Trojan Blokujacy Exe.

[qba]

Zaczne od tego, ze mam Windows'a XP, stale lacze, SP2, wszystkie latki Kaspersky Antivirus (ale chyba juz nie dlugo :[ ) oraz Ad-Aware. Komp chodzi u mnie non stop. Wczoraj jak zrobilem restart to mi sie Ad-Watch (element Ad-Aware monitorujacy system) nie chcial wlaczyc. Zrobilem skan Ad-Aware'em i wszystko bylo ok (2 tracking cookies). Ad-Watch nie chcial dzialac mimo to. Na dzisiaj na 7:00 mialem zaplanowany gruntowny scan Kaspersky'm. Jak wrocilem z pracy to mialem kompa zrestartowanego i alert Ad-Aware o jakims trojanie (chyba, bo popelnilem fatalny blad i nie przeczytalem dokladnie, tylko kliknalem "continue"). I od tego momentu nie moge uruchomic zadnych aplikacji (nic co ma *.exe, lub *.lnk). Nie uruchamiaja sie tez zadne programy przy starcie Windowsa. Nie moge nawet wlaczyc regedit!!! (To co pamietam z tego alertu, to cos o zmianie w rejstrze.) I tu jest najwiekszy problem, bo nawet nie moge zadnych linijek skasowac z rejestru. Skanowalem mks'em online wszystkie dyski i ok, kasperskym tez. Udalo mi sie to, bo jak chce cos w jakims programie uruchomic np. klikne dwa razy na mp3'ke to jest ok - wlacza sie, ale sam program - przez exe - juz nie chce ruszyc. Pomozecie mi z tym? Jak zedytowac resjetr bez regedit?

 

Blagam pomocy!

Edytowane 30 Maja 2005 przez q-b-a

[Kolobos]

Sciagnij i uruchom:

http://www.kellys-korner-xp.com/regs_edits/exefix.reg

 

Nastepnie przeskanuj system hijackthi i wklej log na forum:

http://www.spychecker.com/program/hijackthis.html

[qba]

Sciagnij i uruchom:

1459894[/snapback]

 

Logfile of HijackThis v1.99.1

Scan saved at 18:30:50, on 2005-05-23

Platform: Windows XP Dodatek SP2 (WinNT 5.01.2600)

MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)

 

Running processes:

C:\WINDOWS\System32\smss.exe

C:\WINDOWS\system32\winlogon.exe

C:\WINDOWS\system32\services.exe

C:\WINDOWS\system32\lsass.exe

C:\WINDOWS\system32\Ati2evxx.exe

C:\WINDOWS\system32\svchost.exe

C:\WINDOWS\System32\svchost.exe

C:\WINDOWS\system32\spoolsv.exe

C:\Program Files\Common Files\Microsoft Shared\VS7DEBUG\MDM.EXE

C:\WINDOWS\system32\Ati2evxx.exe

C:\WINDOWS\Explorer.EXE

C:\Program Files\Analog Devices\SoundMAX\SMAgent.exe

C:\WINDOWS\system32\taskmgr.exe

E:\HijackThis.exe

C:\WINDOWS\system32\wuauclt.exe

 

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page =

R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page =

R0 - HKLM\Software\Microsoft\Internet Explorer\Search,SearchAssistant =

R0 - HKLM\Software\Microsoft\Internet Explorer\Search,CustomizeSearch =

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Local Page =

R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Local Page =

R1 - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings,ProxyServer = 212.78.145.72:80

R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Łącza

O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Program Files\Adobe\Acrobat 6.0 CE\Reader\ActiveX\AcroIEHelper.dll

O2 - BHO: Google Toolbar Helper - {AA58ED58-01DD-4d91-8333-CF10577473F7} - c:\program files\google\googletoolbar2.dll

O2 - BHO: FlashFXP Helper for Internet Explorer - {E5A1691B-D188-4419-AD02-90002030B8EE} - C:\PROGRA~1\FlashFXP\FlashFXP\IEFlash.dll

O3 - Toolbar: &Google - {2318C2B1-4965-11d4-9B18-009027A5CD4F} - c:\program files\google\googletoolbar2.dll

O4 - Global Startup: Adobe Gamma Loader.lnk = C:\Program Files\Common Files\Adobe\Calibration\Adobe Gamma Loader.exe

O4 - Global Startup: Microsoft Office.lnk = C:\Program Files\Microsoft Office\Office10\OSA.EXE

O8 - Extra context menu item: &Google Search - res://c:\program files\google\GoogleToolbar2.dll/cmsearch.html

