Löytyisköhän vielä vinkkejä tohon troijalaiseen, linkki alla...
http://keskustelu.suomi24.fi/show.fcgi?category=108&conference=1500000000000007&posting=22000000004037996
http://keskustelu.suomi24.fi/show.fcgi?category=108&conference=1500000000000007&posting=22000000004037996
Vastaukset 25
Vanhimmat
http://securityresponse.symantec.com/avcenter/venc/data/js.seeker.k.html
http://www.pestpatrol.com/pestinfo/s/sp_hijacker.asp
http://computercops.biz/postp245443.html
Asenna tuo Hijack This koneelle,scannaa sillä kone ja litä se logi tänne,niin katotaan jos se näkyy siellä.
http://koti.mbnet.fi/pattaya1/hijackthis.htm
Logfile of HijackThis v1.98.0
Scan saved at 12:01:09, on 23.7.2004
Platform: Windows XP SP1 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP1 (6.00.2800.1106)
Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\csrss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\spoolsv.exe
C:\WINDOWS\System32\Ati2evxx.exe
C:\WINDOWS\system32\cisvc.exe
C:\Program Files\Symantec_Client_Security\Symantec AntiVirus\DefWatch.exe
C:\Program Files\Common Files\Microsoft Shared\VS7DEBUG\MDM.EXE
C:\Program Files\Microsoft SQL Server\MSSQL\Binn\sqlservr.exe
C:\Program Files\Symantec_Client_Security\Symantec AntiVirus\Rtvscan.exe
C:\WINDOWS\Explorer.EXE
C:\PROGRA~1\SYMANT~1\SYMANT~1\vptray.exe
C:\WINDOWS\LTSMMSG.exe
C:\WINDOWS\System32\atiptaxx.exe
C:\WINDOWS\System32\CTFMON.EXE
C:\Program Files\Microsoft SQL Server\80\Tools\Binn\sqlmangr.exe
C:\Program Files\Linksys\Wireless-G Notebook Adapter\OdHost.exe
C:\Program Files\Linksys\Wireless-G Notebook Adapter\WPC54Cfg.exe
C:\WINDOWS\system32\cidaemon.exe
C:\Program Files\Mozilla Firefox\firefox.exe
C:\Program Files\Symantec_Client_Security\Symantec AntiVirus\vpc32.exe
C:\Documents and Settings\ruotsmi.JOHDIN\Työpöytä\HijackThis.exe
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Linkit
R3 - URLSearchHook: (no name) - {1C78AB3F-A857-482e-80C0-3A1E5238A565} - (no file)
O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Program Files\Adobe\Acrobat 5.0\Reader\ActiveX\AcroIEHelper.ocx
O2 - BHO: (no name) - {53707962-6F74-2D53-2644-206D7942484F} - C:\PROGRA~1\SPYBOT~1\SDHelper.dll
O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINDOWS\System32\msdxm.ocx
O4 - HKLM\..\Run: [MSConfig] C:\WINDOWS\PCHealth\HelpCtr\Binaries\MSConfig.exe /auto
O4 - HKLM\..\Run: [vptray] C:\PROGRA~1\SYMANT~1\SYMANT~1\vptray.exe
O4 - HKLM\..\Run: [THGuard] "C:\Program Files\TrojanHunter 3.9\THGuard.exe"
O4 - HKLM\..\Run: [NeroCheck] C:\WINDOWS\system32\NeroCheck.exe
O4 - HKLM\..\Run: [LTSMMSG] LTSMMSG.exe
O4 - HKLM\..\Run: [AtiPTA] atiptaxx.exe
O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\ctfmon.exe
O4 - Startup: UltimateZip Quick Start.lnk.disabled
O4 - Global Startup: Service Manager.lnk = C:\Program Files\Microsoft SQL Server\80\Tools\Binn\sqlmangr.exe
O4 - Global Startup: Wireless-G Notebook Adapter Utility.lnk = C:\Program Files\Linksys\Wireless-G Notebook Adapter\Startup.exe
O6 - HKCU\Software\Policies\Microsoft\Internet Explorer\Control Panel present
O8 - Extra context menu item: &iSearch The Web - res://C:\WINDOWS\System32\toolbar.dll/SEARCH.HTML
O8 - Extra context menu item: E&xport to Microsoft Excel - res://C:\PROGRA~1\MICROS~2\OFFICE11\EXCEL.EXE/3000
O9 - Extra button: Research - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - C:\PROGRA~1\MICROS~2\OFFICE11\REFIEBAR.DLL
O12 - Plugin for .spop: C:\Program Files\Internet Explorer\Plugins\NPDocBox.dll
O17 - HKLM\System\CCS\Services\Tcpip\Parameters: Domain = johdin.fi
O17 - HKLM\Software\..\Telephony: DomainName = johdin.fi
O17 - HKLM\System\CS1\Services\Tcpip\Parameters: Domain = johdin.fi
O17 - HKLM\System\CS2\Services\Tcpip\Parameters: Domain = johdin.fi
O20 - AppInit_DLLs: C:\WINDOWS\System32\win.dll
Näyttäisi ainakin löytyvän se tiedosto tuolta lopusta... Olisin todella kiitollinen vinkeistä...
