Menin ja asensin "wäärästä lähteestä" ja sain pöpöjä koneelle, nyt ei wlan toimi. Onko tuollaiset örkit tuttuja ja miksi viruksen koodaaja on niin kädetön, että tommoset asennettuaan sai koko koneeni "kyykkyyn" ja vielä sekä langattoman, että langallisen verkon alas. Suunnittelin kyllä tekeväni ihan jotakin muuta kuin tapella Vistan asennuksen kanssa edelliset 8h viime yöstä. (klo 23 - 07) Saa olla vahingon iloinen Jos ois ollut fiksu koodaaja asialla, niin en ois mitään huomannut, kun softa ois taustalle jäänyt pyörimään. Mutta kuitenkin, sain tuon loppujen lopuksi hoideltua pois koneelta ilman uudelleen asennusta Vistasta (combofix ohjelmalla), mutta lopputulos kuitenkin se, että wlan ei enää toimi. lankaverkkokin oli hakusessa, kunnes "irtisanoin" sopimukseni comodo firewallin kanssa eli uninstalloin sen, kun siinä ilmeisesti jokin ajuri oli jäänyt roikkumaan. Virussoftana käytän Avastia, joka ei örkistä herjannut mitään, kun se tuli koneelle illalla. Onkohan tässä edessä wintöötin uudelleen asennus vai millähän tuon saisi pelittämään? wlansvc ei vain suostu käynnistymään....
Moro! Tuota noin niin... ComboFix EI ole mikä tahansa skanneri jota ajellaan siinä toivossa että se saattaisi jotain löytää/poistaa, pahimmassa tapauksessa sillä saa koneen kyllä todella pahasti sekaisin. Eli aina ensin aloitetaan muilla ohjelmilla, kuten HijackThis, ja sen logista tulkitaan millä ohjelmalla jatketaan koneen puhdistusta. Eli tee nyt näin: http://www.virustorjunta.net/modules.php?name=Forums&file=index Rekisteröidy tuonne, mene HjT-osioon ja aloita sinne oma aihe. Liitä sinne se ComboFixin logi (löytyy C:\ComboFix.txt) ja HijackThis-logi, alla ohje. Lataa TÄSTÄ HJTInstall.exe http://www.download.fi/tyopoytaohjelmat/haittaohjelmien_poisto/hijackthis.cfm * Tallenna HJTInstall.exe työpöydällesi. * Tuplaklikkaa HJTInstall.exe-kuvaketta työpöydälläsi. * Oletuksena se asentaa itsensä hakemistoon C:\Program Files\Trend Micro\HijackThis. * Klikkaa Install. * Asennusohjelma luo HijackThis-kuvakkeen työpöydälle. * Kun asennus on valmis, se käynnistää HijackThisin. * Klikkaa Do a system scan and save a logfile-painiketta. Ohjelma aloittaa skannauksen ja lokin pitäisi avautua Muistioon. * Klikkaa ensin "Muokkaa > Valitse kaikki" sitten "Muokkaa > Kopioi" kopioidaksesi koko lokin sisällön. * Liitä lokin sisältö seuraavaan vastaukseesi. * ÄLÄ käytä Analyse This-nappulaa, sen löydöt ovat vaarallisia väärinymmärrettyinä. * ÄLÄ fixaa HijackThis-ohjelmalla vielä mitään. Suurin osa sen löydöistä ovat joko harmittomia tai jopa tarpeellisia. Osaava fiksaaja tarkastaa ne läpi ja kertoo jatko-ohjeet jos tarvetta on. Vaikka oireet näyttäisivätkin hävinneen, niin se ei tarkoita että kone olisi puhdas! Joten odota fiksaajan vahvistusta koneen puhtaudesta. Laita sinne myös tuo kuvaus tuosta ongelmastasi, tai laita ainakin linkki tähän ketjuun, fiksaaja osaa siten paremmin ja nopeammin etsiä ongelmien aiheuttajaa
No enköhän mä itse tiedä vähän tarkemmin mitä teen, kun näitä vehkeitä joudun muutenkin työkseni korjailemaan. hjt:llä toki olisin aloittanut, jos se vain olisi ollut mahdollista. Tässä tapauksessa kuitenkin virus aika tehokkaasti esti sen käytön sekä normaali, että vikasietotilassa, kuten myös useimmat muut työkalut (kuten mm. virustorjuntaohjelmiston) Eikä mua ois pahemmin haitannut, vaikka kone olisi seonnut. Backup oli hoideltu kyllä linuxin kautta koneen saastuttua. Olis vaan tosin harmittanut ruveta tota Vistaa asentelemaan uusiksi, vaikka ei sekään ole vielä pois suljettu juttu, kun tuo virus ilmeisesti onnistui kuitenkin sekoittamaan tuon wlan toimintoon liittyvät tiedostot. Mutta ei tässä vielä paniikkia, kun kuitenkin normiverkko toimii.
