Osaako kukaan sanoa, miksi noita dll-tiedostoja hyökkää mun koneelle?
C:\WINDOWS\System32\alg.exe
C:\WINDOWS\Explorer.EXE
C:\ATI-CPanel\atiptaxx.exe
C:\NORMAN\Nvc\BIN\ZLH.EXE
C:\Program Files\BillP Studios\WinPatrol\winpatrol.exe
C:\Program Files\Webroot\Spy Sweeper\SpySweeper.exe
C:\Program Files\OpenOffice.org1.0\program\soffice.exe
C:\Program Files\Internet Explorer\IEXPLORE.EXE
C:\NORMAN\Nvc\BIN\nvcoas.exe
C:\NORMAN\Nvc\BIN\NYMSE.EXE
C:\NORMAN\Nvc\BIN\NVCSCHED.EXE
C:\NORMAN\Nvc\BIN\NJEEVES.EXE
C:\NORMAN\Nvc\BIN\npfmsg2.exe
C:\NORMAN\Nvc\BIN\NPFSVICE.EXE
C:\NORMAN\Nvc\BIN\cclaw.exe
C:\Documents and Settings\Toni\Omat tiedostot\Temp\HJT\HijackThis.exe
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.google.fi
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Bar = file://C:\DOCUME~1\Toni\LOCALS~1\Temp\sp.html
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.google.fi
R1 - HKCU\Software\Microsoft\Internet Explorer\Search,SearchAssistant = file://C:\DOCUME~1\Toni\LOCALS~1\Temp\sp.html
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,HomeOldSP = about:blank
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,HomeOldSP = about:blank
O4 - HKLM\..\Run: [ATIModeChange] Ati2mdxx.exe
O4 - HKLM\..\Run: [ATIPTA] C:\ATI-CPanel\atiptaxx.exe
O4 - HKLM\..\Run: [Norman ZANDA] C:\NORMAN\Nvc\BIN\ZLH.EXE /LOAD /SPLASH
O4 - HKLM\..\Run: [PinnacleDriverCheck] C:\WINDOWS\System32\PSDrvCheck.exe -CheckReg
O4 - HKLM\..\Run: [WinPatrol] C:\Program Files\BillP Studios\WinPatrol\winpatrol.exe
O4 - HKCU\..\Run: [SpySweeper] "C:\Program Files\Webroot\Spy Sweeper\SpySweeper.exe" /0
O4 - Startup: OpenOffice.org 1.0.lnk = C:\Program Files\OpenOffice.org1.0\program\quickstart.exe
O18 - Filter: text/html - {16FDBC8A-6C90-463F-901F-1BFFEA30029C} - C:\WINDOWS\system32\flo.dll
O18 - Filter: text/plain - {16FDBC8A-6C90-463F-901F-1BFFEA30029C} - C:\WINDOWS\system32\flo.dll
C:\WINDOWS\System32\alg.exe
C:\WINDOWS\Explorer.EXE
C:\ATI-CPanel\atiptaxx.exe
C:\NORMAN\Nvc\BIN\ZLH.EXE
C:\Program Files\BillP Studios\WinPatrol\winpatrol.exe
C:\Program Files\Webroot\Spy Sweeper\SpySweeper.exe
C:\Program Files\OpenOffice.org1.0\program\soffice.exe
C:\Program Files\Internet Explorer\IEXPLORE.EXE
C:\NORMAN\Nvc\BIN\nvcoas.exe
C:\NORMAN\Nvc\BIN\NYMSE.EXE
C:\NORMAN\Nvc\BIN\NVCSCHED.EXE
C:\NORMAN\Nvc\BIN\NJEEVES.EXE
C:\NORMAN\Nvc\BIN\npfmsg2.exe
C:\NORMAN\Nvc\BIN\NPFSVICE.EXE
C:\NORMAN\Nvc\BIN\cclaw.exe
C:\Documents and Settings\Toni\Omat tiedostot\Temp\HJT\HijackThis.exe
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.google.fi
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Bar = file://C:\DOCUME~1\Toni\LOCALS~1\Temp\sp.html
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.google.fi
R1 - HKCU\Software\Microsoft\Internet Explorer\Search,SearchAssistant = file://C:\DOCUME~1\Toni\LOCALS~1\Temp\sp.html
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,HomeOldSP = about:blank
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,HomeOldSP = about:blank
O4 - HKLM\..\Run: [ATIModeChange] Ati2mdxx.exe
O4 - HKLM\..\Run: [ATIPTA] C:\ATI-CPanel\atiptaxx.exe
O4 - HKLM\..\Run: [Norman ZANDA] C:\NORMAN\Nvc\BIN\ZLH.EXE /LOAD /SPLASH
O4 - HKLM\..\Run: [PinnacleDriverCheck] C:\WINDOWS\System32\PSDrvCheck.exe -CheckReg
