Troijalaisia hyppii silmille - Hjt logi

Discussion in 'Virukset ja haittaohjelmat - HijackThis -logit' started by Irratium, Mar 3, 2007.

  1. Irratium

    Irratium Regular member

    Joined:
    Jun 22, 2006
    Messages:
    1,458
    Likes Received:
    0
    Trophy Points:
    46
    Troijalaisia siis hyppii esille välillä, kone on lähes uudella Xp:n asennuksella (ei ole hakenut edes Sp2 vielä), siksi näin lyhyt logi. Monella skannerilla olen koittanut pöpöistä päästä eroon mutta mikään ei ole auttanut. Tässäpä siis Hjt-logi viisaampien katsottavaksi.

    Logfile of HijackThis v1.99.1
    Scan saved at 21:11:34, on 3.3.2007
    Platform: Windows XP SP1 (WinNT 5.01.2600)
    MSIE: Internet Explorer v6.00 SP1 (6.00.2800.1106)

    Running processes:
    C:\WINDOWS\System32\smss.exe
    C:\WINDOWS\system32\winlogon.exe
    C:\WINDOWS\system32\services.exe
    C:\WINDOWS\system32\lsass.exe
    C:\WINDOWS\system32\svchost.exe
    C:\WINDOWS\System32\svchost.exe
    C:\WINDOWS\system32\spoolsv.exe
    C:\WINDOWS\RTHDCPL.EXE
    C:\WINDOWS\System32\RUNDLL32.EXE
    C:\Program Files\AOL\Active Virus Shield\avp.exe
    C:\PROGRA~1\Nokia\NOKIAP~1\LAUNCH~1.EXE
    C:\Program Files\D-Tools\daemon.exe
    C:\WINDOWS\System32\ctfmon.exe
    C:\PROGRA~1\COMMON~1\PCSuite\Services\SERVIC~1.EXE
    C:\Program Files\Grisoft\AVG Anti-Spyware 7.5\guard.exe
    C:\Program Files\AOL\Active Virus Shield\avp.exe
    C:\Program Files\Kerio\Personal Firewall 4\kpf4ss.exe
    C:\WINDOWS\System32\nvsvc32.exe
    C:\Program Files\Kerio\Personal Firewall 4\kpf4gui.exe
    C:\Program Files\Kerio\Personal Firewall 4\kpf4gui.exe
    C:\WINDOWS\explorer.exe
    C:\Program Files\Mozilla Firefox\firefox.exe
    C:\HJT\HijackThis.exe

    R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Linkit
    O2 - BHO: (no name) - {7E853D72-626A-48EC-A868-BA8D5E23E045} - (no file)
    O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINDOWS\System32\msdxm.ocx
    O4 - HKLM\..\Run: [RTHDCPL] RTHDCPL.EXE
    O4 - HKLM\..\Run: [SkyTel] SkyTel.EXE
    O4 - HKLM\..\Run: [Alcmtr] ALCMTR.EXE
    O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\System32\NvCpl.dll,NvStartup
    O4 - HKLM\..\Run: [nwiz] nwiz.exe /install
    O4 - HKLM\..\Run: [NvMediaCenter] RUNDLL32.EXE C:\WINDOWS\System32\NvMcTray.dll,NvTaskbarInit
    O4 - HKLM\..\Run: [aol] "C:\Program Files\AOL\Active Virus Shield\avp.exe"
    O4 - HKLM\..\Run: [amd_dc_opt] C:\Program Files\AMD\Dual-Core Optimizer\amd_dc_opt.exe
    O4 - HKLM\..\Run: [!AVG Anti-Spyware] "C:\Program Files\Grisoft\AVG Anti-Spyware 7.5\avgas.exe" /minimized
    O4 - HKLM\..\Run: [PCSuiteTrayApplication] C:\PROGRA~1\Nokia\NOKIAP~1\LAUNCH~1.EXE -onlytray
    O4 - HKLM\..\Run: [DAEMON Tools-1033] "C:\Program Files\D-Tools\daemon.exe" -lang 1033
    O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\ctfmon.exe
    O4 - HKCU\..\Run: [MsnMsgr] "C:\Program Files\MSN Messenger\MsnMsgr.Exe" /background
    O4 - HKCU\..\Run: [MSMSGS] "C:\Program Files\Messenger\msmsgs.exe" /background
    O4 - HKCU\..\Run: [PcSync] C:\Program Files\Nokia\Nokia PC Suite 6\PcSync2.exe /NoDialog
    O4 - Startup: Xfire.lnk = C:\Program Files\Xfire\xfire.exe
    O4 - Global Startup: CoreCenter.lnk = C:\Program Files\MSI\Core Center\CoreCenter.exe
    O17 - HKLM\System\CCS\Services\Tcpip\..\{AFB7EC7E-5BF9-457C-86ED-C15966BCD17D}: NameServer = 212.50.211.242 212.50.192.226
    O18 - Protocol: livecall - {828030A1-22C1-4009-854F-8E305202313F} - C:\PROGRA~1\MSNMES~1\MSGRAP~1.DLL
    O18 - Protocol: msnim - {828030A1-22C1-4009-854F-8E305202313F} - C:\PROGRA~1\MSNMES~1\MSGRAP~1.DLL
    O20 - Winlogon Notify: klogon - C:\WINDOWS\System32\klogon.dll
    O23 - Service: AVG Anti-Spyware Guard - Anti-Malware Development a.s. - C:\Program Files\Grisoft\AVG Anti-Spyware 7.5\guard.exe
    O23 - Service: Active Virus Shield (AVP) - AOL - C:\Program Files\AOL\Active Virus Shield\avp.exe
    O23 - Service: Kerio Personal Firewall 4 (KPF4) - Kerio Technologies - C:\Program Files\Kerio\Personal Firewall 4\kpf4ss.exe
    O23 - Service: NVIDIA Display Driver Service (NVSvc) - NVIDIA Corporation - C:\WINDOWS\System32\nvsvc32.exe
     
