trojan, gdzie i skąd?

[Box]

Witam!
Podejrzewam, że na moim kompie zadomowiło się kilka koników Nie wiem, czy jest to groźne, czy też nie, ale kompa mam świeżo po formacie (odebrałem 3-4h temu z serwisu) i już mi krzyczy antyvir o trojanie na pamięci operacyjnej.
Antyvirus, jakiego używam to avast! gdyż takiego darmowego polecił mi gość w serwisie. Przy najbliższej okazji kupię NODa czy Kasperskiego Przy skanie avasta wykrywa mi aż 5 infekcji, z czego kilka (lub wszystkie, nie potrafię określić) na pamięci operacyjnej. Zamieszczam logi z combofixa oraz HJT

ComboFix 08-06-01.6 - a 2008-06-03 18:31:51.1 - NTFSx86
Microsoft Windows XP Home Edition 5.1.2600.2.1250.1.1045.18.168 [GMT 2:00]
Running from: C:\Documents and Settings\a\Pulpit\ComboFix.exe
* Created a new restore point

WARNING -THIS MACHINE DOES NOT HAVE THE RECOVERY CONSOLE INSTALLED !!
.

((((((((((((((((((((((((((((((((((((((( Other Deletions )))))))))))))))))))))))))))))))))))))))))))))))))
.

C:\autorun.inf
D:\Autorun.inf

.
((((((((((((((((((((((((( Files Created from 2008-05-03 to 2008-06-03 )))))))))))))))))))))))))))))))
.

2008-06-03 18:28 . 2008-06-03 18:28 <DIR> d-------- C:\Program Files\Trend Micro
2008-06-03 17:53 . 2008-06-03 17:53 <DIR> d-------- C:\Program Files\Alwil Software
2008-06-03 17:28 . 2008-06-03 17:28 <DIR> d-------- C:\Documents and Settings\a\Dane aplikacji\Gadu-Gadu
2008-06-03 17:24 . 2008-06-03 17:28 <DIR> d-------- C:\Program Files\Gadu-Gadu
2008-06-03 17:24 . 2008-06-03 17:25 <DIR> d-------- C:\Documents and Settings\a\Gadu-Gadu
2008-06-03 16:23 . 2008-06-03 16:23 <DIR> d-------- C:\Documents and Settings\a\WapSter
2008-06-03 16:22 . 2008-06-03 16:22 <DIR> d-------- C:\Program Files\WapSter
2008-06-03 16:19 . 2008-06-03 16:19 <DIR> d-------- C:\Program Files\Opera
2008-06-03 16:11 . 2003-10-16 18:07 32,768 --a------ C:\WINDOWS\system32\WooDial2000.dll
2008-06-03 16:10 . 2008-06-03 16:10 <DIR> d-------- C:\Program Files\Thomson
2008-06-03 16:10 . 2003-12-08 11:53 70,688 --a------ C:\WINDOWS\system32\drivers\alcaudsl.sys
2008-06-03 16:10 . 2003-12-08 11:53 53,600 --a------ C:\WINDOWS\system32\drivers\alcan5wn.sys
2008-06-03 16:10 . 2003-12-08 11:53 5,606 --a------ C:\WINDOWS\system32\stci.dll
2008-06-03 16:10 . 2003-12-08 11:53 5,280 --a------ C:\WINDOWS\system32\drivers\alcawh.sys
2008-06-03 16:10 . 2003-12-08 11:53 3,968 --a------ C:\WINDOWS\system32\drivers\alcacr.sys
2008-06-03 16:09 . 2008-06-03 16:09 <DIR> d-------- C:\Program Files\Java Web Start
2008-06-03 16:09 . 2008-06-03 16:09 <DIR> d-------- C:\Program Files\Java
2008-06-03 16:09 . 2002-11-01 20:15 45,175 --------- C:\WINDOWS\system32\plugincpl140_03.cpl
2008-06-03 16:09 . 2002-11-01 20:15 41,068 --------- C:\WINDOWS\system32\ActPanel.dll
2008-06-03 16:07 . 2008-06-03 18:10 <DIR> d-------- C:\Program Files\Neostrada TP
2008-06-03 16:06 . 2008-06-03 16:06 <DIR> d--hs---- C:\WINDOWS\ftpcache
2008-06-03 15:24 . 2008-06-03 15:29 <DIR> d-------- C:\WINDOWS\system32\embedded
2008-06-03 15:24 . 2008-06-03 15:24 <DIR> d-------- C:\Program Files\Kolekcja Klasyki
2008-06-03 14:39 . 2001-10-26 16:57 12,160 --a------ C:\WINDOWS\system32\drivers\mouhid.sys
2008-06-03 14:39 . 2001-10-26 16:57 12,160 --a--c--- C:\WINDOWS\system32\dllcache\mouhid.sys
2008-06-03 14:39 . 2001-08-17 22:02 9,600 --a------ C:\WINDOWS\system32\drivers\hidusb.sys
2008-06-03 14:39 . 2001-08-17 22:02 9,600 --a--c--- C:\WINDOWS\system32\dllcache\hidusb.sys
2008-06-03 11:58 . 2008-06-03 11:59 <DIR> d-------- C:\WINDOWS\system32\MsDtc
2008-05-03 05:46 . 2008-05-03 05:46 13,529,088 --a------ C:\WINDOWS\system32\nvcpl.dll

