Proszę o sprawdzenie log'a

Dla specjalistów Bezpieczeństwo
#1

Witam mam problemy z explorer.exe … godzine temu usilowalem usunac winacpi.dll - to sie powiodlo ale siadanie explorera sie odnowilo.

Logfile of HijackThis v1.99.1

Scan saved at 13:47:05, on 2005-10-02

Platform: Windows XP Dodatek SP. 1 (WinNT 5.01.2600)

MSIE: Internet Explorer v6.00 SP1 (6.00.2800.1106)


Running processes:

C:\WINDOWS\System32\smss.exe

C:\WINDOWS\system32\csrss.exe

C:\WINDOWS\system32\winlogon.exe

C:\WINDOWS\system32\services.exe

C:\WINDOWS\system32\lsass.exe

C:\WINDOWS\system32\svchost.exe

C:\WINDOWS\System32\svchost.exe

C:\WINDOWS\System32\svchost.exe

C:\WINDOWS\System32\svchost.exe

C:\WINDOWS\system32\spoolsv.exe

E:\Programy\Avast\ashDisp.exe

E:\Programy\Winamp\winampa.exe

C:\WINDOWS\System32\crsss.exe

C:\WINDOWS\System32\ctfmon.exe

E:\Programy\Tlen\tlen.exe

E:\Programy\Gadu-Gadu\Gadu-Gadu\gg.exe

E:\Programy\Avast\aswUpdSv.exe

E:\Programy\Avast\ashServ.exe

C:\Program Files\Common Files\Microsoft Shared\VS7Debug\mdm.exe

C:\WINDOWS\System32\nvsvc32.exe

C:\WINDOWS\System32\svchost.exe

E:\Programy\Avast\ashWebSv.exe

E:\Programy\Avast\ashMaiSv.exe

E:\Programy\Avast\ashSimpl.exe

E:\Programy\Firefox\firefox.exe

C:\WINDOWS\explorer.exe

C:\Documents and Settings\deadtree\Pulpit\HijackThis.exe


R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://interia.pl/

R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Łącza

F2 - REG:system.ini: Shell=explorer.exe "C:\Program Files\Common Files\Microsoft Shared\Web Folders\ibm00001.exe"

O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - E:\Programy\Adobe\Reader\Reader\ActiveX\AcroIEHelper.dll

O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINDOWS\System32\msdxm.ocx

O4 - HKLM\..\Run: [avast!] E:\Programy\Avast\ashDisp.exe

O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE NvQTwk,NvCplDaemon initialize

O4 - HKLM\..\Run: [nwiz] nwiz.exe /install

O4 - HKLM\..\Run: [WinampAgent] E:\Programy\Winamp\winampa.exe

O4 - HKLM\..\Run: [NeroCheck] C:\WINDOWS\System32\\NeroCheck.exe

O4 - HKLM\..\Run: [SysMemory manager] c:\windows\system32\mdms.exe

O4 - HKLM\..\Run: [MSControl28] crsss.exe

O4 - HKLM\..\RunServices: [MSControl28] crsss.exe

O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\ctfmon.exe

O4 - HKCU\..\Run: [MSMSGS] "C:\Program Files\Messenger\msmsgs.exe" /background

O4 - HKCU\..\Run: [Komunikator] E:\Programy\Tlen\tlen.exe

O4 - HKCU\..\Run: [Gadu-Gadu] "E:\Programy\Gadu-Gadu\Gadu-Gadu\gg.exe" /tray

O4 - HKCU\..\Run: [Shell] "C:\Program Files\Common Files\Microsoft Shared\Web Folders\ibm00001.exe"

O4 - HKCU\..\Run: [Windows installer] drwatson32.exe -run C:\winstall.exe

O4 - Startup: Xfire.lnk = E:\Programy\Xfire\Xfire.exe

O4 - Global Startup: Adobe Gamma Loader.lnk = C:\Program Files\Common Files\Adobe\Calibration\Adobe Gamma Loader.exe

O4 - Global Startup: Microsoft Office.lnk = C:\Program Files\Microsoft Office\Office10\OSA.EXE

O8 - Extra context menu item: E&ksport do programu Microsoft Excel - res://C:\PROGRA~1\MICROS~2\Office10\EXCEL.EXE/3000

O9 - Extra button: Related - {c95fe080-8f5d-11d2-a20b-00aa003c157a} - C:\WINDOWS\web\related.htm

O9 - Extra 'Tools' menuitem: Show &Related Links - {c95fe080-8f5d-11d2-a20b-00aa003c157a} - C:\WINDOWS\web\related.htm

O17 - HKLM\System\CCS\Services\Tcpip\..\{14960C54-EE63-476F-8B09-CD205F566B82}: NameServer = 194.204.159.1,164.204.152.34

O17 - HKLM\System\CCS\Services\Tcpip\..\{FD385EA0-3FB3-4DB6-9A96-0D5C23C3DE70}: NameServer = 194.204.159.1,194.204.152.34

