spyfalcon...poistettu, mutta...

Discussion in 'Virukset ja haittaohjelmat' started by viljami22, Mar 9, 2006.

  1. viljami22

    viljami22 Member

    Joined:
    Mar 9, 2006
    Messages:
    21
    Likes Received:
    0
    Trophy Points:
    11
    Tuossa yht'äkkiä alkoi zone alarm ilmoittelemaan että joku tiedosto 234.tmp.exe tjsp pyrkii nettiin, en titystikkään päästäny. No meni 5 sekunttia niin rupes paukuttaan vaikka millasta exe:ä ulos koneelta. Mitään en tietysti päästänyt... spy falcon käynnisty jne... jne... No nyt alkaa olemaan kone siisti. Mutta jäi viellä yksi asia johonka pyytäisin apua täältä. Eli käytän kyllä selaimena operaa, mutta IE puskee aloitussivuna osoitteeseen www.necessaryupdates.com Aloitussivu on kyllä edelleen www.google.com. Nyt kysyisin teiltä miten minun tulisi toimia että saisin tuon osoite jutun pois. Kun selaimella ei enää pääse mihinkään. ohjautuu aina takaisin tuohon samaan osoitteeseen...
     
    Last edited: Mar 9, 2006
    viljami22, Mar 9, 2006
    #1
  2. blade81

    blade81 Active member

    Joined:
    Jul 28, 2003
    Messages:
    1,287
    Likes Received:
    0
    Trophy Points:
    66
    Laita uutta hjt lokia, niin katsotaan pyöriikö siellä vielä mörököllejä.
     
    blade81, Mar 9, 2006
    #2
  3. aaxxeell

    aaxxeell Regular member

    Joined:
    Jul 28, 2005
    Messages:
    2,145
    Likes Received:
    0
    Trophy Points:
    46
    Uskoakseni vielä jäi sinne örkkejä, tässä ohje HJT lokiin:

    Laita HjT-loki, ohjelman saat täältä
    -> http://koti.mbnet.fi/pattaya1/HijackThis.exe
    -> Tallenna hakemistoon c:\hjt\
    -> Käynnistä
    -> Klikkaa do a system scan and save a logfile
    -> Lähetä loki tänne.
     
    aaxxeell, Mar 9, 2006
    #3
  4. viljami22

    viljami22 Member

    Joined:
    Mar 9, 2006
    Messages:
    21
    Likes Received:
    0
    Trophy Points:
    11
    Hmm. loki ois tuollanen


    Logfile of HijackThis v1.99.1
    Scan saved at 8:59:37, on 10.3.2006
    Platform: Windows XP SP2 (WinNT 5.01.2600)
    MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)

    Running processes:
    C:\WINDOWS\System32\smss.exe
    C:\WINDOWS\system32\winlogon.exe
    C:\WINDOWS\system32\services.exe
    C:\WINDOWS\system32\lsass.exe
    C:\WINDOWS\system32\Ati2evxx.exe
    C:\WINDOWS\system32\svchost.exe
    C:\WINDOWS\System32\svchost.exe
    C:\WINDOWS\system32\spoolsv.exe
    C:\Acer\eManager\anbmServ.exe
    C:\WINDOWS\system32\Ati2evxx.exe
    C:\WINDOWS\Explorer.EXE
    C:\Program Files\AntiVir PersonalEdition Classic\sched.exe
    C:\Program Files\AntiVir PersonalEdition Classic\avguard.exe
    C:\WINDOWS\system32\drivers\CDAC11BA.EXE
    C:\Program Files\Common Files\Microsoft Shared\VS7Debug\mdm.exe
    C:\WINDOWS\system32\ZONELABS\vsmon.exe
    C:\WINDOWS\SOUNDMAN.EXE
    C:\Program Files\Synaptics\SynTP\SynTPLpr.exe
    C:\Program Files\Synaptics\SynTP\SynTPEnh.exe
    C:\WINDOWS\system32\rundll32.exe
    C:\Program Files\ATI Technologies\ATI Control Panel\atiptaxx.exe
    C:\Program Files\Launch Manager\QtZgAcer.EXE
    C:\Program Files\Zone Labs\ZoneAlarm\zlclient.exe
    C:\Program Files\AntiVir PersonalEdition Classic\avgnt.exe
    C:\WINDOWS\AGRSMMSG.exe
    C:\WINDOWS\system32\ctfmon.exe
    D:\Rainlendar 0.22\Rainlendar.exe
    C:\Program Files\Opera\Opera.exe
    C:\Program Files\acer\eRecovery\Monitor.exe
    C:\WINDOWS\system32\wuauclt.exe
    C:\hjt\HijackThis.exe

