proszę o sprawdzenie loga !!!

[kropka357]

Logfile of HijackThis v1.99.1
Scan saved at 21:11:44, on 2005-05-27
Platform: Windows XP Dodatek SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\Program Files\TGTSoft\StyleXP\StyleXPService.exe
C:\WINDOWS\system32\spoolsv.exe
C:\Program Files\Netropa\Multimedia Keyboard\nhksrv.exe
C:\Program Files\Avast4\aswUpdSv.exe
C:\Program Files\Avast4\ashServ.exe
C:\WINDOWS\System32\nvsvc32.exe
C:\WINDOWS\Explorer.EXE
C:\PROGRA~1\Avast4\ashDisp.exe
C:\Program Files\Java\jre1.5.0_02\bin\jusched.exe
C:\Program Files\Microsoft AntiSpyware\gcasServ.exe
C:\WINDOWS\system32\ctfmon.exe
C:\Program Files\Skype\Phone\Skype.exe
C:\Program Files\Gadu-Gadu\gg.exe
C:\Program Files\CursorXP\CursorXP.exe
C:\Program Files\Microsoft AntiSpyware\gcasDtServ.exe
C:\WINDOWS\system32\winlogon.exe
C:\Program Files\Avant Browser\avant.exe
c:\progra~1\intern~1\iexplore.exe
c:\progra~1\intern~1\iexplore.exe
C:\Documents and Settings\Bartosz\Pulpit\Antywiry\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page =
www.onet.pl/
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page =
www.onet.pl/
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Łącza
O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} -
C:\Program Files\Adobe\Acrobat 5.0 CE\Reader\ActiveX\AcroIEHelper.ocx
O2 - BHO: (no name) - {53707962-6F74-2D53-2644-206D7942484F} - D:\ANTYWI~1
\SPYBOT~1\SDHelper.dll
O2 - BHO: TGTSoft Explorer Toolbar Changer - {C333CF63-767F-4831-94AC-
E683D962C63C} - C:\Program Files\TGTSoft\StyleXP\TGT_BHO.dll
O3 - Toolbar: (no name) - {E0E899AB-F487-11D5-8D29-0050BA6940E3} - (no file)
O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\System32
\NvCpl.dll,NvStartup
O4 - HKLM\..\Run: [NvMediaCenter] RUNDLL32.EXE C:\WINDOWS\System32
\NvMcTray.dll,NvTaskbarInit
O4 - HKLM\..\Run: [avast!] C:\PROGRA~1\Avast4\ashDisp.exe
O4 - HKLM\..\Run: [SunJavaUpdateSched] C:\Program Files\Java\jre1.5.0_02
\bin\jusched.exe
O4 - HKLM\..\Run: [NeroFilterCheck] C:\WINDOWS\system32\NeroCheck.exe
O4 - HKLM\..\Run: [gcasServ] "C:\Program Files\Microsoft
AntiSpyware\gcasServ.exe"
O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\ctfmon.exe
O4 - HKCU\..\Run: [Skype] "C:\Program
Files\Skype\Phone\Skype.exe" /nosplash /minimized
O4 - HKCU\..\Run: [Gadu-Gadu] "C:\Program Files\Gadu-Gadu\gg.exe" /tray
O4 - HKCU\..\Run: [VgaAim] C:\DOCUME~1\Bartosz\DANEAP~1\FILEGR~1\4 build.exe
O4 - HKCU\..\Run: [CursorXP] C:\Program Files\CursorXP\CursorXP.exe
O4 - HKCU\..\Run: [STYLEXP] C:\Program Files\TGTSoft\StyleXP\StyleXP.exe -Hide
