AMsys, swsys, activity monitor agent

[Gość: gabsu]

od jakiegoś czasu mam tego:

www.symantec.com/avcenter/venc/data/spyware.activmonagent.html
syfa. kompletnie nie wiem skąd się to bierze, nie ma żadnej polskiej strony o tym spaju, chyba jestem pierwszym użytkownikiem z polski, który to złapał ;)
tworzy katalog w program files "AMsys", uruchamia proces swsys.exe. nie wiem co jeszcze psuje, ale np. zauważyłam, że nie mogę aktywować konta dla gości na moim komputerze, bo za każdym razem jak zmienie ustawienia dla grup użytkowników i zrobię restart, to konto ponownie jest zabezpieczone hasłem.
usuwałam kilka razy ręcznie, czyszcząc rejestr i usuwając pliki, ale instaluje się od nowa (czy to możliwe, żeby się przenosił z otoczenia sieciowego?).
używałam około 10 różnych programów do wykrywania szpiegów (spyware doctor, cvshredder, spyhunter etc.)

POMOCY :)

ps. pracuje na windows 2000, uzywam noda32

[netsec]

Gość portalu: gabsu napisał(a):

> od jakiegoś czasu mam tego:
>
> <a
href="www.symantec.com/avcenter/venc/data/spyware.activmonagent.html"
target="_blank">www.symantec.com/avcenter/venc/data/spyware.activmonagent.html</a>
> syfa. kompletnie nie wiem skąd się to bierze, nie ma żadnej polskiej strony o t
> ym spaju, chyba jestem pierwszym użytkownikiem z polski, który to złapał ;)
> tworzy katalog w program files "AMsys", uruchamia proces swsys.exe. nie wiem co
> jeszcze psuje, ale np. zauważyłam, że nie mogę aktywować konta dla gości na mo
> im komputerze, bo za każdym razem jak zmienie ustawienia dla grup użytkowników
> i zrobię restart, to konto ponownie jest zabezpieczone hasłem.
> usuwałam kilka razy ręcznie, czyszcząc rejestr i usuwając pliki, ale instaluje
> się od nowa (czy to możliwe, żeby się przenosił z otoczenia sieciowego?).
> używałam około 10 różnych programów do wykrywania szpiegów (spyware doctor, cvs
> hredder, spyhunter etc.)
>
> POMOCY :)
>
> ps. pracuje na windows 2000, uzywam noda32

1 .Na poczatek zainstaluj firewall np. free ZoneAlarm
download.zonelabs.com/bin/free/1012_zl/zlsSetup_51_011.exe
2. Uruchom komputer w trybie awaryjnym i przeskanuj zaktualizowanym NOD32
3. Ustaw hasła dla wszystkich użytkowników, a w szcególności dla konta
Administrator.
4. Wyłącz konto Gość i inne nieznane konta.

Wklej log z HiJackThis, to napisze co dalej.

[Gość: gabsu]

1. hijack nie cjce mi sie zaktualizowac, wiec log niewiele ci powie.
2. ustawilam haslo dla administratora, wylaczylam konto goscia, ale nie bardzo jest mi to na reke, bo mamy bardzo zwarta i fajna (no, tylko troche zainfekowana ;P) spolecznosc lanowa i czesto korzystamy ze swoich udostepnionych zasobow... co daje ustawienie hasla dla administratora?
3. sciagam firewalla sygate.
4. nod nic nie wykrywa
5. usunelam znowu recznie i zobaczymy jakie beda efekty
6. dzieki za pomoc

[netsec]

Gość portalu: gabsu napisał(a):

> 1. hijack nie cjce mi sie zaktualizowac, wiec log niewiele ci powie.
> 2. ustawilam haslo dla administratora, wylaczylam konto goscia, ale nie bardzo
> jest mi to na reke, bo mamy bardzo zwarta i fajna (no, tylko troche zainfekowan
> a ;P) spolecznosc lanowa i czesto korzystamy ze swoich udostepnionych zasobow..
> . co daje ustawienie hasla dla administratora?
> 3. sciagam firewalla sygate.
> 4. nod nic nie wykrywa
> 5. usunelam znowu recznie i zobaczymy jakie beda efekty
> 6. dzieki za pomoc

Społeczność LAN może i masz fajną, ale pojecie o administrowaniu systemem raczej
marne. Czytając tekst
www.symantec.com/avcenter/venc/data/spyware.activmonagent.html
widać, że instalacja następuje przez sieć stąd jeśli konto Administrator nie ma
hasła, to KAŻDY przez sieć ma możliwość zrobienia co chce na Twoim kompie :)
włącznie z podglądaniem tego co na nim robisz i kopiowaniem plików.

[Gość: gabs]

wiem, ze nie mam pojecia :) dlatego zwrocilam sie o wyjasnienie... mam juz haslo na koncie administratora, czy moge aktywowac konto goscia czy raczej nie powinnam?

[netsec]

Gość portalu: gabs napisał(a):

> wiem, ze nie mam pojecia :) dlatego zwrocilam sie o wyjasnienie... mam juz hasl
> o na koncie administratora, czy moge aktywowac konto goscia czy raczej nie powi
> nnam?

Na początek wklej log z HijackThis.

