Revisiointi ISOILLA.

Tämä viesti on tarkoitettu vain ja ainoastaan tämän ohjeen julkaisua varten, turha kysellä mitään replynä, aloittakaa uusi ketju!

OTSIKKO OLI ENNEN:
TIETOKONE KÄYTTÄYTYY KUMMALLISESTI OLI:ENNEN KUIN POSTAAT HIJACK THIS LOGIN! REV 9.

ENNEN MITÄÄN DRASTISIA TOIMENPITEITÄ, KÄYKÄÄ LUKEMASSA CERT.FI TIETOTURVAOHJE:
http://www.cert.fi/ohjeet/2007/P.html

Ennenkuin postaatte niitä logeja tänne, käykää hakemassa ainakin AdAware, Spybot, CWShredder tai a-squared Free. Asennatte, päivitätte, skannaatte ja annatte niiden poistaa löytämänsä. Mikäli puhdistus ei onnistu normaalitilassa, bootatkaa vikasietotilaan ja skannatkaa siellä.
Ohjelmat ja ohjeet:
http://koti.mbnet.fi/pattaya1
a-squared Free:
http://www.emsisoft.com/en/software/free/

Seuraavaksi kone skannataan online virusskannerilla, joita ovat esim.:
http://support.f-secure.fi/fin/home/ols.shtml
http://fi.trendmicro-europe.com/consumer/products/...
http://www.kaspersky.com/virusscanner
http://www.pandasoftware.fi/index.php?link=sivu101
http://www.bitdefender.com/scan8/ie.html
http://fi.mcafee.com/root/mfs/default.asp
http://www3.ca.com/securityadvisor/virusinfo/scan....
http://security.symantec.com/default.asp?productid...
http://www.ewido.net/en/onlinescan/

Kaikilla noilla ei tarvitse skannata, muutama riittää. Lisäksi useimmat toimivat ActiveX-kilkkeillä, joten vaativat Internet Explorerin käyttöä.

Lisää löytyy esim. kuukkelilla (google) hakusanoilla: online virus scanner

Mikäli tuokaan ei auta, skannataan kone eScanilla:
http://koti.mbnet.fi/pattaya1/escanmwav.htm
Toimi sivujen ohjeiden mukaan asennuksessa, päivityksessä ja skannauksessa.
Skannauksen voi joutua tekemään myös vikasietotilassa, jos se ei muuten onnistu. Ohjelma ei välttämättä poista kaikkia pöpöjä, osan voi jouta poistamaan käsin, mutta ohjelma kuitenkin kertoo mitä pitää poistaa.

HijackThis on se viimeinen keino, mikäli muut konstit ei auta.

Muistakaa mainita viestissä ennen lokia mitä muita toimenpiteitä on tehty!

Aloittakaa aina oma viestiketju, älkää postatko lokianne muiden ketjuihin!

Ja tökkimistä aiheuttavat muutkin kuin örkit, esim. rautaviat...

Tämä siksi, että yhden HJT:n lokin tarkkaan tutkimiseen menee keskimäärin 5-30 minuuttia ja jos loki on puhdas tai ongelmat korjattavissa em. ohjelmilla, tuo aika on mennyt hukkaan...

T: Vesku

Tuttu asensi koneelleen f-securen ja ei ilmeisesti poistanut aikaisempaa virustutkaa (AVG) kunnolla ja kone kaatuu nyt joka kerta käynnistymisen yhteydessä kirjautumisikkunaan. Lisänä sopassa on että kone on packard bellin merkkimylly joka ei anna f8 näppäintä painaessa mahdollisuutta vikasietotilaan vaan ainoastaan mahdollisuuden vaihtaa boottijärjestystä. Ja XP:n asennuslevyä ei luonnollisestilaan ole enää olemassa jos on ollutkaan joten korjausasennuskaan ei onnistu. Olisiko keinoja tälläisen murheen selvittämiseen?

Skannattu SpySpotilla jne...

Logfile of Trend Micro HijackThis v2.0.0 (BETA)
Scan saved at 22:00:12, on 16.4.2007
Platform: Windows 2000 SP4 (WinNT 5.00.2195)
Boot mode: Normal

