וירוס בוינדוס - Backdoor Graybird - גובה סיכון גבוהה !!

[eglon1]

מישהו בבקשה יכול לתת לי פה קישור להורדה של תוכנה שתוכל להסיר לי את הוירוס הנ"ל ??

רמת הסיכון שלו הכי גבוהה, מדורגת באתרים ברמה 7 (זה מקסימום ) ואני לא מצליח להסיר אותו .

[Artist]

יש גוגל

http://www.symantec.com/security_response/writeup.jsp?docid=2003-040217-2506-99&tabid=3

[eglon1]

א - חיפשתי בגוגל - מצאתי הרבה תוכנות וגם הרבה וירוסים בתוכנות.

חלק מהאתרים דורשים הרשמה לאתר .

חלק צריך CD-KEY .

יש לי ויסטה ולכן יש לי גם סימנטק (בא עם ויסטה משומה ) אבל צריך לקנות אותה (את התוכנה ) כדי להסיר את הוירוס .. מוזר שהיא באה עם ויסטה וצריך לקנות אותה - יחצנות ?!

[multicore]

אם קיבלת את התוכנה כבאנדל (היא לא מגיעה כברירת מחדל עם מערכת ההפעלה) תפנה לגוף שממנו רכשת את המחשב כדי לקבל הורעאת לאקטיבציה של התוכנה עצמה.

[Nikiller]

כנראה מדובר במחשב נייד אז יש לך את ה סימנטק אינטרנט סקיוריטי...

הוא לשלושה חודשים...(יענו טרייל)

תמחק ותתקין קספרסקי 2009 100% מעיף אותו...

NIKILLER

[Vampire_Master]

כדי להסיר אותו :

תיכנס להתחל , הפעלה .. תכתוב REGEDIT

תיכנס שם ל :

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run

בצד ימין יש :

"g.exe" = "%Windir%\g.exe"

תמחק אותו

אח"כ תיכנס ל ותמחק אותם :

HKEY_LOCAL_MACHINE\System\CurrentControlSet\Services

\GrayPigeonServer

HKEY_LOCAL_MACHINE\System\CurrentControlSet\Enum\Root

\LEGACY_GrayPigeonServer

אח"כ תוריד :

COMBO FIX

http://download.bleepingcomputer.com/sUBs/ComboFix.exe

תפעיל אותו בSAFE MODE והוא יעשה את העבודה ,

אם לא , תוריד קאספרסקי ותעשה סריקה מלאה

[eglon1]

תודה רבה לכולם !

יש לי מחשב שולחני

הויסטה לא מקורית אך הנורטון הוא תוספת . (זה ייגע בפיראטיות אז לא ניכנס לזה )

אנסה מה שהבחור מעליי רשם .

תודה רבה !

נ.ב יש לי no32 מעודכן תמידית אך כנראה אין את שם הוירוס הזה במאגר שלו .

שוב תודה בה לכולם ויום טוב !.

אייל.

וואלה לא מצאתי אף אחד מן הקבצים ברג'יסטרי

[Vampire_Master]

לא מצאת את התיקיות בריג'סטרי ? בטוח שנכנסת למקומות הנכונים .. ?

אם כן ..

אז תוריד כמו שאמרתי למעלה COMBOFIX ותפעיל בSAFE MODE

[Kirma]

היה לי את הוירוס הזה לפני כחודשיים במחשב הישן

עשיתי סריקה עם KASPERSKY 7 הוא זיהה את הוירוס ומחק אותו

אבל הוא זיהה גם חצי מהקבצים שאני משתמש כוירוס, כמעט כל תוכנה שנייה הוא זיהה כוירוס.

בסוף החלטתי לפרמט את C

עדיין נשאר לי את D עם כל ההתקנות והדברים החשובים

ואחרי הפירמוט סרקתי מחדש את כל המחשב ולשמחקתי הוא לא מצא כלום

מהניסיון שלי עם וירוסים, זה הוירוס הכי מרגיז..

[eglon1]

לא מצאת את התיקיות בריג'סטרי ? בטוח שנכנסת למקומות הנכונים .. ?

אם כן ..

