Naleciałości po usuwaniu backdoora yubihimo.dll

**Posty:** 6 · przez **sz2804** 26 Sty 2009, 16:30

Witam!
Mam problem ze zrobieniem porządku po backdoorze podanym w temacie.
Aplikacja była tak wredna, że blokowała wszystkie antyviry, blokowała instalacje, blokowała nawet strony, które zawierały słowa jakiekolwiek związane z wirusami, infekowała wszystko. Jedyne co pomogło na bolączkę to programik RegRun 5, który pozbył się tych problemów. Nie jestem jednak w stanie usunąć pliku yubihimo.dll, który jest listą dll'i do wstrzyknięcia (przy okazji ten backdoor jest powiązany z rootkitem i downloaderem). Pliku nie mogłem usunąć ani w trybie awaryjnym, ani w linii komend, ani z naprawy systemu, ani w ubuntu (zawsze to samo: brak dostępu).
Obecnie jest to poddawane w kwarantannę, za każdym razem kiedy wstaje winda, przez program RegRun. De facto, tego pliku właściwie nie ma, ale z jakiegoś powodu program zawsze go znajduje. Nod32 wykrywa mi działalność robaka w obrębie folderów:
C:\Documents and Settings\NetworkService\Ustawienia lokalne i tutaj odpowiednio w temp, TemporaryInternetFiles i historia
foldery te wypełnione są danymi typu Content.IE5. Wydaje mi się, że tego nie powinno tu być, tak jak i innych userów, które mi się pojawiły:
LocalService.ZARZĄDZANIE NT (i inne pochodne ze słowem "ZARZĄDZANIE"). Mogę się mylić, ale wydaje mi się, że tych userów nie było.
Podejrzaną działalność widzi nod32 niekiedy po odpaleniu firefoxa, który był usuwany przeze mnie wraz z czyszczeniem wszelkich powiązań.
Mimo, iż z yubihimo.dll combofix nie dawał sobie rady to zamieszczam logi z niego i z hiJackThis.
Proszę o pomoc

