Braviax.exe, figaro.sys oraz niemoc avasta. dodany log.

**Posty:** 7 · przez **Azzed** 13 Sie 2009, 18:13

Witam,
przede wszystkim nie wiem, czy poniższy opis jest potrzebny, lecz przeczytałem że mam wyjaśnić problem, więc to uczynię

Wczoraj komputer niespodziewanie zawiesił się. Po ponownym załączeniu, program Avast oznajmił, że na komputerze znajduje się szkodliwy plik o nazwie figaro.sys. Program zalecał opcję "Kwarantanna" z której skorzystałem. Natychmiast dowiedziałem się o obecności konia trojańskiego na moim komputerze, o nazwie Win32:Fraudo [Trj], znajdującym się w folderze
"C:\Documents and Settings\LocalService\Ustawienia lokalne\Temporary Internet Files\Content.IE5\0H2VS5AB\Install[1].exe"
Tym razem użycie opcji Kwarantanna na nic się nie zdało, gdyż Avast stwierdził, że nie może przetworzyć tego pliku. Nacisnąłem więc "Usuń". Po zrobieniu tego Avast wykrył kolejny plik, windstr.exe . Po potraktowaniu go kwarantanną plik Install[1].exe znowu się pojawił. Następnie Avast mówi o znalezieniu podejrzanego pliku n nazwie braviax.exe. Usunąłem go, po czym dowiedziałem się, że powstał kolejny zainfekowany przez Win32:Fraudo [Trj] plik - Install[2].exe ! Usuwanie czy zamykanie w kwarantannie tych plików zupełnie nie ma efektu, co chwilę się odnawiają. Dodatkowo, otrzymałem przynajmniej 15 komunikatów (od Avasta) że "otrzymałem zbyt dużą ilość wiadomości w krótkim czasie" - w okienkach pojawiają się jakieś adresy mailowe, np.

Kod: Zaznacz wszystko: Nadawca: "Louise Gutierrez" <wjyranhfbdf@inetia.pl> Odbiorca: nicholas@moretons.co.uk Temat: Find cheap alternative to expensive American medications.

Klikam przycisk "Nie wysyłaj!"
Równocześnie z wystąpieniem pierwszego szkodliwego pliku (figaro.sys) Spybot Search&Destroy powiadomił mnie o zablokowaniu działania pliku braviax.exe, równocześnie na pasku zadań pojawił się biały krzyżyk na czerwonym tle, mówiący, że "Your computer is infected... click here to protect your computer from spyware" (nie klikałem w komunikat)
Przeskanowałem komputer za pomocą Avasta oraz Spybot S&D przed załączeniem samego Windowsa, usuwając w ten sposób ww. pliki. Mimo to, po uruchomieniu komputera Avast wciąż narzeka na obecność figaro.sys, windstr.exe , braviax.exe, oraz plików Install[1], Install[2], a biały krzyżyk na czerwonym tle nadal się pokazuje.

Oto log z HijackThis.

Kod: Zaznacz wszystko: Logfile of Trend Micro HijackThis v2.0.2 Scan saved at 18:08:32, on 2009-08-13 Platform: Windows XP Dodatek SP2 (WinNT 5.01.2600) MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180) Boot mode: Normal Running processes: C:\WINDOWS\System32\smss.exe C:\WINDOWS\system32\winlogon.exe C:\WINDOWS\system32\services.exe C:\WINDOWS\system32\lsass.exe C:\WINDOWS\system32\svchost.exe C:\WINDOWS\System32\svchost.exe C:\Program Files\Alwil Software\Avast4\aswUpdSv.exe C:\Program Files\Alwil Software\Avast4\ashServ.exe C:\WINDOWS\Explorer.EXE C:\WINDOWS\system32\spoolsv.exe C:\Program Files\Common Files\InstallShield\UpdateService\issch.exe C:\Program Files\Winamp\winampa.exe C:\Program Files\PowerISO\PWRISOVM.EXE C:\PROGRA~1\ALWILS~1\Avast4\ashDisp.exe C:\Program Files\Java\jre6\bin\jusched.exe C:\WINDOWS\system32\msword98.exe C:\WINDOWS\System32\svchost.exe C:\WINDOWS\RTHDCPL.EXE C:\WINDOWS\system32\RUNDLL32.EXE C:\WINDOWS\system32\ctfmon.exe C:\Program Files\Gadu-Gadu\gg.exe C:\Program Files\Nokia\Nokia PC Suite 7\PCSuite.exe C:\Program Files\Nokia\Nokia PC Suite 7\PCSync2.exe C:\Program Files\Spybot - Search & Destroy\TeaTimer.exe C:\Documents and Settings\Piotrek\msword98.exe C:\Documents and Settings\Piotrek\msword98.exe C:\WINDOWS\System32\svchost.exe C:\WINDOWS\System32\svchost.exe C:\Program Files\Java\jre6\bin\jqs.exe C:\WINDOWS\system32\nvsvc32.exe C:\WINDOWS\system32\PnkBstrA.exe C:\WINDOWS\System32\svchost.exe C:\WINDOWS\system32\svchost.exe C:\WINDOWS\System32\svchost.exe C:\WINDOWS\System32\svchost.exe C:\WINDOWS\System32\svchost.exe C:\Program Files\Common Files\Nokia\MPAPI\MPAPI3s.exe C:\WINDOWS\System32\svchost.exe C:\WINDOWS\system32\wuauclt.exe C:\Program Files\Alwil Software\Avast4\ashMaiSv.exe C:\Program Files\Alwil Software\Avast4\ashWebSv.exe C:\Program Files\PC Connectivity Solution\ServiceLayer.exe C:\WINDOWS\system32\wbem\wmiapsrv.exe C:\Program Files\PC Connectivity Solution\Transports\NclUSBSrv.exe C:\Program Files\PC Connectivity Solution\Transports\NclRSSrv.exe C:\WINDOWS\System32\svchost.exe C:\Program Files\Mozilla Firefox\firefox.exe C:\WINDOWS\System32\svchost.exe C:\WINDOWS\system32\braviax.exe C:\Documents and Settings\Piotrek\Pulpit\HIJACKTHIS\HijackThis.exe R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Łącza R3 - URLSearchHook: Winamp Search Class - {57BCA5FA-5DBB-45a2-B558-1755C3F6253B} - C:\Program Files\Winamp Toolbar\winamptb.dll O4 - HKLM\..\Run: [JMB36X IDE Setup] C:\WINDOWS\RaidTool\xInsIDE.exe O4 - HKLM\..\Run: [36X Raid Configurer] C:\WINDOWS\system32\xRaidSetup.exe boot O4 - HKLM\..\Run: [NeroFilterCheck] C:\WINDOWS\system32\NeroCheck.exe O4 - HKLM\..\Run: [ISUSPM Startup] C:\PROGRA~1\COMMON~1\INSTAL~1\UPDATE~1\isuspm.exe -startup O4 - HKLM\..\Run: [ISUSScheduler] "C:\Program Files\Common Files\InstallShield\UpdateService\issch.exe" -start O4 - HKLM\..\Run: [WinampAgent] "C:\Program Files\Winamp\winampa.exe" O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\system32\NvCpl.dll,NvStartup O4 - HKLM\..\Run: [nwiz] nwiz.exe /install O4 - HKLM\..\Run: [PWRISOVM.EXE] C:\Program Files\PowerISO\PWRISOVM.EXE O4 - HKLM\..\Run: [avast!] C:\PROGRA~1\ALWILS~1\Avast4\ashDisp.exe O4 - HKLM\..\Run: [SunJavaUpdateSched] "C:\Program Files\Java\jre6\bin\jusched.exe" O4 - HKLM\..\Run: [msword98] C:\WINDOWS\system32\msword98.exe O4 - HKLM\..\Run: [Regedit32] C:\WINDOWS\system32\regedit.exe O4 - HKLM\..\Run: [RTHDCPL] RTHDCPL.EXE O4 - HKLM\..\Run: [Alcmtr] ALCMTR.EXE O4 - HKLM\..\Run: [NvMediaCenter] RUNDLL32.EXE C:\WINDOWS\system32\NvMcTray.dll,NvTaskbarInit O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\ctfmon.exe O4 - HKCU\..\Run: [Gadu-Gadu] "C:\Program Files\Gadu-Gadu\gg.exe" /tray O4 - HKCU\..\Run: [PC Suite Tray] "C:\Program Files\Nokia\Nokia PC Suite 7\PCSuite.exe" -onlytray O4 - HKCU\..\Run: [Nokia.PCSync] "C:\Program Files\Nokia\Nokia PC Suite 7\PCSync2.exe" /NoDialog O4 - HKCU\..\Run: [SpybotSD TeaTimer] C:\Program Files\Spybot - Search & Destroy\TeaTimer.exe O4 - HKCU\..\Run: [msword98] C:\Documents and Settings\Piotrek\msword98.exe O4 - HKUS\S-1-5-19\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'USŁUGA LOKALNA') O4 - HKUS\S-1-5-20\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'USŁUGA SIECIOWA') O4 - HKUS\S-1-5-18\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'SYSTEM') O4 - HKUS\.DEFAULT\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'Default user') O4 - Startup: ikowin32.exe O4 - Global Startup: Microsoft Office.lnk = C:\Program Files\Microsoft Office\Office10\OSA.EXE O8 - Extra context menu item: &Winamp Search - C:\Documents and Settings\All Users\Dane aplikacji\Winamp Toolbar\ieToolbar\resources\en-US\local\search.html O8 - Extra context menu item: E&ksport do programu Microsoft Excel - res://C:\PROGRA~1\MICROS~3\Office10\EXCEL.EXE/3000 O8 - Extra context menu item: E&ksportuj do programu Microsoft Excel - res://C:\PROGRA~1\MICROS~2\Office12\EXCEL.EXE/3000 O9 - Extra button: (no name) - {DFB852A3-47F8-48C4-A200-58CAB36FD2A2} - C:\PROGRA~1\SPYBOT~1\SDHelper.dll O9 - Extra 'Tools' menuitem: Spybot - Search & Destroy Configuration - {DFB852A3-47F8-48C4-A200-58CAB36FD2A2} - C:\PROGRA~1\SPYBOT~1\SDHelper.dll O9 - Extra button: (no name) - {e2e2dd38-d088-4134-82b7-f2ba38496583} - C:\WINDOWS\Network Diagnostic\xpnetdiag.exe O9 - Extra 'Tools' menuitem: @xpsp3res.dll,-20001 - {e2e2dd38-d088-4134-82b7-f2ba38496583} - C:\WINDOWS\Network Diagnostic\xpnetdiag.exe O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe O16 - DPF: {68282C51-9459-467B-95BF-3C0E89627E55} (MksSkanerOnline Class) - http://www.mks.com.pl/skaner/SkanerOnline.cab O16 - DPF: {92ECE6FA-AC2E-4042-BFAE-0C8608E52A43} (SignActivX Control) - https://www.bph.pl/pi/components/SignActivX.cab O18 - Protocol: skype4com - {FFC8B962-9B40-4DFF-9458-1830C7DD7F5D} - C:\PROGRA~1\COMMON~1\Skype\SKYPE4~1.DLL O23 - Service: avast! iAVS4 Control Service (aswUpdSv) - ALWIL Software - C:\Program Files\Alwil Software\Avast4\aswUpdSv.exe O23 - Service: avast! Antivirus - ALWIL Software - C:\Program Files\Alwil Software\Avast4\ashServ.exe O23 - Service: avast! Mail Scanner - ALWIL Software - C:\Program Files\Alwil Software\Avast4\ashMaiSv.exe O23 - Service: avast! Web Scanner - ALWIL Software - C:\Program Files\Alwil Software\Avast4\ashWebSv.exe O23 - Service: InstallDriver Table Manager (IDriverT) - Macrovision Corporation - C:\Program Files\Common Files\InstallShield\Driver\11\Intel 32\IDriverT.exe O23 - Service: Java Quick Starter (JavaQuickStarterService) - Sun Microsystems, Inc. - C:\Program Files\Java\jre6\bin\jqs.exe O23 - Service: NVIDIA Display Driver Service (NVSvc) - NVIDIA Corporation - C:\WINDOWS\system32\nvsvc32.exe O23 - Service: PnkBstrA - Unknown owner - C:\WINDOWS\system32\PnkBstrA.exe O23 - Service: ServiceLayer - Nokia. - C:\Program Files\PC Connectivity Solution\ServiceLayer.exe -- End of file - 7200 bytes

**Posty:** 18165 · przez **wojtas** 13 Sie 2009, 18:42

Pobierz OTL i daj z niego loga

**Posty:** 7 · przez **Azzed** 13 Sie 2009, 19:12

Jak teraz włączyłem ponownie komputer żeby sprawdzić odpowiedź, pojawił się kolejny plik - beep.sys

Log z OTL.txt : (za długi więc użyłem wklej.org)

Kod: Zaznacz wszystko: http://wklej.org/id/134572/

Log z OTL z pliku "Extras.txt"

Kod: Zaznacz wszystko: OTL Extras logfile created on: 2009-08-13 19:05:14 - Run 1 OTL by OldTimer - Version 3.0.10.6 Folder = C:\Documents and Settings\Piotrek\Moje dokumenty\Pobieranie Windows XP Professional Edition Dodatek Service Pack 2 (Version = 5.1.2600) - Type = NTWorkstation Internet Explorer (Version = 6.0.2900.2180) Locale: 00000415 | Country: Polska | Language: PLK | Date Format: yyyy-MM-dd 2,00 Gb Total Physical Memory | 1,42 Gb Available Physical Memory | 71,22% Memory free 3,85 Gb Paging File | 3,35 Gb Available in Paging File | 86,97% Paging File free Paging file location(s): c:\pagefile.sys 2046 4092 [binary data] %SystemDrive% = C: | %SystemRoot% = C:\WINDOWS | %ProgramFiles% = C:\Program Files Drive C: | 48,83 Gb Total Space | 12,02 Gb Free Space | 24,62% Space Free | Partition Type: NTFS Drive D: | 122,07 Gb Total Space | 21,57 Gb Free Space | 17,67% Space Free | Partition Type: NTFS Drive E: | 127,19 Gb Total Space | 52,03 Gb Free Space | 40,91% Space Free | Partition Type: NTFS F: Drive not present or media not loaded G: Drive not present or media not loaded H: Drive not present or media not loaded I: Drive not present or media not loaded Computer Name: ONDAI Current User Name: Piotrek Logged in as Administrator. Current Boot Mode: Normal Scan Mode: Current user Company Name Whitelist: Off Skip Microsoft Files: Off File Age = 30 Days Output = Standard [color=#E56717]========== Extra Registry (SafeList) ==========[/color] [color=#E56717]========== File Associations ==========[/color] [HKEY_LOCAL_MACHINE\SOFTWARE\Classes\<extension>] .html [@ = FirefoxHTML] -- C:\Program Files\Mozilla Firefox\firefox.exe (Mozilla Corporation) [HKEY_CURRENT_USER\SOFTWARE\Classes\<extension>] .html [@ = FirefoxHTML] -- C:\Program Files\Mozilla Firefox\firefox.exe (Mozilla Corporation) [color=#E56717]========== Security Center Settings ==========[/color] [HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Security Center] "FirstRunDisabled" = 1 "AntiVirusDisableNotify" = 1 "FirewallDisableNotify" = 1 "UpdatesDisableNotify" = 1 "AntiVirusOverride" = 0 "FirewallOverride" = 0 [HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Security Center\Monitoring] [HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Security Center\Monitoring\AhnlabAntiVirus] [HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Security Center\Monitoring\ComputerAssociatesAntiVirus] [HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Security Center\Monitoring\KasperskyAntiVirus] [HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Security Center\Monitoring\McAfeeAntiVirus] [HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Security Center\Monitoring\McAfeeFirewall] [HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Security Center\Monitoring\PandaAntiVirus] [HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Security Center\Monitoring\PandaFirewall] [HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Security Center\Monitoring\SophosAntiVirus] [HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Security Center\Monitoring\SymantecAntiVirus] [HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Security Center\Monitoring\SymantecFirewall] [HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Security Center\Monitoring\TinyFirewall] [HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Security Center\Monitoring\TrendAntiVirus] [HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Security Center\Monitoring\TrendFirewall] [HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Security Center\Monitoring\ZoneLabsFirewall] [HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\SharedAccess\Parameters\FirewallPolicy\DomainProfile] [HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\SharedAccess\Parameters\FirewallPolicy\DomainProfile\GloballyOpenPorts\List] "139:TCP" = 139:TCP:*:Enabled:@xpsp2res.dll,-22004 "445:TCP" = 445:TCP:*:Enabled:@xpsp2res.dll,-22005 "137:UDP" = 137:UDP:*:Enabled:@xpsp2res.dll,-22001 "138:UDP" = 138:UDP:*:Enabled:@xpsp2res.dll,-22002 [HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\SharedAccess\Parameters\FirewallPolicy\StandardProfile] "EnableFirewall" = 0 "DoNotAllowExceptions" = 0 [HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\SharedAccess\Parameters\FirewallPolicy\StandardProfile\GloballyOpenPorts\List] "1900:UDP" = 1900:UDP:LocalSubNet:Enabled:@xpsp2res.dll,-22007 "2869:TCP" = 2869:TCP:LocalSubNet:Enabled:@xpsp2res.dll,-22008 "139:TCP" = 139:TCP:LocalSubNet:Enabled:@xpsp2res.dll,-22004 "445:TCP" = 445:TCP:LocalSubNet:Enabled:@xpsp2res.dll,-22005 "137:UDP" = 137:UDP:LocalSubNet:Enabled:@xpsp2res.dll,-22001 "138:UDP" = 138:UDP:LocalSubNet:Enabled:@xpsp2res.dll,-22002 [color=#E56717]========== Authorized Applications List ==========[/color] [HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\SharedAccess\Parameters\FirewallPolicy\DomainProfile\AuthorizedApplications\List] "%windir%\Network Diagnostic\xpnetdiag.exe" = %windir%\Network Diagnostic\xpnetdiag.exe:*:Enabled:@xpsp3res.dll,-20000 -- (Microsoft Corporation) [HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\SharedAccess\Parameters\FirewallPolicy\StandardProfile\AuthorizedApplications\List] "C:\Program Files\uTorrent\uTorrent.exe" = C:\Program Files\uTorrent\uTorrent.exe:*:Enabled:µTorrent -- (BitTorrent, Inc.) "D:\Gry\Neverwinter Nights 2\nwn2main.exe" = D:\Gry\Neverwinter Nights 2\nwn2main.exe:*:Enabled:Neverwinter Nights 2 Main -- (Obsidian Entertainment, Inc.) "D:\Gry\Neverwinter Nights 2\nwn2main_amdxp.exe" = D:\Gry\Neverwinter Nights 2\nwn2main_amdxp.exe:*:Enabled:Neverwinter Nights 2 AMD -- (Obsidian Entertainment, Inc.) "D:\Gry\Neverwinter Nights 2\nwupdate.exe" = D:\Gry\Neverwinter Nights 2\nwupdate.exe:*:Enabled:Neverwinter Nights 2 Updater -- (Obsidian Entertainment, Inc.) "D:\Gry\Neverwinter Nights 2\nwn2server.exe" = D:\Gry\Neverwinter Nights 2\nwn2server.exe:*:Enabled:Neverwinter Nights 2 Server -- (Obsidian Entertainment, Inc.) "C:\Program Files\Google\Google Talk\googletalk.exe" = C:\Program Files\Google\Google Talk\googletalk.exe:*:Enabled:Google Talk -- File not found "C:\Program Files\Gadu-Gadu\gg.exe" = C:\Program Files\Gadu-Gadu\gg.exe:*:Enabled:Gadu-Gadu - program glowny -- (Gadu-Gadu Sp. z oo) "C:\WINDOWS\system32\PnkBstrA.exe" = C:\WINDOWS\system32\PnkBstrA.exe:*:Enabled:PnkBstrA -- () "C:\WINDOWS\system32\PnkBstrB.exe" = C:\WINDOWS\system32\PnkBstrB.exe:*:Enabled:PnkBstrB -- () "D:\Gry\Activision\Call of Duty 4 - Modern Warfare\iw3mp.exe" = D:\Gry\Activision\Call of Duty 4 - Modern Warfare\iw3mp.exe:*:Enabled:Call of Duty(R) 4 - Modern Warfare(TM) -- () "%windir%\Network Diagnostic\xpnetdiag.exe" = %windir%\Network Diagnostic\xpnetdiag.exe:*:Enabled:@xpsp3res.dll,-20000 -- (Microsoft Corporation) "C:\Program Files\Winamp Remote\bin\Orb.exe" = C:\Program Files\Winamp Remote\bin\Orb.exe:*:Enabled:Orb -- File not found "C:\Program Files\Winamp Remote\bin\OrbTray.exe" = C:\Program Files\Winamp Remote\bin\OrbTray.exe:*:Enabled:OrbTray -- File not found "C:\Program Files\Winamp Remote\bin\OrbStreamerClient.exe" = C:\Program Files\Winamp Remote\bin\OrbStreamerClient.exe:*:Enabled:Orb Stream Client -- File not found "D:\Gry\S.T.A.L.K.E.R. - Shadow of Chernobyl\bin\XR_3DA.exe" = D:\Gry\S.T.A.L.K.E.R. - Shadow of Chernobyl\bin\XR_3DA.exe:*:Enabled:S.T.A.L.K.E.R. - Shadow of Chernobyl (CLI) -- () "D:\Gry\S.T.A.L.K.E.R. - Shadow of Chernobyl\bin\dedicated\XR_3DA.exe" = D:\Gry\S.T.A.L.K.E.R. - Shadow of Chernobyl\bin\dedicated\XR_3DA.exe:*:Enabled:S.T.A.L.K.E.R. - Shadow of Chernobyl (SRV) -- () "C:\Program Files\Skype\Phone\Skype.exe" = C:\Program Files\Skype\Phone\Skype.exe:*:Enabled:Skype -- (Skype Technologies S.A.) [color=#E56717]========== HKEY_LOCAL_MACHINE Uninstall List ==========[/color] [HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Uninstall] "{02B244A2-7F6A-42E8-A36F-8C385D7A1625}" = Gothic III "{0A053D60-9267-11D5-8A2B-0050DA8B7D89}" = Planescape - Torment "{0DE075DB-4218-4B2C-A35E-48D80BA680BB}" = Heroes of Might and Magic V "{14F5121B-E4D9-4236-BB73-364CC5C0CFC8}" = OpenOffice.org 2.1 "{1998BD34-1AAB-4169-ACFF-67342E2AF9B4}" = Gothic III Release Update "{1A524CFE-DF85-4555-8BC2-0C89DBD8BC2C}" = PC Connectivity Solution "{212748BB-0DA5-46DE-82A1-403736DC9F27}" = MSVC80_x86 "{26A24AE4-039D-4CA4-87B4-2F83216011FF}" = Java(TM) 6 Update 13 "{3248F0A8-6813-11D6-A77B-00B0D0160050}" = Java(TM) 6 Update 5 "{3248F0A8-6813-11D6-A77B-00B0D0160070}" = Java(TM) 6 Update 7 "{350C9415-3D7C-4EE8-BAA9-00BCB3D54227}" = WebFldrs XP "{35CB6715-41F8-4F99-8881-6FC75BF054B0}" = Oblivion "{3A1B5D40-41E9-43FA-8C7B-A8667F5586EF}" = Gigabyte Raid Configurer "{3BD633E0-4BF8-4499-9149-88F0767D449C}" = Call of Duty(R) 4 - Modern Warfare(TM) 1.4 Patch "{5C82DAE5-6EB0-4374-9254-BE3319BA4E82}" = Skype™ 3.8 "{5F374D5D-DB43-4263-9C29-BAB2C93FEFE6}" = Warhammer® Mark of Chaos "{64CB2553-C109-4132-AA51-1F421B515FD1}" = Microsoft .NET Framework 1.1 Polish Language Pack "{66FF4C48-0083-4E60-8556-B883AB200091}" = Heroes of Might & Magic V: Hammers of Fate "{66FF4C48-0083-4E60-8556-B883AB200092}" = Heroes of Might and Magic V - Tribes of the East "{7131646D-CD3C-40F4-97B9-CD9E4E6262EF}" = Microsoft .NET Framework 2.0 "{7299052b-02a4-4627-81f2-1818da5d550d}" = Microsoft Visual C++ 2005 Redistributable "{789289CA-F73A-4A16-A331-54D498CE069F}" = Ventrilo "{7C503E58-B2BC-11D5-978A-0050BA84F5F7}" = Neverwinter Nights "{8503C901-85D7-4262-88D2-8D8B2A7B08B8}" = Call of Duty(R) 4 - Modern Warfare(TM) 1.5 Patch "{85DAE0C8-B3BB-11D8-88E4-0004769F25D1}" = Spellforce "{85DF2C7E-183B-4153-9B89-36D0E239E2CB}" = Dragonshard "{892DCBA9-12A6-4B2D-907E-ED74386F6789}" = Shadows of Undrentide & Hordes of the Underdark "{89C89156-A70F-4C6D-9CAE-2EA71F1396FE}" = Garena "{8A15B7D9-908A-4EF9-BA84-5AEDE61743EE}" = Call of Duty(R) 4 - Modern Warfare(TM) 1.6 Patch "{8BF235B3-F7AD-4670-9131-E95582E5A405}" = Microsoft Application Compatibility Toolkit 4.1 "{90280415-6000-11D3-8CFE-0050048383C9}" = Microsoft Office XP Professional z programem FrontPage "{931C37FC-594D-43A9-B10F-A2F2B1F03498}" = Call of Duty(R) 4 - Modern Warfare(TM) 1.7 Patch "{A8C3710A-0BCA-4F10-9EC3-A302A1F1FA82}" = Nokia PC Suite "{AC76BA86-7AD7-1033-7B44-A70900000002}" = Adobe Reader 7.0.9 "{B4092C6D-E886-4CB2-BA68-FE5A88D31DE6}_is1" = Spybot - Search & Destroy "{BAF5914B-5730-4373-B038-9F436AC6A0D6}" = Rayman3 "{C3C9EB3D-24FA-4462-B784-0EC6AAFCD2DD}" = Fable - The Lost Chapters "{C3F19A5F-35A8-4FDB-A6ED-0F4CE398DA48}" = Nokia Connectivity Cable Driver "{C9BED750-1211-4480-B1A5-718A3BE15525}" = REALTEK GbE & FE Ethernet PCI-E NIC Driver "{CB2F7EDD-9D1F-43C1-90FC-4F52EAE172A1}" = Microsoft .NET Framework 1.1 "{E48469CC-635E-4FD5-A122-1497C286D217}" = Call of Duty(R) 4 - Modern Warfare(TM) "{E52D32A0-0005-11D7-928D-000ACD006A23}" = Morrowind "{F132AF7F-7BCA-4EDE-8A7C-958108FE7DBC}" = Realtek High Definition Audio Driver "{F20C1251-1D0A-4944-B2AE-678581B33B19}" = Neverwinter Nights 2 "{F687A630-15A1-4276-BC0A-193DE0BA9226}" = Sacrifice "{FFFF6D5C-E2F1-4B40-BC89-8923312E89EB}}_is1" = ACE Mega CoDecS Pack "3A5DEFA413DDE699DBA6EBE0A63534ACA524D30F" = Pakiet sterowników systemu Windows - Nokia pccsmcfd (10/12/2007 6.85.4.0) "9CD348AE9C64C4B939B624E8E24F3903EFDFC82B" = Pakiet sterowników systemu Windows - Nokia Modem (05/22/2008 7.00.0.1) "Adobe Flash Player ActiveX" = Adobe Flash Player 10 ActiveX "Adobe Flash Player Plugin" = Adobe Flash Player 10 Plugin "Age of Empires" = Microsoft Age of Empires "Age of Empires 2.0" = Microsoft Age of Empires II "Age of Empires Expansion 1.0" = Microsoft Age of Empires Expansion "Age of Empires II: The Conquerors Expansion 1.0" = Microsoft Age of Empires II: The Conquerors Expansion "Archlord_is1" = Archlord "avast!" = avast! Antivirus "BG1_is1" = Baldur's Gate "BG2_is1" = Baldur's Gate II "C5A76DC11BABDA0A881E7BE8DDEB641365A77FFD" = Pakiet sterowników systemu Windows - Nokia Modem (05/22/2008 3.8) "CBF192A85B624E32B8D19ADEEF2DCFC5BC3AA73A" = Pakiet sterowników systemu Windows - Nokia Modem (03/05/2008 3.7) "CDex" = CDex extraction audio "Dofus 1.25.0" = Dofus 1.25.0 "DotaKeys" = DotaKeys 1.32.00 "Drakensang_is1" = Drakensang "DreamWorks Interactive: Neverhood" = The Neverhood "E092B2EBF2FFE83E896F8F7F829A7B5D7D1B2F9D" = Pakiet sterowników systemu Windows - Nokia Modem (03/13/2008 6.86.0.1) "Easy CD-DA Extractor 12" = Easy CD-DA Extractor 12 "Fallout" = Fallout "Gadu-Gadu" = Gadu-Gadu 7.0 "Hamachi" = Hamachi 1.0.3.0 "Heroes of Might and Magic IV" = Heroes of Might and Magic® IV: Winds of War "Heroes of Might and Magic(TM) III Armageddon's Blade" = Heroes of Might and Magic(TM) III Armageddon's Blade "Heroes of Might and Magic® III" = Heroes of Might and Magic® III "HijackThis" = HijackThis 2.0.2 "hon" = Heroes of Newerth "InstallShield_{3BD633E0-4BF8-4499-9149-88F0767D449C}" = Call of Duty(R) 4 - Modern Warfare(TM) 1.4 Patch "InstallShield_{8503C901-85D7-4262-88D2-8D8B2A7B08B8}" = Call of Duty(R) 4 - Modern Warfare(TM) 1.5 Multiplayer Patch "InstallShield_{8A15B7D9-908A-4EF9-BA84-5AEDE61743EE}" = Call of Duty(R) 4 - Modern Warfare(TM) 1.6 Patch "InstallShield_{931C37FC-594D-43A9-B10F-A2F2B1F03498}" = Call of Duty(R) 4 - Modern Warfare(TM) 1.7 Patch "InstallShield_{C3C9EB3D-24FA-4462-B784-0EC6AAFCD2DD}" = Fable - The Lost Chapters "InstallShield_{E48469CC-635E-4FD5-A122-1497C286D217}" = Call of Duty(R) 4 - Modern Warfare(TM) "King’s Bounty: Legenda_is1" = King’s Bounty: Legenda "Mafia_is1" = Mafia "Magic The Gathering "Duels of the Planeswalkers"" = Magic: The Gathering "Duels of the Planeswalkers" "Microsoft .NET Framework 1.1 (1033)" = Microsoft .NET Framework 1.1 "Microsoft .NET Framework 2.0" = Microsoft .NET Framework 2.0 "mIRC" = mIRC "Mozilla Firefox (3.5.2)" = Mozilla Firefox (3.5.2) "MP3toBMU" = MP3toBMU 0.35 "Mysteries of Westgate" = Neverwinter Nights 2 Adventure Pack: Mysteries of Westgate "NeroMultiInstaller!UninstallKey" = Nero Suite "NetMos Technology" = NetMos Multi-IO Controller "Nokia PC Suite" = Nokia PC Suite "NVIDIA Drivers" = NVIDIA Drivers "PowerISO" = PowerISO "Return to Krondor" = Return to Krondor "S.T.A.L.K.E.R. - Shadow of Chernobyl_is1" = S.T.A.L.K.E.R. - Shadow of Chernobyl "Sierra Utilities" = Sierra Utilities "SkanerOnline" = Skaner on-line mks_vir "SpywareBlaster_is1" = SpywareBlaster 4.2 "Starcraft" = Starcraft "SubEdit-Player_is1" = SubEdit-Player "SystemRequirementsLab" = System Requirements Lab "Teamspeak 2 RC2_is1" = TeamSpeak 2 RC2 "Wdf01005" = Microsoft Kernel-Mode Driver Framework Feature Pack 1.5 "Winamp" = Winamp "Winamp Toolbar" = Winamp Toolbar for Internet Explorer "Windows Media Format Runtime" = Windows Media Format Runtime "WinRAR archiver" = Archiwizator WinRAR "World of Warcraft" = World of Warcraft [color=#E56717]========== HKEY_CURRENT_USER Uninstall List ==========[/color] [HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Uninstall] "uTorrent" = µTorrent "Warcraft III" = Warcraft III: All Products [color=#E56717]========== Last 10 Event Log Errors ==========[/color] [ Antivirus Events ] Error - 2009-04-13 08:08:13 | Computer Name = ONDAI | Source = avast! | ID = 33554522 Description = AAVM - scanning error: x_AavmCheckFileDirectEx: avfilesScanReal of C:\DOCUMENTS AND SETTINGS\PIOTREK\PULPIT\SLOWKA 9 UNIT.DOC failed, 00000005. Error - 2009-06-26 13:36:17 | Computer Name = ONDAI | Source = avast! | ID = 33554522 Description = Error in aswChestC: chestAddFile Error 1753. Error - 2009-08-12 14:43:58 | Computer Name = ONDAI | Source = avast! | ID = 33554522 Description = Error in aswChestC: chestOpenList Error 1753. Error - 2009-08-12 14:43:58 | Computer Name = ONDAI | Source = avast! | ID = 33554522 Description = aswChestInterface - Program error description: CChestListView::LoadFiles() chestOpenList() failed: 2147422219. Error - 2009-08-12 14:44:06 | Computer Name = ONDAI | Source = avast! | ID = 33554522 Description = aswChestInterface - Program error description: CChestListView::OnCreate() !m_strErrorWnd.IsEmpty(). Error - 2009-08-12 14:45:03 | Computer Name = ONDAI | Source = avast! | ID = 33554522 Description = Internal error has occurred in module aswar scan function failed!, function 00000002. [ Application Events ] Error - 2009-08-05 06:16:45 | Computer Name = ONDAI | Source = Userenv | ID = 1505 Description = System Windows nie może załadować profilu użytkownika, ale zalogował Cię używając domyślnego profilu systemowego. SZCZEGÓŁ - Klient nie ma wymaganych uprawnień. Error - 2009-08-05 06:16:45 | Computer Name = ONDAI | Source = Userenv | ID = 1508 Description = System Windows nie może załadować rejestru. Najczęstszą tego przyczyną jest za mało pamięci lub brak wystarczających praw zabezpieczeń. SZCZEGÓŁY - Klient nie ma wymaganych uprawnień. for C:\WINDOWS\system32\config\systemprofile\Ustawienia lokalne\Dane aplikacji\Microsoft\Windows\\UsrClass.dat Error - 2009-08-05 06:16:45 | Computer Name = ONDAI | Source = Userenv | ID = 1505 Description = System Windows nie może załadować profilu użytkownika, ale zalogował Cię używając domyślnego profilu systemowego. SZCZEGÓŁ - Klient nie ma wymaganych uprawnień. Error - 2009-08-05 06:16:49 | Computer Name = ONDAI | Source = Userenv | ID = 1508 Description = System Windows nie może załadować rejestru. Najczęstszą tego przyczyną jest za mało pamięci lub brak wystarczających praw zabezpieczeń. SZCZEGÓŁY - Klient nie ma wymaganych uprawnień. for C:\WINDOWS\system32\config\systemprofile\Ustawienia lokalne\Dane aplikacji\Microsoft\Windows\\UsrClass.dat Error - 2009-08-05 06:16:49 | Computer Name = ONDAI | Source = Userenv | ID = 1505 Description = System Windows nie może załadować profilu użytkownika, ale zalogował Cię używając domyślnego profilu systemowego. SZCZEGÓŁ - Klient nie ma wymaganych uprawnień. Error - 2009-08-05 06:16:49 | Computer Name = ONDAI | Source = Userenv | ID = 1508 Description = System Windows nie może załadować rejestru. Najczęstszą tego przyczyną jest za mało pamięci lub brak wystarczających praw zabezpieczeń. SZCZEGÓŁY - Klient nie ma wymaganych uprawnień. for C:\WINDOWS\system32\config\systemprofile\Ustawienia lokalne\Dane aplikacji\Microsoft\Windows\\UsrClass.dat Error - 2009-08-05 06:16:49 | Computer Name = ONDAI | Source = Userenv | ID = 1505 Description = System Windows nie może załadować profilu użytkownika, ale zalogował Cię używając domyślnego profilu systemowego. SZCZEGÓŁ - Klient nie ma wymaganych uprawnień. Error - 2009-08-05 06:17:09 | Computer Name = ONDAI | Source = Userenv | ID = 1508 Description = System Windows nie może załadować rejestru. Najczęstszą tego przyczyną jest za mało pamięci lub brak wystarczających praw zabezpieczeń. SZCZEGÓŁY - Klient nie ma wymaganych uprawnień. for C:\WINDOWS\system32\config\systemprofile\Ustawienia lokalne\Dane aplikacji\Microsoft\Windows\\UsrClass.dat Error - 2009-08-05 06:17:09 | Computer Name = ONDAI | Source = Userenv | ID = 1505 Description = System Windows nie może załadować profilu użytkownika, ale zalogował Cię używając domyślnego profilu systemowego. SZCZEGÓŁ - Klient nie ma wymaganych uprawnień. Error - 2009-08-10 10:39:54 | Computer Name = ONDAI | Source = Application Error | ID = 1000 Description = Aplikacja powodująca błąd gg.exe, wersja 7.0.0.20, moduł powodujący błąd gg.exe, wersja 7.0.0.20, adres błędu 0x0000f6c7. [ System Events ] Error - 2009-08-13 11:45:13 | Computer Name = ONDAI | Source = BROWSER | ID = 8032 Description = Usługa przeglądarki zbyt wiele razy nie zdołała pobrać listy kopii zapasowych w transporcie \Device\NetBT_Tcpip_{EF95EEFF-D198-412B-A57A-A7C4A5942D28}. Przeglądarka zapasowa jest zatrzymywana. Error - 2009-08-13 11:51:11 | Computer Name = ONDAI | Source = sptd | ID = 262148 Description = Sterownik wykrył błąd wewnętrzny w swoich strukturach danych dla . Error - 2009-08-13 11:51:26 | Computer Name = ONDAI | Source = Service Control Manager | ID = 7000 Description = Nie można uruchomić usługi Sterownik portu równoległego z powodu następującego błędu: %%1058 Error - 2009-08-13 11:52:50 | Computer Name = ONDAI | Source = Service Control Manager | ID = 7026 Description = Nie można załadować następujących sterowników startu rozruchowego lub systemowego: sptd Error - 2009-08-13 12:50:27 | Computer Name = ONDAI | Source = sptd | ID = 262148 Description = Sterownik wykrył błąd wewnętrzny w swoich strukturach danych dla . Error - 2009-08-13 12:51:05 | Computer Name = ONDAI | Source = Service Control Manager | ID = 7000 Description = Nie można uruchomić usługi Sterownik portu równoległego z powodu następującego błędu: %%1058 Error - 2009-08-13 12:52:23 | Computer Name = ONDAI | Source = Service Control Manager | ID = 7026 Description = Nie można załadować następujących sterowników startu rozruchowego lub systemowego: sptd Error - 2009-08-13 13:04:36 | Computer Name = ONDAI | Source = sptd | ID = 262148 Description = Sterownik wykrył błąd wewnętrzny w swoich strukturach danych dla . Error - 2009-08-13 13:05:12 | Computer Name = ONDAI | Source = Service Control Manager | ID = 7000 Description = Nie można uruchomić usługi Sterownik portu równoległego z powodu następującego błędu: %%1058 Error - 2009-08-13 13:06:30 | Computer Name = ONDAI | Source = Service Control Manager | ID = 7026 Description = Nie można załadować następujących sterowników startu rozruchowego lub systemowego: sptd < End of report >

**Posty:** 18165 · przez **wojtas** 14 Sie 2009, 15:39

jednak Daj loga z combofixa ale zainstaluj wraz z nim konsolę odzyskiwania ( instrukcja programu )

**Posty:** 20 · przez **m-daria** 15 Sie 2009, 11:10

Hey,
ja zwracam się do Was - specjalistów również z tym samym problemem. Otóż komp już całkowicie odmawia posłuszeństwa - bo w momencie kiedy wkradł się ten wirus jeszcze można było coś zrobić, natomiast teraz wiesza się momentalnie. Avast nie usuwa figaro.sys ani braviax. Usuwanie ich zdalnie z konkretnego pliku też nie pomaga. Przywracanie systemu też nie pomaga. Mam na dysku ghost.tib z momentu kiedy po raz pierwszy był postawiony system. Proszę o pomoc, bo szczerze powiedziawszy wcale nie uśmiecha mi się format całego dysku.
pozdrawiam daria.

**Posty:** 8001 · przez **Okocza** 15 Sie 2009, 11:26

m-daria, załóż swój temat i daj log z RSIT

**Posty:** 7 · przez **Azzed** 15 Sie 2009, 12:08

Log z Combofixa (avast już nie szaleje

)

Kod: Zaznacz wszystko: ComboFix 09-08-10.06 - Piotrek 2009-08-15 11:59.1.2 - NTFSx86 Microsoft Windows XP Professional 5.1.2600.2.1250.48.1045.18.2046.1471 [GMT 2:00] Uruchomiony z: c:\documents and settings\Piotrek\Pulpit\ComboFix.exe AV: avast! antivirus 4.8.1335 [VPS 090814-0] *On-access scanning disabled* (Updated) {7591DB91-41F0-48A3-B128-1A293FD8233D} * Utworzono nowy punkt przywracania . ((((((((((((((((((((((((((((((((((((((( Usunięto ))))))))))))))))))))))))))))))))))))))))))))))))) . c:\documents and settings\LocalService\oashdihasidhasuidhiasdhiashdiuasdhasd c:\documents and settings\Piotrek\Dane aplikacji\wiaserva.log c:\documents and settings\Piotrek\Menu Start\Programy\Autostart\ikowin32.exe c:\documents and settings\Piotrek\oashdihasidhasuidhiasdhiashdiuasdhasd c:\program files\Common Files\0.exe c:\program files\MicPhone c:\windows\cru629.dat c:\windows\system32\braviax.exe c:\windows\system32\dllcache\figaro.sys c:\windows\system32\wisdstr.exe Zainfekowana kopia c:\windows\system32\drivers\ntfs.sys została znaleziona. Problem naprawiono Plik odzyskano z - c:\windows\$NtUninstallKB930916$\ntfs.sys Zainfekowana kopia c:\windows\system32\drivers\beep.sys została znaleziona. Problem naprawiono Plik odzyskano z - c:\system volume information\_restore{06C6B140-8D70-4C59-9290-F7788E7C4252}\RP11\A0002059.sys . ((((((((((((((((((((((((((((((((((((((( Sterowniki/Usługi ))))))))))))))))))))))))))))))))))))))))))))))))) . -------\Legacy_ODBCASVC ((((((((((((((((((((((((( Pliki utworzone od 2009-07-15 do 2009-08-15 ))))))))))))))))))))))))))))))) . 2009-08-13 20:35 . 2009-08-15 09:54 29184 -c--a-w- c:\windows\system32\dllcache\beep.sys 2009-08-13 20:35 . 2006-03-02 12:00 4224 ----a-w- c:\windows\system32\drivers\beep.sys 2009-08-13 10:52 . 2009-08-13 10:52 -------- d-----w- c:\program files\Enigma Software Group 2009-08-13 09:58 . 2009-08-13 21:11 146 ----a-w- c:\documents and settings\Piotrek\delself.bat 2009-08-13 09:51 . 2006-03-02 12:00 53760 -c--a-w- c:\windows\system32\dllcache\pintlcsd.dll 2009-08-13 09:50 . 2006-03-02 12:00 42496 -c--a-w- c:\windows\system32\dllcache\davcdata.exe 2009-08-13 09:48 . 2006-03-02 12:00 16384 -c--a-w- c:\windows\system32\dllcache\isignup.exe 2009-08-13 09:21 . 2006-03-02 12:00 24661 -c--a-w- c:\windows\system32\dllcache\spxcoins.dll 2009-08-13 09:21 . 2006-03-02 12:00 24661 ----a-w- c:\windows\system32\spxcoins.dll 2009-08-13 09:21 . 2006-03-02 12:00 13312 -c--a-w- c:\windows\system32\dllcache\irclass.dll 2009-08-13 09:21 . 2006-03-02 12:00 13312 ----a-w- c:\windows\system32\irclass.dll 2009-08-12 14:22 . 2009-08-12 14:22 26686 ----a-w- c:\documents and settings\Piotrek\msword98.exe 2009-08-08 19:54 . 2009-03-16 12:18 69448 ----a-w- c:\windows\system32\XAPOFX1_3.dll 2009-08-08 19:54 . 2009-03-16 12:18 517448 ----a-w- c:\windows\system32\XAudio2_4.dll 2009-08-08 19:54 . 2009-03-09 13:27 453456 ----a-w- c:\windows\system32\d3dx10_41.dll 2009-08-08 19:54 . 2009-03-09 13:27 4178264 ----a-w- c:\windows\system32\D3DX9_41.dll 2009-08-08 19:54 . 2009-03-09 13:27 1846632 ----a-w- c:\windows\system32\D3DCompiler_41.dll 2009-08-08 19:54 . 2009-03-16 12:18 235352 ----a-w- c:\windows\system32\xactengine3_4.dll 2009-08-08 19:54 . 2009-03-16 12:18 22360 ----a-w- c:\windows\system32\X3DAudio1_6.dll 2009-07-23 19:26 . 2009-07-23 19:26 -------- d-----w- c:\documents and settings\Piotrek\Ustawienia lokalne\Dane aplikacji\Easy CD-DA Extractor 2009-07-23 19:26 . 2009-07-23 19:26 -------- d-----w- c:\documents and settings\All Users\Dane aplikacji\Easy CD-DA Extractor 2009-07-23 19:26 . 2009-07-23 19:26 -------- d-----w- c:\program files\Easy CD-DA Extractor 12 2009-07-23 19:26 . 2009-07-23 19:26 -------- d-----w- c:\windows\Easy CD-DA Extractor 12.0.1 . (((((((((((((((((((((((((((((((((((((((( Sekcja Find3M )))))))))))))))))))))))))))))))))))))))))))))))))))) . 2009-08-13 20:17 . 2008-05-16 17:13 -------- d--h--w- c:\program files\InstallShield Installation Information 2009-08-13 14:48 . 2006-03-02 12:00 80862 ----a-w- c:\windows\system32\perfc015.dat 2009-08-13 14:48 . 2006-03-02 12:00 460922 ----a-w- c:\windows\system32\perfh015.dat 2009-08-13 11:29 . 2008-05-16 18:16 -------- d-----w- c:\program files\SpywareBlaster 2009-08-13 09:47 . 2008-05-16 16:55 23640 ----a-w- c:\windows\system32\emptyregdb.dat 2009-08-12 16:50 . 2008-05-30 20:34 -------- d-----w- c:\documents and settings\Piotrek\Dane aplikacji\uTorrent 2009-08-11 18:41 . 2008-06-24 08:37 -------- d-----w- c:\documents and settings\Piotrek\Dane aplikacji\Skype 2009-08-11 18:20 . 2008-06-24 08:37 -------- d-----w- c:\documents and settings\Piotrek\Dane aplikacji\skypePM 2009-08-10 13:58 . 2008-05-21 15:39 -------- d-----w- c:\documents and settings\Piotrek\Dane aplikacji\OpenOffice.org2 2009-07-25 16:13 . 2008-05-16 22:07 -------- d-----w- c:\program files\Garena 2009-07-07 23:15 . 2009-07-10 13:21 -------- d-----w- c:\documents and settings\Piotrek\Dane aplikacji\mIRC 2009-07-07 18:23 . 2009-07-10 13:21 -------- d-----w- c:\program files\mIRC 2009-07-07 15:47 . 2009-07-07 15:47 1915520 ----a-w- c:\documents and settings\Piotrek\Dane aplikacji\Macromedia\Flash Player\www.macromedia.com\bin\fpupdateax\fpupdateax.exe 2009-07-05 13:56 . 2008-06-21 13:34 22328 ----a-w- c:\windows\system32\drivers\PnkBstrK.sys 2009-07-05 13:56 . 2008-06-21 13:33 103736 ----a-w- c:\windows\system32\PnkBstrB.exe 2009-07-01 15:19 . 2009-07-01 15:13 -------- d-----w- c:\documents and settings\Piotrek\Dane aplikacji\U3 2009-06-30 18:21 . 2008-06-24 08:47 -------- d-----w- c:\documents and settings\Piotrek\Dane aplikacji\Hamachi 2009-06-14 10:29 . 2009-06-14 10:29 52224 ----a-w- c:\windows\ipuninst.exe 2009-05-29 21:20 . 2009-05-29 21:20 28338 ----a-w- c:\windows\scunin.dat 2009-05-29 21:20 . 2009-05-29 21:20 967 ----a-w- c:\windows\ScUnin.pif 2009-05-29 21:20 . 2009-05-29 21:20 94208 ----a-w- c:\windows\ScUnin.exe 2009-05-28 14:05 . 2009-05-28 14:05 152576 ----a-w- c:\documents and settings\Piotrek\Dane aplikacji\Sun\Java\jre1.6.0_13\lzma.dll 2008-04-14 17:20 . 2006-03-02 12:00 13626368 --sha-w- c:\windows\system32\icm64.dll . ((((((((((((((((((((((((((((((((((((( Wpisy startowe rejestru )))))))))))))))))))))))))))))))))))))))))))))))))) . . *Uwaga* puste wpisy oraz domyślne, prawidłowe wpisy nie są pokazane REGEDIT4 [HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\URLSearchHooks] "{57BCA5FA-5DBB-45a2-B558-1755C3F6253B}"= "c:\program files\Winamp Toolbar\winamptb.dll" [2008-07-16 1266992] [HKEY_CLASSES_ROOT\clsid\{57bca5fa-5dbb-45a2-b558-1755c3f6253b}] [HKEY_CLASSES_ROOT\WINAMPTB.AOLTBSearch.1] [HKEY_CLASSES_ROOT\TypeLib\{538CD77C-BFDD-49b0-9562-77419CAB89D1}] [HKEY_CLASSES_ROOT\WINAMPTB.AOLTBSearch] [HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] "Gadu-Gadu"="c:\program files\Gadu-Gadu\gg.exe" [2005-09-15 1712128] "PC Suite Tray"="c:\program files\Nokia\Nokia PC Suite 7\PCSuite.exe" [2008-08-11 1124352] "Nokia.PCSync"="c:\program files\Nokia\Nokia PC Suite 7\PCSync2.exe" [2008-06-17 1249280] "SpybotSD TeaTimer"="c:\program files\Spybot - Search & Destroy\TeaTimer.exe" [2009-03-05 2260480] "msword98"="c:\documents and settings\Piotrek\msword98.exe" [2009-08-12 26686] [HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] "JMB36X IDE Setup"="c:\windows\RaidTool\xInsIDE.exe" [2007-03-20 36864] "36X Raid Configurer"="c:\windows\system32\xRaidSetup.exe" [2007-08-29 1966080] "NeroFilterCheck"="c:\windows\system32\NeroCheck.exe" [2001-07-09 155648] "ISUSPM Startup"="c:\progra~1\COMMON~1\INSTAL~1\UPDATE~1\isuspm.exe" [2004-06-16 221184] "ISUSScheduler"="c:\program files\Common Files\InstallShield\UpdateService\issch.exe" [2004-06-16 81920] "NvCplDaemon"="c:\windows\system32\NvCpl.dll" [2007-12-04 8523776] "PWRISOVM.EXE"="c:\program files\PowerISO\PWRISOVM.EXE" [2008-11-02 167936] "avast!"