w84u:

W Uruchom wpisz SERVICES.MSC i wyłącz usługę indeksowania. Przeczyść dysk np. darmowym Odkurzaczem, kaźdą partycję oddzielnie (do pobrania http://franmo.marsoft.com.pl/index.htm )zdefragmentuj dyski, moźe być systemowy defragmentator, ale godne polecenia są Diskeeper i Perfect Disk.

rozumiem źe potem włączyć USŁUGĘ INDEKSOWANIA?

Otwórz notatnik i wklej w nim to

Windows Registry Editor Version 5.00

[HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
"key2"=–

[–HKEY_LOCAL_MACHINE\Software\Microsoft\Windows NT\CurrentVersion\Winlogon\Notify\ldr64]

[–HKEY_LOCAL_MACHINE\Software\Microsoft\Windows NT\CurrentVersion\Winlogon\Notify\mloader32]

Plik >>> Zapisz jako >>> Zmień rozszerzenie z TXT na Wszystkie pliki >>> zapisz pod nazwą FIX.REG i tryb awaryjny, uruchomienie pliku FIX.REG.
Wyszukaj na dysku plików mloader32 i ldr64 jak będą to je usuń.

Natomiast to

HKLM\System\CurrentControlSet\Control\Session Manager\
INFECTION WARNING! "BootExecute" = "autocheck autochk * aswBoot.exe /A:"*" /L:"Polish"" [file not found], [MS], [file not found], [null data], [file not found], [file not found]

Start >>> Uruchom >>> regedit i przejdz do klucza HKEY_LOCAL_MACHINE\System\CurrentControlSet\Control\Session Manager . Tam kliknij dwa razy na wartość BootExecute i z okienka usunąć wszystko z wyjątkiem autocheck autochk *

za poradą WIEWIA – HIJACKnąłem raz jeszcze i nie mam wpisu F2, a O4....winlog.exe nie istnieje w system32, jest tylko winlogon (apl. logowania systemu NT)

ps. Blokuje mi SP2 i wywala mi AVAST'a

"Silent Runners.vbs", revision 43, http://www.silentrunners.org/
Operating System: Windows XP SP2
Output limited to non–default values, except where indicated by "{++}"


Startup items buried in registry:
–––––––––––––––––––––––––––––––––

HKCU\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\ {++}
"Skype" = ""C:\Uźytki\Phone\Skype.exe" /nosplash /minimized" ["Skype Technologies S.A."]
"key2" = "C:\WINDOWS\system32\winlog.exe" [file not found]
"eMuleAutoStart" = "C:\Uźytki\eMule\emule.exe –AutoStart" ["http://www.emule–project.net"]

HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\ {++}
"Cmaudio" = "RunDll32 cmicnfg.cpl,CMICtrlWnd" [MS]
"avast!" = "C:\PROGRA~1\ALWILS~1\Avast4\ashDisp.exe" [null data]
"TkBellExe" = ""C:\Program Files\Common Files\Real\Update_OB\realsched.exe" –osboot" ["RealNetworks, Inc."]
"ATIPTA" = "C:\Program Files\ATI Technologies\ATI Control Panel\atiptaxx.exe" ["ATI Technologies, Inc."]
"SunJavaUpdateSched" = "C:\Program Files\Java\jre1.5.0_06\bin\jusched.exe" ["Sun Microsystems, Inc."]
"NGServer" = "E:\GHOST\Nowy folder\ngserver.exe" ["Symantec New Zealand Limited"]
"KernelFaultCheck" = "C:\WINDOWS\system32\dumprep 0 –k" [MS]

HKLM\Software\Microsoft\Active Setup\Installed Components\
>{26923b43–4d38–484f–9b9e–de460746276c}\(Default) = "Internet Explorer"
\StubPath = "C:\WINDOWS\system32\shmgrate.exe OCInstallUserConfigIE" [MS]

HKLM\Software\Microsoft\Windows\CurrentVersion\Explorer\Browser Helper Objects\
{06849E9F–C8D7–4D59–B87D–784B7D6BE0B3}\(Default) = "AcroIEHlprObj Class" [from CLSID]
–> {CLSID}\InProcServer32\(Default) = "C:\Program Files\Adobe\Acrobat 5.0 CE\Reader\ActiveX\AcroIEHelper.ocx" [empty string]
{761497BB–D6F0–462C–B6EB–D4DAF1D92D43}\(Default) = "SSVHelper Class" [from CLSID]
–> {CLSID}\InProcServer32\(Default) = "C:\Program Files\Java\jre1.5.0_06\bin\ssv.dll" ["Sun Microsystems, Inc."]

