MyCity » Ambulanta -> Arhiva Ambulante » Riskware Invader

Riskware Invader

Napisano na dan: 6.12.2006
1

Riskware Invader
Sledeća strana Pagination

Idi na vrh

Poslao: 06 Dec 2006 02:11
Idi na vrh
offline
  • Pridružio: 06 Dec 2006
  • Poruke: 68

Logfile of HijackThis v1.99.1
Scan saved at 2:02:58, on 6.12.2006
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\csrss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\Ati2evxx.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\system32\Ati2evxx.exe
C:\WINDOWS\Explorer.EXE
C:\WINDOWS\system32\spoolsv.exe
C:\WINDOWS\RTHDCPL.EXE
C:\Program Files\ATI Technologies\ATI.ACE\cli.exe
C:\WINDOWS\system32\qttask.exe
C:\Program Files\CyberLink\PowerDVD\PDVDServ.exe
C:\Program Files\Winamp\winampa.exe
C:\Program Files\Adobe\Photoshop Album Starter Edition\3.0\Apps\apdproxy.exe
C:\Program Files\DAEMON Tools\daemon.exe
C:\Program Files\Java\jre1.5.0_06\bin\jusched.exe
C:\Program Files\Kaspersky Lab\Kaspersky Internet Security 6.0\avp.exe
C:\WINDOWS\system32\ctfmon.exe
C:\Program Files\Messenger\msmsgs.exe
C:\Program Files\Spyware Doctor\swdoctor.exe
C:\Program Files\Logitech\SetPoint\SetPoint.exe
C:\Program Files\Common Files\Logitech\KHAL\KHALMNPR.EXE
C:\Program Files\Kaspersky Lab\Kaspersky Internet Security 6.0\avp.exe
C:\Program Files\Common Files\Microsoft Shared\VS7DEBUG\MDM.EXE
C:\Program Files\Spyware Doctor\sdhelp.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\alg.exe
C:\Program Files\ATI Technologies\ATI.ACE\cli.exe
C:\Program Files\ATI Technologies\ATI.ACE\cli.exe
C:\WINDOWS\System32\svchost.exe
C:\PROGRA~1\MOZILL~1\FIREFOX.EXE
C:\Documents and Settings\x\Desktop\New Folder\HijackThis.exe

