Samoistne zamykanie komputera (wirusy, trojany)

**Posty:** 188 · przez **D3N** 12 Kwi 2009, 09:54

Witam. Zdaję sobie z tego sprawę, że niewielu zechce się dziś siąść do komputera i udzielić pomocy, ale liczę na to, że ktokolwiek mi z tym pomoze. Pisałem wielokrotnie na forum z prośbami o pomoc w wirusach, ale to z czym sie spotkałem dzisiaj rano naprawdę mnie zaskoczyło. Po włączeniu komputera dziś z rana, po wyświetleniu wiadomego komunikatu przy startowaniu systemu. Zobaczylem czysty pulpit, nic nie byłoby w tym dziwnego, gdyby nie restart natychmiastowy i "zapętlanie" całego tego procesu. Komputer probowal dziesieciokrotnie sie wczytać, ale za kazdym razem reset systemu uniemożliwiał mu to.

Użyłem Combofixa, usunął 4 wirusy, skasowałem Qoobox i wszystko się włączało jak należy. Do czasu, grając w gierkę wyskoczyło mi dziwne okienko, co ciekawsze - zamykające 60 sekund później system.

Czytałem o takich rzeczach, wiem jak postępowac w takiej sytuacji, wpisałem w uruchom... komendę shutdown -a i przestało odliczać, lecz komputer kompletnie nie chciał dalej wykonywać żadnych operacji, wieszał się na otwieraniu folderu.

Link do komunikatu, który następuje teraz (udało mi się zrobić screen i zapisać): http://img19.imageshack.us/my.php?image=sdadv.jpg

Kolejna sprawa - logi.
HIJACKTHIS:

Kod: Zaznacz wszystko: Logfile of Trend Micro HijackThis v2.0.2 Scan saved at 09:48:39, on 2009-04-12 Platform: Windows XP Dodatek SP2 (WinNT 5.01.2600) MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180) Boot mode: Safe mode with network support Running processes: C:\WINDOWS\System32\smss.exe C:\WINDOWS\system32\winlogon.exe C:\WINDOWS\system32\services.exe C:\WINDOWS\system32\lsass.exe C:\WINDOWS\system32\svchost.exe C:\WINDOWS\System32\svchost.exe C:\WINDOWS\Explorer.EXE C:\Program Files\Mozilla Firefox\firefox.exe C:\WINDOWS\system32\NOTEPAD.EXE C:\Program Files\Trend Micro\HijackThis\HijackThis.exe R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://go.microsoft.com/fwlink/?LinkId=69157 R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://go.microsoft.com/fwlink/?LinkId=54896 R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = http://go.microsoft.com/fwlink/?LinkId=54896 R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Local Page = R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Local Page = R1 - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings,ProxyOverride = *.local R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Łącza O2 - BHO: Adobe PDF Reader Link Helper - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Program Files\Common Files\Adobe\Acrobat\ActiveX\AcroIEHelper.dll O2 - BHO: WormRadar.com IESiteBlocker.NavFilter - {3CA2F312-6F6E-4B53-A66E-4E65E497C8C0} - C:\Program Files\AVG\AVG8\avgssie.dll (file missing) O2 - BHO: SSVHelper Class - {761497BB-D6F0-462C-B6EB-D4DAF1D92D43} - C:\Program Files\Java\jre1.6.0_06\bin\ssv.dll O4 - HKLM\..\Run: [AtiPTA] atiptaxx.exe O4 - HKLM\..\Run: [RTHDCPL] RTHDCPL.EXE O4 - HKLM\..\Run: [SunJavaUpdateSched] "C:\Program Files\Java\jre1.6.0_06\bin\jusched.exe" O4 - HKLM\..\Run: [DrvIcon] C:\Program Files\Vista Drive Icon\DrvIcon.exe O4 - HKCU\..\Run: [Odkurzacz-MCD] C:\Program Files\Odkurzacz\odk_mcd.exe O4 - HKUS\S-1-5-18\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 'SYSTEM') O4 - HKUS\.DEFAULT\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 'Default user') O4 - Startup: ATI Tray Tools.lnk = C:\Program Files\Radeon Omega Drivers\v4.8.442\ATI Tray Tools\atitray.exe O8 - Extra context menu item: E&xport to Microsoft Excel - res://C:\PROGRA~1\MICROS~2\OFFICE11\EXCEL.EXE/3000 O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\jre1.6.0_06\bin\ssv.dll O9 - Extra 'Tools' menuitem: Sun Java Console - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\jre1.6.0_06\bin\ssv.dll O9 - Extra button: Research - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - C:\PROGRA~1\MICROS~2\OFFICE11\REFIEBAR.DLL O20 - AppInit_DLLs: C:\WINDOWS\system32\mmmynlkn.dll O23 - Service: Ati HotKey Poller - ATI Technologies Inc. - C:\WINDOWS\System32\Ati2evxx.exe O23 - Service: ATI Smart - Unknown owner - C:\WINDOWS\system32\ati2sgag.exe O23 - Service: ##Id_String1.6844F930_1628_4223_B5CC_5BB94B879762## (Bonjour Service) - Unknown owner - C:\Program Files\Bonjour\mDNSResponder.exe (file missing) O23 - Service: FLEXnet Licensing Service - Macrovision Europe Ltd. - C:\Program Files\Common Files\Macrovision Shared\FLEXnet Publisher\FNPLicensingService.exe O23 - Service: PnkBstrA - Unknown owner - C:\WINDOWS\system32\PnkBstrA.exe O23 - Service: PnkBstrB - Unknown owner - C:\WINDOWS\system32\PnkBstrB.exe -- End of file - 3503 bytes

