plik. czy to wirus?

**Posty:** 2691 · przez **Z@K** 22 Lis 2007, 16:04

Witam. Dostałem maila od ...no wlasnie. nie wiem od kogo. nie wyglada to na spam mail. bo jakis mail z wp to jest.

bylem ostatnio na koncercie reggae, i dostaje mail` widziaiem cie na koncercie. zrobilem ci foto tu masz` i plik reggae.exe w zalaczniku.

intryguje mnie co to moze byc:P czy potrafi ktos sprawdzic bezpiecznie, czy to syf, czy fotka czy co>.

osoby niekompetentne na wszelki wypadek prosze o niepobieranie pliku

edit Dzi@dek
link usunięto

pozdrawiam

**Posty:** 2129 · przez **filip.ludwik** 22 Lis 2007, 16:09

Z@K napisał(a):zrobilem ci foto tu masz

i wysyła plik

Z@K napisał(a):reggae.exe

??

Także na 99 % to będzie wirus być może zbindowany ze zdjęciem (tak niby , że dla "niepoznaki"

)

Takie są moje przypuszczenia , ale poczekaj jeszcze aż ktoś sprawdzi

**Posty:** 10223 · przez **Precel** 22 Lis 2007, 16:20

Kod: Zaznacz wszystko: AntiVir Found TR/Crypt.XDR.Gen BitDefender Found Dropped:Trojan.Generic.44209 Ikarus Found Trojan-Spy.Win32.Delf.abp

cos jest na rzeczy :1:

Autor postu otrzymał pochwałę

**Posty:** 237 · przez **Kuba1** 22 Lis 2007, 16:24

Wszystko, tak jak sie spodziewałem. Plik jeśli go nie uruchomisz jest nie groźny, po uruchomieniu stanie sie prawdopodobnie grozny.

A to raport z VirusTotal:

Antywirus Wersja Ostatnia aktualizacja Wynik
AhnLab-V3 2007.11.23.0 2007.11.22 -
AntiVir 7.6.0.34 2007.11.22 TR/Crypt.XDR.Gen
Authentium 4.93.8 2007.11.21 -
Avast 4.7.1074.0 2007.11.21 -
AVG 7.5.0.503 2007.11.22 -
BitDefender 7.2 2007.11.22 Dropped:Trojan.Generic.44209
CAT-QuickHeal 9.00 2007.11.22 -
ClamAV 0.91.2 2007.11.22 -
DrWeb 4.44.0.09170 2007.11.22 -
eSafe 7.0.15.0 2007.11.21 suspicious Trojan/Worm
eTrust-Vet 31.3.5316 2007.11.22 -
Ewido 4.0 2007.11.21 -
FileAdvisor 1 2007.11.22 -
Fortinet 3.14.0.0 2007.11.22 -
F-Prot 4.4.2.54 2007.11.22 -
F-Secure 6.70.13030.0 2007.11.22 -
Ikarus T3.1.1.12 2007.11.22 Trojan-Spy.Win32.Delf.abp
Kaspersky 7.0.0.125 2007.11.21 Trojan-Spy.Win32.Delf.abp
McAfee 5168 2007.11.21 -
Microsoft 1.3007 2007.11.22 -
NOD32v2 2678 2007.11.22 -
Norman 5.80.02 2007.11.22 -
Panda 9.0.0.4 2007.11.22 -
Prevx1 V2 2007.11.22 Heuristic: Suspicious File With Persistence
Rising 20.19.31.00 2007.11.22 -
Sophos 4.23.0 2007.11.22 -
Sunbelt 2.2.907.0 2007.11.22 -
Symantec 10 2007.11.22 -
TheHacker 6.2.9.136 2007.11.21 -
VBA32 3.12.2.5 2007.11.20 -
VirusBuster 4.3.26:9 2007.11.21 -
Webwasher-Gateway 6.0.1 2007.11.22 Trojan.Crypt.XDR.Gen

Plik jest Na pewno zainfekowany, także radze się go pozbyć.
Mam nadzieję, że go nie uruchomiłeś?

