proszę o sprawdzenie loga

**Posty:** 11 · przez **emil1982** 18 Gru 2005, 22:34

Witam.

Jakieś 3 tyg. temu, będąc na stronkach z mp3, ściągnąłem sobie wirusa (jednego czy kilka- nie wiem), w każdym razie komputer od tamtego czasu działa dużo wolniej , często się wiesza. Na pulpicie pojawił się natychmiast duży napis SPYWARE INFECTION na niebieskim tle, oczywiście nie mogłem zmienić tapety. Zeskanowałem kompa chyba ze trzy razy, jakieś rzeczy się usunęły, wczoraj korzystając z porad na tym forum udało mi się zlikwidować tapete ze SPYWARE. Po tych czynnościach komputer nadal wolno chodzi, więc mam prośbę o sprawdzenie loga mojego komputera. Z góry dziękuje. :roll:

Logfile of HijackThis v1.99.1
Scan saved at 20:33:16, on 2005-12-18
Platform: Windows XP (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 (6.00.2600.0000)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\SYSTEM32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\Explorer.EXE
C:\Documents and Settings\A\Ustawienia lokalne\Temp\Katalog tymczasowy 4 dla hijackthis.zip\HijackThis.exe

R1 - HKCU\Software\Microsoft\Internet Explorer,SearchURL = http://www.the-exit.com/search
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://www.the-exit.com
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.gogle.pl/
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,SearchURL = http://www.the-exit.com/search
R1 - HKCU\Software\Microsoft\Internet Explorer\Search,CustomizeSearch = http://www.the-exit.com/search
R1 - HKLM\Software\Microsoft\Internet Explorer\Search,(Default) = http://www.the-exit.com/search
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Local Page = http://www.the-exit.com
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Local Page = http://www.the-exit.com
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Łącza
F2 - REG:system.ini: UserInit=C:\WINDOWS\system32\userinit.exe,,C:\WINDOWS\SERVICES.EXE
O2 - BHO: Yahoo! Toolbar Helper - {02478D38-C3F9-4EFB-9B51-7695ECA05670} - C:\Program Files\Yahoo!\Companion\Installs\cpn\yt.dll (file missing)
O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Program Files\Adobe\Acrobat 7.0\ActiveX\AcroIEHelper.dll
O2 - BHO: AcroIEToolbarHelper Class - {AE7CD045-E861-484f-8273-0445EE161910} - C:\Program Files\Adobe\Acrobat 7.0\Acrobat\AcroIEFavClient.dll
O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINDOWS\System32\msdxm.ocx
O3 - Toolbar: Adobe PDF - {47833539-D0C5-4125-9FA8-0819E2EAAC93} - C:\Program Files\Adobe\Acrobat 7.0\Acrobat\AcroIEFavClient.dll
O3 - Toolbar: Yahoo! Toolbar - {EF99BD32-C1FB-11D2-892F-0090271D4F88} - C:\Program Files\Yahoo!\Companion\Installs\cpn\yt.dll (file missing)
O4 - HKLM\..\Run: [NeroFilterCheck] C:\WINDOWS\system32\NeroCheck.exe
O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\System32\NvCpl.dll,NvStartup
O4 - HKLM\..\Run: [nwiz] nwiz.exe /install
O4 - HKLM\..\Run: [HP Software Update] "C:\Program Files\Hewlett-Packard\HP Software Update\HPWuSchd.exe"
O4 - HKLM\..\Run: [HP Component Manager] "C:\Program Files\HP\hpcoretech\hpcmpmgr.exe"
O4 - HKLM\..\Run: [HPDJ Taskbar Utility] C:\WINDOWS\System32\spool\drivers\w32x86\3\hpztsb09.exe
O4 - HKLM\..\Run: [DeviceDiscovery] C:\Program Files\Hewlett-Packard\Digital Imaging\bin\hpotdd01.exe
O4 - HKLM\..\Run: [AVGCtrl] "C:\Program Files\AVPersonal\AVGNT.EXE" /min
O4 - HKLM\..\Run: [bxproxy] C:\WINDOWS\bxproxy.exe
O4 - HKLM\..\Run: [Acrobat Assistant 7.0] "C:\Program Files\Adobe\Acrobat 7.0\Distillr\Acrotray.exe"
O4 - HKLM\..\Run: [SoundMan] SOUNDMAN.EXE
O4 - HKCU\..\Run: [MSMSGS] "C:\Program Files\Messenger\msmsgs.exe" /background
O4 - HKCU\..\Run: [NBJ] "C:\PROGRA~1\Ahead\Nero BackItUp\NBJ.exe"
O4 - HKCU\..\Run: [Komunikator] C:\Program Files\Tlen.pl\tlen.exe
O4 - HKCU\..\Run: [bxproxy] C:\WINDOWS\bxproxy.exe
O4 - HKCU\..\Run: [AtlantisSetup.exe] C:\DOCUME~1\A\Pulpit\NOWYFO~1\ATLANT~1.EXE /r
O4 - Startup: PowerReg Scheduler.exe
O4 - Global Startup: Adobe Acrobat Speed Launcher.lnk = ?
O4 - Global Startup: Adobe Gamma Loader.lnk = C:\Program Files\Common Files\Adobe\Calibration\Adobe Gamma Loader.exe
O4 - Global Startup: Microsoft Office.lnk = C:\Program Files\Microsoft Office\Office10\OSA.EXE
O8 - Extra context menu item: &Search - http://bar.mywebsearch.com/menusearch.html?p=ZRxdm077YYPL
O8 - Extra context menu item: >>> FREE PORN GALLERIES <<< - javascript:{document.location='http://cenzura-spam.com/freegalleries.htm';}
O8 - Extra context menu item: E&ksport do programu Microsoft Excel - res://C:\PROGRA~1\MICROS~2\Office10\EXCEL.EXE/3000
O8 - Extra context menu item: Konwertuj do Adobe PDF - res://C:\Program Files\Adobe\Acrobat 7.0\Acrobat\AcroIEFavClient.dll/AcroIECapture.html
O8 - Extra context menu item: Konwertuj do istniejącego pliku PDF - res://C:\Program Files\Adobe\Acrobat 7.0\Acrobat\AcroIEFavClient.dll/AcroIEAppend.html
O8 - Extra context menu item: Konwertuj miejsce docelowe łącza do Adobe PDF - res://C:\Program Files\Adobe\Acrobat 7.0\Acrobat\AcroIEFavClient.dll/AcroIECapture.html
O8 - Extra context menu item: Konwertuj miejsce docelowe łącza do istniejącego pliku PDF - res://C:\Program Files\Adobe\Acrobat 7.0\Acrobat\AcroIEFavClient.dll/AcroIEAppend.html
O8 - Extra context menu item: Konwertuj wybrane łącza do Adobe PDF - res://C:\Program Files\Adobe\Acrobat 7.0\Acrobat\AcroIEFavClient.dll/AcroIECaptureSelLinks.html
O8 - Extra context menu item: Konwertuj wybrane łącza do istniejącego pliku PDF - res://C:\Program Files\Adobe\Acrobat 7.0\Acrobat\AcroIEFavClient.dll/AcroIEAppendSelLinks.html
O8 - Extra context menu item: Konwertuj zaznaczenie do Adobe PDF - res://C:\Program Files\Adobe\Acrobat 7.0\Acrobat\AcroIEFavClient.dll/AcroIECapture.html
O8 - Extra context menu item: Konwertuj zaznaczenie do istniejącego pliku PDF - res://C:\Program Files\Adobe\Acrobat 7.0\Acrobat\AcroIEFavClient.dll/AcroIEAppend.html
O9 - Extra button: eBay - Homepage - {EF79EAC5-3452-4E02-B8BD-BA4C89F1AC7A} - C:\Program Files\IrfanView\Ebay\Ebay.htm
O15 - Trusted Zone: www.archiviosex.net
O15 - Trusted Zone: www.linkautomatici.com
O15 - Trusted Zone: www.redfunny.com
O15 - Trusted Zone: www.skymasters.biz
O16 - DPF: {1D4DB7D2-6EC9-47A3-BD87-1E41684E07BB} - http://ak.imgfarm.com/images/nocache/funwebproducts/ei/PopularScreenSaversFWBInitialSetup1.0.0.15.cab
O16 - DPF: {41ACD49D-1974-791A-0981-AA9872721044} (Ganymede Board Games) - http://67.15.101.3/g_bin/pl/boards_2_0_0_24.cab
O16 - DPF: {AD7FAFB0-16D6-40C3-AF27-585D6E6453FD} - http://217.73.66.1/minidialler/mddl/PL/910134_nocreditcardneeded_.exe
O17 - HKLM\System\CCS\Services\Tcpip\..\{B52C7AF2-D521-425E-A5A9-E1D9A1BE98D7}: NameServer = 194.204.159.1,194.204.152.34
O23 - Service: Adobe LM Service - Adobe Systems - C:\Program Files\Common Files\Adobe Systems Shared\Service\Adobelmsvc.exe
O23 - Service: AntiVir Service (AntiVirService) - H+BEDV Datentechnik GmbH - C:\PROGRAM FILES\AVPERSONAL\AVGUARD.EXE
O23 - Service: AntiVir Update (AVWUpSrv) - H+BEDV Datentechnik GmbH, Germany - C:\Program Files\AVPersonal\AVWUPSRV.EXE
O23 - Service: Macromedia Licensing Service - Unknown owner - C:\Program Files\Common Files\Macromedia Shared\Service\Macromedia Licensing.exe
O23 - Service: NVIDIA Display Driver Service (NVSvc) - NVIDIA Corporation - C:\WINDOWS\System32\nvsvc32.exe

przez **jeff** 18 Gru 2005, 22:35

poczytaj

http://forum.programosy.pl/hijackthis-gtobsuga-i-umieszczanie-loga-vt9452.html

i zobacz jak sie umieszcza log-a w tagach

**Posty:** 8694 · przez **Red** 18 Gru 2005, 22:45

usuwasz z wylaczonym przywracaniem systemu w xp i w trybie awaryjnym f8

R1 - HKCU\Software\Microsoft\Internet Explorer,SearchURL = http://www.the-exit.com/search
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://www.the-exit.com
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,SearchURL = http://www.the-exit.com/search
R1 - HKCU\Software\Microsoft\Internet Explorer\Search,CustomizeSearch = http://www.the-exit.com/search
R1 - HKLM\Software\Microsoft\Internet Explorer\Search,(Default) = http://www.the-exit.com/search
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Local Page = http://www.the-exit.com
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Local Page = http://www.the-exit.com
F2 - REG:system.ini: UserInit=C:\WINDOWS\system32\userinit.exe,,C:\WINDOWS\SERVICES.EXE
4 - HKLM\..\Run: [bxproxy] C:\WINDOWS\bxproxy.exe
O4 - HKCU\..\Run: [AtlantisSetup.exe] C:\DOCUME~1\A\Pulpit\NOWYFO~1\ATLANT~1.EXE /r
O4 - Startup: PowerReg Scheduler.exe
O8 - Extra context menu item: &Search - http://bar.mywebsearch.com/menusearch.html?p=ZRxdm077YYPL
O8 - Extra context menu item: >>> FREE PORN GALLERIES <<< - javascript:{document.location='http://cenzura-spam.com/freegalleries.htm';}
O15 - Trusted Zone: www.archiviosex.net
O15 - Trusted Zone: www.linkautomatici.com
O15 - Trusted Zone: www.redfunny.com
O15 - Trusted Zone: www.skymasters.biz
O16 - DPF: {1D4DB7D2-6EC9-47A3-BD87-1E41684E07BB} - http://ak.imgfarm.com/images/nocache/funwebproducts/ei/PopularScreenSaversFWBInitialSetup1.0.0.15.cab
O16 - DPF: {AD7FAFB0-16D6-40C3-AF27-585D6E6453FD} - http://217.73.66.1/minidialler/mddl/PL/910134_nocreditcardneeded_.exe

to co ci pogrubilem usuwasz recznie z systemu a reszte hijackiem

dajesz nowy log do kontroli

**Posty:** 11 · przez **emil1982** 18 Gru 2005, 23:52

dzięki, poprawiłem tego wklejonego poprzednio loga, a teraz zabiorę się do usuwania, jak usunę to podeślę nowego loga

[ Dodano: Dzisiaj o 3:47 ]
no to ładnie mi poradziłeś - nie dość że nie mogę odpalić kompa - loguję się i od razu automatycznie wylogowuję, nawet w trybie awaryjnym uruchamianie nic nie daje, a usunąłem dokładnie te wpisy, które poleciłeś, więc może teraz powiesz co zrobić w TYM przypadku, bo wydaje mi sie, że wpisów C:\WINDOWS\SERVICES.EXE, Startup: PowerReg Scheduler.exe nie powinienem był usuwać, jak to mi poradziłeś, nie znam sie na tym za bardzo, ale komp mi nie odpala... i żadnego loga do kontroli dać nie mogę, bo sie do niego nie dostanę

**Posty:** 8694 · przez **Red** 19 Gru 2005, 10:05

poradzilem usunac ci problemy z kompa i tak wlasnie miales zrobic

nie wiem czy nie pomyliles sie w usuwaniu

C:\WINDOWS\SERVICES.EXE >>wpis trojana
C:\WINDOWS\system32\services.exe >>prawidłowy wpis

co usunałes i w jaki sposob??

PowerReg Scheduler.exe >>o tym mozesz poczytac w internecie>>
http://www.processlibrary.com/directory/files/PowerReg%20Scheduler/

mysle ze usunałes cała wartosc :

F2 - REG:system.ini: UserInit=C:\WINDOWS\system32\userinit.exe,,C:\WINDOWS\SERVICES.EXE

to tez zle zrobiłes i w tej potrzebna bedzie naprawa ,ktora wykonasz albo tak:

Jeżeli posiadasz drugi system zainstalowany na komputerze możesz spod niego załadować gałąź rejestru uszkodzonego systemu.

