Wirus?

[kosciel1990]

witam wszystkich mam pytanie sformatowalem calkowicie komputer juz 2 razy i 2 razy od nowa zainstalowalem oczywisice windowsa orginal all wszystko jest ... i wyskakuja mi co troche okienka z internetu explorer z jakimis chinskimi znakami ?;/ co to moze byc zadnego antywirusa nie moge zainstalowac wszystkie instalki sie odrazu wylaczaja juz probowalem przeinstalowac system i dalej nic nie moge zainstalowac ... dysk siadl czy co sie dzieje ?

do pliku " lsass.exe " ktory sie uruchamia przy starcie czesto dopisuje sie cos takiego

" lsass.exe.27037.exe "

zamknac sie oczywiscie tego nie da a usunac tym bardziej bo windows potrzebuje tego pliku

z góry dziekuje za pomoc i pozdrawiam

[ToServeAndProtect]

1. format całego dysku, pendrivy też dla pewności. jeśli chcesz to możesz pousuwać partycje i porobić nowe. wtedy będzie na bank że żadnych wirusów nie będzie
2. zanim zainstalujesz sterowniki do internetu zainstaluj spyware, antywirusa, firewalla, najlepiej od kogoś innego ściągnij nowe instalki i na pendrivie (też od kogoś) przynieś. postaraj się zainstalować jak najnowsze wersje i żadnego avasta. lepiej próbną wersję jakiegoś porządnego softa (ESET albo Kaspersky) niż jakiś badziew.
3. nie instaluj żadnych programów z wyjątkiem tych od zabezpieczeń
4. wtedy instalujesz interneta, aktualizujesz programy zabezpieczające i dla pewności skanujesz kompa

[Okocza]

1. format całego dysku, pendrivy też dla pewności. jeśli chcesz to możesz pousuwać partycje i porobić nowe. wtedy będzie na bank że żadnych wirusów nie będzie

w przypadku kilku wirusów bez tego się nie obędzie

kosciel1990,

daj log z combofixa

[kosciel1990]

Kod: Zaznacz wszystko

(((((((((((((((((((((((((((((((((((((((   Usunięto   )))))))))))))))))))))))))))))))))))))))))))))))))
.

C:\037589.log
C:\AUTORUN.INF
C:\lsass.exe.26618.exe
C:\lsass.exe.27028.exe
C:\lsass.exe.27699.exe
C:\lsass.exe.30503.exe
C:\lsass.exe.30513.exe
C:\lsass.exe.33187.exe
C:\lsass.exe.63681.exe
C:\NetApi000.sys
C:\pagefile.pif
c:\windows\system32\com\lsass.exe
c:\windows\system32\com\netcfg.000
c:\windows\system32\com\netcfg.dll
c:\windows\system32\com\smss.exe
c:\windows\system32\dnsq.dll
c:\windows\system32\drivers\alg.exe
c:\windows\system32\drivers\npf.sys
c:\windows\system32\Packet.dll
c:\windows\system32\pthreadVC.dll
c:\windows\system32\wpcap.dll
D:\AUTORUN.INF
D:\pagefile.pif
D:\sal.xls.exe

.
(((((((((((((((((((((((((((((((((((((((   Sterowniki/Usługi   )))))))))))))))))))))))))))))))))))))))))))))))))
.

-------\Legacy_NPF
-------\Service_NPF


(((((((((((((((((((((((((   Pliki utworzone od 2009-06-01 do 2009-07-01  )))))))))))))))))))))))))))))))
.

