Neznamy virus nebo co?

[Halen]

Od jiste doby mam problem pri startu systemu. Po startu explorer.exe modifikuje v pameti firefox.exe (vychozi prohlizec), spousti firefox skryte jen jako proces, bez okna a pokousi se pres UDP i TCP komunikovat do netu. Comodo FW tuto snahu zastavi. Proscanoval jsem comp vsim moznym proti haveti a vysledek=0. Pokud bezici proces firefoxu neshodim, po urcity dobe se doslova zblazni comodo pf a vytezuje CPU mezi 80-100%. Neporadili mi ani na viry.cz a znacne me irituje neco, co mam v compu a nemohu se toho zbavit. Neni mi zcela jasny, jakym zpusobem by havet mohla takto fungovat bez viditelne i neviditelne bezicich procesu a bez startovnich klicu v registru. HijackThis - tam je vse OK, zadny podezrely zaznam. Si nevim rady a reinstalovat nechci

[LM]

ze by rootkit?

zkus to projet necim z tohoto:
AVG Anti-Rootkit
F-Secure BlackLight
RootkitRevealer

[Halen]

Zrejme rootkit, ale z vyse uvedenych programu zadny nedetekuje nic podezreleho. Ani IceSword, velmi mocny anti-rootkit nastroj nezobrazi zadne skryte procesy. Jsem z toho uz na prasky, za dobre rady nebudu setrit K+

[PetrT]

ty mas FF jako defaultni prohlizec ? Pokud ano, tak je to asi stejny "vir" co jsem mel pred lety a pred tydnem znova.
chovani (mam default Operu):
po startu se spusti proces Opera.exe, ktery je velikostne mnohem mensi jak skutecna Opera. Kdybych mel default IE ci FF, spusti se vzdy proces s prohlizecem. kdysi mi pomohlo prejmenovat opera.exe na opera2.exe - problemy ustaly.

Pred tydnem: nemoznost v Salamanderu ani jinem manageru dat F3 na file - zatuh systemu na nekolik minut. Sem tam negungovala nejaka klavesa.

Na viry.cz jsem rady nenasel, pomohl google link. Ted jsem se dival a prvni link je neco co jsem tehdy nenasel.

na mem PC v \windows\system32\mssst.exe byl tento exe, ktery zpusoboval problemy. NOD, AVG, AVAST ho nenaslo. Po upravach, viz link vyse, mam po problemech. Smazat ho jen tak nestacilo, skoro okamzite se vytvoril z nejake zalohy znova.
Pri mem prvnim setkani jsem to mel na trech PC, tentokrat jen u me (antivir se prestal aktualizovat a ja to zjistil az nastaly problemy).

[Octopuss]

Jm, a kde se takovej vir da chytit? Chci rict, nepredpokladam u zdejsich uzivatelu, ze by slepe otevirali prilohy v mailech a tak...

[PetrT]

Jm, a kde se takovej vir da chytit? Chci rict, nepredpokladam u zdejsich uzivatelu, ze by slepe otevirali prilohy v mailech a tak...

mam jiste podezreni, ale nebudu to tady ventilovat. Emailem to nebylo

[Octopuss]

Nemate stahovat porek :P

[PetrT]

Nemate stahovat porek :P

Pornem taky ne ...

[Halen]

Mel jsem dovolenou; za tu dobu si na mym PC hral stridave otec, synovec ... po navratu tohle. Klidne to PetrT rekni, cim to muze byt. Nejsem si vedom otvirani jakehokoli podezreleho spustitelneho souboru, na to si davam velkeho bacha. Samozrejme nemam ucet guesta ale jen admina; pouceni pro priste, "cizince" nepoustet pres ostrej ucet, ale jsem desne linej nastavovat nejaky omezeni. Vyzkousim reseni, ktere PetrT nastinil a dam vedet. K+ pokud zverejnis, co za problemem muze byt; ja to proste nevim.

