MyCity » Ambulanta -> Arhiva Ambulante » Smitfraud i svasta nesto !!!

Smitfraud i svasta nesto !!!

Napisano na dan: 25.1.2007
2

Smitfraud i svasta nesto !!!
Pagination Prethodna strana
Sledeća strana Pagination

Idi na vrh

Poslao: 25 Jan 2007 15:32
Idi na vrh
offline
  • Pridružio: 18 Sep 2004
  • Poruke: 28
  • Gde živiš: Novi Sad

cacls.exe
ChCfg.exe
cisvc.exe
ckcnv.exe
csrss.exe
debug.exe
dmazk.exe
dwwin.exe
edlin.exe
imapi.exe
label.exe
mqsvc.exe
netsh.exe
ntvdm.exe
redir.exe
relog.exe
reset.exe
rexec.exe
route.exe
runas.exe
sethc.exe
share.exe
skeys.exe
subst.exe
w32tm.exe
vssvc.exe
tscon.exe


Smile ovo je bas naporan posao, jel ima neka opcija koja bi mi olaksala, inace ja ih peske trazim, mozda je glupo, ali ne znam ni jedan drugi nacin Sad

Inace sto se tice antivirusa: sve sto mi treba je p2p... par foruma i i to je sve od NETa, vrlo retko mi zatreba nesto tipa s/n i tu obavezno pazarim ovakve stvari Sad Inace koristim acronis, jer mi je jako vazna stabilnost kompa zbog posla, i max rasterecena masina, a antivirusi su malo postali zahtevni, pa ih bas ne instaliram bez preke potrebe!!! Nije neko opravdanje ali sta cu Smile

Inace sta da radim za inficiranim fajlovima koje sam ti poslao???

Hvala jos jednom!!!



A da to sa acronisom !!!
Kada imam neki problem tipa: OVAJ, vrlo lako za par min. vratim system u dobru kondiciju Smile



Poslao: 25 Jan 2007 15:45
Idi na vrh
offline
  • Pridružio: 04 Sep 2003
  • Poruke: 24135
  • Gde živiš: Wien

Skini i pokreni sledeci program (trazi restart nakon instalacije):
[Link mogu videti samo ulogovani korisnici]

Sledi uputstva koja ce da se pojave nakon restarta. Na samom kraju ce HijackThis da se startuje.
Postavi nam ovde sledece logove:
- C:\fixwareout\report.txt (eventualno ce nakon ucitavanja desktopa automatski biti otvoren Notepad koji ce da sadrzi log)
- novi log koji bude napravio program HijackThis



Poslao: 25 Jan 2007 15:53
Idi na vrh
offline
  • Pridružio: 18 Sep 2004
  • Poruke: 28
  • Gde živiš: Novi Sad

csrss.exe

Mislim da je ovo problem, upravo mi se ovaj proces pojavio kada mi se zakucala masina i nisam mogao da ga iskljucim!!!

?????

Dopuna: 25 Jan 2007 15:53

Fixwareout
Last edited 1/14/2006
Post this report in the forums please
...
Prerun check
»»»»» HKLM run and Winlogon System values
C:\WINDOWS\system32\csoom.exe will be moved to C:\WINDOWS\temp\csoom.ren at reboot.
»»»»» System restarted
...
Reg Entries that were deleted
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Urls\0mdm
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Urls\1mdm
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Urls\yqdm
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion "dpid"
...
Random Runs removed from HKLM
...

PLEASE NOTE, There WILL be LEGITIMATE FILES LISTED. IF YOU ARE UNSURE OF WHAT IT IS LEAVE THEM ALONE.

»»»»» Searching by size/names...
Cannot execute C:\FIXWAREOUT\FINDT\LOCATE.COM
Cannot execute C:\FIXWAREOUT\FINDT\LOCATE.COM
Cannot execute C:\FIXWAREOUT\FINDT\LOCATE.COM
Cannot execute C:\FIXWAREOUT\FINDT\LOCATE.COM
Cannot execute C:\FIXWAREOUT\FINDT\LOCATE.COM
Cannot execute C:\FIXWAREOUT\FINDT\LOCATE.COM
Cannot execute C:\FIXWAREOUT\FINDT\LOCATE.COM
Cannot execute C:\FIXWAREOUT\FINDT\LOCATE.COM
Cannot execute C:\FIXWAREOUT\FINDT\LOCATE.COM
Cannot execute C:\FIXWAREOUT\FINDT\LOCATE.COM
Cannot execute C:\FIXWAREOUT\FINDT\LOCATE.COM
Cannot execute C:\FIXWAREOUT\FINDT\LOCATE.COM
Cannot execute C:\FIXWAREOUT\FINDT\LOCATE.COM
Cannot execute C:\FIXWAREOUT\FINDT\LOCATE.COM
Cannot execute C:\FIXWAREOUT\FINDT\LOCATE.COM
Cannot execute C:\FIXWAREOUT\FINDT\LOCATE.COM
Cannot execute C:\FIXWAREOUT\FINDT\LOCATE.COM
Cannot execute C:\FIXWAREOUT\FINDT\LOCATE.COM
Cannot execute C:\FIXWAREOUT\FINDT\LOCATE.COM
Cannot execute C:\FIXWAREOUT\FINDT\LOCATE.COM
Cannot execute C:\FIXWAREOUT\FINDT\XFIND.COM

»»»»»
Search five digit cs, dm kd and jb files.
This WILL/CAN also list Legit Files, Submit them at Virustotal
Cannot execute C:\FIXWAREOUT\FINDT\LOCATE.COM
Cannot execute C:\FIXWAREOUT\FINDT\LOCATE.COM
Cannot execute C:\FIXWAREOUT\FINDT\LOCATE.COM
Cannot execute C:\FIXWAREOUT\FINDT\LOCATE.COM

Other suspects.

»»»»» Misc files.

»»»»» Checking for older varients covered by the Rem3 tool.

»»»»» Postrun check
»»»»» HKLM run
»»»»» Winlogon System value
"system"=""
»»»»»

Poslao: 25 Jan 2007 15:58
Idi na vrh
offline
  • Pridružio: 04 Sep 2003
  • Poruke: 24135
  • Gde živiš: Wien

Taj proces je standardni deo Windowsa.

Dopuna: 25 Jan 2007 15:56

Uh, lose. FixWareout nije odradio posao...
Javljam se za par minuta, cim smislim kako dalje.

Dopuna: 25 Jan 2007 15:58

Jesi li instalirao FixWareout na default lokaciji u C:\fixwareout\ ?
Da li u folderu C:\FIXWAREOUT\FINDT\ postoji fajl LOCATE.COM ?

Poslao: 25 Jan 2007 16:06
Idi na vrh
offline
  • Pridružio: 18 Sep 2004
  • Poruke: 28
  • Gde živiš: Novi Sad

Oba odgovora glase da !!!

Dopuna: 25 Jan 2007 16:06

Ne znam da li su ovi programi nesto uradili, ali sam sada prekontrolisao registry cleaner preko system mechenica, i sada radi super, inace preko njega preepoznam kada u reg nesto nije u redu jer skenira sporo i koci na par mesta, sada je sve jako brzo odradio Smile

Ja sam vec zadovoljan!!!
Opet HVALA!!!

Poslao: 25 Jan 2007 16:11
Idi na vrh
offline
  • Pridružio: 04 Sep 2003
  • Poruke: 24135
  • Gde živiš: Wien

FixWareout je uspeo iz registry baze da ukloni kljuceve, ali nije uspeo da izbrise fajlove na disku.
Obrisi rucno ona dva koja smo vec nasli (koje si uploadovao).
Ja sam zamolio neke drugare da pogledaju zasto nam gore FixWareout nije uspeo.

Dok se oni ne jave, postavi svez HJT log, da vidimo kakvo je trenutno stanje.

Poslao: 25 Jan 2007 16:22
Idi na vrh
offline
  • Pridružio: 18 Sep 2004
  • Poruke: 28
  • Gde živiš: Novi Sad

Logfile of HijackThis v1.99.1
Scan saved at 16:24:07, on 1/25/2007
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\Explorer.EXE
C:\WINDOWS\system32\ctfmon.exe
C:\Program Files\Mozilla Firefox\firefox.exe
C:\Documents and Settings\Desha\Desktop\New Folder\T3.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Local Page =
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Local Page =
O4 - HKLM\..\Run: [KernelFaultCheck] %systemroot%\system32\dumprep 0 -k
O4 - HKCU\..\Run: [ctfmon.exe] C:\WINDOWS\system32\ctfmon.exe
O8 - Extra context menu item: E&xport to Microsoft Excel - [Link mogu videti samo ulogovani korisnici]\PROGRA~1\MICROS~2\OFFICE11\EXCEL.EXE/3000
O9 - Extra button: Research - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - C:\PROGRA~1\MICROS~2\OFFICE11\REFIEBAR.DLL
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe
O17 - HKLM\System\CCS\Services\Tcpip\..\{CE10CFDA-CA71-45ED-B025-4C7E50C0E665}: NameServer = 85.255.115.107,85.255.112.121
O17 - HKLM\System\CS1\Services\Tcpip\Parameters: NameServer = 85.255.115.107 85.255.112.121
O17 - HKLM\System\CS2\Services\Tcpip\Parameters: NameServer = 85.255.115.107 85.255.112.121
O17 - HKLM\System\CCS\Services\Tcpip\Parameters: NameServer = 85.255.115.107 85.255.112.121
O23 - Service: Adobe LM Service - Adobe Systems - C:\Program Files\Common Files\Adobe Systems Shared\Service\Adobelmsvc.exe

Poslao: 25 Jan 2007 17:04
Idi na vrh
offline
  • Pridružio: 04 Sep 2003
  • Poruke: 24135
  • Gde živiš: Wien

Jesi li obrisao ona dva fajla?