.
ComboFix

Kod: Zaznacz wszystko: ComboFix 09-01-21.04 - regaliński 2009-01-26 14:36:06.13 - NTFSx86 Microsoft Windows XP Professional 5.1.2600.2.1250.1.1045.18.1023.561 [GMT 1:00] Uruchomiony z: c:\documents and settings\regaliński.REG\Pulpit\ComboFix.exe AV: ESET NOD32 Antivirus 3.0 *On-access scanning disabled* (Updated) * Utworzono nowy punkt przywracania UWAGA - TEN KOMPUTER NIE MA ZAINSTALOWANEJ KONSOLI ODZYSKIWANIA !! . ((((((((((((((((((((((((((((((((((((((( Usunięto ))))))))))))))))))))))))))))))))))))))))))))))))) . c:\windows\system32\jrfsumwh.dll c:\windows\Tasks\dysbgruj.job . ((((((((((((((((((((((((( Pliki utworzone od 2008-12-26 do 2009-01-26 ))))))))))))))))))))))))))))))) . 2009-01-26 13:59 . 2009-01-26 13:59 4,380 --a------ c:\windows\system32\x 2009-01-25 21:03 . 2009-01-25 21:03 <DIR> d-------- c:\windows\system32\Kaspersky Lab 2009-01-25 21:03 . 2009-01-25 21:03 <DIR> d-------- c:\documents and settings\All Users.WINDOWS\Dane aplikacji\Kaspersky Lab 2009-01-19 01:19 . 2009-01-19 01:19 0 --a------ c:\windows\nsreg.dat 2009-01-14 02:24 . 2009-01-14 02:24 123 --a------ c:\windows\rootkitno.ini 2009-01-14 01:49 . 2009-01-25 21:09 159,681 --a------ c:\windows\Marsu-Fix 2.5 Uninstaller.exe 2009-01-14 01:45 . 2009-01-14 01:45 <DIR> d-------- c:\documents and settings\All Users.WINDOWS\Dane aplikacji\ESET 2009-01-14 01:30 . 2009-01-14 02:08 163,872 --ahs---- c:\windows\system32\drivers\fidbox.dat 2009-01-14 01:30 . 2009-01-14 02:08 7,172 --ahs---- c:\windows\system32\drivers\fidbox.idx 2009-01-14 01:30 . 2009-01-14 02:08 5,408 --ahs---- c:\windows\system32\drivers\fidbox2.dat 2009-01-14 01:30 . 2009-01-14 02:08 2,600 --ahs---- c:\windows\system32\drivers\fidbox2.idx 2009-01-14 00:55 . 2005-04-03 14:02 8,944 --a------ c:\windows\system32\drivers\UnHackMeDrv.sys 2009-01-14 00:45 . 2009-01-14 00:45 30,946 --a------ c:\windows\system32\drivers\Partizan.sys 2009-01-14 00:45 . 2009-01-26 14:23 25,773 --a------ c:\windows\system32\drivers\regguard.sys 2009-01-14 00:45 . 2009-01-14 00:45 25,088 --a------ c:\windows\system32\Partizan.exe 2009-01-14 00:45 . 2009-01-14 00:45 (2) -rahs-ot- c:\windows\winstart.bat 2009-01-14 00:43 . 2009-01-14 00:43 <DIR> d-------- c:\program files\Greatis 2009-01-14 00:43 . 2008-02-13 11:41 441,856 --a------ c:\windows\RunGuard.exe 2009-01-14 00:43 . 2003-09-06 15:55 57,556 --a------ c:\windows\guard.bmp 2009-01-14 00:43 . 2000-12-12 19:56 16,384 --a------ c:\windows\WinBait.org 2009-01-14 00:43 . 2000-12-12 19:56 16,384 --a------ c:\windows\WinBait.exe 2009-01-13 23:14 . 2009-01-20 22:44 <DIR> d-------- c:\program files\ext it 2009-01-13 22:26 . 2009-01-26 14:40 <DIR> d--h----- c:\documents and settings\Administrator\Ustawienia lokalne 2009-01-13 22:26 . 2008-03-01 23:02 <DIR> d-------- c:\documents and settings\Administrator\Ulubione 2009-01-13 22:26 . 2008-03-01 22:15 <DIR> d--h----- c:\documents and settings\Administrator\Szablony 2009-01-13 22:26 . 2008-03-01 23:02 <DIR> d-------- c:\documents and settings\Administrator\Pulpit 2009-01-13 22:26 . 2009-01-14 02:09 <DIR> d-------- c:\documents and settings\Administrator\Moje dokumenty 2009-01-13 22:26 . 2008-03-01 23:02 <DIR> dr------- c:\documents and settings\Administrator\Menu Start 2009-01-13 22:26 . 2008-03-01 23:02 <DIR> dr-h----- c:\documents and settings\Administrator\Dane aplikacji 2009-01-13 22:26 . 2009-01-13 22:26 <DIR> d-------- c:\documents and settings\Administrator 2009-01-13 14:03 . 2009-01-13 14:03 7,168 --ah----- c:\windows\system32\winlogon.suo 2009-01-13 14:03 . 2009-01-13 14:03 610 --a------ c:\windows\system32\winlogon.sln 2009-01-13 13:57 . 2001-08-17 22:47 2,944 --a------ c:\windows\system32\drivers\OLD5.tmp 2009-01-13 00:52 . 2009-01-13 18:47 39,936 --a------ c:\windows\system32\_5c302009803f9ca480f610d574863772.sys_.vir 2009-01-13 00:29 . 2009-01-13 00:29 39,936 --a------ c:\windows\system32\5C302009803F9CA480F610D574863772.SYS.del 2009-01-12 23:17 . 2008-12-26 00:08 206,755 --a------ c:\windows\system32\nvapps.nvb 2009-01-12 22:36 . 2009-01-13 18:27 <DIR> d----c--- c:\windows\system32\DRVSTORE 2009-01-12 14:53 . 2009-01-12 14:53 <DIR> d-------- c:\documents and settings\regaliński.REG\Dane aplikacji\Leadertech 2009-01-05 22:54 . 2009-01-07 02:18 <DIR> d-------- c:\program files\Damian Pasternak 2009-01-02 22:54 . 2009-01-02 22:54 582,794 --a------ c:\windows\system32\dtnjtjod.lxj . (((((((((((((((((((((((((((((((((((((((( Sekcja Find3M )))))))))))))))))))))))))))))))))))))))))))))))))))) . 2009-01-26 13:41 --------- d-----w c:\program files\cFosSpeed 2009-01-26 12:51 --------- d-----w c:\documents and settings\regaliński.REG\Dane aplikacji\uTorrent 2009-01-23 16:44 --------- d-----w c:\program files\TeamViewer3 2009-01-23 02:36 --------- d-----w c:\documents and settings\regaliński.REG\Dane aplikacji\Skype 2009-01-13 15:16 --------- d-----w c:\documents and settings\All Users.WINDOWS\Dane aplikacji\Kaspersky Lab Setup Files 2009-01-12 23:21 --------- d--h--w c:\program files\InstallShield Installation Information 2009-01-12 23:12 22,328 ----a-w c:\documents and settings\regaliński.REG\Dane aplikacji\PnkBstrK.sys 2009-01-05 21:31 --------- d-----w c:\program files\NAPI-PROJEKT 2008-12-23 20:58 453,152 ----a-w c:\windows\system32\NVUNINST.EXE 2008-11-03 14:50 8,192 ----a-w c:\windows\system32\AmDriver.sys 2008-11-03 14:50 32,768 ----a-w c:\windows\system32\AmDriver.dll 2008-03-07 01:09 215 ----a-w c:\documents and settings\regaliński.REG\hsqlprefs.dat 2008-03-07 01:09 215 ----a-w c:\documents and settings\regaliński.REG\hsqlprefs.dat 2009-01-12 23:32 66,576 ----a-w c:\program files\mozilla firefox\components\bfdbbbbefffec.dll 2008-06-01 16:08 63,100 --sha-w c:\windows\system32\fedoniko.dll . ((((((((((((((((((((((((((((((((((((( Wpisy startowe rejestru )))))))))))))))))))))))))))))))))))))))))))))))))) . . *Uwaga* puste wpisy oraz domyślne, prawidłowe wpisy nie są pokazane REGEDIT4 [HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] "Gadu-Gadu"="c:\program files\Gadu-Gadu\gg.exe" [2004-09-28 774144] "ctfmon.exe"="c:\windows\system32\ctfmon.exe" [2004-08-03 15360] "LogitechSoftwareUpdate"="c:\program files\Logitech\Video\ManifestEngine.exe" [2005-06-08 196608] "Regrun2"="c:\progra~1\Greatis\REGRUN~1\WatchDog.exe" [2008-02-13 356864] [HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\RunOnce] "UnHackMe"="c:\progra~1\Greatis\REGRUN~1\UnHackMe.exe" [2008-02-13 1023488] [HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] "KernelFaultCheck"="c:\windows\system32\dumprep 0 -k" [X] "Adobe Reader Speed Launcher"="c:\program files\Adobe\Reader 8.0\Reader\Reader_sl.exe" [2008-01-11 39792] "DAEMON Tools-1033"="c:\program files\D-Tools\daemon.exe" [2003-10-02 81920] "iKeyWorks"="c:\progra~1\A4Tech\Keyboard\Ikeymain.exe" [2006-04-09 61440] "NvCplDaemon"="c:\windows\system32\NvCpl.dll" [2008-12-26 13680640] "LVCOMSX"="c:\windows\system32\LVCOMSX.EXE" [2005-07-19 221184] "LogitechVideoRepair"="c:\program files\Logitech\Video\ISStart.exe" [2005-06-08 458752] "LogitechVideoTray"="c:\program files\Logitech\Video\LogiTray.exe" [2005-06-08 217088] "NeroCheck"="c:\windows\system32\NeroCheck.exe" [2001-07-09 155648] "googletalk"="c:\program files\Google\Google Talk\googletalk.exe" [2007-01-01 3739648] "CTSysVol"="c:\program files\Creative\SBAudigy\Surround Mixer\CTSysVol.exe" [2005-10-31 57344] "SunJavaUpdateSched"="c:\program files\Java\jre1.6.0_05\bin\jusched.exe" [2008-02-22 144784] "QuickTime Task"="c:\program files\QuickTime\qttask.exe" [2008-09-08 413696] "cFosSpeed"="c:\program files\cFosSpeed\cFosSpeed.exe" [2007-10-29 850896] "NvMediaCenter"="c:\windows\system32\NvMcTray.dll" [2008-12-26 86016] "RegRun WinBait"="c:\windows\winbait.exe" [2000-12-12 16384] "@RegRunOnSecure"="c:\progra~1\Greatis\REGRUN~1\OnSecure.exe" [2003-01-22 57856] "nwiz"="nwiz.exe" [2008-12-26 c:\windows\system32\nwiz.exe] "P17Helper"="P17.dll" [2005-05-03 c:\windows\system32\P17.dll] [HKEY_LOCAL_MACHINE\software\microsoft\windows nt\currentversion\windows] "LoadAppInit_DLLs"=1 (0x1) "AppInit_DLLs"=c:\windows\system32\yubihimo.dll [HKEY_LOCAL_MACHINE\software\microsoft\windows nt\currentversion\drivers32] "msacm.ac3filter"= ac3filter.acm "MSACM.CEGSM"= mobilev.acm [HKEY_LOCAL_MACHINE\system\currentcontrolset\control\session manager] BootExecute REG_MULTI_SZ autocheck autochk *\[u]0[/u]Partizan\[u]0[/u] [HKEY_LOCAL_MACHINE\software\microsoft\security center] "AntiVirusDisableNotify"=dword:00000001 "UpdatesDisableNotify"=dword:00000001 [HKLM\~\services\sharedaccess\parameters\firewallpolicy\standardprofile\AuthorizedApplications\List] "%windir%\\system32\\sessmgr.exe"= "c:\\program files\\Gadu-Gadu\\gg.exe"= "c:\\Documents and Settings\\All Users.WINDOWS\\Dane aplikacji\\Kaspersky Lab Setup Files\\Kaspersky Anti-Virus 7.0.1.321\\English\\setup.exe"= "c:\\WINDOWS\\system32\\java.exe"= "c:\\program files\\eclipse\\eclipse.exe"= "c:\\program files\\totalcmd\\TOTALCMD.EXE"= "c:\\program files\\Bonjour\\mDNSResponder.exe"= "d:\\program files\\Valve\\hl.exe"= "c:\\program files\\uTorrent\\uTorrent.exe"= "c:\\program files\\Opera\\Opera.exe"= "c:\\program files\\Google\\Google Talk\\googletalk.exe"= "c:\\program files\\wamp\\bin\\apache\\apache2.2.8\\bin\\httpd.exe"= "d:\\program files\\Valve\\hlds.exe"= "c:\\program files\\TeamViewer3\\TeamViewer.exe"= "d:\\program files\\Activision\\Call of Duty 4 - Modern Warfare\\iw3mp.exe"= "d:\\Half-Life 2 The Orange Box [Krayzie-N-Bone]\\Half-Life 2\\Half-Life 2\\hl2.exe"= "d:\\program files\\Autodesk\\Backburner\\monitor.exe"= "d:\\program files\\Autodesk\\Backburner\\manager.exe"= "d:\\program files\\Autodesk\\Backburner\\server.exe"= "d:\\program files\\Autodesk\\3ds Max 2009\\3dsmax.exe"= "e:\\GRY\\cs-majlo\\hlds.exe"= "d:\\HLDS\\hlds.exe"= "c:\\program files\\cFosSpeed\\spd.exe"= "e:\\GRY\\cs-majlo\\hl.exe"= "c:\\program files\\Logitech\\Video\\AlbumDB2.exe"= "c:\\WINDOWS\\system32\\nvsvc32.exe"= "c:\\program files\\Skype\\Phone\\Skype.exe"= [HKLM\~\services\sharedaccess\parameters\firewallpolicy\standardprofile\GloballyOpenPorts\List] "3389:TCP"= 3389:TCP:@xpsp2res.dll,-22009 "27015:UDP"= 27015:UDP:cs "25020:UDP"= 25020:UDP:cs "2329:TCP"= 2329:TCP:WWW [HKLM\~\services\sharedaccess\parameters\firewallpolicy\standardprofile\IcmpSettings] "AllowInboundTimestampRequest"= 1 (0x1) "AllowInboundMaskRequest"= 1 (0x1) "AllowInboundRouterRequest"= 1 (0x1) "AllowOutboundDestinationUnreachable"= 1 (0x1) "AllowOutboundSourceQuench"= 1 (0x1) "AllowOutboundParameterProblem"= 1 (0x1) "AllowOutboundTimeExceeded"= 1 (0x1) "AllowRedirect"= 1 (0x1) "AllowOutboundPacketTooBig"= 1 (0x1) R0 pnpshark;pnpshark;c:\windows\system32\drivers\pnpshark.sys [2003-10-02 119552] R0 st3shark;st3shark;c:\windows\system32\drivers\st3shark.sys [2003-09-27 5504] R1 epfwtdir;epfwtdir;c:\windows\system32\drivers\epfwtdir.sys [2008-07-01 34312] R3 regguard;RegGuard;c:\windows\system32\drivers\regguard.sys [2009-01-14 25773] R4 ekrn;Eset Service;e:\program files\ESET\ESET NOD32 Antivirus\ekrn.exe [2008-07-01 468224] R4 mi-raysat_3dsMax2009_32;mental ray 3.6 Satellite for Autodesk 3ds Max Design 2009 32-bit 32-bit;d:\program files\Autodesk\3ds Max 2009\mentalray\satellite\raysat_3dsMax2009_32server.exe [2008-03-09 65536] R4 MsDtsServer;SQL Server Integration Services;c:\program files\Microsoft SQL Server\90\DTS\Binn\MsDtsSrvr.exe [2005-10-14 199384] R4 TeamViewer;TeamViewer 3;c:\program files\TeamViewer3\TeamViewer_Host.exe [2008-05-15 181544] S0 partizan;Partizan;c:\windows\system32\drivers\Partizan.sys [2009-01-14 30946] S3 AmDriver;AmDriver;c:\windows\system32\AmDriver.sys [2008-11-19 8192] S3 teamviewervpn;TeamViewer VPN Adapter;c:\windows\system32\drivers\teamviewervpn.sys [2008-01-25 25088] S4 avuiks;avuiks;c:\windows\system32\svchost.exe -k netsvcs [2004-08-03 14336] S4 klvqf;klvqf;c:\windows\system32\svchost.exe -k netsvcs [2004-08-03 14336] S4 msvsmon80;Visual Studio 2005 Remote Debugger;c:\program files\Microsoft Visual Studio 8\Common7\IDE\Remote Debugger\x86\msvsmon.exe [2005-09-23 2799808] S4 OracleOracleHomeTNSListener;OracleOracleHomeTNSListener;d:\oracle\BIN\TNSLSNR --> d:\oracle\BIN\TNSLSNR [?] S4 OracleServiceADMIN;OracleServiceADMIN;d:\oracle\bin\ORACLE.EXE ADMIN --> d:\oracle\bin\ORACLE.EXE ADMIN [?] --- Inne Usługi/Sterowniki w Pamięci --- *Deregistered* - UnHackMeDrv HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Svchost - NetSvcs avuiks ydcrnym klvqf . - - - - USUNIĘTO PUSTE WPISY - - - - HKLM-Run-combofix - c:\windows\system32\CF1119.exe . ------- Skan uzupełniający ------- . uStart Page = about:blank uInternet Settings,ProxyOverride = *.local IE: E&ksport do programu Microsoft Excel - d:\progra~1\MICROS~1\OFFICE11\EXCEL.EXE/3000 IE: E&ksportuj do programu Microsoft Excel - c:\progra~1\MICROS~2\Office12\EXCEL.EXE/3000 DPF: {1E53EA77-34F2-474E-9046-B2B0C86F1821} - hxxp://www.eska.pl/streamplayers/OggX.ocx DPF: {68282C51-9459-467B-95BF-3C0E89627E55} - hxxp://www.mks.com.pl/skaner/SkanerOnline.cab FF - ProfilePath - c:\documents and settings\regaliński.REG\Dane aplikacji\Mozilla\Firefox\Profiles\zotk9ols.default\ FF - prefs.js: browser.startup.homepage - www.google.pl FF - component: c:\program files\Mozilla Firefox\components\bfdbbbbefffec.dll FF - plugin: c:\program files\Mozilla Firefox\plugins\np-mswmp.dll FF - plugin: c:\program files\Mozilla Firefox\plugins\npqtplugin8.dll FF - plugin: c:\program files\QuickTime\Plugins\npqtplugin8.dll . ************************************************************************** catchme 0.3.1367 W2K/XP/Vista - rootkit/stealth malware detector by Gmer, http://www.gmer.net Rootkit scan 2009-01-26 14:41:05 Windows 5.1.2600 Dodatek Service Pack 2 NTFS skanowanie ukrytych procesów ... skanowanie ukrytych wpisów autostartu ... skanowanie ukrytych plików ... ************************************************************************** [HKEY_LOCAL_MACHINE\System\ControlSet001\Services\msftesql] "ImagePath"="\"c:\program files\Microsoft SQL Server\MSSQL.1\MSSQL\Binn\msftesql.exe\" -s:MSSQL.1 -f:MSSQLSERVER" [HKEY_LOCAL_MACHINE\System\ControlSet001\Services\OracleOracleHomeTNSListener] "ImagePath"="d:\oracle\BIN\TNSLSNR " . Czas ukończenia: 2009-01-26 14:45:37 ComboFix-quarantined-files.txt 2009-01-26 13:44:17 Przed: 10,068,779,008 bajtów wolnych Po: 10,711,982,080 bajtów wolnych 217

