Voisiko joku ystävällisesti katsoa tämän ja kertoa rautalankamallin mitä pitäisi tehdä jos jotain pitäisi tehdä?
Saan koneelleni tällaisia tiedostoja, joka lisää itseään muutaman minuutin välein: bwgo00012a66.exe, tuon lopun numerosarja ja kirjain muuttuu kuin laskuri???
Jos poistan niitä nettiyhteyden ollessa päällä, se jättää aina viimeisen ja ilmoittaa etten voi poistaa, koska käytössä. Kun kirjaudun koneelle ilman nettiyhteyttä, saan ne pois, mutta muutaman päivän kuluttua ne on taas siinä :(
Kiitos kun autatte osaamattomia!
SmitFraudFix v2.61
Scan done at 21:35:49,31, la 17.06.2006
Run from C:\Documents and Settings\A\Local Settings\Temp\SmitfraudFix\SmitfraudFix
OS: Microsoft Windows XP [versio 5.1.2600] - Windows_NT
Fix ran in normal mode
»»»»»»»»»»»»»»»»»»»»»»»» C:\
»»»»»»»»»»»»»»»»»»»»»»»» C:\WINDOWS
»»»»»»»»»»»»»»»»»»»»»»»» C:\WINDOWS\system
»»»»»»»»»»»»»»»»»»»»»»»» C:\WINDOWS\Web
»»»»»»»»»»»»»»»»»»»»»»»» C:\WINDOWS\system32
»»»»»»»»»»»»»»»»»»»»»»»» C:\Documents and Settings\A\Application Data
»»»»»»»»»»»»»»»»»»»»»»»» Start Menu
»»»»»»»»»»»»»»»»»»»»»»»» C:\DOCUME~1\A\Suosikit
»»»»»»»»»»»»»»»»»»»»»»»» Desktop
»»»»»»»»»»»»»»»»»»»»»»»» C:\Program Files
»»»»»»»»»»»»»»»»»»»»»»»» Corrupted keys
»»»»»»»»»»»»»»»»»»»»»»»» Desktop Components
[HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\Desktop\Components\0]
"Source"="http://loggedin.poi.suomi24.fi/file/Attachment/Kisu.g if?sid=1B609CE6645E69A3EC1EA45CD9C4674DD3FF43FA&userid= .fi&srcfolder=L%E4hetetyt&uid=36&auth=G 0LVPGAZJHOUIX5P&partid=2";
"SubscribedURL"="http://loggedin.poti.suomi24.fi/file/Attachment/Kisu.g if?sid=1B609CE6645E69A3EC1EA45CD9C4674DD3FF43FA&userid= &srcfolder=L%E4hetetyt&uid=36&auth=G 0LVPGAZJHOUIX5P&partid=2";
"FriendlyName"=""
[HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\Desktop\Components\1]
"Source"="About:Home"
"SubscribedURL"="About:Home"
"FriendlyName"="Nykyinen kotisivu"
»»»»»»»»»»»»»»»»»»»»»»»» Sharedtaskscheduler
!!!Attention, following keys are not inevitably infected!!!
SrchSTS.exe by S!Ri
Search SharedTaskScheduler's .dll
»»»»»»»»»»»»»»»»»»»»»»»» Scanning wininet.dll infection
»»»»»»»»»»»»»»»»»»»»»»»» End
Saan koneelleni tällaisia tiedostoja, joka lisää itseään muutaman minuutin välein: bwgo00012a66.exe, tuon lopun numerosarja ja kirjain muuttuu kuin laskuri???
Jos poistan niitä nettiyhteyden ollessa päällä, se jättää aina viimeisen ja ilmoittaa etten voi poistaa, koska käytössä. Kun kirjaudun koneelle ilman nettiyhteyttä, saan ne pois, mutta muutaman päivän kuluttua ne on taas siinä :(
Kiitos kun autatte osaamattomia!
SmitFraudFix v2.61
Scan done at 21:35:49,31, la 17.06.2006
Run from C:\Documents and Settings\A\Local Settings\Temp\SmitfraudFix\SmitfraudFix
OS: Microsoft Windows XP [versio 5.1.2600] - Windows_NT
Fix ran in normal mode
»»»»»»»»»»»»»»»»»»»»»»»» C:\
»»»»»»»»»»»»»»»»»»»»»»»» C:\WINDOWS
»»»»»»»»»»»»»»»»»»»»»»»» C:\WINDOWS\system
»»»»»»»»»»»»»»»»»»»»»»»» C:\WINDOWS\Web
»»»»»»»»»»»»»»»»»»»»»»»» C:\WINDOWS\system32
»»»»»»»»»»»»»»»»»»»»»»»» C:\Documents and Settings\A\Application Data
»»»»»»»»»»»»»»»»»»»»»»»» Start Menu
»»»»»»»»»»»»»»»»»»»»»»»» C:\DOCUME~1\A\Suosikit
»»»»»»»»»»»»»»»»»»»»»»»» Desktop
»»»»»»»»»»»»»»»»»»»»»»»» C:\Program Files
»»»»»»»»»»»»»»»»»»»»»»»» Corrupted keys
»»»»»»»»»»»»»»»»»»»»»»»» Desktop Components
[HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\Desktop\Components\0]
"Source"="http://loggedin.poi.suomi24.fi/file/Attachment/Kisu.g if?sid=1B609CE6645E69A3EC1EA45CD9C4674DD3FF43FA&userid= .fi&srcfolder=L%E4hetetyt&uid=36&auth=G 0LVPGAZJHOUIX5P&partid=2";
"SubscribedURL"="http://loggedin.poti.suomi24.fi/file/Attachment/Kisu.g if?sid=1B609CE6645E69A3EC1EA45CD9C4674DD3FF43FA&userid= &srcfolder=L%E4hetetyt&uid=36&auth=G 0LVPGAZJHOUIX5P&partid=2";
"FriendlyName"=""
[HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\Desktop\Components\1]
"Source"="About:Home"
"SubscribedURL"="About:Home"
"FriendlyName"="Nykyinen kotisivu"
»»»»»»»»»»»»»»»»»»»»»»»» Sharedtaskscheduler
!!!Attention, following keys are not inevitably infected!!!
SrchSTS.exe by S!Ri
Search SharedTaskScheduler's .dll
»»»»»»»»»»»»»»»»»»»»»»»» Scanning wininet.dll infection
»»»»»»»»»»»»»»»»»»»»»»»» End
Vastaukset 13
Vanhimmat
Hijack logi,niin katellaan jos siinä näkyy jotain
http://koti.mbnet.fi/pattaya1/HijackThis.exe
Logi.
En osannut laittaa Hijakia muualle kuin työpöydälle, login tallensin C:n juureen. Tuliko oikein?
Logfile of HijackThis v1.99.1
Scan saved at 21:00:27, on 18.6.2006
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)
Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\spoolsv.exe
C:\WINDOWS\Explorer.EXE
C:\PROGRA~1\MOUSEW~1\SYSTEM\EM_EXEC.EXE
C:\Apps\ActivBoard\MMKeybd.exe
C:\Program Files\F-Secure\Common\FSM32.EXE
C:\Program Files\Common Files\Real\Update_OB\realsched.exe
C:\WINDOWS\system32\ctfmon.exe
C:\Apps\ActivBoard\TrayMon.exe
C:\Apps\ActivBoard\nhksrv.exe
C:\PROGRA~1\F-Secure\BackWeb\7681197\Program\SERVIC~1.EXE
C:\Apps\ActivBoard\OSD.exe
C:\Program Files\ewido anti-malware\ewidoctrl.exe
C:\Program Files\Zone Labs\ZoneAlarm\zonealarm.exe
C:\Program Files\SpywareGuard\sgmain.exe
C:\Program Files\F-Secure\BackWeb\7681197\Program\fsbwlan.exe
C:\Program Files\F-Secure\Anti-Virus\fsgk32st.exe
C:\Program Files\F-Secure\Anti-Virus\FSGK32.EXE
C:\Program Files\F-Secure\Common\FNRB32.EXE
C:\Program Files\F-Secure\Anti-Virus\fssm32.exe
C:\Program Files\F-Secure\BackWeb\7681197\Program\BackWeb-7681197.exe
C:\Program Files\Common Files\Microsoft Shared\VS7Debug\mdm.exe
C:\WINDOWS\System32\nvsvc32.exe
C:\WINDOWS\system32\slserv.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\ZoneLabs\vsmon.exe
C:\Program Files\F-Secure\Common\FSMA32.EXE
C:\Program Files\F-Secure\Common\FSMB32.EXE
C:\Program Files\F-Secure\Common\FCH32.EXE
C:\Program Files\SpywareGuard\sgbhp.exe
C:\Program Files\F-Secure\Common\FAMEH32.EXE
