Trojan downloader.win32.agent.auip -virus + logit

Hei,

pari päivää sitten F-Secure löysi koneesta viruksen joka kantoi nimeä Trojan downloader.win32.jotain, en enää valitettavasti ulkoa muista. Poistatin F-Securella tiedoston ja sen mukaan se onnistuikin ok, kuitenkin tämän jälkeen F-Secure on herjannut sitten otsikon mukaisesta trojan downloader.win32.agent.auip -viruksesta, jonka senkin se suostuu poistamaan mutta vähän väliä sama ilmoitus tulee uudestaan. Tällä hetkellä virus näkyy koneessa siten, että se avaa selaimeen (firefox) pop-up ikkunoihin erinäisiä sivuja joissa mainostetaan haittaohjelmien poisto-ohjelmia ja kehottaa lataamaan niitä.

Olen nyt ajanut koneessa F-Securen virusscannerin, Adawaren (ei löytänyt mitään), CC cleanerin (ei löytänyt mitään), VundoFixin (ei löytänyt mitään), Malwarebytes Anti-Malwaren (ei löytänyt mitään) sekä Combofixin ja HJT:n, mutta niiden logeja en osaa tulkita lainkaan, joten laitan ne tänne, josko joku osaisi auttaa miten pääsen tuosta tuholaisesta eroon? Niin ja Windowsista olen jo estänyt "poista järjestelmän palauttaminen käytöstä" kohdan.

Kiitoksia jo etukäteen, jos joku osaa tässä auttaa!!

ComboFix 08-12-15.08 - Etunimi Sukunimi 2008-12-16 18:15:44.3 - NTFSx86
Microsoft Windows XP Home Edition 5.1.2600.3.1252.1.1035.18.1023.426 [GMT 2:00]
Sijainti: c:\documents and settings\Etunimi Sukunimi\Työpöytä\ComboFix.exe
Käytetyt komentorivivalitsimet :: c:\documents and settings\Etunimi Sukunimi\Työpöytä\WindowsXP-KB310994-SP2-Home-BootDisk-FIN.EXE
* Uusi palautuspiste luotu
* Resident AV is active

.

(((((((((((((((((((((((((((((((((((((( Muut poistot ))))))))))))))))))))))))))))))))))))))))))))))))))))))))
.

C:\bold.log
c:\windows\system32\ayutotub.ini

.
((((( Tiedostot, jotka on luotu seuraavalla aikavälillä: 2008-11-16 to 2008-12-16 )))))))))))))))))
.

2008-12-16 16:50 . 2008-12-16 16:50 <KANSIO> d-------- c:\documents and settings\Jõrjestelmõnvalvoja
2008-12-16 00:45 . 2008-12-16 00:46 <KANSIO> d-------- c:\documents and settings\All Users\Application Data\Lavasoft
2008-12-16 00:44 . 2008-12-16 00:44 <KANSIO> d-------- c:\program files\Common Files\Wise Installation Wizard
2008-12-15 22:49 . 2006-03-23 10:41 <KANSIO> d--h----- c:\documents and settings\Järjestelmänvalvoja\Verkkoympäristö
2008-12-15 22:49 . 2006-03-23 10:41 <KANSIO> d--h----- c:\documents and settings\Järjestelmänvalvoja\Verkkoympäristö
2008-12-15 22:49 . 2006-03-23 10:41 <KANSIO> d-------- c:\documents and settings\Järjestelmänvalvoja\Työpöytä
2008-12-15 22:49 . 2006-03-23 10:41 <KANSIO> d-------- c:\documents and settings\Järjestelmänvalvoja\Työpöytä
2008-12-15 22:49 . 2006-03-23 10:41 <KANSIO> d--h----- c:\documents and settings\Järjestelmänvalvoja\Tulostinympäristö
2008-12-15 22:49 . 2006-03-23 10:41 <KANSIO> d--h----- c:\documents and settings\Järjestelmänvalvoja\Tulostinympäristö
2008-12-15 22:49 . 2006-03-23 08:48 <KANSIO> dr------- c:\documents and settings\Järjestelmänvalvoja\Suosikit
2008-12-15 22:49 . 2006-03-23 08:48 <KANSIO> dr------- c:\documents and settings\Järjestelmänvalvoja\Suosikit
2008-12-15 22:49 . 2006-03-23 08:48 <KANSIO> dr------- c:\documents and settings\Järjestelmänvalvoja\Omat tiedostot
2008-12-15 22:49 . 2006-03-23 08:48 <KANSIO> dr------- c:\documents and settings\Järjestelmänvalvoja\Omat tiedostot
2008-12-15 22:49 . 2006-03-23 08:43 <KANSIO> d--h----- c:\documents and settings\Järjestelmänvalvoja\Mallit
2008-12-15 22:49 . 2006-03-23 08:43 <KANSIO> d--h----- c:\documents and settings\Järjestelmänvalvoja\Mallit
2008-12-15 22:49 . 2006-03-23 10:41 <KANSIO> dr------- c:\documents and settings\Järjestelmänvalvoja\Käynnistä-valikko
2008-12-15 22:49 . 2006-03-23 10:41 <KANSIO> dr------- c:\documents and settings\Järjestelmänvalvoja\Käynnistä-valikko
2008-12-15 22:49 . 2006-03-23 09:31 <KANSIO> d-------- c:\documents and settings\Järjestelmänvalvoja\Application Data\ATI
2008-12-15 22:49 . 2008-12-15 22:49 <KANSIO> d-------- c:\documents and settings\Järjestelmänvalvoja
2008-12-15 22:11 . 2008-12-15 22:11 <KANSIO> d-------- c:\documents and settings\Etunimi Sukunimi\Application Data\Malwarebytes
2008-12-15 22:11 . 2008-12-15 22:11 <KANSIO> d-------- c:\documents and settings\All Users\Application Data\Malwarebytes
2008-12-15 22:11 . 2008-12-03 19:52 38,496 --a------ c:\windows\system32\drivers\mbamswissarmy.sys
2008-12-15 22:11 . 2008-12-03 19:52 15,504 --a------ c:\windows\system32\drivers\mbam.sys
2008-12-15 21:28 . 2008-12-15 21:28 <KANSIO> dr------- c:\documents and settings\LocalService\Suosikit
2008-12-14 21:07 . 2008-12-14 21:07 31,232 --a------ c:\windows\system32\rC2p8HLk.0ll
2008-12-14 20:54 . 2008-12-14 20:54 31,744 --a------ c:\windows\system32\L6L4Ntn6.exe
2008-12-06 23:48 . 2008-12-16 00:38 <KANSIO> d-------- c:\program files\BS.Player ControlBar
2008-12-06 23:48 . 2008-12-06 23:48 <KANSIO> d-------- c:\documents and settings\Etunimi Sukunimi\Application Data\BSplayer Pro
2008-12-06 18:40 . 2008-12-14 21:10 <KANSIO> d-------- c:\documents and settings\Etunimi Sukunimi\Application Data\uTorrent
2008-12-04 01:17 . 2008-12-04 01:21 <KANSIO> d-------- c:\windows\system32\Adobe
2008-12-03 18:15 . 2008-12-03 18:15 <KANSIO> d-------- c:\program files\Common Files\Apple
2008-12-03 18:14 . 2008-12-03 18:14 <KANSIO> d-------- c:\documents and settings\All Users\Application Data\Apple Computer
2008-12-03 18:13 . 2008-12-03 18:13 <KANSIO> d-------- c:\program files\Apple Software Update
2008-12-03 18:13 . 2008-12-03 18:13 <KANSIO> d-------- c:\documents and settings\All Users\Application Data\Apple
2008-12-03 18:10 . 2008-12-03 18:10 <KANSIO> d-------- c:\program files\QuickTime
2008-11-28 22:42 . 2008-11-28 22:42 <KANSIO> d--h----- c:\windows\msdownld.tmp
2008-11-28 22:32 . 2007-04-17 11:32 2,455,488 -----c--- c:\windows\system32\dllcache\ieapfltr.dat
2008-11-28 22:32 . 2007-03-08 07:10 1,011,712 -----c--- c:\windows\system32\dllcache\ieframe.dll.mui
2008-11-28 22:32 . 2008-10-16 22:18 459,264 -----c--- c:\windows\system32\dllcache\msfeeds.dll
2008-11-28 22:32 . 2008-10-16 22:18 267,776 -----c--- c:\windows\system32\dllcache\iertutil.dll
2008-11-28 22:32 . 2008-10-16 22:18 52,224 -----c--- c:\windows\system32\dllcache\msfeedsbs.dll
2008-11-28 22:32 . 2008-10-16 15:11 13,824 -----c--- c:\windows\system32\dllcache\ieudinit.exe
2008-11-28 22:31 . 2008-10-16 22:18 6,066,176 -----c--- c:\windows\system32\dllcache\ieframe.dll
2008-11-28 22:31 . 2008-10-16 22:18 383,488 -----c--- c:\windows\system32\dllcache\ieapfltr.dll
2008-11-28 22:31 . 2008-10-16 22:18 63,488 -----c--- c:\windows\system32\dllcache\icardie.dll
2008-11-28 22:29 . 2008-11-28 22:29 <KANSIO> d-------- c:\program files\Windows Live Toolbar

.
(((((((((((((((((((((((((((((((((((( Find3M-raportti ))))))))))))))))))))))))))))))))))))))))))))))))))))))
.
2008-12-16 14:33 93,914 ----a-w c:\windows\system32\fevihife.dll.vir
2008-12-16 14:33 87,244 --sha-w c:\windows\system32\butotuya.dll
2008-12-15 22:38 --------- d--h--w c:\program files\InstallShield Installation Information
2008-12-13 10:08 --------- d-----w c:\documents and settings\All Users\Application Data\Microsoft Help
2008-11-28 20:47 --------- d-----w c:\documents and settings\Etunimi Sukunimi\Application Data\codeblocks
2008-11-01 09:29 --------- d-----w c:\documents and settings\Etunimi Sukunimi\Application Data\SSH
2008-10-24 11:21 455,296 ----a-w c:\windows\system32\drivers\mrxsmb.sys
2008-10-23 21:06 --------- d-----w c:\documents and settings\Etunimi Sukunimi\Application Data\PSpad
2008-10-23 12:38 286,720 ----a-w c:\windows\system32\gdi32.dll
2008-10-21 18:49 --------- d-----w c:\program files\Microsoft Silverlight
2008-10-16 20:18 826,368 ----a-w c:\windows\system32\wininet.dll
2008-10-16 12:13 202,776 ----a-w c:\windows\system32\wuweb.dll
2008-10-16 12:13 1,809,944 ----a-w c:\windows\system32\wuaueng.dll
2008-10-16 12:12 561,688 ----a-w c:\windows\system32\wuapi.dll
2008-10-16 12:12 323,608 ----a-w c:\windows\system32\wucltui.dll
2008-10-16 12:09 92,696 ----a-w c:\windows\system32\cdm.dll
2008-10-16 12:09 51,224 ----a-w c:\windows\system32\wuauclt.exe
2008-10-16 12:09 43,544 ----a-w c:\windows\system32\wups2.dll
2008-10-16 12:08 34,328 ----a-w c:\windows\system32\wups.dll
2008-10-16 12:06 268,648 ----a-w c:\windows\system32\mucltui.dll
2008-10-16 12:06 208,744 ----a-w c:\windows\system32\muweb.dll
2008-10-03 10:03 247,326 ----a-w c:\windows\system32\strmdll.dll
.

(((((((((((((((((((((((((((((( Rekisterin käynnistyskohteet )))))))))))))))))))))))))))))))))))))))))))))
.
.
*Huom* Tyhjiä arvoja ja laillisia oletusarvoja ei näytetä
REGEDIT4

[HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\URLSearchHooks]
"{57BCA5FA-5DBB-45a2-B558-1755C3F6253B}"= "c:\program files\Winamp Toolbar\winamptb.dll" [2008-03-20 1267040]

[HKEY_CLASSES_ROOT\clsid\{57bca5fa-5dbb-45a2-b558-1755c3f6253b}]
[HKEY_CLASSES_ROOT\WINAMPTB.AOLTBSearch.1]
[HKEY_CLASSES_ROOT\TypeLib\{538CD77C-BFDD-49b0-9562-77419CAB89D1}]
[HKEY_CLASSES_ROOT\WINAMPTB.AOLTBSearch]

[HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
"CTFMON.EXE"="c:\windows\system32\ctfmon.exe" [2008-04-14 15360]
"MsnMsgr"="c:\program files\Windows Live\Messenger\MsnMsgr.Exe" [2007-10-18 5724184]

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
"ATICCC"="c:\program files\ATI Technologies\ATI.ACE\cli.exe" [2005-08-12 45056]
"SynTPLpr"="c:\program files\Synaptics\SynTP\SynTPLpr.exe" [2005-03-18 98393]
"SynTPEnh"="c:\program files\Synaptics\SynTP\SynTPEnh.exe" [2005-03-18 688217]
"RemoteControl"="c:\program files\CyberLink\PowerDVD\PDVDServ.exe" [2005-04-15 45056]
"InstantOn"="c:\program files\CyberLink\PowerCinema Linux\ion_install.exe" [2005-05-11 93640]
"F-Secure Manager"="c:\kaikki muu\Common\FSM32.EXE" [2008-02-13 184800]
"F-Secure TNB"="c:\kaikki muu\FSGUI\TNBUtil.exe" [2008-02-13 741800]
"News Service"="c:\kaikki muu\FSGUI\ispnews.exe" [2005-05-31 356352]
"WinampAgent"="c:\kaikki muu\Winamp\winampa.exe" [2008-04-01 36352]
"SunJavaUpdateSched"="c:\program files\Java\jre1.6.0_07\bin\jusched.exe" [2008-06-10 144784]
"DAEMON Tools"="c:\kaikki muu\DAEMON Tools\daemon.exe" [2005-12-10 133016]
"GrooveMonitor"="c:\program files\Microsoft Office\Office12\GrooveMonitor.exe" [2007-08-24 33648]
"Elisa Avustaja"="c:\program files\Elisa\Avustaja\Elisa.exe" [2008-09-30 189768]
"QuickTime Task"="c:\kaikki muu\Quickplayer\QTTask.exe" [2008-09-06 413696]
"04ac5e25"="c:\windows\system32\butotuya.dll" [2008-12-16 87244]
"High Definition Audio -ominaisuussivun pikakuvake"="HDAShCut.exe" [2005-01-07 c:\windows\system32\HdAShCut.exe]
"SoundMan"="SOUNDMAN.EXE" [2005-08-01 c:\windows\SOUNDMAN.EXE]
"AlcWzrd"="ALCWZRD.EXE" [2005-08-01 c:\windows\ALCWZRD.EXE]
"SMSERIAL"="sm56hlpr.exe" [2005-08-01 c:\windows\sm56hlpr.exe]

[HKEY_USERS\.DEFAULT\Software\Microsoft\Windows\CurrentVersion\Run]
"CTFMON.EXE"="c:\windows\system32\CTFMON.EXE" [2008-04-14 15360]

c:\documents and settings\All Users\K„ynnist„-valikko\Ohjelmat\K„ynnistys\
Adobe Reader Speed Launch.lnk - c:\program files\Adobe\Acrobat 7.0\Reader\reader_sl.exe [2005-09-23 29696]
ATI CATALYST System Tray.lnk - c:\program files\ATI Technologies\ATI.ACE\CLI.exe [2005-08-12 45056]

[HKEY_LOCAL_MACHINE\software\microsoft\windows nt\currentversion\windows]
"AppInit_DLLs"=c:\windows\system32\fevihife.dll
"LoadAppInit_DLLs"=1 (0x1)

[HKEY_LOCAL_MACHINE\software\microsoft\security center]
"UpdatesDisableNotify"=dword:00000001

[HKLM\~\services\sharedaccess\parameters\firewallpolicy\standardprofile]
"EnableFirewall"= 0 (0x0)

[HKLM\~\services\sharedaccess\parameters\firewallpolicy\standardprofile\AuthorizedApplications\List]
"%windir%\\system32\\sessmgr.exe"=
"c:\\Program Files\\Messenger\\Msmsgs.exe"=
"c:\\Program Files\\Elisa\\Avustaja\\Elisa.exe"=
"%windir%\\Network Diagnostic\\xpnetdiag.exe"=
"c:\\Program Files\\Windows Live\\Messenger\\msnmsgr.exe"=
"c:\\Program Files\\Windows Live\\Messenger\\livecall.exe"=
"c:\\Program Files\\Microsoft Office\\Office12\\OUTLOOK.EXE"=
"c:\\Program Files\\Microsoft Office\\Office12\\GROOVE.EXE"=
"c:\\Program Files\\Microsoft Office\\Office12\\ONENOTE.EXE"=
"c:\\Kaikki muu\\Torrent\\uTorrent.exe"=

R0 FSFW;F-Secure Firewall Driver;c:\windows\system32\drivers\fsdfw.sys [2008-05-07 51072]
R1 F-Secure HIPS;F-Secure HIPS;\??\c:\kaikki muu\HIPS\fshs.sys [2008-05-07 41184]
R3 F-Secure Gatekeeper;F-Secure Gatekeeper;\??\c:\kaikki muu\Anti-Virus\minifilter\fsgk.sys [2008-05-07 63912]
R3 Slazldrv;SmartLink AMR_PCI Driver;c:\windows\system32\DRIVERS\SLDRV\slazldrv.sys [2006-03-23 230448]
S4 F-Secure Filter;F-Secure File System Filter;\??\c:\kaikki muu\Anti-Virus\Win2K\FSfilter.sys [2008-05-07 41640]
S4 F-Secure Recognizer;F-Secure File System Recognizer;\??\c:\kaikki muu\Anti-Virus\Win2K\FSrec.sys [2008-05-07 27048]

[HKEY_CURRENT_USER\software\microsoft\windows\currentversion\explorer\mountpoints2\{c71064fa-391a-11dd-8d5e-0012f04f0695}]
\Shell\AutoRun\command - E:\3d.bat
.
'Ajoitetut tehtävät'-kansion sisältö

2008-12-13 c:\windows\Tasks\AppleSoftwareUpdate.job
- c:\program files\Apple Software Update\SoftwareUpdate.exe [2008-07-30 12:34]

2008-12-15 c:\windows\Tasks\At1.job
- c:\windows\system32\L6L4Ntn6.exe [2008-12-14 20:54]

2008-12-16 c:\windows\Tasks\At10.job
- c:\windows\system32\L6L4Ntn6.exe [2008-12-14 20:54]

2008-12-14 c:\windows\Tasks\At11.job
- c:\windows\system32\L6L4Ntn6.exe [2008-12-14 20:54]

2008-12-14 c:\windows\Tasks\At12.job
- c:\windows\system32\L6L4Ntn6.exe [2008-12-14 20:54]

2008-12-14 c:\windows\Tasks\At13.job
- c:\windows\system32\L6L4Ntn6.exe [2008-12-14 20:54]

2008-12-14 c:\windows\Tasks\At14.job
- c:\windows\system32\L6L4Ntn6.exe [2008-12-14 20:54]

2008-12-14 c:\windows\Tasks\At15.job
- c:\windows\system32\L6L4Ntn6.exe [2008-12-14 20:54]

2008-12-14 c:\windows\Tasks\At16.job
- c:\windows\system32\L6L4Ntn6.exe [2008-12-14 20:54]

2008-12-16 c:\windows\Tasks\At17.job
- c:\windows\system32\L6L4Ntn6.exe [2008-12-14 20:54]

2008-12-16 c:\windows\Tasks\At18.job
- c:\windows\system32\L6L4Ntn6.exe [2008-12-14 20:54]

2008-12-16 c:\windows\Tasks\At19.job
- c:\windows\system32\L6L4Ntn6.exe [2008-12-14 20:54]

