CentrumXP Forum Tematyka portalu CentrumXP.pl Bezpieczeństwo prosze o analize loga

prosze o analize loga

witam mam big problem
mam jakiegos wira czy cos zablokowal mi rejestr i podmienil strone startowa (zablokowal i nie moge zmienic) scanowalem kompa juz 2 antywirami i nic nie wyykryly
spybot rowniez nic nie wykrywa
pomocy bo niewiem juz co robic :(

Logfile of HijackThis v1.98.2
Scan saved at 17:48:49, on 2004–10–05
Platform: Windows XP Dodatek SP. 1 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP1 (6.00.2800.1106)

Running processes:
C:WINDOWSSystem32smss.exe
C:WINDOWSsystem32winlogon.exe
C:WINDOWSsystem32services.exe
C:WINDOWSsystem32lsass.exe
C:WINDOWSSystem32Ati2evxx.exe
C:WINDOWSsystem32svchost.exe
C:WINDOWSSystem32svchost.exe
C:WINDOWSsystem32spoolsv.exe
C:WINDOWSsystem32Ati2evxx.exe
C:WINDOWSExplorer.EXE
C:WINDOWSSystem32RunDll32.exe
C:Program FilesATI TechnologiesATI Control Panelatiptaxx.exe
C:PROGRA~1ALWILS~1Avast4ashDisp.exe
C:PROGRA~1ALWILS~1Avast4ashmaisv.exe
C:Program FilesWinampwinampa.exe
C:WINDOWSSystemsvchost.exe
C:Program FilesGadu–Gadugg.exe
C:Program FilesAlwil SoftwareAvast4aswUpdSv.exe
C:Program FilesAlwil SoftwareAvast4ashServ.exe
C:Program FilesSpybot – Search & DestroyTeaTimer.exe
C:Program FilesRealVNCVNC4WinVNC4.exe
C:Program FilesWinZipWZQKPICK.EXE
C:Program FilesInternet Exploreriexplore.exe
C:Documents and SettingsAdministratorPulpitHijackThis.exe
C:WINDOWSsystem32NOTEPAD.EXE

R1 – HKCUSoftwareMicrosoftInternet Explorer,SearchURL = http://searchmyrequest.com/sp.php
R1 – HKLMSoftwareMicrosoftInternet Explorer,SearchURL = http://searchmyrequest.com/sp.php
R1 – HKCUSoftwareMicrosoftInternet ExplorerMain,Search Bar = http://searchmyrequest.com/sp.php
R1 – HKCUSoftwareMicrosoftInternet ExplorerMain,Search Page = http://searchmyrequest.com/sp.php
R1 – HKLMSoftwareMicrosoftInternet ExplorerMain,Search Bar = http://searchmyrequest.com/sp.php
R1 – HKLMSoftwareMicrosoftInternet ExplorerMain,Search Page = http://searchmyrequest.com/sp.php
R1 – HKCUSoftwareMicrosoftInternet ExplorerSearch,SearchAssistant = http://searchmyrequest.com/sp.php
R0 – HKLMSoftwareMicrosoftInternet ExplorerSearch,SearchAssistant = http://searchmyrequest.com/sp.php
R1 – HKCUSoftwareMicrosoftWindowsCurrentVersionInternet Settings,ProxyServer = 192.168.0.1:8080
O2 – BHO: (no name) – {53707962–6F74–2D53–2644–206D7942484F} – C:Program FilesSpybot – Search & DestroySDHelper.dll
O4 – HKLM..Run: [SiSUSBRG] C:WINDOWSSiSUSBrg.exe
O4 – HKLM..Run: [Cmaudio] RunDll32 cmicnfg.cpl,CMICtrlWnd
O4 – HKLM..Run: [ATIPTA] C:Program FilesATI TechnologiesATI Control Panelatiptaxx.exe
O4 – HKLM..Run: [avast!] C:PROGRA~1ALWILS~1Avast4ashDisp.exe
O4 – HKLM..Run: [ashMaiSv] C:PROGRA~1ALWILS~1Avast4ashmaisv.exe
O4 – HKLM..Run: [WinampAgent] C:Program FilesWinampwinampa.exe
O4 – HKLM..Run: [tjstartup] C:WINDOWSSystemsvchost.exe
O4 – HKLM..Run: [Sys29] C:windowssystem32wingyj32.exe
O4 – HKCU..Run: [Gadu–Gadu] "C:Program FilesGadu–Gadugg.exe" /tray
O4 – HKCU..Run: [SpybotSD TeaTimer] C:Program FilesSpybot – Search & DestroyTeaTimer.exe
O4 – Global Startup: WinZip Quick Pick.lnk = C:Program FilesWinZipWZQKPICK.EXE
O6 – HKCUSoftwarePoliciesMicrosoftInternet ExplorerControl Panel present
O7 – HKCUSoftwareMicrosoftWindowsCurrentVersionPoliciesSystem, DisableRegedit=1
O16 – DPF: {9A9307A0–7DA4–4DAF–B042–5009F29E09E1} (ActiveScan Installer Class) – http://www.pandasoftware.com/activescan/as5/asinst.cab
O16 – DPF: {E7544C6C–CFD6–43EA–B4E9–360CEE20BDF7} (MainControl Class) – http://skaner.mks.com.pl/SkanerOnline.cab
O17 – HKLMSystemCCSServicesTcpip..{9451E746–E70F–429A–B90A–A574CFA469A0}: NameServer = 192.168.0.1
O21 – SSODL: SystemCheck – {54645654–2225–4455–44A1–9F4543D34544} – C:WINDOWSSystem32vbsys.dll

