- Xp-prof. käyttöjärjestelmä; cel 500 /~400Mb muistia...Nettikilpi F-Secure jne..
Windows tehtävienhallinta näyttää että jokin pahuksen popup.exe prosessi vie koko ajan n. 30% resursseista; prosessin lopettaminen ei tunnu vaikuttavan mihinkään... paitsi että mylly jauhaa selvästi liukkaammin...
1. Mistähän on oikein kysymys?
2. Mikään etsintä jne tavanomainen temppu ei paljasta missä ko. prosessi majailee, lisää/poista sovellus ei näytä sitä.... miten löytää ja poistaa pysyvästi jos osoittautuu tarpeettomaksi...?
3. Unohtuiko jotain oleellista?
Windows tehtävienhallinta näyttää että jokin pahuksen popup.exe prosessi vie koko ajan n. 30% resursseista; prosessin lopettaminen ei tunnu vaikuttavan mihinkään... paitsi että mylly jauhaa selvästi liukkaammin...
1. Mistähän on oikein kysymys?
2. Mikään etsintä jne tavanomainen temppu ei paljasta missä ko. prosessi majailee, lisää/poista sovellus ei näytä sitä.... miten löytää ja poistaa pysyvästi jos osoittautuu tarpeettomaksi...?
3. Unohtuiko jotain oleellista?
Vastaukset 14
Vanhimmat
http://securityresponse.symantec.com/avcenter/venc/data/[email protected]
Onko sulla joku pop-up killeri koneella,tai joku P2P ohjelma?
Tämä puhuttu popup.exe oli pistänyt silmään jo aiemmin, n. viikko sitten asensin kokeeksi "K-Powertoys" -kokoelmasta "AdiosPopus" jonka sain poistettua normaalisti ohjauspaneelista. Poistosta huolimatta se alkuperäinen esiintyy edelleen, ja joka rebootin jälkeen on taas paikalla vaikka sen saa prosesseista tietysti väliaikaisesti lopetettya.
F-Secure tuoreilla päivityksillä on jauhanut koko kovalevyn löytämättä mitään, samoin SpywareBlaster jonka asensin aamusella, ei inahdakaan.... siis voiko sittenkään olla kyseessä ehdotettu virus…
Edelleen kysymysmerkkinä... ja samaan aiheeseen liittyy Suosikit-kansioon ilmestyvät linkit joista ainakin pari vie nahka-osastolle. Netti-kilvestä kerran jo tyhjensin koko Rule-managerin ja mielestäni olen sallinut vain hyvinkin tunnetut yhteydenotot... ja siitä huolimatta ne jostain uivat sisään..
Spybot search & Destroy -ohjelmaa.
HijackThis-ohjelmaa, jonka saat tuolta
http://koti.mbnet.fi/pattaya1/
Lue ne ohjeet tarkkaan ja liitä se logi vaikka tähän viestiketjuun tai sitten tuonne http://www.tietokone.fi/foorumi/alue.asp?groupid=9
niin katsotaan mitä sieltä mahdollisesti löytyy ?
Huom !
Ennenkuin käytät sitä HijackThis ohjelmaa niin buuttaa kone ensin ja sitten vasta scannaat.
ÄLÄ lopeta MITÄÄN prosesseja ennen sitä scnnausta !
...ei se SpywareBlaster enää jälkikäteen auta - se pitää asentaa puhtaalle koneelle jolloin se estää örkkien pääsyn koneelle, mutta ei mahda mitään siellä jo oleville.
Poistamiseen on eri työkaluja, käypäs katselemassa ja lueskelemassa tuolla:
http://koti.mbnet.fi/pattaya1/
...ehtinytkin jo apuun! ;)))
No tässä, viitsitkös vilkaista...
Logfile of HijackThis v1.97.7
Scan saved at 22:21:41, on 29.2.2004
Platform: Windows XP (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 (6.00.2600.0000)
Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\spoolsv.exe
C:\PROGRA~1\F-Secure\BackWeb\7681197\Program\SERVIC~1.EXE
C:\Program Files\F-Secure\Anti-Virus\fsgk32st.exe
C:\Program Files\F-Secure\Anti-Virus\FSGK32.EXE
C:\Program Files\Common Files\Microsoft Shared\VS7Debug\mdm.exe
C:\Program Files\F-Secure\Anti-Virus\fssm32.exe
C:\WINDOWS\System32\svchost.exe
C:\Program Files\F-Secure\BackWeb\7681197\Program\BackWeb-7681197.exe
C:\WINDOWS\Explorer.EXE
C:\Program Files\F-Secure\Common\FSMA32.EXE
C:\Program Files\F-Secure\Common\FSMB32.EXE
C:\Program Files\F-Secure\Common\FCH32.EXE
C:\Program Files\F-Secure\Common\FAMEH32.EXE
C:\Program Files\F-Secure\Common\FNRB32.EXE
C:\Program Files\F-Secure\Common\FSM32.EXE
C:\Program Files\Common Files\CMEII\CMESys.exe
C:\Program Files\Netti-Kilpi\Nettikilpi.exe
C:\Program Files\F-Secure\Common\FIH32.EXE
C:\Program Files\F-Secure\Anti-Virus\fsav32.exe
C:\WINDOWS\System32\ctfmon.exe
C:\Program Files\Tweak-XP Pro\popup.exe
C:\Program Files\TimeCalendarLE\TCLE.exe
C:\Program Files\Common Files\GMT\GMT.exe
C:\Program Files\Microsoft Office\Office\OSA.EXE
C:\WINDOWS\System32\taskmgr.exe
C:\HijackThis.exe
C:\Program Files\Internet Explorer\IEXPLORE.EXE
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://jasen.suomi24.fi/sisaan/fi_login.fcgi?reg_url=http://jasen.suomi24.fi/rekisterointi/fi_reg.fcgi%3fwanted_url%3dhttp%3a%2f%2fposti.suomi24.fi%2f%26services%3d8001&wanted_url=http%3a%2f%2fposti.suomi24.fi%2f&service=8001&ip_address=193.229.37.215
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Linkit
O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINDOWS\System32\msdxm.ocx
O4 - HKLM\..\Run: [F-Secure Manager] "C:\Program Files\F-Secure\Common\FSM32.EXE" /splash
O4 - HKLM\..\Run: [CMESys] "C:\Program Files\Common Files\CMEII\CMESys.exe"
O4 - HKLM\..\Run: [cellulari-us] c:\cellulari-us\cellulari-us.exe u
O4 - HKLM\..\Run: [Corel DESIGNER 1011] C:\Program Files\Corel\Corel DESIGNER 10\Register\registration.exe /title="Corel DESIGNER 10" /date=061303 serial=de10wrz-1213415-yug
O4 - HKLM\..\Run: [Corel Graphics Suite 1117] C:\Program Files\Corel\Corel Graphics 11\Register\registration.exe /title="Corel Graphics Suite 11" /date=031504 serial=DR11CRD-0012082-DGW
O4 - HKLM\..\Run: [Netti-Kilpi] C:\Program Files\Netti-Kilpi\Nettikilpi.exe
O4 - HKLM\..\Run: [KernelFaultCheck] %systemroot%\system32\dumprep 0 -k
O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\ctfmon.exe
O4 - HKCU\..\Run: [Pop-Up-Blocker] "popup.exe"
O4 - HKCU\..\Run: [TimeCalendar] "C:\Program Files\TimeCalendarLE\TCLE.exe" auto
O4 - Startup: Internet Explorer.lnk = C:\Program Files\Internet Explorer\IEXPLORE.EXE
O4 - Global Startup: GStartup.lnk = C:\Program Files\Common Files\GMT\GMT.exe
O4 - Global Startup: Officen käynnistys.lnk = C:\Program Files\Microsoft Office\Office\OSA.EXE
O8 - Extra context menu item: Vie Microsoft E&xceliin - res://C:\PROGRA~1\MICROS~2\Office10\EXCEL.EXE/3000
O9 - Extra button: Related (HKLM)
O9 - Extra 'Tools' menuitem: Show &Related Links (HKLM)
O9 - Extra button: Messenger (HKLM)
O9 - Extra 'Tools' menuitem: Windows Messenger (HKLM)
O12 - Plugin for .spop: C:\Program Files\Internet Explorer\Plugins\NPDocBox.dll
O16 - DPF: {03F998B2-0E00-11D3-A498-00104B6EB52E} - https://components.viewpoint.com/MTSInstallers/MetaStream3.cab?url=http://www.viewpoint.com/cgi-bin/vet_install_popup.pl?1&04.00.03.15&http://volvoxc90.volvocars.fi/explore/3d.asp
O16 - DPF: {17DF6AC5-7074-493C-A9A0-BE0299EF956E} (VCLauncher Control) - http://www.live.sonera.com/chat/VoiceChatLauncher.ocx
O16 - DPF: {90C9629E-CD32-11D3-BBFB-00105A1F0D68} (InstallShield International Setup Player) - http://www.installengine.com/engine/isetup.cab
O16 - DPF: {9F1C11AA-197B-4942-BA54-47A8489BB47F} (Update Class) - http://v4.windowsupdate.microsoft.com/CAB/x86/unicode/iuctl.CAB?38024.056875
O16 - DPF: {C2FCEF52-ACE9-11D3-BEBD-00105AA9B6AE} (Symantec RuFSI Registry Information Class) - http://security.symantec.com/SSC/SharedContent/common/bin/cabsa.cab
O16 - DPF: {D27CDB6E-AE6D-11CF-96B8-444553540000} (Shockwave Flash Object) - http://download.macromedia.com/pub/shockwave/cabs/flash/swflash.cab
En tiedä onko näistä apua mutta ..
ENSIMMÄISEKSI lataa ja asenna KAIKKI TÄRKEÄT PÄIVITYKSET ja SERVICE PACK -päivitykset tuolta http://v4.windowsupdate.microsoft.com/fi/default.asp
pitäisi onnistua jos ei ole piraattiversiota XP:stä
Tämän jälkeen katso ja poista sieltä lisää / poista sovelluksesta seuraava ohjelma:
Gator (jollain nimellä ?) esim.CMEII tai GMT lisää tuossa sekä poisto-ohjeet
http://www.pchell.com/support/gator.shtml
Tee uusi scannaus HijackThis-ohjelmalla ja poista seuraavat rivit jos löytyy :(laita rivien eteen ruksi ja paina Fix checked-painiketta )
Sulje selain ennen tuota FIXausta !
O4 - HKLM\..\Run: [CMESys] "C:\Program Files\Common Files\CMEII\CMESys.exe"
O4 - Global Startup: GStartup.lnk = C:\Program Files\Common Files\GMT\GMT.exe
ja sitten koska se popup.exe oli se yksi ongelma niin FIXaa myös tämä
O4 - HKCU\..\Run: [Pop-Up-Blocker] "popup.exe"
littyy Tweak-XP Pro -ohjelmaan ,joten sen voi kääntää pois päältä myös sitä kautta.Jos et saa käytännön hyötyä kyseisestä ohjelmasta niin voit kyllä poistaa sen koko ohjelman sieltä lisää / poista sovelluksen kautta.
Sitten jos et tiedä mikä tämä on tai mitä se tekee niin FIXaa myös tämä rivi ja poista kansio cellulari-us.Itse en oikein löytänyt tietoja siitä.. ?
O4 - HKLM\..\Run: [cellulari-us] c:\cellulari-us\cellulari-us.exe u
FIXausten jälkeen boottaa kone (sammuta,käynnistä).
Käynnistä mahdollisesti vikasietotilassa ja poista seuraava kansio
c:\cellulari-us\
Sitten voisit vielä lukea tuon...
So how did I get infected in the first place?
http://boards.cexx.org/viewtopic.php?t=957
Meinasi unohtua.
Kun olet saanut sen Gatorin poistettua sieltä lisää / poista sovelluksesta niin poista vielä seuraavat kansiot CMEII ja GMT koneelta jos löytyy..
C:\Program Files\Common Files\CMEII
C:\Program Files\Common Files\GMT
No nyt näyttää lupaavalle; parin boottauksen jälkeen nujerretut prosessit eivät ole palanneet, "suoritinkäyttö" -grafiikka näyttää pienempiä lukemia kuin muistankaan ja mystisesti suosikkeihin ilmestyvät linkit ovat nyt pysyneet poissa.
Well Gentlemens` ,vähemmästäkin on ohrajuomaa tilattu, nyt joudutte kuitenkin tyytymään kiitoksiin!. Asia on itselleni suht` vakava, leipätyössä toimitaan paljon firman suljetussa verkossa ja mahdollisen viruksen kiikuttaminen kotikoneelta sinne veisi ainakin symboolisesti saman tien saunan taakse... Usko palomuuriin ja virustorjuntaan kylläkin sai naarmun.
Ja lopuksi vielä kiitokset ohjeita antaneille!
löysitkö tälle ohjelmalle selitysta ?
O4 - HKLM\..\Run: [cellulari-us] c:\cellulari-us\cellulari-us.exe u
c:\cellulari-us\
Mikä se on jos tunsit sen ?
Jos et tunnistanut sitä ja poistit sen kokonaan niin satuitko vilkaisemaan mitä kyseinen c:\cellulari-us kansio sisälsi ?
Tiedosta kiitollinen..
Ainoastaan vihoviimeinen kansio josta sai puristeltua alla olevat tiedot. Muistin poistaneeni roskakoriin vaan ei löytynyt enempää enää, sorry vaan. Muistikuva viittaa näin jälkikäteen johonkin puolittaiseen hyötyohjelmaan, en varma siitäkään... oli jotenkin tuttu juttu kuitenkin.
***********************************************
Alkup. tiedostonimi: cellulari-us.exe
Kieli: italia (Italia)
Kommentit: A041B001001
Sisäinen nimi: cellulari-us
Tuotenimi: dialer 1.0