.
(((((((((((((((((((((((((((((((((((((((( Find3M Report ))))))))))))))))))))))))))))))))))))))))))))))))))))
.
2008-06-03 14:10 --------- d--h--w C:\Program Files\InstallShield Installation Information
2008-06-03 14:09 --------- d-----w C:\Program Files\Common Files\InstallShield
2008-06-03 10:46 --------- d-----w C:\Program Files\AMD
2008-06-03 10:40 315,392 ----a-w C:\WINDOWS\HideWin.exe
2008-06-03 10:40 --------- d-----w C:\Program Files\Realtek
2008-06-03 10:02 --------- d-----w C:\Program Files\microsoft frontpage
2008-06-03 10:01 --------- d-----w C:\Program Files\Usługi online
2008-04-30 15:27 442,368 ----a-w C:\WINDOWS\system32\NVUNINST.EXE
2008-04-07 14:06 9,715,200 ------r C:\WINDOWS\RTLCPL.exe
2008-04-07 14:06 86,016 ------r C:\WINDOWS\SoundMan.exe
2008-04-07 14:06 69,632 ------r C:\WINDOWS\Alcmtr.exe
2008-04-07 14:06 520,192 ------r C:\WINDOWS\RtlExUpd.dll
2008-04-07 14:06 49,152 ------r C:\WINDOWS\system32\ChCfg.exe
2008-04-07 14:06 4,713,472 ------r C:\WINDOWS\system32\drivers\RtkHDAud.sys
2008-04-07 14:06 2,808,832 ------r C:\WINDOWS\alcwzrd.exe
2008-04-07 14:06 2,165,760 ------r C:\WINDOWS\MicCal.exe
2008-04-07 14:06 16,859,136 ------r C:\WINDOWS\RTHDCPL.exe
2008-04-07 14:06 1,826,816 ------r C:\WINDOWS\SkyTel.exe
2008-04-07 14:06 1,191,936 ------r C:\WINDOWS\RtlUpd.exe
.

((((((((((((((((((((((((((((((((((((( Reg Loading Points ))))))))))))))))))))))))))))))))))))))))))))))))))
.
.
*Note* empty entries & legit default entries are not shown
REGEDIT4

[HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
"CTFMON.EXE"="C:\WINDOWS\system32\ctfmon.exe" [2004-08-04 14:00 15360]
"AQQ"="C:\PROGRA~1\WapSter\WAPSTE~1\AQQ.exe" [2008-05-12 16:25 1209328]

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
"RTHDCPL"="RTHDCPL.EXE" [2008-04-07 16:06 16859136 C:\WINDOWS\RTHDCPL.exe]
"NvCplDaemon"="C:\WINDOWS\system32\NvCpl.dll" [2008-05-03 05:46 13529088]
"nwiz"="nwiz.exe" [2008-05-03 05:46 1630208 C:\WINDOWS\system32\nwiz.exe]
"NvMediaCenter"="C:\WINDOWS\system32\NvMcTray.dll" [2008-05-03 05:46 86016]
"WooCnxMon"="C:\PROGRA~1\NEOSTR~1\CnxMon.exe" [2003-10-16 18:07 24576]
"SpeedTouch USB Diagnostics"="C:\Program Files\Thomson\SpeedTouch USB\Dragdiag.exe" [2004-01-26 11:38 866816]
"WOOWATCH"="C:\PROGRA~1\NEOSTR~1\Watch.exe" [2003-10-16 18:07 20480]
"WOOTASKBARICON"="C:\PROGRA~1\NEOSTR~1\TaskbarIcon.exe" [2003-10-16 18:07 53248]
"avast!"="C:\PROGRA~1\ALWILS~1\Avast4\ashDisp.exe" [2008-05-16 01:19 79224]

[HKEY_USERS\.DEFAULT\Software\Microsoft\Windows\CurrentVersion\Run]
"CTFMON.EXE"="C:\WINDOWS\system32\CTFMON.EXE" [2004-08-04 14:00 15360]

[HKLM\~\services\sharedaccess\parameters\firewallpolicy\standardprofile\AuthorizedApplications\List]
"%windir%\\system32\\sessmgr.exe"=
"C:\\Program Files\\WapSter\\WapSter AQQ\\AQQ.exe"=

R1 aswSP;avast! Self Protection;C:\WINDOWS\system32\drivers\aswSP.sys [2008-05-16 01:20]
R2 aswFsBlk;aswFsBlk;C:\WINDOWS\system32\DRIVERS\aswFsBlk.sys [2008-05-16 01:16]
S2 Windows updata;Windows updata;C:\WINDOWS\wupdmgr.exe []

[HKEY_CURRENT_USER\software\microsoft\windows\currentversion\explorer\mountpoints2\{2456d4e6-3171-11dd-8e96-001617d52088}]
\Shell\Auto\command - F:\wupdmgr.exe
\Shell\AutoRun\command - C:\WINDOWS\system32\RunDLL32.EXE Shell32.DLL,ShellExec_RunDLL wupdmgr.exe

