"Novoiskrsli" spyware program i još neki problemčići

dakyorlando

A picker, a grinner, a lover, and a sinner
Moderator
Poruka
40.091
Čini mi se da je prošlo rekordno vreme (možda čak i celih nedelju dana) da je sve na redu bilo na mom kompu... :sad: :cry: Ali, moj komp je takav da ako više od dve nedelje radi kako treba to je čudo! :evil: Evo šta se sad desilo.

Neki program za zaštitu od spyware-a, VirusProtecionPro (tako nešto) mi je saopštio da imam neke pretnje, spy-ove i šta ti ja znam u kompu... a ja se ne sećam da sam ikad instalirao taj program. Da očistim to ne mogu preko tog programa, jer traži neki kod. Zato pokrenem Spybot search & destroy, moj program koji koristim, i on, između ostalog, nađe neke kritične fajlove čija su imena bila "Fake Alert" i ime tog "novog" programa. Ja shvatim da je taj novoiskrsli program maliciozan i deinstaliram ga, a onda kliknem na Fix i Spybot napiše da neki problemi nisu popravljeni i da treba da restartujem komp. Inače, u međuvremenu mi je NOD32 prijavio jedan virus (ne sećam se imena ali znam da je bila samo jedna reč, na S mislim), ali sam ga odmah uklonio. Restartujem komp, Spybot automatski skenira sve i očisti sve što je preostalo. I više nemam problema, međutim u donjem desnom uglu, s onim ikonicama kod sata i dalje mi stoji jedna ikonica koja predstavlja dve sličice, crveni X i znak pitanja, koji se smenjuju. Kad dovedem strelicu na to nikakav natpis se ne pojavljuje, a kad kliknem na to odvede me na stranu http://www.virusprotectpro.com/?aff=1012. Kako da uklonim tu ikonicu i budem siguran da moj komp više nije ugrožen?

A imam još jedno pitanje kad sam već ovde, a tiče se ažuriranja Adware-a. Moj Adware program je Ad-Aware SE Personal. Ne mogu da ga ažuriram. Svaki put mi napiše "Error retrieving update" ili se zaglavi (ne respondira). A od prijavljivanja problema nema nikakve vajde. Zašto to? Molim vas, brzo mi odgovorite jer bi hteo da hitno proverim da li mi je komp još ugrožen pre nego što mi potencijalni threat-ovi nešto unište.
 
Prvo pročitaš ovo: http://forum.krstarica.com/threads/167305
Onda ti bude jasno šta si zaboravio da napišeš u ovoj temi.

Otvori NOD32, klikni na AMON, pa dečekiraj File system monitor AMON enabled.
Zatim klikni na IMON, pa dečekiraj Internet monitor IMON enabled.

Skini SmitfraudFix i pokreni ga, po mogućnosti u Safe Mode-u.
Izaberi opciju 2) Clean i isprati postupak. Na pitanje oko čišćenja registra, ukucaj Y.

Restartuj PC. Postavi ovde C:\rapport.txt i HT log.
 
Pročitao sam tu temu, ali i dalje ne znam šta sam to zaboravio da napišem.

Dok sam skidao program SmitfraudFix, download je išao mnogo manjom brzinom nego što bi trebalo, pa izgleda da mi je ona prokletinja usporavala i internet vezu.

Tokom obavljanja posla upitao me je i nešto u vezi s Network Connections-ima, pretpostavio sam da treba da odgovorim Yes... tako sam i uradio... kada je završio posao i kada sam restartovao komp, nije bilo više problematične Fake Alert ikonice, a čini mi se i da je veza normalna...


SmitFraudFix v2.217

Scan done at 14:27:26.37, Thu 08/30/2007
Run from C:\Documents and Settings\Genije\Desktop\SmitfraudFix
OS: Microsoft Windows XP [Version 5.1.2600] - Windows_NT
The filesystem type is NTFS
Fix run in normal mode

»»»»»»»»»»»»»»»»»»»»»»»» SharedTaskScheduler Before SmitFraudFix
!!!Attention, following keys are not inevitably infected!!!

