Totalna awaria systemu

[multinet]

Mogę tylko włączyć Menadżera zadań przez Ctrl-Alt-Del i to WYŁĄCZNIE w trybie awaryjnym. (Internet nie działa) a oto krótka historia choroby...

- Wszystko zaczęło się od problemu z explorer.exe. Widziałam tylko pusty pulpit, bez ikon i paska stanu (plik explorer.exe jest na dysku)
- systemu nie udało się przywrócić, kreator się uruchamiał, ale po restarcie bez zmian
- z minuty na minutę stan "pacjenta" się pogarsza, nie mogę zainstalować ponownie systemu, bo w połowie instalacji się zawiesza i jest lipa, chyba nie wykrywa dysków...
- diagnoza jest prosta zawirusowałam się na maxa, z resztą udało mi się usunąć kilka trojanów, ale właściwego lekarstwa brak POTRZEBUJĘ PILNIE wielkiej MĄDREJ GŁOWY DO POMOCY... za chwilkę spróbuję wkleić logi.


PS. a żeby było zabawnie przeniosłam wirusa na notebooka, ale tu udało mi się przywrócić system i co nieco usunąć....

[wojtas]

to czekamy na logi z hijacka i combofixa

[multinet]

Mogę tylko włączyć Menadżera zadań przez Ctrl-Alt-Del i to WYŁĄCZNIE w trybie awaryjnym. (Internet nie działa) a oto krótka historia choroby...

- Wszystko zaczęło się od problemu z explorer.exe. Widziałam tylko pusty pulpit, bez ikon i paska stanu (plik explorer.exe jest na dysku)
- systemu nie udało się przywrócić, kreator się uruchamiał, ale po restarcie bez zmian
- z minuty na minutę stan "pacjenta" się pogarsza, nie mogę zaistalować ponownie systemu, bo w połowie instalacji się zawiesza i jest lipa, chyba nie wykywa dysków...
- diagnoza jest prosta zawirusowałam się na maxa, z resztą udało mi się usunąć kilka trojanów, ale właściwego lekarstwa brak POTRZEBUJĘ PILNIE wielkiej MĄDREJ GŁOWY DO POMOCY... za chwilkę spróbuję wkleić logi..........


ps. a żeby było zabawnie przeniosłam wirusa na notebooka, ale tu udało mi się przywrócić system i conieco usunąć...

LOG z combo fixa, po skanowaniu sytem odzyskał stabilność tzn. na razie działa

Kod: Zaznacz wszystko

Nowy użytkownik 2009-01-27 20:41:23.1 - [color=red][b]FAT32[/b][/color]x86
Microsoft Windows XP Home Edition  5.1.2600.2.1250.1.1045.18.2046.1633 [GMT 1:00]
Uruchomiony z: G:\ComboFix.exe
FW: F-Secure Anti-Virus 2008 8.00 *disabled*
* Utworzono nowy punkt przywracania

UWAGA - TEN KOMPUTER NIE MA ZAINSTALOWANEJ KONSOLI ODZYSKIWANIA !!
.

(((((((((((((((((((((((((((((((((((((((   Usunięto   )))))))))))))))))))))))))))))))))))))))))))))))))
.

c:\program files\Microsoft Common
c:\program files\Microsoft Common\WUAUCLT.EXE
c:\windows\BMd396fe19.txt
c:\windows\cookies.ini
c:\windows\msauc.exe
c:\windows\pskt.ini
c:\windows\system32\digeste.dll
c:\windows\system32\jetaccss.dll
c:\windows\system32\LkTEhRqr.ini
c:\windows\system32\LkTEhRqr.ini2
c:\windows\system32\mdm.exe
c:\windows\system32\rooojxwb.ini
c:\windows\system32\rooojxwb.ini2
c:\windows\system32\rooojxwb.tmp
c:\windows\system32\rtc.dat
c:\windows\system32\shell31.dll
c:\windows\system32\wpv611230262430.cpx
c:\windows\wiaserviv.log
D:\update.exe
H:\autorun.inf

.
(((((((((((((((((((((((((((((((((((((((   Sterowniki/Usługi   )))))))))))))))))))))))))))))))))))))))))))))))))
.

-------\Legacy_ASC3550P


(((((((((((((((((((((((((   Pliki utworzone od 2008-12-27 do 2009-01-27  )))))))))))))))))))))))))))))))
.

2009-01-26 23:39 . 2009-01-26 23:39   <DIR>   d--hs----   C:\FOUND.002
2009-01-26 23:24 . 2007-12-30 12:11   <DIR>   d--h-----   c:\documents and settings\Kasia\Ustawienia lokalne
2009-01-26 23:24 . 2007-12-30 12:11   <DIR>   d--------   c:\documents and settings\Kasia\Ulubione
2009-01-26 23:24 . 2007-12-30 12:11   <DIR>   d--h-----   c:\documents and settings\Kasia\Szablony
2009-01-26 23:24 . 2007-12-30 12:11   <DIR>   d--------   c:\documents and settings\Kasia\Pulpit
2009-01-26 23:24 . 2007-12-30 12:11   <DIR>   d--------   c:\documents and settings\Kasia\Moje dokumenty
2009-01-26 23:24 . 2007-12-30 12:11   <DIR>   dr-------   c:\documents and settings\Kasia\Menu Start
2009-01-26 23:24 . 2007-12-30 12:11   <DIR>   dr-h-----   c:\documents and settings\Kasia\Dane aplikacji
2009-01-26 23:24 . 2009-01-26 23:24   <DIR>   d--------   c:\documents and settings\Kasia
2009-01-26 20:05 . 2009-01-26 20:06   <DIR>   d--------   c:\program files\ArcaMicroScan
2009-01-26 10:39 . 2009-01-26 10:39   <DIR>   d--------   c:\program files\Trend Micro
2009-01-26 10:39 . 2009-01-26 10:39   <DIR>   d--------   C:\Nowy folder
2009-01-26 10:39 . 2009-01-26 10:39   <DIR>   d--------   c:\documents and settings\Nowy użytkownik\Dane aplikacji\DAEMON Tools Pro
2009-01-26 10:39 . 2009-01-26 10:39   <DIR>   d--------   c:\documents and settings\Nowy użytkownik\Dane aplikacji\DAEMON Tools
2009-01-26 10:39 . 2009-01-26 10:39   <DIR>   d--------   c:\documents and settings\All Users\Dane aplikacji\DAEMON Tools Lite
2009-01-25 12:56 . 2009-01-25 12:56   137,696   --a------   c:\windows\system32\drivers\ethfwzpt.sys
2009-01-25 12:56 . 2009-01-25 12:56   44,032   --a------   c:\windows\system32\MCENSPC.DLL
2009-01-25 12:56 . 2009-01-25 12:56   3,584   --a------   c:\windows\tjwkjump.exe
2009-01-08 16:19 . 2009-01-08 16:19   5   --a------   c:\windows\pbdat.dat
2009-01-04 14:19 . 2009-01-04 14:19   108,144   --a------   c:\windows\system32\CmdLineExt.dll
2009-01-04 13:57 . 2009-01-04 13:57   <DIR>   d--------   c:\documents and settings\Nowy użytkownik\Dane aplikacji\DAEMON Tools Lite
2008-12-31 17:25 . 2008-12-31 17:25   <DIR>   d--hs----   C:\FOUND.001

.
((((((((((((((((((((((((((((((((((((((((   Sekcja Find3M   ))))))))))))))))))))))))))))))))))))))))))))))))))))
.
2008-01-01 22:35   22,328   ----a-w   c:\documents and settings\Nowy użytkownik\Dane aplikacji\PnkBstrK.sys
2008-09-25 09:47   2   --sha-r   c:\windows\winstart.bat
2008-01-03 22:08   6,656   --sh--r   c:\windows\system32\hguard.dll
2008-01-03 22:08   22,016   --sh--r   c:\windows\system32\hoko.dll
2008-01-03 22:08   266,240   --sh--r   c:\windows\system32\upx202-adtp.exe
.

