msblast i Randolf.a

[olina8]

Od jakiegoś czasu nie mogę wykonywać prostych operacji typu: 1.kopiuj, wklej
(po prostu się nie da albo wyskakuje komunikat, że za mało miejsca na dysku,
chociaż miejsca mam mnóstwo) 2.kiedy włączam jakąś stronę IE często przed
oczami mam auto:blank mimo, że na pasku mam wyświetlony adres strony).
Te "cyrki" pojawiają się po ok 2 godz pracy komputera, na początku jest
wszystko ok.
Walczyłam ostatnio z wirusem msblast.exe i wydawało mi się, że już go
usunęłam ale mimo to w dalszym ciągu dostaję komunikaty o błędach
svchost.exe. Kiedy skanuję dysk żaden z moich antywirów (mks_vir, AVP,
Kaspersky) nie wykrywa już tego wirusa.
Jakby tego było mało od niedawna mam kolejnego wirusa (Redlof.a), którego
wykrywa tylko AVP i niby go usuwa ale Redlof po restarcie powraca (jak na
upierdliwego wirusa przystało).
Z lektury archiwum wnioskuję, że powinnam przeskanować kompa w trybie
awaryjnym, zaktualizować Windowsa (2000 Prof.)i pewnie postarać się o nowy
program antywirusowynp AVAST 4 Home. Czy dobrze myślę?
Czy opisane przeze mnie na początku problemy mają jakiś związek z tymi
wirusami ?

[olina8]

Sorki pomieszałąm w nazwie drugiego wirusa. Miało być Redlof.a :)

[netsec]

olina8 napisała:

> Z lektury archiwum wnioskuję, że powinnam przeskanować kompa w trybie
> awaryjnym, zaktualizować Windowsa (2000 Prof.)i pewnie postarać się o nowy
> program antywirusowynp AVAST 4 Home. Czy dobrze myślę?
> Czy opisane przeze mnie na początku problemy mają jakiś związek z tymi
> wirusami ?

Twój problem prawdopodobnie spowodowany jest przez trojana który zainstalował
się przez sieć, wykorzystując lukę w RPC.
Czy masz zainstalowany Service Pack4 dla Windows 2000?
Sprawdź Mój komputer => prawy klawisz myszki Właściwości
Ściągnij Startuplist www.spywareinfo.com/~merijn/files/StartupList.exe
Loga z Startuplist wklej tu na forum, zobaczymy co się uruchamia w Twoim
systemie. Nie obawiaj się, nie ma w nim żadnych poufnych informacji ;)

[olina8]

Sprawdzałam nie ma zainstalowanego Service Pack4 dla Windows 2000. Sciągnęłąm
Startuplist ale mało się w tym orientuję i nie wiem co dokładnie mam wkleić na
forum (wszystko? bo trochę tam tego jest).

[netsec]

olina8 napisała:

> Sprawdzałam nie ma zainstalowanego Service Pack4 dla Windows 2000. Sciągnęłąm
> Startuplist ale mało się w tym orientuję i nie wiem co dokładnie mam wkleić na
> forum (wszystko? bo trochę tam tego jest).

Ups i pewnie nie masz hasła dla konta Administartor.
Uruchomiłaś STARTUPLIST pojawiło się okno, stań myszką na zawartości zrób CTRL+A
i wklej na forum CTRL+V.
Czy masz antywirusa i jakiś firewall?

