Detektovana infekcija IP adrese by lega99

Ctfmon.exe
dsidebar.exe
vsocklib.dll - novi VMware

HijackThis uvek prijavljuje ctfmon.exe vec mi se zgadlo koliko puta sam taj file slao na analizu.
HijackThis prijavio je crveno ova tri fajla, poslao sva tri fajla na Virus Total sve cisto.

Sve ovo pisem jer i meni Malwarebytes prijavljuje na tri IP infekciju, jedna od tih IP je Benchmark forum. Kada sa ADSL predjem na dial-up nema prijavljivanja bilo kakve infekcije.

Host file je Spyboot malo filovo a i ja. Idemo dalje...

Pokreni HijackThis i cekiraj kvadrat ispred ove linije

O17 - HKLM\System\CCS\Services\Tcpip\..\{13ED3C5E-5695-46B1-A09B-252C4F9A8E0B}: NameServer = 80.74.14.249,208.67.222.222,208.67.220.220,80.74.164.12,80.74.164.52,156.154.70. 1,156.154.71.1,67.138.54.100,207.225.209.66

Klikni "Fix checked"

Onda uradi sledece:
Start > Run. upisi ipconfig /flushdns enter.

ctfmon.exe je deo Microsoft Office-a koji je zaduzen za kontolu unosa teksta alternativnim putevima (prepoznavanje govora, rukopisa, drugi kodni raspored, itd.) Dovoljno je da u Windowsu imas podesenu tastaturu tako da mozes da biras izmedju engleske i srpske, i ctfmon.exe ce ti garantovano biti u startupu i HJT ce ga prikazati na spisku.

Ali to su DNS serveri mog provajdera i free DNS serveri koje sam ja upisao
Free fast Public DNS Servers List

208.67.222.222
208.67.220.220

@Dashkes,

Molim odgovor, obrisani moji postovi, DA ili NE. Ja sam stariji covek ne smem da se nerviram a ovako samo se unosi pometnja.
Altke koje se u ovom postu predlazu diskutabilna je njihova efikasnost i pouzdanost.

Nista mi vise nije jasno, neko unosi pometnju sad ima dve teme sa istim naslovom a jedna je sa RE: i u noj je moj post

Neko moderira, cepa postove i samo me zbunjuje

Vasi postovi nisu niti brisani niti cepani. Svi su prebaceni u ovu temu koja je posvecena vasem problemu.
Ne mozemo u jednoj temi da razmatramo 3 problema, zato sam za Vas odvojio ovu temu. Mislim da ce ovako biti efektivnije i lakse.

Hvala, poceo sam da mislim da mi se prividja ili da se neko igra sa nekim trojancem i salje mi razne sadrzaje.

http://samspade.org/whois/80.74.14.249

Da li je ovo tvoj provajder, dobro pogledaj lliniju koju sam ti rekao da fixas.

address: Japan

Adresa koju si ti upisao je legitimna

http://samspade.org/whois/208.67.222.222

btw.
Imas dve linije 017, jedna je tvoj provajder i ova koju sam ti rekao da fixas, gde postoje nekoliko ip adresa, tvog provajdera, opendns i neke nebulozne adrese, 3 ili 4 nisam brojao, samo fali UkrTeleGroup Odesa pa da je drusto na okupu.

Kristi ja sam tu adresu uzeo iz rutera, ruter sam uzima 2 DNS adrese, zvao sam tehnicku podrsku oni kazu da je to njihova adresa. Tu adresu stavio sam pre dva dana, pre toga imao sam druge DNS adrese, stavljao sami i one free DNS servere.
Meni sve lici da Malwarebytes daje false alarme. Danas sam se opet okacio na dial-u kod drugog provajdera, nista nema alrama, ugasim i upalim Malawarebytes ono pocnu alarm. Nema logike program aktivan i nista, onda ga ugasim i upalim i onda ima alarm. Ta opcija je uvedena u ovoj verziji Malwarebytes tako da sve vise sumljam da je do programa je mi je van pameti da javlja napad sa Benchmarka.
Provericu jos jednom IP DNS preko drugih programa na netu.

Ok da li si ovako upisao IP adrese, sve jedno i u ruteru, ali mislim na ove zadnje dve sa slike. one su ok, bune me ostale ip adrese, da li su ti poznate ?

Pogledaj ti sad sta ruter dobija za DNS adrese. Pogledaj datume, tada nije ni postojao internet, takoje od kad imam ovaj ruter, pre je bila neka konfiguracija od Eunet-a, sad vidim da su naredjali svasta i plus te DNS adrese ruter sam dobija. Sad sta je starije to sto pise u ruteru ili sto ja upisem u windowsu, pre ce biti ovo iz rutera.

Sve adrese upisao sam rucno u windowsu kad kliknes na advanced mozes da upises jos DNS servera, mozes kartici da das vise IP adresa...

Tebe zbunjuju dve 017 linije ja imam dve network kartice, jedna kartica sluzi za net a druga za lokalnu mrezu. Ta kartica koja sluzi za lokalnu mrezu formalno ima DNS, samo nema upisan gateway i tako se sva komunikacija obavlja u lokalnoj mrezi preko te kartice, IP adrese kartica su fiksne ja sam tako nasetovao. Sad sam presetovao ruter izbacio auto discovered stavio fiksne free DNS servere ali i dalje u logu rutera pojavljuje se one adrese, on ih i dalje uzima iako je disable auto discovered.

Sad sam video pogresno sam upisao 80.74.14.249 a treba 80.74.164.249. To nije relevantno to sam upisao u subotu a problem se pojavio pre te izmene.

Ok to su sve adrese NEOBEE i ona adresa opendns je ok. Uopste me ne buni sto imas dve 017 linije.
Odradi slobodno sto sam ti napisao i obavezno odradi brisanje dns cache. Imas neke nebulozne adrese iz Usa, UK i sta ti ja znam, verovatno i tebi nepoznate.

Free Public DNS Server

Service provider: ScrubIt
Public dns server address:

* 67.138.54.100
* 207.225.209.66
67.138.54.100, 207.225.209.66

Service provider:dnsadvantage
Dnsadvantage free dns server list:

* 156.154.70.1
* 156.154.71.1

156.154.70.1, 156.154.71.1


Service provider:OpenDNS
OpenDNS free dns server list:

* 208.67.222.222
* 208.67.220.220

Obrisao sam i ispraznio DNS cache,to radim skoro svaki dan, ostavio sam samo OpenDNS.
Ove adrese sto kazes da su bezvezne su sa istog linka koji sam ti vec postovao.
Nema nikakvih promena i dalje javlja infekciju sa Benchmarka i ne pusta me tamo.

Moj zakljucak je da Malwarebytes ne valja, modul IP zastita i da daje false alarm. Veceras sam eksperimentisao, otvorim bookmars, izaberem benchmark, properties i Malwarebyte se vec oglasava, nema logike jer nisam nigde uspostavio konekciju samo sam gledao bookmarks.
Pustio sam posle podne iz safe moda Dr.Web CureIt!, kod mene skeniranje mnogo duze traje jer mi je masina stara. Odradio sam prvo quick scan a onda pustio full. Prekinuo sam skeniranje, i odabrao da brise fajl u kojem se nalazi mozda virus, nije bilo da je 100% nego mozda. Fajl nisam nikad ni koristio niti ga otvarao. Dr.Web CureIt! je odradio brisanje ali kad sam uradio restart XP masine docekao me je chkdsk koji je pronasao greske na disku i to je ispravio. Masina mi je stara 5 godina ali diskovi nisu i pre neki dan sam radio chkdsk a juce je Ubuntu radio svoju proveru particija i sve je ok. XP i Ubuntu dele isti disk, dual boot.
Stavio sam na disk file koji u sebi sadrzi pwdump i ponovi postupak iz safe moda, Dr.Web CureIt! je detektovao fajl kao opasan, stopirao sam pretragu i odabrao brisanje tog fajla. Fajl je obrisan ali me je opet kod restarta docekao chkdsk i opet je radio ispravku na disku. Da ne bude zabune uradio sam par restarta i gasenja masine i nije bilo problema da se sam startuje chkdsk. Ovomi se nije desavalo kad sam prosle godine podigao masinu sa linux live CD Dr.Web i radio proveru.

@Dashkes,

Da li je jos neko imao problem kao sto je moj, mislim na brisanje fajlova?

Jeste li stopirali ili sacekali da zavrsi skeniranje? Ako niste, skinite svezi Dr.Web CureIt! i odradite Kompletno skeniranje i pokazite log (zapakujte u ".rar" arhivu i upload-ujte) koji se nalazi u C:\Documents and Settings\USERNAME\DoctorWeb\.

Stopirao sam skeniranje u oba slucaja. Skinucu najsveziju verziju i pokusati nocas da pustim komplet scan, nadam se da ce zavrsiti u toku sutrasnjeg dana. Kad zavrsi poslacu zapakovani log. :)

@Dashkes,

Evo izvestaja....
Uvece sam skinuo DR.Web Cure It najnoviju verziju. Podigao masinu u safe modu odradio brzo skeniranje i onda pustio full.
To je radilo celu noc...Ujutro upalim monitor i na ekranu nadjem sledecu poruku:

Spustio sam OS i podigao normalno OS ali me je opet docekao CHKDSK, situacija sad nije nimalo naivna, unisteni su mi neki fajlovi.
Jedanput je slucajnost, dvaput je slucajnost ali treci puta nije slucajnost...
U normalnom radu nisam imao nikakvih problema osim te indikacije koju je davao Malwarebytes na IP Benchmark foruma i IP Softarhiv.net.
E sad se ja pitam sta je izazvalo ove probleme, 535r7xp.exe ja nemam na disku, da li je to deo Dr.Web-a ili je virusni kod?
Da li De Web moze da radi uz Eset Smart Security jer ja smatram da je ESS podignut i kad je masina u Safe modu, koliko se secam
ESS kad radi instalaciju radi i kompajliranje nekog svog modula. Da bi se ESS ubio potrebno je u uci u servise a u isto vreme
iz task managera ubiti njegove taskove i odmah brzo stopirati ESS service i uraditi disable.
Koliko vidim Mozilla Firefox 3.5.3 koja je juce izasla je ostecena a tek treba da nadjem vremena da vidim sta je sve osteceno.
Izvestaj o skeniranju prikacicu dok ga nadjem i upakujem

Nastavak....
Log fiel je prazan a po delu starog izvestaja od kojeg sam sacuvao ovo parcence file koji je izazvao pad i havariju je
deo Dr.Web Cure It

Cista logika 45dx7XP.exe bilo 2009-09-07 sada 535r7xp.exe znaci fajl je deo Dr. Web Cure It.
Ovo mi bas nije trebalo...
Sta ja sad mogu da zakljucim, virus? nekompatibilnost programa sa mojom masinom? U najcrnjem scenariju ubijanje konkurencije?
OS mi je azuran jer me ESS obavestava i primorava da odem na Microsoft i uradim kriticni update.

Pre ce biti nekompatibilnost programa. ESS je bio ukljucen tokom skeniranja? Mozete da iskljucite ESS u normal mode-u i da skenirate?
P.S. Moze dump Dr.Watson-a?