"Please, select your country"- POMOCY!!!

[Gość: koniok]

co to jest za "cholerstwo", po załadowaniu windowsa samo pakuje mi się na
pulpit, otwierają się jakieś strony, ok.setki, nie mogę uruchomić żadnego
programu, komputer nie czyta płyt CD, jak się tego pozbyć, błagam o pomoc!!!

[netsec]

Jeśli masz XP, to sprawdź czy masz włączoną zaporę Internetową we właściwościach
Twojego połączenia do Internetu.
Tu jest opis jak to wykonać:
www.microsoft.com/poland/security/protect/windowsxp/firewall.aspx
Wklej log z HiJackThis:
forum.gazeta.pl/forum/72,2.html?f=23618&w=16131117&wv.x=2&a=18632867

[Gość: koniok]

dzięki, spróbuję.

[Gość: koniok]

nie jestem w stanie wykonać żadnego ruchu, żadne okienko nie chce mi się
otworzyć, otwierają się tylko strony internetowe - SAME!!!

[netsec]

Musisz spróbować ściągnąć HJ i wykonać loga, inaczej nie mam jak Ci pomóc:
80.53.91.142/netsec/tools/HijackThis99.exe
Utwórz w dowolnym wygodnym dla siebie miejscu folder i zapisz tam plik exe
programu HiJackThis.
Folder jest potrzebny po to by tworzone przez HiJacka kopie zapasowe usuwanych
wpisów mogły zostać zgrupowane w jednym miejscu.
Uruchamiasz HijackThis, w głównym okienku klikasz 'Do a system scan and save a
log'. Program automatycznie zaproponuje zapamiętanie pliku hijackthis.log z
wynikiem skanowania.

Zapisany na dysku plik hijackthis.log otwierasz w Notatniku, zawartość wklejasz
w swoim poście na forum!

[Gość: koniok]

O Jezu, chyba mi się udało, mam nadzieję że o to chodziło:
Logfile of HijackThis v1.99.0
Scan saved at 11:53:07, on 2005-02-01
Platform: Windows XP (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 (6.00.2600.0000)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.ex e
C:\WINDOWS\system32\services.ex e
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\rundll32.ex e
C:\WINDOWS\system32\spoolsv.exe
C:\Program Files\Common Files\Symantec Shared\ccEvtMgr.exe
C:\WINDOWS\Explorer.EXE
C:\Program Files\Norton AntiVirus\navapsvc.exe
C:\Program Files\Norton AntiVirus\AdvTools\NPROTECT.EXE
C:\WINDOWS\SOINTGR.EXE
C:\Program Files\Common Files\Symantec Shared\ccApp.exe
C:\PROGRA~1\NETRAT~1\Premeter\p rmt.exe
C:\Program Files\webHancer\Programs\whSurv ey.exe
C:\Program Files\Common Files\CMEII\CMESys.exe
C:\WINDOWS\System32\systime.exe
C:\Program Files\Internet Optimizer\optimize.exe
C:\Program Files\CashBack\bin\cashback.exe
C:\Program Files\BullsEye Network\bin\bargains.exe
C:\Program Files\NaviSearch\bin\nls.exe
C:\Program Files\Seacg\Gzxtonh.exe
C:\Program Files\Internet Optimizer\actalert.exe
C:\Program Files\Internet Optimizer\actalert.exe
C:\Program Files\webHancer\Programs\whAgen t.exe
C:\Program Files\Messenger\msmsgs.exe
C:\Program Files\Gadu-Gadu\gg.exe
C:\WINDOWS\System32\systime.exe
C:\Documents and Settings\usr11\Dane aplikacji\cart.exe
C:\WINDOWS\System32\??chost.exe
C:\Program Files\PrecisionTime\PrecisionTi me.exe
C:\Program Files\Common Files\GMT\GMT.exe
C:\Program Files\WebSiteViewer\124491.dlr
C:\Program Files\Internet Explorer\iexplore.exe
C:\WINDOWS\System32\wuauclt.exe
C:\Program Files\Internet Explorer\iexplore.exe
C:\Documents and Settings\All Users\Dokumenty\Hi\HijackThis99 .exe