COMBOFIX:

Kod: Zaznacz wszystko: ComboFix 09-04-04.01 - xxx 2009-04-12 9:56:32.25 - NTFSx86 NETWORK Microsoft Windows XP Professional 5.1.2600.2.1250.1.1045.18.2047.1779 [GMT 2:00] Uruchomiony z: c:\documents and settings\xxx\Pulpit\ComboFix.exe FW: Sunbelt Personal Firewall *disabled* . ((((((((((((((((((((((((( Pliki utworzone od 2009-03-12 do 2009-04-12 ))))))))))))))))))))))))))))))) . 2009-04-12 09:57 . 2009-04-12 09:57 53,248 --a------ c:\temp\catchme.dll 2009-04-12 08:17 . 2009-04-12 08:17 <DIR> d-------- c:\temp\Konnekt_xxx_beb6fac4 2009-04-12 07:46 . 2009-04-12 07:48 17,920 --a------ c:\windows\system32\mmmynlkn.dll 2009-04-11 19:49 . 2009-04-11 19:50 17,920 --a------ c:\windows\system32\mmmcqcod.dll 2009-04-10 10:27 . 2006-02-04 04:50 5,174 --a------ c:\windows\system32\nppt9x.vxd 2009-04-10 10:27 . 2006-02-04 04:50 4,682 --a------ c:\windows\system32\npptNT2.sys 2009-03-28 23:29 . 2009-04-11 13:37 189,072 --a------ c:\windows\system32\PnkBstrB.xtr 2009-03-12 17:26 . 2009-03-13 00:20 <DIR> d-------- c:\documents and settings\xxx\Dane aplikacji\Mobipocket 2009-03-12 17:25 . 2009-03-12 17:25 <DIR> d-------- c:\program files\Mobipocket.com . (((((((((((((((((((((((((((((((((((((((( Sekcja Find3M )))))))))))))))))))))))))))))))))))))))))))))))))))) . 2009-04-12 06:29 --------- d-----w c:\documents and settings\xxx\Dane aplikacji\foobar2000 2009-04-12 05:31 --------- d-----w c:\documents and settings\xxx\Dane aplikacji\uTorrent 2009-04-12 05:24 --------- d--h--w c:\program files\InstallShield Installation Information 2009-04-11 20:44 --------- d-----w c:\documents and settings\xxx\Dane aplikacji\mIRC 2009-04-11 15:09 --------- d-----w c:\program files\mIRC 2009-04-11 11:37 189,072 ----a-w c:\windows\system32\PnkBstrB.exe 2009-04-11 11:16 138,920 ----a-w c:\windows\system32\drivers\PnkBstrK.sys 2009-04-11 10:37 --------- d-----w c:\documents and settings\xxx\Dane aplikacji\teamspeak2 2009-04-04 23:04 --------- d-----w c:\documents and settings\xxx\Dane aplikacji\Hamachi 2009-04-01 13:00 --------- d-----w c:\program files\Common Files\Blizzard Entertainment 2009-03-28 21:28 75,064 ----a-w c:\windows\system32\PnkBstrA.exe 2009-02-28 00:38 --------- d-----w c:\documents and settings\xxx\Dane aplikacji\LimeWire 2009-02-16 09:27 --------- d-----w c:\documents and settings\xxx\Dane aplikacji\BESTplayer 2009-02-14 12:00 --------- d-----w c:\program files\Microsoft.NET 2009-02-14 12:00 --------- d-----w c:\program files\Microsoft ActiveSync 2009-01-01 14:59 22,328 ----a-w c:\documents and settings\xxx\Dane aplikacji\PnkBstrK.sys 2008-04-09 18:09 32 ----a-w c:\documents and settings\All Users\Dane aplikacji\ezsid.dat . ------- Sigcheck ------- 2002-08-29 02:58 332928 244a2f9816bc9b593957281ef577d976 c:\windows\$NtServicePackUninstall$\tcpip.sys 2004-08-03 23:14 359040 9f4b36614a0fc234525ba224957de55c c:\windows\ServicePackFiles\i386\tcpip.sys 2004-08-03 23:14 359040 6a603809f598332dbedd535bdbce313e c:\windows\system32\drivers\tcpip.sys . ((((((((((((((((((((((((((((((((((((( Wpisy startowe rejestru )))))))))))))))))))))))))))))))))))))))))))))))))) . . *Uwaga* puste wpisy oraz domyślne, prawidłowe wpisy nie są pokazane REGEDIT4 [HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] "Odkurzacz-MCD"="c:\program files\Odkurzacz\odk_mcd.exe" [2008-08-16 264704] [HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] "SunJavaUpdateSched"="c:\program files\Java\jre1.6.0_06\bin\jusched.exe" [2008-03-25 144784] "DrvIcon"="c:\program files\Vista Drive Icon\DrvIcon.exe" [2008-04-13 49152] "AtiPTA"="atiptaxx.exe" [2006-02-22 c:\windows\system32\atiptaxx.exe] "RTHDCPL"="RTHDCPL.EXE" [2007-02-26 c:\windows\RTHDCPL.exe] [HKEY_USERS\.DEFAULT\Software\Microsoft\Windows\CurrentVersion\Run] "CTFMON.EXE"="c:\windows\System32\CTFMON.EXE" [2004-08-04 15360] c:\documents and settings\xxx\Menu Start\Programy\Autostart\ ATI Tray Tools.lnk - c:\program files\Radeon Omega Drivers\v4.8.442\ATI Tray Tools\atitray.exe [2007-12-31 570528] [HKEY_LOCAL_MACHINE\software\microsoft\windows nt\currentversion\windows] "AppInit_DLLs"=c:\windows\system32\mmmynlkn.dll [HKEY_LOCAL_MACHINE\system\currentcontrolset\control\securityproviders] SecurityProviders msapsspc.dll, schannel.dll, digest.dll, msnsspc.dll, digiwet.dll [HKLM\~\startupfolder\C:^Documents and Settings^xxx^Menu Start^Programy^Autostart^hamachi.lnk] path=c:\documents and settings\xxx\Menu Start\Programy\Autostart\hamachi.lnk backup=c:\windows\pss\hamachi.lnkStartup [HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\PWRISOVM.EXE] --a------ 2008-03-15 01:50 233472 c:\program files\PowerISO\PWRISOVM.EXE [HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\Skype] -ra------ 2008-02-06 18:21 21898024 c:\program files\Skype\Phone\Skype.exe [HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\SkyTel] -r------- 2006-05-16 12:04 2879488 c:\windows\SkyTel.exe [HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\services] "SPF4"=2 (0x2) [HKLM\~\services\sharedaccess\parameters\firewallpolicy\standardprofile] "EnableFirewall"= 0 (0x0) [HKLM\~\services\sharedaccess\parameters\firewallpolicy\standardprofile\AuthorizedApplications\List] "%windir%\\system32\\sessmgr.exe"= "c:\\WINDOWS\\system32\\PnkBstrA.exe"= "c:\\WINDOWS\\system32\\PnkBstrB.exe"= "c:\\Program Files\\uTorrent\\uTorrent.exe"= "d:\\Soldat\\Soldat.exe"= "d:\\Program Files\\Konnekt\\konnekt.exe"= "d:\\Program Files\\LimeWire\\LimeWire.exe"= "d:\\Program Files\\Activision\\Call of Duty 4 - Modern Warfare\\iw3mp.exe"= "c:\\Program Files\\Skype\\Phone\\Skype.exe"= "d:\\Program Files\\Sports Interactive\\Football Manager 2009\\fm.exe"= S1 atitray;atitray;c:\program files\Radeon Omega Drivers\v4.8.442\ATI Tray Tools\atitray.sys [2008-04-13 17952] S2 netsik;netsik;c:\windows\system32\drivers\netsik.sys [2001-08-17 30464] S3 rspSanity;rspSanity;c:\windows\system32\drivers\rspSanity32.sys [2009-01-21 23992] [HKEY_CURRENT_USER\software\microsoft\windows\currentversion\explorer\mountpoints2\F] \Shell\AutoRun\command - F:\Installer.exe [HKEY_CURRENT_USER\software\microsoft\windows\currentversion\explorer\mountpoints2\G] \Shell\AutoRun\command - G:\Installer.exe [HKEY_CURRENT_USER\software\microsoft\windows\currentversion\explorer\mountpoints2\H] \Shell\AutoRun\command - H:\Installer.exe [HKEY_CURRENT_USER\software\microsoft\windows\currentversion\explorer\mountpoints2\I] \Shell\AutoRun\command - I:\Installer.exe . Zawartość folderu 'Zaplanowane zadania' 2009-04-11 c:\windows\Tasks\NSSstub.job - c:\windows\system32\Adobe\Shockwave 11\nssstub.exe [2009-02-19 15:49] . . ------- Skan uzupełniający ------- . uInternet Connection Wizard,ShellNext = iexplore uInternet Settings,ProxyOverride = *.local IE: E&xport to Microsoft Excel - c:\progra~1\MICROS~2\OFFICE11\EXCEL.EXE/3000 DPF: DirectAnimation Java Classes - file://c:\windows\Java\classes\dajava.cab DPF: Microsoft XML Parser for Java - file://c:\windows\Java\classes\xmldso.cab FF - ProfilePath - c:\documents and settings\xxx\Dane aplikacji\Mozilla\Firefox\Profiles\vatfmz3e.default\ FF - prefs.js: browser.startup.homepage - hxxp://onet.pl/ FF - prefs.js: network.proxy.type - 2 . ************************************************************************** catchme 0.3.1375 W2K/XP/Vista - rootkit/stealth malware detector by Gmer, http://www.gmer.net Rootkit scan 2009-04-12 09:57:25 Windows 5.1.2600 Dodatek Service Pack 2 NTFS skanowanie ukrytych procesów ... skanowanie ukrytych wpisów autostartu ... skanowanie ukrytych plików ... skanowanie pomyślnie ukończone ukryte pliki: 0 ************************************************************************** [HKEY_LOCAL_MACHINE\System\ControlSet004\Services\ASFWHide] "ImagePath"="\??\c:\tmp\ASFWHide" . --------------------- Pliki DLL ładowane pod uruchomionymi procesami --------------------- - - - - - - - > 'winlogon.exe'(624) c:\windows\system32\mmmynlkn.dll c:\windows\system32\Ati2evxx.dll - - - - - - - > 'lsass.exe'(680) c:\windows\system32\mmmynlkn.dll . Czas ukończenia: 2009-04-12 9:58:20 ComboFix-quarantined-files.txt 2009-04-12 07:58:02 ComboFix2.txt 2009-04-12 05:47:09 Przed: 12 792 881 152 bajtów wolnych Po: 12,777,852,928 bajtów wolnych 139

