allekirjoittanutkin sai pöpön, ja on ehtinyt sen verran selvitellä että on harvinaisen sitkeä tapaus tai kerää koneelle läjän ongelmia. Tämä suomalaisversio sdbot.epb:stä asentaa ns. rootkitin koneelle joka estää konetta näkemästä tiettyjä tiedostoja, sysinternalsin process explorerilla nämä kuitenkin näkyvät muistissa.
Tuo rootkit toiminnallisuus ladataan windowsiin ajurina. Sen lisäksi käynnistyminen varmistetaan lisäämällä pöpö kirjastotiedoston winlogon prosessin alle, jolloin prosessin tappaminen kaataa windowsin välittömästi.
Teen ohjetta ja ratkaisua parasta aikaa, joten asiansa osaavat voinevat saada koneen kuntoon jo tänään ;)
Odotelkaa lisäinfoa, laitan tänne.
Tuo rootkit toiminnallisuus ladataan windowsiin ajurina. Sen lisäksi käynnistyminen varmistetaan lisäämällä pöpö kirjastotiedoston winlogon prosessin alle, jolloin prosessin tappaminen kaataa windowsin välittömästi.
Teen ohjetta ja ratkaisua parasta aikaa, joten asiansa osaavat voinevat saada koneen kuntoon jo tänään ;)
Odotelkaa lisäinfoa, laitan tänne.
Vastaukset 30
Vanhimmat
hyvä jos ohjeita on tulossa! olisi hyvä jos voisit tehdä ohjeet ihan selkokielellä tällaisille vähemmän tietokonetta käyttäneille ihmisille. :D itse olen kyllä atk-ajokortin suorittanut, mutta ei silti hirveän hyvin ole päässä tuo atk-sanasto.
kiitoksia etukäteen!
Voin sen verran tässä vaiheessa kertoa, että normaalisti itseltäni vie n. 10-30min aikaa poistaa tavalliset virukset käsipelillä ja/tai valmiilla ohjelmilla.
Tämän kanssa olen paininut nyt 10h ja luulen päässeeni jyvälle sen toiminnasta, mutta ratkaisu pitää vielä testata ja toivoa että windows toimii sen jälkeen myös. Kun saan nuo kaikki pöpön koukerot ja viritykset selville, koitan tehdä ohjeen jonka avulla sen saa pois. Toinen vaihtoehto on odottaa f-securelta tms. poisto-ohjelmaa joka osaa tehdä nämä 'manuaaliset' toimenpiteet automaattisesti.
"Tämän kanssa olen paininut nyt 10h ja luulen päässeeni jyvälle sen toiminnasta, mutta ratkaisu pitää vielä testata ja toivoa että windows toimii sen jälkeen myös."
Jep. Ja sitten ihmetellään miksi helposti valitsen uudelleen asennuksen.. Jos siivoamiseen menevä aika näyttää epävarmalta niin uudelleen asennus on nopeampi ratkaisu.
Jos haittaohjelma pääsee pääkäyttäjän oikeuksilla koneeseen niin siitä on sitten periaatteessa mahdollista tehdä sellainen, että on mahdotonta poistaa koneelta..
Tai siis, ellei pääse boottaamaan puhtaalta medialta, mihin kaikilla ei ole mahdollisuutta.
Tod uskottava "atk-guru" jos viruksia on ollut enemmänkin...
Afterdawnissa oli ohjeet joilla oma pöpöni poistui.