2009-07-01 11:40 . 2005-04-24 20:43   13225   ----a-w-   c:\windows\system32\drivers\Razerlow.sys
2009-07-01 11:40 . 2009-07-01 11:40   --------   d-----w-   c:\program files\Razer
2009-07-01 11:40 . 2009-07-01 11:40   --------   d--h--w-   c:\program files\InstallShield Installation Information
2009-07-01 07:21 . 2009-07-01 07:21   --------   d-----w-   c:\windows\system32\CatRoot_bak
2009-07-01 07:09 . 2001-08-18 04:36   8704   ----a-w-   c:\windows\system32\kbdjpn.dll
2009-07-01 07:09 . 2001-08-18 04:36   8704   ----a-w-   c:\windows\system32\dllcache\kbdjpn.dll
2009-07-01 07:09 . 2001-08-18 04:36   8192   ----a-w-   c:\windows\system32\kbdkor.dll
2009-07-01 07:09 . 2001-08-18 04:36   8192   ----a-w-   c:\windows\system32\dllcache\kbdkor.dll
2009-07-01 07:09 . 2001-08-17 20:55   6144   ----a-w-   c:\windows\system32\kbd106.dll
2009-07-01 07:09 . 2001-08-17 20:55   6144   ----a-w-   c:\windows\system32\kbd101c.dll
2009-07-01 07:09 . 2001-08-17 20:55   6144   ----a-w-   c:\windows\system32\dllcache\kbd106.dll
2009-07-01 07:09 . 2001-08-17 20:55   6144   ----a-w-   c:\windows\system32\dllcache\kbd101c.dll
2009-07-01 07:09 . 2001-08-17 20:55   5632   ----a-w-   c:\windows\system32\kbd103.dll
2009-07-01 07:09 . 2001-08-17 20:55   5632   ----a-w-   c:\windows\system32\dllcache\kbd103.dll
2009-07-01 07:09 . 2001-08-17 20:55   6144   ----a-w-   c:\windows\system32\kbd101b.dll
2009-07-01 07:09 . 2001-08-17 20:55   6144   ----a-w-   c:\windows\system32\dllcache\kbd101b.dll
2009-07-01 00:20 . 2004-08-03 21:08   26496   ----a-w-   c:\windows\system32\dllcache\usbstor.sys
2009-06-30 18:57 . 2005-02-25 03:36   22752   ----a-w-   c:\windows\system32\spupdsvc.exe
2009-06-30 18:13 . 2009-06-30 18:13   --------   d-----w-   c:\documents and settings\Gość
2009-06-30 18:07 . 2009-06-30 18:07   --------   d-----w-   c:\documents and settings\All Users\Dane aplikacji\{83C91755-2546-441D-AC40-9A6B4B860800}

.
((((((((((((((((((((((((((((((((((((((((   Sekcja Find3M   ))))))))))))))))))))))))))))))))))))))))))))))))))))
.
2009-07-01 11:42 . 2009-06-30 17:40   154112   --sh--w-   c:\windows\system32\AntiTool.exe
2009-06-30 17:51 . 2009-06-30 17:25   76487   ----a-w-   c:\windows\pchealth\helpctr\OfflineCache\index.dat
2009-06-30 17:37 . 2009-06-30 17:37   --------   d-----w-   c:\program files\Common Files\InstallShield
2009-06-30 17:36 . 2009-06-30 17:36   --------   d-----w-   c:\program files\Nowe Gadu-Gadu
2009-06-30 17:34 . 2009-06-30 17:34   0   ----a-w-   c:\windows\nsreg.dat
2009-06-30 17:33 . 2006-03-02 10:00   49492   ----a-w-   c:\windows\system32\perfc015.dat
2009-06-30 17:33 . 2006-03-02 10:00   355486   ----a-w-   c:\windows\system32\perfh015.dat
2009-06-30 17:26 . 2009-06-30 17:26   --------   d-----w-   c:\program files\microsoft frontpage
2009-06-30 17:24 . 2009-06-30 17:24   --------   d-----w-   c:\program files\Usługi online
2009-06-30 17:23 . 2009-06-30 17:23   21856   ----a-w-   c:\windows\system32\emptyregdb.dat
.

(((((((((((((((((((((((((((((((((((((   Wpisy startowe rejestru   ))))))))))))))))))))))))))))))))))))))))))))))))))
.
.
*Uwaga* puste wpisy oraz domyślne, prawidłowe wpisy nie są pokazane 
REGEDIT4

[HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
"Nowe Gadu-Gadu"="c:\program files\Nowe Gadu-Gadu\gg.exe" [2009-05-28 10486376]

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
"NvCplDaemon"="c:\windows\system32\NvCpl.dll" [2005-02-23 5537792]

[HKEY_USERS\.DEFAULT\Software\Microsoft\Windows\CurrentVersion\Run]
"CTFMON.EXE"="c:\windows\system32\CTFMON.EXE" [2006-03-02 15360]

[HKEY_LOCAL_MACHINE\software\microsoft\security center]
"AntiVirusOverride"=dword:00000001

[HKLM\~\services\sharedaccess\parameters\firewallpolicy\standardprofile\AuthorizedApplications\List]
"%windir%\\system32\\sessmgr.exe"=

R3 Razerlow;Razerlow USB Filter Driver;c:\windows\system32\drivers\Razerlow.sys [2009-07-01 13225]
.
.
------- Skan uzupełniający -------
.
uStart Page = hxxp://www.onet.pl/
TCP: {D43C845C-0966-4701-BA47-5854EC7D81FC} = 10.0.0.1
FF - ProfilePath - c:\documents and settings\rafał\Dane aplikacji\Mozilla\Firefox\Profiles\64hxuxl9.default\
FF - prefs.js: browser.startup.homepage - http://www.onet.pl