HjT ja muutkin työkalut yleensä toimivat, jos ne ensin uudelleennimeää. Toki riippuu infektiosta, mutta tässä tapauksessa kyseessä on rootkit bagle, joka pelaa tiedostonimien eikä esim. md5:ien mukaan. Ikävän usein huomannut, että koneita korjaavilla on perusasiat hakusessa kuten infektioiden tunnistaminen, johon auttaa jo pelkästään google kunhan hiukan perehtyy sen hakutuloksiin.
Ei toiminut hjt vaikka sen uudelleennimesi, sama ongelma tuli edelleen. Harmi, kun en huomannut ottaa virhekoodia ylös, olisikohan ollut, että valitti jotakin invalid image -481 tms. Se, että jokin baglen variantti ei osaa md5:ttä, ei tarkoita että uusi ei osaisi. (Tämä siis myös vikasietotilassa) warwas, en minä itseäni besser wisseriksi olekaan nostamassa, mutta kun tunnut olevan kaikkitietävä, niin kerro toki miten tämä wlan-ongelma korjataan? Eiköhän tämä kone ole virusvapaa, mutta kerro toki jos löydät hälyttävää näistä, laitan hjt logit tähän ja combofixin poistamat tiedostot, tosin en jaksa uskoa, että mitään ihmeellistä enää löytyisi, kun kuitenkin malwarebytes anti malwarekin ajettu eikä se mitään hälyttävää löytänyt (tämähän on se ohjelma mitä sinä warwas ilmeisesti kovasti hehkutat, kyllä minäkin sen ajaa osaan. combofix: c:\program files\Windows Live\Messenger\msnmsgr.exe c:\users\y\AppData\Roaming\drivers\downld c:\users\y\AppData\Roaming\drivers\srosa2.sys c:\users\y\AppData\Roaming\drivers\winupgro.exe c:\users\x\AppData\Roaming\drivers\downld hjt: Logfile of Trend Micro HijackThis v2.0.2 Scan saved at 0:00:47, on 29.3.2009 Platform: Windows Vista SP1 (WinNT 6.00.1905) MSIE: Internet Explorer v7.00 (7.00.6001.18000) Boot mode: Normal Running processes: C:\Windows\system32\taskeng.exe C:\Windows\system32\Dwm.exe C:\Windows\Explorer.EXE C:\Acer\Empowering Technology\eDataSecurity\eDSLoader.exe C:\Acer\Empowering Technology\eAudio\eAudio.exe C:\Program Files\Acer Arcade Deluxe\Play Movie\PMVService.exe C:\Program Files\Apoint2K\Apoint.exe C:\Program Files\Java\jre6\bin\jusched.exe C:\Windows\System32\rundll32.exe C:\Program Files\Realtek\Audio\HDA\RtHDVCpl.exe C:\Program Files\Alwil Software\Avast4\ashDisp.exe C:\Program Files\Windows Media Player\wmpnscfg.exe C:\Program Files\Apoint2K\ApMsgFwd.exe C:\Program Files\Apoint2K\Apntex.exe C:\Users\x\AppData\Local\Temp\RtkBtMnt.exe C:\Acer\Empowering Technology\EPOWER\EPOWER_DMC.EXE C:\Acer\Empowering Technology\ACER.EMPOWERING.FRAMEWORK.SUPERVISOR.EXE C:\Windows\system32\conime.exe C:\Program Files\Trend Micro\HijackThis\HijackThis.exe R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.google.fi/ R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://go.microsoft.com/fwlink/?LinkId=69157 R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://go.microsoft.com/fwlink/?LinkId=54896 