Problem z trojanem (?)

[luser]

Problem: trojan. Nie wiem jaki... Ostatnio AVG określił go jako psw.onlinegames.atno, ale wcześniej pojawiały się jakieś inne nazwy, których niestety nie pamiętam. Objawy: zaczęło się od tego, że Zonealarm i kilka innych programów przy uruchamianiu dawały komunikat "Zły obraz" (co on dokładnie oznacza nie wiem, coś chyba z plikami dll do których się program odwołuje? - mógłby ktoś mnie oświecić?). Avira Antivirus był stale włączony, ale nic nie wykrył... Inne programy i owszem. Łącznie skanowałem kompa ok. 10 różnymi antyvirami. Znajdowały coś w katalogach tymczasowych w documents and settings (np. plik exe ok. 50 - 60 KB).
Ostatnio już myślałem, że jest po problemie, ale AVG, którego teraz używam, obwieścił o infekcji psw.onlinegames.atno.

Próbowałem odpalać Combofix, ale mam z nim wielki problem - zawiesza się na komunikacie mówiącym o tym, że nastąpi restart systemu (coś w stylu "Proszę czekać - restartowanie komputera"), nie pomaga odpalanie w trybie awaryjnym. W C:\QooBox\Quarantine mam podkatalogi:

C\WINDOWS\temp -> plik: Perflib_Perfdata_1cc.dat.vir
C\WINDOWS\system32 -> pliki: MSINET.oca.vir oraz rtl60.bpl.vir

Przeskanowałem te pliki na virustotal.com i nic nie wykryło...

Log z Hijack This:

http://www.wklej.org/hash/146b239353/

Log z Silent Runners:

http://www.wklej.org/hash/04425b0f18/

Log z Gmer - rootkit:

http://www.wklej.org/hash/848a26ebb6/

Ogólnie to jestem załamany, bo nie wiem co dalej robić
Pewnie mam jakiegoś rootkita, albo jakąś poważną dziurę w oprogramowaniu przez którą to świństwo włazi... Aaa, dodam jeszcze, że zanim odkryłem infekcję miałem jakąś dziwną aktualizację z windows update dotyczącą jakiejś starszej wersji Net Framework... Ta aktualizacja była już dostępna od roku, więc trochę to podejrzane (mam włączone automatyczne aktualizacje).

[wojtas]

Wykonaj to co jest podane w tym temacie

Zastosuj SDFix . Po pobraniu uruchom go a rozpakuje się do C:\SDFix. Uruchom komputer w trybie awaryjnym (F8 przy stracie systemu). Będąc w awaryjnym uruchom plik RunThis.bat z folderu SDFixa. Zatwierdź czyszczenie przez Y. Poczekaj aż ukończy i komputer zresetuje

Potem wejdz do folderu C:\SDFix wrzuc zawartość pliku Report.txt oraz wykonaj


1. Ściągnij OTMoveIt i go włacz i odpal go z opcji CleanUp
2. wykonaj optymalizację windowsa
3.sciagnij ATF_Cleaner
zaznacz
Windows Temp
All users Temp
Temporary internet files
Recycle Bin
i wcisnij EMPTY SELECTED
4.Wyłącz przywracanie systemu ( właściwości mój komputer-zakładka przywracanie - wyłącz przywracanie na wszystkich dyskach). Po chwili włącz je powrotem
5.Przeskanuj obszar mojego komputera http://www.kaspersky.pl/virusscanner.html (uruchom przez IE) Daj raport z niego na forum.

i tym:

FixIEDef.

[luser]

Zrobiłem wszystko wg. instrukcji.
Log z SDFix:

Kod: Zaznacz wszystko

[b]SDFix: Version 1.228 [/b]
Run by Andrzej on 2008-09-22 at 10:33

Microsoft Windows XP [Wersja 5.1.2600]
Running From: C:\SDFix

[b]Checking Services [/b]:


Restoring Default Security Values
Restoring Default Hosts File

Rebooting


[b]Checking Files [/b]:

No Trojan Files Found






Removing Temp Files

[b]ADS Check [/b]:



                                 [b]Final Check [/b]:

catchme 0.3.1361.2 W2K/XP/Vista - rootkit/stealth malware detector by Gmer, http://www.gmer.net
Rootkit scan 2008-09-22 12:10:44
Windows 5.1.2600 Dodatek Service Pack 3 NTFS

scanning hidden processes ...

scanning hidden services & system hive ...