SrchSTS.exe by S!Ri
Search SharedTaskScheduler's .dll

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\SharedTaskScheduler]
"{fc7cbb1b-2da6-4e7d-a1ea-bf6705dd0f8c}"="biltongs"

[HKEY_CLASSES_ROOT\CLSID\{fc7cbb1b-2da6-4e7d-a1ea-bf6705dd0f8c}\InProcServer32]
@="C:\WINDOWS\system32\fyhwfc.dll"

[HKEY_LOCAL_MACHINE\Software\Classes\CLSID\{fc7cbb1b-2da6-4e7d-a1ea-bf6705dd0f8c}\InProcServer32]
@="C:\WINDOWS\system32\fyhwfc.dll"


»»»»»»»»»»»»»»»»»»»»»»»» Killing process


»»»»»»»»»»»»»»»»»»»»»»»» hosts

127.0.0.1 localhost

»»»»»»»»»»»»»»»»»»»»»»»» Generic Renos Fix

GenericRenosFix by S!Ri

C:\WINDOWS\system32\fyhwfc.dll -> Hoax.Win32.Renos.gen.o
C:\WINDOWS\system32\fyhwfc.dll -> Deleted


»»»»»»»»»»»»»»»»»»»»»»»» Deleting infected files

C:\WINDOWS\Tasks\At?.job Deleted
C:\WINDOWS\Tasks\At??.job Deleted
C:\DOCUME~1\ALLUSE~1\STARTM~1\Online Security Guide.url Deleted
C:\DOCUME~1\ALLUSE~1\STARTM~1\Security Troubleshooting.url Deleted

»»»»»»»»»»»»»»»»»»»»»»»» DNS

HKLM\SYSTEM\CCS\Services\Tcpip\..\{46A81C00-48E2-46C1-8D2E-4161CEF23DFF}: DhcpNameServer=208.67.220.220,208.67.222.222
HKLM\SYSTEM\CS1\Services\Tcpip\..\{46A81C00-48E2-46C1-8D2E-4161CEF23DFF}: DhcpNameServer=208.67.220.220,208.67.222.222
HKLM\SYSTEM\CS2\Services\Tcpip\..\{46A81C00-48E2-46C1-8D2E-4161CEF23DFF}: DhcpNameServer=208.67.220.220,208.67.222.222


»»»»»»»»»»»»»»»»»»»»»»»» Deleting Temp Files


»»»»»»»»»»»»»»»»»»»»»»»» Winlogon.System
!!!Attention, following keys are not inevitably infected!!!

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon]
"system"=""


»»»»»»»»»»»»»»»»»»»»»»»» Registry Cleaning

Registry Cleaning done.

»»»»»»»»»»»»»»»»»»»»»»»» SharedTaskScheduler After SmitFraudFix
!!!Attention, following keys are not inevitably infected!!!

SrchSTS.exe by S!Ri
Search SharedTaskScheduler's .dll


»»»»»»»»»»»»»»»»»»»»»»»» End


Bio bih ti zahvalan na nekom savetu koji se tiče prevencije ovakvih stvari unapred, ako je ona moguća... ;-)

E, da, još jedna stvar: posle restartovanja kompa promenjene su mi desktop pozadina i homepage strana, što nije ništa strašno... ali sada kada otvorim NOD32 imam samo opcije Threat Protection Modules, Update (koje ne mogu da "razgranam"), Logs i NOD32 System Tools. Antivirus zaštita mi se ponovo prebacila na ON, ali gde su nestale opcije koje sam malopre isključio?
 
A, znači to je to što je trebalo da stavim a nisam? OK...


Logfile of Trend Micro HijackThis v2.0.0 (BETA)
Scan saved at 3:26:47 PM, on 8/30/2007
Platform: Windows XP SP2 (WinNT 5.01.2600)
Boot mode: Normal

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\Ati2evxx.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\Ati2evxx.exe
C:\WINDOWS\Explorer.EXE
C:\WINDOWS\system32\spoolsv.exe
C:\WINDOWS\system32\cisvc.exe
C:\Program Files\Eset\nod32krn.exe
C:\WINDOWS\system32\RunDll32.exe
C:\Program Files\QuickTime\qttask.exe
C:\Program Files\Java\jre1.6.0_02\bin\jusched.exe
C:\Program Files\Common Files\Real\Update_OB\realsched.exe
C:\Program Files\Eset\nod32kui.exe
C:\WINDOWS\system32\ctfmon.exe
C:\Program Files\Messenger\msmsgs.exe
C:\Program Files\Google\GoogleToolbarNotifier\GoogleToolbarNotifier.exe
C:\Program Files\Eagle USB ADSL Modem\Eagle Family USB ADSL\dslmon.exe
C:\Program Files\Terminator\TV7131 Utilities\P3XRCtl.exe
C:\WINDOWS\system32\cidaemon.exe
C:\Program Files\Internet Explorer\IEXPLORE.EXE
D:\My Documents\My Downloads\Daky.exe

O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Program Files\Adobe\Acrobat 6.0\Reader\ActiveX\AcroIEHelper.dll
O2 - BHO: (no name) - {53707962-6F74-2D53-2644-206D7942484F} - C:\PROGRA~1\SPYBOT~1\SDHelper.dll
O2 - BHO: SSVHelper Class - {761497BB-D6F0-462C-B6EB-D4DAF1D92D43} - C:\Program Files\Java\jre1.6.0_02\bin\ssv.dll
O2 - BHO: Google Toolbar Helper - {AA58ED58-01DD-4d91-8333-CF10577473F7} - c:\program files\google\googletoolbar2.dll
O2 - BHO: Google Toolbar Notifier BHO - {AF69DE43-7D58-4638-B6FA-CE66B5AD205D} - C:\Program Files\Google\GoogleToolbarNotifier\2.0.301.7164\swg.dll
O3 - Toolbar: &Google - {2318C2B1-4965-11d4-9B18-009027A5CD4F} - c:\program files\google\googletoolbar2.dll
O3 - Toolbar: Protection Bar - {F06E2ABE-3A50-4079-BE25-FC100D9EAA25} - C:\Program Files\Video ActiveX Access\iesbpl.dll (file missing)
O4 - HKLM\..\Run: [Cmaudio] RunDll32 cmicnfg.cpl,CMICtrlWnd
O4 - HKLM\..\Run: [QuickTime Task] "C:\Program Files\QuickTime\qttask.exe" -atboottime
O4 - HKLM\..\Run: [NeroFilterCheck] C:\WINDOWS\system32\NeroCheck.exe
O4 - HKLM\..\Run: [SunJavaUpdateSched] "C:\Program Files\Java\jre1.6.0_02\bin\jusched.exe"
O4 - HKLM\..\Run: [ATIPTA] C:\Program Files\ATI Technologies\ATI Control Panel\atiptaxx.exe
O4 - HKLM\..\Run: [Quick TV Agent] D:\Program Files\Terminator\Quick TV\Scheduled.exe
O4 - HKLM\..\Run: [WinampAgent] C:\Program Files\Winamp\winampa.exe
O4 - HKLM\..\Run: [TkBellExe] "C:\Program Files\Common Files\Real\Update_OB\realsched.exe" -osboot
O4 - HKLM\..\Run: [nod32kui] "C:\Program Files\Eset\nod32kui.exe" /WAITSERVICE
O4 - HKLM\..\Run: [googletalk] C:\Program Files\Google\Google Talk\googletalk.exe /autostart
O4 - HKCU\..\Run: [ctfmon.exe] C:\WINDOWS\system32\ctfmon.exe
O4 - HKCU\..\Run: [MSMSGS] "C:\Program Files\Messenger\msmsgs.exe" /background
O4 - HKCU\..\Run: [swg] C:\Program Files\Google\GoogleToolbarNotifier\GoogleToolbarNotifier.exe
O4 - Startup: LimeWire On Startup.lnk = D:\Program Files\LimeWire\LimeWire.exe
O4 - Global Startup: DSLMON.lnk = ?
O4 - Global Startup: InterVideo WinCinema Manager.lnk = C:\Program Files\InterVideo\Common\Bin\WinCinemaMgr.exe
O4 - Global Startup: TV Remote Control.lnk = C:\Program Files\Terminator\TV7131 Utilities\P3XRCtl.exe
O8 - Extra context menu item: E&xport to Microsoft Excel - res://C:\PROGRA~1\MICROS~2\OFFICE11\EXCEL.EXE/3000
O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\jre1.6.0_02\bin\ssv.dll
O9 - Extra 'Tools' menuitem: Sun Java Console - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\jre1.6.0_02\bin\ssv.dll
O9 - Extra button: Research - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - C:\PROGRA~1\MICROS~2\OFFICE11\REFIEBAR.DLL
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe
O16 - DPF: {6E32070A-766D-4EE6-879C-DC1FA91D2FC3} (MUWebControl Class) - http://www.update.microsoft.com/mic...ls/en/x86/client/muweb_site.cab?1187399613468
O17 - HKLM\System\CCS\Services\Tcpip\..\{46B0847B-12B2-4D83-AE59-5F59BFFAB534}: NameServer = 85.255.116.164 85.255.112.166
O22 - SharedTaskScheduler: Browseui preloader - {438755C2-A8BA-11D1-B96B-00A0C90312E1} - C:\WINDOWS\system32\browseui.dll
O22 - SharedTaskScheduler: Component Categories cache daemon - {8C7461EF-2B13-11d2-BE35-3078302C2030} - C:\WINDOWS\system32\browseui.dll
O23 - Service: Ati HotKey Poller - ATI Technologies Inc. - C:\WINDOWS\system32\Ati2evxx.exe
O23 - Service: ATI Smart - Unknown owner - C:\WINDOWS\system32\ati2sgag.exe
O23 - Service: Google Updater Service (gusvc) - Google - C:\Program Files\Google\Common\Google Updater\GoogleUpdaterService.exe
O23 - Service: InstallDriver Table Manager (IDriverT) - Macrovision Corporation - C:\Program Files\Common Files\InstallShield\Driver\11\Intel 32\IDriverT.exe
O23 - Service: NOD32 Kernel Service (NOD32krn) - Eset - C:\Program Files\Eset\nod32krn.exe

--
End of file - 5325 bytes
 
Startuj HT, skeniraj i čekiraj sledeće:

O3 - Toolbar: Protection Bar - {F06E2ABE-3A50-4079-BE25-FC100D9EAA25} - C:\Program Files\Video ActiveX Access\iesbpl.dll (file missing)
O17 - HKLM\System\CCS\Services\Tcpip\..\{46B0847B-12B2-4D83-AE59-5F59BFFAB534}: NameServer = 85.255.116.164 85.255.112.166

pa klikni na Fix Checked.

Potraži folder i ako postoji, obriši ga:
C:\Program Files\Video ActiveX Access ( <--- Video ActiveX Access ).

Oko NOD-a... Klik na onaj mali trougao ispred naziva opcije, ili dvoklik na opciju će da ti prikažu to što želiš.

Prevencija za ovaj konkretan slučaj: drži se podalje od 18+ sajtova, ali ako je to ipak jače od tebe ( :mrgreen: ), nemoj da instaliraš bilo kakve kodeke koje pokušavaju da ti uvale da bi pregledao neki clip.
 
Postupio sam kako mi je rečeno. Hoćeš li da opet postavim log?

Inače, ovaj problemčić sa NOD32 se sam rešio kad sam se vratio iz grada i ponovo upalio komp. Nemam folder koji si naveo. A što se tiče 18+ sajtova, ja ih i ne posećujem... čini mi se da sajt s kog sam pokušao da uzmem kodek nije ni bio po*nografski, ako si na to mislio (ne sećam se kako se zvao)... Ali onda ne mogu da pogledam određeni klip ako je u pitanju nešto što me zanima.

A što se tiče mog drugog "problemčića" koji se tiče Ad Aware-a? Kako da ga apdejtujem?
 
Ne mogu da ga reinstaliram, a evo zašto. Kada sam davao komp na reinstalaciju (bože, mrzim što to ponavljam već 5893690236028635028632952561528957-i put, ali šta mogu), tip koji mi je instalirao mi je tamo ugradio antivirus, adware i spyware zaštitu tako da ih nemam nigde na diskovima... nadam se da to neće da prouzrokuje neku veliku štetu. Možda da se obratim tom tipu...
 

Back
Top