F-secure antaa ilmoituksen yllä olevata viruksesta, jota se ei kykne poistamaan, vaan nimeää sen uudelleen. Vähän ajan päästä tulee sama ilmoitus ja täytyy tehdä samat toimenpiteet puhdistuksen yritykseksi. Varsinaista muuta haittaa en ole huomannut kuin tämän toistuvan ilmoittelun. Mitä pitäisi tehdä? Logfile of HijackThis v1.99.1 Scan saved at 20:23:18, on 3.5.2006 Platform: Windows XP SP2 (WinNT 5.01.2600) MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180) Running processes: D:\WINDOWS\System32\smss.exe D:\WINDOWS\system32\winlogon.exe D:\WINDOWS\system32\services.exe D:\WINDOWS\system32\lsass.exe D:\WINDOWS\system32\svchost.exe D:\WINDOWS\System32\svchost.exe D:\WINDOWS\Explorer.EXE D:\WINDOWS\system32\spoolsv.exe D:\Program Files\F-Secure\Common\FSM32.EXE D:\WINDOWS\Mixer.exe D:\Program Files\Hewlett-Packard\HP Share-to-Web\hpgs2wnd.exe D:\Program Files\Hewlett-Packard\Digital Imaging\Unload\hpqcmon.exe D:\Program Files\Java\jre1.5.0_06\bin\jusched.exe G:\OHJELMAT\Program Files\iTunesHelper.exe D:\Program Files\QuickTime\qttask.exe D:\WINDOWS\system32\ctfmon.exe D:\Program Files\Messenger\msmsgs.exe D:\Program Files\Google\Google Desktop Search\GoogleDesktop.exe D:\Program Files\Hewlett-Packard\HP Share-to-Web\hpgs2wnf.exe D:\PROGRA~1\F-Secure\BackWeb\7681197\Program\SERVIC~1.EXE D:\Program Files\F-Secure\Anti-Virus\fsgk32st.exe D:\Program Files\F-Secure\BackWeb\7681197\program\fsbwsys.exe D:\Program Files\F-Secure\Anti-Virus\FSGK32.EXE D:\Program Files\F-Secure\Common\FSMA32.EXE D:\Program Files\F-Secure\Common\FSMB32.EXE D:\WINDOWS\system32\nvsvc32.exe D:\Program Files\F-Secure\Anti-Virus\fssm32.exe D:\Program Files\F-Secure\BackWeb\7681197\Program\F-Secure Automatic Update.exe D:\Program Files\F-Secure\Common\FCH32.EXE D:\WINDOWS\System32\svchost.exe D:\Program Files\F-Secure\Common\FAMEH32.EXE D:\Program Files\Canon\CAL\CALMAIN.exe D:\Program Files\iPod\bin\iPodService.exe D:\Program Files\F-Secure\Common\FNRB32.EXE D:\Program Files\F-Secure\FWES\Program\fsdfwd.exe D:\Program Files\F-Secure\Common\FIH32.EXE D:\Program Files\F-Secure\Anti-Virus\fsav32.exe D:\Program Files\F-Secure\FSGUI\fsguiexe.exe D:\Program Files\Google\Google Desktop Search\GoogleDesktopIndex.exe D:\Program Files\Google\Google Desktop Search\GoogleDesktopDisplay.exe D:\Program Files\Google\Google Desktop Search\GoogleDesktopCrawl.exe D:\Program Files\Mozilla Firefox\firefox.exe D:\Program Files\Outlook Express\msimn.exe G:\OHJELMAT\Hijack\HijackThis.exe R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Local Page = R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Linkit O2 - BHO: Nothing - {7a932ed2-1737-4ab8-b84d-c71779958551} - (no file) O4 - HKLM\..\Run: [F-Secure Manager] "D:\Program Files\F-Secure\Common\FSM32.EXE" /splash O4 - HKLM\..\Run: [C-Media Mixer] Mixer.exe /startup O4 - HKLM\..\Run: [Share-to-Web Namespace Daemon] D:\Program Files\Hewlett-Packard\HP Share-to-Web\hpgs2wnd.exe O4 - HKLM\..\Run: [CamMonitor] D:\Program Files\Hewlett-Packard\Digital Imaging\Unload\hpqcmon.exe O4 - HKLM\..\Run: [F-Secure TNB] "D:\Program Files\F-Secure\TNB\TNBUtil.exe" /CHECKALL /WAITFORSW O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE D:\WINDOWS\system32\NvCpl.dll,NvStartup O4 - HKLM\..\Run: [nwiz] nwiz.exe /install O4 - HKLM\..