Odpowiedzi: 6

dzieki bardzo za pomoc
reszte usunolem w trybie awaryjnym....
pierwszy raz takie badziewie mialem
:D pozdrawiam
marek321
Dodano
07.10.2004 19:51:25
A zakonczyłeś wcześniej proces w Menadzerze zadań ?
Czy tylko usunełeś odwołanie z klucza Run.
Tutaj masz napisane co naleźy zrobić :

:arrow: http://securityresponse.symantec.com/avcenter/venc/data/adware.elitebar.html
McScr@by
Dodano
05.10.2004 23:20:56
marek321:

pozostale problemy to
zablokowany rejestr

i zablokowane podmienianie strony startowej
Rejestr odblokujesz w gpedit.msc (masz chyba XP Prof ?) a pozniej w rejestrze odblokujesz zakladke ze strona startowa.
W gpedicie – User ConfigurationAdministrative TemplatesSystem
a pozniej na forum przez "Szukaj" znajdziesz "generaltab" i zmienisz w rejestrze wartosc na 0 (zero) – dopiero co przed chwila podawalem w dziale XP, ale zeby zablokowac :wink: .
EL NINO
Dodano
05.10.2004 23:02:49
WIELKIE DZIEKI

Czy znany jest Tobie C:Program FilesRealVNCVNC4WinVNC4.exe ( korzystasz z zdalnej adninistracji za jego pomocą ?

:arrow: tak uzywam go do poloczenia zdalnego

HKCUSoftwareMicrosoftWindowsCurrentVersionInternet Settings,ProxyServer = 192.168.0.1:8080 to jest proxy z którego korzystasz ?

:arrow: tak to moje proxy


teraz logo wyglada tak

Logfile of HijackThis v1.98.2
Scan saved at 20:23:38, on 2004–10–05
Platform: Windows XP Dodatek SP. 1 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP1 (6.00.2800.1106)

Running processes:
C:WINDOWSSystem32smss.exe
C:WINDOWSsystem32csrss.exe
C:WINDOWSsystem32winlogon.exe
C:WINDOWSsystem32services.exe
C:WINDOWSsystem32lsass.exe
C:WINDOWSsystem32svchost.exe
C:WINDOWSSystem32svchost.exe
C:WINDOWSSystem32svchost.exe
C:WINDOWSSystem32svchost.exe
C:WINDOWSsystem32spoolsv.exe
C:Program FilesAlwil SoftwareAvast4aswUpdSv.exe
C:Program FilesAlwil SoftwareAvast4ashServ.exe
C:Program FilesRealVNCVNC4WinVNC4.exe
C:WINDOWSExplorer.EXE
C:Program FilesWinampwinamp.exe
C:WINDOWSsystem32NOTEPAD.EXE
C:Documents and SettingsAdministratorPulpitHijackThis.exe

R1 – HKCUSoftwareMicrosoftWindowsCurrentVersionInternet Settings,ProxyServer = 192.168.0.1:8080
O4 – HKLM..Run: [SiSUSBRG] C:WINDOWSSiSUSBrg.exe
O4 – HKLM..Run: [Cmaudio] RunDll32 cmicnfg.cpl,CMICtrlWnd
O4 – HKLM..Run: [ATIPTA] C:Program FilesATI TechnologiesATI Control Panelatiptaxx.exe
O4 – HKLM..Run: [avast!] C:PROGRA~1ALWILS~1Avast4ashDisp.exe
O4 – HKLM..Run: [ashMaiSv] C:PROGRA~1ALWILS~1Avast4ashmaisv.exe
O4 – HKLM..Run: [WinampAgent] C:Program FilesWinampwinampa.exe
O4 – HKLM..Run: [tjstartup] C:WINDOWSSystemsvchost.exe
O4 – HKLM..Run: [Sys29] C:windowssystem32wingyj32.exe
O4 – HKCU..Run: [Gadu–Gadu] "C:Program FilesGadu–Gadugg.exe" /tray
O4 – HKCU..Run: [SpybotSD TeaTimer] C:Program FilesSpybot – Search & DestroyTeaTimer.exe
O4 – HKCU..Run: [SpySweeper] "C:Program FilesWebrootSpy SweeperSpySweeper.exe" /0
O4 – Global Startup: WinZip Quick Pick.lnk = C:Program FilesWinZipWZQKPICK.EXE
O6 – HKCUSoftwarePoliciesMicrosoftInternet ExplorerControl Panel present
O7 – HKCUSoftwareMicrosoftWindowsCurrentVersionPoliciesSystem, DisableRegedit=1
O16 – DPF: {9A9307A0–7DA4–4DAF–B042–5009F29E09E1} (ActiveScan Installer Class) – http://www.pandasoftware.com/activescan/as5/asinst.cab
O16 – DPF: {E7544C6C–CFD6–43EA–B4E9–360CEE20BDF7} (MainControl Class) – http://skaner.mks.com.pl/SkanerOnline.cab
O17 – HKLMSystemCCSServicesTcpip..{9451E746–E70F–429A–B90A–A574CFA469A0}: NameServer = 192.168.0.1




pozostale problemy to
zablokowany rejestr

i zablokowane podmienianie strony startowej
skanowalem
avastem home
panda onnline scaner
mks onnline
spybot
spaysweper
cwshreder
usunolem wingyj32.exe ale znowu sie pojawilo :(

pozdrawiam[/list]
marek321
Dodano
05.10.2004 22:45:12
Wyłącz przywracanie systemu,
Napraw :
R1 – HKCUSoftwareMicrosoftInternet Explorer,SearchURL = http://searchmyrequest.com/sp.php
R1 – HKLMSoftwareMicrosoftInternet Explorer,SearchURL = http://searchmyrequest.com/sp.php
R1 – HKCUSoftwareMicrosoftInternet ExplorerMain,Search Bar = http://searchmyrequest.com/sp.php
R1 – HKCUSoftwareMicrosoftInternet ExplorerMain,Search Page = http://searchmyrequest.com/sp.php
R1 – HKLMSoftwareMicrosoftInternet ExplorerMain,Search Bar = http://searchmyrequest.com/sp.php
R1 – HKLMSoftwareMicrosoftInternet ExplorerMain,Search Page = http://searchmyrequest.com/sp.php
R1 – HKCUSoftwareMicrosoftInternet ExplorerSearch,SearchAssistant = http://searchmyrequest.com/sp.php
R0 – HKLMSoftwareMicrosoftInternet ExplorerSearch,SearchAssistant = http://searchmyrequest.com/sp.php
R1 – O4 – HKLM..Run: [Sys29] C:windowssystem32wingyj32.exe
O6 – HKCUSoftwarePoliciesMicrosoftInternet ExplorerControl Panel present
O7 – HKCUSoftwareMicrosoftWindowsCurrentVersionPoliciesSystem, DisableRegedit=1
O21 – SSODL: SystemCheck – {54645654–2225–4455–44A1–9F4543D34544} – C:WINDOWSSystem32vbsys.dll


Czy znany jest Tobie C:Program FilesRealVNCVNC4WinVNC4.exe ( korzystasz z zdalnej adninistracji za jego pomocą ? )

HKCUSoftwareMicrosoftWindowsCurrentVersionInternet Settings,ProxyServer = 192.168.0.1:8080 to jest proxy z którego korzystasz ?

Zakończ procesy w Task`u :
wingyj32.exe

Wyszukaj zaznaczając ukryte i usuń :
wingyj32.exe
vbsys.dll

Włącz przywracanie.

Według PC Hell,
Searchmyrequest.com usuwa CWShredder.
McScr@by
Dodano
05.10.2004 21:44:29
problemem zdaje mi sie to –––
searchmyrequest
co usune po restarcie jest z powrotem ???
macie jakies pomysly z gory dzieki
marek321
Dodano
05.10.2004 19:57:39
marek321
Dodano:
05.10.2004 19:55:33
Komentarzy:
6
Strona 1 / 1