Реших да форматирам диск С, но почти веднага след инсталацията на Windows и NOD32 проблемите започват отново. Реших, че версията на NOD или пача може да са заразени и си изтеглих нови, и пак същото. Нито една от програмите, за които даде линк в тази тема не откриват нищо. А не ми се иска да форматирам втория дял, защото имам страшно много информация, която искам да запазя. :)

Пусни си едно или няколко онлайн сканиране за вируси. Също така прочети и инструкциите във важните теми в този раздел. Най-добре прочети Обща инструкция за действия при заразяване с вирус, от където и ще можеш да си пуснеш онлайн сканиране!

Възможно е заразата да е на втория дял. Защо не сложиш едно Live CD от рода на MiniPe или Hirens и да сканираш с тях.

Здравейте !

Предполагам, че има доста хора, на които проблемът е познат. Надявам се и някой да сподели за успешно

решение.

В нашата фирма имаме дузина РС, с инсталирани Windows XP. Практически всички колеги имаме на разположение

флаш-памети, не всички от един тип и производител. От известно време ни се появи въпросният проблем,

свързан с флашовете.

При поставяне на флаша в USB-порта инсталираният NOD32 вади съобщение за

Threat: INF /Autorun virus

и пояснения

File: <flash_drive_letter>:\Autorun.inf

"Event occured at an attempt to access the file by the application (например, ВАРИРА за

различни наблюдавани

случаи) C:\Windows\System32\svchost.exe ... (в друг случай -

C:\Windows\System32\services.exe )"

Дори и след форматиране на флаша ситуацията не се променя, проблемът си остава.

На един от засегнатите РС се вижда, че на току що форматираният флаш след секунди се появява,

едновременно със съощението на NOD32, някякъв файл "setup.exe", със следните "Properties:

Size: 208896 bytes

Company: SunSoft

Version: 1.0.0.177

Секунди след ръчно изтриване на този setup.exe (File - Delete) той се "възражда", съпроводен, разбира се, с

"Alert"-a на NOD32. И това се повтаря, докато флаша не бъде изваден от USB-порта.

Пускам веднага "virus scan" с NOD32 - НЕ открива нищо, асоцииращо се с "autorun".

С изваждане на флаша от USB-порта проблемът приключва.

Същият флаш на друг РС не предизвиква никакви проблеми и на него не се вижда никакъв "setup.exe" файл !

Обобщено, картината в момента изглежда така - някои флашове, на някои компютри, предизвикват проблема; на

други компютри, със същите или други флашове, проблем няма.

Предварително благодаря на всеки, който може да предложи решение на проблема.

Поздрави

Любо

Да това са сравнително НОВИ вариани на червеи като doomsday и AGENT...

За пълното премахване на заразата трябва да се направят следните неща:

Пример за подобна зараза!

1.Спиране на SYSTEM RESTORE - задължително! така ще се спре "ВЪРАЖДАНЕТО" им...

Десен бутон на My Computer = > Properties => System Restore => Turn off system restore (слагаш отметка)

2.Убиване на процеса svfhost.exe, както и премахване на отметката за стартиране с Операционната Система!Използвал съм Ace Utilities, която е платена, но функционира напълно за 30-дена...или да си изтеглите: Autoruns, StartUp Control Panel, които са безплатни.

http://www.kaldata.com/comments.php?id=278...p;highlight=ace

3.Изтриване на файловете - WBINSTALLS.EXE и AUTORUN.INF (за да ги видиш трябва да сложиш отметките за показване на скритите файлове => ВКЛЮЧИТЕЛНО и системните)!

Start => run => control folders => View => махаш отметката пред Hide Protected Operating System Files (Recommended)...и слагаш отметка на "Show hidden files and folders!

4.Сканиране с AVIRA (тя се справя успешно с него), както и (AVZ)

ftp://ftp3.tnc.edu.tw/antivir/antivir_wor..._win7u_en_h.exe

http://z-oleg.com/avz4.zip

5.Да сканираш и да почистиш всички компютри един по един и накрая да събереш всички флашки, фотоапарати и други устройства който са имали достъп до заразените услуги и да почистиш и тях (или за по-лесно направо да ги форматираш), защото иначе се получава един "ОМАГЬОСЪН КРЪГ" от непрекъснато заразяване от КОМПЮТЪР на ФЛАШКА и ОБРАТНО от който трудно се излиза...

Забележи че след изтриването на тези файлове преди да извадиш ФЛАШКАТА спира да и работи функцията OPEN - трябва да избереш десен бутон => Explore...но след повторното и изваждане и поставяне всичко си идва на мястото...

Добра идея е да сканираш и за RAVMON - също коварен вирус, който се разпространява през USB устройства...

ДОБАВЕНО:

Днес оправях проблем като твоя и почнах поред всички огнища/компютри + USB устройства и сега никъде няма зараза, но един прихване ли я ще зарази отново всички компютри...Някои имат антивирусни, друга са монтажни и е забранено да се качват такива програми, както и да се рови в ИНТЕРНЕТ от тях, но проблема с флашките съществува...Както и да е (обърни внимание на подобни файлове и процеси...за триене са задължително)!

Как се работи с AVZ - тук:

http://www.kaldata.com/forums/index.php?s=...st&p=785228

АКО НЕ СТЕ НАЯСНО КАКВО ДА ИЗТРИЕТЕ В AVZ (ПОНЕЖЕ НЕ ВСИЧКО НАМЕРЕНО МОЖЕ БИ ЩЕ Е ЗА ТРИЕНЕ,СНИМАЙТЕ ЕКРАНА С НАМЕРЕНИТЕ ОБЕКТИ,И ГО ПОСРАВЕТЕ В СЛЕДВАЩИТЕ СИ КОМЕНТАРИ!

