VX2 - proszę o pomoc

[sommer]

Wczoraj znalazłam VX2, za pomocą Findit utworzyłam output.txt i otrzymałam
taki zapis

Warning! This utility will find legitimate files in addition to malware.
Do not remove anything unless you are sure you know what you're doing.

-----

[netsec]

Jeśli masz faktycznie VX to nie zazdroszczę :)
Zacznij od wkljenia loga z HJ:
forum.gazeta.pl/forum/72,2.html?f=23618&w=16131117&wv.x=2&a=18632867

[sommer]

Logfile of HijackThis v1.99.0
Scan saved at 13:21:34, on 2005-01-06
Platform: Windows 2000 (WinNT 5.00.2195)
MSIE: Internet Explorer v6.00 (6.00.2600.0000)

Running processes:
C:\WIN2000\System32\smss.exe
C:\WIN2000\system32\winlogon.exe
C:\WIN2000\system32\services.exe
C:\WIN2000\system32\lsass.exe
C:\WIN2000\system32\svchost.exe
C:\WIN2000\system32\spoolsv.exe
C:\Program Files\Alwil Software\Avast4\aswUpdSv.exe
C:\Program Files\Alwil Software\Avast4\ashServ.exe
C:\WIN2000\System32\svchost.exe
C:\WIN2000\System32\nvsvc32.exe
C:\PROGRA~1\Agnitum\OUTPOS~1\outpost.exe
C:\WIN2000\system32\regsvc.exe
C:\WIN2000\system32\MSTask.exe
C:\WIN2000\system32\stisvc.exe
C:\WIN2000\System32\WBEM\WinMgmt.exe
C:\WIN2000\System32\MsPMSPSv.exe
C:\Program Files\Alwil Software\Avast4\ashMaiSv.exe
C:\Program Files\Hewlett-Packard\HP Software Update\HPWuSchd.exe
C:\Program Files\HP\hpcoretech\hpcmpmgr.exe
C:\WIN2000\System32\spool\drivers\w32x86\3\hpztsb09.exe
C:\Program Files\Hewlett-Packard\Digital Imaging\bin\hpotdd01.exe
C:\Program Files\Winamp\winampa.exe
C:\PROGRA~1\ALWILS~1\Avast4\ashDisp.exe
C:\WIN2000\System32\twink64.exe
C:\WIN2000\System32\ctfmon.exe
C:\Program Files\Pinnacle\Shared Files\InstantCDDVD\PCLETray.exe
C:\Program Files\Pinnacle\InstantCDDVD\InstantWrite\iwctrl.exe
C:\Program Files\SAGEM\SAGEM F@st 800-840\dslmon.exe
C:\Program Files\LightSurf\Common\IconMgr.exe
C:\Program Files\LightSurf\Colorific\hgcctl95.exe
C:\Program Files\WinZip\WZQKPICK.EXE
C:\Program Files\LightSurf\Color Indicator\TICIcon.exe
C:\WIN2000\Explorer.exe
C:\WIN2000\system32\rundll32.exe
C:\Program Files\Mozilla Firefox\firefox.exe
C:\WIN2000\system32\NOTEPAD.EXE
C:\Program Files\Wanadoo\EspaceWanadoo.exe
C:\Program Files\Wanadoo\ComComp.exe
C:\Program Files\Wanadoo\Watch.exe
C:\PROGRA~1\WINZIP\winzip32.exe
C:\Documents and Settings\a\Ustawienia lokalne\Temp\HijackThis.exe

