Troijalainen

Ok, mutta osaatko kertoa miten pääsen tästä payload.dat -virustiedostosta eroon pysyvästi?

Apuva kirjoitti:

Ok, mutta osaatko kertoa miten pääsen tästä payload.dat -virustiedostosta eroon pysyvästi?

Backdoor.Roxy may exist as the file, payload.dat, and performs the following actions:


Adds the value:

"System Initialization"="payload.dat"

to the registry key:

HKEY_LOCAL_MACHINESOFTWAREMicrosoftWindowsCurrentVersionRun

so that the Backdoor runs when you start Windows.


Sends a notification to a hard-coded IP address, indicating that it is running.


Listens on the following TCP ports for remote instructions:
port 3330
port 3331
port 3332



. Deleting the value from the registry

CAUTION: Symantec strongly recommends that you back up the registry before making any changes to it. Incorrect changes to the registry can result in permanent data loss or corrupted files. Modify the specified keys only. Read the document, "How to make a backup of the Windows registry," for instructions.

Click Start, and then click Run. (The Run dialog box appears.)
Type regedit

Then click OK. (The Registry Editor opens.)


Navigate to the key:

HKEY_LOCAL_MACHINESOFTWAREMicrosoftWindowsCurrentVersionRun


In the right pane, delete the value:

System Initialization


Exit the Registry Editor.

Näin kirjoitti:

Backdoor.Roxy may exist as the file, payload.dat, and performs the following actions:


Adds the value:

"System Initialization"="payload.dat"

to the registry key:

HKEY_LOCAL_MACHINESOFTWAREMicrosoftWindowsCurrentVersionRun

so that the Backdoor runs when you start Windows.


Sends a notification to a hard-coded IP address, indicating that it is running.


Listens on the following TCP ports for remote instructions:
port 3330
port 3331
port 3332



. Deleting the value from the registry

CAUTION: Symantec strongly recommends that you back up the registry before making any changes to it. Incorrect changes to the registry can result in permanent data loss or corrupted files. Modify the specified keys only. Read the document, "How to make a backup of the Windows registry," for instructions.

Click Start, and then click Run. (The Run dialog box appears.)
Type regedit

Then click OK. (The Registry Editor opens.)


Navigate to the key:

HKEY_LOCAL_MACHINESOFTWAREMicrosoftWindowsCurrentVersionRun


In the right pane, delete the value:

System Initialization


Exit the Registry Editor.

Ohjeen mukaan toimittu: ei löydy poistettavaa sieltä... Menee pian hermo. Tuntuu että se vaan yltyy... Guard on ilmoitellut siitä taas noin 20 minuutin välein ja joka kerta sen poistan... Ja taas.

Payload kirjoitti:

Ohjeen mukaan toimittu: ei löydy poistettavaa sieltä... Menee pian hermo. Tuntuu että se vaan yltyy... Guard on ilmoitellut siitä taas noin 20 minuutin välein ja joka kerta sen poistan... Ja taas.

Koitas tota online scanneria,sillä oon saannu poistettua pari virusta,joita mun Norton ei jaksannu poistaa:

http://housecall.trendmicro.com/

Näin kirjoitti:

Koitas tota online scanneria,sillä oon saannu poistettua pari virusta,joita mun Norton ei jaksannu poistaa:

http://housecall.trendmicro.com/

en osaa käyttää tota skanneria,miten se toimii, pitääks ladata vai saaks sitä käyttää tosta vaan?
mitä pitää tehä et saa skannattua?

söheltäjä kirjoitti:

en osaa käyttää tota skanneria,miten se toimii, pitääks ladata vai saaks sitä käyttää tosta vaan?
mitä pitää tehä et saa skannattua?

Paina vaan sitä tekstiä Scan now ja sitte valitset maan Finland,jos asut siellä ja sitte tulee taas pikku kysely,paina vaan ok ja sitte oottelet että se on valmiiks latautunnu ja sitte vaan scannaat.

