Spylocked virus

Bare start forfra med at følge vejledningen http://www.eksperten.dk/artikler/954 og læg diverse logs herind. Enten følger jeg op på dem eller en anden kigger dem igennem. Inden du kører vejledningen kan du lige rydde op med Ccleaner http://www.spywarefri.dk/manualer/ccleaner-manual.htm

Jeg har nu brugt Ccleaner og fulgt vejledningen.

Har brugt drweb, superantispyware og Hijackthis.

Her vil jeg sætte min logs ind fra de 3. ( der skal lige siges at der var flere fejl første gang jeg kørte de 2 første programmer) ( Har ikke slettet noget med Hijackthis da der står man kan komme til at slette vigtige filer hvis man ikek ved hvad man sletter)


Drweb:


Process.#xe;C:\Documents and Settings\Sami\Skrivebord\SmitfraudFix;Tool.Prockill;Renamed.;
restart.#xe;C:\Documents and Settings\Sami\Skrivebord\SmitfraudFix;Tool.ShutDown.11;Renamed.;
A0012052.#xe;C:\System Volume Information\_restore{13C6F930-2574-40A0-952B-C6ABFDAF674F}\RP71;Tool.Prockill;Renamed.;
A0012080.#xe;C:\System Volume Information\_restore{13C6F930-2574-40A0-952B-C6ABFDAF674F}\RP72;Tool.Prockill;Renamed.;
A0012081.#xe;C:\System Volume Information\_restore{13C6F930-2574-40A0-952B-C6ABFDAF674F}\RP72;Tool.ShutDown.11;Renamed.;
A0012082.vbs;C:\System Volume Information\_restore{13C6F930-2574-40A0-952B-C6ABFDAF674F}\RP72;VBS.Psyme;Deleted.;
A0012083.dll;C:\System Volume Information\_restore{13C6F930-2574-40A0-952B-C6ABFDAF674F}\RP72;IRC.Flood;Deleted.;
A0012084.exe;C:\System Volume Information\_restore{13C6F930-2574-40A0-952B-C6ABFDAF674F}\RP72;Program.mIRC.616;Moved.;




superantispyware:



SUPERAntiSpyware Scan Log
Generated 04/29/2007 at 06:02 PM

Application Version : 3.5.1016

Core Rules Database Version : 3165
Trace Rules Database Version: 1176

Scan type      : Complete Scan
Total Scan Time : 00:17:42

Memory items scanned      : 322
Memory threats detected  : 0
Registry items scanned    : 3966
Registry threats detected : 0
File items scanned        : 22308
File threats detected    : 7

Adware.Tracking Cookie
    C:\Documents and Settings\Sami\Cookies\sami@mediaplex[1].txt
    C:\Documents and Settings\Sami\Cookies\sami@adtech[2].txt
    C:\Documents and Settings\Sami\Cookies\sami@msnportal.112.2o7[1].txt
    C:\Documents and Settings\Sami\Cookies\sami@bs.serving-sys[2].txt
    C:\Documents and Settings\Sami\Cookies\sami@atdmt[2].txt
    C:\Documents and Settings\Sami\Cookies\sami@doubleclick[1].txt
    C:\Documents and Settings\Sami\Cookies\sami@serving-sys[1].txt




Hijackthis:



Logfile of HijackThis v1.99.1
Scan saved at 18:26:28, on 29-04-2007
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\Explorer.EXE
C:\WINDOWS\system32\spoolsv.exe
C:\Programmer\Java\jre1.5.0_06\bin\jusched.exe
C:\WINDOWS\system32\rundll32.exe
C:\WINDOWS\system32\ctfmon.exe
C:\WINDOWS\system32\nvsvc32.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\system32\wscntfy.exe
C:\Programmer\Internet Explorer\IEXPLORE.EXE
C:\Programmer\SUPERAntiSpyware\SUPERAntiSpyware.exe
C:\Programmer\Java\jre1.5.0_06\bin\jucheck.exe
C:\Documents and Settings\Sami\Skrivebord\hijackthis\alternativ.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Hyperlinks
R3 - URLSearchHook: Yahoo! Toolbar - {EF99BD32-C1FB-11D2-892F-0090271D4F88} - (no file)
O2 - BHO: Adobe PDF Reader Link Helper - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Programmer\Fælles filer\Adobe\Acrobat\ActiveX\AcroIEHelper.dll
O2 - BHO: Yahoo! IE Services Button - {5BAB4B5B-68BC-4B02-94D6-2FC0DE4A7897} - C:\Programmer\Yahoo!\Common\yiesrvc.dll
O2 - BHO: SSVHelper Class - {761497BB-D6F0-462C-B6EB-D4DAF1D92D43} - C:\Programmer\Java\jre1.5.0_06\bin\ssv.dll
O4 - HKLM\..\Run: [ALi5289] C:\Programmer\ULI5289\ALi5289.exe
O4 - HKLM\..\Run: [SoundMan] SOUNDMAN.EXE
O4 - HKLM\..\Run: [SunJavaUpdateSched] C:\Programmer\Java\jre1.5.0_06\bin\jusched.exe
O4 - HKLM\..\Run: [BluetoothAuthenticationAgent] rundll32.exe bthprops.cpl,,BluetoothAuthenticationAgent
O4 - HKLM\..\Run: [NeroFilterCheck] C:\WINDOWS\system32\NeroCheck.exe
O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\system32\NvCpl.dll,NvStartup
O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\ctfmon.exe
O8 - Extra context menu item: &Yahoo! Search - file:///C:\Programmer\Yahoo!\Common/ycsrch.htm
O8 - Extra context menu item: Yahoo! &Dictionary - file:///C:\Programmer\Yahoo!\Common/ycdict.htm
O8 - Extra context menu item: Yahoo! &Maps - file:///C:\Programmer\Yahoo!\Common/ycmap.htm
O8 - Extra context menu item: Yahoo! &SMS - file:///C:\Programmer\Yahoo!\Common/ycsms.htm
O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programmer\Java\jre1.5.0_06\bin\ssv.dll
O9 - Extra 'Tools' menuitem: Sun Java Console - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programmer\Java\jre1.5.0_06\bin\ssv.dll
O9 - Extra button: Yahoo! Services - {5BAB4B5B-68BC-4B02-94D6-2FC0DE4A7897} - C:\Programmer\Yahoo!\Common\yiesrvc.dll
O9 - Extra button: (no name) - {CD67F990-D8E9-11d2-98FE-00C0F0318AFE} - (no file)
O9 - Extra button: Yahoo! Messenger - {E5D12C4E-7B4F-11D3-B5C9-0050045C3C96} - C:\Programmer\Yahoo!\Messenger\YahooMessenger.exe
O9 - Extra 'Tools' menuitem: Yahoo! Messenger - {E5D12C4E-7B4F-11D3-B5C9-0050045C3C96} - C:\Programmer\Yahoo!\Messenger\YahooMessenger.exe
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programmer\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programmer\Messenger\msmsgs.exe
O16 - DPF: {30528230-99f7-4bb4-88d8-fa1d4f56a2ab} (YInstStarter Class) - C:\Programmer\Yahoo!\Common\yinsthelper.dll
O16 - DPF: {D8575CE3-3432-4540-88A9-85A1325D3375} (e-Safekey) - https://netbank.danskebank.dk/html/activex/e-Safekey/DB/e-Safekey.cab
O18 - Protocol: livecall - {828030A1-22C1-4009-854F-8E305202313F} - C:\PROGRA~1\MSNMES~1\MSGRAP~1.DLL
O18 - Protocol: msnim - {828030A1-22C1-4009-854F-8E305202313F} - C:\PROGRA~1\MSNMES~1\MSGRAP~1.DLL
O20 - Winlogon Notify: !SASWinLogon - C:\Programmer\SUPERAntiSpyware\SASWINLO.dll
O23 - Service: InstallDriver Table Manager (IDriverT) - Macrovision Corporation - C:\Programmer\Fælles filer\InstallShield\Driver\11\Intel 32\IDriverT.exe
O23 - Service: NVIDIA Display Driver Service (NVSvc) - NVIDIA Corporation - C:\WINDOWS\system32\nvsvc32.exe

Du kan fixe denne:

R3 - URLSearchHook: Yahoo! Toolbar - {EF99BD32-C1FB-11D2-892F-0090271D4F88} - (no file)

men bortset fra det ser din log ren ud.

