Mitä tästä uskaltaa poistaa?
Logfile of HijackThis v1.97.7
Scan saved at 17:40:21, on 30.6.2004
Platform: Windows 2000 (WinNT 5.00.2195)
MSIE: Internet Explorer v6.00 SP1 (6.00.2800.1106)
Running processes:
D:\WINNT\System32\smss.exe
D:\WINNT\system32\winlogon.exe
D:\WINNT\system32\services.exe
D:\WINNT\system32\lsass.exe
D:\WINNT\system32\svchost.exe
D:\WINNT\System32\WBEM\WinMgmt.exe
D:\WINNT\Explorer.exe
D:\Program Files\Internet Explorer\IEXPLORE.EXE
C:\HijackThis.exe
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.suomi24.fi
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.suomi24.fi
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://www.dnainternet.fi
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Window Title = dna Internet Explorer
R3 - Default URLSearchHook is missing
N3 - Netscape 7: user_pref("browser.search.defaultengine", "engine://D:\Program Files\Netscape\Netscape\searchplugins\SBWeb_01.src"); (D:\Documents and Settings\Administrator\Application Data\Mozilla\Profiles\default\raqzf8n8.slt\prefs.js)
O2 - BHO: (no name) - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - D:\Program Files\Adobe\Acrobat 5.0\Reader\ActiveX\AcroIEHelper.ocx
O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - D:\WINNT\System32\msdxm.ocx
O4 - HKLM\..\Run: [Synchronization Manager] mobsync.exe /logon
O4 - HKLM\..\Run: [CamMonitor] D:\Program Files\Hewlett-Packard\Digital Imaging\\Unload\hpqcmon.exe
O4 - HKLM\..\Run: [Share-to-Web Namespace Daemon] D:\Program Files\Hewlett-Packard\HP Share-to-Web\hpgs2wnd.exe
O4 - HKLM\..\Run: [SoloSentry] D:\PROGRA~1\SRNMIC~1\SOLOSENT.EXE
O4 - HKLM\..\Run: [SoloSchedule] D:\PROGRA~1\SRNMIC~1\SOLOCFG.EXE
O4 - HKLM\..\Run: [SoloSysCheck] D:\PROGRA~1\SRNMIC~1\SYSCHECK.COM
O4 - HKLM\..\Run: [Outpost Firewall] D:\PROGRA~1\Agnitum\OUTPOS~1.0\outpost.exe /waitservice
O4 - HKLM\..\Run: [Windows Registry Repair Pro] D:\Program Files\3B Software\Windows Registry Repair Pro\Windows Registry Repair Pro.exe -X
O4 - HKLM\..\Run: [navp.exe] wupdate.exe
O4 - HKLM\..\Run: [Windows Login] lmss.exe
O4 - HKLM\..\Run: [Windows Configuration] winsys32.exe
O4 - HKLM\..\Run: [Microsoft Update Machine] systemnt.exe
O4 - HKLM\..\RunServices: [Windows Login] lmss.exe
O4 - HKLM\..\RunServices: [Microsoft Update Machine] systemnt.exe
O4 - HKLM\..\RunServices: [navp.exe] wupdate.exe
O4 - HKLM\..\RunServices: [Windows Configuration] winsys32.exe
O4 - HKCU\..\Run: [Mozilla Quick Launch] "D:\Program Files\Netscape\Netscape\Netscp.exe" -turbo -aim
O4 - HKCU\..\Run: [SpySweeper] D:\Program Files\Webroot\Spy Sweeper\SpySweeper.exe /0
O4 - HKCU\..\Run: [Microsoft Update Machine] systemnt.exe
O4 - Startup: Microsoft Find Fast.lnk = D:\Program Files\Microsoft Office\Office\FINDFAST.EXE
O4 - Startup: Office Startup.lnk = D:\Program Files\Microsoft Office\Office\OSA.EXE
O9 - Extra button: Net2Phone (HKLM)
O9 - Extra 'Tools' menuitem: Net2Phone (HKLM)
O14 - IERESET.INF: START_PAGE_URL=http://www.dnainternet.fi
O16 - DPF: {74D05D43-3236-11D4-BDCD-00C04F9A3B61} (HouseCall Control) - http://a840.g.akamai.net/7/840/537/2004061001/housecall.trendmicro.com/housecall/xscan53.cab
O16 - DPF: {7B297BFD-85E4-4092-B2AF-16A91B2EA103} (WScanCtl Class) - http://www3.ca.com/securityadvisor/virusinfo/webscan.cab
O16 - DPF: {80DD2229-B8E4-4C77-B72F-F22972D723EA} (AvxScanOnline Control) - http://www.bitdefender.com/scan/Msie/bitdefender.cab
