Samoczynne zamykanie systemu

**Posty:** 133 · przez **Matteo** 08 Sie 2008, 11:49

Już drugi raz pojawia mi się komunikat:

Wcześniej komp kilka razy się restartował.

Dopiero co niedawno na nowo zainstalowałem system więc log jest krótki:

Kod: Zaznacz wszystko: Logfile of HijackThis v1.99.1 Scan saved at 11:47:51, on 2008-08-08 Platform: Windows XP Dodatek SP. 1 (WinNT 5.01.2600) MSIE: Internet Explorer v6.00 SP1 (6.00.2800.1106) Running processes: C:\WINDOWS\System32\smss.exe C:\WINDOWS\system32\winlogon.exe C:\WINDOWS\system32\services.exe C:\WINDOWS\system32\lsass.exe C:\WINDOWS\system32\svchost.exe C:\WINDOWS\System32\svchost.exe C:\WINDOWS\Explorer.exe C:\WINDOWS\system32\spoolsv.exe C:\Program Files\Kaspersky Lab\Kaspersky Internet Security 7.0\avp.exe C:\WINDOWS\System32\nvsvc32.exe C:\WINDOWS\System32\RUNDLL32.EXE C:\WINDOWS\SOUNDMAN.EXE C:\WINDOWS\ALCWZRD.EXE C:\Program Files\Kaspersky Lab\Kaspersky Internet Security 7.0\avp.exe C:\WINDOWS\system32\ashDsp.exe C:\WINDOWS\System32\ctfmon.exe C:\Program Files\Mozilla Firefox\firefox.exe C:\WINDOWS\System32\svchost.exe D:\HijackThis.exe R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Łącza F2 - REG:system.ini: Shell=Explorer.exe %WINDIR%\system32\ashDsp.exe O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - D:\Program Files\Adobe\Acrobat 6.0 CE\Reader\ActiveX\AcroIEHelper.dll O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINDOWS\System32\msdxm.ocx O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\System32\NvCpl.dll,NvStartup O4 - HKLM\..\Run: [nwiz] nwiz.exe /install O4 - HKLM\..\Run: [NvMediaCenter] RUNDLL32.EXE C:\WINDOWS\System32\NvMcTray.dll,NvTaskbarInit O4 - HKLM\..\Run: [Skrót do strony właściwości High Definition Audio] HDAudPropShortcut.exe O4 - HKLM\..\Run: [SoundMan] SOUNDMAN.EXE O4 - HKLM\..\Run: [AlcWzrd] ALCWZRD.EXE O4 - HKLM\..\Run: [Alcmtr] ALCMTR.EXE O4 - HKLM\..\Run: [AVP] "C:\Program Files\Kaspersky Lab\Kaspersky Internet Security 7.0\avp.exe" O4 - HKLM\..\Run: [SmartSync - ScheduleSync] D:\PROGRA~1\MOBILE~1\SMARTS~1\SCHEDU~1.EXE O4 - HKLM\..\Run: [ashDsp.exe] C:\WINDOWS\system32\ashDsp.exe O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\ctfmon.exe O4 - HKCU\..\Run: [Komunikator] C:\Program Files\Tlen.pl\tlen.exe O4 - Startup: Adobe Gamma.lnk = C:\Program Files\Common Files\Adobe\Calibration\Adobe Gamma Loader.exe O7 - HKCU\Software\Microsoft\Windows\CurrentVersion\Policies\System, DisableRegedit=1 O8 - Extra context menu item: Dodaj do blokowanych banerów - C:\Program Files\Kaspersky Lab\Kaspersky Internet Security 7.0\ie_banner_deny.htm O9 - Extra button: Statystyki dla ochrony WWW - {1F460357-8A94-4D71-9CA3-AA4ACF32ED8E} - C:\Program Files\Kaspersky Lab\Kaspersky Internet Security 7.0\SCIEPlgn.dll O9 - Extra button: Related - {c95fe080-8f5d-11d2-a20b-00aa003c157a} - C:\WINDOWS\web\related.htm O9 - Extra 'Tools' menuitem: Show &Related Links - {c95fe080-8f5d-11d2-a20b-00aa003c157a} - C:\WINDOWS\web\related.htm O20 - AppInit_DLLs: C:\PROGRA~1\KASPER~1\KASPER~1.0\adialhk.dll O20 - Winlogon Notify: klogon - C:\WINDOWS\System32\klogon.dll O23 - Service: Adobe LM Service - Adobe Systems - C:\Program Files\Common Files\Adobe Systems Shared\Service\Adobelmsvc.exe O23 - Service: Kaspersky Internet Security 7.0 (AVP) - Kaspersky Lab - C:\Program Files\Kaspersky Lab\Kaspersky Internet Security 7.0\avp.exe O23 - Service: NVIDIA Display Driver Service (NVSvc) - NVIDIA Corporation - C:\WINDOWS\System32\nvsvc32.exe

Co jest grane, wie ktoś?

**Posty:** 8001 · przez **Okocza** 08 Sie 2008, 11:51

Matteo,

przeczytaj-zanim-wstawisz-logi-na-forum-vt93842.html

**Posty:** 133 · przez **Matteo** 08 Sie 2008, 12:03

ok poprawiłem, kiedyś to forum inaczej wyglądało a dawno tu nie byłem więc sorry za błąd.
Dodam jeszcze że na modemie widzę zaświecona diodę "send" a wcześniej to nie miało miejsca. Chyba że coś ściągałem/uploadowałem to jedynie wtedy.

**Posty:** 18165 · przez **wojtas** 08 Sie 2008, 12:29

Wykonaj to co jest podane w tym temacie

Zastosuj SDFix . Po pobraniu uruchom go a rozpakuje się do C:\SDFix. Uruchom komputer w trybie awaryjnym (F8 przy stracie systemu). Będąc w awaryjnym uruchom plik RunThis.bat z folderu SDFixa. Zatwierdź czyszczenie przez Y. Poczekaj aż ukończy i komputer zresetuje

Potem wejdz do folderu C:\SDFix wrzuc zawartość pliku Report.txt + log z combofixa oraz daj loga z hijacka

Autor postu otrzymał pochwałę

**Posty:** 684 · przez **djarta** 08 Sie 2008, 12:29

O4 - HKLM\..\Run: [ashDsp.exe] C:\WINDOWS\system32\ashDsp.exe
O7 - HKCU\Software\Microsoft\Windows\CurrentVersion\Policies\System, DisableRegedit=1

Te w/w wpisy sfiksuj w Hijacku:
>>Hijack>>scan(Do a system scan only)>>zaznacz je >>Fix checked

Wykonaj to co jest podane w tym temacie.

Użyj--->SDFix.(niżej na stronie linku).
Uruchom go w trybie awaryjnym
Pokaż Report.txt znajdujący się w folderze SDFix.

Daj log z -----> ComboFix.

