Downloader Trojan: Δεν φευγει με τιποτα

[geokaza]

Ξαφνικα απεκτησα εναν ιο ονοματι Downloader Trojan.

Ειναι στο C:\windows\system32\a1gsr.dll.

Εκανα τα οσα μπρουσα να κανω:

Ανιχνευση Norton με ολοκαινουριο update, απενεργοποιηση system restore και restart σε safe mode και ξανα ανιχνευση με Norton, αλλα ο ιος δεν λεει να φυγει.

Ο Norton μου γραφει οτι τον βρισκει του κανει Fix αλλα οχι delete και τον βαζει σε καραντινα. Στην επομενη ανιχνευση που θα κανω τον ξαναβλεπει τον ξανακανει fix και τον ξαναβαζει σε καραντινα κλπ

Εχετε καποια ιδεα η καποιο προγραμμα για το πως θα γυγει αυτο το πραγμα;;

[George_Kont]

Αρχικό Μήνυμα από το μέλος geokaza ( 8 Ιαν. 2005 , 12:57)

 

Ξαφνικα απεκτησα εναν ιο ονοματι Downloader Trojan.

Ειναι στο C:\windows\system32\a1gsr.dll.

Εκανα τα οσα μπρουσα να κανω:

Ανιχνευση Norton με ολοκαινουριο update, απενεργοποιηση system restore και restart σε safe mode και ξανα ανιχνευση με Norton, αλλα ο ιος δεν λεει να φυγει.

Ο Norton μου γραφει οτι τον βρισκει του κανει Fix αλλα οχι delete και τον βαζει σε καραντινα. Στην επομενη ανιχνευση που θα κανω τον ξαναβλεπει τον ξανακανει fix και τον ξαναβαζει σε καραντινα κλπ

Εχετε καποια ιδεα η καποιο προγραμμα για το πως θα γυγει αυτο το πραγμα;;

 

 

Προσπάθησε από τις επιλογές ιντερνετ στον πίνακα ελέγχου να σβήσεις τα cookies.

Κοίτα εδώ http://www.myphone.gr/forum/showthread.php?s=&threadid=785

 

Και τώρα οι οδηγίες.

 

1. Προσπάθησε να το μετονομάσεις για να το σβήσεις.

2. Μπες στον πίνακα ελέγχου και εκεί που έχει τις επιλογές για να σβήσεις τα cookies΄πάτα στην επιλογή προβολή αρχείων.

3. Πατώντας δεξί κλικ επάνω σε κάποιο από τα αρχεία που παρουσιάζει εκεί βλέπεις ποιες βιβλιοθήκες (dll) χρησιμοποιεί το κάθε πρόγραμμα.

4. Προσπάθησε να το σβήσεις. Συνήθως αυτά έχουν την ονομασια ΧΧΧΧ-ΧΧΧΧΧΧ-ΧΧΧΧΧΧΧΧΧ-ΧΧΧΧΧΧΧ ('οπου Χ αριθμός). Με ξί υπάρχει η επιλογή κατάργηση. Εάν δεν γίνεται τίποτα τότε

5. Πάτα έναρξη - Εκτέλεση και γράψε msconfig. Εκεί θα βρείς τί τρέχει ο υπολογιστής σου όταν ξεκινά. Απενεργοποίησε ότι παράξενο βρείς.

6. Κατέβασε κάποιο πρόγραμμα π.χ. AD-AWARE, REG-CLEANER, EASY CLEANER, SPY SPOOT SEARCH & DESTROY και βάλτα να ψάξουν.

 

 

Νομίζω όμως ότι κάπου το έχουμε ξανασυζητήσει αυτό.

