SCAGENT.EXE, jak ho dostranit ?

[TomCZ]

Ahoj, prosím, dokážete mi někdo poradit, jak se zbavit viru/spyware scagent.exe ? Prohledal jsem googlem vše možné, ale nikde jsem nenašel odpověď, kterou bych pochopil a dokázal použít k odstranění.

Pak bych se ještě zeptal, zda jesou v pořadku procesy svchost.exe a services.exe, nebo zda jsou to nějaké spyware ? Jestli jsem dobře pochopil z různých článků na webu, tak svchost by měl být OK.[/b]

[Lemra]

Ahoj, prosím, dokážete mi někdo poradit, jak se zbavit viru/spyware scagent.exe ? Prohledal jsem googlem vše možné, ale nikde jsem nenašel odpověď, kterou bych pochopil a dokázal použít k odstranění.

Pak bych se ještě zeptal, zda jesou v pořadku procesy svchost.exe a services.exe, nebo zda jsou to nějaké spyware ? Jestli jsem dobře pochopil z různých článků na webu, tak svchost by měl být OK.[/b]

Začnu odzadu - oba procesy (svchost i services) jsou v pořádku, ale... hodně záleží na tom, jak je systém infikován. Pokud skutečným Win32 virem, můžou být oba soubory infikovaný (obecně provedou svůj kód a potom volají rutinu původního procesu, nyní přejmenovaného).

Pošli mě výpis z HiJackThis a scagent.exe (nebo klidně i zbylý dva exáče) zabal (2x, jednou nestačí - rezidentní scan na mailserveru mě viry killne... ) a pošli mě mailem. Mrknu na to.

[TomCZ]

posláno do mailu. EXE soubory jsem každá zabalil rarkem do "nazev souboru.rar" a pak jsem to vše ještě dal do soubory.rar. Snad to bude stačit.

[Lemra]

Svchost a services jsou OK. Scagent se nezadařil - 27byte - zkus ho zkopírovat, a nebo v nouzáku. Na log se podívám - jdu na to...

[Lemra]

Na následující soubory se podívej, případně mě je pošli k analýze:

C:\PROGRA~1\MICROS~4\GAMECO~1\Common\SWTrayV4.exe
C:\WINDOWS\system32\CTsvcCDA.EXE
C:\WINDOWS\system32\scagent.exe
C:\WINDOWS\System32\MsPMSPSv.exe
O12 - Plugin for .spop: C:\Program Files\Internet Explorer\Plugins\NPDocBox.dll
O4 - HKLM\..\Run: [SideWinderTrayV4] C:\PROGRA~1\MICROS~4\GAMECO~1\Common\SWTrayV4.exe

Následující klíče v registru smázni, stejně jako šablonu sp.html v local settings/temp (zapni si zobrazení skrytých souborů):

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Bar = file://C:\DOCUME~1\HOMEPC~1\LOCALS~1\Temp\sp.html
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = file://C:\DOCUME~1\HOMEPC~1\LOCALS~1\Temp\sp.html
R1 - HKCU\Software\Microsoft\Internet Explorer\Search,SearchAssistant = file://C:\DOCUME~1\HOMEPC~1\LOCALS~1\Temp\sp.html
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Bar = file://C:\DOCUME~1\HOMEPC~1\LOCALS~1\Temp\sp.html
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = file://C:\DOCUME~1\HOMEPC~1\LOCALS~1\Temp\sp.html
R0 - HKLM\Software\Microsoft\Internet Explorer\Search,SearchAssistant = file://C:\DOCUME~1\HOMEPC~1\LOCALS~1\Temp\sp.html

Pokud nemáš zcela legální instalaci Office (používáš třeba trial ), tohle smázni a povrtej se v nastavení Office, aby si to znovu nezaktivovaly. V opačným případě ponechej:

O16 - DPF: {3E68E405-C6DE-49FF-83AE-41EE9F4C36CE} (Office Update Installation Engine) - http://office.microsoft.com/officeupdat ... t/opuc.cab
O16 - DPF: {6414512B-B978-451D-A0D8-FCFDF33E833C} (WUWebControl Class) - http://v5.windowsupdate.microsoft.com/v ... 0011372984

[TomCZ]

Tak jsem ti zkoušel ještě jednou poslat ten soubor scagent.exe, ale zdá se, že to neprošlo. Když jsem dával svůj dotaz sem, dal jsem ho i na www.mojehobby.cz a někdo tam našel tohle http://www.grisoft.cz/virbase/virbase.p ... z&type=web. Mysliš, že je to taky možnost ?

