no niin, nyt on sitten vanhat java-versiot poistettu, Atribunen ATF Cleaner ajettu ja hjt-logi saatuvilla :)
Taas pyydän apua viisaammilta, "Haittaohjelmat" osiossa sainkin hyvät ohjeet nimimerkiltä "haittaohjelmilla_ ". Iso kiitos ja jatketaan toki,jos vielä ehdit auttaa loppuun :)
Tässä logi;
Logfile of HijackThis v1.99.1
Scan saved at 9:41:06, on 10.4.2007
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v7.00 (7.00.6000.16414)
Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\System32\Ati2evxx.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\spoolsv.exe
C:\Program Files\Grisoft\AVG Anti-Spyware 7.5\guard.exe
C:\PROGRA~1\F-Secure\BackWeb\7681197\Program\SERVIC~1.EXE
C:\Program Files\F-Secure\Anti-Virus\fsgk32st.exe
C:\Program Files\F-Secure\Anti-Virus\FSGK32.EXE
C:\Program Files\F-Secure\BackWeb\7681197\program\fsbwsys.exe
C:\Program Files\F-Secure\Anti-Virus\fssm32.exe
C:\Program Files\F-Secure\Common\FSMA32.EXE
C:\WINDOWS\System32\svchost.exe
C:\Program Files\F-Secure\Common\FSMB32.EXE
C:\Program Files\F-Secure\Common\FCH32.EXE
C:\Program Files\F-Secure\Common\FAMEH32.EXE
C:\WINDOWS\system32\Ati2evxx.exe
C:\WINDOWS\Explorer.EXE
C:\WINDOWS\SOUNDMAN.EXE
C:\Program Files\ATI Technologies\ATI Control Panel\atiptaxx.exe
C:\Program Files\F-Secure\Common\FSM32.EXE
C:\Program Files\QuickTime\qttask.exe
C:\WINDOWS\system32\LVCOMSX.EXE
C:\Program Files\Common Files\Real\Update_OB\realsched.exe
C:\WINDOWS\System32\spool\DRIVERS\W32X86\3\E_FATIBGE.EXE
C:\Program Files\Grisoft\AVG Anti-Spyware 7.5\avgas.exe
C:\WINDOWS\system32\ctfmon.exe
C:\Program Files\F-Secure\Common\FNRB32.EXE
C:\Program Files\MSN Messenger\MsnMsgr.Exe
C:\Program Files\F-Secure\FWES\Program\fsdfwd.exe
C:\Program Files\F-Secure\Anti-Virus\fsav32.exe
C:\Program Files\F-Secure\Common\FIH32.EXE
C:\Program Files\F-Secure\BackWeb\7681197\Program\BackWeb-7681197.exe
C:\Program Files\Internet Explorer\iexplore.exe
C:\Program Files\Java\jre1.5.0_06\bin\jusched.exe
C:\HJT\HijackThis.exe
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.farmit.net/farmit/fi/01_etusivu/02_farmitsaa/index.jsp
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://go.microsoft.com/fwlink/?LinkId=69157
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://go.microsoft.com/fwlink/?LinkId=54896
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = http://go.microsoft.com/fwlink/?LinkId=54896
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = http://go.microsoft.com/fwlink/?LinkId=69157
R1 - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings,ProxyServer = proxy.dial.inet.fi:800
R1 - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings,ProxyOverride = localhost
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Linkit
O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Program Files\Adobe\Acrobat 7.0\ActiveX\AcroIEHelper.dll
O2 - BHO: SSVHelper Class - {761497BB-D6F0-462C-B6EB-D4DAF1D92D43} - C:\Program Files\Java\jre1.6.0_01\bin\ssv.dll
O2 - BHO: (no name) - {7E853D72-626A-48EC-A868-BA8D5E23E045} - (no file)
O2 - BHO: (no name) - {A6ACAE64-F798-4930-AD86-BD3FB32038DB} - C:\Program Files\Video ActiveX Object\isadd.dll (file missing)
O2 - BHO: EpsonToolBandKicker Class - {E99421FB-68DD-40F0-B4AC-B7027CAE2F1A} - C:\Program Files\EPSON\EPSON Web-To-Page\EPSON Web-To-Page.dll
O3 - Toolbar: EPSON Web-To-Page - {EE5D279F-081B-4404-994D-C6B60AAEBA6D} - C:\Program Files\EPSON\EPSON Web-To-Page\EPSON Web-To-Page.dll
O3 - Toolbar: Protection Bar - {84938242-5C5B-4A55-B6B9-A1507543B418} - C:\Program Files\Video ActiveX Object\iesplugin.dll (file missing)
O4 - HKLM\..\Run: [SoundMan] SOUNDMAN.EXE
O4 - HKLM\..\Run: [ATIPTA] C:\Program Files\ATI Technologies\ATI Control Panel\atiptaxx.exe
O4 - HKLM\..\Run: [NeroCheck] C:\WINDOWS\system32\NeroCheck.exe
O4 - HKLM\..\Run: [F-Secure Manager] "C:\Program Files\F-Secure\Common\FSM32.EXE" /splash
O4 - HKLM\..\Run: [F-Secure TNB] "C:\Program Files\F-Secure\TNB\TNBUtil.exe" /CHECKALL
O4 - HKLM\..\Run: [QuickTime Task] "C:\Program Files\QuickTime\qttask.exe" -atboottime
O4 - HKLM\..\Run: [LVCOMSX] C:\WINDOWS\system32\LVCOMSX.EXE
O4 - HKLM\..\Run: [TkBellExe] "C:\Program Files\Common Files\Real\Update_OB\realsched.exe" -osboot
O4 - HKLM\..\Run: [EPSON Stylus D78 Series] C:\WINDOWS\System32\spool\DRIVERS\W32X86\3\E_FATIBGE.EXE /FU "C:\WINDOWS\TEMP\E_S8B.tmp" /EF "HKLM"
O4 - HKLM\..\Run: [!AVG Anti-Spyware] "C:\Program Files\Grisoft\AVG Anti-Spyware 7.5\avgas.exe" /minimized
O4 - HKLM\..\Run: [SunJavaUpdateSched] "C:\Program Files\Java\jre1.6.0_01\bin\jusched.exe"
O4 - HKCU\..\Run: [ctfmon.exe] C:\WINDOWS\system32\ctfmon.exe
O4 - HKCU\..\Run: [MsnMsgr] "C:\Program Files\MSN Messenger\MsnMsgr.Exe" /background
O4 - Global Startup: Adobe Reader Speed Launch.lnk = C:\Program Files\Adobe\Acrobat 7.0\Reader\reader_sl.exe
O8 - Extra context menu item: &Search - http://edits.mywebsearch.com/toolbaredits/menusearch.jhtml?p=ZNfox000
O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\jre1.6.0_01\bin\npjpi160_01.dll
