| Author |
Message
|
szatz Poziom 20

Joined: 29 Feb 2004 Posts: 1010
|
#1
13 Sep 2005 10:23 Co usunąć w Hijack This by znów stabilnie zaczął chodzić ? |
|
|
|
Oto log z komputera znajomej , mocno zawirusowanego. Na początek ad-adaware , avast i cvszreder , potem aktualizacja przeglądarki Microsof Internet Explorer do wersji 6.0....tale problem pozostał - dalej ładuje się startpage. Co usunąć ?
Logfile of HijackThis v1.99.1
Scan saved at 09:57:56, on 05-09-13
Platform: Windows 98 SE (Win9x 4.10.2222A)
MSIE: Internet Explorer v6.00 SP1 (6.00.2800.1106)
Running processes:
C:\WINDOWS\SYSTEM\KERNEL32.DLL
C:\WINDOWS\SYSTEM\MSGSRV32.EXE
C:\WINDOWS\SYSTEM\MPREXE.EXE
C:\WINDOWS\SYSTEM\mmtask.tsk
C:\WINDOWS\SYSTEM\MSTASK.EXE
C:\WINDOWS\SYSTEM\MDM.EXE
C:\WINDOWS\SOINTGR.EXE
C:\PROGRAM FILES\ALWIL SOFTWARE\AVAST4\ASHSERV.EXE
C:\WINDOWS\EXPLORER.EXE
C:\WINDOWS\SYSTEM\RPCSS.EXE
C:\WINDOWS\TASKMON.EXE
C:\WINDOWS\SYSTEM\INTERNAT.EXE
C:\WINDOWS\SYSTEM\SYSTRAY.EXE
C:\WINDOWS\SYSTEM\IGFXTRAY.EXE
C:\WINDOWS\SYSTEM\HKCMD.EXE
C:\WINDOWS\SYSTEM\SYSTRAY.EXE
C:\WINDOWS\SYSTEM\MDMS.EXE
C:\WINDOWS\SYSTEM\PAYTIME.EXE
C:\WINDOWS\TOOL2.EXE
C:\WINDOWS\SYSTEM\LEXBCES.EXE
C:\WINDOWS\SYSTEM\DDHELP.EXE
C:\PROGRAM FILES\ALWIL SOFTWARE\AVAST4\ASHMAISV.EXE
C:\PROGRAM FILES\ALWIL SOFTWARE\AVAST4\ASHWEBSV.EXE
C:\WINSTALL.EXE
C:\WINDOWS\SYSTEM\PAYTIME.EXE
C:\WINDOWS\TOOL2.EXE
C:\WINDOWS\TOOL2.EXE
C:\WINDOWS\SYSTEM\LEXPPS.EXE
C:\PROGRAM FILES\OLYMPUS\CAMEDIA MASTER 4.1\CM_CAMERA.EXE
C:\WINDOWS\SYSTEM\WMIEXE.EXE
C:\WINDOWS\PULPIT\POMOC\HIJACKTHIS.EXE
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://195.95.218.172/index.php
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://195.95.218.172/index.php
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://195.95.218.172/index.php
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = http://195.95.218.172/index.php
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Local Page = http://195.95.218.172/index.php
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Local Page = http://195.95.218.172/index.php
O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\PROGRAM FILES\ADOBE\ACROBAT 5.0\READER\ACTIVEX\ACROIEHELPER.OCX
O2 - BHO: (no name) - {A0269420-A638-4509-889C-8FC3CC85DA7E} - C:\WINDOWS\DREXINIT.DLL
O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINDOWS\SYSTEM\MSDXM.OCX
O4 - HKLM\..\Run: [ScanRegistry] C:\WINDOWS\scanregw.exe /autorun