---- FIREFOX - SPOSÓB POSTĘPOWANIA ----
c:\program files\Mozilla Firefox\greprefs\all.js - pref("media.enforce_same_site_origin", false);
c:\program files\Mozilla Firefox\greprefs\all.js - pref("media.cache_size", 51200);
c:\program files\Mozilla Firefox\greprefs\all.js - pref("media.ogg.enabled", true);
c:\program files\Mozilla Firefox\greprefs\all.js - pref("media.wave.enabled", true);
c:\program files\Mozilla Firefox\greprefs\all.js - pref("media.autoplay.enabled", true);
c:\program files\Mozilla Firefox\greprefs\all.js - pref("browser.urlbar.autocomplete.enabled", true);
c:\program files\Mozilla Firefox\greprefs\all.js - pref("capability.policy.mailnews.*.wholeText", "noAccess");
c:\program files\Mozilla Firefox\greprefs\all.js - pref("dom.storage.default_quota",      5120);
c:\program files\Mozilla Firefox\greprefs\all.js - pref("content.sink.event_probe_rate", 3);
c:\program files\Mozilla Firefox\greprefs\all.js - pref("network.http.prompt-temp-redirect", true);
c:\program files\Mozilla Firefox\greprefs\all.js - pref("layout.css.dpi", -1);
c:\program files\Mozilla Firefox\greprefs\all.js - pref("layout.css.devPixelsPerPx", -1);
c:\program files\Mozilla Firefox\greprefs\all.js - pref("gestures.enable_single_finger_input", true);
c:\program files\Mozilla Firefox\greprefs\all.js - pref("dom.max_chrome_script_run_time", 0);
c:\program files\Mozilla Firefox\greprefs\all.js - pref("network.tcp.sendbuffer", 131072);
c:\program files\Mozilla Firefox\greprefs\all.js - pref("geo.enabled", true);
c:\program files\Mozilla Firefox\greprefs\security-prefs.js - pref("security.remember_cert_checkbox_default_setting", true);
c:\program files\Mozilla Firefox\defaults\pref\firefox-branding.js - pref("browser.search.param.yahoo-fr", "moz35");
c:\program files\Mozilla Firefox\defaults\pref\firefox-branding.js - pref("browser.search.param.yahoo-fr-cjkt", "moz35");
c:\program files\Mozilla Firefox\defaults\pref\firefox.js - pref("extensions.blocklist.level", 2);
c:\program files\Mozilla Firefox\defaults\pref\firefox.js - pref("browser.urlbar.restrict.typed", "~");
c:\program files\Mozilla Firefox\defaults\pref\firefox.js - pref("browser.urlbar.default.behavior", 0);
c:\program files\Mozilla Firefox\defaults\pref\firefox.js - pref("privacy.clearOnShutdown.history",     true);
c:\program files\Mozilla Firefox\defaults\pref\firefox.js - pref("privacy.clearOnShutdown.formdata",    true);
c:\program files\Mozilla Firefox\defaults\pref\firefox.js - pref("privacy.clearOnShutdown.passwords",   false);
c:\program files\Mozilla Firefox\defaults\pref\firefox.js - pref("privacy.clearOnShutdown.downloads",   true);
c:\program files\Mozilla Firefox\defaults\pref\firefox.js - pref("privacy.clearOnShutdown.cookies",     true);
c:\program files\Mozilla Firefox\defaults\pref\firefox.js - pref("privacy.clearOnShutdown.cache",       true);
c:\program files\Mozilla Firefox\defaults\pref\firefox.js - pref("privacy.clearOnShutdown.sessions",    true);
c:\program files\Mozilla Firefox\defaults\pref\firefox.js - pref("privacy.clearOnShutdown.offlineApps", false);
c:\program files\Mozilla Firefox\defaults\pref\firefox.js - pref("privacy.clearOnShutdown.siteSettings", false);
c:\program files\Mozilla Firefox\defaults\pref\firefox.js - pref("privacy.cpd.history",                 true);
c:\program files\Mozilla Firefox\defaults\pref\firefox.js - pref("privacy.cpd.formdata",                true);
c:\program files\Mozilla Firefox\defaults\pref\firefox.js - pref("privacy.cpd.passwords",               false);
c:\program files\Mozilla Firefox\defaults\pref\firefox.js - pref("privacy.cpd.downloads",               true);
c:\program files\Mozilla Firefox\defaults\pref\firefox.js - pref("privacy.cpd.cookies",                 true);
c:\program files\Mozilla Firefox\defaults\pref\firefox.js - pref("privacy.cpd.cache",                   true);
c:\program files\Mozilla Firefox\defaults\pref\firefox.js - pref("privacy.cpd.sessions",                true);
c:\program files\Mozilla Firefox\defaults\pref\firefox.js - pref("privacy.cpd.offlineApps",             false);
c:\program files\Mozilla Firefox\defaults\pref\firefox.js - pref("privacy.cpd.siteSettings",            false);
c:\program files\Mozilla Firefox\defaults\pref\firefox.js - pref("privacy.sanitize.migrateFx3Prefs",    false);
c:\program files\Mozilla Firefox\defaults\pref\firefox.js - pref("browser.ssl_override_behavior", 2);
c:\program files\Mozilla Firefox\defaults\pref\firefox.js - pref("security.alternate_certificate_error_page", "certerror");
c:\program files\Mozilla Firefox\defaults\pref\firefox.js - pref("browser.privatebrowsing.autostart", false);
c:\program files\Mozilla Firefox\defaults\pref\firefox.js - pref("browser.privatebrowsing.dont_prompt_on_enter", false);
c:\program files\Mozilla Firefox\defaults\pref\firefox.js - pref("geo.wifi.uri", "https://www.google.com/loc/json");
.