\Run: [NvMediaCenter] RUNDLL32.EXE D:\WINDOWS\system32\NvMcTray.dll,NvTaskbarInit O4 - HKLM\..\Run: [SunJavaUpdateSched] D:\Program Files\Java\jre1.5.0_06\bin\jusched.exe O4 - HKLM\..\Run: [iTunesHelper] "G:\OHJELMAT\Program Files\iTunesHelper.exe" O4 - HKLM\..\Run: [QuickTime Task] "D:\Program Files\QuickTime\qttask.exe" -atboottime O4 - HKLM\..\Run: [SpywareQuake] D:\Program Files\SpywareQuake\SpywareQuake.exe /h O4 - HKCU\..\Run: [CTFMON.EXE] D:\WINDOWS\system32\ctfmon.exe O4 - HKCU\..\Run: [MSMSGS] "D:\Program Files\Messenger\msmsgs.exe" /background O4 - HKCU\..\Run: [Google Desktop Search] "D:\Program Files\Google\Google Desktop Search\GoogleDesktop.exe" /startup O4 - Global Startup: Adobe Reader Speed Launch.lnk = D:\Program Files\Adobe\Acrobat 7.0\Reader\reader_sl.exe O4 - Global Startup: F-Secure Automatic Update.lnk = D:\Program Files\F-Secure\BackWeb\7681197\program\F-Secure Automatic Update.exe O4 - Global Startup: Microsoft Office.lnk = D:\Program Files\Microsoft Office\Office\OSA9.EXE O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - D:\Program Files\Java\jre1.5.0_06\bin\ssv.dll (file missing) O9 - Extra 'Tools' menuitem: Sun Java Console - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - D:\Program Files\Java\jre1.5.0_06\bin\ssv.dll (file missing) O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - D:\Program Files\Messenger\msmsgs.exe O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - D:\Program Files\Messenger\msmsgs.exe O16 - DPF: {6414512B-B978-451D-A0D8-FCFDF33E833C} (WUWebControl Class) - http://v5.windowsupdate.microsoft.c...ls/en/x86/client/wuweb_site.cab?1099840452192 O23 - Service: F-Secure Automatic Update (BackWeb Client - 7681197) - BackWeb Technologies Inc. - D:\PROGRA~1\F-Secure\BackWeb\7681197\Program\SERVIC~1.EXE O23 - Service: Canon Camera Access Library 8 (CCALib8) - Canon Inc. - D:\Program Files\Canon\CAL\CALMAIN.exe O23 - Service: F-Secure BackWeb LAN Access - Unknown owner - D:\Program Files\F-Secure\BackWeb\7681197\Program\fsbwlan.exe (file missing) O23 - Service: F-Secure Gatekeeper Handler Starter - F-Secure Corp. - D:\Program Files\F-Secure\Anti-Virus\fsgk32st.exe O23 - Service: F-Secure Network Request Broker - F-Secure Corporation - D:\Program Files\F-Secure\Common\FNRB32.EXE O23 - Service: fsbwsys - F-Secure Corp. - D:\Program Files\F-Secure\BackWeb\7681197\program\fsbwsys.exe O23 - Service: F-Secure Anti-Virus Firewall Daemon (FSDFWD) - F-Secure Corporation - D:\Program Files\F-Secure\FWES\Program\fsdfwd.exe O23 - Service: FSMA - F-Secure Corporation - D:\Program Files\F-Secure\Common\FSMA32.EXE O23 - Service: InstallDriver Table Manager (IDriverT) - Macrovision Corporation - D:\Program Files\Common Files\InstallShield\Driver\11\Intel 32\IDriverT.exe O23 - Service: iPodService - Apple Computer, Inc. - D:\Program Files\iPod\bin\iPodService.exe O23 - Service: NVIDIA Display Driver Service (NVSvc) - NVIDIA Corporation - D:\WINDOWS\system32\nvsvc32.exe
Lataa SmitfraudFix (c) S!Ri http://siri.urz.free.fr/Fix/SmitfraudFix.zip Pura sisältö (kansio nimeltä SmitfraudFix) työpöydällesi: Avaa SmitfraudFix kansio ja tupla-klikkaa smitfraudfix.cmd Valitse optio #1 - Search kirjoittamalla 1 ja painamalla "Enter"; tekstitiedosto avautuu, joka listaa tarttuneet tiedostot (jos olemassa). Postita tämän tekstitiedoston sisältö viestiketjuusi.
