Tarvitsisin apua tämän lukemiseen. Konetta käynnistäessä explorer.exe sammuu joka ikinen kerta, niin ajattelin että jos tästä logista jotain selviäisi. Logfile of Trend Micro HijackThis v2.0.0 (BETA) Scan saved at 10:53:49, on 21.5.2007 Platform: Windows XP SP2 (WinNT 5.01.2600) Boot mode: Normal Running processes: C:\WINDOWS\System32\smss.exe C:\WINDOWS\system32\winlogon.exe C:\WINDOWS\system32\services.exe C:\WINDOWS\system32\lsass.exe C:\WINDOWS\system32\Ati2evxx.exe C:\WINDOWS\system32\svchost.exe C:\WINDOWS\System32\svchost.exe C:\WINDOWS\system32\Ati2evxx.exe C:\WINDOWS\system32\spoolsv.exe E:\Ohjelmat\Elisa Tietoturva\Common\FSM32.EXE C:\WINDOWS\system32\CTHELPER.EXE C:\Program Files\Java\jre1.6.0_01\bin\jusched.exe E:\Ohjelmat\daemon.exe C:\Program Files\USB Phone Middleware\CmSkype.exe C:\WINDOWS\system32\ctfmon.exe C:\WINDOWS\System32\spool\DRIVERS\W32X86\3\E_AICN03.EXE E:\Ohjelmat\ELISAT~1\backweb\4119343\Program\SERVIC~1.EXE E:\Ohjelmat\Elisa Tietoturva\Anti-Virus\fsgk32st.exe E:\Ohjelmat\Elisa Tietoturva\Anti-Virus\FSGK32.EXE E:\Ohjelmat\Elisa Tietoturva\backweb\4119343\program\fsbwsys.exe E:\Ohjelmat\Elisa Tietoturva\backweb\4119343\Program\fspex.exe E:\Ohjelmat\Elisa Tietoturva\Anti-Virus\fssm32.exe E:\Ohjelmat\Elisa Tietoturva\Common\FSMA32.EXE E:\Ohjelmat\Elisa Tietoturva\Common\FSMB32.EXE E:\Ohjelmat\Elisa Tietoturva\Common\FCH32.EXE E:\Ohjelmat\Elisa Tietoturva\Anti-Virus\fsqh.exe E:\Ohjelmat\Elisa Tietoturva\Common\FAMEH32.EXE C:\WINDOWS\explorer.exe E:\Ohjelmat\Elisa Tietoturva\Anti-Virus\fsrw.exe E:\Ohjelmat\Elisa Tietoturva\FWES\Program\fsdfwd.exe C:\WINDOWS\system32\wuauclt.exe E:\Ohjelmat\Elisa Tietoturva\Anti-Virus\fsav32.exe E:\Ohjelmat\ELISAT~1\ANTI-S~1\fsaw.exe E:\Ohjelmat\Elisa Tietoturva\FSGUI\fsguidll.exe E:\Ohjelmat\Mozilla Firefox\firefox.exe E:\Varasto\Ohjelmat\HiJackThis_v2.0.0.0.exe R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.google.fi/ R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Local Page = R1 - HKCU\Software\Microsoft\Internet Connection Wizard,ShellNext = http://windowsupdate.microsoft.com/ R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Linkit O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - E:\Ohjelmat\Adobe\Reader 6.0\Reader\ActiveX\AcroIEHelper.dll O2 - BHO: SSVHelper Class - {761497BB-D6F0-462C-B6EB-D4DAF1D92D43} - C:\Program Files\Java\jre1.6.0_01\bin\ssv.dll O2 - BHO: (no name) - {7E853D72-626A-48EC-A868-BA8D5E23E045} - (no file) O4 - HKLM\..\Run: [F-Secure Manager] "E:\Ohjelmat\Elisa Tietoturva\Common\FSM32.EXE" /splash O4 - HKLM\..\Run: [F-Secure TNB] "E:\Ohjelmat\Elisa Tietoturva\TNB\TNBUtil.exe" /CHECKALL /WAITFORSW O4 - HKLM\..\Run: [F-Secure Startup Wizard] "E:\Ohjelmat\Elisa Tietoturva\FSGUI\FSSW.EXE" /reboot O4 - HKLM\..\Run: [News Service] "E:\Ohjelmat\Elisa Tietoturva\FSGUI\ispnews.exe" O4 - HKLM\..\Run: [WINDVDPatch] CTHELPER.EXE O4 - HKLM\..\Run: [UpdReg] C:\WINDOWS\UpdReg.EXE O4 - HKLM\..\Run: [CTStartup] C:\Program Files\Creative\Splash Screen\CTEaxSpl.EXE /run O4 - HKLM\..\Run: [SunJavaUpdateSched] "C:\Program Files\Java\jre1.6.0_01\bin\jusched.exe" O4 - HKLM\..\Run: [DAEMON Tools-1033] "E:\Ohjelmat\daemon.exe" -lang 1033 O4 - HKLM\..\Run: [CmSkype] "C:\Program Files\USB Phone Middleware\CmSkype.exe" O4 - HKLM\..\Run: [system] C:\WINDOWS\system32\system.exe O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\ctfmon.exe O4 - HKCU\..