C:\Program Files\F-Secure\Common\FIH32.EXE
C:\Program Files\F-Secure\Anti-Virus\fsav32.exe
C:\Program Files\Mozilla Firefox\firefox.exe
C:\Documents and Settings\A\Työpöytä\HijackThis.exe
C:\WINDOWS\system32\NOTEPAD.EXE
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.suomi24.fi/
R1 - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings,ProxyServer = proxy.dial.inet.fi:800
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Linkit
O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\apps\Adobe\Acrobat 5.0\Reader\ActiveX\AcroIEHelper.ocx
O2 - BHO: SpywareGuard Download Protection - {4A368E80-174F-4872-96B5-0B27DDD11DB2} - C:\Program Files\SpywareGuard\dlprotect.dll
O2 - BHO: ST - {9394EDE7-C8B5-483E-8773-474BF36AF6E4} - C:\Program Files\MSN Apps\ST\01.03.0000.1005\en-xu\stmain.dll
O2 - BHO: MSNToolBandBHO - {BDBD1DAD-C946-4A17-ADC1-64B5B4FF55D0} - C:\Program Files\MSN Apps\MSN Toolbar\01.02.4000.1001\fi\msntb.dll
O3 - Toolbar: MSN - {BDAD1DAD-C946-4A17-ADC1-64B5B4FF55D0} - C:\Program Files\MSN Apps\MSN Toolbar\01.02.4000.1001\fi\msntb.dll
O4 - HKLM\..\Run: [EM_EXEC] C:\PROGRA~1\MOUSEW~1\SYSTEM\EM_EXEC.EXE
O4 - HKLM\..\Run: [ACTIVBOARD] C:\Apps\ActivBoard\MMKeybd.exe
O4 - HKLM\..\Run: [F-Secure Manager] "C:\Program Files\F-Secure\Common\FSM32.EXE" /splash
O4 - HKLM\..\Run: [TkBellExe] "C:\Program Files\Common Files\Real\Update_OB\realsched.exe" -osboot
O4 - HKCU\..\Run: [ctfmon.exe] C:\WINDOWS\system32\ctfmon.exe
O4 - Startup: SpywareGuard.lnk = C:\Program Files\SpywareGuard\sgmain.exe
O4 - Global Startup: Microsoft Office.lnk = C:\Program Files\Microsoft Office\Office10\OSA.EXE
O4 - Global Startup: ZoneAlarm.lnk = C:\Program Files\Zone Labs\ZoneAlarm\zonealarm.exe
O6 - HKCU\Software\Policies\Microsoft\Internet Explorer\Control Panel present
O8 - Extra context menu item: Send Image to Photo Library - file://C:\Documents and Settings\A\Application Data\MGI\PhotoSuite4\Temp\MGI00000.html
O8 - Extra context menu item: Vie Microsoft E&xceliin - res://C:\PROGRA~1\MICROS~2\Office10\EXCEL.EXE/3000
O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\WINDOWS\System32\msjava.dll
O9 - Extra 'Tools' menuitem: Sun Java Console - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\WINDOWS\System32\msjava.dll
O9 - Extra button: Real.com - {CD67F990-D8E9-11d2-98FE-00C0F0318AFE} - C:\WINDOWS\System32\Shdocvw.dll
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe
O15 - Trusted Zone: *.f-secure anti-virus.com
O15 - Trusted Zone: *.f-secure.com
O15 - Trusted Zone: *.mtv3.luukku.com
O15 - Trusted Zone: *.luukku.com
O15 - Trusted Zone: *.hotmail.msn.com
O15 - Trusted Zone: *.msn.fi
O15 - Trusted Zone: *.mtv3.fi
O15 - Trusted Zone: *.opera.com
O15 - Trusted Zone: *.radiodei.fi
O15 - Trusted Zone: *.sinkut.net
O15 - Trusted Zone: *.suomi24.fi
O15 - Trusted Zone: *.yle.fi
O15 - Trusted Zone: *.zone-alarm.com
O16 - DPF: {2917297F-F02B-4B9D-81DF-494B6333150B} (Minesweeper Flags Class) - http://messenger.zone.msn.com/binary/MineSweeper.cab
O16 - DPF: {5BDBD95C-1E7F-4FB1-8497-20AF879F8B68} (FileSharingCtrl Class) - http://appdirectory.messenger.msn.com/AppDirectory/P4Apps/FileSharing/fi/filesharingctrl.cab
O16 - DPF: {8E0D4DE5-3180-4024-A327-4DFAD1796A8D} (MessengerStatsClient Class) - http://messenger.zone.msn.com/binary/MessengerStatsClient.cab
O16 - DPF: {B38870E4-7ECB-40DA-8C6A-595F0A5519FF} (MsnMessengerSetupDownloadControl Class) - http://messenger.msn.com/download/msnmessengersetupdownloader.cab
O16 - DPF: {F58E1CEF-A068-4C15-BA5E-587CAF3EE8C6} (MSN Chat Control 4.5) - http://chat.msn.com/bin/msnchat45.cab
O23 - Service: F-Secure BackWeb (BackWeb Client - 7681197) - Unknown owner - C:\PROGRA~1\F-Secure\BackWeb\7681197\Program\SERVIC~1.EXE
O23 - Service: ewido security suite control - ewido networks - C:\Program Files\ewido anti-malware\ewidoctrl.exe
O23 - Service: F-Secure BackWeb LAN Access - Unknown owner - C:\Program Files\F-Secure\BackWeb\7681197\Program\fsbwlan.exe
O23 - Service: F-Secure Gatekeeper Handler Starter - F-Secure Corp. - C:\Program Files\F-Secure\Anti-Virus\fsgk32st.exe
O23 - Service: F-Secure Network Request Broker - F-Secure Corporation - C:\Program Files\F-Secure\Common\FNRB32.EXE
O23 - Service: F-Secure Authentication Agent (FSAA) - F-Secure Corporation. All Rights Reserved. - C:\Program Files\F-Secure\Common\FSAA.EXE
O23 - Service: F-Secure Management Agent (FSMA) - F-Secure Corporation - C:\Program Files\F-Secure\Common\FSMA32.EXE
O23 - Service: Netropa NHK Server (nhksrv) - Unknown owner - C:\Apps\ActivBoard\nhksrv.exe
O23 - Service: NVIDIA Driver Helper Service (NVSvc) - NVIDIA Corporation - C:\WINDOWS\System32\nvsvc32.exe
O23 - Service: SmartLinkService (SLService) - - C:\WINDOWS\SYSTEM32\slserv.exe
O23 - Service: TrueVector Internet Monitor (vsmon) - Zone Labs Inc. - C:\WINDOWS\system32\ZoneLabs\vsmon.exe
ei näy mitään,mutta voit scannata koneen tolla ja jos jotain löytyy,niin kopioi tänne.
http://koti.mbnet.fi/pattaya1/escanmwav.htm
mitä tiedostoista löytyi:
File C:\OEMCUST\TOOLS\WIN32\PSKILL.EXE tagged as not-a-virus:NetTool.Win32.PsKill. No Action Taken.
File C:\System Volume Information\_restore{775D2DE3-4C95-418F-AFF2-97EE18D2F079}\RP585\A0102108.INS tagged as not-a-virus:NetTool.Win32.PsKill. No Action Taken.
File C:\System Volume Information\_restore{775D2DE3-4C95-418F-AFF2-97EE18D2F079}\RP595\A0104675.exe tagged as not-a-virus:RiskTool.Win32.PsKill.n. No Action Taken.
File C:\System Volume Information\_restore{775D2DE3-4C95-418F-AFF2-97EE18D2F079}\RP595\A0104676.exe tagged as not-a-virus:RiskTool.Win32.PsKill.n. No Action Taken.
File C:\WINDOWS\system\RESTORE.INS tagged as not-a-virus:NetTool.Win32.PsKill. No Action Taken.
Sitten?
ei käsittääkseni tarvi poistaa.
sulla on Rogue.AS.Checkflow virus koneessa.
eli tuolla:
C:\WINDOWS\System32\Shdocvw.dll
kun kerran se ei näkynyt virusskannerilla, niin koetapa poistaa se ihan käsin. sitten aja uusi hjt loki ja katso häviskö.....
Jos ei kuitenkaan windowsin OMIA dll-tiedostoja poisteta :)
http://www.dll-files.com/dllindex/dll-files.shtml?shdocvw
Eli...onko/eikö?
Ei ole virus, tuo tiedosto löytyy ihan jokaisesta windowsista :) Myös omastani.
hänellä on tunnetusti lokintarkastus hanskassa. Uteliaisuuttani olen palstaa seurannut ja hänet päteväksi havainnut. Amatööri tuntuu olevan tuo HR.
tarkoitus ei ollut sotkeutua asiaan vaikka teinkin niin. pyydän anteeksi. myös vääriä hälytyksiä voi sattua.
ps. hyvää kesää kaikille.
terveisin,
15 vuotta viruksia tutkinut ja jopa saan siitä elantoni.
Zipp :)
Fixaajaa, olet samoilla linjoilla Zipin kanssa. Kiitos :)