אז תוריד כמו שאמרתי למעלה COMBOFIX ותפעיל בSAFE MODE

בוצע אך לצערי לצערי יש לי ויסטה 64ביט ואין לתוכנה תמיכה =/

מה הוירוס הזה עושה ? - אפשר בבקשה מידע עליו ?

[multicore]

סוס טרויאני סה"כ

אם היית מריץ חיפוש בגוגל היית מוצא את זה לפחות:

http://forums.techguy.org/malware-removal-hijackthis-logs/559143-solved-backdoor-graybird-trojan-horse.html

[eglon1]

סוס טרויאני סה"כ

אם היית מריץ חיפוש בגוגל היית מוצא את זה לפחות:

http://forums.techguy.org/malware-removal-hijackthis-logs/559143-solved-backdoor-graybird-trojan-horse.html

גם את זה מצאתי אחי . בכל אופן בשבילך :

Logfile of HijackThis v1.99.1

Scan saved at 02:12:35, on 30/05/2008

Platform: Unknown Windows (WinNT 6.00.1905 SP1)

MSIE: Internet Explorer v7.00 (7.00.6001.18000)

Running processes:

C:\Program Files (x86)\Windows Live\Messenger\msnmsgr.exe

C:\Program Files (x86)\Skype\Phone\Skype.exe

C:\Program Files\Logitech\SetPoint\x86\SetPoint32.exe

C:\Program Files (x86)\Skype\Plugin Manager\skypePM.exe

C:\Program Files (x86)\BoringCQ\BoringCQ.exe

C:\Program Files (x86)\ICQLite\ICQLite.exe

C:\Program Files (x86)\Mozilla Firefox\firefox.exe

C:\Users\אייל\Desktop\עעע\HijackThis.exe

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = http://go.microsoft.com/fwlink/?LinkId=54896

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.finderg.com

R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://go.microsoft.com/fwlink/?LinkId=69157

R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://go.microsoft.com/fwlink/?LinkId=54896

R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = http://go.microsoft.com/fwlink/?LinkId=54896

R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = http://go.microsoft.com/fwlink/?LinkId=69157

R0 - HKLM\Software\Microsoft\Internet Explorer\Search,SearchAssistant =

R0 - HKLM\Software\Microsoft\Internet Explorer\Search,CustomizeSearch =

R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName =

R3 - URLSearchHook: Yahoo! Toolbar - {EF99BD32-C1FB-11D2-892F-0090271D4F88} - (no file)

F2 - REG:system.ini: UserInit=userinit.exe

O1 - Hosts: ::1 localhost

O2 - BHO: Octh Class - {000123B4-9B42-4900-B3F7-F4B073EFC214} - C:\Program Files (x86)\Orbitdownloader\orbitcth.dll

O2 - BHO: Adobe PDF Reader Link Helper - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Program Files (x86)\Common Files\Adobe\Acrobat\ActiveX\AcroIEHelper.dll

O2 - BHO: (no name) - {2F364306-AA45-47B5-9F9D-39A8B94E7EF7} - (no file)

O2 - BHO: Groove GFS Browser Helper - {72853161-30C5-4D22-B7F9-0BBC1D38A37E} - C:\Program Files (x86)\Microsoft Office\Office12\GrooveShellExtensions.dll

O2 - BHO: SSVHelper Class - {761497BB-D6F0-462C-B6EB-D4DAF1D92D43} - C:\Program Files (x86)\Java\jre1.6.0_05\bin\ssv.dll

O2 - BHO: (no name) - {7E853D72-626A-48EC-A868-BA8D5E23E045} - (no file)

O2 - BHO: עוזר הכניסה של Windows Live - {9030D464-4C02-4ABF-8ECC-5164760863C6} - C:\Program Files (x86)\Common Files\Microsoft Shared\Windows Live\WindowsLiveLogin.dll

O4 - HKLM\..\Run: [GrooveMonitor] "C:\Program Files (x86)\Microsoft Office\Office12\GrooveMonitor.exe"

O4 - HKLM\..\Run: [RivaTunerStatisticsServer] "C:\Program Files (x86)\RivaTuner v2.09\Tools\RivaTunerStatisticsServer\RivaTunerStatisticsServer.exe" /s

