Kertokaa miten ihmeessä saisin poistettua sellaisen troijalaisen kuin TrojanDownloader.Win32.WinShow:n koneelta.
Minulla on F-Securen viruksentorjunta ja palomuuriohjelma joka kyllä "kaappaa" sen ja mukamas poistaa.Mutta aina koneen käynnistäessä tämä "paska" ilmestyy uudestaan.Auttakaa hädässä...
Minulla on F-Securen viruksentorjunta ja palomuuriohjelma joka kyllä "kaappaa" sen ja mukamas poistaa.Mutta aina koneen käynnistäessä tämä "paska" ilmestyy uudestaan.Auttakaa hädässä...
Vastaukset 24
Vanhimmat
Kysymys alempana siellä olen vastannut.
Miksi Google ei löydy?
Tosiaankin ihmettelen ettei F-secure tuota otusta pysty poistamaan. Itselläni on modeemiyhteys ja Norton Anti Virus ja se on automaattisesti poistanut sen useita kertoja eikä se ole ehtinyt aiheuttaa ongelmia koneelle. Nortonin viruskuvauksessa kyseinen otus mainitaan yleiseksi ja siksi luulisi kaikkien torjuntaohjelmien pystyvän sen poistamaan. Näitä Trojaneja näkyy luettelossa paljon erilaisia - saattaahan nuo ohjeet tähänkin käydä, mutta pidä nyt kuitenkin huoli siitä että torjuntaohjelma varmasti on ajantasainen.
Koita vikasietotilassa, eli siis kun kone käynnistyy, niin painele F8:a, niin pitäisi päästä vikasietotilaan. Siinä sitten etsit ja poistat sen sillä F-securella.
F-Secure tunnisti troijalaisen mutta aina kun buuttaan koneen se tulee taas esiin.Yritin muuttaa kotisivuksi jonkun muun kuin tämä "paskasivun" mutta sinne se vain tupsahtaa.En taida päästä siitä eroon?
Siis siinä vikasietotilassa poistat sen? Kyllä siitä eroon pääsee, mutta näin etänä on hiukan vaikea hahmottaa tilannetta.
Ei sulla ole ketään tuttua nörttiä joka voisi jelpata?
Koitas ladata tuo AdAware. Se on jotain www.lavasoft.de. Aja se vikasietotilassa. En tiedä lähteekö tällä se troijalainen, mutta lähtee ainakin muut roinat.
Sataprosenttisen varma konsti ainakin päivämäärällä 11.10.2003:
Myyt toosasi, ostat MacOS 10 -käyttistä pyörittävän koneen ja alat surffata. Ei viruksia, ei troijalaisia, ei spywarea, ei ulkomaille soittelijoita, ei yleensäkään muuta kuin juuri sitä minkä vuoksi nettiyhteydestä kalliisti maksat. Kuulostanee uskomattomalta, mutta on puhdasta totta.
Samaan suuntaan pääset myös Linuxilla, mutta silloin et saa OS X:n upeaa helppokäyttöisyyttä ja ohjelmavalikoimakin on tasoltaan vaihtelevampi.
onko kotisivulla ja troijalaisella jotain tekemistä keskenään, internet exploreris oo kotisivu ja troijalainen oo virus, ja kuinka xp boottaa "paskasivulle" ??????????
Seuraava ohjelma auttaa kotisivu ja tuossa >xp boottaa "paskasivulle" <
Ohjelma scannaa myös tuon Bootconf.exe
Käytä seuraavaa ohjelmaa joka poistaa hijack muut örkit IE:sta ja vähän muustakin mitä esim. Ad-Aware tai Spybot ei löydä.
CoolWebShredder
http://www.spywareinfo.com/~merijn/
http://www.spywareinfo.com/~merijn/files/cwshredder.zip
This tool will find and destroy all traces of the
CoolWebSearch (CWS) hijacker on your system. This
includes:
* Redirections to CoolWebSearch related pages
* Redirections when mistyping URLs
* Redirections when visiting Google
* Enormous IE slowdowns when typing
* IE start page/search page changing on reboot
* Sites in the IE Trusted Zone you didn't add
* Popups in Google and Yahoo when searching
Click 'Next' to start removing the infection.
Tulos
Done!
- 0 registry values were killed
- Hostsfile was OK
- Bootconf.exe was not present
- Trusted Zone was OK
- User stylesheet was OK
- Oemsyspnp.inf was not present
- Svchost32.exe was not present
- Msspi.dll Winsock hook was not present
- Msinfo.exe was not present
- Winshow.dll BHO was not present
- MadFinder BHO was not present
- Ctfmon32.exe was not present
Windows XP (5.01.2600 SP1)
CWShredder v1.21.1
Written by Merijn - [email protected]
For any additional help with this program or removing CWS, visit http://forums.spywareinfo.com/
PS.
