I början av Januari 2014 låstes Whoa och du kan alltså ej logga in eller skriva något nytt i forumen. Innehåll i forum osv kommer finnas tillgängligt. Läs Mer »

Malicious Script?!?(spyware?!?)- problem med IE

Hobby & Fritid - Datorer & Teknik

   

2004-03-28 17:50

Malicious Script?!?(spyware?!?)- problem med IE

Hejsan.
Min kompis satt vid min dator och så fick jag ett reklam meddelande på min icq. Typ "Hi my name is olga wanna se my pics...bla bla bla.." Och så skickas det en länk (sånna som man alltid får). Jag sa till min kompis att inte gå in på det för det bara skulle vara porr och tjafs. I vilket fall så gjorde han det. Och då får vi upp ett varnings meddelande om ett skadligt script.
Så här stor det i virus loggen:

Skriptblockeringen upptäckte misstänkt aktivitet.
Fil: C:\WINDOWS\system32\-Embedding
Objekt: FileSystem Object
Aktivitet: CreateTextFile
Detta skript stoppades.

Först trodde jag inte att det var något men nu varje gång när jag startar IE så är start sidan C:\WINDOWS\secure.html.Som är en sida som säger att jag kollar på pedo porn och att jag har blivit upptäckt etc etc. Sen om man stänger ner den sidan kommer det upp en sida där det står vilket internetbolag jag har, vilken ip adress jag har, OS system etc etc Även om man sätter auto:blank rensar cookies, filer och allt så sätts den sidan som start sida.

Jag har testat att köra Ad aware, spybot och trojan remover men det är inget som hjälper. Om jag kör en virus scan så hittar han inget heller.

Jag hittar inget som heter C:\WINDOWS\system32\-Embedding Om jag går till c:\windows och tar bort (lägger i papperkorgen)secure.html och sen rensar internet files o allt det där. Så står det bara när man försöker starta internet explorer att sökvägen C:\\windows\secure.html inte kunde hittas.

Jag vet inte hur jag ska få bort det undrar om någon kan hjälpa mig.
Har redan sökt runt lite på internet men det har inte hjälpt riktigt.
Tack på förhand!

Forumssignatur...

2004-03-28 17:51
Så här ser loggen från hijack this ut.
Om det är till någon hjälp.

Logfile of HijackThis v1.97.7
Scan saved at 17:50:34, on 2004-03-28
Platform: Windows XP (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 (6.00.2600.0000)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\spoolsv.exe
C:\WINDOWS\Explorer.EXE
C:\Program\Norton Internet Security\IAMAPP.EXE
C:\Program\NORTON~1\navapw32.exe
C:\Program\Real\RealPlayer\RealPlay.exe< br> C:\Program\D-Tools\daemon.exe
C:\Program\QuickTime\qttask.exe
C:\WINDOWS\reg32.exe
C:\WINDOWS\dl.exe
C:\WINDOWS\dlm.exe
C:\WINDOWS\consol32.exe
C:\Program\Love open funk\bolt amok.exe
C:\Program\ICQ\icq.exe
C:\Program\Norton AntiVirus\navapsvc.exe
C:\Program\Norton Internet Security\NISUM.EXE
C:\Program\Norton Internet Security\NISSERV.EXE
C:\Program\Norton Internet Security\SymProxySvc.exe
C:\WINDOWS\System32\devldr32.exe
C:\Program\Messenger\msmsgs.exe
C:\WINDOWS\System32\wuauclt.exe
C:\Program\Internet Explorer\iexplore.exe
C:\download\program\hijackthis\HijackThi s.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = C:\WINDOWS\secure.html
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = C:\WINDOWS\secure.html
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://ie-search.com/home.html (obfuscated)
R1 - HKCU\Software\Microsoft\Internet Explorer\Search,CustomizeSearch = http://ie-search.com/srchasst.html (obfuscated)
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = C:\WINDOWS\secure.html
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Bar = http://ie-search.com/srchasst.html (obfuscated)
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = http://ie-search.com/home.html (obfuscated)
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = C:\WINDOWS\secure.html
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://ie-search.com/home.html (obfuscated)
R0 - HKLM\Software\Microsoft\Internet Explorer\Search,CustomizeSearch = http://ie-search.com/srchasst.html (obfuscated)
R0 - HKLM\Software\Microsoft\Internet Explorer\Search,SearchAssistant = http://ie-search.com/srchasst.html (obfuscated)
R1 - HKCU\Software\Microsoft\Internet Explorer\SearchURL,(Default) = http://ie-search.com/home.html (obfuscated)
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Local Page = C:\WINDOWS\secure.html
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Local Page = C:\WINDOWS\secure.html
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Länkar
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,SearchAssistant = http://ie-search.com/srchasst.html (obfuscated)
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,SearchAssistant = http://ie-search.com/srchasst.html (obfuscated)
R1 - HKLM\Software\Microsoft\Internet Explorer\Search,(Default) = http://ie-search.com/srchasst.html (obfuscated)
O1 - Hosts: 206.161.200.105 sitefinder-idn.verisign.com
O2 - BHO: (no name) - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Program\Adobe\Acrobat 5.0\Reader\ActiveX\AcroIEHelper.ocx
O2 - BHO: NAV Helper - {BDF3E430-B101-42AD-A544-FADC6B084872} - C:\Program\Norton AntiVirus\NavShExt.dll
O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINDOWS\System32\msdxm.ocx
O3 - Toolbar: Norton AntiVirus - {42CDD1BF-3FFB-4238-8AD1-7859DF00B1D6} - C:\Program\Norton AntiVirus\NavShExt.dll
O4 - HKLM\..\Run: C:\Program\Norton Internet Security\IAMAPP.EXE
O4 - HKLM\..\Run: C:\Program\NORTON~1\navapw32.exe
O4 - HKLM\..\Run: C:\WINDOWS\system32\NeroCheck.exe
O4 - HKLM\..\Run: C:\Program\Real\RealPlayer\RealPlay.exe SYSTEMBOOTHIDEPLAYER
O4 - HKLM\..\Run: "C:\Program\D-Tools\daemon.exe" ; -lang 1033
O4 - HKLM\..\Run: "C:\Program\QuickTime\qttask.exe&qu ot; -atboottime
O4 - HKLM\..\Run: load shell.dll /c /set -- by windows setup --
O4 - HKLM\..\Run: C:\WINDOWS\reg32.exe
O4 - HKLM\..\Run: C:\WINDOWS\dl.exe
O4 - HKLM\..\Run: C:\WINDOWS\dlm.exe
O4 - HKLM\..\Run: C:\WINDOWS\consol32.exe
O4 - HKLM\..\Run: C:\Program\Love open funk\bolt amok.exe
O4 - HKLM\..\Run: C:\Program\Trojan Remover\Trjscan.exe
O4 - HKCU\..\Run: "C:\Program\Messenger\msmsgs.exe&qu ot; /background
O4 - HKCU\..\Run: C:\Program\ICQ\icq.exe -minimize
O8 - Extra context menu item: Web Search - c:\windows\ex.htm
O9 - Extra button: ICQ (HKLM)
O9 - Extra 'Tools' menuitem: ICQ (HKLM)
O16 - DPF: {166B1BCA-3F9C-11CF-8075-444553540000} (Shockwave ActiveX Control) - http://download.macromedia.com/pub/shock wave/cabs/director/sw.cab
O16 - DPF: {33564D57-0000-0010-8000-00AA00389B71} - http://download.microsoft.com/download/F /6/E/F6E491A6-77E1-4E20-9F5F-94901338C92 2/wmv9VCM.CAB
O16 - DPF: {41F17733-B041-4099-A042-B518BB6A408C} - http://a1540.g.akamai.net/7/1540/52/2002 1205/qtinstall.info.apple.com/borris/us/ win/QuickTimeInstaller.exe
O16 - DPF: {D27CDB6E-AE6D-11CF-96B8-444553540000} (Shockwave Flash Object) - http://download.macromedia.com/pub/shock wave/cabs/flash/swflash.cab
O16 - DPF: {E0B795B4-FD95-4ABD-A375-27962EFCE8CF} - http://install.serviceurl.de/StarInstall .ocx
O16 - DPF: {F54C1137-5E34-4B95-95A5-BA56D4D8D743} (Secure Delivery) - http://www.gamespot.com/KDX/kdx.cab

Forumssignatur...<br>

2004-03-28 18:51
Ett gammalt och idag oftast futilt trick är att leta efter hänvisningar till filen i registret.

En Google-sökning gav den här tråden:

computercops.biz

 

2004-03-28 19:49
Detta låter inte kul.. Det kan vara många orsaker och anledningar till problemet, och därav oxå många lösningar ;/
Jag vågar inte slå till med något, så jag postar den kända listan som kommer vara med i FAQ:en snart..
Spyware-borttagare:
Ad-Aware
HijackThis
Spybot-Search&Destroy

Online virusscanners:
Symantec
Trend Micro
Panda ActiveScan
McAfee Security
Individual File Scanner

Värt att köra några av dem?
Den narkotika som vi får in i Sverige kommer ju ofta från andra länder.
Laila Freiwalds

2004-03-29 18:19
tack för svaren får se om jag hittar en lösning..
har upptäckt ett annat problem nu också. Kan inte gå in på egenskaper för bildskärm. Inte ens genom kontroll panelen..

Jaja får väl se vad som händer annars blir det väl att formatera...
Forumssignatur...<br>