Extrémě pomalé PC - vir Adware.Navhelper.D ?!

Sekce věnovaná virům a jiným škodlivým kódům, rovněž ale nástrojům, kterým se lze proti nim bránit…

Moderátoři: Mods_senior, Security team

Odpovědět
Joony
Level 1.5
Level 1.5
Příspěvky: 108
Registrován: duben 07
Pohlaví: Muž
Stav:
Offline

Příspěvekod Joony » 10 kvě 2007 11:28

Baron Prášil píše:použij MWAV
klikni na Scan & Clean začne scanování.Co najde to odstraní.


No... našel... a odstranil. Ale taky smáz winlogon nebo nějak tak, takže se mi comp pak už vůbec nezap. Musel sem to celý přeinstalovat. Tomu řikám důkladnost :smile:
Nahoru
Reklama
Top
Joony
Level 1.5
Level 1.5
Příspěvky: 108
Registrován: duben 07
Pohlaví: Muž
Stav:
Offline

Příspěvekod Joony » 10 kvě 2007 11:34

No a když už tu sem... tak už zas nechodí...
Asi nějaká breberka nebo že by se tam zas něco navzájem mlátilo?!
Po startu pc žere svchost.exe skoro 100%.
Log here:

Logfile of HijackThis v1.99.1
Scan saved at 16:14:25, on 9.5.2007
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v7.00 (7.00.6000.16414)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\Program Files\Windows Defender\MsMpEng.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\system32\spoolsv.exe
C:\WINDOWS\system32\cisvc.exe
C:\WINDOWS\system32\inetsrv\inetinfo.exe
C:\Program Files\Nero\Nero 7\InCD\InCDsrv.exe
C:\Program Files\Eset\nod32krn.exe
C:\WINDOWS\system32\nvsvc32.exe
C:\WINDOWS\system32\tcpsvcs.exe
C:\WINDOWS\System32\snmp.exe
C:\WINDOWS\system32\wuauclt.exe
C:\WINDOWS\Explorer.EXE
C:\WINDOWS\system32\wuauclt.exe
C:\WINDOWS\mHotkey.exe
C:\WINDOWS\system32\spool\drivers\w32x86\3\hpztsb03.exe
C:\Program Files\ConMet\ConMet.exe
C:\Program Files\VIA\VIAudioi\SBADeck\ADeck.exe
C:\WINDOWS\system32\rundll32.exe
C:\Program Files\BOINC\boincmgr.exe
C:\Program Files\Nero\Nero 7\InCD\NBHGui.exe
C:\Program Files\Nero\Nero 7\InCD\InCD.exe
C:\Program Files\Eset\nod32kui.exe
C:\Program Files\QuickTime\qttask.exe
C:\WINDOWS\system32\ctfmon.exe
C:\Program Files\BOINC\boinc.exe
C:\Program Files\Spybot - Search & Destroy\TeaTimer.exe
C:\Program Files\Common Files\Ahead\Lib\NMBgMonitor.exe
C:\Program Files\ICQLite\ICQLite.exe
C:\Program Files\Adobe\Reader 8.0\Reader\reader_sl.exe
C:\WINDOWS\system32\taskmgr.exe
C:\Program Files\Common Files\Ahead\Lib\NMIndexingService.exe
C:\Program Files\Common Files\Ahead\Lib\NMIndexStoreSvr.exe
C:\WINDOWS\system32\cidaemon.exe
C:\WINDOWS\system32\cidaemon.exe
C:\Program Files\BOINC\projects\www.worldcommunitygrid.org\wcg_faah_autodock_5.28_windows_intelx86
C:\Program Files\Skype\Phone\Skype.exe
C:\Documents and Settings\Admin\Plocha\hijackthis\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.seznam.cz
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://go.microsoft.com/fwlink/?LinkId=69157
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://go.microsoft.com/fwlink/?LinkId=54896
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = http://go.microsoft.com/fwlink/?LinkId=54896
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = http://go.microsoft.com/fwlink/?LinkId=69157
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Odkazy
R3 - URLSearchHook: Yahoo! Toolbar - {EF99BD32-C1FB-11D2-892F-0090271D4F88} - C:\Program Files\Yahoo!\Companion\Installs\cpn\yt.dll
O2 - BHO: Yahoo! Toolbar Helper - {02478D38-C3F9-4EFB-9B51-7695ECA05670} - C:\Program Files\Yahoo!\Companion\Installs\cpn\yt.dll
