Помощь в лечении систем от нечисти

**Saule** · 28 февраля, 2006

Господи !!!! Спасибо за то, что есть такие замечательные люди, как Saule !!! Saule, огромное вам спасибо !!! Вы отличный человек и спец по компам!!! Ещё раз спасибо !!!
P.S.: Если не трудно, оставте свой E-mail, чтобы в случае чего я знал куда обращаться !! Тема-то не вечная !!!

saule [at] sp0raw.ru

Я надеюсь, это будет не слишком нагло, если я попрашу уважаемую Saule посмотреть и мой лог тоже
Вроде ничего такого нету, но просто на всякий случай, мало ли.... Если у вас конечно же вдруг будет свободное время. Спасибо :fl:

А вы абсолютно здоровы

Изменено 24 февраля, 2007 пользователем Saule

**snejinka** · 28 февраля, 2006

Saule: привет! хотелось бы научиться , так же хорошо разбираться в логах от HijackThis , может поделишься секретом? Разное в жизни бывает, своими ручками уметь делать - просто замечательно. Заранее , спасибо

**Saule** · 28 февраля, 2006

Подлечите и меня!!
Logfile of HijackThis v1.99.1

Scan saved at 10:06:49, on 26.02.2006

Platform: Windows 2003 SP1 (WinNT 5.02.3790)

MSIE: Internet Explorer v6.00 SP1 (6.00.3790.1830)

1. Открываем HijackThis, нажимаем на кнопку "Do a system scan only" и отмечаем галочкой следующее:

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Local Page = C:\WINDOWS\system32\blank.htm

R3 - URLSearchHook: (no name) - _{CFBFAE00-17A6-11D0-99CB-00C04FD64497} - (no file)

F2 - REG:system.ini: UserInit=C:\WINDOWS\system32\userinit.exe,

O2 - BHO: (no name) - {00000010-6F7D-442C-93E3-4A4827C2E4C8} - (no file)

O9 - Extra button: SideFind - {10E42047-DEB9-4535-A118-B3F6EC39B807} - C:\Documents and Settings\root\WINDOWS\system32\shdocvw.dll (file missing)

O16 - DPF: {99410CDE-6F16-42ce-9D49-3807F78F0287} (ClientInstaller Class) - http://www.180searchassistant.com/180saax.cab

O20 - Winlogon Notify: dimsntfy - dimsntfy.dll (file missing)

O20 - Winlogon Notify: igfxcui - igfxsrvc.dll (file missing)

O23 - Service: Application Experience Lookup Service (AeLookupSvc) - Unknown owner - C:\Documents and Settings\root\WINDOWS\system32\svchost.exe (file missing)

O23 - Service: Alerter - Unknown owner - C:\Documents and Settings\root\WINDOWS\system32\svchost.exe (file missing)

O23 - Service: Application Layer Gateway Service (ALG) - Unknown owner - C:\Documents and Settings\root\WINDOWS\System32\alg.exe (file missing)

O23 - Service: Application Management (AppMgmt) - Unknown owner - C:\Documents and Settings\root\WINDOWS\system32\svchost.exe (file missing)

O23 - Service: ASP.NET State Service (aspnet_state) - Unknown owner - C:\Documents and Settings\root\WINDOWS\Microsoft.NET\Framework\v2.0.50727\aspnet_state.exe (file missing)

O23 - Service: Windows Audio (AudioSrv) - Unknown owner - C:\Documents and Settings\root\WINDOWS\System32\svchost.exe (file missing)

O23 - Service: AVP Control Centre Service (AVPCC) - Unknown owner - C:\Program Files\Kaspersky Lab\Kaspersky Anti-Virus for MS NT Server\avpcc.exe" /service (file missing)

O23 - Service: Background Intelligent Transfer Service (BITS) - Unknown owner - C:\Documents and Settings\root\WINDOWS\system32\svchost.exe (file missing)

O23 - Service: Computer Browser (Browser) - Unknown owner - C:\Documents and Settings\root\WINDOWS\system32\svchost.exe (file missing)

O23 - Service: Служба индексирования (CiSvc) - Unknown owner - C:\Documents and Settings\root\WINDOWS\system32\cisvc.exe (file missing)

O23 - Service: Courier Mail Server (CourierMS) - Unknown owner - C:\Program Files\cms202\CourierMS.exe

O23 - Service: Cryptographic Services (CryptSvc) - Unknown owner - C:\Documents and Settings\root\WINDOWS\system32\svchost.exe (file missing)

O23 - Service: DCOM Server Process Launcher (DcomLaunch) - Unknown owner - C:\Documents and Settings\root\WINDOWS\system32\svchost.exe (file missing)