Running processes:
C:\WINNT\System32\smss.exe
C:\WINNT\system32\winlogon.exe
C:\WINNT\system32\services.exe
C:\WINNT\system32\lsass.exe
C:\WINNT\system32\svchost.exe
C:\WINNT\system32\spoolsv.exe
C:\PROGRA~1\SAUNAL~1\backweb\4653381\Program\SERVIC~1.EXE
C:\WINNT\System32\svchost.exe
C:\Program Files\Saunalahden Turvapaketti\Anti-Virus\fsgk32st.exe
C:\Program Files\Saunalahden Turvapaketti\Anti-Virus\FSGK32.EXE
C:\Program Files\Saunalahden Turvapaketti\backweb\4653381\program\fsbwsys.exe
C:\Program Files\Saunalahden Turvapaketti\Common\FSMA32.EXE
C:\Program Files\Saunalahden Turvapaketti\Common\FSMB32.EXE
C:\WINNT\system32\regsvc.exe
C:\WINNT\system32\MSTask.exe
C:\Program Files\Saunalahden Turvapaketti\Common\FCH32.EXE
C:\WINNT\system32\stisvc.exe
C:\WINNT\System32\WBEM\WinMgmt.exe
C:\Program Files\Saunalahden Turvapaketti\Common\FAMEH32.EXE
C:\Program Files\Saunalahden Turvapaketti\Anti-Virus\fsqh.exe
C:\WINNT\system32\svchost.exe
C:\Program Files\Saunalahden Turvapaketti\Anti-Virus\fsrw.exe
C:\WINNT\system32\faxsvc.exe
C:\WINNT\Explorer.EXE
C:\Program Files\Saunalahden Turvapaketti\FWES\Program\fsdfwd.exe
C:\Program Files\Saunalahden Turvapaketti\Anti-Virus\fssm32.exe
C:\WINNT\system32\s3hotkey.exe
C:\WINNT\system32\S3trayhp.exe
C:\WINNT\system32\mobsync.exe
C:\Program Files\Java\jre1.5.0_06\bin\jusched.exe
C:\Program Files\ScanSoft\OmniPageSE2.0\OpwareSE2.exe
C:\Program Files\Saunalahden Turvapaketti\FSGUI\ispnews.exe
C:\Program Files\Saunalahden Turvapaketti\Common\FSM32.EXE
C:\WINNT\system32\internat.exe
C:\Program Files\Saunalahden Turvapaketti\backweb\4653381\Program\fspex.exe
C:\Program Files\WinZip\WZQKPICK.EXE
C:\Program Files\Microsoft Office\Office\OSA.EXE
C:\Program Files\Saunalahden Turvapaketti\Anti-Virus\fsav32.exe
C:\PROGRA~1\SAUNAL~1\ANTI-S~1\fsaw.exe
C:\Program Files\Saunalahden Turvapaketti\FSGUI\fsguidll.exe
C:\Program Files\Mozilla Firefox\firefox.exe
C:\Program Files\Saunalahden Turvapaketti\FSGUI\fsavgui.exe
C:\Documents and Settings\Järjestelmänvalvoja\Työpöytä\HiJackThis_v2.0.0.0.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Local Page = C:\windows\system32\blank.htm
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Local Page = C:\windows\system32\blank.htm
R1 - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings,ProxyOverride = localhost
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Linkit
O2 - BHO: (no name) - {53707962-6F74-2D53-2644-206D7942484F} - C:\Program Files\Spybot - Search & Destroy\SDHelper.dll
O2 - BHO: SSVHelper Class - {761497BB-D6F0-462C-B6EB-D4DAF1D92D43} - C:\Program Files\Java\jre1.5.0_11\bin\ssv.dll
O3 - Toolbar: @msdxmLC.dll,-1@1033,&Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINNT\system32\msdxm.ocx
O3 - Toolbar: (no name) - {014DA6C9-189F-421a-88CD-07CFE51CFF10} - (no file)
O3 - Toolbar: Easy-WebPrint - {327C2873-E90D-4c37-AA9D-10AC9BABA46C} - C:\Program Files\Canon\Easy-WebPrint\Toolband.dll
O4 - HKLM\..\Run: [Synchronization Manager] mobsync.exe /logon
O4 - HKLM\..\Run: [S3Hotkey] s3hotkey.exe
O4 - HKLM\..\Run: [S3TRAYHP] S3trayhp.exe
O4 - HKLM\..\Run: [SunJavaUpdateSched] C:\Program Files\Java\jre1.5.0_06\bin\jusched.exe
O4 - HKLM\..\Run: [OpwareSE2] "C:\Program Files\ScanSoft\OmniPageSE2.0\OpwareSE2.exe"
O4 - HKLM\..\Run: [News Service] "C:\Program Files\Saunalahden Turvapaketti\FSGUI\ispnews.exe"
