Elektroda.pl
Elektroda.pl
X

Wyszukiwarki naszych partnerów

Wyszukaj w ofercie 200 tys. produktów TME
Europejski lider sprzedaży techniki i elektroniki.
Proszę, dodaj wyjątek elektroda.pl do Adblock.
Dzięki temu, że oglądasz reklamy, wspierasz portal i użytkowników.

Co usunąć w Hijack This by znów stabilnie zaczął chodzić ?

szatz 13 Wrz 2005 11:23 1416 9
  • #1 13 Wrz 2005 11:23
    szatz
    Poziom 25  

    Oto log z komputera znajomej , mocno zawirusowanego. Na początek ad-adaware , avast i cvszreder , potem aktualizacja przeglądarki Microsof Internet Explorer do wersji 6.0....tale problem pozostał - dalej ładuje się startpage. Co usunąć ?

    Logfile of HijackThis v1.99.1
    Scan saved at 09:57:56, on 05-09-13
    Platform: Windows 98 SE (Win9x 4.10.2222A)
    MSIE: Internet Explorer v6.00 SP1 (6.00.2800.1106)

    Running processes:
    C:\WINDOWS\SYSTEM\KERNEL32.DLL
    C:\WINDOWS\SYSTEM\MSGSRV32.EXE
    C:\WINDOWS\SYSTEM\MPREXE.EXE
    C:\WINDOWS\SYSTEM\mmtask.tsk
    C:\WINDOWS\SYSTEM\MSTASK.EXE
    C:\WINDOWS\SYSTEM\MDM.EXE
    C:\WINDOWS\SOINTGR.EXE
    C:\PROGRAM FILES\ALWIL SOFTWARE\AVAST4\ASHSERV.EXE
    C:\WINDOWS\EXPLORER.EXE
    C:\WINDOWS\SYSTEM\RPCSS.EXE
    C:\WINDOWS\TASKMON.EXE
    C:\WINDOWS\SYSTEM\INTERNAT.EXE
    C:\WINDOWS\SYSTEM\SYSTRAY.EXE
    C:\WINDOWS\SYSTEM\IGFXTRAY.EXE
    C:\WINDOWS\SYSTEM\HKCMD.EXE
    C:\WINDOWS\SYSTEM\SYSTRAY.EXE
    C:\WINDOWS\SYSTEM\MDMS.EXE
    C:\WINDOWS\SYSTEM\PAYTIME.EXE
    C:\WINDOWS\TOOL2.EXE
    C:\WINDOWS\SYSTEM\LEXBCES.EXE
    C:\WINDOWS\SYSTEM\DDHELP.EXE
    C:\PROGRAM FILES\ALWIL SOFTWARE\AVAST4\ASHMAISV.EXE
    C:\PROGRAM FILES\ALWIL SOFTWARE\AVAST4\ASHWEBSV.EXE
    C:\WINSTALL.EXE
    C:\WINDOWS\SYSTEM\PAYTIME.EXE
    C:\WINDOWS\TOOL2.EXE
    C:\WINDOWS\TOOL2.EXE
    C:\WINDOWS\SYSTEM\LEXPPS.EXE
    C:\PROGRAM FILES\OLYMPUS\CAMEDIA MASTER 4.1\CM_CAMERA.EXE
    C:\WINDOWS\SYSTEM\WMIEXE.EXE
    C:\WINDOWS\PULPIT\POMOC\HIJACKTHIS.EXE

    R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://195.95.218.172/index.php
    R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://195.95.218.172/index.php
    R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://195.95.218.172/index.php
    R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = http://195.95.218.172/index.php
    R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Local Page = http://195.95.218.172/index.php
    R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Local Page = http://195.95.218.172/index.php
    O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\PROGRAM FILES\ADOBE\ACROBAT 5.0\READER\ACTIVEX\ACROIEHELPER.OCX
    O2 - BHO: (no name) - {A0269420-A638-4509-889C-8FC3CC85DA7E} - C:\WINDOWS\DREXINIT.DLL
    O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINDOWS\SYSTEM\MSDXM.OCX




