problem z trojanem.

**Posty:** 4 · przez **Eomer** 23 Maj 2008, 09:27

Wczoraj po ściągnięciu gry Wolf: ET na komputer wdymal mi sie jakiś trojan/spy. Wygląda to tak że nagle komp zaczyna mi świrować, otwierają sie rożne foldery, wysuwa sie pasek z "Menu Start". Po wywaleniu podejrzanych plikow z rejestru , nadal bylo to samo. Sciagnąlem Hijacka i przeskanowalem, tutaj jest moja prosba, mozecie zerknac okiem na ten log

# Logfile of Trend Micro HijackThis v2.0.2
# Scan saved at 09:25:50, on 2008-05-23
# Platform: Windows XP Dodatek SP3 (WinNT 5.01.2600)
# MSIE: Internet Explorer v6.00 SP3 (6.00.2900.5512)
# Boot mode: Normal
#
# Running processes:
# C:\WINDOWS\System32\smss.exe
# C:\WINDOWS\system32\winlogon.exe
# C:\WINDOWS\system32\services.exe
# C:\WINDOWS\system32\lsass.exe
# C:\WINDOWS\system32\svchost.exe
# C:\WINDOWS\System32\svchost.exe
# C:\WINDOWS\Explorer.EXE
# C:\Program Files\Lavasoft\Ad-Aware\aawservice.exe
# C:\Program Files\Alwil Software\Avast4\aswUpdSv.exe
# C:\Program Files\Alwil Software\Avast4\ashServ.exe
# C:\WINDOWS\system32\spoolsv.exe
# C:\Program Files\a-squared Free\a2service.exe
# C:\Program Files\Sunbelt Software\Personal Firewall\kpf4ss.exe
# C:\Program Files\Alwil Software\Avast4\ashMaiSv.exe
# C:\Program Files\Alwil Software\Avast4\ashWebSv.exe
# C:\Program Files\Sunbelt Software\Personal Firewall\kpf4gui.exe
# C:\WINDOWS\system32\wscntfy.exe
# C:\PROGRA~1\ALWILS~1\Avast4\ashDisp.exe
# C:\Program Files\SAGEM WiFi manager\WLANUTL.exe
# C:\WINDOWS\System32\svchost.exe
# C:\Program Files\Sunbelt Software\Personal Firewall\kpf4gui.exe
# C:\Program Files\Mozilla Firefox\firefox.exe
# C:\Program Files\Trend Micro\HijackThis\HijackThis.exe
#
# O2 - BHO: Adobe PDF Reader Link Helper - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Program Files\Common Files\Adobe\Acrobat\ActiveX\AcroIEHelper.dll
# O2 - BHO: Groove GFS Browser Helper - {72853161-30C5-4D22-B7F9-0BBC1D38A37E} - C:\PROGRA~1\MICROS~2\Office12\GRA8E1~1.DLL
# O2 - BHO: SSVHelper Class - {761497BB-D6F0-462C-B6EB-D4DAF1D92D43} - C:\Program Files\Java\jre1.6.0_05\bin\ssv.dll
# O4 - HKLM\..\Run: [avast!] C:\PROGRA~1\ALWILS~1\Avast4\ashDisp.exe
# O4 - Global Startup: Program sieciowy dla SAGEM Wi-Fi 11g USB adapter.lnk = ?
# O8 - Extra context menu item: E&ksportuj do programu Microsoft Excel - res://C:\PROGRA~1\MICROS~2\Office12\EXCEL.EXE/3000
# O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\jre1.6.0_05\bin\ssv.dll
# O9 - Extra 'Tools' menuitem: Sun Java Console - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\jre1.6.0_05\bin\ssv.dll
# O9 - Extra button: Wyślij do programu OneNote - {2670000A-7350-4f3c-8081-5663EE0C6C49} - C:\PROGRA~1\MICROS~2\Office12\ONBttnIE.dll
# O9 - Extra 'Tools' menuitem: Wyślij &do programu OneNote - {2670000A-7350-4f3c-8081-5663EE0C6C49} - C:\PROGRA~1\MICROS~2\Office12\ONBttnIE.dll
# O9 - Extra button: Research - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - C:\PROGRA~1\MICROS~2\Office12\REFIEBAR.DLL
# O9 - Extra button: (no name) - {e2e2dd38-d088-4134-82b7-f2ba38496583} - C:\WINDOWS\Network Diagnostic\xpnetdiag.exe
# O9 - Extra 'Tools' menuitem: @xpsp3res.dll,-20001 - {e2e2dd38-d088-4134-82b7-f2ba38496583} - C:\WINDOWS\Network Diagnostic\xpnetdiag.exe
# O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe
# O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe
# O18 - Protocol: grooveLocalGWS - {88FED34C-F0CA-4636-A375-3CB6248B04CD} - C:\PROGRA~1\MICROS~2\Office12\GR99D3~1.DLL
# O20 - Winlogon Notify: Antiwpa - C:\WINDOWS\SYSTEM32\antiwpa.dll
# O23 - Service: a-squared Free Service (a2free) - Emsi Software GmbH - C:\Program Files\a-squared Free\a2service.exe
# O23 - Service: Lavasoft Ad-Aware Service (aawservice) - Lavasoft - C:\Program Files\Lavasoft\Ad-Aware\aawservice.exe
# O23 - Service: avast! iAVS4 Control Service (aswUpdSv) - ALWIL Software - C:\Program Files\Alwil Software\Avast4\aswUpdSv.exe
# O23 - Service: avast! Antivirus - ALWIL Software - C:\Program Files\Alwil Software\Avast4\ashServ.exe
# O23 - Service: avast! Mail Scanner - ALWIL Software - C:\Program Files\Alwil Software\Avast4\ashMaiSv.exe
# O23 - Service: avast! Web Scanner - ALWIL Software - C:\Program Files\Alwil Software\Avast4\ashWebSv.exe
# O23 - Service: Sunbelt Personal Firewall 4 (SPF4) - Sunbelt Software - C:\Program Files\Sunbelt Software\Personal Firewall\kpf4ss.exe

Jeśli nic nie znajdziecie, to czy est inny sposob zeby usunąć ten syf?

Z góry Dzieki

**Posty:** 7956 · przez **Magik** 23 Maj 2008, 12:41

Eomer napisał(a):czy est inny sposob zeby usunąć ten syf?

jest, log z combo'
http://forum.programosy.pl/jak-generujemy-logi-z-combofixa-oraz-dssa-vt95026.html

Dawaj go od razu bo w HJT nic nie ma....czysty :!:

**Posty:** 4 · przez **Eomer** 24 Maj 2008, 13:45

Kod: Zaznacz wszystko: ComboFix 08-05-21.3 - tato 2008-05-24 13:36:55.1 - NTFSx86 Microsoft Windows XP Professional 5.1.2600.0.1250.1.1045.18.252 [GMT 2:00] Running from: C:\Documents and Settings\tato\Pulpit\ComboFix.exe * Created a new restore point [color=red][b]WARNING -THIS MACHINE DOES NOT HAVE THE RECOVERY CONSOLE INSTALLED !![/b][/color] . ((((((((((((((((((((((((( Files Created from 2008-04-24 to 2008-05-24 ))))))))))))))))))))))))))))))) . 2008-05-24 13:30 . 2008-05-24 13:30 0 --a------ C:\WINDOWS\nsreg.dat 2008-05-24 13:25 . 2001-08-17 22:48 4,608 --a------ C:\WINDOWS\system32\drivers\MSPQM.sys 2008-05-24 13:25 . 2001-08-17 23:01 2,816 --a------ C:\WINDOWS\system32\drivers\drmkaud.sys 2008-05-24 13:23 . 2008-05-24 13:23 <DIR> d-------- C:\Program Files\SAGEM WiFi manager 2008-05-24 13:23 . 2008-05-24 13:23 <DIR> d-------- C:\Program Files\SAGEM 2008-05-24 13:23 . 2005-12-22 14:45 493,440 --a------ C:\WINDOWS\system32\drivers\WlanBZ64.SYS 2008-05-24 13:22 . 2006-01-18 14:09 31,744 --a------ C:\WINDOWS\system32\drivers\ZDPSp50a64.sys 2008-05-24 13:20 . 2008-05-24 13:24 <DIR> d-------- C:\WINDOWS\system32\CatRoot2 2008-05-24 13:20 . 2008-05-24 13:20 <DIR> dr-h----- C:\Documents and Settings\Default User\Ustawienia lokalne 2008-05-24 13:20 . 2008-05-24 13:20 <DIR> d-------- C:\Documents and Settings\Default User\Ulubione 2008-05-24 13:20 . 2008-05-24 12:29 <DIR> d--h----- C:\Documents and Settings\Default User\Szablony 2008-05-24 13:20 . 2008-05-24 13:20 <DIR> d-------- C:\Documents and Settings\Default User\Pulpit 2008-05-24 13:20 . 2008-05-24 13:20 <DIR> d-------- C:\Documents and Settings\Default User\Moje dokumenty 2008-05-24 13:20 . 2008-05-24 13:20 <DIR> dr------- C:\Documents and Settings\Default User\Menu Start 2008-05-24 13:20 . 2008-05-24 13:20 <DIR> dr-h----- C:\Documents and Settings\Default User\Dane aplikacji 2008-05-24 13:20 . 2008-05-24 13:20 <DIR> d-------- C:\Documents and Settings\All Users\Ulubione 2008-05-24 13:20 . 2008-05-24 13:20 <DIR> d--h----- C:\Documents and Settings\All Users\Szablony 2008-05-24 13:20 . 2008-05-24 13:30 <DIR> d-------- C:\Documents and Settings\All Users\Pulpit 2008-05-24 13:20 . 