PC-HELP.CZ

Po kontrolách ostatními AV prostředky a možná že je tam spousta smetí navíc. A zřejmě v této činnosti budeme pokračovat zítra odpol.snad.

Mwaw
Sun Oct 29 19:28:43 2006 => Offending value found in HKLM\Software\Licenses: {k7c0db872a3f777c0} !!!
Sun Oct 29 19:29:03 2006 => Object "spywarestrike Trojan" found in File System! Action Taken: No Action Taken.

Sun Oct 29 19:29:04 2006 => Offending file found: C:\WINDOWS\gpinstall.exe
Sun Oct 29 19:29:04 2006 => System found infected with conducent flexpak Spyware/Adware (gpinstall.exe)! Action taken: No Action Taken.

Hijack
Logfile of HijackThis v1.99.1
Scan saved at 21:45:39, on 29.10.2006
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\Explorer.EXE
C:\WINDOWS\system32\brsvc01a.exe
C:\WINDOWS\system32\spoolsv.exe
C:\WINDOWS\system32\brss01a.exe
C:\PROGRA~1\ALWILS~1\Avast4\ashDisp.exe
C:\PROGRA~1\SCROLL~1\MouseElf.EXE
C:\Program Files\Java\jre1.5.0_06\bin\jusched.exe
C:\Program Files\ScanSoft\PaperPort\pptd40nt.exe
C:\WINDOWS\system32\ctfmon.exe
C:\Program Files\Brother\Brmfcmon\BrMfcWnd.exe
C:\Program Files\Alwil Software\Avast4\aswUpdSv.exe
C:\Program Files\Alwil Software\Avast4\ashServ.exe
C:\WINDOWS\system32\Mx-3 B-Cup Service.exe
C:\WINDOWS\system32\nvsvc32.exe
C:\WINDOWS\system32\svchost.exe
C:\Program Files\Alwil Software\Avast4\ashMaiSv.exe
C:\Program Files\Alwil Software\Avast4\ashWebSv.exe
C:\Program Files\Spyware Terminator\SpywareTerminatorShield.exe
C:\WINDOWS\system32\notepad.exe
C:\Program Files\HijackThis.exe

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Bar = http://google.icq.com/search/search_frame.php
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = http://google.icq.com
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Local Page =
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Odkazy
R3 - URLSearchHook: (no name) - {855F3B16-6D32-4fe6-8A56-BBB695989046} - (no file)
O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Program Files\Adobe\Acrobat 7.0\ActiveX\AcroIEHelper.dll
O2 - BHO: SSVHelper Class - {761497BB-D6F0-462C-B6EB-D4DAF1D92D43} - C:\Program Files\Java\jre1.5.0_06\bin\ssv.dll
O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\system32\NvCpl.dll,NvStartup
O4 - HKLM\..\Run: [nwiz] nwiz.exe /install
O4 - HKLM\..\Run: [NvMediaCenter] RUNDLL32.EXE C:\WINDOWS\system32\NvMcTray.dll,NvTaskbarInit
O4 - HKLM\..\Run: [avast!] C:\PROGRA~1\ALWILS~1\Avast4\ashDisp.exe
O4 - HKLM\..\Run: [mouseElf] C:\PROGRA~1\SCROLL~1\MouseElf.EXE
O4 - HKLM\..\Run: [Siemens SmartSync - ScheduleSync] C:\PROGRA~1\MOBILE~1\SMARTS~1\SCHEDU~1.EXE
O4 - HKLM\..\Run: [SpywareTerminator] "C:\Program Files\Spyware Terminator\SpywareTerminatorShield.exe"
O4 - HKLM\..\Run: [SunJavaUpdateSched] C:\Program Files\Java\jre1.5.0_06\bin\jusched.exe
O4 - HKLM\..\Run: [SSBkgdUpdate] "C:\Program Files\Common Files\Scansoft Shared\SSBkgdUpdate\SSBkgdupdate.exe" -Embedding -boot
O4 - HKLM\..\Run: [PaperPort PTD] C:\Program Files\ScanSoft\PaperPort\pptd40nt.exe
O4 - HKLM\..\Run: [IndexSearch] C:\Program Files\ScanSoft\PaperPort\IndexSearch.exe
O4 - HKLM\..\Run: [SetDefPrt] C:\Program Files\Brother\Brmfl05a\BrStDvPt.exe
O4 - HKLM\..\Run: [ControlCenter2.0] C:\Program Files\Brother\ControlCenter2\brctrcen.exe /autorun
O4 - HKLM\..\Run: [NeroFilterCheck] C:\WINDOWS\system32\NeroCheck.exe
O4 - HKLM\..\Run: [LGODDFU] "C:\Program Files\lg_fwupdate\fwupdate.exe" blrun
O4 - HKCU\..\Run: [ctfmon.exe] C:\WINDOWS\system32\ctfmon.exe
O4 - HKCU\..\RunOnce: [ICQ Lite] C:\Program Files\ICQLite\ICQLite.exe -trayboot
O4 - Global Startup: Adobe Reader Speed Launch.lnk = C:\Program Files\Adobe\Acrobat 7.0\Reader\reader_sl.exe
O4 - Global Startup: Status Monitor.lnk = C:\Program Files\Brother\Brmfcmon\BrMfcWnd.exe
O8 - Extra context menu item: &ICQ Toolbar Search - res://C:\Program Files\ICQToolbar\toolbaru.dll/SEARCH.HTML
O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\jre1.5.0_06\bin\ssv.dll
O9 - Extra 'Tools' menuitem: Sun Java Console - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\jre1.5.0_06\bin\ssv.dll
O9 - Extra button: ICQ Lite - {B863453A-26C3-4e1f-A54D-A2CD196348E9} - C:\Program Files\ICQLite\ICQLite.exe
O9 - Extra 'Tools' menuitem: ICQ Lite - {B863453A-26C3-4e1f-A54D-A2CD196348E9} - C:\Program Files\ICQLite\ICQLite.exe
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe
O20 - Winlogon Notify: WgaLogon - C:\WINDOWS\SYSTEM32\WgaLogon.dll
O21 - SSODL: WPDShServiceObj - {AAA288BA-9A4C-45B0-95D7-94D524869DB5} - C:\WINDOWS\system32\WPDShServiceObj.dll
O23 - Service: avast! iAVS4 Control Service (aswUpdSv) - Unknown owner - C:\Program Files\Alwil Software\Avast4\aswUpdSv.exe
O23 - Service: avast! Antivirus - Unknown owner - C:\Program Files\Alwil Software\Avast4\ashServ.exe
O23 - Service: avast! Mail Scanner - Unknown owner - C:\Program Files\Alwil Software\Avast4\ashMaiSv.exe" /service (file missing)
O23 - Service: avast! Web Scanner - Unknown owner - C:\Program Files\Alwil Software\Avast4\ashWebSv.exe" /service (file missing)
O23 - Service: BrSplService (Brother XP spl Service) - brother Industries Ltd - C:\WINDOWS\system32\brsvc01a.exe
O23 - Service: MX-3 B-Cup XP (Mx-3 B-Cup Service) - Unknown owner - C:\WINDOWS\system32\Mx-3 B-Cup Service.exe" s (file missing)
O23 - Service: NVIDIA Display Driver Service (NVSvc) - NVIDIA Corporation - C:\WINDOWS\system32\nvsvc32.exe