    O4 - HKLM\..\Run: [ScanRegistry] C:\WINDOWS\scanregw.exe /autorun
    O4 - HKLM\..\Run: [TaskMonitor] C:\WINDOWS\taskmon.exe
    O4 - HKLM\..\Run: [internat.exe] internat.exe
    O4 - HKLM\..\Run: [SystemTray] SysTray.Exe
    O4 - HKLM\..\Run: [LoadPowerProfile] Rundll32.exe powrprof.dll,LoadCurrentPwrScheme
    O4 - HKLM\..\Run: [IgfxTray] C:\WINDOWS\SYSTEM\igfxtray.exe
    O4 - HKLM\..\Run: [HotKeysCmds] C:\WINDOWS\SYSTEM\hkcmd.exe
    O4 - HKLM\..\Run: [Zasobnik systemowy] SysTray.Exe
    O4 - HKLM\..\Run: [LexStart] lexstart.exe
    O4 - HKLM\..\Run: [SO5 Integrator Pass Two] C:\WINDOWS\SOINTGR.EXE
    O4 - HKLM\..\Run: [ixcjinap] C:\WINDOWS\ixcjinap.exe
    O4 - HKLM\..\Run: [SysMemory manager] c:\windows\system\mdms.exe
    O4 - HKLM\..\Run: [PayTime] C:\WINDOWS\SYSTEM\paytime.exe
    O4 - HKLM\..\Run: [MouseDrv] C:\WINDOWS\TEMP\LINK.TXT
    O4 - HKLM\..\Run: [ashMaiSv] C:\PROGRA~1\ALWILS~1\AVAST4\ashmaisv.exe
    O4 - HKLM\..\Run: [MKS_MENU] C:\Program Files\MKS\Bin\mks_menu.exe
    O4 - HKLM\..\Run: [MKS_MON] C:\Program Files\MKS\Bin\mks_mon.exe
    O4 - HKLM\..\Run: [avast! Web Scanner] C:\PROGRA~1\ALWILS~1\AVAST4\ashWebSv.exe
    O4 - HKLM\..\RunServices: [LoadPowerProfile] Rundll32.exe powrprof.dll,LoadCurrentPwrScheme
    O4 - HKLM\..\RunServices: [SchedulingAgent] mstask.exe
    O4 - HKLM\..\RunServices: [Machine Debug Manager] C:\WINDOWS\SYSTEM\MDM.EXE
    O4 - HKLM\..\RunServices: [SO5 Integrator Pass One] C:\WINDOWS\SOINTGR.EXE
    O4 - HKLM\..\RunServices: [avast!] C:\Program Files\Alwil Software\Avast4\ashServ.exe
    O4 - HKCU\..\Run: [Windows installer] C:\winstall.exe
    O4 - HKCU\..\Run: [PayTime] C:\WINDOWS\SYSTEM\paytime.exe
    O4 - HKCU\..\Run: [MouseDrv] C:\WINDOWS\TEMP\LINK.TXT
    O4 - HKCU\..\Run: [Shell] "C:\WINDOWS\SYSTEM\ibm00005.exe"
    O4 - HKCU\..\Run: [SNInstall] C:\WINDOWS\TOOL2.EXE
    O4 - Startup: Microsoft Office.lnk = C:\Program Files\Microsoft Office\Office\OSA9.EXE
    O4 - Startup: CAMEDIA Master.lnk = C:\Program Files\OLYMPUS\CAMEDIA Master 4.1\CM_camera.exe
    O12 - Plugin for .spop: C:\PROGRA~1\INTERN~1\Plugins\NPDocBox.dll
    O12 - Plugin for .mp3: C:\PROGRA~1\INTERN~1\PLUGINS\npqtplugin3.dll
    O12 - Plugin for .mid: C:\PROGRA~1\INTERN~1\PLUGINS\npqtplugin2.dll
    O16 - DPF: ING Bank Online - https://ssl.bsk.com.pl/bskonl/component/INGOnl.cab
    O16 - DPF: {15AD6789-CDB4-47E1-A9DA-992EE8E6BAD6} - http://static.windupdates.com/cab/MediaAccessVerisign/ie/Bridge-c139.cab
    O17 - HKLM\System\CCS\Services\VxD\MSTCP: NameServer = 10.0.0.2

    0 9
  • #2 13 Wrz 2005 11:48
    Kolobos
    Spec od komputerów

    Odinstaluj MKS Vir i zostaw tylko avast.
    Przeskanuj tym:
    http://www.safer-networking.org/pl/mirrors/index.html <- SpyBot S&D -> przeskanuj i wlacz ochrone przegladarki
    http://www.javacoolsoftware.com/spywareblaster.html <- SpywareBlaster -> wlacz ochrone przegladarki
    http://download.ewido.net/ewido-setup.exe <- zrob update przed skanowaniem, po przeskanowaniu odinstaluj.

    Zakoncz procesy:
    C:\WINDOWS\SYSTEM\MDMS.EXE
    C:\WINDOWS\SYSTEM\PAYTIME.EXE
    C:\WINDOWS\TOOL2.EXE
    C:\WINSTALL.EXE
    C:\WINDOWS\SYSTEM\PAYTIME.EXE
    C:\WINDOWS\TOOL2.EXE
    C:\WINDOWS\TOOL2.EXE
    I usun pliki.

