Simpler niezniszczalny?

nizin · 21 Listopad 2006 17:58

Witam.

Mam niestety nieoryginalny problem z simplerem; stosowałem już wszystkie sposoby przedstawione na tym forum aby usunąć tego rootkita(bo zdaje się tym on właśnie jest) niestety nic nie zadziałało Próbowałem innymi programami (m.in Spyboot Search & Destroy, Registry Workshop itp.) ale one go tylko wykrywały, a nie potrafiły dezaktywować czy usunąć… :Mam system operacyjny win2000Pro i nie mogę znaleźć opcji wyłączania przywracania systemu; może to jest właśnie przyczyna moich niepowodzeń Prosze o podpowiedź i z góry dziękuje za pomoc.

Pozdrawiam.

Dołączam logi z HJ:

Logfile of HijackThis v1.99.1

Scan saved at 18:57:02, on 2006-11-21

Platform: Windows 2000 SP4 (WinNT 5.00.2195)

MSIE: Internet Explorer v6.00 SP1 (6.00.2800.1106)

Running processes:

C:\WINNT\System32\smss.exe

C:\WINNT\system32\winlogon.exe

C:\WINNT\system32\services.exe

C:\WINNT\system32\lsass.exe

C:\WINNT\system32\svchost.exe

C:\WINNT\system32\spoolsv.exe

C:\WINNT\system32\ati2plxx.exe

C:\WINNT\System32\svchost.exe

C:\Program Files\Common Files\LightScribe\LSSrvc.exe

C:\WINNT\system32\msasvc.exe

C:\Program Files\Kerio\Personal Firewall\persfw.exe

C:\WINNT\system32\HPZipm12.exe

C:\WINNT\system32\regsvc.exe

C:\WINNT\system32\MSTask.exe

C:\WINNT\system32\stisvc.exe

C:\WINNT\System32\WBEM\WinMgmt.exe

C:\WINNT\system32\svchost.exe

C:\WINNT\Explorer.EXE

C:\Program Files\Thomson\SpeedTouch USB\Dragdiag.exe

C:\Program Files\D-Tools\daemon.exe

C:\WINNT\system32\Atiptaxx.exe

C:\prosys32.exe

C:\WINNT\system32\svchost.exe

C:\Program Files\Avant Browser\iexplore.exe

F:\Programy\hijackthis\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Local Page =

R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Łącza

O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Program Files\Adobe\Acrobat 5.0\Reader\ActiveX\AcroIEHelper.ocx

O2 - BHO: (no name) - {53707962-6F74-2D53-2644-206D7942484F} - C:\Program Files\Spybot - Search & Destroy\SDHelper.dll

O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINNT\System32\msdxm.ocx

O4 - HKLM…\Run: [synchronization Manager] mobsync.exe /logon

O4 - HKLM…\Run: [speedTouch USB Diagnostics] “C:\Program Files\Thomson\SpeedTouch USB\Dragdiag.exe” /icon

O4 - HKLM…\Run: [NeroFilterCheck] C:\WINNT\system32\NeroCheck.exe

O4 - HKLM…\Run: [DAEMON Tools-1033] “C:\Program Files\D-Tools\daemon.exe” -lang 1033

O4 - HKLM…\Run: [AtiPTA] Atiptaxx.exe

O4 - HKLM…\Run: [services] C:\prosys32.exe

O4 - HKLM…\Run: [KAVPersonal50] “C:\Program Files\Kaspersky Lab\Kaspersky Anti-Virus Personal\kav.exe” /minimize

O4 - HKCU…\Run: [NBJ] “C:\Program Files\Ahead\Nero BackItUp\NBJ.exe”

O4 - Startup: MSWin-54319037.exe

O4 - Global Startup: Microsoft Office.lnk = C:\Program Files\Microsoft Office\Office\OSA9.EXE

O8 - Extra context menu item: Blokuj wszystkie obrazy z tego serwera - C:\Program Files\Avant Browser\AddAllToADBlackList.htm

O8 - Extra context menu item: Dodaj do listy blokowanych reklam - C:\Program Files\Avant Browser\AddToADBlackList.htm

O8 - Extra context menu item: Otwórz wszystkie adresy z tej strony… - C:\Program Files\Avant Browser\OpenAllLinks.htm

O8 - Extra context menu item: Podświetl - C:\Program Files\Avant Browser\Highlight.htm

