Internet Explorer sam włacza strony, wirus hggghhh.dll

[cichypawel1]

Wczoraj Moj antywirus Nod 32 wykrył wirusa (trojana)

Dzis wykrył juz 5 wirusów w tym hggghhh.dll ktorego nie może usunać

Nawet w trybie awaryjnym.

http://virusscan.jotti.org/ - na tej stronie zbadałem ten plik i pokazało mi

A-Squared X

AntiVir BDS/Hupigon.Gen

ArcaVir Trojan.Hupigon.Cal

Avast Win32:Hupigon-FB

AVG Antivirus X

BitDefender DeepScan:Generic.Graybird.1D113F06

ClamAV Trojan.Delf-911

CPsecure BackDoor.W32.Agent.agx

Dr.Web BackDoor.Pigeon.2141

F-Prot Antivirus Possibly a new variant of W32/Trojan-Hupigon-based!Maximus

F-Secure Anti-Virus Backdoor.Win32.Hupigon.cal

Fortinet X

Ikarus Generic.Graybird

Kaspersky Anti-Virus Backdoor.Win32.Hupigon.cal

NOD32 a variant of Win32/Hupigon

Norman Virus Control W32/Hupigon.AUAW

Panda Antivirus X

Rising Antivirus Backdoor.Gpigeon.2006.ign

Sophos Antivirus Mal/DSpy-B

VirusBuster X

VBA32 BackDoor.Pigeon.2141

wczoraj podawałem ale dla pewności sprawdzcie jeszcze raz :

Logfile of Trend Micro HijackThis v2.0.2 Scan saved at 16:10:01, on 2007-11-20 Platform: Windows XP Dodatek SP2 (WinNT 5.01.2600) MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180) Boot mode: Normal Running processes: C:\WINDOWS\System32\smss.exe C:\WINDOWS\system32\winlogon.exe C:\WINDOWS\system32\services.exe C:\WINDOWS\system32\lsass.exe C:\WINDOWS\system32\svchost.exe C:\WINDOWS\System32\svchost.exe C:\WINDOWS\Explorer.EXE C:\WINDOWS\system32\spoolsv.exe C:\Program Files\Eset\nod32kui.exe C:\WINDOWS\system32\ctfmon.exe C:\Program Files\Common Files\Microsoft Shared\VS7Debug\mdm.exe C:\Program Files\Eset\nod32krn.exe C:\WINDOWS\system32\nvsvc32.exe C:\WINDOWS\system32\oodag.exe C:\WINDOWS\system32\PnkBstrA.exe C:\WINDOWS\system32\PnkBstrB.exe C:\WINDOWS\System32\svchost.exe C:\Program Files\Skype\Phone\Skype.exe C:\Program Files\Skype\Plugin Manager\SkypePM.exe C:\Program Files\Gadu-Gadu\gg.exe C:\Program Files\Mozilla Firefox\firefox.exe C:\Program Files\Internet Explorer\iexplore.exe C:\Program Files\Trend Micro\HijackThis\HijackThis.exe O3 - Toolbar: Megaupload Toolbar - {4E7BD74F-2B8D-469E-CCB0-B130EEDBE97C} - C:\PROGRA~1\MEGAUP~1\MEGAUP~1.DLL O4 - HKLM…\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\system32\NvCpl.dll,NvStartup O4 - HKLM…\Run: [nod32kui] “C:\Program Files\Eset\nod32kui.exe” /WAITSERVICE O4 - HKCU…\Run: [ctfmon.exe] C:\WINDOWS\system32\ctfmon.exe O4 - HKUS\S-1-5-18…\Run: [Windows Plug and Play Service] wuasrv32.exe (User ‘SYSTEM’) O4 - HKUS.DEFAULT…\Run: [Windows Plug and Play Service] wuasrv32.exe (User ‘Default user’) O15 - Trusted Zone: http://mks.com.pl O16 - DPF: {0EB0E74A-2A76-4AB3-A7FB-9BD8C29F7F75} (CKAVWebScan Object) - http://www.kaspersky.pl/resources/virus … nicode.cab O16 - DPF: {68282C51-9459-467B-95BF-3C0E89627E55} (MainControl Class) - http://www.mks.com.pl/skaner/SkanerOnline.cab O16 - DPF: {6E32070A-766D-4EE6-879C-DC1FA91D2FC3} (MUWebControl Class) - http://update.microsoft.com/microsoftup … 0137906046 O18 - Protocol: skype4com - {FFC8B962-9B40-4DFF-9458-1830C7DD7F5D} - C:\PROGRA~1\COMMON~1\Skype\SKYPE4~1.DLL O23 - Service: Autodesk Licensing Service - Autodesk - C:\Program Files\Common Files\Autodesk Shared\Service\AdskScSrv.exe O23 - Service: Symantec Lic NetConnect service (CLTNetCnService) - Unknown owner - C:\Program Files\Common Files\Symantec Shared\ccSvcHst.exe (file missing) O23 - Service: InstallDriver Table Manager (IDriverT) - Macrovision Corporation - C:\Program Files\Common Files\InstallShield\Driver\11\Intel 32\IDriverT.exe O23 - Service: iPod Service - Apple Inc. - C:\Program Files\iPod\bin\iPodService.exe O23 - Service: NBService - Nero AG - C:\Program Files\Nero\Nero 7\Nero BackItUp\NBService.exe O23 - Service: NMIndexingService - Nero AG - C:\Program Files\Common Files\Ahead\Lib\NMIndexingService.exe O23 - Service: NOD32 Kernel Service (NOD32krn) - Eset - C:\Program Files\Eset\nod32krn.exe O23 - Service: NVIDIA Display Driver Service (NVSvc) - NVIDIA Corporation - C:\WINDOWS\system32\nvsvc32.exe O23 - Service: OO Defrag - OO Software GmbH - C:\WINDOWS\system32\oodag.exe O23 - Service: PnkBstrA - Unknown owner - C:\WINDOWS\system32\PnkBstrA.exe O23 - Service: PnkBstrB - Unknown owner - C:\WINDOWS\system32\PnkBstrB.exe – End of file - 3397 bytes

