PC-HELP.CZ

České diskuzní fórum o počítačích
https://pc-help.cnews.cz/

HJT

https://pc-help.cnews.cz/viewtopic.php?f=70&t=6002

Stránka 1 z 1

HJT

Napsal: 30 čer 2006 20:21
od Blaža
Ahoj všichni, prosím Vás o kontrolu logu. Nevím jestli tam něco bude ale nemohl jsem se připojit na IE ani na CZDC. Posílám i log z MWAVu. Ten XOLOX jsem už odstranil, ale ten with whenu.savenow nevim jak. Teď se mi povedlo i připojit. Jak bych měl nastavit PC, aby se mi připojoval při spuštění automaticky k síti ?
AVAST : 0 infected
CCleaner : vyčištěno
NNCleaner : nic nenašel
Spy booot s&d : nic nenašel

MWAV :

Fri Jun 30 16:14:30 2006 => System found infected with xolox Spyware/Adware ({f02c0ae1-d796-42c9-81e1-084d88f79b8e})! Action taken: No Action Taken.
Fri Jun 30 16:14:30 2006 => System found infected with xolox Spyware/Adware ({2850bdc7-2330-4e31-9fa0-88268846539a})! Action taken: No Action Taken.
Fri Jun 30 16:14:31 2006 => System found infected with whenu.savenow Spyware/Adware ({c285d18d-43a2-4aef-83fb-bf280e660a97})! Action taken: No Action Taken.
Fri Jun 30 16:14:32 2006 => Offending Key found: HKLM\Software\Microsoft\Windows\CurrentVersion\uninstall\xolox !!!
Fri Jun 30 16:14:32 2006 => Object "xolox Spyware/Adware" found in File System! Action Taken: No Action Taken.

Fri Jun 30 16:14:32 2006 => Offending Key found: HKLM\Software\xolox !!!
Fri Jun 30 16:14:32 2006 => Object "xolox Spyware/Adware" found in File System! Action Taken: No Action Taken.

Fri Jun 30 16:14:37 2006 => Offending Folder found: C:\Documents and Settings\PC\Nabídka Start\programy\xolox
Fri Jun 30 16:14:37 2006 => Object "xolox Spyware/Adware" found in File System! Action Taken: No Action Taken.

Fri Jun 30 16:14:37 2006 => Offending Folder found: C:\Documents and Settings\PC\Nabídka Start\Programy\xolox
Fri Jun 30 16:14:37 2006 => Object "xolox Spyware/Adware" found in File System! Action Taken: No Action Taken.

a tady je ten log z HJT :

Logfile of HijackThis v1.99.1
Scan saved at 16:53:28, on 30.6.2006
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\Explorer.EXE
C:\WINDOWS\system32\spoolsv.exe
C:\PROGRA~1\BILLPS~1\WINPAT~1\winpatrol.exe
C:\PROGRA~1\ALWILS~1\Avast4\ashDisp.exe
C:\WINDOWS\system32\qttask.exe
C:\Program Files\D-Tools\daemon.exe
C:\WINDOWS\system32\ctfmon.exe
C:\WINDOWS\system32\rundll32.exe
C:\Program Files\Alwil Software\Avast4\aswUpdSv.exe
C:\Program Files\Alwil Software\Avast4\ashServ.exe
C:\Program Files\Kerio\Personal Firewall 4\kpf4ss.exe
C:\Program Files\Common Files\Microsoft Shared\VS7Debug\mdm.exe
C:\WINDOWS\system32\nvsvc32.exe
C:\WINDOWS\System32\svchost.exe
C:\Program Files\Kerio\Personal Firewall 4\kpf4gui.exe
C:\Program Files\Alwil Software\Avast4\ashMaiSv.exe
C:\Program Files\Alwil Software\Avast4\ashWebSv.exe
C:\Program Files\Kerio\Personal Firewall 4\kpf4gui.exe
C:\Program Files\Spybot - Search & Destroy\SpybotSD.exe
C:\Program Files\Alwil Software\Avast4\ashSimpl.exe
D:\HIJACKTHIS\HijackThis.exe