O9 - Extra 'Tools' menuitem: Sun Java Console - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\jre1.6.0_01\bin\npjpi160_01.dll
O9 - Extra button: (no name) - {e2e2dd38-d088-4134-82b7-f2ba38496583} - %windir%\Network Diagnostic\xpnetdiag.exe (file missing)
O9 - Extra 'Tools' menuitem: @xpsp3res.dll,-20001 - {e2e2dd38-d088-4134-82b7-f2ba38496583} - %windir%\Network Diagnostic\xpnetdiag.exe (file missing)
O9 - Extra button: eBay - Homepage - {EF79EAC5-3452-4E02-B8BD-BA4C89F1AC7A} - C:\Program Files\IrfanView\Ebay\Ebay.htm
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe
O11 - Options group: [INTERNATIONAL] International*
O16 - DPF: {15AD4789-CDB4-47E1-A9DA-992EE8E6BAD6} - http://public.windupdates.com/get_file.php?bt=ie&p=2b6fa6afb5217350a5f5c0f0dee57d1289ecf5d512891b49378125b637f7350748bca4a32f249a3c6abd8be38d746c36bc0d4af3eeb984e058c6b69211ca1335:5820c43fd2f9dbd8429afb63ed1a70c5
O16 - DPF: {99E79790-2B09-11D6-8C73-0800460222F0} - http://www.andlotsmore.com/plug/install.cab
O18 - Protocol: livecall - {828030A1-22C1-4009-854F-8E305202313F} - C:\PROGRA~1\MSNMES~1\MSGRAP~1.DLL
O18 - Protocol: msnim - {828030A1-22C1-4009-854F-8E305202313F} - C:\PROGRA~1\MSNMES~1\MSGRAP~1.DLL
O18 - Protocol: skype4com - {FFC8B962-9B40-4DFF-9458-1830C7DD7F5D} - C:\PROGRA~1\COMMON~1\Skype\SKYPE4~1.DLL
O20 - Winlogon Notify: WgaLogon - C:\WINDOWS\SYSTEM32\WgaLogon.dll
O23 - Service: Ati HotKey Poller - Unknown owner - C:\WINDOWS\System32\Ati2evxx.exe
O23 - Service: ATI Smart - Unknown owner - C:\WINDOWS\system32\ati2sgag.exe
O23 - Service: AVG Anti-Spyware Guard - Anti-Malware Development a.s. - C:\Program Files\Grisoft\AVG Anti-Spyware 7.5\guard.exe
O23 - Service: F-Secure Automatic Update (BackWeb Client - 7681197) - Unknown owner - C:\PROGRA~1\F-Secure\BackWeb\7681197\Program\SERVIC~1.EXE
O23 - Service: F-Secure Gatekeeper Handler Starter - F-Secure Corp. - C:\Program Files\F-Secure\Anti-Virus\fsgk32st.exe
O23 - Service: F-Secure Network Request Broker - F-Secure Corporation - C:\Program Files\F-Secure\Common\FNRB32.EXE
O23 - Service: fsbwsys - F-Secure Corp. - C:\Program Files\F-Secure\BackWeb\7681197\program\fsbwsys.exe
O23 - Service: F-Secure Anti-Virus Firewall Daemon (FSDFWD) - F-Secure Corporation - C:\Program Files\F-Secure\FWES\Program\fsdfwd.exe
O23 - Service: F-Secure Management Agent (FSMA) - F-Secure Corporation - C:\Program Files\F-Secure\Common\FSMA32.EXE
Taas pyydän apua viisaammilta, "Haittaohjelmat" osiossa sainkin hyvät ohjeet nimimerkiltä "haittaohjelmilla_ ". Iso kiitos ja jatketaan toki,jos vielä ehdit auttaa loppuun :)
Tässä logi;
Logfile of HijackThis v1.99.1
Scan saved at 9:41:06, on 10.4.2007
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v7.00 (7.00.6000.16414)
Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\System32\Ati2evxx.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\spoolsv.exe
C:\Program Files\Grisoft\AVG Anti-Spyware 7.5\guard.exe
C:\PROGRA~1\F-Secure\BackWeb\7681197\Program\SERVIC~1.EXE
C:\Program Files\F-Secure\Anti-Virus\fsgk32st.exe
C:\Program Files\F-Secure\Anti-Virus\FSGK32.EXE
C:\Program Files\F-Secure\BackWeb\7681197\program\fsbwsys.exe
C:\Program Files\F-Secure\Anti-Virus\fssm32.exe
C:\Program Files\F-Secure\Common\FSMA32.EXE
C:\WINDOWS\System32\svchost.exe
C:\Program Files\F-Secure\Common\FSMB32.EXE
C:\Program Files\F-Secure\Common\FCH32.EXE
C:\Program Files\F-Secure\Common\FAMEH32.EXE
C:\WINDOWS\system32\Ati2evxx.exe
C:\WINDOWS\Explorer.EXE
C:\WINDOWS\SOUNDMAN.EXE
C:\Program Files\ATI Technologies\ATI Control Panel\atiptaxx.exe
C:\Program Files\F-Secure\Common\FSM32.EXE
C:\Program Files\QuickTime\qttask.exe
C:\WINDOWS\system32\LVCOMSX.EXE
C:\Program Files\Common Files\Real\Update_OB\realsched.exe
C:\WINDOWS\System32\spool\DRIVERS\W32X86\3\E_FATIBGE.EXE
C:\Program Files\Grisoft\AVG Anti-Spyware 7.5\avgas.exe
C:\WINDOWS\system32\ctfmon.exe
C:\Program Files\F-Secure\Common\FNRB32.EXE
C:\Program Files\MSN Messenger\MsnMsgr.Exe
C:\Program Files\F-Secure\FWES\Program\fsdfwd.exe
C:\Program Files\F-Secure\Anti-Virus\fsav32.exe
C:\Program Files\F-Secure\Common\FIH32.EXE
C:\Program Files\F-Secure\BackWeb\7681197\Program\BackWeb-7681197.exe
C:\Program Files\Internet Explorer\iexplore.exe
C:\Program Files\Java\jre1.5.0_06\bin\jusched.exe
C:\HJT\HijackThis.exe
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.farmit.net/farmit/fi/01_etusivu/02_farmitsaa/index.jsp
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://go.microsoft.com/fwlink/?LinkId=69157
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://go.microsoft.com/fwlink/?LinkId=54896
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = http://go.microsoft.com/fwlink/?LinkId=54896
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = http://go.microsoft.com/fwlink/?LinkId=69157
R1 - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings,ProxyServer = proxy.dial.inet.fi:800
R1 - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings,ProxyOverride = localhost
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Linkit
O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Program Files\Adobe\Acrobat 7.0\ActiveX\AcroIEHelper.dll
O2 - BHO: SSVHelper Class - {761497BB-D6F0-462C-B6EB-D4DAF1D92D43} - C:\Program Files\Java\jre1.6.0_01\bin\ssv.dll
O2 - BHO: (no name) - {7E853D72-626A-48EC-A868-BA8D5E23E045} - (no file)
O2 - BHO: (no name) - {A6ACAE64-F798-4930-AD86-BD3FB32038DB} - C:\Program Files\Video ActiveX Object\isadd.dll (file missing)
O2 - BHO: EpsonToolBandKicker Class - {E99421FB-68DD-40F0-B4AC-B7027CAE2F1A} - C:\Program Files\EPSON\EPSON Web-To-Page\EPSON Web-To-Page.dll
O3 - Toolbar: EPSON Web-To-Page - {EE5D279F-081B-4404-994D-C6B60AAEBA6D} - C:\Program Files\EPSON\EPSON Web-To-Page\EPSON Web-To-Page.dll
O3 - Toolbar: Protection Bar - {84938242-5C5B-4A55-B6B9-A1507543B418} - C:\Program Files\Video ActiveX Object\iesplugin.dll (file missing)
O4 - HKLM\..\Run: [SoundMan] SOUNDMAN.EXE
O4 - HKLM\..\Run: [ATIPTA] C:\Program Files\ATI Technologies\ATI Control Panel\atiptaxx.exe
O4 - HKLM\..\Run: [NeroCheck] C:\WINDOWS\system32\NeroCheck.exe
O4 - HKLM\..\Run: [F-Secure Manager] "C:\Program Files\F-Secure\Common\FSM32.EXE" /splash
O4 - HKLM\..\Run: [F-Secure TNB] "C:\Program Files\F-Secure\TNB\TNBUtil.exe" /CHECKALL
O4 - HKLM\..\Run: [QuickTime Task] "C:\Program Files\QuickTime\qttask.exe" -atboottime
O4 - HKLM\..\Run: [LVCOMSX] C:\WINDOWS\system32\LVCOMSX.EXE
O4 - HKLM\..\Run: [TkBellExe] "C:\Program Files\Common Files\Real\Update_OB\realsched.exe" -osboot
O4 - HKLM\..\Run: [EPSON Stylus D78 Series] C:\WINDOWS\System32\spool\DRIVERS\W32X86\3\E_FATIBGE.EXE /FU "C:\WINDOWS\TEMP\E_S8B.tmp" /EF "HKLM"
O4 - HKLM\..\Run: [!AVG Anti-Spyware] "C:\Program Files\Grisoft\AVG Anti-Spyware 7.5\avgas.exe" /minimized
O4 - HKLM\..\Run: [SunJavaUpdateSched] "C:\Program Files\Java\jre1.6.0_01\bin\jusched.exe"
O4 - HKCU\..\Run: [ctfmon.exe] C:\WINDOWS\system32\ctfmon.exe
O4 - HKCU\..\Run: [MsnMsgr] "C:\Program Files\MSN Messenger\MsnMsgr.Exe" /background
O4 - Global Startup: Adobe Reader Speed Launch.lnk = C:\Program Files\Adobe\Acrobat 7.0\Reader\reader_sl.exe
O8 - Extra context menu item: &Search - http://edits.mywebsearch.com/toolbaredits/menusearch.jhtml?p=ZNfox000
O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\jre1.6.0_01\bin\npjpi160_01.dll
O9 - Extra 'Tools' menuitem: Sun Java Console - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\jre1.6.0_01\bin\npjpi160_01.dll
O9 - Extra button: (no name) - {e2e2dd38-d088-4134-82b7-f2ba38496583} - %windir%\Network Diagnostic\xpnetdiag.exe (file missing)
O9 - Extra 'Tools' menuitem: @xpsp3res.dll,-20001 - {e2e2dd38-d088-4134-82b7-f2ba38496583} - %windir%\Network Diagnostic\xpnetdiag.exe (file missing)
O9 - Extra button: eBay - Homepage - {EF79EAC5-3452-4E02-B8BD-BA4C89F1AC7A} - C:\Program Files\IrfanView\Ebay\Ebay.htm
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe
O11 - Options group: [INTERNATIONAL] International*
O16 - DPF: {15AD4789-CDB4-47E1-A9DA-992EE8E6BAD6} - http://public.windupdates.com/get_file.php?bt=ie&p=2b6fa6afb5217350a5f5c0f0dee57d1289ecf5d512891b49378125b637f7350748bca4a32f249a3c6abd8be38d746c36bc0d4af3eeb984e058c6b69211ca1335:5820c43fd2f9dbd8429afb63ed1a70c5
O16 - DPF: {99E79790-2B09-11D6-8C73-0800460222F0} - http://www.andlotsmore.com/plug/install.cab
O18 - Protocol: livecall - {828030A1-22C1-4009-854F-8E305202313F} - C:\PROGRA~1\MSNMES~1\MSGRAP~1.DLL
O18 - Protocol: msnim - {828030A1-22C1-4009-854F-8E305202313F} - C:\PROGRA~1\MSNMES~1\MSGRAP~1.DLL
O18 - Protocol: skype4com - {FFC8B962-9B40-4DFF-9458-1830C7DD7F5D} - C:\PROGRA~1\COMMON~1\Skype\SKYPE4~1.DLL
O20 - Winlogon Notify: WgaLogon - C:\WINDOWS\SYSTEM32\WgaLogon.dll
O23 - Service: Ati HotKey Poller - Unknown owner - C:\WINDOWS\System32\Ati2evxx.exe
O23 - Service: ATI Smart - Unknown owner - C:\WINDOWS\system32\ati2sgag.exe
O23 - Service: AVG Anti-Spyware Guard - Anti-Malware Development a.s. - C:\Program Files\Grisoft\AVG Anti-Spyware 7.5\guard.exe
O23 - Service: F-Secure Automatic Update (BackWeb Client - 7681197) - Unknown owner - C:\PROGRA~1\F-Secure\BackWeb\7681197\Program\SERVIC~1.EXE
O23 - Service: F-Secure Gatekeeper Handler Starter - F-Secure Corp. - C:\Program Files\F-Secure\Anti-Virus\fsgk32st.exe
O23 - Service: F-Secure Network Request Broker - F-Secure Corporation - C:\Program Files\F-Secure\Common\FNRB32.EXE
O23 - Service: fsbwsys - F-Secure Corp. - C:\Program Files\F-Secure\BackWeb\7681197\program\fsbwsys.exe
O23 - Service: F-Secure Anti-Virus Firewall Daemon (FSDFWD) - F-Secure Corporation - C:\Program Files\F-Secure\FWES\Program\fsdfwd.exe
O23 - Service: F-Secure Management Agent (FSMA) - F-Secure Corporation - C:\Program Files\F-Secure\Common\FSMA32.EXE
Vastaukset 20
Vanhimmat
siellä oikeassa alareunassa... nyt siinä lukee keltaisella pohjalla;
"System Alert!
System has detected a number on active spyware applications that may impact the performance on your computer. Click the icon to get rid of unwanted spyware by downloading an up-to-date antipsyware solution."
Siivottavaa jäi vielä.
Printtaa nämä ohjeet tai tallenna tekstitiedostoksi, että ovat joka vaiheessa luettavissa. Selainta et voi koko prosessin aikana pitää auki.
Mene Ohjauspaneeliin, klikkaa Lisää tai poista sovelluksia,
etsi ja poista (jos löytyy):
Video ActiveX Object
Protection Bar
Mywebsearch (tai tuohon viittaavaa)
Windows AdTools (tuskin löytyy)
Ennenkuin voidaan Hijackthisillä fixata mitään, täytyy tuo AVG:n Shield
laittaa Inactive-tilaan:
Käynnistä AVG Anti-Spyware.
# Sitten klikkaa "Shield" kuvaketta ikkunan ylälaidassa
# "Resident shield is", muuta tila active:sta inactive:ksi
Pävitä se aikaisemman ohjeen mukaan:
Klikkaa "Update" kuvaketta päävalikossa. Sen jälkeen klikkaa "Update now" painiketta.
* Sitten klikkaa "Start Update" kuvaketta jolloin päivitys alkaa.
Sulje AVG Anti-Spyware.
Käynnistä Hijackthis, klikkaa Do a system scan only, merkkaa ruksi seuraavien rivien eteen:
O2 - BHO: (no name) - {7E853D72-626A-48EC-A868-BA8D5E23E045} - (no file)
O2 - BHO: (no name) - {A6ACAE64-F798-4930-AD86-BD3FB32038DB} - C:\Program Files\Video ActiveX Object\isadd.dll (file missing)
O3 - Toolbar: Protection Bar - {84938242-5C5B-4A55-B6B9-A1507543B418} - C:\Program Files\Video ActiveX Object\iesplugin.dll (file missing)
O16 - DPF: {15AD4789-CDB4-47E1-A9DA-992EE8E6BAD6} - http://public.windupdates.com/get_file.php?bt=ie&p=2b6f a6afb5217350a5f5c0f0dee57d1289ecf5d512891b49378125b637f 7350748bca4a32f249a3c6abd8be38d746c36bc0d4af3eeb984e058 c6b69211ca1335:5820c43fd2f9dbd8429afb63ed1a70c5
O16 - DPF: {99E79790-2B09-11D6-8C73-0800460222F0} - http://www.andlotsmore.com/plug/install.cab
Kaikki muut ohjelmaikkunat suljettuina, paitsi Hijackthisin, klikkaa Fix Checked.
Vastaa varmistuskysymykseen myöntävästi, sulje HJT kun se on lopettanut.
Avaa Oma tietokone, selaa esiin nuo kansiot ja poista:
C:\Program Files\Video ActiveX Object
Tässäpä uusi HJT ja AVG:n raportti. Kehoitit avaamaan Oma tietokone osion ja poistamaan:
C:\Program Files\Video ActiveX Object Dialer.WebDialer : Cleaned with backup (quarantined).
C:\System Volume Information\_restore{3BB0369C-1629-4953-B148-A6655319A814}\RP888\A0321944.dll -> Downloader.Zlob.bov : Cleaned with backup (quarantined).
C:\System Volume Information\_restore{3BB0369C-1629-4953-B148-A6655319A814}\RP888\A0321949.exe -> Downloader.Zlob.bov : Cleaned with backup (quarantined).
C:\System Volume Information\_restore{3BB0369C-1629-4953-B148-A6655319A814}\RP888\A0321950.exe -> Downloader.Zlob.bov : Cleaned with backup (quarantined).
C:\Documents and Settings\Hermunen\Cookies\[email protected][1].txt -> TrackingCookie.Serving-sys : Cleaned.
C:\Documents and Settings\Hermunen\Cookies\hermunen@serving-sys[1].txt -> TrackingCookie.Serving-sys : Cleaned.
C:\System Volume Information\_restore{3BB0369C-1629-4953-B148-A6655319A814}\RP888\A0321940.dll -> Trojan.Dialer.qu : Cleaned with backup (quarantined).
::Report end
Teettää töitä, järjestelmänpalautuskansioissa on vähän törkyä, mutta ne eivät pitäisi aiheuttaa noita mainoksia.
AVG A-S:n löytämät kuuluvat smitfraud-infektioon, tarkistetaan löytyykö niitä vielä jostain:
Lataa SmitfraudFix (by S!Ri) työpöydällesi.
http://siri.urz.free.fr/Fix/SmitfraudFix.exe
Tuplaklikkaa tiedostoa SmitfraudFix.exe
Valitse optio #1 - Search kirjoittamalla 1 ja painamalla "Enter"; tekstitiedosto avautuu, joka listaa tarttuneet tiedostot (jos olemassa).
Postita tämän tekstitiedoston sisältö viestiketjuusi.
**Jos työkalu ei käynnisty työpöydältä niin siirrä SmitfraudFix.exe suoraan järjestelmäaseman juureen (yleensä C:). Kokeile sitten käynnistää ohjelma uudestaan sieltä.
Huomaa : process.exe filun tunnistaa jotkut Anti-virus ohjelmat (AntiVir, Dr.Web, Kaspersky) "Haittakaluna"; se ei ole virus, vaan ohjelma joka pysäyttää prosesseja. A/V ohjelmat eivät pysty tunnistamaan hyvän ja pahan käytön tälläisten ohjelmian väliltä, silloin ne saattavat varoittaa käyttäjää.
http://www.beyondlogic.org/consulting/processutil/processutil.htm
Jos tällä ei löydy mitään, kokeillaan jotain muuta...ja putsataan palautuspisteet myös.
Käynnistyi oikein kiltisti työpöydältä :)
SmitFraudFix v2.166
Scan done at 17:58:04,53, ti 10.04.2007
Run from C:\Documents and Settings\Hermunen\Ty”p”yt„\SmitfraudFix
OS: Microsoft Windows XP [versio 5.1.2600] - Windows_NT
The filesystem type is NTFS
Fix run in normal mode
»»»»»»»»»»»»»»»»»»»»»»»» Process
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\System32\Ati2evxx.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\spoolsv.exe
C:\WINDOWS\system32\Ati2evxx.exe
C:\WINDOWS\Explorer.EXE
C:\WINDOWS\SOUNDMAN.EXE
C:\Program Files\ATI Technologies\ATI Control Panel\atiptaxx.exe
C:\Program Files\F-Secure\Common\FSM32.EXE
C:\Program Files\QuickTime\qttask.exe
C:\WINDOWS\system32\LVCOMSX.EXE
C:\Program Files\Common Files\Real\Update_OB\realsched.exe
C:\Program Files\Grisoft\AVG Anti-Spyware 7.5\avgas.exe
C:\Program Files\Java\jre1.6.0_01\bin\jusched.exe
C:\WINDOWS\system32\ctfmon.exe
C:\Program Files\MSN Messenger\MsnMsgr.Exe
C:\Program Files\Grisoft\AVG Anti-Spyware 7.5\guard.exe
C:\PROGRA~1\F-Secure\BackWeb\7681197\Program\SERVIC~1.EXE
C:\Program Files\F-Secure\Anti-Virus\fsgk32st.exe
C:\Program Files\F-Secure\Anti-Virus\FSGK32.EXE
C:\Program Files\F-Secure\BackWeb\7681197\program\fsbwsys.exe
C:\Program Files\F-Secure\Common\FSMA32.EXE
C:\Program Files\F-Secure\Anti-Virus\fssm32.exe
C:\Program Files\F-Secure\Common\FSMB32.EXE
C:\WINDOWS\System32\svchost.exe
C:\Program Files\F-Secure\Common\FCH32.EXE
C:\Program Files\F-Secure\Common\FAMEH32.EXE
C:\Program Files\F-Secure\BackWeb\7681197\Program\BackWeb-7681197.exe
C:\Program Files\F-Secure\Common\FNRB32.EXE
C:\Program Files\F-Secure\Common\FIH32.EXE
C:\Program Files\F-Secure\FWES\Program\fsdfwd.exe
C:\Program Files\F-Secure\Anti-Virus\fsav32.exe
C:\Program Files\Internet Explorer\iexplore.exe
C:\WINDOWS\system32\cmd.exe
»»»»»»»»»»»»»»»»»»»»»»»» hosts
»»»»»»»»»»»»»»»»»»»»»»»» C:\
»»»»»»»»»»»»»»»»»»»»»»»» C:\WINDOWS
»»»»»»»»»»»»»»»»»»»»»»»» C:\WINDOWS\system
»»»»»»»»»»»»»»»»»»»»»»»» C:\WINDOWS\Web
»»»»»»»»»»»»»»»»»»»»»»»» C:\WINDOWS\system32
C:\WINDOWS\system32\qzviz.dll FOUND !
»»»»»»»»»»»»»»»»»»»»»»»» C:\Documents and Settings\Hermunen
»»»»»»»»»»»»»»»»»»»»»»»» C:\Documents and Settings\Hermunen\Application Data
»»»»»»»»»»»»»»»»»»»»»»»» Start Menu
C:\DOCUME~1\ALLUSE~1\KYNNIS~1\Online Security Guide.url FOUND !
C:\DOCUME~1\ALLUSE~1\KYNNIS~1\Security Troubleshooting.url FOUND !
»»»»»»»»»»»»»»»»»»»»»»»» C:\DOCUME~1\Hermunen\Suosikit
C:\DOCUME~1\Hermunen\Suosikit\Online Security Test.url FOUND !
»»»»»»»»»»»»»»»»»»»»»»»» Desktop
»»»»»»»»»»»»»»»»»»»»»»»» C:\Program Files
»»»»»»»»»»»»»»»»»»»»»»»» Corrupted keys
»»»»»»»»»»»»»»»»»»»»»»»» Desktop Components
[HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\Desktop\Components\0]
"Source"="About:Home"
"SubscribedURL"="About:Home"
"FriendlyName"="Nykyinen kotisivu"
»»»»»»»»»»»»»»»»»»»»»»»» Sharedtaskscheduler
!!!Attention, following keys are not inevitably infected!!!
SrchSTS.exe by S!Ri
Search SharedTaskScheduler's .dll
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\SharedTaskScheduler]
"{bd0fc212-0a36-4232-83cc-2063fb9282e0}"="curdler"
[HKEY_CLASSES_ROOT\CLSID\{bd0fc212-0a36-4232-83cc-2063fb9282e0}\InProcServer32]
@="C:\WINDOWS\system32\qzviz.dll"
[HKEY_LOCAL_MACHINE\Software\Classes\CLSID\{bd0fc212-0a36-4232-83cc-2063fb9282e0}\InProcServer32]
@="C:\WINDOWS\system32\qzviz.dll"
»»»»»»»»»»»»»»»»»»»»»»»» AppInit_DLLs
!!!Attention, following keys are not inevitably infected!!!
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Windows]
"AppInit_DLLs"=""
»»»»»»»»»»»»»»»»»»»»»»»» Winlogon.System
!!!Attention, following keys are not inevitably infected!!!
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon]
"System"=""
»»»»»»»»»»»»»»»»»»»»»»»» pe386-msguard-lzx32-huy32
»»»»»»»»»»»»»»»»»»»»»»»» DNS
Description: VIA Compatable Fast Ethernet Adapter - Paketinajoituksen miniportti
DNS Server Search Order: 193.210.18.18
DNS Server Search Order: 193.210.19.19
HKLM\SYSTEM\CCS\Services\Tcpip\..\{9A2F66B5-EC99-47F6-AD21-7936B67714A4}: DhcpNameServer=193.210.18.18 193.210.19.19
HKLM\SYSTEM\CS1\Services\Tcpip\..\{9A2F66B5-EC99-47F6-AD21-7936B67714A4}: DhcpNameServer=193.210.18.18 193.210.19.19
HKLM\SYSTEM\CS2\Services\Tcpip\..\{9A2F66B5-EC99-47F6-AD21-7936B67714A4}: DhcpNameServer=193.210.18.18 193.210.19.19
HKLM\SYSTEM\CCS\Services\Tcpip\Parameters: DhcpNameServer=193.210.18.18 193.210.19.19
HKLM\SYSTEM\CS1\Services\Tcpip\Parameters: DhcpNameServer=193.210.18.18 193.210.19.19
HKLM\SYSTEM\CS2\Services\Tcpip\Parameters: DhcpNameServer=193.210.18.18 193.210.19.19
»»»»»»»»»»»»»»»»»»»»»»»» Scanning wininet.dll infection
»»»»»»»»»»»»»»»»»»»»»»»» End
nyt näyttää lupaavalta.
Sitten vaihe kaksi:
Printtaa ohjeet ulos tai tallenna nämä tekstitiedostoon.
Käynnistä koneesi vikasietotilaan ja valitse tavallinen käyttäjätilisi.
Kun vikasietotilassa, tuplaklikkaa tiedostoa SmitfraudFix.exe
Valitse optio #2 - Clean kirjoittamalla 2 ja painamalla "Enter" poistaaksesi tarttuneet tiedostot.
Sinulta kysytään: "Registry cleaning - Do you want to clean the registry ?"; vastaa "Yes" kirjoittamalla Y ja paina "Enter" poistaaksesi työpöydän taustakuvan ja puhdistaaksesi tarttuneet rekisteriavaimet.
Työkalu tarkistaa jos wininet.dll on tarttunut. Sinua saatetaan pyytää korvaamaan tarttunut .dll (jos löytyy); vastaa "Yes" kirjoittamalla Y ja painamalla "Enter".
Työkalun saattaa tarvita käynnistää kone uudelleen; jos ei tee niin, käynnistä normaaliin Windowsiin.
Tekstitiedosto ilmestyy, puhdistusprosessin jäljiltä; kopioi & liitä tämän raportin tulokset vastaukseesi.
Raportti löytyy paikalliselta levyltäsi, useimmiten C:\rapport.txt.
Varoitus : Ajamalla optio 2:n EI-tarttuneessa tietokoneessa, poistaa sinun työpöytäsi taustakuvan. (ei vaaraa, örkkejä löytyi )
on sitten Smitfraudfix-ajelut tehty. Kun käynnistin koneen uudelleen, se käynnisti ohjatun uuden laitteen asennuksen (?). Pitäisikö toimia ohjeiden mukaan, vai? En ainakaan vielä päässyt selvyyteen, minkä laitteen masiina on mahtanut löytää. Täytyy ilmeisesti alkaa kysellä koneen omistajalta skannerin ja tulostimen asennuslevykkeiden sijannista, heh.
Tässä tuo Smitfraudfix -raportti...
SmitFraudFix v2.166
Scan done at 18:22:00,79, ti 10.04.2007
Run from C:\Documents and Settings\Hermunen\Ty”p”yt„\SmitfraudFix
OS: Microsoft Windows XP [versio 5.1.2600] - Windows_NT
The filesystem type is NTFS
Fix run in safe mode
»»»»»»»»»»»»»»»»»»»»»»»» SharedTaskScheduler Before SmitFraudFix
!!!Attention, following keys are not inevitably infected!!!
SrchSTS.exe by S!Ri
Search SharedTaskScheduler's .dll
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\SharedTaskScheduler]
"{bd0fc212-0a36-4232-83cc-2063fb9282e0}"="curdler"
[HKEY_CLASSES_ROOT\CLSID\{bd0fc212-0a36-4232-83cc-2063fb9282e0}\InProcServer32]
@="C:\WINDOWS\system32\qzviz.dll"
[HKEY_LOCAL_MACHINE\Software\Classes\CLSID\{bd0fc212-0a36-4232-83cc-2063fb9282e0}\InProcServer32]
@="C:\WINDOWS\system32\qzviz.dll"
»»»»»»»»»»»»»»»»»»»»»»»» Killing process
»»»»»»»»»»»»»»»»»»»»»»»» hosts
127.0.0.1 localhost
»»»»»»»»»»»»»»»»»»»»»»»» Generic Renos Fix
GenericRenosFix by S!Ri
»»»»»»»»»»»»»»»»»»»»»»»» Deleting infected files
C:\WINDOWS\system32\qzviz.dll Deleted
C:\DOCUME~1\ALLUSE~1\KYNNIS~1\Online Security Guide.url Deleted
C:\DOCUME~1\ALLUSE~1\KYNNIS~1\Security Troubleshooting.url Deleted
C:\DOCUME~1\Hermunen\Suosikit\Online Security Test.url Deleted
»»»»»»»»»»»»»»»»»»»»»»»» DNS
HKLM\SYSTEM\CCS\Services\Tcpip\..\{9A2F66B5-EC99-47F6-AD21-7936B67714A4}: DhcpNameServer=193.210.18.18 193.210.19.19
HKLM\SYSTEM\CS1\Services\Tcpip\..\{9A2F66B5-EC99-47F6-AD21-7936B67714A4}: DhcpNameServer=193.210.18.18 193.210.19.19
HKLM\SYSTEM\CS2\Services\Tcpip\..\{9A2F66B5-EC99-47F6-AD21-7936B67714A4}: DhcpNameServer=193.210.18.18 193.210.19.19
HKLM\SYSTEM\CCS\Services\Tcpip\Parameters: DhcpNameServer=193.210.18.18 193.210.19.19
HKLM\SYSTEM\CS1\Services\Tcpip\Parameters: DhcpNameServer=193.210.18.18 193.210.19.19
HKLM\SYSTEM\CS2\Services\Tcpip\Parameters: DhcpNameServer=193.210.18.18 193.210.19.19
»»»»»»»»»»»»»»»»»»»»»»»» Deleting Temp Files
»»»»»»»»»»»»»»»»»»»»»»»» Winlogon.System
!!!Attention, following keys are not inevitably infected!!!
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon]
"System"=""
»»»»»»»»»»»»»»»»»»»»»»»» Registry Cleaning
Registry Cleaning done.
»»»»»»»»»»»»»»»»»»»»»»»» SharedTaskScheduler After SmitFraudFix
!!!Attention, following keys are not inevitably infected!!!
SrchSTS.exe by S!Ri
Search SharedTaskScheduler's .dll
»»»»»»»»»»»»»»»»»»»»»»»» End
..sielläkin päässä. Mahtoikohan kaikki laitteet toimia, kun infektiot jylläsi parhaimmillaan?
Smitfraudista ainakin päästiin. Muutama örkki on piiloutuneena tai oikeammin varastoituna, AVG kyllä kertoi siivonneensa ne. Vieläkös ruutu mainostaa?
Loppusiivouksena voisit ajaa vaikka Pandan online scannin:
http://www.virustorjunta.net/hallinta/adclick.php?bannerid=18&zoneid=5&source=&dest=http://www.virustorjunta.net/modules.php?name=Web_Links&l_op=visit&lid=57
Tai valintasi mukaan eScanin:
http://koti.mbnet.fi/pattaya1/escanmwav.htm
käytä päivitykseen tuota tapa2, löytyy kun luet sivua tarpeeksi pitkälle.
Järjestelmänpalautuksen siivous tehdään näin:
http://www.virustorjunta.net/modules.php?name=FAQ&myfaq=yes&id_cat=6&categories=Yleisohjeita ongelmatilanteiden ratkaisuun#34
winkkarin ohjattu uuden laitteen asennus ei onnistunut ja laite, jota se yritti asentaa on "tuntematon". Täytyy seurailla, toimiiko lisälaitteet ja asennella sit levykkeiltä, jollei toimi :)
Taustakuva muuten katosi työpöydältä, mutta niin katosi myös ystävämme keltainen herjaruutu, heh!Niin, ja kotisivu oli muuttunut msn:ksi.
Teen nyt nuo kehoittamasi toimet, palataan vielä kuulumisiin!
tulostin ainakin näyttää toimivan ;)
Ei sen kyllä pitänyt poistua?
No, taitaa windowsitkin olla yksilöitä.
Lienee pienimpiä murheita valita sopiva uusi tai entinen takaisn - taustakuva.
Voin laittaa linkin, jossa sopiva ;)
Tulostin on usein aika tarpeellinen.
Tuo Panda tuossa parhaillaan raksuttaa, mutta sitä piti kysymäni vielä, että nyt kun olen asentanut vähän yhtä jos toista tuohon työpöydälle, niin annanko niiden jäädä siihen, siirränkö johonkin kansioon vaiko poistanko jotakin?
Tässä olis pandan raportti. Ymmärsinkö oikein, että se vaan skannaa ilmaiseksi, mutta varsinaiseen desinfektioon pitäisi ostaa versio edulliseen 12.99 dollarin hintaan :)
Onko nuo mitä se löysi niitä aiemmin tallennettuja karanteenissa olevia?
