kryzelek
(Matil)
20 Sierpień 2007 08:21
#1
Logfile of Trend Micro HijackThis v2.0.2
Scan saved at 10:17:27, on 2007-08-20
Platform: Windows XP Dodatek SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)
Boot mode: Normal
Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\Ati2evxx.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\Ati2evxx.exe
C:\WINDOWS\Explorer.EXE
C:\WINDOWS\system32\spoolsv.exe
C:\Program Files\NVIDIA Corporation\NetworkAccessManager\Apache Group\Apache2\bin\apache.exe
C:\Program Files\Common Files\LightScribe\LSSrvc.exe
C:\Program Files\Common Files\Microsoft Shared\VS7Debug\mdm.exe
C:\Program Files\Eset\nod32krn.exe
C:\Program Files\NVIDIA Corporation\NetworkAccessManager\bin\nSvcLog.exe
C:\Program Files\Agnitum\Outpost Firewall\outpost.exe
C:\WINDOWS\system32\PSIService.exe
C:\Program Files\Alcohol Soft\Alcohol 120\StarWind\StarWindServiceAE.exe
C:\Program Files\NVIDIA Corporation\NetworkAccessManager\Apache Group\Apache2\bin\apache.exe
C:\Program Files\NVIDIA Corporation\NetworkAccessManager\bin\nSvcIp.exe
C:\WINDOWS\RTHDCPL.EXE
C:\WINDOWS\system32\wscntfy.exe
C:\WINDOWS\system32\ctfmon.exe
C:\Program Files\DAEMON Tools\daemon.exe
C:\Program Files\Gadu-Gadu\gg.exe
C:\Program Files\ESET\nod32kui.exe
C:\Program Files\Messenger\msmsgs.exe
C:\PROGRA~1\MOZILL~1\FIREFOX.EXE
C:\Program Files\Winamp\winamp.exe
C:\Program Files\Trend Micro\HijackThis\HijackThis.exe
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.onet.pl/
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Łącza
O1 - Hosts: 81.169.180.114 master.sa-mp.com
O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Program Files\Adobe\Acrobat 7.0\ActiveX\AcroIEHelper.dll
O2 - BHO: SSVHelper Class - {761497BB-D6F0-462C-B6EB-D4DAF1D92D43} - C:\Program Files\Java\jre1.6.0_01\bin\ssv.dll
O2 - BHO: Google Toolbar Notifier BHO - {AF69DE43-7D58-4638-B6FA-CE66B5AD205D} - C:\Program Files\Google\GoogleToolbarNotifier\2.0.301.7164\swg.dll
O4 - HKLM\..\Run: [RTHDCPL] RTHDCPL.EXE
O4 - HKLM\..\Run: [SkyTel] SkyTel.EXE
O4 - HKLM\..\Run: [Alcmtr] ALCMTR.EXE
O4 - HKLM\..\Run: [StartCCC] C:\Program Files\ATI Technologies\ATI.ACE\Core-Static\CLIStart.exe
O4 - HKLM\..\Run: [NeroFilterCheck] C:\WINDOWS\system32\NeroCheck.exe
O4 - HKLM\..\Run: [Outpost Firewall] C:\Program Files\Agnitum\Outpost Firewall\outpost.exe /waitservice
O4 - HKLM\..\Run: [OutpostFeedBack] C:\Program Files\Agnitum\Outpost Firewall\feedback.exe /dump:os_startup
O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\ctfmon.exe
O4 - HKCU\..\Run: [swg] C:\Program Files\Google\GoogleToolbarNotifier\GoogleToolbarNotifier.exe
O4 - HKCU\..\Run: [ADS] C:\Windows\ADS.exe
O4 - HKCU\..\Run: [DAEMON Tools] "C:\Program Files\DAEMON Tools\daemon.exe" -lang 1033
O4 - HKCU\..\Run: [Gadu-Gadu] "C:\Program Files\Gadu-Gadu\gg.exe" /tray
O4 - HKUS\S-1-5-19\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'USŁUGA LOKALNA')
O4 - HKUS\S-1-5-20\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'USŁUGA SIECIOWA')
O4 - HKUS\S-1-5-18\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'SYSTEM')
O4 - HKUS\.DEFAULT\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'Default user')
O8 - Extra context menu item: E&ksport do programu Microsoft Excel - res://C:\PROGRA~1\MICROS~2\Office10\EXCEL.EXE/3000
O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\jre1.6.0_01\bin\ssv.dll
O9 - Extra 'Tools' menuitem: Sun Java Console - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\jre1.6.0_01\bin\ssv.dll
O9 - Extra button: Szybkie dostosowywanie programu Outpost Firewall Pro - {44627E97-789B-40d4-B5C2-58BD171129A1} - C:\Program Files\Agnitum\Outpost Firewall\Plugins\BrowserBar\ie_bar.dll
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe
O23 - Service: Ares Chatroom server (AresChatServer) - Ares Development Group - C:\Program Files\Ares\chatServer.exe
O23 - Service: Ati HotKey Poller - ATI Technologies Inc. - C:\WINDOWS\system32\Ati2evxx.exe
O23 - Service: ATI Smart - Unknown owner - C:\WINDOWS\system32\ati2sgag.exe
O23 - Service: Forceware Web Interface (ForcewareWebInterface) - Apache Software Foundation - C:\Program Files\NVIDIA Corporation\NetworkAccessManager\Apache Group\Apache2\bin\apache.exe
O23 - Service: InstallDriver Table Manager (IDriverT) - Macrovision Corporation - C:\Program Files\Common Files\InstallShield\Driver\11\Intel 32\IDriverT.exe
O23 - Service: LightScribeService Direct Disc Labeling Service (LightScribeService) - Hewlett-Packard Company - C:\Program Files\Common Files\LightScribe\LSSrvc.exe
O23 - Service: NOD32 Kernel Service (NOD32krn) - Eset - C:\Program Files\Eset\nod32krn.exe
O23 - Service: ForceWare IP service (nSvcIp) - NVIDIA Corporation - C:\Program Files\NVIDIA Corporation\NetworkAccessManager\bin\nSvcIp.exe
O23 - Service: ForceWare user log service (nSvcLog) - NVIDIA Corporation - C:\Program Files\NVIDIA Corporation\NetworkAccessManager\bin\nSvcLog.exe
O23 - Service: Outpost Firewall Service (OutpostFirewall) - Agnitum Ltd. - C:\Program Files\Agnitum\Outpost Firewall\outpost.exe
O23 - Service: ProtexisLicensing - Unknown owner - C:\WINDOWS\system32\PSIService.exe
O23 - Service: StarWind AE Service (StarWindServiceAE) - Rocket Division Software - C:\Program Files\Alcohol Soft\Alcohol 120\StarWind\StarWindServiceAE.exe
--
End of file - 5816 bytes
Komp strasznie muli, prawie zawsze wydajność procesora wynosi ponad 90 %.
I nie wiem czy to wirus, ale przy włączeniu systemu, tzn jak już sie pojawią wszystkie ikony ,gg etc, pojawia się głupia reklama, jakiejś tam stronki internetowej, która otwierana jest w IE, ja IE prawie nie używałem. Proszę o sprawdzenie loga, byłbym bardzo wdzięczny
jessica
(jessica)
20 Sierpień 2007 08:37
#2
Te w/w wpisy sfiksuj w Hijacku:
>>Hijack>>scan(Do a system scan only)>>zaznacz je >> Fix checked .
Jeśli masz jakieś narzędzie usuwające, to usuń nim ten zaznaczony na czerwono plik.
Jeśli nie masz czym usuwać, to:
Ściągnij ComboFix (na dole tej strony z linku) -
Wklej do Notatnika :
File::
C:\Windows\ADS.exe
>>Plik>>Zapisz jako… >>> CFScript (najwygodniej będzie,
jeśli zapiszesz w takiej lokalizacji, by ikonka CFScript.txt znalazła się obok ikonki ComboFix.exe )
Przeciągnij i upuść plik CFScript.txt na plik ComboFix.exe
(czyli ikonkę CFScript.txt na ikonkę ComboFix.exe )
– podobnie jak na tym obrazku -->http://i12.tinypic.com/4l761r5.gif
(jeśli pojawi się pytanie " 1 or 2 " - to wpisz 1 i naciśnij ENTER) Ma się rozpocząć usuwanie.
Po restarcie usuń ręcznie folder C: * * Qoobox**.
Potem daj tu log z ComboFixa.
Log wklej na http://wklej.org/ , a w poście daj tylko link.
jessi
kryzelek
(Matil)
20 Sierpień 2007 09:20
#3
Prosze, oto link:
http://wklej.org/id/051bac824c
adam9870
(adam9870)
20 Sierpień 2007 09:42
#4
Ściągnij program KillBox , zaznacz Delete on reboot , w polu full path of file wklej ścieżkę:
C:\WINDOWS\ADS.exe
Kliknij czerwonego iksa i restart.
