Win32 cutwail/win32.trojan.gen

**Posty:** 7 · przez **Galanowo** 03 Kwi 2009, 18:45

Hej
jestem nowym uzytkownikiem forum, cześć!!
Mam problem z kompem avast wykrywa mi rózne virusty (patrz temat) oraz instaluja się jakies podejrzane oprogramowania antyvirusowe rapid antivirus.
Przygotowałem sie i mam dla was dwa logi:
1) combofix

ComboFix 09-04-01.01 - Użytkownik 2009-04-03 18:03:14.2 - NTFSx86
Microsoft Windows XP Professional 5.1.2600.2.1250.1.1045.18.1006.653 [GMT 2:00]
Uruchomiony z: c:\inslall\ComboFix.exe
AV: avast! antivirus 4.8.1335 [VPS 090403-0] *On-access scanning disabled* (Updated)
FW: Sygate Personal Firewall *enabled*
.

((((((((((((((((((((((((( Pliki utworzone od 2009-03-03 do 2009-04-03 )))))))))))))))))))))))))))))))
.

2009-04-03 18:00 . 2009-04-03 18:00 1,087,488 --a------ c:\documents and settings\LocalService\tmevevnvnfnmutsrqgfuk.exe
2009-04-03 17:49 . 2009-04-03 17:49 <DIR> d-------- c:\documents and settings\Administrator\Dane aplikacji\Corel
2009-04-03 17:26 . 2009-04-03 18:06 <DIR> d--h----- c:\documents and settings\Administrator\Ustawienia lokalne
2009-04-03 17:26 . 2007-04-13 23:43 <DIR> d-------- c:\documents and settings\Administrator\Ulubione
2009-04-03 17:26 . 2007-04-13 21:54 <DIR> d--h----- c:\documents and settings\Administrator\Szablony
2009-04-03 17:26 . 2007-04-13 23:43 <DIR> d-------- c:\documents and settings\Administrator\Pulpit
2009-04-03 17:26 . 2007-04-13 23:43 <DIR> d-------- c:\documents and settings\Administrator\Moje dokumenty
2009-04-03 17:26 . 2007-04-13 23:43 <DIR> dr------- c:\documents and settings\Administrator\Menu Start
2009-04-03 17:26 . 2009-04-03 17:49 <DIR> dr-h----- c:\documents and settings\Administrator\Dane aplikacji
2009-04-03 17:26 . 2009-04-03 17:26 <DIR> d-------- c:\documents and settings\Administrator
2009-04-01 22:13 . 2009-04-01 22:13 <DIR> d-------- c:\winnt\system32\xircom
2009-04-01 22:13 . 2009-04-01 22:13 <DIR> d-------- c:\program files\microsoft frontpage
2009-04-01 22:04 . 2009-04-01 22:04 <DIR> d-------- c:\documents and settings\Użytkownik\Dane aplikacji\anv46
2009-04-01 22:04 . 2009-04-01 22:05 17,920 --a------ c:\winnt\system32\mmmhseev.dll
2009-04-01 21:58 . 2009-04-01 21:58 <DIR> d-------- c:\documents and settings\Użytkownik\Dane aplikacji\anvDF
2009-04-01 21:58 . 2009-04-01 21:58 <DIR> d-------- c:\documents and settings\Użytkownik\Dane aplikacji\anv64
2009-04-01 21:43 . 2009-04-01 22:36 <DIR> d-a------ c:\documents and settings\All Users\Dane aplikacji\TEMP
2009-04-01 20:49 . 2009-04-03 17:18 <DIR> d-------- c:\program files\Unlocker
2009-04-01 20:49 . 2009-04-01 20:49 <DIR> d-------- c:\documents and settings\Użytkownik\Dane aplikacji\Desktopicon
2009-04-01 18:31 . 2009-04-01 18:31 <DIR> d-------- c:\program files\Sygate
2009-04-01 18:31 . 2004-10-15 18:32 83,096 --a------ c:\winnt\system32\SSSensor.dll
2009-04-01 18:31 . 2004-10-15 18:17 60,496 --a------ c:\winnt\system32\drivers\Teefer.sys
2009-04-01 18:31 . 2004-10-15 18:18 21,075 --a------ c:\winnt\system32\drivers\wpsdrvnt.sys
2009-04-01 18:31 . 2004-10-15 18:32 14,568 --a------ c:\winnt\system32\drivers\wg6n.sys
2009-04-01 18:31 . 2004-10-15 18:32 14,568 --a------ c:\winnt\system32\drivers\wg5n.sys
2009-04-01 18:31 . 2004-10-15 18:32 14,568 --a------ c:\winnt\system32\drivers\wg4n.sys
2009-04-01 18:31 . 2004-10-15 18:32 14,568 --a------ c:\winnt\system32\drivers\wg3n.sys
2009-03-31 22:10 . 2009-03-31 22:10 <DIR> d-------- c:\documents and settings\Użytkownik\Dane aplikacji\Malwarebytes
2009-03-31 22:10 . 2009-03-31 22:10 <DIR> d-------- c:\documents and settings\Użytkownik\Dane aplikacji\anv72
2009-03-31 22:10 . 2009-03-31 22:10 <DIR> d-------- c:\documents and settings\Użytkownik\Dane aplikacji\anv21
2009-03-31 22:09 . 2009-03-31 22:09 <DIR> d-------- c:\documents and settings\All Users\Dane aplikacji\Malwarebytes
2009-03-31 22:08 . 2009-03-31 22:08 <DIR> d-------- c:\program files\7-Zip
2009-03-31 22:03 . 2009-03-31 22:03 <DIR> d-------- c:\documents and settings\Użytkownik\Dane aplikacji\anvF6
2009-03-31 21:53 . 2009-03-31 21:53 <DIR> d-------- c:\documents and settings\Użytkownik\Dane aplikacji\anvF8
2009-03-31 19:45 . 2009-03-31 19:45 <DIR> d-------- c:\documents and settings\Użytkownik\Dane aplikacji\anv89
2009-03-31 19:31 . 2009-03-31 19:31 <DIR> d-------- c:\documents and settings\Użytkownik\Dane aplikacji\anvEF
2009-03-31 19:22 . 2009-03-31 19:23 17,920 --a------ c:\winnt\system32\mmmaifvl.dll
2009-03-31 19:00 . 2009-03-31 21:28 <DIR> d-------- c:\program files\Lavasoft
2009-03-31 19:00 . 2009-03-31 21:28 <DIR> d-------- c:\documents and settings\All Users\Dane aplikacji\Lavasoft
2009-03-31 18:46 . 2009-03-31 18:46 <DIR> d-------- c:\documents and settings\Użytkownik\Dane aplikacji\anv7D
2009-03-31 18:38 . 2009-03-31 18:38 <DIR> d-------- c:\program files\SkanerOnline
2009-03-31 18:36 . 2009-03-31 18:36 <DIR> d-------- c:\documents and settings\Użytkownik\Dane aplikacji\anv29
2009-03-31 18:27 . 2009-03-31 18:27 <DIR> d-------- c:\documents and settings\Użytkownik\Dane aplikacji\anv7B
2009-03-31 18:27 . 2009-03-31 18:27 <DIR> d-------- c:\documents and settings\LocalService\Dane aplikacji\anv2B
2009-03-31 18:26 . 2009-03-31 18:26 1,087,488 --a------ c:\documents and settings\LocalService\mvnfnfwogxphyhyqiarji.exe

.
(((((((((((((((((((((((((((((((((((((((( Sekcja Find3M ))))))))))))))))))))))))))))))))))))))))))))))))))))
.
2009-04-03 15:18 --------- d--h--w c:\program files\InstallShield Installation Information
2009-04-01 21:02 --------- d-----w c:\documents and settings\Użytkownik\Dane aplikacji\uTorrent
2009-03-31 19:46 --------- d-----w c:\program files\GustoSoft
2009-03-29 16:02 --------- d-----w c:\program files\Norton Security Scan
2009-03-26 21:03 --------- d-----w c:\documents and settings\Użytkownik\Dane aplikacji\OpenOffice.org2
2009-03-17 16:58 --------- d-----w c:\documents and settings\Użytkownik\Dane aplikacji\U3
2009-03-15 06:28 --------- d-----w c:\program files\OpenOffice.org 2.2
2009-03-03 16:37 --------- d-----w c:\program files\eMule
2009-02-15 18:24 107,888 ----a-w c:\winnt\system32\CmdLineExt.dll
2009-02-15 18:24 --------- d--h--r c:\documents and settings\Użytkownik\Dane aplikacji\SecuROM
2009-02-15 18:14 --------- d-----w c:\program files\Atari
2009-02-15 18:14 --------- d-----w c:\documents and settings\Użytkownik\Dane aplikacji\gnupg
2009-02-10 19:23 --------- d-----w c:\program files\G DATA Software
2009-02-10 18:59 --------- d-----w c:\program files\IrfanView
2009-02-10 18:56 --------- d-----w c:\documents and settings\Użytkownik\Dane aplikacji\FastStone
2009-02-10 18:17 --------- d-----w c:\documents and settings\Użytkownik\Dane aplikacji\XnView
2009-02-05 18:03 --------- d-----w c:\program files\Gadu-Gadu
2009-01-21 15:11 473,600 ----a-w c:\winnt\system32\SkanerOnline.dll
2008-01-21 22:56 56 --sh--r c:\winnt\system32\0C1A6FC3DA.sys
2008-08-23 11:38 1,682 --sha-w c:\winnt\system32\KGyGaAvL.sys
.

((((((((((((((((((((((((((((((((((((( Wpisy startowe rejestru ))))))))))))))))))))))))))))))))))))))))))))))))))
.
.
*Uwaga* puste wpisy oraz domyślne, prawidłowe wpisy nie są pokazane
REGEDIT4

[HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
"Gadu-Gadu"="c:\program files\Gadu-Gadu\gg.exe" [2008-01-30 2113536]
"MSMSGS"="c:\program files\Messenger\msmsgs.exe" [2004-08-04 1694208]
"ctfmon.exe"="c:\winnt\system32\ctfmon.exe" [2004-08-04 15360]

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
"IntelAudioStudio"="c:\program files\Intel Audio Studio\IntelAudioStudio.exe" [2006-06-07 9129984]
"SunJavaUpdateSched"="c:\program files\Java\jre6\bin\jusched.exe" [2008-12-09 136600]
"avast!"="c:\progra~1\ALWILS~1\Avast4\ashDisp.exe" [2009-02-05 81000]
"NeroFilterCheck"="c:\winnt\system32\NeroCheck.exe" [2006-01-12 155648]
"GrooveMonitor"="c:\program files\Microsoft Office\Office12\GrooveMonitor.exe" [2006-10-27 31016]
"QuickTime Task"="c:\program files\QuickTime\QTTask.exe" [2009-01-05 413696]
"NvCplDaemon"="c:\winnt\system32\NvCpl.dll" [2006-03-09 7561216]
"SmcService"="c:\progra~1\Sygate\SPF\smc.exe" [2004-10-15 2577632]
"nwiz"="nwiz.exe" [2006-03-09 c:\winnt\system32\nwiz.exe]

[HKEY_USERS\.DEFAULT\Software\Microsoft\Windows\CurrentVersion\Run]
"CTFMON.EXE"="c:\winnt\system32\CTFMON.EXE" [2004-08-04 15360]
"antispy"="c:\documents and settings\LocalService\tmevevnvnfnmutsrqgfuk.exe" [2009-04-03 1087488]

[HKEY_USERS\.DEFAULT\Software\Microsoft\Windows\CurrentVersion\RunOnce]
"nlsf"="move" [X]
"tscuninstall"="c:\winnt\system32\tscupgrd.exe" [2004-08-04 44544]

c:\documents and settings\Uľytkownik\Menu Start\Programy\Autostart\
Stickies.lnk - c:\program files\stickies\stickies.exe [2005-05-29 348160]

[HKEY_LOCAL_MACHINE\software\microsoft\windows nt\currentversion\windows]
"AppInit_DLLs"=c:\winnt\system32\mmmnxdnx.dll

[HKEY_LOCAL_MACHINE\software\microsoft\security center]
"AntiVirusOverride"=dword:00000001

[HKLM\~\services\sharedaccess\parameters\firewallpolicy\standardprofile\AuthorizedApplications\List]
"%windir%\\system32\\sessmgr.exe"=
"c:\\Program Files\\eMule\\emule.exe"=
"c:\\Program Files\\Gadu-Gadu\\gg.exe"=
"c:\\Program Files\\uTorrent\\utorrent.exe"=
"c:\\Program Files\\Messenger\\msmsgs.exe"=
"c:\\Program Files\\stickies\\stickies.exe"=
"c:\\Program Files\\Java\\jre6\\bin\\jusched.exe"=
"c:\\Program Files\\Microsoft Office\\Office12\\GrooveMonitor.exe"=
"c:\\WINNT\\system32\\userinit.exe"=

R0 AFPAnsi;G-DATA Ukrywacz Ansi;c:\winnt\system32\drivers\AFPAnsi.sys [2009-02-10 43904]
R1 aswSP;avast! Self Protection;c:\winnt\system32\drivers\aswSP.sys [2008-04-26 114768]
R2 aswFsBlk;aswFsBlk;c:\winnt\system32\drivers\aswFsBlk.sys [2008-04-26 20560]
R2 port_nt;port_nt;c:\winnt\system32\drivers\port_nt.sys [2008-10-08 3608]
S0 FO_PAnt;FotoOffice VirtualDisc Driver;c:\winnt\system32\Drivers\FO_PAnt.sys --> c:\winnt\system32\Drivers\FO_PAnt.sys [?]
S2 fips32cup;fips32cup;\??\c:\winnt\system32\drivers\fips32cup.sys --> c:\winnt\system32\drivers\fips32cup.sys [?]
S2 securentm;securentm;c:\winnt\system32\drivers\securentm.sys [2004-08-04 30464]

[HKEY_CURRENT_USER\software\microsoft\windows\currentversion\explorer\mountpoints2\G]
\Shell\AutoRun\command - G:\LaunchU3.exe -a

[HKEY_CURRENT_USER\software\microsoft\windows\currentversion\explorer\mountpoints2\{746cb5e6-fa5a-11db-8384-0019d10e1c42}]
\Shell\AutoRun\command - D:\EXPLORER.EXE
\Shell\explore\Command - D:\EXPLORER.EXE
\Shell\open\Command - D:\EXPLORER.EXE

[HKEY_CURRENT_USER\software\microsoft\windows\currentversion\explorer\mountpoints2\{9da28063-79fc-11dd-89b1-0019d10e1c42}]
\Shell\AutoRun\command - G:\LaunchU3.exe -a
.
Zawartość folderu 'Zaplanowane zadania'

2009-03-31 c:\winnt\Tasks\Ad-Aware Update (Weekly).job
- c:\program files\Lavasoft\Ad-Aware\Ad-AwareAdmin.exe []

2009-04-01 c:\winnt\Tasks\Uniblue SpeedUpMyPC Nag.job
- c:\program files\Uniblue\SpeedUpMyPC 3\SpeedUpMyPC.exe []

2008-06-05 c:\winnt\Tasks\Uniblue SpeedUpMyPC.job
- c:\program files\Uniblue\SpeedUpMyPC 3\SpeedUpMyPC.exe []

2008-06-06 c:\winnt\Tasks\Uniblue SpyEraser.job
- c:\program files\Uniblue\SpyEraser\SpyEraser.exe []
.
- - - - USUNIĘTO PUSTE WPISY - - - -

HKLM-Run-Malwarebytes Piracy - c:\program files\Malwarebytes' Anti-Malware\mbam.exe
HKLM-Run-UnlockerAssistant - c:\program files\Unlocker\UnlockerAssistant.exe

.
------- Skan uzupełniający -------
.
uStart Page = hxxp://www.google.pl/
uDefault_Search_URL = hxxp://www.google.com/ie
uInternet Connection Wizard,ShellNext = hxxp://go.divx.com/divx/divx6/new/en
uSearchURL,(Default) = hxxp://www.google.com/search?q=%s
IE: E&ksport do programu Microsoft Excel - c:\progra~1\MICROS~1\OFFICE11\EXCEL.EXE/3000
IE: E&ksportuj do programu Microsoft Excel - c:\progra~1\MICROS~1\Office12\EXCEL.EXE/3000
IE: E&xport to Microsoft Excel - c:\progra~1\MICROS~1\Office10\EXCEL.EXE/3000
DPF: {68282C51-9459-467B-95BF-3C0E89627E55} - hxxp://www.mks.com.pl/skaner/SkanerOnline.cab
.