O23 - Service: Distributed File System (Dfs) - Unknown owner - C:\Documents and Settings\root\WINDOWS\system32\Dfssvc.exe (file missing)

O23 - Service: DHCP Client (Dhcp) - Unknown owner - C:\Documents and Settings\root\WINDOWS\system32\svchost.exe (file missing)

O23 - Service: DHCP Server (DHCPServer) - Unknown owner - C:\Documents and Settings\root\WINDOWS\system32\tcpsvcs.exe (file missing)

O23 - Service: Logical Disk Manager Administrative Service (dmadmin) - Unknown owner - C:\Documents and Settings\root\WINDOWS\System32\dmadmin.exe (file missing)

O23 - Service: Logical Disk Manager (dmserver) - Unknown owner - C:\Documents and Settings\root\WINDOWS\System32\svchost.exe (file missing)

O23 - Service: DNS Server (DNS) - Unknown owner - C:\Documents and Settings\root\WINDOWS\System32\dns.exe (file missing)

O23 - Service: DNS Client (Dnscache) - Unknown owner - C:\Documents and Settings\root\WINDOWS\system32\svchost.exe (file missing)

O23 - Service: Event Log (Eventlog) - Unknown owner - C:\Documents and Settings\root\WINDOWS\system32\services.exe (file missing)

O23 - Service: Help and Support (helpsvc) - Unknown owner - C:\Documents and Settings\root\WINDOWS\System32\svchost.exe (file missing)

O23 - Service: Human Interface Device Access (HidServ) - Unknown owner - C:\Documents and Settings\root\WINDOWS\System32\svchost.exe (file missing)

O23 - Service: IMSrvP - Unknown owner - C:\Documents and Settings\root\WINDOWS\Pointdev\IMSrv.exe (file missing)

O23 - Service: Intersite Messaging (IsmServ) - Unknown owner - C:\Documents and Settings\root\WINDOWS\System32\ismserv.exe (file missing)

O23 - Service: KAV Monitor Service (KAVMonitorService) - Unknown owner - C:\Program Files\Kaspersky Lab\Kaspersky Anti-Virus for MS NT Server\avpm.exe" /service (file missing)

O23 - Service: Kerberos Key Distribution Center (kdc) - Unknown owner - C:\Documents and Settings\root\WINDOWS\System32\lsass.exe (file missing)

O23 - Service: Server (lanmanserver) - Unknown owner - C:\Documents and Settings\root\WINDOWS\system32\svchost.exe (file missing)

O23 - Service: Workstation (lanmanworkstation) - Unknown owner - C:\Documents and Settings\root\WINDOWS\system32\svchost.exe (file missing)

O23 - Service: License Logging (LicenseService) - Unknown owner - C:\Documents and Settings\root\WINDOWS\System32\llssrv.exe (file missing)

O23 - Service: TCP/IP NetBIOS Helper (LmHosts) - Unknown owner - C:\Documents and Settings\root\WINDOWS\system32\svchost.exe (file missing)

O23 - Service: MSSQLServerADHelper - Unknown owner - C:\Program Files\Microsoft SQL Server\80\Tools\Binn\sqladhlp.exe (file missing)

O23 - Service: Net Logon (Netlogon) - Unknown owner - C:\Documents and Settings\root\WINDOWS\system32\lsass.exe (file missing)

O23 - Service: Network Connections (Netman) - Unknown owner - C:\Documents and Settings\root\WINDOWS\System32\svchost.exe (file missing)

O23 - Service: Network Location Awareness (NLA) (Nla) - Unknown owner - C:\Documents and Settings\root\WINDOWS\system32\svchost.exe (file missing)

O23 - Service: File Replication Service (NtFrs) - Unknown owner - C:\Documents and Settings\root\WINDOWS\system32\ntfrs.exe (file missing)

O23 - Service: NT LM Security Support Provider (NtLmSsp) - Unknown owner - C:\Documents and Settings\root\WINDOWS\system32\lsass.exe (file missing)

O23 - Service: Removable Storage (NtmsSvc) - Unknown owner - C:\Documents and Settings\root\WINDOWS\system32\svchost.exe (file missing)

O23 - Service: Plug and Play (PlugPlay) - Unknown owner - C:\Documents and Settings\root\WINDOWS\system32\services.exe (file missing)

O23 - Service: IPSEC Services (PolicyAgent) - Unknown owner - C:\Documents and Settings\root\WINDOWS\system32\lsass.exe (file missing)