[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\sptd\Cfg]
"s1"=dword:9123101b
"s2"=dword:3167c481
"h0"=dword:00000001

[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\sptd\Cfg\19659239224E364682FA4BAF72C53EA4]
"h0"=dword:00000000
"khjeh"=hex:29,61,9c,1e,fc,7a,9e,c1,73,76,7c,5f,5f,c1,b4,14,8d,52,85,f6,81,..
"p0"="C:\Program Files\DAEMON Tools Lite\"

[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\sptd\Cfg\19659239224E364682FA4BAF72C53EA4\00000001]
"a0"=hex:20,01,00,00,fd,a0,a8,78,1a,15,06,e4,c5,ca,a4,75,ab,4a,fb,90,03,..
"khjeh"=hex:ec,f6,16,54,b2,b9,42,11,51,8b,3d,aa,3b,72,c3,2f,49,9b,24,79,4f,..

[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\sptd\Cfg\19659239224E364682FA4BAF72C53EA4\00000001\0Jf40]
"khjeh"=hex:b3,98,a1,b2,05,f1,40,92,b8,f0,36,0c,a8,db,6f,ea,63,36,2f,59,ce,..

[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\sptd\Cfg\19659239224E364682FA4BAF72C53EA4\00000001\0Jf41]
"khjeh"=hex:30,76,6c,d5,0c,82,b9,f4,04,b4,f8,79,46,d6,c6,bf,93,99,c5,96,ce,..
[HKEY_LOCAL_MACHINE\SYSTEM\ControlSet002\Services\sptd\Cfg\19659239224E364682FA4BAF72C53EA4]
"h0"=dword:00000000
"khjeh"=hex:8e,0d,fe,32,8c,25,d2,6d,f7,b0,38,69,04,1e,2c,5e,0d,fe,50,24,c6,..
"p0"="C:\Program Files\DAEMON Tools Lite\"

[HKEY_LOCAL_MACHINE\SYSTEM\ControlSet002\Services\sptd\Cfg\19659239224E364682FA4BAF72C53EA4\00000001]
"a0"=hex:20,01,00,00,fd,a0,a8,78,1a,15,06,e4,c5,ca,a4,75,ab,4a,fb,90,03,..
"khjeh"=hex:bb,5b,cb,2d,54,ac,27,38,6a,a8,80,91,1a,68,4e,12,2a,3a,cf,7f,15,..

[HKEY_LOCAL_MACHINE\SYSTEM\ControlSet002\Services\sptd\Cfg\19659239224E364682FA4BAF72C53EA4\00000001\0Jf40]
"khjeh"=hex:b3,98,a1,b2,05,f1,40,92,b8,f0,36,0c,a8,db,6f,ea,63,36,2f,59,ce,..

[HKEY_LOCAL_MACHINE\SYSTEM\ControlSet002\Services\sptd\Cfg\19659239224E364682FA4BAF72C53EA4\00000001\0Jf41]
"khjeh"=hex:27,c0,66,39,5b,75,06,cb,98,1c,fe,57,62,e1,8c,37,b0,31,98,be,e7,..
[HKEY_LOCAL_MACHINE\SYSTEM\ControlSet003\Services\sptd\Cfg\19659239224E364682FA4BAF72C53EA4]
"h0"=dword:00000000
"khjeh"=hex:29,61,9c,1e,fc,7a,9e,c1,73,76,7c,5f,5f,c1,b4,14,8d,52,85,f6,81,..
"p0"="C:\Program Files\DAEMON Tools Lite\"

[HKEY_LOCAL_MACHINE\SYSTEM\ControlSet003\Services\sptd\Cfg\19659239224E364682FA4BAF72C53EA4\00000001]
"a0"=hex:20,01,00,00,fd,a0,a8,78,1a,15,06,e4,c5,ca,a4,75,ab,4a,fb,90,03,..
"khjeh"=hex:ec,f6,16,54,b2,b9,42,11,51,8b,3d,aa,3b,72,c3,2f,49,9b,24,79,4f,..

[HKEY_LOCAL_MACHINE\SYSTEM\ControlSet003\Services\sptd\Cfg\19659239224E364682FA4BAF72C53EA4\00000001\0Jf40]
"khjeh"=hex:b3,98,a1,b2,05,f1,40,92,b8,f0,36,0c,a8,db,6f,ea,63,36,2f,59,ce,..

[HKEY_LOCAL_MACHINE\SYSTEM\ControlSet003\Services\sptd\Cfg\19659239224E364682FA4BAF72C53EA4\00000001\0Jf41]
"khjeh"=hex:30,76,6c,d5,0c,82,b9,f4,04,b4,f8,79,46,d6,c6,bf,93,99,c5,96,ce,..

scanning hidden registry entries ...

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\System]
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
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Windows]
"AppInit_DLLs"=""
"DeviceNotSelectedTimeout"="15"
"GDIProcessHandleQuota"=dword:00002710
"Spooler"="yes"
"swapdisk"=""
"TransmissionRetryTimeout"="90"
"USERProcessHandleQuota"=dword:00002710
"NoPopUpsOnBoot"=dword:00000001
"Error Mode"=dword:00000001
[HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Shell Extensions\Approved\{B4FBB758-3DD3-CE43-956E-71D2750E6708}]
"nalpcffkhaagoelclnbhjmppdlbd"=hex:69,61,6a,6f,6f,66,61,70,61,6a,61,70,6e,65,68,70,70,6e,00,00
"mabpmjfcmcbjclmhckfohhgkem"=hex:6a,61,69,6f,6d,64,65,6b,6c,64,6f,67,6c,6a,6c,67,6b,6c,69,61,00,..
"ebcocganjgcnkgmfpopaigfkobkmfppldhkeponhmi"=hex:66,61,6a,6f,68,67,70,6d,67,63,6d,66,00,f4

scanning hidden files ...

C:\Documents and Settings\Andrzej\My Private Folder\prvflder.dat 512 bytes

scan completed successfully
hidden processes: 0
hidden services: 0
hidden files: 1


[b]Remaining Services [/b]:




Authorized Application Key Export:

[HKEY_LOCAL_MACHINE\system\currentcontrolset\services\sharedaccess\parameters\firewallpolicy\standardprofile\authorizedapplications\list]
"C:\\WINDOWS\\system32\\sessmgr.exe"="C:\\WINDOWS\\system32\\sessmgr.exe:*:Disabled:@xpsp2res.dll,-22019"
"C:\\Program Files\\AQQ\\AQQ.exe"="C:\\Program Files\\AQQ\\AQQ.exe:*:Enabled:P2P AQQ"
"C:\\PROGRA~1\\AQQ\\AQQ.exe"="C:\\PROGRA~1\\AQQ\\AQQ.exe:*:Enabled:P2P AQQ"
"C:\\Program Files\\Battlefield 2 Demo\\BF2.exe"="C:\\Program Files\\Battlefield 2 Demo\\BF2.exe:*:Enabled:Battlefield 2"
"C:\\Program Files\\Messenger\\msmsgs.exe"="C:\\Program Files\\Messenger\\msmsgs.exe:*:Enabled:Windows Messenger"
"C:\\Program Files\\MSN Messenger\\msncall.exe"="C:\\Program Files\\MSN Messenger\\msncall.exe:*:Enabled:Windows Live Messenger 8.0 (Phone)"
"C:\\Program Files\\TVedia4\\TVedia.exe"="C:\\Program Files\\TVedia4\\TVedia.exe:LocalSubNet:Enabled:TVedia"
"C:\\Program Files\\TVedia4\\TVediaDMS.exe"="C:\\Program Files\\TVedia4\\TVediaDMS.exe:LocalSubNet:Enabled:TVedia UPnP Digital Media Server"
"%windir%\\Network Diagnostic\\xpnetdiag.exe"="%windir%\\Network Diagnostic\\xpnetdiag.exe:*:Enabled:@xpsp3res.dll,-20000"
"C:\\Program Files\\PPStream\\PPStream.exe"="C:\\Program Files\\PPStream\\PPStream.exe:*:Enabled:PPStream"
"C:\\Program Files\\PPMate\\PPMate\\ppmate.exe"="C:\\Program Files\\PPMate\\PPMate\\ppmate.exe:*:Enabled:PPMate"
"C:\\Program Files\\PPMate\\PPMate\\ppmnet.exe"="C:\\Program Files\\PPMate\\PPMate\\ppmnet.exe:*:Enabled:PPMate"
"C:\\PROGRA~1\\pccast\\PODCAS~1.EXE"="C:\\PROGRA~1\\pccast\\PODCAS~1.EXE:*:Enabled:Share Streaming"
"C:\\Program Files\\pccast\\PodcastBar.exe"="C:\\Program Files\\pccast\\PodcastBar.exe:*:Enabled:Share Streaming"
"C:\\Program Files\\Bonjour\\mDNSResponder.exe"="C:\\Program Files\\Bonjour\\mDNSResponder.exe:*:Enabled:Bonjour"
"C:\\Program Files\\MSN Messenger\\msnmsgr.exe"="C:\\Program Files\\MSN Messenger\\msnmsgr.exe:*:Enabled:Windows Live Messenger 8.1"
"C:\\Program Files\\MSN Messenger\\livecall.exe"="C:\\Program Files\\MSN Messenger\\livecall.exe:*:Enabled:Windows Live Messenger 8.1 (Phone)"
"C:\\Program Files\\iTunes\\iTunes.exe"="C:\\Program Files\\iTunes\\iTunes.exe:*:Enabled:iTunes"
"C:\\Program Files\\Steam\\Steam.exe"="C:\\Program Files\\Steam\\Steam.exe:*:Enabled:Steam Client"
"C:\\Program Files\\Orbitdownloader\\orbitdm.exe"="C:\\Program Files\\Orbitdownloader\\orbitdm.exe:*:Enabled:Orbit"
"C:\\Program Files\\Orbitdownloader\\orbitnet.exe"="C:\\Program Files\\Orbitdownloader\\orbitnet.exe:*:Enabled:Orbit"
"C:\\Program Files\\Electronic Arts\\Battlefield 2142\\BF2142.exe"="C:\\Program Files\\Electronic Arts\\Battlefield 2142\\BF2142.exe:*:Enabled:Battlefield 2"
"C:\\Program Files\\Winamp Remote\\bin\\Orb.exe"="C:\\Program Files\\Winamp Remote\\bin\\Orb.exe:*:Enabled:Orb"
"C:\\Program Files\\Winamp Remote\\bin\\OrbTray.exe"="C:\\Program Files\\Winamp Remote\\bin\\OrbTray.exe:*:Enabled:OrbTray"
"C:\\Program Files\\Winamp Remote\\bin\\OrbStreamerClient.exe"="C:\\Program Files\\Winamp Remote\\bin\\OrbStreamerClient.exe:*:Enabled:Orb Stream Client"
"C:\\Program Files\\nusphere\\phped\\srv.exe"="C:\\Program Files\\nusphere\\phped\\srv.exe:*:Enabled:NuSphere PhpED SRV web server"
"C:\\Program Files\\nusphere\\phped\\debugger\\DbgListener.exe"="C:\\Program Files\\nusphere\\phped\\debugger\\DbgListener.exe:*:Enabled:NuSphere PhpED Dbg Listener"
"C:\\Program Files\\nusphere\\phped\\phped.exe"="C:\\Program Files\\nusphere\\phped\\phped.exe:*:Enabled:NuSphere PhpED Embedded browser"
"C:\\Program Files\\SmartFTP Client\\SmartFTP.exe"="C:\\Program Files\\SmartFTP Client\\SmartFTP.exe:*:Enabled:SmartFTP Client 3.0"
"%windir%\\system32\\sessmgr.exe"="%windir%\\system32\\sessmgr.exe:*:enabled:@xpsp2res.dll,-22019"
"C:\\Program Files\\Skype\\Phone\\Skype.exe"="C:\\Program Files\\Skype\\Phone\\Skype.exe:*:Enabled:Skype"
"C:\\Program Files\\Google\\Google Talk\\googletalk.exe"="C:\\Program Files\\Google\\Google Talk\\googletalk.exe:*:Enabled:Google Talk"
"C:\\Program Files\\AVG\\AVG8\\avgupd.exe"="C:\\Program Files\\AVG\\AVG8\\avgupd.exe:*:Enabled:avgupd.exe"