Dodam ciekawostkę, że antywirus blokował mi grę w której właśnie zaczeły sie dziać te cuda. Czytałem równiez o tym problemie, kazano zignorowac problem. Nie podoba mi się ten wpis: O20 - AppInit_DLLs: C:\WINDOWS\system32\mmmynlkn.dll - nigdy go nie było.

**Posty:** 18165 · przez **wojtas** 12 Kwi 2009, 10:08

Otworz notatnik i wklej w nim to:

File::
c:\windows\system32\mmmynlkn.dll
c:\windows\system32\mmmcqcod.dll

Registry::
[HKEY_LOCAL_MACHINE\software\microsoft\windows nt\currentversion\windows]
"appinit_dlls"=-
"appinit_dlls"=""

>>Plik>>Zapisz jako... >>> CFScript
Przeciągnij i upuść plik CFScript.txt na plik ComboFix.exe
-->

Ma się rozpocząć usuwanie. (i powstanie log).Daj ten log, który powstanie w trakcie usuwania.

**Posty:** 188 · przez **D3N** 12 Kwi 2009, 10:16

Kod: Zaznacz wszystko: ComboFix 09-04-04.01 - xxx 2009-04-12 10:09:00.26 - NTFSx86 NETWORK Microsoft Windows XP Professional 5.1.2600.2.1250.1.1045.18.2047.1683 [GMT 2:00] Uruchomiony z: c:\documents and settings\xxx\Pulpit\ComboFix.exe Użyto następujących komend :: c:\documents and settings\xxx\Pulpit\CFScript.txt FW: Sunbelt Personal Firewall *disabled* FILE :: c:\windows\system32\mmmcqcod.dll c:\windows\system32\mmmynlkn.dll . ((((((((((((((((((((((((((((((((((((((( Usunięto ))))))))))))))))))))))))))))))))))))))))))))))))) . c:\windows\system32\mmmcqcod.dll c:\windows\system32\mmmynlkn.dll . ((((((((((((((((((((((((( Pliki utworzone od 2009-03-12 do 2009-04-12 ))))))))))))))))))))))))))))))) . 2009-04-12 10:10 . 2009-04-12 10:10 53,248 --a------ c:\temp\catchme.dll 2009-04-12 08:17 . 2009-04-12 08:17 <DIR> d-------- c:\temp\Konnekt_xxx_beb6fac4 2009-04-10 10:27 . 2006-02-04 04:50 5,174 --a------ c:\windows\system32\nppt9x.vxd 2009-04-10 10:27 . 2006-02-04 04:50 4,682 --a------ c:\windows\system32\npptNT2.sys 2009-03-28 23:29 . 2009-04-11 13:37 189,072 --a------ c:\windows\system32\PnkBstrB.xtr 2009-03-12 17:26 . 2009-03-13 00:20 <DIR> d-------- c:\documents and settings\xxx\Dane aplikacji\Mobipocket 2009-03-12 17:25 . 2009-03-12 17:25 <DIR> d-------- c:\program files\Mobipocket.com . (((((((((((((((((((((((((((((((((((((((( Sekcja Find3M )))))))))))))))))))))))))))))))))))))))))))))))))))) . 2009-04-12 06:29 --------- d-----w c:\documents and settings\xxx\Dane aplikacji\foobar2000 2009-04-12 05:31 --------- d-----w c:\documents and settings\xxx\Dane aplikacji\uTorrent 2009-04-12 05:24 --------- d--h--w c:\program files\InstallShield Installation Information 2009-04-11 20:44 --------- d-----w c:\documents and settings\xxx\Dane aplikacji\mIRC 2009-04-11 15:09 --------- d-----w c:\program files\mIRC 2009-04-11 11:16 138,920 ----a-w c:\windows\system32\drivers\PnkBstrK.sys 2009-04-11 10:37 --------- d-----w c:\documents and settings\xxx\Dane aplikacji\teamspeak2 2009-04-04 23:04 --------- d-----w c:\documents and settings\xxx\Dane aplikacji\Hamachi 2009-04-01 13:00 --------- d-----w c:\program files\Common Files\Blizzard Entertainment 2009-02-28 00:38 --------- d-----w c:\documents and settings\xxx\Dane