Prosze o sprawdzenie loga. Thx:)

syfiosz · 29 Styczeń 2005 09:40

Logfile of HijackThis v1.99.0

Scan saved at 10:39:45, on 05-01-29

Platform: Windows 98 SE (Win9x 4.10.2222A)

MSIE: Internet Explorer v6.00 (6.00.2600.0000)

Running processes:

C:\WINDOWS\SYSTEM\KERNEL32.DLL

C:\WINDOWS\SYSTEM\MSGSRV32.EXE

C:\WINDOWS\SYSTEM\MPREXE.EXE

C:\WINDOWS\SYSTEM\MDM.EXE

C:\WINDOWS\SYSTEM\MSTASK.EXE

C:\FIREWALLE\OUTPOST PL\OUTPOST FIREWALL 1.0\OUTPOST.EXE

D:\AVAST!\ASHSERV.EXE

C:\WINDOWS\SYSTEM\mmtask.tsk

C:\WINDOWS\EXPLORER.EXE

C:\WINDOWS\SYSTEM\RPCSS.EXE

C:\WINDOWS\TASKMON.EXE

C:\WINDOWS\SYSTEM\SYSTRAY.EXE

C:\WINDOWS\SYSTEM\DDHELP.EXE

C:\PROGRAM FILES\CREATIVE\AUDIO\PROGRAM\CTMIX32.EXE

C:\WINDOWS\SYSTEM\HPZTSB03.EXE

C:\WINDOWS\SYSTEM\STIMON.EXE

C:\PROGRAM FILES\SCANSOFT\PAPERPORT\FBDIRECT.EXE

C:\WINDOWS\SYSTEM\INTERNAT.EXE

C:\WINDOWS\SYSTEM\SPOOL32.EXE

C:\PROGRAM FILES\WANADOO\TASKBARICON.EXE

D:\AVAST!\ASHMAISV.EXE

C:\PROGRAM FILES\SAGEM\SAGEM F@ST 800-840\DSLMON.EXE

D:\ANTY TROJANY\TROJAN SHIELD\ST.EXE

C:\WINDOWS\SYSTEM\WMIEXE.EXE

C:\PROGRAM FILES\WANADOO\ESPACEWANADOO.EXE

C:\PROGRAM FILES\WANADOO\COMCOMP.EXE

C:\WINDOWS\SYSTEM\TAPISRV.EXE

C:\PROGRAM FILES\WANADOO\WATCH.EXE

C:\WINDOWS\SYSTEM\RNAAPP.EXE

C:\PROGRAM FILES\INTERNET EXPLORER\IEXPLORE.EXE

C:\PROGRAM FILES\WINAMP\WINAMP.EXE

D:\HIJACKTHIS\HIJACKTHIS.EXE

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.onet.pl/

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Window Title = Neostrada Plus wita Cie w Internecie

R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Łącza

O2 - BHO: (no name) - {A5366673-E8CA-11D3-9CD9-0090271D075B} - (no file)

O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\PROGRAM FILES\ADOBE ACROBAT\READER\ACTIVEX\ACROIEHELPER.OCX

O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINDOWS\SYSTEM\MSDXM.OCX

O4 - HKLM…\Run: [scanRegistry] C:\WINDOWS\scanregw.exe /autorun

O4 - HKLM…\Run: [TaskMonitor] C:\WINDOWS\taskmon.exe

O4 - HKLM…\Run: [systemTray] SysTray.ExE

O4 - HKLM…\Run: [LoadPowerProfile] Rundll32.exe powrprof.dll,LoadCurrentPwrScheme

O4 - HKLM…\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\SYSTEM\NvCpl.dll,NvStartup

O4 - HKLM…\Run: [nwiz] nwiz.exe /install

O4 - HKLM…\Run: [Zasobnik systemowy] SysTray.Exe

O4 - HKLM…\Run: [EnsoniqMixer] starter.exe

O4 - HKLM…\Run: [CreativeMixer] C:\Program Files\Creative\Audio\PROGRAM\CTMIX32.EXE /t