*Newly Created Service* - AAVMKER4
*Newly Created Service* - ASWFSBLK
*Newly Created Service* - ASWMON2
*Newly Created Service* - ASWRDR
*Newly Created Service* - ASWSP
*Newly Created Service* - ASWTDI
*Newly Created Service* - ASWUPDSV
*Newly Created Service* - AVAST!_ANTIVIRUS
*Newly Created Service* - AVAST!_MAIL_SCANNER
*Newly Created Service* - AVAST!_WEB_SCANNER
*Newly Created Service* - CATCHME
.
**************************************************************************

catchme 0.3.1361 W2K/XP/Vista - rootkit/stealth malware detector by Gmer, http://www.gmer.net
Rootkit scan 2008-06-03 18:32:37
Windows 5.1.2600 Dodatek Service Pack 2 NTFS

scanning hidden processes ...

scanning hidden autostart entries ...

scanning hidden files ...

scan completed successfully
hidden files: 0

**************************************************************************
.
Completion time: 2008-06-03 18:33:10
ComboFix-quarantined-files.txt 2008-06-03 16:33:02

Pre-Run: 72,729,419,776 bajtów wolnych
Post-Run: 72,728,977,408 bajtów wolnych

121

Logfile of Trend Micro HijackThis v2.0.2
Scan saved at 18:28:53, on 2008-06-03
Platform: Windows XP Dodatek SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)
Boot mode: Normal

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\Program Files\Alwil Software\Avast4\aswUpdSv.exe
C:\WINDOWS\Explorer.EXE
C:\Program Files\Alwil Software\Avast4\ashServ.exe
C:\WINDOWS\RTHDCPL.EXE
C:\WINDOWS\system32\RUNDLL32.EXE
C:\PROGRA~1\NEOSTR~1\CnxMon.exe
C:\Program Files\Thomson\SpeedTouch USB\Dragdiag.exe
C:\PROGRA~1\NEOSTR~1\TaskbarIcon.exe
C:\PROGRA~1\ALWILS~1\Avast4\ashDisp.exe
C:\WINDOWS\system32\ctfmon.exe
C:\PROGRA~1\WapSter\WAPSTE~1\AQQ.exe
C:\WINDOWS\system32\spoolsv.exe
C:\WINDOWS\system32\nvsvc32.exe
C:\Program Files\Alwil Software\Avast4\ashMaiSv.exe
C:\Program Files\Alwil Software\Avast4\ashWebSv.exe
C:\Program Files\Neostrada TP\NeostradaTP.exe
C:\Program Files\Neostrada TP\ComComp.exe
C:\Program Files\Neostrada TP\Watch.exe
C:\WINDOWS\system32\wpabaln.exe
C:\Program Files\Opera\Opera.exe
C:\Program Files\Trend Micro\HijackThis\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.neostrada.pl
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Window Title = Neostrada TP
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Łącza
R3 - URLSearchHook: Search Class - {08C06D61-F1F3-4799-86F8-BE1A89362C85} - C:\PROGRA~1\NEOSTR~1\SEARCH~1.DLL
O4 - HKLM\..\Run: [RTHDCPL] RTHDCPL.EXE
O4 - HKLM\..\Run: [Alcmtr] ALCMTR.EXE
O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\system32\NvCpl.dll,NvStartup
O4 - HKLM\..\Run: [nwiz] nwiz.exe /install
O4 - HKLM\..\Run: [NvMediaCenter] RUNDLL32.EXE C:\WINDOWS\system32\NvMcTray.dll,NvTaskbarInit
O4 - HKLM\..\Run: [WooCnxMon] C:\PROGRA~1\NEOSTR~1\CnxMon.exe
O4 - HKLM\..\Run: [SpeedTouch USB Diagnostics] "C:\Program Files\Thomson\SpeedTouch USB\Dragdiag.exe" /icon
O4 - HKLM\..\Run: [WOOWATCH] C:\PROGRA~1\NEOSTR~1\Watch.exe
O4 - HKLM\..\Run: [WOOTASKBARICON] C:\PROGRA~1\NEOSTR~1\TaskbarIcon.exe
O4 - HKLM\..\Run: [avast!] C:\PROGRA~1\ALWILS~1\Avast4\ashDisp.exe
O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\ctfmon.exe
O4 - HKCU\..\Run: [AQQ] C:\PROGRA~1\WapSter\WAPSTE~1\AQQ.exe
O4 - HKUS\S-1-5-19\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'USŁUGA LOKALNA')
O4 - HKUS\S-1-5-20\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'USŁUGA SIECIOWA')
O4 - HKUS\S-1-5-18\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'SYSTEM')
O4 - HKUS\.DEFAULT\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'Default user')
O9 - Extra button: Messenger - -{FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - -{FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe
O17 - HKLM\System\CCS\Services\Tcpip\..\{3A8984A1-758A-4DCF-B1AA-BB19917A86AD}: NameServer = 194.204.159.1 217.98.63.164
O23 - Service: avast! iAVS4 Control Service (aswUpdSv) - ALWIL Software - C:\Program Files\Alwil Software\Avast4\aswUpdSv.exe
O23 - Service: avast! Antivirus - ALWIL Software - C:\Program Files\Alwil Software\Avast4\ashServ.exe
O23 - Service: avast! Mail Scanner - ALWIL Software - C:\Program Files\Alwil Software\Avast4\ashMaiSv.exe
O23 - Service: avast! Web Scanner - ALWIL Software - C:\Program Files\Alwil Software\Avast4\ashWebSv.exe
O23 - Service: NVIDIA Display Driver Service (NVSvc) - NVIDIA Corporation - C:\WINDOWS\system32\nvsvc32.exe
O23 - Service: Windows updata - Unknown owner - C:\WINDOWS\wupdmgr.exe (file missing)

--
End of file - 3848 bytes

PS. przed formatem używałem Pandy 2007 (lol xD) i także wykryła różne cybernetyczne śmieci na moim kompie. W tydzień po pierwszym alercie wystapiły samoczynne restarty komputera w najmniej oczekiwanym momencie, później to tuż po odpaleniu systemu - resetował się. Po formacie ściągnąłem sobie tylko AQQ, Operę i właśnie avasta, a także - uwaga - zgrywałem pliki z mojej komórki. Podejrzenia kieruję na kartę pamięci, którą już sformatowałem.