O2 - BHO: Podpora odkazu pro Adobe PDF Reader - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Program Files\Common Files\Adobe\Acrobat\ActiveX\AcroIEHelper.dll
O2 - BHO: Megaupload Toolbar - {4E7BD74F-2B8D-469E-CCB0-B130EEDBE97C} - C:\PROGRA~1\MEGAUP~1\MEGAUP~1.DLL
O2 - BHO: (no name) - {53707962-6F74-2D53-2644-206D7942484F} - C:\PROGRA~1\SPYBOT~1\SDHelper.dll
O2 - BHO: SSVHelper Class - {761497BB-D6F0-462C-B6EB-D4DAF1D92D43} - C:\Program Files\Java\jre1.5.0_09\bin\ssv.dll
O2 - BHO: (no name) - {7E853D72-626A-48EC-A868-BA8D5E23E045} - (no file)
O3 - Toolbar: Megaupload Toolbar - {4E7BD74F-2B8D-469E-CCB0-B130EEDBE97C} - C:\PROGRA~1\MEGAUP~1\MEGAUP~1.DLL
O3 - Toolbar: Yahoo! Toolbar - {EF99BD32-C1FB-11D2-892F-0090271D4F88} - C:\Program Files\Yahoo!\Companion\Installs\cpn\yt.dll
O4 - HKLM\..\Run: [CHotkey] mHotkey.exe
O4 - HKLM\..\Run: [HPDJ Taskbar Utility] C:\WINDOWS\system32\spool\drivers\w32x86\3\hpztsb03.exe
O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\system32\NvCpl.dll,NvStartup
O4 - HKLM\..\Run: [nwiz] nwiz.exe /install
O4 - HKLM\..\Run: [ConMet] C:\Program Files\ConMet\ConMet.exe
O4 - HKLM\..\Run: [AudioDeck] C:\Program Files\VIA\VIAudioi\SBADeck\ADeck.exe 1
O4 - HKLM\..\Run: [EasyTuneV] C:\Program Files\Gigabyte\ET5\ETcall.exe
O4 - HKLM\..\Run: [BOINC Manager] "C:\Program Files\BOINC\boincmgr.exe" /s
O4 - HKLM\..\Run: [SecurDisc] C:\Program Files\Nero\Nero 7\InCD\NBHGui.exe
O4 - HKLM\..\Run: [InCD] C:\Program Files\Nero\Nero 7\InCD\InCD.exe
O4 - HKLM\..\Run: [UserFaultCheck] %systemroot%\system32\dumprep 0 -u
O4 - HKLM\..\Run: [NeroFilterCheck] C:\Program Files\Common Files\Ahead\Lib\NeroCheck.exe
O4 - HKLM\..\Run: [nod32kui] "C:\Program Files\Eset\nod32kui.exe" /WAITSERVICE
O4 - HKLM\..\Run: [NvMediaCenter] RUNDLL32.EXE C:\WINDOWS\system32\NvMcTray.dll,NvTaskbarInit
O4 - HKLM\..\Run: [SKP Firewall] C:\WINDOWS\system32\net.exe
O4 - HKLM\..\Run: [QuickTime Task] "C:\Program Files\QuickTime\qttask.exe" -atboottime
O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\ctfmon.exe
O4 - HKCU\..\Run: [SpybotSD TeaTimer] C:\Program Files\Spybot - Search & Destroy\TeaTimer.exe
O4 - HKCU\..\Run: [BgMonitor_{79662E04-7C6C-4d9f-84C7-88D8A56B10AA}] "C:\Program Files\Common Files\Ahead\Lib\NMBgMonitor.exe"
O4 - HKCU\..\Run: [ICQ Lite] "C:\Program Files\ICQLite\ICQLite.exe" -minimize
O4 - HKCU\..\RunOnce: [ICQ Lite] C:\Program Files\ICQLite\ICQLite.exe -trayboot
O4 - Startup: Adobe Gamma.lnk = C:\Program Files\Common Files\Adobe\Calibration\Adobe Gamma Loader.exe
O4 - Global Startup: Adobe Reader Speed Launch.lnk = C:\Program Files\Adobe\Reader 8.0\Reader\reader_sl.exe
O4 - Global Startup: Adobe Reader Synchronizer.lnk = C:\Program Files\Adobe\Reader 8.0\Reader\AdobeCollabSync.exe
O4 - Global Startup: WinZip Quick Pick.lnk.disabled
O8 - Extra context menu item: E&xportovat do aplikace Microsoft Office Excel - res://C:\PROGRA~1\MICROS~2\OFFICE11\EXCEL.EXE/3000
O9 - Extra button: Zdroje informací - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - C:\PROGRA~1\MICROS~2\OFFICE11\REFIEBAR.DLL
O9 - Extra button: ICQ Lite - {B863453A-26C3-4e1f-A54D-A2CD196348E9} - C:\Program Files\ICQLite\ICQLite.exe
O9 - Extra 'Tools' menuitem: ICQ Lite - {B863453A-26C3-4e1f-A54D-A2CD196348E9} - C:\Program Files\ICQLite\ICQLite.exe
O9 - Extra button: ICQ6 - {E59EB121-F339-4851-A3BA-FE49C35617C2} - C:\Program Files\ICQ6\ICQ.exe
O9 - Extra 'Tools' menuitem: ICQ6 - {E59EB121-F339-4851-A3BA-FE49C35617C2} - C:\Program Files\ICQ6\ICQ.exe