Asensin väärään paikkaan, joten tässä logi uudestaan ajettuna oikeasta paikasta...
Logfile of HijackThis v1.98.0
Scan saved at 12:19:19, on 23.7.2004
Platform: Windows XP SP1 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP1 (6.00.2800.1106)
Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\csrss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\spoolsv.exe
C:\WINDOWS\System32\Ati2evxx.exe
C:\WINDOWS\system32\cisvc.exe
C:\Program Files\Symantec_Client_Security\Symantec AntiVirus\DefWatch.exe
C:\Program Files\Common Files\Microsoft Shared\VS7DEBUG\MDM.EXE
C:\Program Files\Microsoft SQL Server\MSSQL\Binn\sqlservr.exe
C:\Program Files\Symantec_Client_Security\Symantec AntiVirus\Rtvscan.exe
C:\WINDOWS\Explorer.EXE
C:\PROGRA~1\SYMANT~1\SYMANT~1\vptray.exe
C:\WINDOWS\LTSMMSG.exe
C:\WINDOWS\System32\atiptaxx.exe
C:\WINDOWS\System32\CTFMON.EXE
C:\Program Files\Microsoft SQL Server\80\Tools\Binn\sqlmangr.exe
C:\Program Files\Linksys\Wireless-G Notebook Adapter\OdHost.exe
C:\Program Files\Linksys\Wireless-G Notebook Adapter\WPC54Cfg.exe
C:\WINDOWS\system32\cidaemon.exe
C:\Program Files\Mozilla Firefox\firefox.exe
C:\Program Files\Symantec_Client_Security\Symantec AntiVirus\vpc32.exe
C:\hijackthis\HijackThis.exe
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Linkit
R3 - URLSearchHook: (no name) - {1C78AB3F-A857-482e-80C0-3A1E5238A565} - (no file)
O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Program Files\Adobe\Acrobat 5.0\Reader\ActiveX\AcroIEHelper.ocx
O2 - BHO: (no name) - {53707962-6F74-2D53-2644-206D7942484F} - C:\PROGRA~1\SPYBOT~1\SDHelper.dll
O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINDOWS\System32\msdxm.ocx
O4 - HKLM\..\Run: [MSConfig] C:\WINDOWS\PCHealth\HelpCtr\Binaries\MSConfig.exe /auto
O4 - HKLM\..\Run: [vptray] C:\PROGRA~1\SYMANT~1\SYMANT~1\vptray.exe
O4 - HKLM\..\Run: [THGuard] "C:\Program Files\TrojanHunter 3.9\THGuard.exe"
O4 - HKLM\..\Run: [NeroCheck] C:\WINDOWS\system32\NeroCheck.exe
O4 - HKLM\..\Run: [LTSMMSG] LTSMMSG.exe
O4 - HKLM\..\Run: [AtiPTA] atiptaxx.exe
O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\ctfmon.exe
O4 - Startup: UltimateZip Quick Start.lnk.disabled
O4 - Global Startup: Service Manager.lnk = C:\Program Files\Microsoft SQL Server\80\Tools\Binn\sqlmangr.exe
O4 - Global Startup: Wireless-G Notebook Adapter Utility.lnk = C:\Program Files\Linksys\Wireless-G Notebook Adapter\Startup.exe
O6 - HKCU\Software\Policies\Microsoft\Internet Explorer\Control Panel present
O8 - Extra context menu item: &iSearch The Web - res://C:\WINDOWS\System32\toolbar.dll/SEARCH.HTML
O8 - Extra context menu item: E&xport to Microsoft Excel - res://C:\PROGRA~1\MICROS~2\OFFICE11\EXCEL.EXE/3000
O9 - Extra button: Research - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - C:\PROGRA~1\MICROS~2\OFFICE11\REFIEBAR.DLL
O12 - Plugin for .spop: C:\Program Files\Internet Explorer\Plugins\NPDocBox.dll
O17 - HKLM\System\CCS\Services\Tcpip\Parameters: Domain = johdin.fi
O17 - HKLM\Software\..\Telephony: DomainName = johdin.fi
O17 - HKLM\System\CS1\Services\Tcpip\Parameters: Domain = johdin.fi
O17 - HKLM\System\CS2\Services\Tcpip\Parameters: Domain = johdin.fi
O20 - AppInit_DLLs: C:\WINDOWS\System32\win.dll
iSearch nyt ainakin pois. Luulisi lähtevän spybotilla, mut jos ei niin:
http://www.spyany.com/program/article_spw_rm_ISearch.html
Mikä on tuon win.dll:n päiväys ja koko tavuina?
