Proces wkssvr.exe - prosze o pomoc

IP: *.icpnet.pl 28.08.06, 01:53
Zauważyłem nowy aktywny proces i wedle zaleceń
www.trendmicro.com/vinfo/virusencyclo/default5.asp?VName=WORM_RBOT.R&VSect=Sn
próbowałem go usunąć. Zrobiłem tak jak nakazywali potem uruchomiłem Antivira
i znalazł tego robaka - następnie go usunąłem, a po zrestartowaniu kompa
proces ten wciąż się pojawia. Mimo, że wszystkie scanery (Antivir, Ad-aware)
nic nie pokazują proces ciągle jest aktywny. Co moge jeszcze zrobić.
Jak wchodze przez
regedit>HKEY_CURRENT_USER/LOCAL_MACHINE>software>microsoft>windows>currentVers
ion>runservice jest ten proces pod Windows Kernel Service .
    • Gość: Kolobos Re: Proces wkssvr.exe - prosze o pomoc IP: *.warszawa.sdi.tpnet.pl 28.08.06, 03:18
      Wklej log z hjt na forum.
      • Gość: franek Re: Proces wkssvr.exe - prosze o pomoc IP: *.icpnet.pl 28.08.06, 12:27
        Logfile of HijackThis v1.99.1
        Scan saved at 12:24:38, on 2006-08-28
        Platform: Windows XP (WinNT 5.01.2600)
        MSIE: Internet Explorer v6.00 (6.00.2600.0000)

        Running processes:
        C:\WINDOWS\System32\smss.exe
        C:\WINDOWS\system32\winlogon.exe
        C:\WINDOWS\system32\services.exe
        C:\WINDOWS\system32\lsass.exe
        C:\WINDOWS\system32\svchost.exe
        C:\WINDOWS\System32\svchost.exe
        C:\WINDOWS\System32\wkssvr.exe
        C:\WINDOWS\system32\spoolsv.exe
        C:\WINDOWS\Explorer.exe
        C:\WINDOWS\SOUNDMAN.EXE
        C:\Program Files\Gadu-Gadu\gg.exe
        C:\Program Files\AntiVir PersonalEdition Classic\sched.exe
        C:\Program Files\AntiVir PersonalEdition Classic\avguard.exe
        C:\Program Files\Sunbelt Software\Personal Firewall\kpf4ss.exe
        C:\WINDOWS\System32\nvsvc32.exe
        C:\Program Files\Sunbelt Software\Personal Firewall\kpf4gui.exe
        C:\Program Files\Sunbelt Software\Personal Firewall\kpf4gui.exe
        C:\Program Files\Internet Explorer\iexplore.exe
        C:\Downloads\hijackthis_199\HijackThis.exe

        R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page =
        www.wp.pl/
        R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Local Page =
        R1 - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet
        Settings,ProxyServer = proxy.icpnet.pl:8080
        R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Łącza
        F2 - REG:system.ini: Shell=Explorer.exe wkssvr.exe
        F2 - REG:system.ini: UserInit=C:\WINDOWS\System32\userinit.exe,wkssvr.exe
        O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} -
        C:\Program Files\Adobe\Acrobat 6.0 CE\Reader\ActiveX\AcroIEHelper.dll
        O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} -
        C:\WINDOWS\System32\msdxm.ocx
        O4 - HKLM\..\Run: [SoundMan] SOUNDMAN.EXE
        O4 - HKLM\..\Run: [avgnt] "C:\Program Files\AntiVir PersonalEdition
        Classic\avgnt.exe" /min
        O4 - HKLM\..\RunServices: [MS Java for Windows XP & NT] javanet.exe
        O4 - HKLM\..\RunServices: [Windows Kernel System Service] wkssvr.exe
        O4 - HKCU\..\Run: [Gadu-Gadu] "C:\Program Files\Gadu-Gadu\gg.exe" /tray
        O4 - HKCU\..\RunServices: [MS Java for Windows XP & NT] javanet.exe
        O4 - HKCU\..\RunServices: [Windows Kernel System Service] wkssvr.exe
        O16 - DPF: {17492023-C23A-453E-A040-C7C580BBF700} (Windows Genuine Advantage
        Validation Tool) - go.microsoft.com/fwlink/?linkid=39204
        O16 - DPF: {7B297BFD-85E4-4092-B2AF-16A91B2EA103} (WScanCtl Class) -
        www3.ca.com/securityadvisor/virusinfo/webscan.cab
        O23 - Service: AntiVir Scheduler (AntiVirScheduler) - Avira GmbH - C:\Program
        Files\AntiVir PersonalEdition Classic\sched.exe
        O23 - Service: AntiVir PersonalEdition Classic Service (AntiVirService) - AVIRA
        GmbH - C:\Program Files\AntiVir PersonalEdition Classic\avguard.exe
        O23 - Service: InstallDriver Table Manager (IDriverT) - Macrovision
        Corporation - C:\Program Files\Common Files\InstallShield\Driver\11\Intel 32
        \IDriverT.exe
        O23 - Service: Sunbelt Kerio Personal Firewall 4 (KPF4) - Sunbelt Software -
        C:\Program Files\Sunbelt Software\Personal Firewall\kpf4ss.exe
        O23 - Service: NVIDIA Driver Helper Service (NVSvc) - NVIDIA Corporation -
        C:\WINDOWS\System32\nvsvc32.exe