Muista sulkea selain ennenkuin käytät tuota CoolWebShredderiä.
Vastaa ohjelman kysymyksiin KYLLÄ tai OK.
Puhdistuksen jälkeen sammuta ja käynnistä kone uudelleen.
Ei lähtenyt tuolla eikä Ad-Awarellakaan
tuolta keskustelu ja lataa sieltä se HijackThis-ohjelma. Sieltä löytyy myös ohjeet miten scannaus suoritetaan.Lue myös ne muut viestit läpi niin tiedät miten noita rivejä poistetaan
http://keskustelu.suomi24.fi/show.cgi?category=108&conference=653&posting=22000000001355636
Voisit scannata sillä ohjelmalla ja poistaa KAIKKI SEURAAVAT RIVIT (Fix checked)jos löytyy.
R3 - alkuiset
F0 – alkuiset
F1 – alkuiset
F2 - alkuiset
O1 - Hosts - ALKUISET
05 - alkuiset
06 - alkuiset
07 - alkuiset
010 - alkuiset
Sitten jos toikaan ei auta niin katso löytyykö sulta seuraava kansio tuolta.Jos löytyy niin POISTA se winshow-kansio.
C:*Documents and Settings**Application Data*winshow*
Ole viisas, kun olet saannut poistettua tuon troijalaisen, niin.... haluat varmaan koneesi tilanteeseen, et troijalaiset EI EDES PÄÄSE ASENTUMAAN KONEELLESI?
Kuullostaako hyvältä, näin minustakin.
http://www.javacoolsoftware.com/spywareblaster.html
Klikkaa "download site 1 " ja anna palaa.
>Ole viisas, kun olet saannut poistettua tuon troijalaisen, niin.... haluat varmaan koneesi tilanteeseen, et troijalaiset EI EDES PÄÄSE ASENTUMAAN KONEELLESI? <
HUOM !!!!
SPYWAREBLASTER EI ESTÄ TROIJALAISTEN TULOA KONEELLE. SE EI OLE SIIS MIKÄÄN ANTI-TROJAN OHJELMA...
Muuten se on hyvä ohjelma.Suosittelen.
Se estää kaikenlaisten Spywaren (riippumatta selaimesta) tulon sekä estää haitallisten cookien tulon (cookie-esto toimii ainoastaan IE6:ssa)
Sanoisin, ettö höpö höpö.
Se on juuri ohjelma joka estee näitä ohjelmia ...
SpywareBlaster doesn't scan and clean for spyware - it prevents it from ever being installed.
Päititetyssä SpywareBlasterissa on tällä hetkellä noin 900 troijalaista, jotka eivät voi installoitua koneellesi ja hela tiden viikottain tulee lisää.
>SpywareBlaster doesn't scan and clean for spyware - it prevents it from ever being installed<
Niinkuin tuossa sanotaan. Se estää SPYWAREJA asentumasta koneelle.
SPYWARE ja TROIJALAINEN on ihan eri asia !
Voisit myös katsoa koko keskustelun virallisilta Javacoolin SpywareBlasterin keskustelufoorumilta.
http://www.wilderssecurity.com/index.php?board=34;action=display;threadid=14834
Lainaus
>Can you tell me where you read that these Javacool tools prevent Trojans? Javacool makes no such claim on his website at:
http://www.javacoolsoftware.com/
<
http://www.wilderssecurity.com/index.php?board=34;action=display;threadid=14780;start=msg92966#msg92966
Lainaus
>Well, there's a lot written about ActiveX protection at the website because that is the key protection provided by SpywareBlaster, but, I wouldn't call it Trojan protection. While some ActiveX spyware is rather malicious, especially the "premium rate dialers" which could cost a person a lot of money on their telephone bills, SpywareBlaster is not an Anti-Trojan.
Ei auttanut SpywareBlasterikaan vaikka skannasin sillä.Sama sivu tulee edelleen kotisivuksi vaikka olen sen aina muuttanut eri nimeksi.Sitkeä troijalainen enkä taida sitä saada pois.Harmi etten ole saanut tarvittavaa tietoa.
SpywareBlaster EI POISTA mitään.Se estää spywareja asentumasta koneellesi.
Olethan katsonut tuon
http://keskustelu.suomi24.fi/show.cgi?category=108&conference=4500000000000301&posting=22000000001388169
ja tuon
http://keskustelu.suomi24.fi/show.cgi?category=108&conference=4500000000000301&posting=22000000001388440
Samuta kone noiden poistojen jälkeen ja käynnistä kone.
Voisitko kertoa mikä on sen sivun nimi,mikä sinne kotisivulle ilmestyy. Se ei välttämättä liity mitenkään troijalaiseen TrojanDownloader.Win32.WinShow
Tässä olisi tämä sivun nimi:
http://www.05p.com/
Miten saisin tuon kotisivulistan puhdistettua?
