Rajusti kakkaa koneella

Viestiketju Virukset ja haittaohjelmat - HijackThis -logit -osiossa. Ketjun avasi J-lalli 09.11.2006.

Viestiketjun tila:
Viestiketju on suljettu.
Sivu 1 / 2
  1. J-lalli

    J-lalli Active member

    Liittynyt:
    08.04.2005
    Viestejä:
    1,292
    Kiitokset:
    7
    Pisteet:
    68
    Vilkasisko joku tän:
    Logfile of HijackThis v1.99.1
    Scan saved at 15:20:08, on 9.11.2006
    Platform: Windows XP SP2 (WinNT 5.01.2600)
    MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)

    Running processes:
    C:\WINDOWS\System32\smss.exe
    C:\WINDOWS\system32\winlogon.exe
    C:\WINDOWS\system32\services.exe
    C:\WINDOWS\system32\lsass.exe
    C:\WINDOWS\system32\svchost.exe
    C:\WINDOWS\System32\svchost.exe
    C:\WINDOWS\system32\spoolsv.exe
    C:\WINDOWS\Explorer.EXE
    C:\Program Files\Ohjelmat\Grisoft\AVG Anti-Spyware 7.5\guard.exe
    C:\WINDOWS\system32\issearch.exe
    C:\WINDOWS\system32\isnotify.exe
    C:\PROGRA~1\F-Secure\BackWeb\7681197\Program\SERVIC~1.EXE
    C:\WINDOWS\system32\LVCOMSX.EXE
    C:\Program Files\Adobe\Photoshop Album Starter Edition\3.0\Apps\apdproxy.exe
    C:\WINDOWS\system32\rundll32.exe
    C:\Program Files\Ohjelmat\Diskeeper Corporation\Diskeeper\DkService.exe
    C:\Program Files\F-Secure\Common\FSM32.EXE
    C:\Program Files\MSN Messenger\MsnMsgr.Exe
    C:\Program Files\F-Secure\Anti-Virus\fsgk32st.exe
    C:\Program Files\F-Secure\Anti-Virus\FSGK32.EXE
    C:\Program Files\F-Secure\BackWeb\7681197\program\fsbwsys.exe
    C:\Program Files\F-Secure\Anti-Virus\fssm32.exe
    C:\Program Files\F-Secure\BackWeb\7681197\Program\F-Secure Automatic Update.exe
    C:\Program Files\F-Secure\Common\FSMA32.EXE
    C:\Program Files\F-Secure\Common\FSMB32.EXE
    C:\WINDOWS\system32\nvsvc32.exe
    C:\Program Files\F-Secure\Common\FCH32.EXE
    C:\Program Files\Analog Devices\SoundMAX\SMAgent.exe
    C:\WINDOWS\System32\svchost.exe
    C:\Program Files\F-Secure\Common\FAMEH32.EXE
    C:\Program Files\F-Secure\Anti-Virus\fsqh.exe
    C:\Program Files\F-Secure\Anti-Virus\fsrw.exe
    C:\Program Files\F-Secure\Anti-Virus\fsav32.exe
    C:\Program Files\F-Secure\Common\FNRB32.EXE
    C:\Program Files\F-Secure\FWES\Program\fsdfwd.exe
    C:\Program Files\F-Secure\Common\FIH32.EXE
    C:\Program Files\Common Files\PCSuite\Services\ServiceLayer.exe
    C:\PROGRA~1\F-Secure\ANTI-S~1\fsaw.exe
    C:\Program Files\F-Secure\FSGUI\fsguidll.exe
    C:\Program Files\Ohjelmat\Tiedostot\utorrent.exe
    C:\Program Files\Google\GoogleToolbarNotifier\1.2.908.5008\GoogleToolbarNotifier.exe
    C:\Program Files\Ohjelmat\Winamp\winamp.exe
    C:\HijackThis_v1.99.1.exe

    R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.telkku.com/
    R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Local Page =
    R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Local Page =
    R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName =
    R3 - URLSearchHook: (no name) - {A8BD6820-6ED7-423E-9558-2D1486B0FEEA} - (no file)
    O2 - BHO: Adobe PDF Reader Link Helper - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Program Files\Ohjelmat\Adobe\Acrobat 7.0\ActiveX\AcroIEHelper.dll
    O2 - BHO: (no name) - {30A19EC5-7C0D-4E35-845C-38839DB3B39C} - C:\WINDOWS\system32\mlljg.dll
    O2 - BHO: (no name) - {39f25b12-74ff-4079-a51f-1d70f5b08b84} - C:\WINDOWS\system32\ixt0.dll
    O2 - BHO: (no name) - {44842746-3A04-114F-2132-0A4448708442} - C:\WINDOWS\system32\anvikjc.dll
    O2 - BHO: (no name) - {58D57380-5E5C-42B0-B877-9E3F8241FC14} - C:\Program Files\NetMeeting\megoxa.dll (file missing)
    O2 - BHO: SSVHelper Class - {761497BB-D6F0-462C-B6EB-D4DAF1D92D43} - C:\Program Files\Java\jre1.5.0_08\bin\ssv.dll
    O2 - BHO: Google Toolbar Helper - {AA58ED58-01DD-4d91-8333-CF10577473F7} - c:\program files\google\googletoolbar3.dll
    O2 - BHO: (no name) - {F18F04B0-9CF1-4b93-B004-77A288BEE28B} - C:\WINDOWS\system32\svpykkgm.dll (file missing)
    O3 - Toolbar: &Google - {2318C2B1-4965-11d4-9B18-009027A5CD4F} - c:\program files\google\googletoolbar3.dll
    O4 - HKLM\..\Run: [LVCOMSX] C:\WINDOWS\system32\LVCOMSX.EXE
    O4 - HKLM\..\Run: [DiskeeperSystray] "C:\Program Files\Ohjelmat\Diskeeper Corporation\Diskeeper\DkIcon.exe"
    O4 - HKLM\..\Run: [Adobe Photo Downloader] "C:\Program Files\Adobe\Photoshop Album Starter Edition\3.0\Apps\apdproxy.exe"
    O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\system32\NvCpl.dll,NvStartup
    O4 - HKLM\..\Run: [SmcService] C:\PROGRA~1\Sygate\SPF\smc.exe -startgui
    O4 - HKLM\..\Run: [CTDrive] rundll32.exe C:\WINDOWS\system32\drvmih.dll,startup
    O4 - HKLM\..\Run: [stvsqwb.dll] C:\WINDOWS\system32\rundll32.exe C:\WINDOWS\system32\stvsqwb.dll,kzvwmsc
    O4 - HKLM\..\Run: [F-Secure Manager] "C:\Program Files\F-Secure\Common\FSM32.EXE" /splash
    O4 - HKLM\..\Run: [F-Secure TNB] "C:\Program Files\F-Secure\TNB\TNBUtil.exe" /CHECKALL /WAITFORSW
    O4 - HKCU\..\Run: [msnmsgr] "C:\Program Files\MSN Messenger\MsnMsgr.Exe" /background
    O4 - Global Startup: F-Secure Automatic Update.lnk = C:\Program Files\F-Secure\BackWeb\7681197\program\F-Secure Automatic Update.exe
    O8 - Extra context menu item: &Block this popup - C:\Program Files\F-Secure\Anti-Spyware\blockpopups.htm
    O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\jre1.5.0_08\bin\ssv.dll
    O9 - Extra 'Tools' menuitem: Sun Java Console - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\jre1.5.0_08\bin\ssv.dll
    O9 - Extra button: IE Shield - {300DB664-75B5-47c0-8B45-A44ACCF73C00} - C:\Program Files\F-Secure\Anti-Spyware\ieshield.dll
    O9 - Extra 'Tools' menuitem: IE Shield... - {300DB664-75B5-47c0-8B45-A44ACCF73C00} - C:\Program Files\F-Secure\Anti-Spyware\ieshield.dll
    O10 - Broken Internet access because of LSP provider 'c:\program files\newdotnet\newdotnet6_38.dll' missing
    O16 - DPF: {6414512B-B978-451D-A0D8-FCFDF33E833C} (WUWebControl Class) - http://update.microsoft.com/windowsupdate/v6/V5Controls/en/x86/client/wuweb_site.cab?1156331476499
    O16 - DPF: {6E32070A-766D-4EE6-879C-DC1FA91D2FC3} (MUWebControl Class) - http://update.microsoft.com/microsoftupdate/v6/V5Controls/en/x86/client/muweb_site.cab?1156331933124
    O18 - Protocol: livecall - {828030A1-22C1-4009-854F-8E305202313F} - C:\PROGRA~1\MSNMES~1\MSGRAP~1.DLL
    O18 - Protocol: msnim - {828030A1-22C1-4009-854F-8E305202313F} - C:\PROGRA~1\MSNMES~1\MSGRAP~1.DLL
    O20 - Winlogon Notify: mlljg - C:\WINDOWS\system32\mlljg.dll
    O20 - Winlogon Notify: winhab32 - C:\WINDOWS\SYSTEM32\winhab32.dll
    O23 - Service: Adobe LM Service - Adobe Systems - C:\Program Files\Common Files\Adobe Systems Shared\Service\Adobelmsvc.exe
    O23 - Service: AVG Anti-Spyware Guard - Anti-Malware Development a.s. - C:\Program Files\Ohjelmat\Grisoft\AVG Anti-Spyware 7.5\guard.exe
    O23 - Service: F-Secure Automatic Update (BackWeb Plug-in - 7681197) - F-Secure Automatic Update - C:\PROGRA~1\F-Secure\BackWeb\7681197\Program\SERVIC~1.EXE
    O23 - Service: Diskeeper - Diskeeper Corporation - C:\Program Files\Ohjelmat\Diskeeper Corporation\Diskeeper\DkService.exe
    O23 - Service: FSGKHS (F-Secure Gatekeeper Handler Starter) - F-Secure Corp. - C:\Program Files\F-Secure\Anti-Virus\fsgk32st.exe
    O23 - Service: F-Secure Network Request Broker - F-Secure Corporation - C:\Program Files\F-Secure\Common\FNRB32.EXE
    O23 - Service: fsbwsys - F-Secure Corp. - C:\Program Files\F-Secure\BackWeb\7681197\program\fsbwsys.exe
    O23 - Service: F-Secure Anti-Virus Firewall Daemon (FSDFWD) - F-Secure Corporation - C:\Program Files\F-Secure\FWES\Program\fsdfwd.exe
    O23 - Service: F-Secure Management Agent (FSMA) - F-Secure Corporation - C:\Program Files\F-Secure\Common\FSMA32.EXE
    O23 - Service: Microsoft authenticate service (MsaSvc) - Unknown owner - C:\WINDOWS\system32\msasvc.exe (file missing)
    O23 - Service: Network Monitor - Unknown owner - C:\Program Files\Network Monitor\netmon.exe (file missing)
    O23 - Service: NVIDIA Display Driver Service (NVSvc) - NVIDIA Corporation - C:\WINDOWS\system32\nvsvc32.exe
    O23 - Service: ServiceLayer - Nokia. - C:\Program Files\Common Files\PCSuite\Services\ServiceLayer.exe
    O23 - Service: Sygate Personal Firewall (SmcService) - Sygate Technologies, Inc. - C:\Program Files\Sygate\SPF\smc.exe
    O23 - Service: SoundMAX Agent Service (SoundMAX Agent Service (default)) - Analog Devices, Inc. - C:\Program Files\Analog Devices\SoundMAX\SMAgent.exe
     
    J-lalli, 09.11.2006
    #1
  2.  
  3. fixeri

    fixeri Regular member

    Liittynyt:
    06.10.2006
    Viestejä:
    381
    Kiitokset:
    0
    Pisteet:
    26
    On, sitä on kyllä paljon.

    lataa eka LSPfix.exe http://www.cexx.org/lspfix.htm

    tallenna vaikka työpöydälle ja klikkaa kuvaketta.

    ruksi kohtaan I know what I am doing

    Etsi lsp listasta newdotnet6_38.dll ja laitat sen nuolella oikeanpuoleiseen laatikkoon, jos se ei oo jo siellä
    ja sit fixaa se HJT:llä.

