Proszę o sprawdzenie logów (keylogger, tibia)

**Posty:** 5 · przez **Kamilekk34** 07 Cze 2010, 13:56

Kod: Zaznacz wszystko: GMER 1.0.15.15281 - http://www.gmer.net Rootkit scan 2010-06-07 13:32:34 Windows 5.1.2600 Dodatek Service Pack 3 Running: ozk5fojb.exe; Driver: C:\DOCUME~1\Kamil\USTAWI~1\Temp\kwkiyfob.sys ---- Kernel code sections - GMER 1.0.15 ---- .text C:\WINDOWS\system32\DRIVERS\ati2mtag.sys section is writeable [0xB9A82000, 0x1A5044, 0xE8000020] ---- User code sections - GMER 1.0.15 ---- .text C:\Program Files\ESET\ESET NOD32 Antivirus\ekrn.exe[512] kernel32.dll!SetUnhandledExceptionFilter 7C8449FD 4 Bytes [C2, 04, 00, 00] ---- Devices - GMER 1.0.15 ---- AttachedDevice \FileSystem\Ntfs \Ntfs eamon.sys (Amon monitor/ESET) AttachedDevice \Driver\Tcpip \Device\Tcp epfwtdir.sys (ESET Antivirus Network Redirector/ESET) ---- Registry - GMER 1.0.15 ---- Reg HKLM\SYSTEM\CurrentControlSet\Services\sptd\Cfg\14919EA49A8F3B4AA3CF1058D9A64CEC Reg HKLM\SYSTEM\CurrentControlSet\Services\sptd\Cfg\14919EA49A8F3B4AA3CF1058D9A64CEC@h0 0 Reg HKLM\SYSTEM\CurrentControlSet\Services\sptd\Cfg\14919EA49A8F3B4AA3CF1058D9A64CEC@hdf12 0xA7 0xD6 0x2A 0xF8 ... Reg HKLM\SYSTEM\ControlSet002\Services\sptd\Cfg\14919EA49A8F3B4AA3CF1058D9A64CEC (not active ControlSet) Reg HKLM\SYSTEM\ControlSet002\Services\sptd\Cfg\14919EA49A8F3B4AA3CF1058D9A64CEC@h0 0 Reg HKLM\SYSTEM\ControlSet002\Services\sptd\Cfg\14919EA49A8F3B4AA3CF1058D9A64CEC@hdf12 0xA7 0xD6 0x2A 0xF8 ... ---- EOF - GMER 1.0.15 ----

Jeżeli możecie, to napiszcie co mam usunąć i jak ponieważ jestem zielony w tych sprawach..

Dziękuję i Pozdrawiam!
Jeżeli coś jest nie tak, proszę napisać.. nie usuwać temat, jestem początkujący..

**Posty:** 2183 · przez **NieWiem** 07 Cze 2010, 14:22

Nie, nie sprawdzimy Twoich logów

Chyba że zechcesz poczytać panujące tutaj zasady, odnośnie nazywania tematów, sposobu wklejania logów i tego, jakie logi dajemy. Oraz informacji o problemie, bo samo hasło "Sprawdźcie logi (keylogger)" nic nikomu nie mówi.
obowiazkowe-zasady-wstawiania-logow-wazne-vt117887.html
otl-dds-combofix-vt117885.html

Do czasu poprawek nie pomagamy!

**Posty:** 5 · przez **Kamilekk34** 07 Cze 2010, 15:08

Logi z OTL:

http://www.wklej.org/id/346901/

http://www.wklej.org/id/346903/

Proszę.

**Posty:** 2183 · przez **NieWiem** 07 Cze 2010, 15:09

Chyba że zechcesz poczytać panujące tutaj zasady, odnośnie nazywania tematów(...)

Oraz informacji o problemie, bo samo hasło "Sprawdźcie logi (keylogger)" nic nikomu nie mówi.

**Posty:** 5 · przez **Kamilekk34** 07 Cze 2010, 15:26

Jak mam opisać? Zostałem hacknięty.. w grze, o nazwie Tibia.. Więc szukam problemu.. Keyloggera..
Gdybym wiedział co to za keylogger to bym napisał.. Nie wiem gdzie jest i jak się nazywa..

**Posty:** 18165 · przez **wojtas** 07 Cze 2010, 19:30

grasz w Pokera?