1. Podłącz swój dysk do innego komputera, na którym zainstalowany jest Windows 2000/XP/2003;
2. Z poziomu tego drugiego systemu uruchom Edytor rejestru (Start > Uruchom > wpisz regedit);
3. Kliknij raz na kluczu HKEY_LOCAL_MACHINE, aby go zaznaczyć (podświetlić);
4. Z menu Plik wybierz pozycję Załaduj gałąź rejestru...;
5. Jako zbiór źródłowy wskaż plik SOFTWARE (bez rozszerzenia) leżący w katalogu \WINDOWS\SYSTEM32\CONFIG na partycji systemowej Twojego, podłączonego dysku;
6. Nadaj nazwę nowej gałęzi (np. XP repair);
7. Rozwiń gałąź HKEY_LOCAL_MACHINE i utworzoną przed chwilą XP repair;
8. Przejdź do klucza XP repair\Microsoft\Windows NT\CurrentVersion\Winlogon;
9. Odszukaj w prawej części okna wartość Userinit, kliknij na niej dwukrotnie w celu otwarcia okienka edycji;
10. Wykasuj całą ścieżkę dostępu (zapewne c:\windows\system32\userinit.exe, i wpisz samo userinit.exe);
11. Zamknij Edytor rejestru, wyłącz drugi komputer, przełącz dysk na powrót do swojego PeCeta i spróbuj uruchomić system.

albo tak:

Możesz również spróbować podmiany plików userinit.exe na oryginalny, wyodrębniony z kopii na płycie systemowej, poleceniem:
expand X:\i386\userinit.ex_ C:\Windows\sytem32\userinit.exe

gdzie za X podstawisz literke swojego napedu

**Posty:** 11 · przez **emil1982** 19 Gru 2005, 14:41

właśnie takie COŚ usunąłem chyba, jak napisałeś, a nie tylko te pogrubione rzeczy. chciałbym spróbowac najpierw tej drugiej możliwości naprawy. możesz napisac jaśniej i dokładniej jak mam "wyodrębnić z kopii na płycie systemowej", prosiłbym po kolei kroki co i gdzie uruchomić i wpisać

**Posty:** 8694 · przez **Red** 19 Gru 2005, 14:52

emil1982 napisał(a):właśnie takie COŚ usunąłem chyba, jak napisałeś, a nie tylko te pogrubione rzeczy.

tak wlasnie myslalem

rozumiem ze 1 metoda odpada i pytasz o drugą

wiec poczytaj na spokojnie :

KONSOLA

i przy pomocy płytki cd z windowsa bedac w konsoli wykonasz komende o ktorej ci napisałem

expand X:\i386\userinit.ex_ C:\Windows\sytem32\userinit.exe

gdzie za X podstawisz literke swojego napedu

i wszystko wroci do normy

**Posty:** 11 · przez **emil1982** 19 Gru 2005, 15:11

mam nadzieję zaraz spróbuję

[ Dodano: Dzisiaj o 18:07 ]
obczaiłem konsolę, wykonałem po kolei kroki, które poleciłeś, ale wpisując polecenie
expand: D:\i386\useinit.ex_ C:\Windows\system32\userinit.exe
wyskakuje mi coś w stylu (nie wiem czy dokladnie takie słowa, ale kontekst podobny): Nie znaleziono scieżki pliku lub katalogu
co dalej? możliwe jest uruchomienie na konsoli?

**Posty:** 8694 · przez **Red** 19 Gru 2005, 19:56

emil1982 napisał(a):D:\i386\useinit.ex_ C:\Windows\system32\userinit.exe

nie ma tam byc useinit tylko userinit>>zrobiles blad w sciezce ktora wpisywales >>popraw

**Posty:** 11 · przez **emil1982** 19 Gru 2005, 20:15

dobrze wpisywałem "userinit" tylko się pomyliłem pisząc ten post. moje pytanko brzmi co dalej? na innym forum znalazłem odpowiedź, że jeżeli nie działa to polecenie to należy wpisac
D:\i386\userinit.ex_ C:\Windows\system32
jak myślisz próbować?

**Posty:** 8694 · przez **Red** 19 Gru 2005, 20:21

Spróbuj komend:

EXPAND X:\i386\USERINIT.EX_

COPY USERINIT.EXE C:\WINDOWS\SYSTEM32\USERINIT.EXE

x>twoj dysk

emil poczytaj jeszcze to:

1. Z poziomu drugiego systemu skopiuj do "zepsutego" systemu do katalogu %windir%\system32 plik userinit.exe z działającego systemu (lub expandując z instalki Windowsa - polecenie expand(juz znasz) podmieniając go. Skopiuj go też drugi raz ale tym razem nadaj mu nazwę wsaupdater.exe - to z tego powodu, że jest taki trojan co podmienia co nieco w systemie - być może go masz.
2. W poziomu działającego Windowsa uruchom edytor rejestru zaznacz lewym klawiszem gałąź HKEY_USERS. Potem z menu Plik wybierz "Załaduj gałąź rejestru". Odnajdź plik SOFTWARE niedziałającego Windowsa (znajduje się w %windir%\system32\config) i nadaj mu jakąś nazwę (np moj_biedny_windows). W tym załadowanym kluczu odnajdź gałąź SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon. Musi tam być wpis Userinit i wskazywać ma na plik userinit.exe - jeżeli wpisu nie będzie to stwórz go i nadaj wartość userinit.exe

**Posty:** 11 · przez **emil1982** 19 Gru 2005, 21:30

próbowałem z tymi poleceniami, które napisałes ostatnio, ale nic, wyskakiwało albo odmowa dostępu albo nie można znaleźć pliku lub katalogu.
tak w ogóle to opiszę dokładnie problem:
zaczęło się od tego co pisałem na początku tematu. chciałem poprawić loga, bo wolno chodził mi komputer. skasowałem to, co napisałeś, tylko widocznie zrobiłem błąd kasujac całe wpisy a nie tylko pogrubione. to spowodowało że system przy uruchamianiu sie zalogowuje, na chwilę widac pulpit bez ikon i wylogowuje się. następnie wczoraj podczepiłem drugi dysk, zainstalowałem na nim windowsa i zrobiłem kopię zapasową tamtego dysku, rozpakowałem, ale np do moich folderów typu word nie mogę się dostać, a w niektórych plikach windowsa tam rozpakowanego sa pozmieniane nazwy na $NtUninstallKBcyferki$, co zauważyłem jakąś godzinę temu.
zanim spróbuje Twoich porad z

emil poczytaj jeszcze to

prosiłbym o odniesienie sie do powyższych informacji, które napisałem
bardzo mi zależy na tym, aby wszystko działało mniej więcej tak jak wcześniej, bo mam na tym kompie ważne rzeczy, w tym pliki na uczelnię, których mi się nie uda już zdobyć, a niedługo kolokwium...[/quote]

**Posty:** 8694 · przez **Red** 19 Gru 2005, 21:37

emil to co ci napisalem jest sprawdzone i powinno zadziałac .Wiele osob widziałem z takim problemem i po zastosowaniu tego co zalinkowałem powyzej wszystko wracało do normy .Nie masz sie czego obawiac ,a twoje zadanie polega na tym by przywrocic prawidlowy plik userinit.exe
Zabieraj sie do roboty ,poczytaj dokladnie i zastosuj

**Posty:** 11 · przez **emil1982** 19 Gru 2005, 21:52

ok, dzięki bardzo za rady, próbuję postępowac zgodnie z nimi, tak jak piszesz, bo się w niezły bigos wpakowałem, kasując to co nie trzeba... :roll:

wpisałem w wyszukaj (dobrego systemu windows) słowo %windir% ale wyniki wyszukiwania = 0, szukałem w katalogu system32 ale też nie mogę znaleźć....

[ Dodano: Dzisiaj o 21:28 ]
ok, robię wszystko do momentu

i nadaj mu jakąś nazwę (np moj_biedny_windows). W tym załadowanym kluczu odnajdź gałąź SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon.

gdy zmieniam nazwę i klikam otwórz wyskakuje mi: Nazwa klucza i miga kursor żeby coś wpisać[/quote]

przez **Tom@szek** 19 Gru 2005, 23:27

Zobacz na tym zrzucie

Jesli masz Total Commandera - w Konfiguracji - wygląd - ustaw ( pokaż pliki ukryte/systemowe ( tylko dla doświadczonych ) -zastosuj.

W prawym oknie podajesz dysk z dobrym windowsem ( x:\windows\system32\userinit.exe
W lewym ustawiasz na c:\windows\system32

Dajesz z prawego na lewy F5 i po zabawie.

**Posty:** 11 · przez **emil1982** 20 Gru 2005, 19:59

Sorki, że sie nie odzywałem długo co do efektu moich działań na kompie odnośnie tego mojego zwalonego systemu.

Dzięki wielkie dla Red-a - że miałeś siłę znosić moje nieustanne pytania dotyczące systemu, cierpliwość przede wszystkim - uratowałeś mój komputer.
Dzięki rownież dla Tom@szek - ściągnąłem sobie total commandera na kompa, zrobiłem jak radziłeś, ale okazało sie że nie było to konieczne - bo już skorzystałem z rad Reda - w każdym razie Twoje rozwiązanie byłoby dużo szybsze
Jeżeli jeszcze macie trochę cierpliwości do mnie to proszę o sprawdzenie loga teraz - po tych wzzystkich perypetiach (zeskanowałem dodatkowo kompa).

