s** z netu + log

[Gość: MastJedi]

Na laptopie szef załapał jakiś syf.. Ad-aware SE nic nie wykrywa, S&D też,
podobnie SpyKiller. Antywir F-Prot milczy. Wszystko ze świeżymi bazami.

Odzyskiwanie systemu wyłączone

Winda XP pro nie wiem jakie łaty zainstalowane. IE6. Neostrada i (niestety)
wanadoo.
System wciąż chce się łączyć do netu i ze stroną
540.scmg.net/randomsites/banner.aspx
co jakiś czas pojawia się w tray'u ikonka z wykrzyknikiem i informacja o zarażeniu
popups adware (OHPE ver. 4.12.23)
lub
iworm_attck_v122.02a
Googlowanie nic nie dało.

Nie ukrywam, ze własciciel nagminnie odwiedza xxx... no, ale ileż można mówić.
A i w pysk nie można dać

Ktoś pomoże, czy zostaje mi
format c:

Logfile of HijackThis v1.99.1
Scan saved at 17:36:06, on 2005-03-23
Platform: Windows XP (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 (6.00.2600.0000)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\spoolsv.exe
C:\Program Files\Common Files\Microsoft Shared\VS7Debug\mdm.exe
C:\WINDOWS\System32\nvsvc32.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\Explorer.EXE
C:\WINDOWS\System32\SndMon16.exe
C:\WINDOWS\System32\helper.exe
C:\Program Files\Synaptics\SynTP\SynTPLpr.exe
C:\Program Files\Synaptics\SynTP\SynTPEnh.exe
C:\WINDOWS\LTSMMSG.exe
C:\Progra~1\Launch Manager\LaunchAp.exe
C:\Progra~1\Launch Manager\PowerKey.exe
C:\Progra~1\Launch Manager\HotkeyApp.exe
C:\Progra~1\Launch Manager\CtrlVol.exe
C:\Program Files\Messenger\msmsgs.exe
C:\Program Files\SAGEM\SAGEM F@st 800-840\DSLMON.exe
D:\security\install\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Łącza
F2 - REG:system.ini: Shell=explorer.exe, msmsgs.exe
O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} -
C:\Progra~1\Adobe\Acrobat 5.0\Reader\ActiveX\AcroIEHelper.ocx
O2 - BHO: (no name) - {53707962-6F74-2D53-2644-206D7942484F} - C:\Program
Files\Spybot - Search & Destroy\SDHelper.dll
O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} -
C:\WINDOWS\System32\msdxm.ocx
O4 - HKLM\..\Run: [LaunchApp] LaunApp
O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE NvQTwk,NvCplDaemon initialize
O4 - HKLM\..\Run: [nwiz] nwiz.exe /install
O4 - HKLM\..\Run: [SynTPLpr] C:\Program Files\Synaptics\SynTP\SynTPLpr.exe
O4 - HKLM\..\Run: [SynTPEnh] C:\Program Files\Synaptics\SynTP\SynTPEnh.exe
O4 - HKLM\..\Run: [LTSMMSG] LTSMMSG.exe
O4 - HKLM\..\Run: [LaunchAp] C:\Progra~1\Launch Manager\LaunchAp.exe
O4 - HKLM\..\Run: [PowerKey] "C:\Progra~1\Launch Manager\PowerKey.exe"
O4 - HKLM\..\Run: [HotkeyApp] C:\Progra~1\Launch Manager\HotkeyApp.exe
O4 - HKLM\..\Run: [CtrlVol] C:\Progra~1\Launch Manager\CtrlVol.exe
O4 - HKLM\..\Run: [F-StopW] C:\Program Files\F-Prot\F-StopW.EXE
O4 - HKLM\..\Run: [Windows Media Player] hkcmd.exe
O4 - HKLM\..\Run: [Windows Sound Manager] SndMon16.exe