O16 - DPF: {9F1C11AA-197B-4942-BA54-47A8489BB47F} (Update Class) - http://v4.windowsupdate.microsoft.com/CAB/x86/unicode/iuctl.CAB?38154.4186111111
O16 - DPF: {A3009861-330C-4E10-822B-39D16EC8829D} (CRAVOnline Object) - http://www.ravantivirus.com/scan/ravonline.cab
O16 - DPF: {A8658086-E6AC-4957-BC8E-7D54A7E8A78E} (SassCln Object) - http://www.microsoft.com/security/controls/Sasser/20/SassCln.CAB
O16 - DPF: {D27CDB6E-AE6D-11CF-96B8-444553540000} (Shockwave Flash Object) - http://active.macromedia.com/flash4/cabs/swflash.cab
Logfile of HijackThis v1.97.7
Scan saved at 17:40:21, on 30.6.2004
Platform: Windows 2000 (WinNT 5.00.2195)
MSIE: Internet Explorer v6.00 SP1 (6.00.2800.1106)
Running processes:
D:\WINNT\System32\smss.exe
D:\WINNT\system32\winlogon.exe
D:\WINNT\system32\services.exe
D:\WINNT\system32\lsass.exe
D:\WINNT\system32\svchost.exe
D:\WINNT\System32\WBEM\WinMgmt.exe
D:\WINNT\Explorer.exe
D:\Program Files\Internet Explorer\IEXPLORE.EXE
C:\HijackThis.exe
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.suomi24.fi
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.suomi24.fi
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://www.dnainternet.fi
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Window Title = dna Internet Explorer
R3 - Default URLSearchHook is missing
N3 - Netscape 7: user_pref("browser.search.defaultengine", "engine://D:\Program Files\Netscape\Netscape\searchplugins\SBWeb_01.src"); (D:\Documents and Settings\Administrator\Application Data\Mozilla\Profiles\default\raqzf8n8.slt\prefs.js)
O2 - BHO: (no name) - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - D:\Program Files\Adobe\Acrobat 5.0\Reader\ActiveX\AcroIEHelper.ocx
O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - D:\WINNT\System32\msdxm.ocx
O4 - HKLM\..\Run: [Synchronization Manager] mobsync.exe /logon
O4 - HKLM\..\Run: [CamMonitor] D:\Program Files\Hewlett-Packard\Digital Imaging\\Unload\hpqcmon.exe
O4 - HKLM\..\Run: [Share-to-Web Namespace Daemon] D:\Program Files\Hewlett-Packard\HP Share-to-Web\hpgs2wnd.exe
O4 - HKLM\..\Run: [SoloSentry] D:\PROGRA~1\SRNMIC~1\SOLOSENT.EXE
O4 - HKLM\..\Run: [SoloSchedule] D:\PROGRA~1\SRNMIC~1\SOLOCFG.EXE
O4 - HKLM\..\Run: [SoloSysCheck] D:\PROGRA~1\SRNMIC~1\SYSCHECK.COM
O4 - HKLM\..\Run: [Outpost Firewall] D:\PROGRA~1\Agnitum\OUTPOS~1.0\outpost.exe /waitservice
O4 - HKLM\..\Run: [Windows Registry Repair Pro] D:\Program Files\3B Software\Windows Registry Repair Pro\Windows Registry Repair Pro.exe -X
O4 - HKLM\..\Run: [navp.exe] wupdate.exe
O4 - HKLM\..\Run: [Windows Login] lmss.exe
O4 - HKLM\..\Run: [Windows Configuration] winsys32.exe
O4 - HKLM\..\Run: [Microsoft Update Machine] systemnt.exe
O4 - HKLM\..\RunServices: [Windows Login] lmss.exe
O4 - HKLM\..\RunServices: [Microsoft Update Machine] systemnt.exe
O4 - HKLM\..\RunServices: [navp.exe] wupdate.exe
O4 - HKLM\..\RunServices: [Windows Configuration] winsys32.exe
O4 - HKCU\..\Run: [Mozilla Quick Launch] "D:\Program Files\Netscape\Netscape\Netscp.exe" -turbo -aim
O4 - HKCU\..\Run: [SpySweeper] D:\Program Files\Webroot\Spy Sweeper\SpySweeper.exe /0
O4 - HKCU\..\Run: [Microsoft Update Machine] systemnt.exe
O4 - Startup: Microsoft Find Fast.lnk = D:\Program Files\Microsoft Office\Office\FINDFAST.EXE
