حاسوبي بطيئ والنظام يعلق مرة اخرى (مشكلة trojan DNS Changer)

[أمينة مختار]

قد عدت ^_^
اخي البرنامج لم يجد اي ملف ضار وهذا تقريره:

Malwarebytes' Anti-Malware 1.35
Version de la base de données: 1921
Windows 5.1.2600 Service Pack 3

30/03/2009 22:00:14
mbam-log-2009-03-30 (22-00-14).txt

Type de recherche: Examen complet (C:\|E:\|F:\|)
Eléments examinés: 111006
Temps écoulé: 20 minute(s), 32 second(s)

Processus mémoire infecté(s): 0
Module(s) mémoire infecté(s): 0
Clé(s) du Registre infectée(s): 0
Valeur(s) du Registre infectée(s): 0
Elément(s) de données du Registre infecté(s): 0
Dossier(s) infecté(s): 0
Fichier(s) infecté(s): 0

Processus mémoire infecté(s):
(Aucun élément nuisible détecté)

Module(s) mémoire infecté(s):
(Aucun élément nuisible détecté)

Clé(s) du Registre infectée(s):
(Aucun élément nuisible détecté)

Valeur(s) du Registre infectée(s):
(Aucun élément nuisible détecté)

Elément(s) de données du Registre infecté(s):
(Aucun élément nuisible détecté)

Dossier(s) infecté(s):
(Aucun élément nuisible détecté)

Fichier(s) infecté(s):
(Aucun élément nuisible détecté)

ولم يطلب اعادة التشغيل..اعدت التشغيل و شغلت اداة hijack this
وهذا تقريرها:

Logfile of Trend Micro HijackThis v2.0.2
Scan saved at 22:05:39, on 30/03/2009
Platform: Windows XP SP3 (WinNT 5.01.2600)
MSIE: Internet Explorer v7.00 (7.00.6000.16791)
Boot mode: Normal

