proszę o sprawdzenie loga

[Lukas_laik]

Witam
Mam problem na swoim kompem prawdopodobnie z trojanem.
Wykonałem skan bezpłatnym programem Activeskan Panda Antivir, którego wynik zamieszczam ponizej:
Zdarzenie:
Adware:Adware/PC-Prot
Status
Nie wyleczalny
Lokalizacja
C:\Program Files\Video Add-on\icmntr.exe
C:\Program Files\Video Add-on\isfmdl.dll

Najpierw próbowałem usunąć cały plik "Add-on" z Program Files ale pojawiał się komunikat:
Nie można usunąć Add-on: Odmowa o-dostępu
Sprawdż czy dysk nie jest zapełniony itp...

Później spróbowałem wyłączyć proces poprzez Ctrl+Alt+Del ale bezskutecznie.

Następnie znalazłem to forum i dlatego umieszczam loga z jednoczesną gorącą prośbą o pomoc.
Przed podaniem loga chciałem dodać, że co jakiś czas pojawiają się komunikaty w pasku zadań typu:
Security Alert: Spyware found
Your com is infected itp...
Następnie wyświetlają mi sie stronki z programami antywirusowymi po 49$

log z hijack

Logfile of Trend Micro HijackThis v2.0.2
Scan saved at 22:30:42, on 2007-11-02
Platform: Windows XP Dodatek SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)
Boot mode: Normal

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\spoolsv.exe
C:\WINDOWS\Explorer.EXE
C:\Program Files\Video Add-on\icthis.exe
C:\Program Files\Java\jre1.5.0_07\bin\jusched.exe
C:\WINDOWS\RTHDCPL.EXE
C:\Program Files\WinFast\WFTVFM\WFWIZ.exe
C:\Program Files\Video Add-on\icmntr.exe
C:\Program Files\Video Add-on\isfmm.exe
C:\Program Files\WinFast\WFTVFM\WFTV.exe
C:\WINDOWS\system32\nvsvc32.exe
C:\WINDOWS\system32\HPZipm12.exe
C:\WINDOWS\system32\svchost.exe
C:\Program Files\Common Files\Ulead Systems\DVD\ULCDRSvr.exe
C:\WINDOWS\system32\wscntfy.exe
C:\WINDOWS\system32\wpabaln.exe
C:\Program Files\Video Add-on\isfmntr.exe
C:\Program Files\Internet Explorer\iexplore.exe
C:\Program Files\Trend Micro\HijackThis\HijackThis.exe