2008-12-15 c:\windows\Tasks\At2.job
- c:\windows\system32\L6L4Ntn6.exe [2008-12-14 20:54]

2008-12-14 c:\windows\Tasks\At20.job
- c:\windows\system32\L6L4Ntn6.exe [2008-12-14 20:54]

2008-12-14 c:\windows\Tasks\At21.job
- c:\windows\system32\L6L4Ntn6.exe [2008-12-14 20:54]

2008-12-15 c:\windows\Tasks\At22.job
- c:\windows\system32\L6L4Ntn6.exe [2008-12-14 20:54]

2008-12-15 c:\windows\Tasks\At23.job
- c:\windows\system32\L6L4Ntn6.exe [2008-12-14 20:54]

2008-12-14 c:\windows\Tasks\At24.job
- c:\windows\system32\L6L4Ntn6.exe [2008-12-14 20:54]

2008-12-16 c:\windows\Tasks\At3.job
- c:\windows\system32\L6L4Ntn6.exe [2008-12-14 20:54]

2008-12-16 c:\windows\Tasks\At4.job
- c:\windows\system32\L6L4Ntn6.exe [2008-12-14 20:54]

2008-12-16 c:\windows\Tasks\At5.job
- c:\windows\system32\L6L4Ntn6.exe [2008-12-14 20:54]

2008-12-16 c:\windows\Tasks\At6.job
- c:\windows\system32\L6L4Ntn6.exe [2008-12-14 20:54]

2008-12-16 c:\windows\Tasks\At7.job
- c:\windows\system32\L6L4Ntn6.exe [2008-12-14 20:54]

2008-12-16 c:\windows\Tasks\At8.job
- c:\windows\system32\L6L4Ntn6.exe [2008-12-14 20:54]

2008-12-16 c:\windows\Tasks\At9.job
- c:\windows\system32\L6L4Ntn6.exe [2008-12-14 20:54]

2008-12-16 c:\windows\Tasks\Scheduled scanning task.job
- c:\kaikki~1\ANTI-V~1\fsav.exe [2008-02-13 12:38]

2008-12-16 c:\windows\Tasks\Tarkistetaan Windows Live -työkalurivin päivitykset.job
- c:\program files\Windows Live Toolbar\MSNTBUP.EXE [2007-10-19 11:20]
.
- - - - POISTETUT JÄMÄRIVIT - - - -

HKLM-Run-CPM079f6db9 - c:\windows\system32\fevihife.dll
SharedTaskScheduler-{EC43E3FD-5C60-46a6-97D7-E0B85DBDD6C4} - c:\windows\system32\fevihife.dll
SSODL-SSODL-{EC43E3FD-5C60-46a6-97D7-E0B85DBDD6C4} - c:\windows\system32\fevihife.dll


.
------- Täydentävä tarkistus -------
.
uStart Page = hxxp://www.bsplayer-search.com/startpage
IE: &Winamp Search - c:\documents and settings\All Users\Application Data\Winamp Toolbar\ieToolbar\resources\en-US\local\search.html
IE: &Windows Live Search - c:\program files\Windows Live Toolbar\msntb.dll/search.htm
IE: V&ie Microsoft Exceliin - c:\progra~1\MICROS~3\Office12\EXCEL.EXE/3000
LSP: c:\kaikki muu\FSPS\program\fslsp.dll
FF - ProfilePath - c:\documents and settings\Etunimi Sukunimi\Application Data\Mozilla\Firefox\Profiles\aqg534ag.default\
FF - prefs.js: browser.startup.homepage - hxxp://www.bsplayer-search.com/startpage
FF - plugin: c:\kaikki muu\Quickplayer\Plugins\npqtplugin.dll
FF - plugin: c:\kaikki muu\Quickplayer\Plugins\npqtplugin2.dll
FF - plugin: c:\kaikki muu\Quickplayer\Plugins\npqtplugin3.dll
FF - plugin: c:\kaikki muu\Quickplayer\Plugins\npqtplugin4.dll
FF - plugin: c:\kaikki muu\Quickplayer\Plugins\npqtplugin5.dll
FF - plugin: c:\kaikki muu\Quickplayer\Plugins\npqtplugin6.dll
FF - plugin: c:\kaikki muu\Quickplayer\Plugins\npqtplugin7.dll
FF - plugin: c:\program files\Microsoft Silverlight\2.0.31005.0\npctrl.dll
.

**************************************************************************

catchme 0.3.1367 W2K/XP/Vista - rootkit/stealth malware detector by Gmer, http://www.gmer.net
Rootkit scan 2008-12-16 18:18:33
Windows 5.1.2600 Service Pack 3 NTFS

tarkistaa piilotettuja prosesseja ...

tarkistaa piilotettuja käynnistysarvoja ...

tarkistaa piilotettuja tiedostoja ...

tarkistus on valmis
piilotetut tiedostot: 0

**************************************************************************
.
--------------------- Prosesseihin ladatut DLLt ---------------------

- - - - - - - > 'winlogon.exe'(1004)
c:\windows\system32\Ati2evxx.dll
c:\kaikki muu\FWES\Program\fsdc.dll

- - - - - - - > 'lsass.exe'(1068)
c:\kaikki muu\FSPS\program\fslsp.dll
c:\kaikki muu\FWES\Program\fsdc.dll

- - - - - - - > 'csrss.exe'(972)
c:\kaikki muu\FWES\Program\fsdc.dll
.
Valmistumisajankohta: 2008-12-16 18:20:00
ComboFix-quarantined-files.txt 2008-12-16 16:19:43
ComboFix2.txt 2008-12-16 14:50:03

Ennen ajoa: 45 110 980 608 tavua vapaana
Ajon jälkeen: 45,098,377,216 tavua vapaana

257 --- E O F --- 2008-12-13 10:08:18



Logfile of Trend Micro HijackThis v2.0.2
Scan saved at 18:22:22, on 16.12.2008
Platform: Windows XP SP3 (WinNT 5.01.2600)
MSIE: Internet Explorer v7.00 (7.00.6000.16762)
Boot mode: Normal

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\Ati2evxx.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\Kaikki muu\Ad-aware\aawservice.exe
C:\WINDOWS\system32\Ati2evxx.exe
C:\WINDOWS\system32\spoolsv.exe
C:\Kaikki muu\Anti-Virus\fsgk32st.exe
C:\Kaikki muu\Anti-Virus\FSGK32.EXE
C:\Kaikki muu\Common\FSMA32.EXE
C:\WINDOWS\system32\slserv.exe
C:\Kaikki muu\Common\FSMB32.EXE
C:\Program Files\ATI Technologies\ATI.ACE\cli.exe
C:\Program Files\Synaptics\SynTP\SynTPLpr.exe
C:\Program Files\Synaptics\SynTP\SynTPEnh.exe
C:\Program Files\CyberLink\PowerDVD\PDVDServ.exe
C:\Kaikki muu\Common\FSM32.EXE
C:\Kaikki muu\FSGUI\ispnews.exe
C:\Kaikki muu\Winamp\winampa.exe
C:\Program Files\Java\jre1.6.0_07\bin\jusched.exe
C:\Kaikki muu\DAEMON Tools\daemon.exe
C:\Program Files\Microsoft Office\Office12\GrooveMonitor.exe
C:\Program Files\Elisa\Avustaja\Elisa.exe
C:\WINDOWS\system32\ctfmon.exe
C:\Kaikki muu\Common\FCH32.EXE
C:\Kaikki muu\Common\FAMEH32.EXE
C:\Kaikki muu\Anti-Virus\fsqh.exe
C:\Program Files\ATI Technologies\ATI.ACE\CLI.exe
C:\Kaikki muu\FSGUI\fsguidll.exe
C:\Kaikki muu\Anti-Virus\fssm32.exe
C:\Kaikki muu\FSAUA\program\fsaua.exe
C:\Kaikki muu\FWES\Program\fsdfwd.exe
C:\WINDOWS\System32\svchost.exe
C:\Program Files\ATI Technologies\ATI.ACE\cli.exe
C:\Kaikki muu\Anti-Virus\fsav32.exe
C:\Kaikki muu\FSAUA\program\fsus.exe
C:\Program Files\Windows Live\Messenger\usnsvc.exe
C:\Program Files\Java\jre1.6.0_07\bin\jucheck.exe
C:\WINDOWS\system32\ctfmon.exe
C:\WINDOWS\explorer.exe
C:\Kaikki muu\Hijack\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.bsplayer-search.com/startpage
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://go.microsoft.com/fwlink/?LinkId=69157
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://go.microsoft.com/fwlink/?LinkId=54896
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = http://go.microsoft.com/fwlink/?LinkId=54896
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Linkit
R3 - URLSearchHook: Winamp Search Class - {57BCA5FA-5DBB-45a2-B558-1755C3F6253B} - C:\Program Files\Winamp Toolbar\winamptb.dll
O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Program Files\Adobe\Acrobat 7.0\ActiveX\AcroIEHelper.dll
O2 - BHO: Winamp Toolbar Loader - {25CEE8EC-5730-41bc-8B58-22DDC8AB8C20} - C:\Program Files\Winamp Toolbar\winamptb.dll
O2 - BHO: Groove GFS Browser Helper - {72853161-30C5-4D22-B7F9-0BBC1D38A37E} - C:\Program Files\Microsoft Office\Office12\GrooveShellExtensions.dll
O2 - BHO: SSVHelper Class - {761497BB-D6F0-462C-B6EB-D4DAF1D92D43} - C:\Program Files\Java\jre1.6.0_07\bin\ssv.dll
O2 - BHO: (no name) - {7E853D72-626A-48EC-A868-BA8D5E23E045} - (no file)
O2 - BHO: Windows Liven kirjautumisapuohjelma - {9030D464-4C02-4ABF-8ECC-5164760863C6} - C:\Program Files\Common Files\Microsoft Shared\Windows Live\WindowsLiveLogin.dll
O2 - BHO: Windows Live Toolbar Helper - {BDBD1DAD-C946-4A17-ADC1-64B5B4FF55D0} - C:\Program Files\Windows Live Toolbar\msntb.dll
O2 - BHO: Elisa Avustaja Plugin - {DB87CDE1-EF9C-44EB-A42F-6D0B3C72C516} - C:\Program Files\Elisa\Avustaja\IEFixItNowPlugin.dll
O3 - Toolbar: Winamp Toolbar - {EBF2BA02-9094-4c5a-858B-BB198F3D8DE2} - C:\Program Files\Winamp Toolbar\winamptb.dll
O3 - Toolbar: Windows Live Toolbar - {BDAD1DAD-C946-4A17-ADC1-64B5B4FF55D0} - C:\Program Files\Windows Live Toolbar\msntb.dll
O4 - HKLM\..\Run: [High Definition Audio -ominaisuussivun pikakuvake] HDAShCut.exe
O4 - HKLM\..\Run: [ATICCC] "C:\Program Files\ATI Technologies\ATI.ACE\cli.exe" runtime
O4 - HKLM\..\Run: [SoundMan] SOUNDMAN.EXE
O4 - HKLM\..\Run: [AlcWzrd] ALCWZRD.EXE
O4 - HKLM\..\Run: [SynTPLpr] C:\Program Files\Synaptics\SynTP\SynTPLpr.exe
O4 - HKLM\..\Run: [SynTPEnh] C:\Program Files\Synaptics\SynTP\SynTPEnh.exe
O4 - HKLM\..\Run: [RemoteControl] "C:\Program Files\CyberLink\PowerDVD\PDVDServ.exe"
O4 - HKLM\..\Run: [SMSERIAL] sm56hlpr.exe
O4 - HKLM\..\Run: [InstantOn] "C:\Program Files\CyberLink\PowerCinema Linux\ion_install.exe" /c
O4 - HKLM\..\Run: [F-Secure Manager] "C:\Kaikki muu\Common\FSM32.EXE" /splash
O4 - HKLM\..\Run: [F-Secure TNB] "C:\Kaikki muu\FSGUI\TNBUtil.exe" /CHECKALL /WAITFORSW
O4 - HKLM\..\Run: [News Service] "C:\Kaikki muu\FSGUI\ispnews.exe"
O4 - HKLM\..\Run: [WinampAgent] "C:\Kaikki muu\Winamp\winampa.exe"
O4 - HKLM\..\Run: [SunJavaUpdateSched] "C:\Program Files\Java\jre1.6.0_07\bin\jusched.exe"
O4 - HKLM\..\Run: [DAEMON Tools] "C:\Kaikki muu\DAEMON Tools\daemon.exe" -lang 1033
O4 - HKLM\..\Run: [GrooveMonitor] "C:\Program Files\Microsoft Office\Office12\GrooveMonitor.exe"
O4 - HKLM\..\Run: [Elisa Avustaja] "C:\Program Files\Elisa\Avustaja\Elisa.exe"
O4 - HKLM\..\Run: [QuickTime Task] "C:\Kaikki muu\Quickplayer\QTTask.exe" -atboottime
O4 - HKLM\..\Run: [04ac5e25] rundll32.exe "C:\WINDOWS\system32\butotuya.dll",b
O4 - HKLM\..\Run: [CPM079f6db9] Rundll32.exe "c:\windows\system32\fevihife.dll",a
O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\ctfmon.exe
O4 - HKCU\..\Run: [MsnMsgr] "C:\Program Files\Windows Live\Messenger\MsnMsgr.Exe" /background
O4 - HKUS\S-1-5-18\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'SYSTEM')
O4 - HKUS\.DEFAULT\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'Default user')
O4 - Global Startup: Adobe Reader Speed Launch.lnk = C:\Program Files\Adobe\Acrobat 7.0\Reader\reader_sl.exe
O4 - Global Startup: ATI CATALYST System Tray.lnk = C:\Program Files\ATI Technologies\ATI.ACE\CLI.exe
O8 - Extra context menu item: &Winamp Search - C:\Documents and Settings\All Users\Application Data\Winamp Toolbar\ieToolbar\resources\en-US\local\search.html
O8 - Extra context menu item: &Windows Live Search - res://C:\Program Files\Windows Live Toolbar\msntb.dll/search.htm
O8 - Extra context menu item: V&ie Microsoft Exceliin - res://C:\PROGRA~1\MICROS~3\Office12\EXCEL.EXE/3000
O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\jre1.6.0_07\bin\ssv.dll
O9 - Extra 'Tools' menuitem: Sun Java Console - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\jre1.6.0_07\bin\ssv.dll
O9 - Extra button: Lähetä OneNoteen - {2670000A-7350-4f3c-8081-5663EE0C6C49} - C:\PROGRA~1\MICROS~3\Office12\ONBttnIE.dll
O9 - Extra 'Tools' menuitem: Läh&etä OneNoteen - {2670000A-7350-4f3c-8081-5663EE0C6C49} - C:\PROGRA~1\MICROS~3\Office12\ONBttnIE.dll
O9 - Extra button: Research - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - C:\PROGRA~1\MICROS~3\Office12\REFIEBAR.DLL
O9 - Extra button: (no name) - {e2e2dd38-d088-4134-82b7-f2ba38496583} - C:\WINDOWS\Network Diagnostic\xpnetdiag.exe
O9 - Extra 'Tools' menuitem: @xpsp3res.dll,-20001 - {e2e2dd38-d088-4134-82b7-f2ba38496583} - C:\WINDOWS\Network Diagnostic\xpnetdiag.exe
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe
O16 - DPF: {02BF25D5-8C17-4B23-BC80-D3488ABDDC6B} (QuickTime Object) - http://appldnld.apple.com.edgesuite.net/content.info.apple.com/QuickTime/qtactivex/qtplugin.cab
O18 - Protocol: grooveLocalGWS - {88FED34C-F0CA-4636-A375-3CB6248B04CD} - C:\Program Files\Microsoft Office\Office12\GrooveSystemServices.dll
O20 - AppInit_DLLs: c:\windows\system32\fevihife.dll
O21 - SSODL: SSODL - {EC43E3FD-5C60-46a6-97D7-E0B85DBDD6C4} - c:\windows\system32\fevihife.dll (file missing)
O22 - SharedTaskScheduler: STS - {EC43E3FD-5C60-46a6-97D7-E0B85DBDD6C4} - c:\windows\system32\fevihife.dll (file missing)
O23 - Service: Lavasoft Ad-Aware Service (aawservice) - Lavasoft - C:\Kaikki muu\Ad-aware\aawservice.exe
O23 - Service: Ati HotKey Poller - ATI Technologies Inc. - C:\WINDOWS\system32\Ati2evxx.exe
O23 - Service: FSGKHS (F-Secure Gatekeeper Handler Starter) - F-Secure Corporation - C:\Kaikki muu\Anti-Virus\fsgk32st.exe
O23 - Service: F-Secure Automatic Update Agent (FSAUA) - F-Secure Corporation - C:\Kaikki muu\FSAUA\program\fsaua.exe
O23 - Service: F-Secure Anti-Virus Firewall Daemon (FSDFWD) - F-Secure Corporation - C:\Kaikki muu\FWES\Program\fsdfwd.exe
O23 - Service: FSMA - F-Secure Corporation - C:\Kaikki muu\Common\FSMA32.EXE
O23 - Service: SmartLinkService (SLService) - - C:\WINDOWS\SYSTEM32\slserv.exe

--
End of file - 8799 bytes

 

Lataa Malwarebytes' Anti-Malware työpöydällesi.

1. Tuplaklikkaa mbam-setup.exe ja seuraa ohjeita asentaaksesi ohjelman.
2. Lopuksi varmistu, että seuraavat on valittu: Update Malwarebytes', Anti-Malwareja
Launch Malwarebytes' Anti-Malware ja sen jälkeen klikkaaFinish.
3. Jos päivitys löytyy. ohjelma lataa ja asentaa uusimman version.
4. Kun ohjelma on latautunut, valitse Perform full scan ja klikkaa Scan.
5. Kun skanni on valmis, klikkaa OK ja sitten Show Results nähdäksesi tulokset.
6. Varmistu, että kaikki on merkitty ja klikkaa Remove Selected.
7. Tämän jälkeen loki avautuu muistioon. Tallenna se paikkaan, josta löydät sen helposti. Loki
löytyy myös täältä: C:\Documents and Settings\Käyttäjänimi\Application
Data\Malwarebytes\Malwarebytes' Anti-Malware\Logs\log-päiväys.txt
8. Lähetä lokin sisältö seuraavassa viestissäsi

===================

Lataa JavaRa ja pura se työpöydällesi.

***Sulje kaikki päällä olevat Internet Explorerin ikkunat ennen jatkamista!***

* Tuplaklikkaa JavaRa.exeä käynnistääksesi ohjelma.
* Valitse English pudotusvalikosta valitaksesi kieleksi englannin ja klikkaa Select.
* Klikkaa Remove Older Versions poistaaksesi vanhat Java-versiot koneeltasi.
* Klikkaa Yes kun pyydetään. Kun JavaRa on valmis, se ilmoittaa, että lokitiedosto on luotu. Klikkaa OK.
* Lokitiedosto avautuu. Lähetä sen sisältö seuraavassa viestissäsi.
4. Asenna uusin Java päivitys seuraavasta linkistä..

Lataa täältä uusi java

Rullaa alas kohteeseen Java Runtime Environment (JRE) 6 Update 11
Paina Download
Laita Platform -kohtaan Windows
Ruksaa I agree to the Java SE Runtime Environment 6 License Agreement ja paina Continue
Paina Windows Offline Installationin alapuolella jre-6u4-windows-i586-p.exe

Tallenna tiedosto vaikka työpöydälle ja asenna se.

5. Käynnistä kone uudelleen asennuksen jälkeen.
6. Käynnistyksen jälkeen, mene takaisin Ohjauspaneeliin ja avaa Java asetuksesi (Muita Ohjauspaneelin asetuksia -> Java kahvikuppi).
7. General-välilehdellä klikkaa Settings. Vedä liukusäädintä (Disk Space) pienemmälle.

(Jotkut javapohjaiset ohjelmat saattavat tarvita enemmän levytilaa.
Jos huomaat säädön pienentämisen jälkeen koneessa hitautta, siirrä liukusäädintä isommalle).

8. Klikkaa Delete Files -nappia. Varmista että kaikki kaksi valintaa ovat rastitettuja:
* Applications and Applets
* Trace and Log Files

Ja paina OK -nappia
Huomaa: Tämä poistaa kaikki ladatut sovellukset ja appletit VÄLIMUISTISTA.

9. Klikkaa OK "Temporary Files Settings" -ikkunassasi.
10. Välilehti Update: ota ruksi pois kohdasta Check for Updates automatically
Valitse Never check
11. Klikkaa Apply ja OK jättääksesi Java asetusikkunasi.

 

Malwarebytesillä löytyi 12 haittaohjelmaa, kaikki Vundo Trojan nimisiä - valitettavasti tiedostojen tuhoamisvaiheessa ohjelma kaatui ja loki ei valitettavasti tallentunut mihinkään (joten sitä ei nyt ole tähän liittää :/) mutta ainakin tiedostot poistettiin koska käynnistettyäni ohjelman uudestaan ei niitä enää karanteenissa ollut. Huomioitavaa on, että Vundofix-ohjelma ei noita haittaohjelmia siis löytänyt.

Java muutokset tein ohjeistuksesi mukaisesti, niiden loki tässä alla.

Ongelma kuitenkin jatkuu näistä toimenpiteistä huolimatta, nimittäin taas pukkaa pop-uppeja esiin. :/ Laitan nyt vielä uudestaan tuon Malwaren scannaamaan - siinä taas tovi vierähtääkin...

JavaRa 1.12 Removal Log.

Report follows after line.

------------------------------------

The JavaRa removal process was started on Tue Dec 16 21:09:15 2008

Found and removed: C:\Program Files\Java\jre1.6.0_06

Found and removed: SOFTWARE\Classes\CLSID\{CAFEEFAC-0016-0000-0006-ABCDEFFEDCBA}

Found and removed: SOFTWARE\Classes\CLSID\{CAFEEFAC-0016-0000-0006-ABCDEFFEDCBB}

Found and removed: SOFTWARE\Classes\CLSID\{CAFEEFAC-0016-0000-0006-ABCDEFFEDCBC}

Found and removed: SOFTWARE\Classes\Installer\Features\8A0F842331866D117AB7000B0D610006

Found and removed: SOFTWARE\Classes\Installer\Products\8A0F842331866D117AB7000B0D610006

Found and removed: SOFTWARE\Classes\Installer\UpgradeCodes\7A0F842331866D117AB7000B0D610006

Found and removed: SOFTWARE\Classes\JavaPlugin.160_06

Found and removed: SOFTWARE\JavaSoft\Java Plug-in\1.6.0_06

Found and removed: SOFTWARE\JavaSoft\Java Runtime Environment\1.6.0_06

Found and removed: SOFTWARE\Microsoft\Code Store Database\Distribution Units\{CAFEEFAC-0016-0000-0006-ABCDEFFEDCBA}

Found and removed: SOFTWARE\Microsoft\Windows\CurrentVersion\Installer\UpgradeCodes\7A0F842331866D117AB7000B0D610006

Found and removed: SOFTWARE\Microsoft\Windows\CurrentVersion\Installer\UserData\S-1-5-18\Components\ACBB9B2318A96D117A58000B0D610006

Found and removed: SOFTWARE\Microsoft\Windows\CurrentVersion\Installer\UserData\S-1-5-18\Products\8A0F842331866D117AB7000B0D610006

Found and removed: SOFTWARE\Microsoft\Windows\CurrentVersion\Uninstall\{3248F0A8-6813-11D6-A77B-00B0D0160060}

Found and removed: Software\Classes\JavaPlugin.160_06

Found and removed: Software\Classes\CLSID\{CAFEEFAC-0013-0000-0003-ABCDEFFEDCBA}

Found and removed: Software\Classes\CLSID\{CAFEEFAC-0013-0000-0004-ABCDEFFEDCBA}

Found and removed: Software\Classes\CLSID\{CAFEEFAC-0013-0000-0005-ABCDEFFEDCBA}

Found and removed: SOFTWARE\JavaSoft\Java Web Start\1.0.1

Found and removed: SOFTWARE\JavaSoft\Java Web Start\1.0.1_02

Found and removed: SOFTWARE\JavaSoft\Java Web Start\1.0.1_03

Found and removed: SOFTWARE\JavaSoft\Java Web Start\1.0.1_04

Found and removed: SOFTWARE\JavaSoft\Java Web Start\1.2

Found and removed: SOFTWARE\JavaSoft\Java Web Start\1.2.0_01

Found and removed: SOFTWARE\JavaSoft\Java Web Start\1.6.0_06

Found and removed: Software\JavaSoft\Java2D\1.6.0_06

Found and removed: Software\JavaSoft\Java Runtime Environment\1.6.0_06

Found and removed: Software\Classes\CLSID\{CAFEEFAC-0013-0001-0000-ABCDEFFEDCBA}

Found and removed: Software\Classes\CLSID\{CAFEEFAC-0013-0001-0001-ABCDEFFEDCBA}

Found and removed: Software\Classes\CLSID\{CAFEEFAC-0013-0001-0001-ABCDEFFEDCBB}

Found and removed: Software\Classes\CLSID\{CAFEEFAC-0013-0001-0002-ABCDEFFEDCBA}

Found and removed: Software\Classes\CLSID\{CAFEEFAC-0013-0001-0002-ABCDEFFEDCBB}

Found and removed: Software\Classes\CLSID\{CAFEEFAC-0013-0001-0003-ABCDEFFEDCBA}

Found and removed: Software\Classes\CLSID\{CAFEEFAC-0013-0001-0003-ABCDEFFEDCBB}

Found and removed: Software\Classes\CLSID\{CAFEEFAC-0013-0001-0004-ABCDEFFEDCBA}

Found and removed: Software\Classes\CLSID\{CAFEEFAC-0013-0001-0004-ABCDEFFEDCBB}

Found and removed: Software\Classes\CLSID\{CAFEEFAC-0013-0001-0005-ABCDEFFEDCBA}

Found and removed: Software\Classes\CLSID\{CAFEEFAC-0013-0001-0005-ABCDEFFEDCBB}

Found and removed: Software\Classes\CLSID\{CAFEEFAC-0013-0001-0006-ABCDEFFEDCBA}

Found and removed: Software\Classes\CLSID\{CAFEEFAC-0013-0001-0006-ABCDEFFEDCBB}

Found and removed: Software\Classes\CLSID\{CAFEEFAC-0013-0001-0007-ABCDEFFEDCBA}

Found and removed: Software\Classes\CLSID\{CAFEEFAC-0013-0001-0007-ABCDEFFEDCBB}

Found and removed: Software\Classes\CLSID\{CAFEEFAC-0013-0001-0008-ABCDEFFEDCBA}

Found and removed: Software\Classes\CLSID\{CAFEEFAC-0013-0001-0008-ABCDEFFEDCBB}

Found and removed: Software\Classes\CLSID\{CAFEEFAC-0013-0001-0009-ABCDEFFEDCBA}

Found and removed: Software\Classes\CLSID\{CAFEEFAC-0013-0001-0009-ABCDEFFEDCBB}

Found and removed: Software\Classes\CLSID\{CAFEEFAC-0013-0001-0010-ABCDEFFEDCBA}

Found and removed: Software\Classes\CLSID\{CAFEEFAC-0013-0001-0010-ABCDEFFEDCBB}

Found and removed: Software\Classes\CLSID\{CAFEEFAC-0013-0001-0011-ABCDEFFEDCBA}

Found and removed: Software\Classes\CLSID\{CAFEEFAC-0013-0001-0011-ABCDEFFEDCBB}

Found and removed: Software\Classes\CLSID\{CAFEEFAC-0013-0001-0012-ABCDEFFEDCBA}

Found and removed: Software\Classes\CLSID\{CAFEEFAC-0013-0001-0012-ABCDEFFEDCBB}

Found and removed: Software\Classes\CLSID\{CAFEEFAC-0013-0001-0013-ABCDEFFEDCBA}

Found and removed: Software\Classes\CLSID\{CAFEEFAC-0013-0001-0013-ABCDEFFEDCBB}

Found and removed: Software\Classes\CLSID\{CAFEEFAC-0013-0001-0014-ABCDEFFEDCBA}

Found and removed: Software\Classes\CLSID\{CAFEEFAC-0013-0001-0014-ABCDEFFEDCBB}

Found and removed: Software\Classes\CLSID\{CAFEEFAC-0013-0001-0015-ABCDEFFEDCBA}

Found and removed: Software\Classes\CLSID\{CAFEEFAC-0013-0001-0015-ABCDEFFEDCBB}

Found and removed: Software\Classes\CLSID\{CAFEEFAC-0013-0001-0016-ABCDEFFEDCBA}

Found and removed: Software\Classes\CLSID\{CAFEEFAC-0013-0001-0016-ABCDEFFEDCBB}

Found and removed: Software\Classes\CLSID\{CAFEEFAC-0013-0001-0017-ABCDEFFEDCBA}

Found and removed: Software\Classes\CLSID\{CAFEEFAC-0013-0001-0017-ABCDEFFEDCBB}

Found and removed: Software\Classes\CLSID\{CAFEEFAC-0013-0001-0018-ABCDEFFEDCBA}

Found and removed: Software\Classes\CLSID\{CAFEEFAC-0013-0001-0018-ABCDEFFEDCBB}

Found and removed: Software\Classes\CLSID\{CAFEEFAC-0013-0001-0019-ABCDEFFEDCBA}

Found and removed: Software\Classes\CLSID\{CAFEEFAC-0013-0001-0019-ABCDEFFEDCBB}

Found and removed: Software\Classes\CLSID\{CAFEEFAC-0013-0001-0020-ABCDEFFEDCBA}

Found and removed: Software\Classes\CLSID\{CAFEEFAC-0013-0001-0020-ABCDEFFEDCBB}

Found and removed: Software\Classes\CLSID\{CAFEEFAC-0013-0001-0021-ABCDEFFEDCBA}

Found and removed: Software\Classes\CLSID\{CAFEEFAC-0013-0001-0021-ABCDEFFEDCBB}

Found and removed: Software\Classes\CLSID\{CAFEEFAC-0013-0001-0022-ABCDEFFEDCBA}

Found and removed: Software\Classes\CLSID\{CAFEEFAC-0013-0001-0022-ABCDEFFEDCBB}

Found and removed: Software\Classes\CLSID\{CAFEEFAC-0013-0001-0023-ABCDEFFEDCBA}

Found and removed: Software\Classes\CLSID\{CAFEEFAC-0013-0001-0023-ABCDEFFEDCBB}

Found and removed: Software\Classes\CLSID\{CAFEEFAC-0013-0001-0024-ABCDEFFEDCBA}

Found and removed: Software\Classes\CLSID\{CAFEEFAC-0013-0001-0024-ABCDEFFEDCBB}

Found and removed: Software\Classes\CLSID\{CAFEEFAC-0013-0001-0025-ABCDEFFEDCBA}

Found and removed: Software\Classes\CLSID\{CAFEEFAC-0013-0001-0025-ABCDEFFEDCBB}

Found and removed: Software\Classes\CLSID\{CAFEEFAC-0013-0001-0026-ABCDEFFEDCBA}

Found and removed: Software\Classes\CLSID\{CAFEEFAC-0013-0001-0026-ABCDEFFEDCBB}

Found and removed: Software\Classes\CLSID\{CAFEEFAC-0013-0001-0027-ABCDEFFEDCBA}

Found and removed: Software\Classes\CLSID\{CAFEEFAC-0013-0001-0027-ABCDEFFEDCBB}

Found and removed: Software\Classes\CLSID\{CAFEEFAC-0013-0001-0028-ABCDEFFEDCBA}

Found and removed: Software\Classes\CLSID\{CAFEEFAC-0013-0001-0028-ABCDEFFEDCBB}

Found and removed: Software\Classes\CLSID\{CAFEEFAC-0013-0001-0029-ABCDEFFEDCBA}

Found and removed: Software\Classes\CLSID\{CAFEEFAC-0013-0001-0029-ABCDEFFEDCBB}

Found and removed: Software\Classes\CLSID\{CAFEEFAC-0013-0001-0030-ABCDEFFEDCBA}

Found and removed: Software\Classes\CLSID\{CAFEEFAC-0013-0001-0030-ABCDEFFEDCBB}

Found and removed: SOFTWARE\Microsoft\Windows\CurrentVersion\Installer\Folders\\C:\Program Files\Java\jre1.6.0_06\

Found and removed: SOFTWARE\Microsoft\Windows\CurrentVersion\Installer\Folders\\C:\Program Files\Java\jre1.6.0_06\bin\

Found and removed: SOFTWARE\Microsoft\Windows\CurrentVersion\Installer\Folders\\C:\Program Files\Java\jre1.6.0_07\bin\

Found and removed: SOFTWARE\Microsoft\Windows\CurrentVersion\Installer\Folders\C:\Program Files\Common Files\Java\Update\Base Images\jre1.6.0.b105\patch-jre1.6.0_06.b02\

------------------------------------

Finished reporting.

 

Ja nyt vielä tässä tuo Anti-Malwaren loki, ajoin sen uudestaan ja nyt tiedostoja löytyikin jo 14 kpl, vaikka tuntia aiemmin olin poistanut 12 kpl...!?

Malwarebytes' Anti-Malware 1.31
Tietokantaversio: 1456
Windows 5.1.2600 Service Pack 3

16.12.2008 22:21:18
mbam-log-2008-12-16 (22-21-18).txt

Tarkistustyyppi: Täysi tarkistus (C:\|D:\|E:\|)
Tarkistetut kohteet: 104308
Kulunut aika: 39 minute(s), 10 second(s)

Saastuneita muistiprosesseja: 0
Saastuneita muistimoduuleja: 2
Saastuneita rekisteriavaimia: 3
Saastuneita rekisteriarvoja: 4
Saastuneita rekisterikohteita: 2
Saastuneita hakemistoja: 0
Saastuneita tiedostoja: 3

Saastuneita muistiprosesseja:
(Haitallisia kohteita ei löydetty)

Saastuneita muistimoduuleja:
C:\WINDOWS\system32\butotuya.dll (Trojan.Vundo.H) -> Delete on reboot.
c:\WINDOWS\system32\fevihife.dll (Trojan.Vundo.H) -> Delete on reboot.

Saastuneita rekisteriavaimia:
HKEY_CLASSES_ROOT\CLSID\{ec43e3fd-5c60-46a6-97d7-e0b85dbdd6c4} (Trojan.Vundo.H) -> Quarantined and deleted successfully.
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\contim (Trojan.Vundo) -> Quarantined and deleted successfully.
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\rdfa (Trojan.Vundo) -> Quarantined and deleted successfully.

Saastuneita rekisteriarvoja:
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\04ac5e25 (Trojan.Vundo.H) -> Quarantined and deleted successfully.
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\cpm079f6db9 (Trojan.Vundo.H) -> Quarantined and deleted successfully.
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\SharedTaskScheduler\{ec43e3fd-5c60-46a6-97d7-e0b85dbdd6c4} (Trojan.Vundo.H) -> Quarantined and deleted successfully.
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\ShellServiceObjectDelayLoad\ssodl (Trojan.Vundo.H) -> Quarantined and deleted successfully.

Saastuneita rekisterikohteita:
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Windows\AppInit_DLLs (Trojan.Vundo.H) -> Data: c:\windows\system32\fevihife.dll -> Quarantined and deleted successfully.
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Windows\AppInit_DLLs (Trojan.Vundo.H) -> Data: system32\fevihife.dll -> Quarantined and deleted successfully.

Saastuneita hakemistoja:
(Haitallisia kohteita ei löydetty)

Saastuneita tiedostoja:
C:\WINDOWS\system32\butotuya.dll (Trojan.Vundo.H) -> Delete on reboot.
C:\WINDOWS\system32\ayutotub.ini (Trojan.Vundo.H) -> Quarantined and deleted successfully.
c:\WINDOWS\system32\fevihife.dll (Trojan.Vundo.H) -> Delete on reboot.

 

Avaa Muistio ja kopioi/liitä lainauksen sisältö sinne:

Tallenna se nimellä CFScript.txt

Sitten raahaa CFScript ComboFix.exeen kuten alla.


Käynnistä tietokone uudelleen pyydettäessä ja lähetä combofix.txt-tiedoston sisältö tänne.

 

Tässäpä tämä. Combofix ei muuten vaatinut tällä kertaa Windowsin restartia lainkaan...

ComboFix 08-12-15.08 - Etunimi Sukunimi 2008-12-16 22:40:36.4 - NTFSx86
Microsoft Windows XP Home Edition 5.1.2600.3.1252.1.1035.18.1023.493 [GMT 2:00]
Sijainti: c:\documents and settings\Etunimi Sukunimi\Työpöytä\ComboFix.exe
Käytetyt komentorivivalitsimet :: c:\documents and settings\Etunimi Sukunimi\Työpöytä\CFScript.txt
* Uusi palautuspiste luotu
* Resident AV is active

.

(((((((((((((((((((((((((((((((((((((( Muut poistot ))))))))))))))))))))))))))))))))))))))))))))))))))))))))
.

C:\bold.log

.
((((( Tiedostot, jotka on luotu seuraavalla aikavälillä: 2008-11-16 to 2008-12-16 )))))))))))))))))
.

2008-12-16 20:05 . 2008-12-03 19:52 38,496 --a------ c:\windows\system32\drivers\mbamswissarmy.sys
2008-12-16 20:05 . 2008-12-03 19:52 15,504 --a------ c:\windows\system32\drivers\mbam.sys
2008-12-16 16:50 . 2008-12-16 16:50 <KANSIO> d-------- c:\documents and settings\Jõrjestelmõnvalvoja
2008-12-16 00:45 . 2008-12-16 00:46 <KANSIO> d-------- c:\documents and settings\All Users\Application Data\Lavasoft
2008-12-16 00:44 . 2008-12-16 00:44 <KANSIO> d-------- c:\program files\Common Files\Wise Installation Wizard
2008-12-15 22:49 . 2006-03-23 10:41 <KANSIO> d--h----- c:\documents and settings\Järjestelmänvalvoja\Verkkoympäristö
2008-12-15 22:49 . 2006-03-23 10:41 <KANSIO> d--h----- c:\documents and settings\Järjestelmänvalvoja\Verkkoympäristö
2008-12-15 22:49 . 2006-03-23 10:41 <KANSIO> d-------- c:\documents and settings\Järjestelmänvalvoja\Työpöytä
2008-12-15 22:49 . 2006-03-23 10:41 <KANSIO> d-------- c:\documents and settings\Järjestelmänvalvoja\Työpöytä
2008-12-15 22:49 . 2006-03-23 10:41 <KANSIO> d--h----- c:\documents and settings\Järjestelmänvalvoja\Tulostinympäristö
2008-12-15 22:49 . 2006-03-23 10:41 <KANSIO> d--h----- c:\documents and settings\Järjestelmänvalvoja\Tulostinympäristö
2008-12-15 22:49 . 2006-03-23 08:48 <KANSIO> dr------- c:\documents and settings\Järjestelmänvalvoja\Suosikit
2008-12-15 22:49 . 2006-03-23 08:48 <KANSIO> dr------- c:\documents and settings\Järjestelmänvalvoja\Suosikit
2008-12-15 22:49 . 2006-03-23 08:48 <KANSIO> dr------- c:\documents and settings\Järjestelmänvalvoja\Omat tiedostot
2008-12-15 22:49 . 2006-03-23 08:48 <KANSIO> dr------- c:\documents and settings\Järjestelmänvalvoja\Omat tiedostot
2008-12-15 22:49 . 2006-03-23 08:43 <KANSIO> d--h----- c:\documents and settings\Järjestelmänvalvoja\Mallit
2008-12-15 22:49 . 2006-03-23 08:43 <KANSIO> d--h----- c:\documents and settings\Järjestelmänvalvoja\Mallit
2008-12-15 22:49 . 2006-03-23 10:41 <KANSIO> dr------- c:\documents and settings\Järjestelmänvalvoja\Käynnistä-valikko
2008-12-15 22:49 . 2006-03-23 10:41 <KANSIO> dr------- c:\documents and settings\Järjestelmänvalvoja\Käynnistä-valikko
2008-12-15 22:49 . 2006-03-23 09:31 <KANSIO> d-------- c:\documents and settings\Järjestelmänvalvoja\Application Data\ATI
2008-12-15 22:49 . 2008-12-15 22:49 <KANSIO> d-------- c:\documents and settings\Järjestelmänvalvoja
2008-12-15 22:11 . 2008-12-15 22:11 <KANSIO> d-------- c:\documents and settings\Etunimi Sukunimi\Application Data\Malwarebytes
2008-12-15 22:11 . 2008-12-15 22:11 <KANSIO> d-------- c:\documents and settings\All Users\Application Data\Malwarebytes
2008-12-15 21:28 . 2008-12-15 21:28 <KANSIO> dr------- c:\documents and settings\LocalService\Suosikit
2008-12-14 21:07 . 2008-12-14 21:07 31,232 --a------ c:\windows\system32\rC2p8HLk.0ll
2008-12-14 20:54 . 2008-12-14 20:54 31,744 --a------ c:\windows\system32\L6L4Ntn6.exe
2008-12-06 23:48 . 2008-12-16 00:38 <KANSIO> d-------- c:\program files\BS.Player ControlBar
2008-12-06 23:48 . 2008-12-06 23:48 <KANSIO> d-------- c:\documents and settings\Etunimi Sukunimi\Application Data\BSplayer Pro
2008-12-06 18:40 . 2008-12-14 21:10 <KANSIO> d-------- c:\documents and settings\Etunimi Sukunimi\Application Data\uTorrent
2008-12-04 01:17 . 2008-12-04 01:21 <KANSIO> d-------- c:\windows\system32\Adobe
2008-12-03 18:15 . 2008-12-03 18:15 <KANSIO> d-------- c:\program files\Common Files\Apple
2008-12-03 18:14 . 2008-12-03 18:14 <KANSIO> d-------- c:\documents and settings\All Users\Application Data\Apple Computer
2008-12-03 18:13 . 2008-12-03 18:13 <KANSIO> d-------- c:\program files\Apple Software Update
2008-12-03 18:13 . 2008-12-03 18:13 <KANSIO> d-------- c:\documents and settings\All Users\Application Data\Apple
2008-12-03 18:10 . 2008-12-03 18:10 <KANSIO> d-------- c:\program files\QuickTime
2008-11-28 22:42 . 2008-11-28 22:42 <KANSIO> d--h----- c:\windows\msdownld.tmp
2008-11-28 22:32 . 2007-04-17 11:32 2,455,488 -----c--- c:\windows\system32\dllcache\ieapfltr.dat
2008-11-28 22:32 . 2007-03-08 07:10 1,011,712 -----c--- c:\windows\system32\dllcache\ieframe.dll.mui
2008-11-28 22:32 . 2008-10-16 22:18 459,264 -----c--- c:\windows\system32\dllcache\msfeeds.dll
2008-11-28 22:32 . 2008-10-16 22:18 267,776 -----c--- c:\windows\system32\dllcache\iertutil.dll
2008-11-28 22:32 . 2008-10-16 22:18 52,224 -----c--- c:\windows\system32\dllcache\msfeedsbs.dll
2008-11-28 22:32 . 2008-10-16 15:11 13,824 -----c--- c:\windows\system32\dllcache\ieudinit.exe
2008-11-28 22:31 . 2008-10-16 22:18 6,066,176 -----c--- c:\windows\system32\dllcache\ieframe.dll
2008-11-28 22:31 . 2008-10-16 22:18 383,488 -----c--- c:\windows\system32\dllcache\ieapfltr.dll
2008-11-28 22:31 . 2008-10-16 22:18 63,488 -----c--- c:\windows\system32\dllcache\icardie.dll
2008-11-28 22:29 . 2008-11-28 22:29 <KANSIO> d-------- c:\program files\Windows Live Toolbar

.
(((((((((((((((((((((((((((((((((((( Find3M-raportti ))))))))))))))))))))))))))))))))))))))))))))))))))))))
.
2008-12-16 19:09 --------- d-----w c:\program files\Java
2008-12-16 16:24 96,384 ----a-w c:\windows\system32\drivers\sptd7789.sys
2008-12-15 22:38 --------- d--h--w c:\program files\InstallShield Installation Information
2008-12-13 10:08 --------- d-----w c:\documents and settings\All Users\Application Data\Microsoft Help
2008-11-28 20:47 --------- d-----w c:\documents and settings\Etunimi Sukunimi\Application Data\codeblocks
2008-11-01 09:29 --------- d-----w c:\documents and settings\Etunimi Sukunimi\Application Data\SSH
2008-10-24 11:21 455,296 ----a-w c:\windows\system32\drivers\mrxsmb.sys
2008-10-23 21:06 --------- d-----w c:\documents and settings\Etunimi Sukunimi\Application Data\PSpad
2008-10-23 12:38 286,720 ----a-w c:\windows\system32\gdi32.dll
2008-10-21 18:49 --------- d-----w c:\program files\Microsoft Silverlight
2008-10-16 20:18 826,368 ----a-w c:\windows\system32\wininet.dll
2008-10-16 12:13 202,776 ----a-w c:\windows\system32\wuweb.dll
2008-10-16 12:13 1,809,944 ----a-w c:\windows\system32\wuaueng.dll
2008-10-16 12:12 561,688 ----a-w c:\windows\system32\wuapi.dll
2008-10-16 12:12 323,608 ----a-w c:\windows\system32\wucltui.dll
2008-10-16 12:09 92,696 ----a-w c:\windows\system32\cdm.dll
2008-10-16 12:09 51,224 ----a-w c:\windows\system32\wuauclt.exe
2008-10-16 12:09 43,544 ----a-w c:\windows\system32\wups2.dll
2008-10-16 12:08 34,328 ----a-w c:\windows\system32\wups.dll
2008-10-16 12:06 268,648 ----a-w c:\windows\system32\mucltui.dll
2008-10-16 12:06 208,744 ----a-w c:\windows\system32\muweb.dll
2008-10-03 10:03 247,326 ----a-w c:\windows\system32\strmdll.dll
.

((((((((((((((((((((((((((((( snapshot@2008-12-16_18.19.04,06 )))))))))))))))))))))))))))))))))))))))))
.
- 2008-12-16 14:50:39 75,894 ----a-w c:\windows\system32\perfc009.dat
+ 2008-12-16 20:29:17 75,894 ----a-w c:\windows\system32\perfc009.dat
- 2008-12-16 14:50:39 90,322 ----a-w c:\windows\system32\perfc00B.dat
+ 2008-12-16 20:29:17 90,322 ----a-w c:\windows\system32\perfc00B.dat
- 2008-12-16 14:50:39 452,394 ----a-w c:\windows\system32\perfh009.dat
+ 2008-12-16 20:29:17 452,394 ----a-w c:\windows\system32\perfh009.dat
- 2008-12-16 14:50:39 427,758 ----a-w c:\windows\system32\perfh00B.dat
+ 2008-12-16 20:29:17 427,758 ----a-w c:\windows\system32\perfh00B.dat
.
(((((((((((((((((((((((((((((( Rekisterin käynnistyskohteet )))))))))))))))))))))))))))))))))))))))))))))
.
.
*Huom* Tyhjiä arvoja ja laillisia oletusarvoja ei näytetä
REGEDIT4

[HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\URLSearchHooks]
"{57BCA5FA-5DBB-45a2-B558-1755C3F6253B}"= "c:\program files\Winamp Toolbar\winamptb.dll" [2008-03-20 1267040]

[HKEY_CLASSES_ROOT\clsid\{57bca5fa-5dbb-45a2-b558-1755c3f6253b}]
[HKEY_CLASSES_ROOT\WINAMPTB.AOLTBSearch.1]
[HKEY_CLASSES_ROOT\TypeLib\{538CD77C-BFDD-49b0-9562-77419CAB89D1}]
[HKEY_CLASSES_ROOT\WINAMPTB.AOLTBSearch]

[HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
"CTFMON.EXE"="c:\windows\system32\ctfmon.exe" [2008-04-14 15360]
"MsnMsgr"="c:\program files\Windows Live\Messenger\MsnMsgr.Exe" [2007-10-18 5724184]

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
"ATICCC"="c:\program files\ATI Technologies\ATI.ACE\cli.exe" [2005-08-12 45056]
"SynTPLpr"="c:\program files\Synaptics\SynTP\SynTPLpr.exe" [2005-03-18 98393]
"SynTPEnh"="c:\program files\Synaptics\SynTP\SynTPEnh.exe" [2005-03-18 688217]
"RemoteControl"="c:\program files\CyberLink\PowerDVD\PDVDServ.exe" [2005-04-15 45056]
"InstantOn"="c:\program files\CyberLink\PowerCinema Linux\ion_install.exe" [2005-05-11 93640]
"F-Secure Manager"="c:\kaikki muu\Common\FSM32.EXE" [2008-02-13 184800]
"F-Secure TNB"="c:\kaikki muu\FSGUI\TNBUtil.exe" [2008-02-13 741800]
"News Service"="c:\kaikki muu\FSGUI\ispnews.exe" [2005-05-31 356352]
"WinampAgent"="c:\kaikki muu\Winamp\winampa.exe" [2008-04-01 36352]
"DAEMON Tools"="c:\kaikki muu\DAEMON Tools\daemon.exe" [2005-12-10 133016]
"GrooveMonitor"="c:\program files\Microsoft Office\Office12\GrooveMonitor.exe" [2007-08-24 33648]
"Elisa Avustaja"="c:\program files\Elisa\Avustaja\Elisa.exe" [2008-09-30 189768]
"QuickTime Task"="c:\kaikki muu\Quickplayer\QTTask.exe" [2008-09-06 413696]
"High Definition Audio -ominaisuussivun pikakuvake"="HDAShCut.exe" [2005-01-07 c:\windows\system32\HdAShCut.exe]
"SoundMan"="SOUNDMAN.EXE" [2005-08-01 c:\windows\SOUNDMAN.EXE]
"AlcWzrd"="ALCWZRD.EXE" [2005-08-01 c:\windows\ALCWZRD.EXE]
"SMSERIAL"="sm56hlpr.exe" [2005-08-01 c:\windows\sm56hlpr.exe]

[HKEY_USERS\.DEFAULT\Software\Microsoft\Windows\CurrentVersion\Run]
"CTFMON.EXE"="c:\windows\system32\CTFMON.EXE" [2008-04-14 15360]

c:\documents and settings\All Users\K„ynnist„-valikko\Ohjelmat\K„ynnistys\
Adobe Reader Speed Launch.lnk - c:\program files\Adobe\Acrobat 7.0\Reader\reader_sl.exe [2005-09-23 29696]
ATI CATALYST System Tray.lnk - c:\program files\ATI Technologies\ATI.ACE\CLI.exe [2005-08-12 45056]

[HKEY_LOCAL_MACHINE\software\microsoft\security center]
"UpdatesDisableNotify"=dword:00000001

[HKLM\~\services\sharedaccess\parameters\firewallpolicy\standardprofile]
"EnableFirewall"= 0 (0x0)

[HKLM\~\services\sharedaccess\parameters\firewallpolicy\standardprofile\AuthorizedApplications\List]
"%windir%\\system32\\sessmgr.exe"=
"c:\\Program Files\\Messenger\\Msmsgs.exe"=
"c:\\Program Files\\Elisa\\Avustaja\\Elisa.exe"=
"%windir%\\Network Diagnostic\\xpnetdiag.exe"=
"c:\\Program Files\\Windows Live\\Messenger\\msnmsgr.exe"=
"c:\\Program Files\\Windows Live\\Messenger\\livecall.exe"=
"c:\\Program Files\\Microsoft Office\\Office12\\OUTLOOK.EXE"=
"c:\\Program Files\\Microsoft Office\\Office12\\GROOVE.EXE"=
"c:\\Program Files\\Microsoft Office\\Office12\\ONENOTE.EXE"=
"c:\\Kaikki muu\\Torrent\\uTorrent.exe"=

R0 FSFW;F-Secure Firewall Driver;c:\windows\system32\drivers\fsdfw.sys [2008-05-07 51072]
R1 F-Secure HIPS;F-Secure HIPS;\??\c:\kaikki muu\HIPS\fshs.sys [2008-05-07 41184]
R3 F-Secure Gatekeeper;F-Secure Gatekeeper;\??\c:\kaikki muu\Anti-Virus\minifilter\fsgk.sys [2008-05-07 63912]
R3 Slazldrv;SmartLink AMR_PCI Driver;c:\windows\system32\DRIVERS\SLDRV\slazldrv.sys [2006-03-23 230448]
S0 yjiz;yjiz;c:\windows\system32\drivers\vahaqp.sys []
S4 F-Secure Filter;F-Secure File System Filter;\??\c:\kaikki muu\Anti-Virus\Win2K\FSfilter.sys [2008-05-07 41640]
S4 F-Secure Recognizer;F-Secure File System Recognizer;\??\c:\kaikki muu\Anti-Virus\Win2K\FSrec.sys [2008-05-07 27048]

[HKEY_CURRENT_USER\software\microsoft\windows\currentversion\explorer\mountpoints2\{c71064fa-391a-11dd-8d5e-0012f04f0695}]
\Shell\AutoRun\command - E:\3d.bat

*Newly Created Service* - CATCHME
.
'Ajoitetut tehtävät'-kansion sisältö

2008-12-13 c:\windows\Tasks\AppleSoftwareUpdate.job
- c:\program files\Apple Software Update\SoftwareUpdate.exe [2008-07-30 12:34]

2008-12-15 c:\windows\Tasks\At1.job
- c:\windows\system32\L6L4Ntn6.exe [2008-12-14 20:54]

2008-12-16 c:\windows\Tasks\At10.job
- c:\windows\system32\L6L4Ntn6.exe [2008-12-14 20:54]

2008-12-14 c:\windows\Tasks\At11.job
- c:\windows\system32\L6L4Ntn6.exe [2008-12-14 20:54]

2008-12-14 c:\windows\Tasks\At12.job
- c:\windows\system32\L6L4Ntn6.exe [2008-12-14 20:54]

2008-12-14 c:\windows\Tasks\At13.job
- c:\windows\system32\L6L4Ntn6.exe [2008-12-14 20:54]

2008-12-14 c:\windows\Tasks\At14.job
- c:\windows\system32\L6L4Ntn6.exe [2008-12-14 20:54]

2008-12-14 c:\windows\Tasks\At15.job
- c:\windows\system32\L6L4Ntn6.exe [2008-12-14 20:54]

2008-12-14 c:\windows\Tasks\At16.job
- c:\windows\system32\L6L4Ntn6.exe [2008-12-14 20:54]

2008-12-16 c:\windows\Tasks\At17.job
- c:\windows\system32\L6L4Ntn6.exe [2008-12-14 20:54]

2008-12-16 c:\windows\Tasks\At18.job
- c:\windows\system32\L6L4Ntn6.exe [2008-12-14 20:54]

2008-12-16 c:\windows\Tasks\At19.job
- c:\windows\system32\L6L4Ntn6.exe [2008-12-14 20:54]

2008-12-15 c:\windows\Tasks\At2.job
- c:\windows\system32\L6L4Ntn6.exe [2008-12-14 20:54]

2008-12-16 c:\windows\Tasks\At20.job
- c:\windows\system32\L6L4Ntn6.exe [2008-12-14 20:54]

2008-12-16 c:\windows\Tasks\At21.job
- c:\windows\system32\L6L4Ntn6.exe [2008-12-14 20:54]

2008-12-16 c:\windows\Tasks\At22.job
- c:\windows\system32\L6L4Ntn6.exe [2008-12-14 20:54]

2008-12-16 c:\windows\Tasks\At23.job
- c:\windows\system32\L6L4Ntn6.exe [2008-12-14 20:54]

2008-12-14 c:\windows\Tasks\At24.job
- c:\windows\system32\L6L4Ntn6.exe [2008-12-14 20:54]

2008-12-16 c:\windows\Tasks\At3.job
- c:\windows\system32\L6L4Ntn6.exe [2008-12-14 20:54]

2008-12-16 c:\windows\Tasks\At4.job
- c:\windows\system32\L6L4Ntn6.exe [2008-12-14 20:54]

2008-12-16 c:\windows\Tasks\At5.job
- c:\windows\system32\L6L4Ntn6.exe [2008-12-14 20:54]

2008-12-16 c:\windows\Tasks\At6.job
- c:\windows\system32\L6L4Ntn6.exe [2008-12-14 20:54]

2008-12-16 c:\windows\Tasks\At7.job
- c:\windows\system32\L6L4Ntn6.exe [2008-12-14 20:54]

2008-12-16 c:\windows\Tasks\At8.job
- c:\windows\system32\L6L4Ntn6.exe [2008-12-14 20:54]

2008-12-16 c:\windows\Tasks\At9.job
- c:\windows\system32\L6L4Ntn6.exe [2008-12-14 20:54]

2008-12-16 c:\windows\Tasks\Scheduled scanning task.job
- c:\kaikki~1\ANTI-V~1\fsav.exe [2008-02-13 12:38]

2008-12-16 c:\windows\Tasks\Tarkistetaan Windows Live -työkalurivin päivitykset.job
- c:\program files\Windows Live Toolbar\MSNTBUP.EXE [2007-10-19 11:20]
.
.
------- Täydentävä tarkistus -------
.
uStart Page = hxxp://www.bsplayer-search.com/startpage
IE: &Winamp Search - c:\documents and settings\All Users\Application Data\Winamp Toolbar\ieToolbar\resources\en-US\local\search.html
IE: &Windows Live Search - c:\program files\Windows Live Toolbar\msntb.dll/search.htm
IE: V&ie Microsoft Exceliin - c:\progra~1\MICROS~3\Office12\EXCEL.EXE/3000
LSP: c:\kaikki muu\FSPS\program\fslsp.dll
FF - ProfilePath - c:\documents and settings\Etunimi Sukunimi\Application Data\Mozilla\Firefox\Profiles\aqg534ag.default\
FF - prefs.js: browser.startup.homepage - hxxp://www.bsplayer-search.com/startpage
FF - plugin: c:\kaikki muu\Quickplayer\Plugins\npqtplugin.dll
FF - plugin: c:\kaikki muu\Quickplayer\Plugins\npqtplugin2.dll
FF - plugin: c:\kaikki muu\Quickplayer\Plugins\npqtplugin3.dll
FF - plugin: c:\kaikki muu\Quickplayer\Plugins\npqtplugin4.dll
FF - plugin: c:\kaikki muu\Quickplayer\Plugins\npqtplugin5.dll
FF - plugin: c:\kaikki muu\Quickplayer\Plugins\npqtplugin6.dll
FF - plugin: c:\kaikki muu\Quickplayer\Plugins\npqtplugin7.dll
FF - plugin: c:\program files\Microsoft Silverlight\2.0.31005.0\npctrl.dll
.

**************************************************************************

catchme 0.3.1367 W2K/XP/Vista - rootkit/stealth malware detector by Gmer, http://www.gmer.net
Rootkit scan 2008-12-16 22:43:31
Windows 5.1.2600 Service Pack 3 NTFS

tarkistaa piilotettuja prosesseja ...

tarkistaa piilotettuja käynnistysarvoja ...

tarkistaa piilotettuja tiedostoja ...

tarkistus on valmis
piilotetut tiedostot: 0

**************************************************************************
.
--------------------- Prosesseihin ladatut DLLt ---------------------

- - - - - - - > 'winlogon.exe'(1000)
c:\windows\system32\Ati2evxx.dll
c:\windows\system32\COMRes.dll
c:\kaikki muu\FWES\Program\fsdc.dll

- - - - - - - > 'lsass.exe'(1072)
c:\kaikki muu\FSPS\program\fslsp.dll
c:\kaikki muu\FWES\Program\fsdc.dll

- - - - - - - > 'csrss.exe'(968)
c:\kaikki muu\FWES\Program\fsdc.dll
.
Valmistumisajankohta: 2008-12-16 22:44:47
ComboFix-quarantined-files.txt 2008-12-16 20:44:33
ComboFix2.txt 2008-12-16 16:20:04
ComboFix3.txt 2008-12-16 14:50:03

Ennen ajoa: 45 216 223 232 tavua vapaana
Ajon jälkeen: 45,205,102,592 tavua vapaana

262 --- E O F --- 2008-12-13 10:08:18

 

Meni uusiksi

=================

Nyt tuon punaisella merkityn Kopioit / liität Tyhjään muistioon
käynnistä nappi >apuohjelmat > muistio

File::
c:\windows\system32\L6L4Ntn6.exe
c:\windows\Tasks\At1.job
c:\windows\Tasks\At10.job
c:\windows\Tasks\At11.job
c:\windows\Tasks\At12.job
c:\windows\Tasks\At13.job
c:\windows\Tasks\At14.job
c:\windows\Tasks\At15.job
c:\windows\Tasks\At16.job
c:\windows\Tasks\At17.job
c:\windows\Tasks\At18.job
c:\windows\Tasks\At19.job
c:\windows\Tasks\At2.job
c:\windows\Tasks\At20.job
c:\windows\Tasks\At21.job
c:\windows\Tasks\At22.job
c:\windows\Tasks\At23.job
c:\windows\Tasks\At24.job
c:\windows\Tasks\At3.job
c:\windows\Tasks\At4.job
c:\windows\Tasks\At5.job
c:\windows\Tasks\At6.job
c:\windows\Tasks\At7.job
c:\windows\Tasks\At8.job
c:\windows\Tasks\At9.job

sittten vasemmasta ylä reunasta tiedosto > tallenna nimellä

Kohde: työpöytä

Tiedostonimi: CFScript.txt

Tallennusmuoto: kaikki tiedostot

sitten raahaat sen kuvan osoittamalla tavalla. Työpöydällä Combofix.exe:een ja pudotat sen sinne.



combofix työstää tulee sininen taulu paina numeroa 1 ja enter

Laita tuleva loki tänne.

Sammutat ja käynnistät koneen

 

Tässäpä. Pitikö siis painaa 1 ja enter heti, kun combofixin sininen ruutu ilmestyy? No, näin ainakin tein ja seuraavanlainen loki tuli, tälläkään kertaa combofix ei pyytänyt Windowsin restartia mutta tein sen sitten itse.


ComboFix 08-12-15.08 - Etunimi Sukunimi 2008-12-16 23:23:02.5 - NTFSx86
Microsoft Windows XP Home Edition 5.1.2600.3.1252.1.1035.18.1023.403 [GMT 2:00]
Sijainti: c:\documents and settings\Etunimi Sukunimi\Työpöytä\ComboFix.exe
Käytetyt komentorivivalitsimet :: c:\documents and settings\Etunimi Sukunimi\Työpöytä\CFScript.txt
* Uusi palautuspiste luotu
* Resident AV is active


FILE ::
c:\windows\system32\L6L4Ntn6.exe
c:\windows\Tasks\At1.job
c:\windows\Tasks\At10.job
c:\windows\Tasks\At11.job
c:\windows\Tasks\At12.job
c:\windows\Tasks\At13.job
c:\windows\Tasks\At14.job
c:\windows\Tasks\At15.job
c:\windows\Tasks\At16.job
c:\windows\Tasks\At17.job
c:\windows\Tasks\At18.job
c:\windows\Tasks\At19.job
c:\windows\Tasks\At2.job
c:\windows\Tasks\At20.job
c:\windows\Tasks\At21.job
c:\windows\Tasks\At22.job
c:\windows\Tasks\At23.job
c:\windows\Tasks\At24.job
c:\windows\Tasks\At3.job
c:\windows\Tasks\At4.job
c:\windows\Tasks\At5.job
c:\windows\Tasks\At6.job
c:\windows\Tasks\At7.job
c:\windows\Tasks\At8.job
c:\windows\Tasks\At9.job
.

(((((((((((((((((((((((((((((((((((((( Muut poistot ))))))))))))))))))))))))))))))))))))))))))))))))))))))))
.

C:\bold.log
c:\windows\system32\L6L4Ntn6.exe
c:\windows\Tasks\At1.job
c:\windows\Tasks\At10.job
c:\windows\Tasks\At11.job
c:\windows\Tasks\At12.job
c:\windows\Tasks\At13.job
c:\windows\Tasks\At14.job
c:\windows\Tasks\At15.job
c:\windows\Tasks\At16.job
c:\windows\Tasks\At17.job
c:\windows\Tasks\At18.job
c:\windows\Tasks\At19.job
c:\windows\Tasks\At2.job
c:\windows\Tasks\At20.job
c:\windows\Tasks\At21.job
c:\windows\Tasks\At22.job
c:\windows\Tasks\At23.job
c:\windows\Tasks\At24.job
c:\windows\Tasks\At3.job
c:\windows\Tasks\At4.job
c:\windows\Tasks\At5.job
c:\windows\Tasks\At6.job
c:\windows\Tasks\At7.job
c:\windows\Tasks\At8.job
c:\windows\Tasks\At9.job

.
((((( Tiedostot, jotka on luotu seuraavalla aikavälillä: 2008-11-16 to 2008-12-16 )))))))))))))))))
.

2008-12-16 20:05 . 2008-12-03 19:52 38,496 --a------ c:\windows\system32\drivers\mbamswissarmy.sys
2008-12-16 20:05 . 2008-12-03 19:52 15,504 --a------ c:\windows\system32\drivers\mbam.sys
2008-12-16 16:50 . 2008-12-16 16:50 <KANSIO> d-------- c:\documents and settings\Jõrjestelmõnvalvoja
2008-12-16 00:45 . 2008-12-16 00:46 <KANSIO> d-------- c:\documents and settings\All Users\Application Data\Lavasoft
2008-12-16 00:44 . 2008-12-16 00:44 <KANSIO> d-------- c:\program files\Common Files\Wise Installation Wizard
2008-12-15 22:49 . 2006-03-23 10:41 <KANSIO> d--h----- c:\documents and settings\Järjestelmänvalvoja\Verkkoympäristö
2008-12-15 22:49 . 2006-03-23 10:41 <KANSIO> d--h----- c:\documents and settings\Järjestelmänvalvoja\Verkkoympäristö
2008-12-15 22:49 . 2006-03-23 10:41 <KANSIO> d-------- c:\documents and settings\Järjestelmänvalvoja\Työpöytä
2008-12-15 22:49 . 2006-03-23 10:41 <KANSIO> d-------- c:\documents and settings\Järjestelmänvalvoja\Työpöytä
2008-12-15 22:49 . 2006-03-23 10:41 <KANSIO> d--h----- c:\documents and settings\Järjestelmänvalvoja\Tulostinympäristö
2008-12-15 22:49 . 2006-03-23 10:41 <KANSIO> d--h----- c:\documents and settings\Järjestelmänvalvoja\Tulostinympäristö
2008-12-15 22:49 . 2006-03-23 08:48 <KANSIO> dr------- c:\documents and settings\Järjestelmänvalvoja\Suosikit
2008-12-15 22:49 . 2006-03-23 08:48 <KANSIO> dr------- c:\documents and settings\Järjestelmänvalvoja\Suosikit
2008-12-15 22:49 . 2006-03-23 08:48 <KANSIO> dr------- c:\documents and settings\Järjestelmänvalvoja\Omat tiedostot
2008-12-15 22:49 . 2006-03-23 08:48 <KANSIO> dr------- c:\documents and settings\Järjestelmänvalvoja\Omat tiedostot
2008-12-15 22:49 . 2006-03-23 08:43 <KANSIO> d--h----- c:\documents and settings\Järjestelmänvalvoja\Mallit
2008-12-15 22:49 . 2006-03-23 08:43 <KANSIO> d--h----- c:\documents and settings\Järjestelmänvalvoja\Mallit
2008-12-15 22:49 . 2006-03-23 10:41 <KANSIO> dr------- c:\documents and settings\Järjestelmänvalvoja\Käynnistä-valikko
2008-12-15 22:49 . 2006-03-23 10:41 <KANSIO> dr------- c:\documents and settings\Järjestelmänvalvoja\Käynnistä-valikko
2008-12-15 22:49 . 2006-03-23 09:31 <KANSIO> d-------- c:\documents and settings\Järjestelmänvalvoja\Application Data\ATI
2008-12-15 22:49 . 2008-12-15 22:49 <KANSIO> d-------- c:\documents and settings\Järjestelmänvalvoja
2008-12-15 22:11 . 2008-12-15 22:11 <KANSIO> d-------- c:\documents and settings\Etunimi Sukunimi\Application Data\Malwarebytes
2008-12-15 22:11 . 2008-12-15 22:11 <KANSIO> d-------- c:\documents and settings\All Users\Application Data\Malwarebytes
2008-12-15 21:28 . 2008-12-15 21:28 <KANSIO> dr------- c:\documents and settings\LocalService\Suosikit
2008-12-14 21:07 . 2008-12-14 21:07 31,232 --a------ c:\windows\system32\rC2p8HLk.0ll
2008-12-06 23:48 . 2008-12-16 00:38 <KANSIO> d-------- c:\program files\BS.Player ControlBar
2008-12-06 23:48 . 2008-12-06 23:48 <KANSIO> d-------- c:\documents and settings\Etunimi Sukunimi\Application Data\BSplayer Pro
2008-12-06 18:40 . 2008-12-14 21:10 <KANSIO> d-------- c:\documents and settings\Etunimi Sukunimi\Application Data\uTorrent
2008-12-04 01:17 . 2008-12-04 01:21 <KANSIO> d-------- c:\windows\system32\Adobe
2008-12-03 18:15 . 2008-12-03 18:15 <KANSIO> d-------- c:\program files\Common Files\Apple
2008-12-03 18:14 . 2008-12-03 18:14 <KANSIO> d-------- c:\documents and settings\All Users\Application Data\Apple Computer
2008-12-03 18:13 . 2008-12-03 18:13 <KANSIO> d-------- c:\program files\Apple Software Update
2008-12-03 18:13 . 2008-12-03 18:13 <KANSIO> d-------- c:\documents and settings\All Users\Application Data\Apple
2008-12-03 18:10 . 2008-12-03 18:10 <KANSIO> d-------- c:\program files\QuickTime
2008-11-28 22:42 . 2008-11-28 22:42 <KANSIO> d--h----- c:\windows\msdownld.tmp
2008-11-28 22:32 . 2007-04-17 11:32 2,455,488 -----c--- c:\windows\system32\dllcache\ieapfltr.dat
2008-11-28 22:32 . 2007-03-08 07:10 1,011,712 -----c--- c:\windows\system32\dllcache\ieframe.dll.mui
2008-11-28 22:32 . 2008-10-16 22:18 459,264 -----c--- c:\windows\system32\dllcache\msfeeds.dll
2008-11-28 22:32 . 2008-10-16 22:18 267,776 -----c--- c:\windows\system32\dllcache\iertutil.dll
2008-11-28 22:32 . 2008-10-16 22:18 52,224 -----c--- c:\windows\system32\dllcache\msfeedsbs.dll
2008-11-28 22:32 . 2008-10-16 15:11 13,824 -----c--- c:\windows\system32\dllcache\ieudinit.exe
2008-11-28 22:31 . 2008-10-16 22:18 6,066,176 -----c--- c:\windows\system32\dllcache\ieframe.dll
2008-11-28 22:31 . 2008-10-16 22:18 383,488 -----c--- c:\windows\system32\dllcache\ieapfltr.dll
2008-11-28 22:31 . 2008-10-16 22:18 63,488 -----c--- c:\windows\system32\dllcache\icardie.dll
2008-11-28 22:29 . 2008-11-28 22:29 <KANSIO> d-------- c:\program files\Windows Live Toolbar

.
(((((((((((((((((((((((((((((((((((( Find3M-raportti ))))))))))))))))))))))))))))))))))))))))))))))))))))))
.
2008-12-16 19:09 --------- d-----w c:\program files\Java
2008-12-16 16:24 96,384 ----a-w c:\windows\system32\drivers\sptd7789.sys
2008-12-15 22:38 --------- d--h--w c:\program files\InstallShield Installation Information
2008-12-13 10:08 --------- d-----w c:\documents and settings\All Users\Application Data\Microsoft Help
2008-11-28 20:47 --------- d-----w c:\documents and settings\Etunimi Sukunimi\Application Data\codeblocks
2008-11-01 09:29 --------- d-----w c:\documents and settings\Etunimi Sukunimi\Application Data\SSH
2008-10-24 11:21 455,296 ----a-w c:\windows\system32\drivers\mrxsmb.sys
2008-10-23 21:06 --------- d-----w c:\documents and settings\Etunimi Sukunimi\Application Data\PSpad
2008-10-23 12:38 286,720 ----a-w c:\windows\system32\gdi32.dll
2008-10-21 18:49 --------- d-----w c:\program files\Microsoft Silverlight
2008-10-16 20:18 826,368 ----a-w c:\windows\system32\wininet.dll
2008-10-16 12:13 202,776 ----a-w c:\windows\system32\wuweb.dll
2008-10-16 12:13 1,809,944 ----a-w c:\windows\system32\wuaueng.dll
2008-10-16 12:12 561,688 ----a-w c:\windows\system32\wuapi.dll
2008-10-16 12:12 323,608 ----a-w c:\windows\system32\wucltui.dll
2008-10-16 12:09 92,696 ----a-w c:\windows\system32\cdm.dll
2008-10-16 12:09 51,224 ----a-w c:\windows\system32\wuauclt.exe
2008-10-16 12:09 43,544 ----a-w c:\windows\system32\wups2.dll
2008-10-16 12:08 34,328 ----a-w c:\windows\system32\wups.dll
2008-10-16 12:06 268,648 ----a-w c:\windows\system32\mucltui.dll
2008-10-16 12:06 208,744 ----a-w c:\windows\system32\muweb.dll
2008-10-03 10:03 247,326 ----a-w c:\windows\system32\strmdll.dll
.

((((((((((((((((((((((((((((( snapshot@2008-12-16_18.19.04,06 )))))))))))))))))))))))))))))))))))))))))
.
- 2008-12-16 14:50:39 75,894 ----a-w c:\windows\system32\perfc009.dat
+ 2008-12-16 20:55:15 75,894 ----a-w c:\windows\system32\perfc009.dat
- 2008-12-16 14:50:39 90,322 ----a-w c:\windows\system32\perfc00B.dat
+ 2008-12-16 20:55:15 90,322 ----a-w c:\windows\system32\perfc00B.dat
- 2008-12-16 14:50:39 452,394 ----a-w c:\windows\system32\perfh009.dat
+ 2008-12-16 20:55:15 452,394 ----a-w c:\windows\system32\perfh009.dat
- 2008-12-16 14:50:39 427,758 ----a-w c:\windows\system32\perfh00B.dat
+ 2008-12-16 20:55:15 427,758 ----a-w c:\windows\system32\perfh00B.dat
.
(((((((((((((((((((((((((((((( Rekisterin käynnistyskohteet )))))))))))))))))))))))))))))))))))))))))))))
.
.
*Huom* Tyhjiä arvoja ja laillisia oletusarvoja ei näytetä
REGEDIT4

[HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\URLSearchHooks]
"{57BCA5FA-5DBB-45a2-B558-1755C3F6253B}"= "c:\program files\Winamp Toolbar\winamptb.dll" [2008-03-20 1267040]

[HKEY_CLASSES_ROOT\clsid\{57bca5fa-5dbb-45a2-b558-1755c3f6253b}]
[HKEY_CLASSES_ROOT\WINAMPTB.AOLTBSearch.1]
[HKEY_CLASSES_ROOT\TypeLib\{538CD77C-BFDD-49b0-9562-77419CAB89D1}]
[HKEY_CLASSES_ROOT\WINAMPTB.AOLTBSearch]

[HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
"CTFMON.EXE"="c:\windows\system32\ctfmon.exe" [2008-04-14 15360]
"MsnMsgr"="c:\program files\Windows Live\Messenger\MsnMsgr.Exe" [2007-10-18 5724184]

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
"ATICCC"="c:\program files\ATI Technologies\ATI.ACE\cli.exe" [2005-08-12 45056]
"SynTPLpr"="c:\program files\Synaptics\SynTP\SynTPLpr.exe" [2005-03-18 98393]
"SynTPEnh"="c:\program files\Synaptics\SynTP\SynTPEnh.exe" [2005-03-18 688217]
"RemoteControl"="c:\program files\CyberLink\PowerDVD\PDVDServ.exe" [2005-04-15 45056]
"InstantOn"="c:\program files\CyberLink\PowerCinema Linux\ion_install.exe" [2005-05-11 93640]
"F-Secure Manager"="c:\kaikki muu\Common\FSM32.EXE" [2008-02-13 184800]
"F-Secure TNB"="c:\kaikki muu\FSGUI\TNBUtil.exe" [2008-02-13 741800]
"News Service"="c:\kaikki muu\FSGUI\ispnews.exe" [2005-05-31 356352]
"WinampAgent"="c:\kaikki muu\Winamp\winampa.exe" [2008-04-01 36352]
"DAEMON Tools"="c:\kaikki muu\DAEMON Tools\daemon.exe" [2005-12-10 133016]
"GrooveMonitor"="c:\program files\Microsoft Office\Office12\GrooveMonitor.exe" [2007-08-24 33648]
"Elisa Avustaja"="c:\program files\Elisa\Avustaja\Elisa.exe" [2008-09-30 189768]
"QuickTime Task"="c:\kaikki muu\Quickplayer\QTTask.exe" [2008-09-06 413696]
"High Definition Audio -ominaisuussivun pikakuvake"="HDAShCut.exe" [2005-01-07 c:\windows\system32\HdAShCut.exe]
"SoundMan"="SOUNDMAN.EXE" [2005-08-01 c:\windows\SOUNDMAN.EXE]
"AlcWzrd"="ALCWZRD.EXE" [2005-08-01 c:\windows\ALCWZRD.EXE]
"SMSERIAL"="sm56hlpr.exe" [2005-08-01 c:\windows\sm56hlpr.exe]

[HKEY_USERS\.DEFAULT\Software\Microsoft\Windows\CurrentVersion\Run]
"CTFMON.EXE"="c:\windows\system32\CTFMON.EXE" [2008-04-14 15360]

c:\documents and settings\All Users\K„ynnist„-valikko\Ohjelmat\K„ynnistys\
Adobe Reader Speed Launch.lnk - c:\program files\Adobe\Acrobat 7.0\Reader\reader_sl.exe [2005-09-23 29696]
ATI CATALYST System Tray.lnk - c:\program files\ATI Technologies\ATI.ACE\CLI.exe [2005-08-12 45056]

[HKEY_LOCAL_MACHINE\software\microsoft\security center]
"UpdatesDisableNotify"=dword:00000001

[HKLM\~\services\sharedaccess\parameters\firewallpolicy\standardprofile]
"EnableFirewall"= 0 (0x0)

[HKLM\~\services\sharedaccess\parameters\firewallpolicy\standardprofile\AuthorizedApplications\List]
"%windir%\\system32\\sessmgr.exe"=
"c:\\Program Files\\Messenger\\Msmsgs.exe"=
"c:\\Program Files\\Elisa\\Avustaja\\Elisa.exe"=
"%windir%\\Network Diagnostic\\xpnetdiag.exe"=
"c:\\Program Files\\Windows Live\\Messenger\\msnmsgr.exe"=
"c:\\Program Files\\Windows Live\\Messenger\\livecall.exe"=
"c:\\Program Files\\Microsoft Office\\Office12\\OUTLOOK.EXE"=
"c:\\Program Files\\Microsoft Office\\Office12\\GROOVE.EXE"=
"c:\\Program Files\\Microsoft Office\\Office12\\ONENOTE.EXE"=
"c:\\Kaikki muu\\Torrent\\uTorrent.exe"=

R0 FSFW;F-Secure Firewall Driver;c:\windows\system32\drivers\fsdfw.sys [2008-05-07 51072]
R1 F-Secure HIPS;F-Secure HIPS;\??\c:\kaikki muu\HIPS\fshs.sys [2008-05-07 41184]
R3 F-Secure Gatekeeper;F-Secure Gatekeeper;\??\c:\kaikki muu\Anti-Virus\minifilter\fsgk.sys [2008-05-07 63912]
R3 Slazldrv;SmartLink AMR_PCI Driver;c:\windows\system32\DRIVERS\SLDRV\slazldrv.sys [2006-03-23 230448]
S0 yjiz;yjiz;c:\windows\system32\drivers\vahaqp.sys []
S4 F-Secure Filter;F-Secure File System Filter;\??\c:\kaikki muu\Anti-Virus\Win2K\FSfilter.sys [2008-05-07 41640]
S4 F-Secure Recognizer;F-Secure File System Recognizer;\??\c:\kaikki muu\Anti-Virus\Win2K\FSrec.sys [2008-05-07 27048]

[HKEY_CURRENT_USER\software\microsoft\windows\currentversion\explorer\mountpoints2\{c71064fa-391a-11dd-8d5e-0012f04f0695}]
\Shell\AutoRun\command - E:\3d.bat
.
'Ajoitetut tehtävät'-kansion sisältö

2008-12-13 c:\windows\Tasks\AppleSoftwareUpdate.job
- c:\program files\Apple Software Update\SoftwareUpdate.exe [2008-07-30 12:34]

2008-12-16 c:\windows\Tasks\Scheduled scanning task.job
- c:\kaikki~1\ANTI-V~1\fsav.exe [2008-02-13 12:38]

2008-12-16 c:\windows\Tasks\Tarkistetaan Windows Live -työkalurivin päivitykset.job
- c:\program files\Windows Live Toolbar\MSNTBUP.EXE [2007-10-19 11:20]
.
.
------- Täydentävä tarkistus -------
.
uStart Page = hxxp://www.bsplayer-search.com/startpage
IE: &Winamp Search - c:\documents and settings\All Users\Application Data\Winamp Toolbar\ieToolbar\resources\en-US\local\search.html
IE: &Windows Live Search - c:\program files\Windows Live Toolbar\msntb.dll/search.htm
IE: V&ie Microsoft Exceliin - c:\progra~1\MICROS~3\Office12\EXCEL.EXE/3000
LSP: c:\kaikki muu\FSPS\program\fslsp.dll
FF - ProfilePath - c:\documents and settings\Etunimi Sukunimi\Application Data\Mozilla\Firefox\Profiles\aqg534ag.default\
FF - prefs.js: browser.startup.homepage - hxxp://www.bsplayer-search.com/startpage
FF - plugin: c:\kaikki muu\Quickplayer\Plugins\npqtplugin.dll
FF - plugin: c:\kaikki muu\Quickplayer\Plugins\npqtplugin2.dll
FF - plugin: c:\kaikki muu\Quickplayer\Plugins\npqtplugin3.dll
FF - plugin: c:\kaikki muu\Quickplayer\Plugins\npqtplugin4.dll
FF - plugin: c:\kaikki muu\Quickplayer\Plugins\npqtplugin5.dll
FF - plugin: c:\kaikki muu\Quickplayer\Plugins\npqtplugin6.dll
FF - plugin: c:\kaikki muu\Quickplayer\Plugins\npqtplugin7.dll
FF - plugin: c:\program files\Microsoft Silverlight\2.0.31005.0\npctrl.dll
.

**************************************************************************

catchme 0.3.1367 W2K/XP/Vista - rootkit/stealth malware detector by Gmer, http://www.gmer.net
Rootkit scan 2008-12-16 23:25:04
Windows 5.1.2600 Service Pack 3 NTFS

tarkistaa piilotettuja prosesseja ...

tarkistaa piilotettuja käynnistysarvoja ...

tarkistaa piilotettuja tiedostoja ...

tarkistus on valmis
piilotetut tiedostot: 0

**************************************************************************
.
--------------------- Prosesseihin ladatut DLLt ---------------------

- - - - - - - > 'winlogon.exe'(1000)
c:\windows\system32\Ati2evxx.dll
c:\kaikki muu\FWES\Program\fsdc.dll

- - - - - - - > 'lsass.exe'(1064)
c:\kaikki muu\FSPS\program\fslsp.dll
c:\kaikki muu\FWES\Program\fsdc.dll

- - - - - - - > 'csrss.exe'(968)
c:\kaikki muu\FWES\Program\fsdc.dll
.
Valmistumisajankohta: 2008-12-16 23:26:25
ComboFix-quarantined-files.txt 2008-12-16 21:26:03
ComboFix2.txt 2008-12-16 20:44:49
ComboFix3.txt 2008-12-16 16:20:04
ComboFix4.txt 2008-12-16 14:50:03

Ennen ajoa: 45 215 174 656 tavua vapaana
Ajon jälkeen: 45,203,062,784 tavua vapaana

263 --- E O F --- 2008-12-13 10:08:18

 

Poista lisää poista sovelutuksesta

Winamp Toolbar

poista kansio vikasiedossa

C:\Program Files\Winamp Toolbar

===============

scannaa uusi hjt:n loki

 

Poistettu ohjeiden mukaisesti tuo Winamp Toolbar. Vieläkö pitäisi jotain tehdä?

Edit: tässä tuo loki:

Logfile of Trend Micro HijackThis v2.0.2
Scan saved at 0:03:38, on 17.12.2008
Platform: Windows XP SP3 (WinNT 5.01.2600)
MSIE: Internet Explorer v7.00 (7.00.6000.16762)
Boot mode: Normal

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\Ati2evxx.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\Kaikki muu\Ad-aware\aawservice.exe
C:\WINDOWS\system32\Ati2evxx.exe
C:\WINDOWS\Explorer.EXE
C:\WINDOWS\system32\spoolsv.exe
C:\Program Files\ATI Technologies\ATI.ACE\cli.exe
C:\WINDOWS\SOUNDMAN.EXE
C:\Program Files\Synaptics\SynTP\SynTPLpr.exe
C:\Program Files\Synaptics\SynTP\SynTPEnh.exe
C:\Program Files\CyberLink\PowerDVD\PDVDServ.exe
C:\Kaikki muu\Common\FSM32.EXE
C:\Kaikki muu\DAEMON Tools\daemon.exe
C:\Program Files\Microsoft Office\Office12\GrooveMonitor.exe
C:\Program Files\Elisa\Avustaja\Elisa.exe
C:\WINDOWS\system32\ctfmon.exe
C:\Program Files\Windows Live\Messenger\MsnMsgr.Exe
C:\Program Files\Adobe\Acrobat 7.0\Reader\reader_sl.exe
C:\Program Files\ATI Technologies\ATI.ACE\CLI.exe
C:\Kaikki muu\Anti-Virus\fsgk32st.exe
C:\Kaikki muu\Common\FSMA32.EXE
C:\Kaikki muu\Anti-Virus\FSGK32.EXE
C:\WINDOWS\system32\slserv.exe
C:\Kaikki muu\Common\FSMB32.EXE
C:\Kaikki muu\Common\FCH32.EXE
C:\Kaikki muu\Common\FAMEH32.EXE
C:\Kaikki muu\Anti-Virus\fsqh.exe
C:\Kaikki muu\FSGUI\fsguidll.exe
C:\Kaikki muu\FSAUA\program\fsaua.exe
C:\Kaikki muu\Anti-Virus\fssm32.exe
C:\Kaikki muu\FWES\Program\fsdfwd.exe
C:\WINDOWS\System32\svchost.exe
C:\Kaikki muu\Anti-Virus\fsav32.exe
C:\Kaikki muu\FSAUA\program\fsus.exe
C:\Program Files\ATI Technologies\ATI.ACE\cli.exe
C:\WINDOWS\system32\wuauclt.exe
C:\Program Files\Windows Live\Messenger\usnsvc.exe
C:\Program Files\Mozilla Firefox\firefox.exe
C:\Kaikki muu\Hijack\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.bsplayer-search.com/startpage
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://go.microsoft.com/fwlink/?LinkId=69157
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://go.microsoft.com/fwlink/?LinkId=54896
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = http://go.microsoft.com/fwlink/?LinkId=54896
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Linkit
O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Program Files\Adobe\Acrobat 7.0\ActiveX\AcroIEHelper.dll
O2 - BHO: Groove GFS Browser Helper - {72853161-30C5-4D22-B7F9-0BBC1D38A37E} - C:\Program Files\Microsoft Office\Office12\GrooveShellExtensions.dll
O2 - BHO: SSVHelper Class - {761497BB-D6F0-462C-B6EB-D4DAF1D92D43} - C:\Program Files\Java\jre1.6.0_07\bin\ssv.dll
O2 - BHO: (no name) - {7E853D72-626A-48EC-A868-BA8D5E23E045} - (no file)
O2 - BHO: Windows Liven kirjautumisapuohjelma - {9030D464-4C02-4ABF-8ECC-5164760863C6} - C:\Program Files\Common Files\Microsoft Shared\Windows Live\WindowsLiveLogin.dll
O2 - BHO: Windows Live Toolbar Helper - {BDBD1DAD-C946-4A17-ADC1-64B5B4FF55D0} - C:\Program Files\Windows Live Toolbar\msntb.dll
O2 - BHO: Elisa Avustaja Plugin - {DB87CDE1-EF9C-44EB-A42F-6D0B3C72C516} - C:\Program Files\Elisa\Avustaja\IEFixItNowPlugin.dll
O3 - Toolbar: Windows Live Toolbar - {BDAD1DAD-C946-4A17-ADC1-64B5B4FF55D0} - C:\Program Files\Windows Live Toolbar\msntb.dll
O4 - HKLM\..\Run: [High Definition Audio -ominaisuussivun pikakuvake] HDAShCut.exe
O4 - HKLM\..\Run: [ATICCC] "C:\Program Files\ATI Technologies\ATI.ACE\cli.exe" runtime
O4 - HKLM\..\Run: [SoundMan] SOUNDMAN.EXE
O4 - HKLM\..\Run: [AlcWzrd] ALCWZRD.EXE
O4 - HKLM\..\Run: [SynTPLpr] C:\Program Files\Synaptics\SynTP\SynTPLpr.exe
O4 - HKLM\..\Run: [SynTPEnh] C:\Program Files\Synaptics\SynTP\SynTPEnh.exe
O4 - HKLM\..\Run: [RemoteControl] "C:\Program Files\CyberLink\PowerDVD\PDVDServ.exe"
O4 - HKLM\..\Run: [SMSERIAL] sm56hlpr.exe
O4 - HKLM\..\Run: [InstantOn] "C:\Program Files\CyberLink\PowerCinema Linux\ion_install.exe" /c
O4 - HKLM\..\Run: [F-Secure Manager] "C:\Kaikki muu\Common\FSM32.EXE" /splash
O4 - HKLM\..\Run: [F-Secure TNB] "C:\Kaikki muu\FSGUI\TNBUtil.exe" /CHECKALL /WAITFORSW
O4 - HKLM\..\Run: [News Service] "C:\Kaikki muu\FSGUI\ispnews.exe"
O4 - HKLM\..\Run: [WinampAgent] "C:\Kaikki muu\Winamp\winampa.exe"
O4 - HKLM\..\Run: [DAEMON Tools] "C:\Kaikki muu\DAEMON Tools\daemon.exe" -lang 1033
O4 - HKLM\..\Run: [GrooveMonitor] "C:\Program Files\Microsoft Office\Office12\GrooveMonitor.exe"
O4 - HKLM\..\Run: [Elisa Avustaja] "C:\Program Files\Elisa\Avustaja\Elisa.exe"
O4 - HKLM\..\Run: [QuickTime Task] "C:\Kaikki muu\Quickplayer\QTTask.exe" -atboottime
O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\ctfmon.exe
O4 - HKCU\..\Run: [MsnMsgr] "C:\Program Files\Windows Live\Messenger\MsnMsgr.Exe" /background
O4 - HKUS\S-1-5-18\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'SYSTEM')
O4 - HKUS\.DEFAULT\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'Default user')
O4 - Global Startup: Adobe Reader Speed Launch.lnk = C:\Program Files\Adobe\Acrobat 7.0\Reader\reader_sl.exe
O4 - Global Startup: ATI CATALYST System Tray.lnk = C:\Program Files\ATI Technologies\ATI.ACE\CLI.exe
O8 - Extra context menu item: &Windows Live Search - res://C:\Program Files\Windows Live Toolbar\msntb.dll/search.htm
O8 - Extra context menu item: V&ie Microsoft Exceliin - res://C:\PROGRA~1\MICROS~3\Office12\EXCEL.EXE/3000
O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\jre1.6.0_07\bin\ssv.dll
O9 - Extra 'Tools' menuitem: Sun Java Console - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\jre1.6.0_07\bin\ssv.dll
O9 - Extra button: Lähetä OneNoteen - {2670000A-7350-4f3c-8081-5663EE0C6C49} - C:\PROGRA~1\MICROS~3\Office12\ONBttnIE.dll
O9 - Extra 'Tools' menuitem: Läh&etä OneNoteen - {2670000A-7350-4f3c-8081-5663EE0C6C49} - C:\PROGRA~1\MICROS~3\Office12\ONBttnIE.dll
O9 - Extra button: Research - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - C:\PROGRA~1\MICROS~3\Office12\REFIEBAR.DLL
O9 - Extra button: (no name) - {e2e2dd38-d088-4134-82b7-f2ba38496583} - C:\WINDOWS\Network Diagnostic\xpnetdiag.exe
O9 - Extra 'Tools' menuitem: @xpsp3res.dll,-20001 - {e2e2dd38-d088-4134-82b7-f2ba38496583} - C:\WINDOWS\Network Diagnostic\xpnetdiag.exe
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe
O16 - DPF: {02BF25D5-8C17-4B23-BC80-D3488ABDDC6B} (QuickTime Object) - http://appldnld.apple.com.edgesuite.net/content.info.apple.com/QuickTime/qtactivex/qtplugin.cab
O18 - Protocol: grooveLocalGWS - {88FED34C-F0CA-4636-A375-3CB6248B04CD} - C:\Program Files\Microsoft Office\Office12\GrooveSystemServices.dll
O23 - Service: Lavasoft Ad-Aware Service (aawservice) - Lavasoft - C:\Kaikki muu\Ad-aware\aawservice.exe
O23 - Service: Ati HotKey Poller - ATI Technologies Inc. - C:\WINDOWS\system32\Ati2evxx.exe
O23 - Service: FSGKHS (F-Secure Gatekeeper Handler Starter) - F-Secure Corporation - C:\Kaikki muu\Anti-Virus\fsgk32st.exe
O23 - Service: F-Secure Automatic Update Agent (FSAUA) - F-Secure Corporation - C:\Kaikki muu\FSAUA\program\fsaua.exe
O23 - Service: F-Secure Anti-Virus Firewall Daemon (FSDFWD) - F-Secure Corporation - C:\Kaikki muu\FWES\Program\fsdfwd.exe
O23 - Service: FSMA - F-Secure Corporation - C:\Kaikki muu\Common\FSMA32.EXE
O23 - Service: SmartLinkService (SLService) - - C:\WINDOWS\SYSTEM32\slserv.exe

--
End of file - 7740 bytes

 

lataa tuo uusi java löytyy tuolta ylhäältä linkki ja ohje

====================

Päivitä Malwarebytes' Anti-Malware scannaa uusi täysi ajo

===================

Kirjoita suorita luukkuun

ComboFix /u

paina ok

=============

Lataa SDFix by AndyManchesta ja tallenna se työpöydällesi.

Käynnistä koneesi vikasietotilaan:

sammuta ja käynnistä
käynnistyksen yhteydessä hakkaa F8 nappia
valitse nuolinäppäimellä vikasietotila
paina enter ja enter
valitse käyttäjätilisi
paina kyllä

Jossakin koneissa hakataan F8:sin sijasta F5:tä

" Kun vikasietotilassa, pura tiedoston SDFix.zip sisältö (SDFix kansio) työpöydällesi. Työpöydälle pitäisi ilmestyä kansio nimeltä SDFix.
" Avaa SDFix-kansio ja tuplaklikkaa tiedostoa RunThis.bat käynnistääksesi ohjelman.
" Paina Y käynnistääksesi skriptin.
" Työkalu puhdistaa troijalaisen palvelut ja tekee myös joitakin korjauksia rekisteriin. Lopuksi se pyytää käynnistämään koneen uudelleen, "Press any key to Reboot".
" Paina mitä tahansa näppäintä ja kone käynnistyy uudelleen.
" Käynnistyminen kestää normaalia kauemmin sillä SDFix puhdistaa konetta.
" Kun kone on käynnistynyt ja työpöytä latautunut, SDFix kertoo että puhdistus on suoritettu, "Finished".
" Paina sitten mitä tahansa näppäintä sulkeaksesi skriptin ja ladataksesi pikakuvakkeet työpöydälle.
" Lopuksi avaa SDFix kansio (työpöydällä) ja kopioi & liitä tiedoston Report.txt sisältö viestiketjuusi uuden HijackThis:n lokin kera.

 

Toimenpiteet tehty. Anti-Malwaren täysi scannaus ei löytänyt mitään, mutta TAAS kesken tuon scannauksen F-Secure ilmoitti kahteen kertaan tuosta viruksesta ja oman ilmoituksensa mukaan tuhosi ne onnistuneesti, TAAS, ties kuinka monennen kerran... Erittäin suuret kiitokset sinulle jo tässä vaiheessa, nyt painun nukkumaan, ja tsekkaan vastauksesi taasen huomenissa.

Logit tässä:


SDFix: Version 1.240
Run by Etunimi Sukunimi on ke 17.12.2008 at 01:15

Microsoft Windows XP [versio 5.1.2600]
Running From: C:\Documents and Settings\Etunimi Sukunimi\Ty”p”yt„\SDFix

Checking Services :


Restoring Default Security Values
Restoring Default Hosts File

Rebooting


Checking Files :

No Trojan Files Found






Removing Temp Files

ADS Check :



Final Check :

catchme 0.3.1361.2 W2K/XP/Vista - rootkit/stealth malware detector by Gmer, http://www.gmer.net
Rootkit scan 2008-12-17 01:23:45
Windows 5.1.2600 Service Pack 3 NTFS

scanning hidden processes ...

scanning hidden services & system hive ...

[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\sptd\Cfg]
"s0"=dword:2e59e14a
"s1"=dword:388c6c86
"s2"=dword:4750686b
"h0"=dword:00000001

[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\sptd\Cfg\19659239224E364682FA4BAF72C53EA4]
"p0"="C:\Kaikki muu\DAEMON Tools\"
"h0"=dword:00000000
"khjeh"=hex:3a,0f,86,48,e1,48,fb,96,dd,d8,dd,c9,54,ca,30,9f,bb,60,d8,89,f2,..

[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\sptd\Cfg\19659239224E364682FA4BAF72C53EA4\00000001]
"a0"=hex:20,01,00,00,96,47,a9,d5,af,2f,f0,f5,92,93,37,2f,86,9c,ce,25,58,..
"khjeh"=hex:29,8b,70,ff,23,22,29,81,69,ea,36,98,1b,be,ae,2b,df,ab,46,cd,48,..

[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\sptd\Cfg\19659239224E364682FA4BAF72C53EA4\00000001\0Jf40]
"khjeh"=hex:81,0e,60,c7,9a,04,73,72,00,6b,8f,32,8f,04,5f,db,55,06,d4,20,a5,..
[HKEY_LOCAL_MACHINE\SYSTEM\ControlSet002\Services\sptd\Cfg\19659239224E364682FA4BAF72C53EA4]
"p0"="C:\Kaikki muu\DAEMON Tools\"
"h0"=dword:00000000
"khjeh"=hex:3a,0f,86,48,e1,48,fb,96,dd,d8,dd,c9,54,ca,30,9f,bb,60,d8,89,f2,..

[HKEY_LOCAL_MACHINE\SYSTEM\ControlSet002\Services\sptd\Cfg\19659239224E364682FA4BAF72C53EA4\00000001]
"a0"=hex:20,01,00,00,96,47,a9,d5,af,2f,f0,f5,92,93,37,2f,86,9c,ce,25,58,..
"khjeh"=hex:29,8b,70,ff,23,22,29,81,69,ea,36,98,1b,be,ae,2b,df,ab,46,cd,48,..

[HKEY_LOCAL_MACHINE\SYSTEM\ControlSet002\Services\sptd\Cfg\19659239224E364682FA4BAF72C53EA4\00000001\0Jf40]
"khjeh"=hex:81,0e,60,c7,9a,04,73,72,00,6b,8f,32,8f,04,5f,db,55,06,d4,20,a5,..

scanning hidden registry entries ...

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Prefetcher]
"TracesProcessed"=dword:00000196

scanning hidden files ...

scan completed successfully
hidden processes: 0
hidden services: 0
hidden files: 0


Remaining Services :




Authorized Application Key Export:

[HKEY_LOCAL_MACHINE\system\currentcontrolset\services\sharedaccess\parameters\firewallpolicy\standardprofile\authorizedapplications\list]
"%windir%\\system32\\sessmgr.exe"="%windir%\\system32\\sessmgr.exe:*:enabledxpsp2res.dll,-22019"
"C:\\Program Files\\Messenger\\Msmsgs.exe"="C:\\Program Files\\Messenger\\Msmsgs.exe:*:Enabled:Windows Messenger"
"C:\\Program Files\\Elisa\\Avustaja\\Elisa.exe"="C:\\Program Files\\Elisa\\Avustaja\\Elisa.exe:*:Enabled:Elisa Avustaja"
"%windir%\\Network Diagnostic\\xpnetdiag.exe"="%windir%\\Network Diagnostic\\xpnetdiag.exe:*:Enabledxpsp3res.dll,-20000"
"C:\\Program Files\\Windows Live\\Messenger\\msnmsgr.exe"="C:\\Program Files\\Windows Live\\Messenger\\msnmsgr.exe:*:Enabled:Windows Live Messenger"
"C:\\Program Files\\Windows Live\\Messenger\\livecall.exe"="C:\\Program Files\\Windows Live\\Messenger\\livecall.exe:*:Enabled:Windows Live Messenger (Phone)"
"C:\\Program Files\\Microsoft Office\\Office12\\OUTLOOK.EXE"="C:\\Program Files\\Microsoft Office\\Office12\\OUTLOOK.EXE:*:Enabled:Microsoft Office Outlook"
"C:\\Program Files\\Microsoft Office\\Office12\\GROOVE.EXE"="C:\\Program Files\\Microsoft Office\\Office12\\GROOVE.EXE:*:Enabled:Microsoft Office Groove"
"C:\\Program Files\\Microsoft Office\\Office12\\ONENOTE.EXE"="C:\\Program Files\\Microsoft Office\\Office12\\ONENOTE.EXE:*:Enabled:Microsoft Office OneNote"
"C:\\Kaikki muu\\Torrent\\uTorrent.exe"="C:\\Kaikki muu\\Torrent\\uTorrent.exe:*:Enabled:æTorrent"

[HKEY_LOCAL_MACHINE\system\currentcontrolset\services\sharedaccess\parameters\firewallpolicy\domainprofile\authorizedapplications\list]
"%windir%\\system32\\sessmgr.exe"="%windir%\\system32\\sessmgr.exe:*:enabledxpsp2res.dll,-22019"
"%windir%\\Network Diagnostic\\xpnetdiag.exe"="%windir%\\Network Diagnostic\\xpnetdiag.exe:*:Enabledxpsp3res.dll,-20000"
"C:\\Program Files\\Windows Live\\Messenger\\msnmsgr.exe"="C:\\Program Files\\Windows Live\\Messenger\\msnmsgr.exe:*:Enabled:Windows Live Messenger"
"C:\\Program Files\\Windows Live\\Messenger\\livecall.exe"="C:\\Program Files\\Windows Live\\Messenger\\livecall.exe:*:Enabled:Windows Live Messenger (Phone)"

Remaining Files :



Files with Hidden Attributes :


Finished!





Logfile of Trend Micro HijackThis v2.0.2
Scan saved at 1:30:40, on 17.12.2008
Platform: Windows XP SP3 (WinNT 5.01.2600)
MSIE: Internet Explorer v7.00 (7.00.6000.16762)
Boot mode: Normal

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\Ati2evxx.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\Kaikki muu\Ad-aware\aawservice.exe
C:\WINDOWS\system32\Ati2evxx.exe
C:\WINDOWS\Explorer.EXE
C:\WINDOWS\system32\spoolsv.exe
C:\Kaikki muu\Anti-Virus\fsgk32st.exe
C:\Kaikki muu\Common\FSMA32.EXE
C:\Kaikki muu\Anti-Virus\FSGK32.EXE
C:\Kaikki muu\Common\FSMB32.EXE
C:\WINDOWS\system32\slserv.exe
C:\Kaikki muu\Common\FCH32.EXE
C:\Kaikki muu\Common\FAMEH32.EXE
C:\Kaikki muu\Anti-Virus\fsqh.exe
C:\Kaikki muu\FSAUA\program\fsaua.exe
C:\Kaikki muu\FWES\Program\fsdfwd.exe
C:\Kaikki muu\Anti-Virus\fssm32.exe
C:\WINDOWS\System32\svchost.exe
C:\Kaikki muu\Anti-Virus\fsav32.exe
C:\Kaikki muu\FSAUA\program\fsus.exe
C:\WINDOWS\system32\notepad.exe
C:\Program Files\ATI Technologies\ATI.ACE\cli.exe
C:\WINDOWS\SOUNDMAN.EXE
C:\Program Files\Synaptics\SynTP\SynTPLpr.exe
C:\Program Files\Synaptics\SynTP\SynTPEnh.exe
C:\Program Files\CyberLink\PowerDVD\PDVDServ.exe
C:\Kaikki muu\Common\FSM32.EXE
C:\Kaikki muu\FSGUI\ispnews.exe
C:\Kaikki muu\DAEMON Tools\daemon.exe
C:\Program Files\Microsoft Office\Office12\GrooveMonitor.exe
C:\Program Files\Elisa\Avustaja\Elisa.exe
C:\Kaikki muu\FSGUI\fsguidll.exe
C:\WINDOWS\system32\ctfmon.exe
C:\Program Files\Windows Live\Messenger\MsnMsgr.Exe
C:\Program Files\Adobe\Acrobat 7.0\Reader\reader_sl.exe
C:\Program Files\ATI Technologies\ATI.ACE\CLI.exe
C:\Program Files\Mozilla Firefox\firefox.exe
C:\Program Files\Windows Live\Messenger\usnsvc.exe
C:\Program Files\ATI Technologies\ATI.ACE\cli.exe
C:\Kaikki muu\Hijack\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.bsplayer-search.com/startpage
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://go.microsoft.com/fwlink/?LinkId=69157
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://go.microsoft.com/fwlink/?LinkId=54896
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = http://go.microsoft.com/fwlink/?LinkId=54896
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Linkit
O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Program Files\Adobe\Acrobat 7.0\ActiveX\AcroIEHelper.dll
O2 - BHO: Groove GFS Browser Helper - {72853161-30C5-4D22-B7F9-0BBC1D38A37E} - C:\Program Files\Microsoft Office\Office12\GrooveShellExtensions.dll
O2 - BHO: SSVHelper Class - {761497BB-D6F0-462C-B6EB-D4DAF1D92D43} - C:\Program Files\Java\jre1.6.0_07\bin\ssv.dll
O2 - BHO: (no name) - {7E853D72-626A-48EC-A868-BA8D5E23E045} - (no file)
O2 - BHO: Windows Liven kirjautumisapuohjelma - {9030D464-4C02-4ABF-8ECC-5164760863C6} - C:\Program Files\Common Files\Microsoft Shared\Windows Live\WindowsLiveLogin.dll
O2 - BHO: Windows Live Toolbar Helper - {BDBD1DAD-C946-4A17-ADC1-64B5B4FF55D0} - C:\Program Files\Windows Live Toolbar\msntb.dll
O2 - BHO: Elisa Avustaja Plugin - {DB87CDE1-EF9C-44EB-A42F-6D0B3C72C516} - C:\Program Files\Elisa\Avustaja\IEFixItNowPlugin.dll
O3 - Toolbar: Windows Live Toolbar - {BDAD1DAD-C946-4A17-ADC1-64B5B4FF55D0} - C:\Program Files\Windows Live Toolbar\msntb.dll
O4 - HKLM\..\Run: [High Definition Audio -ominaisuussivun pikakuvake] HDAShCut.exe
O4 - HKLM\..\Run: [ATICCC] "C:\Program Files\ATI Technologies\ATI.ACE\cli.exe" runtime
O4 - HKLM\..\Run: [SoundMan] SOUNDMAN.EXE
O4 - HKLM\..\Run: [AlcWzrd] ALCWZRD.EXE
O4 - HKLM\..\Run: [SynTPLpr] C:\Program Files\Synaptics\SynTP\SynTPLpr.exe
O4 - HKLM\..\Run: [SynTPEnh] C:\Program Files\Synaptics\SynTP\SynTPEnh.exe
O4 - HKLM\..\Run: [RemoteControl] "C:\Program Files\CyberLink\PowerDVD\PDVDServ.exe"
O4 - HKLM\..\Run: [SMSERIAL] sm56hlpr.exe
O4 - HKLM\..\Run: [InstantOn] "C:\Program Files\CyberLink\PowerCinema Linux\ion_install.exe" /c
O4 - HKLM\..\Run: [F-Secure Manager] "C:\Kaikki muu\Common\FSM32.EXE" /splash
O4 - HKLM\..\Run: [F-Secure TNB] "C:\Kaikki muu\FSGUI\TNBUtil.exe" /CHECKALL /WAITFORSW
O4 - HKLM\..\Run: [News Service] "C:\Kaikki muu\FSGUI\ispnews.exe"
O4 - HKLM\..\Run: [WinampAgent] "C:\Kaikki muu\Winamp\winampa.exe"
O4 - HKLM\..\Run: [DAEMON Tools] "C:\Kaikki muu\DAEMON Tools\daemon.exe" -lang 1033
O4 - HKLM\..\Run: [GrooveMonitor] "C:\Program Files\Microsoft Office\Office12\GrooveMonitor.exe"
O4 - HKLM\..\Run: [Elisa Avustaja] "C:\Program Files\Elisa\Avustaja\Elisa.exe"
O4 - HKLM\..\Run: [QuickTime Task] "C:\Kaikki muu\Quickplayer\QTTask.exe" -atboottime
O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\ctfmon.exe
O4 - HKCU\..\Run: [MsnMsgr] "C:\Program Files\Windows Live\Messenger\MsnMsgr.Exe" /background
O4 - HKUS\S-1-5-18\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'SYSTEM')
O4 - HKUS\.DEFAULT\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'Default user')
O4 - Global Startup: Adobe Reader Speed Launch.lnk = C:\Program Files\Adobe\Acrobat 7.0\Reader\reader_sl.exe
O4 - Global Startup: ATI CATALYST System Tray.lnk = C:\Program Files\ATI Technologies\ATI.ACE\CLI.exe
O8 - Extra context menu item: &Windows Live Search - res://C:\Program Files\Windows Live Toolbar\msntb.dll/search.htm
O8 - Extra context menu item: V&ie Microsoft Exceliin - res://C:\PROGRA~1\MICROS~3\Office12\EXCEL.EXE/3000
O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\jre1.6.0_07\bin\ssv.dll
O9 - Extra 'Tools' menuitem: Sun Java Console - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\jre1.6.0_07\bin\ssv.dll
O9 - Extra button: Lähetä OneNoteen - {2670000A-7350-4f3c-8081-5663EE0C6C49} - C:\PROGRA~1\MICROS~3\Office12\ONBttnIE.dll
O9 - Extra 'Tools' menuitem: Läh&etä OneNoteen - {2670000A-7350-4f3c-8081-5663EE0C6C49} - C:\PROGRA~1\MICROS~3\Office12\ONBttnIE.dll
O9 - Extra button: Research - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - C:\PROGRA~1\MICROS~3\Office12\REFIEBAR.DLL
O9 - Extra button: (no name) - {e2e2dd38-d088-4134-82b7-f2ba38496583} - C:\WINDOWS\Network Diagnostic\xpnetdiag.exe
O9 - Extra 'Tools' menuitem: @xpsp3res.dll,-20001 - {e2e2dd38-d088-4134-82b7-f2ba38496583} - C:\WINDOWS\Network Diagnostic\xpnetdiag.exe
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe
O16 - DPF: {02BF25D5-8C17-4B23-BC80-D3488ABDDC6B} (QuickTime Object) - http://appldnld.apple.com.edgesuite.net/content.info.apple.com/QuickTime/qtactivex/qtplugin.cab
O18 - Protocol: grooveLocalGWS - {88FED34C-F0CA-4636-A375-3CB6248B04CD} - C:\Program Files\Microsoft Office\Office12\GrooveSystemServices.dll
O23 - Service: Lavasoft Ad-Aware Service (aawservice) - Lavasoft - C:\Kaikki muu\Ad-aware\aawservice.exe
O23 - Service: Ati HotKey Poller - ATI Technologies Inc. - C:\WINDOWS\system32\Ati2evxx.exe
O23 - Service: FSGKHS (F-Secure Gatekeeper Handler Starter) - F-Secure Corporation - C:\Kaikki muu\Anti-Virus\fsgk32st.exe
O23 - Service: F-Secure Automatic Update Agent (FSAUA) - F-Secure Corporation - C:\Kaikki muu\FSAUA\program\fsaua.exe
O23 - Service: F-Secure Anti-Virus Firewall Daemon (FSDFWD) - F-Secure Corporation - C:\Kaikki muu\FWES\Program\fsdfwd.exe
O23 - Service: FSMA - F-Secure Corporation - C:\Kaikki muu\Common\FSMA32.EXE
O23 - Service: SmartLinkService (SLService) - - C:\WINDOWS\SYSTEM32\slserv.exe

--
End of file - 7773 bytes

 

scannaa hjt:llä merkkaa paina Fix checked

O2 - BHO: (no name) - {7E853D72-626A-48EC-A868-BA8D5E23E045} - (no file)
O4 - HKLM\..\Run: [QuickTime Task] "C:\Kaikki muu\Quickplayer\QTTask.exe" -atboottime

========================

Lataa Atribunen ATF Cleaner

Ohjeet;

Tupla-klikkaa ATF-Cleaner.exe käynnistääksesi ohjelman.Main:n alla valitse: Select All
Klikkaa Empty Selected valintaa.
Jos käytät FireFoxia selaimenasi Klikkaa Firefox yläpuolelta ja valitse: Select All
Klikkaa Empty Selected valintaa.
HUOMIO: Jos haluaisit pitää tallennetut salasanasi, klikkaa No kun se sitä kysyy.
Jos käytät Operaa selaimenasiKlikkaa Opera yläpuolelta ja valitse: Select All
Klikkaa Empty Selected valintaa taas.
HUOMIO: Jos haluaisit pitää tallennetut salasanasi, klikkaa No kun se sitä kysyy.
Klikkaa Exit päävalikosta sulkeaksesi ohjelman.
Teknistä tukea tulee jos tupla-klikkaat sähköpostiosoitetta joka sijaitsee jokaisen menun alapuolella kyseisessä työkalussa. (Huomatkaa että se tuki on sitten englanniksi)

===================

Scannaa koneesi Kaspersky Online Scannerin

Ohjelman käynnistyessä kysytään sallitaanko ActiveX -komponentin asentamisen Kasperskyltä, klikkaa Kyllä.
" Ohjelma käynnistyy ja aloittaa viimeisimpien tunnistetiedostojen lataamisen.
" Kun skanneri on asennettu ja tunnistetiedot ladattu, klikkaa Next.
" Klikkaa nyt asetuksia, Scan Settings
" Tarkista asetuksista, että seuraavat ovat valittuina:
o Scan using the following Anti-Virus database:
+ Extended (Jos valittavissa, muuten valitse Standard)
o Scan Options:
+ Scan Archives
+ Scan Mail Bases
" Klikkaa OK
" Nyt valitse "select a target to scan" otsikon alta Oma Tietokone, My Computer
" Skannaus vie aikaa, joten ole kärsivällinen. Kun skannaus on valmis saat ilmoituksen, jos koneesi on saastunut.
" Klikkaa nyt Save as Text-painiketta.
" Tallenna tiedosto työpöydällesi.
" Mikäli haluat jatkaa asian käsittelyä foorumissa niin kopioi tiedoston sisältö viestiisi.

 

Ylläolevat toimenpiteet tehty ja tässä Kasperskyn logi. Miten tuon viruksen saa tuhottua, Kaspersky ohjelma kun ei ilmeisesti tarjoa mahdollisuutta sitä tuhota?

--------------------------------------------------------------------------------
KASPERSKY ONLINE SCANNER 7 REPORT
Wednesday, December 17, 2008
Operating System: Microsoft Windows XP Home Edition Service Pack 3 (build 2600)
Kaspersky Online Scanner 7 version: 7.0.25.0
Program database last update: Wednesday, December 17, 2008 11:56:29
Records in database: 1468794
--------------------------------------------------------------------------------

Scan settings:
Scan using the following database: extended
Scan archives: yes
Scan mail databases: yes

Scan area - My Computer:
C:\
D:\
E:\

Scan statistics:
Files scanned: 56454
Threat name: 1
Infected objects: 1
Suspicious objects: 0
Duration of the scan: 01:52:43


File name / Threat name / Threats count
C:\WINDOWS\system32\rC2p8HLk.0ll Infected: Trojan.Win32.Agent.arzx 1

The selected area was scanned.

 

Nyt tuon punaisella merkityn Kopioit / liität Tyhjään muistioon
käynnistä nappi >apuohjelmat > muistio

File::
c:\windows\system32\rC2p8HLk.0ll

sittten vasemmasta ylä reunasta tiedosto > tallenna nimellä

Kohde: työpöytä

Tiedostonimi: CFScript.txt

Tallennusmuoto: kaikki tiedostot

sitten raahaat sen kuvan osoittamalla tavalla. Työpöydällä Combofix.exe:een ja pudotat sen sinne.



combofix työstää tulee sininen taulu paina numeroa 1 ja enter

Laita tuleva loki tänne.

Sammutat ja käynnistät koneen

 

Tässäpä uusin Combofix:n logi. Ei suostunut jostain syystä toiminaan normaalisti niin ajoin sen vikasietotilassa, siellä meni ok.


