13 svar til dette emnet

[Leila]

Hei
Jeg har oppdaget noe som heter ( Trojan\32win\Agent ) Har virusprogram Norman, den tar det ikke. Har også kjørt Malwarebytes Anti-malware den finner heller ikke noen trojanere.
Ser at det finnes program som kan fjerne dette, men vet ikke om det er sikkert og prøve, kan vel gjøre vondt verre ?
Er der en sikker adr. til program som kan fjerne dette. Jeg er heller ikke god på og finne ut av dette.


edit: Har windows XP. Har oppdaget at det er noe som heter ( Trojan\32win\agent) dette lar seg ikke fjerne med Norman virusprogram. Tenkt jeg skulle prøve og skanne med virusprogrammet i sikker modus. Kan ikke start i sikker modus da det kommer melding at det er feil i program. Kan startes på vanlig måte. hva kan jeg gjøre for å starte opp i sikker modus ?

Dette innlegget er endret av r2d290: 21 February 2012 - 00:32
To tilsvarende tråder er flettet sammen

[pijano]

Det er ikke alltid slik programvare fungerer optimalt i sikkermodus.
Prøv å fjerne den selv foreløpig.
Start opp maskinen og klikk Ctrl+Alt+Delete, velg oppgavebehandling, åpne fanen prosesser og stopp prosessen: Trojan.Win32.Agent.bcn
Åpne så kontrollpanelet og fjern program med samme navn.
Åpne så registeret (klikk på start-knappen skriv inn: regedit, høyreklikk på den i vinduet over og velg: Kjør som administrator
Ta en backup av registeret først: Fil → Eksport → Skriv inn hva backupen skal hete, f.eks datoen og lagre.
Klikk så F3 for å åpne søkeverktøyet i registeret, og søk etter Trojan.Win32.Agent.bcn-filer og fjern disse.
Du må nok søke noen ganger.

Hvis maskinen fungerer normalt etter dette, så ta et nytt fullt søk med Malwarebytes, samt med nyoppdatert antivirusprogram.

Hvis alt fungerer fint etter noen dager, fjern backupen av registeret.

Dette innlegget er endret av pijano: 17 February 2012 - 09:23

[r2d290]

Er det sikkermodus eller antivirusprogrammet som ikke fungerer i sikkermodus? Altså, sliter du med å komme deg i sikkermodus, eller sliter du med å få startet antivirusprogrammet i Sikkermodus?

[pijano]

Jeg vet ikke om du har forsøkt rådet mitt, men et program som sannsynligvis garantert fjerner skiten, er combofix:
http://www.bleepingc...to-use-combofix

Pass på å deaktivere antivirus, evn avinstaller det foreløpig før du kjører combofix.
Last ned til skrivwebordet og kjør derfra. Pass på at du ikke klikker i vinduet mens combofix kjøres.

Legg frem loggen her, og kjør gjerne en scan med hijackthis etterpå også: http://sourceforge.net/projects/hjt/
Legg fila i en ny mappe på skrivebordet og kjør den derfra. Klikk på: do a systemscan and save a logfile.
Legg ut loggen her.

Dette innlegget er endret av r2d290: 21 February 2012 - 00:31
Fjernet unødvendig informasjon etter fletting av tråder

[Leila]

Hei
Jeg har fulgt ditt råd av 17 feb. Fant da Trojan\32win\Agent som jeg slettet. Fant ikke noe mer. Alt virker som det skal etter dette så da kan vel backupen av reg. slettes?.
Når det gjelder Sikker modus kan ikke pc`en startes i det hele tatt, det kommer da feilmelding at det er en feil i program.
Selv om Trojanen ble slettet er pc`en fortsatt fryktelig treg. Er det noen program som kan kjøres som kan rette noe på dette?
Ser at det er noe på denne siden som reklamerer for

Gjør PCen Din Raskere Og Bedre Gratis Nedlasting
er dette noe som er verd å prøve ?
Ser også at det er noe som heter combofix, for meg virker det som det kan være vanskelig og utføre eller skal jeg tørre å prøve, jeg som ikke er noen erfaren bruker ?
Takk så mye for den gode hjelpen så langt.

