Logi do sprawdzenia - syf w kompie! - vundo.h

[MUTOPOMPKA]

Witam szanowną brać forumową.

Dziś w przypływie % (wypite zdeko) zachciało mi się eksperymentów z systemem a dokładniej z bezpieczeństwem. Odinstalowałem NOD32 (bo mi wywalał BSOD-y w module amon.sys) i po dokładnie 3-4min. dostałem SYF w postaci ikonki podobnej do systemowego Alertu zabezpieczeń, które co około 20s wywala
Warning! Security report
Your computer is infected! It Is recommended to start spyware cleaner tool.
I co jakichś czas odpala mi stronkę: http:// real-av.org / ?code=3
na której "nic nie ma"

Do tego oczywiście CTRL+ALT+DEL nie działa, gdyż jest wyłączone


PS. Dla pijących ostrzeżenie:
Nie bawcie się systemem po pijaku!

W załączeniu wysyłam log z OTL: -> http://wklej.org/id/126947/



Proszę o pomoc w wywaleniu syfa.

[Okocza]

MUTOPOMPKA, zastosuj sobie smitfraud fix

http://forum.programosy.pl/specjalne-narzedzia-czyszczace-vt96631.html

robisz to po zastosowaniu smitfraudfixa


radekmarek, jeśli nie znasz się na tym, nie sprawdzaj logów...

C:\WINDOWS\iun6002.exe - oprogramowanie indigo...
C:\WINDOWS\PSCONV.EXE - tego też nie kasujemy...

[wojtas]

Uruchom OTL i w oknie Custom Scans/Fixes wklej :

:OTL
PRC - C:\WINDOWS\explorer.exe (Microsoft Corporation)
O4 - HKLM..\Run: [Framework Windows] C:\WINDOWS\System32\frmwrk32.exe (Microsoft Corporation)
O4 - HKLM..\Run: [KernelFaultCheck] File not found
O4 - HKLM..\Run: [sysldtray] c:\windows\ld02.exe ()
O7 - HKCU\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\System: DisableTaskMgr = 1
O20 - Winlogon\Notify\ddcDwvVN: DllName - ddcDwvVN.dll - C:\WINDOWS\System32\ddcDwvVN.dll ()
O28 - HKLM ShellExecuteHooks: {6D794CB4-C7CD-4c6f-BFDC-9B77AFBDC02C} - C:\WINDOWS\System32\ddcDwvVN.dll ()
O32 - AutoRun File - [2001-10-26 18:12:38 | 00,000,112 | R--- | M] () - F:\autorun.inf -- [ CDFS ]

:Files
C:\WINDOWS\ld02.exe
C:\WINDOWS\System32\uniq.tll
C:\WINDOWS\System32\frmwrk32.exe
C:\WINDOWS\System32\ddcDwvVN.dll
C:\WINDOWS\inout1.dll

:Reg
[-HKEY_CURRENT_USER\software\microsoft\windows\currentversion\explorer\mountpoints2\{db1b3e60-05ac-11de-a5d3-00001cd72a97}]
[HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\Advanced]
"SuperHidden"=dword:00000001
[HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\Advanced]
"Hidden"=dword:00000001
[HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\Advanced]
"ShowSuperHidden"=dword:00000001
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Advanced\Folder\Hidden\SHOWALL]
"CheckedValue"=dword:00000001
[-HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Advanced\Folder\SuperHidden\Policy\DontShowSuperHidden]
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Advanced\Folder\SuperHidden\Policy\DontShowSuperHidden]
@=""

:Commands
[emptytemp]
[start explorer]
[Reboot]

Kliknij w Run Fix. I potwierdz reset kompa .

Następnie uruchamiasz OTL z opcją Run Scan. Pokazujesz nowy log OTL.txt oraz raport z czyszczenia kompa

[MUTOPOMPKA]

Ok.