Ja varokaa ihmeessä tuota sivua koska sen kautta se troijalainenkin tuli minun koneeseen.
Kun olet tehnyt noi HijackThis toimenpiteet niin katso löytyykö sulta tuolta sys.reg
C:*windows*sys.reg
Avaa sys.reg muistion avulla ja katso ,että se sisältää ainoastaan "05p.com" tietoa.
Sen jälkeen POISTA kyseinen sys.reg
Sammuta ja käynnistä kone.
Siten jos tuota ei löydy niin voisitko lähettää sen HijackThis login tälle sivulle.Ohjeet löytyy tuolta aikaisemmista viesteistä ja niitä linkkejä seuraamalla.
Tässä olis se logi:
Logfile of HijackThis v1.97.3
Scan saved at 12:17:37, on 13.10.2003
Platform: Windows XP SP1 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP1 (6.00.2800.1106)
Running processes:
C:WINDOWSSystem32smss.exe
C:WINDOWSsystem32winlogon.exe
C:WINDOWSsystem32services.exe
C:WINDOWSsystem32lsass.exe
C:WINDOWSsystem32svchost.exe
C:WINDOWSSystem32svchost.exe
C:WINDOWSsystem32spoolsv.exe
C:WINDOWSExplorer.EXE
C:Program FilesATI TechnologiesATI Control Panelatiptaxx.exe
C:WINDOWSSystem32P2P NetworkingP2P Networking.exe
C:Program FilesAltnetPoints ManagerPoints Manager.exe
C:Program FilesF-Secure Internet SecurityCommonFSM32.EXE
C:Program FilesQuickTimeqttask.exe
C:Program FilesCommon FilesRealUpdate_OB ealsched.exe
C:WINDOWSSystem32ctfmon.exe
C:Program FilesMSN MessengerMsnMsgr.Exe
C:Documents and SettingsaTyöpöytäFRAMXPROFreeRAM XP Pro 1.31.exe
C:Program FilesWinZipWZQKPICK.EXE
C:WINDOWSSystem32Ati2evxx.exe
C:PROGRA~1F-SECU~2ackweb4476822ProgramSERVIC~1.EXE
C:WINDOWSSystem32DRIVERSCDANTSRV.EXE
C:Program FilesF-Secure Internet SecurityAnti-Virusfsgk32st.exe
C:Program FilesF-Secure Internet SecurityAnti-VirusFSGK32.EXE
C:Program FilesF-Secure Internet SecurityAnti-Virusfssm32.exe
C:Program FilesF-Secure Internet Securityackweb4476822ProgramBackWeb-4476822.exe
C:PROGRA~1PPOBAANA1~1.SP1apppppoeservice.exe
C:WINDOWSSystem32svchost.exe
C:Program FilesF-Secure Internet SecurityCommonFSMA32.EXE
C:Program FilesF-Secure Internet SecurityCommonFSMB32.EXE
C:Program FilesF-Secure Internet SecurityCommonFCH32.EXE
C:Program FilesF-Secure Internet SecurityCommonFAMEH32.EXE
C:Program FilesF-Secure Internet SecurityAnti-Virusfsav32.exe
C:Program FilesF-Secure Internet SecurityDFWProgramfsdfwd.exe
C:Program FilesF-Secure Internet Securityackweb4476822programfsbwsys.exe
C:PROGRA~1AltnetDOWNLO~1asm.exe
C:WINDOWSSystem32mshta.exe
C:WINDOWSSystem32wuauclt.exe
C:WINDOWSSystem32mshta.exe
C:Program FilesInternet ExplorerIEXPLORE.EXE
C:PROGRA~1WINZIPwinzip32.exe
C:unzippedhijackthisHijackThis.exe
R1 - HKCUSoftwareMicrosoftInternet ExplorerMain,Search Bar = http://www.searchv.com/search.html
R1 - HKCUSoftwareMicrosoftInternet ExplorerMain,Search Page = http://www.searchv.com/search.html
R0 - HKCUSoftwareMicrosoftInternet ExplorerMain,Start Page = http://www.searchv.com/
O4 - HKLM..Run: [ATIPTA] C:Program FilesATI TechnologiesATI Control Panelatiptaxx.exe
O4 - HKLM..Run: [NeroCheck] C:WINDOWSSystem32\NeroCheck.exe
O4 - HKLM..Run: [P2P Networking] C:WINDOWSSystem32P2P NetworkingP2P Networking.exe /AUTOSTART
O4 - HKLM..Run: [KAZAA] C:Kazaa.exe /SYSTRAY
O4 - HKLM..Run: [AltnetPointsManager] C:Program FilesAltnetPoints ManagerPoints Manager.exe -s