Jak sie pozbyć tego pliku i sprawdzić czy nie mam innych …?? w trybie awaryjny jak probowałem wyłączyć proces (niewiem który ) to wyskoczył komunikat że restart za 60 s

[adam9870]

O4 - HKUS\S-1-5-18…\Run: [Windows Plug and Play Service] wuasrv32.exe (User ‘SYSTEM’) O4 - HKUS.DEFAULT…\Run: [Windows Plug and Play Service] wuasrv32.exe (User ‘Default user’)

Plik zaznaczony na czerwono usuń ręcznie z dysku w trybie awaryjnym natomiast wpisy HiajckThis.

O23 - Service: Symantec Lic NetConnect service (CLTNetCnService) - Unknown owner - C:\Program Files\Common Files\Symantec Shared\ccSvcHst.exe (file missing)

Czy masz jeszcze zainstalowany jeszcze jakiś produkt marki Norton? Jeśli nie, to wydaj następujące polecenia korzystając z wiersza polecenia: (start, uruchom, cmd)

SC STOP CLTNetCnService SC DELETE CLTNetCnService RD /S /Q “C:\Program Files\Common Files\Symantec Shared”

Dodatkowo zapoznaj się z tematem: Usuwanie programu marki Norton za pomocą narzędzia SymNRT.

Proponuję usunąć Megaupload Toolbar ponieważ jest to Toolbar wątpliwej reputacji. Bowiem zbiera dane o użytkowniki i gdzieś je wysyła, nie wiadomo gdzie.

Po wykonaniu wykonaj i wklej log z ComboFix.