Edit - vyreseno, odstraneni klice z registru a odmazani "falesneho" svchost.exe z adresare ../windows/web

[PetrT]

Mel jsem dovolenou; za tu dobu si na mym PC hral stridave otec, synovec ... po navratu tohle. Klidne to PetrT rekni, cim to muze byt. Nejsem si vedom otvirani jakehokoli podezreleho spustitelneho souboru, na to si davam velkeho bacha. Samozrejme nemam ucet guesta ale jen admina; pouceni pro priste, "cizince" nepoustet pres ostrej ucet, ale jsem desne linej nastavovat nejaky omezeni. Vyzkousim reseni, ktere PetrT nastinil a dam vedet. K+ pokud zverejnis, co za problemem muze byt; ja to proste nevim.

Edit - vyreseno, odstraneni klice z registru a odmazani "falesneho" svchost.exe z adresare ../windows/web

Aaa, svchost ... taky jsem to uz nekde videl
podle infa co se ke me doneslo to byla kombinace cracku k jednomu programu (kterej jsem pred tim pouzival bez problemu) a neaktualizovaneho antiviru - program se mi nedari z niceho nic rozjet a tak jsem zkousel vse na co jsem narazil - imho toto byl duvod mych problemu. Jedu samozrejme na admin ucet (jsem jediny uzivatel) a normalne si hlidam co poustim, bohuzel tu jsem jel slepe za svym cilem.

ps: kdyz jsem se s tim "mym" virem setkal poprve, tak dodnes netusim kde byl problem. Vsechny PC, krome jednoho, jsem od te doby i preinstaloval a ani na tom jednom nejsou od te doby zadne priznaky.

[Octopuss]

Hm, Kerio Personal Firewall 2.1.5 (jo! ten, co ma posledni verzi nejak 2003) a NOD32 a od doby, co jsem zacal pouzivat W2k a XP ZADNEJ vir. Ani SpyWare, nic.

[PetrT]

Hm, Kerio Personal Firewall 2.1.5 (jo! ten, co ma posledni verzi nejak 2003) a NOD32 a od doby, co jsem zacal pouzivat W2k a XP ZADNEJ vir. Ani SpyWare, nic.

jeste jsem nevidel fw kterej by me neotravoval, mohl mu fakt verit a nebrzdil mi sit Ale to uz jsem OT

[Octopuss]

Nejses..
Kazdej LEPSI firewall otravuje. Vytvoris si postupne pravidla a mas pokoj. Ja jsem mnohem radsi otravovanej, nez aby to na pozadi nic nedelalalo.

Jak fw zpomaluje sit? Tohle je na dnesni pomery miniaturni (pod 2MB) programek, kterej naprosto skvele funguje. Muzu ho nekam uploadnout a zkus sam

[PetrT]

Nejses..
Kazdej LEPSI firewall otravuje. Vytvoris si postupne pravidla a mas pokoj. Ja jsem mnohem radsi otravovanej, nez aby to na pozadi nic nedelalalo.

Jak fw zpomaluje sit? Tohle je na dnesni pomery miniaturni (pod 2MB) programek, kterej naprosto skvele funguje. Muzu ho nekam uploadnout a zkus sam

Kerio jsem jednu dobu pouzival. Brachovi jsem ti zablokoval vsechny nepotrebne porty a pul roku mel klid. Pak se mu tak i tak dostal vir a cele Kerio slo do haje.
Ja mam proste subjektivni dojem (a u par FW overeny merenim rychlosti), ze mi FW zpomaluje web i torrenty. Avast mi brzdil i nacitani stranek (odezva nebyla "okamzita") a NOD (i kdyz kontroluje vse) se mi neprojevuje.
Cele je to jen muj zvraceny nazor, vim jak se na to lidi s FW tvari a jak si tukaji na celo, ale nechavam to tak...

