Savenow i XXXToolbar

monast · 5 Sierpień 2005 18:02

mam problem… zrobiłam scan i w wyniku tego znaleziono u mnie

Zdarzenie Status

Adware:adware/savenow Nie wyleczalny

Spyware:Spyware/XXXToolbar Nie wyleczalny

żadnym programem nie mogę tego usunąć… proszę o pomoc

dzięki

Michael · 5 Sierpień 2005 18:07

Log --> HijackThis

boczi · 5 Sierpień 2005 18:14

Daj loga oraz pokaż screem tego alertu o tych plikach wraz ze ścieżkami, gdzie one się mieszczą, możesz dać screena. oczywiście log Hijackthis.

monast · 5 Sierpień 2005 18:20

Logfile of HijackThis v1.99.1

Scan saved at 20:22:18, on 2005-08-05

Platform: Windows XP (WinNT 5.01.2600)

MSIE: Internet Explorer v6.00 (6.00.2600.0000)


Running processes:

C:\WINDOWS\System32\smss.exe

C:\WINDOWS\SYSTEM32\winlogon.exe

C:\WINDOWS\system32\services.exe

C:\WINDOWS\system32\lsass.exe

C:\WINDOWS\system32\svchost.exe

C:\WINDOWS\System32\svchost.exe

C:\WINDOWS\Explorer.EXE

C:\WINDOWS\system32\spoolsv.exe

C:\WINDOWS\SOUNDMAN.EXE

C:\Program Files\Java\jre1.5.0_04\bin\jusched.exe

C:\Program Files\iTunes\iTunesHelper.exe

C:\Program Files\QuickTime\qttask.exe

C:\Program Files\Common Files\G DATA\AVKMail\AVKPOP.EXE

C:\WINDOWS\System32\ctfmon.exe

C:\Program Files\Messenger\msmsgs.exe

C:\WINDOWS\System32\RUNDLL32.EXE

C:\Program Files\Tlen.pl\tlen.exe

C:\Program Files\Skype\Phone\Skype.exe

C:\Program Files\AntiVirenKit\AVKService.exe

C:\Program Files\AntiVirenKit\AVKWCtl.exe

C:\WINDOWS\System32\nvsvc32.exe

C:\WINDOWS\System32\svchost.exe

C:\Program Files\iPod\bin\iPodService.exe

C:\Program Files\Internet Explorer\IEXPLORE.EXE

C:\Program Files\iTunes\iTunes.exe

C:\Documents and Settings\Monika\Ustawienia lokalne\Temp\Katalog tymczasowy 2 dla hijackthis.zip\HijackThis.exe


R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.wp.pl/

R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Łącza

O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINDOWS\System32\msdxm.ocx

O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\System32\NvCpl.dll,NvStartup

O4 - HKLM\..\Run: [nwiz] nwiz.exe /install

O4 - HKLM\..\Run: [SoundMan] SOUNDMAN.EXE

O4 - HKLM\..\Run: [SunJavaUpdateSched] C:\Program Files\Java\jre1.5.0_04\bin\jusched.exe

O4 - HKLM\..\Run: [Micro Process] dosprmwin.exe

O4 - HKLM\..\Run: [iTunesHelper] C:\Program Files\iTunes\iTunesHelper.exe

O4 - HKLM\..\Run: [QuickTime Task] "C:\Program Files\QuickTime\qttask.exe" -atboottime

O4 - HKLM\..\Run: [NeroFilterCheck] C:\WINDOWS\system32\NeroCheck.exe

O4 - HKLM\..\Run: [MS SyS Restore] sysrestore.exe

O4 - HKLM\..\Run: [activex monitor] wputxp.exe

O4 - HKLM\..\Run: [AVK Mail Checker] "C:\Program Files\Common Files\G DATA\AVKMail\AVKPOP.EXE"

O4 - HKLM\..\RunServices: [Micro Process] dosprmwin.exe

O4 - HKLM\..\RunServices: [MS SyS Restore] sysrestore.exe

O4 - HKLM\..\RunServices: [activex monitor] wputxp.exe

O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\ctfmon.exe

O4 - HKCU\..\Run: [MSMSGS] "C:\Program Files\Messenger\msmsgs.exe" /background

O4 - HKCU\..\Run: [NvMediaCenter] RUNDLL32.EXE C:\WINDOWS\System32\NVMCTRAY.DLL,NvTaskbarInit

O4 - HKCU\..\Run: [Komunikator] C:\Program Files\Tlen.pl\tlen.exe

O4 - HKCU\..\Run: [Micro Process] dosprmwin.exe

O4 - HKCU\..\Run: [MS SyS Restore] sysrestore.exe

O4 - HKCU\..\Run: [Skype] "C:\Program Files\Skype\Phone\Skype.exe" /nosplash /minimized

O4 - Global Startup: Adobe Gamma Loader.lnk = C:\Program Files\Common Files\Adobe\Calibration\Adobe Gamma Loader.exe

O4 - Global Startup: Microsoft Office.lnk = C:\Program Files\Microsoft Office\Office\OSA9.EXE

O6 - HKCU\Software\Policies\Microsoft\Internet Explorer\Control Panel present

O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\jre1.5.0_04\bin\npjpi150_04.dll

O9 - Extra 'Tools' menuitem: Sun Java Console - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\jre1.5.0_04\bin\npjpi150_04.dll

O16 - DPF: {9A9307A0-7DA4-4DAF-B042-5009F29E09E1} (ActiveScan Installer Class) - http://www.pandasoftware.com/activescan/as5free/asinst.cab

O16 - DPF: {E7544C6C-CFD6-43EA-B4E9-360CEE20BDF7} (MainControl Class) - http://skaner.mks.com.pl/SkanerOnline.cab

O16 - DPF: {F00F4763-7355-4725-82F7-0DA94A256D46} (IMDownloader Class) - http://www2.incredimail.com/contents/setup/downloader/imloader.cab

O23 - Service: AVK Service (AVKService) - Unknown owner - C:\Program Files\AntiVirenKit\AVKService.exe

O23 - Service: Strażnik AVK (AVKWCtl) - Unknown owner - C:\Program Files\AntiVirenKit\AVKWCtl.exe

O23 - Service: iPod Service (iPodService) - Apple Computer, Inc. - C:\Program Files\iPod\bin\iPodService.exe

O23 - Service: NVIDIA Display Driver Service (NVSvc) - NVIDIA Corporation - C:\WINDOWS\System32\nvsvc32.exe

O23 - Service: Symantec Network Drivers Service (SNDSrvc) - Symantec Corporation - C:\Program Files\Common Files\Symantec Shared\SNDSrvc.exe

boczi · 5 Sierpień 2005 18:28

Wszystko robisz w trybie awaryjnym [F8] w czasie bootowania komputera z wyłączonym przywracaniem systemu.

Pogrubione na czerwono usuwasz dodatkowo ręcznie z systemu ,a także oczywiście z programu Hijackthis.

Kosmetyka

Zbędniki możesz odnzaczyć przez Start -> uruchom -> msconfig

nwiz.exe

jusched.exe

iTunesHelper.exe

qttask.exe

NeroCheck.exe

ctfmon.exe

Adobe Gamma Loader.exe

OSA9.EXE

I daj screena z programu z tym komunikatem o tych spyware, które Ci wykrył :!:

Po czynnosciach nowy log.

kuz5 · 5 Sierpień 2005 18:31

Usuń: (wszystko oczywiście robisz w trybie awaryjnym z wyłączonym przywracaniem systemu)

Znasz zostawiasz nie znasz usuwasz:

Pliki na czerwono usun ręcznie z dysku

Jak bedziesz miał problem z usunieciem tych plików to usuń je programem Pocket Killbox czyli odpalasz Killboxa zaznacz opcję Delete on Reboot następnie w polu Full Path of File to Delete wklej ścieżke:(z tego co piszesz tobędzie ona wyglądać tak)

C:\WINDOWS\System32** dosprmwin.exe**

następnie program będzie pytał o restart (oczywiście zgadzasz sie)

I to samo robisz z tymi ścieżkami:

C:\WINDOWS\System32** sysrestore.exe**

C:\WINDOWS\System32** wputxp.exe**

Uwaga: Jak wklejasz loga to obejmuj go znacznikiem (tagiem) CODE lub QUOTE

Proponuje poczytać TEN temat i zobacz jaka jest prośba do userów wklejających loga.

monast · 5 Sierpień 2005 19:30

niestety, ale chyba sobie nie poradzę z tym… jestem tylko blondynką a to jest dla mnie zbyt skomplikowane :?

boczi · 5 Sierpień 2005 19:33

Rób wszystko to, co jest napisane. Jeśli masz konkretne pytania, pytaj.

Musisz sobie poradzić i się nauczyć

kuz5 · 5 Sierpień 2005 19:35

Dlaczego

Pliki na czerwono usun ręcznie z dysku a nastepnie w HijackThis zaznaczasz ptaszkiem szkodliwe wpisy i klikasz fix checked

monast · 5 Sierpień 2005 19:44

ale nie potrafię zlokalizować tych plików w System32

kuz5 · 5 Sierpień 2005 19:47

To skorzystaj z

A jak nie to:

Narzędzia => Opcje folderów => Widok i zaznacz Pokaż ukryte pliki i foldery i wtedy szukaj tych plików

boczi · 5 Sierpień 2005 19:47

W trybie awaryjnm wszystko rób. Plik może być ewentualnie ukryty,

By włączyć widoczność:

Mój komputer -> narzędzia -> opcje folderów -> widok -> pokaż ukryte pliki i foldery - zatwierdasz.

Najlepiej usuwaj KillBoxem wg rady kuz5.

detektyw · 5 Sierpień 2005 19:48

Start - > Wyszukaj i wpisz nazwe plików. Lub zrób aby pokazywał pliki ukryte

monast · 5 Sierpień 2005 19:59

mam następujący komunikat po zrobieniu tych czynności w KilBoxie: Pending File Rename Operations Registry Data has been Removed by External Process

kuz5 · 5 Sierpień 2005 20:10

Poprostu zrestartuj komputer recznie

monast · 5 Sierpień 2005 20:13

zrestartowałam ręcznie, potem chciałam zaznaczyć te pliki w hijackthis ale ich już tu nie ma, a jak skanuję system to ciągle pokazuje ze są dwa programy szpiegujące… nic już nie rozumiem

boczi · 5 Sierpień 2005 20:17

Daj screena, o którym mówiliśmy i dawaliśmy linka, jak to zrobić.

Musimy widzieć dokładne ścieżki i postać tego.

I daj nowego loga.

monast · 5 Sierpień 2005 20:23

Logfile of HijackThis v1.99.1

Scan saved at 22:24:41, on 2005-08-05

Platform: Windows XP (WinNT 5.01.2600)

MSIE: Internet Explorer v6.00 (6.00.2600.0000)


Running processes:

C:\WINDOWS\System32\smss.exe

C:\WINDOWS\SYSTEM32\winlogon.exe

C:\WINDOWS\system32\services.exe

C:\WINDOWS\system32\lsass.exe

C:\WINDOWS\system32\svchost.exe

C:\WINDOWS\System32\svchost.exe

C:\WINDOWS\system32\spoolsv.exe

C:\WINDOWS\Explorer.EXE

C:\WINDOWS\SOUNDMAN.EXE

C:\Program Files\Java\jre1.5.0_04\bin\jusched.exe

C:\Program Files\iTunes\iTunesHelper.exe

C:\Program Files\QuickTime\qttask.exe

C:\Program Files\Common Files\G DATA\AVKMail\AVKPOP.EXE

C:\WINDOWS\System32\ctfmon.exe

C:\Program Files\Messenger\msmsgs.exe

C:\WINDOWS\System32\RUNDLL32.EXE

C:\Program Files\Tlen.pl\tlen.exe

C:\Program Files\Skype\Phone\Skype.exe

C:\Program Files\AntiVirenKit\AVKService.exe

C:\Program Files\AntiVirenKit\AVKWCtl.exe

C:\WINDOWS\System32\nvsvc32.exe

C:\WINDOWS\System32\svchost.exe

C:\Program Files\iPod\bin\iPodService.exe

C:\Program Files\Internet Explorer\IEXPLORE.EXE

C:\Documents and Settings\Monika\Ustawienia lokalne\Temp\Katalog tymczasowy 6 dla hijackthis.zip\HijackThis.exe


R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.wp.pl/

R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Łącza

O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINDOWS\System32\msdxm.ocx

O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\System32\NvCpl.dll,NvStartup

O4 - HKLM\..\Run: [nwiz] nwiz.exe /install

O4 - HKLM\..\Run: [SoundMan] SOUNDMAN.EXE

O4 - HKLM\..\Run: [SunJavaUpdateSched] C:\Program Files\Java\jre1.5.0_04\bin\jusched.exe

O4 - HKLM\..\Run: [iTunesHelper] C:\Program Files\iTunes\iTunesHelper.exe

O4 - HKLM\..\Run: [QuickTime Task] "C:\Program Files\QuickTime\qttask.exe" -atboottime

O4 - HKLM\..\Run: [NeroFilterCheck] C:\WINDOWS\system32\NeroCheck.exe

O4 - HKLM\..\Run: [AVK Mail Checker] "C:\Program Files\Common Files\G DATA\AVKMail\AVKPOP.EXE"

O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\ctfmon.exe

O4 - HKCU\..\Run: [MSMSGS] "C:\Program Files\Messenger\msmsgs.exe" /background

O4 - HKCU\..\Run: [NvMediaCenter] RUNDLL32.EXE C:\WINDOWS\System32\NVMCTRAY.DLL,NvTaskbarInit

O4 - HKCU\..\Run: [Komunikator] C:\Program Files\Tlen.pl\tlen.exe

O4 - HKCU\..\Run: [Skype] "C:\Program Files\Skype\Phone\Skype.exe" /nosplash /minimized

O4 - Global Startup: Adobe Gamma Loader.lnk = C:\Program Files\Common Files\Adobe\Calibration\Adobe Gamma Loader.exe

O4 - Global Startup: Microsoft Office.lnk = C:\Program Files\Microsoft Office\Office\OSA9.EXE

O6 - HKCU\Software\Policies\Microsoft\Internet Explorer\Control Panel present

O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\jre1.5.0_04\bin\npjpi150_04.dll

O9 - Extra 'Tools' menuitem: Sun Java Console - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\jre1.5.0_04\bin\npjpi150_04.dll

O16 - DPF: {9A9307A0-7DA4-4DAF-B042-5009F29E09E1} (ActiveScan Installer Class) - http://www.pandasoftware.com/activescan/as5free/asinst.cab

O16 - DPF: {E7544C6C-CFD6-43EA-B4E9-360CEE20BDF7} (MainControl Class) - http://skaner.mks.com.pl/SkanerOnline.cab

O16 - DPF: {F00F4763-7355-4725-82F7-0DA94A256D46} (IMDownloader Class) - http://www2.incredimail.com/contents/setup/downloader/imloader.cab

O23 - Service: AVK Service (AVKService) - Unknown owner - C:\Program Files\AntiVirenKit\AVKService.exe

O23 - Service: Strażnik AVK (AVKWCtl) - Unknown owner - C:\Program Files\AntiVirenKit\AVKWCtl.exe

O23 - Service: iPod Service (iPodService) - Apple Computer, Inc. - C:\Program Files\iPod\bin\iPodService.exe

O23 - Service: NVIDIA Display Driver Service (NVSvc) - NVIDIA Corporation - C:\WINDOWS\System32\nvsvc32.exe

O23 - Service: Symantec Network Drivers Service (SNDSrvc) - Symantec Corporation - C:\Program Files\Common Files\Symantec Shared\SNDSrvc.exe

boczi · 5 Sierpień 2005 20:25

Ok, log czysty,

Skasuj tylko to:

O16 - DPF: {F00F4763-7355-4725-82F7-0DA94A256D46} (IMDownloader Class) - http://www2.incredimail.com/contents/setup/downloader/imloader.cab

i zrób ewentualną kosmetykę.

No i w końcu:

Po wyczyszczeniu całego syfu pomyśl nad SP2

kuz5 · 5 Sierpień 2005 20:26

No i cacy

Kosmetyka:

Start=>Uruchom=>Wpisz polecenie msconfig=>Zakładka Uruchamianie i odchacz: (zaowocuje to szybszym startem systemu)

I mie zapominaj ] Jak wklejasz loga to obejmuj go znacznikiem (tagiem) CODE lub QUOTE