O4 - HKLM\..\Run: [F-Secure TNB] "C:\Program Files\Saunalahden Turvapaketti\TNB\TNBUtil.exe" /CHECKALL /WAITFORSW
O4 - HKLM\..\Run: [F-Secure Startup Wizard] "C:\Program Files\Saunalahden Turvapaketti\FSGUI\FSSW.EXE" /reboot
O4 - HKLM\..\Run: [F-Secure Manager] "C:\Program Files\Saunalahden Turvapaketti\Common\FSM32.EXE" /splash
O4 - HKCU\..\Run: [internat.exe] internat.exe
O4 - HKUS\.DEFAULT\..\Run: [internat.exe] internat.exe (User 'Default user')
O4 - Startup: Microsoft Office Pikahaku.lnk = C:\Program Files\Microsoft Office\Office\FINDFAST.EXE
O4 - Startup: Officen käynnistys.lnk = C:\Program Files\Microsoft Office\Office\OSA.EXE
O4 - Global Startup: Adobe Reader Speed Launch.lnk = C:\Program Files\Adobe\Acrobat 7.0\Reader\reader_sl.exe
O4 - Global Startup: dna Nettiturva.lnk = C:\Program Files\Saunalahden Turvapaketti\backweb\4653381\Program\fspex.exe
O4 - Global Startup: WinZip Quick Pick.lnk = C:\Program Files\WinZip\WZQKPICK.EXE
O8 - Extra context menu item: &Estä tämä kohoikkuna - C:\Program Files\Saunalahden Turvapaketti\Anti-Spyware\blockpopups.htm
O8 - Extra context menu item: Easy-WebPrint Add To Print List - res://C:\Program Files\Canon\Easy-WebPrint\Resource.dll/RC_AddToList.html
O8 - Extra context menu item: Easy-WebPrint High Speed Print - res://C:\Program Files\Canon\Easy-WebPrint\Resource.dll/RC_HSPrint.html
O8 - Extra context menu item: Easy-WebPrint Preview - res://C:\Program Files\Canon\Easy-WebPrint\Resource.dll/RC_Preview.html
O8 - Extra context menu item: Easy-WebPrint Print - res://C:\Program Files\Canon\Easy-WebPrint\Resource.dll/RC_Print.html
O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\jre1.5.0_11\bin\ssv.dll
O9 - Extra 'Tools' menuitem: Sun Java Console - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\jre1.5.0_11\bin\ssv.dll
O9 - Extra button: IE-suojaus - {300DB664-75B5-47c0-8B45-A44ACCF73C00} - C:\Program Files\Saunalahden Turvapaketti\Anti-Spyware\ieshield.dll
O9 - Extra 'Tools' menuitem: IE-suojaus... - {300DB664-75B5-47c0-8B45-A44ACCF73C00} - C:\Program Files\Saunalahden Turvapaketti\Anti-Spyware\ieshield.dll
O14 - IERESET.INF: START_PAGE_URL=http://www.msn.fi
O14 - IERESET.INF: MS_START_PAGE_URL=http://www.msn.fi
O22 - SharedTaskScheduler: Browseui preloader - {438755C2-A8BA-11D1-B96B-00A0C90312E1} - C:\WINNT\system32\browseui.dll
O22 - SharedTaskScheduler: Component Categories cache daemon - {8C7461EF-2B13-11d2-BE35-3078302C2030} - C:\WINNT\system32\browseui.dll
O23 - Service: Hälytys (Alerter) - Unknown owner - C:\WINNT\System32\services.exe
O23 - Service: Sovellusten hallinta (AppMgmt) - Unknown owner - C:\WINNT\system32\services.exe
O23 - Service: dna Nettiturva (BackWeb Client - 4653381) - dna Nettiturva - C:\PROGRA~1\SAUNAL~1\backweb\4653381\Program\SERVIC~1.EXE
O23 - Service: Tietokoneiden selaus (Browser) - Unknown owner - C:\WINNT\System32\services.exe
O23 - Service: DHCP-asiakas (Dhcp) - Unknown owner - C:\WINNT\System32\services.exe
O23 - Service: Loogisen levyn hallinnan valvontapalvelu (dmadmin) - Unknown owner - C:\WINNT\System32\dmadmin.exe
O23 - Service: Loogisen levyn hallinta (dmserver) - Unknown owner - C:\WINNT\System32\services.exe
O23 - Service: DNS-asiakas (Dnscache) - Unknown owner - C:\WINNT\System32\services.exe