Dette innlegget er endret av Leila: 21 February 2012 - 18:16

[pijano]

Vent litt med å slette backupen.
Ta en scan som forklart med hijackthis og legg ut loggen her i tråden din.

Etter det kan vi prøve med noen reparasjonsverktøy av systemfiler disksystem.

[Leila]

^{Kan jeg kjøre bare hijackthis uten combofiks og legge loggen her ?}

[pijano]

Jepp.

[Leila]

--
End of file - 11337 bytes
Logfile of Trend Micro HijackThis v2.0.4
Scan saved at 17:48:37, on 21.02.2012
Platform: Windows XP SP3 (WinNT 5.01.2600)
MSIE: Internet Explorer v8.00 (8.00.6001.18702)
Boot mode: Normal
Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\csrss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\Programfiler\Norman\Npm\Bin\elogsvc.exe
C:\Programfiler\Norman\Ngs\Bin\Nnf.exe
C:\Programfiler\Norman\Ngs\Bin\Nprosec.exe
C:\WINDOWS\system32\Ati2evxx.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\Programfiler\Norman\Npm\Bin\Zanda.exe
C:\Programfiler\Norman\npm\bin\nvoy.exe
C:\WINDOWS\system32\DllHost.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\system32\svchost.exe
C:\Programfiler\Norman\npf\bin\npfsvc32.exe
C:\WINDOWS\system32\Ati2evxx.exe
C:\WINDOWS\Explorer.EXE
C:\WINDOWS\system32\spoolsv.exe
C:\WINDOWS\System32\SCardSvr.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\Programfiler\Fellesfiler\MAGIX Services\Database\bin\FABS.exe
C:\WINDOWS\System32\svchost.exe
C:\Programfiler\Canon\IJPLM\IJPLMSVC.EXE
C:\Programfiler\Java\jre6\bin\jqs.exe
C:\WINDOWS\system32\HPZipm12.exe
C:\Programfiler\HPQ\IAM\bin\asghost.exe
C:\Programfiler\Macrium\Reflect\ReflectService.exe
C:\Programfiler\Secunia\PSI\sua.exe
C:\Programfiler\Telenor\mobilt bredband\Sesam\BIN\SecMIPService.exe
C:\WINDOWS\system32\svchost.exe
C:\Programfiler\Hewlett-Packard\Shared\hpqwmiex.exe
C:\Programfiler\Windows Media Player\WMPNetwk.exe
C:\Programfiler\ATI Technologies\ATI Control Panel\atiptaxx.exe
C:\Programfiler\Norman\Npm\Bin\ZLH.EXE
C:\Programfiler\Fellesfiler\Java\Java Update\jusched.exe
C:\WINDOWS\system32\ctfmon.exe
C:\WINDOWS\System32\alg.exe
C:\Programfiler\Norman\Npm\Bin\scheduler.exe
C:\Programfiler\Norman\Npm\Bin\Njeeves.exe
C:\Programfiler\Internet Explorer\iexplore.exe
C:\Programfiler\Internet Explorer\iexplore.exe
C:\Programfiler\Norman\Nse\Bin\NSESVC.EXE
C:\Programfiler\Norman\Nvc\Bin\Nip.exe
C:\Programfiler\Norman\Nvc\Bin\nvcoas.exe
C:\Programfiler\Norman\Nvc\Bin\cclaw.exe
C:\WINDOWS\system32\wscntfy.exe
C:\Documents and Settings\--------------\Skrivebord\HijackThis.exe
C:\WINDOWS\system32\wbem\wmiprvse.exe
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.startsiden.no/
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://go.microsoft....k/?LinkId=69157
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://go.microsoft....k/?LinkId=54896
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = http://go.microsoft....k/?LinkId=54896
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Local Page =
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Local Page =
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Koblinger
R3 - URLSearchHook: Yahoo! Toolbar - {EF99BD32-C1FB-11D2-892F-0090271D4F88} - (no file)
R3 - URLSearchHook: MyAshampoo Toolbar - {a1e75a0e-4397-4ba8-bb50-e19fb66890f4} - C:\Programfiler\MyAshampoo\prxtbMyA0.dll
O2 - BHO: AcroIEHelperStub - {18DF081C-E8AD-4283-A596-FA578C2EBDC3} - C:\Programfiler\Fellesfiler\Adobe\Acrobat\ActiveX\AcroIEHelperShim.dll
O2 - BHO: DriveLetterAccess - {5CA3D70E-1895-11CF-8E15-001234567890} - C:\WINDOWS\System32\DLA\DLASHX_W.DLL
O2 - BHO: Java™ Plug-In SSV Helper - {761497BB-D6F0-462C-B6EB-D4DAF1D92D43} - C:\Programfiler\Java\jre6\bin\ssv.dll
O2 - BHO: MyAshampoo - {a1e75a0e-4397-4ba8-bb50-e19fb66890f4} - C:\Programfiler\MyAshampoo\prxtbMyA0.dll
O2 - BHO: Google Toolbar Helper - {AA58ED58-01DD-4d91-8333-CF10577473F7} - C:\Programfiler\Google\Google Toolbar\GoogleToolbar_32.dll
O2 - BHO: Google Toolbar Notifier BHO - {AF69DE43-7D58-4638-B6FA-CE66B5AD205D} - C:\Programfiler\Google\GoogleToolbarNotifier\5.7.7227.1100\swg.dll
O2 - BHO: Java™ Plug-In 2 SSV Helper - {DBC80044-A445-435b-BC74-9C25C1C588A9} - C:\Programfiler\Java\jre6\bin\jp2ssv.dll
O2 - BHO: HP Credential Manager for ProtectTools - {DF21F1DB-80C6-11D3-9483-B03D0EC10000} - C:\Programfiler\HPQ\IAM\Bin\ItIeAddIN.dll
O2 - BHO: JQSIEStartDetectorImpl - {E7E6F031-17CE-4C07-BC86-EABFE594F69C} - C:\Programfiler\Java\jre6\lib\deploy\jqs\ie\jqs_plugin.dll
O3 - Toolbar: (no name) - {CCC7A320-B3CA-4199-B1A6-9F516DD69829} - (no file)
O3 - Toolbar: MyAshampoo Toolbar - {a1e75a0e-4397-4ba8-bb50-e19fb66890f4} - C:\Programfiler\MyAshampoo\prxtbMyA0.dll
O3 - Toolbar: Google Toolbar - {2318C2B1-4965-11d4-9B18-009027A5CD4F} - C:\Programfiler\Google\Google Toolbar\GoogleToolbar_32.dll
O4 - HKLM\..\Run: [ATIPTA] "C:\Programfiler\ATI Technologies\ATI Control Panel\atiptaxx.exe"
O4 - HKLM\..\Run: [Norman ZANDA] "C:\Programfiler\Norman\Npm\Bin\ZLH.EXE" /LOAD /SPLASH
O4 - HKLM\..\Run: [SunJavaUpdateSched] "C:\Programfiler\Fellesfiler\Java\Java Update\jusched.exe"
O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\ctfmon.exe
O4 - HKCU\..\Run: [swg] "C:\Programfiler\Google\GoogleToolbarNotifier\GoogleToolbarNotifier.exe"
O4 - HKCU\..\Run: [Advanced SystemCare 5] "E:\IObit Toolbox\Advanced SystemCare 5\ASCTray.exe" /AutoStart
O4 - HKUS\S-1-5-19\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'LOKAL TJENESTE')
O4 - HKUS\S-1-5-20\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'NETTVERKSTJENESTE')
O4 - HKUS\S-1-5-18\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'SYSTEM')
O4 - HKUS\.DEFAULT\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'Default user')
O8 - Extra context menu item: Add to Google Photos Screensa&ver - res://C:\WINDOWS\system32\GPhotos.scr/200
O9 - Extra button: (no name) - {e2e2dd38-d088-4134-82b7-f2ba38496583} - C:\WINDOWS\Network Diagnostic\xpnetdiag.exe
O9 - Extra 'Tools' menuitem: @xpsp3res.dll,-20001 - {e2e2dd38-d088-4134-82b7-f2ba38496583} - C:\WINDOWS\Network Diagnostic\xpnetdiag.exe
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programfiler\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programfiler\Messenger\msmsgs.exe
O10 - Unknown file in Winsock LSP: c:\programfiler\norman\ngs\bin\nlf.dll
O10 - Unknown file in Winsock LSP: c:\programfiler\norman\ngs\bin\nlf.dll
O10 - Unknown file in Winsock LSP: c:\programfiler\norman\ngs\bin\nlf.dll
O10 - Unknown file in Winsock LSP: c:\programfiler\norman\ngs\bin\nlf.dll
O14 - IERESET.INF: START_PAGE_URL=http://www.hp.com
O16 - DPF: Garmin Communicator Plug-In - https://static.garmi...inAxControl.CAB
O16 - DPF: {2BC66F54-93A8-11D3-BEB6-00105AA9B6AE} (Symantec AntiVirus scanner) - http://security.syma...bin/AvSniff.cab
O16 - DPF: {30528230-99f7-4bb4-88d8-fa1d4f56a2ab} (Installation Support) - C:\Programfiler\Yahoo!\Common\Yinsthelper200711281.dll
O16 - DPF: {5D86DDB5-BDF9-441B-9E9E-D4730F4EE499} - http://download.bitd...can8/oscan8.cab
O16 - DPF: {5ED80217-570B-4DA9-BF44-BE107C0EC166} (Windows Live Safety Center Base Module) - http://cdn.scan.onec...lscbase4009.cab
O16 - DPF: {644E432F-49D3-41A1-8DD5-E099162EEEC5} (Symantec RuFSI Utility Class) - http://security.syma...n/bin/cabsa.cab
O16 - DPF: {6E32070A-766D-4EE6-879C-DC1FA91D2FC3} (MUWebControl Class) - http://www.update.mi...b?1201702403453
O16 - DPF: {D27CDB6E-AE6D-11CF-96B8-444553540000} (Shockwave Flash Object) - http://fpdownload2.m...ash/swflash.cab
O16 - DPF: {E2883E8F-472F-4FB0-9522-AC9BF37916A7} - http://platformdl.ad...Plus/1.6/gp.cab
O20 - Winlogon Notify: OneCard - C:\Programfiler\HPQ\IAM\Bin\AsWlnPkg.dll
O22 - SharedTaskScheduler: Browseui preloader - {438755C2-A8BA-11D1-B96B-00A0C90312E1} - C:\WINDOWS\system32\browseui.dll
O22 - SharedTaskScheduler: Component Categories cache daemon - {8C7461EF-2B13-11d2-BE35-3078302C2030} - C:\WINDOWS\system32\browseui.dll
O23 - Service: Advanced SystemCare Service 5 (AdvancedSystemCareService5) - Unknown owner - E:\IObit Toolbox\Advanced SystemCare 5\ASCService.exe (file missing)
O23 - Service: Ati HotKey Poller - ATI Technologies Inc. - C:\WINDOWS\system32\Ati2evxx.exe
O23 - Service: Norman eLogger Service (eLoggerSvc6) - Norman ASA - C:\Programfiler\Norman\Npm\Bin\elogsvc.exe
O23 - Service: FABS - Helping agent for MAGIX media database (Fabs) - MAGIX AG - C:\Programfiler\Fellesfiler\MAGIX Services\Database\bin\FABS.exe
O23 - Service: Firebird Server - MAGIX Instance (FirebirdServerMAGIXInstance) - MAGIX® - C:\Programfiler\Fellesfiler\MAGIX Services\Database\bin\fbserver.exe
O23 - Service: GTMM Device Service - Option nv - C:\Programfiler\Telenor\Mobilt Bredbånd\GtmmDeviceService.exe
O23 - Service: Googles oppdateringstjeneste (gupdate) (gupdate) - Google Inc. - C:\Programfiler\Google\Update\GoogleUpdate.exe
O23 - Service: Google-oppdatering-tjenesten (gupdatem) (gupdatem) - Google Inc. - C:\Programfiler\Google\Update\GoogleUpdate.exe
O23 - Service: Google Software Updater (gusvc) - Google - C:\Programfiler\Google\Common\Google Updater\GoogleUpdaterService.exe
O23 - Service: HP WMI Interface (hpqwmi) - Hewlett-Packard Development Company, L.P. - C:\Programfiler\HPQ\Shared\hpqwmi.exe
O23 - Service: hpqwmiex - Hewlett-Packard Development Company, L.P. - C:\Programfiler\Hewlett-Packard\Shared\hpqwmiex.exe
O23 - Service: PIXMA Extended Survey Program (IJPLMSVC) - Unknown owner - C:\Programfiler\Canon\IJPLM\IJPLMSVC.EXE
O23 - Service: Java Quick Starter (JavaQuickStarterService) - Sun Microsystems, Inc. - C:\Programfiler\Java\jre6\bin\jqs.exe
O23 - Service: Norman Network Filtering service (NNFSVC) - Norman ASA - C:\Programfiler\Norman\Ngs\Bin\Nnf.exe
O23 - Service: Norman NJeeves - Unknown owner - C:\Programfiler\Norman\Npm\Bin\Njeeves.exe
O23 - Service: Norman ZANDA - Norman ASA - C:\Programfiler\Norman\Npm\Bin\Zanda.exe
O23 - Service: Norman Personal Firewall Service (NPFSvc32) - Norman ASA - C:\Programfiler\Norman\npf\bin\npfsvc32.exe
O23 - Service: Norman Security service (NPROSECSVC) - Norman ASA - C:\Programfiler\Norman\Ngs\Bin\Nprosec.exe
O23 - Service: Norman Scanner Engine Service (nsesvc) - Norman ASA - C:\Programfiler\Norman\Nse\Bin\NSESVC.EXE
O23 - Service: Norman Virus Control on-access component (nvcoas) - Norman ASA - C:\Programfiler\Norman\Nvc\Bin\nvcoas.exe
O23 - Service: Norman Resource Provider (NVOY) - Norman ASA - C:\Programfiler\Norman\npm\bin\nvoy.exe
O23 - Service: Pml Driver HPZ12 - HP - C:\WINDOWS\system32\HPZipm12.exe
O23 - Service: Macrium Reflect Image Mounting Service (ReflectService) - Unknown owner - C:\Programfiler\Macrium\Reflect\ReflectService.exe
O23 - Service: Norman Scheduler Service (Scheduler) - Norman ASA - C:\Programfiler\Norman\Npm\Bin\scheduler.exe
O23 - Service: Secunia PSI Agent - Secunia - C:\Programfiler\Secunia\PSI\PSIA.exe
O23 - Service: Secunia Update Agent - Secunia - C:\Programfiler\Secunia\PSI\sua.exe
O23 - Service: Sesam Control Service (SesamService) - Swisscom - C:\Programfiler\Telenor\mobilt bredband\Sesa
--