Още един намерен подобен:

http://virusinfo.info/showpost.php?p=172817&postcount=27

Редактирано 19 януари 200818 г. от B-boy[StyLe] (преглед на промените)

B-boy[styLe] - само искам да кажа за тези програми дето си ги пуснал (само да не си помислиш че те обвинявам де).

Реших да изтегля тази програма SmitfraudFix и като си е изтеглих Авирата веднага изпищя после като цъкнах на линка пак ми изписва това Файлът не е намерен.

B-boy[styLe] - само искам да кажа за тези програми дето си ги пуснал (само да не си помислиш че те обвинявам де).

Реших да изтегля тази програма SmitfraudFix и като си е изтеглих Авирата веднага изпищя после като цъкнах на линка пак ми изписва това Файлът не е намерен.

Да така е, защото се засича от антивирусните програми като вирус и затова препоръчвам временно изключване на защитата е реално време при боравене с инструмента...А как се работи с нея (ще се самоцитирам)...

А с SmitFraudFix се работи лесно:

Изтегли я оттук:

http://siri.urz.free.fr/Fix/SmitfraudFix.exe

Стартирай я...тя ще създаде папка с името на програмата, отваряш я и търсиш файл с името Smitfraudfix.cmd (разширението сигурно няма да видиш, но иконката на файла е едно назъбено колело)...преди да го стартираш деактивирай наличната си антивирусна програма!

След като ти се появи менюто от снимката...избери бутона 2 за да започне проверката...

По някое време програмката ще те пита дали да почисти регистрите...Избери с Y и дай Enter...

След края на сканирането ще ти се отвори текстов файл на извършената процедура и премахнатите файлове и инфектирани ключове от регистъра...Ще ти изчезне и WALLPAPER-a (десктоп тапета) да не се учудиш!

Следните вируси бяха открити от аваст! в компютъра ми:

1)Win32:Agent PBF Trj

2)Win32:Agent OLD Trj

3)Редовен червей скрит в D/Program files/pagefile.sys

1)Както уважаемата публика вижда, че въпросния троянец БЕШЕ в keygena. Още преди да отворя, аз проверявам всичко що съм теглил. Та проверявам аз Abode Elements и аваст! изписка, че има гадина. Аз на секундата изтрих посочения торент. Вчера сканирах с аваст! и ми изписка, че същия торент съществува ?! Разбира се, че знам, че дори и изтрит торента се е запаметил на самия твърд диск. Стигнах до(може би грешния), че съответния вирус се е запазил/изтеглил друга версия на гадината. Оттук се сдобивам с втора награда:

2)Win32:Agent OLD Trj- Втората награда откривам за първи път. И както виждате локацията и на дяла на Виста, която въобще не ползвам, но имам информация, която не мога да прехвърля на дискове->не можа да изчистя дяла. Сега видях, че дори няма такава папка-ProgramData?!

3)Този червей го откривам вече за 2-3 път, от както сканирам с аваст. Като цяло мисля, че е като случая-няма го като файл, но не е и "мутирал"

HijackThis-Премахнати "процеси"

O2 - BHO: flashget urlcatch - {2F364306-AA45-47B5-9F9D-39A8B94E7EF7} - (no file)

O2 - BHO: SSVHelper Class - {761497BB-D6F0-462C-B6EB-D4DAF1D92D43} - (no file)

O2 - BHO: FlashGet GetFlash Class - {F156768E-81EF-470C-9057-481BA8380DBA} - (no file)

O20 - AppInit_DLLs:

Сега какво могат да навредят троянците и червея на нормалната дейност на компютъра-забелязах, че Spybota спира да сканира от само себе си, малко по-бавно зареждане на компютъра, aawservice понякога се гаври и вдига 5- процента от CPU. Но като цяло компютъра се държи нормално-няма изскачащи балончета, интернета е нормален.

Мисълта ми е дали да се насочвам към Avira Antivirus. Говоря за безплатни програми.

Редактирано 15 януари 200818 г. от Rommel42 (преглед на промените)

Пробвай да сканираш и с Webroot Spy Sweeper. Ето ти и линк за безплатно легално активиране: http://www.webroot.com/activate

Здравейте,

Имам подозрения, че машината ми е хванала вирус. Пълен скан с NOD32, както и online скан с BitDefender нищо не откриха. Симптомите са следните:

-- Най-подозрително, днес. Занимавам се с web design. FTP клиента, който ползвам e FileZilla 2.2. Днес малко преди 2 следобяд спрях програмата, налагаше ми се да изляза и се прибрах чак след 8. Междувременно, от хостинг-компанията ми са ми писали 5-6 пъти, че от моето IP имам отворени супер много връзки към сървъра и искат от мен да ги спра. Докато, 3 часа по-късно, са ми отрязали достъпа. Сещате се, че като прочетох имейлите по-късно, останах силно озадачен.

-- Имам проблеми от около седмица. В началото, от офис компютъра качих на сървъра редактиран JavaScript. Очевидно този комп е бил заразен. Малко по-късно целия сайт постоянно редиректваше към някакъв руски сайт. 24 часа по-късно, единственото решение беше да изтрия целия сайт и да го качвам наново. След това, изглежда се "оправи". Оттогава, всеки ден имах проблеми с connect-ването към сървъра - за по 30-40 минути, все ме дисконектваше. Разбирам сега, че се е дължало на прекалено многото отворени връзки към сървъра (между 30 и 50, казаха от хостинг компанията).

-- Офис компютъра е силно прецакан - при стариране или опит за ре-инсталиране на NOD, .exe файла изчезва някъде. Пробвах и под save mode - успявам да инсталирам антивирусната, но контролния център сбъгва веднага и не се стартира. Работеше само скенера, но без да ъпдейтне дефинициите - от май 2007 последните. Не намера нищо, но в началото на скан-а казва, че му е откзан достъп до system memory.

-- Не знам моята машина какво е "прихванала", но със сигурност поведението й е странно.

Моля за помощ!