Autor postu otrzymał pochwałę

**Posty:** 2042 · przez **Wojtaz** 22 Lis 2007, 16:31

Ściągnąłem ten plik i nic. Nawet uruchomiłem xD Nic, nawet w procesach go nie ma. Usunąłem z dysku i też nic nie ma

**Posty:** 237 · przez **Kuba1** 22 Lis 2007, 16:35

Słuchaj kolego, jesteś idealnym przykładem człowieka, który nie kojarzy pewnych faktów.

Po 1 plik wirusa, praktycznie zawsze po uruchomieniu go upuszcza pliki o zupełnie innych nazwach, nazwy są by nakłonic ludzi do otwarcia pliku.

Po 2 pokaż swoje logi i zobaczymy, czy nic sie nie stalo.

Po 3 Nie żdziwiło Cię, że miało być zdjęcie, a nic się nie stało?Ktoś zadał by sobie trud, żeby Ci go wysłać Ty bys go uruchomił i koniec?

**Posty:** 2042 · przez **Wojtaz** 22 Lis 2007, 16:45

Ale ja to z ciekawości zrobiłem i się nie zdziwiłem, że nie ma zdjęcia

Po 2 mogę już mieć jakieś trojany, czy coś, bo mam strasznie tego syfu na kompie.
Po 3 macie loga z HijackThis:

