Elikkäs:Oon putsannu koneelta viruksia pois, nyt tän pitäs olla virusvapaa, mut ku yrittää mennä nettii, nii tosi usein ilmottaa sivua ei voi näyttää (kaikkien sivujen kohdalla)tai yleisempi vastaus on että palvelinta ei löydy.Vikasietotilassa toimii netti ihan ok.-Onks tää nyt palvelimen ongelma, vai voiko tää liittyä jotenki niihin öttiäisiin, mitä tässä koneella oli?
Oon kyselly tätä aikasemminki, ja sillo selvis tää mun massiivinen virusongelma mistä vasta päästii eroon, mut ne mun edelliset viestit ja muut löytyy täältä palstalta, kaaaauukaa takaapäin...
JOs jellyfish on kuulosalla/näkösällä, nii se sun kikka ei toiminu,ikävä kyllä,-kone ei ymmärrä sitä komentoo.
Nimimerkille jep sen verran,jos oot näkösällä, et sori etten vastannu mitää, mut taistelin niitten öttiäisten kanssa, ja aattelin hoitaa ne ennen ku alan selvittää tätä.-Elin toivossa et tää olis ratkennu sillä ku saa nää ylimääräset pois tästä koneesta mut ei... =(
Juggikselle muutes, iso kiitos! Kone, niinku näät, on askelen verran lähempänä normaalia toimintaa... =)
Elikkäs olis kiva jos taas jaksaisitte neuvoo...
Oon kyselly tätä aikasemminki, ja sillo selvis tää mun massiivinen virusongelma mistä vasta päästii eroon, mut ne mun edelliset viestit ja muut löytyy täältä palstalta, kaaaauukaa takaapäin...
JOs jellyfish on kuulosalla/näkösällä, nii se sun kikka ei toiminu,ikävä kyllä,-kone ei ymmärrä sitä komentoo.
Nimimerkille jep sen verran,jos oot näkösällä, et sori etten vastannu mitää, mut taistelin niitten öttiäisten kanssa, ja aattelin hoitaa ne ennen ku alan selvittää tätä.-Elin toivossa et tää olis ratkennu sillä ku saa nää ylimääräset pois tästä koneesta mut ei... =(
Juggikselle muutes, iso kiitos! Kone, niinku näät, on askelen verran lähempänä normaalia toimintaa... =)
Elikkäs olis kiva jos taas jaksaisitte neuvoo...
Vastaukset 24
Vanhimmat
Mene tuonne polkuun.
D:\WINNT\SYSTEM32\DRIVERS\ETC
ja sitten avaa se HOSTS. Avaa se muistion avulla.
Mitä rivejä se sisältää ?
Sen alkulitanian jälkeen sieltä pitäisi löytyy seuraava rivi.
127.0.0.1 localhost
Löytyykö myös jotain muita rivejä?
Liitä uusi hijackthis logi.
Tää on tehty vikasietotilassa, en tiiä vaikuttaako se nuuten ku et ei löydy palomuuria ja virussuojia, mut että tiiät ainaki, käyn vielä kattoo se toisen jutun.
