Är A0004005.exe virus?

nasarf · Oktober 1, 2008

*********************************************

2009-01-08:

Tråden är nu låst.

Tycker du att den är felaktigt låst, var god kontakta

Malou

*********************************************

Hej,

Har Microsoft XP med Service Pack 3 samt alla andra eventuella patchar från microsoft installerade.

Har råkat ut för detta fenomen tidigare att mitt virus program, i det här fallet, AVG FREE varnar att A0004005.exe är ett virus.

När jag valt att AVG FREE skall rensa bort viruset som "Power user" tar det ett par minuter, innan den varnar igen, men då har A0004005.exe bytt namn, till exempelvis A0004128.exe med tillhörande .DLL fil.

Jag har kört en rensning med CCleaner och dess senaste programvara.

Jag har kört en rensning med SpyBot Search & Destroy och dess senaste programvara.

Jag har kört en rensning med SUPERAntiSpywareFree Edition och dess senaste programvara.

Dom visar inget uppenbart onormalt.

HIJACK THIS visar ej heller det något uppenbart onormalt i aktivitetsväg på datorn.

Vad är det jag har råkat ut för nu igen? Mig veterligen har jag ingenting underligt installerat på datorn mer än det "vanliga".

Ge mig lite råd är ni snälla. Har googlat men finner inget bra svar.

MVH XPNA

Stim · Oktober 1, 2008

Låter som virus. kan du se vad filen har för sökväg ?

Oktober 1, 2008

Hej xpna!

I regel så brukar den här filen du upger vara en otrevlighet.

För att kunna hjälpa dig på bästa sätt och för att komma igång med att rensa rent från diverse otyg/otrevligheter så rekommenderar vi att du läser/följer nedanstående instruktioner mycket noga:

=> Instruktioner för Trend Micro HiJack This

MVH/Malou

nasarf · Oktober 1, 2008

Stim, skärmdump för sökväg.

Återkommer snarast malou ska följa instruktionerna.

xpna

Oktober 1, 2008

Hej xp

Ser att den berörda filen ligger i restoremappen. Inget ovanligt. Den mappen kan man rensa rent i dock ej på det sedvanliga sättet.

Men innan något sådant görs krävs det att systemet är rent och fint från allehanda otyg.

Du är välkommen

MVH/Malouna!

nasarf · Oktober 1, 2008

Har gjort enligt instruktioner för HiJackThis.

Här är logg.

Logfile of Trend Micro HijackThis v2.0.2

Scan saved at 20:04:34, on 2008-10-01

Platform: Windows XP SP3 (WinNT 5.01.2600)

MSIE: Internet Explorer v7.00 (7.00.6000.16705)

Boot mode: Normal

Running processes:

C:WINDOWSSystem32smss.exe

C:WINDOWSsystem32winlogon.exe

C:WINDOWSsystem32services.exe

C:WINDOWSsystem32lsass.exe

C:WINDOWSsystem32Ati2evxx.exe

C:WINDOWSsystem32svchost.exe

C:WINDOWSSystem32svchost.exe

C:WINDOWSsystem32Ati2evxx.exe

C:WINDOWSsystem32spoolsv.exe

C:ProgramANTIVI~1avgwdsvc.exe

C:ProgramDelade filerMicrosoft SharedVS7DEBUGmdm.exe

C:WINDOWSsystem32oodag.exe

C:ProgramANTIVI~1avgrsx.exe

C:ProgramANTIVI~1avgemc.exe

C:WINDOWSExplorer.EXE

C:WINDOWSRTHDCPL.EXE

C:ProgramANTIVI~1avgtray.exe

C:ProgramATI TechnologiesATI.ACECore-StaticMOM.EXE

C:ProgramMicrosoft OfficeOffice12GrooveMonitor.exe

C:ProgramWinampwinampa.exe

C:WINDOWSsystem32ctfmon.exe

C:ProgramATI TechnologiesATI.ACECore-Staticccc.exe

C:WINDOWSsystem32taskmgr.exe

C:ProgramDelade filerMicrosoft SharedWindows LiveWLLoginProxy.exe

C:WINDOWSsystem32svchost.exe

C:ProgramTrend MicroHijackThisrensare.exe.exe

R1 - HKLMSoftwareMicrosoftInternet ExplorerMain,Default_Page_URL = http://go.microsoft.com/fwlink/?LinkId=69157