Po zastosowaniu rad zielonego wojtasa załączam nowe logi z OTL: http://wklej.org/id/127784/

A tu pliczek extras.txt z OTL-a:

Kod: Zaznacz wszystko

OTL Extras logfile created on: 2009-07-29 18:52:19 - Run 2
OTL by OldTimer - Version 3.0.10.3     Folder = C:\Documents and Settings\SPRĘŻAREK\Pulpit
Windows XP Professional Edition Dodatek Service Pack 3 (Version = 5.1.2600) - Type = NTWorkstation
Internet Explorer (Version = 6.0.2900.5512)
Locale: 00000415 | Country: Polska | Language: PLK | Date Format: yyyy-MM-dd

767,48 Mb Total Physical Memory | 540,11 Mb Available Physical Memory | 70,37% Memory free
2,96 Gb Paging File | 2,75 Gb Available in Paging File | 93,08% Paging File free
Paging file location(s): C:\pagefile.sys 2304 2304 [binary data]

%SystemDrive% = C: | %SystemRoot% = C:\WINDOWS | %ProgramFiles% = C:\Program Files
Drive C: | 29,30 Gb Total Space | 24,97 Gb Free Space | 85,22% Space Free | Partition Type: NTFS
Drive D: | 82,51 Gb Total Space | 20,94 Gb Free Space | 25,38% Space Free | Partition Type: NTFS
E: Drive not present or media not loaded
F: Drive not present or media not loaded
G: Drive not present or media not loaded
H: Drive not present or media not loaded
I: Drive not present or media not loaded

Computer Name: MUTOPOMPKA
Current User Name: SPRĘŻAREK
Logged in as Administrator.

Current Boot Mode: Normal
Scan Mode: Current user
Company Name Whitelist: Off
Skip Microsoft Files: Off
File Age = 30 Days
Output = Standard

[color=#E56717]========== Extra Registry (SafeList) ==========[/color]


[color=#E56717]========== File Associations ==========[/color]

[HKEY_LOCAL_MACHINE\SOFTWARE\Classes\<extension>]
.html [@ = htmlfile] -- C:\Program Files\Internet Explorer\iexplore.exe (Microsoft Corporation)

[HKEY_CURRENT_USER\SOFTWARE\Classes\<extension>]
.html [@ = FirefoxHTML] -- C:\Program Files\Mozilla Firefox\firefox.exe (Mozilla Corporation)

[color=#E56717]========== Security Center Settings ==========[/color]

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Security Center]
"FirstRunDisabled" = 1
"AntiVirusDisableNotify" = 0
"FirewallDisableNotify" = 0
"UpdatesDisableNotify" = 1
"AntiVirusOverride" = 0
"FirewallOverride" = 0

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Security Center\Monitoring]

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Security Center\Monitoring\AhnlabAntiVirus]

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Security Center\Monitoring\ComputerAssociatesAntiVirus]

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Security Center\Monitoring\KasperskyAntiVirus]

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Security Center\Monitoring\McAfeeAntiVirus]

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Security Center\Monitoring\McAfeeFirewall]

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Security Center\Monitoring\PandaAntiVirus]

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Security Center\Monitoring\PandaFirewall]

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Security Center\Monitoring\SophosAntiVirus]

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Security Center\Monitoring\SymantecAntiVirus]

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Security Center\Monitoring\SymantecFirewall]

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Security Center\Monitoring\TinyFirewall]

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Security Center\Monitoring\TrendAntiVirus]

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Security Center\Monitoring\TrendFirewall]

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Security Center\Monitoring\ZoneLabsFirewall]

[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\SharedAccess\Parameters\FirewallPolicy\DomainProfile]
"EnableFirewall" = 1

[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\SharedAccess\Parameters\FirewallPolicy\StandardProfile]
"EnableFirewall" = 1
"DoNotAllowExceptions" = 0
"DisableNotifications" = 0

[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\SharedAccess\Parameters\FirewallPolicy\StandardProfile\GloballyOpenPorts\List]

[color=#E56717]========== Authorized Applications List ==========[/color]

