cmdcon.exe

Pari rekisterikohtaa siinä myös mainitaan; tuossa koko juttu:

Troj/Crypter-C is a downloader Trojan which runs continuously in the background and periodically tries to download files from a remote location.

When first run the Trojan copies itself to the Windows System folder using a randomly selected filename. Filenames used by the Trojan include: audiodrv.exe, audioinf.exe, bluecol.exe, cmdcon.exe, diskinf.exe, dllreg.exe, enhance32.exe, infdisk.exe, kbddrv32.exe, kbdrvinf.exe, main16.exe, main32.exe, mousedrv.exe, mswavedll.exe, msurl32.exe, netdll32.exe, netdllex.exe, p4mx4.exe, m32info.exe, pwr32ctr.exe, pwr32crtl.exe, sd32info.exe, vid32cntl.exe and vidcntl.exe.

The Trojan adds its pathname to a new sub-key of the following registry entry to run itself on startup:

HKLM\Software\Microsoft\Windows\CurrentVersion\RunServices\

The name of the new sub-key matches the filename of the Trojan executable, excluding the extension.

The Trojan also runs itself on startup by adding its pathname to a new run= line in the [Windows] section of \WIN.INI.

The following registry entry is also created:

HKCU\Software\Microsoft\Windows\CurrentVersion\uninstall\
\UninstallString = %SYSTEM%\.exe

Temporary files may be created in the Windows TEMP folder with filenames matching that of the Trojan executable, but without an extension.

aatos kirjoitti:

Pari rekisterikohtaa siinä myös mainitaan; tuossa koko juttu:

Troj/Crypter-C is a downloader Trojan which runs continuously in the background and periodically tries to download files from a remote location.

When first run the Trojan copies itself to the Windows System folder using a randomly selected filename. Filenames used by the Trojan include: audiodrv.exe, audioinf.exe, bluecol.exe, cmdcon.exe, diskinf.exe, dllreg.exe, enhance32.exe, infdisk.exe, kbddrv32.exe, kbdrvinf.exe, main16.exe, main32.exe, mousedrv.exe, mswavedll.exe, msurl32.exe, netdll32.exe, netdllex.exe, p4mx4.exe, m32info.exe, pwr32ctr.exe, pwr32crtl.exe, sd32info.exe, vid32cntl.exe and vidcntl.exe.

The Trojan adds its pathname to a new sub-key of the following registry entry to run itself on startup:

HKLM\Software\Microsoft\Windows\CurrentVersion\RunServices\

The name of the new sub-key matches the filename of the Trojan executable, excluding the extension.

The Trojan also runs itself on startup by adding its pathname to a new run= line in the [Windows] section of \WIN.INI.

The following registry entry is also created:

HKCU\Software\Microsoft\Windows\CurrentVersion\uninstall\
\UninstallString = %SYSTEM%\.exe

Temporary files may be created in the Windows TEMP folder with filenames matching that of the Trojan executable, but without an extension.

Lue lisää

Kiitti vaan jos olis saanut saman suomeksi, kun ei toi lontoo taitu niin hyvin, että uskaltais jotain tehdä...

kanosmn kirjoitti:

Kiitti vaan jos olis saanut saman suomeksi, kun ei toi lontoo taitu niin hyvin, että uskaltais jotain tehdä...

http://koti.mbnet.fi/pattaya1/hijackthis.htm
ja liitä logi tähän nii katotaan sitä.
Sieltä löytynee rivejä missä viitataan tuohon troijalaisen panemaan tiedostoon cmdcon.exe.

ainakin sieltä löytyy

04 -alkuisista ehkä myös

F1 -alkuisesta riveistä toi cmdcon.exe.

Voi löytyä muistakin riveistä sekä myös monia muita "pöpöjä" joista et ole tietoinen.
Parempi siis ,että liität login tänne ennenkuin alat poistamaan niitä rivejä itse.
Joku antaa kyllä ohjeita niiden rivien poistoon.

kanosmn kirjoitti:

Kiitti vaan jos olis saanut saman suomeksi, kun ei toi lontoo taitu niin hyvin, että uskaltais jotain tehdä...

Siis cmdcon.exe ei kuulu XP:hen.
Se voi kuulua johonkin muuhun asialliseen ohjelmaan, sitä en tiedä.
Kun sinulla jokin troijalainen oli, niin oletan että se oli sitten tuo.

Windows-hakemistosta löytyy tiedosto win.ini.
Avaa se vaikkapa muistiossa ja jos sieltä löytyy cmdcon-rivi, niin poista se, se todennäköisesti on muotoa:
Run=c:\windows\system\cmdcon.exe
tai jotain sinnepäin.

Talletat tiedoston.

Sitten pitäisi tarkistaa rekisteristä.
Käynnistä > Suorita > kirjoita Avaa:-laatikkoon "regedit" > OK
Etsi avautuneessa rekisterieditorissa kansio:

HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\
CurrentVersion\RunServices
Jos sieltä löytyy cmdcon, niin poista se rivi.

Eipähän tuo niin vaarallista ole, kun se ei enää käynnisty, vaan ainostaan tulee tuo "kauneusvirhe" käynnistettäessä.

Tuossapa nuo, mutta niinkuin tuossa edellä jo sanotaan, niin siellä voi olla muitakin juttuja, jotka varmaan olisi hyvä tarkistaa tuolla hijackthis-ohjelmalla.