Win32/olmarik trojan

Sandraaa · December 16, 2009

Har försökt med diverse program att få bort det men får bara upp "unable to clean"..? min dator började beteé sig konstigt igen.. hade en tråd om det tidigare (flera månader sedan) då datorn startar om automatiskt av sig och att jag fick upp diverse felmeddelanden om dll problem, flash10 osv i explorer.. samma sak händer igen.. och jag vet inte vad felet nu är.. körde NOd eller vad det heter programet och hitta 6 virus men en kundes inte tas bort... så hur får man bort detta??

Kan detta vara skurken tro att min dator har blivit helt knäpp igen?? har provat med firefox men den kraschar också.. har avinstallerat flash och laddat hem det igen utan resultat..

Cecilia · December 16, 2009

Vilka program har du använt så jag inte tipsar om samma program du redan använt?

Sandraaa · December 16, 2009

Vilka program har du använt så jag inte tipsar om samma program du redan använt?

Nod32 , malwarebytes, panda..... dock är det bara NOd som fick upp olmarik trojanen..

Cecilia · December 16, 2009

Har du någon logg från Nod32 så att jag kan se vilka filer och mappar som är inblandade?

Malwarebytes Anti-Malware (MBAM) brukar kunna åtgärda olmarik. Är du säker på att MBAM var uppdaterad?

Sandraaa · December 16, 2009

Har försökt med diverse program att få bort det men får bara upp "unable to clean"..? min dator började beteé sig konstigt igen.. hade en tråd om det tidigare (flera månader sedan) då datorn startar om automatiskt av sig och att jag fick upp diverse felmeddelanden om dll problem, flash10 osv i explorer.. samma sak händer igen.. och jag vet inte vad felet nu är.. körde NOd eller vad det heter programet och hitta 6 virus men en kundes inte tas bort... så hur får man bort detta??

Kan detta vara skurken tro att min dator har blivit helt knäpp igen?? har provat med firefox men den kraschar också.. har avinstallerat flash och laddat hem det igen utan resultat..

jag körde en sådan "hijackthis" och fick upp det här.. kanske nån även kan tyda om nått är fel??? Jag har verkligen noll koll på datorer... vore supersnällt om nån kunnigt kan kika på det...

Logfile of Trend Micro HijackThis v2.0.2

Scan saved at 19:05:01, on 2009-12-16

Platform: Windows XP SP3 (WinNT 5.01.2600)

MSIE: Internet Explorer v8.00 (8.00.6001.18702)

Boot mode: Normal

Running processes:

C:\WINDOWS\System32\smss.exe

C:\WINDOWS\system32\winlogon.exe

C:\WINDOWS\system32\services.exe

C:\WINDOWS\system32\lsass.exe

C:\WINDOWS\system32\svchost.exe

C:\WINDOWS\system32\spoolsv.exe

C:\Program\MySpace\IM\MySpaceIM.exe

C:\WINDOWS\system32\ctfmon.exe

C:\Program\Bonjour\mDNSResponder.exe

C:\Program\Java\jre6\bin\jqs.exe

C:\WINDOWS\system32\tcpsvcs.exe

C:\WINDOWS\system32\slserv.exe

C:\WINDOWS\System32\snmp.exe

C:\WINDOWS\system32\svchost.exe

C:\WINDOWS\system32\UAService7.exe

C:\WINDOWS\system32\MsPMSPSv.exe

C:\WINDOWS\System32\svchost.exe

C:\Program\Internet Explorer\iexplore.exe

C:\WINDOWS\explorer.exe

C:\Program\Internet Explorer\iexplore.exe

C:\Documents and Settings\Riitta\Skrivbord\HJTInstall.exe

C:\Program\Trend Micro\HijackThis\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.google.se/

R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://go.microsoft.com/fwlink/?LinkId=69157

R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://go.microsoft.com/fwlink/?LinkId=54896

R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = http://go.microsoft.com/fwlink/?LinkId=54896

R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = http://go.microsoft.com/fwlink/?LinkId=69157

R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Länkar

O1 - Hosts: ::1 localhost

O1 - Hosts: 91.212.127.226 osguard-pro.microsoft.com

O1 - Hosts: 91.212.127.226 osguard-pro.com

O1 - Hosts: 91.212.127.226 www.osguard-pro.com

O2 - BHO: (no name) - autorunsdisabled - (no file)

O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Program\Adobe\Acrobat 6.0\Reader\ActiveX\AcroIEHelper.dll

O2 - BHO: JQSIEStartDetectorImpl - {e7e6f031-17ce-4c07-bc86-eabfe594f69c} - C:\Program\Java\jre6\lib\deploy\jqs\ie\jqs_plugin.dll

O3 - Toolbar: (no name) - {CCC7A320-B3CA-4199-B1A6-9F516DD69829} - (no file)

O4 - HKCU\..\Run: [MySpaceIM] C:\Program\MySpace\IM\MySpaceIM.exe

O4 - HKCU\..\Run: [ctfmon.exe] C:\WINDOWS\system32\ctfmon.exe

O4 - HKUS\S-1-5-18\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'SYSTEM')

O4 - HKUS\S-1-5-18\..\Run: [msnmsgr] "C:\Program\Windows Live\Messenger\msnmsgr.exe" /background (User 'SYSTEM')

O4 - HKUS\S-1-5-18\..\Run: [MySpaceIM] C:\Program\MySpace\IM\MySpaceIM.exe (User 'SYSTEM')

O4 - HKUS\.DEFAULT\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'Default user')

O8 - Extra context menu item: download all links using bitcomet - res://C:\Program\BitComet\BitComet.exe/AddAllLink.htm

O8 - Extra context menu item: download all videos using bitcomet - res://C:\Program\BitComet\BitComet.exe/AddVideo.htm

O8 - Extra context menu item: download link using &bitcomet - res://C:\Program\BitComet\BitComet.exe/AddLink.htm

O9 - Extra button: Referensinformation - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - C:\Program\MICROS~2\OFFICE11\REFIEBAR.DLL

O9 - Extra button: (no name) - {dfb852a3-47f8-48c4-a200-58cab36fd2a2} - C:\WINDOWS\system32\shdocvw.dll

O9 - Extra 'Tools' menuitem: Spybot - Search && Destroy Configuration - {dfb852a3-47f8-48c4-a200-58cab36fd2a2} - C:\WINDOWS\system32\shdocvw.dll

O9 - Extra button: (no name) - {e2e2dd38-d088-4134-82b7-f2ba38496583} - C:\WINDOWS\Network Diagnostic\xpnetdiag.exe

O9 - Extra 'Tools' menuitem: @xpsp3res.dll,-20001 - {e2e2dd38-d088-4134-82b7-f2ba38496583} - C:\WINDOWS\Network Diagnostic\xpnetdiag.exe

O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program\Messenger\msmsgs.exe

O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program\Messenger\msmsgs.exe

O14 - IERESET.INF: START_PAGE_URL=http://www.spray.se/gratisinternet

O16 - DPF: {076169AA-8C3D-4CFC-AC23-3ACA88FC21B5} (F-Secure Online Scanner Launcher) - http://download.sp.f-secure.com/ols/f-secure-rtm/resources/fslauncher.cab

O16 - DPF: {6E32070A-766D-4EE6-879C-DC1FA91D2FC3} (MUWebControl Class) - http://www.update.microsoft.com/microsoftupdate/v6/V5Controls/en/x86/client/muweb_site.cab?1253644804093

O16 - DPF: {9191f686-7f0a-441d-8a98-2fe3ac1bd913} (ActiveScan 2.0 Installer Class) - http://acs.pandasoftware.com/activescan/cabs/as2stubie.cab

O16 - DPF: {D27CDB6E-AE6D-11CF-96B8-444553540000} (Shockwave Flash Object) - http://fpdownload2.macromedia.com/get/shockwave/cabs/flash/swflash.cab

O16 - DPF: {E2883E8F-472F-4FB0-9522-AC9BF37916A7} - http://platformdl.adobe.com/NOS/getPlusPlus/1.6/gp.cab

O17 - HKLM\System\CCS\Services\Tcpip\..\{8890154B-6FB1-4AC2-ACED-383534D5EC3A}: NameServer = 84.246.88.10,84.246.88.20

O20 - Winlogon Notify: autorunsdisabled - C:\WINDOWS\

O23 - Service: Adobe LM Service - Adobe Systems - C:\Program\Delade filer\Adobe Systems Shared\Service\Adobelmsvc.exe

O23 - Service: Background Intelligent Transfer Service (BITS) - Unknown owner - C:\WINDOWS\

O23 - Service: Bonjour-tjänst (Bonjour Service) - Apple Inc. - C:\Program\Bonjour\mDNSResponder.exe

O23 - Service: COMODO Internet Security Helper Service (cmdAgent) - Unknown owner - C:\Program\COMODO\COMODO Internet Security\cmdagent.exe (file missing)

O23 - Service: InstallDriver Table Manager (IDriverT) - Macrovision Corporation - C:\Program\Delade filer\InstallShield\Driver\11\Intel 32\IDriverT.exe

O23 - Service: iPodService - Apple Computer, Inc. - C:\Program\iPod\bin\iPodService.exe

O23 - Service: Java Quick Starter (JavaQuickStarterService) - Sun Microsystems, Inc. - C:\Program\Java\jre6\bin\jqs.exe

O23 - Service: SmartLinkService (SLService) - - C:\WINDOWS\SYSTEM32\slserv.exe

O23 - Service: SecuROM User Access Service (V7) (UserAccess7) - Sony DADC Austria AG. - C:\WINDOWS\system32\UAService7.exe

O23 - Service: Automatiska uppdateringar (wuauserv) - Unknown owner - C:\WINDOWS\

O24 - Desktop Component autorunsdisabled: (no name) - (no file)

--

End of file - 6290 bytes

PCGuiden · December 16, 2009

Kan väl inte vara så klokt att ha två virusprogram Nod 32 och Panda samtidigt... då kan det hända att den ena tycker att det andra är ett virus

Sandraaa · December 16, 2009

Har du någon logg från Nod32 så att jag kan se vilka filer och mappar som är inblandade?