    Fixaa nämä HJT:llä:

    R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Local Page =
    R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Local Page =
    R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName =
    R3 - URLSearchHook: (no name) - {A8BD6820-6ED7-423E-9558-2D1486B0FEEA} - (no file)
    O2 - BHO: (no name) - {30A19EC5-7C0D-4E35-845C-38839DB3B39C} - C:\WINDOWS\system32\mlljg.dll
    O2 - BHO: (no name) - {39f25b12-74ff-4079-a51f-1d70f5b08b84} - C:\WINDOWS\system32\ixt0.dll
    O2 - BHO: (no name) - {44842746-3A04-114F-2132-0A4448708442} - C:\WINDOWS\system32\anvikjc.dll
    O2 - BHO: (no name) - {58D57380-5E5C-42B0-B877-9E3F8241FC14} - C:\Program Files\NetMeeting\megoxa.dll (file missing)
    O2 - BHO: (no name) - {F18F04B0-9CF1-4b93-B004-77A288BEE28B} - C:\WINDOWS\system32\svpykkgm.dll (file missing)
    O4 - HKLM\..\Run: [stvsqwb.dll] C:\WINDOWS\system32\rundll32.exe C:\WINDOWS\system32\stvsqwb.dll,kzvwmsc

    Boottaa kone vikasietotilaan, laita piilotiedostot näkyviin ja poista issearch ja isnotify:

    C:\WINDOWS\system32\---->issearch.exe<-----
    C:\WINDOWS\system32\---->isnotify.exe<----


    Lataa VundoFix.exe työpöydällesi.

    http://www.atribune.org/ccount/click.php?id=4

    -Tupla-klikkaa VundoFix.exe ajaaksesi sen.
    -Klikkaa Scan for Vundo valintaa.
    -Kun skannaus on valmis, klikkaa Remove Vundo valintaa.
    -Sinulta kysytään haluatko poistaa filut - klikkaa YES.
    -Kun olet klikannut yes, työpöytäsi tyhjenee kun se alkaa poistamaan Vundoa.
    -Kun se on valmis, fiksi ilmoittaa käynnistäväsi koneesi uudelleen, klikkaa OK.

    -Lähetä C:\vundofix.txt loki sekä uusi HJT logi.

    Huomaa: Se on mahdollista että VundoFix löysi tiedoston jota se ei pystynyt poistamaan.

    Tässä tilanteessa, VundoFix ajaa itsensä rebootissa, seuraa vain yläpuolelle olevia ohjeita alkaen kohdasta Klikkaa Scan for Vundo valintaa.
    kun VundoFix ilmaantuu uudelleenkäynnistyksen yhteydessä.


     
    fixeri, 09.11.2006
    #2
  4. fixeri

    fixeri Regular member

    Liittynyt:
    06.10.2006
    Viestejä:
    381
    Kiitokset:
    0
    Pisteet:
    26
    fixeri, 09.11.2006
    #3
  5. J-lalli

    J-lalli Active member

    Liittynyt:
    08.04.2005
    Viestejä:
    1,292
    Kiitokset:
    7
    Pisteet:
    68
    On F-securen palomuuri.
     
    J-lalli, 09.11.2006
    #4
  6. fixeri

    fixeri Regular member

    Liittynyt:
    06.10.2006
    Viestejä:
    381
    Kiitokset:
    0
    Pisteet:
    26
    ok, hyvä homma.
     
    fixeri, 09.11.2006
    #5
  7. nObO2

    nObO2 Guest

    Fixeri et tainu kattoo kauheen tarkkaan xD. Lähetäpä uus HJT-loki kun oot tehny ton.
     
    nObO2, 09.11.2006
    #6
  8. fixeri

    fixeri Regular member

    Liittynyt:
    06.10.2006
    Viestejä:
    381
    Kiitokset:
    0
    Pisteet:
    26
    Silmät haritti..;)
     
    fixeri, 09.11.2006
    #7
  9. Marku2

    Marku2 Regular member

    Liittynyt:
    07.12.2005
    Viestejä:
    1,259
    Kiitokset:
    0
    Pisteet:
    46
    @Fixeri: Taas muutama juttu:

    Combofix poistaa nuo, joten se kannattaa ajaa, koska voi löytää jotain vielä lisää.

    Kannattaa ajattaa myös smitfraudfix ja optio #1.

    Sitten....

    Tämä rivi fixataan: O20 - Winlogon Notify: winhab32 - C:\WINDOWS\SYSTEM32\winhab32.dll

    Ja tuo tiedosto kannattaa poistaa killboxilla, ei lähde käsin.

    Ja tämä rivi fixataan: O23 - Service: Network Monitor - Unknown owner - C:\Program Files\Network Monitor\netmon.exe (file missing)
    + Poista tuo palvelu.


    J-lalli: Kun tuossa F-securessa on palomuuri niin älä asenna sitä ZoneAlarmia. Ja poista myös tuo Sygate. (Palomuuri)

    @nObO2: Sinuna en menisi valittamaan fixerille ;) Ihan niinku vinkki ;)
     
    Viimeksi muokattu: 09.11.2006
    Marku2, 09.11.2006
    #8
  10. fixeri

    fixeri Regular member

    Liittynyt:
    06.10.2006
    Viestejä:
    381
    Kiitokset:
    0
    Pisteet:
    26
    Aattelinpa että tuossa on alkuun tekemistä jokski aikaa.
     
    fixeri, 09.11.2006
    #9
  11. J-lalli

    J-lalli Active member

    Liittynyt:
    08.04.2005
    Viestejä:
    1,292
    Kiitokset:
    7
    Pisteet:
    68
    Vieläkii aukee ihme sivuja, ohessa uusi hjt-loki

    Logfile of HijackThis v1.99.1
    Scan saved at 16:48:11, on 9.11.2006
    Platform: Windows XP SP2 (WinNT 5.01.2600)
    MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)

    Running processes:
    C:\WINDOWS\System32\smss.exe
    C:\WINDOWS\system32\csrss.exe
    C:\WINDOWS\system32\winlogon.exe
    C:\WINDOWS\system32\services.exe
    C:\WINDOWS\system32\lsass.exe
    C:\WINDOWS\system32\svchost.exe
    C:\WINDOWS\system32\svchost.exe
    C:\WINDOWS\System32\svchost.exe
    C:\WINDOWS\System32\svchost.exe
    C:\WINDOWS\System32\svchost.exe
    C:\WINDOWS\system32\spoolsv.exe
    C:\WINDOWS\Explorer.EXE
    C:\Program Files\Ohjelmat\Grisoft\AVG Anti-Spyware 7.5\guard.exe
    C:\PROGRA~1\F-Secure\BackWeb\7681197\Program\SERVIC~1.EXE
    C:\Program Files\Ohjelmat\Diskeeper Corporation\Diskeeper\DkService.exe
    C:\Program Files\F-Secure\BackWeb\7681197\Program\F-Secure Automatic Update.exe
    C:\Program Files\F-Secure\Anti-Virus\fsgk32st.exe
    C:\Program Files\F-Secure\Anti-Virus\FSGK32.EXE
    C:\Program Files\F-Secure\BackWeb\7681197\program\fsbwsys.exe
    C:\Program Files\F-Secure\Common\FSMA32.EXE
    C:\Program Files\F-Secure\Anti-Virus\fssm32.exe
    C:\Program Files\F-Secure\Common\FSMB32.EXE
    C:\WINDOWS\system32\nvsvc32.exe
    C:\Program Files\Analog Devices\SoundMAX\SMAgent.exe
    C:\WINDOWS\System32\svchost.exe
    C:\WINDOWS\system32\wdfmgr.exe
    C:\Program Files\F-Secure\Common\FCH32.EXE
    C:\Program Files\F-Secure\Common\FAMEH32.EXE
    C:\Program Files\F-Secure\Anti-Virus\fsqh.exe
    C:\Program Files\F-Secure\Anti-Virus\fsrw.exe
    C:\Program Files\F-Secure\Anti-Virus\fsav32.exe
    C:\WINDOWS\system32\wuauclt.exe
    C:\WINDOWS\system32\LVCOMSX.EXE
    C:\Program Files\Adobe\Photoshop Album Starter Edition\3.0\Apps\apdproxy.exe
    C:\Program Files\F-Secure\Common\FSM32.EXE
    C:\Program Files\MSN Messenger\MsnMsgr.Exe
    C:\Program Files\F-Secure\Common\FNRB32.EXE
    C:\Program Files\F-Secure\FWES\Program\fsdfwd.exe
    C:\Program Files\F-Secure\Common\FIH32.EXE
    C:\Program Files\Common Files\PCSuite\Services\ServiceLayer.exe
    C:\PROGRA~1\F-Secure\ANTI-S~1\fsaw.exe
    C:\Program Files\F-Secure\FSGUI\fsguidll.exe
    C:\WINDOWS\system32\svchost.exe
    C:\WINDOWS\System32\wbem\wmiprvse.exe
    C:\HijackThis_v1.99.1.exe