[Octopuss]

Avast je mrdka. NOd je super.
A osobne fakt nepozoruju, ze by mi fw neco brzdil. Kdyz to je povoleny, neni co brzdit. Vzdyt to je i logickej nesmysl. Jesttli to neco brzdi, je to max CPU, protoze se jedna o program, kterej si jen cte, co je v packetech, ktery tecou z/do kompu. Zastavi se to az tehdy, kdyz se jedna o neco ne-e :P

[PetrT]

Avast je mrdka. NOd je super.
A osobne fakt nepozoruju, ze by mi fw neco brzdil. Kdyz to je povoleny, neni co brzdit. Vzdyt to je i logickej nesmysl. Jesttli to neco brzdi, je to max CPU, protoze se jedna o program, kterej si jen cte, co je v packetech, ktery tecou z/do kompu. Zastavi se to az tehdy, kdyz se jedna o neco ne-e :P

no pri hratkach s FW mi klesla rychlost FTP z 10-11MB na cca 8MB, rychlost nacitani stranek byla taky zpomalena (neco jako kdyz byl Avast na max kontrolu). Tehdy jsme byli na 100Mbit inetu, ted to nezkousim.

[Octopuss]

Kdovi na cem jste tam jeli a jakym sajratem kompy zasekany byly

[Halen]

Nejzajimavejsi na problemu bylo, ze falesny svchost.exe o delce asi 1,4MB zadny ! AV program (NOD, Avast) ani zadny anti-spyware software nepovazoval za skodlivy. Mam za to, ze se jedna o kombinaci keyloggeru + spousteciho mechanismu a souboru pro odesilani nasbiranych informaci do netu k utocnikovi. Odstranil jsem klic a spoustec, pokusim se jeste najit keylogger (mozna byl soucasti spousteciho svchost.exe) Uff. Konecne mam klid.

[Rainbow]

Posli ten subor do ESETu, nech spravia analyzu.

[Octopuss]

"Dobry den, ukradl jsem Vas produkt a stejne mam v pocitaci vir, laskave se podivjte na prilozeny soubor a zjednejte napravu..."



Tim nechci nikoho obvinovat z pritomnosti nelegalniho sotfu na disku, ale vzhledem k tomu jak to chodi, meto hned napadlo a celkem jsem se zasmal

[Geeker]

Kerio jsem jednu dobu pouzival. Brachovi jsem ti zablokoval vsechny nepotrebne porty a pul roku mel klid. Pak se mu tak i tak dostal vir a cele Kerio slo do haje.
Ja mam proste subjektivni dojem (a u par FW overeny merenim rychlosti), ze mi FW zpomaluje web i torrenty. Avast mi brzdil i nacitani stranek (odezva nebyla "okamzita") a NOD (i kdyz kontroluje vse) se mi neprojevuje.
Cele je to jen muj zvraceny nazor, vim jak se na to lidi s FW tvari a jak si tukaji na celo, ale nechavam to tak...

No ne ze bych podcenoval firewally, ale pokud ten virus stahnes pres http tak za ti nemuze fw pac 80 port nemas blokovany. U https (443) to mas jeste horsi protoze sifrovanou komunikaci ti nezkontroluje ani antivir.

[PetrT]

No ne ze bych podcenoval firewally, ale pokud ten virus stahnes pres http tak za ti nemuze fw pac 80 port nemas blokovany. U https (443) to mas jeste horsi protoze sifrovanou komunikaci ti nezkontroluje ani antivir.

Tak nejak necekam, ze si stahnu vira pres 80tku. Podivne emaily rovnou mazu (a NOD je pri prijmu kontroluje) a kdyz uz si stahnu vira pres torrent a spustim ho, tak mi FW max zarve ze se neco pokousi dostat na net. U https bych vira popravde necekal. Uznavam ale, ze jit na nejaky web cracks pres IE bez antiviru a FW je cista sebevrazda

[Octopuss]

Dam vam naprosto luxusni tip pro browseni porna a warez
Neni to z moji hlavy, podotykam.

Je to uplne easy - nainstalujte si Virtual PC, udelejte instalaci, a problmatickej material prohlizejte tam Fakt to funguje

[PetrT]

Dam vam naprosto luxusni tip pro browseni porna a warez
Neni to z moji hlavy, podotykam.

Je to uplne easy - nainstalujte si Virtual PC, udelejte instalaci, a problmatickej material prohlizejte tam Fakt to funguje

OT: neni snadnejsi zajit do loznice ?

[Octopuss]

hahaha, vis jak se to rika... sukani je pro deti, chlapi si daji pivo nebo Private Gold