aplikacji\LimeWire 2009-02-16 09:27 --------- d-----w c:\documents and settings\xxx\Dane aplikacji\BESTplayer 2009-02-14 12:00 --------- d-----w c:\program files\Microsoft.NET 2009-02-14 12:00 --------- d-----w c:\program files\Microsoft ActiveSync 2009-01-01 14:59 22,328 ----a-w c:\documents and settings\xxx\Dane aplikacji\PnkBstrK.sys 2008-04-09 18:09 32 ----a-w c:\documents and settings\All Users\Dane aplikacji\ezsid.dat . ------- Sigcheck ------- 2002-08-29 02:58 332928 244a2f9816bc9b593957281ef577d976 c:\windows\$NtServicePackUninstall$\tcpip.sys 2004-08-03 23:14 359040 9f4b36614a0fc234525ba224957de55c c:\windows\ServicePackFiles\i386\tcpip.sys 2004-08-03 23:14 359040 6a603809f598332dbedd535bdbce313e c:\windows\system32\drivers\tcpip.sys . ((((((((((((((((((((((((((((((((((((( Wpisy startowe rejestru )))))))))))))))))))))))))))))))))))))))))))))))))) . . *Uwaga* puste wpisy oraz domyślne, prawidłowe wpisy nie są pokazane REGEDIT4 [HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] "Odkurzacz-MCD"="c:\program files\Odkurzacz\odk_mcd.exe" [2008-08-16 264704] [HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] "SunJavaUpdateSched"="c:\program files\Java\jre1.6.0_06\bin\jusched.exe" [2008-03-25 144784] "DrvIcon"="c:\program files\Vista Drive Icon\DrvIcon.exe" [2008-04-13 49152] "AtiPTA"="atiptaxx.exe" [2006-02-22 c:\windows\system32\atiptaxx.exe] "RTHDCPL"="RTHDCPL.EXE" [2007-02-26 c:\windows\RTHDCPL.exe] [HKEY_USERS\.DEFAULT\Software\Microsoft\Windows\CurrentVersion\Run] "CTFMON.EXE"="c:\windows\System32\CTFMON.EXE" [2004-08-04 15360] c:\documents and settings\xxx\Menu Start\Programy\Autostart\ ATI Tray Tools.lnk - c:\program files\Radeon Omega Drivers\v4.8.442\ATI Tray Tools\atitray.exe [2007-12-31 570528] [HKEY_LOCAL_MACHINE\system\currentcontrolset\control\securityproviders] SecurityProviders msapsspc.dll, schannel.dll, digest.dll, msnsspc.dll, digiwet.dll [HKLM\~\startupfolder\C:^Documents and Settings^xxx^Menu Start^Programy^Autostart^hamachi.lnk] path=c:\documents and settings\xxx\Menu Start\Programy\Autostart\hamachi.lnk backup=c:\windows\pss\hamachi.lnkStartup [HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\PWRISOVM.EXE] --a------ 2008-03-15 01:50 233472 c:\program files\PowerISO\PWRISOVM.EXE [HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\Skype] -ra------ 2008-02-06 18:21 21898024 c:\program files\Skype\Phone\Skype.exe [HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\SkyTel] -r------- 2006-05-16 12:04 2879488 c:\windows\SkyTel.exe [HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\services] "SPF4"=2 (0x2) [HKLM\~\services\sharedaccess\parameters\firewallpolicy\standardprofile] "EnableFirewall"= 0 (0x0) [HKLM\~\services\sharedaccess\parameters\firewallpolicy\standardprofile\AuthorizedApplications\List] "%windir%\\system32\\sessmgr.exe"= "c:\\WINDOWS\\system32\\PnkBstrA.exe"= "c:\\WINDOWS\\system32\\PnkBstrB.exe"= "c:\\Program Files\\uTorrent\\uTorrent.exe"= "d:\\Soldat\\Soldat.exe"= "d:\\Program