    R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.telkku.com/
    O2 - BHO: Adobe PDF Reader Link Helper - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Program Files\Ohjelmat\Adobe\Acrobat 7.0\ActiveX\AcroIEHelper.dll
    O2 - BHO: (no name) - {39f25b12-74ff-4079-a51f-1d70f5b08b84} - C:\WINDOWS\system32\ixt0.dll
    O2 - BHO: SSVHelper Class - {761497BB-D6F0-462C-B6EB-D4DAF1D92D43} - C:\Program Files\Java\jre1.5.0_08\bin\ssv.dll
    O2 - BHO: (no name) - {81D702D0-7674-44CC-AA43-861B4AE0BFDB} - C:\WINDOWS\system32\mlljg.dll
    O2 - BHO: Google Toolbar Helper - {AA58ED58-01DD-4d91-8333-CF10577473F7} - c:\program files\google\googletoolbar3.dll
    O3 - Toolbar: &Google - {2318C2B1-4965-11d4-9B18-009027A5CD4F} - c:\program files\google\googletoolbar3.dll
    O4 - HKLM\..\Run: [LVCOMSX] C:\WINDOWS\system32\LVCOMSX.EXE
    O4 - HKLM\..\Run: [DiskeeperSystray] "C:\Program Files\Ohjelmat\Diskeeper Corporation\Diskeeper\DkIcon.exe"
    O4 - HKLM\..\Run: [Adobe Photo Downloader] "C:\Program Files\Adobe\Photoshop Album Starter Edition\3.0\Apps\apdproxy.exe"
    O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\system32\NvCpl.dll,NvStartup
    O4 - HKLM\..\Run: [CTDrive] rundll32.exe C:\WINDOWS\system32\drvmih.dll,startup
    O4 - HKLM\..\Run: [F-Secure Manager] "C:\Program Files\F-Secure\Common\FSM32.EXE" /splash
    O4 - HKLM\..\Run: [F-Secure TNB] "C:\Program Files\F-Secure\TNB\TNBUtil.exe" /CHECKALL /WAITFORSW
    O4 - HKCU\..\Run: [msnmsgr] "C:\Program Files\MSN Messenger\MsnMsgr.Exe" /background
    O4 - Global Startup: F-Secure Automatic Update.lnk = C:\Program Files\F-Secure\BackWeb\7681197\program\F-Secure Automatic Update.exe
    O8 - Extra context menu item: &Block this popup - C:\Program Files\F-Secure\Anti-Spyware\blockpopups.htm
    O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\jre1.5.0_08\bin\ssv.dll
    O9 - Extra 'Tools' menuitem: Sun Java Console - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\jre1.5.0_08\bin\ssv.dll
    O9 - Extra button: IE Shield - {300DB664-75B5-47c0-8B45-A44ACCF73C00} - C:\Program Files\F-Secure\Anti-Spyware\ieshield.dll
    O9 - Extra 'Tools' menuitem: IE Shield... - {300DB664-75B5-47c0-8B45-A44ACCF73C00} - C:\Program Files\F-Secure\Anti-Spyware\ieshield.dll
    O10 - Broken Internet access because of LSP provider 'c:\program files\newdotnet\newdotnet6_38.dll' missing
    O16 - DPF: {6414512B-B978-451D-A0D8-FCFDF33E833C} (WUWebControl Class) - http://update.microsoft.com/windowsupdate/v6/V5Controls/en/x86/client/wuweb_site.cab?1156331476499
    O16 - DPF: {6E32070A-766D-4EE6-879C-DC1FA91D2FC3} (MUWebControl Class) - http://update.microsoft.com/microsoftupdate/v6/V5Controls/en/x86/client/muweb_site.cab?1156331933124
    O18 - Protocol: livecall - {828030A1-22C1-4009-854F-8E305202313F} - C:\PROGRA~1\MSNMES~1\MSGRAP~1.DLL
    O18 - Protocol: msnim - {828030A1-22C1-4009-854F-8E305202313F} - C:\PROGRA~1\MSNMES~1\MSGRAP~1.DLL
    O20 - Winlogon Notify: mlljg - C:\WINDOWS\system32\mlljg.dll
    O23 - Service: Adobe LM Service - Adobe Systems - C:\Program Files\Common Files\Adobe Systems Shared\Service\Adobelmsvc.exe
    O23 - Service: AVG Anti-Spyware Guard - Anti-Malware Development a.s. - C:\Program Files\Ohjelmat\Grisoft\AVG Anti-Spyware 7.5\guard.exe
    O23 - Service: F-Secure Automatic Update (BackWeb Plug-in - 7681197) - F-Secure Automatic Update - C:\PROGRA~1\F-Secure\BackWeb\7681197\Program\SERVIC~1.EXE
    O23 - Service: Diskeeper - Diskeeper Corporation - C:\Program Files\Ohjelmat\Diskeeper Corporation\Diskeeper\DkService.exe
    O23 - Service: FSGKHS (F-Secure Gatekeeper Handler Starter) - F-Secure Corp. - C:\Program Files\F-Secure\Anti-Virus\fsgk32st.exe
    O23 - Service: F-Secure Network Request Broker - F-Secure Corporation - C:\Program Files\F-Secure\Common\FNRB32.EXE
    O23 - Service: fsbwsys - F-Secure Corp. - C:\Program Files\F-Secure\BackWeb\7681197\program\fsbwsys.exe
    O23 - Service: F-Secure Anti-Virus Firewall Daemon (FSDFWD) - F-Secure Corporation - C:\Program Files\F-Secure\FWES\Program\fsdfwd.exe
    O23 - Service: F-Secure Management Agent (FSMA) - F-Secure Corporation - C:\Program Files\F-Secure\Common\FSMA32.EXE
    O23 - Service: Microsoft authenticate service (MsaSvc) - Unknown owner - C:\WINDOWS\system32\msasvc.exe (file missing)
    O23 - Service: NVIDIA Display Driver Service (NVSvc) - NVIDIA Corporation - C:\WINDOWS\system32\nvsvc32.exe
    O23 - Service: ServiceLayer - Nokia. - C:\Program Files\Common Files\PCSuite\Services\ServiceLayer.exe
    O23 - Service: SoundMAX Agent Service (SoundMAX Agent Service (default)) - Analog Devices, Inc. - C:\Program Files\Analog Devices\SoundMAX\SMAgent.exe
    O23 - Service: VundoFix Service (VundoFixSvc) - Atribune.org - C:\WINDOWS\SYSTEM32\VundoFixSVC.exe

    Tässä smitin loki:

    SmitFraudFix v2.119

    Scan done at 17:10:31,34, to 09.11.2006
    Run from C:\Documents and Settings\P. Hirvonen\Ty”p”yt„\SmitfraudFix_v2.119\SmitfraudFix
    OS: Microsoft Windows XP [versio 5.1.2600] - Windows_NT
    Fix run in normal mode

    »»»»»»»»»»»»»»»»»»»»»»»» C:\


    »»»»»»»»»»»»»»»»»»»»»»»» C:\WINDOWS


    »»»»»»»»»»»»»»»»»»»»»»»» C:\WINDOWS\system


    »»»»»»»»»»»»»»»»»»»»»»»» C:\WINDOWS\Web


    »»»»»»»»»»»»»»»»»»»»»»»» C:\WINDOWS\system32

    C:\WINDOWS\system32\ixt?.dll FOUND !
    C:\WINDOWS\system32\ixt??.dll FOUND !
    C:\WINDOWS\system32\drvmih.dll FOUND !
    C:\WINDOWS\system32\components\flx?.dll FOUND !
    C:\WINDOWS\system32\components\flx??.dll FOUND !
    C:\WINDOWS\system32\components\flx???.dll FOUND !

    »»»»»»»»»»»»»»»»»»»»»»»» C:\Documents and Settings\P. Hirvonen


    »»»»»»»»»»»»»»»»»»»»»»»» C:\Documents and Settings\P. Hirvonen\Application Data


    »»»»»»»»»»»»»»»»»»»»»»»» Start Menu

    C:\DOCUME~1\ALLUSE~1\KYNNIS~1\Online Security Guide.url FOUND !
    C:\DOCUME~1\ALLUSE~1\KYNNIS~1\Security Troubleshooting.url FOUND !

    »»»»»»»»»»»»»»»»»»»»»»»» C:\DOCUME~1\P284A~1.HIR\Suosikit

    C:\DOCUME~1\P284A~1.HIR\Suosikit\Antivirus Test Online.url FOUND !

    »»»»»»»»»»»»»»»»»»»»»»»» Desktop


    »»»»»»»»»»»»»»»»»»»»»»»» C:\Program Files

    C:\Program Files\VirusBursters\ FOUND !

    »»»»»»»»»»»»»»»»»»»»»»»» Corrupted keys


    »»»»»»»»»»»»»»»»»»»»»»»» Desktop Components

    [HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\Desktop\Components\0]
    "Source"="C:\\Program Files\\WindowsUpdate\\pono.html"
    "SubscribedURL"=""
    "FriendlyName"=""

    [HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\Desktop\Components\1]
    "Source"="C:\\Program Files\\MSN Gaming Zone\\meleji.html"
    "SubscribedURL"=""
    "FriendlyName"=""
    [HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\Desktop\Components\2]
    "Source"="About:Home"
    "SubscribedURL"="About:Home"
    "FriendlyName"="Nykyinen kotisivu"

    »»»»»»»»»»»»»»»»»»»»»»»» Sharedtaskscheduler
    !!!Attention, following keys are not inevitably infected!!!

    SrchSTS.exe by S!Ri
    Search SharedTaskScheduler's .dll


    »»»»»»»»»»»»»»»»»»»»»»»» AppInit_DLLs
    !!!Attention, following keys are not inevitably infected!!!

    [HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Windows]
    "AppInit_DLLs"=""


    »»»»»»»»»»»»»»»»»»»»»»»» pe386-msguard-lzx32

    pe386 detected, use a Rootkit scanner

    »»»»»»»»»»»»»»»»»»»»»»»» Scanning wininet.dll infection


    »»»»»»»»»»»»»»»»»»»»»»»» End



     
    Viimeksi muokattu: 09.11.2006
    J-lalli, 09.11.2006
    #10
  12. fixeri

    fixeri Regular member

    Liittynyt:
    06.10.2006
    Viestejä:
    381
    Kiitokset:
    0
    Pisteet:
    26
    Tuosta sit.

    Printtaa ohjeet ulos.

    Käynnistä koneesi vikasietotilaan.

    Kun vikasietotilassa, avaa SmitfraudFix kansio ja tupla-klikkaa smitfraudfix.cmd
    Valitse optio 2 - Clean kirjoittamalla 2 ja painamalla "Enter" poistaaksesi tarttuneet tiedostot.

    Sinulta kysytään: "Registry cleaning - Do you want to clean the registry ?"; vastaa "Yes" kirjoittamalla Y ja paina "Enter" poistaaksesi työpöydän taustakuvan ja puhdistaaksesi tarttuneet rekisteriavaimet.

    Työkalu tarkistaa jos wininet.dll on tarttunut. Sinua saatetaan pyytää korvaamaan tarttunut .dll (jos löytyy); vastaa "Yes" kirjoittamalla Y ja painamalla "Enter".

    Työkalun saattaa tarvita käynnistää kone uudelleen; jos ei tee niin, käynnistä normaaliin Windowsiin.
    Tekstitiedosto ilmestyy, puhdistusprosessin jäljiltä; kopioi ja liitä tämän raportin tulokset vastaukseesi.
    Raportti löytyy paikalliselta levyltäsi, useimmiten C:\rapport.txt.
    Lähetä myös uusi HJT logi.

     
    fixeri, 09.11.2006
    #11
  13. Marku2

    Marku2 Regular member

    Liittynyt:
    07.12.2005
    Viestejä:
    1,259
    Kiitokset:
    0
    Pisteet:
    46
    @J-lalli: Jatko-ohjeet:

    Tarkista tämä tiedosto: C:\WINDOWS\system32\msasvc.exe
    Täällä -> http://virusscan.jotti.org/
    Tai
    Täällä -> http://www.virustotal.com/flash/index_en.html

    Lataa VundoFix.exe työpöydällesi.
    • Tupla-klikkaa VundoFix.exe ajaaksesi sen.
    • Klikkaa Scan for Vundo valintaa.
    • Kun skannaus on valmis, klikkaa Remove Vundo valintaa.
    • Sinulta kysytään haluatko poistaa filut - klikkaa YES.
    • Kun olet klikannut yes, työpöytäsi tyhjenee kun se alkaa poistamaan Vundoa.
    • Kun se on valmis, fiksi ilmoittaa käynnistäväsi koneesi uudelleen, klikkaa OK.
    • Postita C:\vundofix.txt lokin sekä tuoreen HijackThis lokin sisältö.

    Huomaa: Se on mahdollista että VundoFix löysi tiedoston jota se ei pystynyt poistamaan.
    Tässä tilanteessa, VundoFix ajaa itsensä rebootissa, seuraa vain yläpuolelle olevia ohjeita alkaen kohdasta "Klikkaa Scan for Vundo valintaa." kun VundoFix ilmaantuu uudelleenkäynnistyksen yhteydessä.

    Hae LSPFix tuolta (joko se zippi tai sitten exe).
    http://cexx.org/lspfix.htm

    Tallenna se vaikka työpöydälle tai johonkin hakemistoon.

    Avaa LSPFix

    Laita rasti ruutuun, "I know what I’m doing".

    Klikkaa vasemmassa ruudussa olevaa newdotnet6_38.dll , siirrä se oikealla olevaan ruutuun nuolinäppäimellä, klikkaa "Remove", paina Finish ja sulje LSPFix.

    Printtaa ohjeet ulos.

    Käynnistä koneesi vikasietotilaan ja valitse tavallinen käyttäjätilisi.

    Kun vikasietotilassa, avaa SmitfraudFix kansio ja tupla-klikkaa smitfraudfix.cmd
    Valitse optio #2 - Clean kirjoittamalla 2 ja painamalla "Enter" poistaaksesi tarttuneet tiedostot.

    Sinulta kysytään: "Registry cleaning - Do you want to clean the registry ?"; vastaa "Yes" kirjoittamalla Y ja paina "Enter" poistaaksesi työpöydän taustakuvan ja puhdistaaksesi tarttuneet rekisteriavaimet.

    Työkalu tarkistaa jos wininet.dll on tarttunut. Sinua saatetaan pyytää korvaamaan tarttunut .dll (jos löytyy); vastaa "Yes" kirjoittamalla Y ja painamalla "Enter".

    Työkalun saattaa tarvita käynnistää kone uudelleen; jos ei tee niin, käynnistä normaaliin Windowsiin.
    Tekstitiedosto ilmestyy, puhdistusprosessin jäljiltä; kopioi & liitä tämän raportin tulokset vastaukseesi.
    Raportti löytyy paikalliselta levyltäsi, useimmiten C:\rapport.txt.

    Käynnistä kone normaalitilaan!

    1. Lataa combofix.exe tiedosto työpöydällesi.
    2. Tuplaklikkaa combofix.exe tiedostoa ja seuraa ohjeistuksia.
    3. Kun työkalu on valmis, se tuottaa lokin. Lähetä tämä loki viesti ketjuusi.
    Huom! Älä klikkaile combofixin ikkunaa käytön aikana. Tämä saattaa aiheuttaa ohjelman jumiutumisen.

    Lähetä uusi HjT-loki, C:\vundofix.txt, C:\rapport.txt, C:\Combofix.txt ja Jotti/Virustotalin tulokset.
     
    Viimeksi muokattu: 09.11.2006
    Marku2, 09.11.2006
    #12
  14. fixeri

    fixeri Regular member

    Liittynyt:
    06.10.2006
    Viestejä:
    381
    Kiitokset:
    0
    Pisteet:
    26
    Miksihän nämä samat ohjeet pitää tänne kymmenen eri kertaa laittaa?
     
    fixeri, 09.11.2006
    #13
  15. J-lalli

    J-lalli Active member

    Liittynyt:
    08.04.2005
    Viestejä:
    1,292
    Kiitokset:
    7
    Pisteet:
    68
    Niinpä...
    hjt-loki ja smitin loki on tos ylempänä, mutta laitetaan tähän.

    Vieläkii aukee ihme sivuja, ohessa uusi HjT-loki

    Logfile of HijackThis v1.99.1
    Scan saved at 16:48:11, on 9.11.2006
    Platform: Windows XP SP2 (WinNT 5.01.2600)
    MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)

    Running processes:
    C:\WINDOWS\System32\smss.exe
    C:\WINDOWS\system32\csrss.exe
    C:\WINDOWS\system32\winlogon.exe
    C:\WINDOWS\system32\services.exe
    C:\WINDOWS\system32\lsass.exe
    C:\WINDOWS\system32\svchost.exe
    C:\WINDOWS\system32\svchost.exe
    C:\WINDOWS\System32\svchost.exe
    C:\WINDOWS\System32\svchost.exe
    C:\WINDOWS\System32\svchost.exe
    C:\WINDOWS\system32\spoolsv.exe
    C:\WINDOWS\Explorer.EXE
    C:\Program Files\Ohjelmat\Grisoft\AVG Anti-Spyware 7.5\guard.exe
    C:\PROGRA~1\F-Secure\BackWeb\7681197\Program\SERVIC~1.EXE
    C:\Program Files\Ohjelmat\Diskeeper Corporation\Diskeeper\DkService.exe
    C:\Program Files\F-Secure\BackWeb\7681197\Program\F-Secure Automatic Update.exe
    C:\Program Files\F-Secure\Anti-Virus\fsgk32st.exe
    C:\Program Files\F-Secure\Anti-Virus\FSGK32.EXE
    C:\Program Files\F-Secure\BackWeb\7681197\program\fsbwsys.exe
    C:\Program Files\F-Secure\Common\FSMA32.EXE
    C:\Program Files\F-Secure\Anti-Virus\fssm32.exe
    C:\Program Files\F-Secure\Common\FSMB32.EXE
    C:\WINDOWS\system32\nvsvc32.exe
    C:\Program Files\Analog Devices\SoundMAX\SMAgent.exe
    C:\WINDOWS\System32\svchost.exe
    C:\WINDOWS\system32\wdfmgr.exe
    C:\Program Files\F-Secure\Common\FCH32.EXE
    C:\Program Files\F-Secure\Common\FAMEH32.EXE
    C:\Program Files\F-Secure\Anti-Virus\fsqh.exe
    C:\Program Files\F-Secure\Anti-Virus\fsrw.exe
    C:\Program Files\F-Secure\Anti-Virus\fsav32.exe
    C:\WINDOWS\system32\wuauclt.exe
    C:\WINDOWS\system32\LVCOMSX.EXE
    C:\Program Files\Adobe\Photoshop Album Starter Edition\3.0\Apps\apdproxy.exe
    C:\Program Files\F-Secure\Common\FSM32.EXE
    C:\Program Files\MSN Messenger\MsnMsgr.Exe
    C:\Program Files\F-Secure\Common\FNRB32.EXE
    C:\Program Files\F-Secure\FWES\Program\fsdfwd.exe
    C:\Program Files\F-Secure\Common\FIH32.EXE
    C:\Program Files\Common Files\PCSuite\Services\ServiceLayer.exe
    C:\PROGRA~1\F-Secure\ANTI-S~1\fsaw.exe
    C:\Program Files\F-Secure\FSGUI\fsguidll.exe
    C:\WINDOWS\system32\svchost.exe
    C:\WINDOWS\System32\wbem\wmiprvse.exe
    C:\HijackThis_v1.99.1.exe

    R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.telkku.com/
    O2 - BHO: Adobe PDF Reader Link Helper - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Program Files\Ohjelmat\Adobe\Acrobat 7.0\ActiveX\AcroIEHelper.dll
    O2 - BHO: (no name) - {39f25b12-74ff-4079-a51f-1d70f5b08b84} - C:\WINDOWS\system32\ixt0.dll
    O2 - BHO: SSVHelper Class - {761497BB-D6F0-462C-B6EB-D4DAF1D92D43} - C:\Program Files\Java\jre1.5.0_08\bin\ssv.dll
    O2 - BHO: (no name) - {81D702D0-7674-44CC-AA43-861B4AE0BFDB} - C:\WINDOWS\system32\mlljg.dll
    O2 - BHO: Google Toolbar Helper - {AA58ED58-01DD-4d91-8333-CF10577473F7} - c:\program files\google\googletoolbar3.dll
    O3 - Toolbar: &Google - {2318C2B1-4965-11d4-9B18-009027A5CD4F} - c:\program files\google\googletoolbar3.dll
    O4 - HKLM\..\Run: [LVCOMSX] C:\WINDOWS\system32\LVCOMSX.EXE
    O4 - HKLM\..\Run: [DiskeeperSystray] "C:\Program Files\Ohjelmat\Diskeeper Corporation\Diskeeper\DkIcon.exe"
    O4 - HKLM\..\Run: [Adobe Photo Downloader] "C:\Program Files\Adobe\Photoshop Album Starter Edition\3.0\Apps\apdproxy.exe"
    O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\system32\NvCpl.dll,NvStartup
    O4 - HKLM\..\Run: [CTDrive] rundll32.exe C:\WINDOWS\system32\drvmih.dll,startup
    O4 - HKLM\..\Run: [F-Secure Manager] "C:\Program Files\F-Secure\Common\FSM32.EXE" /splash
    O4 - HKLM\..\Run: [F-Secure TNB] "C:\Program Files\F-Secure\TNB\TNBUtil.exe" /CHECKALL /WAITFORSW
    O4 - HKCU\..\Run: [msnmsgr] "C:\Program Files\MSN Messenger\MsnMsgr.Exe" /background
    O4 - Global Startup: F-Secure Automatic Update.lnk = C:\Program Files\F-Secure\BackWeb\7681197\program\F-Secure Automatic Update.exe
    O8 - Extra context menu item: &Block this popup - C:\Program Files\F-Secure\Anti-Spyware\blockpopups.htm
    O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\jre1.5.0_08\bin\ssv.dll
    O9 - Extra 'Tools' menuitem: Sun Java Console - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\jre1.5.0_08\bin\ssv.dll
    O9 - Extra button: IE Shield - {300DB664-75B5-47c0-8B45-A44ACCF73C00} - C:\Program Files\F-Secure\Anti-Spyware\ieshield.dll
    O9 - Extra 'Tools' menuitem: IE Shield... - {300DB664-75B5-47c0-8B45-A44ACCF73C00} - C:\Program Files\F-Secure\Anti-Spyware\ieshield.dll
    O10 - Broken Internet access because of LSP provider 'c:\program files\newdotnet\newdotnet6_38.dll' missing
    O16 - DPF: {6414512B-B978-451D-A0D8-FCFDF33E833C} (WUWebControl Class) - http://update.microsoft.com/windowsupdat...b?1156331476499
    O16 - DPF: {6E32070A-766D-4EE6-879C-DC1FA91D2FC3} (MUWebControl Class) - http://update.microsoft.com/microsoftupd...b?1156331933124
    O18 - Protocol: livecall - {828030A1-22C1-4009-854F-8E305202313F} - C:\PROGRA~1\MSNMES~1\MSGRAP~1.DLL
    O18 - Protocol: msnim - {828030A1-22C1-4009-854F-8E305202313F} - C:\PROGRA~1\MSNMES~1\MSGRAP~1.DLL
    O20 - Winlogon Notify: mlljg - C:\WINDOWS\system32\mlljg.dll
    O23 - Service: Adobe LM Service - Adobe Systems - C:\Program Files\Common Files\Adobe Systems Shared\Service\Adobelmsvc.exe
    O23 - Service: AVG Anti-Spyware Guard - Anti-Malware Development a.s. - C:\Program Files\Ohjelmat\Grisoft\AVG Anti-Spyware 7.5\guard.exe
    O23 - Service: F-Secure Automatic Update (BackWeb Plug-in - 7681197) - F-Secure Automatic Update - C:\PROGRA~1\F-Secure\BackWeb\7681197\Program\SERVIC~1.EXE
    O23 - Service: Diskeeper - Diskeeper Corporation - C:\Program Files\Ohjelmat\Diskeeper Corporation\Diskeeper\DkService.exe
    O23 - Service: FSGKHS (F-Secure Gatekeeper Handler Starter) - F-Secure Corp. - C:\Program Files\F-Secure\Anti-Virus\fsgk32st.exe
    O23 - Service: F-Secure Network Request Broker - F-Secure Corporation - C:\Program Files\F-Secure\Common\FNRB32.EXE
    O23 - Service: fsbwsys - F-Secure Corp. - C:\Program Files\F-Secure\BackWeb\7681197\program\fsbwsys.exe
    O23 - Service: F-Secure Anti-Virus Firewall Daemon (FSDFWD) - F-Secure Corporation - C:\Program Files\F-Secure\FWES\Program\fsdfwd.exe
    O23 - Service: F-Secure Management Agent (FSMA) - F-Secure Corporation - C:\Program Files\F-Secure\Common\FSMA32.EXE
    O23 - Service: Microsoft authenticate service (MsaSvc) - Unknown owner - C:\WINDOWS\system32\msasvc.exe (file missing)
    O23 - Service: NVIDIA Display Driver Service (NVSvc) - NVIDIA Corporation - C:\WINDOWS\system32\nvsvc32.exe
    O23 - Service: ServiceLayer - Nokia. - C:\Program Files\Common Files\PCSuite\Services\ServiceLayer.exe
    O23 - Service: SoundMAX Agent Service (SoundMAX Agent Service (default)) - Analog Devices, Inc. - C:\Program Files\Analog Devices\SoundMAX\SMAgent.exe
    O23 - Service: VundoFix Service (VundoFixSvc) - Atribune.org - C:\WINDOWS\SYSTEM32\VundoFixSVC.exe