 

 

 

Παρακολύθησε και αυτό

http://www.myphone.gr/forum/showthread.php?s=&threadid=54227

[Hunter]

Δοκιμασε να κατεβασεις Αυτο το Utility ( Stinger ) και να κανεις ενα scan σε safe mode παντα, 99% θα σου τον βγαλει

[mcde]

Google is your friend:

http://securityresponse.symantec.com/avcenter/venc/data/downloader.trojan.html

http://vil.nai.com/vil/content/v_100945.htm

[geokaza]

Αρχικό Μήνυμα από το μέλος mcde ( 8 Ιαν. 2005 , 14:37)

 

Google is your friend:

http://securityresponse.symantec.com/avcenter/venc/data/downloader.trojan.html

http://vil.nai.com/vil/content/v_100945.htm

 

 

Ηταν απο τα πρωτα πραγματα που ειδα, τα ακολουθησα κατα γραμμα αλλα τιποτα.... δυστυχως

[geokaza]

Αρχικό Μήνυμα από το μέλος George_Kont ( 8 Ιαν. 2005 , 13:00)

 

Προσπάθησε από τις επιλογές ιντερνετ στον πίνακα ελέγχου να σβήσεις τα cookies.

Κοίτα εδώ http://www.myphone.gr/forum/showthread.php?s=&threadid=785

 

Και τώρα οι οδηγίες.

 

1. Προσπάθησε να το μετονομάσεις για να το σβήσεις.

2. Μπες στον πίνακα ελέγχου και εκεί που έχει τις επιλογές για να σβήσεις τα cookies΄πάτα στην επιλογή προβολή αρχείων.

3. Πατώντας δεξί κλικ επάνω σε κάποιο από τα αρχεία που παρουσιάζει εκεί βλέπεις ποιες βιβλιοθήκες (dll) χρησιμοποιεί το κάθε πρόγραμμα.

4. Προσπάθησε να το σβήσεις. Συνήθως αυτά έχουν την ονομασια ΧΧΧΧ-ΧΧΧΧΧΧ-ΧΧΧΧΧΧΧΧΧ-ΧΧΧΧΧΧΧ ('οπου Χ αριθμός). Με ξί υπάρχει η επιλογή κατάργηση. Εάν δεν γίνεται τίποτα τότε

5. Πάτα έναρξη - Εκτέλεση και γράψε msconfig. Εκεί θα βρείς τί τρέχει ο υπολογιστής σου όταν ξεκινά. Απενεργοποίησε ότι παράξενο βρείς.

6. Κατέβασε κάποιο πρόγραμμα π.χ. AD-AWARE, REG-CLEANER, EASY CLEANER, SPY SPOOT SEARCH & DESTROY και βάλτα να ψάξουν.

 

 

Νομίζω όμως ότι κάπου το έχουμε ξανασυζητήσει αυτό.

 

 

 

Παρακολύθησε και αυτό

http://www.myphone.gr/forum/showthread.php?s=&threadid=54227

 

 

Κατ' αρχη σε ευχαριστω πολυ για το ενδιαφερον.

Ο Norton μου λεει οτι ειναι σε ενα συγκεκριμενο αρχειο: C:\windows\system32\a1gsr.dll.

Εαν παω να σβησω αυτο το αρχειο, σβηνω τον ιο, η σβηνω τον ιο αλλα και κατι σημαντικο των windows;;

 

Επισης κατεβασα τον bullguard αλλα λεει να απεγκαταστησω ΟΛΑ τα antivirus προγραμματα που εχω πριν το δουλεψω. Αξιζει τον κοπο; Λες να τα καταφερει ο bullguard;;

 

Το Adware δεν βρισκει τιποτα...

 

Οσο για τα παραπανω βηματα που μου γραφεις να σου πω την αληθεια δεν τα πολυ καταλαβαινω. Εαν καποια στιγμη εχεις λιγο ελευθερο χρονο θα σου ημουν ευγνωμων εαν γινοσουν λιγαααακι πιο σαφης.

[George_Kont]

Αρχικό Μήνυμα από το μέλος geokaza (10 Ιαν. 2005 , 19:37)

 

Κατ' αρχη σε ευχαριστω πολυ για το ενδιαφερον.

Ο Norton μου λεει οτι ειναι σε ενα συγκεκριμενο αρχειο: C:\windows\system32\a1gsr.dll.

Εαν παω να σβησω αυτο το αρχειο, σβηνω τον ιο, η σβηνω τον ιο αλλα και κατι σημαντικο των windows;;

 

Επισης κατεβασα τον bullguard αλλα λεει να απεγκαταστησω ΟΛΑ τα antivirus προγραμματα που εχω πριν το δουλεψω. Αξιζει τον κοπο; Λες να τα καταφερει ο bullguard;;

 

Το Adware δεν βρισκει τιποτα...