O4 - HKLM…\Run: [HPDJ Taskbar Utility] C:\WINDOWS\SYSTEM\hpztsb03.exe

O4 - HKLM…\Run: [stillImageMonitor] C:\WINDOWS\SYSTEM\STIMON.EXE

O4 - HKLM…\Run: [PP7600USB] C:\PROGRA~1\SCANSOFT\PAPERP~1\FBDirect.exe

O4 - HKLM…\Run: [internat.exe] internat.exe

O4 - HKLM…\Run: [autoclk] autoclk.exe

O4 - HKLM…\Run: [WOOWATCH] C:\PROGRA~1\WANADOO\Watch.exe

O4 - HKLM…\Run: [WOOTASKBARICON] C:\PROGRA~1\WANADOO\TaskbarIcon.exe

O4 - HKLM…\Run: [Outpost Firewall] C:\FIREWA~1\OUTPOS~2\OUTPOS~1.0\outpost.exe /waitservice

O4 - HKLM…\Run: [Kernel32] C:\WINDOWS\SYSTEM\Kernel.dll

O4 - HKLM…\Run: [ashMaiSv] D:\AVAST!\ashmaisv.exe

O4 - HKLM…\RunServices: [LoadPowerProfile] Rundll32.exe powrprof.dll,LoadCurrentPwrScheme

O4 - HKLM…\RunServices: [Machine Debug Manager] C:\WINDOWS\SYSTEM\MDM.EXE

O4 - HKLM…\RunServices: [schedulingAgent] mstask.exe

O4 - HKLM…\RunServices: [TrojanShield Protector] D:\ANTY TROJANY\TROJAN SHIELD\Port.exe

O4 - HKLM…\RunServices: [Outpost Firewall] C:\FIREWALLE\OUTPOST PL\OUTPOST FIREWALL 1.0\outpost.exe /service

O4 - HKLM…\RunServices: [avast!] D:\Avast!\ashServ.exe

O4 - Startup: DSLMON.lnk = C:\Program Files\SAGEM\SAGEM F@st 800-840\dslmon.exe

O4 - Startup: TrojanShield.lnk = D:\anty trojany\trojan shield\Init.exe

O16 - DPF: {9A9307A0-7DA4-4DAF-B042-5009F29E09E1} (ActiveScan Installer Class) - http://www.pandasoftware.com/activescan/as5/asinst.cab

O16 - DPF: {E7544C6C-CFD6-43EA-B4E9-360CEE20BDF7} (MainControl Class) - http://skaner.mks.com.pl/SkanerOnline.cab

O16 - DPF: {2BC66F54-93A8-11D3-BEB6-00105AA9B6AE} (Symantec AntiVirus scanner) - http://security.symantec.com/sscv6/Shar … vSniff.cab

O16 - DPF: {644E432F-49D3-41A1-8DD5-E099162EEEC5} (Symantec RuFSI Utility Class) - http://security.symantec.com/sscv6/Shar … /cabsa.cab

Aha i jakby bylo coś do usunięcia to prosze o poradę (krok po kroku) jak tego dokonać, jestem słaby w te klocki , z góry thx

Serek · 29 Styczeń 2005 09:47

do usuniecia w trybie awaryjnym:

O4 - HKLM…\Run: [Kernel32] C:\WINDOWS\SYSTEM\Kernel.dll

Usuwasz hijack`iem

syfiosz · 29 Styczeń 2005 09:49

A wiesz może co to jest ?? :o

O4 - HKLM…\Run: [Kernel32] C:\WINDOWS\SYSTEM\Kernel.dll

Usuwasz hijack`iem

DUCH · 29 Styczeń 2005 09:52

syfiosz

Redlof jest robakiem internetowym napisanym w języku Visual Basic Script, którego działanie polega na rozsyłaniu własnych kopii za pomocą poczty elektronicznej. Zwykle robak pojawia się w komputerze ofiary w postaci kodu w treści listu elektronicznego. Po uruchomieniu przez użytkownika robaka tworzy on na dysku swoją kopię w pliku c:\windows\system\kernel.dll oraz modyfikuje tak rejestr by była ona uruchamiana przy każdym starcie systemu Windows. Następnie robak w każdym katalogu tworzy lub modyfikuje istniejące pliki o nazwach: folder.htt i desktop.ini zawierające jego kod. Na koniec robak tworzy papeterię programu Microsoft Outlook i Outlook Express do wysyłania listów w formacie HTML o nazwie blank zawierającą jego kod oraz ustawia ją jako domyślną. W efekcie wszystkie wysyłane od tego momentu listy zawierają wirusa. Tekst: MKS Sp. z o.o.

jednak radzę poczekać na wyspecjalizowanych w dziedzinie logów… :lol:

stachan · 29 Styczeń 2005 09:52

:roll: wg mnie do wywalenia na pewno:

O2 - BHO: (no name) - {A5366673-E8CA-11D3-9CD9-0090271D075B} - (no file)

O4 - HKLM…\Run: [Kernel32] C:\WINDOWS\SYSTEM\Kernel.dll

rzeczy podejrzane (wywal jeśli nie znasz):

O4 - HKLM…\Run: [HPDJ Taskbar Utility] C:\WINDOWS\SYSTEM\hpztsb03.exe

O4 - HKLM…\Run: [PP7600USB] C:\PROGRA~1\SCANSOFT\PAPERP~1\FBDirect.exe

O4 - HKLM…\Run: [autoclk] autoclk.exe

ponadto doradzam odinstalowanie aplikacji TP neostrada i przejście na autoconect

poczekaj jeszcze na opinie innych

syfiosz · 29 Styczeń 2005 09:54

skanowałem tą scieżkę kasperskym on-line C:\WINDOWS\SYSTEM\Kernel.dll i nic nie wykrył, więc czy usuwać??

Kamcia_18 · 29 Styczeń 2005 09:56

O4 - HKLM…\Run: [Kernel32] C:\WINDOWS\SYSTEM\Kernel.dll

[NO - REDLOF.M VIRUS!]

usuniesz go tym

–F-Secure–

http://support.f-secure.com/enu/home/ols.shtml

–GeCAD (RAV)–

http://www.ravantivirus.com/scan/

lub

–Trend Micro (PC-cillin)–

http://housecall.trendmicro.com/houseca … t_corp.asp

O2 - BHO: (no name) - {A5366673-E8CA-11D3-9CD9-0090271D075B} - (no file)

[OK - FlashGet]

sciagnij sobie to i tym przeskanuj HDD

http://download.nai.com/products/mcafee … tinger.exe

oraz

http://dobreprogramy.com/index.php?dz=2&t=73&id=846

syfiosz · 29 Styczeń 2005 15:14

Tylko taki problem bo Avast! przechowuje ten plik jako plik systemowy, więc czy przechowywał by wirusa

Serek · 29 Styczeń 2005 18:20

Dalismy Ci rade byś to usunął bo to jest wirus a decyzja należy do ciebie.

syfiosz · 1 Luty 2005 10:02

usunąłem to wiec prosze was o jeszcze raz sprawdzenie loga chce mieć pewność że wszystko OK

Logfile of HijackThis v1.99.0

Scan saved at 11:00:16, on 05-02-01

Platform: Windows 98 SE (Win9x 4.10.2222A)

MSIE: Internet Explorer v6.00 (6.00.2600.0000)

Running processes:

C:\WINDOWS\SYSTEM\KERNEL32.DLL

C:\WINDOWS\SYSTEM\MSGSRV32.EXE

C:\WINDOWS\SYSTEM\SPOOL32.EXE

C:\WINDOWS\SYSTEM\MPREXE.EXE

C:\WINDOWS\SYSTEM\MDM.EXE

C:\WINDOWS\SYSTEM\MSTASK.EXE

C:\FIREWALLE\OUTPOST PL\OUTPOST FIREWALL 1.0\OUTPOST.EXE

D:\AVAST!\ASHSERV.EXE

C:\WINDOWS\SYSTEM\mmtask.tsk

C:\WINDOWS\EXPLORER.EXE

C:\WINDOWS\SYSTEM\RPCSS.EXE

C:\WINDOWS\TASKMON.EXE

C:\WINDOWS\SYSTEM\SYSTRAY.EXE

C:\PROGRAM FILES\CREATIVE\AUDIO\PROGRAM\CTMIX32.EXE

C:\WINDOWS\SYSTEM\DDHELP.EXE

C:\WINDOWS\SYSTEM\HPZTSB03.EXE

C:\WINDOWS\SYSTEM\STIMON.EXE

C:\PROGRAM FILES\SCANSOFT\PAPERPORT\FBDIRECT.EXE

C:\WINDOWS\SYSTEM\INTERNAT.EXE

C:\PROGRAM FILES\WANADOO\TASKBARICON.EXE

D:\AVAST!\ASHMAISV.EXE

C:\PROGRAM FILES\SAGEM\SAGEM F@ST 800-840\DSLMON.EXE

D:\ANTY TROJANY\TROJAN SHIELD\ST.EXE

C:\WINDOWS\SYSTEM\WMIEXE.EXE

C:\PROGRAM FILES\WANADOO\ESPACEWANADOO.EXE

C:\PROGRAM FILES\WANADOO\COMCOMP.EXE

C:\WINDOWS\SYSTEM\TAPISRV.EXE

C:\PROGRAM FILES\WANADOO\WATCH.EXE

C:\WINDOWS\SYSTEM\RNAAPP.EXE

D:\GADU-GADU\GG.EXE

C:\PROGRAM FILES\INTERNET EXPLORER\IEXPLORE.EXE

C:\WINDOWS\SYSTEM\PSTORES.EXE

D:\HIJACKTHIS\HIJACKTHIS.EXE

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.onet.pl/

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Window Title = Neostrada Plus wita Cie w Internecie

R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Łącza

O2 - BHO: (no name) - {A5366673-E8CA-11D3-9CD9-0090271D075B} - (no file)

O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\PROGRAM FILES\ADOBE ACROBAT\READER\ACTIVEX\ACROIEHELPER.OCX

O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINDOWS\SYSTEM\MSDXM.OCX

O4 - HKLM…\Run: [scanRegistry] C:\WINDOWS\scanregw.exe /autorun

O4 - HKLM…\Run: [TaskMonitor] C:\WINDOWS\taskmon.exe

O4 - HKLM…\Run: [systemTray] SysTray.ExE

O4 - HKLM…\Run: [LoadPowerProfile] Rundll32.exe powrprof.dll,LoadCurrentPwrScheme

O4 - HKLM…\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\SYSTEM\NvCpl.dll,NvStartup

O4 - HKLM…\Run: [nwiz] nwiz.exe /install

O4 - HKLM…\Run: [Zasobnik systemowy] SysTray.Exe

O4 - HKLM…\Run: [EnsoniqMixer] starter.exe

O4 - HKLM…\Run: [CreativeMixer] C:\Program Files\Creative\Audio\PROGRAM\CTMIX32.EXE /t

O4 - HKLM…\Run: [HPDJ Taskbar Utility] C:\WINDOWS\SYSTEM\hpztsb03.exe

O4 - HKLM…\Run: [stillImageMonitor] C:\WINDOWS\SYSTEM\STIMON.EXE

O4 - HKLM…\Run: [PP7600USB] C:\PROGRA~1\SCANSOFT\PAPERP~1\FBDirect.exe

O4 - HKLM…\Run: [internat.exe] internat.exe

O4 - HKLM…\Run: [autoclk] autoclk.exe

O4 - HKLM…\Run: [WOOWATCH] C:\PROGRA~1\WANADOO\Watch.exe

O4 - HKLM…\Run: [WOOTASKBARICON] C:\PROGRA~1\WANADOO\TaskbarIcon.exe

O4 - HKLM…\Run: [Outpost Firewall] C:\FIREWA~1\OUTPOS~2\OUTPOS~1.0\outpost.exe /waitservice

