Kontrola logu

[jiribori]

Zdárek, prosím o preventivní kontrolu logu. Díky

Logfile of HijackThis v1.99.1
Scan saved at 10:30:14, on 26.5.2006
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\spoolsv.exe
C:\WINDOWS\Explorer.EXE
C:\Program Files\Kerio\Personal Firewall 4\kpf4ss.exe
C:\Program Files\Common Files\Microsoft Shared\VS7Debug\mdm.exe
C:\Program Files\Eset\nod32krn.exe
C:\WINDOWS\system32\nvsvc32.exe
C:\Program Files\DAEMON Tools\daemon.exe
C:\Program Files\Kerio\Personal Firewall 4\kpf4gui.exe
C:\Program Files\DU Meter\DUMeter.exe
C:\Program Files\Nokia\Nokia PC Suite 6\LaunchApplication.exe
C:\Program Files\Common Files\PCSuite\DataLayer\DataLayer.exe
C:\WINDOWS\system32\RunDll32.exe
C:\Program Files\Eset\nod32kui.exe
C:\WINDOWS\system32\RUNDLL32.EXE
C:\PROGRA~1\TWINTO~1\MouseElf.EXE
C:\WINDOWS\system32\ctfmon.exe
C:\PROGRA~1\COMMON~1\PCSuite\Services\SERVIC~1.EXE
C:\Program Files\Kerio\Personal Firewall 4\kpf4gui.exe
C:\Documents and Settings\Jirka\Plocha\Jiří Bořil\Programy\Hijack\hijackthis\HijackThis.exe

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Bar = http://red.clientapps.yahoo.com/customi ... ch/ie.html
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.seznam.cz
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://web.volny.cz
R1 - HKCU\Software\Microsoft\Internet Explorer\SearchURL,(Default) = http://red.clientapps.yahoo.com/customi ... .yahoo.com
R1 - HKLM\Software\Microsoft\Internet Explorer\SearchURL,(Default) = http://red.clientapps.yahoo.com/customi ... .yahoo.com
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Odkazy
O2 - BHO: (no name) - {53707962-6F74-2D53-2644-206D7942484F} - C:\PROGRA~1\SPYBOT~1\SDHelper.dll
O2 - BHO: SSVHelper Class - {761497BB-D6F0-462C-B6EB-D4DAF1D92D43} - C:\Program Files\Java\jre1.5.0_06\bin\ssv.dll
O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\system32\NvCpl.dll,NvStartup
O4 - HKLM\..\Run: [DAEMON Tools] "C:\Program Files\DAEMON Tools\daemon.exe" -lang 1033
O4 - HKLM\..\Run: [DU Meter] C:\Program Files\DU Meter\DUMeter.exe
O4 - HKLM\..\Run: [nwiz] nwiz.exe /install
O4 - HKLM\..\Run: [PCSuiteTrayApplication] C:\Program Files\Nokia\Nokia PC Suite 6\LaunchApplication.exe -onlytray
O4 - HKLM\..\Run: [DataLayer] C:\Program Files\Common Files\PCSuite\DataLayer\DataLayer.exe
O4 - HKLM\..\Run: [Cmaudio] RunDll32 cmicnfg.cpl,CMICtrlWnd
O4 - HKLM\..\Run: [nod32kui] "C:\Program Files\Eset\nod32kui.exe" /WAITSERVICE
O4 - HKLM\..\Run: [NvMediaCenter] RUNDLL32.EXE C:\WINDOWS\system32\NvMcTray.dll,NvTaskbarInit
O4 - HKLM\..\Run: [QuickTime Task] "C:\Program Files\QuickTime\qttask.exe" -atboottime
O4 - HKLM\..\Run: [PinnacleDriverCheck] C:\WINDOWS\system32\\PSDrvCheck.exe
O4 - HKLM\..\Run: [mouseElf] C:\PROGRA~1\TWINTO~1\MouseElf.EXE
O4 - HKLM\..\Run: [TkBellExe] "C:\Program Files\Common Files\Real\Update_OB\realsched.exe" -osboot
O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\ctfmon.exe
O4 - Global Startup: Microsoft Office.lnk = C:\Program Files\Microsoft Office\Office10\OSA.EXE
O8 - Extra context menu item: Stáhnout pomocí Download &Expressu - C:\Program Files\Download Express\Add_Url.htm
O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\jre1.5.0_06\bin\ssv.dll
O9 - Extra 'Tools' menuitem: Sun Java Console - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\jre1.5.0_06\bin\ssv.dll
O9 - Extra button: Zdroje informací - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - C:\PROGRA~1\MICROS~3\OFFICE11\REFIEBAR.DLL
O9 - Extra button: ICQ Lite - {B863453A-26C3-4e1f-A54D-A2CD196348E9} - C:\Program Files\ICQLite\ICQLite.exe
O9 - Extra 'Tools' menuitem: ICQ Lite - {B863453A-26C3-4e1f-A54D-A2CD196348E9} - C:\Program Files\ICQLite\ICQLite.exe
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe
O14 - IERESET.INF: START_PAGE_URL=http://web.volny.cz
O16 - DPF: KB CW Pack - https://www.mojebanka.cz/jars/cw_pack.cab
O16 - DPF: KB KTpro Pack - https://www.mojebanka.cz/jars/kt_pro_v1101.cab
O16 - DPF: KB SH Pack - https://www.mojebanka.cz/jars/sh_pack.cab
O16 - DPF: MIB Pack - https://www.mojebanka.cz/jars/mib_pack_v1400.cab
O16 - DPF: {17492023-C23A-453E-A040-C7C580BBF700} (Windows Genuine Advantage Validation Tool) - http://go.microsoft.com/fwlink/?linkid=39204
O16 - DPF: {50E43D86-A74D-11D0-98CE-004005249458} - https://www.mojebanka.cz/jars/confwiz/MVSGif.cab
O16 - DPF: {6414512B-B978-451D-A0D8-FCFDF33E833C} (WUWebControl Class) - http://v5.windowsupdate.microsoft.com/v ... 3538411093
O16 - DPF: {6E32070A-766D-4EE6-879C-DC1FA91D2FC3} (MUWebControl Class) - http://update.microsoft.com/microsoftup ... 4056677500
O17 - HKLM\System\CS1\Services\Tcpip\Parameters: SearchList = volny.cz
O17 - HKLM\System\CS2\Services\Tcpip\Parameters: SearchList = volny.cz
O17 - HKLM\System\CS3\Services\Tcpip\Parameters: SearchList = volny.cz
O17 - HKLM\System\CS4\Services\Tcpip\Parameters: SearchList = volny.cz
O17 - HKLM\System\CCS\Services\Tcpip\Parameters: SearchList = volny.cz
O20 - Winlogon Notify: WgaLogon - C:\WINDOWS\SYSTEM32\WgaLogon.dll
O23 - Service: InstallDriver Table Manager (IDriverT) - Macrovision Corporation - C:\Program Files\Common Files\InstallShield\Driver\11\Intel 32\IDriverT.exe
O23 - Service: Kerio Personal Firewall 4 (KPF4) - Kerio Technologies - C:\Program Files\Kerio\Personal Firewall 4\kpf4ss.exe
O23 - Service: NOD32 Kernel Service (NOD32krn) - Eset - C:\Program Files\Eset\nod32krn.exe
O23 - Service: NVIDIA Display Driver Service (NVSvc) - NVIDIA Corporation - C:\WINDOWS\system32\nvsvc32.exe