Proszę o szybką pomoc, gdyż bezpieczeństwo danych na moim kompie i wychodzących z niego stawiam ponad wszystko

[Okocza]

otwórz notatnik i wklej:

Kod: Zaznacz wszystko

Windows Registry Editor Version 5.00

[-HKEY_CURRENT_USER\software\microsoft\windows\currentversion\explorer\mountpoints2\{2456d4e6-3171-11dd-8e96-001617d52088}]

w notatniku u góry>>>plik zapisz jako>>>Zmien rozszerzenie z TXT na Wszystkie pliki *.* >>> Zapisz pod nazwą FIX.REG

Klikasz dwa razy na powstały plik fix i dodajesz go do rejestru....


poza tym masz czysto

Autor postu otrzymał pochwałę

[Box]

@up
Dodano

Co do tej czystości... boje sie zeby tylko te wupdmgr.exe i inne shity nie powróciły

[Okocza]

1. Ściągnij OTMoveIt i go włacz i odpal go z opcji CleanUp
2. wykonaj optymalizację windowsa
3.sciagnij ATF_Cleaner
zaznacz
Windows Temp
All users Temp
Temporary internet files
Recycle Bin
i wcisnij EMPTY SELECTED
4.Wyłącz przywracanie systemu ( właściwości mój komputer-zakładka przywracanie - wyłącz przywracanie na wszystkich dyskach). Po chwili włącz je powrotem


Wykonaj to co jest podane w tym temacie

[Magik]

Proszę o szybką pomoc, gdyż bezpieczeństwo danych na moim kompie i wychodzących z niego stawiam ponad wszystko

grunt to

Pandy 2007 (lol xD)

mowiac zartem cudownie

i także wykryła różne cybernetyczne śmieci na moim kompie.

jak to Panda

W tydzień po pierwszym alercie wystapiły samoczynne restarty komputera

pozwol ze sie posmieje ale tyle ejst wart wlasnei Panda

avasta

srednia krajowa nie poszalejesz

Przy najbliższej okazji kupię NODa czy Kasperskiego

oby jak najszybciej

trojanie na pamięci operacyjnej.

wg logow nic w pamieci jako exe nie siedzi

[wojtas]

Start => Uruchom => cmd =>

sc stop Windows updata

enter

sc delete Windows updata

enter

[Box]

Start => Uruchom => cmd =>

sc stop Windows updata

enter

Cytat:
sc delete Windows updata

enter

Po wprowadzeniu wyskakuje

Kod: Zaznacz wszystko

[SC] OpenService FAILED 1060:

Okre

[wojtas]

nie przejmuj sie nim wpisz obydwie komendy i daj nowego loga z combofixa

[Box]

A oto log

ComboFix 08-06-01.6 - a 2008-06-03 19:15:28.2 - NTFSx86
Microsoft Windows XP Home Edition 5.1.2600.2.1250.1.1045.18.157 [GMT 2:00]
Running from: C:\Documents and Settings\a\Pulpit\ComboFix.exe

WARNING -THIS MACHINE DOES NOT HAVE THE RECOVERY CONSOLE INSTALLED !!
.

((((((((((((((((((((((((( Files Created from 2008-05-03 to 2008-06-03 )))))))))))))))))))))))))))))))
.

