|
HJT logi
|
|
|
tupe
Newbie
|
23. toukokuuta 2006 @ 18:44 |
Linkki tähän viestiin
|
Tässä logi ja vika on sellanen, että icntrl.exe yrittää muodostaa yhteyttä nettiin ja Zone Alarm herjaa siitä. Eli siitä pitäisi päästä eroon.
Kiitokset etukäteen kaikille jotka vaivautuvat auttamaan.
Logfile of HijackThis v1.99.1
Scan saved at 22:42:30, on 23.5.2006
Platform: Windows 2000 SP4 (WinNT 5.00.2195)
MSIE: Internet Explorer v6.00 SP1 (6.00.2800.1106)
Running processes:
C:\WINNT\System32\smss.exe
C:\WINNT\system32\winlogon.exe
C:\WINNT\system32\services.exe
C:\WINNT\system32\lsass.exe
C:\WINNT\system32\svchost.exe
C:\WINNT\system32\spoolsv.exe
C:\Program Files\Avast4\aswUpdSv.exe
C:\Program Files\Avast4\ashServ.exe
C:\WINNT\System32\svchost.exe
C:\WINNT\system32\hidserv.exe
C:\WINNT\system32\icntrl.exe
C:\WINNT\system32\nvsvc32.exe
C:\WINNT\system32\MSTask.exe
C:\Program Files\Alcohol Soft\Alcohol 120\StarWind\StarWindService.exe
C:\WINNT\system32\ZoneLabs\vsmon.exe
C:\WINNT\System32\WBEM\WinMgmt.exe
C:\WINNT\system32\svchost.exe
C:\WINNT\Explorer.EXE
C:\Program Files\Avast4\ashWebSv.exe
C:\Program Files\Avast4\ashMaiSv.exe
C:\WINNT\Mixer.exe
C:\PROGRA~1\Avast4\ashDisp.exe
C:\Program Files\Java\j2re1.4.2_10\bin\jusched.exe
C:\Program Files\ZoneAlarm\zlclient.exe
C:\Program Files\Microsoft IntelliType Pro\type32.exe
C:\Program Files\Microsoft IntelliPoint\point32.exe
C:\WINNT\system32\internat.exe
C:\Program Files\MSN Messenger\msnmsgr.exe
C:\Program Files\Adobe\Acrobat 6.0\Reader\AcroRd32.exe
C:\WINNT\system32\wisptis.exe
C:\Documents and Settings\Tupe.TUPE1\Omat tiedostot\DC++\DCPlusPlus.exe
C:\Program Files\Internet Explorer\IEXPLORE.EXE
C:\HJT\HijackThis.exe
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.tupeweb.com/
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Local Page =
R1 - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings,AutoConfigURL = http://paivitys.dnainternet.fi/yhteys/proxy.pac
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Linkit
O2 - BHO: PynixObj Class - {00000000-DD60-0064-6EC2-6E0100000000} - (no file)
O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Program Files\Adobe\Acrobat 6.0\Reader\ActiveX\AcroIEHelper.dll
O2 - BHO: Google Toolbar Helper - {AA58ED58-01DD-4d91-8333-CF10577473F7} - c:\program files\google\googletoolbar1.dll
O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINNT\system32\msdxm.ocx
O3 - Toolbar: Easy-WebPrint - {327C2873-E90D-4c37-AA9D-10AC9BABA46C} - C:\Program Files\Canon\Easy-WebPrint\Toolband.dll (file missing)
O3 - Toolbar: &Google - {2318C2B1-4965-11d4-9B18-009027A5CD4F} - c:\program files\google\googletoolbar1.dll
O4 - HKLM\..\Run: [Synchronization Manager] mobsync.exe /logon
O4 - HKLM\..\Run: [C-Media Mixer] Mixer.exe /startup
O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINNT\system32\NvCpl.dll,NvStartup
O4 - HKLM\..\Run: [nwiz] nwiz.exe /install
O4 - HKLM\..\Run: [NvMediaCenter] RUNDLL32.EXE C:\WINNT\system32\NvMcTray.dll,NvTaskbarInit
O4 - HKLM\..\Run: [NeroFilterCheck] C:\WINNT\system32\NeroCheck.exe
O4 - HKLM\..\Run: [avast!] C:\PROGRA~1\Avast4\ashDisp.exe
O4 - HKLM\..\Run: [SunJavaUpdateSched] C:\Program Files\Java\j2re1.4.2_10\bin\jusched.exe
O4 - HKLM\..\Run: [Zone Labs Client] C:\Program Files\ZoneAlarm\zlclient.exe
O4 - HKLM\..\Run: [type32] "C:\Program Files\Microsoft IntelliType Pro\type32.exe"
O4 - HKLM\..\Run: [IntelliPoint] "C:\Program Files\Microsoft IntelliPoint\point32.exe"
O4 - HKCU\..\Run: [internat.exe] internat.exe
O4 - HKCU\..\Run: [msnmsgr] "C:\Program Files\MSN Messenger\msnmsgr.exe" /background
O8 - Extra context menu item: &Google-haku - res://C:\Program Files\Google\GoogleToolbar1.dll/cmsearch.html
O8 - Extra context menu item: &Käännä englanninkielinen sana - res://C:\Program Files\Google\GoogleToolbar1.dll/cmwordtrans.html
O8 - Extra context menu item: Linkit taaksepäin - res://C:\Program Files\Google\GoogleToolbar1.dll/cmbacklinks.html
O8 - Extra context menu item: Samankaltaisia sivuja - res://C:\Program Files\Google\GoogleToolbar1.dll/cmsimilar.html
O8 - Extra context menu item: Välimuistissa oleva kuvakaappaus sivusta - res://C:\Program Files\Google\GoogleToolbar1.dll/cmcache.html
O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\WINNT\system32\msjava.dll
O9 - Extra 'Tools' menuitem: Sun Java Console - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\WINNT\system32\msjava.dll
O16 - DPF: {62475759-9E84-458E-A1AB-5D2C442ADFDE} - http://appldnld.m7z.net/qtinstall.info.apple.com/pthalo/fi/win/Qu...
