jaczek:

...postanowile zrobic format zeby miec pewnosc ze system jest ok :D

W takim razie pamietaj jaczek, aby nie zawracac ponownie dupy swoimi logami. "Pewne" rozwiazanie juz masz, to sie go teraz trzymaj na przyszlosc.

dzieki za pomoc ,ale jednak postanowile zrobic format zeby miec pewnosc ze system jest ok :D

Po lewej stronie kazdego takiego wpisu masz male okienko w ktorym stawiasz "ptaszka". Zaznaczysz wszystkie, to se mozesz nacisnac na dole przycisk "FIX ...".

Bobi:

Usuń tą całą mase badziewnych konkrolek:

O16 – DPF: {11111111–1111–1111–1111–111111111111} – ms–its:mhtml:file://c:\nosuxxx.mht!http://kazaalite.pl/stats/kgr.chm::/gcon.exe
O16 – DPF: {11111111–1111–1111–1111–111111111157} – ms–its:mhtml:file://C:\nosuch.mht!http://213.159.117.203/dl/adv407/x.chm::/load.exe
O16 – DPF: {15AD4789–CDB4–47E1–A9DA–992EE8E6BAD6} – ms–its:mhtml:file://c:\nosuxxx.mht!http://kazaalite.pl/stats/script/loud.chm::/Bridge–c139.cab
O16 – DPF: {15AD6789–CDB4–47E1–A9DA–992EE8E6BAD6} – http://static.windupdates.com/cab/MediaAccessVerisign/ie/bridge–c11.cab
O16 – DPF: {42B1C70D–9823–41F7–810A–682DA294D868} – ms–its:mhtml:file://c:\nosuxxx.mht!http://kazaalite.pl/stats/pt.chm::/toolbar.exe
O16 – DPF: {9EB320CE–BE1D–4304–A081–4B4665414BEF} (MediaTicketsInstaller Control) – ms–its:mhtml:file://c:\nosuxxx.mht!http://tdt.org.pl/popup/mt.chm::/MediaTicketsInstaller.cab
O16 – DPF: {AD7FAFB0–16D6–40C3–AF27–585D6E6453FD} – http://217.73.66.1/del/loader.cab
O16 – DPF: {DA694446–E25F–11D5–8FF6–0001021C7D4C} (Modem Access) – ms–its:mhtml:file://c:\nosuxxx.mht!http://kazaalite.pl/stats/kgr.chm::/accessmul.ocx

jak mam to usunąC??


jaczek, jak sobie taga quote otwierasz to równieź na koncu go zamykaj, bo wychodzi w końcu na to ze nie wiadomo kto, co, kiedy napisał.

Bobi

jaczek:

coyote_xp:

– jak chcesz po tdt śmigać to zmień przeglądarkę bo twoją przyszłośc z IE marnie widzę :P
–

a co stronka na IE nie chodzi czy co?

Chodzi ,chodzi aź nawet za dobrze :wink: A myślisz źe skąd się to badziewie wzieło ? Przyjźyj się logom...

coyote_xp:

– jak chcesz po tdt śmigać to zmień przeglądarkę bo twoją przyszłośc z IE marnie widzę :P

a co stronka na IE nie chodzi czy co?

Czyli gdzieś na dysku powinieneś znalezc pliki: wp.exe oraz wp.bmp
Oczywiscie kierunek >> kosz.

Wywal dodatkowo z rejestru pozostałości:

HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\System
:arrow: Wallpaper–
:arrow: NoDispAppearancePage
:arrow: NoDispBackgroundPage

HKEY_CURRENT_USER\oftware\Microsoft\Windows\CurrentVersion\Policies\Explorer
:arrow: NoActiveDesktopChanges

Oraz wyszukaj takie ciągi i usun je jesli znajdzie:
{B599C57E–113A–4488–A5E9–BC552C4F1152}]
{145E6FB1–1256–44ed–A336–8BBA43373BE6}]

dokladnie tak

Wyłącz przywracanie systemu

Usun z dysku ręcznie pliki pogrubione przeze mnie oraz zaznacz wpisy i kliknij FIX CHECKED :

O2 – BHO: (no name) – {3A983A37–F0D8–AD7E–8D5F–D87F6410D5ED} – C:\WINDOWS\System32\gwrmaeex.dll
O2 – BHO: (no name) – {E2409452–0CEF–5718–B7D9–20C0BF9E5EB2} – (no file)
O2 – BHO: (no name) – {E5169300–5DBD–5C1C–B7D9–20C0BF9E5AB3} – C:\WINDOWS\System32\tsyll.dll

