proszę sprawdzić bo nie mam pewności :/

**Posty:** 53 · przez **Bergmann** 18 Kwi 2006, 16:49

Witam, załapałem jakieś guwienko (coś podobnego do spy sheriffa ale inna nazwa), które informowało mnie że mój komp jest zagrożony wirusem i dodało mi search toolbar ale nie w necie ale w normalnych folderach. Niby wszystko usunąłem i fixnołem w hijackthis ale nie mam pewności tak więc prosze o sprawdzenie loga, jeśli trzeba bedzie to dam jeszcze loga z Silent runners, tylko prosze pisać czy potrzebny.
Oto log:

Logfile of HijackThis v1.99.1
Scan saved at 15:12:22, on 2006-04-18
Platform: Windows XP (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 (6.00.2600.0000)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\csrss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\spoolsv.exe
C:\WINDOWS\Explorer.EXE
C:\WINDOWS\System32\devldr32.exe
C:\Program Files\Creative\SBLive\AudioHQ\AHQTB.EXE
E:\Programy\Deamon tools\daemon.exe
C:\PROGRA~1\NEOSTR~1\CnxMon.exe
C:\WINDOWS\System32\ctfmon.exe
E:\Programy\Gadu-Gadu\gg.exe
C:\Program Files\SAGEM\SAGEM F@st 800-840\dslmon.exe
C:\WINDOWS\System32\alg.exe
C:\WINDOWS\System32\CTsvcCDA.EXE
C:\WINDOWS\system32\drivers\KodakCCS.exe
C:\Program Files\Common Files\Microsoft Shared\VS7Debug\mdm.exe
C:\WINDOWS\System32\nvsvc32.exe
C:\WINDOWS\System32\MsPMSPSv.exe
E:\Programy\forum programosy\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.allegro.pl/
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Window Title = Neostrada TP
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Łącza
R3 - URLSearchHook: Search Class - {08C06D61-F1F3-4799-86F8-BE1A89362C85} - C:\PROGRA~1\NEOSTR~1\SEARCH~1.DLL
O2 - BHO: SearchToolbar - {08BEC6AA-49FC-4379-3587-4B21E286C19E} - C:\WINDOWS\System32\dylwv.dll
O2 - BHO: (no name) - {A5366673-E8CA-11D3-9CD9-0090271D075B} - (no file)
O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINDOWS\System32\msdxm.ocx
O3 - Toolbar: Easy-WebPrint - {327C2873-E90D-4c37-AA9D-10AC9BABA46C} - C:\Program Files\Canon\Easy-WebPrint\Toolband.dll
O3 - Toolbar: SearchToolbar - {08BEC6AA-49FC-4379-3587-4B21E286C19E} - C:\WINDOWS\System32\dylwv.dll
O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\System32\NvCpl.dll,NvStartup
O4 - HKLM\..\Run: [nwiz] nwiz.exe /install
O4 - HKLM\..\Run: [UpdReg] C:\WINDOWS\Updreg.exe
O4 - HKLM\..\Run: [AHQInit] C:\Program Files\Creative\SBLive\Program\AHQInit.exe
O4 - HKLM\..\Run: [AudioHQ] C:\Program Files\Creative\SBLive\AudioHQ\AHQTB.EXE
O4 - HKLM\..\Run: [Easy-PrintToolBox] C:\Program Files\Canon\Easy-PrintToolBox\BJPSMAIN.EXE /logon
O4 - HKLM\..\Run: [KAVPersonal50] "E:\Programy\Kaspersky\Kaspersky Anti-Virus Personal\kav.exe" /minimize
O4 - HKLM\..\Run: [DAEMON Tools-1033] "E:\Programy\Deamon tools\daemon.exe" -lang 1033
O4 - HKLM\..\Run: [WooCnxMon] C:\PROGRA~1\NEOSTR~1\CnxMon.exe
O4 - HKLM\..\Run: [WOOWATCH] C:\PROGRA~1\NEOSTR~1\Watch.exe
O4 - HKLM\..\Run: [WOOTASKBARICON] C:\PROGRA~1\NEOSTR~1\TaskbarIcon.exe
O4 - HKLM\..\Run: [NvMediaCenter] RUNDLL32.EXE C:\WINDOWS\System32\NvMcTray.dll,NvTaskbarInit
O4 - HKLM\..\Run: [KernelFaultCheck] %systemroot%\system32\dumprep 0 -k
O4 - HKLM\..\RunServices: [Office XP hack] c:\office_patch.exe hack
O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\ctfmon.exe
O4 - HKCU\..\Run: [Gadu-Gadu] "E:\Programy\Gadu-Gadu\gg.exe" /tray
O4 - Global Startup: DSLMON.lnk = C:\Program Files\SAGEM\SAGEM F@st 800-840\dslmon.exe
O4 - Global Startup: Kodak EasyShare software.lnk = C:\Program Files\Kodak\Kodak EasyShare Software\bin\EasyShare.exe
O4 - Global Startup: Kodak software updater.lnk = C:\Program Files\Kodak\KODAK Software Updater\7288971\Program\Kodak Software Updater.exe
O4 - Global Startup: Microsoft Office.lnk = C:\Program Files\Microsoft Office\Office10\OSA.EXE
O8 - Extra context menu item: Download All by FlashGet - D:\Program Files\FlashGet\jc_all.htm
O8 - Extra context menu item: Download using FlashGet - D:\Program Files\FlashGet\jc_link.htm
O8 - Extra context menu item: E&ksport do programu Microsoft Excel - res://C:\PROGRA~1\MICROS~2\Office10\EXCEL.EXE/3000
O9 - Extra button: Related - {c95fe080-8f5d-11d2-a20b-00aa003c157a} - C:\WINDOWS\web\related.htm
O9 - Extra 'Tools' menuitem: Show &Related Links - {c95fe080-8f5d-11d2-a20b-00aa003c157a} - C:\WINDOWS\web\related.htm
O17 - HKLM\System\CCS\Services\Tcpip\..\{7B702E03-EE5B-4730-A616-6E15EE220295}: NameServer = 85.255.113.94,85.255.112.19
O17 - HKLM\System\CCS\Services\Tcpip\..\{E3D1F0B5-89BF-49CD-A8D8-26BCEE8AF039}: NameServer = 85.255.113.94,85.255.112.19
O23 - Service: Creative Service for CDROM Access - Creative Technology Ltd - C:\WINDOWS\System32\CTsvcCDA.EXE
O23 - Service: kavsvc - Kaspersky Lab - E:\Programy\Kaspersky\Kaspersky Anti-Virus Personal\kavsvc.exe
O23 - Service: Kodak Camera Connection Software (KodakCCS) - Eastman Kodak Company - C:\WINDOWS\system32\drivers\KodakCCS.exe
O23 - Service: NVIDIA Display Driver Service (NVSvc) - NVIDIA Corporation - C:\WINDOWS\System32\nvsvc32.exe

Pozdrawiam Bergmann

**Posty:** 8694 · przez **Red** 18 Kwi 2006, 16:55

wylacz przywracanie systemu ,wejdz w tryb awaryjny windowsa f8 i usuwasz

O2 - BHO: SearchToolbar - {08BEC6AA-49FC-4379-3587-4B21E286C19E} - C:\WINDOWS\System32\dylwv.dll
O3 - Toolbar: SearchToolbar - {08BEC6AA-49FC-4379-3587-4B21E286C19E} - C:\WINDOWS\System32\dylwv.dll
O9 - Extra button: Related - {c95fe080-8f5d-11d2-a20b-00aa003c157a} - C:\WINDOWS\web\related.htm
O9 - Extra 'Tools' menuitem: Show &Related Links - {c95fe080-8f5d-11d2-a20b-00aa003c157a} - C:\WINDOWS\web\related.htm
O17 - HKLM\System\CCS\Services\Tcpip\..\{7B702E03-EE5B-4730-A616-6E15EE220295}: NameServer = 85.255.113.94,85.255.112.19
O17 - HKLM\System\CCS\Services\Tcpip\..\{E3D1F0B5-89BF-49CD-A8D8-26BCEE8AF039}: NameServer = 85.255.113.94,85.255.112.19

usuwasz wszystko co powyzej

rozumiem ze to jest twoje:

O4 - HKLM\..\RunServices: [Office XP hack] c:\office_patch.exe hack

przez **Tom@szek** 18 Kwi 2006, 16:55

Bergmann napisał(a):coś podobnego do spy sheriffa ale inna nazwa)

Jaka nazwa :?:

Tutaj dla zabawy nie sprawdzamy.

**Posty:** 53 · przez **Bergmann** 18 Kwi 2006, 17:12

coś jak "System spy updater", ale nie jestem pewien bo długo na to nie patrzyłem. Chciałem jak najszybciej się tego pozbyć ale napewno coś "spy updater" tylko nie jestem pewien do tego "system". Miało ikonkę taką jak jest recycling (takie zielone strzałki kręcące się w kółko) tylko te strzałki były czerwone.

[ Dodano: Dzisiaj o 15:24 ]
Oto log po zabiegu :

Logfile of HijackThis v1.99.1
Scan saved at 16:05:05, on 2006-04-18
Platform: Windows XP (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 (6.00.2600.0000)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\csrss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\spoolsv.exe
C:\WINDOWS\Explorer.EXE
C:\WINDOWS\System32\devldr32.exe
C:\Program Files\Creative\SBLive\AudioHQ\AHQTB.EXE
E:\Programy\Deamon tools\daemon.exe
C:\PROGRA~1\NEOSTR~1\CnxMon.exe
C:\WINDOWS\System32\ctfmon.exe
E:\Programy\Gadu-Gadu\gg.exe
C:\Program Files\SAGEM\SAGEM F@st 800-840\dslmon.exe
C:\Program Files\Neostrada TP\NeostradaTP.exe
C:\Program Files\Neostrada TP\ComComp.exe
C:\WINDOWS\System32\alg.exe
C:\WINDOWS\System32\CTsvcCDA.EXE
C:\WINDOWS\system32\drivers\KodakCCS.exe
C:\Program Files\Common Files\Microsoft Shared\VS7Debug\mdm.exe
C:\WINDOWS\System32\nvsvc32.exe
C:\WINDOWS\System32\MsPMSPSv.exe
C:\Program Files\Neostrada TP\Watch.exe
E:\Programy\forum programosy\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.allegro.pl/
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Window Title = Neostrada TP
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Łącza
R3 - URLSearchHook: Search Class - {08C06D61-F1F3-4799-86F8-BE1A89362C85} - C:\PROGRA~1\NEOSTR~1\SEARCH~1.DLL
O2 - BHO: (no name) - {A5366673-E8CA-11D3-9CD9-0090271D075B} - (no file)
O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINDOWS\System32\msdxm.ocx
O3 - Toolbar: Easy-WebPrint - {327C2873-E90D-4c37-AA9D-10AC9BABA46C} - C:\Program Files\Canon\Easy-WebPrint\Toolband.dll
O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\System32\NvCpl.dll,NvStartup
O4 - HKLM\..\Run: [nwiz] nwiz.exe /install
O4 - HKLM\..\Run: [UpdReg] C:\WINDOWS\Updreg.exe
O4 - HKLM\..\Run: [AHQInit] C:\Program Files\Creative\SBLive\Program\AHQInit.exe
O4 - HKLM\..\Run: [AudioHQ] C:\Program Files\Creative\SBLive\AudioHQ\AHQTB.EXE
O4 - HKLM\..\Run: [Easy-PrintToolBox] C:\Program Files\Canon\Easy-PrintToolBox\BJPSMAIN.EXE /logon
O4 - HKLM\..\Run: [KAVPersonal50] "E:\Programy\Kaspersky\Kaspersky Anti-Virus Personal\kav.exe" /minimize
O4 - HKLM\..\Run: [DAEMON Tools-1033] "E:\Programy\Deamon tools\daemon.exe" -lang 1033
O4 - HKLM\..\Run: [WooCnxMon] C:\PROGRA~1\NEOSTR~1\CnxMon.exe
O4 - HKLM\..\Run: [WOOWATCH] C:\PROGRA~1\NEOSTR~1\Watch.exe
O4 - HKLM\..\Run: [WOOTASKBARICON] C:\PROGRA~1\NEOSTR~1\TaskbarIcon.exe
O4 - HKLM\..\Run: [NvMediaCenter] RUNDLL32.EXE C:\WINDOWS\System32\NvMcTray.dll,NvTaskbarInit
O4 - HKLM\..\Run: [KernelFaultCheck] %systemroot%\system32\dumprep 0 -k
O4 - HKLM\..\RunServices: [Office XP hack] c:\office_patch.exe hack
O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\ctfmon.exe
O4 - HKCU\..\Run: [Gadu-Gadu] "E:\Programy\Gadu-Gadu\gg.exe" /tray
O4 - Global Startup: DSLMON.lnk = C:\Program Files\SAGEM\SAGEM F@st 800-840\dslmon.exe
O4 - Global Startup: Kodak EasyShare software.lnk = C:\Program Files\Kodak\Kodak EasyShare Software\bin\EasyShare.exe
O4 - Global Startup: Kodak software updater.lnk = C:\Program Files\Kodak\KODAK Software Updater\7288971\Program\Kodak Software Updater.exe
O4 - Global Startup: Microsoft Office.lnk = C:\Program Files\Microsoft Office\Office10\OSA.EXE
O8 - Extra context menu item: Download All by FlashGet - D:\Program Files\FlashGet\jc_all.htm
O8 - Extra context menu item: Download using FlashGet - D:\Program Files\FlashGet\jc_link.htm
O8 - Extra context menu item: E&ksport do programu Microsoft Excel - res://C:\PROGRA~1\MICROS~2\Office10\EXCEL.EXE/3000
O17 - HKLM\System\CCS\Services\Tcpip\..\{49FAD0D1-E506-4B08-9B65-FB20E641EA66}: NameServer = 194.204.152.34 217.98.63.164
O23 - Service: Creative Service for CDROM Access - Creative Technology Ltd - C:\WINDOWS\System32\CTsvcCDA.EXE
O23 - Service: kavsvc - Kaspersky Lab - E:\Programy\Kaspersky\Kaspersky Anti-Virus Personal\kavsvc.exe
O23 - Service: Kodak Camera Connection Software (KodakCCS) - Eastman Kodak Company - C:\WINDOWS\system32\drivers\KodakCCS.exe
O23 - Service: NVIDIA Display Driver Service (NVSvc) - NVIDIA Corporation - C:\WINDOWS\System32\nvsvc32.exe