Kod: Zaznacz wszystko: Logfile of HijackThis v1.99.1 Scan saved at 15:44:24, on 2007-11-22 Platform: Windows XP Dodatek SP2 (WinNT 5.01.2600) MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180) Running processes: C:\WINDOWS\System32\smss.exe C:\WINDOWS\system32\winlogon.exe C:\WINDOWS\system32\services.exe C:\WINDOWS\system32\lsass.exe C:\WINDOWS\system32\svchost.exe C:\WINDOWS\System32\svchost.exe C:\WINDOWS\system32\spoolsv.exe D:\Program Files\IVT Corporation\BlueSoleil\BTNtService.exe C:\WINDOWS\System32\FTRTSVC.exe C:\Program Files\Common Files\Microsoft Shared\VS7DEBUG\MDM.EXE D:\Program Files\Nero 8\Nero 8\Nero BackItUp\NBService.exe C:\WINDOWS\Explorer.EXE C:\WINDOWS\system32\RUNDLL32.EXE D:\Program Files\CyberLink\PowerDVD\PDVDServ.exe C:\Program Files\Analog Devices\Core\smax4pnp.exe C:\Program Files\Analog Devices\SoundMAX\Smax4.exe D:\Program Files\Creative\Creative Live! Cam\VideoFX\StartFX.exe C:\WINDOWS\system32\V0230Mon.exe D:\Program Files\Winamp\winampa.exe C:\PROGRA~1\NEOSTR~1\TaskBarIcon.exe C:\WINDOWS\system32\SRCHOST.SCR D:\Program Files\Creative\Creative Live! Cam\Live! Cam Manager\CTLCMgr.exe D:\Program Files\DAEMON Tools\daemon.exe D:\Program Files\CiDial\CiDial.exe C:\WINDOWS\system32\nvsvc32.exe D:\Program Files\Yahoo!\Widgets\YahooWidgetEngine.exe D:\Program Files\Alcohol Soft\Alcohol 120\StarWind\StarWindService.exe C:\WINDOWS\system32\svchost.exe D:\Program Files\Yahoo!\Widgets\YahooWidgetEngine.exe D:\Program Files\BitComet\BitComet.exe D:\Program Files\Mozilla Firefox\firefox.exe D:\Program Files\Gadu-Gadu\gg.exe C:\DOCUME~1\Wojtaz\USTAWI~1\Temp\Rar$EX00.204\HijackThis.exe R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.neostrada.pl R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Window Title = neostrada tp R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Łącza R3 - URLSearchHook: Search Class - {08C06D61-F1F3-4799-86F8-BE1A89362C85} - C:\PROGRA~1\NEOSTR~1\SEARCH~1.DLL O1 - Hosts: AmsServer O2 - BHO: Adobe PDF Reader Link Helper - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - D:\Program Files\Adobe\Acrobat 7.0\ActiveX\AcroIEHelper.dll O2 - BHO: Media Holding Enterprises, LLC - {0D39A900-0F3A-4C29-A254-3E65244FDC34} - C:\Program Files\ContextTool\ContextTool-2.dll O2 - BHO: Winamp Toolbar BHO - {25CEE8EC-5730-41bc-8B58-22DDC8AB8C20} - C:\Program Files\Winamp Toolbar\winamptb.dll O2 - BHO: My Global Search Bar BHO - {37B85A21-692B-4205-9CAD-2626E4993404} - C:\Program Files\MyGlobalSearch\bar\1.bin\MGSBAR.DLL O2 - BHO: BitComet ClickCapture - {39F7E362-828A-4B5A-BCAF-5B79BFDFEA60} - D:\Program Files\BitComet\tools\BitCometBHO_1.1.8.30.dll O2 - BHO: Mirar - {9A9C9B69-F908-4AAB-8D0C-10EA8997F37E} - C:\WINDOWS\system32\WinNB58.dll O3 - Toolbar: My Global Search Bar - {37B85A29-692B-4205-9CAD-2626E4993404} - C:\Program Files\MyGlobalSearch\bar\1.bin\MGSBAR.DLL O3 - Toolbar: Mirar - {9A9C9B68-F908-4AAB-8D0C-10EA8997F37E} - C:\WINDOWS\system32\WinNB58.dll O3 - Toolbar: Winamp Toolbar - {EBF2BA02-9094-4c5a-858B-BB198F3D8DE2} - C:\Program Files\Winamp Toolbar\winamptb.dll O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\system32\NvCpl.dll,NvStartup O4 - HKLM\..\Run: [nwiz] nwiz.exe /install O4 - HKLM\..\Run: [NvMediaCenter] RUNDLL32.EXE C:\WINDOWS\system32\NvMcTray.dll,NvTaskbarInit O4 - HKLM\..\Run: [RemoteControl] "D:\Program Files\CyberLink\PowerDVD\PDVDServ.exe" O4 - HKLM\..\Run: [High Definition Audio Property Page Shortcut] HDAShCut.exe O4 - HKLM\..\Run: [SoundMAXPnP] C:\Program Files\Analog Devices\Core\smax4pnp.exe O4 - HKLM\..\Run: [SoundMAX] "C:\Program Files\Analog Devices\SoundMAX\Smax4.exe" /tray O4 - HKLM\..\Run: [avast!] D:\PROGRA~1\ALWILS~1\Avast4\ashDisp.exe O4 - HKLM\..\Run: [NeroFilterCheck] C:\WINDOWS\system32\NeroCheck.exe O4 - HKLM\..\Run: [NBKeyScan] "D:\Program Files\Nero 8\Nero 8\Nero BackItUp\NBKeyScan.exe" O4 - HKLM\..\Run: [AVFX Engine] D:\Program Files\Creative\Creative Live! Cam\VideoFX\StartFX.exe O4 - HKLM\..