Wirus H@tKeysH@@k-log

ERROR22 · 29 Maj 2006 15:10

Witam!!

Mój kolega prosił mnie o sprawdzenie tego loga!

Namierzył na kompie wirusa H@tKeysH@@k

Komputer jest toche zamulony!!

Z góry dziekuje za sprawdzenie!!

Logfile of HijackThis v1.99.1 Scan saved at 16:55:26, on 2006-05-29 Platform: Windows XP Dodatek SP2 (WinNT 5.01.2600) MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180) Running processes: CWINDOWS\System32\smss.exe CWINDOWS\system32\winlogon.exe CWINDOWS\system32\services.exe CWINDOWS\system32\lsass.exe CWINDOWS\system32\svchost.exe CWINDOWS\System32\svchost.exe CWINDOWS\system32\spoolsv.exe CProgram Files\Executive Software\Diskeeper\DkService.exe CProgram Files\Common Files\Microsoft Shared\VS7DEBUG\MDM.EXE CWINDOWS\system32\nvsvc32.exe CProgram Files\Alcohol Soft\Alcohol 120\StarWind\StarWindService.exe CWINDOWS\system32\UAService7.exe CWINDOWS\System32\svchost.exe CWINDOWS\System32\svchost.exe CWINDOWS\Explorer.EXE CWINDOWS\system32\rundll32.exe CProgram Files\HP\HP Software Update\HPWuSchd2.exe CProgram Files\HP\hpcoretech\hpcmpmgr.exe CWINDOWS\system32\RUNDLL32.EXE CWINDOWS\system32\ctfmon.exe CProgram Files\Save\Save.exe EProgramy\Bear Share1\BearShare.exe CProgram Files\Kalendarz XP\Kalendarz.exe CWINDOWS\system32\RaConfig.exe CProgram Files\HP\hpcoretech\comp\hptskmgr.exe CProgram Files\Tlen.pl\tlen.exe CProgram Files\Winamp\Winamp.exe CProgram Files\AntiVir PersonalEdition Classic\avguard.exe CProgram Files\AntiVir PersonalEdition Classic\avgnt.exe CProgram Files\AntiVir PersonalEdition Classic\sched.exe CProgram Files\AntiVir PersonalEdition Classic\avcenter.exe CProgram Files\AntiVir PersonalEdition Classic\avscan.exe CProgram Files\Opera\Opera.exe CProgram Files\DAP\DAP.EXE EHIJACK\HijackThis.exe R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.google.pl/ R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Łącza O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - CProgram Files\Adobe\Acrobat 7.0\ActiveX\AcroIEHelper.dll O2 - BHO: URLLink - {4A2AACF3-ADF6-11

troche mały ten log!!

adam9870 · 29 Maj 2006 15:15

:hmmm:

Wydaje Mi się, że to nie wszystko co wyskoczuło w notatniku po skończeniu robienia loga. :? Niech sprawdzi :?

Widać m.in takie rzeczy:

W logu napewno więcej by się zobaczyło

Pobierz program Ewido zrób update i przeskanuj.

ERROR22 · 29 Maj 2006 15:22

Logfile of HijackThis v1.99.1 Scan saved at 17:20:07, on 2006-05-29 Platform: Windows XP Dodatek SP2 (WinNT 5.01.2600) MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180) Running processes: CWINDOWS\System32\smss.exe CWINDOWS\system32\winlogon.exe CWINDOWS\system32\services.exe CWINDOWS\system32\lsass.exe CWINDOWS\system32\svchost.exe CWINDOWS\System32\svchost.exe CWINDOWS\system32\spoolsv.exe CProgram Files\Executive Software\Diskeeper\DkService.exe CProgram Files\Common Files\Microsoft Shared\VS7DEBUG\MDM.EXE CWINDOWS\system32\nvsvc32.exe CProgram Files\Alcohol Soft\Alcohol 120\StarWind\StarWindService.exe CWINDOWS\system32\UAService7.exe CWINDOWS\System32\svchost.exe CWINDOWS\System32\svchost.exe CWINDOWS\Explorer.EXE CWINDOWS\system32\rundll32.exe CProgram Files\HP\HP Software Update\HPWuSchd2.exe CProgram Files\HP\hpcoretech\hpcmpmgr.exe CWINDOWS\system32\RUNDLL32.EXE CWINDOWS\system32\ctfmon.exe CProgram Files\Save\Save.exe EProgramy\Bear Share1\BearShare.exe CProgram Files\Kalendarz XP\Kalendarz.exe CWINDOWS\system32\RaConfig.exe CProgram Files\HP\hpcoretech\comp\hptskmgr.exe CProgram Files\Tlen.pl\tlen.exe CProgram Files\AntiVir PersonalEdition Classic\avguard.exe CProgram Files\AntiVir PersonalEdition Classic\avgnt.exe CProgram Files\AntiVir PersonalEdition Classic\sched.exe CProgram Files\AntiVir PersonalEdition Classic\avscan.exe CProgram Files\DAP\DAP.EXE CProgram Files\Winamp\Winamp.exe EHIJACK\HijackThis.exe R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.google.pl/ R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Łącza O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - CProgram Files\Adobe\Acrobat 7.0\ActiveX\AcroIEHelper.dll O2 - BHO: URLLink - {4A2AACF3-ADF6-11D5-98A9-00E018981B9E} - CProgram Files\NewDotNet\newdotnet7_22.dll O2 - BHO: SSVHelper Class -

Mój kolega nadal twierdzi że to jest całośc!

InfinityToJa · 29 Maj 2006 15:23

nie, to nie jest całość, napewno, pewnie ucina przy kopiowaniu

adam9870 · 29 Maj 2006 15:25

To napewno nie jest całość. A widać kolejnego śmiecia:

Pewnie masz przerwany łańcuch (pewnie są wpisy O10) jeżeli masz NewDotNet :roll:

Potrzebny cały log !

Jak tego loga Ci przekazuje ? Przez GG we wiadomości ? Bo jeśli tak to jest ograniczona ilość znaków i całego loga nie można wysłać :? Niech wyśle plik z logiem

ERROR22 · 29 Maj 2006 17:46

Oto pełny log

Logfile of HijackThis v1.99.1 Scan saved at 17:34:23, on 2006-05-29 Platform: Windows XP Dodatek SP2 (WinNT 5.01.2600) MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180) Running processes: C:\WINDOWS\System32\smss.exe C:\WINDOWS\system32\winlogon.exe C:\WINDOWS\system32\services.exe C:\WINDOWS\system32\lsass.exe C:\WINDOWS\system32\svchost.exe C:\WINDOWS\System32\svchost.exe C:\WINDOWS\system32\spoolsv.exe C:\Program Files\Executive Software\Diskeeper\DkService.exe C:\Program Files\Common Files\Microsoft Shared\VS7DEBUG\MDM.EXE C:\WINDOWS\system32\nvsvc32.exe C:\Program Files\Alcohol Soft\Alcohol 120\StarWind\StarWindService.exe C:\WINDOWS\system32\UAService7.exe C:\WINDOWS\System32\svchost.exe C:\WINDOWS\System32\svchost.exe C:\WINDOWS\Explorer.EXE C:\WINDOWS\system32\rundll32.exe C:\Program Files\HP\HP Software Update\HPWuSchd2.exe C:\Program Files\HP\hpcoretech\hpcmpmgr.exe C:\WINDOWS\system32\RUNDLL32.EXE C:\WINDOWS\system32\ctfmon.exe C:\Program Files\Save\Save.exe E:\Programy\Bear Share1\BearShare.exe C:\Program Files\Kalendarz XP\Kalendarz.exe C:\WINDOWS\system32\RaConfig.exe C:\Program Files\HP\hpcoretech\comp\hptskmgr.exe C:\Program Files\Tlen.pl\tlen.exe C:\Program Files\AntiVir PersonalEdition Classic\avguard.exe C:\Program Files\AntiVir PersonalEdition Classic\avgnt.exe C:\Program Files\AntiVir PersonalEdition Classic\sched.exe C:\Program Files\AntiVir PersonalEdition Classic\avscan.exe C:\Program Files\DAP\DAP.EXE E:\HIJACK\HijackThis.exe R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.google.pl/ R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Łącza O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Program Files\Adobe\Acrobat 7.0\ActiveX\AcroIEHelper.dll O2 - BHO: URLLink - {4A2AACF3-ADF6-11D5-98A9-00E018981B9E} - C:\Program Files\NewDotNet\newdotnet7_22.dll O2 - BHO: SSVHelper Class - {761497BB-D6F0-462C-B6EB-D4DAF1D92D43} - E:\Programy\Java\bin\ssv.dll O3 - Toolbar: (no name) - {E0E899AB-F487-11D5-8D29-0050BA6940E3} - (no file) O4 - HKLM…\Run: [avgnt] “C:\Program Files\AntiVir PersonalEdition Classic\avgnt.exe” /min O4 - HKLM…\Run: [NeroFilterCheck] C:\WINDOWS\system32\NeroCheck.exe O4 - HKLM…\Run: [CTHelper] CTHELPER.EXE O4 - HKLM…\Run: [New.net Startup] rundll32 C:\PROGRA~1\NEWDOT~1\NEWDOT~2.DLL,ClientStartup -s O4 - HKLM…\Run: [HP Software Update] “C:\Program Files\HP\HP Software Update\HPWuSchd2.exe” O4 - HKLM…\Run: [HP Component Manager] “C:\Program Files\HP\hpcoretech\hpcmpmgr.exe” O4 - HKLM…\Run: [Adobe Photo Downloader] “C:\Program Files\Adobe\Photoshop Album Starter Edition\3.0\Apps\apdproxy.exe” O4 - HKLM…\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\system32\NvCpl.dll,NvStartup O4 - HKLM…\Run: [nwiz] nwiz.exe /install O4 - HKLM…\Run: [NvMediaCenter] RUNDLL32.EXE C:\WINDOWS\system32\NvMcTray.dll,NvTaskbarInit O4 - HKLM…\Run: [NI.UERSD_0001_N68M2202] “E:\ErrorSafeFreeInstall_pl.exe” -nag O4 - HKLM…\Run: [WinampAgent] C:\Program Files\Winamp\winampa.exe O4 - HKCU…\Run: [ctfmon.exe] C:\WINDOWS\system32\ctfmon.exe O4 - HKCU…\Run: [WhenUSave] “C:\Program Files\Save\Save.exe” O4 - HKCU…\Run: [steam] E:\Gry\Valve\Steam\Steam.exe -silent O4 - Global Startup: Kalendarz XP.lnk = C:\Program Files\Kalendarz XP\Kalendarz.exe O4 - Global Startup: RaConfig.lnk = C:\WINDOWS\system32\RaConfig.exe O4 - Global Startup: Adobe Reader Speed Launch.lnk = C:\Program Files\Adobe\Acrobat 7.0\Reader\reader_sl.exe O8 - Extra context menu item: &Clean Traces - C:\Program Files\DAP\Privacy Package\dapcleanerie.htm O8 - Extra context menu item: &Download with &DAP - C:\Program Files\DAP\dapextie.htm O8 - Extra context menu item: &Google Search - res://c:\program files\google\GoogleToolbar2.dll/cmsearch.html O8 - Extra context menu item: &Translate English Word - res://c:\program files\google\GoogleToolbar2.dll/cmwordtrans.html O8 - Extra context menu item: Backward Links - res://c:\program files\google\GoogleToolbar2.dll/cmbacklinks.html O8 - Extra context menu item: Cached Snapshot of Page - res://c:\program files\google\GoogleToolbar2.dll/cmcache.html O8 - Extra context menu item: Download &all with DAP - C:\Program Files\DAP\dapextie2.htm O8 - Extra context menu item: E&ksport do programu Microsoft Excel - res://C:\PROGRA~1\MICROS~2\OFFICE11\EXCEL.EXE/3000 O8 - Extra context menu item: Similar Pages - res://c:\program files\google\GoogleToolbar2.dll/cmsimilar.html O8 - Extra context menu item: Translate Page into English - res://c:\program files\google\GoogleToolbar2.dll/cmtrans.html O9 - Extra button: Badanie - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - C:\PROGRA~1\MICROS~2\OFFICE11\REFIEBAR.DLL O9 - Extra button: WeatherBug - {AF6CABAB-61F9-4f12-A198-B7D41EF1CB52} - C:\Program Files\AWS\WeatherBug\Weather.exe (file missing) (HKCU) O10 - Hijacked Internet access by New.Net O10 - Hijacked Internet access by New.Net O10 - Hijacked Internet access by New.Net O10 - Hijacked Internet access by New.Net O10 - Hijacked Internet access by New.Net O17 - HKLM\System\CCS\Services\Tcpip…{3516D773-F384-4C37-9673-BE6AD5668F95}: NameServer = 194.204.159.1,194.204.152.34 O17 - HKLM\System\CS1\Services\Tcpip…{3516D773-F384-4C37-9673-BE6AD5668F95}: NameServer = 194.204.159.1,194.204.152.34 O20 - Winlogon Notify: WgaLogon - WgaLogon.dll (file missing) O23 - Service: AntiVir PersonalEdition Classic Scheduler (AntiVirScheduler) - Avira GmbH - C:\Program Files\AntiVir PersonalEdition Classic\sched.exe O23 - Service: AntiVir PersonalEdition Classic Guard (AntiVirService) - AVIRA GmbH - C:\Program Files\AntiVir PersonalEdition Classic\avguard.exe O23 - Service: Diskeeper - Executive Software International, Inc. - C:\Program Files\Executive Software\Diskeeper\DkService.exe O23 - Service: InstallDriver Table Manager (IDriverT) - Macrovision Corporation - C:\Program Files\Common Files\InstallShield\Driver\1050\Intel 32\IDriverT.exe O23 - Service: NVIDIA Display Driver Service (NVSvc) - NVIDIA Corporation - C:\WINDOWS\system32\nvsvc32.exe O23 - Service: Pml Driver HPZ12 - HP - C:\WINDOWS\system32\HPZipm12.exe O23 - Service: StarWind iSCSI Service (StarWindService) - Rocket Division Software - C:\Program Files\Alcohol Soft\Alcohol 120\StarWind\StarWindService.exe O23 - Service: SecuROM User Access Service (V7) (UserAccess7) - Unknown owner - C:\WINDOWS\system32\UAService7.exe

adam9870 · 29 Maj 2006 17:55

Usuń: (wszystko oczywiście robisz w trybie awaryjnym z wyłączonym przywracaniem systemu)

Pliki i foldery zaznaczone usuwasz ręcznie z dysku natomiast wpisy w HijackThis.

Sprawdź w dodań/usuń programy czy masz NewDotNet. Jak jest to odinstaluj.

Tych wpisów nie usuwasz hijackiem tylko ściągnij i odpal LSP-Fix zaznacz " I know what I’m doing" następnie w okienku Keep zaznacz plik newdotnet7_22 i za pomocą strzałki (>>) przenieś go do okienka Remover i kliknij Finish i restart kompa.

Pobierz program Ewido zrób update i przeskanuj.

Po wykonaniu w/w dajesz nowy log z HijackThis plus z SilentRunners.

PS. Znasz to?

InfinityToJa · 29 Maj 2006 17:55

do wywalenia