R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = http://go.microsoft.com/fwlink/?LinkId=54896 R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = O2 - BHO: Adobe PDF Reader Link Helper - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Program Files\Common Files\Adobe\Acrobat\ActiveX\AcroIEHelper.dll O2 - BHO: (no name) - {5C255C8A-E604-49b4-9D64-90988571CECB} - (no file) O2 - BHO: ShowBarObj Class - {83A2F9B1-01A2-4AA5-87D1-45B6B8505E96} - C:\Windows\system32\ActiveToolBand.dll O2 - BHO: Java(tm) Plug-In 2 SSV Helper - {DBC80044-A445-435b-BC74-9C25C1C588A9} - C:\Program Files\Java\jre6\bin\jp2ssv.dll O3 - Toolbar: Acer eDataSecurity Management - {5CBE3B7C-1E47-477e-A7DD-396DB0476E29} - C:\Windows\system32\eDStoolbar.dll O4 - HKLM\..\Run: [eDataSecurity Loader] C:\Acer\Empowering Technology\eDataSecurity\eDSloader.exe O4 - HKLM\..\Run: [eAudio] "C:\Acer\Empowering Technology\eAudio\eAudio.exe" O4 - HKLM\..\Run: [LManager] C:\PROGRA~1\LAUNCH~1\LManager.exe O4 - HKLM\..\Run: [PlayMovie] "C:\Program Files\Acer Arcade Deluxe\Play Movie\PMVService.exe" O4 - HKLM\..\Run: [WarReg_PopUp] C:\Acer\WR_PopUp\WarReg_PopUp.exe O4 - HKLM\..\Run: [Apoint] C:\Program Files\Apoint2K\Apoint.exe O4 - HKLM\..\Run: [SunJavaUpdateSched] "C:\Program Files\Java\jre6\bin\jusched.exe" O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\Windows\system32\NvCpl.dll,NvStartup O4 - HKLM\..\Run: [NvMediaCenter] RUNDLL32.EXE C:\Windows\system32\NvMcTray.dll,NvTaskbarInit O4 - HKLM\..\Run: [RtHDVCpl] C:\Program Files\Realtek\Audio\HDA\RtHDVCpl.exe O4 - HKLM\..\Run: [Cobian Backup 9 interface] "C:\Program Files\Cobian Backup 9\cbInterface.exe" -service O4 - HKLM\..\Run: [Adobe Reader Speed Launcher] "C:\Program Files\Adobe\Reader 8.0\Reader\Reader_sl.exe" O4 - HKLM\..\Run: [avast!] C:\PROGRA~1\ALWILS~1\Avast4\ashDisp.exe O4 - HKCU\..\Run: [Sidebar] C:\Program Files\Windows Sidebar\sidebar.exe /autoRun O4 - HKCU\..\Run: [WMPNSCFG] C:\Program Files\Windows Media Player\WMPNSCFG.exe O4 - HKCU\..\Run: [Skype] "C:\Program Files\Skype\Phone\Skype.exe" /nosplash /minimized O4 - HKUS\S-1-5-21-610398593-1602362466-3364125650-1001\..\Run: [Sidebar] C:\Program Files\Windows Sidebar\sidebar.exe /autoRun (User 'y') O4 - HKUS\S-1-5-21-610398593-1602362466-3364125650-1001\..\Run: [msnmsgr] "C:\Program Files\Windows Live\Messenger\msnmsgr.exe" /background (User 'y') O4 - HKUS\S-1-5-21-610398593-1602362466-3364125650-1002\..\Run: [Sidebar] %ProgramFiles%\Windows Sidebar\Sidebar.exe /detectMem (User 'postgres') O4 - HKUS\S-1-5-21-610398593-1602362466-3364125650-1002\..