problem z plikiem ibm00001.exe

[myrio]

Logfile of HijackThis v1.99.1
Scan saved at 11:07:40, on 2006-04-22
Platform: Windows XP Dodatek SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)

Running processes:
C:\windows\System32\smss.exe
C:\windows\system32\winlogon.exe
C:\windows\system32\services.exe
C:\windows\system32\lsass.exe
C:\windows\system32\svchost.exe
C:\windows\System32\svchost.exe
C:\windows\explorer.exe
C:\windows\system32\spoolsv.exe
C:\PROGRA~1\ALWILS~1\Avast4\ashDisp.exe
C:\windows\system32\rundll32.exe
E:\Winamp\winampa.exe
C:\Program Files\Common Files\Real\Update_OB\realsched.exe
E:\Power dvd\PDVDServ.exe
D:\gadu gadu\Gadu-Gadu\gg.exe
C:\WINDOWS\system32\RaConfig.exe
D:\Kalendarz XP\Kalendarz.exe
C:\Program Files\Alwil Software\Avast4\aswUpdSv.exe
C:\Program Files\Alwil Software\Avast4\ashServ.exe
C:\windows\system32\nvsvc32.exe
C:\Program Files\Alwil Software\Avast4\ashMaiSv.exe
C:\Program Files\Alwil Software\Avast4\ashWebSv.exe
C:\Program Files\Mozilla Firefox\firefox.exe
C:\DOCUME~1\x\USTAWI~1\Temp\Katalog tymczasowy 2 dla hijackthis.zip\HijackThis.exe

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = c:\secure32.html
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = c:\secure32.html
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = c:\secure32.html
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = c:\secure32.html
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Local Page = c:\secure32.html
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Local Page = c:\secure32.html
R1 - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings,ProxyServer = 192.168.1.1:3128
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Łącza
F2 - REG:system.ini: Shell=explorer.exe "C:\Program Files\Common Files\Microsoft Shared\Web Folders\ibm00001.exe"
O2 - BHO: (no name) - {02DCA195-602B-4B1F-83FF-381B7E804BDB} - C:\WINDOWS\system32\HDBHO.dll
O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - e:\acrobat 7\Reader\ActiveX\AcroIEHelper.ocx
O2 - BHO: URLLink - {4A2AACF3-ADF6-11D5-98A9-00E018981B9E} - C:\Program Files\NewDotNet\newdotnet7_22.dll
O2 - BHO: RXResultTracker Class - {59879FA4-4790-461c-A1CC-4EC4DE4CA483} - C:\Program Files\RXToolBar\sfcont.dll (file missing)
O4 - HKLM\..\Run: [avast!] C:\PROGRA~1\ALWILS~1\Avast4\ashDisp.exe
O4 - HKLM\..\Run: [QuickTime Task] "C:\WINDOWS\System32\qttask.exe" -atboottime
O4 - HKLM\..\Run: [NeroFilterCheck] C:\windows\system32\NeroCheck.exe
O4 - HKLM\..\Run: [New.net Startup] rundll32 C:\PROGRA~1\NEWDOT~1\NEWDOT~2.DLL,ClientStartup -s
O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\windows\system32\NvCpl.dll,NvStartup
O4 - HKLM\..\Run: [nwiz] nwiz.exe /install
O4 - HKLM\..\Run: [WinampAgent] E:\Winamp\winampa.exe
O4 - HKLM\..\Run: [BearShare] "D:\Program Files\BearShare\BearShare.exe" /pause
O4 - HKLM\..\Run: [TkBellExe] "C:\Program Files\Common Files\Real\Update_OB\realsched.exe" -osboot
O4 - HKLM\..\Run: [RemoteControl] "E:\Power dvd\PDVDServ.exe"
O4 - HKCU\..\Run: [Gadu-Gadu] "D:\gadu gadu\Gadu-Gadu\gg.exe" /tray
O4 - HKCU\..\Run: [MSMSGS] "C:\Program Files\Messenger\msmsgs.exe" /background
O4 - Global Startup: RaConfig.lnk = C:\WINDOWS\system32\RaConfig.exe
O4 - Global Startup: Adobe Reader Speed Launch.lnk = E:\acrobat 7\Reader\reader_sl.exe
O4 - Global Startup: Kalendarz XP.lnk = D:\Kalendarz XP\Kalendarz.exe
O8 - Extra context menu item: &Search - http://kw.bar.need2find.com/KW/menusearch.html?p=KW
O8 - Extra context menu item: E&ksport do programu Microsoft Excel - res://C:\PROGRA~1\MICROS~2\OFFICE11\EXCEL.EXE/3000
O9 - Extra button: Badanie - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - C:\PROGRA~1\MICROS~2\OFFICE11\REFIEBAR.DLL
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe
O10 - Hijacked Internet access by New.Net
O18 - Filter: text/html - {2AB289AE-4B90-4281-B2AE-1F4BB034B647} - C:\Program Files\RXToolBar\sfcont.dll
O20 - Winlogon Notify: msctl32.dll - C:\windows\
O20 - Winlogon Notify: WgaLogon - WgaLogon.dll (file missing)
O23 - Service: avast! iAVS4 Control Service (aswUpdSv) - Unknown owner - C:\Program Files\Alwil Software\Avast4\aswUpdSv.exe
O23 - Service: avast! Antivirus - Unknown owner - C:\Program Files\Alwil Software\Avast4\ashServ.exe
O23 - Service: avast! Mail Scanner - Unknown owner - C:\Program Files\Alwil Software\Avast4\ashMaiSv.exe" /service (file missing)
O23 - Service: avast! Web Scanner - Unknown owner - C:\Program Files\Alwil Software\Avast4\ashWebSv.exe" /service (file missing)
O23 - Service: NVIDIA Driver Helper Service (NVSvc) - NVIDIA Corporation - C:\windows\system32\nvsvc32.exe
O23 - Service: Panda anti-virus service (PAVSRV) - Unknown owner - C:\Program Files\Panda Software\Panda Titanium Antivirus 2004\pavsrv51.exe (file missing)

[code][/code]

[krisu]

a co sie dzieje????

po za tym o tym pliku ibm00001.exe było juz na forum

[myrio]

ale nie wiem co mam usunąc bo pokazuje mi sie komunikat C: program files\comon files\microsoft shared\web ibm00001.exe i ze nie moze znalezc tego pliku

[ Dodano: Dzisiaj o 11:46 ]
prosze o pomoc bo nie wiem co mam usunac aby wszystko dobrze dzialalo

[muraju]

Wykasuj wpisy w hijackthis i pogrubione pliki/foldery w trybie awaryjnym z wyłączonym przywracaniem systemu.

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = c:\secure32.html
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = c:\secure32.html
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = c:\secure32.html
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = c:\secure32.html
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Local Page = c:\secure32.html
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Local Page = c:\secure32.html

F2 - REG:system.ini: Shell=explorer.exe "C:\Program Files\Common Files\Microsoft Shared\Web Folders\ibm00001.exe"
O2 - BHO: (no name) - {02DCA195-602B-4B1F-83FF-381B7E804BDB} - C:\WINDOWS\system32\HDBHO.dll
O2 - BHO: RXResultTracker Class - {59879FA4-4790-461c-A1CC-4EC4DE4CA483} - C:\Program Files\RXToolBar\sfcont.dll (file missing)
O8 - Extra context menu item: &Search - http://kw.bar.need2find.com/KW/menusearch.html?p=KW
O18 - Filter: text/html - {2AB289AE-4B90-4281-B2AE-1F4BB034B647} - C:\Program Files\RXToolBar\sfcont.dll
O20 - Winlogon Notify: msctl32.dll - C:\windows\
O20 - Winlogon Notify: WgaLogon - WgaLogon.dll (file missing)

Odinstaluj newdotnet w dodaj/usuń

Ściągnij LSP-Fix, uruchom, zaznacz " i know what im doing", przenieś newdotnet7_22.dll na prawa strone i kliknij finish.

W hijacku kasujesz jego resztki:

O2 - BHO: URLLink - {4A2AACF3-ADF6-11D5-98A9-00E018981B9E} - C:\Program Files\NewDotNet\newdotnet7_22.dll
O4 - HKLM\..\Run: [New.net Startup] rundll32 C:\PROGRA~1\NEWDOT~1\NEWDOT~2.DLL,ClientStartup -s

Resztki po pandzie:

O23 - Service: Panda anti-virus service (PAVSRV) - Unknown owner - C:\Program Files\Panda Software\Panda Titanium Antivirus 2004\pavsrv51.exe (file missing)

Start-->Uruchom-->services.msc-->zatrzymaj i wyłącz usługe Panda anti-virus service , skasuj folder pandy i wpis w hjt.

nowy log do kontroli + log z Silent Runners, zapisz jako element docelowy, uruchom, wybierz no, poczekaj cierpliwie na komunikat done i pokaż loga,którego wygeneruje

[myrio]

a moglby ktos napisac jak ten broblem rozwiazać krok po kroku? bardzo prosze

[daniel10]

uruchom -->system.ini-->usuń tą nazwę ibm....
komunikat przestanie się pokazywać ale syf nadal zostanie zrób tak jak masz napisane wcześniej

[SER]

a moglby ktos napisac jak ten broblem rozwiazać krok po kroku? bardzo prosze

Tutaj masz bardzo dokładny poradnik, dotyczący usuwania szkodliwych wpisów -> http://www.forum.programosy.pl/hijackthis-gtobsuga-i-umieszczanie-loga-vt9452.html

--------

W skrócie :

1. Panel Sterowania -> System -> zakładka Przywracanie Systemu -> zaznaczasz "Wyłącz Przywracanie Systemu" lub "Wyłącz Przywracanie Systemu na wszystkich dyskach" (w zależności, ile masz partycji).

2. Start -> Uruchom -> msconfig -> zakładka BOOT.INI -> zaznaczasz Safe Boot -> potem Zastosuj i OK. Komputer poprosi o reset (zgadzasz się). Czekasz, aż komp uruchomi się w trybie awaryjnym.

3. Odpalasz Hijack'a -> wybierasz "Do a system scan only" -> następnie zaznaczasz wpisy podane przez muraju i naciskasz Fix checked.

4. Mój Komputer -> Narzędzia -> Opcje folderów -> zakładka Widok -> zaznaczasz "Pokaż ukryte pliki i foldery" -> potem Zastosuj i OK.

5.Szukasz na dysku plików, które pogrubił muraju i je kasujesz (prawoklik na plik -> Usuń -> potwierdzasz. Następnie opróżniasz kosz.

6. Start -> Uruchom -> msconfig -> zakładka BOOT.INI -> odznaczasz Safe Boot -> potem Zastosuj i OK. Czekasz, aż komp uruchomi się w trybie normalnym.

7.Uruchamiasz Hijack'a -> wybierasz "Do a system scan and save a logfile" -> czekasz chwilkę i dajesz nam ponownie loga

-------------

uruchom -->system.ini-->usuń tą nazwę ibm....
komunikat przestanie się pokazywać ale syf nadal zostanie zrób tak jak masz napisane wcześniej

Ten sposób nie działa.