Incident Status Location
Adware:adware/wupd Not disinfected c:\windows\system32\ide21201.vxd
Adware:adware/localnrd Not disinfected c:\windows\inf\localNrd.inf
Adware:adware/gator Not disinfected c:\windows\GatorPdpLoudInstaller.log
Spyware:spyware/dluca Not disinfected Windows Registry
Potentially unwanted tool:application/mywebsearch Not disinfected hkey_classes_root\clsid\{147A976E-EEE1-4377-8EA7-4716E4CDD239}
Adware:adware/zango Not disinfected Windows Registry
Spyware:Cookie/Hbmediapro Not disinfected C:\Documents and Settings\Hermunen\Application Data\Mozilla\Firefox\Profiles\762bwjf5.Oletuskäyttäjä\cookies.txt[.adopt.hbmediapro.com/]
Potentially unwanted tool:Application/Processor Not disinfected C:\Documents and Settings\Hermunen\Työpöytä\SmitfraudFix\Process.exe
Virus:Trj/Shutdown.Z Disinfected C:\Documents and Settings\Hermunen\Työpöytä\SmitfraudFix\restart.exe
Adware:Adware/WUpd Not disinfected C:\HJT\backups\backup-20070410-154002-233.inf
Virus:Trj/Downloader.AFE Disinfected C:\HJT\backups\backup-20070410-154005-576.inf
Potentially unwanted tool:Application/MyWebSearch Not disinfected C:\Program Files\Mozilla Firefox\plugins\NPMyWebS.dll
Adware:Adware/LocalNRD Not disinfected C:\TMP\THIF7E.tmp\localNrd.inf
Adware:Adware/LocalNRD Not disinfected C:\TMP\UIU_CAB_EXTRACT\localNrd.inf
Potentially unwanted tool:Application/Processor Not disinfected C:\WINDOWS\system32\Process.exe
kun otin´sen järjestelmänpalautusruksin pois niin kone on nyt kahdesti tehnyt sen et se menee ihan tilttiin. kaikki raksutus loppuu, hiiri ei toimi ja mikään nappi ei toimi. nyt laitoin raksin takaisin... saa nähdä miten käy nyt. Äskenkin se toimi jonkin alle minuutin ja sit tilttas. voi ei...
Nyt on kulunut muutama minuutti ja ainakin vielä toistaiseksi kone toimii, iiiks!
En taida uskaltaa uudelleen koittaa siivota sitä järjestelmänpalautus-osastoa :)
Mitä olet mieltä, pitäisikö jotain vielä tehdä?
Joka tapauksessa IHAN VALTAVAN ISO KIITOS sinulle ajankäytöstäsi ja asiantuntemuksestasi!! En todellakaan olisi näitä hommia tehnyt ilman apuasi :)
Alkuperäinen ongelma, eli "ystävämme keltainen ruutu oikeassa alalaidassa" ei ole ilmaantunut takaisin. Se on hyvä, heh!
Hyvät hermot sulla, vielä kiittelet.
Panda tosiaan kertoo mitä löytyy ja ne sitten pitäis poistaa jollain muulla. On kyllä tarkka skanneri, mutta iso puute on tuo, ettei suoraan poista. Kaupallinen tuote.
Ne lataamasi ohjelmat, smitfraudfixin voit poistaa kaikkineen, koska se on päivittyvä työkalu ja ladataan aina tuoreena.
AVG:n voi jättää ja skannata halutessaan. Ilmaisena versiona 30 päivän koeajan jälkeen poistuu automaattipäivitys ja taustasuojaus (Shield).
AtfCleaner on pieni ja kätevä temppien ym. siivoukseen, mutta kannattaa jättää myös sille ohje. Vastaava olis CCleaner.
Oliskohan toi jumitus ollut peräisin F-securen jostain suojauksesta? Kerran yritettiin ihan lailliseen versioon asentaa IE7:aa ja siinä tapahtui samoin: virtanappula oli ainoa joka toimi. Parin yrityksen jälkeen jätettiin asentamatta.
Kuten oli jo juttua, siellä system restoressa ei pitäisi AVG:n raportin mukaan olla juuri mitään ja ne aktivoituu vasta, kun tekee palautuksen sattumalta epäsopivaan päivään.
Saastunut palautuspistekin on kuulemma parempi kuin ei pistettä lainkaan. Sillä pelastaa uudelleenasennukselta. Siispä olkoon toistaiseksi.
Se vaatisi ehkä F-securen suojausten poiston siksi ajaksi.
Uudelleen saastumiselta välttyy paremmin, ellei käytä IE:tä, Opera tai Firefox selaimeksi.
Haittaohjelmien asentumista estämään Spywareblaster, se tulee tunnetusti hyvin toimeen F-securenkin kanssa.
Ohjeet ja ohjelma löytyy tuolta:
http://koti.mbnet.fi/pattaya1/spywareblaster.htm
Skannaa nyt myös sillä F-securella kone läpi ja kerro löytyykö jotain. Ja testaa toimiiko sen päivitykset.
Kuten Pandan raportista voit päätellä, kone on ollut melko pahasti saastunut.
Nyt on F-Secure pyörimässä, katsotaan mitä löytyy. Kone kuitenkin toimii, ja se on hyvä :) Eikä muuten toiminut edes virtanäppäin, heh. Vanha kunnon "johto irti seinästä" -metodi sen sijaan toimii aina ;)
Järjestelmän palautuspisteiden kanssa ei liene ongelmia. Appiukko tuskin on koskaan ko. toimintoa käyttänyt eikä varmaan käytä vastaisuudessakaan :)
Jos tuolla AVG:llä skannaa, voiko huoletta poistaa samalla tavalla kuin aiemmin (quaranty)? Ja ilmeisesti ei tarvi mennä vikasietotilaan, vaan voi käyttää ihan muutenkin?
Viestitän vielä, kun tuo secure saa hommansa valmiiksi. Huomenna pitää taas lähteä kotiin, enkä ole enää tätä masiinaa korjaamassa, kun välimatkaa on sen verran paljon :)
Tätä sotkua kun olen katsellut, niin tulee mieleen, että pitäisköös siltä omaltakin koneelta ajaa taas se HJT logi :) Tosin uusi kone on kaiketi hankittava lähiaikoina. Oma kone jumittui aivan totaalisesti silloin, kun winkkarin SP2 ilmestyi ja asensin sen. Se asennus ei lopultakaan onnistunut ja lopputulos oli se, että yksi tuttu tyhjensi koko koneen ja latas windowsin uudelleen. Nyt on ollut vähän vaikeuksia, kun windows herjaa koko ajan, "että olet saattanut joutua ohjelmistoväärennöksen uhriksi" kun meidän alkuperäiseen (oikeasti aito :) ) windowsiin ei löytynyt mistään sitä avainkoodia (liekö saatukaan sitä silloin, kun kone on hankittu, kun laite on jossain nyrkkipajalla koottu...)Ja senhän sitten tietää, mihin se johti, kun windows oli saatava asennetuksi. Et silleen. Pitäis varmaan mennä takaisin kouluun opiskelemaan alaa, niin sais edes oman koneen pidettyä kuosissa, heh heh. Onneksi täältä löytyy apua :)
"Eikä muuten toiminut edes virtanäppäin, heh. "
Sitä pitää painaa yli kuusi sekuntia, sitten virtalähde katkaisee virrat...
