Buffer overrun detected

Zpráva

Spaghett · #1 Příspěvek od **Spaghett** » 07 bře 2007 19:13

Zdravím,
Windows mi poslední dobou (tak 2 dny) píše někdy toto:

Buffer overrun detected!

Program: C:\Windows\explorer.EXE

A buffer overrun has been detected which has corrupted the program´s internal state. The program cannot safely continue execution and must now be terminated.

Tato hlášení se mi začal oběvovat poté co jsem spustil podezřelý program, který ihned po spuštění zmizel. Poté jsem zaznamenal několik pokusů o průnik do procesu Explorer.EXE (zablokoval je Kerio) a také pokus o samovolnou komunikaci procesu explorer.EXE s internetem. Ty jsem přes Firewall zablokoval. Dokonce ani hloubková analýza antivirem tento problém nevyřešila. Předem děkuji za pomoc.

#2 Příspěvek od **riffman** » 07 bře 2007 19:43

vlozte log z Hijackthis - odkaz v mem podpisu

Spaghett · #3 Příspěvek od **Spaghett** » 07 bře 2007 19:44

Logfile of HijackThis v1.99.1
Scan saved at 19:44:03, on 7.3.2007
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v7.00 (7.00.6000.16414)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\SYSTEM32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\Ati2evxx.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\spoolsv.exe
C:\WINDOWS\SYSTEM32\Ati2evxx.exe
C:\WINDOWS\Explorer.EXE
C:\Program Files\Nod32\nod32kui.exe
C:\Program Files\DAEMON Tools\daemon.exe
C:\Program Files\Spy Sweeper\SpySweeperUI.exe
C:\WINDOWS\system32\ctfmon.exe
C:\Program Files\Nokia\Nokia PC Suite 6\PcSync2.exe
C:\Program Files\PeerGuardian2\pg2.exe
C:\WINDOWS\ATKKBService.exe
C:\Program Files\Common Files\Autodesk Shared\Service\AdskScSrv.exe
C:\PROGRA~1\COMMON~1\Nokia\MPAPI\MPAPI3s.exe
C:\Program Files\HDDlife\HDDlifePro.exe
C:\Program Files\Kerio\Personal Firewall 4\kpf4ss.exe
C:\WINDOWS\runservice.exe
C:\Program Files\Common Files\Microsoft Shared\VS7DEBUG\MDM.EXE
C:\Program Files\Autodesk\3dsMax8\mentalray\satellite\raysat_3dsmax8server.exe
C:\Program Files\Nod32\nod32krn.exe
C:\Program Files\Kerio\Personal Firewall 4\kpf4gui.exe
C:\Program Files\Registry Defragmentation\RegManServ.exe
C:\WINDOWS\system32\UAService7.exe
C:\Program Files\Spy Sweeper\SpySweeper.exe
C:\Program Files\Common Files\PCSuite\Services\ServiceLayer.exe
C:\Program Files\Kerio\Personal Firewall 4\kpf4gui.exe
C:\Program Files\FlashGet\flashget.exe
C:\Program Files\Mozilla Firefox\firefox.exe
C:\Program Files\ICQLite\ICQLite.exe
C:\Program Files\Microsoft Office\OFFICE11\OUTLOOK.EXE
C:\Program Files\Microsoft Office\OFFICE11\WINWORD.EXE
C:\Program Files\Football Manager 2007\fm.exe
C:\Program Files\Winamp\winamp.exe
F:\Downloads\HijackThis\HijackThis.exe

