Eikäs otsikon mukainen virus päässyt pesiytymään anopin koneeseen ja tarvittaisiin apua sen poistossa. Escan:n mukaan virusta löytyy System restore kansiosta ja en pysty poistamaan palautus pisteitä, koska järjestelmänvalvojan salasana on hukassa. Logfile of HijackThis v1.99.1 Scan saved at 18:24:31, on 2.1.2007 Platform: Windows XP SP1 (WinNT 5.01.2600) MSIE: Internet Explorer v6.00 SP1 (6.00.2800.1106) Running processes: C:\WINDOWS\Explorer.EXE C:\WINDOWS\ATK0100\HControl.exe C:\WINDOWS\System32\Rundll32.exe C:\WINDOWS\Hsfpwcfg.exe C:\Program Files\Synaptics\SynTP\SynTPLpr.exe C:\Program Files\Synaptics\SynTP\SynTPEnh.exe C:\Program Files\ASUS\Power4 Gear\BatteryLife.exe C:\WINDOWS\ATK0100\ATKOSD.exe C:\Program Files\Microsoft AntiSpyware\gcasDtServ.exe C:\Program Files\Zone Labs\ZoneAlarm\zlclient.exe C:\WINDOWS\System32\ctfmon.exe C:\Kaspersky\mwavscan.com C:\Kaspersky\kavss.exe C:\WINDOWS\system32\notepad.exe C:\HJT\HijackThis_v1.99.1.exe R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.msn.fi/ R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://www.asus.com R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Local Page = R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Linkit O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Program Files\Adobe\Acrobat 6.0\Reader\ActiveX\AcroIEHelper.dll O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINDOWS\System32\msdxm.ocx O4 - HKLM\..\Run: [AuditMode] C:\sysprep\factory.exe -logon O4 - HKLM\..\Run: [HControl] C:\WINDOWS\ATK0100\HControl.exe O4 - HKLM\..\Run: [SiSPower] Rundll32.exe SiSPower.dll,ModeAgent O4 - HKLM\..\Run: [SoundMan] SOUNDMAN.EXE O4 - HKLM\..\Run: [Hsfpwcfg.exe] C:\WINDOWS\Hsfpwcfg.exe O4 - HKLM\..\Run: [SynTPLpr] C:\Program Files\Synaptics\SynTP\SynTPLpr.exe O4 - HKLM\..\Run: [SynTPEnh] C:\Program Files\Synaptics\SynTP\SynTPEnh.exe O4 - HKLM\..\Run: [IntelWireless] C:\Program Files\Intel\Wireless\Bin\ifrmewrk.exe /tf Intel PROSet/Wireless O4 - HKLM\..\Run: [EOUApp] C:\Program Files\Intel\Wireless\Bin\EOUWiz.exe O4 - HKLM\..\Run: [Power_Gear] C:\Program Files\ASUS\Power4 Gear\BatteryLife.exe 1 O4 - HKLM\..\Run: [Services] C:\WINDOWS\system32\A.tmp O4 - HKLM\..\Run: [gcasServ] "C:\Program Files\Microsoft AntiSpyware\gcasServ.exe" O4 - HKLM\..\Run: [Zone Labs Client] C:\Program Files\Zone Labs\ZoneAlarm\zlclient.exe O4 - HKLM\..\Run: [QuickTime Task] "C:\Program Files\QuickTime\qttask.exe" -atboottime O4 - HKLM\..\Run: [Shellapi32] svcnet.exe O4 - HKLM\..\Run: [KernelFaultCheck] %systemroot%\system32\dumprep 0 -k O4 - Global Startup: Utility Tray.lnk = C:\WINDOWS\system32\sistray.exe O4 - Global Startup: Microsoft Office.lnk = C:\Program Files\Microsoft Office\Office10\OSA.EXE O8 - Extra context menu item: Vie Microsoft E&xceliin - res://C:\PROGRA~1\MICROS~2\Office10\EXCEL.EXE/3000 O9 - Extra button: Related - {c95fe080-8f5d-11d2-a20b-00aa003c157a} - C:\WINDOWS\web\related.htm O9 - Extra 'Tools' menuitem: Show &Related Links - {c95fe080-8f5d-11d2-a20b-00aa003c157a} - C:\WINDOWS\web\related.htm O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\MSMSGS.EXE O9 - Extra 'Tools' menuitem: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\MSMSGS.EXE O14 - IERESET.INF: START_PAGE_URL=http://www.asus.com O16 - DPF: {17492023-C23A-453E-A040-C7C580BBF700} (Windows Genuine Advantage Validation Tool) - http://go.microsoft.com/fwlink/?linkid=39204 O20 - Winlogon Notify: IntelWireless - C:\Program Files\Intel\Wireless\Bin\LgNotify.dll O23 - Service: EvtEng - Intel Corporation - C:\Program Files\Intel\Wireless\Bin\EvtEng.exe O23 - Service: Mouse Button Monitor (mousebm) - Unknown owner - C:\WINDOWS\System32\mousebm.exe (file missing) O23 - Service: OwnershipProtocol - Intel Corporation - C:\Program Files\Intel\Wireless\Bin\OProtSvc.exe O23 - Service: RegSrvc - Intel Corporation - C:\Program Files\Intel\Wireless\Bin\RegSrvc.exe O23 - Service: Spectrum24 Event Monitor (S24EventMonitor) - Intel Corporation - C:\Program Files\Intel\Wireless\Bin\S24EvMon.exe O23 - Service: TrueVector Internet Monitor (vsmon) - Zone Labs, LLC - C:\WINDOWS\system32\ZONELABS\vsmon.exe
Kopioi ala ikkunan teksti notepadiin: Tallenna se työpyödällesi nimellä fix.reg tallennusmuotoon Kaikki tiedostot Tuplaklikkaa sitä ja vastaa myöntävästi kysymyksiin. Lataa tuolta poistotyökalu työpöydällesi, Älä aja sitä vielä http://securityresponse.symantec.com/avcenter/FixEsbot.exe Scannaa hijackilla ja ruksaa : O4 - HKLM\..\Run: [Services] C:\WINDOWS\system32\A.tmp O4 - HKLM\..\Run: [Shellapi32] svcnet.exe Sammuta muut ikkunat ja paina fix checked. Laita Piilotiedostot näkyviin , Ohje http://keskustelu.afterdawn.com/thread_view.cfm/248944 Aja lataamasi työkalu ja Tallenna jos se tekee lokin. Käynnistä kone vikasietotilaan, Ohje: http://www.pchell.com/support/safemode.shtml ja etsi ja poista : svcnet.exe JA C:\WINDOWS\system32\A.tmp Käynnistä kone uudelleen ja lähetä uusi hijack loki
Eli pääsin taas koneelle säätämään. Poistin HJT:llä ne kaksi rivia ja aloin ajamaan FixEsbot.exe:ä. Tässä vaiheessa homma alkoi tökkimään, kyseinen ohjelma vaatii järjestelmänvalvojan oikeudet joten poisto ei onnistu. Taitaa olla helpointa ottaa tärkeistä tiedostoista varmuuskopiot ja asentaa winukka uusiksi. Vai onko parempia ehdotuksia?
Koitas tätä : Sammuta järjestelmän palautus, Ohje: Klikkaa : >Oma tietokone >Näytä järjestelmätiedot >Järjestelmän palautaminen >Laita ruksi, Poista järjestelmän palautus käytöstä. >Ok. Lataa toi työpöydällesi. ftp://ftp.f-secure.com/anti-virus/tools/f-parite.zip Sammuta kaikki muut ohjelmat, myös virustorjunta ja palomuuri. Ota netti piuha irti Pura tiedosto ja aja se. Käynnistä kone uudelleen.
Muut onnsituivat, paitsi juuri tuon FixEsbot.exe-tiedoston ajaminen. Kokeilen uusia ohjeita varmaan huomenissa jos pääsen kyseiseen koneeseen käsiksi. Kiitoksia tähän asti saaduista neuvoista. Edit. Kiitoksia Tapiirille avusta. Päädyin lopulta asentamaan Windowsin uudelleen. Eiköhän ongelma sillä ratkennut.