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\Explorer.EXE
C:\WINDOWS\system32\spoolsv.exe
C:\Program Files\Avira\AntiVir PersonalEdition Classic\sched.exe
C:\Program Files\Avira\AntiVir PersonalEdition Classic\avgnt.exe
C:\WINDOWS\system32\ctfmon.exe
C:\Program Files\Windows Live\Messenger\msnmsgr.exe
C:\Program Files\Internet Download Manager\IDMan.exe
C:\Program Files\Avira\AntiVir PersonalEdition Classic\avguard.exe
C:\Program Files\Nero\Nero8\Nero BackItUp\NBService.exe
C:\WINDOWS\system32\nvsvc32.exe
C:\WINDOWS\system32\svchost.exe
C:\Program Files\Internet Download Manager\IEMonitor.exe
C:\Program Files\Trend Micro\HijackThis\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Liens
O2 - BHO: IDMIEHlprObj Class - {0055C089-8582-441B-A0BF-17B458C2A3A8} - C:\Program Files\Internet Download Manager\IDMIECC.dll
O2 - BHO: SnagIt Toolbar Loader - {00C6482D-C502-44C8-8409-FCE54AD9C208} - C:\Program Files\TechSmith\SnagIt 9\SnagItBHO.dll
O2 - BHO: Programme d'aide de l'Assistant de connexion Windows Live - {9030D464-4C02-4ABF-8ECC-5164760863C6} - C:\Program Files\Fichiers communs\Microsoft Shared\Windows Live\WindowsLiveLogin.dll
O3 - Toolbar: SnagIt - {8FF5E183-ABDE-46EB-B09E-D2AAB95CABE3} - C:\Program Files\TechSmith\SnagIt 9\SnagItIEAddin.dll
O4 - HKLM\..\Run: [avgnt] "C:\Program Files\Avira\AntiVir PersonalEdition Classic\avgnt.exe" /min
O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\system32\NvCpl.dll,NvStartup
O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\ctfmon.exe
O4 - HKCU\..\Run: [msnmsgr] "C:\Program Files\Windows Live\Messenger\msnmsgr.exe" /background
O4 - HKCU\..\Run: [IDMan] C:\Program Files\Internet Download Manager\IDMan.exe /onboot
O4 - HKUS\S-1-5-18\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'SYSTEM')
O4 - HKUS\.DEFAULT\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'Default user')
O8 - Extra context menu item: E&xporter vers Microsoft Excel - res://C:\PROGRA~1\MICROS~2\OFFICE11\EXCEL.EXE/3000
O8 - Extra context menu item: Télécharger avec IDM - C:\Program Files\Internet Download Manager\IEExt.htm
O8 - Extra context menu item: Télécharger le contenu de video FLV avec IDM - C:\Program Files\Internet Download Manager\IEGetVL.htm
O8 - Extra context menu item: Télécharger tous les liens avec IDM - C:\Program Files\Internet Download Manager\IEGetAll.htm
O9 - Extra button: Recherche - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - C:\PROGRA~1\MICROS~2\OFFICE11\REFIEBAR.DLL
O9 - Extra button: (no name) - {e2e2dd38-d088-4134-82b7-f2ba38496583} - C:\WINDOWS\Network Diagnostic\xpnetdiag.exe
O9 - Extra 'Tools' menuitem: @xpsp3res.dll,-20001 - {e2e2dd38-d088-4134-82b7-f2ba38496583} - C:\WINDOWS\Network Diagnostic\xpnetdiag.exe
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe
O16 - DPF: {30528230-99f7-4bb4-88d8-fa1d4f56a2ab} (YInstStarter Class) - C:\Program Files\Yahoo!\Common\yinsthelper.dll
O23 - Service: Avira AntiVir Personal - Free Antivirus Scheduler (AntiVirScheduler) - Avira GmbH - C:\Program Files\Avira\AntiVir PersonalEdition Classic\sched.exe
O23 - Service: Avira AntiVir Personal - Free Antivirus Guard (AntiVirService) - Avira GmbH - C:\Program Files\Avira\AntiVir PersonalEdition Classic\avguard.exe
O23 - Service: Nero BackItUp Scheduler 3 - Nero AG - C:\Program Files\Nero\Nero8\Nero BackItUp\NBService.exe
O23 - Service: NMIndexingService - Nero AG - C:\Program Files\Fichiers communs\Nero\Lib\NMIndexingService.exe
O23 - Service: NVIDIA Display Driver Service (NVSvc) - NVIDIA Corporation - C:\WINDOWS\system32\nvsvc32.exe

--
End of file - 4208 bytes

المفتاحان غير موجودان...
لكني اكتشفت شيئا...... اصبحت ذكية ^_^
هذا التقرير كان قبل ان الاتصال بالنت...
اتصلت بالشبكة و بدات بتشغيل البرامج و المتصفح
و اجري كل مرة فحصا باداة HijackThis...و وجدت ان المفتاحين يظهران مباشرة بعد تشغيل MSN Messenger
و هاهو التقرير الدال على ذلك:

Logfile of Trend Micro HijackThis v2.0.2
Scan saved at 22:07:46, on 30/03/2009
Platform: Windows XP SP3 (WinNT 5.01.2600)
MSIE: Internet Explorer v7.00 (7.00.6000.16791)
Boot mode: Normal