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Bar = http://google.icq.com/search/search_frame.php
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.seznam.cz/
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Local Page =
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Local Page =
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Odkazy
O2 - BHO: Yahoo! Toolbar Helper - {02478D38-C3F9-4EFB-9B51-7695ECA05670} - C:\Program Files\Yahoo!\Companion\Installs\cpn\yt.dll
O2 - BHO: Adobe PDF Reader Link Helper - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Program Files\Adobe\Acrobat 7.0\ActiveX\AcroIEHelper.dll
O2 - BHO: SSVHelper Class - {761497BB-D6F0-462C-B6EB-D4DAF1D92D43} - C:\Program Files\Java\jre1.5.0_06\bin\ssv.dll
O2 - BHO: Google Toolbar Helper - {AA58ED58-01DD-4d91-8333-CF10577473F7} - c:\program files\google\googletoolbar2.dll
O3 - Toolbar: Yahoo! Toolbar - {EF99BD32-C1FB-11D2-892F-0090271D4F88} - C:\Program Files\Yahoo!\Companion\Installs\cpn\yt.dll
O3 - Toolbar: &Google - {2318C2B1-4965-11d4-9B18-009027A5CD4F} - c:\program files\google\googletoolbar2.dll
O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\system32\NvCpl.dll,NvStartup
O4 - HKLM\..\Run: [nwiz] nwiz.exe /install
O4 - HKLM\..\Run: [NvMediaCenter] RUNDLL32.EXE C:\WINDOWS\system32\NvMcTray.dll,NvTaskbarInit
O4 - HKLM\..\Run: [WinPatrol] C:\PROGRA~1\BILLPS~1\WINPAT~1\winpatrol.exe
O4 - HKLM\..\Run: [avast!] C:\PROGRA~1\ALWILS~1\Avast4\ashDisp.exe
O4 - HKLM\..\Run: [QuickTime Task] "C:\WINDOWS\system32\qttask.exe" -atboottime
O4 - HKLM\..\Run: [DAEMON Tools-1033] "C:\Program Files\D-Tools\daemon.exe" -lang 1033
O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\ctfmon.exe
O4 - HKCU\..\Run: [MSMSGS] "C:\Program Files\Messenger\msmsgs.exe" /background
O4 - Global Startup: Adobe Reader Speed Launch.lnk = C:\Program Files\Adobe\Acrobat 7.0\Reader\reader_sl.exe
O4 - Global Startup: Microsoft Office.lnk = C:\Program Files\Microsoft Office\Office10\OSA.EXE
O8 - Extra context menu item: &Google Search - res://c:\program files\google\GoogleToolbar2.dll/cmsearch.html
O8 - Extra context menu item: &Translate English Word - res://c:\program files\google\GoogleToolbar2.dll/cmwordtrans.html
O8 - Extra context menu item: Backward Links - res://c:\program files\google\GoogleToolbar2.dll/cmbacklinks.html
O8 - Extra context menu item: Cached Snapshot of Page - res://c:\program files\google\GoogleToolbar2.dll/cmcache.html
O8 - Extra context menu item: E&xportovat do aplikace Microsoft Excel - res://C:\PROGRA~1\MICROS~2\Office10\EXCEL.EXE/3000
O8 - Extra context menu item: Similar Pages - res://c:\program files\google\GoogleToolbar2.dll/cmsimilar.html
O8 - Extra context menu item: Translate Page into English - res://c:\program files\google\GoogleToolbar2.dll/cmtrans.html
O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\jre1.5.0_06\bin\ssv.dll
O9 - Extra 'Tools' menuitem: Sun Java Console - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\jre1.5.0_06\bin\ssv.dll
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe
O20 - Winlogon Notify: WgaLogon - C:\WINDOWS\SYSTEM32\WgaLogon.dll
O23 - Service: avast! iAVS4 Control Service (aswUpdSv) - Unknown owner - C:\Program Files\Alwil Software\Avast4\aswUpdSv.exe
O23 - Service: avast! Antivirus - Unknown owner - C:\Program Files\Alwil Software\Avast4\ashServ.exe
O23 - Service: avast! Mail Scanner - Unknown owner - C:\Program Files\Alwil Software\Avast4\ashMaiSv.exe" /service (file missing)
O23 - Service: avast! Web Scanner - Unknown owner - C:\Program Files\Alwil Software\Avast4\ashWebSv.exe" /service (file missing)
O23 - Service: Kerio Personal Firewall 4 (KPF4) - Kerio Technologies - C:\Program Files\Kerio\Personal Firewall 4\kpf4ss.exe
O23 - Service: NVIDIA Display Driver Service (NVSvc) - NVIDIA Corporation - C:\WINDOWS\system32\nvsvc32.exe

Zatim dík.