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Bar = szukaj.wp.pl
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page =
www.neostrada.pl/
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Window Title = Neostrada
Plus wita Cie w Internecie
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Łącza
O1 - Hosts: 69.20.16.183 auto.search.msn.com
O1 - Hosts: 69.20.16.183 search.netscape.com
O1 - Hosts: 69.20.16.183 ieautosearch
O1 - Hosts: 69.20.16.183 ieautosearch
O1 - Hosts: 69.20.16.183 ieautosearch
O1 - Hosts: 69.20.16.183 ieautosearch
O1 - Hosts: 69.20.16.183 ieautosearch
O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} -
C:\WIN2000\System32\msdxm.ocx
O4 - HKLM\..\Run: [Synchronization Manager] mobsync.exe /logon
O4 - HKLM\..\Run: [HP Software Update] "C:\Program Files\Hewlett-Packard\HP
Software Update\HPWuSchd.exe"
O4 - HKLM\..\Run: [HP Component Manager] "C:\Program
Files\HP\hpcoretech\hpcmpmgr.exe"
O4 - HKLM\..\Run: [HPDJ Taskbar Utility]
C:\WIN2000\System32\spool\drivers\w32x86\3\hpztsb09.exe
O4 - HKLM\..\Run: [DeviceDiscovery] C:\Program Files\Hewlett-Packard\Digital
Imaging\bin\hpotdd01.exe
O4 - HKLM\..\Run: [WinampAgent] C:\Program Files\Winamp\winampa.exe
O4 - HKLM\..\Run: [WindowsRegKey update] hukpcgpakf.exe
O4 - HKLM\..\Run: [avast!] C:\PROGRA~1\ALWILS~1\Avast4\ashDisp.exe
O4 - HKLM\..\Run: [WindowsRegKey upd4te2d4te] zwjnmqikj.exe
O4 - HKLM\..\Run: [PinnacleDriverCheck] C:\WIN2000\System32\PSDrvCheck.exe
O4 - HKLM\..\Run: [ControlPanel] C:\WIN2000\System32\twink64.exe
internat.dll,LoadKeyboardProfile
O4 - HKLM\..\Run: [Windows DLL Loader] C:\WIN2000\system32\defragfat36.exe
O4 - HKLM\..\Run: [Outpost Firewall] C:\PROGRA~1\Agnitum\OUTPOS~1\outpost.exe
/waitservice
O4 - HKLM\..\RunServices: [WindowsRegKey update] hukpcgpakf.exe
O4 - HKLM\..\RunServices: [WindowsRegKey upd4te2d4te] zwjnmqikj.exe
O4 - HKCU\..\Run: [ctfmon.exe] ctfmon.exe
O4 - HKCU\..\Run: [WindowsRegKey update] hukpcgpakf.exe
O4 - HKCU\..\Run: [Local Service] spoolsp.exe
O4 - HKCU\..\Run: [InstantTray] C:\Program Files\Pinnacle\Shared
Files\InstantCDDVD\PCLETray.exe
O4 - HKCU\..\Run: [IW_Drop_Icon] C:\Program
Files\Pinnacle\InstantCDDVD\InstantWrite\iwctrl.exe /DropDisc
O4 - HKCU\..\RunServices: [Local Service] spoolsp.exe
O4 - Startup: PowerReg Scheduler.exe
O4 - Global Startup: DSLMON.lnk = C:\Program Files\SAGEM\SAGEM F@st
800-840\dslmon.exe
O4 - Global Startup: LightSurf.lnk = C:\Program Files\LightSurf\Common\IconMgr.exe
O4 - Global Startup: Microsoft Office.lnk = C:\Program Files\Microsoft
Office\Office10\OSA.EXE
O4 - Global Startup: WinZip Quick Pick.lnk = C:\Program Files\WinZip\WZQKPICK.EXE
O8 - Extra context menu item: E&ksport do programu Microsoft Excel -
res://C:\PROGRA~1\MICROS~2\Office10\EXCEL.EXE/3000
O15 - Trusted Zone: *.slotchbar.com
O15 - Trusted Zone: *.windupdates.com
O15 - Trusted Zone: *.slotchbar.com (HKLM)
O15 - Trusted Zone: *.windupdates.com (HKLM)
O15 - Trusted IP range: 67.19.185.246
O15 - Trusted IP range: 67.19.185.246 (HKLM)
O16 - DPF: {79849612-A98F-45B8-95E9-4D13C7B6B35C} -
67.19.185.246/i/1/loader2.ocx
O17 - HKLM\System\CCS\Services\Tcpip\..\{26CDBB6B-88D2-4594-AB03-A4133D727CF9}:
NameServer = 194.204.152.34 217.98.63.164
O18 - Protocol: cetihpz - {CF184AD3-CDCB-4168-A3F7-8E447D129300} - C:\Program
Files\HP\hpcoretech\comp\hpuiprot.dll
O23 - Service: avast! iAVS4 Control Service - Unknown - C:\Program Files\Alwil
Software\Avast4\aswUpdSv.exe
O23 - Service: avast! Antivirus - Unknown - C:\Program Files\Alwil
Software\Avast4\ashServ.exe
O23 - Service: avast! Mail Scanner - ALWIL Software - C:\Program Files\Alwil
Software\Avast4\ashMaiSv.exe
O23 - Service: Usługa administracyjna Menedżera dysków logicznych - VERITAS
Software Corp. - C:\WIN2000\System32\dmadmin.exe
O23 - Service: ISEXEng - Unknown - C:\WIN2000\System32\angelex.exe (file missing)
O23 - Service: NVIDIA Driver Helper Service - NVIDIA Corporation -
C:\WIN2000\System32\nvsvc32.exe
O23 - Service: Outpost Firewall Service - Agnitum -
C:\PROGRA~1\Agnitum\OUTPOS~1\outpost.exe

