mam ogromny problem z plikiem ibm00001.exe i prosze o pomoc

[prisk]

Pierwszy raz spotykam sie z tym problemem i hijackiem wiec prosze jasno i prosto odpowiadać i powiedzieć co dokładnie zrobic żeby przy starcie windowsa nie pojawiał sie problem : nie można znalezc bla bla /ibm00001.exe. Czytałem że należy dać wam loga z hijacka iwc zaraz wysle go i prosze o odpowiedzi. PROSZE O POMOC !!!!!!

[Red]

poczytaj

http://forum.programosy.pl/hijackthis-gtobsuga-i-umieszczanie-loga-vt9452.html

log ma byc w tagach

[Lukesh]

Koń trojański wykradający informacje z zainfekowanego komputera.

Uruchomiony, tworzy w folderze C:\Program Files\Common Files\Microsoft Shared\Web Folders pliki:
ibm00003.dll,
ibm00001.exe,
ibm00004.dll.

By uruchamiać się z każdym startem systemu, w rejestrze tworzy wpis:

"Shell" = "ibm00001.exe"
w lokalizacji:
HKEY_CURRENT_USER\ Software\ Microsoft\ Windows\ CurrentVersion\ Run

W systemach opartych o technologię NT, modyfikuje również wpis "Shell" w lokalizacji:

HKEY_LOCAL_MACHINE\ SOFTWARE\ Microsoft\ Windows NT\ CurrentVersion\ Winlogon

dodając do niego plik ibm00001.exe, poprzedzając go dużą ilością spacji, tak by nie było widać że wpis został zmodyfikowany.

W systemach 9x/Me dodawana jest informacja o pliku ibm00001.exe w pliku SYSTEM.INI w sekcji "boot" pod wpisem "shell".

Trojan przechwytuje znaki wprowadzane z klawiatury oraz informacje o otwieranych oknach i zapisuje je do pliku tekstowego. Co określony w kodzie robaka czas, wysyła je do hakera przez HTTP.

Próbuje także zamykać procesy oprogramowania antywirusowego oraz innych związanych z bezpieczeństwem.

Musisz wiec usunac podane przeze mnie wyzej wpisy z rejestru i bedzie OK. Sam sie tak pozbylem tego wirusa.

[prisk]

ogfile of HijackThis v1.99.1
Scan saved at 15:47:03, on 2006-01-26
Platform: Windows XP Dodatek SP. 1 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP1 (6.00.2800.1106)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\Program Files\Ahead\InCD\InCDsrv.exe
C:\WINDOWS\explorer.exe
C:\WINDOWS\system32\spoolsv.exe
C:\Program Files\Alwil Software\Avast4\aswUpdSv.exe
C:\Program Files\Alwil Software\Avast4\ashServ.exe
C:\Program Files\WIDCOMM\Oprogramowanie interfejsu Bluetooth\bin\btwdins.exe
C:\WINDOWS\System32\nvsvc32.exe
C:\Program Files\Megatec\UPSilon 2000\RupsMon.exe
C:\Program Files\Analog Devices\SoundMAX\SMAgent.exe
C:\WINDOWS\System32\svchost.exe
C:\Program Files\Alwil Software\Avast4\ashWebSv.exe
C:\Program Files\Analog Devices\SoundMAX\SMTray.exe
C:\Program Files\Alwil Software\Avast4\ashMaiSv.exe
C:\Program Files\ASUSTek\ASUSDVD\PDVDServ.exe
C:\Program Files\Dexxa\Dexxa Optical Mouse\1.0\lwbwheel.exe
C:\Program Files\Microsoft Hardware\Keyboard\type32.exe
C:\Program Files\Hewlett-Packard\HP Share-to-Web\hpgs2wnd.exe
C:\WINDOWS\System32\RUNDLL32.EXE
C:\PROGRA~1\ALWILS~1\Avast4\ashDisp.exe
C:\Program Files\D-Tools\daemon.exe
C:\Program Files\Ahead\InCD\InCD.exe
C:\WINDOWS\System32\spool\drivers\w32x86\3\hpztsb04.exe
C:\Program Files\Hewlett-Packard\HP Share-to-Web\hpgs2wnf.exe
C:\Program Files\Microsoft AntiSpyware\gcasServ.exe
C:\WINDOWS\System32\ctfmon.exe
C:\Program Files\WIDCOMM\Oprogramowanie interfejsu Bluetooth\BTTray.exe
C:\Program Files\Microsoft AntiSpyware\gcasDtServ.exe
C:\Program Files\Megatec\UPSilon 2000\Monw32.exe
C:\PROGRA~1\WIDCOMM\OPROGR~1\BTSTAC~1.EXE
C:\Program Files\Internet Explorer\iexplore.exe
C:\WINDOWS\System32\wuauclt.exe
C:\Program Files\Internet Explorer\iexplore.exe
C:\DOCUME~1\prisk\USTAWI~1\Temp\Rar$EX00.203\HijackThis.exe

