|
|
|
Keskustelualueet
Keskustelualueet
|
|
|
Rajusti kakkaa koneella
|
|
Senior Member
|
9. marraskuuta 2006 @ 10:21 |
Linkki tähän viestiin
|
Vilkasisko joku tän:
Logfile of HijackThis v1.99.1
Scan saved at 15:20:08, on 9.11.2006
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)
Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\spoolsv.exe
C:\WINDOWS\Explorer.EXE
C:\Program Files\Ohjelmat\Grisoft\AVG Anti-Spyware 7.5\guard.exe
C:\WINDOWS\system32\issearch.exe
C:\WINDOWS\system32\isnotify.exe
C:\PROGRA~1\F-Secure\BackWeb\7681197\Program\SERVIC~1.EXE
C:\WINDOWS\system32\LVCOMSX.EXE
C:\Program Files\Adobe\Photoshop Album Starter Edition\3.0\Apps\apdproxy.exe
C:\WINDOWS\system32\rundll32.exe
C:\Program Files\Ohjelmat\Diskeeper Corporation\Diskeeper\DkService.exe
C:\Program Files\F-Secure\Common\FSM32.EXE
C:\Program Files\MSN Messenger\MsnMsgr.Exe
C:\Program Files\F-Secure\Anti-Virus\fsgk32st.exe
C:\Program Files\F-Secure\Anti-Virus\FSGK32.EXE
C:\Program Files\F-Secure\BackWeb\7681197\program\fsbwsys.exe
C:\Program Files\F-Secure\Anti-Virus\fssm32.exe
C:\Program Files\F-Secure\BackWeb\7681197\Program\F-Secure Automatic Update.exe
C:\Program Files\F-Secure\Common\FSMA32.EXE
C:\Program Files\F-Secure\Common\FSMB32.EXE
C:\WINDOWS\system32\nvsvc32.exe
C:\Program Files\F-Secure\Common\FCH32.EXE
C:\Program Files\Analog Devices\SoundMAX\SMAgent.exe
C:\WINDOWS\System32\svchost.exe
C:\Program Files\F-Secure\Common\FAMEH32.EXE
C:\Program Files\F-Secure\Anti-Virus\fsqh.exe
C:\Program Files\F-Secure\Anti-Virus\fsrw.exe
C:\Program Files\F-Secure\Anti-Virus\fsav32.exe
C:\Program Files\F-Secure\Common\FNRB32.EXE
C:\Program Files\F-Secure\FWES\Program\fsdfwd.exe
C:\Program Files\F-Secure\Common\FIH32.EXE
C:\Program Files\Common Files\PCSuite\Services\ServiceLayer.exe
C:\PROGRA~1\F-Secure\ANTI-S~1\fsaw.exe
C:\Program Files\F-Secure\FSGUI\fsguidll.exe
C:\Program Files\Ohjelmat\Tiedostot\utorrent.exe
C:\Program Files\Google\GoogleToolbarNotifier\1.2.908.5008\GoogleToolbarNotifier.exe
C:\Program Files\Ohjelmat\Winamp\winamp.exe
C:\HijackThis_v1.99.1.exe
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.telkku.com/
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Local Page =
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Local Page =
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName =
R3 - URLSearchHook: (no name) - {A8BD6820-6ED7-423E-9558-2D1486B0FEEA} - (no file)
O2 - BHO: Adobe PDF Reader Link Helper - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Program Files\Ohjelmat\Adobe\Acrobat 7.0\ActiveX\AcroIEHelper.dll
O2 - BHO: (no name) - {30A19EC5-7C0D-4E35-845C-38839DB3B39C} - C:\WINDOWS\system32\mlljg.dll
O2 - BHO: (no name) - {39f25b12-74ff-4079-a51f-1d70f5b08b84} - C:\WINDOWS\system32\ixt0.dll
O2 - BHO: (no name) - {44842746-3A04-114F-2132-0A4448708442} - C:\WINDOWS\system32\anvikjc.dll
O2 - BHO: (no name) - {58D57380-5E5C-42B0-B877-9E3F8241FC14} - C:\Program Files\NetMeeting\megoxa.dll (file missing)
O2 - BHO: SSVHelper Class - {761497BB-D6F0-462C-B6EB-D4DAF1D92D43} - C:\Program Files\Java\jre1.5.0_08\bin\ssv.dll
O2 - BHO: Google Toolbar Helper - {AA58ED58-01DD-4d91-8333-CF10577473F7} - c:\program files\google\googletoolbar3.dll
O2 - BHO: (no name) - {F18F04B0-9CF1-4b93-B004-77A288BEE28B} - C:\WINDOWS\system32\svpykkgm.dll (file missing)
O3 - Toolbar: &Google - {2318C2B1-4965-11d4-9B18-009027A5CD4F} - c:\program files\google\googletoolbar3.dll
O4 - HKLM\..\Run: [LVCOMSX] C:\WINDOWS\system32\LVCOMSX.EXE
O4 - HKLM\..\Run: [DiskeeperSystray] "C:\Program Files\Ohjelmat\Diskeeper Corporation\Diskeeper\DkIcon.exe"
O4 - HKLM\..\Run: [Adobe Photo Downloader] "C:\Program Files\Adobe\Photoshop Album Starter Edition\3.0\Apps\apdproxy.exe"
O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\system32\NvCpl.dll,NvStartup
O4 - HKLM\..\Run: [SmcService] C:\PROGRA~1\Sygate\SPF\smc.exe -startgui
O4 - HKLM\..\Run: [CTDrive] rundll32.exe C:\WINDOWS\system32\drvmih.dll,startup
O4 - HKLM\..\Run: [stvsqwb.dll] C:\WINDOWS\system32\rundll32.exe C:\WINDOWS\system32\stvsqwb.dll,kzvwmsc
O4 - HKLM\..\Run: [F-Secure Manager] "C:\Program Files\F-Secure\Common\FSM32.EXE" /splash
O4 - HKLM\..\Run: [F-Secure TNB] "C:\Program Files\F-Secure\TNB\TNBUtil.exe" /CHECKALL /WAITFORSW
O4 - HKCU\..\Run: [msnmsgr] "C:\Program Files\MSN Messenger\MsnMsgr.Exe" /background
O4 - Global Startup: F-Secure Automatic Update.lnk = C:\Program Files\F-Secure\BackWeb\7681197\program\F-Secure Automatic Update.exe
O8 - Extra context menu item: &Block this popup - C:\Program Files\F-Secure\Anti-Spyware\blockpopups.htm
O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\jre1.5.0_08\bin\ssv.dll
O9 - Extra 'Tools' menuitem: Sun Java Console - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\jre1.5.0_08\bin\ssv.dll
O9 - Extra button: IE Shield - {300DB664-75B5-47c0-8B45-A44ACCF73C00} - C:\Program Files\F-Secure\Anti-Spyware\ieshield.dll
O9 - Extra 'Tools' menuitem: IE Shield... - {300DB664-75B5-47c0-8B45-A44ACCF73C00} - C:\Program Files\F-Secure\Anti-Spyware\ieshield.dll
O10 - Broken Internet access because of LSP provider 'c:\program files\newdotnet\newdotnet6_38.dll' missing
O16 - DPF: {6414512B-B978-451D-A0D8-FCFDF33E833C} (WUWebControl Class) - http://update.microsoft.com/windowsupdat...b?1156331476499
O16 - DPF: {6E32070A-766D-4EE6-879C-DC1FA91D2FC3} (MUWebControl Class) - http://update.microsoft.com/microsoftupd...b?1156331933124
O18 - Protocol: livecall - {828030A1-22C1-4009-854F-8E305202313F} - C:\PROGRA~1\MSNMES~1\MSGRAP~1.DLL
O18 - Protocol: msnim - {828030A1-22C1-4009-854F-8E305202313F} - C:\PROGRA~1\MSNMES~1\MSGRAP~1.DLL
O20 - Winlogon Notify: mlljg - C:\WINDOWS\system32\mlljg.dll
O20 - Winlogon Notify: winhab32 - C:\WINDOWS\SYSTEM32\winhab32.dll
O23 - Service: Adobe LM Service - Adobe Systems - C:\Program Files\Common Files\Adobe Systems Shared\Service\Adobelmsvc.exe
O23 - Service: AVG Anti-Spyware Guard - Anti-Malware Development a.s. - C:\Program Files\Ohjelmat\Grisoft\AVG Anti-Spyware 7.5\guard.exe
O23 - Service: F-Secure Automatic Update (BackWeb Plug-in - 7681197) - F-Secure Automatic Update - C:\PROGRA~1\F-Secure\BackWeb\7681197\Program\SERVIC~1.EXE
O23 - Service: Diskeeper - Diskeeper Corporation - C:\Program Files\Ohjelmat\Diskeeper Corporation\Diskeeper\DkService.exe
O23 - Service: FSGKHS (F-Secure Gatekeeper Handler Starter) - F-Secure Corp. - C:\Program Files\F-Secure\Anti-Virus\fsgk32st.exe
O23 - Service: F-Secure Network Request Broker - F-Secure Corporation - C:\Program Files\F-Secure\Common\FNRB32.EXE
O23 - Service: fsbwsys - F-Secure Corp. - C:\Program Files\F-Secure\BackWeb\7681197\program\fsbwsys.exe
O23 - Service: F-Secure Anti-Virus Firewall Daemon (FSDFWD) - F-Secure Corporation - C:\Program Files\F-Secure\FWES\Program\fsdfwd.exe
O23 - Service: F-Secure Management Agent (FSMA) - F-Secure Corporation - C:\Program Files\F-Secure\Common\FSMA32.EXE
O23 - Service: Microsoft authenticate service (MsaSvc) - Unknown owner - C:\WINDOWS\system32\msasvc.exe (file missing)
O23 - Service: Network Monitor - Unknown owner - C:\Program Files\Network Monitor\netmon.exe (file missing)
O23 - Service: NVIDIA Display Driver Service (NVSvc) - NVIDIA Corporation - C:\WINDOWS\system32\nvsvc32.exe
O23 - Service: ServiceLayer - Nokia. - C:\Program Files\Common Files\PCSuite\Services\ServiceLayer.exe
O23 - Service: Sygate Personal Firewall (SmcService) - Sygate Technologies, Inc. - C:\Program Files\Sygate\SPF\smc.exe
O23 - Service: SoundMAX Agent Service (SoundMAX Agent Service (default)) - Analog Devices, Inc. - C:\Program Files\Analog Devices\SoundMAX\SMAgent.exe
CM 690 II Advanced, i5 2500K, MSI P67A-C43, Scythe Mugen-2 Revision B, XFX Pro550 80+ pronze, CORSAIR DDR3-1600 2*2G CL9 VENGEANCE, Asus r9 290x directCU II ,Samsung 830 SSD 128Gb+ 4.5 teraa, Win 7.
|
|
fixeri
Member
|
9. marraskuuta 2006 @ 10:49 |
Linkki tähän viestiin
|
On, sitä on kyllä paljon.
lataa eka LSPfix.exe http://www.cexx.org/lspfix.htm
tallenna vaikka työpöydälle ja klikkaa kuvaketta.
ruksi kohtaan I know what I am doing
Etsi lsp listasta newdotnet6_38.dll ja laitat sen nuolella oikeanpuoleiseen laatikkoon, jos se ei oo jo siellä
ja sit fixaa se HJT:llä.
Fixaa nämä HJT:llä:
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Local Page =
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Local Page =
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName =
R3 - URLSearchHook: (no name) - {A8BD6820-6ED7-423E-9558-2D1486B0FEEA} - (no file)
O2 - BHO: (no name) - {30A19EC5-7C0D-4E35-845C-38839DB3B39C} - C:\WINDOWS\system32\mlljg.dll
O2 - BHO: (no name) - {39f25b12-74ff-4079-a51f-1d70f5b08b84} - C:\WINDOWS\system32\ixt0.dll
O2 - BHO: (no name) - {44842746-3A04-114F-2132-0A4448708442} - C:\WINDOWS\system32\anvikjc.dll
O2 - BHO: (no name) - {58D57380-5E5C-42B0-B877-9E3F8241FC14} - C:\Program Files\NetMeeting\megoxa.dll (file missing)
O2 - BHO: (no name) - {F18F04B0-9CF1-4b93-B004-77A288BEE28B} - C:\WINDOWS\system32\svpykkgm.dll (file missing)
O4 - HKLM\..\Run: [stvsqwb.dll] C:\WINDOWS\system32\rundll32.exe C:\WINDOWS\system32\stvsqwb.dll,kzvwmsc
Boottaa kone vikasietotilaan, laita piilotiedostot näkyviin ja poista issearch ja isnotify:
C:\WINDOWS\system32\---->issearch.exe<-----
C:\WINDOWS\system32\---->isnotify.exe<----
Lataa VundoFix.exe työpöydällesi.
http://www.atribune.org/ccount/click.php?id=4
-Tupla-klikkaa VundoFix.exe ajaaksesi sen.
-Klikkaa Scan for Vundo valintaa.
-Kun skannaus on valmis, klikkaa Remove Vundo valintaa.
-Sinulta kysytään haluatko poistaa filut - klikkaa YES.
-Kun olet klikannut yes, työpöytäsi tyhjenee kun se alkaa poistamaan Vundoa.
-Kun se on valmis, fiksi ilmoittaa käynnistäväsi koneesi uudelleen, klikkaa OK.
-Lähetä C:\vundofix.txt loki sekä uusi HjT logi.
Huomaa: Se on mahdollista että VundoFix löysi tiedoston jota se ei pystynyt poistamaan.
Tässä tilanteessa, VundoFix ajaa itsensä rebootissa, seuraa vain yläpuolelle olevia ohjeita alkaen kohdasta Klikkaa Scan for Vundo valintaa.
kun VundoFix ilmaantuu uudelleenkäynnistyksen yhteydessä.
|
|
fixeri
Member
|
9. marraskuuta 2006 @ 10:56 |
Linkki tähän viestiin
|
|
|
Senior Member
|
9. marraskuuta 2006 @ 11:03 |
Linkki tähän viestiin
|
CM 690 II Advanced, i5 2500K, MSI P67A-C43, Scythe Mugen-2 Revision B, XFX Pro550 80+ pronze, CORSAIR DDR3-1600 2*2G CL9 VENGEANCE, Asus r9 290x directCU II ,Samsung 830 SSD 128Gb+ 4.5 teraa, Win 7.
|
|
fixeri
Member
|
9. marraskuuta 2006 @ 11:08 |
Linkki tähän viestiin
|
|
ok, hyvä homma.
|
|
nObO2
Suspended due to non-functional email address
|
9. marraskuuta 2006 @ 11:10 |
Linkki tähän viestiin
|
Fixeri et tainu kattoo kauheen tarkkaan xD. Lähetäpä uus HjT-loki kun oot tehny ton.
||AMD Athlon(tm) 64 Processor 3200+||510RAM|| Nvidia 7600GT AGP||Windows XP||Fsecure||Fujitsu Siemens Scaleo T||
|
|
fixeri
Member
|
9. marraskuuta 2006 @ 11:14 |
Linkki tähän viestiin
|
|
Silmät haritti..;)
|
|
Marku2
Senior Member
|
9. marraskuuta 2006 @ 11:19 |
Linkki tähän viestiin
|
@Fixeri: Taas muutama juttu:
Lainaus, alkuperäisen viestin kirjoitti fixeri:
Boottaa kone vikasietotilaan, laita piilotiedostot näkyviin ja poista issearch ja isnotify:
C:\WINDOWS\system32\---->issearch.exe<-----
C:\WINDOWS\system32\---->isnotify.exe<----
Combofix poistaa nuo, joten se kannattaa ajaa, koska voi löytää jotain vielä lisää.
Kannattaa ajattaa myös smitfraudfix ja optio #1.
Sitten....
Tämä rivi fixataan: O20 - Winlogon Notify: winhab32 - C:\WINDOWS\SYSTEM32\winhab32.dll
Ja tuo tiedosto kannattaa poistaa killboxilla, ei lähde käsin.
Ja tämä rivi fixataan: O23 - Service: Network Monitor - Unknown owner - C:\Program Files\Network Monitor\netmon.exe (file missing)
+ Poista tuo palvelu.
J-lalli: Kun tuossa F-securessa on palomuuri niin älä asenna sitä ZoneAlarmia. Ja poista myös tuo Sygate. (palomuuri)
@nObO2: Sinuna en menisi valittamaan fixerille ;) Ihan niinku vinkki ;)
Viestiä on muokattu lähettämisen jälkeen. Viimeisin muokkaus 9. marraskuuta 2006 @ 11:23
|
|
fixeri
Member
|
9. marraskuuta 2006 @ 11:47 |
Linkki tähän viestiin
|
|
Aattelinpa että tuossa on alkuun tekemistä jokski aikaa.
|
Senior Member
|
9. marraskuuta 2006 @ 11:49 |
Linkki tähän viestiin
|
Vieläkii aukee ihme sivuja, ohessa uusi HjT-loki
Logfile of HijackThis v1.99.1
Scan saved at 16:48:11, on 9.11.2006
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)
Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\csrss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\spoolsv.exe
C:\WINDOWS\Explorer.EXE
C:\Program Files\Ohjelmat\Grisoft\AVG Anti-Spyware 7.5\guard.exe
C:\PROGRA~1\F-Secure\BackWeb\7681197\Program\SERVIC~1.EXE
C:\Program Files\Ohjelmat\Diskeeper Corporation\Diskeeper\DkService.exe
C:\Program Files\F-Secure\BackWeb\7681197\Program\F-Secure Automatic Update.exe
C:\Program Files\F-Secure\Anti-Virus\fsgk32st.exe
C:\Program Files\F-Secure\Anti-Virus\FSGK32.EXE
C:\Program Files\F-Secure\BackWeb\7681197\program\fsbwsys.exe
C:\Program Files\F-Secure\Common\FSMA32.EXE
C:\Program Files\F-Secure\Anti-Virus\fssm32.exe
C:\Program Files\F-Secure\Common\FSMB32.EXE
C:\WINDOWS\system32\nvsvc32.exe
C:\Program Files\Analog Devices\SoundMAX\SMAgent.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\wdfmgr.exe
C:\Program Files\F-Secure\Common\FCH32.EXE
C:\Program Files\F-Secure\Common\FAMEH32.EXE
C:\Program Files\F-Secure\Anti-Virus\fsqh.exe
C:\Program Files\F-Secure\Anti-Virus\fsrw.exe
C:\Program Files\F-Secure\Anti-Virus\fsav32.exe
C:\WINDOWS\system32\wuauclt.exe
C:\WINDOWS\system32\LVCOMSX.EXE
C:\Program Files\Adobe\Photoshop Album Starter Edition\3.0\Apps\apdproxy.exe
C:\Program Files\F-Secure\Common\FSM32.EXE
C:\Program Files\MSN Messenger\MsnMsgr.Exe
C:\Program Files\F-Secure\Common\FNRB32.EXE
C:\Program Files\F-Secure\FWES\Program\fsdfwd.exe
C:\Program Files\F-Secure\Common\FIH32.EXE
C:\Program Files\Common Files\PCSuite\Services\ServiceLayer.exe
C:\PROGRA~1\F-Secure\ANTI-S~1\fsaw.exe
C:\Program Files\F-Secure\FSGUI\fsguidll.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\wbem\wmiprvse.exe
C:\HijackThis_v1.99.1.exe
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.telkku.com/
O2 - BHO: Adobe PDF Reader Link Helper - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Program Files\Ohjelmat\Adobe\Acrobat 7.0\ActiveX\AcroIEHelper.dll
O2 - BHO: (no name) - {39f25b12-74ff-4079-a51f-1d70f5b08b84} - C:\WINDOWS\system32\ixt0.dll
O2 - BHO: SSVHelper Class - {761497BB-D6F0-462C-B6EB-D4DAF1D92D43} - C:\Program Files\Java\jre1.5.0_08\bin\ssv.dll
O2 - BHO: (no name) - {81D702D0-7674-44CC-AA43-861B4AE0BFDB} - C:\WINDOWS\system32\mlljg.dll
O2 - BHO: Google Toolbar Helper - {AA58ED58-01DD-4d91-8333-CF10577473F7} - c:\program files\google\googletoolbar3.dll
O3 - Toolbar: &Google - {2318C2B1-4965-11d4-9B18-009027A5CD4F} - c:\program files\google\googletoolbar3.dll
O4 - HKLM\..\Run: [LVCOMSX] C:\WINDOWS\system32\LVCOMSX.EXE
O4 - HKLM\..\Run: [DiskeeperSystray] "C:\Program Files\Ohjelmat\Diskeeper Corporation\Diskeeper\DkIcon.exe"
O4 - HKLM\..\Run: [Adobe Photo Downloader] "C:\Program Files\Adobe\Photoshop Album Starter Edition\3.0\Apps\apdproxy.exe"
O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\system32\NvCpl.dll,NvStartup
O4 - HKLM\..\Run: [CTDrive] rundll32.exe C:\WINDOWS\system32\drvmih.dll,startup
O4 - HKLM\..\Run: [F-Secure Manager] "C:\Program Files\F-Secure\Common\FSM32.EXE" /splash
O4 - HKLM\..\Run: [F-Secure TNB] "C:\Program Files\F-Secure\TNB\TNBUtil.exe" /CHECKALL /WAITFORSW
O4 - HKCU\..\Run: [msnmsgr] "C:\Program Files\MSN Messenger\MsnMsgr.Exe" /background
O4 - Global Startup: F-Secure Automatic Update.lnk = C:\Program Files\F-Secure\BackWeb\7681197\program\F-Secure Automatic Update.exe
O8 - Extra context menu item: &Block this popup - C:\Program Files\F-Secure\Anti-Spyware\blockpopups.htm
O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\jre1.5.0_08\bin\ssv.dll
O9 - Extra 'Tools' menuitem: Sun Java Console - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\jre1.5.0_08\bin\ssv.dll
O9 - Extra button: IE Shield - {300DB664-75B5-47c0-8B45-A44ACCF73C00} - C:\Program Files\F-Secure\Anti-Spyware\ieshield.dll
O9 - Extra 'Tools' menuitem: IE Shield... - {300DB664-75B5-47c0-8B45-A44ACCF73C00} - C:\Program Files\F-Secure\Anti-Spyware\ieshield.dll
O10 - Broken Internet access because of LSP provider 'c:\program files\newdotnet\newdotnet6_38.dll' missing
O16 - DPF: {6414512B-B978-451D-A0D8-FCFDF33E833C} (WUWebControl Class) - http://update.microsoft.com/windowsupdat...b?1156331476499
O16 - DPF: {6E32070A-766D-4EE6-879C-DC1FA91D2FC3} (MUWebControl Class) - http://update.microsoft.com/microsoftupd...b?1156331933124
O18 - Protocol: livecall - {828030A1-22C1-4009-854F-8E305202313F} - C:\PROGRA~1\MSNMES~1\MSGRAP~1.DLL
O18 - Protocol: msnim - {828030A1-22C1-4009-854F-8E305202313F} - C:\PROGRA~1\MSNMES~1\MSGRAP~1.DLL
O20 - Winlogon Notify: mlljg - C:\WINDOWS\system32\mlljg.dll
O23 - Service: Adobe LM Service - Adobe Systems - C:\Program Files\Common Files\Adobe Systems Shared\Service\Adobelmsvc.exe
O23 - Service: AVG Anti-Spyware Guard - Anti-Malware Development a.s. - C:\Program Files\Ohjelmat\Grisoft\AVG Anti-Spyware 7.5\guard.exe
O23 - Service: F-Secure Automatic Update (BackWeb Plug-in - 7681197) - F-Secure Automatic Update - C:\PROGRA~1\F-Secure\BackWeb\7681197\Program\SERVIC~1.EXE
O23 - Service: Diskeeper - Diskeeper Corporation - C:\Program Files\Ohjelmat\Diskeeper Corporation\Diskeeper\DkService.exe
O23 - Service: FSGKHS (F-Secure Gatekeeper Handler Starter) - F-Secure Corp. - C:\Program Files\F-Secure\Anti-Virus\fsgk32st.exe
O23 - Service: F-Secure Network Request Broker - F-Secure Corporation - C:\Program Files\F-Secure\Common\FNRB32.EXE
O23 - Service: fsbwsys - F-Secure Corp. - C:\Program Files\F-Secure\BackWeb\7681197\program\fsbwsys.exe
O23 - Service: F-Secure Anti-Virus Firewall Daemon (FSDFWD) - F-Secure Corporation - C:\Program Files\F-Secure\FWES\Program\fsdfwd.exe
O23 - Service: F-Secure Management Agent (FSMA) - F-Secure Corporation - C:\Program Files\F-Secure\Common\FSMA32.EXE
O23 - Service: Microsoft authenticate service (MsaSvc) - Unknown owner - C:\WINDOWS\system32\msasvc.exe (file missing)
O23 - Service: NVIDIA Display Driver Service (NVSvc) - NVIDIA Corporation - C:\WINDOWS\system32\nvsvc32.exe
O23 - Service: ServiceLayer - Nokia. - C:\Program Files\Common Files\PCSuite\Services\ServiceLayer.exe
O23 - Service: SoundMAX Agent Service (SoundMAX Agent Service (default)) - Analog Devices, Inc. - C:\Program Files\Analog Devices\SoundMAX\SMAgent.exe
O23 - Service: VundoFix Service (VundoFixSvc) - Atribune.org - C:\WINDOWS\SYSTEM32\VundoFixSVC.exe
Tässä smitin loki:
SmitFraudFix v2.119
Scan done at 17:10:31,34, to 09.11.2006
Run from C:\Documents and Settings\P. Hirvonen\Ty?p?yt?\SmitfraudFix_v2.119\SmitfraudFix
OS: Microsoft Windows XP [versio 5.1.2600] - Windows_NT
Fix run in normal mode
»»»»»»»»»»»»»»»»»»»»»»»» C:\
»»»»»»»»»»»»»»»»»»»»»»»» C:\WINDOWS
»»»»»»»»»»»»»»»»»»»»»»»» C:\WINDOWS\system
»»»»»»»»»»»»»»»»»»»»»»»» C:\WINDOWS\Web
»»»»»»»»»»»»»»»»»»»»»»»» C:\WINDOWS\system32
C:\WINDOWS\system32\ixt?.dll FOUND !
C:\WINDOWS\system32\ixt??.dll FOUND !
C:\WINDOWS\system32\drvmih.dll FOUND !
C:\WINDOWS\system32\components\flx?.dll FOUND !
C:\WINDOWS\system32\components\flx??.dll FOUND !
C:\WINDOWS\system32\components\flx???.dll FOUND !
»»»»»»»»»»»»»»»»»»»»»»»» C:\Documents and Settings\P. Hirvonen
»»»»»»»»»»»»»»»»»»»»»»»» C:\Documents and Settings\P. Hirvonen\Application Data
»»»»»»»»»»»»»»»»»»»»»»»» Start Menu
C:\DOCUME~1\ALLUSE~1\KYNNIS~1\Online Security Guide.url FOUND !
C:\DOCUME~1\ALLUSE~1\KYNNIS~1\Security Troubleshooting.url FOUND !
»»»»»»»»»»»»»»»»»»»»»»»» C:\DOCUME~1\P284A~1.HIR\Suosikit
C:\DOCUME~1\P284A~1.HIR\Suosikit\Antivirus Test Online.url FOUND !
»»»»»»»»»»»»»»»»»»»»»»»» Desktop
»»»»»»»»»»»»»»»»»»»»»»»» C:\Program Files
C:\Program Files\VirusBursters\ FOUND !
»»»»»»»»»»»»»»»»»»»»»»»» Corrupted keys
»»»»»»»»»»»»»»»»»»»»»»»» Desktop Components
[HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\Desktop\Components\0]
"Source"="C:\\Program Files\\WindowsUpdate\\pono.html"
"SubscribedURL"=""
"FriendlyName"=""
[HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\Desktop\Components\1]
"Source"="C:\\Program Files\\MSN Gaming Zone\\meleji.html"
"SubscribedURL"=""
"FriendlyName"=""
[HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\Desktop\Components\2]
"Source"="About:Home"
"SubscribedURL"="About:Home"
"FriendlyName"="Nykyinen kotisivu"
»»»»»»»»»»»»»»»»»»»»»»»» Sharedtaskscheduler
!!!Attention, following keys are not inevitably infected!!!
SrchSTS.exe by S!Ri
Search SharedTaskScheduler's .dll
»»»»»»»»»»»»»»»»»»»»»»»» AppInit_DLLs
!!!Attention, following keys are not inevitably infected!!!
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Windows]
"AppInit_DLLs"=""
»»»»»»»»»»»»»»»»»»»»»»»» pe386-msguard-lzx32
pe386 detected, use a Rootkit scanner
»»»»»»»»»»»»»»»»»»»»»»»» Scanning wininet.dll infection
»»»»»»»»»»»»»»»»»»»»»»»» End
CM 690 II Advanced, i5 2500K, MSI P67A-C43, Scythe Mugen-2 Revision B, XFX Pro550 80+ pronze, CORSAIR DDR3-1600 2*2G CL9 VENGEANCE, Asus r9 290x directCU II ,Samsung 830 SSD 128Gb+ 4.5 teraa, Win 7.
Viestiä on muokattu lähettämisen jälkeen. Viimeisin muokkaus 9. marraskuuta 2006 @ 12:12
|
|
fixeri
Member
|
9. marraskuuta 2006 @ 12:34 |
Linkki tähän viestiin
|
Tuosta sit.
Printtaa ohjeet ulos.
Käynnistä koneesi vikasietotilaan.
Kun vikasietotilassa, avaa SmitfraudFix kansio ja tupla-klikkaa smitfraudfix.cmd
Valitse optio 2 - Clean kirjoittamalla 2 ja painamalla "Enter" poistaaksesi tarttuneet tiedostot.
Sinulta kysytään: "Registry cleaning - Do you want to clean the registry ?"; vastaa "Yes" kirjoittamalla Y ja paina "Enter" poistaaksesi työpöydän taustakuvan ja puhdistaaksesi tarttuneet rekisteriavaimet.
Työkalu tarkistaa jos wininet.dll on tarttunut. Sinua saatetaan pyytää korvaamaan tarttunut .dll (jos löytyy); vastaa "Yes" kirjoittamalla Y ja painamalla "Enter".
Työkalun saattaa tarvita käynnistää kone uudelleen; jos ei tee niin, käynnistä normaaliin Windowsiin.
Tekstitiedosto ilmestyy, puhdistusprosessin jäljiltä; kopioi ja liitä tämän raportin tulokset vastaukseesi.
Raportti löytyy paikalliselta levyltäsi, useimmiten C:\rapport.txt.
Lähetä myös uusi HjT logi.
|
|
Marku2
Senior Member
|
9. marraskuuta 2006 @ 12:39 |
Linkki tähän viestiin
|
@J-lalli: Jatko-ohjeet:
Tarkista tämä tiedosto: C:\WINDOWS\system32\msasvc.exe
Täällä -> http://virusscan.jotti.org/
Tai
Täällä -> http://www.virustotal.com/flash/index_en.html
Lataa VundoFix.exe työpöydällesi.[list]
[*]Tupla-klikkaa VundoFix.exe ajaaksesi sen.
[*]Klikkaa Scan for Vundo valintaa.
[*]Kun skannaus on valmis, klikkaa Remove Vundo valintaa.
[*]Sinulta kysytään haluatko poistaa filut - klikkaa YES.
[*]Kun olet klikannut yes, työpöytäsi tyhjenee kun se alkaa poistamaan Vundoa.
[*]Kun se on valmis, fiksi ilmoittaa käynnistäväsi koneesi uudelleen, klikkaa OK.
[*]Postita C:\vundofix.txt lokin sekä tuoreen HijackThis lokin sisältö.
[/list]
Huomaa: Se on mahdollista että VundoFix löysi tiedoston jota se ei pystynyt poistamaan.
Tässä tilanteessa, VundoFix ajaa itsensä rebootissa, seuraa vain yläpuolelle olevia ohjeita alkaen kohdasta "Klikkaa Scan for Vundo valintaa." kun VundoFix ilmaantuu uudelleenkäynnistyksen yhteydessä.
Hae LSPFix tuolta (joko se zippi tai sitten exe).
http://cexx.org/lspfix.htm
Tallenna se vaikka työpöydälle tai johonkin hakemistoon.