[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\SharedAccess\Parameters\FirewallPolicy\DomainProfile\AuthorizedApplications\List]
"%windir%\Network Diagnostic\xpnetdiag.exe" = %windir%\Network Diagnostic\xpnetdiag.exe:*:Enabled:@xpsp3res.dll,-20000 -- (Microsoft Corporation)

[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\SharedAccess\Parameters\FirewallPolicy\StandardProfile\AuthorizedApplications\List]
"C:\Program Files\uTorrent\uTorrent.exe" = C:\Program Files\uTorrent\uTorrent.exe:*:Enabled:µTorrent -- (BitTorrent, Inc.)
"C:\Program Files\mIRC\mirc.exe" = C:\Program Files\mIRC\mirc.exe:*:Enabled:mIRC -- (mIRC Co. Ltd.)
"C:\Program Files\Tlen.pl\tlen.exe" = C:\Program Files\Tlen.pl\tlen.exe:*:Enabled:Komunikator Tlen.pl -- (o2.pl Sp. z o.o.)
"C:\Program Files\eMule\emule.exe" = C:\Program Files\eMule\emule.exe:*:Enabled:eMule -- (http://emulemorph.sourceforge.net)


[color=#E56717]========== HKEY_LOCAL_MACHINE Uninstall List ==========[/color]

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Uninstall]
"{238803B4-D799-4385-BB87-89AE6DAAB6E3}" = The Bat! Professional v4.1.5
"{26A24AE4-039D-4CA4-87B4-2F83216012FF}" = Java(TM) 6 Update 12
"{300A2961-B2B5-4889-9CB9-5C2A570D08AD}" = Debugging Tools for Windows (x86)
"{350C9415-3D7C-4EE8-BAA9-00BCB3D54227}" = WebFldrs XP
"{3FCAADB8-EB1B-11D6-AB2D-0090271A23A2}" = Sound Blaster Live! Web 2K/XP
"{94CFF341-2471-44E7-8439-2D12A2611D2F}" = DialNet
"7-Zip" = 7-Zip 4.65
"Adobe Flash Player Plugin" = Adobe Flash Player 10 Plugin
"Adobe Shockwave Player" = Adobe Shockwave Player 11.5
"eMule" = eMule
"HijackThis" = HijackThis 2.0.0
"HyperSnap 6" = HyperSnap 6
"mIRC" = mIRC
"Mozilla Firefox (3.5.1)" = Mozilla Firefox (3.5.1)
"NetMeter_is1" = NetMeter 1.1.3
"Nvidia Omega Drivers for Windows 2k-XPv1.5672a" = Nvidia Omega Drivers Setup Files
"TC PowerPack" = TC PowerPack 1.7
"Tlen.pl" = Tlen.pl
"WinRAR archiver" = WinRAR archiver
"xp-AntiSpy" = xp-AntiSpy 3.96-8

[color=#E56717]========== HKEY_CURRENT_USER Uninstall List ==========[/color]

[HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Uninstall]
"uTorrent" = µTorrent

[color=#E56717]========== Last 10 Event Log Errors ==========[/color]

[ Application Events ]
Error - 2009-07-25 13:30:27 | Computer Name = MUTOPOMPKA | Source = WrNetworkDriver | ID = 10
Description = Error: ::GetServiceKeyName(WrKPoET2000) failed. Error = no string.
error = 1060.

Error - 2009-07-26 16:08:57 | Computer Name = MUTOPOMPKA | Source = PPPOE | ID = 10
Description = Error: on_idle DISCOVERY_REQUEST time count.

Error - 2009-07-26 16:09:42 | Computer Name = MUTOPOMPKA | Source = PPPOE | ID = 10
Description = Error: on_idle DISCOVERY_REQUEST time count.

Error - 2009-07-26 16:10:12 | Computer Name = MUTOPOMPKA | Source = PPPOE | ID = 10
Description = Error: on_idle DISCOVERY_REQUEST time count.

Error - 2009-07-26 16:22:52 | Computer Name = MUTOPOMPKA | Source = PPPOE | ID = 10
Description = Error: on_idle DISCOVERY_REQUEST time count.

