Rootkit w pliku nmdfgds0.dll

**Posty:** 4 · przez **rapek** 07 Mar 2009, 16:36

Avast wykrył mi że mam Rootkita w pliku nmdfgds0.dll. Komputer został zarażony przez Mp3 znajomego. Program Trojan remover po usunieciu możliwych plików wykrywał tylko plik 2.bat ( Po użyciu combofixa nie znajduje zarażonych plików ). Zaś avast po użyciu combofixa wykrywa nastepujace zarażone pliki:
plik : C:\Qoobox\Quarantine\C\WINDOWS\system32\gasretyw0.dll.vir
Nazwa : Win32:KAvos[Trj]
plik : C:\System Volume Information\_restore{35F2397A-859E-48E0-BB4
Typ: jak wyzej
plik : D:\m9ma.exe
Typ j.w
plik : D:\System Volume Information\_restore{35F2397A-859E-48E0-BB4B-5827D6043638}\RP120\A0026337.exe
Typ j.w
plik : E:\m9ma.exe
Typ: jw
plik : E:\System Volume Information\_restore{35F2397A-859E-48E0-BB4B-5827D6043638}\RP120\A0026338.exe
typ: jw

Log Combofix:

Kod: Zaznacz wszystko: ComboFix 09-03-06.02 - rafal 2009-03-07 14:04:40.1 - NTFSx86 Microsoft Windows XP Professional 5.1.2600.3.1250.1.1045.18.2046.1449 [GMT 1:00] Uruchomiony z: e:\instalki programow\ComboFix.exe AV: avast! antivirus 4.8.1335 [VPS 090306-0] *On-access scanning enabled* (Updated) * Utworzono nowy punkt przywracania . ((((((((((((((((((((((((((((((((((((((( Usunięto ))))))))))))))))))))))))))))))))))))))))))))))))) . C:\2.bat C:\autorun.inf c:\windows\system32\gasretyw0.dll c:\windows\system32\nmdfgds0.dll c:\windows\system32\olhrwef.exe D:\2.bat D:\Autorun.inf E:\2.bat E:\Autorun.inf . ((((((((((((((((((((((((( Pliki utworzone od 2009-02-07 do 2009-03-07 ))))))))))))))))))))))))))))))) . 2009-03-03 18:28 . 2009-03-03 18:28 <DIR> d-------- c:\documents and settings\LocalService\Moje dokumenty 2009-03-03 17:45 . 2009-03-03 17:45 <DIR> d-------- c:\documents and settings\All Users\Dane aplikacji\UDL 2009-03-03 17:44 . 2009-03-03 17:44 <DIR> d-------- c:\program files\Epson Software 2009-03-03 17:43 . 2009-03-03 17:44 <DIR> d-------- c:\program files\ABBYY FineReader 6.0 Sprint 2009-03-03 17:42 . 2007-06-22 00:10 501,912 --a------ c:\windows\system32\PICSDK2.dll 2009-03-03 17:41 . 2007-12-07 03:08 86,528 --a------ c:\windows\system32\E_FLBEDE.DLL 2009-03-03 17:41 . 2007-12-07 03:01 78,848 --a------ c:\windows\system32\E_FD4BEDE.DLL 2009-03-03 17:41 . 2008-04-14 00:17 25,856 --a------ c:\windows\system32\drivers\usbprint.sys 2009-03-03 17:41 . 2008-04-14 00:17 25,856 --a--c--- c:\windows\system32\dllcache\usbprint.sys 2009-03-03 17:41 . 2008-04-14 00:15 15,104 --a------ c:\windows\system32\drivers\usbscan.sys 2009-03-03 17:41 . 2008-04-14 00:15 15,104 --a--c--- c:\windows\system32\dllcache\usbscan.sys 2009-03-03 17:41 . 2007-04-10 02:06 8,192 --a------ c:\windows\system32\E_DCINST.DLL 2009-03-03 17:37 . 2009-03-03 17:44 <DIR> d-------- c:\program files\epson 2009-03-03 17:37 . 2009-03-03 17:41 <DIR> d-------- c:\documents and settings\All Users\Dane aplikacji\EPSON 2009-03-03 17:37 . 2007-07-13 00:00 71,680 --a------ c:\windows\system32\escwiad.dll 2009-03-03 17:37 . 2009-03-03 17:37 26 --a------ c:\windows\CDESX100EXPORT.ini 2009-02-28 20:39 . 2009-02-28 20:39 107,888 --a------ c:\windows\system32\CmdLineExt.dll 2009-02-25 20:14 . 2009-02-25 20:14 <DIR> d-------- c:\documents and settings\Gość\Dane aplikacji\Nowe Gadu-Gadu 2009-02-25 19:04 . 2009-02-25 19:04 <DIR> d-------- c:\documents and settings\rafal\OngameNetwork 2009-02-24 23:40 . 2009-02-24 23:40 <DIR> d-------- c:\documents and settings\rafal\.gstreamer-0.10 2009-02-24 23:37 . 2009-02-24 23:37 <DIR> d-------- c:\documents and settings\rafal\Dane aplikacji\Nowe Gadu-Gadu 2009-02-21 10:21 . 2009-02-21 10:21 <DIR> d-------- c:\program files\BS.Player ControlBar 2009-02-21 10:21 . 2009-02-21 10:21 <DIR> d-------- c:\documents and settings\rafal\Dane aplikacji\BSplayer Pro 2009-02-21 10:21 . 