HiJackThis

Kod: Zaznacz wszystko: Logfile of Trend Micro HijackThis v2.0.2 Scan saved at 15:12:45, on 2009-01-26 Platform: Windows XP Dodatek SP2 (WinNT 5.01.2600) MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180) Boot mode: Normal Running processes: C:\WINDOWS\System32\smss.exe C:\WINDOWS\system32\winlogon.exe C:\WINDOWS\system32\services.exe C:\WINDOWS\system32\lsass.exe C:\WINDOWS\system32\svchost.exe C:\WINDOWS\System32\svchost.exe C:\WINDOWS\system32\spoolsv.exe C:\Program Files\Common Files\Autodesk Shared\Service\AdskScSrv.exe C:\Program Files\Bonjour\mDNSResponder.exe C:\Program Files\cFosSpeed\spd.exe C:\WINDOWS\system32\CTsvcCDA.exe E:\Program Files\ESET\ESET NOD32 Antivirus\ekrn.exe D:\Program Files\Autodesk\3ds Max 2009\mentalray\satellite\raysat_3dsMax2009_32server.exe C:\Program Files\Microsoft SQL Server\MSSQL.1\MSSQL\Binn\sqlservr.exe C:\Program Files\Microsoft SQL Server\MSSQL.2\OLAP\bin\msmdsrv.exe C:\WINDOWS\system32\nvsvc32.exe C:\WINDOWS\system32\svchost.exe C:\Program Files\TeamViewer3\TeamViewer_Host.exe C:\Program Files\Microsoft SQL Server\MSSQL.1\MSSQL\Binn\msftesql.exe C:\program files\TeamViewer3\TeamViewer.exe C:\WINDOWS\System32\svchost.exe C:\Program Files\D-Tools\daemon.exe C:\PROGRA~1\A4Tech\Keyboard\Ikeymain.exe C:\WINDOWS\system32\LVCOMSX.EXE C:\program files\Logitech\Video\LogiTray.exe C:\Program Files\Google\Google Talk\googletalk.exe C:\program files\Creative\SBAudigy\Surround Mixer\CTSysVol.exe C:\Program Files\Java\jre1.6.0_05\bin\jusched.exe C:\Program Files\cFosSpeed\cFosSpeed.exe C:\program files\Gadu-Gadu\gg.exe C:\WINDOWS\system32\ctfmon.exe C:\program files\Logitech\Video\FxSvr2.exe C:\WINDOWS\system32\CF15541.exe E:\Program Files\ESET\ESET NOD32 Antivirus\egui.exe C:\WINDOWS\explorer.exe C:\WINDOWS\system32\notepad.exe C:\WINDOWS\regedit.exe C:\Documents and Settings\regaliński.REG\Pulpit\HiJackThis.exe R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = about:blank R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://go.microsoft.com/fwlink/?LinkId=69157 R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://go.microsoft.com/fwlink/?LinkId=54896 R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = http://go.microsoft.com/fwlink/?LinkId=54896 R1 - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings,ProxyOverride = *.local R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Łącza O2 - BHO: SSVHelper Class - {761497BB-D6F0-462C-B6EB-D4DAF1D92D43} - C:\Program Files\Java\jre1.6.0_05\bin\ssv.dll O4 - HKLM\..\Run: [Adobe Reader Speed Launcher] "C:\Program Files\Adobe\Reader 8.0\Reader\Reader_sl.exe" O4 - HKLM\..\Run: [DAEMON Tools-1033] "C:\Program Files\D-Tools\daemon.exe" -lang 1033 O4 - HKLM\..\Run: [iKeyWorks] C:\PROGRA~1\A4Tech\Keyboard\Ikeymain.exe O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\system32\NvCpl.dll,NvStartup O4 - HKLM\..\Run: [nwiz] nwiz.exe /install O4 - HKLM\..\Run: [LVCOMSX] C:\WINDOWS\system32\LVCOMSX.EXE O4 - HKLM\..\Run: [LogitechVideoRepair] C:\program files\Logitech\Video\ISStart.exe O4 - HKLM\..\Run: [LogitechVideoTray] C:\program files\Logitech\Video\LogiTray.exe O4 - HKLM\..\Run: [NeroCheck] C:\WINDOWS\system32\NeroCheck.exe O4 - HKLM\..\Run: [googletalk] C:\Program Files\Google\Google Talk\googletalk.exe /autostart O4 - HKLM\..\Run: [CTSysVol] C:\program files\Creative\SBAudigy\Surround Mixer\CTSysVol.exe /r O4 - HKLM\..\Run: [P17Helper] Rundll32 P17.dll,P17Helper O4 - HKLM\..\Run: [SunJavaUpdateSched] "C:\Program Files\Java\jre1.6.0_05\bin\jusched.exe" O4 - HKLM\..\Run: [QuickTime Task] "C:\program files\QuickTime\qttask.exe" -atboottime O4 - HKLM\..\Run: [cFosSpeed] C:\Program Files\cFosSpeed\cFosSpeed.exe O4 - HKLM\..\Run: [NvMediaCenter] RUNDLL32.EXE C:\WINDOWS\system32\NvMcTray.dll,NvTaskbarInit O4 - HKLM\..\Run: [RegRun WinBait] C:\WINDOWS\winbait.exe O4 - HKLM\..\Run: [@RegRunOnSecure] C:\PROGRA~1\Greatis\REGRUN~1\OnSecure.exe O4 - HKLM\..\Run: [KernelFaultCheck] %systemroot%\system32\dumprep 0 -k O4 - HKLM\..\Run: [combofix] C:\WINDOWS\system32\CF1119.exe /c C:\ComboFix\Combobatch.bat O4 - HKCU\..\Run: [Gadu-Gadu] "C:\program files\Gadu-Gadu\gg.exe" /tray O4 - HKCU\..\Run: [ctfmon.exe] C:\WINDOWS\system32\ctfmon.exe O4 - HKCU\..\Run: [LogitechSoftwareUpdate] "C:\program files\Logitech\Video\ManifestEngine.exe" boot O4 - HKCU\..\Run: [Regrun2] C:\PROGRA~1\Greatis\REGRUN~1\WatchDog.exe O4 - HKCU\..\RunOnce: [UnHackMe] C:\PROGRA~1\Greatis\REGRUN~1\UnHackMe.exe O8 - Extra context menu item: E&ksport do programu Microsoft Excel - res://D:\PROGRA~1\MICROS~1\OFFICE11\EXCEL.EXE/3000 O8 - Extra context menu item: E&ksportuj do programu Microsoft Excel - res://C:\PROGRA~1\MICROS~2\Office12\EXCEL.EXE/3000 O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\jre1.6.0_05\bin\ssv.dll O9 - Extra 'Tools' menuitem: Sun Java Console - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\jre1.6.0_05\bin\ssv.dll O9 - Extra button: Badanie - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - D:\PROGRA~1\MICROS~1\OFFICE11\REFIEBAR.DLL O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe O16 - DPF: {0EB0E74A-2A76-4AB3-A7FB-9BD8C29F7F75} (CKAVWebScan Object) - http://www.kaspersky.pl/resources/virusscanner/kavwebscan_unicode.cab O16 - DPF: {1E53EA77-34F2-474E-9046-B2B0C86F1821} (OggX Control) - http://www.eska.pl/streamplayers/OggX.ocx O16 - DPF: {68282C51-9459-467B-95BF-3C0E89627E55} (MksSkanerOnline Class) - http://www.mks.com.pl/skaner/SkanerOnline.cab O16 - DPF: {F6ACF75C-C32C-447B-9BEF-46B766368D29} (Creative Software AutoUpdate Support Package) - http://www.creative.com/softwareupdate/su2/ocx/15035/CTPID.cab O20 - AppInit_DLLs: C:\WINDOWS\system32\yubihimo.dll O23 - Service: Autodesk Licensing Service - Autodesk - C:\Program Files\Common Files\Autodesk Shared\Service\AdskScSrv.exe O23 - Service: ##Id_String1.6844F930_1628_4223_B5CC_5BB94B879762## (Bonjour Service) - Apple Computer, Inc. - C:\Program Files\Bonjour\mDNSResponder.exe O23 - Service: cFosSpeed System Service (cFosSpeedS) - cFos Software GmbH - C:\Program Files\cFosSpeed\spd.exe O23 - Service: Creative Service for CDROM Access - Creative Technology Ltd - C:\WINDOWS\system32\CTsvcCDA.exe O23 - Service: Eset HTTP Server (EhttpSrv) - ESET - E:\Program Files\ESET\ESET NOD32 Antivirus\EHttpSrv.exe O23 - Service: Eset Service (ekrn) - ESET - E:\Program Files\ESET\ESET NOD32 Antivirus\ekrn.exe O23 - Service: FLEXnet Licensing Service - Macrovision Europe Ltd. - C:\Program Files\Common Files\Macrovision Shared\FLEXnet Publisher\FNPLicensingService.exe O23 - Service: mental ray 3.6 Satellite for Autodesk 3ds Max Design 2009 32-bit 32-bit (mi-raysat_3dsMax2009_32) - Unknown owner - D:\Program Files\Autodesk\3ds Max 2009\mentalray\satellite\raysat_3dsMax2009_32server.exe O23 - Service: NVIDIA Display Driver Service (NVSvc) - NVIDIA Corporation - C:\WINDOWS\system32\nvsvc32.exe O23 - Service: OracleOracleHomeTNSListener - Unknown owner - D:\Oracle\BIN\TNSLSNR.exe O23 - Service: OracleServiceADMIN - Oracle Corporation - d:\oracle\bin\ORACLE.EXE O23 - Service: TeamViewer 3 (TeamViewer) - TeamViewer GmbH - C:\Program Files\TeamViewer3\TeamViewer_Host.exe O23 - Service: wampapache - Apache Software Foundation - c:\program files\wamp\bin\apache\apache2.2.8\bin\httpd.exe O23 - Service: wampmysqld - Unknown owner - c:\program files\wamp\bin\mysql\mysql5.0.51b\bin\mysqld-nt.exe -- End of file - 7773 bytes

**Posty:** 18165 · przez **wojtas** 26 Sty 2009, 17:15

te plik/i :

c:\windows\system32\winlogon.sln

przesaknuj tu

http://virusscan.jotti.org/
http://www.virustotal.com/

i daj raporty ze skanow

Otworz notatnik i wklej w nim to:

File::
c:\windows\system32\x
c:\windows\system32\drivers\OLD5.tmp
c:\windows\system32\_5c302009803f9ca480f610d574863772.sys_.vir
c:\windows\system32\5C302009803F9CA480F610D574863772.SYS.del
c:\windows\system32\dtnjtjod.lxj
c:\windows\system32\fedoniko.dll

>>Plik>>Zapisz jako... >>> CFScript
Przeciągnij i upuść plik CFScript.txt na plik ComboFix.exe
-->

Ma się rozpocząć usuwanie. (i powstanie log).Daj ten log, który powstanie w trakcie usuwania.

