windows säkerhets center

[anetteiem]

Jag får ett varningsmeddelande att windows säkerhets center inte är aktiverat och att min dator därför kan vara i fara. När jag klickar på säkerhets centret står det att det är inaktivt men när jag klickar på "aktivera" kommer det upp ett meddelande om att det inte går att starta tjänsten. Går jag däremot in och kollar på brandväggen, windows defender och windows uppdate ser allt ok ut. Precis innan detta hände hade jag AVG men fick in en trojans pådatorn. Jag bytte till Norton men trojanen dyker ändå upp varenda gång jag öppnar datorn.Vad ska jag göra?Är Norton rätt skydd för mig? Måste jag formatera om datorn för att få säkerhetscentret att funka och vara säker på att trojanen försvinner?

[Mats H]

Har du Malwarebytes Anti Malware installerat?

Om inte kanske du borde installera det och köra en snabbskanning.

Du hittar den här, www.malwarebytes.org/mbam.php

Ett textdokument dyker upp efter skanning, markera det och klistra in texten här i din tråd om det hittar ngt!

Kan kanske vara en början på att reda ut vad som hänt, eftersom du nämner en trojan i sammanhanget.

Mvh

Mats H

[Cecilia]

Om inte MBAM (Malwarebytes AntiMalware) hjälper så klistra in loggen från MBAM i ditt svar samt kör DDS. Spara DDS på Skrivbordet.

http://download.bleepingcomputer.com/sUBs/dds.scr

Starta programmet (i Vista högerklicka och Kör som administratör).

Tryck Yes/Ja om frågan om Optional Scan dyker upp.

I ditt svar klistrar du in loggen DSS.txt, men inte Attach.txt utan den sparar du på Skrivbordet utifall att jag behöver se den senare.

[anetteiem]

Här är resultatet från scanningen med Malwarebytes. Det säger mig ingenting...När datorn startade om var jag tvungen att tillåta den att starta malware, det var rätt va?Databasversion: 3491Windows 6.0.6002 Service Pack 2Internet Explorer 8.0.6001.188652010-01-04 15:55:21mbam-log-2010-01-04 (15-55-21).txtSkanningstyp: Fullständig skanning (C:\|E:\|)Antal skannade objekt: 259878Förfluten tid: 1 hour(s), 25 minute(s), 20 second(s)Infekterade minnesprocesser: 0Infekterade minnesmoduler: 0Infekterade registernycklar: 1Infekterade registervärden: 2Infekterade registerdataposter: 0Infekterade mappar: 1Infekterade filer: 1Infekterade minnesprocesser:(Inga illasinnade poster hittades)Infekterade minnesmoduler:(Inga illasinnade poster hittades)Infekterade registernycklar:HKEY_LOCAL_MACHINE\SOFTWARE\Malware Defense (Rogue.MalwareDefense) -> Quarantined and deleted successfully.Infekterade registervärden:HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\settdebugx.exe (Trojan.FakeAlert) -> Quarantined and deleted successfully.HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\desktop sms (Worm.P2P) -> Quarantined and deleted successfully.Infekterade registerdataposter:(Inga illasinnade poster hittades)Infekterade mappar:C:\Users\Anette\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\malware Defense (Rogue.MalwareDefense) -> Quarantined and deleted successfully.Infekterade filer:C:\Users\Anette\AppData\Local\Temp\H8SRT2dd6.tmp (Trojan.Downloader) -> Quarantined and deleted successfully.

[Cecilia]

Malware Defense igen

I Internet Explorer välj Internet-alternativ i Verktygsmenyn.

Välj fliken Anslutningar

Tryck på LAN-inställningar

Ta bort bocken före "Använd en proxyserver".

Tryck på OK.

Starta om datorn och skanna med MBAM igen. Det räcker med en snabbskanning nu så går det betydligt fortare.