Files\\Konnekt\\konnekt.exe"= "d:\\Program Files\\LimeWire\\LimeWire.exe"= "d:\\Program Files\\Activision\\Call of Duty 4 - Modern Warfare\\iw3mp.exe"= "c:\\Program Files\\Skype\\Phone\\Skype.exe"= "d:\\Program Files\\Sports Interactive\\Football Manager 2009\\fm.exe"= R1 atitray;atitray;c:\program files\Radeon Omega Drivers\v4.8.442\ATI Tray Tools\atitray.sys [2008-04-13 17952] S2 netsik;netsik;c:\windows\system32\drivers\netsik.sys [2001-08-17 30464] S3 rspSanity;rspSanity;c:\windows\system32\drivers\rspSanity32.sys [2009-01-21 23992] [HKEY_CURRENT_USER\software\microsoft\windows\currentversion\explorer\mountpoints2\F] \Shell\AutoRun\command - F:\Installer.exe [HKEY_CURRENT_USER\software\microsoft\windows\currentversion\explorer\mountpoints2\G] \Shell\AutoRun\command - G:\Installer.exe [HKEY_CURRENT_USER\software\microsoft\windows\currentversion\explorer\mountpoints2\H] \Shell\AutoRun\command - H:\Installer.exe [HKEY_CURRENT_USER\software\microsoft\windows\currentversion\explorer\mountpoints2\I] \Shell\AutoRun\command - I:\Installer.exe . Zawartość folderu 'Zaplanowane zadania' 2009-04-11 c:\windows\Tasks\NSSstub.job - c:\windows\system32\Adobe\Shockwave 11\nssstub.exe [2009-02-19 15:49] . . ------- Skan uzupełniający ------- . uInternet Connection Wizard,ShellNext = iexplore uInternet Settings,ProxyOverride = *.local IE: E&xport to Microsoft Excel - c:\progra~1\MICROS~2\OFFICE11\EXCEL.EXE/3000 DPF: DirectAnimation Java Classes - file://c:\windows\Java\classes\dajava.cab DPF: Microsoft XML Parser for Java - file://c:\windows\Java\classes\xmldso.cab FF - ProfilePath - c:\documents and settings\xxx\Dane aplikacji\Mozilla\Firefox\Profiles\vatfmz3e.default\ FF - prefs.js: browser.startup.homepage - hxxp://onet.pl/ FF - prefs.js: network.proxy.type - 2 . ************************************************************************** catchme 0.3.1375 W2K/XP/Vista - rootkit/stealth malware detector by Gmer, http://www.gmer.net Rootkit scan 2009-04-12 10:10:36 Windows 5.1.2600 Dodatek Service Pack 2 NTFS skanowanie ukrytych procesów ... skanowanie ukrytych wpisów autostartu ... skanowanie ukrytych plików ... skanowanie pomyślnie ukończone ukryte pliki: 0 ************************************************************************** [HKEY_LOCAL_MACHINE\System\ControlSet004\Services\ASFWHide] "ImagePath"="\??\c:\tmp\ASFWHide" . --------------------- Pliki DLL ładowane pod uruchomionymi procesami --------------------- - - - - - - - > 'winlogon.exe'(772) c:\windows\system32\Ati2evxx.dll . ------------------------ Pozostałe uruchomione procesy ------------------------ . c:\windows\system32\PnkBstrA.exe c:\windows\system32\PnkBstrB.exe c:\windows\system32\wdfmgr.exe c:\windows\system32\wscntfy.exe . ************************************************************************** . Czas ukończenia: 2009-04-12 10:12:27 - komputer został uruchomiony ponownie ComboFix-quarantined-files.txt 2009-04-12 08:12:20 ComboFix2.txt 2009-04-12 05:47:09 Przed: 12 786 634 752 bajtów wolnych Po: 12,773,720,064 bajtów wolnych 148