O2 - BHO: Adobe PDF Reader Link Helper - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Program Files\Adobe\Acrobat 7.0\ActiveX\AcroIEHelper.dll
O2 - BHO: (no name) - {53707962-6F74-2D53-2644-206D7942484F} - C:\PROGRA~1\SPYBOT~1\SDHelper.dll
O2 - BHO: PCTools Site Guard - {5C8B2A36-3DB1-42A4-A3CB-D426709BBFEB} - C:\PROGRA~1\SPYWAR~1\tools\iesdsg.dll
O2 - BHO: SSVHelper Class - {761497BB-D6F0-462C-B6EB-D4DAF1D92D43} - C:\Program Files\Java\jre1.5.0_06\bin\ssv.dll
O2 - BHO: PCTools Browser Monitor - {B56A7D7D-6927-48C8-A975-17DF180C71AC} - C:\PROGRA~1\SPYWAR~1\tools\iesdpb.dll
O4 - HKLM\..\Run: [RTHDCPL] RTHDCPL.EXE
O4 - HKLM\..\Run: [SkyTel] SkyTel.EXE
O4 - HKLM\..\Run: [Alcmtr] ALCMTR.EXE
O4 - HKLM\..\Run: [ATICCC] "C:\Program Files\ATI Technologies\ATI.ACE\cli.exe" runtime -Delay
O4 - HKLM\..\Run: [QuickTime Task] "C:\WINDOWS\system32\qttask.exe" -atboottime
O4 - HKLM\..\Run: [RemoteControl] "C:\Program Files\CyberLink\PowerDVD\PDVDServ.exe"
O4 - HKLM\..\Run: [WinampAgent] C:\Program Files\Winamp\winampa.exe
O4 - HKLM\..\Run: [Adobe Photo Downloader] "C:\Program Files\Adobe\Photoshop Album Starter Edition\3.0\Apps\apdproxy.exe"
O4 - HKLM\..\Run: [DAEMON Tools] "C:\Program Files\DAEMON Tools\daemon.exe" -lang 1033
O4 - HKLM\..\Run: [Logitech Hardware Abstraction Layer] KHALMNPR.EXE
O4 - HKLM\..\Run: [SunJavaUpdateSched] C:\Program Files\Java\jre1.5.0_06\bin\jusched.exe
O4 - HKLM\..\Run: [AVP] "C:\Program Files\Kaspersky Lab\Kaspersky Internet Security 6.0\avp.exe"
O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\ctfmon.exe
O4 - HKCU\..\Run: [MSMSGS] "C:\Program Files\Messenger\msmsgs.exe" /background
O4 - HKCU\..\Run: [FreeRAM XP] "C:\Program Files\YourWare Solutions\FreeRAM XP Pro\FreeRAM XP Pro.exe" -win
O4 - HKCU\..\Run: [Spyware Doctor] "C:\Program Files\Spyware Doctor\swdoctor.exe" /Q
O4 - Global Startup: Adobe Reader Speed Launch.lnk = C:\Program Files\Adobe\Acrobat 7.0\Reader\reader_sl.exe
O4 - Global Startup: Logitech SetPoint.lnk = C:\Program Files\Logitech\SetPoint\SetPoint.exe
O8 - Extra context menu item: Add to Anti-Banner - C:\Program Files\Kaspersky Lab\Kaspersky Internet Security 6.0\ie_banner_deny.htm
O8 - Extra context menu item: E&xport to Microsoft Excel - [Link mogu videti samo ulogovani korisnici]\PROGRA~1\MICROS~2\OFFICE11\EXCEL.EXE/3000
O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\jre1.5.0_06\bin\ssv.dll
O9 - Extra 'Tools' menuitem: Sun Java Console - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\jre1.5.0_06\bin\ssv.dll
O9 - Extra button: Web Anti-Virus - {1F460357-8A94-4D71-9CA3-AA4ACF32ED8E} - C:\Program Files\Kaspersky Lab\Kaspersky Internet Security 6.0\scieplugin.dll
O9 - Extra button: Spyware Doctor - {2D663D1A-8670-49D9-A1A5-4C56B4E14E84} - C:\PROGRA~1\SPYWAR~1\tools\iesdpb.dll
O9 - Extra button: Research - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - C:\PROGRA~1\MICROS~2\OFFICE11\REFIEBAR.DLL
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe
O16 - DPF: {6414512B-B978-451D-A0D8-FCFDF33E833C} (WUWebControl Class) - [Link mogu videti samo ulogovani korisnici]
O16 - DPF: {6E32070A-766D-4EE6-879C-DC1FA91D2FC3} (MUWebControl Class) - [Link mogu videti samo ulogovani korisnici]
O20 - Winlogon Notify: klogon - C:\WINDOWS\system32\klogon.dll
O21 - SSODL: expatriates - {1a01a98c-4f25-42e1-971a-185cf63569b2} - (no file)
O23 - Service: Ati HotKey Poller - ATI Technologies Inc. - C:\WINDOWS\system32\Ati2evxx.exe
O23 - Service: ATI Smart - Unknown owner - C:\WINDOWS\system32\ati2sgag.exe
O23 - Service: Kaspersky Internet Security 6.0 (AVP) - Unknown owner - C:\Program Files\Kaspersky Lab\Kaspersky Internet Security 6.0\avp.exe" -r (file missing)
O23 - Service: PC Tools Spyware Doctor (SDhelper) - PC Tools Research Pty Ltd - C:\Program Files\Spyware Doctor\sdhelp.exe


Cesto me kasperski upoyorava na proaktiv defense; invader; runing proces (pid808-); C/windows/sistem 3/winligon.exe
Ili sve isto samo pid800; sistem 32.
Interesuje me dal sam zarazen, i kako da ozdravim?
Imam bezicni internet.