2009-03-06 01:33 <DIR> d-------- c:\documents and settings\rafal\Dane aplikacji\BSplayer 2009-02-15 00:27 . 2009-02-15 00:27 <DIR> d-------- c:\documents and settings\All Users\Dane aplikacji\TEMP 2009-02-15 00:26 . 2009-02-15 00:26 <DIR> d-------- c:\documents and settings\rafal\Dane aplikacji\Simply Super Software 2009-02-15 00:26 . 2009-02-15 00:26 <DIR> d-------- c:\documents and settings\All Users\Dane aplikacji\Simply Super Software 2009-02-15 00:26 . 2006-05-25 14:52 162,304 --a------ c:\windows\system32\ztvunrar36.dll 2009-02-15 00:26 . 2003-02-02 19:06 153,088 --a------ c:\windows\system32\UNRAR3.dll 2009-02-15 00:26 . 2005-08-26 00:50 77,312 --a------ c:\windows\system32\ztvunace26.dll 2009-02-15 00:26 . 2002-03-06 00:00 75,264 --a------ c:\windows\system32\unacev2.dll 2009-02-15 00:26 . 2006-06-19 12:01 69,632 --a------ c:\windows\system32\ztvcabinet.dll 2009-02-14 00:04 . 2009-02-14 00:04 <DIR> d-------- c:\documents and settings\rafal\Dane aplikacji\Samsung 2009-02-13 23:43 . 2009-02-13 23:43 <DIR> d-------- c:\windows\system32\Samsung_USB_Drivers 2009-02-13 23:43 . 2006-05-03 22:53 174,592 --a------ c:\windows\system32\framedyn.dll 2009-02-13 23:43 . 2005-08-28 20:51 766 --a------ c:\windows\system32\Uninstall.ico 2009-02-13 23:42 . 2009-02-13 23:56 5,632 --a------ c:\windows\system32\drivers\StarOpen.sys 2009-02-13 20:56 . 2009-02-13 20:57 <DIR> d-------- c:\documents and settings\Gość\Dane aplikacji\BitTorrent 2009-02-13 20:55 . 2009-03-07 14:05 <DIR> d--h----- c:\documents and settings\Gość\Ustawienia lokalne 2009-02-13 20:55 . 2009-03-07 14:05 <DIR> d--h----- c:\documents and settings\Gość\Ustawienia lokalne 2009-02-13 20:55 . 2009-02-13 20:55 <DIR> dr------- c:\documents and settings\Gość\Ulubione 2009-02-13 20:55 . 2009-02-13 20:55 <DIR> dr------- c:\documents and settings\Gość\Ulubione 2009-02-13 20:55 . 2008-12-02 17:29 <DIR> d--h----- c:\documents and settings\Gość\Szablony 2009-02-13 20:55 . 2008-12-02 17:29 <DIR> d--h----- c:\documents and settings\Gość\Szablony 2009-02-13 20:55 . 2009-02-25 21:07 <DIR> d-------- c:\documents and settings\Gość\Pulpit 2009-02-13 20:55 . 2009-02-25 21:07 <DIR> d-------- c:\documents and settings\Gość\Pulpit 2009-02-13 20:55 . 2009-02-27 23:41 <DIR> dr------- c:\documents and settings\Gość\Moje dokumenty 2009-02-13 20:55 . 2009-02-27 23:41 <DIR> dr------- c:\documents and settings\Gość\Moje dokumenty 2009-02-13 20:55 . 2008-12-02 18:23 <DIR> dr------- c:\documents and settings\Gość\Menu Start 2009-02-13 20:55 . 2008-12-02 18:23 <DIR> dr------- c:\documents and settings\Gość\Menu Start 2009-02-13 20:55 . 2009-02-25 20:14 <DIR> dr-h----- c:\documents and settings\Gość\Dane aplikacji 2009-02-13 20:55 . 2009-02-25 20:14 <DIR> dr-h----- c:\documents and settings\Gość\Dane aplikacji 2009-02-13 20:55 . 2009-03-06 01:34 <DIR> d-------- c:\documents and settings\Gość 2009-02-11 23:04 . 2009-02-11 23:04 <DIR> d-------- c:\windows\Sun . (((((((((((((((((((((((((((((((((((((((( Sekcja Find3M )))))))))))))))))))))))))))))))))))))))))))))))))))) . 2009-03-07 13:07 16,608 ----a-w c:\windows\gdrv.sys 2009-03-07 13:07 --------- d-----w c:\program files\DNA 2009-03-07 13:07 --------- d-----w c:\documents and settings\rafal\Dane aplikacji\DNA 2009-03-05 13:52 --------- d-----w c:\program files\Odkurzacz 2009-03-03 17:27 --------- d-----w c:\documents and settings\rafal\Dane aplikacji\OpenOffice.org2 2009-03-03 16:44 --------- d--h--w c:\program files\InstallShield Installation Information 2009-03-03 16:44 --------- d-----w c:\program files\Common Files\InstallShield 2009-02-25 15:16 --------- d-----w c:\program files\NAPI-PROJEKT 2009-02-21 16:57 --------- d-----w c:\documents and settings\rafal\Dane aplikacji\Microgaming 2009-02-19 19:37 30,008 ----a-w c:\windows\system32\drivers\ET5Drv.sys 2009-02-08 00:16 --------- d-----w c:\documents and settings\rafal\Dane aplikacji\BitTorrent 2009-01-25 14:01 410,984 ----a-w c:\windows\system32\deploytk.dll 2009-01-25 14:01 --------- d-----w c:\program files\Java 2009-01-25 12:27 --------- d-----w c:\program files\MSXML 4.0 2009-01-24 22:51 --------- d-----w c:\program files\Common Files\Java 2009-01-24 07:16 --------- d-----w c:\documents and settings\All Users\Dane aplikacji\Electronic Arts 2009-01-21 14:11 --------- d-----w c:\program files\AskBarDis 2009-01-19 23:59 --------- d-----w c:\program files\K-Lite Codec Pack 2009-01-19 23:50 --------- d-----w c:\program files\Google 2009-01-19 23:50 --------- d-----w c:\program files\Common Files\Real 2009-01-14 23:39 --------- d-----w c:\program files\Microsoft Games for Windows - LIVE 2009-01-11 17:16 --------- d-----w c:\documents and settings\rafal\Dane aplikacji\teamspeak2 2009-01-10 20:02 --------- d-----w c:\program files\NETPLUS 2009-01-09 23:05 --------- d-----w c:\program files\IrfanView 2009-01-08 19:08 --------- d-----w c:\program files\Real 2009-01-07 20:48 --------- d-----w c:\program files\Foxit Software 2009-01-07 20:48 --------- d-----w c:\documents and settings\rafal\Dane aplikacji\Foxit 2008-12-29 14:45 183,112 ----a-w c:\windows\system32\PnkBstrB.exe 2008-12-26 02:08 1,700,352 ----a-w c:\windows\system32\gdiplus.dll 2008-12-19 18:16 66,872 ----a-w c:\windows\system32\PnkBstrA.exe 2008-12-11 20:37 42,320 ----a-w c:\windows\system32\xfcodec.dll . ((((((((((((((((((((((((((((((((((((( Wpisy startowe rejestru )))))))))))))))))))))))))))))))))))))))))))))))))) . . *Uwaga* puste wpisy oraz domyślne, prawidłowe wpisy nie są pokazane REGEDIT4 [HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\URLSearchHooks] "{57BCA5FA-5DBB-45a2-B558-1755C3F6253B}"= "c:\program files\Winamp Toolbar\winamptb.dll" [2008-07-16 1266992] [HKEY_CLASSES_ROOT\clsid\{57bca5fa-5dbb-45a2-b558-1755c3f6253b}] [HKEY_CLASSES_ROOT\WINAMPTB.AOLTBSearch.1] [HKEY_CLASSES_ROOT\TypeLib\{538CD77C-BFDD-49b0-9562-77419CAB89D1}] [HKEY_CLASSES_ROOT\WINAMPTB.AOLTBSearch] [HKEY_LOCAL_MACHINE\~\Browser Helper Objects\{201f27d4-3704-41d6-89c1-aa35e39143ed}] 2008-11-18 12:58 333192 --a------ c:\program files\AskBarDis\bar\bin\askBar.dll [HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Internet Explorer\Toolbar] "{3041d03e-fd4b-44e0-b742-2d9b88305f98}"= "c:\program files\AskBarDis\bar\bin\askBar.dll" [2008-11-18 333192] [HKEY_CLASSES_ROOT\clsid\{3041d03e-fd4b-44e0-b742-2d9b88305f98}] [HKEY_CLASSES_ROOT\TypeLib\{4b1c1e16-6b34-430e-b074-5928eca4c150}] [HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\Toolbar\Webbrowser] "{3041D03E-FD4B-44E0-B742-2D9B88305F98}"= "c:\program files\AskBarDis\bar\bin\askBar.dll" [2008-11-18 333192] [HKEY_CLASSES_ROOT\clsid\{3041d03e-fd4b-44e0-b742-2d9b88305f98}] [HKEY_CLASSES_ROOT\TypeLib\{4b1c1e16-6b34-430e-b074-5928eca4c150}] [HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] "CTFMON.EXE"="c:\windows\system32\ctfmon.exe" [2008-04-14 15360] "DAEMON Tools Lite"="d:\programy\deamon\DAEMON Tools Lite\daemon.exe" [2008-04-01 486856] "BitTorrent DNA"="c:\program files\DNA\btdna.exe" [2008-12-19 342848] "EA Core"="d:\programy\fifa download manager\EADM\Core.exe" [2009-02-06 3325952] "BgMonitor_{79662E04-7C6C-4d9f-84C7-88D8A56B10AA}"="c:\program files\Common Files\Ahead\Lib\NMBgMonitor.exe" [2007-06-27 152872] "RGSC"="e:\gta\Rockstar Games Social Club\RGSCLauncher.exe" [2009-01-15 306088] "ALLUpdate"="d:\programy\ALLPlayer\ALLUpdate.exe" [2008-11-24 869888] "Odkurzacz-MCD"="c:\program files\Odkurzacz\odk_mcd.exe" [2008-08-16 264704] "EPSON SX100 Series"="c:\windows\System32\spool\DRIVERS\W32X86\3\E_FATIEDE.EXE" [2008-02-05 188928] [HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] "ISUSPM Startup"="c:\program files\Common Files\InstallShield\UpdateService\isuspm.exe" [2005-08-11 249856] "ISUSScheduler"="c:\program files\Common Files\InstallShield\UpdateService\issch.exe" [2005-08-11 81920] "GEST"="c:\program files\GIGABYTE\GEST\RUN.exe" [2009-02-19 236040] "JMB36X IDE Setup"="c:\windows\RaidTool\xInsIDE.exe" [2007-03-20 36864] "36X Raid Configurer"="c:\windows\system32\xRaidSetup.exe" [2007-08-29 1966080] "NvCplDaemon"="c:\windows\system32\NvCpl.dll" [2008-10-07 13574144] "NvMediaCenter"="c:\windows\system32\NvMcTray.dll" [2008-10-07 86016] "avast!"="d:\programy\avast\ashDisp.exe" [2009-02-05 81000] "QuickTime Task"="c:\program files\QuickTime\QTTask.exe" [2008-11-04 413696] "iTunesHelper"="d:\programy\quick player\iTunesHelper.exe" [2008-11-20 290088] "NeroFilterCheck"="c:\program files\Common Files\Ahead\Lib\NeroCheck.exe" [2007-03-01 153136] "SecurDisc"="c:\program files\Nero\Nero 7\InCD\NBHGui.exe" [2007-06-25 1629480] "InCD"="c:\program files\Nero\Nero 7\InCD\InCD.exe" [2007-06-25 1057064] "WinampAgent"="d:\programy\winamp\winampa.exe" [2008-09-12 36352] "SunJavaUpdateSched"="c:\program files\Java\jre6\bin\jusched.exe" [2009-01-25 136600] "TrojanScanner"="d:\programy\Trojan Remover\Trjscan.exe" [2009-01-01 1231752] "RTHDCPL"="RTHDCPL.EXE" [2007-09-19 c:\windows\RTHDCPL.exe] "nwiz"="nwiz.exe" [2008-10-07 c:\windows\system32\nwiz.exe] [HKEY_USERS\.DEFAULT\Software\Microsoft\Windows\CurrentVersion\Run] "CTFMON.EXE"="c:\windows\system32\CTFMON.EXE" [2008-04-14 15360] c:\documents and settings\rafal\Menu Start\Programy\Autostart\ GIGABYTE Gamer HUD.exe.lnk - c:\documents and settings\rafal\Dane aplikacji\Microsoft\Installer\{B2BE514B-F1B3-43AB-84DD-3377ADBA1A7F}\HUD.exe1_CC5DF1A2468043D58FABB63B71468005.exe [2008-12-02 40960] [HKEY_LOCAL_MACHINE\software\microsoft\windows nt\currentversion\drivers32] "VIDC.XFR1"= xfcodec.dll "msacm.ac3filter"= ac3filter.acm [HKLM\~\services\sharedaccess\parameters\firewallpolicy\standardprofile\AuthorizedApplications\List] "%windir%\\system32\\sessmgr.exe"= "c:\\Program Files\\DNA\\btdna.exe"= "d:\\programy\\BitTorrent\\bittorrent.exe"= "d:\\programy\\mirc\\mirc.exe"= "d:\\gry\\fifa09\\FIFA09.exe"= "d:\\programy\\sopcast\\adv\\SopAdver.exe"= "d:\\programy\\sopcast\\SopCast.exe"= "d:\\programy\\dc\\DC++\\DCPlusPlus.exe"= "c:\\Program Files\\Bonjour\\mDNSResponder.exe"= "d:\\programy\\quick player\\iTunes.exe"= "d:\\programy\\xfire\\xfire.exe"= "c:\\Documents and Settings\\rafal\\Ustawienia lokalne\\Dane aplikacji\\Dyyno Receiver\\DPPM.exe"= "d:\\programy\\gg\\Gadu-Gadu\\gg.exe"= "d:\\gry\\footbal M 09\\fm.exe"= "d:\\programy\\opera\\opera.exe"= "d:\\programy\\ang\\data\\fscommand\\flashex.exe"= "e:\\gta\\Rockstar Games Social Club\\RGSCLauncher.exe"= "e:\\Program Files\\Rockstar Games\\Grand Theft Auto IV\\LaunchGTAIV.exe"= "e:\\Program Files\\Rockstar Games\\Grand Theft Auto IV\\GTAIV.exe"= "%windir%\\Network Diagnostic\\xpnetdiag.exe"= "c:\\Program Files\\GIGABYTE\\GEST\\run.exe"= "d:\\programy\\fifa download manager\\EADM\\Core.exe"= "d:\\programy\\gg\\Nowe Gadu-Gadu\\gg.exe"= R1 aswSP;avast! Self Protection;c:\windows\system32\drivers\aswSP.sys [2008-12-03 114768] R2 aswFsBlk;aswFsBlk;c:\windows\system32\drivers\aswFsBlk.sys [2008-12-03 20560] R3 GEST Service;GEST Service for program management.;c:\program files\GIGABYTE\GEST\gsvr.exe [2008-12-02 55816] [HKEY_CURRENT_USER\software\microsoft\windows\currentversion\explorer\mountpoints2\{0fe37b8f-0a9b-11de-96cf-001d7d02e537}] \Shell\AutoRun\command - H:\m9ma.exe \Shell\explore\Command - H:\m9ma.exe \Shell\open\Command - H:\m9ma.exe [HKEY_CURRENT_USER\software\microsoft\windows\currentversion\explorer\mountpoints2\{8d7976fa-d99c-11dd-963e-001d7d02e537}] \Shell\AutoRun\command - H:\m9ma.exe \Shell\explore\Command - H:\m9ma.exe \Shell\open\Command - H:\m9ma.exe [HKEY_LOCAL_MACHINE\software\microsoft\active setup\installed components\{10880D85-AAD9-4558-ABDC-2AB1552D831F}] "c:\program files\Common Files\LightScribe\LSRunOnce.exe" . Zawartość folderu 'Zaplanowane zadania' 2009-03-04 c:\windows\Tasks\AppleSoftwareUpdate.job - c:\program files\Apple Software Update\SoftwareUpdate.exe [2008-07-30 12:34] . - - - - USUNIĘTO PUSTE WPISY - - - - HKCU-Run-cdoosoft - c:\windows\system32\olhrwef.exe . ------- Skan uzupełniający ------- . uStart Page = hxxp://www.bsplayer-search.com/startpage mStart Page = hxxp://www.yahoo.com uInternet Connection Wizard,ShellNext = hxxp://www.yahoo.com/ uInternet Settings,ProxyOverride = *.local uSearchURL,(Default) = hxxp://www.google.com/search?q=%s IE: &Winamp Search - c:\documents and settings\All Users\Dane aplikacji\Winamp Toolbar\ieToolbar\resources\en-US\local\search.html DPF: {4E218431-2F07-40BD-A9D3-035324C1F13F} - hxxp://webserver.dyyno.com/DyynoClient/DyynoCAB.CAB . ************************************************************************** catchme 0.3.1367 W2K/XP/Vista - rootkit/stealth malware detector by Gmer, http://www.gmer.net Rootkit scan 2009-03-07 14:07:34 Windows 5.1.2600 Dodatek Service Pack 3 NTFS skanowanie ukrytych procesów ... skanowanie ukrytych wpisów autostartu ... skanowanie ukrytych plików ... skanowanie pomyślnie ukończone ukryte pliki: 0 ************************************************************************** . --------------------- ZABLOKOWANE KLUCZE REJESTRU --------------------- [HKEY_USERS\S-1-5-21-1454471165-1229272821-839522115-1003\Software\SecuROM\License information*] "datasecu"=hex:93,43,ac,9e,5a,df,9f,c3,44,1a,ce,1e,1c,71,9c,00,71,99,06,42,b8, d9,d7,b4,fb,60,77,fb,1f,12,bb,bf,ce,49,91,98,b6,e4,93,d2,84,3a,f4,c2,db,9e,\ "rkeysecu"=hex:24,bc,4c,02,5f,bb,84,00,b5,08,ec,14,cf,fb,91,ed . ------------------------ Pozostałe uruchomione procesy ------------------------ . d:\programy\avast\aswUpdSv.exe d:\programy\avast\ashServ.exe c:\program files\Common Files\Apple\Mobile Device Support\bin\AppleMobileDeviceService.exe c:\program files\Bonjour\mDNSResponder.exe c:\program files\Nero\Nero 7\InCD\InCDsrv.exe c:\program files\Java\jre6\bin\jqs.exe c:\program files\Common Files\LightScribe\LSSrvc.exe c:\windows\system32\nvsvc32.exe c:\windows\system32\PnkBstrA.exe c:\windows\system32\rundll32.exe c:\program files\iPod\bin\iPodService.exe c:\program files\Common Files\Ahead\Lib\NMIndexingService.exe c:\windows\system32\wbem\wmiapsrv.exe c:\program files\GIGABYTE\Gamer GIGABYTE Gamer HUD\HUD.exe c:\program files\Common Files\Ahead\Lib\NMIndexStoreSvr.exe c:\windows\system32\wscntfy.exe c:\windows\Microsoft.NET\Framework\v3.0\WPF\PresentationFontCache.exe d:\programy\opera\opera.exe . ************************************************************************** . Czas ukończenia: 2009-03-07 14:08:58 - komputer został uruchomiony ponownie ComboFix-quarantined-files.txt 2009-03-07 13:08:55 Przed: 619 839 488 bajtów wolnych Po: 747,929,600 bajtów wolnych WindowsXP-KB310994-SP2-Pro-BootDisk-PLK.exe [boot loader] timeout=2 default=multi(0)disk(0)rdisk(0)partition(1)\WINDOWS [operating systems] c:\cmdcons\BOOTSECT.DAT="Microsoft Windows Recovery Console" /cmdcons multi(0)disk(0)rdisk(0)partition(1)\WINDOWS="Microsoft Windows XP Professional" /noexecute=optin /fastdetect 272 --- E O F --- 2009-01-25 12:29:26

Log Hijackthis :

Kod: Zaznacz wszystko: Logfile of Trend Micro HijackThis v2.0.2 Scan saved at 15:31:59, on 2009-03-07 Platform: Windows XP Dodatek SP3 (WinNT 5.01.2600) MSIE: Internet Explorer v6.00 SP3 (6.00.2900.5512) Boot mode: Normal Running processes: C:\WINDOWS\System32\smss.exe C:\WINDOWS\system32\winlogon.exe C:\WINDOWS\system32\services.exe C:\WINDOWS\system32\lsass.exe C:\WINDOWS\system32\svchost.exe C:\WINDOWS\System32\svchost.exe D:\programy\avast\aswUpdSv.exe D:\programy\avast\ashServ.exe C:\WINDOWS\system32\spoolsv.exe C:\Program Files\Common Files\Apple\Mobile Device Support\bin\AppleMobileDeviceService.exe C:\Program Files\Bonjour\mDNSResponder.exe C:\Program Files\Nero\Nero 7\InCD\InCDsrv.exe C:\Program Files\Java\jre6\bin\jqs.exe C:\Program Files\Common Files\LightScribe\LSSrvc.exe C:\WINDOWS\system32\nvsvc32.exe C:\WINDOWS\system32\PnkBstrA.exe C:\WINDOWS\system32\svchost.exe C:\Program Files\Common Files\InstallShield\UpdateService\issch.exe C:\WINDOWS\RTHDCPL.EXE C:\WINDOWS\system32\RUNDLL32.EXE D:\programy\avast\ashDisp.exe D:\programy\quick player\iTunesHelper.exe C:\Program Files\Nero\Nero 7\InCD\NBHGui.exe C:\Program Files\Nero\Nero 7\InCD\InCD.exe D:\programy\winamp\winampa.exe C:\Program Files\Java\jre6\bin\jusched.exe C:\WINDOWS\system32\ctfmon.exe D:\programy\deamon\DAEMON Tools Lite\daemon.exe C:\Program Files\DNA\btdna.exe D:\programy\fifa download manager\EADM\Core.exe C:\Program Files\Common Files\Ahead\Lib\NMBgMonitor.exe C:\Program Files\iPod\bin\iPodService.exe C:\Program Files\Common Files\Ahead\Lib\NMIndexingService.exe C:\WINDOWS\system32\wbem\wmiapsrv.exe C:\Program Files\GIGABYTE\Gamer GIGABYTE Gamer HUD\HUD.exe C:\Program Files\Common Files\Ahead\Lib\NMIndexStoreSvr.exe C:\Program Files\GIGABYTE\GEST\GSvr.exe C:\WINDOWS\system32\wuauclt.exe D:\programy\opera\opera.exe C:\WINDOWS\explorer.exe C:\WINDOWS\system32\notepad.exe D:\programy\avast\ashMaiSv.exe D:\programy\avast\ashWebSv.exe D:\programy\gg\Nowe Gadu-Gadu\gg.exe D:\programy\gg\Nowe Gadu-Gadu\spellchecker_gg.exe D:\Program Files\Trend Micro\HijackThis\HijackThis.exe R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.bsplayer-search.com/startpage R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://go.microsoft.com/fwlink/?LinkId=69157 R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://go.microsoft.com/fwlink/?LinkId=54896 R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = http://go.microsoft.com/fwlink/?LinkId=54896 R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.yahoo.com R1 - HKCU\Software\Microsoft\Internet Connection Wizard,ShellNext = http://www.yahoo.com/ R1 - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings,ProxyOverride = *.local R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Łącza R3 - URLSearchHook: Winamp Search Class - {57BCA5FA-5DBB-45a2-B558-1755C3F6253B} - C:\Program Files\Winamp Toolbar\winamptb.dll O2 - BHO: AskBar BHO - {201f27d4-3704-41d6-89c1-aa35e39143ed} - C:\Program Files\AskBarDis\bar\bin\askBar.dll O2 - BHO: Winamp Toolbar Loader - {25CEE8EC-5730-41bc-8B58-22DDC8AB8C20} - C:\Program Files\Winamp Toolbar\winamptb.dll O2 - BHO: Java(tm) Plug-In SSV Helper - {761497BB-D6F0-462C-B6EB-D4DAF1D92D43} - C:\Program Files\Java\jre6\bin\ssv.dll O2 - BHO: Easy Photo Print - {9421DD08-935F-4701-A9CA-22DF90AC4EA6} - C:\Program Files\Epson Software\Easy Photo Print\EPTBL.dll O2 - BHO: Java(tm) Plug-In 2 SSV Helper - {DBC80044-A445-435b-BC74-9C25C1C588A9} - C:\Program Files\Java\jre6\bin\jp2ssv.dll O2 - BHO: JQSIEStartDetectorImpl - {E7E6F031-17CE-4C07-BC86-EABFE594F69C} - C:\Program Files\Java\jre6\lib\deploy\jqs\ie\jqs_plugin.dll O2 - BHO: EpsonToolBandKicker Class - {E99421FB-68DD-40F0-B4AC-B7027CAE2F1A} - C:\Program Files\EPSON\EPSON Web-To-Page\EPSON Web-To-Page.dll O3 - Toolbar: Winamp Toolbar - {EBF2BA02-9094-4c5a-858B-BB198F3D8DE2} - C:\Program Files\Winamp Toolbar\winamptb.dll O3 - Toolbar: Foxit Toolbar - {3041d03e-fd4b-44e0-b742-2d9b88305f98} - C:\Program Files\AskBarDis\bar\bin\askBar.dll O3 - Toolbar: BS.Player ControlBar - {2C688203-7EB3-4327-9995-1CB417BA23F9} - C:\Program Files\BS.Player ControlBar\BSToolbar.dll O3 - Toolbar: EPSON Web-To-Page - {EE5D279F-081B-4404-994D-C6B60AAEBA6D} - C:\Program Files\EPSON\EPSON Web-To-Page\EPSON Web-To-Page.dll O3 - Toolbar: Easy Photo Print - {9421DD08-935F-4701-A9CA-22DF90AC4EA6} - C:\Program Files\Epson Software\Easy Photo Print\EPTBL.dll O4 - HKLM\..\Run: [ISUSPM Startup] "C:\Program Files\Common Files\InstallShield\UpdateService\isuspm.exe" -startup O4 - HKLM\..\Run: [ISUSScheduler] "C:\Program Files\Common Files\InstallShield\UpdateService\issch.exe" -start O4 - HKLM\..\Run: [GEST] C:\Program Files\GIGABYTE\GEST\RUN.exe O4 - HKLM\..\Run: [RTHDCPL] RTHDCPL.EXE O4 - HKLM\..\Run: [JMB36X IDE Setup] C:\WINDOWS\RaidTool\xInsIDE.exe O4 - HKLM\..\Run: [36X Raid Configurer] C:\WINDOWS\system32\xRaidSetup.exe boot O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\system32\NvCpl.dll,NvStartup O4 - HKLM\..\Run: [nwiz] nwiz.exe /install O4 - HKLM\..\Run: [NvMediaCenter] RUNDLL32.EXE C:\WINDOWS\system32\NvMcTray.dll,NvTaskbarInit O4 - HKLM\..\Run: [avast!] D:\programy\avast\ashDisp.exe O4 - HKLM\..\Run: [QuickTime Task] "C:\Program Files\QuickTime\QTTask.exe" -atboottime O4 - HKLM\..\Run: [iTunesHelper] "D:\programy\quick player\iTunesHelper.exe" O4 - HKLM\..\Run: [NeroFilterCheck] C:\Program Files\Common Files\Ahead\Lib\NeroCheck.exe O4 - HKLM\..\Run: [SecurDisc] C:\Program Files\Nero\Nero 7\InCD\NBHGui.exe O4 - HKLM\..\Run: [InCD] C:\Program Files\Nero\Nero 7\InCD\InCD.exe O4 - HKLM\..\Run: [WinampAgent] D:\programy\winamp\winampa.exe O4 - HKLM\..\Run: [SunJavaUpdateSched] "C:\Program Files\Java\jre6\bin\jusched.exe" O4 - HKLM\..\Run: [TrojanScanner] D:\programy\Trojan Remover\Trjscan.exe /boot O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\ctfmon.exe O4 - HKCU\..\Run: [DAEMON Tools Lite] "D:\programy\deamon\DAEMON Tools Lite\daemon.exe" -autorun O4 - HKCU\..\Run: [BitTorrent DNA] "C:\Program Files\DNA\btdna.exe" O4 - HKCU\..\Run: [EA Core] "D:\programy\fifa download manager\EADM\Core.exe" -silent O4 - HKCU\..\Run: [BgMonitor_{79662E04-7C6C-4d9f-84C7-88D8A56B10AA}] "C:\Program Files\Common Files\Ahead\Lib\NMBgMonitor.exe" O4 - HKCU\..\Run: [RGSC] E:\gta\Rockstar Games Social Club\RGSCLauncher.exe /silent O4 - HKCU\..\Run: [ALLUpdate] "D:\programy\ALLPlayer\ALLUpdate.exe" "sleep" O4 - HKCU\..\Run: [Odkurzacz-MCD] C:\Program Files\Odkurzacz\odk_mcd.exe O4 - HKCU\..\Run: [EPSON SX100 Series] C:\WINDOWS\System32\spool\DRIVERS\W32X86\3\E_FATIEDE.EXE /FU "C:\WINDOWS\TEMP\E_SEF.tmp" /EF "HKCU" O4 - HKUS\S-1-5-18\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'SYSTEM') O4 - HKUS\.DEFAULT\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'Default user') O4 - Startup: GIGABYTE Gamer HUD.exe.lnk = ? O8 - Extra context menu item: &Winamp Search - C:\Documents and Settings\All Users\Dane aplikacji\Winamp Toolbar\ieToolbar\resources\en-US\local\search.html O9 - Extra button: (no name) - {e2e2dd38-d088-4134-82b7-f2ba38496583} - C:\WINDOWS\Network Diagnostic\xpnetdiag.exe O9 - Extra 'Tools' menuitem: @xpsp3res.dll,-20001 - {e2e2dd38-d088-4134-82b7-f2ba38496583} - C:\WINDOWS\Network Diagnostic\xpnetdiag.exe O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe O16 - DPF: {4E218431-2F07-40BD-A9D3-035324C1F13F} (DyynoX Class) - http://webserver.dyyno.com/DyynoClient/DyynoCAB.CAB O16 - DPF: {C5E28B9D-0A68-4B50-94E9-E8F6B4697514} (NsvPlayX Control) - http://www.nullsoft.com/nsv/embed/nsvplayx_vp3_mp3.cab O23 - Service: Apple Mobile Device - Apple Inc. - C:\Program Files\Common Files\Apple\Mobile Device Support\bin\AppleMobileDeviceService.exe O23 - Service: avast! iAVS4 Control Service (aswUpdSv) - ALWIL Software - D:\programy\avast\aswUpdSv.exe O23 - Service: avast! Antivirus - ALWIL Software - D:\programy\avast\ashServ.exe O23 - Service: avast! Mail Scanner - ALWIL Software - D:\programy\avast\ashMaiSv.exe O23 - Service: avast! Web Scanner - ALWIL Software - D:\programy\avast\ashWebSv.exe O23 - Service: Bonjour Service - Apple Inc. - C:\Program Files\Bonjour\mDNSResponder.exe O23 - Service: GEST Service for program management. (GEST Service) - Unknown owner - C:\Program Files\GIGABYTE\GEST\GSvr.exe O23 - Service: InstallDriver Table Manager (IDriverT) - Macrovision Corporation - C:\Program Files\Common Files\InstallShield\Driver\11\Intel 32\IDriverT.exe O23 - Service: InCD Helper (InCDsrv) - Nero AG - C:\Program Files\Nero\Nero 7\InCD\InCDsrv.exe O23 - Service: Usługa iPod (iPod Service) - Apple Inc. - C:\Program Files\iPod\bin\iPodService.exe O23 - Service: Java Quick Starter (JavaQuickStarterService) - Sun Microsystems, Inc. - C:\Program Files\Java\jre6\bin\jqs.exe O23 - Service: LightScribeService Direct Disc Labeling Service (LightScribeService) - Hewlett-Packard Company - C:\Program Files\Common Files\LightScribe\LSSrvc.exe O23 - Service: NBService - Nero AG - C:\Program Files\Nero\Nero 7\Nero BackItUp\NBService.exe O23 - Service: NMIndexingService - Nero AG - C:\Program Files\Common Files\Ahead\Lib\NMIndexingService.exe O23 - Service: NVIDIA Display Driver Service (NVSvc) - NVIDIA Corporation - C:\WINDOWS\system32\nvsvc32.exe O23 - Service: PnkBstrA - Unknown owner - C:\WINDOWS\system32\PnkBstrA.exe -- End of file - 9716 bytes

