Backdoor.Win32.Agent.afqs

Annan · Maj 3, 2009

*********************************************

2009-06-06:

Tråden är låst då problemet är löst.

Tycker du att den är felaktigt låst, var god kontakta

Malou

*********************************************

Hej!

För ett tag sedan så kom ett fönster upp där det stod

C\windows\system32\wbem\wmirvse.exe

Angrepp: Backdoor.Win32.Agent.afqs

Åtgärd misslyckades

Innebär det att virusprogrammet inte lyckades ta bort trojanen eller vad det nu är?

Det är något konstigt med datorn.

Den startar varje gång med ett svart fönster som påminner om felsäkert läge.

Den är långsam och har väldigt lite kraft.

Men virusprogrammet hittar inget.

Kan viruset/trojanen vara kvar?

Mvh Annan

Logfile of Trend Micro HijackThis v2.0.2

Scan saved at 10:00:50, on 2009-05-03

Platform: Windows XP SP3 (WinNT 5.01.2600)

MSIE: Internet Explorer v7.00 (7.00.6000.16827)

Boot mode: Normal

Running processes:

C:\WINDOWS\System32\smss.exe

C:\WINDOWS\system32\winlogon.exe

C:\WINDOWS\system32\services.exe

C:\WINDOWS\system32\lsass.exe

C:\WINDOWS\system32\svchost.exe

C:\WINDOWS\System32\svchost.exe

C:\WINDOWS\system32\svchost.exe

C:\WINDOWS\system32\spoolsv.exe

C:\Program\Delade filer\Apple\Mobile Device Support\bin\AppleMobileDeviceService.exe

C:\Program\Bonjour\mDNSResponder.exe

C:\WINDOWS\system32\CTsvcCDA.exe

C:\Program\Glocalnet Sakerhetspaket\Anti-Virus\fsgk32st.exe

C:\Program\Glocalnet Sakerhetspaket\Common\FSMA32.EXE

C:\Program\Glocalnet Sakerhetspaket\Anti-Virus\FSGK32.EXE

C:\Program\Java\jre6\bin\jqs.exe

C:\Program\Microsoft SQL Server\MSSQL$PINNACLESYS\Binn\sqlservr.exe

C:\Program\Glocalnet Sakerhetspaket\Common\FSMB32.EXE

C:\Program\Glocalnet Sakerhetspaket\Common\FCH32.EXE

C:\WINDOWS\system32\nvsvc32.exe

C:\Program\SMART Technologies\SMART Board Drivers\SMARTBoardService.exe

C:\WINDOWS\system32\svchost.exe

C:\WINDOWS\system32\MsPMSPSv.exe

C:\Program\Glocalnet Sakerhetspaket\Anti-Virus\fsqh.exe

C:\Program\Glocalnet Sakerhetspaket\Common\FAMEH32.EXE

c:\program\pinnacle\shared files\programs\mediaserver\pmshost.exe

C:\Program\Glocalnet Sakerhetspaket\Anti-Virus\fssm32.exe

C:\Program\Glocalnet Sakerhetspaket\FSAUA\program\fsaua.exe

C:\Program\Glocalnet Sakerhetspaket\FWES\Program\fsdfwd.exe

C:\Program\Glocalnet Sakerhetspaket\FSAUA\program\fsus.exe

C:\Program\iPod\bin\iPodService.exe

C:\Program\Glocalnet Sakerhetspaket\Anti-Virus\fsav32.exe

C:\WINDOWS\Explorer.EXE

C:\WINDOWS\system32\ezSP_Px.exe

C:\Program\Glocalnet Sakerhetspaket\Common\FSM32.EXE

C:\Program\QuickTime\QTTask.exe

C:\Program\Delade filer\Real\Update_OB\realsched.exe

C:\Program\Adobe\Photoshop Album Starter Edition\3.2\Apps\apdproxy.exe

C:\Program\iTunes\iTunesHelper.exe

C:\Program\Glocalnet Sakerhetspaket\FSGUI\fsguidll.exe

C:\WINDOWS\system32\ctfmon.exe

C:\Program\Google\GoogleToolbarNotifier\GoogleToolbarNotifier.exe

C:\Program\internet explorer\iexplore.exe

C:\Program\Trend Micro\HijackThis\Rensare.exe.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.google.se/

R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://go.microsoft.com/fwlink/?LinkId=69157

R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://go.microsoft.com/fwlink/?LinkId=54896

R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = http://go.microsoft.com/fwlink/?LinkId=54896