[TomCZ]

Tak jsem ti zkoušel ještě jednou poslat ten soubor scagent.exe, ale zdá se, že to neprošlo. Když jsem dával svůj dotaz sem, dal jsem ho i na www.mojehobby.cz a někdo tam našel tohle http://www.grisoft.cz/virbase/virbase.p ... z&type=web. Mysliš, že je to taky možnost ?

[Lemra]

Mysliš, že je to taky možnost ?

Určitě - pokud tam ty soubory máš, není co řešit a postupuj podle návodu. Pokud soubor nebudu mít, nejsem schopen dát Ti přesnější info.

[TomCZ]

Zkusím ti ho poslat, až budu doma. Tady na PC ho nemám.

Možná bych se ještě zeptal, co si myslíš o Lavasoft Ad-Aware SE v souvislosti s těmito spyware.
No a ještě uvažuji o tom, že asi opustím IE a nainstaluji Firefox a pokud na něm něco nepoběží (např. Windows Update apod., tak použiju IE).

[Lemra]

Zkusím ti ho poslat, až budu doma. Tady na PC ho nemám.

Možná bych se ještě zeptal, co si myslíš o Lavasoft Ad-Aware SE v souvislosti s těmito spyware.
No a ještě uvažuji o tom, že asi opustím IE a nainstaluji Firefox a pokud na něm něco nepoběží (např. Windows Update apod., tak použiju IE).

AdAvare není špatnej, ale z free aplikací tohoto typu preferuji SpyBotSD. Jinak existují lepší, ale placený řešení. Protože však KAV ve verzi 5 detekuje spyware ještě líp, než tyhle jednoúčelový softy, využívám již pouze jeho služeb.

FireFox je úplně v pohodě - zatím. Jakmile se rozšíří, bude mít stejný problémy s útoky jako IE, protože taky nepochybně není bezchybný - už proto, že běží na děravým OS...

Bez IE se neobejdeš, pokud používáš některý specifický i-bankingový softy, jinak ho FireFox plně nahradí.

[TomCZ]

Jo, to je jasné, že pokdu se rozšíří Firefox, nastanou také problémy, ale snad bude pořád dost těch pohodlných uživatelů IE, kteří nebudou chctít používat nic jiného. Samozřejmě počítám s tím, že vedle Firefoxu budu mít nasintalovaný i IE. Myslím, že Firefox ho nepřeinstaluje. Ono asi není tak lehké se IE zbavit. Ještě si pamatuji, že před lety jsem chtěl udělat downgrade z IE6 na IE5 a to byl dcela horor.
Na SpyBotSD se mrknu, ale co je ten KAV ?

[howard]

Opustit IE je urcite dobra vec. Ja jsem to jiz udelal pred 4 roky

[Lemra]

...ale co je ten KAV ?

Kaspersky Anti Virus (kdysi dávno začínal jako AVP - AntiViral Toolkit Pro - a taky byl nejlepší...) - více třeba tady

http://forum.pctuning.cz/viewtopic.php?t=17297

[TomCZ]

.. jojo, díky, já už to taky našel.
Teď už jedu z Firefoxu, akorát tu nemůžu nikde najít volbu vypnutí automatického dokončování adresy a vypnutí předvyplňbování formulářů ....

Ten SpyBot taky vypadá dobře. Ješte něco našel i po Adwaru

[TomCZ]

Jo, málem bych zapomněl. Tuhle DIGFILT.DLL jsem nenašel, jen toho SCAGENT.EXE a toho jsem vymazal.

[howard]

.. jojo, díky, já už to taky našel.
Teď už jedu z Firefoxu, akorát tu nemůžu nikde najít volbu vypnutí automatického dokončování adresy a vypnutí předvyplňbování formulářů

Na to je plugin, zkoukni seznam vsech dostupnych rozsireni - prijdi si je a vybav si svuj firefox tim, co skutecne potrebujes, v tom je jeho kouzlo.

Autofill 0.2

[TomCZ]

... ale těch pluginů je asi 1000, něcojsem si už nainstaloval, ale nevím, ve kterém by mělo být tohle zrušení automatického dokončování.