Kone aivan pihalla..

Jotenkin sain tälläisen näppärän..
yksikään exe ei toimi / pikakuvake työpöydällä / Rekisterit..

eli vaikka latais netistä .exe ni häipyy vaan käytettävyys.

Joku sattuis tietämään?
Trendmicro taustalla jauhamassa mut buuttaileekin itsestään miten sattuu.

XP & Mozilla (IE ei käynnisty)

Edit: ja käytössä oli Antivir & ZA / ad-watch-spywareblaster-ewido combo

 

Vika voi olla Windowsissa eli asentamalla uusiksi nii voisi toimia.
Kyl se näyttää enemmän rauta vialta eli kiintolevy tai muistit.

Testaa muistit anna pyöriä ainakin kuusi kertaa
http://www.memtest.org/

 

ok, kiitos! trendmicro löysi pari jotaki pöpöä -> uudestaan jauhaa läpi.
Navidad tää ei ollu, rekisterissä ei ollu mitään siihen viittaavaa (löysin nyyppänä ohjeet googelista) eli sain edes regeditin päälle..

kohta koitan buuttia jos joku ohjelma suostuis menemään.. täl hetkel ei oo mitään aktiivisena virustorjuntaa tai palomuuria

 

Koitas asentaa tuo UnHookExec.inf löytyy tuolta ohjeineen,ehkä exe:t toimii sen jälkeen

http://www.symantec.com/avcenter/venc/data/tool.to.reset.shellopencommand.registry.keys.html

 

Siinä se vian aiheuttaja lyhykäisyydessään taisi tullakin. Windowsia ei saa edes asentaa niin että verkkopiuha olisi kiinni. Vasta palomuurin asentamisen jälkeen voi verkkopiuhan laittaa kiinni ja senkin jälkeen ensimmäisenä hakemaan päivityksiä Windowsiin ja palomuuriin.

 

unhookexec ei toiminut, jatko-ohjelma ei suostunu enää sitte toimimaan

rekisterissä näyttää olevan tuo exefile/shell/open/command ihan kunnossa "%1"%*...

palomuuri & A-V oli lakannut toimimasta jossain vaiheessa itsekseen?

ja ohjauspaneelista ei saa edes XP:n omaa palomuuria päälle eikä mitään

ja kerran vielä: tämä oli täysin toimiva kone eilen illalla yhdistelmällä AntiVir& ZA free + ewido- ad-watch-spywareblaster.

 

> jatko-ohjelma ei suostunu enää sitte toimimaan <

Niin mitä tarkotat tolla,en ymmärrä.
Toimiiko mikään exe vieläkään.

 

inffin asennuksen jälkeen ilmoittaa että grpconv.exe ei voi avata (Windows ei voi avata tätä tiedostoa, mitä haluat tehdä Etsi oikea web palvelun.. / Valitse ohjelma luettelosta)

mikään .exe ei aukea vieläkään

____________________________
TrendMicrolta seuraavaa:

Everything ok?
Yes, everything's alright!

HouseCall did not find any potential threats on your computer- you can go on working reliably.

Keep it up and don't give the next attack a chance!

a2:sella löytyi muutama jokin, mitä ei aiemmmin ilmennyt?

 

Koitas jos tuo toimii,se on vbs file,niin nähään onko siellä joku örkki

http://www.silentrunners.org/Silent Runners.vbs

 

"Silent Runners.vbs", revision 45, http://www.silentrunners.org/
Operating System: Windows XP SP2
Output limited to non-default values, except where indicated by "{++}"


Startup items buried in registry:
---------------------------------

HKCU\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\ {++}
"AWMON" = ""C:\PROGRA~1\Lavasoft\AD-AWA~1\Ad-Watch.exe"" ["Lavasoft Sweden"]

HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\ {++}
"NvCplDaemon" = "RUNDLL32.EXE C:\WINDOWS\system32\NvCpl.dll,NvStartup" [MS]