    Irratium, Mar 3, 2007
    #1
  2. mikkoi

    mikkoi Regular member

    Joined:
    May 14, 2004
    Messages:
    702
    Likes Received:
    0
    Trophy Points:
    26
    Korjaa:
    O4 - HKLM\..\Run: [Alcmtr] ALCMTR.EXE

    Sen jälkeen:

    Lataa AVG Anti-Spyware 7.5 ja tallenna ohjelma työpöydällesi. Lataa se tästä

    * Kun olet ladannut ohjelman, kaksoisklikkaa asennuohjelman pikakuvaketta työpöydälläsi, asennus alkaa.
    * Asennuksen jälkeen täytyy ohjelma käynnistää ja sen tunnisteet päivittää.
    * Käynnistä AVG Anti-Spyware.
    * Klikkaa "Update" kuvaketta päävalikossa. Sen jälkeen klikkaa "Update now" painiketta.

    o Sitten klikkaa "Start Update" kuvaketta jolloin päivitys alkaa.

    * Kun päivitykset on ladattu, klikkaa "Scanner" kuvaketta ikkunan ylälaidassa. Valitse sitten "Settings" välilehti.
    * Kun "Settings" valikko on auennut, klikkaa "Recommended actions" ja sitten valitse "Quarantine".
    * Sitten "Reports" valikon alta:

    o Laita täppi kohtaan "Automatically generate report after every scan"
    o Ota täppi pois kohdasta"Only if threats were found"

    * Sitten klikkaa "Shield" kuvaketta ikkunan ylälaidassa
    * "Resident shield is", muuta tila active:sta inactive:ksi
    * Sulje ohjelma, ÄLÄ skannaa vielä.

    Käynnistä koneesi vikasietotilaan, ohje alhaalla!

    HUOM! Älä käytä muita ohjelmia AVG skannauksen aikana, tämä saattaa häiritä skannausta.

    * Kun vikasietotilassa, käynnistä AVG Anti-Spyware.
    * Klikkaa "Scanner" kuvaketta ikkunan ylälaidassa ja valitse "Scan" välilehti. Sitten klikkaa "Complete System Scan".
    * AVG aloittaa nyt tietokoneen skannaamisen, ole kärsivällinen sillä skannaus vie aikaa.

    Kun skannaus on valmis:
    TÄRKEÄÄ : Älä klikkaa "Save Scan Report" ennen kuin klikkaat "Apply all Actions"
    * Varmistu, että Set all elements to: näyttää Quarantine (1), jos ei, klikkaa linkkiä ja valitse Quarantine popup-valikosta.
    * Sinulta kysytään mitä tehdä jos infektioita löytyi, valitse silloin "Apply all actions"

    * Sitten klikkaa "Reports" kuvaketta ohjelma yläosasta.
    * Klikkaa "Save report as" painiketta ikkunan vasemmassa alalaidassa ja tallenna raportti työpöydälle.
    * Sulje ohjelma, käynnistä kone normaalisti ja lähetä AVG:n raportti tänne.