O16 - DPF: {7F8C8173-AD80-4807-AA75-5672F22B4582} (ICSScanner Class) - http://download.zonelabs.com/bin/promotions/spywaredetector/ICSSc...
O16 - DPF: {90C9629E-CD32-11D3-BBFB-00105A1F0D68} (InstallShield International Setup Player) - http://www.lowrance.com/Software/PCSoftware/Install/GM3300C/isetup.cab
O16 - DPF: {94EB57FE-2720-496C-B33F-D9353C6E23F7} (F-Secure Online Scanner 2.1) - http://support.f-secure.com/ols/fscax.cab
O16 - DPF: {B38870E4-7ECB-40DA-8C6A-595F0A5519FF} (MsnMessengerSetupDownloadControl Class) - http://messenger.msn.com/download/msnmessengersetupdownloader.cab
O23 - Service: avast! iAVS4 Control Service (aswUpdSv) - Unknown owner - C:\Program Files\Avast4\aswUpdSv.exe
O23 - Service: avast! Antivirus - Unknown owner - C:\Program Files\Avast4\ashServ.exe
O23 - Service: avast! Mail Scanner - Unknown owner - C:\Program Files\Avast4\ashMaiSv.exe" /service (file missing)
O23 - Service: avast! Web Scanner - Unknown owner - C:\Program Files\Avast4\ashWebSv.exe" /service (file missing)
O23 - Service: Loogisen levyn hallinnan valvontapalvelu (dmadmin) - VERITAS Software Corp. - C:\WINNT\System32\dmadmin.exe
O23 - Service: InstallDriver Table Manager (IDriverT) - Macrovision Corporation - C:\Program Files\Common Files\InstallShield\Driver\11\Intel 32\IDriverT.exe
O23 - Service: NVIDIA Display Driver Service (NVSvc) - NVIDIA Corporation - C:\WINNT\system32\nvsvc32.exe
O23 - Service: SpywareCleanerService - Unknown owner - C:\Program Files\Spyware Cleaner\SCService.exe (file missing)
O23 - Service: StarWind iSCSI Service (StarWindService) - Rocket Division Software - C:\Program Files\Alcohol Soft\Alcohol 120\StarWind\StarWindService.exe
O23 - Service: TrueVector Internet Monitor (vsmon) - Zone Labs, LLC - C:\WINNT\system32\ZoneLabs\vsmon.exe
|
Senior Member
|
24. toukokuuta 2006 @ 09:28 |
Linkki tähän viestiin
|
Paina vasemmalta alhaalta käynnistä -> suorita -> kirjoita cmd
Kirjoita komentoriville:
sc stop SpywareCleanerService <- Huomaa isot ja pienet kirjaimet!
Ja paina ok, tee sama uudestaan, mutta kirjoita nyt:
sc delete SpywareCleanerService
Tämän jälkeen poista ohjauspaneelin lisää / poista sovelluksilla SpywareCleaner ja poista kansio C:\Program Files\->Spyware Cleaner
Avaa HijackThis, paina do a system scan only ja merkkaa nämä jos löytyy:
O2 - BHO: PynixObj Class - {00000000-DD60-0064-6EC2-6E0100000000} - (no file)
O23 - Service: SpywareCleanerService - Unknown owner - C:\Program Files\Spyware Cleaner\SCService.exe (file missing)
Sulje kaikki ikkunat ja paina fix cheked
Aja Kaspersky Online Scanner IE:llä,
http://www.kaspersky.com/virusscanner
Poista kaikki mitä se löytää ja kerro jos se ei osaa poistaa jotain. Ilmoita varoittaako palomuurisi vielä siitä tiedostosta Kasperskyn jälkeen
Viestiä on muokattu lähettämisen jälkeen. Viimeisin muokkaus 24. toukokuuta 2006 @ 09:29
|
|
tupe
Newbie
|
24. toukokuuta 2006 @ 09:49 |
Linkki tähän viestiin
|
|
Heittää tollasen herjan kun kirjotan ton sc stop Spyware.. komentoriville:
"sc ei tunnistettu sisäiseksi tai ulkoiseksi komennoksi
suoritettavaksi ohjelmaksi tai komentojonotiedostoksi."
Ja sama tulee kun kirjotan sen sc delete...
Myöskään ohjauspaneelin lisää/poista sovellus listasta ei löydy tota Spyware Cleaner ohjelmaa eikä kansiota C:\Program Files\SpywareCleaner??
|
Senior Member
|
24. toukokuuta 2006 @ 09:56 |
Linkki tähän viestiin
|
|
Sori, en huomannu että sulla on windows 2000, eli täytyy tehä näin:
En ole ihan varma että toimiiko tämäkään 2000, kerro jos ei onnistu
Paina käynnistä -> suorita -> kirjoita services.msc
Etsi sieltä SpywareCleanerService ja valitse sen käynnistystavaksi ei käytössä ja käynnistä tietokone uudelleen.
Uudelleenkäynnistyksen jälkeen avaa HijackThis, paina open misc tools... ja sieltä delete an NT service
Kopio tämä sinne:
SpywareCleanerService
Ja paina ok
Viestiä on muokattu lähettämisen jälkeen. Viimeisin muokkaus 24. toukokuuta 2006 @ 09:57
|
|
tupe
Newbie
|
24. toukokuuta 2006 @ 11:11 |
Linkki tähän viestiin
|
|
Kaspersky Online Scanner löytää C:\WINNT\system32\icntrl.exe tiedoston edelleen, mutta ei anakaan vielä ole ZA herjaillut siitä. Milläs sen sais vielä pois?
|
Senior Member
|
24. toukokuuta 2006 @ 11:48 |
Linkki tähän viestiin
|
|
|
|
tupe
Newbie
|
25. toukokuuta 2006 @ 15:11 |
Linkki tähän viestiin
|
|
Tota icntrl.exe tiedostoa ei löydy ko. kansiosta vika sietotilassakaan. Mikä neuvoksi?
ZA herjaa edelleen siitä samasta tiedostosta.
|
|
Marku2
Senior Member
|
27. toukokuuta 2006 @ 06:21 |
Linkki tähän viestiin
|
|
Senior Member
|
27. toukokuuta 2006 @ 07:04 |
Linkki tähän viestiin
|
|
|
|
flabs
Junior Member
|
27. toukokuuta 2006 @ 16:03 |
Linkki tähän viestiin
|
Mulla oli joku ihme spyware juttu koneella, mutta sain sen pois... aiheutti pop uppien tuloo ja sellanen virus alert! ikkuna oli tuol alapalkissa. Voisiko joku vielä tarkistaa HjT lokin:
Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\spoolsv.exe
C:\Program Files\Eset\nod32krn.exe
C:\WINDOWS\System32\nvsvc32.exe
C:\WINDOWS\system32\r_server.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\Explorer.EXE
C:\WINDOWS\SOUNDMAN.EXE
C:\WINDOWS\system32\RUNDLL32.EXE
C:\Program Files\Eset\nod32kui.exe
C:\Program Files\NetLimiter\NetLimiter.exe
C:\Program Files\MessengerPlus! 3\MsgPlus.exe
C:\Program Files\DAEMON Tools\daemon.exe
C:\Program Files\AGEIA Technologies\TrayIcon.exe
C:\WINDOWS\system32\ctfmon.exe
C:\Program Files\Palm\Hotsync.exe
C:\Program Files\Panasonic\LUMIXSimpleViewer\PhLeAutoRun.exe
C:\WINDOWS\System32\svchost.exe
C:\Program Files\MSN Messenger\msnmsgr.exe
C:\Program Files\Valve\Steam\Steam.exe
C:\Documents and Settings\xxxxxxxxxx\Työpöytä\utorrent-1.exe
C:\Program Files\Webteh\BSplayer\bsplayer.exe
C:\Program Files\Internet Explorer\iexplore.exe
C:\Program Files\Mozilla Firefox\firefox.exe
C:\Documents and Settings\xxxxxxxxxxx\Työpöytä\HijackThis.exe
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,SearchURL = prosearching.com
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,SearchURL = prosearching.com
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page_bak = prosearching.com
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page_bak = prosearching.com
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Linkit
O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Program Files\Adobe\Acrobat 5.0\Reader\ActiveX\AcroIEHelper.ocx
O4 - HKLM\..\Run: [SoundMan] SOUNDMAN.EXE
O4 - HKLM\..\Run: [NvMediaCenter] RUNDLL32.EXE C:\WINDOWS\System32\NvMcTray.dll,NvTaskbarInit
O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\System32\NvCpl.dll,NvStartup
O4 - HKLM\..\Run: [nod32kui] "C:\Program Files\Eset\nod32kui.exe" /WAITSERVICE
O4 - HKLM\..\Run: [NetLimiter] C:\Program Files\NetLimiter\NetLimiter.exe /s
O4 - HKLM\..\Run: [NeroFilterCheck] C:\WINDOWS\system32\NeroCheck.exe
O4 - HKLM\..\Run: [MessengerPlus3] "C:\Program Files\MessengerPlus! 3\MsgPlus.exe"
O4 - HKLM\..\Run: [LogitechVideoRepair] C:\Program Files\Logitech\Video\ISStart.exe
O4 - HKLM\..\Run: [LogitechGalleryRepair] C:\Program Files\Logitech\Video\ISStart.exe
O4 - HKLM\..\Run: [DAEMON Tools] "C:\Program Files\DAEMON Tools\daemon.exe" -lang 1033
O4 - HKLM\..\Run: [AGEIA PhysX SysTray] C:\Program Files\AGEIA Technologies\TrayIcon.exe
O4 - HKLM\..\Run: [1da42bd4.exe] C:\WINDOWS\system32\1da42bd4.exe
O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\ctfmon.exe
O4 - HKCU\..\Run: [NBJ] "C:\Program Files\Ahead\Nero BackItUp\NBJ.exe"
O4 - Startup: Palm Registration.lnk = C:\Program Files\Palm\register.exe
O4 - Global Startup: HOTSYNCSHORTCUTNAME.lnk = C:\Program Files\Palm\Hotsync.exe
O4 - Global Startup: LUMIX Simple Viewer.lnk = ?