Merkkaa nuo,sulje selain ja paina sitä FIX kohtaa
R3 - URLSearchHook: (no name) - {1C78AB3F-A857-482e-80C0-3A1E5238A565} - (no file)
O20 - AppInit_DLLs: C:\WINDOWS\System32\win.dll
Pistä sitte asetuksista,että piilotiedostot näkyy
ohjeet tuolla
http://service1.symantec.com/SUPPORT/tsgeninfo.nsf/docid/2002092715262339?Open&src=ent&docid=2002092514302348&nsf=ent-security.nsf&view=docid&dtype=corp&prod=Symantec AntiVirus Corporate Edition&ver=8.x&osv=&osv_lvl=
Käynnistä sitte vikasietotilassa ja etsi poista tuo win.dll jos se löytyy.
Tiedosto on luotu 21.6.2004 1:45:25 ja sen koko on 56k (57344 tavua). Spybot ei löydä iSearchia, pitää koittaa tota toista... Luulin päässeeni siitä jo eroon...
En huomannu tota eka kerralla,merkkaa se sieltä logista ja FIX:aa se
O8 - Extra context menu item: &iSearch The Web - res://C:\WINDOWS\System32\toolbar.dll/SEARCH.HTML
Tässä on fixauksen jälkeinen logi, vikasietotilassa ei taaskaan löytynyt mitään, win.dll oli taas hävinnyt...
Logfile of HijackThis v1.98.0
Scan saved at 13:57:08, on 23.7.2004
Platform: Windows XP SP1 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP1 (6.00.2800.1106)
Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\csrss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\spoolsv.exe
C:\WINDOWS\System32\Ati2evxx.exe
C:\WINDOWS\system32\cisvc.exe
C:\Program Files\Symantec_Client_Security\Symantec AntiVirus\DefWatch.exe
C:\Program Files\Common Files\Microsoft Shared\VS7DEBUG\MDM.EXE
C:\Program Files\Microsoft SQL Server\MSSQL\Binn\sqlservr.exe
C:\Program Files\Symantec_Client_Security\Symantec AntiVirus\Rtvscan.exe
C:\WINDOWS\Explorer.EXE
C:\PROGRA~1\SYMANT~1\SYMANT~1\vptray.exe
C:\WINDOWS\LTSMMSG.exe
C:\WINDOWS\System32\atiptaxx.exe
C:\WINDOWS\System32\ctfmon.exe
C:\Program Files\Microsoft SQL Server\80\Tools\Binn\sqlmangr.exe
C:\Program Files\Linksys\Wireless-G Notebook Adapter\OdHost.exe
C:\Program Files\Linksys\Wireless-G Notebook Adapter\WPC54Cfg.exe
C:\hijackthis\HijackThis.exe
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Linkit
O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Program Files\Adobe\Acrobat 5.0\Reader\ActiveX\AcroIEHelper.ocx
O2 - BHO: (no name) - {53707962-6F74-2D53-2644-206D7942484F} - C:\PROGRA~1\SPYBOT~1\SDHelper.dll
O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINDOWS\System32\msdxm.ocx
O4 - HKLM\..\Run: [MSConfig] C:\WINDOWS\PCHealth\HelpCtr\Binaries\MSConfig.exe /auto
O4 - HKLM\..\Run: [vptray] C:\PROGRA~1\SYMANT~1\SYMANT~1\vptray.exe
O4 - HKLM\..\Run: [THGuard] "C:\Program Files\TrojanHunter 3.9\THGuard.exe"
O4 - HKLM\..\Run: [NeroCheck] C:\WINDOWS\system32\NeroCheck.exe
O4 - HKLM\..\Run: [LTSMMSG] LTSMMSG.exe
O4 - HKLM\..\Run: [AtiPTA] atiptaxx.exe
O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\ctfmon.exe
O4 - Startup: UltimateZip Quick Start.lnk.disabled
O4 - Global Startup: Service Manager.lnk = C:\Program Files\Microsoft SQL Server\80\Tools\Binn\sqlmangr.exe
