proszę, sprawdźcie mi loga

IP: *.neoplus.adsl.tpnet.pl 30.12.04, 11:56
Logfile of HijackThis v1.98.2
Scan saved at 11:46:38, on 04-12-30
Platform: Windows 98 SE (Win9x 4.10.2222A)
MSIE: Internet Explorer v5.00 (5.00.2919.6304)

Running processes:
C:\WINDOWS\SYSTEM\KERNEL32.DLL
C:\WINDOWS\SYSTEM\MSGSRV32.EXE
C:\WINDOWS\SYSTEM\MPREXE.EXE
C:\WINDOWS\SYSTEM\MSTASK.EXE
C:\WINDOWS\SYSTEM\SSDPSRV.EXE
C:\WINDOWS\EXPLORER.EXE
C:\WINDOWS\SYSTEM\INTERNAT.EXE
C:\WINDOWS\TASKMON.EXE
C:\WINDOWS\SYSTEM\SYSTRAY.EXE
C:\WINDOWS\RUNDLL32.EXE
C:\WINDOWS\SYSTEM\SYSTIME.EXE
C:\WINDOWS\RunDLL.exe
C:\WINDOWS\SYSTEM\SYSTIME.EXE
C:\WINDOWS\SYSTEM\SR64\NFHHBIDB.EXE
C:\WINDOWS\SYSTEM\PSTORES.EXE
C:\PROGRAM FILES\GADU-GADU\GG.EXE
C:\WINDOWS\SYSTEM\SPOOL32.EXE
C:\WINDOWS\SYSTEM\RNAAPP.EXE
C:\WINDOWS\SYSTEM\TAPISRV.EXE
C:\WINDOWS\PULPIT\HIJACKTHIS.EXE

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Default_Page_URL =
213.159.117.134/index.php
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page =
213.159.117.134/index.php
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL =
213.159.117.134/index.php
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page =
213.159.117.134/index.php
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Local Page =
213.159.117.134/index.php
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Local Page =
213.159.117.134/index.php
O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} -
C:\PROGRAM FILES\ADOBE\ACROBAT 5.0\READER\ACTIVEX\ACROIEHELPER.OCX
O2 - BHO: (no name) - {7B55BB05-0B4D-44fd-81A6-B136188F5DEB} -
C:\WINDOWS\QUESTMOD.DLL
O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} -
C:\WINDOWS\SYSTEM\MSDXM.OCX
O4 - HKLM\..\Run: [internat.exe] internat.exe
O4 - HKLM\..\Run: [ScanRegistry] C:\WINDOWS\scanregw.exe /autorun
O4 - HKLM\..\Run: [TaskMonitor] C:\WINDOWS\taskmon.exe
O4 - HKLM\..\Run: [LoadPowerProfile] Rundll32.exe
powrprof.dll,LoadCurrentPwrScheme
O4 - HKLM\..\Run: [SystemTray] SysTray.Exe
O4 - HKLM\..\Run: [ICSDCLT] C:\WINDOWS\rundll32.exe
C:\WINDOWS\SYSTEM\icsdclt.dll,ICSClient
O4 - HKLM\..\Run: [SysTime] C:\WINDOWS\SYSTEM\systime.exe
O4 - HKLM\..\RunServices: [LoadPowerProfile] Rundll32.exe
powrprof.dll,LoadCurrentPwrScheme
O4 - HKLM\..\RunServices: [SchedulingAgent] mstask.exe
O4 - HKLM\..\RunServices: [SSDPSRV] C:\WINDOWS\SYSTEM\ssdpsrv.exe
O4 - HKCU\..\Run: [Taskbar Display Controls] RunDLL
deskcp16.dll,QUICKRES_RUNDLLENTRY
O4 - HKCU\..\Run: [SysTime] C:\WINDOWS\SYSTEM\systime.exe
O4 - Startup: Microsoft Office.lnk = D:\Microsoft Office\Office\OSA9.EXE
O9 - Extra button: Related - {c95fe080-8f5d-11d2-a20b-00aa003c157a} -
C:\WINDOWS\web\related.htm
O9 - Extra 'Tools' menuitem: Show &Related Links - {c95fe080-8f5d-11d2-a20b-
00aa003c157a} - C:\WINDOWS\web\related.htm
O12 - Plugin for .spop: C:\PROGRA~1\INTERN~1\Plugins\NPDocBox.dll
O14 - IERESET.INF: SEARCH_PAGE_URL=
O14 - IERESET.INF: START_PAGE_URL=
O17 - HKLM\System\CCS\Services\VxD\MSTCP: Domain = MSHOME
O21 - SSODL: OLE Automation Module - {3F143C3A-1457-6CCA-03A7-7AA23B61E40F} -
C:\WINDOWS\SYSTEM\child.dll

pozdrawiam
    • m.gregor Re: proszę, sprawdźcie mi loga 30.12.04, 13:58
      > R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Default_Page_URL =
      > 213.159.117.134/index.php
      > R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page =
      > 213.159.117.134/index.php
      > R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL =
      > 213.159.117.134/index.php
      > R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page =
      > 213.159.117.134/index.php
      > R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Local Page =
      > 213.159.117.134/index.php
      > R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Local Page =
      > 213.159.117.134/index.php
      > O2 - BHO: (no name) - {7B55BB05-0B4D-44fd-81A6-B136188F5DEB} -
      > C:\WINDOWS\QUESTMOD.DLL
      > O4 - HKLM\..\Run: [ICSDCLT] C:\WINDOWS\rundll32.exe
      > C:\WINDOWS\SYSTEM\icsdclt.dll,ICSClient
      > O4 - HKLM\..\Run: [SysTime] C:\WINDOWS\SYSTEM\systime.exe
      > O4 - HKLM\..\RunServices: [SSDPSRV] C:\WINDOWS\SYSTEM\ssdpsrv.exe
      > O4 - HKCU\..\Run: [Taskbar Display Controls] RunDLL
      > deskcp16.dll,QUICKRES_RUNDLLENTRY
      > O4 - HKCU\..\Run: [SysTime] C:\WINDOWS\SYSTEM\systime.exe
      > O14 - IERESET.INF: SEARCH_PAGE_URL=
      > O14 - IERESET.INF: START_PAGE_URL=
      > O17 - HKLM\System\CCS\Services\VxD\MSTCP: Domain = MSHOME
      > O21 - SSODL: OLE Automation Module - {3F143C3A-1457-6CCA-03A7-7AA23B61E40F} -
      > C:\WINDOWS\SYSTEM\child.dll

      To wszystko won...
      • Gość: zawirusiona Re: proszę, sprawdźcie mi loga IP: *.neoplus.adsl.tpnet.pl 30.12.04, 22:46
        Dzięki, ale nie pomogło
        wszystkie wpisy wracają spowrotem
        co robić??
        proszę, nie każcie reinstalować systemu, to stary komputer i nie mam
        praktycznie żadnych sterowników :-(

        pozdrawiam
        • netsec Re: proszę, sprawdźcie mi loga 31.12.04, 11:17
          Czy wiesz jak wykonać usuniecie wpisów HJ?
          Chyba coś robisz nie tak :(
          • Gość: zawirusiona Re: proszę, sprawdźcie mi loga IP: *.neoplus.adsl.tpnet.pl 31.12.04, 20:15
            Wiem, jak kasować wpisy
            tylko, że niektóre wracają
            na razie kasuję wirusy, ale system wygląda na czysty
            tylko te wpisy ciągle wracają, co jest nie tak??
            > O14 - IERESET.INF: SEARCH_PAGE_URL=
            > O14 - IERESET.INF: START_PAGE_URL=

            Do siego roku :-)
            • Gość: piecyk gazowy Re: proszę, sprawdźcie mi loga IP: *.tpnet.pl / *.tpnet.pl 31.12.04, 20:19
              A Ty jeszcze nie na balu??? ;-)

              Start -> Wyszukaj, wpisz nazwę pliku:
              IERESET.INF

              Jeśli znajdziesz, usuń.
            • netsec Re: proszę, sprawdźcie mi loga 01.01.05, 14:17
              W takim razie wklej aktualny log z HJ.
              • Gość: zawirusiona Nie jest dobrze IP: *.neoplus.adsl.tpnet.pl 01.01.05, 22:44
                (teraz pisze ktoś inny/płci męskiej, ale nicka już zmieniać nie będę/

                Sprawa nie ma się dobrze
                za dużo wpisów chyba poleciało :/
                ale o tym za chwilkę
                teraz wpis wygląda tak:
                (tego pliku nie znalazłem)
                Logfile of HijackThis v1.98.2
                Scan saved at 22:28:15, on 05-01-01
                Platform: Windows 98 SE (Win9x 4.10.2222A)
                MSIE: Internet Explorer v5.00 (5.00.2919.6304)

                Running processes:
                C:\WINDOWS\SYSTEM\KERNEL32.DLL
                C:\WINDOWS\SYSTEM\MSGSRV32.EXE
                C:\WINDOWS\SYSTEM\MPREXE.EXE
                C:\PROGRAM FILES\ALWIL SOFTWARE\AVAST4\ASHSERV.EXE
                C:\WINDOWS\EXPLORER.EXE
                C:\PROGRAM FILES\ALWIL SOFTWARE\AVAST4\ASHMAISV.EXE
                C:\PROGRAM FILES\GADU-GADU\GG.EXE
                C:\WINDOWS\SYSTEM\SR64\LBCCABEI.EXE
                C:\WINDOWS\SYSTEM\RPCSS.EXE
                C:\WINDOWS\SYSTEM\RNAAPP.EXE
                C:\WINDOWS\SYSTEM\TAPISRV.EXE
                C:\WINDOWS\PULPIT\HIJACKTHIS.EXE

                O4 - HKLM\..\Run: [ashMaiSv] C:\PROGRA~1\ALWILS~1\AVAST4\ashmaisv.exe
                O4 - HKLM\..\RunServices: [avast!] C:\Program Files\Alwil Software\Avast4
                \ashServ.exe
                O14 - IERESET.INF: SEARCH_PAGE_URL=
                O14 - IERESET.INF: START_PAGE_URL=
                O17 - HKLM\System\CCS\Services\VxD\MSTCP: Domain = MSHOME


                i jest nowy problem, bo- komputer zawirusiony (od teraz nazywany win98) jest
                podpięty pod sieć- z winXP, który (czyli XP) ma dostęp do Internetu.
                Na win98 działa GG, a po zlikwidowaniu logów (zbyt wiele skasowano)- przestały
                wyświetlać się strony internetowe na tym komputerze.
                Sprawdzałem, to nie jest podany żaden DNS- czy na komputerze, który ma dostęp
                do Internetu poprzez sieć, DNS również musi być podany??
                co robić??

                reinstalacja to naprawdę nie jest dobre rozwiązanie
                proszę, pomóżcie nam
                pozdrawiamy
                -zawirusiona&zawirusiony
                • Gość: zawirusiony Re: Nie jest dobrze IP: *.neoplus.adsl.tpnet.pl 01.01.05, 22:58
                  Ale się namieszało, zestawiłem i tych wpisów brakuje :-(

                  O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} -
                  C:\PROGRAM FILES\ADOBE\ACROBAT 5.0\READER\ACTIVEX\ACROIEHELPER.OCX
                  O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} -
                  C:\WINDOWS\SYSTEM\MSDXM.OCX
                  O4 - HKLM\..\Run: [internat.exe] internat.exe
                  O4 - HKLM\..\Run: [ScanRegistry] C:\WINDOWS\scanregw.exe /autorun
                  O4 - HKLM\..\Run: [TaskMonitor] C:\WINDOWS\taskmon.exe
                  O4 - HKLM\..\Run: [LoadPowerProfile] Rundll32.exe
                  powrprof.dll,LoadCurrentPwrScheme
                  O4 - HKLM\..\Run: [SystemTray] SysTray.Exe
                  O4 - HKLM\..\RunServices: [LoadPowerProfile] Rundll32.exe
                  powrprof.dll,LoadCurrentPwrScheme
                  O4 - HKLM\..\RunServices: [SchedulingAgent] mstask.exe
                  O4 - Startup: Microsoft Office.lnk = D:\Microsoft Office\Office\OSA9.EXE
                  O9 - Extra button: Related - {c95fe080-8f5d-11d2-a20b-00aa003c157a} -
                  C:\WINDOWS\web\related.htm
                  O9 - Extra 'Tools' menuitem: Show &Related Links - {c95fe080-8f5d-11d2-a20b-
                  00aa003c157a} - C:\WINDOWS\web\related.htm
                  O12 - Plugin for .spop: C:\PROGRA~1\INTERN~1\Plugins\NPDocBox.dll


                  Pociągnie tak system??


                  Aha -

                  O17 - HKLM\System\CCS\Services\VxD\MSTCP: Domain = MSHOME – to zostało, bo to
                  nazwa naszej wewnętrznej domeny- też ma polecieć?? Teraz, to się boję...



                  PRZEPRASZAM ZA ZAMIESZANIE, ALE PROSZĘ- POMÓŻCIE NAM
                  • netsec Re: Nie jest dobrze 01.01.05, 23:21
                    Przywracanie pomyłkowo usuniętych wpisów w HiJack:

                    Uruchom HJ
                    Wybierz 'Do a system scan only'
                    Dalej kliknij Config
                    następnie Backups
                    Zaznaczasz pozycje na liście(haczykiem) i klikasz po prawej Restore
                    Wykonujesz to dla wszystkich pozycji, które mają być przywrócone.
                    Po wszystkim zamykasz HJ.
                  • Gość: zawirusiony Jest lepiej IP: *.neoplus.adsl.tpnet.pl 01.01.05, 23:23
                    Przepraszam za zamieszanie
                    niektóre wpisy udało się odzyskać
                    teraz log wygląda tak:

                    Logfile of HijackThis v1.98.2
                    Scan saved at 23:12:35, on 05-01-01
                    Platform: Windows 98 SE (Win9x 4.10.2222A)
                    MSIE: Internet Explorer v5.00 (5.00.2919.6304)

                    Running processes:
                    C:\WINDOWS\SYSTEM\KERNEL32.DLL
                    C:\WINDOWS\SYSTEM\MSGSRV32.EXE
                    C:\WINDOWS\SYSTEM\MPREXE.EXE
                    C:\PROGRAM FILES\ALWIL SOFTWARE\AVAST4\ASHSERV.EXE
                    C:\WINDOWS\SYSTEM\MSTASK.EXE
                    C:\WINDOWS\EXPLORER.EXE
                    C:\PROGRAM FILES\ALWIL SOFTWARE\AVAST4\ASHMAISV.EXE
                    C:\WINDOWS\TASKMON.EXE
                    C:\WINDOWS\SYSTEM\SYSTRAY.EXE
                    C:\WINDOWS\SYSTEM\INTERNAT.EXE
                    C:\PROGRAM FILES\GADU-GADU\GG.EXE
                    C:\WINDOWS\SYSTEM\SR64\LAHEFGOP.EXE
                    C:\WINDOWS\SYSTEM\RPCSS.EXE
                    C:\WINDOWS\SYSTEM\RNAAPP.EXE
                    C:\WINDOWS\SYSTEM\TAPISRV.EXE
                    C:\WINDOWS\PULPIT\HIJACKTHIS.EXE

                    O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3}-
                    C:\PROGRAM FILES\ADOBE\ACROBAT 5.0\READER\ACTIVEX\ACROIEHELPER.OCX
                    O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467}-
                    C:\WINDOWS\SYSTEM\MSDXM.OCX
                    O4 - HKLM\..\Run: [ashMaiSv] C:\PROGRA~1\ALWILS~1\AVAST4\ashmaisv.exe
                    O4 - HKLM\..\Run: [TaskMonitor] C:\WINDOWS\taskmon.exe
                    O4 - HKLM\..\Run: [ScanRegistry] C:\WINDOWS\scanregw.exe /autorun
                    O4 - HKLM\..\Run: [LoadPowerProfile] Rundll32.exe
                    powrprof.dll,LoadCurrentPwrScheme
                    O4 - HKLM\..\Run: [SystemTray] SysTray.Exe
                    O4 - HKLM\..\Run: [internat.exe] internat.exe
                    O4 - HKLM\..\RunServices: [avast!] C:\Program Files\Alwil Software\Avast4
                    \ashServ.exe
                    O4 - HKLM\..\RunServices: [LoadPowerProfile] Rundll32.exe
                    powrprof.dll,LoadCurrentPwrScheme
                    O4 - HKLM\..\RunServices: [SchedulingAgent] mstask.exe
                    O4 - Startup: Microsoft Office.lnk = D:\Microsoft Office\Office\OSA9.EXE
                    O9 - Extra button: Related - {c95fe080-8f5d-11d2-a20b-00aa003c157a}-
                    C:\WINDOWS\web\related.htm
                    O9 - Extra 'Tools' menuitem: Show &Related Links - {c95fe080-8f5d-11d2-a20b-
                    00aa003c157a}- C:\WINDOWS\web\related.htm
                    O14 - IERESET.INF: SEARCH_PAGE_URL=
                    O14 - IERESET.INF: START_PAGE_URL=
                    O17 - HKLM\System\CCS\Services\VxD\MSTCP: Domain = MSHOME

                    Strony Internetowe nadal się nie wyświetlają
                    czy przyczyną może być brak tego wpisu:
                    O12 - Plugin for .spop: C:\PROGRA~1\INTERN~1\Plugins\NPDocBox.dll??

                    bo tylko tego już brakuje...
                    • netsec Re: Jest lepiej 01.01.05, 23:38
                      Niech sprawa poczeka do jutra, lub szukaj na GG netsec
                      • netsec Re: Jest lepiej 02.01.05, 11:55
                        Jestem na GG
Pełna wersja