adwar.gator - ratunku!

[Gość: ellunia]

pomozcie prosze blondynce komputerowej! - jak sie pozdbyc adwar.gator? Pliki
zarazone nie pozwalaja sie skasowac. A co on robi zlego? To podobno jakas
inwigilacja?

[netsec]

Gator usuwa Ad-aware SE 1.05:
forum.gazeta.pl/forum/72,2.html?f=23618&w=16148176

[Gość: ellunia]

Ratunku!!
skanowałam 5 razy!!
za pierwszym razem rezultat: 68 objects recognized i 68 quarantined. Przy
drugim podejsciu: 3 Obj.Recog. ale... (?) 95 quarant. w tym 27 nowych. No
dobra, niech bedzie. Ale przy kolejnych scanach pozostał tylko 1 Obj.recogn. I
to wciąż ten sam! Nie mogę się go pozbyć! Jak mam to zrobić? Please! Dane o nim
cytuje (przepisałam, nie rozumiem do końca tego):
"Claria;RegKey;Data Miner;HKEY_LOCAL_MACHINEsoftware\gator.com\"
bardzo prosze o pomoc!
Przy okazji chciałam zapytać, czy Adware.Gator to jakis smiec ktory umozliwia
dostep do mojego kompa innym smieciom??? A co z bankiem internetowym? i ew.
haslem do niego?

[netsec]

Wklej log z HijackThis:
forum.gazeta.pl/forum/72,2.html?f=23618&w=16131117&wv.x=1&a=17082886

[Gość: ellunia]

OK, dzięki *netsec*, zaraz poczytam o HiJackThis i zadzialam jak trzeba :))
czy mozesz mi wyjasnic pojecie "post" w odroznieniu od "wątek"?
gdzie mam wkleic loga z HiJackThis? "w swoim poscie", tzn tutaj?
Przeczytalam gdzies w poblizu, ze nalezy logi wklejac w specjalnym wątku
forum.gazeta.pl/forum/72,2.html?f=23618&w=16130227
dzieki z gory za wyjasnienie.
Blondynka;)

[Gość: ellunia]

ściągnęłam jak należy HijackThis.zip (do założonego wcześniej folderu) i tam go
rozpakowałam. Ale po próbie uruchomienia HiJackThis.exe otrzymałam taki
komunikat:
"odnalezienie wymaganego pliku .DLL MSVBVM60.DLL było niemozliwe."
oraz
Windows error 32 running "C:\WINDOWS\TEMP\HijackThis.exe".

Co radzisz mi w tej sytuacji?

[Gość: piecyk gazowy]

Zainstaluj bibliotek VisualBasica i potem uruchom HijackThis.

download.microsoft.com/download/vb60pro/Redist/sp5/WIN98ME/EN-US/vbrun60sp5.exe

[Gość: ellunia]

dzieki wielkie piecyku! poszło!
mam loga,
(jeszcze nie wiem gdzie go wkleić)

[Gość: ellunia]

No dobra, wklejam tutaj, moze to jest wlasnie "mój post"?
czekam na ew. komentarz i z góry dziękuję:))

Logfile of HijackThis v1.98.2
Scan saved at 21:13:13, on 04-10-31
Platform: Windows 98 SE (Win9x 4.10.2222A)
MSIE: Internet Explorer v6.00 (6.00.2600.0000)

Running processes:
C:\WINDOWS\SYSTEM\KERNEL32.DLL
C:\WINDOWS\SYSTEM\MSGSRV32.EXE
C:\WINDOWS\SYSTEM\MPREXE.EXE
C:\WINDOWS\SYSTEM\mmtask.tsk
C:\PROGRAM FILES\ALWIL SOFTWARE\AVAST4\ASHSERV.EXE
C:\WINDOWS\EXPLORER.EXE
C:\WINDOWS\SYSTEM\INTERNAT.EXE
C:\WINDOWS\TASKMON.EXE
C:\WINDOWS\SYSTEM\PRINTRAY.EXE
C:\WINDOWS\SYSTEM\SYSTRAY.EXE
C:\WINDOWS\SYSTEM\LEXBCES.EXE
C:\WINDOWS\SYSTEM\SPOOL32.EXE
C:\WINDOWS\SYSTEM\RPCSS.EXE
C:\WINDOWS\SYSTEM\LEXPPS.EXE
C:\WINDOWS\SYSTEM\WMIEXE.EXE
C:\WINDOWS\SYSTEM\DDHELP.EXE
C:\PROGRAM FILES\GADU-GADU\GG.EXE
C:\HIJACKTHIS\HIJACKTHIS.EXE

R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Łącza
O2 - BHO: Google Toolbar Helper - {AA58ED58-01DD-4d91-8333-CF10577473F7} -
c:\program files\google\googletoolbar2.dll
O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} -
C:\PROGRAM FILES\ADOBE\ACROBAT 5.0 CE\READER\ACTIVEX\ACROIEHELPER.OCX
O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} -
C:\WINDOWS\SYSTEM\MSDXM.OCX
O3 - Toolbar: &Google - {2318C2B1-4965-11d4-9B18-009027A5CD4F} - c:\program
files\google\googletoolbar2.dll
O4 - HKLM\..\Run: [internat.exe] internat.exe
O4 - HKLM\..\Run: [ScanRegistry] C:\WINDOWS\scanregw.exe /autorun
O4 - HKLM\..\Run: [TaskMonitor] C:\WINDOWS\taskmon.exe
O4 - HKLM\..\Run: [SystemTray] SysTray.Exe
O4 - HKLM\..\Run: [LexStart] Lexstart.exe
O4 - HKLM\..\Run: [LexmarkPrinTray] PrinTray.exe
O4 - HKLM\..\Run: [Zasobnik systemowy] SysTray.Exe
O4 - HKLM\..\Run: [LoadPowerProfile] Rundll32.exe
powrprof.dll,LoadCurrentPwrScheme
O4 - HKLM\..\RunServices: [avast!] C:\Program Files\Alwil Software\Avast4
\ashServ.exe
O4 - HKLM\..\RunServices: [LoadPowerProfile] Rundll32.exe
powrprof.dll,LoadCurrentPwrScheme
O4 - HKLM\..\RunServices: [SchedulingAgent] C:\WINDOWS\SYSTEM\mstask.exe
O4 - HKCU\..\Run: [Gadu-Gadu] "C:\PROGRAM FILES\GADU-GADU\GG.EXE" /tray
O4 - HKCU\..\Run: [wingo] C:\WINDOWS\SYSTEM\wingo.exe
O8 - Extra context menu item: &Google Search - res://C:\PROGRAM
FILES\GOOGLE\GOOGLETOOLBAR2.DLL/cmsearch.html
O8 - Extra context menu item: Cached Snapshot of Page - res://C:\PROGRAM
FILES\GOOGLE\GOOGLETOOLBAR2.DLL/cmcache.html
O8 - Extra context menu item: Similar Pages - res://C:\PROGRAM
FILES\GOOGLE\GOOGLETOOLBAR2.DLL/cmsimilar.html
O8 - Extra context menu item: Backward Links - res://C:\PROGRAM
FILES\GOOGLE\GOOGLETOOLBAR2.DLL/cmbacklinks.html
O8 - Extra context menu item: Translate into English - res://C:\PROGRAM
FILES\GOOGLE\GOOGLETOOLBAR2.DLL/cmtrans.html
O16 - DPF: {644E432F-49D3-41A1-8DD5-E099162EEEC5} (Symantec RuFSI Utility
Class) - security.symantec.com/sscv6/SharedContent/common/bin/cabsa.cab
O16 - DPF: {2BC66F54-93A8-11D3-BEB6-00105AA9B6AE} (Symantec AntiVirus scanner) -
security.symantec.com/sscv6/SharedContent/vc/bin/AvSniff.cab
O16 - DPF: {E7544C6C-CFD6-43EA-B4E9-360CEE20BDF7} (MainControl Class) -
skaner.mks.com.pl/SkanerOnline.cab

[netsec]

1. Uruchom komputer w trybie awaryjnym, w tym celu:

a. Ponownie uruchom komputer.
b. Podczas uruchamiania komputera naciśnij i przytrzymaj wciśnięty klawisz
CTRL, aż pojawi się menu Uruchamianie systemu Windows 98.
c. Z menu Uruchamianie wybierz opcję Tryb awaryjny, a następnie naciśnij
klawisz ENTER.
Po uruchomieniu komputera w trybie awaryjnym nie otwieraj Internet Explorera

2. Uruchom HijackThis wykonaj SCAN i zaznacz (haczykiem) tę pozycje:

O4 - HKCU\..\Run: [wingo] C:\WINDOWS\SYSTEM\wingo.exe

3.Po zaznaczeniu wymienionych pozycji wykonaj FIX CHECKED i potwierdź TAK/OK.

4.Przejdź do Panelu Sterowania => Dodaj/Usuń programy i odinstaluj
wszystkie programy, co do których nie masz pewności, że Ci są potrzebne.

5. Przeskanuj Ad-Aware cały system.
W celu zapewnienia maksymalnej skuteczności, należy przed skanowaniem wykonać
aktualizacje bazy wykrywania. W trakcie uruchamiania skanowania, należy w
zakładce "Preparing System Scan" wybrać "Perform full system scan".
Po zakończeniu skanowania pojawi się lista obiektów do usunięcia. Każdą z
pozycji należy zaznaczyć(haczykiem) lub prawym klawiszem myszki można wybrać z
menu kontekstowego "Select All Objects". Po zaznaczeniu wszystkich pozycji
należy kliknąć Next, w ten sposób zaznaczone obiekty zostaną usunięte.

6. Po zakończeniu uruchom komputer ponownie w normalny sposób.

7. Sprawdź czy baza wirusów AVAST aktualizuje się i przeskanuj cały system.

8. Zainstaluj wszystkie krytyczne aktualizacje systemu Windows przejdź na tę
stronę www.windowsupdate.com

9. Dodatkowo zainstaluj Jave Sun:
java.sun.com/webapps/download/AutoDL?BundleId=9723
10. W przypadku Windows 98 wskazane jest zainstalowanie firewall np.
www.agnitum.com/download/OutpostInstall.exe
Po wszystkim wklej nowy log.

[Gość: ellunia]

jejku!! wielkie dzięki za odpowiedź! mam nadzieję że sobie poradzę ze wszystkim
(obawiam się że nie znam odpowiedzi na pkt 4.! wiec bede dzialac na tzw. czuja)
a co oznacza "krytyczne" w pkt 8.
oraz do czego służy Java.sun?
(czy mogę ci zadawać tyle pytań?? nie wiem wielu rzeczy:))) ale szybko sie
ucze!)
bede na łączach po poludniu, i wysle loga
e.

NOWY: HiJack log - ellunia

[Gość: ellunia]

Hi Net! wklejam nowy log po wszystkich operacjach jakie radziłeś (plus
doinstalowanie sterowników ODBC w trakcie aktualizacji firewalla :o)
Pozdrawiam i czekam na twoj komentarz. Dziekuję za wszelka pomoc!!
e.

Logfile of HijackThis v1.98.2
Scan saved at 00:22:09, on 04-11-02
Platform: Windows 98 SE (Win9x 4.10.2222A)
MSIE: Internet Explorer v6.00 SP1 (6.00.2800.1106)

Running processes:
C:\WINDOWS\SYSTEM\KERNEL32.DLL
C:\WINDOWS\SYSTEM\MSGSRV32.EXE
C:\WINDOWS\SYSTEM\SPOOL32.EXE
C:\WINDOWS\SYSTEM\MPREXE.EXE
C:\PROGRAM FILES\ALWIL SOFTWARE\AVAST4\ASHSERV.EXE
C:\PROGRAM FILES\AGNITUM\OUTPOST FIREWALL 1.0\OUTPOST.EXE
C:\WINDOWS\SYSTEM\LEXBCES.EXE
C:\WINDOWS\SYSTEM\RPCSS.EXE
C:\WINDOWS\SYSTEM\LEXPPS.EXE
C:\WINDOWS\SYSTEM\mmtask.tsk
C:\WINDOWS\EXPLORER.EXE
C:\WINDOWS\SYSTEM\DDHELP.EXE
C:\WINDOWS\SYSTEM\INTERNAT.EXE
C:\WINDOWS\TASKMON.EXE
C:\WINDOWS\SYSTEM\SYSTRAY.EXE
C:\WINDOWS\SYSTEM\PRINTRAY.EXE
C:\WINDOWS\SYSTEM\SYSTRAY.EXE
C:\PROGRAM FILES\GADU-GADU\GG.EXE
C:\WINDOWS\SYSTEM\WMIEXE.EXE
C:\PROGRAM FILES\AGNITUM\OUTPOST FIREWALL 1.0\TRASH.EXE
C:\HIJACKTHIS\HIJACKTHIS.EXE

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page =
www.microsoft.com/isapi/redir.dll?prd=ie&ar=iesearch
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL =
www.microsoft.com/isapi/redir.dll?prd=ie&pver=6&ar=msnhome
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL =
www.microsoft.com/isapi/redir.dll?prd=ie&ar=iesearch
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page =
www.microsoft.com/isapi/redir.dll?prd=ie&ar=iesearch
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page =
www.microsoft.com/isapi/redir.dll?prd={SUB_PRD}&clcid={SUB_CLSID}&pver={SUB_PVER}&ar=home
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Łącza
O2 - BHO: Google Toolbar Helper - {AA58ED58-01DD-4d91-8333-CF10577473F7} -
c:\program files\google\googletoolbar2.dll
O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} -
C:\PROGRAM FILES\ADOBE\ACROBAT 5.0 CE\READER\ACTIVEX\ACROIEHELPER.OCX
O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} -
C:\WINDOWS\SYSTEM\MSDXM.OCX
O3 - Toolbar: &Google - {2318C2B1-4965-11d4-9B18-009027A5CD4F} - c:\program
files\google\googletoolbar2.dll
O4 - HKLM\..\Run: [internat.exe] internat.exe
O4 - HKLM\..\Run: [ScanRegistry] C:\WINDOWS\scanregw.exe /autorun
O4 - HKLM\..\Run: [TaskMonitor] C:\WINDOWS\taskmon.exe
O4 - HKLM\..\Run: [SystemTray] SysTray.Exe
O4 - HKLM\..\Run: [LexStart] Lexstart.exe
O4 - HKLM\..\Run: [LexmarkPrinTray] PrinTray.exe
O4 - HKLM\..\Run: [Zasobnik systemowy] SysTray.Exe
O4 - HKLM\..\Run: [LoadPowerProfile] Rundll32.exe
powrprof.dll,LoadCurrentPwrScheme
O4 - HKLM\..\Run: [Outpost Firewall] C:\PROGRAM FILES\AGNITUM\OUTPOST FIREWALL
1.0\OUTPOST.EXE /waitservice
O4 - HKLM\..\Run: [mdac_runonce] C:\WINDOWS\SYSTEM\runonce.exe
O4 - HKLM\..\RunServices: [avast!] C:\Program Files\Alwil Software\Avast4
\ashServ.exe
O4 - HKLM\..\RunServices: [LoadPowerProfile] Rundll32.exe
powrprof.dll,LoadCurrentPwrScheme
O4 - HKLM\..\RunServices: [SchedulingAgent] mstask.exe
O4 - HKLM\..\RunServices: [Outpost Firewall] C:\PROGRAM FILES\AGNITUM\OUTPOST
FIREWALL 1.0\OUTPOST.EXE /service
O4 - HKCU\..\Run: [Gadu-Gadu] "C:\PROGRAM FILES\GADU-GADU\GG.EXE" /tray
O8 - Extra context menu item: &Google Search - res://C:\PROGRAM
FILES\GOOGLE\GOOGLETOOLBAR2.DLL/cmsearch.html
O8 - Extra context menu item: Cached Snapshot of Page - res://C:\PROGRAM
FILES\GOOGLE\GOOGLETOOLBAR2.DLL/cmcache.html
O8 - Extra context menu item: Similar Pages - res://C:\PROGRAM
FILES\GOOGLE\GOOGLETOOLBAR2.DLL/cmsimilar.html
O8 - Extra context menu item: Backward Links - res://C:\PROGRAM
FILES\GOOGLE\GOOGLETOOLBAR2.DLL/cmbacklinks.html
O8 - Extra context menu item: Translate into English - res://C:\PROGRAM
FILES\GOOGLE\GOOGLETOOLBAR2.DLL/cmtrans.html
O9 - Extra button: Related - {c95fe080-8f5d-11d2-a20b-00aa003c157a} -
C:\WINDOWS\web\related.htm
O9 - Extra 'Tools' menuitem: Show &Related Links - {c95fe080-8f5d-11d2-a20b-
00aa003c157a} - C:\WINDOWS\web\related.htm
O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} -
C:\WINDOWS\SYSTEM\MSJAVA.DLL
O9 - Extra 'Tools' menuitem: Sun Java Console - {08B0E5C0-4FCB-11CF-AAA5-
00401C608501} - C:\WINDOWS\SYSTEM\MSJAVA.DLL
O9 - Extra button: Trashcan - {072F3B8A-2DA2-40e2-B841-88899F240200} -
C:\PROGRAM FILES\AGNITUM\OUTPOST FIREWALL 1.0\TRASH.EXE (HKCU)
O9 - Extra 'Tools' menuitem: Show Trashcan - {072F3B8A-2DA2-40e2-B841-
88899F240200} - C:\PROGRAM FILES\AGNITUM\OUTPOST FIREWALL 1.0\TRASH.EXE (HKCU)
O16 - DPF: {644E432F-49D3-41A1-8DD5-E099162EEEC5} (Symantec RuFSI Utility
Class) - security.symantec.com/sscv6/SharedContent/common/bin/cabsa.cab
O16 - DPF: {2BC66F54-93A8-11D3-BEB6-00105AA9B6AE} (Symantec AntiVirus scanner) -
security.symantec.com/sscv6/SharedContent/vc/bin/AvSniff.cab
O16 - DPF: {E7544C6C-CFD6-43EA-B4E9-360CEE20BDF7} (MainControl Class) -
skaner.mks.com.pl/SkanerOnline.cab

Ratunku!!! mam złe wieści :( ALEXA

[Gość: ellunia]

Mimo iż skanuję dyski kilka razy na dzień - co rano znajduję coś! (Alexa,
Claria, Tracking Cookie)
Dziś skanowałam Ad-Awarem w trybie awaryjnym i też coś się znalazło (4). A
przed chwilą znów ALEXA (po zainstalowaniu firewala!) w 9 objects (1 Registry
Key i 8 Registry Value).
ratunku! Co mi może pomóc na to? Co mówi mój nowy log?
e.

[netsec]

Log HiJackThis jest czysty.
Pojawianie się cookis nie jest niczym nadzwyczajnym, jest to konsekwencja
korzystania z przeglądarki internetowej. Mimo że ad-aware raportuje je jako
elementy niebezpieczne, to nie są one faktycznie aż takim zagrożeniem.
Wystarczy jak będziesz skanować system ad-aware raz na tydzień, chyba że będzie
działo się coś złego. Alexa jest jednorazowym problemem, który wystąpił
zainstalowaniu przeglądarki Internet Explorer 6.0 SP1, jak usuniesz ad-aware to
zapomnisz o problemie raz na zawsze.
Dodatkowo zainstaluj Jave Sun:
java.sun.com/webapps/download/AutoDL?BundleId=9723
Na koniec sprawdź czy masz faktycznie zainstalowane wszystkie krytyczne poprawki
z www.windowsupdate.com

[Gość: ellunia]

Jak miło dostać dobre wieści od fachowca:)))
Net jesteś wielki!
Na pewno wszystko się ustabilizuje w ciągu najbliższych dni. Bo ja wciąż w
strachu! ;))
Java sun i wszystkie krytyczne aktualizacje Windows zainstalowałam wczoraj,
jeszcze przed spotkaniem z Alexą (może trzeba te operacje powtarzać co jakiś
czas?)

Mam kilka pytań po tej katastrofie:
1/ Alexa jest typu spyware? czyż nie? więc jak z bankiem internetowym? czy
powinnam zmienic hasło?
2/Do czego służy JavaSun? (nie znalazłam jasnego opisu.)
3/ W panelu sterowania usunęłam następujące programy (nie mam pojęcia co to i
czy będą mi potrzebne??? czy może Ty wiesz?):
S3 GAMMA, S3 REFRESH, S3 Savage4 Family Display Switch2 Utility, S3 Video
Colorcontrol, The Playa, ffdshow.
Czy coś przestanie mi chodzić teraz? do czego służyły?
4/ nie widzę płyty w napędzie E: (a 3 tygodnie temu jeszcze widziałam!)
Podejrzewam że to sprawa software i wirusów.
4/ W internet explorer w okienku "Adres" nie zachowuje się lista adresów
ostatnio odwiedzanych. To się stało juz po pierwszym wycinaniu antywirem.
5/ pierwszym objawiem zarażenia się Joke było zapadnięcie się pod ziemię mojej
skrzynki odbiorczej w Outlooku. Czy jest do odzyskania?

Może wiesz? a może na innym forum powinnam zapytać?
dziękuję baaardzo serdecznie za pomoc! :))
e.

odwołuję pkt. 5

[Gość: ellunia]

Skrzynka Odbiorcza wyszła z pozdziemii!

za to oba pkt. 4 nadal dokuczają :((

dzieki wielkie netsec!

[Gość: ellunia]

dzieki wielkie netsec! zaczynam walkę!