O4 - HKLM…\Run: [ashMaiSv] D:\AVAST!\ashmaisv.exe

O4 - HKLM…\RunServices: [LoadPowerProfile] Rundll32.exe powrprof.dll,LoadCurrentPwrScheme

O4 - HKLM…\RunServices: [Machine Debug Manager] C:\WINDOWS\SYSTEM\MDM.EXE

O4 - HKLM…\RunServices: [schedulingAgent] mstask.exe

O4 - HKLM…\RunServices: [TrojanShield Protector] D:\ANTY TROJANY\TROJAN SHIELD\Port.exe

O4 - HKLM…\RunServices: [Outpost Firewall] C:\FIREWALLE\OUTPOST PL\OUTPOST FIREWALL 1.0\outpost.exe /service

O4 - HKLM…\RunServices: [avast!] D:\Avast!\ashServ.exe

O4 - Startup: DSLMON.lnk = C:\Program Files\SAGEM\SAGEM F@st 800-840\dslmon.exe

O4 - Startup: TrojanShield.lnk = D:\anty trojany\trojan shield\Init.exe

O8 - Extra context menu item: Ściągnij przy pomocy FlashGet’a - C:\PROGRAM FILES\FLASHGET 1.65\FLASHGET\jc_link.htm

O8 - Extra context menu item: Ściągnij wszystko przy pomocy FlashGet’a - C:\PROGRAM FILES\FLASHGET 1.65\FLASHGET\jc_all.htm

O16 - DPF: {9A9307A0-7DA4-4DAF-B042-5009F29E09E1} (ActiveScan Installer Class) - http://www.pandasoftware.com/activescan/as5/asinst.cab

O16 - DPF: {E7544C6C-CFD6-43EA-B4E9-360CEE20BDF7} (MainControl Class) - http://skaner.mks.com.pl/SkanerOnline.cab

O16 - DPF: {2BC66F54-93A8-11D3-BEB6-00105AA9B6AE} (Symantec AntiVirus scanner) - http://security.symantec.com/sscv6/Shar … vSniff.cab

O16 - DPF: {644E432F-49D3-41A1-8DD5-E099162EEEC5} (Symantec RuFSI Utility Class) - http://security.symantec.com/sscv6/Shar … /cabsa.cab

O16 - DPF: {8EB3FF4E-86A1-4717-884D-7BA2D38272CB} (F-Secure Online Scanner) - http://support.f-secure.com/ols/fscax.cab

O16 - DPF: {A3009861-330C-4E10-822B-39D16EC8829D} (CRAVOnline Object) - http://www.ravantivirus.com/scan/ravonline.cab

kuz5 · 1 Luty 2005 10:09

Start=>Uruchom=>Wpisz polecenie msconfig=>Zakładka Uruchamianie i odchacz:

nwiz

Log jest czysty tylko zrób update IE

adpawl · 1 Luty 2005 10:12

Co do internat.exe:

Internat.exe loads the "EN" icon into the system tray, allowing the user to easily switch between locales. This icon disappears when the process is stopped, but the locales can still be changed through Control Panel.

wyłączenie tego nie ma więc zadnego wpływu na obsługę innych języków…

Shark · 1 Luty 2005 10:54

internat.exe - to obsługa wielu języków w 98 możesz wyłączyć jak tego nie używasz.

Tiffany · 4 Luty 2005 15:40

Czy możecie sprawdzić mojego loga i podpowiedzieć co ewentulalnie usunąć?