ComboFix 08-12-16.03 - Etunimi Sukunimi 2008-12-17 21:26:24.6 - NTFSx86 MINIMAL
Microsoft Windows XP Home Edition 5.1.2600.3.1252.1.1035.18.1023.822 [GMT 2:00]
Sijainti: c:\documents and settings\Etunimi Sukunimi\Työpöytä\ComboFix.exe
Käytetyt komentorivivalitsimet :: c:\documents and settings\Etunimi Sukunimi\Työpöytä\CFScript.txt

FILE ::
c:\windows\system32\rC2p8HLk.0ll
.

(((((((((((((((((((((((((((((((((((((( Muut poistot ))))))))))))))))))))))))))))))))))))))))))))))))))))))))
.

c:\windows\system32\rC2p8HLk.0ll

.
((((( Tiedostot, jotka on luotu seuraavalla aikavälillä: 2008-11-17 to 2008-12-17 )))))))))))))))))
.

2008-12-17 01:15 . 2008-12-17 01:15 579,072 --a--c--- c:\windows\system32\dllcache\user32.dll
2008-12-17 01:14 . 2008-12-17 01:14 <KANSIO> d-------- c:\windows\ERUNT
2008-12-16 20:05 . 2008-12-03 19:52 38,496 --a------ c:\windows\system32\drivers\mbamswissarmy.sys
2008-12-16 20:05 . 2008-12-03 19:52 15,504 --a------ c:\windows\system32\drivers\mbam.sys
2008-12-16 16:50 . 2008-12-16 16:50 <KANSIO> d-------- c:\documents and settings\Jõrjestelmõnvalvoja
2008-12-16 00:45 . 2008-12-16 00:46 <KANSIO> d-------- c:\documents and settings\All Users\Application Data\Lavasoft
2008-12-16 00:44 . 2008-12-16 00:44 <KANSIO> d-------- c:\program files\Common Files\Wise Installation Wizard
2008-12-15 22:49 . 2006-03-23 10:41 <KANSIO> d--h----- c:\documents and settings\Järjestelmänvalvoja\Verkkoympäristö
2008-12-15 22:49 . 2006-03-23 10:41 <KANSIO> d--h----- c:\documents and settings\Järjestelmänvalvoja\Verkkoympäristö
2008-12-15 22:49 . 2006-03-23 10:41 <KANSIO> d-------- c:\documents and settings\Järjestelmänvalvoja\Työpöytä
2008-12-15 22:49 . 2006-03-23 10:41 <KANSIO> d-------- c:\documents and settings\Järjestelmänvalvoja\Työpöytä
2008-12-15 22:49 . 2006-03-23 10:41 <KANSIO> d--h----- c:\documents and settings\Järjestelmänvalvoja\Tulostinympäristö
2008-12-15 22:49 . 2006-03-23 10:41 <KANSIO> d--h----- c:\documents and settings\Järjestelmänvalvoja\Tulostinympäristö
2008-12-15 22:49 . 2006-03-23 08:48 <KANSIO> dr------- c:\documents and settings\Järjestelmänvalvoja\Suosikit
2008-12-15 22:49 . 2006-03-23 08:48 <KANSIO> dr------- c:\documents and settings\Järjestelmänvalvoja\Suosikit
2008-12-15 22:49 . 2006-03-23 08:48 <KANSIO> dr------- c:\documents and settings\Järjestelmänvalvoja\Omat tiedostot
2008-12-15 22:49 . 2006-03-23 08:48 <KANSIO> dr------- c:\documents and settings\Järjestelmänvalvoja\Omat tiedostot
2008-12-15 22:49 . 2006-03-23 08:43 <KANSIO> d--h----- c:\documents and settings\Järjestelmänvalvoja\Mallit
2008-12-15 22:49 . 2006-03-23 08:43 <KANSIO> d--h----- c:\documents and settings\Järjestelmänvalvoja\Mallit
2008-12-15 22:49 . 2006-03-23 10:41 <KANSIO> dr------- c:\documents and settings\Järjestelmänvalvoja\Käynnistä-valikko
2008-12-15 22:49 . 2006-03-23 10:41 <KANSIO> dr------- c:\documents and settings\Järjestelmänvalvoja\Käynnistä-valikko
2008-12-15 22:49 . 2006-03-23 09:31 <KANSIO> d-------- c:\documents and settings\Järjestelmänvalvoja\Application Data\ATI
2008-12-15 22:49 . 2008-12-15 22:49 <KANSIO> d-------- c:\documents and settings\Järjestelmänvalvoja
2008-12-15 22:11 . 2008-12-15 22:11 <KANSIO> d-------- c:\documents and settings\Etunimi Sukunimi\Application Data\Malwarebytes
2008-12-15 22:11 . 2008-12-15 22:11 <KANSIO> d-------- c:\documents and settings\All Users\Application Data\Malwarebytes
2008-12-15 21:28 . 2008-12-15 21:28 <KANSIO> dr------- c:\documents and settings\LocalService\Suosikit
2008-12-06 23:48 . 2008-12-16 00:38 <KANSIO> d-------- c:\program files\BS.Player ControlBar
2008-12-06 23:48 . 2008-12-06 23:48 <KANSIO> d-------- c:\documents and settings\Etunimi Sukunimi\Application Data\BSplayer Pro
2008-12-06 18:40 . 2008-12-14 21:10 <KANSIO> d-------- c:\documents and settings\Etunimi Sukunimi\Application Data\uTorrent
2008-12-04 01:17 . 2008-12-04 01:21 <KANSIO> d-------- c:\windows\system32\Adobe
2008-12-03 18:15 . 2008-12-03 18:15 <KANSIO> d-------- c:\program files\Common Files\Apple
2008-12-03 18:14 . 2008-12-03 18:14 <KANSIO> d-------- c:\documents and settings\All Users\Application Data\Apple Computer
2008-12-03 18:13 . 2008-12-03 18:13 <KANSIO> d-------- c:\program files\Apple Software Update
2008-12-03 18:13 . 2008-12-03 18:13 <KANSIO> d-------- c:\documents and settings\All Users\Application Data\Apple
2008-12-03 18:10 . 2008-12-03 18:10 <KANSIO> d-------- c:\program files\QuickTime
2008-11-28 22:42 . 2008-11-28 22:42 <KANSIO> d--h----- c:\windows\msdownld.tmp
2008-11-28 22:32 . 2007-04-17 11:32 2,455,488 -----c--- c:\windows\system32\dllcache\ieapfltr.dat
2008-11-28 22:32 . 2007-03-08 07:10 1,011,712 -----c--- c:\windows\system32\dllcache\ieframe.dll.mui
2008-11-28 22:32 . 2008-10-16 22:18 459,264 -----c--- c:\windows\system32\dllcache\msfeeds.dll
2008-11-28 22:32 . 2008-10-16 22:18 267,776 -----c--- c:\windows\system32\dllcache\iertutil.dll
2008-11-28 22:32 . 2008-10-16 22:18 52,224 -----c--- c:\windows\system32\dllcache\msfeedsbs.dll
2008-11-28 22:32 . 2008-10-16 15:11 13,824 -----c--- c:\windows\system32\dllcache\ieudinit.exe
2008-11-28 22:31 . 2008-10-16 22:18 6,066,176 -----c--- c:\windows\system32\dllcache\ieframe.dll
2008-11-28 22:31 . 2008-10-16 22:18 383,488 -----c--- c:\windows\system32\dllcache\ieapfltr.dll
2008-11-28 22:31 . 2008-10-16 22:18 63,488 -----c--- c:\windows\system32\dllcache\icardie.dll
2008-11-28 22:29 . 2008-11-28 22:29 <KANSIO> d-------- c:\program files\Windows Live Toolbar

.
(((((((((((((((((((((((((((((((((((( Find3M-raportti ))))))))))))))))))))))))))))))))))))))))))))))))))))))
.
2008-12-16 19:09 --------- d-----w c:\program files\Java
2008-12-16 16:24 96,384 ----a-w c:\windows\system32\drivers\sptd7789.sys
2008-12-15 22:38 --------- d--h--w c:\program files\InstallShield Installation Information
2008-12-13 10:08 --------- d-----w c:\documents and settings\All Users\Application Data\Microsoft Help
2008-11-28 20:47 --------- d-----w c:\documents and settings\Etunimi Sukunimi\Application Data\codeblocks
2008-11-01 09:29 --------- d-----w c:\documents and settings\Etunimi Sukunimi\Application Data\SSH
2008-10-24 11:21 455,296 ----a-w c:\windows\system32\drivers\mrxsmb.sys
2008-10-23 21:06 --------- d-----w c:\documents and settings\Etunimi Sukunimi\Application Data\PSpad
2008-10-23 12:38 286,720 ----a-w c:\windows\system32\gdi32.dll
2008-10-21 18:49 --------- d-----w c:\program files\Microsoft Silverlight
2008-10-16 20:18 826,368 ----a-w c:\windows\system32\wininet.dll
2008-10-16 12:13 202,776 ----a-w c:\windows\system32\wuweb.dll
2008-10-16 12:13 1,809,944 ----a-w c:\windows\system32\wuaueng.dll
2008-10-16 12:12 561,688 ----a-w c:\windows\system32\wuapi.dll
2008-10-16 12:12 323,608 ----a-w c:\windows\system32\wucltui.dll
2008-10-16 12:09 92,696 ----a-w c:\windows\system32\cdm.dll
2008-10-16 12:09 51,224 ----a-w c:\windows\system32\wuauclt.exe
2008-10-16 12:09 43,544 ----a-w c:\windows\system32\wups2.dll
2008-10-16 12:08 34,328 ----a-w c:\windows\system32\wups.dll
2008-10-16 12:06 268,648 ----a-w c:\windows\system32\mucltui.dll
2008-10-16 12:06 208,744 ----a-w c:\windows\system32\muweb.dll
2008-10-03 10:03 247,326 ----a-w c:\windows\system32\strmdll.dll
.

(((((((((((((((((((((((((((((( Rekisterin käynnistyskohteet )))))))))))))))))))))))))))))))))))))))))))))
.
.
*Huom* Tyhjiä arvoja ja laillisia oletusarvoja ei näytetä
REGEDIT4

[HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
"CTFMON.EXE"="c:\windows\system32\ctfmon.exe" [2008-04-14 15360]
"MsnMsgr"="c:\program files\Windows Live\Messenger\MsnMsgr.Exe" [2007-10-18 5724184]

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
"ATICCC"="c:\program files\ATI Technologies\ATI.ACE\cli.exe" [2005-08-12 45056]
"SynTPLpr"="c:\program files\Synaptics\SynTP\SynTPLpr.exe" [2005-03-18 98393]
"SynTPEnh"="c:\program files\Synaptics\SynTP\SynTPEnh.exe" [2005-03-18 688217]
"RemoteControl"="c:\program files\CyberLink\PowerDVD\PDVDServ.exe" [2005-04-15 45056]
"InstantOn"="c:\program files\CyberLink\PowerCinema Linux\ion_install.exe" [2005-05-11 93640]
"F-Secure Manager"="c:\kaikki muu\Common\FSM32.EXE" [2008-02-13 184800]
"F-Secure TNB"="c:\kaikki muu\FSGUI\TNBUtil.exe" [2008-02-13 741800]
"News Service"="c:\kaikki muu\FSGUI\ispnews.exe" [2005-05-31 356352]
"DAEMON Tools"="c:\kaikki muu\DAEMON Tools\daemon.exe" [2005-12-10 133016]
"GrooveMonitor"="c:\program files\Microsoft Office\Office12\GrooveMonitor.exe" [2007-08-24 33648]
"Elisa Avustaja"="c:\program files\Elisa\Avustaja\Elisa.exe" [2008-09-30 189768]
"High Definition Audio -ominaisuussivun pikakuvake"="HDAShCut.exe" [2005-01-07 c:\windows\system32\HdAShCut.exe]
"SoundMan"="SOUNDMAN.EXE" [2005-08-01 c:\windows\SOUNDMAN.EXE]
"AlcWzrd"="ALCWZRD.EXE" [2005-08-01 c:\windows\ALCWZRD.EXE]
"SMSERIAL"="sm56hlpr.exe" [2005-08-01 c:\windows\sm56hlpr.exe]

[HKEY_USERS\.DEFAULT\Software\Microsoft\Windows\CurrentVersion\Run]
"CTFMON.EXE"="c:\windows\system32\CTFMON.EXE" [2008-04-14 15360]

c:\documents and settings\All Users\K„ynnist„-valikko\Ohjelmat\K„ynnistys\
Adobe Reader Speed Launch.lnk - c:\program files\Adobe\Acrobat 7.0\Reader\reader_sl.exe [2005-09-23 29696]
ATI CATALYST System Tray.lnk - c:\program files\ATI Technologies\ATI.ACE\CLI.exe [2005-08-12 45056]

[HKLM\~\services\sharedaccess\parameters\firewallpolicy\standardprofile]
"EnableFirewall"= 0 (0x0)

[HKLM\~\services\sharedaccess\parameters\firewallpolicy\standardprofile\AuthorizedApplications\List]
"%windir%\\system32\\sessmgr.exe"=
"c:\\Program Files\\Messenger\\Msmsgs.exe"=
"c:\\Program Files\\Elisa\\Avustaja\\Elisa.exe"=
"%windir%\\Network Diagnostic\\xpnetdiag.exe"=
"c:\\Program Files\\Windows Live\\Messenger\\msnmsgr.exe"=
"c:\\Program Files\\Windows Live\\Messenger\\livecall.exe"=
"c:\\Program Files\\Microsoft Office\\Office12\\OUTLOOK.EXE"=
"c:\\Program Files\\Microsoft Office\\Office12\\GROOVE.EXE"=
"c:\\Program Files\\Microsoft Office\\Office12\\ONENOTE.EXE"=
"c:\\Kaikki muu\\Torrent\\uTorrent.exe"=

R0 FSFW;F-Secure Firewall Driver;c:\windows\system32\drivers\fsdfw.sys [2008-05-07 51072]
S0 yjiz;yjiz;c:\windows\system32\drivers\vahaqp.sys []
S1 F-Secure HIPS;F-Secure HIPS;\??\c:\kaikki muu\HIPS\fshs.sys [2008-05-07 41184]
S3 F-Secure Gatekeeper;F-Secure Gatekeeper;\??\c:\kaikki muu\Anti-Virus\minifilter\fsgk.sys [2008-05-07 63912]
S3 Slazldrv;SmartLink AMR_PCI Driver;c:\windows\system32\DRIVERS\SLDRV\slazldrv.sys [2006-03-23 230448]
S4 F-Secure Filter;F-Secure File System Filter;\??\c:\kaikki muu\Anti-Virus\Win2K\FSfilter.sys [2008-05-07 41640]
S4 F-Secure Recognizer;F-Secure File System Recognizer;\??\c:\kaikki muu\Anti-Virus\Win2K\FSrec.sys [2008-05-07 27048]

[HKEY_CURRENT_USER\software\microsoft\windows\currentversion\explorer\mountpoints2\{c71064fa-391a-11dd-8d5e-0012f04f0695}]
\Shell\AutoRun\command - E:\3d.bat
.
'Ajoitetut tehtävät'-kansion sisältö

2008-12-13 c:\windows\Tasks\AppleSoftwareUpdate.job
- c:\program files\Apple Software Update\SoftwareUpdate.exe [2008-07-30 12:34]

2008-12-17 c:\windows\Tasks\Scheduled scanning task.job
- c:\kaikki~1\ANTI-V~1\fsav.exe [2008-02-13 12:38]

2008-12-17 c:\windows\Tasks\Tarkistetaan Windows Live -työkalurivin päivitykset.job
- c:\program files\Windows Live Toolbar\MSNTBUP.EXE [2007-10-19 11:20]
.
- - - - POISTETUT JÄMÄRIVIT - - - -

HKLM-Run-WinampAgent - c:\kaikki muu\Winamp\winampa.exe


.
------- Täydentävä tarkistus -------
.
uStart Page = hxxp://www.bsplayer-search.com/startpage
IE: &Windows Live Search - c:\program files\Windows Live Toolbar\msntb.dll/search.htm
IE: V&ie Microsoft Exceliin - c:\progra~1\MICROS~3\Office12\EXCEL.EXE/3000
LSP: c:\kaikki muu\FSPS\program\fslsp.dll
FF - ProfilePath - c:\documents and settings\Etunimi Sukunimi\Application Data\Mozilla\Firefox\Profiles\aqg534ag.default\
FF - prefs.js: browser.startup.homepage - www.google.fi
FF - plugin: c:\kaikki muu\Quickplayer\Plugins\npqtplugin.dll
FF - plugin: c:\kaikki muu\Quickplayer\Plugins\npqtplugin2.dll
FF - plugin: c:\kaikki muu\Quickplayer\Plugins\npqtplugin3.dll
FF - plugin: c:\kaikki muu\Quickplayer\Plugins\npqtplugin4.dll
FF - plugin: c:\kaikki muu\Quickplayer\Plugins\npqtplugin5.dll
FF - plugin: c:\kaikki muu\Quickplayer\Plugins\npqtplugin6.dll
FF - plugin: c:\kaikki muu\Quickplayer\Plugins\npqtplugin7.dll
FF - plugin: c:\program files\Microsoft Silverlight\2.0.31005.0\npctrl.dll
.

**************************************************************************

catchme 0.3.1367 W2K/XP/Vista - rootkit/stealth malware detector by Gmer, http://www.gmer.net
Rootkit scan 2008-12-17 21:28:24
Windows 5.1.2600 Service Pack 3 NTFS

tarkistaa piilotettuja prosesseja ...

tarkistaa piilotettuja käynnistysarvoja ...

tarkistaa piilotettuja tiedostoja ...

tarkistus on valmis
piilotetut tiedostot: 0

**************************************************************************
.
--------------------- Prosesseihin ladatut DLLt ---------------------

- - - - - - - > 'winlogon.exe'(288)
c:\windows\system32\Ati2evxx.dll
.
Valmistumisajankohta: 2008-12-17 21:29:22
ComboFix-quarantined-files.txt 2008-12-17 19:28:48
ComboFix2.txt 2008-12-16 21:26:27

Ennen ajoa: 46 204 772 352 tavua vapaana
Ajon jälkeen: 46,247,337,984 tavua vapaana

185 --- E O F --- 2008-12-13 10:08:18

 

Kirjoita suorita lukkuun

ComboFix /u

paina ok

============

Lataa OTMoveIt
OTMoveIt ja tallenna se työpöydällesi.

Tuplaklikkaa OTMoveIt.exe.
Klikkaa CleanUp!.
Valitse Yes kun kysytään "Begin cleanup Process?".
Jos pyydetään, että saako koneen käynnistää uudeelleen, valitse Yes.OTMoveIt poistaa itsensä kun se on valmis, jos näin ei käy poista se itse.

HUOM: Jos palomuurisi tai joku muu tietoturvaohjelma varoittaa, että OTMoveIt yrittää päästä nettin, niin anna sen päästä sinne.

===============

Pyyhkäse vielä atf cleanilla pääle

 

Kaikki ylläolevat on nyt tehty. Haluatko vielä jotakin logeja tutkailla?

 

no ei eikös jo loppunut se herjaus

 

Ainakaan nyt heti ei enää F-Secure herjaa löytäneensä viruksia - joten ainakin toistaiseksi kaikki hyvin. Jos vielä tulee ongelmia asian suhteen niin kirjoittelen niistä tänne.

Haluan esittää sinulle kuitenkin jo tässä vaiheessa erittäin suuret kiitokset avustasi mitä sinulta tämän ongelman suhteen sain sekä siitä että näyt jaksavan muutenkin jaksavan aktiivisesti auttaa ihmisiä hädässä tällä palstalla! Kiitos!