Poslao: 06 Dec 2006 02:18
Idi na vrh
offline
  • Pridružio: 04 Sep 2003
  • Poruke: 24135
  • Gde živiš: Wien

Proveri da li u C:\Windows\System32 imas fajl tpedvf.dll



Poslao: 06 Dec 2006 03:47
Idi na vrh
offline
  • Pridružio: 06 Dec 2006
  • Poruke: 68

Proveravao, i mislim da nemam. Kad otvorim C:/Windovs pise mi "these files are hidden" pa sam gledao fajlove na jotti-u i nisam ga primetio.

Dopuna: 06 Dec 2006 3:47

Kad sam ga restart, a mislim i kad ga palim da pise; riskware: invader , running process (pid:860): C:/windows/sistem32/services.exe

Poslao: 06 Dec 2006 09:41
Idi na vrh
offline
  • Pridružio: 04 Sep 2003
  • Poruke: 24135
  • Gde živiš: Wien

Kako mislis "gledao si fajlove na Jotti-u"?

Imas Logitechovu tastaturu ili misa uz koje ide poseban program koji se smesta dole u trayu (kraj sata)?

Idi na Start > Search > For Files and Folders
Pogledaj sliku [Link mogu videti samo ulogovani korisnici]

Gde pise ime fajla unesi tpedvf.dll
Opcije podesi kao na slici, osim opcije Case Sensitive, koja treba da bude iskljucena.
Vidi da li ce sada fajl biti nadjen, i u kom tacno folderu.

Poslao: 06 Dec 2006 15:55
Idi na vrh
offline
  • Pridružio: 06 Dec 2006
  • Poruke: 68

Isao sam i na search, i sad ponovo, fajla nema. Imam logitech tast. i misa bas tako kako si rekao. A na [Link mogu videti samo ulogovani korisnici] sam gledao da li mi je neki fajl zarazen, pa sam tom prilikom potrazio i taj fajl. Inace kad sam palio komp opet upozorenje; proaktiv defense; invader; runing proces (pid:860): ; C/windows/sistem 32/services.exe Pa sledece;proaktiv defense; invader; runing proces (pid:2364): ; C/programfiles/logitech/setpoint/setpoint.exe .

Dopuna: 06 Dec 2006 15:55

Kad otvaram Outlook ekspres, pise mi
" The instrction at "0x1001bb8" referenced memory ot "0x1001bb8". The memory could not be "writen" " i ne mogu da otvorim.
Posle restarta uspevam da otvorim.

Mesec dana sam koristio probnu verziju NOD 32, i posle stavio Kasp. Internet Security koji mi je prilikom prvog skeniranja pronasao 18 trojanaca, a prilikom dregog sken. jos 3, koje NOD nije nalazio. NOD je samo pokazivao zakljucane datoteke. Sve sam ocistio (valjda)
Tada sam u Control panel/ Ad or remove progr. nasao instaliran 888bar (ikona; crveni krug sa belim X) kojeg sam obrisao, uinstal.
U Advanced Uinstaller pro; sam pored 888bar, video jos cetiri iste ikone sa nazivima; (2ccbabcb-6427...), Ipwins, Vstep, Window Geniue Advantage. I njih sam obrisao, uinstal (e tu sam se izgleda zaj...)

Poslao: 06 Dec 2006 21:51
Idi na vrh
offline
  • Cigarette Smoking Man
  • Pridružio: 14 Feb 2005
  • Poruke: 9113
  • Gde živiš: Beograd

Izvinjavam se što upadam u temu ali kolega Bobby trenutno nije prisutan na forumu, pa "uskačem" dok se on ne pojavi.

Skeniraj komp sa GMER-om i postavi log da proverimo da nema nekih rootkitova...

Uradi sledeće:
Preuzmi fajl gmer.zip sa ovog linka i sačuvaj na Desktop-u.
Raspakuj ga u neki folder.

Dupli klik na gmer.exe za početak: Izaberi Rootkit Tab na vrhu.
Klikni na Scan.
Kada je skeniranje završeno, klik na Copy dugme ispod - ovo će sačuvati to u Clipboard.
Iskoristi opciju Paste u Notepad-u da bi to prebacio u tekst i sačuvaj. (npr file 1)
Ponovi ovo isto sa Autostart Tab-om. Sačuvaj kao npr file 2
Te .TXT fajlove uploaduj na [Link mogu videti samo ulogovani korisnici]

Kolega Bobby će dalje rešavati ovaj problem.

Poslao: 07 Dec 2006 00:56
Idi na vrh
offline
  • Pridružio: 06 Dec 2006
  • Poruke: 68

Skenirao sam ali ne znam kako da ga sacuvam i gde da ga sacuvam, i dok sam skenirao kasp. mi je signalizirao napade trojanaca. I ne vidim autostart tab.

Poslao: 07 Dec 2006 01:07
Idi na vrh
offline
  • Pridružio: 04 Sep 2003
  • Poruke: 24135
  • Gde živiš: Wien

Kada iskopiras tekst u Notepad, idi na File, pa Save As i snimi ga na disk pod imenom File1.log.

Gore imas tab sa oznakom >>>, klikni na njega pa ce da se pojavi Autostart tab, skeniraj, pa ponovi ono sa snimanjem, ali sada za ime zadaj File2.log.

Ta dva fajla nam postavi ovde.

Poslao: 08 Dec 2006 02:21
Idi na vrh
offline
  • Pridružio: 06 Dec 2006
  • Poruke: 68

Poslao sam. Nije moglo da se snimi iz notepad-a, pa sam stavio u word. Valjda nije problem.

Dopuna: 08 Dec 2006 2:21

Poslao sam qttask.exe

Poslao: 08 Dec 2006 02:34
Idi na vrh
offline
  • Pridružio: 04 Sep 2003
  • Poruke: 24135
  • Gde živiš: Wien

Pregledao sam logove, kao i fajl qttask.exe (nalazio se na neobicnom mestu) i sve izgleda OK.

MyCity » Ambulanta -> Arhiva Ambulante » Riskware Invader

Ko je trenutno na forumu
 

Ukupno su 2423 korisnika na forumu :: 139 registrovanih, 9 sakrivenih i 2275 gosta   ::   [ Administrator ] [ Supermoderator ] [ Moderator ] :: Detaljnije

Najviše korisnika na forumu ikad bilo je 6018 - dana 19 Dec 2025 13:41

Korisnici koji su trenutno na forumu:
Korisnici trenutno na forumu: -[CoA]-, 10x10.9, A.R.Chafee.Jr., amaterSRB, AMCXXL, Apok, aramis s, ArchaBasha, babaroga, BB, bgs, bigbear, Blair, Bojan198527, Boris BM, Boris90, Borx, Botovac, Boža pub, BrcakRS, brkan1, Bubimir, Buk, burevestnik, Camposam, ccoogg123, cemix, Cili, CrazyDiablo, Crazzer, curiosity, cyprus, DaliborVukadinovic, Dexlex, Dioniss, Djokislav, Djordje29, dok80, Dorcolac, draganl, drimer, Drugsparrow, Dukelander, Džekson, Egzekutor13, Ercomero, fijufijukrozkapiju55, FOX, Futog 74, gasha, Giskard, havoc995, Hitri, HrcAk47, hugoxz, ikan, Imperator_Aleksandr_lll, istokzapad, Jaxupa, K a s p e r, Kalem, kaskadija, Kazablankasrb, kikisp, Klecaviks, knutveliki, kovacicbozo, krkalon, Kruger, Kubovac, lcc, littlebunny, LUDI, luka35, M74AB3, mauglibn, maxim_von_burdengate, MDrasko, milanpb, milenko crazy north, Milos ZA, Milos1389, mist-mist, Moldovan, MR Z, mrzimregistraciju, N.e.m.a.nj.a., nenad81, nerevar, neutrino, nikoladim, novator, Ns1975, nuke92, ObelixSRB, omen, Pantaaa, Pekman, pera bager, Peruta, Phaeton, Piicoki, predragc, Prečanin30, procesor, Razdroid, RJ, Robin, ruso, Semberija, sevenino, Smiljke, Smiljkovich, spektorsky, Srna, srpskasparta, stegonosa, tamno.nebo, Tas011, tecataki, tesa, TRAVUNIJA, Tvrtko I, vathra, vensla, VJ, vlado_pg, Voice1, voja64, vuksa72, wizzardone, wolf431, zeka013, zlaya011, zmajbre, zokizemun, zubri, zzapNDjuric99, Žrnov