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe
O11 - Options group: [INTERNATIONAL] International*
O16 - DPF: {193C772A-87BE-4B19-A7BB-445B226FE9A1} (ewidoOnlineScan Control) - http://downloads.ewido.net/ewidoOnlineScan.cab
O16 - DPF: {30528230-99f7-4bb4-88d8-fa1d4f56a2ab} (YInstStarter Class) - C:\Program Files\Yahoo!\Common\yinsthelper.dll
O16 - DPF: {5D86DDB5-BDF9-441B-9E9E-D4730F4EE499} (BDSCANONLINE Control) - http://download.bitdefender.com/resourc ... oscan8.cab
O16 - DPF: {6414512B-B978-451D-A0D8-FCFDF33E833C} (WUWebControl Class) - http://update.microsoft.com/windowsupda ... 4320235578
O16 - DPF: {6E32070A-766D-4EE6-879C-DC1FA91D2FC3} (MUWebControl Class) - http://update.microsoft.com/microsoftup ... 4145064421
O16 - DPF: {D27CDB6E-AE6D-11CF-96B8-444553540000} (Shockwave Flash Object) - https://fpdownload.macromedia.com/pub/s ... wflash.cab
O18 - Protocol: livecall - {828030A1-22C1-4009-854F-8E305202313F} - C:\PROGRA~1\MSNMES~1\MSGRAP~1.DLL
O18 - Protocol: msnim - {828030A1-22C1-4009-854F-8E305202313F} - C:\PROGRA~1\MSNMES~1\MSGRAP~1.DLL
O18 - Protocol: skype4com - {FFC8B962-9B40-4DFF-9458-1830C7DD7F5D} - C:\PROGRA~1\COMMON~1\Skype\SKYPE4~1.DLL
O20 - Winlogon Notify: avldr - C:\WINDOWS\
O20 - Winlogon Notify: WgaLogon - C:\WINDOWS\SYSTEM32\WgaLogon.dll
O21 - SSODL: WPDShServiceObj - {AAA288BA-9A4C-45B0-95D7-94D524869DB5} - C:\WINDOWS\system32\WPDShServiceObj.dll
O23 - Service: Adobe LM Service - Adobe Systems - C:\Program Files\Common Files\Adobe Systems Shared\Service\Adobelmsvc.exe
O23 - Service: BitDefender Scan Server (bdss) - Unknown owner - C:\Program Files\Common Files\Softwin\BitDefender Scan Server\bdss.exe" /service (file missing)
O23 - Service: FileZilla Server FTP server (FileZilla Server) - FileZilla Project - C:\Program Files\FileZilla Server\FileZilla Server.exe
O23 - Service: InstallDriver Table Manager (IDriverT) - Macrovision Corporation - C:\Program Files\Common Files\InstallShield\Driver\11\Intel 32\IDriverT.exe
O23 - Service: InCD Helper (InCDsrv) - Nero AG - C:\Program Files\Nero\Nero 7\InCD\InCDsrv.exe
O23 - Service: iPod Service - Apple Inc. - C:\Program Files\iPod\bin\iPodService.exe
O23 - Service: Sunbelt Kerio Personal Firewall 4 (KPF4) - Sunbelt Software - C:\Program Files\Sunbelt Software\Personal Firewall\kpf4ss.exe
O23 - Service: BitDefender Desktop Update Service (LIVESRV) - Unknown owner - C:\Program Files\Common Files\Softwin\BitDefender Update Service\livesrv.exe" /service (file missing)
O23 - Service: NBService - Nero AG - C:\Program Files\Nero\Nero 7\Nero BackItUp\NBService.exe
O23 - Service: NMIndexingService - Nero AG - C:\Program Files\Common Files\Ahead\Lib\NMIndexingService.exe
O23 - Service: NOD32 Kernel Service (NOD32krn) - Eset - C:\Program Files\Eset\nod32krn.exe
O23 - Service: NVIDIA Display Driver Service (NVSvc) - NVIDIA Corporation - C:\WINDOWS\system32\nvsvc32.exe
O23 - Service: ServiceLayer - Nokia. - C:\Program Files\PC Connectivity Solution\ServiceLayer.exe
O23 - Service: TuneUp WinStyler Theme Service (TUWinStylerThemeSvc) - TuneUp Software GmbH - C:\Program Files\TuneUp Utilities 2004\WinStylerThemeSvc.exe
O23 - Service: BitDefender Virus Shield (VSSERV) - Unknown owner - C:\Program Files\Softwin\BitDefender10\vsserv.exe" /service (file missing)
O23 - Service: BitDefender Communicator (XCOMM) - Unknown owner - C:\Program Files\Common Files\Softwin\BitDefender Communicator\xcommsvr.exe" /service (file missing)