**Posty:** 8694 · przez **Red** 18 Kwi 2006, 17:29

log jest ok,czy są jeszcze problemy ,jesli tak to napisz

przeskanuj dodatkowo system ewido:
http://www.ewido.net/en/

i wklej wynik scanowania na forum...

**Posty:** 53 · przez **Bergmann** 18 Kwi 2006, 18:34

cos nie moge zrobić tego skanowania

wyskakuje błąd IEXPLORER.exe zawsze w tym samym miejscu, spróbuje skanowania osobno kazdego dysku

[ Dodano: Dzisiaj o 16:46 ]
przeskanowałem tylko cookies, registry i memory i oto wyniki:

__________________________________________________
ewido security suite online scanner
http://www.ewido.net
__________________________________________________

Name: Adware.CoolWebSearch
Path: HKLM\SOFTWARE\Classes\ToolBand.ToolBandObj
Risk: Medium

Name: Adware.CoolWebSearch
Path: HKLM\SOFTWARE\Classes\ToolBand.ToolBandObj\CLSID
Risk: Medium

Name: Adware.CoolWebSearch
Path: HKLM\SOFTWARE\Classes\ToolBand.ToolBandObj\CurVer
Risk: Medium

Name: Adware.CoolWebSearch
Path: HKLM\SOFTWARE\Classes\ToolBand.ToolBandObj.1
Risk: Medium

Name: Downloader.Agent.uj
Path: [560] VM_00E20000
Risk: High

Name: Downloader.Agent.uj
Path: [584] VM_00E40000
Risk: High

Name: Downloader.Agent.uj
Path: [1520] VM_00800000
Risk: High

Name: Downloader.Agent.uj
Path: [1656] VM_007F0000
Risk: High

Name: Downloader.Agent.uj
Path: [1732] VM_003F0000
Risk: High

Name: Downloader.Agent.uj
Path: [192] VM_00900000
Risk: High

Name: Downloader.Agent.uj
Path: [244] VM_003D0000
Risk: High

Name: Downloader.Agent.uj
Path: [384] VM_00820000
Risk: High

Name: Downloader.Agent.uj
Path: [420] VM_003F0000
Risk: High

Name: Downloader.Agent.uj
Path: [692] VM_00A20000
Risk: High

Name: Downloader.Agent.uj
Path: [1328] VM_003C0000
Risk: High

Name: Downloader.Agent.uj
Path: [2116] VM_003C0000
Risk: High

Name: Downloader.Agent.uj
Path: [2632] VM_007D0000
Risk: High

gdy chciałem usunąć to wykoczyło mi ze musze coś tam sciągnąć, dalem oki i to mi zostało:

__________________________________________________
ewido security suite online scanner
http://www.ewido.net
__________________________________________________

Name: Downloader.Agent.uj
Path: [560] VM_00E20000
Risk: High

Name: Downloader.Agent.uj
Path: [584] VM_00E40000
Risk: High

Name: Downloader.Agent.uj
Path: [1520] VM_00800000
Risk: High

Name: Downloader.Agent.uj
Path: [1656] VM_007F0000
Risk: High

Name: Downloader.Agent.uj
Path: [1732] VM_003F0000
Risk: High

Name: Downloader.Agent.uj
Path: [192] VM_00900000
Risk: High

Name: Downloader.Agent.uj
Path: [244] VM_003D0000
Risk: High

Name: Downloader.Agent.uj
Path: [384] VM_00820000
Risk: High

Name: Downloader.Agent.uj
Path: [420] VM_003F0000
Risk: High

Name: Downloader.Agent.uj
Path: [692] VM_00A20000
Risk: High

Name: Downloader.Agent.uj
Path: [1328] VM_003C0000
Risk: High

Name: Downloader.Agent.uj
Path: [2116] VM_003C0000
Risk: High

Name: Downloader.Agent.uj
Path: [2632] VM_007D0000
Risk: High

**Posty:** 8694 · przez **Red** 18 Kwi 2006, 19:05

Downloader.Agent.uj mocny gosc hm Rootkit

sciagnij i przeskanuj system tym:

http://www.europe.f-secure.com/exclude/blacklight/blbeta.exe

po wykonaniu zadania restart komputera i raz jeszcze zapusc ewido scaner

**Posty:** 53 · przez **Bergmann** 18 Kwi 2006, 19:18

mam dać rename jak już przeskanuje??

**Posty:** 8694 · przez **Red** 18 Kwi 2006, 19:22

**Posty:** 53 · przez **Bergmann** 18 Kwi 2006, 19:31

po przeskanowaniu ewido już nie ma tych plików, ale nadal mam problem z tym blędem podczas skanowania. Już wiem w jakim folderze to "coś" się znajduje ale nawet nie moge do niego wejść bo zaraz mi wyskakuje błąd i folder sie zamyka

P.S.
A tak z ciekawości to dając "rename" to usunąłem te pliki czy tylko zmieniłem ich nazwe?? Bo rename to sugeruje.

**Posty:** 8694 · przez **Red** 18 Kwi 2006, 19:37

usunąłes

Już wiem w jakim folderze to "coś" się znajduje

to daj scren albo napisz wiecej ,no nie moge zgadywac co i gdzie sie znajduje....

**Posty:** 53 · przez **Bergmann** 18 Kwi 2006, 19:47

chyba to coś co było to juz niknęło i to prawdopodobnie dzięki temu "rename", bo po restarcie już skanuje dobrze (nie wyskakuje już ten błąd), ale zaczekam do końca skanowania i wrzuce jego wyniki.

**Posty:** 8694 · przez **Red** 18 Kwi 2006, 19:52

Bergmann napisał(a):i wrzuce jego wyniki.

ok

**Posty:** 53 · przez **Bergmann** 18 Kwi 2006, 20:10

oto wyniki:
__________________________________________________

ewido security suite online scanner
http://www.ewido.net
__________________________________________________

Name: Hijacker.Small
Path: C:\WINDOWS\system32\filesafer23.exe.ren
Risk: High

Name: Adware.Msnagent
Path: C:\WINDOWS\system32\pppcgm.exe.ren
Risk: Medium

Name: Adware.FindSpy
Path: C:\WINDOWS\system32\sphlp32.exe.ren
Risk: Medium

Name: Adware.SBSoft
Path: E:\Programy\forum programosy\backups\backup-20060418-160135-467.dll
Risk: Medium

**Posty:** 8694 · przez **Red** 18 Kwi 2006, 20:29

prosze sciagnac:

http://www.billsway.com/vbspage/
i wykonasz trzy wyszukiwania na nastepujace wpisy:

filesafer23.exe
pppcgm.exe
sphlp32.exe

wklej trzy wyniki na forum...

**Posty:** 53 · przez **Bergmann** 19 Kwi 2006, 17:06

ale co mam tam ściągnąć?? tam jest cała lista czegoś a ja nie wiem co mam wybrać

**Posty:** 8694 · przez **Red** 19 Kwi 2006, 17:07

http://www.billsway.com/vbspage/vbsfiles/RegSrch.zip

własnie to....

**Posty:** 53 · przez **Bergmann** 19 Kwi 2006, 17:14

nie znalazło takich wpisów, skopiowałem te podane trzy wpisy i po koleji wklejałem i szukałem ale za każdym razem nic nie znajdowało. To dobrze??

**Posty:** 8694 · przez **Red** 19 Kwi 2006, 17:18

sciagnij
http://www.bleepingcomputer.com/files/killbox.php

Odpalasz Killboxa zaznacz opcję Delete on Reboot następnie w polu Full Path of File to Delete wklej ścieżki :
C:\WINDOWS\system32\filesafer23.exe
C:\WINDOWS\system32\pppcgm.exe
C:\WINDOWS\system32\sphlp32.exe

po wklejeniu ostatniej sciezki nacisnij x
Program będzie pytał o restart (oczywiście zgadzasz się)

**Posty:** 53 · przez **Bergmann** 19 Kwi 2006, 17:31

wyskakuje takie okienko

. Chyba już nie ma tych plików na dysku.

proszę sprawdzić bo nie mam pewności :/

Proszę sprawdzić bo nie mam pewności :/

Kto jest na forum