R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = http://go.microsoft.com/fwlink/?LinkId=69157

R1 - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings,ProxyOverride = *.local

R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Länkar

O2 - BHO: Länkhjälp till Adobe PDF Reader - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Program\Delade filer\Adobe\Acrobat\ActiveX\AcroIEHelper.dll

O2 - BHO: RealPlayer Download and Record Plugin for Internet Explorer - {3049C3E9-B461-4BC5-8870-4C09146192CA} - D:\Mina dokument\downloads\rpbrowserrecordplugin.dll

O2 - BHO: (no name) - {53707962-6F74-2D53-2644-206D7942484F} - C:\Program\SPYBOT~1\SDHelper.dll

O2 - BHO: SMART Notebook Download Plugin - {67BCF957-85FC-4036-8DC4-D4D80E00A77B} - C:\Program\SMART Technologies\Notebook Software\NotebookPlugin.dll

O2 - BHO: Java Plug-In SSV Helper - {761497BB-D6F0-462C-B6EB-D4DAF1D92D43} - C:\Program\Java\jre6\bin\ssv.dll

O2 - BHO: Google Toolbar Helper - {AA58ED58-01DD-4d91-8333-CF10577473F7} - C:\Program\Google\Google Toolbar\GoogleToolbar.dll

O2 - BHO: Google Toolbar Notifier BHO - {AF69DE43-7D58-4638-B6FA-CE66B5AD205D} - C:\Program\Google\GoogleToolbarNotifier\5.1.1309.3572\swg.dll

O2 - BHO: Google Dictionary Compression sdch - {C84D72FE-E17D-4195-BB24-76C02E2E7C4E} - C:\Program\Google\Google Toolbar\Component\fastsearch_A8904FB862BD9564.dll

O2 - BHO: Java Plug-In 2 SSV Helper - {DBC80044-A445-435b-BC74-9C25C1C588A9} - C:\Program\Java\jre6\bin\jp2ssv.dll

O2 - BHO: JQSIEStartDetectorImpl - {E7E6F031-17CE-4C07-BC86-EABFE594F69C} - C:\Program\Java\jre6\lib\deploy\jqs\ie\jqs_plugin.dll

O3 - Toolbar: Google Toolbar - {2318C2B1-4965-11d4-9B18-009027A5CD4F} - C:\Program\Google\Google Toolbar\GoogleToolbar.dll

O4 - HKLM\..\Run: [PinnacleDriverCheck] C:\WINDOWS\system32\PSDrvCheck.exe -CheckReg

O4 - HKLM\..\Run: [PMCS] "C:\Program\Pinnacle\Shared Files\Programs\MediaCenterService\PMC.Service.Main.exe" -host -clearDebug

O4 - HKLM\..\Run: [ezShieldProtector for Px] C:\WINDOWS\system32\ezSP_Px.exe

O4 - HKLM\..\Run: [F-Secure Manager] "C:\Program\Glocalnet Sakerhetspaket\Common\FSM32.EXE" /splash

O4 - HKLM\..\Run: [F-Secure TNB] "C:\Program\Glocalnet Sakerhetspaket\FSGUI\TNBUtil.exe" /CHECKALL /WAITFORSW

O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\system32\NvCpl.dll,NvStartup

O4 - HKLM\..\Run: [QuickTime Task] "C:\Program\QuickTime\QTTask.exe" -atboottime

O4 - HKLM\..\Run: [TkBellExe] "C:\Program\Delade filer\Real\Update_OB\realsched.exe" -osboot

O4 - HKLM\..\Run: [Adobe Photo Downloader] "C:\Program\Adobe\Photoshop Album Starter Edition\3.2\Apps\apdproxy.exe"

O4 - HKLM\..\Run: [iTunesHelper] "C:\Program\iTunes\iTunesHelper.exe"

O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\ctfmon.exe

O4 - HKCU\..\Run: [swg] C:\Program\Google\GoogleToolbarNotifier\GoogleToolbarNotifier.exe

O4 - HKUS\S-1-5-18\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'SYSTEM')

O4 - HKUS\.DEFAULT\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'Default user')

O4 - Global Startup: SMART Board Tools.lnk = C:\Program\SMART Technologies\SMART Board Drivers\SMARTBoardTools.exe

O8 - Extra context menu item: E&xportera till Microsoft Excel - res://C:\Program\MICROS~2\OFFICE11\EXCEL.EXE/3000

O9 - Extra button: Referensinformation - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - C:\Program\MICROS~2\OFFICE11\REFIEBAR.DLL

O9 - Extra button: (no name) - {e2e2dd38-d088-4134-82b7-f2ba38496583} - C:\WINDOWS\Network Diagnostic\xpnetdiag.exe

O9 - Extra 'Tools' menuitem: @xpsp3res.dll,-20001 - {e2e2dd38-d088-4134-82b7-f2ba38496583} - C:\WINDOWS\Network Diagnostic\xpnetdiag.exe

O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program\Messenger\msmsgs.exe

O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program\Messenger\msmsgs.exe

O16 - DPF: {5D637FAD-E202-48D1-8F18-5B9C459BD1E3} (Image Uploader Control) - http://www.order.proprint.se/resources/fil...geUploader5.cab

O16 - DPF: {6E5E167B-1566-4316-B27F-0DDAB3484CF7} (Image Uploader Control) - http://www.order.proprint.se/resources/fil...geUploader4.cab

O16 - DPF: {A8F2B9BD-A6A0-486A-9744-18920D898429} (ScorchPlugin Class) - http://www.sibelius.com/download/software/...tiveXPlugin.cab

O16 - DPF: {D27CDB6E-AE6D-11CF-96B8-444553540000} (Shockwave Flash Object) - http://fpdownload2.macromedia.com/get/shoc...ash/swflash.cab

O16 - DPF: {F3D4C08D-3616-43F0-9E29-44C749B0664B} (pmjpegcam Class) - http://normannvik.viewnetcam.com/JpegInst.cab

O18 - Filter: x-sdch - {B1759355-3EEC-4C1E-B0F1-B719FE26E377} - C:\Program\Google\Google Toolbar\Component\fastsearch_A8904FB862BD9564.dll

O23 - Service: Apple Mobile Device - Apple Inc. - C:\Program\Delade filer\Apple\Mobile Device Support\bin\AppleMobileDeviceService.exe

O23 - Service: Ati HotKey Poller - Unknown owner - C:\WINDOWS\system32\Ati2evxx.exe (file missing)

O23 - Service: ATI Smart - Unknown owner - C:\WINDOWS\system32\ati2sgag.exe (file missing)

O23 - Service: ATK Keyboard Service (ATKKeyboardService) - ASUSTeK COMPUTER INC. - C:\WINDOWS\ATKKBService.exe

O23 - Service: Bonjour-tjänst (Bonjour Service) - Apple Inc. - C:\Program\Bonjour\mDNSResponder.exe

O23 - Service: Creative Service for CDROM Access - Creative Technology Ltd - C:\WINDOWS\system32\CTsvcCDA.exe

O23 - Service: CT Device Query service (CTDevice_Srv) - Unknown owner - C:\Program\Creative\Shared Files\CTDevSrv.exe (file missing)

O23 - Service: FSGKHS (F-Secure Gatekeeper Handler Starter) - F-Secure Corporation - C:\Program\Glocalnet Sakerhetspaket\Anti-Virus\fsgk32st.exe

O23 - Service: F-Secure Automatic Update Agent (FSAUA) - F-Secure Corporation - C:\Program\Glocalnet Sakerhetspaket\FSAUA\program\fsaua.exe

O23 - Service: F-Secure Anti-Virus Firewall Daemon (FSDFWD) - F-Secure Corporation - C:\Program\Glocalnet Sakerhetspaket\FWES\Program\fsdfwd.exe

O23 - Service: FSMA - F-Secure Corporation - C:\Program\Glocalnet Sakerhetspaket\Common\FSMA32.EXE

O23 - Service: Google Software Updater (gusvc) - Google - C:\Program\Google\Common\Google Updater\GoogleUpdaterService.exe

O23 - Service: InstallDriver Table Manager (IDriverT) - Macrovision Corporation - C:\Program\Delade filer\InstallShield\Driver\11\Intel 32\IDriverT.exe

O23 - Service: iPod Service - Apple Inc. - C:\Program\iPod\bin\iPodService.exe

O23 - Service: Java Quick Starter (JavaQuickStarterService) - Sun Microsystems, Inc. - C:\Program\Java\jre6\bin\jqs.exe

O23 - Service: NVIDIA Display Driver Service (NVSvc) - NVIDIA Corporation - C:\WINDOWS\system32\nvsvc32.exe

O23 - Service: PACSPTISVR - Sony Corporation - C:\Program\Delade filer\Sony Shared\AVLib\PACSPTISVR.exe

O23 - Service: Pinnacle Systems Media Service (PinnacleSys.MediaServer) - Pinnacle Systems - c:\program\pinnacle\shared files\programs\mediaserver\pmshost.exe

O23 - Service: SMART Board-tjänsten (SMART Board Service) - SMART Technologies - C:\Program\SMART Technologies\SMART Board Drivers\SMARTBoardService.exe

O23 - Service: SMART SNMP Agent Service - SMART Technologies ULC - C:\Program\SMART Technologies\SMART Board Drivers\SMARTSNMPAgent.exe

O23 - Service: SMART Webbserver (SMART Web Server) - Unknown owner - C:\Program\SMART Technologies\SMART Board Drivers\WebServer.exe

O23 - Service: Sony SPTI Service (SPTISRV) - Sony Corporation - C:\Program\Delade filer\Sony Shared\AVLib\SPTISRV.exe

--

End of file - 10186 bytes

Malwarebytes' Anti-Malware 1.34

Databasversion: 1865

Windows 5.1.2600 Service Pack 3

2009-05-03 10:45:55

mbam-log-2009-05-03 (10-45-55).txt

Skanningstyp: Snabb skanning

Antal skannade objekt: 83534

Förfluten tid: 14 minute(s), 41 second(s)

Infekterade minnesprocesser: 0

Infekterade minnesmoduler: 0

Infekterade registernycklar: 0

Infekterade registervärden: 0

Infekterade registerdataposter: 0

Infekterade mappar: 0

Infekterade filer: 0

Infekterade minnesprocesser:

(Inga illasinnade poster hittades)

Infekterade minnesmoduler:

(Inga illasinnade poster hittades)

Infekterade registernycklar:

(Inga illasinnade poster hittades)

Infekterade registervärden:

(Inga illasinnade poster hittades)

Infekterade registerdataposter:

(Inga illasinnade poster hittades)

Infekterade mappar:

(Inga illasinnade poster hittades)

Infekterade filer:

(Inga illasinnade poster hittades)

MrO · Maj 3, 2009

Hej! Uppdatera Malwarebytes och se om den hittar nåt då när du gör en ny scan för du har en gammal programversion och en jättegammal databasversion!(Aktuell program version är 1.36 och databasversion 2069)

Annars så syns inget otrevligt i din Hijackthis logga!Angående segheten så vet jag inte om det är så att du har en gammal programversion av ditt säkerhetspaket och det skulle bli bättre om du uppgraderar till den senaste ( Dom gamla är kända för att ta mycket systemresurser)

http://www.glocalnet.se/spring/action/orde...ml?type=upgrade

Mvh MrO

Annan · Maj 3, 2009

Hej MrO!

Angående säkerhetspaketet så har jag varit i kontakt med dem, men de menar att den inte tar mer kraft än den "senaste" versionen.

Här senaste versionen...men den hittade inget heller.

Malwarebytes' Anti-Malware 1.36

Databasversion: 2069

Windows 5.1.2600 Service Pack 3

2009-05-03 13:09:24

mbam-log-2009-05-03 (13-09-24).txt

Skanningstyp: Snabb skanning

Antal skannade objekt: 102846

Förfluten tid: 7 minute(s), 56 second(s)

Infekterade minnesprocesser: 0

Infekterade minnesmoduler: 0

Infekterade registernycklar: 0

Infekterade registervärden: 0

Infekterade registerdataposter: 0

Infekterade mappar: 0

Infekterade filer: 0

Infekterade minnesprocesser:

(Inga illasinnade poster hittades)

Infekterade minnesmoduler:

(Inga illasinnade poster hittades)

Infekterade registernycklar:

(Inga illasinnade poster hittades)

Infekterade registervärden:

(Inga illasinnade poster hittades)

Infekterade registerdataposter:

(Inga illasinnade poster hittades)

Infekterade mappar:

(Inga illasinnade poster hittades)

Infekterade filer:

(Inga illasinnade poster hittades)

MrO · Maj 3, 2009

Hej Annan! Hmm det var konstigt att dom säger så för F-Secure 7 o 8 är kända för att sluka systemresurser!! Malwarebytes är fortfarande ren och fin vilket är bra!