    Opis usuwania mdms.exe masz tutaj:
    http://securityresponse.symantec.com/avcenter/venc/data/trojan.repsamo.html

    W hijackthis:

    R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://195.95.218.172/index.php
    R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://195.95.218.172/index.php
    R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://195.95.218.172/index.php
    R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = http://195.95.218.172/index.php
    R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Local Page = http://195.95.218.172/index.php
    R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Local Page = http://195.95.218.172/index.php
    O2 - BHO: (no name) - {A0269420-A638-4509-889C-8FC3CC85DA7E} - C:\WINDOWS\DREXINIT.DLL <- usun plik
    O4 - HKLM\..\Run: [SO5 Integrator Pass Two] C:\WINDOWS\SOINTGR.EXE <- wylacz w msconfig.
    O4 - HKLM\..\Run: [ixcjinap] C:\WINDOWS\ixcjinap.exe <- usun plik
    O4 - HKLM\..\Run: [SysMemory manager] c:\windows\system\mdms.exe
    O4 - HKLM\..\Run: [PayTime] C:\WINDOWS\SYSTEM\paytime.exe
    O4 - HKLM\..\Run: [MouseDrv] C:\WINDOWS\TEMP\LINK.TXT
    O4 - HKLM\..\RunServices: [Machine Debug Manager] C:\WINDOWS\SYSTEM\MDM.EXE <- wylacz w msconfig
    O4 - HKCU\..\Run: [Windows installer] C:\winstall.exe <- usuwasz plik
    O4 - HKCU\..\Run: [PayTime] C:\WINDOWS\SYSTEM\paytime.exe <- usuwasz plik
    O4 - HKCU\..\Run: [MouseDrv] C:\WINDOWS\TEMP\LINK.TXT <- usuwasz plik
    O4 - HKCU\..\Run: [Shell] "C:\WINDOWS\SYSTEM\ibm00005.exe" <- usuwasz plik z dysku
    O4 - HKCU\..\Run: [SNInstall] C:\WINDOWS\TOOL2.EXE <- usuwasz plik z dysku
    O16 - DPF: {15AD6789-CDB4-47E1-A9DA-992EE8E6BAD6} - http://static.windupdates.com/cab/MediaAccessVerisign/ie/Bridge-c139.cab

    Jezeli po usunieciu ibm00005.exe przestaly uruchamiac sie pliki exe to utworz i uruchom sobie plik fix.reg z taka zawartoscia:

    Cytat:
    REGEDIT4

    [HKEY_CLASSES_ROOT\.exe]
    @="exefile"
    "Content Type"="application/x-msdownload"

    [HKEY_CLASSES_ROOT\.exe\PersistentHandler]
    @="{098f2470-bae0-11cd-b579-08002b30bfeb}"

    [HKEY_CLASSES_ROOT\exefile]
    @="Application"
    "EditFlags"=hex:38,07,00,00
    "TileInfo"="prop:FileDescription;Company;FileVersion"
    "InfoTip" = "prop:FileDescription;Company;FileVersion;Create;Size"

    [HKEY_CLASSES_ROOT\exefile\DefaultIcon]
    @="%1"

    [HKEY_CLASSES_ROOT\exefile\shell]

    [HKEY_CLASSES_ROOT\exefile\shell\open]
    "EditFlags"=hex:00,00,00,00

    [HKEY_CLASSES_ROOT\exefile\shell\open\command]
    @="\"%1\" %*"

    [HKEY_CLASSES_ROOT\exefile\shell\runas]

    [HKEY_CLASSES_ROOT\exefile\shell\runas\command]
    @="\"%1\" %*"



    Opis naprawy tapety tutaj:
    http://www.searchengines.pl/phpbb203/index.php?showtopic=31936

    Jak juz wszystko zrobisz to wklej nowy log.

    0
  • #3 14 Wrz 2005 11:02
    szatz
    Poziom 25  

    Mam kłopot z usunięciem pliku mdms.exe
    Czy ten sposób usunięcia tego syfu mi pomoże ( u mnie jest w SYSTEM a podany niżej przykład usunięcia dotyczy przypadku gdy siedzi w SYSTEM32) ?

    Cytat:
    Usuwanie:

    1. Przygotuj plik usuwający wpisy z rejestru. Otwórz Notatnik i wklej w nim to:

    QUOTE
    REGEDIT4

    [HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
    "SysMemory manager"=-

    [HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Shell Extensions\Approved]
    "{5E2121EE-0300-11D4-8D3B-444553540000}"=-

    [-HKEY_LOCAL_MACHINE\Software\Classes\*\shellex\ContextMenuHandlers\sysacpildap]

    [-HKEY_CURRENT_USER\Software\mzs]

    [-HKEY_CLASSES_ROOT\acpi.acpi.1]

    [-HKEY_CLASSES_ROOT\acpi.ext]


    Plik >>> Zapisz jako >>> Zmień rozszerzenie z TXT na Wszystkie pliki >>> zapisz pod nazwą FIX.REG.

    UWAGA: jeśli ktoś ma wpis z plikiem mcsmss.exe to zamiast "SysMemory manager" podstawia "cmssSystemProcess" do pliku w Notatniku.

    2. Zastartuj do trybu awaryjnego.

    3. Otwórz Pocket KillBox, zaznacz Delete on reboot i wklej w pustym polu ścieżkę C:\WINDOWS\System32\winacpi.dll, zatwierdź i zresetuj komputer.

    3. Ponownie startujesz do trybu awaryjnego i klikasz podwójnie plik FIX.REG potwierdzając to o co zapyta.

    4. Kasujesz z dysku cały folder C:\WINDOWS\tgbcde oraz jeden z plików w zależności od tego jaką wersją dysponujesz:

    C:\WINDOWS\system32\mdms.exe
    C:\WINDOWS\system32\mcsmss.exe

    0
  • #4 14 Wrz 2005 13:21
    Kolobos
    Spec od komputerów

    Tak, usun tak jak masz w tym opisie, a po resecie mdms.exe juz sie nie zaladuje i bedzie mogna go usunac.W razie problemow Killbox'em usuniesz bez problemu (z opcja delete on reboot).

    0
  • #5 14 Wrz 2005 15:00
    szatz
    Poziom 25  

    Sciągnąłem kilka Pocked KillBox ale żadnego niemogę otworzyć- brakuje jakiegoś pliku. Dostaje taki komunikat :Odnalezienie wymaganego pliku.DLL MSVBVM60.DLL było niemożliwe.

    0
  • #7 14 Wrz 2005 21:52
    Kolobos
    Spec od komputerów

    W przyklejnym watku masz link do instalki bibliotek vbrun!

    0
  • #8 15 Wrz 2005 10:22
    szatz
    Poziom 25  

    Dzięki wielkie za pomoc . Wkońcu wyciełem tego MDMS-a.
    Kolobos kolejny raz mi pomogłeś. Szkoda że niemogę się zrekompensoeać inaczej niż klikająć pomógł. Chciałbym jakoś, tylko się zastanawiam jak może uczeń zrekompensować się nauczycielowi ?
    Może przyjdzie taki dzień ? Narazie chyle tylko czoło z podziękowaniem.

    Oto nowy log:

    Cytat:
    Logfile of HijackThis v1.99.1
    Scan saved at 09:33:05, on 05-09-15
    Platform: Windows 98 SE (Win9x 4.10.2222A)
    MSIE: Internet Explorer v6.00 SP1 (6.00.2800.1106)

    Running processes:
    C:\WINDOWS\SYSTEM\KERNEL32.DLL
    C:\WINDOWS\SYSTEM\MSGSRV32.EXE
    C:\WINDOWS\SYSTEM\MPREXE.EXE
    C:\PROGRAM FILES\ALWIL SOFTWARE\AVAST4\ASHSERV.EXE
    C:\WINDOWS\SYSTEM\MSTASK.EXE
    C:\WINDOWS\SYSTEM\KB891711\KB891711.EXE
    C:\WINDOWS\SYSTEM\mmtask.tsk
    C:\WINDOWS\SYSTEM\RPCSS.EXE
    C:\WINDOWS\SYSTEM\DDHELP.EXE
    C:\WINDOWS\EXPLORER.EXE
    C:\WINDOWS\TASKMON.EXE
    C:\WINDOWS\SYSTEM\INTERNAT.EXE
    C:\WINDOWS\SYSTEM\SYSTRAY.EXE
    C:\WINDOWS\SYSTEM\IGFXTRAY.EXE
    C:\WINDOWS\SYSTEM\HKCMD.EXE
    C:\PROGRAM FILES\ALWIL SOFTWARE\AVAST4\ASHMAISV.EXE
    C:\PROGRAM FILES\ALWIL SOFTWARE\AVAST4\ASHWEBSV.EXE
    C:\WINDOWS\SYSTEM\LEXBCES.EXE
    C:\PROGRAM FILES\OLYMPUS\CAMEDIA MASTER 4.1\CM_CAMERA.EXE
    C:\WINDOWS\SYSTEM\LEXPPS.EXE
    C:\WINDOWS\SYSTEM\WMIEXE.EXE
    C:\WINDOWS\SYSTEM\SPOOL32.EXE
    C:\WINDOWS\PULPIT\POMOC\HIJACKTHIS.EXE

    R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.onet.pl/
    O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\PROGRAM FILES\ADOBE\ACROBAT 5.0\READER\ACTIVEX\ACROIEHELPER.OCX
    O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINDOWS\SYSTEM\MSDXM.OCX
    O4 - HKLM\..\Run: [ScanRegistry] C:\WINDOWS\scanregw.exe /autorun
    O4 - HKLM\..\Run: [TaskMonitor] C:\WINDOWS\taskmon.exe
    O4 - HKLM\..\Run: [internat.exe] internat.exe
    O4 - HKLM\..\Run: [SystemTray] SysTray.Exe
    O4 - HKLM\..\Run: [IgfxTray] C:\WINDOWS\SYSTEM\igfxtray.exe
    O4 - HKLM\..\Run: [HotKeysCmds] C:\WINDOWS\SYSTEM\hkcmd.exe
    O4 - HKLM\..\Run: [Zasobnik systemowy] SysTray.Exe
    O4 - HKLM\..\Run: [LexStart] lexstart.exe
    O4 - HKLM\..\Run: [ashMaiSv] C:\PROGRA~1\ALWILS~1\AVAST4\ashmaisv.exe
    O4 - HKLM\..\Run: [MKS_MENU] C:\Program Files\MKS\Bin\mks_menu.exe
    O4 - HKLM\..\Run: [MKS_MON] C:\Program Files\MKS\Bin\mks_mon.exe
    O4 - HKLM\..\Run: [avast! Web Scanner] C:\PROGRA~1\ALWILS~1\AVAST4\ashWebSv.exe
    O4 - HKLM\..\Run: [SysMemory manager] c:\windows\system\mdms.exe
    O4 - HKLM\..\Run: [LoadPowerProfile] Rundll32.exe powrprof.dll,LoadCurrentPwrScheme
    O4 - HKLM\..\RunServices: [avast!] C:\Program Files\Alwil Software\Avast4\ashServ.exe
    O4 - HKLM\..\RunServices: [LoadPowerProfile] Rundll32.exe powrprof.dll,LoadCurrentPwrScheme
    O4 - HKLM\..\RunServices: [SchedulingAgent] C:\WINDOWS\SYSTEM\mstask.exe
    O4 - HKLM\..\RunServices: [KB891711] C:\WINDOWS\SYSTEM\KB891711\KB891711.EXE
    O4 - Startup: Microsoft Office.lnk = C:\Program Files\Microsoft Office\Office\OSA9.EXE
    O4 - Startup: CAMEDIA Master.lnk = C:\Program Files\OLYMPUS\CAMEDIA Master 4.1\CM_camera.exe
    O12 - Plugin for .spop: C:\PROGRA~1\INTERN~1\Plugins\NPDocBox.dll
    O12 - Plugin for .mp3: C:\PROGRA~1\INTERN~1\PLUGINS\npqtplugin3.dll
    O12 - Plugin for .mid: C:\PROGRA~1\INTERN~1\PLUGINS\npqtplugin2.dll
    O16 - DPF: ING Bank Online - https://ssl.bsk.com.pl/bskonl/component/INGOnl.cab
    O16 - DPF: {E7544C6C-CFD6-43EA-B4E9-360CEE20BDF7} (MainControl Class) - http://skaner.mks.com.pl/SkanerOnline.cab
    O17 - HKLM\System\CCS\Services\VxD\MSTCP: NameServer = 10.0.0.2


    Pozdrawiam Szatz

    0
  • Pomocny post
    #9 15 Wrz 2005 12:02
    Kolobos
    Spec od komputerów

    Odinstaluj mks_vir, nie mozna miec dwoch antyvirusow.

    W hijackthis usun wpis:
    O4 - HKLM\..\Run: [SysMemory manager] c:\windows\system\mdms.exe

    0
  • #10 15 Wrz 2005 14:10
    szatz
    Poziom 25  

    Ok . Rzeczywiście jeszcze to przeoczyłem.
    Już wszystko gra.
    pozdrawiam szatz

    Moderowany przez jankolo:

    Temat zamykam

    0
TME logo Szukaj w ofercie
Zamknij 
Wyszukaj w ofercie 200 tys. produktów TME
TME Logo