[Péntek]

Újratelepítettem Windows XP (+SP2). Gyak semmi különös nincs fent, csak oprendszer, office, meg pár szokásos program (rar, zip, kav, za, icq, spybot, adaware meg trojan hunter +pár apróság). Adaware semmit sem talál, de Spybot S&D rendszeresen talál 5 db DSO Exploit registry bejegyzést. Akárhányszor töröltetem ki vele, mindig visszajön.
Mit küldjek rá a gépre, hogy az okot megszüntesse?

Szerk: hellyesírás

Szerkesztette: Péntek 2004. 11. 07. 01:42 -kor

[darerik]

Idézet: Péntek - Dátum: 2004. nov. 7., vasárnap - 0:41

Újratelepítettem Windows XP (+SP2). Gyak semmi különös nincs fent, csak oprendszer, office, meg pár szokásos program (rar, zip, kav, za, icq, spybot, adaware meg trojan hunter +pár apróság). Adaware semmit sem talál, de Spybot S&D rendszeresen talál 5 db DSO Exploit registry bejegyzést. Akárhányszor töröltetem ki vele, mindig visszajön.
Mit küldjek rá a gépre, hogy az okot megszüntesse?

Szerk: hellyesírás

Semmit, az rendszerhiba. A Spybot kijavítja ugyan, de a registryben mindig újra átállítódik. Valamelyik fórumon egy srác leírta az eljárást. Keress rá a DSO-ra.

[darerik]

Itt megtalálod a leírását a DSO exploit javításának.

[Péntek]

Idézet: darerik - Dátum: 2004. nov. 7., vasárnap - 8:41

Itt megtalálod a leírását a DSO exploit javításának.

Köszönöm, meglett

Köszi Lamex-nek is, hogy leírta

[lameXpert]

A kéretlen betárcsázó programok elleni védelem

[Gyulavitéz]

Help!
bekaptam egy spyware-t.
az AdAware-val sikeresen töröltem, és a NOD32 is leszedett minden trójait (Win32Trojan/Downloader.ISTbar változatai).

De azóta a Recycled könyvtáram Recycler néven fut, és sehol nem találom a registryben, hogy hol lehetne átírni.

[Killer]

Hiába megy az Ad watch felügyelet, ahányszor lefuttatok egy spykeresõt mindíg talál valamit. Sokszor nem is keveset.
Nem értem, hogy engedi át a watch.
Egy cimborám szerint nem kell ezekkel a kémekkel foglalkozni mert nem csinálnak semmit.
De engem ez nem nyugtat meg.
Mit kellene feltenni, hogy ne másszanak a gépemre?

[lameXpert]

Idézet: Killer - Dátum: 2004. nov. 12., péntek - 7:30

Hiába megy az Ad watch felügyelet, ahányszor lefuttatok egy spykeresõt mindíg talál valamit. Sokszor nem is keveset.
Nem értem, hogy engedi át a watch.
Egy cimborám szerint nem kell ezekkel a kémekkel foglalkozni mert nem csinálnak semmit.
De engem ez nem nyugtat meg.
Mit kellene feltenni, hogy ne másszanak a gépemre?

Olvasókönyvet?

[Killer]

Idézet: lameXpert - Dátum: 2004. nov. 12., péntek - 8:51

Olvasókönyvet?

Igen jó lenne köszönöm.

[lameXpert]

Spybot Search and Destroy Detection Update 2004-11-18 [ 508 Kb | Freeware | Win All] Update your Spybot S&D detections without the need for the included WebUpdate.

[Satriani]

Idézet: lameXpert - Dátum: 2004. nov. 19., péntek - 13:54

Spybot Search and Destroy Detection Update 2004-11-18 [ 508 Kb | Freeware | Win All] Update your Spybot S&D detections without the need for the included WebUpdate.

