CTFMON = eMule = Virus?

blindpeer · 21.11.2006

Eli löysinpä tuollaisen ihmetyksen koneellani.

Löytyi kansiosta C:\WINDOWS\system32\dlg ja on nimeltään ctfmon.exe. Yrittää kovasti ladata ja lähettää internetin välityksellä jotakin!

Kansiossa oli tälläinen logi tiedosto (downloads.txt):

Date: 21.11.2006 13:55:06
Directory: C:\WINDOWS\system32\dlg\temp

Part file eD2K link
--------------------------------------------------------------------------------
001.part ed2k://|file|%E2%80%A0AAA_000001_184877_ed2k[]_-file-%E2%80%A0AAA1.rar-6421547-CF9DEC15FFA6DF96B09C452093E2046B-_END|12199101|8C30BCDE60D9968C35A67E83B36C32C7|/
Laajenna...

Mikään virustorjuntaohjelma ei tuota tunnista. Ei koneella olevat eikä myöskään VirusTotal:n (www.virustotal.com) testien mukaan. :/
Tässä olisi VirusTotal:n logi:

Complete scanning result of "ctfmon.exe", received in VirusTotal at 11.21.2006, 13:22:39 (CET).

Antivirus Version Update Result
AntiVir 7.2.0.39 11.21.2006 no virus found
Authentium 4.93.8 11.20.2006 no virus found
Avast 4.7.892.0 11.20.2006 no virus found
AVG 386 11.20.2006 no virus found
BitDefender 7.2 11.21.2006 no virus found
CAT-QuickHeal 8.00 11.20.2006 no virus found
ClamAV devel-20060426 11.21.2006 no virus found
DrWeb 4.33 11.21.2006 no virus found
eSafe 7.0.14.0 11.20.2006 no virus found
eTrust-InoculateIT 23.73.62 11.21.2006 no virus found
eTrust-Vet 30.3.3205 11.21.2006 no virus found
Ewido 4.0 11.21.2006 no virus found
Fortinet 2.82.0.0 11.21.2006 no virus found
F-Prot 3.16f 11.20.2006 no virus found
F-Prot4 4.2.1.29 11.20.2006 no virus found
Ikarus 0.2.65.0 11.21.2006 no virus found
Kaspersky 4.0.2.24 11.21.2006 no virus found
McAfee 4900 11.20.2006 no virus found
Microsoft 1.1804 11.21.2006 no virus found
NOD32v2 1875 11.21.2006 no virus found
Norman 5.80.02 11.20.2006 no virus found
Panda 9.0.0.4 11.20.2006 no virus found
Prevx1 V2 11.21.2006 no virus found
Sophos 4.11.0 11.16.2006 no virus found
TheHacker 6.0.3.122 11.21.2006 no virus found
UNA 1.83 11.20.2006 no virus found
VBA32 3.11.1 11.21.2006 no virus found
VirusBuster 4.3.15:9 11.20.2006 no virus found

Aditional Information
File size: 4952064 bytes
MD5: 7a775b80a2015cbe75aa46bfa3a155be
SHA1: 21ba4d0e5e0c5c146a9eb92237f5d7d36bc47a20
Laajenna...

Tässä olisi vielä HjT-logi:

Logfile of HijackThis v1.99.1
Scan saved at 14:37:05, on 21.11.2006
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\Program Files\Common Files\Symantec Shared\ccSvcHst.exe
C:\Program Files\Common Files\Symantec Shared\AppCore\AppSvc32.exe
C:\WINDOWS\system32\spoolsv.exe
C:\WINDOWS\Explorer.EXE
C:\Program Files\Symantec\LiveUpdate\ALUSchedulerSvc.exe
F:\HyötyOhjelmat\AVG Anti-Spyware 7.5\guard.exe
F:\HyötyOhjelmat\Nero\Nero 7\InCD\InCDsrv.exe
C:\WINDOWS\system32\nvsvc32.exe
F:\HyötyOhjelmat\Sygate\smc.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\SOUNDMAN.EXE
C:\WINDOWS\system32\RUNDLL32.EXE
F:\HyötyOhjelmat\AVG Anti-Spyware 7.5\avgas.exe
C:\Program Files\Common Files\Symantec Shared\ccApp.exe
C:\WINDOWS\system32\dlg\ctfmon.exe
F:\HyötyOhjelmat\Nero\Nero 7\InCD\InCD.exe
C:\WINDOWS\system32\ctfmon.exe
F:\hyötyohjelmat\bandwidthmonitor pro\Bandwidth Monitor Pro.exe
C:\Program Files\Common Files\Ahead\Lib\NMIndexStoreSvr.exe
C:\Program Files\Common Files\Ahead\Lib\NMBgMonitor.exe
F:\HyötyOhjelmat\Spybot - Search & Destroy\SpybotSD.exe
F:\HyötyOhjelmat\Mozilla Firefox\firefox.exe
C:\Documents and Settings\Järjestelmänvalvoja\Työpöytä\HijackThis\HijackThis_v1.99.1.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Local Page =
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Local Page =
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Linkit
O2 - BHO: (no name) - {53707962-6F74-2D53-2644-206D7942484F} - F:\HYTYOH~2\SPYBOT~1\SDHelper.dll
O4 - HKLM\..\Run: [SoundMan] SOUNDMAN.EXE
O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\system32\NvCpl.dll,NvStartup
O4 - HKLM\..\Run: [nwiz] nwiz.exe /install
O4 - HKLM\..\Run: [NvMediaCenter] RUNDLL32.EXE C:\WINDOWS\system32\NvMcTray.dll,NvTaskbarInit
O4 - HKLM\..\Run: [!AVG Anti-Spyware] "F:\HyötyOhjelmat\AVG Anti-Spyware 7.5\avgas.exe" /minimized
O4 - HKLM\..\Run: [ccApp] "C:\Program Files\Common Files\Symantec Shared\ccApp.exe"
O4 - HKLM\..\Run: [osCheck] "F:\Symantec\osCheck.exe"
O4 - HKLM\..\Run: [SmcService] F:\HYTYOH~2\Sygate\smc.exe -startgui
O4 - HKLM\..\Run: [ctfmon] C:\WINDOWS\system32\dlg\ctfmon.exe
O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\ctfmon.exe
O4 - HKCU\..\Run: [Bandwidth Monitor Pro] "F:\hyötyohjelmat\bandwidthmonitor pro\Bandwidth Monitor Pro.exe" /minimized
O4 - HKCU\..\Run: [BgMonitor_{79662E04-7C6C-4d9f-84C7-88D8A56B10AA}] "C:\Program Files\Common Files\Ahead\Lib\NMBgMonitor.exe"
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe
O16 - DPF: {6414512B-B978-451D-A0D8-FCFDF33E833C} (WUWebControl Class) - http://update.microsoft.com/windowsupdate/v6/V5Controls/en/x86/client/wuweb_site.cab?1163958429234
O23 - Service: Automatic LiveUpdate Scheduler - Symantec Corporation - C:\Program Files\Symantec\LiveUpdate\ALUSchedulerSvc.exe
O23 - Service: AVG Anti-Spyware Guard - Anti-Malware Development a.s. - F:\HyötyOhjelmat\AVG Anti-Spyware 7.5\guard.exe
O23 - Service: Symantec Event Manager (ccEvtMgr) - Unknown owner - C:\Program Files\Common Files\Symantec Shared\ccSvcHst.exe" /h ccCommon (file missing)
O23 - Service: Symantec Settings Manager (ccSetMgr) - Unknown owner - C:\Program Files\Common Files\Symantec Shared\ccSvcHst.exe" /h ccCommon (file missing)
O23 - Service: Symantec Lic NetConnect service (CLTNetCnService) - Unknown owner - C:\Program Files\Common Files\Symantec Shared\ccSvcHst.exe" /h ccCommon (file missing)
O23 - Service: InCD Helper (InCDsrv) - Nero AG - F:\HyötyOhjelmat\Nero\Nero 7\InCD\InCDsrv.exe
O23 - Service: Symantec IS Password Validation (ISPwdSvc) - Symantec Corporation - F:\Symantec\isPwdSvc.exe
O23 - Service: IWin service - Symantec Corporation - (no file)
O23 - Service: LiveUpdate - Symantec Corporation - C:\PROGRA~1\Symantec\LIVEUP~1\LUCOMS~1.EXE
O23 - Service: NBService - Nero AG - F:\HyötyOhjelmat\Nero\Nero 7\Nero BackItUp\NBService.exe
O23 - Service: NVIDIA Display Driver Service (NVSvc) - NVIDIA Corporation - C:\WINDOWS\system32\nvsvc32.exe
O23 - Service: Sygate Personal Firewall Pro (SmcService) - Sygate Technologies, Inc. - F:\HyötyOhjelmat\Sygate\smc.exe
O23 - Service: Symantec Core LC - Symantec Corporation - C:\Program Files\Common Files\Symantec Shared\CCPD-LC\symlcsvc.exe
O23 - Service: Symantec AppCore Service (SymAppCore) - Symantec Corporation - C:\Program Files\Common Files\Symantec Shared\AppCore\AppSvc32.exe
Laajenna...

