chyba mam wirusa

**Posty:** 794 · przez **jackman** 21 Wrz 2006, 16:46

a wie tak jak w temacie, mam wirusa i nie wiem co zrobic bo spowalnia mi kompa. A wygląda to tak: na pasku obok zegara pokazuje sie ikona taka:

która miga i zamienia się w tą:

i obok tego jest jeszcze jedna ikona, która też miga:

wiecie może co z tym zrobic???

**Posty:** 8001 · przez **Okocza** 21 Wrz 2006, 16:50

zainstaluj antyvira skan i usun to co Ci wywali w komunikatach. a dla bezpieczeństwa daj loga do sprwdzenia.

przez **jeff** 21 Wrz 2006, 16:51

od czego masz dział bezpieczenstwo :?:

**Posty:** 10223 · przez **Precel** 21 Wrz 2006, 16:54

a co pisze jak najezdzasz na ta ikonke pierwsze to chyba samouczek drugie wyglada na ad aware

**Posty:** 794 · przez **jackman** 21 Wrz 2006, 16:57

jak najezdzam na znak zapytania to czasami wyskakuje cos takiego:
fatal error system

a jak na to klikam to otwiera mi jakies strony internetowe, a jeszcze często otwierają mi się okna internat explorer o tym zeby kupic jakis anytwirus

przez **jeff** 21 Wrz 2006, 16:58

jackman napisał(a): otwierają mi się okna internat explorer o tym zeby kupic jakis anytwirus

czyli masz jakis syf - daj log z Hijacka w TAGACH

http://forum.programosy.pl/hijackthis-amp-silent-runners-gtobsuga-i-umieszczanie-vt9452.html

**Posty:** 794 · przez **jackman** 21 Wrz 2006, 16:59

jak nie dostane bana to moge pokazac wam liki co mi sie otwieraja??

przez **jeff** 21 Wrz 2006, 16:59

daj screena i log !!!!

**Posty:** 31 · przez **pp3088** 21 Wrz 2006, 17:01

Hmm najbardziej będzie potrzebny log, ale linka też możesz wklejić w znaczniku code(aby nikt nie kliknął, przypadkiem), zobacze co to za gagatek

**Posty:** 794 · przez **jackman** 21 Wrz 2006, 17:02

Logfile of HijackThis v1.99.1
Scan saved at 16:46:01, on 2006-09-21
Platform: Windows XP Dodatek SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)