    Tässä smitin loki:

    SmitFraudFix v2.119

    Scan done at 17:10:31,34, to 09.11.2006
    Run from C:\Documents and Settings\P. Hirvonen\Ty”p”yt„\SmitfraudFix_v2.119\SmitfraudFix
    OS: Microsoft Windows XP [versio 5.1.2600] - Windows_NT
    Fix run in normal mode

    »»»»»»»»»»»»»»»»»»»»»»»» C:\


    »»»»»»»»»»»»»»»»»»»»»»»» C:\WINDOWS


    »»»»»»»»»»»»»»»»»»»»»»»» C:\WINDOWS\system


    »»»»»»»»»»»»»»»»»»»»»»»» C:\WINDOWS\Web


    »»»»»»»»»»»»»»»»»»»»»»»» C:\WINDOWS\system32

    C:\WINDOWS\system32\ixt?.dll FOUND !
    C:\WINDOWS\system32\ixt??.dll FOUND !
    C:\WINDOWS\system32\drvmih.dll FOUND !
    C:\WINDOWS\system32\components\flx?.dll FOUND !
    C:\WINDOWS\system32\components\flx??.dll FOUND !
    C:\WINDOWS\system32\components\flx???.dll FOUND !

    »»»»»»»»»»»»»»»»»»»»»»»» C:\Documents and Settings\P. Hirvonen


    »»»»»»»»»»»»»»»»»»»»»»»» C:\Documents and Settings\P. Hirvonen\Application Data


    »»»»»»»»»»»»»»»»»»»»»»»» Start Menu

    C:\DOCUME~1\ALLUSE~1\KYNNIS~1\Online Security Guide.url FOUND !
    C:\DOCUME~1\ALLUSE~1\KYNNIS~1\Security Troubleshooting.url FOUND !

    »»»»»»»»»»»»»»»»»»»»»»»» C:\DOCUME~1\P284A~1.HIR\Suosikit

    C:\DOCUME~1\P284A~1.HIR\Suosikit\Antivirus Test Online.url FOUND !

    »»»»»»»»»»»»»»»»»»»»»»»» Desktop


    »»»»»»»»»»»»»»»»»»»»»»»» C:\Program Files

    C:\Program Files\VirusBursters\ FOUND !

    »»»»»»»»»»»»»»»»»»»»»»»» Corrupted keys


    »»»»»»»»»»»»»»»»»»»»»»»» Desktop Components

    [HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\Desktop\Components\0]
    "Source"="C:\\Program Files\\WindowsUpdate\\pono.html"
    "SubscribedURL"=""
    "FriendlyName"=""

    [HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\Desktop\Components\1]
    "Source"="C:\\Program Files\\MSN Gaming Zone\\meleji.html"
    "SubscribedURL"=""
    "FriendlyName"=""
    [HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\Desktop\Components\2]
    "Source"="About:Home"
    "SubscribedURL"="About:Home"
    "FriendlyName"="Nykyinen kotisivu"

    »»»»»»»»»»»»»»»»»»»»»»»» Sharedtaskscheduler
    !!!Attention, following keys are not inevitably infected!!!

    SrchSTS.exe by S!Ri
    Search SharedTaskScheduler's .dll


    »»»»»»»»»»»»»»»»»»»»»»»» AppInit_DLLs
    !!!Attention, following keys are not inevitably infected!!!

    [HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Windows]
    "AppInit_DLLs"=""


    »»»»»»»»»»»»»»»»»»»»»»»» pe386-msguard-lzx32

    pe386 detected, use a Rootkit scanner

    »»»»»»»»»»»»»»»»»»»»»»»» Scanning wininet.dll infection


    »»»»»»»»»»»»»»»»»»»»»»»» End
    Ja Smitfraudfixillä on kaikki tehty.


    combofix

    P. Hirvonen - 06-11-09 18:07:51,92 Service Pack 2
    ComboFix 06.11.9 - Running from: "C:\Documents and Settings\P. Hirvonen\Ty”p”yt„"

    ((((((((((((((((((((((((((((((((((((((((((( E-Give / Ssk's Log )))))))))))))))))))))))))))))))))))))))))))))))))


    C:\Documents and Settings\P. Hirvonen\Application Data\Dxcdmns.dll
    C:\Documents and Settings\P. Hirvonen\Application Data\Dxcknwrd.dll
    C:\Documents and Settings\P. Hirvonen\Application Data\Dxcuknwrd.dll
    C:\WINDOWS\system32\bkd.exe


    * * * POST RUN FILES/FOLDERS * * * * * * * * * * * * * * * * * * * * * * * * * * * * * * * * * *


    (((((((((((((((((((((((((((((((((((((((((((( Other Deletions )))))))))))))))))))))))))))))))))))))))))))))))))


    C:\deskbar_e52.exe
    C:\kybrdff_e52.exe
    C:\WINDOWS\uninstall_nmon.vbs
    C:\Documents and Settings\LocalService\Application Data\NetMon
    C:\Program Files\Inetget2
    C:\Program Files\network monitor
    C:\WINDOWS\system32\components
    C:\Program Files\Common Files\{70020424-0703-1035-1015-021107020166}


    ((((((((((((((((((((((((((((((( Files Created from 2006-10-09 to 2006-11-09 ))))))))))))))))))))))))))))))))))


    2006-11-09 17:53 83,096 --a------ C:\WINDOWS\system32\SSSensor.dll
    2006-11-09 17:53 60,496 --a------ C:\WINDOWS\system32\drivers\Teefer.sys
    2006-11-09 17:53 21,075 --a------ C:\WINDOWS\system32\drivers\wpsdrvnt.sys
    2006-11-09 17:53 14,568 --a------ C:\WINDOWS\system32\drivers\wg6n.sys
    2006-11-09 17:53 14,568 --a------ C:\WINDOWS\system32\drivers\wg5n.sys
    2006-11-09 17:53 14,568 --a------ C:\WINDOWS\system32\drivers\wg4n.sys
    2006-11-09 17:53 14,568 --a------ C:\WINDOWS\system32\drivers\wg3n.sys
    2006-11-09 17:42 53,248 --a------ C:\WINDOWS\system32\Process.exe
    2006-11-09 17:42 40,960 --a------ C:\WINDOWS\system32\swsc.exe
    2006-11-09 17:42 288,417 --a------ C:\WINDOWS\system32\SrchSTS.exe
    2006-11-09 17:42 135,168 --a------ C:\WINDOWS\system32\swreg.exe
    2006-11-09 16:47 547,584 ---hs---- C:\WINDOWS\system32\gjllm.bak1
    2006-11-09 16:45 24,576 --a------ C:\WINDOWS\system32\VundoFixSVC.exe
    2006-11-09 14:26 70,896 --a------ C:\WINDOWS\system32\drivers\fsdfw.sys
    2006-11-09 14:26 33,584 --a------ C:\WINDOWS\system32\drivers\fsndis5.sys
    2006-11-09 14:25 118,842 -r------- C:\WINDOWS\bwUnin-6.3.2.116-7681197L.exe
    2006-11-09 12:52 692,276 --------- C:\WINDOWS\system32\mlljg.dll
    2006-11-09 12:52 110,612 --a------ C:\WINDOWS\system32\nljmvghg.exe
    2006-11-09 12:46 93,696 --a------ C:\WINDOWS\system32\stvsqwb.dll
    2006-11-09 12:46 40,973 ---hs---- C:\WINDOWS\system32\qomkhee.dll
    2006-11-09 12:46 101,888 --a------ C:\WINDOWS\system32\drvmih.dll
    2006-11-09 11:40 0 --a------ C:\xqsfyny.exe
    2006-11-08 22:25 8,464 --a------ C:\WINDOWS\system32\sporder.dll
    2006-11-08 22:25 430,080 --a------ C:\windows_e52.exe
    2006-11-07 13:53 26,496 --a------ C:\WINDOWS\system32\drivers\USBSTOR.SYS
    2006-10-23 14:31 8,704 --a------ C:\WINDOWS\system32\drivers\nmwcdc.sys
    2006-10-23 14:31 50,688 --a------ C:\WINDOWS\system32\nmwcdcls.dll
    2006-10-23 14:31 4,608 --a------ C:\WINDOWS\system32\nmwcdlog.dll
    2006-10-23 14:31 30,720 --a------ C:\WINDOWS\system32\nmwcdcocls.dll
    2006-10-23 14:31 13,312 --a------ C:\WINDOWS\system32\drivers\nmwcdcm.sys
    2006-10-23 14:31 13,312 --a------ C:\WINDOWS\system32\drivers\nmwcdcj.sys
    2006-10-23 14:31 127,488 --a------ C:\WINDOWS\system32\drivers\nmwcd.sys


    (((((((((((((((((((((((((((((((((((((((((((((((( Find3M Report )))))))))))))))))))))))))))))))))))))))))))))))))))))