HKLM\Software\Microsoft\Windows\CurrentVersion\Shell Extensions\Approved\
"{42071714–76d4–11d1–8b24–00a0c9068ff3}" = "Rozszerzenie CPL kadrowania wyświetlania"
–> {CLSID}\InProcServer32\(Default) = "deskpan.dll" [file not found]
"{88895560–9AA2–1069–930E–00AA0030EBC8}" = "Rozszerzenie ikony HyperTerminalu"
–> {CLSID}\InProcServer32\(Default) = "C:\WINDOWS\System32\hticons.dll" ["Hilgraeve, Inc."]
"{0006F045–0000–0000–C000–000000000046}" = "Microsoft Outlook Custom Icon Handler"
–> {CLSID}\InProcServer32\(Default) = "C:\Program Files\Microsoft Office\Office10\OLKFSTUB.DLL" [MS]
"{42042206–2D85–11D3–8CFF–005004838597}" = "Microsoft Office HTML Icon Handler"
–> {CLSID}\InProcServer32\(Default) = "C:\Program Files\Microsoft Office\Office10\msohev.dll" [MS]
"{472083B0–C522–11CF–8763–00608CC02F24}" = "avast"
–> {CLSID}\InProcServer32\(Default) = "C:\Program Files\Alwil Software\Avast4\ashShell.dll" ["ALWIL Software"]
"{B41DB860–8EE4–11D2–9906–E49FADC173CA}" = "WinRAR shell extension"
–> {CLSID}\InProcServer32\(Default) = "C:\Program Files\WinRAR\rarext.dll" [null data]
"{F0CB00CD–5A07–4D91–97F5–A8C92CDA93E4}" = "Shell Extensions for RealOne Player"
–> {CLSID}\InProcServer32\(Default) = "C:\Program Files\Real\RealOne Player\rpshell.dll" ["RealNetworks, Inc."]
"{4CCEFB41–18FA–11D3–9EF3–00A0C9E897FD}" = "Skladnik rozszerzenia powloki CorelDRAW"
–> {CLSID}\InProcServer32\(Default) = "C:\Uźytki\Corel\DRAW\CDRVIEWER\CrlShell110.dll" [null data]
"{21569614–B795–46b1–85F4–E737A8DC09AD}" = "Shell Search Band"
–> {CLSID}\InProcServer32\(Default) = "C:\WINDOWS\system32\browseui.dll" [MS]
"{640167b4–59b0–47a6–b335–a6b3c0695aea}" = "Portable Media Devices"
–> {CLSID}\InProcServer32\(Default) = "C:\WINDOWS\system32\Audiodev.dll" [MS]
"{cc86590a–b60a–48e6–996b–41d25ed39a1e}" = "Portable Media Devices Menu"
–> {CLSID}\InProcServer32\(Default) = "C:\WINDOWS\system32\Audiodev.dll" [MS]
"{57C51AF9–DEF7–11D3–A801–00C04F163490}" = "Ghost Shell Extension"
–> {CLSID}\InProcServer32\(Default) = "E:\GHOST\Nowy folder\GhoShExt.dll" ["Symantec Corporation"]

HKLM\System\CurrentControlSet\Control\Session Manager\
INFECTION WARNING! "BootExecute" = "autocheck autochk * aswBoot.exe /A:"*" /L:"Polish"" [file not found], [MS], [file not found], [null data], [file not found], [file not found]

HKLM\Software\Microsoft\Windows NT\CurrentVersion\Winlogon\Notify\
INFECTION WARNING! AtiExtEvent\DLLName = "Ati2evxx.dll" ["ATI Technologies Inc."]
INFECTION WARNING! ldr64\DLLName = "ldr64.dll" [null data]
INFECTION WARNING! mloader32\DLLName = "mloader32.dll" [null data]

HKLM\Software\Classes\PROTOCOLS\Filter\
INFECTION WARNING! application/x–bt2\CLSID = "{6E1DDCE8–76BC–4390–9488–806E8FB1AD77}"
–> {CLSID}\InProcServer32\(Default) = "C:\UYTKI~1\BT2Net\BT2Net\BT2PLU~1.DLL" [file not found]