(((((((((((((((((((((((((((((((((((((   Wpisy startowe rejestru   ))))))))))))))))))))))))))))))))))))))))))))))))))
.
.
*Uwaga* puste wpisy oraz domyślne, prawidłowe wpisy nie są pokazane 
REGEDIT4

[HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
"ctfmon.exe"="c:\windows\system32\ctfmon.exe" [2006-03-02 15360]

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
"iPlusManager"="d:\iplus\iPlusChecker.exe" [2006-08-28 274432]
"NvCplDaemon"="c:\windows\system32\NvCpl.dll" [2007-12-05 8523776]
"ISTray"="c:\program files\Spyware Doctor\pctsTray.exe" [2008-06-04 1107848]

[HKEY_USERS\.DEFAULT\Software\Microsoft\Windows\CurrentVersion\Run]
"CTFMON.EXE"="c:\windows\system32\CTFMON.EXE" [2006-03-02 15360]
"DWQueuedReporting"="c:\progra~1\COMMON~1\MICROS~1\DW\dwtrig20.exe" [2007-03-13 39264]

[hkey_local_machine\software\microsoft\windows\currentversion\explorer\ShellExecuteHooks]
"{5AE067D3-9AFB-48E0-853A-EBB7F4A000DA}"= "d:\antysp\SASSEH.DLL" [2006-12-20 77824]

[HKEY_LOCAL_MACHINE\software\microsoft\windows nt\currentversion\winlogon\notify\!SASWinLogon]
2007-04-19 12:41 294912 d:\antysp\SASWINLO.dll

[HKEY_LOCAL_MACHINE\system\currentcontrolset\control\session manager]
BootExecute   REG_MULTI_SZ      autocheck autochk *\[u]0[/u]Partizan

[HKEY_LOCAL_MACHINE\system\currentcontrolset\control\securityproviders]
SecurityProviders   msapsspc.dll, schannel.dll, digest.dll, msnsspc.dll, mcenspc.dll

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\NvMediaCenter]
--a------ 2007-12-05 01:41 81920 c:\windows\system32\nvmctray.dll

[HKEY_LOCAL_MACHINE\software\microsoft\security center\Monitoring]
"DisableMonitoring"=dword:00000001

[HKEY_LOCAL_MACHINE\software\microsoft\security center\Monitoring\SymantecAntiVirus]
"DisableMonitoring"=dword:00000001

[HKEY_LOCAL_MACHINE\software\microsoft\security center\Monitoring\SymantecFirewall]
"DisableMonitoring"=dword:00000001

[HKLM\~\services\sharedaccess\parameters\firewallpolicy\standardprofile\AuthorizedApplications\List]
"%windir%\\system32\\sessmgr.exe"=
"%windir%\\Network Diagnostic\\xpnetdiag.exe"=
"c:\\WINDOWS\\System32\\PnkBstrA.exe"=
"c:\\WINDOWS\\System32\\PnkBstrB.exe"=
"f:\\programy\\eMule\\emule.exe"=
"d:\\Gadu-Gadu\\gg.exe"=
"d:\\SecondLife\\SLVoice.exe"=

R0 hotcore3;hotcore3;c:\windows\system32\drivers\hotcore3.sys [2007-12-30 38448]
R1 SASDIFSV;SASDIFSV;d:\antysp\sasdifsv.sys [2008-02-29 8944]
R1 SASKUTIL;SASKUTIL;d:\antysp\SASKUTIL.SYS [2008-02-29 51440]
R3 c65013264;C-Media CM6501 Like Sound UDAX Interface;c:\windows\system32\drivers\c6501.sys [2007-12-29 1310720]
R4 SCPDFV4ReadSpool;SolidConverterPDFv4ReadSpool;c:\windows\Installer\MSI31.tmp [2008-10-15 189688]
R4 sdAuxService;PC Tools Auxiliary Service;c:\program files\Spyware Doctor\pctsAuxs.exe [2008-03-19 337800]
R4 WinDefend;Windows Defender;c:\program files\Windows Defender\MsMpEng.exe [2006-11-03 13592]
S1 ethfwzpt;ethfwzpt;c:\windows\system32\drivers\ethfwzpt.sys [2009-01-25 137696]
S3 ATE_PROCMON;ATE_PROCMON;\??\d:\anti trojan elite\ATEPMon.sys --> d:\anti trojan elite\ATEPMon.sys [?]
S3 COH_Mon;COH_Mon;\??\c:\windows\system32\Drivers\COH_Mon.sys --> c:\windows\system32\Drivers\COH_Mon.sys [?]
S3 NPF;NetGroup Packet Filter Driver;c:\windows\system32\drivers\npf.sys [2005-08-02 32512]
S3 Partizan;Partizan;c:\windows\system32\drivers\Partizan.sys [2008-09-25 30946]
S3 SASENUM;SASENUM;d:\antysp\SASENUM.SYS [2006-02-16 4096]
S4 bgg;Bezpieczne GG - tymczasowa usluga (RPC); [x]
S4 PHPGeekUtil;PHPGeekUtil; [x]

--- Inne Usługi/Sterowniki w Pamięci ---

*Deregistered* - mchInjDrv

[HKEY_CURRENT_USER\software\microsoft\windows\currentversion\explorer\mountpoints2\{eae352a7-b7f7-11dc-bb6c-001d6023faaf}]
\Shell\AutoRun\command - c:\windows\system32\RunDLL32.EXE Shell32.DLL,ShellExec_RunDLL system.exe
\Shell\Explore\command - H:\system.exe
\Shell\Open\command - H:\system.exe
.
Zawartość folderu 'Zaplanowane zadania'

2009-01-27 c:\windows\Tasks\MP Scheduled Scan.job
- c:\program files\Windows Defender\MpCmdRun.exe [2006-11-03 19:20]
.
.
------- Skan uzupełniający -------
.
uStart Page = hxxp://www.allegro.pl/
mStart Page = hxxp://www.google.pl/
DPF: {193C772A-87BE-4B19-A7BB-445B226FE9A1} - hxxp://downloads.ewido.net/ewidoOnlineScan.cab
FF - ProfilePath - c:\documents and settings\Nowy użytkownik\Dane aplikacji\Mozilla\Firefox\Profiles\ew0dv7ui.default\
FF - plugin: d:\adobe\Reader\browser\nppdf32.dll
.

**************************************************************************

catchme 0.3.1367 W2K/XP/Vista - rootkit/stealth malware detector by Gmer, http://www.gmer.net
Rootkit scan 2009-01-27 20:44:51
Windows 5.1.2600 Dodatek Service Pack 2 FAT NTAPI

detected NTDLL code modification:
ZwClose

skanowanie ukrytych procesów ... 

skanowanie ukrytych wpisów autostartu ...

skanowanie ukrytych plików ... 

skanowanie pomyślnie ukończone
ukryte pliki: 0

**************************************************************************

[HKEY_LOCAL_MACHINE\System\ControlSet001\Services\SCPDFV4ReadSpool]
"ImagePath"="c:\windows\Installer\MSI31.tmp"
.
--------------------- Pliki DLL ładowane pod uruchomionymi procesami ---------------------

- - - - - - - > 'winlogon.exe'(928)
d:\antysp\SASWINLO.dll
.
------------------------ Pozostałe uruchomione procesy ------------------------
.
d:\adware\aawservice.exe
d:\a-squared free\a2service.exe
d:\avg anti-spyware 7.5\guard.exe
c:\windows\SYSTEM32\NVSVC32.EXE
c:\windows\SYSTEM32\PNKBSTRB.EXE
c:\program files\SPYWARE DOCTOR\PCTSSVC.EXE
c:\windows\system32\wscntfy.exe
.
**************************************************************************
.
Czas ukończenia: 2009-01-27 20:46:02 - komputer został uruchomiony ponownie [Nowy użytkownik]
ComboFix-quarantined-files.txt  2009-01-27 19:46:00

Przed: 19,372,113,920 bajtów wolnych
Po: 21,093,318,656 bajtów wolnych

174   --- E O F ---   2008-09-10 12:42:25
[quote][/quote][/quote]

Dodano Dzisiaj, 21:26:

Logfile of Trend Micro HijackThis v2.0.2
Scan saved at 21:21, on 2009-01-27
Platform: Windows XP Dodatek SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v7.00 (7.00.6000.16705)
Boot mode: Normal