SmitFraudFix v2.39 Scan done at 16:06:22,84, to 04.05.2006 Run from D:\Documents and Settings\Kari Tolonen\Ty”p”yt„\SmitfraudFix OS: Microsoft Windows XP [versio 5.1.2600] »»»»»»»»»»»»»»»»»»»»»»»» D:\ »»»»»»»»»»»»»»»»»»»»»»»» D:\WINDOWS »»»»»»»»»»»»»»»»»»»»»»»» D:\WINDOWS\system »»»»»»»»»»»»»»»»»»»»»»»» D:\WINDOWS\Web »»»»»»»»»»»»»»»»»»»»»»»» D:\WINDOWS\system32 D:\WINDOWS\system32\ot.ico FOUND ! D:\WINDOWS\system32\1024\ FOUND ! »»»»»»»»»»»»»»»»»»»»»»»» D:\Documents and Settings\Kari Tolonen\Application Data D:\Documents and Settings\Kari Tolonen\Application Data\Microsoft\Internet Explorer\Quick Launch\MalwareWipe 4.1.lnk FOUND ! »»»»»»»»»»»»»»»»»»»»»»»» Start Menu »»»»»»»»»»»»»»»»»»»»»»»» D:\DOCUME~1\KARITO~1\Suosikit D:\DOCUME~1\KARITO~1\Suosikit\Antivirus Test Online.url FOUND ! »»»»»»»»»»»»»»»»»»»»»»»» Desktop »»»»»»»»»»»»»»»»»»»»»»»» D:\Program Files »»»»»»»»»»»»»»»»»»»»»»»» Corrupted keys »»»»»»»»»»»»»»»»»»»»»»»» Desktop Components [HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\Desktop\Components\0] "Source"="About:Home" "SubscribedURL"="About:Home" "FriendlyName"="Nykyinen kotisivu" »»»»»»»»»»»»»»»»»»»»»»»» Sharedtaskscheduler !!!Attention, following keys are not inevitably infected!!! SrchSTS.exe by S!Ri Search SharedTaskScheduler's .dll [HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\SharedTaskScheduler] "{E2CA7CD1-1AD9-F1C4-3D2A-DC1A33E7AF9D}"="USB Ware" »»»»»»»»»»»»»»»»»»»»»»»» Scanning wininet.dll infection »»»»»»»»»»»»»»»»»»»»»»»» End
Avaa HijackThis, klikkaa do a system scan only, merkkaa nämä ja paina fix checked: O2 - BHO: Nothing - {7a932ed2-1737-4ab8-b84d-c71779958551} - (no file) O4 - HKLM\..\Run: [SpywareQuake] D:\Program Files\SpywareQuake\SpywareQuake.exe /h Käynnistä koneesi vikasietotilaan ja valitse tavallinen käyttäjätilisi. Kun vikasietotilassa, avaa SmitfraudFix kansio ja tupla-klikkaa smitfraudfix.cmd Valitse optio #2 - Clean kirjoittamalla 2 ja painamalla "Enter" poistaaksesi tarttuneet tiedostot. Sinulta kysytään: "Registry cleaning - Do you want to clean the registry ?"; vastaa "Yes" kirjoittamalla Y ja paina "Enter" poistaaksesi työpöydän taustakuvan ja puhdistaaksesi tarttuneet rekisteriavaimet. Työkalu tarkistaa jos wininet.dll on tarttunut. Sinua saatetaan pyytää korvaamaan tarttunut .dll (jos löytyy); vastaa "Yes" kirjoittamalla Y ja painamalla "Enter". Työkalun saattaa tarvita käynnistää kone uudelleen; jos ei tee niin, käynnistä normaaliin Windowsiin. Tekstitiedosto ilmestyy, puhdistusprosessin jäljiltä; kopioi & liitä tämän raportin tulokset vastaukseesi. Raportti löytyy paikalliselta levyltäsi, useimmiten C:\rapport.txt. Lähetä sen sisältö tänne ja uusi HjT-loki.
