Nie, to pierwsze. Tzw. primary domain :P .

EL NINO:

Fajnie kurna :P .

El, to twoje drugie wcielenie :mrgreen: ??

Arnold_AL:

To znaczy – ja i tak będę robił formata pewnie nawet w tym tygodniu

Fajnie kurna :P .


Mozna wiedziec po co ?

OK. Juź. To znaczy – ja i tak będę robił formata pewnie nawet w tym tygodniu, ale chciałem się tego pozbyć, bo co mi jakieś wirusy czy inne spyware'y będą podskakiwać, no nie? :)

Arnold_AL:

Ja to zmieniam w rejestrze, ale to ma być tylko w CurrentControlSet czy takźe w ControlSet001, ControlSet002 itd.?

Dla pewności pozmieniaj wszystkie te wpisy DataBasePath na ścieźkę przez Bobiego podaną.

Ja to zmieniam w rejestrze, ale to ma być tylko w CurrentControlSet czy takźe w ControlSet001, ControlSet002 itd.?

Arnold_AL:

Ale gdzie mam to zrobić?

Ściągnij sobie załącznik z mojego posta, rozpakuj i dwuklikem scal z rejestrem

Ale gdzie mam to zrobić? Otworzyć edytor na obojętnie jakim wpisie i po prostu dodać nowy czy moźe to trzeba w jakimś konkretnym miejscu bo juź się pogubiłem...

W Silent Runners znowu mam ten wpis HIJACK WARNING! "DataBasePath" = "C:\WINDOWS\nsdb"
Więc co? Tutaj mogę zmienić ścieźkę?


Ok, odnalazłem to w rejestrze i zmieniłem, powinno być dobrze. To juź chyba wszystko. 2 dni grzebania się z tym dziadostwem wystarczy :)

Arnold_AL:

Za późno... Usunąłem... Czy czymś to grozi?

Cholewka – mój błąd – przepraszam – dodaj ten wpis z powrotem (w prawym panelu edytora rejestru kliknij prawym klawiszem i Nowy –> wartość ciągu )a jako wartość podaj mu ścieźkę, którą Bobi podał.

Za późno... Usunąłem... Czy czymś to grozi?
A poza tym to dzięki – fachowa obsługa 8)

DataBasePath nie usuwaj, a jedynie zmien mu sciezkę na: %SystemRoot%\System32\drivers\etc

Arnold_AL:

Plik msvcp.exe usunąłem wcześniej – nie wiem skąd wziął się w logu.

Zrób zatem fix wpisu i juź ;)

Arnold_AL:

Przywracanie – w sumie mi nie potrzebne :) Podobno przez nie jeszcze więcej badziewia się ściąga.

Niepotrzebne jest dopóki nie trzeba z niego skorzystać. Niejednemu juź tyłek uratowało. A z tym ściąganiem badziewia to bzdura.

HKCU\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\
HIJACK WARNING! "ForceActiveDesktopOn"=dword:00000001

Uruchom regedit, wejdź pod podany tutaj klucz rejestru i usuń wpis ForceActiveDesktopOn

HKLM\System\CurrentControlSet\Services\Tcpip\Parameters\
HIJACK WARNING! "DataBasePath" = "C:\WINDOWS\nsdb"

Wejdź do tego klucza rejestru i usuń wpis DataBasePath. C:\WINDOWS\nsdb to powinien być folder – jego teź usuń (o ile jest).

Arnold_AL:

A z tymi skryptami to mi chodziło o to jak działają te źe się importuje olik .reg do rejestru i tapetka jest :)

Wejdź jeszcze we właściwości pulpitu –> Dostosuj pulpit –> Sieć Web – jak tam masz jakieś strony to je usuń i ewentualnie odznacz "Wyświetl zawartość sieci Web ..."

Plik msvcp.exe usunąłem wcześniej – nie wiem skąd wziął się w logu. Przywracanie – w sumie mi nie potrzebne :) Podobno przez nie jeszcze więcej badziewia się ściąga. Co do podejrzanych plików niektórych teź nie jestem pewien. Jak się wrzuci tego loga do automata to jest coś o pewnym adresie IP ale nie do końca wiem o co chodzi.
I mogę jeszcze wrzucić loga w SilentRunners'a:

"Silent Runners.vbs", revision 41, http://www.silentrunners.org/
Operating System: Windows XP
Output limited to non–default values, except where indicated by "{++}"


Startup items buried in registry:
–––––––––––––––––––––––––––––––––

HKCU\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\ {++}
"WITaj!" = "rem –– Anulowane uruchamianie programu WITaj! 2000" [file not found]
"Update Service" = "C:\PROGRA~1\COMMON~1\TEKNUM~1\update.exe /startup" ["Teknum Systems AS"]
"HDDHealth" = "D:\Programy uźytkowe\HDD Health\hddhealth.exe –wl" ["PANTERASoft"]
"Gadu–Gadu" = ""D:\Programy uźytkowe\Gadu–Gadu\gg.exe" /tray" ["Gadu–Gadu Sp. z oo"]
"CursorXP" = "D:\Programy uźytkowe\CursorXP\CursorXP.exe" [" "]
"CTFMON.EXE" = "C:\WINDOWS\System32\ctfmon.exe" [MS]

HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\ {++}
"Disc Detector" = "C:\Program Files\Creative\ShareDLL\CtNotify.exe" ["Creative Technology Ltd."]
"Zone Labs Client" = "D:\Programy uźytkowe\ZoneAlarm 6\zlclient.exe" ["Zone Labs, LLC"]
"WOOWATCH" = "C:\PROGRA~1\NEOSTR~1\Watch.exe" ["France Tlcom R&D"]
"WOOTASKBARICON" = "C:\PROGRA~1\NEOSTR~1\TaskbarIcon.exe" ["France Tlcom R&D"]
"WooCnxMon" = "C:\PROGRA~1\NEOSTR~1\CnxMon.exe" [empty string]
"SunJavaUpdateSched" = "C:\Program Files\Java\j2re1.4.2_06\bin\jusched.exe" [null data]
"QuickTime Task" = ""D:\odtwarzacze\QuickTime 6\qttask.exe" –atboottime" ["Apple Computer, Inc."]
"nwiz" = "nwiz.exe /install" ["NVIDIA Corporation"]
"NvMediaCenter" = "RUNDLL32.EXE C:\WINDOWS\System32\NvMcTray.dll,NvTaskbarInit" [MS]
"NvCplDaemon" = "RUNDLL32.EXE C:\WINDOWS\System32\NvCpl.dll,NvStartup" [MS]
"Microsoft Office" = "C:\WINDOWS\System32\msvcp.exe" [file not found]
"Creative WebCam Tray" = "C:\Program Files\Creative\Shared Files\CAMTRAY.EXE" ["Creative Technology Ltd"]
"AVG7_EMC" = "D:\PROGRA~1\AVGFRE~1\avgemc.exe" ["GRISOFT, s.r.o."]
"AVG7_CC" = "D:\PROGRA~1\AVGFRE~1\avgcc.exe /STARTUP" ["GRISOFT, s.r.o."]
"AudioHQU" = "C:\Program Files\Creative\SBLive\AudioHQ\AHQTBU.EXE" [file not found]
"AudioHQ" = "C:\Program Files\Creative\SBLive\AudioHQ\AHQTB.EXE" ["Creative Technology Ltd."]

HKLM\Software\Microsoft\Windows\CurrentVersion\Explorer\Browser Helper Objects\
{06849E9F–C8D7–4D59–B87D–784B7D6BE0B3}\(Default) = "AcroIEHlprObj Class" [from CLSID]
–> {CLSID}\InProcServer32\(Default) = "D:\Programy uźytkowe\Adobe Reader 7 PL\ActiveX\AcroIEHelper.dll" ["Adobe Systems Incorporated"]
{AA58ED58–01DD–4d91–8333–CF10577473F7}\(Default) = "Google Toolbar Helper" [from CLSID]
–> {CLSID}\InProcServer32\(Default) = "c:\program files\google\googletoolbar2.dll" ["Google Inc."]

HKLM\Software\Microsoft\Windows\CurrentVersion\Shell Extensions\Approved\
"{1CDB2949–8F65–4355–8456–263E7C208A5D}" = "Desktop Explorer"
–> {CLSID}\InProcServer32\(Default) = "C:\WINDOWS\System32\nvshell.dll" ["NVIDIA Corporation"]
"{1E9B04FB–F9E5–4718–997B–B8DA88302A47}" = "Desktop Explorer Menu"
–> {CLSID}\InProcServer32\(Default) = "C:\WINDOWS\System32\nvshell.dll" ["NVIDIA Corporation"]
"{1E9B04FB–F9E5–4718–997B–B8DA88302A48}" = "nView Desktop Context Menu"
–> {CLSID}\InProcServer32\(Default) = "C:\WINDOWS\System32\nvshell.dll" ["NVIDIA Corporation"]
"{640167b4–59b0–47a6–b335–a6b3c0695aea}" = "Portable Media Devices"
–> {CLSID}\InProcServer32\(Default) = "C:\WINDOWS\System32\Audiodev.dll" [MS]
"{cc86590a–b60a–48e6–996b–41d25ed39a1e}" = "Portable Media Devices Menu"
–> {CLSID}\InProcServer32\(Default) = "C:\WINDOWS\System32\Audiodev.dll" [MS]
"{0006F045–0000–0000–C000–000000000046}" = "Microsoft Outlook Custom Icon Handler"
–> {CLSID}\InProcServer32\(Default) = "D:\Programy uźytkowe\Microsoft Office XP\Office10\OLKFSTUB.DLL" [MS]
"{42042206–2D85–11D3–8CFF–005004838597}" = "Microsoft Office HTML Icon Handler"
–> {CLSID}\InProcServer32\(Default) = "D:\Programy uźytkowe\Microsoft Office XP\Office10\msohev.dll" [MS]
"{A70C977A–BF00–412C–90B7–034C51DA2439}" = "NvCpl DesktopContext Class"
–> {CLSID}\InProcServer32\(Default) = "C:\WINDOWS\System32\nvcpl.dll" ["NVIDIA Corporation"]
"{FFB699E0–306A–11d3–8BD1–00104B6F7516}" = "Play on my TV helper"
–> {CLSID}\InProcServer32\(Default) = "C:\WINDOWS\System32\nvcpl.dll" ["NVIDIA Corporation"]
"{B41DB860–8EE4–11D2–9906–E49FADC173CA}" = "WinRAR shell extension"
–> {CLSID}\InProcServer32\(Default) = "D:\Programy uźytkowe\WinRAR\rarext.dll" [null data]
"{9F97547E–4609–42C5–AE0C–81C61FFAEBC3}" = "AVG7 Shell Extension"
–> {CLSID}\InProcServer32\(Default) = "D:\Programy uźytkowe\AVG Free Edition\avgse.dll" ["GRISOFT, s.r.o."]
"{9F97547E–460A–42C5–AE0C–81C61FFAEBC3}" = "AVG7 Find Extension"
–> {CLSID}\InProcServer32\(Default) = "D:\Programy uźytkowe\AVG Free Edition\avgse.dll" ["GRISOFT, s.r.o."]

HKLM\Software\Classes\*\shellex\ContextMenuHandlers\
AVG7 Shell Extension\(Default) = "{9F97547E–4609–42C5–AE0C–81C61FFAEBC3}"
–> {CLSID}\InProcServer32\(Default) = "D:\Programy uźytkowe\AVG Free Edition\avgse.dll" ["GRISOFT, s.r.o."]
SharedMenuHandler\(Default) = "{916F1ADF–2F02–46C2–B7D2–310468390750}"
–> {CLSID}\InProcServer32\(Default) = "ssmenu.dll" ["Teknum Systems AS"]
WinRAR\(Default) = "{B41DB860–8EE4–11D2–9906–E49FADC173CA}"
–> {CLSID}\InProcServer32\(Default) = "D:\Programy uźytkowe\WinRAR\rarext.dll" [null data]

HKLM\Software\Classes\Directory\shellex\ContextMenuHandlers\
SharedMenuHandler\(Default) = "{916F1ADF–2F02–46C2–B7D2–310468390750}"
–> {CLSID}\InProcServer32\(Default) = "ssmenu.dll" ["Teknum Systems AS"]
WinRAR\(Default) = "{B41DB860–8EE4–11D2–9906–E49FADC173CA}"
–> {CLSID}\InProcServer32\(Default) = "D:\Programy uźytkowe\WinRAR\rarext.dll" [null data]

HKLM\Software\Classes\Folder\shellex\ContextMenuHandlers\
AVG7 Shell Extension\(Default) = "{9F97547E–4609–42C5–AE0C–81C61FFAEBC3}"
–> {CLSID}\InProcServer32\(Default) = "D:\Programy uźytkowe\AVG Free Edition\avgse.dll" ["GRISOFT, s.r.o."]
WinRAR\(Default) = "{B41DB860–8EE4–11D2–9906–E49FADC173CA}"
–> {CLSID}\InProcServer32\(Default) = "D:\Programy uźytkowe\WinRAR\rarext.dll" [null data]


Group Policies [Description] {enabled Group Policy setting}:
––––––––––––––––––––––––––––––––––––––––––––––––––––––––––––

HKCU\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\
HIJACK WARNING! "ForceActiveDesktopOn"=dword:00000001
[enables Active Desktop and prevents disabling it]
{User Configuration|Administrative Templates|Desktop|Active Desktop|
Enable Active Desktop}


Active Desktop and Wallpaper:
–––––––––––––––––––––––––––––

Active Desktop enabled via Group Policy.

HKCU\Software\Microsoft\Internet Explorer\Desktop\General\
"Wallpaper" = "C:\Documents and Settings\Arnold\Ustawienia lokalne\Dane aplikacji\Microsoft\Wallpaper1.bmp"


Startup items in "Arnold" & "All Users" startup folders:
––––––––––––––––––––––––––––––––––––––––––––––––––––––––

C:\Documents and Settings\All Users\Menu Start\Programy\Autostart
"SpeedFan" –> shortcut to: "D:\Programy uźytkowe\SpeedFan\speedfan.exe" ["Almico Software (www.almico.com)"]
"Kalendarz XP" –> shortcut to: "D:\Programy uźytkowe\Kalendarz XP\Kalendarz.exe" [null data]
"DSLMON" –> shortcut to: "C:\Program Files\SAGEM\SAGEM F@st 800–840\dslmon.exe" [empty string]


Winsock2 Service Provider DLLs:
–––––––––––––––––––––––––––––––

Namespace Service Providers

HKLM\System\CurrentControlSet\Services\Winsock2\Parameters\NameSpace_Catalog5\Catalog_Entries\ {++}
000000000001\LibraryPath = "%SystemRoot%\System32\mswsock.dll" [MS]
000000000002\LibraryPath = "%SystemRoot%\System32\winrnr.dll" [MS]
000000000003\LibraryPath = "%SystemRoot%\System32\mswsock.dll" [MS]

Transport Service Providers

HKLM\System\CurrentControlSet\Services\Winsock2\Parameters\Protocol_Catalog9\Catalog_Entries\ {++}
0000000000##\PackedCatalogItem (contains) DLL [Company Name], (at) ## range:
%SystemRoot%\system32\mswsock.dll [MS], 01 – 03, 06 – 16
%SystemRoot%\system32\rsvpsp.dll [MS], 04 – 05


Toolbars, Explorer Bars, Extensions:
––––––––––––––––––––––––––––––––––––

Toolbars

HKCU\Software\Microsoft\Internet Explorer\Toolbar\WebBrowser\
"{2318C2B1–4965–11D4–9B18–009027A5CD4F}" = "&Google" [from CLSID]
–> {CLSID}\InProcServer32\(Default) = "c:\program files\google\googletoolbar2.dll" ["Google Inc."]

HKLM\Software\Microsoft\Internet Explorer\Toolbar\
"{2318C2B1–4965–11D4–9B18–009027A5CD4F}" = "&Google" [from CLSID]
–> {CLSID}\InProcServer32\(Default) = "c:\program files\google\googletoolbar2.dll" ["Google Inc."]

Extensions (Tools menu items, main toolbar menu buttons)

HKLM\Software\Microsoft\Internet Explorer\Extensions\
{08B0E5C0–4FCB–11CF–AAA5–00401C608501}\
"MenuText" = "Sun Java Console"
"CLSIDExtension" = "{08B0E5C0–4FCB–11CF–AAA5–00401C608501}"
–> {CLSID}\InProcServer32\(Default) = "C:\WINDOWS\System32\msjava.dll" [MS]


Miscellaneous IE Hijack Points
––––––––––––––––––––––––––––––

HKCU\Software\Microsoft\Internet Explorer\URLSearchHooks\

Missing lines (compared with English–language version):
"{08C06D61–F1F3–4799–86F8–BE1A89362C85}" = "Search Class" [from CLSID]
–> {CLSID}\InProcServer32\(Default) = "C:\PROGRA~1\NEOSTR~1\SEARCH~1.DLL" [empty string]


HOSTS file
––––––––––

HKLM\System\CurrentControlSet\Services\Tcpip\Parameters\
HIJACK WARNING! "DataBasePath" = "C:\WINDOWS\nsdb"


Running Services (Display Name, Service Name, Path {Service DLL}):
––––––––––––––––––––––––––––––––––––––––––––––––––––––––––––––––––

AVG7 Alert Manager Server, Avg7Alrt, "D:\PROGRA~1\AVGFRE~1\avgamsvr.exe" ["GRISOFT, s.r.o."]
AVG7 Update Service, Avg7UpdSvc, "D:\PROGRA~1\AVGFRE~1\avgupsvc.exe" ["GRISOFT, s.r.o."]
Creative Service for CDROM Access, Creative Service for CDROM Access, "C:\WINDOWS\System32\CTsvcCDA.EXE" ["Creative Technology Ltd"]
Machine Debug Manager, MDM, ""C:\Program Files\Common Files\Microsoft Shared\VS7Debug\mdm.exe"" [MS]
NVIDIA Display Driver Service, NVSvc, "C:\WINDOWS\System32\nvsvc32.exe" ["NVIDIA Corporation"]
TrueVector Internet Monitor, vsmon, "C:\WINDOWS\system32\ZONELABS\vsmon.exe –service" ["Zone Labs, LLC"]
Windows User Mode Driver Framework, UMWdf, "C:\WINDOWS\System32\wdfmgr.exe" [MS]
WMDM PMSP Service, WMDM PMSP Service, "C:\WINDOWS\System32\MsPMSPSv.exe" [MS]


––––––––––
+ This report excludes default entries except where indicated.
+ To see *everywhere* the script checks and *everything* it finds,
launch it from a command prompt or a shortcut with the –all parameter.
+ To search all directories of local fixed drives for DESKTOP.INI
DLL launch points and all Registry CLSIDs for dormant Explorer Bars,
use the –supp parameter or answer "No" at the first message box.
–––––––––– (total run time: 56 seconds, including 11 seconds for message boxes)


Pliku C:\WINDOWS\nsdb nie posiadam.
A z tymi skryptami to mi chodziło o to jak działają te źe się importuje olik .reg do rejestru i tapetka jest :)

Arnold_AL:

Witam.

Ja równieź :)

Arnold_AL:

1. Po co trzeba wyłączać przywracanie (pytam z ciekawości:))?

Po to, aby wyeliminować śmieci gnieźdźące się tam i mogące się dzięki temu odtwarzać. Oczywiście po usuięciu wszystkich śmieci naleźy Przywracanie systemu włączyć.

Arnold_AL:

2. Jaka jest zasada działania pliku który podajecie do odblokowania tapety i czy dla mnie teź będzie on przydatny a moźe jakiś inny?

Pliku ?? Toź to wpis/wpisy z rejestru, które usunąć naleźy.

To co niźej to do fixa leci – plik wyboldowany usuń z systemu.

R1 – HKCU\Software\Microsoft\Internet Explorer\Search,SearchAssistant = http://hot–searches.com/index.php?v=6&aff=7086395
O4 – HKLM\..\Run: [Microsoft Office] C:\WINDOWS\System32\msvcp.exe

Znasz to ?? Wydaje mi się, źe to coś przychodzi z programami z http://www.handybits.com/ – ale pewności nie mam. W razie czego, jakbyś chciał wyłączyć tego updatera to mozna skorzystać z instrukcji zawartej tutaj

O4 – HKCU\..\Run: [Update Service] C:\PROGRA~1\COMMON~1\TEKNUM~1\update.exe /startup

To jakieś podejrzane – jeźeli nie znasz to plik i usługę usuń (o usuwaniu usług na forum znajdziesz informacje)

O23 – Service: Poweroff – Unknown owner – C:\WINDOWS\System32\poweroff.exe" –service (file missing)

Arnold_AL:

Właśnie po usunięciu jeszcze kilku wartości w rejestrze mogę zmienić tapetę, ale mam czarne tło pod nazwami liter.

Solucje dotyczące przezroczystości pod iknonami znajdziesz w dziale Windows XP a konkretniej w FAQ tam umieszczonym.

O zreperacji Przywracania systemu teź jakieś porady się na forum przewinęły – poszukaj ich ;)

No, chyba wszystko :)