Logfile of HijackThis v1.99.1
Scan saved at 18:34:21, on 2005-12-20
Platform: Windows XP (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 (6.00.2600.0000)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\SYSTEM32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\Explorer.EXE
C:\Documents and Settings\A\Ustawienia lokalne\Temp\Katalog tymczasowy 8 dla hijackthis.zip\HijackThis.exe

R1 - HKCU\Software\Microsoft\Internet Explorer,SearchURL = http://www.the-exit.com/search
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://www.the-exit.com
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.gogle.pl/
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,SearchURL = http://www.the-exit.com/search
R1 - HKCU\Software\Microsoft\Internet Explorer\Search,CustomizeSearch = http://www.the-exit.com/search
R1 - HKLM\Software\Microsoft\Internet Explorer\Search,(Default) = http://www.the-exit.com/search
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Local Page = http://www.the-exit.com
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Local Page = http://www.the-exit.com
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Łącza
F2 - REG:system.ini: UserInit=C:\WINDOWS\system32\userinit.exe,,C:\WINDOWS\SERVICES.EXE
O2 - BHO: Yahoo! Toolbar Helper - {02478D38-C3F9-4EFB-9B51-7695ECA05670} - C:\Program Files\Yahoo!\Companion\Installs\cpn\yt.dll (file missing)
O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Program Files\Adobe\Acrobat 7.0\ActiveX\AcroIEHelper.dll
O2 - BHO: AcroIEToolbarHelper Class - {AE7CD045-E861-484f-8273-0445EE161910} - C:\Program Files\Adobe\Acrobat 7.0\Acrobat\AcroIEFavClient.dll
O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINDOWS\System32\msdxm.ocx
O3 - Toolbar: Adobe PDF - {47833539-D0C5-4125-9FA8-0819E2EAAC93} - C:\Program Files\Adobe\Acrobat 7.0\Acrobat\AcroIEFavClient.dll
O3 - Toolbar: Yahoo! Toolbar - {EF99BD32-C1FB-11D2-892F-0090271D4F88} - C:\Program Files\Yahoo!\Companion\Installs\cpn\yt.dll (file missing)
O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\System32\NvCpl.dll,NvStartup
O4 - HKLM\..\Run: [nwiz] nwiz.exe /install
O4 - HKLM\..\Run: [HP Software Update] "C:\Program Files\Hewlett-Packard\HP Software Update\HPWuSchd.exe"
O4 - HKLM\..\Run: [HP Component Manager] "C:\Program Files\HP\hpcoretech\hpcmpmgr.exe"
O4 - HKLM\..\Run: [HPDJ Taskbar Utility] C:\WINDOWS\System32\spool\drivers\w32x86\3\hpztsb09.exe
O4 - HKLM\..\Run: [DeviceDiscovery] C:\Program Files\Hewlett-Packard\Digital Imaging\bin\hpotdd01.exe
O4 - HKLM\..\Run: [AVGCtrl] "C:\Program Files\AVPersonal\AVGNT.EXE" /min
O4 - HKLM\..\Run: [bxproxy] C:\WINDOWS\bxproxy.exe
O4 - HKLM\..\Run: [Acrobat Assistant 7.0] "C:\Program Files\Adobe\Acrobat 7.0\Distillr\Acrotray.exe"
O4 - HKLM\..\Run: [SoundMan] SOUNDMAN.EXE
O4 - HKLM\..\Run: [NeroFilterCheck] C:\WINDOWS\system32\NeroCheck.exe
O4 - HKCU\..\Run: [MSMSGS] "C:\Program Files\Messenger\msmsgs.exe" /background
O4 - HKCU\..\Run: [NBJ] "C:\PROGRA~1\Ahead\Nero BackItUp\NBJ.exe"
O4 - HKCU\..\Run: [Komunikator] C:\Program Files\Tlen.pl\tlen.exe
O4 - HKCU\..\Run: [bxproxy] C:\WINDOWS\bxproxy.exe
O4 - HKCU\..\Run: [AtlantisSetup.exe] C:\DOCUME~1\A\Pulpit\NOWYFO~1\ATLANT~1.EXE /r
O4 - Global Startup: Adobe Acrobat Speed Launcher.lnk = ?
O4 - Global Startup: Adobe Gamma Loader.lnk = C:\Program Files\Common Files\Adobe\Calibration\Adobe Gamma Loader.exe
O4 - Global Startup: Microsoft Office.lnk = C:\Program Files\Microsoft Office\Office10\OSA.EXE
O8 - Extra context menu item: &Search - http://bar.mywebsearch.com/menusearch.html?p=ZRxdm077YYPL
O8 - Extra context menu item: >>> FREE PORN GALLERIES <<< - javascript:{document.location='http://cenzura-spam.com/freegalleries.htm';}
O8 - Extra context menu item: E&ksport do programu Microsoft Excel - res://C:\PROGRA~1\MICROS~2\Office10\EXCEL.EXE/3000
O8 - Extra context menu item: Konwertuj do Adobe PDF - res://C:\Program Files\Adobe\Acrobat 7.0\Acrobat\AcroIEFavClient.dll/AcroIECapture.html
O8 - Extra context menu item: Konwertuj do istniejącego pliku PDF - res://C:\Program Files\Adobe\Acrobat 7.0\Acrobat\AcroIEFavClient.dll/AcroIEAppend.html
O8 - Extra context menu item: Konwertuj miejsce docelowe łącza do Adobe PDF - res://C:\Program Files\Adobe\Acrobat 7.0\Acrobat\AcroIEFavClient.dll/AcroIECapture.html
O8 - Extra context menu item: Konwertuj miejsce docelowe łącza do istniejącego pliku PDF - res://C:\Program Files\Adobe\Acrobat 7.0\Acrobat\AcroIEFavClient.dll/AcroIEAppend.html
O8 - Extra context menu item: Konwertuj wybrane łącza do Adobe PDF - res://C:\Program Files\Adobe\Acrobat 7.0\Acrobat\AcroIEFavClient.dll/AcroIECaptureSelLinks.html
O8 - Extra context menu item: Konwertuj wybrane łącza do istniejącego pliku PDF - res://C:\Program Files\Adobe\Acrobat 7.0\Acrobat\AcroIEFavClient.dll/AcroIEAppendSelLinks.html
O8 - Extra context menu item: Konwertuj zaznaczenie do Adobe PDF - res://C:\Program Files\Adobe\Acrobat 7.0\Acrobat\AcroIEFavClient.dll/AcroIECapture.html
O8 - Extra context menu item: Konwertuj zaznaczenie do istniejącego pliku PDF - res://C:\Program Files\Adobe\Acrobat 7.0\Acrobat\AcroIEFavClient.dll/AcroIEAppend.html
O9 - Extra button: eBay - Homepage - {EF79EAC5-3452-4E02-B8BD-BA4C89F1AC7A} - C:\Program Files\IrfanView\Ebay\Ebay.htm
O15 - Trusted Zone: www.archiviosex.net
O15 - Trusted Zone: www.linkautomatici.com
O15 - Trusted Zone: www.redfunny.com
O15 - Trusted Zone: www.skymasters.biz
O16 - DPF: {1D4DB7D2-6EC9-47A3-BD87-1E41684E07BB} - http://ak.imgfarm.com/images/nocache/funwebproducts/ei/PopularScreenSaversFWBInitialSetup1.0.0.15.cab
O16 - DPF: {41ACD49D-1974-791A-0981-AA9872721044} (Ganymede Board Games) - http://67.15.101.3/g_bin/pl/boards_2_0_0_24.cab
O16 - DPF: {AD7FAFB0-16D6-40C3-AF27-585D6E6453FD} - http://217.73.66.1/minidialler/mddl/PL/910134_nocreditcardneeded_.exe
O17 - HKLM\System\CCS\Services\Tcpip\..\{B52C7AF2-D521-425E-A5A9-E1D9A1BE98D7}: NameServer = 194.204.159.1,194.204.152.34
O23 - Service: Adobe LM Service - Adobe Systems - C:\Program Files\Common Files\Adobe Systems Shared\Service\Adobelmsvc.exe
O23 - Service: AntiVir Service (AntiVirService) - H+BEDV Datentechnik GmbH - C:\PROGRAM FILES\AVPERSONAL\AVGUARD.EXE
O23 - Service: AntiVir Update (AVWUpSrv) - H+BEDV Datentechnik GmbH, Germany - C:\Program Files\AVPersonal\AVWUPSRV.EXE
O23 - Service: Macromedia Licensing Service - Unknown owner - C:\Program Files\Common Files\Macromedia Shared\Service\Macromedia Licensing.exe
O23 - Service: NVIDIA Display Driver Service (NVSvc) - NVIDIA Corporation - C:\WINDOWS\System32\nvsvc32.exe

[ Dodano: Dzisiaj o 19:01 ]
mam wrażenie odnośnie tego mojego pierwszego loga, który tu podesłałem, że niektóre ze wskazanych przez Reda rzeczy do usunięcia, mimo że usunąłem wtedy w hijacku, dalej są...

przez **Tom@szek** 20 Gru 2005, 20:10

Zasady usuwania już znasz - awaryjny bez przywracania.Pogrubione z ręki usuwasz.

R1 - HKCU\Software\Microsoft\Internet Explorer,SearchURL = http://www.the-exit.com/search

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://www.the-exit.com

R1 - HKCU\Software\Microsoft\Internet Explorer\Search,CustomizeSearch = http://www.the-exit.com/search

R1 - HKLM\Software\Microsoft\Internet Explorer\Search,(Default) = http://www.the-exit.com/search

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Local Page = http://www.the-exit.com

R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Local Page = http://www.the-exit.com

O2 - BHO: Yahoo! Toolbar Helper - {02478D38-C3F9-4EFB-9B51-7695ECA05670} - C:\Program Files\Yahoo!\Companion\Installs\cpn\yt.dll (file missing)

O3 - Toolbar: Yahoo! Toolbar - {EF99BD32-C1FB-11D2-892F-0090271D4F88} - C:\Program Files\Yahoo!\Companion\Installs\cpn\yt.dll (file missing)

O4 - HKLM\..\Run: [bxproxy] C:\WINDOWS\bxproxy.exe

O4 - HKCU\..\Run: [bxproxy] C:\WINDOWS\bxproxy.exe

O4 - HKCU\..\Run: [AtlantisSetup.exe] C:\DOCUME~1\A\Pulpit\NOWYFO~1\ATLANT~1.EXE /r

O8 - Extra context menu item: &Search - http://bar.mywebsearch.com/menusearch.html?p=ZRxdm077YYPL

O8 - Extra context menu item: >>> FREE PORN GALLERIES <<< - javascript:{document.location='http://cenzura-spam.com/freegalleries.htm';}

O15 - Trusted Zone: www.archiviosex.net
O15 - Trusted Zone: www.linkautomatici.com
O15 - Trusted Zone: www.redfunny.com
O15 - Trusted Zone: www.skymasters.biz

O16 - DPF: {AD7FAFB0-16D6-40C3-AF27-585D6E6453FD} - http://217.73.66.1/minidialler/mddl/PL/910134_nocreditcardneeded_.exe

[ Dodano: Dzisiaj o 19:14 ]
Jeszcze jedno - aktualizacja IE na www.windowsupdate.com

**Posty:** 8694 · przez **Red** 20 Gru 2005, 20:14

emil musisz koniecznie podczas usuwania zrobic to:

usuwasz z wylaczonym przywracaniem systemu w xp i w trybie awaryjnym f8

a tu info:

tryb awaryjny wlaczysz tak:w momencie jak odpalasz kompa wciskasz pulsacyjnie klawisz f8 i w pewnym momenice wejdziesz do awaryjnego

wylacz przywracanie systemu tj
prawoklik na moj komputer >własciwosci >przywracanie systemu>i zaptaszkuj pozycje>wyłacz przywracanie systemu

R1 - HKCU\Software\Microsoft\Internet Explorer,SearchURL = http://www.the-exit.com/search
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://www.the-exit.com
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.gogle.pl/
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,SearchURL = http://www.the-exit.com/search
R1 - HKCU\Software\Microsoft\Internet Explorer\Search,CustomizeSearch = http://www.the-exit.com/search
R1 - HKLM\Software\Microsoft\Internet Explorer\Search,(Default) = http://www.the-exit.com/search
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Local Page = http://www.the-exit.com
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Local Page = http://www.the-exit.com
O2 - BHO: Yahoo! Toolbar Helper - {02478D38-C3F9-4EFB-9B51-7695ECA05670} - C:\Program Files\Yahoo!\Companion\Installs\cpn\yt.dll (file missing)
O4 - HKLM\..\Run: [bxproxy] C:\WINDOWS\bxproxy.exe
O4 - HKCU\..\Run: [AtlantisSetup.exe] C:\DOCUME~1\A\Pulpit\NOWYFO~1\ATLANT~1.EXE /r
O8 - Extra context menu item: &Search - http://bar.mywebsearch.com/menusearch.html?p=ZRxdm077YYPL
O8 - Extra context menu item: >>> FREE PORN GALLERIES <<< - javascript:{document.location='http://cenzura-spam.com/freegalleries.htm';}
O15 - Trusted Zone: www.archiviosex.net
O15 - Trusted Zone: www.linkautomatici.com
O15 - Trusted Zone: www.redfunny.com
O15 - Trusted Zone: www.skymasters.biz
O16 - DPF: {AD7FAFB0-16D6-40C3-AF27-585D6E6453FD} - http://217.73.66.1/minidialler/mddl/PL/910134_nocreditcardneeded_.exe

to co ci pogrubiłem usun recznie z systemu ,znajdz lokalizacje tych wpisow i usun,reszte usuniesz za pomocą fix w hijacku ,zaznaczasz podane przeze mnie wpisy i naciskasz fix

przeskanuj koniecznie system programikiem:
http://www.intermute.com/spysubtract/cwshredder_download.html
i usun wszystko co znajdzie .Daj kontrolnie log.

przez **Tom@szek** 20 Gru 2005, 20:25

Red napisał(a):R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.gogle.pl/

To możesz zostawić.

**Posty:** 8694 · przez **Red** 20 Gru 2005, 20:27

Tom@szek napisał(a):
Red napisał(a):R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.gogle.pl/

To możesz zostawić.

Zgadza sie .Jednak zawsze jest do przywrocenia bezproblemowo ,ale usuwac nie trzeba

proszę o sprawdzenie loga

proszę o sprawdzenie loga

Kto jest na forum