HKLM\Software\Classes\*\shellex\ContextMenuHandlers\
avast\(Default) = "{472083B0–C522–11CF–8763–00608CC02F24}"
–> {CLSID}\InProcServer32\(Default) = "C:\Program Files\Alwil Software\Avast4\ashShell.dll" ["ALWIL Software"]
WinRAR\(Default) = "{B41DB860–8EE4–11D2–9906–E49FADC173CA}"
–> {CLSID}\InProcServer32\(Default) = "C:\Program Files\WinRAR\rarext.dll" [null data]

HKLM\Software\Classes\Directory\shellex\ContextMenuHandlers\
WinRAR\(Default) = "{B41DB860–8EE4–11D2–9906–E49FADC173CA}"
–> {CLSID}\InProcServer32\(Default) = "C:\Program Files\WinRAR\rarext.dll" [null data]

HKLM\Software\Classes\Folder\shellex\ContextMenuHandlers\
avast\(Default) = "{472083B0–C522–11CF–8763–00608CC02F24}"
–> {CLSID}\InProcServer32\(Default) = "C:\Program Files\Alwil Software\Avast4\ashShell.dll" ["ALWIL Software"]
WinRAR\(Default) = "{B41DB860–8EE4–11D2–9906–E49FADC173CA}"
–> {CLSID}\InProcServer32\(Default) = "C:\Program Files\WinRAR\rarext.dll" [null data]


Active Desktop and Wallpaper:
–––––––––––––––––––––––––––––

Active Desktop is disabled at this entry:
HKCU\Software\Microsoft\Windows\CurrentVersion\Explorer\ShellState

HKCU\Control Panel\Desktop\
"Wallpaper" = "C:\Documents and Settings\abc\Ustawienia lokalne\Dane aplikacji\Microsoft\Wallpaper1.bmp"


Startup items in "abc" & "All Users" startup folders:
–––––––––––––––––––––––––––––––––––––––––––––––––––––

C:\Documents and Settings\All Users\Menu Start\Programy\Autostart
"Microsoft Office" –> shortcut to: "C:\Program Files\Microsoft Office\Office10\OSA.EXE –b –l" [MS]


Winsock2 Service Provider DLLs:
–––––––––––––––––––––––––––––––

Namespace Service Providers

HKLM\System\CurrentControlSet\Services\Winsock2\Parameters\NameSpace_Catalog5\Catalog_Entries\ {++}
000000000001\LibraryPath = "%SystemRoot%\System32\mswsock.dll" [MS]
000000000002\LibraryPath = "%SystemRoot%\System32\winrnr.dll" [MS]
000000000003\LibraryPath = "%SystemRoot%\System32\mswsock.dll" [MS]

Transport Service Providers

HKLM\System\CurrentControlSet\Services\Winsock2\Parameters\Protocol_Catalog9\Catalog_Entries\ {++}
0000000000##\PackedCatalogItem (contains) DLL [Company Name], (at) ## range:
%SystemRoot%\system32\mswsock.dll [MS], 01 – 03, 06 – 15
%SystemRoot%\system32\rsvpsp.dll [MS], 04 – 05


Toolbars, Explorer Bars, Extensions:
––––––––––––––––––––––––––––––––––––

Extensions (Tools menu items, main toolbar menu buttons)

HKLM\Software\Microsoft\Internet Explorer\Extensions\
{08B0E5C0–4FCB–11CF–AAA5–00401C608501}\
"MenuText" = "Sun Java Console"
"CLSIDExtension" = "{CAFEEFAC–0015–0000–0006–ABCDEFFEDCBC}"
–> {CLSID}\InProcServer32\(Default) = "C:\Program Files\Java\jre1.5.0_06\bin\npjpi150_06.dll" ["Sun Microsystems, Inc."]

{FB5F1910–F110–11D2–BB9E–00C04F795683}\
"ButtonText" = "Messenger"
"MenuText" = "Windows Messenger"
"Exec" = "C:\Program Files\Messenger\msmsgs.exe" [MS]


Running Services (Display Name, Service Name, Path {Service DLL}):
––––––––––––––––––––––––––––––––––––––––––––––––––––––––––––––––––

LightScribeService Direct Disc Labeling Service, LightScribeService, ""C:\Program Files\Common Files\LightScribe\LSSrvc.exe"" ["Hewlett–Packard Company"]
Symantec Ghost Configuration Server, NGServer, "E:\GHOST\Nowy folder\ngserver.exe" ["Symantec New Zealand Limited"]
Symantec Ghost Database Service, ngdbserv, "E:\GHOST\Nowy folder\bin\dbserv.exe" ["Symantec New Zealand Limited"]
Windows User Mode Driver Framework, UMWdf, "C:\WINDOWS\system32\wdfmgr.exe" [MS]


––––––––––
+ This report excludes default entries except where indicated.
+ To see *everywhere* the script checks and *everything* it finds,
launch it from a command prompt or a shortcut with the –all parameter.
+ To search all directories of local fixed drives for DESKTOP.INI
DLL launch points and all Registry CLSIDs for dormant Explorer Bars,
use the –supp parameter or answer "No" at the first message box.
–––––––––– (total run time: 35 seconds, including 7 seconds for message boxes)

"ad_aware sprawdziłem"
Chodziło mi o to by nie zdawać się tylko na jeden program, bo moźe wszystkiego nie wyłapać. Podobnie jak HijackThis – dlatego zrób tak jak napisał Wiewia.
http://www.silentrunners.org/Silent%20Runners.vbs

"beagle to chyba nie jest bo gdy się pojawił to go wywaliłem AVASTem – chyba źe jest w rejestrze, a to juź dla mnie cięźka sprawa"
Przeczytaj post Wiewia!.

Placio74:

Zrób tak jak napisał w84u, ale oprócz tego...
Powyłączaj zbędne procesy np. ctfmon.exe, dwwin.exe, realsched.exe, jusched.exe, OSA.EXE.
Przeinstaluj Adobe Acrobat Reader, Javę, Shockwave Flash i RealOne Player (choć moźe zamiast niego zainstaluj RealAlternative).
Spróbuj przeinstalować Internet Explorer'a.
Sprawdź czy problem powtarza się na innych przeglądarkach (Opera, Firefox).

Nie zaszkodzi teź sprawdzić system korzystając z Ad–aware, a–squared i Spybot S&D.
Czy masz WinXP? Zainstalowany SP2 i aktualne poprawki?

ad_aware sprawdziłem, mam Service p 2
beagle to chyba nie jest bo gdy się pojawił to go wywaliłem AVASTem – chyba źe jest w rejestrze, a to juź dla mnie cięźka sprawa

:oops:
Tak, przyznaję – nie do O17 a do O10.

Wpisy 017 są ok zostaw je to sa twoje dns. Stracisz w koncu neta.

Placio74 odkiedy LSPfix jest do usuwania wpisów 017 :shock:

F2 – REG:system.ini: Shell=explorer.exe
O4 – HKCU\..\Run: [key2] C:\WINDOWS\system32\winlog.exe

Wpisy usuń poleceniem fixchecked a plik na czerwono recznie z dysku

Daj log z silent runners masz w przyklejonych

Zrób tak jak napisał w84u, ale oprócz tego...
Powyłączaj zbędne procesy np. ctfmon.exe, dwwin.exe, realsched.exe, jusched.exe, OSA.EXE.
Przeinstaluj Adobe Acrobat Reader, Javę, Shockwave Flash i RealOne Player (choć moźe zamiast niego zainstaluj RealAlternative).
Spróbuj przeinstalować Internet Explorer'a.
Sprawdź czy problem powtarza się na innych przeglądarkach (Opera, Firefox).

Nie zaszkodzi teź sprawdzić system korzystając z Ad–aware, a–squared i Spybot S&D.
Czy masz WinXP? Zainstalowany SP2 i aktualne poprawki?

W Uruchom wpisz SERVICES.MSC i wyłącz usługę indeksowania. Przeczyść dysk np. darmowym Odkurzaczem, kaźdą partycję oddzielnie (do pobrania http://franmo.marsoft.com.pl/index.htm )zdefragmentuj dyski, moźe być systemowy defragmentator, ale godne polecenia są Diskeeper i Perfect Disk.

Co do wpisów O17 – powinno być tylko:
mswock.dll – TCPIP
wnrnr.dll – NTDS
rsvpspdll – (Protocol handler)