problem z kilkoma aplikacjami

**Posty:** 12 · przez **geforce** 05 Sie 2006, 17:12

Witam.
O to log:

Logfile of HijackThis v1.99.1
Scan saved at 16:59:58, on 2006-08-05
Platform: Windows XP Dodatek SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\spoolsv.exe
C:\WINDOWS\TXVuaWVr\command.exe
C:\WINDOWS\system32\nvsvc32.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\explorer.exe
C:\WINDOWS\system32\devldr32.exe
D:\Programy\Winamp\winampa.exe
e:\Program Files\Winamp\winamp.exe
D:\Mozilla Firefox\firefox.exe
D:\Programy\hijackthis\HijackThis.exe

O20 - Winlogon Notify: URL - C:\WINDOWS\system32\irj0l51m1.dll
O23 - Service: NVIDIA Display Driver Service (NVSvc) - NVIDIA Corporation - (no file)

Mam problem z kilkoma aplikacjami i z jednym wpisem w rejestrze, a mianowicie:

C:\WINDOWS\TXVuaWVr\command.exe
C:\WINDOWS\system32\nvsvc32.exe
C:\WINDOWS\system32\devldr32.exe
O20 - Winlogon Notify: URL - C:\WINDOWS\system32\irj0l51m1.dll

Próbuję zamknąć w/w aplikacje przez menedżer zadań ale się nie da. ;/ I jeszcze jest taki problem że co jakiś czas otwiera mi się strona w firefoxie

http://www.ad-w-a-r-e.com/cgi-bin/PopupV3?ID={04B466F2-AC9C-FB08-8984-6D79B0F42E63}&type=normal&mSkip=1&rnd=3517

Nie wiem co zrobić żeby przestała się otwierać. Przeskanowałem system Ad-Aware Personal SE i znalazło 95 objektów z czego 90 zostało usuniętych a reszty się nie dało. Przeskanowałem również programem SpyBot-Search & Destroy i również znalazło 47 niepotrzebnych wpisów, które też po części usunąłem bo 5 pozostałych się nie dało. Proszę o pomoc.

przez **jeff** 05 Sie 2006, 17:13

geforce

to jest Twój cały log czy obcięty ? Bo chyba troche za krótki

**Posty:** 12 · przez **geforce** 05 Sie 2006, 17:17

To jest cały log, nic z niego nie usuwałem

Edit:
O to link do shota z logiem
http://img431.imageshack.us/my.php?image=logzhijackthisbn6.jpg

Edit 2:
Log z Silent Runners:

"Silent Runners.vbs", revision 46, http://www.silentrunners.org/
Operating System: Windows XP SP2
Output limited to non-default values, except where indicated by "{++}"

Startup items buried in registry:
---------------------------------

HKCU\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run\
"{B049FF9F-0327-1045-0306-010724000030}" = ""C:\Program Files\Common Files\{B049FF9F-0327-1045-0306-010724000030}\Update.exe" mc-110-12-0000272" [null data]

