Prośba o sprawdzenie - log kolegi

Dla specjalistów Bezpieczeństwo
#1

Cześć :slight_smile:

Właśnie pomagam koledze walczyć z syfem na kompie.

Stwierdziłem tu troche syfu i chciałbym prosić o pomoc, gdyż nie jestem tak dobry jak wy we sprawdzaniu logów :slight_smile:

Oto log:

Logfile of HijackThis v1.99.1

Scan saved at 18:36:52, on 2005-11-10

Platform: Windows XP (WinNT 5.01.2600)

MSIE: Internet Explorer v6.00 (6.00.2600.0000)


Running processes:

C:\WINDOWS\System32\smss.exe

C:\WINDOWS\SYSTEM32\winlogon.exe

C:\WINDOWS\system32\services.exe

C:\WINDOWS\system32\lsass.exe

C:\WINDOWS\system32\svchost.exe

C:\WINDOWS\System32\svchost.exe

C:\WINDOWS\system32\spoolsv.exe

C:\Program Files\Netropa\Multimedia Keyboard\nhksrv.exe

C:\Program Files\Panda Software\Panda Antivirus Platinum\Firewall\PavFires.exe

C:\Program Files\Panda Software\Panda Antivirus Platinum\pavsrv51.exe

C:\Program Files\Panda Software\Panda Antivirus Platinum\AVENGINE.EXE

C:\WINDOWS\SYSTEM32\rundll32.exe

C:\Program Files\Netropa\Multimedia Keyboard\MMKeybd.exe

C:\Program Files\Winamp\Winampa.exe

C:\Program Files\Common Files\Real\Update_OB\realsched.exe

C:\program files\180searchassistant\salm.exe

C:\Program Files\Media Gateway\MediaGateway.exe

C:\windows\system32\mdms.exe

C:\WINDOWS\System32\rtf32.exe

C:\WINDOWS\System32\paytime.exe

C:\Program Files\Internet Explorer\shttps\http.exe

C:\Program Files\Internet Explorer\shttps\svchost.exe

C:\Program Files\Internet Optimizer\optimize.exe

C:\WINDOWS\System32\ctfmon.exe

C:\Program Files\Messenger\msmsgs.exe

C:\Program Files\Gadu-Gadu\gg.exe

C:\winstall.exe

C:\WINDOWS\System32\paytime.exe

C:\WINDOWS\System32\sysvcs.exe

C:\Program Files\Microsoft Office\Office\FINDFAST.EXE

C:\Program Files\Microsoft Office\Office\OSA.EXE

C:\WINDOWS\tool2.exe

C:\WINDOWS\tool2.exe

C:\Program Files\Real\RealPlayer\RealPlay.exe

C:\Program Files\Panda Software\Panda Antivirus Platinum\pavProxy.exe

C:\Program Files\Netropa\Onscreen Display\OSD.exe

C:\Program Files\Gadu-Gadu\gg.exe

C:\Program Files\Internet Explorer\iexplore.exe

C:\WINDOWS\explorer.exe

C:\Documents and Settings\mirek\Ustawienia lokalne\Temp\Katalog tymczasowy 1 dla hijackthis.zip\HijackThis.exe


R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = c:\secure32.html

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = c:\secure32.html

R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = c:\secure32.html

R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = c:\secure32.html

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Local Page = c:\secure32.html

R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Local Page = c:\secure32.html

R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Łącza

R3 - URLSearchHook: (no name) - _{CFBFAE00-17A6-11D0-99CB-00C04FD64497} - (no file)

F2 - REG:system.ini: Shell=explorer.exe "C:\Program Files\Common Files\Microsoft Shared\Web Folders\ibm00001.exe"