Jest poprawa, mogę sobie siedzieć już nie na awaryjnym, nie ma problemu

. Log kontrolny dałem powyżej. Aha - próbuje usunąć Qoobox. Nie daje rady, pisze, że jest coś tam używane.

**Posty:** 18165 · przez **wojtas** 12 Kwi 2009, 10:17

1. Ściągnij OTMoveIt i go włacz i odpal go z opcji CleanUp

oraz skasuj folder C:\Qoobox
2. wykonaj optymalizację windowsa
3.sciagnij ATF_Cleaner
zaznacz
Windows Temp
All users Temp
Temporary internet files
Recycle Bin
i wcisnij EMPTY SELECTED
4.Wyłącz przywracanie systemu ( właściwości mój komputer-zakładka przywracanie - wyłącz przywracanie na wszystkich dyskach). Po chwili włącz je powrotem
5. Wykonaj skan Dr. Web CureIt
6. Przeskanuj obszar mojego komputera http://www.kaspersky.pl/virusscanner.html (uruchom przez IE) Daj raport z niego na forum.

i tym:

FixIEDef.

Autor postu otrzymał pochwałę

**Posty:** 188 · przez **D3N** 12 Kwi 2009, 10:21

Większość zrobiłem, dziękuje bardzo za pomoc. Pozostały mi skany, jeśli coś się bedzie działo napisze jeszcze w tym temacie. + dla ciebie