PS. От Event Viewer на windows сякаш локалиирах проблема/ите ...

-- има редица грешки, причинени от SideBySide - намерих от сайт на Symantec, че

Type: Adware

Publisher: sidebysidesearch.com

Risk Impact: Low

File Names: sbss.exe

Редактирано 19 януари 200818 г. от stanley56 (преглед на промените)

Направи една проверка с HijackThis и постави лог файла в следващия си коментар.

http://www.merijn.org/files/HiJackThis_v2.exe

Виж за подозрителни процеси в TASK MANAGER-a (или с Process Explorer), и програми и услуги които се стартират с Операционната Система (от MSCONFIG или от Start => Run => Services.msc).

http://www.kaldata.com/comments.php?catid=1&id=25107

Изчисти временните файлове и папки (примерно с ATF-CLEANER или CCLEANER)

http://www.kaldata.com/comments.php?id=287...hlight=ccleaner

http://www.kaldata.com/forums/index.php?sh...amp;mode=linear

, спри System Restore (Десен бутон на My Computer = > Properties => System Restore => Turn off system restore (слагаш отметка) )

, и сканирай с някои от инструментите от важните теми в раздела.Повечето не се нуждаят от инсталиране.За проследяване на подозрителни връзки към Интернет можеш да използваш Currports или TCPView.Не е зле да се инсталират и последните UPDATE-ти за Windows-a.

http://www.kaldata.com/forums/index.php?showtopic=51005

http://www.kaldata.com/forums/index.php?showtopic=4285

' date='19.01.2008г. в 02:08ч.' post='791990']

Направи една проверка с HijackThis и постави лог файла в следващия си коментар.

http://www.merijn.org/files/HiJackThis_v2.exe

Виж за подозрителни процеси в TASK MANAGER-a (или с Process Explorer), и програми и услуги които се стартират с Операционната Система (от MSCONFIG или от Start => Run => Services.msc).

Ето лог файла от Hijack This:

Logfile of Trend Micro HijackThis v2.0.0 (BETA)

Scan saved at 14:34:42, on 19.01.2008

Platform: Windows XP SP2 (WinNT 5.01.2600)

Boot mode: Normal

Running processes:

C:\WINDOWS\System32\smss.exe

C:\WINDOWS\system32\winlogon.exe

C:\WINDOWS\system32\services.exe

C:\WINDOWS\system32\lsass.exe

C:\WINDOWS\system32\Ati2evxx.exe

C:\WINDOWS\system32\svchost.exe

C:\WINDOWS\System32\svchost.exe

C:\Program Files\Symantec\Symantec Endpoint Protection\Smc.exe

C:\Program Files\Common Files\Symantec Shared\ccSvcHst.exe

C:\WINDOWS\system32\spoolsv.exe

C:\WINDOWS\system32\Ati2evxx.exe

C:\WINDOWS\Explorer.EXE

C:\Program Files\ATI Technologies\ATI Control Panel\atiptaxx.exe

C:\Program Files\Babylon\Babylon-Pro\Babylon.exe

C:\Program Files\Common Files\Symantec Shared\ccApp.exe

C:\WINDOWS\system32\ctfmon.exe

C:\Program Files\InfoNotary\INSigner\INSignerEx.exe

C:\Program Files\Skype\Phone\Skype.exe

C:\Program Files\Siemens\Card API\bin\siecacst.exe

C:\Program Files\IVT Corporation\BlueSoleil\BTNtService.exe

C:\Program Files\Bonjour\mDNSResponder.exe

C:\WINDOWS\system32\oodag.exe

C:\WINDOWS\system32\HPZipm12.exe

C:\Program Files\Analog Devices\SoundMAX\SMAgent.exe

C:\WINDOWS\system32\svchost.exe

C:\Program Files\Symantec\Symantec Endpoint Protection\Rtvscan.exe

C:\Program Files\Symantec\Symantec Endpoint Protection\SmcGui.exe

C:\Program Files\Symantec\Symantec Endpoint Protection\SymCorpUI.exe

C:\Program Files\Mozilla Firefox\firefox.exe

C:\WINDOWS\explorer.exe

D:\Install\Antivirus & Spyware\HiJackThis_v2.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.google.bg/

R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://go.microsoft.com/fwlink/?LinkId=69157

R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://go.microsoft.com/fwlink/?LinkId=54896

R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = http://go.microsoft.com/fwlink/?LinkId=54896

R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = http://go.microsoft.com/fwlink/?LinkId=69157

R1 - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings,ProxyOverride = *.local

O2 - BHO: Adobe PDF Reader Link Helper - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Program Files\Adobe\Acrobat 7.0\ActiveX\AcroIEHelper.dll

O2 - BHO: Skype add-on (mastermind) - {22BF413B-C6D2-4d91-82A9-A0F997BA588C} - C:\Program Files\Skype\Toolbars\Internet Explorer\SkypeIEPlugin.dll

O2 - BHO: (no name) - {2F364306-AA45-47B5-9F9D-39A8B94E7EF7} - (no file)

O2 - BHO: BitComet ClickCapture - {39F7E362-828A-4B5A-BCAF-5B79BFDFEA60} - C:\Program Files\BitComet\tools\BitCometBHO_1.1.8.30.dll

O2 - BHO: SSVHelper Class - {761497BB-D6F0-462C-B6EB-D4DAF1D92D43} - C:\Program Files\Java\jre1.6.0_02\bin\ssv.dll

O2 - BHO: Adobe PDF Conversion Toolbar Helper - {AE7CD045-E861-484f-8273-0445EE161910} - C:\Program Files\Adobe\Acrobat 7.0\Acrobat\AcroIEFavClient.dll

O2 - BHO: gFlash Class - {F156768E-81EF-470C-9057-481BA8380DBA} - C:\PROGRA~1\FlashGet\getflash.dll