O4 - HKLM\..\Run: [Windows AdStatus] C:\Program Files\Windows AdStatus\WinStat.exe
O4 - HKLM\..\Run: [MSN Messenger] C:\WINDOWS\System32\msmsgs.exe
O4 - HKLM\..\Run: [Synchronization Manager] %SystemRoot%\system32\mobsync.exe
/logon
O4 - HKLM\..\Run: [AdTools Service] C:\Program Files\AdTools Service\AdTools.exe
O4 - HKLM\..\RunServices: [Windows Media Player] hkcmd.exe
O4 - HKLM\..\RunServices: [Windows Update Services] svchostupd.exe
O4 - HKLM\..\RunServices: [Windows Debugger] windbg.exe
O4 - HKLM\..\RunServices: [WindowsUpdate Service] wuautlc.exe
O4 - HKLM\..\RunServices: [start uploading] smsss.exe
O4 - HKLM\..\RunServices: [Microsoft Windows Update] mswupd.exe
O4 - HKLM\..\RunServices: [Microsoft Update Machine] explorer.exe
O4 - HKLM\..\RunServices: [Windows Sound Manager] SndMon16.exe
O4 - HKLM\..\RunOnce: [Windows Sound Manager] SndMon16.exe
O4 - HKCU\..\Run: [MSMSGS] "C:\Program Files\Messenger\msmsgs.exe" /background
O4 - HKCU\..\Run: [Windows Media Player] hkcmd.exe
O4 - HKCU\..\Run: [Windows Debugger] windbg.exe
O4 - HKCU\..\Run: [start uploading] smsss.exe
O4 - HKCU\..\Run: [Microsoft Update Machine] explorer.exe
O4 - HKCU\..\Run: [Windows Sound Manager] SndMon16.exe
O4 - HKCU\..\RunServices: [Windows Media Player] hkcmd.exe
O4 - HKCU\..\RunServices: [start uploading] smsss.exe
O4 - HKCU\..\RunOnce: [Windows Sound Manager] SndMon16.exe
O4 - Global Startup: DSLMON.lnk = C:\Program Files\SAGEM\SAGEM F@st
800-840\DSLMON.exe
O4 - Global Startup: Microsoft Office.lnk = C:\Program Files\Microsoft
Office\Office10\OSA.EXE
O8 - Extra context menu item: E&ksport do programu Microsoft Excel -
res://C:\PROGRA~1\MICROS~2\Office10\EXCEL.EXE/3000
O12 - Plugin for .spop: C:\Program Files\Internet Explorer\Plugins\NPDocBox.dll
O16 - DPF: {24311111-1111-1121-1111-111191113457} - file://c:\eied_s7.cab
O16 - DPF: {33331111-1111-1111-1111-611111193457} - file://c:\ex.cab
O16 - DPF: {33331111-1111-1111-1111-611111193458} - file://c:\ex.cab
O17 -
HKLM\System\CCS\Services\Tcpip\..\{434649BD-7F8B-4D00-878D-DE5D7322E328}:
NameServer = 194.204.152.34,194.204.159.1
O21 - SSODL: SystemCheck2 - {54645654-2225-4455-44A1-9F4543D34545} -
C:\WINDOWS\System32\vbsys2.dll
O23 - Service: NVIDIA Driver Helper Service (NVSvc) - NVIDIA Corporation -
C:\WINDOWS\System32\nvsvc32.exe
O23 - Service: Windows 32-bit PnP Driver (winpnp32) - Unknown owner -
C:\WINDOWS\System32\winpnp32.exe

[Gość: Kolobos]

Sciagnij sobie SpyBot S&D, Ad-Aware i przeskanuj system, usun to co znajda.
Nastepnie wklej swoj log z hijackthis na www.hijackthis.de i usun wpisy z
oznaczone jako nasty (te z czerwona ikonka) i dopiero wklej tutaj nowy log :-)

[Gość: MastJedi]

> Sciagnij sobie SpyBot S&D, Ad-Aware i przeskanuj system, usun to co znajda.

Przeca pisałem w pierwszym akapicie :)
>>... Ad-aware SE nic nie wykrywa, S&D też,
>>podobnie SpyKiller. Antywir F-Prot milczy. Wszystko ze świeżymi bazami.

thx za szybka odpowiedz, zaraz wytnę wpisy i wkleje nowy log :)
i moze nie bede musial bawic sie fdiskiem :D

[Gość: MastJedi]

Oto nowy log... Nadal mi się próbuje łączyć wrrrrrr.

Logfile of HijackThis v1.99.1
Scan saved at 18:42:57, on 2005-03-23
Platform: Windows XP (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 (6.00.2600.0000)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\spoolsv.exe
C:\Program Files\Common Files\Microsoft Shared\VS7Debug\mdm.exe
C:\WINDOWS\System32\nvsvc32.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\Explorer.EXE
C:\WINDOWS\System32\helper.exe
C:\Program Files\Synaptics\SynTP\SynTPLpr.exe
C:\Program Files\Synaptics\SynTP\SynTPEnh.exe
C:\WINDOWS\LTSMMSG.exe
C:\Progra~1\Launch Manager\LaunchAp.exe
C:\Progra~1\Launch Manager\PowerKey.exe
C:\Progra~1\Launch Manager\HotkeyApp.exe
C:\Progra~1\Launch Manager\CtrlVol.exe
C:\Program Files\Messenger\msmsgs.exe
C:\Program Files\SAGEM\SAGEM F@st 800-840\DSLMON.exe
C:\WINDOWS\System32\SndMon16.exe
D:\security\install\HijackThis.exe
C:\WINDOWS\System32\wuauclt.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Łącza
F2 - REG:system.ini: Shell=explorer.exe, msmsgs.exe
O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} -
C:\Progra~1\Adobe\Acrobat 5.0\Reader\ActiveX\AcroIEHelper.ocx
O2 - BHO: (no name) - {53707962-6F74-2D53-2644-206D7942484F} - C:\Program
Files\Spybot - Search & Destroy\SDHelper.dll
O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} -
C:\WINDOWS\System32\msdxm.ocx
O4 - HKLM\..\Run: [LaunchApp] LaunApp
O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE NvQTwk,NvCplDaemon initialize
O4 - HKLM\..\Run: [nwiz] nwiz.exe /install
O4 - HKLM\..\Run: [SynTPLpr] C:\Program Files\Synaptics\SynTP\SynTPLpr.exe
O4 - HKLM\..\Run: [SynTPEnh] C:\Program Files\Synaptics\SynTP\SynTPEnh.exe
O4 - HKLM\..\Run: [LTSMMSG] LTSMMSG.exe
O4 - HKLM\..\Run: [LaunchAp] C:\Progra~1\Launch Manager\LaunchAp.exe
O4 - HKLM\..\Run: [PowerKey] "C:\Progra~1\Launch Manager\PowerKey.exe"
O4 - HKLM\..\Run: [HotkeyApp] C:\Progra~1\Launch Manager\HotkeyApp.exe
O4 - HKLM\..\Run: [CtrlVol] C:\Progra~1\Launch Manager\CtrlVol.exe
O4 - HKLM\..\Run: [F-StopW] C:\Program Files\F-Prot\F-StopW.EXE
O4 - HKLM\..\Run: [Windows Media Player] hkcmd.exe
O4 - HKLM\..\Run: [Windows Sound Manager] SndMon16.exe
O4 - HKLM\..\Run: [MSN Messenger] C:\WINDOWS\System32\msmsgs.exe
O4 - HKLM\..\Run: [Synchronization Manager] %SystemRoot%\system32\mobsync.exe /logon
O4 - HKLM\..\RunServices: [Windows Media Player] hkcmd.exe
O4 - HKLM\..\RunServices: [Windows Sound Manager] SndMon16.exe
O4 - HKLM\..\RunOnce: [Windows Sound Manager] SndMon16.exe
O4 - HKCU\..\Run: [MSMSGS] "C:\Program Files\Messenger\msmsgs.exe" /background
O4 - HKCU\..\Run: [Windows Media Player] hkcmd.exe
O4 - HKCU\..\Run: [Windows Sound Manager] SndMon16.exe
O4 - HKCU\..\RunServices: [Windows Media Player] hkcmd.exe
O4 - HKCU\..\RunOnce: [Windows Sound Manager] SndMon16.exe
O4 - Global Startup: DSLMON.lnk = C:\Program Files\SAGEM\SAGEM F@st
800-840\DSLMON.exe
O4 - Global Startup: Microsoft Office.lnk = C:\Program Files\Microsoft
Office\Office10\OSA.EXE
O8 - Extra context menu item: E&ksport do programu Microsoft Excel -
res://C:\PROGRA~1\MICROS~2\Office10\EXCEL.EXE/3000
O12 - Plugin for .spop: C:\Program Files\Internet Explorer\Plugins\NPDocBox.dll
O17 - HKLM\System\CCS\Services\Tcpip\..\{434649BD-7F8B-4D00-878D-DE5D7322E328}:
NameServer = 194.204.152.34,194.204.159.1
O23 - Service: NVIDIA Driver Helper Service (NVSvc) - NVIDIA Corporation -
C:\WINDOWS\System32\nvsvc32.exe
O23 - Service: Windows 32-bit PnP Driver (winpnp32) - Unknown owner -
C:\WINDOWS\System32\winpnp32.exe

