win32/trojanproxy.cimuz - pomocy :(

**Posty:** 8 · przez **alagor** 02 Lis 2005, 15:04

Witam serdecznie.

Mam od dwoch dni powazny problem z tym wirusem i nie umiem sobie z nim poradzic. Moj antywirek to NOD32 + spy sweeper + ad-aware + ewido i nic nie pomaga.

Przeszukalem juz kilka forum robilem jak powinno i nic nie pomoglo.

Oto moj log z Hijacka:
**************************************************
Logfile of HijackThis v1.99.1
Scan saved at 13:57:41, on 2005-11-02
Platform: Windows XP (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 (6.00.2600.0000)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\spoolsv.exe
C:\Program Files\Eset\nod32krn.exe
C:\WINDOWS\System32\nvsvc32.exe
C:\Program Files\Nagrywanie\Alcohol Soft\Alcohol 120\StarWind\StarWindService.exe
C:\Program Files\Webroot\Spy Sweeper\WRSSSDK.exe
C:\WINDOWS\Explorer.EXE
C:\Program Files\Nagrywanie\D-Tools\daemon.exe
C:\WINDOWS\System32\CTHELPER.EXE
C:\Program Files\Winamp\Winampa.exe
C:\Program Files\Webroot\Spy Sweeper\SpySweeper.exe
C:\Program Files\Eset\nod32kui.exe
C:\Program Files\Common Files\Ahead\lib\NMBgMonitor.exe
C:\Program Files\Adobe\Acrobat 5.0 CE\Distillr\AcroTray.exe
C:\Program Files\GetRight\getright.exe
C:\Program Files\Mozilla Firefox\firefox.exe
C:\Documents and Settings\Marcin\Pulpit\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Łącza
O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Program Files\Adobe\Acrobat 5.0 CE\Acrobat\ActiveX\AcroIEHelper.ocx
O2 - BHO: ClickCatcher MSIE handler - {16664845-0E00-11D2-8059-000000000000} - C:\Program Files\Common Files\ReGet Shared\Catcher.dll
O2 - BHO: Google Toolbar Helper - {AA58ED58-01DD-4d91-8333-CF10577473F7} - c:\program files\google\googletoolbar2.dll
O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINDOWS\System32\msdxm.ocx
O3 - Toolbar: &Google - {2318C2B1-4965-11d4-9B18-009027A5CD4F} - c:\program files\google\googletoolbar2.dll
O3 - Toolbar: ReGet Bar - {17939A30-18E2-471E-9D3A-56DD725F1215} - C:\Program Files\ReGetDx\iebar.dll
O4 - HKLM\..\Run: [DAEMON Tools-1033] "C:\Program Files\Nagrywanie\D-Tools\daemon.exe" -lang 1033
O4 - HKLM\..\Run: [WINDVDPatch] CTHELPER.EXE
O4 - HKLM\..\Run: [Resume copy] copyfstq.exe /startup
O4 - HKLM\..\Run: [Anti-Blaxx Manager] C:\Program Files\Nagrywanie\Anti-Blaxx\Anti-Blaxx.exe
O4 - HKLM\..\Run: [NeroFilterCheck] C:\WINDOWS\System32\NeroCheck.exe
O4 - HKLM\..\Run: [InCD] C:\Program Files\Nero\Nero 7\InCD\InCD.exe
O4 - HKLM\..\Run: [DiskeeperSystray] "C:\Program Files\Executive Software\Diskeeper\DkIcon.exe"
O4 - HKLM\..\Run: [KernelFaultCheck] %systemroot%\system32\dumprep 0 -k
O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\System32\NvCpl.dll,NvStartup
O4 - HKLM\..\Run: [NvMediaCenter] RUNDLL32.EXE C:\WINDOWS\System32\NvMcTray.dll,NvTaskbarInit
O4 - HKLM\..\Run: [SpySweeper] "C:\Program Files\Webroot\Spy Sweeper\SpySweeper.exe" /startintray
O4 - HKLM\..\Run: [nod32kui] "C:\Program Files\Eset\nod32kui.exe" /WAITSERVICE
O4 - HKLM\..\Run: [MSConfig] C:\WINDOWS\PCHealth\HelpCtr\Binaries\MSConfig.exe /auto
O4 - HKCU\..\Run: [BgMonitor_{79662E04-7C6C-4d9f-84C7-88D8A56B10AA}] "C:\Program Files\Common Files\Ahead\lib\NMBgMonitor.exe"
O4 - Global Startup: Acrobat Assistant.lnk = C:\Program Files\Adobe\Acrobat 5.0 CE\Distillr\AcroTray.exe
O4 - Global Startup: GetRight - Tray Icon.lnk = C:\Program Files\GetRight\getright.exe
O8 - Extra context menu item: &Google Search - res://c:\program files\google\GoogleToolbar2.dll/cmsearch.html
O8 - Extra context menu item: &Pobierz przez ReGet Deluxe - C:\Program Files\Common Files\ReGet Shared\CC_Link.htm
O8 - Extra context menu item: &Translate English Word - res://c:\program files\google\GoogleToolbar2.dll/cmwordtrans.html
O8 - Extra context menu item: Backward Links - res://c:\program files\google\GoogleToolbar2.dll/cmbacklinks.html
O8 - Extra context menu item: Cached Snapshot of Page - res://c:\program files\google\GoogleToolbar2.dll/cmcache.html
O8 - Extra context menu item: Otwórz w przeglądarce GetRight - C:\Program Files\GetRight\GRbrowse.htm
O8 - Extra context menu item: Pobierz &wszystko przez ReGet Deluxe - C:\Program Files\Common Files\ReGet Shared\CC_All.htm
O8 - Extra context menu item: Pobierz za pomocą GetRight - C:\Program Files\GetRight\GRdownload.htm
O8 - Extra context menu item: Similar Pages - res://c:\program files\google\GoogleToolbar2.dll/cmsimilar.html
O8 - Extra context menu item: Translate Page into English - res://c:\program files\google\GoogleToolbar2.dll/cmtrans.html
O20 - Winlogon Notify: NavLogon - C:\WINDOWS\
O20 - Winlogon Notify: st3i - C:\WINDOWS\
O20 - Winlogon Notify: WRNotifier - C:\WINDOWS\SYSTEM32\WRLogonNTF.dll
O23 - Service: Diskeeper - Executive Software International, Inc. - C:\Program Files\Executive Software\Diskeeper\DkService.exe
O23 - Service: NOD32 Kernel Service (NOD32krn) - Eset - C:\Program Files\Eset\nod32krn.exe
O23 - Service: NVIDIA Display Driver Service (NVSvc) - NVIDIA Corporation - C:\WINDOWS\System32\nvsvc32.exe
O23 - Service: StarWind iSCSI Service (StarWindService) - Rocket Division Software - C:\Program Files\Nagrywanie\Alcohol Soft\Alcohol 120\StarWind\StarWindService.exe
O23 - Service: Webroot Spy Sweeper Engine (svcWRSSSDK) - Webroot Software, Inc. - C:\Program Files\Webroot\Spy Sweeper\WRSSSDK.exe