O23 - Service: Protected Storage (ProtectedStorage) - Unknown owner - C:\Documents and Settings\root\WINDOWS\system32\lsass.exe (file missing)

O23 - Service: Remote Access Auto Connection Manager (RasAuto) - Unknown owner - C:\Documents and Settings\root\WINDOWS\system32\svchost.exe (file missing)

O23 - Service: Remote Access Connection Manager (RasMan) - Unknown owner - C:\Documents and Settings\root\WINDOWS\system32\svchost.exe (file missing)

O23 - Service: Routing and Remote Access (RemoteAccess) - Unknown owner - C:\Documents and Settings\root\WINDOWS\system32\svchost.exe (file missing)

O23 - Service: Remote Procedure Call (RPC) Locator (RpcLocator) - Unknown owner - C:\Documents and Settings\root\WINDOWS\system32\locator.exe (file missing)

O23 - Service: Remote Procedure Call (RPC) (RpcSs) - Unknown owner - C:\Documents and Settings\root\WINDOWS\system32\svchost.exe (file missing)

O23 - Service: Resultant Set of Policy Provider (RSoPProv) - Unknown owner - C:\Documents and Settings\root\WINDOWS\system32\RSoPProv.exe (file missing)

O23 - Service: Special Administration Console Helper (sacsvr) - Unknown owner - C:\Documents and Settings\root\WINDOWS\System32\svchost.exe (file missing)

O23 - Service: Security Accounts Manager (SamSs) - Unknown owner - C:\Documents and Settings\root\WINDOWS\system32\lsass.exe (file missing)

O23 - Service: Smart Card (SCardSvr) - Unknown owner - C:\Documents and Settings\root\WINDOWS\System32\SCardSvr.exe (file missing)

O23 - Service: Secondary Logon (seclogon) - Unknown owner - C:\Documents and Settings\root\WINDOWS\System32\svchost.exe (file missing)

O23 - Service: System Event Notification (SENS) - Unknown owner - C:\Documents and Settings\root\WINDOWS\system32\svchost.exe (file missing)

O23 - Service: Shell Hardware Detection (ShellHWDetection) - Unknown owner - C:\Documents and Settings\root\WINDOWS\System32\svchost.exe (file missing)

O23 - Service: Print Spooler (Spooler) - Unknown owner - C:\Documents and Settings\root\WINDOWS\system32\spoolsv.exe (file missing)

O23 - Service: Windows Image Acquisition (WIA) (stisvc) - Unknown owner - C:\Documents and Settings\root\WINDOWS\system32\svchost.exe (file missing)

O23 - Service: Microsoft Software Shadow Copy Provider (swprv) - Unknown owner - C:\Documents and Settings\root\WINDOWS\System32\svchost.exe (file missing)

O23 - Service: Performance Logs and Alerts (SysmonLog) - Unknown owner - C:\Documents and Settings\root\WINDOWS\system32\smlogsvc.exe (file missing)

O23 - Service: Telephony (TapiSrv) - Unknown owner - C:\Documents and Settings\root\WINDOWS\System32\svchost.exe (file missing)

O23 - Service: Terminal Services (TermService) - Unknown owner - C:\Documents and Settings\root\WINDOWS\System32\svchost.exe (file missing)

O23 - Service: Terminal Server Licensing (TermServLicensing) - Unknown owner - C:\Documents and Settings\root\WINDOWS\system32\lserver.exe (file missing)

O23 - Service: Distributed Link Tracking Client (TrkWks) - Unknown owner - C:\Documents and Settings\root\WINDOWS\system32\svchost.exe (file missing)

O23 - Service: Terminal Services Session Directory (Tssdis) - Unknown owner - C:\Documents and Settings\root\WINDOWS\System32\tssdis.exe (file missing)

O23 - Service: Upload Manager (uploadmgr) - Unknown owner - C:\Documents and Settings\root\WINDOWS\System32\svchost.exe (file missing)

O23 - Service: Uninterruptible Power Supply (UPS) - Unknown owner - C:\Documents and Settings\root\WINDOWS\System32\ups.exe (file missing)

O23 - Service: Virtual Disk Service (vds) - Unknown owner - C:\Documents and Settings\root\WINDOWS\System32\vds.exe (file missing)

O23 - Service: Volume Shadow Copy (VSS) - Unknown owner - C:\Documents and Settings\root\WINDOWS\System32\vssvc.exe (file missing)

O23 - Service: Windows Time (W32Time) - Unknown owner - C:\Documents and Settings\root\WINDOWS\system32\svchost.exe (file missing)