O23 - Service: Tapahtumaloki (Eventlog) - Unknown owner - C:\WINNT\system32\services.exe
O23 - Service: F-Secure Gatekeeper Handler Starter - Unknown owner - C:\Program Files\Saunalahden Turvapaketti\Anti-Virus\fsgk32st.exe
O23 - Service: Faksipalvelu (Fax) - Unknown owner - C:\WINNT\system32\faxsvc.exe
O23 - Service: fsbwsys - Unknown owner - C:\Program Files\Saunalahden Turvapaketti\backweb\4653381\program\fsbwsys.exe
O23 - Service: F-Secure Anti-Virus Firewall Daemon (FSDFWD) - F-Secure Corporation - C:\Program Files\Saunalahden Turvapaketti\FWES\Program\fsdfwd.exe
O23 - Service: FSMA - F-Secure Corporation - C:\Program Files\Saunalahden Turvapaketti\Common\FSMA32.EXE
O23 - Service: InstallDriver Table Manager (IDriverT) - Macrovision Corporation - C:\Program Files\Common Files\InstallShield\Driver\11\Intel 32\IDriverT.exe
O23 - Service: Palvelin (lanmanserver) - Unknown owner - C:\WINNT\System32\services.exe
O23 - Service: Työasema (lanmanworkstation) - Unknown owner - C:\WINNT\System32\services.exe
O23 - Service: TCP/IP NetBIOS Helper -palvelu (LmHosts) - Unknown owner - C:\WINNT\System32\services.exe
O23 - Service: Viestinvälitys (Messenger) - Unknown owner - C:\WINNT\System32\services.exe
O23 - Service: NetMeeting etätyöpöydän jakaminen (mnmsrvc) - Unknown owner - C:\WINNT\System32\mnmsrvc.exe
O23 - Service: Verkon DDE (NetDDE) - Unknown owner - C:\WINNT\system32\netdde.exe
O23 - Service: Verkon DDE DSDM (NetDDEdsdm) - Unknown owner - C:\WINNT\system32\netdde.exe
O23 - Service: Verkkokirjautuminen (Netlogon) - Unknown owner - C:\WINNT\System32\lsass.exe
O23 - Service: NT LM -suojaustuen toimittaja (NtLmSsp) - Unknown owner - C:\WINNT\System32\lsass.exe
O23 - Service: Plug and Play (PlugPlay) - Unknown owner - C:\WINNT\system32\services.exe
O23 - Service: IP-suojauskäytäntöagentti (PolicyAgent) - Unknown owner - C:\WINNT\System32\lsass.exe
O23 - Service: Suojattu tallennuspaikka (ProtectedStorage) - Unknown owner - C:\WINNT\system32\services.exe
O23 - Service: Käyttöoikeustilien hallinta (SamSs) - Unknown owner - C:\WINNT\system32\lsass.exe
O23 - Service: Älykortti-apuohjelma (SCardDrv) - Unknown owner - C:\WINNT\System32\SCardSvr.exe
O23 - Service: Älykortti (SCardSvr) - Unknown owner - C:\WINNT\System32\SCardSvr.exe
O23 - Service: Tehtävien ajoitus (Schedule) - Unknown owner - C:\WINNT\system32\MSTask.exe
O23 - Service: RunAs-palvelu (seclogon) - Unknown owner - C:\WINNT\system32\services.exe
O23 - Service: ServiceLayer - Nokia. - C:\Program Files\PC Connectivity Solution\ServiceLayer.exe
O23 - Service: Still Image Service (StiSvc) - Unknown owner - C:\WINNT\system32\stisvc.exe
O23 - Service: Resurssilokit ja -hälytykset (SysmonLog) - Unknown owner - C:\WINNT\system32\smlogsvc.exe
O23 - Service: Telnet (TlntSvr) - Unknown owner - C:\WINNT\system32\tlntsvr.exe
O23 - Service: Tiedostolinkkijäljityksen asiakas (TrkWks) - Unknown owner - C:\WINNT\system32\services.exe
O23 - Service: Toimintojen hallinta (UtilMan) - Unknown owner - C:\WINNT\System32\UtilMan.exe
O23 - Service: Windows Time (W32Time) - Unknown owner - C:\WINNT\System32\services.exe
O23 - Service: WMI-palvelu (Windows Management Instrumentation) (WinMgmt) - Unknown owner - C:\WINNT\System32\WBEM\WinMgmt.exe
O23 - Service: WM -instrumenttien ohjainlaajennukset (Wmi) - Unknown owner - C:\WINNT\system32\Services.exe