O4 - HKLM\..\Run: [TaskMonitor] C:\WINDOWS\taskmon.exe
O4 - HKLM\..\Run: [internat.exe] internat.exe
O4 - HKLM\..\Run: [SystemTray] SysTray.Exe
O4 - HKLM\..\Run: [LoadPowerProfile] Rundll32.exe powrprof.dll,LoadCurrentPwrScheme
O4 - HKLM\..\Run: [IgfxTray] C:\WINDOWS\SYSTEM\igfxtray.exe
O4 - HKLM\..\Run: [HotKeysCmds] C:\WINDOWS\SYSTEM\hkcmd.exe
O4 - HKLM\..\Run: [Zasobnik systemowy] SysTray.Exe
O4 - HKLM\..\Run: [LexStart] lexstart.exe
O4 - HKLM\..\Run: [SO5 Integrator Pass Two] C:\WINDOWS\SOINTGR.EXE
O4 - HKLM\..\Run: [ixcjinap] C:\WINDOWS\ixcjinap.exe
O4 - HKLM\..\Run: [SysMemory manager] c:\windows\system\mdms.exe
O4 - HKLM\..\Run: [PayTime] C:\WINDOWS\SYSTEM\paytime.exe
O4 - HKLM\..\Run: [MouseDrv] C:\WINDOWS\TEMP\LINK.TXT
O4 - HKLM\..\Run: [ashMaiSv] C:\PROGRA~1\ALWILS~1\AVAST4\ashmaisv.exe
O4 - HKLM\..\Run: [MKS_MENU] C:\Program Files\MKS\Bin\mks_menu.exe
O4 - HKLM\..\Run: [MKS_MON] C:\Program Files\MKS\Bin\mks_mon.exe
O4 - HKLM\..\Run: [avast! Web Scanner] C:\PROGRA~1\ALWILS~1\AVAST4\ashWebSv.exe
O4 - HKLM\..\RunServices: [LoadPowerProfile] Rundll32.exe powrprof.dll,LoadCurrentPwrScheme
O4 - HKLM\..\RunServices: [SchedulingAgent] mstask.exe
O4 - HKLM\..\RunServices: [Machine Debug Manager] C:\WINDOWS\SYSTEM\MDM.EXE
O4 - HKLM\..\RunServices: [SO5 Integrator Pass One] C:\WINDOWS\SOINTGR.EXE
O4 - HKLM\..\RunServices: [avast!] C:\Program Files\Alwil Software\Avast4\ashServ.exe
O4 - HKCU\..\Run: [Windows installer] C:\winstall.exe
O4 - HKCU\..\Run: [PayTime] C:\WINDOWS\SYSTEM\paytime.exe
O4 - HKCU\..\Run: [MouseDrv] C:\WINDOWS\TEMP\LINK.TXT
O4 - HKCU\..\Run: [Shell] "C:\WINDOWS\SYSTEM\ibm00005.exe"
O4 - HKCU\..\Run: [SNInstall] C:\WINDOWS\TOOL2.EXE
O4 - Startup: Microsoft Office.lnk = C:\Program Files\Microsoft Office\Office\OSA9.EXE
O4 - Startup: CAMEDIA Master.lnk = C:\Program Files\OLYMPUS\CAMEDIA Master 4.1\CM_camera.exe
O12 - Plugin for .spop: C:\PROGRA~1\INTERN~1\Plugins\NPDocBox.dll
O12 - Plugin for .mp3: C:\PROGRA~1\INTERN~1\PLUGINS\npqtplugin3.dll
O12 - Plugin for .mid: C:\PROGRA~1\INTERN~1\PLUGINS\npqtplugin2.dll
O16 - DPF: ING Bank Online - https://ssl.bsk.com.pl/bskonl/component/INGOnl.cab
O16 - DPF: {15AD6789-CDB4-47E1-A9DA-992EE8E6BAD6} - http://static.windupdates.com/cab/MediaAccessVerisign/ie/Bridge-c139.cab
O17 - HKLM\System\CCS\Services\VxD\MSTCP: NameServer = 10.0.0.2
|
|
| Back to top |
|
 |
Google