Avaa LSPFix
Laita rasti ruutuun, "I know what I?m doing".
Klikkaa vasemmassa ruudussa olevaa newdotnet6_38.dll , siirrä se oikealla olevaan ruutuun nuolinäppäimellä, klikkaa "Remove", paina Finish ja sulje LSPFix.
Printtaa ohjeet ulos.
Käynnistä koneesi vikasietotilaan ja valitse tavallinen käyttäjätilisi.
Kun vikasietotilassa, avaa SmitfraudFix kansio ja tupla-klikkaa smitfraudfix.cmd
Valitse optio #2 - Clean kirjoittamalla 2 ja painamalla "Enter" poistaaksesi tarttuneet tiedostot.
Sinulta kysytään: "Registry cleaning - Do you want to clean the registry ?"; vastaa "Yes" kirjoittamalla Y ja paina "Enter" poistaaksesi työpöydän taustakuvan ja puhdistaaksesi tarttuneet rekisteriavaimet.
Työkalu tarkistaa jos wininet.dll on tarttunut. Sinua saatetaan pyytää korvaamaan tarttunut .dll (jos löytyy); vastaa "Yes" kirjoittamalla Y ja painamalla "Enter".
Työkalun saattaa tarvita käynnistää kone uudelleen; jos ei tee niin, käynnistä normaaliin Windowsiin.
Tekstitiedosto ilmestyy, puhdistusprosessin jäljiltä; kopioi & liitä tämän raportin tulokset vastaukseesi.
Raportti löytyy paikalliselta levyltäsi, useimmiten C:\rapport.txt.
Käynnistä kone normaalitilaan!
1. Lataa combofix.exe tiedosto työpöydällesi.
2. Tuplaklikkaa combofix.exe tiedostoa ja seuraa ohjeistuksia.
3. Kun työkalu on valmis, se tuottaa lokin. Lähetä tämä loki viesti ketjuusi.
Huom! Älä klikkaile combofixin ikkunaa käytön aikana. Tämä saattaa aiheuttaa ohjelman jumiutumisen.
Lähetä uusi HjT-loki, C:\vundofix.txt, C:\rapport.txt, C:\Combofix.txt ja Jotti/Virustotalin tulokset.
Viestiä on muokattu lähettämisen jälkeen. Viimeisin muokkaus 9. marraskuuta 2006 @ 12:40
|
|
fixeri
Member
|
9. marraskuuta 2006 @ 12:45 |
Linkki tähän viestiin
|
|
Miksihän nämä samat ohjeet pitää tänne kymmenen eri kertaa laittaa?
|
Senior Member
|
9. marraskuuta 2006 @ 13:03 |
Linkki tähän viestiin
|
Niinpä...
hjt-loki ja smitin loki on tos ylempänä, mutta laitetaan tähän.
Vieläkii aukee ihme sivuja, ohessa uusi HjT-loki
Logfile of HijackThis v1.99.1
Scan saved at 16:48:11, on 9.11.2006
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)
Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\csrss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\spoolsv.exe
C:\WINDOWS\Explorer.EXE
C:\Program Files\Ohjelmat\Grisoft\AVG Anti-Spyware 7.5\guard.exe
C:\PROGRA~1\F-Secure\BackWeb\7681197\Program\SERVIC~1.EXE
C:\Program Files\Ohjelmat\Diskeeper Corporation\Diskeeper\DkService.exe
C:\Program Files\F-Secure\BackWeb\7681197\Program\F-Secure Automatic Update.exe
C:\Program Files\F-Secure\Anti-Virus\fsgk32st.exe
C:\Program Files\F-Secure\Anti-Virus\FSGK32.EXE
C:\Program Files\F-Secure\BackWeb\7681197\program\fsbwsys.exe
C:\Program Files\F-Secure\Common\FSMA32.EXE
C:\Program Files\F-Secure\Anti-Virus\fssm32.exe
C:\Program Files\F-Secure\Common\FSMB32.EXE
C:\WINDOWS\system32\nvsvc32.exe
C:\Program Files\Analog Devices\SoundMAX\SMAgent.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\wdfmgr.exe
C:\Program Files\F-Secure\Common\FCH32.EXE
C:\Program Files\F-Secure\Common\FAMEH32.EXE
C:\Program Files\F-Secure\Anti-Virus\fsqh.exe
C:\Program Files\F-Secure\Anti-Virus\fsrw.exe
C:\Program Files\F-Secure\Anti-Virus\fsav32.exe
C:\WINDOWS\system32\wuauclt.exe
C:\WINDOWS\system32\LVCOMSX.EXE
C:\Program Files\Adobe\Photoshop Album Starter Edition\3.0\Apps\apdproxy.exe
C:\Program Files\F-Secure\Common\FSM32.EXE
C:\Program Files\MSN Messenger\MsnMsgr.Exe
C:\Program Files\F-Secure\Common\FNRB32.EXE
C:\Program Files\F-Secure\FWES\Program\fsdfwd.exe
C:\Program Files\F-Secure\Common\FIH32.EXE
C:\Program Files\Common Files\PCSuite\Services\ServiceLayer.exe
C:\PROGRA~1\F-Secure\ANTI-S~1\fsaw.exe
C:\Program Files\F-Secure\FSGUI\fsguidll.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\wbem\wmiprvse.exe
C:\HijackThis_v1.99.1.exe
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.telkku.com/
O2 - BHO: Adobe PDF Reader Link Helper - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Program Files\Ohjelmat\Adobe\Acrobat 7.0\ActiveX\AcroIEHelper.dll
O2 - BHO: (no name) - {39f25b12-74ff-4079-a51f-1d70f5b08b84} - C:\WINDOWS\system32\ixt0.dll
O2 - BHO: SSVHelper Class - {761497BB-D6F0-462C-B6EB-D4DAF1D92D43} - C:\Program Files\Java\jre1.5.0_08\bin\ssv.dll
O2 - BHO: (no name) - {81D702D0-7674-44CC-AA43-861B4AE0BFDB} - C:\WINDOWS\system32\mlljg.dll
O2 - BHO: Google Toolbar Helper - {AA58ED58-01DD-4d91-8333-CF10577473F7} - c:\program files\google\googletoolbar3.dll
O3 - Toolbar: &Google - {2318C2B1-4965-11d4-9B18-009027A5CD4F} - c:\program files\google\googletoolbar3.dll
O4 - HKLM\..\Run: [LVCOMSX] C:\WINDOWS\system32\LVCOMSX.EXE
O4 - HKLM\..\Run: [DiskeeperSystray] "C:\Program Files\Ohjelmat\Diskeeper Corporation\Diskeeper\DkIcon.exe"
O4 - HKLM\..\Run: [Adobe Photo Downloader] "C:\Program Files\Adobe\Photoshop Album Starter Edition\3.0\Apps\apdproxy.exe"
O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\system32\NvCpl.dll,NvStartup
O4 - HKLM\..\Run: [CTDrive] rundll32.exe C:\WINDOWS\system32\drvmih.dll,startup
O4 - HKLM\..\Run: [F-Secure Manager] "C:\Program Files\F-Secure\Common\FSM32.EXE" /splash
O4 - HKLM\..\Run: [F-Secure TNB] "C:\Program Files\F-Secure\TNB\TNBUtil.exe" /CHECKALL /WAITFORSW
O4 - HKCU\..\Run: [msnmsgr] "C:\Program Files\MSN Messenger\MsnMsgr.Exe" /background
O4 - Global Startup: F-Secure Automatic Update.lnk = C:\Program Files\F-Secure\BackWeb\7681197\program\F-Secure Automatic Update.exe
O8 - Extra context menu item: &Block this popup - C:\Program Files\F-Secure\Anti-Spyware\blockpopups.htm
O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\jre1.5.0_08\bin\ssv.dll
O9 - Extra 'Tools' menuitem: Sun Java Console - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\jre1.5.0_08\bin\ssv.dll
O9 - Extra button: IE Shield - {300DB664-75B5-47c0-8B45-A44ACCF73C00} - C:\Program Files\F-Secure\Anti-Spyware\ieshield.dll
O9 - Extra 'Tools' menuitem: IE Shield... - {300DB664-75B5-47c0-8B45-A44ACCF73C00} - C:\Program Files\F-Secure\Anti-Spyware\ieshield.dll
O10 - Broken Internet access because of LSP provider 'c:\program files\newdotnet\newdotnet6_38.dll' missing
O16 - DPF: {6414512B-B978-451D-A0D8-FCFDF33E833C} (WUWebControl Class) - http://update.microsoft.com/windowsupdat...b?1156331476499
O16 - DPF: {6E32070A-766D-4EE6-879C-DC1FA91D2FC3} (MUWebControl Class) - http://update.microsoft.com/microsoftupd...b?1156331933124
O18 - Protocol: livecall - {828030A1-22C1-4009-854F-8E305202313F} - C:\PROGRA~1\MSNMES~1\MSGRAP~1.DLL
O18 - Protocol: msnim - {828030A1-22C1-4009-854F-8E305202313F} - C:\PROGRA~1\MSNMES~1\MSGRAP~1.DLL
O20 - Winlogon Notify: mlljg - C:\WINDOWS\system32\mlljg.dll
O23 - Service: Adobe LM Service - Adobe Systems - C:\Program Files\Common Files\Adobe Systems Shared\Service\Adobelmsvc.exe
O23 - Service: AVG Anti-Spyware Guard - Anti-Malware Development a.s. - C:\Program Files\Ohjelmat\Grisoft\AVG Anti-Spyware 7.5\guard.exe
O23 - Service: F-Secure Automatic Update (BackWeb Plug-in - 7681197) - F-Secure Automatic Update - C:\PROGRA~1\F-Secure\BackWeb\7681197\Program\SERVIC~1.EXE
O23 - Service: Diskeeper - Diskeeper Corporation - C:\Program Files\Ohjelmat\Diskeeper Corporation\Diskeeper\DkService.exe
O23 - Service: FSGKHS (F-Secure Gatekeeper Handler Starter) - F-Secure Corp. - C:\Program Files\F-Secure\Anti-Virus\fsgk32st.exe
O23 - Service: F-Secure Network Request Broker - F-Secure Corporation - C:\Program Files\F-Secure\Common\FNRB32.EXE
O23 - Service: fsbwsys - F-Secure Corp. - C:\Program Files\F-Secure\BackWeb\7681197\program\fsbwsys.exe
O23 - Service: F-Secure Anti-Virus Firewall Daemon (FSDFWD) - F-Secure Corporation - C:\Program Files\F-Secure\FWES\Program\fsdfwd.exe
O23 - Service: F-Secure Management Agent (FSMA) - F-Secure Corporation - C:\Program Files\F-Secure\Common\FSMA32.EXE
O23 - Service: Microsoft authenticate service (MsaSvc) - Unknown owner - C:\WINDOWS\system32\msasvc.exe (file missing)
O23 - Service: NVIDIA Display Driver Service (NVSvc) - NVIDIA Corporation - C:\WINDOWS\system32\nvsvc32.exe
O23 - Service: ServiceLayer - Nokia. - C:\Program Files\Common Files\PCSuite\Services\ServiceLayer.exe
O23 - Service: SoundMAX Agent Service (SoundMAX Agent Service (default)) - Analog Devices, Inc. - C:\Program Files\Analog Devices\SoundMAX\SMAgent.exe
O23 - Service: VundoFix Service (VundoFixSvc) - Atribune.org - C:\WINDOWS\SYSTEM32\VundoFixSVC.exe
Tässä smitin loki:
SmitFraudFix v2.119
Scan done at 17:10:31,34, to 09.11.2006
Run from C:\Documents and Settings\P. Hirvonen\Ty?p?yt?\SmitfraudFix_v2.119\SmitfraudFix
OS: Microsoft Windows XP [versio 5.1.2600] - Windows_NT
Fix run in normal mode
»»»»»»»»»»»»»»»»»»»»»»»» C:\
»»»»»»»»»»»»»»»»»»»»»»»» C:\WINDOWS
»»»»»»»»»»»»»»»»»»»»»»»» C:\WINDOWS\system
»»»»»»»»»»»»»»»»»»»»»»»» C:\WINDOWS\Web
»»»»»»»»»»»»»»»»»»»»»»»» C:\WINDOWS\system32
C:\WINDOWS\system32\ixt?.dll FOUND !
C:\WINDOWS\system32\ixt??.dll FOUND !
C:\WINDOWS\system32\drvmih.dll FOUND !
C:\WINDOWS\system32\components\flx?.dll FOUND !
C:\WINDOWS\system32\components\flx??.dll FOUND !
C:\WINDOWS\system32\components\flx???.dll FOUND !
»»»»»»»»»»»»»»»»»»»»»»»» C:\Documents and Settings\P. Hirvonen
»»»»»»»»»»»»»»»»»»»»»»»» C:\Documents and Settings\P. Hirvonen\Application Data
»»»»»»»»»»»»»»»»»»»»»»»» Start Menu
C:\DOCUME~1\ALLUSE~1\KYNNIS~1\Online Security Guide.url FOUND !
C:\DOCUME~1\ALLUSE~1\KYNNIS~1\Security Troubleshooting.url FOUND !
»»»»»»»»»»»»»»»»»»»»»»»» C:\DOCUME~1\P284A~1.HIR\Suosikit
C:\DOCUME~1\P284A~1.HIR\Suosikit\Antivirus Test Online.url FOUND !
»»»»»»»»»»»»»»»»»»»»»»»» Desktop
»»»»»»»»»»»»»»»»»»»»»»»» C:\Program Files
C:\Program Files\VirusBursters\ FOUND !
»»»»»»»»»»»»»»»»»»»»»»»» Corrupted keys
»»»»»»»»»»»»»»»»»»»»»»»» Desktop Components
[HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\Desktop\Components\0]
"Source"="C:\\Program Files\\WindowsUpdate\\pono.html"
"SubscribedURL"=""
"FriendlyName"=""
[HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\Desktop\Components\1]
"Source"="C:\\Program Files\\MSN Gaming Zone\\meleji.html"
"SubscribedURL"=""
"FriendlyName"=""
[HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\Desktop\Components\2]
"Source"="About:Home"
"SubscribedURL"="About:Home"
"FriendlyName"="Nykyinen kotisivu"
»»»»»»»»»»»»»»»»»»»»»»»» Sharedtaskscheduler
!!!Attention, following keys are not inevitably infected!!!
SrchSTS.exe by S!Ri
Search SharedTaskScheduler's .dll
»»»»»»»»»»»»»»»»»»»»»»»» AppInit_DLLs
!!!Attention, following keys are not inevitably infected!!!
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Windows]
"AppInit_DLLs"=""
»»»»»»»»»»»»»»»»»»»»»»»» pe386-msguard-lzx32
pe386 detected, use a Rootkit scanner
»»»»»»»»»»»»»»»»»»»»»»»» Scanning wininet.dll infection
»»»»»»»»»»»»»»»»»»»»»»»» End
Ja Smitfraudfixillä on kaikki tehty.
combofix
P. Hirvonen - 06-11-09 18:07:51,92 Service Pack 2
ComboFix 06.11.9 - Running from: "C:\Documents and Settings\P. Hirvonen\Ty?p?yt?"
((((((((((((((((((((((((((((((((((((((((((( E-Give / Ssk's Log )))))))))))))))))))))))))))))))))))))))))))))))))
C:\Documents and Settings\P. Hirvonen\Application Data\Dxcdmns.dll
C:\Documents and Settings\P. Hirvonen\Application Data\Dxcknwrd.dll
C:\Documents and Settings\P. Hirvonen\Application Data\Dxcuknwrd.dll
C:\WINDOWS\system32\bkd.exe
* * * POST RUN FILES/FOLDERS * * * * * * * * * * * * * * * * * * * * * * * * * * * * * * * * * *
(((((((((((((((((((((((((((((((((((((((((((( Other Deletions )))))))))))))))))))))))))))))))))))))))))))))))))
C:\deskbar_e52.exe
C:\kybrdff_e52.exe
C:\WINDOWS\uninstall_nmon.vbs
C:\Documents and Settings\LocalService\Application Data\NetMon
C:\Program Files\Inetget2
C:\Program Files\network monitor
C:\WINDOWS\system32\components
C:\Program Files\Common Files\{70020424-0703-1035-1015-021107020166}
((((((((((((((((((((((((((((((( Files Created from 2006-10-09 to 2006-11-09 ))))))))))))))))))))))))))))))))))
2006-11-09 17:53 83,096 --a------ C:\WINDOWS\system32\SSSensor.dll
2006-11-09 17:53 60,496 --a------ C:\WINDOWS\system32\drivers\Teefer.sys
2006-11-09 17:53 21,075 --a------ C:\WINDOWS\system32\drivers\wpsdrvnt.sys
2006-11-09 17:53 14,568 --a------ C:\WINDOWS\system32\drivers\wg6n.sys
2006-11-09 17:53 14,568 --a------ C:\WINDOWS\system32\drivers\wg5n.sys
2006-11-09 17:53 14,568 --a------ C:\WINDOWS\system32\drivers\wg4n.sys
2006-11-09 17:53 14,568 --a------ C:\WINDOWS\system32\drivers\wg3n.sys
2006-11-09 17:42 53,248 --a------ C:\WINDOWS\system32\Process.exe
2006-11-09 17:42 40,960 --a------ C:\WINDOWS\system32\swsc.exe
2006-11-09 17:42 288,417 --a------ C:\WINDOWS\system32\SrchSTS.exe
2006-11-09 17:42 135,168 --a------ C:\WINDOWS\system32\swreg.exe
2006-11-09 16:47 547,584 ---hs---- C:\WINDOWS\system32\gjllm.bak1
2006-11-09 16:45 24,576 --a------ C:\WINDOWS\system32\VundoFixSVC.exe
2006-11-09 14:26 70,896 --a------ C:\WINDOWS\system32\drivers\fsdfw.sys
2006-11-09 14:26 33,584 --a------ C:\WINDOWS\system32\drivers\fsndis5.sys
2006-11-09 14:25 118,842 -r------- C:\WINDOWS\bwUnin-6.3.2.116-7681197L.exe
2006-11-09 12:52 692,276 --------- C:\WINDOWS\system32\mlljg.dll
2006-11-09 12:52 110,612 --a------ C:\WINDOWS\system32\nljmvghg.exe
2006-11-09 12:46 93,696 --a------ C:\WINDOWS\system32\stvsqwb.dll
2006-11-09 12:46 40,973 ---hs---- C:\WINDOWS\system32\qomkhee.dll
2006-11-09 12:46 101,888 --a------ C:\WINDOWS\system32\drvmih.dll
2006-11-09 11:40 0 --a------ C:\xqsfyny.exe
2006-11-08 22:25 8,464 --a------ C:\WINDOWS\system32\sporder.dll
2006-11-08 22:25 430,080 --a------ C:\windows_e52.exe
2006-11-07 13:53 26,496 --a------ C:\WINDOWS\system32\drivers\USBSTOR.SYS
2006-10-23 14:31 8,704 --a------ C:\WINDOWS\system32\drivers\nmwcdc.sys
2006-10-23 14:31 50,688 --a------ C:\WINDOWS\system32\nmwcdcls.dll
2006-10-23 14:31 4,608 --a------ C:\WINDOWS\system32\nmwcdlog.dll
2006-10-23 14:31 30,720 --a------ C:\WINDOWS\system32\nmwcdcocls.dll
2006-10-23 14:31 13,312 --a------ C:\WINDOWS\system32\drivers\nmwcdcm.sys
2006-10-23 14:31 13,312 --a------ C:\WINDOWS\system32\drivers\nmwcdcj.sys
2006-10-23 14:31 127,488 --a------ C:\WINDOWS\system32\drivers\nmwcd.sys
(((((((((((((((((((((((((((((((((((((((((((((((( Find3M Report )))))))))))))))))))))))))))))))))))))))))))))))))))))
Rootkit driver pe386 is present. A rootkit scan is required
2006-11-09 18:08 -------- d-------- C:\Program Files\Common Files
2006-11-09 17:53 -------- d-------- C:\Program Files\Sygate
2006-11-09 17:39 -------- d-------- C:\Documents and Settings\P. Hirvonen\Application Data\uTorrent
2006-11-09 15:26 -------- dr------- C:\Program Files\Ohjelmat
2006-11-09 14:25 -------- d-------- C:\Program Files\F-Secure
2006-11-09 14:19 -------- d-------- C:\Program Files\VSAdd-in
2006-11-09 13:36 -------- d-------- C:\Program Files\Lonely Cat Games
2006-11-09 12:55 -------- d-------- C:\Program Files\VirusBursters
2006-11-09 12:53 -------- d-------- C:\Documents and Settings\P. Hirvonen\Application Data\SearchToolbarCorp
2006-11-09 12:47 -------- d-------- C:\Program Files\Ultimate Cleaner
2006-11-09 12:21 -------- d--h----- C:\Program Files\WindowsUpdate
2006-11-09 12:21 -------- d-------- C:\Program Files\NetMeeting
2006-11-08 22:55 -------- d-------- C:\Program Files\MSN Gaming Zone
2006-11-08 21:56 -------- d-------- C:\Program Files\Common Files\Wise Installation Wizard
2006-11-07 16:13 6187625 --a------ C:\Documents and Settings\P. Hirvonen\Application Data\NMM-MetaData.db
2006-11-07 15:02 -------- d-------- C:\Program Files\Nokia
2006-11-07 13:59 -------- d-------- C:\Program Files\MSN Messenger
2006-11-07 13:49 -------- d-------- C:\Documents and Settings\P. Hirvonen\Application Data\PC Suite
2006-11-07 12:37 -------- d-------- C:\Documents and Settings\P. Hirvonen\Application Data\Nokia Multimedia Player
2006-11-05 19:28 -------- d-------- C:\Documents and Settings\P. Hirvonen\Application Data\Identities
2006-11-05 17:24 -------- d-------- C:\Program Files\Common Files\PCSuite
2006-11-05 17:24 -------- d-------- C:\Program Files\Common Files\Nokia
2006-11-01 08:16 -------- d-------- C:\Program Files\PokerStars
2006-10-27 17:51 -------- d-------- C:\Documents and Settings\P. Hirvonen\Application Data\BSplayer Pro
2006-10-25 14:33 -------- d-------- C:\Documents and Settings\P. Hirvonen\Application Data\Nokia
2006-10-23 15:33 -------- d-------- C:\Documents and Settings\P. Hirvonen\Application Data\Datalayer
2006-10-23 14:45 -------- d-------- C:\Documents and Settings\P. Hirvonen\Application Data\AdobeUM
2006-10-23 14:45 -------- d-------- C:\Documents and Settings\P. Hirvonen\Application Data\AdobeAUM
2006-10-23 14:45 -------- d-------- C:\Documents and Settings\P. Hirvonen\Application Data\Adobe
2006-10-23 14:33 -------- d-------- C:\Program Files\DIFX
2006-10-23 14:26 -------- d-------- C:\Program Files\Adobe
2006-10-23 02:50 -------- d-------- C:\Documents and Settings\P. Hirvonen\Application Data\Microsoft
2006-10-23 02:30 43666 --a------ C:\WINDOWS\system32\xvid-uninstall.exe
2006-10-19 09:30 -------- d-------- C:\Program Files\Executive Software
2006-10-19 09:16 -------- d-------- C:\Documents and Settings\P. Hirvonen\Application Data\OpenOffice.org2