Tego nie znam :

O3 – Toolbar: iCompanion – {5F1ABCDB–A875–46c1–8345–B72A4567E486} – C:\PROGRA~1\ICOMPA~1\TOOLBAR.DLL

Po mojemu jakiś badziwny toolbar, jeśli nie znasz to wywal cały katalog z Program Files w kosmos.
Update: Znam juź :P ISTBar więc wypad

Usuń tą całą mase badziewnych konkrolek:

O16 – DPF: {11111111–1111–1111–1111–111111111111} – ms–its:mhtml:file://c:\nosuxxx.mht!http://kazaalite.pl/stats/kgr.chm::/gcon.exe
O16 – DPF: {11111111–1111–1111–1111–111111111157} – ms–its:mhtml:file://C:\nosuch.mht!http://213.159.117.203/dl/adv407/x.chm::/load.exe
O16 – DPF: {15AD4789–CDB4–47E1–A9DA–992EE8E6BAD6} – ms–its:mhtml:file://c:\nosuxxx.mht!http://kazaalite.pl/stats/script/loud.chm::/Bridge–c139.cab
O16 – DPF: {15AD6789–CDB4–47E1–A9DA–992EE8E6BAD6} – http://static.windupdates.com/cab/MediaAccessVerisign/ie/bridge–c11.cab
O16 – DPF: {42B1C70D–9823–41F7–810A–682DA294D868} – ms–its:mhtml:file://c:\nosuxxx.mht!http://kazaalite.pl/stats/pt.chm::/toolbar.exe
O16 – DPF: {9EB320CE–BE1D–4304–A081–4B4665414BEF} (MediaTicketsInstaller Control) – ms–its:mhtml:file://c:\nosuxxx.mht!http://tdt.org.pl/popup/mt.chm::/MediaTicketsInstaller.cab
O16 – DPF: {AD7FAFB0–16D6–40C3–AF27–585D6E6453FD} – http://217.73.66.1/del/loader.cab
O16 – DPF: {DA694446–E25F–11D5–8FF6–0001021C7D4C} (Modem Access) – ms–its:mhtml:file://c:\nosuxxx.mht!http://kazaalite.pl/stats/kgr.chm::/accessmul.ocx

Teraz najlepsze bo nie widze sladów obecności owej tapetki
Tak ona wygląda ?

Z mojej strony to,ale znjąc źycie Bobi jeszcze coś wynajdzie :wink: BTW jaczek – jak chcesz po tdt śmigać to zmień przeglądarkę bo twoją przyszłośc z IE marnie widzę :P

O16 – DPF: {11111111–1111–1111–1111–111111111111} – ms–its:mhtml:file://c:\nosuxxx.mht!http://kazaalite.pl/stats/kgr.chm::/gcon.exe
O16 – DPF: {11111111–1111–1111–1111–111111111157} – ms–its:mhtml:file://C:\nosuch.mht!http://213.159.117.203/dl/adv407/x.chm::/load.exe
O16 – DPF: {15AD4789–CDB4–47E1–A9DA–992EE8E6BAD6} – ms–its:mhtml:file://c:\nosuxxx.mht!http://kazaalite.pl/stats/script/loud.chm::/Bridge–c139.cab


O16 – DPF: {42B1C70D–9823–41F7–810A–682DA294D868} – ms–its:mhtml:file://c:\nosuxxx.mht!http://kazaalite.pl/stats/pt.chm::/toolbar.exe

O16 – DPF: {9EB320CE–BE1D–4304–A081–4B4665414BEF} (MediaTicketsInstaller Control) – ms–its:mhtml:file://c:\nosuxxx.mht!http://tdt.org.pl/popup/mt.chm::/MediaTicketsInstaller.cab
O16 – DPF: {AD7FAFB0–16D6–40C3–AF27–585D6E6453FD} – http://217.73.66.1/del/loader.cab

Logfile of HijackThis v1.99.1
Scan saved at 19:08:32, on 2005–05–31
Platform: Windows XP Dodatek SP. 1 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP1 (6.00.2800.1106)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\System32\Ati2evxx.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\Program Files\Common Files\Symantec Shared\ccSetMgr.exe
C:\Program Files\Common Files\Symantec Shared\SNDSrvc.exe
C:\Program Files\Common Files\Symantec Shared\SPBBC\SPBBCSvc.exe
C:\Program Files\Common Files\Symantec Shared\ccEvtMgr.exe
C:\WINDOWS\system32\spoolsv.exe
C:\Program Files\Norton SystemWorks\Norton AntiVirus\IWP\NPFMntor.exe
C:\PROGRA~1\NORTON~1\NORTON~1\NPROTECT.EXE
C:\PROGRA~1\NORTON~1\NORTON~1\SPEEDD~1\NOPDB.EXE
C:\Program Files\Common Files\Symantec Shared\CCPD–LC\symlcsvc.exe
C:\WINDOWS\System32\svchost.exe
C:\Program Files\Norton SystemWorks\Norton AntiVirus\navapsvc.exe
C:\WINDOWS\system32\Ati2evxx.exe
C:\WINDOWS\Explorer.EXE
C:\Program Files\ATI Technologies\ATI.ACE\cli.exe
C:\Program Files\D–Tools\daemon.exe
C:\Program Files\Common Files\Symantec Shared\ccApp.exe
C:\Program Files\SlySoft\CloneCD\CloneCDTray.exe
C:\Program Files\Winamp\winampa.exe
C:\program files\powerstrip\pstrip.exe
C:\WINDOWS\System32\ctfmon.exe
C:\Program Files\Messenger\msmsgs.exe
C:\Program Files\Gadu–Gadu\gg.exe
C:\WINDOWS\System32\wuauclt.exe
C:\Program Files\ATI Technologies\ATI.ACE\CLI.exe
C:\Program Files\GetRight\getright.exe
C:\Program Files\GetRight\getright.exe
C:\Program Files\InterVideo\Common\Bin\WinCinemaMgr.exe
C:\Program Files\Winamp\Winamp.exe
C:\Program Files\Common Files\Symantec Shared\Nmain.exe
C:\WINDOWS\System32\wuauclt.exe
C:\WINDOWS\System32\wuauclt.exe
C:\WINDOWS\SoftwareDistribution\Download\3f3d38e1637fbcfdbb17ecba0d67fa56\update\update.exe
C:\Program Files\Symantec\LiveUpdate\Luall.exe
C:\PROGRA~1\Symantec\LIVEUP~1\LUCOMS~1.EXE
C:\Program Files\Internet Explorer\iexplore.exe
C:\DOCUME~1\ALLUSE~1\DANEAP~1\Symantec\LIVEUP~1\DOWNLO~1\EXITEM~1.4_E\SETUP.EXE
C:\WINDOWS\System32\msiexec.exe
C:\WINDOWS\System32\MsiExec.exe
C:\Downloads\hijackthis\HijackThis.exe
C:\WINDOWS\System32\MsiExec.exe