**Posty:** 133 · przez **Matteo** 08 Sie 2008, 13:40

ok zrobione wygląda to tak:

najpierw:

sdfix:

Kod: Zaznacz wszystko: [b]SDFix: Version 1.214 [/b] Run by Administrator on 2008-08-08 at 13:14 Microsoft Windows XP [Wersja 5.1.2600] Running From: C:\SDFix [b]Checking Services [/b]: C:\WINDOWS\system32\Microsoft\backup.ftp Found C:\WINDOWS\system32\Microsoft\backup.tftp Found [b]Checking files[/b]: [b]Genuine[/b]: C:\WINDOWS\system32\Microsoft\backup.ftp C:\WINDOWS\system32\Microsoft\backup.tftp [b]Dummy[/b]: C:\WINDOWS\system32\ftp.exe C:\WINDOWS\system32\tftp.exe C:\WINDOWS\system32\dllcache\ftp.exe C:\WINDOWS\system32\dllcache\tftp.exe Files copied to SDFix\Backups Restoring files if backups are found [b]Final Check[/b]: [b]Genuine[/b]: C:\WINDOWS\system32\Microsoft\backup.ftp C:\WINDOWS\system32\Microsoft\backup.tftp C:\WINDOWS\system32\ftp.exe C:\WINDOWS\system32\tftp.exe C:\WINDOWS\system32\dllcache\ftp.exe C:\WINDOWS\system32\dllcache\tftp.exe Restoring Default Security Values Restoring Default Hosts File Rebooting [b]Checking Files [/b]: Trojan Files Found: C:\WINDOWS\system32\Microsoft\backup.ftp - Deleted C:\WINDOWS\system32\Microsoft\backup.tftp - Deleted Removing Temp Files [b]ADS Check [/b]: [b]Final Check [/b]: catchme 0.3.1361.2 W2K/XP/Vista - rootkit/stealth malware detector by Gmer, http://www.gmer.net Rootkit scan 2008-08-08 13:16:13 Windows 5.1.2600 Dodatek Service Pack. 1 NTFS scanning hidden processes ... scanning hidden services & system hive ... scanning hidden registry entries ... scanning hidden files ... scan completed successfully hidden processes: 0 hidden services: 0 hidden files: 0 [b]Remaining Services [/b]: Authorized Application Key Export: [b]Remaining Files [/b]: File Backups: - C:\SDFix\backups\backups.zip [b]Files with Hidden Attributes [/b]: Fri 8 Aug 2008 98,816 ..SHR --- "C:\WINDOWS\system32\ashDsp.exe" [b]Finished![/b]

Log z combofix po wywaleniu tych 2 procesów:

Kod: Zaznacz wszystko: ComboFix 08-08-07.05 - Matteo 2008-08-08 13:22:31.1 - NTFSx86 Microsoft Windows XP Professional 5.1.2600.1.1250.1.1045.18.271 [GMT 2:00] Running from: C:\Documents and Settings\Matteo\Pulpit\ComboFix.exe * Created a new restore point [color=red][b]WARNING -THIS MACHINE DOES NOT HAVE THE RECOVERY CONSOLE INSTALLED !![/b][/color] . ((((((((((((((((((((((((( Files Created from 2008-07-08 to 2008-08-08 ))))))))))))))))))))))))))))))) . 2008-08-08 13:00 . 2008-08-08 13:00 <DIR> d-------- C:\WINDOWS\ERUNT 2008-08-08 12:59 . 2008-07-08 18:51 <DIR> d--h----- C:\Documents and Settings\Administrator\Ustawienia lokalne 2008-08-08 12:59 . 2008-07-08 18:51 <DIR> d-------- C:\Documents and Settings\Administrator\Ulubione 2008-08-08 12:59 . 2008-07-08 17:58 <DIR> d--h----- C:\Documents and Settings\Administrator\Szablony 2008-08-08 12:59 . 2008-07-08 18:51 <DIR> d-------- C:\Documents and Settings\Administrator\Pulpit 2008-08-08 12:59 . 2008-07-08 18:51 <DIR> d-------- C:\Documents and Settings\Administrator\Moje dokumenty 2008-08-08 12:59 . 2008-07-08 18:51 <DIR> dr------- C:\Documents and Settings\Administrator\Menu Start 2008-08-08 12:59 . 2008-07-08 18:51 <DIR> dr-h----- C:\Documents and Settings\Administrator\Dane aplikacji 2008-08-08 12:59 . 2008-08-08 12:59 <DIR> d-------- C:\Documents and Settings\Administrator 2008-08-08 12:55 . 2008-08-08 13:16 <DIR> d-------- C:\SDFix 2008-08-08 11:35 . 2008-08-08 13:04 60,416 --a------ C:\i7g4i7i1u8r6.exe 2008-08-08 11:34 . 2008-08-08 11:34 98,816 -r-hs---- C:\WINDOWS\system32\ashDsp.exe 2008-08-05 14:31 . 2002-08-29 01:32 21,760 --a--c--- C:\WINDOWS\system32\dllcache\usbstor.sys 2008-07-15 20:58 . 2008-07-15 20:58 552 --a------ C:\WINDOWS\system32\d3d8caps.dat 2008-07-13 15:37 . 2008-07-13 15:37 <DIR> d---s---- C:\Documents and Settings\Matteo\UserData 2008-07-12 14:31 . 2008-07-12 14:31 <DIR> d-------- C:\Program Files\Common Files\Adobe Systems Shared 2008-07-12 14:31 . 2008-07-12 14:31 <DIR> d-------- C:\Documents and Settings\All Users\Dane aplikacji\Adobe Systems 2008-07-10 15:19 . 2008-07-10 15:19 <DIR> d-------- C:\Program Files\WMV9_VCM 2008-07-10 14:46 . 2008-07-10 14:46 <DIR> d-------- C:\Documents and Settings\Matteo\Dane aplikacji\XCPCSync.OEM 2008-07-10 14:42 . 2003-08-25 18:06 182,880 --a------ C:\WINDOWS\system32\iuengine.dll 2008-07-10 14:42 . 2003-08-25 18:06 182,880 --a--c--- C:\WINDOWS\system32\dllcache\iuengine.dll 2008-07-10 14:30 . 1998-06-18 01:00 89,360 --a------ C:\WINDOWS\system32\VB5DB.DLL 2008-07-10 14:30 . 1998-05-05 22:00 57,344 --------- C:\WINDOWS\system32\VBAME.DLL 2008-07-10 14:29 . 2008-07-10 14:29 <DIR> d-------- C:\Program Files\Common Files\XCPCSync.OEM 2008-07-10 14:00 . 2008-07-10 14:00 <DIR> d-------- C:\Documents and Settings\Matteo\Dane aplikacji\AdobeUM 2008-07-10 13:55 . 2008-07-10 13:55 <DIR> d-------- C:\Documents and Settings\Mateo\Moje dokumenty 2008-07-10 13:55 . 2008-07-10 13:55 <DIR> d-------- C:\Documents and Settings\Mateo 2008-07-10 13:33 . 2008-07-10 13:33 1,103 --a------ C:\WINDOWS\bestplayer.ini 2008-07-10 13:33 . 2008-07-10 13:33 0 --a------ C:\WINDOWS\bestplayer.bpp 2008-07-10 13:33 . 2008-07-10 13:33 0 --a------ C:\WINDOWS\bestplayer.bbt 2008-07-08 20:03 . 2008-07-08 20:03 <DIR> d-------- C:\Documents and Settings\Matteo\Dane aplikacji\Gadu-Gadu 2008-07-08 20:01 . 2008-07-11 00:00 <DIR> d-------- C:\Program Files\Gadu-Gadu 2008-07-08 20:01 . 2008-07-08 20:03 <DIR> d-------- C:\Documents and Settings\Matteo\Gadu-Gadu 2008-07-08 17:59 . 2008-07-08 18:01 <DIR> d-------- C:\Program Files\Usugi online 2008-07-08 17:58 . 2008-07-08 17:59 <DIR> d-------- C:\WINDOWS\system32\MsDtc . (((((((((((((((((((((((((((((((((((((((( Find3M Report )))))))))))))))))))))))))))))))))))))))))))))))))))) . 2008-08-08 11:27 61,448 --sha-w C:\WINDOWS\system32\drivers\fidbox.idx 2008-08-08 11:27 3,965,728 --sha-w C:\WINDOWS\system32\drivers\fidbox.dat 2008-08-08 11:27 20,924 --sha-w C:\WINDOWS\system32\drivers\fidbox2.idx 2008-08-08 11:27 167,712 --sha-w C:\WINDOWS\system32\drivers\fidbox2.dat 2008-08-08 11:16 --------- d-----w C:\Documents and Settings\All Users\Dane aplikacji\Kaspersky Lab 2008-08-08 09:34 133,632 ----a-w C:\WINDOWS\system32\sfc_os.dll 2008-08-06 17:07 96,976 ----a-w C:\WINDOWS\system32\drivers\klin.dat 2008-07-24 11:09 87,855 ----a-w C:\WINDOWS\system32\drivers\klick.dat 2008-07-12 12:32 --------- d-----w C:\Program Files\Common Files\Adobe 2008-07-10 12:45 --------- d--h--w C:\Program Files\InstallShield Installation Information 2008-07-10 12:26 --------- d-----w C:\Program Files\Common Files\InstallShield 2008-07-08 18:00 --------- d-----w C:\Program Files\Tlen.pl 2008-07-08 17:31 --------- d-----w C:\Documents and Settings\Matteo\Dane aplikacji\Tlen.pl 2008-07-08 16:50 112,144 ----a-w C:\WINDOWS\system32\drivers\kl1.sys 2008-07-08 16:38 --------- d-----w C:\Program Files\Kaspersky Lab 2008-07-08 16:37 --------- d-----w C:\Documents and Settings\All Users\Dane aplikacji\Kaspersky Lab Setup Files 2008-07-08 16:21 --------- d-----w C:\Program Files\Realtek 2008-07-08 16:11 --------- d-----w C:\Program Files\Intel 2008-07-08 16:02 558,142 ----a-w C:\WINDOWS\java\Packages\5NXRHJLN.ZIP 2008-07-08 16:02 155,995 ----a-w C:\WINDOWS\java\Packages\I9R3R5F7.ZIP 2008-07-08 16:02 --------- d-----w C:\Program Files\microsoft frontpage 2008-07-08 16:01 --------- d-----w C:\Program Files\Usługi online . ((((((((((((((((((((((((((((((((((((( Reg Loading Points )))))))))))))))))))))))))))))))))))))))))))))))))) . . *Note* empty entries & legit default entries are not shown REGEDIT4 [HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] "CTFMON.EXE"="C:\WINDOWS\System32\ctfmon.exe" [2002-09-20 19:05 13312] [HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] "NvCplDaemon"="C:\WINDOWS\System32\NvCpl.dll" [2006-10-22 12:22 7700480] "NvMediaCenter"="C:\WINDOWS\System32\NvMcTray.dll" [2006-10-22 12:22 86016] "SmartSync - ScheduleSync"="D:\PROGRA~1\MOBILE~1\SMARTS~1\SCHEDU~1.EXE" [2005-10-21 16:20 45056] "AVP"="C:\Program Files\Kaspersky Lab\Kaspersky Internet Security 7.0\avp.exe" [2008-02-08 18:36 227856] "nwiz"="nwiz.exe" [2006-10-22 12:22 1622016 C:\WINDOWS\system32\nwiz.exe] "Skrót do strony właściwości High Definition Audio"="HDAudPropShortcut.exe" [2004-03-17 15:10 61952 C:\WINDOWS\system32\Hdaudpropshortcut.exe] "SoundMan"="SOUNDMAN.EXE" [2004-10-13 08:01 77824 C:\WINDOWS\SOUNDMAN.EXE] "AlcWzrd"="ALCWZRD.EXE" [2004-10-13 10:17 2742272 C:\WINDOWS\ALCWZRD.EXE] [HKEY_USERS\.DEFAULT\Software\Microsoft\Windows\CurrentVersion\Run] "CTFMON.EXE"="C:\WINDOWS\System32\CTFMON.EXE" [2002-09-20 19:05 13312] C:\Documents and Settings\Matteo\Menu Start\Programy\Autostart\ Adobe Gamma.lnk - C:\Program Files\Common Files\Adobe\Calibration\Adobe Gamma Loader.exe [2005-03-16 19:16:50 113664] [HKEY_LOCAL_MACHINE\software\microsoft\security center] "UpdatesDisableNotify"=dword:00000001 "AntiVirusDisableNotify"=dword:00000001 "AntiVirusOverride"=dword:00000001 "FirewallOverride"=dword:00000001 [HKEY_LOCAL_MACHINE\software\microsoft\security center\Monitoring\KasperskyAntiVirus] "DisableMonitoring"=dword:00000001 R3 klim5;Kaspersky Anti-Virus NDIS Filter;C:\WINDOWS\System32\DRIVERS\klim5.sys [2007-12-13 13:28] S3 siusbmod;siusbmod;C:\WINDOWS\System32\DRIVERS\siusbmod.sys [2005-11-30 17:12] . - - - - ORPHANS REMOVED - - - - HKCU-Run-Komunikator - C:\Program Files\Tlen.pl\tlen.exe . ------- Supplementary Scan ------- . FireFox -: Profile - C:\Documents and Settings\Matteo\Dane aplikacji\Mozilla\Firefox\Profiles\4jc5xaw4.default\ FF -: plugin - D:\Program Files\Adobe\Acrobat 6.0 CE\Reader\browser\nppdf32.dll ************************************************************************** catchme 0.3.1361 W2K/XP/Vista - rootkit/stealth malware detector by Gmer, http://www.gmer.net Rootkit scan 2008-08-08 13:27:50 Windows 5.1.2600 Dodatek Service Pack. 1 NTFS scanning hidden processes ... scanning hidden autostart entries ... scanning hidden files ... scan completed successfully hidden files: 0 ************************************************************************** . ------------------------ Other Running Processes ------------------------ . C:\WINDOWS\system32\nvsvc32.exe C:\WINDOWS\system32\rundll32.exe . ************************************************************************** . Completion time: 2008-08-08 13:28:57 - machine was rebooted ComboFix-quarantined-files.txt 2008-08-08 11:28:53 Pre-Run: 12,162,568,192 bajtów wolnych Post-Run: 12,145,225,728 bajt˘w wolnych 128

i hijack:

Kod: Zaznacz wszystko: Logfile of HijackThis v1.99.1 Scan saved at 13:39:38, on 2008-08-08 Platform: Windows XP Dodatek SP. 1 (WinNT 5.01.2600) MSIE: Internet Explorer v6.00 SP1 (6.00.2800.1106) Running processes: C:\WINDOWS\System32\smss.exe C:\WINDOWS\system32\winlogon.exe C:\WINDOWS\system32\services.exe C:\WINDOWS\system32\lsass.exe C:\WINDOWS\system32\svchost.exe C:\WINDOWS\System32\svchost.exe C:\WINDOWS\system32\spoolsv.exe C:\Program Files\Kaspersky Lab\Kaspersky Internet Security 7.0\avp.exe C:\WINDOWS\System32\nvsvc32.exe C:\WINDOWS\System32\RUNDLL32.EXE C:\WINDOWS\SOUNDMAN.EXE C:\WINDOWS\ALCWZRD.EXE C:\WINDOWS\System32\ctfmon.exe C:\WINDOWS\explorer.exe C:\WINDOWS\system32\notepad.exe C:\Program Files\Mozilla Firefox\firefox.exe C:\WINDOWS\system32\NOTEPAD.EXE D:\HijackThis.exe R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://go.microsoft.com/fwlink/?LinkId=69157 R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://go.microsoft.com/fwlink/?LinkId=54896 R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = http://go.microsoft.com/fwlink/?LinkId=54896 R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Łącza O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - D:\Program Files\Adobe\Acrobat 6.0 CE\Reader\ActiveX\AcroIEHelper.dll O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINDOWS\System32\msdxm.ocx O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\System32\NvCpl.dll,NvStartup O4 - HKLM\..\Run: [nwiz] nwiz.exe /install O4 - HKLM\..\Run: [NvMediaCenter] RUNDLL32.EXE C:\WINDOWS\System32\NvMcTray.dll,NvTaskbarInit O4 - HKLM\..\Run: [Skrót do strony właściwości High Definition Audio] HDAudPropShortcut.exe O4 - HKLM\..\Run: [SoundMan] SOUNDMAN.EXE O4 - HKLM\..\Run: [AlcWzrd] ALCWZRD.EXE O4 - HKLM\..\Run: [SmartSync - ScheduleSync] D:\PROGRA~1\MOBILE~1\SMARTS~1\SCHEDU~1.EXE O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\ctfmon.exe O4 - Startup: Adobe Gamma.lnk = C:\Program Files\Common Files\Adobe\Calibration\Adobe Gamma Loader.exe O9 - Extra button: Statystyki dla ochrony WWW - {1F460357-8A94-4D71-9CA3-AA4ACF32ED8E} - C:\Program Files\Kaspersky Lab\Kaspersky Internet Security 7.0\SCIEPlgn.dll O9 - Extra button: Related - {c95fe080-8f5d-11d2-a20b-00aa003c157a} - C:\WINDOWS\web\related.htm O9 - Extra 'Tools' menuitem: Show &Related Links - {c95fe080-8f5d-11d2-a20b-00aa003c157a} - C:\WINDOWS\web\related.htm O20 - Winlogon Notify: klogon - C:\WINDOWS\System32\klogon.dll O23 - Service: Adobe LM Service - Adobe Systems - C:\Program Files\Common Files\Adobe Systems Shared\Service\Adobelmsvc.exe O23 - Service: Kaspersky Internet Security 7.0 (AVP) - Kaspersky Lab - C:\Program Files\Kaspersky Lab\Kaspersky Internet Security 7.0\avp.exe O23 - Service: NVIDIA Display Driver Service (NVSvc) - NVIDIA Corporation - C:\WINDOWS\System32\nvsvc32.exe

Wysyłanie na modemie przestało migać. Jak to teraz wygląda?

**Posty:** 684 · przez **djarta** 08 Sie 2008, 13:46

Są dwa podejrzane pliki.

C:\i7g4i7i1u8r6.exe
C:\WINDOWS\system32\ashDsp.exe

Sprawdź go na --> http://virusscan.jotti.org/
albo na http://www.virustotal.com/en/indexf.html.

Autor postu otrzymał pochwałę

**Posty:** 133 · przez **Matteo** 08 Sie 2008, 13:47

pierwszy plik:

File: i7g4i7i1u8r6.exe
Status:
POSSIBLY INFECTED/MALWARE (Note: this file was only classified as malware by scanners known to generate more false positives than the average scanner. Do not consider these results definately accurate. Also, because of this, results of this scan will not be recorded in the database.)
MD5: c0c2f9abb2dfa31f10121f92ff3985ee

Ikarus
Found VirTool.Win32.DelfInject.AF

**Posty:** 684 · przez **djarta** 08 Sie 2008, 13:56

Czy możesz dawać całość?Albo screena?

**Posty:** 133 · przez **Matteo** 08 Sie 2008, 14:01

Kod: Zaznacz wszystko: File: i7g4i7i1u8r6.exe Status: POSSIBLY INFECTED/MALWARE (Note: this file has been scanned before. Therefore, this file's scan results will not be stored in the database) (Note: this file was only classified as malware by scanners known to generate more false positives than the average scanner. Do not consider these results definately accurate. Also, because of this, results of this scan will not be recorded in the database.) MD5: c0c2f9abb2dfa31f10121f92ff3985ee Packers detected: - Scanner results Scan taken on 08 Aug 2008 11:58:12 (GMT) A-Squared Found nothing AntiVir Found nothing ArcaVir Found nothing Avast Found nothing AVG Antivirus Found nothing BitDefender Found nothing ClamAV Found nothing CPsecure Found nothing Dr.Web Found nothing F-Prot Antivirus Found nothing F-Secure Anti-Virus Found nothing Fortinet Found nothing Ikarus Found VirTool.Win32.DelfInject.AF Kaspersky Anti-Virus Found nothing NOD32 Found nothing Norman Virus Control Found nothing Panda Antivirus Found nothing Sophos Antivirus Found nothing VirusBuster Found nothing VBA32 Found nothing Statistics Last file scanned at least one scanner reported something about: keygen.exe (MD5: 0e6bfabceb92146de2bcb8657492a7a2, size: 47552 bytes), detected by: Scanner Malware name A-Squared X AntiVir TR/Agent.47552 ArcaVir Heur.Win32.I Avast Win32:Agent-FXV AVG Antivirus Generic10.RFX BitDefender X ClamAV X CPsecure X Dr.Web X F-Prot Antivirus X F-Secure Anti-Virus X Fortinet X Ikarus Virus.Win32.Agent.FXV Kaspersky Anti-Virus X NOD32 X Norman Virus Control Suspicious_F.gen Panda Antivirus X Sophos Antivirus Mal/Packer VirusBuster X VBA32 X You're free to (mis)interpret these automated, flawed statistics at your own discretion. For antivirus comparisons, visit AV comparatives We are not affiliated with any third parties that conduct tests using this service.

Jasne, sorry za ucięcie. Już jest całość.

**Posty:** 684 · przez **djarta** 08 Sie 2008, 14:03

Wklej do Notatnika:

Kod: Zaznacz wszystko: File:: C:\WINDOWS\system32\ashDsp.exe

>>Plik>>Zapisz jako... >>> CFScript
Przeciągnij i upuść plik CFScript.txt na plik ComboFix.exe
-->

Ma się rozpocząć usuwanie. (i powstanie log).Daj ten log.
Jeśli pójdzie dobrze, to: Po restarcie usuń ręcznie folder C:\Qoobox.

**Posty:** 133 · przez **Matteo** 08 Sie 2008, 14:15

log:

Kod: Zaznacz wszystko: [color=red][b]WARNING -THIS MACHINE DOES NOT HAVE THE RECOVERY CONSOLE INSTALLED !![/b][/color] FILE :: C:\WINDOWS\system32\ashDsp.exe . ((((((((((((((((((((((((((((((((((((((( Other Deletions ))))))))))))))))))))))))))))))))))))))))))))))))) . C:\WINDOWS\system32\ashDsp.exe . ((((((((((((((((((((((((( Files Created from 2008-07-08 to 2008-08-08 ))))))))))))))))))))))))))))))) . 2008-08-08 13:00 . 2008-08-08 13:00 <DIR> d-------- C:\WINDOWS\ERUNT 2008-08-08 12:59 . 2008-08-08 14:13 <DIR> d--h----- C:\Documents and Settings\Administrator\Ustawienia lokalne 2008-08-08 12:59 . 2008-07-08 18:51 <DIR> d-------- C:\Documents and Settings\Administrator\Ulubione 2008-08-08 12:59 . 2008-07-08 17:58 <DIR> d--h----- C:\Documents and Settings\Administrator\Szablony 2008-08-08 12:59 . 2008-07-08 18:51 <DIR> d-------- C:\Documents and Settings\Administrator\Pulpit 2008-08-08 12:59 . 2008-07-08 18:51 <DIR> d-------- C:\Documents and Settings\Administrator\Moje dokumenty 2008-08-08 12:59 . 2008-07-08 18:51 <DIR> dr------- C:\Documents and Settings\Administrator\Menu Start 2008-08-08 12:59 . 2008-07-08 18:51 <DIR> dr-h----- C:\Documents and Settings\Administrator\Dane aplikacji 2008-08-08 12:59 . 2008-08-08 12:59 <DIR> d-------- C:\Documents and Settings\Administrator 2008-08-08 12:55 . 2008-08-08 13:16 <DIR> d-------- C:\SDFix 2008-08-08 11:35 . 2008-08-08 13:04 60,416 --a------ C:\i7g4i7i1u8r6.exe 2008-08-05 14:31 . 2002-08-29 01:32 21,760 --a--c--- C:\WINDOWS\system32\dllcache\usbstor.sys 2008-07-15 20:58 . 2008-07-15 20:58 552 --a------ C:\WINDOWS\system32\d3d8caps.dat 2008-07-13 15:37 . 2008-07-13 15:37 <DIR> d---s---- C:\Documents and Settings\Matteo\UserData 2008-07-12 14:31 . 2008-07-12 14:31 <DIR> d-------- C:\Program Files\Common Files\Adobe Systems Shared 2008-07-12 14:31 . 2008-07-12 14:31 <DIR> d-------- C:\Documents and Settings\All Users\Dane aplikacji\Adobe Systems 2008-07-10 15:19 . 2008-07-10 15:19 <DIR> d-------- C:\Program Files\WMV9_VCM 2008-07-10 14:46 . 2008-07-10 14:46 <DIR> d-------- C:\Documents and Settings\Matteo\Dane aplikacji\XCPCSync.OEM 2008-07-10 14:42 . 2003-08-25 18:06 182,880 --a------ C:\WINDOWS\system32\iuengine.dll 2008-07-10 14:42 . 2003-08-25 18:06 182,880 --a--c--- C:\WINDOWS\system32\dllcache\iuengine.dll 2008-07-10 14:30 . 1998-06-18 01:00 89,360 --a------ C:\WINDOWS\system32\VB5DB.DLL 2008-07-10 14:30 . 1998-05-05 22:00 57,344 --------- C:\WINDOWS\system32\VBAME.DLL 2008-07-10 14:29 . 2008-07-10 14:29 <DIR> d-------- C:\Program Files\Common Files\XCPCSync.OEM 2008-07-10 14:00 . 2008-07-10 14:00 <DIR> d-------- C:\Documents and Settings\Matteo\Dane aplikacji\AdobeUM 2008-07-10 13:55 . 2008-07-10 13:55 <DIR> d-------- C:\Documents and Settings\Mateo\Moje dokumenty 2008-07-10 13:55 . 2008-07-10 13:55 <DIR> d-------- C:\Documents and Settings\Mateo 2008-07-10 13:33 . 2008-07-10 13:33 1,103 --a------ C:\WINDOWS\bestplayer.ini 2008-07-10 13:33 . 2008-07-10 13:33 0 --a------ C:\WINDOWS\bestplayer.bpp 2008-07-10 13:33 . 2008-07-10 13:33 0 --a------ C:\WINDOWS\bestplayer.bbt 2008-07-08 20:03 . 2008-07-08 20:03 <DIR> d-------- C:\Documents and Settings\Matteo\Dane aplikacji\Gadu-Gadu 2008-07-08 20:01 . 2008-07-11 00:00 <DIR> d-------- C:\Program Files\Gadu-Gadu 2008-07-08 20:01 . 2008-07-08 20:03 <DIR> d-------- C:\Documents and Settings\Matteo\Gadu-Gadu 2008-07-08 17:59 . 2008-07-08 18:01 <DIR> d-------- C:\Program Files\Usługi online 2008-07-08 17:58 . 2008-07-08 17:59 <DIR> d-------- C:\WINDOWS\system32\MsDtc . (((((((((((((((((((((((((((((((((((((((( Find3M Report )))))))))))))))))))))))))))))))))))))))))))))))))))) . 2008-08-08 12:13 3,999,776 --sha-w C:\WINDOWS\system32\drivers\fidbox.dat 2008-08-08 12:13 169,760 --sha-w C:\WINDOWS\system32\drivers\fidbox2.dat 2008-08-08 11:27 61,448 --sha-w C:\WINDOWS\system32\drivers\fidbox.idx 2008-08-08 11:27 20,924 --sha-w C:\WINDOWS\system32\drivers\fidbox2.idx 2008-08-08 11:16 --------- d-----w C:\Documents and Settings\All Users\Dane aplikacji\Kaspersky Lab 2008-08-08 09:34 133,632 ----a-w C:\WINDOWS\system32\sfc_os.dll 2008-08-06 17:07 96,976 ----a-w C:\WINDOWS\system32\drivers\klin.dat 2008-07-24 11:09 87,855 ----a-w C:\WINDOWS\system32\drivers\klick.dat 2008-07-12 12:32 --------- d-----w C:\Program Files\Common Files\Adobe 2008-07-10 12:45 --------- d--h--w C:\Program Files\InstallShield Installation Information 2008-07-10 12:26 --------- d-----w C:\Program Files\Common Files\InstallShield 2008-07-08 18:00 --------- d-----w C:\Program Files\Tlen.pl 2008-07-08 17:31 --------- d-----w C:\Documents and Settings\Matteo\Dane aplikacji\Tlen.pl 2008-07-08 16:50 112,144 ----a-w C:\WINDOWS\system32\drivers\kl1.sys 2008-07-08 16:38 --------- d-----w C:\Program Files\Kaspersky Lab 2008-07-08 16:37 --------- d-----w C:\Documents and Settings\All Users\Dane aplikacji\Kaspersky Lab Setup Files 2008-07-08 16:21 --------- d-----w C:\Program Files\Realtek 2008-07-08 16:11 --------- d-----w C:\Program Files\Intel 2008-07-08 16:02 558,142 ----a-w C:\WINDOWS\java\Packages\5NXRHJLN.ZIP 2008-07-08 16:02 155,995 ----a-w C:\WINDOWS\java\Packages\I9R3R5F7.ZIP 2008-07-08 16:02 --------- d-----w C:\Program Files\microsoft frontpage . ((((((((((((((((((((((((((((((((((((( Reg Loading Points )))))))))))))))))))))))))))))))))))))))))))))))))) . . *Note* empty entries & legit default entries are not shown REGEDIT4 [HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] "CTFMON.EXE"="C:\WINDOWS\System32\ctfmon.exe" [2002-09-20 19:05 13312] [HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] "NvCplDaemon"="C:\WINDOWS\System32\NvCpl.dll" [2006-10-22 12:22 7700480] "NvMediaCenter"="C:\WINDOWS\System32\NvMcTray.dll" [2006-10-22 12:22 86016] "SmartSync - ScheduleSync"="D:\PROGRA~1\MOBILE~1\SMARTS~1\SCHEDU~1.EXE" [2005-10-21 16:20 45056] "nwiz"="nwiz.exe" [2006-10-22 12:22 1622016 C:\WINDOWS\system32\nwiz.exe] "Skrót do strony właściwości High Definition Audio"="HDAudPropShortcut.exe" [2004-03-17 15:10 61952 C:\WINDOWS\system32\Hdaudpropshortcut.exe] "SoundMan"="SOUNDMAN.EXE" [2004-10-13 08:01 77824 C:\WINDOWS\SOUNDMAN.EXE] "AlcWzrd"="ALCWZRD.EXE" [2004-10-13 10:17 2742272 C:\WINDOWS\ALCWZRD.EXE] [HKEY_USERS\.DEFAULT\Software\Microsoft\Windows\CurrentVersion\Run] "CTFMON.EXE"="C:\WINDOWS\System32\CTFMON.EXE" [2002-09-20 19:05 13312] C:\Documents and Settings\Matteo\Menu Start\Programy\Autostart\ Adobe Gamma.lnk - C:\Program Files\Common Files\Adobe\Calibration\Adobe Gamma Loader.exe [2005-03-16 19:16:50 113664] [HKEY_LOCAL_MACHINE\software\microsoft\security center] "UpdatesDisableNotify"=dword:00000001 "AntiVirusDisableNotify"=dword:00000001 "AntiVirusOverride"=dword:00000001 "FirewallOverride"=dword:00000001 [HKEY_LOCAL_MACHINE\software\microsoft\security center\Monitoring\KasperskyAntiVirus] "DisableMonitoring"=dword:00000001 R3 klim5;Kaspersky Anti-Virus NDIS Filter;C:\WINDOWS\System32\DRIVERS\klim5.sys [2007-12-13 13:28] S3 siusbmod;siusbmod;C:\WINDOWS\System32\DRIVERS\siusbmod.sys [2005-11-30 17:12] . ************************************************************************** catchme 0.3.1361 W2K/XP/Vista - rootkit/stealth malware detector by Gmer, http://www.gmer.net Rootkit scan 2008-08-08 14:13:25 Windows 5.1.2600 Dodatek Service Pack. 1 NTFS scanning hidden processes ... scanning hidden autostart entries ... scanning hidden files ... scan completed successfully hidden files: 0 ************************************************************************** . Completion time: 2008-08-08 14:14:35 ComboFix-quarantined-files.txt 2008-08-08 12:14:33 ComboFix2.txt 2008-08-08 11:29:01 Pre-Run: 12,124,110,848 bajtów wolnych Post-Run: 12,115,709,952 bajtów wolnych 119

robie restart

edit:

C:\Qoobox. usunięte.

jedynie ten plik co był skanowany przez ten skaner online dalej mi na C:/ leży

**Posty:** 684 · przez **djarta** 08 Sie 2008, 14:24

Mówisz o pierwszym?Spoko on jest czysty.

Ja nie widzę teraz żadnej aktywnej infekcji.

Usuń ręcznie folder C:\Qoobox,

Usuń instalkę ComboFix z dysku.

Wykonaj optymalizację autostartu

Przeczyść komputer ATF-Cleaner

Wyłącz i włącz przywracanie systemu na wszystkich dyskach.Instrukcja

Przeskanuj obszar mojego komputera http://www.kaspersky.pl/virusscanner.html (uruchom przez IE) Daj raport z niego na forum

i tym

FixIEDef.

Pzdr djarta

**Posty:** 133 · przez **Matteo** 08 Sie 2008, 15:07

Niestety znów to samo

To okienko w pierwszym poście i system się zamknął

już sa 2 te podejrzane pliki, a był jeden, modem znów wysyła

**Posty:** 684 · przez **djarta** 08 Sie 2008, 15:16

Zrób tak jak napisałem Ci wyżej. :wink:

Jeśli będzie dalej to samo to usuniemy te 2 pliki.

**Posty:** 133 · przez **Matteo** 09 Sie 2008, 00:04

Teraz to już się wszystko posypało:

oraz zainstalowałem kerio i pokazał:

hijack:

Kod: Zaznacz wszystko: Logfile of HijackThis v1.99.1 Scan saved at 00:03, on 2008-08-09 Platform: Windows XP Dodatek SP. 1 (WinNT 5.01.2600) MSIE: Internet Explorer v6.00 SP1 (6.00.2800.1106) Running processes: C:\WINDOWS\System32\smss.exe C:\WINDOWS\system32\winlogon.exe C:\WINDOWS\system32\services.exe C:\WINDOWS\system32\lsass.exe C:\WINDOWS\system32\svchost.exe C:\WINDOWS\System32\svchost.exe C:\WINDOWS\Explorer.exe C:\WINDOWS\system32\spoolsv.exe C:\Program Files\Kaspersky Lab\Kaspersky Internet Security 7.0\avp.exe C:\Program Files\Sunbelt Software\Personal Firewall\kpf4ss.exe C:\WINDOWS\System32\RUNDLL32.EXE C:\WINDOWS\ALCWZRD.EXE C:\WINDOWS\System32\SOUNDMAN.EXE C:\WINDOWS\System32\ctfmon.exe C:\WINDOWS\System32\nvsvc32.exe C:\Program Files\Sunbelt Software\Personal Firewall\kpf4gui.exe C:\Program Files\Sunbelt Software\Personal Firewall\kpf4gui.exe C:\WINDOWS\System32\svchost.exe C:\Program Files\Mozilla Firefox\firefox.exe D:\HijackThis.exe R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://go.microsoft.com/fwlink/?LinkId=69157 R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://go.microsoft.com/fwlink/?LinkId=54896 R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = http://go.microsoft.com/fwlink/?LinkId=54896 R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Łącza F2 - REG:system.ini: Shell=Explorer.exe %WINDIR%\system32\soundman.exe O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - D:\Program Files\Adobe\Acrobat 6.0 CE\Reader\ActiveX\AcroIEHelper.dll O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINDOWS\System32\msdxm.ocx O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\System32\NvCpl.dll,NvStartup O4 - HKLM\..\Run: [nwiz] nwiz.exe /install O4 - HKLM\..\Run: [NvMediaCenter] RUNDLL32.EXE C:\WINDOWS\System32\NvMcTray.dll,NvTaskbarInit O4 - HKLM\..\Run: [Skrót do strony właściwości High Definition Audio] HDAudPropShortcut.exe O4 - HKLM\..\Run: [SoundMan] SOUNDMAN.EXE O4 - HKLM\..\Run: [AlcWzrd] ALCWZRD.EXE O4 - HKLM\..\Run: [SmartSync - ScheduleSync] D:\PROGRA~1\MOBILE~1\SMARTS~1\SCHEDU~1.EXE O4 - HKLM\..\Run: [AVP] "C:\Program Files\Kaspersky Lab\Kaspersky Internet Security 7.0\avp.exe" O4 - HKLM\..\Run: [soundman.exe] C:\WINDOWS\system32\soundman.exe O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\ctfmon.exe O4 - Startup: Adobe Gamma.lnk = C:\Program Files\Common Files\Adobe\Calibration\Adobe Gamma Loader.exe O7 - HKCU\Software\Microsoft\Windows\CurrentVersion\Policies\System, DisableRegedit=1 O9 - Extra button: Statystyki dla ochrony WWW - {1F460357-8A94-4D71-9CA3-AA4ACF32ED8E} - C:\Program Files\Kaspersky Lab\Kaspersky Internet Security 7.0\SCIEPlgn.dll O9 - Extra button: Related - {c95fe080-8f5d-11d2-a20b-00aa003c157a} - C:\WINDOWS\web\related.htm O9 - Extra 'Tools' menuitem: Show &Related Links - {c95fe080-8f5d-11d2-a20b-00aa003c157a} - C:\WINDOWS\web\related.htm O20 - Winlogon Notify: klogon - C:\WINDOWS\System32\klogon.dll O23 - Service: Adobe LM Service - Adobe Systems - C:\Program Files\Common Files\Adobe Systems Shared\Service\Adobelmsvc.exe O23 - Service: Kaspersky Internet Security 7.0 (AVP) - Kaspersky Lab - C:\Program Files\Kaspersky Lab\Kaspersky Internet Security 7.0\avp.exe O23 - Service: Sunbelt Kerio Personal Firewall 4 (KPF4) - Sunbelt Software - C:\Program Files\Sunbelt Software\Personal Firewall\kpf4ss.exe O23 - Service: NVIDIA Display Driver Service (NVSvc) - NVIDIA Corporation - C:\WINDOWS\System32\nvsvc32.exe O23 - Service: PsExec (PSEXESVC) - Sysinternals - C:\WINDOWS\PSEXESVC.EXE

a combofix już nie działa napisał ze edycja rejestru została zablokowana przez administratora sieci i się zawiesił. Tu już nic nie działa pomocy

**Posty:** 9184 · przez **MUTOPOMPKA** 09 Sie 2008, 00:24

No to się zdeko wtrącę:

1) PO co usunięto ashdisp.exe ????
2) Komunikat Kerio mówi o procesie SOUNDMAN.EXE -> czyli systemowy manager dźwięku został zablokowany (??? prawdopodobnie to syf, gdyż "prawdziwy" soundman.exe nie wymaga do działania internetu)
3) Instalując Windows z SP1 bez antywira i firewala niestety tak BĘDZIESZ MIAŁ! PO instalacji systemu (przy odpiętym necie) instalujesz antywirusa oraz firewalla, następnie dopiero potem podpinasz internecik! Inaczej będzie tak, jak teraz...

**Posty:** 133 · przez **Matteo** 09 Sie 2008, 00:31

Miałem przez cały czas kaspersky internet security( czyli i antywir i firewall), zawsze mam. Od kilku dni komp się wyłączał/restartował a dzis wygasł mi klucz od kaspra i piekło się zaczęło totalne.
Zdobyłem loga z sdfix:

Kod: Zaznacz wszystko: [b]SDFix: Version 1.214 [/b] Run by Administrator on 2008-08-09 at 00:16 Microsoft Windows XP [Wersja 5.1.2600] Running From: C:\SDFix [b]Checking Services [/b]: C:\WINDOWS\system32\Microsoft\backup.ftp Found C:\WINDOWS\system32\Microsoft\backup.tftp Found [b]Checking files[/b]: [b]Dummy[/b]: C:\WINDOWS\system32\Microsoft\backup.ftp C:\WINDOWS\system32\Microsoft\backup.tftp C:\WINDOWS\system32\ftp.exe C:\WINDOWS\system32\tftp.exe C:\WINDOWS\system32\dllcache\ftp.exe C:\WINDOWS\system32\dllcache\tftp.exe Files copied to SDFix\Backups Restoring files if backups are found [b]Final Check[/b]: [b]Dummy[/b]: C:\WINDOWS\system32\Microsoft\backup.ftp C:\WINDOWS\system32\Microsoft\backup.tftp C:\WINDOWS\system32\ftp.exe C:\WINDOWS\system32\tftp.exe C:\WINDOWS\system32\dllcache\ftp.exe C:\WINDOWS\system32\dllcache\tftp.exe Restoring Default Security Values Restoring Default Hosts File Rebooting [b]Checking Files [/b]: Trojan Files Found: C:\WINDOWS\system32\Microsoft\backup.ftp - Deleted C:\WINDOWS\system32\Microsoft\backup.tftp - Deleted C:\WINDOWS\system32\soundman.exe - Deleted Removing Temp Files [b]ADS Check [/b]: [b]Final Check [/b]: catchme 0.3.1361.2 W2K/XP/Vista - rootkit/stealth malware detector by Gmer, http://www.gmer.net Rootkit scan 2008-08-09 00:19:17 Windows 5.1.2600 Dodatek Service Pack. 1 NTFS scanning hidden processes ... IPC error: 2 Nie można odnaleźć określonego pliku. scanning hidden services & system hive ... scanning hidden registry entries ... [HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Windows] "DeviceNotSelectedTimeout"="15" "GDIProcessHandleQuota"=dword:00002710 "Spooler"="yes" "swapdisk"="" "TransmissionRetryTimeout"="90" "USERProcessHandleQuota"=dword:00002710 "appinit_dlls"="" scanning hidden files ... scan completed successfully hidden processes: 0 hidden services: 0 hidden files: 0 [b]Remaining Services [/b]: Authorized Application Key Export: [HKEY_LOCAL_MACHINE\system\currentcontrolset\services\sharedaccess\parameters\firewallpolicy\standardprofile\authorizedapplications\list] [b]Remaining Files [/b]: File Backups: - C:\SDFix\backups\backups.zip [b]Files with Hidden Attributes [/b]: [b]Finished![/b]

i nowy hijack( wywaliłem blokowanie edycji rejestru ale chyba to nic nie dało bo sdfix sie rzucał o to) :

Kod: Zaznacz wszystko: Logfile of HijackThis v1.99.1 Scan saved at 00:29, on 2008-08-09 Platform: Windows XP Dodatek SP. 1 (WinNT 5.01.2600) MSIE: Internet Explorer v6.00 SP1 (6.00.2800.1106) Running processes: C:\WINDOWS\System32\smss.exe C:\WINDOWS\system32\winlogon.exe C:\WINDOWS\system32\services.exe C:\WINDOWS\system32\lsass.exe C:\WINDOWS\system32\svchost.exe C:\WINDOWS\System32\svchost.exe C:\WINDOWS\Explorer.EXE C:\WINDOWS\system32\spoolsv.exe C:\Program Files\Kaspersky Lab\Kaspersky Internet Security 7.0\avp.exe C:\WINDOWS\System32\nvsvc32.exe C:\WINDOWS\system32\notepad.exe C:\WINDOWS\System32\RUNDLL32.EXE C:\WINDOWS\SOUNDMAN.EXE C:\WINDOWS\ALCWZRD.EXE C:\WINDOWS\System32\ctfmon.exe C:\Program Files\Mozilla Firefox\firefox.exe D:\HijackThis.exe R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://go.microsoft.com/fwlink/?LinkId=69157 R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://go.microsoft.com/fwlink/?LinkId=54896 R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = http://go.microsoft.com/fwlink/?LinkId=54896 R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Łącza O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - D:\Program Files\Adobe\Acrobat 6.0 CE\Reader\ActiveX\AcroIEHelper.dll O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINDOWS\System32\msdxm.ocx O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\System32\NvCpl.dll,NvStartup O4 - HKLM\..\Run: [nwiz] nwiz.exe /install O4 - HKLM\..\Run: [NvMediaCenter] RUNDLL32.EXE C:\WINDOWS\System32\NvMcTray.dll,NvTaskbarInit O4 - HKLM\..\Run: [Skrót do strony właściwości High Definition Audio] HDAudPropShortcut.exe O4 - HKLM\..\Run: [SoundMan] SOUNDMAN.EXE O4 - HKLM\..\Run: [AlcWzrd] ALCWZRD.EXE O4 - HKLM\..\Run: [SmartSync - ScheduleSync] D:\PROGRA~1\MOBILE~1\SMARTS~1\SCHEDU~1.EXE O4 - HKLM\..\Run: [AVP] "C:\Program Files\Kaspersky Lab\Kaspersky Internet Security 7.0\avp.exe" O4 - HKLM\..\Run: [soundman.exe] C:\WINDOWS\system32\soundman.exe O4 - HKLM\..\Run: [SDFix] C:\SDFix\RunThis.bat /second O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\ctfmon.exe O4 - Startup: Adobe Gamma.lnk = C:\Program Files\Common Files\Adobe\Calibration\Adobe Gamma Loader.exe O7 - HKCU\Software\Microsoft\Windows\CurrentVersion\Policies\System, DisableRegedit=1 O9 - Extra button: Statystyki dla ochrony WWW - {1F460357-8A94-4D71-9CA3-AA4ACF32ED8E} - C:\Program Files\Kaspersky Lab\Kaspersky Internet Security 7.0\SCIEPlgn.dll O9 - Extra button: Related - {c95fe080-8f5d-11d2-a20b-00aa003c157a} - C:\WINDOWS\web\related.htm O9 - Extra 'Tools' menuitem: Show &Related Links - {c95fe080-8f5d-11d2-a20b-00aa003c157a} - C:\WINDOWS\web\related.htm O20 - Winlogon Notify: klogon - C:\WINDOWS\System32\klogon.dll O23 - Service: Adobe LM Service - Adobe Systems - C:\Program Files\Common Files\Adobe Systems Shared\Service\Adobelmsvc.exe O23 - Service: Kaspersky Internet Security 7.0 (AVP) - Kaspersky Lab - C:\Program Files\Kaspersky Lab\Kaspersky Internet Security 7.0\avp.exe O23 - Service: Sunbelt Kerio Personal Firewall 4 (KPF4) - Sunbelt Software - C:\Program Files\Sunbelt Software\Personal Firewall\kpf4ss.exe O23 - Service: NVIDIA Display Driver Service (NVSvc) - NVIDIA Corporation - C:\WINDOWS\System32\nvsvc32.exe O23 - Service: PsExec (PSEXESVC) - Sysinternals - C:\WINDOWS\PSEXESVC.EXE

Da sie tą sytuacje jeszcze jakos uratować?

**Posty:** 7956 · przez **Magik** 09 Sie 2008, 00:49

Matteo napisał(a):Da sie tą sytuacje jeszcze jakos uratować?

Sdfix cos podzialal

te wpisy daj w HJT w trybie awaryjnym na fix:

Kod: Zaznacz wszystko: O7 - HKCU\Software\Microsoft\Windows\CurrentVersion\Policies\System, DisableRegedit=1

bo to blokuje rejestr
nastepnie

program-szukajacy-trojanow-i-malware-vt97108.html

i sprobuj teraz odpalic combofix'a

Autor postu otrzymał pochwałę

**Posty:** 133 · przez **Matteo** 09 Sie 2008, 01:13

Wywaliłem to w hj w trybie awaryjnym ale przy właczaniu combofixa pisze nadal że edycja rejestru zablokowana

A programik takie cos po sobie zostawił:

Kod: Zaznacz wszystko: ******************************************************************************** * * * FixIEDef Log * * Version 1.5.3.6065 * * * ******************************************************************************** Created at 01:08:35 on Saturday, August 09, 2008 Time Zone : Logged On User : Matteo Operating System : Microsoft Windows XP Professional Dodatek Service Pack. 1 OS Version : 5.1.2600 System Langauge : Polish Keyboard Layout : Polish Processor : X86 Intel(R) Pentium(R) 4 CPU 2.66GHz System Drive : C:\ Windows Directory : C:\WINDOWS System Directory : C:\WINDOWS\System32 Total Physical Memory : 523760 KB Free Physical Memory : 296184 KB Total Virtual Memory : 2097024 KB Free Virtual Memory : 2023936 KB Boot State : Normal boot -------------------------------------------------------------------------------- !!! Files that have been deleted !!! No malicious files found -------------------------------------------------------------------------------- !!! Directories that have been removed !!! No malicious directories to be removed -------------------------------------------------------------------------------- !!! Registry entries that have been removed !!! No malicious Registry entries found ================================================================================ All Done :) ShadowPuterDude Safe Surfing!!!