Zaznacze jeszcze że narazie nie zauważylem problemów związanych z tym wirusem. z gory dziękuje za pomoc

**Posty:** 27 · przez **PascalHP** 07 Mar 2009, 16:40

Nie widzę żadnych niepokojących wpisów.

**Posty:** 4 · przez **rapek** 07 Mar 2009, 16:44

A co z tymi trojanami co wykrył avast ?? wrzuciłem je do kwarantanny mogą tam zostać??

**Posty:** 18165 · przez **wojtas** 07 Mar 2009, 16:50

1. Ściągnij OTMoveIt i go włacz i odpal go z opcji CleanUp

oraz skasuj folder C:\Qoobox
2. wykonaj optymalizację windowsa
3.sciagnij ATF_Cleaner
zaznacz
Windows Temp
All users Temp
Temporary internet files
Recycle Bin
i wcisnij EMPTY SELECTED
4.Wyłącz przywracanie systemu ( właściwości mój komputer-zakładka przywracanie - wyłącz przywracanie na wszystkich dyskach). Po chwili włącz je powrotem
5. Wykonaj skan Dr. Web CureIt
6. Przeskanuj obszar mojego komputera http://www.kaspersky.pl/virusscanner.html (uruchom przez IE) Daj raport z niego na forum.

i tym:

FixIEDef.

Autor postu otrzymał pochwałę

**Posty:** 4 · przez **rapek** 07 Mar 2009, 23:34

Raport Kaspersky :

Kod: Zaznacz wszystko: Statystyki skanowania: Przeskanowanych plików: 92789 Nazwa zagrożenia: 1 Zainfekowanych obiektów: 2 Podejrzanych obiektów: 0 Czas skanowania: 01:10:57 Nazwa pliku / Nazwa zagrożenia / Liczba zagrożeń D:\programy\mirc\mirc.exe Zainfekowany: not-a-virus:Client-IRC.Win32.mIRC.603 1 E:\instalki programow\mIRC603-PL.exe Zainfekowany: not-a-virus:Client-IRC.Win32.mIRC.603 1 Wybrany obszar został przeskanowany.

Log z FixlEDef :

Kod: Zaznacz wszystko: ******************************************************************************** * * * FixIEDef Log * * Version 1.7.22.7514 * * * ******************************************************************************** Created at 22:32:00 on Saturday, March 07, 2009 Time Zone : Logged On User : rafal Operating System : Microsoft Windows XP Professional Dodatek Service Pack 3 OS Architecture : X86 System Langauge : Polish Keyboard Layout : Polish Processor : X64 Procesor Intel Pentium III Xeon System Drive : C:\ Windows Directory : C:\WINDOWS System Directory : C:\WINDOWS\system32 System Drive Type : Fixed System Drive Status : READY System Drive Label : System Drive Size : 10 GB System Drive Free : 1.65 GB Total Physical Memory: 2046 MB Free Physical Memory : 880 MB Total Page File : 2046 MB Free Page File : 2946 MB Total Virtual Memory : 2048 MB Free Virtual Memory : 1969 MB Boot State : Normal boot -------------------------------------------------------------------------------- !!! userinit.exe is Clean !!! -------------------------------------------------------------------------------- !!! Files that have been deleted !!! No malicious files found -------------------------------------------------------------------------------- !!! Directories that have been removed !!! No malicious directories to be removed -------------------------------------------------------------------------------- !!! Registry entries that have been removed !!! No malicious Registry entries found ================================================================================ All Done :) ShadowPuterDude Safe Surfing!!!

**Posty:** 18165 · przez **wojtas** 08 Mar 2009, 02:36

wiec jest ok

**Posty:** 4 · przez **rapek** 08 Mar 2009, 13:11

Wielkie dzieki

**Posty:** 9 · przez **edith** 24 Cze 2009, 15:21

Miałam ten sam problem, ale wczoraj powiększył się.
Zrobiłam chyba wszystko co mogłam, ale skan Kasperskyego wykrywa mi ciągle:
y6yol.exe na dwóch dyskach
d9c.exe
Co jeszcze mogę zrobić, żeby pozbyć się tych trojanów?

**Posty:** 8001 · przez **Okocza** 24 Cze 2009, 15:23

edith, załóż swój własny temat i daj log z RSIT

**Posty:** 9 · przez **edith** 24 Cze 2009, 23:37

dzięki
na razie wygląda na to, że się udało, ale nie omieszkam skorzystać, jesli jutro znów to samo wyskoczy