--
End of file - 10321 bytes

Koneessa on ollut nyt Windows 2000 muutaman päivän ja pari kolme kertaa on tullut ikkuna, jossa on seuraavan tapainen teksti:

Viestinvälityspalvelu

Viestin lähettäjänä SYSTEN vastaanottajana ALERT, 24.4.2007
STOP! IMMEDIATE ATTENTION REQUIRED
Windows has found CRITICAL SYSTEM ERRORS
Download Registry Cleaner from www.key32.com
FAILURE TO ACT MAY LEAD TO DATA LOSS AND CORRUPTION!

Mitä tuo tarkoittaa? Tulee mieleen jokin haittaohjelma, joka lähettelee viestejä. Tarkistin koneen Ad-Awarella eikä se löytänyt mitään. Ihmetyttää vain, koska suurin osa tuosta viestistä on englanniksi ja windows on suomenkielinen. Koneessa on sekä virustorjunta että palomuuri.

Loppui F-secure Internet security 2006:n voimassaolo ja siihen ei ole enää päivitystä, pitäis asentaa uusi versio.
Joten päätin samalla vaivalla siirtyä "ilmaiseen" pöpöjen torjuntaan.

Siinä yhteydessä tuli mieleen, että miksi asentaa erillistä ohjelmallista palomuuria, kun WXP sisältää jo sellaisen?
Ovatko nuo erilliset palomurit jotenkin parempia, eli onko WXP:n palomuuri sellainen susi, jota ei kannata käyttää?

Hei, ostin juuri tietokoneen, jossa oli esiasennettuna Northon-virusohjelma. Poistin sen, koska asensin Elisan tietoturvaohjelman. Tämän jälkeen aina kun avaan tietokonee, ruutuun tulee seuraavanlainen harmaa laatikko:

"Ylälaidassa lukee: memcheck.exe-CLR-virheenkorjauspalvelu

Teksti: Sovellus on aiheuttanut poikkeuksen, jota ei voitu käsitellä. Prosessitunntu (numeroita), säietunnus (numeroita)
Voit keskeyttää sovelluksen suorituksen valitsemalla OK.
Voit käynnistää virheenkorjaustoiminnon valitsemalla peruuta"

Painan ok ---> sama läpyskä tulee esiin ja painan uudelleen ok, jolloin laatikko häviää. Mitä ilmoitus siis merkitsee? Omasta mielestäni se on alkanut tulemaan esiin, sen jälkeen kun asensin tuon Elisan tietoturvaohjelman. Olenko siis unohtanut poistaa kokonaan Northonin, vaikka mielestäni poistin sen.

- - - - - -

Toinen ongelma koskee erästä virusta(?)

Latasin erään ohjelman, tai ainakin yrityn ladata sitä. Joka tapauksessa sen jälkeen on tapahtunut seuraavaa.

Alalaidassa (kellon vieressä) vilkkuu kysymysmerkki ja punainen kieltomerkki yhtäaikaa. Välillä siitä ponnahtaa keltainen laatikko, jossa on seuraava teksti:

System Alert! System has detected a number of active spyware applications that may impact the performance of your computer. Click the icon to get rid of unnanted spyware by dowloadinng an up-to-date antispyware solution.

Kun menen nettiin tai painan tätä keltaista laatikkoa (jolloin yhdistyy nettiin), tulee seuraavanlainen virusilmoitus:

Virus havaittu
Havaittu not-virus: Hoax.JS.Agent.a virus
Mitä tehdä
.poista tiedosto
. puhdista - - > valitsen poista tiedosto - - > tulee laatikko

Virus ja vakoilusuojaus
KOhteen käsittely onnistui, mutta virus ei voi poistaa ennen kuin käynnistät koneen uudellee.

Oln käynnistänyt koneen monta kertaa uudellee, mutta virus hommelin on edelleen eli alhaalla välkkyy kysymysmerkki. Tämän äskeisin virusilmoituksen alla on vielä toinen Internet Explorerin ilmoitus englanniksi:

Warning
(Englannin kielistä tekstiä, jossa kerrotaan jotain viruksesta. Lopussa seuraava teksi)

Recommendations: Clik "OK" to download officially approved security software. Always keep your patch level up-to-date.(Myös vaihtoehto "peruuta" on, mutta painan ok) --> menee sivulle malwarewiped.com --> jossa ilmeisesti pitäisi ladata joku virustorjuntaohjelma. Olen kokeillut, mutta latauksen lopussa suositellaa että en hyväksy sitä, koska siinä ei ole digitaalista allekirjoitusta.

Niin, se vielä että, tuon ensimmäisen virusilmoituksen ja explorerin ilmoituksen alla on joku virustorjunta sivusto (Security Center). Tämän aluksi mainitsemani ohjelman latauksen jälkeen, kun olen mennyt nettiin tulee ensimmäisenä siis aina tämä Security Center sivusto ja virusilmoituksen. Mitä siis pitäisi tehdä? Olen yrittänyt poistaa tätä virusta, mutta miksi se ei lähde. En tosin ole huomannut mitää ongelmia. Lukuun ottamatta tietenkin sitä että nettiin mennessä tulee nuo virusilmoituksen ja ensimmäisen tulee tämä ed. sivusto. Alunperin kotisivuna oli Elisan sivut.

- - -

Toivin että joku osaisi neuvoa ja olen kyllä ottanut nyt opikseni,ettei enää kannata latailla mitä tahansa ohjelmia. Jos joku saisi lisäksi hieman avattua noita englanninkielisiä ilmoituksia, kun kielitaitoni on hieman heikko.

Juu elikkä tässä ois mun hjt logi. Tuntuu olevan niin perkleesti kaikkia juttuja tossa sovellustenhallinta ikkunassa...svchost*6 jne..

Ad-Awarea, spybottia ja toni artsin easy cleaneria käytetty.

Kiitoksia jo etukäteen.