O4 - HKLM\..\Run: [WinPatrol] C:\Program Files\BillP Studios\WinPatrol\winpatrol.exe
O4 - HKCU\..\Run: [SpySweeper] "C:\Program Files\Webroot\Spy Sweeper\SpySweeper.exe" /0
O4 - Startup: OpenOffice.org 1.0.lnk = C:\Program Files\OpenOffice.org1.0\program\quickstart.exe
O18 - Filter: text/html - {16FDBC8A-6C90-463F-901F-1BFFEA30029C} - C:\WINDOWS\system32\flo.dll
O18 - Filter: text/plain - {16FDBC8A-6C90-463F-901F-1BFFEA30029C} - C:\WINDOWS\system32\flo.dll
Vastaukset 21
Vanhimmat
Siirrä se HijackThis.exe omaan kansioon tonne
C:/HjT/HijackThis.exe
Piilotiedostot näkyviin,ohje tuolla
http://www.xtra.co.nz/help/0,,4155-1916458,00.html
Merkkaa nuo sulje selain ja muut avoimet ikkunat ja paina FIX checked
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Bar = file://C:\DOCUME~1\Toni\LOCALS~1\Temp\sp.html
R1 - HKCU\Software\Microsoft\Internet Explorer\Search,SearchAssistant = file://C:\DOCUME~1\Toni\LOCALS~1\Temp\sp.html
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,HomeOldSP = about:blank
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,HomeOldSP = about:blank
O18 - Filter: text/html - {16FDBC8A-6C90-463F-901F-1BFFEA30029C} - C:\WINDOWS\system32\flo.dll
O18 - Filter: text/plain - {16FDBC8A-6C90-463F-901F-1BFFEA30029C} - C:\WINDOWS\system32\flo.dll
Käynnistä sitte vikasietotilassa etsi ja poista
flo.dll
Tyhjennä myös tuo Temp kansio tuolta
C:\DOCUME~1\Toni\LOCALS~1\Temp\sp.html
Ei tuota dll:ää ole siellä, kun mun winpatrol ilmoitti hyökkäyksestä ja esti sen. Mut nuo roskat jää aina...
Pistä piilotiedostot näkyviin ja etsi,jos koneelta löytyy tuo
KBDN01.DLL
KBDNE.DLL C:\WINDOWS\I386
KBDNEC.DLL C:\WINDOWS\I386
KBDNO.DLL C:\WINDOWS\I386
kbdne.dll C:\WINDOWS\system32
kbdnec.dll C:\WINDOWS\system32
kbdno.dll C:\WINDOWS\system32
kndno1.dll C:\WINDOWS\system32
kbdno1.dll C:\WINDOWS\ServicePackFiles\i386
kbdno1.dll C:\WINDOWS\SoftwareDistribution\Download\83d925adf4843bb70ca8fb6fff0e163b
Koita vielä tota
Kopioi alla oleva teksti notepadiin
Reg save "HKLM\Software\Microsoft\Windows NT\CurrentVersion\Windows" windows1.hiv
ren windows1.hiv windows.txt
Säästä se työpöydälle nimellä Appinit.bat
Siittä alapuolelta valitse sitte kaikki fiilut
Sitte klikkaat sitä Appinit.bat:ia työpöydällä
ja ulos tulee windows.txt logi
Kopioi tänne se windows.txt logi .
Sen pitäs olla suurinpiirtein joku tollanen
hbin ¨ÿÿÿnk, àÂûóÄÄ ÿÿÿÿ ÿÿÿÿÿÿÿÿ ( x ÿÿÿÿ 0 Windows þÿÿsk x x D „ ( ø
! € ! # À # ? ? $ ? ?wÙtT)u¹uTë ?wÙtT)u¹uTë ?wÙtT)u¹uT Ðÿÿÿvk ÉjDeviceNotSelectedTimeoutðÿÿÿ1 5 ƒ ¨oÉj Ø Ðÿÿÿvk €' GDIProcessHandleQuota‹= ðÿÿÿ9 0 àÿÿÿvk € TSpoolerTðÿÿÿy e s àÿÿÿvk € swapdisk Ø ` ? È Ðÿÿÿvk P TransmissionRetryTimeoutÐÿÿÿvk €' USERProcessHandleQuotainàÿÿÿØ ` ? È ø ¸
Tollanen:
regf Pugf hbin ÿÿÿnk, .¾Ÿ.y°Ä ÿÿÿÿ ÿÿÿÿÿÿÿÿ À € ÿÿÿÿ 0 > ]Ô³› Windowsows5 A } ÿÿÿsk € € Ô „¸ È ¤ ! € ! ? ? Ðÿÿÿvk ÀUDeviceNotSelectedTimeoutðÿÿÿ1 5 f¡O† p Ðÿÿÿvk € ' zGDIProcessHandleQuota" þðÿÿÿ9 0 ë=tÀàÿÿÿvk °ºSpooler2ðÿÿÿy e s Ñ_åàÿÿÿvk € 5swapdisk p ¸ ø ( ` Ðÿÿÿvk è . TransmissionRetryTimeoutÐÿÿÿvk € ' 7†USERProcessHandleQuota˜Fàÿÿÿp ¸ ø ( ` ? à Øÿÿÿvk
> fùAppInit_DLLsÖ?æG¸ÿÿÿc : \ w i n d o w s \ s y s t e m 3 2 \ k b d p f p . d l l > °
Joo täälä näkyy tuo sama fiilu ku siinä DllComparen logissa,elikkäs se paholainen on tuo
C:\WINDOWS\SYSTEM32\kbdpfp.dll
Kirjoita Suorita kohtaan regedit ja klikkaa Ok.