"Jos tuolla AVG:llä skannaa, voiko huoletta poistaa samalla tavalla kuin aiemmin (quaranty)? Ja ilmeisesti ei tarvi mennä vikasietotilaan, vaan voi käyttää ihan muutenkin?
"
Joo, kun poistot on ohjattu karanteeniin, voi väärät positiiviset palauttaa. Vikasietotilassa poistot onnistuvat paremmin, windows suojaa vähälukuisemman määrän tiedostoja.
Laita piilotiedostot näkyviin:
Kansiossa ollessa, Työkalut, Kansion asetukset..,
Näytä, täppi kohtaan Näytä piilotetut tiedostot ja kansiot. Käytä,OK.
Samalla kun olet vikasietotilassa, voisit etsiä ja poistaa nämä (jos vielä löytyvät):
c:\windows\system32\ide21201.vxd
He-hee, tiesin kyllä et virtanappia pitää painaa pitkään, mut että kuusi sekuntia. No, ilmankos ei sammunut! Onneksi johdon saa irti ;)
F-Secure ei löytänyt mitään.Hyvä niin. Katson nyt vielä nuo merkitsemäsi kansiot siellä vikasietotilassa.
Tarkistusraportti
10. huhtikuuta 2007 22:50:53 - 23:37:42
Viruksia ei löytynyt
Tilastot
Tiedostoja:
* Tarkistettuja: 26794
* Tartunnan saaneita: 0
* Mahdollisesti tartunnan saaneita: 0
* Puhdistettuja: 0
* Uudelleennimettyjä: 0
* Poistettuja: 0
* Ei tarkistusta: 26
Käynnistyssektorit:
* Tarkistettuja: 1
* Tartunnan saaneita: 0
* Mahdollisesti tartunnan saaneita: 0
* Puhdistettuja: 0
Tarkistamattomat tiedostot:
* Tiedoston C:\hiberfil.sys avaaminen ei onnistu.
* Tiedoston C:\pagefile.sys avaaminen ei onnistu.
* Tiedoston C:\WINDOWS\system32\stlpmt45.dll lukeminen ei onnistu. [F-Secure Orion]
* Tiedoston C:\WINDOWS\system32\drivers\AvgAsCln.sys lukeminen ei onnistu. [F-Secure Orion]
* Tiedoston C:\WINDOWS\system32\config\default avaaminen ei onnistu.
* Tiedoston C:\WINDOWS\system32\config\systemprofile\Mallit\excel.xls lukeminen ei onnistu. [F-Secure Orion]
* Tiedoston C:\WINDOWS\system32\config\systemprofile\Mallit\winword.doc lukeminen ei onnistu. [F-Secure Orion]
* Tiedoston C:\WINDOWS\ShellNew\BINDER.OBD lukeminen ei onnistu. [F-Secure Orion]
* Tiedoston C:\TMP\utueclzi.exe lukeminen ei onnistu. [F-Secure Orion]
* Kohteen C:\Program Files\Microsoft Visual Studio\Common\IDE\IDE98\MSE\1033\HTMLREF.CHM tarkistus on keskeytetty. [F-Secure AVP]
* Tiedoston C:\Program Files\Microsoft Office\Office\Library\UPDTLINK.XLA lukeminen ei onnistu. [F-Secure Orion]
* Kohteen C:\Program Files\Microsoft Office\Office\1033\ACMAIN9.CHM tarkistus on keskeytetty. [F-Secure AVP]
* Kohteen C:\Program Files\Microsoft Office\Office\1033\VBAPPT9.CHM tarkistus on keskeytetty. [F-Secure AVP]
* Kohteen C:\Program Files\Microsoft Office\Office\1033\VBAWRD9.CHM tarkistus on keskeytetty. [F-Secure AVP]
* Kohteen C:\Program Files\Microsoft Office\Office\1033\VBAXL9.CHM tarkistus on keskeytetty. [F-Secure AVP]
* Kohteen C:\Program Files\Microsoft Office\Office\1033\WDMAIN9.CHM tarkistus on keskeytetty. [F-Secure AVP]
* Kohteen C:\Program Files\Microsoft Office\Office\1033\XLMAIN9.CHM tarkistus on keskeytetty. [F-Secure AVP]
* Tiedoston C:\Program Files\Grisoft\AVG Anti-Spyware 7.5\avgascln.sys lukeminen ei onnistu. [F-Secure Orion]
* Tiedoston C:\Program Files\Grisoft\AVG Anti-Spyware 7.5\guard.sys lukeminen ei onnistu. [F-Secure Orion]
* Kohteen C:\Program Files\Common Files\Borland Shared\Bde\bdeinst.cab\BdeInst.dll tarkistus on keskeytetty. [F-Secure AVP]
* Tiedoston C:\Documents and Settings\Hermunen\Mallit\excel.xls lukeminen ei onnistu. [F-Secure Orion]
* Tiedoston C:\Documents and Settings\Hermunen\Mallit\winword.doc lukeminen ei onnistu. [F-Secure Orion]
* Tiedoston C:\Documents and Settings\Default User\Mallit\excel.xls lukeminen ei onnistu. [F-Secure Orion]
* Tiedoston C:\Documents and Settings\Default User\Mallit\winword.doc lukeminen ei onnistu. [F-Secure Orion]
* Tiedoston D:\Jukka\Vuokrasopimus.doc lukeminen ei onnistu. [F-Secure Orion]
* Tiedoston D:\Jukka\Omat\teksttit\Jukka Hermunen Valitus.doc lukeminen ei onnistu. [F-Secure Orion]
Asetukset
Virustunnisteiden versio:
* 2007-04-10_05
Tarkistusohjelmat:
* F-Secure AVP: 4.0.164.5361, 2006-06-21
* F-Secure Libra: 2.01.09, 2007-04-09
* F-Secure Orion: 1.02.27, 2007-04-10
Tarkistusasetukset:
* Tarkistettiin tiedostot, joiden tunniste on seuraava: COM EXE SYS OV? BIN SCR DLL SHS HTM HTML HTT VBS JS INF VXD DO? XL? RTF CPL WIZ HTA PP? PWZ P?T MSO PIF . ACM ASP AX CNV CSC DRV INI MDB MPD MPP MPT OBD OBT OCX PCI TLB TSP WBK WBT WPC WSH VWP WML BOO HLP TD0 TT6 MSG ASD JSE VBE WSC CHM EML PRC SHB LNK WSF {* PDF ZL? XML AVB BAT CEO CMD LSP MAP MHT MIF POT NWS TAR TGZ ANI PHP WMF ZIP JAR ARJ LZH TAR TGZ GZ CAB RAR BZ2
* Tarkista seuraavat arkistot: käytössä
Toiminto:
* Valitse tarkistuksen jälkeen
Nyt on päivän viimeinen puhdistustoiminto pulkassa. Poistin kaikki muut paitsi tuota
c:\windows\GatorPdpLoudInstaller.log