    Rootkit driver pe386 is present. A rootkit scan is required

    2006-11-09 18:08 -------- d-------- C:\Program Files\Common Files
    2006-11-09 17:53 -------- d-------- C:\Program Files\Sygate
    2006-11-09 17:39 -------- d-------- C:\Documents and Settings\P. Hirvonen\Application Data\uTorrent
    2006-11-09 15:26 -------- dr------- C:\Program Files\Ohjelmat
    2006-11-09 14:25 -------- d-------- C:\Program Files\F-Secure
    2006-11-09 14:19 -------- d-------- C:\Program Files\VSAdd-in
    2006-11-09 13:36 -------- d-------- C:\Program Files\Lonely Cat Games
    2006-11-09 12:55 -------- d-------- C:\Program Files\VirusBursters
    2006-11-09 12:53 -------- d-------- C:\Documents and Settings\P. Hirvonen\Application Data\SearchToolbarCorp
    2006-11-09 12:47 -------- d-------- C:\Program Files\Ultimate Cleaner
    2006-11-09 12:21 -------- d--h----- C:\Program Files\WindowsUpdate
    2006-11-09 12:21 -------- d-------- C:\Program Files\NetMeeting
    2006-11-08 22:55 -------- d-------- C:\Program Files\MSN Gaming Zone
    2006-11-08 21:56 -------- d-------- C:\Program Files\Common Files\Wise Installation Wizard
    2006-11-07 16:13 6187625 --a------ C:\Documents and Settings\P. Hirvonen\Application Data\NMM-MetaData.db
    2006-11-07 15:02 -------- d-------- C:\Program Files\Nokia
    2006-11-07 13:59 -------- d-------- C:\Program Files\MSN Messenger
    2006-11-07 13:49 -------- d-------- C:\Documents and Settings\P. Hirvonen\Application Data\PC Suite
    2006-11-07 12:37 -------- d-------- C:\Documents and Settings\P. Hirvonen\Application Data\Nokia Multimedia Player
    2006-11-05 19:28 -------- d-------- C:\Documents and Settings\P. Hirvonen\Application Data\Identities
    2006-11-05 17:24 -------- d-------- C:\Program Files\Common Files\PCSuite
    2006-11-05 17:24 -------- d-------- C:\Program Files\Common Files\Nokia
    2006-11-01 08:16 -------- d-------- C:\Program Files\PokerStars
    2006-10-27 17:51 -------- d-------- C:\Documents and Settings\P. Hirvonen\Application Data\BSplayer Pro
    2006-10-25 14:33 -------- d-------- C:\Documents and Settings\P. Hirvonen\Application Data\Nokia
    2006-10-23 15:33 -------- d-------- C:\Documents and Settings\P. Hirvonen\Application Data\Datalayer
    2006-10-23 14:45 -------- d-------- C:\Documents and Settings\P. Hirvonen\Application Data\AdobeUM
    2006-10-23 14:45 -------- d-------- C:\Documents and Settings\P. Hirvonen\Application Data\AdobeAUM
    2006-10-23 14:45 -------- d-------- C:\Documents and Settings\P. Hirvonen\Application Data\Adobe
    2006-10-23 14:33 -------- d-------- C:\Program Files\DIFX
    2006-10-23 14:26 -------- d-------- C:\Program Files\Adobe
    2006-10-23 02:50 -------- d-------- C:\Documents and Settings\P. Hirvonen\Application Data\Microsoft
    2006-10-23 02:30 43666 --a------ C:\WINDOWS\system32\xvid-uninstall.exe
    2006-10-19 09:30 -------- d-------- C:\Program Files\Executive Software
    2006-10-19 09:16 -------- d-------- C:\Documents and Settings\P. Hirvonen\Application Data\OpenOffice.org2
    2006-10-18 18:47 -------- d-------- C:\Program Files\Common Files\Adobe
    2006-10-18 18:09 -------- d-------- C:\Program Files\Google
    2006-10-17 14:11 -------- d-------- C:\Program Files\FLAC
    2006-10-14 14:45 -------- d-------- C:\Program Files\MSXML 4.0
    2006-10-13 09:51 -------- d-------- C:\Documents and Settings\P. Hirvonen\Application Data\Vso
    2006-10-13 09:12 -------- d-------- C:\Documents and Settings\P. Hirvonen\Application Data\Canon
    2006-10-12 09:13 -------- d-------- C:\Documents and Settings\P. Hirvonen\Application Data\vlc
    2006-10-09 00:04 -------- d--h----- C:\Program Files\InstallShield Installation Information
    2006-10-08 16:14 218112 --a------ C:\HijackThis_v1.99.1.exe
    2006-10-07 21:10 34308 --a------ C:\WINDOWS\system32\BASSMOD.dll
    2006-10-07 21:07 -------- d-------- C:\Program Files\vso
    2006-10-07 16:46 -------- d-------- C:\Documents and Settings\P. Hirvonen\Application Data\URSoft
    2006-10-07 11:36 47360 --a------ C:\WINDOWS\system32\drivers\pcouffin.sys
    2006-10-06 20:00 -------- d-------- C:\Program Files\Disney Interactive
    2006-09-28 10:29 -------- d-------- C:\Program Files\NCH Swift Sound
    2006-09-28 10:29 -------- d-------- C:\Documents and Settings\P. Hirvonen\Application Data\NCH Swift Sound
    2006-09-27 13:34 -------- d-------- C:\Program Files\OpenOffice.org 2.0
    2006-09-25 09:48 -------- d-------- C:\Documents and Settings\P. Hirvonen\Application Data\RecordPad
    2006-09-21 13:48 -------- d-------- C:\Program Files\Teamspeak2_RC2
    2006-09-21 13:48 -------- d-------- C:\Documents and Settings\P. Hirvonen\Application Data\teamspeak2
    2006-09-18 12:42 44 --a------ C:\WINDOWS\system32\msssc.dll
    2006-09-15 07:43 53 --a------ C:\WINDOWS\system32\bn.dll
    2006-09-14 18:02 -------- d-------- C:\Documents and Settings\P. Hirvonen\Application Data\Help
    2006-09-13 07:03 1084416 --a------ C:\WINDOWS\system32\msxml3.dll
    2006-09-12 16:51 1245184 --a------ C:\WINDOWS\system32\msxml4.dll
    2006-09-06 13:29 98304 --a------ C:\WINDOWS\system32\CmdLineExt.dll
    2006-08-25 17:49 617472 --a------ C:\WINDOWS\system32\comctl32.dll
    2006-08-25 05:47 129784 --------- C:\WINDOWS\system32\pxafs.dll
    2006-08-25 05:47 115880 --------- C:\WINDOWS\system32\pxinsi64.exe
    2006-08-24 20:08 724992 --a------ C:\WINDOWS\iun6002.exe
    2006-08-21 14:26 16896 --a------ C:\WINDOWS\system32\fltlib.dll
    2006-08-21 11:14 23040 --a------ C:\WINDOWS\system32\fltmc.exe
    2006-08-16 13:58 100352 --a------ C:\WINDOWS\system32\6to4svc.dll
    2006-08-16 11:00 6144 --a------ C:\WINDOWS\system32\ff_vfw.dll
    2006-08-16 11:00 503808 --a------ C:\WINDOWS\system32\msvcp71.dll
    2006-08-16 11:00 348160 --a------ C:\WINDOWS\system32\msvcr71.dll
    2006-08-10 18:10 0 -rahs---- C:\MSDOS.SYS
    2006-08-10 18:10 0 -rahs---- C:\IO.SYS
    2006-08-10 18:10 0 --a------ C:\CONFIG.SYS
    2006-08-10 18:10 0 --a------ C:\AUTOEXEC.BAT


    (((((((((((((((((((((((((((((((((((((((((( Reg Loading Points ))))))))))))))))))))))))))))))))))))))))))))))))

    *Note* empty entries are not shown

    [HKEY_CURRENT_USER\software\microsoft\windows\currentversion\run]
    "msnmsgr"="\"C:\\Program Files\\MSN Messenger\\MsnMsgr.Exe\" /background"

    [HKEY_LOCAL_MACHINE\software\microsoft\windows\currentversion\run]
    "LVCOMSX"="C:\\WINDOWS\\system32\\LVCOMSX.EXE"
    "DiskeeperSystray"="\"C:\\Program Files\\Ohjelmat\\Diskeeper Corporation\\Diskeeper\\DkIcon.exe\""
    "Adobe Photo Downloader"="\"C:\\Program Files\\Adobe\\Photoshop Album Starter Edition\\3.0\\Apps\\apdproxy.exe\""
    "NvCplDaemon"="RUNDLL32.EXE C:\\WINDOWS\\system32\\NvCpl.dll,NvStartup"
    "CTDrive"="rundll32.exe C:\\WINDOWS\\system32\\drvmih.dll,startup"
    "F-Secure Manager"="\"C:\\Program Files\\F-Secure\\Common\\FSM32.EXE\" /splash"
    "F-Secure TNB"="\"C:\\Program Files\\F-Secure\\TNB\\TNBUtil.exe\" /CHECKALL /WAITFORSW"
    "SmcService"="C:\\PROGRA~1\\Sygate\\SPF\\smc.exe -startgui"

    [HKEY_CURRENT_USER\software\microsoft\internet explorer\desktop\components]
    "DeskHtmlVersion"=dword:00000110
    "DeskHtmlMinorVersion"=dword:00000005
    "Settings"=dword:00000001
    "GeneralFlags"=dword:00000001

    [HKEY_CURRENT_USER\software\microsoft\internet explorer\desktop\components\0]
    "Source"="C:\\Program Files\\WindowsUpdate\\pono.html"
    "SubscribedURL"=""
    "FriendlyName"=""
    "Flags"=dword:00002000
    "Position"=hex:2c,00,00,00,64,00,00,00,64,00,00,00,58,02,00,00,c8,00,00,00,e8,\
    03,00,00,00,00,00,00,00,00,00,00,00,00,00,00,14,00,00,00,14,00,00,00
    "CurrentState"=hex:01,00,00,40
    "OriginalStateInfo"=hex:18,00,00,00,64,00,00,00,64,00,00,00,58,02,00,00,c8,00,\
    00,00,01,00,00,00
    "RestoredStateInfo"=hex:00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,\
    00,00,00,00,00,00

    [HKEY_CURRENT_USER\software\microsoft\internet explorer\desktop\components\1]
    "Source"="C:\\Program Files\\MSN Gaming Zone\\meleji.html"
    "SubscribedURL"=""
    "FriendlyName"=""
    "Flags"=dword:00002000
    "Position"=hex:2c,00,00,00,64,00,00,00,64,00,00,00,58,02,00,00,c8,00,00,00,ea,\
    03,00,00,00,00,00,00,00,00,00,00,00,00,00,00,14,00,00,00,14,00,00,00
    "CurrentState"=hex:01,00,00,40
    "OriginalStateInfo"=hex:18,00,00,00,64,00,00,00,64,00,00,00,58,02,00,00,c8,00,\
    00,00,01,00,00,00
    "RestoredStateInfo"=hex:00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,\
    00,00,00,00,00,00