Ez a verzió nagyon összeveszett a gépemmel. Friss telepítésû winxp sp1-en az scvhost.exe internetezés közben - gondolom, amikor a teatimer talált valami turpisságot - felugrott 99%-ra, majd pár perc múlva a rendszer váratlan hibával újraindult. Víruskeresõ, trójai keresõ, ad-aware, spybot, hijackthis nem mutatott rendellenességet, tûzfal nem jelzett, látszólag semmi gond nem volt. Módszeresen vizsgálgattam minden, boot után induló programot, míg végül kiderült, hogy a teatimer.exe okozza a problémát.

Elõkerestem egy régebbi verziót, azzal semmi gond.

[lameXpert]

Spyware removal tools

[lameXpert]

2004-11-17
Dialer
+ Netvision ++ Xgenius + DutchWeb24 + Seksdialer ++ MainPean
Hijacker
++ CoolWWWSearch.BadZoneMap (11) + Wow Access + Network Essentials.Search-Exe ++ Matrix Search Engine + CoolWWWSearch.HomeSearch + CoolWWWSearch.AFF.Winshow
Keylogger
+ SpyAnywhere (3)
Malware
+ DyFuCA ++ Terminexor
Spyware
+ Comet Cursors + eXact Advertising.BargainsBuddy (2) + eXact Advertising.eXactSearchbar (18) + DyFuCA.InternetOptimizer
Trojan
++ QDown ++ Theef-B (3) ++ R-bot + KillAV ++ Rvss.A

[lameXpert]

Idézet: Satriani - Dátum: 2004. nov. 22., hétfõ - 10:05

Ez a verzió nagyon összeveszett a gépemmel. Friss telepítésû winxp sp1-en az scvhost.exe internetezés közben - gondolom, amikor a teatimer talált valami turpisságot - felugrott 99%-ra, majd pár perc múlva a rendszer váratlan hibával újraindult. Víruskeresõ, trójai keresõ, ad-aware, spybot, hijackthis nem mutatott rendellenességet, tûzfal nem jelzett, látszólag semmi gond nem volt. Módszeresen vizsgálgattam minden, boot után induló programot, míg végül kiderült, hogy a teatimer.exe okozza a problémát.

Elõkerestem egy régebbi verziót, azzal semmi gond.

Lehetett sérülés is a letöltés közben...  de nehéz biztosat mondani. Ha máshonnan, esetleg most az éppen innen letöltött csomag is produkálja, érdemes a készítõknek írni.

[lameXpert]

2004-12-01
Adware
+ DealHelper
Dialer
+ Axis
Hijacker
+ CoolWWWSearch.BadZoneMap + CoolWWWSearch.AboutBlank (2) + ShopAtHome + WOW Access + Crackspider + MyTotalSearchBar + Flashtrack Flashenhancer + CleverIEHooker.Jeired
Keylogger
+ Plog 1.1
Malware
+ AV Devil + Nirsoft + Web CPR-TopMoxie
Spyware
+ emusic + eZula Hot Text + n-Case (2) + SplashSpot + VX2.Favoriteman + HuntBar + Serial Thief + ProAgent 1.21 + WildMedia + AdRoarPlugin + CallingHome.biz
Trojan
+ C2 Media Ltd + W32.Bagle.AV + Windows AdTools + Hammer Binder Update + E-Gold + Comload + Klorin + Tequila Bandita 1.2 (2) + KStealth + Password Devil + FTP Center 1.3 + Spyblocs + BTV

[lameXpert]

[d n . r]

Sziasztok!
Következõ a problémám: a Norton 2005 kiszúrt 4 addware-t: targetsoftsetup; aklsp.dll; tbps.exe; wtools.exe.
(és persze jöttek is föl a hírdetések, ironikusan jellemzõen antyspy és antiadd programokról... )
(Megjegyzem, hogy van fönt Spybot 1.3 és Ad-Aware 6.0, ezek ezeket nem találták meg)
Namost a Norton törölni viszont nem tudta õket, ebbõl kitalálható volt, hogy rögtön a win indulásakor futni kezdenek. Turkáltunk kicsit a registryben, és ezután a 4bõl 3 törölhetõ is volt, azonban az aklsp.dll nem. (ez a system32 könyvtárba írta be magát)
Ezután vinyo át egy másik gépbe és fájl töröl. Namost ez után viszont nem futott az internet. (Gondolom a kis szemét gondoskodott arról, hogy nélkülözhetetlen legyen, mondjuk lecserélt egy rendszerfájlt és az futtatja mellékesen, de ennyire én már nem értek hozzá, nem tudom hogy mûködnek ezek)

Van valakinek valami ötlete?