Logfile of HijackThis v1.99.1
Scan saved at 21:53:41, on 26.4.2007
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\Ati2evxx.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\spoolsv.exe
C:\WINDOWS\system32\Ati2evxx.exe
C:\WINDOWS\Explorer.EXE
C:\WINDOWS\ehome\ehtray.exe
C:\Program Files\ATI Technologies\ATI.ACE\cli.exe
C:\WINDOWS\RTHDCPL.EXE
C:\Program Files\Java\jre1.6.0_01\bin\jusched.exe
C:\Program Files\Alwil Software\Avast4\aswUpdSv.exe
C:\PROGRA~1\ALWILS~1\Avast4\ashDisp.exe
C:\WINDOWS\system32\ctfmon.exe
C:\Program Files\Macrogaming\SweetIM\SweetIM.exe
C:\Program Files\Alwil Software\Avast4\ashServ.exe
C:\WINDOWS\eHome\ehRecvr.exe
C:\WINDOWS\eHome\ehSched.exe
c:\WINDOWS\system32\o2flash.exe
C:\Program Files\MSN Messenger\MsnMsgr.Exe
C:\Program Files\Alwil Software\Avast4\ashMaiSv.exe
C:\Program Files\Alwil Software\Avast4\ashWebSv.exe
C:\WINDOWS\eHome\ehmsas.exe
C:\WINDOWS\system32\dllhost.exe
C:\Program Files\ATI Technologies\ATI.ACE\cli.exe
C:\Program Files\ATI Technologies\ATI.ACE\cli.exe
C:\Program Files\MSN Messenger\usnsvc.exe
C:\Program Files\Mozilla Firefox\firefox.exe
C:\HJT\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.google.fi/
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Local Page =
R3 - URLSearchHook: SweetIM For Internet Explorer - {BC4FFE41-DE9F-46fa-B455-AAD49B9F9938} - C:\Program Files\Macrogaming\SweetIMBarForIE\toolbar.dll
O2 - BHO: Adobe PDF Reader Link Helper - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Program Files\Adobe\Acrobat 7.0\ActiveX\AcroIEHelper.dll
O2 - BHO: SWEETIE - {1A0AADCD-3A72-4b5f-900F-E3BB5A838E2A} - C:\PROGRA~1\MACROG~1\SWEETI~1\toolbar.dll
O2 - BHO: BitComet ClickCapture - {39F7E362-828A-4B5A-BCAF-5B79BFDFEA60} - C:\Program Files\BitComet\tools\BitCometBHO_1.1.2.7.dll
O2 - BHO: SSVHelper Class - {761497BB-D6F0-462C-B6EB-D4DAF1D92D43} - C:\Program Files\Java\jre1.6.0_01\bin\ssv.dll
O2 - BHO: (no name) - {7E853D72-626A-48EC-A868-BA8D5E23E045} - (no file)
O2 - BHO: Windows Live Sign-in Helper - {9030D464-4C02-4ABF-8ECC-5164760863C6} - C:\Program Files\Common Files\Microsoft Shared\Windows Live\WindowsLiveLogin.dll
O3 - Toolbar: SweetIM For Internet Explorer - {BC4FFE41-DE9F-46fa-B455-AAD49B9F9938} - C:\Program Files\Macrogaming\SweetIMBarForIE\toolbar.dll
O4 - HKLM\..\Run: [ehTray] C:\WINDOWS\ehome\ehtray.exe
O4 - HKLM\..\Run: [ATICCC] "c:\Program Files\ATI Technologies\ATI.ACE\cli.exe" runtime -Delay
O4 - HKLM\..\Run: [RTHDCPL] RTHDCPL.EXE
O4 - HKLM\..\Run: [Alcmtr] ALCMTR.EXE
O4 - HKLM\..\Run: [SunJavaUpdateSched] "C:\Program Files\Java\jre1.6.0_01\bin\jusched.exe"
O4 - HKLM\..\Run: [avast!] C:\PROGRA~1\ALWILS~1\Avast4\ashDisp.exe
O4 - HKLM\..\Run: [SweetIM] C:\Program Files\Macrogaming\SweetIM\SweetIM.exe
O4 - HKCU\..\Run: [ctfmon.exe] C:\WINDOWS\system32\ctfmon.exe
O4 - HKCU\..\Run: [MsnMsgr] ~"C:\Program Files\MSN Messenger\MsnMsgr.Exe" /background
O4 - HKCU\..\Run: [SweetIM] C:\Program Files\Macrogaming\SweetIM\SweetIM.exe
O8 - Extra context menu item: Download all links using BitComet - res://C:\Program Files\BitComet\BitComet.exe/AddAllLink.htm
O8 - Extra context menu item: Download all videos using BitComet - res://C:\Program Files\BitComet\BitComet.exe/AddVideo.htm
O8 - Extra context menu item: Download link using &BitComet - res://C:\Program Files\BitComet\BitComet.exe/AddLink.htm
O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\jre1.6.0_01\bin\npjpi160_01.dll
O9 - Extra 'Tools' menuitem: Sun Java Console - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\jre1.6.0_01\bin\npjpi160_01.dll
O9 - Extra button: Absolute Poker - {13C1DBF6-7535-495c-91F6-8C13714ED485} - C:\Documents and Settings\Tomi\Start Menu\Programs\Absolute Poker\Absolute Poker.lnk
O9 - Extra 'Tools' menuitem: Absolute Poker - {13C1DBF6-7535-495c-91F6-8C13714ED485} - C:\Documents and Settings\Tomi\Start Menu\Programs\Absolute Poker\Absolute Poker.lnk
O9 - Extra button: BetOnBet Poker - {2B936D2B-EDD7-405f-9057-3685BE897E62} - C:\Program Files\betonbetMPP\MPPoker.exe
O9 - Extra button: Crazy Poker - {8A8A3162-B5FA-4c54-A862-4E62CBE8A255} - C:\Program Files\crazyvegasMPP\MPPoker.exe
O9 - Extra button: CDPoker - {A68FC757-51CF-4f3c-B13A-BFB8CA69BB99} - C:\Poker\CDPoker\casino.exe
O9 - Extra 'Tools' menuitem: CDPoker - {A68FC757-51CF-4f3c-B13A-BFB8CA69BB99} - C:\Poker\CDPoker\casino.exe
O9 - Extra button: PartyCasino.com - {B4B52284-A248-4c51-9F7C-F0A0C67FCC9D} - C:\Program Files\PartyGaming\PartyCasino\RunCasino.exe (file missing)
O9 - Extra 'Tools' menuitem: PartyCasino.com - {B4B52284-A248-4c51-9F7C-F0A0C67FCC9D} - C:\Program Files\PartyGaming\PartyCasino\RunCasino.exe (file missing)
O9 - Extra button: PartyPoker.com - {B7FE5D70-9AA2-40F1-9C6B-12A255F085E1} - C:\Program Files\PartyGaming\PartyPoker\RunApp.exe
O9 - Extra 'Tools' menuitem: PartyPoker.com - {B7FE5D70-9AA2-40F1-9C6B-12A255F085E1} - C:\Program Files\PartyGaming\PartyPoker\RunApp.exe
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe
O16 - DPF: {AED98630-0251-4E83-917D-43A23D66D507} (Download Helper Class) - http://activex.microgaming.com/dlhelper/version7/dlhelper.cab
O18 - Protocol: livecall - {828030A1-22C1-4009-854F-8E305202313F} - C:\PROGRA~1\MSNMES~1\MSGRAP~1.DLL
O18 - Protocol: msnim - {828030A1-22C1-4009-854F-8E305202313F} - C:\PROGRA~1\MSNMES~1\MSGRAP~1.DLL
O20 - Winlogon Notify: WgaLogon - C:\WINDOWS\SYSTEM32\WgaLogon.dll
O23 - Service: avast! iAVS4 Control Service (aswUpdSv) - Unknown owner - C:\Program Files\Alwil Software\Avast4\aswUpdSv.exe
O23 - Service: Ati HotKey Poller - ATI Technologies Inc. - C:\WINDOWS\system32\Ati2evxx.exe
O23 - Service: avast! Antivirus - Unknown owner - C:\Program Files\Alwil Software\Avast4\ashServ.exe
O23 - Service: avast! Mail Scanner - Unknown owner - C:\Program Files\Alwil Software\Avast4\ashMaiSv.exe" /service (file missing)
O23 - Service: avast! Web Scanner - Unknown owner - C:\Program Files\Alwil Software\Avast4\ashWebSv.exe" /service (file missing)
O23 - Service: InstallDriver Table Manager (IDriverT) - Macrovision Corporation - c:\Program Files\Common Files\InstallShield\Driver\1050\Intel 32\IDriverT.exe
O23 - Service: Norman API-hooking helper (NipSvc) - Unknown owner - C:\Program Files\norman\Nvc\BIN\nipsvc.exe (file missing)
O23 - Service: O2Micro Flash Memory (O2Flash) - Unknown owner - c:\WINDOWS\system32\o2flash.exe
O23 - Service: ServiceLayer - Nokia. - C:\Program Files\Common Files\PCSuite\Services\ServiceLayer.exe

Revisiointi ISOILLA.

Tämä viesti on tarkoitettu vain ja ainoastaan tämän ohjeen julkaisua varten, turha kysellä mitään replynä, aloittakaa uusi ketju!

Ennenkuin postaatte niitä logeja tänne, käykää hakemassa ainakin AdAware, Spybot, CWShredder tai a-squared Free. Asennatte, päivitätte, skannaatte ja annatte niiden poistaa löytämänsä. Mikäli puhdistus ei onnistu normaalitilassa, bootatkaa vikasietotilaan ja skannatkaa siellä.
Ohjelmat ja ohjeet:
http://koti.mbnet.fi/pattaya1
a-squared Free:
http://www.emsisoft.com/en/software/free/

Seuraavaksi kone skannataan online virusskannerilla, joita ovat esim.:
http://support.f-secure.fi/fin/home/ols.shtml
http://fi.trendmicro-europe.com/consumer/products/housecall_pre.php
http://www.kaspersky.com/virusscanner
http://www.pandasoftware.fi/index.php?link=sivu101
http://www.bitdefender.com/scan8/ie.html
http://fi.mcafee.com/root/mfs/default.asp
http://www3.ca.com/securityadvisor/virusinfo/scan.aspx
http://security.symantec.com/defa...roductid=symhome&langid=fi&venid=sym
http://www.ewido.net/en/onlinescan/

Kaikilla noilla ei tarvitse skannata, muutama riittää. Lisäksi useimmat toimivat ActiveX-kilkkeillä, joten vaativat Internet Explorerin käyttöä.

Lisää löytyy esim. kuukkelilla (google) hakusanoilla: online virus scanner

Mikäli tuokaan ei auta, skannataan kone eScanilla:
http://koti.mbnet.fi/pattaya1/escanmwav.htm
Toimi sivujen ohjeiden mukaan asennuksessa, päivityksessä ja skannauksessa.
Skannauksen voi joutua tekemään myös vikasietotilassa, jos se ei muuten onnistu. Ohjelma ei välttämättä poista kaikkia pöpöjä, osan voi jouta poistamaan käsin, mutta ohjelma kuitenkin kertoo mitä pitää poistaa.

HijackThis on se viimeinen keino, mikäli muut konstit ei auta.

Muistakaa mainita viestissä ennen lokia mitä muita toimenpiteitä on tehty!

Aloittakaa aina oma viestiketju, älkää postatko lokianne muiden ketjuihin!

Ja tökkimistä aiheuttavat muutkin kuin örkit, esim. rautaviat...

Tämä siksi, että yhden HJT:n lokin tarkkaan tutkimiseen menee keskimäärin 5-30 minuuttia ja jos loki on puhdas tai ongelmat korjattavissa em. ohjelmilla, tuo aika on mennyt hukkaan...

T: Vesku

Eli onko tietoa kuinka ottaa policystä backup ennen päivytystä uuteen versioon? (6.0 --> 7.0)

Roskapostin määrän maksimoiminen on periaatteessa yksinkertaista mutta vaatii jatkuvaa työskentelyä asian hyväksi. Ensimmäinen periaate roskapostin tulon varmistamisessa on oman henkilökohtaisen sähköpostiosoitteen julkisuuden ymmärtäminen. Kun sen on ymmärtänyt, niin näillä ohjeilla pääsee jo pitkälle.

1. Salli Internet-selaimesi asentaa automaattisesti laajennukset ja salli evästeet ja sovellusten suorittaminen kaikista lähteistä.
2. Salli sähköpostiohjelmasi lähettää automaattiset lukukuittaukset sinulta kysymättä.
3. Lähetä paljon sähköpostia ja mielellään aina mahdollisimman laajoilla jakelulistoilla.
4. Lähetä kaikki saamasi hauskat pilat, linkit, kuvat, video yms. kaikille tuntemillesi henkilöille sähköpostitse.
5. Jos näet Internetissä jotain mielenkiintoista sisältöä tai mielenkiintoisen mainoksen, lähetä tieto siitä kaikille tuntemillesi henkilöille sähköpostilla.
6. Avaa saapuvien viestien liitetiedostot ja kliikkaa viesteissä olevia linkkejä, riippumatta siitä tunsitko lähettäjän vai et.
7. Osallistu jokaiseen Internetissä olevaan kilpailuun ja käytä omaa sähköpostiosoitettasi.
8. Tilaa kaikki mahdolliset uutiskirjeet ja liity kaikille mahdollisille postituslistoille.
9. Käytä aina omaa sähköpostiosoitettasi kun rekisteröidyt johonkin verkkopalveluun
10. Perusta mahdollisimman monta kotisivustoa itsellesi ja mainitse niissä kaikissa aina oma sähköpostiosoitteesi. Tee osoitteestasi myös mailto: -linkki sivuille.
11. Keskustele Newsseissä omalla nimelläsi ja osoitteellasi.
12. Käytä piraattiohjelmia ja erilaisia crackejä niissä olevien suojausten kiertämiseksi
13. Vastaa kaikkiin sinulle saapuviin roskaposteihin.
14. Jaa tätä ohjetta kavereillesi ja vaadi myös heitä toimimaan ohjeiden mukaan.


Noin siis EI pidä menetellä jos ei halua SPAMmia.