Wiem ! Było. Problem z CWS :-((

[Gość: jacekp]

Niestety, nic nie działa ! Czyli nie działa: CWS Shredder, Hijack This ani Ad-
ware, nie zainstalowanie Virtual Java Machine lub coś podobnego (chyba kiedyś
JP pisał o tym w jakimś poście). Niechciana wyszukiwarka wciąż się pojawia.
Tj. nawet jeśli znika to tylko na parę godzin. Proszę o pomoc i zamieszczam
log z Hijacka. Dodam tylko, że czyszczenie linii R1 i R0 nic nie daje, bo
pojawiają się od nowa. Z góry wielkie dzięki za wszelką pomoc.

Logfile of HijackThis v1.97.7
Scan saved at 19:36:54, on 2004-06-13
Platform: Windows XP Dodatek SP. 1 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP1 (6.00.2800.1106)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\Program Files\Common Files\Symantec Shared\ccSetMgr.exe
C:\Program Files\Common Files\Symantec Shared\ccEvtMgr.exe
C:\WINDOWS\system32\LEXBCES.EXE
C:\WINDOWS\system32\spoolsv.exe
C:\WINDOWS\system32\LEXPPS.EXE
C:\Program Files\Norton AntiVirus 2004\navapsvc.exe
C:\Program Files\Norton AntiVirus 2004\SAVScan.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\Explorer.EXE
C:\Program Files\Common Files\Symantec Shared\ccApp.exe
C:\PROGRA~1\A4Tech\Mouse\Amoumain.exe
C:\WINDOWS\System32\rmctrl.exe
C:\Program Files\Ahead\InCD\InCD.exe
C:\Program Files\Nokia\Nokia PC Suite 5\DataLayer.exe
C:\Program Files\Common Files\Nokia\NCLTools\NclTray.exe
C:\Program Files\Common files\WinTools\WToolsA.exe
C:\Program Files\Messenger\msmsgs.exe
C:\Program Files\Common Files\Nokia\Services\ServiceLayer.exe
C:\Program Files\Common files\WinTools\WSup.exe
C:\Program Files\Hewlett-Packard\Digital Imaging\bin\hpobnz08.exe
C:\Program Files\Hewlett-Packard\Digital Imaging\bin\hpotdd01.exe
C:\Program Files\Hewlett-Packard\Digital Imaging\bin\hpoevm08.exe
C:\Program Files\Hewlett-Packard\Digital Imaging\Bin\hpoSTS08.exe
C:\Documents and Settings\jacekp\Pulpit\Awarie\HijackThis.exe

