Logfile of Trend Micro HijackThis v2.0.2 Scan saved at 12:04:52, on 28.9.2008 Platform: Windows XP SP3 (WinNT 5.01.2600) MSIE: Internet Explorer v6.00 SP3 (6.00.2900.5512) Boot mode: Normal Running processes: C:\WINDOWS\System32\smss.exe C:\WINDOWS\system32\winlogon.exe C:\WINDOWS\system32\services.exe C:\WINDOWS\system32\lsass.exe C:\WINDOWS\system32\svchost.exe C:\WINDOWS\System32\svchost.exe C:\WINDOWS\system32\svchost.exe C:\Program Files\Alwil Software\Avast4\aswUpdSv.exe C:\Program Files\Alwil Software\Avast4\ashServ.exe C:\WINDOWS\system32\spoolsv.exe C:\WINDOWS\system32\nvsvc32.exe C:\WINDOWS\System32\svchost.exe C:\Program Files\Alwil Software\Avast4\ashMaiSv.exe C:\Program Files\Alwil Software\Avast4\ashWebSv.exe C:\WINDOWS\Explorer.EXE C:\Program Files\Applications\iebtm.exe C:\windows\system\hpsysdrv.exe C:\WINDOWS\system32\ps2.exe C:\PROGRA~1\ALWILS~1\Avast4\ashDisp.exe C:\WINDOWS\system32\RunDLL32.exe C:\Program Files\Applications\iebtmm.exe C:\Program Files\Steam\Steam.exe C:\Program Files\Mozilla Firefox\firefox.exe C:\Program Files\Trend Micro\HijackThis\HijackThis.exe R1 - HKCU\Software\Microsoft\Internet Explorer,SearchURL = http://windiwsfsearch.com R1 - HKLM\Software\Microsoft\Internet Explorer,SearchURL = http://windiwsfsearch.com R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://windiwsfsearch.com R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Bar = http://windiwsfsearch.com/ie6.html R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = http://windiwsfsearch.com R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = about:blank R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://www.soneraplaza.fi R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://windiwsfsearch.com R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = http://windiwsfsearch.com R1 - HKCU\Software\Microsoft\Internet Explorer\Search,SearchAssistant = http://windiwsfsearch.com R0 - HKLM\Software\Microsoft\Internet Explorer\Search,SearchAssistant = http://windiwsfsearch.com R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Linkit O2 - BHO: (no name) - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - (no file) O2 - BHO: WormRadar.com IESiteBlocker.NavFilter - {3CA2F312-6F6E-4B53-A66E-4E65E497C8C0} - (no file) O2 - BHO: 768890 helper - {446EF370-1987-49DB-AAFF-8EC680903F7A} - C:\WINDOWS\system32\768890\768890.dll O2 - BHO: SSVHelper Class - {761497BB-D6F0-462C-B6EB-D4DAF1D92D43} - C:\Program Files\Java\jre1.6.0_07\bin\ssv.dll O2 - BHO: (no name) - {7E853D72-626A-48EC-A868-BA8D5E23E045} - (no file) O2 - BHO: FDMIECookiesBHO Class - {CC59E0F9-7E43-44FA-9FAA-8377850BF205} - C:\Program Files\Free Download Manager\iefdm2.dll (file missing) O2 - BHO: (no name) - {CFEE97A3-4911-444D-8BE8-E243A23D3DE2} - C:\Program Files\Applications\iebt.dll O4 - HKLM\..\Run: [hpsysdrv] c:\windows\system\hpsysdrv.exe O4 - HKLM\..\Run: [HotKeysCmds] C:\WINDOWS\System32\hkcmd.exe O4 - HKLM\..\Run: [Recguard] C:\WINDOWS\SMINST\RECGUARD.EXE O4 - HKLM\..\Run: [nwiz] nwiz.exe /install O4 - HKLM\..\Run: [VTPreset] VTPreset.exe O4 - HKLM\..\Run: [PS2] C:\WINDOWS\system32\ps2.exe O4 - HKLM\..\Run: [avast!] C:\PROGRA~1\ALWILS~1\Avast4\ashDisp.exe O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\system32\NvCpl.dll,NvStartup O4 - HKLM\..\Run: [NvMediaCenter] RunDLL32.exe NvMCTray.dll,NvTaskbarInit O4 - HKCU\..\Run: [wblogon] C:\WINDOWS\system32\algg.exe O4 - HKLM\..\Policies\Explorer\Run: [start] C:\Program Files\Applications\iebtm.exe O4 - HKUS\S-1-5-19\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 'Paikallinen palve') O4 - HKUS\S-1-5-20\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 'Verkkopalve') O8 - Extra context menu item: Download video with Free Download Manager - file://C:\Program Files\Free Download Manager\dlfvideo.htm O8 - Extra context menu item: Lataa FDM:llä - file://C:\Program Files\Free Download Manager\dllink.htm O8 - Extra context menu item: Lataa kaikki FDM:llä - file://C:\Program Files\Free Download Manager\dlall.htm O8 - Extra context menu item: Lataus valittu FDM:n toimesta - file://C:\Program Files\Free Download Manager\dlselected.htm O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\jre1.6.0_07\bin\npjpi160_07.dll O9 - Extra 'Tools' menuitem: Sun Java Console - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\jre1.6.0_07\bin\npjpi160_07.dll O9 - Extra button: (no name) - {9034A523-D068-4BE8-A284-9DF278BE776E} - http://www.ietoolthru.com/redirect.php (file missing) O9 - Extra 'Tools' menuitem: IE Anti-Spyware - {9034A523-D068-4BE8-A284-9DF278BE776E} - http://www.ietoolthru.com/redirect.php (file missing) O9 - Extra button: (no name) - {e2e2dd38-d088-4134-82b7-f2ba38496583} - C:\WINDOWS\Network Diagnostic\xpnetdiag.exe O9 - Extra 'Tools' menuitem: @xpsp3res.dll,-20001 - {e2e2dd38-d088-4134-82b7-f2ba38496583} - C:\WINDOWS\Network Diagnostic\xpnetdiag.exe O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe O14 - IERESET.INF: START_PAGE_URL=http://www.soneraplaza.fi O16 - DPF: {6E32070A-766D-4EE6-879C-DC1FA91D2FC3} (MUWebControl Class) - http://update.microsoft.com/microsoftupdate/v6/V5Controls/en/x86/client/muweb_site.cab?1220501904828 O16 - DPF: {E008A543-CEFB-4559-912F-C27C2B89F13B} (Domino Web Access 7 Control) - http://pirmail.piramk.fi/dwa7W.cab O18 - Protocol: skype4com - {FFC8B962-9B40-4DFF-9458-1830C7DD7F5D} - C:\PROGRA~1\COMMON~1\Skype\SKYPE4~1.DLL O20 - Winlogon Notify: !SASWinLogon - C:\Program Files\SUPERAntiSpyware\SASWINLO.DLL O23 - Service: Adobe LM Service - Unknown owner - C:\Program Files\Common Files\Adobe Systems Shared\Service\Adobelmsvc.exe O23 - Service: avast! iAVS4 Control Service (aswUpdSv) - ALWIL Software - C:\Program Files\Alwil Software\Avast4\aswUpdSv.exe O23 - Service: avast! Antivirus - ALWIL Software - C:\Program Files\Alwil Software\Avast4\ashServ.exe O23 - Service: avast! Mail Scanner - ALWIL Software - C:\Program Files\Alwil Software\Avast4\ashMaiSv.exe O23 - Service: avast! Web Scanner - ALWIL Software - C:\Program Files\Alwil Software\Avast4\ashWebSv.exe O23 - Service: NVIDIA Display Driver Service (NVSvc) - NVIDIA Corporation - C:\WINDOWS\system32\nvsvc32.exe O23 - Service: ServiceLayer - Unknown owner - C:\Program Files\PC Connectivity Solution\ServiceLayer.exe (file missing) -- End of file - 6743 bytes Koneessa on tullut uusia selain ikkunoita jossa lukee jotain:
Lataa SmitfraudFix (c) S!Ri Pura sisältö (kansio nimeltä SmitfraudFix) työpöydällesi: Avaa SmitfraudFix kansio ja tupla-klikkaa smitfraudfix.cmd Valitse optio #1 - Search kirjoittamalla 1 ja painamalla "Enter"; tekstitiedosto avautuu, joka listaa tarttuneet tiedostot (jos olemassa). Postita ponnahtava rapport – muistion sisältö viestiketjuusi. Löytyy myös C:\rapport.txt Huomaa : process.exe filun tunnistaa jotkut Anti-virus ohjelmat (AntiVir, Dr.Web, Kaspersky) "Haittakaluna"; se ei ole virus, vaan ohjelma joka pysäyttää prosesseja. A/V ohjelmat eivät pysty tunnistamaan hyvän ja pahan käytön tälläisten ohjelmian väliltä, silloin ne saattavat varoittaa käyttäjää.
SmitFraudFix v2.354 Scan done at 13:15:49,04, su 28.09.2008 Run from C:\Documents and Settings\Omistaja\Ty”p”yt„\SmitfraudFix OS: Microsoft Windows XP [versio 5.1.2600] - Windows_NT The filesystem type is NTFS Fix run in normal mode »»»»»»»»»»»»»»»»»»»»»»»» Process C:\WINDOWS\System32\smss.exe C:\WINDOWS\system32\winlogon.exe C:\WINDOWS\system32\services.exe C:\WINDOWS\system32\lsass.exe C:\WINDOWS\system32\svchost.exe C:\WINDOWS\System32\svchost.exe C:\WINDOWS\system32\svchost.exe C:\Program Files\Alwil Software\Avast4\aswUpdSv.exe C:\Program Files\Alwil Software\Avast4\ashServ.exe C:\WINDOWS\system32\spoolsv.exe C:\WINDOWS\system32\nvsvc32.exe C:\WINDOWS\System32\svchost.exe C:\Program Files\Alwil Software\Avast4\ashMaiSv.exe C:\Program Files\Alwil Software\Avast4\ashWebSv.exe C:\WINDOWS\Explorer.EXE C:\Program Files\Applications\iebtm.exe C:\windows\system\hpsysdrv.exe C:\WINDOWS\system32\ps2.exe C:\PROGRA~1\ALWILS~1\Avast4\ashDisp.exe C:\WINDOWS\system32\RunDLL32.exe C:\WINDOWS\system32\algg.exe C:\Program Files\Applications\iebtmm.exe C:\Program Files\Steam\Steam.exe C:\Program Files\Mozilla Firefox\firefox.exe C:\WINDOWS\system32\cmd.exe »»»»»»»»»»»»»»»»»»»»»»»» hosts »»»»»»»»»»»»»»»»»»»»»»»» C:\ »»»»»»»»»»»»»»»»»»»»»»»» C:\WINDOWS »»»»»»»»»»»»»»»»»»»»»»»» C:\WINDOWS\system »»»»»»»»»»»»»»»»»»»»»»»» C:\WINDOWS\Web »»»»»»»»»»»»»»»»»»»»»»»» C:\WINDOWS\system32 C:\WINDOWS\system32\algg.exe FOUND ! C:\WINDOWS\system32\MSx.cpl FOUND ! »»»»»»»»»»»»»»»»»»»»»»»» C:\WINDOWS\system32\LogFiles »»»»»»»»»»»»»»»»»»»»»»»» C:\Documents and Settings\Omistaja »»»»»»»»»»»»»»»»»»»»»»»» C:\Documents and Settings\Omistaja\Application Data »»»»»»»»»»»»»»»»»»»»»»»» Start Menu C:\DOCUME~1\ALLUSE~1\KYNNIS~1\Antivirus Scan.url FOUND ! C:\DOCUME~1\ALLUSE~1\KYNNIS~1\Online Spyware Test.url FOUND ! »»»»»»»»»»»»»»»»»»»»»»»» C:\DOCUME~1\Omistaja\Suosikit C:\DOCUME~1\Omistaja\Suosikit\Antivirus Scan.url FOUND ! »»»»»»»»»»»»»»»»»»»»»»»» Desktop »»»»»»»»»»»»»»»»»»»»»»»» C:\Program Files C:\Program Files\Applications\ FOUND ! »»»»»»»»»»»»»»»»»»»»»»»» Corrupted keys »»»»»»»»»»»»»»»»»»»»»»»» Desktop Components [HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\Desktop\Components\0] "Source"="About:Home" "SubscribedURL"="About:Home" "FriendlyName"="Nykyinen kotisivu" »»»»»»»»»»»»»»»»»»»»»»»» o4Patch !!!Attention, following keys are not inevitably infected!!! o4Patch Credits: Malware Analysis & Diagnostic Code: S!Ri »»»»»»»»»»»»»»»»»»»»»»»» IEDFix !!!Attention, following keys are not inevitably infected!!! IEDFix Credits: Malware Analysis & Diagnostic Code: S!Ri »»»»»»»»»»»»»»»»»»»»»»»» VACFix !!!Attention, following keys are not inevitably infected!!! VACFix Credits: Malware Analysis & Diagnostic Code: S!Ri »»»»»»»»»»»»»»»»»»»»»»»» 404Fix !!!Attention, following keys are not inevitably infected!!! 404Fix Credits: Malware Analysis & Diagnostic Code: S!Ri +--------------------------------------------------+ [!] Suspicious: 768890.dll BHO: 768890 Class - {446EF370-1987-49DB-AAFF-8EC680903F7A} BHO CLSID TypeLib: {E63648F7-3933-440E-AAAA-A8584DD7B7EB} Corrected TypeLib: {E63648F7-3933-440E-B4F6-A8584DD7B7EB} »»»»»»»»»»»»»»»»»»»»»»»» AntiXPVSTFix !!!Attention, following keys are not inevitably infected!!! »»»»»»»»»»»»»»»»»»»»»»»» Sharedtaskscheduler !!!Attention, following keys are not inevitably infected!!! SrchSTS.exe by S!Ri Search SharedTaskScheduler's .dll »»»»»»»»»»»»»»»»»»»»»»»» AppInit_DLLs !!!Attention, following keys are not inevitably infected!!! [HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Windows] "AppInit_DLLs"="" "LoadAppInit_DLLs"=dword:00000001 »»»»»»»»»»»»»»»»»»»»»»»» Winlogon !!!Attention, following keys are not inevitably infected!!! [HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon] "Userinit"="C:\\WINDOWS\\system32\\userinit.exe," "System"="" »»»»»»»»»»»»»»»»»»»»»»»» RK »»»»»»»»»»»»»»»»»»»»»»»» DNS Description: Realtek RTL8139 Family PCI Fast Ethernet NIC - Paketinajoituksen miniportti DNS Server Search Order: 10.0.0.2 HKLM\SYSTEM\CCS\Services\Tcpip\..\{D3150744-2117-4E46-B618-B71BBCE5F967}: DhcpNameServer=10.0.0.2 HKLM\SYSTEM\CS1\Services\Tcpip\..\{D3150744-2117-4E46-B618-B71BBCE5F967}: DhcpNameServer=10.0.0.2 HKLM\SYSTEM\CS2\Services\Tcpip\..\{D3150744-2117-4E46-B618-B71BBCE5F967}: DhcpNameServer=10.0.0.2 HKLM\SYSTEM\CS3\Services\Tcpip\..\{D3150744-2117-4E46-B618-B71BBCE5F967}: DhcpNameServer=10.0.0.2 HKLM\SYSTEM\CCS\Services\Tcpip\Parameters: DhcpNameServer=10.0.0.2 HKLM\SYSTEM\CS1\Services\Tcpip\Parameters: DhcpNameServer=10.0.0.2 HKLM\SYSTEM\CS2\Services\Tcpip\Parameters: DhcpNameServer=10.0.0.2 HKLM\SYSTEM\CS3\Services\Tcpip\Parameters: DhcpNameServer=10.0.0.2 »»»»»»»»»»»»»»»»»»»»»»»» Scanning for wininet.dll infection »»»»»»»»»»»»»»»»»»»»»»»» End
scannaa hjt:llä merkkaa paina Fix checked R1 - HKCU\Software\Microsoft\Internet Explorer,SearchURL = http://windiwsfsearch.com R1 - HKLM\Software\Microsoft\Internet Explorer,SearchURL = http://windiwsfsearch.com R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://windiwsfsearch.com R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Bar = http://windiwsfsearch.com/ie6.html R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = http://windiwsfsearch.com R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = about:blank R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://windiwsfsearch.com R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = http://windiwsfsearch.com R1 - HKCU\Software\Microsoft\Internet Explorer\Search,SearchAssistant = http://windiwsfsearch.com R0 - HKLM\Software\Microsoft\Internet Explorer\Search,SearchAssistant = http://windiwsfsearch.com O2 - BHO: WormRadar.com IESiteBlocker.NavFilter - {3CA2F312-6F6E-4B53-A66E-4E65E497C8C0} - (no file) O2 - BHO: WormRadar.com IESiteBlocker.NavFilter - {3CA2F312-6F6E-4B53-A66E-4E65E497C8C0} - (no file) O2 - BHO: (no name) - {7E853D72-626A-48EC-A868-BA8D5E23E045} - (no file) O2 - BHO: FDMIECookiesBHO Class - {CC59E0F9-7E43-44FA-9FAA-8377850BF205} - C:\Program Files\Free Download Manager\iefdm2.dll (file missing) O4 - HKLM\..\Policies\Explorer\Run: [start] C:\Program Files\Applications\iebtm.exe =============== Printtaa ohjeet ulos Käynnistä koneesi vikasietotilaan ja valitse tavallinen käyttäjätilisi. Vikasietotilaan: sammuta ja käynnistä käynnistyksen yhteydessä hakkaa F8 nappia valitse nuolinäppäimellä vikasietotila paina enter ja enter valitse käyttäjätilisi paina kyllä Jossakin koneissa hakataan F8:sin sijasta F5:tä Kun vikasietotilassa, avaa SmitfraudFix kansio ja tupla-klikkaa smitfraudfix.cmd Valitse optio #2 - Clean kirjoittamalla 2 ja painamalla "Enter" poistaaksesi tarttuneet tiedostot. Sinulta kysytään: "Registry cleaning - Do you want to clean the registry ?"; vastaa "Yes" kirjoittamalla Y ja paina "Enter" poistaaksesi työpöydän taustakuvan ja puhdistaaksesi tarttuneet rekisteriavaimet. Työkalu tarkistaa jos wininet.dll on tarttunut. Sinua saatetaan pyytää korvaamaan tarttunut .dll (jos löytyy); vastaa "Yes" kirjoittamalla Y ja painamalla "Enter". Työkalun saattaa tarvita käynnistää kone uudelleen; jos ei tee niin, käynnistä normaaliin Windowsiin. Tekstitiedosto ilmestyy, puhdistusprosessin jäljiltä; kopioi & liitä tämän raportin tulokset vastaukseesi. Raportti löytyy paikalliselta levyltäsi, useimmiten C:\rapport.txt. Varoitus : Ajamalla optio 2:n EI-tarttuneessa tietokoneessa, poistaa sinun työpöytäsi taustakuvan. ================ Jos koneella on Malwarebytes' Anti-Malware ennestään suorita ensin päivitys aja sen jälkeen. Lataa Malwarebytes' Anti-Malware työpöydällesi. 1. Tuplaklikkaa mbam-setup.exe ja seuraa ohjeita asentaaksesi ohjelman. 2. Lopuksi varmistu, että seuraavat on valittu: Update Malwarebytes', Anti-Malwareja Launch Malwarebytes' Anti-Malware ja sen jälkeen klikkaaFinish. 3. Jos päivitys löytyy. ohjelma lataa ja asentaa uusimman version. 4. Kun ohjelma on latautunut, valitse Perform full scan ja klikkaa Scan. 5. Kun skanni on valmis, klikkaa OK ja sitten Show Results nähdäksesi tulokset. 6. Varmistu, että kaikki on merkitty ja klikkaa Remove Selected. 7. Tämän jälkeen loki avautuu muistioon. Tallenna se paikkaan, josta löydät sen helposti. Loki löytyy myös täältä: C:\Documents and Settings\Käyttäjänimi\Application Data\Malwarebytes\Malwarebytes' Anti-Malware\Logs\log-päiväys.txt 8. Lähetä lokin sisältö seuraavassa viestissäsi
SmitFraudFix v2.354 Scan done at 15:57:03,07, su 28.09.2008 Run from C:\Documents and Settings\Omistaja\Ty”p”yt„\SmitfraudFix OS: Microsoft Windows XP [versio 5.1.2600] - Windows_NT The filesystem type is NTFS Fix run in safe mode »»»»»»»»»»»»»»»»»»»»»»»» SharedTaskScheduler Before SmitFraudFix !!!Attention, following keys are not inevitably infected!!! SrchSTS.exe by S!Ri Search SharedTaskScheduler's .dll »»»»»»»»»»»»»»»»»»»»»»»» Killing process »»»»»»»»»»»»»»»»»»»»»»»» hosts 127.0.0.1 localhost »»»»»»»»»»»»»»»»»»»»»»»» VACFix VACFix Credits: Malware Analysis & Diagnostic Code: S!Ri »»»»»»»»»»»»»»»»»»»»»»»» Winsock2 Fix S!Ri's WS2Fix: LSP not Found. »»»»»»»»»»»»»»»»»»»»»»»» Generic Renos Fix GenericRenosFix by S!Ri »»»»»»»»»»»»»»»»»»»»»»»» Deleting infected files C:\WINDOWS\system32\algg.exe Deleted C:\WINDOWS\system32\MSx.cpl Deleted C:\DOCUME~1\ALLUSE~1\KYNNIS~1\Antivirus Scan.url Deleted C:\DOCUME~1\ALLUSE~1\KYNNIS~1\Online Spyware Test.url Deleted C:\DOCUME~1\Omistaja\Suosikit\Antivirus Scan.url Deleted C:\Program Files\Applications\ Deleted »»»»»»»»»»»»»»»»»»»»»»»» IEDFix IEDFix Credits: Malware Analysis & Diagnostic Code: S!Ri »»»»»»»»»»»»»»»»»»»»»»»» 404Fix 404Fix Credits: Malware Analysis & Diagnostic Code: S!Ri C:\WINDOWS\system32\768890\768890.dll deleted. C:\WINDOWS\system32\768890\ deleted. »»»»»»»»»»»»»»»»»»»»»»»» AntiXPVSTFix AntiXPVSTFix Credits: Malware Analysis & Diagnostic Code: S!Ri »»»»»»»»»»»»»»»»»»»»»»»» RK »»»»»»»»»»»»»»»»»»»»»»»» DNS »»»»»»»»»»»»»»»»»»»»»»»» Deleting Temp Files »»»»»»»»»»»»»»»»»»»»»»»» Winlogon.System !!!Attention, following keys are not inevitably infected!!! [HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon] "System"="" »»»»»»»»»»»»»»»»»»»»»»»» Registry Cleaning Registry Cleaning done. »»»»»»»»»»»»»»»»»»»»»»»» SharedTaskScheduler After SmitFraudFix !!!Attention, following keys are not inevitably infected!!! SrchSTS.exe by S!Ri Search SharedTaskScheduler's .dll »»»»»»»»»»»»»»»»»»»»»»»» End
Lataa SDFix by AndyManchesta ja tallenna se työpöydällesi. Käynnistä koneesi vikasietotilaan: sammuta ja käynnistä käynnistyksen yhteydessä hakkaa F8 nappia valitse nuolinäppäimellä vikasietotila paina enter ja enter valitse käyttäjätilisi paina kyllä Jossakin koneissa hakataan F8:sin sijasta F5:tä " Kun vikasietotilassa, pura tiedoston SDFix.zip sisältö (SDFix kansio) työpöydällesi. Työpöydälle pitäisi ilmestyä kansio nimeltä SDFix. " Avaa SDFix-kansio ja tuplaklikkaa tiedostoa RunThis.bat käynnistääksesi ohjelman. " Paina Y käynnistääksesi skriptin. " Työkalu puhdistaa troijalaisen palvelut ja tekee myös joitakin korjauksia rekisteriin. Lopuksi se pyytää käynnistämään koneen uudelleen, "Press any key to Reboot". " Paina mitä tahansa näppäintä ja kone käynnistyy uudelleen. " Käynnistyminen kestää normaalia kauemmin sillä SDFix puhdistaa konetta. " Kun kone on käynnistynyt ja työpöytä latautunut, SDFix kertoo että puhdistus on suoritettu, "Finished". " Paina sitten mitä tahansa näppäintä sulkeaksesi skriptin ja ladataksesi pikakuvakkeet työpöydälle. " Lopuksi avaa SDFix kansio (työpöydällä) ja kopioi & liitä tiedoston Report.txt sisältö viestiketjuusi uuden HijackThis:n lokin kera.
noinhan tein loppujen lopuks... tossa malware bytesin logi... Malwarebytes' Anti-Malware 1.28 Tietokantaversio: 1218 Windows 5.1.2600 Service Pack 3 28.9.2008 18:35:03 mbam-log-2008-09-28 (18-35-03).txt Tarkistustyyppi: Täysi tarkistus (C:\|D:\|) Tarkistetut kohteet: 118321 Kulunut aika: 1 hour(s), 16 minute(s), 24 second(s) Saastuneita muistiprosesseja: 0 Saastuneita muistimoduuleja: 0 Saastuneita rekisteriavaimia: 13 Saastuneita rekisteriarvoja: 1 Saastuneita rekisterikohteita: 0 Saastuneita hakemistoja: 0 Saastuneita tiedostoja: 3 Saastuneita muistiprosesseja: (Haitallisia kohteita ei löydetty) Saastuneita muistimoduuleja: (Haitallisia kohteita ei löydetty) Saastuneita rekisteriavaimia: HKEY_CLASSES_ROOT\Interface\{48dc6ffb-64d7-42e8-949d-8ef2641eb73a} (Adware.BHO) -> Quarantined and deleted successfully. HKEY_CLASSES_ROOT\Interface\{c1a6d8b8-93c3-4186-9dd1-13983f9f1d9b} (Adware.RightOnAds) -> Quarantined and deleted successfully. HKEY_CLASSES_ROOT\Typelib\{b4094603-dda9-4caf-9b13-0ad1034c9c53} (Adware.BHO) -> Quarantined and deleted successfully. HKEY_CLASSES_ROOT\Typelib\{3160f356-e8c3-4de2-a698-92eeeb3d3400} (Adware.RightOnAds) -> Quarantined and deleted successfully. HKEY_CLASSES_ROOT\AppID\{8d71eeb8-a1a7-4733-8fa2-1cac015c967d} (Adware.BHO) -> Quarantined and deleted successfully. HKEY_CURRENT_USER\SOFTWARE\Microsoft\Internet Explorer\SearchScopes\{daed9266-8c28-4c1c-8b58-5c66eff1d302} (Search.Hijack) -> Quarantined and deleted successfully. HKEY_CLASSES_ROOT\y456.y456mgr (Trojan.BHO) -> Quarantined and deleted successfully. HKEY_CLASSES_ROOT\y456.y456mgr.1 (Trojan.BHO) -> Quarantined and deleted successfully. HKEY_CURRENT_USER\SOFTWARE\Microsoft\adssite (Adware.Agent) -> Quarantined and deleted successfully. HKEY_CLASSES_ROOT\AppID\Sidebar.DLL (Adware.BHO) -> Quarantined and deleted successfully. HKEY_CURRENT_USER\SOFTWARE\MediaHoldings (Adware.PlayMP3Z) -> Quarantined and deleted successfully. HKEY_CURRENT_USER\SOFTWARE\Microsoft\HID_Layer (Malware.Trace) -> Quarantined and deleted successfully. HKEY_CLASSES_ROOT\CLSID\e405.e405mgr (Trojan.Zlob) -> Quarantined and deleted successfully. Saastuneita rekisteriarvoja: HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\wblogon (Trojan.Zlob) -> Quarantined and deleted successfully. Saastuneita rekisterikohteita: (Haitallisia kohteita ei löydetty) Saastuneita hakemistoja: (Haitallisia kohteita ei löydetty) Saastuneita tiedostoja: C:\Documents and Settings\Omistaja\Local Settings\Temporary Internet Files\Content.IE5\AVGVGREX\MSXSetup[1].exe (Trojan.FakeAlert) -> Quarantined and deleted successfully. C:\WINDOWS\system32\WhoisCL.exe (Adware.BHO) -> Quarantined and deleted successfully. C:\Documents and Settings\Omistaja\Application Data\urlredir.cfg (Adware.RightOnAds) -> Quarantined and deleted successfully.