**************************************************************************

catchme 0.3.1375 W2K/XP/Vista - rootkit/stealth malware detector by Gmer, http://www.gmer.net
Rootkit scan 2009-04-03 18:06:17
Windows 5.1.2600 Dodatek Service Pack 2 NTFS

skanowanie ukrytych procesów ...

skanowanie ukrytych wpisów autostartu ...

skanowanie ukrytych plików ...

skanowanie pomyślnie ukończone
ukryte pliki: 0

**************************************************************************

[HKEY_LOCAL_MACHINE\System\ControlSet001\Services\vsdatant]
"ImagePath"=""
.
--------------------- ZABLOKOWANE KLUCZE REJESTRU ---------------------

[HKEY_USERS\S-1-5-21-2025429265-1343024091-839522115-1003\Software\SecuROM\License information*]
"datasecu"=hex:b6,61,b2,96,d2,73,1a,25,04,08,1e,b9,55,5f,d5,93,17,7f,92,7e,86,
34,1a,03,7d,92,e5,7a,64,2b,23,78,7f,aa,1b,32,5c,37,4a,36,09,56,c2,08,08,16,\
"rkeysecu"=hex:1b,b5,52,6d,b9,b0,2c,c1,55,51,23,8c,25,8e,a7,8c
.
Czas ukończenia: 2009-04-03 18:13:42
ComboFix-quarantined-files.txt 2009-04-03 16:13:18

Przed: 40 607 784 960 bajtów wolnych
Po: 40,600,453,120 bajtów wolnych

182

oraz log z hijack:

Logfile of Trend Micro HijackThis v2.0.2
Scan saved at 18:34:43, on 2009-04-03
Platform: Windows XP Dodatek SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)
Boot mode: Normal

Running processes:
C:\WINNT\System32\smss.exe
C:\WINNT\system32\winlogon.exe
C:\WINNT\system32\services.exe
C:\WINNT\system32\lsass.exe
C:\WINNT\system32\svchost.exe
C:\WINNT\System32\svchost.exe
C:\Program Files\Sygate\SPF\smc.exe
C:\Program Files\Alwil Software\Avast4\aswUpdSv.exe
C:\Program Files\Alwil Software\Avast4\ashServ.exe
C:\WINNT\system32\spoolsv.exe
C:\Program Files\Java\jre6\bin\jusched.exe
C:\PROGRA~1\ALWILS~1\Avast4\ashDisp.exe
C:\Program Files\Microsoft Office\Office12\GrooveMonitor.exe
C:\WINNT\system32\rundll32.exe
C:\WINNT\system32\ctfmon.exe
C:\Program Files\stickies\stickies.exe
C:\WINNT\ATKKBService.exe
C:\Program Files\Java\jre6\bin\jqs.exe
C:\WINNT\system32\nvsvc32.exe
C:\WINNT\system32\UTSCSI.EXE
C:\Program Files\Alwil Software\Avast4\ashMaiSv.exe
C:\Program Files\Alwil Software\Avast4\ashWebSv.exe
C:\WINNT\system32\wscntfy.exe
C:\Program Files\Opera\opera.exe
C:\WINNT\explorer.exe
C:\INSLALL\HiJackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.google.pl/
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://go.microsoft.com/fwlink/?LinkId=69157
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://go.microsoft.com/fwlink/?LinkId=54896
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = http://go.microsoft.com/fwlink/?LinkId=54896
R1 - HKCU\Software\Microsoft\Internet Connection Wizard,ShellNext = http://go.divx.com/divx/divx6/new/en
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Łącza
O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Program Files\Adobe\Acrobat 5.0\Reader\ActiveX\AcroIEHelper.ocx
O2 - BHO: Groove GFS Browser Helper - {72853161-30C5-4D22-B7F9-0BBC1D38A37E} - C:\PROGRA~1\MICROS~1\Office12\GRA8E1~1.DLL
O2 - BHO: Java(tm) Plug-In SSV Helper - {761497BB-D6F0-462C-B6EB-D4DAF1D92D43} - C:\Program Files\Java\jre6\bin\ssv.dll
O2 - BHO: Java(tm) Plug-In 2 SSV Helper - {DBC80044-A445-435b-BC74-9C25C1C588A9} - C:\Program Files\Java\jre6\bin\jp2ssv.dll
O2 - BHO: JQSIEStartDetectorImpl - {E7E6F031-17CE-4C07-BC86-EABFE594F69C} - C:\Program Files\Java\jre6\lib\deploy\jqs\ie\jqs_plugin.dll
O4 - HKLM\..\Run: [IntelAudioStudio] "C:\Program Files\Intel Audio Studio\IntelAudioStudio.exe" BOOT
O4 - HKLM\..\Run: [nwiz] nwiz.exe /install
O4 - HKLM\..\Run: [SunJavaUpdateSched] "C:\Program Files\Java\jre6\bin\jusched.exe"
O4 - HKLM\..\Run: [avast!] C:\PROGRA~1\ALWILS~1\Avast4\ashDisp.exe
O4 - HKLM\..\Run: [NeroFilterCheck] C:\WINNT\system32\NeroCheck.exe
O4 - HKLM\..\Run: [GrooveMonitor] "C:\Program Files\Microsoft Office\Office12\GrooveMonitor.exe"
O4 - HKLM\..\Run: [QuickTime Task] "C:\Program Files\QuickTime\QTTask.exe" -atboottime
O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINNT\system32\NvCpl.dll,NvStartup
O4 - HKLM\..\Run: [SmcService] C:\PROGRA~1\Sygate\SPF\smc.exe -startgui
O4 - HKCU\..\Run: [Gadu-Gadu] "C:\Program Files\Gadu-Gadu\gg.exe" /tray
O4 - HKCU\..\Run: [MSMSGS] "C:\Program Files\Messenger\msmsgs.exe" /background
O4 - HKCU\..\Run: [ctfmon.exe] C:\WINNT\system32\ctfmon.exe
O4 - HKUS\S-1-5-18\..\Run: [CTFMON.EXE] C:\WINNT\system32\CTFMON.EXE (User 'SYSTEM')
O4 - HKUS\S-1-5-18\..\Run: [antispy] C:\Documents and Settings\LocalService\tmevevnvnfnmutsrqgfuk.exe (User 'SYSTEM')
O4 - HKUS\S-1-5-18\..\RunOnce: [nlsf] cmd.exe /C move /Y "%SystemRoot%\System32\syssetub.dll" "%SystemRoot%\System32\syssetup.dll" (User 'SYSTEM')
O4 - HKUS\.DEFAULT\..\Run: [CTFMON.EXE] C:\WINNT\system32\CTFMON.EXE (User 'Default user')
O4 - HKUS\.DEFAULT\..\RunOnce: [nlsf] cmd.exe /C move /Y "%SystemRoot%\System32\syssetub.dll" "%SystemRoot%\System32\syssetup.dll" (User 'Default user')
O4 - Startup: Stickies.lnk = C:\Program Files\stickies\stickies.exe
O8 - Extra context menu item: E&ksport do programu Microsoft Excel - res://C:\PROGRA~1\MICROS~1\OFFICE11\EXCEL.EXE/3000
O8 - Extra context menu item: E&ksportuj do programu Microsoft Excel - res://C:\PROGRA~1\MICROS~1\Office12\EXCEL.EXE/3000
O8 - Extra context menu item: E&xport to Microsoft Excel - res://C:\PROGRA~1\MICROS~1\Office10\EXCEL.EXE/3000
O9 - Extra button: Wyślij do programu OneNote - {2670000A-7350-4f3c-8081-5663EE0C6C49} - C:\PROGRA~1\MICROS~1\Office12\ONBttnIE.dll
O9 - Extra 'Tools' menuitem: Wyślij &do programu OneNote - {2670000A-7350-4f3c-8081-5663EE0C6C49} - C:\PROGRA~1\MICROS~1\Office12\ONBttnIE.dll
O9 - Extra button: Badanie - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - C:\PROGRA~1\MICROS~1\OFFICE11\REFIEBAR.DLL
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe
O12 - Plugin for .spop: C:\Program Files\Internet Explorer\Plugins\NPDocBox.dll
O16 - DPF: {68282C51-9459-467B-95BF-3C0E89627E55} (MksSkanerOnline Class) - http://www.mks.com.pl/skaner/SkanerOnline.cab
O16 - DPF: {D27CDB6E-AE6D-11CF-96B8-444553540000} (Shockwave Flash Object) - https://download.macromedia.com/pub/shockwave/cabs/flash/swflash.cab
O18 - Protocol: grooveLocalGWS - {88FED34C-F0CA-4636-A375-3CB6248B04CD} - C:\PROGRA~1\MICROS~1\Office12\GR99D3~1.DLL
O18 - Protocol: skype4com - {FFC8B962-9B40-4DFF-9458-1830C7DD7F5D} - C:\PROGRA~1\COMMON~1\Skype\SKYPE4~1.DLL
O20 - AppInit_DLLs: C:\WINNT\system32\mmmnxdnx.dll
O23 - Service: avast! iAVS4 Control Service (aswUpdSv) - ALWIL Software - C:\Program Files\Alwil Software\Avast4\aswUpdSv.exe
O23 - Service: ATK Keyboard Service (ATKKeyboardService) - ASUSTeK COMPUTER INC. - C:\WINNT\ATKKBService.exe
O23 - Service: Autodesk Licensing Service - Autodesk - C:\Program Files\Common Files\Autodesk Shared\Service\AdskScSrv.exe
O23 - Service: avast! Antivirus - ALWIL Software - C:\Program Files\Alwil Software\Avast4\ashServ.exe
O23 - Service: avast! Mail Scanner - ALWIL Software - C:\Program Files\Alwil Software\Avast4\ashMaiSv.exe
O23 - Service: avast! Web Scanner - ALWIL Software - C:\Program Files\Alwil Software\Avast4\ashWebSv.exe
O23 - Service: Google Updater Service (gusvc) - Google - C:\Program Files\Google\Common\Google Updater\GoogleUpdaterService.exe
O23 - Service: Java Quick Starter (JavaQuickStarterService) - Sun Microsystems, Inc. - C:\Program Files\Java\jre6\bin\jqs.exe
O23 - Service: NVIDIA Display Driver Service (NVSvc) - NVIDIA Corporation - C:\WINNT\system32\nvsvc32.exe
O23 - Service: Sygate Personal Firewall (SmcService) - Sygate Technologies, Inc. - C:\Program Files\Sygate\SPF\smc.exe
O23 - Service: SolidWorks Licensing Service - SolidWorks - C:\Program Files\Common Files\SolidWorks Shared\Service\SolidWorksLicensing.exe
O23 - Service: CLCV0 (UTSCSI) - Unknown owner - C:\WINNT\system32\UTSCSI.EXE

--
End of file - 7071 bytes

Bardzo prosze o pomoc

**Posty:** 18165 · przez **wojtas** 03 Kwi 2009, 18:58

Wykonaj to co jest podane w tym temacie

Zastosuj SDFix . Po pobraniu uruchom go a rozpakuje się do C:\SDFix. Uruchom komputer w trybie awaryjnym (F8 przy stracie systemu). Będąc w awaryjnym uruchom plik RunThis.bat z folderu SDFixa. Zatwierdź czyszczenie przez Y. Poczekaj aż ukończy i komputer zresetuje

Potem wejdz do folderu C:\SDFix wrzuc zawartość pliku Report.txt + log z combofixa oraz daj loga z hijacka wszystko w tagach code a nie quote..

**Posty:** 7 · przez **Galanowo** 03 Kwi 2009, 19:16

Hej
Dzięki za szybka odpowiedz i radę co dalej.
Oczywiscie sory za pomyłkę, nastepne tagi w code,
Pozdrawiam

Dodano Dzisiaj, 20:17:
Hej wg zaleceń podziałałem oto logi:
1) sdfix

Kod: Zaznacz wszystko: [b]SDFix: Version 1.240 [/b] Run by Administrator on 2009-04-03 at 19:33 Microsoft Windows XP [Wersja 5.1.2600] Running From: C:\SDFix [b]Checking Services [/b]: Restoring Default Security Values Restoring Default Hosts File Rebooting [b]Checking Files [/b]: No Trojan Files Found Removing Temp Files [b]ADS Check [/b]: [b]Final Check [/b]: catchme 0.3.1361.2 W2K/XP/Vista - rootkit/stealth malware detector by Gmer, http://www.gmer.net Rootkit scan 2009-04-03 20:02:34 Windows 5.1.2600 Dodatek Service Pack 2 NTFS scanning hidden processes ... scanning hidden services & system hive ... [HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\sptd\Cfg] "s1"=dword:2df9c43f "s2"=dword:110480d0 "h0"=dword:00000001 [HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\sptd\Cfg\19659239224E364682FA4BAF72C53EA4] "p0"="C:\Program Files\DAEMON Tools Lite\" "h0"=dword:00000000 "khjeh"=hex:96,b0,de,a2,78,c8,5a,50,90,1c,e8,66,57,09,81,7d,50,53,f3,4c,3f,.. [HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\sptd\Cfg\19659239224E364682FA4BAF72C53EA4\00000001] "a0"=hex:20,01,00,00,b4,a5,d5,e8,35,fd,51,24,d4,d9,d1,42,c8,17,15,ae,5a,.. "khjeh"=hex:dc,62,f3,83,5c,80,15,54,33,21,73,96,d3,52,ad,69,fd,a8,31,11,11,.. [HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\sptd\Cfg\19659239224E364682FA4BAF72C53EA4\00000001\0Jf40] "khjeh"=hex:e3,69,2a,df,d0,b1,0c,8c,10,55,b7,db,62,a3,b7,f2,df,58,7a,ba,37,.. [HKEY_LOCAL_MACHINE\SYSTEM\ControlSet002\Services\sptd\Cfg\19659239224E364682FA4BAF72C53EA4] "p0"="C:\Program Files\DAEMON Tools Lite\" "h0"=dword:00000000 "khjeh"=hex:96,b0,de,a2,78,c8,5a,50,90,1c,e8,66,57,09,81,7d,50,53,f3,4c,3f,.. [HKEY_LOCAL_MACHINE\SYSTEM\ControlSet002\Services\sptd\Cfg\19659239224E364682FA4BAF72C53EA4\00000001] "a0"=hex:20,01,00,00,b4,a5,d5,e8,35,fd,51,24,d4,d9,d1,42,c8,17,15,ae,5a,.. "khjeh"=hex:dc,62,f3,83,5c,80,15,54,33,21,73,96,d3,52,ad,69,fd,a8,31,11,11,.. [HKEY_LOCAL_MACHINE\SYSTEM\ControlSet002\Services\sptd\Cfg\19659239224E364682FA4BAF72C53EA4\00000001\0Jf40] "khjeh"=hex:e3,69,2a,df,d0,b1,0c,8c,10,55,b7,db,62,a3,b7,f2,df,58,7a,ba,37,.. scanning hidden registry entries ... scanning hidden files ... scan completed successfully hidden processes: 0 hidden services: 0 hidden files: 0 [b]Remaining Services [/b]: Authorized Application Key Export: [HKEY_LOCAL_MACHINE\system\currentcontrolset\services\sharedaccess\parameters\firewallpolicy\standardprofile\authorizedapplications\list] "%windir%\\system32\\sessmgr.exe"="%windir%\\system32\\sessmgr.exe:*:enabled:@xpsp2res.dll,-22019" "C:\\Program Files\\eMule\\emule.exe"="C:\\Program Files\\eMule\\emule.exe:*:Enabled:eMule" "C:\\Program Files\\Gadu-Gadu\\gg.exe"="C:\\Program Files\\Gadu-Gadu\\gg.exe:*:Enabled:Gadu-Gadu - program główny" "C:\\Program Files\\uTorrent\\utorrent.exe"="C:\\Program Files\\uTorrent\\utorrent.exe:*:Enabled:µTorrent" "C:\\Program Files\\Messenger\\msmsgs.exe"="C:\\Program Files\\Messenger\\msmsgs.exe:*:Enabled:ENABLE" "C:\\Program Files\\stickies\\stickies.exe"="C:\\Program Files\\stickies\\stickies.exe:*:Enabled:ENABLE" "C:\\Program Files\\Java\\jre6\\bin\\jusched.exe"="C:\\Program Files\\Java\\jre6\\bin\\jusched.exe:*:Enabled:ENABLE" "C:\\Program Files\\Microsoft Office\\Office12\\GrooveMonitor.exe"="C:\\Program Files\\Microsoft Office\\Office12\\GrooveMonitor.exe:*:Enabled:ENABLE" "C:\\WINNT\\system32\\userinit.exe"="C:\\WINNT\\system32\\userinit.exe:*:Enabled:ENABLE" [HKEY_LOCAL_MACHINE\system\currentcontrolset\services\sharedaccess\parameters\firewallpolicy\domainprofile\authorizedapplications\list] "%windir%\\system32\\sessmgr.exe"="%windir%\\system32\\sessmgr.exe:*:enabled:@xpsp2res.dll,-22019" [b]Remaining Files [/b]: [b]Files with Hidden Attributes [/b]: Wed 16 Mar 2005 179,712 A.SH. --- "C:\Program Files\MobTime Cell Phone Manager\MobCfg.dll" Wed 16 Mar 2005 364,544 A.SH. --- "C:\Program Files\MobTime Cell Phone Manager\MobSvr.exe" Tue 29 Apr 2008 6,104,632 A..H. --- "C:\Program Files\Picasa2\setup.exe" Tue 22 Jan 2008 56 ..SHR --- "C:\WINNT\system32\0C1A6FC3DA.sys" Sat 23 Aug 2008 1,682 A.SH. --- "C:\WINNT\system32\KGyGaAvL.sys" Sun 6 May 2007 4,348 A.SH. --- "C:\Documents and Settings\All Users\DRM\DRMv1.bak" Wed 18 May 2005 53,248 A..H. --- "C:\aisaK Kasia\Programy\Cruser Micro 512 MB\SecurDataStorRM\Files\CopyFile.exe" Wed 18 May 2005 30,354 A..H. --- "C:\aisaK Kasia\Programy\Cruser Micro 512 MB\SecurDataStorRM\Files\msghxx.dllz" Wed 18 May 2005 180,700 A..H. --- "C:\aisaK Kasia\Programy\Cruser Micro 512 MB\SecurDataStorRM\Files\MSVCR71.DLLz" Wed 18 May 2005 1,900,544 A..H. --- "C:\aisaK Kasia\Programy\Cruser Micro 512 MB\SecurDataStorRM\Files\SecurDataStor.exe" Wed 18 Feb 2009 1,301 ...HR --- "C:\Documents and Settings\Uľytkownik\Dane aplikacji\SecuROM\UserData\securom_v7_01.bak" Fri 2 May 2008 3,493,888 A..H. --- "C:\Documents and Settings\Uľytkownik\Dane aplikacji\U3\temp\Launchpad Removal.exe" Tue 30 Nov 2004 253,952 A..HR --- "C:\aisaK Kasia\Biuro\R˘ľne\Worek\starocia\Cruser Micro Programy\PocketCache Trial Version\BackupRestoreBus.dll" Wed 18 May 2005 53,248 A..H. --- "C:\aisaK Kasia\Biuro\R˘ľne\Worek\starocia\Cruser Micro Programy\SecurDataStorRM\Files\CopyFile.exe" Wed 18 May 2005 30,354 A..H. --- "C:\aisaK Kasia\Biuro\R˘ľne\Worek\starocia\Cruser Micro Programy\SecurDataStorRM\Files\msghxx.dllz" Wed 18 May 2005 180,700 A..H. --- "C:\aisaK Kasia\Biuro\R˘ľne\Worek\starocia\Cruser Micro Programy\SecurDataStorRM\Files\MSVCR71.DLLz" Wed 18 May 2005 1,900,544 A..H. --- "C:\aisaK Kasia\Biuro\R˘ľne\Worek\starocia\Cruser Micro Programy\SecurDataStorRM\Files\SecurDataStor.exe" Wed 18 May 2005 84,634 A..H. --- "C:\aisaK Kasia\Biuro\R˘ľne\Worek\starocia\Cruser Micro Programy\SecurDataStorRM\Files\Viewer.exez" [b]Finished![/b]

