SEARCHPAGE.HTML - CZEKAM NA ODPOWIEDŹ NETSECA

[Gość: grzelukmy]

zostałem tutaj skierowany przez kalinowski11, który dał mi linka, w którym
Netsec mówi jakiemuś gościu by uruchomił Hijackthis i zawartość zapisanego
wcześniej loga wkleił tutaj, więc czekam na odpowiedź Netseca a o to log:

R1 - HKCU\Software\Microsoft\Internet Explorer,SearchURL = c:\searchpage.html
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page =
c:\searchpage.html
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page =
www.onet.pl/
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Default_Page_URL =
c:\searchpage.html
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Default_Search_URL =
c:\searchpage.html
R1 - HKCU\Software\Microsoft\Internet Explorer\Search,SearchAssistant =
c:\searchpage.html
R1 - HKCU\Software\Microsoft\Internet Explorer\Search,CustomizeSearch =
c:\searchpage.html
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page =
c:\searchpage.html
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Bar =
wfix.com/searchbar.html
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page =
c:\searchpage.html
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL =
c:\searchpage.html
R0 - HKLM\Software\Microsoft\Internet Explorer\Search,CustomizeSearch =
c:\searchpage.html
R0 - HKLM\Software\Microsoft\Internet Explorer\Search,SearchAssistant =
c:\searchpage.html
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Łącza
R1 - HKCU\Software\Microsoft\Internet Explorer,Search = c:\searchpage.html
R1 - HKLM\Software\Microsoft\Internet Explorer,Search = c:\searchpage.html
R3 - Default URLSearchHook is missing
O2 - BHO: (no name) - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\PROGRAM
FILES\ADOBE\ACROBAT 5.0 CE\READER\ACTIVEX\ACROIEHELPER.OCX
O2 - BHO: (no name) - {9B383151-59C0-DFA7-7CC8-AB1F1A15933B} - (no file)
O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} -
C:\WINDOWS\SYSTEM\MSDXM.OCX
O4 - HKLM\..\Run: [ScanRegistry] C:\WINDOWS\scanregw.exe /autorun
O4 - HKLM\..\Run: [TaskMonitor] C:\WINDOWS\taskmon.exe
O4 - HKLM\..\Run: [SystemTray] SysTray.Exe
O4 - HKLM\..\Run: [LoadPowerProfile] Rundll32.exe
powrprof.dll,LoadCurrentPwrScheme
O4 - HKLM\..\Run: [PCCIOMON.EXE] "C:\Program Files\Trend PC-cillin 2000
\PCCIOMON.EXE"
O4 - HKLM\..\Run: [pop3trap.exe] "C:\Program Files\Trend PC-cillin 2000
\pop3trap.exe"
O4 - HKLM\..\Run: [WebTrap.exe] "C:\Program Files\Trend PC-cillin 2000
\WebTrap.exe"
O4 - HKLM\..\Run: [Zasobnik systemowy] SysTray.Exe
O4 - HKLM\..\Run: [SoundMan] soundman.exe
O4 - HKLM\..\Run: [CARPService] carpserv.exe
O4 - HKLM\..\Run: [QuickTime Task] "C:\WINDOWS\SYSTEM\QTTASK.EXE" -atboottime
O4 - HKLM\..\Run: [SysUpd] C:\WINDOWS\SYSUPD.EXE
O4 - HKLM\..\Run: [CriticalUpdate] C:\WINDOWS\SYSTEM\wucrtupd.exe -startup
O4 - HKLM\..\RunServices: [SchedulingAgent] mstask.exe
O4 - HKCU\..\Run: [Gadu-Gadu] "C:\PROGRAM FILES\GADU-GADU\GG.EXE" /tray
O4 - HKCU\..\Run: [SendSMS] C:\PROGRAM FILES\SENDSMS\SENDSMS.exe
O4 - HKCU\..\Run: [System Update] C:\WINDOWS\System\taskman.exe
O4 - HKCU\..\Run: [Disk Master] C:\WINDOWS\diskserv.exe
O9 - Extra button: MP3 (HKLM)
O9 - Extra 'Tools' menuitem: &WinMp3Locator (HKLM)
O9 - Extra button: Files (HKLM)
O9 - Extra 'Tools' menuitem: &FileLocator (HKLM)
O12 - Plugin for .pcg: C:\PROGRA~1\INTERN~1\PLUGINS\nppcgplg.dll
O13 - DefaultPrefix: c:\searchpage.html?page=
O13 - WWW Prefix: c:\searchpage.html?page=
O13 - Home Prefix: c:\searchpage.html?page=
O13 - Mosaic Prefix: c:\searchpage.html?page=
O16 - DPF: {D27CDB6E-AE6D-11CF-96B8-444553540000} (Shockwave Flash Object) -
download.macromedia.com/pub/shockwave/cabs/flash/swflash.cab
O16 - DPF: komentator - info.onet.pl/komentator.cab
O16 - DPF: {11111111-1111-1111-1111-111111111111} -
fotosex.pl/msuser32.exe
O16 - DPF: {166B1BCA-3F9C-11CF-8075-444553540000} (Shockwave ActiveX
Control) - download.macromedia.com/pub/shockwave/cabs/director/sw.cab
O16 - DPF: {9F1C11AA-197B-4942-BA54-47A8489BB47F} (Update Class) -
v4.windowsupdate.microsoft.com/CAB/x86/ansi/iuctl.CAB?38051.336712963
O16 - DPF: {41F17733-B041-4099-A042-B518BB6A408C} -
a1540.g.akamai.net/7/1540/52/20031216/qtinstall.info.apple.com/mickey/us/win/QuickTimeInstaller.exe
O16 - DPF: {1D4DB7D2-6EC9-47A3-BD87-1E41684E07BB} -
ak.imgfarm.com/images/nocache/funwebproducts/ei/SmileyCentralInitialSetup1.0.0.8.cab
O16 - DPF: {56336BCB-3D8A-11D6-A00B-0050DA18DE71} (RdxIE Class) -
software-dl.real.com/055262a2133c15869c19/netzip/RdxIE601.cab
O17 - HKLM\System\CCS\Services\VxD\MSTCP: Domain = ceron.pl
O17 - HKLM\System\CCS\Services\VxD\MSTCP: NameServer =
194.204.152.34,212.244.166.20