Díky...
Nahoru
Uživatelský avatar
Baron Prášil
Master Level 7
Master Level 7
Příspěvky: 4882
Registrován: červen 06
Pohlaví: Muž
Stav:
Offline

Příspěvekod Baron Prášil » 10 kvě 2007 20:09

to s tim winlogonem mě mrzí,ale nebyl jsi rozhodně sám :wink:
šlo o špatnou detekci všech Kaspersky a bylo to velký haló

tyto služby zastav a typ spuštění na zakázáno
služby spustíš napsáním příkazu services.msc do Spustit... v nabídce START a klik na OK

BitDefender Desktop Update Service (LIVESRV)
BitDefender Virus Shield (VSSERV)
BitDefender Communicator (XCOMM)

fixni
O2 - BHO: (no name) - {7E853D72-626A-48EC-A868-BA8D5E23E045} - (no file)
O4 - HKLM\..\Run: [UserFaultCheck] %systemroot%\system32\dumprep 0 -u
O4 - HKLM\..\Run: [NeroFilterCheck] C:\Program Files\Common Files\Ahead\Lib\NeroCheck.exe
O4 - HKLM\..\Run: [QuickTime Task] "C:\Program Files\QuickTime\qttask.exe" -atboottime
O20 - Winlogon Notify: avldr - C:\WINDOWS\
jenom zbytečnosti

v logu z HJT to nevidim,tak udělej log z MWAVu
http://www.viry.cz/forum/viewtopic.php?t=4097
Nahoru
Joony
Level 1.5
Level 1.5
Příspěvky: 108
Registrován: duben 07
Pohlaví: Muž
Stav:
Offline