R1 - HKCU\Software\Microsoft\Interne t Explorer\Main,Default_Page_URL =
213.159.117.134/index.php
R0 - HKCU\Software\Microsoft\Interne t Explorer\Main,Start Page =
213.159.117.134/index.php
R1 - HKLM\Software\Microsoft\Interne t Explorer\Main,Default_Page_URL =
213.159.117.134/index.php
R0 - HKLM\Software\Microsoft\Interne t Explorer\Main,Start Page =
213.159.117.134/index.php
R0 - HKCU\Software\Microsoft\Interne t Explorer\Main,Local Page =
213.159.117.134/index.php
R0 - HKLM\Software\Microsoft\Interne t Explorer\Main,Local Page =
213.159.117.134/index.php
R0 - HKCU\Software\Microsoft\Interne t Explorer\Toolbar,LinksFolderNam e = Łącza
R3 - URLSearchHook: (no name) - _{CFBFAE00-17A6-11D0-99CB-00C04 FD64497} - (no
file)
O1 - Hosts: 127.0.0.3 n-glx.s-redirect.com
O1 - Hosts: 127.0.0.3 x.full-tgp.net
O1 - Hosts: 127.0.0.3 counter.sexmaniack.com
O1 - Hosts: 127.0.0.3 autoescrowpay.com
O1 - Hosts: 127.0.0.3 www.autoescrowpay.com
O1 - Hosts: 127.0.0.3 www.awmdabest.com
O1 - Hosts: 127.0.0.3 www.sexfiles.nu
O1 - Hosts: 127.0.0.3 awmdabest.com
O1 - Hosts: 127.0.0.3 sexfiles.nu
O1 - Hosts: 127.0.0.3 allforadult.com
O1 - Hosts: 127.0.0.3 www.allforadult.com
O1 - Hosts: 127.0.0.3 www.iframe.biz
O1 - Hosts: 127.0.0.3 iframe.biz
O1 - Hosts: 127.0.0.3 www.newiframe.biz
O1 - Hosts: 127.0.0.3 newiframe.biz
O1 - Hosts: 127.0.0.3 www.vesbiz.biz
O1 - Hosts: 127.0.0.3 vesbiz.biz
O1 - Hosts: 127.0.0.3 www.pi..to.biz
O1 - Hosts: 127.0.0.3 pi..to.biz
O1 - Hosts: 127.0.0.3 www.aaasexypics.com
O1 - Hosts: 127.0.0.3 aaasexypics.com
O1 - Hosts: 127.0.0.3 www.virgin-tgp.net
O1 - Hosts: 69.20.16.183 auto.search.msn.com
O1 - Hosts: 69.20.16.183 search.netscape.com
O1 - Hosts: 69.20.16.183 ieautosearch
O2 - BHO: BHObj Class - {00000010-6F7D-442C-93E3-4A4827 C2E4C8} -
C:\WINDOWS\nem220.dll
O2 - BHO: NLS UrlCatcher Class - {AEECBFDA-12FA-4881-BDCE-8C3E1C E4B344} -
C:\WINDOWS\System32\nvms.dll
O2 - BHO: WhIeHelperObj Class - {c900b400-cdfe-11d3-976a-00e029 13a9e0} -
C:\Program Files\webHancer\programs\whiehl pr.dll
O2 - BHO: CB UrlCatcher Class - {CE188402-6EE7-4022-8868-AB2517 3A3E14} -
C:\WINDOWS\System32\mscb.dll
O2 - BHO: ADP UrlCatcher Class - {F4E04583-354E-4076-BE7D-ED6A80 FD66DA} -
C:\WINDOWS\System32\msbe.dll
O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9 082467} -
C:\WINDOWS\System32\msdxm.ocx
O3 - Toolbar: Norton AntiVirus - {42CDD1BF-3FFB-4238-8AD1-7859DF 00B1D6} -
C:\Program Files\Norton AntiVirus\NavShExt.dll
O3 - Toolbar: IEMenuExtension toolbar - {6b95678d-30a4-4ff8-a72f-420834 0c1f7f} -
C:\Program Files\IEMenuExtension\tbextn.dl l
O4 - HKLM\..\Run: [SO5 Integrator Pass Two] C:\WINDOWS\SOINTGR.EXE
O4 - HKLM\..\Run: [78_1] C:\WINDOWS\78_1.exe tray
O4 - HKLM\..\Run: [ccApp] "C:\Program Files\Common Files\Symantec
Shared\ccApp.exe"
O4 - HKLM\..\Run: [ccRegVfy] "C:\Program Files\Common Files\Symantec
Shared\ccRegVfy.exe"
O4 - HKLM\..\Run: [Advanced Tools Check] C:\PROGRA~1\NORTON~2
\AdvTools\ADVCHK.EXE
O4 - HKLM\..\Run: [Premeter] C:\PROGRA~1\NETRAT~1\Premeter\p rmt.exe
O4 - HKLM\..\Run: [webHancer Survey Companion] "C:\Program
Files\webHancer\Programs\whSurv ey.exe"
O4 - HKLM\..\Run: [CMESys] "C:\Program Files\Common Files\CMEII\CMESys.exe"
O4 - HKLM\..\Run: [SysTime] C:\WINDOWS\System32\systime.exe
O4 - HKLM\..\Run: [Internet Optimizer] "C:\Program Files\Internet
Optimizer\optimize.exe"
O4 - HKLM\..\Run: [CashBack] C:\Program Files\CashBack\bin\cashback.exe
O4 - HKLM\..\Run: [BullsEye Network] C:\Program Files\BullsEye
Network\bin\bargains.exe
O4 - HKLM\..\Run: [IE Menu Extension toolbar] rundll32.exe "C:\PROGRA~1\IEMENU~1
\tbextn.dll" DllShowTB
O4 - HKLM\..\Run: [NaviSearch] C:\Program Files\NaviSearch\bin\nls.exe
O4 - HKLM\..\Run: [Nnsodafa] C:\Program Files\Seacg\Gzxtonh.exe
O4 - HKLM\..\Run: [webHancer Agent] "C:\Program
Files\webHancer\Programs\whAgen t.exe"
O4 - HKCU\..\Run: [MSMSGS] "C:\Program Files\Messenger\msmsgs.exe" /background
O4 - HKCU\..\Run: [Gadu-Gadu] "C:\Program Files\Gadu-Gadu\gg.exe" /tray
O4 - HKCU\..\Run: [SysTime] C:\WINDOWS\System32\systime.exe
O4 - Global Startup: PrecisionTime.lnk = C:\Program
Files\PrecisionTime\PrecisionTi me.exe
O4 - Global Startup: GStartup.lnk = C:\Program Files\Common Files\GMT\GMT.exe
O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C 608501} -
C:\Program Files\Java\j2re1.4.1_01\bin\npj pi141_01.dll
O9 - Extra 'Tools' menuitem: Sun Java Console - {08B0E5C0-4FCB-11CF-AAA5-
00401C608501} - C:\Program Files\Java\j2re1.4.1_01\bin\npj pi141_01.dll
O9 - Extra button: Related - {c95fe080-8f5d-11d2-a20b-00aa00 3c157a} -
C:\WINDOWS\web\related.htm
O9 - Extra 'Tools' menuitem: Show &Related Links - {c95fe080-8f5d-11d2-a20b-
00aa003c157a} - C:\WINDOWS\web\related.htm
O10 - Hijacked Internet access by WebHancer
O10 - Hijacked Internet access by WebHancer
O10 - Unknown file in Winsock LSP: c:\windows\system32\aklsp.dll
O10 - Hijacked Internet access by WebHancer
O15 - Trusted Zone: *.blazefind.com
O15 - Trusted Zone: *.clickspring.net
O15 - Trusted Zone: *.crazywinnings.com
O15 - Trusted Zone: *.flingstone.com
O15 - Trusted Zone: *.iframedollars.biz
O15 - Trusted Zone: *.mt-download.com
O15 - Trusted Zone: *.my-internet.info
O15 - Trusted Zone: *.searchbarcash.com
O15 - Trusted Zone: *.searchmiracle.com
O15 - Trusted Zone: *.skoobidoo.com
O15 - Trusted Zone: *.slotch.com
O15 - Trusted Zone: *.topconverting.com
O15 - Trusted Zone: *.windupdates.com
O15 - Trusted Zone: *.xxxtoolbar.com
O15 - Trusted Zone: *.blazefind.com (HKLM)
O15 - Trusted Zone: *.clickspring.net (HKLM)
O15 - Trusted Zone: *.crazywinnings.com (HKLM)
O15