2) combofix

Kod: Zaznacz wszystko: ComboFix 09-04-01.01 - Użytkownik 2009-04-03 20:09:49.3 - NTFSx86 Microsoft Windows XP Professional 5.1.2600.2.1250.1.1045.18.1006.614 [GMT 2:00] Uruchomiony z: c:\inslall\ComboFix.exe AV: avast! antivirus 4.8.1335 [VPS 090403-0] *On-access scanning disabled* (Updated) FW: Sygate Personal Firewall *enabled* . ((((((((((((((((((((((((( Pliki utworzone od 2009-03-03 do 2009-04-03 ))))))))))))))))))))))))))))))) . 2009-04-03 19:30 . 2009-04-03 19:30 <DIR> d-------- c:\winnt\ERUNT 2009-04-03 19:27 . 2009-04-03 20:04 <DIR> d-------- C:\SDFix 2009-04-03 19:23 . 2009-04-03 19:23 1,087,488 --a------ c:\documents and settings\LocalService\kdldldudumumemukjyxnd.exe 2009-04-03 18:00 . 2009-04-03 18:00 1,087,488 --a------ c:\documents and settings\LocalService\tmevevnvnfnmutsrqgfuk.exe 2009-04-03 17:49 . 2009-04-03 17:49 <DIR> d-------- c:\documents and settings\Administrator\Dane aplikacji\Corel 2009-04-03 17:26 . 2009-04-03 20:10 <DIR> d--h----- c:\documents and settings\Administrator\Ustawienia lokalne 2009-04-03 17:26 . 2007-04-13 23:43 <DIR> d-------- c:\documents and settings\Administrator\Ulubione 2009-04-03 17:26 . 2007-04-13 21:54 <DIR> d--h----- c:\documents and settings\Administrator\Szablony 2009-04-03 17:26 . 2007-04-13 23:43 <DIR> d-------- c:\documents and settings\Administrator\Pulpit 2009-04-03 17:26 . 2007-04-13 23:43 <DIR> d-------- c:\documents and settings\Administrator\Moje dokumenty 2009-04-03 17:26 . 2007-04-13 23:43 <DIR> dr------- c:\documents and settings\Administrator\Menu Start 2009-04-03 17:26 . 2009-04-03 17:49 <DIR> dr-h----- c:\documents and settings\Administrator\Dane aplikacji 2009-04-03 17:26 . 2009-04-03 17:26 <DIR> d-------- c:\documents and settings\Administrator 2009-04-01 22:13 . 2009-04-01 22:13 <DIR> d-------- c:\winnt\system32\xircom 2009-04-01 22:13 . 2009-04-01 22:13 <DIR> d-------- c:\program files\microsoft frontpage 2009-04-01 22:04 . 2009-04-01 22:04 <DIR> d-------- c:\documents and settings\Użytkownik\Dane aplikacji\anv46 2009-04-01 22:04 . 2009-04-01 22:05 17,920 --a------ c:\winnt\system32\mmmhseev.dll 2009-04-01 21:58 . 2009-04-01 21:58 <DIR> d-------- c:\documents and settings\Użytkownik\Dane aplikacji\anvDF 2009-04-01 21:58 . 2009-04-01 21:58 <DIR> d-------- c:\documents and settings\Użytkownik\Dane aplikacji\anv64 2009-04-01 21:43 . 2009-04-01 22:36 <DIR> d-a------ c:\documents and settings\All Users\Dane aplikacji\TEMP 2009-04-01 20:49 . 2009-04-03 17:18 <DIR> d-------- c:\program files\Unlocker 2009-04-01 20:49 . 2009-04-01 20:49 <DIR> d-------- c:\documents and settings\Użytkownik\Dane aplikacji\Desktopicon 2009-04-01 18:31 . 2009-04-01 18:31 <DIR> d-------- c:\program files\Sygate 2009-04-01 18:31 . 2004-10-15 18:32 83,096 --a------ c:\winnt\system32\SSSensor.dll 2009-04-01 18:31 . 2004-10-15 18:17 60,496 --a------ c:\winnt\system32\drivers\Teefer.sys 2009-04-01 18:31 . 2004-10-15 18:18 21,075 --a------ c:\winnt\system32\drivers\wpsdrvnt.sys 2009-04-01 18:31 . 2004-10-15 18:32 14,568 --a------ c:\winnt\system32\drivers\wg6n.sys 2009-04-01 18:31 . 2004-10-15 18:32 14,568 --a------ c:\winnt\system32\drivers\wg5n.sys 2009-04-01 18:31 . 2004-10-15 18:32 14,568 --a------ c:\winnt\system32\drivers\wg4n.sys 2009-04-01 18:31 . 2004-10-15 18:32 14,568 --a------ c:\winnt\system32\drivers\wg3n.sys 2009-03-31 22:10 . 2009-03-31 22:10 <DIR> d-------- c:\documents and settings\Użytkownik\Dane aplikacji\Malwarebytes 2009-03-31 22:10 . 2009-03-31 22:10 <DIR> d-------- c:\documents and settings\Użytkownik\Dane aplikacji\anv72 2009-03-31 22:10 . 2009-03-31 22:10 <DIR> d-------- c:\documents and settings\Użytkownik\Dane aplikacji\anv21 2009-03-31 22:09 . 2009-03-31 22:09 <DIR> d-------- c:\documents and settings\All Users\Dane aplikacji\Malwarebytes 2009-03-31 22:08 . 2009-03-31 22:08 <DIR> d-------- c:\program files\7-Zip 2009-03-31 22:03 . 2009-03-31 22:03 <DIR> d-------- c:\documents and settings\Użytkownik\Dane aplikacji\anvF6 2009-03-31 21:53 . 2009-03-31 21:53 <DIR> d-------- c:\documents and settings\Użytkownik\Dane aplikacji\anvF8 2009-03-31 19:45 . 2009-03-31 19:45 <DIR> d-------- c:\documents and settings\Użytkownik\Dane aplikacji\anv89 2009-03-31 19:31 . 2009-03-31 19:31 <DIR> d-------- c:\documents and settings\Użytkownik\Dane aplikacji\anvEF 2009-03-31 19:22 . 2009-03-31 19:23 17,920 --a------ c:\winnt\system32\mmmaifvl.dll 2009-03-31 19:00 . 2009-03-31 21:28 <DIR> d-------- c:\program files\Lavasoft 2009-03-31 19:00 . 2009-03-31 21:28 <DIR> d-------- c:\documents and settings\All Users\Dane aplikacji\Lavasoft 2009-03-31 18:46 . 2009-03-31 18:46 <DIR> d-------- c:\documents and settings\Użytkownik\Dane aplikacji\anv7D 2009-03-31 18:38 . 2009-03-31 18:38 <DIR> d-------- c:\program files\SkanerOnline 2009-03-31 18:36 . 2009-03-31 18:36 <DIR> d-------- c:\documents and settings\Użytkownik\Dane aplikacji\anv29 2009-03-31 18:27 . 2009-03-31 18:27 <DIR> d-------- c:\documents and settings\Użytkownik\Dane aplikacji\anv7B 2009-03-31 18:27 . 2009-03-31 18:27 <DIR> d-------- c:\documents and settings\LocalService\Dane aplikacji\anv2B 2009-03-31 18:26 . 2009-03-31 18:26 1,087,488 --a------ c:\documents and settings\LocalService\mvnfnfwogxphyhyqiarji.exe . (((((((((((((((((((((((((((((((((((((((( Sekcja Find3M )))))))))))))))))))))))))))))))))))))))))))))))))))) . 2009-04-03 17:19 --------- d-----w c:\documents and settings\Użytkownik\Dane aplikacji\uTorrent 2009-04-03 15:18 --------- d--h--w c:\program files\InstallShield Installation Information 2009-03-31 19:46 --------- d-----w c:\program files\GustoSoft 2009-03-29 16:02 --------- d-----w c:\program files\Norton Security Scan 2009-03-26 21:03 --------- d-----w c:\documents and settings\Użytkownik\Dane aplikacji\OpenOffice.org2 2009-03-17 16:58 --------- d-----w c:\documents and settings\Użytkownik\Dane aplikacji\U3 2009-03-15 06:28 --------- d-----w c:\program files\OpenOffice.org 2.2 2009-03-03 16:37 --------- d-----w c:\program files\eMule 2009-02-15 18:24 107,888 ----a-w c:\winnt\system32\CmdLineExt.dll 2009-02-15 18:24 --------- d--h--r c:\documents and settings\Użytkownik\Dane aplikacji\SecuROM 2009-02-15 18:14 --------- d-----w c:\program files\Atari 2009-02-15 18:14 --------- d-----w c:\documents and settings\Użytkownik\Dane aplikacji\gnupg 2009-02-10 19:23 --------- d-----w c:\program files\G DATA Software 2009-02-10 18:59 --------- d-----w c:\program files\IrfanView 2009-02-10 18:56 --------- d-----w c:\documents and settings\Użytkownik\Dane aplikacji\FastStone 2009-02-10 18:17 --------- d-----w c:\documents and settings\Użytkownik\Dane aplikacji\XnView 2009-02-05 18:03 --------- d-----w c:\program files\Gadu-Gadu 2009-01-21 15:11 473,600 ----a-w c:\winnt\system32\SkanerOnline.dll 2008-01-21 22:56 56 --sh--r c:\winnt\system32\[u]0[/u]C1A6FC3DA.sys 2008-08-23 11:38 1,682 --sha-w c:\winnt\system32\KGyGaAvL.sys . ((((((((((((((((((((((((((((((((((((( Wpisy startowe rejestru )))))))))))))))))))))))))))))))))))))))))))))))))) . . *Uwaga* puste wpisy oraz domyślne, prawidłowe wpisy nie są pokazane REGEDIT4 [HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] "Gadu-Gadu"="c:\program files\Gadu-Gadu\gg.exe" [2008-01-30 2113536] "MSMSGS"="c:\program files\Messenger\msmsgs.exe" [2004-08-04 1694208] "ctfmon.exe"="c:\winnt\system32\ctfmon.exe" [2004-08-04 15360] [HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] "IntelAudioStudio"="c:\program files\Intel Audio Studio\IntelAudioStudio.exe" [2006-06-07 9129984] "SunJavaUpdateSched"="c:\program files\Java\jre6\bin\jusched.exe" [2008-12-09 136600] "avast!"="c:\progra~1\ALWILS~1\Avast4\ashDisp.exe" [2009-02-05 81000] "NeroFilterCheck"="c:\winnt\system32\NeroCheck.exe" [2006-01-12 155648] "GrooveMonitor"="c:\program files\Microsoft Office\Office12\GrooveMonitor.exe" [2006-10-27 31016] "QuickTime Task"="c:\program files\QuickTime\QTTask.exe" [2009-01-05 413696] "NvCplDaemon"="c:\winnt\system32\NvCpl.dll" [2006-03-09 7561216] "SmcService"="c:\progra~1\Sygate\SPF\smc.exe" [2004-10-15 2577632] "nwiz"="nwiz.exe" [2006-03-09 c:\winnt\system32\nwiz.exe] [HKEY_USERS\.DEFAULT\Software\Microsoft\Windows\CurrentVersion\Run] "CTFMON.EXE"="c:\winnt\system32\CTFMON.EXE" [2004-08-04 15360] "antispy"="c:\documents and settings\LocalService\kdldldudumumemukjyxnd.exe" [2009-04-03 1087488] [HKEY_USERS\.DEFAULT\Software\Microsoft\Windows\CurrentVersion\RunOnce] "nlsf"="move" [X] "tscuninstall"="c:\winnt\system32\tscupgrd.exe" [2004-08-04 44544] c:\documents and settings\Uľytkownik\Menu Start\Programy\Autostart\ Stickies.lnk - c:\program files\stickies\stickies.exe [2005-05-29 348160] [HKEY_LOCAL_MACHINE\software\microsoft\windows nt\currentversion\windows] "AppInit_DLLs"=c:\winnt\system32\mmmnxdnx.dll [HKLM\~\services\sharedaccess\parameters\firewallpolicy\standardprofile\AuthorizedApplications\List] "%windir%\\system32\\sessmgr.exe"= "c:\\Program Files\\eMule\\emule.exe"= "c:\\Program Files\\Gadu-Gadu\\gg.exe"= "c:\\Program Files\\uTorrent\\utorrent.exe"= "c:\\Program Files\\Messenger\\msmsgs.exe"= "c:\\Program Files\\stickies\\stickies.exe"= "c:\\Program Files\\Java\\jre6\\bin\\jusched.exe"= "c:\\Program Files\\Microsoft Office\\Office12\\GrooveMonitor.exe"= "c:\\WINNT\\system32\\userinit.exe"= R0 AFPAnsi;G-DATA Ukrywacz Ansi;c:\winnt\system32\drivers\AFPAnsi.sys [2009-02-10 43904] R1 aswSP;avast! Self Protection;c:\winnt\system32\drivers\aswSP.sys [2008-04-26 114768] R2 aswFsBlk;aswFsBlk;c:\winnt\system32\drivers\aswFsBlk.sys [2008-04-26 20560] R2 port_nt;port_nt;c:\winnt\system32\drivers\port_nt.sys [2008-10-08 3608] S0 FO_PAnt;FotoOffice VirtualDisc Driver;c:\winnt\system32\Drivers\FO_PAnt.sys --> c:\winnt\system32\Drivers\FO_PAnt.sys [?] S2 fips32cup;fips32cup;\??\c:\winnt\system32\drivers\fips32cup.sys --> c:\winnt\system32\drivers\fips32cup.sys [?] S2 securentm;securentm;c:\winnt\system32\drivers\securentm.sys [2004-08-04 30464] [HKEY_CURRENT_USER\software\microsoft\windows\currentversion\explorer\mountpoints2\G] \Shell\AutoRun\command - G:\LaunchU3.exe -a [HKEY_CURRENT_USER\software\microsoft\windows\currentversion\explorer\mountpoints2\{746cb5e6-fa5a-11db-8384-0019d10e1c42}] \Shell\AutoRun\command - D:\EXPLORER.EXE \Shell\explore\Command - D:\EXPLORER.EXE \Shell\open\Command - D:\EXPLORER.EXE [HKEY_CURRENT_USER\software\microsoft\windows\currentversion\explorer\mountpoints2\{9da28063-79fc-11dd-89b1-0019d10e1c42}] \Shell\AutoRun\command - G:\LaunchU3.exe -a . Zawartość folderu 'Zaplanowane zadania' 2009-03-31 c:\winnt\Tasks\Ad-Aware Update (Weekly).job - c:\program files\Lavasoft\Ad-Aware\Ad-AwareAdmin.exe [] 2009-04-01 c:\winnt\Tasks\Uniblue SpeedUpMyPC Nag.job - c:\program files\Uniblue\SpeedUpMyPC 3\SpeedUpMyPC.exe [] 2008-06-05 c:\winnt\Tasks\Uniblue SpeedUpMyPC.job - c:\program files\Uniblue\SpeedUpMyPC 3\SpeedUpMyPC.exe [] 2008-06-06 c:\winnt\Tasks\Uniblue SpyEraser.job - c:\program files\Uniblue\SpyEraser\SpyEraser.exe [] . . ------- Skan uzupełniający ------- . uStart Page = hxxp://www.google.pl/ uDefault_Search_URL = hxxp://www.google.com/ie uInternet Connection Wizard,ShellNext = hxxp://go.divx.com/divx/divx6/new/en uSearchURL,(Default) = hxxp://www.google.com/search?q=%s IE: E&ksport do programu Microsoft Excel - c:\progra~1\MICROS~1\OFFICE11\EXCEL.EXE/3000 IE: E&ksportuj do programu Microsoft Excel - c:\progra~1\MICROS~1\Office12\EXCEL.EXE/3000 IE: E&xport to Microsoft Excel - c:\progra~1\MICROS~1\Office10\EXCEL.EXE/3000 DPF: {68282C51-9459-467B-95BF-3C0E89627E55} - hxxp://www.mks.com.pl/skaner/SkanerOnline.cab . ************************************************************************** catchme 0.3.1375 W2K/XP/Vista - rootkit/stealth malware detector by Gmer, http://www.gmer.net Rootkit scan 2009-04-03 20:10:40 Windows 5.1.2600 Dodatek Service Pack 2 NTFS skanowanie ukrytych procesów ... skanowanie ukrytych wpisów autostartu ... skanowanie ukrytych plików ... ************************************************************************** [HKEY_LOCAL_MACHINE\System\ControlSet001\Services\vsdatant] "ImagePath"="" . --------------------- ZABLOKOWANE KLUCZE REJESTRU --------------------- [HKEY_USERS\S-1-5-21-2025429265-1343024091-839522115-1003\Software\SecuROM\License information*] "datasecu"=hex:b6,61,b2,96,d2,73,1a,25,04,08,1e,b9,55,5f,d5,93,17,7f,92,7e,86, 34,1a,03,7d,92,e5,7a,64,2b,23,78,7f,aa,1b,32,5c,37,4a,36,09,56,c2,08,08,16,\ "rkeysecu"=hex:1b,b5,52,6d,b9,b0,2c,c1,55,51,23,8c,25,8e,a7,8c . Czas ukończenia: 2009-04-03 20:12:55 ComboFix-quarantined-files.txt 2009-04-03 18:11:39 Przed: 40 499 113 984 bajtów wolnych Po: 40,488,960,000 bajtów wolnych 178

3) hijack

Kod: Zaznacz wszystko: Logfile of Trend Micro HijackThis v2.0.2 Scan saved at 20:14:22, on 2009-04-03 Platform: Windows XP Dodatek SP2 (WinNT 5.01.2600) MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180) Boot mode: Normal Running processes: C:\WINNT\System32\smss.exe C:\WINNT\system32\winlogon.exe C:\WINNT\system32\services.exe C:\WINNT\system32\lsass.exe C:\WINNT\system32\svchost.exe C:\WINNT\System32\svchost.exe C:\Program Files\Sygate\SPF\smc.exe C:\Program Files\Alwil Software\Avast4\aswUpdSv.exe C:\Program Files\Alwil Software\Avast4\ashServ.exe C:\WINNT\system32\spoolsv.exe C:\WINNT\ATKKBService.exe C:\Program Files\Java\jre6\bin\jqs.exe C:\WINNT\system32\nvsvc32.exe C:\WINNT\system32\UTSCSI.EXE C:\WINNT\system32\wscntfy.exe C:\WINNT\system32\rundll32.exe C:\Program Files\Java\jre6\bin\jusched.exe C:\PROGRA~1\ALWILS~1\Avast4\ashDisp.exe C:\Program Files\Microsoft Office\Office12\GrooveMonitor.exe C:\WINNT\system32\ctfmon.exe C:\Program Files\stickies\stickies.exe C:\Program Files\Opera\opera.exe C:\WINNT\explorer.exe C:\INSLALL\HiJackThis.exe R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.google.pl/ R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://go.microsoft.com/fwlink/?LinkId=69157 R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://go.microsoft.com/fwlink/?LinkId=54896 R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = http://go.microsoft.com/fwlink/?LinkId=54896 R1 - HKCU\Software\Microsoft\Internet Connection Wizard,ShellNext = http://go.divx.com/divx/divx6/new/en R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Łącza O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Program Files\Adobe\Acrobat 5.0\Reader\ActiveX\AcroIEHelper.ocx O2 - BHO: Groove GFS Browser Helper - {72853161-30C5-4D22-B7F9-0BBC1D38A37E} - C:\PROGRA~1\MICROS~1\Office12\GRA8E1~1.DLL O2 - BHO: Java(tm) Plug-In SSV Helper - {761497BB-D6F0-462C-B6EB-D4DAF1D92D43} - C:\Program Files\Java\jre6\bin\ssv.dll O2 - BHO: Java(tm) Plug-In 2 SSV Helper - {DBC80044-A445-435b-BC74-9C25C1C588A9} - C:\Program Files\Java\jre6\bin\jp2ssv.dll O2 - BHO: JQSIEStartDetectorImpl - {E7E6F031-17CE-4C07-BC86-EABFE594F69C} - C:\Program Files\Java\jre6\lib\deploy\jqs\ie\jqs_plugin.dll O4 - HKLM\..\Run: [IntelAudioStudio] "C:\Program Files\Intel Audio Studio\IntelAudioStudio.exe" BOOT O4 - HKLM\..\Run: [nwiz] nwiz.exe /install O4 - HKLM\..\Run: [SunJavaUpdateSched] "C:\Program Files\Java\jre6\bin\jusched.exe" O4 - HKLM\..\Run: [avast!] C:\PROGRA~1\ALWILS~1\Avast4\ashDisp.exe O4 - HKLM\..\Run: [NeroFilterCheck] C:\WINNT\system32\NeroCheck.exe O4 - HKLM\..\Run: [GrooveMonitor] "C:\Program Files\Microsoft Office\Office12\GrooveMonitor.exe" O4 - HKLM\..\Run: [QuickTime Task] "C:\Program Files\QuickTime\QTTask.exe" -atboottime O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINNT\system32\NvCpl.dll,NvStartup O4 - HKLM\..\Run: [SmcService] C:\PROGRA~1\Sygate\SPF\smc.exe -startgui O4 - HKCU\..\Run: [Gadu-Gadu] "C:\Program Files\Gadu-Gadu\gg.exe" /tray O4 - HKCU\..\Run: [MSMSGS] "C:\Program Files\Messenger\msmsgs.exe" /background O4 - HKCU\..\Run: [ctfmon.exe] C:\WINNT\system32\ctfmon.exe O4 - HKUS\S-1-5-18\..\Run: [CTFMON.EXE] C:\WINNT\system32\CTFMON.EXE (User 'SYSTEM') O4 - HKUS\S-1-5-18\..\Run: [antispy] C:\Documents and Settings\LocalService\kdldldudumumemukjyxnd.exe (User 'SYSTEM') O4 - HKUS\S-1-5-18\..\RunOnce: [nlsf] cmd.exe /C move /Y "%SystemRoot%\System32\syssetub.dll" "%SystemRoot%\System32\syssetup.dll" (User 'SYSTEM') O4 - HKUS\.DEFAULT\..\Run: [CTFMON.EXE] C:\WINNT\system32\CTFMON.EXE (User 'Default user') O4 - HKUS\.DEFAULT\..\RunOnce: [nlsf] cmd.exe /C move /Y "%SystemRoot%\System32\syssetub.dll" "%SystemRoot%\System32\syssetup.dll" (User 'Default user') O4 - Startup: Stickies.lnk = C:\Program Files\stickies\stickies.exe O8 - Extra context menu item: E&ksport do programu Microsoft Excel - res://C:\PROGRA~1\MICROS~1\OFFICE11\EXCEL.EXE/3000 O8 - Extra context menu item: E&ksportuj do programu Microsoft Excel - res://C:\PROGRA~1\MICROS~1\Office12\EXCEL.EXE/3000 O8 - Extra context menu item: E&xport to Microsoft Excel - res://C:\PROGRA~1\MICROS~1\Office10\EXCEL.EXE/3000 O9 - Extra button: Wyślij do programu OneNote - {2670000A-7350-4f3c-8081-5663EE0C6C49} - C:\PROGRA~1\MICROS~1\Office12\ONBttnIE.dll O9 - Extra 'Tools' menuitem: Wyślij &do programu OneNote - {2670000A-7350-4f3c-8081-5663EE0C6C49} - C:\PROGRA~1\MICROS~1\Office12\ONBttnIE.dll O9 - Extra button: Badanie - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - C:\PROGRA~1\MICROS~1\OFFICE11\REFIEBAR.DLL O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe O12 - Plugin for .spop: C:\Program Files\Internet Explorer\Plugins\NPDocBox.dll O16 - DPF: {68282C51-9459-467B-95BF-3C0E89627E55} (MksSkanerOnline Class) - http://www.mks.com.pl/skaner/SkanerOnline.cab O16 - DPF: {D27CDB6E-AE6D-11CF-96B8-444553540000} (Shockwave Flash Object) - https://download.macromedia.com/pub/shockwave/cabs/flash/swflash.cab O18 - Protocol: grooveLocalGWS - {88FED34C-F0CA-4636-A375-3CB6248B04CD} - C:\PROGRA~1\MICROS~1\Office12\GR99D3~1.DLL O18 - Protocol: skype4com - {FFC8B962-9B40-4DFF-9458-1830C7DD7F5D} - C:\PROGRA~1\COMMON~1\Skype\SKYPE4~1.DLL O20 - AppInit_DLLs: C:\WINNT\system32\mmmnxdnx.dll O23 - Service: avast! iAVS4 Control Service (aswUpdSv) - ALWIL Software - C:\Program Files\Alwil Software\Avast4\aswUpdSv.exe O23 - Service: ATK Keyboard Service (ATKKeyboardService) - ASUSTeK COMPUTER INC. - C:\WINNT\ATKKBService.exe O23 - Service: Autodesk Licensing Service - Autodesk - C:\Program Files\Common Files\Autodesk Shared\Service\AdskScSrv.exe O23 - Service: avast! Antivirus - ALWIL Software - C:\Program Files\Alwil Software\Avast4\ashServ.exe O23 - Service: avast! Mail Scanner - ALWIL Software - C:\Program Files\Alwil Software\Avast4\ashMaiSv.exe O23 - Service: avast! Web Scanner - ALWIL Software - C:\Program Files\Alwil Software\Avast4\ashWebSv.exe O23 - Service: Google Updater Service (gusvc) - Google - C:\Program Files\Google\Common\Google Updater\GoogleUpdaterService.exe O23 - Service: Java Quick Starter (JavaQuickStarterService) - Sun Microsystems, Inc. - C:\Program Files\Java\jre6\bin\jqs.exe O23 - Service: NVIDIA Display Driver Service (NVSvc) - NVIDIA Corporation - C:\WINNT\system32\nvsvc32.exe O23 - Service: Sygate Personal Firewall (SmcService) - Sygate Technologies, Inc. - C:\Program Files\Sygate\SPF\smc.exe O23 - Service: SolidWorks Licensing Service - SolidWorks - C:\Program Files\Common Files\SolidWorks Shared\Service\SolidWorksLicensing.exe O23 - Service: CLCV0 (UTSCSI) - Unknown owner - C:\WINNT\system32\UTSCSI.EXE -- End of file - 6965 bytes

oto logi
Pozdrawiam

Dodano Dzisiaj, 07:46:
Hej kolejne problemy
1) avast wiesza system przy uruchamianiu wraz z komunikatem: c:\winnt\system32\drivers\securentm.sys\[Embaded_Ix#19b0] zawiera egzemplarz win32:cutwail [trj]
2)nadal jakis rapid antivirus chce się połaczyc oto komunikat sygate personal firewall: c:\winnt\temp\anvF8.tmp

co mnie zastanawia to to dlaczego tam jest wszędzie winnt zamiast windows?????
Pozdrawiam

**Posty:** 18165 · przez **wojtas** 04 Kwi 2009, 14:21

skasuj w hijacku:

O4 - HKUS\S-1-5-18\..\Run: [antispy] C:\Documents and Settings\LocalService\kdldldudumumemukjyxnd.exe (User 'SYSTEM')
O20 - AppInit_DLLs: C:\WINNT\system32\mmmnxdnx.dll

znasz te foldery ?

2009-04-01 22:04 . 2009-04-01 22:04 <DIR> d-------- c:\documents and settings\Użytkownik\Dane aplikacji\anv46
2009-04-01 21:58 . 2009-04-01 21:58 <DIR> d-------- c:\documents and settings\Użytkownik\Dane aplikacji\anvDF
2009-04-01 21:58 . 2009-04-01 21:58 <DIR> d-------- c:\documents and settings\Użytkownik\Dane aplikacji\anv64

bo widze ze ich troche w systemie jest o roznych nazwach i nie wiem czy dac je na kasację czy co.
Otworz notatnik i wklej w nim to:

File::
c:\documents and settings\LocalService\kdldldudumumemukjyxnd.exe
c:\documents and settings\LocalService\tmevevnvnfnmutsrqgfuk.exe
c:\winnt\system32\mmmhseev.dll
c:\winnt\system32\mmmaifvl.dll
c:\documents and settings\LocalService\mvnfnfwogxphyhyqiarji.exe
c:\winnt\system32\drivers\securentm.sys
c:\winnt\system32\drivers\fips32cup.sys

Registry::
[-HKEY_CURRENT_USER\software\microsoft\windows\currentversion\explorer\mountpoints2\{746cb5e6-fa5a-11db-8384-0019d10e1c42}]

Driver::
securentm
fips32cup

>>Plik>>Zapisz jako... >>> CFScript
Przeciągnij i upuść plik CFScript.txt na plik ComboFix.exe
-->

Ma się rozpocząć usuwanie. (i powstanie log).Daj ten log, który powstanie w trakcie usuwania.

**Posty:** 7 · przez **Galanowo** 05 Kwi 2009, 10:19

Hej
wrzuciłem Twój skrypcik do combofixa

Jesli chodzi o pliki:

2009-04-01 22:04 . 2009-04-01 22:04 <DIR> d-------- c:\documents and settings\Użytkownik\Dane aplikacji\anv46
2009-04-01 21:58 . 2009-04-01 21:58 <DIR> d-------- c:\documents and settings\Użytkownik\Dane aplikacji\anvDF
2009-04-01 21:58 . 2009-04-01 21:58 <DIR> d-------- c:\documents and settings\Użytkownik\Dane aplikacji\anv64

sądzę że to jest jakis malware zwany rapid antivirus-syf który sie zalągł, chce je jak najbardziej skasować!!!!

JAk mam sasowac

O4 - HKUS\S-1-5-18\..\Run: [antispy] C:\Documents and Settings\LocalService\kdldldudumumemukjyxnd.exe (User 'SYSTEM')
O20 - AppInit_DLLs: C:\WINNT\system32\mmmnxdnx.dll

w hijack`u??
Pozdrawiam

Dodano Dzisiaj, 10:20:
a i jeszcze combofix

Kod: Zaznacz wszystko: ComboFix 09-04-01.01 - Użytkownik 2009-04-05 9:43:45.4 - NTFSx86 Microsoft Windows XP Professional 5.1.2600.2.1250.1.1045.18.1006.621 [GMT 2:00] Uruchomiony z: c:\documents and settings\Użytkownik\Pulpit\ComboFix.exe Użyto następujących komend :: c:\documents and settings\Użytkownik\Pulpit\CFScript.txt AV: avast! antivirus 4.8.1335 [VPS 090405-0] *On-access scanning disabled* (Updated) FW: Sygate Personal Firewall *enabled* * Utworzono nowy punkt przywracania FILE :: c:\documents and settings\LocalService\kdldldudumumemukjyxnd.exe c:\documents and settings\LocalService\mvnfnfwogxphyhyqiarji.exe c:\documents and settings\LocalService\tmevevnvnfnmutsrqgfuk.exe c:\winnt\system32\drivers\fips32cup.sys c:\winnt\system32\drivers\securentm.sys c:\winnt\system32\mmmaifvl.dll c:\winnt\system32\mmmhseev.dll . ((((((((((((((((((((((((((((((((((((((( Usunięto ))))))))))))))))))))))))))))))))))))))))))))))))) . c:\documents and settings\All Users\Menu Start\Programy\Rapid Antivirus c:\documents and settings\All Users\Menu Start\Programy\Rapid Antivirus\Purchase License.lnk c:\documents and settings\All Users\Menu Start\Programy\Rapid Antivirus\Start Rapid Antivirus.lnk c:\documents and settings\All Users\Menu Start\Programy\Rapid Antivirus\Support Page.lnk c:\documents and settings\All Users\Menu Start\Programy\Rapid Antivirus\Uninstall.lnk c:\documents and settings\LocalService\Dane aplikacji\Rapid Antivirus c:\documents and settings\LocalService\Dane aplikacji\Rapid Antivirus\Rapid Antivirus.ini c:\documents and settings\LocalService\kdldldudumumemukjyxnd.exe c:\documents and settings\LocalService\mvnfnfwogxphyhyqiarji.exe c:\documents and settings\LocalService\Pulpit\Rapid Antivirus.lnk c:\documents and settings\LocalService\tmevevnvnfnmutsrqgfuk.exe c:\program files\Rapid Antivirus c:\program files\Rapid Antivirus\Buy.url c:\program files\Rapid Antivirus\Help.url c:\program files\Rapid Antivirus\HowToBuy.txt c:\program files\Rapid Antivirus\ID.dat c:\program files\Rapid Antivirus\License.txt c:\program files\Rapid Antivirus\Rapid Antivirus.exe c:\program files\Rapid Antivirus\Uninstall.exe c:\winnt\system32\drivers\securentm.sys c:\winnt\system32\mmmaifvl.dll c:\winnt\system32\mmmhseev.dll . ((((((((((((((((((((((((((((((((((((((( Sterowniki/Usługi ))))))))))))))))))))))))))))))))))))))))))))))))) . -------\Legacy_FIPS32CUP -------\Legacy_SECURENTM -------\Service_fips32cup -------\Service_securentm ((((((((((((((((((((((((( Pliki utworzone od 2009-03-05 do 2009-04-05 ))))))))))))))))))))))))))))))) . 2009-04-05 09:46 . 2009-04-05 09:46 1,087,488 --a------ c:\documents and settings\LocalService\carjrjbskckskjiqpowvu.exe 2009-04-04 09:11 . 2009-04-04 09:11 <DIR> d-------- c:\documents and settings\LocalService\Dane aplikacji\anv55 2009-04-04 09:05 . 2009-04-04 09:05 1,087,488 --a------ c:\documents and settings\LocalService\vogogxphyhyqponmlbapo.exe 2009-04-04 07:41 . 2009-04-04 07:41 <DIR> d-------- c:\documents and settings\LocalService\Dane aplikacji\anvF8 2009-04-04 07:36 . 2009-04-04 07:36 1,087,488 --a------ c:\documents and settings\LocalService\wgxgxgogowfwfnvnfwfnf.exe 2009-04-03 19:30 . 2009-04-03 19:30 <DIR> d-------- c:\winnt\ERUNT 2009-04-03 17:49 . 2009-04-03 17:49 <DIR> d-------- c:\documents and settings\Administrator\Dane aplikacji\Corel 2009-04-03 17:26 . 2009-04-05 09:46 <DIR> d--h----- c:\documents and settings\Administrator\Ustawienia lokalne 2009-04-03 17:26 . 2007-04-13 23:43 <DIR> d-------- c:\documents and settings\Administrator\Ulubione 2009-04-03 17:26 . 2007-04-13 21:54 <DIR> d--h----- c:\documents and settings\Administrator\Szablony 2009-04-03 17:26 . 2007-04-13 23:43 <DIR> d-------- c:\documents and settings\Administrator\Pulpit 2009-04-03 17:26 . 2007-04-13 23:43 <DIR> d-------- c:\documents and settings\Administrator\Moje dokumenty 2009-04-03 17:26 . 2007-04-13 23:43 <DIR> dr------- c:\documents and settings\Administrator\Menu Start 2009-04-03 17:26 . 2009-04-03 17:49 <DIR> dr-h----- c:\documents and settings\Administrator\Dane aplikacji 2009-04-03 17:26 . 2009-04-03 17:26 <DIR> d-------- c:\documents and settings\Administrator 2009-04-01 22:13 . 2009-04-01 22:13 <DIR> d-------- c:\winnt\system32\xircom 2009-04-01 22:13 . 2009-04-01 22:13 <DIR> d-------- c:\program files\microsoft frontpage 2009-04-01 22:04 . 2009-04-01 22:04 <DIR> d-------- c:\documents and settings\Użytkownik\Dane aplikacji\anv46 2009-04-01 21:58 . 2009-04-01 21:58 <DIR> d-------- c:\documents and settings\Użytkownik\Dane aplikacji\anvDF 2009-04-01 21:58 . 2009-04-01 21:58 <DIR> d-------- c:\documents and settings\Użytkownik\Dane aplikacji\anv64 2009-04-01 21:43 . 2009-04-01 22:36 <DIR> d-a------ c:\documents and settings\All Users\Dane aplikacji\TEMP 2009-04-01 20:49 . 2009-04-03 17:18 <DIR> d-------- c:\program files\Unlocker 2009-04-01 20:49 . 2009-04-01 20:49 <DIR> d-------- c:\documents and settings\Użytkownik\Dane aplikacji\Desktopicon 2009-04-01 18:31 . 2009-04-01 18:31 <DIR> d-------- c:\program files\Sygate 2009-04-01 18:31 . 2004-10-15 18:32 83,096 --a------ c:\winnt\system32\SSSensor.dll 2009-04-01 18:31 . 2004-10-15 18:17 60,496 --a------ c:\winnt\system32\drivers\Teefer.sys 2009-04-01 18:31 . 2004-10-15 18:18 21,075 --a------ c:\winnt\system32\drivers\wpsdrvnt.sys 2009-04-01 18:31 . 2004-10-15 18:32 14,568 --a------ c:\winnt\system32\drivers\wg6n.sys 2009-04-01 18:31 . 2004-10-15 18:32 14,568 --a------ c:\winnt\system32\drivers\wg5n.sys 2009-04-01 18:31 . 2004-10-15 18:32 14,568 --a------ c:\winnt\system32\drivers\wg4n.sys 2009-04-01 18:31 . 2004-10-15 18:32 14,568 --a------ c:\winnt\system32\drivers\wg3n.sys 2009-03-31 22:10 . 2009-03-31 22:10 <DIR> d-------- c:\documents and settings\Użytkownik\Dane aplikacji\Malwarebytes 2009-03-31 22:10 . 2009-03-31 22:10 <DIR> d-------- c:\documents and settings\Użytkownik\Dane aplikacji\anv72 2009-03-31 22:10 . 2009-03-31 22:10 <DIR> d-------- c:\documents and settings\Użytkownik\Dane aplikacji\anv21 2009-03-31 22:09 . 2009-03-31 22:09 <DIR> d-------- c:\documents and settings\All Users\Dane aplikacji\Malwarebytes 2009-03-31 22:08 . 2009-03-31 22:08 <DIR> d-------- c:\program files\7-Zip 2009-03-31 22:03 . 2009-03-31 22:03 <DIR> d-------- c:\documents and settings\Użytkownik\Dane aplikacji\anvF6 2009-03-31 21:53 . 2009-03-31 21:53 <DIR> d-------- c:\documents and settings\Użytkownik\Dane aplikacji\anvF8 2009-03-31 19:45 . 2009-03-31 19:45 <DIR> d-------- c:\documents and settings\Użytkownik\Dane aplikacji\anv89 2009-03-31 19:31 . 2009-03-31 19:31 <DIR> d-------- c:\documents and settings\Użytkownik\Dane aplikacji\anvEF 2009-03-31 19:00 . 2009-03-31 21:28 <DIR> d-------- c:\program files\Lavasoft 2009-03-31 19:00 . 2009-03-31 21:28 <DIR> d-------- c:\documents and settings\All Users\Dane aplikacji\Lavasoft 2009-03-31 18:46 . 2009-03-31 18:46 <DIR> d-------- c:\documents and settings\Użytkownik\Dane aplikacji\anv7D 2009-03-31 18:38 . 2009-03-31 18:38 <DIR> d-------- c:\program files\SkanerOnline 2009-03-31 18:36 . 2009-03-31 18:36 <DIR> d-------- c:\documents and settings\Użytkownik\Dane aplikacji\anv29 2009-03-31 18:27 . 2009-03-31 18:27 <DIR> d-------- c:\documents and settings\Użytkownik\Dane aplikacji\anv7B 2009-03-31 18:27 . 2009-03-31 18:27 <DIR> d-------- c:\documents and settings\LocalService\Dane aplikacji\anv2B . (((((((((((((((((((((((((((((((((((((((( Sekcja Find3M )))))))))))))))))))))))))))))))))))))))))))))))))))) . 2009-04-04 07:45 --------- d-----w c:\documents and settings\Użytkownik\Dane aplikacji\uTorrent 2009-04-03 15:18 --------- d--h--w c:\program files\InstallShield Installation Information 2009-03-31 19:46 --------- d-----w c:\program files\GustoSoft 2009-03-29 16:02 --------- d-----w c:\program files\Norton Security Scan 2009-03-26 21:03 --------- d-----w c:\documents and settings\Użytkownik\Dane aplikacji\OpenOffice.org2 2009-03-17 16:58 --------- d-----w c:\documents and settings\Użytkownik\Dane aplikacji\U3 2009-03-15 06:28 --------- d-----w c:\program files\OpenOffice.org 2.2 2009-03-03 16:37 --------- d-----w c:\program files\eMule 2009-02-15 18:24 --------- d--h--r c:\documents and settings\Użytkownik\Dane aplikacji\SecuROM 2009-02-15 18:14 --------- d-----w c:\program files\Atari 2009-02-15 18:14 --------- d-----w c:\documents and settings\Użytkownik\Dane aplikacji\gnupg 2009-02-10 19:23 --------- d-----w c:\program files\G DATA Software 2009-02-10 18:59 --------- d-----w c:\program files\IrfanView 2009-02-10 18:56 --------- d-----w c:\documents and settings\Użytkownik\Dane aplikacji\FastStone 2009-02-10 18:17 --------- d-----w c:\documents and settings\Użytkownik\Dane aplikacji\XnView 2009-02-05 18:03 --------- d-----w c:\program files\Gadu-Gadu 2008-01-21 22:56 56 --sh--r c:\winnt\system32\[u]0[/u]C1A6FC3DA.sys 2008-08-23 11:38 1,682 --sha-w c:\winnt\system32\KGyGaAvL.sys . ((((((((((((((((((((((((((((((((((((( Wpisy startowe rejestru )))))))))))))))))))))))))))))))))))))))))))))))))) . . *Uwaga* puste wpisy oraz domyślne, prawidłowe wpisy nie są pokazane REGEDIT4 [HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] "Gadu-Gadu"="c:\program files\Gadu-Gadu\gg.exe" [2008-01-30 2113536] "MSMSGS"="c:\program files\Messenger\msmsgs.exe" [2004-08-04 1694208] "ctfmon.exe"="c:\winnt\system32\ctfmon.exe" [2004-08-04 15360] [HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] "IntelAudioStudio"="c:\program files\Intel Audio Studio\IntelAudioStudio.exe" [2006-06-07 9129984] "SunJavaUpdateSched"="c:\program files\Java\jre6\bin\jusched.exe" [2008-12-09 136600] "avast!"="c:\progra~1\ALWILS~1\Avast4\ashDisp.exe" [2009-02-05 81000] "NeroFilterCheck"="c:\winnt\system32\NeroCheck.exe" [2006-01-12 155648] "GrooveMonitor"="c:\program files\Microsoft Office\Office12\GrooveMonitor.exe" [2006-10-27 31016] "QuickTime Task"="c:\program files\QuickTime\QTTask.exe" [2009-01-05 413696] "NvCplDaemon"="c:\winnt\system32\NvCpl.dll" [2006-03-09 7561216] "SmcService"="c:\progra~1\Sygate\SPF\smc.exe" [2004-10-15 2577632] "nwiz"="nwiz.exe" [2006-03-09 c:\winnt\system32\nwiz.exe] [HKEY_USERS\.DEFAULT\Software\Microsoft\Windows\CurrentVersion\Run] "CTFMON.EXE"="c:\winnt\system32\CTFMON.EXE" [2004-08-04 15360] "antispy"="c:\documents and settings\LocalService\carjrjbskckskjiqpowvu.exe" [2009-04-05 1087488] [HKEY_USERS\.DEFAULT\Software\Microsoft\Windows\CurrentVersion\RunOnce] "nlsf"="move" [X] "tscuninstall"="c:\winnt\system32\tscupgrd.exe" [2004-08-04 44544] c:\documents and settings\Uľytkownik\Menu Start\Programy\Autostart\ Stickies.lnk - c:\program files\stickies\stickies.exe [2005-05-29 348160] [HKEY_LOCAL_MACHINE\software\microsoft\windows nt\currentversion\windows] "AppInit_DLLs"=c:\winnt\system32\mmmnxdnx.dll [HKEY_LOCAL_MACHINE\software\microsoft\security center] "AntiVirusOverride"=dword:00000001 [HKLM\~\services\sharedaccess\parameters\firewallpolicy\standardprofile\AuthorizedApplications\List] "%windir%\\system32\\sessmgr.exe"= "c:\\Program Files\\eMule\\emule.exe"= "c:\\Program Files\\Gadu-Gadu\\gg.exe"= "c:\\Program Files\\uTorrent\\utorrent.exe"= "c:\\Program Files\\Messenger\\msmsgs.exe"= "c:\\Program Files\\stickies\\stickies.exe"= "c:\\Program Files\\Java\\jre6\\bin\\jusched.exe"= "c:\\Program Files\\Microsoft Office\\Office12\\GrooveMonitor.exe"= "c:\\WINNT\\system32\\userinit.exe"= R0 AFPAnsi;G-DATA Ukrywacz Ansi;c:\winnt\system32\drivers\AFPAnsi.sys [2009-02-10 43904] R1 aswSP;avast! Self Protection;c:\winnt\system32\drivers\aswSP.sys [2008-04-26 114768] R2 aswFsBlk;aswFsBlk;c:\winnt\system32\drivers\aswFsBlk.sys [2008-04-26 20560] R2 port_nt;port_nt;c:\winnt\system32\drivers\port_nt.sys [2008-10-08 3608] S0 FO_PAnt;FotoOffice VirtualDisc Driver;c:\winnt\system32\Drivers\FO_PAnt.sys --> c:\winnt\system32\Drivers\FO_PAnt.sys [?] [HKEY_CURRENT_USER\software\microsoft\windows\currentversion\explorer\mountpoints2\G] \Shell\AutoRun\command - G:\LaunchU3.exe -a [HKEY_CURRENT_USER\software\microsoft\windows\currentversion\explorer\mountpoints2\{9da28063-79fc-11dd-89b1-0019d10e1c42}] \Shell\AutoRun\command - G:\LaunchU3.exe -a . Zawartość folderu 'Zaplanowane zadania' 2009-03-31 c:\winnt\Tasks\Ad-Aware Update (Weekly).job - c:\program files\Lavasoft\Ad-Aware\Ad-AwareAdmin.exe [] 2009-04-01 c:\winnt\Tasks\Uniblue SpeedUpMyPC Nag.job - c:\program files\Uniblue\SpeedUpMyPC 3\SpeedUpMyPC.exe [] 2008-06-05 c:\winnt\Tasks\Uniblue SpeedUpMyPC.job - c:\program files\Uniblue\SpeedUpMyPC 3\SpeedUpMyPC.exe [] 2008-06-06 c:\winnt\Tasks\Uniblue SpyEraser.job - c:\program files\Uniblue\SpyEraser\SpyEraser.exe [] . . ------- Skan uzupełniający ------- . uStart Page = hxxp://www.google.pl/ uDefault_Search_URL = hxxp://www.google.com/ie uInternet Connection Wizard,ShellNext = hxxp://go.divx.com/divx/divx6/new/en uSearchURL,(Default) = hxxp://www.google.com/search?q=%s IE: E&ksport do programu Microsoft Excel - c:\progra~1\MICROS~1\OFFICE11\EXCEL.EXE/3000 IE: E&ksportuj do programu Microsoft Excel - c:\progra~1\MICROS~1\Office12\EXCEL.EXE/3000 IE: E&xport to Microsoft Excel - c:\progra~1\MICROS~1\Office10\EXCEL.EXE/3000 DPF: {68282C51-9459-467B-95BF-3C0E89627E55} - hxxp://www.mks.com.pl/skaner/SkanerOnline.cab . ************************************************************************** catchme 0.3.1375 W2K/XP/Vista - rootkit/stealth malware detector by Gmer, http://www.gmer.net Rootkit scan 2009-04-05 09:55:56 Windows 5.1.2600 Dodatek Service Pack 2 NTFS skanowanie ukrytych procesów ... skanowanie ukrytych wpisów autostartu ... skanowanie ukrytych plików ... skanowanie pomyślnie ukończone ukryte pliki: 0 ************************************************************************** [HKEY_LOCAL_MACHINE\System\ControlSet001\Services\vsdatant] "ImagePath"="" . --------------------- ZABLOKOWANE KLUCZE REJESTRU --------------------- [HKEY_USERS\S-1-5-21-2025429265-1343024091-839522115-1003\Software\SecuROM\License information*] "datasecu"=hex:b6,61,b2,96,d2,73,1a,25,04,08,1e,b9,55,5f,d5,93,17,7f,92,7e,86, 34,1a,03,7d,92,e5,7a,64,2b,23,78,7f,aa,1b,32,5c,37,4a,36,09,56,c2,08,08,16,\ "rkeysecu"=hex:1b,b5,52,6d,b9,b0,2c,c1,55,51,23,8c,25,8e,a7,8c . ------------------------ Pozostałe uruchomione procesy ------------------------ . c:\program files\Sygate\SPF\Smc.exe c:\program files\Alwil Software\Avast4\aswUpdSv.exe c:\program files\Alwil Software\Avast4\ashServ.exe c:\winnt\ATKKBService.exe c:\program files\Java\jre6\bin\jqs.exe c:\winnt\system32\nvsvc32.exe c:\winnt\system32\UTSCSI.EXE c:\winnt\system32\rundll32.exe c:\winnt\system32\wscntfy.exe . ************************************************************************** . Czas ukończenia: 2009-04-05 10:01:27 - komputer został uruchomiony ponownie ComboFix-quarantined-files.txt 2009-04-05 08:01:25 Przed: 52 502 904 832 bajtów wolnych Po: 52,489,170,944 bajtów wolnych 228

**Posty:** 18165 · przez **wojtas** 05 Kwi 2009, 10:38

tu masz napisane jak usunąć:
hijackthis-silent-runners-regulamin-tego-dzialu-vt9452.html

Otworz notatnik i wklej w nim to:

File::
c:\documents and settings\LocalService\carjrjbskckskjiqpowvu.exe
c:\documents and settings\LocalService\vogogxphyhyqponmlbapo.exe
c:\documents and settings\LocalService\wgxgxgogowfwfnvnfwfnf.exe

Folder::
c:\documents and settings\LocalService\Dane aplikacji\anv55
c:\documents and settings\LocalService\Dane aplikacji\anvF8
c:\documents and settings\Użytkownik\Dane aplikacji\anv46
c:\documents and settings\Użytkownik\Dane aplikacji\anvDF
c:\documents and settings\Użytkownik\Dane aplikacji\anv64
c:\documents and settings\Użytkownik\Dane aplikacji\anv72
c:\documents and settings\Użytkownik\Dane aplikacji\anv21
c:\documents and settings\Użytkownik\Dane aplikacji\anvF6
c:\documents and settings\Użytkownik\Dane aplikacji\anvF8
c:\documents and settings\Użytkownik\Dane aplikacji\anv89
c:\documents and settings\Użytkownik\Dane aplikacji\anvEF
c:\documents and settings\Użytkownik\Dane aplikacji\anv7D
c:\documents and settings\Użytkownik\Dane aplikacji\anv29
c:\documents and settings\Użytkownik\Dane aplikacji\anv7B
c:\documents and settings\LocalService\Dane aplikacji\anv2B

>>Plik>>Zapisz jako... >>> CFScript
Przeciągnij i upuść plik CFScript.txt na plik ComboFix.exe
-->

Ma się rozpocząć usuwanie. (i powstanie log).Daj ten log, który powstanie w trakcie usuwania.

Wylecz pendriva lub kartę pamięci

**Posty:** 7 · przez **Galanowo** 05 Kwi 2009, 14:34

Hej daje loga z combofixa:

Kod: Zaznacz wszystko: ComboFix 09-04-01.01 - Użytkownik 2009-04-05 14:25:53.6 - NTFSx86 Microsoft Windows XP Professional 5.1.2600.2.1250.1.1045.18.1006.589 [GMT 2:00] Uruchomiony z: c:\documents and settings\Użytkownik\Pulpit\ComboFix.exe Użyto następujących komend :: c:\documents and settings\Użytkownik\Pulpit\CFScript.txt AV: avast! antivirus 4.8.1335 [VPS 090405-0] *On-access scanning disabled* (Updated) FW: Sygate Personal Firewall *enabled* * Utworzono nowy punkt przywracania FILE :: c:\documents and settings\LocalService\kdldldudumumemukjyxnd.exe c:\documents and settings\LocalService\mvnfnfwogxphyhyqiarji.exe c:\documents and settings\LocalService\tmevevnvnfnmutsrqgfuk.exe c:\winnt\system32\drivers\fips32cup.sys c:\winnt\system32\drivers\securentm.sys c:\winnt\system32\mmmaifvl.dll c:\winnt\system32\mmmhseev.dll . ((((((((((((((((((((((((( Pliki utworzone od 2009-03-05 do 2009-04-05 ))))))))))))))))))))))))))))))) . 2009-04-05 09:46 . 2009-04-05 09:46 1,087,488 --a------ c:\documents and settings\LocalService\carjrjbskckskjiqpowvu.exe 2009-04-04 09:11 . 2009-04-04 09:11 <DIR> d-------- c:\documents and settings\LocalService\Dane aplikacji\anv55 2009-04-04 09:05 . 2009-04-04 09:05 1,087,488 --a------ c:\documents and settings\LocalService\vogogxphyhyqponmlbapo.exe 2009-04-04 07:41 . 2009-04-04 07:41 <DIR> d-------- c:\documents and settings\LocalService\Dane aplikacji\anvF8 2009-04-04 07:36 . 2009-04-04 07:36 1,087,488 --a------ c:\documents and settings\LocalService\wgxgxgogowfwfnvnfwfnf.exe 2009-04-03 19:30 . 2009-04-03 19:30 <DIR> d-------- c:\winnt\ERUNT 2009-04-03 17:49 . 2009-04-03 17:49 <DIR> d-------- c:\documents and settings\Administrator\Dane aplikacji\Corel 2009-04-03 17:26 . 2009-04-05 14:26 <DIR> d--h----- c:\documents and settings\Administrator\Ustawienia lokalne 2009-04-03 17:26 . 2007-04-13 23:43 <DIR> d-------- c:\documents and settings\Administrator\Ulubione 2009-04-03 17:26 . 2007-04-13 21:54 <DIR> d--h----- c:\documents and settings\Administrator\Szablony 2009-04-03 17:26 . 2007-04-13 23:43 <DIR> d-------- c:\documents and settings\Administrator\Pulpit 2009-04-03 17:26 . 2007-04-13 23:43 <DIR> d-------- c:\documents and settings\Administrator\Moje dokumenty 2009-04-03 17:26 . 2007-04-13 23:43 <DIR> dr------- c:\documents and settings\Administrator\Menu Start 2009-04-03 17:26 . 2009-04-03 17:49 <DIR> dr-h----- c:\documents and settings\Administrator\Dane aplikacji 2009-04-03 17:26 . 2009-04-03 17:26 <DIR> d-------- c:\documents and settings\Administrator 2009-04-01 22:13 . 2009-04-01 22:13 <DIR> d-------- c:\winnt\system32\xircom 2009-04-01 22:13 . 2009-04-01 22:13 <DIR> d-------- c:\program files\microsoft frontpage 2009-04-01 22:04 . 2009-04-01 22:04 <DIR> d-------- c:\documents and settings\Użytkownik\Dane aplikacji\anv46 2009-04-01 21:58 . 2009-04-01 21:58 <DIR> d-------- c:\documents and settings\Użytkownik\Dane aplikacji\anvDF 2009-04-01 21:58 . 2009-04-01 21:58 <DIR> d-------- c:\documents and settings\Użytkownik\Dane aplikacji\anv64 2009-04-01 21:43 . 2009-04-01 22:36 <DIR> d-a------ c:\documents and settings\All Users\Dane aplikacji\TEMP 2009-04-01 20:49 . 2009-04-03 17:18 <DIR> d-------- c:\program files\Unlocker 2009-04-01 20:49 . 2009-04-01 20:49 <DIR> d-------- c:\documents and settings\Użytkownik\Dane aplikacji\Desktopicon 2009-04-01 18:31 . 2009-04-01 18:31 <DIR> d-------- c:\program files\Sygate 2009-04-01 18:31 . 2004-10-15 18:32 83,096 --a------ c:\winnt\system32\SSSensor.dll 2009-04-01 18:31 . 2004-10-15 18:17 60,496 --a------ c:\winnt\system32\drivers\Teefer.sys 2009-04-01 18:31 . 2004-10-15 18:18 21,075 --a------ c:\winnt\system32\drivers\wpsdrvnt.sys 2009-04-01 18:31 . 2004-10-15 18:32 14,568 --a------ c:\winnt\system32\drivers\wg6n.sys 2009-04-01 18:31 . 2004-10-15 18:32 14,568 --a------ c:\winnt\system32\drivers\wg5n.sys 2009-04-01 18:31 . 2004-10-15 18:32 14,568 --a------ c:\winnt\system32\drivers\wg4n.sys 2009-04-01 18:31 . 2004-10-15 18:32 14,568 --a------ c:\winnt\system32\drivers\wg3n.sys 2009-03-31 22:10 . 2009-03-31 22:10 <DIR> d-------- c:\documents and settings\Użytkownik\Dane aplikacji\Malwarebytes 2009-03-31 22:10 . 2009-03-31 22:10 <DIR> d-------- c:\documents and settings\Użytkownik\Dane aplikacji\anv72 2009-03-31 22:10 . 2009-03-31 22:10 <DIR> d-------- c:\documents and settings\Użytkownik\Dane aplikacji\anv21 2009-03-31 22:09 . 2009-03-31 22:09 <DIR> d-------- c:\documents and settings\All Users\Dane aplikacji\Malwarebytes 2009-03-31 22:08 . 2009-03-31 22:08 <DIR> d-------- c:\program files\7-Zip 2009-03-31 22:03 . 2009-03-31 22:03 <DIR> d-------- c:\documents and settings\Użytkownik\Dane aplikacji\anvF6 2009-03-31 21:53 . 2009-03-31 21:53 <DIR> d-------- c:\documents and settings\Użytkownik\Dane aplikacji\anvF8 2009-03-31 19:45 . 2009-03-31 19:45 <DIR> d-------- c:\documents and settings\Użytkownik\Dane aplikacji\anv89 2009-03-31 19:31 . 2009-03-31 19:31 <DIR> d-------- c:\documents and settings\Użytkownik\Dane aplikacji\anvEF 2009-03-31 19:00 . 2009-03-31 21:28 <DIR> d-------- c:\program files\Lavasoft 2009-03-31 19:00 . 2009-03-31 21:28 <DIR> d-------- c:\documents and settings\All Users\Dane aplikacji\Lavasoft 2009-03-31 18:46 . 2009-03-31 18:46 <DIR> d-------- c:\documents and settings\Użytkownik\Dane aplikacji\anv7D 2009-03-31 18:38 . 2009-03-31 18:38 <DIR> d-------- c:\program files\SkanerOnline 2009-03-31 18:36 . 2009-03-31 18:36 <DIR> d-------- c:\documents and settings\Użytkownik\Dane aplikacji\anv29 2009-03-31 18:27 . 2009-03-31 18:27 <DIR> d-------- c:\documents and settings\Użytkownik\Dane aplikacji\anv7B 2009-03-31 18:27 . 2009-03-31 18:27 <DIR> d-------- c:\documents and settings\LocalService\Dane aplikacji\anv2B . (((((((((((((((((((((((((((((((((((((((( Sekcja Find3M )))))))))))))))))))))))))))))))))))))))))))))))))))) . 2009-04-05 12:09 --------- d-----w c:\documents and settings\Użytkownik\Dane aplikacji\uTorrent 2009-04-03 15:18 --------- d--h--w c:\program files\InstallShield Installation Information 2009-03-31 19:46 --------- d-----w c:\program files\GustoSoft 2009-03-29 16:02 --------- d-----w c:\program files\Norton Security Scan 2009-03-26 21:03 --------- d-----w c:\documents and settings\Użytkownik\Dane aplikacji\OpenOffice.org2 2009-03-17 16:58 --------- d-----w c:\documents and settings\Użytkownik\Dane aplikacji\U3 2009-03-15 06:28 --------- d-----w c:\program files\OpenOffice.org 2.2 2009-03-03 16:37 --------- d-----w c:\program files\eMule 2009-02-15 18:24 107,888 ----a-w c:\winnt\system32\CmdLineExt.dll 2009-02-15 18:24 --------- d--h--r c:\documents and settings\Użytkownik\Dane aplikacji\SecuROM 2009-02-15 18:14 --------- d-----w c:\program files\Atari 2009-02-15 18:14 --------- d-----w c:\documents and settings\Użytkownik\Dane aplikacji\gnupg 2009-02-10 19:23 --------- d-----w c:\program files\G DATA Software 2009-02-10 18:59 --------- d-----w c:\program files\IrfanView 2009-02-10 18:56 --------- d-----w c:\documents and settings\Użytkownik\Dane aplikacji\FastStone 2009-02-10 18:17 --------- d-----w c:\documents and settings\Użytkownik\Dane aplikacji\XnView 2009-02-05 18:03 --------- d-----w c:\program files\Gadu-Gadu 2009-01-21 15:11 473,600 ----a-w c:\winnt\system32\SkanerOnline.dll 2008-01-21 22:56 56 --sh--r c:\winnt\system32\[u]0[/u]C1A6FC3DA.sys 2008-08-23 11:38 1,682 --sha-w c:\winnt\system32\KGyGaAvL.sys . ((((((((((((((((((((((((((((((((((((( Wpisy startowe rejestru )))))))))))))))))))))))))))))))))))))))))))))))))) . . *Uwaga* puste wpisy oraz domyślne, prawidłowe wpisy nie są pokazane REGEDIT4 [HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] "Gadu-Gadu"="c:\program files\Gadu-Gadu\gg.exe" [2008-01-30 2113536] "MSMSGS"="c:\program files\Messenger\msmsgs.exe" [2004-08-04 1694208] "ctfmon.exe"="c:\winnt\system32\ctfmon.exe" [2004-08-04 15360] [HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] "IntelAudioStudio"="c:\program files\Intel Audio Studio\IntelAudioStudio.exe" [2006-06-07 9129984] "SunJavaUpdateSched"="c:\program files\Java\jre6\bin\jusched.exe" [2008-12-09 136600] "avast!"="c:\progra~1\ALWILS~1\Avast4\ashDisp.exe" [2009-02-05 81000] "NeroFilterCheck"="c:\winnt\system32\NeroCheck.exe" [2006-01-12 155648] "GrooveMonitor"="c:\program files\Microsoft Office\Office12\GrooveMonitor.exe" [2006-10-27 31016] "QuickTime Task"="c:\program files\QuickTime\QTTask.exe" [2009-01-05 413696] "NvCplDaemon"="c:\winnt\system32\NvCpl.dll" [2006-03-09 7561216] "SmcService"="c:\progra~1\Sygate\SPF\smc.exe" [2004-10-15 2577632] "nwiz"="nwiz.exe" [2006-03-09 c:\winnt\system32\nwiz.exe] [HKEY_USERS\.DEFAULT\Software\Microsoft\Windows\CurrentVersion\Run] "CTFMON.EXE"="c:\winnt\system32\CTFMON.EXE" [2004-08-04 15360] "antispy"="c:\documents and settings\LocalService\carjrjbskckskjiqpowvu.exe" [2009-04-05 1087488] [HKEY_USERS\.DEFAULT\Software\Microsoft\Windows\CurrentVersion\RunOnce] "nlsf"="move" [X] "tscuninstall"="c:\winnt\system32\tscupgrd.exe" [2004-08-04 44544] c:\documents and settings\Uľytkownik\Menu Start\Programy\Autostart\ Stickies.lnk - c:\program files\stickies\stickies.exe [2005-05-29 348160] [HKEY_LOCAL_MACHINE\software\microsoft\windows nt\currentversion\windows] "AppInit_DLLs"=c:\winnt\system32\mmmnxdnx.dll [HKEY_LOCAL_MACHINE\software\microsoft\security center] "AntiVirusOverride"=dword:00000001 [HKLM\~\services\sharedaccess\parameters\firewallpolicy\standardprofile\AuthorizedApplications\List] "%windir%\\system32\\sessmgr.exe"= "c:\\Program Files\\eMule\\emule.exe"= "c:\\Program Files\\Gadu-Gadu\\gg.exe"= "c:\\Program Files\\uTorrent\\utorrent.exe"= "c:\\Program Files\\Messenger\\msmsgs.exe"= "c:\\Program Files\\stickies\\stickies.exe"= "c:\\Program Files\\Java\\jre6\\bin\\jusched.exe"= "c:\\Program Files\\Microsoft Office\\Office12\\GrooveMonitor.exe"= "c:\\WINNT\\system32\\userinit.exe"= R0 AFPAnsi;G-DATA Ukrywacz Ansi;c:\winnt\system32\drivers\AFPAnsi.sys [2009-02-10 43904] R1 aswSP;avast! Self Protection;c:\winnt\system32\drivers\aswSP.sys [2008-04-26 114768] R2 aswFsBlk;aswFsBlk;c:\winnt\system32\drivers\aswFsBlk.sys [2008-04-26 20560] R2 port_nt;port_nt;c:\winnt\system32\drivers\port_nt.sys [2008-10-08 3608] S0 FO_PAnt;FotoOffice VirtualDisc Driver;c:\winnt\system32\Drivers\FO_PAnt.sys --> c:\winnt\system32\Drivers\FO_PAnt.sys [?] [HKEY_CURRENT_USER\software\microsoft\windows\currentversion\explorer\mountpoints2\G] \Shell\AutoRun\command - G:\LaunchU3.exe -a [HKEY_CURRENT_USER\software\microsoft\windows\currentversion\explorer\mountpoints2\{9da28063-79fc-11dd-89b1-0019d10e1c42}] \Shell\AutoRun\command - G:\LaunchU3.exe -a . Zawartość folderu 'Zaplanowane zadania' 2009-03-31 c:\winnt\Tasks\Ad-Aware Update (Weekly).job - c:\program files\Lavasoft\Ad-Aware\Ad-AwareAdmin.exe [] 2009-04-01 c:\winnt\Tasks\Uniblue SpeedUpMyPC Nag.job - c:\program files\Uniblue\SpeedUpMyPC 3\SpeedUpMyPC.exe [] 2008-06-05 c:\winnt\Tasks\Uniblue SpeedUpMyPC.job - c:\program files\Uniblue\SpeedUpMyPC 3\SpeedUpMyPC.exe [] 2008-06-06 c:\winnt\Tasks\Uniblue SpyEraser.job - c:\program files\Uniblue\SpyEraser\SpyEraser.exe [] . . ------- Skan uzupełniający ------- . uStart Page = hxxp://www.google.pl/ uDefault_Search_URL = hxxp://www.google.com/ie uInternet Connection Wizard,ShellNext = hxxp://go.divx.com/divx/divx6/new/en uSearchURL,(Default) = hxxp://www.google.com/search?q=%s IE: E&ksport do programu Microsoft Excel - c:\progra~1\MICROS~1\OFFICE11\EXCEL.EXE/3000 IE: E&ksportuj do programu Microsoft Excel - c:\progra~1\MICROS~1\Office12\EXCEL.EXE/3000 IE: E&xport to Microsoft Excel - c:\progra~1\MICROS~1\Office10\EXCEL.EXE/3000 DPF: {68282C51-9459-467B-95BF-3C0E89627E55} - hxxp://www.mks.com.pl/skaner/SkanerOnline.cab . ************************************************************************** catchme 0.3.1375 W2K/XP/Vista - rootkit/stealth malware detector by Gmer, http://www.gmer.net Rootkit scan 2009-04-05 14:26:40 Windows 5.1.2600 Dodatek Service Pack 2 NTFS skanowanie ukrytych procesów ... skanowanie ukrytych wpisów autostartu ... skanowanie ukrytych plików ... skanowanie pomyślnie ukończone ukryte pliki: 0 ************************************************************************** [HKEY_LOCAL_MACHINE\System\ControlSet001\Services\vsdatant] "ImagePath"="" . --------------------- ZABLOKOWANE KLUCZE REJESTRU --------------------- [HKEY_USERS\S-1-5-21-2025429265-1343024091-839522115-1003\Software\SecuROM\License information*] "datasecu"=hex:b6,61,b2,96,d2,73,1a,25,04,08,1e,b9,55,5f,d5,93,17,7f,92,7e,86, 34,1a,03,7d,92,e5,7a,64,2b,23,78,7f,aa,1b,32,5c,37,4a,36,09,56,c2,08,08,16,\ "rkeysecu"=hex:1b,b5,52,6d,b9,b0,2c,c1,55,51,23,8c,25,8e,a7,8c . Czas ukończenia: 2009-04-05 14:28:12 ComboFix-quarantined-files.txt 2009-04-05 12:27:58 Przed: 50 746 736 640 bajtów wolnych Po: 50,737,008,640 bajtów wolnych 185

Podziałałem równiez hijackiem ale nie znalazłem juz tego

O4 - HKUS\S-1-5-18\..\Run: [antispy] C:\Documents and Settings\LocalService\kdldldudumumemukjyxnd.exe (User 'SYSTEM')
O20 - AppInit_DLLs: C:\WINNT\system32\mmmnxdnx.dll

usunałem za to inny proces cos w stylu

vogogxphyhyqponmlbapo.exe

Dzięki i Pozdrawiam

Co masz na mysli piszac wylecz pendrive, czy mogę równiez combofixem skanowac pendriva?, oczywiście po wczesniejszym umieszczeniu pana w gniazdo usb

**Posty:** 8001 · przez **Okocza** 05 Kwi 2009, 14:51

Galanowo,

Galanowo napisał(a):Co masz na mysli piszac wylecz pendrive, czy mogę równiez combofixem skanowac pendriva?, oczywiście po wczesniejszym umieszczeniu pana w gniazdo usb

znaczy że musisz go sformatować

**Posty:** 18165 · przez **wojtas** 05 Kwi 2009, 19:56

Wykonaj to co jest podane w tym temacie

Otworz notatnik i wklej w nim to:

File::
c:\documents and settings\LocalService\carjrjbskckskjiqpowvu.exe
c:\documents and settings\LocalService\wgxgxgogowfwfnvnfwfnf.exe
c:\documents and settings\LocalService\vogogxphyhyqponmlbapo.exe

Folder::
c:\documents and settings\LocalService\Dane aplikacji\anv55
c:\documents and settings\LocalService\Dane aplikacji\anvF8
c:\documents and settings\Użytkownik\Dane aplikacji\anv46
c:\documents and settings\Użytkownik\Dane aplikacji\anvDF
c:\documents and settings\Użytkownik\Dane aplikacji\anv64
c:\documents and settings\Użytkownik\Dane aplikacji\anv72
c:\documents and settings\Użytkownik\Dane aplikacji\anv21
c:\documents and settings\Użytkownik\Dane aplikacji\anvF6
c:\documents and settings\Użytkownik\Dane aplikacji\anvF8
c:\documents and settings\Użytkownik\Dane aplikacji\anv89
c:\documents and settings\Użytkownik\Dane aplikacji\anvEF
c:\documents and settings\Użytkownik\Dane aplikacji\anv7D
c:\documents and settings\Użytkownik\Dane aplikacji\anv29
c:\documents and settings\Użytkownik\Dane aplikacji\anv7B
c:\documents and settings\LocalService\Dane aplikacji\anv2B

>>Plik>>Zapisz jako... >>> CFScript
Przeciągnij i upuść plik CFScript.txt na plik ComboFix.exe
-->

Ma się rozpocząć usuwanie. (i powstanie log).Daj ten log, który powstanie w trakcie usuwania.

**Posty:** 7 · przez **Galanowo** 05 Kwi 2009, 22:16

hej oto log,

Kod: Zaznacz wszystko: ComboFix 09-04-01.01 - Użytkownik 2009-04-05 21:59:40.7 - NTFSx86 Microsoft Windows XP Professional 5.1.2600.2.1250.1.1045.18.1006.647 [GMT 2:00] Uruchomiony z: c:\documents and settings\Użytkownik\Pulpit\ComboFix.exe Użyto następujących komend :: c:\documents and settings\Użytkownik\Pulpit\CFScript.txt AV: avast! antivirus 4.8.1335 [VPS 090405-1] *On-access scanning disabled* (Updated) FW: Sygate Personal Firewall *enabled* * Utworzono nowy punkt przywracania FILE :: c:\documents and settings\LocalService\carjrjbskckskjiqpowvu.exe c:\documents and settings\LocalService\vogogxphyhyqponmlbapo.exe c:\documents and settings\LocalService\wgxgxgogowfwfnvnfwfnf.exe . ((((((((((((((((((((((((((((((((((((((( Usunięto ))))))))))))))))))))))))))))))))))))))))))))))))) . c:\documents and settings\LocalService\carjrjbskckskjiqpowvu.exe c:\documents and settings\LocalService\Dane aplikacji\anv2B c:\documents and settings\LocalService\Dane aplikacji\anv2B\spl.ini c:\documents and settings\LocalService\Dane aplikacji\anv55 c:\documents and settings\LocalService\Dane aplikacji\anv55\spl.ini c:\documents and settings\LocalService\Dane aplikacji\anvF8 c:\documents and settings\LocalService\Dane aplikacji\anvF8\spl.ini c:\documents and settings\LocalService\vogogxphyhyqponmlbapo.exe c:\documents and settings\LocalService\wgxgxgogowfwfnvnfwfnf.exe c:\documents and settings\Użytkownik\Dane aplikacji\anv21 c:\documents and settings\Użytkownik\Dane aplikacji\anv21\spl.ini c:\documents and settings\Użytkownik\Dane aplikacji\anv29 c:\documents and settings\Użytkownik\Dane aplikacji\anv29\spl.ini c:\documents and settings\Użytkownik\Dane aplikacji\anv46 c:\documents and settings\Użytkownik\Dane aplikacji\anv46\spl.ini c:\documents and settings\Użytkownik\Dane aplikacji\anv64 c:\documents and settings\Użytkownik\Dane aplikacji\anv64\spl.ini c:\documents and settings\Użytkownik\Dane aplikacji\anv72 c:\documents and settings\Użytkownik\Dane aplikacji\anv72\spl.ini c:\documents and settings\Użytkownik\Dane aplikacji\anv7B c:\documents and settings\Użytkownik\Dane aplikacji\anv7B\spl.ini c:\documents and settings\Użytkownik\Dane aplikacji\anv7D c:\documents and settings\Użytkownik\Dane aplikacji\anv7D\spl.ini c:\documents and settings\Użytkownik\Dane aplikacji\anv89 c:\documents and settings\Użytkownik\Dane aplikacji\anv89\spl.ini c:\documents and settings\Użytkownik\Dane aplikacji\anvDF c:\documents and settings\Użytkownik\Dane aplikacji\anvDF\spl.ini c:\documents and settings\Użytkownik\Dane aplikacji\anvEF c:\documents and settings\Użytkownik\Dane aplikacji\anvEF\spl.ini c:\documents and settings\Użytkownik\Dane aplikacji\anvF6 c:\documents and settings\Użytkownik\Dane aplikacji\anvF6\spl.ini c:\documents and settings\Użytkownik\Dane aplikacji\anvF8 c:\documents and settings\Użytkownik\Dane aplikacji\anvF8\spl.ini . ((((((((((((((((((((((((( Pliki utworzone od 2009-03-05 do 2009-04-05 ))))))))))))))))))))))))))))))) . 2009-04-03 19:30 . 2009-04-03 19:30 <DIR> d-------- c:\winnt\ERUNT 2009-04-03 17:49 . 2009-04-03 17:49 <DIR> d-------- c:\documents and settings\Administrator\Dane aplikacji\Corel 2009-04-03 17:26 . 2009-04-05 22:03 <DIR> d--h----- c:\documents and settings\Administrator\Ustawienia lokalne 2009-04-03 17:26 . 2007-04-13 23:43 <DIR> d-------- c:\documents and settings\Administrator\Ulubione 2009-04-03 17:26 . 2007-04-13 21:54 <DIR> d--h----- c:\documents and settings\Administrator\Szablony 2009-04-03 17:26 . 2007-04-13 23:43 <DIR> d-------- c:\documents and settings\Administrator\Pulpit 2009-04-03 17:26 . 2007-04-13 23:43 <DIR> d-------- c:\documents and settings\Administrator\Moje dokumenty 2009-04-03 17:26 . 2007-04-13 23:43 <DIR> dr------- c:\documents and settings\Administrator\Menu Start 2009-04-03 17:26 . 2009-04-03 17:49 <DIR> dr-h----- c:\documents and settings\Administrator\Dane aplikacji 2009-04-03 17:26 . 2009-04-03 17:26 <DIR> d-------- c:\documents and settings\Administrator 2009-04-01 22:13 . 2009-04-01 22:13 <DIR> d-------- c:\winnt\system32\xircom 2009-04-01 22:13 . 2009-04-01 22:13 <DIR> d-------- c:\program files\microsoft frontpage 2009-04-01 21:43 . 2009-04-01 22:36 <DIR> d-a------ c:\documents and settings\All Users\Dane aplikacji\TEMP 2009-04-01 20:49 . 2009-04-03 17:18 <DIR> d-------- c:\program files\Unlocker 2009-04-01 20:49 . 2009-04-01 20:49 <DIR> d-------- c:\documents and settings\Użytkownik\Dane aplikacji\Desktopicon 2009-04-01 18:31 . 2009-04-01 18:31 <DIR> d-------- c:\program files\Sygate 2009-04-01 18:31 . 2004-10-15 18:32 83,096 --a------ c:\winnt\system32\SSSensor.dll 2009-04-01 18:31 . 2004-10-15 18:17 60,496 --a------ c:\winnt\system32\drivers\Teefer.sys 2009-04-01 18:31 . 2004-10-15 18:18 21,075 --a------ c:\winnt\system32\drivers\wpsdrvnt.sys 2009-04-01 18:31 . 2004-10-15 18:32 14,568 --a------ c:\winnt\system32\drivers\wg6n.sys 2009-04-01 18:31 . 2004-10-15 18:32 14,568 --a------ c:\winnt\system32\drivers\wg5n.sys 2009-04-01 18:31 . 2004-10-15 18:32 14,568 --a------ c:\winnt\system32\drivers\wg4n.sys 2009-04-01 18:31 . 2004-10-15 18:32 14,568 --a------ c:\winnt\system32\drivers\wg3n.sys 2009-03-31 22:10 . 2009-03-31 22:10 <DIR> d-------- c:\documents and settings\Użytkownik\Dane aplikacji\Malwarebytes 2009-03-31 22:09 . 2009-03-31 22:09 <DIR> d-------- c:\documents and settings\All Users\Dane aplikacji\Malwarebytes 2009-03-31 22:08 . 2009-03-31 22:08 <DIR> d-------- c:\program files\7-Zip 2009-03-31 19:00 . 2009-03-31 21:28 <DIR> d-------- c:\program files\Lavasoft 2009-03-31 19:00 . 2009-03-31 21:28 <DIR> d-------- c:\documents and settings\All Users\Dane aplikacji\Lavasoft 2009-03-31 18:38 . 2009-03-31 18:38 <DIR> d-------- c:\program files\SkanerOnline . (((((((((((((((((((((((((((((((((((((((( Sekcja Find3M )))))))))))))))))))))))))))))))))))))))))))))))))))) . 2009-04-05 12:09 --------- d-----w c:\documents and settings\Użytkownik\Dane aplikacji\uTorrent 2009-04-03 15:18 --------- d--h--w c:\program files\InstallShield Installation Information 2009-03-31 19:46 --------- d-----w c:\program files\GustoSoft 2009-03-29 16:02 --------- d-----w c:\program files\Norton Security Scan 2009-03-26 21:03 --------- d-----w c:\documents and settings\Użytkownik\Dane aplikacji\OpenOffice.org2 2009-03-17 16:58 --------- d-----w c:\documents and settings\Użytkownik\Dane aplikacji\U3 2009-03-15 06:28 --------- d-----w c:\program files\OpenOffice.org 2.2 2009-03-03 16:37 --------- d-----w c:\program files\eMule 2009-02-15 18:24 107,888 ----a-w c:\winnt\system32\CmdLineExt.dll 2009-02-15 18:24 --------- d--h--r c:\documents and settings\Użytkownik\Dane aplikacji\SecuROM 2009-02-15 18:14 --------- d-----w c:\program files\Atari 2009-02-15 18:14 --------- d-----w c:\documents and settings\Użytkownik\Dane aplikacji\gnupg 2009-02-10 19:23 --------- d-----w c:\program files\G DATA Software 2009-02-10 18:59 --------- d-----w c:\program files\IrfanView 2009-02-10 18:56 --------- d-----w c:\documents and settings\Użytkownik\Dane aplikacji\FastStone 2009-02-10 18:17 --------- d-----w c:\documents and settings\Użytkownik\Dane aplikacji\XnView 2009-02-05 18:03 --------- d-----w c:\program files\Gadu-Gadu 2009-01-21 15:11 473,600 ----a-w c:\winnt\system32\SkanerOnline.dll 2008-01-21 22:56 56 --sh--r c:\winnt\system32\[u]0[/u]C1A6FC3DA.sys 2008-08-23 11:38 1,682 --sha-w c:\winnt\system32\KGyGaAvL.sys . ((((((((((((((((((((((((((((((((((((( Wpisy startowe rejestru )))))))))))))))))))))))))))))))))))))))))))))))))) . . *Uwaga* puste wpisy oraz domyślne, prawidłowe wpisy nie są pokazane REGEDIT4 [HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] "Gadu-Gadu"="c:\program files\Gadu-Gadu\gg.exe" [2008-01-30 2113536] "MSMSGS"="c:\program files\Messenger\msmsgs.exe" [2004-08-04 1694208] "ctfmon.exe"="c:\winnt\system32\ctfmon.exe" [2004-08-04 15360] [HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] "IntelAudioStudio"="c:\program files\Intel Audio Studio\IntelAudioStudio.exe" [2006-06-07 9129984] "SunJavaUpdateSched"="c:\program files\Java\jre6\bin\jusched.exe" [2008-12-09 136600] "avast!"="c:\progra~1\ALWILS~1\Avast4\ashDisp.exe" [2009-02-05 81000] "NeroFilterCheck"="c:\winnt\system32\NeroCheck.exe" [2006-01-12 155648] "GrooveMonitor"="c:\program files\Microsoft Office\Office12\GrooveMonitor.exe" [2006-10-27 31016] "QuickTime Task"="c:\program files\QuickTime\QTTask.exe" [2009-01-05 413696] "NvCplDaemon"="c:\winnt\system32\NvCpl.dll" [2006-03-09 7561216] "SmcService"="c:\progra~1\Sygate\SPF\smc.exe" [2004-10-15 2577632] "nwiz"="nwiz.exe" [2006-03-09 c:\winnt\system32\nwiz.exe] [HKEY_USERS\.DEFAULT\Software\Microsoft\Windows\CurrentVersion\Run] "CTFMON.EXE"="c:\winnt\system32\CTFMON.EXE" [2004-08-04 15360] [HKEY_USERS\.DEFAULT\Software\Microsoft\Windows\CurrentVersion\RunOnce] "nlsf"="move" [X] "tscuninstall"="c:\winnt\system32\tscupgrd.exe" [2004-08-04 44544] c:\documents and settings\Uľytkownik\Menu Start\Programy\Autostart\ Stickies.lnk - c:\program files\stickies\stickies.exe [2005-05-29 348160] [HKEY_LOCAL_MACHINE\software\microsoft\windows nt\currentversion\windows] "AppInit_DLLs"=c:\winnt\system32\mmmnxdnx.dll [HKEY_LOCAL_MACHINE\software\microsoft\security center] "AntiVirusOverride"=dword:00000001 [HKLM\~\services\sharedaccess\parameters\firewallpolicy\standardprofile\AuthorizedApplications\List] "%windir%\\system32\\sessmgr.exe"= "c:\\Program Files\\eMule\\emule.exe"= "c:\\Program Files\\Gadu-Gadu\\gg.exe"= "c:\\Program Files\\uTorrent\\utorrent.exe"= "c:\\Program Files\\Messenger\\msmsgs.exe"= "c:\\Program Files\\stickies\\stickies.exe"= "c:\\Program Files\\Java\\jre6\\bin\\jusched.exe"= "c:\\Program Files\\Microsoft Office\\Office12\\GrooveMonitor.exe"= "c:\\WINNT\\system32\\userinit.exe"= R0 AFPAnsi;G-DATA Ukrywacz Ansi;c:\winnt\system32\drivers\AFPAnsi.sys [2009-02-10 43904] R1 aswSP;avast! Self Protection;c:\winnt\system32\drivers\aswSP.sys [2008-04-26 114768] R2 aswFsBlk;aswFsBlk;c:\winnt\system32\drivers\aswFsBlk.sys [2008-04-26 20560] R2 port_nt;port_nt;c:\winnt\system32\drivers\port_nt.sys [2008-10-08 3608] S0 FO_PAnt;FotoOffice VirtualDisc Driver;c:\winnt\system32\Drivers\FO_PAnt.sys --> c:\winnt\system32\Drivers\FO_PAnt.sys [?] [HKEY_CURRENT_USER\software\microsoft\windows\currentversion\explorer\mountpoints2\G] \Shell\AutoRun\command - G:\LaunchU3.exe -a [HKEY_CURRENT_USER\software\microsoft\windows\currentversion\explorer\mountpoints2\{9da28063-79fc-11dd-89b1-0019d10e1c42}] \Shell\AutoRun\command - G:\LaunchU3.exe -a . Zawartość folderu 'Zaplanowane zadania' 2009-03-31 c:\winnt\Tasks\Ad-Aware Update (Weekly).job - c:\program files\Lavasoft\Ad-Aware\Ad-AwareAdmin.exe [] 2009-04-01 c:\winnt\Tasks\Uniblue SpeedUpMyPC Nag.job - c:\program files\Uniblue\SpeedUpMyPC 3\SpeedUpMyPC.exe [] 2008-06-05 c:\winnt\Tasks\Uniblue SpeedUpMyPC.job - c:\program files\Uniblue\SpeedUpMyPC 3\SpeedUpMyPC.exe [] 2008-06-06 c:\winnt\Tasks\Uniblue SpyEraser.job - c:\program files\Uniblue\SpyEraser\SpyEraser.exe [] . . ------- Skan uzupełniający ------- . uStart Page = hxxp://www.google.pl/ uDefault_Search_URL = hxxp://www.google.com/ie uInternet Connection Wizard,ShellNext = hxxp://go.divx.com/divx/divx6/new/en uSearchURL,(Default) = hxxp://www.google.com/search?q=%s IE: E&ksport do programu Microsoft Excel - c:\progra~1\MICROS~1\OFFICE11\EXCEL.EXE/3000 IE: E&ksportuj do programu Microsoft Excel - c:\progra~1\MICROS~1\Office12\EXCEL.EXE/3000 IE: E&xport to Microsoft Excel - c:\progra~1\MICROS~1\Office10\EXCEL.EXE/3000 DPF: {68282C51-9459-467B-95BF-3C0E89627E55} - hxxp://www.mks.com.pl/skaner/SkanerOnline.cab . ************************************************************************** catchme 0.3.1375 W2K/XP/Vista - rootkit/stealth malware detector by Gmer, http://www.gmer.net Rootkit scan 2009-04-05 22:03:18 Windows 5.1.2600 Dodatek Service Pack 2 NTFS skanowanie ukrytych procesów ... skanowanie ukrytych wpisów autostartu ... skanowanie ukrytych plików ... skanowanie pomyślnie ukończone ukryte pliki: 0 ************************************************************************** [HKEY_LOCAL_MACHINE\System\ControlSet001\Services\vsdatant] "ImagePath"="" . --------------------- ZABLOKOWANE KLUCZE REJESTRU --------------------- [HKEY_USERS\S-1-5-21-2025429265-1343024091-839522115-1003\Software\SecuROM\License information*] "datasecu"=hex:b6,61,b2,96,d2,73,1a,25,04,08,1e,b9,55,5f,d5,93,17,7f,92,7e,86, 34,1a,03,7d,92,e5,7a,64,2b,23,78,7f,aa,1b,32,5c,37,4a,36,09,56,c2,08,08,16,\ "rkeysecu"=hex:1b,b5,52,6d,b9,b0,2c,c1,55,51,23,8c,25,8e,a7,8c . Czas ukończenia: 2009-04-05 22:10:00 ComboFix-quarantined-files.txt 2009-04-05 20:08:44 Przed: 50 708 377 600 bajtów wolnych Po: 50,694,574,080 bajtów wolnych 198

Wielkie dzieki za dotychczasowa pomoc

Pozdrawiam i czekam na obadanie loga

**Posty:** 18165 · przez **wojtas** 05 Kwi 2009, 22:24

1. Ściągnij OTMoveIt i go włacz i odpal go z opcji CleanUp

oraz skasuj folder C:\Qoobox
2. wykonaj optymalizację windowsa
3.sciagnij ATF_Cleaner
zaznacz
Windows Temp
All users Temp
Temporary internet files
Recycle Bin
i wcisnij EMPTY SELECTED
4.Wyłącz przywracanie systemu ( właściwości mój komputer-zakładka przywracanie - wyłącz przywracanie na wszystkich dyskach). Po chwili włącz je powrotem
5. Wykonaj skan Dr. Web CureIt
6. Przeskanuj obszar mojego komputera http://www.kaspersky.pl/virusscanner.html (uruchom przez IE) Daj raport z niego na forum.

i tym:

FixIEDef.

**Posty:** 7 · przez **Galanowo** 11 Kwi 2009, 07:59

log kaspersky:

Kod: Zaznacz wszystko: -------------------------------------------------------------------------------- RAPORT KASPERSKY ONLINE SCANNER 7.0 sobota, 11 kwiecień 2009 System operacyjny: Microsoft Windows XP Professional Dodatek Service Pack 2 (build 2600) Wersja Kaspersky Online Scanner: 7.0.26.12 Data ostatniej aktualizacji bazy danych: Friday, April 10, 2009 17:22:21 Liczba wpisów: 2031984 -------------------------------------------------------------------------------- Ustawienia skanowania: Typ bazy danych użytej do skanowania: rozszerzona Skanuj archiwa: tak Skanuj pocztowe bazy danych: tak Obszar skanowania - Mój komputer: C:\ D:\ E:\ F:\ H:\ I:\ J:\ K:\ L:\ Statystyki skanowania: Przeskanowanych plików: 187542 Nazwa zagrożenia: 1 Zainfekowanych obiektów: 4 Podejrzanych obiektów: 0 Czas skanowania: 06:19:42 Nazwa pliku / Nazwa zagrożenia / Liczba zagrożeń C:\WINNT\system32\drivers\acpi32.sys Zainfekowany: Rootkit.Win32.Agent.ikz 1 C:\WINNT\system32\drivers\ksi32sk.sys Zainfekowany: Rootkit.Win32.Agent.ikz 1 C:\WINNT\system32\drivers\netsik.sys Zainfekowany: Rootkit.Win32.Agent.ikz 1 C:\WINNT\system32\drivers\nicsk32.sys Zainfekowany: Rootkit.Win32.Agent.ikz 1 Wybrany obszar został przeskanowany.

log fixiedef

Kod: Zaznacz wszystko: ******************************************************************************** * * * FixIEDef Log * * Version 1.7.22.7514 * * * ******************************************************************************** Created at 07:52:52 on Saturday, April 11, 2009 Time Zone : Logged On User : Użytkownik Operating System : Microsoft Windows XP Professional Dodatek Service Pack 2 OS Architecture : X86 System Langauge : Polish Keyboard Layout : Polish Processor : X64 Intel(R) Core(TM)2 CPU 4300 @ 1.80GHz System Drive : C:\ Windows Directory : C:\WINNT System Directory : C:\WINNT\system32 System Drive Type : Fixed System Drive Status : READY System Drive Label : SystemXP System Drive Size : 290 GB System Drive Free : 41.25 GB Total Physical Memory: 1006 MB Free Physical Memory : 666 MB Total Page File : 1006 MB Free Page File : 2086 MB Total Virtual Memory : 2048 MB Free Virtual Memory : 1961 MB Boot State : Normal boot -------------------------------------------------------------------------------- !!! userinit.exe is Clean !!! -------------------------------------------------------------------------------- !!! Files that have been deleted !!! C:\WINNT\system32\Uninstall.ico -------------------------------------------------------------------------------- !!! Directories that have been removed !!! No malicious directories to be removed -------------------------------------------------------------------------------- !!! Registry entries that have been removed !!! No malicious Registry entries found ================================================================================ All Done :) ShadowPuterDude Safe Surfing!!!

po przeskanowaniu fixiedef mój firewal cały czas zapytuje:

Kod: Zaznacz wszystko: note this application was lauched by removes ie defender family of trojans (FixIEdef.exe). if you do not recognize this program or you do not think it should be able to access the internet, please click the "No" buttonto deny network accdess to this program

**Posty:** 18165 · przez **wojtas** 11 Kwi 2009, 11:02

Otworz notatnik i wklej w nim to:

File::
C:\WINNT\system32\drivers\acpi32.sys
C:\WINNT\system32\drivers\ksi32sk.sys
C:\WINNT\system32\drivers\netsik.sys
C:\WINNT\system32\drivers\nicsk32.sys

>>Plik>>Zapisz jako... >>> CFScript
Przeciągnij i upuść plik CFScript.txt na plik ComboFix.exe
-->

Ma się rozpocząć usuwanie. (i powstanie log).Daj ten log, który powstanie w trakcie usuwania.

**Posty:** 7 · przez **Galanowo** 14 Kwi 2009, 17:31

hej

Kod: Zaznacz wszystko: ComboFix 09-04-14.09 - Użytkownik 2009-04-14 17:20.8 - NTFSx86 Microsoft Windows XP Professional 5.1.2600.2.1250.48.1045.18.1006.602 [GMT 2:00] Uruchomiony z: c:\documents and settings\Użytkownik\Pulpit\ComboFix.exe Użyto następujących komend :: c:\documents and settings\Użytkownik\Pulpit\CFScript.txt.txt AV: avast! antivirus 4.8.1335 [VPS 090414-0] *On-access scanning disabled* (Updated) FW: Sygate Personal Firewall *enabled* * Utworzono nowy punkt przywracania FILE :: c:\winnt\system32\drivers\acpi32.sys c:\winnt\system32\drivers\ksi32sk.sys c:\winnt\system32\drivers\netsik.sys c:\winnt\system32\drivers\nicsk32.sys . ((((((((((((((((((((((((((((((((((((((( Usunięto ))))))))))))))))))))))))))))))))))))))))))))))))) . c:\winnt\system32\drivers\acpi32.sys c:\winnt\system32\drivers\ksi32sk.sys c:\winnt\system32\drivers\netsik.sys c:\winnt\system32\drivers\nicsk32.sys . ((((((((((((((((((((((((( Pliki utworzone od 2009-03-14 do 2009-04-14 ))))))))))))))))))))))))))))))) . 2009-04-11 05:52 . 2009-04-11 05:52 -------- d-----w C:\ERDNT 2009-04-11 05:52 . 2009-04-11 05:52 -------- d-----w C:\!FixIEDef 2009-04-08 18:42 . 2009-04-08 18:42 -------- d-----w c:\documents and settings\Użytkownik\DoctorWeb 2009-04-08 18:42 . 2009-04-08 18:42 -------- d-----w c:\documents and settings\Użytkownik\DoctorWeb 2009-04-03 17:30 . 2009-04-11 05:52 -------- d-----w c:\winnt\ERUNT 2009-04-03 15:49 . 2009-04-03 15:49 -------- d-----w c:\documents and settings\Administrator\Dane aplikacji\Corel 2009-04-03 15:27 . 2009-04-03 15:27 -------- d-----w c:\documents and settings\Administrator\Ustawienia lokalne\Dane aplikacji\Opera 2009-04-01 20:13 . 2009-04-01 20:13 -------- d-----w c:\winnt\system32\xircom 2009-04-01 19:43 . 2009-04-01 20:36 -------- d---a-w c:\documents and settings\All Users\Dane aplikacji\TEMP 2009-04-01 18:49 . 2009-04-01 18:49 -------- d-----w c:\documents and settings\Użytkownik\Dane aplikacji\Desktopicon 2009-04-01 16:31 . 2004-10-15 16:32 14568 ----a-w c:\winnt\system32\drivers\wg6n.sys 2009-04-01 16:31 . 2004-10-15 16:32 14568 ----a-w c:\winnt\system32\drivers\wg5n.sys 2009-04-01 16:31 . 2004-10-15 16:32 14568 ----a-w c:\winnt\system32\drivers\wg4n.sys 2009-04-01 16:31 . 2004-10-15 16:32 14568 ----a-w c:\winnt\system32\drivers\wg3n.sys 2009-04-01 16:31 . 2004-10-15 16:18 21075 ----a-w c:\winnt\system32\drivers\wpsdrvnt.sys 2009-04-01 16:31 . 2004-10-15 16:17 60496 ----a-w c:\winnt\system32\drivers\Teefer.sys 2009-04-01 16:31 . 2004-10-15 16:32 83096 ----a-w c:\winnt\system32\SSSensor.dll 2009-03-31 20:10 . 2009-03-31 20:10 -------- d-----w c:\documents and settings\Użytkownik\Dane aplikacji\Malwarebytes 2009-03-31 20:09 . 2009-03-31 20:09 -------- d-----w c:\documents and settings\All Users\Dane aplikacji\Malwarebytes 2009-03-31 17:00 . 2009-03-31 19:28 -------- d-----w c:\documents and settings\All Users\Dane aplikacji\Lavasoft . (((((((((((((((((((((((((((((((((((((((( Sekcja Find3M )))))))))))))))))))))))))))))))))))))))))))))))))))) . 2009-04-11 08:08 . 2007-04-26 20:48 -------- d-----w c:\documents and settings\Użytkownik\Dane aplikacji\uTorrent 2009-04-07 18:16 . 2001-10-26 18:15 75486 ----a-w c:\winnt\system32\perfc015.dat 2009-04-07 18:16 . 2001-10-26 18:15 451352 ----a-w c:\winnt\system32\perfh015.dat 2009-04-03 15:18 . 2007-04-13 15:34 -------- d--h--w c:\program files\InstallShield Installation Information 2009-04-03 15:18 . 2009-04-01 18:49 -------- d-----w c:\program files\Unlocker 2009-04-01 20:13 . 2009-04-01 20:13 -------- d-----w c:\program files\microsoft frontpage 2009-04-01 16:31 . 2009-04-01 16:31 -------- d-----w c:\program files\Sygate 2009-03-31 20:08 . 2009-03-31 20:08 -------- d-----w c:\program files\7-Zip 2009-03-31 19:46 . 2007-05-12 08:26 -------- d-----w c:\program files\GustoSoft 2009-03-31 19:28 . 2009-03-31 17:00 -------- d-----w c:\program files\Lavasoft 2009-03-31 16:38 . 2009-03-31 16:38 -------- d-----w c:\program files\SkanerOnline 2009-03-29 16:02 . 2008-01-03 10:15 -------- d-----w c:\program files\Norton Security Scan 2009-03-26 21:03 . 2007-07-16 22:13 -------- d-----w c:\documents and settings\Użytkownik\Dane aplikacji\OpenOffice.org2 2009-03-17 16:58 . 2008-09-03 21:23 -------- d-----w c:\documents and settings\Użytkownik\Dane aplikacji\U3 2009-03-16 20:02 . 2007-04-13 21:24 150952 ----a-w c:\documents and settings\Użytkownik\Ustawienia lokalne\Dane aplikacji\GDIPFONTCACHEV1.DAT 2009-03-16 20:02 . 2007-04-13 21:24 150952 ----a-w c:\documents and settings\Użytkownik\Ustawienia lokalne\Dane aplikacji\GDIPFONTCACHEV1.DAT 2009-03-16 20:02 . 2007-04-13 21:24 150952 ----a-w c:\documents and settings\Użytkownik\Ustawienia lokalne\Dane aplikacji\GDIPFONTCACHEV1.DAT 2009-03-15 06:28 . 2007-07-16 22:12 -------- d-----w c:\program files\OpenOffice.org 2.2 2009-03-03 16:37 . 2007-04-26 19:50 -------- d-----w c:\program files\eMule 2009-02-15 18:24 . 2009-02-15 18:24 -------- d--h--r c:\documents and settings\Użytkownik\Dane aplikacji\SecuROM 2009-02-15 18:24 . 2009-02-15 18:24 107888 ----a-w c:\winnt\system32\CmdLineExt.dll 2009-02-15 18:14 . 2009-02-15 18:14 -------- d-----w c:\program files\Atari 2009-02-15 18:14 . 2009-02-15 18:14 -------- d-----w c:\documents and settings\Użytkownik\Dane aplikacji\gnupg 2009-01-21 15:11 . 2009-01-21 15:11 473600 ----a-w c:\winnt\system32\SkanerOnline.dll . ((((((((((((((((((((((((((((((((((((( Wpisy startowe rejestru )))))))))))))))))))))))))))))))))))))))))))))))))) . . *Uwaga* puste wpisy oraz domyślne, prawidłowe wpisy nie są pokazane REGEDIT4 [HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] "Gadu-Gadu"="c:\program files\Gadu-Gadu\gg.exe" [2008-01-30 2113536] "ctfmon.exe"="c:\winnt\system32\ctfmon.exe" [2004-08-04 15360] "MSMSGS"="c:\program files\Messenger\msmsgs.exe" [2004-08-03 1694208] [HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] "IntelAudioStudio"="c:\program files\Intel Audio Studio\IntelAudioStudio.exe" [2006-06-07 9129984] "SunJavaUpdateSched"="c:\program files\Java\jre6\bin\jusched.exe" [2008-12-09 136600] "avast!"="c:\progra~1\ALWILS~1\Avast4\ashDisp.exe" [2009-02-05 81000] "GrooveMonitor"="c:\program files\Microsoft Office\Office12\GrooveMonitor.exe" [2006-10-26 31016] "NvCplDaemon"="c:\winnt\system32\NvCpl.dll" [2006-03-09 7561216] "SmcService"="c:\progra~1\Sygate\SPF\smc.exe" [2004-10-15 2577632] "QuickTime Task"="c:\program files\QuickTime\QTTask.exe" [2009-01-05 413696] "NeroFilterCheck"="c:\winnt\system32\NeroCheck.exe" [2006-01-12 155648] "nwiz"="nwiz.exe" - c:\winnt\system32\nwiz.exe [2006-03-09 1519616] [HKEY_USERS\.DEFAULT\Software\Microsoft\Windows\CurrentVersion\Run] "CTFMON.EXE"="c:\winnt\system32\CTFMON.EXE" [2004-08-04 15360] [HKEY_USERS\.DEFAULT\Software\Microsoft\Windows\CurrentVersion\RunOnce] "nlsf"="move" [X] "tscuninstall"="c:\winnt\system32\tscupgrd.exe" [2004-08-04 44544] c:\documents and settings\Uľytkownik\Menu Start\Programy\Autostart\ Stickies.lnk - c:\program files\stickies\stickies.exe [2005-5-29 348160] [HKEY_LOCAL_MACHINE\software\microsoft\windows nt\currentversion\windows] "AppInit_DLLs"=c:\winnt\system32\mmmnxdnx.dll [HKEY_LOCAL_MACHINE\software\microsoft\security center] "AntiVirusOverride"=dword:00000001 [HKLM\~\services\sharedaccess\parameters\firewallpolicy\standardprofile\AuthorizedApplications\List] "%windir%\\system32\\sessmgr.exe"= "c:\\Program Files\\eMule\\emule.exe"= "c:\\Program Files\\Gadu-Gadu\\gg.exe"= "c:\\Program Files\\uTorrent\\utorrent.exe"= "c:\\Program Files\\Messenger\\msmsgs.exe"= "c:\\Program Files\\stickies\\stickies.exe"= "c:\\Program Files\\Java\\jre6\\bin\\jusched.exe"= "c:\\Program Files\\Microsoft Office\\Office12\\GrooveMonitor.exe"= "c:\\WINNT\\system32\\userinit.exe"= R0 FO_PAnt;FotoOffice VirtualDisc Driver; [x] S0 AFPAnsi;G-DATA Ukrywacz Ansi;c:\winnt\System32\Drivers\AFPAnsi.sys [2002-10-09 43904] S1 aswSP;avast! Self Protection; [x] S2 aswFsBlk;aswFsBlk;c:\winnt\system32\DRIVERS\aswFsBlk.sys [2009-02-05 20560] S2 port_nt;port_nt;c:\winnt\system32\drivers\port_nt.sys [2000-10-23 3608] [HKEY_CURRENT_USER\software\microsoft\windows\currentversion\explorer\mountpoints2\G] \Shell\AutoRun\command - G:\LaunchU3.exe -a [HKEY_CURRENT_USER\software\microsoft\windows\currentversion\explorer\mountpoints2\{9da28063-79fc-11dd-89b1-0019d10e1c42}] \Shell\AutoRun\command - G:\LaunchU3.exe -a . Zawartość folderu 'Zaplanowane zadania' . . ------- Skan uzupełniający ------- . uStart Page = hxxp://www.google.pl/ uDefault_Search_URL = hxxp://www.google.com/ie uInternet Connection Wizard,ShellNext = hxxp://go.divx.com/divx/divx6/new/en uSearchURL,(Default) = hxxp://www.google.com/search?q=%s IE: E&ksport do programu Microsoft Excel - c:\progra~1\MICROS~1\OFFICE11\EXCEL.EXE/3000 IE: E&ksportuj do programu Microsoft Excel - c:\progra~1\MICROS~1\Office12\EXCEL.EXE/3000 IE: E&xport to Microsoft Excel - c:\progra~1\MICROS~1\Office10\EXCEL.EXE/3000 DPF: {68282C51-9459-467B-95BF-3C0E89627E55} - hxxp://www.mks.com.pl/skaner/SkanerOnline.cab . ************************************************************************** catchme 0.3.1375 W2K/XP/Vista - rootkit/stealth malware detector by Gmer, http://www.gmer.net Rootkit scan 2009-04-14 17:27 Windows 5.1.2600 Dodatek Service Pack 2 NTFS skanowanie ukrytych procesów ... skanowanie ukrytych wpisów autostartu ... skanowanie ukrytych plików ... skanowanie pomyślnie ukończone ukryte pliki: 0 ************************************************************************** [HKEY_LOCAL_MACHINE\System\ControlSet001\Services\vsdatant] "ImagePath"="" . --------------------- ZABLOKOWANE KLUCZE REJESTRU --------------------- [HKEY_USERS\S-1-5-21-2025429265-1343024091-839522115-1003\Software\SecuROM\License information*] "datasecu"=hex:b6,61,b2,96,d2,73,1a,25,04,08,1e,b9,55,5f,d5,93,17,7f,92,7e,86, 34,1a,03,7d,92,e5,7a,64,2b,23,78,7f,aa,1b,32,5c,37,4a,36,09,56,c2,08,08,16,\ "rkeysecu"=hex:1b,b5,52,6d,b9,b0,2c,c1,55,51,23,8c,25,8e,a7,8c . Czas ukończenia: ~,10time:~,-3 ComboFix-quarantined-files.txt 2009-04-14 15:29 ComboFix2.txt 2009-04-05 20:10 Przed: 43 202 084 864 bajtów wolnych Po: 43 279 024 128 bajtów wolnych 158

**Posty:** 18165 · przez **wojtas** 14 Kwi 2009, 17:35

wklej do notatnika

Windows Registry Editor Version 5.00

[HKEY_LOCAL_MACHINE\software\microsoft\windows nt\currentversion\windows]
"appinit_dlls"=-
"appinit_dlls"=""

w notatniku u góry>>>plik zapisz jako>>>Zmien rozszerzenie z TXT na Wszystkie pliki *.* >>> Zapisz pod nazwą FIX.REG

Klikasz dwa razy na powstały plik fix i dodajesz go do rejestru....

1. Ściągnij OTMoveIt i go włacz i odpal go z opcji CleanUp

oraz skasuj folder C:\Qoobox
2. wykonaj optymalizację windowsa
3.sciagnij ATF_Cleaner
zaznacz
Windows Temp
All users Temp
Temporary internet files
Recycle Bin
i wcisnij EMPTY SELECTED
4.Wyłącz przywracanie systemu ( właściwości mój komputer-zakładka przywracanie - wyłącz przywracanie na wszystkich dyskach). Po chwili włącz je powrotem
5. Wykonaj skan Dr. Web CureIt
6. Przeskanuj obszar mojego komputera http://www.kaspersky.pl/virusscanner.html (uruchom przez IE) Daj raport z niego na forum.

i tym:

FixIEDef.

Kto jest na forum