 

Οσο για τα παραπανω βηματα που μου γραφεις να σου πω την αληθεια δεν τα πολυ καταλαβαινω. Εαν καποια στιγμη εχεις λιγο ελευθερο χρονο θα σου ημουν ευγνωμων εαν γινοσουν λιγαααακι πιο σαφης.

 

 

Σου ετοιμάζω σε WORD όλα τα βήματα. Στείλε μου το mail σου να σου το στείλω (με pm) ή να το βάλω μάλλον καλύτερα συννημένο στο μύνημα??? :wacko:

Λοιπόν το έχω έτοιμο. Πρίν όμως το πάρεις θυμίσου.

:down: :innocent: :down: :innocent: :down: :innocent:

Για οτιδήποτε συμβεί στο pc σου δεν φέρνω καμμία ευθύνη ΟΚ????

[George_Kont]

Αρχικό Μήνυμα από το μέλος George_Kont (10 Ιαν. 2005 , 21:57)

 

Σου ετοιμάζω σε WORD όλα τα βήματα. Στείλε μου το mail σου να σου το στείλω (με pm) ή να το βάλω μάλλον καλύτερα συννημένο στο μύνημα??? :wacko:

Λοιπόν το έχω έτοιμο. Πρίν όμως το πάρεις θυμίσου.

:down: :innocent: :down: :innocent: :down: :innocent:

Για οτιδήποτε συμβεί στο pc σου δεν φέρνω καμμία ευθύνη ΟΚ????

 

 

Θα προσπαθήσω να είμαι όσο πιο σαφής και αναλυτικός γίνεται.

ΠΡΩΤΟΥ ΞΕΚΙΝΗΣΕΙΣ ΚΑΝΕ ΕΝΑ ΣΗΜΕΙΟ ΕΠΑΝΑΦΟΡΑΣ.

Α ΚΑΙ ΠΩΣ ΑΛΛΙΩΣ ΤΟ ΛΕΝΕ. ΟΥΔΕΜΙΑ ΕΥΘΥΝΗ ΦΕΡΟΥΜΕ ΓΙΑ ΖΗΜΙΕΣ ΠΟΥ ΜΠΟΡΟΥΝ ΝΑ ΕΠΕΛΘΟΥΝ ΣΤΟ ΣΥΣΤΗΜΑ ΣΑΣ ΜΕ ΤΗΝ ΧΡΗΣΗ ΤΩΝ ΠΑΡΑΚΑΤΩ………..

 

ΣΩΣΤΟΣ!!!!!!!!!!!!!

ΟΙ ΚΑΛΟΙ ΛΟΓΑΡΙΑΣΜΟΙ ΚΑΝΟΥΝ ΤΟΥΣ ΚΑΛΟΥΣ ΦΙΛΟΥΣ……..

ΔΙΑΒΑΣΕ ΤΟ . ΕΑΝ ΝΟΜΙΖΕΙΣ ΟΤΙ ΔΕΝ ΘΑ ΤΑ ΚΑΤΑΦΕΡΕΙΣ ΑΣΤΟ.

ΑΛΛΑ ΑΞΙΖΕΙ ΝΑ ΤΟΥ GIVE IT A TRY!!!!!

 

 

 

 

-----------------------------ΧΧΧΧΧΧΧΧΧΧΧΧΧΧΧΧΧΧΧΧΧ--------------------------

 

Πηγαίνουμε στον Πίνακα Ελέγχου και βρίσκουμε το ιδιότητες Internet. Κάνουμε κλικ. Επιλέγουμε Διαγραφή Cookies . Μετά πάμε δίπλα και πατάμε Διαγραφή αρχείων και ΟΚ. Ξαναπατάμε το ίδιο Διαγραφή αρχείων και επιλέγουμε το πλαίσιο Διαγραφή όλου του διαθέσιμου χωρίς σύνδεση περιεχομένου. Εάν δεν θέλουμε σβήνουμε και το ιστορικό. Αυτές τις ενέργειες τις κάνουμε δύο φορές. Θα προσέξεις ότι την δεύτερη φορά αργεί λιγάκι.