[netsec]

Na początek odinstaluj w Dodaj/Usuń programy
Internet Optimizer, SysTime, BullsEye Network, webHancer, NaviSearch i wszystkie
nie znane programy.

Po tym uruchom komputer ponownie.

Ściągnij nowy CWShredder 2.0
cwshredder.net/bin/CWShredder.exe
Sprawdź czy masz włączoną zaporę Internetową we właściwościach Twojego
połączenia do Internetu. Tu jest opis jak to wykonać
www.microsoft.com/poland/security/protect/windowsxp/firewall.aspx
Wyłącz przywracanie systemu:
support.microsoft.com/default.aspx?scid=kb;pl;310405
Uruchom komputer w trybie awaryjnym:
support.microsoft.com/default.aspx?scid=KB;PL;315222
Uwaga! Przy starcie do awaryjnego dostaniesz pytanie o wybór konta. NIE wybieraj
konta Administratora tylko swoje własne imienne, bo na tym profilu jest syf. Po
uruchomieniu komputera w trybie awaryjnym, nie otwieraj Internet Explorera.

Uruchom ponownie HiJackThis wykonaj SCAN i zaznacz(haczykiem) te pozycje:

R1 - HKCU\Software\Microsoft\Interne t Explorer\Main,Default_Page_URL =
213.159.117.134/index.php
R0 - HKCU\Software\Microsoft\Interne t Explorer\Main,Start Page =
213.159.117.134/index.php
R1 - HKLM\Software\Microsoft\Interne t Explorer\Main,Default_Page_URL =
213.159.117.134/index.php
R0 - HKLM\Software\Microsoft\Interne t Explorer\Main,Start Page =
213.159.117.134/index.php
R0 - HKCU\Software\Microsoft\Interne t Explorer\Main,Local Page =
213.159.117.134/index.php
R0 - HKLM\Software\Microsoft\Interne t Explorer\Main,Local Page =
213.159.117.134/index.php
R3 - URLSearchHook: (no name) - _{CFBFAE00-17A6-11D0-99CB-00C04 FD64497} - (no
file)
O1 - Hosts: 127.0.0.3 n-glx.s-redirect.com
O1 - Hosts: 127.0.0.3 x.full-tgp.net
O1 - Hosts: 127.0.0.3 counter.sexmaniack.com
O1 - Hosts: 127.0.0.3 autoescrowpay.com
O1 - Hosts: 127.0.0.3 www.autoescrowpay.com
O1 - Hosts: 127.0.0.3 www.awmdabest.com
O1 - Hosts: 127.0.0.3 www.sexfiles.nu
O1 - Hosts: 127.0.0.3 awmdabest.com
O1 - Hosts: 127.0.0.3 sexfiles.nu
O1 - Hosts: 127.0.0.3 allforadult.com
O1 - Hosts: 127.0.0.3 www.allforadult.com
O1 - Hosts: 127.0.0.3 www.iframe.biz
O1 - Hosts: 127.0.0.3 iframe.biz
O1 - Hosts: 127.0.0.3 www.newiframe.biz
O1 - Hosts: 127.0.0.3 newiframe.biz
O1 - Hosts: 127.0.0.3 www.vesbiz.biz
O1 - Hosts: 127.0.0.3 vesbiz.biz
O1 - Hosts: 127.0.0.3 www.pi..to.biz
O1 - Hosts: 127.0.0.3 pi..to.biz
O1 - Hosts: 127.0.0.3 www.aaasexypics.com
O1 - Hosts: 127.0.0.3 aaasexypics.com
O1 - Hosts: 127.0.0.3 www.virgin-tgp.net
O1 - Hosts: 69.20.16.183 auto.search.msn.com
O1 - Hosts: 69.20.16.183 search.netscape.com
O1 - Hosts: 69.20.16.183 ieautosearch
O2 - BHO: BHObj Class - {00000010-6F7D-442C-93E3-4A4827 C2E4C8} -
C:\WINDOWS\nem220.dll
O2 - BHO: NLS UrlCatcher Class - {AEECBFDA-12FA-4881-BDCE-8C3E1C E4B344} -
C:\WINDOWS\System32\nvms.dll
O2 - BHO: WhIeHelperObj Class - {c900b400-cdfe-11d3-976a-00e029 13a9e0} -
C:\Program Files\webHancer\programs\whiehl pr.dll
O2 - BHO: CB UrlCatcher Class - {CE188402-6EE7-4022-8868-AB2517 3A3E14} -
C:\WINDOWS\System32\mscb.dll
O2 - BHO: ADP UrlCatcher Class - {F4E04583-354E-4076-BE7D-ED6A80 FD66DA} -
C:\WINDOWS\System32\msbe.dll
O3 - Toolbar: IEMenuExtension toolbar - {6b95678d-30a4-4ff8-a72f-420834 0c1f7f} -
C:\Program Files\IEMenuExtension\tbextn.dl l
O4 - HKLM\..\Run: [SO5 Integrator Pass Two] C:\WINDOWS\SOINTGR.EXE
O4 - HKLM\..\Run: [78_1] C:\WINDOWS\78_1.exe tray
O4 - HKLM\..\Run: [Advanced Tools Check] C:\PROGRA~1\NORTON~2
\AdvTools\ADVCHK.EXE
O4 - HKLM\..\Run: [Premeter] C:\PROGRA~1\NETRAT~1\Premeter\p rmt.exe
O4 - HKLM\..\Run: [webHancer Survey Companion] "C:\Program
Files\webHancer\Programs\whSurv ey.exe"
O4 - HKLM\..\Run: [CMESys] "C:\Program Files\Common Files\CMEII\CMESys.exe"
O4 - HKLM\..\Run: [SysTime] C:\WINDOWS\System32\systime.exe
O4 - HKLM\..\Run: [Internet Optimizer] "C:\Program Files\Internet
Optimizer\optimize.exe"
O4 - HKLM\..\Run: [CashBack] C:\Program Files\CashBack\bin\cashback.exe
O4 - HKLM\..\Run: [BullsEye Network] C:\Program Files\BullsEye
Network\bin\bargains.exe
O4 - HKLM\..\Run: [IE Menu Extension toolbar] rundll32.exe "C:\PROGRA~1\IEMENU~1
\tbextn.dll" DllShowTB
O4 - HKLM\..\Run: [NaviSearch] C:\Program Files\NaviSearch\bin\nls.exe
O4 - HKLM\..\Run: [Nnsodafa] C:\Program Files\Seacg\Gzxtonh.exe
O4 - HKLM\..\Run: [webHancer Agent] "C:\Program
Files\webHancer\Programs\whAgen t.exe"
O4 - HKCU\..\Run: [MSMSGS] "C:\Program Files\Messenger\msmsgs.exe" /background
O4 - HKCU\..\Run: [SysTime] C:\WINDOWS\System32\systime.exe
O4 - Global Startup: PrecisionTime.lnk = C:\Program
Files\PrecisionTime\PrecisionTi me.exe
O4 - Global Startup: GStartup.lnk = C:\Program Files\Common Files\GMT\GMT.exe
O10 - Hijacked Internet access by WebHancer
O10 - Hijacked Internet access by WebHancer
O10 - Unknown file in Winsock LSP: c:\windows\system32\aklsp.dll
O10 - Hijacked Internet access by WebHancer
O15 - Trusted Zone: *.blazefind.com
O15 - Trusted Zone: *.clickspring.net
O15 - Trusted Zone: *.crazywinnings.com
O15 - Trusted Zone: *.flingstone.com
O15 - Trusted Zone: *.iframedollars.biz
O15 - Trusted Zone: *.mt-download.com
O15 - Trusted Zone: *.my-internet.info
O15 - Trusted Zone: *.searchbarcash.com
O15 - Trusted Zone: *.searchmiracle.com
O15 - Trusted Zone: *.skoobidoo.com
O15 - Trusted Zone: *.slotch.com
O15 - Trusted Zone: *.topconverting.com
O15 - Trusted Zone: *.windupdates.com
O15 - Trusted Zone: *.xxxtoolbar.com
O15 - Trusted Zone: *.blazefind.com (HKLM)
O15 - Trusted Zone: *.clickspring.net (HKLM)
O15 - Trusted Zone: *.crazywinnings.com (HKLM)