Avautuvasta ikkunasta vasemmalta klikkaa kaikki miinus merkit plussaksi.
Sitte vaan seuraat tota polkua ja avaat niitä kansioita
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Windows.
Sitte kun avaat ton viimeisen Windows kansion,niin näkyykö tuo kbdpfp.dll
siinä oikealla puolella.
Ei näy tota.
(oletus)
AppInit_DLLs
DeviceNotSelectedTimeout
GDIProcessHandleQuota
Spooler
swapdisk
TransmissionRetryTimeout
USERProcessHandleQuota
Eikä Laji tai Data -sarakkeissakaan näy mitään tuohon viittaavaa...
Tuo piilotiedosto pitäis kyllä lähtee tolla toolilla
http://securityresponse.symantec.com/avcenter/venc/data/backdoor.agent.b.removal.tool.html
Sammutikko System Restoren ku ajot ton toolin?
FINDnFIX:llä sen myös saa pois ,mutta sehän toppaa sulla siihen yhteen fiiluun.
Rasti on yhä kohdassa Poista järjestelmän palauttaminen käytöstä.
FINDnFIX tosiaan jähmettyy siihen samaan fiiluun aina.
...?
Koitas vielä tota
Ota tosta Hiving 154.zip
http://computercops.biz/modules.php?name=Forums&file=do wnload&id=1183
Kun oot sen ladannu,niin ota kone pois netistä.(typ piuha irti)
Säästä se työpöydälle ja sitte purat sen työpöydälle.
Tuplaklikkaa sitä hiving.bat:ia ja jos tulee jotain varotuksia,niin älä välitä vaan painele ok.
Sitte käynnistä kone uudestaan ja piilotiedostot näkyvillä etsi jos tuo näkyy.
C:\WINDOWS\SYSTEM32\kbdpfp.dll
Ei sit millään. Ajoin ton hivingin... boottasin koneen ja etsin findilla ja selasin vielä explorerillakin. Ei näy.
Vittumainen fiilu?
Joo se on vaikee poistettava ja en muuta keinoo tiedä noitten piiotiedostojen poistoon.
Mutta koitas vielä tota
Ota tosta KillBox ja pura se omaan kansioon
http://www.bleepingcomputer.com/files/spyware/KillBox.z ip
Sitte avaa se ja pistä täppi ruutuun
Delete on Reboot
Sitte tähän kohtaan
Full Path of File to Delete
Kopioi tuo rivi siihen
C:\WINDOWS\SYSTEM32\kbdpfp.dll
ja paina sitä punasta ympyrää jossa on valakonen X ja vastaa Yes.
Sitte kone vissiin käynnistyy uudestaan.
Vaikka epäilen että KillBox:si sanoo,että sitä ei löytynny.
tuo toimii
http://www.downloads.subratam.org/KillBox.zip
Tein ton kahteen kertaan: Verkkopiuha irti. Killbox päälle. Polku copypastella boxiin. delete on reboot. Punavalkorastia painallus. Yes kysymykseen... Kummallakaan kerralla se ei ilmoittanu yhtään mitään...
regf Pugf hbin ÿÿÿnk, ¤• ”•ÉÄ ÿÿÿÿ ÿÿÿÿÿÿÿÿ À € ÿÿÿÿ 0 > ]Ô³› Windowsows5 A } ÿÿÿsk € € Ô „¸ È ¤ ! € ! ? ? Ðÿÿÿvk ÀUDeviceNotSelectedTimeoutðÿÿÿ1 5 f¡O† p Ðÿÿÿvk € ' zGDIProcessHandleQuota" þðÿÿÿ9 0 ë=tÀàÿÿÿvk °ºSpooler2ðÿÿÿy e s Ñ_åàÿÿÿvk € 5swapdisk p ¸ ø ( ` Ðÿÿÿvk è . TransmissionRetryTimeoutÐÿÿÿvk € ' 7†USERProcessHandleQuota˜Fàÿÿÿp ¸ ø ( ` ? à Øÿÿÿvk
> ÀUAppInit_DLLsecte¸ÿÿÿc : \ w i n d o w s \ s y s t e m 3 2 \ k b d p f p . d l l > °
No tuplaklikkaa taas sitä Appinit.bat:ia ja pistä se uus windows.txt logi tänne,niin nähään onko se fiilu vielä koneella.
Tosta kbdpfp.dll
ei löydy googlellakaan mitään...
Joo se fiilu on näköjään koneella vieläki.
Mun täytyy kysyä apua viisammalta mieheltä ja palaan asiaan jos saan vastauksen,että miten jatketaan,joten kurkkaa tänne sillon tällön.
Katselen ja odottelen...
Kova homma sulla autella meikäläisiä.
Kiitokset tästäkin.
Voitais kokeilla yhtä juttua,jos oot paikalla.