[olina8]

StartupList report, 2004-04-10, 17:02:20
StartupList version: 1.52
Started from : C:\Documents and Settings\ola\Pulpit\StartupList.EXE
Detected: Windows 2000 (WinNT 5.00.2195)
Detected: Internet Explorer v6.00 (6.00.2600.0000)
* Using default options
==================================================

Running processes:

C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\system32\spoolsv.exe
C:\Program Files\Kaspersky Lab\Kaspersky Anti-Virus\avpcc.exe
C:\WINDOWS\System32\svchost.exe
C:\MATLAB6p1\webserver\bin\win32\matlabserver.exe
C:\WINDOWS\System32\nvsvc32.exe
C:\WINDOWS\system32\regsvc.exe
C:\WINDOWS\system32\MSTask.exe
C:\WINDOWS\System32\WBEM\WinMgmt.exe
C:\Program Files\Kaspersky Lab\Kaspersky Anti-Virus\avpm.exe
C:\WINDOWS\Explorer.exe
C:\WINDOWS\System32\RunDll32.exe
C:\Program Files\Winamp\Winampa.exe
C:\Program Files\Kaspersky Lab\Kaspersky Anti-Virus\avpcc.exe
C:\WINDOWS\System32\internat.exe
C:\Program Files\Tlen.pl\tlen.exe
C:\PROGRA~1\NETSCAPE\NETSCAPE\NETSCP.EXE
C:\Program Files\WinZip\WZQKPICK.EXE
C:\Documents and Settings\ola\Pulpit\StartupList.exe

--------------------------------------------------

Listing of startup folders:

Shell folders Common Startup:
[C:\Documents and Settings\All Users\Menu Start\Programy\Autostart]
WinZip Quick Pick.lnk = C:\Program Files\WinZip\WZQKPICK.EXE

--------------------------------------------------

Checking Windows NT UserInit:

[HKLM\Software\Microsoft\Windows NT\CurrentVersion\Winlogon]
UserInit = C:\WINDOWS\system32\userinit.exe,

--------------------------------------------------

Autorun entries from Registry:
HKLM\Software\Microsoft\Windows\CurrentVersion\Run

SystemTray = SysTray.Exe
NvCplDaemon = RUNDLL32.EXE NvQTwk,NvCplDaemon initialize
nwiz = nwiz.exe /install
Cmaudio = RunDll32 cmicnfg.cpl,CMICtrlWnd
Synchronization Manager = mobsync.exe /logon
WinampAgent = "C:\Program Files\Winamp\Winampa.exe"
NeroCheck = C:\WINDOWS\system32\NeroCheck.exe
AVPCC = C:\Program Files\Kaspersky Lab\Kaspersky Anti-Virus\avpcc.exe /wait

--------------------------------------------------

Autorun entries from Registry:
HKCU\Software\Microsoft\Windows\CurrentVersion\Run

internat.exe = internat.exe
Komunikator = C:\Program Files\Tlen.pl\tlen.exe
Mozilla Quick Launch = "C:\PROGRA~1\NETSCAPE\NETSCAPE\NETSCP.EXE" -turbo

--------------------------------------------------

Shell & screensaver key from C:\WINDOWS\SYSTEM.INI:

Shell=*INI section not found*
SCRNSAVE.EXE=*INI section not found*
drivers=*INI section not found*

Shell & screensaver key from Registry:

Shell=Explorer.exe
SCRNSAVE.EXE=*Registry value not found*
drivers=*Registry value not found*

Policies Shell key:

HKCU\..\Policies: Shell=*Registry key not found*
HKLM\..\Policies: Shell=*Registry value not found*

--------------------------------------------------


Enumerating Browser Helper Objects:

(no name) - C:\Program Files\DAP\DAPBHO.dll - {0000CC75-ACF3-4cac-A0A9-
DD3868E06852}
(no name) - C:\Program Files\Adobe\Acrobat 5.0\Reader\ActiveX\AcroIEHelper.ocx -
{06849E9F-C8D7-4D59-B87D-784B7D6BE0B3}

--------------------------------------------------

Enumerating Task Scheduler jobs:

Rozpoczęcie aplikacji dostrajania.job

--------------------------------------------------

Enumerating Download Program Files:

[Shockwave Flash Object]
InProcServer32 = C:\WINDOWS\System32\macromed\flash\Flash.ocx
CODEBASE = download.macromedia.com/pub/shockwave/cabs/flash/swflash.cab