="c:\progra~1\ALWILS~1\Avast4\ashDisp.exe" [2009-02-05 81000] "SunJavaUpdateSched"="c:\program files\Java\jre6\bin\jusched.exe" [2009-03-09 148888] "NvMediaCenter"="c:\windows\system32\NvMcTray.dll" [2007-12-04 81920] "nwiz"="nwiz.exe" - c:\windows\system32\nwiz.exe [2007-12-04 1626112] "RTHDCPL"="RTHDCPL.EXE" - c:\windows\RTHDCPL.exe [2007-09-19 16844800] [HKEY_USERS\.DEFAULT\Software\Microsoft\Windows\CurrentVersion\Run] "CTFMON.EXE"="c:\windows\system32\CTFMON.EXE" [2006-03-02 15360] c:\documents and settings\All Users\Menu Start\Programy\Autostart\ Microsoft Office.lnk - c:\program files\Microsoft Office\Office10\OSA.EXE [2001-2-13 83360] [HKLM\~\startupfolder\C:^Documents and Settings^All Users^Menu Start^Programy^Autostart^Adobe Reader Speed Launch.lnk] path=c:\documents and settings\All Users\Menu Start\Programy\Autostart\Adobe Reader Speed Launch.lnk backup=c:\windows\pss\Adobe Reader Speed Launch.lnkCommon Startup [HKLM\~\startupfolder\C:^Documents and Settings^Piotrek^Menu Start^Programy^Autostart^hamachi.lnk] path=c:\documents and settings\Piotrek\Menu Start\Programy\Autostart\hamachi.lnk backup=c:\windows\pss\hamachi.lnkStartup [HKLM\~\startupfolder\C:^Documents and Settings^Piotrek^Menu Start^Programy^Autostart^OpenOffice.org 2.1.lnk] path=c:\documents and settings\Piotrek\Menu Start\Programy\Autostart\OpenOffice.org 2.1.lnk backup=c:\windows\pss\OpenOffice.org 2.1.lnkStartup [HKEY_CURRENT_USER\software\microsoft\windows\currentversion\run-] "braviax"= [HKEY_LOCAL_MACHINE\software\microsoft\windows\currentversion\run-] "braviax"= [HKEY_LOCAL_MACHINE\software\microsoft\security center] "UpdatesDisableNotify"=dword:00000001 [HKLM\~\services\sharedaccess\parameters\firewallpolicy\standardprofile] "EnableFirewall"= 0 (0x0) [HKLM\~\services\sharedaccess\parameters\firewallpolicy\standardprofile\AuthorizedApplications\List] "%windir%\\system32\\sessmgr.exe"= "c:\\Program Files\\uTorrent\\uTorrent.exe"= "d:\\Gry\\Neverwinter Nights 2\\nwn2main.exe"= "d:\\Gry\\Neverwinter Nights 2\\nwn2main_amdxp.exe"= "d:\\Gry\\Neverwinter Nights 2\\nwupdate.exe"= "d:\\Gry\\Neverwinter Nights 2\\nwn2server.exe"= "c:\\Program Files\\Gadu-Gadu\\gg.exe"= "c:\\WINDOWS\\system32\\PnkBstrA.exe"= "c:\\WINDOWS\\system32\\PnkBstrB.exe"= "d:\\Gry\\Activision\\Call of Duty 4 - Modern Warfare\\iw3mp.exe"= "%windir%\\Network Diagnostic\\xpnetdiag.exe"= "c:\\Program Files\\Skype\\Phone\\Skype.exe"= R?2 wmcmgc;Windows Management Configuration;c:\windows\System32\svchost.exe -k netsvcs [2006-03-02 14336] R1 aswSP;avast! Self Protection;c:\windows\system32\drivers\aswSP.sys [2009-03-18 114768] R2 aswFsBlk;aswFsBlk;c:\windows\system32\drivers\aswFsBlk.sys [2009-03-18 20560] S1 soqwx32;soqwx32;\??\c:\windows\system32\drivers\soqwx32.sys --> c:\windows\system32\drivers\soqwx32.sys [?] S3 ASPI;Advanced SCSI Programming Interface Driver;c:\windows\system32\drivers\ASPI32.SYS [2008-07-14 16512] S3 merger;merger;c:\program files\Microsoft Application Compatibility Toolkit\Application Analyzer\merger.exe [2005-09-27 49152] . Zawartość folderu 'Zaplanowane zadania' 2009-08-13 c:\windows\Tasks\Spybot - Search & Destroy - Scheduled Task.job - c:\program files\Spybot - Search & Destroy\SpybotSD.exe [2008-11-01 14:31] 2009-08-13 c:\windows\Tasks\Spybot - Search & Destroy Updater - Scheduled Task.job - c:\program files\Spybot - Search & Destroy\SDUpdate.exe [2008-11-01 14:31] . - - - - USUNIĘTO PUSTE WPISY - - - - HKLM-Run-msword98 - c:\windows\system32\msword98.exe . ------- Skan uzupełniający ------- . uStart Page = hxxp://www.google.com mStart Page = hxxp://www.google.com IE: &Winamp Search - c:\documents and settings\All Users\Dane aplikacji\Winamp Toolbar\ieToolbar\resources\en-US\local\search.html IE: E&ksport do programu Microsoft Excel - c:\progra~1\MICROS~3\Office10\EXCEL.EXE/3000 IE: E&ksportuj do programu Microsoft Excel - c:\progra~1\MICROS~2\Office12\EXCEL.EXE/3000 DPF: {92ECE6FA-AC2E-4042-BFAE-0C8608E52A43} - hxxps://www.bph.pl/pi/components/SignActivX.cab FF - ProfilePath - c:\documents and settings\Piotrek\Dane aplikacji\Mozilla\Firefox\Profiles\bgi6q8il.default\ ---- FIREFOX - SPOSÓB POSTĘPOWANIA ---- c:\program files\Mozilla Firefox\greprefs\all.js - pref("media.enforce_same_site_origin", false); c:\program files\Mozilla Firefox\greprefs\all.js - pref("media.cache_size", 51200); c:\program files\Mozilla Firefox\greprefs\all.js - pref("media.ogg.enabled", true); c:\program files\Mozilla Firefox\greprefs\all.js - pref("media.wave.enabled", true); c:\program files\Mozilla Firefox\greprefs\all.js - pref("media.autoplay.enabled", true); c:\program files\Mozilla Firefox\greprefs\all.js - pref("browser.urlbar.autocomplete.enabled", true); c:\program files\Mozilla Firefox\greprefs\all.js - pref("capability.policy.mailnews.*.wholeText", "noAccess"); c:\program files\Mozilla Firefox\greprefs\all.js - pref("dom.storage.default_quota", 5120); c:\program files\Mozilla Firefox\greprefs\all.js - pref("content.sink.event_probe_rate", 3); c:\program files\Mozilla Firefox\greprefs\all.js - pref("network.http.prompt-temp-redirect", true); c:\program files\Mozilla Firefox\greprefs\all.js - pref("layout.css.dpi", -1); c:\program files\Mozilla Firefox\greprefs\all.js - pref("layout.css.devPixelsPerPx", -1); c:\program files\Mozilla Firefox\greprefs\all.js - pref("gestures.enable_single_finger_input", true); c:\program files\Mozilla Firefox\greprefs\all.js - pref("dom.max_chrome_script_run_time", 0); c:\program files\Mozilla Firefox\greprefs\all.js - pref("network.tcp.sendbuffer", 131072); c:\program files\Mozilla Firefox\greprefs\all.js - pref("geo.enabled", true); c:\program files\Mozilla Firefox\greprefs\security-prefs.js - pref("security.remember_cert_checkbox_default_setting", true); c:\program files\Mozilla Firefox\defaults\pref\firefox-branding.js - pref("browser.search.param.yahoo-fr", "moz35"); c:\program files\Mozilla Firefox\defaults\pref\firefox-branding.js - pref("browser.search.param.yahoo-fr-cjkt", "moz35"); c:\program files\Mozilla Firefox\defaults\pref\firefox.js - pref("extensions.blocklist.level", 2); c:\program files\Mozilla Firefox\defaults\pref\firefox.js - pref("browser.urlbar.restrict.typed", "~"); c:\program files\Mozilla Firefox\defaults\pref\firefox.js - pref("browser.urlbar.default.behavior", 0); c:\program files\Mozilla Firefox\defaults\pref\firefox.js - pref("privacy.clearOnShutdown.history", true); c:\program files\Mozilla Firefox\defaults\pref\firefox.js - pref("privacy.clearOnShutdown.formdata", true); c:\program files\Mozilla Firefox\defaults\pref\firefox.js - pref("privacy.clearOnShutdown.passwords", false); c:\program files\Mozilla Firefox\defaults\pref\firefox.js - pref("privacy.clearOnShutdown.downloads", true); c:\program files\Mozilla Firefox\defaults\pref\firefox.js - pref("privacy.clearOnShutdown.cookies", true); c:\program files\Mozilla Firefox\defaults\pref\firefox.js - pref("privacy.clearOnShutdown.cache", true); c:\program files\Mozilla Firefox\defaults\pref\firefox.js - pref("privacy.clearOnShutdown.sessions", true); c:\program files\Mozilla Firefox\defaults\pref\firefox.js - pref("privacy.clearOnShutdown.offlineApps", false); c:\program files\Mozilla Firefox\defaults\pref\firefox.js - pref("privacy.clearOnShutdown.siteSettings", false); c:\program files\Mozilla Firefox\defaults\pref\firefox.js - pref("privacy.cpd.history", true); c:\program files\Mozilla Firefox\defaults\pref\firefox.js - pref("privacy.cpd.formdata", true); c:\program files\Mozilla Firefox\defaults\pref\firefox.js - pref("privacy.cpd.passwords", false); c:\program files\Mozilla Firefox\defaults\pref\firefox.js - pref("privacy.cpd.downloads", true); c:\program files\Mozilla Firefox\defaults\pref\firefox.js - pref("privacy.cpd.cookies", true); c:\program files\Mozilla Firefox\defaults\pref\firefox.js - pref("privacy.cpd.cache", true); c:\program files\Mozilla Firefox\defaults\pref\firefox.js - pref("privacy.cpd.sessions", true); c:\program files\Mozilla Firefox\defaults\pref\firefox.js - pref("privacy.cpd.offlineApps", false); c:\program files\Mozilla Firefox\defaults\pref\firefox.js - pref("privacy.cpd.siteSettings", false); c:\program files\Mozilla Firefox\defaults\pref\firefox.js - pref("privacy.sanitize.migrateFx3Prefs", false); c:\program files\Mozilla Firefox\defaults\pref\firefox.js - pref("browser.ssl_override_behavior", 2); c:\program files\Mozilla Firefox\defaults\pref\firefox.js - pref("security.alternate_certificate_error_page", "certerror"); c:\program files\Mozilla Firefox\defaults\pref\firefox.js - pref("browser.privatebrowsing.autostart", false); c:\program files\Mozilla Firefox\defaults\pref\firefox.js - pref("browser.privatebrowsing.dont_prompt_on_enter", false); c:\program files\Mozilla Firefox\defaults\pref\firefox.js - pref("geo.wifi.uri", "https://www.google.com/loc/json"); . ************************************************************************** catchme 0.3.1398 W2K/XP/Vista - rootkit/stealth malware detector by Gmer, http://www.gmer.net Rootkit scan 2009-08-15 12:04 Windows 5.1.2600 Dodatek Service Pack 2 NTFS skanowanie ukrytych procesów ... skanowanie ukrytych wpisów autostartu ... skanowanie ukrytych plików ... skanowanie pomyślnie ukończone ukryte pliki: 0 ************************************************************************** . --------------------- ZABLOKOWANE KLUCZE REJESTRU --------------------- [HKEY_USERS\S-1-5-21-515967899-562591055-725345543-1003\Software\SecuROM\!CAUTION! NEVER A OR CHANGE ANY KEY*] "??"=hex:73,24,39,e4,e4,c8,ed,d9,b9,97,6c,73,29,ae,14,07,3a,54,3e,24,c6,82,28, 0b,4a,83,24,c3,6e,cb,30,18,57,ab,61,65,37,9f,02,44,11,7a,56,4e,a5,e5,b9,cc,\ "??"=hex:76,37,58,f3,99,f3,f0,0d,ee,52,00,98,56,3a,24,d7 [HKEY_USERS\S-1-5-21-515967899-562591055-725345543-1003\Software\SecuROM\License information*] "datasecu"=hex:82,65,c7,bc,f2,9a,e9,60,b8,17,f6,a9,4a,53,ab,87,c5,78,5a,84,27, f2,ef,95,77,3f,8f,b9,8f,81,5d,1a,71,60,fc,7a,eb,60,56,77,b8,c0,80,f0,b7,ed,\ "rkeysecu"=hex:8e,eb,f8,d1,f7,65,ad,8f,6a,40,b9,cf,be,4c,c1,73 . ------------------------ Pozostałe uruchomione procesy ------------------------ . c:\program files\Alwil Software\Avast4\aswUpdSv.exe c:\program files\Alwil Software\Avast4\ashServ.exe c:\windows\system32\rundll32.exe c:\program files\Java\jre6\bin\jqs.exe c:\windows\system32\nvsvc32.exe c:\windows\system32\PnkBstrA.exe c:\program files\Common Files\Nokia\MPAPI\MPAPI3s.exe c:\program files\Alwil Software\Avast4\ashMaiSv.exe c:\program files\Alwil Software\Avast4\ashWebSv.exe c:\program files\PC Connectivity Solution\ServiceLayer.exe c:\windows\system32\wscntfy.exe c:\windows\system32\wbem\wmiapsrv.exe c:\program files\PC Connectivity Solution\Transports\NclUSBSrv.exe c:\program files\PC Connectivity Solution\Transports\NclRSSrv.exe . ************************************************************************** . Czas ukończenia: 2009-08-15 12:06 - komputer został uruchomiony ponownie ComboFix-quarantined-files.txt 2009-08-15 10:06 Przed: 29 553 668 096 bajtów wolnych Po: 29 437 169 664 bajtów wolnych WindowsXP-KB310994-SP2-Pro-BootDisk-PLK.exe [boot loader] timeout=2 default=multi(0)disk(0)rdisk(0)partition(1)\WINDOWS [operating systems] c:\cmdcons\BOOTSECT.DAT="Microsoft Windows Recovery Console" /cmdcons multi(0)disk(0)rdisk(0)partition(1)\WINDOWS="Microsoft Windows XP Professional" /noexecute=optin /fastdetect Current=3 Default=3 Failed=0 LastKnownGood=5 Sets=1,2,3,4,5 267 --- E O F --- 2009-05-24 09:42

