Selvitän paraikaa vanhempieni tietokoneella kummallisinta ongelmaa, joka on vastaan tullut.
Messenger (nyk. Windows Live?) ei koneella toimi, ja uuteen versioon päivittäminen ei jostain tuntemattomasta syystä ole onnistunut. Vanhemmat ovat kertoneet myös, että muitakin ohjelmia on alkanut kaatua.
Manuaalinen virustarkastus (Norman) paljasti noin 40 troijalaista, mutta ei koskaan päässyt loppuun asti, sillä ohjelma kaatuu joka kerta erään Messengerin asetuksia sisältävän kansion kohdalla. Kun olin kokeillut useamman kerran virustarkistusta, suuntasin itse Windows Explorerilla tuohon kansioon joka on:
C:\Documents and Settings\(Käyttäjänimi)\Local Settings\Application Data\Microsoft\Messenger\(Kirjautustunnus)\SharingMetaData\
Kyseinen kansio on piilotettu, eikä sitä näy Explorerissa. Muuta kautta sain selville, että SharingMetaData-kansion eräässä .log-päätteisessä tiedostossa mikä tahansa ohjelma, joka yrittää koskea siihen, kaatuu.
Ensimmäiseksi yritin poistaa koko tuon kirjautumistunnuksen kansion, mikä kaatoi Explorer.exen. Tämän jälkeen kokeilin poistaa kyseistä hakemistopuuta komentoriviltä, jolloin sekin kaatui. Myöskin Eraser (tiedostojen poisto-ohjelma) ilmoittaa tuntemattomasta virheestä kirjoittaessaan tuon kansion tiedostojen päälle.
Myös Kasperskyn online-virusskannaus kaatoi Internet Explorerin tuon kansion kohdalla.
Myös tuon kansion sisällön selaaminen tai katseleminen missä tahansa ohjelmassa kaataa sen.
Suoritan nyt paraikaa Normanin virustarkistusta siten, että olen asetuksissa ohittanut tuon ongelmakansion. Skannaus näyttää etenevän hyvin. Mutta mitä ihmettä tuolle yhdelle kansiolle/tiedostolle voi tehdä?
Järjestelmä: Windows XP Home
Antivirus: Norman Virus Control 5.90 (päivitetty tänään)
Messenger (nyk. Windows Live?) ei koneella toimi, ja uuteen versioon päivittäminen ei jostain tuntemattomasta syystä ole onnistunut. Vanhemmat ovat kertoneet myös, että muitakin ohjelmia on alkanut kaatua.
Manuaalinen virustarkastus (Norman) paljasti noin 40 troijalaista, mutta ei koskaan päässyt loppuun asti, sillä ohjelma kaatuu joka kerta erään Messengerin asetuksia sisältävän kansion kohdalla. Kun olin kokeillut useamman kerran virustarkistusta, suuntasin itse Windows Explorerilla tuohon kansioon joka on:
C:\Documents and Settings\(Käyttäjänimi)\Local Settings\Application Data\Microsoft\Messenger\(Kirjautustunnus)\SharingMetaData\
Kyseinen kansio on piilotettu, eikä sitä näy Explorerissa. Muuta kautta sain selville, että SharingMetaData-kansion eräässä .log-päätteisessä tiedostossa mikä tahansa ohjelma, joka yrittää koskea siihen, kaatuu.
Ensimmäiseksi yritin poistaa koko tuon kirjautumistunnuksen kansion, mikä kaatoi Explorer.exen. Tämän jälkeen kokeilin poistaa kyseistä hakemistopuuta komentoriviltä, jolloin sekin kaatui. Myöskin Eraser (tiedostojen poisto-ohjelma) ilmoittaa tuntemattomasta virheestä kirjoittaessaan tuon kansion tiedostojen päälle.
Myös Kasperskyn online-virusskannaus kaatoi Internet Explorerin tuon kansion kohdalla.
Myös tuon kansion sisällön selaaminen tai katseleminen missä tahansa ohjelmassa kaataa sen.
Suoritan nyt paraikaa Normanin virustarkistusta siten, että olen asetuksissa ohittanut tuon ongelmakansion. Skannaus näyttää etenevän hyvin. Mutta mitä ihmettä tuolle yhdelle kansiolle/tiedostolle voi tehdä?
Järjestelmä: Windows XP Home
Antivirus: Norman Virus Control 5.90 (päivitetty tänään)
Vastaukset 4
Vanhimmat
Lataa tästä HJTInstall.exe http://www.trendsecure.com/portal/en-US/tools/security_tools/hijackthis/download
Tallenna HJTInstall.exe työpöydällesi.
Tuplaklikkaa HJTInstall.exe-kuvaketta työpöydälläsi.
Oletuksena se asentaa itsensä hakemistoon C:\Program Files\Trend Micro\HijackThis.
Klikkaa Install.
Asennusohjelma luo HijackThis-kuvakkeen työpöydälle.
Kun asennus on valmis, se käynnistää HijackThisin.
Klikkaa Do a system scan and save a logfile-painiketta. Ohjelma aloittaa skannauksen ja lokin pitäisi avautua Muistioon.
Tallenna HijackThis-loki vaikka työpöydälle.
Ota kopio lokista ja postaa tähän, niin katsotaan mitä vois tehdä.
Silläkin uhalla, että paljastan yksityisiä tietoja, tässä tämä loki. Poistin joitain tietoja, koska tämä ei siis tosiaankaan ole oma kone.
En tiedä, onko apua.
--
Logfile of Trend Micro HijackThis v2.0.2
Scan saved at 16:28:10, on 5.6.2008
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v7.00 (7.00.6000.16640)
Boot mode: Normal
Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\csrss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\Program Files\Norman\Npm\bin\ELOGSVC.EXE
C:\Program Files\Norman\Npm\Bin\Zanda.exe
C:\Program Files\Sygate\SPF\smc.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\system32\spoolsv.exe
C:\WINDOWS\Explorer.EXE
C:\Program Files\Mozilla Firefox\firefox.exe
C:\Program Files\Norman\Npm\bin\ZLH.EXE
C:\WINDOWS\system32\LVCOMSX.EXE
C:\Program Files\Logitech\Video\LogiTray.exe
C:\WINDOWS\SOUNDMAN.EXE
C:\Program Files\Java\jre1.6.0_05\bin\jusched.exe
C:\Program Files\Norman\Nvc\BIN\NIP.EXE
C:\Program Files\Adobe\Reader 8.0\Reader\Reader_sl.exe
C:\Program Files\Roxio\Easy Media Creator 7\Drag to Disc\DrgToDsc.exe
C:\Program Files\Messenger\msmsgs.exe
C:\WINDOWS\system32\ctfmon.exe
C:\Program Files\Common Files\EPSON\EBAPI\eEBSVC.exe
C:\Program Files\Logitech\Video\FxSvr2.exe
C:\Program Files\Common Files\EPSON\EBAPI\SAgent2.exe
C:\WINDOWS\system32\nvsvc32.exe
C:\WINDOWS\system32\svchost.exe
C:\Program Files\Norman\Npm\bin\NJEEVES.EXE
C:\Program Files\Norman\Nvc\BIN\NVCSCHED.EXE
C:\Program Files\Norman\Nvc\bin\nvcoas.exe
C:\WINDOWS\system32\wbem\wmiprvse.exe
C:\Program Files\Norman\Nvc\bin\cclaw.exe
C:\WINDOWS\System32\alg.exe
C:\WINDOWS\system32\wuauclt.exe
C:\Program Files\Trend Micro\HijackThis\HijackThis.exe
C:\WINDOWS\system32\wbem\wmiprvse.exe
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://go.microsoft.com/fwlink/?LinkId=69157
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://go.microsoft.com/fwlink/?LinkId=69157
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://go.microsoft.com/fwlink/?LinkId=54896
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = http://go.microsoft.com/fwlink/?LinkId=54896
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = http://go.microsoft.com/fwlink/?LinkId=69157
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Linkit
R3 - URLSearchHook: (no name) - {00A6FAF6-072E-44cf-8957-5838F569A31D} - C:\Program Files\MyWebSearch\SrchAstt\2.bin\MWSSRCAS.DLL (file missing)
O2 - BHO: MyWebSearch Search Assistant BHO - {00A6FAF1-072E-44cf-8957-5838F569A31D} - C:\Program Files\MyWebSearch\SrchAstt\2.bin\MWSSRCAS.DLL (file missing)
O2 - BHO: Adobe PDF Reader -linkkiavustaja - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Program Files\Common Files\Adobe\Acrobat\ActiveX\AcroIEHelper.dll
O2 - BHO: SSVHelper Class - {761497BB-D6F0-462C-B6EB-D4DAF1D92D43} - C:\Program Files\Java\jre1.6.0_05\bin\ssv.dll
O2 - BHO: Windows Liven kirjautumisapuohjelma - {9030D464-4C02-4ABF-8ECC-5164760863C6} - C:\Program Files\Common Files\Microsoft Shared\Windows Live\WindowsLiveLogin.dll
O2 - BHO: Windows Live Toolbar Helper - {BDBD1DAD-C946-4A17-ADC1-64B5B4FF55D0} - C:\Program Files\Windows Live Toolbar\msntb.dll
O3 - Toolbar: Easy-WebPrint - {327C2873-E90D-4c37-AA9D-10AC9BABA46C} - C:\Program Files\Canon\Easy-WebPrint\Toolband.dll
O3 - Toolbar: Windows Live Toolbar - {BDAD1DAD-C946-4A17-ADC1-64B5B4FF55D0} - C:\Program Files\Windows Live Toolbar\msntb.dll
O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\system32\NvCpl.dll,NvStartup
O4 - HKLM\..\Run: [nwiz] nwiz.exe /install
O4 - HKLM\..\Run: [NeroFilterCheck] C:\WINDOWS\system32\NeroCheck.exe
O4 - HKLM\..\Run: [Norman ZANDA] C:\Program Files\Norman\Npm\bin\ZLH.EXE /LOAD /SPLASH
O4 - HKLM\..\Run: [NvMediaCenter] RUNDLL32.EXE C:\WINDOWS\system32\NvMcTray.dll,NvTaskbarInit
O4 - HKLM\..\Run: [LVCOMSX] C:\WINDOWS\system32\LVCOMSX.EXE
O4 - HKLM\..\Run: [LogitechVideoRepair] C:\Program Files\Logitech\Video\ISStart.exe
O4 - HKLM\..\Run: [LogitechVideoTray] C:\Program Files\Logitech\Video\LogiTray.exe
O4 - HKLM\..\Run: [Mouse Suite 98 Daemon] ICO.EXE
O4 - HKLM\..\Run: [IMJPMIG8.1] "C:\WINDOWS\IME\imjp8_1\IMJPMIG.EXE" /Spoil /RemAdvDef /Migration32
O4 - HKLM\..\Run: [MSPY2002] C:\WINDOWS\system32\IME\PINTLGNT\ImScInst.exe /SYNC
O4 - HKLM\..\Run: [PHIME2002ASync] C:\WINDOWS\system32\IME\TINTLGNT\TINTSETP.EXE /SYNC
O4 - HKLM\..\Run: [PHIME2002A] C:\WINDOWS\system32\IME\TINTLGNT\TINTSETP.EXE /IMEName
O4 - HKLM\..\Run: [SmcService] C:\PROGRA~1\Sygate\SPF\smc.exe -startgui
O4 - HKLM\..\Run: [Easy-PrintToolBox] C:\Program Files\Canon\Easy-PrintToolBox\BJPSMAIN.EXE /logon
O4 - HKLM\..\Run: [Cmaudio] RunDll32 cmicnfg.cpl,CMICtrlWnd
O4 - HKLM\..\Run: [SoundMan] SOUNDMAN.EXE
O4 - HKLM\..\Run: [SunJavaUpdateSched] "C:\Program Files\Java\jre1.6.0_05\bin\jusched.exe"
O4 - HKLM\..\Run: [Adobe Reader Speed Launcher] "C:\Program Files\Adobe\Reader 8.0\Reader\Reader_sl.exe"
O4 - HKLM\..\Run: [RoxioDragToDisc] "C:\Program Files\Roxio\Easy Media Creator 7\Drag to Disc\DrgToDsc.exe"
O4 - HKLM\..\Run: [QuickTime Task] "C:\Program Files\QuickTime\qttask.exe" -atboottime
O4 - HKCU\..\Run: [LogitechSoftwareUpdate] "C:\Program Files\Logitech\Video\ManifestEngine.exe" boot
O4 - HKCU\..\Run: [MSMSGS] "C:\Program Files\Messenger\msmsgs.exe" /background
O4 - HKCU\..\Run: [ctfmon.exe] C:\WINDOWS\system32\ctfmon.exe
O4 - HKUS\S-1-5-19\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'Paikallinen palve')
O4 - HKUS\S-1-5-20\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'Verkkopalve')
O4 - HKUS\S-1-5-18\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'SYSTEM')
O4 - HKUS\.DEFAULT\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'Default user')
O4 - Global Startup: Adobe Gamma Loader.lnk = ?
O4 - Global Startup: Microsoft Office.lnk = C:\Program Files\Microsoft Office\Office\OSA9.EXE
O8 - Extra context menu item: &Search - http://edits.mywebsearch.com/toolbaredits/menusearch.jhtml?p=ZJfox000
O8 - Extra context menu item: &Windows Live Search - res://C:\Program Files\Windows Live Toolbar\msntb.dll/search.htm
O8 - Extra context menu item: Easy-WebPrint Add To Print List - res://C:\Program Files\Canon\Easy-WebPrint\Resource.dll/RC_AddToList.html
O8 - Extra context menu item: Easy-WebPrint High Speed Print - res://C:\Program Files\Canon\Easy-WebPrint\Resource.dll/RC_HSPrint.html
O8 - Extra context menu item: Easy-WebPrint Preview - res://C:\Program Files\Canon\Easy-WebPrint\Resource.dll/RC_Preview.html
O8 - Extra context menu item: Easy-WebPrint Print - res://C:\Program Files\Canon\Easy-WebPrint\Resource.dll/RC_Print.html
O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\jre1.6.0_05\bin\ssv.dll
O9 - Extra 'Tools' menuitem: Sun Java Console - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\jre1.6.0_05\bin\ssv.dll
O9 - Extra button: PartyPoker.com - {B7FE5D70-9AA2-40F1-9C6B-12A255F085E1} - C:\Program Files\PartyGaming\PartyPoker\RunApp.exe (file missing)
O9 - Extra 'Tools' menuitem: PartyPoker.com - {B7FE5D70-9AA2-40F1-9C6B-12A255F085E1} - C:\Program Files\PartyGaming\PartyPoker\RunApp.exe (file missing)
O9 - Extra button: (no name) - {e2e2dd38-d088-4134-82b7-f2ba38496583} - C:\WINDOWS\Network Diagnostic\xpnetdiag.exe
O9 - Extra 'Tools' menuitem: @xpsp3res.dll,-20001 - {e2e2dd38-d088-4134-82b7-f2ba38496583} - C:\WINDOWS\Network Diagnostic\xpnetdiag.exe
O9 - Extra button: @C:\Program Files\Messenger\Msgslang.dll,-61144 - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: @C:\Program Files\Messenger\Msgslang.dll,-61144 - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe
O16 - DPF: {0EB0E74A-2A76-4AB3-A7FB-9BD8C29F7F75} (CKAVWebScan Object) - http://www.kaspersky.com/kos/eng/partner/default/kavwebscan_unicode.cab
O16 - DPF: {17492023-C23A-453E-A040-C7C580BBF700} (Windows Genuine Advantage Validation Tool) - http://go.microsoft.com/fwlink/?linkid=39204
O16 - DPF: {4F1E5B1A-2A80-42CA-8532-2D05CB959537} (MSN Photo Upload Tool) - http://(POISTETTU).spaces.live.com//PhotoUpload/MsnPUpld.cab
O16 - DPF: {5ED80217-570B-4DA9-BF44-BE107C0EC166} (Windows Live Safety Center Base Module) - http://cdn.scan.onecare.live.com/resource/download/scanner/wlscbase9602.cab
O16 - DPF: {D27CDB6E-AE6D-11CF-96B8-444553540000} (Shockwave Flash Object) - http://fpdownload2.macromedia.com/get/shockwave/cabs/flash/swflash.cab
O17 - HKLM\System\CCS\Services\Tcpip\..\{37108581-199D-4218-86B0-04FA620A18FA}: NameServer = 85.255.116.30,85.255.112.19
O17 - HKLM\System\CCS\Services\Tcpip\..\{76DF5C82-B1AF-48A9-83BA-290BD41FAC76}: NameServer = 85.255.116.30,85.255.112.19
O17 - HKLM\System\CCS\Services\Tcpip\..\{89135107-BCF1-44A1-AA94-5B4CC45D9BE6}: NameServer = 85.255.116.30,85.255.112.19
O17 - HKLM\System\CS1\Services\Tcpip\Parameters: NameServer = 85.255.116.30 85.255.112.19
O17 - HKLM\System\CCS\Services\Tcpip\Parameters: NameServer = 85.255.116.30 85.255.112.19
O23 - Service: Adobe LM Service - Adobe Systems - C:\Program Files\Common Files\Adobe Systems Shared\Service\Adobelmsvc.exe
O23 - Service: Norman eLogger service 6 (eLoggerSvc6) - Norman ASA - C:\Program Files\Norman\Npm\bin\ELOGSVC.EXE
O23 - Service: EpsonBidirectionalService - Unknown owner - C:\Program Files\Common Files\EPSON\EBAPI\eEBSVC.exe
O23 - Service: EPSON Printer Status Agent2 (EPSONStatusAgent2) - SEIKO EPSON CORPORATION - C:\Program Files\Common Files\EPSON\EBAPI\SAgent2.exe
O23 - Service: InstallDriver Table Manager (IDriverT) - Macrovision Corporation - C:\Program Files\Common Files\InstallShield\Driver\1050\Intel 32\IDriverT.exe
O23 - Service: iPodService - Apple Computer, Inc. - C:\Program Files\iPod\bin\iPodService.exe
O23 - Service: Norman NJeeves - Unknown owner - C:\Program Files\Norman\Npm\bin\NJEEVES.EXE
O23 - Service: Norman ZANDA - Norman ASA - C:\Program Files\Norman\Npm\Bin\Zanda.exe
O23 - Service: Norman Virus Control on-access component (nvcoas) - Norman ASA - C:\Program Files\Norman\Nvc\bin\nvcoas.exe
O23 - Service: Norman Virus Control Scheduler (NVCScheduler) - Norman ASA - C:\Program Files\Norman\Nvc\BIN\NVCSCHED.EXE
O23 - Service: NVIDIA Display Driver Service (NVSvc) - NVIDIA Corporation - C:\WINDOWS\system32\nvsvc32.exe
O23 - Service: Sygate Personal Firewall (SmcService) - Sygate Technologies, Inc. - C:\Program Files\Sygate\SPF\smc.exe
--
End of file - 10631 bytes
Tässä siis ongelmakansion tarkka sijainti. Korvasin kirjautumistunnukset ja sähköpostiosoitteet muilla sanoilla, jotta yksityisyys pysyisi suojassa.
C:\Documents and Settings\(KIRJAUTUMISNIMI)\Local Settings\Application Data\Microsoft\Messenger\(MSN-KIRJAUTUMISTUNNUS)\SharingMetaData\(KONTAKTIN TUNNUS)\DFSR\Staging\CS{18295513-39BE-1244-A562-3313E512C723}\
Kyseessä on siis erään MSN-kontaktin paikallisasetukset.
Kansiot SharingMetaData ja DFSR ovat järjestelmätason piilotiedostoja, joten niitä ei näe edes Resurssienhallinnassa, vaikka piilotetut tiedostot on määritetty näkymään. Pääsen tuonne vain komentorivin kautta tai kirjoittamalla hakemistonimen osoiteriville.
Tuossa kansiossa on 13 alikansiota, joilla jokaisella on nimenä numero. Numerot ovat 01 sekä 12-23.
Komentorivillä kun teen esimerkiksi CD 01 ja sen jälkeen DIR, ohjelma sulkeutuu ilman virheilmoitusta. Eli sitä ei voi selata.
Jos joku osaa neuvoa, mistä voisi löytyä lisätietoa tällaisesta viruksesta tai muusta viasta, olisin kiitollinen. Jos edes tietäisin, mikä nuo ohjelmat saa kaatumaan, osaisin itse hakkeroida eteenpäin.
Koneella on "jonkin verran" ylimääräistä kamaa ja lisäksi sitä mahdollisesti käytetään jonkun toimesta Ukrainalaisen palvelimen kautta. Joten...Suosittelen sulkemaan internet -yhteyden tältä koneesta välittömästi. Jos käsittelet verkkopankkia, muita raha-asioitasi tai muuta henkilökohtaista tietoasi sisältäviä palveluja koneella, mene jollekin tietämällesi puhtaalle koneelle ja vaihda kaikki salasanasi -- olisi myös hyvä jos ilmoittaisit pankillesi asiasta (uudet tunnukset, salasanat jne).
Ota rauhallisesti, tämä on varmuuden vuoksi. Minulla ei ole oikeutta fixata tota lokia, mutta saat linkin jossa asia varmasti hoidetaan asiantuntevasti. Lue ohjeet ja lähetä tämä HJT-loki tänne: http://www.virustorjunta.net/modules.php?name=Forums&file=viewtopic&t=5184