PCTuning fórum

Ahoj, prosím, dokážete mi někdo poradit, jak se zbavit viru/spyware scagent.exe ? Prohledal jsem googlem vše možné, ale nikde jsem nenašel odpověď, kterou bych pochopil a dokázal použít k odstranění.

Pak bych se ještě zeptal, zda jesou v pořadku procesy svchost.exe a services.exe, nebo zda jsou to nějaké spyware ? Jestli jsem dobře pochopil z různých článků na webu, tak svchost by měl být OK.[/b]

TomCZ píše:Ahoj, prosím, dokážete mi někdo poradit, jak se zbavit viru/spyware scagent.exe ? Prohledal jsem googlem vše možné, ale nikde jsem nenašel odpověď, kterou bych pochopil a dokázal použít k odstranění.

Pak bych se ještě zeptal, zda jesou v pořadku procesy svchost.exe a services.exe, nebo zda jsou to nějaké spyware ? Jestli jsem dobře pochopil z různých článků na webu, tak svchost by měl být OK.[/b]

Začnu odzadu - oba procesy (svchost i services) jsou v pořádku, ale... hodně záleží na tom, jak je systém infikován. Pokud skutečným Win32 virem, můžou být oba soubory infikovaný (obecně provedou svůj kód a potom volají rutinu původního procesu, nyní přejmenovaného).

Pošli mě výpis z HiJackThis a scagent.exe (nebo klidně i zbylý dva exáče) zabal (2x, jednou nestačí - rezidentní scan na mailserveru mě viry killne... ) a pošli mě mailem. Mrknu na to.

posláno do mailu. EXE soubory jsem každá zabalil rarkem do "nazev souboru.rar" a pak jsem to vše ještě dal do soubory.rar. Snad to bude stačit.

Svchost a services jsou OK. Scagent se nezadařil - 27byte - zkus ho zkopírovat, a nebo v nouzáku. Na log se podívám - jdu na to...

Na následující soubory se podívej, případně mě je pošli k analýze:

C:\PROGRA~1\MICROS~4\GAMECO~1\Common\SWTrayV4.exe
C:\WINDOWS\system32\CTsvcCDA.EXE
C:\WINDOWS\system32\scagent.exe
C:\WINDOWS\System32\MsPMSPSv.exe
O12 - Plugin for .spop: C:\Program Files\Internet Explorer\Plugins\NPDocBox.dll
O4 - HKLM\..\Run: [SideWinderTrayV4] C:\PROGRA~1\MICROS~4\GAMECO~1\Common\SWTrayV4.exe

Následující klíče v registru smázni, stejně jako šablonu sp.html v local settings/temp (zapni si zobrazení skrytých souborů):

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Bar = file://C:\DOCUME~1\HOMEPC~1\LOCALS~1\Temp\sp.html
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = file://C:\DOCUME~1\HOMEPC~1\LOCALS~1\Temp\sp.html
R1 - HKCU\Software\Microsoft\Internet Explorer\Search,SearchAssistant = file://C:\DOCUME~1\HOMEPC~1\LOCALS~1\Temp\sp.html
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Bar = file://C:\DOCUME~1\HOMEPC~1\LOCALS~1\Temp\sp.html
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = file://C:\DOCUME~1\HOMEPC~1\LOCALS~1\Temp\sp.html
R0 - HKLM\Software\Microsoft\Internet Explorer\Search,SearchAssistant = file://C:\DOCUME~1\HOMEPC~1\LOCALS~1\Temp\sp.html

Pokud nemáš zcela legální instalaci Office (používáš třeba trial ), tohle smázni a povrtej se v nastavení Office, aby si to znovu nezaktivovaly. V opačným případě ponechej:

O16 - DPF: {3E68E405-C6DE-49FF-83AE-41EE9F4C36CE} (Office Update Installation Engine) - http://office.microsoft.com/officeupdat ... t/opuc.cab
O16 - DPF: {6414512B-B978-451D-A0D8-FCFDF33E833C} (WUWebControl Class) - http://v5.windowsupdate.microsoft.com/v ... 0011372984

Tak jsem ti zkoušel ještě jednou poslat ten soubor scagent.exe, ale zdá se, že to neprošlo. Když jsem dával svůj dotaz sem, dal jsem ho i na www.mojehobby.cz a někdo tam našel tohle http://www.grisoft.cz/virbase/virbase.p ... z&type=web. Mysliš, že je to taky možnost ?

Tak jsem ti zkoušel ještě jednou poslat ten soubor scagent.exe, ale zdá se, že to neprošlo. Když jsem dával svůj dotaz sem, dal jsem ho i na www.mojehobby.cz a někdo tam našel tohle http://www.grisoft.cz/virbase/virbase.p ... z&type=web. Mysliš, že je to taky možnost ?

TomCZ píše: Mysliš, že je to taky možnost ?

Určitě - pokud tam ty soubory máš, není co řešit a postupuj podle návodu. Pokud soubor nebudu mít, nejsem schopen dát Ti přesnější info.

Zkusím ti ho poslat, až budu doma. Tady na PC ho nemám.

Možná bych se ještě zeptal, co si myslíš o Lavasoft Ad-Aware SE v souvislosti s těmito spyware.
No a ještě uvažuji o tom, že asi opustím IE a nainstaluji Firefox a pokud na něm něco nepoběží (např. Windows Update apod., tak použiju IE).

TomCZ píše:Zkusím ti ho poslat, až budu doma. Tady na PC ho nemám.

Možná bych se ještě zeptal, co si myslíš o Lavasoft Ad-Aware SE v souvislosti s těmito spyware.
No a ještě uvažuji o tom, že asi opustím IE a nainstaluji Firefox a pokud na něm něco nepoběží (např. Windows Update apod., tak použiju IE).

AdAvare není špatnej, ale z free aplikací tohoto typu preferuji SpyBotSD. Jinak existují lepší, ale placený řešení. Protože však KAV ve verzi 5 detekuje spyware ještě líp, než tyhle jednoúčelový softy, využívám již pouze jeho služeb.

FireFox je úplně v pohodě - zatím. Jakmile se rozšíří, bude mít stejný problémy s útoky jako IE, protože taky nepochybně není bezchybný - už proto, že běží na děravým OS...

Bez IE se neobejdeš, pokud používáš některý specifický i-bankingový softy, jinak ho FireFox plně nahradí.

Jo, to je jasné, že pokdu se rozšíří Firefox, nastanou také problémy, ale snad bude pořád dost těch pohodlných uživatelů IE, kteří nebudou chctít používat nic jiného. Samozřejmě počítám s tím, že vedle Firefoxu budu mít nasintalovaný i IE. Myslím, že Firefox ho nepřeinstaluje. Ono asi není tak lehké se IE zbavit. Ještě si pamatuji, že před lety jsem chtěl udělat downgrade z IE6 na IE5 a to byl dcela horor.
Na SpyBotSD se mrknu, ale co je ten KAV ?

Opustit IE je urcite dobra vec. Ja jsem to jiz udelal pred 4 roky

TomCZ píše:...ale co je ten KAV ?

Kaspersky Anti Virus (kdysi dávno začínal jako AVP - AntiViral Toolkit Pro - a taky byl nejlepší...) - více třeba tady

http://forum.pctuning.cz/viewtopic.php?t=17297

.. jojo, díky, já už to taky našel.
Teď už jedu z Firefoxu, akorát tu nemůžu nikde najít volbu vypnutí automatického dokončování adresy a vypnutí předvyplňbování formulářů ....

Ten SpyBot taky vypadá dobře. Ješte něco našel i po Adwaru

Jo, málem bych zapomněl. Tuhle DIGFILT.DLL jsem nenašel, jen toho SCAGENT.EXE a toho jsem vymazal.

TomCZ píše:.. jojo, díky, já už to taky našel.
Teď už jedu z Firefoxu, akorát tu nemůžu nikde najít volbu vypnutí automatického dokončování adresy a vypnutí předvyplňbování formulářů

Na to je plugin, zkoukni seznam vsech dostupnych rozsireni - prijdi si je a vybav si svuj firefox tim, co skutecne potrebujes, v tom je jeho kouzlo.

Autofill 0.2

... ale těch pluginů je asi 1000, něcojsem si už nainstaloval, ale nevím, ve kterém by mělo být tohle zrušení automatického dokončování.