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Bar = http://www.google.pl/
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = about:blank
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://www.pcf.pl/
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Łącza
O2 - BHO: SSVHelper Class - {761497BB-D6F0-462C-B6EB-D4DAF1D92D43} - C:\Program Files\Java\jre1.5.0_07\bin\ssv.dll
O2 - BHO: (no name) - {B499D34E-58EF-4927-AB9F-7AF52B2C4C82} - C:\Program Files\Video Add-on\isfmdl.dll
O4 - HKLM\..\Run: [SunJavaUpdateSched] C:\Program Files\Java\jre1.5.0_07\bin\jusched.exe
O4 - HKLM\..\Run: [SkyTel] SkyTel.EXE
O4 - HKLM\..\Run: [RTHDCPL] RTHDCPL.EXE
O4 - HKLM\..\Run: [Alcmtr] ALCMTR.EXE
O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\system32\NvCpl.dll,NvStartup
O4 - HKLM\..\Run: [nwiz] nwiz.exe /install
O4 - HKLM\..\Run: [NvMediaCenter] RUNDLL32.EXE C:\WINDOWS\system32\NvMcTray.dll,NvTaskbarInit
O4 - HKLM\..\Run: [WinFast Schedule] C:\Program Files\WinFast\WFTVFM\WFWIZ.exe
O4 - HKCU\..\Run: [AntiSpywareShield] C:\Program Files\AntiSpywareShield\AntiSpywareShield.exe
O4 - HKLM\..\Policies\Explorer\Run: [some] C:\Program Files\Video Add-on\icthis.exe
O4 - HKLM\..\Policies\Explorer\Run: [start] C:\Program Files\Video Add-on\isfmntr.exe
O4 - HKUS\S-1-5-19\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'USŁUGA LOKALNA')
O4 - HKUS\S-1-5-20\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'USŁUGA SIECIOWA')
O4 - HKUS\S-1-5-18\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'SYSTEM')
O4 - HKUS\.DEFAULT\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'Default user')
O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\jre1.5.0_07\bin\ssv.dll
O9 - Extra 'Tools' menuitem: Sun Java Console - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\jre1.5.0_07\bin\ssv.dll
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe
O14 - IERESET.INF: START_PAGE_URL=http://www.pcf.pl/
O16 - DPF: {9A9307A0-7DA4-4DAF-B042-5009F29E09E1} (ActiveScan Installer Class) - http://acs.pandasoftware.com/activescan/as5free/asinst.cab
O16 - DPF: {F6ACF75C-C32C-447B-9BEF-46B766368D29} (Creative Software AutoUpdate Support Package) - http://www.creative.com/su2/CTL_V02002/ocx/15031/CTPID.cab
O18 - Protocol: skype4com - {FFC8B962-9B40-4DFF-9458-1830C7DD7F5D} - C:\PROGRA~1\COMMON~1\Skype\SKYPE4~1.DLL
O22 - SharedTaskScheduler: curing - {3aea41ad-3ce4-48d9-acab-be40ad329e40} - C:\WINDOWS\system32\fqgwiw.dll
O23 - Service: NVIDIA Display Driver Service (NVSvc) - NVIDIA Corporation - C:\WINDOWS\system32\nvsvc32.exe
O23 - Service: Pml Driver HPZ12 - HP - C:\WINDOWS\system32\HPZipm12.exe
O23 - Service: Frontline Kursk Drivers Auto Removal (pr2aj82b) (pr2aj82b) - Cenega Poland - C:\WINDOWS\system32\pr2aj82b.exe
O23 - Service: Ulead Burning Helper (UleadBurningHelper) - Ulead Systems, Inc. - C:\Program Files\Common Files\Ulead Systems\DVD\ULCDRSvr.exe

--
End of file - 4407 bytes

[Kuba1]

Weź log w tagi, poradzimy sobie z tym

[wojtas]

Wykonaj to co jest podane w tym temacie

zastosuj:

smitfraudfix z opcji 2



Zastosuj SDFix . Po pobraniu uruchom go a rozpakuje się do C:\SDFix. Uruchom komputer w trybie awaryjnym (F8 przy stracie systemu). Będąc w awaryjnym uruchom plik RunThis.bat z folderu SDFixa. Zatwierdź czyszczenie przez Y. Poczekaj aż ukończy i komputer zresetuje

Potem wejdz do folderu SDFix wrzuc zawartość pliku Report.txt + log z combofixa oraz z hijacka

[Lukas_laik]

Witam
Po pierwsze wielkie dzięki za instrukcje. Przyznam, że na początku wydawało mi się to mega skomplikowane ale jakoś przebrnąłem:)
Ale po kolei,
1. najpierw zainstalowałem Windows Worms Doors Cleaner - po zainstalowaniu dalej pojawiały się komunikaty "system alert" itp.
2. potem zainstalowałem Aktualizacja dla systemu Windows XP (KB894391) - też nie pomogło
3. nastęnie install Seconfig XP - też nie pomogło
Nie zrozumiałem z Twojej odp. czy trzy powyższe instalacje usuną tego trojana czy tylko zabezpieczą przed dodatkowym ściąganiem syfu?
4. W tym miejscu zainstalowałem Smitfraudfix - po zainstalowaniu wybrałem opcję 2 czyli Clean <safe mode recommended>
Pojawił się opis kiling process itp. potem automatyczny restart.
Po restarcie zmienił mi się pulpit (kolor niebieski) i narazie nie pojawiają się żadne dziwne komunikaty o alertach itp. Więc wygląda, że jest wszystko ok a przynajmniej mam taką nadzieję.

Nie robiłem tego:
"Zastosuj SDFix . Po pobraniu uruchom go a rozpakuje się do C:\SDFix. Uruchom komputer w trybie awaryjnym (F8 przy stracie systemu). Będąc w awaryjnym uruchom plik RunThis.bat z folderu SDFixa. Zatwierdź czyszczenie przez Y. Poczekaj aż ukończy i komputer zresetuje

Potem wejdz do folderu SDFix wrzuc zawartość pliku Report.txt + log z combofixa oraz z hijacka"

Pytanie: Czy mam to zrobić jeżeli wszystko wskazuje na to, że trojana już nie ma?

pozdrawiam i jeszcze raz dzięki.

[wojtas]

czy tylko zabezpieczą przed dodatkowym ściąganiem syfu?

dokladnie tak

Czy mam to zrobić jeżeli wszystko wskazuje na to, że trojana już nie ma?

tak wykonaj to

po wykonaniu wszystkiego

wejdz do folderu SDFix wrzuc zawartość pliku Report.txt + log z combofixa oraz z hijacka na forum pozdrawiam

[Lukas_laik]

Witam
Wybieram klawisz F8 przy uruchamianiu PC i mam do wyboru:
Tryb awaryjny
Tryba awaryjny z obsługą sieci
Tryb awaryjny z wierszem polecenia
Włącz rejestrowanie uruchamiania
Włącz tryb VGA
itp..
Czy możesz mi napisać szczegółowo jaki tryb awaryjny uruchomić i jak w trybie awaryjnym uruchomić plik RunThis.bat z folderu SDFixa.
Sorry za wymagania ale jestem laikiem (co sugeruje nick)
Dzięki z góry
pozdrawiam

[wojtas]

gdy masz podswietlone Tryb awaryjny niciskasz Enter... po chwili znajdziesz sie w trybie awaryjnym.

jak w trybie awaryjnym uruchomić plik RunThis.bat z folderu SDFixa.

bedac w awaryjnym wejdz do folderu C:\SDFix i tam znajdz RunThis.bat i kliknij na niego dwu krotnie i czekaj do restartu kompa

[Lukas_laik]

ok, udało się.
Przesyłam loga.

SDFix:

SDFix: Version 1.113

Run by Administrator on 2007-11-03 at 21:58

Microsoft Windows XP [Wersja 5.1.2600]

Running From: C:\SDFix\SDFix

Safe Mode:
Checking Services:


Restoring Windows Registry Values
Restoring Windows Default Hosts File

Rebooting...


Normal Mode:
Checking Files:

No Trojan Files Found




Removing Temp Files...

ADS Check:

C:\WINDOWS
No streams found.

C:\WINDOWS\system32
No streams found.

C:\WINDOWS\system32\svchost.exe
No streams found.

C:\WINDOWS\system32\ntoskrnl.exe
No streams found.



Final Check:

catchme 0.3.1253 W2K/XP/Vista - rootkit/stealth malware detector by Gmer, http://www.gmer.net
Rootkit scan 2007-11-03 22:01:38
Windows 5.1.2600 Dodatek Service Pack 2 NTFS

scanning hidden processes ...

scanning hidden services & system hive ...

scanning hidden registry entries ...

[HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\MenuOrder\Favorites\A\1\5\1c]
"Order"=hex:08,00,00,00,02,00,00,00,b8,01,00,00,01,00,00,00,04,00,00,00,8c,..

scanning hidden files ...

scan completed successfully
hidden processes: 0
hidden services: 0
hidden files: 0


Remaining Services:
------------------



Authorized Application Key Export:

[HKEY_LOCAL_MACHINE\system\currentcontrolset\services\sharedaccess\parameters\firewallpolicy\standardprofile\authorizedapplications\list]
"%windir%\\system32\\sessmgr.exe"="%windir%\\system32\\sessmgr.exe:*:enabled:@xpsp2res.dll,-22019"
"C:\\WINDOWS\\system32\\dpvsetup.exe"="C:\\WINDOWS\\system32\\dpvsetup.exe:*:Enabled:Microsoft DirectPlay Voice Test"
"C:\\WINDOWS\\system32\\rundll32.exe"="C:\\WINDOWS\\system32\\rundll32.exe:*:Enabled:Uruchamia plik DLL jako aplikacj&copy;"
"C:\\Program Files\\HP\\Digital Imaging\\bin\\hpqtra08.exe"="C:\\Program Files\\HP\\Digital Imaging\\bin\\hpqtra08.exe:*:Enabled:hpqtra08.exe"
"C:\\Program Files\\HP\\Digital Imaging\\bin\\hpqste08.exe"="C:\\Program Files\\HP\\Digital Imaging\\bin\\hpqste08.exe:*:Enabled:hpqste08.exe"
"C:\\Program Files\\HP\\Digital Imaging\\bin\\hpofxm08.exe"="C:\\Program Files\\HP\\Digital Imaging\\bin\\hpofxm08.exe:*:Enabled:hpofxm08.exe"
"C:\\Program Files\\HP\\Digital Imaging\\bin\\hposfx08.exe"="C:\\Program Files\\HP\\Digital Imaging\\bin\\hposfx08.exe:*:Enabled:hposfx08.exe"
"C:\\Program Files\\HP\\Digital Imaging\\bin\\hposid01.exe"="C:\\Program Files\\HP\\Digital Imaging\\bin\\hposid01.exe:*:Enabled:hposid01.exe"
"C:\\Program Files\\HP\\Digital Imaging\\bin\\hpqscnvw.exe"="C:\\Program Files\\HP\\Digital Imaging\\bin\\hpqscnvw.exe:*:Enabled:hpqscnvw.exe"
"C:\\Program Files\\HP\\Digital Imaging\\bin\\hpqkygrp.exe"="C:\\Program Files\\HP\\Digital Imaging\\bin\\hpqkygrp.exe:*:Enabled:hpqkygrp.exe"
"C:\\Program Files\\HP\\Digital Imaging\\bin\\hpqCopy.exe"="C:\\Program Files\\HP\\Digital Imaging\\bin\\hpqCopy.exe:*:Enabled:hpqcopy.exe"
"C:\\Program Files\\HP\\Digital Imaging\\bin\\hpfccopy.exe"="C:\\Program Files\\HP\\Digital Imaging\\bin\\hpfccopy.exe:*:Enabled:hpfccopy.exe"
"C:\\Program Files\\HP\\Digital Imaging\\bin\\hpzwiz01.exe"="C:\\Program Files\\HP\\Digital Imaging\\bin\\hpzwiz01.exe:*:Enabled:hpzwiz01.exe"
"C:\\Program Files\\HP\\Digital Imaging\\bin\\hpoews01.exe"="C:\\Program Files\\HP\\Digital Imaging\\bin\\hpoews01.exe:*:Enabled:hpoews01.exe"
"C:\\Program Files\\HP\\Digital Imaging\\bin\\hpqnrs08.exe"="C:\\Program Files\\HP\\Digital Imaging\\bin\\hpqnrs08.exe:*:Enabled:hpqnrs08.exe"
"C:\\Program Files\\Skype\\Phone\\Skype.exe"="C:\\Program Files\\Skype\\Phone\\Skype.exe:*:Enabled:Skype. Take a deep breath "
"C:\\Program Files\\Winamp Remote\\bin\\Orb.exe"="C:\\Program Files\\Winamp Remote\\bin\\Orb.exe:*:Enabled:Orb"
"C:\\Program Files\\Winamp Remote\\bin\\OrbTray.exe"="C:\\Program Files\\Winamp Remote\\bin\\OrbTray.exe:*:Enabled:OrbTray"
"C:\\Program Files\\Winamp Remote\\bin\\OrbStreamerClient.exe"="C:\\Program Files\\Winamp Remote\\bin\\OrbStreamerClient.exe:*:Enabled:Orb Stream Client"

[HKEY_LOCAL_MACHINE\system\currentcontrolset\services\sharedaccess\parameters\firewallpolicy\domainprofile\authorizedapplications\list]
"%windir%\\system32\\sessmgr.exe"="%windir%\\system32\\sessmgr.exe:*:enabled:@xpsp2res.dll,-22019"

Remaining Files:
---------------


Files with Hidden Attributes:


Finished!


ComboFix:
ComboFix 07-11-01.1 - Wiesław 2007-11-03 22:05:37.1 - NTFSx86
Microsoft Windows XP Home Edition 5.1.2600.2.1250.1.1045.18.735 [GMT 1:00]
Running from: D:\ComboFix.exe
* Created a new restore point
.

((((((((((((((((((((((((( Files Created from 2007-10-03 to 2007-11-03 )))))))))))))))))))))))))))))))
.

2007-11-03 22:05 51,200 --a------ C:\WINDOWS\NirCmd.exe
2007-11-03 21:58 <DIR> d-------- C:\WINDOWS\ERUNT
2007-11-03 21:57 <DIR> d--h----- C:\Documents and Settings\Administrator\Ustawienia lokalne
2007-11-03 21:57 <DIR> d-------- C:\Documents and Settings\Administrator\Ulubione
2007-11-03 21:57 <DIR> d--h----- C:\Documents and Settings\Administrator\Szablony
2007-11-03 21:57 <DIR> d-------- C:\Documents and Settings\Administrator\Pulpit
2007-11-03 21:57 <DIR> d-------- C:\Documents and Settings\Administrator\Moje dokumenty
2007-11-03 21:57 <DIR> dr------- C:\Documents and Settings\Administrator\Menu Start
2007-11-03 21:57 <DIR> dr-h----- C:\Documents and Settings\Administrator\Dane aplikacji
2007-11-03 10:10 1,016 --a------ C:\WINDOWS\system32\tmp.reg
2007-11-03 10:09 289,144 --a------ C:\WINDOWS\system32\VCCLSID.exe
2007-11-03 10:09 288,417 --a------ C:\WINDOWS\system32\SrchSTS.exe
2007-11-03 10:09 53,248 --a------ C:\WINDOWS\system32\Process.exe
2007-11-03 10:09 51,200 --a------ C:\WINDOWS\system32\dumphive.exe
2007-11-03 10:09 25,600 --a------ C:\WINDOWS\system32\WS2Fix.exe
2007-11-02 22:23 <DIR> d-------- C:\Program Files\Trend Micro
2007-11-01 20:26 <DIR> d-------- C:\Documents and Settings\All Users\Dane aplikacji\NVIDIA
2007-11-01 20:18 <DIR> d-------- C:\WINDOWS\system32\ActiveScan
2007-11-01 19:54 <DIR> d---s---- C:\Documents and Settings\Wiesław\UserData
2007-11-01 19:54 <DIR> d---s---- C:\Documents and Settings\Wiesław\UserData
2007-10-31 19:28 <DIR> d-------- C:\Documents and Settings\Wiesław\Dane aplikacji\Image Zone Express
2007-10-31 07:20 <DIR> d-a------ C:\Documents and Settings\All Users\Dane aplikacji\TEMP
2007-10-30 23:23 <DIR> d-------- C:\Program Files\Common Files\NSV
2007-10-30 23:02 <DIR> d-------- C:\Program Files\Winamp
2007-10-30 23:02 <DIR> d-------- C:\Documents and Settings\Wiesław\Dane aplikacji\Winamp
2007-10-29 09:30 <DIR> d-------- C:\Documents and Settings\Wiesław\Dane aplikacji\HP
2007-10-29 09:29 <DIR> d-------- C:\Documents and Settings\All Users\Dane aplikacji\HP
2007-10-29 09:27 <DIR> d-------- C:\Program Files\Common Files\Hewlett-Packard
2007-10-29 09:14 15,104 --a------ C:\WINDOWS\system32\drivers\usbscan.sys
2007-10-29 09:14 15,104 --a--c--- C:\WINDOWS\system32\dllcache\usbscan.sys
2007-10-29 09:11 <DIR> d-------- C:\Program Files\HP
2007-10-29 09:11 282,680 --a------ C:\WINDOWS\system32\HPZidr12.dll
2007-10-29 09:11 204,800 --a------ C:\WINDOWS\system32\HPZipr12.dll
2007-10-29 09:11 94,208 --a------ C:\WINDOWS\system32\HPZipt12.dll
2007-10-29 09:11 69,632 --a------ C:\WINDOWS\system32\HPZipm12.exe
2007-10-29 09:11 65,536 --a------ C:\WINDOWS\system32\HPZinw12.exe
2007-10-29 09:11 57,344 --a------ C:\WINDOWS\system32\HPZisn12.dll
2007-10-29 09:10 31,616 --a------ C:\WINDOWS\system32\drivers\usbccgp.sys
2007-10-29 09:10 31,616 --a--c--- C:\WINDOWS\system32\dllcache\usbccgp.sys
2007-10-29 09:10 26,496 --a--c--- C:\WINDOWS\system32\dllcache\usbstor.sys
2007-10-29 09:10 25,856 --a------ C:\WINDOWS\system32\drivers\usbprint.sys
2007-10-29 09:10 25,856 --a--c--- C:\WINDOWS\system32\dllcache\usbprint.sys
2007-10-29 08:37 <DIR> d-------- C:\Program Files\Skype
2007-10-29 08:37 <DIR> d-------- C:\Program Files\Common Files\Skype
2007-10-29 08:37 <DIR> d-------- C:\Documents and Settings\Wiesław\Dane aplikacji\Skype
2007-10-29 08:37 <DIR> d-------- C:\Documents and Settings\All Users\Dane aplikacji\Skype
2007-10-29 08:20 41,984 --------- C:\WINDOWS\Ctregrun.exe
2007-10-29 08:19 <DIR> d-------- C:\Documents and Settings\Wiesław\Dane aplikacji\Creative
2007-10-29 08:18 <DIR> d-------- C:\Program Files\Creative
2007-10-29 08:18 306,688 --a------ C:\WINDOWS\IsUninst.exe
2007-10-28 22:16 <DIR> d-------- C:\Program Files\WinX DVD Player 3.0
2007-10-28 19:59 <DIR> d-------- C:\WINDOWS\system32\Lang
2007-10-28 19:59 <DIR> d-------- C:\Program Files\Common Files\Ulead Systems
2007-10-28 19:58 <DIR> d-------- C:\Program Files\WinFast
2007-10-28 19:58 <DIR> d-------- C:\Documents and Settings\All Users\Dane aplikacji\Ulead Systems
2007-10-28 19:58 49,152 --a------ C:\WINDOWS\system32\TempDel.EXE
2007-10-28 19:58 9,446 --a------ C:\WINDOWS\system32\drivers\WFIOCTL.sys
2007-10-28 19:53 5,504 --a------ C:\WINDOWS\system32\drivers\MSTEE.sys
2007-10-28 19:53 5,504 --a--c--- C:\WINDOWS\system32\dllcache\mstee.sys
2007-10-28 19:51 <DIR> d-------- C:\WinFast
2007-10-28 19:51 <DIR> d-------- C:\WINDOWS\system32\DX9
2007-10-28 19:51 163,584 --a------ C:\WINDOWS\system32\drivers\cx88vid.sys
2007-10-28 19:51 30,976 --a------ C:\WINDOWS\system32\drivers\cx88tune.sys
2007-10-28 19:51 9,728 --a------ C:\WINDOWS\system32\drivers\cxavxbar.sys
2007-10-28 19:50 <DIR> d-------- C:\WINDOWS\system32\WinFox
2007-10-28 19:50 <DIR> d-------- C:\WINDOWS\system32\WinFast
2007-10-28 19:50 9,600 --a------ C:\WINDOWS\system32\drivers\WINFOXIO.sys
2007-10-28 19:47 <DIR> d-------- C:\Program Files\Opera
2007-10-28 19:37 <DIR> d-------- C:\WINDOWS\nview
2007-10-28 19:37 208,896 --a------ C:\WINDOWS\system32\nvudisp.exe
2007-10-28 19:36 208,896 --a------ C:\WINDOWS\system32\NVUNINST.EXE