Terve! Sain seuraavat raportit. Muuten kaikki meni ihan hyvin, mutta en löytänyt tuota =04-HKLM\..\Run:[SpywareQuake) D:\... -tiedostoa. Ajoin ennen Beclean-ohjelman ennen HijackThis-toimenpiteitä. Beclean kertoi poistaneensa jonkin tuon tyyppisen tiedoston. Sitten kaikkien juttujen jälkeen F-secure ilmoitti, että ei kyennyt poistamaan tiedostoa... ja on nimennyt sen uudelleen.Eli ongelma on kai jäljellä. SmitFraudFix v2.39 Scan done at 21:00:38,28, to 04.05.2006 Run from D:\Documents and Settings\Kari Tolonen\Ty”p”yt„\SmitfraudFix OS: Microsoft Windows XP [versio 5.1.2600] »»»»»»»»»»»»»»»»»»»»»»»» Killing process »»»»»»»»»»»»»»»»»»»»»»»» Deleting infected files D:\WINDOWS\system32\ot.ico Deleted D:\WINDOWS\system32\1024\ Deleted D:\Documents and Settings\Kari Tolonen\Application Data\Microsoft\Internet Explorer\Quick Launch\MalwareWipe 4.1.lnk Deleted D:\DOCUME~1\KARITO~1\Suosikit\Antivirus Test Online.url Deleted »»»»»»»»»»»»»»»»»»»»»»»» Deleting Temp Files »»»»»»»»»»»»»»»»»»»»»»»» Registry Cleaning Registry Cleaning done. »»»»»»»»»»»»»»»»»»»»»»»» End Logfile of HijackThis v1.99.1 Scan saved at 7:22:45, on 5.5.2006 Platform: Windows XP SP2 (WinNT 5.01.2600) MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180) Running processes: D:\WINDOWS\System32\smss.exe D:\WINDOWS\system32\winlogon.exe D:\WINDOWS\system32\services.exe D:\WINDOWS\system32\lsass.exe D:\WINDOWS\system32\svchost.exe D:\WINDOWS\System32\svchost.exe D:\WINDOWS\system32\spoolsv.exe D:\WINDOWS\Explorer.EXE D:\Program Files\F-Secure\Common\FSM32.EXE D:\WINDOWS\Mixer.exe D:\Program Files\Hewlett-Packard\HP Share-to-Web\hpgs2wnd.exe D:\Program Files\Hewlett-Packard\Digital Imaging\Unload\hpqcmon.exe D:\Program Files\Java\jre1.5.0_06\bin\jusched.exe G:\OHJELMAT\Program Files\iTunesHelper.exe D:\Program Files\QuickTime\qttask.exe D:\WINDOWS\system32\ctfmon.exe D:\Program Files\Messenger\msmsgs.exe D:\Program Files\Google\Google Desktop Search\GoogleDesktop.exe D:\Program Files\Hewlett-Packard\HP Share-to-Web\hpgs2wnf.exe D:\PROGRA~1\F-Secure\BackWeb\7681197\Program\SERVIC~1.EXE D:\Program Files\F-Secure\Anti-Virus\fsgk32st.exe D:\Program Files\F-Secure\BackWeb\7681197\program\fsbwsys.exe D:\Program Files\F-Secure\Anti-Virus\FSGK32.EXE D:\Program Files\F-Secure\Common\FSMA32.EXE D:\WINDOWS\system32\nvsvc32.exe D:\Program Files\F-Secure\Common\FSMB32.EXE D:\Program Files\F-Secure\Anti-Virus\fssm32.exe D:\WINDOWS\System32\svchost.exe D:\Program Files\F-Secure\BackWeb\7681197\Program\F-Secure Automatic Update.exe D:\Program Files\F-Secure\Common\FCH32.EXE D:\Program Files\F-Secure\Common\FAMEH32.EXE D:\Program Files\Canon\CAL\CALMAIN.exe D:\Program Files\iPod\bin\iPodService.exe