[Mats H]

Här är resultatet från scanningen med Malwarebytes. Det säger mig ingenting...När datorn startade om var jag tvungen att tillåta den att starta malware, det var rätt va?Databasversion: 3491Windows 6.0.6002 Service Pack 2Internet Explorer 8.0.6001.188652010-01-04 15:55:21mbam-log-2010-01-04 (15-55-21).txtSkanningstyp: Fullständig skanning (C:\|E:\|)Antal skannade objekt: 259878Förfluten tid: 1 hour(s), 25 minute(s), 20 second(s)Infekterade minnesprocesser: 0Infekterade minnesmoduler: 0Infekterade registernycklar: 1Infekterade registervärden: 2Infekterade registerdataposter: 0Infekterade mappar: 1Infekterade filer: 1Infekterade minnesprocesser:(Inga illasinnade poster hittades)Infekterade minnesmoduler:(Inga illasinnade poster hittades)Infekterade registernycklar:HKEY_LOCAL_MACHINE\SOFTWARE\Malware Defense (Rogue.MalwareDefense) -> Quarantined and deleted successfully.Infekterade registervärden:HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\settdebugx.exe (Trojan.FakeAlert) -> Quarantined and deleted successfully.HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\desktop sms (Worm.P2P) -> Quarantined and deleted successfully.Infekterade registerdataposter:(Inga illasinnade poster hittades)Infekterade mappar:C:\Users\Anette\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\malware Defense (Rogue.MalwareDefense) -> Quarantined and deleted successfully.Infekterade filer:C:\Users\Anette\AppData\Local\Temp\H8SRT2dd6.tmp (Trojan.Downloader) -> Quarantined and deleted successfully.

Bra att detta kom fram!

Lycka till o låt Cecilia guida dig!

Mvh

Mats H

[anetteiem]

Jag gick in på internet inställningar men proxyservern var inte för bockad. Startade sedan om datorn och scannade igen med malware. Detta var resultatet från den scanningen.Malwarebytes' Anti-Malware 1.43Databasversion: 3491Windows 6.0.6002 Service Pack 2Internet Explorer 8.0.6001.188652010-01-04 20:22:59mbam-log-2010-01-04 (20-22-59).txtSkanningstyp: Snabb skanningAntal skannade objekt: 104587Förfluten tid: 11 minute(s), 31 second(s)Infekterade minnesprocesser: 0Infekterade minnesmoduler: 0Infekterade registernycklar: 0Infekterade registervärden: 0Infekterade registerdataposter: 0Infekterade mappar: 0Infekterade filer: 0Infekterade minnesprocesser:(Inga illasinnade poster hittades)Infekterade minnesmoduler:(Inga illasinnade poster hittades)Infekterade registernycklar:(Inga illasinnade poster hittades)Infekterade registervärden:(Inga illasinnade poster hittades)Infekterade registerdataposter:(Inga illasinnade poster hittades)Infekterade mappar:(Inga illasinnade poster hittades)Infekterade filer:(Inga illasinnade poster hittadesDet ser bra ut antar jag, men problemet med windows security center kvarstår./Anette

[Cecilia]

Det var ju bra att MBAM inte hittade något mer. Kanske ComboFix kan få igång säkerhetscentret.

Spara ComboFix på Skrivbordet:

http://download.bleepingcomputer.com/sUBs/ComboFix.exe

Stäng av alla program du ser inklusive antivirusprogram och antispionprogram men lämna brandväggen på.

Hur? Se http://www.bleepingcomputer.com/forums/topic114351.html

Kör ComboFix och följ anvisningarna som visas.

Om det kommer upp en fråga om du vill installera återställningskonsolen så svara ja.

VIKTIGT! Klicka inte på ComboFix-fönstret med musen när den körs annars kan den hänga upp sig.

När den är färdig så ska en logg komma upp, klistra in den i ditt svar.

OBS! Se till att det blir radbrytningar. Jag vet inte vad du har gjort för att inte få några radbrytningar i MBAM-loggarna men ComboFix-loggen kommer att bli helt oläslig utan radbrytningar.

Kontrollera att antivirusprogram mm är igång innan du ansluter till internet.

Om du får problem med att komma ut på internet:

Kontrollpanelen - Nätverksanslutningar

högerklicka på din internetanslutning och välj Reparera och/eller starta om datorn.

Varning! ComboFix förhindrar automatisk körning av CD, disketter och USB-enheter för att göra det lättare att rensa datorn och skydda datorn mot infektioner i framtiden. Det kan bli problem t ex om datorn har internet via ett USB-modem eller USB-nätverkskort. Säg då till i stället för att köra ComboFix.