\Run: [EPSON Stylus COLOR 480] C:\WINDOWS\System32\spool\DRIVERS\W32X86\3\E_AICN03.EXE /P22 "EPSON Stylus COLOR 480" /O5 "LPT1:" /M "Stylus COLOR 480" O4 - HKUS\S-1-5-19\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 'Paikallinen palve') O4 - HKUS\S-1-5-20\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 'Verkkopalve') O4 - HKUS\S-1-5-18\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 'SYSTEM') O4 - HKUS\.DEFAULT\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 'Default user') O4 - Global Startup: Adobe Gamma Loader.lnk = C:\Program Files\Common Files\Adobe\Calibration\Adobe Gamma Loader.exe O4 - Global Startup: Elisa Tietoturvapalvelu.lnk = E:\Ohjelmat\Elisa Tietoturva\backweb\4119343\Program\fspex.exe O8 - Extra context menu item: &Estä tämä kohoikkuna - E:\Ohjelmat\Elisa Tietoturva\Anti-Spyware\blockpopups.htm O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\jre1.6.0_01\bin\ssv.dll O9 - Extra 'Tools' menuitem: Sun Java Console - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\jre1.6.0_01\bin\ssv.dll O9 - Extra button: IE-suojaus - {300DB664-75B5-47c0-8B45-A44ACCF73C00} - E:\Ohjelmat\Elisa Tietoturva\Anti-Spyware\ieshield.dll O9 - Extra 'Tools' menuitem: IE-suojaus... - {300DB664-75B5-47c0-8B45-A44ACCF73C00} - E:\Ohjelmat\Elisa Tietoturva\Anti-Spyware\ieshield.dll O9 - Extra button: (no name) - {e2e2dd38-d088-4134-82b7-f2ba38496583} - %windir%\Network Diagnostic\xpnetdiag.exe (file missing) O9 - Extra 'Tools' menuitem: @xpsp3res.dll,-20001 - {e2e2dd38-d088-4134-82b7-f2ba38496583} - %windir%\Network Diagnostic\xpnetdiag.exe (file missing) O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe O16 - DPF: {6414512B-B978-451D-A0D8-FCFDF33E833C} (WUWebControl Class) - http://update.microsoft.com/windowsupdate/v6/V5Controls/en/x86/client/wuweb_site.cab?1168964574375 O18 - Protocol: skype4com - {FFC8B962-9B40-4DFF-9458-1830C7DD7F5D} - C:\PROGRA~1\COMMON~1\Skype\SKYPE4~1.DLL O22 - SharedTaskScheduler: Browseui preloader - {438755C2-A8BA-11D1-B96B-00A0C90312E1} - C:\WINDOWS\System32\browseui.dll O22 - SharedTaskScheduler: Component Categories cache daemon - {8C7461EF-2B13-11d2-BE35-3078302C2030} - C:\WINDOWS\System32\browseui.dll O23 - Service: Ati HotKey Poller - ATI Technologies Inc. - C:\WINDOWS\system32\Ati2evxx.exe O23 - Service: ATI Smart - Unknown owner - C:\WINDOWS\system32\ati2sgag.exe O23 - Service: Elisa Tietoturvapalvelu (BackWeb Plug-in - 4119343) - BackWeb Technologies Inc. - E:\Ohjelmat\ELISAT~1\backweb\4119343\Program\SERVIC~1.EXE O23 - Service: Loogisen levyn hallinnan valvontapalvelu (dmadmin) - Unknown owner - C:\WINDOWS\System32\dmadmin.exe O23 - Service: Tapahtumaloki (Eventlog) - Unknown owner - C:\WINDOWS\system32\services.exe O23 - Service: F-Secure Gatekeeper Handler Starter - Unknown owner - E:\Ohjelmat\Elisa Tietoturva\Anti-Virus\fsgk32st.exe O23 - Service: FSBWSYS (fsbwsys) - Unknown owner - E:\Ohjelmat\Elisa Tietoturva\backweb\4119343\program\fsbwsys.exe O23 - Service: F-Secure Anti-Virus Firewall Daemon (FSDFWD) - F-Secure Corporation - E:\Ohjelmat\Elisa Tietoturva\FWES\Program\fsdfwd.exe O23 - Service: FSMA - F-Secure Corporation - E:\Ohjelmat\Elisa Tietoturva\Common\FSMA32.EXE O23 - Service: CD-levyjen kirjoittamisen IMAPI COM -palvelu (ImapiService) - Unknown owner - C:\WINDOWS\System32\imapi.exe O23 - Service: Microsoft System Management - Unknown owner - C:\WINDOWS\system32\system.exe O23 - Service: NetMeeting etätyöpöydän jakaminen (mnmsrvc) - Unknown owner - C:\WINDOWS\System32\mnmsrvc.exe O23 - Service: Plug and Play (PlugPlay) - Unknown owner - C:\WINDOWS\system32\services.exe O23 - Service: Etätyöpöydän ohjeen istunnonhallinta (RDSessMgr) - Unknown owner - C:\WINDOWS\system32\sessmgr.exe O23 - Service: Älykortti (SCardSvr) - Unknown owner - C:\WINDOWS\System32\SCardSvr.exe O23 - Service: Resurssilokit ja -hälytykset (SysmonLog) - Unknown owner - C:\WINDOWS\system32\smlogsvc.exe O23 - Service: Aseman tilannevedos (VSS) - Unknown owner - C:\WINDOWS\System32\vssvc.exe O23 - Service: WMI resurssisovitin (WmiApSrv) - Unknown owner - C:\WINDOWS\System32\wbem\wmiapsrv.exe O23 - Service: Windows Media Playerin verkkojakamispalvelu (WMPNetworkSvc) - Unknown owner - C:\Program Files\Windows Media Player\WMPNetwk.exe -- End of file - 7950 bytes
1. Lataa combofix.exe työpöydällesi jommastakummasta linkistä: http://www.techsupportforum.com/sectools/sUBs/ComboFix.exe http://download.bleepingcomputer.com/sUBs/ComboFix.exe 2. Tuplaklikkaa combofix.exe tiedostoa ja seuraa ohjeistuksia. 3. Kun työkalu on valmis, se tuottaa lokin. (C:\ComboFix.txt) Lähetä tämä loki viesti ketjuusi. Huom! Älä klikkaile combofixin ikkunaa käytön aikana. Tämä saattaa aiheuttaa ohjelman jumiutumisen
"Master User" - 2007-05-21 20:14:39 Service Pack 2 ComboFix 07-05.21.6.V - Running from: "E:\Ohjelmat\Mozilla Firefox\" (((((((((((((((((((((((((((((((((((((((((((( Other Deletions ))))))))))))))))))))))))))))))))))))))))))))))))) C:\WINDOWS\system32\system.exe ((((((((((((((((((((((((((((((( Files Created from 2007-04-05 to 2007-05-21 )))))))))))))))))))))))))))))))))) 2007-05-18 15:48 58,888 --a------ C:\WINDOWS\system32\wm.exe 2007-05-18 15:48 24,064 --a------ C:\WINDOWS\system32\ms.exe 2007-05-16 18:09 2,297,552 --a------ C:\WINDOWS\system32\d3dx9_26.dll 2007-05-16 11:21 5,120 --a------ C:\WINDOWS\system32\ff_vfw.dll 2007-04-30 19:22 <KANSIO> d-------- C:\Program Files\DivX 2007-04-26 20:19 <KANSIO> d-------- C:\DOCUME~1\MASTER~1\APPLIC~1\Google 2007-04-25 21:43 <KANSIO> d-------- C:\DOCUME~1\MASTER~1\APPLIC~1\Lavasoft (((((((((((((((((((((((((((((((((((((((((((((((( Find3M Report ))))))))))))))))))))))))))))))))))))))))))))))))))))) 2007-05-21 16:09:48 24 ----a-w C:\WINDOWS\system32\DVCStateBkp-{00000000-00000000-0000000B-00001102-00000002-80641102}.dat 2007-05-21 16:09:48 24 ----a-w C:\WINDOWS\system32\DVCState-{00000000-00000000-0000000B-00001102-00000002-80641102}.dat 2007-05-16 15:05:17 -------- d--h--w C:\Program Files\InstallShield Installation Information 2007-05-16 12:46:16 -------- d-----w C:\DOCUME~1\MASTER~1\APPLIC~1\Skype 2007-04-30 16:22:24 4,348 ----a-w C:\WINDOWS\mozver.dat 2007-04-25 18:36:19 -------- d-----w C:\DOCUME~1\MASTER~1\APPLIC~1\Azureus 2007-04-24 05:47:48 -------- d-----w C:\DOCUME~1\MASTER~1\APPLIC~1\dvdcss 2007-04-08 07:32:21 10 ----a-w C:\WINDOWS\system32\deposit.dll 2007-04-08 06:21:44 16,057 ----a-w C:\WINDOWS\War3Unin.dat 2007-04-08 06:21:25 2,829 ----a-w C:\WINDOWS\War3Unin.pif 2007-04-08 06:21:25 126,976 ----a-w C:\WINDOWS\War3Unin.exe 2007-04-02 14:34:45 -------- d-----w C:\Program Files\USB Phone Middleware 2007-04-02 13:56:30 -------- d-----w