Tollanen spyware tuli mulle kuin SpywareStormer. Siitä viitteitä on vain rekisterissä, mutta ne kun sieltä poistaa, tulevat ne sinne pian takaisin. Kuinka toimisin?
Onkelma SpywareStormerissa
Relu
151035
0Äänestä
Muut lukivat myös
Ketjusta on poistettu 1 sääntöjenvastainen viesti.
Odottaa vastausta
Näihin keskusteluihin ei ole vielä vastattu. Ole ensimmäinen.
Vastaukset 15
Vanhimmat
Siis jos oikein ymmärsin niin yritit tuhota/poistaa sen ensiksi jollain viruksentorjuntaohjelmalla ja se ei onnistunut?
Jos et ole tehnyt näin niin lataa vaikka adaware se on hyvä ja ilmainen anti-spyware ohjelma jolla voi tehä ihan hyvän skannin koneelle.
Jos tuo ei toimi niin tuhoa kaikki vitteet registerystä ja sitten kokeile,(jos ei toimi niin) etsi registerystä vielä startup ja katso onko jotain ohjelmia jotka voisivat olla spywareja ja poista ne startupista.
ton startupin LÖYTÄMINEN voi olla hankalaa kun registery ei oo ihan pieni paikka :D
Laitoin sinne lisätietoa niistä :
O15 - ProtocolDefaults: '@ivt' protocol is in My Computer Zone, should be Intranet Zone
O15 - ProtocolDefaults: 'file' protocol is in My Computer Zone, should be Internet Zone
O15 - ProtocolDefaults: 'ftp' protocol is in My Computer Zone, should be Internet Zone
O15 - ProtocolDefaults: 'http' protocol is in My Computer Zone, should be Internet Zone
O15 - ProtocolDefaults: 'https' protocol is in My Computer Zone, should be Internet Zone
Tuolla on samantapainen logi kuin sulla:
http://forum.gladiator-antivirus.com/index.php?s=228e5d370b4b63a3256ea7b42b5d3940&showtopic=25096&st=15&#
Eli Spybot S&D löytää koneelta joskus (n.3 pv välein) SpywareStormer-nimisen spywaren (3 entries).
No poistan tietysti sen sieltä rekisteristä, mutta n. 3 päivän kuluttua se on taas siellä.
Kyseisen spywarestormerin tiedostoja on kait ainoastaan rekisterissä. Ei esim. c/program files/spywastormer.pöö
Olisiko mitään lääkettä tälläiseen vaivaan teillä tiedossa?
Kiitän avusta!
Mulla on ad-aware, spysubtract ja tuo spybot s&d. Toi spybot on ainoa joka tuon löytää.
Startupissa ei ole mitään epäilyttävää. HJT-logi on myös puhdas.
http://www.iamnotageek.com/a/430-p1.php
juttu. SpywareStormer tulee aina takas vaikka poistaa.Taitaa olla vika Spybotissa.
Eipä ollu kauheesti apuva tuosta Foxin linkistä. Jos joku siis asiasta jotain tietää, niin pyydän kertomaan :) kiitos
DelDomains.inf voisi olla ratkaisu, mutta sille ei löytynyt varauksetonta tukea. Joku on kyllä tainnut joskus sitä tarjota lääkkeeksi johonkin vaivaan - oliko tarpeeksi hatarasti kirjoitettu:-)
Noi protokollat ovat kai vähän ristissä, siellä rekisterissä ne pitäis olla näin:
Windows Registry Editor Version 5.00
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Internet Settings\ZoneMap\ProtocolDefaults]
@=""
"http"=dword:00000003
"https"=dword:00000003
"ftp"=dword:00000003
"file"=dword:00000003
"@ivt"=dword:00000001
Vertaa omaasi ja tee muutokset, jos eroa on - omalla vastuulla. Rekisterin puukottaminen on sellainen laji, josta en kyllä ota vastuuta. Omaa konetta saatan puukottaa, mutta en sitäkään vahingoittamismielessä.
Nyt tais valjeta vähän noista sun login jutuista:
>O15 - ProtocolDefaults: '@ivt' protocol is in My Computer Zone, should be Intranet Zone
O15 - ProtocolDefaults: 'file' protocol is in My Computer Zone, should be Internet Zone
O15 - ProtocolDefaults: 'ftp' protocol is in My Computer Zone, should be Internet Zone
O15 - ProtocolDefaults: 'http' protocol is in My Computer Zone, should be Internet Zone
O15 - ProtocolDefaults: 'https' protocol is in My Computer Zone, should be Internet Zone <
Sulla täytyis siellä rekisterissä olla nyt noissa kaikissa dword:0000000X äksän tilalla sama numero, joka tarkoittaa My Computer Zonea. En tiedä mikä numero lienee?