Napsal: 30 čer 2006 21:18
od mijaja
Tak aby ses přes víkend nenudil, vytiskni si tohle a budeš hledat. Nejdříve fixni v Hijackthisu:

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Local Page =
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Local Page =
O4 - HKLM\..\Run: [QuickTime Task] "C:\WINDOWS\system32\qttask.exe" -atboottime

Dej FixChecked. Ale tohle není nic špatného, jen zbytečnosti.
Na WhenU Savenov budeš muset udělat tohle. Otevři si regedit a vyhledej jeho klíče - Nenajdeš je všechny, ale stačí jeden jeho klíč a už ti to mwav hlásí jako infekci. Ale pozor!!! mažeš jen to, co je v pravém okně jako finální rozkliknutí klíče (poslední hodnota za posledním lomítkem :

HKEY_LOCAL_MACHINE\software\microsoft\windows\currentversion\runonce remove at boot 902
HKEY_LOCAL_MACHINE\software\microsoft\windows\currentversion\run savenow

HKEY_CLASSES_ROOT\typelib\{fc327b3f-377b-4cb7-8b61-27cd69816bc3}
HKEY_CLASSES_ROOT\wusn.1 wusn_id
HKEY_CURRENT_USER\software\whenu
HKEY_LOCAL_MACHINE\software\classes\clsid\{9f95f736-0f62-4214-a4b4-caa6738d4c07}
HKEY_LOCAL_MACHINE\software\classes\interface\{c285d18d-43a2-4aef-83fb-bf280e660a97}
HKEY_LOCAL_MACHINE\software\classes\runmsc.loader.1\clsid
HKEY_LOCAL_MACHINE\software\classes\runmsc.loader\clsid
HKEY_LOCAL_MACHINE\software\classes\runmsc.loader\curver
HKEY_LOCAL_MACHINE\software\microsoft\windows\currentversion\app management\arpcache\savenow changed
HKEY_LOCAL_MACHINE\software\microsoft\windows\currentversion\app management\arpcache\savenow slowinfocache
HKEY_LOCAL_MACHINE\software\microsoft\windows\currentversion\app management\arpcache\whenusearch changed
HKEY_LOCAL_MACHINE\software\microsoft\windows\currentversion\app management\arpcache\whenusearch slowinfocache
HKEY_LOCAL_MACHINE\software\microsoft\windows\currentversion\explorer\browser helper objects\{9a9c9b69-f908-4aab-8d0c-10ea8997f37e}
HKEY_LOCAL_MACHINE\software\microsoft\windows\currentversion\moduleusage\c:/winnt/downloaded program files/mirarsetup.exe .owner
HKEY_LOCAL_MACHINE\software\microsoft\windows\currentversion\moduleusage\c:/winnt/downloaded program files/mirarsetup.exe {8a0dcbda-6e20-489c-9041-c1e8a0352e75}
HKEY_LOCAL_MACHINE\software\microsoft\windows\currentversion\moduleusage\c:/winnt/downloaded program files/sndbmark.dll
HKEY_LOCAL_MACHINE\software\microsoft\windows\currentversion\moduleusage\c:/winnt/downloaded program files/sndbmark.dll .owner
HKEY_LOCAL_MACHINE\software\microsoft\windows\currentversion\moduleusage\c:/winnt/system32/windmy.dll .owner
HKEY_LOCAL_MACHINE\software\microsoft\windows\currentversion\moduleusage\c:/winnt/system32/windmy.dll {8a0dcbda-6e20-489c-9041-c1e8a0352e75}
HKEY_LOCAL_MACHINE\software\microsoft\windows\currentversion\run savenow
HKEY_LOCAL_MACHINE\software\microsoft\windows\currentversion\runonce remove at boot 902
HKEY_LOCAL_MACHINE\software\microsoft\windows\currentversion\shareddlls c:\winnt\downloaded program files\conflict.1\sndbmark.dll
HKEY_LOCAL_MACHINE\software\microsoft\windows\currentversion\shareddlls c:\winnt\downloaded program files\sndbmark.dll
HKEY_LOCAL_MACHINE\software\microsoft\windows\currentversion\uninstall\gdivx