O1 - Hosts: 127.0.0.5 n-glx.s-redirect.com

O1 - Hosts: 127.0.0.5 x.full-tgp.net

O1 - Hosts: 127.0.0.5 counter.sexmaniack.com

O1 - Hosts: 127.0.0.5 autoescrowpay.com

O1 - Hosts: 127.0.0.5 www.autoescrowpay.com

O1 - Hosts: 127.0.0.5 www.awmdabest.com

O1 - Hosts: 127.0.0.5 www.sexfiles.nu

O1 - Hosts: 127.0.0.5 awmdabest.com

O1 - Hosts: 127.0.0.5 sexfiles.nu

O1 - Hosts: 127.0.0.5 allforadult.com

O1 - Hosts: 127.0.0.5 www.allforadult.com

O1 - Hosts: 127.0.0.5 www.iframe.biz

O1 - Hosts: 127.0.0.5 iframe.biz

O1 - Hosts: 127.0.0.5 www.newiframe.biz

O1 - Hosts: 127.0.0.5 newiframe.biz

O1 - Hosts: 127.0.0.5 www.vesbiz.biz

O1 - Hosts: 127.0.0.5 vesbiz.biz

O1 - Hosts: 127.0.0.5 www.pizdato.biz

O1 - Hosts: 127.0.0.5 pizdato.biz

O1 - Hosts: 127.0.0.5 www.awmcash.biz

O1 - Hosts: 127.0.0.5 awmcash.biz

O1 - Hosts: 127.0.0.5 buldog-stats.com

O1 - Hosts: 127.0.0.5 www.buldog-stats.com

O1 - Hosts: 127.0.0.5 fregat.drocherway.com

O1 - Hosts: 127.0.0.5 slutmania.biz

O1 - Hosts: 127.0.0.5 www.slutmania.biz

O1 - Hosts: 127.0.0.5 toolbarpartner.com

O1 - Hosts: 127.0.0.5 www.toolbarpartner.com

O1 - Hosts: 127.0.0.5 www.megapornix.com

O1 - Hosts: 127.0.0.5 megapornix.com

O1 - Hosts: 127.0.0.5 www.sp2fucked.biz

O1 - Hosts: 127.0.0.5 sp2fucked.biz

O1 - Hosts: 127.0.0.5 greg-tut.com

O1 - Hosts: 127.0.0.5 www.greg-tut.com

O1 - Hosts: 127.0.0.5 nylonsexy.com

O1 - Hosts: 127.0.0.5 www.nylonsexy.com

O1 - Hosts: 127.0.0.5 vparivalka.com

O1 - Hosts: 127.0.0.5 www.vparivalka.com

O1 - Hosts: 127.0.0.5 iframeprofit.com

O1 - Hosts: 127.0.0.5 www.iframeprofit.com

O1 - Hosts: 127.0.0.5 topsearch10.com

O1 - Hosts: 127.0.0.5 www.topsearch10.com

O1 - Hosts: 127.0.0.5 statscash.biz

O1 - Hosts: 127.0.0.5 www.statscash.biz

O1 - Hosts: 127.0.0.5 vxiframe.biz

O1 - Hosts: 127.0.0.5 www.vxiframe.biz

O1 - Hosts: 127.0.0.5 crazy-toolbar.com

O1 - Hosts: 127.0.0.5 www.crazy-toolbar.com

O1 - Hosts: 127.0.0.5 topcash.biz

O1 - Hosts: 127.0.0.5 www.topcash.biz

O1 - Hosts: 127.0.0.5 loadcash.biz

O1 - Hosts: 127.0.0.5 www.loadcash.biz

O1 - Hosts: 127.0.0.5 txiframe.biz

O1 - Hosts: 127.0.0.5 www.txiframe.biz

O1 - Hosts: 127.0.0.5 procounter.biz

O1 - Hosts: 127.0.0.5 www.procounter.biz

O1 - Hosts: 127.0.0.5 advadmin.biz

O1 - Hosts: 127.0.0.5 www.advadmin.biz

O1 - Hosts: 127.0.0.5 trafficbest.net

O1 - Hosts: 127.0.0.5 www.trafficbest.net

O1 - Hosts: 127.0.0.5 besthvac.com

O1 - Hosts: 127.0.0.5 www.besthvac.com

O1 - Hosts: 127.0.0.5 traff4.com

O1 - Hosts: 127.0.0.5 www.traff4.com

O1 - Hosts: 127.0.0.5 ambush-script.com

O1 - Hosts: 127.0.0.5 www.ambush-script.com

O1 - Hosts: 127.0.0.5 beehappyy.biz

O1 - Hosts: 127.0.0.5 www.beehappyy.biz

O1 - Hosts: 127.0.0.5 tracktraff.cc

O1 - Hosts: 127.0.0.5 www.tracktraff.cc

O1 - Hosts: 127.0.0.5 allcount.net

O1 - Hosts: 127.0.0.5 www.allcount.net

O1 - Hosts: 127.0.0.5 onedayoffer.biz

O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINDOWS\System32\msdxm.ocx

O3 - Toolbar: UCmore XP - The Search Accelerator - {44BE0690-5429-47f0-85BB-3FFD8020233E} - C:\Program Files\TheSearchAccelerator\UCMTSAIE.dll

O4 - HKLM\..\Run: [NeroCheck] C:\WINDOWS\System32\NeroCheck.exe

O4 - HKLM\..\Run: [MULTIMEDIA KEYBOARD] C:\Program Files\Netropa\Multimedia Keyboard\MMKeybd.exe

O4 - HKLM\..\Run: [WinampAgent] "C:\Program Files\Winamp\Winampa.exe"

O4 - HKLM\..\Run: [SCANINICIO] "C:\Program Files\Panda Software\Panda Antivirus Platinum\Inicio.exe"

O4 - HKLM\..\Run: [APVXDWIN] "C:\Program Files\Panda Software\Panda Antivirus Platinum\APVXDWIN.EXE" /s

O4 - HKLM\..\Run: [TkBellExe] "C:\Program Files\Common Files\Real\Update_OB\realsched.exe" -osboot

O4 - HKLM\..\Run: [salm] c:\program files\180searchassistant\salm.exe

O4 - HKLM\..\Run: [adcf] C:\WINDOWS\adcf.exe

O4 - HKLM\..\Run: [Media Gateway] C:\Program Files\Media Gateway\MediaGateway.exe