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\csrss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\system32\svchost.exe
C:\Program Files\Windows Defender\MsMpEng.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\system32\svchost.exe
D:\adware\aawservice.exe
C:\WINDOWS\Explorer.EXE
C:\WINDOWS\system32\spoolsv.exe
D:\A-SQUARED FREE\a2service.exe
D:\AVG Anti-Spyware 7.5\guard.exe
C:\WINDOWS\system32\nvsvc32.exe
C:\WINDOWS\system32\PnkBstrB.exe
C:\WINDOWS\Installer\MSI31.tmp
C:\Program Files\Spyware Doctor\pctsAuxs.exe
C:\Program Files\Spyware Doctor\pctsSvc.exe
C:\WINDOWS\system32\svchost.exe
C:\Program Files\Spyware Doctor\pctsTray.exe
C:\WINDOWS\System32\alg.exe
C:\WINDOWS\system32\wscntfy.exe
C:\WINDOWS\system32\ctfmon.exe
D:\iPlus\iPlusChecker.exe
C:\WINDOWS\system32\wbem\wmiprvse.exe
C:\Program Files\Spyware Doctor\update.exe
D:\hh\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.allegro.pl/
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://go.microsoft.com/fwlink/?LinkId=69157
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://go.microsoft.com/fwlink/?LinkId=54896
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = http://go.microsoft.com/fwlink/?LinkId=54896
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.google.pl/
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Łącza
O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - D:\adobe\Reader\ActiveX\AcroIEHelper.dll
O2 - BHO: Spybot-S&D IE Protection - {53707962-6F74-2D53-2644-206D7942484F} - D:\SPYBOT~1\SDHelper.dll
O2 - BHO: SSVHelper Class - {761497BB-D6F0-462C-B6EB-D4DAF1D92D43} - C:\Program Files\Java\jre1.6.0_03\bin\ssv.dll
O4 - HKLM\..\Run: [iPlusManager] D:\iPlus\iPlusChecker.exe
O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\system32\NvCpl.dll,NvStartup
O4 - HKLM\..\Run: [ISTray] "C:\Program Files\Spyware Doctor\pctsTray.exe"
O4 - HKLM\..\Run: [combofix] C:\WINDOWS\system32\CF9079.exe /c C:\ComboFix\Combobatch.bat
O4 - HKCU\..\Run: [ctfmon.exe] C:\WINDOWS\system32\ctfmon.exe
O4 - HKUS\S-1-5-18\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'SYSTEM')
O4 - HKUS\S-1-5-18\..\Run: [DWQueuedReporting] "C:\PROGRA~1\COMMON~1\MICROS~1\DW\dwtrig20.exe" -t (User 'SYSTEM')
O4 - HKUS\.DEFAULT\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'Default user')
O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\jre1.6.0_03\bin\ssv.dll
O9 - Extra 'Tools' menuitem: Sun Java Console - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\jre1.6.0_03\bin\ssv.dll
O9 - Extra button: (no name) - {DFB852A3-47F8-48C4-A200-58CAB36FD2A2} - D:\SPYBOT~1\SDHelper.dll
O9 - Extra 'Tools' menuitem: Spybot - Search & Destroy Configuration - {DFB852A3-47F8-48C4-A200-58CAB36FD2A2} - D:\SPYBOT~1\SDHelper.dll
O9 - Extra button: (no name) - {e2e2dd38-d088-4134-82b7-f2ba38496583} - C:\WINDOWS\Network Diagnostic\xpnetdiag.exe
O9 - Extra 'Tools' menuitem: @xpsp3res.dll,-20001 - {e2e2dd38-d088-4134-82b7-f2ba38496583} - C:\WINDOWS\Network Diagnostic\xpnetdiag.exe
O16 - DPF: {193C772A-87BE-4B19-A7BB-445B226FE9A1} (ewidoOnlineScan Control) - http://downloads.ewido.net/ewidoOnlineScan.cab
O16 - DPF: {644E432F-49D3-41A1-8DD5-E099162EEEC5} (Symantec RuFSI Utility Class) - http://security.symantec.com/sscv6/SharedContent/common/bin/cabsa.cab
O16 - DPF: {74DBCB52-F298-4110-951D-AD2FF67BC8AB} (NVIDIA Smart Scan) - http://www.nvidia.com/content/DriverDownload/nforce/NvidiaSmartScan.cab
O16 - DPF: {9A9307A0-7DA4-4DAF-B042-5009F29E09E1} (ActiveScan Installer Class) - http://acs.pandasoftware.com/activescan/as5free/asinst.cab
O16 - DPF: {EF791A6B-FC12-4C68-99EF-FB9E207A39E6} (McFreeScan Class) - http://download.mcafee.com/molbin/iss-loc/mcfscan/2,2,0,5258/mcfscan.cab
O20 - Winlogon Notify: !SASWinLogon - D:\ANTYSP\SASWINLO.dll
O23 - Service: a-squared Free Service (a2free) - Emsi Software GmbH - D:\A-SQUARED FREE\a2service.exe
O23 - Service: Lavasoft Ad-Aware Service (aawservice) - Lavasoft - D:\adware\aawservice.exe
O23 - Service: Apache - Advanced Micro Devices - (no file)
O23 - Service: AVG Anti-Spyware Guard - GRISOFT s.r.o. - D:\AVG Anti-Spyware 7.5\guard.exe
O23 - Service: Bezpieczne GG - tymczasowa usluga (RPC) (bgg) - GRISOFT, s.r.o. - (no file)
O23 - Service: InstallDriver Table Manager (IDriverT) - Macrovision Corporation - C:\Program Files\Common Files\InstallShield\Driver\1150\Intel 32\IDriverT.exe
O23 - Service: MySql - Unknown owner - (no file)
O23 - Service: NBService - Nero AG - D:\Nero 7\Nero BackItUp\NBService.exe
O23 - Service: NMIndexingService - Nero AG - C:\Program Files\Common Files\Ahead\Lib\NMIndexingService.exe
O23 - Service: NVIDIA Display Driver Service (NVSvc) - NVIDIA Corporation - C:\WINDOWS\system32\nvsvc32.exe
O23 - Service: PnkBstrB - Unknown owner - C:\WINDOWS\system32\PnkBstrB.exe
O23 - Service: PsExec (PSEXESVC) - Unknown owner - C:\WINDOWS\PSEXESVC.EXE (file missing)
O23 - Service: Remote Packet Capture Protocol v.0 (experimental) (rpcapd) - CACE Technologies - C:\Program Files\WinPcap\rpcapd.exe
O23 - Service: SolidConverterPDFv4ReadSpool (SCPDFV4ReadSpool) - Solid Documents, LLC - C:\WINDOWS\Installer\MSI31.tmp
O23 - Service: PC Tools Auxiliary Service (sdAuxService) - PC Tools - C:\Program Files\Spyware Doctor\pctsAuxs.exe
O23 - Service: PC Tools Security Service (sdCoreService) - PC Tools - C:\Program Files\Spyware Doctor\pctsSvc.exe
O23 - Service: Symantec Core LC - Unknown owner - C:\PROGRA~1\COMMON~1\SYMANT~1\CCPD-LC\symlcsvc.exe
O24 - Desktop Component 0: (no name) - file:///C:/DOCUME~1/NOWYUŻ~1/USTAWI~1/Temp/msoclip1/01/clip_image002.jpg

--
End of file - 6246 bytes

[wojtas]

Otworz notatnik i wklej w nim to:

File::
c:\windows\tjwkjump.exe
c:\windows\system32\hguard.dll
c:\windows\system32\hoko.dll
c:\windows\system32\upx202-adtp.exe

Registry::
[-HKEY_CURRENT_USER\software\microsoft\windows\currentversion\explorer\mountpoints2\{eae352a7-b7f7-11dc-bb6c-001d6023faaf}]

>>Plik>>Zapisz jako... >>> CFScript
Przeciągnij i upuść plik CFScript.txt na plik ComboFix.exe
-->
Ma się rozpocząć usuwanie. (i powstanie log).Daj ten log, który powstanie w trakcie usuwania.

[multinet]

ok. SZEFIE zrobione, oto log

Kod: Zaznacz wszystko

ComboFix 09-01-21.04 - Nowy użytkownik 2009-01-27 23:53:44.2 - [color=red][b]FAT32[/b][/color]x86
Microsoft Windows XP Home Edition  5.1.2600.2.1250.1.1045.18.2046.1582 [GMT 1:00]
Uruchomiony z: D:\ComboFix.exe
Użyto następujących komend :: D:\CFScript.txt
FW: F-Secure Anti-Virus 2008 8.00 *disabled*
* Utworzono nowy punkt przywracania

UWAGA - TEN KOMPUTER NIE MA ZAINSTALOWANEJ KONSOLI ODZYSKIWANIA !!

FILE ::
c:\windows\system32\hguard.dll
c:\windows\system32\hoko.dll
c:\windows\system32\upx202-adtp.exe
c:\windows\tjwkjump.exe
.

(((((((((((((((((((((((((((((((((((((((   Usunięto   )))))))))))))))))))))))))))))))))))))))))))))))))
.

c:\windows\system32\hguard.dll
c:\windows\system32\hoko.dll
c:\windows\system32\upx202-adtp.exe
c:\windows\tjwkjump.exe

.
(((((((((((((((((((((((((   Pliki utworzone od 2008-12-27 do 2009-01-27  )))))))))))))))))))))))))))))))
.