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Bar =
file://C:\DOCUME~1\jacekp\USTAWI~1\Temp\sp.html
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page =
file://C:\DOCUME~1\jacekp\USTAWI~1\Temp\sp.html
R1 - HKCU\Software\Microsoft\Internet Explorer\Search,SearchAssistant =
file://C:\DOCUME~1\jacekp\USTAWI~1\Temp\sp.html
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Bar =
file://C:\DOCUME~1\jacekp\USTAWI~1\Temp\sp.html
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page =
file://C:\DOCUME~1\jacekp\USTAWI~1\Temp\sp.html
R0 - HKLM\Software\Microsoft\Internet Explorer\Search,SearchAssistant =
file://C:\DOCUME~1\jacekp\USTAWI~1\Temp\sp.html
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,HomeOldSP = about:blank
R3 - URLSearchHook: (no name) - {707E6F76-9FFB-4920-A976-EA101271BC25} - (no
file)
O2 - BHO: (no name) - {447160CD-ECF5-4EA2-8A8A-1F70CA363F85} -
C:\WINDOWS\System32\msibkd.dll (file missing)
O2 - BHO: (no name) - {87766247-311C-43B4-8499-3D5FEC94A183} - C:\PROGRA~1
\COMMON~1\WinTools\WToolsB.dll
O2 - BHO: (no name) - {EB4EFFD1-0764-4B29-89D9-A78D2A81FE0D} -
C:\WINDOWS\System32\jjkhnn.dll
O3 - Toolbar: Norton AntiVirus - {42CDD1BF-3FFB-4238-8AD1-7859DF00B1D6} -
C:\Program Files\Norton AntiVirus 2004\NavShExt.dll
O4 - HKLM\..\Run: [ccApp] "C:\Program Files\Common Files\Symantec
Shared\ccApp.exe"
O4 - HKLM\..\Run: [WheelMouse] C:\PROGRA~1\A4Tech\Mouse\Amoumain.exe
O4 - HKLM\..\Run: [RemoteControl] C:\WINDOWS\System32\rmctrl.exe
O4 - HKLM\..\Run: [NeroCheck] C:\WINDOWS\system32\NeroCheck.exe
O4 - HKLM\..\Run: [InCD] C:\Program Files\Ahead\InCD\InCD.exe
O4 - HKLM\..\Run: [DataLayer] C:\Program Files\Nokia\Nokia PC Suite 5
\DataLayer.exe
O4 - HKLM\..\Run: [Nokia Tray Application] C:\Program Files\Common
Files\Nokia\NCLTools\NclTray.exe
O4 - HKLM\..\Run: [WinTools] C:\Program Files\Common
files\WinTools\WToolsA.exe
O4 - HKLM\..\Run: [TV Media] C:\Program Files\TV Media\Tvm.exe
O4 - HKCU\..\Run: [MSMSGS] "C:\Program Files\Messenger\msmsgs.exe" /background
O4 - HKCU\..\Run: [TV Media] C:\Program Files\TV Media\Tvm.exe
O4 - Global Startup: hp psc 2000 Series.lnk = C:\Program Files\Hewlett-
Packard\Digital Imaging\bin\hpobnz08.exe
O4 - Global Startup: hpoddt01.exe.lnk = ?
O8 - Extra context menu item: E&ksport do programu Microsoft Excel -
res://C:\PROGRA~1\MICROS~2\OFFICE11\EXCEL.EXE/3000
O9 - Extra button: Badanie (HKLM)
O16 - DPF: BPHOnl - e-bank.bphpbk.pl/bph/portal/starts.nsf/econline/
$File/BPHOnl.cab
O16 - DPF: {3E68E405-C6DE-49FF-83AE-41EE9F4C36CE} (Office Update Installation
Engine) - office.microsoft.com/officeupdate/content/opuc.cab
O16 - DPF: {92ECE6FA-AC2E-4042-BFAE-0C8608E52A43} (SignActivX Control) -
www.bph.pl/pi/components/SignActivX.cab
O16 - DPF: {9F1C11AA-197B-4942-BA54-47A8489BB47F} (Update Class) -
v4.windowsupdate.microsoft.com/CAB/x86/unicode/iuctl.CAB?37952.3970138889
O16 - DPF: {D27CDB6E-AE6D-11CF-96B8-444553540000} (Shockwave Flash Object) -
download.macromedia.com/pub/shockwave/cabs/flash/swflash.cab
O16 - DPF: {E7544C6C-CFD6-43EA-B4E9-360CEE20BDF7} (MainControl Class) -
skaner.mks.com.pl/SkanerOnline.cab
O17 - HKLM\System\CCS\Services\Tcpip\..\{EF30C85F-1472-4E4F-94C3-
2B87DF6D9F52}: NameServer = 192.168.1.1,0.0.0.0

[Gość: piecyk gazowy]

www.searchengines.pl/phpbb203/index.php?showtopic=14185

[Gość: jacekp]

dzięki - jednym słowem (cwsearchx) - uważasz, że jest kicha !?

[Gość: piecyk gazowy]

Sorry, nie rozumiem pytania! :-)

[Gość: jacekp]

dwa cytaciki spod linka:

< Jest to trojan o nazwie CWS.Searchx. Wejścia te wyglądają na oczywiste i
wydawać by się mogło że proste ich zahaczywowanie i usunięcie w HijackThis
zakończy sprawę. Często tak jest jeśli trojan ten jest w czystej postaci.
Niestety bardzo często występuje on w komplecie z innym trojanem
CWS.Realyellowpage stając się kompletnie niesuwalny. CWS.Realyellowpage jest
absolutnie niewidoczny dla HijackThis a tym bardziej dla innych narzędzi
usuwających.
< Jeśli pomimo tych wszystkich zabiegów nadal będzie about:blank to nie ma już
innego sposobu jak format c!

Tym niemniej oczywiście spróbuję tych metod !

[Gość: JP]

Wlasciwie opowiedz piecyka wszysko wyjasnia i rozwiazuje problem ale sprobuje
dodac cos do tego.
Wydaje mi sie ze masz tam wie zbednych rzeczy ktore uruchamiaja sie z systemem
i ktore moga spowalniac prace komputera.
Napisz jaki to system.

[Gość: piecyk gazowy]

Platform: Windows XP Dodatek SP. 1 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP1 (6.00.2800.1106)

[Gość: JP]

Oczywiscie gapa ze mnie.

