[lameXpert]

Idézet

StartupList Index

Currently 6702 startuplist entries and growing...
!! THESE ARE STARTUP PROGRAMS AND NOT TASK MANAGER PROCESS ITEMS !!

KEY:

"Y" - Normally leave to run at start-up                                                                                Normál mûködés
"N" - Not required - typically infrequently used tasks that can be started manually if necessary Nem feltétlenül szükséges
"U" - User's choice - depends whether a user deems it necessary                                          Rajtad áll
"X" - Definitely not required - typically viruses, spyware, adware and "resource hogs"                Veszély!
"?" - Unknown                                                                                                                  Kérdéses

[Wyco]

Ezt melyik progi tudja? Elég sok szutyok fut, strapás éenne átnyalni kézileg mindent...
Közben megfejtettem...

Szerkesztette: Wyco 2004. 12. 30. 21:28 -kor

[lameXpert]

Idézet

Fõszerepben a biztonság 1. rész: tûzfalak
Írta: Antrophus
Dátum: 2004. Január 5.

Miért van szükségünk tûzfalra?

[lameXpert]

Idézet

Vírust hordoznak a zenelejátszók
Index
2005. január 3., hétfõ 11:52

A karácsonyi ajándékok váratlan meglepetéseket tartalmazhatnak: vírusokat és férgeket. Az informatikai biztonsággal foglalkozó Kaspersky Labs szakértõi arra gyanakodnak, hogy a gyártók megfertõzött számítógépeirõl került kártékony kód a lejátszókra.

Bármily meglepõ, a hordozható adattárolókon terjedõ vírusok visszatértek. A flopilemezek korára jellemzõ digitális kártevõk a Windows XP megjelenése óta teljesen eltûntek a színrõl, és helyüket átvették az emailben és hálózaton terjedõ férgek, hiszen azok pillanatok alatt több tízezer számítógépet tudnak megfertõzni. A hordozható zenelejátszók és digitális fényképezõgépek azonban egyre népszerûbbek, és mivel a júzerek gond nélkül dugdossák be a kütyüiket mindenféle számítógépbe, csöppet sem csodálkozhatunk a régi módszer reneszánszán.

Nem bánt nagyon

A Kasperksy Labs szakértõi néhány hónappal ezelõtt találkoztak elõször a VBS.Saraci nevû vírussal az iRiver merevlemezes mp3 lejátszóján, és késõbb más gyártók modelljein is. A McAfee vírusadatbázisa szerint a kártékony program közepesen veszélyes, és terjedése mellett azzal okoz károkat, hogy szeptember 26. után folyamatosan újraindítja a Windowst. (Szerencsére ez még messze van.)

Fontos a megelõzés

Most a vírus memóriakártyás mp3 lejátszókon is megjelent, és a Kaspersky szakértõi arra gyanakodnak, hogy az eszközök teszteléséhez használt számítógépek lehetett fertõzöttek, és így kerülhetett kártékony kód az eszközökre. Szerintük újabb, még pusztítóbb férgekre és vírusok megjelenésére számíthatunk, ezért azt javasolják a júzereknek, hogy használat elõtt mindenképpen formatálják le a lejátszójukat, még mielõtt összekötnék a számítógépükkel.

[lameXpert]

Idézet

a system scan során egy érdekes dolgot talált:
a c:\windows\system32\tcposmod.exe fájlban Backdoor.DSSdoor.b bacdoort talált.
Viszont azt írta, hogy nincs jogosultságom törölni (pedig rendszergazda user vagyok és úgy futtattam, XP az oprendszer).

Idézet

Can you see if this key:
HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run "DSS"
is present in your registry?
After disabling it from starting up there, you should have no problem removing tcposmod.exe
From what I could find about this BackDoor I gather it deletes netstat.exe and adds c:\WINDOWS\readme-net.doc and the file you found.
Mostly used to gather online passwords like Hotmail etc.
To find out if any and which passwords were stolen, the first thing to do is find out if it was ever active. You can do that by checking if the changes I mentioned were indeed made.

[lameXpert]

Idézet

Adware.

AdMilliServ.exe and AdMilliKeep.exe run together. If you try to terminate one of the files, the other will restart its partner.