O3 - Toolbar: Adobe PDF - {47833539-D0C5-4125-9FA8-0819E2EAAC93} - C:\Program Files\Adobe\Acrobat 7.0\Acrobat\AcroIEFavClient.dll

O3 - Toolbar: FlashGet Bar - {E0E899AB-F487-11D5-8D29-0050BA6940E3} - C:\PROGRA~1\FlashGet\fgiebar.dll

O4 - HKLM\..\Run: [ATIPTA] C:\Program Files\ATI Technologies\ATI Control Panel\atiptaxx.exe

O4 - HKLM\..\Run: [babylon Client] C:\Program Files\Babylon\Babylon-Pro\Babylon.exe -AutoStart

O4 - HKLM\..\Run: [FineReader7NewsReaderPro] C:\Program Files\ABBYY FineReader 7.0 Professional Edition\AbbyyNewsReader.exe

O4 - HKLM\..\Run: [NeroFilterCheck] C:\Program Files\Common Files\Ahead\Lib\NeroCheck.exe

O4 - HKLM\..\Run: [QuickTime Task] "C:\Program Files\QuickTime\QTTask.exe" -atboottime

O4 - HKLM\..\Run: [ccApp] "C:\Program Files\Common Files\Symantec Shared\ccApp.exe"

O4 - HKCU\..\Run: [ctfmon.exe] C:\WINDOWS\system32\ctfmon.exe

O4 - HKCU\..\Run: [iNotaryHotspot] C:\Program Files\InfoNotary\INSigner\INSignerEx.exe

O4 - HKCU\..\Run: [skype] "C:\Program Files\Skype\Phone\Skype.exe" /nosplash /minimized

O4 - HKUS\S-1-5-19\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'LOCAL SERVICE')

O4 - HKUS\S-1-5-20\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'NETWORK SERVICE')

O4 - HKUS\S-1-5-18\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'SYSTEM')

O4 - HKUS\.DEFAULT\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'Default user')

O4 - Global Startup: Adobe Acrobat Speed Launcher.lnk = ?

O4 - Global Startup: HiPath SIcurity Card API.lnk = ?

O6 - HKCU\Software\Policies\Microsoft\Internet Explorer\Restrictions present

O6 - HKCU\Software\Policies\Microsoft\Internet Explorer\Control Panel present

O8 - Extra context menu item: &D&ownload &with BitComet - res://C:\Program Files\BitComet\BitComet.exe/AddLink.htm

O8 - Extra context menu item: &D&ownload all video with BitComet - res://C:\Program Files\BitComet\BitComet.exe/AddVideo.htm

O8 - Extra context menu item: &D&ownload all with BitComet - res://C:\Program Files\BitComet\BitComet.exe/AddAllLink.htm

O8 - Extra context menu item: &Save Flash In This Page - C:\PROGRA~1\FLASHS~1.0\save.htm

O8 - Extra context menu item: Convert link target to Adobe PDF - res://C:\Program Files\Adobe\Acrobat 7.0\Acrobat\AcroIEFavClient.dll/AcroIECapture.html

O8 - Extra context menu item: Convert link target to existing PDF - res://C:\Program Files\Adobe\Acrobat 7.0\Acrobat\AcroIEFavClient.dll/AcroIEAppend.html

O8 - Extra context menu item: Convert selected links to Adobe PDF - res://C:\Program Files\Adobe\Acrobat 7.0\Acrobat\AcroIEFavClient.dll/AcroIECaptureSelLinks.html

O8 - Extra context menu item: Convert selected links to existing PDF - res://C:\Program Files\Adobe\Acrobat 7.0\Acrobat\AcroIEFavClient.dll/AcroIEAppendSelLinks.html

O8 - Extra context menu item: Convert selection to Adobe PDF - res://C:\Program Files\Adobe\Acrobat 7.0\Acrobat\AcroIEFavClient.dll/AcroIECapture.html

O8 - Extra context menu item: Convert selection to existing PDF - res://C:\Program Files\Adobe\Acrobat 7.0\Acrobat\AcroIEFavClient.dll/AcroIEAppend.html

O8 - Extra context menu item: Convert to Adobe PDF - res://C:\Program Files\Adobe\Acrobat 7.0\Acrobat\AcroIEFavClient.dll/AcroIECapture.html

O8 - Extra context menu item: Convert to existing PDF - res://C:\Program Files\Adobe\Acrobat 7.0\Acrobat\AcroIEFavClient.dll/AcroIEAppend.html

O8 - Extra context menu item: Download All by FlashGet - C:\Program Files\FlashGet\jc_all.htm

O8 - Extra context menu item: Download using FlashGet - C:\Program Files\FlashGet\jc_link.htm

O8 - Extra context menu item: E&xport to Microsoft Excel - res://C:\PROGRA~1\MICROS~2\OFFICE11\EXCEL.EXE/3000

O8 - Extra context menu item: Translate with &Babylon - res://C:\Program Files\Babylon\Babylon-Pro\Utils\BabylonIEPI.dll/Translate.htm

O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\jre1.6.0_02\bin\ssv.dll

O9 - Extra 'Tools' menuitem: Sun Java Console - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\jre1.6.0_02\bin\ssv.dll

O9 - Extra button: Flash Saver - {09EA1F80-F40A-11D1-B792-444553540001} - C:\PROGRA~1\FLASHS~1.0\save.htm

O9 - Extra 'Tools' menuitem: Flash Saver - {09EA1F80-F40A-11D1-B792-444553540001} - C:\PROGRA~1\FLASHS~1.0\save.htm

O9 - Extra button: BitComet Search - {461CC20B-FB6E-4f16-8FE8-C29359DB100E} - C:\Program Files\BitComet\tools\BitCometBHO_1.1.8.30.dll

O9 - Extra button: Skype - {77BF5300-1474-4EC7-9980-D32B190E9B07} - C:\Program Files\Skype\Toolbars\Internet Explorer\SkypeIEPlugin.dll

