trojan na kąpie. - umieszczam loga

[Manieq]

Witam:) Mam trojana na pc. Za kazdym razem jak go w menadzerze wylaczam toonn sie wlancza. Wiem ze to trojn bo czytalem o ty pliku w internecie. Umieszczam Loga.

Logfile of Trend Micro HijackThis v2.0.2
Scan saved at 10:38:30, on 2007-09-22
Platform: Windows XP (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 (6.00.2600.0000)
Boot mode: Normal

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\System32\Ati2evxx.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\Ati2evxx.exe
C:\WINDOWS\system32\spoolsv.exe
C:\Program Files\AntiVir PersonalEdition Classic\sched.exe
C:\Program Files\AntiVir PersonalEdition Classic\avguard.exe
C:\Program Files\AntiVir PersonalEdition Premium\avesvc.exe
C:\WINDOWS\Explorer.EXE
C:\WINDOWS\system32\dllcache\services.exe
C:\WINDOWS\system32\dllcache\ivchost.exe
C:\WINDOWS\system\NOTEPAD.exe
C:\Program Files\AntiVir PersonalEdition Premium\avmailc.exe
C:\WINDOWS\system32\ntss.exe
C:\Program Files\AntiVir PersonalEdition Premium\avgnt.exe
C:\Program Files\Gadu-Gadu\gg.exe
C:\Program Files\WyvernWorks\Firewall 2004\Firewall 2004.exe
C:\Documents and Settings\Madziunia\Pulpit\HiJackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.allegro.pl/
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Window Title = Microsoft Internet Explorer
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Łącza
F2 - REG:system.ini: UserInit=C:\WINDOWS\system32\userinit.exe,C:\WINDOWS\system32\ntss.exe
O2 - BHO: Skype add-on (mastermind) - {22BF413B-C6D2-4d91-82A9-A0F997BA588C} - C:\Program Files\Skype\Toolbars\Internet Explorer\SkypeIEPlugin.dll
O2 - BHO: (no name) - {53707962-6F74-2D53-2644-206D7942484F} - C:\PROGRA~1\SPYBOT~1\SDHelper.dll
O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINDOWS\System32\msdxm.ocx
O4 - HKLM\..\Run: [avgnt] "C:\Program Files\AntiVir PersonalEdition Premium\avgnt.exe" /min
O4 - HKLM\..\Run: [WyvernWorks Firewall] C:\Program Files\WyvernWorks\Firewall 2004\Firewall.exe
O4 - HKCU\..\Run: [Gadu-Gadu] "C:\Program Files\Gadu-Gadu\gg.exe" /tray
O9 - Extra button: Skype - {77BF5300-1474-4EC7-9980-D32B190E9B07} - C:\Program Files\Skype\Toolbars\Internet Explorer\SkypeIEPlugin.dll
O10 - Unknown file in Winsock LSP: c:\program files\wyvernworks\firewall 2004\apptoport.dll
O10 - Unknown file in Winsock LSP: c:\program files\wyvernworks\firewall 2004\apptoport.dll
O10 - Unknown file in Winsock LSP: c:\program files\wyvernworks\firewall 2004\apptoport.dll