\Run: [V0230Mon.exe] C:\WINDOWS\system32\V0230Mon.exe O4 - HKLM\..\Run: [WinampAgent] D:\Program Files\Winamp\winampa.exe O4 - HKLM\..\Run: [WOOWATCH] C:\PROGRA~1\NEOSTR~1\Watch.exe O4 - HKLM\..\Run: [WOOTASKBARICON] C:\PROGRA~1\NEOSTR~1\GestMaj.exe TaskBarIcon.exe O4 - HKLM\..\Run: [srchost] C:\WINDOWS\system32\SRCHOST.SCR O4 - HKCU\..\Run: [BgMonitor_{79662E04-7C6C-4d9f-84C7-88D8A56B10AA}] "C:\Program Files\Common Files\Nero\Lib\NMBgMonitor.exe" O4 - HKCU\..\Run: [Creative Live! Cam Manager] "D:\Program Files\Creative\Creative Live! Cam\Live! Cam Manager\CTLCMgr.exe" O4 - HKCU\..\Run: [DAEMON Tools] "D:\Program Files\DAEMON Tools\daemon.exe" -lang 1033 O4 - Startup: CiDial 2.3.lnk = D:\Program Files\CiDial\CiDial.exe O4 - Startup: Yahoo! Widget Engine.lnk = D:\Program Files\Yahoo!\Widgets\YahooWidgetEngine.exe O4 - Global Startup: Adobe Gamma Loader.lnk = C:\Program Files\Common Files\Adobe\Calibration\Adobe Gamma Loader.exe O4 - Global Startup: Adobe Reader Speed Launch.lnk = D:\Program Files\Adobe\Acrobat 7.0\Reader\reader_sl.exe O8 - Extra context menu item: &D&ownload &with BitComet - res://D:\Program Files\BitComet\BitComet.exe/AddLink.htm O8 - Extra context menu item: &D&ownload all video with BitComet - res://D:\Program Files\BitComet\BitComet.exe/AddVideo.htm O8 - Extra context menu item: &D&ownload all with BitComet - res://D:\Program Files\BitComet\BitComet.exe/AddAllLink.htm O8 - Extra context menu item: &Winamp Toolbar Search - C:\Documents and Settings\All Users\Dane aplikacji\Winamp Toolbar\ieToolbar\resources\en-US\local\search.html O8 - Extra context menu item: E&ksport do programu Microsoft Excel - res://D:\PROGRA~1\MICROS~1\OFFICE11\EXCEL.EXE/3000 O9 - Extra button: Messenger - -{FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe O9 - Extra 'Tools' menuitem: Windows Messenger - -{FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe O9 - Extra button: BitComet Search - {461CC20B-FB6E-4f16-8FE8-C29359DB100E} - D:\Program Files\BitComet\tools\BitCometBHO_1.1.8.30.dll O9 - Extra button: Badanie - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - D:\PROGRA~1\MICROS~1\OFFICE11\REFIEBAR.DLL O15 - Trusted Zone: http://click.getmirar.com (HKLM) O15 - Trusted Zone: http://click.mirarsearch.com (HKLM) O15 - Trusted Zone: http://redirect.mirarsearch.com (HKLM) O15 - Trusted Zone: http://awbeta.net-nucleus.com (HKLM) O16 - DPF: {30528230-99f7-4bb4-88d8-fa1d4f56a2ab} (Installation Support) - C:\Program Files\Yahoo!\Common\Yinsthelper.dll O17 - HKLM\System\CCS\Services\Tcpip\..\{EB064C20-B4EA-47FC-A262-30161D39858B}: NameServer = 194.204.159.1 217.98.63.164 O18 - Protocol: skype4com - {FFC8B962-9B40-4DFF-9458-1830C7DD7F5D} - C:\PROGRA~1\COMMON~1\Skype\SKYPE4~1.DLL O23 - Service: BlueSoleil Hid Service - Unknown owner - D:\Program Files\IVT Corporation\BlueSoleil\BTNtService.exe O23 - Service: France Telecom Routing Table Service (FTRTSVC) - France Telecom - C:\WINDOWS\System32\FTRTSVC.exe O23 - Service: Nero BackItUp Scheduler 3 - Nero AG - D:\Program Files\Nero 8\Nero 8\Nero BackItUp\NBService.exe O23 - Service: NMIndexingService - Nero AG - C:\Program Files\Common Files\Nero\Lib\NMIndexingService.exe O23 - Service: NVIDIA Display Driver Service (NVSvc) - NVIDIA Corporation - C:\WINDOWS\system32\nvsvc32.exe O23 - Service: StarWind iSCSI Service (StarWindService) - Rocket Division Software - D:\Program Files\Alcohol Soft\Alcohol 120\StarWind\StarWindService.exe

**Posty:** 237 · przez **Kuba1** 22 Lis 2007, 16:48

Syfu masz dużo na kompie. Załóż swój temat, daj logi z Hijackthis, Silentrunners i ComboFix już w nowym temacie.

Te logi daj po restarcie kompa.

**Posty:** 2042 · przez **Wojtaz** 22 Lis 2007, 16:53

Już założyłem nowy temat

**Posty:** 2691 · przez **Z@K** 22 Lis 2007, 17:22

dzieki wszystkim. po plusie dla osob pomagających.

EOT

plik. czy to wirus?

plik. czy to wirus?

Kto jest na forum