Hvis du stadig mener der er snavs kan du prøve denne http://free.grisoft.com/doc/5390/lng/us/tpl/v5#avg-anti-spyware-free

Hvis du stadig har en icon ved siden af uret i nederste hjørne er det nok denne http://www.castlecops.com/s13102-ALi5289.html - det er ikke en virus ser det ud til.

Ellers se her http://www.xp-vista.com/remove-SpyLock

Endnu en vejledning i at fjerne Spylock http://www.bleepingcomputer.com/forums/topic85376.html - men jeg ser intet spor af den i din HiJackThis-log.

Smitfraud-infektioner kan være ret gode til at skjule sig. Derfor vil jeg anbefale at du kører hele denne vejledning:

-- Hent S!Ri's SmitfraudFix.zip og gem det på dit Skrivebord.
http://siri.urz.free.fr/Fix/SmitfraudFix.exe

Alternativt herfra:
http://72.232.135.12/siri/SmitfraudFix.exe
(jeg kan se at du har haft den inde før, men det er vigtigt at det er NYESTE version af smitfraudfix, du kører med).

NB: Filen "process.exe" som ligger i dette værktøj bliver af visse antivirus-programmer identificeret som "RiskTool". Det har dog ikke noget på sig!

-- Genstart i fejlsikret, hvis du ikke ved hvordan så kig her:
http://www.ctrlaltdel.dk/forum/forum_posts.asp?TID=23&PN=1

-- Kør SmitfraudFix. Tast 2 - svar ja til at rense (y=yes). Lad programmet gennemføre en rensning. Det vil også checke om systemfilen wininet.dll er inficeret. Hvis den er det, vil du blive bedt om tilladelse til at erstatte den med en anden. Her skal du vælge "Yes", ved at taste "y".

Programmet bliver muligvis nødt til at genstarte undervejs. Herefter vil der dukke en liste med resultaterne af rensningen op . Kopiér denne liste ind i tråden.

-- Genstart og læg en frisk Hijackthislog herind, sammen med loggen fra SmitfraudFix (C:\rapport.txt).

jeg bliver bare mere og mere forvirret af det her. nva : Hvad er det der yahoo toolbar noget?

nva: jeg prøver lige at tjekke det der castlecoops for det er nemlig det icon ned ved siden af uret jeg har tilbage som ikke vil væk.

ejvindh : jeg har prøvet programmet smithfraudfix, jeg så nemlig din kommentar i indlægget http://www.eksperten.dk/spm/769154 , har kørt det program men har ikke lagt min rapport herind fra smithfraud.

Jeg prøver lige det af med castlecoops, for det iconet ved siden af uret som jeg har tilbage som ikke vil fjernes og hvis man klikker på det åbner den for spylocks hjemmeside.

Jeg prøver lige ad. og så skriver jeg tilbage hvad der er sket.

Jeg har været inde på http://www.castlecops.com/s13102-ALi5289.html ved ikke hvad jeg skal vælge der. skal man registrere sig?

Jeg har også været inde på http://www.xp-vista.com/remove-SpyLock og hentet programmet og kørt en scanning. men kan ikke slette de fejl den har fundet. man skal købe deres program til 30 dollars for at kunne slette.

"...loggen fra SmitfraudFix (C:\rapport.txt)..." alligevel vil vi gerne se ...

ok. jeg har kørt smitfraud igen og fået en ny rapport. har også den første rapport hvis i vil se den, men regner med at det er det samme.

Her er rapporten fra smitfraud:


SmitFraudFix v2.171

Scan done at  8:38:30,48, 01-05-2007
Run from C:\Documents and Settings\Sami\Skrivebord\SmitfraudFix
OS: Microsoft Windows XP [version 5.1.2600] - Windows_NT
The filesystem type is NTFS
Fix run in safe mode

»»»»»»»»»»»»»»»»»»»»»»»» SharedTaskScheduler Before SmitFraudFix
!!!Attention, following keys are not inevitably infected!!!

SrchSTS.exe by S!Ri
Search SharedTaskScheduler's .dll

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\SharedTaskScheduler]
"{b23dc537-3e13-44c7-bf67-d8405eb377f7}"="bedstead"

[HKEY_CLASSES_ROOT\CLSID\{b23dc537-3e13-44c7-bf67-d8405eb377f7}\InProcServer32]
@="C:\WINDOWS\system32\rcohty.dll"

[HKEY_LOCAL_MACHINE\Software\Classes\CLSID\{b23dc537-3e13-44c7-bf67-d8405eb377f7}\InProcServer32]
@="C:\WINDOWS\system32\rcohty.dll"


»»»»»»»»»»»»»»»»»»»»»»»» Killing process


»»»»»»»»»»»»»»»»»»»»»»»» hosts


127.0.0.1      localhost

»»»»»»»»»»»»»»»»»»»»»»»» Generic Renos Fix

GenericRenosFix by S!Ri


»»»»»»»»»»»»»»»»»»»»»»»» Deleting infected files


»»»»»»»»»»»»»»»»»»»»»»»» DNS

HKLM\SYSTEM\CCS\Services\Tcpip\..\{902BDB04-2E0B-4C74-A518-9A6C2F16BC70}: DhcpNameServer=193.162.153.164 194.239.134.83
HKLM\SYSTEM\CS1\Services\Tcpip\..\{902BDB04-2E0B-4C74-A518-9A6C2F16BC70}: DhcpNameServer=193.162.153.164 194.239.134.83
HKLM\SYSTEM\CS2\Services\Tcpip\..\{902BDB04-2E0B-4C74-A518-9A6C2F16BC70}: DhcpNameServer=193.162.153.164 194.239.134.83
HKLM\SYSTEM\CCS\Services\Tcpip\Parameters: DhcpNameServer=193.162.153.164 194.239.134.83
HKLM\SYSTEM\CS1\Services\Tcpip\Parameters: DhcpNameServer=193.162.153.164 194.239.134.83
HKLM\SYSTEM\CS2\Services\Tcpip\Parameters: DhcpNameServer=193.162.153.164 194.239.134.83


»»»»»»»»»»»»»»»»»»»»»»»» Deleting Temp Files


»»»»»»»»»»»»»»»»»»»»»»»» Winlogon.System
!!!Attention, following keys are not inevitably infected!!!

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon]
"System"=""


»»»»»»»»»»»»»»»»»»»»»»»» Registry Cleaning

Registry Cleaning done.

»»»»»»»»»»»»»»»»»»»»»»»» SharedTaskScheduler After SmitFraudFix
!!!Attention, following keys are not inevitably infected!!!

SrchSTS.exe by S!Ri
Search SharedTaskScheduler's .dll

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\SharedTaskScheduler]
"{b23dc537-3e13-44c7-bf67-d8405eb377f7}"="bedstead"

[HKEY_CLASSES_ROOT\CLSID\{b23dc537-3e13-44c7-bf67-d8405eb377f7}\InProcServer32]
@="C:\WINDOWS\system32\rcohty.dll"

[HKEY_LOCAL_MACHINE\Software\Classes\CLSID\{b23dc537-3e13-44c7-bf67-d8405eb377f7}\InProcServer32]
@="C:\WINDOWS\system32\rcohty.dll"



»»»»»»»»»»»»»»»»»»»»»»»» End

-- Hent Avenger her:
http://swandog46.geekstogo.com/avenger.zip

-- Pak Avenger-programmet ud og dobbeltklik på avenger.exe

-- Sæt en prik i "Input Script Manually" og klik på Luppen - nu dukker der et lille vindue op, hvor du skal kopiere indholdet mellem de stiplede linier ind:

-----------------------------
Files to delete:
C:\WINDOWS\system32\rcohty.dll

registry keys to delete:
hklm\SOFTWARE\Classes\CLSID\{b23dc537-3e13-44c7-bf67-d8405eb377f7}

registry values to delete:
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\SharedTaskScheduler|{b23dc537-3e13-44c7-bf67-d8405eb377f7}
-----------------------------

-- Klik på Trafiklyset i Avenger. Programmet vil opfordre dig til at genstarte computeren straks, hvilket du skal gøre. Programmet vil lukke din computer, slette filerne og starte computeren igen.

-- Efter genstarten vil der dukke et notepad-vindue op, med en log for Avengers handlinger. Den må du gerne lægge ind i dit næste svar.

Logfile of The Avenger version 1, by Swandog46
Running from registry key:
\Registry\Machine\System\CurrentControlSet\Services\wsismdvt

*******************

Script file located at: \??\C:\WINDOWS\system32\ajknxqku.txt
Script file opened successfully.

Script file read successfully

Backups directory opened successfully at c:\Avenger

*******************

Beginning to process script file:

File C:\WINDOWS\system32\rcohty.dll deleted successfully.
Registry key hklm\SOFTWARE\Classes\CLSID\{b23dc537-3e13-44c7-bf67-d8405eb377f7} deleted successfully.
Registry value HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\SharedTaskScheduler|{b23dc537-3e13-44c7-bf67-d8405eb377f7} deleted successfully.

Completed script processing.

*******************

Finished!  Terminate.

Det ser godt ud. Har det også hjulpet på dit problem?

For at gøre arbejdet helt færdig:
Det kan være en god ide og rydde op i systemgendannelses filerne. Deaktiver systemgendannelse (http://www.spywarefri.dk/virusscannere.htm#alle) - genstart din computer - aktiver systemgendannelse.
Og så kan det også være en god ide at skjule dine systemfiler og -mapper igen, så du ikke ved en fejl kommer til at slette en vigtig fil. Det gør du samme sted, hvor du satte det til at vise alle filer, denne gang vælger du bare: Vis ikke skjulte filer og mapper.

Det kan også være en god ide at få renset ud i dine midlertidige filer. Det kan gøres på en hurtig og nem måde med denne fil
www.spywareinfo.dk/download/cleantempxp2k.bat
---------------------------

For at forhindre gentagelser, vil jeg anbefale dig at lægge nogle små programmer ind, som forhindrer spyware i at komme ind i første omgang. Du finder links og gode råd her:
http://www.spywarefri.dk/manualer/sikkerhedspakke.htm

Jeg vil også foreslå, at du læser disse artikler om hvordan du kan undgå at blive inficeret i fremtiden:
http://www.spywarefri.dk/forum/topic.asp?TOPIC_ID=14414
http://www.ejvindh.net/viewtopic.php?t=37

Jo tak ejvindh, det har hjulpet. ikonet ved uret med splock er væk nu.

Deaktivere systemdannelse?

ok, jeg kommer tilbage og læser det her igen senere, skal lige have morgenmad nu. prøver de ting du har skrevet, og hvis jeg ikek lige kan finde ud af det må jeg spørge dig.

Det gør du bare. Deaktiveringen af systemgendannelse er forklaret i det link, der står lige efter *S*

Jeg har deaktiveret system gendannelses filerne og aktiveret den igen. Du skriver at jeg skal skjule mine system filer og mapper igen, samme sted som jeg satte det til at vise alle filer? kan ikek huske jeg har sat det til at vise alle filer? husker måske forkert?

Nå men anyway. kan du ikke forklare mig hvor og hvordan jeg sætter det til at skjule de filer og mapper?

Nej, det må du undskylde. Det er sådan en standard-afskeds-salut, som jeg fyrer af, og jeg havde lige glemt at slette denne del. Når du ikke har sat computeren til at vise skjulte filer, er der heller ingen grund til at slå dette fra igen ;-)