O8 - Extra context menu item: Vie Microsoft E&xceliin - res://C:\PROGRA~1\MICROS~2\Office10\EXCEL.EXE/3000
O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\jre1.5.0_04\bin\npjpi150_04.dll
O9 - Extra 'Tools' menuitem: Sun Java Console - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\jre1.5.0_04\bin\npjpi150_04.dll
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe
O16 - DPF: {6414512B-B978-451D-A0D8-FCFDF33E833C} (WUWebControl Class) - http://update.microsoft.com/windowsupdate/v6/V5Controls/en/x86/cl...
O16 - DPF: {B38870E4-7ECB-40DA-8C6A-595F0A5519FF} (MsnMessengerSetupDownloadControl Class) - http://messenger.msn.com/download/msnmessengersetupdownloader.cab
O17 - HKLM\System\CCS\Services\Tcpip\..\{78FBA75F-337A-45A5-BE1E-6D807C2D769F}: NameServer = 80.248.96.130,80.248.97.30
O18 - Protocol: msnim - {828030A1-22C1-4009-854F-8E305202313F} - "C:\PROGRA~1\MSNMES~1\msgrapp.dll" (file missing)
O20 - AppInit_DLLs: C:\WINDOWS\system32\wmfhotfix.dll
O20 - Winlogon Notify: winmmt32 - C:\WINDOWS\SYSTEM32\winmmt32.dll
O23 - Service: Adobe LM Service - Adobe Systems - C:\Program Files\Common Files\Adobe Systems Shared\Service\Adobelmsvc.exe
O23 - Service: InstallDriver Table Manager (IDriverT) - Macrovision Corporation - C:\Program Files\Common Files\InstallShield\Driver\11\Intel 32\IDriverT.exe
O23 - Service: NOD32 Kernel Service (NOD32krn) - Unknown owner - C:\Program Files\Eset\nod32krn.exe
O23 - Service: NVIDIA Display Driver Service (NVSvc) - NVIDIA Corporation - C:\WINDOWS\System32\nvsvc32.exe
O23 - Service: Remote Administrator Service (r_server) - Unknown owner - C:\WINDOWS\system32\r_server.exe" /service (file missing)
O23 - Service: Sandra Data Service (SandraDataSrv) - SiSoftware - C:\Program Files\SiSoftware\SiSoftware Sandra Lite 2005.SR1\RpcDataSrv.exe
O23 - Service: Sandra Service (SandraTheSrv) - SiSoftware - C:\Program Files\SiSoftware\SiSoftware Sandra Lite 2005.SR1\RpcSandraSrv.exe
|
Senior Member
|
27. toukokuuta 2006 @ 18:50 |
Linkki tähän viestiin
|
@flabs, vain yksi loki per viestiketju, mutta menkööt nyt tälläkertaa näin
@flabs
Lataa SmitfraudFix (c) S!Ri
http://siri.urz.free.fr/Fix/SmitfraudFix.zip
Pura sisältö (kansio nimeltä SmitfraudFix) työpöydällesi:
Avaa SmitfraudFix kansio ja tupla-klikkaa smitfraudfix.cmd
Valitse optio #1 - Search kirjoittamalla 1 ja painamalla "Enter"; tekstitiedosto avautuu, joka listaa tarttuneet tiedostot (jos olemassa).
Postita tämän tekstitiedoston sisältö viestiketjuusi.
|
|
flabs
Junior Member
|
27. toukokuuta 2006 @ 20:42 |
Linkki tähän viestiin
|
|
@jurppis, tehty jo. ja poistettu jo. Mutta vielä tänä aamuna koitti avata jtn porno-pop-uppia, vaikka kaikki mu häikkä on hävinnyt.
|
Senior Member
|
28. toukokuuta 2006 @ 05:36 |
Linkki tähän viestiin
|
@flabs
Olisi kiva jos voisit silti lähettää sen smtfraudfixin lokin koska se näyttää kaikki tiedostot jotka siitä on jäänyt jos se on epäonnistunut se kakkosvaihtoehto.
Avaa HijackThis, paina do a system scan only ja merkkaa nämä:
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,SearchURL = prosearching.com
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,SearchURL = prosearching.com
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page_bak = prosearching.com
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page_bak = prosearching.com
O4 - HKLM\..\Run: [1da42bd4.exe] C:\WINDOWS\system32\1da42bd4.exe
O20 - Winlogon Notify: winmmt32 - C:\WINDOWS\SYSTEM32\winmmt32.dll
Sulje kaikki ikkunat ja paina fix cheked.
Oletko tarkoituksella asentanut radminin koneellesi, jos et, sen saa pois näin:
Paina käynnistä -> suorita -> kirjoita cmd
Kirjoita komentoriville
sc stop r_server
paina ok ja tee sama uudestaan paitsi nyt kirjoita
sc delete r_server
ja paina ok
Sitte poista tiedosto C:\WINDOWS\system32\->r_server.exe
Käynnitä tietokoneesi vikasietotilaan näpyttämällä F8:a käynnistyksen yhteydessä
Vikasietotilassa poista seuraavat tiedostot:
C:\WINDOWS\SYSTEM32\->winmmt32.dll
C:\WINDOWS\system32\->1da42bd4.exe
Käynnistä tietokoneesi normaalisti uudelleen jotta pääsisit takaisin normaalitilaan
Normaalitilassa skannaa koneesi Kaspersky Online Skannerilla (Internet Explorer)
Sinulta kysytään sallitko ActiveX -komponentin asentamisen Kasperskyltä, klikkaa Kyllä.
Ohjelma käynnistyy ja aloittaa viimeisimpien tunnistetiedostojen lataamisen.
Kun skanneri on asennettu ja tunnistetiedot ladattu, klikkaa Next.
Klikkaa nyt asetuksia, Scan Settings
Tarkista asetuksista, että seuraavat ovat valittuina:
o Scan using the following Anti-Virus database:
+ Extended (Jos valittavissa, muuten valitse Standard)
o Scan Options:
+ Scan Archives
+ Scan Mail Bases
Klikkaa OK
Nyt valitse "select a target to scan" otsikon alta Oma Tietokone, My Computer
Skannaus vie aikaa, joten ole kärsivällinen. Kun skannaus on valmis saat ilmoituksen, jos koneesi on saastunut.
Klikkaa nyt Save as Text-painiketta.
Tallenna tiedosto työpöydällesi.
Kopioi ja Liitä tiedoston sisältö seuraavaan vastaukseesi uuden HijackThis lokin kera.
|
|
flabs
Junior Member
|
28. toukokuuta 2006 @ 09:16 |
Linkki tähän viestiin
|
|
@jurppis
tässä smitfraudfixin loki:
Scan done at 13:14:10,34, su 28.05.2006
Run from C:\Documents and Settings\xxxxxxxxxxxxxx\Ty?p?yt?\SmitfraudFix
OS: Microsoft Windows XP [versio 5.1.2600]
Fix ran in normal mode
»»»»»»»»»»»»»»»»»»»»»»»» C:\
»»»»»»»»»»»»»»»»»»»»»»»» C:\WINDOWS
»»»»»»»»»»»»»»»»»»»»»»»» C:\WINDOWS\system
»»»»»»»»»»»»»»»»»»»»»»»» C:\WINDOWS\Web
»»»»»»»»»»»»»»»»»»»»»»»» C:\WINDOWS\system32
»»»»»»»»»»»»»»»»»»»»»»»» C:\WINDOWS\system32\LogFiles
»»»»»»»»»»»»»»»»»»»»»»»» C:\Documents and Settings\xxxxxxxx\Application Data
»»»»»»»»»»»»»»»»»»»»»»»» Start Menu
»»»»»»»»»»»»»»»»»»»»»»»» C:\DOCUME~1\XXXXXX~1\Suosikit
»»»»»»»»»»»»»»»»»»»»»»»» Desktop
»»»»»»»»»»»»»»»»»»»»»»»» C:\Program Files
»»»»»»»»»»»»»»»»»»»»»»»» Corrupted keys
»»»»»»»»»»»»»»»»»»»»»»»» Desktop Components
»»»»»»»»»»»»»»»»»»»»»»»» Sharedtaskscheduler
!!!Attention, following keys are not inevitably infected!!!
SrchSTS.exe by S!Ri
Search SharedTaskScheduler's .dll
»»»»»»»»»»»»»»»»»»»»»»»» Scanning wininet.dll infection
»»»»»»»»»»»»»»»»»»»»»»»» End
Viestiä on muokattu lähettämisen jälkeen. Viimeisin muokkaus 28. toukokuuta 2006 @ 09:20
|
Senior Member
|
28. toukokuuta 2006 @ 09:19 |
Linkki tähän viestiin
|
|
Joo, toi smitfraudfixin loki näyttää puhtaalta, tee vielä noi muut jutut mitä laitoin tohon
|
|
flabs
Junior Member
|
28. toukokuuta 2006 @ 09:42 |
Linkki tähän viestiin
|
Quote:
Vikasietotilassa poista seuraavat tiedostot:
C:\WINDOWS\SYSTEM32\->winmmt32.dll
C:\WINDOWS\system32\->1da42bd4.exe
Ei antanut poistaa ensimmäistä noista tiedostoista vaikka olin vikasietotilassa, ja toista noista ei löytynyt ollenkaan.
|
Senior Member
|
28. toukokuuta 2006 @ 09:48 |
Linkki tähän viestiin
|
Fiksaa ensiksi nämä Hjt:llä
O4 - HKLM\..\Run: [1da42bd4.exe] C:\WINDOWS\system32\1da42bd4.exe
O20 - Winlogon Notify: winmmt32 - C:\WINDOWS\SYSTEM32\winmmt32.dll
Seuraavaksi lataa Killbox Option^Explicitiltä.
http://www.downloads.subratam.org/KillBox.zip
Huomaa: Jos sinulla on jo Killbox, tämä on uusi versio joka sinun tulee asentaa. Poista aikaisempi.