\RunOnce: [AcerScrSav] (User 'postgres') O4 - Global Startup: DynDNS Updater Tray Icon.lnk = C:\Program Files\DynDNS Updater\DynTray.exe O4 - Global Startup: Empowering Technology Launcher.lnk = C:\Acer\Empowering Technology\eAPLauncher.exe O13 - Gopher Prefix: O16 - DPF: {3860DD98-0549-4D50-AA72-5D17D200EE10} (Windows Live OneCare safety scanner control) - http://cdn.scan.onecare.live.com/resource/download/scanner/fi-fi/wlscctrl2.cab O17 - HKLM\System\CCS\Services\Tcpip\..\{3ED53FB4-FB68-4782-A3CF-AC0F18516233}: NameServer = 192.168.0.1 O17 - HKLM\System\CCS\Services\Tcpip\..\{7965C0A5-9A9F-4A05-BEE5-64528D9E028E}: NameServer = 192.168.0.1,0.0.0.0 O17 - HKLM\System\CS1\Services\Tcpip\..\{3ED53FB4-FB68-4782-A3CF-AC0F18516233}: NameServer = 192.168.0.1 O23 - Service: avast! iAVS4 Control Service (aswUpdSv) - ALWIL Software - C:\Program Files\Alwil Software\Avast4\aswUpdSv.exe O23 - Service: avast! Antivirus - ALWIL Software - C:\Program Files\Alwil Software\Avast4\ashServ.exe O23 - Service: avast! Mail Scanner - ALWIL Software - C:\Program Files\Alwil Software\Avast4\ashMaiSv.exe O23 - Service: avast! Web Scanner - ALWIL Software - C:\Program Files\Alwil Software\Avast4\ashWebSv.exe O23 - Service: Symantec Lic NetConnect service (CLTNetCnService) - Unknown owner - C:\Program Files\Common Files\Symantec Shared\ccSvcHst.exe (file missing) O23 - Service: Cobian Backup 9 service (CobianBackupAmanita) - Luis Cobian - C:\Program Files\Cobian Backup 9\cbService.exe O23 - Service: DynDNS Updater - Dynamic Network Services, Inc. - C:\Program Files\DynDNS Updater\DynUpSvc.exe O23 - Service: eDSService.exe (eDataSecurity Service) - HiTRSUT - C:\Acer\Empowering Technology\eDataSecurity\eDSService.exe O23 - Service: eLock Service (eLockService) - Acer Inc. - C:\Acer\Empowering Technology\eLock\Service\eLockServ.exe O23 - Service: eSettings Service (eSettingsService) - Unknown owner - C:\Acer\Empowering Technology\eSettings\Service\capuserv.exe O23 - Service: LightScribeService Direct Disc Labeling Service (LightScribeService) - Hewlett-Packard Company - C:\Program Files\Common Files\LightScribe\LSSrvc.exe O23 - Service: MobilityService - Unknown owner - C:\Acer\Mobility Center\MobilityService.exe O23 - Service: NVIDIA Display Driver Service (nvsvc) - NVIDIA Corporation - C:\Windows\system32\nvvsvc.exe O23 - Service: PostgreSQL Server 8.3 (postgresql-8.3) - PostgreSQL Global Development Group - C:/Program Files/PostgreSQL/8.3/bin/pg_ctl.exe O23 - Service: Cyberlink RichVideo Service(CRVS) (RichVideo) - Unknown owner - C:\Program Files\CyberLink\Shared Files\RichVideo.exe O23 - Service: ePower Service (WMIService) - acer - C:\Acer\Empowering Technology\ePower\ePowerSvc.exe O23 - Service: XAudioService - Conexant Systems, Inc. - C:\Windows\system32\DRIVERS\xaudio.exe
Mulle ihan sama mitä tommonen ajaa tai ei aja, Mbam ei todellakaan ole minun keksimä, jos on niin vatipää ettei osaa kuuklea käyttää niin oma moka!