**Posty:** 6 · przez **sz2804** 26 Sty 2009, 19:42

Winlogon jest czysty.

Kod: Zaznacz wszystko: A-Squared Found nothing AntiVir Found nothing ArcaVir Found nothing Avast Found nothing AVG Antivirus Found nothing BitDefender Found nothing ClamAV Found nothing CPsecure Found nothing Dr.Web Found nothing F-Prot Antivirus Found nothing F-Secure Anti-Virus Found nothing G DATA Found nothing Ikarus Found nothing Kaspersky Anti-Virus Found nothing NOD32 Found nothing Norman Virus Control Found nothing Panda Antivirus Found nothing Sophos Antivirus Found nothing VirusBuster Found nothing VBA32 Found nothing

Kod: Zaznacz wszystko: a-squared 4.0.0.73 2009.01.26 - AhnLab-V3 5.0.0.2 2009.01.26 - AntiVir 7.9.0.60 2009.01.26 - Authentium 5.1.0.4 2009.01.26 - Avast 4.8.1281.0 2009.01.26 - AVG 8.0.0.229 2009.01.26 - BitDefender 7.2 2009.01.26 - CAT-QuickHeal 10.00 2009.01.24 - ClamAV 0.94.1 2009.01.26 - Comodo 947 2009.01.26 - DrWeb 4.44.0.09170 2009.01.26 - eSafe 7.0.17.0 2009.01.26 - eTrust-Vet 31.6.6325 2009.01.24 - F-Prot 4.4.4.56 2009.01.26 - F-Secure 8.0.14470.0 2009.01.26 - Fortinet 3.117.0.0 2009.01.25 - GData 19 2009.01.26 - Ikarus T3.1.1.45.0 2009.01.26 - K7AntiVirus 7.10.606 2009.01.26 - Kaspersky 7.0.0.125 2009.01.26 - McAfee 5506 2009.01.25 - McAfee+Artemis 5506 2009.01.25 - Microsoft 1.4205 2009.01.26 - NOD32 3801 2009.01.26 - Norman 5.93.01 2009.01.26 - nProtect 2009.1.8.0 2009.01.26 - Panda 9.5.1.2 2009.01.26 - PCTools 4.4.2.0 2009.01.26 - Prevx1 V2 2009.01.26 - Rising 21.13.42.00 2009.01.23 - SecureWeb-Gateway 6.7.6 2009.01.26 - Sophos 4.37.0 2009.01.26 - Sunbelt 3.2.1835.2 2009.01.16 - Symantec 10 2009.01.26 - TheHacker 6.3.1.5.229 2009.01.26 - TrendMicro 8.700.0.1004 2009.01.26 - VBA32 3.12.8.11 2009.01.25 - ViRobot 2009.1.23.1577 2009.01.26 - VirusBuster 4.5.11.0 2009.01.26 -

ComboFix:

Kod: Zaznacz wszystko: ComboFix 09-01-21.04 - regaliński 2009-01-26 18:28:54.14 - NTFSx86 Microsoft Windows XP Professional 5.1.2600.2.1250.1.1045.18.1023.557 [GMT 1:00] Uruchomiony z: c:\documents and settings\regaliński.REG\Pulpit\ComboFix.exe Użyto następujących komend :: c:\documents and settings\regaliński.REG\Pulpit\CFScript.txt AV: ESET NOD32 Antivirus 3.0 *On-access scanning disabled* (Updated) * Utworzono nowy punkt przywracania UWAGA - TEN KOMPUTER NIE MA ZAINSTALOWANEJ KONSOLI ODZYSKIWANIA !! FILE :: c:\windows\system32\_5c302009803f9ca480f610d574863772.sys_.vir c:\windows\system32\5C302009803F9CA480F610D574863772.SYS.del c:\windows\system32\drivers\OLD5.tmp c:\windows\system32\dtnjtjod.lxj c:\windows\system32\fedoniko.dll c:\windows\system32\x . ((((((((((((((((((((((((((((((((((((((( Usunięto ))))))))))))))))))))))))))))))))))))))))))))))))) . c:\windows\system32\_5c302009803f9ca480f610d574863772.sys_.vir c:\windows\system32\5C302009803F9CA480F610D574863772.SYS.del c:\windows\system32\drivers\OLD5.tmp c:\windows\system32\dtnjtjod.lxj c:\windows\system32\fedoniko.dll c:\windows\system32\x . ((((((((((((((((((((((((( Pliki utworzone od 2008-12-26 do 2009-01-26 ))))))))))))))))))))))))))))))) . 2009-01-26 18:25 . 2009-01-26 18:25 44 --a------ c:\windows\system32\Partizan.RRI 2009-01-25 21:03 . 2009-01-25 21:03 <DIR> d-------- c:\windows\system32\Kaspersky Lab 2009-01-25 21:03 . 2009-01-25 21:03 <DIR> d-------- c:\documents and settings\All Users.WINDOWS\Dane aplikacji\Kaspersky Lab 2009-01-19 01:19 . 2009-01-19 01:19 0 --a------ c:\windows\nsreg.dat 2009-01-14 02:24 . 2009-01-14 02:24 123 --a------ c:\windows\rootkitno.ini 2009-01-14 01:49 . 2009-01-25 21:09 159,681 --a------ c:\windows\Marsu-Fix 2.5 Uninstaller.exe 2009-01-14 01:45 . 2009-01-14 01:45 <DIR> d-------- c:\documents and settings\All Users.WINDOWS\Dane aplikacji\ESET 2009-01-14 01:30 . 2009-01-14 02:08 163,872 --ahs---- c:\windows\system32\drivers\fidbox.dat 2009-01-14 01:30 . 2009-01-14 02:08 7,172 --ahs---- c:\windows\system32\drivers\fidbox.idx 2009-01-14 01:30 . 2009-01-14 02:08 5,408 --ahs---- c:\windows\system32\drivers\fidbox2.dat 2009-01-14 01:30 . 2009-01-14 02:08 2,600 --ahs---- c:\windows\system32\drivers\fidbox2.idx 2009-01-14 00:55 . 2005-04-03 14:02 8,944 --a------ c:\windows\system32\drivers\UnHackMeDrv.sys 2009-01-14 00:45 . 2009-01-14 00:45 30,946 --a------ c:\windows\system32\drivers\Partizan.sys 2009-01-14 00:45 . 2009-01-26 18:25 25,773 --a------ c:\windows\system32\drivers\regguard.sys 2009-01-14 00:45 . 2009-01-14 00:45 25,088 --a------ c:\windows\system32\Partizan.exe 2009-01-14 00:45 . 2009-01-14 00:45 (2) -rahs-ot- c:\windows\winstart.bat 2009-01-14 00:43 . 2009-01-14 00:43 <DIR> d-------- c:\program files\Greatis 2009-01-14 00:43 . 2008-02-13 11:41 441,856 --a------ c:\windows\RunGuard.exe 2009-01-14 00:43 . 2003-09-06 15:55 57,556 --a------ c:\windows\guard.bmp 2009-01-14 00:43 . 2000-12-12 19:56 16,384 --a------ c:\windows\WinBait.org 2009-01-14 00:43 . 2000-12-12 19:56 16,384 --a------ c:\windows\WinBait.exe 2009-01-13 23:14 . 2009-01-20 22:44 <DIR> d-------- c:\program files\ext it 2009-01-13 22:26 . 2009-01-26 18:33 <DIR> d--h----- c:\documents and settings\Administrator\Ustawienia lokalne 2009-01-13 22:26 . 2008-03-01 23:02 <DIR> d-------- c:\documents and settings\Administrator\Ulubione 2009-01-13 22:26 . 2008-03-01 22:15 <DIR> d--h----- c:\documents and settings\Administrator\Szablony 2009-01-13 22:26 . 2008-03-01 23:02 <DIR> d-------- c:\documents and settings\Administrator\Pulpit 2009-01-13 22:26 . 2009-01-14 02:09 <DIR> d-------- c:\documents and settings\Administrator\Moje dokumenty 2009-01-13 22:26 . 2008-03-01 23:02 <DIR> dr------- c:\documents and settings\Administrator\Menu Start 2009-01-13 22:26 . 2008-03-01 23:02 <DIR> dr-h----- c:\documents and settings\Administrator\Dane aplikacji 2009-01-13 22:26 . 2009-01-13 22:26 <DIR> d-------- c:\documents and settings\Administrator 2009-01-13 14:03 . 2009-01-13 14:03 7,168 --ah----- c:\windows\system32\winlogon.suo 2009-01-13 14:03 . 2009-01-13 14:03 610 --a------ c:\windows\system32\winlogon.sln 2009-01-12 23:17 . 2008-12-26 00:08 206,755 --a------ c:\windows\system32\nvapps.nvb 2009-01-12 22:36 . 2009-01-13 18:27 <DIR> d----c--- c:\windows\system32\DRVSTORE 2009-01-12 14:53 . 2009-01-12 14:53 <DIR> d-------- c:\documents and settings\regaliński.REG\Dane aplikacji\Leadertech 2009-01-05 22:54 . 2009-01-07 02:18 <DIR> d-------- c:\program files\Damian Pasternak 2008-12-26 00:08 . 2008-12-26 00:08 6,594,560 --a------ c:\windows\system32\nvdispsr.dll . (((((((((((((((((((((((((((((((((((((((( Sekcja Find3M )))))))))))))))))))))))))))))))))))))))))))))))))))) . 2009-01-26 17:34 --------- d-----w c:\program files\cFosSpeed 2009-01-26 17:07 --------- d-----w c:\documents and settings\regaliński.REG\Dane aplikacji\Skype 2009-01-26 12:51 --------- d-----w c:\documents and settings\regaliński.REG\Dane aplikacji\uTorrent 2009-01-23 16:44 --------- d-----w c:\program files\TeamViewer3 2009-01-13 15:16 --------- d-----w c:\documents and settings\All Users.WINDOWS\Dane aplikacji\Kaspersky Lab Setup Files 2009-01-12 23:21 --------- d--h--w c:\program files\InstallShield Installation Information 2009-01-12 23:12 22,328 ----a-w c:\documents and settings\regaliński.REG\Dane aplikacji\PnkBstrK.sys 2009-01-05 21:31 --------- d-----w c:\program files\NAPI-PROJEKT 2008-12-23 20:58 453,152 ----a-w c:\windows\system32\NVUNINST.EXE 2008-11-03 14:50 8,192 ----a-w c:\windows\system32\AmDriver.sys 2008-11-03 14:50 32,768 ----a-w c:\windows\system32\AmDriver.dll 2008-03-07 01:09 215 ----a-w c:\documents and settings\regaliński.REG\hsqlprefs.dat 2008-03-07 01:09 215 ----a-w c:\documents and settings\regaliński.REG\hsqlprefs.dat 2009-01-12 23:32 66,576 ----a-w c:\program files\mozilla firefox\components\bfdbbbbefffec.dll . ((((((((((((((((((((((((((((( snapshot@2009-01-26_14.42.27.12 ))))))))))))))))))))))))))))))))))))))))) . - 2000-08-31 06:00:00 89,504 ----a-w c:\windows\fdsv.exe + 2000-08-31 07:00:00 89,504 ----a-w c:\windows\fdsv.exe - 2000-08-31 06:00:00 80,412 ----a-w c:\windows\grep.exe + 2000-08-31 07:00:00 80,412 ----a-w c:\windows\grep.exe - 2000-08-31 06:00:00 98,816 ----a-w c:\windows\sed.exe + 2000-08-31 07:00:00 98,816 ----a-w c:\windows\sed.exe - 2000-08-31 06:00:00 136,704 ----a-w c:\windows\swsc.exe + 2000-08-31 07:00:00 136,704 ----a-w c:\windows\SWSC.exe - 2000-08-31 06:00:00 212,480 ----a-w c:\windows\swxcacls.exe + 2000-08-31 07:00:00 212,480 ----a-w c:\windows\SWXCACLS.exe + 2009-01-26 17:24:53 16,384 ----atw c:\windows\Temp\Perflib_Perfdata_774.dat - 2000-08-31 06:00:00 49,152 ----a-w c:\windows\VFind.exe + 2000-08-31 07:00:00 49,152 ----a-w c:\windows\VFIND.exe - 2000-08-31 06:00:00 68,096 ----a-w c:\windows\zip.exe + 2000-08-31 07:00:00 68,096 ----a-w c:\windows\zip.exe . ((((((((((((((((((((((((((((((((((((( Wpisy startowe rejestru )))))))))))))))))))))))))))))))))))))))))))))))))) . . *Uwaga* puste wpisy oraz domyślne, prawidłowe wpisy nie są pokazane REGEDIT4 [HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] "Gadu-Gadu"="c:\program files\Gadu-Gadu\gg.exe" [2004-09-28 774144] "ctfmon.exe"="c:\windows\system32\ctfmon.exe" [2004-08-03 15360] "LogitechSoftwareUpdate"="c:\program files\Logitech\Video\ManifestEngine.exe" [2005-06-08 196608] "Regrun2"="c:\progra~1\Greatis\REGRUN~1\WatchDog.exe" [2008-02-13 356864] [HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\RunOnce] "UnHackMe"="c:\progra~1\Greatis\REGRUN~1\UnHackMe.exe" [2008-02-13 1023488] [HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] "KernelFaultCheck"="c:\windows\system32\dumprep 0 -k" [X] "Adobe Reader Speed Launcher"="c:\program files\Adobe\Reader 