Logfile of HijackThis v1.97.7
Scan saved at 21:01:49, on 2.7.2004
Platform: Windows 2000 (WinNT 5.00.2195)
MSIE: Internet Explorer v6.00 SP1 (6.00.2800.1106)
Running processes:
D:\WINNT\System32\smss.exe
D:\WINNT\system32\winlogon.exe
D:\WINNT\system32\services.exe
D:\WINNT\system32\lsass.exe
D:\WINNT\system32\svchost.exe
D:\WINNT\System32\WBEM\WinMgmt.exe
D:\WINNT\Explorer.exe
D:\Program Files\Internet Explorer\IEXPLORE.EXE
D:\WINNT\system32\cmd.exe
C:\HijackThis.exe
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.suomi24.fi
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.suomi24.fi
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://www.dnainternet.fi
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Window Title = dna Internet Explorer
R3 - Default URLSearchHook is missing
N3 - Netscape 7: user_pref("browser.search.defaultengine", "engine://D:\Program Files\Netscape\Netscape\searchplugins\SBWeb_01.src"); (D:\Documents and Settings\Administrator\Application Data\Mozilla\Profiles\default\raqzf8n8.slt\prefs.js)
O2 - BHO: (no name) - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - D:\Program Files\Adobe\Acrobat 5.0\Reader\ActiveX\AcroIEHelper.ocx
O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - D:\WINNT\System32\msdxm.ocx
O4 - HKLM\..\Run: [Synchronization Manager] mobsync.exe /logon
O4 - HKLM\..\Run: [CamMonitor] D:\Program Files\Hewlett-Packard\Digital Imaging\\Unload\hpqcmon.exe
O4 - HKLM\..\Run: [Share-to-Web Namespace Daemon] D:\Program Files\Hewlett-Packard\HP Share-to-Web\hpgs2wnd.exe
O4 - HKLM\..\Run: [SoloSentry] D:\PROGRA~1\SRNMIC~1\SOLOSENT.EXE
O4 - HKLM\..\Run: [SoloSchedule] D:\PROGRA~1\SRNMIC~1\SOLOCFG.EXE
O4 - HKLM\..\Run: [SoloSysCheck] D:\PROGRA~1\SRNMIC~1\SYSCHECK.COM
O4 - HKLM\..\Run: [Outpost Firewall] D:\PROGRA~1\Agnitum\OUTPOS~1.0\outpost.exe /waitservice
O4 - HKLM\..\Run: [Microsoft Office Lang] lesse.exe
O4 - HKLM\..\RunServices: [Microsoft Office Lang] lesse.exe
O4 - HKCU\..\Run: [Mozilla Quick Launch] "D:\Program Files\Netscape\Netscape\Netscp.exe" -turbo -aim
O4 - HKCU\..\Run: [SpySweeper] D:\Program Files\Webroot\Spy Sweeper\SpySweeper.exe /0
O4 - HKCU\..\Run: [Microsoft Office Lang] lesse.exe
O4 - Startup: Microsoft Find Fast.lnk = D:\Program Files\Microsoft Office\Office\FINDFAST.EXE
O4 - Startup: Office Startup.lnk = D:\Program Files\Microsoft Office\Office\OSA.EXE
O9 - Extra button: Net2Phone (HKLM)
O9 - Extra 'Tools' menuitem: Net2Phone (HKLM)
O14 - IERESET.INF: START_PAGE_URL=http://www.dnainternet.fi
O16 - DPF: {74D05D43-3236-11D4-BDCD-00C04F9A3B61} (HouseCall Control) - http://a840.g.akamai.net/7/840/537/2004061001/housecall.trendmicro.com/housecall/xscan53.cab
O16 - DPF: {7B297BFD-85E4-4092-B2AF-16A91B2EA103} (WScanCtl Class) - http://www3.ca.com/securityadvisor/virusinfo/webscan.cab
O16 - DPF: {80DD2229-B8E4-4C77-B72F-F22972D723EA} (AvxScanOnline Control) - http://www.bitdefender.com/scan/Msie/bitdefender.cab
O16 - DPF: {9F1C11AA-197B-4942-BA54-47A8489BB47F} (Update Class) - http://v4.windowsupdate.microsoft.com/CAB/x86/unicode/iuctl.CAB?38154.4186111111