2008-05-24 12:42 <DIR> dr------- C:\Documents and Settings\All Users\Menu Start 2008-05-24 13:20 . 2008-05-24 12:31 <DIR> dr------- C:\Documents and Settings\All Users\Dokumenty 2008-05-24 13:20 . 2008-05-24 13:20 <DIR> dr-h----- C:\Documents and Settings\All Users\Dane aplikacji 2008-05-24 13:19 . 2008-05-24 13:19 <DIR> d-------- C:\WINDOWS\LastGood 2008-05-24 13:19 . 2008-05-24 12:37 <DIR> d--h----- C:\Documents and Settings\Default User 2008-05-24 13:19 . 2008-05-24 12:34 <DIR> d-------- C:\Documents and Settings\All Users 2008-05-24 13:19 . 2008-05-24 12:46 <DIR> d-------- C:\Documents and Settings . (((((((((((((((((((((((((((((((((((((((( Find3M Report )))))))))))))))))))))))))))))))))))))))))))))))))))) . 2008-05-24 11:23 --------- d--h--w C:\Program Files\InstallShield Installation Information 2008-05-24 10:48 --------- d-----w C:\Program Files\Common Files\InstallShield 2008-05-24 10:38 --------- d-----w C:\Program Files\microsoft frontpage 2008-05-24 10:34 --------- d-----w C:\Program Files\Usługi online . ------- Sigcheck ------- 2001-10-26 19:29 13312 106e93e7eead4f0797fc1a30bd53fa3d C:\WINDOWS\system32\dllcache\ctfmon.exe . ((((((((((((((((((((((((((((((((((((( Reg Loading Points )))))))))))))))))))))))))))))))))))))))))))))))))) . . *Note* empty entries & legit default entries are not shown REGEDIT4 [HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] "CTFMON.EXE"="C:\WINDOWS\System32\ctfmon.exe" [ ] "MSMSGS"="C:\Program Files\Messenger\msmsgs.exe" [2001-08-02 07:14 1077277] [HKEY_USERS\.DEFAULT\Software\Microsoft\Windows\CurrentVersion\Run] "CTFMON.EXE"="C:\WINDOWS\System32\CTFMON.EXE" [ ] C:\Documents and Settings\All Users\Menu Start\Programy\Autostart\ Program sieciowy dla SAGEM Wi-Fi 11g USB adapter.lnk - C:\Program Files\SAGEM WiFi manager\WLANUTL.exe [2008-05-24 13:23:27 925696] R3 SG762_XP;SAGEM 802.11g XG762 1211B Driver;C:\WINDOWS\System32\DRIVERS\WlanBZXP.sys [2005-12-22 14:45] S3 ZDCndis5;ZDCndis5 Protocol Driver;C:\WINDOWS\System32\ZDCndis5.SYS [] *Newly Created Service* - CATCHME . ************************************************************************** catchme 0.3.1361 W2K/XP/Vista - rootkit/stealth malware detector by Gmer, http://www.gmer.net Rootkit scan 2008-05-24 13:38:03 Windows 5.1.2600 NTFS scanning hidden processes ... scanning hidden autostart entries ... scanning hidden files ... scan completed successfully hidden files: 0 ************************************************************************** . Completion time: 2008-05-24 13:39:33 ComboFix-quarantined-files.txt 2008-05-24 11:39:02 Pre-Run: 10,714,701,824 bajtów wolnych Post-Run: 10,710,441,984 bajtów wolnych 75

Oto i log z Combo. Przed chwila robiłem format i myślałem że to coś pomoże ale problem(wirus) wrócił i nadal mnie denerwuje. Wczoraj probowałem blokować porty, skanować Adwarem, nic to nie dało. Zwykle nie pytam na forum tylko probuje szukać odpowiedzi.

**Posty:** 8001 · przez **Okocza** 24 Maj 2008, 13:56

logi są czyste. co najwyżej na innej partycji może siedzieć

1. Ściągnij OTMoveIt i go włacz i odpal go z opcji CleanUp

2. wykonaj optymalizację windowsa
3.sciagnij ATF_Cleaner
zaznacz
Windows Temp
All users Temp
Temporary internet files
Recycle Bin
i wcisnij EMPTY SELECTED
4.Wyłącz przywracanie systemu ( właściwości mój komputer-zakładka przywracanie - wyłącz przywracanie na wszystkich dyskach). Po chwili włącz je powrotem

**Posty:** 4 · przez **Eomer** 24 Maj 2008, 19:18

Dalej to samo, nic nie pomaga, nawet format. Opisze ten problem ze szczegółami.

Raz na jakiś czas komputer zaczyna wariować, kursor zaczyna latać, jeśli nim ruszam to lata(jeśli nie to nic sie nie dzieje). Gdy właśnie tak kursor lata to wysuwa se pasek "Start" i otwierają sie rożne rzeczy, na dodatek jeśli mam włączoną przeglądarkę to mi ją zamyka(czasami). Nigdy wcześniej sie z takim czymś nie spotkałem.

Thx dla osób które mi pomagają.

**Posty:** 241 · przez **Paxo202** 24 Maj 2008, 19:22

Eomer, twoja myszka jest dobra? Też kiedyś miałem takie same problemy jak ty, i okazało się że to zawiniła zepsuta myszka. Nie wiem jakim sposobem mogła czynić takie cuda zepsuta myszka, ale gdy podłączyłem nową wszystko było ok. Jeżeli format nie pomaga to prawdopodobnie nie jest to wirus.

Autor postu otrzymał pochwałę

**Posty:** 8001 · przez **Okocza** 24 Maj 2008, 22:57

Paxo202 napisał(a):Jeżeli format nie pomaga to prawdopodobnie nie jest to wirus.

tu sie mylisz, jeśli Eomer ma kilka partycji to nie konieczni syf musi być na systemówce, co prawda Combo powinien go wykryć - ale nigdy nic nie wiadomo. Na jego miejscu przeskanowałbym partycje jakiś antywirusem + antyspyware.

Autor postu otrzymał pochwałę

**Posty:** 4 · przez **Eomer** 25 Maj 2008, 14:20

Problem został rozwiązany, okazało się że to była myszka, po jej wymianie wszystko dobrze chodzi Dziękuje kolegom za pomoc.

problem z trojanem.

Problem z Trojanem.

Kto jest na forum