O4 - HKLM\..\Run: [amd_dc_opt] C:\Program Files (x86)\AMD\Dual-Core Optimizer\amd_dc_opt.exe

O4 - HKLM\..\Run: [startCCC] "C:\Program Files (x86)\ATI Technologies\ATI.ACE\Core-Static\CLIStart.exe"

O4 - HKCU\..\Run: [sidebar] C:\Program Files\Windows Sidebar\sidebar.exe /autoRun

O4 - HKCU\..\Run: [WindowsWelcomeCenter] rundll32.exe oobefldr.dll,ShowWelcomeCenter

O4 - HKCU\..\Run: [WMPNSCFG] C:\Program Files (x86)\Windows Media Player\WMPNSCFG.exe

O4 - HKCU\..\Run: [Core Temp] C:\Users\אייל\AppData\Local\Temp\Rar$EX02.406\Core Temp.exe

O4 - HKCU\..\Run: [msnmsgr] "C:\Program Files (x86)\Windows Live\Messenger\msnmsgr.exe" /background

O4 - HKCU\..\Run: [skype] "C:\Program Files (x86)\Skype\Phone\Skype.exe" /nosplash /minimized

O4 - HKCU\..\RunOnce: [iCQ Lite] C:\Program Files (x86)\ICQLite\ICQLite.exe -trayboot

O4 - Global Startup: Logitech SetPoint.lnk = C:\Program Files\Logitech\SetPoint\SetPoint.exe

O8 - Extra context menu item: &Download by Orbit - res://C:\Program Files (x86)\Orbitdownloader\orbitmxt.dll/201

O8 - Extra context menu item: &Grab video by Orbit - res://C:\Program Files (x86)\Orbitdownloader\orbitmxt.dll/204

O8 - Extra context menu item: &הורד באמצעות פלאש-גט - C:\Program Files (x86)\Httpshare\Httpshare Flashget\jc_link.htm

O8 - Extra context menu item: &הורד הכל באמצעות פלאש-גט - C:\Program Files (x86)\Httpshare\Httpshare Flashget\jc_all.htm

O8 - Extra context menu item: &ייצוא אל Microsoft Excel - res://C:\PROGRA~2\MICROS~2\Office12\EXCEL.EXE/3000

O8 - Extra context menu item: Do&wnload selected by Orbit - res://C:\Program Files (x86)\Orbitdownloader\orbitmxt.dll/203

O8 - Extra context menu item: Down&load all by Orbit - res://C:\Program Files (x86)\Orbitdownloader\orbitmxt.dll/202

O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files (x86)\Java\jre1.6.0_05\bin\ssv.dll

O9 - Extra 'Tools' menuitem: Sun Java Console - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files (x86)\Java\jre1.6.0_05\bin\ssv.dll

O9 - Extra button: שלח אל OneNote - {2670000A-7350-4f3c-8081-5663EE0C6C49} - C:\PROGRA~2\MICROS~2\Office12\ONBttnIE.dll

O9 - Extra 'Tools' menuitem: ש&לח אל OneNote - {2670000A-7350-4f3c-8081-5663EE0C6C49} - C:\PROGRA~2\MICROS~2\Office12\ONBttnIE.dll

O9 - Extra button: Research - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - C:\PROGRA~2\MICROS~2\Office12\REFIEBAR.DLL

O9 - Extra button: ICQ Lite - {B863453A-26C3-4e1f-A54D-A2CD196348E9} - C:\Program Files (x86)\ICQLite\ICQLite.exe

O9 - Extra 'Tools' menuitem: ICQ Lite - {B863453A-26C3-4e1f-A54D-A2CD196348E9} - C:\Program Files (x86)\ICQLite\ICQLite.exe

O10 - Unknown file in Winsock LSP: c:\windows\system32\nlaapi.dll

O10 - Unknown file in Winsock LSP: c:\windows\system32\napinsp.dll

O11 - Options group: [iNTERNATIONAL] International*

O13 - Gopher Prefix:

O16 - DPF: {67A5F8DC-1A4B-4D66-9F24-A704AD929EEE} (System Requirements Lab) - http://www.systemrequirementslab.com/sysreqlab2.cab

O16 - DPF: {D27CDB6E-AE6D-11CF-96B8-444553540000} (Shockwave Flash Object) - http://fpdownload2.macromedia.com/get/shockwave/cabs/flash/swflash.cab

O16 - DPF: {E8F628B5-259A-4734-97EE-BA914D7BE941} (Driver Agent ActiveX Control) - http://driveragent.com/files/driveragent.cab

O18 - Protocol: grooveLocalGWS - {88FED34C-F0CA-4636-A375-3CB6248B04CD} - C:\Program Files (x86)\Microsoft Office\Office12\GrooveSystemServices.dll

O18 - Protocol: livecall - {828030A1-22C1-4009-854F-8E305202313F} - C:\PROGRA~2\WI1F86~1\MESSEN~1\MSGRAP~1.DLL

O18 - Protocol: ms-help - {314111C7-A502-11D2-BBCA-00C04F8EC294} - C:\Program Files (x86)\Common Files\Microsoft Shared\Help\hxds.dll

O18 - Protocol: msnim - {828030A1-22C1-4009-854F-8E305202313F} - C:\PROGRA~2\WI1F86~1\MESSEN~1\MSGRAP~1.DLL

O18 - Protocol: skype4com - {FFC8B962-9B40-4DFF-9458-1830C7DD7F5D} - C:\PROGRA~2\COMMON~1\Skype\SKYPE4~1.DLL

O18 - Protocol: wlmailhtml - {03C514A3-1EFB-4856-9F99-10D7BE1653C0} - C:\Program Files (x86)\Windows Live\Mail\mailcomm.dll

O18 - Filter hijack: text/xml - {807563E5-5146-11D5-A672-00B0D022E945} - C:\PROGRA~2\COMMON~1\MICROS~1\OFFICE12\MSOXMLMF.DLL

O23 - Service: Lavasoft Ad-Aware Service (aawservice) - Lavasoft - C:\Program Files (x86)\Lavasoft\Ad-Aware\aawservice.exe

O23 - Service: @%SystemRoot%\system32\Alg.exe,-112 (ALG) - Unknown owner - C:\Windows\System32\alg.exe (file missing)

O23 - Service: AODService - Unknown owner - C:\Program.exe (file missing)

O23 - Service: Ati External Event Utility - Unknown owner - C:\Windows\system32\Ati2evxx.exe (file missing)

O23 - Service: @dfsrres.dll,-101 (DFSR) - Unknown owner - C:\Windows\system32\DFSR.exe (file missing)

O23 - Service: @%SystemRoot%\ehome\ehstart.dll,-101 (ehstart) - Unknown owner - %windir%\system32\svchost.exe (file missing)

O23 - Service: Eset HTTP Server (EhttpSrv) - ESET - C:\Program Files\ESET\ESET NOD32 Antivirus\EHttpSrv.exe

O23 - Service: Eset Service (ekrn) - ESET - C:\Program Files\ESET\ESET NOD32 Antivirus\x86\ekrn.exe

O23 - Service: @%systemroot%\system32\fxsresm.dll,-118 (Fax) - Unknown owner - C:\Windows\system32\fxssvc.exe (file missing)

O23 - Service: @gpapi.dll,-112 (gpsvc) - Unknown owner - %windir%\system32\svchost.exe (file missing)

O23 - Service: @keyiso.dll,-100 (KeyIso) - Unknown owner - C:\Windows\system32\lsass.exe (file missing)

O23 - Service: Logitech Bluetooth Service (LBTServ) - Logitech, Inc. - C:\Program Files\Common Files\Logishrd\Bluetooth\LBTServ.exe

O23 - Service: @comres.dll,-2797 (MSDTC) - Unknown owner - C:\Windows\System32\msdtc.exe (file missing)

O23 - Service: NBService - Nero AG - C:\Program Files (x86)\Nero\Nero 7\Nero BackItUp\NBService.exe

O23 - Service: @%SystemRoot%\System32\netlogon.dll,-102 (Netlogon) - Unknown owner - C:\Windows\system32\lsass.exe (file missing)

O23 - Service: NMIndexingService - Nero AG - C:\Program Files (x86)\Common Files\Ahead\Lib\NMIndexingService.exe

O23 - Service: PnkBstrA - Unknown owner - C:\Windows\system32\PnkBstrA.exe

O23 - Service: @%systemroot%\system32\psbase.dll,-300 (ProtectedStorage) - Unknown owner - C:\Windows\system32\lsass.exe (file missing)

O23 - Service: @%SystemRoot%\system32\qwave.dll,-1 (QWAVE) - Unknown owner - %windir%\system32\svchost.exe (file missing)

O23 - Service: @%systemroot%\system32\Locator.exe,-2 (RpcLocator) - Unknown owner - C:\Windows\system32\locator.exe (file missing)

O23 - Service: @%SystemRoot%\system32\samsrv.dll,-1 (SamSs) - Unknown owner - C:\Windows\system32\lsass.exe (file missing)

O23 - Service: SiSoftware Deployment Agent Service (SandraAgentSrv) - SiSoftware - C:\Program Files\SiSoftware\SiSoftware Sandra Lite XII.SP2c\RpcAgentSrv.exe

O23 - Service: @%SystemRoot%\system32\seclogon.dll,-7001 (seclogon) - Unknown owner - %windir%\system32\svchost.exe (file missing)

O23 - Service: @%SystemRoot%\system32\SLsvc.exe,-101 (slsvc) - Unknown owner - C:\Windows\system32\SLsvc.exe (file missing)

O23 - Service: @%SystemRoot%\system32\snmptrap.exe,-3 (SNMPTRAP) - Unknown owner - C:\Windows\System32\snmptrap.exe (file missing)

O23 - Service: @%systemroot%\system32\spoolsv.exe,-1 (Spooler) - Unknown owner - C:\Windows\System32\spoolsv.exe (file missing)

O23 - Service: Audio Service (STacSV) - Unknown owner - C:\Windows\system32\STacSV64.exe (file missing)

O23 - Service: Steam Client Service - Valve Corporation - C:\Program Files (x86)\Common Files\Steam\SteamService.exe

O23 - Service: @%SystemRoot%\system32\ui0detect.exe,-101 (UI0Detect) - Unknown owner - C:\Windows\system32\UI0Detect.exe (file missing)

O23 - Service: @%SystemRoot%\system32\vds.exe,-100 (vds) - Unknown owner - C:\Windows\System32\vds.exe (file missing)

O23 - Service: @%systemroot%\system32\vssvc.exe,-102 (VSS) - Unknown owner - C:\Windows\system32\vssvc.exe (file missing)

O23 - Service: @%systemroot%\system32\wbengine.exe,-104 (wbengine) - Unknown owner - C:\Windows\system32\wbengine.exe (file missing)

O23 - Service: @%Systemroot%\system32\wbem\wmiapsrv.exe,-110 (wmiApSrv) - Unknown owner - C:\Windows\system32\wbem\WmiApSrv.exe (file missing)

O23 - Service: @%ProgramFiles%\Windows Media Player\wmpnetwk.exe,-101 (WMPNetworkSvc) - Unknown owner - %ProgramFiles%\Windows Media Player\wmpnetwk.exe (file missing)

(נגיד שנתעלם ממה שכתוב כי לי ולו (לזה שפתח את הפוסט באנגלית )יש ואתה בעיה )

אז אני ממשיך ומוריד את התוכנה * Download Dr.Web CureIt to the desktop:

ftp://ftp.drweb.com/pub/drweb/cureit/drweb-cureit.exe

ואפעל עכשיו על פי ההוראות .

אודיע בהמשך על התוצאות .

תודה רבה !

[Vampire_Master]

למה כל זה ?

תוריד קאספרסקי וגמרנו עם הסיפור

http://dnl-pr1.kaspersky-labs.com/trial/registered/3NKDGRXIM7FJ5ZTSIAFW/kis7.0.1.325en.exe

יותר קצר לפי דעתי

איך שתרצה אחי , בחירה שלך