HKLM\Software\Microsoft\Active Setup\Installed Components\
>{26923b43-4d38-484f-9b9e-de460746276c}\(Default) = "Internet Explorer"
\StubPath = "C:\WINDOWS\system32\shmgrate.exe OCInstallUserConfigIE" [MS]

HKLM\Software\Microsoft\Windows\CurrentVersion\Explorer\Browser Helper Objects\
{06849E9F-C8D7-4D59-B87D-784B7D6BE0B3}\(Default) = (no title provided)
-> {HKLM...CLSID} = "AcroIEHlprObj Class"
\InProcServer32\(Default) = "C:\Program Files\Adobe\Acrobat 5.0\Reader\ActiveX\AcroIEHelper.ocx" [empty string]
{53707962-6F74-2D53-2644-206D7942484F}\(Default) = (no title provided)
-> {HKLM...CLSID} = (no title provided)
\InProcServer32\(Default) = "C:\PROGRA~1\Spybot\SDHelper.dll" ["Safer Networking Limited"]
{761497BB-D6F0-462C-B6EB-D4DAF1D92D43}\(Default) = (no title provided)
-> {HKLM...CLSID} = "SSVHelper Class"
\InProcServer32\(Default) = "C:\Program Files\Java\jre1.5.0_06\bin\ssv.dll" ["Sun Microsystems, Inc."]