Jos verrataan noita kopioimani rekisteriavaimen numeroita, 3 on kolmessa paikassa ja sun logissa kolmen protokollan perässä sanotaan "pitäis olla InternetZone", voisko Internet Zone olla 3.
Ja jäljelle jää IntranetZonelle sitten toi ykkönen.
Kerro mitä sun koneen rekisterissä seisoo, joku viksumpi saattas kiinnostua aiheesta ja valaista meitä.
Itseasias mulla ei oo tollasta kansiota tuolta Zonemapissa kun Protocol Defaults, mutta hijackissa ne silti näkyy.
vaikeaa.
Senhän varmaan voisi sitten tehdä sinne, jos puuttuu. Johtuisko nuo häiriöt siitä?
Sehän hoituu kait vaan valitsemalla Regeditin filevalikosta new ja sitten Key (nimi on ProtocolDefaults) nimi kirjoitetaan juuri noin.
Sisällöksi lisäilet nuo tuolla ylempänä esitetyt.
Jos tallennat notepadilla tuon tekstin ja tyypiksi .reg , niin se kait uppoaa Merge-komennolla luomaasi kansioon...
Tuota en ole vielä itse kokeillut, mutta päätellen noista rekisterikorjauspaketeista, homma toimii noin.
eli.
Tuossa "penkasin nettiä" viestissä on ne oikeat arvot niille?
Tein nyt rekisteriin sen kansion Protocol Defaults, ja muistiolla talletin ne arvot ja pistin nimeksi protocoldefaults.reg
Mikä tuo Merge-komento on ja miten se tapahtuu?
Eli suomeksi = miten saan nuo arvot oikein tuonne Protocol Defaultseihin?
En ole todellakaan mikään hyvä tietokoneilla, joten siitä johtuu...:/
Nyt mä sain noi sun esittämät jutut tonne protocol defaultseihin, mutta hijack logiin jää vielä 5 protocol defaultsia.
Tälläsiä:
O15 - ProtocolDefaults: '@ivt' protocol is in My Computer Zone, should be Intranet Zone (HKLM)
O15 - ProtocolDefaults: 'file' protocol is in My Computer Zone, should be Internet Zone (HKLM)
O15 - ProtocolDefaults: 'ftp' protocol is in My Computer Zone, should be Internet Zone (HKLM)
O15 - ProtocolDefaults: 'http' protocol is in My Computer Zone, should be Internet Zone (HKLM)
O15 - ProtocolDefaults: 'https' protocol is in My Computer Zone, should be Internet Zone (HKLM)
Mitenkähän nuo poistettaisiin? Kun ne yrittää hjt:llä poistaa ne ovat seuraavassa scannauksessa taas siellä.
Nuo Reg_dword jutut ovat täysin samanlaiset kuin laitoit tuonne ylemmäs.
FOX: Luin tuolta hijackpalstalta ne entiset ohjeesi tuon protocol defaultsin poistoksi. Ennen ne eivät ole auttaneet mutta nyt auttoivat! Uusin hijack-logi tulee tässä. Onko vielä jotain poistettavaa?
Logfile of HijackThis v1.99.1
Scan saved at 20:32:24, on 17.4.2005
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)
Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\Explorer.EXE
C:\WINDOWS\system32\spoolsv.exe
C:\WINDOWS\system32\RUNDLL32.EXE
C:\Program Files\F-Secure Internet Security\Common\FSM32.EXE
C:\WINDOWS\system32\ctfmon.exe
C:\Program Files\VIA Technologies, Inc\VIA Audio Driver Setup Program\AudioDeck\AudioDeck.exe
C:\PROGRA~1\F-SECU~1\backweb\4476822\Program\SERVIC~1.EXE
C:\Program Files\Executive Software\DiskeeperLite\DKService.exe
C:\Program Files\F-Secure Internet Security\backweb\4476822\Program\fspex.exe
C:\Program Files\F-Secure Internet Security\Anti-Virus\fsgk32st.exe
C:\Program Files\F-Secure Internet Security\backweb\4476822\program\fsbwsys.exe
C:\Program Files\F-Secure Internet Security\Anti-Virus\FSGK32.EXE
C:\Program Files\F-Secure Internet Security\Anti-Virus\fssm32.exe
C:\Program Files\F-Secure Internet Security\Common\FSMA32.EXE
C:\Program Files\F-Secure Internet Security\Common\FSMB32.EXE
C:\Program Files\Common Files\Microsoft Shared\VS7Debug\mdm.exe
