здравейте!от тая сутрин се занимавам с компа на един приятел,на който му влязло това"чудо".Казва,че тъкмо си включил скайпа,и това нещо поиксало достъп.Той естествено му отказал,но работата станала вече.Ето логовете от MBAM,SAS и HIJackThis: Malwarebytes' Anti-Malware 1.44 Версия на базата от данни: 3799 Windows 6.1.7600 Internet Explorer 8.0.7600.16385 27.2.2010 г. 08:25:37 mbam-log-2010-02-27 (08-25-37).txt Тип сканиране: Бързо сканиране Сканирани обекти: 101635 Изминало време: 3 minute(s), 24 second(s) Заразени процеси в паметта: 0 Заразени модули в паметта: 0 Заразени ключове в регистратурата: 1 Заразени стойности в регистратурата: 0 Заразени информационни обекти в регистратурата: 0 Заразени папки: 1 Заразени файлове: 6 Заразени процеси в паметта: (Не бяха открити заплахи) Заразени модули в паметта: (Не бяха открити заплахи) Заразени ключове в регистратурата: HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Uninstall\{d08d9f98-1c78-4704-87e6-368b0023d831} (Adware.RelevantKnowledge) -> Quarantined and deleted successfully. Заразени стойности в регистратурата: (Не бяха открити заплахи) Заразени информационни обекти в регистратурата: (Не бяха открити заплахи) Заразени папки: C:\Program Files\RelevantKnowledge (Spyware.MarketScore) -> Quarantined and deleted successfully. Заразени файлове: C:\Program Files\RelevantKnowledge\MSVCP71.DLL (Spyware.MarketScore) -> Quarantined and deleted successfully. C:\Program Files\RelevantKnowledge\MSVCR71.DLL (Spyware.MarketScore) -> Quarantined and deleted successfully. C:\Program Files\RelevantKnowledge\rlls.dll (Spyware.MarketScore) -> Quarantined and deleted successfully. C:\Program Files\RelevantKnowledge\rlls64.dll (Spyware.MarketScore) -> Quarantined and deleted successfully. C:\Program Files\RelevantKnowledge\rloci.bin (Spyware.MarketScore) -> Quarantined and deleted successfully. C:\Program Files\RelevantKnowledge\rlvknlg64.exe (Spyware.MarketScore) -> Quarantined and deleted successfully. Malwarebytes' Anti-Malware 1.44 Версия на базата от данни: 3799 Windows 6.1.7600 Internet Explorer 8.0.7600.16385 27.2.2010 г. 12:31:44 mbam-log-2010-02-27 (12-31-44).txt Тип сканиране: Бързо сканиране Сканирани обекти: 101427 Изминало време: 3 minute(s), 18 second(s) Заразени процеси в паметта: 0 Заразени модули в паметта: 0 Заразени ключове в регистратурата: 0 Заразени стойности в регистратурата: 0 Заразени информационни обекти в регистратурата: 0 Заразени папки: 0 Заразени файлове: 0 Заразени процеси в паметта: (Не бяха открити заплахи) Заразени модули в паметта: (Не бяха открити заплахи) Заразени ключове в регистратурата: (Не бяха открити заплахи) Заразени стойности в регистратурата: (Не бяха открити заплахи) Заразени информационни обекти в регистратурата: (Не бяха открити заплахи) Заразени папки: (Не бяха открити заплахи) Заразени файлове: (Не бяха открити заплахи) SUPERAntiSpyware Scan Log http://www.superantispyware.com Generated 02/27/2010 at 07:32 AM Application Version : 4.34.1000 Core Rules Database Version : 4623 Trace Rules Database Version: 2435 Scan type : Complete Scan Total Scan Time : 00:21:34 Memory items scanned : 478 Memory threats detected : 2 Registry items scanned : 6151 Registry threats detected : 0 File items scanned : 30595 File threats detected : 11 Spyware.RelevantKnowledge C:\PROGRAM FILES\RELEVANTKNOWLEDGE\RLLS.DLL C:\PROGRAM FILES\RELEVANTKNOWLEDGE\RLLS.DLL C:\PROGRAM FILES\RELEVANTKNOWLEDGE\RLVKNLG.EXE C:\PROGRAM FILES\RELEVANTKNOWLEDGE\RLVKNLG.EXE C:\PROGRAM FILES\RELEVANTKNOWLEDGE\RLLS64.DLL C:\PROGRAM FILES\RELEVANTKNOWLEDGE\RLSERVICE.EXE C:\PROGRAM FILES\RELEVANTKNOWLEDGE\RLVKNLG64.EXE C:\PROGRAMDATA\MICROSOFT\WINDOWS\START MENU\PROGRAMS\RELEVANTKNOWLEDGE\UNINSTALL INSTRUCTIONS.LNK C:\WINDOWS\TEMP\~OSB9BE.TMP\RLLS.DLL C:\WINDOWS\TEMP\~OSB9BE.TMP\RLLS64.DLL C:\WINDOWS\TEMP\~OSB9BE.TMP\RLSERVICE.EXE C:\WINDOWS\TEMP\~OSB9BE.TMP\RLVKNLG.EXE C:\WINDOWS\TEMP\~OSB9BE.TMP\RLVKNLG64.EXE SUPERAntiSpyware Scan Log http://www.superantispyware.com Generated 02/27/2010 at 07:58 AM Application Version : 4.34.1000 Core Rules Database Version : 4623 Trace Rules Database Version: 2435 Scan type : Complete Scan Total Scan Time : 00:19:56 Memory items scanned : 352 Memory threats detected : 2 Registry items scanned : 6151 Registry threats detected : 0 File items scanned : 30327 File threats detected : 3 Spyware.RelevantKnowledge C:\PROGRAM FILES\RELEVANTKNOWLEDGE\RLLS.DLL C:\PROGRAM FILES\RELEVANTKNOWLEDGE\RLLS.DLL C:\PROGRAM FILES\RELEVANTKNOWLEDGE\RLVKNLG.EXE C:\PROGRAM FILES\RELEVANTKNOWLEDGE\RLVKNLG.EXE C:\PROGRAM FILES\RELEVANTKNOWLEDGE\RLSERVICE.EXE Дневник на сканиране на SUPERAntiSpyware http://www.superantispyware.com Създаден на 02/27/2010 в 12:49 PM Версия на програмата: 4.34.1000 Версия на базата от данни на основните правила: 4623 Версия на базата от данни за остатъците: 2435 Тип на сканиране: Пълно сканиране Общо време за сканиране: 00:17:28 Сканирани обекти в паметта: 334 Засечени заплахи в паметта: 0 Сканирани обекти в регистратурата: 6137 Засечени заплахи в регистратурата: 0 Сканирани файлове: 30806 Засечени заплахи сред файловете: 0 Logfile of Trend Micro HijackThis v2.0.2 Scan saved at 14:04:19 ч., on 27.2.2010 г. Platform: Unknown Windows (WinNT 6.01.3504) MSIE: Internet Explorer v8.00 (8.00.7600.16385) Boot mode: Normal Running processes: C:\Windows\system32\taskhost.exe C:\Windows\system32\Dwm.exe C:\Program Files\Realtek\Audio\HDA\RtHDVCpl.exe C:\Program Files\Alwil Software\Avast5\AvastUI.exe C:\Windows\explorer.exe C:\Program Files\Skype\Phone\Skype.exe C:\Program Files\Mozilla Firefox\firefox.exe C:\Program Files\Trend Micro\HijackThis\HijackThis.exe C:\Windows\system32\SearchFilterHost.exe R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = http://go.microsoft.com/fwlink/?LinkId=54896 R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.google.bg/ R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://go.microsoft.com/fwlink/?LinkId=69157 R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://go.microsoft.com/fwlink/?LinkId=54896 R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = http://go.microsoft.com/fwlink/?LinkId=54896 R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = http://go.microsoft.com/fwlink/?LinkId=69157 R0 - HKLM\Software\Microsoft\Internet Explorer\Search,SearchAssistant = R0 - HKLM\Software\Microsoft\Internet Explorer\Search,CustomizeSearch = R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = O4 - HKLM\..\Run: [RtHDVCpl] C:\Program Files\Realtek\Audio\HDA\RtHDVCpl.exe -s O4 - HKLM\..\Run: [avast5] "C:\Program Files\Alwil Software\Avast5\avastUI.exe" /nogui O4 - HKLM\..\Run: [Malwarebytes Anti-Malware (reboot)] "C:\Program Files\Malwarebytes' Anti-Malware\mbam.exe" /runcleanupscript O8 - Extra context menu item: E&xport to Microsoft Excel - res://C:\PROGRA~1\MICROS~2\OFFICE11\EXCEL.EXE/3000 O9 - Extra button: Research - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - C:\PROGRA~1\MICROS~2\OFFICE11\REFIEBAR.DLL O13 - Gopher Prefix: O20 - Winlogon Notify: !SASWinLogon - C:\Program Files\SUPERAntiSpyware\SASWINLO.dll O23 - Service: avast! Antivirus - ALWIL Software - C:\Program Files\Alwil Software\Avast5\AvastSvc.exe O23 - Service: avast! Mail Scanner - ALWIL Software - C:\Program Files\Alwil Software\Avast5\AvastSvc.exe O23 - Service: avast! Web Scanner - ALWIL Software - C:\Program Files\Alwil Software\Avast5\AvastSvc.exe O23 - Service: RelevantKnowledge - Unknown owner - C:\Program Files\RelevantKnowledge\rlservice.exe (file missing) -- End of file - 2575 bytes Последните логове показват че системата е чиста,но не съм сигурен,докато не чуя мнението на някой по разбиращ от мен.Благодаря предварително от името на моя приятел!