**Posty:** 18165 · przez **wojtas** 15 Sie 2009, 13:29

Otworz notatnik i wklej w nim to:

FCopy::
c:\windows\system32\drivers\beep.sys | c:\windows\system32\dllcache\beep.sys

Registry::
[HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
"msword98"=-
[HKEY_CURRENT_USER\software\microsoft\windows\currentversion\run-]
"braviax"=-
[HKEY_LOCAL_MACHINE\software\microsoft\windows\currentversion\run-]
"braviax"=-

>>Plik>>Zapisz jako... >>> CFScript
Przeciągnij i upuść plik CFScript.txt na plik ComboFix.exe
-->

**Posty:** 7 · przez **Azzed** 15 Sie 2009, 21:36

Dzięki

dokładnie tak zrobiłem , komputer już ani się nie wiesza ani nic niepożądanego nie wyskakuje. Czy mam zrobić coś jeszcze, czy mogę usunąć już combofixa?

**Posty:** 18165 · przez **wojtas** 16 Sie 2009, 12:11

daj nowego loga jeszcze ;P

**Posty:** 7 · przez **Azzed** 16 Sie 2009, 12:25

Zrobione:

Kod: Zaznacz wszystko: ComboFix 09-08-10.06 - Piotrek 2009-08-15 21:25.2.2 - NTFSx86 Microsoft Windows XP Professional 5.1.2600.2.1250.48.1045.18.2046.1622 [GMT 2:00] Uruchomiony z: c:\documents and settings\Piotrek\Pulpit\ComboFix.exe Użyto następujących komend :: c:\documents and settings\Piotrek\Pulpit\CFScript.txt AV: avast! antivirus 4.8.1335 [VPS 090814-0] *On-access scanning disabled* (Updated) {7591DB91-41F0-48A3-B128-1A293FD8233D} . ((((((((((((((((((((((((((((((((((((((( Usunięto ))))))))))))))))))))))))))))))))))))))))))))))))) . . --------------- FCopy --------------- c:\windows\system32\drivers\beep.sys --> c:\windows\system32\dllcache\beep.sys . ((((((((((((((((((((((((( Pliki utworzone od 2009-07-15 do 2009-08-15 ))))))))))))))))))))))))))))))) . 2009-08-13 20:35 . 2006-03-02 12:00 4224 -c--a-w- c:\windows\system32\dllcache\beep.sys 2009-08-13 20:35 . 2006-03-02 12:00 4224 ------w- c:\windows\system32\drivers\beep.sys 2009-08-13 10:52 . 2009-08-13 10:52 -------- d-----w- c:\program files\Enigma Software Group 2009-08-13 09:58 . 2009-08-13 21:11 146 ----a-w- c:\documents and settings\Piotrek\delself.bat 2009-08-13 09:51 . 2006-03-02 12:00 53760 -c--a-w- c:\windows\system32\dllcache\pintlcsd.dll 2009-08-13 09:50 . 2006-03-02 12:00 42496 -c--a-w- c:\windows\system32\dllcache\davcdata.exe 2009-08-13 09:48 . 2006-03-02 12:00 16384 -c--a-w- c:\windows\system32\dllcache\isignup.exe 2009-08-13 09:21 . 2006-03-02 12:00 24661 -c--a-w- c:\windows\system32\dllcache\spxcoins.dll 2009-08-13 09:21 . 2006-03-02 12:00 24661 ----a-w- c:\windows\system32\spxcoins.dll 2009-08-13 09:21 . 2006-03-02 12:00 13312 -c--a-w- c:\windows\system32\dllcache\irclass.dll 2009-08-13 09:21 . 2006-03-02 12:00 13312 ----a-w- c:\windows\system32\irclass.dll 2009-08-12 14:22 . 2009-08-12 14:22 26686 ----a-w- c:\documents and settings\Piotrek\msword98.exe 2009-08-08 19:54 . 2009-03-16 12:18 69448 ----a-w- c:\windows\system32\XAPOFX1_3.dll 2009-08-08 19:54 . 2009-03-16 12:18 517448 ----a-w- c:\windows\system32\XAudio2_4.dll 2009-08-08 19:54 . 2009-03-09 13:27 453456 ----a-w- c:\windows\system32\d3dx10_41.dll 2009-08-08 19:54 . 2009-03-09 13:27 4178264 ----a-w- c:\windows\system32\D3DX9_41.dll 2009-08-08 19:54 . 2009-03-09 13:27 1846632 ----a-w- c:\windows\system32\D3DCompiler_41.dll 2009-08-08 19:54 . 2009-03-16 12:18 235352 ----a-w- c:\windows\system32\xactengine3_4.dll 2009-08-08 19:54 . 2009-03-16 12:18 22360 ----a-w- c:\windows\system32\X3DAudio1_6.dll 2009-07-23 19:26 . 2009-07-23 19:26 -------- d-----w- c:\documents and settings\Piotrek\Ustawienia lokalne\Dane aplikacji\Easy CD-DA Extractor 2009-07-23 19:26 . 2009-07-23 19:26 -------- d-----w- c:\documents and settings\All Users\Dane aplikacji\Easy CD-DA Extractor 2009-07-23 19:26 . 2009-07-23 19:26 -------- d-----w- c:\program files\Easy CD-DA Extractor 12 2009-07-23 19:26 . 2009-07-23 19:26 -------- d-----w- c:\windows\Easy CD-DA Extractor 12.0.1 . (((((((((((((((((((((((((((((((((((((((( Sekcja Find3M )))))))))))))))))))))))))))))))))))))))))))))))))))) . 2009-08-15 19:24 . 2008-05-16 17:26 28792 ----a-w- c:\documents and settings\Piotrek\Ustawienia lokalne\Dane aplikacji\GDIPFONTCACHEV1.DAT 2009-08-15 10:13 . 2008-05-16 18:16 -------- d-----w- c:\program files\SpywareBlaster 2009-08-13 20:17 . 2008-05-16 17:13 -------- d--h--w- c:\program files\InstallShield Installation Information 2009-08-13 14:48 . 2006-03-02 12:00 80862 ----a-w- c:\windows\system32\perfc015.dat 2009-08-13 14:48 . 2006-03-02 12:00 460922 ----a-w- c:\windows\system32\perfh015.dat 2009-08-13 09:47 . 2008-05-16 16:55 23640 ----a-w- c:\windows\system32\emptyregdb.dat 2009-08-12 16:50 . 2008-05-30 20:34 -------- d-----w- c:\documents and settings\Piotrek\Dane aplikacji\uTorrent 2009-08-11 18:41 . 2008-06-24 08:37 -------- d-----w- c:\documents and settings\Piotrek\Dane aplikacji\Skype 2009-08-11 18:20 . 2008-06-24 08:37 -------- d-----w- c:\documents and settings\Piotrek\Dane aplikacji\skypePM 2009-08-10 13:58 . 2008-05-21 15:39 -------- d-----w- c:\documents and settings\Piotrek\Dane aplikacji\OpenOffice.org2 2009-07-25 16:13 . 2008-05-16 22:07 -------- d-----w- c:\program files\Garena 2009-07-07 23:15 . 2009-07-10 13:21 -------- d-----w- c:\documents and settings\Piotrek\Dane aplikacji\mIRC 2009-07-07 18:23 . 2009-07-10 13:21 -------- d-----w- c:\program files\mIRC 2009-07-07 15:47 . 2009-07-07 15:47 1915520 ----a-w- c:\documents and settings\Piotrek\Dane aplikacji\Macromedia\Flash Player\www.macromedia.com\bin\fpupdateax\fpupdateax.exe 2009-07-05 13:56 . 2008-06-21 13:34 22328 ----a-w- c:\windows\system32\drivers\PnkBstrK.sys 2009-07-05 13:56 . 2008-06-21 13:33 103736 ----a-w- c:\windows\system32\PnkBstrB.exe 2009-07-01 15:19 . 2009-07-01 15:13 -------- d-----w- c:\documents and settings\Piotrek\Dane aplikacji\U3 2009-06-30 18:21 . 2008-06-24 08:47 -------- d-----w- c:\documents and settings\Piotrek\Dane aplikacji\Hamachi 2009-06-14 10:29 . 2009-06-14 10:29 52224 ----a-w- c:\windows\ipuninst.exe 2009-05-29 21:20 . 2009-05-29 21:20 28338 ----a-w- c:\windows\scunin.dat 2009-05-29 21:20 . 2009-05-29 21:20 967 ----a-w- c:\windows\ScUnin.pif 2009-05-29 21:20 . 2009-05-29 21:20 94208 ----a-w- c:\windows\ScUnin.exe 2009-05-28 14:05 . 2009-05-28 14:05 152576 ----a-w- c:\documents and settings\Piotrek\Dane aplikacji\Sun\Java\jre1.6.0_13\lzma.dll 2008-04-14 17:20 . 2006-03-02 12:00 13626368 --sha-w- c:\windows\system32\icm64.dll . ((((((((((((((((((((((((((((( SnapShot@2009-08-15_10.04.48 ))))))))))))))))))))))))))))))))))))))))) . + 2009-08-15 19:09 . 2009-08-15 19:09 16384 c:\windows\Temp\Perflib_Perfdata_768.dat + 2009-08-15 19:09 . 2009-08-15 19:09 16384 c:\windows\Temp\Perflib_Perfdata_530.dat . ((((((((((((((((((((((((((((((((((((( Wpisy startowe rejestru )))))))))))))))))))))))))))))))))))))))))))))))))) . . *Uwaga* puste wpisy oraz domyślne, prawidłowe wpisy nie są pokazane REGEDIT4 [HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\URLSearchHooks] "{57BCA5FA-5DBB-45a2-B558-1755C3F6253B}"= "c:\program files\Winamp Toolbar\winamptb.dll" [2008-07-16 1266992] [HKEY_CLASSES_ROOT\clsid\{57bca5fa-5dbb-45a2-b558-1755c3f6253b}] [HKEY_CLASSES_ROOT\WINAMPTB.AOLTBSearch.1] [HKEY_CLASSES_ROOT\TypeLib\{538CD77C-BFDD-49b0-9562-77419CAB89D1}] [HKEY_CLASSES_ROOT\WINAMPTB.AOLTBSearch] [HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] "Gadu-Gadu"="c:\program files\Gadu-Gadu\gg.exe" [2005-09-15 1712128] "PC Suite Tray"="c:\program files\Nokia\Nokia PC Suite 7\PCSuite.exe" [2008-08-11 1124352] "Nokia.PCSync"="c:\program files\Nokia\Nokia PC Suite 7\PCSync2.exe" [2008-06-17 1249280] "SpybotSD TeaTimer"="c:\program files\Spybot - Search & Destroy\TeaTimer.exe" [2009-03-05 2260480] [HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] "JMB36X IDE Setup"="c:\windows\RaidTool\xInsIDE.exe" [2007-03-20 36864] "36X Raid Configurer"="c:\windows\system32\xRaidSetup.exe" [2007-08-29 1966080] "NeroFilterCheck"="c:\windows\system32\NeroCheck.exe" [2001-07-09 155648] "ISUSPM Startup"="c:\progra~1\COMMON~1\INSTAL~1\UPDATE~1\isuspm.exe" [2004-06-16 221184] "ISUSScheduler"="c:\program files\Common Files\InstallShield\UpdateService\issch.exe" [2004-06-16 81920] "NvCplDaemon"="c:\windows\system32\NvCpl.dll" [2007-12-04 8523776] "PWRISOVM.EXE"="c:\program files\PowerISO\PWRISOVM.EXE" [2008-11-02 167936] "avast!"