O16 - DPF: {A3009861-330C-4E10-822B-39D16EC8829D} (CRAVOnline Object) - http://www.ravantivirus.com/scan/ravonline.cab
O16 - DPF: {A8658086-E6AC-4957-BC8E-7D54A7E8A78E} (SassCln Object) - http://www.microsoft.com/security/controls/Sasser/20/SassCln.CAB
O16 - DPF: {D27CDB6E-AE6D-11CF-96B8-444553540000} (Shockwave Flash Object) - http://active.macromedia.com/flash4/cabs/swflash.cab
127.0.0.1 www.sophos.com
127.0.0.1 sophos.com
127.0.0.1 www.mcafee.com
127.0.0.1 mcafee.com
127.0.0.1 liveupdate.symantecliveupdate.com
127.0.0.1 www.viruslist.com
127.0.0.1 viruslist.com
127.0.0.1 viruslist.com
127.0.0.1 f-secure.com
127.0.0.1 www.f-secure.com
127.0.0.1 kaspersky.com
127.0.0.1 www.avp.com
127.0.0.1 www.kaspersky.com
127.0.0.1 avp.com
127.0.0.1 www.networkassociates.com
127.0.0.1 networkassociates.com
127.0.0.1 www.ca.com
127.0.0.1 ca.com
127.0.0.1 mast.mcafee.com
127.0.0.1 my-etrust.com
127.0.0.1 www.my-etrust.com
127.0.0.1 download.mcafee.com
127.0.0.1 dispatch.mcafee.com
127.0.0.1 secure.nai.com
127.0.0.1 nai.com
127.0.0.1 www.nai.com
127.0.0.1 us.mcafee.com
127.0.0.1 rads.mcafee.com
127.0.0.1 trendmicro.com
127.0.0.1 www.trendmicro.com
127.0.0.1 www.sophos.com
127.0.0.1 sophos.com
127.0.0.1 www.mcafee.com
127.0.0.1 mcafee.com
127.0.0.1 liveupdate.symantecliveupdate.com
127.0.0.1 www.viruslist.com
127.0.0.1 viruslist.com
127.0.0.1 viruslist.com
127.0.0.1 f-secure.com
127.0.0.1 www.f-secure.com
127.0.0.1 kaspersky.com
127.0.0.1 www.avp.com
127.0.0.1 www.kaspersky.com
127.0.0.1 avp.com
127.0.0.1 www.networkassociates.com
127.0.0.1 networkassociates.com
127.0.0.1 www.ca.com
127.0.0.1 ca.com
127.0.0.1 mast.mcafee.com
127.0.0.1 my-etrust.com
127.0.0.1 www.my-etrust.com
127.0.0.1 download.mcafee.com
127.0.0.1 dispatch.mcafee.com
127.0.0.1 secure.nai.com
127.0.0.1 nai.com
127.0.0.1 www.nai.com
127.0.0.1 us.mcafee.com
127.0.0.1 rads.mcafee.com
127.0.0.1 trendmicro.com
127.0.0.1 www.trendmicro.com
127.0.0.1 www.sophos.com
127.0.0.1 sophos.com
127.0.0.1 www.mcafee.com
127.0.0.1 mcafee.com
127.0.0.1 liveupdate.symantecliveupdate.com
127.0.0.1 www.viruslist.com
127.0.0.1 viruslist.com
127.0.0.1 viruslist.com
127.0.0.1 f-secure.com
127.0.0.1 www.f-secure.com
127.0.0.1 kaspersky.com
127.0.0.1 www.avp.com
127.0.0.1 www.kaspersky.com
127.0.0.1 avp.com
127.0.0.1 www.networkassociates.com
127.0.0.1 networkassociates.com
127.0.0.1 www.ca.com
127.0.0.1 ca.com
127.0.0.1 mast.mcafee.com
127.0.0.1 my-etrust.com
127.0.0.1 www.my-etrust.com
127.0.0.1 download.mcafee.com
127.0.0.1 dispatch.mcafee.com
127.0.0.1 secure.nai.com
127.0.0.1 nai.com
127.0.0.1 www.nai.com
127.0.0.1 us.mcafee.com
127.0.0.1 rads.mcafee.com
127.0.0.1 trendmicro.com
127.0.0.1 www.trendmicro.com
127.0.0.1 www.sophos.com
127.0.0.1 sophos.com
127.0.0.1 www.mcafee.com
127.0.0.1 mcafee.com
127.0.0.1 liveupdate.symantecliveupdate.com
127.0.0.1 www.viruslist.com
127.0.0.1 viruslist.com
127.0.0.1 viruslist.com
127.0.0.1 f-secure.com
127.0.0.1 www.f-secure.com
127.0.0.1 kaspersky.com