Ususn caly folder C:\DOCUME~1\jacekp\USTAWI~1\Temp
Usun takze plik C:\WINDOWS\System32\fimioe.dll

Zahacz i Fix w HiJack
> R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Bar =
> file://C:\DOCUME~1\jacekp\USTAWI~1\Temp\sp.html
> R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page =
> file://C:\DOCUME~1\jacekp\USTAWI~1\Temp\sp.html
> R1 - HKCU\Software\Microsoft\Internet Explorer\Search,SearchAssistant =
> file://C:\DOCUME~1\jacekp\USTAWI~1\Temp\sp.html
> R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Bar =
> file://C:\DOCUME~1\jacekp\USTAWI~1\Temp\sp.html
> R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page =
> file://C:\DOCUME~1\jacekp\USTAWI~1\Temp\sp.html
> R0 - HKLM\Software\Microsoft\Internet Explorer\Search,SearchAssistant =
> file://C:\DOCUME~1\jacekp\USTAWI~1\Temp\sp.html
> R1 - HKCU\Software\Microsoft\Internet Explorer\Main,HomeOldSP = about:blank
> R3 - URLSearchHook: (no name) - {707E6F76-9FFB-4920-A976-EA101271BC25} - (no
> file)
> O2 - BHO: (no name) - {447160CD-ECF5-4EA2-8A8A-1F70CA363F85} -
> C:\WINDOWS\System32\msibkd.dll (file missing)

Restartuj komp i zrob ponownie skan w HiJack i daj tu nowy log.

[Gość: JP]

Wywal takze:
O2 - BHO: (no name) - {EB4EFFD1-0764-4B29-89D9-A78D2A81FE0D} -
C:\WINDOWS\System32\jjkhnn.dll

[Gość: jacekp]

chyba chwilowy sukces - po wycięciu wskazanych linii + restarcie strona blank
jest faktycznie pusta, ale log zapowiada dalsze problemy :-(

Logfile of HijackThis v1.97.7
Scan saved at 22:39:06, on 2004-06-13
Platform: Windows XP Dodatek SP. 1 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP1 (6.00.2800.1106)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\Program Files\Common Files\Symantec Shared\ccSetMgr.exe
C:\Program Files\Common Files\Symantec Shared\ccEvtMgr.exe
C:\WINDOWS\system32\LEXBCES.EXE
C:\WINDOWS\system32\spoolsv.exe
C:\WINDOWS\system32\LEXPPS.EXE
C:\Program Files\Norton AntiVirus 2004\navapsvc.exe
C:\Program Files\Norton AntiVirus 2004\SAVScan.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\Explorer.EXE
C:\Program Files\Common Files\Symantec Shared\ccApp.exe
C:\PROGRA~1\A4Tech\Mouse\Amoumain.exe
C:\WINDOWS\System32\rmctrl.exe
C:\Program Files\Ahead\InCD\InCD.exe
C:\Program Files\Nokia\Nokia PC Suite 5\DataLayer.exe
C:\Program Files\Common Files\Nokia\NCLTools\NclTray.exe
C:\Program Files\Common files\WinTools\WToolsA.exe
C:\Program Files\Messenger\msmsgs.exe
C:\Program Files\Common Files\Nokia\Services\ServiceLayer.exe
C:\Program Files\Hewlett-Packard\Digital Imaging\bin\hpobnz08.exe
C:\Program Files\Hewlett-Packard\Digital Imaging\bin\hpotdd01.exe
C:\Program Files\Common files\WinTools\WSup.exe
C:\Program Files\Hewlett-Packard\Digital Imaging\bin\hpoevm08.exe
C:\WINDOWS\System32\HPZipm12.exe
C:\Program Files\Hewlett-Packard\Digital Imaging\Bin\hpoSTS08.exe
C:\Documents and Settings\jacekp\Pulpit\Awarie\HijackThis.exe

