Log-prosze o porade

[krv (Daryiego)]

Logfile of HijackThis v1.99.1

Scan saved at 12:11:17, on 29/07/2005

Platform: Windows XP (WinNT 5.01.2600)

MSIE: Internet Explorer v6.00 (6.00.2600.0000)


Running processes:

C:\WINDOWS\System32\smss.exe

C:\WINDOWS\system32\winlogon.exe

C:\WINDOWS\system32\services.exe

C:\WINDOWS\system32\lsass.exe

C:\WINDOWS\system32\svchost.exe

C:\WINDOWS\System32\svchost.exe

C:\WINDOWS\system32\spoolsv.exe

C:\WINDOWS\Explorer.EXE

C:\Program Files\Winamp\winampa.exe

C:\WINDOWS\System32\hkcmd.exe

C:\HP\KBD\KBD.EXE

C:\WINDOWS\AGRSMMSG.exe

C:\WINDOWS\System32\mouse.exe

C:\Program Files\Media Gateway\MediaGateway.exe

C:\WINDOWS\system32\qttask.exe

C:\WINDOWS\ALCXMNTR.EXE

C:\WINDOWS\System32\winsys.exe

C:\WINDOWS\System32\r34r.exe

C:\WINDOWS\System32\docs.exe

C:\WINDOWS\system32\usbn.exe

C:\WINDOWS\System32\ctfmon.exe

C:\Program Files\Messenger\msmsgs.exe

C:\Program Files\SAGEM\SAGEM F@st 800-840\dslmon.exe

C:\PROGRA~1\NORTON~1\SPEEDD~1\nopdb.exe

C:\Documents and Settings\Ela\Pulpit\hijackthis.com


R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://community.surfya.com/

R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = L1cza

R3 - URLSearchHook: (no name) - _{CFBFAE00-17A6-11D0-99CB-00C04FD64497} - (no file)

F3 - REG:win.ini: load=C:\YDPDict\watch.exe

O2 - BHO: BHObj Class - {00000010-6F7D-442C-93E3-4A4827C2E4C8} - C:\WINDOWS\nem220.dll

O2 - BHO: &EliteBar - {28CAEFF3-0F18-4036-B504-51D73BD81ABC} - C:\WINDOWS\EliteToolBar\EliteToolBar version 60.dll

O3 - Toolbar: &EliteBar - {825CF5BD-8862-4430-B771-0C15C5CA8DEF} - C:\WINDOWS\EliteToolBar\EliteToolBar version 60.dll

O4 - HKLM\..\Run: [NeroFilterCheck] C:\WINDOWS\system32\NeroCheck.exe

O4 - HKLM\..\Run: [WinampAgent] C:\Program Files\Winamp\winampa.exe

O4 - HKLM\..\Run: [CloneCDElbyCDFL] "C:\Program Files\Elaborate Bytes\CloneCD\ElbyCheck.exe" /L ElbyCDFL

O4 - HKLM\..\Run: [ccApp] "C:\Program Files\Common Files\Symantec Shared\ccApp.exe"

O4 - HKLM\..\Run: [ccRegVfy] "C:\Program Files\Common Files\Symantec Shared\ccRegVfy.exe"

O4 - HKLM\..\Run: [HotKeysCmds] C:\WINDOWS\System32\hkcmd.exe

O4 - HKLM\..\Run: [KBD] C:\HP\KBD\KBD.EXE

O4 - HKLM\..\Run: [AGRSMMSG] AGRSMMSG.exe

O4 - HKLM\..\Run: [mouse] mouse.exe

O4 - HKLM\..\Run: [Symantec NetDriver Monitor] C:\PROGRA~1\SYMNET~1\SNDMon.exe

O4 - HKLM\..\Run: [Media Gateway] C:\Program Files\Media Gateway\MediaGateway.exe

O4 - HKLM\..\Run: [Internet Optimizer] "C:\Program Files\Internet Optimizer\optimize.exe"

O4 - HKLM\..\Run: [Microsoft Update 32] wininit.exe

O4 - HKLM\..\Run: [QuickTime Task] "C:\WINDOWS\system32\qttask.exe" -atboottime

O4 - HKLM\..\Run: [AlcxMonitor] ALCXMNTR.EXE

O4 - HKLM\..\Run: [PS2] C:\WINDOWS\system32\ps2.exe

O4 - HKLM\..\Run: [Compaq Service Drivers] winsys.exe

O4 - HKLM\..\Run: [SERV PacK2] r34r.exe

O4 - HKLM\..\Run: [SECRETSERVICE] C:\WINDOWS\Temp\Cookies\l33t\virg.exe

O4 - HKLM\..\Run: [Service Monitor] docs.exe

O4 - HKLM\..\Run: [etbrun] C:\windows\system32\elitejwj32.exe

O4 - HKLM\..\Run: [usbn] C:\WINDOWS\system32\usbn.exe -go -c200 -w4

O4 - HKLM\..\RunServices: [mouse] mouse.exe

O4 - HKLM\..\RunServices: [Microsoft Update 32] wininit.exe

O4 - HKLM\..\RunServices: [Compaq Service Drivers] winsys.exe

O4 - HKLM\..\RunServices: [SERV PacK2] r34r.exe

O4 - HKLM\..\RunServices: [Service Monitor] docs.exe

O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\ctfmon.exe

O4 - HKCU\..\Run: [MSMSGS] "C:\Program Files\Messenger\msmsgs.exe" /background

O4 - HKCU\..\Run: [Compaq Service Drivers] winsys.exe

O4 - HKCU\..\RunServices: [Compaq Service Drivers] winsys.exe

O4 - Global Startup: Adobe Reader Speed Launch.lnk = C:\Program Files\Adobe\Acrobat 7.0\Reader\reader_sl.exe

O4 - Global Startup: DSLMON.lnk = C:\Program Files\SAGEM\SAGEM F@st 800-840\dslmon.exe

O4 - Global Startup: Microsoft Office.lnk = C:\Program Files\Microsoft Office\Office\OSA9.EXE

O9 - Extra button: Related - {c95fe080-8f5d-11d2-a20b-00aa003c157a} - C:\WINDOWS\web\related.htm

O9 - Extra 'Tools' menuitem: Show &Related Links - {c95fe080-8f5d-11d2-a20b-00aa003c157a} - C:\WINDOWS\web\related.htm

O9 - Extra button: eBay - Homepage - {EF79EAC5-3452-4E02-B8BD-BA4C89F1AC7A} - C:\Program Files\IrfanView\Ebay\Ebay.htm

O15 - Trusted Zone: http://awbeta.net-nucleus.com (HKLM)

O16 - DPF: {15AD6789-CDB4-47E1-A9DA-992EE8E6BAD6} - http://static.windupdates.com/cab/MediaAccessVerisign/ie/bridge-c403.cab

O16 - DPF: {33331111-1111-1111-1111-611111193457} - file://c:\ex.cab

O16 - DPF: {33331111-1111-1111-1111-611111193458} - file://c:\ex.cab

O16 - DPF: {33331111-1111-1111-1111-622221193458} - file://c:\ex.cab

O16 - DPF: {43331111-1111-1111-1111-611111195622} - file://c:\ex.cab

O16 - DPF: {64311111-1111-1121-1111-111191113457} - file://c:\eied_s7.cab

O20 - Winlogon Notify: igfxcui - C:\WINDOWS\SYSTEM32\igfxsrvc.dll

O21 - SSODL: SystemCheck2 - {54645654-2225-4455-44A1-9F4543D34545} - C:\WINDOWS\System32\vbsys2.dll

O23 - Service: Symantec Event Manager (ccEvtMgr) - Symantec Corporation - C:\Program Files\Common Files\Symantec Shared\ccEvtMgr.exe

O23 - Service: Symantec Password Validation Service (ccPwdSvc) - Symantec Corporation - C:\Program Files\Common Files\Symantec Shared\ccPwdSvc.exe

O23 - Service: Hardware Clock Driver (hwclock) - Unknown owner - C:\WINDOWS\System32\hwclock.exe

O23 - Service: Norton AntiVirus Auto Protect Service (navapsvc) - Symantec Corporation - C:\Program Files\Norton SystemWorks\Norton AntiVirus\navapsvc.exe

O23 - Service: Norton Unerase Protection (NProtectService) - Symantec Corporation - C:\Program Files\Norton SystemWorks\Norton Utilities\NPROTECT.EXE

O23 - Service: ScriptBlocking Service (SBService) - Symantec Corporation - C:\PROGRA~1\COMMON~1\SYMANT~1\SCRIPT~1\SBServ.exe

O23 - Service: Symantec Network Drivers Service (SNDSrvc) - Symantec Corporation - C:\Program Files\Common Files\Symantec Shared\SNDSrvc.exe

O23 - Service: Speed Disk service - Symantec Corporation - C:\PROGRA~1\NORTON~1\SPEEDD~1\nopdb.exe

[boczi]

Wszystkie czynności wykonujesz w trybie awaryjnym [F8] w czasie bootowania komputera z wyłączonym przywracaniem systemu. Gdybyś nie wiedział, jak to zrobić, zobacz TU.

Następnie zainstaluj TO i zamknij porty robaków!

Pliki zaznaczone na czerwono usuwasz ręcznie

Czy znasz to. Prawdopodobnie to syf.

R3 - URLSearchHook: (no name) - _{CFBFAE00-17A6-11D0-99CB-00C04FD64497} - (no file)

Ten wpis z kreseczką “_” usuniesz edytorem rejestru Registrar Lite Uruchom edytor w pole Address wklej ścieżke HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\URLSearchHooks i kliknij Go poczym zostaniesz przeniesiony do tego klucza. Po prawej stronie będzie widoczny wpis _{CFBFAE00-17A6-11D0-99CB-00C04FD64497} wszystkie inne wpisy z taką samą kreseczką także kasujesz i z prawokliku kasujesz wpisy http://www.resplendence.com/reglite

Jeśli będą problemy z usuwaniem, używasz narzędzia KillBox,

http://www.downloads.subratam.org/KillBox.zip

Info:

Odpalasz Killboxa zaznacz opcję Delete on Reboot następnie w polu Full Path of File to Delete wklej ścieżkę (przykład):

C:\WINDOWS\System32\xxx.exe

następnie program będzie pytał o restart (oczywiście zgadzasz się).

C:\HP\KBD\KBD.EXE

A Dodaj/Usuń programy znajdujesz MediaGateway i usuwasz

Użyj też usuwacza ISTBar:

http://securityresponse.symantec.com/av … Istbar.exe

Kasacja pogrubionych i jednocześnie wpisów z Hijackthis:

C:\WINDOWS\System32\mouse.exe C:\Program Files\Media Gateway\MediaGateway.exe Wywal sterowniki realteka - w sofcie jest syf: C:\WINDOWS\ALCXMNTR.EXE C:\WINDOWS\System32\r34r.exe C:\WINDOWS\System32\docs.exe C:\WINDOWS\system32\usbn.exe O2 - BHO: BHObj Class - {00000010-6F7D-442C-93E3-4A4827C2E4C8} - C:\WINDOWS\nem220.dll O4 - HKLM…\Run: [KBD] C:\HP\KBD\KBD.EXE O4 - HKLM…\Run: [mouse] mouse.exe O4 - HKLM…\Run: [Media Gateway] C:\Program Files\Media Gateway\MediaGateway.exe O4 - HKLM…\Run: [internet Optimizer] “C:\Program Files\Internet Optimizer\optimize.exe” O4 - HKLM…\Run: [Microsoft Update 32] wininit.exe O4 - HKLM…\Run: [AlcxMonitor] ALCXMNTR.EXE O4 - HKLM…\Run: [PS2] C:\WINDOWS\system32\ps2.exe O4 - HKLM…\Run: [Compaq Service Drivers] winsys.exe O4 - HKLM…\Run: [sERV PacK2] r34r.exe O4 - HKLM…\Run: [sECRETSERVICE] C:\WINDOWS\Temp\Cookies\l33t\virg.exe O4 - HKLM…\Run: [service Monitor] docs.exe O4 - HKLM…\Run: [etbrun] C:\windows\system32\elitejwj32.exe O4 - HKLM…\Run: [usbn] C:\WINDOWS\system32\usbn.exe -go -c200 -w4 O4 - HKLM…\RunServices: [mouse] mouse.exe O4 - HKLM…\RunServices: [Microsoft Update 32] wininit.exe O4 - HKLM…\RunServices: [Compaq Service Drivers] winsys.exe O4 - HKLM…\RunServices: [sERV PacK2] r34r.exe O4 - HKLM…\RunServices: [service Monitor] docs.exe O4 - HKCU…\Run: [Compaq Service Drivers] winsys.exe O4 - HKCU…\RunServices: [Compaq Service Drivers] winsys.exe O9 - Extra button: Related - {c95fe080-8f5d-11d2-a20b-00aa003c157a} - C:\WINDOWS\web\related.htm O9 - Extra ‘Tools’ menuitem: Show &Related Links - {c95fe080-8f5d-11d2-a20b-00aa003c157a} - C:\WINDOWS\web\related.htm O15 - Trusted Zone: http://awbeta.net-nucleus.com (HKLM) O16 - DPF: {15AD6789-CDB4-47E1-A9DA-992EE8E6BAD6} - http://static.windupdates.com/cab/Media … e-c403.cab O16 - DPF: {33331111-1111-1111-1111-611111193457} - file://c:\ex.cab O16 - DPF: {33331111-1111-1111-1111-611111193458} - file://c:\ex.cab O16 - DPF: {33331111-1111-1111-1111-622221193458} - file://c:\ex.cab O16 - DPF: {43331111-1111-1111-1111-611111195622} - file://c:\ex.cab O16 - DPF: {64311111-1111-1121-1111-111191113457} - file://c:\eied_s7.cab O21 - SSODL: SystemCheck2 - {54645654-2225-4455-44A1-9F4543D34545} - C:\WINDOWS\System32\vbsys2.dll

Co do tego:

O23 - Service: Hardware Clock Driver (hwclock) - Unknown owner - C:\WINDOWS\System32\hwclock.exe

Masz zastartować do trybu awaryjnego. Start >>> Uruchom >>> services.msc >>> na liście znaleźć Hardware Clock Driver >>> prawy klik >>> Zatrzymaj >>> prawy klik >>> Właściwości >>> typ startowy ustawić na Wyłączona Potem otworzyć HijackThis: - Scan >>> na liście zaptaszkować tylko te wpisy które tu pokazaliśmy jako szkodliwe >>> kliknąć Fix checked - Misc Tools >>> Delete NT service >>> wklepać hwclock >>> zatwierdzić Zamykasz Hijacka i idziesz by ręcznie skasować z dysku zaznaczone na czerwono pliki.

Wyplenić taki syf będzie ciężko!

Bezmyślność, goły Windows bez łatek, brak firewall, brak SP2 i używanie IE w tej formie.

Obowiązkowo skan:

Panda

Kaspersky

mks_vir

Trend

Dr.Web

Dodatkowy skan programami:

PestPatrol

Spybot Search & Destroy 1.4

Ad-aware SE Personal

CWShredder

Po czynnościach oczywiście nowy log! Będzie ciężko.

[kuz5]

W Dodaj/Usuń odinstaluj Media Gateway

Usuń: (wszystko oczywiście robisz w trybie awaryjnym z wyłączonym przywracaniem systemu)

O2 - BHO: BHObj Class - {00000010-6F7D-442C-93E3-4A4827C2E4C8} - C:\WINDOWS\nem220.dll O2 - BHO: &EliteBar - {28CAEFF3-0F18-4036-B504-51D73BD81ABC} - C:\WINDOWS\EliteToolBar\EliteToolBar version 60.dll O3 - Toolbar: &EliteBar - {825CF5BD-8862-4430-B771-0C15C5CA8DEF} - C:\WINDOWS\EliteToolBar\EliteToolBar version 60.dll O4 - HKLM…\Run: [Media Gateway] C:\Program Files\Media Gateway\MediaGateway.exe O4 - HKLM…\Run: [internet Optimizer] “C:\Program Files\Internet Optimizer\optimize.exe” O4 - HKLM…\Run: [Microsoft Update 32] wininit.exe - plik znajduje sie w C:\WINDOWS\System32\ O4 - HKLM…\Run: [Compaq Service Drivers] winsys.exe - plik znajduje sie w C:\WINDOWS\System32\ O4 - HKLM…\Run: [sERV PacK2] r34r.exe O4 - HKLM…\Run: [sECRETSERVICE] C:\WINDOWS\Temp\Cookies\l33t\virg.exe O4 - HKLM…\Run: [service Monitor] docs.exe O4 - HKLM…\Run: [etbrun] C:\windows\system32\elitejwj32.exe O4 - HKLM…\Run: [usbn] C:\WINDOWS\system32\usbn.exe -go -c200 -w4 O4 - HKLM…\RunServices: [Microsoft Update 32] wininit.exe O4 - HKLM…\RunServices: [Compaq Service Drivers] winsys.exe O4 - HKLM…\RunServices: [sERV PacK2] r34r.exe O4 - HKLM…\RunServices: [service Monitor] docs.exe O4 - HKCU…\Run: [Compaq Service Drivers] winsys.exe O4 - HKCU…\RunServices: [Compaq Service Drivers] winsys.exe O9 - Extra button: Related - {c95fe080-8f5d-11d2-a20b-00aa003c157a} - C:\WINDOWS\web\related.htm O9 - Extra ‘Tools’ menuitem: Show &Related Links - {c95fe080-8f5d-11d2-a20b-00aa003c157a} - C:\WINDOWS\web\related.htm O15 - Trusted Zone: http://awbeta.net-nucleus.com (HKLM) O16 - DPF: {15AD6789-CDB4-47E1-A9DA-992EE8E6BAD6} - http://static.windupdates.com/cab/Media … e-c403.cab O16 - DPF: {33331111-1111-1111-1111-611111193457} - file://c:\ex.cab O16 - DPF: {33331111-1111-1111-1111-611111193458} - file://c:\ex.cab O16 - DPF: {33331111-1111-1111-1111-622221193458} - file://c:\ex.cab O16 - DPF: {43331111-1111-1111-1111-611111195622} - file://c:\ex.cab O16 - DPF: {64311111-1111-1121-1111-111191113457} - file://c:\eied_s7.cab O21 - SSODL: SystemCheck2 - {54645654-2225-4455-44A1-9F4543D34545} - C:\WINDOWS\System32\vbsys2.dll

O23 - Service: Hardware Clock Driver (hwclock) - Unknown owner - C:\WINDOWS\System32\hwclock.exe

Start => Uruchom => wpisz services.msc => zatrzymaj i wylącz proces Hardware Clock Driver nastepnie odpalasz HijackThis Misc Tools => Delete NT service => wpisz hwclock => Ok i zresetuj komputer.

Syf Realteka

O4 - HKLM…\Run: [AlcxMonitor] ALCXMNTR.EXE

R3 - URLSearchHook: (no name) - _{CFBFAE00-17A6-11D0-99CB-00C04FD64497} - (no file)

Ten wpis z kreseczką “_” usuniesz edytorem rejestru Registrar Lite

Uruchom edytor w pole Address wklej ścieżke

HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\URLSearchHooks i kliknij Go poczym zostaniesz przeniesiony do tego klucza. Po prawej stronie będzie widoczny wpis _{CFBFAE00-17A6-11D0-99CB-00C04FD64497} wszystkie inne wpisy z taką samą kreseczką także kasujesz i z prawokliku kasujesz wpisy.

Jeżeli wpisy 015 będą stawiać opór to usuń je narzędziem KillTrusted 0.7

Pliki na czerwono usun ręcznie z dysku

Jak bedziesz miał problem w usunieciu jakiegoś pliku to napisz

Zrób skan programem Elite Toolbar Remover

[krv (Daryiego)]

Zawijam rękawy i do roboty. Tak to jest, kiedy zostawiasz komp na pare miesiecy bez opieki:) Serdeczne dzieki. Pozdrawiam.