Tuli siitä viruksesta pikakuvake työpöydälle, mitä en saanut pois. Suljin mesen ja laitoin Nortonin tarkistukseen. Se ilmoitti heti löytäneensä tämän viruksen ja poistaneensa sen. Ja niin se olikin hävinnyt työpöydältä. Kone pelannut täysin normaalisti. Kaverilla sen sijaan koko kone kaatui tästä. Mistähän ero johtuu? Minä tein ennen viruksen poistoa sen, että nimesin pikakuvakkeen uudelleen.
itselläni ei kuvakkeita työpöydälle pöpöstä syntynyt. Ja tuon windows hakemistoon tulleen winudspm.exe:nkin sain pois, mutta drivers ja system32 kansioissa on vielä tavaraa. Process explorerilla löysin sellaisia ajureita joita ei ole microsoft tai kukaan muu allekirjoittanut, joten niitä on tarkoitus seuraavaksi poistella josko saisi tuon pöpön talttumaan. Itse 'pääohjelma' kirjaston (dll tiedosto) sain poistettua mutta nuo ajurit koittavat laittaa sen jatkuvasti takaisin rekisteriin, spybot SD tosin estää sen mutta siitä tiedän että kone ei ole vielä täysin puhdas.
Uskaltaako nettipankkia käyttää kun tämä virus on koneella? Itselläni kone toimi hyvin kunnes yritin hieman hakuammunnalla ja puutteellisilla ohjeilla saada tuota pois SDfixi:llä.. kaksi troijalaista lähti ja mese toimi jonkun aikaa mallikkaasti. Java alkoi vain tökkimään tuon jälkeen ja koko kone hidastui hieman muutenkin.
Nettiselain lakkasi toimimasta ja epäilin että olin tohinassa estänyt jotain sen osasia kun palomuuri kyseli poikkeuksellisen usein, että hyväksytäänkö vai hylätäänkö prosesseja joista minulla ei ollut mitään hajua. Joten hyväksyin sitten noita prosesseja ja nyt mese paukahti jälleen.
Itse olen aika huolettomasti kaikkea yritellyt kun koneeni on muutenkin kypsä formatointiin, mutta nyt siskonikin sai viruksen, vaikka häntä siitä varoitin. Eipä tainut taaskaan kuunnella. Hänen konettaan ei mieluusti formatoisi kun uudelleenasennuslevyjen toiminnasta ei voi olla kovinkaan varma.
Viruksen vaikutukset ovat kuitenkin minulla loppujen lopuksi aika mietoja ja näiden kanssa kyllä tulee jonkunaikaa toimeen, mutta tuli mieleen että kun tämä pöpö on todellakin poikkeuksellisen sitkeä, niin onko nettipankin käyttö turvallista? Itse ajattelin varmuuden vuoksi todellakin koneen tyhjentää huomenna, mutta siskon koneella tuo ongelma onkin mutkikkaampi.
en taida kyl uskaltaa käyttää....
Nyt sain (luultavasti) pöpön pois omalta koneeltani, joten voin antaa joitain vinkkejä, mikä tuohon auttaa.
Eli itse yritin myös tuota combofixiä sekä sdfixiä ja silti rekisteriin jäi jotain töhkää.
Yksi iso työkalu tämän pöpön hävittämiseksi oli Spybot search&destroy, siinä järjestelmän suojaus niin että se kysyy aina jos rekisteristä poistetaan jotain tai sinne lisätään. Tällä estin ettei pöpö palauttanut itseään takaisin.
Skannasin koneen f-securen blacklight:lla (ilmanen f-securen sivuilta ladattavissa) sekä microsoftin rootkitrevealerilla.
Tuo f-securen mustavalo ei löytänyt mitään, mutta microsoftin rootkitrevealeria käyttäessä f-secure löysi nuo .com ja .exe tiedostot jotka olivat piilossa järjestelmän palautuspisteen hakemistorakenteissa (system restore point).
Poistin ne pöpöt sillä.