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Bar =
file://C:\DOCUME~1\jacekp\USTAWI~1\Temp\sp.html
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page =
file://C:\DOCUME~1\jacekp\USTAWI~1\Temp\sp.html
R1 - HKCU\Software\Microsoft\Internet Explorer\Search,SearchAssistant =
file://C:\DOCUME~1\jacekp\USTAWI~1\Temp\sp.html
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Bar =
file://C:\DOCUME~1\jacekp\USTAWI~1\Temp\sp.html
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page =
file://C:\DOCUME~1\jacekp\USTAWI~1\Temp\sp.html
R0 - HKLM\Software\Microsoft\Internet Explorer\Search,SearchAssistant =
file://C:\DOCUME~1\jacekp\USTAWI~1\Temp\sp.html
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,HomeOldSP = about:blank
R3 - URLSearchHook: (no name) - {707E6F76-9FFB-4920-A976-EA101271BC25} -
C:\Program Files\TV Media\TvmBho.dll
O2 - BHO: (no name) - {87766247-311C-43B4-8499-3D5FEC94A183} - C:\PROGRA~1
\COMMON~1\WinTools\WToolsB.dll
O3 - Toolbar: Norton AntiVirus - {42CDD1BF-3FFB-4238-8AD1-7859DF00B1D6} -
C:\Program Files\Norton AntiVirus 2004\NavShExt.dll
O4 - HKLM\..\Run: [ccApp] "C:\Program Files\Common Files\Symantec
Shared\ccApp.exe"
O4 - HKLM\..\Run: [WheelMouse] C:\PROGRA~1\A4Tech\Mouse\Amoumain.exe
O4 - HKLM\..\Run: [RemoteControl] C:\WINDOWS\System32\rmctrl.exe
O4 - HKLM\..\Run: [NeroCheck] C:\WINDOWS\system32\NeroCheck.exe
O4 - HKLM\..\Run: [InCD] C:\Program Files\Ahead\InCD\InCD.exe
O4 - HKLM\..\Run: [DataLayer] C:\Program Files\Nokia\Nokia PC Suite 5
\DataLayer.exe
O4 - HKLM\..\Run: [Nokia Tray Application] C:\Program Files\Common
Files\Nokia\NCLTools\NclTray.exe
O4 - HKLM\..\Run: [WinTools] C:\Program Files\Common files\WinTools\WToolsA.exe
O4 - HKLM\..\Run: [TV Media] C:\Program Files\TV Media\Tvm.exe
O4 - HKCU\..\Run: [MSMSGS] "C:\Program Files\Messenger\msmsgs.exe" /background
O4 - HKCU\..\Run: [TV Media] C:\Program Files\TV Media\Tvm.exe
O4 - Global Startup: hp psc 2000 Series.lnk = C:\Program Files\Hewlett-
Packard\Digital Imaging\bin\hpobnz08.exe
O4 - Global Startup: hpoddt01.exe.lnk = ?
O8 - Extra context menu item: E&ksport do programu Microsoft Excel -
res://C:\PROGRA~1\MICROS~2\OFFICE11\EXCEL.EXE/3000
O9 - Extra button: Badanie (HKLM)
O16 - DPF: BPHOnl - e-bank.bphpbk.pl/bph/portal/starts.nsf/econline/
$File/BPHOnl.cab
O16 - DPF: {3E68E405-C6DE-49FF-83AE-41EE9F4C36CE} (Office Update Installation
Engine) - office.microsoft.com/officeupdate/content/opuc.cab
O16 - DPF: {92ECE6FA-AC2E-4042-BFAE-0C8608E52A43} (SignActivX Control) -
www.bph.pl/pi/components/SignActivX.cab
O16 - DPF: {9F1C11AA-197B-4942-BA54-47A8489BB47F} (Update Class) -
v4.windowsupdate.microsoft.com/CAB/x86/unicode/iuctl.CAB?37952.3970138889
O16 - DPF: {D27CDB6E-AE6D-11CF-96B8-444553540000} (Shockwave Flash Object) -
download.macromedia.com/pub/shockwave/cabs/flash/swflash.cab
O16 - DPF: {E7544C6C-CFD6-43EA-B4E9-360CEE20BDF7} (MainControl Class) -
skaner.mks.com.pl/SkanerOnline.cab
O17 - HKLM\System\CCS\Services\Tcpip\..\{EF30C85F-1472-4E4F-94C3-2B87DF6D9F52}:
NameServer = 192.168.1.1,0.0.0.0

[Gość: JP]

Wyglada na to ze masz tzw ukryty dll.