O4 - Startup: Office Startup.lnk = D:\Program Files\Microsoft Office\Office\OSA.EXE
O9 - Extra button: Net2Phone (HKLM)
O9 - Extra 'Tools' menuitem: Net2Phone (HKLM)
O14 - IERESET.INF: START_PAGE_URL=http://www.dnainternet.fi
O16 - DPF: {74D05D43-3236-11D4-BDCD-00C04F9A3B61} (HouseCall Control) - http://a840.g.akamai.net/7/840/537/2004061001/housecall.trendmicro.com/housecall/xscan53.cab
O16 - DPF: {7B297BFD-85E4-4092-B2AF-16A91B2EA103} (WScanCtl Class) - http://www3.ca.com/securityadvisor/virusinfo/webscan.cab
O16 - DPF: {80DD2229-B8E4-4C77-B72F-F22972D723EA} (AvxScanOnline Control) - http://www.bitdefender.com/scan/Msie/bitdefender.cab
O16 - DPF: {9F1C11AA-197B-4942-BA54-47A8489BB47F} (Update Class) - http://v4.windowsupdate.microsoft.com/CAB/x86/unicode/iuctl.CAB?38154.4186111111
O16 - DPF: {A3009861-330C-4E10-822B-39D16EC8829D} (CRAVOnline Object) - http://www.ravantivirus.com/scan/ravonline.cab
O16 - DPF: {A8658086-E6AC-4957-BC8E-7D54A7E8A78E} (SassCln Object) - http://www.microsoft.com/security/controls/Sasser/20/SassCln.CAB
O16 - DPF: {D27CDB6E-AE6D-11CF-96B8-444553540000} (Shockwave Flash Object) - http://active.macromedia.com/flash4/cabs/swflash.cab
Vastaukset 17
Vanhimmat
Katso linkistä:
http://www.trendmicro.com/vinfo/virusencyclo/default5.asp?VName=WORM_DEADHAT.C&VSect=T
En näe virustorjuntaohjelmaa enkä palomuuria logista!!!
Riveillä:
O4 - HKLM\..\Run: [Windows Login] lmss.exe
O4 - HKLM\..\RunServices: [Windows Login] lmss.exe
Koita jotain nettiscanneria.
Oon safe-modella netissä, ku ei normaalisti laske mua tänne...En tiiä mikä tän idea on, mut varmaanki johtuu siitä, koska pitäs ne jutut olla kondiksessa.
Ei laske mua tosta linkistä, ja oliko se nyt Kaspersky, -tai joku vastaava nimi,- nii siellä on hyvä skanneri, mut sine en pääse kans.
ainakin yksi noista on "backdoor"-tyyppiä eli avaa muille pääsyn. Koita ruksata nuo kaikki rivit mitä minä ja "ohje" ilmoitti vikasietotilassa eli safe mode:ssa. Etsi sen jälkeen ko. fileet ja tuhoa manuaalisesti. En tiedä riittääkö mutta koitetaan.
Eli tää manuaalinen poistoko menee ihan vaan silleen, että haen sillä haulla ne kansiot, ja painan ruksia, ja jos löytyy useempia samalla haulla, nii poistanko kaikki?
Aja hijack this vikasietotilassa ja ruksaa ilmitetut rivit. Sen jälkeen tarkista manuaalisesti, että kyseiset tiedostot ovat tuhotut. Joskus tämä riittää.
Elikkäs tarkotin sitä manuaalista poistoo, että meneekö SE ihan vaan silleen et etin ne tolla koneen etsintä-systeemillä ja painan sitä punasta ruksia (=poistan). JA ku etin tolleen tossa aikasemmin (hijackillä poiston jälkeen)esim. tota lmss.exe:ä, nii sitä tais olla useemmassa paikassa.
Tiedän, kuulostan TODELLA tyhmälle, mut siihen tottuu...Ja voin vedota vaikka blodiutee, -pitäs riittää erinomaisesti syyksi. =)
Aja hijack this vikasietotilassa ja ruksaa ilmoitetut rivit ja sen jälkeen "FIX".
tarkista manuaalisesti resurssienhallinnan "explorer" , että kyseiset tiedostot ovat tuhotut. Joskus tämä riittää. Kyllä, lmss.exe oli kahdessa eri paikassa.
Hijack This:in logista löyttyy hakemistopolut.
Varmuuden vuoksi kannattaisi siivota rekisterikin ennen boottausta. Esim easycleaner:lla.
http://koti.mbnet.fi/pattaya1/muut_ilmaisohjelmat.htm
Mikä ihme on resurssienhallinnan "explorer"? Ku eikö se mee vaan niin et etin tolla koneen tidostojen ja kansioiden haulla ne .exe-päätteiset tiedostot ja deletee?