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\Explorer.EXE
C:\WINDOWS\system32\spoolsv.exe
C:\Program Files\Avira\AntiVir PersonalEdition Classic\sched.exe
C:\Program Files\Avira\AntiVir PersonalEdition Classic\avgnt.exe
C:\WINDOWS\system32\ctfmon.exe
C:\Program Files\Windows Live\Messenger\msnmsgr.exe
C:\Program Files\Internet Download Manager\IDMan.exe
C:\Program Files\Avira\AntiVir PersonalEdition Classic\avguard.exe
C:\Program Files\Nero\Nero8\Nero BackItUp\NBService.exe
C:\WINDOWS\system32\nvsvc32.exe
C:\WINDOWS\system32\svchost.exe
C:\Program Files\Internet Download Manager\IEMonitor.exe
C:\WINDOWS\system32\wuauclt.exe
C:\Program Files\Windows Live\Contacts\wlcomm.exe
C:\Program Files\Mozilla Firefox\firefox.exe
C:\Program Files\Trend Micro\HijackThis\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Liens
O2 - BHO: IDMIEHlprObj Class - {0055C089-8582-441B-A0BF-17B458C2A3A8} - C:\Program Files\Internet Download Manager\IDMIECC.dll
O2 - BHO: SnagIt Toolbar Loader - {00C6482D-C502-44C8-8409-FCE54AD9C208} - C:\Program Files\TechSmith\SnagIt 9\SnagItBHO.dll
O2 - BHO: Programme d'aide de l'Assistant de connexion Windows Live - {9030D464-4C02-4ABF-8ECC-5164760863C6} - C:\Program Files\Fichiers communs\Microsoft Shared\Windows Live\WindowsLiveLogin.dll
O3 - Toolbar: SnagIt - {8FF5E183-ABDE-46EB-B09E-D2AAB95CABE3} - C:\Program Files\TechSmith\SnagIt 9\SnagItIEAddin.dll
O4 - HKLM\..\Run: [avgnt] "C:\Program Files\Avira\AntiVir PersonalEdition Classic\avgnt.exe" /min
O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\system32\NvCpl.dll,NvStartup
O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\ctfmon.exe
O4 - HKCU\..\Run: [msnmsgr] "C:\Program Files\Windows Live\Messenger\msnmsgr.exe" /background
O4 - HKCU\..\Run: [IDMan] C:\Program Files\Internet Download Manager\IDMan.exe /onboot
O4 - HKUS\S-1-5-18\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'SYSTEM')
O4 - HKUS\.DEFAULT\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'Default user')
O8 - Extra context menu item: E&xporter vers Microsoft Excel - res://C:\PROGRA~1\MICROS~2\OFFICE11\EXCEL.EXE/3000
O8 - Extra context menu item: Télécharger avec IDM - C:\Program Files\Internet Download Manager\IEExt.htm
O8 - Extra context menu item: Télécharger le contenu de video FLV avec IDM - C:\Program Files\Internet Download Manager\IEGetVL.htm
O8 - Extra context menu item: Télécharger tous les liens avec IDM - C:\Program Files\Internet Download Manager\IEGetAll.htm
O9 - Extra button: Recherche - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - C:\PROGRA~1\MICROS~2\OFFICE11\REFIEBAR.DLL
O9 - Extra button: (no name) - {e2e2dd38-d088-4134-82b7-f2ba38496583} - C:\WINDOWS\Network Diagnostic\xpnetdiag.exe
O9 - Extra 'Tools' menuitem: @xpsp3res.dll,-20001 - {e2e2dd38-d088-4134-82b7-f2ba38496583} - C:\WINDOWS\Network Diagnostic\xpnetdiag.exe
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe
O16 - DPF: {30528230-99f7-4bb4-88d8-fa1d4f56a2ab} (YInstStarter Class) - C:\Program Files\Yahoo!\Common\yinsthelper.dll
O17 - HKLM\System\CCS\Services\Tcpip\..\{0EDBBB8F-E9BF-4497-BB83-66B99547F967}: NameServer = 41.221.20.4 193.251.169.165
O17 - HKLM\System\CS1\Services\Tcpip\..\{0EDBBB8F-E9BF-4497-BB83-66B99547F967}: NameServer = 41.221.20.4 193.251.169.165
O23 - Service: Avira AntiVir Personal - Free Antivirus Scheduler (AntiVirScheduler) - Avira GmbH - C:\Program Files\Avira\AntiVir PersonalEdition Classic\sched.exe
O23 - Service: Avira AntiVir Personal - Free Antivirus Guard (AntiVirService) - Avira GmbH - C:\Program Files\Avira\AntiVir PersonalEdition Classic\avguard.exe
O23 - Service: Nero BackItUp Scheduler 3 - Nero AG - C:\Program Files\Nero\Nero8\Nero BackItUp\NBService.exe
O23 - Service: NMIndexingService - Nero AG - C:\Program Files\Fichiers communs\Nero\Lib\NMIndexingService.exe
O23 - Service: NVIDIA Display Driver Service (NVSvc) - NVIDIA Corporation - C:\WINDOWS\system32\nvsvc32.exe