SDFIX SDFix: Version 1.229 Run by Omistaja on su 28.09.2008 at 19:46 Microsoft Windows XP [versio 5.1.2600] Running From: C:\Documents and Settings\Omistaja\Ty”p”yt„\SDFix Checking Services : Restoring Default Security Values Restoring Default Hosts File Rebooting Checking Files : No Trojan Files Found Removing Temp Files ADS Check : Hijackthis Logfile of Trend Micro HijackThis v2.0.2 Scan saved at 20:09:21, on 28.9.2008 Platform: Windows XP SP3 (WinNT 5.01.2600) MSIE: Internet Explorer v6.00 SP3 (6.00.2900.5512) Boot mode: Normal Running processes: C:\WINDOWS\System32\smss.exe C:\WINDOWS\system32\winlogon.exe C:\WINDOWS\system32\services.exe C:\WINDOWS\system32\lsass.exe C:\WINDOWS\system32\svchost.exe C:\WINDOWS\System32\svchost.exe C:\WINDOWS\system32\svchost.exe C:\Program Files\Alwil Software\Avast4\aswUpdSv.exe C:\Program Files\Alwil Software\Avast4\ashServ.exe C:\WINDOWS\system32\spoolsv.exe C:\WINDOWS\system32\nvsvc32.exe C:\WINDOWS\System32\svchost.exe C:\Program Files\Alwil Software\Avast4\ashMaiSv.exe C:\Program Files\Alwil Software\Avast4\ashWebSv.exe C:\WINDOWS\Explorer.EXE C:\PROGRA~1\ALWILS~1\Avast4\ashDisp.exe C:\WINDOWS\system32\ps2.exe C:\WINDOWS\system32\wuauclt.exe C:\WINDOWS\system32\RunDLL32.exe C:\windows\system\hpsysdrv.exe C:\Program Files\Mozilla Firefox\firefox.exe C:\Program Files\Trend Micro\HijackThis\HijackThis.exe R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Linkit O2 - BHO: (no name) - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - (no file) O2 - BHO: SSVHelper Class - {761497BB-D6F0-462C-B6EB-D4DAF1D92D43} - C:\Program Files\Java\jre1.6.0_07\bin\ssv.dll O2 - BHO: (no name) - {7E853D72-626A-48EC-A868-BA8D5E23E045} - (no file) O4 - HKLM\..\Run: [avast!] C:\PROGRA~1\ALWILS~1\Avast4\ashDisp.exe O4 - HKLM\..\Run: [VTPreset] VTPreset.exe O4 - HKLM\..\Run: [Recguard] C:\WINDOWS\SMINST\RECGUARD.EXE O4 - HKLM\..\Run: [PS2] C:\WINDOWS\system32\ps2.exe O4 - HKLM\..\Run: [nwiz] nwiz.exe /install O4 - HKLM\..\Run: [NvMediaCenter] RunDLL32.exe NvMCTray.dll,NvTaskbarInit O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\system32\NvCpl.dll,NvStartup O4 - HKLM\..\Run: [hpsysdrv] c:\windows\system\hpsysdrv.exe O4 - HKLM\..\Run: [HotKeysCmds] C:\WINDOWS\System32\hkcmd.exe O4 - HKUS\S-1-5-19\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 'Paikallinen palve') O4 - HKUS\S-1-5-20\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 'Verkkopalve') O8 - Extra context menu item: Download video with Free Download Manager - file://C:\Program Files\Free Download Manager\dlfvideo.htm O8 - Extra context menu item: Lataa FDM:llä - file://C:\Program Files\Free Download Manager\dllink.htm O8 - Extra context menu item: Lataa kaikki FDM:llä - file://C:\Program Files\Free Download Manager\dlall.htm O8 - Extra context menu item: Lataus valittu FDM:n toimesta - file://C:\Program Files\Free Download Manager\dlselected.htm O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\jre1.6.0_07\bin\npjpi160_07.dll O9 - Extra 'Tools' menuitem: Sun Java Console - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\jre1.6.0_07\bin\npjpi160_07.dll O9 - Extra button: (no name) - {e2e2dd38-d088-4134-82b7-f2ba38496583} - C:\WINDOWS\Network Diagnostic\xpnetdiag.exe O9 - Extra 'Tools' menuitem: @xpsp3res.dll,-20001 - {e2e2dd38-d088-4134-82b7-f2ba38496583} - C:\WINDOWS\Network Diagnostic\xpnetdiag.exe O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe O14 - IERESET.INF: START_PAGE_URL=http://www.soneraplaza.fi O16 - DPF: {6E32070A-766D-4EE6-879C-DC1FA91D2FC3} (MUWebControl Class) - http://update.microsoft.com/microsoftupdate/v6/V5Controls/en/x86/client/muweb_site.cab?1220501904828 O18 - Protocol: skype4com - {FFC8B962-9B40-4DFF-9458-1830C7DD7F5D} - C:\PROGRA~1\COMMON~1\Skype\SKYPE4~1.DLL O20 - Winlogon Notify: !SASWinLogon - C:\Program Files\SUPERAntiSpyware\SASWINLO.DLL O23 - Service: Adobe LM Service - Unknown owner - C:\Program Files\Common Files\Adobe Systems Shared\Service\Adobelmsvc.exe O23 - Service: avast! iAVS4 Control Service (aswUpdSv) - ALWIL Software - C:\Program Files\Alwil Software\Avast4\aswUpdSv.exe O23 - Service: avast! Antivirus - ALWIL Software - C:\Program Files\Alwil Software\Avast4\ashServ.exe O23 - Service: avast! Mail Scanner - ALWIL Software - C:\Program Files\Alwil Software\Avast4\ashMaiSv.exe O23 - Service: avast! Web Scanner - ALWIL Software - C:\Program Files\Alwil Software\Avast4\ashWebSv.exe O23 - Service: NVIDIA Display Driver Service (NVSvc) - NVIDIA Corporation - C:\WINDOWS\system32\nvsvc32.exe O23 - Service: ServiceLayer - Unknown owner - C:\Program Files\PC Connectivity Solution\ServiceLayer.exe (file missing) -- End of file - 4761 bytes En ole varma mutta toi sdfixin logi saattaa olla jäänyt tekemättä loppuun koska jätin sen raksuttamaan ja sitte tulin tunnin parin päästä takas ja oli kone sammunu... eli pistän uuden jos on tarvetta.
1.Lataa Combofix.exe työpöydällesi yhdestä linkistä: Combofix1 Combofix2 2. Tuplaklikkaa Combofix.exe tiedostoa ja seuraa ohjeistuksia. 3. Kun työkalu on valmis, se tuottaa lokin. Lähetä tämä loki viesti ketjuusi. Huom! Älä klikkaile combofixin ikkunaa käytön aikana. Tämä saattaa aiheuttaa ohjelman jumiutumisen.
ComboFix 08-09-28.05 - Omistaja 2008-09-30 18:06:52.1 - NTFSx86 Sijainti: C:\Documents and Settings\Omistaja\Ty”p”yt„\ComboFix.exe VAROITUS - PALAUTUSKONSOLIA EI OLE ASENNETTU !! . (((((((((((((((((((((((((((((((((((((( Muut poistot )))))))))))))))))))))))))))))))))))))))))))))))))))))))) . C:\WINDOWS\Downloaded Program Files\setup.inf . ((((( Tiedostot, jotka on luotu seuraavalla aikavälillä: 2008-08-28 to 2008-09-30 ))))))))))))))))) . 2008-09-29 21:48 . 2008-09-29 21:48 23,600 --a------ C:\WINDOWS\system32\drivers\TVICHW32.SYS 2008-09-29 15:34 . 2008-09-29 16:45 664 --a------ C:\WINDOWS\system32\d3d9caps.dat 2008-09-28 19:44 . 2008-09-28 19:44 579,072 --a--c--- C:\WINDOWS\system32\dllcache\user32.dll 2008-09-28 19:42 . 2008-09-28 19:42 <KANSIO> d-------- C:\WINDOWS\ERUNT 2008-09-28 16:07 . 2008-09-28 16:21 <KANSIO> d-------- C:\Program Files\Malwarebytes' Anti-Malware 2008-09-28 16:07 . 2008-09-28 16:07 <KANSIO> d-------- C:\Documents and Settings\Omistaja\Application Data\Malwarebytes 2008-09-28 16:07 . 2008-09-28 16:07 <KANSIO> d-------- C:\Documents and Settings\All Users\Application Data\Malwarebytes 2008-09-28 16:07 . 2008-09-10 00:04 38,528 --a------ C:\WINDOWS\system32\drivers\mbamswissarmy.sys 2008-09-28 16:07 . 2008-09-10 00:03 17,200 --a------ C:\WINDOWS\system32\drivers\mbam.sys 2008-09-28 15:54 . 2008-09-28 15:54 <KANSIO> d-------- C:\Documents and Settings\J„rjestelm„nvalvoja 2008-09-28 15:54 . <KANSIO> C:\Documents and Settings\Järjestelmänvalvoja\WINDOWS 2008-09-28 15:54 . <KANSIO> C:\Documents and Settings\Järjestelmänvalvoja\Verkkoymp„rist” 2008-09-28 15:54 . <KANSIO> C:\Documents and Settings\Järjestelmänvalvoja\Ty”p”yt„ 2008-09-28 15:54 . <KANSIO> C:\Documents and Settings\Järjestelmänvalvoja\Tulostinymp„rist” 2008-09-28 15:54 . <KANSIO> C:\Documents and Settings\Järjestelmänvalvoja\Suosikit 2008-09-28 15:54 . <KANSIO> C:\Documents and Settings\Järjestelmänvalvoja\Omat tiedostot 2008-09-28 15:54 . <KANSIO> C:\Documents and Settings\Järjestelmänvalvoja\Mallit 2008-09-28 15:54 . <KANSIO> C:\Documents and Settings\Järjestelmänvalvoja\K„ynnist„-valikko 2008-09-28 15:54 . <KANSIO> C:\Documents and Settings\Järjestelmänvalvoja\Application Data\VERITAS 2008-09-28 15:54 . <KANSIO> C:\Documents and Settings\Järjestelmänvalvoja\Application Data\SampleView 2008-09-28 15:54 . <KANSIO> C:\Documents and Settings\Järjestelmänvalvoja\Application Data\Microsoft 2008-09-28 15:54 . <KANSIO> C:\Documents and Settings\Järjestelmänvalvoja\Application Data\InterTrust 2008-09-28 15:54 . <KANSIO> C:\Documents and Settings\Järjestelmänvalvoja\Application Data\Identities 2008-09-28 15:54 . <KANSIO> C:\Documents and Settings\Järjestelmänvalvoja\Application Data\Adobe 2008-09-28 13:16 . 2008-09-28 15:57 476 --a------ C:\WINDOWS\system32\tmp.reg 2008-09-28 11:25 . 2008-09-28 11:25 <KANSIO> d-------- C:\Program Files\Trend Micro 2008-09-14 10:20 . 2008-09-30 16:00 <KANSIO> d-------- C:\Documents and Settings\Omistaja\Application Data\skypePM 2008-09-14 10:20 . 2008-09-14 10:20 56 --ah----- C:\WINDOWS\system32\ezsidmv.dat 2008-09-14 10:14 . 2008-09-30 18:07 <KANSIO> d-------- C:\Documents and Settings\Omistaja\Application Data\Skype 2008-09-14 10:11 . 2008-09-14 22:14 <KANSIO> d-------- C:\Program Files\Skype 2008-09-14 10:11 . 2008-09-14 10:11 <KANSIO> d-------- C:\Program Files\Common Files\Skype 2008-09-13 19:47 . 2008-09-26 16:52 23 --a------ C:\WINDOWS\popcinfot.dat 2008-09-06 14:33 . 2008-09-25 20:15 <KANSIO> d-------- C:\HammerAutosave 2008-09-06 01:36 . 2007-09-15 16:11 27,136 --a------ C:\WINDOWS\system32\PCWizard.cpl 2008-09-06 00:12 . 2008-09-06 00:12 45 --a------ C:\WINDOWS\system32\initdebug.nfo 2008-09-05 17:18 . 2008-09-05 17:18 <KANSIO> d-------- C:\Program Files\Illustrate 2008-09-05 17:18 . 2008-09-05 17:18 167,936 --a------ C:\WINDOWS\system32\SpoonUninstall.exe 2008-09-05 17:18 . 2008-09-05 17:17 27,958 --a------ C:\WINDOWS\system32\SpoonUninstall-dBpowerAMP Music Converter.bmp 2008-09-05 17:18 . 2008-09-05 17:18 17,871 --a------ C:\WINDOWS\system32\SpoonUninstall-dBpowerAMP Music Converter.dat 2008-09-05 16:01 . 2008-09-05 16:01 <KANSIO> d-------- C:\Program Files\Common Files\Thraex Software 2008-09-04 07:55 . 2008-09-04 08:14 <KANSIO> d-------- C:\WINDOWS\NV1202944.TMP 2008-09-03 18:19 . 2008-09-14 20:46 <KANSIO> d-------- C:\Documents and Settings\Omistaja\Application Data\HLSW 2008-09-03 07:55 . 2008-09-14 20:59 <KANSIO> d-------- C:\Downloads 2008-09-02 15:57 . 2008-09-17 22:19 <KANSIO> d-------- C:\Program Files\mIRC 2008-08-31 21:42 . 2008-08-31 21:42 <KANSIO> d-------- C:\Documents and Settings\All Users\Application Data\NVIDIA 2008-08-31 21:38 . 2008-08-31 21:38 <KANSIO> d-------- C:\Documents and Settings\All Users\Application Data\nView_Profiles 2008-08-31 21:32 . 2008-09-30 14:29 89,391 --a------ C:\WINDOWS\system32\nvapps.xml 2008-08-31 21:31 . 2008-08-31 21:31 <KANSIO> d-------- C:\NVIDIA 2008-08-31 21:31 . 2006-10-22 15:06 208,896 --a------ C:\WINDOWS\system32\NVUNINST.EXE 2008-08-31 21:24 . 2006-10-22 15:06 208,896 --a------ C:\WINDOWS\system32\nvudisp.exe 2008-08-31 21:24 . 2006-10-22 12:22 17,056 --a------ C:\WINDOWS\system32\nvdisp.nvu 2008-08-31 15:20 . 2008-08-31 15:20 <KANSIO> d-------- C:\movie 2008-08-27 17:03 . 2008-09-14 21:01 <KANSIO> d-------- C:\Documents and Settings\Omistaja\Application Data\Free Download Manager 2008-08-27 17:03 . 2008-08-27 17:03 <KANSIO> d-------- C:\Documents and Settings\All Users\Application Data\FreeDownloadManager.ORG 2008-08-26 17:48 . 2008-08-26 19:16 <KANSIO> d-------- C:\TOMBRAID 2008-08-25 20:37 . 2008-08-25 20:37 <KANSIO> d-------- C:\Program Files\QuickSFV 2008-08-21 22:34 . 2008-08-21 22:37 <KANSIO> d-------- C:\Documents and Settings\Omistaja\.SunDownloadManager 2008-08-21 22:20 . 2008-08-21 22:20 <KANSIO> d-------- C:\Documents and Settings\Omistaja\Application Data\Subversion 2008-08-19 22:00 . 2008-08-19 22:00 <KANSIO> d-------- C:\Documents and Settings\Omistaja\Application Data\Locktime 2008-08-19 21:53 . 2008-08-19 21:53 <KANSIO> d-------- C:\Documents and Settings\All Users\Application Data\Locktime 2008-08-18 22:24 . 2008-08-18 22:34 <KANSIO> d-a------ C:\Documents and Settings\All Users\Application Data\TEMP 2008-08-18 18:50 . 2008-08-18 18:50 <KANSIO> d-------- C:\Documents and Settings\Omistaja\Application Data\FLV Extract 2008-08-17 20:39 . 2008-08-17 20:39 <KANSIO> d-------- C:\Documents and Settings\Omistaja\Application Data\Soldat 2008-08-14 22:06 . 2008-08-14 22:06 <KANSIO> d-------- C:\WINDOWS\.delta_store 2008-08-14 19:48 . 2008-08-14 22:08 <KANSIO> d-------- C:\WINDOWS\.ds_store 2008-08-14 16:47 . 1996-07-16 15:41 1,093,958 --a------ C:\WINDOWS\system\GLAUX.LIB 2008-08-14 16:47 . 1996-07-16 15:33 336,274 --a------ C:\WINDOWS\system\OPENGL32.LIB 2008-08-14 16:47 . 1996-07-29 12:09 139,712 --a------ C:\WINDOWS\system\GLU32.DLL 2008-08-14 16:47 . 1996-05-22 18:52 68,392 --a------ C:\WINDOWS\system\GL.H 2008-08-14 16:47 . 1996-06-12 15:37 49,514 --a------ C:\WINDOWS\system\GLU32.LIB 2008-08-14 16:47 . 1996-05-17 15:35 18,282 --a------ C:\WINDOWS\system\GLU.H 2008-08-14 16:47 . 1996-02-09 09:42 12,024 --a------ C:\WINDOWS\system\GLAUX.H 2008-08-14 16:46 . 1996-07-29 12:11 733,296 --a------ C:\WINDOWS\system\OPENGL32.DLL 2008-08-13 20:30 . 2008-05-01 17:35 331,776 -----c--- C:\WINDOWS\system32\dllcache\msadce.dll 2008-08-13 20:23 . 2008-04-11 22:05 691,712 -----c--- C:\WINDOWS\system32\dllcache\inetcomm.dll 2008-08-13 19:57 . 2008-08-13 19:57 <KANSIO> d-------- C:\Program Files\directx 2008-08-09 23:58 . 2008-08-10 00:00 <KANSIO> d-------- C:\Documents and Settings\Omistaja\Application Data\PC Suite 2008-08-09 23:56 . 2008-08-09 23:56 <KANSIO> d-------- C:\Documents and Settings\All Users\Application Data\PC Suite 2008-08-09 23:45 . 2007-09-17 15:53 21,632 --a------ C:\WINDOWS\system32\drivers\pccsmcfd.sys 2008-08-09 22:55 . 2008-04-13 21:45 26,112 --a------ C:\WINDOWS\system32\drivers\usbser.sys 2008-08-09 22:55 . 2008-04-13 21:45 26,112 --a--c--- C:\WINDOWS\system32\dllcache\usbser.sys 2008-08-09 22:52 . 2008-08-09 22:52 0 --ah----- C:\WINDOWS\system32\drivers\MsftWdf_Kernel_01005_Coinstaller_Critical.Wdf 2008-08-09 22:52 . 2008-08-09 22:52 0 --ah----- C:\WINDOWS\system32\drivers\Msft_Kernel_ccdcmb_01005.Wdf 2008-08-09 22:38 . 2008-08-16 10:52 <KANSIO> d-------- C:\Program Files\Microsoft ActiveSync 2008-08-09 20:00 . 2008-08-20 15:47 <KANSIO> d-------- C:\Documents and Settings\Omistaja\.xmoto 2008-08-09 19:43 . 2008-08-09 19:43 <KANSIO> d-------- C:\Documents and Settings\Omistaja\Application Data\Warsow 2008-08-08 12:31 . 2008-08-26 21:19 <KANSIO> d-------- C:\Program Files\GCFScape 2008-08-08 12:07 . 2008-08-08 15:36 <KANSIO> d-------- C:\Documents and Settings\All Users\Application Data\TrackMania 2008-08-07 22:02 . 2008-09-30 16:20 <KANSIO> d-------- C:\Program Files\Steam . (((((((((((((((((((((((((((((((((((( Find3M-raportti )))))))))))))))))))))))))))))))))))))))))))))))))))))) . 2008-09-29 19:08 24 ----a-w C:\Documents and Settings\Omistaja\jagex_runescape_preferences.dat 2008-09-27 14:01 --------- d-----w C:\Program Files\SUPERAntiSpyware 2008-09-27 09:16 --------- d-----w C:\Documents and Settings\Omistaja\Application Data\uTorrent 2008-09-17 19:19 --------- d-----w C:\Documents and Settings\Omistaja\Application Data\mIRC 2008-09-14 07:11 --------- d-----w C:\Documents and Settings\All Users\Application Data\Skype 2008-09-04 04:26 --------- d-----w C:\Program Files\SystemRequirementsLab 2008-09-04 04:21 --------- d-----w C:\Documents and Settings\Omistaja\Application Data\SystemRequirementsLab 2008-08-24 19:20 --------- d-----w C:\Program Files\Java 2008-08-24 16:13 --------- d-----w C:\Program Files\Common Files\Adobe 2008-08-21 12:25 --------- d--h--w C:\Program Files\InstallShield Installation Information 2008-08-21 11:57 --------- d-----w C:\Program Files\Common Files\InstallShield 2008-08-19 18:58 --------- d-----w C:\Program Files\Microsoft Silverlight 2008-08-09 21:06 --------- d-----w C:\Documents and Settings\All Users\Application Data\Installations 2008-08-09 21:00 --------- d-----w C:\Documents and Settings\Omistaja\Application Data\Nokia 2008-07-18 19:10 94,920 ----a-w C:\WINDOWS\system32\cdm.dll 2008-07-18 19:10 53,448 ----a-w C:\WINDOWS\system32\wuauclt.exe 2008-07-18 19:10 45,768 ----a-w C:\WINDOWS\system32\wups2.dll 2008-07-18 19:10 36,552 ----a-w C:\WINDOWS\system32\wups.dll 2008-07-18 19:09 563,912 ----a-w C:\WINDOWS\system32\wuapi.dll 2008-07-18 19:09 325,832 ----a-w C:\WINDOWS\system32\wucltui.dll 2008-07-18 19:09 205,000 ----a-w C:\WINDOWS\system32\wuweb.dll 2008-07-18 19:09 1,811,656 ----a-w C:\WINDOWS\system32\wuaueng.dll 2008-07-18 19:07 270,880 ----a-w C:\WINDOWS\system32\mucltui.dll 2008-07-18 19:07 210,976 ----a-w C:\WINDOWS\system32\muweb.dll 2008-07-07 20:28 253,952 ----a-w C:\WINDOWS\system32\es.dll 2008-07-06 20:40 1,039,192 ----a-w C:\dbghelp.dll 2008-06-24 16:44 74,240 ----a-w C:\WINDOWS\system32\mscms.dll 2008-06-23 15:10 666,112 ----a-w C:\WINDOWS\system32\wininet.dll 2008-06-20 17:47 246,784 ----a-w C:\WINDOWS\system32\mswsock.dll 2007-10-10 19:05 56 --sh--r C:\WINDOWS\system32\196643554B.sys 2007-10-10 19:06 3,350 -csha-w C:\WINDOWS\system32\KGyGaAvL.sys . (((((((((((((((((((((((((((((( Rekisterin käynnistyskohteet ))))))))))))))))))))))))))))))))))))))))))))) . . *Huom* Tyhjiä arvoja ja laillisia oletusarvoja ei näytetä REGEDIT4 [HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] "avast!"="C:\PROGRA~1\ALWILS~1\Avast4\ashDisp.exe" [2008-07-19 78008] "Recguard"="C:\WINDOWS\SMINST\RECGUARD.EXE" [2002-09-13 212992] "PS2"="C:\WINDOWS\system32\ps2.exe" [2002-07-31 81920] "NvCplDaemon"="C:\WINDOWS\system32\NvCpl.dll" [2006-10-22 7700480] "hpsysdrv"="c:\windows\system\hpsysdrv.exe" [1998-05-07 52736] "HotKeysCmds"="C:\WINDOWS\System32\hkcmd.exe" [2002-09-09 114688] "nwiz"="nwiz.exe" [2006-10-22 C:\WINDOWS\system32\nwiz.exe] "NvMediaCenter"="NvMCTray.dll" [2006-10-22 C:\WINDOWS\system32\nvmctray.dll] [hkey_local_machine\software\microsoft\windows\currentversion\explorer\ShellExecuteHooks] "{5AE067D3-9AFB-48E0-853A-EBB7F4A000DA}"= "C:\Program Files\SUPERAntiSpyware\SASSEH.DLL" [2008-09-27 77824] [HKEY_LOCAL_MACHINE\software\microsoft\windows nt\currentversion\winlogon\notify\!SASWinLogon] 2008-09-27 17:01 352256 C:\Program Files\SUPERAntiSpyware\SASWINLO.DLL [HKEY_LOCAL_MACHINE\software\microsoft\windows nt\currentversion\drivers32] "msacm.divxa32"= msaud32_divx.acm [HKLM\~\services\sharedaccess\parameters\firewallpolicy\standardprofile\AuthorizedApplications\List] "%windir%\\system32\\sessmgr.exe"= "%windir%\\Network Diagnostic\\xpnetdiag.exe"= "C:\\WINDOWS\\system32\\rtcshare.exe"= "C:\\WINDOWS\\system32\\dplaysvr.exe"= "C:\\Program Files\\uTorrent\\uTorrent.exe"= "C:\\Program Files\\CCleaner\\CCleaner.exe"= "C:\\Program Files\\SUPERAntiSpyware\\SUPERAntiSpyware.exe"= "C:\\Program Files\\Steam\\steamapps\\_nuora_\\counter-strike\\hl.exe"= "C:\\Program Files\\MSN Messenger\\msnmsgr.exe"= "C:\\Program Files\\MSN Messenger\\livecall.exe"= "C:\\WINDOWS\\system32\\dpnsvr.exe"= "C:\\Program Files\\mIRC\\mirc.exe"= "C:\\Downloads\\Software\\Silkroad_Manual-Patch_Downloader.exe"= "C:\\Program Files\\Steam\\Steam.exe"= "C:\\Program Files\\Steam\\steamapps\\_nuora\\counter-strike source\\hl2.exe"= "C:\\Program Files\\Skype\\Phone\\Skype.exe"= [HKLM\~\services\sharedaccess\parameters\firewallpolicy\standardprofile\GloballyOpenPorts\List] "25252:TCP"= 25252:TCP:dd "27010:UDP"= 27010:UDPD "27015:UDP"= 27015:UDP:27015 "50866:TCP"= 50866:TCP:*isabled:SolidNetworkManager "50866:UDP"= 50866:UDP:*isabled:SolidNetworkManager R1 aswSP;avast! Self Protection;C:\WINDOWS\system32\drivers\aswSP.sys [2008-07-19 78416] R2 aswFsBlk;aswFsBlk;C:\WINDOWS\system32\DRIVERS\aswFsBlk.sys [2008-07-19 20560] R3 EuMusDesignVirtualAudioCableWdm_s2x;Sound2x Audio Cable (WDM);C:\WINDOWS\system32\DRIVERS\vacs2xkd.sys [2007-11-01 42880] S3 ASPI;Advanced SCSI Programming Interface Driver;C:\WINDOWS\System32\DRIVERS\ASPI32.sys [2002-07-17 16512] S3 ctlsb16;Creative SB16/AWE32/AWE64 Driver (WDM);C:\WINDOWS\system32\drivers\ctlsb16.sys [2001-08-17 96256] S3 EverestDriver;Lavalys EVEREST Kernel Driver;C:\Program Files\Lavalys\EVEREST Ultimate Edition\kerneld.wnt [ ] S3 XDva136;XDva136;C:\WINDOWS\system32\XDva136.sys [ ] [HKEY_CURRENT_USER\software\microsoft\windows\currentversion\explorer\mountpoints2\{e1d5e156-1fe6-11dd-8ee5-0040ca4afbbc}] \Shell\AutoRun\command - F:\MGS2SSetup.exe *Newly Created Service* - PROCEXP90 . - - - - POISTETUT JÄMÄRIVIT - - - - HKLM-Run-VTPreset - VTPreset.exe . ------- Täydentävä tarkistus ------- . FireFox -: Profile - C:\Documents and Settings\Omistaja\Application Data\Mozilla\Firefox\Profiles\7f4ohlp0.default\ FF -: plugin - C:\Program Files\Mozilla Firefox\plugins\npssn.dll FF -: plugin - C:\WINDOWS\system32\SolidStateNetworks\SolidStateION\npssn.dll . . ------- File Associations ------- . vbefile\shell\open2\command=%SystemRoot%\System32\CScript.exe "%1" %* vbsfile\shell\open2\command=%SystemRoot%\System32\CScript.exe "%1" %* jsefile\shell\open2\command=%SystemRoot%\System32\CScript.exe "%1" %* . ************************************************************************** catchme 0.3.1361 W2K/XP/Vista - rootkit/stealth malware detector by Gmer, http://www.gmer.net Rootkit scan 2008-09-30 18:13:05 Windows 5.1.2600 Service Pack 3 NTFS tarkistaa piilotettuja prosesseja ... tarkistaa piilotettuja käynnistysarvoja ... tarkistaa piilotettuja tiedostoja ... tarkistus on valmis piilotetut tiedostot: 0 ************************************************************************** [HKEY_LOCAL_MACHINE\system\ControlSet001\Services\EverestDriver] "ImagePath"="\??\C:\Program Files\Lavalys\EVEREST Ultimate Edition\kerneld.wnt" . Valmistumisajankohta: 2008-09-30 18:19:05 ComboFix-quarantined-files.txt 2008-09-30 15:18:59 Ennen ajoa: 13ÿ690ÿ798ÿ080 tavua vapaana Ajon jälkeen: 13,732,233,216 tavua vapaana 221