|
#
13 Sep 2005 10:23 |
|
|
|
|
|
| Back to top |
|
 |
Kolobos Poziom 26

Joined: 13 Jun 2003 Posts: 26220 Location: Warszawa
|
#2
13 Sep 2005 10:48 Co usunąć w Hijack This by znów stabilnie zaczął chodzić ? |
|
|
|
Odinstaluj MKS Vir i zostaw tylko avast.
Przeskanuj tym:
http://www.safer-networking.org/pl/mirrors/index.html <- SpyBot S&D -> przeskanuj i wlacz ochrone przegladarki
http://www.javacoolsoftware.com/spywareblaster.html <- SpywareBlaster -> wlacz ochrone przegladarki
http://download.ewido.net/ewido-setup.exe <- zrob update przed skanowaniem, po przeskanowaniu odinstaluj.
Zakoncz procesy:
C:\WINDOWS\SYSTEM\MDMS.EXE
C:\WINDOWS\SYSTEM\PAYTIME.EXE
C:\WINDOWS\TOOL2.EXE
C:\WINSTALL.EXE
C:\WINDOWS\SYSTEM\PAYTIME.EXE
C:\WINDOWS\TOOL2.EXE
C:\WINDOWS\TOOL2.EXE
I usun pliki.
Opis usuwania mdms.exe masz tutaj:
http://securityresponse.symantec.com/avcenter/venc/data/trojan.repsamo.html
W hijackthis:
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://195.95.218.172/index.php
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://195.95.218.172/index.php
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://195.95.218.172/index.php
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = http://195.95.218.172/index.php
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Local Page = http://195.95.218.172/index.php
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Local Page = http://195.95.218.172/index.php
O2 - BHO: (no name) - {A0269420-A638-4509-889C-8FC3CC85DA7E} - C:\WINDOWS\DREXINIT.DLL <- usun plik
O4 - HKLM\..\Run: [SO5 Integrator Pass Two] C:\WINDOWS\SOINTGR.EXE <- wylacz w msconfig.
O4 - HKLM\..\Run: [ixcjinap] C:\WINDOWS\ixcjinap.exe <- usun plik
O4 - HKLM\..\Run: [SysMemory manager] c:\windows\system\mdms.exe
O4 - HKLM\..\Run: [PayTime] C:\WINDOWS\SYSTEM\paytime.exe
O4 - HKLM\..\Run: [MouseDrv] C:\WINDOWS\TEMP\LINK.TXT
O4 - HKLM\..\RunServices: [Machine Debug Manager] C:\WINDOWS\SYSTEM\MDM.EXE <- wylacz w msconfig
O4 - HKCU\..\Run: [Windows installer] C:\winstall.exe <- usuwasz plik
O4 - HKCU\..\Run: [PayTime] C:\WINDOWS\SYSTEM\paytime.exe <- usuwasz plik
O4 - HKCU\..\Run: [MouseDrv] C:\WINDOWS\TEMP\LINK.TXT <- usuwasz plik
O4 - HKCU\..\Run: [Shell] "C:\WINDOWS\SYSTEM\ibm00005.exe" <- usuwasz plik z dysku
O4 - HKCU\..\Run: [SNInstall] C:\WINDOWS\TOOL2.EXE <- usuwasz plik z dysku
O16 - DPF: {15AD6789-CDB4-47E1-A9DA-992EE8E6BAD6} - http://static.windupdates.com/cab/MediaAccessVerisign/ie/Bridge-c139.cab
Jezeli po usunieciu ibm00005.exe przestaly uruchamiac sie pliki exe to utworz i uruchom sobie plik fix.reg z taka zawartoscia:
| Quote: |
REGEDIT4
[HKEY_CLASSES_ROOT\.exe]
@="exefile"
"Content Type"="application/x-msdownload"
[HKEY_CLASSES_ROOT\.exe\PersistentHandler]
@="{098f2470-bae0-11cd-b579-08002b30bfeb}"
[HKEY_CLASSES_ROOT\exefile]
@="Application"
"EditFlags"=hex:38,07,00,00
"TileInfo"="prop:FileDescription;Company;FileVersion"
"InfoTip" = "prop:FileDescription;Company;FileVersion;Create;Size"
[HKEY_CLASSES_ROOT\exefile\DefaultIcon]
@="%1"
[HKEY_CLASSES_ROOT\exefile\shell]
[HKEY_CLASSES_ROOT\exefile\shell\open]
"EditFlags"=hex:00,00,00,00
[HKEY_CLASSES_ROOT\exefile\shell\open\command]
@="\"%1\" %*"
[HKEY_CLASSES_ROOT\exefile\shell\runas]
[HKEY_CLASSES_ROOT\exefile\shell\runas\command]
@="\"%1\" %*" |
Opis naprawy tapety tutaj:
http://www.searchengines.pl/phpbb203/index.php?showtopic=31936
Jak juz wszystko zrobisz to wklej nowy log.
|
|
| Back to top |
|
 |
szatz Poziom 20

Joined: 29 Feb 2004 Posts: 1010
|
#3
14 Sep 2005 10:02 Re: Co usunąć w Hijack This by znów stabilnie zaczął chodzić |
|
|
|
Mam kłopot z usunięciem pliku mdms.exe
Czy ten sposób usunięcia tego syfu mi pomoże ( u mnie jest w SYSTEM a podany niżej przykład usunięcia dotyczy przypadku gdy siedzi w SYSTEM32) ?
| Quote: |
Usuwanie:
1. Przygotuj plik usuwający wpisy z rejestru. Otwórz Notatnik i wklej w nim to:
QUOTE
REGEDIT4
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
"SysMemory manager"=-
[HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Shell Extensions\Approved]
"{5E2121EE-0300-11D4-8D3B-444553540000}"=-
[-HKEY_LOCAL_MACHINE\Software\Classes\*\shellex\ContextMenuHandlers\sysacpildap]
[-HKEY_CURRENT_USER\Software\mzs]
[-HKEY_CLASSES_ROOT\acpi.acpi.1]
[-HKEY_CLASSES_ROOT\acpi.ext]
Plik >>> Zapisz jako >>> Zmień rozszerzenie z TXT na Wszystkie pliki >>> zapisz pod nazwą FIX.REG.
UWAGA: jeśli ktoś ma wpis z plikiem mcsmss.exe to zamiast "SysMemory manager" podstawia "cmssSystemProcess" do pliku w Notatniku.
2. Zastartuj do trybu awaryjnego.
3. Otwórz Pocket KillBox, zaznacz Delete on reboot i wklej w pustym polu ścieżkę C:\WINDOWS\System32\winacpi.dll, zatwierdź i zresetuj komputer.
3. Ponownie startujesz do trybu awaryjnego i klikasz podwójnie plik FIX.REG potwierdzając to o co zapyta.
4. Kasujesz z dysku cały folder C:\WINDOWS\tgbcde oraz jeden z plików w zależności od tego jaką wersją dysponujesz:
C:\WINDOWS\system32\mdms.exe
C:\WINDOWS\system32\mcsmss.exe |
|
|
| Back to top |
|
 |
Kolobos Poziom 26

Joined: 13 Jun 2003 Posts: 26220 Location: Warszawa
|
#4
14 Sep 2005 12:21 Co usunąć w Hijack This by znów stabilnie zaczął chodzić ? |
|
|
|
Tak, usun tak jak masz w tym opisie, a po resecie mdms.exe juz sie nie zaladuje i bedzie mogna go usunac.W razie problemow Killbox'em usuniesz bez problemu (z opcja delete on reboot).
|
|
| Back to top |
|
 |
szatz Poziom 20