Juttu kirjoitti:

Paina vaan sitä tekstiä Scan now ja sitte valitset maan Finland,jos asut siellä ja sitte tulee taas pikku kysely,paina vaan ok ja sitte oottelet että se on valmiiks latautunnu ja sitte vaan scannaat.

onnistu jo,kiitti vaan.

Löytyy kyllä. Miten liittyy ongelmaan -> mitä teen?

Jep kirjoitti:

Löytyy kyllä. Miten liittyy ongelmaan -> mitä teen?

Onko tuo prosessi siellä vielä sen jälkeen kun olet "poistanut" viruksen. Se osoittaa ettei poisto oikein onnistu. Vai tuleeko se vasta sitten jonkun ajan kuluttua?
Jos virus on poistettu kunnolla se tulee uudelleen jostain ulkopuolelta. Onko kaikilla koneesi tunnuksilla kunnolliset salasanat?
Ota pois file and printer sharing. Löytyy jostain Network and dialup connections - Local area connection(jos sulla verkkokortti) - properties - ja ota rasti pois ruudusta File and printer sharing for microsoft networks. (Näin ainakin jos koneesi on joku w2000 tai xp).

Tässä taas linkki yhteen kuvaukseen viruksesta:
http://securityresponse.symantec.com/avcenter/venc/data/w32.randex.d.html

Siellä ohjeita poistoon.

Jep kirjoitti:

Löytyy kyllä. Miten liittyy ongelmaan -> mitä teen?

Katso tuolta

http://securityresponse.symantec.com/avcenter/venc/data/w32.randex.d.html

ja

http://www.trendmicro.com/vinfo/virusencyclo/default5.asp?VName=WORM_RANDEX.D&VSect=T

Jos olet sama henkilö joka aloitti kyselyn tuolla

http://keskustelu.suomi24.fi/show.cgi?category=108&conference=1500000000000007&posting=22000000001457557

nimimerkillä 'avun tarpeessa'
ja jatkoit sitä tässä viestiketjussa
nimimerkeillä 'Apuva' , 'Payload' ja 'Jep'

niin olisi suotavaa jos apuja pyydetään jossain jollakin nimimerkillä niin käytettäisiin KOKO ajan samaa nimim. eikä vaihdettaisi sitä aina. Näin auttajat tietävät mahdollisista aikaisemmista viesteistä mitä mahdollisesti olet jo tehnyt koneelle ja mitä et.

Nyt en tiedä oletko alkuperäinen kysyjä ja ohjeet ovat sen mukaiset.

Siellä ensimmäisessä linkissä Nortonin sivulla on TARKAT ohjeet miten toi poistetaan jos käytät Nortonin virustorjuntaohjelmaa.

Muuten voisit kokeilla auttaako seuraava.

Windows 2000

Lopeta kyseinen msmsgri32.exe prosessi siellä tehtävienhallinnassa.
Sitten mene käynnistä-->suorita-->msconfig-->käynnistys
ja etsi sieltä mahdollisesti seuraava tai samantapainen missä esiintyy toi msmsgri32.exe
ja POISTA ruksi sen rivin edestä

[System Initialization]
C:*WINNT*system32*msmsgri32.exe

Tämän jälkeen sammuta kone ja käynnista kone vikasietotilassa ja poista msmsgri32.exe tuolta

C:*WINNT*system32*msmsgri32.exe


Voi olla,että auttaa tai sitten ei.

Tuolla on myös toisenlainen ohje.
http://forums.techguy.org/showthread.php?s=bbcb303c81ce7f8a14fdf441fb8954c1&threadid=147235&highlight=msmsgri32.exe

Lainaus
>That damn msmsgri32.exe comes up onto my computer every day it seems like. I am assuming you are running Windows NT or Windows 2000 then. The reason it may be coming up for you is because your Administrator name has NO password. That was the problem I had, so I just set a password to it and I think that fixed the problem. To delete it, just follow these steps:
<