Nie otwierają się strony Onetu i Interii

Dla specjalistów Bezpieczeństwo
#1

U mojej koleżanki spotkałem się z takim problemem.

Pod Mozillą oraz Operą nie wyświetlają się strony Onetu oraz Interii, natomiast pod IE wszystko hula.

Dokładnie dzieje się tak iż - stroną się na chwilę wyświetla poczym po niecałej sekundzie znika - a na dole w przeglądarce wyświetlana jest informacja. OCZEKIWANIE NA http://www.google-analytics.com…****.

Nadmieniam iż przeglądarki ze wszystkimi podfolderami tymi zwykłymi i ukrytymi usunąłem, pozbyłem się też wpisów do rejestru.

Przeskanowałem komputer. zdefragmentowałem rejestr, przeczyściłem kompa i po ponownym zainstalowaniu przeglądarek problem się powtórzył.

Poniżej wklejam Loga i zdjęcia “otwartych” stron Onetu i Interii

aaa1.JPG

aaa1.JPG

Logfile of Trend Micro HijackThis v2.0.2

Scan saved at 21:36:58, on 2010-04-15

Platform: Windows XP Dodatek SP2 (WinNT 5.01.2600)

MSIE: Internet Explorer v7.00 (7.00.6000.16640)

Boot mode: Normal

Running processes:

C:\WINDOWS\System32\smss.exe

C:\WINDOWS\system32\winlogon.exe

C:\WINDOWS\system32\services.exe

C:\WINDOWS\system32\lsass.exe

C:\WINDOWS\system32\Ati2evxx.exe

C:\WINDOWS\system32\svchost.exe

C:\WINDOWS\System32\svchost.exe

C:\WINDOWS\system32\Ati2evxx.exe

C:\WINDOWS\system32\spoolsv.exe

C:\Program Files\Avira\AntiVir Desktop\sched.exe

C:\Program Files\Avira\AntiVir Desktop\avguard.exe

C:\Program Files\Common Files\LightScribe\LSSrvc.exe

C:\Program Files\Spyware Terminator\sp_rsser.exe

C:\WINDOWS\System32\PAStiSvc.exe

C:\WINDOWS\system32\svchost.exe

C:\Program Files\Avira\AntiVir Desktop\avshadow.exe

C:\WINDOWS\Explorer.EXE

C:\WINDOWS\SOUNDMAN.EXE

C:\Program Files\Avira\AntiVir Desktop\avgnt.exe

C:\WINDOWS\system32\ctfmon.exe

C:\Program Files\Skype\Phone\Skype.exe

C:\Program Files\ipla\ipla.exe

C:\Program Files\Gadu-Gadu 10\gg.exe

C:\Program Files\Spyware Terminator\SpywareTerminatorUpdate.exe

C:\Program Files\Skype\Plugin Manager\skypePM.exe

C:\totalcmd\TOTALCMD.EXE

C:\WINDOWS\system32\NOTEPAD.EXE

C:\Program Files\Mozilla 3.6.3\firefox.exe

C:\Program Files\Trend Micro\HijackThis\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.google.pl/

R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://go.microsoft.com/fwlink/?LinkId=69157

R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://go.microsoft.com/fwlink/?LinkId=54896

R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = http://go.microsoft.com/fwlink/?LinkId=54896

R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = http://go.microsoft.com/fwlink/?LinkId=69157

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Local Page =

R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Łącza

O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Program Files\Adobe\Acrobat 7.0\ActiveX\AcroIEHelper.dll

O2 - BHO: (no name) - {53707962-6F74-2D53-2644-206D7942484F} - (no file)

O2 - BHO: IEPluginBHO - {F5CC7F02-6F4E-4462-B5B1-394A57FD3E0D} - C:\Documents and Settings\beven\Dane aplikacji\Gadu-Gadu 10_userdata\ggbho.2.dll

O4 - HKLM…\Run: [soundMan] SOUNDMAN.EXE

O4 - HKLM…\Run: [NeroFilterCheck] C:\Program Files\Common Files\Ahead\Lib\NeroCheck.exe

O4 - HKLM…\Run: [avgnt] “C:\Program Files\Avira\AntiVir Desktop\avgnt.exe” /min

O4 - HKCU…\Run: [ctfmon.exe] C:\WINDOWS\system32\ctfmon.exe

O4 - HKCU…\Run: [skype] “C:\Program Files\Skype\Phone\Skype.exe” /nosplash /minimized

O4 - HKCU…\Run: [iPLA!] C:\Program Files\ipla\ipla.exe /autorun

O4 - HKCU…\Run: [Gadu-Gadu 10] “C:\Program Files\Gadu-Gadu 10\gg.exe”

O4 - HKCU…\Run: [spywareTerminatorUpdate] “C:\Program Files\Spyware Terminator\SpywareTerminatorUpdate.exe”

O4 - HKUS\S-1-5-19…\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User ‘USŁUGA LOKALNA’)

O4 - HKUS\S-1-5-20…\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User ‘USŁUGA SIECIOWA’)

O4 - HKUS\S-1-5-18…\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User ‘SYSTEM’)

O4 - HKUS.DEFAULT…\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User ‘Default user’)

O8 - Extra context menu item: Eksport do programu Microsoft Excel - res://C:\PROGRA~1\MICROS~2\OFFICE11\EXCEL.EXE/3000

O9 - Extra button: Badanie - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - C:\PROGRA~1\MICROS~2\OFFICE11\REFIEBAR.DLL

O9 - Extra button: (no name) - {e2e2dd38-d088-4134-82b7-f2ba38496583} - C:\WINDOWS\Network Diagnostic\xpnetdiag.exe

O9 - Extra ‘Tools’ menuitem: @xpsp3res.dll,-20001 - {e2e2dd38-d088-4134-82b7-f2ba38496583} - C:\WINDOWS\Network Diagnostic\xpnetdiag.exe

O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe

O9 - Extra ‘Tools’ menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe

O10 - Unknown file in Winsock LSP: c:\windows\system32\nwprovau.dll

O16 - DPF: {68282C51-9459-467B-95BF-3C0E89627E55} (MksSkanerOnline Class) - http://www.mks.com.pl/skaner/SkanerOnline.cab

O17 - HKLM\System\CCS\Services\Tcpip…{1B43485D-C6DF-478E-BFA4-6C0BB5589D27}: NameServer = 85.255.114.196,85.255.112.67

O17 - HKLM\System\CCS\Services\Tcpip…{37B96C4B-7E15-4BA8-A194-525BA94F9D49}: NameServer = 85.255.114.196,85.255.112.67

O17 - HKLM\System\CCS\Services\Tcpip…{98D6AFEF-92EC-4B9D-AD17-857F91A0E756}: NameServer = 85.255.114.196,85.255.112.67

O17 - HKLM\System\CS1\Services\Tcpip…{1B43485D-C6DF-478E-BFA4-6C0BB5589D27}: NameServer = 85.255.114.196,85.255.112.67

O17 - HKLM\System\CS2\Services\Tcpip…{1B43485D-C6DF-478E-BFA4-6C0BB5589D27}: NameServer = 85.255.114.196,85.255.112.67

O18 - Protocol: skype4com - {FFC8B962-9B40-4DFF-9458-1830C7DD7F5D} - C:\PROGRA~1\COMMON~1\Skype\SKYPE4~1.DLL

O23 - Service: Avira AntiVir Scheduler (AntiVirSchedulerService) - Avira GmbH - C:\Program Files\Avira\AntiVir Desktop\sched.exe

O23 - Service: Avira AntiVir Guard (AntiVirService) - Avira GmbH - C:\Program Files\Avira\AntiVir Desktop\avguard.exe

O23 - Service: Ati HotKey Poller - ATI Technologies Inc. - C:\WINDOWS\system32\Ati2evxx.exe

O23 - Service: ATI Smart - Unknown owner - C:\WINDOWS\system32\ati2sgag.exe

O23 - Service: Usługa Google Update (gupdate1c9b90d250c8c24) (gupdate1c9b90d250c8c24) - Google Inc. - C:\Program Files\Google\Update\GoogleUpdate.exe

O23 - Service: InstallDriver Table Manager (IDriverT) - Macrovision Corporation - C:\Program Files\Common Files\InstallShield\Driver\1050\Intel 32\IDriverT.exe