Lisäksi tulee poistaa windows hakemistossa oleva winudspm.exe tiedosto, sekä etsiä viittaukset rekisterissä siihen ja poistaa ne myös (hklm-software-microsoft-windows-current version-run osiossa).
ongelmallisin oli tuo kirjasto joka nimetään joka koneella arpomalla se nimi, komentokehotteessa kun sitä etsii niin sen löytää helpoiten dir /o-d /p valitsimilla, ensimmäisellä sivulla näkyy viimeimmäksi hakemistoon lisätyt tiedostot ja tuo on ilmaantunut vain hetki koneen saastumisen jälkeen, eli päivämäärän ja kellonajan perusteella löytyy sen nimi. Se on merkinnyt itsensä rekisteriin hklm-software-microsoft-windows nt-current version-winlogon-notify ja tekemällä sinne oman 'kansion' pöpö.dll:n nimellä. Myös parista muusta paikasta löytyy pöpö.dll:n niminen viittaus (inproc32 ohjelmistomääritteistä), tämän poista rekisteristä ei tepsi sillä kun kirjasto on käytössä, se palauttaa itsensä välittömästi takaisin rekisteriin, ja toisaalta itse kirjastotiedostoa (se arvottupöpönnimi.dll) ei voi poistaa koska se on käytössä. Tämä on ongelmallinen kohta, sillä joko kiintolevy täytyy irroittaa ja kytkeä toisen koneen toissijaiseksi levyksi tai käyttää esim. barts pe -käynnistyslevyä jolla päästään windows hakemistoon käsiksi niin ettei virus ole käynnistyneenä. Tällöin tulee poistaa ko. pöponnimi.dll system32 hakemistosta (tai nimetä se uudelleen esim. pöpönnimi.---).
Tämän jälkeen windows normaalisti käyntiin ja rekisteristä siivoamaan nuo merkinnät. spybot SD kannattaa olla käytössä, ja kun poistat rekisterimerkintöjä niin teatimer kysyy siihen luvan, anna poistoon lupa joka kerta erikseen. jos tulee ilmoituksia että jokin yrittää kirjoittaa tuonne notify haaraan sitä pöpönnimi.dll:ää niin tiedät ettei kone ole vielä täysin puhdas. Usein käynnistymisen jälkeen kone voi hetken aikaa vaikuttaa ok:lta mutta pöpössä lienee jonkinlainen 'aktivoitumisaika' jonka jälkeen taas yrittää konetta valloittaa.
Osa virustorjunnoista osaa poistaa tämän haittaohjelman ainakin osittain.
...tuolta jo jonkin aikaa sitten, ja olit sen sulavasti kopioinutkin.
http://keskustelu.afterdawn.com/thread_view.cfm/667951#4064950
Tuo afterdawn:lla oleva ohje on puutteellinen, nuo combofixit ja sdfix:it eivät tätä pöpöä osanneet kokonaan poistaa, myöskään f-secure ei tunnistanut tuota kirjastotiedostoa jonka virus koneelle lisäsi (ja joka pitää huolen siitä että se virus palaa aina takaisin jossei ko. kirjastoa saada siivottua myös pois).
Yksi hyvä työkalu on autoruns (http://technet.microsoft.com/en-us/sysinternals/bb963902.aspx) jolla löytää kaikki koneella automaattisesti käynnistyvät exet ja kirjastot. Käyttö vaatii asiantuntemusta, mutta peruslähtökohta on se että kirjastot/ohjelmat joilla ei ole julkaisijaa ovat todennäköisesti haittaohjelmia.
kyllä hyvin toimi nuo afterdawnin neuvot, jos ne vaan oikeasti lukee kunnolla. ei se sdfix kaikkea roskaa poistanutkaan, mutta poistaa kyllä sen aiheuttajan joka sitä roskaa syynää. pari juttua sitten käsin vaan buis ja hyvin toimii.
Siis winudspm.exe on vain yksi osa virusta. Sen lisäksi löytyy 4 kirjastotiedostoa (mm. IE laajennus joka lataa lisää roskaa), sekä sexy.com:ia ja hakemistollinen roskaa jotka pitää poistaa. Nuo exet ja commit kyllä hoituu yleensä ok, mutta kirjastojen poisto vaatii ns. käsityötä. Ja sinänsä nuo afterdawnin ohjeet ei kaikilta osin sovellu muille käyttäjille, koska siinä edellytetään tietyn virustorjuntaohjelman käyttöä, ja useat virustorjuntasoftat samassa koneessa aiheuttaa ongelmia (eli ne toiset virustorjunnat pitäisi poistaa).