O8 - Extra context menu item: Blokuj wszystkie obrazy z tego serwera -
C:\Program Files\Avant Browser\AddAllToADBlackList.htm
O8 - Extra context menu item: Dodaj do listy blokowanych reklam - C:\Program
Files\Avant Browser\AddToADBlackList.htm
O8 - Extra context menu item: E&ksport do programu Microsoft Excel -
res://C:\PROGRA~1\MICROS~2\OFFICE11\EXCEL.EXE/3000
O8 - Extra context menu item: Otwórz wszystkie adresy z tej strony... -
C:\Program Files\Avant Browser\OpenAllLinks.htm
O8 - Extra context menu item: Podświetl - C:\Program Files\Avant
Browser\Highlight.htm
O8 - Extra context menu item: Szukaj - C:\Program Files\Avant
Browser\Search.htm
O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} -
C:\Program Files\Java\jre1.5.0_02\bin\npjpi150_02.dll
O9 - Extra 'Tools' menuitem: Sun Java Console - {08B0E5C0-4FCB-11CF-AAA5-
00401C608501} - C:\Program Files\Java\jre1.5.0_02\bin\npjpi150_02.dll
O9 - Extra button: Badanie - {92780B25-18CC-41C8-B9BE-3C9C571A8263} -
C:\PROGRA~1\MICROS~2\OFFICE11\REFIEBAR.DLL
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} -
C:\Program Files\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-
00C04F795683} - C:\Program Files\Messenger\msmsgs.exe
O16 - DPF: {48884C41-EFAC-433D-958A-9FADAC41408E} (EGamesPlugin Class) -
www.e-games.com.my/com/EGamesPlugin.cab
O16 - DPF: {6414512B-B978-451D-A0D8-FCFDF33E833C} (WUWebControl Class) -
v5.windowsupdate.microsoft.com/v5consumer/V5Controls/en/x86/client/wuweb_site.cab?1100168000062
O16 - DPF: {E23FABEE-12E3-33DA-DA12-195DAC123984} (GameDesire Mahjong) -
67.15.101.3/g_bin/pl/mahjong_2_0_0_18.cab
O16 - DPF: {E7544C6C-CFD6-43EA-B4E9-360CEE20BDF7} (MainControl Class) -
skaner.mks.com.pl/SkanerOnline.cab
O16 - DPF: {FDDBE2B8-6602-4AD8-946D-94C5A32FA6C1} (GameDesire Pool 8) -
67.15.101.3/g_bin/pl/billard8_2_0_0_21.cab
O16 - DPF: {FDDBE2B8-6602-4AD8-946D-94C5A32FA6C5} (GameDesire Snooker) -
67.15.101.3/g_bin/pl/snooker_2_0_0_22.cab
O16 - DPF: {FDDBE2B8-6602-4AD8-946D-94C5A32FA6C6} (GameDesire Pool 8UK) -
67.15.101.3/g_bin/pl/billard8UK_2_0_0_21.cab
O23 - Service: avast! iAVS4 Control Service (aswUpdSv) - Unknown owner -
C:\Program Files\Avast4\aswUpdSv.exe
O23 - Service: avast! Antivirus - Unknown owner - C:\Program Files\Avast4
\ashServ.exe
O23 - Service: Netropa NHK Server (nhksrv) - Unknown owner - C:\Program
Files\Netropa\Multimedia Keyboard\nhksrv.exe
O23 - Service: NVIDIA Display Driver Service (NVSvc) - NVIDIA Corporation -
C:\WINDOWS\System32\nvsvc32.exe
O23 - Service: StyleXPService - Unknown owner - C:\Program
Files\TGTSoft\StyleXP\StyleXPService.exe

[kropka357]

Nie dodałam, że żaden program nic nie wykrywa, za to wyskakują mi ciągle jakieś
okienka z reklamami,kasynem itp.

[Gość: Kolobos]

To do kasacji:
O3 - Toolbar: (no name) - {E0E899AB-F487-11D5-8D29-0050BA6940E3} - (no file)
O6 - DPF: {48884C41-EFAC-433D-958A-9FADAC41408E} (EGamesPlugin Class) -
www.e-games.com.my/com/EGamesPlugin.cab

Tego nie znam:
O4 - HKCU\..\Run: [VgaAim] C:\DOCUME~1\Bartosz\DANEAP~1\FILEGR~1\4 build.exe
Co to jest? Jak tez nie wiesz to wywal.

Sciagnij sobie to:
www.silentrunners.org/Silent%20Runners.vbs
I uruchom windows w trybie awaryjnym, a nastepnie zrob log Silent%20Runners.vbs
(uruchom)

Przeskanuj tez tym:
download.microsoft.com/download/8/1/5/815d2d60-49b5-44dc-ae35-fca2f2c6f0cc/MicrosoftAntiSpywareInstall.exe

Czesc reklam moze wyskakiwac z GG tym mozesz je usunac:
www.bk2.prv.pl/

[kropka357]

> To do kasacji:
> O3 - Toolbar: (no name) - {E0E899AB-F487-11D5-8D29-0050BA6940E3} - (no file)
> O6 - DPF: {48884C41-EFAC-433D-958A-9FADAC41408E} (EGamesPlugin Class) -
> www.e-games.com.my/com/EGamesPlugin.cab
> Tego nie znam:
> O4 - HKCU\..\Run: [VgaAim] C:\DOCUME~1\Bartosz\DANEAP~1\FILEGR~1\4 build.exe
> Co to jest? Jak tez nie wiesz to wywal.
POWYŻSZE WYRZUCIŁAM.
> Sciagnij sobie to:
> www.silentrunners.org/Silent%20Runners.vbs
> I uruchom windows w trybie awaryjnym, a nastepnie zrob log Silent%
20Runners.vbs
Z TYM MAM PROBLEM - ŚCIĄGNEŁĄM,URUCHOMIŁAM W AWARYJNYM - I NIC - NIE OTWIERA
MI SIĘ :((

> Przeskanuj tez tym:
> download.microsoft.com/download/8/1/5/815d2d60-49b5-44dc-ae35-
fca2f2c6f0cc/MicrosoftAntiSpywareInstall.exe
TEN PROGRAM MAM JUZ ZAINSTALOWANY I DZIAŁA W TLE.

[Gość: Kolobos]

Co dokladnie dzieje sie z:
www.silentrunners.org/Silent%20Runners.vbs
Nie uruchamia sie i tyle? Czy moze wyswietla sie jakis komunikat?
Po sciagnieciu kliknij prawym przyciskiem myszki na tym pliku i wybierz Otworz
bo moze masz przypisana inna akcje.

[kropka357]

Po kliknięciu prawym wyskakuje mi okienko "otwórz za pomocą" i lista programów
za pomocą których mam otworzyć . Nic nie rozumiem :((

[Gość: Kolobos]

Nie wiem co tam masz napuste ale zrob tak:

Przegrah sobie Silent Runners.vbs na C:\
Nastepnie w Start->Uruchom wpisz:

WScript.exe "C:\Silent Runners.vbs"

I powinno sie uruchomic, poczekaj troche i na C:\ pojawi sie plik:
Startup Programs nazwa data.txt
Jego zawartosc wklej na forum.

Dziwne, ze Ci nie dziala VBS normalnie.

[kropka357]

dostaję komunikat "brak aparatu skryptów" - cokolwiek to znaczy.

[kolobos1]

Wyslalem Ci mail'a, sprobuj uruchomic reg'a z zalacznika i moze zacznie
dzialac, jak nie to bedzie trzeba poszukac innego programu.

Narazie moze przeskanuj tym:
forums.net-integration.net/index.php?act=Attach&type=post&id=142443
I wklej wyniki na forum.

[kropka357]

Wklejam :

Microsoft Windows XP [Wersja 5.1.2600]
PLEASE NOTE THAT ALL FILES FOUND BY THIS METHOD ARE NOT BAD FILES, THERE MIGHT
BE LEGIT FILES LISTED AND PLEASE BE CAREFUL WHILE FIXING. IF YOU ARE UNSURE OF
WHAT IT IS LEAVE THEM ALONE.
»»»»»»»»»»»»»»»»»»»»»»»» Todo Files found »»»»»»»»»»»»»»»»»»»»»»»»»»»»»


»»»»»»»»»»»»»»»»»»»»»»»» aurora Files found »»»»»»»»»»»»»»»»»»»»»»»»»»»


»»»»»»»»»»»»»»»»»»»»»»»» Suspect's »»»»»»»»»»»»»»»»»»»»»»»»»»»»»»»»»»»
Dont delete file's in the section without guidance
If any doubt back them up first


»»»»» lagitamate file's can/will show in this section.