Error - 2009-07-27 18:32:57 | Computer Name = MUTOPOMPKA | Source = Application Error | ID = 1000
Description = Aplikacja powodująca błąd keygen.exe, wersja 0.0.0.0, moduł powodujący
błąd kernel32.dll, wersja 5.1.2600.5512, adres błędu 0x00012aeb.

[ System Events ]
Error - 2009-07-29 12:24:43 | Computer Name = MUTOPOMPKA | Source = Service Control Manager | ID = 7001
Description = Usługa NetBios przez TCP/IP zależy od usługi Sterownik protokołu TCP/IP,
której nie można uruchomić z powodu następującego błędu:   %%31

Error - 2009-07-29 12:24:43 | Computer Name = MUTOPOMPKA | Source = Service Control Manager | ID = 7001
Description = Usługa Klient DHCP zależy od usługi NetBios przez TCP/IP, której nie
można uruchomić z powodu następującego błędu:   %%1068

Error - 2009-07-29 12:24:43 | Computer Name = MUTOPOMPKA | Source = Service Control Manager | ID = 7001
Description = Usługa Klient DNS zależy od usługi Sterownik protokołu TCP/IP, której
nie można uruchomić z powodu następującego błędu:   %%31

Error - 2009-07-29 12:24:43 | Computer Name = MUTOPOMPKA | Source = Service Control Manager | ID = 7001
Description = Usługa Pomoc TCP/IP NetBIOS zależy od usługi AFD, której nie można
uruchomić z powodu następującego błędu:   %%31

Error - 2009-07-29 12:24:43 | Computer Name = MUTOPOMPKA | Source = Service Control Manager | ID = 7001
Description = Usługa Usługi IPSEC zależy od usługi Sterownik IPSEC, której nie można
uruchomić z powodu następującego błędu:   %%31

Error - 2009-07-29 12:24:43 | Computer Name = MUTOPOMPKA | Source = Service Control Manager | ID = 7026
Description = Nie można załadować następujących sterowników startu rozruchowego
lub systemowego:   AFD  Fips  IPSec  MRxSmb  NetBIOS  Processor  RasAcd  Rdbss  Tcpip

Error - 2009-07-29 12:24:56 | Computer Name = MUTOPOMPKA | Source = DCOM | ID = 10005
Description = Model DCOM odebrał błąd „%1084” podczas próby uruchomienia usługi
MSIServer z argumentami „”  w celu uruchomienia serwera:  {000C101C-0000-0000-C000-000000000046}

Error - 2009-07-29 12:33:16 | Computer Name = MUTOPOMPKA | Source = DCOM | ID = 10005
Description = Model DCOM odebrał błąd „%1084” podczas próby uruchomienia usługi
netman z argumentami „”  w celu uruchomienia serwera:  {BA126AE5-2166-11D1-B1D0-00805FC1270E}

Error - 2009-07-29 12:34:03 | Computer Name = MUTOPOMPKA | Source = DCOM | ID = 10005
Description = Model DCOM odebrał błąd „%1084” podczas próby uruchomienia usługi
EventSystem z argumentami „”  w celu uruchomienia serwera:  {1BE1F766-5536-11D1-B726-00C04FB926AF}

Error - 2009-07-29 12:45:53 | Computer Name = MUTOPOMPKA | Source = Service Control Manager | ID = 7034
Description = Usługa Java Quick Starter niespodziewanie zakończyła pracę. Wystąpiło
to razy: 1.


< End of report >


[wojtas]

Pobierz i uruchom narzędzie
The Avenger
Wklej do okienka programu

Files to delete:

C:\WINDOWS\System32\uniq.tll
C:\WINDOWS\System32\frmwrk32.exe
C:\WINDOWS\System32\ddcDwvVN.dll
C:\WINDOWS\inout1.dll

Klikasz Execute,

wklejasz na forum raport: C:\avenger.txt + log z OTL

[MUTOPOMPKA]

Wielkie dzięki. Już wsio jest ok. Wywaliło syf cały. A syfem, który złapałem był: Vundo.H