="c:\progra~1\ALWILS~1\Avast4\ashDisp.exe" [2009-02-05 81000] "SunJavaUpdateSched"="c:\program files\Java\jre6\bin\jusched.exe" [2009-03-09 148888] "NvMediaCenter"="c:\windows\system32\NvMcTray.dll" [2007-12-04 81920] "nwiz"="nwiz.exe" - c:\windows\system32\nwiz.exe [2007-12-04 1626112] "RTHDCPL"="RTHDCPL.EXE" - c:\windows\RTHDCPL.exe [2007-09-19 16844800] [HKEY_USERS\.DEFAULT\Software\Microsoft\Windows\CurrentVersion\Run] "CTFMON.EXE"="c:\windows\system32\CTFMON.EXE" [2006-03-02 15360] c:\documents and settings\All Users\Menu Start\Programy\Autostart\ Microsoft Office.lnk - c:\program files\Microsoft Office\Office10\OSA.EXE [2001-2-13 83360] [HKLM\~\startupfolder\C:^Documents and Settings^All Users^Menu Start^Programy^Autostart^Adobe Reader Speed Launch.lnk] path=c:\documents and settings\All Users\Menu Start\Programy\Autostart\Adobe Reader Speed Launch.lnk backup=c:\windows\pss\Adobe Reader Speed Launch.lnkCommon Startup [HKLM\~\startupfolder\C:^Documents and Settings^Piotrek^Menu Start^Programy^Autostart^hamachi.lnk] path=c:\documents and settings\Piotrek\Menu Start\Programy\Autostart\hamachi.lnk backup=c:\windows\pss\hamachi.lnkStartup [HKLM\~\startupfolder\C:^Documents and Settings^Piotrek^Menu Start^Programy^Autostart^OpenOffice.org 2.1.lnk] path=c:\documents and settings\Piotrek\Menu Start\Programy\Autostart\OpenOffice.org 2.1.lnk backup=c:\windows\pss\OpenOffice.org 2.1.lnkStartup [HKEY_LOCAL_MACHINE\software\microsoft\security center] "UpdatesDisableNotify"=dword:00000001 [HKLM\~\services\sharedaccess\parameters\firewallpolicy\standardprofile] "EnableFirewall"= 0 (0x0) [HKLM\~\services\sharedaccess\parameters\firewallpolicy\standardprofile\AuthorizedApplications\List] "%windir%\\system32\\sessmgr.exe"= "c:\\Program Files\\uTorrent\\uTorrent.exe"= "d:\\Gry\\Neverwinter Nights 2\\nwn2main.exe"= "d:\\Gry\\Neverwinter Nights 2\\nwn2main_amdxp.exe"= "d:\\Gry\\Neverwinter Nights 2\\nwupdate.exe"= "d:\\Gry\\Neverwinter Nights 2\\nwn2server.exe"= "c:\\Program Files\\Gadu-Gadu\\gg.exe"= "c:\\WINDOWS\\system32\\PnkBstrA.exe"= "c:\\WINDOWS\\system32\\PnkBstrB.exe"= "d:\\Gry\\Activision\\Call of Duty 4 - Modern Warfare\\iw3mp.exe"= "%windir%\\Network Diagnostic\\xpnetdiag.exe"= "c:\\Program Files\\Skype\\Phone\\Skype.exe"= R?2 wmcmgc;Windows Management Configuration;c:\windows\System32\svchost.exe -k netsvcs [2006-03-02 14336] R1 aswSP;avast! Self Protection;c:\windows\system32\drivers\aswSP.sys [2009-03-18 114768] R2 aswFsBlk;aswFsBlk;c:\windows\system32\drivers\aswFsBlk.sys [2009-03-18 20560] S1 soqwx32;soqwx32;\??\c:\windows\system32\drivers\soqwx32.sys --> c:\windows\system32\drivers\soqwx32.sys [?] S3 ASPI;Advanced SCSI Programming Interface Driver;c:\windows\system32\drivers\ASPI32.SYS [2008-07-14 16512] S3 merger;merger;c:\program files\Microsoft Application Compatibility Toolkit\Application Analyzer\merger.exe [2005-09-27 49152] . Zawartość folderu 'Zaplanowane zadania' 2009-08-13 c:\windows\Tasks\Spybot - Search & Destroy - Scheduled Task.job - c:\program files\Spybot - Search & Destroy\SpybotSD.exe [2008-11-01 14:31] 2009-08-13 c:\windows\Tasks\Spybot - Search & Destroy Updater - Scheduled Task.job - c:\program files\Spybot - Search & Destroy\SDUpdate.exe [2008-11-01 14:31] . . ------- Skan uzupełniający ------- . uStart Page = hxxp://www.google.com mStart Page = hxxp://www.google.com IE: &Winamp Search - c:\documents and settings\All Users\Dane aplikacji\Winamp Toolbar\ieToolbar\resources\en-US\local\search.html IE: E&ksport do programu Microsoft Excel - c:\progra~1\MICROS~3\Office10\EXCEL.EXE/3000 IE: E&ksportuj do programu Microsoft Excel - c:\progra~1\MICROS~2\Office12\EXCEL.EXE/3000 DPF: {92ECE6FA-AC2E-4042-BFAE-0C8608E52A43} - hxxps://www.bph.pl/pi/components/SignActivX.cab FF - ProfilePath - c:\documents and settings\Piotrek\Dane aplikacji\Mozilla\Firefox\Profiles\bgi6q8il.default\ ---- FIREFOX - SPOSÓB POSTĘPOWANIA ---- c:\program files\Mozilla Firefox\greprefs\all.js - pref("media.enforce_same_site_origin", false); c:\program files\Mozilla Firefox\greprefs\all.js - pref("media.cache_size", 51200); c:\program files\Mozilla Firefox\greprefs\all.js - pref("media.ogg.enabled", true); c:\program files\Mozilla Firefox\greprefs\all.js - pref("media.wave.enabled", true); c:\program files\Mozilla Firefox\greprefs\all.js - pref("media.autoplay.enabled", true); c:\program files\Mozilla Firefox\greprefs\all.js - pref("browser.urlbar.autocomplete.enabled", true); c:\program files\Mozilla Firefox\greprefs\all.js - pref("capability.policy.mailnews.*.wholeText", "noAccess"); c:\program files\Mozilla Firefox\greprefs\all.js - pref("dom.storage.default_quota", 5120); c:\program files\Mozilla Firefox\greprefs\all.js - pref("content.sink.event_probe_rate", 3); c:\program files\Mozilla Firefox\greprefs\all.js - pref("network.http.prompt-temp-redirect", true); c:\program files\Mozilla Firefox\greprefs\all.js - pref("layout.css.dpi", -1); c:\program files\Mozilla Firefox\greprefs\all.js - pref("layout.css.devPixelsPerPx", -1); c:\program files\Mozilla Firefox\greprefs\all.js - pref("gestures.enable_single_finger_input", true); c:\program files\Mozilla Firefox\greprefs\all.js - pref("dom.max_chrome_script_run_time", 0); c:\program files\Mozilla Firefox\greprefs\all.js - pref("network.tcp.sendbuffer", 131072); c:\program files\Mozilla Firefox\greprefs\all.js - pref("geo.enabled", true); c:\program files\Mozilla Firefox\greprefs\security-prefs.js - pref("security.remember_cert_checkbox_default_setting", true); c:\program files\Mozilla Firefox\defaults\pref\firefox-branding.js - pref("browser.search.param.yahoo-fr", "moz35"); c:\program files\Mozilla Firefox\defaults\pref\firefox-branding.js - pref("browser.search.param.yahoo-fr-cjkt", "moz35"); c:\program files\Mozilla Firefox\defaults\pref\firefox.js - pref("extensions.blocklist.level", 2); c:\program files\Mozilla Firefox\defaults\pref\firefox.js - pref("browser.urlbar.restrict.typed", "~"); c:\program files\Mozilla Firefox\defaults\pref\firefox.js - pref("browser.urlbar.default.behavior", 0); c:\program files\Mozilla Firefox\defaults\pref\firefox.js - pref("privacy.clearOnShutdown.history", true); c:\program files\Mozilla Firefox\defaults\pref\firefox.js - pref("privacy.clearOnShutdown.formdata", true); c:\program files\Mozilla Firefox\defaults\pref\firefox.js - pref("privacy.clearOnShutdown.passwords", false); c:\program files\Mozilla Firefox\defaults\pref\firefox.js - pref("privacy.clearOnShutdown.downloads", true); c:\program files\Mozilla Firefox\defaults\pref\firefox.js - pref("privacy.clearOnShutdown.cookies", true); c:\program files\Mozilla Firefox\defaults\pref\firefox.js - pref("privacy.clearOnShutdown.cache", true); c:\program files\Mozilla Firefox\defaults\pref\firefox.js - pref("privacy.clearOnShutdown.sessions", true); c:\program files\Mozilla Firefox\defaults\pref\firefox.js - pref("privacy.clearOnShutdown.offlineApps", false); c:\program files\Mozilla Firefox\defaults\pref\firefox.js - pref("privacy.clearOnShutdown.siteSettings", false); c:\program files\Mozilla Firefox\defaults\pref\firefox.js - pref("privacy.cpd.history", true); c:\program files\Mozilla Firefox\defaults\pref\firefox.js - pref("privacy.cpd.formdata", true); c:\program files\Mozilla Firefox\defaults\pref\firefox.js - pref("privacy.cpd.passwords", false); c:\program files\Mozilla Firefox\defaults\pref\firefox.js - pref("privacy.cpd.downloads", true); c:\program files\Mozilla Firefox\defaults\pref\firefox.js - pref("privacy.cpd.cookies", true); c:\program files\Mozilla Firefox\defaults\pref\firefox.js - pref("privacy.cpd.cache", true); c:\program files\Mozilla Firefox\defaults\pref\firefox.js - pref("privacy.cpd.sessions", true); c:\program files\Mozilla Firefox\defaults\pref\firefox.js - pref("privacy.cpd.offlineApps", false); c:\program files\Mozilla Firefox\defaults\pref\firefox.js - pref("privacy.cpd.siteSettings", false); c:\program files\Mozilla Firefox\defaults\pref\firefox.js - pref("privacy.sanitize.migrateFx3Prefs", false); c:\program files\Mozilla Firefox\defaults\pref\firefox.js - pref("browser.ssl_override_behavior", 2); c:\program files\Mozilla Firefox\defaults\pref\firefox.js - pref("security.alternate_certificate_error_page", "certerror"); c:\program files\Mozilla Firefox\defaults\pref\firefox.js - pref("browser.privatebrowsing.autostart", false); c:\program files\Mozilla Firefox\defaults\pref\firefox.js - pref("browser.privatebrowsing.dont_prompt_on_enter", false); c:\program files\Mozilla Firefox\defaults\pref\firefox.js - pref("geo.wifi.uri", "https://www.google.com/loc/json"); . ************************************************************************** catchme 0.3.1398 W2K/XP/Vista - rootkit/stealth malware detector by Gmer, http://www.gmer.net Rootkit scan 2009-08-15 21:27 Windows 5.1.2600 Dodatek Service Pack 2 NTFS skanowanie ukrytych procesów ... skanowanie ukrytych wpisów autostartu ... skanowanie ukrytych plików ... skanowanie pomyślnie ukończone ukryte pliki: 0 ************************************************************************** . --------------------- ZABLOKOWANE KLUCZE REJESTRU --------------------- [HKEY_USERS\S-1-5-21-515967899-562591055-725345543-1003\Software\SecuROM\!CAUTION! NEVER A OR CHANGE ANY KEY*] "??"=hex:73,24,39,e4,e4,c8,ed,d9,b9,97,6c,73,29,ae,14,07,3a,54,3e,24,c6,82,28, 0b,4a,83,24,c3,6e,cb,30,18,57,ab,61,65,37,9f,02,44,11,7a,56,4e,a5,e5,b9,cc,\ "??"=hex:76,37,58,f3,99,f3,f0,0d,ee,52,00,98,56,3a,24,d7 [HKEY_USERS\S-1-5-21-515967899-562591055-725345543-1003\Software\SecuROM\License information*] "datasecu"=hex:82,65,c7,bc,f2,9a,e9,60,b8,17,f6,a9,4a,53,ab,87,c5,78,5a,84,27, f2,ef,95,77,3f,8f,b9,8f,81,5d,1a,71,60,fc,7a,eb,60,56,77,b8,c0,80,f0,b7,ed,\ "rkeysecu"=hex:8e,eb,f8,d1,f7,65,ad,8f,6a,40,b9,cf,be,4c,c1,73 . Czas ukończenia: 2009-08-15 21:28 ComboFix-quarantined-files.txt 2009-08-15 19:28 ComboFix2.txt 2009-08-15 10:06 Przed: 29 430 214 656 bajtów wolnych Po: 29 384 323 072 bajtów wolnych Current=3 Default=3 Failed=0 LastKnownGood=5 Sets=1,2,3,4,5 227 --- E O F --- 2009-05-24 09:42