Po zaznaczeniu wykonaj FIX CHECKED i potwierdź TAK/OK.

Uruchom CWShredder i wykonaj Fix.

W Panel Sterowania => Opcje Internetowe usuń
Tymczasowe pliki Internetowe (Wszystkie) i Cooki.


Uruchom kompuer ponownie i wklej cały nowy log z HJ.

Nie usuwaj tego !!!

[netsec]

Nastąpiła pomyłka, NIE usuwaj tych pozycji w HiJackThis:

O10 - Hijacked Internet access by WebHancer
O10 - Hijacked Internet access by WebHancer
O10 - Unknown file in Winsock LSP: c:\windows\system32\aklsp.dll
O10 - Hijacked Internet access by WebHancer

Inaczej stracisz połaczenie z Internetem.
Inne pozycje zamieszczone w moim poprzednim poście możesz usunąć spokojnie.

[Gość: koniok]

Chyba coś pochrzaniłam, po uruchomieniu nadal na pulpit ładuje się stronka
internetowa. Pojawił się też problem z tym programem CWShredder, wyskoczył
jakiś komunikat o nieprawidłowym działaniu. Czy w związku z tym mam wszystko
powtórzyć od początku? Sorry,że tak zawracam gitarę, ale mam jeszcze tylko
tydzień na doprowadzenie tego kompa do porządku.
To co skopiowałam po ponownym uruchomieniu kom.:
Logfile of HijackThis v1.99.0
Scan saved at 08:50:10, on 2005-02-02
Platform: Windows XP (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 (6.00.2600.0000)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.ex e
C:\WINDOWS\system32\services.ex e
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\rundll32.ex e
C:\WINDOWS\system32\spoolsv.exe
C:\Program Files\Common Files\Symantec Shared\ccEvtMgr.exe
C:\Program Files\Norton AntiVirus\navapsvc.exe
C:\WINDOWS\Explorer.EXE
C:\Program Files\Norton AntiVirus\AdvTools\NPROTECT.EXE
C:\Program Files\Common Files\Symantec Shared\ccApp.exe
C:\Program Files\Internet Optimizer\optimize.exe
C:\Program Files\Seacg\Gzxtonh.exe
C:\Program Files\Gadu-Gadu\gg.exe
C:\Documents and Settings\usr11\Dane aplikacji\cart.exe
C:\WINDOWS\System32\wuauclt.exe
C:\Documents and Settings\All Users\Dokumenty\Hi\HijackThis99 .exe

R0 - HKCU\Software\Microsoft\Interne t Explorer\Toolbar,LinksFolderNam e = Łącza
O1 - Hosts: 69.20.16.183 auto.search.msn.com
O1 - Hosts: 69.20.16.183 search.netscape.com
O1 - Hosts: 69.20.16.183 ieautosearch
O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9 082467} -
C:\WINDOWS\System32\msdxm.ocx
O3 - Toolbar: Norton AntiVirus - {42CDD1BF-3FFB-4238-8AD1-7859DF 00B1D6} -
C:\Program Files\Norton AntiVirus\NavShExt.dll
O4 - HKLM\..\Run: [ccApp] "C:\Program Files\Common Files\Symantec
Shared\ccApp.exe"
O4 - HKLM\..\Run: [ccRegVfy] "C:\Program Files\Common Files\Symantec
Shared\ccRegVfy.exe"
O4 - HKLM\..\Run: [Internet Optimizer] "C:\Program Files\Internet
Optimizer\optimize.exe"
O4 - HKLM\..\Run: [Nnsodafa] C:\Program Files\Seacg\Gzxtonh.exe
O4 - HKCU\..\Run: [Gadu-Gadu] "C:\Program Files\Gadu-Gadu\gg.exe" /tray
O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C 608501} -
C:\Program Files\Java\j2re1.4.1_01\bin\npj pi141_01.dll
O9 - Extra 'Tools' menuitem: Sun Java Console - {08B0E5C0-4FCB-11CF-AAA5-
00401C608501} - C:\Program Files\Java\j2re1.4.1_01\bin\npj pi141_01.dll
O9 - Extra button: Related - {c95fe080-8f5d-11d2-a20b-00aa00 3c157a} -
C:\WINDOWS\web\related.htm
O9 - Extra 'Tools' menuitem: Show &Related Links - {c95fe080-8f5d-11d2-a20b-
00aa003c157a} - C:\WINDOWS\web\related.htm
O10 - Unknown file in Winsock LSP: c:\windows\system32\aklsp.dll
O15 - Trusted IP range: 69.50.161.82
O15 - Trusted IP range: 69.50.161.82 (HKLM)
O16 - DPF: {11111111-1111-1111-1111-111111 111157} - ms-
its:mhtml:file://c:\nosuch.mht!
iframedollars.biz/dl/adv407/x.chm::/load.exe
O16 - DPF: {3E339D3C-4B12-4E8C-A529-9CC4BE EAFD4F} (VacPro.russia_ver3) -
advnt01.com/dialer/russia.CAB
O16 - DPF: {41EF9DAB-D5B9-3CDF-925A-0F0F73 52560C} -
213.159.117.150/1/rdgPL10.exe
O16 - DPF: {79849612-A98F-45B8-95E9-4D13C7 B6B35C} (Loader2 Control) -
static.topconverting.com/activex/loader2.ocx
O16 - DPF: {9EB320CE-BE1D-4304-A081-4B4665 414BEF} (MediaTicketsInstaller
Control) - www.mt-download.com/MediaTicketsInstaller.cab?refid=2732
O17 - HKLM\System\CCS\Services\Tcpip\ ..\{31E30BF8-3052-4CC6-922B-145 6D1ADA3AE}:
NameServer = 194.204.152.34,194.204.159.1
O17 - HKLM\System\CS1\Services\Tcpip\ ..\{31E30BF8-3052-4CC6-922B-145 6D1ADA3AE}:
NameServer = 194.204.152.34,194.204.159.1
O17 - HKLM\System\CS2\Services\Tcpip\ ..\{31E30BF8-3052-4CC6-922B-145 6D1ADA3AE}:
NameServer = 194.204.152.34,194.204.159.1
O21 - SSODL: Web Event Logger - {7EFBAEFF-EE02-1333-ABDF-416572 E5D639} -
C:\WINDOWS\System32\Ojfkcgpc.dl l
O23 - Service: Symantec Event Manager - Symantec Corporation - C:\Program
Files\Common Files\Symantec Shared\ccEvtMgr.exe
O23 - Service: Symantec Password Validation Service - Symantec Corporation -
C:\Program Files\Common Files\Symantec Shared\ccPwdSvc.exe
O23 - Service: ISEXEng - Unknown - C:\WINDOWS\System32\angelex.exe
O23 - Service: Norton AntiVirus Auto Protect Service - Symantec Corporation -
C:\Program Files\Norton AntiVirus\navapsvc.exe
O23 - Service: Norton Unerase Protection - Symantec Corporation - C:\Program
Files\Norton AntiVirus\AdvTools\NPROTECT.EXE
O23 - Service: ScriptBlocking Service - Symantec Corporation - C:\PROGRA~1
\COMMON~1\SYMANT~1\SCRIPT~1\SBS erv.exe
O23 - Service: ZESOFT - Unknown - C:\WINDOWS\zeta.exe

[Gość: mariusz]

witam w czoraj tez mialem to badziewie podczas kozystania z neta akurat bylem
na google.pl wyskoczylo mi okienko od firewalla czy ma blokowac jakis nieznany
program klikam na blokuj a tam nastepny i nastepny otworzylo sie pelno okienek
i tez please country cos tam nic innego jak restart kompa po ponownym
uruchomieniu bylo 8 nowych programow(wirusow) na pulpicie i na dysku c i w
folderze windows strona startowa zostala zmieniona na jakoms inna zagraniczna
wiec nic innego jak tylko szybki skan antywirusem i zapuscilem skaner mks
online wykryl 21 wirusow zwiazanych wlasnie z tym incydentem dodam ze dzien
predzej skanowalem i nie bylo ani jednego czyli one na 100% wpakowaly sie za
jednym machem mks usunal 20 wirusow ale jednego nie mogl tego co niemogl to byl
w folderze windows - system 32 i nazwa pliku byla systime.exe przy probie
usunieca nic odmowa dostepu wiec wylaczylem polaczenia sieciowe i uruchomilem
ponownie kompa po ponownym uruchomieniu nic nie robilem tylko szybko do windows
i udalo mi sie usunac ten plik ikonki co byly na pulpisie tez udalo sie usunac
bez problemu i na dysku c nie w zadnym folderze tylko na czystym C byl jeszcze
jeden programik niby nie wirus ale zbedny o nazwie r i do tego jeszcze 3 pliki
tekstowe notatnika ktorych nie otwieralem tylko czym predzej usunalem po
zrobieniu tego wszystkiego usunalem wsio z kosza i uruchomilem ponownie kompa
zmienilem strone startowa na taka jaka ma byc domyslnie i zrobilem skaner tym
razem antywirusem panda online wykryl jeszcze 2 pliki z wirusem i je usunal i
komp dziala jak nowy