    [HKEY_CURRENT_USER\software\microsoft\internet explorer\desktop\components\2]
    "Source"="About:Home"
    "SubscribedURL"="About:Home"
    "FriendlyName"="Nykyinen kotisivu"
    "Flags"=dword:00000002
    "Position"=hex:2c,00,00,00,00,01,00,00,00,00,00,00,00,04,00,00,e2,03,00,00,00,\
    00,00,00,01,00,00,00,01,00,00,00,01,00,00,00,00,00,00,00,00,00,00,00
    "CurrentState"=hex:04,00,00,40
    "OriginalStateInfo"=hex:18,00,00,00,00,01,00,00,00,00,00,00,00,04,00,00,e2,03,\
    00,00,04,00,00,c0
    "RestoredStateInfo"=hex:18,00,00,00,00,01,00,00,00,00,00,00,00,04,00,00,e2,03,\
    00,00,01,00,00,00

    [HKEY_USERS\.default\software\microsoft\windows\currentversion\run]
    "CTFMON.EXE"="C:\\WINDOWS\\System32\\CTFMON.EXE"

    [HKEY_USERS\s-1-5-18\software\microsoft\windows\currentversion\run]
    "CTFMON.EXE"="C:\\WINDOWS\\System32\\CTFMON.EXE"

    [HKEY_LOCAL_MACHINE\software\microsoft\windows\currentversion\explorer\sharedtaskscheduler]
    "{438755C2-A8BA-11D1-B96B-00A0C90312E1}"="Browseui preloader"
    "{8C7461EF-2B13-11d2-BE35-3078302C2030}"="Component Categories cache daemon"

    [HKEY_LOCAL_MACHINE\software\microsoft\windows\currentversion\explorer\shellexecutehooks]
    "{AEB6717E-7E19-11d0-97EE-00C04FD91972}"=""
    "{57B86673-276A-48B2-BAE7-C6DBB3020EB8}"="AVG Anti-Spyware 7.5"

    [HKEY_CURRENT_USER\software\microsoft\windows\currentversion\policies\explorer]
    "NoDriveTypeAutoRun"=hex:ff,00,00,00

    [HKEY_CURRENT_USER\software\microsoft\windows\currentversion\policies\explorer\Run]

    [HKEY_LOCAL_MACHINE\software\microsoft\windows\currentversion\policies\system]
    "dontdisplaylastusername"=dword:00000000
    "legalnoticecaption"=""
    "legalnoticetext"=""
    "shutdownwithoutlogon"=dword:00000001
    "undockwithoutlogon"=dword:00000001

    [HKEY_USERS\.default\software\microsoft\windows\currentversion\policies\explorer]
    "NoDriveTypeAutoRun"=hex:91,00,00,00

    [HKEY_USERS\s-1-5-18\software\microsoft\windows\currentversion\policies\explorer]
    "NoDriveTypeAutoRun"=hex:91,00,00,00

    [HKEY_LOCAL_MACHINE\software\microsoft\windows\currentversion\shellserviceobjectdelayload]
    "PostBootReminder"="{7849596a-48ea-486e-8937-a2a3009f31a9}"
    "CDBurn"="{fbeb8a05-beee-4442-804e-409d6c4515e9}"
    "WebCheck"="{E6FB5E20-DE35-11CF-9C87-00AA005127ED}"
    "SysTray"="{35CEC8A3-2BE6-11D2-8773-92E220524153}"

    [HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg]

    [HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\LogitechSoftwareUpdate]
    "key"="SOFTWARE\\Microsoft\\Windows\\CurrentVersion\\Run"
    "item"="ManifestEngine"
    "hkey"="HKCU"
    "command"="\"C:\\Program Files\\Logitech\\Video\\ManifestEngine.exe\" boot"
    "inimapping"="0"

    HKEY_LOCAL_MACHINE\software\microsoft\windows nt\currentversion\winlogon\notify\mlljg

    [HKEY_LOCAL_MACHINE\system\currentcontrolset\control\securityproviders]
    "SecurityProviders"="msapsspc.dll, schannel.dll, digest.dll, msnsspc.dll"



    ~ ~ ~ ~ ~ ~ ~ ~ Hijackthis Backups ~ ~ ~ ~ ~ ~ ~ ~ ~ ~ ~

    Completion time: 06-11-09 18:12:25.67
    C:\ComboFix.txt ... 06-11-09 18:12
     
    Viimeksi muokattu: 09.11.2006
    J-lalli, 09.11.2006
    #14
  16. -kemisti-

    -kemisti- Active member

    Liittynyt:
    06.06.2005
    Viestejä:
    6,305
    Kiitokset:
    0
    Pisteet:
    96
    @fixeri: Kyse ei ollut täysin samoista ohjeista, Marku2 täydensi omia ohjeitasi...
     
    -kemisti-, 09.11.2006
    #15
  17. J-lalli

    J-lalli Active member

    Liittynyt:
    08.04.2005
    Viestejä:
    1,292
    Kiitokset:
    7
    Pisteet:
    68
    C:\WINDOWS\system32\msasvc.exe

    Tuota ei löytyny...
     
    J-lalli, 09.11.2006
    #16
  18. Marku2

    Marku2 Regular member

    Liittynyt:
    07.12.2005
    Viestejä:
    1,259
    Kiitokset:
    0
    Pisteet:
    46
    @J-lalli: Jatko ohjeet:

    Lataa RustBFix by ejvindh ja tallenna se työpöydällesi.

    Tuplaklikkaa tiedostoa rustbfix.exe. Jos löytyy Rustock.b-infektio, sinua pyydetään pian käynnistämään kone uudelleen. Uudelleenkäynnistyminen saattaa kestää hetken ja joudut ehkä käynnistämään koneen vielä toisenkin kerran. Kaikki tämä tapahtuu automaattisesti. Uudelleenkäynnistyksen jälkeen kaksi lokitiedostoa avautuu (%root%\avenger.txt & %root%\rustbfix\pelog.txt).

    Kopioi ja liitä nämä kaksi lokitiedostoa seuraavaan vastaukseesi uuden HijackThis lokin kera.

    Tee tämä uudelleen ja vikasietotilassa:

    Printtaa ohjeet ulos.

    Käynnistä koneesi vikasietotilaan ja valitse tavallinen käyttäjätilisi.

    Tapa2 päästä vikasietotilaan:
    Käynnistä -> Suorita -> msconfig ja valitse sieltä >Boot.ini -välilehti ja lisää siellä /safeboot -kohdalle ruksi ja klikkaa >OK.

    Käynnistä kone uudelleen ja pitäisi aueta vikasietotilaan.
    Kun haluat pois vikasietotilasta, ota ruksi pois /safeboot -kohdasta.


    Kun vikasietotilassa, avaa SmitfraudFix kansio ja tupla-klikkaa smitfraudfix.cmd
    Valitse optio #2 - Clean kirjoittamalla 2 ja painamalla "Enter" poistaaksesi tarttuneet tiedostot.

    Sinulta kysytään: "Registry cleaning - Do you want to clean the registry ?"; vastaa "Yes" kirjoittamalla Y ja paina "Enter" poistaaksesi työpöydän taustakuvan ja puhdistaaksesi tarttuneet rekisteriavaimet.

    Työkalu tarkistaa jos wininet.dll on tarttunut. Sinua saatetaan pyytää korvaamaan tarttunut .dll (jos löytyy); vastaa "Yes" kirjoittamalla Y ja painamalla "Enter".

    Työkalun saattaa tarvita käynnistää kone uudelleen; jos ei tee niin, käynnistä normaaliin Windowsiin.
    Tekstitiedosto ilmestyy, puhdistusprosessin jäljiltä; kopioi & liitä tämän raportin tulokset vastaukseesi.
    Raportti löytyy paikalliselta levyltäsi, useimmiten C:\rapport.txt.

    Lähetä uusi HjT-loki,%root%\avenger.txt & %root%\rustbfix\pelog.txt ja C:\rapport.txt.

    Missäs on C:\vundofix.txt -raportti? Jos haluat koneesi puhtaaksi aja tuo vundofix ja lähetä sen raportti myös.
     
    Marku2, 09.11.2006
    #17
  19. J-lalli

    J-lalli Active member

    Liittynyt:
    08.04.2005
    Viestejä:
    1,292
    Kiitokset:
    7
    Pisteet:
    68
    Täs ois lokit:

    ************************* Rustock.b-fix -- By ejvindh *************************
    to 09.11.2006 19:06:00,53

    Belog loki:

    ******************* Pre-run Status of system *******************

    Rootkit driver PE386 is found. Starting the unload-procedure....
    Examine the Avenger-logfile in order to assess the success of the unload-procedure

    Rustock.b-ADS attached to the System32-folder:
    :lzx32.sys 69070
    Total size: 69070 bytes.
    Attempting to remove ADS...
    system32: deleted 69070 bytes in 1 streams.


    ******************* Post-run Status of system *******************

    Rustock.b-driver on the system: NONE!

    Rustock.b-ADS attached to the System32-folder:
    No streams found.


    ******************************* End of Logfile ********************************

    Loki 2

    Logfile of The Avenger version 1, by Swandog46
    Running from registry key:
    \Registry\Machine\System\CurrentControlSet\Services\yqofhsvb

    *******************

    Script file located at: \??\C:\WINDOWS\system32\oesacpcs.txt
    Script file opened successfully.

    Script file read successfully

    Backups directory opened successfully at C:\Avenger

    *******************

    Beginning to process script file:

    Driver PE386 unloaded successfully.
    Program C:\Rustbfix\2run.bat successfully set up to run once on reboot.

    Completed script processing.

    *******************

    Finished! Terminate.

    SmitFraudFix v2.119

    Scan done at 19:22:37,32, to 09.11.2006
    Run from C:\Documents and Settings\P. Hirvonen\Ty”p”yt„\SmitfraudFix_v2.119\SmitfraudFix
    OS: Microsoft Windows XP [versio 5.1.2600] - Windows_NT
    Fix run in safe mode

    »»»»»»»»»»»»»»»»»»»»»»»» Before SmitFraudFix
    !!!Attention, following keys are not inevitably infected!!!

    SrchSTS.exe by S!Ri
    Search SharedTaskScheduler's .dll

    »»»»»»»»»»»»»»»»»»»»»»»» Killing process


    »»»»»»»»»»»»»»»»»»»»»»»» Generic Renos Fix

    GenericRenosFix by S!Ri


    »»»»»»»»»»»»»»»»»»»»»»»» Deleting infected files

    C:\WINDOWS\system32\drvmih.dll FOUND !

    »»»»»»»»»»»»»»»»»»»»»»»» C:\Documents and Settings\P. Hirvonen


    »»»»»»»»»»»»»»»»»»»»»»»» C:\Documents and Settings\P. Hirvonen\Application Data


    »»»»»»»»»»»»»»»»»»»»»»»» Start Menu

    C:\DOCUME~1\ALLUSE~1\KYNNIS~1\Online Security Guide.url FOUND !
    C:\DOCUME~1\ALLUSE~1\KYNNIS~1\Security Troubleshooting.url FOUND !

    »»»»»»»»»»»»»»»»»»»»»»»» C:\DOCUME~1\P284A~1.HIR\Suosikit

    C:\DOCUME~1\P284A~1.HIR\Suosikit\Antivirus Test Online.url FOUND !