--
End of file - 4582 bytes

فما رأيك اخي؟؟؟ في ذكائي الذي قد يكون ...... ^_^؟؟؟

[عبد الهادي اطويل]

عمل رائع منك أختي حقا..
قد قطعت أشواطا كبيرة في عالم الحاسوب، وعن قريب إن شاء الله ستكونين أنت من تساعدين الأعضاء وتساعديننا في ذلك ^_^
للإشارة فهناك فايروسات لها صلة بالمسنجر، لكن لم أتحقق بعد ما إذا كان ذلك المفتاحان لهما علاقة بالفايروس أم لا..
سوف أتحقق من الأمر وأطلعك على الجديد إن شاء الله..
بقي أن أشير إلى أن المفاتيح التي تظهر من نوع O17 في تقرير HijackThis تكون دالة في الغالب على تروجان اسمه trojan DNS Changer حيث يقوم هذا المف الضار بتحويل نتائج البحث في جوجل إلى مواقع أخرى تخبرك بضرورة شراء مكافح مثلا أو شيء من هذا القبيل، والهدف من ذلك هو تحصيل المال بالنصب، كما إنه يسبب بطئا ملحوظا في عمل النظام..
فاصل ونعود إن شاء الله ^_^
مني لك أرق تحية..

[أمينة مختار]

شهادة اعتز بها..سأطبعها و اعلقها
اني سعيدة بنفسي,,,,, قد كنت لا اعرف اي شيء في المجال
و اخاف من كل نافذة تظهر....
و التقني صار غنيا من نقودي..
لكن الان بفضل من الله ثم اخي عبد الهادي تمكنت من فهم اشياء كثيرة
فجزاك الله عني كل خير اخي

لكن.....لن اتمكن من الانتظار اكثر...
لاني مسافرة غدا في الصباح الباكر...و يجب ان اخلد الى النوم
هل يمكن ان نؤجل العمل الى عودتي..غدا مساءا بحول الله
دعواتكم ...

[عبد الهادي اطويل]

الشكر لله أولا وأخيرا أختي الكريمة، بفضله عز وجل اجتمعنا ها هنا..
لا تحتاجين لإذن أختي، فمتى وجدت إضافة أضيفها، ومتى تمكنت من الحضور تتابعين الموضوع..
أتمنى لك سفرا موفقا إن شاء الله أختي..
مني لك أرق تحية..

[أمينة مختار]

السلام عليكم ورحمة الله
اسفة على التأخير مرة اخرى...فلم اعد البارحة باكرا..و النت عندنا اليوم كان مفصولا

وجدت حقائق جديدة... ^_^
هذا الصباح حين فتحت الكمبيوتر لم تكن المفايتح17 موجودة (اجريت فحصا باداة hijack this) وفتحت الام اس ان ..ظهرت و حذفتها و اقفلت المسنجر
و حين فتحت المتصفح... وبدات العمل علق الفايرفوكس و هذه صورة الرسالة التي ظهرت...


و حينها اجريت فحصا باداة hijack this و لم اجد المفتاحين 17 ...
اي اينهما تظهران بفتح المسنجر..لكنهما على ما أظن ليسا السبب في تعليق المتصفح

فما رأيك اخي؟؟

[عبد الهادي اطويل]

وعليكم السلام ورحمة الله وبركاته..
أهلا بك أختي الكريمة أمينة مجددا..
في الحقيقة لست متيقنا من مصدر المشكل تحديدا، فقد يكون الأمر من المفتاحين وقد يكون لا، وبيدك أنت أن تتحققي من الأمر بإعادة العملية نفسها..
لكن لي رأي لك أختي أمينة، وهو أن تقومي بتشغيل الأداة SmitfraudFix في الوضع العادي، وشغلي الخيار رقم 5 فيها، لأنه المسؤول عن التخلص من هذا الفايروس المسؤول عن المفتاحين..
جربي الأمر وأخبرينا بالنتائج..
موفقة ومني لك أرق تحية..

