nie okreslono nazwy biblioteki dll

[nekramakir]

chcialem to umiescic w dziale bezpieczenstwo ale nie bardzo mialem pomysl z jakim tagiem wiec wklejam tutaj

dzis rano wlaczam sobie jak codzien kompa i wyskakuje mi cos takiego


nie wiem czy to dobrze czy zle ale w zwiazku z tym ze nie wiem wolalbym spytac kogos kto wie...
dzieki za odp...

[Tom@szek]

http://www.downloads.subratam.org/KillBox.zip
http://www.bleepingcomputer.com/files/spyware/KillBox.zip

Zapuść tego progsa i usuń szkodliwą bibliotekę.
Opcja "Delete on Reboot" a w polu "Full Path of File to Delete" wklej ścieżkę w jakiej jest ten plik ( wyszukaj go )


Zapodaj później log-hijackthis.

Sorry - w odwrotnej kolejności - log - ewentualnie później killbox

[nekramakir]

nie bede juz zakladal nowego tematu z logiem wiec jak cos to przerzuccie temat do bezpieczenstwa (to juz chcecie)

oto log:

Kod: Zaznacz wszystko

Logfile of HijackThis v1.99.1
Scan saved at 13:27:42, on 2005-08-08
Platform: Windows XP Dodatek SP. 1 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP1 (6.00.2800.1106)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\spoolsv.exe
C:\WINDOWS\System32\CTsvcCDA.exe
C:\Program Files\Kerio\Personal Firewall 4\kpf4ss.exe
C:\WINDOWS\System32\nvsvc32.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\System32\MsPMSPSv.exe
C:\Program Files\Kerio\Personal Firewall 4\kpf4gui.exe
C:\PROGRA~1\Aston\aston.exe
C:\Program Files\Kerio\Personal Firewall 4\kpf4gui.exe
C:\PROGRA~1\Aston\XP\internat.exe
C:\Program Files\Creative\SB Live! 24-bit\Surround Mixer\CTSysVol.exe
C:\Program Files\QuickTime\qttask.exe
C:\Program Files\D-Tools\daemon.exe
C:\Program Files\Winamp\winampa.exe
C:\Program Files\Avant Browser\avant.exe
C:\Program Files\Winamp\winamp.exe
C:\Program Files\Gadu-Gadu\gg.exe
D:\ja jejku\download\zabezpieczacze\hijack\hijackthis\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.google.pl/
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Local Page =
R1 - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings,ProxyOverride = *hot-searches.com*;*lender-search.com*
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Łącza
O1 - Hosts file is located at: C:\WINDOWS\nsdb\hosts
O1 - Hosts: 82.179.166.164 lender-search.com
O1 - Hosts: 82.179.166.165 hot-searches.com
O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Program Files\Adobe\Acrobat 6.0\Reader\ActiveX\AcroIEHelper.dll
O2 - BHO: TW_BrowserHook - {1E1B2879-88FF-11D2-8D96-FFFFAC95951F} - C:\Program Files\Perfect Keyboard PRO\mtwbho.dll (file missing)
O2 - BHO: (no name) - {4110FCC0-5E08-4D4A-B4B5-DE83759416BF} - (no file)
O2 - BHO: (no name) - {53707962-6F74-2D53-2644-206D7942484F} - C:\PROGRA~1\SPYBOT~1\SDHelper.dll
O2 - BHO: FlashFXP Helper for Internet Explorer - {E5A1691B-D188-4419-AD02-90002030B8EE} - C:\PROGRA~1\FlashFXP\IEFlash.dll
O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINDOWS\System32\msdxm.ocx
O4 - HKLM\..\Run: [nwiz] nwiz.exe /install
O4 - HKLM\..\Run: [CTSysVol] C:\Program Files\Creative\SB Live! 24-bit\Surround Mixer\CTSysVol.exe /r
O4 - HKLM\..\Run: [UpdReg] C:\WINDOWS\UpdReg.EXE
O4 - HKLM\..\Run: [NeroFilterCheck] C:\WINDOWS\system32\NeroCheck.exe
O4 - HKLM\..\Run: [QuickTime Task] "C:\Program Files\QuickTime\qttask.exe" -atboottime
O4 - HKLM\..\Run: [DAEMON Tools-1033] "C:\Program Files\D-Tools\daemon.exe"  -lang 1033
O4 - HKLM\..\Run: [WinampAgent] C:\Program Files\Winamp\winampa.exe
O4 - HKLM\..\Run: [regsvr32] C:\WINDOWS\System32\regsvr32.exe
O4 - Global Startup: Adobe Gamma Loader.lnk = C:\Program Files\Common Files\Adobe\Calibration\Adobe Gamma Loader.exe
O8 - Extra context menu item: Blokuj wszystkie obrazy z tego serwera - C:\Program Files\Avant Browser\AddAllToADBlackList.htm
O8 - Extra context menu item: Dodaj do listy blokowanych reklam - C:\Program Files\Avant Browser\AddToADBlackList.htm
O8 - Extra context menu item: Otwórz w nowym Avant Browser - C:\Program Files\Avant Browser\OpenInNewBrowser.htm
O8 - Extra context menu item: Otwórz wszystkie adresy z tej strony... - C:\Program Files\Avant Browser\OpenAllLinks.htm
O8 - Extra context menu item: Podświetl - C:\Program Files\Avant Browser\Highlight.htm
O8 - Extra context menu item: Szukaj - C:\Program Files\Avant Browser\Search.htm
O16 - DPF: {10003000-1000-0000-1000-000000000000} - ms-its:mhtml:file://C:\foo.mht!http://dl.ad-ware.cc/QF-0ZBs5mRpCK3zshXc.chm::/on-line.exe
O16 - DPF: {15AD4789-CDB4-47E1-A9DA-992EE8E6BAD6} - ms-its:mhtml:file://c:\nosuxxx.mht!http://tdt.org.pl/popup/tdt.chm::/bridge-c18.cab
O16 - DPF: {15AD6789-CDB4-47E1-A9DA-992EE8E6BAD6} - http://static.windupdates.com/cab/MediaAccessVerisign/ie/bridge-c5.cab
O16 - DPF: {6414512B-B978-451D-A0D8-FCFDF33E833C} (WUWebControl Class) - http://v5.windowsupdate.microsoft.com/v5consumer/V5Controls/en/x86/client/wuweb_site.cab?1112193707269
O16 - DPF: {E7544C6C-CFD6-43EA-B4E9-360CEE20BDF7} (MainControl Class) - http://skaner.mks.com.pl/SkanerOnline.cab
O23 - Service: Creative Service for CDROM Access - Creative Technology Ltd - C:\WINDOWS\System32\CTsvcCDA.exe
O23 - Service: InstallDriver Table Manager (IDriverT) - Macrovision Corporation - C:\Program Files\Common Files\InstallShield\Driver\11\Intel 32\IDriverT.exe
O23 - Service: Kerio Personal Firewall 4 (KPF4) - Kerio Technologies - C:\Program Files\Kerio\Personal Firewall 4\kpf4ss.exe
O23 - Service: NVIDIA Driver Helper Service (NVSvc) - NVIDIA Corporation - C:\WINDOWS\System32\nvsvc32.exe

