Lähetin tuon edellisen viestin,jossa luki otsikossa virus-sana, joten kone sulkee nettiselaimeni heti, kun yritän avata sitä keskustelua, joten neuvot eivät valitettavasti auta siinä...
Joten laitan saman viestin tähän ja toivottasti vastaukset pystyisin tämän otsakkeen alta lukemaan.
Eli vielä kertaalleen. Eli nyt on täysin outo ongelma... Latasin vahingossa messengerin kautta jonkun ohjelman koneelle, josta nyt ei pääse eroon millään.
Tämä on todella ärsyttävä viirus, sillä se estää AntiVir-ohjelman käytön ja lisäksi se sulkee nettiselaimeni eli Operan aina kun yritän kirjoittaa jonkun virustentorjuntaohjelman nimen tai vastaavaa. Tiedoston poistaminen ei siis onnistu ja netin käyttökin siis onnistuu ainoastaan "tavallisilla sivuilla".
En uskalla nyt sammuttaa konetta, kun ei tiedä häviääkö esim. jotkut tiedostot tai vastaavaa.
Kaikki apu, jota löytyy, olisi enemmän kuin tervetullutta.
Joten laitan saman viestin tähän ja toivottasti vastaukset pystyisin tämän otsakkeen alta lukemaan.
Eli vielä kertaalleen. Eli nyt on täysin outo ongelma... Latasin vahingossa messengerin kautta jonkun ohjelman koneelle, josta nyt ei pääse eroon millään.
Tämä on todella ärsyttävä viirus, sillä se estää AntiVir-ohjelman käytön ja lisäksi se sulkee nettiselaimeni eli Operan aina kun yritän kirjoittaa jonkun virustentorjuntaohjelman nimen tai vastaavaa. Tiedoston poistaminen ei siis onnistu ja netin käyttökin siis onnistuu ainoastaan "tavallisilla sivuilla".
En uskalla nyt sammuttaa konetta, kun ei tiedä häviääkö esim. jotkut tiedostot tai vastaavaa.
Kaikki apu, jota löytyy, olisi enemmän kuin tervetullutta.
Vastaukset 44
Vanhimmat
http://www.spywareinfo.dk/download/mwav.exe
Jos se on tuo uusi mato Kelvir.B niin sitten ei ehkä tehoa.
Joku kertoi sen leviävän messengerin kautta.
Mutta yritä nyt tuolla Kasperskyn skannerilla ensin.
Se on aika hidas mutta perusteellinen.
Ohjeita löytyy (jos pääset):
http://koti.mbnet.fi/pattaya1/escanmwav.htm
Luulin ensin, että kyse on tästä:
http://www.f-secure.com/v-descs/qhost.shtml
No, jos puhuit asiaa, niin sinnehän et sitten pääse lukemaan.
Eli nuo kaksi jälkimmäistä linkkiä eivät toimineet,mutta tuon ensimmäisen linkin kautta latasin koneelleni sen tiedoston, joten nyt ainoa ongelmani on se että mitä minun tuo tiedosto avattuani tulee tehdä?
Tietokoneet ovat välillä lievä mysteeri, joten jos pientä apua vielä löytyisi,olisin kiitollinen...
Se on itsepurkautuva paketti (vastaa kysymysikkunaan "Unzip")ja asentaa ohjelman Kaspersky -kansioon c:lle sekä käynnistyy samantien.
Alkuruudussa valitse skannaukseen mukaan myös Drive ja vielä jätä se valinta All Drives. Sitten ei muuta kuin ScanClean nappulaa..
Toivotaan, että puhdistuu.
Kiitos neuvosta Fox ja kumppanit ja niin teinkin et painoin unzippia, mutta sen jälkeen se katkais sen ohjelman heti ja jälleen ollaan lähtöruudussa...
Näyttää olevan aika sitkeä virus ja ovela, mutta toivottavasti siihen nyt joku keino löytyis.
ja koeta löytää sinne kuulumaton, sammuta se ja yritä uudelleen.