2009-01-26 23:39 . 2009-01-26 23:39   <DIR>   d--hs----   C:\FOUND.002
2009-01-26 23:24 . 2007-12-30 12:11   <DIR>   d--h-----   c:\documents and settings\Kasia\Ustawienia lokalne
2009-01-26 23:24 . 2007-12-30 12:11   <DIR>   d--------   c:\documents and settings\Kasia\Ulubione
2009-01-26 23:24 . 2007-12-30 12:11   <DIR>   d--h-----   c:\documents and settings\Kasia\Szablony
2009-01-26 23:24 . 2007-12-30 12:11   <DIR>   d--------   c:\documents and settings\Kasia\Pulpit
2009-01-26 23:24 . 2007-12-30 12:11   <DIR>   d--------   c:\documents and settings\Kasia\Moje dokumenty
2009-01-26 23:24 . 2007-12-30 12:11   <DIR>   dr-------   c:\documents and settings\Kasia\Menu Start
2009-01-26 23:24 . 2007-12-30 12:11   <DIR>   dr-h-----   c:\documents and settings\Kasia\Dane aplikacji
2009-01-26 23:24 . 2009-01-26 23:24   <DIR>   d--------   c:\documents and settings\Kasia
2009-01-26 20:05 . 2009-01-26 20:06   <DIR>   d--------   c:\program files\ArcaMicroScan
2009-01-26 10:39 . 2009-01-26 10:39   <DIR>   d--------   c:\program files\Trend Micro
2009-01-26 10:39 . 2009-01-26 10:39   <DIR>   d--------   C:\Nowy folder
2009-01-26 10:39 . 2009-01-26 10:39   <DIR>   d--------   c:\documents and settings\Nowy użytkownik\Dane aplikacji\DAEMON Tools Pro
2009-01-26 10:39 . 2009-01-26 10:39   <DIR>   d--------   c:\documents and settings\Nowy użytkownik\Dane aplikacji\DAEMON Tools
2009-01-26 10:39 . 2009-01-26 10:39   <DIR>   d--------   c:\documents and settings\All Users\Dane aplikacji\DAEMON Tools Lite
2009-01-25 12:56 . 2009-01-25 12:56   137,696   --a------   c:\windows\system32\drivers\ethfwzpt.sys
2009-01-25 12:56 . 2009-01-25 12:56   44,032   --a------   c:\windows\system32\MCENSPC.DLL
2009-01-08 16:19 . 2009-01-08 16:19   5   --a------   c:\windows\pbdat.dat
2009-01-04 14:19 . 2009-01-04 14:19   108,144   --a------   c:\windows\system32\CmdLineExt.dll
2009-01-04 13:57 . 2009-01-04 13:57   <DIR>   d--------   c:\documents and settings\Nowy użytkownik\Dane aplikacji\DAEMON Tools Lite
2008-12-31 17:25 . 2008-12-31 17:25   <DIR>   d--hs----   C:\FOUND.001

.
((((((((((((((((((((((((((((((((((((((((   Sekcja Find3M   ))))))))))))))))))))))))))))))))))))))))))))))))))))
.
2008-01-01 22:35   22,328   ----a-w   c:\documents and settings\Nowy użytkownik\Dane aplikacji\PnkBstrK.sys
2008-09-25 09:47   2   --sha-r   c:\windows\winstart.bat
.

(((((((((((((((((((((((((((((((((((((   Wpisy startowe rejestru   ))))))))))))))))))))))))))))))))))))))))))))))))))
.
.
*Uwaga* puste wpisy oraz domyślne, prawidłowe wpisy nie są pokazane 
REGEDIT4

[HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
"ctfmon.exe"="c:\windows\system32\ctfmon.exe" [2006-03-02 15360]

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
"iPlusManager"="d:\iplus\iPlusChecker.exe" [2006-08-28 274432]
"NvCplDaemon"="c:\windows\system32\NvCpl.dll" [2007-12-05 8523776]
"ISTray"="c:\program files\Spyware Doctor\pctsTray.exe" [2008-06-04 1107848]

[HKEY_USERS\.DEFAULT\Software\Microsoft\Windows\CurrentVersion\Run]
"CTFMON.EXE"="c:\windows\system32\CTFMON.EXE" [2006-03-02 15360]
"DWQueuedReporting"="c:\progra~1\COMMON~1\MICROS~1\DW\dwtrig20.exe" [2007-03-13 39264]

[hkey_local_machine\software\microsoft\windows\currentversion\explorer\ShellExecuteHooks]
"{5AE067D3-9AFB-48E0-853A-EBB7F4A000DA}"= "d:\antysp\SASSEH.DLL" [2006-12-20 77824]

[HKEY_LOCAL_MACHINE\software\microsoft\windows nt\currentversion\winlogon\notify\!SASWinLogon]
2007-04-19 12:41 294912 d:\antysp\SASWINLO.dll

[HKEY_LOCAL_MACHINE\system\currentcontrolset\control\session manager]
BootExecute   REG_MULTI_SZ      autocheck autochk *\[u]0[/u]Partizan

[HKEY_LOCAL_MACHINE\system\currentcontrolset\control\securityproviders]
SecurityProviders   msapsspc.dll, schannel.dll, digest.dll, msnsspc.dll, mcenspc.dll

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\NvMediaCenter]
--a------ 2007-12-05 01:41 81920 c:\windows\system32\nvmctray.dll

[HKEY_LOCAL_MACHINE\software\microsoft\security center\Monitoring]
"DisableMonitoring"=dword:00000001

[HKEY_LOCAL_MACHINE\software\microsoft\security center\Monitoring\SymantecAntiVirus]
"DisableMonitoring"=dword:00000001

[HKEY_LOCAL_MACHINE\software\microsoft\security center\Monitoring\SymantecFirewall]
"DisableMonitoring"=dword:00000001

[HKLM\~\services\sharedaccess\parameters\firewallpolicy\standardprofile\AuthorizedApplications\List]
"%windir%\\system32\\sessmgr.exe"=
"%windir%\\Network Diagnostic\\xpnetdiag.exe"=
"c:\\WINDOWS\\System32\\PnkBstrA.exe"=
"c:\\WINDOWS\\System32\\PnkBstrB.exe"=
"f:\\programy\\eMule\\emule.exe"=
"d:\\Gadu-Gadu\\gg.exe"=
"d:\\SecondLife\\SLVoice.exe"=

R0 hotcore3;hotcore3;c:\windows\system32\drivers\hotcore3.sys [2007-12-30 38448]
R1 SASDIFSV;SASDIFSV;d:\antysp\sasdifsv.sys [2008-02-29 8944]
R1 SASKUTIL;SASKUTIL;d:\antysp\SASKUTIL.SYS [2008-02-29 51440]
R3 c65013264;C-Media CM6501 Like Sound UDAX Interface;c:\windows\system32\drivers\c6501.sys [2007-12-29 1310720]
R4 SCPDFV4ReadSpool;SolidConverterPDFv4ReadSpool;c:\windows\Installer\MSI31.tmp [2008-10-15 189688]
R4 sdAuxService;PC Tools Auxiliary Service;c:\program files\Spyware Doctor\pctsAuxs.exe [2008-03-19 337800]
R4 WinDefend;Windows Defender;c:\program files\Windows Defender\MsMpEng.exe [2006-11-03 13592]
S1 ethfwzpt;ethfwzpt;c:\windows\system32\drivers\ethfwzpt.sys [2009-01-25 137696]
S3 ATE_PROCMON;ATE_PROCMON;\??\d:\anti trojan elite\ATEPMon.sys --> d:\anti trojan elite\ATEPMon.sys [?]
S3 COH_Mon;COH_Mon;\??\c:\windows\system32\Drivers\COH_Mon.sys --> c:\windows\system32\Drivers\COH_Mon.sys [?]
S3 NPF;NetGroup Packet Filter Driver;c:\windows\system32\drivers\npf.sys [2005-08-02 32512]
S3 Partizan;Partizan;c:\windows\system32\drivers\Partizan.sys [2008-09-25 30946]
S3 SASENUM;SASENUM;d:\antysp\SASENUM.SYS [2006-02-16 4096]
S4 bgg;Bezpieczne GG - tymczasowa usluga (RPC); [x]
S4 PHPGeekUtil;PHPGeekUtil; [x]

--- Inne Usługi/Sterowniki w Pamięci ---

*Deregistered* - mchInjDrv
.
Zawartość folderu 'Zaplanowane zadania'

2009-01-27 c:\windows\Tasks\MP Scheduled Scan.job
- c:\program files\Windows Defender\MpCmdRun.exe [2006-11-03 19:20]
.
.
------- Skan uzupełniający -------
.
uStart Page = hxxp://www.allegro.pl/
mStart Page = hxxp://www.google.pl/
DPF: {193C772A-87BE-4B19-A7BB-445B226FE9A1} - hxxp://downloads.ewido.net/ewidoOnlineScan.cab
FF - ProfilePath - c:\documents and settings\Nowy użytkownik\Dane aplikacji\Mozilla\Firefox\Profiles\ew0dv7ui.default\
FF - plugin: d:\adobe\Reader\browser\nppdf32.dll
.

**************************************************************************

catchme 0.3.1367 W2K/XP/Vista - rootkit/stealth malware detector by Gmer, http://www.gmer.net
Rootkit scan 2009-01-27 23:54:53
Windows 5.1.2600 Dodatek Service Pack 2 FAT NTAPI

detected NTDLL code modification:
ZwClose

skanowanie ukrytych procesów ... 

skanowanie ukrytych wpisów autostartu ...

skanowanie ukrytych plików ... 

skanowanie pomyślnie ukończone
ukryte pliki: 0

**************************************************************************

[HKEY_LOCAL_MACHINE\System\ControlSet001\Services\SCPDFV4ReadSpool]
"ImagePath"="c:\windows\Installer\MSI31.tmp"
.
--------------------- Pliki DLL ładowane pod uruchomionymi procesami ---------------------

- - - - - - - > 'winlogon.exe'(928)
d:\antysp\SASWINLO.dll
.
Czas ukończenia: 2009-01-27 23:55:42
ComboFix-quarantined-files.txt  2009-01-27 22:55:42
ComboFix2.txt  2009-01-27 19:46:04

Przed: 21,475,180,544 bajtów wolnych
Po: 21,466,595,328 bajtów wolnych

142   --- E O F ---   2008-09-10 12:42:25


Dodano Dzisiaj, 00:12:
a tu dodaję jeszcze logi z mojego notebooka, kóry też sprawiał kłopoty. Może coś uda się jeszcze wypatrzeć....

Kod: Zaznacz wszystko

ComboFix 09-01-21.04 - kasia i rafał 2009-01-27 22:48:21.1 - NTFSx86
Microsoft® Windows Vista™ Home Premium   6.0.6001.1.1250.1.1045.18.1021.281 [GMT 1:00]
Uruchomiony z: e:\bezpieczeństwo\ComboFix.exe
* Utworzono nowy punkt przywracania
.

(((((((((((((((((((((((((((((((((((((((   Usunięto   )))))))))))))))))))))))))))))))))))))))))))))))))
.

c:\program files\Microsoft Common
c:\windows\system32\mdm.exe

.
(((((((((((((((((((((((((   Pliki utworzone od 2008-12-27 do 2009-01-27  )))))))))))))))))))))))))))))))
.

2009-01-27 22:30 . 2009-01-27 22:31   <DIR>   d--------   C:\32788R22FWJFW.1.tmp
2009-01-27 22:29 . 2009-01-27 22:30   <DIR>   d--------   C:\32788R22FWJFW.0.tmp
2009-01-27 21:59 . 2009-01-27 21:59   <DIR>   d--------   c:\users\kasia i rafał\AppData\Roaming\Grisoft
2009-01-27 21:59 . 2009-01-27 21:59   <DIR>   d--------   c:\users\All Users\Grisoft
2009-01-27 21:59 . 2009-01-27 21:59   <DIR>   d--------   c:\programdata\Grisoft
2009-01-27 21:59 . 2007-05-30 13:10   10,872   --a------   c:\windows\System32\drivers\AvgAsCln.sys
2009-01-27 20:56 . 2009-01-27 20:56   0   --ah-----   c:\windows\System32\drivers\Msft_User_WpdFs_01_00_00.Wdf
2009-01-27 12:25 . 2009-01-27 12:25   <DIR>   d--------   C:\PerfLogs
2009-01-27 09:53 . 2009-01-27 20:57   <DIR>   d--h-----   C:\$AVG8.VAULT$
2009-01-27 09:21 . 2009-01-27 09:21   10,520   --a------   c:\windows\System32\avgrsstx.dll
2009-01-27 09:20 . 2009-01-27 18:30   <DIR>   d--------   c:\windows\System32\drivers\Avg
2009-01-27 09:20 . 2009-01-27 09:20   325,128   --a------   c:\windows\System32\drivers\avgldx86.sys
2009-01-27 09:20 . 2009-01-27 09:20   107,272   --a------   c:\windows\System32\drivers\avgtdix.sys
2009-01-27 09:19 . 2009-01-27 09:19   <DIR>   d--------   c:\program files\AVG
2009-01-27 09:18 . 2009-01-27 09:19   <DIR>   d--------   c:\users\All Users\avg8
2009-01-27 09:18 . 2009-01-27 09:19   <DIR>   d--------   c:\programdata\avg8
2009-01-26 19:27 . 2008-12-16 03:42   288,768   --a------   c:\windows\System32\drivers\srv.sys
2009-01-26 17:54 . 2009-01-26 17:54   <DIR>   d--------   c:\users\kasia i rafał\DoctorWeb
2009-01-26 17:54 . 2009-01-26 17:54   <DIR>   d--------   c:\users\kasia i rafał\DoctorWeb
2009-01-26 17:54 . 2009-01-26 18:55   <DIR>   d-a------   c:\users\All Users\TEMP
2009-01-26 17:54 . 2009-01-26 18:55   <DIR>   d-a------   c:\programdata\TEMP
2009-01-26 17:53 . 2009-01-26 17:53   <DIR>   d--------   c:\users\kasia i rafał\AppData\Roaming\PC Tools
2009-01-25 22:39 . 2009-01-27 09:53   <DIR>   d--------   c:\program files\SkanerOnline
2009-01-21 17:11 . 2009-01-21 17:11   473,600   --a------   c:\windows\System32\SkanerOnline.dll

.
((((((((((((((((((((((((((((((((((((((((   Sekcja Find3M   ))))))))))))))))))))))))))))))))))))))))))))))))))))
.
2060-08-18 17:02   1,496,064   ------w   c:\windows\System32\CC3250MT.DLL
2060-08-18 16:40   909,824   ------w   c:\windows\System32\cp3245mt.dll
2009-01-27 21:49   3,670,016   --sha-w   c:\users\kasia i rafał\ntuser.dat
2009-01-27 21:49   3,670,016   --sha-w   c:\users\kasia i rafał\ntuser.dat
2009-01-27 21:43   ---------   d-----w   c:\program files\Google
2009-01-27 21:22   57,595   ----a-w   c:\users\kasia i rafał\AppData\Roaming\nvModes.dat
2009-01-27 20:59   ---------   d-----w   c:\users\kasia i rafał\AppData\Roaming\Grisoft
2009-01-27 11:48   174   --sha-w   c:\program files\desktop.ini
2009-01-27 11:40   142,904   ----a-w   c:\windows\system32\drivers\sptddrv1.sys
2009-01-27 11:34   ---------   d-----w   c:\program files\Windows Sidebar
2009-01-27 11:34   ---------   d-----w   c:\program files\Windows Photo Gallery
2009-01-27 11:34   ---------   d-----w   c:\program files\Windows Mail
2009-01-27 11:34   ---------   d-----w   c:\program files\Windows Journal
2009-01-27 11:34   ---------   d-----w   c:\program files\Windows Defender
2009-01-27 11:34   ---------   d-----w   c:\program files\Windows Collaboration
2009-01-27 11:34   ---------   d-----w   c:\program files\Windows Calendar
2009-01-27 10:55   82,432   ----a-w   c:\windows\System32\axaltocm.dll
2009-01-27 10:55   101,888   ----a-w   c:\windows\System32\ifxcardm.dll
2009-01-27 10:23   ---------   d-----w   c:\programdata\Spyware Terminator
2009-01-27 10:23   ---------   d-----w   c:\program files\Spyware Terminator
2009-01-27 08:17   ---------   d-s---w   c:\users\kasia i rafał\AppData\Roaming\Microsoft
2009-01-26 18:13   ---------   d-----w   c:\users\kasia i rafał\AppData\Roaming\iPlus
2009-01-26 18:13   ---------   d-----w   c:\users\kasia i rafał\AppData\Roaming\Easy Thumbnails
2009-01-26 16:53   ---------   d-----w   c:\users\kasia i rafał\AppData\Roaming\PC Tools
2009-01-26 15:31   ---------   d-----w   c:\users\kasia i rafał\AppData\Roaming\Mozilla
2009-01-15 19:06   ---------   d-----w   c:\users\kasia i rafał\AppData\Roaming\Vso
2009-01-15 19:05   ---------   d-----w   c:\users\kasia i rafał\AppData\Roaming\Adobe
2008-12-31 22:15   ---------   d-----w   c:\program files\ALLPlayer
2008-11-01 03:44   541,696   ----a-w   c:\windows\AppPatch\AcLayers.dll
2008-11-01 03:44   52,736   ----a-w   c:\windows\AppPatch\iebrshim.dll
2008-11-01 03:44   460,288   ----a-w   c:\windows\AppPatch\AcSpecfc.dll
2008-11-01 03:44   28,672   ----a-w   c:\windows\System32\Apphlpdm.dll
2008-11-01 03:44   2,154,496   ----a-w   c:\windows\AppPatch\AcGenral.dll
2008-11-01 03:44   173,056   ----a-w   c:\windows\AppPatch\AcXtrnal.dll
2008-11-01 01:21   4,240,384   ----a-w   c:\windows\System32\GameUXLegacyGDFs.dll
2008-10-29 06:29   2,927,104   ----a-w   c:\windows\explorer.exe
2007-12-27 12:30   32   ----a-w   c:\users\All Users\ezsid.dat
2007-12-27 12:30   32   ----a-w   c:\programdata\ezsid.dat
2007-07-30 15:25   560   ----a-w   c:\users\kasia i rafał\AppData\Roaming\ViewerApp.dat
1999-05-17 12:58   99,840   ----a-w   c:\program files\Common Files\IRAABOUT.DLL
1998-12-09 01:53   70,144   ----a-w   c:\program files\Common Files\IRAMDMTR.DLL
1998-12-09 01:53   48,640   ----a-w   c:\program files\Common Files\IRALPTTR.DLL
1998-12-09 01:53   31,744   ----a-w   c:\program files\Common Files\IRAWEBTR.DLL
1998-12-09 01:53   186,368   ----a-w   c:\program files\Common Files\IRAREG.DLL
1998-12-09 01:53   17,920   ----a-w   c:\program files\Common Files\IRASRIAL.DLL
2008-12-21 09:55   67,688   ----a-w   c:\program files\mozilla firefox\components\jar50.dll
2008-12-21 09:55   54,368   ----a-w   c:\program files\mozilla firefox\components\jsd3250.dll
2008-12-21 09:55   34,944   ----a-w   c:\program files\mozilla firefox\components\myspell.dll
2008-12-21 09:55   46,712   ----a-w   c:\program files\mozilla firefox\components\spellchk.dll
2008-12-21 09:55   172,136   ----a-w   c:\program files\mozilla firefox\components\xpinstal.dll
2008-01-01 23:48   16,384   --sha-w   c:\windows\ServiceProfiles\LocalService\AppData\Local\Microsoft\Windows\History\History.IE5\index.dat
2008-01-01 23:48   32,768   --sha-w   c:\windows\ServiceProfiles\LocalService\AppData\Local\Microsoft\Windows\Temporary Internet Files\Content.IE5\index.dat
2008-01-01 23:48   16,384   --sha-w   c:\windows\ServiceProfiles\LocalService\AppData\Roaming\Microsoft\Windows\Cookies\index.dat
.