O4 - Global Startup: Wireless-G Notebook Adapter Utility.lnk = C:\Program Files\Linksys\Wireless-G Notebook Adapter\Startup.exe
O6 - HKCU\Software\Policies\Microsoft\Internet Explorer\Control Panel present
O8 - Extra context menu item: E&xport to Microsoft Excel - res://C:\PROGRA~1\MICROS~2\OFFICE11\EXCEL.EXE/3000
O9 - Extra button: Research - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - C:\PROGRA~1\MICROS~2\OFFICE11\REFIEBAR.DLL
O12 - Plugin for .spop: C:\Program Files\Internet Explorer\Plugins\NPDocBox.dll
O17 - HKLM\System\CCS\Services\Tcpip\Parameters: Domain = johdin.fi
O17 - HKLM\Software\..\Telephony: DomainName = johdin.fi
O17 - HKLM\System\CS1\Services\Tcpip\Parameters: Domain = johdin.fi
O17 - HKLM\System\CS2\Services\Tcpip\Parameters: Domain = johdin.fi
O20 - AppInit_DLLs: C:\WINDOWS\System32\win.dll
Lähtikö se Win.dll pois?
Koko ja nimi mätsää macafeen mukaan tutkinan alla olevaan etähallinta -tyyppiseen troijalaiseen BackDoor-CFB.
Jos vielä tallessa ni laita F-Securelle meilinä :)
Otappa ja lähetä mulle toi win.dll [email protected]
kiitos.
Ilman sitä tuo näyttää aika puhtaalta ainakin minun silmiini.
Tässä yksi pitkä tarina kyseisen poistamisesta:
http://www.computercops.us/postx53238-0-0.html
Mee rekisteriin ja kato tuosta polusta,
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
jos siellä näkyy nämä,niin poista ne
"win"="regedit -s c:\windows\win.dll"
"@"="regedit -s c:\windows\win.dll"
Ei löytynyt noita rekisteristä...
Vaihtaako se myös sun kotisivua,vai pysyykö se kotisivu haluttuna.
Se rekisteripolku on varmaankin
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Windows]
"AppInit_DLLs"="win.dll"
Ota sieltä pois tuo win.dll ja buuttaa. Luultavasti sen voi poistaa (meilata ensin!) sen jälkeen. Voi olla että suojausasetuksista täytyy ottaa ensin omistus ja antaa oikeudet. Jos ei sittenkään onnistu, niin otettava computercopsin järeämmät kalut käyttöön. Toimiva linkki heidän työkaluihinsa:
http://downloads.subratam.org/FINDnFIX.exe
........
Jos ei sittenkään onnistu, niin otettava computercopsin järeämmät kalut käyttöön. Toimiva linkki heidän työkaluihinsa:
............
Ei ole heidän "työkalunsa" vaan freeatlastin.
Kyseinen ohjelma ei ole tarkoitettu tavallisille matti meikäläisille.
Tarvitset AINA OHJEET asiantuntijoilta kun käytät sitä ! ! !
Lainaus tuolta
http://www.virustorjunta.net/modules.php?name=Forums&file=viewtopic&t=477&highlight=findnfix
Lainaus:
»»»*»»»*Boards that are not personally authorised by me are not allowed to use this fix!»»»*»»»*
Valitettavasti emme taida voida käyttää tätä FINDnFIX-ohjelmaa enää tällä foorumilla. Pitäisi kysyä todennäköisesti lupa siihen...
freeatlast teki tämän päätöksen koska kyseisen ohjelman tarjoamia rivejä ei osattu tulkita oikein niin auttajien kuin omatoimisten kokeilijoiden (jotka halusivat itse FiXata eikä kysyä ohjeita) toimesta.
