Problem z winntdll.exe i DR.PSW.Gadu.J.2

Dla specjalistów Bezpieczeństwo
#1

Witam i od razu przepraszam, jesli moja wypowiedz bedzie irytujaca, z gory uprzedzam, ze jestem amatorka, jesli chodzi o komputery…

Do rzeczy. Kilka dni temu pojawil sie komunikat o przeniesieniu pamiec z gg (o ile sie nie myle tak to brzmialo:>) na pulpicie pojawil sie plik gg.dll (ktorego de facto do tej pory nie usunelam, bo sie balam :x). Pozniej juz przy kazdemu uruchamianiu systemu pojawial sie komuniat, iz winntdll.exe jest zainfekowany oraz pojawily sie ogolne problemy z gg…

Poszperalam troszke na Waszym forum i z pomoca przyjaciela informatyka (wielkie dziekuje;)) usunelam kilka plikow, ktore powinnam usunac…

Tak dla pewnosci prosze jednak o sprawdzenie jeszcze loga:

Logfile of HijackThis v1.99.1

Scan saved at 05:50:45, on 2006-11-26

Platform: Windows XP Dodatek SP. 1 (WinNT 5.01.2600)

MSIE: Internet Explorer v6.00 SP1 (6.00.2800.1106)


Running processes:

C:\WINDOWS\System32\smss.exe

C:\WINDOWS\system32\winlogon.exe

C:\WINDOWS\system32\services.exe

C:\WINDOWS\system32\lsass.exe

C:\WINDOWS\system32\svchost.exe

C:\WINDOWS\System32\svchost.exe

C:\WINDOWS\Explorer.EXE

C:\WINDOWS\system32\spoolsv.exe

C:\Program Files\AntiVir PersonalEdition Classic\sched.exe

C:\Program Files\AntiVir PersonalEdition Classic\avguard.exe

C:\WINDOWS\System32\Fmctrl.EXE

C:\Program Files\AntiVir PersonalEdition Classic\avgnt.exe

C:\Program Files\D-Tools\daemon.exe

C:\WINDOWS\System32\ctfmon.exe

C:\Program Files\Gadu-Gadu\gg.exe

C:\Program Files\Agnitum\Outpost Firewall\outpost.exe

C:\Program Files\Internet Explorer\IEXPLORE.EXE

E:\Moje Dokumenty\hjatecks\HijackThis.exe


R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.onet.pl/

R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Łącza

O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Program Files\Adobe\Acrobat 5.0 CE\Reader\ActiveX\AcroIEHelper.ocx

O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINDOWS\System32\msdxm.ocx

O3 - Toolbar: (no name) - {E0E899AB-F487-11D5-8D29-0050BA6940E3} - (no file)

O4 - HKLM\..\Run: [NeroFilterCheck] C:\WINDOWS\system32\NeroCheck.exe

O4 - HKLM\..\Run: [SystemTray] SysTray.Exe

O4 - HKLM\..\Run: [FmctrlTray] Fmctrl.EXE

O4 - HKLM\..\Run: [avgnt] "C:\Program Files\AntiVir PersonalEdition Classic\avgnt.exe" /min

O4 - HKLM\..\Run: [DAEMON Tools-1033] "C:\Program Files\D-Tools\daemon.exe" -lang 1033

O4 - HKLM\..\Run: [Outpost Firewall] "C:\Program Files\Agnitum\Outpost Firewall\outpost.exe" /waitservice

O4 - HKLM\..\Run: [OutpostFeedBack] C:\Program Files\Agnitum\Outpost Firewall\feedback.exe /dump:os_startup

O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\ctfmon.exe

O4 - Global Startup: Microsoft Office.lnk = C:\Program Files\Microsoft Office\Office\OSA9.EXE

O9 - Extra button: Szybkie dostosowywanie programu Outpost Firewall Pro - {44627E97-789B-40d4-B5C2-58BD171129A1} - C:\Program Files\Agnitum\Outpost Firewall\Plugins\BrowserBar\ie_bar.dll