Πηγαίνουμε ρυθμίσεις (δεξιά από την διαγραφή αρχείων) και βάζουμε στα 916 ΜΒ και χαμηλότερα τα cookies. Αυτός είναι ο μέγιστος χώρος που καταλαμβάνουν στον δίσκο Τα Cookies είναι αρχειάκια τα οποία κατεβαίνουν στο δίσκο και έχουν την ιδιότητα να κάνουν τον eplorer να δουλεύει, κοινός φορτώνει, πιο γρήγορα τις σελίδες. Επίσης χρησιμοποιούνται και στο παρόν site, όπως και για ηλεκτρονικές αγορές (π.χ. E-SHOP κ.α.). Μην τα απενεργοποιείς εντελώς. Πιστεύω ότι τα 916 ΜΒ είναι αρκετός χώρος..

Τώρα δεξιά έχει την επιλογή προβολή αρχείων. Εδώ αποθηκεύονται τα cookies. (Εάν έχεις πατήσει την διαγραφή δεν πρόκειται να υπάρχει τίποτα στο δίσκο). Δεξιά υπάρχει το κουμπί εμφάνιση αντικειμένων. Πάτα το.

Θα δούμε να εμφανίζεται μια λίστα με μερικά ακαταλαβίστικα .Πολύ σωστό είναι να αφήσουμε το Plug IN (έτσι λέγονται) της Macromedia εάν μπαίνουμε συχνά στο in.gr, κάτι που να υποδηλώνει ότι έχουμε το Yahoo Mesenger ή Yahoo Toolbar. Συγνώμη αλλά εδώ δεν έχω παράδειγμα να σου δείξω διότι δεν χρησιμοποιώ κανένα από τα παραπάνω. Εάν δούμε κάτι που μας ξινίζει της μορφής ΧΧΧΧΧΧ-ΧΧΧΧΧΧΧΧ-ΧΧΧΧΧΧΧ (όπου Χ αριθμός ή γράμματα) τότε κάνοντας δεξί επάνω του εμφανίζεται το μενού ιδιότητες και κατάργηση. Πατώντας Ιδιότητες μεταφερόμαστε σε ένα άλλο μενού όπου εκεί βλέπουμε την ψηφιακή υπογραφή του αρχείου και τις βιβλιοθήκες (DLL) που χρησιμοποιεί, υπάρχει όμως περίπτωση να έχει και ΕΧΕ. Το αρχείο που ψάχνουμε είναι της μορφής a1****.*** . OK? Οπότε οτιδήποτε αυτής της μορφής είναι ύποπτο. Εάν το βρούμε τότε στην προηγούμενη επιλογή αντί για ιδιότητες πατάμε κατάργηση. Εάν κάνει το ζόρικο τότε πρέπει να κινηθούμε υπόγεια.

 

Κάνουμε πρώτα επανεκκίνηση και μετά πάμε έναρξη – εκτέλεση και πληκτρολογούμε MSCONFIG. Στο πρώτο παράθυρο επιλέγω Κανονική εκκίνηση – φόρτωση όλων των οδηγών ……..

Πατάμε στο παράθυρο win.ini και ελέγχουμε εάν υπάρχει η εγγραφή boot. Εάν ναι την σβήνουμε (πατώντας το τετραγωνάκι) εάν όχι τότε πάμε στο υπηρεσίες. Πατάμε Απόκρυψη υπηρεσιών της Microsoft (για να είμαστε σίγουροι ότι κατά ένα ποσοστό τουλάχιστον θα ξεκινήσει πάλι το πισι…. Πλάκα κάνω) και ελέγχουμε μετά τις εγγραφές που απέμειναν. Συνήθως υπάρχουν οι εγγραφές που βλέπεις παρακάτω (Επεξήγηση: όπου ATI είναι η κάρτα γραφικών, εάν έχεις την ίδια θα σου δείχνει κάτι παρόμοιο, εάν έχεις nvidia τότε θα γράφει nvidia driver κ.α., εάν έχεις άλλη κάρτα άλλης κατασκευάστριας εταιρείας θα έχει σο πεδίο υπηρεσία το όνομά της).

Γενικά κατά ένα 75% όλα τα υπόλοιπα είναι ίδια.

 

 

Συνεχίζουμε πατώντας το παράθυρο εκκίνηση.

 

 

 

Ένα τυπικό σύστημα εκκίνησης. Λοιπόν εδώ όπως βλέπεις υπάρχει η Το στοιχείο εκκίνησης , η εντολή και η τοποθεσία.

 

ΕΑΝ ΕΔΩ ΥΠΑΡΧΕΙ ΚΑΤΙ ΠΟΥ ΜΑΣ ΥΠΟΔΗΛΩΝΕΙ ΚΑΠΟΙΟ ΠΡΟΓΡΑΜΜΑ ΠΟΥ ΔΕΝ ΕΧΟΥΜΕ ΚΑΝΕΙ ΕΜΕΙΣ ΕΓΚΑΤΑΣΤΑΣΗ ΚΑΙ ΔΕΝ ΕΙΝΑΙ ΠΡΟΓΡΑΜΜΑ ΠΕΡΙΦΕΡΕΙΑΚΟΥ ΤΟΥ ΥΠΟΛΟΓΙΣΤΗ ΜΑΣ π.χ. ΗΡ HEWLETT PACKARD (ΕΚΤΥΠΩΤΗΣ), CREATIVE (ΚΑΡΤΑ ΗΧΟΥ, ΨΗΦΙΑΚΗ ΜΗΧΑΝΗ), ΤΟ ΞΕΤΣΕΚΑΡΟΥΜΕ.

 

Πατάμε εφαρμογή και ΟΚ και κάνουμε επανεκκίνηση. Όταν ξεκινήσει το πισι θα μας πει ότι τρέξαμε κάποιο βοηθητικό πρόγραμμα των windows και μπλα μπλα πατάμε το τετραγωνάκι και ΟΚ.

 

 

Κοιτάμε με προσοχή κάτω δεξιά δίπλα στο ρολόι τα εικονίδια. Είναι όλα????? Λείπει κάτι. Εάν ναι τότε αυτό που σβήσαμε, ξετσεκάραμε, χρειαζόταν και πρέπει πάλι να το επαναφέρουμε με την ίδια διαδικασία.

Κατεβάζουμε κάποιο γνωστό antivirus π.χ. Norton (όχι ότι θα κάνει κάτι αλλά για να λέμε ότι το έχουμε), Ad – aware, Spy Sweeper και Spy Boot – Search & Destroy 1.3. Όλα αυτά υπάρχουν στο http://www.tucows.gr . Δεξιά (δεν θυμάμαι πως ακριβώς το λέει νομίζω INTERNET). Τα ‘’προγραμματάκια’’ αυτά είναι δωρεάν και κατά την ταπεινή μου γνώμη αποτελούν ένα καλό συνολάκι..

 

 

Όταν με το καλό κατέβουν (α για κοίτα σε κανένα περιοδικό για υπολογιστές μήπως τα έχει να μην τυραννιέσαι) κάντα ένα update και μετά βάλτα όλα μαζί να τρέξουν. Άσε το Norton για το τέλος. Το Ad-Aware θέλει συνήθως μισή ωρίτσα να ελέγξει το πισι. Το Spy Sweeper κανένα 50 λεπτο και το Spy Boot περίπου στα 45 λεπτά) (Χρονομετρημένα όλα) .

 

 

ΟΤΙ ΣΟΥ ΒΡΟΥΝ ΣΒΗΣΤΩ…………… ΑΚΟΜΗ ΚΑΙ ΤΑ DSO EPLOIT ΤΟΥ SPY BOOT………

 

 

Αυτό είναι το πρώτο μέρος.

Πιστεύω να κατάφερες κάτι………………

Εάν όχι τότε πάμε πιο βαθιά…………

 

 

Πατάμε Έναρξη – εκτέλεση και γράφουμε Regedit. Όπως καταλαβαίνεις εδώ είναι το μητρώο των Windows. Η γνωστή μας registry.

 

ΠΡΩΤΟΥ ΞΕΚΙΝΗΣΕΙΣ ΚΑΝΕ ΕΝΑ ΣΗΜΕΙΟ ΕΠΑΝΑΦΟΡΑΣ.