Przeskanuj te pliki na stronie http://virusscan.jotti.org/ bądź http://www.virustotal.com/ i wklej tu wynik skanowania.
Foldery utworzone w wyniku wykonania chkdsk. Możesz je kosmetycznie usunąć. Przed tym jednak włącz pokazywanie ukrytych i systemowych plików i folderów. W tym celu wejdź do Panelu Sterowania >>> uruchom aplet Opcje folderów >>> przejdź na zakładkę Widok >>> odznacz opcję Ukryj chronione pliki systemu operacyjnego (zalecane) oraz zaznacz opcję Pokaż ukryte pliki i foldery >>> kliknij Zastosuj i OK.
Po wykonaniu wklej nowy log z ComboFix.
kryzelek
(Matil)
20 Sierpień 2007 10:36
#5
przeskanowąłem to i pokazało że te pliki są OK, żaden antyvir nic nie znalazł
to log z combofixa
ComboFix 07-08-17.2 - “Mateusz” 2007-08-20 12:25:41.4 - FAT32x86 Microsoft Windows XP Professional 5.1.2600.2.1250.1.1045.18.112 [GMT 2:00] ((((((((((((((((((((((((( Files Created from 2007-07-20 to 2007-08-20 ))))))))))))))))))))))))))))))) 2007-08-20 12:04 2007-08-20 10:45 51,200 --a------ C:\WINDOWS\nircmd.exe 2007-08-19 21:01 2007-08-19 20:22 512,096 --a------ C:\WINDOWS\system32\drivers\amon.sys 2007-08-19 20:22 15,424 --a------ C:\WINDOWS\system32\drivers\nod32drv.sys 2007-08-19 15:52 678,912 --a------ C:\WINDOWS\is-5T6P0.exe 2007-08-19 15:52 2007-08-19 15:52 2007-08-19 15:49 2007-08-19 15:44 2007-08-19 15:40 2007-08-18 11:00 2007-08-17 16:19 2007-08-17 09:28 14,848 --a------ C:\WINDOWS\system32\drivers\kbdhid.sys 2007-08-16 12:32 2007-08-07 14:26 2007-08-07 14:15 2,916,352 --------- C:\WINDOWS\UNNMP.exe 2007-08-07 14:15 2007-08-07 14:14 155,648 --a------ C:\WINDOWS\system32\NeroCheck.exe 2007-08-07 14:13 2007-08-07 14:12 476,320 --------- C:\WINDOWS\system32\ImagXpr7.dll 2007-08-07 14:12 471,040 --------- C:\WINDOWS\system32\ImagXRA7.dll 2007-08-07 14:12 38,912 --------- C:\WINDOWS\system32\picn20.dll 2007-08-07 14:12 364,544 --------- C:\WINDOWS\system32\TwnLib4.dll 2007-08-07 14:12 262,144 --------- C:\WINDOWS\system32\ImagXR7.dll 2007-08-07 14:12 24,064 --------- C:\WINDOWS\system32\msxml3a.dll 2007-08-07 14:12 2,977,792 --------- C:\WINDOWS\UNNeroVision.exe 2007-08-07 14:12 106,496 --a------ C:\WINDOWS\system32\TwnLib20.dll 2007-08-07 14:12 1,568,768 --------- C:\WINDOWS\system32\ImagX7.dll 2007-08-07 14:12 2007-08-07 14:11 2007-08-07 14:11 2007-08-07 14:03 2007-08-07 14:00 2007-08-07 12:04 2007-08-06 16:11 309,616 --a------ C:\WINDOWS\system32\wmv8dmod.dll 2007-08-03 18:09 2007-08-03 14:02 4,096 --a------ C:\WINDOWS\d3dx.dat 2007-08-03 14:00 2007-07-30 16:35 2007-07-30 16:28 2007-07-27 21:17 2007-07-27 21:07 2007-07-22 21:40 2007-07-22 15:32 921,600 --a------ C:\WINDOWS\system32\vorbisenc.dll 2007-07-22 15:32 237,568 --a------ C:\WINDOWS\system32\OggDS.dll 2007-07-22 15:31 9,216 --a------ C:\WINDOWS\system32\cpuinf32.dll 2007-07-22 15:31 45,056 --a------ C:\WINDOWS\system32\ogg.dll 2007-07-22 15:31 245,760 --a------ C:\WINDOWS\system32\mplvpx.dll 2007-07-22 15:31 188,416 --a------ C:\WINDOWS\system32\vorbis.dll 2007-07-22 15:31 1,415,680 --a------ C:\WINDOWS\system32\WMV9VCM.dll 2007-07-22 15:25 2007-07-22 15:25 2007-07-22 15:25 2007-07-22 15:24 2007-07-22 15:24 2007-07-21 21:39 2007-07-21 12:11 (((((((((((((((((((((((((((((((((((((((( Find3M Report )))))))))))))))))))))))))))))))))))))))))))))))))))) 2007-08-19 20:22 298104 --a------ C:\WINDOWS\system32\imon.dll 2007-08-07 13:59 685816 --a------ C:\WINDOWS\system32\drivers\sptd.sys 2007-08-03 14:01 704512 --a------ C:\WINDOWS\system32\mfcl31d.dll 2007-07-22 15:30 639066 --a------ C:\WINDOWS\system32\DivX.dll 2007-07-22 15:26 765952 --a------ C:\WINDOWS\system32\xvidcore.dll 2007-07-19 20:23 --------- d-------- C:\Program Files\Opera 2007-07-19 20:23 --------- d-------- C:\DOCUME~1\Mateusz\DANEAP~1\Opera 2007-07-17 14:15 --------- d-------- C:\DOCUME~1\Mateusz\DANEAP~1\Help 2007-07-15 13:47 --------- d-------- C:\DOCUME~1\Mateusz\DANEAP~1\Atari 2007-07-13 10:55 2516 --ahs---- C:\WINDOWS\system32\KGyGaAvL.sys 2007-07-13 10:54 88 -r-hs---- C:\WINDOWS\system32\20866F9777.sys 2007-07-12 10:11 --------- d-------- C:\Program Files\Porrasturvat - Stair Dismount 2007-07-12 09:06 81920 --a------ C:\WINDOWS\system32\frapsvid.dll 2007-06-30 17:23 --------- d-------- C:\Program Files\DOSBox-0.70 2007-06-30 14:40 --------- d-------- C:\Program Files\Serials 2005 2007-06-29 10:32 --------- d-------- C:\Program Files\SubEdit-Player 2007-06-28 20:03 --------- d-------- C:\DOCUME~1\Mateusz\DANEAP~1\Corel 2007-06-28 14:50 --------- d-------- C:\Program Files\BitComet 2007-06-28 11:31 --------- d-------- C:\Program Files\BitLord 2007-06-26 15:19 --------- d-------- C:\Program Files\GameSpy Arcade 2007-06-26 14:34 --------- d-------- C:\Program Files\Mozilla Thunderbird 2007-06-26 14:34 --------- d-------- C:\DOCUME~1\Mateusz\DANEAP~1\Thunderbird 2007-06-20 19:04 0 -ra------ C:\logwmemory.bin 2007-06-06 11:03 108144 --a------ C:\WINDOWS\system32\CmdLineExt.dll 2007-06-05 18:54 2426 --a------ C:\WINDOWS\pchealth\helpctr\PackageStore\SkuStore.bin 2007-06-05 18:53 8972 --a------ C:\WINDOWS\pchealth\helpctr\Config\Cntstore.bin 2007-06-03 14:55 0 -rahs---- C:\MSDOS.SYS 2007-06-03 14:55 0 -rahs---- C:\IO.SYS ((((((((((((((((((((((((((((((((((((( Reg Loading Points )))))))))))))))))))))))))))))))))))))))))))))))))) *Note* empty entries & legit default entries are not shown [HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] “RTHDCPL”=“RTHDCPL.EXE” [2006-06-01 10:48 C:\WINDOWS\RTHDCPL.exe] “SkyTel”=“SkyTel.EXE” [2006-05-16 12:04 C:\WINDOWS\SkyTel.exe] “StartCCC”=“C:\Program Files\ATI Technologies\ATI.ACE\Core-Static\CLIStart.exe” [2006-11-10 12:35] “NeroFilterCheck”=“C:\WINDOWS\system32\NeroCheck.exe” [2006-01-12 16:40] “Outpost Firewall”=“C:\Program Files\Agnitum\Outpost Firewall\outpost.exe” [2007-04-05 16:56] “OutpostFeedBack”=“C:\Program Files\Agnitum\Outpost Firewall\feedback.exe” [2007-06-28 13:18] [HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] “CTFMON.EXE”=“C:\WINDOWS\system32\ctfmon.exe” [2004-08-03 22:44] “swg”=“C:\Program Files\Google\GoogleToolbarNotifier\GoogleToolbarNotifier.exe” [2007-06-13 09:12] “DAEMON Tools”=“C:\Program Files\DAEMON Tools\daemon.exe” [2007-04-04 00:29] “Gadu-Gadu”=“C:\Program Files\Gadu-Gadu\gg.exe” [2007-07-09 09:39] [HKEY_CURRENT_USER\software\microsoft\windows\currentversion\policies\explorer] “NoRecentDocsHistory”=1 (0x1) R1 SandBox;Outpost Firewall Sandbox Driver;??\C:\Program Files\Agnitum\Outpost Firewall\kernel\Sandbox.SYS R1 VFILT;Outpost Firewall Kernel Driver;??\C:\Program Files\Agnitum\Outpost Firewall\kernel\FILTNT.SYS R3 ADBLOCK.DLL;Outpost Firewall PlugIn (ADBLOCK.DLL);??\C:\Program Files\Agnitum\Outpost Firewall\kernel\ADBLOCK.DLL R3 ARP.DLL;Outpost Firewall PlugIn (ARP.DLL);??\C:\Program Files\Agnitum\Outpost Firewall\kernel\ARP.DLL R3 CONTENT.DLL;Outpost Firewall PlugIn (CONTENT.DLL);??\C:\Program Files\Agnitum\Outpost Firewall\kernel\CONTENT.DLL R3 DNSCACHE.DLL;Outpost Firewall PlugIn (DNSCACHE.DLL);??\C:\Program Files\Agnitum\Outpost Firewall\kernel\DNSCACHE.DLL R3 FTPFILT.DLL;Outpost Firewall PlugIn (FTPFILT.DLL);??\C:\Program Files\Agnitum\Outpost Firewall\kernel\FTPFILT.DLL R3 HTMLFILT.DLL;Outpost Firewall PlugIn (HTMLFILT.DLL);??\C:\Program Files\Agnitum\Outpost Firewall\kernel\HTMLFILT.DLL R3 HTTPFILT.DLL;Outpost Firewall PlugIn (HTTPFILT.DLL);??\C:\Program Files\Agnitum\Outpost Firewall\kernel\HTTPFILT.DLL R3 IMAPFILT.DLL;Outpost Firewall PlugIn (IMAPFILT.DLL);??\C:\Program Files\Agnitum\Outpost Firewall\kernel\IMAPFILT.DLL R3 MAILFILT.DLL;Outpost Firewall PlugIn (MAILFILT.DLL);??\C:\Program Files\Agnitum\Outpost Firewall\kernel\MAILFILT.DLL R3 netrcacm;RCA USB Digital Cable Modem Driver;C:\WINDOWS\system32\DRIVERS\netrcacm.sys R3 NNTPFILT.DLL;Outpost Firewall PlugIn (NNTPFILT.DLL);??\C:\Program Files\Agnitum\Outpost Firewall\kernel\NNTPFILT.DLL R3 POP3FILT.DLL;Outpost Firewall PlugIn (POP3FILT.DLL);??\C:\Program Files\Agnitum\Outpost Firewall\kernel\POP3FILT.DLL R3 PROTECT.DLL;Outpost Firewall PlugIn (PROTECT.DLL);??\C:\Program Files\Agnitum\Outpost Firewall\kernel\PROTECT.DLL R3 SECRET.DLL;Outpost Firewall PlugIn (SECRET.DLL);??\C:\Program Files\Agnitum\Outpost Firewall\kernel\SECRET.DLL ************************************************************************** catchme 0.3.1061 W2K/XP/Vista - rootkit/stealth malware detector by Gmer, http://www.gmer.net Rootkit scan 2007-08-20 12:31:53 Windows 5.1.2600 Dodatek Service Pack 2 FAT NTAPI scanning hidden processes … scanning hidden autostart entries … scanning hidden files … scan completed successfully hidden files: 0 ************************************************************************** Completion time: 2007-08-20 12:35:45 C:\ComboFix3.txt … 2007-08-20 11:00 C:\ComboFix2.txt … 2007-08-20 11:15 — E O F —
jessica
(jessica)
20 Sierpień 2007 10:46
#6
Wygląda na to, że jest OK.
jessi
kryzelek
(Matil)
20 Sierpień 2007 10:51
#7
ufffff… już na szczęscie ta … reklama już się nie pojawia
a zużycie procesora wynosi około 10 %
dzięki za pomoc
LostWorld
(LostWorld)
20 Sierpień 2007 10:53
#8