2008-06-03 18:28 . 2008-06-03 18:28 <DIR> d-------- C:\Program Files\Trend Micro
2008-06-03 17:53 . 2008-06-03 17:53 <DIR> d-------- C:\Program Files\Alwil Software
2008-06-03 17:28 . 2008-06-03 17:28 <DIR> d-------- C:\Documents and Settings\a\Dane aplikacji\Gadu-Gadu
2008-06-03 17:24 . 2008-06-03 17:28 <DIR> d-------- C:\Program Files\Gadu-Gadu
2008-06-03 17:24 . 2008-06-03 17:25 <DIR> d-------- C:\Documents and Settings\a\Gadu-Gadu
2008-06-03 16:23 . 2008-06-03 16:23 <DIR> d-------- C:\Documents and Settings\a\WapSter
2008-06-03 16:22 . 2008-06-03 16:22 <DIR> d-------- C:\Program Files\WapSter
2008-06-03 16:19 . 2008-06-03 16:19 <DIR> d-------- C:\Program Files\Opera
2008-06-03 16:11 . 2003-10-16 18:07 32,768 --a------ C:\WINDOWS\system32\WooDial2000.dll
2008-06-03 16:10 . 2008-06-03 16:10 <DIR> d-------- C:\Program Files\Thomson
2008-06-03 16:10 . 2003-12-08 11:53 70,688 --a------ C:\WINDOWS\system32\drivers\alcaudsl.sys
2008-06-03 16:10 . 2003-12-08 11:53 53,600 --a------ C:\WINDOWS\system32\drivers\alcan5wn.sys
2008-06-03 16:10 . 2003-12-08 11:53 5,606 --a------ C:\WINDOWS\system32\stci.dll
2008-06-03 16:10 . 2003-12-08 11:53 5,280 --a------ C:\WINDOWS\system32\drivers\alcawh.sys
2008-06-03 16:10 . 2003-12-08 11:53 3,968 --a------ C:\WINDOWS\system32\drivers\alcacr.sys
2008-06-03 16:09 . 2008-06-03 16:09 <DIR> d-------- C:\Program Files\Java Web Start
2008-06-03 16:09 . 2008-06-03 16:09 <DIR> d-------- C:\Program Files\Java
2008-06-03 16:09 . 2002-11-01 20:15 45,175 --------- C:\WINDOWS\system32\plugincpl140_03.cpl
2008-06-03 16:09 . 2002-11-01 20:15 41,068 --------- C:\WINDOWS\system32\ActPanel.dll
2008-06-03 16:07 . 2008-06-03 18:10 <DIR> d-------- C:\Program Files\Neostrada TP
2008-06-03 16:06 . 2008-06-03 16:06 <DIR> d--hs---- C:\WINDOWS\ftpcache
2008-06-03 15:24 . 2008-06-03 15:29 <DIR> d-------- C:\WINDOWS\system32\embedded
2008-06-03 15:24 . 2008-06-03 15:24 <DIR> d-------- C:\Program Files\Kolekcja Klasyki
2008-06-03 14:39 . 2001-10-26 16:57 12,160 --a------ C:\WINDOWS\system32\drivers\mouhid.sys
2008-06-03 14:39 . 2001-10-26 16:57 12,160 --a--c--- C:\WINDOWS\system32\dllcache\mouhid.sys
2008-06-03 14:39 . 2001-08-17 22:02 9,600 --a------ C:\WINDOWS\system32\drivers\hidusb.sys
2008-06-03 14:39 . 2001-08-17 22:02 9,600 --a--c--- C:\WINDOWS\system32\dllcache\hidusb.sys
2008-06-03 11:58 . 2008-06-03 11:59 <DIR> d-------- C:\WINDOWS\system32\MsDtc
2008-05-03 05:46 . 2008-05-03 05:46 13,529,088 --a------ C:\WINDOWS\system32\nvcpl.dll

.
(((((((((((((((((((((((((((((((((((((((( Find3M Report ))))))))))))))))))))))))))))))))))))))))))))))))))))
.
2008-06-03 14:10 --------- d--h--w C:\Program Files\InstallShield Installation Information
2008-06-03 14:09 --------- d-----w C:\Program Files\Common Files\InstallShield
2008-06-03 10:46 --------- d-----w C:\Program Files\AMD
2008-06-03 10:40 315,392 ----a-w C:\WINDOWS\HideWin.exe
2008-06-03 10:40 --------- d-----w C:\Program Files\Realtek
2008-06-03 10:02 --------- d-----w C:\Program Files\microsoft frontpage
2008-06-03 10:01 --------- d-----w C:\Program Files\Usługi online
2008-04-30 15:27 442,368 ----a-w C:\WINDOWS\system32\NVUNINST.EXE
2008-04-07 14:06 9,715,200 ------r C:\WINDOWS\RTLCPL.exe
2008-04-07 14:06 86,016 ------r C:\WINDOWS\SoundMan.exe
2008-04-07 14:06 69,632 ------r C:\WINDOWS\Alcmtr.exe
2008-04-07 14:06 520,192 ------r C:\WINDOWS\RtlExUpd.dll
2008-04-07 14:06 49,152 ------r C:\WINDOWS\system32\ChCfg.exe
2008-04-07 14:06 4,713,472 ------r C:\WINDOWS\system32\drivers\RtkHDAud.sys
2008-04-07 14:06 2,808,832 ------r C:\WINDOWS\alcwzrd.exe
2008-04-07 14:06 2,165,760 ------r C:\WINDOWS\MicCal.exe
2008-04-07 14:06 16,859,136 ------r C:\WINDOWS\RTHDCPL.exe
2008-04-07 14:06 1,826,816 ------r C:\WINDOWS\SkyTel.exe
2008-04-07 14:06 1,191,936 ------r C:\WINDOWS\RtlUpd.exe
.

((((((((((((((((((((((((((((((((((((( Reg Loading Points ))))))))))))))))))))))))))))))))))))))))))))))))))
.
.
*Note* empty entries & legit default entries are not shown
REGEDIT4

[HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
"CTFMON.EXE"="C:\WINDOWS\system32\ctfmon.exe" [2004-08-04 14:00 15360]
"AQQ"="C:\PROGRA~1\WapSter\WAPSTE~1\AQQ.exe" [2008-05-12 16:25 1209328]

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
"RTHDCPL"="RTHDCPL.EXE" [2008-04-07 16:06 16859136 C:\WINDOWS\RTHDCPL.exe]
"NvCplDaemon"="C:\WINDOWS\system32\NvCpl.dll" [2008-05-03 05:46 13529088]
"nwiz"="nwiz.exe" [2008-05-03 05:46 1630208 C:\WINDOWS\system32\nwiz.exe]
"NvMediaCenter"="C:\WINDOWS\system32\NvMcTray.dll" [2008-05-03 05:46 86016]
"WooCnxMon"="C:\PROGRA~1\NEOSTR~1\CnxMon.exe" [2003-10-16 18:07 24576]
"SpeedTouch USB Diagnostics"="C:\Program Files\Thomson\SpeedTouch USB\Dragdiag.exe" [2004-01-26 11:38 866816]
"WOOWATCH"="C:\PROGRA~1\NEOSTR~1\Watch.exe" [2003-10-16 18:07 20480]
"WOOTASKBARICON"="C:\PROGRA~1\NEOSTR~1\TaskbarIcon.exe" [2003-10-16 18:07 53248]
"avast!"="C:\PROGRA~1\ALWILS~1\Avast4\ashDisp.exe" [2008-05-16 01:19 79224]

[HKEY_USERS\.DEFAULT\Software\Microsoft\Windows\CurrentVersion\Run]
"CTFMON.EXE"="C:\WINDOWS\system32\CTFMON.EXE" [2004-08-04 14:00 15360]

[HKLM\~\services\sharedaccess\parameters\firewallpolicy\standardprofile\AuthorizedApplications\List]
"%windir%\\system32\\sessmgr.exe"=
"C:\\Program Files\\WapSter\\WapSter AQQ\\AQQ.exe"=

R1 aswSP;avast! Self Protection;C:\WINDOWS\system32\drivers\aswSP.sys [2008-05-16 01:20]
R2 aswFsBlk;aswFsBlk;C:\WINDOWS\system32\DRIVERS\aswFsBlk.sys [2008-05-16 01:16]
S2 Windows updata;Windows updata;C:\WINDOWS\wupdmgr.exe []

*Newly Created Service* - AAVMKER4
*Newly Created Service* - ASWFSBLK
*Newly Created Service* - ASWMON2
*Newly Created Service* - ASWRDR
*Newly Created Service* - ASWSP
*Newly Created Service* - ASWTDI
*Newly Created Service* - ASWUPDSV
*Newly Created Service* - AVAST!_ANTIVIRUS
*Newly Created Service* - AVAST!_MAIL_SCANNER
*Newly Created Service* - AVAST!_WEB_SCANNER
*Newly Created Service* - CATCHME
.
**************************************************************************

catchme 0.3.1361 W2K/XP/Vista - rootkit/stealth malware detector by Gmer, http://www.gmer.net
Rootkit scan 2008-06-03 19:16:10
Windows 5.1.2600 Dodatek Service Pack 2 NTFS

scanning hidden processes ...

scanning hidden autostart entries ...

scanning hidden files ...

scan completed successfully
hidden files: 0

**************************************************************************
.
Completion time: 2008-06-03 19:16:37
ComboFix-quarantined-files.txt 2008-06-03 17:16:29
ComboFix2.txt 2008-06-03 16:33:10

Pre-Run: 72,605,192,192 bajtów wolnych
Post-Run: 72,596,688,896 bajtów wolnych

113

[Okocza]

czyściutko jest. wszystko zrobiłeś co było zalecone więc jest ok

[Magik]

czyściutko jest. wszystko zrobiłeś co było zalecone więc jest ok

ja sie lubie wcinac w zlote mysli userow

zeby bylo



zmien avast'a i bedzie ok

[Box]

@up
Na co?
Zanim coś kupię, muszę się dowiedzieć co jest najlepsze ^^

[Okocza]

NOD32 + zdrowy rozsądek IMHO - sam używam i jestem zadowolony

[wojtas]

jeszcze jest ta usługa Windows updata

wklej do notatnika;

Driver::
Windows updata

Plik >>> zapisz jako CFScript.txt .Plik przeciągnij i upuść na ikonę ComboFixa (tak jak tu ) . odczekaj az wygeneruje sie nowy log i go daj na forum

[Magik]

Zanim coś kupię, muszę się dowiedzieć co jest najlepsze ^^

Nod, Kasper

[Box]

odczekaj az wygeneruje sie nowy log i go daj na forum

Proszę

ComboFix 08-06-01.6 - a 2008-06-03 19:29:21.3 - NTFSx86
Microsoft Windows XP Home Edition 5.1.2600.2.1250.1.1045.18.143 [GMT 2:00]
Running from: C:\Documents and Settings\a\Pulpit\ComboFix.exe
Command switches used :: C:\Documents and Settings\a\Pulpit\CFScript.txt
* Created a new restore point

WARNING -THIS MACHINE DOES NOT HAVE THE RECOVERY CONSOLE INSTALLED !!
.

((((((((((((((((((((((((((((((((((((((( Other Deletions )))))))))))))))))))))))))))))))))))))))))))))))))
.

.
((((((((((((((((((((((((((((((((((((((( Drivers/Services )))))))))))))))))))))))))))))))))))))))))))))))))
.

-------\Legacy_WINDOWS_UPDATA
-------\Service_Windows updata


((((((((((((((((((((((((( Files Created from 2008-05-03 to 2008-06-03 )))))))))))))))))))))))))))))))
.

2008-06-03 18:28 . 2008-06-03 18:28 <DIR> d-------- C:\Program Files\Trend Micro
2008-06-03 17:53 . 2008-06-03 17:53 <DIR> d-------- C:\Program Files\Alwil Software
2008-06-03 17:28 . 2008-06-03 17:28 <DIR> d-------- C:\Documents and Settings\a\Dane aplikacji\Gadu-Gadu
2008-06-03 17:24 . 2008-06-03 17:28 <DIR> d-------- C:\Program Files\Gadu-Gadu
2008-06-03 17:24 . 2008-06-03 17:25 <DIR> d-------- C:\Documents and Settings\a\Gadu-Gadu
2008-06-03 16:23 . 2008-06-03 16:23 <DIR> d-------- C:\Documents and Settings\a\WapSter
2008-06-03 16:22 . 2008-06-03 16:22 <DIR> d-------- C:\Program Files\WapSter
2008-06-03 16:19 . 2008-06-03 16:19 <DIR> d-------- C:\Program Files\Opera
2008-06-03 16:11 . 2003-10-16 18:07 32,768 --a------ C:\WINDOWS\system32\WooDial2000.dll
2008-06-03 16:10 . 2008-06-03 16:10 <DIR> d-------- C:\Program Files\Thomson
2008-06-03 16:10 . 2003-12-08 11:53 70,688 --a------ C:\WINDOWS\system32\drivers\alcaudsl.sys
2008-06-03 16:10 . 2003-12-08 11:53 53,600 --a------ C:\WINDOWS\system32\drivers\alcan5wn.sys
2008-06-03 16:10 . 2003-12-08 11:53 5,606 --a------ C:\WINDOWS\system32\stci.dll
2008-06-03 16:10 . 2003-12-08 11:53 5,280 --a------ C:\WINDOWS\system32\drivers\alcawh.sys
2008-06-03 16:10 . 2003-12-08 11:53 3,968 --a------ C:\WINDOWS\system32\drivers\alcacr.sys
2008-06-03 16:09 . 2008-06-03 16:09 <DIR> d-------- C:\Program Files\Java Web Start
2008-06-03 16:09 . 2008-06-03 16:09 <DIR> d-------- C:\Program Files\Java
2008-06-03 16:09 . 2002-11-01 20:15 45,175 --------- C:\WINDOWS\system32\plugincpl140_03.cpl
2008-06-03 16:09 . 2002-11-01 20:15 41,068 --------- C:\WINDOWS\system32\ActPanel.dll
2008-06-03 16:07 . 2008-06-03 18:10 <DIR> d-------- C:\Program Files\Neostrada TP
2008-06-03 16:06 . 2008-06-03 16:06 <DIR> d--hs---- C:\WINDOWS\ftpcache
2008-06-03 15:24 . 2008-06-03 15:29 <DIR> d-------- C:\WINDOWS\system32\embedded
2008-06-03 15:24 . 2008-06-03 15:24 <DIR> d-------- C:\Program Files\Kolekcja Klasyki
2008-06-03 14:39 . 2001-10-26 16:57 12,160 --a------ C:\WINDOWS\system32\drivers\mouhid.sys
2008-06-03 14:39 . 2001-10-26 16:57 12,160 --a--c--- C:\WINDOWS\system32\dllcache\mouhid.sys
2008-06-03 14:39 . 2001-08-17 22:02 9,600 --a------ C:\WINDOWS\system32\drivers\hidusb.sys
2008-06-03 14:39 . 2001-08-17 22:02 9,600 --a--c--- C:\WINDOWS\system32\dllcache\hidusb.sys
2008-06-03 11:58 . 2008-06-03 11:59 <DIR> d-------- C:\WINDOWS\system32\MsDtc
2008-05-03 05:46 . 2008-05-03 05:46 13,529,088 --a------ C:\WINDOWS\system32\nvcpl.dll

.
(((((((((((((((((((((((((((((((((((((((( Find3M Report ))))))))))))))))))))))))))))))))))))))))))))))))))))
.
2008-06-03 14:10 --------- d--h--w C:\Program Files\InstallShield Installation Information
2008-06-03 14:09 --------- d-----w C:\Program Files\Common Files\InstallShield
2008-06-03 10:46 --------- d-----w C:\Program Files\AMD
2008-06-03 10:40 315,392 ----a-w C:\WINDOWS\HideWin.exe
2008-06-03 10:40 --------- d-----w C:\Program Files\Realtek
2008-06-03 10:02 --------- d-----w C:\Program Files\microsoft frontpage
2008-06-03 10:01 --------- d-----w C:\Program Files\Usługi online
2008-04-30 15:27 442,368 ----a-w C:\WINDOWS\system32\NVUNINST.EXE
2008-04-07 14:06 9,715,200 ------r C:\WINDOWS\RTLCPL.exe
2008-04-07 14:06 86,016 ------r C:\WINDOWS\SoundMan.exe
2008-04-07 14:06 69,632 ------r C:\WINDOWS\Alcmtr.exe
2008-04-07 14:06 520,192 ------r C:\WINDOWS\RtlExUpd.dll
2008-04-07 14:06 49,152 ------r C:\WINDOWS\system32\ChCfg.exe
2008-04-07 14:06 4,713,472 ------r C:\WINDOWS\system32\drivers\RtkHDAud.sys
2008-04-07 14:06 2,808,832 ------r C:\WINDOWS\alcwzrd.exe
2008-04-07 14:06 2,165,760 ------r C:\WINDOWS\MicCal.exe
2008-04-07 14:06 16,859,136 ------r C:\WINDOWS\RTHDCPL.exe
2008-04-07 14:06 1,826,816 ------r C:\WINDOWS\SkyTel.exe
2008-04-07 14:06 1,191,936 ------r C:\WINDOWS\RtlUpd.exe
.