O23 - Service: WebClient - Unknown owner - C:\Documents and Settings\root\WINDOWS\system32\svchost.exe (file missing)

O23 - Service: WinHTTP Web Proxy Auto-Discovery Service (WinHttpAutoProxySvc) - Unknown owner - C:\Documents and Settings\root\WINDOWS\system32\svchost.exe (file missing)

O23 - Service: Windows Management Instrumentation (winmgmt) - Unknown owner - C:\Documents and Settings\root\WINDOWS\system32\svchost.exe (file missing)

O23 - Service: Portable Media Serial Number Service (WmdmPmSN) - Unknown owner - C:\Documents and Settings\root\WINDOWS\System32\svchost.exe (file missing)

O23 - Service: Windows Management Instrumentation Driver Extensions (Wmi) - Unknown owner - C:\Documents and Settings\root\WINDOWS\System32\svchost.exe (file missing)

O23 - Service: Автоматическое обновление (wuauserv) - Unknown owner - C:\Documents and Settings\root\WINDOWS\system32\svchost.exe (file missing)

O23 - Service: Network Provisioning Service (xmlprov) - Unknown owner - C:\Documents and Settings\root\WINDOWS\System32\svchost.exe (file missing)

что касаеться пунктов, которые начинаються с

O23 - Service

то в вашем случае отмечать нужно всё, что заканчиваеться этим:

(file missing)

Затем нажимаем на кнопку "Fix Checked" (важно, чтобы при нажатии на эту кнопку, все посторонние программы и, главное, браузер были закрыты. И еще, при лечении HijackThis лучше перенести из временных файлов куда-нибудь в другое место, например, на рабочий стол).

2. Вам нужна программа LSP-Fix:

http://www.cexx.org/LSPFix.zip

Распакуйте и запустите. Откроется окно программы.

Поставьте галочку рядом с "I know what I'm doing".

И затем нажмите на "Finish" в нижнем правом углу (обведена на скриншоте зеленой линией).

Это восстановит работу TCP/IP.

Больше ничего делать с этой программой (и тем более удалять с её помощью какие-либо файлы) не нужно (!)

3. И еще проверьте систему с помощью CWShredder:

http://cwshredder.net/bin/CWShredder.exe

Это делаеться следующим образом:

Включаете и сначала нажимаете на кнопку "Scan Only", через примерно минуту он закончит проверку и внизу появиться кнопка "Next", нажмите её.

Если после этого вы увидите надпись:

Scam is complete!

CoolWebSearch was not found on this system.

Скрин:

То хорошо. Жмите "Exit".

Если же что-то найдет, то тогда - "Back" и затем "Fix" (при этом браузер и другие посторонние программы должны быть закрыты).

Этот пунк не обязателен, но на всякий случай проверьтесь, а то мне там одна мелочь не нравиться

---------------------------

После сделайте новый лог HijackThis, пожалуйста, а то у вас там какие-то странные вещи творяться.

P.S. Маленький совет: смените как можно скорее все свои важные пароли, если вы еще этого не сделали.

**slaiter** · 1 марта, 2006

Ув. SAULE. Помогите пожалуйста отловить и удалить ''НЕЧИСТЬ''.

Как-то при запуске окна IE появилось сообщение: на фоне синего экрана писалось вроде того что кто-то пытается подключится к моей машине, писался якобы мой ip-адресс, браузер которым я пользуюсь и т.п., и предлагалось перейти по ссылке и то ли что-то скачать то ли еще что-то, уже не помню. Мне подсказали что это замануха и не обращать внимания. Объявление появлялось при каждом запуске IE, до тех пор пока я вручную не удалил из корня С файл secure32.html. Сейчас при запуске пишется: Cannot find ''file :///C:/secure32.html''. make sure the path or internet adress correct. Первая введенная страница открывается вроде нормально но затем пробуя например перейти по ссыле на другую страницу IE закрывается ( или же введя в поисковике нужную фразу вместо поска IE закрывается).

Пользусь в основном ''оперой'' но и IE требуется иногда. В ''опере" при каждом запуске автоматически открывается сайт знакомств (http://mo.ya.md/).

В целом машина притормаживает, и появляются сообщения (может это не относится к работе "нечисти" но все же): "The instruction at "..." referenced memory at "...". The memory could not be read" и закрываются разные приложения.

На машине стоят касперский и f-prot. также стоит firewoll. Недели две назад сканировал машину и поудалял кучу файлов (в основном crack.exe) зараженных вирусом Trojan-Downloader.Win32/istrBar и Trojan-Downloader.Win32/Harning.bb.

Ни касперский ни f-prot ничего больше не видят.

Выкладываю лог NijackThis:

Logfile of HijackThis v1.99.1

Scan saved at 16:51:21, on 01.03.2006

Platform: Windows 2000 SP4 (WinNT 5.00.2195)

MSIE: Internet Explorer v6.00 SP1 (6.00.2800.1106)

Running processes:

C:\WINNT\System32\smss.exe

C:\WINNT\system32\winlogon.exe

C:\WINNT\system32\services.exe

C:\WINNT\system32\lsass.exe

C:\WINNT\system32\svchost.exe

C:\WINNT\system32\spoolsv.exe

C:\Program Files\Common Files\Symantec Shared\ccSetMgr.exe

C:\WINNT\System32\svchost.exe

C:\Program Files\FSI\F-Prot\fpavupdm.exe

C:\Program Files\Common Files\Microsoft Shared\VS7Debug\mdm.exe

C:\Program Files\Norton SystemWorks\Norton AntiVirus\navapsvc.exe

C:\Program Files\Norton SystemWorks\Norton AntiVirus\IWP\NPFMntor.exe

C:\PROGRA~1\NORTON~1\NORTON~1\NPROTECT.EXE

C:\WINNT\system32\nvsvc32.exe

C:\PROGRA~1\AGNITUM\OUTPOS~1\outpost.exe

C:\WINNT\system32\MSTask.exe

C:\Program Files\Serv-U\ServUDaemon.exe

C:\PROGRA~1\NORTON~1\NORTON~1\SPEEDD~1\NOPDB.EXE

C:\Program Files\Alcohol Soft\Alcohol 120\StarWind\StarWindService.exe

C:\Program Files\Common Files\Symantec Shared\CCPD-LC\symlcsvc.exe

C:\WINNT\System32\WBEM\WinMgmt.exe

C:\Program Files\Common Files\Symantec Shared\ccEvtMgr.exe

C:\WINNT\Explorer.EXE

C:\WINNT\system32\inetsrv\inetinfo.exe

C:\PROGRA~1\Borland\Borland\IntrBase\BIN\ibserver.exe

C:\Program Files\FSI\F-Prot\F-Sched.exe

C:\Program Files\FSI\F-Prot\F-StopW.EXE

C:\WINNT\system32\internat.exe

C:\WINNT\system32\RUNDLL32.EXE

C:\Program Files\HDD Thermometer\HDD Thermometer.exe

C:\Program Files\WinRoute Pro\wrctrl.exe

C:\Program Files\eMule\emule.exe

C:\Program Files\TightVNC\WinVNC.exe

C:\Program Files\Opera7\opera.exe

C:\Program Files\WinRAR\WinRAR.exe

C:\DOCUME~1\ADMINI~1\LOCALS~1\Temp\Rar$EX00.469\HijackThis.exe

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = c:\secure32.html

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Bar = http://www.couldnotfind.com/search_page.ht...count_id=145499

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = http://www.couldnotfind.com/search_page.ht...count_id=145499

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = c:\secure32.html

R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = c:\secure32.html

R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = c:\secure32.html

R1 - HKCU\Software\Microsoft\Internet Explorer\Search,SearchAssistant = http://www.couldnotfind.com/search_page.ht...count_id=145499

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Local Page = c:\secure32.html

R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Local Page = c:\secure32.html

R1 - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings,ProxyServer = 192.168.9.11:3128

F2 - REG:system.ini: Shell=

O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Program Files\Adobe\Acrobat 5.0\Reader\ActiveX\AcroIEHelper.ocx

O2 - BHO: ClickCatcher MSIE handler - {16664845-0E00-11D2-8059-000000000000} - C:\Program Files\Common Files\ReGet Shared\Catcher.dll

O2 - BHO: NAV Helper - {BDF3E430-B101-42AD-A544-FADC6B084872} - C:\Program Files\Norton SystemWorks\Norton AntiVirus\NavShExt.dll

O3 - Toolbar: @msdxmLC.dll,-1@1033,&Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINNT\System32\msdxm.ocx

O3 - Toolbar: Norton AntiVirus - {42CDD1BF-3FFB-4238-8AD1-7859DF00B1D6} - C:\Program Files\Norton SystemWorks\Norton AntiVirus\NavShExt.dll

O3 - Toolbar: AstaLaVista - {12F02779-6D88-4958-8AD3-83C12D86ADC7} - C:\Program Files\AstaLaVista Toolbar\toolbar.dll (file missing)

O4 - HKLM\..\Run: [NeroFilterCheck] C:\WINNT\system32\NeroCheck.exe

O4 - HKLM\..\Run: [synchronization Manager] mobsync.exe /logon

O4 - HKLM\..\Run: [iTunesHelper] "C:\Program Files\iTunes\iTunesHelper.exe"

O4 - HKLM\..\Run: [Outpost Firewall] C:\PROGRA~1\AGNITUM\OUTPOS~1\outpost.exe /waitservice

O4 - HKLM\..\Run: [interBase Server] C:\PROGRA~1\Borland\Borland\IntrBase\BIN\ibserver.exe

O4 - HKLM\..\Run: [KAVPersonal50] C:\Program Files\Kaspersky Lab\Kaspersky Anti-Virus Personal\kav.exe /minimize

O4 - HKLM\..\Run: [FRISK FP-Scheduler] C:\Program Files\FSI\F-Prot\F-Sched.exe STARTUP

O4 - HKLM\..\Run: [PayTime] C:\WINNT\system32\paytime.exe

O4 - HKLM\..\Run: [F-StopW] C:\Program Files\FSI\F-Prot\F-StopW.EXE

O4 - HKCU\..\Run: [internat.exe] internat.exe

O4 - HKCU\..\Run: [NvMediaCenter] RUNDLL32.EXE C:\WINNT\system32\NVMCTRAY.DLL,NvTaskbarInit

O4 - HKCU\..\Run: [RSD_HDDThermo] C:\Program Files\HDD Thermometer\HDD Thermometer.exe

O4 - HKCU\..\Run: [WrCtrl] "C:\Program Files\WinRoute Pro\wrctrl.exe"

O4 - HKCU\..\Run: [NBJ] "C:\Program Files\Ahead\Nero Toolkit\Nero BackItUp\NBJ.exe"

O4 - HKCU\..\Run: [shell] "C:\Program Files\Common Files\Microsoft Shared\Web Folders\ibm00001.exe"

O4 - HKCU\..\Run: [Windows installer] C:\winstall.exe

O4 - Startup: emule.exe.lnk = C:\Program Files\eMule\emule.exe

O4 - Startup: matrix.bat.lnk = C:\matrix.bat

O4 - Startup: lock.bat.lnk = C:\lock.bat

O4 - Startup: Launch TightVNC Server.lnk = C:\Program Files\TightVNC\WinVNC.exe

O8 - Extra context menu item: &Экспорт в Microsoft Excel - res://C:\PROGRA~1\MICROS~3\Office10\EXCEL.EXE/3000

O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\WINNT\system32\msjava.dll

O9 - Extra 'Tools' menuitem: Sun Java Console - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\WINNT\system32\msjava.dll

O9 - Extra button: Related - {c95fe080-8f5d-11d2-a20b-00aa003c157a} - C:\WINNT\web\related.htm

O9 - Extra 'Tools' menuitem: Show &Related Links - {c95fe080-8f5d-11d2-a20b-00aa003c157a} - C:\WINNT\web\related.htm

O9 - Extra button: Trashcan - {072F3B8A-2DA2-40e2-B841-88899F240200} - C:\PROGRA~1\AGNITUM\OUTPOS~1\TRASH.EXE (HKCU)

O9 - Extra 'Tools' menuitem: Show Trashcan - {072F3B8A-2DA2-40e2-B841-88899F240200} - C:\PROGRA~1\AGNITUM\OUTPOS~1\TRASH.EXE (HKCU)

O12 - Plugin for .djvu: C:\Program Files\Internet Explorer\PLUGINS\npdjvu.dll

O12 - Plugin for .spop: C:\Program Files\Internet Explorer\Plugins\NPDocBox.dll

O16 - DPF: {463ED66E-431B-11D2-ADB0-0080C83DA4EB} (AcceptWM Class) - https://w3s.webmoney.ru/WMAcceptor.dll

O17 - HKLM\System\CCS\Services\Tcpip\..\{05993F66-0587-4A37-8EC6-51915D644A48}: NameServer = 192.168.9.1,213.130.4.1

O17 - HKLM\System\CCS\Services\Tcpip\..\{22801C14-72ED-4E58-8227-ABE3F5EE4596}: NameServer = 192.168.0.1,213.130.0.1

O17 - HKLM\System\CCS\Services\Tcpip\..\{71834578-C247-4033-91DE-CCCF017E2A75}: NameServer = 213.130.0.19,192.168.9.10

O17 - HKLM\System\CS1\Services\Tcpip\..\{05993F66-0587-4A37-8EC6-51915D644A48}: NameServer = 192.168.9.1,213.130.4.1

O17 - HKLM\System\CS2\Services\Tcpip\..\{05993F66-0587-4A37-8EC6-51915D644A48}: NameServer = 192.168.9.1,213.130.4.1