2006-10-18 18:47 -------- d-------- C:\Program Files\Common Files\Adobe
2006-10-18 18:09 -------- d-------- C:\Program Files\Google
2006-10-17 14:11 -------- d-------- C:\Program Files\FLAC
2006-10-14 14:45 -------- d-------- C:\Program Files\MSXML 4.0
2006-10-13 09:51 -------- d-------- C:\Documents and Settings\P. Hirvonen\Application Data\Vso
2006-10-13 09:12 -------- d-------- C:\Documents and Settings\P. Hirvonen\Application Data\Canon
2006-10-12 09:13 -------- d-------- C:\Documents and Settings\P. Hirvonen\Application Data\vlc
2006-10-09 00:04 -------- d--h----- C:\Program Files\InstallShield Installation Information
2006-10-08 16:14 218112 --a------ C:\HijackThis_v1.99.1.exe
2006-10-07 21:10 34308 --a------ C:\WINDOWS\system32\BASSMOD.dll
2006-10-07 21:07 -------- d-------- C:\Program Files\vso
2006-10-07 16:46 -------- d-------- C:\Documents and Settings\P. Hirvonen\Application Data\URSoft
2006-10-07 11:36 47360 --a------ C:\WINDOWS\system32\drivers\pcouffin.sys
2006-10-06 20:00 -------- d-------- C:\Program Files\Disney Interactive
2006-09-28 10:29 -------- d-------- C:\Program Files\NCH Swift Sound
2006-09-28 10:29 -------- d-------- C:\Documents and Settings\P. Hirvonen\Application Data\NCH Swift Sound
2006-09-27 13:34 -------- d-------- C:\Program Files\OpenOffice.org 2.0
2006-09-25 09:48 -------- d-------- C:\Documents and Settings\P. Hirvonen\Application Data\RecordPad
2006-09-21 13:48 -------- d-------- C:\Program Files\Teamspeak2_RC2
2006-09-21 13:48 -------- d-------- C:\Documents and Settings\P. Hirvonen\Application Data\teamspeak2
2006-09-18 12:42 44 --a------ C:\WINDOWS\system32\msssc.dll
2006-09-15 07:43 53 --a------ C:\WINDOWS\system32\bn.dll
2006-09-14 18:02 -------- d-------- C:\Documents and Settings\P. Hirvonen\Application Data\Help
2006-09-13 07:03 1084416 --a------ C:\WINDOWS\system32\msxml3.dll
2006-09-12 16:51 1245184 --a------ C:\WINDOWS\system32\msxml4.dll
2006-09-06 13:29 98304 --a------ C:\WINDOWS\system32\CmdLineExt.dll
2006-08-25 17:49 617472 --a------ C:\WINDOWS\system32\comctl32.dll
2006-08-25 05:47 129784 --------- C:\WINDOWS\system32\pxafs.dll
2006-08-25 05:47 115880 --------- C:\WINDOWS\system32\pxinsi64.exe
2006-08-24 20:08 724992 --a------ C:\WINDOWS\iun6002.exe
2006-08-21 14:26 16896 --a------ C:\WINDOWS\system32\fltlib.dll
2006-08-21 11:14 23040 --a------ C:\WINDOWS\system32\fltmc.exe
2006-08-16 13:58 100352 --a------ C:\WINDOWS\system32\6to4svc.dll
2006-08-16 11:00 6144 --a------ C:\WINDOWS\system32\ff_vfw.dll
2006-08-16 11:00 503808 --a------ C:\WINDOWS\system32\msvcp71.dll
2006-08-16 11:00 348160 --a------ C:\WINDOWS\system32\msvcr71.dll
2006-08-10 18:10 0 -rahs---- C:\MSDOS.SYS
2006-08-10 18:10 0 -rahs---- C:\IO.SYS
2006-08-10 18:10 0 --a------ C:\CONFIG.SYS
2006-08-10 18:10 0 --a------ C:\AUTOEXEC.BAT
(((((((((((((((((((((((((((((((((((((((((( Reg Loading Points ))))))))))))))))))))))))))))))))))))))))))))))))
*Note* empty entries are not shown
[HKEY_CURRENT_USER\software\microsoft\windows\currentversion\run]
"msnmsgr"="\"C:\\Program Files\\MSN Messenger\\MsnMsgr.Exe\" /background"
[HKEY_LOCAL_MACHINE\software\microsoft\windows\currentversion\run]
"LVCOMSX"="C:\\WINDOWS\\system32\\LVCOMSX.EXE"
"DiskeeperSystray"="\"C:\\Program Files\\Ohjelmat\\Diskeeper Corporation\\Diskeeper\\DkIcon.exe\""
"Adobe Photo Downloader"="\"C:\\Program Files\\Adobe\\Photoshop Album Starter Edition\\3.0\\Apps\\apdproxy.exe\""
"NvCplDaemon"="RUNDLL32.EXE C:\\WINDOWS\\system32\\NvCpl.dll,NvStartup"
"CTDrive"="rundll32.exe C:\\WINDOWS\\system32\\drvmih.dll,startup"
"F-Secure Manager"="\"C:\\Program Files\\F-Secure\\Common\\FSM32.EXE\" /splash"
"F-Secure TNB"="\"C:\\Program Files\\F-Secure\\TNB\\TNBUtil.exe\" /CHECKALL /WAITFORSW"
"SmcService"="C:\\PROGRA~1\\Sygate\\SPF\\smc.exe -startgui"
[HKEY_CURRENT_USER\software\microsoft\internet explorer\desktop\components]
"DeskHtmlVersion"=dword:00000110
"DeskHtmlMinorVersion"=dword:00000005
"Settings"=dword:00000001
"GeneralFlags"=dword:00000001
[HKEY_CURRENT_USER\software\microsoft\internet explorer\desktop\components\0]
"Source"="C:\\Program Files\\WindowsUpdate\\pono.html"
"SubscribedURL"=""
"FriendlyName"=""
"Flags"=dword:00002000
"Position"=hex:2c,00,00,00,64,00,00,00,64,00,00,00,58,02,00,00,c8,00,00,00,e8,\
03,00,00,00,00,00,00,00,00,00,00,00,00,00,00,14,00,00,00,14,00,00,00
"CurrentState"=hex:01,00,00,40
"OriginalStateInfo"=hex:18,00,00,00,64,00,00,00,64,00,00,00,58,02,00,00,c8,00,\
00,00,01,00,00,00
"RestoredStateInfo"=hex:00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,\
00,00,00,00,00,00
[HKEY_CURRENT_USER\software\microsoft\internet explorer\desktop\components\1]
"Source"="C:\\Program Files\\MSN Gaming Zone\\meleji.html"
"SubscribedURL"=""
"FriendlyName"=""
"Flags"=dword:00002000
"Position"=hex:2c,00,00,00,64,00,00,00,64,00,00,00,58,02,00,00,c8,00,00,00,ea,\
03,00,00,00,00,00,00,00,00,00,00,00,00,00,00,14,00,00,00,14,00,00,00
"CurrentState"=hex:01,00,00,40
"OriginalStateInfo"=hex:18,00,00,00,64,00,00,00,64,00,00,00,58,02,00,00,c8,00,\
00,00,01,00,00,00
"RestoredStateInfo"=hex:00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,\
00,00,00,00,00,00
[HKEY_CURRENT_USER\software\microsoft\internet explorer\desktop\components\2]
"Source"="About:Home"
"SubscribedURL"="About:Home"
"FriendlyName"="Nykyinen kotisivu"
"Flags"=dword:00000002
"Position"=hex:2c,00,00,00,00,01,00,00,00,00,00,00,00,04,00,00,e2,03,00,00,00,\
00,00,00,01,00,00,00,01,00,00,00,01,00,00,00,00,00,00,00,00,00,00,00
"CurrentState"=hex:04,00,00,40
"OriginalStateInfo"=hex:18,00,00,00,00,01,00,00,00,00,00,00,00,04,00,00,e2,03,\
00,00,04,00,00,c0
"RestoredStateInfo"=hex:18,00,00,00,00,01,00,00,00,00,00,00,00,04,00,00,e2,03,\
00,00,01,00,00,00
[HKEY_USERS\.default\software\microsoft\windows\currentversion\run]
"CTFMON.EXE"="C:\\WINDOWS\\System32\\CTFMON.EXE"
[HKEY_USERS\s-1-5-18\software\microsoft\windows\currentversion\run]
"CTFMON.EXE"="C:\\WINDOWS\\System32\\CTFMON.EXE"
[HKEY_LOCAL_MACHINE\software\microsoft\windows\currentversion\explorer\sharedtaskscheduler]
"{438755C2-A8BA-11D1-B96B-00A0C90312E1}"="Browseui preloader"
"{8C7461EF-2B13-11d2-BE35-3078302C2030}"="Component Categories cache daemon"
[HKEY_LOCAL_MACHINE\software\microsoft\windows\currentversion\explorer\shellexecutehooks]
"{AEB6717E-7E19-11d0-97EE-00C04FD91972}"=""
"{57B86673-276A-48B2-BAE7-C6DBB3020EB8}"="AVG Anti-Spyware 7.5"
[HKEY_CURRENT_USER\software\microsoft\windows\currentversion\policies\explorer]
"NoDriveTypeAutoRun"=hex:ff,00,00,00
[HKEY_CURRENT_USER\software\microsoft\windows\currentversion\policies\explorer\Run]
[HKEY_LOCAL_MACHINE\software\microsoft\windows\currentversion\policies\system]
"dontdisplaylastusername"=dword:00000000
"legalnoticecaption"=""
"legalnoticetext"=""
"shutdownwithoutlogon"=dword:00000001
"undockwithoutlogon"=dword:00000001
[HKEY_USERS\.default\software\microsoft\windows\currentversion\policies\explorer]
"NoDriveTypeAutoRun"=hex:91,00,00,00
[HKEY_USERS\s-1-5-18\software\microsoft\windows\currentversion\policies\explorer]
"NoDriveTypeAutoRun"=hex:91,00,00,00
[HKEY_LOCAL_MACHINE\software\microsoft\windows\currentversion\shellserviceobjectdelayload]
"PostBootReminder"="{7849596a-48ea-486e-8937-a2a3009f31a9}"
"CDBurn"="{fbeb8a05-beee-4442-804e-409d6c4515e9}"
"WebCheck"="{E6FB5E20-DE35-11CF-9C87-00AA005127ED}"
"SysTray"="{35CEC8A3-2BE6-11D2-8773-92E220524153}"
[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg]
[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\LogitechSoftwareUpdate]
"key"="SOFTWARE\\Microsoft\\Windows\\CurrentVersion\\Run"
"item"="ManifestEngine"
"hkey"="HKCU"
"command"="\"C:\\Program Files\\Logitech\\Video\\ManifestEngine.exe\" boot"
"inimapping"="0"
HKEY_LOCAL_MACHINE\software\microsoft\windows nt\currentversion\winlogon\notify\mlljg
[HKEY_LOCAL_MACHINE\system\currentcontrolset\control\securityproviders]
"SecurityProviders"="msapsspc.dll, schannel.dll, digest.dll, msnsspc.dll"
~ ~ ~ ~ ~ ~ ~ ~ HijackThis Backups ~ ~ ~ ~ ~ ~ ~ ~ ~ ~ ~
Completion time: 06-11-09 18:12:25.67
C:\ComboFix.txt ... 06-11-09 18:12
CM 690 II Advanced, i5 2500K, MSI P67A-C43, Scythe Mugen-2 Revision B, XFX Pro550 80+ pronze, CORSAIR DDR3-1600 2*2G CL9 VENGEANCE, Asus r9 290x directCU II ,Samsung 830 SSD 128Gb+ 4.5 teraa, Win 7.