Joined: 29 Feb 2004 Posts: 1010
|
#5
14 Sep 2005 14:00 Re: Co usunąć w Hijack This by znów stabilnie zaczął chodzić |
|
|
|
Sciągnąłem kilka Pocked KillBox ale żadnego niemogę otworzyć- brakuje jakiegoś pliku. Dostaje taki komunikat :Odnalezienie wymaganego pliku.DLL MSVBVM60.DLL było niemożliwe.
|
|
| Back to top |
|
 |
Google

|
#
14 Sep 2005 14:00 |
|
|
|
|
|
| Back to top |
|
 |
hicat Poziom 20

Joined: 28 Sep 2004 Posts: 967 Location: Rzeszów
|
|
| Back to top |
|
 |
Kolobos Poziom 26

Joined: 13 Jun 2003 Posts: 26220 Location: Warszawa
|
#7
14 Sep 2005 20:52 Co usunąć w Hijack This by znów stabilnie zaczął chodzić ? |
|
|
|
W przyklejnym watku masz link do instalki bibliotek vbrun!
|
|
| Back to top |
|
 |
szatz Poziom 20

Joined: 29 Feb 2004 Posts: 1010
|
#8
15 Sep 2005 09:22 Re: Co usunąć w Hijack This by znów stabilnie zaczął chodzić |
|
|
|
Dzięki wielkie za pomoc . Wkońcu wyciełem tego MDMS-a.
Kolobos kolejny raz mi pomogłeś. Szkoda że niemogę się zrekompensoeać inaczej niż klikająć pomógł. Chciałbym jakoś, tylko się zastanawiam jak może uczeń zrekompensować się nauczycielowi ?
Może przyjdzie taki dzień ? Narazie chyle tylko czoło z podziękowaniem.
Oto nowy log:
| Quote: |
Logfile of HijackThis v1.99.1
Scan saved at 09:33:05, on 05-09-15
Platform: Windows 98 SE (Win9x 4.10.2222A)
MSIE: Internet Explorer v6.00 SP1 (6.00.2800.1106)
Running processes:
C:\WINDOWS\SYSTEM\KERNEL32.DLL
C:\WINDOWS\SYSTEM\MSGSRV32.EXE
C:\WINDOWS\SYSTEM\MPREXE.EXE
C:\PROGRAM FILES\ALWIL SOFTWARE\AVAST4\ASHSERV.EXE
C:\WINDOWS\SYSTEM\MSTASK.EXE
C:\WINDOWS\SYSTEM\KB891711\KB891711.EXE
C:\WINDOWS\SYSTEM\mmtask.tsk
C:\WINDOWS\SYSTEM\RPCSS.EXE
C:\WINDOWS\SYSTEM\DDHELP.EXE
C:\WINDOWS\EXPLORER.EXE
C:\WINDOWS\TASKMON.EXE
C:\WINDOWS\SYSTEM\INTERNAT.EXE
C:\WINDOWS\SYSTEM\SYSTRAY.EXE
C:\WINDOWS\SYSTEM\IGFXTRAY.EXE
C:\WINDOWS\SYSTEM\HKCMD.EXE
C:\PROGRAM FILES\ALWIL SOFTWARE\AVAST4\ASHMAISV.EXE
C:\PROGRAM FILES\ALWIL SOFTWARE\AVAST4\ASHWEBSV.EXE
C:\WINDOWS\SYSTEM\LEXBCES.EXE
C:\PROGRAM FILES\OLYMPUS\CAMEDIA MASTER 4.1\CM_CAMERA.EXE
C:\WINDOWS\SYSTEM\LEXPPS.EXE
C:\WINDOWS\SYSTEM\WMIEXE.EXE
C:\WINDOWS\SYSTEM\SPOOL32.EXE
C:\WINDOWS\PULPIT\POMOC\HIJACKTHIS.EXE
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.onet.pl/
O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\PROGRAM FILES\ADOBE\ACROBAT 5.0\READER\ACTIVEX\ACROIEHELPER.OCX
O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINDOWS\SYSTEM\MSDXM.OCX
O4 - HKLM\..\Run: [ScanRegistry] C:\WINDOWS\scanregw.exe /autorun