O23 - Service: LightScribeService Direct Disc Labeling Service (LightScribeService) - Hewlett-Packard Company - C:\Program Files\Common Files\LightScribe\LSSrvc.exe

O23 - Service: NMIndexingService - Nero AG - C:\Program Files\Common Files\Ahead\Lib\NMIndexingService.exe

O23 - Service: Spyware Terminator Realtime Shield Service (sp_rssrv) - Crawler.com - C:\Program Files\Spyware Terminator\sp_rsser.exe

O23 - Service: STI Simulator - Unknown owner - C:\WINDOWS\System32\PAStiSvc.exe

#2

Zawartość logów wklejasz na wklej.org, wklej.to lub nopaste.pl, a w poście dajesz link.

W logu widać szkodliwe DNS-y, które by tłumaczyły złe działanie internetu:

Ustaw na sztywno DNS-y Google: http://techie-buzz.com/how-to/google-pu … winxp.html

Po tym wykonaj również: Start -> Uruchom… -> ipconfig /flushdns

Pokaż logi z narzędzia OTL.

Ustawiasz go jak na tym obrazku.

Klikasz Run Scan.

Pokazujesz dwa wynikowe logi OTL.txt + Extras.txt

#3

Dopiero dzisiaj z braku czasu - zająłem się tym problemem, zrobiłem zalecane kroki , pozamieniałem DNS na google. ale nie pomogło.

Ja w każdym razie juz pomysłu nie mam.

#4

Pokaż więc logi, o które wcześniej prosiłem i w odpowiedni sposób (nie do posta).

#5

Poszedłem po owego “LOGa” - ale ze nie byłem pewny czy za pierwszym razem wszystko dobrze ustawiłem.

Wykonałem skanowanie OTL raz jeszcze. (Podczas skanowania byłą uruchomiona Mozilla, nie wiem czy ma to znaczenie ale nie chce niczego pomijać)

Po wykonaniu skanu, pomyślałem że może dobrze wykonać drugi ale z próbą połączenia się ze stroną onetu i wówczas okazało się że strona Onetu oraz interii się wyświetla.

Chciałbym jeszcze wspomnieć iż wcześniej poza wykonaną zamianą “DNSów” usunąłem trzy pozostałe wpisy a zostawiłem dwa

O17 - HKLM\System\CCS\Services\Tcpip…{1B43485D-C6DF-478E-BFA4-6C0BB5589D27}: NameServer = 85.255.114.196,85.255.112.67

O17 - HKLM\System\CCS\Services\Tcpip…{37B96C4B-7E15-4BA8-A194-525BA94F9D49}: NameServer = 85.255.114.196,85.255.112.67

O17 - HKLM\System\CCS\Services\Tcpip…{98D6AFEF-92EC-4B9D-AD17-857F91A0E756}: NameServer = 85.255.114.196,85.255.112.67

O17 - HKLM\System\CS1\Services\Tcpip…{1B43485D-C6DF-478E-BFA4-6C0BB5589D27}: NameServer = 85.255.114.196,85.255.112.67

O17 - HKLM\System\CS2\Services\Tcpip…{1B43485D-C6DF-478E-BFA4-6C0BB5589D27}: NameServer = 85.255.114.196,85.255.112.67

Poniżej zamieszczam dwa LOGI z OTL i jeden HijackThis

http://wklej.org/id/317876/

http://wklej.org/id/317879/

http://wklej.org/id/317881/

Byłbym wdzięczny za jakąś hipotezę - bowiem problem się rozwiązał ale nie wiem dalej co było powodem - ani nie wiem jakie moje działanie mogło przynieść skutek, jeżeli w ogóle było to moje działanie.

#6

Teraz DNS-y są prawidłowe, więc to normalne, że wspomniane strony działają:

W logu też nie widać innych zagrożeń, jest czysto.

Poza tym dwa razy wstawiłeś log OTL.txt.

Extras.txt też jest mi potrzebny

#7

OTL w oknie Custom Scans-Fixes wklej następujący skrypt:

Kliknij w Run Fix. Zatwierdź restart komputera.

potem nowy log OTL robiony opcją Run Scan

:slight_smile: