Επιστροφή στο Forum : New Virus - Does anybody knows?
Antonis Papadopoulos
11-05-04, 20:27
Λεω να τοπ στειλω σε ολους τους κατασκευαστες anti-virus μηπως ξερει κανεις κατι...
i would like to inform you that i have been infected by an unknown virus, probably named Cleanup!
A few days ago, most probably after i run a .avi or .mpg file, my firewall informed me that the specific file need to run a code, in order to view it.
Since then, whenever i tried to open an application, my firewall (kerio or seagate) was asking me whether i want to permit or deny the file CLEANUP to execute the file that i was trying to run.(ex).
Every time i open a new program,(most of the times, only the first time - or first times that i open it) my firewall asks if i want to permit "CLEANUP" to ... If i DENY this, the program shows me an error message, and does not start. Therefore i have to permit this program to run, in order my programs to work.
Also i have 2 more pcs that are connected on a local network (LAN - and the whole lan is on a permanent internet connection through ADSL line. Only the one computer - the one that i ran the .avi or .mpg - is open to access internet).
After this incident occured, the other two computers show me messages (the firewalls) asking for permission of File Sharing (Incoming Connection). After many times of denying the incoming request, i permited the request of incoming access, to see what will happen. From that point on, my other two computers show the same symptoms as the first (application Cleanup tries to ...)
I tried your antivirus, and any other antivirus i could find, incuding on-line scanners, ad-ware & spyware removals, but i could not find a solution to my problem.
Could you please inform me if this is a virus?
σαν hoax (μουφα) ακούγεται!
Antonis Papadopoulos
11-05-04, 21:28
γιατι? εγω το εγραψα το κειμενο για να τους το στειλω... το pc σερνεται.. τι μπορει να ειναι αυτο??? κανενα αντιιικο δε το βρισκει, εξακολουθει να πεταγεται ομως, κ να προσπαθει να ..οργωσει καθε pc που θα μπει στο δικτυο...
μπορείς να βρεις ποιο process δημιουργεί το CLEANUP; Τι win έχεις;
Ειναι πολυ απιθανο να ειναι νεος ιος και να βρηκε εσενα πρωτο!
Εκτος αν τον εφτιαξε κανενας συγγενης σου και στον πασσαρε !
δεν ξέρεις σε τι λημέρια τριγυρνάει... :o
μπορεί να μην είναι ο πρώτος σε όλον τον κόσμο.
Τώρα που το σκέφτομαι: κάτι με clenaup δεν έχουν και τα windows;
Αν εισαι ο πρωτος, ασε να περασουν μερικες μερες να κολλησεις τους παντες online και μετα θα βγει το antivirus.
γιατι? εγω το εγραψα το κειμενο για να τους το στειλω... το pc σερνεται.. τι μπορει να ειναι αυτο??? κανενα αντιιικο δε το βρισκει, εξακολουθει να πεταγεται ομως, κ να προσπαθει να ..οργωσει καθε pc που θα μπει στο δικτυο...
συγνώμη, δεν το κατάλαβα ότι εσυ το έγραψες, σε αυτή την περίπτωση μήπως πρέπει να ψάξεις για spyware
Η τροτζανακι.
Η το OSA του office?
Δοκίμασε και αυτό και πες μας αν έγινε τίποτα: http://www.adslgr.com/forum/thread6302.html
Antonis Papadopoulos
12-05-04, 12:05
ΛΑΖΑΡ: Exw win xp professional.
Παιδες ολοι: φυσικα τα εκανα ολα αυτα. Μπηκα σε ΟΛΑ ΤΑ ONLINE antivirus, γεμισα το pc μου με ΟΛΑ τα spyware οπως το ad-aware, spybot s&d, αλλα 5-6 ασχερτα και διαφορα, αλλαξα αρκετα ανιιικα. αλλα ΤΙΠΟΤΑ.. .συνεχεια το ιδιο μηνυμα,το μηχανημα ψιλοσερνεται (φενεται οτι δε παει κατι καλα δηλαδη), και συνεχως ο,τι μπει στο δικτυο, προσπαθει να το περασει... παρατηρησα οτι φτιαχνει ενα .tmp και ενα .βιν αρχειο στο ¨c:\documents & settings (το γνωστο folder δε θυμαμαι τωρα πως ακριβως λεγεται γιατι δεν ειμαι σπιτι), \local settings\administrator . καπου εκει... δε μπορω να το σβησω βεβαια αλλα κατι παιζει εκει... ρε παιδια βοηθιστε
ασφαλή λειτουργία, σβύνεις τα αρχεία, (σβύνεις και τα system restore)
και ξαναδοκιμάζεις
Antonis Papadopoulos, δοκίμασες και το cleaner της Trend που αναφέρεται στο link του προηγούμενού μου post; Δεν είναι online cleaner, το κατεβάζεις και το τρέχεις, σύμφωνα με τη διαδικασία που αναφέρω στο σχετικό thread.
Απο την διαχειρηση εργασιων το βλεπεις ?? Αν ναι μπορεις να το σταματησεις απο εκει ??
ειδες αν εχει κανει εγγραφη στο msconfig ??
ειδες στο regedit αν εχει τιποτα εγγραφες στο HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\RunOnce
HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run
HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\RunOnce
εκτος απο αυτα μια αναζητηση στο regedit με το ..υποπτο ονομα,
αν βρεις εγγραφες και τις σβησεις, να εχεις απενεργοποιησει πριν την επαναφορα συστηματος.
Συμβουλή μου: βάλε ό,τι μήνυμα σου βγάζει αυτό το ...πράμμα σε ένα ψαχτήρι (google κλπ.) Εάν είναι κάτι "κακό" μπορεί να βρεις πληροφορίες. Εάν δεν βρεις τίποτα εκεί, θα πρέπει να επιστρατέψεις τις ..χακερίστικες ικανότητες σου.
Κάνε όμως το search πρώτα και πες μας
Αν δεν βρείς άκρη με τις συμβουλές ΟΛΩΝ οσων σου έγραψαν τότε πήγαινε στα 2 λινκς που θα σου γράψω και εκει δώσε την ονομασία αυτού που σου δημιουργεί το πρόβλημμα.
ΕΔΩ : http://www.europe.f-secure.com/v-descs/
and here : http://www.europe.f-secure.com/virus-info/hoax/
Mακάρι να βρείς την λύση.
UGF_GreekMind
12-05-04, 14:02
Δοκίμασε με netstat και fport να δεις που πάει η σύνδεση ή αν και ποιες θύρες ανοίγει ;
Δεν λίγο το παρακάτω, με έναν φίλο που είχε "παρόμοια" προβλήματα (όχι της δικιά σου έντασης όμως) :
http://www.adslgr.com/forum/thread6127.html&highlight=
Antonis Papadopoulos
12-05-04, 21:24
γαμωτο με το κολοιο αυτον παιδια με ΒΑΣΑΝΙΖΕΙ.. παντοτε κοροιδευα τους ιους γιατι ελεγα θα τους βγαλει το αντιικο..τωρα ΤΑΧΩ ΠΑΙΞΕΙ ΓΑΜΩΤΟ...
ΔΕΝ εχω tab system restore στο pc μου (δεξι κλικ στο my computer - σωστα?) πως το απενεργοποιω???
Antonis Papadopoulos
12-05-04, 21:26
οκ το βρηκα.. ακυρο... cosmos σε ποιο thread λες για το trend?? ακομα ψαχνω...
δες από task manager ποιό process δουλεύει στο full και σέρνεται το pc
Antonis Papadopoulos, στο http://www.adslgr.com/forum/thread6302.html (σου είχα δώσει και το link παραπάνω).
Antonis Papadopoulos
12-05-04, 21:35
παιδια η εγω ειμαι χαζος η κατι συμβενει...στο task man ΔΕΝ εχω καμια επιλογη... μονο disconnect & logoff...ολα τα αλλα μενου εχουν εξαφανιστει!!!
ναι το τσεκαρω κ τωρα.. τιποτα... μονο το πλαισιακι βγαινει κ με δειχνει active.