C:\Program Files\Canon\MultiPASS\mpservic.exe
C:\Program Files\F-Secure Internet Security\Common\FCH32.EXE
C:\Program Files\F-Secure Internet Security\Common\FAMEH32.EXE
C:\Program Files\F-Secure Internet Security\FSPC\fspc.exe
C:\WINDOWS\system32\nvsvc32.exe
C:\WINDOWS\System32\svchost.exe
C:\Program Files\F-Secure Internet Security\Anti-Virus\fsav32.exe
C:\Program Files\F-Secure Internet Security\FWES\Program\fsdfwd.exe
C:\Program Files\F-Secure Internet Security\FSGUI\fsguiexe.exe
C:\Program Files\Mozilla Firefox\firefox.exe
C:\Documents and Settings\ahopelto\Omat tiedostot\ikonit\HijackThis.exe
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://virustorjunta.net/
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Local Page =
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Linkit
O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Program Files\Adobe\Acrobat 6.0\Reader\ActiveX\AcroIEHelper.dll
O2 - BHO: (no name) - {53707962-6F74-2D53-2644-206D7942484F} - D:\Ohjelmat\SPYBOT~1\SDHelper.dll
O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\system32\NvCpl.dll,NvStartup
O4 - HKLM\..\Run: [nwiz] nwiz.exe /install
O4 - HKLM\..\Run: [NvMediaCenter] RUNDLL32.EXE C:\WINDOWS\system32\NvMcTray.dll,NvTaskbarInit
O4 - HKLM\..\Run: [F-Secure Manager] "C:\Program Files\F-Secure Internet Security\Common\FSM32.EXE" /splash
O4 - HKLM\..\Run: [F-Secure TNB] "C:\Program Files\F-Secure Internet Security\TNB\TNBUtil.exe" /CHECKALL /WAITFORSW
O4 - HKLM\..\Run: [NeroFilterCheck] C:\WINDOWS\system32\NeroCheck.exe
O4 - HKLM\..\Run: [F-Secure Startup Wizard] "C:\Program Files\F-Secure Internet Security\FSGUI\FSSW.EXE" /reboot
O4 - HKCU\..\Run: [ctfmon.exe] C:\WINDOWS\system32\ctfmon.exe
O4 - Global Startup: AudioDeck.lnk = C:\Program Files\VIA Technologies, Inc\VIA Audio Driver Setup Program\AudioDeck\AudioDeck.exe
O4 - Global Startup: Microsoft Office.lnk = C:\Program Files\Microsoft Office\Office10\OSA.EXE
O8 - Extra context menu item: Vie Microsoft E&xceliin - res://C:\PROGRA~1\MICROS~2\Office10\EXCEL.EXE/3000
O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\j2re1.4.2\bin\npjpi142.dll
O9 - Extra 'Tools' menuitem: Sun Java Console - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\j2re1.4.2\bin\npjpi142.dll
O9 - Extra button: Web-suodatin - {200DB664-75B5-47c0-8B45-A44ACCF73C00} - C:\Program Files\F-Secure Internet Security\FSPC\fspcmsie.dll
O9 - Extra button: (no name) - {200DB664-75B5-47c0-8B45-A44ACCF73F01} - C:\Program Files\F-Secure Internet Security\FSPC\fspcmsie.dll
O9 - Extra 'Tools' menuitem: Näytä &Web-sivuluettelo... - {200DB664-75B5-47c0-8B45-A44ACCF73F01} - C:\Program Files\F-Secure Internet Security\FSPC\fspcmsie.dll
O9 - Extra button: (no name) - {200DB664-75B5-47c0-8B45-A44ACCF73F02} - C:\Program Files\F-Secure Internet Security\FSPC\fspcmsie.dll
O9 - Extra 'Tools' menuitem: &Keskeytä Web-sivujen suodatus - {200DB664-75B5-47c0-8B45-A44ACCF73F02} - C:\Program Files\F-Secure Internet Security\FSPC\fspcmsie.dll
O9 - Extra button: (no name) - {200DB664-75B5-47c0-8B45-A44ACCF73F03} - C:\Program Files\F-Secure Internet Security\FSPC\fspcmsie.dll
O9 - Extra 'Tools' menuitem: &Kiellä tämä Web-sivusto - {200DB664-75B5-47c0-8B45-A44ACCF73F03} - C:\Program Files\F-Secure Internet Security\FSPC\fspcmsie.dll
O9 - Extra button: (no name) - {200DB664-75B5-47c0-8B45-A44ACCF73F04} - C:\Program Files\F-Secure Internet Security\FSPC\fspcmsie.dll