Vähän taietaan puhua eri kieltä, ja mulle kannattaa vääntää rautalangasta... =)
Oli kiire nurmikon leikkuuseen. o:)))). Eli joko "käynnistä" resurssienhallinta- tai "start" explorer -ohjelma.
Hmm...ensinnäki, mulla on vaan Control-panel, eikö se oo aika vastaava, näin oon käsittäny...Miten muka nään siellä et onko ne missään?
-alkaa olla täällä päässä TODELLA TYHMÄ olo...-
painun saunaan, palailen tossa myöhemmin...
jos en selittänyt selvästi. Äläkä huoli, jokainen on joskus joutunut alkamaan nollasta, saati sitten opetellu kirjoittamaan.
Joku sellainen ohjelma millä pystyy esim. poistamaan, kopioimaan jne tiedostoja. Kyllä windows 2000 versiossa sellainen on, mutta en tiedä saako sen käyntiin (explorer) vas. alakulmassa olevasta start-nappulasta. Paina sitä start-nappulaa kerran hiiren oikenpuoleisella napilla. valitse sieltä "explorer". Aukeaa ikkuna, jossa näet hakemistoja ja niissä olevia tiedostoja.
Nonii, saunottu on. Ja sen verran sanon, et oudot huvit sulla, ku ihmisellä on kiire ruohon leikkuuseen...?! =)
Asiaan.Taisin saada sen lmss:n pois, koska ei löytyny enää haulla.Mitä sanot näistä logissaki näkyneistä, ku joku laitto et ne olis matoja yms öttiäisiä kans..?
O4 - HKLM\..\Run: [navp.exe] wupdate.exe
O4 - HKLM\..\Run: [Windows Configuration] winsys32.exe
O4 - HKLM\..\Run: [Microsoft Update Machine] systemnt.exe
O4 - HKLM\..\RunServices: [Microsoft Update Machine] systemnt.exe
O4 - HKLM\..\RunServices: [navp.exe] wupdate.exe
O4 - HKLM\..\RunServices: [Windows Configuration] winsys32.exe
O4 - HKCU\..\Run: [Microsoft Update Machine] systemnt.exe
Nimittäin palomuuri ilmottaa koko ajan, et toi systemnt.exe kysyy ulospäinpääsyä, ja mä oon ollu siinä uskossa et se on joku mato, nii en oo antanu lupaa.Wupdatea yritin jossain vaiheessa poistaakii, ku kaikki sanoo et se on joku öllikkä, mut ei se antanu poistaa itteensä(acces denied).
olen muutenkin vähä erikoinen.. ei toki vesisadetta pelkäsin.
Kuten jo ennemmin kirjoitin ne pois kaikki mitkä toinen vastaaja tunnisti.
Joku näistä oli päässy koneellesi ensin ja se oli aukonut portteja "backdoor" mm. mydoom:ille
jees.Alan ettii ne kaikki loputki ja poistan, katon sit suotuuko tää kone toimii normaalitilassa ja pahoin pelkään et palailen lisäongelmien kans, mut ilmoottelen itestäni jokatapauksessa.
-iso kiitos avusta, taas opittiin uutta, eikä tarvinnu ees kotonta lähtee(-sanonta sanoo, et aina oppii ku kotontaa lähtee) =)
-ja nyt uurastamaan...
viruksia, matoja mitä lieneekään
O4 - HKLM\..\Run: [navp.exe] wupdate.exe
O4 - HKLM\..\Run: [Windows Login] lmss.exe
O4 - HKLM\..\Run: [Windows Configuration] winsys32.exe
O4 - HKLM\..\Run: [Microsoft Update Machine] systemnt.exe
O4 - HKLM\..\RunServices: [Windows Login] lmss.exe
O4 - HKLM\..\RunServices: [Microsoft Update Machine] systemnt.exe
O4 - HKLM\..\RunServices: [navp.exe] wupdate.exe
O4 - HKLM\..\RunServices: [Windows Configuration] winsys32.exe
O4 - HKCU\..\Run: [Microsoft Update Machine] systemnt.exe
systemnt.exe =
http://fr.trendmicro-europe.com/enterprise/security_info/ve_detail.php?id=59891&VName=WORM_RBOT.DA&VSect=O
wupdate.exe =
http://www.trendmicro.com/vinfo/virusencyclo/default5.asp?VName=WORM_SDBOT.JS
lmss.exe =
http://www.trendmicro.com/vinfo/virusencyclo/default5.asp?VName=WORM_DEADHAT.C
winsys32.exe =
http://www.trendmicro.com/vinfo/virusencyclo/default5.asp?VName=WORM_AGOBOT.IN