Montako prosessia on nyt päällä?
Tässä Sophoksen emergency ohjeet(skannerin latauslinkki http://www.sophos.com/tools/sav32sfx.exe ja tarvittava IDE-tiedosto http://www.sophos.com/downloads/ide/kelvir-b.ide):
"Windows 2000/XP/2003
1. Download an emergency copy of SAV32CLI. On an uninfected Windows computer, run this file to extract the contents into a SAV32CLI folder on a medium that can be write-protected. Add any relevant IDEs to this folder and write-protect the disk (on a CD/R or CD/RW close the session).
2. Restart the computer in Safe Mode. Go to Start|Shut Down. Select 'Restart' from the dropdown list and click 'OK'. Windows will restart. Press F8 when you see the following text at the bottom of the screen "For troubleshooting and advanced startup options for Windows 2000, press F8". In the Windows 2000 Advanced Options Menu, select the third option 'Safe Mode with Command Prompt'.
3. At the infected computer, place the CD in the CD drive (D: in this example).
At the command prompt type
D:
to access the CD drive. Type:
CD SAV32CLI
Then type:
SAV32CLI -REMOVE -P=C:\LOGFILE.TXT
to remove the worm.
4. Before leaving Safe Mode, edit any registry entries mentioned in the worm analysis recovery instructions."
Ohjeet siis kotoisin sophokselta.
Kelaa prosessit? Hävettää jo myöntää et voiskohan selitystä saada...:) Ja voisko suomeksi saada nuo informaatiot?
Asensin ad-aware ohjelman, jolla ajattelin nyt scannata, mutta onko tuosta ohjelmasta mitään hyötyä eli oliko tuo se vakoojaohjelmien poistohomma...
Välillä innostuu liikaa. Siis paina ctrl-alt-delete niin aukeaa Tehtävienhallinta (suomenkielisessä), ylhäällä on välilehtiä ja toinen vasemmalta pitäis olla prosessit tms.
Mutta, niiden tunnistaminen onkin sitten eri juttu.
Voit myös skannata sillä Ad-Awarella ja siinä on sellainenkin toiminto, joka tekee logitiedoston.
Sen löydät, kun avaat Ad-Awaren, ylhäällä on rattaankuva, klikkaa siitä, katso alempana olevista ruuduista logitiedoston sijainti ja etsi se:
Ad-Aware log2005-03-07*.txt Toi nimi pätee jos ehdit skannata ennen keskiyötä...
Mut jos menee yli niin etsi sitten nimellä Ad-Aware log2005-03-08*.txt
Avaa se esim. wordpadilla ja liitä viestiin.
En käy vielä tuota sophoksen ohjetta kääntämään...
Kiitos jälleen neuvoista ja kokeillaan nyt ensin tuolla ad-awarella ja tuosta ctrl alt del yhdistelmästä niin kokeilin sitä, mutta kone ei suostunut aukasemaan sitä ikkunaa sit eli en päässyt "säätämään" niitä nytten.
Ei taida olla ihan helposti nitistettävä, kun tuonkin esti.
Et ainakaan ole maininnut Hijackthis ´iä, lataa se ja skannaa logi näytille.
Taas on ohjeet pattaya1:n sivuilla, kokeile kirjoittamalla googleen tuo pattaya1 , jospa pääsisit sitä kautta.
No, Ad-Awaren logistakin näkyy aika paljon.
Sille on oma foorumikin olemassa.
http://www.lavasoftsupport.com/index.php?showforum=120
Käy vilkaisemassa, niin tiedät millaisen login se tekee.
Eri juttu, pääsetkö tuolle sivulle.
Sille foorumille en päässyt..
Mutta kokeilen tuota hijackthsiä vai mikä nyt olikaan...
