winlogon notify: avpu32,nooo tego jeszcze nie miałam

**Posty:** 6 · przez **fuksiara** 14 Paź 2005, 23:10

witam
ostatnimi czasy radziłam sobie z wirami ale dzis jestem bezsilna,komp w zasadzie jest koleżanki posiedziałam u niej troche ale stwierdziłam ze zabiore kompa do domu i zrobie wszystko ze spokojem ,usunęłam CWS_a,dziwną tapete,spysheriff-a,ale nadal nie działa IE,zainstalowałam firefoxa i jakoś to w miare chodzi ale niepokoi mnie wpis 0'20,jeden udało mi sie usunąć a drugi ciagle tkwi.Korzystając z firefoxa nie mam możliwości przeskanowania kompa online,gdyż większość działa pod IE.Był tu zainstalowany norton,odinstalowałam go i chciałam instalnąć AVK2005 ale pojawia sie tylko okienko które rozpoczyna instalację po czym za chwilę znika.Pisze teraz ale w trakcie pisania co chwilę wyskakuje mi błąd IE.Co do wpisu 020 myślę ze bedę potrzebowała jakiegoś FIX.REG.,no chyba że się mylę.

Logfile of HijackThis v1.99.1
Scan saved at 22:26:27, on 2005-10-14
Platform: Windows XP Dodatek SP. 1 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP1 (6.00.2800.1106)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\csrss.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\System32\Ati2evxx.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\spoolsv.exe
C:\Program Files\Analog Devices\SoundMAX\SMAgent.exe
C:\WINDOWS\system32\Ati2evxx.exe
C:\Program Files\Analog Devices\SoundMAX\SMTray.exe
C:\Program Files\CyberLink\PowerDVD\PDVDServ.exe
C:\Program Files\NetLimiter\NetLimiter.exe
C:\Program Files\Messenger\msmsgs.exe
C:\Program Files\Gadu-Gadu\gg.exe
C:\program files\mailskinner\mailskinner.exe
C:\Program Files\Common Files\Microsoft Shared\Web Folders\ibm00001.exe
C:\WINDOWS\system32\RaConfig.exe
C:\Program Files\Mozilla Firefox\firefox.exe
C:\Program Files\Internet Explorer\iexplore.exe
C:\WINDOWS\System32\dwwin.exe
C:\Program Files\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Local Page =
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Local Page =
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Łącza
O2 - BHO: (no name) - {53707962-6F74-2D53-2644-206D7942484F} - C:\Program Files\Spybot - Search & Destroy\SDHelper.dll
O3 - Toolbar: Easy-WebPrint - {327C2873-E90D-4c37-AA9D-10AC9BABA46C} - C:\Program Files\Canon\Easy-WebPrint\Toolband.dll
O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINDOWS\System32\msdxm.ocx
O4 - HKLM\..\Run: [Smapp] C:\Program Files\Analog Devices\SoundMAX\SMTray.exe
O4 - HKLM\..\Run: [ATIPTA] C:\Program Files\ATI Technologies\ATI Control Panel\atiptaxx.exe
O4 - HKLM\..\Run: [ATICCC] "C:\Program Files\ATI Technologies\ATI.ACE\cli.exe" runtime
O4 - HKLM\..\Run: [NeroCheck] C:\WINDOWS\System32\\NeroCheck.exe
O4 - HKLM\..\Run: [RemoteControl] "C:\Program Files\CyberLink\PowerDVD\PDVDServ.exe"
O4 - HKLM\..\Run: [Easy-PrintToolBox] C:\Program Files\Canon\Easy-PrintToolBox\BJPSMAIN.EXE /logon
O4 - HKLM\..\Run: [CMESys] "C:\Program Files\Common Files\CMEII\CMESys.exe"
O4 - HKLM\..\Run: [NetLimiter] C:\Program Files\NetLimiter\NetLimiter.exe /s
O4 - HKCU\..\Run: [MSMSGS] "C:\Program Files\Messenger\msmsgs.exe" /background
O4 - HKCU\..\Run: [Gadu-Gadu] "C:\Program Files\Gadu-Gadu\gg.exe" /tray
O4 - HKCU\..\Run: [MailSkinner] c:\program files\mailskinner\mailskinner.exe
O4 - HKCU\..\Run: [Shell] "C:\Program Files\Common Files\Microsoft Shared\Web Folders\ibm00001.exe"
O4 - Global Startup: ATI CATALYST System Tray.lnk = C:\Program Files\ATI Technologies\ATI.ACE\CLI.exe
O4 - Global Startup: RaConfig.lnk = C:\WINDOWS\system32\RaConfig.exe
O17 - HKLM\System\CCS\Services\Tcpip\..\{38DD5D3F-DA9C-41A0-9D11-1282397FE69A}: NameServer = 194.204.159.1,194.204.152.34
O17 - HKLM\System\CS1\Services\Tcpip\..\{38DD5D3F-DA9C-41A0-9D11-1282397FE69A}: NameServer = 194.204.159.1,194.204.152.34
O17 - HKLM\System\CS2\Services\Tcpip\..\{38DD5D3F-DA9C-41A0-9D11-1282397FE69A}: NameServer = 194.204.159.1,194.204.152.34
O20 - Winlogon Notify: avpu32 - C:\WINDOWS\SYSTEM32\avpu32.dll
O23 - Service: Ati HotKey Poller - ATI Technologies Inc. - C:\WINDOWS\System32\Ati2evxx.exe
O23 - Service: ATI Smart - Unknown owner - C:\WINDOWS\system32\ati2sgag.exe
O23 - Service: SoundMAX Agent Service (SoundMAX Agent Service (default)) - Analog Devices, Inc. - C:\Program Files\Analog Devices\SoundMAX\SMAgent.exe

aha na początku jak uruchomie kompa wyskakuje również błąd CLI.EXE czyliod tego O4 - HKLM\..\Run: [ATICCC] "C:\Program Files\ATI Technologies\ATI.ACE\cli.exe" runtime

Autor postu otrzymał pochwałę

przez **jeff** 14 Paź 2005, 23:36

w trybie awaryjnym z wyłączonym przywracaniem systemu kasujesz ręcznie pogrubione pliki/folder:

C:\Program Files\Common Files\Microsoft Shared\Web Folders\ibm00001.exe
C:\Program Files\Common Files\CMEII\CMESys.exe
C:\WINDOWS\SYSTEM32\avpu32.dll

potem w Hijacku kasujesz wpisy:

O4 - HKLM\..\Run: [CMESys] "C:\Program Files\Common Files\CMEII\CMESys.exe"
O4 - HKCU\..\Run: [Shell] "C:\Program Files\Common Files\Microsoft Shared\Web Folders\ibm00001.exe"
O20 - Winlogon Notify: avpu32 - C:\WINDOWS\SYSTEM32\avpu32.dll

**Posty:** 6 · przez **fuksiara** 14 Paź 2005, 23:53

hehe nie jest "letko" z wpisami 020 potrzebuje chyba modyfikacje FIX.REG,za wiele to co proponowałes nie dało wpis 020 nadal jest log teraz przedstawia sie tak

Scan saved at 23:47:40, on 2005-10-14
Platform: Windows XP Dodatek SP. 1 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP1 (6.00.2800.1106)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\csrss.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\system32\NOTEPAD.EXE
C:\totalcmd\TOTALCMD.EXE
C:\Program Files\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Local Page =
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Local Page =
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Łącza
O2 - BHO: (no name) - {53707962-6F74-2D53-2644-206D7942484F} - C:\Program Files\Spybot - Search & Destroy\SDHelper.dll
O3 - Toolbar: Easy-WebPrint - {327C2873-E90D-4c37-AA9D-10AC9BABA46C} - C:\Program Files\Canon\Easy-WebPrint\Toolband.dll
O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINDOWS\System32\msdxm.ocx
O4 - HKLM\..\Run: [Smapp] C:\Program Files\Analog Devices\SoundMAX\SMTray.exe
O4 - HKLM\..\Run: [ATIPTA] C:\Program Files\ATI Technologies\ATI Control Panel\atiptaxx.exe
O4 - HKLM\..\Run: [ATICCC] "C:\Program Files\ATI Technologies\ATI.ACE\cli.exe" runtime
O4 - HKLM\..\Run: [NeroCheck] C:\WINDOWS\System32\\NeroCheck.exe
O4 - HKLM\..\Run: [RemoteControl] "C:\Program Files\CyberLink\PowerDVD\PDVDServ.exe"
O4 - HKLM\..\Run: [Easy-PrintToolBox] C:\Program Files\Canon\Easy-PrintToolBox\BJPSMAIN.EXE /logon
O4 - HKLM\..\Run: [NetLimiter] C:\Program Files\NetLimiter\NetLimiter.exe /s
O4 - HKCU\..\Run: [MSMSGS] "C:\Program Files\Messenger\msmsgs.exe" /background
O4 - HKCU\..\Run: [Gadu-Gadu] "C:\Program Files\Gadu-Gadu\gg.exe" /tray
O4 - HKCU\..\Run: [MailSkinner] c:\program files\mailskinner\mailskinner.exe
O4 - HKCU\..\Run: [Komunikator] C:\Program Files\Tlen.pl\tlen.exe
O4 - Global Startup: ATI CATALYST System Tray.lnk = C:\Program Files\ATI Technologies\ATI.ACE\CLI.exe
O4 - Global Startup: RaConfig.lnk = C:\WINDOWS\system32\RaConfig.exe
O17 - HKLM\System\CCS\Services\Tcpip\..\{38DD5D3F-DA9C-41A0-9D11-1282397FE69A}: NameServer = 194.204.159.1,194.204.152.34
O17 - HKLM\System\CS1\Services\Tcpip\..\{38DD5D3F-DA9C-41A0-9D11-1282397FE69A}: NameServer = 194.204.159.1,194.204.152.34
O17 - HKLM\System\CS2\Services\Tcpip\..\{38DD5D3F-DA9C-41A0-9D11-1282397FE69A}: NameServer = 194.204.159.1,194.204.152.34
O20 - Winlogon Notify: avpu32 - C:\WINDOWS\SYSTEM32\avpu32.dll
O23 - Service: Ati HotKey Poller - ATI Technologies Inc. - C:\WINDOWS\System32\Ati2evxx.exe
O23 - Service: ATI Smart - Unknown owner - C:\WINDOWS\system32\ati2sgag.exe
O23 - Service: Office Source Engine (ose) - Unknown owner - C:\Program Files\Common Files\Microsoft Shared\Source Engine\OSE.EXE (file missing)
O23 - Service: SoundMAX Agent Service (SoundMAX Agent Service (default)) - Analog Devices, Inc. - C:\Program Files\Analog Devices\SoundMAX\SMAgent.exe

Wrrr a wyskakujące okienko o błędzie IE doprowadzi mnie do nerwicy

aha na początku jak uruchomie kompa wyskakuje również błąd CLI.EXE czyliod tego O4 - HKLM\..\Run: [ATICCC] "C:\Program Files\ATI Technologies\ATI.ACE\cli.exe" runtime

przez **jeff** 15 Paź 2005, 00:00

Ściągnij KillBoxa
http://www.downloads.subratam.org/KillBox.zip

Zaznaczasz opcję Delete on Reboot następnie w polu Full Path of File to Delete wklej ścieżkę :
C:\WINDOWS\SYSTEM32\avpu32.dll
następnie program będzie pytał o restart - zgadzasz się

potem kasujesz wpis:

O20 - Winlogon Notify: avpu32 - C:\WINDOWS\SYSTEM32\avpu32.dll

[ Dodano: Dzisiaj o 0:04 ]

fuksiara napisał(a):aha na początku jak uruchomie kompa wyskakuje również błąd CLI.EXE czyliod tego O4 - HKLM\..\Run: [ATICCC] "C:\Program Files\ATI Technologies\ATI.ACE\cli.exe" runtime

Start - Uruchom -> wpisujesz "msconfig" i w zakładce uruchamianie odchaczasz:

O4 - HKLM\..\Run: [ATICCC] "C:\Program Files\ATI Technologies\ATI.ACE\cli.exe" runtime

**Posty:** 6 · przez **fuksiara** 15 Paź 2005, 00:07

ok killboxa mam na płytce wiec zaraz sie biore do roboty i dam cynka co z tego wyszło,Ale jest jedno ale

ja do firefoxa nauczona ,koleżanka z kolei do IE,nie chodzi o to aby coś wyłaczyc gdy nie działa ale usunąć przyczynę no nie?

EDIT:
po wprowadzeniu scieżki i kliknięcu by usunął pojawia sie wpis "The file couldt not be deleted

przez **jeff** 15 Paź 2005, 08:53

fuksiara napisał(a):po wprowadzeniu scieżki i kliknięcu by usunął pojawia sie wpis "The file couldt not be deleted

"plik nie może być usunięty" - robisz to w trybie awaryjnym ? Masz wyłączony antywirus ?

**Posty:** 6 · przez **fuksiara** 15 Paź 2005, 17:26

antywira nie miałam bo Backdoor.Win32.Haxdoor.ej go załatwił na cacy,poradziłam sobie juz zanim nadeszła skadkolwiek odpowiedź. a zachowuje sie tak Koń trojański który otwiera tzw. tylne drzwi do systemu i zezwala na nieautoyzowany zdalny dostęp do komputera autorowi. Przechwytuje również znaki wprowadzane z klawiatury i kradnie hasła.

Kiedy plik trojana zostanie uruchomiony, wykonywane są następujące operacje:

1. W folderze systemowym tworzy pliki:
- avpu32.dll
- avpu64.sys
- qz.sys
- qz.dll
- qy.sys
- klgcptini.dat
- stt82.ini

Niektóre pliki i wpisy w rejestrze mogą nie być widoczne w normalnym trybie Windows, gdyż trojan je ukrywa przed wyświetlaniem.

2. By uruchamiać się z każdym startem Windows, w rejestrze tworzy klucz o nazwie "avpu32" w lokalizacji:

HKEY_LOCAL_MACHINE\ SOFTWARE\ Microsoft \Windows NT\ CurrentVersion\ Winlogon\ Notify

i dodaje tam wpisy "secureUID", "secureTIME" a także:
"DllName" = "avpu32.dll"
"Startup" = "MmAllocMap"
"Impersonate" = "1"
"MaxWait" = "1"
"Asynchronous" = "1"

4. Pliki avpu32.sys oraz avpu64.sys rejestruje jako usługi systemu o nazwie "avpu32", z nazwą wyświetlaną "TCPIP Kernel32" oraz druga o nazwie "avpu64", z nazwą wyświetlaną "TCPIP2 Kernel", by uruchamiać je z każdym startem systemu - tworzy klucze:

HKEY_LOCAL_MACHINE\ SYSTEM\ CurrentControlSet\ Services\ avpu32
HKEY_LOCAL_MACHINE\ SYSTEM\ CurrentControlSet\ Services\ avpu64

oraz wpis:
"@" = "Driver"
lokalizacji:
HKEY_LOCAL_MACHINE\ SYSTEM\ CurrentControlSet\ Control\ SafeBoot\ Minimal\ avpu32
HKEY_LOCAL_MACHINE\ SYSTEM\ CurrentControlSet\ Control\ SafeBoot\ Minimal\ avpu64
HKEY_LOCAL_MACHINE\ SYSTEM\ CurrentControlSet\ Control\ SafeBoot\ Network\ avpu32.sys
HKEY_LOCAL_MACHINE\ SYSTEM\ CurrentControlSet\ Control\ SafeBoot\ Network\ avpu64

"EnforceWriteProtection" = "0"
w lokalizacji:
HKEY_LOCAL_MACHINE\ SYSTEM\ CurrentControlSet\ Control\ Session Manager\ Memory Management

3. Trojan posiada funkcjonalność backdoora i umożliwia:
- ukrywanie przed użytkownikiem swoich plików, wpisów w rejestrze i procesów (przy pomocy techniki Stealth)
- zabezpiecza się przed próbą zamknięcia swoich procesów
- zabezpiecza się przed próbą usunięcia swoich plików
- wyłącza inne oprogramowanie, włączając antywirusy, zapory ogniowe i inne związane z bezpieczeństwem.
Progsik który usuwa wpis O20 - Winlogon Notify: avpu32 - C:\WINDOWS\SYSTEM32\avpu32.dll to BlackLight Beta z tej stronki http://f-secure.com/

przez **jeff** 15 Paź 2005, 17:34

i juz wszystko ok ? :roll:

**Posty:** 6 · przez **fuksiara** 15 Paź 2005, 17:45

j_sn napisał(a):i juz wszystko ok ?

No przynajmniej na razie nic sie nie dzieje.Zadnych tapet,wskakujących powiadomien o spyware,IE i Opera działają bez zarzutu i nawet AVK dał sie zainstalowac bez kłopotów co wcześniej było niemożliwością.Oczywiście używałam wszystkiego co sie da,killboxa,cwsremoval-a i wszelkich innych wynalazków ale udało sie

)

A co zaskoczyłam Cię czymś??:) Baby też potrafią radzić sobie z kompami czego jestem żywym przykładem.Tak patrzę na samą góre,na pierwszy mój post i zastanawiam sie dlaczego dostałam OSTRZEŻENIE??

przez **jeff** 15 Paź 2005, 18:19

jak wszystko ok to dobrze.

fuksiara napisał(a):Tak patrzę na samą góre,na pierwszy mój post i zastanawiam sie dlaczego dostałam OSTRZEŻENIE??

za brak loga w tagach - Quote lub Code - popatrz na inne logi jak wyglądają....

pozdr

winlogon notify: avpu32,nooo tego jeszcze nie miałam

winlogon notify: avpu32,nooo tego jeszcze nie miałam

Kto jest na forum