---

Hej

Min Internet Explorer er blevet ramt af en yderst hårdfør virus/highjack
eller hvad det nu er. Jeg kan ikke komme den til livs. Hverken med
Antivirus, Adaware, Regscrub og spybot. Ikke engang i fejlsikret tilstand.
Den forårsager pop up reklamer og at min startside er About:blank. Det kan
jeg ikke ændre på.

Nu har jeg sat Mozilla Firefox til at være min standars browser, men det er
irriterende at vide at PC'en er inficeret.

Kan man, og vil jeg få noget ud af at afinstallere IE og bagefter
geninstallere den?

Mvh.
Thomas



--
Hvis du vil skrive til mig skriv til tholsnabelaget2netpunktumdk

---

"Thomas Olsen" <no spam> skrev i en meddelelse
news:41f3d893$0$22677$d40e179e@nntp04.dk.telia.net...
> Hej
>
> Min Internet Explorer er blevet ramt af en yderst hårdfør virus/highjack
> eller hvad det nu er. Jeg kan ikke komme den til livs. Hverken med
> Antivirus, Adaware, Regscrub og spybot. Ikke engang i fejlsikret tilstand.
> Den forårsager pop up reklamer og at min startside er About:blank. Det kan
> jeg ikke ændre på.
>
> Nu har jeg sat Mozilla Firefox til at være min standars browser, men det
> er
> irriterende at vide at PC'en er inficeret.
>
> Kan man, og vil jeg få noget ud af at afinstallere IE og bagefter
> geninstallere den?
>
Øv øv øv. Kender kun alt for godt til problemet. Da jeg havde "bæstet"
prøvede jeg også alt det du har været igennem + en del andre. Alle uden
100% succes. Da min maskine alligevel var godt og grundig træt/sløv,
tog jeg konsekvensen og formaterede hele lortet og startede fra scratch.
Dog har jeg nu lært at have andet end blot FW og AW. Nu har jeg også
Webroot Spy Sweeper som fortæller om alt der enten vil ind eller ud.
Dog kan det være en smule irrt. at den også advarer mig når jeg tilføjer
til foretrukne i IE, men hellere det end en tur forfra igen.

Du kan fjerne IE via:
Kontrolpanel-> tilføj/fjern programmer -> Windows komponenter og her
fjerne flueben for IE. Om den bliver afinst. ordentlig er jeg dog i tvivl
om.

---

"-=[Santa Claus]=-" <nospam@nospam.com> skrev i en meddelelse
news:Y3RId.315$pS.63@news.get2net.dk...
> Øv øv øv. Kender kun alt for godt til problemet. Da jeg havde "bæstet"
> prøvede jeg også alt det du har været igennem + en del andre. Alle uden
> 100% succes. Da min maskine alligevel var godt og grundig træt/sløv,
> tog jeg konsekvensen og formaterede hele lortet og startede fra scratch.
> Dog har jeg nu lært at have andet end blot FW og AW. Nu har jeg også
> Webroot Spy Sweeper som fortæller om alt der enten vil ind eller ud.
> Dog kan det være en smule irrt. at den også advarer mig når jeg tilføjer
> til foretrukne i IE, men hellere det end en tur forfra igen.
>
> Du kan fjerne IE via:
> Kontrolpanel-> tilføj/fjern programmer -> Windows komponenter og her
> fjerne flueben for IE. Om den bliver afinst. ordentlig er jeg dog i tvivl
> om.

Ja det er megalatterligt. Mærkeligt at der ikke har været noget oppe omkring
dette i medierne. Alle tidligere vira som har været "hypet" i mederne har
jeg undsluppet. Denne som er mere hårdfør end noget andet jeg har oplevet
hører man ikke om.

Jeg vil helst ikke ud i at skulle formatere.

Thomas

---

"Thomas Olsen" <no spam> skrev i en meddelelse
news:41f3d893$0$22677$d40e179e@nntp04.dk.telia.net...
> Hej
>
> Min Internet Explorer er blevet ramt af en yderst hårdfør virus/highjack
> eller hvad det nu er. Jeg kan ikke komme den til livs. Hverken med
> Antivirus, Adaware, Regscrub og spybot. Ikke engang i fejlsikret tilstand.
> Den forårsager pop up reklamer og at min startside er About:blank. Det kan
> jeg ikke ændre på.
>
> Nu har jeg sat Mozilla Firefox til at være min standars browser, men det
> er
> irriterende at vide at PC'en er inficeret.
>
> Kan man, og vil jeg få noget ud af at afinstallere IE og bagefter
> geninstallere den?
>
> Mvh.
> Thomas
>
>
>
Hvorfor hopper du ikke over i http://www.spywarefri.dk og får dem til at
checke en HiJack-log og rense pc'en?
vh
HC