**************************************************************************

catchme 0.3.1398 W2K/XP/Vista - rootkit/stealth malware detector by Gmer, http://www.gmer.net
Rootkit scan 2009-07-01 13:47
Windows 5.1.2600 Dodatek Service Pack 2 FAT NTAPI

skanowanie ukrytych procesów ... 

skanowanie ukrytych wpisów autostartu ...

skanowanie ukrytych plików ... 

skanowanie pomyślnie ukończone
ukryte pliki: 0

**************************************************************************
.
--------------------- Pliki DLL ładowane pod uruchomionymi procesami ---------------------

- - - - - - - > 'explorer.exe'(220)
c:\windows\system32\browselc.dll
.
------------------------ Pozostałe uruchomione procesy ------------------------
.
c:\windows\SYSTEM32\NVSVC32.EXE
c:\windows\SYSTEM32\WSCNTFY.EXE
.
**************************************************************************
.
Czas ukończenia: 2009-07-01 13:48 - komputer został uruchomiony ponownie
ComboFix-quarantined-files.txt  2009-07-01 11:48

Przed: 11 629 330 432 bajtów wolnych
Po: 11 641 069 568 bajtów wolnych

170

Dodano Dzisiaj, 13:52:
caly log usunelo to lsass.exe jakies ale nie wiem zobaczymy cos jeszcze radzicie czy teraz powinno byc ok ?

Dodano Dzisiaj, 14:05:
i tak wogole to chyba na pendrive mam wirusa ;/ bo jak podlaczam pendrive to wyskakuja mi takie znaczki dziwne juz w moim komputerze
klikam prawym na ikone tam pendrive i nie ma otowrz eksploruj itd tylko jakies takie dziwne znaczki ;/ moze pendrive i za kazdym razem jak wkladam wirus laduje sie na kompie sciagam eseta zobaczymy

[Okocza]

kosciel1990, wstaw log w tagi 'code' i sformatuj wszystkie pendrive jakie masz w domu

[kosciel1990]

nie spoko juz dzieki all dziala jak powinno tak jak myslalem na pendrivie byl wirus te pliki nie byly widoczne jak sie wlaczalo pendriva ale byly tam juz all usuniete do zamkniecia temat dzieki wszystkim za pomoc i pozdrawiam.

[Okocza]

c:\windows\system32\AntiTool.exe <--- skasuj ten plik ręcznie z dysku i wykonaj:

wykonaj optymalizację windowsa

Czysto, wykonaj:

Wykonaj to co jest podane w tym temacie

1. tym programem przejdź komputer)
2. wykonaj optymalizację windowsa
3.sciagnij ATF_Cleaner
zaznacz
Windows Temp
All users Temp
Temporary internet files
Recycle Bin
i wcisnij EMPTY SELECTED
4.Wyłącz przywracanie systemu ( właściwości mój komputer-zakładka przywracanie - wyłącz przywracanie na wszystkich dyskach). Po chwili włącz je powrotem
5. Przeskanuj komputer pod względem Trojanów tym programem
6. Wstaw na forum screen z zakładki uruchamianie (start – uruchom – msconfig – uruchamianie) może uda się cos wyrzucic stamtąd.
7. Przeskanuj obszar mojego komputera http://www.kaspersky.pl/virusscanner.html (uruchom przez IE) Daj raport z niego na forum.