Elsõnek Safe módban pucold minél gyorsabban a teljes könyvtárat:

C:\Program Files\Admilli Service\

[lameXpert]

Idézet

Description

lop is a family of programs that set your start page and IE's search features to use the site lop.com ('Live Online Portal') or one of its clone sites. Known lop sites include:

    * aavc.com
    * acjp.com
    * ebch.com
    * ebdv.com
    * ebdw.com
    * ebjp.com
    * ebkn.com
    * ebky.com
    * eblv.com
    * ebmu.com
    * ebvr.com
    * ecmh.com
    * ecpm.com
    * ecwz.com
    * ecyb.com
    * eduy.com
    * eeev.com
    * ibmx.com
    * icwb.com
    * icwo.com
    * icwp.com
    * iddh.com
    * idhh.com
    * ifiz.com
    * iguu.com
    * samz.com
    * saoe.com
    * sbjr.com
    * sbnl.com
    * sbnt.com
    * sbvr.com
    * scbm.com
    * sckr.com
    * scrk.com
    * sdry.com
    * seld.com
    * sfux.com
    * sipo.com
    * smds.com
    * srib.com
    * srox.com
    * srsf.com
    * ssaw.com
    * ssby.com
    * surj.com
    * tbvg.com
    * tdak.com
    * tdko.com
    * tdmy.com
    * tefs.com
    * tfil.com
    * thko.com
    * tjar.com
    * tjaw.com
    * tjdo.com
    * tjem.com
    * tjgo.com
    * torc.com
    * wabq.com
    * wabu.com
    * wbkb.com
    * wfix.com
    * wflu.com

Also sbee.com and scmb.com, which no longer house lop clones, are believed to have been used in the past.

In newer variants, changing your home page back results in the new home page being 'framed' by a 'passthrough' frameset from lop, which adds a lop search bar to the bottom of the page.

It also adds shortcuts to advertisers. Finally it adds a task to run on startup which sets your homepage and search back to lop if you change them.

Variants

lop/Trinity is an old variant of the software, which only adds the shortcuts and does the homepage/search hijacking.

lop/Dialer is a plain porn dialler delivered with the startup task.

lop/Toolbar: includes the startup task and an IE toolbar with more lop links. This variant can be detected by the script at this site.

lop/Rnd: a version of lop/Toolbar that uses completely random class IDs as well as pseudo-random filenames, making it difficult to detect.

lop/AYB: a URL protocol module used by the MP3Search (or similar) minibrowser launched by the startup task. This variant can be detected by the script at this site; having it is usually a sign you may have lop/Toolbar or lop/Rnd as well.

lop/Loader: an installer process that opens a small progress window in the middle of the screen and loads and runs both lop/AYB and either lop/Toolbar or lop/Rnd.

lop/IMZ: an installer process like lop/Loader, but installing lop/Rnd and FavoriteMan/IMZ. lop/AYB is not installed, so the script at this script usually cannot detect lop/IMZ installations.

lop/Active: an update of lop/Rnd which monitors web pages viewed for keywords, and sets the buttons in the toolbar to match. This also opens a floating window on the desktop on startup. Can also hijack to active-max.com, mysearchnow.com, searchwebnow.com or find-quick.com as well as one of the traditional four-letter domains.
Also known as

C2 by Spybot, after the company (C2 Media) that makes it. Troj/Tubmo by Sophos anti-virus, for unknown reasons.

Distribution

Installed by ActiveX from many sites, often pop-up ads.

There are often pop-up loops (pop-ups opening pop-ups endlessly) for sites claiming to be MP3 search and download tools, which try to exploit the confusion caused by this to install lop. However, lop downloaders have also appeared on some mainstream ad networks.

The executable file pointed to by the ActiveX downloader is likely to have a name like:

    * mp3.exe
    * mp3search.exe
    * mp3_finder.exe
    * mp3_plugin.exe
    * mp3Software_plugin.exe
    * napster2.exe
    * FreeMP3.exe
    * freemp3s.exe
    * freemp3z.exe
    * FreeMP3Music.exe
    * free_deals.exe
    * free_plugin.exe
    * freeplugin.exe
    * Software_Plugin.exe
    * Download_Plugin.exe
    * download_file.exe
    * The_Ultimate_Browser_Enhancer.exe
    * sex_viewer.exe
    * free_sex_viewer.exe
    * Adult_Software.exe
    * keygen33win.exe
    * download_serial.exe
    * free_warez.exe

Also bundled with software downloads from edonkey.com (note: the real 'eDonkey' software site is at edonkey2000.com), fake 'cracks' or key generators from software-piracy sites, and Patchou's MSN Messenger Plus.

What it does

Advertising

Yes. Some shortcut icons are added to the desktop. Many more are added to the Favorites menu. More are on an IE toolbar called 'Accessories'. The process run on startup also occasionally pops up adverts.

