log z MWAV (vyřešeno)

[Hufino]

Ahoj lidičky.Prosím o pomoc.Po projetí PC mwavem se mi tam objevilo (kromě jiných šmejdů i toto :

Object "linkreplacer Spyware/Adware" found in File System! Action Taken: No Action Taken.

Nevíte někdo co to je a co s tím? Díky za cokoliv
Hufino

[Reklama]

[mijaja]

Jestli tam máš jen tohle, tak si můžeš gratulovat. Ten tvůj šmejd je vázán na určité soubory, tak se podívej do kompu, jestli tam nemáš některý z těchto souborů (nebo všechny):

%Windows%\Xhrmy.exe
%System%\lmf32.dll,
%System%\lmf32v.dll
%System%\PreUninstall.exe
%System%\uninst.exe
%System%\Uninst.log
tray.exe - kdekoliv na disku
communicator.dll - kdekoliv

Jestli je najdeš (pozor na umístnění), zkontroluj je na Jottiscanu. A měj nastavené zobrazování skrytých a systémových souborů.

[seitec]

kdyz sem odvirovaval kamosuv komp tak stacilo akorat na tohle nainstalovat ad-aware projet registry ccleaner.

[Hufino]

Tak jsem ty soubory nenašel, vyčistil jsem registry, ale je tam pořád.

Hufino

[mijaja]

Tak pošli log z HJT, uvidíme, jestli je aktivní nebo ne. Projevuje se to nějak?

[Hufino]

Začala mi vyskakovat v IE lišta YAHOO.
Hufino

[mijaja]

Ta se dá v HJT vypnout, tak to udělej, nebo dej ten log.

[Hufino]