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = c:\secure32.html
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = c:\secure32.html
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = c:\secure32.html
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = c:\secure32.html
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Local Page = c:\secure32.html
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Local Page = c:\secure32.html
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Łącza
F2 - REG:system.ini: Shell=explorer.exe "C:\Program Files\Common Files\Microsoft Shared\Web Folders\ibm00001.exe"
O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Program Files\Adobe\Acrobat 7.0\ActiveX\AcroIEHelper.dll
O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINDOWS\system32\msdxm.ocx
O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\System32\NvCpl.dll,NvStartup
O4 - HKLM\..\Run: [nwiz] nwiz.exe /install
O4 - HKLM\..\Run: [Smapp] C:\Program Files\Analog Devices\SoundMAX\SMTray.exe
O4 - HKLM\..\Run: [RemoteControl] "C:\Program Files\ASUSTek\ASUSDVD\PDVDServ.exe"
O4 - HKLM\..\Run: [NeroFilterCheck] C:\WINDOWS\system32\NeroCheck.exe
O4 - HKLM\..\Run: [LWBMOUSE] C:\Program Files\Dexxa\Dexxa Optical Mouse\1.0\lwbwheel.exe
O4 - HKLM\..\Run: [IntelliType] "C:\Program Files\Microsoft Hardware\Keyboard\type32.exe"
O4 - HKLM\..\Run: [Share-to-Web Namespace Daemon] C:\Program Files\Hewlett-Packard\HP Share-to-Web\hpgs2wnd.exe
O4 - HKLM\..\Run: [NvMediaCenter] RUNDLL32.EXE C:\WINDOWS\System32\NvMcTray.dll,NvTaskbarInit
O4 - HKLM\..\Run: [avast!] C:\PROGRA~1\ALWILS~1\Avast4\ashDisp.exe
O4 - HKLM\..\Run: [DAEMON Tools-1033] "C:\Program Files\D-Tools\daemon.exe" -lang 1045
O4 - HKLM\..\Run: [InCD] C:\Program Files\Ahead\InCD\InCD.exe
O4 - HKLM\..\Run: [HPDJ Taskbar Utility] C:\WINDOWS\System32\spool\drivers\w32x86\3\hpztsb04.exe
O4 - HKLM\..\Run: [gcasServ] "C:\Program Files\Microsoft AntiSpyware\gcasServ.exe"
O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\ctfmon.exe
O4 - HKCU\..\Run: [MSMSGS] "C:\Program Files\Messenger\msmsgs.exe" /background
O4 - HKCU\..\Run: [Gadu-Gadu] "C:\Program Files\Gadu-Gadu\gg.exe" /tray
O4 - Global Startup: Adobe Reader Speed Launch.lnk = C:\Program Files\Adobe\Acrobat 7.0\Reader\reader_sl.exe
O4 - Global Startup: BTTray.lnk = ?
O4 - Global Startup: Rupsmon Daemon.lnk = ?
O8 - Extra context menu item: Wyślij do interfejsu &Bluetooth - C:\Program Files\WIDCOMM\Oprogramowanie interfejsu Bluetooth\btsendto_ie_ctx.htm
O9 - Extra button: Related - {c95fe080-8f5d-11d2-a20b-00aa003c157a} - C:\WINDOWS\web\related.htm
O9 - Extra 'Tools' menuitem: Show &Related Links - {c95fe080-8f5d-11d2-a20b-00aa003c157a} - C:\WINDOWS\web\related.htm
O9 - Extra button: @btrez.dll,-4015 - {CCA281CA-C863-46ef-9331-5C8D4460577F} - C:\Program Files\WIDCOMM\Oprogramowanie interfejsu Bluetooth\btsendto_ie.htm
O9 - Extra 'Tools' menuitem: @btrez.dll,-4017 - {CCA281CA-C863-46ef-9331-5C8D4460577F} - C:\Program Files\WIDCOMM\Oprogramowanie interfejsu Bluetooth\btsendto_ie.htm
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\MSMSGS.EXE
O9 - Extra 'Tools' menuitem: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\MSMSGS.EXE
O17 - HKLM\System\CCS\Services\Tcpip\..\{41320630-0DB4-4F4B-A0E5-D45C783B4766}: NameServer = 213.5.41.8 213.5.17.21
O23 - Service: avast! iAVS4 Control Service (aswUpdSv) - Unknown owner - C:\Program Files\Alwil Software\Avast4\aswUpdSv.exe
O23 - Service: avast! Antivirus - Unknown owner - C:\Program Files\Alwil Software\Avast4\ashServ.exe
O23 - Service: avast! Mail Scanner - Unknown owner - C:\Program Files\Alwil Software\Avast4\ashMaiSv.exe" /service (file missing)
O23 - Service: avast! Web Scanner - Unknown owner - C:\Program Files\Alwil Software\Avast4\ashWebSv.exe" /service (file missing)
O23 - Service: Bluetooth Service (btwdins) - WIDCOMM, Inc. - C:\Program Files\WIDCOMM\Oprogramowanie interfejsu Bluetooth\bin\btwdins.exe
O23 - Service: InCD Helper (InCDsrv) - Nero AG - C:\Program Files\Ahead\InCD\InCDsrv.exe
O23 - Service: InCD Helper (read only) (InCDsrvR) - Nero AG - C:\Program Files\Ahead\InCD\InCDsrv.exe
O23 - Service: NVIDIA Display Driver Service (NVSvc) - NVIDIA Corporation - C:\WINDOWS\System32\nvsvc32.exe
O23 - Service: O&O Defrag (OODefrag) - O&O Software GmbH - C:\WINDOWS\System32\oodag.exe
O23 - Service: Rupsmon - Mega System Technologies, Inc. - C:\Program Files\Megatec\UPSilon 2000\RupsMon.exe
O23 - Service: SoundMAX Agent Service (SoundMAX Agent Service (default)) - Analog Devices, Inc. - C:\Program Files\Analog Devices\SoundMAX\SMAgent.exe
O23 - Service: USBMate - Mega Corp. - C:\Program Files\Megatec\UPSilon 2000\USBMate.exe

[ Dodano: Dzisiaj o 15:14 ]
tzn. antywirus usunął mi plik ibm00001.exe i teraz mam problem przy uruchamianiu windowsa że nie może odnalezc pliku. co mam zrobić zeby zlikwidować bład ????

[Lukesh]

F2 - REG:system.ini: Shell=explorer.exe "C:\Program Files\Common Files\Microsoft Shared\Web Folders\ibm00001.exe"

To na pewno do usuniecia, ale zrob jeszcze porzadek w rejestrze, bo usuniecie samego pliku nic nie da!

Ps.Zainstaluj SP2

[ Dodano: Dzisiaj o 15:16 ]

tzn. antywirus usunął mi plik ibm00001.exe i teraz mam problem przy uruchamianiu windowsa że nie może odnalezc pliku. co mam zrobić zeby zlikwidować bład ????

Napisalem w poprzednim poscie!

[prisk]

Nie chce SP 2 bo zamula kompa ale co masz na mysli mówiac porządek w rejestrze?? i powiedz mi dokładnie co mam zrobić, krok po kroku żeby usunąć problem- wytłumacz jak dla debila.

[Lukesh]

Start>uruchom>wpisujesz: regedit> i wyszukujesz a nastepnie usuwasz wpisy:

Kod: Zaznacz wszystko

-"Shell" = "ibm00001.exe"
w lokalizacji:
HKEY_CURRENT_USER\ Software\ Microsoft\ Windows\ CurrentVersion\ Run

-"Shell" w lokalizacji:

HKEY_LOCAL_MACHINE\ SOFTWARE\ Microsoft\ Windows NT\ CurrentVersion\ Winlogon

dodając do niego plik ibm00001.exe, poprzedzając go dużą ilością spacji, tak by nie było widać że wpis został zmodyfikowany

Moze byc? Jak masz wiecej pytan to pisz na gg

[Red]

Lukesh jeszcze raz tak sprawdzisz log i dostaniesz nagrodę,wiekszego bałaganu nie widziałem jeszcze

[Lukesh]

Ja sie w tym wypadku zajmowalem tylko i wylacznie plikiem ibm00001.exe. Usuwajac te wpisy pozbylem sie w.w. problemu w swoim kompie wiec mysle ze i w tym przypadku pomoze.

Reszta sie nie zajmowalem bo nie znam sie na logach... sorry