HKLM\Software\Microsoft\Windows\CurrentVersion\Shell Extensions\Approved\
"{42071714-76d4-11d1-8b24-00a0c9068ff3}" = "Display Panning CPL -laajennus"
-> {HKLM...CLSID} = "Display Panning CPL -laajennus"
\InProcServer32\(Default) = "deskpan.dll" [file not found]
"{88895560-9AA2-1069-930E-00AA0030EBC8}" = "HyperTerminal-kuvakkeen tunniste"
-> {HKLM...CLSID} = "HyperTerminal Icon Ext"
\InProcServer32\(Default) = "C:\WINDOWS\System32\hticons.dll" ["Hilgraeve, Inc."]
"{B41DB860-8EE4-11D2-9906-E49FADC173CA}" = "WinRAR shell extension"
-> {HKLM...CLSID} = "WinRAR"
\InProcServer32\(Default) = "C:\Program Files\WinRAR\rarext.dll" [null data]
"{21569614-B795-46b1-85F4-E737A8DC09AD}" = "Shell Search Band"
-> {HKLM...CLSID} = "Shell Search Band"
\InProcServer32\(Default) = "C:\WINDOWS\system32\browseui.dll" [MS]
"{950FF917-7A57-46BC-8017-59D9BF474000}" = "Shell Extension for CDRW"
-> {HKLM...CLSID} = "Shell Extension for CDRW"
\InProcServer32\(Default) = "C:\Program Files\Ahead\InCD\incdshx.dll" ["Nero AG"]
"{45AC2688-0253-4ED8-97DE-B5370FA7D48A}" = "Shell Extension for Malware scanning"
-> {HKLM...CLSID} = "Shell Extension for Malware scanning"
\InProcServer32\(Default) = "C:\Program Files\AntiVir PersonalEdition Classic\shlext.dll" ["H+BEDV Datentechnik GmbH"]
"{A70C977A-BF00-412C-90B7-034C51DA2439}" = "NvCpl DesktopContext Class"
-> {HKLM...CLSID} = "DesktopContext Class"
\InProcServer32\(Default) = "C:\WINDOWS\system32\nvcpl.dll" ["NVIDIA Corporation"]
"{FFB699E0-306A-11d3-8BD1-00104B6F7516}" = "Play on my TV helper"
-> {HKLM...CLSID} = "NVIDIA CPL Extension"
\InProcServer32\(Default) = "C:\WINDOWS\system32\nvcpl.dll" ["NVIDIA Corporation"]
"{1CDB2949-8F65-4355-8456-263E7C208A5D}" = "Desktop Explorer"
-> {HKLM...CLSID} = "Desktop Explorer"
\InProcServer32\(Default) = "C:\WINDOWS\system32\nvshell.dll" ["NVIDIA Corporation"]
"{1E9B04FB-F9E5-4718-997B-B8DA88302A47}" = "Desktop Explorer Menu"
-> {HKLM...CLSID} = (no title provided)
\InProcServer32\(Default) = "C:\WINDOWS\system32\nvshell.dll" ["NVIDIA Corporation"]
"{1E9B04FB-F9E5-4718-997B-B8DA88302A48}" = "nView Desktop Context Menu"
-> {HKLM...CLSID} = "nView Desktop Context Menu"
\InProcServer32\(Default) = "C:\WINDOWS\system32\nvshell.dll" ["NVIDIA Corporation"]
"{0006F045-0000-0000-C000-000000000046}" = "Microsoft Outlook Custom Icon Handler"
-> {HKLM...CLSID} = "Outlookin tiedoston kuvakkeen tunniste"
\InProcServer32\(Default) = "C:\Program Files\Microsoft Office\Office10\OLKFSTUB.DLL" [MS]
"{42042206-2D85-11D3-8CFF-005004838597}" = "Microsoft Office HTML Icon Handler"
-> {HKLM...CLSID} = (no title provided)
\InProcServer32\(Default) = "C:\Program Files\Microsoft Office\Office10\msohev.dll" [MS]
"{e82a2d71-5b2f-43a0-97b8-81be15854de8}" = "ShellLink for Application References"
-> {HKLM...CLSID} = "ShellLink for Application References"
\InProcServer32\(Default) = "C:\WINDOWS\system32\dfshim.dll" [MS]
"{E37E2028-CE1A-4f42-AF05-6CEABC4E5D75}" = "Shell Icon Handler for Application References"
-> {HKLM...CLSID} = "Shell Icon Handler for Application References"
\InProcServer32\(Default) = "C:\WINDOWS\system32\dfshim.dll" [MS]
"{F0CB00CD-5A07-4D91-97F5-A8C92CDA93E4}" = "Shell Extensions for RealOne Player"
-> {HKLM...CLSID} = "RealOne Player Context Menu Class"
\InProcServer32\(Default) = "C:\Program Files\Real\RealPlayer\rpshell.dll" ["RealNetworks, Inc."]
"{AB77609F-2178-4E6F-9C4B-44AC179D937A}" = "a² Context Menu Shell Extension"
-> {HKLM...CLSID} = "a² Context Menu Shell Extension"
\InProcServer32\(Default) = "C:\PROGRA~1\a2\A2CONT~1.DLL" [null data]

HKLM\Software\Microsoft\Windows\CurrentVersion\Explorer\ShellExecuteHooks\
INFECTION WARNING! "{54D9498B-CF93-414F-8984-8CE7FDE0D391}" = "ewido shell guard"
-> {HKLM...CLSID} = "CShellExecuteHookImpl Object"
\InProcServer32\(Default) = "C:\Program Files\ewido anti-malware\shellhook.dll" ["TODO: <Firmenname>"]

HKLM\Software\Classes\*\shellex\ContextMenuHandlers\
DAP_Menu\(Default) = "{BED4C38B-F765-45AC-8C56-613F76BBF43E}"
-> {HKLM...CLSID} = "DAPMenuShellExt Class"
\InProcServer32\(Default) = "C:\Program Files\DAP\Privacy Package\DAPCtxMenuShell.dll" ["Speedbit Ltd."]
ewido\(Default) = "{57BD36D7-CE32-4600-9B1C-1A0C47EFC02E}"
-> {HKLM...CLSID} = "Ctest Object"
\InProcServer32\(Default) = "C:\Program Files\ewido anti-malware\context.dll" ["ewido networks"]
Shell Extension for Malware scanning\(Default) = "{45AC2688-0253-4ED8-97DE-B5370FA7D48A}"
-> {HKLM...CLSID} = "Shell Extension for Malware scanning"
\InProcServer32\(Default) = "C:\Program Files\AntiVir PersonalEdition Classic\shlext.dll" ["H+BEDV Datentechnik GmbH"]
WinRAR\(Default) = "{B41DB860-8EE4-11D2-9906-E49FADC173CA}"
-> {HKLM...CLSID} = "WinRAR"
\InProcServer32\(Default) = "C:\Program Files\WinRAR\rarext.dll" [null data]

HKLM\Software\Classes\Directory\shellex\ContextMenuHandlers\
ewido\(Default) = "{57BD36D7-CE32-4600-9B1C-1A0C47EFC02E}"
-> {HKLM...CLSID} = "Ctest Object"
\InProcServer32\(Default) = "C:\Program Files\ewido anti-malware\context.dll" ["ewido networks"]
WinRAR\(Default) = "{B41DB860-8EE4-11D2-9906-E49FADC173CA}"
-> {HKLM...CLSID} = "WinRAR"
\InProcServer32\(Default) = "C:\Program Files\WinRAR\rarext.dll" [null data]

HKLM\Software\Classes\Folder\shellex\ContextMenuHandlers\
a2ContMenu\(Default) = "{AB77609F-2178-4E6F-9C4B-44AC179D937A}"
-> {HKLM...CLSID} = "a² Context Menu Shell Extension"
\InProcServer32\(Default) = "C:\PROGRA~1\a2\A2CONT~1.DLL" [null data]
Shell Extension for Malware scanning\(Default) = "{45AC2688-0253-4ED8-97DE-B5370FA7D48A}"
-> {HKLM...CLSID} = "Shell Extension for Malware scanning"
\InProcServer32\(Default) = "C:\Program Files\AntiVir PersonalEdition Classic\shlext.dll" ["H+BEDV Datentechnik GmbH"]
WinRAR\(Default) = "{B41DB860-8EE4-11D2-9906-E49FADC173CA}"
-> {HKLM...CLSID} = "WinRAR"
\InProcServer32\(Default) = "C:\Program Files\WinRAR\rarext.dll" [null data]


Default executables:
--------------------

HKLM\Software\Classes\.bat\(Default) = (value not set)

HKLM\Software\Classes\.exe\(Default) = (value not set)

HKLM\Software\Classes\.pif\(Default) = (value not set)

HKLM\Software\Classes\.scr\(Default) = (value not set)
HKLM\Software\Classes\scrfile\shell\open\command\(Default) = ""%1" %*" [file not found]


Active Desktop and Wallpaper:
-----------------------------

Active Desktop is disabled at this entry:
HKCU\Software\Microsoft\Windows\CurrentVersion\Explorer\ShellState

HKCU\Control Panel\Desktop\
"Wallpaper" = "C:\Documents and Settings\Sini\Local Settings\Application Data\Microsoft\Wallpaper1.bmp"


Enabled Screen Saver:
---------------------

HKCU\Control Panel\Desktop\
"SCRNSAVE.EXE" = "C:\WINDOWS\System32\logon.scr" [MS]


Startup items in "Sini" & "All Users" startup folders:
------------------------------------------------------

C:\Documents and Settings\Sini\Käynnistä-valikko\Ohjelmat\Käynnistys
"Zone Labs Security" -> shortcut to: "C:\Program Files\Zone Labs\ZoneAlarm\zlclient.exe" ["Zone Labs, LLC"]

C:\Documents and Settings\All Users\Käynnistä-valikko\Ohjelmat\Käynnistys
"Logitech SetPoint" -> shortcut to: "C:\Program Files\Logitech\SetPoint\KEM.exe" ["Logitech Inc."]
"Microsoft Office" -> shortcut to: "C:\Program Files\Microsoft Office\Office10\OSA.EXE -b -l" [MS]
"PC Alert 4" -> shortcut to: "C:\Program Files\MSI\PC Alert 4\PCAlert4.exe" [empty string]


Winsock2 Service Provider DLLs:
-------------------------------

Namespace Service Providers

HKLM\System\CurrentControlSet\Services\Winsock2\Parameters\NameSpace_Catalog5\Catalog_Entries\ {++}
000000000001\LibraryPath = "%SystemRoot%\System32\mswsock.dll" [MS]
000000000002\LibraryPath = "%SystemRoot%\System32\winrnr.dll" [MS]
000000000003\LibraryPath = "%SystemRoot%\System32\mswsock.dll" [MS]

Transport Service Providers

HKLM\System\CurrentControlSet\Services\Winsock2\Parameters\Protocol_Catalog9\Catalog_Entries\ {++}
0000000000##\PackedCatalogItem (contains) DLL [Company Name], (at) ## range:
%SystemRoot%\system32\mswsock.dll [MS], 01 - 03, 06 - 11
%SystemRoot%\system32\rsvpsp.dll [MS], 04 - 05


Toolbars, Explorer Bars, Extensions:
------------------------------------

Toolbars

HKLM\Software\Microsoft\Internet Explorer\Toolbar\
"{327C2873-E90D-4C37-AA9D-10AC9BABA46C}" = "Easy-WebPrint"
-> {HKLM...CLSID} = "Easy-WebPrint"
\InProcServer32\(Default) = "C:\Program Files\Canon\Easy-WebPrint\Toolband.dll" [null data]

Extensions (Tools menu items, main toolbar menu buttons)

HKLM\Software\Microsoft\Internet Explorer\Extensions\
{08B0E5C0-4FCB-11CF-AAA5-00401C608501}\
"MenuText" = "Sun Java Console"
"CLSIDExtension" = "{CAFEEFAC-0015-0000-0006-ABCDEFFEDCBC}"
-> {HKCU...CLSID} = "Java Plug-in"
\InProcServer32\(Default) = "C:\Program Files\Java\jre1.5.0_06\bin\ssv.dll" ["Sun Microsystems, Inc."]
-> {HKLM...CLSID} = "Java Plug-in 1.5.0_06"
\InProcServer32\(Default) = "C:\Program Files\Java\jre1.5.0_06\bin\npjpi150_06.dll" ["Sun Microsystems, Inc."]

{85D1F590-48F4-11D9-9669-0800200C9A66}\
"MenuText" = "Uninstall BitDefender Online Scanner v8"
"Exec" = "%windir%\bdoscandel.exe" [null data]

{FB5F1910-F110-11D2-BB9E-00C04F795683}\
"ButtonText" = "Messenger"
"MenuText" = "Windows Messenger"
"Exec" = "C:\Program Files\Messenger\msmsgs.exe" [MS]


Running Services (Display Name, Service Name, Path {Service DLL}):
------------------------------------------------------------------

AntiVir PersonalEdition Classic Guard, AntiVirService, "C:\Program Files\AntiVir PersonalEdition Classic\avguard.exe" ["AVIRA GmbH"]
AntiVir PersonalEdition Classic Scheduler, AntiVirScheduler, "C:\Program Files\AntiVir PersonalEdition Classic\sched.exe" ["Avira GmbH"]
ewido security suite control, ewido security suite control, "C:\Program Files\ewido anti-malware\ewidoctrl.exe" ["ewido networks"]
InCD Helper, InCDsrv, "C:\Program Files\Ahead\InCD\InCDsrv.exe" ["Nero AG"]
Machine Debug Manager, MDM, ""C:\Program Files\Common Files\Microsoft Shared\VS7Debug\mdm.exe"" [MS]
NVIDIA Display Driver Service, NVSvc, "C:\WINDOWS\system32\nvsvc32.exe" ["NVIDIA Corporation"]
TrueVector Internet Monitor, vsmon, "C:\WINDOWS\system32\ZoneLabs\vsmon.exe -service" ["Zone Labs, LLC"]
Windows User Mode Driver Framework, UMWdf, "C:\WINDOWS\system32\wdfmgr.exe" [MS]