R1 - HKLMSoftwareMicrosoftInternet ExplorerMain,Default_Search_URL = http://go.microsoft.com/fwlink/?LinkId=54896

R1 - HKLMSoftwareMicrosoftInternet ExplorerMain,Search Page = http://go.microsoft.com/fwlink/?LinkId=54896

R0 - HKLMSoftwareMicrosoftInternet ExplorerMain,Start Page = http://go.microsoft.com/fwlink/?LinkId=69157

R0 - HKCUSoftwareMicrosoftInternet ExplorerToolbar,LinksFolderName = Länkar

O2 - BHO: AcroIEHelperStub - {18DF081C-E8AD-4283-A596-FA578C2EBDC3} - C:ProgramDelade filerAdobeAcrobatActiveXAcroIEHelperShim.dll

O2 - BHO: WormRadar.com IESiteBlocker.NavFilter - {3CA2F312-6F6E-4B53-A66E-4E65E497C8C0} - C:Programantivirusavgssie.dll

O2 - BHO: Groove GFS Browser Helper - {72853161-30C5-4D22-B7F9-0BBC1D38A37E} - C:ProgramMicrosoft OfficeOffice12GrooveShellExtensions.dll

O2 - BHO: (no name) - {7E853D72-626A-48EC-A868-BA8D5E23E045} - (no file)

O2 - BHO: Windows Live inloggningshjälpen - {9030D464-4C02-4ABF-8ECC-5164760863C6} - C:ProgramDelade filerMicrosoft SharedWindows LiveWindowsLiveLogin.dll

O4 - HKLM..Run: [RTHDCPL] RTHDCPL.EXE

O4 - HKLM..Run: [Alcmtr] ALCMTR.EXE

O4 - HKLM..Run: [startCCC] C:ProgramATI TechnologiesATI.ACECore-StaticCLIStart.exe

O4 - HKLM..Run: [AVG8_TRAY] C:ProgramANTIVI~1avgtray.exe

O4 - HKLM..Run: [OODefragTray] C:WINDOWSsystem32oodtray.exe

O4 - HKLM..Run: [Adobe Reader Speed Launcher] "C:ProgramAdobeReader 9.0ReaderReader_sl.exe"

O4 - HKLM..Run: [GrooveMonitor] "C:ProgramMicrosoft OfficeOffice12GrooveMonitor.exe"

O4 - HKLM..Run: [WinampAgent] C:ProgramWinampwinampa.exe

O4 - HKCU..Run: [ctfmon.exe] C:WINDOWSsystem32ctfmon.exe

O4 - HKUSS-1-5-19..Run: [CTFMON.EXE] C:WINDOWSsystem32CTFMON.EXE (User 'LOKAL TJÄNST')

O4 - HKUSS-1-5-20..Run: [CTFMON.EXE] C:WINDOWSsystem32CTFMON.EXE (User 'NETWORK SERVICE')

O4 - HKUSS-1-5-18..Run: [CTFMON.EXE] C:WINDOWSsystem32CTFMON.EXE (User 'SYSTEM')

O4 - HKUS.DEFAULT..Run: [CTFMON.EXE] C:WINDOWSsystem32CTFMON.EXE (User 'Default user')

O8 - Extra context menu item: E&xportera till Microsoft Excel - res://C:ProgramMICROS~2Office12EXCEL.EXE/3000

O9 - Extra button: Skicka till OneNote - {2670000A-7350-4f3c-8081-5663EE0C6C49} - C:ProgramMICROS~2Office12ONBttnIE.dll

O9 - Extra 'Tools' menuitem: Ski&cka till OneNote - {2670000A-7350-4f3c-8081-5663EE0C6C49} - C:ProgramMICROS~2Office12ONBttnIE.dll

O9 - Extra button: Research - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - C:ProgramMICROS~2Office12REFIEBAR.DLL