HKEY_LOCAL_MACHINE\software\microsoft\windows\currentversion\uninstall\savenow
HKEY_LOCAL_MACHINE\software\microsoft\windows\currentversion\uninstall\savenow displayicon
HKEY_LOCAL_MACHINE\software\microsoft\windows\currentversion\uninstall\savenow displayname
HKEY_LOCAL_MACHINE\software\microsoft\windows\currentversion\uninstall\savenow displayversion
HKEY_LOCAL_MACHINE\software\microsoft\windows\currentversion\uninstall\savenow helplink
HKEY_LOCAL_MACHINE\software\microsoft\windows\currentversion\uninstall\savenow publisher
HKEY_LOCAL_MACHINE\software\microsoft\windows\currentversion\uninstall\savenow uninstallstring
HKEY_LOCAL_MACHINE\software\microsoft\windows\currentversion\uninstall\savenow urlinfoabout
HKEY_LOCAL_MACHINE\software\whenu
HKEY_LOCAL_MACHINE\software\whenusave\partners
HKEY_LOCAL_MACHINE\software\whenusave\partners\wusv
HKEY_USERS\.default\software\whenu
HKEY_CLASSES_ROOT\acm.acmfactory
HKEY_CLASSES_ROOT\acm.acmfactory.1
HKEY_CLASSES_ROOT\acm.acmfactory.1\clsid
HKEY_CLASSES_ROOT\acm.acmfactory\clsid
HKEY_CLASSES_ROOT\acm.acmfactory\curver
HKEY_CLASSES_ROOT\appid\{127df9b4-d75d-44a6-af78-8c3a8ceb03db}
HKEY_CLASSES_ROOT\appid\acm.dll
HKEY_CLASSES_ROOT\clsid\{a9aae1ab-9688-42c5-86f5-c12f6b9015ad}
HKEY_CLASSES_ROOT\clsid\{a9aae1ab-9688-42c5-86f5-c12f6b9015ad}\inprocserver32
HKEY_CLASSES_ROOT\clsid\{a9aae1ab-9688-42c5-86f5-c12f6b9015ad}\progid
HKEY_CLASSES_ROOT\clsid\{a9aae1ab-9688-42c5-86f5-c12f6b9015ad}\typelib
HKEY_CLASSES_ROOT\clsid\{a9aae1ab-9688-42c5-86f5-c12f6b9015ad}\versionindependentprogid
HKEY_CLASSES_ROOT\clsid\{c285d18d-43a2-4aef-83fb-bf280e660a97}
HKEY_CLASSES_ROOT\clsid\{e2f2b9d0-96b9-4b25-b90c-636ecb207d18}
HKEY_CLASSES_ROOT\clsid\{fee7fd53-3356-4d4d-8978-2c4ae3a7e109}
HKEY_CLASSES_ROOT\interface\{43382522-a846-46f4-ac57-1f71ae6e1086}
HKEY_CLASSES_ROOT\interface\{43382522-a846-46f4-ac57-1f71ae6e1086}\proxystubclsid
HKEY_CLASSES_ROOT\interface\{43382522-a846-46f4-ac57-1f71ae6e1086}\proxystubclsid32
HKEY_CLASSES_ROOT\interface\{43382522-a846-46f4-ac57-1f71ae6e1086}\typelib
HKEY_CLASSES_ROOT\interface\{572fb162-c0ba-4edf-8cff-e3846153b9b0}
HKEY_CLASSES_ROOT\interface\{572fb162-c0ba-4edf-8cff-e3846153b9b0}\proxystubclsid
HKEY_CLASSES_ROOT\interface\{572fb162-c0ba-4edf-8cff-e3846153b9b0}\proxystubclsid32
HKEY_CLASSES_ROOT\interface\{572fb162-c0ba-4edf-8cff-e3846153b9b0}\typelib
HKEY_CLASSES_ROOT\interface\{72a836d1-bc00-43c0-a941-17960e4fb842}
HKEY_CLASSES_ROOT\interface\{72a836d1-bc00-43c0-a941-17960e4fb842}\proxystubclsid
HKEY_CLASSES_ROOT\interface\{72a836d1-bc00-43c0-a941-17960e4fb842}\proxystubclsid32
HKEY_CLASSES_ROOT\interface\{72a836d1-bc00-43c0-a941-17960e4fb842}\typelib
HKEY_CLASSES_ROOT\typelib\{df901432-1b9f-4f5b-9e56-301c553f9095}\1.0
HKEY_CLASSES_ROOT\typelib\{df901432-1b9f-4f5b-9e56-301c553f9095}\1.0\0\win32
HKEY_CLASSES_ROOT\typelib\{df901432-1b9f-4f5b-9e56-301c553f9095}\1.0\flags
HKEY_CLASSES_ROOT\typelib\{df901432-1b9f-4f5b-9e56-301c553f9095}\1.0\helpdir
HKEY_CLASSES_ROOT\typelib\{e2f2b9d0-96b9-4b25-b90c-636ecb207d18}

Možná bude lepší, než abys vymazal něco nepatřičného, když ty klíče, které najdeš zkopíruješ sem a už se poradíme (klikni pravým na tu hodnotu a dej zkopírovat název klíče a on se celý zkopne sem).