Privacy violation

No.

Security issues

Yes. The startup process can download and execute arbitrary code from its controlling server.
Stability problems

Running the software may cause many 'dial-up connection' requests to appear if you are not connected. Windows seems to hang temporarily for a few minutes when this happens.

Removal

lop/Toolbar installations normally put a round icon in the system tray, try right-clicking this, choosing 'Menu', then on the resulting window, clicking 'Help', then 'Uninstall'. With newer variants you will have to answer an annoying riddle before it will go away.

lop/Rnd installations do not put the icon in the system tray, but may add an entry to the Control Panel's Add/Remove Programs list, which can be used to uninstall in the same way. The name of the uninstall option varies randomly but tend to follow a pattern, eg.:

    * Browser Enhance r
    * Brows er Enhancer
    * Ultimate Browse r Enhancer
    * Ultimate Browser En hancer
    * L.O P. Un insta11
    * L O.P. Un instal1
    * Live 0n line Portal
    * Live.0nli ne Porta1

lop/Active installations have an additional 'Window Active' entry that should also be removed.
Manual removal

Open the Application Data folder. This can be found inside the Windows folder on Windows 95/98/Me; on Windows 2000 and XP it is inside your user folder in 'Documents and Settings', but it's hidden, so go to Tools->Folder Options->View and turn on 'Show hidden files and folders' to see it. In Windows NT 4.0 it is in the user folder inside 'WinNT\Profiles'.

The filenames of lop files can vary for each different installation, but usually under Windows there should not be any files inside Application Data (only folders), so it's generally easy to pick out the culprits. Known filenames for the toolbar DLL (lop/Toolbar, lop/Rnd) or ayb: protocol DLL (lop/AYB) include:

    * blztstull[letter 'a', 'c', 'j', 'p', 's', 't' or 'y'].dll
    * blztstull['pr', 'tr' or 'oo'].dll
    * chksbdrlya.dll
    * dmvcrthl.exe
    * eaeeishllblc.dll
    * eelykofrllfrpr.dll
    * eelykofrllfrj.dll
    * ealymfrprwch.dll
    * epllkeeoopr.dll
    * freabrlaouw.dll
    * gldqumssfrie.dll
    * hglllyxrxw.dll
    * icdrhwno.dll
    * heeachmstll.dll
    * meepajlr.dll
    * ousszidrta.dll
    * plg_ie[any digit].dll
    * prxzoustustgr.dll
    * prnouestssstx.dll
    * quizbt[any digit].dll
    * quglwachfs.dll
    * sstroallhqch.dll
    * tblchepruprgr.dll
    * trdzhtxf.exe
    * trstshcrscksr.dll
    * ukfroigl.dll
    * upckeetoutw.dll
    * veaeyglckr.dll
    * woafrquzn.dll
    * yeecrsoustoull.dll
    * ziebaeeoaeepr.dll

Known filenames for the system tray task and hijacker file include:

    * asshuktr.exe
    * bilyooas.exe
    * byb_save.exe
    * crgbeaoa.exe
    * eaymulyl.exe
    * eeublidc.exe
    * glxshmcr.exe
    * ijlysseb.exe
    * jqumysto.exe
    * kfriegbs.exe
    * llfggrdr.exe
    * lltckiey.exe
    * lopsearc.exe
    * meemnckyqbr.exe
    * meepajlr.exe
    * mprcouie.exe
    * oofrkxpe.exe
    * peebqusz.exe
    * quveioot.exe
    * shoucrck.exe
    * ssmeeibl.exe
    * tchpeatr.exe
    * tglblrll.exe
    * trstdris.exe
    * ulyuiexeechp.exe
    * vestufck.exe
    * vfthrcbr.exe
    * xogyfhp.exe
    * ykphmbre.exe
    * ylynfste.exe

Other files you may find with some versions include icon libraries (known filenames tchejea.lib and iCndE.lib) and loads of GIFs. These can all be deleted too. You might also have some of the following files in the Windows folder:

    * desktop.htm
    * dnserror.htm
    * jexpoofro.htm
    * i_dnserr.gif
    * s_dnserr.gif
    * r_dnserr.gif
    * b_dnserr.gif
    * tiejexpoo.gif
    * xiejexpoo.gif
    * oiejexpoo.gif
    * uiejexpoo.gif

Open the registry (Start->Run->regedit) and find the key HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run. If you have not used the uninstall feature there should still be an entry with a value like 'C:\WINDOWS\APPLIC~1\(task name).exe -QuieT'; delete it. The name of this entry changes in different variants; known names are:

    * abtu
    * brchfgl
    * brfrgroo
    * chytrw
    * eeullz
    * eedrtss
    * lldrlyk
    * lssxsh
    * stoafv
    * oooami
    * oooik
    * oucno
    * phqtr
    * pprwly
    * qncu
    * stjlee
    * uaouea
    * trglckea
    * xckja
    * ymste
    * zvoah

In the lop/Active variant, there will instead be a 'winactive' entry pointing to winactive.exe. Delete this too.