    · Kuinka käynnistän tietokoneeni vikasietotilaan?

    Windows käyttöjärjestelmissä virus- ja vakoiluohjelmien onnistunut poisto vaatii usein koneen käynnistämisen vikasietotilassa. Käynnistäminen vikasietotilaan onnistuu useimmissa tapauksissa klikkaamalla (joskus rämpyttämällä) F8-näppäintä käynnistyksen yhteydessä.

    Katso tarkemmat ohjeet omaan käyttöjärjestelmääsi. Sivusto on englanninkielinen.
     
    Last edited: Mar 3, 2007
    mikkoi, Mar 3, 2007
    #2
  3. Irratium

    Irratium Regular member

    Joined:
    Jun 22, 2006
    Messages:
    1,458
    Likes Received:
    0
    Trophy Points:
    46
    Eipä Avg paljoa löytänyt:

    ---------------------------------------------------------
    AVG Anti-Spyware - Scan Report
    ---------------------------------------------------------

    + Created at: 22:26:24 3.3.2007

    + Scan result:



    C:\Documents and Settings\Irra\Cookies\irra@doubleclick[1].txt -> TrackingCookie.Doubleclick : Cleaned.


    ::Report end

    Mikäs nyt avuksi?
     
    Last edited: Mar 3, 2007
    Irratium, Mar 3, 2007
    #3
  4. mikkoi

    mikkoi Regular member

    Joined:
    May 14, 2004
    Messages:
    702
    Likes Received:
    0
    Trophy Points:
    26
    Kokeile sitten eScania:

    Aja eScan
    Lue ensin Ohjeet (siellä lukee mistä pitää ladata, miten päivittää ohjelma ja kaikki muu olennainen).

    Scannaa

    Jos alaluukkuun tulee jotain niin kopioi se näin:
    Käytä komentoa Ctrl+A.
    Kopioi rivit komennolla Ctrl+C.
    Liitä rivit komennolla Ctrl+V.

    Lähetä virusloki tänne.

     
    mikkoi, Mar 3, 2007
    #4
  5. Irratium

    Irratium Regular member

    Joined:
    Jun 22, 2006
    Messages:
    1,458
    Likes Received:
    0
    Trophy Points:
    46
    Hain eScanin ja skannailin sillä, tässä "alaluukun" näyttämät tiedot:

    File C:\WINDOWS\System32\i infected by "Trojan-Downloader.BAT.Ftp.ab" Virus. Action Taken: File to be deleted on reboot.
    File C:\Program Files\mIRC\mirc.exe tagged as not-a-virus:Client-IRC.Win32.mIRC.621. No Action Taken.
    File D:\Musiikki\111 Meita¨ odotellaan mullan alla.mp3 infected by "BkCln.Unknown" Virus. Action Taken: File Renamed.
    File D:\System Volume Information\_restore{3B41D1A1-098B-4F5F-BA2F-DF5FDD4EA480}\RP275\A0077861.exe tagged as not-a-virus:Client-IRC.Win32.mIRC.621. No Action Taken.
    File D:\System Volume Information\_restore{B780845C-6F92-4C00-914D-D6F4B8B6A189}\RP22\A0003998.exe tagged as not-a-virus:Client-IRC.Win32.mIRC.621. No Action Taken.
     
    Irratium, Mar 3, 2007
    #5
  6. Hujo

    Hujo Guest

    scannaa hjt:llä merkkaa paina Fix checked

    O2 - BHO: (no name) - {7E853D72-626A-48EC-A868-BA8D5E23E045} - (no file)

    nimeäs tuo uudelleen ja laita uusi hjt loki sen jälkeen.
    C:\HJT\HijackThis.exe <-- pommiksi
     
    Hujo, Mar 3, 2007
    #6
  7. mikkoi

    mikkoi Regular member

    Joined:
    May 14, 2004
    Messages:
    702
    Likes Received:
    0
    Trophy Points:
    26
    Putsaa järjestelmän palautus:

    * 1. Klikkaa oikealla käynnistävalikon My Computer- tai oma tietokone-kuvaketta
    * 2. Valitse Properties/ominaisuudet* 3. Valitse System Restore/järjestelmän palauttaminen välilehti
    * 4. Valitse "Turn off System Restore"/poista järjestelmän palauttaminen kaikissa asemissa
    * 5. Paina Apply/käytä
    * 6. Paina OK
    * 7. Käynnistä kone uudelleen
    * 8. Palauta asetukset takaisin
     
    mikkoi, Mar 3, 2007
    #7
  8. Irratium

    Irratium Regular member

    Joined:
    Jun 22, 2006
    Messages:
    1,458
    Likes Received:
    0
    Trophy Points:
    46
    Mitäs tällä tarkoitat? Hieman selvennystä kiitos :)

    @mikkoi,
    Putsasin järjestelmän palautuksen kuten neuvoit. Mainittakoon vielä että tätäkin kirjoittaessani Xp latailee tietoturvapäivityksiä joten niistäkin saattaisi olla jotain hyötyä.
     
    Irratium, Mar 3, 2007
    #8
  9. Hujo

    Hujo Guest

    Sen pomminkuva mitä klikkaat sen uudelleen nimeät Pommiksi
     
    Hujo, Mar 3, 2007
    #9
  10. Irratium

    Irratium Regular member

    Joined:
    Jun 22, 2006
    Messages:
    1,458
    Likes Received:
    0
    Trophy Points:
    46
    Uudelleennimesin exen pommiksi skannailun jälkeen. Korjasin tuon mainitsemasi kohdan. Tässä uusi logi:

    Logfile of HijackThis v1.99.1
    Scan saved at 14:10:36, on 4.3.2007
    Platform: Windows XP SP1 (WinNT 5.01.2600)
    MSIE: Internet Explorer v6.00 SP1 (6.00.2800.1106)

    Running processes:
    C:\WINDOWS\System32\smss.exe
    C:\WINDOWS\system32\winlogon.exe
    C:\WINDOWS\system32\services.exe
    C:\WINDOWS\system32\lsass.exe
    C:\WINDOWS\system32\svchost.exe
    C:\WINDOWS\System32\svchost.exe
    C:\WINDOWS\system32\spoolsv.exe
    C:\WINDOWS\Explorer.EXE
    C:\WINDOWS\RTHDCPL.EXE
    C:\WINDOWS\System32\RUNDLL32.EXE
    C:\Program Files\AOL\Active Virus Shield\avp.exe
    C:\Program Files\Grisoft\AVG Anti-Spyware 7.5\avgas.exe
    C:\PROGRA~1\Nokia\NOKIAP~1\LAUNCH~1.EXE
    C:\Program Files\D-Tools\daemon.exe
    C:\WINDOWS\System32\ctfmon.exe
    C:\Program Files\Messenger\msmsgs.exe
    C:\PROGRA~1\COMMON~1\PCSuite\Services\SERVIC~1.EXE
    C:\Program Files\Grisoft\AVG Anti-Spyware 7.5\guard.exe
    C:\Program Files\AOL\Active Virus Shield\avp.exe
    C:\Program Files\Kerio\Personal Firewall 4\kpf4ss.exe
    C:\WINDOWS\System32\nvsvc32.exe
    C:\Program Files\Kerio\Personal Firewall 4\kpf4gui.exe
    C:\Program Files\Kerio\Personal Firewall 4\kpf4gui.exe
    C:\Program Files\Winamp\winamp.exe
    C:\HJT\Pommi.exe

    R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Linkit
    O2 - BHO: Adobe PDF Reader -linkkiavustaja - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Program Files\Common Files\Adobe\Acrobat\ActiveX\AcroIEHelper.dll
    O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINDOWS\System32\msdxm.ocx
    O4 - HKLM\..\Run: [RTHDCPL] RTHDCPL.EXE
    O4 - HKLM\..\Run: [SkyTel] SkyTel.EXE
    O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\System32\NvCpl.dll,NvStartup
    O4 - HKLM\..\Run: [nwiz] nwiz.exe /install
    O4 - HKLM\..\Run: [NvMediaCenter] RUNDLL32.EXE C:\WINDOWS\System32\NvMcTray.dll,NvTaskbarInit
    O4 - HKLM\..\Run: [aol] "C:\Program Files\AOL\Active Virus Shield\avp.exe"
    O4 - HKLM\..\Run: [amd_dc_opt] C:\Program Files\AMD\Dual-Core Optimizer\amd_dc_opt.exe
    O4 - HKLM\..\Run: [!AVG Anti-Spyware] "C:\Program Files\Grisoft\AVG Anti-Spyware 7.5\avgas.exe" /minimized
    O4 - HKLM\..\Run: [PCSuiteTrayApplication] C:\PROGRA~1\Nokia\NOKIAP~1\LAUNCH~1.EXE -onlytray
    O4 - HKLM\..\Run: [DAEMON Tools-1033] "C:\Program Files\D-Tools\daemon.exe" -lang 1033
    O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\ctfmon.exe
    O4 - HKCU\..\Run: [MsnMsgr] "C:\Program Files\MSN Messenger\MsnMsgr.Exe" /background
    O4 - HKCU\..\Run: [MSMSGS] "C:\Program Files\Messenger\msmsgs.exe" /background
    O4 - HKCU\..\Run: [PcSync] C:\Program Files\Nokia\Nokia PC Suite 6\PcSync2.exe /NoDialog
    O4 - Startup: Xfire.lnk = C:\Program Files\Xfire\xfire.exe
    O4 - Global Startup: Adobe Reader Speed Launch.lnk = C:\Program Files\Adobe\Reader 8.0\Reader\reader_sl.exe
    O4 - Global Startup: Adobe Reader Synchronizer.lnk = C:\Program Files\Adobe\Reader 8.0\Reader\AdobeCollabSync.exe
    O4 - Global Startup: CoreCenter.lnk = C:\Program Files\MSI\Core Center\CoreCenter.exe
    O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\MSMSGS.EXE
    O9 - Extra 'Tools' menuitem: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\MSMSGS.EXE
    O17 - HKLM\System\CCS\Services\Tcpip\..\{AFB7EC7E-5BF9-457C-86ED-C15966BCD17D}: NameServer = 212.50.211.242 212.50.192.226
    O18 - Protocol: livecall - {828030A1-22C1-4009-854F-8E305202313F} - C:\PROGRA~1\MSNMES~1\MSGRAP~1.DLL
    O18 - Protocol: msnim - {828030A1-22C1-4009-854F-8E305202313F} - C:\PROGRA~1\MSNMES~1\MSGRAP~1.DLL
    O20 - Winlogon Notify: klogon - C:\WINDOWS\System32\klogon.dll
    O20 - Winlogon Notify: WgaLogon - C:\WINDOWS\
    O23 - Service: AVG Anti-Spyware Guard - Anti-Malware Development a.s. - C:\Program Files\Grisoft\AVG Anti-Spyware 7.5\guard.exe
    O23 - Service: Active Virus Shield (AVP) - AOL - C:\Program Files\AOL\Active Virus Shield\avp.exe
    O23 - Service: Kerio Personal Firewall 4 (KPF4) - Kerio Technologies - C:\Program Files\Kerio\Personal Firewall 4\kpf4ss.exe
    O23 - Service: NVIDIA Display Driver Service (NVSvc) - NVIDIA Corporation - C:\WINDOWS\System32\nvsvc32.exe

     
    Irratium, Mar 4, 2007
    #10
  11. Hujo

    Hujo Guest

    Fixsaa pois

    O20 - Winlogon Notify: WgaLogon - C:\WINDOWS\
     
    Hujo, Mar 4, 2007
    #11
  12. Irratium

    Irratium Regular member

    Joined:
    Jun 22, 2006
    Messages:
    1,458
    Likes Received:
    0
    Trophy Points:
    46
    Tehty. Nytkö pitäisi olla puhdasta?
     
    Irratium, Mar 4, 2007
    #12
  13. Hujo

    Hujo Guest

    ja tuosta vielä

    Lataa Atribunen ATF Cleaner

    Ohjeet;

    Tupla-klikkaa ATF-Cleaner.exe käynnistääksesi ohjelman.
    • Main:n alla valitse: Select All
      Klikkaa Empty Selected valintaa.
    Jos käytät FireFoxia selaimenasi
    • Klikkaa Firefox yläpuolelta ja valitse: Select All
      Klikkaa Empty Selected valintaa.
      HUOMIO: Jos haluaisit pitää tallennetut salasanasi, klikkaa No kun se sitä kysyy.
    Jos käytät Operaa selaimenasi
    • Klikkaa Opera yläpuolelta ja valitse: Select All
      Klikkaa Empty Selected valintaa taas.
      HUOMIO: Jos haluaisit pitää tallennetut salasanasi, klikkaa No kun se sitä kysyy.
    Klikkaa Exit päävalikosta sulkeaksesi ohjelman.
     
    Hujo, Mar 4, 2007
    #13
  14. Irratium

    Irratium Regular member

    Joined:
    Jun 22, 2006
    Messages:
    1,458
    Likes Received:
    0
    Trophy Points:
    46
    Tehty. Kerron jos vielä näkyy troijalaisia, ainakin ensitunnelmien perusteella pääsin niistä teidän ohjeillanne eroon sillä ei ole yhtäkään varoitusta vielä näkynyt. Suurkiitokset avusta :)
     
    Irratium, Mar 4, 2007
    #14

Share This Page