Добре дошли!

Добре дошли в нашите форуми, пълни с полезна информация. Имате проблем с компютъра или телефона си? Публикувайте нова тема и ще намерите решение на всичките си проблеми. Общувайте свободно и открийте безброй нови приятели.

Моля, регистрирайте се за да публикувате тема и да получите пълен достъп до всички функции.

Как да почистя Win32/Skogazz.A

Последователи

Нова тема
Отговор в тази тема

29 ноември 200718 г.

Здравейте!!!

Днес ми хакнаха през сkайпа нещо много гадно.Така се казва Win32/Skogazz.A.Антивирусната неможе да го изтрия .Имам инсталирана NOD32 но неможе милата да го махне и ми съобщава "The file can be deleted. It is strongly recommended that you back up any crucial data before you proceed. Unable to clean."Което много ме притеснява.Незнам какво да спора и май само някой от вас може да спаси положението.Аз единствено с ваша помощ

Редактирано 29 ноември 200718 г. от Fanfan
Неясно заглавие (преглед на промените)

Цитирай

29 ноември 200718 г.

ESET пусна днес ъпдейт за този червей,но за жалост само го засича.И при мен се появи,чрез WinampA.Стоя си мирно кротко 2 седмици и...днес се разбунтува.Влезе в IExplorer.Стана ми интересно,че почна да си тегли и дружинки,но Нод ги спря.Някои има ли идия как да го изгрия?Благодаря ви предварително...

Редактирано 29 ноември 200718 г. от kai_99 (преглед на промените)

Цитирай

30 ноември 200718 г.

Аз съм хванал едновременно Skogazz.A i spy.keylogger.nbs. С дефинициите от 30.11.2007 NOD май ги изтри. В сайта на ЕСЕТ пише, че тези вируси са включени за първи път в дефинициите от 29-ти

Цитирай

30 ноември 200718 г.

Зная, че има много способни хора в този форум. Моля помогнете и за този проблем. Благодаря ви предварително.

Цитирай

30 ноември 200718 г.

Здравейте!!!
Днес ми хакнаха през сkайпа нещо много гадно.Така се казва Win32/Skogazz.A.Антивирусната неможе да го изтрия .Имам инсталирана NOD32 но неможе милата да го махне и ми съобщава "The file can be deleted. It is strongly recommended that you back up any crucial data before you proceed. Unable to clean."Което много ме притеснява.Незнам какво да спора и май само някой от вас може да спаси положението.Аз единствено с ваша помощ

Въпроси:

1.С Коя версия на антивирусната NOD32 Си?Най-добре виж в I-NET BG liveИзтегли последната версия(3) и си я ъпдейтваш.

2.Дай един Лог от NOD32

3.Какво точно не може да се изчисти?Къде се намира файла?(Примерно c : \ my_file \ file.exe

Виж ако е в RAR или ZIP Файл какво е съдържанието?

4.Дай скрийншот.Като го открие пак натисни бутона PrintScreen(Prstc,SysRq или нещо такова).Отвори Paint и щракни Ctrol+V

Запази и дай скрийн като го запазиш в JPG и го ъплоуднеш тук.

5.Жеале ли рестарт NOD32-то?

Това от мен,лека вечер

Аз съм хванал едновременно Skogazz.A i spy.keylogger.nbs. С дефинициите от 30.11.2007 NOD май ги изтри. В сайта на ЕСЕТ пише, че тези вируси са включени за първи път в дефинициите от 29-ти

virusradar.com

Цитирай

30 ноември 200718 г.

Ако беше "попитал" google.com, щеше да ти посочи кои програми имат дефиниции и би следвало да се справят с проблема.

Инсталирай си AVG Antispyware или a-squared например, ъпдейтни ги и сканирай при изключен System Restore. Ако не помогне, виж и останалите предложения. Ако пак не стане, тогава пиши и ще му мислим.

Редактирано 30 ноември 200718 г. от hlevoust (преглед на промените)

Цитирай

30 ноември 200718 г.