.
(((((((((((((((((((((((((((((((((((((((( Find3M Report ))))))))))))))))))))))))))))))))))))))))))))))))))))
.
2007-10-29 09:34 --------- d--h--w C:\Program Files\InstallShield Installation Information
2007-10-28 18:51 --------- d-----w C:\Program Files\Common Files\InstallShield
2007-10-28 15:35 --------- d-----w C:\Program Files\Attansic
2007-10-28 15:31 --------- d-----w C:\Program Files\VIA
2007-10-28 15:31 --------- d-----w C:\Program Files\Realtek
2007-10-28 15:31 --------- d-----w C:\Program Files\DIFX
2007-10-28 15:19 --------- d-----w C:\Program Files\microsoft frontpage
2007-10-28 15:16 --------- d-----w C:\Program Files\Java
2007-10-28 15:15 --------- d-----w C:\Program Files\Common Files\Java
2007-10-28 15:13 --------- d-----w C:\Program Files\Usługi online
2007-08-21 06:18 683,520 ----a-w C:\WINDOWS\system32\inetcomm.dll
.

((((((((((((((((((((((((((((((((((((( Reg Loading Points ))))))))))))))))))))))))))))))))))))))))))))))))))
.
.
*Note* empty entries & legit default entries are not shown

[HKEY_LOCAL_MACHINE\~\Browser Helper Objects\{B499D34E-58EF-4927-AB9F-7AF52B2C4C82}]
C:\Program Files\Video Add-on\isfmdl.dll

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
"SunJavaUpdateSched"="C:\Program Files\Java\jre1.5.0_07\bin\jusched.exe" [2006-05-03 02:56]
"SkyTel"="SkyTel.EXE" [2006-05-16 19:04 C:\WINDOWS\SkyTel.exe]
"RTHDCPL"="RTHDCPL.EXE" [2006-09-06 12:44 C:\WINDOWS\RTHDCPL.exe]
"NvCplDaemon"="C:\WINDOWS\system32\NvCpl.dll" [2006-08-12 05:43]
"nwiz"="nwiz.exe" [2006-08-12 05:43 C:\WINDOWS\system32\nwiz.exe]
"NvMediaCenter"="C:\WINDOWS\system32\NvMcTray.dll" [2006-08-12 05:43]
"WinFast Schedule"="C:\Program Files\WinFast\WFTVFM\WFWIZ.exe" [2006-07-07 17:15]

R0 pe3aj82b;Frontline Kursk Environment Driver (pe3aj82b);C:\WINDOWS\system32\drivers\pe3aj82b.sys
R0 ps6aj82b;Frontline Kursk Synchronization Driver (ps6aj82b);C:\WINDOWS\system32\drivers\ps6aj82b.sys
R0 videX32;videX32;C:\WINDOWS\system32\DRIVERS\videX32.sys
R0 xfilt;VIA SATA IDE Hot-plug Driver;C:\WINDOWS\system32\DRIVERS\xfilt.sys
R2 CX23880;WinFast CX2388x WDM Video Capture.;C:\WINDOWS\system32\drivers\cx88vid.sys
R2 CXTUNE;WinFast CX2388x WDM TVTuner.;C:\WINDOWS\system32\drivers\CX88TUNE.sys
R3 AtcL001;NDIS Miniport Driver for Attansic L1 Gigabit Ethernet Adapter;C:\WINDOWS\system32\DRIVERS\atl01_xp.sys
R3 CXAVXBAR;WinFast CX2388x WDM Crossbar.;C:\WINDOWS\system32\drivers\cxavxbar.sys
R3 WFIOCTL;WFIOCTL;\??\C:\Program Files\WinFast\WFTVFM\WFIOCTL.SYS
S0 viamraid;viamraid;C:\WINDOWS\system32\drivers\viamraid.sys
S2 pr2aj82b;Frontline Kursk Drivers Auto Removal (pr2aj82b);C:\WINDOWS\system32\pr2aj82b.exe svc

*Newly Created Service* - CATCHME
.
**************************************************************************

catchme 0.3.1250 W2K/XP/Vista - rootkit/stealth malware detector by Gmer, http://www.gmer.net
Rootkit scan 2007-11-03 22:06:23
Windows 5.1.2600 Dodatek Service Pack 2 NTFS

scanning hidden processes ...

scanning hidden autostart entries ...

scanning hidden files ...

scan completed successfully
hidden files: 0

**************************************************************************
.
Completion time: 2007-11-03 22:06:38
.
--- E O F ---

hijackthis:
Logfile of Trend Micro HijackThis v2.0.2
Scan saved at 22:12:01, on 2007-11-03
Platform: Windows XP Dodatek SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)
Boot mode: Normal