    »»»»»»»»»»»»»»»»»»»»»»»» Desktop


    »»»»»»»»»»»»»»»»»»»»»»»» C:\Program Files

    C:\Program Files\VirusBursters\ FOUND !

    »»»»»»»»»»»»»»»»»»»»»»»» Corrupted keys


    »»»»»»»»»»»»»»»»»»»»»»»» Desktop Components

    [HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\Desktop\Components\0]
    "Source"="C:\\Program Files\\WindowsUpdate\\pono.html"
    "SubscribedURL"=""
    "FriendlyName"=""

    [HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\Desktop\Components\1]
    "Source"="C:\\Program Files\\MSN Gaming Zone\\meleji.html"
    "SubscribedURL"=""
    "FriendlyName"=""
    [HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\Desktop\Components\2]
    "Source"="About:Home"
    "SubscribedURL"="About:Home"
    "FriendlyName"="Nykyinen kotisivu"

    »»»»»»»»»»»»»»»»»»»»»»»» Sharedtaskscheduler
    !!!Attention, following keys are not inevitably infected!!!

    SrchSTS.exe by S!Ri
    Search SharedTaskScheduler's .dll


    »»»»»»»»»»»»»»»»»»»»»»»» AppInit_DLLs
    !!!Attention, following keys are not inevitably infected!!!

    [HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Windows]
    "AppInit_DLLs"=""


    »»»»»»»»»»»»»»»»»»»»»»»» pe386-msguard-lzx32


    »»»»»»»»»»»»»»»»»»»»»»»» Scanning wininet.dll infection


    »»»»»»»»»»»»»»»»»»»»»»»» End


    VundoFix V6.2.8

    Checking Java version...

    Java version is 1.5.0.8

    Scan started at 16:29:22 9.11.2006

    Listing files found while scanning....

    C:\WINDOWS\system32\anvikjc.dll
    C:\WINDOWS\system32\mlljg.dll
    C:\WINDOWS\system32\gjllm.ini
    C:\WINDOWS\system32\gjllm.bak1
    C:\WINDOWS\system32\gjllm.bak2

    Beginning removal...

    Attempting to delete C:\WINDOWS\system32\anvikjc.dll
    C:\WINDOWS\system32\anvikjc.dll Has been deleted!

    Attempting to delete C:\WINDOWS\system32\mlljg.dll
    C:\WINDOWS\system32\mlljg.dll Could not be deleted.

    Attempting to delete C:\WINDOWS\system32\gjllm.ini
    C:\WINDOWS\system32\gjllm.ini Has been deleted!

    Attempting to delete C:\WINDOWS\system32\gjllm.bak1
    C:\WINDOWS\system32\gjllm.bak1 Has been deleted!

    Attempting to delete C:\WINDOWS\system32\gjllm.bak2
    C:\WINDOWS\system32\gjllm.bak2 Has been deleted!

    Performing Repairs to the registry.
    Done!

    Beginning removal...

    VundoFix V6.2.8

    Checking Java version...

    Java version is 1.5.0.8

    Scan started at 19:31:22 9.11.2006

    Listing files found while scanning....

    C:\WINDOWS\system32\mlljg.dll
    C:\WINDOWS\system32\gjllm.ini
    C:\WINDOWS\system32\gjllm.bak1

    Beginning removal...

    Attempting to delete C:\WINDOWS\system32\mlljg.dll
    C:\WINDOWS\system32\mlljg.dll Could not be deleted.

    Attempting to delete C:\WINDOWS\system32\gjllm.ini
    C:\WINDOWS\system32\gjllm.ini Has been deleted!

    Attempting to delete C:\WINDOWS\system32\gjllm.bak1
    C:\WINDOWS\system32\gjllm.bak1 Has been deleted!

    Performing Repairs to the registry.
    Done!






     
    J-lalli, 09.11.2006
    #18
  20. Marku2

    Marku2 Regular member

    Liittynyt:
    07.12.2005
    Viestejä:
    1,259
    Kiitokset:
    0
    Pisteet:
    46
    Lataa VundoFix.exe työpöydällesi.
    • Tupla-klikkaa VundoFix.exe ajaaksesi sen.
    • Rastita boksi Run VundoFix as a task.
    • Saat viestin joka sanoo "Vundofix will close and re-open in a minute or less". Klikkaa OK.
    • Kun Vundofix uudelleenaukeaa, klikkaa Scan for Vundo valintaa.
    • Kun skannaus on valmis, oikea-klikkaa kyseisen listaboksin sisällä (valkoinen laatikko jossa on löydetyt tiedostot listattu) ja valitse Add more files
    • Kopioi ja liitä seuraavat 2 riviä kahteen ylimmäiseen boksiin
      • C:\WINDOWS\system32\mlljg.dll
      • ]C:\WINDOWS\system32\gjllm.*
    • Klikkaa Add Files ja sitten klikkaa Close Window.
    • Klikkaa Remove Vundo valintaa.
    • Saat viestin jossa kysytään haluatko poistaa valitut tiedostot, klikkaa YES.
    • Kun klikkaat yes, työpöytäsi tyhjenee kun työkalu alkaa poistamaan Vundoa.
    • Kun valmis, saat viestin jossa pyydetään sammuttamaan tietokone, klikkaa OK.
    • Käynnistä koneesi uudelleen.
    • Postita C:\vundofix.txt lokin sisältö tuoreen HijackThis lokin kera.

    Tee tämä uudelleen: (Viimeksi teit vikasietotilassa mutta et optiota 2.) Tuo optio 2. poistaa ne löydöt ;)

    Printtaa ohjeet ulos.

    Käynnistä koneesi vikasietotilaan ja valitse tavallinen käyttäjätilisi.

    Tapa2 päästä vikasietotilaan:
    Käynnistä -> Suorita -> msconfig ja valitse sieltä >Boot.ini -välilehti ja lisää siellä /safeboot -kohdalle ruksi ja klikkaa -> OK.

    Käynnistä kone uudelleen ja pitäisi aueta vikasietotilaan.
    Kun haluat pois vikasietotilasta, ota ruksi pois /safeboot -kohdasta.


    Kun vikasietotilassa, avaa SmitfraudFix kansio ja tupla-klikkaa smitfraudfix.cmd
    Valitse optio #2 - Clean kirjoittamalla 2 ja painamalla "Enter" poistaaksesi tarttuneet tiedostot.

    Sinulta kysytään: "Registry cleaning - Do you want to clean the registry ?"; vastaa "Yes" kirjoittamalla Y ja paina "Enter" poistaaksesi työpöydän taustakuvan ja puhdistaaksesi tarttuneet rekisteriavaimet.

    Työkalu tarkistaa jos wininet.dll on tarttunut. Sinua saatetaan pyytää korvaamaan tarttunut .dll (jos löytyy); vastaa "Yes" kirjoittamalla Y ja painamalla "Enter".

    Työkalun saattaa tarvita käynnistää kone uudelleen; jos ei tee niin, käynnistä normaaliin Windowsiin.
    Tekstitiedosto ilmestyy, puhdistusprosessin jäljiltä; kopioi & liitä tämän raportin tulokset vastaukseesi.
    Raportti löytyy paikalliselta levyltäsi, useimmiten C:\rapport.txt.


    Lähetä uusi HjT-loki, C:\vundofix.txt ja C:\rapport.txt.
     
    Marku2, 09.11.2006
    #19
  21. J-lalli

    J-lalli Active member

    Liittynyt:
    08.04.2005
    Viestejä:
    1,292
    Kiitokset:
    7
    Pisteet:
    68
    Rastita boksi Run VundoFix as a task.
    Ei löydy tommosta???

    VundoFix V6.2.8

    Checking Java version...

    Java version is 1.5.0.8

    Scan started at 16:29:22 9.11.2006

    Listing files found while scanning....

    C:\WINDOWS\system32\anvikjc.dll
    C:\WINDOWS\system32\mlljg.dll
    C:\WINDOWS\system32\gjllm.ini
    C:\WINDOWS\system32\gjllm.bak1
    C:\WINDOWS\system32\gjllm.bak2

    Beginning removal...

    Attempting to delete C:\WINDOWS\system32\anvikjc.dll
    C:\WINDOWS\system32\anvikjc.dll Has been deleted!

    Attempting to delete C:\WINDOWS\system32\mlljg.dll
    C:\WINDOWS\system32\mlljg.dll Could not be deleted.

    Attempting to delete C:\WINDOWS\system32\gjllm.ini
    C:\WINDOWS\system32\gjllm.ini Has been deleted!

    Attempting to delete C:\WINDOWS\system32\gjllm.bak1
    C:\WINDOWS\system32\gjllm.bak1 Has been deleted!

    Attempting to delete C:\WINDOWS\system32\gjllm.bak2
    C:\WINDOWS\system32\gjllm.bak2 Has been deleted!

    Performing Repairs to the registry.
    Done!

    Beginning removal...

    VundoFix V6.2.8

    Checking Java version...

    Java version is 1.5.0.8

    Scan started at 19:31:22 9.11.2006

    Listing files found while scanning....

    C:\WINDOWS\system32\mlljg.dll
    C:\WINDOWS\system32\gjllm.ini
    C:\WINDOWS\system32\gjllm.bak1

    Beginning removal...

    Attempting to delete C:\WINDOWS\system32\mlljg.dll
    C:\WINDOWS\system32\mlljg.dll Could not be deleted.

    Attempting to delete C:\WINDOWS\system32\gjllm.ini
    C:\WINDOWS\system32\gjllm.ini Has been deleted!

    Attempting to delete C:\WINDOWS\system32\gjllm.bak1
    C:\WINDOWS\system32\gjllm.bak1 Has been deleted!

    Performing Repairs to the registry.
    Done!

    VundoFix V6.2.8

    Checking Java version...

    Java version is 1.5.0.8

    Scan started at 21:08:42 9.11.2006

    Listing files found while scanning....


    VundoFix V6.2.8

    Checking Java version...

    Java version is 1.5.0.8

    Scan started at 21:45:31 9.11.2006

    Listing files found while scanning....

    C:\WINDOWS\system32\mlljg.dll
    C:\WINDOWS\system32\gjllm.ini
    C:\WINDOWS\system32\gjllm.bak1

    Beginning removal...

    Attempting to delete C:\WINDOWS\system32\mlljg.dll
    C:\WINDOWS\system32\mlljg.dll Could not be deleted.

    Attempting to delete C:\WINDOWS\system32\gjllm.ini
    C:\WINDOWS\system32\gjllm.ini Has been deleted!

    Attempting to delete C:\WINDOWS\system32\gjllm.bak1
    C:\WINDOWS\system32\gjllm.bak1 Has been deleted!

    Performing Repairs to the registry.
    Done!

    Beginning removal...

    Attempting to delete C:\WINDOWS\system32\mlljg.dll
    C:\WINDOWS\system32\mlljg.dll Has been deleted!

    Performing Repairs to the registry.
    Done!
     
    Viimeksi muokattu: 09.11.2006
    J-lalli, 09.11.2006
    #20
Sivu 1 / 2
Viestiketjun tila:
Viestiketju on suljettu.

Jaa tämä sivu