Logfile of HijackThis v1.99.1
Scan saved at 9:15:04, on 7.4.2006
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\LEXBCES.EXE
C:\WINDOWS\system32\spoolsv.exe
C:\WINDOWS\system32\LEXPPS.EXE
C:\Program Files\Eset\nod32krn.exe
C:\WINDOWS\System32\nvsvc32.exe
C:\WINDOWS\Explorer.EXE
C:\WINDOWS\system32\RUNDLL32.EXE
C:\Program Files\Java\jre1.5.0_06\bin\jusched.exe
C:\Program Files\D-Tools\daemon.exe
C:\Program Files\SlySoft\CloneCD\CloneCDTray.exe
C:\Program Files\Hewlett-Packard\Toolbox2.0\Apache Tomcat 4.0\webapps\Toolbox\StatusClient\StatusClient.exe
C:\WINDOWS\system32\LXSUPMON.EXE
C:\Program Files\Eset\nod32kui.exe
C:\WINDOWS\system32\ctfmon.exe
C:\Program Files\Skype\Phone\Skype.exe
C:\Program Files\InterVideo\Common\Bin\WinCinemaMgr.exe
C:\Program Files\Hewlett-Packard\Toolbox2.0\Javasoft\JRE\1.3.1\bin\javaw.exe
C:\Pracovni\Internet\TClock\TClock.exe
C:\totalcmd\TOTALCMD.EXE
c:\Pracovni\Internet\Hijack\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.seznam.cz
R1 - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings,ProxyServer = 192.9.220.250:8000
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Odkazy
O2 - BHO: Yahoo! Toolbar Helper - {02478D38-C3F9-4EFB-9B51-7695ECA05670} - C:\Program Files\Yahoo!\Companion\Installs\cpn\yt.dll
O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Program Files\Adobe\Acrobat 5.0 CE\Reader\ActiveX\AcroIEHelper.ocx
O2 - BHO: SSVHelper Class - {761497BB-D6F0-462C-B6EB-D4DAF1D92D43} - C:\Program Files\Java\jre1.5.0_06\bin\ssv.dll
O3 - Toolbar: &Seznam Bezpečný Internet - {B71B15CE-3093-459C-B764-AEB2486F2273} - C:\Program Files\Seznam Bezpecny Internet\SBI.dll
O3 - Toolbar: Yahoo! Toolbar - {EF99BD32-C1FB-11D2-892F-0090271D4F88} - C:\Program Files\Yahoo!\Companion\Installs\cpn\yt.dll
O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\System32\NvCpl.dll,NvStartup
O4 - HKLM\..\Run: [nwiz] nwiz.exe /install
O4 - HKLM\..\Run: [NvMediaCenter] RUNDLL32.EXE C:\WINDOWS\System32\NvMcTray.dll,NvTaskbarInit
O4 - HKLM\..\Run: [NeroFilterCheck] C:\WINDOWS\system32\NeroCheck.exe
O4 - HKLM\..\Run: [SeznamAntidialer] C:\Program Files\Seznam Bezpecny Internet\SBIAntiDialer.exe
O4 - HKLM\..\Run: [SunJavaUpdateSched] C:\Program Files\Java\jre1.5.0_06\bin\jusched.exe
O4 - HKLM\..\Run: [DAEMON Tools-1033] "C:\Program Files\D-Tools\daemon.exe" -lang 1029
O4 - HKLM\..\Run: [CloneCDTray] "C:\Program Files\SlySoft\CloneCD\CloneCDTray.exe" /s
O4 - HKLM\..\Run: [StatusClient] C:\Program Files\Hewlett-Packard\Toolbox2.0\Apache Tomcat 4.0\webapps\Toolbox\StatusClient\StatusClient.exe /auto
O4 - HKLM\..\Run: [TomcatStartup] C:\Program Files\Hewlett-Packard\Toolbox2.0\hpbpsttp.exe
O4 - HKLM\..\Run: [LXSUPMON] C:\WINDOWS\system32\LXSUPMON.EXE RUN
O4 - HKLM\..\Run: [JobHisInit] C:\Program Files\RMClient\JobHisInit.exe
O4 - HKLM\..\Run: [MplSetUp] C:\Program Files\RMClient\MplSetUp.exe
O4 - HKLM\..\Run: [Ad-aware] "c:\Program Files\Lavasoft\Ad-aware 6\Ad-aware.exe" +c
O4 - HKLM\..\Run: [nod32kui] "C:\Program Files\Eset\nod32kui.exe" /WAITSERVICE
O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\ctfmon.exe
O4 - HKCU\..\Run: [Skype] "C:\Program Files\Skype\Phone\Skype.exe" /nosplash /minimized
O4 - Startup: Back2zip.lnk = C:\Documents and Settings\husek.BROD.000\Dokumenty\AvatarSoft\Back2zip\Back2zip.exe
O4 - Startup: TClock.lnk = C:\Pracovni\Internet\TClock\TClock.exe
O4 - Global Startup: EPSON Status Monitor 3 Environment Check 2.lnk = C:\WINDOWS\system32\spool\drivers\w32x86\3\E_SRCV02.EXE
O4 - Global Startup: InterVideo WinCinema Manager.lnk = C:\Program Files\InterVideo\Common\Bin\WinCinemaMgr.exe
O4 - Global Startup: Microsoft Office.lnk = C:\Program Files\Microsoft Office\Office\OSA9.EXE
O8 - Extra context menu item: &Přelož do češtiny - res://C:\Program Files\Seznam Bezpecny Internet\SBI.dll/5034
O8 - Extra context menu item: Hledej v &Seznamu - res://C:\Program Files\Seznam Bezpecny Internet\SBI.dll/5033
O8 - Extra context menu item: Hledej v Seznam &Fulltextu - res://C:\Program Files\Seznam Bezpecny Internet\SBI.dll/5035
O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\jre1.5.0_06\bin\ssv.dll
O9 - Extra 'Tools' menuitem: Sun Java Console - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\jre1.5.0_06\bin\ssv.dll
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe
O16 - DPF: {1F831FA2-42FC-11D4-95A6-0080AD30DCE1} (NOXLATE) - file://C:\Program Files\AutoCAD LT 2000\InstFred.ocx
O16 - DPF: {50E43D86-A74D-11D0-98CE-004005249458} (AnimatedGif Control) - https://www.mojebanka.cz/jars/confwiz/MVSGif.cab
O16 - DPF: {6414512B-B978-451D-A0D8-FCFDF33E833C} (WUWebControl Class) - http://update.microsoft.com/windowsupda ... 3691635609
O16 - DPF: {78AF2F24-A9C3-11D3-BF8C-0060B0FCC122} (Ovládací prvek AcDcToday) - file://C:\Program Files\AutoCAD LT 2000\AcDcToday.ocx
O16 - DPF: {F281A59C-7B65-11D3-8617-0010830243BD} (Prvek AcPreview) - file://C:\Program Files\AutoCAD LT 2000\AcPreview.ocx
O17 - HKLM\System\CCS\Services\Tcpip\Parameters: Domain = brod.local
O17 - HKLM\Software\..\Telephony: DomainName = brod.local
O17 - HKLM\System\CCS\Services\Tcpip\..\{C1E7A338-4D3A-46B4-9807-82F4D3CCEFF7}: NameServer = 192.9.220.100
O17 - HKLM\System\CS1\Services\Tcpip\Parameters: Domain = brod.local
O17 - HKLM\System\CS2\Services\Tcpip\Parameters: Domain = brod.local
O17 - HKLM\System\CS3\Services\Tcpip\Parameters: Domain = brod.local
O23 - Service: LexBce Server (LexBceS) - Lexmark International, Inc. - C:\WINDOWS\system32\LEXBCES.EXE
O23 - Service: NOD32 Kernel Service (NOD32krn) - Unknown owner - C:\Program Files\Eset\nod32krn.exe
O23 - Service: NVIDIA Display Driver Service (NVSvc) - NVIDIA Corporation - C:\WINDOWS\System32\nvsvc32.exe
O23 - Service: Pml Driver HPZ12 - HP - C:\WINDOWS\system32\HPZipm12.exe



A ještě po zavření prohlížeče se mi 49x otevře prohlížeč znova, ale jenom když zavřu stránky s PC-Help.

Hufino

[mijaja]

No je tam, tak fixni:

O2 - BHO: Yahoo! Toolbar Helper - {02478D38-C3F9-4EFB-9B51-7695ECA05670} - C:\Program Files\Yahoo!\Companion\Installs\cpn\yt.dll

Jinak ten šmejd z mwavu aktivní není. V tom jeho logu se už nikde jinde nic nevyskytovalo? Projdi si ho pořádně. Jestli ne, tak by to bylo všechno v pořádku. Tady mi nesedí jen dvě věci - Máš doma lokální síť:
O17 - HKLM\System\CS1\Services\Tcpip\Parameters: Domain = brod.local
Jestli jo, tak je to v pořádku, jestli ne, tak fixuj.

A druhá věc, zkontroluj si tento soft na Jottiscanu:
C:\Documents and Settings\husek.BROD.000\Dokumenty\AvatarSoft\Back2zip\Back2zip.exe

[Hufino]

Síť je v pořádku.Už jsem se díval na popis odstranění toho linkera,ale nikde jsem v PC nenašel ty soubory a ani v registrech nic není.Zkusím ten back2zip.exe.Zatím díky.
Hufino

[mijaja]

To jen pro kontrolu. Ale jak se teď chová komp?

[Hufino]

Zajímavé je, že ten adresář C:\Documents and Settings\husek.BROD.000\Dokumenty\AvatarSoft\Back2zip\Back2zip.exe neexistuje.
Hufino