---

On Sun, 23 Jan 2005 18:02:14 +0100, "Thomas Olsen" <no spam> wrote:

>Hej
>
>Min Internet Explorer er blevet ramt af en yderst hårdfør virus/highjack
>eller hvad det nu er. Jeg kan ikke komme den til livs. Hverken med
>Antivirus, Adaware, Regscrub og spybot. Ikke engang i fejlsikret tilstand.
>Den forårsager pop up reklamer og at min startside er About:blank. Det kan
>jeg ikke ændre på.
>
>Nu har jeg sat Mozilla Firefox til at være min standars browser, men det er
>irriterende at vide at PC'en er inficeret.
>
>Kan man, og vil jeg få noget ud af at afinstallere IE og bagefter
>geninstallere den?
>
>Mvh.
>Thomas

Prøv at hente Microsofts ny antispyware. Den er godt nok kun i beta
endnu, men den har faktisk en ret god detection rate, og siden det er
et MS produkt så passer den godt sammen med IE. Den har også en ret
god feature til at sætte startsiden tilbage til default

jda^fx

---

Thomas Olsen skrev:
> Hej
>
> Min Internet Explorer er blevet ramt af en yderst hårdfør virus/highjack
> eller hvad det nu er. Jeg kan ikke komme den til livs. Hverken med
> Antivirus, Adaware, Regscrub og spybot. Ikke engang i fejlsikret tilstand.
> Den forårsager pop up reklamer og at min startside er About:blank. Det kan
> jeg ikke ændre på.
>
Kunne du ikke smide en hijackthis log op så vi er sikre på hvad vi
snakker om.
Jeg har fjernet sådan en sag før, hvis den samme vi snakker om.
Ser det nogle lunde sådan ud:
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Default_Search_URL
= http://homepage.com
%00@www.e-finder.cc/search/ (obfuscated)

Så skal du bare fjerne den virus som ligger i windows og/eller system32,
det kan gøres med en online virus scan.

Derefter skal du slette "Restricted & Trusted Zone list"
Det kan gøres med denne *.inf fil:

; DelDomains.inf
; Created by: Mike Burgess Microsoft MVP
; http://mvps.org/winhelp2002/
;
; Warning: Deletes all entries in the Restricted & Trusted Zone list
;
; To execute this file: in Explorer - right-click (this file)
; Select Install from the Menu.

[version]
signature="$CHICAGO$"

[DefaultInstall]
DelReg=DelTemps
AddReg=AddTemps

[DelTemps]
HKCU,"Software\Microsoft\Windows\CurrentVersion\Internet
Settings\ZoneMap\Domains"
HKLM,"Software\Microsoft\Windows\CurrentVersion\Internet
Settings\ZoneMap\Domains"
HKCU,"Software\Microsoft\Windows\CurrentVersion\Internet
Settings\ZoneMap\Ranges"
HKLM,"Software\Microsoft\Windows\CurrentVersion\Internet
Settings\ZoneMap\Ranges"

; Recreate the keys to avoid a restart

[AddTemps]
HKCU,"Software\Microsoft\Windows\CurrentVersion\Internet
Settings\ZoneMap\Domains"
HKLM,"Software\Microsoft\Windows\CurrentVersion\Internet
Settings\ZoneMap\Domains"
HKCU,"Software\Microsoft\Windows\CurrentVersion\Internet
Settings\ZoneMap\Ranges"
HKLM,"Software\Microsoft\Windows\CurrentVersion\Internet
Settings\ZoneMap\Ranges"

Overstående sætter du ind i en *.txt fil og omdøber den til fx.
DelDomains.inf højerklikker og trykker på install.

Hvis du ikke gider lave en fil så kan du nemt finde den med google søg
efter "deldomains.zip"

Så skulle du være ren!

--
best regards IzNoGoUd a.k.a. Claes Nielsen, DK-5700 Svendborg, Denmark.
*
"All your base are belong to us"

---

> Kunne du ikke smide en hijackthis log op så vi er sikre på hvad vi
> snakker om.

Jeg har downloadet DelDomains.inf og prøvet at installere den efter jeg har
kørt en fix i highjackthis. Det har dog ikke hjulpet. Måske har jeg ikke
fixet alt hvad der skal fixes.

Her er hijackthisloggen: Siger det nogen noget?

