|
Troijalaisia hyppii silmille - Hjt logi
|
|
Senior Member
|
3. maaliskuuta 2007 @ 16:14 |
Linkki tähän viestiin
|
Troijalaisia siis hyppii esille välillä, kone on lähes uudella Xp:n asennuksella (ei ole hakenut edes Sp2 vielä), siksi näin lyhyt logi. Monella skannerilla olen koittanut pöpöistä päästä eroon mutta mikään ei ole auttanut. Tässäpä siis HjT-logi viisaampien katsottavaksi.
Logfile of HijackThis v1.99.1
Scan saved at 21:11:34, on 3.3.2007
Platform: Windows XP SP1 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP1 (6.00.2800.1106)
Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\spoolsv.exe
C:\WINDOWS\RTHDCPL.EXE
C:\WINDOWS\System32\RUNDLL32.EXE
C:\Program Files\AOL\Active Virus Shield\avp.exe
C:\PROGRA~1\Nokia\NOKIAP~1\LAUNCH~1.EXE
C:\Program Files\D-Tools\daemon.exe
C:\WINDOWS\System32\ctfmon.exe
C:\PROGRA~1\COMMON~1\PCSuite\Services\SERVIC~1.EXE
C:\Program Files\Grisoft\AVG Anti-Spyware 7.5\guard.exe
C:\Program Files\AOL\Active Virus Shield\avp.exe
C:\Program Files\Kerio\Personal Firewall 4\kpf4ss.exe
C:\WINDOWS\System32\nvsvc32.exe
C:\Program Files\Kerio\Personal Firewall 4\kpf4gui.exe
C:\Program Files\Kerio\Personal Firewall 4\kpf4gui.exe
C:\WINDOWS\explorer.exe
C:\Program Files\Mozilla Firefox\firefox.exe
C:\HJT\HijackThis.exe
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Linkit
O2 - BHO: (no name) - {7E853D72-626A-48EC-A868-BA8D5E23E045} - (no file)
O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINDOWS\System32\msdxm.ocx
O4 - HKLM\..\Run: [RTHDCPL] RTHDCPL.EXE
O4 - HKLM\..\Run: [SkyTel] SkyTel.EXE
O4 - HKLM\..\Run: [Alcmtr] ALCMTR.EXE
O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\System32\NvCpl.dll,NvStartup
O4 - HKLM\..\Run: [nwiz] nwiz.exe /install
O4 - HKLM\..\Run: [NvMediaCenter] RUNDLL32.EXE C:\WINDOWS\System32\NvMcTray.dll,NvTaskbarInit
O4 - HKLM\..\Run: [aol] "C:\Program Files\AOL\Active Virus Shield\avp.exe"
O4 - HKLM\..\Run: [amd_dc_opt] C:\Program Files\AMD\Dual-Core Optimizer\amd_dc_opt.exe
O4 - HKLM\..\Run: [!AVG Anti-Spyware] "C:\Program Files\Grisoft\AVG Anti-Spyware 7.5\avgas.exe" /minimized
O4 - HKLM\..\Run: [PCSuiteTrayApplication] C:\PROGRA~1\Nokia\NOKIAP~1\LAUNCH~1.EXE -onlytray
O4 - HKLM\..\Run: [DAEMON Tools-1033] "C:\Program Files\D-Tools\daemon.exe" -lang 1033
O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\ctfmon.exe
O4 - HKCU\..\Run: [MsnMsgr] "C:\Program Files\MSN Messenger\MsnMsgr.Exe" /background
O4 - HKCU\..\Run: [MSMSGS] "C:\Program Files\Messenger\msmsgs.exe" /background
O4 - HKCU\..\Run: [PcSync] C:\Program Files\Nokia\Nokia PC Suite 6\PcSync2.exe /NoDialog
O4 - Startup: Xfire.lnk = C:\Program Files\Xfire\xfire.exe
O4 - Global Startup: CoreCenter.lnk = C:\Program Files\MSI\Core Center\CoreCenter.exe
O17 - HKLM\System\CCS\Services\Tcpip\..\{AFB7EC7E-5BF9-457C-86ED-C15966BCD17D}: NameServer = 212.50.211.242 212.50.192.226
O18 - Protocol: livecall - {828030A1-22C1-4009-854F-8E305202313F} - C:\PROGRA~1\MSNMES~1\MSGRAP~1.DLL
O18 - Protocol: msnim - {828030A1-22C1-4009-854F-8E305202313F} - C:\PROGRA~1\MSNMES~1\MSGRAP~1.DLL
O20 - Winlogon Notify: klogon - C:\WINDOWS\System32\klogon.dll
O23 - Service: AVG Anti-Spyware Guard - Anti-Malware Development a.s. - C:\Program Files\Grisoft\AVG Anti-Spyware 7.5\guard.exe
O23 - Service: Active Virus Shield (AVP) - AOL - C:\Program Files\AOL\Active Virus Shield\avp.exe
O23 - Service: Kerio Personal Firewall 4 (KPF4) - Kerio Technologies - C:\Program Files\Kerio\Personal Firewall 4\kpf4ss.exe
O23 - Service: NVIDIA Display Driver Service (NVSvc) - NVIDIA Corporation - C:\WINDOWS\System32\nvsvc32.exe
"Rousku" : Asus M4A785TD-V Evo//Phenom II X4 945@stock//6Gb DDR3//Gigabyte GTX460 1GB//80+500Gb//Sonata II + Silverstone 500W
|
|
mikkoi
Senior Member
1 tuotearvio
|
3. maaliskuuta 2007 @ 16:29 |
Linkki tähän viestiin
|
Korjaa:
O4 - HKLM\..\Run: [Alcmtr] ALCMTR.EXE
Sen jälkeen:
Lataa AVG Anti-Spyware 7.5 ja tallenna ohjelma työpöydällesi. Lataa se tästä
* Kun olet ladannut ohjelman, kaksoisklikkaa asennuohjelman pikakuvaketta työpöydälläsi, asennus alkaa.
* Asennuksen jälkeen täytyy ohjelma käynnistää ja sen tunnisteet päivittää.
* Käynnistä AVG Anti-Spyware.
* Klikkaa "Update" kuvaketta päävalikossa. Sen jälkeen klikkaa "Update now" painiketta.
o Sitten klikkaa "Start Update" kuvaketta jolloin päivitys alkaa.
* Kun päivitykset on ladattu, klikkaa "Scanner" kuvaketta ikkunan ylälaidassa. Valitse sitten "Settings" välilehti.
* Kun "Settings" valikko on auennut, klikkaa "Recommended actions" ja sitten valitse "Quarantine".
* Sitten "Reports" valikon alta:
o Laita täppi kohtaan "Automatically generate report after every scan"
o Ota täppi pois kohdasta"Only if threats were found"
* Sitten klikkaa "Shield" kuvaketta ikkunan ylälaidassa
* "Resident shield is", muuta tila active:sta inactive:ksi
* Sulje ohjelma, ÄLÄ skannaa vielä.
Käynnistä koneesi vikasietotilaan, ohje alhaalla!
HUOM! Älä käytä muita ohjelmia AVG skannauksen aikana, tämä saattaa häiritä skannausta.
* Kun vikasietotilassa, käynnistä AVG Anti-Spyware.
* Klikkaa "Scanner" kuvaketta ikkunan ylälaidassa ja valitse "Scan" välilehti. Sitten klikkaa "Complete System Scan".
* AVG aloittaa nyt tietokoneen skannaamisen, ole kärsivällinen sillä skannaus vie aikaa.
Kun skannaus on valmis:
TÄRKEÄÄ : Älä klikkaa "Save Scan Report" ennen kuin klikkaat "Apply all Actions"
* Varmistu, että Set all elements to: näyttää Quarantine (1), jos ei, klikkaa linkkiä ja valitse Quarantine popup-valikosta.
* Sinulta kysytään mitä tehdä jos infektioita löytyi, valitse silloin "Apply all actions"
* Sitten klikkaa "Reports" kuvaketta ohjelma yläosasta.
* Klikkaa "Save report as" painiketta ikkunan vasemmassa alalaidassa ja tallenna raportti työpöydälle.
* Sulje ohjelma, käynnistä kone normaalisti ja lähetä AVG:n raportti tänne.
· Kuinka käynnistän tietokoneeni vikasietotilaan?
Windows käyttöjärjestelmissä virus- ja vakoiluohjelmien onnistunut poisto vaatii usein koneen käynnistämisen vikasietotilassa. Käynnistäminen vikasietotilaan onnistuu useimmissa tapauksissa klikkaamalla (joskus rämpyttämällä) F8-näppäintä käynnistyksen yhteydessä.
Katso tarkemmat ohjeet omaan käyttöjärjestelmääsi. Sivusto on englanninkielinen.
Viestiä on muokattu lähettämisen jälkeen. Viimeisin muokkaus 3. maaliskuuta 2007 @ 16:29
|
Senior Member
|
3. maaliskuuta 2007 @ 17:30 |
Linkki tähän viestiin
|
Eipä AVG paljoa löytänyt:
---------------------------------------------------------
AVG Anti-Spyware - Scan Report
---------------------------------------------------------
+ Created at: 22:26:24 3.3.2007
+ Scan result:
C:\Documents and Settings\Irra\Cookies\irra@doubleclick[1].txt -> TrackingCookie.Doubleclick : Cleaned.
::Report end
Mikäs nyt avuksi?
"Rousku" : Asus M4A785TD-V Evo//Phenom II X4 945@stock//6Gb DDR3//Gigabyte GTX460 1GB//80+500Gb//Sonata II + Silverstone 500W
Viestiä on muokattu lähettämisen jälkeen. Viimeisin muokkaus 3. maaliskuuta 2007 @ 17:30
|
|
mikkoi
Senior Member
1 tuotearvio
|
3. maaliskuuta 2007 @ 17:37 |
Linkki tähän viestiin
|
Kokeile sitten eScania:
Aja eScan
Lue ensin Ohjeet (siellä lukee mistä pitää ladata, miten päivittää ohjelma ja kaikki muu olennainen).
Scannaa
Jos alaluukkuun tulee jotain niin kopioi se näin:
Käytä komentoa Ctrl+A.
Kopioi rivit komennolla Ctrl+C.
Liitä rivit komennolla Ctrl+V.
Lähetä virusloki tänne.
|
Senior Member
|
3. maaliskuuta 2007 @ 20:09 |
Linkki tähän viestiin
|
|
Hain eScanin ja skannailin sillä, tässä "alaluukun" näyttämät tiedot:
File C:\WINDOWS\System32\i infected by "Trojan-Downloader.BAT.Ftp.ab" Virus. Action Taken: File to be deleted on reboot.
File C:\Program Files\mIRC\mirc.exe tagged as not-a-virus:Client-IRC.Win32.mIRC.621. No Action Taken.
File D:\Musiikki\111 Meita¨ odotellaan mullan alla.mp3 infected by "BkCln.Unknown" Virus. Action Taken: File Renamed.
File D:\System Volume Information\_restore{3B41D1A1-098B-4F5F-BA2F-DF5FDD4EA480}\RP275\A0077861.exe tagged as not-a-virus:Client-IRC.Win32.mIRC.621. No Action Taken.
File D:\System Volume Information\_restore{B780845C-6F92-4C00-914D-D6F4B8B6A189}\RP22\A0003998.exe tagged as not-a-virus:Client-IRC.Win32.mIRC.621. No Action Taken.
"Rousku" : Asus M4A785TD-V Evo//Phenom II X4 945@stock//6Gb DDR3//Gigabyte GTX460 1GB//80+500Gb//Sonata II + Silverstone 500W
|
|
Hujo
Suspended permanently
|
3. maaliskuuta 2007 @ 20:40 |
Linkki tähän viestiin
|
scannaa hjt:llä merkkaa paina Fix checked
O2 - BHO: (no name) - {7E853D72-626A-48EC-A868-BA8D5E23E045} - (no file)
nimeäs tuo uudelleen ja laita uusi HjT loki sen jälkeen.
C:\HJT\HijackThis.exe <-- pommiksi
Voiko tietsikka koskaan toimia?
|
|
mikkoi
Senior Member
1 tuotearvio
|
4. maaliskuuta 2007 @ 05:54 |
Linkki tähän viestiin
|
|
Putsaa järjestelmän palautus:
* 1. Klikkaa oikealla käynnistävalikon My Computer- tai oma tietokone-kuvaketta
* 2. Valitse Properties/ominaisuudet* 3. Valitse System Restore/järjestelmän palauttaminen välilehti
* 4. Valitse "Turn off System Restore"/poista järjestelmän palauttaminen kaikissa asemissa
* 5. Paina Apply/käytä
* 6. Paina OK
* 7. Käynnistä kone uudelleen
* 8. Palauta asetukset takaisin
|
Senior Member
|
4. maaliskuuta 2007 @ 06:26 |
Linkki tähän viestiin
|
Lainaus:
C:\HJT\HijackThis.exe <-- pommiksi
Mitäs tällä tarkoitat? Hieman selvennystä kiitos :)
@mikkoi,
Putsasin järjestelmän palautuksen kuten neuvoit. Mainittakoon vielä että tätäkin kirjoittaessani Xp latailee tietoturvapäivityksiä joten niistäkin saattaisi olla jotain hyötyä.