127.0.0.1 www.avp.com
127.0.0.1 www.kaspersky.com
127.0.0.1 avp.com
127.0.0.1 www.networkassociates.com
127.0.0.1 networkassociates.com
127.0.0.1 www.ca.com
127.0.0.1 ca.com
127.0.0.1 mast.mcafee.com
127.0.0.1 my-etrust.com
127.0.0.1 www.my-etrust.com
127.0.0.1 download.mcafee.com
127.0.0.1 dispatch.mcafee.com
127.0.0.1 secure.nai.com
127.0.0.1 nai.com
127.0.0.1 www.nai.com
127.0.0.1 us.mcafee.com
127.0.0.1 rads.mcafee.com
127.0.0.1 trendmicro.com
127.0.0.1 www.trendmicro.com
127.0.0.1 www.symantec.com
127.0.0.1 securityresponse.symantec.com
127.0.0.1 symantec.com
127.0.0.1 www.sophos.com
127.0.0.1 sophos.com
127.0.0.1 www.mcafee.com
127.0.0.1 mcafee.com
127.0.0.1 liveupdate.symantecliveupdate.com
127.0.0.1 www.viruslist.com
127.0.0.1 viruslist.com
127.0.0.1 viruslist.com
127.0.0.1 f-secure.com
127.0.0.1 www.f-secure.com
127.0.0.1 kaspersky.com
127.0.0.1 www.avp.com
127.0.0.1 www.kaspersky.com
127.0.0.1 avp.com
127.0.0.1 www.networkassociates.com
127.0.0.1 networkassociates.com
127.0.0.1 www.ca.com
127.0.0.1 ca.com
127.0.0.1 mast.mcafee.com
127.0.0.1 my-etrust.com
127.0.0.1 www.my-etrust.com
127.0.0.1 download.mcafee.com
127.0.0.1 dispatch.mcafee.com
127.0.0.1 secure.nai.com
127.0.0.1 nai.com
127.0.0.1 www.nai.com
127.0.0.1 update.symantec.com
127.0.0.1 updates.symantec.com
127.0.0.1 us.mcafee.com
127.0.0.1 liveupdate.symantec.com
127.0.0.1 customer.symantec.com
127.0.0.1 rads.mcafee.com
127.0.0.1 trendmicro.com
127.0.0.1 www.trendmicro.com
Tajusin kai väärin, koska en löytäny sitä mistä kerroit, mut tässä on tää koko systeemi, jos viittisit vilkasta ite...
-kiitäs jo etukäteen =)-
Avaa uudelleen se hosts.
Lisää tämä rivi sinne ylimmäiseksi
127.0.0.1 localhost
ennen tuota
127.0.0.1 www.sophos.com
ja poista sitten noi kaikki muut alkaen siitä
127.0.0.1 www.sophos.com
127.0.0.1 sophos.com
127.0.0.1 www.mcafee.com
127.0.0.1 mcafee.com
127.0.0.1 liveupdate.symantecliveupdate.com
127.0.0.1 www.viruslist.com
127.0.0.1 viruslist.com
jne..
jne..
jne..
ja päätyen sinne rivin viimeiseen
127.0.0.1 www.trendmicro.com
tämän jälkeen siellä on siis ainoastaan se alkulitania ja tämä yksi rivi
127.0.0.1 localhost
sitten sieltä ylhäältä
tiedosto -->tallenna
tarkista,että se tallentuu tekstitiedostona .txt
ei siis minää muuna.
Buuttaa kone ja katso pääsetkö niile Antivirussivustoille.
Kun olet tehnyt sen hosts muutoksen niin sitten sun pitäisi päästä niille antivirussivustoille.
Scannaa koneesi virustorjuntaohjelmalla ja jollain ilmaisella virusscannerilla.
Ennen sitä suoritetaan seuravat toimenpiteet.
Ensin siirrä se HijackThis.exe
omaan kansioon
C:\HJT\HijackThis.exe
Tee uusi scannaus sieltä uudesta paikasta ja
sitten poista seuraavat rivit logista.
R3 - Default URLSearchHook is missing
O4 - HKLM\..\Run: [Microsoft Office Lang] lesse.exe
O4 - HKLM\..\RunServices: [Microsoft Office Lang] lesse.exe
O4 - HKCU\..\Run: [Microsoft Office Lang] lesse.exe
Buuttaa kone ja käynnistä normaalitilaan.
Suorita siellä alussa olevat toimenpiteet jos pystyt. Virustorjuntaohjelmasi pitäisi siis nyt myös toimia.
