[rmc]

lugu selline: oli täna seiklus viirusega, mingi security guard programmi müüv viirus. lükkasin wifi nupust kinni ja hakkasin asja uurima ja puurima siis igatahes. lõppkokkuvõttes jõudsin safe mode'i omadega (enne lasin eemaldatavad osad maha...) ja lasin spybotiga tühjaks. siis tulin tavalisse wini tagasi ja updatesin spyboti ja scan sai just läbi. on puhas. jääke otsisin ka, ei leid.

asi mida ei ole igatahes on taskmanager, igast õpetusi ja asju uurides jõudsin registrysse ja HKEY_CURRENT_USER -> Software \ Microsoft \ Windows \ CurrentVersion \ Policies \ System. <- seda systemi osa pole seal policies'i all, seal on aint explorer...

xp home, sp3

[Betamax]

Run => taskmgr ja Enter ei anna tulemust? Ctrl+Alt+Del-ist rääkimata?

[rmc]

ilmselgelt katsetatud variandid...

[Betamax]

C:\Windows\System32\taskmgr.exe
Selline asi on olemas?

Kui jah, siis lülita Task Manager sisse:
HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\System
"DisableTaskMgr"=dword:00000000

Kui see ei aita, siis reseti Task Manager: HKEY_CURRENT_USER\Software\Microsoft\Windows NT\CurrentVersion\TaskManager

[Lord Ami]

http://www.sergiwa.com/modules/news/

http://www.softpedia.com/get/Security/Security-Related/RRT-Remove-Ristrictions-Tool.shtml

[rmc]

Betamax, 1) jah 2) policies'i all puudub SYSTEM nagu ülal mainitud 3) kuidas ma selle resetin, koha leidsin üles

Lord Ami, tasuline... (edit: proovisin mingit vanemat, tasuta versiooni ja ei töötanud see)

[Betamax]

http://support.microsoft.com/kb/555480
Pmst pead uue sissekande käsitsi tegema sinna System key alla.

Kui siiski resettimiseni jõuad, siis muuda see toodud key ära - pane lõppu .old ja tekita sinna uus key kõrvale, millel täpselt sama nimi, aga ilma .old lisata lõpus.

[rmc]

esimest sammu sealt ei saa teha, sest home'l pole seda faili

Spoiler

teine samm: [HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\System]
"DisableTaskMgr"=dword:00000000 see on nüüd korras peale restarti

[HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Group Policy Objects\LocalUser\Software\Microsoft\Windows\CurrentVersion\Policies\System]
"DisableTaskMgr"=dword:00000000 group policy objects folder puudub

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\system\]
"DisableTaskMgr"=dword:00000000 korras

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon]
"DisableCAD"=dword:00000000 selline kanne puudub, parem hiir, new, mis edasi ?

mainiks siis ära, et mingit errorit ega midagi ei viska ette, lihtsalt ei tee midagi. ctrlaltdel ei tee absoluutselt midagi, runiga korra viskab liivakella ja muud midagi
tänud abi eest!

[Betamax]

Õige jah. Home on tiba teine tera.
Kas see asjandus aitab?
http://www.dougknox.com/xp/utils/xp_taskmgrenab.htm
Peaks sisuliselt sama asja jaoks olema.

Edit: kas masina HiJackThis-iga käisid üle? Mõni asi võis siiski blokkima jääda.

[rmc]

see ei aidanud, kuid see http://www.dougknox.com/xp/utils/xp_emerutils.htm aitas, sealt samalt lehelt sain sellele. igatahes, taskmgr.exe ei tööta, renamedes töötab....

[Betamax]

Siis uuri HiJackThisiga arvutit. Miski on sul kusagile alles jäänud ja blokeerib Task Manageri. Kui Task Manageri tööle saad, siis vaata, mis protsessid seal jooksevad. Lisafeature'ina soovitaksin kasutada seda programmi - http://www.prnwatch.com/prio.html Täiustab Task Manageri.

[rmc]

hijackthis logfile..

Spoiler

Logfile of Trend Micro HijackThis v2.0.2
Scan saved at 0:29:25, on 17.03.2010
Platform: Windows XP SP3 (WinNT 5.01.2600)
MSIE: Internet Explorer v8.00 (8.00.6001.18702)
Boot mode: Normal

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\system32\spoolsv.exe
C:\Program Files\Avira\AntiVir Desktop\sched.exe
C:\Program Files\Bonjour\mDNSResponder.exe
C:\Program Files\Common Files\Microsoft Shared\VS7DEBUG\MDM.EXE
C:\Program Files\Nero\Nero8\Nero BackItUp\NBService.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\Explorer.EXE
C:\Program Files\Spybot - Search & Destroy\TeaTimer.exe
C:\WINDOWS\system32\ctfmon.exe
C:\Program Files\RALINK\Common\RaUI.exe
C:\Program Files\Mozilla Firefox\firefox.exe
C:\totalcmd\TOTALCMD.EXE
C:\Documents and Settings\allu\Desktop\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.neti.ee/
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://go.microsoft.com/fwlink/?LinkId=69157
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://go.microsoft.com/fwlink/?LinkId=54896
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = http://go.microsoft.com/fwlink/?LinkId=54896
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = http://go.microsoft.com/fwlink/?LinkId=69157
R1 - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings,ProxyOverride = *.local
O1 - Hosts: 67.215.240.115 www.google.com
O1 - Hosts: 67.215.240.115 google.com
O1 - Hosts: 67.215.240.115 google.com.au
O1 - Hosts: 67.215.240.115 www.google.com.au
O1 - Hosts: 67.215.240.115 google.be
O1 - Hosts: 67.215.240.115 www.google.be
O1 - Hosts: 67.215.240.115 google.com.br
O1 - Hosts: 67.215.240.115 www.google.com.br
O1 - Hosts: 67.215.240.115 google.ca
O1 - Hosts: 67.215.240.115 www.google.ca
O1 - Hosts: 67.215.240.115 google.ch
O2 - BHO: Adobe PDF Reader Link Helper - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Program Files\Common Files\Adobe\Acrobat\ActiveX\AcroIEHelper.dll
O2 - BHO: Spybot-S&D IE Protection - {53707962-6F74-2D53-2644-206D7942484F} - C:\PROGRA~1\SPYBOT~1\SDHelper.dll
O2 - BHO: (no name) - {5C255C8A-E604-49b4-9D64-90988571CECB} - (no file)
O2 - BHO: SSVHelper Class - {761497BB-D6F0-462C-B6EB-D4DAF1D92D43} - C:\Program Files\Java\jre1.6.0_02\bin\ssv.dll
O4 - HKLM\..\Run: [NeroFilterCheck] C:\Program Files\Common Files\Nero\Lib\NeroCheck.exe
O4 - HKLM\..\Run: [avgnt] "C:\Program Files\Avira\AntiVir Desktop\avgnt.exe" /min
O4 - HKLM\..\Run: [RRT-Auto] C:\Documents and Settings\allu\Desktop\RRT.exe auto
O4 - HKCU\..\Run: [SpybotSD TeaTimer] C:\Program Files\Spybot - Search & Destroy\TeaTimer.exe
O4 - HKCU\..\Run: [ctfmon.exe] C:\WINDOWS\system32\ctfmon.exe
O4 - Global Startup: Ralink Wireless Utility.lnk = C:\Program Files\RALINK\Common\RaUI.exe
O6 - HKCU\Software\Policies\Microsoft\Internet Explorer\Restrictions present
O6 - HKCU\Software\Policies\Microsoft\Internet Explorer\Control Panel present
O6 - HKCU\Software\Policies\Microsoft\Internet Explorer\Toolbars\Restrictions present
O6 - HKLM\Software\Policies\Microsoft\Internet Explorer\Restrictions present
O6 - HKLM\Software\Policies\Microsoft\Internet Explorer\Control Panel present
O6 - HKLM\Software\Policies\Microsoft\Internet Explorer\Toolbars\Restrictions present
O8 - Extra context menu item: E&xport to Microsoft Excel - res://C:\PROGRA~1\MICROS~2\OFFICE11\EXCEL.EXE/3000
O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\jre1.6.0_02\bin\ssv.dll
O9 - Extra 'Tools' menuitem: Sun Java Console - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\jre1.6.0_02\bin\ssv.dll
O9 - Extra button: Research - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - C:\PROGRA~1\MICROS~2\OFFICE11\REFIEBAR.DLL
O9 - Extra button: (no name) - {DFB852A3-47F8-48C4-A200-58CAB36FD2A2} - C:\PROGRA~1\SPYBOT~1\SDHelper.dll
O9 - Extra 'Tools' menuitem: Spybot - Search & Destroy Configuration - {DFB852A3-47F8-48C4-A200-58CAB36FD2A2} - C:\PROGRA~1\SPYBOT~1\SDHelper.dll
O9 - Extra button: (no name) - {e2e2dd38-d088-4134-82b7-f2ba38496583} - C:\WINDOWS\Network Diagnostic\xpnetdiag.exe
O9 - Extra 'Tools' menuitem: @xpsp3res.dll,-20001 - {e2e2dd38-d088-4134-82b7-f2ba38496583} - C:\WINDOWS\Network Diagnostic\xpnetdiag.exe
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe
O9 - Extra button: Delfi - {4B49D7DD-0622-45BD-81BD-030BFA1F98DC} - http://www.delfi.ee (file missing) (HKCU)
O9 - Extra button: ML Arvutid - {5417E449-603C-4B3E-A9A5-B4B10D7738B8} - http://www.arvutid.ee (file missing) (HKCU)
O9 - Extra button: MicroLink - {7D119A5E-C7FE-4B1E-8CA0-E4B322253B54} - http://www.microlink.ee (file missing) (HKCU)
O14 - IERESET.INF: START_PAGE_URL=http://www.arvutid.ee
O16 - DPF: {096DCF31-53FA-4BA6-A729-D85D29FC0D70} (Detect Class) - https://installer.id.ee/IDInstaller.cab
O16 - DPF: {6414512B-B978-451D-A0D8-FCFDF33E833C} (WUWebControl Class) - http://update.microsoft.com/windowsupdate/v6/V5Controls/en/x86/client/wuweb_site.cab?1157708834523
O16 - DPF: {E8EB147D-ABEF-4228-A603-AAA845D1B2C1} (esteidTool Class) - http://www.sk.ee/id-kontroll/20070223.cab
O18 - Protocol: skype4com - {FFC8B962-9B40-4DFF-9458-1830C7DD7F5D} - C:\PROGRA~1\COMMON~1\Skype\SKYPE4~1.DLL
O23 - Service: Avira AntiVir Scheduler (AntiVirSchedulerService) - Avira GmbH - C:\Program Files\Avira\AntiVir Desktop\sched.exe
O23 - Service: Bonjour Service - Apple Inc. - C:\Program Files\Bonjour\mDNSResponder.exe
O23 - Service: FLEXnet Licensing Service - Acresso Software Inc. - C:\Program Files\Common Files\Macrovision Shared\FLEXnet Publisher\FNPLicensingService.exe
O23 - Service: InstallDriver Table Manager (IDriverT) - Macrovision Corporation - C:\Program Files\Common Files\InstallShield\Driver\1150\Intel 32\IDriverT.exe
O23 - Service: iPod Service - Apple Inc. - C:\Program Files\iPod\bin\iPodService.exe
O23 - Service: Nero BackItUp Scheduler 3 - Nero AG - C:\Program Files\Nero\Nero8\Nero BackItUp\NBService.exe
O23 - Service: NMIndexingService - Nero AG - C:\Program Files\Common Files\Nero\Lib\NMIndexingService.exe
O23 - Service: NMSAccessU - Unknown owner - C:\Program Files\CDBurnerXP\NMSAccessU.exe
O23 - Service: ServiceLayer - Nokia - C:\Program Files\PC Connectivity Solution\ServiceLayer.exe

--
End of file - 6752 bytes

kusjuures see avira antivir on just pandud programm ja seda ei näita kuskil panin käima, a ei ilmunud, aint taskmanageris näitab.


prio installisin



edit:

malwarebytes tegi korralikult puhtaks vist.
report

taskmanager hakkas tööle!
igaksjuhuks veel avira antivir ja bitdefender

[laurx]

kasuta spoilerit onju
task manageri asemel process explorerit pole mõelnud kasutada? vähemalt seni, kuni suudad välja mõelda, mis probleemiks on. masin hitman pro ga üle, combofixi võiks ka proovida jooksutada. home.. ilmselt piisavalt pihta saanud. "administrator" konto on ilmselt paroolivaba?
hijackthis on korralikult asju minema visanud. masin ilmsetl juust ikkagi.

[rmc]

sry, pold sellele spoileriteemale pihta saand, thx.

probleemiks oli "security guard" viirusetõrjet müüv viirus, kuigi sel ilmselt sada erinevat nime... ja nüüd nagu nähtavaid probleeme enam ei esine... üritan veel nähtamatu saasta ka ära saata.
avira scan tegemisel, peale seda bitdefender, peale seda hitmanpro, peale seda combofix, kuskil siin vahepeal või pärast safe modei admini passi checkima, ma ei ole vist siin arvutis tegelt jah seda PÕHIASJA ära teinud .
xp home sucks ikka.

päris naljakas isegi on tegeleda sellise asjaga üle saja aasta

[laurx]

malwarebytes on selle "megatotalvirusguard" i enamasti masinast välja ajanud. combofix ka. koli see masin MSE peale kui vähegi legaliseerub.

[rmc]

avira leidis aint mingite kräkkide seest mingit jama, nüüd bitdefenderi kord.. irooniline on see, et nüüd tuli alles mulle java ja ie update windows updates, mis kaitseb rünnaku vastu

[AJ]

Kui MSE ei sobi võid kasutada ka Avast-it. Sellel vähem valehäireid kui Aviral. Minul arvas Avira, et SUPERAntiSpyware on paha.

http://www.avast.com/free-antivirus-download

[Lord Ami]

Oot kas sul on see libaantiviirus ikka alles?

[rmc]

mkm, sain lahti ilmselt sellest, nüüd igaksjuhuks igast asjadega üle veel arvuti.


edit:
lambist on add-remove programmide all IE7, ei saa sealt uninstallida ka.. netis mingi märge, et peab SP3 maha võtma ja siis alles saab IE7 maha võttta. keegi lahendust teab ?

Spoiler

http://www.upload.ee/image/456420/untitled.bmp

[terat]

Sama pahalase vastu aitas hitman pro safe mode's, task manager'id ja kõik repairis ära.

[rmc]

hitman pro safe modeis ei teind midagi, combofixi teen praegu, see leidis käivitamise ajal, et kasutan SECURITY GUARDi, ehk seesama viirus