(Illetve ha valami megoldáshoz szükséges infót kifelejtettem, akkor persze pótolom majd)

[lameXpert]

Idézet

Close all windows,rerun HJT, put a tick beside these and click FIX CHECKED

R3 - Default URLSearchHook is missing
O1 - Hosts: 69.20.16.183 auto.search.msn.com
O1 - Hosts: 69.20.16.183 search.netscape.com
O1 - Hosts: 69.20.16.183 ieautosearch

Please Download LSPFix from here and Run the Program.

Disconnect from the Internet and close all Internet Explorer Windows.

Check the "I know what I'm doing" Button and move all instances of calsp.dlland aklsp.dll from
the left panel to the right panel then click ‘Finish’


then reboot and post a fresh Hijackthis log.

Használd a HijackThis-t és az LSPfix-et.

Szerkesztette: lameXpert 2004. 12. 08. 12:43 -kor

[d n . r]

Köszi Lamex!

Az aklsp-probléma megoldva, most már törölni tudtam gond nélkül, viszont még mindig jönnek a hírdetések.

Bemásolom a hijackthis jelentéseit az akció elõtt és után.

* * * * * * * *

Logfile of HijackThis v1.97.7
Scan saved at 13:48:54, on 2004.12.08.
Platform: Windows XP Szervizcsomag 1 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP1 (6.00.2800.1106)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\Program Files\Common Files\Symantec Shared\ccSetMgr.exe
C:\Program Files\Common Files\Symantec Shared\SNDSrvc.exe
C:\Program Files\Common Files\Symantec Shared\SPBBC\SPBBCSvc.exe
C:\Program Files\Common Files\Symantec Shared\ccEvtMgr.exe
C:\WINDOWS\system32\rundll32.exe
C:\WINDOWS\system32\spoolsv.exe
C:\WINDOWS\Explorer.EXE
C:\Program Files\Common Files\Symantec Shared\ccApp.exe
C:\WINDOWS\SOUNDMAN.EXE
C:\WINDOWS\System32\PDesk\PDesk.exe
C:\Program Files\Spybot - Search & Destroy\TeaTimer.exe
C:\Program Files\Logitech\MouseWare\system\em_exec.exe
C:\WINDOWS\System32\DRIVERS\CDANTSRV.EXE
C:\WINDOWS\System32\mgabg.exe
C:\Program Files\Norton AntiVirus\navapsvc.exe
C:\Program Files\Norton AntiVirus\IWP\NPFMntor.exe
C:\WINDOWS\System32\svchost.exe
C:\Program Files\Common Files\Symantec Shared\CCPD-LC\symlcsvc.exe
C:\Program Files\Messenger\msmsgs.exe
C:\PROGRA~1\COMMON~1\PCSuite\DATALA~1\DATALA~1.EXE
C:\PROGRA~1\COMMON~1\PCSuite\Services\SERVIC~1.EXE
C:\PROGRA~1\Nokia\NOKIAP~1\COMPON~1\PHONEB~1\NOKIAV~1.EXE
D:\viktor\pegasus\PMAIL\winpm-32.exe
D:\5-letöltes\spy\HijackThis.exe

R0 - HKLM\Software\Microsoft\Internet Explorer\Search,CustomizeSearch = res://C:\PROGRA~1\Toolbar\toolbar.dll/sa
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName =
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,SearchAssistant = about:blank
O1 - Hosts: 69.20.16.183 ieautosearch
O1 - Hosts: 69.20.16.183 ieautosearch
O1 - Hosts: 69.20.16.183 ieautosearch
O1 - Hosts: 69.20.16.183 ieautosearch
O1 - Hosts: 69.20.16.183 ieautosearch
O1 - Hosts: 69.20.16.183 ieautosearch
O1 - Hosts: 69.20.16.183 ieautosearch
O1 - Hosts: 69.20.16.183 ieautosearch
O1 - Hosts: 69.20.16.183 ieautosearch
O1 - Hosts: 69.20.16.183 ieautosearch
O1 - Hosts: 69.20.16.183 ieautosearch
O1 - Hosts: 69.20.16.183 ieautosearch
O1 - Hosts: 69.20.16.183 ieautosearch
O1 - Hosts: 69.20.16.183 ieautosearch
O1 - Hosts: 69.20.16.183 search.netscape.com
O1 - Hosts: 69.20.16.183 ieautosearch
O1 - Hosts: 69.20.16.183 ieautosearch
O1 - Hosts: 69.20.16.183 auto.search.msn.com
O1 - Hosts: 69.20.16.183 ieautosearch
O1 - Hosts: 69.20.16.183 ieautosearch
O3 - Toolbar: &Rádió - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINDOWS\System32\msdxm.ocx
O3 - Toolbar: Norton AntiVirus - {42CDD1BF-3FFB-4238-8AD1-7859DF00B1D6} - C:\Program Files\Norton AntiVirus\NavShExt.dll
O3 - Toolbar: (no name) - {E0E899AB-F487-11D5-8D29-0050BA6940E3} - (no file)
O4 - HKLM\..\Run: [ccApp] "C:\Program Files\Common Files\Symantec Shared\ccApp.exe"
O4 - HKLM\..\Run: [SSC_UserPrompt] C:\Program Files\Common Files\Symantec Shared\Security Center\UsrPrmpt.exe
O4 - HKLM\..\Run: [SoundMan] SOUNDMAN.EXE
O4 - HKLM\..\Run: [Matrox Powerdesk] C:\WINDOWS\System32\PDesk\PDesk.exe /Autolaunch
O4 - HKLM\..\Run: [Logitech Utility] Logi_MwX.Exe
O4 - HKLM\..\Run: [Symantec NetDriver Monitor] C:\PROGRA~1\SYMNET~1\SNDMon.exe
O4 - HKCU\..\Run: [SpybotSD TeaTimer] C:\Program Files\Spybot - Search & Destroy\TeaTimer.exe
O4 - Global Startup: Adobe Gamma Loader.lnk = C:\Program Files\Common Files\Adobe\Calibration\Adobe Gamma Loader.exe
O4 - Global Startup: Microsoft Office.lnk = C:\Program Files\Microsoft Office\Office\OSA9.EXE
O10 - Unknown file in Winsock LSP: c:\windows\system32\aklsp.dll
O10 - Unknown file in Winsock LSP: c:\windows\system32\aklsp.dll
O10 - Unknown file in Winsock LSP: c:\windows\system32\aklsp.dll
O10 - Unknown file in Winsock LSP: c:\windows\system32\aklsp.dll
O16 - DPF: {D27CDB6E-AE6D-11CF-96B8-444553540000} (Shockwave Flash Object) - http://fpdownload.macromedia.com/pub/shock...ash/swflash.cab
O17 - HKLM\System\CCS\Services\Tcpip\..\{D96DCD17-8F54-4401-9C2A-8A776BA6938D}: NameServer = 195.228.240.249,195.228.242.180

* * * * * * *

Logfile of HijackThis v1.97.7
Scan saved at 16:03:10, on 2004.12.08.
Platform: Windows XP Szervizcsomag 1 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP1 (6.00.2800.1106)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\Program Files\Common Files\Symantec Shared\ccSetMgr.exe
C:\Program Files\Common Files\Symantec Shared\SNDSrvc.exe
C:\Program Files\Common Files\Symantec Shared\SPBBC\SPBBCSvc.exe
C:\Program Files\Common Files\Symantec Shared\ccEvtMgr.exe
C:\WINDOWS\system32\rundll32.exe
C:\WINDOWS\system32\spoolsv.exe
C:\WINDOWS\System32\DRIVERS\CDANTSRV.EXE
C:\WINDOWS\System32\mgabg.exe
C:\Program Files\Norton AntiVirus\navapsvc.exe
C:\Program Files\Norton AntiVirus\IWP\NPFMntor.exe
C:\WINDOWS\System32\svchost.exe
C:\Program Files\Common Files\Symantec Shared\CCPD-LC\symlcsvc.exe
C:\WINDOWS\Explorer.EXE
C:\Program Files\Common Files\Symantec Shared\ccApp.exe
C:\WINDOWS\SOUNDMAN.EXE
C:\WINDOWS\System32\PDesk\PDesk.exe
C:\Program Files\Spybot - Search & Destroy\TeaTimer.exe
C:\Program Files\Logitech\MouseWare\system\em_exec.exe
C:\Program Files\Messenger\msmsgs.exe
C:\Program Files\ArchiCAD 8.1\ArchiCAD.exe
C:\ArchiCAD 7.0 Mappa\ArchiCAD.exe
D:\viktor\pegasus\PMAIL\winpm-32.exe
D:\5-letöltes\spy\HijackThis.exe

R0 - HKLM\Software\Microsoft\Internet Explorer\Search,CustomizeSearch = res://C:\PROGRA~1\Toolbar\toolbar.dll/sa
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName =
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,SearchAssistant = about:blank
O1 - Hosts: 69.20.16.183 auto.search.msn.com
O1 - Hosts: 69.20.16.183 search.netscape.com
O1 - Hosts: 69.20.16.183 ieautosearch
O1 - Hosts: 69.20.16.183 ieautosearch
O1 - Hosts: 69.20.16.183 ieautosearch
O3 - Toolbar: &Rádió - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINDOWS\System32\msdxm.ocx
O3 - Toolbar: Norton AntiVirus - {42CDD1BF-3FFB-4238-8AD1-7859DF00B1D6} - C:\Program Files\Norton AntiVirus\NavShExt.dll
O3 - Toolbar: (no name) - {E0E899AB-F487-11D5-8D29-0050BA6940E3} - (no file)
O4 - HKLM\..\Run: [ccApp] "C:\Program Files\Common Files\Symantec Shared\ccApp.exe"
O4 - HKLM\..\Run: [SSC_UserPrompt] C:\Program Files\Common Files\Symantec Shared\Security Center\UsrPrmpt.exe
O4 - HKLM\..\Run: [SoundMan] SOUNDMAN.EXE
O4 - HKLM\..\Run: [Matrox Powerdesk] C:\WINDOWS\System32\PDesk\PDesk.exe /Autolaunch
O4 - HKLM\..\Run: [Logitech Utility] Logi_MwX.Exe
O4 - HKLM\..\Run: [Symantec NetDriver Monitor] C:\PROGRA~1\SYMNET~1\SNDMon.exe
O4 - HKCU\..\Run: [SpybotSD TeaTimer] C:\Program Files\Spybot - Search & Destroy\TeaTimer.exe
O4 - Global Startup: Adobe Gamma Loader.lnk = C:\Program Files\Common Files\Adobe\Calibration\Adobe Gamma Loader.exe
O4 - Global Startup: Microsoft Office.lnk = C:\Program Files\Microsoft Office\Office\OSA9.EXE
O16 - DPF: {D27CDB6E-AE6D-11CF-96B8-444553540000} (Shockwave Flash Object) - http://fpdownload.macromedia.com/pub/shock...ash/swflash.cab
O17 - HKLM\System\CCS\Services\Tcpip\..\{D96DCD17-8F54-4401-9C2A-8A776BA6938D}: NameServer = 195.228.240.249,195.228.242.180

* * * * * *

Két megjegyzés:

(1) mint látható, nekem az "R3 stbstbstb" bejegyzésem nem volt, volt viszont helyette olyan, ami az aklsp-re mutatott, így azokat fixáltam

(2) Ha az _új_ log-fájlt nézzük, szerinted/szerintetek miket lehet még onnan törölni?

Szerintem a 01, a 03 (talán annak kivételével, ami a norton antivirusra mutat), és a 017 mehet. Szerintetek?

Szerkesztette: d n . r 2004. 12. 08. 16:44 -kor

[d n . r]

Ja, és ugye a 01-esekbõl látszik, hogy ezek újratermelték magukat.