[HKEY_LOCAL_MACHINE\system\currentcontrolset\services\sharedaccess\parameters\firewallpolicy\domainprofile\authorizedapplications\list]
"%windir%\\system32\\sessmgr.exe"="%windir%\\system32\\sessmgr.exe:*:enabled:@xpsp2res.dll,-22019"
"C:\\Program Files\\MSN Messenger\\msncall.exe"="C:\\Program Files\\MSN Messenger\\msncall.exe:*:Enabled:Windows Live Messenger 8.0 (Phone)"
"%windir%\\Network Diagnostic\\xpnetdiag.exe"="%windir%\\Network Diagnostic\\xpnetdiag.exe:*:Enabled:@xpsp3res.dll,-20000"
"C:\\Program Files\\MSN Messenger\\msnmsgr.exe"="C:\\Program Files\\MSN Messenger\\msnmsgr.exe:*:Enabled:Windows Live Messenger 8.1"
"C:\\Program Files\\MSN Messenger\\livecall.exe"="C:\\Program Files\\MSN Messenger\\livecall.exe:*:Enabled:Windows Live Messenger 8.1 (Phone)"

[b]Remaining Files [/b]:



[b]Files with Hidden Attributes [/b]:

Wed 20 Aug 2008           211 A.SH. --- "C:\BOOT.BAK"
Sat 10 May 2008     6,104,632 A..H. --- "C:\Program Files\Picasa2\setup.exe"
Sun 26 Jun 2005       616,448 A.SHR --- "C:\Program Files\Replay AV 8\cygwin1.dll"
Wed 22 Jun 2005        45,568 A.SHR --- "C:\Program Files\Replay AV 8\cygz.dll"
Thu 23 Nov 2006        53,248 A..H. --- "C:\Program Files\Site Spinner\VMSetup.dll"
Wed  6 Feb 2008            88 ..SHR --- "C:\WINDOWS\system32\13F2C56A70.sys"
Thu 14 Jul 2005        27,648 A.SH. --- "C:\WINDOWS\system32\AVSredirect.dll"
Wed  6 Feb 2008         2,828 A.SH. --- "C:\WINDOWS\system32\KGyGaAvL.sys"
Sun 16 Jul 2006         4,348 ..SH. --- "C:\Documents and Settings\All Users\DRM\DRMv1.bak"
Mon 26 Mar 2007             0 A.SH. --- "C:\Documents and Settings\All Users\DRM\Cache\Indiv02.tmp"
Wed  6 Jun 2007       165,232 A..H. --- "C:\Documents and Settings\Andrzej\Dane aplikacji\Microsoft\Virtual PC\VPCKeyboard.dll"
Sun 16 Jul 2006         4,348 A..H. --- "C:\Documents and Settings\Andrzej\Moje dokumenty\Moja muzyka\Kopia zapasowa licencji\drmv1key.bak"
Sat 17 Mar 2007            20 A..H. --- "C:\Documents and Settings\Andrzej\Moje dokumenty\Moja muzyka\Kopia zapasowa licencji\drmv1lic.bak"
Mon 19 Feb 2007         9,656 A.SH. --- "C:\Documents and Settings\Andrzej\Moje dokumenty\Moja muzyka\Kopia zapasowa licencji\drmv2key.bak"

[b]Finished![/b]



Kaspersky nie wykrywa żadnych wirusów.

[wojtas]

tu tez nic nie widać niestety

[luser]

Dodano Dzisiaj, 20:40:
Odpaliłem programik Rootkit Unhooker i widzę, że coś on wykrywa. Daję dwa logi.
http://www.wklej.org/hash/48df3f471e/

Drugi wykonany po restarcie:

http://www.wklej.org/hash/ab5af5f9aa/

Na pierwszym widać coś takiego jak spnj.sys, na drugim spfg.sys. Hmmmm.....

[Okocza]

luser, zastosuj

F-Secure Blacklight

narzedzia-do-usuwania-plikow-vt96629.html