mam nadzieje ze komus pomoze moj poradnik co i jak z tym badzieiwem zrobic aby
zniknelo zycze powodzenia

Hidden.exe ?

[Gość: ziomek]

mozecie mi cos o tym napisac ? tez mialem problem z tymi okienkami, identycznie jak wy ... kiedy przegladam uruchomione procesy w menedzerze zadan to szybko mi miga Hidden.exe ... co to jest ? czy jest to potrzebne ? wczesniej tego nie bylo ... jak sie tego pozbyc ?

[netsec]

Wklej log z HJ a czy masz problem z tapetą pulpitu?

[Gość: ziomek]

Logfile of HijackThis v1.99.0
Scan saved at 12:17:11, on 2005-02-03
Platform: Windows XP (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 (6.00.2600.0000)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.ex e
C:\WINDOWS\system32\services.ex e
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\Explorer.EXE
C:\WINDOWS\system32\spoolsv.exe
C:\WINDOWS\System32\RUNDLL32.EX E
C:\Program Files\Office mouse\1.1\moffice.exe
C:\Program Files\Netropa\Multimedia Keyboard\MMKeybd.exe
C:\Program Files\Java\j2re1.4.2_06\bin\jus ched.exe
C:\WINDOWS\System32\spools.exe
C:\Program Files\Messenger\msmsgs.exe
C:\Program Files\Gadu-Gadu\gg.exe
C:\Program Files\Konnekt\konnekt.exe
C:\Program Files\Office mouse\1.1\MOUSE32A.DAT
C:\Program Files\Netropa\Multimedia Keyboard\TrayMon.exe
C:\Program Files\Netropa\Onscreen Display\OSD.exe
C:\Program Files\Netropa\Multimedia Keyboard\nhksrv.exe
C:\WINDOWS\System32\nvsvc32.exe
C:\Program Files\Lavasoft\Ad-Aware SE Personal\Ad-Aware.exe
C:\Program Files\Opera\Opera.exe
E:\KurciK - UWM\Reanimacja\HijackThis99.exe

R1 - HKCU\Software\Microsoft\Interne t Explorer\Main,Search Page = dappc.com/h/1211
R0 - HKCU\Software\Microsoft\Interne t Explorer\Toolbar,LinksFolderNam e = Łącza
O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D 6BE0B3} - C:\Program Files\Adobe\Acrobat 6.0 CE\Reader\ActiveX\AcroIEHelper. dll
O2 - BHO: Explorer Class - {962F12AE-2773-4BEB-99EA-B5C3AB 9A6606} - C:\WINDOWS\System32\DSMANA~1.DL L
O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\System32\NvCpl.dll,N vStartup
O4 - HKLM\..\Run: [nwiz] nwiz.exe /install
O4 - HKLM\..\Run: [NvMediaCenter] RUNDLL32.EXE C:\WINDOWS\System32\NvMcTray.dl l,NvTaskbarInit
O4 - HKLM\..\Run: [FLMOFFICE4DMOUSE] C:\Program Files\Office mouse\1.1\moffice.exe
O4 - HKLM\..\Run: [MULTIMEDIA KEYBOARD] C:\Program Files\Netropa\Multimedia Keyboard\MMKeybd.exe
O4 - HKLM\..\Run: [SunJavaUpdateSched] C:\Program Files\Java\j2re1.4.2_06\bin\jus ched.exe
O4 - HKLM\..\Run: [Spoolsv32] spools.exe
O4 - HKCU\..\Run: [MSMSGS] "C:\Program Files\Messenger\msmsgs.exe" /background
O4 - HKCU\..\Run: [Gadu-Gadu] C:\Program Files\Gadu-Gadu\gg.exe /tray
O4 - HKCU\..\Run: [Konnekt] "C:\Program Files\Konnekt\konnekt.exe" /autostart
O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C 608501} - C:\Program Files\Java\j2re1.4.2_06\bin\npj pi142_06.dll
O9 - Extra 'Tools' menuitem: Sun Java Console - {08B0E5C0-4FCB-11CF-AAA5-00401C 608501} - C:\Program Files\Java\j2re1.4.2_06\bin\npj pi142_06.dll
O16 - DPF: {79849612-A98F-45B8-95E9-4D13C7 B6B35C} - iframedollars.biz/tb/loader2.ocx
O23 - Service: Netropa NHK Server - Unknown - C:\Program Files\Netropa\Multimedia Keyboard\nhksrv.exe
O23 - Service: NVIDIA Display Driver Service - NVIDIA Corporation - C:\WINDOWS\System32\nvsvc32.exe

Tapeta jest taka jak byla, czyli zadna :P

[netsec]

Twój problem generalnie bierze się z braku aktualizacji systemu o krytyczne
poprawki. Nawet nie masz zainstalowanego serwis packa i antywirusa
Ściągnij narzędzie do doraźnego oczyszczenia systemu:
80.53.91.142/netsec/tools/sysclean.exe
Uruchom komputer w trybie awaryjnym:
support.microsoft.com/default.aspx?scid=KB;PL;315222
Uwaga! Przy starcie do awaryjnego dostaniesz pytanie o wybór konta. NIE wybieraj
konta Administratora tylko swoje własne imienne, bo na tym profilu jest syf. Po
uruchomieniu komputera w trybie awaryjnym, nie otwieraj Internet Explorera.