[netsec]

Gość portalu: grzelukmy napisał(a):

> zostałem tutaj skierowany przez kalinowski11, który dał mi linka, w którym
> Netsec mówi jakiemuś gościu by uruchomił Hijackthis i zawartość zapisanego
> wcześniej loga wkleił tutaj, więc czekam na odpowiedź Netseca a o to log:

Uruchom ponownie HijackThis wykonaj Scan i zaznacz te pozycje:

R1 - HKCU\Software\Microsoft\Internet Explorer,SearchURL = c:\searchpage.html
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page =
c:\searchpage.html
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page =
www.onet.pl/
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Default_Page_URL =
c:\searchpage.html
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Default_Search_URL =
c:\searchpage.html
R1 - HKCU\Software\Microsoft\Internet Explorer\Search,SearchAssistant =
c:\searchpage.html
R1 - HKCU\Software\Microsoft\Internet Explorer\Search,CustomizeSearch =
c:\searchpage.html
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page =
c:\searchpage.html
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Bar =
wfix.com/searchbar.html
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page =
c:\searchpage.html
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL =
c:\searchpage.html
R0 - HKLM\Software\Microsoft\Internet Explorer\Search,CustomizeSearch =
c:\searchpage.html
R0 - HKLM\Software\Microsoft\Internet Explorer\Search,SearchAssistant =
c:\searchpage.html
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Łącza
R1 - HKCU\Software\Microsoft\Internet Explorer,Search = c:\searchpage.html
R1 - HKLM\Software\Microsoft\Internet Explorer,Search = c:\searchpage.html
R3 - Default URLSearchHook is missing
O2 - BHO: (no name) - {9B383151-59C0-DFA7-7CC8-AB1F1A15933B} - (no file)
O4 - HKLM\..\Run: [SysUpd] C:\WINDOWS\SYSUPD.EXE
O4 - HKLM\..\RunServices: [SchedulingAgent] mstask.exe
O4 - HKCU\..\Run: [System Update] C:\WINDOWS\System\taskman.exe
O4 - HKCU\..\Run: [Disk Master] C:\WINDOWS\diskserv.exe
O9 - Extra button: MP3 (HKLM)
O9 - Extra 'Tools' menuitem: &WinMp3Locator (HKLM)
O9 - Extra 'Tools' menuitem: &FileLocator (HKLM)
O12 - Plugin for .pcg: C:\PROGRA~1\INTERN~1\PLUGINS\nppcgplg.dll
O13 - DefaultPrefix: c:\searchpage.html?page=
O13 - WWW Prefix: c:\searchpage.html?page=
O13 - Home Prefix: c:\searchpage.html?page=
O13 - Mosaic Prefix: c:\searchpage.html?page=
O16 - DPF: {11111111-1111-1111-1111-111111111111} -
fotosex.pl/msuser32.exe
a1540.g.akamai.net/7/1540/52/20031216/qtinstall.info.apple.com/mickey/us/win/Qui
ckTimeInstaller.exe
O16 - DPF: {1D4DB7D2-6EC9-47A3-BD87-1E41684E07BB} -
ak.imgfarm.com/images/nocache/funwebproducts/ei/SmileyCentralInitialSetup1.0.0.8
.cab
O17 - HKLM\System\CCS\Services\VxD\MSTCP: Domain = ceron.pl

Wykonaj Fix Checked i potwierdź OK.
W Opcjach Internetowych wyczyść Tymczasowe pliki Internetowe i Cooki.
Ściągnij ten wpis do rejestru
www.spywareinfo.com/downloads/tools/IEFIX.reg
Uruchom klikając,i zaakceptuj wpis.

Ściągnij CWShredder 209.133.47.200/~merijn/files/CWShredder.exe
Uruchom i wykonaj Fix. Przed wykonaniem FIX zamknij wszystkie okna Internet
Explorera, a w trakcie FIX zawsze odpowiadaj OK.

Wyłącz w GG połączenie bezpośrednie. Jest bardzo niebezpieczne, chociaż samo GG
jako takie nie jest bezpieczne.

Po tym uruchom komputer ponownie.

Połącz się z WindowsUpdate www.windowsupdate.com i zaktualizuj system o
wszystkie krytyczne poprawki.

Zainstaluj najprostszy darmowy firewall ZoneAlarm
download.zonelabs.com/bin/free/1012_zl/zlsSetup_45_594_000.exe
Być może plik hosts jest zmodyfikowany, powinien mieć tylko jeden wpis w
ostatniej linii 127.0.0.1 localhost Jeśli są jeszcze inne adresy typu
www.symantec.com to należy je usunąć.

[kalinowski11]

> zostałem tutaj skierowany przez kalinowski11, który dał mi linka, w którym
> Netsec mówi jakiemuś gościu by uruchomił Hijackthis i zawartość zapisanego
> wcześniej loga wkleił tutaj, więc czekam na odpowiedź Netseca a o to log:

Cholera Netsec , chyba zostanę Twoją sekretarką . Hi , Hi ;)