»»»»»»»»»»»»»»»»»»»»»»»» Buddy file's »»»»»»»»»»»»»»»»»»»»»»»»»»»»»»»»»

»»»»»»»»»»»»»»»»»»»»»»»» SAHAgent Files found »»»»»»»»»»»»»»»»»»»»»»»»»

»»»»»»»»»»»»»»»»»»»»»»»» Misc checks »»»»»»»»»»»»»»»»»»»»»»»»»»»»»»»»»»


»»»»» Check for Windows\SYSTEM32\cache32_rtneg* folder.

Wolumin w stacji C to PROGRAMY
Numer seryjny woluminu: 2478-A429

Katalog: C:\WINDOWS\SYSTEM32

»»»»» Checking for SAHAgent ico files.
Wolumin w stacji C to PROGRAMY
Numer seryjny woluminu: 2478-A429

Katalog: C:\WINDOWS\system32


»»»»»»»»»»»»»»»»»»»»»»»».

[kolobos1]

Tutaj wszystko ok, a silent dalej nie dziala? :(

[kropka357]

Dalej to samo - "podaj program za pomocą którego otworzyć "

[Gość: Kolobos]

No to sprawdz recznie:

Start->Uruchom->regedit
przejdz do:
HKLM\Software\Microsoft\Windows\CurrentVersion\Explorer\SharedTaskScheduler\

Z menu plik wybierz exportuj, zaznacz wybrana galaz i zapisz to sobie na
pulpicie nastepnie otworz w notatniku i wklej zawartosc tutaj

To samo zrob z:
HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\

[Gość: kropka357]

Windows Registry Editor Version 5.00

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\SharedTas
kScheduler]
"{438755C2-A8BA-11D1-B96B-00A0C90312E1}"="Moduł wstępnego ładowania interfejsu
Browseui"
"{8C7461EF-2B13-11d2-BE35-3078302C2030}"="Demon buforu kategorii składników"

[Gość: kropka357]

Windows Registry Editor Version 5.00

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
"NvCplDaemon"="RUNDLL32.EXE C:\\WINDOWS\\System32\\NvCpl.dll,NvStartup"
"NvMediaCenter"="RUNDLL32.EXE C:\\WINDOWS\\System32\\NvMcTray.dll,NvTaskbarInit"
"avast!"="C:\\PROGRA~1\\Avast4\\ashDisp.exe"
"SunJavaUpdateSched"="C:\\Program Files\\Java\\jre1.5.0_02\\bin\\jusched.exe"
"NeroFilterCheck"="C:\\WINDOWS\\system32\\NeroCheck.exe"
"gcasServ"="\"C:\\Program Files\\Microsoft AntiSpyware\\gcasServ.exe\""

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\OptionalCompon
ents]

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\OptionalCompon
ents\IMAIL]
"Installed"="1"

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\OptionalCompon
ents\MAPI]
"Installed"="1"
"NoChange"="1"

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\OptionalCompon
ents\MSFS]
"Installed"="1"

[Gość: Kolobos]

Jeszcze wklej to z tego pierwszego co podalem bo wkleilas tylko jedno.

[Gość: Kropka357]

jest wklejone w tych dwóch postach powyżej =)

[Gość: Kolobos]

No to ja nie wiem, wyglada ok.
Czy te reklamy maja jakis adres?

[Gość: kropka357]

Dzięki Ci Dobry Człowieku. Mam wrażenie , że od dwóch dni przestały mi juz
wyskakiwać - po usunięciu tych wpisów w HiJacku.A przewaznie były to - albo
kasyno, albo ikonki lub cos w tym rodzaju. Czasami tez gołe panienki. Jeszcze
poobserwuję parę dni - może będzie spokój ??

[Gość: Kolobos]

Jakby znowu wyskoczylo to wklej log z tego:
www.downloads.subratam.org/l2mfix.exe
Rozpakuj, uruchom l2mfix.bat wybierasz opcje 1 i wklejasz log.

Nie wiem czy to juz podalem ale log z tego tez wklej:
forums.net-integration.net/index.php?act=Attach&type=post&id=142443