Tällä tavoin poistettiin tiedostoja mitä ei olisi pitänyt poistaa ja kone ei sen jälkeen enää toiminut. Ei siis osattu tulkita logia oikein.
Tarkoitin työkalua josta puhetta aikaisemmin, alkuperäinen linkki kun vaikutti olevan kuollut..
Ohjeet toki laitetaan, siis jos ei lukitus lähde tuolla rekisteripuukotuksella.
Omakohtaisen kokemuksen puuttuessa on luotettava computercopsin ohjeisiin. Kyllä näytti tavallinen tallaajakin onnistuvat (vaikka hiukan ontuen)
Mulla on ollu ongelmia coolwebsearchin kanssa, laitoin spybotista sivun vaihtamisen eston päälle ja olen siirtynyt firefoxin käyttöön, joten en ole pahemmin enää joutunut sen kanssa painiskelemaan. Ad-aware korjas kyllä CWS-ongelmat eli palautti sivun yms. mutta varsinaisesti ongelman aiheuttaja ei koskaan selvinnyt. Mahtavatkohan noi liittyä toisiinsa?!?
Se löytyi rekisteristä ja poistin sen. Sammutin koneen ja käynnistin uudestaan mutta sama merkintä löytyi jälleen rekisteristä!! Mitä tarkoitit omistuksen ottamisella ja oikeuksien antamisella?!? Nimim. "pitkät piuhat"
Laitoin muuten sähköpostia siitä tiedoston lähettämisestä...
Imase tosta AboutBuster ja pura se työpöydälle kansion
http://www.downloads.subratam.org/AboutBuster.zip
Sitte käynnistä kone vikasietotilassa ja scannaa HijackThis:llä ja merkkaa tuo ja paina sitä FIX kohtaa
O20 - AppInit_DLLs: C:\WINDOWS\System32\win.dll
Sitte edelleen vikasietotilassa käynnistä se AboutBuster ja anna sen rauhassa putsata loppuun asti.
Sen jälkeen käynnistä uudestaan ja kato mikä on tilanne.
Lisää tuossa ylhäällä mainitusta aboutbuster ohjelmasta tuolla
http://koti.mbnet.fi/pattaya1/aboutbuster.htm
Kiitos kaikille jo hyvistä vinkeistä, valitettavasti mikään ei ole vielä onnistanut. Seuraavaksi vielä tarkennusta tilanteeseen.
Ongelma on siinä, että kyseistä tiedostoa ei löydy vikasietotilassa. Ilmeisesti käynnistettäessä normaalitilassa latautuu jokin, joka lisää ton win.dll tiedoston system32:een ja sitten Symantec herjaa siitä. Tarkoittaako Symantecin ilmoittaessa clean failed quarantine failed access denied sitä, että Symantec ei anna pääsyä tiedostoon vai että Symantecilla ei pääse kyseiseen tiedostoon?!? Mutta mikä se on ja missä, joka käynnistettäessä sitten tekee ton, mistä siihen pääsisi käsiksi?
Ongelma ei sinänsä ole ainakaan vielä ollut mitenkään tuhoisa, mutta olis kuitenkin kiva päästä siitä eroon... Voisko joku ottaa kantaa siihen, että voiko jotain suurempia ongelmia olla tulossa jatkossa?!? Tarvisin siis edelleen hyviä vinkkejä!!!
Asia on just silleen niinku itse sen kerrot.
Koneessa on joku pöpö piilossa,joka latautuu uudestaan koko ajan.
Vaikka ton win.dll:än poistaa sieltä HijackThis logista,niin se on siellä taas.
Elikkäs epäilen,että tuo win.dll ei oo se pää pöpö,vaan se pöpö joka on piilossa pitää jotenki hengissä koko ajan tota win.dll:ää.
Sitte kun tota FINDnFIX :iä ei näköjään tohi käyttää ilman lupaa,niin ehkä paras ku pistät sen HijackThis login sinne missä tuo freeatlast:i toimii.
En tiedä mkä foorumi se on,mutta löytyy varmasti jos pikkasen tonkii nettiä.