O4 - HKLM\..\Run: [SysMemory manager] c:\windows\system32\mdms.exe

O4 - HKLM\..\Run: [rtf32.exe] rtf32.exe

O4 - HKLM\..\Run: [PayTime] C:\WINDOWS\System32\paytime.exe

O4 - HKLM\..\Run: [Internet Explorer] c:\Program Files\Internet Explorer\shttps\http.exe

O4 - HKLM\..\Run: [svchost] c:\Program Files\Internet Explorer\shttps\svchost.exe

O4 - HKLM\..\Run: [Internet Optimizer] "C:\Program Files\Internet Optimizer\optimize.exe"

O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\ctfmon.exe

O4 - HKCU\..\Run: [MSMSGS] "C:\Program Files\Messenger\msmsgs.exe" /background

O4 - HKCU\..\Run: [Gadu-Gadu] "C:\Program Files\Gadu-Gadu\gg.exe" /tray

O4 - HKCU\..\Run: [Shell] "C:\Program Files\Common Files\Microsoft Shared\Web Folders\ibm00001.exe"

O4 - HKCU\..\Run: [Windows installer] C:\winstall.exe

O4 - HKCU\..\Run: [PayTime] C:\WINDOWS\System32\paytime.exe

O4 - HKCU\..\Run: [aupd] C:\WINDOWS\System32\sysvcs.exe

O4 - Startup: Microsoft-Indexerstellung.lnk = C:\Program Files\Microsoft Office\Office\FINDFAST.EXE

O4 - Startup: Office-Start.lnk = C:\Program Files\Microsoft Office\Office\OSA.EXE

O9 - Extra button: Related - {c95fe080-8f5d-11d2-a20b-00aa003c157a} - C:\WINDOWS\web\related.htm

O9 - Extra 'Tools' menuitem: Show &Related Links - {c95fe080-8f5d-11d2-a20b-00aa003c157a} - C:\WINDOWS\web\related.htm

O16 - DPF: {15AD4789-CDB4-47E1-A9DA-992EE8E6BAD6} - ms-its:mhtml:file://c:\nesunel.mht!http://adextension.com/ext1/lca.chm::/bridge-c18.cab

O16 - DPF: {99410CDE-6F16-42ce-9D49-3807F78F0287} (ClientInstaller Class) - http://www.180searchassistant.com/180saax.cab

O20 - Winlogon Notify: Setup - C:\WINDOWS\system32\sqsvc.dll

O21 - SSODL: SysTray.Excn2 - {1722ECFF-4356-4f5b-B534-E67294FE75E9} - C:\WINDOWS\System32\nccgmpcj.dll

O21 - SSODL: SysTray.Exsn - {2368D1FC-2F5C-4f1b-B124-E67214FC78E2} - C:\WINDOWS\System32\fbaddlgi.dll

O23 - Service: Netropa NHK Server (nhksrv) - Unknown owner - C:\Program Files\Netropa\Multimedia Keyboard\nhksrv.exe

O23 - Service: Panda Firewall Service (PAVFIRES) - Panda Software - C:\Program Files\Panda Software\Panda Antivirus Platinum\Firewall\PavFires.exe

O23 - Service: Panda anti-virus service (PAVSRV) - Panda Software - C:\Program Files\Panda Software\Panda Antivirus Platinum\pavsrv51.exe
#2

Witam.

Wszystkie czynności wykonujesz w trybie awaryjnym [F8] w czasie bootowania komputera z wyłączonym przywracaniem systemu. Gdybyś nie wiedział, jak to zrobić, zobacz TU.

Pogrubione kasujesz z dysku oraz wszystkie wpisy z Hijacka.

R3 - URLSearchHook: (no name) - _{CFBFAE00-17A6-11D0-99CB-00C04FD64497} - (no file)

Ten wpis z kreseczką “_” usuniesz edytorem rejestru Registrar Lite

Uruchom edytor w pole Address wklej ścieżke

HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\URLSearchHooks i kliknij Go poczym zostaniesz przeniesiony do tego klucza. Po prawej stronie będzie widoczny wpis _{CFBFAE00-17A6-11D0-99CB-00C04FD64497} wszystkie inne wpisy z taką samą kreseczką także kasujesz i z prawokliku kasujesz wpisy

http://www.resplendence.com/reglite

Po czynnościach nowy log.

Opróżnij katalogi TEMP, Prefetch z katalogu systemowego WINDOWS.

Nie mówiąc już o SP2 i innych.

Jeśli będą problemy z usuwaniem, używasz narzędzia KillBox,

http://www.downloads.subratam.org/KillBox.zip

Info:

Odpalasz Killboxa zaznacz opcję Delete on Reboot następnie w polu Full Path of File to Delete wklej ścieżkę (przykład):

C:\WINDOWS\System32\xxx.exe

następnie program będzie pytał o restart (oczywiście zgadzasz się).

#3

Nie tak łatwo:

z tymi wpisami nie pójdzie łatwo poczytaj Usuwanie fałszywej tapety SpySheriff - http://www.searchengines.pl/phpbb203/in … opic=31936

oraz: Usuwanie VX2.BetterInternet

Usuwanie Trojan.Repsamo - http://www.searchengines.pl/phpbb203/in … opic=12510