prosze o sprawdzenie loga (hijack)

[Mike Mitnick]

Kod: Zaznacz wszystko

Logfile of HijackThis v1.99.1
Scan saved at 10:27:46, on 2007-04-23
Platform: Windows XP  (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 (6.00.2600.0000)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\spoolsv.exe
C:\WINDOWS\Explorer.EXE
C:\Program Files\AntiVir PersonalEdition Classic\sched.exe
C:\Program Files\AntiVir PersonalEdition Classic\avguard.exe
C:\WINDOWS\System32\nvsvc32.exe
C:\Program Files\AntiVir PersonalEdition Classic\avgnt.exe
C:\WINDOWS\System32\svehost.exe
C:\WINDOWS\System32\clcl6.exe
C:\WINDOWS\System32\ctfmon.exe
C:\WINDOWS\System32\RUNDLL32.EXE
C:\Program Files\Messenger\msmsgs.exe
C:\WINDOWS\System32\wuauclt.exe
C:\Program Files\Internet Explorer\iexplore.exe
C:\Documents and Settings\Arek\Pulpit\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.onet.pl/
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Łącza
R3 - URLSearchHook: Yahoo! Toolbar - {EF99BD32-C1FB-11D2-892F-0090271D4F88} - C:\Program Files\Yahoo!\Companion\Installs\cpn\yt.dll
O2 - BHO: Yahoo! Toolbar Helper - {02478D38-C3F9-4EFB-9B51-7695ECA05670} - C:\Program Files\Yahoo!\Companion\Installs\cpn\yt.dll
O2 - BHO: (no name) - {1557B435-8242-4686-9AA3-9265BF7525A4} - C:\WINDOWS\System32\tmp8.tmp.dll
O2 - BHO: (no name) - {53707962-6F74-2D53-2644-206D7942484F} - C:\Program Files\Spybot - Search & Destroy\SDHelper.dll
O2 - BHO: SSVHelper Class - {761497BB-D6F0-462C-B6EB-D4DAF1D92D43} - C:\Program Files\Java\jre1.5.0_10\bin\ssv.dll
O2 - BHO: (no name) - {e5bd5c7b-ea71-4301-922a-141582bd9dab} - C:\WINDOWS\system32\winder.dll
O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINDOWS\System32\msdxm.ocx
O3 - Toolbar: Yahoo! Toolbar - {EF99BD32-C1FB-11D2-892F-0090271D4F88} - C:\Program Files\Yahoo!\Companion\Installs\cpn\yt.dll
O4 - HKLM\..\Run: [avgnt] "C:\Program Files\AntiVir PersonalEdition Classic\avgnt.exe" /min
O4 - HKLM\..\Run: [SunJavaUpdateSched] "C:\Program Files\Java\jre1.5.0_10\bin\jusched.exe"
O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\System32\NvCpl.dll,NvStartup
O4 - HKLM\..\Run: [nwiz] nwiz.exe /install
O4 - HKLM\..\Run: [Cmaudio] RunDll32 cmicnfg.cpl,CMICtrlWnd
O4 - HKLM\..\Run: [Lexmark_X79-55] C:\WINDOWS\System32\lsasss.exe
O4 - HKLM\..\Run: [Microsoft Windows Update] C:\WINDOWS\system32\srshost.exe
O4 - HKLM\..\Run: [NeroFilterCheck] C:\WINDOWS\system32\NeroCheck.exe
O4 - HKLM\..\Run: [BootService] rundll32.exe "C:\WINDOWS\byyxxv.dll",realset
O4 - HKLM\..\Run: [Intel system tool] C:\WINDOWS\System32\svehost.exe
O4 - HKLM\..\Run: [clcl6] C:\WINDOWS\System32\clcl6.exe
O4 - HKLM\..\RunServices: [Microsoft Windows Update] C:\WINDOWS\system32\srshost.exe
O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\ctfmon.exe
O4 - HKCU\..\Run: [NvMediaCenter] RUNDLL32.EXE C:\WINDOWS\System32\NVMCTRAY.DLL,NvTaskbarInit
O4 - HKCU\..\Run: [Gadu-Gadu] "C:\Program Files\Gadu-Gadu\gg.exe" /tray
O4 - HKCU\..\Run: [MSMSGS] "C:\Program Files\Messenger\msmsgs.exe" /background
O4 - HKCU\..\Run: [Microsoft Windows Update] C:\WINDOWS\system32\srshost.exe
O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\jre1.5.0_10\bin\ssv.dll
O9 - Extra 'Tools' menuitem: Sun Java Console - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\jre1.5.0_10\bin\ssv.dll
O16 - DPF: {68282C51-9459-467B-95BF-3C0E89627E55} (MksSkanerOnline Class) - http://www.mks.com.pl/skaner/SkanerOnline.cab
O16 - DPF: {FDDBE2B8-6602-4AD8-946D-94C5A32FA6C5} (GameDesire Snooker) - http://67.15.101.3/g_bin/pl/snooker_2_0_0_31.cab
O17 - HKLM\System\CCS\Services\Tcpip\..\{4F842359-9D63-4915-A4C9-1EC4993E6138}: NameServer = 194.204.159.1,194.204.152.34
O17 - HKLM\System\CS1\Services\Tcpip\..\{4F842359-9D63-4915-A4C9-1EC4993E6138}: NameServer = 194.204.159.1,194.204.152.34
O17 - HKLM\System\CS2\Services\Tcpip\..\{4F842359-9D63-4915-A4C9-1EC4993E6138}: NameServer = 194.204.159.1,194.204.152.34
O20 - AppInit_DLLs: 
O20 - Winlogon Notify: winder - C:\WINDOWS\SYSTEM32\winder.dll
O23 - Service: AntiVir PersonalEdition Classic Scheduler (AntiVirScheduler) - Avira GmbH - C:\Program Files\AntiVir PersonalEdition Classic\sched.exe
O23 - Service: AntiVir PersonalEdition Classic Guard (AntiVirService) - AVIRA GmbH - C:\Program Files\AntiVir PersonalEdition Classic\avguard.exe
O23 - Service: NVIDIA Display Driver Service (NVSvc) - NVIDIA Corporation - C:\WINDOWS\System32\nvsvc32.exe


MKS online wskazuje mi 2 pliki jako trojany, ktorych jednak nie moge nijak usunac. Co jakis czas wywala mi komunikat, ze komputer pracuje wolniej niz by mogl optymalnie i czy chce przeskanowac kompa jakims tam programem. Proglem jest z plikiem o nazwie WINDER. Skanowalem ad-aware i spybotem i nic mi nie wykrywa. Prosze o pomoc.

*Jest to log i prosba mojego znajomego, ktory nie moze obecnie zalogowac sie na forum.

[wojtas]

Wyłącz przywracanie systemu ( właściwości mój komputer-zakładka przywracanie - wyłącz przywracanie na wszystkich dyskach)
Start do awaryjnego ( F8 ) przy starcie komputera.

O2 - BHO: (no name) - {1557B435-8242-4686-9AA3-9265BF7525A4} - C:\WINDOWS\System32\tmp8.tmp.dll
O2 - BHO: (no name) - {e5bd5c7b-ea71-4301-922a-141582bd9dab} - C:\WINDOWS\system32\winder.dll
O4 - HKLM\..\Run: [Lexmark_X79-55] C:\WINDOWS\System32\lsasss.exe
O4 - HKLM\..\Run: [Microsoft Windows Update] C:\WINDOWS\system32\srshost.exe
O4 - HKLM\..\Run: [BootService] rundll32.exe "C:\WINDOWS\byyxxv.dll",realset
O4 - HKLM\..\Run: [Intel system tool] C:\WINDOWS\System32\svehost.exe
O4 - HKLM\..\Run: [clcl6] C:\WINDOWS\System32\clcl6.exe
O4 - HKLM\..\RunServices: [Microsoft Windows Update] C:\WINDOWS\system32\srshost.exe
O4 - HKCU\..\Run: [Microsoft Windows Update] C:\WINDOWS\system32\srshost.exe
O20 - AppInit_DLLs:
O20 - Winlogon Notify: winder - C:\WINDOWS\SYSTEM32\winder.dll

Odpalasz hijackthis i zaznaczasz ptaszkami powyższe wpisy i dajesz Fix checked.
Pogrubione pliki usuwasz ręcznie z dysku

potem zastosuj:

VundoFix
http://www.atribune.org/ccount/click.php?id=4

VirtumundoBeGone
http://secured2k.home.comcast.net/tools/VirtumundoBeGone.exe

FixVundo
http://securityresponse.symantec.com/avcenter/FixVundo.exe

oraz

smitfraudfix z opcji 2:

http://siri.urz.free.fr/Fix/SmitfraudFix_En.php

potem nowe logi z Hijack This oraz Silent runners

[Arek7777]

najpierw usunąć te pogrubione czy najpierw usunąć hijakiem te pliki ?

[wojtas]

najpierw usunąć te pogrubione czy najpierw usunąć hijakiem te pliki ?

najpierw wpisy w hijacku nastepnie usun pogrubione

[Arek7777]

przy nacisnieciu f8 pojawia sie select first boot device co mam wybrać ?

chyba ze użyć tego drugiego sposobu podanego tu czyli poprzez msconfig ?

soty za takie pytania ale naprawde jestem zielony

[wojtas]

Start >>> Uruchom >>> msconfig >>> w zakładce BOOT.INI zaznacz /SAFEBOOT ireset i bedziesz w awaryjnym

[Arek7777]

wyskoczył jakis błąd przy usuwaniu tych plików .... narazie nei usuwałem ejszcze nic recznie o to log jak widać winder dalej jest co robić ?

edit: jak teraz chce usuwać te pliki to jest napisane ze nei mozna usunąc bo są uzywane

Kod: Zaznacz wszystko

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\spoolsv.exe
C:\WINDOWS\Explorer.EXE
C:\Program Files\AntiVir PersonalEdition Classic\avgnt.exe
C:\WINDOWS\System32\ctfmon.exe
C:\WINDOWS\System32\RUNDLL32.EXE
C:\Program Files\Messenger\msmsgs.exe
C:\Program Files\AntiVir PersonalEdition Classic\sched.exe
C:\Program Files\AntiVir PersonalEdition Classic\avguard.exe
C:\WINDOWS\System32\nvsvc32.exe
C:\WINDOWS\System32\wuauclt.exe
c:\program files\internet explorer\iexplore.exe
C:\Documents and Settings\Arek\Pulpit\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.onet.pl/
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Łącza
R3 - URLSearchHook: Yahoo! Toolbar - {EF99BD32-C1FB-11D2-892F-0090271D4F88} - C:\Program Files\Yahoo!\Companion\Installs\cpn\yt.dll
O2 - BHO: Yahoo! Toolbar Helper - {02478D38-C3F9-4EFB-9B51-7695ECA05670} - C:\Program Files\Yahoo!\Companion\Installs\cpn\yt.dll
O2 - BHO: (no name) - {53707962-6F74-2D53-2644-206D7942484F} - C:\Program Files\Spybot - Search & Destroy\SDHelper.dll
O2 - BHO: SSVHelper Class - {761497BB-D6F0-462C-B6EB-D4DAF1D92D43} - C:\Program Files\Java\jre1.5.0_10\bin\ssv.dll
O2 - BHO: (no name) - {e5bd5c7b-ea71-4301-922a-141582bd9dab} - C:\WINDOWS\system32\winder.dll
O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINDOWS\System32\msdxm.ocx
O3 - Toolbar: Yahoo! Toolbar - {EF99BD32-C1FB-11D2-892F-0090271D4F88} - C:\Program Files\Yahoo!\Companion\Installs\cpn\yt.dll
O4 - HKLM\..\Run: [avgnt] "C:\Program Files\AntiVir PersonalEdition Classic\avgnt.exe" /min
O4 - HKLM\..\Run: [SunJavaUpdateSched] "C:\Program Files\Java\jre1.5.0_10\bin\jusched.exe"
O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\System32\NvCpl.dll,NvStartup
O4 - HKLM\..\Run: [nwiz] nwiz.exe /install
O4 - HKLM\..\Run: [Cmaudio] RunDll32 cmicnfg.cpl,CMICtrlWnd
O4 - HKLM\..\Run: [NeroFilterCheck] C:\WINDOWS\system32\NeroCheck.exe
O4 - HKLM\..\Run: [MSConfig] C:\WINDOWS\PCHealth\HelpCtr\Binaries\MSConfig.exe /auto
O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\ctfmon.exe
O4 - HKCU\..\Run: [NvMediaCenter] RUNDLL32.EXE C:\WINDOWS\System32\NVMCTRAY.DLL,NvTaskbarInit
O4 - HKCU\..\Run: [Gadu-Gadu] "C:\Program Files\Gadu-Gadu\gg.exe" /tray
O4 - HKCU\..\Run: [MSMSGS] "C:\Program Files\Messenger\msmsgs.exe" /background
O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\jre1.5.0_10\bin\ssv.dll
O9 - Extra 'Tools' menuitem: Sun Java Console - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\jre1.5.0_10\bin\ssv.dll
O16 - DPF: {68282C51-9459-467B-95BF-3C0E89627E55} (MksSkanerOnline Class) - http://www.mks.com.pl/skaner/SkanerOnline.cab
O16 - DPF: {FDDBE2B8-6602-4AD8-946D-94C5A32FA6C5} (GameDesire Snooker) - http://67.15.101.3/g_bin/pl/snooker_2_0_0_31.cab
O17 - HKLM\System\CCS\Services\Tcpip\..\{4F842359-9D63-4915-A4C9-1EC4993E6138}: NameServer = 194.204.159.1,194.204.152.34
O17 - HKLM\System\CS1\Services\Tcpip\..\{4F842359-9D63-4915-A4C9-1EC4993E6138}: NameServer = 194.204.159.1,194.204.152.34
O17 - HKLM\System\CS2\Services\Tcpip\..\{4F842359-9D63-4915-A4C9-1EC4993E6138}: NameServer = 194.204.159.1,194.204.152.34
O20 - Winlogon Notify: winder - C:\WINDOWS\SYSTEM32\winder.dll
O23 - Service: AntiVir PersonalEdition Classic Scheduler (AntiVirScheduler) - Avira GmbH - C:\Program Files\AntiVir PersonalEdition Classic\sched.exe
O23 - Service: AntiVir PersonalEdition Classic Guard (AntiVirService) - AVIRA GmbH - C:\Program Files\AntiVir PersonalEdition Classic\avguard.exe
O23 - Service: NVIDIA Display Driver Service (NVSvc) - NVIDIA Corporation - C:\WINDOWS\System32\nvsvc32.exe


[prog]

Ściągnij proszę Pocket Killbox.



Zaznaczasz opcje delete on reboot. W polu full path of file to delete wpisujesz kolejno podane przez wojtasa ścieżki i klikasz X (dopiero przy ostatnim zgadzasz sie na reseta).

[Arek7777]

niestety ale wyskakuje taki błąd co teraz ?

http://img63.imageshack.us/my.php?image=beztytuu11234bd3.jpg

czekam na odpowiedz nic nie ruszając

o ile to błąd .... a jesli nie to co teraz ?

w hijasku dalej widzi tą sciezke z winder.dll

[prog]

Źle! Masz wkleić tam to (po kolei):
C:\WINDOWS\System32\tmp8.tmp.dll
C:\WINDOWS\system32\winder.dll
C:\WINDOWS\System32\lsasss.exe
C:\WINDOWS\system32\srshost.exe
C:\WINDOWS\byyxxv.dll
C:\WINDOWS\System32\svehost.exe
C:\WINDOWS\System32\clcl6.exe

Czyli wklejasz pierwszą ściężkę (zaznaczone delete on reboot) i klikasz X, NIE ZGADZASZ SIĘ NA RESTART i robisz tak z następnymi. Dopiero przy ostatnim zgadzasz się na restart.

[ Dodano: Dzisiaj o 15:48 ]
Po usunięciu wszystkiego (po resecie) wbijasz w tryb awaryjny bez przywracania systemu. Włączasz hijackthis i klikasz do a system scan only. Szukasz wpisów podanych przez Wojciecha:

O2 - BHO: (no name) - {1557B435-8242-4686-9AA3-9265BF7525A4} - C:\WINDOWS\System32\tmp8.tmp.dll
O2 - BHO: (no name) - {e5bd5c7b-ea71-4301-922a-141582bd9dab} - C:\WINDOWS\system32\winder.dll
O4 - HKLM\..\Run: [Lexmark_X79-55] C:\WINDOWS\System32\lsasss.exe
O4 - HKLM\..\Run: [Microsoft Windows Update] C:\WINDOWS\system32\srshost.exe
O4 - HKLM\..\Run: [BootService] rundll32.exe "C:\WINDOWS\byyxxv.dll",realset
O4 - HKLM\..\Run: [Intel system tool] C:\WINDOWS\System32\svehost.exe
O4 - HKLM\..\Run: [clcl6] C:\WINDOWS\System32\clcl6.exe
O4 - HKLM\..\RunServices: [Microsoft Windows Update] C:\WINDOWS\system32\srshost.exe
O4 - HKCU\..\Run: [Microsoft Windows Update] C:\WINDOWS\system32\srshost.exe
O20 - AppInit_DLLs:
O20 - Winlogon Notify: winder - C:\WINDOWS\SYSTEM32\winder.dll

i zaznaczasz je ptaszkiem. Potem klikasz fix checked.

I dajesz nowe logi.

[wojtas]

Pobierz i uruchom narzędzie : The Avenger
http://swandog46.geekstogo.com/avenger.zip
Zaznacz opcję Input script manually i kliknij na Lupkę z prawej strony. W okienku, które się otworzy wklejasz:

Files to delete:

C:\WINDOWS\System32\tmp8.tmp.dll
C:\WINDOWS\system32\winder.dll
C:\WINDOWS\System32\lsasss.exe
C:\WINDOWS\system32\srshost.exe
C:\WINDOWS\byyxxv.dll
C:\WINDOWS\System32\svehost.exe
C:\WINDOWS\System32\clcl6.exe

Klikasz Done, a następnie zielone światełko i zgadzasz się na restart klikając OK.
Po restarcie w HijackThis usuwasz wpis/y

O2 - BHO: (no name) - {e5bd5c7b-ea71-4301-922a-141582bd9dab} - C:\WINDOWS\system32\winder.dll
O20 - Winlogon Notify: winder - C:\WINDOWS\SYSTEM32\winder.dll

Kasujesz ręcznie z dysku plik: C:\Avenger\backup.zip i wklejasz na forum raport: C:\avenger.txt + z z hijacka oraz silent runners

[First]

Arek7777 na poczatek zacznij od tych automatow rzeczywiscie:
Uzywaj w trybie awaryjnym

http://www.atribune.org/ccount/click.php?id=4
http://secured2k.home.comcast.net/tools/VirtumundoBeGone.exe
http://securityresponse.symantec.com/avcenter/FixVundo.exe

Uzywasz ich do czasu kiedy pokaze sie informacja No files found czy cos takiego.

+

http://siri.urz.free.fr/Fix/SmitfraudFix_En.php

SmitFraudFIx z opcji nr 2 tryb awaryjny

Ponadto nie bedziemy usuwali tylko z logiem z Hijackthis dołączasz log z Silentrunners+Combofix>>http://www.techsupportforum.com/sectools/sUBs/ComboFix.exe
+l2mfix z opcji nr 1 http://www.atribune.org/downloads/l2mfix.exe

Jesli nie dziala

Start >>> Uruchom >>> msconfig >>> w zakładce BOOT.INI zaznacz /SAFEBOOT ireset i bedziesz w awaryjnym

Uzyj automatow w trybie "normalnym"

Jak dasz wszystkie potrzebne logi to bedziemy usuwali za pomoca takich narzędzi w ktorym nie bedzie potrzebny tryb awaryjny...

[prog]

Jeżeli już zacząłeś moją metodą to kończ, żebyś nie robił pół tego, pół tego Poprostu metoda Wojciecha jest zdeko łatwiejsza dla laika.

A dalej jak już pisał...

1. Zastosuj te automaty:

=> http://www.atribune.org/ccount/click.php?id=4
=> http://securityresponse.symantec.com/avcenter/FixVundo.exe
=> http://secured2k.home.comcast.net/tools/VirtumundoBeGone.exe

Skanujesz i usuwasz póki nic nie znajdzie.

2. Następnie pobierz SmitFraudFix:
http://siri.urz.free.fr/Fix/SmitfraudFix_En.php
I użyj go z opcji drugiej, czyli uruchom, wklep 2 i ENTER.

3. Nowe logi: hijackthis i silentrunners.

[Arek7777]

po killboxie jest taki log pojawia sie jakies file missing ?

Kod: Zaznacz wszystko

Logfile of HijackThis v1.99.1
Scan saved at 15:37:23, on 2007-04-23
Platform: Windows XP  (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 (6.00.2600.0000)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\spoolsv.exe
C:\WINDOWS\Explorer.EXE
C:\Program Files\AntiVir PersonalEdition Classic\avgnt.exe
C:\WINDOWS\System32\ctfmon.exe
C:\WINDOWS\System32\RUNDLL32.EXE
C:\Program Files\Messenger\msmsgs.exe
c:\program files\internet explorer\iexplore.exe
C:\Program Files\AntiVir PersonalEdition Classic\sched.exe
C:\Program Files\AntiVir PersonalEdition Classic\avguard.exe
C:\WINDOWS\System32\nvsvc32.exe
C:\Documents and Settings\Arek\Pulpit\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.onet.pl/
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Łącza
R3 - URLSearchHook: Yahoo! Toolbar - {EF99BD32-C1FB-11D2-892F-0090271D4F88} - C:\Program Files\Yahoo!\Companion\Installs\cpn\yt.dll
O2 - BHO: Yahoo! Toolbar Helper - {02478D38-C3F9-4EFB-9B51-7695ECA05670} - C:\Program Files\Yahoo!\Companion\Installs\cpn\yt.dll
O2 - BHO: (no name) - {53707962-6F74-2D53-2644-206D7942484F} - C:\Program Files\Spybot - Search & Destroy\SDHelper.dll
O2 - BHO: SSVHelper Class - {761497BB-D6F0-462C-B6EB-D4DAF1D92D43} - C:\Program Files\Java\jre1.5.0_10\bin\ssv.dll
O2 - BHO: (no name) - {e5bd5c7b-ea71-4301-922a-141582bd9dab} - C:\WINDOWS\system32\winder.dll (file missing)
O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINDOWS\System32\msdxm.ocx
O3 - Toolbar: Yahoo! Toolbar - {EF99BD32-C1FB-11D2-892F-0090271D4F88} - C:\Program Files\Yahoo!\Companion\Installs\cpn\yt.dll
O4 - HKLM\..\Run: [avgnt] "C:\Program Files\AntiVir PersonalEdition Classic\avgnt.exe" /min
O4 - HKLM\..\Run: [SunJavaUpdateSched] "C:\Program Files\Java\jre1.5.0_10\bin\jusched.exe"
O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\System32\NvCpl.dll,NvStartup
O4 - HKLM\..\Run: [nwiz] nwiz.exe /install
O4 - HKLM\..\Run: [Cmaudio] RunDll32 cmicnfg.cpl,CMICtrlWnd
O4 - HKLM\..\Run: [NeroFilterCheck] C:\WINDOWS\system32\NeroCheck.exe
O4 - HKLM\..\Run: [MSConfig] C:\WINDOWS\PCHealth\HelpCtr\Binaries\MSConfig.exe /auto
O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\ctfmon.exe
O4 - HKCU\..\Run: [NvMediaCenter] RUNDLL32.EXE C:\WINDOWS\System32\NVMCTRAY.DLL,NvTaskbarInit
O4 - HKCU\..\Run: [Gadu-Gadu] "C:\Program Files\Gadu-Gadu\gg.exe" /tray
O4 - HKCU\..\Run: [MSMSGS] "C:\Program Files\Messenger\msmsgs.exe" /background
O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\jre1.5.0_10\bin\ssv.dll
O9 - Extra 'Tools' menuitem: Sun Java Console - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\jre1.5.0_10\bin\ssv.dll
O16 - DPF: {68282C51-9459-467B-95BF-3C0E89627E55} (MksSkanerOnline Class) - http://www.mks.com.pl/skaner/SkanerOnline.cab
O16 - DPF: {FDDBE2B8-6602-4AD8-946D-94C5A32FA6C5} (GameDesire Snooker) - http://67.15.101.3/g_bin/pl/snooker_2_0_0_31.cab
O17 - HKLM\System\CCS\Services\Tcpip\..\{4F842359-9D63-4915-A4C9-1EC4993E6138}: NameServer = 194.204.159.1,194.204.152.34
O17 - HKLM\System\CS1\Services\Tcpip\..\{4F842359-9D63-4915-A4C9-1EC4993E6138}: NameServer = 194.204.159.1,194.204.152.34
O17 - HKLM\System\CS2\Services\Tcpip\..\{4F842359-9D63-4915-A4C9-1EC4993E6138}: NameServer = 194.204.159.1,194.204.152.34
O20 - Winlogon Notify: winder - winder.dll (file missing)
O23 - Service: AntiVir PersonalEdition Classic Scheduler (AntiVirScheduler) - Avira GmbH - C:\Program Files\AntiVir PersonalEdition Classic\sched.exe
O23 - Service: AntiVir PersonalEdition Classic Guard (AntiVirService) - AVIRA GmbH - C:\Program Files\AntiVir PersonalEdition Classic\avguard.exe
O23 - Service: NVIDIA Display Driver Service (NVSvc) - NVIDIA Corporation - C:\WINDOWS\System32\nvsvc32.exe



[wojtas]

skasuj:

O2 - BHO: (no name) - {e5bd5c7b-ea71-4301-922a-141582bd9dab} - C:\WINDOWS\system32\winder.dll (file missing)
O20 - Winlogon Notify: winder - C:\WINDOWS\SYSTEM32\winder.dll (file missing)

daj loga z combofixa:

http://www.techsupportforum.com/sectools/sUBs/ComboFix.exe

oraz silent runners

http://forum.programosy.pl/hijackthis-amp-silent-runners-gtobsuga-i-umieszczanie-vt9452.html

[Arek7777]

skasuj:

O2 - BHO: (no name) - {e5bd5c7b-ea71-4301-922a-141582bd9dab} - C:\WINDOWS\system32\winder.dll (file missing)
O20 - Winlogon Notify: winder - C:\WINDOWS\SYSTEM32\winder.dll (file missing)

daj loga z combofixa:

http://www.techsupportforum.com/sectools/sUBs/ComboFix.exe

oraz silent runners

http://forum.programosy.pl/hijackthis-amp-silent-runners-gtobsuga-i-umieszczanie-vt9452.html

tak tylko jak mam to usunąć ?

przy probie uruchomienia combo fixa : http://img404.imageshack.us/my.php?image=beztytuu1fl2.jpg

[First]

ComboFix jest przez niektore porgramy Av wykrywany jako Virus,nie jest to zaden wirus...

Spokojnie rob to co napisalem..

[Arek7777]

ComboFix jest przez niektore porgramy Av wykrywany jako Virus,nie jest to zaden wirus...

Spokojnie rob to co napisalem..

ok ale jak usunąc to co mówi wojtas te dwie sciezki ? zaznaczając poprostu w hijacku i kliknąć fix checked ?

combo fix :

Kod: Zaznacz wszystko

ComboFix 07-04-22.6V - Running from: "C:\Documents and Settings\Arek\Pulpit"


((((((((((((((((((((((((((((((((((((((((((((((((((   V Log   )))))))))))))))))))))))))))))))))))))))))))))))))))))))


C:\WINDOWS\system32\tmp13.tmp.dll
C:\WINDOWS\system32\tmp13.tmp.dll


* * *  POST RUN FILES/FOLDERS  * * * * * * * * * * * * * * * * * * * * * * * * * * * * * * * * * *


((((((((((((((((((((((((((((((((((((((((((((   Other Deletions   )))))))))))))))))))))))))))))))))))))))))))))))))


C:\WINDOWS\system32\tmp13.tmp.dll


(((((((((((((((((((((((((((((((   Files Created from 2007-03-23 to 2007-04-23  ))))))))))))))))))))))))))))))))))


2007-04-23 15:16   <DIR>   d--------   C:\!KillBox
2007-04-23 10:13   <DIR>   d--hs----   C:\FOUND.001
2007-04-23 09:27   <DIR>   d--------   C:\DOCUME~1\ALLUSE~1\DANEAP~1\Spybot - Search & Destroy
2007-04-22 19:18   <DIR>   d--------   C:\Program Files\Lavasoft
2007-04-22 19:18   <DIR>   d--------   C:\DOCUME~1\Arek\DANEAP~1\Lavasoft
2007-04-22 19:17   <DIR>   d--------   C:\Program Files\Common Files\Wise Installation Wizard
2007-04-12 19:18   <DIR>   d--hs----   C:\FOUND.000
2007-04-10 10:49   <DIR>   d--------   C:\DOCUME~1\Arek\DANEAP~1\Ahead
2007-04-10 10:46   569,344   -ra------   C:\WINDOWS\system32\imagr5.dll
2007-04-10 10:46   544,768   -ra------   C:\WINDOWS\system32\imagx5.dll
2007-04-10 10:46   38,912   -ra------   C:\WINDOWS\system32\picn20.dll
2007-04-10 10:46   283,920   -ra------   C:\WINDOWS\system32\ImagXpr5.dll
2007-04-10 10:46   155,648   -ra------   C:\WINDOWS\system32\NeroCheck.exe
2007-04-10 10:46   <DIR>   d--------   C:\Program Files\Common Files\Ahead
2007-04-10 10:46   <DIR>   d--------   C:\Program Files\Ahead
2007-04-03 20:16   <DIR>   d--------   C:\Program Files\SopCast
2007-04-03 20:16   <DIR>   d--------   C:\DOCUME~1\Arek\DANEAP~1\SopCast
2007-03-24 15:37   <DIR>   d--------   C:\Program Files\Common Files\NSV


((((((((((((((((((((((((((((((((((((((((((((((((   Find3M Report   )))))))))))))))))))))))))))))))))))))))))))))))))))))


2007-03-20 16:17   4   --a------   C:\WINDOWS\system32\proc-1262580707.bin
2007-03-08 21:48   --------   d--------   C:\Program Files\yahoo!
2007-01-18 21:02   62   --ahs----   C:\DOCUME~1\Arek\DANEAP~1\desktop.ini


((((((((((((((((((((((((((((((((((((((((((   Reg Loading Points   ))))))))))))))))))))))))))))))))))))))))))))))))


*Note* empty entries & legit default entries are not shown

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Browser Helper Objects]
{02478D38-C3F9-4EFB-9B51-7695ECA05670}   C:\Program Files\Yahoo!\Companion\Installs\cpn\yt.dll
{53707962-6F74-2D53-2644-206D7942484F}   C:\Program Files\Spybot - Search & Destroy\SDHelper.dll
{761497BB-D6F0-462C-B6EB-D4DAF1D92D43}   C:\Program Files\Java\jre1.5.0_10\bin\ssv.dll
{e5bd5c7b-ea71-4301-922a-141582bd9dab}   C:\WINDOWS\system32\winder.dll [x]

[HKEY_LOCAL_MACHINE\software\microsoft\windows\currentversion\run]
"avgnt"=""C:\\Program Files\\AntiVir PersonalEdition Classic\\avgnt.exe" /min"
"SunJavaUpdateSched"=""C:\\Program Files\\Java\\jre1.5.0_10\\bin\\jusched.exe""
"NvCplDaemon"="RUNDLL32.EXE C:\\WINDOWS\\System32\\NvCpl.dll,NvStartup"
"nwiz"="nwiz.exe /install"
"Cmaudio"="RunDll32 cmicnfg.cpl,CMICtrlWnd"
"NeroFilterCheck"="C:\\WINDOWS\\system32\\NeroCheck.exe"
"MSConfig"="C:\\WINDOWS\\PCHealth\\HelpCtr\\Binaries\\MSConfig.exe /auto"

[HKEY_CURRENT_USER\software\microsoft\windows\currentversion\run]
"CTFMON.EXE"="C:\\WINDOWS\\System32\\ctfmon.exe"
"NvMediaCenter"="RUNDLL32.EXE C:\\WINDOWS\\System32\\NVMCTRAY.DLL,NvTaskbarInit"
"Gadu-Gadu"=""C:\\Program Files\\Gadu-Gadu\\gg.exe" /tray"
"MSMSGS"=""C:\\Program Files\\Messenger\\msmsgs.exe" /background"

HKEY_LOCAL_MACHINE\software\microsoft\windows nt\currentversion\winlogon\notify\winder

HKEY_LOCAL_MACHINE\system\currentcontrolset\control\lsa
   Authentication Packages   REG_MULTI_SZ      msv1_0\0\0
   Security Packages   REG_MULTI_SZ      kerberos\0msv1_0\0schannel\0wdigest\0\0
   Notification Packages   REG_MULTI_SZ      scecli\0\0


[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg]

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\Cmaudio]
"key"="SOFTWARE\\Microsoft\\Windows\\CurrentVersion\\Run"
"item"="RunDll32 cmicnfg"
"hkey"="HKLM"
"command"="RunDll32 cmicnfg.cpl,CMICtrlWnd"
"inimapping"="0"

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\MSMSGS]
"key"="SOFTWARE\\Microsoft\\Windows\\CurrentVersion\\Run"
"item"="msmsgs"
"hkey"="HKCU"
"command"=""C:\\Program Files\\Messenger\\msmsgs.exe" /background"
"inimapping"="0"

[HKEY_LOCAL_MACHINE\software\Microsoft\Windows NT\CurrentVersion\Svchost]
LocalService   REG_MULTI_SZ      Alerter\0WebClient\0LmHosts\0RemoteRegistry\0upnphost\0SSDPSRV\0\0
NetworkService   REG_MULTI_SZ      DnsCache\0\0
rpcss   REG_MULTI_SZ      RpcSs\0\0
imgsvc   REG_MULTI_SZ      StiSvc\0\0
termsvcs   REG_MULTI_SZ      TermService\0\0


[HKCU\Software\Microsoft\Windows\CurrentVersion\Explorer\MountPoints2\{aa4bf344-a72e-11db-b121-806d6172696f}]
Shell\AutoRun\command   F:\autorun.exe

********************************************************************

catchme 0.3.660 W2K/XP/Vista - userland rootkit detector by Gmer, http://www.gmer.net
Rootkit scan 2007-04-23 15:59:04
Windows 5.1.2600  FAT

scanning hidden processes ...

scanning hidden services ...

scanning hidden autostart entries ...

scanning hidden files ...

scan completed successfully
hidden processes: 0
hidden services: 0
hidden files: 0


********************************************************************

Completion time: 07-04-23 15:59:07
C:\ComboFix-quarantined-files.txt ... 07-04-23 15:59


[First]

Najpierw miales uzyc automatow,potem dac wszystkie logi..

[Arek7777]

Najpierw miales uzyc automatow,potem dac wszystkie logi..

acha to przepraszam już to robie .... ale jak usunąć te file missing ?