Moro! epäilen että koneessani on muutama/muutamia örkkejä, ja katselinpa koneen läpi hijackthis- ohjelmalla. Tässäpä logi: Logfile of HijackThis v1.99.1 Scan saved at 20:57:17, on 21.3.2006 Platform: Windows ME (Win9x 4.90.3000) MSIE: Internet Explorer v5.50 (5.50.4134.0100) Running processes: C:\WINDOWS\SYSTEM\KERNEL32.DLL C:\WINDOWS\SYSTEM\MSGSRV32.EXE C:\WINDOWS\SYSTEM\MPREXE.EXE C:\WINDOWS\SYSTEM\MSTASK.EXE C:\OHJELMATIEDOSTOT\ALWIL SOFTWARE\AVAST4\ASHSERV.EXE C:\WINDOWS\SYSTEM\mmtask.tsk C:\WINDOWS\EXPLORER.EXE C:\WINDOWS\SYSTEM\RESTORE\STMGR.EXE C:\WINDOWS\RUNDLL32.EXE C:\WINDOWS\SYSTEM\RPCSS.EXE C:\WINDOWS\TASKMON.EXE C:\WINDOWS\SYSTEM\SYSTRAY.EXE C:\OHJELMATIEDOSTOT\ALWIL SOFTWARE\AVAST4\ASHWEBSV.EXE C:\OHJELMATIEDOSTOT\ALWIL SOFTWARE\AVAST4\ASHMAISV.EXE C:\WINDOWS\SYSTEM\HKCMD.EXE C:\WINDOWS\SYSTEM\PAYTIME.EXE C:\WINDOWS\WMVYBWAA\COMMAND.EXE C:\WINDOWS\SYSTEM\DDHELP.EXE C:\WINDOWS\SYSTEM\WMIEXE.EXE C:\OHJELMATIEDOSTOT\MOZILLA FIREFOX\FIREFOX.EXE C:\OHJELMATIEDOSTOT\WINRAR\WINRAR.EXE C:\WINDOWS\TEMP\RAR$EX01.158\HIJACKTHIS.EXE R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = c:\secure32.html R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = about:blank R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Bar = about:blank R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = about:blank R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = c:\secure32.html R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = c:\secure32.html R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = about:blank R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = c:\secure32.html R0 - HKLM\Software\Microsoft\Internet Explorer\Search,SearchAssistant = about:blank R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Local Page = c:\secure32.html R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Local Page = c:\secure32.html R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Linkit O1 - Hosts: 127.0.0.5 makethemcry.com O1 - Hosts: 127.0.0.5 loudcash.com O1 - Hosts: 127.0.0.5 iframestat.com O1 - Hosts: 127.0.0.5 toolbarpartner.com O1 - Hosts: 127.0.0.5 hqcash.com O1 - Hosts: 127.0.0.5 verybigcash.com O1 - Hosts: 127.0.0.5 makethemcry.com O1 - Hosts: 127.0.0.5 moviepartnership.com O1 - Hosts: 127.0.0.5 callmachine.com O1 - Hosts: 127.0.0.5 regcash.com O1 - Hosts: 127.0.0.5 toolbarpartner.com O1 - Hosts: 127.0.0.5 klikrevenue.com O1 - Hosts: 127.0.0.5 p2dll.com O1 - Hosts: 127.0.0.5 t73.com O1 - Hosts: 127.0.0.5 www.makethemcry.com O1 - Hosts: 127.0.0.5 www.loudcash.com O1 - Hosts: 127.0.0.5 www.iframestat.com O1 - Hosts: 127.0.0.5 www.toolbarpartner.com O1 - Hosts: 127.0.0.5 www.hqcash.com O1 - Hosts: 127.0.0.5 www.verybigcash.com O1 - Hosts: 127.0.0.5 www.makethemcry.com O1 - Hosts: 127.0.0.5 www.moviepartnership.com O1 - Hosts: 127.0.0.5 www.callmachine.com O1 - Hosts: 127.0.0.5 www.regcash.com O1 - Hosts: 127.0.0.5 www.toolbarpartner.com O1 - Hosts: 127.0.0.5 www.klikrevenue.com O1 - Hosts: 127.0.0.5 www.p2dll.com O1 - Hosts: 127.0.0.5 www.t73.comsearch.net O3 - Toolbar: @msdxmLC.dll,-1@1035,&Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINDOWS\SYSTEM\MSDXM.OCX O4 - HKLM\..\Run: [ScanRegistry] C:\Windows\scanregw.exe /autorun O4 - HKLM\..\Run: [TaskMonitor] C:\Windows\taskmon.exe O4 - HKLM\..\Run: [PCHealth] C:\Windows\PCHealth\Support\PCHSchd.exe -s O4 - HKLM\..\Run: [SystemTray] SysTray.Exe O4 - HKLM\..\Run: [LoadPowerProfile] Rundll32.exe powrprof.dll,LoadCurrentPwrScheme O4 - HKLM\..\Run: [avast! Web Scanner] C:\OHJELM~1\ALWILS~1\AVAST4\ASHWEBSV.EXE O4 - HKLM\..\Run: [ashMaiSv] C:\OHJELM~1\ALWILS~1\AVAST4\ashmaisv.exe O4 - HKLM\..\Run: [IgfxTray] C:\Windows\SYSTEM\igfxtray.exe O4 - HKLM\..\Run: [HotKeysCmds] C:\Windows\SYSTEM\hkcmd.exe O4 - HKLM\..\Run: [SiS Dns] C:\WINDOWS\SYSTEM\dnssvc.exe O4 - HKLM\..\Run: [SiS Mpc Service] C:\WINDOWS\SYSTEM\mpcsvc.exe O4 - HKLM\..\Run: [PayTime] C:\WINDOWS\SYSTEM\paytime.exe O4 - HKLM\..\Run: [Command] C:\WINDOWS\WmVybwAA\command.exe O4 - HKLM\..\RunServices: [LoadPowerProfile] Rundll32.exe powrprof.dll,LoadCurrentPwrScheme O4 - HKLM\..\RunServices: [SchedulingAgent] mstask.exe O4 - HKLM\..\RunServices: [*StateMgr] C:\WINDOWS\System\Restore\StateMgr.exe O4 - HKLM\..\RunServices: [avast!] C:\Ohjelmatiedostot\Alwil Software\Avast4\ashServ.exe O4 - HKCU\..\Run: [Shell] "C:\WINDOWS\SYSTEM\ibm00003.exe" O4 - HKCU\..\Run: [Windows installer] C:\winstall.exe O16 - DPF: {B38870E4-7ECB-40DA-8C6A-595F0A5519FF} (MsnMessengerSetupDownloadControl Class) - http://messenger.msn.com/download/msnmessengersetupdownloader.cab O20 - Winlogon Notify: msupdate - C:\WINDOWS\SYSTEM\msupdate32.dll O21 - SSODL: OLE Object - {E993980D-97E3-441D-90BF-2D0C0B02A2B2} - C:\WINDOWS\SYSTEM\barseek.dll
Terve, et epäillyt turhaan, sinulla on hieno kokoelma troijalaisia ja muita mönkijöitä koneella. Lataa ja asenna ensin palomuuri koneelle. Ilmaisia palomuureja: ZoneAlarm --> http://www.zonelabs.com Kerio--> http://www.sunbelt-software.com/Kerio.cfm Outpost-> http://www.agnitum.com Puhdistusohje (noudata tarkasti!) Siirrä HijackThis kansiooon C:\HJT Lataa ja Päivitä eScan koneelle odottamaan. Älä skannaa vielä sillä. Täällä ohjeet -> http://koti.mbnet.fi/pattaya1/escanmwav.htm Sitten lataa smitrem työpöydälle täältä -> http://noahdfear.geekstogo.com/click counter/click.php?id=1 Tuplaklikkaa sitä ja Start, niin saat smitrem kansion työpöydälle . Käynnistä kone vikasietotilassa (paina F8 nappulaa käynnistyksen yhteydessä). Sitten käynnistä HijackThis, klikkaa do a system scan only ja merkkaa nämä rivit: R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = c:\secure32.html R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = about:blank R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Bar = about:blank R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = about:blank R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = c:\secure32.html R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = c:\secure32.html R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = about:blank R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = c:\secure32.html R0 - HKLM\Software\Microsoft\Internet Explorer\Search,SearchAssistant = about:blank R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Local Page = c:\secure32.html R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Local Page = c:\secure32.html O1 - Hosts: 127.0.0.5 makethemcry.com O1 - Hosts: 127.0.0.5 loudcash.com O1 - Hosts: 127.0.0.5 iframestat.com O1 - Hosts: 127.0.0.5 toolbarpartner.com O1 - Hosts: 127.0.0.5 hqcash.com O1 - Hosts: 127.0.0.5 verybigcash.com O1 - Hosts: 127.0.0.5 makethemcry.com O1 - Hosts: 127.0.0.5 moviepartnership.com O1 - Hosts: 127.0.0.5 callmachine.com O1 - Hosts: 127.0.0.5 regcash.com O1 - Hosts: 127.0.0.5 toolbarpartner.com O1 - Hosts: 127.0.0.5 klikrevenue.com O1 - Hosts: 127.0.0.5 p2dll.com O1 - Hosts: 127.0.0.5 t73.com O1 - Hosts: 127.0.0.5 www.makethemcry.com O1 - Hosts: 127.0.0.5 www.loudcash.com O1 - Hosts: 127.0.0.5 www.iframestat.com O1 - Hosts: 127.0.0.5 www.toolbarpartner.com O1 - Hosts: 127.0.0.5 www.hqcash.com O1 - Hosts: 127.0.0.5 www.verybigcash.com O1 - Hosts: 127.0.0.5 www.makethemcry.com O1 - Hosts: 127.0.0.5 www.moviepartnership.com O1 - Hosts: 127.0.0.5 www.callmachine.com O1 - Hosts: 127.0.0.5 www.regcash.com O1 - Hosts: 127.0.0.5 www.toolbarpartner.com O1 - Hosts: 127.0.0.5 www.klikrevenue.com O1 - Hosts: 127.0.0.5 www.p2dll.com O1 - Hosts: 127.0.0.5 www.t73.comsearch.net O4 - HKLM\..\Run: [SiS Dns] C:\WINDOWS\SYSTEM\dnssvc.exe O4 - HKLM\..\Run: [SiS Mpc Service] C:\WINDOWS\SYSTEM\mpcsvc.exe O4 - HKLM\..\Run: [PayTime] C:\WINDOWS\SYSTEM\paytime.exe O4 - HKLM\..\Run: [Command] C:\WINDOWS\WmVybwAA\command.exe O4 - HKCU\..\Run: [Shell] "C:\WINDOWS\SYSTEM\ibm00003.exe" O4 - HKCU\..\Run: [Windows installer] C:\winstall.exe O20 - Winlogon Notify: msupdate - C:\WINDOWS\SYSTEM\msupdate32.dll O21 - SSODL: OLE Object - {E993980D-97E3-441D-90BF-2D0C0B02A2B2} - C:\WINDOWS\SYSTEM\barseek.dll Paina Fix checked Laita piilotiedostot näkyviin -->Ohjauspaneeli-->Työkalut-->Kansion Asetukset-->Piilotetut tiedostot ja kansiot -->Valitse "Näytä piilotetut tiedostot ja kansiot"-->Ok Sitten poista seuraavat tiedostot: C:\WINDOWS\SYSTEM\-->dnssvc.exe<-- C:\WINDOWS\SYSTEM\-->mpcsvc.exe<-- C:\WINDOWS\SYSTEM\-->paytime.exe<-- C:\WINDOWS\SYSTEM\-->ibm00003.exe<-- C:\WINDOWS\SYSTEM\-->msupdate32.dll<-- C:\WINDOWS\SYSTEM\-->barseek.dll<-- Poista kansio: C:\WINDOWS\-->WmVybwAA<-- Mene työpöydällä kansioon smitrem ja aja tiedosto RunThis.bat (seuraa ohjeita) Tyhjennä roskakori ja laita piilotiedostot takaisin piiloon -> (Teet niin kuin aikaisemmin mutta valitset "Älä näytä piilotettuja tiedostoja ja kansioita") Nyt skannaa lataamallasi eScanilla. Eli mene kansioon C:\Kaspersky -> aja tiedosto mwavscan.exe -> Laitat ruksit seuraaviin kohtiin kuvan osoittamalla tavalla -> http://koti.mbnet.fi/pattaya1/eScan6.jpg ->Paina Scan Clean (saattaa viedä aikaa) ->Kopioi ja tallenna löydökset ikkunasta joka näkyis skannaus vaiheessa. Kuva -> http://koti.mbnet.fi/pattaya1/eScan10.jpg Postita tänne: - uusi HijackThis loki - eScanin löydökset - C:\smitfiles.txt Katsotaan sitten miten jatketaan