Преди да сканираш, погледна ли в Add or Remove Programs дали няма опция за деинсталиране ?

В повечето бордове за съобщения (message boards) се казваше, че е троянски кон, и по всичко личеше, че е работа на фирмата за маркетингови изследвания Relevant Knowledge. Това приложение събира демографска информация, отговори на анкети, системна информация и данни за ползваемостта на интернет и всичко в централата на Relevant Knowledge. При това rlvknld.exe заема огромни системни ресурси и освен това извежда досадни появяващи се съобщения.

Не се безпокойте обаче за защитата на личната ви информация. В уебсайта на Relevant Knowledge има подробен документ за политиката й, в който се предупреждава, че „Всички лица, инсталиращи този пакет, трябва да са поне на 18 години и компютърът, на който ще бъде инсталирано това приложение, трябва да се използва от родител или настойник“.

Преди да сканираш, погледна ли в Add or Remove Programs дали няма опция за деинсталиране ?

не,не съм гледал.занимавам се с този проблем от обяд.последните сканирания са направени от мен.Изтрих му папката в Старт менюто,а в Програм файлс няма такава.Дали съм го ликвидирал?

Редактирано 27 февруари 201016 г. от DrHAUZ (преглед на промените)

не,не съм гледал.занимавам се с този проблем от обяд.последните сканирания са направени от мен.Изтрих му папката в Старт менюто,а в Програм файлс няма такава.Дали съм го ликвидирал?

И при мен се появи наскоро, но го имам в адд/ремув

http://www.what-is-exe.com/filenames/rlvknlg-exe.html

махай го