8.0\Reader\Reader_sl.exe" [2008-01-11 39792] "DAEMON Tools-1033"="c:\program files\D-Tools\daemon.exe" [2003-10-02 81920] "iKeyWorks"="c:\progra~1\A4Tech\Keyboard\Ikeymain.exe" [2006-04-09 61440] "NvCplDaemon"="c:\windows\system32\NvCpl.dll" [2008-12-26 13680640] "LVCOMSX"="c:\windows\system32\LVCOMSX.EXE" [2005-07-19 221184] "LogitechVideoRepair"="c:\program files\Logitech\Video\ISStart.exe" [2005-06-08 458752] "LogitechVideoTray"="c:\program files\Logitech\Video\LogiTray.exe" [2005-06-08 217088] "NeroCheck"="c:\windows\system32\NeroCheck.exe" [2001-07-09 155648] "googletalk"="c:\program files\Google\Google Talk\googletalk.exe" [2007-01-01 3739648] "CTSysVol"="c:\program files\Creative\SBAudigy\Surround Mixer\CTSysVol.exe" [2005-10-31 57344] "SunJavaUpdateSched"="c:\program files\Java\jre1.6.0_05\bin\jusched.exe" [2008-02-22 144784] "QuickTime Task"="c:\program files\QuickTime\qttask.exe" [2008-09-08 413696] "cFosSpeed"="c:\program files\cFosSpeed\cFosSpeed.exe" [2007-10-29 850896] "NvMediaCenter"="c:\windows\system32\NvMcTray.dll" [2008-12-26 86016] "RegRun WinBait"="c:\windows\winbait.exe" [2000-12-12 16384] "@RegRunOnSecure"="c:\progra~1\Greatis\REGRUN~1\OnSecure.exe" [2003-01-22 57856] "combofix"="c:\windows\system32\CF1119.exe" [BU] "nwiz"="nwiz.exe" [2008-12-26 c:\windows\system32\nwiz.exe] "P17Helper"="P17.dll" [2005-05-03 c:\windows\system32\P17.dll] [HKEY_LOCAL_MACHINE\software\microsoft\windows nt\currentversion\windows] "LoadAppInit_DLLs"=1 (0x1) "AppInit_DLLs"=c:\windows\system32\yubihimo.dll [HKEY_LOCAL_MACHINE\software\microsoft\windows nt\currentversion\drivers32] "msacm.ac3filter"= ac3filter.acm "MSACM.CEGSM"= mobilev.acm [HKEY_LOCAL_MACHINE\system\currentcontrolset\control\session manager] BootExecute REG_MULTI_SZ autocheck autochk *\[u]0[/u]Partizan\[u]0[/u] [HKEY_LOCAL_MACHINE\software\microsoft\security center] "AntiVirusDisableNotify"=dword:00000001 "UpdatesDisableNotify"=dword:00000001 [HKLM\~\services\sharedaccess\parameters\firewallpolicy\standardprofile\AuthorizedApplications\List] "%windir%\\system32\\sessmgr.exe"= "c:\\program files\\Gadu-Gadu\\gg.exe"= "c:\\Documents and Settings\\All Users.WINDOWS\\Dane aplikacji\\Kaspersky Lab Setup Files\\Kaspersky Anti-Virus 7.0.1.321\\English\\setup.exe"= "c:\\WINDOWS\\system32\\java.exe"= "c:\\program files\\eclipse\\eclipse.exe"= "c:\\program files\\totalcmd\\TOTALCMD.EXE"= "c:\\program files\\Bonjour\\mDNSResponder.exe"= "d:\\program files\\Valve\\hl.exe"= "c:\\program files\\uTorrent\\uTorrent.exe"= "c:\\program files\\Opera\\Opera.exe"= "c:\\program files\\Google\\Google Talk\\googletalk.exe"= "c:\\program files\\wamp\\bin\\apache\\apache2.2.8\\bin\\httpd.exe"= "d:\\program files\\Valve\\hlds.exe"= "c:\\program files\\TeamViewer3\\TeamViewer.exe"= "d:\\program files\\Activision\\Call of Duty 4 - Modern Warfare\\iw3mp.exe"= "d:\\Half-Life 2 The Orange Box [Krayzie-N-Bone]\\Half-Life 2\\Half-Life 2\\hl2.exe"= "d:\\program files\\Autodesk\\Backburner\\monitor.exe"= "d:\\program files\\Autodesk\\Backburner\\manager.exe"= "d:\\program files\\Autodesk\\Backburner\\server.exe"= "d:\\program files\\Autodesk\\3ds Max 2009\\3dsmax.exe"= "e:\\GRY\\cs-majlo\\hlds.exe"= "d:\\HLDS\\hlds.exe"= "c:\\program files\\cFosSpeed\\spd.exe"= "e:\\GRY\\cs-majlo\\hl.exe"= "c:\\program files\\Logitech\\Video\\AlbumDB2.exe"= "c:\\WINDOWS\\system32\\nvsvc32.exe"= "c:\\program files\\Skype\\Phone\\Skype.exe"= [HKLM\~\services\sharedaccess\parameters\firewallpolicy\standardprofile\GloballyOpenPorts\List] "3389:TCP"= 3389:TCP:@xpsp2res.dll,-22009 "27015:UDP"= 27015:UDP:cs "25020:UDP"= 25020:UDP:cs "2329:TCP"= 2329:TCP:WWW [HKLM\~\services\sharedaccess\parameters\firewallpolicy\standardprofile\IcmpSettings] "AllowInboundTimestampRequest"= 1 (0x1) "AllowInboundMaskRequest"= 1 (0x1) "AllowInboundRouterRequest"= 1 (0x1) "AllowOutboundDestinationUnreachable"= 1 (0x1) "AllowOutboundSourceQuench"= 1 (0x1) "AllowOutboundParameterProblem"= 1 (0x1) "AllowOutboundTimeExceeded"= 1 (0x1) "AllowRedirect"= 1 (0x1) "AllowOutboundPacketTooBig"= 1 (0x1) R0 pnpshark;pnpshark;c:\windows\system32\drivers\pnpshark.sys [2003-10-02 119552] R0 st3shark;st3shark;c:\windows\system32\drivers\st3shark.sys [2003-09-27 5504] R1 epfwtdir;epfwtdir;c:\windows\system32\drivers\epfwtdir.sys [2008-07-01 34312] R3 regguard;RegGuard;c:\windows\system32\drivers\regguard.sys [2009-01-14 25773] R4 ekrn;Eset Service;e:\program files\ESET\ESET NOD32 Antivirus\ekrn.exe [2008-07-01 468224] R4 mi-raysat_3dsMax2009_32;mental ray 3.6 Satellite for Autodesk 3ds Max Design 2009 32-bit 32-bit;d:\program files\Autodesk\3ds Max 2009\mentalray\satellite\raysat_3dsMax2009_32server.exe [2008-03-09 65536] R4 MsDtsServer;SQL Server Integration Services;c:\program files\Microsoft SQL Server\90\DTS\Binn\MsDtsSrvr.exe [2005-10-14 199384] R4 TeamViewer;TeamViewer 3;c:\program files\TeamViewer3\TeamViewer_Host.exe [2008-05-15 181544] S0 partizan;Partizan;c:\windows\system32\drivers\Partizan.sys [2009-01-14 30946] S3 AmDriver;AmDriver;c:\windows\system32\AmDriver.sys [2008-11-19 8192] S3 teamviewervpn;TeamViewer VPN Adapter;c:\windows\system32\drivers\teamviewervpn.sys [2008-01-25 25088] S4 avuiks;avuiks;c:\windows\system32\svchost.exe -k netsvcs [2004-08-03 14336] S4 klvqf;klvqf;c:\windows\system32\svchost.exe -k netsvcs [2004-08-03 14336] S4 msvsmon80;Visual Studio 2005 Remote Debugger;c:\program files\Microsoft Visual Studio 8\Common7\IDE\Remote Debugger\x86\msvsmon.exe [2005-09-23 2799808] S4 OracleOracleHomeTNSListener;OracleOracleHomeTNSListener;d:\oracle\BIN\TNSLSNR --> d:\oracle\BIN\TNSLSNR [?] S4 OracleServiceADMIN;OracleServiceADMIN;d:\oracle\bin\ORACLE.EXE ADMIN --> d:\oracle\bin\ORACLE.EXE ADMIN [?] --- Inne Usługi/Sterowniki w Pamięci --- *Deregistered* - UnHackMeDrv HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Svchost - NetSvcs avuiks ydcrnym klvqf . . ------- Skan uzupełniający ------- . uStart Page = about:blank uInternet Settings,ProxyOverride = *.local IE: E&ksport do programu Microsoft Excel - d:\progra~1\MICROS~1\OFFICE11\EXCEL.EXE/3000 IE: E&ksportuj do programu Microsoft Excel - c:\progra~1\MICROS~2\Office12\EXCEL.EXE/3000 DPF: {1E53EA77-34F2-474E-9046-B2B0C86F1821} - hxxp://www.eska.pl/streamplayers/OggX.ocx DPF: {68282C51-9459-467B-95BF-3C0E89627E55} - hxxp://www.mks.com.pl/skaner/SkanerOnline.cab FF - ProfilePath - c:\documents and settings\regaliński.REG\Dane aplikacji\Mozilla\Firefox\Profiles\zotk9ols.default\ FF - prefs.js: browser.startup.homepage - www.google.pl FF - component: c:\program files\Mozilla Firefox\components\bfdbbbbefffec.dll FF - plugin: c:\program files\Mozilla Firefox\plugins\np-mswmp.dll FF - plugin: c:\program files\Mozilla Firefox\plugins\npqtplugin8.dll FF - plugin: c:\program files\QuickTime\Plugins\npqtplugin8.dll . ************************************************************************** catchme 0.3.1367 W2K/XP/Vista - rootkit/stealth malware detector by Gmer, http://www.gmer.net Rootkit scan 2009-01-26 18:34:03 Windows 5.1.2600 Dodatek Service Pack 2 NTFS skanowanie ukrytych procesów ... skanowanie ukrytych wpisów autostartu ... skanowanie ukrytych plików ... skanowanie pomyślnie ukończone ukryte pliki: 0 ************************************************************************** [HKEY_LOCAL_MACHINE\System\ControlSet001\Services\msftesql] "ImagePath"="\"c:\program files\Microsoft SQL Server\MSSQL.1\MSSQL\Binn\msftesql.exe\" -s:MSSQL.1 -f:MSSQLSERVER" [HKEY_LOCAL_MACHINE\System\ControlSet001\Services\OracleOracleHomeTNSListener] "ImagePath"="d:\oracle\BIN\TNSLSNR " . Czas ukończenia: 2009-01-26 18:40:12 ComboFix-quarantined-files.txt 2009-01-26 17:39:01 ComboFix2.txt 2009-01-26 13:45:49 Przed: 10 606 891 008 bajtów wolnych Po: 10,601,062,400 bajtów wolnych 245