Sitten liitä tämän normaalitilan uusi hijackthis logi jos pystyt.
Ensin siirrä se HijackThis.exe
omaan kansioon
C:\HJT\HijackThis.exe
KORJAA TÄMÄ TÄLLÄ
D:\HJT\HijackThis.exe
siis siirrä se sinne D-asemaan ei C
Hirveesti ohjeita, mut oon nyt tehny sen host-muutoksen, eli siellä on nyt vaan se yks rivi,alkulitanioita en siellä nähny.
Sen jälkeen avasin normaalitilassa, mut netti ei aukee, jämähtää sivua avatessa, eikä siihen auta ees control alt del.
Sitten...Laitoin hijackin omaan kansioon ja poistin ne rivit mitkä neuvoit, mut siinä sun yhessä viestissä luki, et hijack pitäski olla D:llä...? Minkä ihmeen takia, eihän niistä mun muistaakseen tuu varmuuskopoita jos se on siellä ja poistaa jotain,eli jos lähteekii jotain tärkeetä, nii lirissä ollaan.
Plus kerrotko muutenki, mitä oon tehny ja mitä milläki pitäs tapahtuu, nii jos oppisin tässä samalla =)
Tuolla hosts-tiedostolla on tiettyjä tehtäviä, mutta "perustiedostossa" siellä ei ole kuin tuo rivi:
127.0.0.1 localhost
Joku noista "öttiäisistä" on lisännyt sinne noita rivejä.
Esim. 127.0.0.1 www.f-secure.com
on estänyt koneeltasi pääsyn tuohon f-securen osoitteeseen.
Tiedosto on siis windows (tai winnt) hakemistossa
system32\drivers\etc kansiossa.
Jotta se toimii, se pitää nimetä hosts ,ilman tiedostopäätettä.
Tuohon hijackkiin ei ole mulla tietoa.
normaaliasetuksilla Hijack This tekee poistetuista riveistä backup-tiedoston siihen hakemistoon missä hijack this on. Ja back-upit saa kyllä palautettua käyttöön. Lainattua:
"Varmuuskopio
Poistetut rivit menevät varmuuskopioon joka löytyy seuraavasti:
- Avaa ohjelma
- Valitse oikealta alhaalta kohta Config
- Ylhäältä Backups
- Sieltä löytyvät kaikki poistetut rivit
Jos haluat palauttaa sieltä jonkun rivin niin klikkaa kyseistä riviä ja paina oikealta Restore-nappia.
Vastaavasti jos haluat kokonaan poistaa / tuhota jonkun rivin niin paina oikealta Delete-nappia."
Tiedot löytyy, kuten lainauskin täältä:
http://koti.mbnet.fi/pattaya1/hijackthis.htm
No heissan taasen! =)
Eihän sulla oo tietoo että minkä takia se hijack nyt pitäs siirtää/olla siellä D:llä, ku etkös siä neuvonu et laittaa se sinne C:lle, ja nyt mä sain sen siellä jopa omaan kansioon. =)-Ja minkä takia se pitää olla omassa kansiossa?
Kiitos selvennyksestä. Ku helposti tuntuu täällä käyvän niin, että apua saa, -mistä osaan olla kiitollinen, koska muuten olisin aika lirissä ;), mut pitää vähän kysellä että mitä niillä jutuilla tapahtuu, mitä pitää tehä, nii että vastaisuudessaki osais sitte, jos on joskus tarvis.
Että päivä päivältä avautuvat tietokoneen salat... =)
Heippo dej igen
itse asiassa syy taitaa olla se, kun sun koneessa on mm. käyttöjärjestelmä D: asemalla. Itsekin sitä vähä ihmettelin, muttei se mikään virhe ole. Pääasia oli että konessasi oli hijack this c:/hijackthis.exe eli c:n juuressa. On suositeltu että hijack this olisi omassa hakemistossa (esim c:/hjt/hijackthis.exe) mm .senkin takia, että backupit ovat Hijack This ohjelman välittömässä läheisyydessä, eikä sielä ole muita tiedostoja.
Taas lainaus:
"Asennus
Asenna ohjelma HijackThis.exe omaan hijackthis kansioon esim C:n juureen tai Program Files kansioon. esim. C:\hijackthis\HijackThis.exe tai C:\Program Files\hijackthis\HijackThis.exe ja tee scannaus juuri sieltä.
