[log] virtumonde

**Posty:** 993 · przez **Ceres** 10 Paź 2008, 16:17

Witam serdecznie !

Od wczoraj ESET Smart Security zasypuje mnie komunikatami o zagrożeniu jakim jest : Virtumonde.

Po przeskanowaniu dysku znalazły się takie " złośliwe kwiatki "

Poniżaj wklejam log z ComboFix

Kod: Zaznacz wszystko: ComboFix 08-10-09.06 - Kasia 2008-10-10 15:22:46.1 - NTFSx86 Microsoft Windows XP Professional 5.1.2600.2.1250.1.1045.18.459 [GMT 2:00] Uruchomiony z: C:\Documents and Settings\Kasia\Pulpit\ComboFix.exe * Utworzono nowy punkt przywracania * Resident AV is active [COLOR=RED][B]UWAGA - TEN KOMPUTER NIE MA ZAINSTALOWANEJ KONSOLI ODZYSKIWANIA !![/B][/COLOR] . ((((((((((((((((((((((((((((((((((((((( Usunięto ))))))))))))))))))))))))))))))))))))))))))))))))) . C:\WINDOWS\system32\mkikknkl.ini C:\WINDOWS\system32\rBKTDfhk.ini C:\WINDOWS\system32\rBKTDfhk.ini2 . ((((((((((((((((((((((((( Pliki utworzone od 2008-09-10 do 2008-10-10 ))))))))))))))))))))))))))))))) . 2008-10-09 10:16 . 2008-10-09 10:16 159,577 --a------ C:\WINDOWS\Marsu-Fix 2.5 Uninstaller.exe 2008-10-08 23:04 . 2008-10-08 23:04 <DIR> d-------- C:\Program Files\Techland 2008-10-08 09:20 . 2008-10-08 09:20 <DIR> d-------- C:\Documents and Settings\Kasia\Dane aplikacji\Ashampoo 2008-10-08 09:19 . 2008-10-08 09:19 <DIR> d-------- C:\Program Files\Ashampoo 2008-10-08 09:19 . 2008-10-08 09:19 <DIR> d-------- C:\Documents and Settings\All Users\Dane aplikacji\ashampoo 2008-10-08 09:08 . 2008-10-08 09:08 108,336 --a------ C:\WINDOWS\mswinsck.ocx 2008-10-08 09:03 . 2008-10-08 09:03 41,984 --------- C:\WINDOWS\system32\rqRKEVLF.dll 2008-10-06 16:44 . 2008-10-06 16:45 <DIR> d-------- C:\WINDOWS\SxsCaPendDel 2008-10-02 15:05 . 2008-10-02 15:05 <DIR> d-------- C:\Documents and Settings\Kasia\Dane aplikacji\ESET 2008-10-02 15:04 . 2008-10-02 15:05 <DIR> d-------- C:\Program Files\ESET 2008-10-02 15:00 . 2008-10-02 15:00 0 --a------ C:\WINDOWS\RAVTC.TMP 2008-09-26 05:18 . 2008-10-06 17:00 <DIR> d-------- C:\WINDOWS\system32\CatRoot_bak 2008-09-26 05:14 . 2008-06-14 20:01 273,024 --------- C:\WINDOWS\system32\drivers\bthport.sys 2008-09-26 05:14 . 2008-06-14 20:01 273,024 -----c--- C:\WINDOWS\system32\dllcache\bthport.sys 2008-09-25 22:46 . 2008-09-25 22:50 <DIR> d-------- C:\Program Files\jv16 PowerTools 2008 2008-09-25 20:56 . 2008-09-25 20:56 <DIR> d---s---- C:\Documents and Settings\Kasia\UserData 2008-09-25 20:09 . 2008-09-29 21:07 8,627 --a------ C:\WINDOWS\system32\PAV_FOG.OPC 2008-09-25 20:01 . 2008-09-25 20:11 <DIR> d-------- C:\Documents and Settings\All Users\Dane aplikacji\Backup 2008-09-22 01:31 . 2008-09-22 04:12 243,147 --a------ C:\WINDOWS\system32\REset3.exe 2008-09-18 22:10 . 2008-09-18 22:10 <DIR> d-------- C:\Program Files\MGrenda 2008-09-13 19:34 . 2008-09-13 19:34 <DIR> d-------- C:\Program Files\URUSoft . (((((((((((((((((((((((((((((((((((((((( Sekcja Find3M )))))))))))))))))))))))))))))))))))))))))))))))))))) . 