((((((((((((((((((((((((((((( snapshot@2008-06-03_18.32.53,40 )))))))))))))))))))))))))))))))))))))))))
.
- 2008-06-03 16:08:43 2,048 --s-a-w C:\WINDOWS\bootstat.dat
+ 2008-06-03 17:31:14 2,048 --s-a-w C:\WINDOWS\bootstat.dat
+ 2005-10-20 18:02:28 163,328 ----a-w C:\WINDOWS\erdnt\subs\ERDNT.EXE
+ 2008-06-03 17:31:26 16,384 ----atw C:\WINDOWS\Temp\Perflib_Perfdata_5f4.dat
.
((((((((((((((((((((((((((((((((((((( Reg Loading Points ))))))))))))))))))))))))))))))))))))))))))))))))))
.
.
*Note* empty entries & legit default entries are not shown
REGEDIT4

[HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
"CTFMON.EXE"="C:\WINDOWS\system32\ctfmon.exe" [2004-08-04 14:00 15360]
"AQQ"="C:\PROGRA~1\WapSter\WAPSTE~1\AQQ.exe" [2008-05-12 16:25 1209328]

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
"RTHDCPL"="RTHDCPL.EXE" [2008-04-07 16:06 16859136 C:\WINDOWS\RTHDCPL.exe]
"NvCplDaemon"="C:\WINDOWS\system32\NvCpl.dll" [2008-05-03 05:46 13529088]
"nwiz"="nwiz.exe" [2008-05-03 05:46 1630208 C:\WINDOWS\system32\nwiz.exe]
"NvMediaCenter"="C:\WINDOWS\system32\NvMcTray.dll" [2008-05-03 05:46 86016]
"WooCnxMon"="C:\PROGRA~1\NEOSTR~1\CnxMon.exe" [2003-10-16 18:07 24576]
"SpeedTouch USB Diagnostics"="C:\Program Files\Thomson\SpeedTouch USB\Dragdiag.exe" [2004-01-26 11:38 866816]
"WOOWATCH"="C:\PROGRA~1\NEOSTR~1\Watch.exe" [2003-10-16 18:07 20480]
"WOOTASKBARICON"="C:\PROGRA~1\NEOSTR~1\TaskbarIcon.exe" [2003-10-16 18:07 53248]

[HKEY_USERS\.DEFAULT\Software\Microsoft\Windows\CurrentVersion\Run]
"CTFMON.EXE"="C:\WINDOWS\system32\CTFMON.EXE" [2004-08-04 14:00 15360]

[HKLM\~\services\sharedaccess\parameters\firewallpolicy\standardprofile\AuthorizedApplications\List]
"%windir%\\system32\\sessmgr.exe"=
"C:\\Program Files\\WapSter\\WapSter AQQ\\AQQ.exe"=

R1 aswSP;avast! Self Protection;C:\WINDOWS\system32\drivers\aswSP.sys [2008-05-16 01:20]
R2 aswFsBlk;aswFsBlk;C:\WINDOWS\system32\DRIVERS\aswFsBlk.sys [2008-05-16 01:16]

.
**************************************************************************

catchme 0.3.1361 W2K/XP/Vista - rootkit/stealth malware detector by Gmer, http://www.gmer.net
Rootkit scan 2008-06-03 19:31:35
Windows 5.1.2600 Dodatek Service Pack 2 NTFS

scanning hidden processes ...

scanning hidden autostart entries ...

scanning hidden files ...

scan completed successfully
hidden files: 0

**************************************************************************

.
------------------------ Other Running Processes ------------------------
.
C:\Program Files\Alwil Software\Avast4\aswUpdSv.exe
C:\Program Files\Alwil Software\Avast4\ashServ.exe
C:\WINDOWS\system32\rundll32.exe
C:\WINDOWS\system32\nvsvc32.exe
C:\Program Files\Alwil Software\Avast4\ashMaiSv.exe
C:\Program Files\Alwil Software\Avast4\ashWebSv.exe
.
**************************************************************************
.
Completion time: 2008-06-03 19:32:14 - machine was rebooted
ComboFix-quarantined-files.txt 2008-06-03 17:32:11
ComboFix2.txt 2008-06-03 17:16:38
ComboFix3.txt 2008-06-03 16:33:10

Pre-Run: 72,535,678,976 bajtów wolnych
Post-Run: 72,512,008,192 bajt˘w wolnych

130

[Magik]

Proszę

i dziekujemy, po pliczkach "updata"

zrob jeszcze te operacje
1. Ściągnij OTMoveIt i go włacz i odpal go z opcji CleanUp
2. wykonaj optymalizację windowsa
3.sciagnij ATF_Cleaner
zaznacz
Windows Temp
All users Temp
Temporary internet files
Recycle Bin
i wcisnij EMPTY SELECTED
4.Wyłącz przywracanie systemu ( właściwości mój komputer-zakładka przywracanie - wyłącz przywracanie na wszystkich dyskach). Po chwili włącz je powrotem