O9 - Extra button: (no name) - {e2e2dd38-d088-4134-82b7-f2ba38496583} - C:WINDOWSNetwork Diagnosticxpnetdiag.exe

O9 - Extra 'Tools' menuitem: @xpsp3res.dll,-20001 - {e2e2dd38-d088-4134-82b7-f2ba38496583} - C:WINDOWSNetwork Diagnosticxpnetdiag.exe

O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:ProgramMessengermsmsgs.exe

O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:ProgramMessengermsmsgs.exe

O16 - DPF: {6414512B-B978-451D-A0D8-FCFDF33E833C} (WUWebControl Class) - http://update.microsoft.com/windowsupdate/...b?1222455737515

O18 - Protocol: grooveLocalGWS - {88FED34C-F0CA-4636-A375-3CB6248B04CD} - C:ProgramMicrosoft OfficeOffice12GrooveSystemServices.dll

O18 - Protocol: linkscanner - {F274614C-63F8-47D5-A4D1-FBDDE494F8D1} - C:Programantivirusavgpp.dll

O20 - AppInit_DLLs: avgrsstx.dll

O20 - Winlogon Notify: !SASWinLogon - C:ProgramSUPERAntiSpywareSASWINLO.dll

O23 - Service: Ati HotKey Poller - ATI Technologies Inc. - C:WINDOWSsystem32Ati2evxx.exe

O23 - Service: AVG8 E-mail Scanner (avg8emc) - AVG Technologies CZ, s.r.o. - C:ProgramANTIVI~1avgemc.exe

O23 - Service: AVG8 WatchDog (avg8wd) - AVG Technologies CZ, s.r.o. - C:ProgramANTIVI~1avgwdsvc.exe

O23 - Service: InstallDriver Table Manager (IDriverT) - Macrovision Corporation - C:ProgramDelade filerInstallShieldDriver11Intel 32IDriverT.exe

O23 - Service: O&O Defrag - O&O Software GmbH - C:WINDOWSsystem32oodag.exe

--

End of file - 5446 bytes

mvh xpna

Stim · Oktober 1, 2008

Du verkar ha en hel del skräp i burken, av bilden att dömma. Jag överlåter ärendet till Malou hon e bättre på det här med rensa osv.

Oktober 1, 2008

Hej xpna!

Nedanstående detalj kan med fördel bockas/fixas. Den kan vara en säkerhetsrisk då den autostartar och väldigt gärna vill tjattra med omvärden.

Om du behöver tillgång till den för eventuella uppdateringar så går det alldeles utmärkat att starta den manuellt istället.

http://www.bleepingcomputer.com/startups/ALCMTR.EXE-240.html

Öppna TM HJT => klicka på Do a system scan only-knappen => Bocka för nedanstående detaljer => Stäng ner Webbläsaren => klicka på Fix Checked-knappen:

O4 - HKLM..Run: [Alcmtr] ALCMTR.EXE

För övrigt ser din TM HJT-logga ren och fin ut.

Hur mår datorn för övrigt?

Finns där ytterligare varningar som ditt AVG flaggar upp för?

MVH/Malou

nasarf · Oktober 1, 2008

Tack för supporten.

Har följt instruktionerna nu.

Annars mår datorn fint, det andra den har varnat för är ett virus som den påstår att winamp har.

I förrgår installerade jag Winamp Free Edition från winamp.com och därefter började AVG varna mig om virus med namnet zlib.dll eller vad det nu var.

Har avinstallerat den nya winamp och installerat en gammal igen, tycks ha löst problemet.

xpna

Oktober 1, 2008

Hej xpna!

Härligt att höra att datorn mår bra!

det andra den har varnat för är ett virus som den påstår att winamp har.
I förrgår installerade jag Winamp Free Edition från winamp.com och därefter började AVG varna mig om virus med namnet zlib.dll eller vad det nu var.

Har avinstallerat den nya winamp och installerat en gammal igen, tycks ha löst problemet.

Ok.

Tänkte fråga dig om detta då jag precis som Stim uppmärksammade en del otyg i din skärmdump. Jag kan inte se till detta i din TM HJT-logga i vilket fall.

***********************************************************************************************************************************************************************************

För att inte riskera att återtälla datorn till någon/några tidigare tidpunkter då eventuella otrevligheter förekom (detta då med tanke på att där finns/fanns otyg i din restore-mapp) så läs gärna igenom nedanstående information samt instruktion för hur man går tillväga med att rensa rent i restore-mappen m.m.

OBS: Alla gamla återställningspunkter kommer att tas bort.

**********************************************************************************************************************************************************************************

Först lite information om => Så här Inaktiverar/Aktiverar du Systemåterställning:<=.

Då systemet är kemiskt rent från allehanda aktiva otrevligheter så skall/bör man även rensa rent från alla gamla återställningspunkter där otrevligheterna även kan ha lagt sig (som de oftast gör också).

C:System Volume Information_restore är stället där systemåterställningsfunktionen lagrar olika systemåterställningspunkter. Det betyder att medan din dator var infekterad så skapade Windows en systemåterställningspunkt. Så länge som otrevligheterna ligger i den mappen så är de ofarliga.

Däremot så om du återställer till en tidpunkt då datorn var infekterad så blir även otrevligheterna återställda.

Ang procedur Inaktivera och Aktivera Systemåterställning:

Detta är för att inte riskera att återtälla till någon/några tidigare tidpunkter där otrevligheterna förekom.

Då man gör den proceduren

Steg ett:

Så här inaktiverar/stänger du Systemåterställning: Samt startar om datorn.

Med det steget så rensas alla gamla återställningspunker bort.

Steg två:

Aktiverar Systemåterställning igen:

Med det här steget så skapas där en ny återställningspunkt automatiskt som är ny/ren/fräsch.

Vidare:

Kopierat/Citerat från Windows Hjälp & support:

Systemåterställning övervakar ändringar i systemet och vissa programfiler samt skapar automatiskt återställningspunkter som är lätta att identifiera.

Med dessa återställningspunkter har du möjlighet att återställa systemet till en tidigare tidpunkt. De skapas dagligen samt när viktiga systemhändelser sker (t.ex. vid installation av ett program eller en drivrutin). Du kan även skapa och namnge dina egna återställningspunkter när som helst.

*************************************************************************************************

Skriv ut nedanstående eller kopiera det till något textdokument och spara det till skrivbordet:

Läs/Följ instruktionerna mycket noga:

För att kunna rensa rent i Restoremappen på diverse otyg/otrevligheter bör man gå tillväga enligt nedanstående instruktioner.

Gäller för Win XP

Så här inaktiverar/stänger du Systemåterställning:

1. Klicka på Start, högerklicka på Den här datorn och klicka på Egenskaper.

2. Klicka på fliken Systemåterställning.

3. Markera kryssrutan Inaktivera Systemåterställning eller Inaktivera Systemåterställning på alla enheter och klicka på OK.

4. Klicka på Ja när du tillfrågas om du vill inaktivera Systemåterställning.

=> Starta Om datorn:

Aktiverar Systemåterställning igen:

1. Klicka på Start, högerklicka på Den här datorn och klicka på Egenskaper.

2. Klicka på fliken Systemåterställning.

3. Avmarkera kryssrutan Inaktivera Systemåterställning eller Inaktivera Systemåterställning på alla enheter och klicka på OK.

Gör nu gärna en ny TM HJT-logga kopiera in den hit så vi får se att allt är rent och fint.

MVH/Malou

nasarf · Oktober 2, 2008

Hej,

Efter jobbet idag hade jag ännu en varning av AVG att filen finns i system restore mappen, har utfört alla instruktioner till punkt och pricka.

Här är nya loggen.

Logfile of Trend Micro HijackThis v2.0.2

Scan saved at 19:45:57, on 2008-10-02

Platform: Windows XP SP3 (WinNT 5.01.2600)

MSIE: Internet Explorer v7.00 (7.00.6000.16705)

Boot mode: Normal

Running processes:

C:WINDOWSSystem32smss.exe

C:WINDOWSsystem32winlogon.exe

C:WINDOWSsystem32services.exe

C:WINDOWSsystem32lsass.exe

C:WINDOWSsystem32Ati2evxx.exe

C:WINDOWSsystem32svchost.exe

C:WINDOWSSystem32svchost.exe

C:WINDOWSsystem32Ati2evxx.exe

C:WINDOWSsystem32spoolsv.exe

C:ProgramAVGAVG8avgwdsvc.exe

C:ProgramDelade filerMicrosoft SharedVS7DEBUGmdm.exe

C:WINDOWSsystem32oodag.exe

C:ProgramAVGAVG8avgrsx.exe

C:WINDOWSExplorer.EXE

C:WINDOWSRTHDCPL.EXE

C:ProgramMicrosoft OfficeOffice12GrooveMonitor.exe

C:ProgramWinampwinampa.exe

C:ProgramAVGAVG8avgtray.exe

C:ProgramATI TechnologiesATI.ACECore-StaticMOM.EXE

C:WINDOWSsystem32ctfmon.exe

C:ProgramATI TechnologiesATI.ACECore-Staticccc.exe

C:WINDOWSsystem32taskmgr.exe

C:ProgramOO SoftwareDefrag Professionaloodcnt.exe

C:ProgramWindows LiveMessengermsnmsgr.exe

C:Programmircmirc.exe

C:ProgramInternet Exploreriexplore.exe

C:ProgramDelade filerMicrosoft SharedWindows LiveWLLoginProxy.exe

C:ProgramMicrosoft OfficeOffice12OUTLOOK.EXE

C:ProgramAVGAVG8avgui.exe

C:ProgramTrend MicroHijackThisrensare.exe.exe

R1 - HKLMSoftwareMicrosoftInternet ExplorerMain,Default_Page_URL = http://go.microsoft.com/fwlink/?LinkId=69157

R1 - HKLMSoftwareMicrosoftInternet ExplorerMain,Default_Search_URL = http://go.microsoft.com/fwlink/?LinkId=54896

R1 - HKLMSoftwareMicrosoftInternet ExplorerMain,Search Page = http://go.microsoft.com/fwlink/?LinkId=54896

R0 - HKLMSoftwareMicrosoftInternet ExplorerMain,Start Page = http://go.microsoft.com/fwlink/?LinkId=69157

R0 - HKCUSoftwareMicrosoftInternet ExplorerToolbar,LinksFolderName = Länkar

O2 - BHO: AcroIEHelperStub - {18DF081C-E8AD-4283-A596-FA578C2EBDC3} - C:ProgramDelade filerAdobeAcrobatActiveXAcroIEHelperShim.dll

O2 - BHO: WormRadar.com IESiteBlocker.NavFilter - {3CA2F312-6F6E-4B53-A66E-4E65E497C8C0} - C:ProgramAVGAVG8avgssie.dll

O2 - BHO: Groove GFS Browser Helper - {72853161-30C5-4D22-B7F9-0BBC1D38A37E} - C:ProgramMicrosoft OfficeOffice12GrooveShellExtensions.dll

O2 - BHO: (no name) - {7E853D72-626A-48EC-A868-BA8D5E23E045} - (no file)

O2 - BHO: Windows Live inloggningshjälpen - {9030D464-4C02-4ABF-8ECC-5164760863C6} - C:ProgramDelade filerMicrosoft SharedWindows LiveWindowsLiveLogin.dll

O4 - HKLM..Run: [RTHDCPL] RTHDCPL.EXE

O4 - HKLM..Run: [startCCC] C:ProgramATI TechnologiesATI.ACECore-StaticCLIStart.exe

O4 - HKLM..Run: [OODefragTray] C:WINDOWSsystem32oodtray.exe

O4 - HKLM..Run: [Adobe Reader Speed Launcher] "C:ProgramAdobeReader 9.0ReaderReader_sl.exe"

O4 - HKLM..Run: [GrooveMonitor] "C:ProgramMicrosoft OfficeOffice12GrooveMonitor.exe"

O4 - HKLM..Run: [WinampAgent] C:ProgramWinampwinampa.exe

O4 - HKLM..Run: [AVG8_TRAY] C:ProgramAVGAVG8avgtray.exe