O9 - Extra Button: PokerStars - {3AD14F0C-ED16-4e43-B6D8-661B03F6A1EF} - C:\Program Files\PokerStars\PokerStarsUpdate.exe (PokerStars)

Uruchom OTL i w oknie Custom Scans/Fixes wklej :

:OTL
IE - HKCU\SOFTWARE\Microsoft\Internet Explorer\Main,Start Page = http://search.conduit.com?SearchSource=10&ctid=CT2530240
IE - HKCU\..\URLSearchHook: {57cc715d-37ca-44e4-9ec2-8c2cbddb25ec} - C:\Program Files\Free_Lunch_Design\tbFre1.dll (Conduit Ltd.)
IE - HKCU\..\URLSearchHook: {c86eb8a9-ccc2-4b6c-b75d-73576ed591bf} - C:\Program Files\Softonic-Polska\tbSoft.dll (Conduit Ltd.)
FF - prefs.js..browser.search.defaultthis.engineName: "Softonic-Polska Customized Web Search"
FF - prefs.js..browser.search.defaulturl: "http://search.conduit.com/ResultsExt.aspx?
FF - prefs.js..keyword.URL: "http://search.conduit.com/ResultsExt.aspx?ctid=CT2530240&q="
O2 - BHO: (Free Lunch Design Toolbar) - {57cc715d-37ca-44e4-9ec2-8c2cbddb25ec} - C:\Program Files\Free_Lunch_Design\tbFre1.dll (Conduit Ltd.)
O2 - BHO: (Google Toolbar Helper) - {AA58ED58-01DD-4d91-8333-CF10577473F7} - C:\Program Files\Google\Google Toolbar\GoogleToolbar_32.dll (Google Inc.)
O2 - BHO: (Google Toolbar Notifier BHO) - {AF69DE43-7D58-4638-B6FA-CE66B5AD205D} - C:\Program Files\Google\GoogleToolbarNotifier\5.4.4525.1752\swg.dll (Google Inc.)
O2 - BHO: (Softonic-Polska Toolbar) - {c86eb8a9-ccc2-4b6c-b75d-73576ed591bf} - C:\Program Files\Softonic-Polska\tbSoft.dll (Conduit Ltd.)
O3 - HKLM\..\Toolbar: (Google Toolbar) - {2318C2B1-4965-11d4-9B18-009027A5CD4F} - C:\Program Files\Google\Google Toolbar\GoogleToolbar_32.dll (Google Inc.)
O3 - HKLM\..\Toolbar: (Free Lunch Design Toolbar) - {57cc715d-37ca-44e4-9ec2-8c2cbddb25ec} - C:\Program Files\Free_Lunch_Design\tbFre1.dll (Conduit Ltd.)
O3 - HKLM\..\Toolbar: (Softonic-Polska Toolbar) - {c86eb8a9-ccc2-4b6c-b75d-73576ed591bf} - C:\Program Files\Softonic-Polska\tbSoft.dll (Conduit Ltd.)
O3 - HKCU\..\Toolbar\WebBrowser: (Google Toolbar) - {2318C2B1-4965-11D4-9B18-009027A5CD4F} - C:\Program Files\Google\Google Toolbar\GoogleToolbar_32.dll (Google Inc.)
O3 - HKCU\..\Toolbar\WebBrowser: (Free Lunch Design Toolbar) - {57CC715D-37CA-44E4-9EC2-8C2CBDDB25EC} - C:\Program Files\Free_Lunch_Design\tbFre1.dll (Conduit Ltd.)
O3 - HKCU\..\Toolbar\WebBrowser: (Softonic-Polska Toolbar) - {C86EB8A9-CCC2-4B6C-B75D-73576ED591BF} - C:\Program Files\Softonic-Polska\tbSoft.dll (Conduit Ltd.)
O4 - HKLM..\Run: [IE] C:\WINDOWS\system32\iE.exe ()
O4 - HKLM..\Run: [ISUSPM Startup] C:\Program Files\Common Files\InstallShield\UpdateService\isuspm.exe File not found
O4 - HKCU..\Run: [KillIt] C:\KillIt.exe File not found

:Files
C:\WINDOWS\system32\iE.exe
C:\Documents and Settings\Kamil\Dane aplikacji\Mozilla\Firefox\Profiles\xh4188mv.default\extensions\{57cc715d-37ca-44e4-9ec2-8c2cbddb25ec}
C:\Documents and Settings\Kamil\Dane aplikacji\Mozilla\Firefox\Profiles\xh4188mv.default\extensions\{c86eb8a9-ccc2-4b6c-b75d-73576ed591bf}
C:\Documents and Settings\Kamil\Dane aplikacji\Mozilla\Firefox\Profiles\xh4188mv.default\searchplugins\conduit.xml
C:\Program Files\Google\Google Toolbar

:Commands
[emptytemp]
[emptyflash]
[clearallrestorepoints]

Kliknij w Run Fix. I potwierdź reset komputera .

Następnie uruchamiasz OTL z opcją Run Scan. Pokazujesz nowy log OTL.txt oraz raport z czyszczenia komputera + log z Gmera
gmer-opis-dzialania-vt117883.html

**Posty:** 5 · przez **Kamilekk34** 07 Cze 2010, 20:42

Grałem w pokera :>
Raport z czyszczenia:

http://www.wklej.org/id/347083/

OTL.Txt:

http://www.wklej.org/id/347088/

Gmer:

Kod: Zaznacz wszystko: GMER 1.0.15.15281 - http://www.gmer.net Rootkit scan 2010-06-07 20:42:56 Windows 5.1.2600 Dodatek Service Pack 3 Running: pjtut5bj.exe; Driver: C:\DOCUME~1\Kamil\USTAWI~1\Temp\kwkiyfob.sys ---- Kernel code sections - GMER 1.0.15 ---- .text C:\WINDOWS\system32\DRIVERS\ati2mtag.sys section is writeable [0xB9AAC000, 0x1A5044, 0xE8000020] ---- User code sections - GMER 1.0.15 ---- .text C:\Program Files\ESET\ESET NOD32 Antivirus\ekrn.exe[524] kernel32.dll!SetUnhandledExceptionFilter 7C8449FD 4 Bytes [C2, 04, 00, 00] ---- Devices - GMER 1.0.15 ---- AttachedDevice \FileSystem\Ntfs \Ntfs eamon.sys (Amon monitor/ESET) AttachedDevice \Driver\Tcpip \Device\Tcp epfwtdir.sys (ESET Antivirus Network Redirector/ESET) ---- Registry - GMER 1.0.15 ---- Reg HKLM\SYSTEM\CurrentControlSet\Services\sptd\Cfg\14919EA49A8F3B4AA3CF1058D9A64CEC Reg HKLM\SYSTEM\CurrentControlSet\Services\sptd\Cfg\14919EA49A8F3B4AA3CF1058D9A64CEC@h0 0 Reg HKLM\SYSTEM\CurrentControlSet\Services\sptd\Cfg\14919EA49A8F3B4AA3CF1058D9A64CEC@hdf12 0xA7 0xD6 0x2A 0xF8 ... Reg HKLM\SYSTEM\ControlSet002\Services\sptd\Cfg\14919EA49A8F3B4AA3CF1058D9A64CEC (not active ControlSet) Reg HKLM\SYSTEM\ControlSet002\Services\sptd\Cfg\14919EA49A8F3B4AA3CF1058D9A64CEC@h0 0 Reg HKLM\SYSTEM\ControlSet002\Services\sptd\Cfg\14919EA49A8F3B4AA3CF1058D9A64CEC@hdf12 0xA7 0xD6 0x2A 0xF8 ... ---- EOF - GMER 1.0.15 ----

**Posty:** 18165 · przez **wojtas** 07 Cze 2010, 22:47

skasuj to świństwo :

C:\Program Files\Common Files\userInit.dll

Wykonaj czynności końcowe :

1.Uruchom OTL z opcji CleanUp
2. wykonaj optymalizację Windowsa
3.Wyłącz przywracanie systemu ( właściwości mój komputer-zakładka przywracanie - wyłącz przywracanie na wszystkich dyskach). Po chwili włącz je powrotem
4. zrób skan Malwarebytes Anti-Malware (zaktualizuj, usuń co znajdzie )

Zaktualizuj zabezpieczenia:
>>> Adobe Reader 9.3 (bez Free McAfee® Security Scan Plus)
>>> Internet Explorer 8
>>> Mozilla Firefox

Autor postu otrzymał pochwałę

**Posty:** 5 · przez **Kamilekk34** 08 Cze 2010, 13:23

Ok, usunąłem i zrobiłem czynności końcowe.
Czyli ten plik to był ten keylogger tak?
Dziękuję i Pozdrawiam!

**Posty:** 18165 · przez **wojtas** 08 Cze 2010, 15:43

sądzę że ten był keyloggerem :

C:\WINDOWS\system32\iE.exe