C:\Program Files\Skype 2007-04-02 13:56:30 -------- d-----w C:\Program Files\Common Files\Skype 2007-03-25 06:08:24 70,990 ----a-w C:\WINDOWS\system32\perfc00B.dat 2007-03-25 06:08:24 366,492 ----a-w C:\WINDOWS\system32\perfh00B.dat 2007-03-22 19:39:36 18,020 ----a-w C:\WINDOWS\W2BNEUnin.dat 2007-03-22 19:39:34 98,304 ----a-w C:\WINDOWS\W2BNEUnin.exe 2007-03-22 19:39:34 2,829 ----a-w C:\WINDOWS\W2BNEUnin.pif 2007-03-17 13:44:51 292,864 ----a-w C:\WINDOWS\system32\winsrv.dll 2007-03-17 09:31:25 -------- d-----w C:\DOCUME~1\MASTER~1\APPLIC~1\SopCast 2007-03-17 09:13:48 -------- d-----w C:\DOCUME~1\MASTER~1\APPLIC~1\TVU networks 2007-03-15 17:23:15 -------- d-----w C:\Program Files\Common Files\Nullsoft 2007-03-08 15:38:00 578,048 ----a-w C:\WINDOWS\system32\user32.dll 2007-03-08 15:37:59 40,960 ----a-w C:\WINDOWS\system32\mf3216.dll 2007-03-08 15:37:59 281,600 ----a-w C:\WINDOWS\system32\gdi32.dll 2007-03-08 15:34:26 1,843,840 ----a-w C:\WINDOWS\system32\win32k.sys 2007-03-08 11:49:00 -------- d-----w C:\DOCUME~1\MASTER~1\APPLIC~1\IceChat 2007-03-07 07:22:36 -------- d-----w C:\Program Files\Common Files\Blizzard Entertainment 2007-02-24 14:08:31 0 ----a-r C:\logwmemory.bin 2007-02-05 20:19:01 185,344 ----a-w C:\WINDOWS\system32\upnphost.dll (((((((((((((((((((((((((((((((((((((((((( Reg Loading Points )))))))))))))))))))))))))))))))))))))))))))))))) *Note* empty entries & legit default entries are not shown [HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Browser Helper Objects] {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3}=E:\Ohjelmat\Adobe\Reader 6.0\Reader\ActiveX\AcroIEHelper.dll [2003-11-03 15:17] {761497BB-D6F0-462C-B6EB-D4DAF1D92D43}=C:\Program Files\Java\jre1.6.0_01\bin\ssv.dll [2007-03-14 03:43] [HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] "F-Secure Manager"="E:\Ohjelmat\Elisa Tietoturva\Common\FSM32.exe" [2005-10-26 04:51] "F-Secure TNB"="E:\Ohjelmat\Elisa Tietoturva\TNB\TNBUtil.exe" [2005-07-18 17:51] "F-Secure Startup Wizard"="E:\Ohjelmat\Elisa Tietoturva\FSGUI\FSSW.exe" [2005-10-18 11:29] "News Service"="E:\Ohjelmat\Elisa Tietoturva\FSGUI\ispnews.exe" [2005-05-31 15:45] "WINDVDPatch"="CTHELPER.EXE" [2002-02-07 21:01 C:\WINDOWS\system32\CTHELPER.EXE] "UpdReg"="C:\WINDOWS\UpdReg.EXE" [2000-05-11 02:00] "CTStartup"="C:\Program Files\Creative\Splash Screen\CTEaxSpl.exe" [2001-12-20 02:00] "SunJavaUpdateSched"="C:\Program Files\Java\jre1.6.0_01\bin\jusched.exe" [2007-03-14 03:43] "DAEMON Tools-1033"="E:\Ohjelmat\daemon.exe" [2004-08-22 18:05] "CmSkype"="C:\Program Files\USB Phone Middleware\CmSkype.exe" [2005-06-30 14:24] [HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] "CTFMON.EXE"="C:\WINDOWS\system32\ctfmon.exe" [2004-09-15 02:12] "EPSON Stylus COLOR 480"="C:\WINDOWS\System32\spool\DRIVERS\W32X86\3\E_AICN03.exe" [2001-09-13 14:53] [HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\ATICCC] "C:\Program Files\ATI Technologies\ATI.ACE\cli.exe" runtime -Delay [HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\Jet Detection] E:\Ohjelmat\Sound Blaster Live!\PROGRAM\ADGJDet.exe [HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\MSMSGS] "C:\Program Files\Messenger\MSMSGS.EXE" /background [HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\MsnMsgr] "C:\Program Files\MSN Messenger\MsnMsgr.Exe" /background [HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\NeroFilterCheck] C:\WINDOWS\system32\NeroCheck.exe [HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\QuickTime Task] "E:\Ohjelmat\QuickTime\qttask.exe" -atboottime [HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\Steam] "E:\Ohjelmat\Steam\Steam.exe" -silent [HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\TkBellExe] "C:\Program Files\Common Files\Real\Update_OB\realsched.exe" -osboot [HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\WinampAgent] "E:\Ohjelmat\Winamp\Winampa.exe" *Newly Created Service* -PROCEXP90 Contents of the 'Scheduled Tasks' folder 2007-05-16 15:28:11 C:\WINDOWS\tasks\AppleSoftwareUpdate.job 2007-05-21 07:47:15 C:\WINDOWS\tasks\Scheduled scanning task.job ******************************************************************** catchme 0.3.660 W2K/XP/Vista - userland rootkit detector by Gmer, http://www.gmer.net Rootkit scan 2007-05-21 20:17:13 Windows 5.1.2600 Service Pack 2 NTFS scanning hidden processes ... scanning hidden autostart entries ... HKLM\Software\Microsoft\Windows\CurrentVersion\Run CTStartup = C:\Program Files\Creative\Splash Screen\CTEaxSpl.EXE /run???h??????s?????\?w? ?w???????w???w4???????.??w4???????4???TA?s4????????&7???6~??6~????????\???\???????????U?6~??6~\???\???????? `??????C@?\???\??????s????\??????s\????&7?A??s?&7??C@?x???`|?w\?????@ scanning hidden files ... scan completed successfully hidden files: 0 ******************************************************************** Completion time: 2007-05-21 20:17:46 C:\ComboFix-quarantined-files.txt ... 2007-05-21 20:17 --- E O F ---
Avaa hijackthis merkkaa seuraavat rivi(t) ja paina fix checked, sulje muut ohjelmat siksi aikaa R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Local Page = O2 - BHO: (no name) - {7E853D72-626A-48EC-A868-BA8D5E23E045} - (no file) O4 - HKLM\..\Run: [system] C:\WINDOWS\system32\system.exe O23 - Service: Microsoft System Management - Unknown owner - C:\WINDOWS\system32\system.exe Tässä ohje miten merkataan: Avaa suorita rivi kirjoita siihen sc delete "Microsoft System Management ======= Lataa Killbox Option^Explicitiltä. Huomaa: Jos sinulla on jo Killbox, tämä on uusi versio joka sinun tulee asentaa. Poista aikaisempi. [*]Tallenna työpöydällesi. [*] Tupla-klikkaa Killbox.exe ajaaksesi ohjelman. [*] Valitse: [*]Delete on Reboot[*] sitten klikkaa All Files valintaa. [*]Kopioi ja liitä alapuolella olevat tiedostopolut leikepöydälle mustaamalla KAIKKI ne ja painamalla CTRL + C (tai, mustaamisen jälkeen, oikea klikki hiirellä ja valitse kopioi): C:\WINDOWS\system32\wm.exe C:\WINDOWS\system32\ms.exe [*] Palaa Killboxiin, mene File valikkoon, ja valitse Paste from Clipboard. [*]Klikkaa puna-valkoista Delete File valintaa. Klikkaa Yes "Delete on Reboot" pyyntöön. Klikkaa OK mihin vain PendingFileRenameOperations pyyntöön (ja anna fixaajan tietää jos jokin tälläinen tulee!). Käynnistä koneesi itse jos se ei sitä automaattisesti tee Jos saat tälläisen viestin: "Component 'MsComCtl.ocx' or one of its dependencies not correctly registered: a file is missing or invalid." Kun yrität ajaa KillBoxia, klikkaa tätä ladataksesi ja ajaaksesi Missingfilessetup.exe;n. Sitten koita KillBoxia uudestaan. Lataa Dr.Web CureIt työpöydälle: ftp://ftp.drweb.com/pub/drweb/cureit/drweb-cureit.exe [*]Tuplaklikkaa drweb-cureit.exe ja anna sen tehdä express scan [*]Se skannaa käynnissä olevat ohjelmat ja jos jotain löytyy, klikkaa yes kun se kysyy haluatko poistaa sen. Tämä on vain lyhyt scan. [*]Kun scan on valmis, merkkaa asemat, jotka haluat scannata. [*]Valitse kaikki asemat. Punainen piste osoittaa, mitkä asemat on valittu. [*]Klikaa vihreää nuolta oikealla ja scan alkaa. [*]Klikkaa 'Yes to all', jos kysytään haluatko poistaa/siirtää tiedoston. [*]Kun scan on valmis, katso voitko klikata next-kuvaketta löytyneiden tiedostojen vieressä: [*]Jos asia on niin, klikkaa sitä ja sitten klikkaa next-kuvaketta oikealla alhaalla ja valitse Move incurable kuten alla olevalla kuvassa: Tämä siirtää sen %userprofile%\DoctorWeb\quarantine-hakemistoon. [*]Tämän jälkeen klikkaa Dr.Web CureIt-valikossa file ja valitse save report list [*]Tallenna raportti työpöydälle. Raportin nimi on DrWeb.csv [*]Sulje Dr.Web Cureit. [*]Käynnistä kone uudelleen !! Tämä siksi, että käytössä olevat tiedostot poistetaan/siirretään käynnistyksen yhteydessä. [*]Käynnistyksen jälkeen liitä Dr.Web-lokin, jonka tallensit aiemmin, sisältö seuraavaan vastaukseesi. Myös uusi HJTlogi
Tein noiden ohjeidesi mukaan ja tässä olisi nämä logit. Logfile of Trend Micro HijackThis v2.0.0 (BETA) Scan saved at 20:08:40, on 22.5.2007 Platform: Windows XP SP2 (WinNT 5.01.2600) Boot mode: Normal Running processes: C:\WINDOWS\System32\smss.exe C:\WINDOWS\system32\winlogon.exe C:\WINDOWS\system32\services.exe C:\WINDOWS\system32\lsass.exe C:\WINDOWS\system32\Ati2evxx.exe C:\WINDOWS\system32\svchost.exe C:\WINDOWS\System32\svchost.exe C:\WINDOWS\system32\spoolsv.exe C:\WINDOWS\system32\Ati2evxx.exe C:\WINDOWS\Explorer.EXE E:\Ohjelmat\Elisa Tietoturva\Common\FSM32.EXE C:\WINDOWS\system32\CTHELPER.EXE C:\Program Files\Java\jre1.6.0_01\bin\jusched.exe E:\Ohjelmat\daemon.exe C:\Program Files\USB Phone Middleware\CmSkype.exe C:\WINDOWS\system32\ctfmon.exe C:\WINDOWS\System32\spool\DRIVERS\W32X86\3\E_AICN03.EXE E:\Ohjelmat\ELISAT~1\backweb\4119343\Program\SERVIC~1.EXE E:\Ohjelmat\Elisa Tietoturva\Anti-Virus\fsgk32st.exe E:\Ohjelmat\Elisa Tietoturva\Anti-Virus\FSGK32.EXE E:\Ohjelmat\Elisa Tietoturva\backweb\4119343\program\fsbwsys.exe E:\Ohjelmat\Elisa Tietoturva\backweb\4119343\Program\fspex.exe E:\Ohjelmat\Elisa Tietoturva\Common\FSMA32.EXE E:\Ohjelmat\Elisa Tietoturva\Anti-Virus\fssm32.exe E:\Ohjelmat\Elisa Tietoturva\Common\FSMB32.EXE E:\Ohjelmat\Elisa Tietoturva\Common\FCH32.EXE E:\Ohjelmat\Elisa Tietoturva\Common\FAMEH32.EXE E:\Ohjelmat\Elisa Tietoturva\Anti-Virus\fsqh.exe E:\Ohjelmat\Elisa Tietoturva\Anti-Virus\fsrw.exe E:\Ohjelmat\Elisa Tietoturva\FWES\Program\fsdfwd.exe C:\WINDOWS\system32\wuauclt.exe E:\Ohjelmat\Elisa Tietoturva\Anti-Virus\fsav32.exe E:\Ohjelmat\ELISAT~1\ANTI-S~1\fsaw.exe E:\Ohjelmat\Elisa Tietoturva\FSGUI\fsguidll.exe E:\Varasto\Ohjelmat\HiJackThis_v2.0.0.0.exe R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = about:blank R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Local Page = R1 - HKCU\Software\Microsoft\Internet Connection Wizard,ShellNext = http://windowsupdate.microsoft.com/ R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Linkit O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - E:\Ohjelmat\Adobe\Reader 6.0\Reader\ActiveX\AcroIEHelper.dll O2 - BHO: SSVHelper Class - {761497BB-D6F0-462C-B6EB-D4DAF1D92D43} - C:\Program Files\Java\jre1.6.0_01\bin\ssv.dll O4 - HKLM\..\Run: [F-Secure Manager] "E:\Ohjelmat\Elisa Tietoturva\Common\FSM32.EXE" /splash O4 - HKLM\..\Run: [F-Secure TNB] "E:\Ohjelmat\Elisa Tietoturva\TNB\TNBUtil.exe" /CHECKALL /WAITFORSW O4 - HKLM\..\Run: [F-Secure Startup Wizard] "E:\Ohjelmat\Elisa Tietoturva\FSGUI\FSSW.EXE" /reboot O4 - HKLM\..\Run: [News Service] "E:\Ohjelmat\Elisa Tietoturva\FSGUI\ispnews.exe" O4 - HKLM\..\Run: [WINDVDPatch] CTHELPER.EXE O4 - HKLM\..\Run: [UpdReg] C:\WINDOWS\UpdReg.EXE O4 - HKLM\..\Run: [CTStartup] C:\Program Files\Creative\Splash Screen\CTEaxSpl.EXE /run O4 - HKLM\..\Run: [SunJavaUpdateSched] "C:\Program Files\Java\jre1.6.0_01\bin\jusched.exe" O4 - HKLM\..\Run: [DAEMON Tools-1033] "E:\Ohjelmat\daemon.exe" -lang 1033 O4 - HKLM\..\Run: [CmSkype] "C:\Program Files\USB Phone Middleware\CmSkype.exe" O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\ctfmon.exe O4 - HKCU\..\Run: [EPSON Stylus COLOR 480] C:\WINDOWS\System32\spool\DRIVERS\W32X86\3\E_AICN03.EXE /P22 "EPSON Stylus COLOR 480" /O5 "LPT1:" /M "Stylus COLOR 480" O4 - HKUS\S-1-5-19\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 'Paikallinen palve') O4 - HKUS\S-1-5-20\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 'Verkkopalve') O4 - HKUS\S-1-5-18\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 'SYSTEM') O4 - HKUS\.DEFAULT\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 'Default user') O4 - Global Startup: Adobe Gamma Loader.lnk = C:\Program Files\Common Files\Adobe\Calibration\Adobe Gamma Loader.exe O4 - Global Startup: Elisa Tietoturvapalvelu.lnk = E:\Ohjelmat\Elisa Tietoturva\backweb\4119343\Program\fspex.exe O8 - Extra context menu item: &Estä tämä kohoikkuna - E:\Ohjelmat\Elisa Tietoturva\Anti-Spyware\blockpopups.htm O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\jre1.6.0_01\bin\ssv.dll O9 - Extra 'Tools' menuitem: Sun Java Console - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\jre1.6.0_01\bin\ssv.dll O9 - Extra button: IE-suojaus - {300DB664-75B5-47c0-8B45-A44ACCF73C00} - E:\Ohjelmat\Elisa Tietoturva\Anti-Spyware\ieshield.dll O9 - Extra 'Tools' menuitem: IE-suojaus... - {300DB664-75B5-47c0-8B45-A44ACCF73C00} - E:\Ohjelmat\Elisa Tietoturva\Anti-Spyware\ieshield.dll O9 - Extra button: (no name) - {e2e2dd38-d088-4134-82b7-f2ba38496583} - %windir%\Network Diagnostic\xpnetdiag.exe (file missing) O9 - Extra 'Tools' menuitem: @xpsp3res.dll,-20001 - {e2e2dd38-d088-4134-82b7-f2ba38496583} - %windir%\Network Diagnostic\xpnetdiag.exe (file missing) O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe O16 - DPF: {6414512B-B978-451D-A0D8-FCFDF33E833C} (WUWebControl Class) - http://update.microsoft.com/windowsupdate/v6/V5Controls/en/x86/client/wuweb_site.cab?1168964574375 O18 - Protocol: skype4com - {FFC8B962-9B40-4DFF-9458-1830C7DD7F5D} - C:\PROGRA~1\COMMON~1\Skype\SKYPE4~1.DLL O22 - SharedTaskScheduler: Browseui preloader - {438755C2-A8BA-11D1-B96B-00A0C90312E1} - C:\WINDOWS\System32\browseui.dll O22 - SharedTaskScheduler: Component Categories cache daemon - {8C7461EF-2B13-11d2-BE35-3078302C2030} - C:\WINDOWS\System32\browseui.dll O23 - Service: Ati HotKey Poller - ATI Technologies Inc. - C:\WINDOWS\system32\Ati2evxx.exe O23 - Service: ATI Smart - Unknown owner - C:\WINDOWS\system32\ati2sgag.exe O23 - Service: Elisa Tietoturvapalvelu (BackWeb Plug-in - 4119343) - BackWeb Technologies Inc. - E:\Ohjelmat\ELISAT~1\backweb\4119343\Program\SERVIC~1.EXE O23 - Service: Loogisen levyn hallinnan valvontapalvelu (dmadmin) - Unknown owner - C:\WINDOWS\System32\dmadmin.exe O23 - Service: Tapahtumaloki (Eventlog) - Unknown owner - C:\WINDOWS\system32\services.exe O23 - Service: F-Secure Gatekeeper Handler Starter - Unknown owner - E:\Ohjelmat\Elisa Tietoturva\Anti-Virus\fsgk32st.exe O23 - Service: FSBWSYS (fsbwsys) - Unknown owner - E:\Ohjelmat\Elisa Tietoturva\backweb\4119343\program\fsbwsys.exe O23 - Service: F-Secure Anti-Virus Firewall Daemon (FSDFWD) - F-Secure Corporation - E:\Ohjelmat\Elisa Tietoturva\FWES\Program\fsdfwd.exe O23 - Service: FSMA - F-Secure Corporation - E:\Ohjelmat\Elisa Tietoturva\Common\FSMA32.EXE O23 - Service: CD-levyjen kirjoittamisen IMAPI COM -palvelu (ImapiService) - Unknown owner - C:\WINDOWS\System32\imapi.exe O23 - Service: NetMeeting etätyöpöydän jakaminen (mnmsrvc) - Unknown owner - C:\WINDOWS\System32\mnmsrvc.exe O23 - Service: Plug and Play (PlugPlay) - Unknown owner - C:\WINDOWS\system32\services.exe O23 - Service: Etätyöpöydän ohjeen istunnonhallinta (RDSessMgr) - Unknown owner - C:\WINDOWS\system32\sessmgr.exe O23 - Service: Älykortti (SCardSvr) - Unknown owner - C:\WINDOWS\System32\SCardSvr.exe O23 - Service: Resurssilokit ja -hälytykset (SysmonLog) - Unknown owner - C:\WINDOWS\system32\smlogsvc.exe O23 - Service: Aseman tilannevedos (VSS) - Unknown owner - C:\WINDOWS\System32\vssvc.exe O23 - Service: WMI resurssisovitin (WmiApSrv) - Unknown owner - C:\WINDOWS\System32\wbem\wmiapsrv.exe O23 - Service: Windows Media Playerin verkkojakamispalvelu (WMPNetworkSvc) - Unknown owner - C:\Program Files\Windows Media Player\WMPNetwk.exe -- End of file - 7673 bytes ----------------------------------------------------------- Dr.Web logi: mirc.exe;E:\Ohjelmat\MirC;Program.mIRC.616;Incurable.Moved.;
Pysy puhtaana -> Tyhjennä järjestelmänpalautus Ohjeet Tyhjennä järjestelmänpalautuskansio ja luo uusi palautuspiste. Tämä puhdistaa palautuskansion mahdollisista haittaohjelmajäännöksistä. -> Käytä CCleaneria -> CCleaner Lataa ja asenna CCleaner. Puhdista väliaikaistiedostot ja -kansiot ohjelmalla säännöllisesti. -> Asenna SpywareBlaster -> SpywareBlaster SpywareBlaster estää haittaohjelmia asentumasta koneellesi. Ei kuluta muistia! Opas saatavilla suomeksi! Nimimerkki Ad-Awaren opas -> Asenna MVPS Hosts tiedosto -> MVPS Hosts Estää koneesi yhteyden haitallisiin sivustoihin. Opas saatavilla suomeksi! Nimimerkki Axelin opas -> Vaihda selaimesi Firefoxiin -> Firefox Firefox on nopeampi, turvallisempi ja parempi selain kuin Internet Explorer. -> Pidä järjestelmäsi ajantasalla. -> Windows Update Vieraile Windows Updatessa säännöllisesti. -> Pidä palomuuri ja virustorjunta ajantasalla Päivitä ja skannaa koneesi säännöllisesti virustorjuntaohjelmallasi. ja hyvä myös escan http://koti.mbnet.fi/pattaya1/escanmwav.htm ->Pidä ohjelmistosi ajantasalla. -> Secunia Software Inspector Secunia Software Inspector tutkii sinun järjestälmäsi ja ohjelmistosi puuttuvien turvallisuuspäivityksien osalta. Tavallinen tutkinta kestää normaalisti 5-40 sekuntia, kun läpikotainen (thorough system inspection) voi kestää useita minuutteja. ->Seuraa säännöllisesti viestintäviraston tietoja uusista haavoittuvuuksista -> CERT-FI Lokit näyttää hyvältä