[MainControl Class]
InProcServer32 = C:\WINDOWS\System32\SkanerOnline.dll
CODEBASE = skaner.mks.com.pl/SkanerOnline.cab

--------------------------------------------------

Enumerating ShellServiceObjectDelayLoad items:

Network.ConnectionTray: C:\WINDOWS\system32\NETSHELL.dll
WebCheck: C:\WINDOWS\System32\webcheck.dll
SysTray: stobject.dll

--------------------------------------------------
End of report, 4 767 bytes
Report generated in 0,471 seconds

Command line options:
/verbose - to add additional info on each section
/complete - to include empty sections and unsuspicious data
/full - to include several rarely-important sections
/force9x - to include Win9x-only startups even if running on WinNT
/forcent - to include WinNT-only startups even if running on Win9x
/forceall - to include all Win9x and WinNT startups, regardless of platform
/history - to list version history only
T jeśli chodzi o Startuplist.
Mam firewall i antywirusa: AVP Kaspersky i mks_vir (online).

[netsec]

Na początek ściągnij i zainstaluj Service Pack 4
download.microsoft.com/download/a/3/2/a32416d3-941d-424a-9310-21951f74216f/w2ksp4_pl.exe
Jego wielkość 129 megabytes (MB) więc jest to mozliwe tylko przy stałym łączu.
W trakcie instalcji odłącz internet.
Po instalcji SP4 zainstaluj koniecznie ściągnietą wcześniej poprawkę
download.microsoft.com/download/e/2/0/e201e718-975a-47f7-a39d-8cd6c40e7086/Windows2000-KB824146-x86-PLK.exe
Po tym dopiero możesz podłączyć internet.
Połącz się z www.windowsupdate.com i zaktualizuj system o krytyczne poprawki.

[netsec]

Załóż hasła na kontach OLA i Administrator CTRL+ALT i DEL => Zmień hasło.
W polu nazwa użytkownika wpisujesz np. Administrator jeśli nie było hasła to
pole Stare hasło zostawiasz puste.

Net

[olina8]

Mam hasła na kontach Ola i Administrator. Niedawno zmieniałam mam je znowu
zmieniać? Czego dowiedziałeś się z mojego Startuplist? Chciałabym wiedzieć co
dokładnie dzieje się z moim kompem bo dzisiaj od momentu włączenia dostałam
raporty o dwóch nowych wirusach na dysku: Lovesan.a i VBS Confi.
Dzięki za cierpliwość :)

[netsec]

Widzę, że masz Tlen, chcę zadać ci kilka pytań, więc może będziemy dalej
rozwiązywac problem via Tlen. Poszukaj nick Net

[olina8]

Będę na tlenie ok 20:30. Jak nie będziesz mógł pogadamy innym razem.
Dzięki

[netsec]

olina8 napisała:

> Będę na tlenie ok 20:30. Jak nie będziesz mógł pogadamy innym razem.
> Dzięki
ok

[netsec]

olina8 napisała:

> Mam hasła na kontach Ola i Administrator. Niedawno zmieniałam mam je znowu
> zmieniać? Czego dowiedziałeś się z mojego Startuplist? Chciałabym wiedzieć
> co dokładnie dzieje się z moim kompem bo dzisiaj od momentu włączenia
> dostałam raporty o dwóch nowych wirusach na dysku: Lovesan.a i VBS Confi.

Informacja dla szukających rozwiązań problemów w Windows 2000 . Problem został rozwiązany, przez zainstalowanie Service Pack 4 + wszystkie krytyczne poprawki z witryny WindowsUpdate. Dodatkowo zainstalowano Kerio personal firewall + Avast4 Home. Prewencyjnie system został sprawdzony zaktualizowanym Ad-aware.
W między czasie usunięto robaczka Randolf.a. Usunięto z połączenia sieciowego do internetu udostępnianie plików i drukarek.