Neustale stahovanie

ferks

Jedna sa o sestrin notas acer s Windows 7 CZ
Eset SS aktualny. nic nenasiel
Spybot S&D aktualny nic nenasiel
Windows def aktualny nic nenasiel.
Sestra sa cez moj Wifi spot pripoji na internet a hned jej notebook zacne plnou rychlostou stahovat nejake data. Nema ziadny p2p soft ani ine sracky. Nestahuje sa cez aplikaciu cize ani eset smart security to pripojenie nevidi. Pripojenie som nasiel iba v programe netlimiter 3. Spojenie ide cez UDP na IP 84.16.43.2 (co je IP mojho providera Slovanet)port 1234. Spojenie sa v netlimiteri neda ukoncit iba obmedzit na 5 kB/s. Spojenie sa niekedy naklonuje a musim ho znova len obmedzit.
trufne si niekto poradit ako sa tohto zbavit? Netlimiter mam uz len na 9 dni, tak dufam, ze niekto pomoze
Screeny su tu:

moderatorovi bez podpisu, dakujem za info

Príspevok od používateľa **Grim** » 22 mar 2013, 18:59

...nainštaluj COMODO Firewall...ten ukazuje všetky aktívne pripojenia priradené ku konkrétnej aplikácii...tak ľahko zistíš, ktorá aplikácia ti ten prenos robí...

hrban

hoď sem log z HJT

ferks

ten fw skusim zajtra, potom napisem ci som zistil nieco nove
hijackthis.de bol spokojny, ale tu je:

Kód: Vybrať všetko

Logfile of Trend Micro HijackThis v2.0.4
Scan saved at 23:36:16, on 22. 3. 2013
Platform: Windows 7 SP1 (WinNT 6.00.3505)
MSIE: Internet Explorer v10.0 (10.00.9200.16521)
Boot mode: Normal

Running processes:
C:\Windows\system32\taskhost.exe
C:\Windows\system32\Dwm.exe
C:\Windows\Explorer.EXE
C:\Windows\System32\rundll32.exe
C:\Windows\System32\igfxtray.exe
C:\Windows\System32\hkcmd.exe
C:\Windows\System32\igfxpers.exe
C:\Program Files\Launch Manager\LManager.exe
C:\Program Files\Synaptics\SynTP\SynTPEnh.exe
C:\Program Files\Synaptics\SynTP\SynTPHelper.exe
C:\Program Files\ESET\ESET Smart Security\egui.exe
C:\Program Files\Google\Chrome\Application\chrome.exe
C:\Program Files\Google\Chrome\Application\chrome.exe
C:\Program Files\Google\Chrome\Application\chrome.exe
C:\Program Files\Skype\Phone\Skype.exe
C:\Program Files\Google\Chrome\Application\chrome.exe
C:\Program Files\Google\Chrome\Application\chrome.exe
C:\Program Files\VideoLAN\VLC\vlc.exe
C:\Program Files\Google\Chrome\Application\chrome.exe
C:\Program Files\NetLimiter 3\NLClientApp.exe
F:\hijackthis.exe

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = http://go.microsoft.com/fwlink/?LinkId=54896
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://go.microsoft.com/fwlink/?LinkId=69157
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://go.microsoft.com/fwlink/p/?LinkId=255141
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://go.microsoft.com/fwlink/?LinkId=54896
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = http://go.microsoft.com/fwlink/?LinkId=54896
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = http://go.microsoft.com/fwlink/p/?LinkId=255141
R0 - HKLM\Software\Microsoft\Internet Explorer\Search,SearchAssistant = 
R0 - HKLM\Software\Microsoft\Internet Explorer\Search,CustomizeSearch = 
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = 
O2 - BHO: AcroIEHelperStub - {18DF081C-E8AD-4283-A596-FA578C2EBDC3} - C:\Program Files\Common Files\Adobe\Acrobat\ActiveX\AcroIEHelperShim.dll
O2 - BHO: Groove GFS Browser Helper - {72853161-30C5-4D22-B7F9-0BBC1D38A37E} - C:\PROGRA~1\MICROS~1\Office14\GROOVEEX.DLL
O2 - BHO: URLRedirectionBHO - {B4F3A835-0E21-4959-BA22-42B3008E02FF} - C:\PROGRA~1\MICROS~1\Office14\URLREDIR.DLL
O2 - BHO: Microsoft Web Test Recorder 10.0 Helper - {DDA57003-0068-4ed2-9D32-4D1EC707D94D} - C:\Program Files\Microsoft Visual Studio 10.0\Common7\IDE\PrivateAssemblies\Microsoft.VisualStudio.QualityTools.RecorderBarBHO100.dll
O4 - HKLM\..\Run: [IgfxTray] C:\Windows\system32\igfxtray.exe
O4 - HKLM\..\Run: [HotKeysCmds] C:\Windows\system32\hkcmd.exe
O4 - HKLM\..\Run: [Persistence] C:\Windows\system32\igfxpers.exe
O4 - HKLM\..\Run: [LManager] C:\Program Files\Launch Manager\LManager.exe
O4 - HKLM\..\Run: [SynTPEnh] %ProgramFiles%\Synaptics\SynTP\SynTPEnh.exe
O4 - HKLM\..\Run: [Adobe ARM] "C:\Program Files\Common Files\Adobe\ARM\1.0\AdobeARM.exe"
O4 - HKLM\..\Run: [BCSSync] "C:\Program Files\Microsoft Office\Office14\BCSSync.exe" /DelayServices
O4 - HKLM\..\Run: [egui] "C:\Program Files\ESET\ESET Smart Security\egui.exe" /hide /waitservice
O4 - HKCU\..\Run: [DAEMON Tools Lite] "C:\Program Files\DAEMON Tools Lite\DTLite.exe" -autorun
O4 - HKCU\..\Run: [Skype] "C:\Program Files\Skype\Phone\Skype.exe" /minimized /regrun
O4 - HKCU\..\Run: [NetLimiter] C:\Program Files\NetLimiter 3\NLClientApp.exe /tray
O4 - HKUS\S-1-5-19\..\Run: [Sidebar] %ProgramFiles%\Windows Sidebar\Sidebar.exe /autoRun (User 'LOCAL SERVICE')
O4 - HKUS\S-1-5-19\..\RunOnce: [mctadmin] C:\Windows\System32\mctadmin.exe (User 'LOCAL SERVICE')
O4 - HKUS\S-1-5-20\..\Run: [Sidebar] %ProgramFiles%\Windows Sidebar\Sidebar.exe /autoRun (User 'NETWORK SERVICE')
O4 - HKUS\S-1-5-20\..\RunOnce: [mctadmin] C:\Windows\System32\mctadmin.exe (User 'NETWORK SERVICE')
O4 - Startup: Dropbox.lnk = Veronika\AppData\Roaming\Dropbox\bin\Dropbox.exe
O8 - Extra context menu item: E&xportovať do programu Microsoft Excel - res://C:\PROGRA~1\MICROS~1\Office14\EXCEL.EXE/3000
O8 - Extra context menu item: Od&oslať do programu OneNote - res://C:\PROGRA~1\MICROS~1\Office14\ONBttnIE.dll/105
O9 - Extra button: Odoslať do programu OneNote - {2670000A-7350-4f3c-8081-5663EE0C6C49} - C:\Program Files\Microsoft Office\Office14\ONBttnIE.dll
O9 - Extra 'Tools' menuitem: Od&oslať do programu OneNote - {2670000A-7350-4f3c-8081-5663EE0C6C49} - C:\Program Files\Microsoft Office\Office14\ONBttnIE.dll
O9 - Extra button: &Prepojené poznámky programu OneNote - {789FE86F-6FC4-46A1-9849-EDE0DB0C95CA} - C:\Program Files\Microsoft Office\Office14\ONBttnIELinkedNotes.dll
O9 - Extra 'Tools' menuitem: &Prepojené poznámky programu OneNote - {789FE86F-6FC4-46A1-9849-EDE0DB0C95CA} - C:\Program Files\Microsoft Office\Office14\ONBttnIELinkedNotes.dll
O11 - Options group: [ACCELERATED_GRAPHICS] Accelerated graphics
O18 - Protocol: skype4com - {FFC8B962-9B40-4DFF-9458-1830C7DD7F5D} - C:\PROGRA~1\COMMON~1\Skype\SKYPE4~1.DLL
O18 - Filter hijack: text/xml - {807573E5-5146-11D5-A672-00B0D022E945} - C:\Program Files\Common Files\Microsoft Shared\OFFICE14\MSOXMLMF.DLL
O23 - Service: Adobe Acrobat Update Service (AdobeARMservice) - Adobe Systems Incorporated - C:\Program Files\Common Files\Adobe\ARM\1.0\armsvc.exe
O23 - Service: Adobe Flash Player Update Service (AdobeFlashPlayerUpdateSvc) - Adobe Systems Incorporated - C:\Windows\system32\Macromed\Flash\FlashPlayerUpdateService.exe
O23 - Service: ESET Service (ekrn) - ESET - C:\Program Files\ESET\ESET Smart Security\ekrn.exe
O23 - Service: Služba Google Update (gupdate) (gupdate) - Google Inc. - C:\Program Files\Google\Update\GoogleUpdate.exe
O23 - Service: Služba Google Update (gupdatem) (gupdatem) - Google Inc. - C:\Program Files\Google\Update\GoogleUpdate.exe
O23 - Service: Live Updater Service - Acer Incorporated - C:\Program Files\Acer\Acer Updater\UpdaterService.exe
O23 - Service: NetLimiter 3 Service (nlsvc) - Locktime Software - C:\Program Files\NetLimiter 3\nlsvc.exe
O23 - Service: Skype Updater (SkypeUpdate) - Skype Technologies - C:\Program Files\Skype\Updater\Updater.exe

--
End of file - 6263 bytes

hrban

nech sa akokoľvek snažím stále mi nejde do hlavy pochopiť ako si na hjt.de nevšimli medzi procesmi
C:\Windows\Explorer.EXE
ja som si robil 6x HJT a nikdy sa mi tam takýto proces nezobrazil a ani by tam nemal byť pochybujem, že eset to potrebuje a ostatné som mal spustené tak ako ty ledaže by si mal spustený nejaký zip súbor ale ináč tam ten proces nemá čo hľadať

AD1 aj pri spustenom ZIP súbore tam ten proces proste nemám a nezdá sa mi, teraz len zistiť či je sám súbor Explorer.exe nakazený alebo nejaký iný proces ho využíva na sťahovanie dát
prdni explorer.exe do https://www.virustotal.com/ a pozri čo bude písať ale skôr si myslím, že na pozadí beží čosi iné

ferks

hrban napísal:prdni explorer.exe do https://www.virustotal.com/ a pozri čo bude písať ale skôr si myslím, že na pozadí beží čosi iné

skontrolovalo to a bez problemov. mozno tam naozaj ten proces frcal. nainsaloval som aj ten firewall, ale uz v noci sa ta IP stratila, takze cakam kym sa tam zas objavi a ako si s tym poradi firewall.

hrban

ale aj tak treba ten bordel nájsť

Cesar

Jasne, že to je nejaký vírus alebo voľačo podobné.

Možno, že by sa oplatilo ešte skontrolovať počítač s Avirou, Kasperskym. Z tej Aviry sa mi zdá, že existuje aj LiveCD, to potom vyčistí všetko a nemôže to blokovať windows, žiadna služba, nič.

Ako posledné riešenie ostáva ešte klasika - windows reinstal.

hrban · Príspevok od používateľa **hrban** » 28 mar 2013, 8:44

ešte mi napadlo jeden program, volá sa combofix, hlavne si prečítaj ako sa obsluhuje a spusti, dobré na čistenie práve takýchto sťahovačov

ferks

Co som nove zistil:
Tych, ktori si mysleli, he v notebooku je nejaka haved sklamem, nic tam nebolo.
Prilozil som schema ako to mam doma zapojene. To stahovanie na notebooku zacne vtedy ked si na svojom stolnom PC zapnem VLC media player a spustim telku cez Sietovy stream SAP co ponuka slovanet. preto sa na notebooku objavi IP adresa slovanetu a ten port 1234 sluzi asi na tu televiziu.
Otazkou ostava ako to nastavit aby to nerobilo...

Neustale stahovanie

Neustale stahovanie

Re: Neustale stahovanie

Re: Neustale stahovanie

Re: Neustale stahovanie

Re: Neustale stahovanie

Re: Neustale stahovanie

Re: Neustale stahovanie

Re: Neustale stahovanie

Re: Neustale stahovanie

Re: Neustale stahovanie