Α ΚΑΙ ΠΩΣ ΑΛΛΙΩΣ ΤΟ ΛΕΝΕ. ΟΥΔΕΜΙΑ ΕΥΘΥΝΗ ΦΕΡΟΥΜΕ ΓΙΑ ΖΗΜΙΕΣ ΠΟΥ ΜΠΟΡΟΥΝ ΝΑ ΕΠΕΛΘΟΥΝ ΣΤΟ ΣΥΣΤΗΜΑ ΣΑΣ ΜΕ ΤΗΝ ΧΡΗΣΗ ΤΩΝ ΠΑΡΑΚΑΤΩ………..

 

ΣΩΣΤΟΣ!!!!!!!!!!!!!

ΟΙ ΚΑΛΟΙ ΛΟΓΑΡΙΑΣΜΟΙ ΚΑΝΟΥΝ ΤΟΥΣ ΚΑΛΟΥΣ ΦΙΛΟΥΣ……..

ΔΙΑΒΑΣΕ ΤΟ . ΕΑΝ ΝΟΜΙΖΕΙΣ ΟΤΙ ΔΕΝ ΘΑ ΤΑ ΚΑΤΑΦΕΡΕΙΣ ΑΣΤΟ.

ΑΛΛΑ ΑΞΙΖΕΙ ΝΑ ΤΟΥ GIVE IT A TRY!!!!!

 

 

 

 

 

 

 

 

 

 

 

Πηγαίνουμε HKEY_CURRENT_USER\SOFTWARE\MICROSOFT\WINDOWS\CURRENTVERSION\RUN

Το γράφει στο κάτω μέρος της εικόνας….

Από δεξιά μας βλέπουμε και πάλι τι τρέχει ο υπολογιστής μας όταν ξεκινά. Εάν κάτι μας φαίνεται στραβό το σβήνουμε. Το ίδιο ισχύει και στο άλλο μενού από κάτω από το RUN (αριστερά μας). RUNONCE.

 

 

 

 

 

 

Ακριβώς το ίδιο ισχύει και εδώ που βλέπεις

 

ΗΚΕY_LOCAL_MACHINE\SOFTWARE\MICROSOFT\WINDOWS\CURRENTVERSION\RUN

ΗΚΕY_LOCAL_MACHINE\SOFTWARE\MICROSOFT\WINDOWS\CURRENTVERSION\RUN-

ΗΚΕY_LOCAL_MACHINE\SOFTWARE\MICROSOFT\WINDOWS\CURRENTVERSION\RUNONCE

ΗΚΕY_LOCAL_MACHINE\SOFTWARE\MICROSOFT\WINDOWS\CURRENTVERSION\RUNONCE\EX

 

 

 

 

Οτι παραξενο, ότι στραβό, ότι δεν έχει καμμία σχέση με τον υπολογιστή μας το σβήνουμε από δεξιά…..

 

Κάνουμε επανεκκίνηση .

 

Υπόψιν ότι εδώ υπάρχει μια περίπτωση να μην βρεις ακριβώς το αρχείο dll που ψάχνεις αλλά τον αρχικό του κατάλογο, δηλαδή τον κατάλογο που έχει γίνει η εγκατάστασή του. Σβήνοντας το αμέσως φεύγει από την μνήμη του υπολογιστή μας και συγκεκριμένα από το σημείο του φορτώματος κατά την εκκίνηση. Για τον λόγο αυτό δεν σβήνει. Κάθε φορά που θα δοκιμάζεις κάτι, προσπάθησε να δεις εάν σβήνεται το αρχειάκι. Εάν σβηστεί τότε τρέξε πάλι όλα τα προγράμματα που προανέφερα.

 

 

ΕΛΠΊΖΩ ΝΑ ΣΕ ΒΟΗΘΗΣΑ ΝΑ ΚΑΤΑΣΤΡΕΨΕΙΣ ΤΟΝ ΠΡΩΤΟ ΣΟΥ ΙΟ…………..

 

George_Kont

[geokaza]

@George_Kont Τελικα το Spy Boot - Search & Destroy τον βρηκε και τον κατεστρεψε. Σε ευχαριστω πολυ για το ενδιαφερον, καθως και ολα τα παιδια που διεθεσαν χρονο και ασχοληθηκαν με το προβλημα μου.