Ukoliko jesi onda uradi sledece:

- skeniraj pono HJT-om i stikliraj polja ispred sledecih linija (zatvori pre toga sve programe koji izlaze na internet):
O17 - HKLM\System\CCS\Services\Tcpip\..\{CE10CFDA-CA71-45ED-B025-4C7E50C0E665}: NameServer = 85.255.115.107,85.255.112.121
O17 - HKLM\System\CS1\Services\Tcpip\Parameters: NameServer = 85.255.115.107 85.255.112.121
O17 - HKLM\System\CS2\Services\Tcpip\Parameters: NameServer = 85.255.115.107 85.255.112.121
O17 - HKLM\System\CCS\Services\Tcpip\Parameters: NameServer = 85.255.115.107 85.255.112.121
Nakon toga klikni Fix checked

- restartuj komp i napravi novi HJT log

Dopuna: 25 Jan 2007 17:04

Par dodatnih pitanja da ih sebi resio jednu misteriju:
- jel IE totalno izbacen sa sistema?
- imas li instalirane drajvere za graficku ili koristis Windowsove?
- jel ovo neki custom Windows napravljen uz pomoc programa nLite?

Poslao: 25 Jan 2007 17:09
Idi na vrh
offline
  • Pridružio: 18 Sep 2004
  • Poruke: 28
  • Gde živiš: Novi Sad

Logfile of HijackThis v1.99.1
Scan saved at 17:10:18, on 1/25/2007
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\userinit.exe
C:\WINDOWS\Explorer.EXE
C:\WINDOWS\system32\ctfmon.exe
C:\Documents and Settings\Desha\Desktop\New Folder\T3.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Local Page =
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Local Page =
O4 - HKLM\..\Run: [KernelFaultCheck] %systemroot%\system32\dumprep 0 -k
O4 - HKCU\..\Run: [ctfmon.exe] C:\WINDOWS\system32\ctfmon.exe
O8 - Extra context menu item: E&xport to Microsoft Excel - [Link mogu videti samo ulogovani korisnici]\PROGRA~1\MICROS~2\OFFICE11\EXCEL.EXE/3000
O9 - Extra button: Research - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - C:\PROGRA~1\MICROS~2\OFFICE11\REFIEBAR.DLL
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe
O23 - Service: Adobe LM Service - Adobe Systems - C:\Program Files\Common Files\Adobe Systems Shared\Service\Adobelmsvc.exe

Poslao: 25 Jan 2007 17:16
Idi na vrh
offline
  • Pridružio: 04 Sep 2003
  • Poruke: 24135
  • Gde živiš: Wien

Nisi mi odgovorio na ostala pitanja iz prethodne poruke.

I imam jos jedno pitanje: jesi li sam popravljao nesto koristeci HJT pre nego sto si postavio temu na forumu?

03 Feb 2007 16:01 bobby Zaključavanje topica Razlog: : Javiti se na PP ukoliko je potrebno otkljucavanje teme  

MyCity » Ambulanta -> Arhiva Ambulante » Smitfraud i svasta nesto !!!

Ko je trenutno na forumu
 

Ukupno su 1973 korisnika na forumu :: 108 registrovanih, 12 sakrivenih i 1853 gosta   ::   [ Administrator ] [ Supermoderator ] [ Moderator ] :: Detaljnije

Najviše korisnika na forumu ikad bilo je 5253 - dana 09 Dec 2025 16:26

Korisnici koji su trenutno na forumu:
Korisnici trenutno na forumu: 252., 357magnum, 4. Ozrenska, A.R.Chafee.Jr., Agape, alex71, Andrija357, Aristotle2002, arsa, Asparagus, Automaticar, babaroga, bato_banjaluka, Baumgarten, bojan313, Bosnjo, bunker, Cicumile, cifra, cojapop, CrazyDiablo, cvrle312, cyprus, DalmatinacMF, Dannyboy, Dare, delrey, dendrit86, Dimitrije Paunovic, djordjemiklusev, draganl, Drugsparrow, dusan60, Electron, elenemste, Emanuel Arsenijevič, Ezbuck, Feller, Georgius, Giskard, Gogi do, goranperović66, GORDI, igorkozar83, ikan, Ivan Campo, jmsk, Kanader, Kiki98TZ, king111, Korle, Kubovac, larix, Lazarus, Mad Serb, Manjane, Marko Marković, mat, max power, Mercury, metallac777, Metanoja, Mickey91, milimoj, MILO-VAN, Mis uz pusku, mishkooo, mm1811, Mr. Majevica, mrav pesadinac, N.e.m.a.nj.a., Naj-Turs, nenorodjo, Ns1975, oldtimer, OtacMakarije, Paklenica, Petarvu, Prečanin30, probisic, procesor, promajauglavi, raptorsi, Razdroid, Romibrat, rovac, samp1389, silikon, Sir Budimir, SOVO515, spektorsky, Tas011, tesa, TripleTwo, Tunguska55, Velizar Laro, vensla, Viceroy, VJ, Vlada78, vlahale, vuksa72, yiyi, YugoSlav, ZlatniRez, zokizemun, zubri, Žrnov