Viestiä on muokattu lähettämisen jälkeen. Viimeisin muokkaus 9. marraskuuta 2006 @ 13:20
|
AfterDawn Addict
|
9. marraskuuta 2006 @ 13:22 |
Linkki tähän viestiin
|
|
@fixeri: Kyse ei ollut täysin samoista ohjeista, Marku2 täydensi omia ohjeitasi...
Ei HjT-lokeja tms. yksityisviestillä!
|
Senior Member
|
9. marraskuuta 2006 @ 13:44 |
Linkki tähän viestiin
|
|
C:\WINDOWS\system32\msasvc.exe
Tuota ei löytyny...
CM 690 II Advanced, i5 2500K, MSI P67A-C43, Scythe Mugen-2 Revision B, XFX Pro550 80+ pronze, CORSAIR DDR3-1600 2*2G CL9 VENGEANCE, Asus r9 290x directCU II ,Samsung 830 SSD 128Gb+ 4.5 teraa, Win 7.
|
|
Marku2
Senior Member
|
9. marraskuuta 2006 @ 13:55 |
Linkki tähän viestiin
|
@J-lalli: Jatko ohjeet:
Lataa RustBFix by ejvindh ja tallenna se työpöydällesi.
Tuplaklikkaa tiedostoa rustbfix.exe. Jos löytyy Rustock.b-infektio, sinua pyydetään pian käynnistämään kone uudelleen. Uudelleenkäynnistyminen saattaa kestää hetken ja joudut ehkä käynnistämään koneen vielä toisenkin kerran. Kaikki tämä tapahtuu automaattisesti. Uudelleenkäynnistyksen jälkeen kaksi lokitiedostoa avautuu (%root%\avenger.txt & %root%\rustbfix\pelog.txt).
Kopioi ja liitä nämä kaksi lokitiedostoa seuraavaan vastaukseesi uuden HijackThis lokin kera.
Tee tämä uudelleen ja vikasietotilassa:
Printtaa ohjeet ulos.
Käynnistä koneesi vikasietotilaan ja valitse tavallinen käyttäjätilisi.
Tapa2 päästä vikasietotilaan:
Käynnistä -> Suorita -> msconfig ja valitse sieltä >Boot.ini -välilehti ja lisää siellä /safeboot -kohdalle ruksi ja klikkaa >OK.
Käynnistä kone uudelleen ja pitäisi aueta vikasietotilaan.
Kun haluat pois vikasietotilasta, ota ruksi pois /safeboot -kohdasta.
Kun vikasietotilassa, avaa SmitfraudFix kansio ja tupla-klikkaa smitfraudfix.cmd
Valitse optio #2 - Clean kirjoittamalla 2 ja painamalla "Enter" poistaaksesi tarttuneet tiedostot.
Sinulta kysytään: "Registry cleaning - Do you want to clean the registry ?"; vastaa "Yes" kirjoittamalla Y ja paina "Enter" poistaaksesi työpöydän taustakuvan ja puhdistaaksesi tarttuneet rekisteriavaimet.
Työkalu tarkistaa jos wininet.dll on tarttunut. Sinua saatetaan pyytää korvaamaan tarttunut .dll (jos löytyy); vastaa "Yes" kirjoittamalla Y ja painamalla "Enter".
Työkalun saattaa tarvita käynnistää kone uudelleen; jos ei tee niin, käynnistä normaaliin Windowsiin.
Tekstitiedosto ilmestyy, puhdistusprosessin jäljiltä; kopioi & liitä tämän raportin tulokset vastaukseesi.
Raportti löytyy paikalliselta levyltäsi, useimmiten C:\rapport.txt.
Lähetä uusi HjT-loki,%root%\avenger.txt & %root%\rustbfix\pelog.txt ja C:\rapport.txt.
Missäs on C:\vundofix.txt -raportti? Jos haluat koneesi puhtaaksi aja tuo vundofix ja lähetä sen raportti myös.
|
Senior Member
|
9. marraskuuta 2006 @ 15:05 |
Linkki tähän viestiin
|
|
Täs ois lokit:
************************* Rustock.b-fix -- By ejvindh *************************
to 09.11.2006 19:06:00,53
Belog loki:
******************* Pre-run Status of system *******************
Rootkit driver PE386 is found. Starting the unload-procedure....
Examine the Avenger-logfile in order to assess the success of the unload-procedure
Rustock.b-ADS attached to the System32-folder:
:lzx32.sys 69070
Total size: 69070 bytes.
Attempting to remove ADS...
system32: deleted 69070 bytes in 1 streams.
******************* Post-run Status of system *******************
Rustock.b-driver on the system: NONE!
Rustock.b-ADS attached to the System32-folder:
No streams found.
******************************* End of Logfile ********************************
Loki 2
Logfile of The Avenger version 1, by Swandog46
Running from registry key:
\Registry\Machine\System\CurrentControlSet\Services\yqofhsvb
*******************
Script file located at: \??\C:\WINDOWS\system32\oesacpcs.txt
Script file opened successfully.
Script file read successfully
Backups directory opened successfully at C:\Avenger
*******************
Beginning to process script file:
Driver PE386 unloaded successfully.
Program C:\Rustbfix\2run.bat successfully set up to run once on reboot.
Completed script processing.
*******************
Finished! Terminate.
SmitFraudFix v2.119
Scan done at 19:22:37,32, to 09.11.2006
Run from C:\Documents and Settings\P. Hirvonen\Ty?p?yt?\SmitfraudFix_v2.119\SmitfraudFix
OS: Microsoft Windows XP [versio 5.1.2600] - Windows_NT
Fix run in safe mode
»»»»»»»»»»»»»»»»»»»»»»»» Before SmitFraudFix
!!!Attention, following keys are not inevitably infected!!!
SrchSTS.exe by S!Ri
Search SharedTaskScheduler's .dll
»»»»»»»»»»»»»»»»»»»»»»»» Killing process
»»»»»»»»»»»»»»»»»»»»»»»» Generic Renos Fix
GenericRenosFix by S!Ri
»»»»»»»»»»»»»»»»»»»»»»»» Deleting infected files
C:\WINDOWS\system32\drvmih.dll FOUND !
»»»»»»»»»»»»»»»»»»»»»»»» C:\Documents and Settings\P. Hirvonen
»»»»»»»»»»»»»»»»»»»»»»»» C:\Documents and Settings\P. Hirvonen\Application Data
»»»»»»»»»»»»»»»»»»»»»»»» Start Menu
C:\DOCUME~1\ALLUSE~1\KYNNIS~1\Online Security Guide.url FOUND !
C:\DOCUME~1\ALLUSE~1\KYNNIS~1\Security Troubleshooting.url FOUND !
»»»»»»»»»»»»»»»»»»»»»»»» C:\DOCUME~1\P284A~1.HIR\Suosikit
C:\DOCUME~1\P284A~1.HIR\Suosikit\Antivirus Test Online.url FOUND !
»»»»»»»»»»»»»»»»»»»»»»»» Desktop
»»»»»»»»»»»»»»»»»»»»»»»» C:\Program Files
C:\Program Files\VirusBursters\ FOUND !
»»»»»»»»»»»»»»»»»»»»»»»» Corrupted keys
»»»»»»»»»»»»»»»»»»»»»»»» Desktop Components
[HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\Desktop\Components\0]
"Source"="C:\\Program Files\\WindowsUpdate\\pono.html"
"SubscribedURL"=""
"FriendlyName"=""
[HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\Desktop\Components\1]
"Source"="C:\\Program Files\\MSN Gaming Zone\\meleji.html"
"SubscribedURL"=""
"FriendlyName"=""
[HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\Desktop\Components\2]
"Source"="About:Home"
"SubscribedURL"="About:Home"
"FriendlyName"="Nykyinen kotisivu"
»»»»»»»»»»»»»»»»»»»»»»»» Sharedtaskscheduler
!!!Attention, following keys are not inevitably infected!!!
SrchSTS.exe by S!Ri
Search SharedTaskScheduler's .dll
»»»»»»»»»»»»»»»»»»»»»»»» AppInit_DLLs
!!!Attention, following keys are not inevitably infected!!!
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Windows]
"AppInit_DLLs"=""
»»»»»»»»»»»»»»»»»»»»»»»» pe386-msguard-lzx32
»»»»»»»»»»»»»»»»»»»»»»»» Scanning wininet.dll infection
»»»»»»»»»»»»»»»»»»»»»»»» End
VundoFix V6.2.8
Checking Java version...
Java version is 1.5.0.8
Scan started at 16:29:22 9.11.2006
Listing files found while scanning....
C:\WINDOWS\system32\anvikjc.dll
C:\WINDOWS\system32\mlljg.dll
C:\WINDOWS\system32\gjllm.ini
C:\WINDOWS\system32\gjllm.bak1
C:\WINDOWS\system32\gjllm.bak2
Beginning removal...
Attempting to delete C:\WINDOWS\system32\anvikjc.dll
C:\WINDOWS\system32\anvikjc.dll Has been deleted!
Attempting to delete C:\WINDOWS\system32\mlljg.dll
C:\WINDOWS\system32\mlljg.dll Could not be deleted.
Attempting to delete C:\WINDOWS\system32\gjllm.ini
C:\WINDOWS\system32\gjllm.ini Has been deleted!
Attempting to delete C:\WINDOWS\system32\gjllm.bak1
C:\WINDOWS\system32\gjllm.bak1 Has been deleted!
Attempting to delete C:\WINDOWS\system32\gjllm.bak2
C:\WINDOWS\system32\gjllm.bak2 Has been deleted!
Performing Repairs to the registry.
Done!
Beginning removal...
VundoFix V6.2.8
Checking Java version...
Java version is 1.5.0.8
Scan started at 19:31:22 9.11.2006
Listing files found while scanning....
C:\WINDOWS\system32\mlljg.dll
C:\WINDOWS\system32\gjllm.ini
C:\WINDOWS\system32\gjllm.bak1
Beginning removal...
Attempting to delete C:\WINDOWS\system32\mlljg.dll
C:\WINDOWS\system32\mlljg.dll Could not be deleted.
Attempting to delete C:\WINDOWS\system32\gjllm.ini
C:\WINDOWS\system32\gjllm.ini Has been deleted!
Attempting to delete C:\WINDOWS\system32\gjllm.bak1
C:\WINDOWS\system32\gjllm.bak1 Has been deleted!
Performing Repairs to the registry.
Done!
CM 690 II Advanced, i5 2500K, MSI P67A-C43, Scythe Mugen-2 Revision B, XFX Pro550 80+ pronze, CORSAIR DDR3-1600 2*2G CL9 VENGEANCE, Asus r9 290x directCU II ,Samsung 830 SSD 128Gb+ 4.5 teraa, Win 7.
|
|
Marku2
Senior Member
|
9. marraskuuta 2006 @ 15:47 |
Linkki tähän viestiin
|
Lataa VundoFix.exe työpöydällesi.[list]
[*]Tupla-klikkaa VundoFix.exe ajaaksesi sen.
[*]Rastita boksi Run VundoFix as a task.
[*]Saat viestin joka sanoo "Vundofix will close and re-open in a minute or less". Klikkaa OK.
[*]Kun Vundofix uudelleenaukeaa, klikkaa Scan for Vundo valintaa.
[*]Kun skannaus on valmis, oikea-klikkaa kyseisen listaboksin sisällä (valkoinen laatikko jossa on löydetyt tiedostot listattu) ja valitse Add more files
[*]Kopioi ja liitä seuraavat 2 riviä kahteen ylimmäiseen boksiin[list]
[*]C:\WINDOWS\system32\mlljg.dll
[*]]C:\WINDOWS\system32\gjllm.*
[/list]
[*]Klikkaa Add Files ja sitten klikkaa Close Window.
[*]Klikkaa Remove Vundo valintaa.
[*]Saat viestin jossa kysytään haluatko poistaa valitut tiedostot, klikkaa YES.
[*]Kun klikkaat yes, työpöytäsi tyhjenee kun työkalu alkaa poistamaan Vundoa.
[*]Kun valmis, saat viestin jossa pyydetään sammuttamaan tietokone, klikkaa OK.
[*]Käynnistä koneesi uudelleen.
[*]Postita C:\vundofix.txt lokin sisältö tuoreen HijackThis lokin kera.
[/list]
Tee tämä uudelleen: (Viimeksi teit vikasietotilassa mutta et optiota 2.) Tuo optio 2. poistaa ne löydöt ;)
Printtaa ohjeet ulos.
Käynnistä koneesi vikasietotilaan ja valitse tavallinen käyttäjätilisi.
Tapa2 päästä vikasietotilaan:
Käynnistä -> Suorita -> msconfig ja valitse sieltä >Boot.ini -välilehti ja lisää siellä /safeboot -kohdalle ruksi ja klikkaa -> OK.
Käynnistä kone uudelleen ja pitäisi aueta vikasietotilaan.
Kun haluat pois vikasietotilasta, ota ruksi pois /safeboot -kohdasta.
Kun vikasietotilassa, avaa SmitfraudFix kansio ja tupla-klikkaa smitfraudfix.cmd
Valitse optio #2 - Clean kirjoittamalla 2 ja painamalla "Enter" poistaaksesi tarttuneet tiedostot.
Sinulta kysytään: "Registry cleaning - Do you want to clean the registry ?"; vastaa "Yes" kirjoittamalla Y ja paina "Enter" poistaaksesi työpöydän taustakuvan ja puhdistaaksesi tarttuneet rekisteriavaimet.
Työkalu tarkistaa jos wininet.dll on tarttunut. Sinua saatetaan pyytää korvaamaan tarttunut .dll (jos löytyy); vastaa "Yes" kirjoittamalla Y ja painamalla "Enter".
Työkalun saattaa tarvita käynnistää kone uudelleen; jos ei tee niin, käynnistä normaaliin Windowsiin.
Tekstitiedosto ilmestyy, puhdistusprosessin jäljiltä; kopioi & liitä tämän raportin tulokset vastaukseesi.
Raportti löytyy paikalliselta levyltäsi, useimmiten C:\rapport.txt.
Lähetä uusi HjT-loki, C:\vundofix.txt ja C:\rapport.txt.
|
Senior Member
|
9. marraskuuta 2006 @ 16:42 |
Linkki tähän viestiin
|
|
Rastita boksi Run VundoFix as a task.
Ei löydy tommosta???
VundoFix V6.2.8
Checking Java version...
Java version is 1.5.0.8
Scan started at 16:29:22 9.11.2006
Listing files found while scanning....
C:\WINDOWS\system32\anvikjc.dll
C:\WINDOWS\system32\mlljg.dll
C:\WINDOWS\system32\gjllm.ini
C:\WINDOWS\system32\gjllm.bak1
C:\WINDOWS\system32\gjllm.bak2
Beginning removal...
Attempting to delete C:\WINDOWS\system32\anvikjc.dll
C:\WINDOWS\system32\anvikjc.dll Has been deleted!
Attempting to delete C:\WINDOWS\system32\mlljg.dll
C:\WINDOWS\system32\mlljg.dll Could not be deleted.
Attempting to delete C:\WINDOWS\system32\gjllm.ini
C:\WINDOWS\system32\gjllm.ini Has been deleted!
Attempting to delete C:\WINDOWS\system32\gjllm.bak1
C:\WINDOWS\system32\gjllm.bak1 Has been deleted!
Attempting to delete C:\WINDOWS\system32\gjllm.bak2
C:\WINDOWS\system32\gjllm.bak2 Has been deleted!
Performing Repairs to the registry.
Done!
Beginning removal...
VundoFix V6.2.8
Checking Java version...
Java version is 1.5.0.8
Scan started at 19:31:22 9.11.2006
Listing files found while scanning....
C:\WINDOWS\system32\mlljg.dll
C:\WINDOWS\system32\gjllm.ini
C:\WINDOWS\system32\gjllm.bak1
Beginning removal...
Attempting to delete C:\WINDOWS\system32\mlljg.dll
C:\WINDOWS\system32\mlljg.dll Could not be deleted.
Attempting to delete C:\WINDOWS\system32\gjllm.ini
C:\WINDOWS\system32\gjllm.ini Has been deleted!
Attempting to delete C:\WINDOWS\system32\gjllm.bak1
C:\WINDOWS\system32\gjllm.bak1 Has been deleted!
Performing Repairs to the registry.
Done!
VundoFix V6.2.8
Checking Java version...
Java version is 1.5.0.8
Scan started at 21:08:42 9.11.2006
Listing files found while scanning....
VundoFix V6.2.8
Checking Java version...
Java version is 1.5.0.8
Scan started at 21:45:31 9.11.2006
Listing files found while scanning....
C:\WINDOWS\system32\mlljg.dll
C:\WINDOWS\system32\gjllm.ini
C:\WINDOWS\system32\gjllm.bak1
Beginning removal...
Attempting to delete C:\WINDOWS\system32\mlljg.dll
C:\WINDOWS\system32\mlljg.dll Could not be deleted.
Attempting to delete C:\WINDOWS\system32\gjllm.ini
C:\WINDOWS\system32\gjllm.ini Has been deleted!
Attempting to delete C:\WINDOWS\system32\gjllm.bak1
C:\WINDOWS\system32\gjllm.bak1 Has been deleted!
Performing Repairs to the registry.
Done!
Beginning removal...
Attempting to delete C:\WINDOWS\system32\mlljg.dll
C:\WINDOWS\system32\mlljg.dll Has been deleted!
Performing Repairs to the registry.
Done!
CM 690 II Advanced, i5 2500K, MSI P67A-C43, Scythe Mugen-2 Revision B, XFX Pro550 80+ pronze, CORSAIR DDR3-1600 2*2G CL9 VENGEANCE, Asus r9 290x directCU II ,Samsung 830 SSD 128Gb+ 4.5 teraa, Win 7.
Viestiä on muokattu lähettämisen jälkeen. Viimeisin muokkaus 9. marraskuuta 2006 @ 17:04
|
Senior Member
|
10. marraskuuta 2006 @ 10:39 |
Linkki tähän viestiin
|
|
Kone oli niin takussa että asensin windowssin uusiks, mutta nyt ilmeni semmonen juitsu että 300 g. kovalevy näkyy 120 gigasena ja pyytää alustamaan???
Kovolla on niin paljon tavaraa jotka pitäs säilyttää, mikä avuksi?
CM 690 II Advanced, i5 2500K, MSI P67A-C43, Scythe Mugen-2 Revision B, XFX Pro550 80+ pronze, CORSAIR DDR3-1600 2*2G CL9 VENGEANCE, Asus r9 290x directCU II ,Samsung 830 SSD 128Gb+ 4.5 teraa, Win 7.
Viestiä on muokattu lähettämisen jälkeen. Viimeisin muokkaus 10. marraskuuta 2006 @ 10:51
|
|
Mainos
|
|
|
|
Marku2
Senior Member
|
10. marraskuuta 2006 @ 10:51 |
Linkki tähän viestiin
|
|
Ok, no sellatti saa myös puhtaaksi :)
|
|