[cichypawel1]

Pliku wuasrv32.exe nie moge znaleźć na dysku … pewnie już usunąłem

daje nowe logi z hijacka : po fixach

Nortona tez wywaliłem

I Megaupload

Logfile of Trend Micro HijackThis v2.0.2 Scan saved at 17:22:50, on 2007-11-20 Platform: Windows XP Dodatek SP2 (WinNT 5.01.2600) MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180) Boot mode: Normal Running processes: C:\WINDOWS\System32\smss.exe C:\WINDOWS\system32\winlogon.exe C:\WINDOWS\system32\services.exe C:\WINDOWS\system32\lsass.exe C:\WINDOWS\system32\svchost.exe C:\WINDOWS\System32\svchost.exe C:\WINDOWS\Explorer.EXE C:\WINDOWS\system32\spoolsv.exe C:\Program Files\Eset\nod32kui.exe C:\WINDOWS\system32\ctfmon.exe C:\Program Files\Common Files\Microsoft Shared\VS7Debug\mdm.exe C:\Program Files\Eset\nod32krn.exe C:\WINDOWS\system32\nvsvc32.exe C:\WINDOWS\system32\oodag.exe C:\WINDOWS\System32\svchost.exe C:\Program Files\Mozilla Firefox\firefox.exe C:\Program Files\Trend Micro\HijackThis\HijackThis.exe O4 - HKLM…\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\system32\NvCpl.dll,NvStartup O4 - HKLM…\Run: [nod32kui] “C:\Program Files\Eset\nod32kui.exe” /WAITSERVICE O4 - HKCU…\Run: [ctfmon.exe] C:\WINDOWS\system32\ctfmon.exe O15 - Trusted Zone: http://mks.com.pl O16 - DPF: {0EB0E74A-2A76-4AB3-A7FB-9BD8C29F7F75} (CKAVWebScan Object) - http://www.kaspersky.pl/resources/virusscanner/kavwebscan_unicode.cab O16 - DPF: {68282C51-9459-467B-95BF-3C0E89627E55} (MainControl Class) - http://www.mks.com.pl/skaner/SkanerOnline.cab O16 - DPF: {6E32070A-766D-4EE6-879C-DC1FA91D2FC3} (MUWebControl Class) - http://update.microsoft.com/microsoftupdate/v6/V5Controls/en/x86/client/muweb_site.cab?1150137906046 O18 - Protocol: skype4com - {FFC8B962-9B40-4DFF-9458-1830C7DD7F5D} - C:\PROGRA~1\COMMON~1\Skype\SKYPE4~1.DLL O23 - Service: Autodesk Licensing Service - Autodesk - C:\Program Files\Common Files\Autodesk Shared\Service\AdskScSrv.exe O23 - Service: InstallDriver Table Manager (IDriverT) - Macrovision Corporation - C:\Program Files\Common Files\InstallShield\Driver\11\Intel 32\IDriverT.exe O23 - Service: iPod Service - Apple Inc. - C:\Program Files\iPod\bin\iPodService.exe O23 - Service: NBService - Nero AG - C:\Program Files\Nero\Nero 7\Nero BackItUp\NBService.exe O23 - Service: NMIndexingService - Nero AG - C:\Program Files\Common Files\Ahead\Lib\NMIndexingService.exe O23 - Service: NOD32 Kernel Service (NOD32krn) - Eset - C:\Program Files\Eset\nod32krn.exe O23 - Service: NVIDIA Display Driver Service (NVSvc) - NVIDIA Corporation - C:\WINDOWS\system32\nvsvc32.exe O23 - Service: O&O Defrag - O&O Software GmbH - C:\WINDOWS\system32\oodag.exe – End of file - 2549 bytes

Za chwile dam logo z Combofix co to za plik jak sie go pozbyć ? hggghhh.dll Złączono Posta _: 20.11.2007 (Wto) 18:34_Combofix nie działa wyskakuje komunikat:

Current date is 2007-11-20. This copy of Combofix has expired.


please download an update copy

skąd sciagnać nową wersje??

[arekmalek]

cofnij zegarek systemowy o 2miechy

[cichypawel1]

log z combofix:

ComboFix 07-11-08.1 - Paweł 2007-09-20 18:49:02.2 - NTFSx86 Microsoft Windows XP Professional 5.1.2600.2.1250.1.1045.18.210 [GMT 2:00] Running from: C:\ComboFix.exe . ((((((((((((((((((((((((( Files Created from 2007-10-08 to 2007-11-08 ))))))))))))))))))))))))))))))) . 2007-11-20 17:43 169,160 --a–c— C:\WINDOWS\system32\geedd.dll 2007-11-20 16:38 [color=darkblue][size=75]Złączono Posta: 20.11.2007 (Wto) 18:55[/size][/color] Antywirus wykrywa wirusa w pliku hggghhh.dll podczas właczania windowsa nie moze wyleczyc, wysłac do kwarantany ani usunac moge zrestartowc kompa i tak wkółko… cos mam jeszcze zrobic czekam

[Gutek]

Wklej do Notatnika:

File:: C:\WINDOWS\system32\geedd.dll C:\WINDOWS\system32\hggghhh.dll C:\WINDOWS\system32\mmsdvlnf.dll Registry:: [-HKEY_LOCAL_MACHINE~\Browser Helper Objects{6AA3809C-6261-456F-8FCA-43FE39ADC5E9}] [-HKEY_LOCAL_MACHINE~\Browser Helper Objects{df08b056-583a-43cf-af5c-85116de89a00}] [HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\ShellExecuteHooks] “{6AA3809C-6261-456F-8FCA-43FE39ADC5E9}”=- [-HKEY_LOCAL_MACHINE\software\microsoft\windows nt\currentversion\winlogon\notify\hggghhh] [-HKEY_LOCAL_MACHINE\software\microsoft\windows nt\currentversion\winlogon\notify\winxtx32] [HKEY_CURRENT_USER\software\microsoft\windows\currentversion\explorer\mountpoints2]

>>Plik>>Zapisz jako… >>> CFScript (najwygodniej będzie, jeśli zapiszesz w takiej lokalizacji, by ikonka CFScript.txt znalazła się obok ikonki ComboFix.exe )

Przeciągnij i upuść plik CFScript.txt na plik ComboFix.exe (czyli ikonkę CFScript.txt na ikonkę ComboFix.exe )

– podobnie jak na tym obrazku –>

(jeśli pojawi się pytanie " 1 or 2" - to wpisz 1 i naciśnij ENTER) Ma się rozpocząć usuwanie. (i powstanie log)

Po restarcie usuń ręcznie folder C: ** Qoobox**.

Po tym nowy log z Combo

[cichypawel1]

Zrobiłem jak wyżej :

ComboFix 07-11-08.1 - Paweł 2007-11-08 22:19:00.4 - NTFSx86 Microsoft Windows XP Professional 5.1.2600.2.1250.1.1045.18.218 [GMT 1:00] Running from: C:\Documents and Settings\Paweł\Pulpit\ComboFix.exe . ((((((((((((((((((((((((( Files Created from 2007-10-08 to 2007-11-08 ))))))))))))))))))))))))))))))) . 2007-11-20 16:38

[Gutek]

Wklej do notatnika:

Registry:: [-HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\System32] [-HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\Windows Plug and Play Service] [-HKEY_CURRENT_USER\software\microsoft\windows\currentversion\explorer\mountpoints2]

>>Plik>>Zapisz jako… >>> CFScript (najwygodniej będzie, jeśli zapiszesz w takiej lokalizacji, by ikonka CFScript.txt znalazła się obok ikonki ComboFix.exe )

Przeciągnij i upuść plik CFScript.txt na plik ComboFix.exe (czyli ikonkę CFScript.txt na ikonkę ComboFix.exe )

– podobnie jak na tym obrazku –>

(jeśli pojawi się pytanie " 1 or 2" - to wpisz 1 i naciśnij ENTER) Ma się rozpocząć usuwanie. (i powstanie log)

Po restarcie usuń ręcznie folder C: ** Qoobox**.

Po tym nowy log z Combo

[cichypawel1]

ComboFix 07-11-08.1 - Paweł 2007-11-08 23:21:45.6 - NTFSx86 Microsoft Windows XP Professional 5.1.2600.2.1250.1.1045.18.108 [GMT 1:00] Running from: C:\Documents and Settings\Paweł\Pulpit\ComboFix.exe . ((((((((((((((((((((((((( Files Created from 2007-10-08 to 2007-11-08 ))))))))))))))))))))))))))))))) . 2007-11-20 16:38

[Gutek]

Już powinno być Ok

[cichypawel1]

wszystko ok DZIęKUJE