Tallenna työpöydällesi.
Tupla-klikkaa Killbox.exe ajaaksesi ohjelman.
Valitse:
Delete on Reboot
sitten klikkaa All Files valintaa.
Kopioi ja liitä alapuolella olevat tiedostopolut leikepöydälle mustaamalla KAIKKI ne ja painamalla CTRL + C (tai, mustaamisen jälkeen, oikea klikki hiirellä ja valitse kopioi):
C:\WINDOWS\system32\1da42bd4.exe
C:\WINDOWS\SYSTEM32\winmmt32.dll
Palaa Killboxiin, mene File valikkoon, ja valitse Paste from Clipboard.
Klikkaa puna-valkoista Delete File valintaa. Klikkaa Yes "Delete on Reboot" pyyntöön. Klikkaa OK mihin vain PendingFileRenameOperations pyyntöön
Käynnistä koneesi itse jos se ei sitä automaattisesti tee.
Jos saat tälläisen viestin: "Component 'MsComCtl.ocx' or one of its dependencies not correctly registered: a file is missing or invalid." Lataa ja aja Missingfilessetup.exe
http://www.eudaemonia.me.uk/downloads/Files/missingfilesetup.exe
Lähetä uusi HijackThis loki
Viestiä on muokattu lähettämisen jälkeen. Viimeisin muokkaus 28. toukokuuta 2006 @ 09:54
|
|
flabs
Junior Member
|
28. toukokuuta 2006 @ 09:54 |
Linkki tähän viestiin
|
Nyt tota 1da42bd4.exe-tiedostoa ei edes ollut tossa HjT-listassa, mutta sen toisen fixasin.
|
Senior Member
|
28. toukokuuta 2006 @ 10:04 |
Linkki tähän viestiin
|
Joo hyvä, eli jos ajoit ton killboxin jo, niin lähetä sen jälkeen uusi HijackThis loki
|
|
flabs
Junior Member
|
28. toukokuuta 2006 @ 10:16 |
Linkki tähän viestiin
|
|
Mullon just toi virus skannaus meneillää....
|
|
flabs
Junior Member
|
28. toukokuuta 2006 @ 12:47 |
Linkki tähän viestiin
|
Logfile of HijackThis v1.99.1
Scan saved at 15:01:27, on 28.5.2006
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)
Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\spoolsv.exe
C:\WINDOWS\Explorer.EXE
C:\WINDOWS\SOUNDMAN.EXE
C:\WINDOWS\system32\RUNDLL32.EXE
C:\Program Files\Eset\nod32kui.exe
C:\Program Files\NetLimiter\NetLimiter.exe
C:\Program Files\MessengerPlus! 3\MsgPlus.exe
C:\Program Files\DAEMON Tools\daemon.exe
C:\Program Files\AGEIA Technologies\TrayIcon.exe
C:\WINDOWS\system32\ctfmon.exe
C:\Program Files\Palm\Hotsync.exe
C:\Program Files\Panasonic\LUMIXSimpleViewer\PhLeAutoRun.exe
C:\Program Files\Eset\nod32krn.exe
C:\WINDOWS\System32\nvsvc32.exe
C:\WINDOWS\system32\r_server.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\wuauclt.exe
C:\Documents and Settings\xxxxxxxxxxxxxx\Työpöytä\HijackThis.exe
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Linkit
O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Program Files\Adobe\Acrobat 5.0\Reader\ActiveX\AcroIEHelper.ocx
O4 - HKLM\..\Run: [SoundMan] SOUNDMAN.EXE
O4 - HKLM\..\Run: [NvMediaCenter] RUNDLL32.EXE C:\WINDOWS\System32\NvMcTray.dll,NvTaskbarInit
O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\System32\NvCpl.dll,NvStartup
O4 - HKLM\..\Run: [nod32kui] "C:\Program Files\Eset\nod32kui.exe" /WAITSERVICE
O4 - HKLM\..\Run: [NetLimiter] C:\Program Files\NetLimiter\NetLimiter.exe /s
O4 - HKLM\..\Run: [NeroFilterCheck] C:\WINDOWS\system32\NeroCheck.exe
O4 - HKLM\..\Run: [MessengerPlus3] "C:\Program Files\MessengerPlus! 3\MsgPlus.exe"
O4 - HKLM\..\Run: [LogitechVideoRepair] C:\Program Files\Logitech\Video\ISStart.exe
O4 - HKLM\..\Run: [LogitechGalleryRepair] C:\Program Files\Logitech\Video\ISStart.exe
O4 - HKLM\..\Run: [DAEMON Tools] "C:\Program Files\DAEMON Tools\daemon.exe" -lang 1033
O4 - HKLM\..\Run: [AGEIA PhysX SysTray] C:\Program Files\AGEIA Technologies\TrayIcon.exe
O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\ctfmon.exe
O4 - HKCU\..\Run: [NBJ] "C:\Program Files\Ahead\Nero BackItUp\NBJ.exe"
O4 - Startup: Palm Registration.lnk = C:\Program Files\Palm\register.exe
O4 - Global Startup: HOTSYNCSHORTCUTNAME.lnk = C:\Program Files\Palm\Hotsync.exe
O4 - Global Startup: LUMIX Simple Viewer.lnk = ?