"Rousku" : Asus M4A785TD-V Evo//Phenom II X4 945@stock//6Gb DDR3//Gigabyte GTX460 1GB//80+500Gb//Sonata II + Silverstone 500W
|
|
Hujo
Suspended permanently
|
4. maaliskuuta 2007 @ 06:30 |
Linkki tähän viestiin
|
|
Sen pomminkuva mitä klikkaat sen uudelleen nimeät Pommiksi
Voiko tietsikka koskaan toimia?
|
Senior Member
|
4. maaliskuuta 2007 @ 09:12 |
Linkki tähän viestiin
|
Uudelleennimesin exen pommiksi skannailun jälkeen. Korjasin tuon mainitsemasi kohdan. Tässä uusi logi:
Logfile of HijackThis v1.99.1
Scan saved at 14:10:36, on 4.3.2007
Platform: Windows XP SP1 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP1 (6.00.2800.1106)
Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\spoolsv.exe
C:\WINDOWS\Explorer.EXE
C:\WINDOWS\RTHDCPL.EXE
C:\WINDOWS\System32\RUNDLL32.EXE
C:\Program Files\AOL\Active Virus Shield\avp.exe
C:\Program Files\Grisoft\AVG Anti-Spyware 7.5\avgas.exe
C:\PROGRA~1\Nokia\NOKIAP~1\LAUNCH~1.EXE
C:\Program Files\D-Tools\daemon.exe
C:\WINDOWS\System32\ctfmon.exe
C:\Program Files\Messenger\msmsgs.exe
C:\PROGRA~1\COMMON~1\PCSuite\Services\SERVIC~1.EXE
C:\Program Files\Grisoft\AVG Anti-Spyware 7.5\guard.exe
C:\Program Files\AOL\Active Virus Shield\avp.exe
C:\Program Files\Kerio\Personal Firewall 4\kpf4ss.exe
C:\WINDOWS\System32\nvsvc32.exe
C:\Program Files\Kerio\Personal Firewall 4\kpf4gui.exe
C:\Program Files\Kerio\Personal Firewall 4\kpf4gui.exe
C:\Program Files\Winamp\winamp.exe
C:\HJT\Pommi.exe
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Linkit
O2 - BHO: Adobe PDF Reader -linkkiavustaja - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Program Files\Common Files\Adobe\Acrobat\ActiveX\AcroIEHelper.dll
O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINDOWS\System32\msdxm.ocx
O4 - HKLM\..\Run: [RTHDCPL] RTHDCPL.EXE
O4 - HKLM\..\Run: [SkyTel] SkyTel.EXE
O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\System32\NvCpl.dll,NvStartup
O4 - HKLM\..\Run: [nwiz] nwiz.exe /install
O4 - HKLM\..\Run: [NvMediaCenter] RUNDLL32.EXE C:\WINDOWS\System32\NvMcTray.dll,NvTaskbarInit
O4 - HKLM\..\Run: [aol] "C:\Program Files\AOL\Active Virus Shield\avp.exe"
O4 - HKLM\..\Run: [amd_dc_opt] C:\Program Files\AMD\Dual-Core Optimizer\amd_dc_opt.exe
O4 - HKLM\..\Run: [!AVG Anti-Spyware] "C:\Program Files\Grisoft\AVG Anti-Spyware 7.5\avgas.exe" /minimized
O4 - HKLM\..\Run: [PCSuiteTrayApplication] C:\PROGRA~1\Nokia\NOKIAP~1\LAUNCH~1.EXE -onlytray
O4 - HKLM\..\Run: [DAEMON Tools-1033] "C:\Program Files\D-Tools\daemon.exe" -lang 1033
O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\ctfmon.exe
O4 - HKCU\..\Run: [MsnMsgr] "C:\Program Files\MSN Messenger\MsnMsgr.Exe" /background
O4 - HKCU\..\Run: [MSMSGS] "C:\Program Files\Messenger\msmsgs.exe" /background
O4 - HKCU\..\Run: [PcSync] C:\Program Files\Nokia\Nokia PC Suite 6\PcSync2.exe /NoDialog
O4 - Startup: Xfire.lnk = C:\Program Files\Xfire\xfire.exe
O4 - Global Startup: Adobe Reader Speed Launch.lnk = C:\Program Files\Adobe\Reader 8.0\Reader\reader_sl.exe