Příspěvekod Joony » 11 kvě 2007 18:03

Objekt "smitfraud Browser Hijacker" nalezen v souborech! Aktivně obsazen: Neaktivní odebrán.
Vstup "HKCU\Software\Microsoft\Windows\CurrentVersion\Explorer\FileExts" špatně odkazuje ".cz/". Aktivně obsazen: Neaktivní odebrán.
Vstup "HKCU\Software\Microsoft\Windows\CurrentVersion\Explorer\FileExts" špatně odkazuje ".FF2". Aktivně obsazen: Neaktivní odebrán.
Vstup "HKCU\Software\Microsoft\Windows\CurrentVersion\Explorer\FileExts" špatně odkazuje ".SRC". Aktivně obsazen: Neaktivní odebrán.
Vstup "HKLM\Software\Microsoft\Windows\CurrentVersion\App Management\ARPCache" špatně odkazuje "KB896424". Aktivně obsazen: Neaktivní odebrán.
Vstup "HKLM\Software\Microsoft\Windows\CurrentVersion\App Management\ARPCache" špatně odkazuje "KB912919". Aktivně obsazen: Neaktivní odebrán.
Vstup "HKLM\Software\Microsoft\Windows\CurrentVersion\App Management\ARPCache" špatně odkazuje "KB914440". Aktivně obsazen: Neaktivní odebrán.
Vstup "HKLM\Software\Microsoft\Windows\CurrentVersion\App Management\ARPCache" špatně odkazuje "KB928090". Aktivně obsazen: Neaktivní odebrán.
Vstup "HKLM\Software\Microsoft\Windows\CurrentVersion\App Management\ARPCache" špatně odkazuje "KB929338". Aktivně obsazen: Neaktivní odebrán.
Vstup "HKLM\Software\Microsoft\Windows\CurrentVersion\App Management\ARPCache" špatně odkazuje "KB929399". Aktivně obsazen: Neaktivní odebrán.
Vstup "HKLM\Software\Microsoft\Windows\CurrentVersion\App Management\ARPCache" špatně odkazuje "KB929969". Aktivně obsazen: Neaktivní odebrán.
Vstup "HKLM\Software\Microsoft\Windows\CurrentVersion\App Management\ARPCache" špatně odkazuje "Skype_is1". Aktivně obsazen: Neaktivní odebrán.
Vstup "HKLM\Software\Microsoft\Windows\CurrentVersion\App Management\ARPCache" špatně odkazuje "Wudf01000". Aktivně obsazen: Neaktivní odebrán.
Vstup "HKLM\Software\Microsoft\Windows\CurrentVersion\App Management\ARPCache" špatně odkazuje "{3DE5E7D4-7B88-403C-A3FD-2017A8240C5B}". Aktivně obsazen: Neaktivní odebrán.
Vstup "HKLM\Software\Microsoft\Windows\CurrentVersion\App Management\ARPCache" špatně odkazuje "{5E863175-E85D-44A6-8968-82507D34AE7F}". Aktivně obsazen: Neaktivní odebrán.