    R1 - HKCU\Software\Microsoft\Internet Connection Wizard,ShellNext = http://global.acer.com/
    O2 - BHO: (no name) - {4da4616d-7e6e-4fd9-a2d5-b6c535733e22} - C:\WINDOWS\system32\hpCC77.tmp
    O3 - Toolbar: &Yahoo! Toolbar - {EF99BD32-C1FB-11D2-892F-0090271D4F88} - C:\Program Files\Yahoo!\Companion\Installs\cpn\yt.dll (file missing)
    O4 - HKLM\..\Run: [SoundMan] SOUNDMAN.EXE
    O4 - HKLM\..\Run: [SynTPLpr] C:\Program Files\Synaptics\SynTP\SynTPLpr.exe
    O4 - HKLM\..\Run: [SynTPEnh] C:\Program Files\Synaptics\SynTP\SynTPEnh.exe
    O4 - HKLM\..\Run: [BluetoothAuthenticationAgent] rundll32.exe bthprops.cpl,,BluetoothAuthenticationAgent
    O4 - HKLM\..\Run: [ATIPTA] C:\Program Files\ATI Technologies\ATI Control Panel\atiptaxx.exe
    O4 - HKLM\..\Run: [LManager] C:\Program Files\Launch Manager\QtZgAcer.EXE
    O4 - HKLM\..\Run: [Zone Labs Client] C:\Program Files\Zone Labs\ZoneAlarm\zlclient.exe
    O4 - HKLM\..\Run: [csrss] C:\Documents and Settings\All Users\Application Data\csrss\csrss.exe
    O4 - HKLM\..\Run: [avgnt] "C:\Program Files\AntiVir PersonalEdition Classic\avgnt.exe" /min
    O4 - HKLM\..\Run: [LaunchApp] Alaunch
    O4 - HKLM\..\Run: [eRecoveryService] C:\Windows\System32\Check.exe
    O4 - HKLM\..\Run: [AGRSMMSG] AGRSMMSG.exe
    O4 - HKCU\..\Run: [ctfmon.exe] C:\WINDOWS\system32\ctfmon.exe
    O4 - Startup: Rainlendar.exe.lnk = D:\Rainlendar 0.22\Rainlendar.exe
    O8 - Extra context menu item: Vie Microsoft E&xceliin - res://C:\PROGRA~1\MICROS~3\Office10\EXCEL.EXE/3000
    O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\jre1.5.0_06\bin\ssv.dll
    O9 - Extra 'Tools' menuitem: Sun Java Console - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\jre1.5.0_06\bin\ssv.dll
    O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe
    O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe
    O16 - DPF: {94EB57FE-2720-496C-B33F-D9353C6E23F7} (F-Secure Online Scanner 2.1) - http://support.f-secure.com/ols/fscax.cab
    O18 - Protocol: msnim - {828030A1-22C1-4009-854F-8E305202313F} - "C:\PROGRA~1\MSNMES~1\msgrapp.dll" (file missing)
    O20 - Winlogon Notify: winqwl32 - C:\WINDOWS\SYSTEM32\winqwl32.dll
    O23 - Service: Notebook Manager Service (anbmService) - OSA Technologies Inc. - C:\Acer\eManager\anbmServ.exe
    O23 - Service: AntiVir Scheduler (AntiVirScheduler) - H+BEDV Datentechnik GmbH - C:\Program Files\AntiVir PersonalEdition Classic\sched.exe
    O23 - Service: AntiVir PersonalEdition Classic Service (AntiVirService) - H+BEDV Datentechnik GmbH - C:\Program Files\AntiVir PersonalEdition Classic\avguard.exe
    O23 - Service: Ati HotKey Poller - ATI Technologies Inc. - C:\WINDOWS\system32\Ati2evxx.exe
    O23 - Service: C-DillaCdaC11BA - Macrovision - C:\WINDOWS\system32\drivers\CDAC11BA.EXE
    O23 - Service: TrueVector Internet Monitor (vsmon) - Zone Labs, LLC - C:\WINDOWS\system32\ZONELABS\vsmon.exe

    CDAC11BA.EXE tuollasta ei kannata säikähtää. Toi kuuluu asiaan. Se on Autodesk Inventorin joku faili, mikä on sen elinehto.