O9 - Extra 'Tools' menuitem: &Salli tämä Web-sivusto - {200DB664-75B5-47c0-8B45-A44ACCF73F04} - C:\Program Files\F-Secure Internet Security\FSPC\fspcmsie.dll
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe
O16 - DPF: {00B71CFB-6864-4346-A978-C0A14556272C} (Checkers Class) - http://messenger.zone.msn.com/binary/msgrchkr.cab31267.cab
O16 - DPF: {0EB0E74A-2A76-4AB3-A7FB-9BD8C29F7F75} - http://www.kaspersky.com/downloads/kws/kavwebscan.cab
O16 - DPF: {2A32B14F-4D29-4EA3-AC54-E9B19F436CE7} (Scanner Class) - http://www.windowsecurity.com/trojanscan/TDECntrl.CAB
O16 - DPF: {556DDE35-E955-11D0-A707-000000521957} - http://www.xblock.com/download/xclean_micro.exe
O16 - DPF: {5D86DDB5-BDF9-441B-9E9E-D4730F4EE499} (BDSCANONLINE Control) - http://www.bitdefender.fr/scan8/oscan8.cab
O16 - DPF: {644E432F-49D3-41A1-8DD5-E099162EEEC5} (Symantec RuFSI Utility Class) - http://security.symantec.com/sscv6/SharedContent/common/bin/cabsa.cab
O16 - DPF: {80DD2229-B8E4-4C77-B72F-F22972D723EA} (AvxScanOnline Control) - http://www.bitdefender.com/scan/Msie/bitdefender.cab
O16 - DPF: {8E0D4DE5-3180-4024-A327-4DFAD1796A8D} (MessengerStatsClient Class) - http://messenger.zone.msn.com/binary/MessengerStatsClient.cab31267.cab
O16 - DPF: {9A9307A0-7DA4-4DAF-B042-5009F29E09E1} (ActiveScan Installer Class) - http://www.pandasoftware.com/activescan/as5/asinst.cab
O16 - DPF: {B38870E4-7ECB-40DA-8C6A-595F0A5519FF} (MsnMessengerSetupDownloadControl Class) - http://messenger.msn.com/download/msnmessengersetupdownloader.cab
O23 - Service: F-Secure Internet Security 2005 (BackWeb Plug-in - 4476822) - Unknown owner - C:\PROGRA~1\F-SECU~1\backweb\4476822\Program\SERVIC~1.EXE
O23 - Service: Diskeeper - Executive Software International, Inc. - C:\Program Files\Executive Software\DiskeeperLite\DKService.exe
O23 - Service: F-Secure Gatekeeper Handler Starter - F-Secure Corp. - C:\Program Files\F-Secure Internet Security\Anti-Virus\fsgk32st.exe
O23 - Service: fsbwsys - F-Secure Corp. - C:\Program Files\F-Secure Internet Security\backweb\4476822\program\fsbwsys.exe
O23 - Service: F-Secure Anti-Virus Firewall Daemon (FSDFWD) - F-Secure Corporation - C:\Program Files\F-Secure Internet Security\FWES\Program\fsdfwd.exe
O23 - Service: F-Secure HTTP Server (fshttps) - F-Secure Corporation - C:\Program Files\F-Secure Internet Security\FSPC\fshttps\fshttps.exe
O23 - Service: F-Secure Management Agent (FSMA) - F-Secure Corporation - C:\Program Files\F-Secure Internet Security\Common\FSMA32.EXE
O23 - Service: MPService - Unknown owner - C:\Program Files\Canon\MultiPASS\mpservic.exe
O23 - Service: NVIDIA Display Driver Service (NVSvc) - NVIDIA Corporation - C:\WINDOWS\system32\nvsvc32.exe
FOX, ILLUKKA JA NORMAN! Kiitoksia :)
Onneksi sait homman kuntoon, ei ne näyttäneet näin jälkikäteen kovin selkeiltä noi mun sepustukset...
Äkkiseltään katseltuna en löytänyt poistettavia.
Pari mulle tuntematonta ohjelmaa/linkkiä siellä on, mutta tiedät niistä varmaan itse riittävästi?
Toi eka onkin vain IE:lle.
O16 - DPF: {2A32B14F-4D29-4EA3-AC54-E9B19F436CE7} (Scanner Class) - http://www.windowsecurity.com/trojanscan/TDECntrl.CAB
O16 - DPF: {556DDE35-E955-11D0-A707-000000521957} - http://www.xblock.com/download/xclean_micro.exe
Juu tiedän että mitä nuo ovat nuo jutut mitkä laitoit. :)
Ne sun sepustukset olivat tosi hyviä, koska sun ohjeilla tää kone tuli kuntoon :)
*Tarjoaa virtuaalioluet* :)
kiitoksia.