διπλό κλίκ πάνω στο παράθυρο του task manager?
Antonis Papadopoulos
12-05-04, 21:51
ναι Σπυρο!!! μαλλον χαζος ημουν ..:-)
λοιπον δε βλεπω τιποτα να τραβαει τη μνημη, παρα μονο το edonkey που κατεβαζει, κ οι internet explorers...τι γινεται γαμωτο... στελνω κ το μηνυμα του firewall.
Γ$%#ΑΜΩ τον μπελα μου παλι το κανει μολις ξαναωαλα το photoshop... ρα παιδια ημαρτον βοηθηστε λιγο¨
99% στο system idle process τη στιγμη που ανοιγω το photoshop
εγώ διάβασα το macrovision europe, δεν μιλάει για Outgoing connection αλλά για replacing application που σημάνει οτί έκανες κάποιο Update τελευταια
Antonis Papadopoulos
12-05-04, 22:06
update που?? σε ΟΛΑ τα προγραμματα?γιατι σε ΟΛΑ το κανει?? και αντε και πες ναι το κανει σε ολα.. γιατι εχει γα$%$%#$$#$θει και προσπαθει να μπει σε ολα τα υπολοιπα pc του δικτιου?? κ οταν το αφησα σε 1 αρχησε κ το αλλο να κανει τα ιδια...
αρα???
Καταρχάς restart έχεις κάνει καθόλου από τότε που το τσίμπησες αυτό;
Μπορείς να το αφήσεις να περάσει, αφού όμως κλείσεις το router/modem πρώτα και να καταγράψεις τι θέλει να στείλει και που (με ethereal ή κάτι τέτοιο). Ίσως κάτι να καταλάβεις.
Αυτά από εμένα γιατί edonkey και macrovision δεν έχω ιδέα.
update που?? σε ΟΛΑ τα προγραμματα?γιατι σε ΟΛΑ το κανει?? και αντε και πες ναι το κανει σε ολα.. γιατι εχει γα$%$%#$$#$θει και προσπαθει να μπει σε ολα τα υπολοιπα pc του δικτιου?? κ οταν το αφησα σε 1 αρχησε κ το αλλο να κανει τα ιδια...
αρα???
έχω την wintv pci, όταν την δουλέυω (όταν έχω κάνει update τους drivers για αυτην)
μου ζητάει να αφήσω την αλλάγη του hwchook.dll το οποίο είναι κάποιο dll της hauppauge, βέβαια αυτό το dll δεν έχει πρόσβασή στο internet
αλλά μην μπερδέυεις τις αλλαγές dll με πρόσβαση στο internet
τι κάρτα έχεις (γραφικών)
κατέβασε τους Omega (no macrovision)
UGF_GreekMind
12-05-04, 22:24
Ρε παιδιά...
H macrovision δεν βγάζει εκείνα τα protection για τα DVD's ;;;
Ρε παιδιά...
H macrovision δεν βγάζει εκείνα τα protection για τα DVD's ;;;
ναι αυτη (τουλάχιστον δεν γίνονται bypass με shift!! :) )
UGF_GreekMind
12-05-04, 22:30
Άσε το shift...
Αυτό που σκεφτόμουν είναι, μήπως αν κάνει εγκατάσταση το ΑutoGK, σταματήσει να γίνεται modified το cleanup αρχείο, που του βγάζει συνέχεια...
?
Antonis Papadopoulos
12-05-04, 22:51
:-) τωρα τι κανουμε??? και τον internet expl να παω να ανοιξω τα ιδια βγαζει..οχι παντα.. την αλλη φορα πατησα DENY και τον εσβησε! κολλησαν ολα μετα..
ιος πρεπει να ναι αλλα αντε να βγαλεις ακρη..
lazar: απο restart αλλο τιποτα
μα σου λέει macrovision europe, δεν ξέρω κανα ιο να σου λέει την εταιρία κατασκευής!
UGF_GreekMind
12-05-04, 23:12
Καλά... αυτό μπορεί να είναι και spoofed !