Tu sposob na jego usuniecie.
Sciganij i zainstaluj program Registrar Lite ze strony
www.resplendence.com/reglite
lub bezposrednio www.resplendence.com/download/reglite.exe

1. Uruchom program.
2. Idz do wartosci klucza:
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows
NT\CurrentVersion\Windows\\AppInit_DLLs
lub wklej ten adres do okienka adresowego i kliknij GO.
3. Kliknij prawym przyciskiem myszy na AppInit_DLLs i wybierz Properties.
Jezeli w ostatniej pozycji Value jest nazwa pliku .dll to jest ten ukryty plik
i jego musisz sie pozbyc z systemu.
Zapisz jego nazwe na kartce.
Pamietaj, ze usuniecie jego wartosci w kluczu nie usuwa jeszcze samego pliku.
4. Zmien nazwe folderu Windows w lewej czesci okna na nazwe NOTWINDOWS (stojac
na tym folderze prawy przycisk myszy i Rename).
5. Teraz kliknij jeszcze raz na AppInit_DLLs i usun wartosc tego klucza (pod
Value ma byc pusto). To usunie plik twoj.dll z rejestrow.
6. Zmien nazwe folderu NOTWindows (po lewej stronie okna) z powrotem na Windows.
Zamknij program Registrar.
7. Nastepny krok dotyczy usuniecia tego pliku z systemu.
Start - Uruchom - wpisz cmd i OK.
Zakladam ze ten dll jest w folderze c:\Windows\Sysyem32.
Zmien katalog w Command Prompt (konsoli) wpisujac "cd C:\windows\system32" (bez
cudzyslowia) i Enter.
Wpisz dalej: "attrib -r nazwapliku.dll" (nie zapomnij o odstepach). Enter.
Nastepnie wpisz: "del nazwapliku.dll" (bez cudzyslowia). Enter.

To powinno usunac ten ukryty plik dll.
Teraz uruchom ponownie Hijackthis i usun ponownie niechciane linie.

[Gość: jacekp]

dzięki za pomoc - wszystko szło dobrze do momentu gdy użyłem komendy attrib -
wtedy okazało się że pliku o danej nazwie ... nie ma pod daną ścieżką
(oczywiście, wg registrara, ścieżka była taka jaką podałeś).

[Gość: JP]

Rozumiem ze znalazles i poprawnie zapisales nazwe tego pliku. Usunales takze
wartosc tego klucza w rejestrach jak pisalem.
Na wszelki wypadek sprawdz czy po restarcie plik ten stanie sie widzialny i
bedziesz mogl go znalezc z poziomu Windows.
Pamietaj takze ze zmiana jego nazwy rowna sie w tym przypadku z jego usunieciem
a wiec jak nie bedziesz mogl go usunac, zmien jego nazwe.
Sprawdz takze czy rejestr w dalszym ciagu trzyma puste miejsce przy tej
wartosci klucza.

Zalozylem ze plik ten znajduje sie w c:\windows\system32\ choc zdarza sie ze
jest w c:\winnt\system32\
W konsoli DOS przejdz na sciezke katalogu np c:\windows\system32\ i wpisz
dir /p *.dll
Nastepnie uzywajac klawisza szukac strona po stronie az znajdziesz ten plik.
Dopiero jak go zlokalizujesz mozesz zmienic jego atrybuty i usunac go.

Generalnie rzecz biorac problem nie jest prosty i wymaga prob.

Mozesz takze sprobowac wystartowac komp w trybie Safe Mode z Command Prompt i
wtedy szukac. Wzglednie wloz jakis bootdisc z systemem i w ten sposob sprobuj
go znalezc.
Po usunieciu jego z rejestrow jest takze mozliwe ze programy takie jak
CWShredder usuna sam plik autoamtycznie. Probuj.

Jezeli i te proby zawioda dam ci nastepne wskazowki.
Osobiscie nie spotkalem sie z tego typu spyware i opieram sie na wypowiedziach
forum SpywareInfo. Tam wszyscy w konsekwencji poradzili sobie z nim.

www.spywareinfo.com/forums/index.php?showtopic=43492&st=0
7 stron.

[Gość: Jacekp]

Dzięki / Thank U :-) Chyba rozwiązałem problem, ale przez użycie Spybota (od
wczoraj rana 0 problemów). Niemniej zachowam Twój post "just in case".
Pozdrawiam serdecznie.

[Gość: JP]

Dotychczas Spybot sobie z tym nie radzil. Mysle ze pomogles Spybotowi usuwajac
smiecia z rejestrow.

Anyway ciesze sie ze nie poszedles za namowa innych do formatu.
Dla mnie format, powinno sie robic tylko jak sie kupuje nowy dysk twardy. Nigdy
wiecej.

Pozdrawiam,

[Gość: Jacekp]

Format ? Na to bym nie poszedł, za to proponowano mi reinstalację ... Chyba bez
sensu, nie ???