**Posty:** 18165 · przez **wojtas** 16 Sie 2009, 14:01

1.Uruchom OTL z opcji CleanUp
2. wykonaj optymalizację windowsa
3.Wyłącz przywracanie systemu ( właściwości mój komputer-zakładka przywracanie - wyłącz przywracanie na wszystkich dyskach). Po chwili włącz je powrotem]
4. zrób skan Malwarebytes Anti-Malware

**Posty:** 7 · przez **Azzed** 16 Sie 2009, 21:24

Niech zgadnę: Log? ;p

Kod: Zaznacz wszystko: Malwarebytes' Anti-Malware 1.40 Wersja bazy definicji: 2635 Windows 5.1.2600 Dodatek Service Pack 2 2009-08-16 21:23:13 mbam-log-2009-08-16 (21-23-13).txt Typ skanowania: Pełne skanowanie (C:\|) Przeskanowane obiekty: 133517 Upłynęło: 12 minute(s), 0 second(s) Zainfekowane procesy w pamięci: 0 Zainfekowane moduły pamięci: 0 Zainfekowane klucze rejestru: 0 Zainfekowane wartości rejestru: 0 Zainfekowane pliki rejestru: 0 Zainfekowane foldery: 0 Zainfekowane pliki: 0 Zainfekowane procesy w pamięci: (Nie wykryto groźnych plików) Zainfekowane moduły pamięci: (Nie wykryto groźnych plików) Zainfekowane klucze rejestru: (Nie wykryto groźnych plików) Zainfekowane wartości rejestru: (Nie wykryto groźnych plików) Zainfekowane pliki rejestru: (Nie wykryto groźnych plików) Zainfekowane foldery: (Nie wykryto groźnych plików) Zainfekowane pliki: (Nie wykryto groźnych plików)

**Posty:** 18165 · przez **wojtas** 17 Sie 2009, 19:07

czysto

Autor postu otrzymał pochwałę

**Posty:** 7 · przez **Azzed** 17 Sie 2009, 19:09

Super, dzięki za pomoc

Kto jest na forum