Oto on:

Logfile of HijackThis v1.98.2

Scan saved at 13:51:18, on 05-02-04

Platform: Windows 98 SE (Win9x 4.10.2222A)

MSIE: Internet Explorer v5.50 (5.50.4134.0600)

Running processes:

C:\WINDOWS\SYSTEM\KERNEL32.DLL

C:\WINDOWS\SYSTEM\MSGSRV32.EXE

C:\WINDOWS\SYSTEM\MPREXE.EXE

C:\WINDOWS\SYSTEM\mmtask.tsk

C:\WINDOWS\SYSTEM\MSTASK.EXE

C:\PROGRAM FILES\COMMON FILES\SYMANTEC SHARED\CCEVTMGR.EXE

C:\PROGRAM FILES\COMMON FILES\SYMANTEC SHARED\CCSETMGR.EXE

C:\WINDOWS\EXPLORER.EXE

C:\PROGRAM FILES\LABTEC\LABTEC MOUSE SOFTWARE\2.0\MOUSE32A.EXE

C:\PROGRAM FILES\COMMON FILES\SYMANTEC SHARED\CCAPP.EXE

C:\PROGRAM FILES\COMMON FILES\SYMANTEC SHARED\CCPWDSVC.EXE

C:\WINDOWS\SYSTEM\CARPSERV.EXE

C:\WINDOWS\SYSTEM\DDHELP.EXE

C:\WINDOWS\SYSTEM\SPOOL32.EXE

C:\WINDOWS\SYSTEM\RNAAPP.EXE

C:\WINDOWS\SYSTEM\TAPISRV.EXE

C:\INSTALKI\HIJACKTHIS.EXE

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.wp.pl/

R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Łącza

O2 - BHO: NAV Helper - {BDF3E430-B101-42AD-A544-FADC6B084872} - C:\Program Files\Norton AntiVirus\NavShExt.dll

O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\PROGRAM FILES\ADOBE\ACROBAT 6.0 CE\READER\ACTIVEX\ACROIEHELPER.DLL

O3 - Toolbar: @msdxmLC.dll,-1@1045,&Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINDOWS\SYSTEM\MSDXM.OCX

O3 - Toolbar: Norton AntiVirus - {42CDD1BF-3FFB-4238-8AD1-7859DF00B1D6} - C:\Program Files\Norton AntiVirus\NavShExt.dll

O4 - HKLM…\Run: [regscan] C:\WINDOWS\MENU START\PROGRAMY\AUTOSTART\SERVICES.EXE

O4 - HKLM…\Run: [LWBMOUSE] C:\Program Files\Labtec\Labtec Mouse Software\2.0\MOUSE32A.EXE

O4 - HKLM…\RunServices: [LoadPowerProfile] Rundll32.exe powrprof.dll,LoadCurrentPwrScheme

O4 - HKLM…\RunServices: [schedulingAgent] mstask.exe

O4 - HKLM…\RunServices: [ccEvtMgr] “C:\Program Files\Common Files\Symantec Shared\ccEvtMgr.exe”

O4 - HKLM…\RunServices: [ccSetMgr] “C:\Program Files\Common Files\Symantec Shared\ccSetMgr.exe”

O4 - HKLM…\RunServices: [scriptBlocking] “C:\Program Files\Common Files\Symantec Shared\Script Blocking\SBServ.exe” -reg

O4 - HKLM…\RunServices: [regscan] C:\WINDOWS\MENU START\PROGRAMY\AUTOSTART\SERVICES.EXE

O4 - Startup: Ccapp.exe.lnk = C:\Program Files\Common Files\Symantec Shared\CCAPP.EXE

O4 - Startup: Ccpwdsvc.exe.lnk = C:\Program Files\Common Files\Symantec Shared\CCPWDSVC.EXE

O16 - DPF: {A67BA5E3-5B79-11D6-A711-00C12601EADE} - http://www.private-pl.com/private.exe

I jeszcze pytanko. Czy po usunięciu wpisów i restarcie kompa mam przywrócić system czy nie?

Z góry dzięki za pomoc.

boczi · 4 Luty 2005 15:44

Tiffany Pisz w swoim temacie: http://forum.dobreprogramy.pl/viewtopic.php?t=17926