proszę o sprawdzenie

**Posty:** 68 · przez **Kajtek** 06 Paź 2007, 10:51

witam, jestem swiezo po formacie a juz mi sie jakis syf wepchnal na kompa

w zasadzie zbyt szkodliwy nie jest, ale jednak jest objawow jako takich nie ma, procz okienka ktore wyskakuje co jakis czas (np. kiedy chce usunac syfa z dodaj/usun programy) ponizej podaje link do ImageShack ze screenem

ponadto pojawila sie ikonka na C:/. ktora rowniez jest widoczna na screenie.

no i pora na logi:

Logfile of Trend Micro HijackThis v2.0.2
Scan saved at 10:41:39, on 2007-10-06
Platform: Windows XP (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 (6.00.2600.0000)
Boot mode: Normal

Running processes:
D:\WINDOWS\System32\smss.exe
D:\WINDOWS\system32\winlogon.exe
D:\WINDOWS\system32\services.exe
D:\WINDOWS\system32\lsass.exe
D:\WINDOWS\system32\svchost.exe
D:\WINDOWS\System32\svchost.exe
D:\WINDOWS\system32\spoolsv.exe
D:\WINDOWS\Explorer.exe
D:\WINDOWS\System32\RUNDLL32.EXE
D:\WINDOWS\System32\CTHELPER.EXE
D:\WINDOWS\System32\ctfmon.exe
D:\Program Files\INTERIAPL\Stefan\Stefan.exe
D:\WINDOWS\LBTSERV.EXE
D:\WINDOWS\System32\nvsvc32.exe
C:\Program Files\RivChat2\RivChat.exe
C:\Program Files\Winamp\winamp.exe
C:\PROGRA~1\Steam\Steam.exe
D:\Program Files\Mozilla Firefox\firefox.exe
D:\Documents and Settings\kajtek\Pulpit\HiJackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Łącza
F2 - REG:system.ini: Shell=Explorer.exe %WINDIR%\LBTSERV.EXE
O2 - BHO: SSVHelper Class - {761497BB-D6F0-462C-B6EB-D4DAF1D92D43} - D:\Program Files\Java\jre1.6.0_03\bin\ssv.dll
O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - D:\WINDOWS\System32\msdxm.ocx
O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE D:\WINDOWS\System32\NvCpl.dll,NvStartup
O4 - HKLM\..\Run: [nwiz] nwiz.exe /install
O4 - HKLM\..\Run: [NvMediaCenter] RUNDLL32.EXE D:\WINDOWS\System32\NvMcTray.dll,NvTaskbarInit
O4 - HKLM\..\Run: [WINDVDPatch] CTHELPER.EXE
O4 - HKLM\..\Run: [UpdReg] D:\WINDOWS\UpdReg.EXE
O4 - HKLM\..\Run: [Jet Detection] "D:\Program Files\Creative\SBLive\PROGRAM\ADGJDet.exe"
O4 - HKLM\..\Run: [SunJavaUpdateSched] "D:\Program Files\Java\jre1.6.0_03\bin\jusched.exe"
O4 - HKCU\..\Run: [CTFMON.EXE] D:\WINDOWS\System32\ctfmon.exe
O4 - HKCU\..\Run: [MSMSGS] "D:\Program Files\Messenger\msmsgs.exe" /background
O4 - HKCU\..\Run: [Steam] C:\Program Files\Steam\Steam.exe -silent
O4 - HKUS\S-1-5-19\..\Run: [CTFMON.EXE] D:\WINDOWS\System32\CTFMON.EXE (User '?')
O4 - HKUS\S-1-5-20\..\Run: [CTFMON.EXE] D:\WINDOWS\System32\CTFMON.EXE (User '?')
O4 - HKUS\S-1-5-21-1214440339-1450960922-682003330-1003\..\Run: [CTFMON.EXE] D:\WINDOWS\System32\ctfmon.exe (User '?')
O4 - HKUS\S-1-5-18\..\Run: [CTFMON.EXE] D:\WINDOWS\System32\CTFMON.EXE (User '?')
O4 - HKUS\.DEFAULT\..\Run: [CTFMON.EXE] D:\WINDOWS\System32\CTFMON.EXE (User 'Default user')
O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - D:\Program Files\Java\jre1.6.0_03\bin\ssv.dll
O9 - Extra 'Tools' menuitem: Sun Java Console - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - D:\Program Files\Java\jre1.6.0_03\bin\ssv.dll
O9 - Extra button: Related - {c95fe080-8f5d-11d2-a20b-00aa003c157a} - D:\WINDOWS\web\related.htm
O9 - Extra 'Tools' menuitem: Show &Related Links - {c95fe080-8f5d-11d2-a20b-00aa003c157a} - D:\WINDOWS\web\related.htm
O20 - Winlogon Notify: mszsrn32 - D:\WINDOWS\system32\mszsrn32.dll
O23 - Service: Logitech Inc - Unknown owner - D:\WINDOWS\LBTSERV.EXE
O23 - Service: NVIDIA Display Driver Service (NVSvc) - NVIDIA Corporation - D:\WINDOWS\System32\nvsvc32.exe

--
End of file - 3156 bytes

z gory dziekuje

**Posty:** 18165 · przez **wojtas** 06 Paź 2007, 10:55

Użyj WWDC :
http://www.firewallleaktester.com/wwdc.htm
Zmień opcje z disable na enable. Uruchom ponownie komputer.
Tak powinny wyglądać porty (NetBIOS może być żółty) :
http://www.firewallleaktester.com/images_site/wwdc.jpg

D:\WINDOWS\LBTSERV.EXE

ten plik ^^ przeskanuj tu:

http://virusscan.jotti.org/
http://www.virustotal.com/

i daj raporty z wyniku skanu

potem skasuj w hijacku te wpisy:

O9 - Extra button: Related - {c95fe080-8f5d-11d2-a20b-00aa003c157a} - D:\WINDOWS\web\related.htm
O9 - Extra 'Tools' menuitem: Show &Related Links - {c95fe080-8f5d-11d2-a20b-00aa003c157a} - D:\WINDOWS\web\related.htm
O20 - Winlogon Notify: mszsrn32 - D:\WINDOWS\system32\mszsrn32.dll

sciagnij killbox’a

Odpalasz Killboxa zaznacz opcję Delete on Reboot następnie w polu Full Path of File to Delete wklej ścieżkę

D:\WINDOWS\system32\mszsrn32.dll

i nacisnij x
Program będzie pytał o restart (oczywiście zgadzasz się)

potem nowy log z hijacka raporty oraz log z combofixa

**Posty:** 68 · przez **Kajtek** 09 Paź 2007, 23:40

sry ze dopiero teraz ale wczesniej nie moglem.

wiec tak, zrobione wszystko oprocz tych skanow na www, a to dlatego ze nie mam w D:\WINDOWS tego pliku :wow:

i jeszcze jedna sprawa, jak wlaczalem kompa w trybie awaryjnym to wyskoczyl mi ekran wyboru profilu O.o byl moj profil czyli "kajtek" oraz profil ktory znajdowal sie wyzej i nazywal sie "Administrator" tylko problem w tym ze ja zadnego takiego profilu nie tworzylem ~~ tam tez patrzalem za tym plikiem do przeskanowanie i ni ma...

ponizej logi z hijackthis

Logfile of Trend Micro HijackThis v2.0.2
Scan saved at 23:32:47, on 2007-10-09
Platform: Windows XP (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 (6.00.2600.0000)
Boot mode: Normal

Running processes:
D:\WINDOWS\System32\smss.exe
D:\WINDOWS\system32\winlogon.exe
D:\WINDOWS\system32\services.exe
D:\WINDOWS\system32\lsass.exe
D:\WINDOWS\system32\svchost.exe
D:\WINDOWS\System32\svchost.exe
D:\WINDOWS\system32\spoolsv.exe
D:\WINDOWS\Explorer.exe
D:\WINDOWS\LBTSERV.EXE
D:\WINDOWS\System32\nvsvc32.exe
D:\WINDOWS\System32\PAStiSvc.exe
D:\WINDOWS\System32\svchost.exe
D:\WINDOWS\System32\RUNDLL32.EXE
D:\WINDOWS\System32\CTHELPER.EXE
D:\Program Files\Java\jre1.6.0_03\bin\jusched.exe
D:\WINDOWS\System32\ctfmon.exe
C:\Program Files\Steam\Steam.exe
C:\Program Files\RivChat2\RivChat.exe
D:\Documents and Settings\kajtek\Pulpit\HiJackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Łącza
F2 - REG:system.ini: Shell=Explorer.exe %WINDIR%\LBTSERV.EXE
O2 - BHO: SSVHelper Class - {761497BB-D6F0-462C-B6EB-D4DAF1D92D43} - D:\Program Files\Java\jre1.6.0_03\bin\ssv.dll
O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - D:\WINDOWS\System32\msdxm.ocx
O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE D:\WINDOWS\System32\NvCpl.dll,NvStartup
O4 - HKLM\..\Run: [nwiz] nwiz.exe /install
O4 - HKLM\..\Run: [NvMediaCenter] RUNDLL32.EXE D:\WINDOWS\System32\NvMcTray.dll,NvTaskbarInit
O4 - HKLM\..\Run: [WINDVDPatch] CTHELPER.EXE
O4 - HKLM\..\Run: [UpdReg] D:\WINDOWS\UpdReg.EXE
O4 - HKLM\..\Run: [Jet Detection] "D:\Program Files\Creative\SBLive\PROGRAM\ADGJDet.exe"
O4 - HKLM\..\Run: [SunJavaUpdateSched] "D:\Program Files\Java\jre1.6.0_03\bin\jusched.exe"
O4 - HKCU\..\Run: [CTFMON.EXE] D:\WINDOWS\System32\ctfmon.exe
O4 - HKCU\..\Run: [MSMSGS] "D:\Program Files\Messenger\msmsgs.exe" /background
O4 - HKCU\..\Run: [Steam] C:\Program Files\Steam\Steam.exe -silent
O4 - HKUS\S-1-5-19\..\Run: [CTFMON.EXE] D:\WINDOWS\System32\CTFMON.EXE (User 'USŁUGA LOKALNA')
O4 - HKUS\S-1-5-20\..\Run: [CTFMON.EXE] D:\WINDOWS\System32\CTFMON.EXE (User 'USŁUGA SIECIOWA')
O4 - HKUS\S-1-5-18\..\Run: [CTFMON.EXE] D:\WINDOWS\System32\CTFMON.EXE (User 'SYSTEM')
O4 - HKUS\.DEFAULT\..\Run: [CTFMON.EXE] D:\WINDOWS\System32\CTFMON.EXE (User 'Default user')
O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - D:\Program Files\Java\jre1.6.0_03\bin\ssv.dll
O9 - Extra 'Tools' menuitem: Sun Java Console - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - D:\Program Files\Java\jre1.6.0_03\bin\ssv.dll
O23 - Service: Logitech Inc - Unknown owner - D:\WINDOWS\LBTSERV.EXE
O23 - Service: NVIDIA Display Driver Service (NVSvc) - NVIDIA Corporation - D:\WINDOWS\System32\nvsvc32.exe
O23 - Service: STI Simulator - Unknown owner - D:\WINDOWS\System32\PAStiSvc.exe

--
End of file - 2858 bytes

oraz combofix

ComboFix 07-10-09.3 - kajtek 2007-10-09 23:37:40.1 - NTFSx86
Microsoft Windows XP Professional 5.1.2600.0.1250.1.1045.18.427 [GMT 2:00]
Running from: D:\Documents and Settings\kajtek\Pulpit\ComboFix.exe
.

((((((((((((((((((((((((( Files Created from 2007-09-09 to 2007-10-09 )))))))))))))))))))))))))))))))
.

2007-10-09 23:37 51,200 --a------ D:\WINDOWS\NirCmd.exe
2007-10-09 23:28 <DIR> d-------- D:\!KillBox
2007-10-09 23:18 <DIR> d--h----- D:\Documents and Settings\Administrator\Ustawienia lokalne
2007-10-09 23:18 <DIR> d-------- D:\Documents and Settings\Administrator\Ulubione
2007-10-09 23:18 <DIR> d--h----- D:\Documents and Settings\Administrator\Szablony
2007-10-09 23:18 <DIR> d-------- D:\Documents and Settings\Administrator\Pulpit
2007-10-09 23:18 <DIR> d-------- D:\Documents and Settings\Administrator\Moje dokumenty
2007-10-09 23:18 <DIR> dr------- D:\Documents and Settings\Administrator\Menu Start
2007-10-09 23:18 <DIR> dr-h----- D:\Documents and Settings\Administrator\Dane aplikacji
2007-10-09 11:27 <DIR> d-------- D:\Program Files\ffdshow
2007-10-09 11:09 499,712 --a------ D:\WINDOWS\system32\msvcp71.dll
2007-10-06 15:14 <DIR> d-------- D:\WINDOWS\PixArt
2007-10-06 15:14 <DIR> d-------- D:\Program Files\PC Camer@
2007-10-06 15:14 <DIR> d-------- D:\Program Files\Common Files\PCCamera
2007-10-06 14:39 <DIR> d-------- D:\WUTemp
2007-10-06 14:39 182,880 --a------ D:\WINDOWS\system32\iuengine.dll
2007-10-06 08:49 <DIR> d-------- D:\Program Files\DC++
2007-10-05 22:35 348,160 --a------ D:\WINDOWS\system32\msvcr71.dll
2007-10-05 22:08 737,280 --a------ D:\WINDOWS\iun6002.exe
2007-10-05 22:05 <DIR> d-------- D:\Program Files\MarBit
2007-10-05 17:39 57,088 --a------ D:\WINDOWS\system32\drivers\redbook.sys
2007-10-05 17:39 3,072 --a------ D:\WINDOWS\system32\drivers\audstub.sys
2007-10-05 17:38 70,144 --a------ D:\WINDOWS\system32\usbui.dll
2007-10-05 17:38 27,165 --a------ D:\WINDOWS\system32\drivers\fetnd5.sys
2007-10-05 17:38 23,070 --a------ D:\WINDOWS\system32\drivers\RTL8139.sys
2007-10-05 17:38 3,712 --a------ D:\WINDOWS\system32\drivers\ctljystk.sys

.
(((((((((((((((((((((((((((((((((((((((( Find3M Report ))))))))))))))))))))))))))))))))))))))))))))))))))))
.
2007-10-09 21:32 42,496 ----a-w D:\WINDOWS\system32\ftp.exe
2007-10-09 21:32 16,896 ----a-w D:\WINDOWS\system32\tftp.exe
2007-10-06 13:15 --------- d--h--w D:\Program Files\InstallShield Installation Information
2007-10-06 13:14 --------- d-----w D:\Program Files\Common Files\InstallShield
2007-10-06 12:32 --------- d-----w D:\Program Files\INTERIAPL
2007-10-05 19:54 --------- d-----w D:\Program Files\Winamp
2007-10-05 19:48 --------- d--h--w D:\Program Files\Common Files\Carlson
2007-10-05 19:41 644,608 --sh--r D:\WINDOWS\LBTSERV.EXE
2007-10-05 19:41 133,120 ----a-w D:\WINDOWS\system32\sfc_os.dll
2007-10-05 19:34 --------- d-----w D:\Documents and Settings\kajtek\Dane aplikacji\INTERIAPL
2007-10-05 19:32 --------- d-----w D:\Documents and Settings\All Users\Dane aplikacji\NVIDIA
2007-10-05 19:29 --------- d-----w D:\Program Files\Creative
2007-10-05 19:19 --------- d-----w D:\Program Files\microsoft frontpage
2007-10-05 19:16 --------- d-----w D:\Program Files\Usługi online
.

((((((((((((((((((((((((((((((((((((( Reg Loading Points ))))))))))))))))))))))))))))))))))))))))))))))))))
.
.
*Note* empty entries & legit default entries are not shown

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
"NvCplDaemon"="D:\WINDOWS\System32\NvCpl.dll" [2006-10-22 12:22]
"nwiz"="nwiz.exe" [2006-10-22 12:22 D:\WINDOWS\system32\nwiz.exe]
"NvMediaCenter"="D:\WINDOWS\System32\NvMcTray.dll" [2006-10-22 12:22]
"WINDVDPatch"="CTHELPER.EXE" [2002-07-02 17:56 D:\WINDOWS\system32\CTHELPER.EXE]
"UpdReg"="D:\WINDOWS\UpdReg.EXE" [2000-05-11 01:00]
"Jet Detection"="D:\Program Files\Creative\SBLive\PROGRAM\ADGJDet.exe" [2001-11-29 01:00]
"SunJavaUpdateSched"="D:\Program Files\Java\jre1.6.0_03\bin\jusched.exe" [2007-09-25 01:11]

[HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
"CTFMON.EXE"="D:\WINDOWS\System32\ctfmon.exe" [2001-10-26 19:29]
"MSMSGS"="D:\Program Files\Messenger\msmsgs.exe" [2001-08-02 07:14]
"Steam"="C:\Program Files\Steam\Steam.exe" [2007-10-06 10:33]

R2 Logitech Inc;Logitech Inc;"D:\WINDOWS\LBTSERV.EXE"
S3 PAC207;SoC PC-Camer@;D:\WINDOWS\System32\DRIVERS\pfc027.sys

*Newly Created Service* - CATCHME
.
**************************************************************************

catchme 0.3.1169 W2K/XP/Vista - rootkit/stealth malware detector by Gmer, http://www.gmer.net
Rootkit scan 2007-10-09 23:38:35
Windows 5.1.2600 NTFS

scanning hidden processes ...

scanning hidden autostart entries ...

scanning hidden files ...

scan completed successfully
hidden files: 0

**************************************************************************
.
Completion time: 2007-10-09 23:39:24
.
--- E O F ---

**Posty:** 3854 · przez **Dzi@dek** 09 Paź 2007, 23:44

F2 - REG:system.ini: Shell=Explorer.exe %WINDIR%\LBTSERV.EXE
O4 - HKLM\..\Run: [UpdReg] D:\WINDOWS\UpdReg.EXE

Usuń te wpisy.

Kajtek napisał(a):nazywal sie "Administrator" tylko problem w tym ze ja zadnego takiego profilu nie tworzylem

Ten profil tworzy się automatycznie przy instalacji windy.

**Posty:** 8694 · przez **Red** 10 Paź 2007, 09:23

Tom@szek napisał(a):O4 - HKLM\..\Run: [UpdReg] D:\WINDOWS\UpdReg.EXE

to wyłącz z autostartu

**Posty:** 68 · przez **Kajtek** 10 Paź 2007, 09:44

a jak to wylaczyc? ;p

**Posty:** 8694 · przez **Red** 10 Paź 2007, 09:46

start>uruchom>wpisz:msconfig,wejdz w zakładkę >uruchamianie i tam odptaszkuj

**Posty:** 68 · przez **Kajtek** 10 Paź 2007, 10:27

ok, gotowe jednak ikonka na C dalej jest ;p i w dodaj/usun tez nadal siedzi Carlson Dialer

nizej logi z hijacckthis

Logfile of Trend Micro HijackThis v2.0.2
Scan saved at 10:26:36, on 2007-10-10
Platform: Windows XP (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 (6.00.2600.0000)
Boot mode: Normal

Running processes:
D:\WINDOWS\System32\smss.exe
D:\WINDOWS\system32\winlogon.exe
D:\WINDOWS\system32\services.exe
D:\WINDOWS\system32\lsass.exe
D:\WINDOWS\system32\svchost.exe
D:\WINDOWS\System32\svchost.exe
D:\WINDOWS\system32\spoolsv.exe
D:\WINDOWS\Explorer.EXE
D:\WINDOWS\System32\nvsvc32.exe
D:\WINDOWS\System32\PAStiSvc.exe
D:\WINDOWS\System32\svchost.exe
D:\WINDOWS\System32\RUNDLL32.EXE
D:\WINDOWS\System32\CTHELPER.EXE
D:\Program Files\Java\jre1.6.0_03\bin\jusched.exe
D:\WINDOWS\System32\ctfmon.exe
D:\Program Files\Mozilla Firefox\firefox.exe
D:\Documents and Settings\kajtek\Pulpit\HiJackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Łącza
O2 - BHO: SSVHelper Class - {761497BB-D6F0-462C-B6EB-D4DAF1D92D43} - D:\Program Files\Java\jre1.6.0_03\bin\ssv.dll
O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - D:\WINDOWS\System32\msdxm.ocx
O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE D:\WINDOWS\System32\NvCpl.dll,NvStartup
O4 - HKLM\..\Run: [nwiz] nwiz.exe /install
O4 - HKLM\..\Run: [NvMediaCenter] RUNDLL32.EXE D:\WINDOWS\System32\NvMcTray.dll,NvTaskbarInit
O4 - HKLM\..\Run: [WINDVDPatch] CTHELPER.EXE
O4 - HKLM\..\Run: [Jet Detection] "D:\Program Files\Creative\SBLive\PROGRAM\ADGJDet.exe"
O4 - HKLM\..\Run: [SunJavaUpdateSched] "D:\Program Files\Java\jre1.6.0_03\bin\jusched.exe"
O4 - HKLM\..\Run: [MSConfig] D:\WINDOWS\PCHealth\HelpCtr\Binaries\MSConfig.exe /auto
O4 - HKCU\..\Run: [CTFMON.EXE] D:\WINDOWS\System32\ctfmon.exe
O4 - HKCU\..\Run: [MSMSGS] "D:\Program Files\Messenger\msmsgs.exe" /background
O4 - HKUS\S-1-5-19\..\Run: [CTFMON.EXE] D:\WINDOWS\System32\CTFMON.EXE (User 'USŁUGA LOKALNA')
O4 - HKUS\S-1-5-20\..\Run: [CTFMON.EXE] D:\WINDOWS\System32\CTFMON.EXE (User 'USŁUGA SIECIOWA')
O4 - HKUS\S-1-5-18\..\Run: [CTFMON.EXE] D:\WINDOWS\System32\CTFMON.EXE (User 'SYSTEM')
O4 - HKUS\.DEFAULT\..\Run: [CTFMON.EXE] D:\WINDOWS\System32\CTFMON.EXE (User 'Default user')
O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - D:\Program Files\Java\jre1.6.0_03\bin\ssv.dll
O9 - Extra 'Tools' menuitem: Sun Java Console - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - D:\Program Files\Java\jre1.6.0_03\bin\ssv.dll
O23 - Service: NVIDIA Display Driver Service (NVSvc) - NVIDIA Corporation - D:\WINDOWS\System32\nvsvc32.exe
O23 - Service: STI Simulator - Unknown owner - D:\WINDOWS\System32\PAStiSvc.exe

--
End of file - 2643 bytes

**Posty:** 8694 · przez **Red** 10 Paź 2007, 10:42

Kajtek napisał(a):gotowe jednak ikonka na C dalej jest ;p i w dodaj/usun tez nadal siedzi Carlson Dialer

spróbuj go wywalić programem:

http://www.programosy.pl/program,unlocker.html

zastosuj również:

http://siri.urz.free.fr/Fix/SmitfraudFix.zip

odpal go z opcji 2

Dodatkowo spróbuj jeszcze usunąć killboxem ścieżkę:

D:\WINDOWS\m9r2h2z5l7v8.exe

**Posty:** 68 · przez **Kajtek** 10 Paź 2007, 10:49

ok ikonka zniknela ale Carlson dalej twardo siedzi, daje raport z SmitfraudFix

SmitFraudFix v2.240

Scan done at 10:46:39,90, 2007-10-10
Run from D:\Documents and Settings\kajtek\Pulpit\SmitfraudFix\SmitfraudFix
OS: Microsoft Windows XP [Wersja 5.1.2600] - Windows_NT
The filesystem type is NTFS
Fix run in normal mode

»»»»»»»»»»»»»»»»»»»»»»»» SharedTaskScheduler Before SmitFraudFix
!!!Attention, following keys are not inevitably infected!!!

SrchSTS.exe by S!Ri
Search SharedTaskScheduler's .dll

»»»»»»»»»»»»»»»»»»»»»»»» Killing process

»»»»»»»»»»»»»»»»»»»»»»»» hosts

127.0.0.1 localhost

»»»»»»»»»»»»»»»»»»»»»»»» Winsock2 Fix

S!Ri's WS2Fix: LSP not Found.

»»»»»»»»»»»»»»»»»»»»»»»» Generic Renos Fix

GenericRenosFix by S!Ri

»»»»»»»»»»»»»»»»»»»»»»»» Deleting infected files

»»»»»»»»»»»»»»»»»»»»»»»» DNS

Description: Karta Fast Ethernet zgodna z VIA - Sterownik miniport Harmonogramu pakietów
DNS Server Search Order: 194.150.197.220
DNS Server Search Order: 194.150.197.240

HKLM\SYSTEM\CCS\Services\Tcpip\..\{867A0606-216B-44AD-828F-3F608471721B}: DhcpNameServer=194.150.197.220 194.150.197.240
HKLM\SYSTEM\CS1\Services\Tcpip\..\{867A0606-216B-44AD-828F-3F608471721B}: DhcpNameServer=194.150.197.220 194.150.197.240
HKLM\SYSTEM\CS2\Services\Tcpip\..\{867A0606-216B-44AD-828F-3F608471721B}: DhcpNameServer=194.150.197.220 194.150.197.240
HKLM\SYSTEM\CCS\Services\Tcpip\Parameters: DhcpNameServer=194.150.197.220 194.150.197.240
HKLM\SYSTEM\CS1\Services\Tcpip\Parameters: DhcpNameServer=194.150.197.220 194.150.197.240
HKLM\SYSTEM\CS2\Services\Tcpip\Parameters: DhcpNameServer=194.150.197.220 194.150.197.240

»»»»»»»»»»»»»»»»»»»»»»»» Deleting Temp Files

»»»»»»»»»»»»»»»»»»»»»»»» Winlogon.System
!!!Attention, following keys are not inevitably infected!!!

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon]
"System"=""

»»»»»»»»»»»»»»»»»»»»»»»» Registry Cleaning

Registry Cleaning done.

»»»»»»»»»»»»»»»»»»»»»»»» SharedTaskScheduler After SmitFraudFix
!!!Attention, following keys are not inevitably infected!!!

SrchSTS.exe by S!Ri
Search SharedTaskScheduler's .dll

»»»»»»»»»»»»»»»»»»»»»»»» End

a jak daje ta sciezke do killboxa to wyskakuje napis ze taki plik nie istnieje

**Posty:** 18165 · przez **wojtas** 10 Paź 2007, 15:52

D:\Program Files\Common Files\Carlson

usun pogrubiony

Odpalasz Killboxa zaznacz opcję Delete on Reboot następnie w polu Full Path of File to Delete wklej ścieżkę

C:\WINDOWS\m9r2h2z5l7v8.exe

i nacisnij x
Program będzie pytał o restart (oczywiście zgadzasz się)

Autor postu otrzymał pochwałę

**Posty:** 68 · przez **Kajtek** 10 Paź 2007, 20:53

folder usunalem a jak wpisuje ta sciezke do killboxa to wyskakuje taki blad:

probowalem na dyskach C i D i to samo sie pojawia

**Posty:** 18165 · przez **wojtas** 10 Paź 2007, 20:55

czyli pliku nie wykrywa daj nowe logi

**Posty:** 68 · przez **Kajtek** 10 Paź 2007, 21:00

Logfile of Trend Micro HijackThis v2.0.2
Scan saved at 20:56:06, on 2007-10-10
Platform: Windows XP (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 (6.00.2600.0000)
Boot mode: Normal

Running processes:
D:\WINDOWS\System32\smss.exe
D:\WINDOWS\system32\winlogon.exe
D:\WINDOWS\system32\services.exe
D:\WINDOWS\system32\lsass.exe
D:\WINDOWS\system32\svchost.exe
D:\WINDOWS\System32\svchost.exe
D:\WINDOWS\system32\spoolsv.exe
D:\WINDOWS\System32\nvsvc32.exe
D:\WINDOWS\System32\PAStiSvc.exe
D:\WINDOWS\System32\svchost.exe
D:\WINDOWS\System32\RUNDLL32.EXE
D:\WINDOWS\System32\CTHELPER.EXE
D:\Program Files\Java\jre1.6.0_03\bin\jusched.exe
D:\WINDOWS\System32\ctfmon.exe
D:\Program Files\Unlocker\UnlockerAssistant.exe
D:\WINDOWS\explorer.exe
D:\Program Files\INTERIAPL\Stefan\Stefan.exe
C:\Program Files\RivChat2\RivChat.exe
D:\Documents and Settings\kajtek\Pulpit\HiJackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Łącza
O2 - BHO: SSVHelper Class - {761497BB-D6F0-462C-B6EB-D4DAF1D92D43} - D:\Program Files\Java\jre1.6.0_03\bin\ssv.dll
O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - D:\WINDOWS\System32\msdxm.ocx
O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE D:\WINDOWS\System32\NvCpl.dll,NvStartup
O4 - HKLM\..\Run: [nwiz] nwiz.exe /install
O4 - HKLM\..\Run: [NvMediaCenter] RUNDLL32.EXE D:\WINDOWS\System32\NvMcTray.dll,NvTaskbarInit
O4 - HKLM\..\Run: [WINDVDPatch] CTHELPER.EXE
O4 - HKLM\..\Run: [Jet Detection] "D:\Program Files\Creative\SBLive\PROGRAM\ADGJDet.exe"
O4 - HKLM\..\Run: [SunJavaUpdateSched] "D:\Program Files\Java\jre1.6.0_03\bin\jusched.exe"
O4 - HKLM\..\Run: [MSConfig] D:\WINDOWS\PCHealth\HelpCtr\Binaries\MSConfig.exe /auto
O4 - HKLM\..\Run: [UnlockerAssistant] "D:\Program Files\Unlocker\UnlockerAssistant.exe" -H
O4 - HKCU\..\Run: [CTFMON.EXE] D:\WINDOWS\System32\ctfmon.exe
O4 - HKCU\..\Run: [MSMSGS] "D:\Program Files\Messenger\msmsgs.exe" /background
O4 - HKUS\S-1-5-19\..\Run: [CTFMON.EXE] D:\WINDOWS\System32\CTFMON.EXE (User 'USŁUGA LOKALNA')
O4 - HKUS\S-1-5-20\..\Run: [CTFMON.EXE] D:\WINDOWS\System32\CTFMON.EXE (User 'USŁUGA SIECIOWA')
O4 - HKUS\S-1-5-18\..\Run: [CTFMON.EXE] D:\WINDOWS\System32\CTFMON.EXE (User 'SYSTEM')
O4 - HKUS\.DEFAULT\..\Run: [CTFMON.EXE] D:\WINDOWS\System32\CTFMON.EXE (User 'Default user')
O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - D:\Program Files\Java\jre1.6.0_03\bin\ssv.dll
O9 - Extra 'Tools' menuitem: Sun Java Console - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - D:\Program Files\Java\jre1.6.0_03\bin\ssv.dll
O23 - Service: NVIDIA Display Driver Service (NVSvc) - NVIDIA Corporation - D:\WINDOWS\System32\nvsvc32.exe
O23 - Service: STI Simulator - Unknown owner - D:\WINDOWS\System32\PAStiSvc.exe

--
End of file - 2823 bytes

i combofix

aa i jak robie combofixem scan to wyskakuje blad sed.cfexe taki typowy windowsowy "wyslij raport o bledach"...

ComboFix 07-10-09.3 - kajtek 2007-10-10 20:57:36.2 - NTFSx86
Microsoft Windows XP Professional 5.1.2600.0.1250.1.1045.18.377 [GMT 2:00]
Running from: D:\Documents and Settings\kajtek\Pulpit\ComboFix.exe
.

((((((((((((((((((((((((( Files Created from 2007-09-10 to 2007-10-10 )))))))))))))))))))))))))))))))
.

2007-10-10 10:46 289,144 --a------ D:\WINDOWS\system32\VCCLSID.exe
2007-10-10 10:46 288,417 --a------ D:\WINDOWS\system32\SrchSTS.exe
2007-10-10 10:46 53,248 --a------ D:\WINDOWS\system32\Process.exe
2007-10-10 10:46 51,200 --a------ D:\WINDOWS\system32\dumphive.exe
2007-10-10 10:46 25,600 --a------ D:\WINDOWS\system32\WS2Fix.exe
2007-10-10 10:46 1,280 --a------ D:\WINDOWS\system32\tmp.reg
2007-10-10 10:17 <DIR> d-------- D:\WINDOWS\pss
2007-10-09 23:37 51,200 --a------ D:\WINDOWS\NirCmd.exe
2007-10-09 23:28 <DIR> d-------- D:\!KillBox
2007-10-09 23:18 <DIR> d--h----- D:\Documents and Settings\Administrator\Ustawienia lokalne
2007-10-09 23:18 <DIR> d-------- D:\Documents and Settings\Administrator\Ulubione
2007-10-09 23:18 <DIR> d--h----- D:\Documents and Settings\Administrator\Szablony
2007-10-09 23:18 <DIR> d-------- D:\Documents and Settings\Administrator\Pulpit
2007-10-09 23:18 <DIR> d-------- D:\Documents and Settings\Administrator\Moje dokumenty
2007-10-09 23:18 <DIR> dr------- D:\Documents and Settings\Administrator\Menu Start
2007-10-09 23:18 <DIR> dr-h----- D:\Documents and Settings\Administrator\Dane aplikacji
2007-10-09 11:27 <DIR> d-------- D:\Program Files\ffdshow
2007-10-09 11:09 499,712 --a------ D:\WINDOWS\system32\msvcp71.dll
2007-10-06 15:14 <DIR> d-------- D:\WINDOWS\PixArt
2007-10-06 15:14 <DIR> d-------- D:\Program Files\PC Camer@
2007-10-06 15:14 <DIR> d-------- D:\Program Files\Common Files\PCCamera
2007-10-06 14:39 <DIR> d-------- D:\WUTemp
2007-10-06 14:39 182,880 --a------ D:\WINDOWS\system32\iuengine.dll
2007-10-06 08:49 <DIR> d-------- D:\Program Files\DC++
2007-10-05 22:35 348,160 --a------ D:\WINDOWS\system32\msvcr71.dll
2007-10-05 22:08 737,280 --a------ D:\WINDOWS\iun6002.exe
2007-10-05 22:05 <DIR> d-------- D:\Program Files\MarBit
2007-10-05 17:39 57,088 --a------ D:\WINDOWS\system32\drivers\redbook.sys
2007-10-05 17:39 3,072 --a------ D:\WINDOWS\system32\drivers\audstub.sys
2007-10-05 17:38 70,144 --a------ D:\WINDOWS\system32\usbui.dll
2007-10-05 17:38 27,165 --a------ D:\WINDOWS\system32\drivers\fetnd5.sys
2007-10-05 17:38 23,070 --a------ D:\WINDOWS\system32\drivers\RTL8139.sys
2007-10-05 17:38 3,712 --a------ D:\WINDOWS\system32\drivers\ctljystk.sys

.
(((((((((((((((((((((((((((((((((((((((( Find3M Report ))))))))))))))))))))))))))))))))))))))))))))))))))))
.
2007-10-09 21:32 42,496 ----a-w D:\WINDOWS\system32\ftp.exe
2007-10-09 21:32 16,896 ----a-w D:\WINDOWS\system32\tftp.exe
2007-10-06 13:15 --------- d--h--w D:\Program Files\InstallShield Installation Information
2007-10-06 13:14 --------- d-----w D:\Program Files\Common Files\InstallShield
2007-10-06 12:32 --------- d-----w D:\Program Files\INTERIAPL
2007-10-05 19:54 --------- d-----w D:\Program Files\Winamp
2007-10-05 19:41 644,608 --sh--r D:\WINDOWS\LBTSERV.EXE
2007-10-05 19:41 133,120 ----a-w D:\WINDOWS\system32\sfc_os.dll
2007-10-05 19:34 --------- d-----w D:\Documents and Settings\kajtek\Dane aplikacji\INTERIAPL
2007-10-05 19:32 --------- d-----w D:\Documents and Settings\All Users\Dane aplikacji\NVIDIA
2007-10-05 19:29 --------- d-----w D:\Program Files\Creative
2007-10-05 19:19 --------- d-----w D:\Program Files\microsoft frontpage
2007-10-05 19:16 --------- d-----w D:\Program Files\Usługi online
.

((((((((((((((((((((((((((((( snapshot@2007-10-09_23.38.36,98 )))))))))))))))))))))))))))))))))))))))))
.
----a-w 39,992 2007-10-10 08:24:35 D:\WINDOWS\system32\perfc009.dat
----a-w 49,492 2007-10-10 08:24:35 D:\WINDOWS\system32\perfc015.dat
----a-w 311,604 2007-10-10 08:24:35 D:\WINDOWS\system32\perfh009.dat
----a-w 355,486 2007-10-10 08:24:35 D:\WINDOWS\system32\perfh015.dat
.
----a-w 39,992 2007-10-05 19:34:19 D:\WINDOWS\system32\perfc009.dat
----a-w 49,492 2007-10-05 19:34:19 D:\WINDOWS\system32\perfc015.dat
----a-w 311,604 2007-10-05 19:34:19 D:\WINDOWS\system32\perfh009.dat
----a-w 355,486 2007-10-05 19:34:20 D:\WINDOWS\system32\perfh015.dat
.
((((((((((((((((((((((((((((((((((((( Reg Loading Points ))))))))))))))))))))))))))))))))))))))))))))))))))
.
.
*Note* empty entries & legit default entries are not shown

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
"NvCplDaemon"="D:\WINDOWS\System32\NvCpl.dll" [2006-10-22 12:22]
"nwiz"="nwiz.exe" [2006-10-22 12:22 D:\WINDOWS\system32\nwiz.exe]
"NvMediaCenter"="D:\WINDOWS\System32\NvMcTray.dll" [2006-10-22 12:22]
"WINDVDPatch"="CTHELPER.EXE" [2002-07-02 17:56 D:\WINDOWS\system32\CTHELPER.EXE]
"Jet Detection"="D:\Program Files\Creative\SBLive\PROGRAM\ADGJDet.exe" [2001-11-29 01:00]
"SunJavaUpdateSched"="D:\Program Files\Java\jre1.6.0_03\bin\jusched.exe" [2007-09-25 01:11]
"MSConfig"="D:\WINDOWS\PCHealth\HelpCtr\Binaries\MSConfig.exe" [2001-10-26 19:29]
"UnlockerAssistant"="D:\Program Files\Unlocker\UnlockerAssistant.exe" [2006-09-07 19:19]

[HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
"CTFMON.EXE"="D:\WINDOWS\System32\ctfmon.exe" [2001-10-26 19:29]
"MSMSGS"="D:\Program Files\Messenger\msmsgs.exe" [2001-08-02 07:14]

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\Steam]
C:\Program Files\Steam\Steam.exe -silent

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\UpdReg]
D:\WINDOWS\UpdReg.EXE

R3 PAC207;SoC PC-Camer@;D:\WINDOWS\System32\DRIVERS\pfc027.sys
S4 Logitech Inc;Logitech Inc;"D:\WINDOWS\LBTSERV.EXE"

*Newly Created Service* - IPNAT
*Newly Created Service* - UNLOCKERDRIVER5
.
**************************************************************************

catchme 0.3.1169 W2K/XP/Vista - rootkit/stealth malware detector by Gmer, http://www.gmer.net
Rootkit scan 2007-10-10 20:58:37
Windows 5.1.2600 NTFS

scanning hidden processes ...

scanning hidden autostart entries ...

scanning hidden files ...

scan completed successfully
hidden files: 0

**************************************************************************
.
Completion time: 2007-10-10 20:59:35
D:\ComboFix2.txt ... 2007-10-09 23:39
.
--- E O F ---

**Posty:** 18165 · przez **wojtas** 11 Paź 2007, 15:09

jest czysto

proszę o sprawdzenie

proszę o sprawdzenie

Kto jest na forum