HKLM\Software\Microsoft\Windows\CurrentVersion\Shell Extensions\Approved\
"{42071714-76d4-11d1-8b24-00a0c9068ff3}" = "Rozszerzenie CPL kadrowania wyświetlania"
-> {HKLM...CLSID} = "Rozszerzenie CPL kadrowania wyświetlania"
\InProcServer32\(Default) = "deskpan.dll" [file not found]
"{88895560-9AA2-1069-930E-00AA0030EBC8}" = "Rozszerzenie ikony HyperTerminalu"
-> {HKLM...CLSID} = "HyperTerminal Icon Ext"
\InProcServer32\(Default) = "C:\WINDOWS\system32\hticons.dll" ["Hilgraeve, Inc."]
"{A70C977A-BF00-412C-90B7-034C51DA2439}" = "NvCpl DesktopContext Class"
-> {HKLM...CLSID} = "DesktopContext Class"
\InProcServer32\(Default) = "C:\WINDOWS\system32\nvcpl.dll" ["NVIDIA Corporation"]
"{FFB699E0-306A-11d3-8BD1-00104B6F7516}" = "Play on my TV helper"
-> {HKLM...CLSID} = "NVIDIA CPL Extension"
\InProcServer32\(Default) = "C:\WINDOWS\system32\nvcpl.dll" ["NVIDIA Corporation"]
"{1CDB2949-8F65-4355-8456-263E7C208A5D}" = "Desktop Explorer"
-> {HKLM...CLSID} = "Desktop Explorer"
\InProcServer32\(Default) = "C:\WINDOWS\system32\nvshell.dll" ["NVIDIA Corporation"]
"{1E9B04FB-F9E5-4718-997B-B8DA88302A47}" = "Desktop Explorer Menu"
-> {HKLM...CLSID} = (no title provided)
\InProcServer32\(Default) = "C:\WINDOWS\system32\nvshell.dll" ["NVIDIA Corporation"]
"{1E9B04FB-F9E5-4718-997B-B8DA88302A48}" = "nView Desktop Context Menu"
-> {HKLM...CLSID} = "nView Desktop Context Menu"
\InProcServer32\(Default) = "C:\WINDOWS\system32\nvshell.dll" ["NVIDIA Corporation"]
"{B41DB860-8EE4-11D2-9906-E49FADC173CA}" = "WinRAR shell extension"
-> {HKLM...CLSID} = "WinRAR"
\InProcServer32\(Default) = "C:\Program Files\WinRAR\rarext.dll" [null data]

HKLM\Software\Microsoft\Windows NT\CurrentVersion\Winlogon\Notify\
INFECTION WARNING! URL\DLLName = "C:\WINDOWS\system32\irj0l51m1.dll" [null data]

HKLM\Software\Classes\*\shellex\ContextMenuHandlers\
WinRAR\(Default) = "{B41DB860-8EE4-11D2-9906-E49FADC173CA}"
-> {HKLM...CLSID} = "WinRAR"
\InProcServer32\(Default) = "C:\Program Files\WinRAR\rarext.dll" [null data]

HKLM\Software\Classes\Directory\shellex\ContextMenuHandlers\
WinRAR\(Default) = "{B41DB860-8EE4-11D2-9906-E49FADC173CA}"
-> {HKLM...CLSID} = "WinRAR"
\InProcServer32\(Default) = "C:\Program Files\WinRAR\rarext.dll" [null data]

HKLM\Software\Classes\Folder\shellex\ContextMenuHandlers\
WinRAR\(Default) = "{B41DB860-8EE4-11D2-9906-E49FADC173CA}"
-> {HKLM...CLSID} = "WinRAR"
\InProcServer32\(Default) = "C:\Program Files\WinRAR\rarext.dll" [null data]

Active Desktop and Wallpaper:
-----------------------------

Active Desktop is disabled at this entry:
HKCU\Software\Microsoft\Windows\CurrentVersion\Explorer\ShellState

HKCU\Control Panel\Desktop\
"Wallpaper" = "C:\Documents and Settings\Marcin\Dane aplikacji\Microsoft\Internet Explorer\Tapeta programu Internet Explorer.bmp"

Enabled Screen Saver:
---------------------

HKCU\Control Panel\Desktop\
"SCRNSAVE.EXE" = "C:\WINDOWS\System32\logon.scr" [MS]

Winsock2 Service Provider DLLs:
-------------------------------

Namespace Service Providers

HKLM\System\CurrentControlSet\Services\Winsock2\Parameters\NameSpace_Catalog5\Catalog_Entries\ {++}
000000000001\LibraryPath = "%SystemRoot%\System32\mswsock.dll" [MS]
000000000002\LibraryPath = "%SystemRoot%\System32\winrnr.dll" [MS]
000000000003\LibraryPath = "%SystemRoot%\System32\mswsock.dll" [MS]

Transport Service Providers

HKLM\System\CurrentControlSet\Services\Winsock2\Parameters\Protocol_Catalog9\Catalog_Entries\ {++}
0000000000##\PackedCatalogItem (contains) DLL [Company Name], (at) ## range:
%SystemRoot%\system32\mswsock.dll [MS], 01 - 03, 06 - 11
%SystemRoot%\system32\rsvpsp.dll [MS], 04 - 05

Running Services (Display Name, Service Name, Path {Service DLL}):
------------------------------------------------------------------

Command Service, cmdService, "C:\WINDOWS\TXVuaWVr\command.exe" [null data]

[ Dodano: Dzisiaj o 18:23 ]
no to jak z tym logiem? jak wykasować te niepotrzbne wpisy?

**Posty:** 1665 · przez **SER** 05 Sie 2006, 18:28

Start -> Uruchom -> cmd

Wpisujesz komendy, każdą potwierdzając Enterem

sc stop cmdService
sc delete cmdService

=============

Potem otwórz Notatnik i wklej w nim to:

Windows Registry Editor Version 5.00

[HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run]
"{B049FF9F-0327-1045-0306-010724000030}"=-

Plik -> Zapisz jako... -> zmień rozszerzenie z TXT na *.* Wszystkie pliki -> nazwa FIX.REG

Kliknij dwa razy na powstały plik i potwierdź dodanie do rejestru

=============

Następnie usuń ręcznie foldery:

C:\WINDOWS\TXVuaWVr
C:\Program Files\Common Files\{B049FF9F-0327-1045-0306-010724000030}

==================

Przyczyną reklam jest szpieg Look2Me (VX2) :roll:

Usuwanie adware Look2Me (VX2)

Najpierw używasz Look2Me-Destroyer, a następnie dajesz log z narzędzia L2MFix z opcji 1

przez **jeff** 05 Sie 2006, 18:29

geforce napisał(a):no to jak z tym logiem?

ucięty -> poczekaj do końca jak się wygeneruje i wklej na forum

**Posty:** 12 · przez **geforce** 05 Sie 2006, 18:46

Dzięki za pomoc @SER. Strona się już nie ywświetla

Ale log z HiJackThis! był cały. Tylko w programie Silent Runners wystąpił jakiś błąd i pewnie dlatego go ucięło.

A tu log z L2M:

Look2Me-Destroyer V1.0.12

Scanning for infected files.....
Scan started at 2006-08-05 18:30:22

Infected! C:\WINDOWS\system32\irj0l51m1.dll
Infected! C:\System Volume Information\_restore{D08A9659-4DC6-4CF4-862E-825D310F2C53}\RP9\A0002309.dll
Infected! C:\System Volume Information\_restore{D08A9659-4DC6-4CF4-862E-825D310F2C53}\RP9\A0002318.dll
Infected! C:\WINDOWS\system32\i606lgds1606.dll
Infected! C:\WINDOWS\system32\irj0l51m1.dll

Attempting to delete infected files...

Attempting to delete: C:\WINDOWS\system32\irj0l51m1.dll
C:\WINDOWS\system32\irj0l51m1.dll Deleted successfully!

Attempting to delete: C:\System Volume Information\_restore{D08A9659-4DC6-4CF4-862E-825D310F2C53}\RP9\A0002309.dll
C:\System Volume Information\_restore{D08A9659-4DC6-4CF4-862E-825D310F2C53}\RP9\A0002309.dll Deleted successfully!

Attempting to delete: C:\System Volume Information\_restore{D08A9659-4DC6-4CF4-862E-825D310F2C53}\RP9\A0002318.dll
C:\System Volume Information\_restore{D08A9659-4DC6-4CF4-862E-825D310F2C53}\RP9\A0002318.dll Deleted successfully!

Attempting to delete: C:\WINDOWS\system32\i606lgds1606.dll
C:\WINDOWS\system32\i606lgds1606.dll Deleted successfully!

Attempting to delete: C:\WINDOWS\system32\irj0l51m1.dll
C:\WINDOWS\system32\irj0l51m1.dll Deleted successfully!

Making registry repairs.

Removing: HKLM\Software\Microsoft\Windows NT\CurrentVersion\Winlogon\Notify\URL

Removing: HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Shell Extensions\Approved "{64A8FCA6-39AA-4BB4-9E3A-DB2A6CB25732}"
HKCR\Clsid\{64A8FCA6-39AA-4BB4-9E3A-DB2A6CB25732}

Restoring Windows certificates.

Replaced hosts file with default windows hosts file

Restoring SeDebugPrivilege for Administratorzy - Succeeded

Jak się wygeneruje log z SR to również go tu wkleję jeszcze raz

Edit:

Log z Silent Runners:

"Silent Runners.vbs", revision 46, http://www.silentrunners.org/
Operating System: Windows XP SP2
Output limited to non-default values, except where indicated by "{++}"

Startup items buried in registry:
---------------------------------

HKLM\Software\Microsoft\Windows\CurrentVersion\Shell Extensions\Approved\
"{42071714-76d4-11d1-8b24-00a0c9068ff3}" = "Rozszerzenie CPL kadrowania wyświetlania"
-> {HKLM...CLSID} = "Rozszerzenie CPL kadrowania wyświetlania"
\InProcServer32\(Default) = "deskpan.dll" [file not found]
"{88895560-9AA2-1069-930E-00AA0030EBC8}" = "Rozszerzenie ikony HyperTerminalu"
-> {HKLM...CLSID} = "HyperTerminal Icon Ext"
\InProcServer32\(Default) = "C:\WINDOWS\system32\hticons.dll" ["Hilgraeve, Inc."]
"{A70C977A-BF00-412C-90B7-034C51DA2439}" = "NvCpl DesktopContext Class"
-> {HKLM...CLSID} = "DesktopContext Class"
\InProcServer32\(Default) = "C:\WINDOWS\system32\nvcpl.dll" ["NVIDIA Corporation"]
"{FFB699E0-306A-11d3-8BD1-00104B6F7516}" = "Play on my TV helper"
-> {HKLM...CLSID} = "NVIDIA CPL Extension"
\InProcServer32\(Default) = "C:\WINDOWS\system32\nvcpl.dll" ["NVIDIA Corporation"]
"{1CDB2949-8F65-4355-8456-263E7C208A5D}" = "Desktop Explorer"
-> {HKLM...CLSID} = "Desktop Explorer"
\InProcServer32\(Default) = "C:\WINDOWS\system32\nvshell.dll" ["NVIDIA Corporation"]
"{1E9B04FB-F9E5-4718-997B-B8DA88302A47}" = "Desktop Explorer Menu"
-> {HKLM...CLSID} = (no title provided)
\InProcServer32\(Default) = "C:\WINDOWS\system32\nvshell.dll" ["NVIDIA Corporation"]
"{1E9B04FB-F9E5-4718-997B-B8DA88302A48}" = "nView Desktop Context Menu"
-> {HKLM...CLSID} = "nView Desktop Context Menu"
\InProcServer32\(Default) = "C:\WINDOWS\system32\nvshell.dll" ["NVIDIA Corporation"]
"{B41DB860-8EE4-11D2-9906-E49FADC173CA}" = "WinRAR shell extension"
-> {HKLM...CLSID} = "WinRAR"
\InProcServer32\(Default) = "C:\Program Files\WinRAR\rarext.dll" [null data]

HKLM\Software\Classes\*\shellex\ContextMenuHandlers\
WinRAR\(Default) = "{B41DB860-8EE4-11D2-9906-E49FADC173CA}"
-> {HKLM...CLSID} = "WinRAR"
\InProcServer32\(Default) = "C:\Program Files\WinRAR\rarext.dll" [null data]

HKLM\Software\Classes\Directory\shellex\ContextMenuHandlers\
WinRAR\(Default) = "{B41DB860-8EE4-11D2-9906-E49FADC173CA}"
-> {HKLM...CLSID} = "WinRAR"
\InProcServer32\(Default) = "C:\Program Files\WinRAR\rarext.dll" [null data]

HKLM\Software\Classes\Folder\shellex\ContextMenuHandlers\
WinRAR\(Default) = "{B41DB860-8EE4-11D2-9906-E49FADC173CA}"
-> {HKLM...CLSID} = "WinRAR"
\InProcServer32\(Default) = "C:\Program Files\WinRAR\rarext.dll" [null data]

Active Desktop and Wallpaper:
-----------------------------

Active Desktop is disabled at this entry:
HKCU\Software\Microsoft\Windows\CurrentVersion\Explorer\ShellState

HKCU\Control Panel\Desktop\
"Wallpaper" = "C:\Documents and Settings\Marcin\Dane aplikacji\Microsoft\Internet Explorer\Tapeta programu Internet Explorer.bmp"

Enabled Screen Saver:
---------------------

HKCU\Control Panel\Desktop\
"SCRNSAVE.EXE" = "C:\WINDOWS\System32\logon.scr" [MS]

Winsock2 Service Provider DLLs:
-------------------------------

Namespace Service Providers

HKLM\System\CurrentControlSet\Services\Winsock2\Parameters\NameSpace_Catalog5\Catalog_Entries\ {++}
000000000001\LibraryPath = "%SystemRoot%\System32\mswsock.dll" [MS]
000000000002\LibraryPath = "%SystemRoot%\System32\winrnr.dll" [MS]
000000000003\LibraryPath = "%SystemRoot%\System32\mswsock.dll" [MS]

Transport Service Providers

HKLM\System\CurrentControlSet\Services\Winsock2\Parameters\Protocol_Catalog9\Catalog_Entries\ {++}
0000000000##\PackedCatalogItem (contains) DLL [Company Name], (at) ## range:
%SystemRoot%\system32\mswsock.dll [MS], 01 - 03, 06 - 11
%SystemRoot%\system32\rsvpsp.dll [MS], 04 - 05

----------
+ This report excludes default entries except where indicated.
+ To see *everywhere* the script checks and *everything* it finds,
launch it from a command prompt or a shortcut with the -all parameter.
+ The search for DESKTOP.INI DLL launch points on all local fixed drives
took 64 seconds.
+ The search for all Registry CLSIDs containing dormant Explorer Bars
took 25 seconds.
---------- (total run time: 135 seconds)

**Posty:** 1665 · przez **SER** 05 Sie 2006, 18:53

Poproszę jeszcze kontrolnie HijackThis i L2MFix

**Posty:** 12 · przez **geforce** 05 Sie 2006, 19:02

HiJackThis!

Logfile of HijackThis v1.99.1
Scan saved at 18:53:06, on 2006-08-05
Platform: Windows XP Dodatek SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\spoolsv.exe
C:\WINDOWS\Explorer.EXE
C:\WINDOWS\system32\svchost.exe
D:\Mozilla Firefox\firefox.exe
D:\Programy\hijackthis\HijackThis.exe

O23 - Service: NVIDIA Display Driver Service (NVSvc) - NVIDIA Corporation - (no file)

Ale niestety L2MFix nie mogę ściągnąć

Poszukam jeszcze gdzieś indziej

**Posty:** 1665 · przez **SER** 05 Sie 2006, 19:18

geforce napisał(a):Ale niestety L2MFix nie mogę ściągnąć

http://rapidshare.de/files/28298014/l2mfix.exe.html

========================

Masz jeszcze kartę nVidia GeForce :?:

Bo wpis wygląda dziwnie -> brak pliku

**Posty:** 5637 · przez **kahoona** 05 Sie 2006, 19:46

Niepotrzebnie usunięto C:\WINDOWS\system32\nvsvc32.exe ale reinstalacja sterowników pomoże (ewentualnie przywrócenie z hijack'a)

Jeśli po Geforce zostało wspomnienie - zostaje nvcleaner do zastosowania.

**Posty:** 12 · przez **geforce** 05 Sie 2006, 21:13

Hmm. Dzięki za program ale niestety dziś już nie pokaże loga z L2MFix ponieważ to wszystko było robione u kolegi a teraz jestem już w domu. Ale dziękuje za pomoc @SER

aa nom kumpel ma nVidie? a brakuje czegoś do niej?

Pozdriawiam,
GeForce

**Posty:** 5637 · przez **kahoona** 05 Sie 2006, 22:42

Kod: Zaznacz wszystko: nvsvc32.exe is used by your computer to communicate with your nVidia video card. It is required for your nVidia grpahics card to work correctly. If you do not have a nVidia video card installed, it can be removed.

Jest potrzebny drobiazg + nvsvc32.exe - bo to do komunikacji systemu windows z kartą graficzną nVidii

A więcej >> TUTAJ <<

**Posty:** 12 · przez **geforce** 07 Sie 2006, 21:48

Dobra dzięki

temat już można zamknąć

problem z kilkoma aplikacjami

problem z kilkoma aplikacjami

Kto jest na forum