Šta je ovo ? nowfind.net

Već danima kuburim sa nečim što mi napada IE. Promeni mi start stranicu na nowfind.net i u registriju ubaci tu putanju na petnaestak ključeva koji se odnose na Internet Explorer.
U Windows/system32
postavi desetak dll i nekoliko trf00.exe trf01.exe ...
a na desktop ubaci par fajlova koji kad se gledaju npr. UltraEditom sadrže javasctip kod.

Imam tri antivirus programa i nijedan ništa ne otkriva, a ne otkriva ništa ni AdAware.
Samo HijackThis pronađe šta se nalazi u registriju i to preko njega otklonim. Ostale stvari pobrišem ručno, očistim temp, restartujem mašinu i sve je OK. Ako odem na mrežu preko Firefoxa sve radi dobro. Ako počnem da surfujem sa IE za par minuta ponovo zakačim ovu napast.
Zadnji put sam ga zakačio posle dva mirna dana dok sam pregledavao neke svoje html fajlove na disku, a mreža je bila otvorena.
Šta je ovo ?

Otkrio sam šta sve ova napast radi( možda nije sve ali je u svakom slučaju mnogo)
1. na windows/system32 postavi desetak .dll fajlova od kojih je verovatno važan samo jedan, a ostali su tu valjda da naprave pometnju
2. na isti folder postavi i tmpf000.exe, tmpf001.exe ... i tako nekoliko sve valjda dok ga ne primetim pa počnem sa čišćenjem. Postavi nekakve cmd.dat i još jedan .dat(zaboravio sam mu ime). Neki od ovih tmpf00n.exe se mogu videit i kao aktivni procesi i moraju se tamo stopirati da bi se ovi fajlovi iz windows/system32 obrisali.
Svi ti fajlovi se lako mogu prepoznati po datumu i vremenu kada su modifikovani.

3. U Favourites Internet Explorera postavi 4 shortcuta na nekakve porno sajtova, a jedan je obavezno www.nowfind.net/n004(ili 5,6 ...)
3. U registry bazi se promeni petnaestak ključeva koji se odnose na InternetExplorer. To su oni ključevi koji ukazuju na default start stranicu, search stranice ...
4. Takođe promene se i neki ključevi koji se odnose na InternetExplorer a u sebi kriju www, home, mosaic (na znam šta to znači, ali pretpostavljam da je to nekakav assistant koji IE govori kako da dopuni adrese kada se ne otkuca ceo URL).
5. Ova napast mi promeni i HOSTS fajl. Ukloni mi stari i napravi samo jedan koji u sebi ima samo liniju

msdn.auto.... (ili auto.msdn...) 127.0.0.1

6. Na desktop mi ubaci nekoliko fajlova koji se zovu t2, 4you(bez tipa) i u njima je tekst koji liči na JavaScript). Ubaci i neki fajl a135.js koji u sebi ima dugačak javascript kod koji nemam živaca da dešifrujem.


I to je to.

Kada počistim sve što znam da treba, pomoću HijackThis, i ostalih anti virusnih i antispyware programa u safe modu i u normal modu računar je čist(bar ja tako mislim). Sve dok surfujem pomoću Firefoxa ne nailazim na probleme. Ali kako pokrenem IE, i to ne da bih surfovao već da bih pogledao neki html na disku u roku od manje od 10 minuta ulovim napast. Odmah vidim na desktopu fajl t2, nekad i još neki, odmah zatim i fajlove na system32 folderu, a HijackThis mi pokaže šta je zabrljano u registriju i vidim da je HOSTS fajl promenjen.
Znači, ako se odreknem IE mogu da budem miran, ali mene više kopka da li sam počistio sve što je trebalo, ili IE ima neku rupu koju pomoću nekakvog servicepacka treba da zapušim. Napominjem da nisam instalirao SP2, jer imam e-banking pa su mi u banci rekli da to ne radim jer njihov program ne radi sa SP2. Zato mi popravka XP pomoću SP2 ne paše, ali bi mi dgovarala nekakva zakrpa za IE.

Pokušao sam da ti pošaljem sve što sam zadnji put zakačio, ali mi je pismo odbijeno zbog "Illegal attachment" . Ne znam da li je to odbio moj ili tvoj mail server. Da li je pametno da na ovom forumu zakačim fajl sa virusima ?
OK, kačim uz ovu poruku.
A pismo koje sam ti uz to napisao glasi:

Evo i nekih novosti vezanih za MS AntiSpyware:

The computer underground keeps a close eye on Microsoft. The AntiSpyware tool, despite being only a beta, has already inpsired new malware:

Trojan-Clicker.Win32.Agent.bm, for instance

or Trojan-Dropper.Win32.Agent.ed


We urge users to treat unsolicited files from the Internet with suspicion. These Trojans have been added to our databases and descriptions will be available soon.

Update: a description for Trojan-Clicker.Win32.Agent.bm is now available.
http://www.viruslist.com/en/viruses/encyclopedia?virusid=70306

Evo skenirah ga i ja sa mojim F-Secure Internet Security 2005

Malicious code found in file D:\VIRUSI\JS\A175AA.JS.
Infection: Trojan-Downloader.JS.Small.af
Action: The file was deleted.

to je dao pri samom raspakivanju .zip

a sken arhive je dao ovo:

Result: 1 viruses found

* D:\virusi\js\js.zip\a175aa.js Infection: Trojan-Downloader.JS.Small.af

Potpis

Now you're runnin', a?

A evo i za error.zip

pri raspakivanju...

Malicious code found in file D:\VIRUSI\ERROR\ERROR\SYSTEM32\MTWIRL.DLL.
Infection: Trojan.Win32.StartPage.mz
Action: The file was deleted.

sken arhive

D:\virusi\error\Error.zip\Error\system32\mtwirl.dll Infection: Trojan.Win32.StartPage.mz

Potpis

Now you're runnin', a?