O9 - Extra button: (no name) - {85d1f590-48f4-11d9-9669-0800200c9a66} - %windir%\bdoscandel.exe (file missing)

O9 - Extra 'Tools' menuitem: Uninstall BitDefender Online Scanner v8 - {85d1f590-48f4-11d9-9669-0800200c9a66} - %windir%\bdoscandel.exe (file missing)

O9 - Extra button: Research - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - C:\PROGRA~1\MICROS~2\OFFICE11\REFIEBAR.DLL

O9 - Extra button: FlashGet - {D6E814A0-E0C5-11d4-8D29-0050BA6940E3} - C:\PROGRA~1\FlashGet\flashget.exe

O9 - Extra 'Tools' menuitem: &FlashGet - {D6E814A0-E0C5-11d4-8D29-0050BA6940E3} - C:\PROGRA~1\FlashGet\flashget.exe

O9 - Extra button: (no name) - {e2e2dd38-d088-4134-82b7-f2ba38496583} - %windir%\Network Diagnostic\xpnetdiag.exe (file missing)

O9 - Extra 'Tools' menuitem: @xpsp3res.dll,-20001 - {e2e2dd38-d088-4134-82b7-f2ba38496583} - %windir%\Network Diagnostic\xpnetdiag.exe (file missing)

O9 - Extra button: ICQ6 - {E59EB121-F339-4851-A3BA-FE49C35617C2} - C:\Program Files\ICQ6\ICQ.exe

O9 - Extra 'Tools' menuitem: ICQ6 - {E59EB121-F339-4851-A3BA-FE49C35617C2} - C:\Program Files\ICQ6\ICQ.exe

O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe

O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe

O16 - DPF: {5D86DDB5-BDF9-441B-9E9E-D4730F4EE499} (BDSCANONLINE Control) - http://download.bitdefender.com/resources/scan8/oscan8.cab

O16 - DPF: {6414512B-B978-451D-A0D8-FCFDF33E833C} (WUWebControl Class) - http://www.update.microsoft.com/windowsupd...b?1186938104322

O17 - HKLM\System\CCS\Services\Tcpip\..\{11B23D92-883B-40DE-8893-D7C99EBA08D1}: NameServer = 88.87.0.2 88.87.0.130

O17 - HKLM\System\CCS\Services\Tcpip\..\{D8DDE213-0952-4A40-BEA5-B412010F791C}: NameServer = 88.87.0.2,195.24.32.2

O18 - Protocol: skype4com - {FFC8B962-9B40-4DFF-9458-1830C7DD7F5D} - C:\PROGRA~1\COMMON~1\Skype\SKYPE4~1.DLL

O22 - SharedTaskScheduler: Browseui preloader - {438755C2-A8BA-11D1-B96B-00A0C90312E1} - C:\WINDOWS\system32\browseui.dll

O22 - SharedTaskScheduler: Component Categories cache daemon - {8C7461EF-2B13-11d2-BE35-3078302C2030} - C:\WINDOWS\system32\browseui.dll

O23 - Service: Adobe LM Service - Adobe Systems - C:\Program Files\Common Files\Adobe Systems Shared\Service\Adobelmsvc.exe

O23 - Service: Ati HotKey Poller - ATI Technologies Inc. - C:\WINDOWS\system32\Ati2evxx.exe

O23 - Service: ATI Smart - Unknown owner - C:\WINDOWS\system32\ati2sgag.exe

O23 - Service: BlueSoleil Hid Service - Unknown owner - C:\Program Files\IVT Corporation\BlueSoleil\BTNtService.exe

O23 - Service: ##Id_String1.6844F930_1628_4223_B5CC_5BB94B879762## (Bonjour Service) - Apple Computer, Inc. - C:\Program Files\Bonjour\mDNSResponder.exe

O23 - Service: Symantec Event Manager (ccEvtMgr) - Symantec Corporation - C:\Program Files\Common Files\Symantec Shared\ccSvcHst.exe

O23 - Service: Symantec Settings Manager (ccSetMgr) - Symantec Corporation - C:\Program Files\Common Files\Symantec Shared\ccSvcHst.exe

O23 - Service: FLEXnet Licensing Service - Macrovision Europe Ltd. - C:\Program Files\Common Files\Macrovision Shared\FLEXnet Publisher\FNPLicensingService.exe

O23 - Service: InstallDriver Table Manager (IDriverT) - Macrovision Corporation - C:\Program Files\Common Files\InstallShield\Driver\1050\Intel 32\IDriverT.exe

O23 - Service: LiveUpdate - Symantec Corporation - C:\PROGRA~1\Symantec\LIVEUP~1\LUCOMS~1.EXE

O23 - Service: NMIndexingService - Nero AG - C:\Program Files\Common Files\Ahead\Lib\NMIndexingService.exe

O23 - Service: O&O Defrag - O&O Software GmbH - C:\WINDOWS\system32\oodag.exe

O23 - Service: Pml Driver HPZ12 - HP - C:\WINDOWS\system32\HPZipm12.exe

O23 - Service: Symantec Management Client (SmcService) - Symantec Corporation - C:\Program Files\Symantec\Symantec Endpoint Protection\Smc.exe

O23 - Service: Symantec Network Access Control (SNAC) - Symantec Corporation - C:\Program Files\Symantec\Symantec Endpoint Protection\SNAC.EXE

O23 - Service: SoundMAX Agent Service (SoundMAX Agent Service (default)) - Analog Devices, Inc. - C:\Program Files\Analog Devices\SoundMAX\SMAgent.exe

O23 - Service: Symantec Endpoint Protection (Symantec AntiVirus) - Symantec Corporation - C:\Program Files\Symantec\Symantec Endpoint Protection\Rtvscan.exe

--

End of file - 12025 bytes

Вчера в процесите открих Adware.SideBySide - според сайта на Симантек е нисковредно. После махнах НОД-а и си сложих Symantec Endpoint Protection, но и той не намира нищо. Не успявам да стартирам компа в сейф мод - F8 ми стартира First Boot Device - пробвах поне 10 рестарта.

Ето printscreen на част от процесите:

(приложения файл)

--- С CurrPorts в отворените портове виждам следните съмнителни според мен конекции:

firefox.exe .... remote addr: 81.176238.16 / radikal.ru

...към края:

Unknown .... remote addr: 69.73.141.130 / gold.nocdirect.com

Unknown .... remote addr: 209.172.60.41 / ip-209-172-60-41.static.privatedns.com

Редактирано 19 януари 200818 г. от dalai.lamia (преглед на промените)

Като боднах днес флашката и опс следното прозорче.

Да трия или да дезинфекцирам.

Редактирано 19 януари 200818 г. от ALEXONE™ (преглед на промените)

Вирус е в горния ми пост е описано как се излиза от ситуацията!

Редактирано 19 януари 200818 г. от B-boy[StyLe] (преглед на промените)

Защо си играеш да махаш и слагаш антивирусни като във важните теми има инструменти, които не се нуждаят от инсталиране...А и при наличието на толкова онлайн скенери...Както и да е!В HijackThis не се вижда нищо подозрително...Може да се маркира и да се fix-не това.

O2 - BHO: (no name) - {2F364306-AA45-47B5-9F9D-39A8B94E7EF7} - (no file)

Това предполагам го използваш...Някакъв универсален електронен цифров подпис...

C:\Program Files\InfoNotary\INSigner\INSignerEx.exe

O4 - HKCU\..\Run: [iNotaryHotspot] C:\Program Files\InfoNotary\INSigner\INSignerEx.exe

А това ти трябва да знаеш дали е така...IP адресите и т.н.

O17 - HKLM\System\CCS\Services\Tcpip\..\{11B23D92-883B-40DE-8893-D7C99EBA08D1}: NameServer = 88.87.0.2 88.87.0.130

O17 - HKLM\System\CCS\Services\Tcpip\..\{D8DDE213-0952-4A40-BEA5-B412010F791C}: NameServer = 88.87.0.2,195.24.32.2

Провери дали и файла hosts.ini не е бил пренасочен от гадините:

Редактиране на файла Hosts.ini ако системата ни е поразена от Hijackers:

Намираме файла Hosts.ini :

C:\WINDOWS\system32\drivers\etc\hosts

Отворяме го с NOTEPAD...и го редактираме...Изтриваме всичко от него освен този ред:

127.0.0.1 localhost

после запазваме промените...SAVE

EDIT: Щом липсва в лог файла предполагам че си следвал инструкциите от Symantec за премахване на adware-чето?

За съмнителните конекции може да се включи някой по в час с Remote Administrator, Hamachi и т.н. Тук ми е малко слабо мястото...(засега).

Редактирано 19 януари 200818 г. от B-boy[StyLe] (преглед на промените)

Вирус е в горния ми пост е описано как се излиза от ситуацията!

Благодаря ви но къде е този процес svfhost.exe при мен го няма.

Примера е принципен...При теб ситуацията е подобна.Най-добре изтрий намереното с NOD32, и за по-сигурно провери системата си с AVZ - те ще покажат с кои процеси са свързани тези файлове!

Можеш да триеш Autorun.inf, но не барай SVCHOST.EXE!

http://support.microsoft.com/kb/314056/bg

Примера е принципен...При теб ситуацията е подобна.Най-добре изтрий намереното с NOD32, и за по-сигурно провери системата си с AVZ - те ще покажат с кои процеси са свързани тези файлове!

Можеш да триеш Autorun.inf, но не барай SVCHOST.EXE!

http://support.microsoft.com/kb/314056/bg

Благодаря ти трих с NOD-да после и с AVZ то но този файл Autorun.inf, не го открива уинна,можеш ли да дадеш път към него?

Това е рапорта, на AVZ в него не виждам нищо обезспокоително.

Attention !!! The database was last updated 12.12.2007 г. it is necessary to update the bases using automatic updates (File/Database update)

AVZ Antiviral Toolkit log; AVZ version is 4.29

Scanning started at 19.1.2008 г. 17:40:57

Database loaded: signatures - 138934, NN profile(s) - 2, microprograms of healing - 55, signature database released 12.12.2007 10:43

Heuristic microprograms loaded: 371

SPV microprograms loaded: 9

Digital signatures of system files loaded: 66967

Heuristic analyzer mode: Medium heuristics level

Healing mode: enabled

Windows version: 5.1.2600, Service Pack 2 ; AVZ is launched with administrator rights

System Recovery: Disabled

1. Searching for Rootkits and programs intercepting API functions

1.1 Searching for user-mode API hooks

Analysis: kernel32.dll, export table found in section .text

Analysis: ntdll.dll, export table found in section .text

Analysis: user32.dll, export table found in section .text

Analysis: advapi32.dll, export table found in section .text

Analysis: ws2_32.dll, export table found in section .text

Analysis: wininet.dll, export table found in section .text

Analysis: rasapi32.dll, export table found in section .text

Analysis: urlmon.dll, export table found in section .text

Analysis: netapi32.dll, export table found in section .text

1.2 Searching for kernel-mode API hooks

Driver loaded successfully

SDT found (RVA=082680)

Kernel ntoskrnl.exe found in memory at address 804D7000

SDT = 80559680

KiST = E179EB58 (297)

>>> Attention, KiST table is moved ! (804E26A8(284)->E179EB58(297))

Function NtClose (19) intercepted (80566D49->F1DC2EE2), hook C:\WINDOWS\System32\drivers\klif.sys

Function NtCreateProcess (2F) intercepted (805B0AA4->F1DC26B2), hook C:\WINDOWS\System32\drivers\klif.sys