O8 - Extra context menu item: Vie Microsoft E&xceliin - res://C:\PROGRA~1\MICROS~2\Office10\EXCEL.EXE/3000
O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\jre1.5.0_04\bin\npjpi150_04.dll
O9 - Extra 'Tools' menuitem: Sun Java Console - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\jre1.5.0_04\bin\npjpi150_04.dll
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe
O16 - DPF: {0EB0E74A-2A76-4AB3-A7FB-9BD8C29F7F75} (CKAVWebScan Object) - http://www.kaspersky.com/kos/english/kavwebscan_unicode.cab
O16 - DPF: {6414512B-B978-451D-A0D8-FCFDF33E833C} (WUWebControl Class) - http://update.microsoft.com/windowsupdate/v6/V5Controls/en/x86/cl...
O16 - DPF: {B38870E4-7ECB-40DA-8C6A-595F0A5519FF} (MsnMessengerSetupDownloadControl Class) - http://messenger.msn.com/download/msnmessengersetupdownloader.cab
O17 - HKLM\System\CCS\Services\Tcpip\..\{78FBA75F-337A-45A5-BE1E-6D807C2D769F}: NameServer = 80.248.96.130,80.248.97.30
O18 - Protocol: msnim - {828030A1-22C1-4009-854F-8E305202313F} - "C:\PROGRA~1\MSNMES~1\msgrapp.dll" (file missing)
O20 - AppInit_DLLs: C:\WINDOWS\system32\wmfhotfix.dll
O20 - Winlogon Notify: winmmt32 - winmmt32.dll (file missing)
O23 - Service: Adobe LM Service - Adobe Systems - C:\Program Files\Common Files\Adobe Systems Shared\Service\Adobelmsvc.exe
O23 - Service: InstallDriver Table Manager (IDriverT) - Macrovision Corporation - C:\Program Files\Common Files\InstallShield\Driver\11\Intel 32\IDriverT.exe
O23 - Service: NOD32 Kernel Service (NOD32krn) - Unknown owner - C:\Program Files\Eset\nod32krn.exe
O23 - Service: NVIDIA Display Driver Service (NVSvc) - NVIDIA Corporation - C:\WINDOWS\System32\nvsvc32.exe
O23 - Service: Remote Administrator Service (r_server) - Unknown owner - C:\WINDOWS\system32\r_server.exe" /service (file missing)
O23 - Service: Sandra Data Service (SandraDataSrv) - SiSoftware - C:\Program Files\SiSoftware\SiSoftware Sandra Lite 2005.SR1\RpcDataSrv.exe
O23 - Service: Sandra Service (SandraTheSrv) - SiSoftware - C:\Program Files\SiSoftware\SiSoftware Sandra Lite 2005.SR1\RpcSandraSrv.exe
-------------------------------------------------------------------------------
KASPERSKY ON-LINE SCANNER REPORT
Sunday, May 28, 2006 2:49:12 PM
Operating System: Microsoft Windows XP Professional, Service Pack 2 (Build 2600)
Kaspersky On-line Scanner version: 5.0.78.0
Kaspersky Anti-Virus database last update: 28/05/2006
Kaspersky Anti-Virus database records: 196820
-------------------------------------------------------------------------------
Scan Settings:
Scan using the following antivirus database: extended
Scan Archives: true
Scan Mail Bases: true
Scan Target - My Computer:
C:\
D:\
E:\
F:\
Scan Statistics:
Total number of scanned objects: 102833
Number of viruses found: 12
Number of infected objects: 33
Number of suspicious objects: 0
Duration of the scan process: 00:55:29
Infected Object Name / Virus Name / Last Action
C:\Documents and Settings\xxxxxxxxxxxxxx\Local Settings\Temporary Internet Files\Content.IE5\EXVC5WJ6\wlzip32[1].exe Infected: Trojan-Downloader.Win32.Tiny.bw skipped
C:\Documents and Settings\xxxxxxxxxxxxxx\Local Settings\Temporary Internet Files\Content.IE5\GZZZACD9\wizp32[1].exe Infected: Trojan-Downloader.Win32.IstBar.ff skipped
C:\Program Files\mIRC\backup\mirc.exe Infected: not-a-virus:Client-IRC.Win32.mIRC.616 skipped
C:\Program Files\mIRC\mirc.exe Infected: not-a-virus:Client-IRC.Win32.mIRC.616 skipped
C:\Program Files\Radmin\AdmDll.dll Infected: not-a-virus:RemoteAdmin.Win32.RAdmin.20 skipped
C:\Program Files\Radmin\raddrv.dll Infected: not-a-virus:RemoteAdmin.Win32.RAdmin.20 skipped
C:\Program Files\Radmin\radmin.exe Infected: not-a-virus:RemoteAdmin.Win32.RAdmin.21 skipped