R0 – HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Łącza
O2 – BHO: AcroIEHlprObj Class – {06849E9F–C8D7–4D59–B87D–784B7D6BE0B3} – C:\Program Files\Adobe\Acrobat 5.0\Reader\ActiveX\AcroIEHelper.ocx
O2 – BHO: (no name) – {3A983A37–F0D8–AD7E–8D5F–D87F6410D5ED} – C:\WINDOWS\System32\gwrmaeex.dll
O2 – BHO: NAV Helper – {BDF3E430–B101–42AD–A544–FADC6B084872} – C:\Program Files\Norton SystemWorks\Norton AntiVirus\NavShExt.dll
O2 – BHO: (no name) – {E2409452–0CEF–5718–B7D9–20C0BF9E5EB2} – (no file)
O2 – BHO: (no name) – {E5169300–5DBD–5C1C–B7D9–20C0BF9E5AB3} – C:\WINDOWS\System32\tsyll.dll
O3 – Toolbar: &Radio – {8E718888–423F–11D2–876E–00A0C9082467} – C:\WINDOWS\System32\msdxm.ocx
O3 – Toolbar: Norton AntiVirus – {42CDD1BF–3FFB–4238–8AD1–7859DF00B1D6} – C:\Program Files\Norton SystemWorks\Norton AntiVirus\NavShExt.dll
O3 – Toolbar: iCompanion – {5F1ABCDB–A875–46c1–8345–B72A4567E486} – C:\PROGRA~1\ICOMPA~1\TOOLBAR.DLL
O4 – HKLM\..\Run: [ATIPTA] C:\Program Files\ATI Technologies\ATI Control Panel\atiptaxx.exe
O4 – HKLM\..\Run: [ATICCC] "C:\Program Files\ATI Technologies\ATI.ACE\cli.exe" runtime
O4 – HKLM\..\Run: [DAEMON Tools–1033] "C:\Program Files\D–Tools\daemon.exe" –lang 1033
O4 – HKLM\..\Run: [ccApp] "C:\Program Files\Common Files\Symantec Shared\ccApp.exe"
O4 – HKLM\..\Run: [SSC_UserPrompt] C:\Program Files\Common Files\Symantec Shared\Security Center\UsrPrmpt.exe
O4 – HKLM\..\Run: [Symantec NetDriver Monitor] C:\PROGRA~1\SYMNET~1\SNDMon.exe
O4 – HKLM\..\Run: [CloneCDTray] "C:\Program Files\SlySoft\CloneCD\CloneCDTray.exe" /s
O4 – HKLM\..\Run: [NeroCheck] C:\WINDOWS\system32\NeroCheck.exe
O4 – HKLM\..\Run: [WinampAgent] C:\Program Files\Winamp\winampa.exe
O4 – HKLM\..\Run: [PowerStrip] c:\program files\powerstrip\pstrip.exe
O4 – HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\ctfmon.exe
O4 – HKCU\..\Run: [MSMSGS] "C:\Program Files\Messenger\msmsgs.exe" /background
O4 – HKCU\..\Run: [Gadu–Gadu] "C:\Program Files\Gadu–Gadu\gg.exe" /tray
O4 – Global Startup: ATI CATALYST System Tray.lnk = C:\Program Files\ATI Technologies\ATI.ACE\CLI.exe
O4 – Global Startup: GetRight – Tray Icon.lnk = C:\Program Files\GetRight\getright.exe
O4 – Global Startup: IDETool.lnk = C:\Program Files\IDETOOL\IDETOOL.EXE
O4 – Global Startup: InterVideo WinCinema Manager.lnk = C:\Program Files\InterVideo\Common\Bin\WinCinemaMgr.exe
O9 – Extra button: Messenger – {FB5F1910–F110–11d2–BB9E–00C04F795683} – C:\Program Files\Messenger\MSMSGS.EXE
O9 – Extra 'Tools' menuitem: Windows Messenger – {FB5F1910–F110–11d2–BB9E–00C04F795683} – C:\Program Files\Messenger\MSMSGS.EXE
O16 – DPF: {11111111–1111–1111–1111–111111111111} – ms–its:mhtml:file://c:\nosuxxx.mht!http://kazaalite.pl/stats/kgr.chm::/gcon.exe
O16 – DPF: {11111111–1111–1111–1111–111111111157} – ms–its:mhtml:file://C:\nosuch.mht!http://213.159.117.203/dl/adv407/x.chm::/load.exe
O16 – DPF: {15AD4789–CDB4–47E1–A9DA–992EE8E6BAD6} – ms–its:mhtml:file://c:\nosuxxx.mht!http://kazaalite.pl/stats/script/loud.chm::/Bridge–c139.cab
O16 – DPF: {15AD6789–CDB4–47E1–A9DA–992EE8E6BAD6} – http://static.windupdates.com/cab/MediaAccessVerisign/ie/bridge–c11.cab
O16 – DPF: {1F2F4C9E–6F09–47BC–970D–3C54734667FE} (LSSupCtl Class) – https://www–secure.symantec.com/techsupp/asa/LSSupCtl.cab
O16 – DPF: {42B1C70D–9823–41F7–810A–682DA294D868} – ms–its:mhtml:file://c:\nosuxxx.mht!http://kazaalite.pl/stats/pt.chm::/toolbar.exe
O16 – DPF: {631FF594–EC25–4CFF–B869–402DF294E1D6} (Instalator oprogramowania Onet.pl) – http://slimak.onet.pl/_m/kamerzysta/OnetInstalator012s.ocx
O16 – DPF: {9EB320CE–BE1D–4304–A081–4B4665414BEF} (MediaTicketsInstaller Control) – ms–its:mhtml:file://c:\nosuxxx.mht!http://tdt.org.pl/popup/mt.chm::/MediaTicketsInstaller.cab
O16 – DPF: {AD7FAFB0–16D6–40C3–AF27–585D6E6453FD} – http://217.73.66.1/del/loader.cab
O16 – DPF: {CE28D5D2–60CF–4C7D–9FE8–0F47A3308078} (ActiveDataInfo Class) – https://www–secure.symantec.com/techsupp/asa/SymAData.cab
O16 – DPF: {DA694446–E25F–11D5–8FF6–0001021C7D4C} (Modem Access) – ms–its:mhtml:file://c:\nosuxxx.mht!http://kazaalite.pl/stats/kgr.chm::/accessmul.ocx
O23 – Service: Ati HotKey Poller – Unknown owner – C:\WINDOWS\System32\Ati2evxx.exe
O23 – Service: ATI Smart – Unknown owner – C:\WINDOWS\system32\ati2sgag.exe
O23 – Service: Symantec Event Manager (ccEvtMgr) – Symantec Corporation – C:\Program Files\Common Files\Symantec Shared\ccEvtMgr.exe
O23 – Service: Symantec Password Validation (ccPwdSvc) – Symantec Corporation – C:\Program Files\Common Files\Symantec Shared\ccPwdSvc.exe
O23 – Service: Symantec Settings Manager (ccSetMgr) – Symantec Corporation – C:\Program Files\Common Files\Symantec Shared\ccSetMgr.exe
O23 – Service: Norton AntiVirus Auto–Protect Service (navapsvc) – Symantec Corporation – C:\Program Files\Norton SystemWorks\Norton AntiVirus\navapsvc.exe
O23 – Service: Norton AntiVirus Firewall Monitor Service (NPFMntor) – Symantec Corporation – C:\Program Files\Norton SystemWorks\Norton AntiVirus\IWP\NPFMntor.exe
O23 – Service: Norton Unerase Protection (NProtectService) – Symantec Corporation – C:\PROGRA~1\NORTON~1\NORTON~1\NPROTECT.EXE
O23 – Service: SAVScan – Symantec Corporation – C:\Program Files\Norton SystemWorks\Norton AntiVirus\SAVScan.exe
O23 – Service: ScriptBlocking Service (SBService) – Symantec Corporation – C:\PROGRA~1\COMMON~1\SYMANT~1\SCRIPT~1\SBServ.exe
O23 – Service: Symantec Network Drivers Service (SNDSrvc) – Symantec Corporation – C:\Program Files\Common Files\Symantec Shared\SNDSrvc.exe
O23 – Service: Symantec SPBBCSvc (SPBBCSvc) – Symantec Corporation – C:\Program Files\Common Files\Symantec Shared\SPBBC\SPBBCSvc.exe
O23 – Service: Speed Disk service – Symantec Corporation – C:\PROGRA~1\NORTON~1\NORTON~1\SPEEDD~1\NOPDB.EXE
O23 – Service: Symantec Core LC – Symantec Corporation – C:\Program Files\Common Files\Symantec Shared\CCPD–LC\symlcsvc.exe



@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@
chyba to mam eyslac?!

Hmmmm... widze, ze bedzie trzeba do tego podejść od dupy strony. :P
1. Sciagasz program STĄD
2. Rozpakowujesz
3. Uruchamiasz go
4. Klikasz w "Do a system scan..."
5. Czekasz moment
6. Wyskakuje Ci notatnik
7. Kopiujesz wszystko co on Ci tam wypluje
8. Wklejasz do posta
9. Wysyłasz na forum
Kurna prościej juź nie umiem

robie wszystko co tam jest pokazane i nic to nie daje!
czemu??

Widze, ze Ci to topornie idzie więc trzymaj – http://forum.centrumxp.pl/viewtopic.php?t=19974
Na obrazkach masz wszystko co powinienes wiedzieć.
Linki do downloadu tez nie zapomnij odwiedzić. :wink:

ok ale ja sie raczej nieznam ma komputerach czy mugl bys napisac mi to dokladniej??

jaczek:

...jak tego trojana sie pozbyc??

Wklej loga z programu Hijack This, wiecej informacji o nim w FAQ w tym dziale – jakbys nie wiedział.

Bobi:

To ten trojan >> http://www.sophos.com/virusinfo/analyses/trojfakealea.html
Nic na razie czekamy na loga z HJT albo kolega jaczek sam zajmie sie tym smieciem wg opisu
Zapewne wyskoczy w logu:

O4 – HKCU\..\Run: [WindowsFY] c:\wp.exe

Oraz prawdopodobnie kilku innych jego 'przyjaciół'

tez mi sie tak wydaje
poniewasz na tym niebieskim pulpicie mam napisane
cos po angielsku :error was caused by trojan–spy.HTML.smitfraud.c
nieznam angielskiego
jak tego trojana sie pozbyc??

To ten trojan >> http://www.sophos.com/virusinfo/analyses/trojfakealea.html
Nic na razie czekamy na loga z HJT albo kolega jaczek sam zajmie sie tym smieciem wg opisu
Zapewne wyskoczy w logu:

O4 – HKCU\..\Run: [WindowsFY] c:\wp.exe

Oraz prawdopodobnie kilku innych jego 'przyjaciół'

lub jeźeli masz Pande internet seciurity 2005 to nia przeskanuj

Albo ze stronki microsoftu pobierz "Microsoft AntiSpyware". Jest darmowy dobry i przynajmniej ja nienazkem choć to jest BETA.
pozdro