        • Gość: franek Re: Proces wkssvr.exe - prosze o pomoc IP: *.icpnet.pl 28.08.06, 12:40
          Zamknąłem właśnie Port 445 i 137/138/139 i proces sie nie uruchamia. Czy te
          porty moga być permanentnie zamknięte?
          • Gość: Kolobos Re: Proces wkssvr.exe - prosze o pomoc IP: *.warszawa.sdi.tpnet.pl 28.08.06, 13:05
            Nie ma moga tylko MUSZA, masz piracki windows bez żadnych aktualizacji!
            • Gość: franek Re: Proces wkssvr.exe - prosze o pomoc IP: *.icpnet.pl 28.08.06, 14:22
              Wierz mi, że o niczym innym nie marze tylko o legalnym systemie, ale cena jak
              na razie jest dla mnie nie do obejścia.
              • Gość: p2p Re: Proces wkssvr.exe - prosze o pomoc IP: *.acn.waw.pl 28.08.06, 15:10
                Ale chyba nie ma przeszkod zeby wejsc np tutaj?
                www.autopatcher.pol.pl/
          • Gość: yoshi Re: Proces wkssvr.exe - prosze o pomoc IP: *.icpnet.pl 02.09.06, 11:57
            jak zmknąć te porty?
        • Gość: Kolobos Re: Proces wkssvr.exe - prosze o pomoc IP: *.warszawa.sdi.tpnet.pl 28.08.06, 13:07
          Zmien przegladarke na Opere lub Firefox i nigdy wiecej nie uzywaj IE.

          W menadzerze zadan zakoncz:
          C:\WINDOWS\System32\wkssvr.exe
          Plik usun z dysku, w razie problemow uzyj killbox.

          W hjt usun:
          F2 - REG:system.ini: Shell=Explorer.exe wkssvr.exe
          F2 - REG:system.ini: UserInit=C:\WINDOWS\System32\userinit.exe,wkssvr.exe
          O4 - HKLM\..\RunServices: [MS Java for Windows XP & NT] javanet.exe <- plik usun z dysku.
          O4 - HKLM\..\RunServices: [Windows Kernel System Service] wkssvr.exe
          O4 - HKCU\..\RunServices: [MS Java for Windows XP & NT] javanet.exe
          O4 - HKCU\..\RunServices: [Windows Kernel System Service] wkssvr.exe

          Na koniec skan przy pomocy ewido.
          • Gość: yoshi Re: Proces wkssvr.exe - prosze o pomoc IP: *.icpnet.pl 02.09.06, 11:11
            mam ten sam proble. skorzystałbym z powyższej instrukcji ale nie moge rozgrysc
            adresu. gdzie sie wchodzi w F2- REG ...
          • Gość: yoshi Re: Proces wkssvr.exe - prosze o pomoc IP: *.icpnet.pl 02.09.06, 11:56
            juz wiem o co chodzi dzieki:)
Pełna wersja