Това Winampa и мене ме зарази. Аз имам същия проблем. Показва ми това:

C:\WINDOWS\system32\iexplore.exe - a variant of Win32/Skogazz worm

C:\WINDOWS\system32\xlndrv.exe - Win32/Skogazz.A worm

D:\System Volume Information\_restore{648B6E88-1462-4E1A-9F3F-EC66B11387F3}\RP327\A0065935.exe - a variant of Win32/Skogazz worm

Има и още един, но като стигне скана до него и компютъра се рестартира.

Намерих това:

http://www.eset.bg/forum/viewtopic.php?t=3...13d60a2102881d8

Но като проверя Firewall-а ми показва, че е изключен и не мога да го включа, а при всеки нов скан тези вируси си остават.

Редактирано 30 ноември 200718 г. от casba (преглед на промените)

Цитирай

30 ноември 200718 г.

Спри System Restore и след това пробвай да го изчистиш ,аз например вчера това направих дори без да знам ,че е толкова злобен вируса.

Забелязах го на един познат в машинката и реших да видя какво е.Първо пуснах Hijackthis и фиксирах ключовете с който стартира.

След това с последните дефеницй на Kaspersky при пълно сканиране го изтрих.

Има няма всичко стана за 30 минутки.Като се има в предвид ,че чаках SpyBot SD да сканира цялата система .Защото си помислих,че това ще да е някакъв шпионец или адонец.А той горкия SpyBot нищо не откри.

Цитирай

30 ноември 200718 г.

Спри System Restore и след това пробвай да го изчистиш ,аз например вчера това направих дори без да знам ,че е толкова злобен вируса.
Забелязах го на един познат в машинката и реших да видя какво е.Първо пуснах Hijackthis и фиксирах ключовете с който стартира.
След това с последните дефеницй на Kaspersky при пълно сканиране го изтрих.
Има няма всичко стана за 30 минутки.Като се има в предвид ,че чаках SpyBot SD да сканира цялата система .Защото си помислих,че това ще да е някакъв шпионец или адонец.А той горкия SpyBot нищо не откри.

Аз съм с Nod32. Трябва ли да инсталирам Kaspersky или първо да опитам с HijackThis?

Цитирай

1 декември 200718 г.

Ако беше "попитал" google.com, щеше да ти посочи кои програми имат дефиниции и би следвало да се справят с проблема.
Инсталирай си AVG Antispyware или a-squared например, ъпдейтни ги и сканирай при изключен System Restore. Ако не помогне, виж и останалите предложения. Ако пак не стане, тогава пиши и ще му мислим.

Моите уважения hlevoust, но не се подлъгвай по името на сайта който си дал.Тази гад не се лови (поне засега от a-squared Free)...Всъщност отново се казва че се хваща от НОД32...

А иначе, спирате System Restore и почиствате стартите точки за възстановяване:

Десен бутон на мишката на My Computer => Properties => System Restore

Сега стартирайте Disk Cleanup...

Start (menu) => Programs => Accessories => System Tools => Disk Cleanup => More Options и почисти последната секция както е показано на снимката:

2.Отваряте Task Manager (и убивате процес свързан с името на намерените файлове)

C:\WINDOWS\system32\iexplore.exe - a variant of Win32/Skogazz worm


C:\WINDOWS\system32\xlndrv.exe - Win32/Skogazz.A worm

След нанирането на проблемата услуга...можеш да я спрем от => Start => RUN => (пишем) services.msc (удряме Enter) => скролираме до подозрителната услуга => стартираме я и избираме => DISABLED (от падащото меню).След което лесно можем да я изтрием...(вижте редовете отдолу).

Още една хитринка тук е използването на комадата *Start => run => въвеждаме => sc delete + (името на услугата)* да изтрием проблемна услуга или такава, която се използва от вирус!.

Например за услугата ieupdater командата ще излежда по този начин sc delete ieupdater

Преди обаче да предприемете каквито и да е стъпки се уверете че услугата е паразитна и е безопасно да се отървете от нея!