O4 - HKLM..Run: [DXM6Patch_981116] C:WINDOWSp_981116.exe /Q:A
O4 - HKLM..Run: [F-Secure Manager] "C:Program FilesF-Secure Internet SecurityCommonFSM32.EXE" /splash
O4 - HKLM..Run: [F-Secure TNB] "C:Program FilesF-Secure Internet SecurityTNBTNBUtil.exe" /CHECKALL
O4 - HKLM..Run: [QuickTime Task] "C:Program FilesQuickTimeqttask.exe" -atboottime
O4 - HKLM..Run: [KernelFaultCheck] %systemroot%system32dumprep 0 -k
O4 - HKLM..Run: [TkBellExe] "C:Program FilesCommon FilesRealUpdate_OB ealsched.exe" -osboot
O4 - HKLM..Run: [sys] regedit /s C:WINDOWSsys.reg
O4 - HKCU..Run: [CTFMON.EXE] C:WINDOWSSystem32ctfmon.exe
O4 - HKCU..Run: [MsnMsgr] "C:Program FilesMSN MessengerMsnMsgr.Exe" /background
O4 - HKCU..Run: [FreeRAM XP] "C:Documents and SettingsaTyöpöytäFRAMXPROFreeRAM XP Pro 1.31.exe" -win
O4 - Global Startup: WinZip Quick Pick.lnk = C:Program FilesWinZipWZQKPICK.EXE
O16 - DPF: {1D4DB7D2-6EC9-47A3-BD87-1E41684E07BB} - http://imgfarm.com/images/nocache/funwebproducts/SmileyCentralInitialSetup1.0.0.5.cab
O16 - DPF: {33564D57-0000-0010-8000-00AA00389B71} - http://download.microsoft.com/download/F/6/E/F6E491A6-77E1-4E20-9F5F-94901338C922/wmv9VCM.CAB
O16 - DPF: {41F17733-B041-4099-A042-B518BB6A408C} - http://a1540.g.akamai.net/7/1540/52/20030530/qtinstall.info.apple.com/bonnie/us/win/QuickTimeInstaller.exe
O16 - DPF: {9F1C11AA-197B-4942-BA54-47A8489BB47F} (Update Class) - http://v4.windowsupdate.microsoft.com/CAB/x86/unicode/iuctl.CAB?37866.2096759259
O16 - DPF: {D27CDB6E-AE6D-11CF-96B8-444553540000} (Shockwave Flash Object) - http://download.macromedia.com/pub/shockwave/cabs/flash/swflash.cab
O17 - HKLMSystemCCSServicesTcpip..{1CC21189-2B1F-4EE1-9686-9DFB2EC55E05}: NameServer =
O17 - HKLMSystemCS1ServicesTcpip..{1CC21189-2B1F-4EE1-9686-9DFB2EC55E05}: NameServer =
Muokkasin tuota logia sen verran että otin oman ip-osoitteeni pois.Logi on muuten juuri tuollainen.Nyt ohjeita että päästään tästä troijalaisesta eroon?
Et tule kyllä pitämään jostain mun ehdotuksista,mutta...
KaZaa ! !
1.Muuta kotisivu vaikka www.yle.fi
2.Sulje KAIKKI selaimet
3.avaa tehtävienhallinta ja lopeta processi mshta.exe (KAIKKI NE)
4.Sitten tuohon Hijackthis logiin . Scannaa uudestaan ja poista (FIX checked) seuraavat rivit
R1 - HKCUSoftwareMicrosoftInternet ExplorerMain,Search Bar = http://www.searchv.com/search.html
R1 - HKCUSoftwareMicrosoftInternet ExplorerMain,Search Page = http://www.searchv.com/search.html
R0 - HKCUSoftwareMicrosoftInternet ExplorerMain,Start Page = http://www.searchv.com/
O4 - HKLM..Run: [P2P Networking] C:WINDOWSSystem32P2P NetworkingP2P Networking.exe /AUTOSTART
O4 - HKLM..Run: [KAZAA] C:Kazaa.exe /SYSTRAY
O4 - HKLM..Run: [DXM6Patch_981116] C:WINDOWSp_981116.exe /Q:A
O4 - HKLM..Run: [TkBellExe] "C:Program FilesCommon FilesRealUpdate_OB ealsched.exe" -osboot
O4 - HKLM..Run: [sys] regedit /s C:WINDOWSsys.reg
Sitten poista tuolta seuraava kansio P2P networking
C:*WINDOWS*System32*P2P Networking*
Jos ne sun IP-numerot oli noissa
017 - alkuisissa niin se on OK.
Jos ne ei ollut niin ilmoita missä ne oli.
Löytyvät varmaankin
01- host alkuisista
katsoa tuolta vaihtoehtoja sille KaZaalle.
http://www.spywareinfo.com/articles/p2p/
kohdasta Clean.