Помощь в лечении систем от нечисти

4 января, 2007

По логу удалить можно следующее:

O20 - Winlogon Notify: WRNotifier - WRLogonNTF.dll (file missing)

Спасибо большое ...., а как удалить?

Никак не получается, не реагирует на "del".

**pinmix** · 4 января, 2007

Александр Александрович: поставь галочку и нажми fix checked

Изменено 4 января, 2007 пользователем pinmix

**Черемуха** · 4 января, 2007

просмотрите пожалуйста... недавно было очень много вирусов... может что-то осталось

Logfile of HijackThis v1.99.1

Scan saved at 11:59:28, on 04.01.2007

Platform: Windows XP SP1 (WinNT 5.01.2600)

MSIE: Internet Explorer v6.00 SP1 (6.00.2800.1106)

Running processes:

C:\WINDOWS\System32\smss.exe

C:\WINDOWS\system32\winlogon.exe

C:\WINDOWS\system32\services.exe

C:\WINDOWS\system32\lsass.exe

C:\WINDOWS\system32\svchost.exe

C:\WINDOWS\System32\svchost.exe

C:\Program Files\Internet Explorer\iexplore.exe

C:\WINDOWS\system32\svchost.exe

C:\WINDOWS\system32\spoolsv.exe

C:\WINDOWS\Explorer.EXE

C:\Program Files\D-Tools\daemon.exe

C:\Program Files\Eset\nod32kui.exe

C:\WINDOWS\System32\ctfmon.exe

C:\Program Files\IVT Corporation\BlueSoleil\BTNtService.exe

C:\Program Files\Eset\nod32krn.exe

C:\Program Files\QIP\qip.exe

C:\Program Files\Winamp\Winamp.exe

C:\Program Files\Skype\Phone\Skype.exe

C:\Program Files\Internet Explorer\IEXPLORE.EXE

C:\Documents and Settings\Myname\Мои документы\Проги\HijackThis.exe

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = c:\secure32.html

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.yandex.ru/

R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = c:\secure32.html

R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = c:\secure32.html

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Local Page = c:\secure32.html

R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Local Page = c:\secure32.html

R1 - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings,ProxyServer = 192.168.1.1:3128

R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Ссылки

O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Program Files\Adobe\Acrobat 6.0\Reader\ActiveX\AcroIEHelper.dll

O4 - HKLM\..\Run: [DAEMON Tools-1033] "C:\Program Files\D-Tools\daemon.exe" -lang 1033

O4 - HKLM\..\Run: [system spool] C:\WINDOWS\System32\syspools.exe

O4 - HKLM\..\Run: [nod32kui] "C:\Program Files\Eset\nod32kui.exe" /WAITSERVICE

O4 - HKCU\..\Run: [system spool] C:\WINDOWS\System32\syspools.exe

O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\ctfmon.exe

O4 - HKCU\..\Run: [taskdir] C:\WINDOWS\System32\taskdir.exe

O8 - Extra context menu item: &Экспорт в Microsoft Excel - res://C:\PROGRA~1\MICROS~2\Office10\EXCEL.EXE/3000

O9 - Extra button: ICQ Lite - {B863453A-26C3-4e1f-A54D-A2CD196348E9} - C:\Program Files\ICQLite\ICQLite.exe

O9 - Extra 'Tools' menuitem: ICQ Lite - {B863453A-26C3-4e1f-A54D-A2CD196348E9} - C:\Program Files\ICQLite\ICQLite.exe

O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\MSMSGS.EXE (file missing)

O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\MSMSGS.EXE (file missing)

O16 - DPF: {0D62A517-E7C6-4E1F-A577-07D4AC549A48} (Progetto1.int_ver32) - http://advnt01.com/dialer/int_ver32b.CAB

O16 - DPF: {9A9307A0-7DA4-4DAF-B042-5009F29E09E1} (ActiveScan Installer Class) - http://acs.pandasoftware.com/activescan/as5free/asinst.cab

O16 - DPF: {BFA1F11D-3121-AFE1-4112-983219421AEF} (GameDesire 1Player Word Games) - http://67.15.101.3/g_bin/eng/wordssingle_2_0_0_39.cab

O17 - HKLM\System\CCS\Services\Tcpip\..\{66071156-21EE-4C53-AE21-C2E62DB86650}: NameServer = 212.109.32.5,212.109.32.9

O18 - Protocol: bt2 - {1730B77B-F429-498F-9B15-4514D83C8294} - C:\PROGRA~1\BT2Net\BT2PLU~1.DLL (file missing)

O18 - Filter: application/x-bt2 - {6E1DDCE8-76BC-4390-9488-806E8FB1AD77} - C:\PROGRA~1\BT2Net\BT2PLU~1.DLL

O20 - AppInit_DLLs: C:\WINDOWS\System32\tmp_4t.dll

O20 - Winlogon Notify: igfxcui - C:\WINDOWS\SYSTEM32\igfxsrvc.dll

O20 - Winlogon Notify: winsys2freg - C:\Documents and Settings\All Users\Документы\Settings\winsys2f.dll

O23 - Service: BlueSoleil Hid Service - Unknown owner - C:\Program Files\IVT Corporation\BlueSoleil\BTNtService.exe

O23 - Service: Command Service (cmdService) - Unknown owner - C:\WINDOWS\cGM3\command.exe (file missing)

O23 - Service: Журнал событий (Eventlog) - Корпорация Майкрософт - C:\WINDOWS\system32\services.exe

O23 - Service: Служба COM записи компакт-дисков IMAPI (ImapiService) - Корпорация Майкрософт - C:\WINDOWS\System32\imapi.exe

O23 - Service: NetMeeting Remote Desktop Sharing (mnmsrvc) - Корпорация Майкрософт - C:\WINDOWS\System32\mnmsrvc.exe

O23 - Service: Служба сетевого DDE (NetDDE) - Корпорация Майкрософт - C:\WINDOWS\system32\netdde.exe

O23 - Service: Диспетчер сетевого DDE (NetDDEdsdm) - Корпорация Майкрософт - C:\WINDOWS\system32\netdde.exe

O23 - Service: Network Monitor - Unknown owner - C:\Program Files\Network Monitor\netmon.exe (file missing)

O23 - Service: NOD32 Kernel Service (NOD32krn) - Eset - C:\Program Files\Eset\nod32krn.exe

O23 - Service: Plug and Play (PlugPlay) - Корпорация Майкрософт - C:\WINDOWS\system32\services.exe

O23 - Service: Диспетчер сеанса справки для удаленного рабочего стола (RDSessMgr) - Корпорация Майкрософт - C:\WINDOWS\system32\sessmgr.exe

O23 - Service: Модуль поддержки смарт-карт (SCardDrv) - Корпорация Майкрософт - C:\WINDOWS\System32\SCardSvr.exe

O23 - Service: Смарт-карты (SCardSvr) - Корпорация Майкрософт - C:\WINDOWS\System32\SCardSvr.exe

O23 - Service: Журналы и оповещения производительности (SysmonLog) - Корпорация Майкрософт - C:\WINDOWS\system32\smlogsvc.exe

O23 - Service: Теневое копирование тома (VSS) - Корпорация Майкрософт - C:\WINDOWS\System32\vssvc.exe

O23 - Service: Адаптер производительности WMI (WmiApSrv) - Корпорация Майкрософт - C:\WINDOWS\System32\wbem\wmiapsrv.exe

4 января, 2007

Александр Александрович: поставь галочку и нажми fix checked :)

Спасибо, сделал ;) !

С остальным - можете решить только вы сами. Я бы на вашем месте для начала кое-что убрала из автозагрузки (т.к. не думаю, что всему этому обязательно нужно присутствовать в памяти постоянно; можно включить эти программы тогда, когда вам действительно что-то из них вдруг понадобиться; но повторю, только вы можете знать, что из этого вам необходимо и чем вы на самом деле пользуетесь не часто). В первую очередь следующее:

O4 - HKLM\..\Run: [s3Hotkey] s3hotkey.exe

O4 - HKLM\..\Run: [00THotkey] C:\WINDOWS\system32\00THotkey.exe

O4 - HKLM\..\Run: [TFncky] TFncky.exe

O4 - HKLM\..\Run: [Tpwrtray] TPWRTRAY.EXE

O4 - HKLM\..\Run: [WinampAgent] "C:\Program Files\Winamp\winampa.exe"

O4 - HKLM\..\Run: [PrintPack dispatcher] "C:\Program Files\Software602\Print2PDF\PrnPack.exe" /server

O4 - HKLM\..\Run: [Translate It!] C:\Program Files\TranslateIt! 4.0\Translateit.exe

O4 - HKCU\..\Run: [incrediMail] C:\Program Files\IncrediMail\bin\IncMail.exe /c

O4 - HKCU\..\Run: [Magentic] C:\PROGRA~1\Magentic\bin\Magentic.exe /c

O4 - Startup: Adobe Gamma.lnk = C:\Program Files\Common Files\Adobe\Calibration\Adobe Gamma Loader.exe

O4 - Startup: MemTurbo.lnk = C:\Program Files\Memturbo 4\MemTurbo.exe

O4 - Global Startup: Ускоренный запуск Adobe Reader.lnk = C:\Program Files\Adobe\Acrobat 7.0\Reader\reader_sl.exe

1) Одна из этих программ - включение "басс" звука, какая немогу выяснить, чтобы ее оставить активной.

2) S3Hotkey - это помойму драйвер видеокарты, если закрыть ничкго не будет?

3) Пытался закрыть (методом :D "тыка") пуск-выполнить-msconfig-автозакрузка, убрал флажки и сохранил, попросила винда перезагрузить - перезагрузил, пишет, что теперь запуск не обычный, а специальный...

:) Как отменить автозапуск другим способом?

Спасибо.

Изменено 4 января, 2007 пользователем Александр Александрович

**VanGog** · 4 января, 2007

У меня тут мысли появились, так сказать вслух:

Начнем сначала - есть вирусы, от них надо избавлятся, как?

1. Программы:антивирусы, фаерволлы, антишпионы, антитрояны и т.д и т.п.

Минус - 100% защиты от нового вируса нет. Да и мало ли я мультик новый скачаю в формате .ехе, а это и не мультик вовсе окажется...

2. Опыт человека сидящего за монитором(перманентное отслеживание состояния компьютера и запущенных процессов).

Минус - не у всех он есть и все зависит от того насколько отслеживание перманентно.

3. Создание образа диска, в том числе и динамический образ.

Минус - изменяемые данные где то же сохраняются а значит доступны вирусу.

Может и еще есть, но это так на вскидку. Следовательно вирус рано или поздно появится на компьютере и что бы он ничего не напортил, я тут подумал, можно сделать список доверенных приложений, запись которым в реестр и на жесткий диск разрешена(ворд, ехель, ...), остальные же вновь запускаемые приложения будут запрашивать доступ на запись. Кто нибудь знает с помощью чего это можно сделать. Вроде похожая фишка была в AVZ, но я не уверен, надо посмотреть.

**Saule** · 5 января, 2007

Здравствуйте!
Гляньте пожалуйста на мой лог, может что-то есть подозрительное:

Я ничего подозрительного не вижу :)

просмотрите пожалуйста... недавно было очень много вирусов... может что-то осталось

1. Открываем HijackThis, нажимаем на кнопку "Do a system scan only" и отмечаем галочкой следующее:

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = c:\secure32.html

R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = c:\secure32.html

R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = c:\secure32.html

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Local Page = c:\secure32.html

R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Local Page = c:\secure32.html

O4 - HKLM\..\Run: [system spool] C:\WINDOWS\System32\syspools.exe

O4 - HKCU\..\Run: [system spool] C:\WINDOWS\System32\syspools.exe

O4 - HKCU\..\Run: [taskdir] C:\WINDOWS\System32\taskdir.exe

O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\MSMSGS.EXE (file missing)

O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\MSMSGS.EXE (file missing)

O16 - DPF: {0D62A517-E7C6-4E1F-A577-07D4AC549A48} (Progetto1.int_ver32) -

http://advnt01.com/dialer/int_ver32b.CAB

O20 - AppInit_DLLs: C:\WINDOWS\System32\tmp_4t.dll

O20 - Winlogon Notify: winsys2freg - C:\Documents and Settings\All Users\Документы\Settings\winsys2f.dll

Затем на кнопку "Fix Checked" (браузер при этом нужно закрыть).

2. Нажимаем:

Start > Run (Пуск > Выполнить)

Копируем в строку:

sc delete Command Service

Нажимаем ОК или клавишу ENTER.

3. Нажимаем:

Start > Run (Пуск > Выполнить)

Копируем в строку:

sc delete Network Monitor

Нажимаем ОК или клавишу ENTER.

4. Может быть вы об этом просто не сказали, но если вдруг никак не получается изменить обои рабочего стола, то скачиваем AVZ. Запускаем и находим в его верхнем меню:

Файл > Восстановление системы

Затем отмечаем галочкой пункт "Восстановление настроек рабочего стола" и нажимаем на кнопку "Выполнить отмеченные операции".

После чего удаляем файл, если такой до сих пор будет присутствовать:

c:\

secure32.html

5. Скачиваем SDFix (это необходимо скорее не для удаления каких-то файлов, а для восстановления некоторых настроек реестра после изменений, сделанных данным классом вирусов, поэтому в принципе можно обойтись и без SDFix, но тем не менее).

Открываем и запускаем

SDFix.exe

(это самораспаковывающийся архив).

В системном каталоге будет создана папка SDFix. И в вашем случае она будет здесь:

C:\

SDFix

Теперь необходимо перезагрузить компьютер в безопасный режим (

Safe Mode

):

При появлении меню загрузки Windows нужно нажать клавишу F8 - на экране появится меню дополнительных режимов загрузки. Передвигаемся с помощью клавиш вверх/вниз и, остановившись на надписи Safe Mode, нажимаем Enter.

Открываем папку SDFix и запускаем файл

RunThis.bat

.

Пишем букву

Y

и нажимаем на ENTER.

Начнется восстановление системных настроек в реестре.

Когда эта процедура будет закончена, SDFix попросить вас нажать любую клавишу для того, чтобы перезагрузить ваш компьютер - нажимаем.

После перезагрузки процедура удаления снова ненадолго продолжится.

Ждем, пока появится надпись

Finished

и затем нажимаем на любую клавишу для того, чтобы загрузить иконки на рабочем столе (до этого он будет пустой - это нормально, поэтому не пугаемся).

Когда рабочий стол будет загружен, вы увидите лог SDFix (который также будет сохранен в его папке с названием

Report.txt

), где будут описаны все сделанные им действия.

6. А также попробуйте поискать на диске файлы:

C:\WINDOWS\System32\

tmp_4t.dll

C:\Documents and Settings\All Users\Документы\Settings\

winsys2f.dll

В том случае, если их найти удасться - удалите.

Плюс очень желательно после всего этого сделать новый лог HijackThis.

**Saule** · 5 января, 2007

1) Одна из этих программ - включение "басс" звука, какая немогу выяснить, чтобы ее оставить активной.
2) S3Hotkey - это помойму драйвер видеокарты, если закрыть ничкго не будет?

3) Пытался закрыть (методом :) "тыка") пуск-выполнить-msconfig-автозакрузка, убрал флажки и сохранил, попросила винда перезагрузить - перезагрузил, пишет, что теперь запуск не обычный, а специальный...

:) Как отменить автозапуск другим способом?

1) Возможно, я неправильно понимаю то, что вы имеете под басом звука, но попробуйте оставить это:

O4 - HKLM\..\Run: [Tpwrtray] TPWRTRAY.EXE

O4 - HKLM\..\Run: [WinampAgent] "C:\Program Files\Winamp\winampa.exe"

2) Ничего критического в любом случае не случится, даже если вы уберете из автозагрузки всё :) Никто вам не мешает при необходимости вернуть любое приложение обратно (запись об этом приложении в msconfig ведь остаётся).

Насколько я знаю, S3Hotkey отвечает за переключение между мониторами.

3) Вам нужно в следующий раз при загрузке системы просто поставить галочку, перед тем как нажимать на ОК в том сообщении, которое появляется.

По аналогии с английской Windows (к сожалению, на русском у меня просто нету):

5 января, 2007

Saule:

Спасибо, делаю...

1)

Кнопка "BASS" - для вкл. повышения звука НЧ.

Я нашел как называется: O4 - HKLM\..\Run: [TFncky] TFncky.exe

2)

S3Hotkey от видеодравера, да я иногда подключаю к компьютеру ТВ.

3)

При следующем запуске, винда грузится не в обычном режиме, а в выборочном режиме. Это не критично :) ??? Может можно как-то иначе отключить автозапуск?

Спасибо!

Изменено 5 января, 2007 пользователем Александр Александрович

**Saule** · 5 января, 2007

Может и еще есть, но это так на вскидку. Следовательно вирус рано или поздно появится на компьютере и что бы он ничего не напортил, я тут подумал, можно сделать список доверенных приложений, запись которым в реестр и на жесткий диск разрешена(ворд, ехель, ...), остальные же вновь запускаемые приложения будут запрашивать доступ на запись. Кто нибудь знает с помощью чего это можно сделать. Вроде похожая фишка была в AVZ, но я не уверен, надо посмотреть.

Похожая фишка действительно есть в AVZ (технология AVZGuard), но её ни в коем случае нельзя использовать для постоянного мониторинга и контроля системы. Её назначение скорее состоит в том, чтобы на время лечения существовала возможность защитить необходимые вам приложения и настройки системы от какого-либо воздействия лишь на самом деле активно работающих в это же время вредоносных программ.

Попробуйте, к примеру, программу System Safety Monitor. Возможно, это именно то, что вы ищите.

**naSs** · 5 января, 2007

Saule

Спасибо, но только вот проблемка такая у мя.

Я здесь уже видел такую, стартовая с траница постоянно ставится на www.APEHA.ru

В логе ничего не видно, может как-то по-другому можно исправить?

**Черемуха** · 5 января, 2007

у меня какие-то проблемы с SDFix .... после запуска на синем экране написано старт сканирования и все... пришлось без нажатия на любую кнопку перезагружаться...

вот мой новый лог... может всё получилось?

Logfile of HijackThis v1.99.1

Scan saved at 13:13:29, on 05.01.2007

Platform: Windows XP SP1 (WinNT 5.01.2600)

MSIE: Internet Explorer v6.00 SP1 (6.00.2800.1106)

Running processes:

C:\WINDOWS\System32\smss.exe

C:\WINDOWS\system32\winlogon.exe

C:\WINDOWS\system32\services.exe

C:\WINDOWS\system32\lsass.exe

C:\WINDOWS\system32\svchost.exe

C:\WINDOWS\System32\svchost.exe

C:\Program Files\Internet Explorer\iexplore.exe

C:\WINDOWS\system32\spoolsv.exe

C:\WINDOWS\Explorer.EXE

C:\Program Files\D-Tools\daemon.exe

C:\Program Files\Eset\nod32kui.exe

C:\WINDOWS\System32\ctfmon.exe

C:\Program Files\IVT Corporation\BlueSoleil\BTNtService.exe

C:\Program Files\Eset\nod32krn.exe

C:\WINDOWS\System32\wuauclt.exe