warwas: harvinaisen idiootti ihminen olet kyllä, ei voi muuta sanoa. Tulet tähän ketjuun viisastelemaan, antamatta siihen minkäänlaista muuta apua, jos sinulla ei oikeasti muuta antia ole tähän aiheeseen, niin pysyisitkö poissa tästä ketjusta? (Oletkin näköjään Turusta, Suomen ----) Ongelma on ratkaistu lukuunottamatta tuota wlan-probleemaa, johon ei ilmeisesti taida auttaa kuin töötin uudelleen asennus, tosin en ihan 100% tarmoa ole asian eteen vielä saattanut, kun on muutakin hommaa tässä sivussa.
Update, ongelma ratkaistu, bagle siis käy noita wlan-asetuksia sörkkimässä, ja ne saa korjattua alla olevilla ohjeilla, tosin itselläni ei rekisterissä ollut kuin yksi CurrentControlSet ja toiset olivat "ControlSet001" ja "ControlSet003" jossa toisessa oli arvon kohdalla 4, johon korjasin tuon 3:en. Myöskään 8 kohtaa ei tarvinnut tehdä, vaan heti rebootissa langaton toimi. Lainaus http://forums.techguy.org/networking/630190-solved-windows-wireless-service-cant-2.html Bagle turns off NDIS in the registry. Here's how to get it back to working: 1. Open regedit. Backup registry 2. go to HKEY_LOCAL_MACHINE / SYSTEM / CurrentControlSet / Services / Ndisuio 3. Look at the "Start" entry. If that is set to 4, then that is your problem. Change it to 3. 4. go to HKEY_LOCAL_MACHINE / SYSTEM / CurrentControlSet002 / Services / Ndisuio 5. Again, if the "Start" entry is set to 4, change it to 3. 6. Close Regedit. 7. Reboot computer 8. go into network connections. disable the wireless for a minute, then re-enable it.
Eipä ole vielä tullut sellaista baglen varianttia vastaan, joka blokkaisi md5:ien mukaan. Mutta toki sellainenkin voi olla olemassa. Kuten huomasit, niin googlen käyttö saa asioissa ihmeitä aikaan . Hyvä, että ongelma tuli ratkaistua. Siltikään en erityisemmin pidä, että erikoistyökaluja, kuten ComboFixiä, ajetaan omin päin, kun veikkaan, että sinulla ei ole pääsyä ohjelman virallisiin ohjeisiin. Haen lähinnä sitä. että jos ohjelma ei poistakaan jotain suoraan tai kosauttaa koneen.
Tottakai haen googlella heti samantien ongelmiin ratkaisua, tähän wlan ongelmaan ei heti löytynyt. Mikä tekee combofixistä niin erikoista tähtitiedettä, että ilmeisesti vt.netin porukka(?) täällä itkee, että sitä ei saa ajaa? Mitä eroa sillä on onko kone sekaisin combofixin toimesta vai viruksen toimesta? Kummassakin tapauksessa on töötin uudelleenasennus edessä, ellei ongelma muutoin häviä. Kun näitä koneita olen vuosia joutunut korjailemaan ihan työnkin puolesta, niin aion jatkossakin edetä tätä polkua pitkin, oli vt.netin porukka mitä mieltä tahansa. Minulla ei ole fixaaja statusta (lol!) ja kun termin kuulin, niin en tiedä oisko pitänyt itkeä vai nauraa. Erityisesti tämä warwas voisi jatkossa päteä siellä vt foorumilla pelkästään, eikä tulla tänne itkemään tai muutoin aukomaan päätään viestiketjuihin, jos niihin ei minkäänlaista apua ole tarjota. (Viestimääristä päätellen ei taida muuta elämää ollakaan? no sitähän se nörttitouhu on.) Ja mitä tarkoitat "Ei ole pääsyä virallisiin ohjeisiin?" Eikö nämä ole combofixin viralliset ohjeet? http://www.bleepingcomputer.com/combofix/how-to-use-combofix (Luulen, että tarkoitat vt porukan omia ohjeita ja tällöin tuskin puhutaan virallisista ohjeista)
Jos asiaa ajattelee tuolta kannalta, niin mikäs siinä sitten... Lähinnä tarkoitan combofixin aiheuttamien ongelmatilanteiden helppoa korjausta johon saatettaisiin tarvita muuten juurikin sitä formattia. Jep, nuo ovat viralliset ohjeet, mutta ne on tarkoitettu uhrille. Erikseen ovat ne ohjeet, jotka on tarkoitettu auttajalle ja nämä taas löytyvät tiettyjen keskustelupalstojen (enimmäkseen ulkomaalaisten) alifoorumeilta, jonne ei ihan kaikilla ole pääsyä. Vt.netin porukan ohjeet ovat täysin viralliset, koska ne on käännetty suomeksi ohjelman tekijän, sUBsin, ohjeista.
