[rebits]

Palun abi selle ussikese eemaldamisel. Kas kellelgi on kogemusi sellega?

[Betamax]

http://www.wipe-spyware.com/wmiprvse.exe.html

[rebits]

Aitäh kiire vastuse eest, väga hea link aga mul asi pooleli ccleaneriga, oleksin pidanud täpsustama.

imelik et ei Avira-antivir, Lavasoft Ad-Aware 2007, ega ka veel mõned scannerid ei leia midagi.
-googeldasin enne pisut kui siia kirjutasin. CCleaner sai alla laetud ja see siis vist midagi aitas aga ma pole asjas veendunud kuigi üks failidest(WMIPRVSE.EX_) on tõesti kustutatud on teine(WMIPRVSE.EXE-28F301A9.pf) ikka veel alles. Spybot startup listis on rida kirjeid mis ilmselt kindlasti vajaks eemaldamist aga ei hakanud enne igaks juhuks torkima.
Mu küsimus oleks endiselt et kas kellelgi on kogemusi selle loomakesega? Mida kurja saab selle vidinaga teha mulle või et õigemini kas saaks teada mida see asi tegi sel momendil kui CPU100% ja nett aeglane?...

üks link siinkohal:http://www.windowsnetworking.com/articles_tutorials/Gaining-Speed-Empty-Prefetch-XP.html

natuke hiljem...
Sllega sain ehk ilusti ühelepoole aga... see Spybot startup list
Troojamoodi hobuke tundub kah lisaks külla toodud: ctfmon.exe? -kuigi mul pole Office´t Kas keegi targem viitsiks vaadata kui mingit-sorti logifaili saadan?

Naised on küll toredad aga vahel ikka nii rumalalt ettearvamatud et paneb ropendama
st et oli nüüd tarvis just selle arvutiga veel pangas käia ja tuludeklaratsioone täita jne.... TORE

[nexus]

http://www.prevx.com/

[Betamax]

rebits, igaks juhuks vaheta puhtas arvutis oma paroolid ära, mis selle viirusega nakatumise ajal sisestatud olid.

[rebits]

Aitäh et meelde tuletasid. Vahetan kindlasti kui koju jõuan

[hashi]

[rebits]

oli tõesti W32/Sonebot-b
uurisin avira-antivir logi ja ....siin kah midagi veel olnud: WORM/Rbot.642560 - aga on teine "tasakesti" kõrvaldatud
3 peidetud kirjet mida ei lasknud enne scannida on ikka veel alles: rootkitsearch:

Starting search for hidden objects.
HKEY_USERS\S-1-5-19\Software\Microsoft\Windows NT\CurrentVersion\Winlogon\parseautoexec
[NOTE] The registry entry is invisible.
HKEY_USERS\S-1-5-21-101265881-953129233-1774555873-1005\Software\Microsoft\Protected Storage System Provider\S-1-5-21-101265881-953129233-1774555873-1005\data
[NOTE] The registry entry is invisible.
HKEY_USERS\S-1-5-21-101265881-953129233-1774555873-1005\Software\Microsoft\Protected Storage System Provider\S-1-5-21-101265881-953129233-1774555873-1005\migrate
[NOTE] The registry entry is invisible.
'566082' objects were checked, '3' hidden objects were found.

Kas see on normaalne nähtus või mitte?
Ma vist annan alla praeguseks

[hashi]

[rebits]

Sul on õigus, Hashi. Kle aga mul on tunne et just sügavamal tasandil ongi asjad ringi kujundatud.
tsit" :Niipalju, kui mina asjale pihta saan, juhib parseautoexec autoexec.bat faili kasutamist süsteemi poolt ja protected storage system tegeleb kasutaja(te) salasõna(de)/parooli(de) haldamise/kaitsmisega. Arvan, et nendele andmetele lihtsalt igaüht ligi ei lasta ja kogu moos."
Sellepärast ma ju muretsema hakkasingi.
ot ma tahaks siin seda startup nimekirja näidata aga kuidas ma siia pildi saan sättida?

[hashi]

[rebits]

Väga kuripaha tegelane ikka- kernel_rootkit tegija vist ...sisuliselt võib öelda et arvuti on tema poolt ringi kujundatud("my computer is compromised!") ma annan varsti teada kui õnnestub päästa mis päästa saab. Ma rõhutan:et startuppi kirjutataksegi needsamad numbriread mis ma siia saatsin ja "ctfmon.exe" on selle asja nimeks teises tulbas;aga ega ma hullult põdema kah ei tahaks hakata. Asi miks ma selle pildina saata tahtsin oli lihtsalt selles et ma tegin enne sellest pildi kuigi oleksin võinud hoopis lihtsalt exportida tekstifailina... rahuneda jõuab alati

[Lord Ami]

http://www.gmer.net/gmer.zip
Proovi mis Gmer leiab(vajuta all parem Scan) ja peale skänni lõppu vaata kas punaseid kirjeid ka on.

[hashi]

[rebits]

tuli aken mis teatas umbes et this comuter is locked( ikoonid desktopil kadund olekus) you have to be administrator vms...mina seepeale esc ja asi jooksis edasi nagu poleks midagi olnudki.
aga ma tahaks selle pildi startupist ikkagi saata sest et see tikub ainus variant kus need kirjed just nii on
(HK_LM:run "user.default " ctfmon.exe ja siis kõikide kasutajatega + veel "user.adminstrator on C:"
HK_LM:RunOnce )
jaa palju muud mis järgnevas on tiba teisiti

startup:
HK_LM:Run,Active,avgnt,"""C:\Program Files\AntiVir PersonalEdition Classic\avgnt.exe"" /min"
HK_LM:Run,Active,nwiz,"nwiz.exe /install"
HK_LM:Run,Active,"SiS Tray",C:\WINDOWS\system32\sistray.EXE
HK_LM:Run,Active,SoundMan,SOUNDMAN.EXE
HK_LM:Run,Disabled,"Logitech Utility",Logi_MwX.Exe
HK_LM:Run,Disabled,NeroCheck,C:\WINDOWS\system32\NeroCheck.exe
HK_LM:Run,Disabled,nwiz,"nwiz.exe /install"
HK_LM:Run,Disabled,NvMediaCenter,"RUNDLL32.EXE C:\WINDOWS\system32\NvMcTray.dll,NvTaskbarInit"
HK_CU:Run,Active,CTFMON.EXE,C:\WINDOWS\System32\CTFMON.EXE
HK_CU:RunOnce,Active,RunNarrator,Narrator.exe
HK_CU:Run,Active,ctfmon.exe,C:\WINDOWS\System32\ctfmon.exe
HK_CU:RunOnce,Active,NeroHomeFirstStart,"C:\Program Files\Common Files\Ahead\Lib\NMFirstStart.exe"
HK_CU:Run,Active,ctfmon.exe,C:\WINDOWS\system32\ctfmon.exe
HK_CU:Run,Active,ctfmon.exe,C:\WINDOWS\system32\ctfmon.exe
HK_CU:Run,Active,msnmsgr,"""C:\Program Files\MSN Messenger\msnmsgr.exe"" /background"
HK_CU:Run,Active,Skype,"""C:\Program Files\Skype\Phone\Skype.exe"" /nosplash /minimized"
HK_CU:Run,Active,"SpybotSD TeaTimer","C:\Program Files\Spybot - Search & Destroy\TeaTimer.exe"
HK_CU:Run,Active,CTFMON.EXE,C:\WINDOWS\System32\CTFMON.EXE
HK_CU:RunOnce,Active,RunNarrator,Narrator.exe
"Startup (common)",Disabled,"Adobe Gamma Loader.lnk","C:\Program Files\Common Files\Adobe\Calibration\Adobe Gamma Loader.exe"
"Startup (common)",Disabled,"Adobe Reader Synchronizer.lnk","C:\Program Files\Adobe\Reader 8.0\Reader\AdobeCollabSync.exe"
WinLogon,Active,crypt32chain,crypt32.dll
WinLogon,Active,cryptnet,cryptnet.dll
WinLogon,Active,cscdll,cscdll.dll
WinLogon,Active,ScCertProp,wlnotify.dll
WinLogon,Active,Schedule,wlnotify.dll
WinLogon,Active,sclgntfy,sclgntfy.dll
WinLogon,Active,SensLogn,WlNotify.dll
WinLogon,Active,termsrv,wlnotify.dll
WinLogon,Active,WgaLogon,WgaLogon.dll
WinLogon,Active,wlballoon,wlnotify.dll

mis nood 10 viimast on et ei lase välja lülitada ega vist ka kustutada?

imelik .... "nimi noh" on imelik......name resolutsion mis see ka maakeeli on??? ja kuidas teha oma arvuti nüüd "nähtamatuks" kurikaeltele
see "võrgutamine" on ikke üks põnev asi kui ain´t saaks lõpuni aru asjast millised serviced vajalikud ja mida võiks hoopis ära disableda.
küsimus laiale ringile: kas on võimalik osta poest arvutimälu millel on viirus?... mina arvan et mitte
K-arvutisalong müüs mulle lõhkise(avatud) pakendiga mälu... wtf miks just minule ikka satub.

[sukelduja]

Ära neid winlogoni kirjeid puudu! Väga kergelt saad mittetöötava arvuti. Ja kui nende signatuurid on õiged, siis on kõik korras, need on kontrollitud ja vajalikud kirjed. WgaLogon on maitseasi. Signatuure saab kontrollida autorunsiga http://technet.microsoft.com/en-us/sysinternals/bb963902.aspx . Options ->Verify Code Signatures ja siis Refresh.

[rebits]

ctfmon.exe= oli seotud CoolWebSearch -tüütu igatahes
kui ma õigesti mäletan ei polnud noid 10-t rida enne üldse või kui olid siis polnud nad aktiivsed winni käivitamisel

[sukelduja]

CTFMON.exe-st lähemalt.

http://support.microsoft.com/kb/282599

[hashi]

[Lord Ami]

http://filehippo.com/download_cwshredder/
Proovi ka seda CWS vastu.

[tahanteada]

SpyBot saab CoolWebSearch-iga vabalt hakkama

CoolWebSearch on üsna levinud, suhteliselt primitiivne Spy ja liigub internetist masinatesse peamiselt igasuguste mänguserverite (näiteks Mängukoobas) vahendusel...

[rebits]

Saigi hakkama.
Kusjuures tekkiski mega paranoia mul ja ajasin asjad segi. A nüüd tundub asi jälle käima... kui välja arvata et viskab aeg ajalt "accsess violatsioon" tüüpi kirja (arvuti sulgemisel vist oli) ja eriti ei jõua meelde jätta mis täpselt kirjas on.
ma ise küll arvutit mängimiseks ei kasuta aga mine sa mu poissi tea -ta mängib tavaliselt neid delfiportaalis pakutavaid ... ja siit küsimus java ning javascripti kohta ??? isegi ei oska täpselt küsidagi prgst...
ja veel... mis tolle Windows Live OneCare'i turbekontrolli kohta arvate? on teine ilusasti eesti keelde pandud ja puha.