[netsec]

www.searchengines.pl/phpbb203/index.php?showtopic=12510&st=0&p=109496&#entry109496

[sommer]

Aha wiem, byłam tam, ale nie wiem jakie pliki usunąć w killboxie - niemota
komputerowa jestem :(

[netsec]

Zacznijmy od tego że Twój system nie jest w pełni zaktualizowany o
krytyczne poprawki wpływające na jego bezpieczeństwo.

=> Windows 2000 Dodatek ? , powinien być SP4
=> Internet Explorer v6.00, powinien być IE 6.0 SP1

To, że korzystasz z Firefox nie ma znaczenia.
IE musi być zaktualizowany, ze względu na wpływ na inne elementy systemu Windows.

Ściągnij nowy CWShredder 2.0
cwshredder.net/bin/CWShredder.exe
Uruchom komputer w trybie awaryjnym. Tutaj masz opis jak to wykonać:
support.microsoft.com/default.aspx?scid=kb;PL;202485
Uwaga! Przy starcie do awaryjnego dostaniesz pytanie o wybór konta. NIE wybieraj
konta Administratora tylko swoje własne imienne (chyba, że Administrator jest
nim), bo na tym profilu jest syf. Po uruchomieniu komputera w trybie awaryjnym,
nie otwieraj Internet Explorera.

Uruchom ponownie HiJackThis wykonaj SCAN only i zaznacz te pozycje:

O1 - Hosts: 69.20.16.183 auto.search.msn.com
O1 - Hosts: 69.20.16.183 search.netscape.com
O1 - Hosts: 69.20.16.183 ieautosearch
O1 - Hosts: 69.20.16.183 ieautosearch
O1 - Hosts: 69.20.16.183 ieautosearch
O1 - Hosts: 69.20.16.183 ieautosearch
O1 - Hosts: 69.20.16.183 ieautosearch
O4 - HKLM\..\Run: [WinampAgent] C:\Program Files\Winamp\winampa.exe
O4 - HKLM\..\Run: [WindowsRegKey update] hukpcgpakf.exe
O4 - HKLM\..\Run: [WindowsRegKey upd4te2d4te] zwjnmqikj.exe
O4 - HKLM\..\Run: [ControlPanel] C:\WIN2000\System32\twink64.exe
internat.dll,LoadKeyboardProfile
O4 - HKLM\..\Run: [Windows DLL Loader] C:\WIN2000\system32\defragfat36.exe
O4 - HKLM\..\RunServices: [WindowsRegKey update] hukpcgpakf.exe
O4 - HKLM\..\RunServices: [WindowsRegKey upd4te2d4te] zwjnmqikj.exe
O4 - HKCU\..\Run: [WindowsRegKey update] hukpcgpakf.exe
O4 - HKCU\..\Run: [Local Service] spoolsp.exe
O4 - HKCU\..\RunServices: [Local Service] spoolsp.exe
O4 - Startup: PowerReg Scheduler.exe
O4 - Global Startup: LightSurf.lnk = C:\Program Files\LightSurf\Common\IconMgr.exe
O15 - Trusted Zone: *.slotchbar.com
O15 - Trusted Zone: *.windupdates.com
O15 - Trusted Zone: *.slotchbar.com (HKLM)
O15 - Trusted Zone: *.windupdates.com (HKLM)
O15 - Trusted IP range: 67.19.185.246
O15 - Trusted IP range: 67.19.185.246 (HKLM)
O16 - DPF: {79849612-A98F-45B8-95E9-4D13C7B6B35C} -
67.19.185.246/i/1/loader2.ocx
O23 - Service: ISEXEng - Unknown - C:\WIN2000\System32\angelex.exe (file missing)

Po zaznaczeniu wykonaj FIX CHECKED i potwierdź TAK/OK.