[Gość: Kolobos]

Zaznacz te wpisy:

F2 - REG:system.ini: Shell=explorer.exe, msmsgs.exe
O4 - HKLM\..\Run: [Windows Sound Manager] SndMon16.exe <- to mi wyglada
podejrzanie bo wystepuje pare razy wiec pewnie trojan tak samo jak hkcmd.exe
O4 - HKLM\..\Run: [MSN Messenger] C:\WINDOWS\System32\msmsgs.exe
O4 - HKLM\..\RunServices: [Windows Sound Manager] SndMon16.exe
O4 - HKLM\..\RunOnce: [Windows Sound Manager] SndMon16.exe
O4 - HKCU\..\Run: [Windows Sound Manager] SndMon16.exe
O4 - HKCU\..\RunOnce: [Windows Sound Manager] SndMon16.exe
O4 - HKCU\..\RunServices: [Windows Media Player] hkcmd.exe <- ten proces
powinen byc od karty graficznej intela, ale tutaj ma inna nazwe wiec pewnie sie
cos pod niego podszywa
O4 - HKCU\..\Run: [Windows Media Player] hkcmd.exe
O4 - HKLM\..\RunServices: [Windows Media Player] hkcmd.exe
O4 - HKLM\..\Run: [Windows Media Player] hkcmd.exe
O4 - Global Startup: Microsoft Office.lnk = C:\Program Files\Microsoft
Office\Office10\OSA.EXE <- zbedne, mozna wylaczyc
O23 - Service: Windows 32-bit PnP Driver (winpnp32) - Unknown owner -
C:\WINDOWS\System32\winpnp32.exe

I Fix Checked, a nastepnie reset i nowy log :-)

A i jeszcze cos:
C:\WINDOWS\System32\helper.exe <- zalatw to killbox'em:
www.downloads.subratam.org/KillBox.zip <- wybierz ten plik i remove on
reboot

[Gość: MastJedi]

niestety, wciąż to samo :( Ja mam dość.
Jednak co fdisk to fdisk :)
Może, gdyby to był mój komp, to bym walczył dalej.
Komputer szefa a i tak mi nie zapłaci za nadgodziny... :P

big thx za pomoc.

[Gość: Kolobos]

Rob jak chcesz ale to tylko pare plikow, np. z konsoli odzyskiwania usunal bys
wszystkie w pare sekund.

[neder]

i na przyszłość - zainstaluj szefowi firewalla, i antywirusa oraz dodatek SP2
bo jak dalej będzie oglądał gołe laski na takim kompie to będziesz musiał robić
format co miesiąć (no a za nadgodziny ci przecież nie placi...:p)


pzdr.