[أمينة مختار]

شكرا اخي....
قد فعلت ما قلت..و هاهو التقرير:

SmitFraudFix v2.405

Rapport fait à 21:29:04,59, 01/04/2009
Executé à partir de C:\Documents and Settings\Amina\Mes documents\Downloads\Programs\SmitfraudFix
OS: Microsoft Windows XP [version 5.1.2600] - Windows_NT
Le type du système de fichiers est NTFS
Fix executé en mode normal

»»»»»»»»»»»»»»»»»»»»»»»» DNS Avant Fix

Description: WAN (PPP/SLIP) Interface
DNS Server Search Order: 41.221.20.4
DNS Server Search Order: 193.251.169.165

HKLM\SYSTEM\CCS\Services\Tcpip\..\{0EDBBB8F-E9BF-4497-BB83-66B99547F967}: NameServer=41.221.20.4 193.251.169.165
HKLM\SYSTEM\CS1\Services\Tcpip\..\{0EDBBB8F-E9BF-4497-BB83-66B99547F967}: NameServer=41.221.20.4 193.251.169.165

»»»»»»»»»»»»»»»»»»»»»»»» DNS Après Fix

Description: WAN (PPP/SLIP) Interface
DNS Server Search Order: 41.221.20.4
DNS Server Search Order: 193.251.169.165

HKLM\SYSTEM\CCS\Services\Tcpip\..\{0EDBBB8F-E9BF-4497-BB83-66B99547F967}: NameServer=41.221.20.4 193.251.169.165
HKLM\SYSTEM\CS1\Services\Tcpip\..\{0EDBBB8F-E9BF-4497-BB83-66B99547F967}: NameServer=41.221.20.4 193.251.169.165

لكن لا افهم النتيجة التي تقصد..التقرير ام تغير حالة الكمبيوتر
لاني لا يمكنني الجزم حالا ان كان الكمبيتر قد تحسن ام لا

اتمنى ان استطيع يوما ان اترجم تقارير تلك البرامج و الاداوات ..لاريحك من عناء ترجمتها لي
بارك الله فيك

[عبد الهادي اطويل]

أهلا بك أختي الكريمة أمينة من جديد..
ما قصدته بالنتيجة هو أن تحذفي المفتاحين من جديد وجربي هل سيحدث للفايرفوكس ما حدث له سابقا أم لا، حتى نتبين إذا ما كان ذلك الحادث عرضيا أم له علاقة بالأمر..
لكنني نسيت أن أسألك ربما: كيف هي حالة نظامك من حيث عمله؟ هل يعمل بشكل عاد أم لازلت تلمسين فيه بطئا؟
أنتظر الجواب لننتقل لأمور أخرى مكملة إن شاء الله..

[أمينة مختار]

النظام يعمل جيدا...لكن حين يعلق المتصفح يعلق النظام ايضا
لا يمكنني الجزم الان بان الكمبيوتر جيد..
حاليا اجده افضل...كما كان على سابق عهده
اتمنى ان يبقى كما هو عليه

جربت حذف المفتاحين هذا الصباح....و فتحت الفايرفوكس و علق
الان المفتاحان غير موجودان لاني لم افتح المسنجر.... صرت اخاف منه و افكر في حذفه من جهازي
تعتبر اجوبتي خالية من الاجابة ^_^
فهل فهمت شيئا من كلامي...و هل اوصلت لك معلومة تريدها؟؟

[عبد الهادي اطويل]

قد فهمت ولله الحمد ^_^
بالنسبة للفايرفوكس فهو يستهلك موارد النظام وهو أكبر عيب لا أحبه فيه، لذلك أستعمل بدلا عنه أوبرا..
الآن قومي بتحميل الأداة التالية:
أداة R-Hosts
ثم أغلقي جميع البرامج وقومي بتشغيلها (أفضل عمل ذلك في الوضع الآمن) لأنها ترجع إعادات الأنترنت للوضع الافتراضي، وبعد ذلك جربي تشغيل البرامج ولاحظي وجود المفتاحين أم لا..
بالتوفيق وفي الانتظار..