Uruchom CWShredder i wykonaj Fix.

W Panel Sterowania => Opcje Internetowe usuń
Tymczasowe pliki Internetowe (Wszystkie) i Cooki.

Odinstaluj w Panelu sterowania Dodaj/Usuń programy wszystkie
programy, co do których nie masz pewności, że Ci są potrzebne.


Upewnij się, że opcja Pokaż wszystkie pliki w Eksploratorze Windows jest
włączona.

a. Kliknij przycisk Start, kliknij polecenie Mój komputer, kliknij menu
Narzędzia, a następnie kliknij polecenie Opcje folderów. Kliknij kartę
Widok.

b. W sekcji Ustawienia zaawansowane kliknij pozycję Pokaż ukryte pliki i
foldery.

c. W sekcji Ustawienia zaawansowane kliknij, aby wyczyścić pole wyboru
Ukryj chronione pliki systemu operacyjnego (zalecane).

Otwórz Mój Komputer wpisz w pasku adresu %TEMP%.
Przejdziesz do folderu TEMP. Skasuj w nim wszystkie pliki, które uda się
skasować.

Uruchom komputer w normalnym trybie.

Sprawdź czy AVAST się aktualizuje, w tym celu:

Kliknij prawym przyciskiem myszy w niebieską ikonę (a) obecną w zasobniku
systemowym i wybierz AKTUALIZACJE -> AKTUALIZUJ PROGRAM oraz AKTUALIZUJ BAZĘ
iAVS. Aby uaktualnić jedynie bazę danych wirusów wystarczy kliknąć ikonę
"błyskawicy" w prostym interfejsie użytkownika. Aktywne połączenie internetowe
jest konieczne, aby operacja uaktualnienia przebiegła pomyślnie.

Następne uaktualnienia bazy wirusów będą wykonywane automatycznie. Powiadomienia
o kolejnych aktualizacjach programu będą pojawiały się w postaci niebieskiego
okienka informacyjnego, jednak musisz je uruchamiać ręcznie

Przeskanuj AVAST’em cały system.

Po wszystkim wklej nowy log z HJ.

[sommer]

Dzieki bardzo, postaram się wszystko wykonać...dziś już nie, bo zawirusowany
komp jest użytkowany przez moich rodziców, a ja już w domu u siebie jestem.

Aha spróbowałam usunąć wg wskazowek ze strony www.searchengines.pl,
Findit na razie pokazuje, że Vxa nie ma...ale zobaczymy jutro

[sommer]

Nie mogę uruchomic w trybie awaryjnym bo wisi...:((

to jest log po wczorajszym czyszczeniu
Logfile of HijackThis v1.99.0
Scan saved at 13:08:55, on 2005-01-07
Platform: Windows 2000 (WinNT 5.00.2195)
MSIE: Internet Explorer v6.00 (6.00.2600.0000)

Running processes:
C:\WIN2000\System32\smss.exe
C:\WIN2000\system32\winlogon.exe
C:\WIN2000\system32\services.exe
C:\WIN2000\system32\lsass.exe
C:\WIN2000\system32\svchost.exe
C:\WIN2000\system32\spoolsv.exe
C:\Program Files\Alwil Software\Avast4\aswUpdSv.exe
C:\Program Files\Alwil Software\Avast4\ashServ.exe
C:\WIN2000\System32\svchost.exe
C:\WIN2000\System32\nvsvc32.exe
C:\PROGRA~1\Agnitum\OUTPOS~1\outpost.exe
C:\WIN2000\system32\regsvc.exe
C:\WIN2000\system32\MSTask.exe
C:\WIN2000\system32\stisvc.exe
C:\WIN2000\System32\WBEM\WinMgmt.exe
C:\WIN2000\System32\MsPMSPSv.exe
C:\WIN2000\Explorer.exe
C:\Program Files\Alwil Software\Avast4\ashMaiSv.exe
C:\Program Files\Hewlett-Packard\HP Software Update\HPWuSchd.exe
C:\Program Files\HP\hpcoretech\hpcmpmgr.exe
C:\WIN2000\System32\spool\drivers\w32x86\3\hpztsb09.exe
C:\Program Files\Hewlett-Packard\Digital Imaging\bin\hpotdd01.exe
C:\PROGRA~1\ALWILS~1\Avast4\ashDisp.exe
C:\WIN2000\System32\ctfmon.exe
C:\Program Files\Pinnacle\Shared Files\InstantCDDVD\PCLETray.exe
C:\Program Files\Pinnacle\InstantCDDVD\InstantWrite\iwctrl.exe
C:\Program Files\SAGEM\SAGEM F@st 800-840\dslmon.exe
C:\Program Files\WinZip\WZQKPICK.EXE
C:\Program Files\Mozilla Firefox\firefox.exe
C:\Program Files\Wanadoo\EspaceWanadoo.exe
C:\Program Files\Wanadoo\ComComp.exe
C:\Program Files\Wanadoo\Watch.exe
C:\PROGRA~1\WINZIP\winzip32.exe
C:\Documents and Settings\a\Ustawienia lokalne\Temp\HijackThis.exe

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Bar = szukaj.wp.pl
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page =
www.neostrada.pl/
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Window Title = Neostrada
Plus wita Cie w Internecie
R1 - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet
Settings,ProxyOverride = localhost
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Łącza
O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} -
C:\WIN2000\System32\msdxm.ocx
O4 - HKLM\..\Run: [Synchronization Manager] mobsync.exe /logon
O4 - HKLM\..\Run: [HP Software Update] "C:\Program Files\Hewlett-Packard\HP
Software Update\HPWuSchd.exe"
O4 - HKLM\..\Run: [HP Component Manager] "C:\Program
Files\HP\hpcoretech\hpcmpmgr.exe"
O4 - HKLM\..\Run: [HPDJ Taskbar Utility]
C:\WIN2000\System32\spool\drivers\w32x86\3\hpztsb09.exe
O4 - HKLM\..\Run: [DeviceDiscovery] C:\Program Files\Hewlett-Packard\Digital
Imaging\bin\hpotdd01.exe
O4 - HKLM\..\Run: [avast!] C:\PROGRA~1\ALWILS~1\Avast4\ashDisp.exe
O4 - HKLM\..\Run: [PinnacleDriverCheck] C:\WIN2000\System32\PSDrvCheck.exe
O4 - HKLM\..\Run: [Outpost Firewall] C:\PROGRA~1\Agnitum\OUTPOS~1\outpost.exe
/waitservice
O4 - HKCU\..\Run: [ctfmon.exe] ctfmon.exe
O4 - HKCU\..\Run: [InstantTray] C:\Program Files\Pinnacle\Shared
Files\InstantCDDVD\PCLETray.exe
O4 - HKCU\..\Run: [IW_Drop_Icon] C:\Program
Files\Pinnacle\InstantCDDVD\InstantWrite\iwctrl.exe /DropDisc
O4 - Global Startup: DSLMON.lnk = C:\Program Files\SAGEM\SAGEM F@st
800-840\dslmon.exe
O4 - Global Startup: Microsoft Office.lnk = C:\Program Files\Microsoft
Office\Office10\OSA.EXE
O4 - Global Startup: WinZip Quick Pick.lnk = C:\Program Files\WinZip\WZQKPICK.EXE
O8 - Extra context menu item: E&ksport do programu Microsoft Excel -
res://C:\PROGRA~1\MICROS~2\Office10\EXCEL.EXE/3000
O17 - HKLM\System\CCS\Services\Tcpip\..\{26CDBB6B-88D2-4594-AB03-A4133D727CF9}:
NameServer = 194.204.152.34 217.98.63.164
O18 - Protocol: cetihpz - {CF184AD3-CDCB-4168-A3F7-8E447D129300} - C:\Program
Files\HP\hpcoretech\comp\hpuiprot.dll
O23 - Service: avast! iAVS4 Control Service - Unknown - C:\Program Files\Alwil
Software\Avast4\aswUpdSv.exe
O23 - Service: avast! Antivirus - Unknown - C:\Program Files\Alwil
Software\Avast4\ashServ.exe
O23 - Service: avast! Mail Scanner - ALWIL Software - C:\Program Files\Alwil
Software\Avast4\ashMaiSv.exe
O23 - Service: Usługa administracyjna Menedżera dysków logicznych - VERITAS
Software Corp. - C:\WIN2000\System32\dmadmin.exe
O23 - Service: NVIDIA Driver Helper Service - NVIDIA Corporation -
C:\WIN2000\System32\nvsvc32.exe
O23 - Service: Outpost Firewall Service - Agnitum -
C:\PROGRA~1\Agnitum\OUTPOS~1\outpost.exe