Αλλά κάτι μου λέει ότι δεν είναι ιός. Κόρη μπορεί, αλλά ιός όχι.
Σε παρακαλώ, κάνε ένα print τα processes του task manager αμέσως μετά από restart. Safe mode βγήκες; Εκεί τι παίζει;
Και εγώ δεν νομίζω να είναι ιός
Antonis Papadopoulos
13-05-04, 00:22
παιδια ΧΙΛΙΑ ευχαριστω! αλλα δε ξερω τι συμβαινει... lazar στελνω αυτο που ζητησες...καλα ρε παιδια αν ειναι ιος θα φενεται στο processes? ειναι δυνατον???
Λοιπον λοιπον.. ολοι οι MASTERS κοιταξτε εδω!!!
αυτο το .tmp (το δευτερο απο την αρχη) ειναι το περιβοητο temp αρχειο που σας ελεγα οτι εμφανιζεται μεσα στο documents...klp... εκει που λεει και το μηνυμα του firewall...!
αυτο ειναι το μυστηριο αρχειο που ξαναεμφανιζεται..οσο για το απο πανω, το πρωτο...εμφανιζεται μια στις τοσες, κ ειδικα αν παω να ανοιξω καποιο προγραμμα... αυτο πρεπει να ειναι ο φταιχτης, μαζι φυσικα με το 2ο.. αλλα.. αφηνω τους MASTERS να μιλησουν...
Antonis Papadopoulos
13-05-04, 00:27
συμπληρώνω πως το μηχανημα ειναι μετα απο restart.απλα ανοιγει ενα καρο σαβουρα που εβαλα μπας και βγαλω αυτο το πραγμα. το photoshop το ετρεξα για να εμφανιστει το πρωτο (luco-κατι). εμφανιζεται λιγο κ μετα φευγει, Ο,ΤΙ προγραμμα και αν ανοιξω (δεν ειναι δηλαδη του photoshop). το δευτερο, το τεμπ, ανοιγει μετα απο λιγο μονο του, ακομα κ αν ειμαι μετα το restart και δεν εχω πειραξει τιποτα...
τελικα σας ζαλισα ολους, χιλια ευχαριστω.. αλλα... ξερει κανεις τι ειναι αυτο?
κι όμως καλό είναι. Κατ' αρχάς τι είναι αυτό το spysweeper.exe Μετά από restart δουλεύουν όλα μαζί. Έχεις τόσα default services; Αυτό το .tmp δεν είναι καλό προφανώς. Τι process είναι αυτό πάλι; Εάν βγεις σε recovery μπορείς να το σβήσεις με del bla.tmp.
Κι όμως μπορεί να είναι ιός, λέω. Αλλά δεν ξέρω τι προγράμματα έχεις να τρέχουν στο background.
Είναι μετά από restart όλα αυτά;
Και το LUCOMS. Κι αυτό ύποπτο!
Άλλος κανείς γνώμη; Δεν ξέρω και τα XP καλά. Δουλεύω 2000.
Ηρέμησε πάντως. Υπάρχει και το format :D
καμμιά φορά βοηθάει και το ψάξιμο σε /system, /system32 εάν δεις κάτι που μπήκε τελευταία, κατά ημερομηνία κλπ. Καμμιά φορά λέω.
Αλλά βρες το LUCOMS που είναι. Και δες μήπως σβήνει από recovery.
Έβαλες LUCOMS κλπ. στο google και αλλού. Κάτσε, θα κάνω κι εγώ search.
Antonis Papadopoulos
13-05-04, 00:42
αχ βρε lazar σε ευχαριστω που συμπαραστεκεσαι στον πονο μου! ταχω παιξει γιατι εχω δουλειες στο pc και δεν υπαρχει χρονος να κανω format σε ολα, και μαζι..γιατι πρεπει να κανω σε ολα κ εκτως δικτυου κ τα 2.
λοιπον το spysweeper ειναι προγ για να μην ανοιγουν poppers..αθωο.. εγω το εβαλα τωρα με τον πανικο μου.