Dette innlegget er endret av Leila: 22 February 2012 - 23:11

[pijano]

Hadde du problemer med å starte opp i sikkermodus før du gjorde endringer i registeret?

Har du hatt AVG antivirus tidligere?
Hvis ikke, kjør en ny scan med hijackthis, marker denne linjen: O3 - Toolbar: (no name) - {CCC7A320-B3CA-4199-B1A6-9F516DD69829} - (no file) og klikk på fix checked.
Last også ned LSP-Fix og kjør denne: http://www.cexx.org/lspfix.htm
Legg ut en screenshot av denne før du gjør noe.

Sannsynligvis vil jeg anbefale deg å reinstallere Norman, men avinstaller førs, så kjør en runde med ccleaner før du installerer det på nytt: http://www.piriform.com/ccleaner

Etter dette kjører du kommandoen: sfc /scannow.
klikk inn Windows-knappen på tastaturet samtidig med R, skriv inn cmd og klikk Enter.
Skriv så inn sfc /scannow og klikk Enter.
Har du en Windows XP-CD, så sett denne inn i CD-ROMen først.

Etter at denne er ferdig, skriv inn i samme dos-vindu: chkdsk /r etterfulgt av Enter.
Svar J med at du vil kjøre en diskkontroll ved neste oppstart og restart maskinen.
Vær obs på at denne gjennomgangen kan ta lang tid.

hvis PC-en fungerer normalt etter dette, kjør en defragmentering
(høreklikk på C:, velg enenskaper, så verktøy.
Der ligger den.

Men legg ut bilde av LSP-fix-resultatet før du gjør noe av det jeg skriver etter det.

Dette innlegget er endret av pijano: 21 February 2012 - 21:28

[Leila]

Ja det er lenge side jeg kunne starte PCèn i sikker modus.
Ja jeg har tidligere brukt AVG antivirusprogram.  LSP-Fix.doc   142.5K   3 Antall nedlastinger
Ble dette ok ?

[pijano]

Ok.

Last ned Norman, så avinstaller den du har, samt slett mappa den var installert i.
Kjør en rens med ccleaner, restart PC og reinstaller Norman.

Hvis du ikke absolutt må ha Norman, så anbefaler jeg noe bedre, samt gratis.
http://windows.micro...rity-essentials
Eller: http://www.avast.com/en-no/index

Så brannmur: http://personalfirewall.comodo.com/

Du velger selvfølgelig dette selv.
Avast og Comodo viser litt reklame når det skal oppdateres, ellers er det ikke mye mas fra den kanten.

Kjør så kommandoene jeg refererte til i forrige post.
Mulig det løser problemet du har med sikkermodus.

Vent litt med å slette backupen av registeret og oppdater tåden din med PC-ens tilstand.
Ok?

PS. En annen ting jeg glemte å nevne: Du bør fjerne toolbars i nettleseren din. De bidrar ofte til dårlig sikkerhet.

Dette innlegget er endret av pijano: 21 February 2012 - 23:19

[Leila]

Endelig tilbake. Har nå fulgt dine gode tips. Windows starter raskt opp nå , men når virusprogrammet skal lastes inn tar det lang tid. Kom også nå inn på sikkermodus, der fjernet ccleaner mye gammelt grums. Videre vil ikke Forumet vises som det skal med XP og IE8,var ikke mulig å logge ut av forumet. Xp med IE8 kan ikke oppgrderes til IE9. Måtte da laste inn Firefox nettleser. Virker som alt er som det skal nå bortsett fra at det går tregt.
Takk for den gode hjelpen !

[pijano]

Det kan hende at operativsystemet ditt har tatt litt skade av alt som har sjedd, og at en reinstallering kan være for det beste.

Ta en ordentlig rens av leserloggen i internet explorer, og ta da bort haken foran: Bevar data for webområder i favoritter
Hvis ikke forumet vises korrekt klikk Ctlr+F5 når du er inne her.

IE9 får du ikke til Windows XP, da må du oppgradere til Windows 7 ;-)
Windows Vista var det første OS-et fra Microsoft med støtte for IE9.