Print Monitors:
---------------

HKLM\System\CurrentControlSet\Control\Print\Monitors\
Canon BJ Language Monitor MP110\Driver = "CNMLM6f.DLL" ["CANON INC."]


----------
+ This report excludes default entries except where indicated.
+ To see *everywhere* the script checks and *everything* it finds,
launch it from a command prompt or a shortcut with the -all parameter.
+ To search all directories of local fixed drives for DESKTOP.INI
DLL launch points and all Registry CLSIDs for dormant Explorer Bars,
use the -supp parameter or answer "No" at the first message box.
---------- (total run time: 31 seconds, including 18 seconds for message boxes)


Edit: Otti silmän käteen..
Edit2: Miksei noille ole mitään määrityksiä, pif/exe/bat ?

 

Logi pitäs löytä samasta paikasta mihin säästin sen ennen ajoa.

 

Säästä tuo työpöydälle ja sitte tuplaklikkaa sitä ja vastaa myöntävästi

http://www.thecomputerparamedic.com/xp_exe_fix.reg

jos ei onnistu niin kirjota Suorita kohtaan regedit ja Ok
sitte tiedosto -> tuo ja selaa se esiin ja aukase.

 

laittoi hetkeks ad-watchin ja ZA:n toimimaan.. sit koitin tuota unhookkia ja kaikki alkoi vissiin toimimaan!

ad-watch kyseli jostain rekisterimuutoksista?

otanko uuden login vielä?
nyt sitten asentamaan kaikki ohjelmat uudestaan? kun käynnistä-valikko on pimeänä oikeastaan kaikkien ohjelmien kohdalta mut manuaalisesti toimii kyllä!?


Edit: Löytyisköhän mistä logia tuohon mitä hel%%#ttiä tääl on oikein tapahtunut?

 

Lähetä Hijack logi

http://koti.mbnet.fi/pattaya1/HijackThis.exe

> ad-watch kyseli jostain rekisterimuutoksista? <

Niin riippuu mitä muutoksia jos ne liittyy noihin xp_exe_fix.reg ja
UnHookExec.inf niin hyväksy muutokset.

 

ei, väärä hälytys. Tää alkoi meinaan kettuilee päin naamaa. Nyt ei toimikkaan vaikka se rekisterikorjaus on ajettu -> boot

regeditkään ei suostu aukeamaan. olin juur laittamas Spybottia juoksemaan mut lopetti juur sitä ennen.

Lisää ideoita vaan, kyllä täs näyttää viel vähän henki pihisevän....

Edit: Ja vaikutti et toimii vain Resurssienhallinnan kautta ja vaan hetken

 

> löysin nyyppänä ohjeet googelista) eli sain edes regeditin päälle.. <

Eli tee kaikki nuo hommelit uudestaan,jos se kerran toimi jo ja sitte se Hijack logi tänne.

 

eipä toimi enää edes tuo uudelleennimeäminen.

 

Tuon UnHookExec.inf pitäs kyllä muuttaa sen rekisteriarvon että rupee toimiin mutta jos sulla on ad-watch päällä,niin se estää ne muutokset.

 

kaikki lisäämällä (Avaa sovelluksessa -> valitse listasta -> lisää luetteloon) saa ohjelmia päälle, EXEt ei vieläkään toimi sekä REG ja bat

 

Kumma jos nyt ei onnistu jos aikasemmin onnistu.
Okko koitannu palauttaa konetta tai viimesin toimiva kokoonpano vaihtoehto.