Pääsin tuohon HijackThis-ohjelman asennuohjeisiin ym. tuonne mbNetin sivuille ja tuossa varoitetaan kaikista mahdollisista vaaroista mitä käyttö sisältää eli jos käytän tuota niin voiko siitä aiheutua koneelle uusia vahinkoja kun tälläinen tottumaton käyttäjä rupeaa "säätämään"?
Örkki on varmaan muuttanut hosts nimisen tiedoston sisältöä ja siksi et pääse virustorjuntaan haiskahtaville sivuille.
Sen korjaaminenkaan ei välttämättä auta pysyvästi. Tänään - siis eilen illalla - oli yksi esimerkki, jossa muutos tuli takaisin pian.
Voisit tietysti yrittää:
C:\WINDOWS\system32\drivers\etc\ on kansio, jossa hosts tiedosto sijaitsee (se tosiaan ilman mitään tiedostopäätettä oleva - ainoa kai windowsissa)
Sun pitäis avata se muistiolla/notepadilla ja poistaa kaikki muut rivit alapuolelta paitsi nämä:
# Copyright (c) 1993-1999 Microsoft Corp.
#
# This is a sample HOSTS file used by Microsoft TCP/IP for Windows.
#
# This file contains the mappings of IP addresses to host names. Each
# entry should be kept on an individual line. The IP address should
# be placed in the first column followed by the corresponding host name.
# The IP address and the host name should be separated by at least one
# space.
#
# Additionally, comments (such as these) may be inserted on individual
# lines or following the machine name denoted by a '#' symbol.
#
# For example:
#
# 102.54.94.97 rhino.acme.com # source server
# 38.25.63.10 x.acme.com # x client host
127.0.0.1 localhost
Ja sitten klikata tiedosto tallenna.
Siihen ei saa tulla mitään päätettä .txt .
Jos ei toimi niin, tältä yöltä pitänee helpottaa.
Vielä se viimeinen vaihtoehto, jos ei mikään muu puhdista:
naapuriavulla valmista Knoppix-cd-linux ja käynnistä sillä kone, siirtele tärkeät tiedostosi talteen cd:lle/dvd:lle ja tyhjennä kovalevy, asenna kaikki uudestaan. Rohkea kaverisi voisi tietysti laittaa kovalevysi koneeseensa ja kopioida sitten ne välttämättömät tavarat pois. Siinä on omat riskinsä saada tartunta...
Parhaat ohjeet saat nimimerkki Juu :lta tuolla Hijackthis-osastolla. No, on muitakin, mutta häneen voit luottaa ja toiset tulee kimppaan neuvomaan.
Mutta se on huomisen hommia, voithan lähettää sen login jo odottelemaan "aamuvirkkuja".
Varoitukset on tosiaan paikallaan, Hijackthis on pieni, mutta tehokas ohjelma.
Sain nyt avattua tuolla notepadilla tuon hosts-tiedoston, mutta mitäs sitten piti tehdä kun väsyneenä en taida enää tajuta... Jos ei nyt ala onnistua niin aamun jälkeen jatkan mutta kiitokset jo nytten suuresta avusta.
Alhaalta ylöspäin, kunnes tulee tuo rivi vastaan:
127.0.0.1 localhost
jätä se valitsematta, paina delete (varmistu, että valitsit tekstin sivun alalaidasta tuohon rivin alle, ei kuitenkaan tuota "127.0.0.1 localhost" )
Ja kun tulos on ohjeen mukainen, tallenna.
oliko siellä pilvin pimein rivejä eri virustorjuntasivustoille?
Siis näiden rivien lisäksi:
# Copyright (c) 1993-1999 Microsoft Corp.
#
# This is a sample HOSTS file used by Microsoft TCP/IP for Windows.
#
# This file contains the mappings of IP addresses to host names. Each
# entry should be kept on an individual line. The IP address should
# be placed in the first column followed by the corresponding host name.
# The IP address and the host name should be separated by at least one
# space.
#
# Additionally, comments (such as these) may be inserted on individual
# lines or following the machine name denoted by a '#' symbol.
#
# For example:
#
# 102.54.94.97 rhino.acme.com # source server
# 38.25.63.10 x.acme.com # x client host
127.0.0.1 localhost
Oli joo eri virustentorjuntasivuille eivejä järjettömästi.
jos onnistuit tallentamaan sen ilman tiedostopäätettä. Ja voihan sen päätteen poistaa nimeämällä uudelleen, jos muistio sen siihen väkisin perään lykkäsi.