No Jeníčku, nemáš tam nic aktivně škodlivého, ale příliš velkou důvěru ve mně nevzbuzují soubory od Brother Industries Ltd - v jednom topicu se tady řešily jeho softy stažené z netu, které byly plné virů. Jestli máš orig.CD s ovladači, mohlo by to být v pořádku. Jestli jsi je stahoval, raději celý soft od Brother Industries Ltd zkontroluj na Jotti.

Ten nález MWAVu pochopitelně smaž:

C:\WINDOWS\gpinstall.exe
HKLM\Software\Licenses: {k7c0db872a3f777c0}

Potom popřemýšlíme, co dál.

Jen ještě než to gpinstal.exe smažu ... mám tucha že to je nějaká malího hra. Jedná se pouze o instalační utilitu nebo po odmazání lehne celá hra. Protože pokud bych mu to smazáním toho souboru zbořil celé je lepší celou hru odinstalovat a provést čištění registrů.

No Jeníčku ten gpinstal.exe není ze žádné hry - k čemu patří, by ti mohli říct ti co mluví eskymácky.

Jinak na té stránce si můžeš stáhnout i nový soubor a nahradit ten zavirovaný. Zkontroloval jsem ho po stažení na Virustotalu a tady máš výsledek:

Mno dík za snahu já nevím nic mi to neříká tak půjde ven. a pustíme se do toho zbytku. Pořád se mi mrcha pc zpomaluje až zatuhává tak se podíváme co bychom pro něj mohli udělat a pak dořeším další rozdělaná témata mám tu asi ještě 2.
Nejprve vymažeme co jsme včera našli a ze zvědavosti sem nainstaloval Speed - O - Meter už to hlásilo chybu tak půjde ven pak znovu pročistím registry a spustím AD ware a ozvuse.

Jejda už sem tu zas Toho trojana nemůžu najít když dám do hledání "HKLM" vyběhne na mne nějakej soubor z RegScrube nebo jak se ten prográmek na to čištění menuje a to se mi zdá býti podezřelé jinak naštěstí mám pevné připojení.

Tohle vyhazuju za pomoci adware každej den:

Spuštěna kontrola cookies
»»»»»»»»»»»»»»»»»»»»»»»»»»»»»»»»»»»»»»


Tracking Cookie - Byl poznán objekt!
Typ : IECache Entry
Data : správce@2o7[2].txt
Hodnocení TAC : 3
Kategorie : Data Miner
Poznámka : Hits:4
Hodnota : Cookie:správce@2o7.net/
Expires : 29.10.2011 16:18:50
LastSync : Hits:4
UseCount : 0
Hits : 4

Tracking Cookie - Byl poznán objekt!
Typ : IECache Entry
Data : správce@rambler[2].txt
Hodnocení TAC : 3
Kategorie : Data Miner
Poznámka : Hits:3
Hodnota : Cookie:správce@rambler.ru/
Expires : 1.1.2008 1:00:00
LastSync : Hits:3
UseCount : 0
Hits : 3

Výsledek kontroly cookies
»»»»»»»»»»»»»»»»»»»»»»»»»»»»»»»»»»»»»»
Nové kritické objekty: 2
Doposud nalezené objekty: 2

Dá se s tim něco udělat.

To jsou cookies od stránek, kam jsi strkal nos. Zvláště správce@rambler.ru

Tohle bych zkopíroval do zakázaných stránek firewallu, aby to nepropouštěl a potom mazat!

Hele zeptám se po lamovsku start..nastavení..brána firewal Woken a kam dál a zadat co to si tu napsal červeně nebo internetovou adresu.

Jeníčku, žádná brána firewall woken ale poctivé Kerio, ZoneAlarm nebo Outpost atd. Do wokenního firewallu nenastavíš adresy na blokování.

Já vedět ty se zlobit ale ja lama něco najít a snad mě to chodila Start .. nastavení .. možnosti internetu ... záložka zabezpečení .. klik servery s omezeným přístupem ... Klik tlačítko servery a zapsat adresu a klik přidat.

To je sice taky možnost, ale není tak spolehlivá jak firewall.