(((((((((((((((((((((((((((((((((((((   Wpisy startowe rejestru   ))))))))))))))))))))))))))))))))))))))))))))))))))
.
.
*Uwaga* puste wpisy oraz domyślne, prawidłowe wpisy nie są pokazane 
REGEDIT4

[HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
"BgMonitor_{79662E04-7C6C-4d9f-84C7-88D8A56B10AA}"="c:\program files\Common Files\Ahead\Lib\NMBgMonitor.exe" [2007-06-01 153136]

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
"TPwrMain"="c:\program files\TOSHIBA\Power Saver\TPwrMain.EXE" [2006-12-19 411768]
"HSON"="c:\program files\TOSHIBA\TBS\HSON.exe" [2006-12-07 55416]
"00TCrdMain"="c:\program files\TOSHIBA\FlashCards\TCrdMain.exe" [2007-01-17 534648]
"KeNotify"="c:\program files\TOSHIBA\Utilities\KeNotify.exe" [2006-11-06 34352]
"HWSetup"="c:\program files\TOSHIBA\Utilities\HWSetup.exe" [2006-11-01 413696]
"SVPWUTIL"="c:\program files\TOSHIBA\Utilities\SVPWUTIL.exe" [2006-11-01 438272]
"iPlusManager"="e:\program files\iPlus\iPlusChecker.exe" [2007-07-09 385024]
"SynTPEnh"="c:\program files\Synaptics\SynTP\SynTPEnh.exe" [2007-02-02 835584]
"IndexSearch"="c:\program files\ScanSoft\PaperPort\IndexSearch.exe" [2007-01-29 46632]
"AVG8_TRAY"="e:\progra~1\ANTYWI~1\avgtray.exe" [2009-01-27 1601304]
"!AVG Anti-Spyware"="e:\program files\AVG Anti-Spyware 7.5\avgas.exe" [2007-06-11 6731312]

[HKEY_USERS\.DEFAULT\Software\Microsoft\Windows\CurrentVersion\Run]
"Nokia.PCSync"="c:\program files\Nokia\Nokia PC Suite 6\PcSync2.exe" [2007-11-07 1294336]

c:\programdata\Microsoft\Windows\Start Menu\Programs\Startup\
Bluetooth Monitor.lnk - c:\program files\TOSHIBA\Bluetooth Monitor\BtMon2.exe [2007-07-22 69632]

[HKEY_LOCAL_MACHINE\software\microsoft\windows\currentversion\policies\system]
"EnableLUA"= 0 (0x0)
"EnableUIADesktopToggle"= 0 (0x0)

[HKEY_LOCAL_MACHINE\software\microsoft\windows nt\currentversion\windows]
"AppInit_DLLs"=G

[HKEY_LOCAL_MACHINE\software\microsoft\windows nt\currentversion\drivers32]
"vidc.i420"= i263_32.drv
"msacm.dvacm"= c:\progra~1\COMMON~1\ULEADS~1\vio\dvacm.acm
"VIDC.X264"= x264vfw.dll
"VIDC.HFYU"= huffyuv.dll
"vidc.i263"= i263_32.drv
"msacm.l3fhg"= mp3fhg.acm
"msacm.divxa32"= divxa32.acm
"msacm.imc"= imc32.acm
"msacm.l3codec"= l3codecp.acm

[HKLM\~\startupfolder\C:^ProgramData^Microsoft^Windows^Start Menu^Programs^Startup^Adobe Gamma Loader.lnk]
path=c:\programdata\Microsoft\Windows\Start Menu\Programs\Startup\Adobe Gamma Loader.lnk
backup=c:\windows\pss\Adobe Gamma Loader.lnk.CommonStartup
backupExtension=.CommonStartup

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\NeroFilterCheck]
--a------ 2001-07-09 10:50 155648 c:\windows\System32\NeroCheck.exe

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\NvMediaCenter]
--a------ 2007-01-13 09:40 81920 c:\windows\System32\nvmctray.dll

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\NvSvc]
--a------ 2007-01-13 09:40 90191 c:\windows\System32\nvsvc.dll

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\SSBkgdUpdate]
--a------ 2006-10-25 09:03 210472 c:\program files\Common Files\ScanSoft Shared\SSBkgdUpdate\SSBkgdUpdate.exe

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\topi]
--a------ 2007-03-02 14:10 577536 c:\program files\TOSHIBA\Toshiba Online Product Information\TOPI.exe

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\WMPNSCFG]
--a------ 2008-01-19 08:33 202240 c:\program files\Windows Media Player\wmpnscfg.exe

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\WindowsWelcomeCenter]
--a------ 2008-01-19 08:36 2153472 c:\windows\System32\oobefldr.dll

[HKEY_LOCAL_MACHINE\software\microsoft\security center\Monitoring]
"DisableMonitoring"=dword:00000001

[HKEY_LOCAL_MACHINE\software\microsoft\security center\Monitoring\SymantecAntiVirus]
"DisableMonitoring"=dword:00000001

[HKEY_LOCAL_MACHINE\software\microsoft\security center\Monitoring\SymantecFirewall]
"DisableMonitoring"=dword:00000001

[HKEY_LOCAL_MACHINE\software\microsoft\security center\Svc\S-1-5-21-693014868-2596129730-2384297795-1000]
"EnableNotificationsRef"=dword:00000001

[HKLM\~\services\sharedaccess\parameters\firewallpolicy\FirewallRules]
"{B1A45FF7-9295-4C3B-85E2-5C560191907F}"= UDP:e:\program files\Phone\Skype.exe:Skype
"{7366BD24-B2A0-46DA-BE73-62D59857404A}"= TCP:e:\program files\Phone\Skype.exe:Skype
"TCP Query User{C21563E7-01D8-451A-ADD2-BB3F68A84060}e:\\gra\\medal\\mohaa.exe"= Disabled:UDP:e:\gra\medal\mohaa.exe:Medal of Honor Allied Assault(tm)
"UDP Query User{8BADC437-8B88-4867-9A53-EAA5B448E432}e:\\gra\\medal\\mohaa.exe"= Disabled:TCP:e:\gra\medal\mohaa.exe:Medal of Honor Allied Assault(tm)
"{0D4EC22C-942E-4C92-A620-B17F47FCF474}"= Disabled:UDP:c:\program files\Skype\Phone\Skype.exe:Skype
"{B5F975F0-9639-43D6-A580-C79A45EF584C}"= Disabled:TCP:c:\program files\Skype\Phone\Skype.exe:Skype
"{269C46BF-876A-4EC5-815E-81AF9BBE7F5E}"= e:\program files\antywirAVG\avgemc.exe:avgemc.exe
"{EEC9D0DD-9CA9-4C03-A4F4-65BBBF16E4E8}"= e:\program files\antywirAVG\avgupd.exe:avgupd.exe
"{86AAF149-07E1-40AE-BBF6-E3C28BD47588}"= e:\program files\antywirAVG\avgnsx.exe:avgnsx.exe

[HKLM\~\services\sharedaccess\parameters\firewallpolicy\PublicProfile]
"EnableFirewall"= 0 (0x0)

R0 sfsync03;StarForce Protection Synchronization Driver (version 3.x);c:\windows\System32\drivers\sfsync03.sys [2005-10-13 35328]
R1 AvgLdx86;AVG Free AVI Loader Driver x86;c:\windows\System32\drivers\avgldx86.sys [2009-01-27 325128]
R1 AvgTdiX;AVG Free8 Network Redirector;c:\windows\System32\drivers\avgtdix.sys [2009-01-27 107272]
R1 sp_rsdrv2;Spyware Terminator Driver 2;c:\windows\System32\drivers\sp_rsdrv2.sys [2007-12-10 138624]
R4 avg8emc;AVG Free8 E-mail Scanner;e:\progra~1\ANTYWI~1\avgemc.exe [2009-01-27 903960]
R4 avg8wd;AVG Free8 WatchDog;e:\progra~1\ANTYWI~1\avgwdsvc.exe [2009-01-27 298264]
S3 AMYTR;AMYTR;c:\users\KASIAI~1\AppData\Local\Temp\AMYTR.exe --> c:\users\KASIAI~1\AppData\Local\Temp\AMYTR.exe [?]
S3 GRDHE;GRDHE;c:\users\KASIAI~1\AppData\Local\Temp\GRDHE.exe --> c:\users\KASIAI~1\AppData\Local\Temp\GRDHE.exe [?]
S3 IADOT;IADOT;c:\users\KASIAI~1\AppData\Local\Temp\IADOT.exe --> c:\users\KASIAI~1\AppData\Local\Temp\IADOT.exe [?]
S3 MUTJFFFDI;MUTJFFFDI;c:\users\KASIAI~1\AppData\Local\Temp\MUTJFFFDI.exe --> c:\users\KASIAI~1\AppData\Local\Temp\MUTJFFFDI.exe [?]
S3 ZGJLPK;ZGJLPK;c:\users\KASIAI~1\AppData\Local\Temp\ZGJLPK.exe --> c:\users\KASIAI~1\AppData\Local\Temp\ZGJLPK.exe [?]

--- Inne Usługi/Sterowniki w Pamięci ---

*NewlyCreated* - AVGASCLN
*Deregistered* - sptd

[HKEY_LOCAL_MACHINE\software\microsoft\windows nt\currentversion\svchost]
bthsvcs   REG_MULTI_SZ      BthServ
.
Zawartość folderu 'Zaplanowane zadania'

2009-01-27 c:\windows\Tasks\User_Feed_Synchronization-{124E45F0-D609-4ED9-AFA3-F71E43786D8D}.job
- c:\windows\system32\msfeedssync.exe [2008-01-19 08:33]
.
- - - - USUNIĘTO PUSTE WPISY - - - -

ShellExecuteHooks-{EDB0E980-90BD-11D4-8599-0008C7D3B6F8} - (no file)
MSConfigStartUp-swg - c:\program files\Google\GoogleToolbarNotifier\1.2.1128.5462\GoogleToolbarNotifier.exe
MSConfigStartUp-RtHDVCpl - RtHDVCpl.exe


.
------- Skan uzupełniający -------
.
uStart Page = hxxp://www.google.pl/
IE: {{C08CAF1D-C0A3-40D5-9970-06D067EAC017} - http://www.webtip.ch/cgi-bin/toshiba/tracker_url.pl?PL
Handler: tbr - {4D25FB7A-8902-4291-960E-9ADA051CFBBF} - c:\progra~1\Crawler\Toolbar\ctbr.dll
DPF: {68282C51-9459-467B-95BF-3C0E89627E55} - hxxp://www.mks.com.pl/skaner/SkanerOnline.cab
FF - ProfilePath -

---- FIREFOX - SPOSÓB POSTĘPOWANIA ----
c:\program files\Mozilla Firefox\greprefs\all.js - pref("ui.allow_platform_file_picker", true);
c:\program files\Mozilla Firefox\greprefs\all.js - pref("network.cookie.p3plevel",             1); // 0=low, 1=medium, 2=high, 3=custom
c:\program files\Mozilla Firefox\greprefs\all.js - pref("network.enablePad",                   false); // Allow client to do proxy autodiscovery
c:\program files\Mozilla Firefox\greprefs\security-prefs.js - pref("security.remember_cert_checkbox_default_setting", true);
c:\program files\Mozilla Firefox\defaults\pref\firefox.js - pref("browser.urlbar.hideGoButton", false);
c:\program files\Mozilla Firefox\defaults\pref\firefox.js - pref("browser.search.param.Google.1.default", "chrome://branding/content/searchconfig.properties");
c:\program files\Mozilla Firefox\defaults\pref\firefox.js - pref("browser.search.param.Google.1.custom",  "chrome://branding/content/searchconfig.properties");
c:\program files\Mozilla Firefox\defaults\pref\firefox.js - pref("signon.prefillForms",                 true);
c:\program files\Mozilla Firefox\defaults\pref\firefox.js - pref("browser.safebrowsing.enabled", false);
c:\program files\Mozilla Firefox\defaults\pref\firefox.js - pref("browser.safebrowsing.remoteLookups", false);
c:\program files\Mozilla Firefox\defaults\pref\firefox.js - pref("browser.safebrowsing.provider.0.updateURL", "http://sb.google.com/safebrowsing/update?client={moz:client}&appver={moz:version}&");
c:\program files\Mozilla Firefox\defaults\pref\firefox.js - pref("browser.safebrowsing.provider.0.lookupURL", "http://sb.google.com/safebrowsing/lookup?sourceid=firefox-antiphish&features=TrustRank&client={moz:client}&appver={moz:version}&");
c:\program files\Mozilla Firefox\defaults\pref\firefox.js - pref("browser.safebrowsing.provider.0.reportURL", "http://sb.google.com/safebrowsing/report?");
.

**************************************************************************

catchme 0.3.1367 W2K/XP/Vista - rootkit/stealth malware detector by Gmer, http://www.gmer.net
Rootkit scan 2009-01-27 22:54:24
Windows 6.0.6001 Service Pack 1 NTFS

skanowanie ukrytych procesów ... 

skanowanie ukrytych wpisów autostartu ...

skanowanie ukrytych plików ... 

skanowanie pomyślnie ukończone
ukryte pliki: 0

**************************************************************************
.
Czas ukończenia: 2009-01-27 22:56:42
ComboFix-quarantined-files.txt  2009-01-27 21:56:40

Przed: 8,648,245,248 bajtów wolnych
Po: 9,483,399,168 bajtów wolnych

232   --- E O F ---   2009-01-27 11:00:52


logi z notebooka cd.

Kod: Zaznacz wszystko

Logfile of Trend Micro HijackThis v2.0.2
Scan saved at 00:21:09, on 2009-01-28
Platform: Windows Vista SP1 (WinNT 6.00.1905)
MSIE: Internet Explorer v7.00 (7.00.6001.18000)
Boot mode: Normal