[Reklama]

[mijaja]

Nemáš tam nic, co by škodilo. Máš nějaký problém?

[jiribori]

No právě že mám. Dneska mi skočila modrá obrazovka smrti a pak v Prohlížeči událostí jsem našel tohle:

Typ události: Informace
Zdroj události: Save Dump
Kategorie události: Není k dispozici
ID události: 1001
Datum: 26.5.2006
Čas: 8:58:46
Uživatel: Není k dispozici
Počítač: PERSICA
Popis:
Počítač se znovu spustil z kontroly chyb. Kontrola chyb byla: 0x0000008e (0xc0000005, 0xf561d945, 0xb9011748, 0x00000000). Výpis se uložil do: C:\WINDOWS\MEMORY.DMP.

Další informace získáte v Centru pro nápovědu a pomoc na http://go.microsoft.com/fwlink/events.asp.

Ještě na tý obrazovce bylo, že to způsobilo khips.sys Adress F561D945 base at F5616000, DateStamp 4337b975 a to je od Keria Personal Firewall

[jiribori]

Zatim se to stalo poprvé, tak doufám, že už se to nestane a že to bylo jen chvilkový selhání. Na netu jsem právě nic nesehnal.

[mijaja]

Khips.sys je systémový soubor Keria a je v pořádku. Otázkou je co, nebo čím byla vyvolána taková reakce. Podívej se do Keria - má v sobě taky zabudovaný protokol událostí, jestli nepíše něco bližšího. Jinak ještě to první chybové číslo (0x0000005) patří funkci DEP:

Funkce DEP na hardwarové úrovni

Funkce DEP na hardwarové úrovni označuje všechna paměťová místa v procesu jako nespustitelná, pokud místo explicitně neobsahuje spustitelný kód. Existují totiž útoky, které se pokoušejí vložit a spustit kód z nespustitelných paměťových míst. Funkce DEP předchází těmto útokům tím, že je zachytí a oznámí výjimku.