O23 - Service: Symantec Event Manager (ccEvtMgr) - Symantec Corporation - C:\Program Files\Common Files\Symantec Shared\ccEvtMgr.exe

O23 - Service: Symantec Password Validation (ccPwdSvc) - Symantec Corporation - C:\Program Files\Common Files\Symantec Shared\ccPwdSvc.exe

O23 - Service: Symantec Settings Manager (ccSetMgr) - Symantec Corporation - C:\Program Files\Common Files\Symantec Shared\ccSetMgr.exe

O23 - Service: Logical Disk Manager Administrative Service (dmadmin) - VERITAS Software Corp. - C:\WINNT\System32\dmadmin.exe

O23 - Service: F-Prot Antivirus Update Monitor - FRISK Software - C:\Program Files\FSI\F-Prot\fpavupdm.exe

O23 - Service: InstallDriver Table Manager (IDriverT) - Macrovision Corporation - C:\Program Files\Common Files\InstallShield\Driver\11\Intel 32\IDriverT.exe

O23 - Service: kavsvc - Kaspersky Labs - C:\Program Files\Kaspersky Lab\Kaspersky Anti-Virus Personal\kavsvc.exe

O23 - Service: MySql - Unknown owner - C:/mysql/bin/mysqld-nt.exe (file missing)

O23 - Service: Norton AntiVirus Auto-Protect Service (navapsvc) - Symantec Corporation - C:\Program Files\Norton SystemWorks\Norton AntiVirus\navapsvc.exe

O23 - Service: Norton AntiVirus Firewall Monitor Service (NPFMntor) - Symantec Corporation - C:\Program Files\Norton SystemWorks\Norton AntiVirus\IWP\NPFMntor.exe

O23 - Service: Norton Unerase Protection (NProtectService) - Symantec Corporation - C:\PROGRA~1\NORTON~1\NORTON~1\NPROTECT.EXE

O23 - Service: NVIDIA Driver Helper Service (NVSvc) - NVIDIA Corporation - C:\WINNT\system32\nvsvc32.exe

O23 - Service: Outpost Firewall Service (OutpostFirewall) - Agnitum - C:\PROGRA~1\AGNITUM\OUTPOS~1\outpost.exe

O23 - Service: SAVScan - Symantec Corporation - C:\Program Files\Norton SystemWorks\Norton AntiVirus\SAVScan.exe

O23 - Service: ScriptBlocking Service (SBService) - Symantec Corporation - C:\PROGRA~1\COMMON~1\SYMANT~1\SCRIPT~1\SBServ.exe

O23 - Service: Serv-U FTP Server (Serv-U) - Unknown owner - C:\Program Files\Serv-U\ServUDaemon.exe

O23 - Service: Symantec Network Drivers Service (SNDSrvc) - Symantec Corporation - C:\Program Files\Common Files\Symantec Shared\SNDSrvc.exe

O23 - Service: Symantec SPBBCSvc (SPBBCSvc) - Symantec Corporation - C:\Program Files\Common Files\Symantec Shared\SPBBC\SPBBCSvc.exe

O23 - Service: Speed Disk service - Symantec Corporation - C:\PROGRA~1\NORTON~1\NORTON~1\SPEEDD~1\NOPDB.EXE

O23 - Service: StarWind iSCSI Service (StarWindService) - Rocket Division Software - C:\Program Files\Alcohol Soft\Alcohol 120\StarWind\StarWindService.exe

O23 - Service: Symantec Core LC - Symantec Corporation - C:\Program Files\Common Files\Symantec Shared\CCPD-LC\symlcsvc.exe

O23 - Service: UPS - APC PowerChute plus (UPS) - Unknown owner - C:\Pwrchute\ups.exe (file missing)

O23 - Service: VNC Server (winvnc) - Unknown owner - C:\Program Files\TightVNC\WinVNC.exe" -service (file missing)

**Saule** · 1 марта, 2006

Ув. SAULE. Помогите пожалуйста отловить и удалить ''НЕЧИСТЬ''.
Выкладываю лог NijackThis

1. Открываем HijackThis, нажимаем на кнопку "Do a system scan only" и отмечаем галочкой следующее:

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = c:\secure32.html

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Bar = http://www.couldnotfind.com/search_page.ht...count_id=145499

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = http://www.couldnotfind.com/search_page.ht...count_id=145499

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = c:\secure32.html

R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = c:\secure32.html

R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = c:\secure32.html

R1 - HKCU\Software\Microsoft\Internet Explorer\Search,SearchAssistant = http://www.couldnotfind.com/search_page.ht...count_id=145499