O8 - Extra context menu item: Backward Links - res://c:\program files\google\GoogleToolbar2.dll/cmbacklinks.html

O8 - Extra context menu item: Cached Snapshot of Page - res://c:\program files\google\GoogleToolbar2.dll/cmcache.html

O8 - Extra context menu item: E&ksport do programu Microsoft Excel - res://C:\PROGRA~1\MICROS~2\OFFICE11\EXCEL.EXE/3000

O8 - Extra context menu item: ImgDexer - java script:with(window.open('','_blank','scrollbars,resizable,status,width=640,height=480').document){open();write("<script>t=prompt('Example: http://www.site.com/pic[01-10].jpg',location.href).split('[');l=t[1].split(']');s=l[0].split('-');f='<script>i=0;v=0;b=0;a=new Date();document.onmousemove=function(){with(event.srcElement){tagName==\\'IMG\\'?title=src+\\'\\\\n\Size: \\'+width+\\' × \\'+height+\\' Pixel\\\\n\Weight: \\'+(fileSize/1024).toFixed(2)+\\' KB (\\'+fileSize+\\' Bytes)\\\\n\Uploaded:\\'+fileUpdatedDate:0;if(fileSize>0){style.cursor=\\'\\'}else{title=\\'\\\\n\\\\tLoading...\\\\t\\\\n\\';style.cursor=\\'wait\\'}}};function j(){with(event.srcElement){width+16>(w=document.body.clientWidth)?width=w-16:0;fileSize>0?v+=1:n()}c()}function n(){event.srcElement.style.display=\\'none\\';b+=1;c()}function c(){status=v+\\' Images | \\'+(i+=event.srcElement.fileSize/1048576*1).toFixed(2)+\\' MB | \\'+(h=((new Date()-a)/1000)).toFixed(1)+\\' sec. | \\'+(i*1024/h*8).toF

O8 - Extra context menu item: Similar Pages - res://c:\program files\google\GoogleToolbar2.dll/cmsimilar.html

O8 - Extra context menu item: SiteAccess - java script:with(window.open('','_blank','resizable,status,width=640,height=480').document){open();write("<script>document.write('<title>SiteAccess</title><frameset rows=*,*><frame><frame><\\/frameset>');with(parent[0].document){write('<table width=100% height=100%><tr><th><a href=http://www.adatepe.de/imgdexer/ target=0>www.adatepe.de/imgdexer</a></th></tr></table>');close()}with(parent[1].document){open();write('<body scroll=no style=margin:0 onload=t.focus();document.execCommand(\\'paste\\')><textarea title=\"doubleclick to preview\" id=t style=\"height:100%;width:100%;border:0;background:beige;font:700 12 verdana;overflow:auto;padding:0 3\" onselect=window.status=document.selection.createRange().text.length ondblclick=with(parent[0].document){open();write(value);close()}><\\/textarea>');close()}</script>");close()}

O8 - Extra context menu item: Translate into English - res://c:\program files\google\GoogleToolbar2.dll/cmtrans.html

O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\jre1.5.0_02\bin\npjpi150_02.dll

O9 - Extra 'Tools' menuitem: Sun Java Console - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\jre1.5.0_02\bin\npjpi150_02.dll

O9 - Extra button: (no name) - {09A20C54-2D0A-4FDA-A412-8280F35BCC28} - C:\Documents and Settings\Jakub\Cookies

O9 - Extra 'Tools' menuitem: Show Cookies - {09A20C54-2D0A-4FDA-A412-8280F35BCC28} - C:\Documents and Settings\Jakub\Cookies

O9 - Extra button: Badanie - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - C:\PROGRA~1\MICROS~2\OFFICE11\REFIEBAR.DLL

O9 - Extra button: (no name) - {947A1C2E-0595-4ABB-BE9F-A75738BC38BE} - C:\Documents and Settings\Jakub\Ustawienia lokalne\Temporary Internet Files

O9 - Extra 'Tools' menuitem: Show Cache - {947A1C2E-0595-4ABB-BE9F-A75738BC38BE} - C:\Documents and Settings\Jakub\Ustawienia lokalne\Temporary Internet Files

O16 - DPF: {31B7EB4E-8B4B-11D1-A789-00A0CC6651A8} (Cult3D ActiveX Player) - http://www.cult3d.com/download/cult.cab

O16 - DPF: {E7544C6C-CFD6-43EA-B4E9-360CEE20BDF7} (MainControl Class) - http://skaner.mks.com.pl/SkanerOnline.cab

O23 - Service: Adobe LM Service - Unknown owner - C:\Program Files\Common Files\Adobe Systems Shared\Service\Adobelmsvc.exe

O23 - Service: Ati HotKey Poller - ATI Technologies Inc. - C:\WINDOWS\system32\Ati2evxx.exe

O23 - Service: ATI Smart - Unknown owner - C:\WINDOWS\system32\ati2sgag.exe

O23 - Service: kavsvc - Kaspersky Labs - C:\Program Files\Kaspersky Anti-Virus Personal\kavsvc.exe

O23 - Service: SoundMAX Agent Service (SoundMAX Agent Service (default)) - Analog Devices, Inc. - C:\Program Files\Analog Devices\SoundMAX\SMAgent.exe

 

Wielkie dzieki. Na razie wszystko wrocilo do normy, ale jak sie przed tym chronic i czy to na pewno koniec?

Edytowane 23 Maja 2005 przez q-b-a

[Kolobos]

Na przyszlosc przeczytaj dokladnie komunikat i zobacz co dokladnie sie stalo i czego dotyczy ;-) Rejestr mogl sie uszkodzic, jakis program mogl go uszkodzic np. Ad-Aware co juz w przeszlosci sie zdarzalo (kasowal plik systemowy i windows nie startowal ;-)).Log z hijackthis wyglada ok.

 

Widze, ze nie masz żadnego antyvirusa wlaczonego, przydalby sie jakis skaner antyvirusowy pracujacy w tle i w razie czego blokujacy co trzeba.

 

 

Zainstaluj sobie to:

http://www.safer-networking.org/pl/mirrors/index.html <- SpyBot S&D -> przeskanuj i wlacz ochrone przegladarki

http://www.javacoolsoftware.com/spywareblaster.html <- SpywareBlaster -> wlacz ochrone przegladarki

http://www.wilderssecurity.net/spywareguard.html <- SpywareGuard

 

Przeskanuj tym:

http://housecall.trendmicro.com/housecall/start_corp.asp

http://www.windowsecurity.com/trojanscan/

http://www.pandasoftware.com/activescan/po...n_principal.htm

 

Oraz:

http://download.microsoft.com/download/8/1...wareInstall.exe

[ULLISSES]

A wczesniej jeszcze UBIJ mdm.exe i wywal - to debugger od MS, ktory skutecznie spowalnia nawet mocne sprzety..

[qba]

Dziekuje wam bardzo za pomoc. Wszystko wrocilo do normy.

 

ps. Jak wywalic MDM.exe? Wole nie kasowac z dysku, zeby mi sie nic nie pochrzanilo, a w rejestrze nie moge znalezc.

[ULLISSES]

MDM - Machine Debugger Monitor (czy jakos tak) to czesc debuggera dolaczonego do Office 2000 i chyba Visual Studio 6. Jego ogolne dzialanie polega na spowalanianiu pracy kompa chociaz nie bylo to raczej zamiarem programistow.

Jak nie chcesz usuwac, to go przenies lub zmien mu nazwe lub rozszerzenie - chodz tylko o to, aby sie nie uruchamial.

 

http://www.liutilities.com/products/wintas...esslibrary/mdm/

 

http://www.neuber.com/taskmanager/process/mdm.exe.html

[moonmaker05]

a czy ja ksie wywali tego mdm to nic sie nie stanie bo mam problemy z debugowaniem

[qba]

Nie chcialem juz zakladac osobnego watku, ale mam pytanie. Po zastosowaniu bardzo pomocnych wskazów kolegow (zwlaszcza Kolobosa - dzieki!) wszystko wrocilo do normy, poza jedna rzecza - przy starcie systemu nie wlaczaja mi sie programy z autostartu (np. nie wlacza mi sie obsluga ekranow ATI, ikonka glosnosci w tray'u, czy obsluga dodatkowych klawiszy myszki). Czy mozna to jakos hurtem odblokowac, czy po prostu wywalic sterowniki i na nowo (ukatualnienie Catalystow nic nie zmienilo)?

[Kolobos]

Sprawdzales czy masz w ogole te wpisy w:

Start->Uruchom->msconfig->Uruchamianie ?

 

Sprawdz tez czy dane aplikacje sa dopisane w rejestrze w kluczu:

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run

 

Jak nie to albo dodaj sam jak pamietasz co tam bylo albo przeinstaluj dane sterowniki/programy.

Czasem w danym programie/sterowniku jest opcja pokazywania ikonki po jej ponowyn odznaczeniu i zaznaczeniu ikona powinna sie pojawic.

Chyba, ze cos jeszcze jest zepsute to wtedy nie ;-)