O4 - Global Startup: Adobe Reader Synchronizer.lnk = C:\Program Files\Adobe\Reader 8.0\Reader\AdobeCollabSync.exe
O4 - Global Startup: CoreCenter.lnk = C:\Program Files\MSI\Core Center\CoreCenter.exe
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\MSMSGS.EXE
O9 - Extra 'Tools' menuitem: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\MSMSGS.EXE
O17 - HKLM\System\CCS\Services\Tcpip\..\{AFB7EC7E-5BF9-457C-86ED-C15966BCD17D}: NameServer = 212.50.211.242 212.50.192.226
O18 - Protocol: livecall - {828030A1-22C1-4009-854F-8E305202313F} - C:\PROGRA~1\MSNMES~1\MSGRAP~1.DLL
O18 - Protocol: msnim - {828030A1-22C1-4009-854F-8E305202313F} - C:\PROGRA~1\MSNMES~1\MSGRAP~1.DLL
O20 - Winlogon Notify: klogon - C:\WINDOWS\System32\klogon.dll
O20 - Winlogon Notify: WgaLogon - C:\WINDOWS\
O23 - Service: AVG Anti-Spyware Guard - Anti-Malware Development a.s. - C:\Program Files\Grisoft\AVG Anti-Spyware 7.5\guard.exe
O23 - Service: Active Virus Shield (AVP) - AOL - C:\Program Files\AOL\Active Virus Shield\avp.exe
O23 - Service: Kerio Personal Firewall 4 (KPF4) - Kerio Technologies - C:\Program Files\Kerio\Personal Firewall 4\kpf4ss.exe
O23 - Service: NVIDIA Display Driver Service (NVSvc) - NVIDIA Corporation - C:\WINDOWS\System32\nvsvc32.exe
"Rousku" : Asus M4A785TD-V Evo//Phenom II X4 945@stock//6Gb DDR3//Gigabyte GTX460 1GB//80+500Gb//Sonata II + Silverstone 500W
|
|
Hujo
Suspended permanently
|
4. maaliskuuta 2007 @ 09:15 |
Linkki tähän viestiin
|
|
Fixsaa pois
O20 - Winlogon Notify: WgaLogon - C:\WINDOWS\
Voiko tietsikka koskaan toimia?
|
Senior Member
|
4. maaliskuuta 2007 @ 09:19 |
Linkki tähän viestiin
|
|
Tehty. Nytkö pitäisi olla puhdasta?
"Rousku" : Asus M4A785TD-V Evo//Phenom II X4 945@stock//6Gb DDR3//Gigabyte GTX460 1GB//80+500Gb//Sonata II + Silverstone 500W
|
|
Hujo
Suspended permanently
|
4. maaliskuuta 2007 @ 09:29 |
Linkki tähän viestiin
|
ja tuosta vielä
Lataa Atribunen ATF Cleaner
Ohjeet;
Tupla-klikkaa ATF-Cleaner.exe käynnistääksesi ohjelman.[list]Main:n alla valitse: Select All
Klikkaa Empty Selected valintaa.
[/list]Jos käytät FireFoxia selaimenasi[list]Klikkaa Firefox yläpuolelta ja valitse: Select All
Klikkaa Empty Selected valintaa.
HUOMIO: Jos haluaisit pitää tallennetut salasanasi, klikkaa No kun se sitä kysyy.
[/list]Jos käytät Operaa selaimenasi[list]Klikkaa Opera yläpuolelta ja valitse: Select All
Klikkaa Empty Selected valintaa taas.
HUOMIO: Jos haluaisit pitää tallennetut salasanasi, klikkaa No kun se sitä kysyy.
[/list]Klikkaa Exit päävalikosta sulkeaksesi ohjelman.
Voiko tietsikka koskaan toimia?
|
|
Mainos
|
|
|
Senior Member
|
4. maaliskuuta 2007 @ 09:34 |
Linkki tähän viestiin
|
|
Tehty. Kerron jos vielä näkyy troijalaisia, ainakin ensitunnelmien perusteella pääsin niistä teidän ohjeillanne eroon sillä ei ole yhtäkään varoitusta vielä näkynyt. Suurkiitokset avusta :)
"Rousku" : Asus M4A785TD-V Evo//Phenom II X4 945@stock//6Gb DDR3//Gigabyte GTX460 1GB//80+500Gb//Sonata II + Silverstone 500W
|