Function NtCreateProcessEx (30) intercepted (80581E82->F1DC2862), hook C:\WINDOWS\System32\drivers\klif.sys

Function NtCreateSection (32) intercepted (8056461B->F1DC2B12), hook C:\WINDOWS\System32\drivers\klif.sys

Function NtOpenProcess (7A) intercepted (80572D06->F1DC2732), hook C:\WINDOWS\System32\drivers\klif.sys

Function NtQueryInformationFile (97) intercepted (8057147E->F1DC2F62), hook C:\WINDOWS\System32\drivers\klif.sys

Function NtSetInformationProcess (E4) intercepted (8056BD4D->F1DC11AA), hook C:\WINDOWS\System32\drivers\klif.sys

Function NtTerminateProcess (101) intercepted (80584740->F1DC2912), hook C:\WINDOWS\System32\drivers\klif.sys

Functions checked: 284, intercepted: 8, restored: 0

1.3 Checking IDT and SYSENTER

Analysis for CPU 1

Checking IDT and SYSENTER - complete

1.4 Searching for masking processes and drivers

Checking not performed: the extended monitoring driver (AVZPM) is not installed

2. Scanning memory

Number of processes found: 26

Number of modules loaded: 266

Memory checking - complete

3. Scanning disks

4. Checking Winsock Layered Service Provider (SPI/LSP)

LSP settings checked. No errors detected

5. Searching for keyboard/mouse/windows events hooks (Keyloggers, Trojan DLLs)

6. Searching for opened TCP/UDP ports used by malicious programs

Checking disabled by user

7. Heuristic system check

Checking complete

8. Searching for vulnerabilities

>> Services: potentially dangerous service allowed RemoteRegistry (Remote Registry)

>> Services: potentially dangerous service allowed TermService (Terminal Services)

>> Services: potentially dangerous service allowed SSDPSRV (SSDP Discovery Service)

>> Services: potentially dangerous service allowed Alerter (Alerter)

>> Services: potentially dangerous service allowed Schedule (Task Scheduler)

>> Services: potentially dangerous service allowed mnmsrvc (NetMeeting Remote Desktop Sharing)

>> Services: potentially dangerous service allowed RDSessMgr (Remote Desktop Help Session Manager)

> Services: please bear in mind that the set of services depends on the use of the PC (home PC, office PC connected to corporate network, etc)!

>> Security: disk drives' autorun is enabled

>> Security: administrative shares (C$, D$ ...) are enabled

>> Security: anonymous user access is enabled

Checking complete

9. Troubleshooting wizard

Checking complete

Files scanned: 29858, extracted from archives: 18826, malicious programs found 0, suspicions - 0

Scanning finished at 19.1.2008 г. 17:50:27

Time of scanning: 00:09:32

If you have a suspicion on presence of viruses or questions on the suspected objects,

you can address http://virusinfo.info conference

File quarantined succesfully (C:\WINDOWS\System32\drivers\klif.sys)

Благодаря,

Hosts.ini е чист. Това го махнах (нямам си предства какво е): O2 - BHO: (no name) - {2F364306-AA45-47B5-9F9D-39A8B94E7EF7} - (no file).

Другото наистина е електронния ми подпис.

Използвайки CurrPorts забелязах следното - не знам нормално ли е или не:

Като си пусна FileZilla (FTP client) освен, че отваря процес "filezilla.exe" , койтоп прави връзка със съответното IP и remote host, също така се отваря и един "unknown" с ID=0, IP=84.53.182.25 (различно от това, на което е хоста за FTP), и state=time wait. Никаква друга информация. Като пробвах да отворя IP-то ми казва "The requested URL "/", is invalid. Reference #9.15b63554.1200758750.0" . Малко по-рано имаше 3-4 такива конекции. Затварям FileZilla, а то още стои отворено ...

Това чудо SideBySide все още не мога да го намеря. Направи ми впечатление, че една от отворените конекции на Мозила е към някакво IP, зад което стоеше вътрешна страница от bbc.co.uk - а това не съм го посещавал в последните 2-3 месеца. За 2-3 други конекции към някакъв руски сайт споменах по-горе.

Windows-а ми не ще да стартира под сейф мод - едва ли е само заради съвпадението на F8 (pop-up for first boot device). Сутринта успях да вляза в менюто за сейф мод, ама пък ми блокира клавиатурата (keyboard not found) и нямаше как да избера опцията сейф мод. След 6-7 рестарта ми откри клавиатурата. Очевидно е, че в нормален режим Symantec не открива този SideBySide.

Други идеи? (благодаря предварително)

Изобщо погледна ли това за това как се работи с AVZ?

Как се работи с AVZ...

Изтегли програмата (горе съм дал линк):

Разархивирай я в някоя папка и я стартирай!

Първото нещо което да направиш е да избереш => FILE => DATABASE UPDATE (за да обновиш програмата с последните дефиниции).

След това направи настройките както на тази снимка:

След това отиди на AVZPM => и направи това => INSTALL EXTENDED MONITORING DRIVER

Сега вече маркирай кои устройства да бъдат сканирани и пусни проверката...След края и отвори "очилата" - втората опция в дясно и я снимай й дай снимката тук за да ти кажем какво да изтриеш!

Първо трябва да обновиш дефинициите с базата данни.Трябва ми да отвориш "бутона с очилата" за да видим за какво иде реч.А това че го няма този Autorun.inf може да означава че NOD32 си е свършил работата...Този файл по прицип е скрит и за да го видиш просто трябва да направиш тези файлове видими...По-нагоре е обяснено как.Гледам че програмата AVZ ти е сложила под карантина klif.sys (той обикновено е част от Касперски...колко антивирусни си "накачулул" изобщо?).Обърни внимание на точка 8 от лог фаила и спри потенциално опасните услуги...Start => run => Services.msc => ...