[anetteiem]

Tack så jätte mycket för hjälpen, nu funkar säkerhetscentret igen.Vad var det för fel?Ska jag fortsätta med Norton som antivirus program och fortsätta köra malware?Jag vet inte vad jag gör men hur jag än försöker klistar in resultatet av combifix så blir det inga mellanslag så därför biforgar jag filen istället och hoppas att det går bra./Anette

ComboFix.txt

[Cecilia]

Ja, nu blev filen i alla fall läsbar

Jag tror att ComboFix fixade till någon inställning som det skadliga programmet hade gjort för att stoppa dig från att köra Säkerhetscentret. Dessutom så tog ComboFix bort ett par filer och (eventuellt endast ofarlig rest av) en tjänst som var skadliga. Starta om datorn och kör ComboFix igen så får vi se att de skadliga filerna håller sig borta.

Det ser ut som att där finns något olämpligt tillägg till Internet Explorer. Det är lättast att kolla upp och få bort med hjälp av HijackThis. Spara filen http://www.trendsecure.com/portal/en-US/_download/HJTInstall.exe

nstallera, starta och välj "Do a system scan and save a logfile", kopiera och klistra in (alternativt bifoga) loggen som kommer upp (inget annat).

[anetteiem]

Jag körde combo en gång till startade om, laddade ner hijackthis och fick loggfilen som är bifogad. (Den säger mig verkligen ingenting, jag är data analfabet) Ser det bra ut?Ska jag spara hijack, combifix och malware på datorn eller ska jag avintallera dem igen?Tack igen för hjälpen/Anette

hijackthis.txt

Edited January 5, 2010 by anetteiem

[Cecilia]

Bifoga ComboFix-loggen också så får jag se hur det ser ut där.

Det kan tänkas att jag inte har tid att svara dig förrän sent ikväll.

[anetteiem]

Här är combifox filen.Det gör inget om du inte kan svara förän sent ikväll, jag är bara så glad och tacksam för att du hjälper mig./Anette

ComboFix.txt

[Cecilia]

Några ofarliga rester att ta bort.

Kör programmet AVG Remover för att ta bort rester av AVG:

http://www.avg.com/eu-en/download-tools

Skanna med HijackThis och bocka för:

O2 - BHO: WormRadar.com IESiteBlocker.NavFilter - {3CA2F312-6F6E-4B53-A66E-4E65E497C8C0} - C:\Program Files\AVG\AVG9\avgssie.dll (file missing)

O9 - Extra button: Tradera - Köp och sälj - {76577871-04EC-495E-A12B-91F7C3600AFA} - http://adfarm.mediaplex.com/ad/ck/7206-44921-9400-2 (file missing)

O9 - Extra button: Amazon.co.uk - {8A918C1D-E123-4E36-B562-5C1519E434CE} - http://www.amazon.co.uk/exec/obidos/redirect-home?tag=Toshibaukbholink-21&site=home (file missing)

Avsluta alla andra program.

Tryck Fix checked.

Nu återstår bara en sista städomgång.

1. Ta bort samtliga systemåterställningspunkter eftersom dessa kan vara infekterade. Du gör det genom att stänga av systemåterställningsfunktionen, starta om datorn och så slå på funktionen igen. Skapa sedan en ny punkt.

Systemåterställningsfunktionen slår man av och på här:

XP: Högerklick på Den här datorn - Egenskaper - Systemåterställning

Vista: Högerklick på Datorn - Egenskaper - Avancerade systeminställningar - Systemskydd

Avbocka resp. sätt tillbaks bockar för alla hårddiskar (kom ihåg hur det såg ut innan)

2. Om du har använt något fix-program, t ex ComboFix så spara avinstallationsprogrammet OTC på Skrivbordet.

http://oldtimer.geekstogo.com/OTC.exe

Dubbelklicka på filen för att starta programmet.

Tryck på knappen CleanUp! och de olika fix-program som du har laddat ner kommer att avinstalleras, inkl. detta program, efter en omstart av datorn. Om något fix-program är kvar efter det så fråga hur du ska ta bort det.

3. Ta bort alla tillfälliga filer genom att spara ATF-Cleaner på Skrivbordet:

http://www.atribune.org/ccount/click.php?id=1

Stäng av alla andra program, särskilt webbläsare.

Dubbelklicka på ATF-Cleaner.exe för att starta programmet.

Bocka i Select All. Tryck på Empty Selected.

Om du använder Firefox: Tryck på Firefox och välj Select All. Tryck på Empty Selected. Om du vill ha kvar dina lösenord så tryck No vid frågan.

Om du använder Opera: Tryck på Opera och välj Select All. Tryck på Empty Selected. Om du vill ha kvar dina lösenord så tryck No vid frågan.

Tryck på Exit i Main-menyn för att stänga programmet.

Obs! Detta kommer att ta bort alla cookies, om du har cookies som du vill ha kvar så får du antingen spara undan dem innan eller låta bli att välja Select All och i stället markera allt annat.

4. Byt alla lösenord som du använder i datorn och på internet eftersom dessa kan ha kommit i orätta händer.

http://mnin.blogspot.com/2009/02/why-i-enjoyed-tiggersyzor.html beskriver ett skadligt program som spionerar genom att ta skärmbilder, logga tangentbordsnedtryckningar och läsa lösenord som är lagrade i webbläsare, epostprogram etc.

5. Förbättra skyddet i datorn, se mina Råd för en säkrare dator. http://ceblstockholm.googlepages.com/home

[anetteiem]

Det verkar som det mesta funkade fast jag stötte på problem redan när jag skulle ta bort saker med Hijackthis Den reagerade på att där var någon hostfile som inte skulle vara där. Jag körde på, i alla fall, hoppas det var rätt.Men sen funkade det inte att ladda ner OTC, Norton tillät inte att jag sparade det på skrivbordet. Jag försökte med att stänga av nortonmen det funkade inte i alla fall.Jag fortsatte med dina instruktioner utan att avinstallera Combifix. Hoppas att det inte var dumt.Hur gör jag med Combofix?Hur blir jag av med Hijackthis?Tack än en gång/A

[Cecilia]

När det gäller HijackThis så kan du kolla att de tre raderna är borta om du kör HijackThis igen.

ComboFix kan du avinstallera så här:

Start - Kör

skriv in (kopiera och klistra):

combofix /u

HijackThis avinstallerar du på vanligt sätt i Kontrollpanelen - Program och funktioner.

[anetteiem]

De tre raderna har inte försvunnit när jag kör Hijack igen. Jag försökte göra om det. Felmeddelandet som kom upp innan kom inte, men när jag körde Hijack igen så var de tre raderna kvar i alla fall...

[Cecilia]

Se om det går bättre att fixa med HijackThis om du startar HijackThis genom att högerklicka på programmet och välja Kör som administratör.

[anetteiem]

Jag fick bort två av dem men 'tradera' raden är kvar.

Ska jag försöka igen och igen och igen tills den försvinner eller ska jag låta den va?

[Cecilia]

Försök en gång till, men det borde inte vara svårt att få bort de där raderna när motsvarande filer inte längre finns

[anetteiem]

Den vill inte försvinna ändå.

Du har fått en riktig data analfabet på händerna nu. Jag fattar inte riktigt det där med

start- kör , skriv combofix /unistal

När jag kör combofix så kommer det upp en blå ruta, men den går inte att skriva i. Hur jag än gör så lyckas jag inte skriva eller kopiera in något någon stans. Jag gör säkert en nybörjar blunder, men frågar man inte får man inget veta. Jag har ingen datorstolthet att förlora.

Edited January 6, 2010 by anetteiem

[Cecilia]

Hitta Internet-alternativ i Internet Explorer och välj fliken Program. Där väljer du Hantera tillägg. Leta och se om du hittar något som liknar:

IE: {{76577871-04EC-495E-A12B-91F7C3600AFA} - http://adfarm.mediaplex.com/ad/ck/7206-44921-9400-2

Då väljer du att ta bort (helst) eller inaktivera det tillägget.

Start - Program - Tillbehör - Kommandotolken

skriv in:

combofix /u

tryck på Enter-tangenten.

Blir det något felmeddelande?

[anetteiem]

Det funkade att avaktivera 'tradera' i internet explorer program fliken (inte ta bort)

När jag skrev in combofix /u i komandotolken kom det upp meddelandet att combofix inte var ett internt/ externt kommando, program eller kommandofil.

[Cecilia]

Är du säker på att ComboFix finns kvar i datorn?

[anetteiem]

Den finns som ikon på skrivbordet och som fil i C:. Det borde väl finnas kvar om jag kan starta programmet?