Trojan Blokujacy Exe.

213.156.100.* napisał:

Zaczne od tego, ze mam Windows'a XP, stale lacze, SP2, wszystkie latki Kaspersky Antivirus (ale chyba juz nie dlugo :[ ) oraz Ad-Aware. Komp chodzi u mnie non stop. Wczoraj jak zrobilem restart to mi sie Ad-Watch (element Ad-Aware monitorujacy system) nie chcial wlaczyc. Zrobilem skan Ad-Aware'em i wszystko bylo ok (2 tracking cookies). Ad-Watch nie chcial dzialac mimo to. Na dzisiaj na 7:00 mialem zaplanowany gruntowny scan Kaspersky'm. Jak wrocilem z pracy to mialem kompa zrestartowanego i alert Ad-Aware o jakims trojanie (chyba, bo popelnilem fatalny blad i nie przeczytalem dokladnie, tylko kliknalem "continue"). I od tego momentu nie moge uruchomic zadnych aplikacji (nic co ma *.exe, lub *.lnk). Nie uruchamiaja sie tez zadne programy przy starcie Windowsa. Nie moge nawet wlaczyc regedit!!! (To co pamietam z tego alertu, to cos o zmianie w rejstrze.) I tu jest najwiekszy problem, bo nawet nie moge zadnych linijek skasowac z rejestru. Skanowalem mks'em online wszystkie dyski i ok, kasperskym tez. Udalo mi sie to, bo jak chce cos w jakims programie uruchomic np. klikne dwa razy na mp3'ke to jest ok - wlacza sie, ale sam program - przez exe - juz nie chce ruszyc. Pomozecie mi z tym? Jak zedytowac resjetr bez regedit?

Blagam pomocy!

213.76.227.* napisał:

Sciagnij i uruchom:
http://www.kellys-korner-xp.com/regs_edits/exefix.reg

Nastepnie przeskanuj system hijackthi i wklej log na forum:
http://www.spychecker.com/program/hijackthis.html

213.156.100.* napisał:

Logfile of HijackThis v1.99.1
Scan saved at 18:30:50, on 2005-05-23
Platform: Windows XP Dodatek SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\Ati2evxx.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\spoolsv.exe
C:\Program Files\Common Files\Microsoft Shared\VS7DEBUG\MDM.EXE
C:\WINDOWS\system32\Ati2evxx.exe
C:\WINDOWS\Explorer.EXE
C:\Program Files\Analog Devices\SoundMAX\SMAgent.exe
C:\WINDOWS\system32\taskmgr.exe
E:\HijackThis.exe
C:\WINDOWS\system32\wuauclt.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page =
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page =
R0 - HKLM\Software\Microsoft\Internet Explorer\Search,SearchAssistant =
R0 - HKLM\Software\Microsoft\Internet Explorer\Search,CustomizeSearch =
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Local Page =
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Local Page =
R1 - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings,ProxyServer = 212.78.145.72:80
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Łącza
O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Program Files\Adobe\Acrobat 6.0 CE\Reader\ActiveX\AcroIEHelper.dll
O2 - BHO: Google Toolbar Helper - {AA58ED58-01DD-4d91-8333-CF10577473F7} - c:\program files\google\googletoolbar2.dll
O2 - BHO: FlashFXP Helper for Internet Explorer - {E5A1691B-D188-4419-AD02-90002030B8EE} - C:\PROGRA~1\FlashFXP\FlashFXP\IEFlash.dll
O3 - Toolbar: &Google - {2318C2B1-4965-11d4-9B18-009027A5CD4F} - c:\program files\google\googletoolbar2.dll
O4 - Global Startup: Adobe Gamma Loader.lnk = C:\Program Files\Common Files\Adobe\Calibration\Adobe Gamma Loader.exe
O4 - Global Startup: Microsoft Office.lnk = C:\Program Files\Microsoft Office\Office10\OSA.EXE
O8 - Extra context menu item: &Google Search - res://c:\program files\google\GoogleToolbar2.dll/cmsearch.html
O8 - Extra context menu item: Backward Links - res://c:\program files\google\GoogleToolbar2.dll/cmbacklinks.html
O8 - Extra context menu item: Cached Snapshot of Page - res://c:\program files\google\GoogleToolbar2.dll/cmcache.html
O8 - Extra context menu item: E&ksport do programu Microsoft Excel - res://C:\PROGRA~1\MICROS~2\OFFICE11\EXCEL.EXE/3000
O8 - Extra context menu item: ImgDexer - javascript:with(window.open('','_blank','scrollbars,resizable,status,width=640,height=480').document){open();write("<script>t=prompt('Example: http://www.site.com/pic[01-10].jpg',location.href).split('[');l=t[1].split(']');s=l[0].split('-');f='<script>i=0;v=0;b=0;a=new Date();document.onmousemove=function(){with(event.srcElement){tagName==\\'IMG\\'?title=src+\\'\\\\n\Size: \\'+width+\\' × \\'+height+\\' Pixel\\\\n\Weight: \\'+(fileSize/1024).toFixed(2)+\\' KB (\\'+fileSize+\\' Bytes)\\\\n\Uploaded:\\'+fileUpdatedDate:0;if(fileSize>0){style.cursor=\\'\\'}else{title=\\'\\\\n\\\\tLoading...\\\\t\\\\n\\';style.cursor=\\'wait\\'}}};function j(){with(event.srcElement){width+16>(w=document.body.clientWidth)?width=w-16:0;fileSize>0?v+=1:n()}c()}function n(){event.srcElement.style.display=\\'none\\';b+=1;c()}function c(){status=v+\\' Images | \\'+(i+=event.srcElement.fileSize/1048576*1).toFixed(2)+\\' MB | \\'+(h=((new Date()-a)/1000)).toFixed(1)+\\' sec. | \\'+(i*1024/h*8).toF
O8 - Extra context menu item: Similar Pages - res://c:\program files\google\GoogleToolbar2.dll/cmsimilar.html
O8 - Extra context menu item: SiteAccess - javascript:with(window.open('','_blank','resizable,status,width=640,height=480').document){open();write("<script>document.write('<title>SiteAccess</title><frameset rows=*,*><frame><frame><\\/frameset>');with(parent[0].document){write('<table width=100% height=100%><tr><th><a href=http://www.adatepe.de/imgdexer/ target=0>www.adatepe.de/imgdexer</a></th></tr></table>');close()}with(parent[1].document){open();write('<body scroll=no style=margin:0 onload=t.focus();document.execCommand(\\'paste\\')><textarea title=\"doubleclick to preview\" id=t style=\"height:100%;width:100%;border:0;background:beige;font:700 12 verdana;overflow:auto;padding:0 3\" onselect=window.status=document.selection.createRange().text.length ondblclick=with(parent[0].document){open();write(value);close()}><\\/textarea>');close()}</script>");close()}
O8 - Extra context menu item: Translate into English - res://c:\program files\google\GoogleToolbar2.dll/cmtrans.html
O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\jre1.5.0_02\bin\npjpi150_02.dll
O9 - Extra 'Tools' menuitem: Sun Java Console - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\jre1.5.0_02\bin\npjpi150_02.dll
O9 - Extra button: (no name) - {09A20C54-2D0A-4FDA-A412-8280F35BCC28} - C:\Documents and Settings\Jakub\Cookies
O9 - Extra 'Tools' menuitem: Show Cookies - {09A20C54-2D0A-4FDA-A412-8280F35BCC28} - C:\Documents and Settings\Jakub\Cookies
O9 - Extra button: Badanie - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - C:\PROGRA~1\MICROS~2\OFFICE11\REFIEBAR.DLL
O9 - Extra button: (no name) - {947A1C2E-0595-4ABB-BE9F-A75738BC38BE} - C:\Documents and Settings\Jakub\Ustawienia lokalne\Temporary Internet Files
O9 - Extra 'Tools' menuitem: Show Cache - {947A1C2E-0595-4ABB-BE9F-A75738BC38BE} - C:\Documents and Settings\Jakub\Ustawienia lokalne\Temporary Internet Files
O16 - DPF: {31B7EB4E-8B4B-11D1-A789-00A0CC6651A8} (Cult3D ActiveX Player) - http://www.cult3d.com/download/cult.cab
O16 - DPF: {E7544C6C-CFD6-43EA-B4E9-360CEE20BDF7} (MainControl Class) - http://skaner.mks.com.pl/SkanerOnline.cab
O23 - Service: Adobe LM Service - Unknown owner - C:\Program Files\Common Files\Adobe Systems Shared\Service\Adobelmsvc.exe
O23 - Service: Ati HotKey Poller - ATI Technologies Inc. - C:\WINDOWS\system32\Ati2evxx.exe
O23 - Service: ATI Smart - Unknown owner - C:\WINDOWS\system32\ati2sgag.exe
O23 - Service: kavsvc - Kaspersky Labs - C:\Program Files\Kaspersky Anti-Virus Personal\kavsvc.exe
O23 - Service: SoundMAX Agent Service (SoundMAX Agent Service (default)) - Analog Devices, Inc. - C:\Program Files\Analog Devices\SoundMAX\SMAgent.exe

Wielkie dzieki. Na razie wszystko wrocilo do normy, ale jak sie przed tym chronic i czy to na pewno koniec?

213.76.227.* napisał:

Na przyszlosc przeczytaj dokladnie komunikat i zobacz co dokladnie sie stalo i czego dotyczy Rejestr mogl sie uszkodzic, jakis program mogl go uszkodzic np. Ad-Aware co juz w przeszlosci sie zdarzalo (kasowal plik systemowy i windows nie startowal ).Log z hijackthis wyglada ok.

Widze, ze nie masz żadnego antyvirusa wlaczonego, przydalby sie jakis skaner antyvirusowy pracujacy w tle i w razie czego blokujacy co trzeba.


Zainstaluj sobie to:
http://www.safer-networking.org/pl/mirrors/index.html <- SpyBot S&D -> przeskanuj i wlacz ochrone przegladarki
http://www.javacoolsoftware.com/spywareblaster.html <- SpywareBlaster -> wlacz ochrone przegladarki
http://www.wilderssecurity.net/spywareguard.html <- SpywareGuard

Przeskanuj tym:
http://housecall.trendmicro.com/housecall/start_corp.asp
http://www.windowsecurity.com/trojanscan/
http://www.pandasoftware.com/activescan/pol/activescan_principal.htm

Oraz:
http://download.microsoft.com/download/8/1/5/815d2d60-49b5-44dc-ae35-fca2f2c6f0cc/MicrosoftAntiSpywareInstall.exe

83.16.51.* napisał:

A wczesniej jeszcze UBIJ mdm.exe i wywal - to debugger od MS, ktory skutecznie spowalnia nawet mocne sprzety..

213.156.100.* napisał:

Dziekuje wam bardzo za pomoc. Wszystko wrocilo do normy.

ps. Jak wywalic MDM.exe? Wole nie kasowac z dysku, zeby mi sie nic nie pochrzanilo, a w rejestrze nie moge znalezc.

80.51.180.* napisał:

MDM - Machine Debugger Monitor (czy jakos tak) to czesc debuggera dolaczonego do Office 2000 i chyba Visual Studio 6. Jego ogolne dzialanie polega na spowalanianiu pracy kompa chociaz nie bylo to raczej zamiarem programistow.
Jak nie chcesz usuwac, to go przenies lub zmien mu nazwe lub rozszerzenie - chodz tylko o to, aby sie nie uruchamial.

http://www.liutilities.com/products/wintaskspro/processlibrary/mdm/

http://www.neuber.com/taskmanager/process/mdm.exe.html

84.10.101.* napisał:

a czy ja ksie wywali tego mdm to nic sie nie stanie bo mam problemy z debugowaniem

213.156.100.* napisał:

Nie chcialem juz zakladac osobnego watku, ale mam pytanie. Po zastosowaniu bardzo pomocnych wskazów kolegow (zwlaszcza Kolobosa - dzieki!) wszystko wrocilo do normy, poza jedna rzecza - przy starcie systemu nie wlaczaja mi sie programy z autostartu (np. nie wlacza mi sie obsluga ekranow ATI, ikonka glosnosci w tray'u, czy obsluga dodatkowych klawiszy myszki). Czy mozna to jakos hurtem odblokowac, czy po prostu wywalic sterowniki i na nowo (ukatualnienie Catalystow nic nie zmienilo)?

213.76.227.* napisał:

Sprawdzales czy masz w ogole te wpisy w:
Start->Uruchom->msconfig->Uruchamianie ?

Sprawdz tez czy dane aplikacje sa dopisane w rejestrze w kluczu:
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run

Jak nie to albo dodaj sam jak pamietasz co tam bylo albo przeinstaluj dane sterowniki/programy.
Czasem w danym programie/sterowniku jest opcja pokazywania ikonki po jej ponowyn odznaczeniu i zaznaczeniu ikona powinna sie pojawic.
Chyba, ze cos jeszcze jest zepsute to wtedy nie

TROJAN !!!
Wirus trojan czy jaki ($*
jak usunąć 3 trojany
Trojan, virus... "you are in danger" jak usunac ?
Trojan Horse!!! nie dam rady go usunąć!!!!!!!!! :/ help
hacker ? trojan ? spyware ?
Problem Z Trojanem.
Po Trojanie Same Problemy...

00 01 02 03 04 05 06 07 08 09 10 11 12 13