Typy obrazovek smrti
[editovat]
Windows XP/2000/NT
Ve Windows NT, Windows 2000 a Windows XP označuje modrá obrazovka smrti (oficiálně označená jako „stop error“) nastane v situaci, kdy kernel zaznamená chybu, ze které se nelze zotavit. To je nejčastěji způsobeno tím, že některý ovladač nezpracuje vyhozenou výjimku nebo provede neplatnou operaci. V dané situaci je jedinou možností restart počítače, což může vést ke ztrátě dat, neboť Windows nebyly správně ukončeny.

Chybová zpráva „Stop“ obsahuje kód chyby a její symbolický název (např. 0x0000001E, KMODE_EXCEPTION_NOT_HANDLED) a čtyři hodnoty blíže určující chybu. Zobrazena je také adresa, na které problém nastal, a označení příslušného ovladače. Ve Windows NT a 2000 je dále uveden seznam všech načtených ovladačů (obsahující bázovou adresu ovladače, datum vytvoření ovladače a jeho název) a výpis zásobníku.

Windows lze nastavit tak, aby podrobné ladící informace poslaly přes COM rozhraní na kernel debugger na jiném počítači. Z omezených informací na obrazovce totiž jen těžko lze spolehlivě určit příčiny chyby.

Ve Windows XP SP1 a nižší lze manuálně vyvolat BSOD vytvořením klíče DWORD s názvem CrashOnCtrlScroll a hodnotou 1 v systémovém registru na adrese HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\i8042prt\Parameters a následným podržením klávesy Ctrl stisknutím klavesy Scroll Lock dvakrát.

Takže je možné že funkce Zabránění spuštění dat (DEP) spolu s Keriem zabránili něčemu proniknout dovnitř a spustili tu výjimku BSOD.

Zkus projet komp MWAVem, jestli tam není něco co by volalo z netu šmejdy.

[jiribori]

Tak jsem to projel MWAV a ukázalo mi to tohle:

krátký výpis:

File C:\Documents and Settings\Jirka\Plocha\Jiří Bořil\Programy\ccsetup127.exe tagged as not-a-virus:RiskTool.Win32.PsKill.n. No Action Taken.
Object "media tickets Spyware/Adware" found in File System! Action Taken: No Action Taken.
Object "weathercast Spyware/Adware" found in File System! Action Taken: No Action Taken.
Object "weathercast Spyware/Adware" found in File System! Action Taken: No Action Taken.
Object "weathercast Spyware/Adware" found in File System! Action Taken: No Action Taken.
Object "weathercast Spyware/Adware" found in File System! Action Taken: No Action Taken.
Object "casinoclient Spyware/Adware" found in File System! Action Taken: No Action Taken.
Object "weathercast Spyware/Adware" found in File System! Action Taken: No Action Taken.
Object "weathercast Spyware/Adware" found in File System! Action Taken: No Action Taken.
Object "weathercast Spyware/Adware" found in File System! Action Taken: No Action Taken.
Object "weathercast Spyware/Adware" found in File System! Action Taken: No Action Taken.
Object "casinoclient Spyware/Adware" found in File System! Action Taken: No Action Taken.
File C:\Documents and Settings\Jirka\Plocha\Jiří Bořil\Programy\ccsetup127.exe tagged as not-a-virus:RiskTool.Win32.PsKill.n. No Action Taken.
File C:\ArchiCAD 7.0-S\Něco navíc\EON Fast View LE\EONFastViewLE.exe tagged as "not-a-virus:AdWare.Win32.MyTool.b". Action Taken: No Action Taken.


a teď i s cestou:

Fri May 26 12:45:13 2006 => Offending file found: C:\Documents and Settings\Jirka\Plocha\olympus c-350 zoom\duha a kytky\album\res\blank.html
Fri May 26 12:45:13 2006 => System found infected with media tickets Spyware/Adware (blank.html)! Action taken: No Action Taken.

Fri May 26 12:45:21 2006 => Offending file found: C:\Documents and Settings\Jirka\Dokumenty\sady webových souborů\web13\_vti_cnf\search.htm
Fri May 26 12:45:21 2006 => System found infected with weathercast Spyware/Adware (search.htm)! Action taken: No Action Taken.

Fri May 26 12:45:21 2006 => Offending file found: C:\Documents and Settings\Jirka\Dokumenty\sady webových souborů\web13\search.htm
Fri May 26 12:45:21 2006 => System found infected with weathercast Spyware/Adware (search.htm)! Action taken: No Action Taken.