3.Сега вече ги изтривате ръчно или с помоща на програмката Unlocker 1.8.5 (ако са заключени) или направо с Eraser 5.86 RC2 (за презаписване на празното място и по-сигурно изтриване)...

http://www.kaldata.com/comments.php?id=156...hlight=unlocker

http://www.kaldata.com/comments.php?id=277...ighlight=Eraser

4.Теглите HijackThis и избирате опцията:

Do a SCAN and save a log file

След това ни предоставяте лог файла (или на адрес http://www.hijackthis.de ) преглеждате резултатите и триете редове съдържащи определението NASTY и червен хикс!

@wowgeleto (как се казва Win32/Skogazz.A при Kaspersky тъй като го няма във вирусната им енциклопедия ?)

Редактирано 1 декември 200718 г. от B-boy[StyLe] (преглед на промените)

Цитирай

1 декември 200718 г.

Много ти благодаря B-boy[styLe] за подробното обяснение, но още снощи направих следните неща:

http://www.eset.bg/forum/viewtopic.php?t=3...13d60a2102881d8

След това вирусите изчезнаха. Но сега направих и всичко, което и ти си описал и ми дава следното:

__________

Logfile of Trend Micro HijackThis v2.0.0 (BETA)

Scan saved at 13:12:09, on 01.12.2007 г.

Platform: Windows XP SP2 (WinNT 5.01.2600)

Boot mode: Normal

Running processes:

C:\WINDOWS\System32\smss.exe

C:\WINDOWS\system32\winlogon.exe

C:\WINDOWS\system32\services.exe

C:\WINDOWS\system32\lsass.exe

C:\WINDOWS\system32\svchost.exe

C:\WINDOWS\System32\svchost.exe

C:\WINDOWS\Explorer.EXE

C:\WINDOWS\system32\spoolsv.exe

C:\WINDOWS\SOUNDMAN.EXE

C:\WINDOWS\system32\RUNDLL32.EXE

C:\Program Files\CyberLink\PowerDVD\PDVDServ.exe

D:\Programs\Apple Quicktime\qttask.exe

D:\Programs\Daemon Tools\daemon.exe

C:\Program Files\Java\jre1.6.0_03\bin\jusched.exe

D:\Programs\WinAmp\winampa.exe

C:\Program Files\Eset\nod32kui.exe

C:\Program Files\Skype\Phone\Skype.exe

C:\WINDOWS\system32\ctfmon.exe

C:\Program Files\Messenger\msmsgs.exe

D:\Programs\Weather\Weather Watcher\ww.exe

C:\Program Files\Common Files\Microsoft Shared\VS7DEBUG\MDM.EXE

C:\Program Files\Eset\nod32krn.exe

C:\WINDOWS\system32\nvsvc32.exe

C:\WINDOWS\System32\svchost.exe

C:\Program Files\Skype\Plugin Manager\SkypePM.exe

C:\Program Files\Internet Explorer\IEXPLORE.EXE

C:\Program Files\BitComet\BitComet.exe

C:\WINDOWS\system32\ExeContainer.exe

C:\Program Files\Common Files\Microsoft Shared\Source Engine\OSE.EXE

D:\Programs\Trend Micro HijackThis 2.0.0 Beta.exe

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Bar = http://google.icq.com/search/search_frame.php

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://######/

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Local Page =

O1 - Hosts: 212.150.54.250 dv-networks.com

O1 - Hosts: 66.98.148.65 auto.search.msn.com

O1 - Hosts: 66.98.148.65 auto.search.msn.es

O2 - BHO: Adobe PDF Reader Link Helper - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Program Files\Common Files\Adobe\Acrobat\ActiveX\AcroIEHelper.dll

O2 - BHO: SSVHelper Class - {761497BB-D6F0-462C-B6EB-D4DAF1D92D43} - C:\Program Files\Java\jre1.6.0_03\bin\ssv.dll

O2 - BHO: (no name) - {A5366673-E8CA-11D3-9CD9-0090271D075B} - (no file)

O3 - Toolbar: FlashGet Bar - {E0E899AB-F487-11D5-8D29-0050BA6940E3} - D:\Programs\FlashGet\FlashGet\fgiebar.dll

O3 - Toolbar: Easy-WebPrint - {327C2873-E90D-4c37-AA9D-10AC9BABA46C} - C:\Program Files\Canon\Easy-WebPrint\Toolband.dll

O4 - HKLM\..\Run: [soundMan] SOUNDMAN.EXE

O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\system32\NvCpl.dll,NvStartup

O4 - HKLM\..\Run: [nwiz] nwiz.exe /install

O4 - HKLM\..\Run: [NvMediaCenter] RUNDLL32.EXE C:\WINDOWS\system32\NvMcTray.dll,NvTaskbarInit

O4 - HKLM\..\Run: [RemoteControl] "C:\Program Files\CyberLink\PowerDVD\PDVDServ.exe"

O4 - HKLM\..\Run: [NeroFilterCheck] C:\WINDOWS\system32\NeroCheck.exe

O4 - HKLM\..\Run: [QuickTime Task] "D:\Programs\Apple Quicktime\qttask.exe" -atboottime

O4 - HKLM\..\Run: [DAEMON Tools-1033] "D:\Programs\Daemon Tools\daemon.exe" -lang 1033

O4 - HKLM\..\Run: [Network Associates Error Reporting Service] "C:\Program Files\Common Files\Network Associates\TalkBack\TBMon.exe"

O4 - HKLM\..\Run: [shStatEXE] "C:\Program Files\Network Associates\VirusScan\SHSTAT.EXE" /STANDALONE

O4 - HKLM\..\Run: [McAfeeUpdaterUI] "C:\Program Files\Network Associates\Common Framework\UpdaterUI.exe" /StartedFromRunKey

O4 - HKLM\..\Run: [TkBellExe] "D:\Programs\KLC\K-Lite Codec Pack\Real\Update_OB\realsched.exe" -osboot

O4 - HKLM\..\Run: [sunJavaUpdateSched] "C:\Program Files\Java\jre1.6.0_03\bin\jusched.exe"

O4 - HKLM\..\Run: [WinampAgent] D:\Programs\WinAmp\winampa.exe

O4 - HKLM\..\Run: [nod32kui] "C:\Program Files\Eset\nod32kui.exe" /WAITSERVICE

O4 - HKLM\..\Run: [Microsoft WinMgmt] iexplore.exe

O4 - HKLM\..\Run: [internetServiceProvider] ispkey.exe

O4 - HKLM\..\RunServices: [ispkey] \ispkey.exe

O4 - HKCU\..\Run: [skype] "C:\Program Files\Skype\Phone\Skype.exe" /nosplash /minimized

O4 - HKCU\..\Run: [ctfmon.exe] C:\WINDOWS\system32\ctfmon.exe

O4 - HKCU\..\Run: [MSMSGS] "C:\Program Files\Messenger\msmsgs.exe" /background

O4 - HKCU\..\Run: [Advanced Uninstaller PRO Installation Monitor] "D:\Programs\Advanced Uninstaller PRO - Version 8\monitor.exe"

O4 - HKCU\..\Run: [WeatherWatcher] D:\Programs\Weather\Weather Watcher\ww.exe

O4 - HKUS\S-1-5-19\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'LOCAL SERVICE')

O4 - HKUS\S-1-5-20\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'NETWORK SERVICE')

O4 - HKUS\S-1-5-18\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'SYSTEM')

O4 - HKUS\.DEFAULT\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'Default user')

O4 - Global Startup: Adobe Reader Speed Launch.lnk = D:\Programs\Reader\reader_sl.exe

O4 - Global Startup: Adobe Reader Synchronizer.lnk = D:\Programs\Reader\AdobeCollabSync.exe

O8 - Extra context menu item: E&xport to Microsoft Excel - res://C:\PROGRA~1\MICROS~2\OFFICE11\EXCEL.EXE/3000

O8 - Extra context menu item: Easy-WebPrint Add To Print List - res://C:\Program Files\Canon\Easy-WebPrint\Resource.dll/RC_AddToList.html

O8 - Extra context menu item: Easy-WebPrint High Speed Print - res://C:\Program Files\Canon\Easy-WebPrint\Resource.dll/RC_HSPrint.html

O8 - Extra context menu item: Easy-WebPrint Preview - res://C:\Program Files\Canon\Easy-WebPrint\Resource.dll/RC_Preview.html

O8 - Extra context menu item: Easy-WebPrint Print - res://C:\Program Files\Canon\Easy-WebPrint\Resource.dll/RC_Print.html

O8 - Extra context menu item: Сваляне на всички с FlashGet - D:\Programs\FlashGet\FlashGet\jc_all.htm

O8 - Extra context menu item: Сваляне с FlashGet - D:\Programs\FlashGet\FlashGet\jc_link.htm

O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\jre1.6.0_03\bin\ssv.dll

O9 - Extra 'Tools' menuitem: Sun Java Console - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\jre1.6.0_03\bin\ssv.dll

O9 - Extra button: Research - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - C:\PROGRA~1\MICROS~2\OFFICE11\REFIEBAR.DLL

O9 - Extra button: FlashGet - {D6E814A0-E0C5-11d4-8D29-0050BA6940E3} - D:\Programs\FlashGet\FlashGet\flashget.exe

O9 - Extra 'Tools' menuitem: &FlashGet - {D6E814A0-E0C5-11d4-8D29-0050BA6940E3} - D:\Programs\FlashGet\FlashGet\flashget.exe

O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe

O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe

O12 - Plugin for .spop: C:\Program Files\Internet Explorer\Plugins\NPDocBox.dll

O17 - HKLM\System\CCS\Services\Tcpip\..\{4F51B385-0C0D-4893-895A-B030B7458C9A}: NameServer = 193.200.15.155 193.200.15.156

O18 - Protocol: skype4com - {FFC8B962-9B40-4DFF-9458-1830C7DD7F5D} - C:\PROGRA~1\COMMON~1\Skype\SKYPE4~1.DLL

O22 - SharedTaskScheduler: Browseui preloader - {438755C2-A8BA-11D1-B96B-00A0C90312E1} - C:\WINDOWS\system32\browseui.dll

O22 - SharedTaskScheduler: Component Categories cache daemon - {8C7461EF-2B13-11d2-BE35-3078302C2030} - C:\WINDOWS\system32\browseui.dll

O22 - SharedTaskScheduler: electroosmoses - {eb86b46a-d6db-4478-8f5f-06cb2ebc1b35} - C:\WINDOWS\system32\nexpegp.dll (file missing)

O23 - Service: InstallDriver Table Manager (IDriverT) - Macrovision Corporation - C:\Program Files\Common Files\InstallShield\Driver\1050\Intel 32\IDriverT.exe

O23 - Service: NOD32 Kernel Service (NOD32krn) - Eset - C:\Program Files\Eset\nod32krn.exe

O23 - Service: NVIDIA Display Driver Service (NVSvc) - NVIDIA Corporation - C:\WINDOWS\system32\nvsvc32.exe

End of file - 7577 bytes

__________________

Да ги трия ли? Също така да включвам ли отново System Restore? И не знам защо, но от вчера след като получих тези проблеми ми се изключи защитната стена и ми дава Not Monitored и като се опитам да я включа не ми дава да направя отметка.

Редактирано 1 декември 200718 г. от casba (преглед на промените)

Цитирай

1 декември 200718 г.

Маркирай САМО следните неща в HijackThis и натисни бутончето FIX

C:\WINDOWS\system32\ExeContainer.exe - непознат за Google и е с голяма вероятност да е за изтриване...
O1 - Hosts: 212.150.54.250 dv-networks.com

O1 - Hosts: 66.98.148.65 auto.search.msn.com

O1 - Hosts: 66.98.148.65 auto.search.msn.es

O2 - BHO: (no name) - {A5366673-E8CA-11D3-9CD9-0090271D075B} - (no file)

O4 - HKLM\..\Run: [Microsoft WinMgmt] iexplore.exe

O4 - HKLM\..\Run: [internetServiceProvider] ispkey.exe - непознат процес

O4 - HKLM\..\RunServices: [ispkey] \ispkey.exe - непознат процес

O22 - SharedTaskScheduler: electroosmoses - {eb86b46a-d6db-4478-8f5f-06cb2ebc1b35} - C:\WINDOWS\system32\nexpegp.dll (file missing)

За FIREWALL-a изтегли тази програмка (временно спри защитата в реално време че се третира като вирус, но не е)...Сложи отметка пред Windows Firewall и избери REMOVE

http://download.sergiwa.com/security/2/RRT.exe

Виж и тази тема:

Windows Firewall - не мога да го включа

http://www.kaldata.com/forums/index.php?s=...st&p=449023

Редактирано 1 декември 200718 г. от B-boy[StyLe] (преглед на промените)

Цитирай

1 декември 200718 г.

Това не мога да го намеря:

C:\WINDOWS\system32\ExeContainer.exe

Цитирай

1 декември 200718 г.

Имам предвид не да ги търсиш ръчно а да ги маркираш направо в HijackTHIS (сложи отметки само пред тези които съм ти казал и дай FIX) другото остави на програмата

PS: Не го намираш, защото не си направил следните отметки:

(Windows Explorer =>Tools => Folder Options => View махате отметката пред "Hide file extensions for know file types".Можете да включите и "Show hidden files and folders" а за напредналите изключвате "Hide protected operating system files (Recommended)"....

Съдържанието им е скрито за да не могат неопитните потребители да изтрият важни файлове нужни за работата на Операционната Система!

Редактирано 1 декември 200718 г. от B-boy[StyLe] (преглед на промените)

Цитирай

1 декември 200718 г.

Не знам защо, но след като направих всичко компютъра заби и трябваше да рестартирам. Ето при нов скан какво показа:

___________

Logfile of Trend Micro HijackThis v2.0.2

Scan saved at 14:44:39, on 01.12.2007 г.

Platform: Windows XP SP2 (WinNT 5.01.2600)

MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)

Boot mode: Normal

Running processes:

C:\WINDOWS\System32\smss.exe

C:\WINDOWS\system32\winlogon.exe

C:\WINDOWS\system32\services.exe

C:\WINDOWS\system32\lsass.exe

C:\WINDOWS\system32\svchost.exe

C:\WINDOWS\System32\svchost.exe

C:\WINDOWS\system32\spoolsv.exe

C:\WINDOWS\Explorer.EXE

C:\WINDOWS\SOUNDMAN.EXE

C:\WINDOWS\system32\RUNDLL32.EXE

C:\Program Files\CyberLink\PowerDVD\PDVDServ.exe

D:\Programs\Apple Quicktime\qttask.exe

D:\Programs\Daemon Tools\daemon.exe

C:\Program Files\Java\jre1.6.0_03\bin\jusched.exe

D:\Programs\WinAmp\winampa.exe

C:\Program Files\Eset\nod32kui.exe

C:\Program Files\Skype\Phone\Skype.exe

C:\Program Files\Messenger\msmsgs.exe

D:\Programs\Weather\Weather Watcher\ww.exe

C:\WINDOWS\system32\ctfmon.exe

D:\Programs\Reader\reader_sl.exe

C:\Program Files\Common Files\Microsoft Shared\VS7DEBUG\MDM.EXE

C:\Program Files\Eset\nod32krn.exe

C:\WINDOWS\system32\nvsvc32.exe

C:\WINDOWS\System32\svchost.exe

C:\Program Files\Skype\Plugin Manager\SkypePM.exe

C:\WINDOWS\system32\wuauclt.exe

C:\Program Files\Internet Explorer\IEXPLORE.EXE

D:\Programs\HijackThis.exe