prosze o sprawdzenie loga (hijack)

**Posty:** 18165 · przez **wojtas** 23 Kwi 2007, 16:18

Arek7777 napisał(a):ale jak usunąć te file missing ?

zaznacz je i daj fix checked

**Posty:** 67 · przez **Arek7777** 23 Kwi 2007, 16:25

włączyłem te automatu ( narazie pierwszy ) ale w trybie normalnym czy to ma jakieś znaczenie że nie w awaryjnym ?

**Posty:** 18165 · przez **wojtas** 23 Kwi 2007, 16:27

) ale w trybie normalnym czy to ma jakieś znaczenie że nie w awaryjnym ?

nie jest to istotne choc zaleca sie w awaryjnym zapusc te 4 wskazane potem daj logi nowe

**Posty:** 67 · przez **Arek7777** 23 Kwi 2007, 16:29

wojtas19162 napisał(a):
) ale w trybie normalnym czy to ma jakieś znaczenie że nie w awaryjnym ?

nie jest to istotne choc zaleca sie w awaryjnym zapusc te 4 wskazane potem daj logi nowe

ok własnie leci VundoFix

długo to trwa ... po zakonczeniu dac remove Vundo ?

**Posty:** 18165 · przez **wojtas** 23 Kwi 2007, 16:34

Arek7777 napisał(a):po zakonczeniu dac remove Vundo ?

tak te 4 zastosuj:

VundoFix
http://www.atribune.org/ccount/click.php?id=4

VirtumundoBeGone
http://secured2k.home.comcast.net/tools/VirtumundoBeGone.exe

FixVundo
http://securityresponse.symantec.com/avcenter/FixVundo.exe

smitfraudfix z opcji 2:

http://siri.urz.free.fr/Fix/SmitfraudFix_En.php

**Posty:** 67 · przez **Arek7777** 23 Kwi 2007, 17:00

wojtas19162 napisał(a):
Arek7777 napisał(a):po zakonczeniu dac remove Vundo ?

tak te 4 zastosuj:

VundoFix
http://www.atribune.org/ccount/click.php?id=4

VirtumundoBeGone
http://secured2k.home.comcast.net/tools/VirtumundoBeGone.exe

FixVundo
http://securityresponse.symantec.com/avcenter/FixVundo.exe

smitfraudfix z opcji 2:

http://siri.urz.free.fr/Fix/SmitfraudFix_En.php

przy korzystaniu z tego SmitfraudFix pytają mnie czy '' do you want clean registry cośtam coś ...'' dać yes czy no ? ? ?

**Posty:** 18165 · przez **wojtas** 23 Kwi 2007, 17:02

Arek7777 napisał(a):dać yes

**Posty:** 67 · przez **Arek7777** 23 Kwi 2007, 17:27

ok oto loga po skanowaniu tymi 4 programami :

hijackThis :

Kod: Zaznacz wszystko: Logfile of HijackThis v1.99.1 Scan saved at 17:00:12, on 2007-04-23 Platform: Windows XP (WinNT 5.01.2600) MSIE: Internet Explorer v6.00 (6.00.2600.0000) Running processes: C:\WINDOWS\System32\smss.exe C:\WINDOWS\system32\winlogon.exe C:\WINDOWS\system32\services.exe C:\WINDOWS\system32\lsass.exe C:\WINDOWS\system32\svchost.exe C:\WINDOWS\System32\svchost.exe C:\WINDOWS\system32\spoolsv.exe C:\Program Files\AntiVir PersonalEdition Classic\sched.exe C:\Program Files\AntiVir PersonalEdition Classic\avguard.exe C:\WINDOWS\System32\nvsvc32.exe C:\Program Files\AntiVir PersonalEdition Classic\avgnt.exe C:\WINDOWS\System32\ctfmon.exe C:\WINDOWS\System32\RUNDLL32.EXE C:\WINDOWS\System32\imapi.exe c:\program files\internet explorer\iexplore.exe C:\WINDOWS\explorer.exe C:\Program Files\Internet Explorer\iexplore.exe C:\Documents and Settings\Arek\Pulpit\HijackThis.exe R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Łącza R3 - URLSearchHook: Yahoo! Toolbar - {EF99BD32-C1FB-11D2-892F-0090271D4F88} - C:\Program Files\Yahoo!\Companion\Installs\cpn\yt.dll O2 - BHO: Yahoo! Toolbar Helper - {02478D38-C3F9-4EFB-9B51-7695ECA05670} - C:\Program Files\Yahoo!\Companion\Installs\cpn\yt.dll O2 - BHO: (no name) - {53707962-6F74-2D53-2644-206D7942484F} - C:\Program Files\Spybot - Search & Destroy\SDHelper.dll O2 - BHO: SSVHelper Class - {761497BB-D6F0-462C-B6EB-D4DAF1D92D43} - C:\Program Files\Java\jre1.5.0_10\bin\ssv.dll O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINDOWS\System32\msdxm.ocx O3 - Toolbar: Yahoo! Toolbar - {EF99BD32-C1FB-11D2-892F-0090271D4F88} - C:\Program Files\Yahoo!\Companion\Installs\cpn\yt.dll O4 - HKLM\..\Run: [avgnt] "C:\Program Files\AntiVir PersonalEdition Classic\avgnt.exe" /min O4 - HKLM\..\Run: [SunJavaUpdateSched] "C:\Program Files\Java\jre1.5.0_10\bin\jusched.exe" O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\System32\NvCpl.dll,NvStartup O4 - HKLM\..\Run: [nwiz] nwiz.exe /install O4 - HKLM\..\Run: [Cmaudio] RunDll32 cmicnfg.cpl,CMICtrlWnd O4 - HKLM\..\Run: [NeroFilterCheck] C:\WINDOWS\system32\NeroCheck.exe O4 - HKLM\..\Run: [MSConfig] C:\WINDOWS\PCHealth\HelpCtr\Binaries\MSConfig.exe /auto O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\ctfmon.exe O4 - HKCU\..\Run: [NvMediaCenter] RUNDLL32.EXE C:\WINDOWS\System32\NVMCTRAY.DLL,NvTaskbarInit O4 - HKCU\..\Run: [Gadu-Gadu] "C:\Program Files\Gadu-Gadu\gg.exe" /tray O4 - HKCU\..\Run: [MSMSGS] "C:\Program Files\Messenger\msmsgs.exe" /background O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\jre1.5.0_10\bin\ssv.dll O9 - Extra 'Tools' menuitem: Sun Java Console - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\jre1.5.0_10\bin\ssv.dll O16 - DPF: {68282C51-9459-467B-95BF-3C0E89627E55} (MksSkanerOnline Class) - http://www.mks.com.pl/skaner/SkanerOnline.cab O16 - DPF: {FDDBE2B8-6602-4AD8-946D-94C5A32FA6C5} (GameDesire Snooker) - http://67.15.101.3/g_bin/pl/snooker_2_0_0_31.cab O17 - HKLM\System\CCS\Services\Tcpip\..\{4F842359-9D63-4915-A4C9-1EC4993E6138}: NameServer = 194.204.159.1,194.204.152.34 O17 - HKLM\System\CS1\Services\Tcpip\..\{4F842359-9D63-4915-A4C9-1EC4993E6138}: NameServer = 194.204.159.1,194.204.152.34 O17 - HKLM\System\CS2\Services\Tcpip\..\{4F842359-9D63-4915-A4C9-1EC4993E6138}: NameServer = 194.204.159.1,194.204.152.34 O23 - Service: AntiVir PersonalEdition Classic Scheduler (AntiVirScheduler) - Avira GmbH - C:\Program Files\AntiVir PersonalEdition Classic\sched.exe O23 - Service: AntiVir PersonalEdition Classic Guard (AntiVirService) - AVIRA GmbH - C:\Program Files\AntiVir PersonalEdition Classic\avguard.exe O23 - Service: NVIDIA Display Driver Service (NVSvc) - NVIDIA Corporation - C:\WINDOWS\System32\nvsvc32.exe

ComboFix:

Kod: Zaznacz wszystko: ComboFix 07-04-22.6V - Running from: "C:\Documents and Settings\Arek\Pulpit\" ((((((((((((((((((((((((((((((( Files Created from 2007-03-23 to 2007-04-23 )))))))))))))))))))))))))))))))))) 2007-04-23 16:39 1,102 --a------ C:\WINDOWS\system32\tmp.reg 2007-04-23 16:06 <DIR> d-------- C:\VundoFix Backups 2007-04-23 15:59 49,152 --a------ C:\WINDOWS\nircmd.exe 2007-04-23 15:16 <DIR> d-------- C:\!KillBox 2007-04-23 10:13 <DIR> d--hs---- C:\FOUND.001 2007-04-23 09:27 <DIR> d-------- C:\DOCUME~1\ALLUSE~1\DANEAP~1\Spybot - Search & Destroy 2007-04-22 19:18 <DIR> d-------- C:\Program Files\Lavasoft 2007-04-22 19:18 <DIR> d-------- C:\DOCUME~1\Arek\DANEAP~1\Lavasoft 2007-04-22 19:17 <DIR> d-------- C:\Program Files\Common Files\Wise Installation Wizard 2007-04-12 19:18 <DIR> d--hs---- C:\FOUND.000 2007-04-10 10:49 <DIR> d-------- C:\DOCUME~1\Arek\DANEAP~1\Ahead 2007-04-10 10:46 569,344 -ra------ C:\WINDOWS\system32\imagr5.dll 2007-04-10 10:46 544,768 -ra------ C:\WINDOWS\system32\imagx5.dll 2007-04-10 10:46 38,912 -ra------ C:\WINDOWS\system32\picn20.dll 2007-04-10 10:46 283,920 -ra------ C:\WINDOWS\system32\ImagXpr5.dll 2007-04-10 10:46 155,648 -ra------ C:\WINDOWS\system32\NeroCheck.exe 2007-04-10 10:46 <DIR> d-------- C:\Program Files\Common Files\Ahead 2007-04-10 10:46 <DIR> d-------- C:\Program Files\Ahead 2007-04-03 20:16 <DIR> d-------- C:\Program Files\SopCast 2007-04-03 20:16 <DIR> d-------- C:\DOCUME~1\Arek\DANEAP~1\SopCast 2007-03-24 15:37 <DIR> d-------- C:\Program Files\Common Files\NSV (((((((((((((((((((((((((((((((((((((((((((((((( Find3M Report ))))))))))))))))))))))))))))))))))))))))))))))))))))) 2007-03-20 16:17 4 --a------ C:\WINDOWS\system32\proc-1262580707.bin 2007-03-08 21:48 -------- d-------- C:\Program Files\yahoo! 2007-01-18 21:02 62 --ahs---- C:\DOCUME~1\Arek\DANEAP~1\desktop.ini (((((((((((((((((((((((((((((((((((((((((( Reg Loading Points )))))))))))))))))))))))))))))))))))))))))))))))) *Note* empty entries & legit default entries are not shown [HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Browser Helper Objects] {02478D38-C3F9-4EFB-9B51-7695ECA05670} C:\Program Files\Yahoo!\Companion\Installs\cpn\yt.dll {53707962-6F74-2D53-2644-206D7942484F} C:\Program Files\Spybot - Search & Destroy\SDHelper.dll {761497BB-D6F0-462C-B6EB-D4DAF1D92D43} C:\Program Files\Java\jre1.5.0_10\bin\ssv.dll [HKEY_LOCAL_MACHINE\software\microsoft\windows\currentversion\run] "avgnt"="\"C:\\Program Files\\AntiVir PersonalEdition Classic\\avgnt.exe\" /min" "SunJavaUpdateSched"="\"C:\\Program Files\\Java\\jre1.5.0_10\\bin\\jusched.exe\"" "NvCplDaemon"="RUNDLL32.EXE C:\\WINDOWS\\System32\\NvCpl.dll,NvStartup" "nwiz"="nwiz.exe /install" "Cmaudio"="RunDll32 cmicnfg.cpl,CMICtrlWnd" "NeroFilterCheck"="C:\\WINDOWS\\system32\\NeroCheck.exe" "MSConfig"="C:\\WINDOWS\\PCHealth\\HelpCtr\\Binaries\\MSConfig.exe /auto" [HKEY_CURRENT_USER\software\microsoft\windows\currentversion\run] "CTFMON.EXE"="C:\\WINDOWS\\System32\\ctfmon.exe" "NvMediaCenter"="RUNDLL32.EXE C:\\WINDOWS\\System32\\NVMCTRAY.DLL,NvTaskbarInit" "Gadu-Gadu"="\"C:\\Program Files\\Gadu-Gadu\\gg.exe\" /tray" "MSMSGS"="\"C:\\Program Files\\Messenger\\msmsgs.exe\" /background" HKEY_LOCAL_MACHINE\system\currentcontrolset\control\lsa Authentication Packages REG_MULTI_SZ msv1_0\0\0 Security Packages REG_MULTI_SZ kerberos\0msv1_0\0schannel\0wdigest\0\0 Notification Packages REG_MULTI_SZ scecli\0\0 [HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg] [HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\Cmaudio] "key"="SOFTWARE\\Microsoft\\Windows\\CurrentVersion\\Run" "item"="RunDll32 cmicnfg" "hkey"="HKLM" "command"="RunDll32 cmicnfg.cpl,CMICtrlWnd" "inimapping"="0" [HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\MSMSGS] "key"="SOFTWARE\\Microsoft\\Windows\\CurrentVersion\\Run" "item"="msmsgs" "hkey"="HKCU" "command"="\"C:\\Program Files\\Messenger\\msmsgs.exe\" /background" "inimapping"="0" [HKEY_LOCAL_MACHINE\software\Microsoft\Windows NT\CurrentVersion\Svchost] LocalService REG_MULTI_SZ Alerter\0WebClient\0LmHosts\0RemoteRegistry\0upnphost\0SSDPSRV\0\0 NetworkService REG_MULTI_SZ DnsCache\0\0 rpcss REG_MULTI_SZ RpcSs\0\0 imgsvc REG_MULTI_SZ StiSvc\0\0 termsvcs REG_MULTI_SZ TermService\0\0 ******************************************************************** catchme 0.3.660 W2K/XP/Vista - userland rootkit detector by Gmer, http://www.gmer.net Rootkit scan 2007-04-23 17:11:32 Windows 5.1.2600 FAT scanning hidden processes ... scanning hidden services ... scanning hidden autostart entries ... scanning hidden files ... scan completed successfully hidden processes: 0 hidden services: 0 hidden files: 0 ******************************************************************** Completion time: 07-04-23 17:11:35 C:\ComboFix-quarantined-files.txt ... 07-04-23 17:11 C:\ComboFix2.txt ... 07-04-23 15:59

Silent Runner: jakiś dziwnie krótki

Kod: Zaznacz wszystko: "Silent Runners.vbs", revision R50, http://www.silentrunners.org/ Operating System: Windows XP Output limited to non-default values, except where indicated by "{++}" Startup items buried in registry: --------------------------------- HKCU\Software\Microsoft\Windows\CurrentVersion\Run\ {++} "CTFMON.EXE" = "C:\WINDOWS\System32\ctfmon.exe" [MS] "NvMediaCenter" = "RUNDLL32.EXE C:\WINDOWS\System32\NVMCTRAY.DLL,NvTaskbarInit" [MS] "Gadu-Gadu" = ""C:\Program Files\Gadu-Gadu\gg.exe" /tray" ["Gadu-Gadu S.A."] "MSMSGS" = ""C:\Program Files\Messenger\msmsgs.exe" /background" [MS] HKLM\Software\Microsoft\Windows\CurrentVersion\Run\ {++} "avgnt" = ""C:\Program Files\AntiVir PersonalEdition Classic\avgnt.exe" /min" [null data] "SunJavaUpdateSched" = ""C:\Program Files\Java\jre1.5.0_10\bin\jusched.exe"" [file not found] "NvCplDaemon" = "RUNDLL32.EXE C:\WINDOWS\System32\NvCpl.dll,NvStartup" [MS] "nwiz" = "nwiz.exe /install" ["NVIDIA Corporation"] "Cmaudio" = "RunDll32 cmicnfg.cpl,CMICtrlWnd" [MS] "NeroFilterCheck" = "C:\WINDOWS\system32\NeroCheck.exe" ["Ahead Software Gmbh"] "MSConfig" = "C:\WINDOWS\PCHealth\HelpCtr\Binaries\MSConfig.exe /auto" [MS] HKLM\Software\Microsoft\Windows\CurrentVersion\Explorer\Browser Helper Objects\ {02478D38-C3F9-4EFB-9B51-7695ECA05670}\(Default) = (no title provided) -> {HKLM...CLSID} = "Yahoo! Toolbar Helper" \InProcServer32\(Default) = "C:\Program Files\Yahoo!\Companion\Installs\cpn\yt.dll" ["Yahoo! Inc."] {53707962-6F74-2D53-2644-206D7942484F}\(Default) = (no title provided) -> {HKLM...CLSID} = (no title provided) \InProcServer32\(Default) = "C:\Program Files\Spybot - Search & Destroy\SDHelper.dll" ["Safer Networking Limited"] {761497BB-D6F0-462C-B6EB-D4DAF1D92D43}\(Default) = (no title provided) -> {HKLM...CLSID} = "SSVHelper Class" \InProcServer32\(Default) = "C:\Program Files\Java\jre1.5.0_10\bin\ssv.dll" ["Sun Microsystems, Inc."] HKLM\Software\Microsoft\Windows\CurrentVersion\Shell Extensions\Approved\ "{42071714-76d4-11d1-8b24-00a0c9068ff3}" = "Rozszerzenie CPL kadrowania wyświetlania" -> {HKLM...CLSID} = "Rozszerzenie CPL kadrowania wyświetlania" \InProcServer32\(Default) = "deskpan.dll" [file not found] "{88895560-9AA2-1069-930E-00AA0030EBC8}" = "Rozszerzenie ikony HyperTerminalu" -> {HKLM...CLSID} = "HyperTerminal Icon Ext" \InProcServer32\(Default) = "C:\WINDOWS\System32\hticons.dll" ["Hilgraeve, Inc."] "{45AC2688-0253-4ED8-97DE-B5370FA7D48A}" = "Shell Extension for Malware scanning" -> {HKLM...CLSID} = "Shell Extension for Malware scanning" \InProcServer32\(Default) = "C:\Program Files\AntiVir PersonalEdition Classic\shlext.dll" ["H+BEDV Datentechnik GmbH"] "{E0D79300-84BE-11CE-9641-444553540000}" = "WinZip" -> {HKLM...CLSID} = "WinZip" \InProcServer32\(Default) = "C:\PROGRA~1\WinZip\wzshlext.dll" [null data] "{E0D79301-84BE-11CE-9641-444553540000}" = "WinZip" -> {HKLM...CLSID} = "WinZip" \InProcServer32\(Default) = "C:\PROGRA~1\WinZip\wzshlext.dll" [null data] "{E0D79302-84BE-11CE-9641-444553540000}" = "WinZip" -> {HKLM...CLSID} = "WinZip" \InProcServer32\(Default) = "C:\PROGRA~1\WinZip\wzshlext.dll" [null data] "{1CDB2949-8F65-4355-8456-263E7C208A5D}" = "Desktop Explorer" -> {HKLM...CLSID} = "Desktop Explorer" \InProcServer32\(Default) = "C:\WINDOWS\System32\nvshell.dll" ["NVIDIA Corporation"] "{1E9B04FB-F9E5-4718-997B-B8DA88302A47}" = "Desktop Explorer Menu" -> {HKLM...CLSID} = (no title provided) \InProcServer32\(Default) = "C:\WINDOWS\System32\nvshell.dll" ["NVIDIA Corporation"] "{B41DB860-8EE4-11D2-9906-E49FADC173CA}" = "WinRAR shell extension" -> {HKLM...CLSID} = "WinRAR" \InProcServer32\(Default) = "C:\Program Files\WinRAR\rarext.dll" [null data] HKLM\Software\Classes\*\shellex\ContextMenuHandlers\ Shell Extension for Malware scanning\(Default) = "{45AC2688-0253-4ED8-97DE-B5370FA7D48A}" -> {HKLM...CLSID} = "Shell Extension for Malware scanning" \InProcServer32\(Default) = "C:\Program Files\AntiVir PersonalEdition Classic\shlext.dll" ["H+BEDV Datentechnik GmbH"]

prosze powiedziec co dalej robić czy komputer już jest czysty ? jeśli tak to jak zapobiedz temu zeby taka sytuacja sie nie powtorzyła?

acha ... mam włączyć już przywracanie systemu czy zostawić wyłączone?

**Posty:** 4043 · przez **prog** 23 Kwi 2007, 18:32

SilentRunners jest urwany, ale wygląda, że już OK.

Arek7777 napisał(a):jeśli tak to jak zapobiedz temu zeby taka sytuacja sie nie powtorzyła?

Zainstaluj SP2, nie chodź po jakiś dziwnych stronach, nie ściągaj czegoś co ci "kolega z neta" wciśnie...

**Posty:** 67 · przez **Arek7777** 23 Kwi 2007, 18:42

w takim razie dziekuje wszystkim baaaaardzo za pomoc i wręcz nieograniczoną cierpilwość

ale jeszcze mam kilka mniej ważnych pytan ale rowniez licze na odp

1. włączyć z powrotem przywracanie systemu czy zostawić wyłączone ?
2. co z tymi fixami takimi jak Vundo Fix ? zostawic je na kompie czy odinstalować?
3. co to jest sp2

**Posty:** 1861 · przez **skowrona** 23 Kwi 2007, 18:44

Arek7777 napisał(a):włączyć z powrotem przywracanie systemu czy zostawić wyłączone ?

lepiej włącz bo jak ci się system skopie to nie bedziesz mógł przywrócić ale decyzja należy do ciebie

**Posty:** 4043 · przez **prog** 23 Kwi 2007, 19:00

Arek7777 napisał(a): co z tymi fixami takimi jak Vundo Fix ? zostawic je na kompie czy odinstalować?

Wywal, jak będzie trzeba to ściągniesz znowu.

Arek7777 napisał(a):co to jest sp2

service pack 2 - zbiór poprawek do windowsa xp, zwiększający m.in bezpieczeństwo.

Pobierz SP2.

**Posty:** 18165 · przez **wojtas** 23 Kwi 2007, 20:29

do wywalenia jeszcze:

C:\WINDOWS\system32\tmp.reg

**Posty:** 67 · przez **Arek7777** 23 Kwi 2007, 20:55

http://img400.imageshack.us/my.php?image=beztytuuql8.jpg

nie moge zainstalować SP2 przez ten błąd o co chodzi ?

jak usunąć ten plik Wojtas ? przez tryb awaryjny i Hijackiem ? czy moge odrazu bez awaryjnego ? czy killboxem ?

**Posty:** 4043 · przez **prog** 23 Kwi 2007, 20:57

Killboxem, zaznaczasz delete on reboot i wpisujesz ścieżkę podaną przez wojtasa, no i X.

Masz nieoryginalnego XPeka i dlatego nie możesz zainstalować SP2.
Sklep się kłania.

**Posty:** 67 · przez **Arek7777** 23 Kwi 2007, 20:58

ok dzieki jeszcze raz

a co do win to przecież mam kopie z oryginalnej płyty ... taki tez nie może być?

**Posty:** 4043 · przez **prog** 23 Kwi 2007, 20:59

Widocznie klucz masz piracki

**Posty:** 67 · przez **Arek7777** 23 Kwi 2007, 21:08

prog napisał(a):Widocznie klucz masz piracki

hmm sam nie wiem ... kumpel mi instalował Xp mówił że to z oryginalnej płyty jego ojca.

ok usunąłem wszystko co kazaliście teraz jest ok ?

Kod: Zaznacz wszystko: Logfile of HijackThis v1.99.1 Scan saved at 20:55:29, on 2007-04-23 Platform: Windows XP (WinNT 5.01.2600) MSIE: Internet Explorer v6.00 (6.00.2600.0000) Running processes: C:\WINDOWS\System32\smss.exe C:\WINDOWS\system32\winlogon.exe C:\WINDOWS\system32\services.exe C:\WINDOWS\system32\lsass.exe C:\WINDOWS\system32\svchost.exe C:\WINDOWS\System32\svchost.exe C:\WINDOWS\Explorer.EXE C:\WINDOWS\system32\spoolsv.exe C:\Program Files\AntiVir PersonalEdition Classic\avgnt.exe C:\WINDOWS\System32\ctfmon.exe C:\WINDOWS\System32\RUNDLL32.EXE C:\Program Files\Messenger\msmsgs.exe C:\Program Files\AntiVir PersonalEdition Classic\sched.exe C:\Program Files\AntiVir PersonalEdition Classic\avguard.exe C:\WINDOWS\System32\nvsvc32.exe C:\WINDOWS\System32\wuauclt.exe C:\Program Files\internet explorer\iexplore.exe C:\Program Files\internet explorer\iexplore.exe C:\Documents and Settings\Arek\Pulpit\HijackThis.exe R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.onet.pl/ R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Łącza R3 - URLSearchHook: Yahoo! Toolbar - {EF99BD32-C1FB-11D2-892F-0090271D4F88} - C:\Program Files\Yahoo!\Companion\Installs\cpn\yt.dll O2 - BHO: Yahoo! Toolbar Helper - {02478D38-C3F9-4EFB-9B51-7695ECA05670} - C:\Program Files\Yahoo!\Companion\Installs\cpn\yt.dll O2 - BHO: (no name) - {53707962-6F74-2D53-2644-206D7942484F} - C:\Program Files\Spybot - Search & Destroy\SDHelper.dll O2 - BHO: SSVHelper Class - {761497BB-D6F0-462C-B6EB-D4DAF1D92D43} - C:\Program Files\Java\jre1.5.0_10\bin\ssv.dll O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINDOWS\System32\msdxm.ocx O3 - Toolbar: Yahoo! Toolbar - {EF99BD32-C1FB-11D2-892F-0090271D4F88} - C:\Program Files\Yahoo!\Companion\Installs\cpn\yt.dll O4 - HKLM\..\Run: [avgnt] "C:\Program Files\AntiVir PersonalEdition Classic\avgnt.exe" /min O4 - HKLM\..\Run: [SunJavaUpdateSched] "C:\Program Files\Java\jre1.5.0_10\bin\jusched.exe" O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\System32\NvCpl.dll,NvStartup O4 - HKLM\..\Run: [nwiz] nwiz.exe /install O4 - HKLM\..\Run: [Cmaudio] RunDll32 cmicnfg.cpl,CMICtrlWnd O4 - HKLM\..\Run: [NeroFilterCheck] C:\WINDOWS\system32\NeroCheck.exe O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\ctfmon.exe O4 - HKCU\..\Run: [NvMediaCenter] RUNDLL32.EXE C:\WINDOWS\System32\NVMCTRAY.DLL,NvTaskbarInit O4 - HKCU\..\Run: [Gadu-Gadu] "C:\Program Files\Gadu-Gadu\gg.exe" /tray O4 - HKCU\..\Run: [MSMSGS] "C:\Program Files\Messenger\msmsgs.exe" /background O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\jre1.5.0_10\bin\ssv.dll O9 - Extra 'Tools' menuitem: Sun Java Console - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\jre1.5.0_10\bin\ssv.dll O16 - DPF: {6414512B-B978-451D-A0D8-FCFDF33E833C} (WUWebControl Class) - http://update.microsoft.com/windowsupdate/v6/V5Controls/en/x86/client/wuweb_site.cab?1177351724122 O16 - DPF: {68282C51-9459-467B-95BF-3C0E89627E55} (MksSkanerOnline Class) - http://www.mks.com.pl/skaner/SkanerOnline.cab O16 - DPF: {FDDBE2B8-6602-4AD8-946D-94C5A32FA6C5} (GameDesire Snooker) - http://67.15.101.3/g_bin/pl/snooker_2_0_0_31.cab O17 - HKLM\System\CCS\Services\Tcpip\..\{4F842359-9D63-4915-A4C9-1EC4993E6138}: NameServer = 194.204.159.1,194.204.152.34 O17 - HKLM\System\CS1\Services\Tcpip\..\{4F842359-9D63-4915-A4C9-1EC4993E6138}: NameServer = 194.204.159.1,194.204.152.34 O17 - HKLM\System\CS2\Services\Tcpip\..\{4F842359-9D63-4915-A4C9-1EC4993E6138}: NameServer = 194.204.159.1,194.204.152.34 O23 - Service: AntiVir PersonalEdition Classic Scheduler (AntiVirScheduler) - Avira GmbH - C:\Program Files\AntiVir PersonalEdition Classic\sched.exe O23 - Service: AntiVir PersonalEdition Classic Guard (AntiVirService) - AVIRA GmbH - C:\Program Files\AntiVir PersonalEdition Classic\avguard.exe O23 - Service: NVIDIA Display Driver Service (NVSvc) - NVIDIA Corporation - C:\WINDOWS\System32\nvsvc32.exe

**Posty:** 4043 · przez **prog** 23 Kwi 2007, 21:13

Daj z combofixa, bo on wykrył ten pliczek.

**Posty:** 67 · przez **Arek7777** 23 Kwi 2007, 21:19

prog napisał(a):Daj z combofixa, bo on wykrył ten pliczek.

4 razy musiałem dawać ignore w antyvir zeby włączyć comboxa

log:

Kod: Zaznacz wszystko: ComboFix 07-04-22.6V - Running from: "C:\Documents and Settings\Arek\Pulpit" ((((((((((((((((((((((((((((((( Files Created from 2007-03-23 to 2007-04-23 )))))))))))))))))))))))))))))))))) 2007-04-23 20:08 <DIR> d-------- C:\WINDOWS\SoftwareDistribution 2007-04-23 16:06 <DIR> d-------- C:\VundoFix Backups 2007-04-23 15:59 49,152 --a------ C:\WINDOWS\nircmd.exe 2007-04-23 15:16 <DIR> d-------- C:\!KillBox 2007-04-23 10:13 <DIR> d--hs---- C:\FOUND.001 2007-04-23 09:27 <DIR> d-------- C:\DOCUME~1\ALLUSE~1\DANEAP~1\Spybot - Search & Destroy 2007-04-22 19:18 <DIR> d-------- C:\Program Files\Lavasoft 2007-04-22 19:18 <DIR> d-------- C:\DOCUME~1\Arek\DANEAP~1\Lavasoft 2007-04-22 19:17 <DIR> d-------- C:\Program Files\Common Files\Wise Installation Wizard 2007-04-12 19:18 <DIR> d--hs---- C:\FOUND.000 2007-04-10 10:49 <DIR> d-------- C:\DOCUME~1\Arek\DANEAP~1\Ahead 2007-04-10 10:46 569,344 -ra------ C:\WINDOWS\system32\imagr5.dll 2007-04-10 10:46 544,768 -ra------ C:\WINDOWS\system32\imagx5.dll 2007-04-10 10:46 38,912 -ra------ C:\WINDOWS\system32\picn20.dll 2007-04-10 10:46 283,920 -ra------ C:\WINDOWS\system32\ImagXpr5.dll 2007-04-10 10:46 155,648 -ra------ C:\WINDOWS\system32\NeroCheck.exe 2007-04-10 10:46 <DIR> d-------- C:\Program Files\Common Files\Ahead 2007-04-10 10:46 <DIR> d-------- C:\Program Files\Ahead 2007-04-03 20:16 <DIR> d-------- C:\Program Files\SopCast 2007-04-03 20:16 <DIR> d-------- C:\DOCUME~1\Arek\DANEAP~1\SopCast 2007-03-24 15:37 <DIR> d-------- C:\Program Files\Common Files\NSV (((((((((((((((((((((((((((((((((((((((((((((((( Find3M Report ))))))))))))))))))))))))))))))))))))))))))))))))))))) 2007-04-23 20:52 49492 --a------ C:\WINDOWS\system32\perfc015.dat 2007-04-23 20:52 355486 --a------ C:\WINDOWS\system32\perfh015.dat 2007-03-20 16:17 4 --a------ C:\WINDOWS\system32\proc-1262580707.bin 2007-03-08 21:48 -------- d-------- C:\Program Files\yahoo! 2007-01-18 21:02 62 --ahs---- C:\DOCUME~1\Arek\DANEAP~1\desktop.ini (((((((((((((((((((((((((((((((((((((((((( Reg Loading Points )))))))))))))))))))))))))))))))))))))))))))))))) *Note* empty entries & legit default entries are not shown [HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Browser Helper Objects] {02478D38-C3F9-4EFB-9B51-7695ECA05670} C:\Program Files\Yahoo!\Companion\Installs\cpn\yt.dll {53707962-6F74-2D53-2644-206D7942484F} C:\Program Files\Spybot - Search & Destroy\SDHelper.dll {761497BB-D6F0-462C-B6EB-D4DAF1D92D43} C:\Program Files\Java\jre1.5.0_10\bin\ssv.dll [HKEY_LOCAL_MACHINE\software\microsoft\windows\currentversion\run] "avgnt"=""C:\\Program Files\\AntiVir PersonalEdition Classic\\avgnt.exe" /min" "SunJavaUpdateSched"=""C:\\Program Files\\Java\\jre1.5.0_10\\bin\\jusched.exe"" "NvCplDaemon"="RUNDLL32.EXE C:\\WINDOWS\\System32\\NvCpl.dll,NvStartup" "nwiz"="nwiz.exe /install" "Cmaudio"="RunDll32 cmicnfg.cpl,CMICtrlWnd" "NeroFilterCheck"="C:\\WINDOWS\\system32\\NeroCheck.exe" [HKEY_CURRENT_USER\software\microsoft\windows\currentversion\run] "CTFMON.EXE"="C:\\WINDOWS\\System32\\ctfmon.exe" "NvMediaCenter"="RUNDLL32.EXE C:\\WINDOWS\\System32\\NVMCTRAY.DLL,NvTaskbarInit" "Gadu-Gadu"=""C:\\Program Files\\Gadu-Gadu\\gg.exe" /tray" "MSMSGS"=""C:\\Program Files\\Messenger\\msmsgs.exe" /background" HKEY_LOCAL_MACHINE\system\currentcontrolset\control\lsa Authentication Packages REG_MULTI_SZ msv1_0\0\0 Security Packages REG_MULTI_SZ kerberos\0msv1_0\0schannel\0wdigest\0\0 Notification Packages REG_MULTI_SZ scecli\0\0 [HKEY_LOCAL_MACHINE\software\Microsoft\Windows NT\CurrentVersion\Svchost] LocalService REG_MULTI_SZ Alerter\0WebClient\0LmHosts\0RemoteRegistry\0upnphost\0SSDPSRV\0\0 NetworkService REG_MULTI_SZ DnsCache\0\0 rpcss REG_MULTI_SZ RpcSs\0\0 imgsvc REG_MULTI_SZ StiSvc\0\0 termsvcs REG_MULTI_SZ TermService\0\0 [HKCU\Software\Microsoft\Windows\CurrentVersion\Explorer\MountPoints2\{aa4bf344-a72e-11db-b121-806d6172696f}] Shell\AutoRun\command F:\autorun.exe ******************************************************************** catchme 0.3.660 W2K/XP/Vista - userland rootkit detector by Gmer, http://www.gmer.net Rootkit scan 2007-04-23 21:06:03 Windows 5.1.2600 FAT scanning hidden processes ... scanning hidden services ... scanning hidden autostart entries ... scanning hidden files ... scan completed successfully hidden processes: 0 hidden services: 0 hidden files: 0 ******************************************************************** Completion time: 07-04-23 21:06:09 C:\ComboFix-quarantined-files.txt ... 07-04-23 21:06 C:\ComboFix3.txt ... 07-04-23 15:59 C:\ComboFix2.txt ... 07-04-23 17:11

prosze o sprawdzenie loga (hijack)

Kto jest na forum