O8 - Extra context menu item: Szukaj - C:\Program Files\Avant Browser\Search.htm

O9 - Extra button: Related - {c95fe080-8f5d-11d2-a20b-00aa003c157a} - C:\WINNT\web\related.htm

O9 - Extra ‘Tools’ menuitem: Show &Related Links - {c95fe080-8f5d-11d2-a20b-00aa003c157a} - C:\WINNT\web\related.htm

O9 - Extra button: eBay - Homepage - {EF79EAC5-3452-4E02-B8BD-BA4C89F1AC7A} - C:\Program Files\IrfanView\Ebay\Ebay.htm

O12 - Plugin for .spop: C:\Program Files\Internet Explorer\Plugins\NPDocBox.dll

O16 - DPF: {11260943-421B-11D0-8EAC-0000C07D88CF} (iPIX ActiveX Control) - http://www.ipix.com/download/ipixx.cab

O16 - DPF: {2BC66F54-93A8-11D3-BEB6-00105AA9B6AE} (Symantec AntiVirus scanner) - http://security.symantec.com/SSC/Shared … vSniff.cab

O16 - DPF: {6414512B-B978-451D-A0D8-FCFDF33E833C} (WUWebControl Class) - http://update.microsoft.com/windowsupda … 1877514230

O16 - DPF: {644E432F-49D3-41A1-8DD5-E099162EEEC5} (Symantec RuFSI Utility Class) - http://security.symantec.com/sscv6/Shar … /cabsa.cab

O17 - HKLM\System\CCS\Services\Tcpip…{4C6D3B7C-FF71-45BB-A009-066EF6345BC3}: NameServer = 194.204.152.34 217.98.63.164

O20 - Winlogon Notify: rpcc - C:\WINNT\system32\rpcc.dll

O23 - Service: Ati HotKey Poller - Unknown owner - C:\WINNT\system32\ati2plxx.exe

O23 - Service: Usługa administracyjna Menedżera dysków logicznych (dmadmin) - VERITAS Software Corp. - C:\WINNT\System32\dmadmin.exe

O23 - Service: kavsvc - Kaspersky Lab - C:\Program Files\Kaspersky Lab\Kaspersky Anti-Virus Personal\kavsvc.exe

O23 - Service: LightScribeService Direct Disc Labeling Service (LightScribeService) - Hewlett-Packard Company - C:\Program Files\Common Files\LightScribe\LSSrvc.exe

O23 - Service: Microsoft authenticate service (MsaSvc) - Unknown owner - C:\WINNT\system32\msasvc.exe

O23 - Service: Kerio Personal Firewall (PersFw) - Kerio Technologies - C:\Program Files\Kerio\Personal Firewall\persfw.exe

O23 - Service: Pml Driver HPZ12 - HP - C:\WINNT\system32\HPZipm12.exe

HELP

Joan · 21 Listopad 2006 18:20

Ściągasz GMERA

W zakładke CMD -> CMD wklej:

gdzie XXX- nazwa Twojego konta.

Klikasz Uruchom

W HJT zaznaczasz wpisy i klikasz na dole “Fix checked” :

Po zabiegach nowe logi z HiJacka oraz Silent Runners (zaznaczasz No i czekasz aż skończy pracować w tle).

nizin · 21 Listopad 2006 19:55

Wykonałem wszystkie czynności j.w w trybie awaryjnym i zwykłym bo nie byłem pewien w którym mam wykonać. Podczas usuwania Gmerem wyskoczyły cztery błędy:

1.service MsaSvc-parametr jest niepoprawny

2.msasvc - Błąd podczas próby usunięcia

3.prosys32.exe - Błąd podczas próby usunięcia

4.MSWin-54319037 - Błąd podczas próby usunięcia

Po restarcie nie pojawia się już monit, że “Simpler wykonał nieprawidłową operację i nastąpi jego zamknięcie, musisz uruchomić program ponownie” ale aplikacja Simpler.exe oraz plik gg.dll dalej są na C:(czy mam je potraktować KillBox’em??)

Logi też się chyba nie usunęły Mam te operacje wykonywać w trybie awaryjnym czy normalnym??

To są logi zrobione po wykonaniu Twoich zaleceń:

HJ:

Logfile of HijackThis v1.99.1

Scan saved at 20:34:32, on 2006-11-21