O10 - Unknown file in Winsock LSP: c:\program files\wyvernworks\firewall 2004\apptoport.dll
O10 - Unknown file in Winsock LSP: c:\program files\wyvernworks\firewall 2004\apptoport.dll
O10 - Unknown file in Winsock LSP: c:\program files\wyvernworks\firewall 2004\apptoport.dll
O10 - Unknown file in Winsock LSP: c:\program files\wyvernworks\firewall 2004\apptoport.dll
O10 - Unknown file in Winsock LSP: c:\program files\wyvernworks\firewall 2004\apptoport.dll
O10 - Unknown file in Winsock LSP: c:\program files\wyvernworks\firewall 2004\apptoport.dll
O10 - Unknown file in Winsock LSP: c:\program files\wyvernworks\firewall 2004\apptoport.dll
O10 - Unknown file in Winsock LSP: c:\program files\wyvernworks\firewall 2004\apptoport.dll
O10 - Unknown file in Winsock LSP: c:\program files\wyvernworks\firewall 2004\apptoport.dll
O10 - Unknown file in Winsock LSP: c:\program files\wyvernworks\firewall 2004\apptoport.dll
O18 - Protocol: skype4com - {FFC8B962-9B40-4DFF-9458-1830C7DD7F5D} - C:\PROGRA~1\COMMON~1\Skype\SKYPE4~1.DLL
O20 - Winlogon Notify: crypt - C:\WINDOWS\SYSTEM32\crypts.dll
O23 - Service: AntiVir PersonalEdition Premium MailGuard (AntiVirMailService) - Avira GmbH - C:\Program Files\AntiVir PersonalEdition Premium\avmailc.exe
O23 - Service: AntiVir PersonalEdition Classic Scheduler (AntiVirScheduler) - Avira GmbH - C:\Program Files\AntiVir PersonalEdition Classic\sched.exe
O23 - Service: AntiVir PersonalEdition Classic Guard (AntiVirService) - AVIRA GmbH - C:\Program Files\AntiVir PersonalEdition Classic\avguard.exe
O23 - Service: Ares Chatroom server (AresChatServer) - Ares Development Group - C:\Program Files\Ares\chatServer.exe
O23 - Service: Ati HotKey Poller - ATI Technologies Inc. - C:\WINDOWS\System32\Ati2evxx.exe
O23 - Service: ATI Smart - Unknown owner - C:\WINDOWS\system32\ati2sgag.exe
O23 - Service: AntiVir PersonalEdition Premium MailGuard helper service (AVEService) - Avira GmbH - C:\Program Files\AntiVir PersonalEdition Premium\avesvc.exe
O23 - Service: InstallDriver Table Manager (IDriverT) - Macrovision Corporation - C:\Program Files\Common Files\InstallShield\Driver\1150\Intel 32\IDriverT.exe
O23 - Service: Mims service (Mimserv) - Unknown owner - C:\WINDOWS\system32\dllcache\services.exe
O23 - Service: ms hexidecimal defx (mshexdefx) - Unknown owner - C:\WINDOWS\system32\dllcache\ivchost.exe
O23 - Service: NOTEPAD - Unknown owner - C:\WINDOWS\system\NOTEPAD.exe
O23 - Service: Network Translation System Service (NTSS) - Unknown owner - C:\WINDOWS\system32\ntss.exe

--
End of file - 5100 bytes

Z Góry Dzękuje.

[wojtas]

zastosuj:

smitfraudfix z opcji 2:

http://siri.urz.free.fr/Fix/SmitfraudFix.exe

Zastosuj SDFix . Po pobraniu uruchom go a rozpakuje się do C:\SDFix. Uruchom komputer w trybie awaryjnym (F8 przy stracie systemu). Będąc w awaryjnym uruchom plik RunThis.bat z folderu SDFixa. Zatwierdź czyszczenie przez Y. Poczekaj aż ukończy i komputer zresetuje
Potem wejdz do folderu SDFix wrzuc zawartość pliku Report.txt
+ log z hijacka + log z combofixa

[Manieq]

Ok zrobilem chyba jak trzeba No to teraz Logi:
Hijackthis

Kod: Zaznacz wszystko

Logfile of Trend Micro HijackThis v2.0.2
Scan saved at 10:15, on 2007-09-23
Platform: Windows XP  (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 (6.00.2600.0000)
Boot mode: Normal

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\System32\Ati2evxx.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\Ati2evxx.exe
C:\WINDOWS\Explorer.EXE
C:\WINDOWS\system32\spoolsv.exe
C:\Program Files\AntiVir PersonalEdition Premium\sched.exe
C:\Program Files\AntiVir PersonalEdition Premium\avguard.exe
C:\Program Files\AntiVir PersonalEdition Premium\avesvc.exe
C:\WINDOWS\system\NOTEPAD.exe
C:\Program Files\AntiVir PersonalEdition Premium\avmailc.exe
C:\Program Files\AntiVir PersonalEdition Premium\avgnt.exe
C:\WINDOWS\System32\Fmctrl.EXE
C:\Program Files\Java\jre1.6.0_02\bin\jusched.exe
D:\Gadu-Gadu\gg.exe
C:\WINDOWS\System32\cmd.exe
C:\ComboFix\catchme.cfexe
C:\Documents and Settings\Manieq\Pulpit\HiJackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Łącza
O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Program Files\Adobe\Acrobat 7.0\ActiveX\AcroIEHelper.dll
O2 - BHO: SSVHelper Class - {761497BB-D6F0-462C-B6EB-D4DAF1D92D43} - C:\Program Files\Java\jre1.6.0_02\bin\ssv.dll
O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINDOWS\System32\msdxm.ocx
O4 - HKLM\..\Run: [avgnt] "C:\Program Files\AntiVir PersonalEdition Premium\avgnt.exe" /min
O4 - HKLM\..\Run: [FmctrlTray] Fmctrl.EXE
O4 - HKLM\..\Run: [Network Translation System Service] "C:\WINDOWS\system32\ntss.exe" *
O4 - HKLM\..\Run: [SunJavaUpdateSched] "C:\Program Files\Java\jre1.6.0_02\bin\jusched.exe"
O4 - HKCU\..\Run: [Gadu-Gadu] "D:\Gadu-Gadu\gg.exe" /tray
O4 - HKUS\S-1-5-19\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 'USŁUGA LOKALNA')
O4 - HKUS\S-1-5-20\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 'USŁUGA SIECIOWA')
O4 - HKUS\S-1-5-18\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 'SYSTEM')
O4 - HKUS\S-1-5-18\..\RunServices: [WMI Standard Event Consumer - Scripting] C:\WINDOWS\System32\wbem\scrcons32.exe (User 'SYSTEM')
O4 - HKUS\.DEFAULT\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 'Default user')
O4 - HKUS\.DEFAULT\..\RunServices: [WMI Standard Event Consumer - Scripting] C:\WINDOWS\System32\wbem\scrcons32.exe (User 'Default user')
O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\jre1.6.0_02\bin\npjpi160_02.dll
O9 - Extra 'Tools' menuitem: Sun Java Console - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\jre1.6.0_02\bin\npjpi160_02.dll
O9 - Extra button: Related - {c95fe080-8f5d-11d2-a20b-00aa003c157a} - C:\WINDOWS\web\related.htm
O9 - Extra 'Tools' menuitem: Show &Related Links - {c95fe080-8f5d-11d2-a20b-00aa003c157a} - C:\WINDOWS\web\related.htm
O23 - Service: AntiVir PersonalEdition Premium MailGuard (AntiVirMailService) - Avira GmbH - C:\Program Files\AntiVir PersonalEdition Premium\avmailc.exe
O23 - Service: AntiVir PersonalEdition Premium Scheduler (AntiVirScheduler) - Avira GmbH - C:\Program Files\AntiVir PersonalEdition Premium\sched.exe
O23 - Service: AntiVir PersonalEdition Premium Guard (AntiVirService) - AVIRA GmbH - C:\Program Files\AntiVir PersonalEdition Premium\avguard.exe
O23 - Service: Ati HotKey Poller - ATI Technologies Inc. - C:\WINDOWS\System32\Ati2evxx.exe
O23 - Service: ATI Smart - Unknown owner - C:\WINDOWS\system32\ati2sgag.exe
O23 - Service: AntiVir PersonalEdition Premium MailGuard helper service (AVEService) - Avira GmbH - C:\Program Files\AntiVir PersonalEdition Premium\avesvc.exe
O23 - Service: NOTEPAD - Unknown owner - C:\WINDOWS\system\NOTEPAD.exe
O23 - Service: Network Translation System Service (NTSS) - Unknown owner - C:\WINDOWS\system32\ntss.exe (file missing)

--
End of file - 4027 bytes


ComboFix

Kod: Zaznacz wszystko

2007-07-08 21:23      15399    --a------    C:\Qoobox\Quarantine\C\ComboFix\FProps.vbs.vir
2007-09-23 09:19      26171    --a------    C:\Qoobox\Quarantine\C\WINDOWS\system32\urqpppn.dll.vir
2007-09-23 09:35      263220    --a------    C:\Qoobox\Quarantine\C\WINDOWS\system32\urqrq.dll.vir
2007-09-23 09:36      535415    --a------    C:\Qoobox\Quarantine\C\WINDOWS\system32\qrqru.bak1.vir
2007-09-23 09:39      75284    --a------    C:\Qoobox\Quarantine\C\WINDOWS\system32\byxuukol.exe.vir
2007-09-23 10:09      1098    --a------    C:\Qoobox\Quarantine\Registry_backups\LEGACY_DOMAINSERVICE.reg.dat
2007-09-23 10:09      2956    --a------    C:\Qoobox\Quarantine\Registry_backups\services_DomainService.reg.dat
2007-09-23 10:09      536819    --a------    C:\Qoobox\Quarantine\C\WINDOWS\system32\qrqru.ini.vir
2007-09-23 10:10      271640    --a------    C:\Qoobox\Quarantine\catchme2007-09-23_101244.40.zip
2007-09-23 10:10      309    --a------    C:\Qoobox\Quarantine\catchme.log


Zmienna PATH folderu
Numer seryjny woluminu: 71F5E346 A80A:3370
C:\QOOBOX\QUARANTINE
|   catchme.log
|   catchme2007-09-23_101244.40.zip
|   
+---C
|   +---ComboFix
|   |       FProps.vbs.vir
|   |       
|   \---WINDOWS
|       \---system32
|               byxuukol.exe.vir
|               qrqru.bak1.vir
|               qrqru.ini.vir
|               urqpppn.dll.vir
|               urqrq.dll.vir
|               
\---Registry_backups
        LEGACY_DOMAINSERVICE.reg.dat
        services_DomainService.reg.dat
       


Sdfix

Kod: Zaznacz wszystko

SDFix: Version 1.106

Run by Manieq on 2007-09-23 at 09:44

Microsoft Windows XP [Wersja 5.1.2600]

Running From: C:\SDfix\SDFix

Safe Mode:
Checking Services:

Name:
Mimserv

ImagePath:
"C:\WINDOWS\system32\dllcache\services.exe"

Mimserv - Deleted



Restoring Windows Registry Values
Restoring Windows Default Hosts File

Rebooting...


Normal Mode:
Checking Files:

Trojan Files Found:

C:\WINDOWS\SYSTEM32\DLLCACHE\SERVICES.EXE - Deleted
C:\WINDOWS\system32\TFTP1496  - Deleted
C:\WINDOWS\system32\TFTP260  - Deleted
C:\WINDOWS\system32\TFTP2756  - Deleted
C:\WINDOWS\system32\TFTP3096  - Deleted
C:\WINDOWS\system32\TFTP3152  - Deleted
C:\WINDOWS\system32\TFTP5064  - Deleted
C:\WINDOWS\system32\wbem\scrcons32.exe  - Deleted
C:\WINDOWS\Temp\removalfile.bat  - Deleted



Removing Temp Files...

ADS Check:

C:\WINDOWS
No streams found.

C:\WINDOWS\system32
No streams found.

C:\WINDOWS\system32\svchost.exe
No streams found.

C:\WINDOWS\system32\ntoskrnl.exe
No streams found.



                                 Final Check:

Remaining Services:
------------------




Authorized Application Key Export:

[HKEY_LOCAL_MACHINE\system\currentcontrolset\services\sharedaccess\parameters\firewallpolicy\standardprofile\authorizedapplications\list]
"C:\\WINDOWS\\system32\\ntss.exe"="C:\\WINDOWS\\system32\\ntss.exeC:\\WINDOWS\\system32\\ntss.exe:*:Enabled:NTSS"
"C:\\Program Files\\Internet Explorer\\iexplore.exe"="C:\\Program Files\\Internet Explorer\\iexplore.exeC:\\Program Files\\Internet Explorer\\iexplore.exe:*:Enabled:NTSS"
"\\??\\C:\\WINDOWS\\system32\\winlogon.exe"="\\??\\C:\\WINDOWS\\system32\\winlogon.exewinlogon.exe:*:Enabled:NTSS"
"C:\\WINDOWS\\Explorer.EXE"="C:\\WINDOWS\\Explorer.EXEC:\\WINDOWS\\Explorer.EXE:*:Enabled:NTSS"
"C:\\WINDOWS\\system32\\tftp.exe"="C:\\WINDOWS\\system32\\tftp.exetftp.exe:*:Enabled:NTSS"
"C:\\Program Files\\Windows Media Player\\wmplayer.exe"="C:\\Program Files\\Windows Media Player\\wmplayer.exeC:\\Program Files\\Windows Media Player\\wmplayer.exe:*:Enabled:NTSS"
"C:\\WINDOWS\\system32\\svchost.exe"="C:\\WINDOWS\\system32\\svchost.exeC:\\WINDOWS\\system32\\svchost:*:Enabled:NTSS"
"C:\\WINDOWS\\System32\\upds.exe"="C:\\WINDOWS\\System32\\upds.exe:*:Enabled:Windows System Update Tools"
"C:\\WINDOWS\\System32\\wbem\\scrcons32.exe"="C:\\WINDOWS\\System32\\wbem\\scrcons32.exe:*:Enabled:WMI Standard Event Consumer - Scripting"
"C:\\WINDOWS\\System32\\byxuukol.exe"="C:\\WINDOWS\\System32\\byx"

Remaining Files:
---------------

File Backups: - C:\SDfix\SDFix\backups\backups.zip

Files with Hidden Attributes:

C:\WINDOWS\system32\urqrq.dll
C:\WINDOWS\system\NOTEPAD.exe
C:\WINDOWS\system32\dihi.exe

Finished!


A i jeszcze tam w hijackthis jest aplikacja "NOTEPAD.EXE" To nie notatnik sie za kazdym startem systemu wlacza jak to wylaczyc? Pozdro

[wojtas]

Użyj WWDC :
http://www.firewallleaktester.com/wwdc.htm
Zmień opcje z disable na enable. Uruchom ponownie komputer.
Tak powinny wyglądać porty (NetBIOS może być żółty) :
http://www.firewallleaktester.com/images_site/wwdc.jpg

Otworz notatnik i wklej w nim to:

Driver::
NTSS
NOTEPAD

File::
C:\WINDOWS\web\related.htm
C:\WINDOWS\system\NOTEPAD.exe
C:\WINDOWS\system32\dihi.exe

Folder::
C:\QOOBOX
C:\SDfix\SDFix\backups

Plik >>> zapisz jako CFScript.txt .Plik przeciągnij i upuść na ikonę ComboFixa (tak jak tu ) . Potwierdz >>> zresetuje sie komputer

potem nowy log z hijacka oraz poprawnie wklejony log z combofixa (ten zle wkleiles)

[Manieq]

Hmmm oga z combofixa ci niedam bo mi antywir go wy****l a jezeli chodzi o tego wirusa. Sluchaj: Wgralem nowy system bo kompa niemoglem wlaczyc. Resetuje sie po wlaczeniu windy I teraz tez tak jest. Ledwo go wlaczylem. Dodam ze mam xp bez sp2 i mama avira antywirus. Do tego ten wirus wrocil po wgraniu windy. Wszedlem d neta i znow on wbil sie :p Zaraz pobawie ze tym wwd bo go wczesniej mialem . Jezli to ne pomoze to co mam robic?

[Kuba1]

Gdybyś chociaż troszke zainteresował się swoim problemem wiedziałbyś, że niektóre AntyViry uznają ComboFix za wirusa, i jest to fałszywy alarm.

Dodatkowo, piszesz tak niezrozumiale, że ciężko cokolwiek zrozumieć.

Inna sprawa przeczytaj sobie to co napisałeś i powiedz mi czy w tym widzisz jakąkolwiek logikę?

Pytasz "co mam robić"? Zainteresuj się swoim problemem, wklej nam nowy zestaw logów Hijackthis,Silentrunners,ComboFix i wykonuj dokładnie to co radzimy, inaczej sie nie dogadamy..

[Manieq]

Wypowiem sie tak: Niema chyba mozliwosi usunecia syfu.Wklejam te logi a trojan ciagle dziala, i sie kpiuje. Rozwalilem jednego porzednimi netmetodami on dziiala dalej i ma nowe pliki juz. Zaraz wgram winde na nowo, antywira i sp2 i tyle. A nie. Jezei chodzi o logi. Moj komputer z tym wirkiem co chwile sie resetuje i trudnom mi wkleic logi.