Logfile of HijackThis v1.99.0
Scan saved at 19:38:15, on 24-01-2005
Platform: Windows XP SP1 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP1 (6.00.2800.1106)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\Explorer.EXE
C:\HijackThis\HijackThis.exe

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page =
res://C:\WINDOWS\pbzmc.dll/sp.html#28129
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL =
about:blank
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL =
res://C:\WINDOWS\pbzmc.dll/sp.html#28129
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Bar =
res://C:\WINDOWS\pbzmc.dll/sp.html#28129
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page =
res://C:\WINDOWS\pbzmc.dll/sp.html#28129
R0 - HKLM\Software\Microsoft\Internet Explorer\Search,SearchAssistant =
res://C:\WINDOWS\pbzmc.dll/sp.html#28129
R3 - Default URLSearchHook is missing
O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} -
C:\Programmer\Adobe\Acrobat 5.0\Reader\ActiveX\AcroIEHelper.ocx
O2 - BHO: (no name) - {545BE68F-69B1-5A23-8322-EA014A8ECC19} -
C:\WINDOWS\javaoh.dll
O4 - HKLM\..\Run: [NeroCheck] C:\WINDOWS\system32\NeroCheck.exe
O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE
C:\WINDOWS\System32\NvCpl.dll,NvStartup
O4 - HKLM\..\Run: [nwiz] nwiz.exe /install
O4 - HKLM\..\Run: [NvMediaCenter] RUNDLL32.EXE
C:\WINDOWS\System32\NvMcTray.dll,NvTaskbarInit
O4 - HKLM\..\Run: [DataLayer]
C:\PROGRA~1\FLLESF~1\PCSuite\DATALA~1\DATALA~1.EXE
O4 - HKLM\..\Run: [PCSuiteTrayApplication]
C:\PROGRA~1\Nokia\NOKIAP~1\TRAYAP~1.EXE
O4 - HKLM\..\Run: [QuickTime Task] "C:\programmer\qttask.exe" -atboottime
O4 - HKLM\..\Run: [AVG7_CC] C:\PROGRA~1\Grisoft\AVGFRE~1\avgcc.exe /STARTUP
O4 - HKLM\..\Run: [AVG7_EMC] C:\PROGRA~1\Grisoft\AVGFRE~1\avgemc.exe
O4 - Global Startup: Adobe Gamma Loader.exe.lnk = ?
O4 - Global Startup: Microsoft Office.lnk = C:\Programmer\Microsoft
Office\Office10\OSA.EXE
O4 - Global Startup: ZoneAlarm Pro.lnk = C:\Programmer\Zone
Labs\ZoneAlarm\zapro.exe
O6 - HKCU\Software\Policies\Microsoft\Internet Explorer\Control Panel
present
O6 - HKLM\Software\Policies\Microsoft\Internet Explorer\Control Panel
present
O8 - Extra context menu item: E&ksporter til Microsoft Excel -
res://C:\PROGRA~1\MICROS~2\Office10\EXCEL.EXE/3000
O9 - Extra button: Related - {c95fe080-8f5d-11d2-a20b-00aa003c157a} -
C:\WINDOWS\web\related.htm
O9 - Extra 'Tools' menuitem: Show &Related Links -
{c95fe080-8f5d-11d2-a20b-00aa003c157a} - C:\WINDOWS\web\related.htm
O12 - Plugin for .spop: C:\Programmer\Internet Explorer\Plugins\NPDocBox.dll
O16 - DPF: {41F17733-B041-4099-A042-B518BB6A408C} -
http://a1540.g.akamai.net/7/1540/52/20021205/qtinstall.info.apple.com/drakken/us/win/QuickTimeInstaller.exe
O16 - DPF: {74D05D43-3236-11D4-BDCD-00C04F9A3B61} (HouseCall Control) -
http://a840.g.akamai.net/7/840/537/2004061001/housecall.trendmicro.com/housecall/xscan53.cab
O16 - DPF: {8EC18CE2-D7B4-11D2-88C8-006008A717FD} (NCSView Class) -
http://130.228.229.67/ecwplugins/ncs.cab
O16 - DPF: {917623D1-D8E5-11D2-BE8B-00104B06BDE3} (CamImage Class) -
http://80.196.221.202/activex/AxisCamControl.ocx
O16 - DPF: {C4925E65-7A1E-11D2-8BB4-00A0C9CC72C3} (Virtools WebPlayer
Class) -
http://a532.g.akamai.net/7/532/6712/7e9af788e5b62f/player.virtools.com/downloads/player/Install2.1/Installer.exe
O16 - DPF: {D3426292-3750-4D80-9D0F-2816F61A6D15} (SpeedTest Control) -
http://130.228.2.107/speedtest/SpeedTest_2.cab
O16 - DPF: {DF780F87-FF2B-4DF8-92D0-73DB16A1543A} (PopCapLoader Object) -
http://anu.popcap.com/games/popcaploader_v5.cab
O23 - Service: AVG7 Alert Manager Server - GRISOFT, s.r.o. -
C:\PROGRA~1\Grisoft\AVGFRE~1\avgamsvr.exe
O23 - Service: AVG7 Update Service - GRISOFT, s.r.o. -
C:\PROGRA~1\Grisoft\AVGFRE~1\avgupsvc.exe
O23 - Service: NVIDIA Display Driver Service - NVIDIA Corporation -
C:\WINDOWS\System32\nvsvc32.exe
O23 - Service: TrueVector Internet Monitor - Zone Labs Inc. -
C:\WINDOWS\System32\ZoneLabs\vsmon.exe

---

Thomas Olsen skrev:
> Jeg har downloadet DelDomains.inf og prøvet at installere den efter jeg har
> kørt en fix i highjackthis. Det har dog ikke hjulpet. Måske har jeg ikke
> fixet alt hvad der skal fixes.

Jeg ville lige forsøge i fejlsikret tilstand F8 under opstart.
Det er godt nok en af de mere irriterende vira!! Den kommer ned på din
maskine hver gang du åbner IE browseren!
Så skal du skynde dig at få installeret SP2 og opdateringer, det er
derfor du har fået denne vira.

> Her er hijackthisloggen: Siger det nogen noget?

Jo den siger en hel del
Slet alle R1 slet også R0 og R3

Så til det kosmetiske
O4 [NeroCheck] behøves du ikke!
O4 [QuickTime Task] behøver du heller ikke

Altså:
1. Fejlsikret tilstand.
2. Scan efter vira.
3. Hijackthis slet R0, R1 og R3.
4. DelDomains.inf Hklik installer

Så ville jeg starte systemet op igen og inden jeg kører IE ville jeg
lige tjekke med Hijackthis at de linier med Rx er væk. hvis ikke så kør
DelDomains.inf igen til de ikke optræder på hijackthis listen mere, ja
selvfølgelig lige de side som du vil have som start side igen!

Nå men jeg har som før skrevet kun fjernet den en gang for det kunne
også være at jeg har glemt noget i farten, jeg prøver lige at tjekke op
på det i nat.


--
best regards IzNoGoUd a.k.a. Claes Nielsen, DK-5700 Svendborg, Denmark.
*
"All your base are belong to us"

---

Jeg glemte lige!
Hvad hedder virusen eller trojanske hest når du finder den med
antivirusprogrammet?

--
best regards IzNoGoUd a.k.a. Claes Nielsen, DK-5700 Svendborg, Denmark.
*
"All your base are belong to us"

---

"IzNoGoUd" <iznogoud@iznogoud.dk> skrev i en meddelelse
news:ct3un4$gr$1@news.cybercity.dk...
> Jeg glemte lige!
> Hvad hedder virusen eller trojanske hest når du finder den med
> antivirusprogrammet?

Der dukker to forskellige op:

De hedder: Trojan Horse Backdoor.Small.3.BI og Trojan Horse
Downloader.Agent.7.E

Thomas

---

Thomas Olsen skrev:
> "IzNoGoUd" <iznogoud@iznogoud.dk> skrev i en meddelelse
> news:ct3un4$gr$1@news.cybercity.dk...
>
>>Jeg glemte lige!
>>Hvad hedder virusen eller trojanske hest når du finder den med
>>antivirusprogrammet?
>
>
> Der dukker to forskellige op:
>
> De hedder: Trojan Horse Backdoor.Small.3.BI og Trojan Horse
> Downloader.Agent.7.E

Jeg hopper over i gruppen: dk.edb.sikkerhed der er også nogle der pt.
har samme problem.


--
best regards IzNoGoUd a.k.a. Claes Nielsen, DK-5700 Svendborg, Denmark.
*
"All your base are belong to us"

---

IzNoGoUd skrev:
> Jeg hopper over i gruppen: dk.edb.sikkerhed der er også nogle der pt.
> har samme problem.

Det går godt her
Det skulle selvfølgelig være dk.edb.sikkerhed.virus


--
best regards IzNoGoUd a.k.a. Claes Nielsen, DK-5700 Svendborg, Denmark.
*
"All your base are belong to us"

---

Jeg har gjort som beskrevet.

Desværre uden held. Det er ligesom om der er en fil/virus, som ikke bliver
opdaget. En fil som er skyld i det hele.

Thomas

---

"Thomas Olsen" <no spam> skrev i en meddelelse
news:41f7e0d6$0$23092$d40e179e@nntp05.dk.telia.net...
> Jeg har gjort som beskrevet.
>
> Desværre uden held. Det er ligesom om der er en fil/virus, som ikke bliver
> opdaget. En fil som er skyld i det hele.
>
> Thomas


Husk også lige at deaktivere systemgendannelse, ellers kommer den bare
igen.!