    Toinen on tuo rainlendar.exe. kuuluu sekin asiaan. Pyörii yksi kaleterisofta.

    Noin äkkisältään, mitä tuota vilkuilin, niin tuolla on noita yahoo! juttuja, vaikka ne ei mitään erikoista olisikaan, haluaisin ne silti poistaa, Eli nuo jotka on tuolla listalla, niin mistäs minä löydän ne, niin että voin poistaa ne.

    Sitten yksi huomio eliseen lisää. Sellanen file kun Winlogon.exe yrittää nettiin... :D Ei ole oikeastaan pelkoa että päästäisin nettiin sen...
     
    viljami22, Mar 9, 2006
    #4
  5. -kemisti-

    -kemisti- Active member

    Joined:
    Jun 6, 2005
    Messages:
    6,305
    Likes Received:
    0
    Trophy Points:
    96
    Winlogo.exe on windowsin ihan oma tiedosto :)

    Hae smitrem täältä -> http://noahdfear.geekstogo.com/click counter/click.php?id=1
    Tallenna työpöydälle ja tuplaklikkaa sitä, jolloin se luo smitRem-kansion työpöydälle.

    * Ota FixSF.reg työpöydälle
    http://www.bleepingcomputer.com/files/reg/FixSF.reg
    Tuplaklikkaa sitä ja vastaa myöntävästi.

    Fixaa nämä (do a system scan only, merkkaa ja paina fix checked):

    O2 - BHO: (no name) - {4da4616d-7e6e-4fd9-a2d5-b6c535733e22} - C:\WINDOWS\system32\hpCC77.tmp
    O3 - Toolbar: &Yahoo! Toolbar - {EF99BD32-C1FB-11D2-892F-0090271D4F88} - C:\Program Files\Yahoo!\Companion\Installs\cpn\yt.dll (file missing)
    O4 - HKLM\..\Run: [csrss] C:\Documents and Settings\All Users\Application Data\csrss\csrss.exe
    O20 - Winlogon Notify: winqwl32 - C:\WINDOWS\SYSTEM32\winqwl32.dll

    * Käynnistä sitten kone vikasietotilassa(F8 käynnistyksen yhteydessä)
    * Poista jos löytyy:

    C:\Documents and Settings\All Users\Application Data\csrss
    C:\WINDOWS\SYSTEM32\winqwl32.dll

    * Poista ohjauspaneelista (lisää/poista sovellus)
    - SpyFalcon
    ja jos se käskee\vaatii käynnistään koneen uudestaan, älä käynnistä.
    Sitten poista

    C:\Program Files\SpyFalcon < kansio voi olla, että ei löydy enää
    C :\Windows\System32\dxmpp.dll
    C:\WINDOWS\system32\ginuerep.dll
    * Sen jälkeen avaa smitrem-kansio ja tuplaklikkaa RunThis.bat ja seuraa ohjeita.

    Käynnistä uudelleen, lähetä uusi HjT-loki ja c:\smitfiles.txt-tiedoston sisältö
     
    Last edited: Mar 9, 2006
    -kemisti-, Mar 9, 2006
    #5
  6. Seppok

    Seppok Member

    Joined:
    May 6, 2004
    Messages:
    79
    Likes Received:
    0
    Trophy Points:
    16
    Moro. Mulla iski samainen "ystävä" pari viikkkoa sitten. Käytössä oli F-securet tietoturva/palomuurit ja kaiken maailman siivousohjelmat. Sain kyllä poistettua tolla HJT:llä osan, Ewidolla osan RegEditillä siivosin myös. Välillä myös vikasietotilassa ja ilman, että olin verkossa. Jostain kumman syystä nämä "ystävät" tulivat aina takaisin. Sitten kun kaikki näytti puhtaalta totesin, että minulla on DirectX7 käytössä ja ei Service Packeja ollenkaan (alkujaan oli DX9c ja SP2), eivätkä nämä myös suostuneet koneelle uudestaan asentumaan. Laitoin harvoin käyttämäni Format C:n kehiin ajoin, toivottavasti, parikin kertaa Killdiskin ja asensin kaikki uusiksi, taas meni pari päivää hukkaan.
    Ohjelman kirjoittajalle/-jille kiitoksia ja ammun kun tavataan.
     