You should also delete the following entries if you have them and they are not just blank:

    * HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Telephony\DomainName
    * HKEY_LOCAL_MACHINE\System\CurrentControlSet\Services\VxD\MSTCP\Domain
    * HKEY_LOCAL_MACHINE\System\CurrentControlSet\Services\Tcpip\Parameters\Domain
    * HKEY_LOCAL_MACHINE\System\CurrentControlSet\Services\Tcpip\Parameters\Interfaces\{...check all interfaces...}\Domain

Also you can remove the lop settings key if you can find it; it is inside HKEY_LOCAL_MACHINE\Software and has, again, a varying name; known examples are:

    * ckotetlllyllshz
    * kseateasteestoe
    * rhvlveasteafpr
    * ssaxstxoaieoagrh
    * TrinityAYB (lop/Trinity variant)

Next, if you have not used the uninstall feature, open a DOS command prompt window (from Start->Programs->Accessories) and enter the following commands:

    cd "%WinDir%\System"
    regsvr32 /u [name of DLL]

substituting the full filename of the DLL, whatever its name is, in Application Data. Tip: You can drag the DLL file from Explorer onto the DOS command prompt window to put the name in so you don't have to type it all out.

Finally, reboot Windows and you should be able to delete all the files mentioned above, along with the shortcuts added to the desktop and the favorites menu. For the lop/Active variant you should delete the entire 'Active Window' folder inside Program Files.

You can also reset your homepage (from Internet Options->General) and search settings (Internet Options->Programs->Reset Web Settings), and delete the entries added to your Favorites menu. If you use Netscape/Mozilla you will need to reset the home page (Edit->Preferences->Navigator) and remove the Bookmarks too.

You may also wish to check your computer for diallers, as the lop.com site has been known to include dialler installers. If you have the lop/IMZ variant it is also possible that FavoriteMan/IMZ may have installed other parasites such as BargainBuddy, IGetNet and n-Case.

[snakekiller]

Idézet: lameXpert - Dátum: 2004. dec. 21., kedd - 9:53

 

lefuttatam ezt is, meg a Wigwam tesztjét is, és mindkettõ szerint csupa stealth portom van, kivéve egyet: a 135-öst, amihez valamilyen RPC (Remote Procedure Call) tartozik... van rá vmilyen módszer, hogy bezárjam ezt a portot???? Tûzfalnak a "Kerio Personal Firewall"-t használom, SP2-es windows xp-n...

szerk: hejessírás

Szerkesztette: snakekiller 2005. 01. 04. 19:05 -kor

[lameXpert]

Idézet: snakekiller - Dátum: 2005. jan. 4., kedd - 19:03

lefuttatam ezt is, meg a Wigwam tesztjét is, és mindkettõ szerint csupa stealth portom van, kivéve egyet: a 135-öst, amihez valamilyen RPC (Remote Procedure Call) tartozik... van rá vmilyen módszer, hogy bezárjam ezt a portot???? Tûzfalnak a "Kerio Personal Firewall"-t használom, SP2-es windows xp-n...

Idézet

Going Further:  Closing port 135

The widespread exposure and insecurity of this port has generated a great deal of concern among PC gurus. This has resulted in several approaches to shutting down the Windows DCOM server and firmly closing port 135 once and for all. Although applications may be "DCOM enabled" or "DCOM aware", very few, if any, are actually dependent upon the presence of its services. Consequently, it is usually possible (and generally desirable if you're comfortable doing such things) to shut down DCOM and close port 135 without any ill effects. (The fewer things running in a Windows system, the fewer things to suck up RAM and slow everything else down.)

Pontosan ott, a tûzfalban...

[lameXpert]

General COM Security Issues

Idézet

Q1 How do I enable or disable DCOM?

A. The HKEY_LOCAL_MACHINE\Software\Microsoft\OLE registry key has "EnableDCOM" as a named value. By default this value is set to "Y." To disable DCOM, change this value to "N." You can do this in the OLE/COM Object Viewer with the File.System Configuration dialog box. Changing this value requires you to restart your computer.

If EnableDCOM is not set to "Y," then all cross-computer calls are rejected (the caller, typically, receives an RPC_S_SERVER_UNAVAILABLE return code).

On Windows 95, with DCOM support, there is an additional registry setting that enables or disables incoming remote connections. The registry key is HKEY_LOCAL_MACHINE\Software\Microsoft\OLE, and the named value is "EnableRemoteConnections." By default remote connections are disabled (the value is "N"). To enable remote connections to a Windows 95 computer, change this value to "Y." You can do this in the OLE/COM Object Viewer (OLEView) with the File.System Configuration dialog box. Changing this value requires a restart.

Szerkesztette: lameXpert 2005. 01. 04. 20:28 -kor

[Lali-213]

Ezért elég tré dolog, hogy az iRiver is terjeszti ezeket a férgeket. Még ha nem is szándékosan. Ma már semmiben sem lehet megbízni?

[lameXpert]

Rendkívül érdekes felfedezéseket lehet tenni, ha az ember átnézi a registry

HKLM\SOFTWARE\Microsoft\Windows\Currentversion\SharedDLLs

ágát.

Talán sosem tudott - és ilyen szoftver nem is volt soha a gépemen :confused: - és ismert DLL-ek tárolója és nyomkövetõje.

CSAK SAJÁT FELELÕSSÉGRE PUCOLJ BENNE!(Ha eltörik, úgyis cserélni kellett volna.

[lildiko]

Tegnapelõtt az itthoni gépemen lefuttattam a Spybotot (egy ideje teljesen megfeledkeztem róla, hogy az is van a gépemen), az AdAware-t rendszeresen szoktam használni, legutóbb épp a Spybot használata elõtt. Ezek után a Spybot 4 spyware-t talált a gépemen, többek között egy Perfect Keyloggert is ( Szép, ugye? Van tûzfalam, vírusírtóm, AdAware Watch is figyel (elvileg) ...

Gyanítom, hogy a munkahelyi gépemben is csücsül néhány disznóság, mert sem a Spybotot sem az AdAware-t nem tudom már elindítani sem. Norton vírusírtó van hivatalból a gépen, de az csak a bejövõ levelekben jelzi a vírust, de azt aztán tömegével.

[lameXpert]

Idézet: lildiko - Dátum: 2005. jan. 6., csütörtök - 19:47

(egy ideje teljesen megfeledkeztem róla, hogy az is van a gépemen)

Sajnos, ez egy kulcsmondat....

[lildiko]

Na de az AdAware-nek meg a tûzfalnak is illett volna észrevennie, nemdebár?

[lameXpert]

Idézet: lildiko - Dátum: 2005. jan. 6., csütörtök - 22:43

Na de az AdAware-nek meg a tûzfalnak is illett volna észrevennie, nemdebár?

Ha éppen kellõen beállítva és frissítve voltak...

[darerik]

Microsoft Anti-Spyware Beta

talán még jó is lehet? Mindenesetre szimpatikusan gyors volt a gép átkutatásánál és sajna talált is az AdAware és a SpyBot ellenére is.

[Shia-ko]

205 napig használható. A végleges valszeg fizetõs lesz, hisz a Giant Proja is az volt, és ez az, csak ugye MS vásárolt. 

[lameXpert]

Idézet: darerik - Dátum: 2005. jan. 7., péntek - 14:59

talán még jó is lehet? Mindenesetre szimpatikusan gyors volt a gép átkutatásánál és sajna talált is az AdAware és a SpyBot ellenére is.

Kb. 1200 registrybejegyzésével kissé elgondolkoztat.... 

[pgyafi]

Idézet: darerik - Dátum: 2004. dec. 30., csütörtök - 14:00

Érdekes tapasztalatom volt a SpyBottal.

A Keresés&Megsemmisítás indítása után, ahelyett, hogy elszöszmötölt volna a géppel. A memória ellenõrzését követõen kiírta "Gratulálunk nem található kémprogram a gépen". Az Adaware lefuttatása, valamint a SpyBot újratelepítése után ez megszûnt. Én nem láttam a gépen semi más szokatlant.

Ez valami frissítési hiba lett volna?

Nem! Egyes szemét programok már ismerik a SpyBot-ot és a Settingsben a FileSets-eket kikacsolják. Így ténylegesen semmit nem ellenõriz futtatásnál.


[ Kattints ide a teljes méretû képhez ]