Uruchom ponownie HiJackThis wykonaj ‘Do a system scan only’ i zaznacz(haczykiem)
te pozycje:

R1 - HKCU\Software\Microsoft\Interne t Explorer\Main,Search Page = dappc.com/h/1211
2 - BHO: Explorer Class - {962F12AE-2773-4BEB-99EA-B5C3AB 9A6606} -
C:\WINDOWS\System32\DSMANA~1.DL L
O4 - HKLM\..\Run: [Spoolsv32] spools.exe
O16 - DPF: {79849612-A98F-45B8-95E9-4D13C7 B6B35C} -
iframedollars.biz/tb/loader2.oc x

Po zaznaczeniu wykonaj FIX CHECKED i potwierdź TAK/OK.

Uruchom plik sysclean.exe i postępuj zgodnie z napisami.

Po zakończeniu skanowania uruchom komputer w normalny sposób i wklej nowy log z HJ.

[Gość: ziomek]

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.ex e
C:\WINDOWS\system32\services.ex e
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\Explorer.EXE
C:\WINDOWS\system32\spoolsv.exe
C:\WINDOWS\System32\RUNDLL32.EX E
C:\Program Files\Office mouse\1.1\moffice.exe
C:\Program Files\Netropa\Multimedia Keyboard\MMKeybd.exe
C:\Program Files\Gadu-Gadu\gg.exe
C:\Program Files\Konnekt\konnekt.exe
C:\Program Files\Office mouse\1.1\MOUSE32A.DAT
C:\Program Files\Netropa\Multimedia Keyboard\TrayMon.exe
C:\Program Files\Netropa\Onscreen Display\OSD.exe
C:\Program Files\Netropa\Multimedia Keyboard\nhksrv.exe
C:\WINDOWS\System32\nvsvc32.exe
E:\KurciK - UWM\Reanimacja\HijackThis99.exe

R0 - HKCU\Software\Microsoft\Interne t Explorer\Toolbar,LinksFolderNam e = Łącza
O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D 6BE0B3} - C:\Program Files\Adobe\Acrobat 6.0 CE\Reader\ActiveX\AcroIEHelper. dll
O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\System32\NvCpl.dll,N vStartup
O4 - HKLM\..\Run: [nwiz] nwiz.exe /install
O4 - HKLM\..\Run: [NvMediaCenter] RUNDLL32.EXE C:\WINDOWS\System32\NvMcTray.dl l,NvTaskbarInit
O4 - HKLM\..\Run: [FLMOFFICE4DMOUSE] C:\Program Files\Office mouse\1.1\moffice.exe
O4 - HKLM\..\Run: [MULTIMEDIA KEYBOARD] C:\Program Files\Netropa\Multimedia Keyboard\MMKeybd.exe
O4 - HKCU\..\Run: [Gadu-Gadu] C:\Program Files\Gadu-Gadu\gg.exe /tray
O4 - HKCU\..\Run: [Konnekt] "C:\Program Files\Konnekt\konnekt.exe" /autostart
O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C 608501} - C:\Program Files\Java\j2re1.4.2_06\bin\npj pi142_06.dll
O9 - Extra 'Tools' menuitem: Sun Java Console - {08B0E5C0-4FCB-11CF-AAA5-00401C 608501} - C:\Program Files\Java\j2re1.4.2_06\bin\npj pi142_06.dll
O23 - Service: Netropa NHK Server - Unknown - C:\Program Files\Netropa\Multimedia Keyboard\nhksrv.exe
O23 - Service: NVIDIA Display Driver Service - NVIDIA Corporation - C:\WINDOWS\System32\nvsvc32.exe

log ?

[Gość: ziomek]

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.ex e
C:\WINDOWS\system32\services.ex e
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\Explorer.EXE
C:\WINDOWS\system32\spoolsv.exe
C:\WINDOWS\System32\RUNDLL32.EX E
C:\Program Files\Office mouse\1.1\moffice.exe
C:\Program Files\Netropa\Multimedia Keyboard\MMKeybd.exe
C:\Program Files\Gadu-Gadu\gg.exe
C:\Program Files\Konnekt\konnekt.exe
C:\Program Files\Office mouse\1.1\MOUSE32A.DAT
C:\Program Files\Netropa\Multimedia Keyboard\TrayMon.exe
C:\Program Files\Netropa\Onscreen Display\OSD.exe
C:\Program Files\Netropa\Multimedia Keyboard\nhksrv.exe
C:\WINDOWS\System32\nvsvc32.exe
E:\KurciK - UWM\Reanimacja\HijackThis99.exe

R0 - HKCU\Software\Microsoft\Interne t Explorer\Toolbar,LinksFolderNam e = Łącza
O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D 6BE0B3} - C:\Program Files\Adobe\Acrobat 6.0 CE\Reader\ActiveX\AcroIEHelper. dll
O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\System32\NvCpl.dll,N vStartup
O4 - HKLM\..\Run: [nwiz] nwiz.exe /install
O4 - HKLM\..\Run: [NvMediaCenter] RUNDLL32.EXE C:\WINDOWS\System32\NvMcTray.dl l,NvTaskbarInit
O4 - HKLM\..\Run: [FLMOFFICE4DMOUSE] C:\Program Files\Office mouse\1.1\moffice.exe
O4 - HKLM\..\Run: [MULTIMEDIA KEYBOARD] C:\Program Files\Netropa\Multimedia Keyboard\MMKeybd.exe
O4 - HKCU\..\Run: [Gadu-Gadu] C:\Program Files\Gadu-Gadu\gg.exe /tray
O4 - HKCU\..\Run: [Konnekt] "C:\Program Files\Konnekt\konnekt.exe" /autostart
O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C 608501} - C:\Program Files\Java\j2re1.4.2_06\bin\npj pi142_06.dll
O9 - Extra 'Tools' menuitem: Sun Java Console - {08B0E5C0-4FCB-11CF-AAA5-00401C 608501} - C:\Program Files\Java\j2re1.4.2_06\bin\npj pi142_06.dll
O23 - Service: Netropa NHK Server - Unknown - C:\Program Files\Netropa\Multimedia Keyboard\nhksrv.exe
O23 - Service: NVIDIA Display Driver Service - NVIDIA Corporation - C:\WINDOWS\System32\nvsvc32.exe