Öppna TM HJT => klicka på Do a system scan only-knappen => Bocka för nedanstående detaljer => Stäng ner Webbläsaren => klicka på Fix Checked-knappen:

O4 - HKLM\..\Run: [QuickTime Task] "C:\Program\QuickTime\QTTask.exe" -atboottime

O4 - HKLM\..\Run: [TkBellExe] "C:\Program\Delade filer\Real\Update_OB\realsched.exe" -osboot

O4 - HKLM\..\Run: [Adobe Photo Downloader] "C:\Program\Adobe\Photoshop Album Starter Edition\3.2\Apps\apdproxy.exe"

Då du gjort ovanstående:

Gå till Start => Kör => Skriv sen i Kör fältet cleanmgr => Klicka Ok-knappen

Bocka i de här nedanstående och putsa bort dem. Kontrollera så att där inte finns bockar i övriga rutor om det finns så bocka bort dem.

Recycle Bin = Papperskorgen

Temporary Files = Temporära Filer

Temporary Internet Files = Temporära "Tillfälliga" Internetfiler

Starta sen om datorn och klistra in en ny logga från Hijackthis och tala om hur datorn uppför sig!

Mvh MrO

Annan · Maj 4, 2009

Hej!

Den är tyvärr fortfarande långsam, både när det gäller att öppna program och surfning.

1. Om det står "åtgärd misslyckades" (se ovan), innebär det att backdoor-grejen är kvar i datorn och att virusprogrammet inte lyckades ta bort den?

2. Hur vet man om datorn är seg för att jag behöver mer RAM-minne?

Eller måste jag rensa datorn och göra en ominstallation?

Logfile of Trend Micro HijackThis v2.0.2

Scan saved at 10:57:32, on 2009-05-04

Platform: Windows XP SP3 (WinNT 5.01.2600)

MSIE: Internet Explorer v7.00 (7.00.6000.16827)

Boot mode: Normal

Running processes:

C:\WINDOWS\System32\smss.exe

C:\WINDOWS\system32\winlogon.exe

C:\WINDOWS\system32\services.exe

C:\WINDOWS\system32\lsass.exe

C:\WINDOWS\system32\svchost.exe

C:\WINDOWS\System32\svchost.exe

C:\WINDOWS\system32\svchost.exe

C:\WINDOWS\system32\spoolsv.exe

C:\Program\Delade filer\Apple\Mobile Device Support\bin\AppleMobileDeviceService.exe

C:\Program\Bonjour\mDNSResponder.exe

C:\WINDOWS\system32\CTsvcCDA.exe

C:\Program\Glocalnet Sakerhetspaket\Anti-Virus\fsgk32st.exe

C:\Program\Glocalnet Sakerhetspaket\Common\FSMA32.EXE

C:\Program\Glocalnet Sakerhetspaket\Anti-Virus\FSGK32.EXE

C:\Program\Java\jre6\bin\jqs.exe

C:\Program\Microsoft SQL Server\MSSQL$PINNACLESYS\Binn\sqlservr.exe

C:\Program\Glocalnet Sakerhetspaket\Common\FSMB32.EXE

C:\Program\Glocalnet Sakerhetspaket\Common\FCH32.EXE

C:\WINDOWS\system32\nvsvc32.exe

C:\Program\SMART Technologies\SMART Board Drivers\SMARTBoardService.exe

C:\WINDOWS\system32\svchost.exe

C:\WINDOWS\system32\MsPMSPSv.exe

C:\Program\Glocalnet Sakerhetspaket\Anti-Virus\fsqh.exe

C:\Program\Glocalnet Sakerhetspaket\Common\FAMEH32.EXE

c:\program\pinnacle\shared files\programs\mediaserver\pmshost.exe

C:\Program\Glocalnet Sakerhetspaket\FSAUA\program\fsaua.exe

C:\Program\Glocalnet Sakerhetspaket\Anti-Virus\fssm32.exe

C:\Program\Glocalnet Sakerhetspaket\FWES\Program\fsdfwd.exe

C:\Program\Glocalnet Sakerhetspaket\FSAUA\program\fsus.exe

C:\Program\Glocalnet Sakerhetspaket\Anti-Virus\fsav32.exe

C:\WINDOWS\system32\wuauclt.exe

C:\WINDOWS\Explorer.EXE

C:\WINDOWS\system32\ezSP_Px.exe

C:\Program\Glocalnet Sakerhetspaket\Common\FSM32.EXE

C:\Program\iTunes\iTunesHelper.exe

C:\WINDOWS\system32\ctfmon.exe

C:\Program\Google\GoogleToolbarNotifier\GoogleToolbarNotifier.exe

C:\Program\Glocalnet Sakerhetspaket\FSGUI\fsguidll.exe

C:\Program\iPod\bin\iPodService.exe

C:\Program\Internet Explorer\iexplore.exe