**Posty:** 18165 · przez **wojtas** 26 Sty 2009, 23:14

1. Ściągnij OTMoveIt i go włacz i odpal go z opcji CleanUp

oraz skasuj folder C:\Qoobox
2. wykonaj optymalizację windowsa
3.sciagnij ATF_Cleaner
zaznacz
Windows Temp
All users Temp
Temporary internet files
Recycle Bin
i wcisnij EMPTY SELECTED
4.Wyłącz przywracanie systemu ( właściwości mój komputer-zakładka przywracanie - wyłącz przywracanie na wszystkich dyskach). Po chwili włącz je powrotem
5. Wykonaj skan Dr. Web CureIt
6. Przeskanuj obszar mojego komputera http://www.kaspersky.pl/virusscanner.html (uruchom przez IE) Daj raport z niego na forum.

i tym:

FixIEDef.

**Posty:** 6 · przez **sz2804** 30 Sty 2009, 00:47

Trochę to trwało, ale posprawdzałem wszystkim co się dało.
Raport z kasperskyego wygląda następująco (chwilowo tylko z obszaru krytycznego, mam ponad 400 GB danych z czego sporo to biblioteki javy, na jarach strasznie muli a jakoś jeszcze musiałem pracować

)
Kaspersky wywalił jednego trojana z plików mozilli:

Kod: Zaznacz wszystko: -------------------------------------------------------------------------------- RAPORT KASPERSKY ONLINE SCANNER 7.0 czwartek, 29 styczeń 2009 System operacyjny: Microsoft Windows XP Professional Dodatek Service Pack 2 (build 2600) Wersja Kaspersky Online Scanner: 7.0.26.12 Data ostatniej aktualizacji bazy danych: Thursday, January 29, 2009 11:02:00 Liczba wpisów: 1724238 -------------------------------------------------------------------------------- Ustawienia skanowania: Typ bazy danych użytej do skanowania: rozszerzona Skanuj archiwa: tak Skanuj pocztowe bazy danych: tak Obszar skanowania - Obszary krytyczne: C:\Documents and Settings\All Users.WINDOWS\Menu Start\Programy\Autostart C:\Documents and Settings\regaliński.REG\Menu Start\Programy\Autostart C:\Program Files C:\WINDOWS Statystyki skanowania: Przeskanowanych plików: 100880 Nazwa zagrożenia: 1 Zainfekowanych obiektów: 1 Podejrzanych obiektów: 0 Czas skanowania: 01:54:02 Nazwa pliku / Nazwa zagrożenia / Liczba zagrożeń C:\Program Files\Mozilla Firefox\components\bfdbbbbefffec.dll Zainfekowany: Trojan-Proxy.Win32.Horst.aqu 1 Wybrany obszar został przeskanowany.

FixIeDef natomiast usunął jeden wpis w reg.

Kod: Zaznacz wszystko: ******************************************************************************** * * * FixIEDef Log * * Version 1.7.22.7326 * * * ******************************************************************************** Created at 17:59:06 on Thursday, January 29, 2009 Time Zone : Logged On User : regaliński Operating System : Microsoft Windows XP Professional Dodatek Service Pack 2 OS Architecture : X86 System Langauge : Polish Keyboard Layout : Polish Processor : X64 AMD Sempron(tm) Processor 2800+ System Drive : C:\ Windows Directory : C:\WINDOWS System Directory : C:\WINDOWS\system32 System Drive Type : Fixed System Drive Status : READY System Drive Label : System Drive Size : 57.24 GB System Drive Free : 10.03 GB Total Physical Memory: 1023 MB Free Physical Memory : 517 MB Total Page File : 1023 MB Free Page File : 2004 MB Total Virtual Memory : 2048 MB Free Virtual Memory : 1962 MB Boot State : Normal boot -------------------------------------------------------------------------------- !!! userinit.exe is Clean !!! -------------------------------------------------------------------------------- !!! Files that have been deleted !!! No malicious files found -------------------------------------------------------------------------------- !!! Directories that have been removed !!! No malicious directories to be removed -------------------------------------------------------------------------------- !!! Registry entries that have been removed !!! HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run "KernelFaultCheck" ================================================================================

**Posty:** 8001 · przez **Okocza** 30 Sty 2009, 11:53

sz2804 napisał(a):C:\Program Files\Mozilla Firefox\components\bfdbbbbefffec.dll

usun ten plik

**Posty:** 6 · przez **sz2804** 31 Sty 2009, 00:54

Po usunięciu podanego miałem niby czysto. Jednak widać było, że jeszcze nie jest tak jak ma być, bo strasznie mi mulił. Chciałem sięgnąć po SdFixa, ale nie pozwala mi na uruchomienie jego, sięgnąłem za to po jeden z jego komponentów : Norman Malware Cleaner, ten z kolei znalazł jakieś pomniejsze wirusy, sztuk 3. Jeden z nich siedział w punkcie przywracania systemu. Wyłączyłem przywracanie całkowicie. Zadowolony, że wszystko już czyste, ładnie działa (kaspersky online skanował mi przez 14h i nie znalazł nic) siedzę sobie i jak grom z jasnego nieba, przy włączonym gg i googleTalk apogeum. Proces regsvr32 w 12 instancjach zabiera mi cale zasoby, pojawiają się 3 instancje rundll32, do tej pory co chwilę mam połączenie UDP z nieznanym klientem.
Nie wiem co się dzieje, ale przez moment nawet ComboFix nie chciał działać, twierdząc, że obecna wersja wygasła. Mam gdzieś dziurę i nie wiem jak usunąć (załatać ją), bo mam wrażenie, że jestem otwarty jak ... bardzo otwarty, Zastanawiałem się czy może uciekać się do łatania Service Packiem 3?

**Posty:** 8001 · przez **Okocza** 31 Sty 2009, 14:01

sz2804 napisał(a):Service Packiem 3?

Service Pack 3 muli trochę kompa, ale lepiej zainstalować go, łata trochę dziur.

Wstaw log z Combofixa. Przy odłączonym internecie generuj tego loga.