D:\Program Files\F-Secure\Common\FNRB32.EXE D:\Program Files\F-Secure\FWES\Program\fsdfwd.exe D:\Program Files\F-Secure\Common\FIH32.EXE D:\Program Files\F-Secure\Anti-Virus\fsav32.exe D:\Program Files\F-Secure\FSGUI\fsguiexe.exe D:\Program Files\Google\Google Desktop Search\GoogleDesktopIndex.exe D:\Program Files\Google\Google Desktop Search\GoogleDesktopDisplay.exe D:\Program Files\Google\Google Desktop Search\GoogleDesktopCrawl.exe D:\Program Files\Outlook Express\msimn.exe D:\PROGRA~1\MOZILL~1\FIREFOX.EXE D:\WINDOWS\system32\NOTEPAD.EXE G:\OHJELMAT\Hijack\HijackThis.exe R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Linkit O4 - HKLM\..\Run: [F-Secure Manager] "D:\Program Files\F-Secure\Common\FSM32.EXE" /splash O4 - HKLM\..\Run: [C-Media Mixer] Mixer.exe /startup O4 - HKLM\..\Run: [Share-to-Web Namespace Daemon] D:\Program Files\Hewlett-Packard\HP Share-to-Web\hpgs2wnd.exe O4 - HKLM\..\Run: [CamMonitor] D:\Program Files\Hewlett-Packard\Digital Imaging\Unload\hpqcmon.exe O4 - HKLM\..\Run: [F-Secure TNB] "D:\Program Files\F-Secure\TNB\TNBUtil.exe" /CHECKALL /WAITFORSW O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE D:\WINDOWS\system32\NvCpl.dll,NvStartup O4 - HKLM\..\Run: [nwiz] nwiz.exe /install O4 - HKLM\..\Run: [NvMediaCenter] RUNDLL32.EXE D:\WINDOWS\system32\NvMcTray.dll,NvTaskbarInit O4 - HKLM\..\Run: [SunJavaUpdateSched] D:\Program Files\Java\jre1.5.0_06\bin\jusched.exe O4 - HKLM\..\Run: [iTunesHelper] "G:\OHJELMAT\Program Files\iTunesHelper.exe" O4 - HKLM\..\Run: [QuickTime Task] "D:\Program Files\QuickTime\qttask.exe" -atboottime O4 - HKCU\..\Run: [CTFMON.EXE] D:\WINDOWS\system32\ctfmon.exe O4 - HKCU\..\Run: [MSMSGS] "D:\Program Files\Messenger\msmsgs.exe" /background O4 - HKCU\..\Run: [Google Desktop Search] "D:\Program Files\Google\Google Desktop Search\GoogleDesktop.exe" /startup O4 - Global Startup: Adobe Reader Speed Launch.lnk = D:\Program Files\Adobe\Acrobat 7.0\Reader\reader_sl.exe O4 - Global Startup: F-Secure Automatic Update.lnk = D:\Program Files\F-Secure\BackWeb\7681197\program\F-Secure Automatic Update.exe O4 - Global Startup: Microsoft Office.lnk = D:\Program Files\Microsoft Office\Office\OSA9.EXE O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - D:\Program Files\Java\jre1.5.0_06\bin\ssv.dll (file missing) O9 - Extra 'Tools' menuitem: Sun Java Console - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - D:\Program Files\Java\jre1.5.0_06\bin\ssv.dll (file missing) O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - D:\Program Files\Messenger\msmsgs.exe O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - D:\Program Files\Messenger\msmsgs.exe O16 - DPF: {6414512B-B978-451D-A0D8-FCFDF33E833C} (WUWebControl Class) - http://v5.windowsupdate.microsoft.c...ls/en/x86/client/wuweb_site.cab?1099840452192 O23 - Service: F-Secure Automatic Update (BackWeb Client - 7681197) - BackWeb Technologies Inc. - D:\PROGRA~1\F-Secure\BackWeb\7681197\Program\SERVIC~1.EXE O23 - Service: Canon Camera Access Library 8 (CCALib8) - Canon Inc. - D:\Program Files\Canon\CAL\CALMAIN.exe O23 - Service: F-Secure BackWeb LAN Access - Unknown owner - D:\Program Files\F-Secure\BackWeb\7681197\Program\fsbwlan.exe (file missing) O23 - Service: F-Secure Gatekeeper Handler Starter - F-Secure Corp. - D:\Program Files\F-Secure\Anti-Virus\fsgk32st.exe O23 - Service: F-Secure Network Request Broker - F-Secure Corporation - D:\Program Files\F-Secure\Common\FNRB32.EXE O23 - Service: fsbwsys - F-Secure Corp. - D:\Program Files\F-Secure\BackWeb\7681197\program\fsbwsys.exe O23 - Service: F-Secure Anti-Virus Firewall Daemon (FSDFWD) - F-Secure Corporation - D:\Program Files\F-Secure\FWES\Program\fsdfwd.exe O23 - Service: FSMA - F-Secure Corporation - D:\Program Files\F-Secure\Common\FSMA32.EXE O23 - Service: InstallDriver Table Manager (IDriverT) - Macrovision Corporation - D:\Program Files\Common Files\InstallShield\Driver\11\Intel 32\IDriverT.exe O23 - Service: iPodService - Apple Computer, Inc. - D:\Program Files\iPod\bin\iPodService.exe O23 - Service: NVIDIA Display Driver Service (NVSvc) - NVIDIA
Lokit on puhtaat. Kerrotko, minkä niminen se tiedosto on ja missä sijaitsee? Muuten on aika mahdoton auttaa
F-securen viruksen tarkistus antoi viestin: Kohde: D:\SYSTEM VOLUME INFORMATION \ RESTORE{5ADD0CE16-6125-4927-9A73-B012375DD954}\RP425\A0040453.DLL Viruksen nimi: not-virus:HOAX.WIN32.Renos.cc Tulos: Kohdetta ei voitu puhdistaa Toivottavasti näppäilin numerot ja kirjaimet oikein. Onko näistä tiedoista apua?
Tuosta on apua. Tee seuraavasti: Windows XP # 1. Klikkaa oikealla käynnistävalikon My Computer- tai oma tietokone-kuvaketta # 2. Valitse Properties/ominaisuudet # 3. Valitse System Restore/järjestelmän palauttaminen välilehti # 4. Valitse "Turn off System Restore"/poista järjestelmän palauttaminen kaikissa asemissa # 5. Paina Apply/käytä # 6. Paina OK # 7. Käynnistä kone uudelleen # 8. Tarkista kone (mielellään kahdella) online scannereilla ja omalla virustorjuntaohjelmalla # 9. Poista kaikki saastuneet tiedostot # 10. Palauta asetukset takaisin Kyse on tästä: 'System volume' -järjestelmän palautus on Windows XP:n ja Windows ME:n ominaisuus. Jos haittakoodi saastuttaa koneen on mahdollista, että se on myös tallentunut 'System Volume' -palautuspisteeseen. Eli näillä ohjeilla poistuu edelliset palautuspisteet, mutta siellä onkin haitallinen tiedosto.