O17 - HKLM\System\CS1\Services\Tcpip\..\{14960C54-EE63-476F-8B09-CD205F566B82}: NameServer = 194.204.159.1,164.204.152.34

O17 - HKLM\System\CS2\Services\Tcpip\..\{14960C54-EE63-476F-8B09-CD205F566B82}: NameServer = 194.204.159.1,164.204.152.34

O23 - Service: avast! iAVS4 Control Service (aswUpdSv) - Unknown owner - E:\Programy\Avast\aswUpdSv.exe

O23 - Service: avast! Antivirus - Unknown owner - E:\Programy\Avast\ashServ.exe

O23 - Service: avast! Mail Scanner - Unknown owner - E:\Programy\Avast\ashMaiSv.exe" /service (file missing)

O23 - Service: avast! Web Scanner - Unknown owner - E:\Programy\Avast\ashWebSv.exe" /service (file missing)

O23 - Service: NVIDIA Driver Helper Service (NVSvc) - NVIDIA Corporation - C:\WINDOWS\System32\nvsvc32.exe
#2

Co ci dobrze śmiga niewiem czy masz pojecie jak masz zasyfiony komputer

Usuń: (wszystko oczywiście robisz w trybie awaryjnym z wyłączonym przywracaniem systemu)

Zobacz czy nie masz czasem na kompie takiego pliku:

C:\WINDOWS\ tool2.exe

Trojan.Repsamo jak go usunąć masz TUTAJ

Pliki na czerwono usuń programem Pocket Killbox czyli odpalasz Killboxa zaznacz opcję Delete on Reboot następnie w polu Full Path of File to Delete wklej ścieżke:

C:\WINDOWS\system32** crsss.exe**

następnie program będzie pytał o restart (oczywiście zgadzasz sie)

I to samo robisz ze ścieżkami:

C:\Program Files\Common Files\Microsoft Shared\Web Folders** ibm00001.exe**

C:** winstall.exe**

Kosmetyka:

Start=>Uruchom=>Wpisz polecenie msconfig=>Zakładka Uruchamianie i odchacz:

Jeżeli nie używasz Windows Messenger to go usuń:

Start=>Uruchom=>Wpisz polecenie

RunDll32 advpack.dll,LaunchINFSection %windir%\INF\msmsgs.inf,BLC.Remove

Lub programem Xp-AntiSpy PL

#3

heh no wlaśnie smigalo :smiley: w tym momencie zaczelo sie od nowa :smiley: najpierw znika all z pulpitu tylko tapetka jest a potem blad explorer.exe

er.JPG

zaraz wykonam co napisałeś, wielkie dzieki

Złączono Posta : 02.10.2005 (Nie) 16:17

wykonalem to co zaleciles … problem dalej sie pojawia …

oto log

  • jeszcze error przy starcie

err.JPG

Złączono Posta : 02.10.2005 (Nie) 16:42

Udało misie chyba crsss usunac …

ale dwa bledy dalej sie pokazują:

er.JPG

err.JPG

#4

zobacz http://www.searchengines.pl/phpbb203/in … l=ibm00001.exe i zastosuj: Windows Worms Doors Cleanera, Usuwanie Trojan.Repsamo oraz tapety SpySheriff :smiley:

#5

ogolnie teraz 2 bledy nie wyskakuja tylko jakby odswierza sie pulpit, znikaja ikonki w trayu + Explorer.EXE bład z wysłaine raportu …

Złączono Posta : 02.10.2005 (Nie) 19:57

po dluzszej zabawie dalej to samo jest :confused: przy wchodzeniu w moj komputer albo star albo co kolwiek wyskakuje ten blad z explorer.exe

… rece mi opadają …

#6

Może plik shella explorer.exe jest uszkodzony? Podmień go z CD XP wg tej metody:

  1. Start do Konsoli Odzyskiwania z CD XP (lub 6 dyskietek startowych) jak opisane TU.

  2. W linii komend puszczasz polecenie podmiany pliku explorer.exe z CD XP:

expand X:\i386\explorer.ex_ C:\Windows\explorer.exe

(X to litera CD-ROMu, a ta pozioma kreseczka w pierwszej nazwie “_” ma być!)

Prawy klik na Pulpit >>> Właściwości >>> Ustawienia >>>> przełączyć głębię kolorów z 32 bit na 16 >>> przeczekać momencik >>> przełączyć z powrotem na 32 >>> reset kompa

#7

esh … uzylem tej konsoli

wywalilem explorer.exe poprzez

C:\WINDOWS>DELETE explorer.exe

nastenie podmienilem podana wyzej formulką bo inaczej nie chcial go podmienic … no ale dalej mi sie powtarza resetowanie pulpitu (przy ktorym znikaja ikonki z traya + np. wlaczone okienka windowsa - nie programow tylko np. moj komputer, moje dokumenty itp.)

coś mi sie zdaje ze format nie unikniony, acz kolwiek licze dalej na waszą wiedze