Koneellamme on jonkun aikaa häiriköinyt näytön alareunassa vilkkuva kysymysmerkki, joka pienin välein pistää muistuksen "palveluistaan" näkyville.
Löysin näiden palstojen haulla tammikuussa tällä palstalla käydyn keskustelun ja siinä annetun Anti-verminsin poisto-ohjeen:
http://keskustelu.suomi24.fi/show.fcgi?category=108&conference=1500000000000007&posting=22000000022625352
Pistin ko. ohjeen perään tarkennuskyselyni. Osaisiko joku vastata kysymyksiini?
Löysin näiden palstojen haulla tammikuussa tällä palstalla käydyn keskustelun ja siinä annetun Anti-verminsin poisto-ohjeen:
http://keskustelu.suomi24.fi/show.fcgi?category=108&conference=1500000000000007&posting=22000000022625352
Pistin ko. ohjeen perään tarkennuskyselyni. Osaisiko joku vastata kysymyksiini?
Vastaukset 6
Vanhimmat
Ei se poista niitä prosesseja/tiedostoja jotka se siinä alussa listaa, vaan se näyttää mitä prosesseja koneella sillä hetkellä pyörii, ja alempana näkyy poistettavat jutut, eli ne joiden perässä lukee "FOUND!".
"Lähetä tämän tekstitiedoston sisältö viestiketjuusi."
Tuo ei ole mitään nörttikieltä, vaan tarkoittaa juuri sitä mitä siinä lukeekin. Eli kun ajat tuon Smitfraudfix optio 1:n, tuottaa ohjelma ruudulle muistion jossa on logi, kopioit vaan sen "kopioi ja liitä" toiminnon avulla tänne suomi24 sivustolle tähän viestiketjuun jonka olet luonut. Katellaan sitten lisää mitä tehään.
Kiitos tähän astisista ohjeista.
Nyt Smitfraudix ajettu sain tällaisen login:
"SmitFraudFix v2.168
Scan done at 18:53:56,98, su 15.04.2007
Run from C:\Program Files\Mozilla Firefox\SmitfraudFix
OS: Microsoft Windows XP [versio 5.1.2600] - Windows_NT
The filesystem type is NTFS
Fix run in normal mode
»»»»»»»»»»»»»»»»»»»»»»»» Process
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\Ati2evxx.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\Program Files\Ahead\InCD\InCDsrv.exe
C:\WINDOWS\system32\Ati2evxx.exe
C:\WINDOWS\Explorer.EXE
C:\WINDOWS\system32\spoolsv.exe
c:\program files\common files\logitech\lvmvfm\LVPrcSrv.exe
C:\WINDOWS\system32\RunDll32.exe
C:\Program Files\CyberLink DVD Solution\PowerDVD\PDVDServ.exe
C:\Program Files\Ahead\InCD\InCD.exe
C:\PROGRA~1\F-SECU~1\backweb\4476822\Program\SERVIC~1.EXE
C:\Program Files\Java\jre1.5.0_06\bin\jusched.exe
C:\Program Files\Common Files\Real\Update_OB\realsched.exe
C:\PROGRA~1\MYWEBS~1\bar\1.bin\mwsoemon.exe
C:\Program Files\HP\hpcoretech\hpcmpmgr.exe
C:\Program Files\HP\HP Software Update\HPWuSchd2.exe
C:\Program Files\F-Secure Internet Security\Anti-Virus\fsgk32st.exe
C:\Program Files\ATI Technologies\ATI.ACE\cli.exe
C:\Games\ohjelmat\QuickTime\iTunesHelper.exe
C:\Program Files\F-Secure Internet Security\Anti-Virus\FSGK32.EXE
C:\Program Files\F-Secure Internet Security\backweb\4476822\program\fsbwsys.exe
C:\Program Files\Common Files\Logitech\LComMgr\Communications_Helper.exe
C:\Program Files\Logitech\QuickCam10\QuickCam10.exe
C:\Program Files\Common Files\Logitech\LComMgr\LVComSX.exe
C:\Program Files\F-Secure Internet Security\Common\FSM32.EXE
C:\Program Files\F-Secure Internet Security\Common\FSMA32.EXE
C:\Program Files\F-Secure Internet Security\FSGUI\ispnews.exe
C:\Program Files\QuickTime\qttask.exe
C:\Program Files\F-Secure Internet Security\Anti-Virus\fssm32.exe
C:\WINDOWS\system32\ctfmon.exe
C:\Program Files\F-Secure Internet Security\Common\FSMB32.EXE
C:\Program Files\F-Secure Internet Security\backweb\4476822\Program\fspex.exe
C:\Program Files\HP\Digital Imaging\bin\hpqtra08.exe
C:\Program Files\Common Files\Microsoft Shared\VS7DEBUG\MDM.EXE
C:\Program Files\Logitech\Desktop Messenger\8876480\Program\LogitechDesktopMessenger.exe
C:\Program Files\F-Secure Internet Security\Common\FCH32.EXE
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\system32\MsPMSPSv.exe
C:\Program Files\F-Secure Internet Security\Common\FAMEH32.EXE
C:\Program Files\F-Secure Internet Security\Anti-Virus\fsqh.exe
C:\Program Files\F-Secure Internet Security\FSPC\fspc.exe
C:\Program Files\F-Secure Internet Security\Anti-Virus\fsrw.exe
C:\Program Files\F-Secure Internet Security\Anti-Virus\fsav32.exe
C:\Program Files\HP\Digital Imaging\bin\hpqgalry.exe
C:\Program Files\iPod\bin\iPodService.exe
C:\Program Files\F-Secure Internet Security\FWES\Program\fsdfwd.exe
C:\PROGRA~1\F-SECU~1\ANTI-S~1\fsaw.exe
C:\Program Files\BOINC\boinc.exe
C:\Program Files\Logitech\QuickCam10\COCIManager.exe
C:\Program Files\F-Secure Internet Security\FSGUI\fsguidll.exe
C:\Program Files\MSN Messenger\msnmsgr.exe
C:\WINDOWS\system32\wuauclt.exe
C:\Program Files\ATI Technologies\ATI.ACE\cli.exe
C:\Program Files\ATI Technologies\ATI.ACE\cli.exe
C:\Program Files\MSN Messenger\usnsvc.exe
C:\WINDOWS\system32\HPZipm12.exe
C:\Program Files\Mozilla Firefox\firefox.exe
C:\Games\ohjelmat\winace\WinAce.exe
C:\WINDOWS\system32\cmd.exe
»»»»»»»»»»»»»»»»»»»»»»»» hosts
»»»»»»»»»»»»»»»»»»»»»»»» C:\
»»»»»»»»»»»»»»»»»»»»»»»» C:\WINDOWS
»»»»»»»»»»»»»»»»»»»»»»»» C:\WINDOWS\system
»»»»»»»»»»»»»»»»»»»»»»»» C:\WINDOWS\Web
»»»»»»»»»»»»»»»»»»»»»»»» C:\WINDOWS\system32
C:\WINDOWS\system32\vwfps.dll FOUND !
»»»»»»»»»»»»»»»»»»»»»»»» C:\Documents and Settings\Omistaja
»»»»»»»»»»»»»»»»»»»»»»»» C:\Documents and Settings\Omistaja\Application Data
»»»»»»»»»»»»»»»»»»»»»»»» Start Menu
C:\DOCUME~1\Omistaja\KYNNIS~1\Ohjelmat\DirectVideo FOUND !
»»»»»»»»»»»»»»»»»»»»»»»» C:\DOCUME~1\Omistaja\Suosikit
C:\DOCUME~1\Omistaja\Suosikit\Online Security Test.url FOUND !
»»»»»»»»»»»»»»»»»»»»»»»» Desktop
»»»»»»»»»»»»»»»»»»»»»»»» C:\Program Files
C:\Program Files\DirectVideo\ FOUND !
C:\Program Files\Video ActiveX Object\ FOUND !
»»»»»»»»»»»»»»»»»»»»»»»» Corrupted keys
»»»»»»»»»»»»»»»»»»»»»»»» Desktop Components
[HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\Desktop\Components\0]
"Source"="http://www.ghostrecon.com/uk/ghostrecon3/images/sign02.gif"
"SubscribedURL"="http://www.ghostrecon.com/uk/ghostrecon3/images/sign02.gif"
"FriendlyName"=""
[HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\Desktop\Components\1]
"Source"="About:Home"
"SubscribedURL"="About:Home"
"FriendlyName"="Nykyinen kotisivu"
»»»»»»»»»»»»»»»»»»»»»»»» Sharedtaskscheduler
!!!Attention, following keys are not inevitably infected!!!
SrchSTS.exe by S!Ri
Search SharedTaskScheduler's .dll
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\SharedTaskScheduler]
"{951a98d0-dad6-4a77-8280-a494279a884b}"="beeper"
[HKEY_CLASSES_ROOT\CLSID\{951a98d0-dad6-4a77-8280-a494279a884b}\InProcServer32]
@="C:\WINDOWS\system32\vwfps.dll"
[HKEY_LOCAL_MACHINE\Software\Classes\CLSID\{951a98d0-dad6-4a77-8280-a494279a884b}\InProcServer32]
@="C:\WINDOWS\system32\vwfps.dll"
»»»»»»»»»»»»»»»»»»»»»»»» AppInit_DLLs
!!!Attention, following keys are not inevitably infected!!!
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Windows]
"AppInit_DLLs"=""
»»»»»»»»»»»»»»»»»»»»»»»» Winlogon.System
!!!Attention, following keys are not inevitably infected!!!
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon]
»»»»»»»»»»»»»»»»»»»»»»»» pe386-msguard-lzx32-huy32
»»»»»»»»»»»»»»»»»»»»»»»» DNS
Description: VIA Compatable Fast Ethernet Adapter - Paketinajoituksen miniportti
DNS Server Search Order: 193.210.18.18
DNS Server Search Order: 193.210.19.19
HKLM\SYSTEM\CCS\Services\Tcpip\..\{6C0D7AA2-D363-439F-8E13-428B8CC642B4}: DhcpNameServer=193.210.18.18 193.210.19.19
HKLM\SYSTEM\CS1\Services\Tcpip\..\{6C0D7AA2-D363-439F-8E13-428B8CC642B4}: DhcpNameServer=193.210.18.18 193.210.19.19
HKLM\SYSTEM\CS2\Services\Tcpip\..\{6C0D7AA2-D363-439F-8E13-428B8CC642B4}: DhcpNameServer=193.210.18.18 193.210.19.19
HKLM\SYSTEM\CCS\Services\Tcpip\Parameters: DhcpNameServer=193.210.18.18 193.210.19.19
HKLM\SYSTEM\CCS\Services\Tcpip\Parameters: NameServer=85.255.115.46 85.255.112.154
HKLM\SYSTEM\CS1\Services\Tcpip\Parameters: DhcpNameServer=193.210.18.18 193.210.19.19
HKLM\SYSTEM\CS1\Services\Tcpip\Parameters: NameServer=85.255.115.46 85.255.112.154
HKLM\SYSTEM\CS2\Services\Tcpip\Parameters: DhcpNameServer=193.210.18.18 193.210.19.19
HKLM\SYSTEM\CS2\Services\Tcpip\Parameters: NameServer=85.255.115.46 85.255.112.154
»»»»»»»»»»»»»»»»»»»»»»»» Scanning for wininet.dll infection
»»»»»»»»»»»»»»»»»»»»»»»» End"
Mitähän pitäisi tehdä saadakseni sen Anti-Verminsin pois häiriköimästä?
Sitten tuosta lisää.
Printtaa ohjeet ulos.
Käynnistä koneesi vikasietotilaan.
Kun vikasietotilassa, avaa SmitfraudFix kansio ja tupla-klikkaa smitfraudfix.cmd
Valitse optio 2 - Clean kirjoittamalla 2 ja painamalla "Enter" poistaaksesi tarttuneet tiedostot.
Sinulta kysytään: "Registry cleaning - Do you want to clean the registry ?"; vastaa "Yes" kirjoittamalla Y ja paina "Enter" poistaaksesi työpöydän taustakuvan ja puhdistaaksesi tarttuneet rekisteriavaimet.
Työkalu tarkistaa jos wininet.dll on tarttunut. Sinua saatetaan pyytää korvaamaan tarttunut .dll (jos löytyy); vastaa "Yes" kirjoittamalla Y ja painamalla "Enter".
Työkalun saattaa tarvita käynnistää kone uudelleen; jos ei tee niin, käynnistä normaaliin Windowsiin.
Tekstitiedosto ilmestyy, puhdistusprosessin jäljiltä; kopioi ja liitä tämän raportin tulokset vastaukseesi.
Raportti löytyy paikalliselta levyltäsi, useimmiten C:\rapport.txt.
"Käynnistä koneesi vikasietotilaan."
Jaha - kuinkas tuo tapahtuukaan? Enpä ole sellaista temppua aikaisemmin tehnyt. Koneessa on XP (pari vuotta vanha kone).
"Kun vikasietotilassa, avaa SmitfraudFix kansio ja tupla-klikkaa smitfraudfix.cmd
Valitse optio 2 - Clean kirjoittamalla 2 ja painamalla "Enter" poistaaksesi tarttuneet tiedostot.
Sinulta kysytään: "Registry cleaning - Do you want to clean the registry ?"; vastaa "Yes" kirjoittamalla Y ja paina "Enter" poistaaksesi työpöydän taustakuvan ja puhdistaaksesi tarttuneet rekisteriavaimet."
Mitä kaikkea se saattaa poistaa taustakuvan lisäksi? Taustakuvan saa helposti uuden, mutta meneekö myös jotain vaikeammin takaisin saatavaa ja tarpeellista? Mielellään varmistaisi, ettei Anti-Verminsin ohella mene muuta.
"Työkalu tarkistaa jos wininet.dll on tarttunut. Sinua saatetaan pyytää korvaamaan tarttunut .dll (jos löytyy); vastaa "Yes" kirjoittamalla Y ja painamalla "Enter".
Työkalun saattaa tarvita käynnistää kone uudelleen; jos ei tee niin, käynnistä normaaliin Windowsiin.
Tekstitiedosto ilmestyy, puhdistusprosessin jäljiltä; kopioi ja liitä tämän raportin tulokset vastaukseesi.
Raportti löytyy paikalliselta levyltäsi, useimmiten C:\rapport.txt."
Entä jos se ei löydä .dll:ää?
KÄYNNISTYS VIKASIETOTILAAN.
-Käynnistä tietokone uudelleen
-Näppäile käynnistyksen alkutekstien aikana F8 näppäintä.
-Valitse esiintulevasta valikosta ylin vaihtoehto "Vikasietotila" ja paina enter.
Tuo taustakuva tässä tapauksessa ei pitäis hävitä, vaan ainoastaan siinä tapauksessa jos koneella on desktop.html niminen tiedosto, eli spywaren aiheuttama "mainos" jota ei saa pois ilman Smitfraudfixiä.
Tuo fixi poistaa vain tuohon infektioon liittyvät tiedostot ja rekisterimerkinnät, ei mitään koneen tärkeitä tiedostoja.
Ei aivan onnistunut Anti-Verminsin poisto Smitfraudixilla. Kone jämähti juntturaan eikä käynnistäminen sen jälkeen onnistunut ilman ammattilaisten huoltotoimenpiteitä.
Kiitos kaikesta huolimatta ohjeista! Vika ei ollut ohjeiden antajan, vaan luultavasti jokin koneessani ei sopinut tuon Smitin kanssa yhteen (tai S. koneeni kanssa).
No, samantien asennutin lisälevyaseman ja nyt ainakin tilaa riittää.