R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://go.microsoft.com/fwlink/?LinkId=69157
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://go.microsoft.com/fwlink/?LinkId=54896
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = http://go.microsoft.com/fwlink/?LinkId=54896
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = http://go.microsoft.com/fwlink/?LinkId=69157
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Window Title = Microsoft Internet Explorer
R1 - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings,ProxyServer = 125.244.157.66:8080
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Odkazy
O3 - Toolbar: FlashGet Bar - {E0E899AB-F487-11D5-8D29-0050BA6940E3} - C:\PROGRA~1\FlashGet\fgiebar.dll
O3 - Toolbar: Adobe PDF - {47833539-D0C5-4125-9FA8-0819E2EAAC93} - C:\Program Files\Adobe\Acrobat 7.0\Acrobat\AcroIEFavClient.dll
O4 - HKLM\..\Run: [NeroFilterCheck] C:\WINDOWS\system32\NeroCheck.exe
O4 - HKLM\..\Run: [nod32kui] "C:\Program Files\Nod32\nod32kui.exe" /WAITSERVICE
O4 - HKLM\..\Run: [DAEMON Tools] "C:\Program Files\DAEMON Tools\daemon.exe" -lang 1033
O4 - HKLM\..\Run: [KernelFaultCheck] C:\WINDOWS\system32\dumprep 0 -k
O4 - HKLM\..\Run: [SpySweeper] "C:\Program Files\Spy Sweeper\SpySweeperUI.exe" /startintray
O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\ctfmon.exe
O4 - HKCU\..\Run: [PcSync] "C:\Program Files\Nokia\Nokia PC Suite 6\PcSync2.exe" /NoDialog
O4 - HKCU\..\Run: [PeerGuardian] "C:\Program Files\PeerGuardian2\pg2.exe"
O4 - Startup: HDDlife.lnk = C:\Program Files\HDDlife\HDDlifePro.exe
O8 - Extra context menu item: Convert link target to Adobe PDF - res://C:\Program Files\Adobe\Acrobat 7.0\Acrobat\AcroIEFavClient.dll/AcroIECapture.html
O8 - Extra context menu item: Convert link target to existing PDF - res://C:\Program Files\Adobe\Acrobat 7.0\Acrobat\AcroIEFavClient.dll/AcroIEAppend.html
O8 - Extra context menu item: Convert selected links to Adobe PDF - res://C:\Program Files\Adobe\Acrobat 7.0\Acrobat\AcroIEFavClient.dll/AcroIECaptureSelLinks.html
O8 - Extra context menu item: Convert selected links to existing PDF - res://C:\Program Files\Adobe\Acrobat 7.0\Acrobat\AcroIEFavClient.dll/AcroIEAppendSelLinks.html
O8 - Extra context menu item: Convert selection to Adobe PDF - res://C:\Program Files\Adobe\Acrobat 7.0\Acrobat\AcroIEFavClient.dll/AcroIECapture.html
O8 - Extra context menu item: Convert selection to existing PDF - res://C:\Program Files\Adobe\Acrobat 7.0\Acrobat\AcroIEFavClient.dll/AcroIEAppend.html
O8 - Extra context menu item: Convert to Adobe PDF - res://C:\Program Files\Adobe\Acrobat 7.0\Acrobat\AcroIEFavClient.dll/AcroIECapture.html
O8 - Extra context menu item: Convert to existing PDF - res://C:\Program Files\Adobe\Acrobat 7.0\Acrobat\AcroIEFavClient.dll/AcroIEAppend.html
O8 - Extra context menu item: Download All by FlashGet - C:\Program Files\FlashGet\jc_all.htm
O8 - Extra context menu item: Download using FlashGet - C:\Program Files\FlashGet\jc_link.htm
O8 - Extra context menu item: E&xportovat do aplikace Microsoft Office Excel - res://C:\PROGRA~1\MICROS~2\OFFICE11\EXCEL.EXE/3000
O8 - Extra context menu item: Easy-WebPrint - Náhled - res://C:\Program Files\Canon\Easy-WebPrint\Toolband.dll/RC_Preview.html
O8 - Extra context menu item: Easy-WebPrint - Přidat na seznam k tisku - res://C:\Program Files\Canon\Easy-WebPrint\Toolband.dll/RC_AddToList.html
O8 - Extra context menu item: Easy-WebPrint - Tisk - res://C:\Program Files\Canon\Easy-WebPrint\Toolband.dll/RC_Print.html
O8 - Extra context menu item: Easy-WebPrint - Vysokorychlostní tisk - res://C:\Program Files\Canon\Easy-WebPrint\Toolband.dll/RC_HSPrint.html
O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\jre1.5.0_06\bin\ssv.dll
O9 - Extra 'Tools' menuitem: Sun Java Console - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\jre1.5.0_06\bin\ssv.dll
O9 - Extra button: Zdroje informací - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - C:\PROGRA~1\MICROS~2\OFFICE11\REFIEBAR.DLL
O9 - Extra button: ICQ Lite - {B863453A-26C3-4e1f-A54D-A2CD196348E9} - C:\Program Files\ICQLite\ICQLite.exe
O9 - Extra 'Tools' menuitem: ICQ Lite - {B863453A-26C3-4e1f-A54D-A2CD196348E9} - C:\Program Files\ICQLite\ICQLite.exe
O9 - Extra button: FlashGet - {D6E814A0-E0C5-11d4-8D29-0050BA6940E3} - C:\PROGRA~1\FlashGet\flashget.exe
O9 - Extra 'Tools' menuitem: &FlashGet - {D6E814A0-E0C5-11d4-8D29-0050BA6940E3} - C:\PROGRA~1\FlashGet\flashget.exe
O9 - Extra button: (no name) - {e2e2dd38-d088-4134-82b7-f2ba38496583} - %windir%\Network Diagnostic\xpnetdiag.exe (file missing)
O9 - Extra 'Tools' menuitem: @xpsp3res.dll,-20001 - {e2e2dd38-d088-4134-82b7-f2ba38496583} - %windir%\Network Diagnostic\xpnetdiag.exe (file missing)
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe
O11 - Options group: [INTERNATIONAL] International*
O16 - DPF: {6414512B-B978-451D-A0D8-FCFDF33E833C} (WUWebControl Class) - http://update.microsoft.com/windowsupda ... 8590696953
O21 - SSODL: WPDShServiceObj - {AAA288BA-9A4C-45B0-95D7-94D524869DB5} - C:\WINDOWS\system32\WPDShServiceObj.dll
O23 - Service: Adobe LM Service - Adobe Systems - C:\Program Files\Common Files\Adobe Systems Shared\Service\Adobelmsvc.exe
O23 - Service: Ati HotKey Poller - ATI Technologies Inc. - C:\WINDOWS\system32\Ati2evxx.exe
O23 - Service: ATI Smart - Unknown owner - C:\WINDOWS\system32\ati2sgag.exe
O23 - Service: ATK Keyboard Service (ATKKeyboardService) - ASUSTeK COMPUTER INC. - C:\WINDOWS\ATKKBService.exe
O23 - Service: Autodesk Licensing Service - Autodesk - C:\Program Files\Common Files\Autodesk Shared\Service\AdskScSrv.exe
O23 - Service: Boonty Games - Unknown owner - C:\Program Files\Common Files\BOONTY Shared\Service\Boonty.exe (file missing)
O23 - Service: Eraser Service (EraserThread) - Unknown owner - C:\Program Files\1st Evidence Remover\erasrv.exe (file missing)
O23 - Service: InstallDriver Table Manager (IDriverT) - Macrovision Corporation - C:\Program Files\Common Files\InstallShield\Driver\1050\Intel 32\IDriverT.exe
O23 - Service: Kerio Personal Firewall 4 (KPF4) - Kerio Technologies - C:\Program Files\Kerio\Personal Firewall 4\kpf4ss.exe
O23 - Service: LicCtrl Service (LicCtrlService) - Unknown owner - C:\WINDOWS\runservice.exe
O23 - Service: RaySat_3dsmax8 Server (mi-raysat_3dsmax8) - Unknown owner - C:\Program Files\Autodesk\3dsMax8\mentalray\satellite\raysat_3dsmax8server.exe
O23 - Service: NOD32 Kernel Service (NOD32krn) - Eset - C:\Program Files\Nod32\nod32krn.exe
O23 - Service: Registry Management Service (RegManServ) - Unknown owner - C:\Program Files\Registry Defragmentation\RegManServ.exe
O23 - Service: ServiceLayer - Nokia. - C:\Program Files\Common Files\PCSuite\Services\ServiceLayer.exe
O23 - Service: SecuROM User Access Service (V7) (UserAccess7) - Sony DADC Austria AG. - C:\WINDOWS\system32\UAService7.exe
O23 - Service: Webroot Spy Sweeper Engine (WebrootSpySweeperService) - Webroot Software, Inc. - C:\Program Files\Spy Sweeper\SpySweeper.exe

#4 Příspěvek od **riffman** » 07 bře 2007 19:51

C:\WINDOWS\runservice.exe

toto prosim otestujte na http://www.virustotal.com/en/indexf.html

(navod prosty: po nacteni stranky kliknete na tlacitko Prochazet , najdete cestu k vyse zminenemu souboru a kliknete na tlacitko send; vysledek sem vlozte)

Spaghett · #5 Příspěvek od **Spaghett** » 07 bře 2007 20:01

Complete scanning result of "Runservice.exe", received in VirusTotal at 03.07.2007, 19:53:54 (CET).

Antivirus Version Update Result
AntiVir 7.3.1.41 03.07.2007 no virus found
Authentium 4.93.8 03.07.2007 no virus found
Avast 4.7.936.0 03.07.2007 no virus found
AVG 7.5.0.447 03.07.2007 no virus found
BitDefender 7.2 03.07.2007 no virus found
CAT-QuickHeal 9.00 03.07.2007 no virus found
ClamAV devel-20060426 03.07.2007 no virus found
DrWeb 4.33 03.07.2007 no virus found
eSafe 7.0.14.0 03.07.2007 no virus found
eTrust-Vet 30.6.3461 03.07.2007 no virus found
Ewido 4.0 03.07.2007 no virus found
FileAdvisor 1 03.07.2007 no virus found
Fortinet 2.85.0.0 03.07.2007 no virus found
F-Prot 4.3.1.45 03.07.2007 no virus found
F-Secure 6.70.13030.0 03.07.2007 no virus found
Ikarus T3.1.1.3 03.07.2007 no virus found
Kaspersky 4.0.2.24 03.07.2007 no virus found
McAfee 4978 03.06.2007 no virus found
Microsoft 1.2204 03.07.2007 no virus found
NOD32v2 2101 03.07.2007 no virus found
Norman 5.80.02 03.07.2007 no virus found
Panda 9.0.0.4 03.07.2007 no virus found
Prevx1 V2 03.07.2007 no virus found
Sophos 4.15.0 03.07.2007 no virus found
Sunbelt 2.2.907.0 03.05.2007 no virus found
Symantec 10 03.07.2007 no virus found
TheHacker 6.1.6.072 03.07.2007 no virus found
UNA 1.83 03.07.2007 no virus found
VBA32 3.11.2 03.07.2007 no virus found
VirusBuster 4.3.19:9 03.07.2007 no virus found

Aditional Information
File size: 2560 bytes
MD5: 29fab5363138f6e322f4cd780ed9d337
SHA1: a8b494d736c665b463b71c44ca99f248fd938d6d

A díky za ochotu

l.kantor · #6 Příspěvek od **l.kantor** » 08 bře 2007 15:19

Spaghett píše:Zdravím,
Windows mi poslední dobou (tak 2 dny) píše někdy toto:

Buffer overrun detected!

Program: C:\Windows\explorer.EXE

A buffer overrun has been detected which has corrupted the program´s internal state. The program cannot safely continue execution and must now be terminated.

Tato hlášení se mi začal oběvovat poté co jsem spustil podezřelý program, který ihned po spuštění zmizel. Poté jsem zaznamenal několik pokusů o průnik do procesu Explorer.EXE (zablokoval je Kerio) a také pokus o samovolnou komunikaci procesu explorer.EXE s internetem. Ty jsem přes Firewall zablokoval. Dokonce ani hloubková analýza antivirem tento problém nevyřešila. Předem děkuji za pomoc.

to hlášení je celé?

zkuste přeinstalovat IE

Spaghett · #7 Příspěvek od **Spaghett** » 09 bře 2007 13:53

Ano, toto hlášení je celé. A reinstalace IE nic nevyřešila... Nemyslím si, že s tím má vůbec co dělat.

l.kantor · #8 Příspěvek od **l.kantor** » 09 bře 2007 14:42

Spaghett píše:Zdravím,
Windows mi poslední dobou (tak 2 dny) píše někdy toto:

Buffer overrun detected!

Program: C:\Windows\explorer.EXE

A buffer overrun has been detected which has corrupted the program´s internal state. The program cannot safely continue execution and must now be terminated.

Tato hlášení se mi začal oběvovat poté co jsem spustil podezřelý program, který ihned po spuštění zmizel. Poté jsem zaznamenal několik pokusů o průnik do procesu Explorer.EXE (zablokoval je Kerio) a také pokus o samovolnou komunikaci procesu explorer.EXE s internetem. Ty jsem přes Firewall zablokoval. Dokonce ani hloubková analýza antivirem tento problém nevyřešila. Předem děkuji za pomoc.

byl nainstalován nějaký nový program?

lodus · #9 Příspěvek od **lodus** » 09 bře 2007 14:47

http://techrepublic.com.com/5208-6230-0 ... ID=1694663

2 solutions that have been said to fix this are ... or Spybot Search and Destroy (it's free):

http://www.safer-networking.org/en/index.html

I like Spybot myself. Download it, update it and run it. The problem you are having appears to be common as of late.

Zkuste

Spaghett · #10 Příspěvek od **Spaghett** » 09 bře 2007 17:47

Bohužel stále nic... Spybot jsem zkusil, vymazal nalezený SpyWare, restartoval počítač a hlášení mi opět vyskočili.

lodus · #11 Příspěvek od **lodus** » 09 bře 2007 20:16

Neinstaloval jste předtím updaty windows? někteří lidé mají podobné problémy právě po updatu

Spaghett · #12 Příspěvek od **Spaghett** » 09 bře 2007 20:21

No to je možné... Rozhodně jsem někdy nedávno updatoval. Ale jestli to bylo před těmito problémy, to bohužel nevím. Každopádně, pokud to tím bude, jak tuto situaci vyřešit? Je vůbec možné odinstalovat updaty Windows?

lodus · #13 Příspěvek od **lodus** » 10 bře 2007 17:55

ještě zkuste následující, stáhnte si VC++ redistrib. a nainstalujte:
ttp://dcomproductions.net/Services/ProgrammingEssentials/Default.aspx

Co jsem si všiml je, že jedna polovina to hází na update a ta druhý na spyware, zkuste si PC ještě projet MWAVem.

Spaghett · #14 Příspěvek od **Spaghett** » 12 bře 2007 07:04

Tak MWAV mi vyhodil toto:

Object "zlob Trojan-Downloader" found in File System! Action Taken: Entries Removed.
Entry "HKLM\Software\Microsoft\Windows\CurrentVersion\App Management\ARPCache" refers to invalid object "{01963C31-FFAF-4E3F-9C6A-C00BB2837BE7}". Action Taken: Entries Removed.
Entry "HKLM\Software\Microsoft\Windows\CurrentVersion\App Management\ARPCache" refers to invalid object "{29375A95-C322-4A5C-A35C-3FFFB40C8795}". Action Taken: Entries Removed.
Entry "HKLM\Software\Microsoft\Windows\CurrentVersion\App Management\ARPCache" refers to invalid object "{309E4190-1BD1-4B81-B74E-6A5F136313BA}". Action Taken: Entries Removed.
Entry "HKLM\Software\Microsoft\Windows\CurrentVersion\App Management\ARPCache" refers to invalid object "{8F9F9D00-9F2E-46AE-9D4A-E9D13C6B3455}". Action Taken: Entries Removed.
Entry "HKLM\Software\Microsoft\Windows\CurrentVersion\App Management\ARPCache" refers to invalid object "{A82B9A1C-E5AC-4EB3-B00F-363B3EF16C78}". Action Taken: Entries Removed.
File C:\WINDOWS\system32\BmWYJnOe3n.ini infected by "Backdoor.Win32.Ciadoor.bo" Virus! Action Taken: File Deleted.
File C:\Documents and Settings\Králík25\Local Settings\Data aplikací\Mozilla\Firefox\Profiles\zkhk78iy.default\Cache\69C09FF2d01/installer.exe//data0002 infected by "Trojan.Win32.VB.amd" Virus! Action Taken: File Deleted.
File C:\Program Files\Craagle\craagle.v1.8.free.exe tagged as "not-a-virus:AdWare.Win32.Craagle.18". Action Taken: File Deleted.
File C:\Program Files\Nod32\infected\4N5NC0BA.NQF//PE-Crypt.XorPE//data0002//PE_Patch//PE_Patch.UPX//UPX infected by "Trojan-Clicker.Win32.VB.qb" Virus! Action Taken: File Deleted.
File C:\Program Files\Nod32\infected\FGZWIIDA.NQF//PE-Crypt.XorPE//data0002 infected by "Trojan.Win32.VB.amd" Virus! Action Taken: File Deleted.
File C:\Program Files\Nod32\infected\HDEXL3CA.NQF//PE-Crypt.XorPE infected by "Backdoor.Win32.Ciadoor.13" Virus! Action Taken: File Deleted.
File C:\Program Files\Nod32\infected\IT2T5FBA.NQF//PE-Crypt.XorPE//Armadillo infected by "Trojan-Downloader.Win32.IstBar.lq" Virus! Action Taken: File Deleted.
File C:\Program Files\Nod32\infected\JAXQ4VCA.NQF//PE-Crypt.XorPE//NSPack tagged as "not-a-virus:AdWare.Win32.WinAD.bq". Action Taken: File Deleted.
File C:\Program Files\Nod32\infected\LGIRGHDA.NQF//PE-Crypt.XorPE//data.rar/PCAhk.dll//PE-Crypt.XorPE tagged as "not-a-virus:Monitor.Win32.Perflogger.bx". No Action Taken.
File C:\Program Files\Nod32\infected\LUMJSRCA.NQF//PE-Crypt.XorPE//data.rar/AlexaInstaller_megaupload-20\AlexaInstaller_megaupload-20.exe//stream//data0007 tagged as "not-a-virus:AdWare.Win32.AlexaBar.b". Action Taken: File Deleted.
File C:\Program Files\Nod32\infected\PNCNIGDA.NQF//PE-Crypt.XorPE tagged as "not-a-virus:AdTool.Win32.WhenU.a". No Action Taken.
File C:\Program Files\Nod32\infected\QLGDWPBA.NQF//PE-Crypt.XorPE//ASPack infected by "Trojan.Win32.Hooker.j" Virus! Action Taken: File Deleted.
File C:\System Volume Information\_restore{E12EE1F1-99E8-43B0-8214-3CA628BA9048}\RP753\A0402918.ini infected by "Backdoor.Win32.Ciadoor.bo" Virus! Action Taken: File Deleted.
File C:\System Volume Information\_restore{E12EE1F1-99E8-43B0-8214-3CA628BA9048}\RP753\A0402919.exe tagged as "not-a-virus:AdWare.Win32.Craagle.18". Action Taken: File Deleted.

Spaghett · #15 Příspěvek od **Spaghett** » 12 bře 2007 07:15

Hlášení se stále objevuje.

VIRY.CZ

Buffer overrun detected

Buffer overrun detected

Log

Re: Buffer overrun detected

Re: Buffer overrun detected

MWAV