[Tom@szek]

Usuń wszystkie po wyłączeniu przywracania systemu - w trybie awaryjnym.

Kod: Zaznacz wszystko

O1 - Hosts file is located at: C:\WINDOWS\nsdb\hosts
O1 - Hosts: 82.179.166.164 lender-search.com
O1 - Hosts: 82.179.166.165 hot-searches.com

      O2 - BHO: TW_BrowserHook - {1E1B2879-88FF-11D2-8D96-FFFFAC95951F} - C:\Program Files\Perfect Keyboard PRO\mtwbho.dll (file missing)

      O2 - BHO: (no name) - {4110FCC0-5E08-4D4A-B4B5-DE83759416BF} - (no file)

      O16 - DPF: {10003000-1000-0000-1000-000000000000} - ms-its:mhtml:file://C:\foo.mht!http://dl.ad-ware.cc/QF-0ZBs5mRpCK3zshXc.chm::/on -line.exe

      O16 - DPF: {15AD4789-CDB4-47E1-A9DA-992EE8E6BAD6} - ms-its:mhtml:file://c:\nosuxxx.mht!http://tdt.org.pl/popup/tdt.chm::/bridge-c18. cab

      O16 - DPF: {15AD6789-CDB4-47E1-A9DA-992EE8E6BAD6} - http://static.windupdates.com/cab/MediaAccessVerisign/ie/bridge-c5.cab



[MUTOPOMPKA]

Zapuść tego progsa i usuń szkodliwą bibliotekę.

Ja Ci dam REGSERV32 wywalać z systemu....

regsvr32.exe is a processes belonging to the Windows OS and is used to register dynamic-link libraries and ActiveX controls in the registry. This program is important for the stable and secure running of your computer and should not be terminated.

Coś próbowało "zarejestrować" się za pomocą tej właśnie boblioteczki, ale mogło mieć skopany kod lub błąd, który odwołuje się do nieistniejącego modułu (innego dll-a)...

[Ja]

Możliwe, że to Aston shell coś próbował z tą biblioteczką.

[Tom@szek]

Ja Ci dam REGSERV32 wywalać z systemu....

Nie kazałem tego wywalać - ten plik rejestruje inne biblioteki.

Zapuść tego progsa i usuń szkodliwą bibliotekę.

Tu nie chodziło mi o ten plik - tylko ew.szkodliwą bibliotekę - niestety nie znalazłem takiej.
Jeśli wprowadziłem zamieszanie to sorry.

Tutaj bonusik (wiadomo dla kogo) :

[MUTOPOMPKA]

Możliwe, że to Aston shell coś próbował z tą biblioteczką

nie, ponieważ ja także na nim jechałem i nic takiego się nie przytrafiało...

[nekramakir]

to moze troszke przypomne o sobie...
w sumie prawie wszyscy na ktorych najbardziej liczylem sie wypowiedzieli, ale mopze ktos ma jeszcze jakies pomysly, bo nie usmiecha mi sie format ( leń jestem )

za pomoc i tak dziekuje, a niestety komunikat nadal wyskakuje

<hehe to taki rym na koniec>

[Tom@szek]

O4 - HKLM\..\Run: [regsvr32] C:\WINDOWS\System32\regsvr32.exe

usuń w hijackthis tą linię - plik nie bedzie sie uruchamiał ( a pliku nie usuniesz tym sposobem więc powinno być OK.)

Autor postu otrzymał pochwałę