Fri May 11 17:07:04 2007 => ***** Sken je hotový. *****

Fri May 11 17:07:05 2007 => Celkově proskenováno: 106533
Fri May 11 17:07:05 2007 => Celkem špatných objektů: 1
Fri May 11 17:07:05 2007 => Celkem vyčištěno objektů: 0
Fri May 11 17:07:05 2007 => Celkově přejmenováno: 0
Fri May 11 17:07:05 2007 => Celkem vymazáno objektů: 0
Fri May 11 17:07:05 2007 => Celkem Chyb: 115
Fri May 11 17:07:05 2007 => Uplynulý čas: 02:36:56
Fri May 11 17:07:05 2007 => Datum virové databáze: 5/11/2007
Fri May 11 17:07:05 2007 => Počet virových databází: 317372
Nahoru
Joony
Level 1.5
Level 1.5
Příspěvky: 108
Registrován: duben 07
Pohlaví: Muž
Stav:
Offline

Příspěvekod Joony » 12 kvě 2007 18:39

už sem se pomalu začínal radovat, že je to pryč... ale to se jen náběh svchostu drobet opozdil.. pak už zas jel na těch svejch skoro 100%....
A ještě jedna poznámka, když ho ve správci zabiju, tak mi většinou přestane fungovat nějaký zvukový zařízení.... řiká mi to Skype, když ho spouštim :-)
Nahoru
Uživatelský avatar
Baron Prášil
Master Level 7
Master Level 7
Příspěvky: 4882
Registrován: červen 06
Pohlaví: Muž
Stav:
Offline

Příspěvekod Baron Prášil » 12 kvě 2007 18:46

mě by zajímal ten jeden špatnej objekt.

zkus ho v to logu pohledat.
Nahoru
sakiri
Level 3.5
Level 3.5
Příspěvky: 747
Registrován: červen 06
Pohlaví: Nespecifikováno
Stav:
Offline

Příspěvekod sakiri » 12 kvě 2007 20:51

Použij ten Process Explorer jak je to tam popsáno. A vlož sem ale ten screen.

Podíváme se na to co toho svchost.exe vytěžuje.
Nahoru
Joony
Level 1.5
Level 1.5
Příspěvky: 108
Registrován: duben 07
Pohlaví: Muž
Stav:
Offline

Příspěvekod Joony » 13 kvě 2007 12:19

Log MWAVu je zde: http://zeke.borec.cz/MWAV.rar
Nahoru
Joony
Level 1.5
Level 1.5
Příspěvky: 108
Registrován: duben 07
Pohlaví: Muž
Stav:
Offline

Příspěvekod Joony » 13 kvě 2007 12:40

A tady je ten screen. Jestli to dobře chápu tak je to automatickou aktualizací. Ale už tu nějaký mám, který čekaj na instalaci.
Přílohy
screen.JPG
Nahoru
sakiri
Level 3.5
Level 3.5
Příspěvky: 747
Registrován: červen 06
Pohlaví: Nespecifikováno
Stav:
Offline

Příspěvekod sakiri » 13 kvě 2007 19:33

Opravdu to vypadá že je problém automatickou aktualizací Windows.

Takže ju vypnem:
dej Start>Ovládací panely>Automatické Aktualizace . Tam zvol Možnost vypnout Atomatické Aktualizace.
Potvrď a poté restartuj PC poté řekni jestli ti svchost.exe pořád zatěžuje CPU.
Nahoru
Joony
Level 1.5
Level 1.5
Příspěvky: 108
Registrován: duben 07
Pohlaví: Muž
Stav:
Offline

Příspěvekod Joony » 13 kvě 2007 23:28

Dík... po prvnim restartu se zdá že to šlape.
Nahoru
sakiri
Level 3.5
Level 3.5
Příspěvky: 747
Registrován: červen 06
Pohlaví: Nespecifikováno
Stav:
Offline

Příspěvekod sakiri » 14 kvě 2007 06:52

Takže už nezapínej Automatické Aktualizace. Ale Aktualizace budeš je muset zjiťovat 'ručně' a poté je stahovat a instalovat.
Aby se totiž nestalo že by ten svchost.exe znovu zatěžoval CPU.

Pokud by jsi měl nějaké problémy s PC tak se ozvi.A nebo pokud by se obnovili ty problémy s vytěžováním CPU.

Jinak.
Za všechny:Není zač
Nahoru
Odpovědět

Zpět na “Viry, antiviry, firewally…”

Kdo je online

Uživatelé prohlížející si toto fórum: Žádní registrovaní uživatelé a 0 hostů