Malwarebytes Anti-Malware (MBAM) brukar kunna åtgärda olmarik. Är du säker på att MBAM var uppdaterad?

Jag har avinstallerat nod och alla "virus scan" program som går att ta bort eftersom jag tänkte att det kanske skulle hjälpa att ta bort allt nytt som jag laddat hem under senaste veckorna.. men problemen kvarstår.. har rensat bort allt skräp osv.. så nej har inte loggfilen kvar.. i annat fall kan jag ju ladda hem det igen och kör en scan ännu engång och se om det är kvar.. malware programet går inte att avinstallera.. hela datorn hänger sig.. och det går heller inte att använda.. (vet inte vad som är felet) hela datorn beteér sig mycker märkligt.. kan inte ens komma in på sparade word dockument osv..

Ibland dock kan datorn sköta sig helt okej utan felmeddelanden osv.. men andra ggr så startar den om sig ,felmeddelanden med flash10, dll osv osv flera ggr i timmen..

Sandraaa · December 16, 2009

Kan väl inte vara så klokt att ha två virusprogram Nod 32 och Panda samtidigt... då kan det hända att den ena tycker att det andra är ett virus

men jag trodde jag hade avinstallerat alla virusprogram?? hur får man bort dessa då för dom finns inte under lägg till/ta bort program??

Cecilia · December 16, 2009

Hmm, du ser ju inte ut att ha något antivirusprogram installerat. Det är ju inte så bra.

Ladda ner och kör WUS_Fix.exe http://users.telenet.be/marcvn/tools/WUS_Fix.exe

Har du själv ställt in dessa och i så fall varför?

O1 - Hosts: 91.212.127.226 osguard-pro.microsoft.com

O1 - Hosts: 91.212.127.226 osguard-pro.com

O1 - Hosts: 91.212.127.226 www.osguard-pro.com

Cecilia · December 16, 2009

Oj, vad vi pratar i mun på varandra

Sandraaa · December 16, 2009

Hmm, du ser ju inte ut att ha något antivirusprogram installerat. Det är ju inte så bra.

Ladda ner och kör WUS_Fix.exe http://users.telenet.be/marcvn/tools/WUS_Fix.exe

Har du själv ställt in dessa och i så fall varför?

O1 - Hosts: 91.212.127.226 osguard-pro.microsoft.com

O1 - Hosts: 91.212.127.226 osguard-pro.com

O1 - Hosts: 91.212.127.226 www.osguard-pro.com

Ingen aning vad detta är... har bara haft datorn i 1 år.. tidigare ägare vet jag inte alls vad han installerade ..

vad är det för program jag ska ladda ner? vad gör den för nytta och så?

Sandraaa · December 16, 2009

körde det där WUS-fix men det kom bara upp nån svart ruta med massa text i ungefär 1 sekund sen försvann den.. ??

Cecilia · December 16, 2009

Får se i en ny HijackThis-logg om WUS-fix gjorde det den skulle.

Tillägg:

O1-raderna jag frågade om fanns inte när du klistrade in HijackThis-loggen i oktober.

Redigerad December 16, 2009 av Cecilia

Sandraaa · December 16, 2009

Får se i en ny HijackThis-logg om WUS-fix gjorde det den skulle.

Tillägg:

O1-raderna jag frågade om fanns inte när du klistrade in HijackThis-loggen i oktober.

Logfile of Trend Micro HijackThis v2.0.2

Scan saved at 20:46:33, on 2009-12-16

Platform: Windows XP SP3 (WinNT 5.01.2600)

MSIE: Internet Explorer v8.00 (8.00.6001.18702)

Boot mode: Normal

Running processes:

C:\WINDOWS\System32\smss.exe

C:\WINDOWS\system32\winlogon.exe

C:\WINDOWS\system32\services.exe

C:\WINDOWS\system32\lsass.exe

C:\WINDOWS\system32\svchost.exe

C:\WINDOWS\system32\spoolsv.exe

C:\WINDOWS\Explorer.EXE

C:\Program\MySpace\IM\MySpaceIM.exe

C:\WINDOWS\system32\ctfmon.exe

C:\Program\Bonjour\mDNSResponder.exe

C:\Program\Java\jre6\bin\jqs.exe

C:\WINDOWS\system32\tcpsvcs.exe

C:\WINDOWS\system32\slserv.exe

C:\WINDOWS\System32\snmp.exe

C:\WINDOWS\system32\svchost.exe

C:\WINDOWS\system32\UAService7.exe

C:\WINDOWS\system32\MsPMSPSv.exe

C:\WINDOWS\System32\svchost.exe

C:\Program\Internet Explorer\IEXPLORE.EXE