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Local Page = c:\secure32.html

R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Local Page = c:\secure32.html

F2 - REG:system.ini: Shell=

O3 - Toolbar: AstaLaVista - {12F02779-6D88-4958-8AD3-83C12D86ADC7} - C:\Program Files\AstaLaVista Toolbar\toolbar.dll (file missing)

O4 - HKLM\..\Run: [PayTime] C:\WINNT\system32\paytime.exe

O4 - HKCU\..\Run: [shell] "C:\Program Files\Common Files\Microsoft Shared\Web Folders\ibm00001.exe"

O4 - HKCU\..\Run: [Windows installer] C:\winstall.exe

O23 - Service: MySql - Unknown owner - C:/mysql/bin/mysqld-nt.exe (file missing)

O23 - Service: UPS - APC PowerChute plus (UPS) - Unknown owner - C:\Pwrchute\ups.exe (file missing)

O23 - Service: VNC Server (winvnc) - Unknown owner - C:\Program Files\TightVNC\WinVNC.exe" -service (file missing)

Затем нажимаем на кнопку "Fix Checked" (важно, чтобы при нажатии на эту кнопку, все посторонние программы и, главное, браузер были закрыты. И еще, при лечении программу HijackThis лучше перенести из временных файлов куда-нибудь в другое место, например, на рабочий стол).

2. Скачиваем KillBox

http://www.bleepingcomputer.com/files/spyware/KillBox.zip

Распаковываем и с помощью него удаляем файлы:

C:\WINNT\system32\paytime.exe

C:\winstall.exe

C:\Program Files\Common Files\Microsoft Shared\Web Folders\ibm00001.exe

Процедура удаления файла с помощью Killbox выполняеться следующим образом:

В строку его окошка нужно скопировать точное местоположение файла (например, C:\winstall.exe).

Затем выбираем Delete on Reboot и нажмите на кнопку, которая выглядит как красный кружок с белым крестиком внутри.

3. Перезагружаем компьютер.

Удаляем папку Killbox.

И показываем на всякий случай новый лог HijackThis.

**xedox** · 1 марта, 2006

Привет всем!!! Подскажите плиз как вылечить эту нечесть Win32.hllp.jeefo.32356 :D

**Stolik** · 1 марта, 2006

xedox

Посмотри тут:

http://www.viruslist.com/ru/find?search_mo...o.32356&x=0&y=0

**xedox** · 2 марта, 2006

Stolik: у меня 2000 и рестр немного по другому распологаеться -но и там я нечего не нашёл.

неподскажеш какой из антивирей которые обсуждаються у нас на форуме -может вылечить нчисто эту гадость.

**Saule** · 2 марта, 2006

Привет всем!!! Подскажите плиз как вылечить эту нечесть Win32.hllp.jeefo.32356

1. На время лечения необходимо отключить функцию System Restore (это касаеться только Windows XP или ME).

2. Затем перезагружаемся в безопасный режим.

При появлении меню загрузки Windows нужно нажать клавишу F8. И на экране появится меню дополнительных режимов загрузки. Передвигаемся с помощью клавиш вверх/вниз и, остановившись на надписи Safe Mode, нажимаем Enter.

3. Далее нужно просканить систему каким-нибудь сканером (предварительно скаченным), который способен лечить файлы, зараженные этим вирусом. Например:

Бесплатная разработка под этот вирус компании Sophos:

http://www.sophos.fr/support/cleaners/jeefogui.com

Бесплатный лечащий сканер Dr.Web - CureIt!

Почитать о нем можно тут:

http://download.drweb.com/drweb+cureit/

Kaspersky (если бесплатно, то подайдет Бета-версия)

http://www.kaspersky.ru/beta

Важный момент: файлы, которые будет вылечить невозможно (если такие будут), необходимо, к сожалению, удалить.

И имейте в виду, что если в вашей системе, либо на каком либо CD-R-/CD-RW-диске, который был записан уже на зараженной вирусом машине, либо если вы пользуйтесь флэшками для переноса/хранения информации (USB Flash Memory Storage) или дискетами, останеться хоть 1 зараженный .ехе файл и он будет запущен на вашем компьютере, то всё начнется сначала.

**slaiter** · 2 марта, 2006

SAULE большое спасибо за помощь!

Сделал все как вы писали. Сообщение об отсутствии файла C:/secure32.html исчезло, но проблема с IE (при открытии страницы IE закрывается) осталась. С оперой такого не наблюдается.

Выкладываю новый лог HijackThis: