powracający problem

[gejszon]

Witam mądre głowy !

Wczoraj (drugi raz )skończyłem z sukcesem zabawy z usuwaniem -->Windows installer] C:\winstall.exe
po przeszukaniu w logu HijackThis v1.99.1 usuwam ręcznie..... itd wszystko zgodnie ze wskazówkami jak i co (bo są tam różne prawdopodobne nazwy podane pod którymi się zaszywa) czy to wininstall czy spysherif. OK
było OK. do rana
Dziś wstaję a tu masz...... znowu "your comp. is ifected" wrrrrrrrr.........
może nie usunołem wszystkiego, może byłem pewien że tak, ale mam kupiony MKS 2005 i wkurza mnie to że wydałem pieniądze a on (MKS) to zlewa i wpuszcza go choć nie powinien.!!! ponoć jest inteligentny......
Kompa nie gasiłem od wczoraj, Wininstall'a złapał coś koło 5 .00 i MKS wyrzucił komynikat o wpisie....itd. No to ja mu "usuń wpis " a on zwisł. po restarcie jeszcze Spysherif....... nie no ręce opadają...
Mam XP SP2 bieżące aktualizacje, MKS 2005 z akt bazą. Kurtka na wacie co jeszcze muszę mieć żeby to cenzura się nie wepchało do Windy?
Problem na bank gdzieś leży tylko gdzie? Najgorsz to że nie mogę podać loga bo w pracy jestem...
Jak wróce po pracy to podam loga i proszę sprawdżcie czy wszystko posprzątałem, a na razie czy ktoś wie jak nie wpuścić tych g*wien do kompa??? . Wiecie zapobieganie jest zawsze lepsze od leczenia....
Z góry wielkie dzięki.

[mendosa]

SpyBot powinien pomóc, zresztą jest wiele programów antispyware' owych.
Choćby Microsoft Antispyware. Przydałby ci się też sensowny Firewall, ludzie chwalą Zone Alarm, Kerio. Pozdro.

[Red]

Zaczniemy od logów .

[gejszon]

OK.
Witam ponownie zwarty i gotowy
Tym razem od początku do końca zdaję sie na Wasze porady.
lecimy...