Running processes:
C:\WINNT\System32\smss.exe
C:\WINNT\system32\winlogon.exe
C:\WINNT\system32\services.exe
C:\WINNT\system32\lsass.exe
C:\WINNT\system32\Ati2evxx.exe
C:\WINNT\system32\svchost.exe
C:\WINNT\System32\svchost.exe
C:\WINNT\system32\spoolsv.exe
C:\Program Files\AntiVir PersonalEdition Classic\sched.exe
C:\Program Files\AntiVir PersonalEdition Classic\avguard.exe
C:\WINNT\system32\Ati2evxx.exe
C:\WINNT\Explorer.EXE
C:\Program Files\strCodec\pmmon.exe
C:\Program Files\strCodec\isamonitor.exe
C:\WINNT\htpatch.exe
C:\Program Files\strCodec\isamini.exe
C:\WINNT\AGRSMMSG.exe
C:\WINNT\system32\rundll32.exe
C:\Program Files\ATI Technologies\ATI.ACE\cli.exe
C:\WINNT\system32\ctfmon.exe
C:\Program Files\Gadu-Gadu\gg.exe
C:\WINNT\system32\RaConfig.exe
C:\Program Files\BitComet068DHT\BitComet068DHT.exe
C:\Program Files\FlashGet\flashget.exe
C:\Program Files\ATI Technologies\ATI.ACE\cli.exe
C:\Program Files\ATI Technologies\ATI.ACE\cli.exe
C:\Program Files\Hamachi\hamachi.exe
C:\Program Files\strCodec\pmsngr.exe
C:\Program Files\Winamp\winamp.exe
C:\WINNT\system32\svchost.exe
C:\Program Files\Mozilla Firefox\firefox.exe
C:\PROGRA~1\INCRED~1\bin\IMApp.exe
C:\Documents and Settings\Mateusz\Pulpit\hijackthis_199\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.google.pl/
R1 - HKCU\Software\Microsoft\Internet Connection Wizard,ShellNext = http://www.incredimail.com/page.asp?page=reg_success&lang=9&version=5202407&setup_id=2&aff_id=1&addon=IncrediMail
R1 - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings,ProxyServer = :
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Łącza
O2 - BHO: Adobe PDF Reader Link Helper - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Program Files\Adobe\Acrobat 7.0\ActiveX\AcroIEHelper.dll
O2 - BHO: (no name) - {202a961f-23ae-42b1-9505-ffe3c818d717} - C:\Program Files\strCodec\isaddon.dll
O2 - BHO: URLLink - {4A2AACF3-ADF6-11D5-98A9-00E018981B9E} - C:\Program Files\NewDotNet\newdotnet7_22.dll
O2 - BHO: SSVHelper Class - {761497BB-D6F0-462C-B6EB-D4DAF1D92D43} - C:\Program Files\Java\jre1.5.0_06\bin\ssv.dll
O2 - BHO: IeCatch2 Class - {A5366673-E8CA-11D3-9CD9-0090271D075B} - C:\PROGRA~1\FlashGet\jccatch.dll
O2 - BHO: (no name) - {AA58ED58-01DD-4d91-8333-CF10577473F7} - (no file)
O2 - BHO: AlxTB BHO Class - {F1FABE79-25FC-46de-8C5A-2C6DB9D64333} - (no file)
O3 - Toolbar: (no name) - {2318C2B1-4965-11d4-9B18-009027A5CD4F} - (no file)
O3 - Toolbar: FlashGet Bar - {E0E899AB-F487-11D5-8D29-0050BA6940E3} - C:\PROGRA~1\FlashGet\fgiebar.dll
O3 - Toolbar: Yahoo! Toolbar - {EF99BD32-C1FB-11D2-892F-0090271D4F88} - (no file)
O3 - Toolbar: Protection Bar - {479fd0cf-5be9-4c63-8cda-b6d371c67bd5} - C:\Program Files\strCodec\iesplugin.dll
O4 - HKLM\..\Run: [HTpatch] C:\WINNT\htpatch.exe
O4 - HKLM\..\Run: [SiSUSBRG] C:\WINNT\SiSUSBrg.exe
O4 - HKLM\..\Run: [Cmaudio] RunDll32 cmicnfg.cpl,CMICtrlWnd
O4 - HKLM\..\Run: [AGRSMMSG] AGRSMMSG.exe
O4 - HKLM\..\Run: [New.net Startup] rundll32 C:\PROGRA~1\NEWDOT~1\NEWDOT~2.DLL,ClientStartup -s
O4 - HKLM\..\Run: [ATICCC] "C:\Program Files\ATI Technologies\ATI.ACE\cli.exe" runtime -Delay
O4 - HKLM\..\Run: [KernelFaultCheck] %systemroot%\system32\dumprep 0 -k
O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINNT\system32\ctfmon.exe
O4 - HKCU\..\Run: [Gadu-Gadu] "C:\Program Files\Gadu-Gadu\gg.exe" /tray
O4 - Global Startup: RaConfig.lnk = C:\WINNT\system32\RaConfig.exe
O8 - Extra context menu item: &Google Search - res://c:\program files\google\GoogleToolbar2.dll/cmsearch.html
O8 - Extra context menu item: &Translate English Word - res://c:\program files\google\GoogleToolbar2.dll/cmwordtrans.html
O8 - Extra context menu item: Backward Links - res://c:\program files\google\GoogleToolbar2.dll/cmbacklinks.html
O8 - Extra context menu item: Cached Snapshot of Page - res://c:\program files\google\GoogleToolbar2.dll/cmcache.html
O8 - Extra context menu item: E&ksport do programu Microsoft Excel - res://C:\PROGRA~1\MICROS~1\OFFICE11\EXCEL.EXE/3000
O8 - Extra context menu item: Mail to a Friend... - http://client.alexa.com/holiday/script/actions/mailto.htm
O8 - Extra context menu item: Similar Pages - res://c:\program files\google\GoogleToolbar2.dll/cmsimilar.html
O8 - Extra context menu item: Translate Page into English - res://c:\program files\google\GoogleToolbar2.dll/cmtrans.html
O8 - Extra context menu item: Ściągnij przy pomocy FlashGet'a - C:\Program Files\FlashGet\jc_link.htm
O8 - Extra context menu item: Ściągnij wszystko przy pomocy FlashGet'a - C:\Program Files\FlashGet\jc_all.htm
O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\jre1.5.0_06\bin\ssv.dll
O9 - Extra 'Tools' menuitem: Sun Java Console - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\jre1.5.0_06\bin\ssv.dll
O9 - Extra button: Badanie - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - C:\PROGRA~1\MICROS~1\OFFICE11\REFIEBAR.DLL
O9 - Extra button: Related - {c95fe080-8f5d-11d2-a20b-00aa003c157a} - C:\WINNT\web\related.htm (file missing)
O9 - Extra 'Tools' menuitem: Show &Related Links - {c95fe080-8f5d-11d2-a20b-00aa003c157a} - C:\WINNT\web\related.htm (file missing)
O9 - Extra button: FlashGet - {D6E814A0-E0C5-11d4-8D29-0050BA6940E3} - C:\PROGRA~1\FlashGet\flashget.exe
O9 - Extra 'Tools' menuitem: &FlashGet - {D6E814A0-E0C5-11d4-8D29-0050BA6940E3} - C:\PROGRA~1\FlashGet\flashget.exe
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe
O10 - Hijacked Internet access by New.Net
O10 - Hijacked Internet access by New.Net
O10 - Hijacked Internet access by New.Net
O10 - Hijacked Internet access by New.Net
O10 - Hijacked Internet access by New.Net
O17 - HKLM\System\CCS\Services\Tcpip\..\{45DE384E-EE04-465D-91BA-3E875C24EB65}: NameServer = 192.168.1.1,194.204.152.34
O21 - SSODL: eeler - {1559e6c1-7e5e-4461-9457-6a2dea85eb9f} - C:\WINNT\system32\titiau.dll
O23 - Service: AntiVir PersonalEdition Classic Scheduler (AntiVirScheduler) - Avira GmbH - C:\Program Files\AntiVir PersonalEdition Classic\sched.exe
O23 - Service: AntiVir PersonalEdition Classic Guard (AntiVirService) - AVIRA GmbH - C:\Program Files\AntiVir PersonalEdition Classic\avguard.exe
O23 - Service: Ati HotKey Poller - Unknown owner - C:\WINNT\system32\Ati2evxx.exe
O23 - Service: ATI Smart - Unknown owner - C:\WINNT\system32\ati2sgag.exe
O23 - Service: C2PublicFolders - Unknown owner - C:\Program Files\CodeTwo\C2PublicFoldersServer\C2PublicFoldersServer.exe (file missing)
O23 - Service: hpdj - Unknown owner - C:\DOCUME~1\Mateusz\USTAWI~1\Temp\hpdj.exe (file missing)
O23 - Service: TuneUp WinStyler Theme Service (TUWinStylerThemeSvc) - TuneUp Software GmbH - C:\Program Files\TuneUp Utilities 2006\WinStylerThemeSvc.exe

[ Dodano: Dzisiaj o 17:04 ]

Kod: Zaznacz wszystko: http://www.virusburst.com/?aff=334

to się otwiera

**Posty:** 18165 · przez **wojtas** 21 Wrz 2006, 17:09

usuwasz z wylaczonym przywracaniem systemu w trybie awaryjnymn
najpierw
sciagasz:
http://www.cexx.org/lspfix.htm

Ododpal LSP-Fix zaznacz "I know what I'm doing" następnie w okienku Keep zaznacz plik który chcesz usunac czyli newdotnet7_22.dll i za pomocą strzałki (>>) przenieś go do okienka Remover i kliknij Finish
potem kasujesz:

R1 - HKCU\Software\Microsoft\Internet Connection Wizard,ShellNext = http://www.incredimail.com/page.asp?page=reg_success&lang=9&version=5202407&setup_id=2&aff_id=1&addon=IncrediMail
O2 - BHO: (no name) - {202a961f-23ae-42b1-9505-ffe3c818d717} - C:\Program Files\strCodec\isaddon.dll
O2 - BHO: (no name) - {AA58ED58-01DD-4d91-8333-CF10577473F7} - (no file)
O2 - BHO: URLLink - {4A2AACF3-ADF6-11D5-98A9-00E018981B9E} - C:\Program Files\NewDotNet\newdotnet7_22.dll
O2 - BHO: AlxTB BHO Class - {F1FABE79-25FC-46de-8C5A-2C6DB9D64333} - (no file)
O3 - Toolbar: (no name) - {2318C2B1-4965-11d4-9B18-009027A5CD4F} - (no file)
O3 - Toolbar: Protection Bar - {479fd0cf-5be9-4c63-8cda-b6d371c67bd5} - C:\Program Files\strCodec\iesplugin.dll
O4 - HKLM\..\Run: [KernelFaultCheck] %systemroot%\system32\dumprep 0 -k
O4 - HKLM\..\Run: [New.net Startup] rundll32 C:\PROGRA~1\NEWDOT~1\NEWDOT~2.DLL,ClientStartup -s

O8 - Extra context menu item: Mail to a Friend... - http://client.alexa.com/holiday/script/actions/mailto.htm
O9 - Extra button: Related - {c95fe080-8f5d-11d2-a20b-00aa003c157a} - C:\WINNT\web\related.htm (file missing)
O9 - Extra 'Tools' menuitem: Show &Related Links - {c95fe080-8f5d-11d2-a20b-00aa003c157a} - C:\WINNT\web\related.htm (file missing)
O21 - SSODL: eeler - {1559e6c1-7e5e-4461-9457-6a2dea85eb9f} - C:\WINNT\system32\titiau.dll
O23 - Service: hpdj - Unknown owner - C:\DOCUME~1\Mateusz\USTAWI~1\Temp\hpdj.exe (file missing)

usuwasz wpisy w hijacku potem pogrubione do kosza po zabiegach nowy llog z hijacka i sillent runners :wink:

**Posty:** 31 · przez **pp3088** 21 Wrz 2006, 17:18

O10 - Hijacked Internet access by New.Net
O10 - Hijacked Internet access by New.Net
O10 - Hijacked Internet access by New.Net
O10 - Hijacked Internet access by New.Net

Ściągasz lspfix -> www.cexx.org
Otwierasz zaznaczasz i`m know what i doing i za pomoca przycisku >>przenosisz obiekt newdotnet(liczba)-(dwie liczby).dll na drugą stronę. I dajesz finish.

2.Uzywasz SmitfFrauda z powodu infekcji IntCodeca. http://siri.urz.free.fr/Fix/SmitfraudFix.php pokazujesz log z C;\rapport.txt

Ściągasz Gmera przechodzisz do CMD

Wpisujesz

RD /S /Q C:\DOCUME~1\Mateusz\USTAWI~1\TEMP
RD /S /Q C:\DOCUME~1\Mateusz\USTAWI~1\TEMPOR~1

Dajesz zabij wszystko, nie patrz na komunikat

Przez 3 kropki (...) wskzaujesz narzędzie HiJack This i kasujesz wpisy jeśli będą.

O2 - BHO: (no name) - {202a961f-23ae-42b1-9505-ffe3c818d717} - C:\Program Files\strCodec\isaddon.dll
O2 - BHO: URLLink - {4A2AACF3-ADF6-11D5-98A9-00E018981B9E} - C:\Program Files\NewDotNet\newdotnet7_22.dl
O3 - Toolbar: Protection Bar - {479fd0cf-5be9-4c63-8cda-b6d371c67bd5} - C:\Program Files\strCodec\iesplugin.dll
O4 - HKLM\..\Run: [KernelFaultCheck] %systemroot%\system32\dumprep 0 -k
O4 - HKLM\..\Run: [New.net Startup] rundll32 C:\PROGRA~1\NEWDOT~1\NEWDOT~2.DLL,ClientStartup -s
O23 - Service: hpdj - Unknown owner - C:\DOCUME~1\Mateusz\USTAWI~1\Temp\hpdj.exe (file missing)

Przedstawiasz logi.

EDIT te dwa wpisy co wymienił wojtas19162
to od google toolbara nieszkodliwe, a Alexy to on pewnie na MU używa.

Kod: Zaznacz wszystko
http://www.virusburst.com/?aff=334

to się otwiera

Tak jak myślałem Smitfraud.

**Posty:** 794 · przez **jackman** 21 Wrz 2006, 17:24

SmitFraudFix v2.97

Scan done at 17:09:02,04, 2006-09-21
Run from C:\Documents and Settings\Mateusz\Pulpit\SmitfraudFix\SmitfraudFix
OS: Microsoft Windows XP [Wersja 5.1.2600] - Windows_NT
Fix ran in normal mode

»»»»»»»»»»»»»»»»»»»»»»»» C:\

»»»»»»»»»»»»»»»»»»»»»»»» C:\WINNT

»»»»»»»»»»»»»»»»»»»»»»»» C:\WINNT\system

»»»»»»»»»»»»»»»»»»»»»»»» C:\WINNT\Web

»»»»»»»»»»»»»»»»»»»»»»»» C:\WINNT\system32

»»»»»»»»»»»»»»»»»»»»»»»» C:\Documents and Settings\Mateusz\Application Data

»»»»»»»»»»»»»»»»»»»»»»»» Start Menu

»»»»»»»»»»»»»»»»»»»»»»»» C:\DOCUME~1\Mateusz\Ulubione

»»»»»»»»»»»»»»»»»»»»»»»» Desktop

»»»»»»»»»»»»»»»»»»»»»»»» C:\Program Files

»»»»»»»»»»»»»»»»»»»»»»»» Corrupted keys

»»»»»»»»»»»»»»»»»»»»»»»» Desktop Components

»»»»»»»»»»»»»»»»»»»»»»»» Sharedtaskscheduler
!!!Attention, following keys are not inevitably infected!!!

SrchSTS.exe by S!Ri
Search SharedTaskScheduler's .dll

»»»»»»»»»»»»»»»»»»»»»»»» AppInit_DLLs
!!!Attention, following keys are not inevitably infected!!!

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Windows]
"AppInit_DLLs"=""

»»»»»»»»»»»»»»»»»»»»»»»» pe386-msguard-lzx32

»»»»»»»»»»»»»»»»»»»»»»»» Scanning wininet.dll infection

»»»»»»»»»»»»»»»»»»»»»»»» End

przez **jeff** 21 Wrz 2006, 17:28

daj nowy log po usuwaniu

**Posty:** 31 · przez **pp3088** 21 Wrz 2006, 17:29

Uuu niedobrze jakaś nowa bestia chyba

Do lini CMd w Gmerze dodaj

CD C:\Program Files
DEL strCodec

**Posty:** 794 · przez **jackman** 22 Wrz 2006, 16:22

siema
odezwala sie jakas bestia i przez nia nie moglem nic zrobic, polaczyc sie z internetem i musialem zrobic format c

dziekuje wszystkim za pomoc

chyba mam wirusa

chyba mam wirusa

Kto jest na forum