Lisätietoina vielä, että en ole itse asentanut mitään eMulea. Windows on asennettu n.2 päivää sitten. Ja koneella turvana on AVG Anti-Spyware, SpyBot, Ad-Aware, Norton AntiVirus 2007, Sygate Personal Firewall Pro.

AfterDawn

-kemisti- · 21.11.2006

Fixaa:

O4 - HKLM\..\Run: [ctfmon] C:\WINDOWS\system32\dlg\ctfmon.exe

Käynnistä vikasietotilaan ja poista:

C:\WINDOWS\system32\dlg\ctfmon.exe

Käynnistä uudelleen ja lähetä uusi HjT-loki.

blindpeer · 21.11.2006

Tässä uusi HjT-logi:

Logfile of HijackThis v1.99.1
Scan saved at 18:45:18, on 21.11.2006
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\Program Files\Common Files\Symantec Shared\ccSvcHst.exe
C:\Program Files\Common Files\Symantec Shared\AppCore\AppSvc32.exe
C:\WINDOWS\system32\spoolsv.exe
C:\WINDOWS\Explorer.EXE
C:\WINDOWS\system32\RUNDLL32.EXE
F:\HyötyOhjelmat\AVG Anti-Spyware 7.5\avgas.exe
C:\Program Files\Common Files\Symantec Shared\ccApp.exe
C:\WINDOWS\SOUNDMAN.EXE
C:\WINDOWS\system32\ctfmon.exe
F:\hyötyohjelmat\bandwidthmonitor pro\Bandwidth Monitor Pro.exe
C:\Program Files\Symantec\LiveUpdate\ALUSchedulerSvc.exe
C:\Program Files\Common Files\Ahead\Lib\NMBgMonitor.exe
C:\Program Files\Common Files\Ahead\Lib\NMIndexStoreSvr.exe
F:\HyötyOhjelmat\AVG Anti-Spyware 7.5\guard.exe
F:\HyötyOhjelmat\Nero\Nero 7\InCD\InCDsrv.exe
C:\WINDOWS\system32\nvsvc32.exe
F:\HyötyOhjelmat\Sygate\smc.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\system32\wuauclt.exe
F:\HyötyOhjelmat\Mozilla Firefox\firefox.exe
C:\Documents and Settings\Järjestelmänvalvoja\Työpöytä\HijackThis\HijackThis_v1.99.1.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Local Page =
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Local Page =
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Linkit
O2 - BHO: (no name) - {53707962-6F74-2D53-2644-206D7942484F} - F:\HYTYOH~2\SPYBOT~1\SDHelper.dll
O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\system32\NvCpl.dll,NvStartup
O4 - HKLM\..\Run: [nwiz] nwiz.exe /install
O4 - HKLM\..\Run: [NvMediaCenter] RUNDLL32.EXE C:\WINDOWS\system32\NvMcTray.dll,NvTaskbarInit
O4 - HKLM\..\Run: [!AVG Anti-Spyware] "F:\HyötyOhjelmat\AVG Anti-Spyware 7.5\avgas.exe" /minimized
O4 - HKLM\..\Run: [ccApp] "C:\Program Files\Common Files\Symantec Shared\ccApp.exe"
O4 - HKLM\..\Run: [osCheck] "F:\Symantec\osCheck.exe"
O4 - HKLM\..\Run: [SmcService] F:\HYTYOH~2\Sygate\smc.exe -startgui
O4 - HKLM\..\Run: [SoundMan] SOUNDMAN.EXE
O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\ctfmon.exe
O4 - HKCU\..\Run: [Bandwidth Monitor Pro] "F:\hyötyohjelmat\bandwidthmonitor pro\Bandwidth Monitor Pro.exe" /minimized
O4 - HKCU\..\Run: [BgMonitor_{79662E04-7C6C-4d9f-84C7-88D8A56B10AA}] "C:\Program Files\Common Files\Ahead\Lib\NMBgMonitor.exe"
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe
O16 - DPF: {6414512B-B978-451D-A0D8-FCFDF33E833C} (WUWebControl Class) - http://update.microsoft.com/windowsupdate/v6/V5Controls/en/x86/client/wuweb_site.cab?1163958429234
O18 - Protocol: livecall - {828030A1-22C1-4009-854F-8E305202313F} - C:\PROGRA~1\MSNMES~1\MSGRAP~1.DLL
O18 - Protocol: msnim - {828030A1-22C1-4009-854F-8E305202313F} - C:\PROGRA~1\MSNMES~1\MSGRAP~1.DLL
O23 - Service: Automatic LiveUpdate Scheduler - Symantec Corporation - C:\Program Files\Symantec\LiveUpdate\ALUSchedulerSvc.exe
O23 - Service: AVG Anti-Spyware Guard - Anti-Malware Development a.s. - F:\HyötyOhjelmat\AVG Anti-Spyware 7.5\guard.exe
O23 - Service: Symantec Event Manager (ccEvtMgr) - Unknown owner - C:\Program Files\Common Files\Symantec Shared\ccSvcHst.exe" /h ccCommon (file missing)
O23 - Service: Symantec Settings Manager (ccSetMgr) - Unknown owner - C:\Program Files\Common Files\Symantec Shared\ccSvcHst.exe" /h ccCommon (file missing)
O23 - Service: Symantec Lic NetConnect service (CLTNetCnService) - Unknown owner - C:\Program Files\Common Files\Symantec Shared\ccSvcHst.exe" /h ccCommon (file missing)
O23 - Service: InCD Helper (InCDsrv) - Nero AG - F:\HyötyOhjelmat\Nero\Nero 7\InCD\InCDsrv.exe
O23 - Service: Symantec IS Password Validation (ISPwdSvc) - Symantec Corporation - F:\Symantec\isPwdSvc.exe
O23 - Service: IWin service - Symantec Corporation - (no file)
O23 - Service: LiveUpdate - Symantec Corporation - C:\PROGRA~1\Symantec\LIVEUP~1\LUCOMS~1.EXE
O23 - Service: NBService - Nero AG - F:\HyötyOhjelmat\Nero\Nero 7\Nero BackItUp\NBService.exe
O23 - Service: NVIDIA Display Driver Service (NVSvc) - NVIDIA Corporation - C:\WINDOWS\system32\nvsvc32.exe
O23 - Service: Sygate Personal Firewall Pro (SmcService) - Sygate Technologies, Inc. - F:\HyötyOhjelmat\Sygate\smc.exe
O23 - Service: Symantec Core LC - Symantec Corporation - C:\Program Files\Common Files\Symantec Shared\CCPD-LC\symlcsvc.exe
O23 - Service: Symantec AppCore Service (SymAppCore) - Symantec Corporation - C:\Program Files\Common Files\Symantec Shared\AppCore\AppSvc32.exe
Laajenna...

Onko mitään tietoa mikä virus (tai mikä pöpö lie onkaan) aiheutti tän? Ja mikä tuo tiedosto on jota yritti ladata ja jakaa..?

-kemisti- · 21.11.2006

Ei ole tietoa, taitaa olla aika uusi. Loki on ok. Vielä ongelmia?

blindpeer · 21.11.2006

Ei oo ongelmia ennään, joten KIITOKSIA paljon =o]

Mikkeli13 · 23.11.2006

Kiitokset täältäkin!

C:\WINDOWS\system32\dlg\ctfmon.exe kummitteli täälläkin.

Toimin aiemman ohjeen mukaan eli HJT:llä seuraava merkintä pois:

O4 - HKLM\..\Run: [ctfmon] C:\WINDOWS\system32\dlg\ctfmon.exe

ja Windowsin tehtävienhallinnasta pysäytin tuon samaisen prosessin.

Lisäisin vielä että poistin tuon "dlg" kansion kokonaisuudessaan sekä "dlgincoming" kansion mikä oli myös tuolla system32 hakemistossa. Samalla poistin samassa osoitteessa majailevan "installer.exe" tiedoston. Lisäksi kävin poistamassa Windows XP palomuurin poikkeukset listalta sinne ilmestyneet "firewall" kohdat (2kpl).

Uskoisin tuon "installer.exe" tiedoston liittyvän tähän uuteen matoon.

Kirjaudu tai liity jäseneksi

CTFMON = eMule = Virus?

blindpeer Regular member

-kemisti- Active member

blindpeer Regular member

-kemisti- Active member

blindpeer Regular member

Mikkeli13 Member

Jaa tämä sivu

Kirjaudu tai liity jäseneksi

CTFMON = eMule = Virus?

blindpeer Regular member

-kemisti- Active member

blindpeer Regular member

-kemisti- Active member

blindpeer Regular member

Mikkeli13 Member

Jaa tämä sivu

Hyödyllisiä hakuja