C:\Program Files\Radmin\r_server.exe Infected: not-a-virus:RemoteAdmin.Win32.RAdmin.21 skipped
C:\Program Files\Save\ACM.dll Infected: not-a-virus:AdWare.Win32.SaveNow.cb skipped
C:\Program Files\Winamp\eMusic\Uninst-eMusic-promotion.exe/stream/data0002 Infected: not-a-virus:RiskTool.Win32.PsKill.n skipped
C:\Program Files\Winamp\eMusic\Uninst-eMusic-promotion.exe/stream Infected: not-a-virus:RiskTool.Win32.PsKill.n skipped
C:\Program Files\Winamp\eMusic\Uninst-eMusic-promotion.exe NSIS: infected - 2 skipped
C:\System Volume Information\_restore{C0EC103F-9E1E-4114-8DD2-4FA8D99ED082}\RP568\A0089558.tlb Infected: Trojan-Downloader.Win32.Zlob.obfuscated skipped
C:\System Volume Information\_restore{C0EC103F-9E1E-4114-8DD2-4FA8D99ED082}\RP568\A0089567.exe Infected: Trojan-Downloader.Win32.Zlob.pn skipped
C:\System Volume Information\_restore{C0EC103F-9E1E-4114-8DD2-4FA8D99ED082}\RP568\A0089568.exe Infected: Trojan-Downloader.Win32.Zlob.obfuscated skipped
C:\System Volume Information\_restore{C0EC103F-9E1E-4114-8DD2-4FA8D99ED082}\RP568\A0089569.dll Infected: not-virus:Hoax.Win32.Renos.dd skipped
C:\System Volume Information\_restore{C0EC103F-9E1E-4114-8DD2-4FA8D99ED082}\RP568\A0089571.exe Infected: Trojan-Downloader.Win32.Zlob.pw skipped
C:\System Volume Information\_restore{C0EC103F-9E1E-4114-8DD2-4FA8D99ED082}\RP568\A0089572.tlb Infected: Trojan-Downloader.Win32.Zlob.obfuscated skipped
C:\WINDOWS\system32\admdll.dll Infected: not-a-virus:RemoteAdmin.Win32.RAdmin.20 skipped
C:\WINDOWS\system32\raddrv.dll Infected: not-a-virus:RemoteAdmin.Win32.RAdmin.20 skipped
C:\WINDOWS\system32\r_server.exe Infected: not-a-virus:RemoteAdmin.Win32.RAdmin.21 skipped
C:\WINDOWS\system32\winmmt32.dll Infected: Trojan.Win32.Agent.qt skipped
D:\installit\RADMIN21.EXE/AdmDll.dll Infected: not-a-virus:RemoteAdmin.Win32.RAdmin.20 skipped
D:\installit\RADMIN21.EXE/raddrv.dll Infected: not-a-virus:RemoteAdmin.Win32.RAdmin.20 skipped
D:\installit\RADMIN21.EXE/radmin.exe Infected: not-a-virus:RemoteAdmin.Win32.RAdmin.21 skipped
D:\installit\RADMIN21.EXE/r_server.exe Infected: not-a-virus:RemoteAdmin.Win32.RAdmin.21 skipped
D:\installit\RADMIN21.EXE Gentee: infected - 4 skipped
D:\installit\RADMIN21.rar/RADMIN21.EXE/AdmDll.dll Infected: not-a-virus:RemoteAdmin.Win32.RAdmin.20 skipped
D:\installit\RADMIN21.rar/RADMIN21.EXE/raddrv.dll Infected: not-a-virus:RemoteAdmin.Win32.RAdmin.20 skipped
D:\installit\RADMIN21.rar/RADMIN21.EXE/radmin.exe Infected: not-a-virus:RemoteAdmin.Win32.RAdmin.21 skipped
D:\installit\RADMIN21.rar/RADMIN21.EXE/r_server.exe Infected: not-a-virus:RemoteAdmin.Win32.RAdmin.21 skipped
D:\installit\RADMIN21.rar/RADMIN21.EXE Infected: not-a-virus:RemoteAdmin.Win32.RAdmin.21 skipped
D:\installit\RADMIN21.rar RAR: infected - 5 skipped
Scan process completed.
Kauhia määrä viruksii koneella O.o minkähän takii ei toi nod32 huomaa mitää noista... ihan puhasta näyttää...
Viestiä on muokattu lähettämisen jälkeen. Viimeisin muokkaus 28. toukokuuta 2006 @ 12:59
|
Senior Member
|
28. toukokuuta 2006 @ 13:54 |
Linkki tähän viestiin
|
|
Ei ne ole kaikki viruksia, siinä on esim Radmin sekä mIRC.
Fiksaa tämä vielä:
O20 - Winlogon Notify: winmmt32 - winmmt32.dll (file missing)
Muuten loki näyttää puhtaalta vai onko vielä jotain ongelmia?
Tyhjennä vielä järjestelmän palautus:
Käynnistä -> Suorita -> Ohjauspaneeli -> Järjestelmä -> Järjestelmän palauttaminen -> laita rasti ruutuun "Poista järjestelmän palauttaminen käytöstä" -> ok ja käynnistä tietokoneesi uudelleen
Sen jälkeen tyhjennä IE:n väliaikaistiedostot
|
|
Mainos
|
|
|
|
flabs
Junior Member
|
28. toukokuuta 2006 @ 14:09 |
Linkki tähän viestiin
|
|
Kiitos, ei muita ongelmia :)
|
