slå det den fra :(

Det lyder også mærkeligt. Tjek lige at alle svchost.exe har tilladelse i Application Monitor.

Når det sker igen, så prøv lige at kigge i dine logs, i Activity -> Logs.