Autor postu otrzymał pochwałę

**Posty:** 6 · przez **sz2804** 01 Lut 2009, 20:47

Przyznam, że jak zaczął mi działać ESET Smart security z pełną blokadą na firewallu, wypuszczam tylko to co niezbędne i dodatkowo jeszcze Spybotem się przeleciałem po całości to mam tak jakby spokój (tak mi się wydaje), choć przyznam się, że nie widziałem jakiś niespotykanych połączeń poza SQLServerem z przychodzących.
W kolejnym odcinku, tym razem bez neta comboFix pokazał coś takiego:

Kod: Zaznacz wszystko: ComboFix 09-01-31.03 - regaliński 2009-02-01 17:42:17.17 - NTFSx86 Microsoft Windows XP Professional 5.1.2600.2.1250.1.1045.18.1023.527 [GMT 1:00] Uruchomiony z: c:\documents and settings\regaliński.REG\Pulpit\cf.exe AV: ESET Smart Security 3.0 *On-access scanning disabled* (Updated) FW: Zapora osobista *enabled* * Utworzono nowy punkt przywracania UWAGA - TEN KOMPUTER NIE MA ZAINSTALOWANEJ KONSOLI ODZYSKIWANIA !! . ((((((((((((((((((((((((( Pliki utworzone od 2009-01-01 do 2009-02-01 ))))))))))))))))))))))))))))))) . 2009-01-29 17:37 . 2009-01-29 17:37 <DIR> d-------- c:\windows\ERUNT 2009-01-27 18:04 . 2009-01-27 18:04 <DIR> d-------- c:\documents and settings\regaliński.REG\DoctorWeb 2009-01-27 18:04 . 2009-01-27 18:04 <DIR> d-------- c:\documents and settings\regaliński.REG\DoctorWeb 2009-01-27 02:33 . 2009-01-27 02:54 <DIR> d-------- c:\program files\RegCleaner 2009-01-27 01:25 . 2009-01-27 01:39 <DIR> d-------- c:\program files\Spybot - Search & Destroy 2009-01-27 01:25 . 2009-01-27 01:26 <DIR> d-------- c:\documents and settings\All Users.WINDOWS\Dane aplikacji\Spybot - Search & Destroy 2009-01-27 00:57 . 2008-03-03 14:25 5,702 --ah----- c:\windows\nod32restoretemdono.reg 2009-01-27 00:57 . 2008-03-03 18:21 568 --ah----- c:\windows\nod32fixtemdono.reg 2009-01-27 00:53 . 2009-01-27 00:53 <DIR> d-------- c:\documents and settings\regaliński.REG\Dane aplikacji\ESET 2009-01-26 22:08 . 2009-01-26 22:08 <DIR> d-------- c:\windows\nview 2009-01-26 22:08 . 2009-01-26 22:09 <DIR> d-------- c:\windows\NV13722084.TMP 2009-01-26 22:08 . 2007-12-05 01:41 17,737 --a------ c:\windows\system32\nvdisp.nvu 2009-01-25 21:03 . 2009-01-25 21:03 <DIR> d-------- c:\windows\system32\Kaspersky Lab 2009-01-25 21:03 . 2009-01-25 21:03 <DIR> d-------- c:\documents and settings\All Users.WINDOWS\Dane aplikacji\Kaspersky Lab 2009-01-19 01:19 . 2009-01-19 01:19 0 --a------ c:\windows\nsreg.dat 2009-01-14 02:24 . 2009-01-14 02:24 123 --a------ c:\windows\rootkitno.ini 2009-01-14 01:49 . 2009-01-25 21:09 159,681 --a------ c:\windows\Marsu-Fix 2.5 Uninstaller.exe.bak 2009-01-14 01:45 . 2009-01-14 01:45 <DIR> d-------- c:\documents and settings\All Users.WINDOWS\Dane aplikacji\ESET 2009-01-14 01:30 . 2009-01-14 02:08 163,872 --ahs---- c:\windows\system32\drivers\fidbox.dat 2009-01-14 01:30 . 2009-01-14 02:08 7,172 --ahs---- c:\windows\system32\drivers\fidbox.idx 2009-01-14 01:30 . 2009-01-14 02:08 5,408 --ahs---- c:\windows\system32\drivers\fidbox2.dat 2009-01-14 01:30 . 2009-01-14 02:08 2,600 --ahs---- c:\windows\system32\drivers\fidbox2.idx 2009-01-14 00:55 . 2005-04-03 14:02 8,944 --a------ c:\windows\system32\drivers\UnHackMeDrv.sys 2009-01-14 00:45 . 2009-01-14 00:45 30,946 --a------ c:\windows\system32\drivers\Partizan.sys 2009-01-14 00:45 . 2009-02-01 16:36 25,773 --a------ c:\windows\system32\drivers\regguard.sys 2009-01-14 00:45 . 2009-01-14 00:45 25,088 --a------ c:\windows\system32\Partizan.exe 2009-01-14 00:45 . 2009-01-14 00:45 (2) -rahs-ot- c:\windows\winstart.bat 2009-01-14 00:43 . 2009-01-14 00:43 <DIR> d-------- c:\program files\Greatis 2009-01-14 00:43 . 2008-02-13 11:41 441,856 --a------ c:\windows\RunGuard.exe 2009-01-14 00:43 . 2003-09-06 15:55 57,556 --a------ c:\windows\guard.bmp 2009-01-14 00:43 . 2000-12-12 19:56 16,384 --a------ c:\windows\WinBait.org 2009-01-14 00:43 . 2000-12-12 19:56 16,384 --a------ c:\windows\WinBait.exe 2009-01-13 22:26 . 2009-02-01 17:46 <DIR> d--h----- c:\documents and settings\Administrator\Ustawienia lokalne 2009-01-13 22:26 . 2008-03-01 23:02 <DIR> d-------- c:\documents and settings\Administrator\Ulubione 2009-01-13 22:26 . 2008-03-01 22:15 <DIR> d--h----- c:\documents and settings\Administrator\Szablony 2009-01-13 22:26 . 2008-03-01 23:02 <DIR> d-------- c:\documents and settings\Administrator\Pulpit 2009-01-13 22:26 . 2009-01-14 02:09 <DIR> d-------- c:\documents and settings\Administrator\Moje dokumenty 2009-01-13 22:26 . 2008-03-01 23:02 <DIR> dr------- c:\documents and settings\Administrator\Menu Start 2009-01-13 22:26 . 2008-03-01 23:02 <DIR> dr-h----- c:\documents and settings\Administrator\Dane aplikacji 2009-01-13 22:26 . 2009-01-13 22:26 <DIR> d-------- c:\documents and settings\Administrator 2009-01-13 14:03 . 2009-01-13 14:03 7,168 --ah----- c:\windows\system32\winlogon.suo 2009-01-13 14:03 . 2009-01-13 14:03 610 --a------ c:\windows\system32\winlogon.sln 2009-01-12 23:17 . 2008-12-26 00:08 206,755 --------- c:\windows\system32\nvapps.nvb 2009-01-12 22:36 . 2009-01-13 18:27 <DIR> d----c--- c:\windows\system32\DRVSTORE 2009-01-12 14:53 . 2009-01-12 14:53 <DIR> d-------- c:\documents and settings\regaliński.REG\Dane aplikacji\Leadertech 2009-01-05 22:54 . 2009-01-07 02:18 <DIR> d-------- c:\program files\Damian Pasternak . (((((((((((((((((((((((((((((((((((((((( Sekcja Find3M )))))))))))))))))))))))))))))))))))))))))))))))))))) . 2009-02-01 16:39 --------- d-----w c:\program files\cFosSpeed 2009-01-27 01:30 --------- d-----w c:\program files\Bonjour 2009-01-26 20:19 --------- d-----w c:\program files\SkanerOnline 2009-01-26 17:07 --------- d-----w c:\documents and settings\regaliński.REG\Dane aplikacji\Skype 2009-01-26 12:51 --------- d-----w c:\documents and settings\regaliński.REG\Dane aplikacji\uTorrent 2009-01-13 15:16 --------- d-----w c:\documents and settings\All Users.WINDOWS\Dane aplikacji\Kaspersky Lab Setup Files 2009-01-12 23:21 --------- d--h--w c:\program files\InstallShield Installation Information 2009-01-12 23:12 22,328 ----a-w c:\documents and settings\regaliński.REG\Dane aplikacji\PnkBstrK.sys 2009-01-05 21:31 --------- d-----w c:\program files\NAPI-PROJEKT 2008-12-23 20:58 453,152 ----a-w c:\windows\system32\NVUNINST.EXE 2008-03-07 01:09 215 ----a-w c:\documents and settings\regaliński.REG\hsqlprefs.dat 2008-03-07 01:09 215 ----a-w c:\documents and settings\regaliński.REG\hsqlprefs.dat . ((((((((((((((((((((((((((((((((((((( Wpisy startowe rejestru )))))))))))))))))))))))))))))))))))))))))))))))))) . . *Uwaga* puste wpisy oraz domyślne, prawidłowe wpisy nie są pokazane REGEDIT4 [HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] "Gadu-Gadu"="c:\program files\Gadu-Gadu\gg.exe" [2004-09-28 774144] "ctfmon.exe"="c:\windows\system32\ctfmon.exe" [2004-08-03 15360] "LogitechSoftwareUpdate"="c:\program files\Logitech\Video\ManifestEngine.exe" [2005-06-08 196608] "Regrun2"="c:\progra~1\Greatis\REGRUN~1\WatchDog.exe" [2008-02-13 356864] [HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\RunOnce] "UnHackMe"="c:\progra~1\Greatis\REGRUN~1\UnHackMe.exe" [2008-02-13 1023488] [HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] "KernelFaultCheck"="c:\windows\system32\dumprep 0 -k" [X] "Adobe Reader Speed Launcher"="c:\program files\Adobe\Reader 8.0\Reader\Reader_sl.exe" [2008-01-11 39792] "DAEMON Tools-1033"="c:\program files\D-Tools\daemon.exe" [2003-10-02 81920] "iKeyWorks"="c:\progra~1\A4Tech\Keyboard\Ikeymain.exe" [2006-04-09 61440] "NvCplDaemon"="c:\windows\system32\NvCpl.dll" [2007-12-05 8523776] "LVCOMSX"="c:\windows\system32\LVCOMSX.EXE" [2005-07-19 221184] "LogitechVideoRepair"="c:\program files\Logitech\Video\ISStart.exe" [2005-06-08 458752] "LogitechVideoTray"="c:\program files\Logitech\Video\LogiTray.exe" [2005-06-08 217088] "NeroCheck"="c:\windows\system32\NeroCheck.exe" [2001-07-09 155648] "googletalk"="c:\program files\Google\Google Talk\googletalk.exe" [2007-01-01 3739648] "CTSysVol"="c:\program files\Creative\SBAudigy\Surround Mixer\CTSysVol.exe" [2005-10-31 57344] "SunJavaUpdateSched"="c:\program files\Java\jre1.6.0_05\bin\jusched.exe" [2008-02-22 144784] "QuickTime Task"="c:\program files\QuickTime\qttask.exe" [2008-09-08 413696] "cFosSpeed"="c:\program files\cFosSpeed\cFosSpeed.exe" [2007-10-29 850896] "NvMediaCenter"="c:\windows\system32\NvMcTray.dll" [2007-12-05 81920] "RegRun WinBait"="c:\windows\winbait.exe" [2000-12-12 16384] "@RegRunOnSecure"="c:\progra~1\Greatis\REGRUN~1\OnSecure.exe" [2003-01-22 57856] "egui"="e:\program files\ESET\ESET NOD32 Antivirus\egui.exe" [2008-07-01 1447168] "nwiz"="nwiz.exe" [2008-12-26 c:\windows\system32\nwiz.exe] "P17Helper"="P17.dll" [2005-05-03 c:\windows\system32\P17.dll] [HKEY_LOCAL_MACHINE\software\microsoft\windows nt\currentversion\windows] "LoadAppInit_DLLs"=1 (0x1) [HKEY_LOCAL_MACHINE\software\microsoft\windows nt\currentversion\drivers32] "msacm.ac3filter"= ac3filter.acm "MSACM.CEGSM"= mobilev.acm [HKEY_LOCAL_MACHINE\system\currentcontrolset\control\session manager] BootExecute REG_MULTI_SZ autocheck autochk *\[u]0[/u]Partizan\[u]0[/u] [HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\LogitechSoftwareUpdate] --a------ 2005-06-08 13:44 196608 c:\program files\Logitech\Video\ManifestEngine.exe [HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\NeroCheck] --a------ 2001-07-09 10:50 155648 c:\windows\system32\NeroCheck.exe [HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\QuickTime Task] --a------ 2008-09-08 14:27 413696 c:\program files\QuickTime\qttask.exe [HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\nwiz] --------- 2008-12-26 00:08 1657376 c:\windows\system32\nwiz.exe [HKEY_LOCAL_MACHINE\software\microsoft\security center] "AntiVirusDisableNotify"=dword:00000001 "UpdatesDisableNotify"=dword:00000001 [HKLM\~\services\sharedaccess\parameters\firewallpolicy\standardprofile] "EnableFirewall"= 0 (0x0) [HKLM\~\services\sharedaccess\parameters\firewallpolicy\standardprofile\AuthorizedApplications\List] "%windir%\\system32\\sessmgr.exe"= "c:\\program files\\Gadu-Gadu\\gg.exe"= "c:\\Documents and Settings\\All Users.WINDOWS\\Dane aplikacji\\Kaspersky Lab Setup Files\\Kaspersky Anti-Virus 7.0.1.321\\English\\setup.exe"= "c:\\WINDOWS\\system32\\java.exe"= "c:\\program files\\eclipse\\eclipse.exe"= "c:\\program files\\totalcmd\\TOTALCMD.EXE"= "d:\\program files\\Valve\\hl.exe"= "c:\\program files\\uTorrent\\uTorrent.exe"= "c:\\program files\\Opera\\Opera.exe"= "c:\\program files\\Google\\Google Talk\\googletalk.exe"= "c:\\program files\\wamp\\bin\\apache\\apache2.2.8\\bin\\httpd.exe"= "d:\\program files\\Valve\\hlds.exe"= "d:\\program files\\Activision\\Call of Duty 4 - Modern Warfare\\iw3mp.exe"= "d:\\Half-Life 2 The Orange Box [Krayzie-N-Bone]\\Half-Life 2\\Half-Life 2\\hl2.exe"= "d:\\program files\\Autodesk\\Backburner\\monitor.exe"= "d:\\program files\\Autodesk\\Backburner\\manager.exe"= "d:\\program files\\Autodesk\\Backburner\\server.exe"= "d:\\program files\\Autodesk\\3ds Max 2009\\3dsmax.exe"= "e:\\GRY\\cs-majlo\\hlds.exe"= "d:\\HLDS\\hlds.exe"= "c:\\program files\\cFosSpeed\\spd.exe"= "e:\\GRY\\cs-majlo\\hl.exe"= "c:\\program files\\Logitech\\Video\\AlbumDB2.exe"= "c:\\WINDOWS\\system32\\nvsvc32.exe"= "c:\\program files\\Skype\\Phone\\Skype.exe"= [HKLM\~\services\sharedaccess\parameters\firewallpolicy\standardprofile\GloballyOpenPorts\List] "3389:TCP"= 3389:TCP:@xpsp2res.dll,-22009 "27015:UDP"= 27015:UDP:cs "25020:UDP"= 25020:UDP:cs "2329:TCP"= 2329:TCP:WWW [HKLM\~\services\sharedaccess\parameters\firewallpolicy\standardprofile\IcmpSettings] "AllowInboundTimestampRequest"= 1 (0x1) "AllowInboundMaskRequest"= 1 (0x1) "AllowInboundRouterRequest"= 1 (0x1) "AllowOutboundDestinationUnreachable"= 1 (0x1) "AllowOutboundSourceQuench"= 1 (0x1) "AllowOutboundParameterProblem"= 1 (0x1) "AllowOutboundTimeExceeded"= 1 (0x1) "AllowRedirect"= 1 (0x1) "AllowOutboundPacketTooBig"= 1 (0x1) R0 pnpshark;pnpshark;c:\windows\system32\drivers\pnpshark.sys [2003-10-02 119552] R0 st3shark;st3shark;c:\windows\system32\drivers\st3shark.sys [2003-09-27 5504] R2 ekrn;Eset Service;e:\program files\ESET\ESET NOD32 Antivirus\ekrn.exe [2008-07-01 468224] R2 mi-raysat_3dsMax2009_32;mental ray 3.6 Satellite for Autodesk 3ds Max Design 2009 32-bit 32-bit;d:\program files\Autodesk\3ds Max 2009\mentalray\satellite\raysat_3dsMax2009_32server.exe [2008-03-09 65536] R2 MsDtsServer;SQL Server Integration Services;c:\program files\Microsoft SQL Server\90\DTS\Binn\MsDtsSrvr.exe [2005-10-14 199384] R3 regguard;RegGuard;c:\windows\system32\drivers\regguard.sys [2009-01-14 25773] S0 partizan;Partizan;c:\windows\system32\drivers\Partizan.sys [2009-01-14 30946] S2 avuiks;avuiks;c:\windows\system32\svchost.exe -k netsvcs [2004-08-03 14336] S2 ejqysczrv;ejqysczrv;c:\windows\system32\svchost.exe -k netsvcs [2004-08-03 14336] S2 klvqf;klvqf;c:\windows\system32\svchost.exe -k netsvcs [2004-08-03 14336] S2 NOD32FiXTemDono;Eset Nod32 Boot;c:\windows\system32\regedt32.exe [2001-10-26 3584] S2 OracleOracleHomeTNSListener;OracleOracleHomeTNSListener;d:\oracle\BIN\TNSLSNR --> d:\oracle\BIN\TNSLSNR [?] S2 OracleServiceADMIN;OracleServiceADMIN;d:\oracle\bin\ORACLE.EXE ADMIN --> d:\oracle\bin\ORACLE.EXE ADMIN [?] S2 qfyhk;qfyhk;c:\windows\system32\svchost.exe -k netsvcs [2004-08-03 14336] S3 teamviewervpn;TeamViewer VPN Adapter;c:\windows\system32\drivers\teamviewervpn.sys [2008-01-25 25088] S4 msvsmon80;Visual Studio 2005 Remote Debugger;c:\program files\Microsoft Visual Studio 8\Common7\IDE\Remote Debugger\x86\msvsmon.exe [2005-09-23 2799808] --- Inne Usługi/Sterowniki w Pamięci --- *Deregistered* - UnHackMeDrv HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Svchost - NetSvcs avuiks ydcrnym klvqf qfyhk ejqysczrv . - - - - USUNIĘTO PUSTE WPISY - - - - HKLM-Run-combofix - c:\windows\system32\CF1119.exe . ------- Skan uzupełniający ------- . uStart Page = about:blank uInternet Settings,ProxyOverride = *.local IE: E&ksport do programu Microsoft Excel - d:\progra~1\MICROS~1\OFFICE11\EXCEL.EXE/3000 IE: E&ksportuj do programu Microsoft Excel - c:\progra~1\MICROS~2\Office12\EXCEL.EXE/3000 DPF: {1E53EA77-34F2-474E-9046-B2B0C86F1821} - hxxp://www.eska.pl/streamplayers/OggX.ocx DPF: {68282C51-9459-467B-95BF-3C0E89627E55} - hxxp://www.mks.com.pl/skaner/SkanerOnline.cab FF - ProfilePath - c:\documents and settings\regaliński.REG\Dane aplikacji\Mozilla\Firefox\Profiles\zotk9ols.default\ FF - prefs.js: browser.startup.homepage - www.google.pl FF - plugin: c:\program files\Mozilla Firefox\plugins\npqtplugin8.dll FF - plugin: c:\program files\QuickTime\Plugins\npqtplugin8.dll . ************************************************************************** catchme 0.3.1367 W2K/XP/Vista - rootkit/stealth malware detector by Gmer, http://www.gmer.net Rootkit scan 2009-02-01 17:47:07 Windows 5.1.2600 Dodatek Service Pack 2 NTFS skanowanie ukrytych procesów ... skanowanie ukrytych wpisów autostartu ... skanowanie ukrytych plików ... skanowanie pomyślnie ukończone ukryte pliki: 0 ************************************************************************** [HKEY_LOCAL_MACHINE\System\ControlSet001\Services\msftesql] "ImagePath"="\"c:\program files\Microsoft SQL Server\MSSQL.1\MSSQL\Binn\msftesql.exe\" -s:MSSQL.1 -f:MSSQLSERVER" [HKEY_LOCAL_MACHINE\System\ControlSet001\Services\OracleOracleHomeTNSListener] "ImagePath"="d:\oracle\BIN\TNSLSNR " . Czas ukończenia: 2009-02-01 17:54:01 ComboFix-quarantined-files.txt 2009-02-01 16:53:27 Przed: 10 721 923 072 bajtów wolnych Po: 10,713,370,624 bajtów wolnych 226

**Posty:** 18165 · przez **wojtas** 02 Lut 2009, 18:02

czysto

Autor postu otrzymał pochwałę

**Posty:** 6 · przez **sz2804** 02 Lut 2009, 20:08

Dziękuję za pomoc