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\spoolsv.exe
C:\WINDOWS\system32\nvsvc32.exe
C:\WINDOWS\system32\HPZipm12.exe
C:\WINDOWS\system32\svchost.exe
C:\Program Files\Common Files\Ulead Systems\DVD\ULCDRSvr.exe
C:\Program Files\Java\jre1.5.0_07\bin\jusched.exe
C:\WINDOWS\RTHDCPL.EXE
C:\Program Files\WinFast\WFTVFM\WFWIZ.exe
C:\Program Files\Internet Explorer\iexplore.exe
C:\WINDOWS\explorer.exe
C:\Program Files\Trend Micro\HijackThis\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Łącza
O2 - BHO: SSVHelper Class - {761497BB-D6F0-462C-B6EB-D4DAF1D92D43} - C:\Program Files\Java\jre1.5.0_07\bin\ssv.dll
O2 - BHO: (no name) - {B499D34E-58EF-4927-AB9F-7AF52B2C4C82} - C:\Program Files\Video Add-on\isfmdl.dll (file missing)
O4 - HKLM\..\Run: [SunJavaUpdateSched] C:\Program Files\Java\jre1.5.0_07\bin\jusched.exe
O4 - HKLM\..\Run: [SkyTel] SkyTel.EXE
O4 - HKLM\..\Run: [RTHDCPL] RTHDCPL.EXE
O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\system32\NvCpl.dll,NvStartup
O4 - HKLM\..\Run: [nwiz] nwiz.exe /install
O4 - HKLM\..\Run: [NvMediaCenter] RUNDLL32.EXE C:\WINDOWS\system32\NvMcTray.dll,NvTaskbarInit
O4 - HKLM\..\Run: [WinFast Schedule] C:\Program Files\WinFast\WFTVFM\WFWIZ.exe
O4 - HKUS\S-1-5-19\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'USŁUGA LOKALNA')
O4 - HKUS\S-1-5-20\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'USŁUGA SIECIOWA')
O4 - HKUS\S-1-5-18\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'SYSTEM')
O4 - HKUS\.DEFAULT\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'Default user')
O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\jre1.5.0_07\bin\ssv.dll
O9 - Extra 'Tools' menuitem: Sun Java Console - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\jre1.5.0_07\bin\ssv.dll
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe
O14 - IERESET.INF: START_PAGE_URL=http://www.pcf.pl/
O16 - DPF: {9A9307A0-7DA4-4DAF-B042-5009F29E09E1} (ActiveScan Installer Class) - http://acs.pandasoftware.com/activescan/as5free/asinst.cab
O16 - DPF: {F6ACF75C-C32C-447B-9BEF-46B766368D29} (Creative Software AutoUpdate Support Package) - http://www.creative.com/su2/CTL_V02002/ocx/15031/CTPID.cab
O18 - Protocol: skype4com - {FFC8B962-9B40-4DFF-9458-1830C7DD7F5D} - C:\PROGRA~1\COMMON~1\Skype\SKYPE4~1.DLL
O23 - Service: NVIDIA Display Driver Service (NVSvc) - NVIDIA Corporation - C:\WINDOWS\system32\nvsvc32.exe
O23 - Service: Pml Driver HPZ12 - HP - C:\WINDOWS\system32\HPZipm12.exe
O23 - Service: Frontline Kursk Drivers Auto Removal (pr2aj82b) (pr2aj82b) - Cenega Poland - C:\WINDOWS\system32\pr2aj82b.exe
O23 - Service: Ulead Burning Helper (UleadBurningHelper) - Ulead Systems, Inc. - C:\Program Files\Common Files\Ulead Systems\DVD\ULCDRSvr.exe

--
End of file - 3473 bytes

Jeszcze raz dzięki, szacuneczek:)

[wojtas]

czysto

[Lukas_laik]

Tak z ciekawości i troche nie na temat.
Instalowałem ostatnio XP home edition oryginalną wersję. Z tym, że nie mam do niej klucza bo z biegiem czasu gdzieś się podział.
Po instalce pojawił mi się komunikat o powtórnej rejestracji za 30dni, przy czym w trakcie instalki nie trzeba było podawać klucza.
Zastanawiam się, co się stanie jak minie te 30 dni, narazie wybieram nie
aktualizuj..?

[wojtas]

Zastanawiam się, co się stanie jak minie te 30 dni, narazie wybieram nie

bedziesz musial dzwonic do microsoftu i aktualizowac windowsa