win32:vb-eaa[trj]

[dusiorek]

wcale nie jest ok bo jak ja wpinam dowolny dysk wymienny to pokazuje sie alert o wirusie. prosze o szczegolowa pomoc bo ja kompa mam do waznej pracy!
Dajcie jakas recepte na usuniecie wirusa.
Prosze o pomoc i z gory dzieki.
Oto log z hijacka:

Kod: Zaznacz wszystko

Logfile of HijackThis v1.99.1
Scan saved at 09:03:42, on 2007-07-24
Platform: Windows XP Dodatek SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v7.00 (7.00.5730.0011)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\Program Files\Alwil Software\Avast4\aswUpdSv.exe
C:\Program Files\Alwil Software\Avast4\ashServ.exe
C:\WINDOWS\Explorer.EXE
C:\WINDOWS\system32\RunDll32.exe
C:\PROGRA~1\ALWILS~1\Avast4\ashDisp.exe
C:\Program Files\DAEMON Tools\daemon.exe
C:\Program Files\Winamp\winampa.exe
C:\Program Files\Gadu-Gadu\gg.exe
C:\Program Files\Messenger\msmsgs.exe
C:\WINDOWS\system32\ctfmon.exe
C:\Program Files\D-Link AirPlus\AirPlus.exe
C:\Program Files\Microsoft Office\Office\1045\OLFSNT40.EXE
C:\WINDOWS\system32\spoolsv.exe
C:\WINDOWS\system32\svchost.exe
C:\Program Files\Alwil Software\Avast4\ashMaiSv.exe
C:\Program Files\Alwil Software\Avast4\ashWebSv.exe
C:\Program Files\Mozilla Firefox\firefox.exe
C:\WINDOWS\system32\wuauclt.exe
C:\DOCUME~1\KLAUDI~1\USTAWI~1\Temp\Rar$EX00.219\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://google.pl/
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://go.microsoft.com/fwlink/?LinkId=69157
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://go.microsoft.com/fwlink/?LinkId=54896
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = http://go.microsoft.com/fwlink/?LinkId=54896
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Łącza
O2 - BHO: Skype add-on (mastermind) - {22BF413B-C6D2-4d91-82A9-A0F997BA588C} - C:\Program Files\Skype\Toolbars\Internet Explorer\SkypeIEPlugin.dll
O2 - BHO: BitComet ClickCapture - {39F7E362-828A-4B5A-BCAF-5B79BFDFEA60} - C:\Program Files\BitComet\tools\BitCometBHO_1.1.6.14.dll
O2 - BHO: (no name) - {53707962-6F74-2D53-2644-206D7942484F} - C:\PROGRA~1\SPYBOT~1\SDHelper.dll
O4 - HKLM\..\Run: [Cmaudio] RunDll32 cmicnfg.cpl,CMICtrlWnd
O4 - HKLM\..\Run: [avast!] C:\PROGRA~1\ALWILS~1\Avast4\ashDisp.exe
O4 - HKLM\..\Run: [DAEMON Tools] "C:\Program Files\DAEMON Tools\daemon.exe" -lang 1033
O4 - HKLM\..\Run: [SoftickPPP] "C:\Program Files\Softick\PPP\Bin\PPPGate.exe"
O4 - HKLM\..\Run: [WinampAgent] C:\Program Files\Winamp\winampa.exe
O4 - HKCU\..\Run: [Gadu-Gadu] "C:\Program Files\Gadu-Gadu\gg.exe" /tray
O4 - HKCU\..\Run: [MSMSGS] "C:\Program Files\Messenger\msmsgs.exe" /background
O4 - HKCU\..\Run: [Skype] "C:\Program Files\Skype\Phone\Skype.exe" /nosplash /minimized
O4 - HKCU\..\Run: [ctfmon.exe] C:\WINDOWS\system32\ctfmon.exe
O4 - Global Startup: D-Link AirPlus.lnk = ?
O4 - Global Startup: Microsoft Office.lnk = C:\Program Files\Microsoft Office\Office\OSA9.EXE
O4 - Global Startup: Symantec Fax Starter Edition Port.lnk = C:\Program Files\Microsoft Office\Office\1045\OLFSNT40.EXE
O8 - Extra context menu item: &D&ownload &with BitComet - res://C:\Program Files\BitComet\BitComet.exe/AddLink.htm
O8 - Extra context menu item: &D&ownload all video with BitComet - res://C:\Program Files\BitComet\BitComet.exe/AddVideo.htm
O8 - Extra context menu item: &D&ownload all with BitComet - res://C:\Program Files\BitComet\BitComet.exe/AddAllLink.htm
O9 - Extra button: Skype - {77BF5300-1474-4EC7-9980-D32B190E9B07} - C:\Program Files\Skype\Toolbars\Internet Explorer\SkypeIEPlugin.dll
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe
O11 - Options group: [INTERNATIONAL] International*
O16 - DPF: {68282C51-9459-467B-95BF-3C0E89627E55} (MksSkanerOnline Class) - http://www.mks.com.pl/skaner/SkanerOnline.cab
O16 - DPF: {D27CDB6E-AE6D-11CF-96B8-444553540000} (Shockwave Flash Object) - https://download.macromedia.com/pub/shockwave/cabs/flash/swflash.cab
O17 - HKLM\System\CCS\Services\Tcpip\..\{99F6391E-AE2E-4E1F-8817-97F717D27D42}: NameServer = 213.25.34.2,194.204.159.1
O18 - Protocol: skype4com - {FFC8B962-9B40-4DFF-9458-1830C7DD7F5D} - C:\PROGRA~1\COMMON~1\Skype\SKYPE4~1.DLL
O21 - SSODL: WPDShServiceObj - {AAA288BA-9A4C-45B0-95D7-94D524869DB5} - C:\WINDOWS\system32\WPDShServiceObj.dll
O23 - Service: avast! iAVS4 Control Service (aswUpdSv) - ALWIL Software - C:\Program Files\Alwil Software\Avast4\aswUpdSv.exe
O23 - Service: avast! Antivirus - ALWIL Software - C:\Program Files\Alwil Software\Avast4\ashServ.exe
O23 - Service: avast! Mail Scanner - Unknown owner - C:\Program Files\Alwil Software\Avast4\ashMaiSv.exe" /service (file missing)
O23 - Service: avast! Web Scanner - Unknown owner - C:\Program Files\Alwil Software\Avast4\ashWebSv.exe" /service (file missing)

[wojtas]

sie alert o wirusie

daj screena

[dusiorek]

niewiem jak ten komunikat wlanczalem ale w nim bylo napisane:
Znaleziono trojana:
Win32 Trojan Gen (other)
i nie mozna bylo go usunac
Oto screen z kwarantanny avasta:

[wojtas]

oproznij kosz bo wg avasta tam jest wirus

[dusiorek]

no jest oprozniony ale to nie kosz tylko folder podszywajacy sie pod kosz (nie ma ikony kosza ii sie nazywa RECYCLER) pomocy niewiem jak wywalic tego wira pomoze ktoś?

[wojtas]

wejdz na dysk i na gorze masz:

narzedzia>opcje folderow>widok>odznacz ukryj chronione pliki systemu operacyjego oraz pokaz ukryte pliki lub foldery wtedy powinien pojawic Ci sie Recycled i usun wirusy z kazdej partycji

nie ma ikony kosza ii sie nazywa RECYCLER

mozesz screena pokazac?

[dusiorek]

ok:
dysk c:


dysk d:

dysk f:

EDIT: wstawiaj zawsze miniaturki na forum

[wojtas]

w trybie awaryjnym

sprobuj:

start -> uruchom -> cmd i wpisz:

RD /S /Q C:\RECYCLER

enter

RD /S /Q D:\RECYCLER

enter

RD /S /Q F:\RECYCLER

enter

oraz:

RD /S /Q C:\RECYCLED

enter

RD /S /Q D:\RECYCLED

enter

RD /S /Q F:\RECYCLED

enter

[dusiorek]

no a co z plikiem ctfmon.exe i autorun.inf
tam tez wirusy

[wojtas]

ctfmon.exe

gdzie dokladniej??podaj lokazlicaje przeciez to co napisalem wyzej mialo usunac pliki z folderu Recycled i recyler

[dusiorek]

dokladnie X:/RECECLER(tez w Recycled)/ctfmon.exe
X:/RECECLER(tez w Recycled)/autorun.inf

[ Dodano: Dzisiaj o 11:55 ]
a jak sie nazyywa ten wirus bo ja tak dokladnie nie wiem

[wojtas]

sciagnij: ATF_Cleaner

http://www.atribune.org/ccount/click.php?id=1
zaznacz
Windows Temp
recycle bin
Temporary internet files
i wcisnij EMPTY SELECTED

dokladnie X:/RECECLER(tez w Recycled)/ctfmon.exe
X:/RECECLER(tez w Recycled)/autorun.inf

a nie mozesz do tego folderu wejsc i usunac te pliki?? czy akcja wyzej podana

RD /S /Q C:\RECYCLER

itd. nie zaskutkowala??

[dusiorek]

tzn. nie prubowalem narazie ,zaraz sprobuje

a nie mozesz do tego folderu wejsc i usunac te pliki?? czy akcja wyzej podana

jak usuwam te pliki to one sie odnawiaja

[ Dodano: Dzisiaj o 12:03 ]
nie poskutkowal ten sposob

[ Dodano: Dzisiaj o 12:04 ]
czyli nadal jest plik autorun.inf i pewnie ctfmon.exe

[wojtas]

wykonaj:

start>programy>autostart>kliknij PPM na ctfmon.exe i usun.. nie przyciskaj czasem lewym

teraz usun wszystkie pliki zarazone z folderow Recycled oraz recycler reset kompa i sprawdz czy bedzie ok

jesli nie
daj loga z hijacka silent runners z dssa , combofixa i 2 z gmera

dss:
http://www.techsupportforum.com/sectools/Deckard/dss.exe

combofix
http://download.bleepingcomputer.com/sUBs/ComboFix.exe

sciagnij gmera:

http://gmer.net/gmer.zip

1. Zakładka Rootkit >>> zaznaczone wszystko oprócz Pokazuj wszystko >>> kliknij Szukaj >>> czekaj cierpliwie aż skończy >>> Kopiuj >>> wklej do posta
2. Zakładka Rootkit >>> zaznaczone tylko Usługi i Pokazuj wszystko >>> kliknij Szukaj >>> czekaj cierpliwie aż skończy >>> Kopiuj >>> wklej do posta


wrzuc na rapida wszystkie

[dusiorek]

czyli logi dac na rapida??

[ Dodano: Dzisiaj o 16:28 ]
ok to te logi http://rapidshare.com/files/45172700/Logi.rar

[wojtas]

skasuj ten folder:

C:\DOCUME~1\ALLUSE~1\DANEAP~1\{54B37BDA-7415-4C17-A2C9-A871DC6D2370}

po za tym ok

start>programy>autostart>kliknij PPM na ctfmon.exe i usun.. nie przyciskaj czasem lewym Idea

teraz usun wszystkie pliki zarazone z folderow Recycled oraz recycler reset kompa i sprawdz czy bedzie ok

robiles?

[dusiorek]

nie ma tego w autostarcie
a do tego nnadal jest ten plik autorun.inf i niewiem co z nim zrobic
a moze pocket kill boxem usunac tego wira?

[wojtas]

a moze pocket kill boxem usunac tego wira?

mozesz sprubowac ale nie wiem czy sie uda

sciagnij tego antywirusa

http://www.instalki.pl/programy/download/antywirusy/Dr_Web_PL.php

i przeskanuj caly system on ma opcje usuwajaca tego wirusa co masz

oraz zrob skan tym skanerem i wklej raport:

http://www.kaspersky.com/virusscanner

[dusiorek]

ok zrobilem skan DR Webem i wykrylo wirusy:
Win 32-Autoruner
Win32-Recycler
Ale nadal jest aktywny proces ctfmon.exe(nie ma go w programy>autostart )
nie wiem co zrobic

PS.Wlasnie skanuje Kasperskim i zaraz dam raport
Oto ten raport:

Kod: Zaznacz wszystko

KASPERSKY ONLINE SCANNER REPORT 
Saturday, July 28, 2007 1:07:20 PM
Operating System: Microsoft Windows XP Professional, Dodatek Service Pack 2 (Build 2600)
Kaspersky Online Scanner version: 5.0.83.0
Kaspersky Anti-Virus database last update: 28/07/2007
Kaspersky Anti-Virus database records: 346120


Scan Settings
Scan using the following antivirus database standard
Scan Archives true
Scan Mail Bases true

Scan Target My Computer
A:\
C:\
D:\
E:\
F:\
G:\ 

Scan Statistics
Total number of scanned objects 34621
Number of viruses found 0
Number of infected objects 0 / 0
Number of suspicious objects 0
Duration of the scan process 00:34:25

Infected Object Name Virus Name Last Action
C:\Documents and Settings\Klaudiusz\Cookies\index.dat  Object is locked  skipped 

C:\Documents and Settings\Klaudiusz\Dane aplikacji\CallingID\CIDLight.ldb  Object is locked  skipped 

C:\Documents and Settings\Klaudiusz\Dane aplikacji\CallingID\CIDLight.mdb  Object is locked  skipped 

C:\Documents and Settings\Klaudiusz\Dane aplikacji\Mozilla\Firefox\Profiles\noi5ar65.default\cert8.db  Object is locked  skipped 

C:\Documents and Settings\Klaudiusz\Dane aplikacji\Mozilla\Firefox\Profiles\noi5ar65.default\flashgot.log  Object is locked  skipped 

C:\Documents and Settings\Klaudiusz\Dane aplikacji\Mozilla\Firefox\Profiles\noi5ar65.default\formhistory.dat  Object is locked  skipped 

C:\Documents and Settings\Klaudiusz\Dane aplikacji\Mozilla\Firefox\Profiles\noi5ar65.default\history.dat  Object is locked  skipped 

C:\Documents and Settings\Klaudiusz\Dane aplikacji\Mozilla\Firefox\Profiles\noi5ar65.default\key3.db  Object is locked  skipped 

C:\Documents and Settings\Klaudiusz\Dane aplikacji\Mozilla\Firefox\Profiles\noi5ar65.default\parent.lock  Object is locked  skipped 

C:\Documents and Settings\Klaudiusz\Dane aplikacji\Mozilla\Firefox\Profiles\noi5ar65.default\search.sqlite  Object is locked  skipped 

C:\Documents and Settings\Klaudiusz\Dane aplikacji\Mozilla\Firefox\Profiles\noi5ar65.default\urlclassifier2.sqlite  Object is locked  skipped 

C:\Documents and Settings\Klaudiusz\NTUSER.DAT  Object is locked  skipped 

C:\Documents and Settings\Klaudiusz\ntuser.dat.LOG  Object is locked  skipped 

C:\Documents and Settings\Klaudiusz\Ustawienia lokalne\Dane aplikacji\Microsoft\Windows\UsrClass.dat  Object is locked  skipped 

C:\Documents and Settings\Klaudiusz\Ustawienia lokalne\Dane aplikacji\Microsoft\Windows\UsrClass.dat.LOG  Object is locked  skipped 

C:\Documents and Settings\Klaudiusz\Ustawienia lokalne\Dane aplikacji\Mozilla\Firefox\Profiles\noi5ar65.default\Cache\_CACHE_001_  Object is locked  skipped 

C:\Documents and Settings\Klaudiusz\Ustawienia lokalne\Dane aplikacji\Mozilla\Firefox\Profiles\noi5ar65.default\Cache\_CACHE_002_  Object is locked  skipped 

C:\Documents and Settings\Klaudiusz\Ustawienia lokalne\Dane aplikacji\Mozilla\Firefox\Profiles\noi5ar65.default\Cache\_CACHE_003_  Object is locked  skipped 

C:\Documents and Settings\Klaudiusz\Ustawienia lokalne\Dane aplikacji\Mozilla\Firefox\Profiles\noi5ar65.default\Cache\_CACHE_MAP_  Object is locked  skipped 

C:\Documents and Settings\Klaudiusz\Ustawienia lokalne\Historia\History.IE5\index.dat  Object is locked  skipped 

C:\Documents and Settings\Klaudiusz\Ustawienia lokalne\Historia\History.IE5\MSHist012007072820070729\index.dat  Object is locked  skipped 

C:\Documents and Settings\Klaudiusz\Ustawienia lokalne\Temp\JET521E.tmp  Object is locked  skipped 

C:\Documents and Settings\Klaudiusz\Ustawienia lokalne\Temp\JET5616.tmp  Object is locked  skipped 

C:\Documents and Settings\Klaudiusz\Ustawienia lokalne\Temp\JET87DF.tmp  Object is locked  skipped 

C:\Documents and Settings\Klaudiusz\Ustawienia lokalne\Temp\~DF5906.tmp  Object is locked  skipped 

C:\Documents and Settings\Klaudiusz\Ustawienia lokalne\Temp\~ROMFN_00000F08  Object is locked  skipped 

C:\Documents and Settings\Klaudiusz\Ustawienia lokalne\Temporary Internet Files\AntiPhishing\B3BB5BBA-E7D5-40AB-A041-A5B1C0B26C8F.dat  Object is locked  skipped 

C:\Documents and Settings\Klaudiusz\Ustawienia lokalne\Temporary Internet Files\Content.IE5\index.dat  Object is locked  skipped 

C:\Documents and Settings\LocalService\Cookies\index.dat  Object is locked  skipped 

C:\Documents and Settings\LocalService\NTUSER.DAT  Object is locked  skipped 

C:\Documents and Settings\LocalService\ntuser.dat.LOG  Object is locked  skipped 

C:\Documents and Settings\LocalService\Ustawienia lokalne\Dane aplikacji\Microsoft\Windows\UsrClass.dat  Object is locked  skipped 

C:\Documents and Settings\LocalService\Ustawienia lokalne\Dane aplikacji\Microsoft\Windows\UsrClass.dat.LOG  Object is locked  skipped 

C:\Documents and Settings\LocalService\Ustawienia lokalne\Historia\History.IE5\index.dat  Object is locked  skipped 

C:\Documents and Settings\LocalService\Ustawienia lokalne\Temporary Internet Files\Content.IE5\index.dat  Object is locked  skipped 

C:\Documents and Settings\NetworkService\NTUSER.DAT  Object is locked  skipped 

C:\Documents and Settings\NetworkService\ntuser.dat.LOG  Object is locked  skipped 

C:\Documents and Settings\NetworkService\Ustawienia lokalne\Dane aplikacji\Microsoft\Windows\UsrClass.dat  Object is locked  skipped 

C:\Documents and Settings\NetworkService\Ustawienia lokalne\Dane aplikacji\Microsoft\Windows\UsrClass.dat.LOG  Object is locked  skipped 

C:\System Volume Information\MountPointManagerRemoteDatabase  Object is locked  skipped 

C:\System Volume Information\tracking.log  Object is locked  skipped 

C:\System Volume Information\_restore{F79151E8-4289-4AAA-B0D5-DCF4B05363C6}\RP4\change.log  Object is locked  skipped 

C:\WINDOWS\Debug\PASSWD.LOG  Object is locked  skipped 

C:\WINDOWS\SchedLgU.Txt  Object is locked  skipped 

C:\WINDOWS\SoftwareDistribution\ReportingEvents.log  Object is locked  skipped 

C:\WINDOWS\Sti_Trace.log  Object is locked  skipped 

C:\WINDOWS\system32\CatRoot2\edb.log  Object is locked  skipped 

C:\WINDOWS\system32\CatRoot2\tmp.edb  Object is locked  skipped 

C:\WINDOWS\system32\config\AppEvent.Evt  Object is locked  skipped 

C:\WINDOWS\system32\config\default  Object is locked  skipped 

C:\WINDOWS\system32\config\default.LOG  Object is locked  skipped 

C:\WINDOWS\system32\config\Internet.evt  Object is locked  skipped 

C:\WINDOWS\system32\config\SAM  Object is locked  skipped 

C:\WINDOWS\system32\config\SAM.LOG  Object is locked  skipped 

C:\WINDOWS\system32\config\SecEvent.Evt  Object is locked  skipped 

C:\WINDOWS\system32\config\SECURITY  Object is locked  skipped 

C:\WINDOWS\system32\config\SECURITY.LOG  Object is locked  skipped 

C:\WINDOWS\system32\config\software  Object is locked  skipped 

C:\WINDOWS\system32\config\software.LOG  Object is locked  skipped 

C:\WINDOWS\system32\config\SysEvent.Evt  Object is locked  skipped 

C:\WINDOWS\system32\config\system  Object is locked  skipped 

C:\WINDOWS\system32\config\system.LOG  Object is locked  skipped 

C:\WINDOWS\system32\drivers\dtscsi.sys  Object is locked  skipped 

C:\WINDOWS\system32\drivers\sptd.sys  Object is locked  skipped 

C:\WINDOWS\system32\drivers\sptd1357.sys  Object is locked  skipped 

C:\WINDOWS\system32\h323log.txt  Object is locked  skipped 

C:\WINDOWS\system32\wbem\Repository\FS\INDEX.BTR  Object is locked  skipped 

C:\WINDOWS\system32\wbem\Repository\FS\INDEX.MAP  Object is locked  skipped 

C:\WINDOWS\system32\wbem\Repository\FS\MAPPING.VER  Object is locked  skipped 

C:\WINDOWS\system32\wbem\Repository\FS\MAPPING1.MAP  Object is locked  skipped 

C:\WINDOWS\system32\wbem\Repository\FS\MAPPING2.MAP  Object is locked  skipped 

C:\WINDOWS\system32\wbem\Repository\FS\OBJECTS.DATA  Object is locked  skipped 

C:\WINDOWS\system32\wbem\Repository\FS\OBJECTS.MAP  Object is locked  skipped 

C:\WINDOWS\wiadebug.log  Object is locked  skipped 

C:\WINDOWS\wiaservc.log  Object is locked  skipped 

C:\WINDOWS\WindowsUpdate.log  Object is locked  skipped 

D:\System Volume Information\MountPointManagerRemoteDatabase  Object is locked  skipped 

D:\System Volume Information\tracking.log  Object is locked  skipped 

F:\System Volume Information\MountPointManagerRemoteDatabase  Object is locked  skipped 

F:\System Volume Information\tracking.log  Object is locked  skipped 

F:\System Volume Information\_restore{F79151E8-4289-4AAA-B0D5-DCF4B05363C6}\RP4\change.log  Object is locked  skipped 

Scan process completed.

[wojtas]

ok zrobilem skan DR Webem i wykrylo wirusy:

a czy nie mogles usunac tym programem?zobacz czy nie masz jakiegos raportu z tego antywirusa...

Wyłącz przywracanie systemu ( właściwości mój komputer-zakładka przywracanie - wyłącz przywracanie na wszystkich dyskach) potem wlacz spowrotem

sciagnij: ATF_Cleaner

http://www.atribune.org/ccount/click.php?id=1
zaznacz
Windows Temp
Temporary internet files
History
i wcisnij EMPTY SELECTED