Onhan sulla kansionäkymässä kaikilla tiedostoilla päätteet näkyvissä (exe,dll, sys, jne.)?
Ei oo päätteitä näkyvissä,ei. Tuossa kansiossa on kylläkin myös tuollainen lm-hosts-tiedosto.
Tolla pitäis pääte näkyä.
Tarkoitin noin yleensä muissa kansioissa.
Jos ei näy, niin valitse Työkalut, kansion asetukset, Näytä ja poista ruksi ruudusta "älä näytä tunnettujen tiedostojen päätteitä"
Äh, se taitaa ollakin näin: "Piilota tunnettujen tiedostojen tarkenteet".
Arvaat varmaan että tää on engl. kielinen.
No, tärkein on se ettei hosts tiedostoon jää mitään päätettä, muuten se ei toimi.
Tuossa lm-hosts-tiedostossa näkyy siis pääte sam. Nyt täytyy ruveta jo nukkumaan kun pää on jo sen verran "käymistilassa".
Mutta tuhannet kiitokset sinulle Fox näistä neuvoista ja pitää huomenna koettaa HijackThis ohjelmaa, jos muukaan ei auta, Millekäs foorumille minä ne logit sitten postaan?
PS. Tyhmä kysymys varmaan, mutta voinko sammuttaa koneen yöksi turvallisesti et se sentään aamulla käynnistyy normaalisti windowsiin ym. vai jätänkö tän koneen nyt päälle?
Jopa Antivir-virustorjuntaohjelmiston tiedostoista löytyi troijalaisia! Saapas nähdä mitä kaikkea vielä löytyykään!
Skannaan juuri konettani tuolla Kasperskyn skannerilla.
:) etsitään lisää..
Rupesin Trend Micro HouseCallin nettiskannerilla tarkastamaan konetta ja se löysi kaksi virusta: WORM_Fatso.A 1 ja WORM_Fatso.A 2. Jälleen jonkun mielestä varmaan tyhmä kysymys, mutta mitäpä eroa noilla HouseCallin kahdella tarjoamalla vaihtoehdolla Clean ja sitten Delete on? Onko väliä kumman sitä nyt valitsee, jotta nuo virukset poistuu koneelta lopullisesti?
en pystynyt tuolla cleanilla noita viruksia poistamaan...
Lisättäköön vielä,että virusten tiedostonimet ovat: C:\WINDOWS\system32\formatsys.exe ja toisen C:\WINDOWS\system32\serbw.exe
Seuraavana vuorossa ilmeisesti HijackThis-ohjelman käyttö viimeinkin.
kertoiko skanneri mistä noi löytyi?
Jos ne on, kuten toi trendmicron teksti kertoo, tollasissa "tarpeettomissa" tiedostoissa:
British National Party.jpg
Crazy-Frog.Html
Message to n00b LARISSA.txt
Niin valitsisin Delete.
Mutta. Torjuntaohje on melkoisen pitkä ja monimutkainen, enkä ehdi tässä kovin kauan viipyä tällä kertaa. Lue tuolta ja jos nettiskanneri ei saa siivottua, laita se hijackthis-logi.
Joku Juu varmaan jatkaa.
Järjestelmänpalautus pois päältä ainakin ensiavuksi.
http://www.trendmicro.com/vinfo/virusencyclo/default5.asp?VName=WORM_FATSO.A&VSect=Sn
Se olis oikeastaan peräti ensimmäinen vaihtoehto,mutta kyllähän viruksia voi yrittää ensin muutenkin häätää.