O4 - HKLM\..\Run: [TaskMonitor] C:\WINDOWS\taskmon.exe
O4 - HKLM\..\Run: [internat.exe] internat.exe
O4 - HKLM\..\Run: [SystemTray] SysTray.Exe
O4 - HKLM\..\Run: [IgfxTray] C:\WINDOWS\SYSTEM\igfxtray.exe
O4 - HKLM\..\Run: [HotKeysCmds] C:\WINDOWS\SYSTEM\hkcmd.exe
O4 - HKLM\..\Run: [Zasobnik systemowy] SysTray.Exe
O4 - HKLM\..\Run: [LexStart] lexstart.exe
O4 - HKLM\..\Run: [ashMaiSv] C:\PROGRA~1\ALWILS~1\AVAST4\ashmaisv.exe
O4 - HKLM\..\Run: [MKS_MENU] C:\Program Files\MKS\Bin\mks_menu.exe
O4 - HKLM\..\Run: [MKS_MON] C:\Program Files\MKS\Bin\mks_mon.exe
O4 - HKLM\..\Run: [avast! Web Scanner] C:\PROGRA~1\ALWILS~1\AVAST4\ashWebSv.exe
O4 - HKLM\..\Run: [SysMemory manager] c:\windows\system\mdms.exe
O4 - HKLM\..\Run: [LoadPowerProfile] Rundll32.exe powrprof.dll,LoadCurrentPwrScheme
O4 - HKLM\..\RunServices: [avast!] C:\Program Files\Alwil Software\Avast4\ashServ.exe
O4 - HKLM\..\RunServices: [LoadPowerProfile] Rundll32.exe powrprof.dll,LoadCurrentPwrScheme
O4 - HKLM\..\RunServices: [SchedulingAgent] C:\WINDOWS\SYSTEM\mstask.exe
O4 - HKLM\..\RunServices: [KB891711] C:\WINDOWS\SYSTEM\KB891711\KB891711.EXE
O4 - Startup: Microsoft Office.lnk = C:\Program Files\Microsoft Office\Office\OSA9.EXE
O4 - Startup: CAMEDIA Master.lnk = C:\Program Files\OLYMPUS\CAMEDIA Master 4.1\CM_camera.exe
O12 - Plugin for .spop: C:\PROGRA~1\INTERN~1\Plugins\NPDocBox.dll
O12 - Plugin for .mp3: C:\PROGRA~1\INTERN~1\PLUGINS\npqtplugin3.dll
O12 - Plugin for .mid: C:\PROGRA~1\INTERN~1\PLUGINS\npqtplugin2.dll
O16 - DPF: ING Bank Online - https://ssl.bsk.com.pl/bskonl/component/INGOnl.cab
O16 - DPF: {E7544C6C-CFD6-43EA-B4E9-360CEE20BDF7} (MainControl Class) - http://skaner.mks.com.pl/SkanerOnline.cab
O17 - HKLM\System\CCS\Services\VxD\MSTCP: NameServer = 10.0.0.2 |
Pozdrawiam Szatz
|
|
| Back to top |
|
 |
Kolobos Poziom 26

Joined: 13 Jun 2003 Posts: 26220 Location: Warszawa
|
#9
15 Sep 2005 11:02 Co usunąć w Hijack This by znów stabilnie zaczął chodzić ? |
|
|
|
Odinstaluj mks_vir, nie mozna miec dwoch antyvirusow.
W hijackthis usun wpis:
O4 - HKLM\..\Run: [SysMemory manager] c:\windows\system\mdms.exe
|
|
| Back to top |
|
 |
Google

|
#
15 Sep 2005 11:02 |
|
|
|
|
|
| Back to top |
|
 |
szatz Poziom 20

Joined: 29 Feb 2004 Posts: 1010
|
#10
15 Sep 2005 13:10 Re: Co usunąć w Hijack This by znów stabilnie zaczął chodzić |
|
|
|
Ok . Rzeczywiście jeszcze to przeoczyłem.
Już wszystko gra.
pozdrawiam szatz
| Moderated by jankolo: |
| Temat zamykam |
|
|
| Back to top |
|
 |