Logfile of HijackThis v1.99.1
Scan saved at 21:53:49, on 2006-03-14
Platform: Windows XP Dodatek SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\Explorer.EXE
C:\WINDOWS\system32\spoolsv.exe
C:\WINDOWS\system32\RUNDLL32.EXE
C:\Program Files\MKS\Bin\mks_menu.exe
C:\Program Files\MKS\Bin\ABregmon.exe
C:\Program Files\QuickTime\qttask.exe
C:\Program Files\Information Update\iu.exe
C:\Program Files\CyberLink\PowerDVD\PDVDServ.exe
C:\WINDOWS\twain_32\S6U12BX\WATCH.exe
C:\Program Files\Corel\Graphics9\Register\Remind32.exe
C:\Program Files\MKS\Bin\NetMonSV.exe
C:\Program Files\MKS\Bin\mksmonsv.exe
C:\WINDOWS\System32\nvsvc32.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\wscntfy.exe
C:\Program Files\MKS\Bin\mks_scan.exe
C:\Program Files\BitTornado\btdownloadgui.exe
C:\Program Files\BitTornado\btdownloadgui.exe
C:\Program Files\BitTornado\btdownloadgui.exe
C:\DOCUME~1\ADMINI~1\USTAWI~1\Temp\13026.exe
C:\Program Files\Gadu-Gadu\gg.exe
C:\Program Files\Internet Explorer\iexplore.exe
C:\Program Files\Skype\Phone\Skype.exe
C:\WINDOWS\system32\ntvdm.exe
C:\PROGRA~1\FlashGet\flashget.exe
C:\Program Files\totalcmd\TOTALCMD.EXE
D:\Drivers i instalki do zgrania\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.google.pl/
R1 - HKCU\Software\Microsoft\Internet Connection Wizard,ShellNext = wmplayer.exe
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Łącza
O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Program Files\Adobe\Acrobat 5.0\Reader\ActiveX\AcroIEHelper.ocx
O2 - BHO: IeCatch2 Class - {A5366673-E8CA-11D3-9CD9-0090271D075B} - C:\PROGRA~1\FlashGet\jccatch.dll
O3 - Toolbar: FlashGet Bar - {E0E899AB-F487-11D5-8D29-0050BA6940E3} - C:\PROGRA~1\FlashGet\fgiebar.dll
O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\System32\NvCpl.dll,NvStartup
O4 - HKLM\..\Run: [nwiz] nwiz.exe /install
O4 - HKLM\..\Run: [NvMediaCenter] RUNDLL32.EXE C:\WINDOWS\System32\NvMcTray.dll,NvTaskbarInit
O4 - HKLM\..\Run: [Gtwatch] C:\WINDOWS\gtwatch.exe
O4 - HKLM\..\Run: [MKS_MENU] C:\Program Files\MKS\Bin\mks_menu.exe
O4 - HKLM\..\Run: [ABREGMON] C:\Program Files\MKS\Bin\ABregmon.exe
O4 - HKLM\..\Run: [QuickTime Task] "C:\Program Files\QuickTime\qttask.exe" -atboottime
O4 - HKLM\..\Run: [Time Sync] C:\Program Files\Time Sync\time.exe
O4 - HKLM\..\Run: [FineReader7NewsReaderPro] "C:\Program Files\ABBYY FineReader 7.0 Professional Edition\AbbyyNewsReader.exe"
O4 - HKLM\..\Run: [NeroFilterCheck] C:\WINDOWS\system32\NeroCheck.exe
O4 - HKLM\..\Run: [Information Update] C:\Program Files\Information Update\iu.exe
O4 - HKLM\..\Run: [RemoteControl] "C:\Program Files\CyberLink\PowerDVD\PDVDServ.exe"
O4 - HKCU\..\Run: [Gadu-Gadu] "C:\Program Files\Gadu-Gadu\gg.exe" /tray
O4 - Startup: Rejestrowanie produktów Corela.lnk = C:\Program Files\Corel\Graphics9\Register\Remind32.exe
O4 - Global Startup: Microsoft Office.lnk = C:\Program Files\Microsoft Office\Office10\OSA.EXE
O4 - Global Startup: Watch.lnk = C:\WINDOWS\twain_32\S6U12BX\WATCH.exe
O8 - Extra context menu item: E&ksport do programu Microsoft Excel - res://C:\PROGRA~1\MICROS~2\Office10\EXCEL.EXE/3000
O8 - Extra context menu item: Ściągnij przy pomocy FlashGet'a - C:\PROGRA~1\FlashGet\jc_link.htm
O8 - Extra context menu item: Ściągnij wszystko przy pomocy FlashGet'a - C:\PROGRA~1\FlashGet\jc_all.htm
O9 - Extra button: FlashGet - {D6E814A0-E0C5-11d4-8D29-0050BA6940E3} - C:\PROGRA~1\FlashGet\flashget.exe
O9 - Extra 'Tools' menuitem: &FlashGet - {D6E814A0-E0C5-11d4-8D29-0050BA6940E3} - C:\PROGRA~1\FlashGet\flashget.exe
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe
O12 - Plugin for .spop: C:\Program Files\Internet Explorer\Plugins\NPDocBox.dll
O21 - SSODL: System - {6BA588EC-23DB-47BE-8822-A07EB999CBDE} - mcsys.dll (file missing)
O23 - Service: ArcaBit NetMonitor (ABNetMon) - ArcaBit sp. z o.o. - C:\Program Files\MKS\Bin\NetMonSV.exe
O23 - Service: MkSUpdateInt - MkS Sp. z o. o. - C:\Program Files\MKS\bin\MkSUpdateInt.exe
O23 - Service: MkS_Vir Monitor (MksVirMonSvc) - Unknown owner - C:\Program Files\MKS\Bin\mksmonsv.exe
O23 - Service: MkS_Scan - Unknown owner - C:\Program Files\MKS\Bin\mks_scan.exe
O23 - Service: NVIDIA Display Driver Service (NVSvc) - NVIDIA Corporation - C:\WINDOWS\System32\nvsvc32.exe

oczywiście wszystkie czynności wykonuję w trybie awaryjnym z wyłączonym przywracaniem systemu tak ?

a SpySheriff'a usunąłem z http://www.searchengines.pl/phpbb203/index.php?showtopic=31936

co teraz po kolei ?

:EDIT: Dobra...porobione ...synem musze sie zająć..... do jutra.
Dzięki za ew. odpowiedzi..
pzdr

[Tom@szek]

Zasady usuwania w temacie przyklejonym.

C:\Program Files\Information Update\iu.exe - trojan

Tutaj czyścisz cały katalog Temp.

C:\DOCUME~1\ADMINI~1\USTAWI~1\Temp\13026.exe

R1 - HKCU\Software\Microsoft\Internet Connection Wizard,ShellNext = wmplayer.exe

O4 - HKLM\..\Run: [Time Sync] C:\Program Files\Time Sync\time.exe

O4 - HKLM\..\Run: [Information Update] C:\Program Files\Information Update\iu.exe

Śmieć

O4 - Startup: Rejestrowanie produktów Corela.lnk = C:\Program Files\Corel\Graphics9\Register\Remind32.exe

i dalej do kasacji:

O21 - SSODL: System - {6BA588EC-23DB-47BE-8822-A07EB999CBDE} - mcsys.dll (file missing)

[gejszon]

WieeeeeeLka dziękówka dla wszystkich!