[netsec]

HJ log teraz jest czysty :D
Pomyśl o aktualizacji systemu i instalacji antywirusa na stałe.
Polecam ten wątek forum.gazeta.pl/forum/72,2.html?f=430&w=19749481&a=19837920

SP

[Gość: ziomek]

dzieki za sprawdzenie loga :)

mam jeszcze jedna prosbe ... mozesz podac linka do sp1 (win xp - pirat :P )

i pytanie: Czy oplaca sie ladowac sp2 ?

[netsec]

Pytanie powinno być czy zainstalujesz SP.
Na systemie z kluczem FCKGW lub innym z "czarnej listy", nie zainstalujesz SP.
Jeśli już to instaluj SP2.

[netsec]

Należy pozbyć się tego wpisu c:\windows\system32\aklsp.dll
za pomocą narzędzia LSP-Fix.

Ściągnij www.cexx.org/LSPFix.exe
Otworzysz program i zaznacz (ptaszkiem) ‘I known what I’m doing’,
dalej w okienku Keep podświetlisz plik aklsp.dll i strzałeczką przenosisz do
okienka Remove. Reszta plików cię nie interesuje!
Klikasz Finish i potwierdzasz OK.

Po akcji restart kompa.

Niestety złapałaś najgorszy z możliwych syfów L
Te wpisy o tym świadczą:

O1 - Hosts: 69.20.16.183 auto.search.msn.com
O1 - Hosts: 69.20.16.183 search.netscape.com
O1 - Hosts: 69.20.16.183 ieautosearch

Ponownie uruchom komputer ale w trybie awaryjnym:
support.microsoft.com/default.aspx?scid=KB;PL;315222
Uwaga! Przy starcie do awaryjnego dostaniesz pytanie o wybór konta. NIE wybieraj
konta Administratora tylko swoje własne imienne, bo na tym profilu jest syf. Po
uruchomieniu komputera w trybie awaryjnym, nie otwieraj Internet Explorera.

Uruchom ponownie HiJackThis wykonaj ‘Do a system scan only’ i zaznacz(haczykiem)
te pozycje:

O1 - Hosts: 69.20.16.183 auto.search.msn.com
O1 - Hosts: 69.20.16.183 search.netscape.com
O1 - Hosts: 69.20.16.183 ieautosearch
O4 - HKLM\..\Run: [Internet Optimizer] "C:\Program Files\Internet
Optimizer\optimize.exe"
O4 - HKLM\..\Run: [Nnsodafa] C:\Program Files\Seacg\Gzxtonh.exe
O15 - Trusted IP range: 69.50.161.82
O15 - Trusted IP range: 69.50.161.82 (HKLM)
O16 - DPF: {11111111-1111-1111-1111-111111 111157} - ms-
its:mhtml:file://c:\nosuch.mht!
iframedollars.biz/dl/adv407/x.c hm::/load.exe
O16 - DPF: {3E339D3C-4B12-4E8C-A529-9CC4BE EAFD4F} (VacPro.russia_ver3) -
advnt01.com/dialer/russia.CAB
O16 - DPF: {41EF9DAB-D5B9-3CDF-925A-0F0F73 52560C} -
213.159.117.150/1/rdgPL10.exe
O16 - DPF: {79849612-A98F-45B8-95E9-4D13C7 B6B35C} (Loader2 Control) -
static.topconverting.com/active x/loader2.ocx
O16 - DPF: {9EB320CE-BE1D-4304-A081-4B4665 414BEF} (MediaTicketsInstaller
Control) - www.mt-download.com/MediaTicket sInstaller.cab?refid=2732
O21 - SSODL: Web Event Logger - {7EFBAEFF-EE02-1333-ABDF-416572 E5D639} -
C:\WINDOWS\System32\Ojfkcgpc.dl l
O23 - Service: ISEXEng - Unknown - C:\WINDOWS\System32\angelex.exe
O23 - Service: ZESOFT - Unknown - C:\WINDOWS\zeta.exe

Po zaznaczeniu wykonaj FIX CHECKED i potwierdź TAK/OK.

Uruchom komputer w normalny sposób.

Zainstaluj Microsoft Antispyware:
download.microsoft.com/download/8/1/5/815d2d60-49b5-44dc-ae35-fca2f2c6f0cc/MicrosoftAntiSpywareInstall.exe
Zaktualizuj Microsoft Antispyware (menu File=> Check for updates..)
Po tym przeskanuj nim system, wykonaj "Run a full system scan"
(W menu Tools => Spyware Scan)

Ściągnij i zainstaluj aktualizacje offline do Nortona:
definitions.symantec.com/defs/20050202-034-x86.exe
Przeskanuj Nortonem cały system.

Twój system nie jest zaktualizowany więc szybko coś znów złapiesz.

Po wszystkim wklej nowy log z HJ.

[Gość: koniok]

Kimkolwiek jesteś Panie netsec, jesteś WIELKI. Dzięki za pomoc i cierpliwość w
udzielaniu rad takim ignorantom komputerowym jak ja. Komputerek jest
czyściutki, działa jak należy. Pozdrawiam