Huomaa myös seuraava varoitusikkuna kun yrität avata sitä esim. temp-kansiosta.
Tämä siltä varalta,että noista poistettavista riveistä muodostuu backup-rivit jotka voi myöhemmin palauttaa jos jotain ongelmia ilmenee juuri noiden rivien suhteen.
Backup-rivit eivät muodostu 100 % (tai muodostu ollenkaan), jos se Hijackthis.exe ajetaan suoraan
unzipped muodosta tai TEMP-kansiosta .Älä myöskään asenna sitä suoraan työpöydälle."
Eli käsitänkö mä nyt oikein:Ohje kehottaa laittamaan sen C:lle, mielellään omaan kansioon (koska käyttöjärjestelmä on yleensä koneissa siellä?), mutta siirrän sen D:lle omaan kanioon, koska mulla ne käyttikset on siellä.-Ja se ei vaikuta sen käytettävyyteen mitenkään?Ja minkä takia sen pitää olla samalla missä käyttis?
Onko koneellasi Ad-Aware, Spybot S&D tai muita spywaren tuhoamiseen tarkoitettuja ohjelmia.
Jos ei niin Lataa Ad-Aware täältä, saamalta sivulta löytyy asennusohjeet.
http://koti.mbnet.fi/pattaya1/adaware.htm
Tältä sivulta löytyy asetukset tarkempaan syyniin:
http://koti.mbnet.fi/pattaya1/ada2.htm
Koita ajaa adawre näillä asetuksilla ja katsotaan.
Ohjeissa sanottu, että samaan asemaan kuin käyttis. Itselläni käyttis c:llä ja Hijack this f:llä.
Mutta ongelmaan. Muistuuko mieleen mitä mahdollisia muutoksia koneellesi on tehty, ennenkö ongelma ilmeni?
...Tämmösiä kun (en tiiä miten nää pitäs "oikeeoppisesti" kirjottaa/kertoo)
BROADCASTPC ddll4.tmp
A-SOFTNET mediaplyer.exe
TROJAN psexesvc.exe
-Mistä näitä virtaa, kun palomuurinki (Outpost firewall)pitäs olla kondiksessa?
En muista mitä kaikkee tälle tehtiin just ennenku just tää ongelma tuli kuvioihin mukaan, ku mula on tän koneen kans ollu ongelmia ihan heti sitä lähtien ku netti aukes, ja nettitueva(Norman) ei suostunu asentuu tähän.
Kaikki? Kahdesta ekasta en löytänyt tietoa ja tuo troijalainen oli osalle tuntematon. Tässä siitä vähän tietoa.
TROJAN psexesvc.exe =virus: Backdoor.IRC.Ratsou
Lähde
http://securityresponse.symantec.com/avcenter/venc/data/backdoor.irc.ratsou.html
Siis mikä palomuuri ohjelma sulla on.
Joo, ei päästä mua symantecin sivuille, mut karanteenissa ovat kaikki kolme.
Se palomuuri on Agnitum:n outpost firewall.-Ja kyllä, olen valmis vaihtamaan sen johonkin toimivampaan ratkasuun, oisko joku sen ad-aware- tyypin kotisivulla mainittu hyvä?
Eli pitäskö niitä varten kans kattoo jotain, mulla on tässä nyt triali Solo antiviruksesta.
tuo on mulle outo. Palomuuri taitaa olla kumminkin täs vaihees sivuseikka. Kuitenkin paljon sieltä on läpi viruksia tullut.
Antivir on hyväksi kehuttu. Koita ajaa Hijackthis ja katsotaan sitä logia.
Sori, mutta heitän tähän väliin:
oletko varmasti siivonnut sen hosts-tiedoston kaikesta ylimääräisestä ?
Siellä estolistalla oli myös tuo
securityresponse.symantec.com
versio sinulla on?
Joo...siinähän se jo tuliki.
en tiä, mut jos vaikka auttas.
http://keskustelu.suomi24.fi/show.fcgi?category=108&conference=4500000000000301&posting=22000000003058238