sasser? POMOCY!

[vvolf]

Nie moge sobie poradzic z takim robalem - wyglada podobnie jak sasser, ale...
jak dziala zone alarm jest spokoj. jak wylacze ZA, po chwili w necie pojawia
sie okienko, ze system zostanie zamkniety za 60 sek, bo nastapil blad w
lsass.exe (czy jakos tak) czasem pojawia sie okien z komunikatem:
to jest wiadomosc od jenny dla buddy, i cos tam, ze ona jest goraca
nastolatka, ktora mozna gola zobaczyc na sieci...

skaner on-line mks nic nie znajduje. probowalem tez mksCleanem, ale nici.
dalej to samo.

ponizej zrzut z hijacka:
Logfile of HijackThis v1.97.7
Scan saved at 22:33:29, on 2004-06-01
Platform: Windows 2000 SP3 (WinNT 5.00.2195)
MSIE: Internet Explorer v6.00 SP1 (6.00.2800.1106)

Running processes:
C:\WINNT\System32\smss.exe
C:\WINNT\system32\winlogon.exe
C:\WINNT\system32\services.exe
C:\WINNT\system32\lsass.exe
C:\WINNT\system32\svchost.exe
C:\WINNT\System32\svchost.exe
C:\WINNT\system32\spoolsv.exe
e:\Program Files\Borland\InterBase\bin\ibguard.exe
C:\WINNT\system32\regsvc.exe
C:\WINNT\system32\MSTask.exe
C:\WINNT\System32\WBEM\WinMgmt.exe
C:\WINNT\System32\mspmspsv.exe
C:\WINNT\system32\svchost.exe
C:\WINNT\Explorer.EXE
C:\WINNT\System32\sistray.EXE
C:\WINNT\System32\khooker.exe
C:\WINNT\System32\pctspk.exe
C:\WINNT\System32\ESB.exe
E:\PROGRA~1\A4Tech\Mouse\Amoumain.exe
C:\Program Files\Common Files\Nokia\NCLTools\NCLConf.exe
C:\WINNT\System32\gsicon.exe
C:\WINNT\System32\dslagent.exe
E:\Program Files\Winamp\Winampa.exe
C:\Program Files\Common Files\Real\Update_OB\realsched.exe
C:\WINNT\System32\internat.exe
C:\Program Files\InterVideo\Common\Bin\WinCinemaMgr.exe
E:\Program Files\Nokia\PC Suite dla Nokia 7650\connmngmntbox.exe
E:\Program Files\Nokia\PC Suite dla Nokia 7650\ectaskscheduler.exe
e:\Program Files\Borland\InterBase\bin\ibserver.exe
e:\PROGRA~1\Nokia\PCSUIT~1\Elogerr.exe
C:\Program Files\Intuwave\Shared\mRouterRunTime\mRouterRuntime.exe
e:\PROGRA~1\Nokia\PCSUIT~1\BROADC~1.EXE
e:\PROGRA~1\Nokia\PCSUIT~1\SCRFS.exe
C:\Documents and Settings\wojtek\Pulpit\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page =
www.gazeta.pl/
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Łącza
O2 - BHO: (no name) - {0000CC75-ACF3-4cac-A0A9-DD3868E06852} - E:\Program
Files\DAP\DAPBHO.dll
O2 - BHO: (no name) - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - E:\Program
Files\Adobe\Acrobat 6.0\Reader\ActiveX\AcroIEHelper.dll
O2 - BHO: (no name) - {71ED4FBA-4024-4bbe-91DC-9704C93F453E} - (no file)
O2 - BHO: (no name) - {83DE62E0-5805-11D8-9B25-00E04C60FAF2} -
C:\WINNT\2_0_1browserhelper2.dll (file missing)
O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} -
C:\WINNT\system32\msdxm.ocx
O3 - Toolbar: DAP Bar - {62999427-33FC-4baf-9C9C-BCE6BD127F08} - E:\Program
Files\DAP\DAPIEBar.dll
O4 - HKLM\..\Run: [Synchronization Manager] mobsync.exe /logon
O4 - HKLM\..\Run: [SiS Tray] C:\WINNT\System32\sistray.EXE
O4 - HKLM\..\Run: [SiS KHooker] C:\WINNT\System32\khooker.exe
O4 - HKLM\..\Run: [PCTVOICE] pctspk.exe
O4 - HKLM\..\Run: [SynTPLpr] C:\Program Files\Synaptics\SynTP\SynTPLpr.exe
O4 - HKLM\..\Run: [SynTPEnh] C:\Program Files\Synaptics\SynTP\SynTPEnh.exe
O4 - HKLM\..\Run: [ESB] C:\WINNT\System32\ESB.exe
O4 - HKLM\..\Run: [NeroCheck] C:\WINNT\system32\NeroCheck.exe
O4 - HKLM\..\Run: [WheelMouse] e:\PROGRA~1\A4Tech\Mouse\Amoumain.exe
O4 - HKLM\..\Run: [Nokia Connection Monitor] "C:\Program Files\Common
Files\Nokia\NCLTools\NCLConf.exe"
O4 - HKLM\..\Run: [GSICONEXE] gsicon.exe
O4 - HKLM\..\Run: [DSLAGENTEXE] dslagent.exe USB
O4 - HKLM\..\Run: [WinampAgent] "e:\Program Files\Winamp\Winampa.exe"
O4 - HKLM\..\Run: [QuickTime Task] "E:\Program Files\QuickTime\qttask.exe" -
atboottime
O4 - HKLM\..\Run: [TkBellExe] "C:\Program Files\Common
Files\Real\Update_OB\realsched.exe" -osboot
O4 - HKLM\..\Run: [Belt] C:\WINNT\Belt.exe
O4 - HKLM\..\Run: [Zone Labs Client] "e:\Program Files\Zone
Labs\ZoneAlarm\zlclient.exe"
O4 - HKCU\..\Run: [internat.exe] internat.exe
O4 - HKCU\..\Run: [window.exe] C:\WINNT\System32\window.exe
O4 - Global Startup: Adobe Gamma Loader.exe.lnk = C:\Program Files\Common
Files\Adobe\Calibration\Adobe Gamma Loader.exe
O4 - Global Startup: InterVideo WinCinema Manager.lnk = C:\Program
Files\InterVideo\Common\Bin\WinCinemaMgr.exe
O4 - Global Startup: Microsoft Office.lnk = E:\Program Files\Microsoft
Office\Office\OSA9.EXE
O4 - Global Startup: PCSuiteForNokia7650 Detect.lnk = E:\Program
Files\Nokia\PC Suite dla Nokia 7650\connmngmntbox.exe
O4 - Global Startup: PCSuiteForNokia7650 TS.lnk = E:\Program Files\Nokia\PC
Suite dla Nokia 7650\ectaskscheduler.exe
O8 - Extra context menu item: &Download with &DAP - E:\PROGRA~1
\DAP\dapextie.htm
O8 - Extra context menu item: Download &all with DAP - E:\PROGRA~1
\DAP\dapextie2.htm
O9 - Extra button: ICQ Pro (HKLM)
O9 - Extra 'Tools' menuitem: ICQ (HKLM)
O9 - Extra button: Run DAP (HKLM)
O9 - Extra button: ICQ Lite (HKLM)
O9 - Extra 'Tools' menuitem: ICQ Lite (HKLM)
O12 - Plugin for .spop: C:\Program Files\Internet
Explorer\Plugins\NPDocBox.dll
O16 - DPF: ECOnline - www.cdm.net.pl/component/ECOnline.cab
O16 - DPF: komentator - sport.onet.pl/komentator.cab
O16 - DPF: {33564D57-0000-0010-8000-00AA00389B71} -
download.microsoft.com/download/F/6/E/F6E491A6-77E1-4E20-9F5F-94901338C922/wmv9VCM.CAB
O16 - DPF: {70BA88C8-DAE8-4CE9-92BB-979C4A75F53B} (GSDACtl Class) -
www.gamespyid.com/alaunch.cab
O16 - DPF: {83B67220-025C-416C-8049-398E12764B36} (Flo2_L2 Control) -
www.nokiagame.com/games/2K1E4R5Vem5ui1Sw1Wyas/flo2_l2.cab
O16 - DPF: {D27CDB6E-AE6D-11CF-96B8-444553540000} (Shockwave Flash Object) -
download.macromedia.com/pub/shockwave/cabs/flash/swflash.cab
O16 - DPF: {E7544C6C-CFD6-43EA-B4E9-360CEE20BDF7} (MainControl Class) -
skaner.mks.com.pl/SkanerOnline.cab
O16 - DPF: {FA65E95C-9B0E-11D6-9BC9-00104B0B4D56} (ActX2 Control) -
poczta.pzuzycie.pl/unizeto.cab
O16 - DPF: {FCE90474-8B60-445B-A2B5-57E289BCEA42} (SmartDownloader Control) -
www.downloadcoach.com/SmartDownloader.cab
O17 - HKLM\System\CS2\Services\Tcpip\..\{0944C638-ED5A-415C-9888-
9ED71AB6BB72}: NameServer = 194.74.65.69 194.72.9.38

[Gość: MD]

Z włączoną zaporą ZA ściągnij ze strony Microsoft niezbędne łatki dla Twojego
systemu. Nie zaszkodzi sprawdzenie systemu programem Lavasoft Ad-Aware

[netsec]

vvolf napisał:

> Nie moge sobie poradzic z takim robalem - wyglada podobnie jak sasser, ale...
> jak dziala zone alarm jest spokoj. jak wylacze ZA, po chwili w necie pojawia
> sie okienko, ze system zostanie zamkniety za 60 sek, bo nastapil blad w
> lsass.exe (czy jakos tak) czasem pojawia sie okien z komunikatem:
> to jest wiadomosc od jenny dla buddy, i cos tam, ze ona jest goraca
> nastolatka, ktora mozna gola zobaczyc na sieci...
> skaner on-line mks nic nie znajduje. probowalem tez mksCleanem, ale nici.
> dalej to samo.

Pozostaw włączony Zone Alarm.

Uruchom komputer ponownie.

Uruchom ponownie HijackThis wykonaj Scan i zaznacz te pozycje:

O2 - BHO: (no name) - {71ED4FBA-4024-4bbe-91DC-9704C93F453E} - (no file)
O2 - BHO: (no name) - {83DE62E0-5805-11D8-9B25-00E04C60FAF2} -
C:\WINNT\2_0_1browserhelper2.dll (file missing)
O4 - HKLM\..\Run: [TkBellExe] "C:\Program Files\Common
Files\Real\Update_OB\realsched.exe" -osboot
O4 - HKLM\..\Run: [Belt] C:\WINNT\Belt.exe
O4 - HKCU\..\Run: [window.exe] C:\WINNT\System32\window.exe

Wykonaj Fix Checked i potwierdź OK.

Uruchom komputer ponownie, ale Zone musi być włączone.

Z menu START wybierz Uruchom wpisz %TEMP% i wykasuj wszystkie pliki które można skasować. Upewnij się przed tym, że masz w Opcjach folderów zakładka Widok włączone Pokaż ukryte pliki i foldery.

Zainstaluj Service Pack 4

www.microsoft.com/windows2000/downloads/servicepacks/sp4/default.asp
Po tym koniecznie zainstaluj tę poprawkę.
www.microsoft.com/downloads/details.aspx?FamilyId=0692C27E-F63A-414C-B3EB-D2342FBB6C00&displaylang=en
Po wszystkim wskazane jest połączenie z Windows Update www.windowsupdate.com i zaktualizowanie systemu o wszystkie krytyczne poprawki.

Widzę że nie masz zainstalowanego antywirusa.
Jeśli chodzi o program antywirusowy do domowego użytku, to polecam AVAST4 Home.
Jest to bezpłatny program antywirusowy po polsku. Wersję polską możesz ściągnąć stąd www.avast.com/i_idt_1016.html
Przed instalacją zarejestruj się tu
www.avast.com/i_kat_207.php?lang=ENG
Dzięki rejestracji otrzymasz mailem klucz rejestracyjny,
który umożliwi ci przez rok bezpłatną aktualizacje bazy wirusów.

Przeskanuj antywirusem wszystkie dyski.

[Gość: vvolf]

dzieki, podzialalo :)