    Seppok, Mar 9, 2006
    #6
  7. -kemisti-

    -kemisti- Active member

    Joined:
    Jun 6, 2005
    Messages:
    6,305
    Likes Received:
    0
    Trophy Points:
    96
    @Seppok: Ikävä kuulla :(

    Tuon olisi saanut suht helposti pois, koska sille on oma fixinsä, minkä huomaat ylempää. F-secure ym. eivät osaa poistaa näitä pahimpia infektiota, tosin ovat jo tuollekin kehittäneet jonkunlaisen fixin, mutta sekään ei poista uusinta spyfalconin varianttia.
     
    -kemisti-, Mar 9, 2006
    #7
  8. viljami22

    viljami22 Member

    Joined:
    Mar 9, 2006
    Messages:
    21
    Likes Received:
    0
    Trophy Points:
    11
    Jees, nyt näyttää aikas mukavalta. IE:kin tajuaa mennä jo googlelle.

    Tuota fileä ei annettu poistaa vikasietotilassakaan:

    Mutta renamesin sen

    C:\WINDOWS\SYSTEM32\winqwl32.dll

    Logi näyttää tuollaselta.

    Logfile of HijackThis v1.99.1
    Scan saved at 10:28:36, on 10.3.2006
    Platform: Windows XP SP2 (WinNT 5.01.2600)
    MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)

    Running processes:
    C:\WINDOWS\System32\smss.exe
    C:\WINDOWS\system32\winlogon.exe
    C:\WINDOWS\system32\services.exe
    C:\WINDOWS\system32\lsass.exe
    C:\WINDOWS\system32\Ati2evxx.exe
    C:\WINDOWS\system32\svchost.exe
    C:\WINDOWS\System32\svchost.exe
    C:\WINDOWS\system32\spoolsv.exe
    C:\WINDOWS\system32\Ati2evxx.exe
    C:\Acer\eManager\anbmServ.exe
    C:\WINDOWS\Explorer.EXE
    C:\Program Files\AntiVir PersonalEdition Classic\sched.exe
    C:\Program Files\AntiVir PersonalEdition Classic\avguard.exe
    C:\WINDOWS\system32\drivers\CDAC11BA.EXE
    C:\Program Files\Common Files\Microsoft Shared\VS7Debug\mdm.exe
    C:\WINDOWS\system32\ZONELABS\vsmon.exe
    C:\WINDOWS\SOUNDMAN.EXE
    C:\Program Files\Synaptics\SynTP\SynTPLpr.exe
    C:\Program Files\Synaptics\SynTP\SynTPEnh.exe
    C:\WINDOWS\system32\rundll32.exe
    C:\Program Files\ATI Technologies\ATI Control Panel\atiptaxx.exe
    C:\Program Files\Launch Manager\QtZgAcer.EXE
    C:\Program Files\Zone Labs\ZoneAlarm\zlclient.exe
    C:\Program Files\AntiVir PersonalEdition Classic\avgnt.exe
    C:\WINDOWS\AGRSMMSG.exe
    C:\WINDOWS\system32\ctfmon.exe
    D:\Rainlendar 0.22\Rainlendar.exe
    C:\Program Files\acer\eRecovery\Monitor.exe
    C:\Program Files\Opera\Opera.exe
    C:\hjt\HijackThis.exe

    R1 - HKCU\Software\Microsoft\Internet Connection Wizard,ShellNext = http://global.acer.com/
    O3 - Toolbar: &Yahoo! Toolbar - {EF99BD32-C1FB-11D2-892F-0090271D4F88} - C:\Program Files\Yahoo!\Companion\Installs\cpn\yt.dll (file missing)
    O4 - HKLM\..\Run: [SoundMan] SOUNDMAN.EXE
    O4 - HKLM\..\Run: [SynTPLpr] C:\Program Files\Synaptics\SynTP\SynTPLpr.exe
    O4 - HKLM\..\Run: [SynTPEnh] C:\Program Files\Synaptics\SynTP\SynTPEnh.exe
    O4 - HKLM\..\Run: [BluetoothAuthenticationAgent] rundll32.exe bthprops.cpl,,BluetoothAuthenticationAgent
    O4 - HKLM\..\Run: [ATIPTA] C:\Program Files\ATI Technologies\ATI Control Panel\atiptaxx.exe
    O4 - HKLM\..\Run: [LManager] C:\Program Files\Launch Manager\QtZgAcer.EXE
    O4 - HKLM\..\Run: [Zone Labs Client] C:\Program Files\Zone Labs\ZoneAlarm\zlclient.exe
    O4 - HKLM\..\Run: [csrss] C:\Documents and Settings\All Users\Application Data\csrss\csrss.exe
    O4 - HKLM\..\Run: [avgnt] "C:\Program Files\AntiVir PersonalEdition Classic\avgnt.exe" /min
    O4 - HKLM\..\Run: [LaunchApp] Alaunch
    O4 - HKLM\..\Run: [eRecoveryService] C:\Windows\System32\Check.exe
    O4 - HKLM\..\Run: [AGRSMMSG] AGRSMMSG.exe
    O4 - HKCU\..\Run: [ctfmon.exe] C:\WINDOWS\system32\ctfmon.exe
    O4 - Startup: Rainlendar.exe.lnk = D:\Rainlendar 0.22\Rainlendar.exe
    O8 - Extra context menu item: Vie Microsoft E&xceliin - res://C:\PROGRA~1\MICROS~3\Office10\EXCEL.EXE/3000
    O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\jre1.5.0_06\bin\ssv.dll
    O9 - Extra 'Tools' menuitem: Sun Java Console - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\jre1.5.0_06\bin\ssv.dll
    O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe
    O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe
    O16 - DPF: {94EB57FE-2720-496C-B33F-D9353C6E23F7} (F-Secure Online Scanner 2.1) - http://support.f-secure.com/ols/fscax.cab
    O18 - Protocol: msnim - {828030A1-22C1-4009-854F-8E305202313F} - "C:\PROGRA~1\MSNMES~1\msgrapp.dll" (file missing)
    O20 - Winlogon Notify: winqwl32 - winqwl32.dll (file missing)
    O23 - Service: Notebook Manager Service (anbmService) - OSA Technologies Inc. - C:\Acer\eManager\anbmServ.exe
    O23 - Service: AntiVir Scheduler (AntiVirScheduler) - H+BEDV Datentechnik GmbH - C:\Program Files\AntiVir PersonalEdition Classic\sched.exe
    O23 - Service: AntiVir PersonalEdition Classic Service (AntiVirService) - H+BEDV Datentechnik GmbH - C:\Program Files\AntiVir PersonalEdition Classic\avguard.exe
    O23 - Service: Ati HotKey Poller - ATI Technologies Inc. - C:\WINDOWS\system32\Ati2evxx.exe
    O23 - Service: C-DillaCdaC11BA - Macrovision - C:\WINDOWS\system32\drivers\CDAC11BA.EXE
    O23 - Service: TrueVector Internet Monitor (vsmon) - Zone Labs, LLC - C:\WINDOWS\system32\ZONELABS\vsmon.exe



    Tuo file on missing varmaan siksi että renamesin sen...
    Ja nyt anto sen poistaakkin...
    O20 - Winlogon Notify: winqwl32 - winqwl32.dll (file missing)


    Edit: niin tuo smitfiles juttu jäi...


    smitRem © log file
    version 2.8

    by noahdfear


    Microsoft Windows XP [Version 5.1.2600]
    The current date is: pe 10.03.2006
    The current time is: 10:17:36,00

    Running from
    C:\Documents and Settings\Ville\Desktop\smitRem

    ~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~

    Pre-run SharedTask Export

    (GetSTS.exe) SharedTaskScheduler exporter by Lawrence Abrams (Grinler)
    Copyright(C) 2006 BleepingComputer.com

    Registry Pseudo-Format Mode (Not a valid reg file):

    [HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\SharedTaskScheduler]
    "{438755C2-A8BA-11D1-B96B-00A0C90312E1}"="Browseui preloader"
    "{8C7461EF-2B13-11d2-BE35-3078302C2030}"="Component Categories cache daemon"

    [HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{438755C2-A8BA-11D1-B96B-00A0C90312E1}\InProcServer32]
    @="%SystemRoot%\system32\browseui.dll"


    [HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{8C7461EF-2B13-11d2-BE35-3078302C2030}\InProcServer32]
    @="%SystemRoot%\system32\browseui.dll"


    ~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~

    checking for ShudderLTD key

    ShudderLTD key not present!

    checking for PSGuard.com key


    PSGuard.com key not present!


    checking for WinHound.com key


    WinHound.com key not present!

    spyaxe uninstaller NOT present
    Winhound uninstaller NOT present
    SpywareStrike uninstaller NOT present

    ~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~

    Existing Pre-run Files


    ~~~ Program Files ~~~



    ~~~ Shortcuts ~~~

    Online Security Guide.url
    Security Troubleshooting.url


    ~~~ Favorites ~~~

    Antivirus Test Online.url


    ~~~ system32 folder ~~~

    1024 dir
    msvol.tlb
    ld****.tmp
    ncompat.tlb
    hp***.tmp
    logfiles


    ~~~ Icons in System32 ~~~

    ts.ico
    ot.ico


    ~~~ Windows directory ~~~



    ~~~ Drive root ~~~


    ~~~ Miscellaneous Files/folders ~~~




    ~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~

    Command Line Process Viewer/Killer/Suspender for Windows NT/2000/XP V2.03
    Copyright(C) 2002-2003 Craig.Peacock@beyondlogic.org
    Killing PID 788 'explorer.exe'

    Starting registry repairs

    Registry repairs complete

    ~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~

    SharedTask Export after registry fix

    (GetSTS.exe) SharedTaskScheduler exporter by Lawrence Abrams (Grinler)
    Copyright(C) 2006 BleepingComputer.com

    Registry Pseudo-Format Mode (Not a valid reg file):

    [HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\SharedTaskScheduler]
    "{438755C2-A8BA-11D1-B96B-00A0C90312E1}"="Browseui preloader"
    "{8C7461EF-2B13-11d2-BE35-3078302C2030}"="Component Categories cache daemon"

    [HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{438755C2-A8BA-11D1-B96B-00A0C90312E1}\InProcServer32]
    @="%SystemRoot%\system32\browseui.dll"


    [HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{8C7461EF-2B13-11d2-BE35-3078302C2030}\InProcServer32]
    @="%SystemRoot%\system32\browseui.dll"


    ~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~

    Deleting files

    ~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~

    Remaining Post-run Files


    ~~~ Program Files ~~~



    ~~~ Shortcuts ~~~



    ~~~ Favorites ~~~



    ~~~ system32 folder ~~~



    ~~~ Icons in System32 ~~~



    ~~~ Windows directory ~~~



    ~~~ Drive root ~~~


    ~~~ Miscellaneous Files/folders ~~~


    ~~~ Wininet.dll ~~~

    CLEAN! :)
     
    Last edited: Mar 9, 2006
    viljami22, Mar 9, 2006
    #8
  9. -kemisti-

    -kemisti- Active member

    Joined:
    Jun 6, 2005
    Messages:
    6,305
    Likes Received:
    0
    Trophy Points:
    96
    Fixaa nämä:

    O4 - HKLM\..\Run: [csrss] C:\Documents and Settings\All Users\Application Data\csrss\csrss.exe
    O20 - Winlogon Notify: winqwl32 - winqwl32.dll (file missing)

    Jos eivät lähde, fixaa vikasietotilassa.

    Käynnistä uudelleen ja lähetä uusi HjT-loki.
     
    -kemisti-, Mar 9, 2006
    #9
  10. viljami22

    viljami22 Member

    Joined:
    Mar 9, 2006
    Messages:
    21
    Likes Received:
    0
    Trophy Points:
    11
    Hyvin lähti...

    Logfile of HijackThis v1.99.1
    Scan saved at 10:55:58, on 10.3.2006
    Platform: Windows XP SP2 (WinNT 5.01.2600)
    MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)

    Running processes:
    C:\WINDOWS\System32\smss.exe
    C:\WINDOWS\system32\winlogon.exe
    C:\WINDOWS\system32\services.exe
    C:\WINDOWS\system32\lsass.exe
    C:\WINDOWS\system32\Ati2evxx.exe
    C:\WINDOWS\system32\svchost.exe
    C:\WINDOWS\System32\svchost.exe
    C:\WINDOWS\system32\spoolsv.exe
    C:\WINDOWS\system32\Ati2evxx.exe
    C:\Acer\eManager\anbmServ.exe
    C:\WINDOWS\Explorer.EXE
    C:\Program Files\AntiVir PersonalEdition Classic\sched.exe
    C:\Program Files\AntiVir PersonalEdition Classic\avguard.exe
    C:\WINDOWS\system32\drivers\CDAC11BA.EXE
    C:\Program Files\Common Files\Microsoft Shared\VS7Debug\mdm.exe
    C:\WINDOWS\system32\ZONELABS\vsmon.exe
    C:\WINDOWS\SOUNDMAN.EXE
    C:\Program Files\Synaptics\SynTP\SynTPLpr.exe
    C:\Program Files\Synaptics\SynTP\SynTPEnh.exe
    C:\WINDOWS\system32\rundll32.exe
    C:\Program Files\ATI Technologies\ATI Control Panel\atiptaxx.exe
    C:\Program Files\Launch Manager\QtZgAcer.EXE
    C:\Program Files\Zone Labs\ZoneAlarm\zlclient.exe
    C:\Program Files\AntiVir PersonalEdition Classic\avgnt.exe
    C:\WINDOWS\AGRSMMSG.exe
    C:\WINDOWS\system32\ctfmon.exe
    D:\Rainlendar 0.22\Rainlendar.exe
    C:\Program Files\acer\eRecovery\Monitor.exe
    C:\hjt\HijackThis.exe
    C:\Program Files\Opera\Opera.exe
    C:\WINDOWS\system32\NOTEPAD.EXE

    R1 - HKCU\Software\Microsoft\Internet Connection Wizard,ShellNext = http://global.acer.com/
    O4 - HKLM\..\Run: [SoundMan] SOUNDMAN.EXE
    O4 - HKLM\..\Run: [SynTPLpr] C:\Program Files\Synaptics\SynTP\SynTPLpr.exe
    O4 - HKLM\..\Run: [SynTPEnh] C:\Program Files\Synaptics\SynTP\SynTPEnh.exe
    O4 - HKLM\..\Run: [BluetoothAuthenticationAgent] rundll32.exe bthprops.cpl,,BluetoothAuthenticationAgent
    O4 - HKLM\..\Run: [ATIPTA] C:\Program Files\ATI Technologies\ATI Control Panel\atiptaxx.exe
    O4 - HKLM\..\Run: [LManager] C:\Program Files\Launch Manager\QtZgAcer.EXE
    O4 - HKLM\..\Run: [Zone Labs Client] C:\Program Files\Zone Labs\ZoneAlarm\zlclient.exe
    O4 - HKLM\..\Run: [avgnt] "C:\Program Files\AntiVir PersonalEdition Classic\avgnt.exe" /min
    O4 - HKLM\..\Run: [LaunchApp] Alaunch
    O4 - HKLM\..\Run: [eRecoveryService] C:\Windows\System32\Check.exe
    O4 - HKLM\..\Run: [AGRSMMSG] AGRSMMSG.exe
    O4 - HKCU\..\Run: [ctfmon.exe] C:\WINDOWS\system32\ctfmon.exe
    O4 - Startup: Rainlendar.exe.lnk = D:\Rainlendar 0.22\Rainlendar.exe
    O8 - Extra context menu item: Vie Microsoft E&xceliin - res://C:\PROGRA~1\MICROS~3\Office10\EXCEL.EXE/3000
    O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\jre1.5.0_06\bin\ssv.dll
    O9 - Extra 'Tools' menuitem: Sun Java Console - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\jre1.5.0_06\bin\ssv.dll
    O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe
    O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe
    O16 - DPF: {94EB57FE-2720-496C-B33F-D9353C6E23F7} (F-Secure Online Scanner 2.1) - http://support.f-secure.com/ols/fscax.cab
    O18 - Protocol: msnim - {828030A1-22C1-4009-854F-8E305202313F} - "C:\PROGRA~1\MSNMES~1\msgrapp.dll" (file missing)
    O23 - Service: Notebook Manager Service (anbmService) - OSA Technologies Inc. - C:\Acer\eManager\anbmServ.exe
    O23 - Service: AntiVir Scheduler (AntiVirScheduler) - H+BEDV Datentechnik GmbH - C:\Program Files\AntiVir PersonalEdition Classic\sched.exe
    O23 - Service: AntiVir PersonalEdition Classic Service (AntiVirService) - H+BEDV Datentechnik GmbH - C:\Program Files\AntiVir PersonalEdition Classic\avguard.exe
    O23 - Service: Ati HotKey Poller - ATI Technologies Inc. - C:\WINDOWS\system32\Ati2evxx.exe
    O23 - Service: C-DillaCdaC11BA - Macrovision - C:\WINDOWS\system32\drivers\CDAC11BA.EXE
    O23 - Service: TrueVector Internet Monitor (vsmon) - Zone Labs, LLC - C:\WINDOWS\system32\ZONELABS\vsmon.exe

     
    viljami22, Mar 9, 2006
    #10
  11. -kemisti-

    -kemisti- Active member

    Joined:
    Jun 6, 2005
    Messages:
    6,305
    Likes Received:
    0
    Trophy Points:
    96
    Loki on puhdas :)
     
    -kemisti-, Mar 9, 2006
    #11
  12. aaxxeell

    aaxxeell Regular member

    Joined:
    Jul 28, 2005
    Messages:
    2,145
    Likes Received:
    0
    Trophy Points:
    46
    aaxxeell, Mar 9, 2006
    #12
  13. Seppok

    Seppok Member

    Joined:
    May 6, 2004
    Messages:
    79
    Likes Received:
    0
    Trophy Points:
    16
    No eihän tää maailma tähän kaatunut, ihan hyvä opetus kuitenkin. Käytin myös sitä SmithRem tms., auttoi jotain, mutta ei tarpeeksi.
    Täytyy kehua örkkiä sen verran että, olipa nopea asentumaan uudestaa. Jos kaikki ohjelmat olis yhtä nopeita niin hyvä olisi.
     
    Last edited: Mar 10, 2006
    Seppok, Mar 10, 2006
    #13
  14. viljami22

    viljami22 Member

    Joined:
    Mar 9, 2006
    Messages:
    21
    Likes Received:
    0
    Trophy Points:
    11
    sydamelliset kiitokset pojat (tytöt) Täytyypä tutkiskella tuota nettisivua johon sain linkin... Mutta todellakin kiitokset.

    Sitten ihan mielenkiinnosta kyselisin että mihin tuo Hijackthis fyysisesti vaikuttaa, eli luetaanko sinne joku pätkä rekisteristä, vai jostain käynnistysbatista?
     
    viljami22, Mar 10, 2006
    #14
  15. -kemisti-

    -kemisti- Active member

    Joined:
    Jun 6, 2005
    Messages:
    6,305
    Likes Received:
    0
    Trophy Points:
    96
    @Seppok: smitrem ei ole aina ajan tasalla, valitettavasti :(

    @viljami22:HijackThis lukee koneen rekisteriä ja poistaa rekisteriarvoja.
     
    -kemisti-, Mar 10, 2006
    #15
  16. Seppok

    Seppok Member

    Joined:
    May 6, 2004
    Messages:
    79
    Likes Received:
    0
    Trophy Points:
    16
    HJT; Käsittääkseni juuri tällä hetkellä koneessa käynnissä olevat toiminnat/tapahtumat. Erittäin hyvä jos tietää mitä tekee ja miten tulkita. Minä en osaa tätä, mutta kokemus? auttaa hahmottamaan hieman.
     
    Seppok, Mar 10, 2006
    #16

Share This Page