Kirjastojen poistoon tehoaa parhaiten Win PE tai Barts PE tyyppinen PE levy jolla saadaan puhdas käynnistys koneessa tehtyä.
...olla jonkinasteinen pätemisen tarve. luitko ne oikeasti vai katsoitko vain tuon yhden postin? afterdawnin ohjeet toimivat varsin hyvin.
Tuo Afterdawniin lähetetty ohjeistus toimii varsin hyvin. Eikä vaadi mitään tiettyä virusturvaa- tai ohjelmaa, SDfixiä lukuunottamatta. Myös veljeni sai samoilla ohjeilla viruksen pois. Lukekaa vaan huolella nuo ohjeet - siellä on myös muutama eri versio, kokeilkaa niitä.
SDfix ja Combofix EI poista tuota!!! SDfix poistaa vain yhden tiedoston mikä on aina roskiksessa, combo ei myöskään poista winudspm.exe tiedostoa! Piste.
Opetelkaa lukemaan noita lokeja!
...niin ehkä huomaat että siellä on ei missään vaiheessa väitetä että tuo SDfix pelkästään ratkaisisi asian. on se kumma ettei jotkut ymmärrä :D tänä aamuna poistin pöpön noilla ohjeilla. totta on että sdfix yksin ei ongelmaa poista, mutta tekee osuutensa prosessissa.
Seuraavalla afterdawnista seuratulla ohjeella pöpö lähti omalta koneeltani:
"lataa SDfix.zip
1) lataa ja pura paketti kovalevyllesi
2) käynnistä kone vikasietotilassa
3) aja ohjelma (itselläni kesti n. 30min)
4) ohjelma käynnistää koneen uudelleen normaalisti
5) uudelleenkäynnistyksen jälkeen ohjelma ruksuttaa vielä hetken (minun tapauksessani n. 15min)
6) poista tiedosto c:\sexy.com (ja mahdolliset pöpön luomat kansiot) ja rekisteristä HKLM\Software\Microsoft\Windows\CurrentVersion\Run\\Windows UDP Control mikäli nämä jämät ovat jäljellä.
7) käynnistä kone uudelleen"
Joitain viruksen luomia kansioita poistin vielä lopuksi käsipelillä, mutta kaikki muut virheet katosivat. Vaikuttaa tosiaan siltä että tämä toimii vain niillä keiden konetta virus ei ole ehtinyt kauaa saastutella tms.
Onhan se kiva, jos uskoo ja luottaa siihen että tämä yksi ohjelma pöpön poistaa. Itse vaan en luota siihen että luen "hyvin toimii" viestejä keskustelupalstoilta, vaan totesin asian itse ettei se poista niitä kaikkia haitakkeita joita tuo pöpö ehti koneeseen raahata hetki sen jälkeen kun oli aktivoitunut.
Suosittelen näitä SDFixin käyttäjiä tarkistamaan rekisterieditorilla HKLM-software-microsoft-windows nt-currentversion-winlogon-notify osion että onko siellä kaikki kunnossa. Voi verrata vaikka jonkin puhtaan koneen vastaavaan osioon.
Voittehan mennä katsomaan loki palstoille ja katsoa mitä SDfix poistaa! Se ei ainakaan tällä hetkellä poista winudspm.exe tiedostoa poistaa vain ise32.exe:n eikä myöskään combo poista suoraan!
Monessa käyttiksessä on tullut muutakin roinaa koneelle ja siihen auttaa että osaa katsoa lokeja ja tietää mitä manuaalisesti ja scriptillä poistaa. Monella näyttää olevan vundoa koneella, mitäs siihen??? Niin moni saastunut on hemmetin yksilöllinen ja tuohon ei löydy suoraa ja yhtä oikeaa neuvoa, se tuosta tekeekin paskamaisen.
Melkein tohon on PAKKO ajaa joku mikä näyttää mitä tiedostoja on tullut lähiaikoina koneelle.
Lienee tästä asiasta turha tässä palstalla jankata kun on näitä besserwissereitä jotka tietää että se sdfix poistaa kaiken kun eivät osaa koneelta käsin mitään etsiä.
itselläni nuo pari kirjastoa mitä tuo pöpö toi tullessaan oli ongelmallisimmat, ja niihin ei tepsi sen paremmin sdfix, combofix kuin f-securekaan. käsin piti korjata.
Vähän tuntuu turhalta jankata joo :(
Manuaaliset korjaukset on tällä hetkellä paras tapa...
Tää keskustelu aiheuttaa kauheita epäluuloja. Juuri kun luulin päässeeni eroon siitä meseviruksesta, niin sitten joku keksiikin, että se jättää jälkeensä hirveän vaikeasti poistettavissa olevia vaikeasti löydettäviä tiedostoja. Olen itse tehnyt kaiken, mitä osaan ja tietääkseni koko virusta ei enää ole. F-Secure on ollut apuna ja Anti-malware ja ComboFix ja SDFix ja Unlocker ja mitähän vielä. Että eikös se nyt vaan voi olla poissa, kun ei koko winudspm-prosessistakaan ole mitään jälkiä, eikä sen mukana tulleista tiedostoista. Rekisteristäkin poistin sen merkinnät. Tuskin sitä virusta nyt enää on tai ainakaan se ei voi enää toimia!
Nyt olisi ongelmana enää saada nuo loputkin meseviruksen takia koneeseen päässeet virukset, yms. Se ei vaan ole helppoa, kun niitä tuntuu löytyvän jatkuvasti. Tietokone.fi.n uutisessa luki, että mesevirus avaa jonkun 80 tai 81 portin jollekin tietylle osoitteelle. Miten sen voi estää? Miten viruksien pääsyn koneelle voi estää? Onhan minulla sentään F-Securekin käytössä, että mistä niitä sitten tulee? Mitä sovelluksia kannattaa estää F-Securen palomuurista?
Portti 80 on http.. Että sen kautta menee aika paljonkin tavaraa.. Ja jos sinne koneelle on päässyt virus pääkäyttäjän oikeuksilla niin ei siihen virustorjuntaohjelmaan tietenkään ole välttämättä luottamista enää. Tietysti se virus on voinut disabloida tämän. Sen lisäksi, että eihän se muutenkaan tajua kuin max. 80% viruksista.
Itse en tuon viruksen toimintaa tiedä, että ei oikein pysty tuota neuvomaan.
no neuvon tässä miten noiden sdfixin ja combofixin jälkeen voi konetta tarkistaa/siivota jos haluaa viruksettomuudesta varmistua.
Olen nyt 2 konetta siivonnut ja keskustellut yhden siivoamisesta toisen atk-asiantuntijan kanssa, ja huomannut että joka koneelta löytyy eri määrä kirjastotiedostoja jotka sinne on lataantunut.
Itse winudspm.exe on ongelma helpoimmasta päästä.
Vaikeimmat ovat ne jotka on satunnaisesti nimettyjä .dll päätteisiä tiedostoja c:\windows\system32 hakemistossa.
niiden perään pääsee seuraavasti:
suorita komentokehto (cmd.exe)
mene hakemistoon c:\windows\system32
kirjoita: dir /o-d /p *.dll
tuo listaa kaikki kirjastotiedostot aikajärjestyksessä viimeimmäksi lisätystä vanhimpaan, ja näyttää ne sivu kerrallaan.
Kirjastotiedostoja tulee system32 hakemistoon windowsin asennuksessa sekä ohjelmien asennuksessa. Katso kaikki tiedostot jotka ovat ilmestyneet saastumisajankohdan (ensimmäiset saastumiset tapahtui 27.5.2008 tämän pöpön osalta) jälkeen, eli parin viime päivän aikana ilmaantuneita tiedostoja. Siinä näkyy päivä, kellonaika, koko ja tiedostonimi.
Merkkaa tiedostonimet huolellisesti ylös.
Näitä ei pysty poistamaan, joten pitäisi kone saada ns. puhtaasti käynnistettyä, eli käynnistys cd:llä, jonka avulla voi nuo kirjastot uudelleennimetä (dll -> dxx), uudelleennimeäminen on turvallisempaa sillä jos nimeät jonkun oikean windowsin kirjaston, voi sen vielä palauttaa (jos tuhoat, palauttaminen hankalampaa). Uudelleennimetyt pöpöt ei voi käynnistyä, kun eivät ole .dll päätteisiä.
Kertokaa tuloksista miten kävi, löytyikö sieltä lisähaitakkeita vai ei.
Ainiin, edellisestä viestistä unohtui niksi siihen millä saadaan lisäpöpöjen hilaus koneella.
Eli tämä virus käyttää internet exploreria hyväkseen kaiken muun roskan lataamiseksi koneelle. Jos/kun käytät tätä selainta, olet sen sallinut myös palomuurista.
Nyt olisi hyvä hetki ladata firefox tai opera (www.mozilla.org tai www.opera.com), asentaa se, ja tämän jälkeen palomuurista kieltää liikenne internetexplorerilla mihinkään.
Tällöin tämä ie:n lisäosa jonka virus asensi lisävirusten lataamiseksi ei pääse toimimaan ja koneelle ei tule niin paljon lisää ongelmia.
Vinkiksi vielä sekin, että kun kone on sammuksissa, sinne ei pääse tulemaan lisää pöpöjä. Toinen niksi on irroittaa verkkopiuha koneesta jos esim. työskentelee wordillä tai tekee muuten varmuuskopioita, näin ei turhaan 'taustalla' lataudu lisäongelmia jos tiedät koneesi olevan saastunut.
-toisen atk-asiantuntijan kanssa, ja huomannut että joka koneelta löytyy eri määrä kirjastotiedostoja -
:DD
Ihan vaa vundoa mikä näkyy combolla, ainoa huono et parissa lokissa on nyt muutakin näkynyt.
Nyt ovat f-secureenkin saaneet tunnisteet kuntoon, seuraavat pöpöt löytyi noista tiedostoista jotka käsin raivasin:
Backdoor.Win32.SdBot.ebp (virus)
Trojan:W32/Agent.FFO (virus)
Backdoor:W32/SdBot.CKF (virus)
Trojan:W32/Vundo.Q (virus)
Eli ihan 'kiva' setti minkä ehti koneelle hilata.
Tuo autoruns on yksi näppärä työkalu selvittää mitä lähtee koneessa käyntiin automaattisesti, ja sieltä löytyy myös ne pöpöt. Tosin ei kannata kaikkea poistaa, on siellä paljon ihan tarpeellistakin suoritettavaa tavaraa.
Mbam eli Malwarebytes` Anti-Malware löytää myös
todella hyvin nuo virukset. Kannattaa käydä katsastamassa www.virustorjunta.net sivustolla annetut toimintaohjeet. Niitä kun noudattaa niin kone puhdistuu hyvin.
atk-guru>>>
jos neuvot täällä ihmisiä, niin tee heille selkeät toimintaohjeet viruksen poistamisen suhteen, sen sijaan, että heittelet vaan jotain ohjelmien nimiä. Kaikki käyttäjät eivät ole niin perehtyneitä tietokoneisiin.
Ja ootkos huomannut, että tämä mesepöpö saastuttaa myös muistimodeeleja ja rekisteriavaimia, eikä pelkkiä tiedostoja. Tosin lähes kaikki saastuneet kohteet ovat tiedostoja.
Edelleen suosittelen KÄYKÄÄ TUTUSTUMASSA WWW.VIRUSTORJUNTA.NET sivustoon