Fri May 26 12:45:21 2006 => Offending file found: C:\Documents and Settings\Jirka\Dokumenty\sady webových souborů\web19\_vti_cnf\search.htm
Fri May 26 12:45:21 2006 => System found infected with weathercast Spyware/Adware (search.htm)! Action taken: No Action Taken.

Fri May 26 12:45:21 2006 => Offending file found: C:\Documents and Settings\Jirka\Dokumenty\sady webových souborů\web19\search.htm
Fri May 26 12:45:21 2006 => System found infected with weathercast Spyware/Adware (search.htm)! Action taken: No Action Taken.

Fri May 26 12:45:24 2006 => Offending Folder found: C:\Documents and Settings\Jirka\Dokumenty\ea games\the sims 2\music\cas
Fri May 26 12:45:24 2006 => Object "casinoclient Spyware/Adware" found in File System! Action Taken: No Action Taken.

Fri May 26 12:45:34 2006 => Offending file found: C:\Documents and Settings\Jirka\Dokumenty\sady webových souborů\web13\_vti_cnf\search.htm
Fri May 26 12:45:34 2006 => System found infected with weathercast Spyware/Adware (search.htm)! Action taken: No Action Taken.

Fri May 26 12:45:34 2006 => Offending file found: C:\Documents and Settings\Jirka\Dokumenty\sady webových souborů\web13\search.htm
Fri May 26 12:45:34 2006 => System found infected with weathercast Spyware/Adware (search.htm)! Action taken: No Action Taken.

Fri May 26 12:45:34 2006 => Offending file found: C:\Documents and Settings\Jirka\Dokumenty\sady webových souborů\web19\_vti_cnf\search.htm
Fri May 26 12:45:34 2006 => System found infected with weathercast Spyware/Adware (search.htm)! Action taken: No Action Taken.

Fri May 26 12:45:34 2006 => Offending file found: C:\Documents and Settings\Jirka\Dokumenty\sady webových souborů\web19\search.htm
Fri May 26 12:45:34 2006 => System found infected with weathercast Spyware/Adware (search.htm)! Action taken: No Action Taken.

Fri May 26 12:45:34 2006 => Offending Folder found: C:\Documents and Settings\Jirka\Dokumenty\ea games\the sims 2\music\cas
Fri May 26 12:45:34 2006 => Object "casinoclient Spyware/Adware" found in File System! Action Taken: No Action Taken.

Fri May 26 14:28:59 2006 => File C:\ArchiCAD 7.0-S\Něco navíc\EON Fast View LE\EONFastViewLE.exe tagged as "not-a-virus:AdWare.Win32.MyTool.b". Action Taken: No Action Taken.

Fri May 26 13:28:53 2006 => File C:\Documents and Settings\Jirka\Plocha\Jiří Bořil\Programy\ccsetup127.exe tagged as not-a-virus:RiskTool.Win32.PsKill.n. No Action Taken.

Fri May 26 13:28:53 2006 => File C:\Documents and Settings\Jirka\Plocha\Jiří Bořil\Programy\ccsetup127.exe tagged as not-a-virus:RiskTool.Win32.PsKill.n. No Action Taken.

Nejsem z toho moc moudrej, tak mi prosím poraď, co s tím? Díky.

[mijaja]

Takže zjednodšeně - co mwav našel, to pošli do věčných lovišť:

C:\Documents and Settings\Jirka\Plocha\Jiří Bořil\Programy\ccsetup127.exe
C:\ArchiCAD 7.0-S\Něco navíc\EON Fast View LE\EONFastViewLE.exe
C:\Documents and Settings\Jirka\Plocha\olympus c-350 zoom\duha a kytky\album\res\blank.html
C:\Documents and Settings\Jirka\Dokumenty\sady webových souborů\web13\_vti_cnf\search.htm
C:\Documents and Settings\Jirka\Dokumenty\sady webových souborů\web13\search.htm
C:\Documents and Settings\Jirka\Dokumenty\sady webových souborů\web19\_vti_cnf\search.htm
C:\Documents and Settings\Jirka\Dokumenty\sady webových souborů\web19\search.htm
C:\Documents and Settings\Jirka\Dokumenty\ea games\the sims 2\music\cas

To červené zlikviduj a s viry ba snad neměl být problém.
Pro jistotu bych ještě projel komp odstraňovačem rootkitů BlackLightBetou

[jiribori]

Tak jsem to všechno smáznul a projel tou BlackLightBetou - ta nic nenašla. Zítra ještě dám Defragmentaci, aby to bylo kompletní, protože nebudu celý den doma (vstávám už ve 4:00 ráno) . To je hrůza. Jinak díky za pomoc a já se ještě někdy určitě ozvu.