A to automatické spouštění internetu - zkus do nabídky start > programy > po spuštění - zkopírovat ikonku browseru, kterou máš na ploše.

Napsal: 30 čer 2006 21:49
od Blaža
Pěkně děkuju. Ještě mi prosím tě řekni kde ten REGEDIT najdu

Napsal: 30 čer 2006 22:06
od Blaža
REGEDIT už mám, je to pěkný. S tím víkendem jsi měl asi pravdu. :o

Napsal: 01 črc 2006 22:25
od Blaža
Tuten jsem našel, ale nevím co s tím dál, dal jsem zkopírovat potom vložit ale nevím jestli je to správně. :oops:

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\Interface\{C285D18D-43A2-4AEF-83FB-BF280E660A97}

pod tutim

HKEY_LOCAL_MACHINE\software\microsoft\windows\currentversion\app management\arpcache\savenow changed

je jenom tuto :

HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\App Management\ARPCache\Warcraft III Demo


Nic jinýho jsem nenašel. HRŮZA !! :evil:

Napsal: 02 črc 2006 16:16
od mijaja
Takže ty první dva klíče (červené hodnoty) vymaž :

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\Interface\{C285D18D-43A2-4AEF-83FB-BF280E660A97} -
HKEY_LOCAL_MACHINE\software\microsoft\windows\currentversion\app management\arpcache\savenow changed

Tohle ({C285D18D-43A2-4AEF-83FB-BF280E660A97})bude jen v levém okně regeditu - označ a dej Delete, ten druhý bude v pravém okně - udělej to samé.

Napsal: 02 črc 2006 16:26
od Blaža
HKEY_LOCAL_MACHINE\software\microsoft\windows\currentversion\app management\arpcache\savenow changed

Tuten jsem nenašel. Je tady jen tuten, ale ten je asi v pohodě, nebo ne ? :

HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\App Management\ARPCache\Warcraft III Demo

Napsal: 02 črc 2006 17:10
od mijaja
Ten z Warcraftu nemaž, Jestli jsi nenašel už nic, tak bys tam snad už nemusel mít nic z toho svinstva.

Záznam z mwavu mluvil jen o přítomnosti v registrech. ale jestli chceš, podívej se i po těchto souborech - na téhle stránce - v dolní části jsou roletky s Executable Files, DLL Files, obyč. soubory a adresáře - patřící k tomuto šmejdu. Osobně bych si z toho už nic nedělal, ale jestli chceš hledat..... Přeju pevné nervy.
:x

Napsal: 02 črc 2006 17:22
od Blaža
Pokud je to tak jak říkáš, tak se na to můžu klidně vy..... Mám toho už plný zuby. Dík moc. :wink:

Napsal: 02 črc 2006 17:28
od mijaja
No můj první šílený nápad byl zkopírovat ten seznam souborů sem, :D , ale pak jsem to zase vymazal (posuvná lišta byla jen dva milimetry velká!!!), protože bys u toho dospěl a zestárnul. :twisted: A jelikož je mizivé procento, že bys z toho ještě něco našel, tak to raděj nechej být. :x

Napsal: 02 črc 2006 18:37
od Blaža
Nevim co přesně myslíš, ale určitě máš pravdu. :number1:

Napsal: 02 črc 2006 19:41
od mijaja
Tím myslím, že pokud bys měl v kompu některý z těch souborů (bylo jich tam asi tisíc). tak by jej mwav označil i s cestou k němu. Jelikož to neudělal, tak tam ty soubory nejsou - doufám, že jsi měl mwav aktualizovaný a nastaveno skenování všech souborů!

No a protože jsi sem dal jen zápisy o WhenU save jen jako záznamy v registrech a ne celé soubory, tak je hledat nebudem.
Časové pásmo: UTC+02:00
Stránka 1 z 1
Powered by phpBB® Forum Software © phpBB Limited
https://www.phpbb.com/