En tiedä, mutta itsellä ainakin palaa käämi jos joku vt.netin nörtti, jolla ei muuta elämää tulee asiallisiin kysymyksiin näsäviisastelemaan. Toisekseen, kun kerran combofix oli jo ajettu, niin tarvitseeko siitäkään jälkiviisastella? Tähän ketjuun tuli kaikkea muuta kuin vastausta tai apua itse ongelmaan. Myöskään sitä en ymmärrä, että kun kerran combofixin ohjeet (miksi se ohjelma edes ohjeita tarvitsee, kun et voi vaikuttaa sen suoritukseen ajon aikana, ohjelman saa käyntiin ja siinä se) ovat jonkin suljetun porukan käytössä, niin mitä sitä turhaa ilkkumaan, että sulla ei ole niihin pääsyä. (pätemisen muoto tuokin) Minulla on käytännön syistä tarve saada kone toimimaan heti, eikä vuorokausien odottelun jälkeen, josko joku vt.netin ylimielinen nörtti saisi jonkin hjt-login tutkittua. Tällöin ajan yleisimmin käytössä olevat skannerit koneilla läpi, jos mahdollista ja jos ei, niin tutkin netistä lisää tietoa noista ja toimin sen mukaan. Kyllä minulla on vahva käsitys miksi ei saisi combofixejä ym. ajella. Miten muuten nämä tyypit pääsisivät pätemään tiedoillaan ja taidoillaan, onhan tittelikin hieno "fixaaja". Näyttää varmaan hyvältä työhakemuksessa. Kemistin pointin kyllä ymmärrän, silloin kun kyseessä on jokin teppo tavallinen jonka kone on seonnut, niin silloin tietysti pitää edetä varovasti, ettei tepon kallis arvoiset pornot valu format ceehen. Mutta summa summarus, itsehän tämäkin piti alusta saakka fiksata. Tohon wlan-ongelman ratkaisuun en silloin samantien löytänyt ratkaisua, tänään sen sitten löysin kun tutkin lisää.
Sanoin noista ohjeista sen takia, että yleensä ohjelmia ei kannata ajaa, jos käytössä ei ole ns. käyttöohjetta. Combofix on näet luotu vapaaehtoisten auttajien työkaluksi eikä siihen, että firman IT-tuen pojat putsaa firman tai penan ja ranen tietokoneliike asiakkaiden koneita. Combofixin ajoon (= kun se ajetaan normaalisti tuplaklikkaamalla) ei tarvita sen kummempaa ohjetta kun mikä on julkisesti saatavilla, mutta jos käykin näin: - combofix ei poista jotain etkä saa sitä muuten pois - combofixin jälkeen kone ei toimi kunnolla Kannattaa muistaa, että kaikki emme ole suinkaan IT-alalla töissä. Siitäkin huolimatta olen putsannut tuhansia koneita ilman, että kone on ollut tuossa nenän edessä; faktahan on se, että koneen putsaus paikanpäällä on yleensä aika helppoa verrattuna siihen, että antaa uhrille ohjeita mitä tehdä. Mutta tämä asia on omalta osaltani loppuunkäsitelty.