το σβηνω σπανια (αν τα καταφερω, αλλα μην ανησυχεις,σβηνεται και μονο του. καπου αλλου φυτρωνει..το εχω πετυχει να γινεται και .bin. )
μα ειναι δυνατον να ειναι τοσο καινουριο που να το εχω μονο εγω?? δε γινεται να το στειλω στη symantec να το ψαξουνε? κατι ,καπως??? τι να κανωωωωωω?
έλα σε βρήκαμε. Καλά ADSL έχετε, το internet δεν το κοιτάτε;
To start with, you have the Blaster worm as well as another worm. Please download and run this removal tool from Symantec - http://securityresponse.symantec.com/avcenter/FixBlast.exe
Απάντηση από http://computercops.biz/postt25382.html
Βρήκα και αυτά
a.k.a - LuComServer.exe LiveUpdate Engine COM Module. LUCOMSERVER is the Norton LiveUpdate. It only appears in your Task List if you bring up the Task List while the Norton LiveUpdate is running.
Αυτό είναι από http://www.rldnc.com/RunningProcesses.html
άλλα λέει όπως βλέπεις :roll:
θα δω και άλλα και θα σου πω. Δες και μόνο σου
http://www.computergripes.com/NortonAntiVirus2003.html
http://www.firewall.cx/modules.php?name=Forums&file=viewtopic&p=2093
http://www.hgs.at/Produkte/PI/report.html
Βρε αντώνη γιατί πανικοβάλεσαι; Στο κάτω-κάτω αθώος ιός είναι, αν είναι. Δεν σβήνει αρχεία. Θα τη βρεις την άκρη. Απλώς θα στερηθείς το pc για κάποιες μέρες ίσως. Τι να γίνει. Αρρώστησε. Ένα σκουληκάκι είναι.
Antonis Papadopoulos
13-05-04, 00:57
να σαι καλα βρε lazar! αλλα το fixblast πεστους τοχω βαλει μερες πριν..ντεν ινε ατο!!! εγκο εχι τρελαθει...
λαλησαααααα
το σβηνω σπανια (αν τα καταφερω, αλλα μην ανησυχεις,σβηνεται και μονο του. καπου αλλου φυτρωνει..το εχω πετυχει να γινεται και .bin. )
άμα μου λες τέτοια :? :?
περίμενε μήπως ξέρει κάποιος περισσότερα.
στο μεταξύ ψάξε
Antonis Papadopoulos
13-05-04, 01:05
worm32.blaster has not been found on your computer..
εβγαλε μετα το ψαξιμο...
μπααα
ΑΑΑΑΑΑΑΑΑΑΑΑΑΑΑΑΑΑΑΑΑΑΑΑΑΑΑΑΑΑΑΑΑΑΑΑΑΑΑ
οποιος μου φτιαξει το pc κερναω ΠΑΙΔΑΚΙΑ απαιχτα απο τα χερακια μου...:-)
και οχι μονο... ακολουθει μετα το γευμα και γλυκο...
(αντι να φαω το γα$%%$#σι να στηνω Ξ Α Ν Α τα πισια προτιμω να μαγειρευω..)
λαζαρε ψαξε καλα, μεινε νηστικος 3-4 μερες και σε περιμενω!
Για πες πάλι το πρόβλημα. Ανοίγεις ένα πρόγραμμα και το kerio σου ζητά να εξέλθει κάποιο process. Σωστά;
Μετά τι κάνεις; Έχεις αφήσει να βγει, να δεις τι γίνεται;
Antonis Papadopoulos
13-05-04, 01:19
το τι μου ζηταει δε μπορω να το εξηγησω, εχω κανει ομως post το μηνυμα του firewall λιγα μηνυματα μου πριν...
αν δε το αφησω κολαει το προγραμμα κ βγαζει κατι νουμερα.. αν το αφησω..τρεχει αλλα σερνεταιιιιιιιιιιιιιιιιιιιιι λιγοοοοοο...
ασχετα με αυτο, το ιδιο το κολο τεμπ αρχειο ζηταει να βγει στο intranet και ο,τι pc εχω στο δικτυο ζηταει να το αφησω να κανει internet conn share. αν το αφησω (ειχα παει εγω μεσα στο φολντερ του αλλου pc που ειναι shared, με το που θα το αφησω, μεσα στο shared folder του αλλου (υποτιθεται καθαρου pc) δημιουργειται παλι το γαμ#$#@$#@νο .τεμπ η το .bin και μολυνεται και το νεο pc!!
και παει λεγονταςςςςς...
Αυτό το thread μου θυμίζει τη διαφήμιση του αγχωμένου Αλέξη!
Λοιπόν, με ένα πολύ γρήγορο ψάξιμο ΑΝ το πρόβλημα σου είναι το tmp file, τότε είναι ο License manager της Macromedia. Με λίγο ψάξιμο στο net βρίσκεις ότι ακόμα και το tmp όνομα είναι το ίδιο... Επειδή είπες ότι κάτι παίζει με Photoshop ίσος το χρησιμοποιεί και το photoshop. Τσέκαρε και το http://www.macromedia.com/software/activation/audit/security_review.pdf και ψάξε για “tmp”.
Επίσης κάτι με License της Macrovision μπορεί να παίζει το cdac11ba.exe:
Background task which is an integral part of MacroVision’s SafeCast copy protection software (software which enables other software manufacturers to protect their products from illegal copying). SafeCast is used in many products such as Intuit’s TurboTax (from version 2002 onward) and quite a few games.
Recommendation :
Leave alone or you may disable the product that came with it. Note, however, that if you intend to register via the Internet rather than by phone, and if you have a firewall, you may need to enable CDAC11BA to go through your firewall. We have heard reports that CDAC11BA interferes with the use of CD-Writers but have been unable to confirm them. Note also : because SafeCast may be in use in more than one product from the same software manufacturer, in almost all cases de-installing the product that came with SafeCast, will not de-install SafeCast – you have to go and manually de-install it yourself through "Add/Remove Programs" in the Control Panel if you are sure you do not have other products using it (de-install anything called C-Dilla, or SafeCast, or MacroVision SafeCast). Lastly, anti-spyware/adware products, like Spybot Search & Destroy and Ad-Aware, may list the SafeCast software as spyware/adware, so make sure you do not have those anti-spyware products remove SafeCast if you know you have products using it (such as Intuit’s TurboTax).
Από: http://www.answersthatwork.com/Tasklist_pages/tasklist_c.htm
Ένα search στο google θα σε βοηθήσει καλύτερα...
Αυτο που δε μπορω να καταλάβω είναι πως μπορεί να σέρνεται το μηχάνημα με 99% idle process :shock:
Antonis Papadopoulos, έχουμε φτάσει τις 4 σελίδες ως τώρα. Αρχίζουμε να χάνουμε την μπάλα όμως: διάβασε το thread από την αρχή και ανέφερε ξεκάθαρα ποιες διαδικασίες ακολούθησες!
Ειδικά για τη διαδικασία στο http://www.adslgr.com/forum/thread6302.html αν την ακολούθησες, θέλω να επισυνάψεις εδώ το αρχείο log που παράχθηκε.
antonis: τώρα που ξύπνησα τα σκέφτηκα αλλοιώς. Ε ρε πόσα μπορείς να πεις άμα νυστάζεις. Μας άγχωσες κιόλας. Δεν είμαι σίγουρος ότι είναι ιός.
To Lucos είναι ο server της symantec. Και τα .tmp μάλλον τα δημιουργεί το norton
Είμαι όμως σίγουρος ότι έχει διάφορες σαβούρες το σύστημα σου. Γι' αυτό 2 λύσεις προτείνω: ή format ή καθάρισε το και μετά δες αν σέρνεται. Μη σου πω να βγάλεις και το norton. Και άστα να περάσουν το firewall, τι φοβάσαι;
Και μη μας αγχώνεις. Τα γράφεις και real time λες και σε ...πνίγουν (όχι... παιδιά ...βοήθεια ... το μαχαίρι ...αααρρρργγγκκκ). Σεναριογράφος είσαι; Έχεις ταλέντο πάντως
@ ADSLgr.com All rights reserved.