Running processes:
C:\Windows\system32\Dwm.exe
C:\Program Files\TOSHIBA\Power Saver\TPwrMain.exe
C:\Program Files\TOSHIBA\FlashCards\TCrdMain.exe
C:\Program Files\TOSHIBA\Utilities\KeNotify.exe
C:\Program Files\Synaptics\SynTP\SynTPEnh.exe
E:\Program Files\antywirAVG\avgtray.exe
C:\Program Files\Windows Defender\MSASCui.exe
E:\Program Files\AVG Anti-Spyware 7.5\avgas.exe
C:\Program Files\Common Files\Ahead\Lib\NMBgMonitor.exe
C:\Windows\system32\taskeng.exe
C:\Program Files\Synaptics\SynTP\SynToshiba.exe
C:\Program Files\Common Files\Ahead\Lib\NMIndexStoreSvr.exe
C:\Windows\system32\conime.exe
C:\Windows\Explorer.exe
C:\Windows\system32\wuauclt.exe
E:\Program Files\iPlus\iPlusManager.exe
C:\Program Files\Internet Explorer\iexplore.exe
E:\Program Files\antywirAVG\aAvgApi.exe
E:\bezpieczeństwo\h\HijackThis.exe
C:\Windows\system32\SearchFilterHost.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.google.pl/
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://go.microsoft.com/fwlink/?LinkId=69157
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://go.microsoft.com/fwlink/?LinkId=54896
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = http://go.microsoft.com/fwlink/?LinkId=54896
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = http://go.microsoft.com/fwlink/?LinkId=69157
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName =
O1 - Hosts: ::1 localhost
O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Program Files\Adobe\Acrobat 7.0\ActiveX\AcroIEHelper.dll
O2 - BHO: (no name) - {1CB20BF0-BBAE-40A7-93F4-6435FF3D0411} - C:\PROGRA~1\Crawler\Toolbar\ctbr.dll
O2 - BHO: Skype add-on (mastermind) - {22BF413B-C6D2-4d91-82A9-A0F997BA588C} - C:\Program Files\Skype\Toolbars\Internet Explorer\SkypeIEPlugin.dll
O2 - BHO: WormRadar.com IESiteBlocker.NavFilter - {3CA2F312-6F6E-4B53-A66E-4E65E497C8C0} - E:\Program Files\antywirAVG\avgssie.dll
O2 - BHO: SSVHelper Class - {761497BB-D6F0-462C-B6EB-D4DAF1D92D43} - C:\Program Files\Java\jre1.6.0\bin\ssv.dll
O2 - BHO: AVG Security Toolbar - {A057A204-BACC-4D26-9990-79A187E2698E} - E:\PROGRA~1\ANTYWI~1\AVGTOO~1.DLL
O3 - Toolbar: &Crawler Toolbar - {4B3803EA-5230-4DC3-A7FC-33638F3D3542} - C:\PROGRA~1\Crawler\Toolbar\ctbr.dll
O3 - Toolbar: AVG Security Toolbar - {A057A204-BACC-4D26-9990-79A187E2698E} - E:\PROGRA~1\ANTYWI~1\AVGTOO~1.DLL
O4 - HKLM\..\Run: [TPwrMain] %ProgramFiles%\TOSHIBA\Power Saver\TPwrMain.EXE
O4 - HKLM\..\Run: [HSON] %ProgramFiles%\TOSHIBA\TBS\HSON.exe
O4 - HKLM\..\Run: [00TCrdMain] %ProgramFiles%\TOSHIBA\FlashCards\TCrdMain.exe
O4 - HKLM\..\Run: [KeNotify] C:\Program Files\TOSHIBA\Utilities\KeNotify.exe
O4 - HKLM\..\Run: [HWSetup] C:\Program Files\TOSHIBA\Utilities\HWSetup.exe hwSetUP
O4 - HKLM\..\Run: [SVPWUTIL] C:\Program Files\TOSHIBA\Utilities\SVPWUTIL.exe SVPwUTIL
O4 - HKLM\..\Run: [iPlusManager] E:\Program Files\iPlus\iPlusChecker.exe
O4 - HKLM\..\Run: [SynTPEnh] C:\Program Files\Synaptics\SynTP\SynTPEnh.exe
O4 - HKLM\..\Run: [IndexSearch] "C:\Program Files\ScanSoft\PaperPort\IndexSearch.exe"
O4 - HKLM\..\Run: [AVG8_TRAY] E:\PROGRA~1\ANTYWI~1\avgtray.exe
O4 - HKLM\..\Run: [!AVG Anti-Spyware] "E:\Program Files\AVG Anti-Spyware 7.5\avgas.exe" /minimized
O4 - HKCU\..\Run: [BgMonitor_{79662E04-7C6C-4d9f-84C7-88D8A56B10AA}] "C:\Program Files\Common Files\Ahead\Lib\NMBgMonitor.exe"
O4 - HKUS\S-1-5-18\..\Run: [Nokia.PCSync] "C:\Program Files\Nokia\Nokia PC Suite 6\PcSync2.exe" /NoDialog (User 'SYSTEM')
O4 - HKUS\.DEFAULT\..\Run: [Nokia.PCSync] "C:\Program Files\Nokia\Nokia PC Suite 6\PcSync2.exe" /NoDialog (User 'Default user')
O4 - Global Startup: Bluetooth Monitor.lnk = ?
O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\jre1.6.0\bin\npjpi160.dll
O9 - Extra 'Tools' menuitem: Sun Java Console - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\jre1.6.0\bin\npjpi160.dll
O9 - Extra button: Skype - {77BF5300-1474-4EC7-9980-D32B190E9B07} - C:\Program Files\Skype\Toolbars\Internet Explorer\SkypeIEPlugin.dll
O9 - Extra button: eBay - {C08CAF1D-C0A3-40D5-9970-06D067EAC017} - http://www.webtip.ch/cgi-bin/toshiba/tracker_url.pl?PL (file missing)
O13 - Gopher Prefix:
O16 - DPF: {68282C51-9459-467B-95BF-3C0E89627E55} (MksSkanerOnline Class) - http://www.mks.com.pl/skaner/SkanerOnline.cab
O17 - HKLM\System\CCS\Services\Tcpip\..\{1B989DFB-B1C7-42E8-B3E9-8F9B6B5CEF4B}: NameServer = 212.2.96.51 212.2.96.52
O18 - Protocol: linkscanner - {F274614C-63F8-47D5-A4D1-FBDDE494F8D1} - E:\Program Files\antywirAVG\avgpp.dll
O18 - Protocol: skype4com - {FFC8B962-9B40-4DFF-9458-1830C7DD7F5D} - C:\PROGRA~1\COMMON~1\Skype\SKYPE4~1.DLL
O18 - Protocol: tbr - {4D25FB7A-8902-4291-960E-9ADA051CFBBF} - C:\PROGRA~1\Crawler\Toolbar\ctbr.dll
O23 - Service: a-squared Free Service (a2free) - Emsi Software GmbH - E:\Program Files\a-squared Free\a2service.exe
O23 - Service: Ad-Aware 2007 Service (aawservice) - Lavasoft - E:\Program Files\ad\aawservice.exe
O23 - Service: AMYTR - Unknown owner - C:\Users\KASIAI~1\AppData\Local\Temp\AMYTR.exe (file missing)
O23 - Service: AVG Anti-Spyware Guard - GRISOFT s.r.o. - E:\Program Files\AVG Anti-Spyware 7.5\guard.exe
O23 - Service: AVG Free8 E-mail Scanner (avg8emc) - AVG Technologies CZ, s.r.o. - E:\PROGRA~1\ANTYWI~1\avgemc.exe
O23 - Service: AVG Free8 WatchDog (avg8wd) - AVG Technologies CZ, s.r.o. - E:\PROGRA~1\ANTYWI~1\avgwdsvc.exe
O23 - Service: ConfigFree Service (CFSvcs) - TOSHIBA CORPORATION - C:\Program Files\TOSHIBA\ConfigFree\CFSvcs.exe
O23 - Service: Symantec Lic NetConnect service (CLTNetCnService) - Unknown owner - C:\Program Files\Common Files\Symantec Shared\ccSvcHst.exe (file missing)
O23 - Service: GRDHE - Unknown owner - C:\Users\KASIAI~1\AppData\Local\Temp\GRDHE.exe (file missing)
O23 - Service: Google Updater Service (gusvc) - Google - C:\Program Files\Google\Common\Google Updater\GoogleUpdaterService.exe
O23 - Service: IADOT - Unknown owner - C:\Users\KASIAI~1\AppData\Local\Temp\IADOT.exe (file missing)
O23 - Service: MUTJFFFDI - Unknown owner - C:\Users\KASIAI~1\AppData\Local\Temp\MUTJFFFDI.exe (file missing)
O23 - Service: NBService - Nero AG - C:\Program Files\Nero\Nero 7\Nero BackItUp\NBService.exe
O23 - Service: NMIndexingService - Nero AG - C:\Program Files\Common Files\Ahead\Lib\NMIndexingService.exe
O23 - Service: ServiceLayer - Nokia. - C:\Program Files\PC Connectivity Solution\ServiceLayer.exe
O23 - Service: Spyware Terminator Realtime Shield Service (sp_rssrv) - Crawler.com - C:\Program Files\Spyware Terminator\sp_rsser.exe
O23 - Service: TOSHIBA Optical Disc Drive Service (TODDSrv) - TOSHIBA Corporation - C:\Windows\system32\TODDSrv.exe
O23 - Service: TOSHIBA Power Saver (TosCoSrv) - TOSHIBA Corporation - C:\Program Files\TOSHIBA\Power Saver\TosCoSrv.exe
O23 - Service: ZGJLPK - Unknown owner - C:\Users\KASIAI~1\AppData\Local\Temp\ZGJLPK.exe (file missing)

--
End of file - 7284 bytes


czekam na dalsze instrukcje

[wojtas]

1. Ściągnij OTMoveIt i go włacz i odpal go z opcji CleanUp oraz skasuj folder C:\Qoobox
2. wykonaj optymalizację windowsa
3.sciagnij ATF_Cleaner
zaznacz
Windows Temp
All users Temp
Temporary internet files
Recycle Bin
i wcisnij EMPTY SELECTED
4.Wyłącz przywracanie systemu ( właściwości mój komputer-zakładka przywracanie - wyłącz przywracanie na wszystkich dyskach). Po chwili włącz je powrotem
5. Wykonaj skan Dr. Web CureIt
6. Przeskanuj obszar mojego komputera http://www.kaspersky.pl/virusscanner.html (uruchom przez IE) Daj raport z niego na forum.

i tym:

FixIEDef.