[Gość: gabsu]

proszę :)


Logfile of HijackThis v1.97.7
Scan saved at 14:39:02, on 2004-08-24
Platform: Windows 2000 SP4 (WinNT 5.00.2195)
MSIE: Internet Explorer v5.00 SP4 (5.00.2920.0000)

Running processes:
C:\WINNT\System32\smss.exe
C:\WINNT\system32\winlogon.exe
C:\WINNT\system32\services.exe
C:\WINNT\system32\lsass.exe
C:\WINNT\system32\svchost.exe
C:\WINNT\system32\spoolsv.exe
C:\WINNT\System32\svchost.exe
C:\Program Files\Eset\nod32krn.exe
C:\WINNT\system32\regsvc.exe
C:\WINNT\system32\MSTask.exe
C:\WINNT\System32\WBEM\WinMgmt.exe
C:\WINNT\system32\MsPMSPSv.exe
C:\WINNT\system32\svchost.exe
C:\WINNT\Explorer.EXE
C:\WINNT\system32\ntvdm.exe
C:\Program Files\Eset\nod32kui.exe
C:\WINNT\system32\internat.exe
C:\Program Files\Opera7\Opera.exe
C:\Program Files\Outlook Express\msimn.exe
C:\Program Files\LANczat\LANczat.exe
C:\Program Files\Soulseek\slsk.exe
C:\Program Files\Miranda IM\miranda32.exe
C:\Program Files\Internet Explorer\IEXPLORE.EXE
C:\WINNT\system32\NOTEPAD.EXE
C:\Program Files\I N S T A L K I\antyszpiegi i antywirusy\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = www.google.pl/
R1 - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings,ProxyServer = 192.168.1.1:8080
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Łącza
F1 - win.ini: load=c:\progra~1\ypdict\watch.exe
O3 - Toolbar: @msdxmLC.dll,-1@1033,&Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINNT\system32\msdxm.ocx
O4 - HKLM\..\Run: [QuickTime Task] "C:\WINNT\system32\qttask.exe" -atboottime
O4 - HKLM\..\Run: [Synchronization Manager] mobsync.exe /logon
O4 - HKLM\..\Run: [nod32kui] C:\Program Files\Eset\nod32kui.exe /WAITSERVICE
O4 - HKLM\..\Run: [SmcService] C:\PROGRA~1\Sygate\SPF\smc.exe -startgui
O4 - HKCU\..\Run: [internat.exe] internat.exe
O4 - Global Startup: Microsoft Office.lnk = C:\Program Files\Microsoft Office\Office\OSA9.EXE
O9 - Extra 'Tools' menuitem: Sun Java Console (HKLM)
O10 - Broken Internet access because of LSP provider 'imon.dll' missing
O16 - DPF: ppctlcab - www.pestscan.com/scanner/ppctlcab.cab
O16 - DPF: {2FC9A21E-2069-4E47-8235-36318989DB13} (PPSDKActiveXScanner.MainScreen) - www.pestscan.com/scanner/axscanner.cab
O16 - DPF: {33564D57-0000-0010-8000-00AA00389B71} - download.microsoft.com/download/F/6/E/F6E491A6-77E1-4E20-9F5F-94901338C922/wmv9VCM.CAB
O16 - DPF: {74D05D43-3236-11D4-BDCD-00C04F9A3B61} (HouseCall Control) - a840.g.akamai.net/7/840/537/2004061001/housecall.trendmicro.com/housecall/xscan53.cab
O16 - DPF: {9F1C11AA-197B-4942-BA54-47A8489BB47F} (Update Class) - v4.windowsupdate.microsoft.com/CAB/x86/unicode/iuctl.CAB?38162.4433796296
O16 - DPF: {D27CDB6E-AE6D-11CF-96B8-444553540000} (Shockwave Flash Object) - download.macromedia.com/pub/shockwave/cabs/flash/swflash.cab
O16 - DPF: {E7544C6C-CFD6-43EA-B4E9-360CEE20BDF7} (MainControl Class) - skaner.mks.com.pl/SkanerOnline.cab
O17 - HKLM\System\CCS\Services\Tcpip\..\{DF6428CB-157A-49E8-BE02-557C5E87214C}: NameServer = 192.168.1.1

[netsec]

Gość portalu: gabsu napisał(a):

> proszę :)
>
>
> Logfile of HijackThis v1.97.7
> Scan saved at 14:39:02, on 2004-08-24
> Platform: Windows 2000 SP4 (WinNT 5.00.2195)
> MSIE: Internet Explorer v5.00 SP4 (5.00.2920.0000)

Połącz się z www.windowsupdate.com i zaktualizuj system
o wszystkie krytyczne poprawki. Tutaj masz więcej na ten temat
www.microsoft.com/poland/security/protect/windowsxp/updates.aspx

[Gość: gabs]

nie ma zadnej nowej, robie to regularnie :>

[netsec]

Gość portalu: gabs napisał(a):

> nie ma zadnej nowej, robie to regularnie :>

W takim razie coś źle robisz, zamiast Internet Explorer'a 6.0 SP1 masz
MSIE: Internet Explorer v5.00 SP4

[Gość: gabs]

jest tylko jeden sp ktorego nie zainstalowalam: "Dodatek Service Pack 1 dla programu Microsoft Internet Explorer 6*".

[netsec]

Gość portalu: gabs napisał(a):

> jest tylko jeden sp ktorego nie zainstalowalam: "Dodatek Service Pack 1 dla pro
> gramu Microsoft Internet Explorer 6*".

Własnie o tym pisze :)

[Gość: gabsu]

ok, zrobilam to, chociaz w sumie nie uzywam ie tylko opery :)
dzieki.

[netsec]

Gość portalu: gabsu napisał(a):

> ok, zrobilam to, chociaz w sumie nie uzywam ie tylko opery :)
> dzieki.

Akurat to nie ma znaczenia jakiej przeglądarki używasz, błędy we wspólnych
modułach Internet Explorera z innymi elementami OS wpływają bezpośrednio na
bezpieczeństwo systemu.