O9 - Extra button: Related - {c95fe080-8f5d-11d2-a20b-00aa003c157a} - C:\WINDOWS\web\related.htm

O9 - Extra 'Tools' menuitem: Show &Related Links - {c95fe080-8f5d-11d2-a20b-00aa003c157a} - C:\WINDOWS\web\related.htm

O16 - DPF: {1A781DED-C22D-4153-3213-A3211E29DF13} (GameDesire Card Games) - http://67.15.101.3/g_bin/pl/cards_2_0_0_66.cab

O16 - DPF: {31B7EB4E-8B4B-11D1-A789-00A0CC6651A8} (Cult3D ActiveX Player) - http://www.cult3d.com/download/cult.cab

O16 - DPF: {5A09E43F-A0A7-4ABF-AF80-11367CF1DC8F} (MainControl Class) - http://mks.com.pl/skaner/SkanerOnline.cab

O16 - DPF: {6414512B-B978-451D-A0D8-FCFDF33E833C} (WUWebControl Class) - http://update.microsoft.com/microsoftupdate/v6/V5Controls/en/x86/client/wuweb_site.cab?1131276188042

O16 - DPF: {6E32070A-766D-4EE6-879C-DC1FA91D2FC3} (MUWebControl Class) - http://update.microsoft.com/microsoftupdate/v6/V5Controls/en/x86/client/muweb_site.cab?1131276060119

O16 - DPF: {E7544C6C-CFD6-43EA-B4E9-360CEE20BDF7} (MainControl Class) - http://skaner.mks.com.pl/SkanerOnline.cab

O16 - DPF: {FDDBE2B8-6602-4AD8-946D-94C5A32FA6C1} (GameDesire Pool 8) - http://67.15.101.3/g_bin/pl/billard8_2_0_0_24.cab

O17 - HKLM\System\CCS\Services\Tcpip\..\{C155B695-0DB5-41A1-B364-703B80B33D6F}: NameServer = 217.96.107.2

O17 - HKLM\System\CCS\Services\Tcpip\..\{EF70D4E6-AA38-4BF0-9869-5BAFFEB6F4EA}: NameServer = 217.96.107.2,193.16.255.2

O20 - AppInit_DLLs: C:\PROGRA~1\Agnitum\OUTPOS~1\wl_hook.dll

O23 - Service: AntiVir PersonalEdition Classic Scheduler (AntiVirScheduler) - Avira GmbH - C:\Program Files\AntiVir PersonalEdition Classic\sched.exe

O23 - Service: AntiVir PersonalEdition Classic Guard (AntiVirService) - AVIRA GmbH - C:\Program Files\AntiVir PersonalEdition Classic\avguard.exe

O23 - Service: Outpost Firewall Service (OutpostFirewall) - Agnitum Ltd. - C:\Program Files\Agnitum\Outpost Firewall\outpost.exe

Z gory bardzo dziekuje, pozdrawiam :slight_smile:

#2

Hijackiem skasuj ten wpis.

Daj log z Silent Runners – tu masz opis.

Plik gg.dll skasuj.

EDIT Gutek2222:

skasuj te wpisy HJT

Pozdrawiam Gutek

#3

dziekuje za odpowiedz, usunelam te 3 wpisy.

Nowy i mam nadzieje, ze juz czysty log z HJT:

oraz log z Silent Runners:

ponownie prosze o sprawdzenie:)

#4

Czysto :slight_smile:

#5

ufff, jaka ulga:)

Bardzo, bardzo dziekuje:)

Złączono Posta : 27.11.2006 (Pon) 17:02

ponownie z tym samym problemem…

log wydaje sie byc czysty, ale znow pojawiaja sie komuniaty, ze winntdll.exe jest zainfekowany…

antyvir wskazuje mi, ze to :

C:\Documents and Settings\Abc\winntdll.exe

TR/Pakes.A.1082

doprawdy nie wiem skad to paskudztwo mi sie bierze, prosze o pomoc jak sie tego pozbyc :frowning:

Złączono Posta : 28.11.2006 (Wto) 11:27

Nadal prosze o pomoc z tym trojanem…

Zaraz nastepnego dnia trojan sie znow pojawil, tym razem jednak bez problemu antywirus sam go usunal…jednak nadal pokazuja sie komunikaty o :

C:\System Volume Information…\A0382601.exe

DR.PSW.Gadu.J.2

usuwa sie bez problemu, ale za kilka godzin znow sie pojawia…czasami w innych plikach…ale pod ta sama nazwa…byc moze to zly trop, ale wydaje mi sie, ze to ma cos wspolnego z tym wczesniejszym winntdll.exe:(

i oto najnowszy log…

#6

do gory :>

#7

Ściągasz narzędzie KillBox, zaznaczasz Delete on Reboot, potem klikasz All Files i wklejasz do pola Full Path of File to Delete ścieżki:

C:\Documents and Settings\Abc\winntdll.exe

Klikasz X i reset sysa.

Wyłącz na chwilę przywracanie systemu > opróżni się folder System Volume Information.

(Panel sterowania -> System -> Przywracanie systemu -> zaznaczasz „Wyłącz przywracanie systemu” ).

Użyj ATF-Cleaner – wyczyści tempy.

Zainstaluj SP2. :slight_smile:

#8

przepraszam, ale jeszcze chwilke pomarudze :x

po pierwsze nie mam pliku winntdll.exe - antywir go wczoraj niby usunal…

ale ciagle pojawia sie DR.PSW.Gadu.J.2 - coz to takiego w ogole?:>

i po trzecie szperalam troszke na forum i gdzie-sie-da… i znalazlam kilka sposobow usuwania tego czegos:)

i…

i co w koncu zrobic? zglupialam :frowning: w zasadzie winntdll juz mi nie znajduje, tylko DR.PSW.Gadu.J.2

przepraszam, ze tak truje, ale mecze sie juz z tym kilka dni :slight_smile:

#9

Wyłączyłaś przywracanie, tak jak prosiłam?

Nie masz żadnej z infekcji, których sposoby usuwania wkleiłaś. :slight_smile:

Na jakie pliki wskazuje antywir przy raportowaniu wirusa?

#10

jeszcze nie, bo jeszcze nic nie zrobilam :x

na poczatku wskazywal na winntdll.exe - usunelam. pojawil sie ponownie - znow usunelam.

Od wczoraj wskazuje na cos takiego :

C:\System Volume Information…\A0382601.exe

DR.PSW.Gadu.J.2

Kasuje sie bez problemu, po kilku godzinach czary-mary znow sie pojawia:)

pomyslalam, ze moze nie do konca poprawnie usunelam tego wczesniejszego winntdll.exe :> naprawde juz zglupialam… wczoraj jeszcze inny trojan wkazywal plik mirc.exe …ale z tym juz sie uporalam.

Ten drugi sposob, ktory podalam dotyczny ponoc usuwania winntdll.exe gg.dll …czyli to co wczesniej mialam :x namieszalam :slight_smile:

#11

Dobra. Wiem czego dotyczy, ale Ty tego nie masz :wink:

Jeśli na dysku jest plik simpler.exe , gdziekolwiek - znajdujesz i kasujesz.

Wyłączasz przywracanie, resetujesz kompa i zobacz czy ok :slight_smile:

#12

oki, oki… ja sie nie znam :slight_smile: simpler.exe nie znaleziono…hmm…

za chwilke zrobie to, co napisalas na poczatku :slight_smile:

dam znac :wink: dzieki ogromne za cierpliwosc :slight_smile:

Złączono Posta : 28.11.2006 (Wto) 14:34

Poza zainstalowaniem SP2 zrobilam juz cala reszte:) Na razie wszystko dobrze :slight_smile: aczkolwiek “to cos brzydkiego” pojawia sie co kilka godzin, wiec w razie potrzeby jeszcze sie zglosze :wink:

Tak czy inaczej dziekuje za bezinteresowna pomoc :slight_smile: Milo, ze sa jeszcze tacy ludzie :slight_smile:

#13

iluzja proszę stosować polskie znaki i zasady gramatyki.

Jak mówi Regulamin Forum.