**************************************************************
Prosze niech ktos mi pomoze usunac to badziewie.
Nie wiem skad sie bierze ciagle plik
C:\Windows\System32\mdms.exe jak go w awaryjnym usuwam robie fix.reg i ciagle powraca gdy tylko wlacze firefoxa to juz NOD32 mi wywala okno ze jest wirek. Nie moge znalezc pliku winacpi.dll
czy to dlatego nie idzie usunac tego wirka??

Z gory thx za pomoc

pozdrawiam ***alagor***

Autor postu otrzymał pochwałę

**Posty:** 5151 · przez **JarekMk** 02 Lis 2005, 15:44

Pliki mdms.exe usuń programem Pocket Killbox czyli odpalasz Killboxa zaznacz opcję Delete on Reboot następnie w polu Full Path of File to Delete wklej ścieżke:
D:\windows\system32\mdms.exe
następnie program będzie pytał o restart (oczywiście zgadzasz sie)

http://www.downloads.subratam.org/KillBox.zip

A tu:
http://www.searchengines.pl/phpbb203/index.php?showtopic=12510&pid=188758&mode=threaded&show=&st=30&#entry188758

Jak usunac mdsm.exe

PoZDro! :wink:

przez **jeff** 02 Lis 2005, 15:49

Red napisał(a):na poczatek sciagasz ten program i zamykasz nim wszystkie porty
http://www.amnezja.org/pl/html/modules.php?name=News&file=article&sid=1509

Wchodzisz w tryb awaryjny z wyłączonym przywracaniem sysa:

Fix w Hijacku:

O4 - HKLM\..\Run: [KernelFaultCheck] %systemroot%\system32\dumprep 0 -k
O20 - Winlogon Notify: NavLogon - C:\WINDOWS\
O20 - Winlogon Notify: st3i - C:\WINDOWS\

alagor napisał(a):Nie wiem skad sie bierze ciagle plik
C:\Windows\System32\mdms.exe jak go w awaryjnym usuwam robie fix.reg i ciagle powraca gdy tylko wlacze firefoxa to juz NOD32 mi wywala okno ze jest wirek. Nie moge znalezc pliku winacpi.dll

Ściągnij KillBoxa
http://www.downloads.subratam.org/KillBox.zip

Zaznaczasz opcję Delete on Reboot następnie w polu Full Path of File to Delete wklej ścieżkę :
C:\Windows\System32\mdms.exe
następnie program będzie pytał o restart - zgadzasz się

powtarzasz czynność z Killboxem, tym razem wklejasz ścieżkę

C:\WINDOWS\System32\winacpi.dll

wrzuć także log z Silent Runners:

Ściągnij ten program na dysk i odpal

http://www.silentrunners.org/Silent%20Runners.zip

Pojawi się okienko i klikasz na "Nie ", dzięki czemu otrzymamy pełen log. Poczekaj chwile aż pojawi się info że log już gotowy i wklej zawartość txt na forum

Usuwanie Trojan.Repsamo (Cimuz)

http://www.searchengines.pl/phpbb203/index.php?showtopic=12510&st=30&p=167684?entry185242

**Posty:** 8 · przez **alagor** 02 Lis 2005, 16:02

Dzieki za szybka odp.

Usunalem to w trybie awaryjnym KillBox-em wgralem FiX.Reg i po restarcie do trybu normalnego i otwarciu Firefoxa dostaje komunikat od NOD 32 o wirusie

:

Zdarzenie miało miejsce podczas próby tworzenia nowego zbioru przez program: C:\Program Files\Mozilla Firefox\firefox.exe. Zbiór został przeniesiony do kwarantanny.

Nic nie idzie zrobic.
A tego pliku winacpi.dll nie ma u mnie (jest w instrukcji do usuniecia)

POZDRO

przez **jeff** 02 Lis 2005, 16:04

a pozamykałes porty w Worms Doors Cleaner ?

**Posty:** 8 · przez **alagor** 02 Lis 2005, 16:15

Sorki za idiotyczne pytanie ale jak uruchomic Silent Runers ?? Jak zapisze go na dysk to mam jakis dziwny plik VBScript i nie da sie go otworzyc - nie wiem pierwszy raz sie z nim spotykam. A co do portow to nie mam pozamykanych,nie mam SP2 zastanawiam sie nad wrganiem go co o tym sadzicie?

przez **jeff** 02 Lis 2005, 16:18

no a co się pojawia jak chcesz uruchomic ten plik VBScript ?

**Posty:** 8 · przez **alagor** 02 Lis 2005, 17:05

Jak odpalam to wyswietla mi ze mam wlaczyc "Windows Management Instrumentation" - na nasze to chyba bedzie Instrumentacja zarzadzania Windowsem jak wchodze we wlasciwosci to mam Automatyczny ale zatrzymane i nie moge jej uruchomic

co zrobic ??? moze to nie to mam wlaczyc??

Przed chwilka zrobilem tak:
wszedlem do awaryjnego w Hijacku usunalem (fix):
O4 - HKLM\..\Run: [KernelFaultCheck] %systemroot%\system32\dumprep 0 -k
O20 - Winlogon Notify: NavLogon - C:\WINDOWS\
O20 - Winlogon Notify: st3i - C:\WINDOWS\

Pozniej KillBox usunalem mdsm.exe reset i w awaryjnym sciagnietym NOD32 przeskanowalem znalazl w killbox tego wirka i usunal go.
Zabezpieczylem porty Windows worms cleaner wszystko jest wlaczone

No wiec wszedlem do windy i znow sie ten szajs zalacza. :oops:

przez **jeff** 02 Lis 2005, 17:33

alagor napisał(a):Jak odpalam to wyswietla mi ze mam wlaczyc "Windows Management Instrumentation"

w trybie awaryjnym ? Poczekaj na innych bo ja nie mam pojęcia o co biega

**Posty:** 8694 · przez **Red** 02 Lis 2005, 17:58

zrob tak:wejdz na ten link
http://www.silentrunners.org/Silent%20Runners.vbs
i go otworz( of “Silent Runners.vbs”, click here)>>nastepnie >plik >zapisz jako>pulpit
zapisane

prawoklik na pliku >otworz i powinno ruszyc,jesli nie to napisz jaki jest rodzaj błedu

**Posty:** 8 · przez **alagor** 02 Lis 2005, 18:09

Zrobilem tak i nic

Wyskakuje mi : This script requires Windows Management Instruction to run

Click on Start,Control Panel,Admin Tools, Services, and start the " Windows Management Inrtumentation" service.

Tyle co mi sie dzieje

**Posty:** 8694 · przez **Red** 02 Lis 2005, 18:13

alagor napisał(a):Wyskakuje mi : This script requires Windows Management Instruction to run

co za dziwny przypadek

prosze sciagnac WMI Z tej stronki ,restart kompa i zobaczyc czy ruszy:

TUTAJ

**Posty:** 8 · przez **alagor** 02 Lis 2005, 18:23

Sciagnalem i nie da sie tego zainstalowac bo to jest na NT 4.0 z service pack 4.

To chyba zaszalalem z tym programem.

Dzieki za wszelka pomoc.

**Posty:** 8694 · przez **Red** 02 Lis 2005, 18:29

alagor napisał(a):Sciagnalem i nie da sie tego zainstalowac bo to jest na NT 4.0 z service pack 4.

zgadza sie ,ale własnie brakuje tego dodatku kiedy sie pojawia twoj komunikat
dlatego napisałem:

Red napisał(a):co za dziwny przypadek

sprobuj wygenerowac log z tej wersji:
http://www.silentrunners.org/Silent%20Runners%20RED.vbs
czyli plik>zapisz jako>>itd

odpal i zobacz czy ruszy

**Posty:** 8 · przez **alagor** 02 Lis 2005, 19:16

Sciagnalem ten plik i tez wyskakuje ze brak tamtego programu (uslugi) odsyla mnie na strone Miksoftu

ale jest taki motyw ze sprawdza klucz (serial windy) no a jak wiadomo orginalu nie mam i to nie przejdzie tzn nie sciagne tej uslugo do zainstalowania.

Co za pech

przez **Tom@szek** 03 Lis 2005, 00:32

alagor napisał(a):Sciagnalem ten plik i tez wyskakuje ze brak tamtego programu (uslugi) odsyla mnie na strone Miksoftu ale jest taki motyw ze sprawdza klucz (serial windy) no a jak wiadomo orginalu nie mam i to nie przejdzie tzn nie sciagne tej uslugo do zainstalowania.

Co za pech

Zobacz do tego tematu - masz link do Twojego problemu

http://forum.programosy.pl/tutaj-vp109557.html#109557

**Posty:** 8 · przez **alagor** 05 Lis 2005, 03:42

Wtam serdecznie !!!

Dzieki za zainteresowanie moim tematem. Problem rozwiazalem formatujac dysk i instalujac od nowa system- nie moglem juz dluzej na niego patrzec :cry:

dzieki Tomaszek za link do tematu bardzo sie przydal,gdyz poszly mi aktualizacje dla SP2

co mnie ogromnie cieszy.

A tak na marginesie mam zainstalowany NOD32 i KERIO 4 no SP2 ale mam pytanko czy wlaczac firewalla od SP2 czy jak mam KERIO to wylaczyc systemowego??

Z giry dzieki za wszelkie odpowiedzi i za zainteresowanie moim problemem.

Klaniam sie bardzo nisko i chyle czola kolegom ktorzy znaja sie lepiej na temacie ode mnie..

pozdrawiam ***alagor***

win32/trojanproxy.cimuz - pomocy :(

Win32/TrojanProxy.Cimuz - pomocy :(

Kto jest na forum