Редактирано 19 януари 200818 г. от B-boy[StyLe] (преглед на промените)

Следва ли препоръките за ръчно почистване:

Start => run => regedit => намираш ключа =>

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run

и вдясно триеш реда:

"sbss Launcher" = "%ProgramFiles%\sbss\sbss.exe"

След това пак в регистъра намираш тези два подключа и ги триеш:

HKEY_LOCAL_MACHINE\SOFTWARE\sbss

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Uninstall\sbss

За Safe Mode наистина е странно...Пробвай така дали няма да можеш да рестартираш по-лесно там:

Start > Run > msconfig.exe > BOOT.INI > сложи отметка пред SAFEBOOT > рестартирай

Причината за това събщение да избереш boot device може да се дължи на това че прекалено рано натискаш F8 и ти излиза съобщение от BIOS-a за избор на устройство...

За изчезване на клавиатурата e доста странно...Един път бях трил един keylogger заразил драйвера за клавиатурата намерен от AVZ за PS2 порта и тогава замръзваше и клавиатурата...Не работеше и под Safe Mode, даже под ДОС, само в менюто на БИОС-а бачкаше...Клавиатурата беше Microsoft Natural Keyboard 101/102...пробвах и със USB такава и пак даваше проблеми...Windows зареждаше драйвера за нея успешно, но не виждаше самото устройство (error code 41).Дори REPAIR на инсталацията не помогна.Само format.Има ли някакви индикации в Device Manager-a за тези устройства...жълт триъгълник с удивителна и т.н.

Не мисля обаче че имаш проблеми с SideBySide - паразит.Я отвори грешката от Event Viewer за да видим текста!

Редактирано 25 януари 200818 г. от B-boy[StyLe] (преглед на промените)

Изобщо погледна ли това за това как се работи с AVZ?

Първо трябва да обновиш дефинициите с базата данни.Трябва ми да отвориш "бутона с очилата" за да видим за какво иде реч.А това че го няма този Autorun.inf може да означава че NOD32 си е свършил работата...Този файл по прицип е скрит и за да го видиш просто трябва да направиш тези файлове видими...По-нагоре е обяснено как.Гледам че програмата AVZ ти е сложила под карантина klif.sys (той обикновено е част от Касперски...колко антивирусни си "накачулул" изобщо?).Обърни внимание на точка 8 от лог фаила и спри потенциално опасните услуги...Start => run => Services.msc => ...

Освен НОД-а имам и Кашперски анти хакер инсталиран.

Повечето да не кажа всички от тези процеси

8. Searching for vulnerabilities

>> Services: potentially dangerous service allowed RemoteRegistry (Remote Registry)

>> Services: potentially dangerous service allowed TermService (Terminal Services)

>> Services: potentially dangerous service allowed SSDPSRV (SSDP Discovery Service)

>> Services: potentially dangerous service allowed Alerter (Alerter)

>> Services: potentially dangerous service allowed Schedule (Task Scheduler)

>> Services: potentially dangerous service allowed mnmsrvc (NetMeeting Remote Desktop Sharing)

>> Services: potentially dangerous service allowed RDSessMgr (Remote Desktop Help Session Manager)

> Services: please bear in mind that the set of services depends on the use of the PC (home PC, office PC connected to corporate network, etc)!

Бяха спряни преди скан-а незная защо ги чете като potentially dangerous service allowed

Checking complete

Files scanned: 28154, extracted from archives: 17402, malicious programs found 0, suspicions - 0Това май е добре!

Scanning finished at 21.1.2008 г. 10:47:23

!!! Attention !!! Recovered 8 KiST functions during Anti-Rootkit operation

This may affect execution of several programs, so it is strongly recommended to reboot

Това да го трия ли!

Благодаряти за отделеното време и внимание

Редактирано 21 януари 200818 г. от ALEXONE™ (преглед на промените)

Досега програмата не ме е подвеждала с процеси и услугите...Щом казва че не са спряни значи не са...Да не си им дал само STOP...сложи ги на DISABLED,ако искаш да не ти заредят след рестарта.

Start => Run => Services.msc

Добра програмка също за тази цел е и тази SafeXP, ако не си наясно там има различни профили (Recommended например)...

http://www.theorica.net/download/SafeXP.zip

Колкото до намерения файл => НЕ ГО ТРИИ (част е от Kaspersky)!

Следва ли препоръките за ръчно почистване:

Start => run => regedit => намираш ключа =>

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run

и вдясно триеш реда:

"sbss Launcher" = "%ProgramFiles%\sbss\sbss.exe"

След това пак в регистъра намираш тези два подключа и ги триеш:

HKEY_LOCAL_MACHINE\SOFTWARE\sbss

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Uninstall\sbss

Успях да намеря само на едно място sbss.exe - нямаше го в указания път, излезе при search. На горните места (Software + Uninstall) няма нищо подобно на sbss.

Като отворя current ports с програмата, която препоръча, сега не се появяват съмнителните "Unknown" процеси, за които писах по-горе.

Във event viewer все още излиза едно подозрително събитие, което имаше и преди (виж приложения print screen) - Tcpip . Показва се с жълт триъгълник с удивителна.

Във Application също има подозрителни "неща":

! Warning -- ...source - Userenv ... User - SYSTEM --> на Properties ми излиза: Windows saved user CHEESEUSCOMP\Cheeseus registry while an application or service was still using the registry during log off. The memory used by the user's registry has not been freed. The registry will be unloaded when it is no longer in use. ... хм ...

Не съм получавал предупреждения от хостинг компанията за подобни на първоначалния проблем - казаха, че сега конекциите били ОК.

Благодаря за помощта!

Това инсталира ли го ?

http://www.microsoft.com/downloads/details...;displaylang=en

Това инсталира ли го ?

http://www.microsoft.com/downloads/details...;displaylang=en

Вече да