British National Party.jpg
Crazy-Frog.Html
Message to n00b LARISSA.txt
Tämä on juuri se virus mikä minulle tuli. Jos oikein ymmärsin niin suosittelet että deletoin nuo tiedostot mitkä kirjoitin viestissäni?
Siis ne tiedostonimet olivat C:\WINDOWS\system32\formatsys.exe ja toisen C:\WINDOWS\system32\serbw.exe
tuohon sun linkkiin minkä lähetit niin en pääse.
mistä mä saan tuon järjestelmänpalautuksen pois päältä?
Sori, mutta nyt on pakko poistua - myöhästyn kuitenkin!
ok...kiitos avusta kuitenkin
smartkiller.Tuon sivun alhaalla lukee siitä. http://koti.mbnet.fi/pattaya1/adaware.htm
http://www.safer-networking.org/files/delcwssk.zip
Tuo smartkiller se ei ollut, sillä smartkillerin poistoohjelma ei löytänyt koneeltani sitä. Joten kyseessä on jokin muu virus.
PS. Jos pistätte vastauksiienne otsikkoon jonkun virustentorjuntaohjelman nimen tai pelkän virussanan niin en silloin pysty aukasemaan sitä vastausta, joten "kiertäkää" otsikossa kaikki "virussanat". kiitän jo vastauksistanne. Rupeaa jo "v**utuskäyrä" nouseen kun just nyt piti tää virus tulla sitten. Ja vieläpä oman mokan kautta.
Tässä kotimainen linkki:
http://tietoturva.hymppa.com/#7
Kiitos ja hyvät jatkot.
Kerro huomenna lisää, jos jotain edistystä tuli.
Olisin aika guru, jos tuon tietäisin . eli miten kone aamulla käynnistyy.
Melkeinpä jättäisin käyntiin, mutta nettipiuha irti seinästä.
ja osoitehan tuo:
http://keskustelu.suomi24.fi/show.fcgi?category=108&conference=4500000000000628&subcat=758
Ollaan oltu ikäänkuin seinän takana, samassa viestiryhmässä: Tietoturva&virukset.
Sammutin eilen illalla,no yöllä,koneen ja nyt päivällä käynnistin koneen, niin kone meni täysin normaalisti windowsiin ja se alkoi heti ehdottamaan jonkun oudon tiedoston suorittamista, johon painoin peruuta useaan kertaan, kunnes se ei enää ilmestynyt.
Sain myös poistettua viruksen pikakuvakkeen siitä kansiosta mihin se oli mennyt ja nyt kone antaa minun mennä virustentorjuntaohjelmien kotisivuille ym. Kone ei kuitenkaan anna käyttää erilaisia netissä olevia virusten scannausohjelmia.
Myös koneen hosts-tiedostossa edelleen on vain liuta eri virustentorjuntaohjelmien nettiosotteita.
Nyt kone kylläkin antaa käyttää jo ctrl alt delete yhdistelmää,josta saa selville käynnissä olevat prosessit,tosin sieltä sen viiruksen tunnistaminen on paljon hankalampaa.
Pitäisiköhän yrittää HijackThis-ohjelmalla tarkastaa koneen "saastumistila"?
Lue ohjeet ja läheta logi
http://keskustelu.suomi24.fi/show.fcgi?category=108&conference=4500000000000628&subcat=758
Eiköhän se sieltä löydy ja jos ei sillä, niin porukat neuvoo lisäkonsteja.
Asia hoitui... Sain ladattua AntiViriin uuden päivityksen, joka löysi 15 virusta, jotka poistin heti niin nyt kone tuntuu olevan entisensä.
Sinne hosts-tiedostoon jäi kylläkin vielä ne virustentorjuntaohjelmien nettisivujen osoitteet, mutta tuskin niistä mitään harmia on?
Kiitos Foxille loistavista neuvoista ja vinkeistä ja hyvää jatkoa!