2008-10-10 13:25 --------- d-----w C:\Program Files\AutoConnect 2008-10-10 08:45 --------- d-----w C:\Program Files\Crawler 2008-10-10 08:37 --------- d-----w C:\Documents and Settings\Kasia\Dane aplikacji\uTorrent 2008-10-06 14:42 --------- d-----w C:\Documents and Settings\All Users\Dane aplikacji\Nero 2008-10-05 14:51 --------- d-----w C:\Documents and Settings\Kasia\Dane aplikacji\XnView 2008-10-02 13:00 --------- d-----w C:\Program Files\Common Files\InstallShield 2008-09-25 20:38 --------- d-----w C:\Documents and Settings\Kasia\Dane aplikacji\Cream Software 2008-09-25 18:00 --------- d--h--w C:\Program Files\InstallShield Installation Information 2008-08-27 23:00 --------- d-----w C:\Program Files\Common Files\Adobe 2008-08-17 16:26 --------- d-----w C:\Program Files\WinSCP3 2008-08-16 22:26 --------- d-----w C:\Program Files\Opera 2008-08-16 11:38 --------- d-----w C:\Program Files\kED 2008-08-11 10:53 --------- d-----w C:\Program Files\Zajaczek 4.1 2008-07-18 20:10 94,920 ----a-w C:\WINDOWS\system32\cdm.dll 2008-07-18 20:10 53,448 ----a-w C:\WINDOWS\system32\wuauclt.exe 2008-07-18 20:10 45,768 ----a-w C:\WINDOWS\system32\wups2.dll 2008-07-18 20:10 36,552 ----a-w C:\WINDOWS\system32\wups.dll 2008-07-18 20:09 563,912 ----a-w C:\WINDOWS\system32\wuapi.dll 2008-07-18 20:09 325,832 ----a-w C:\WINDOWS\system32\wucltui.dll 2008-07-18 20:09 205,000 ----a-w C:\WINDOWS\system32\wuweb.dll 2008-07-18 20:09 1,811,656 ----a-w C:\WINDOWS\system32\wuaueng.dll . ((((((((((((((((((((((((((((((((((((( Wpisy startowe rejestru )))))))))))))))))))))))))))))))))))))))))))))))))) . . *Uwaga* puste wpisy oraz domyślne, prawidłowe wpisy nie są pokazane REGEDIT4 [HKEY_LOCAL_MACHINE\~\Browser Helper Objects\{54A8264B-AFFB-4614-95FE-0234817EA282}] 2008-10-08 09:03 41984 --------- C:\WINDOWS\system32\rqRKEVLF.dll [HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] "CTFMON.EXE"="C:\WINDOWS\system32\ctfmon.exe" [2004-08-04 15360] [HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] "SpeedTouch USB Diagnostics"="C:\Program Files\Thomson\SpeedTouch USB\Dragdiag.exe" [2004-01-26 866816] "egui"="C:\Program Files\ESET\ESET Smart Security\egui.exe" [2008-07-01 1447168] "TrialReset"="C:\WINDOWS\regx32.exe" [2008-07-03 285327] [HKEY_USERS\.DEFAULT\Software\Microsoft\Windows\CurrentVersion\Run] "CTFMON.EXE"="C:\WINDOWS\system32\CTFMON.EXE" [2004-08-04 15360] [hkey_local_machine\software\microsoft\windows\currentversion\explorer\ShellExecuteHooks] "{54A8264B-AFFB-4614-95FE-0234817EA282}"= "C:\WINDOWS\system32\rqRKEVLF.dll" [2008-10-08 41984] [HKEY_LOCAL_MACHINE\software\microsoft\windows nt\currentversion\windows] "AppInit_DLLs"=fpqzce.dll [HKEY_LOCAL_MACHINE\software\microsoft\windows nt\currentversion\drivers32] "VIDC.YV12"= yv12vfw.dll [HKLM\~\startupfolder\C:^Documents and Settings^All Users^Menu Start^Programy^Autostart^ATI CATALYST System Tray.lnk] path=C:\Documents and Settings\All Users\Menu Start\Programy\Autostart\ATI CATALYST System Tray.lnk backup=C:\WINDOWS\pss\ATI CATALYST System Tray.lnkCommon Startup [HKLM\~\startupfolder\C:^Documents and Settings^All Users^Menu Start^Programy^Autostart^BTTray.lnk] path=C:\Documents and Settings\All Users\Menu Start\Programy\Autostart\BTTray.lnk backup=C:\WINDOWS\pss\BTTray.lnkCommon Startup [HKLM\~\startupfolder\C:^Documents and Settings^Kasia^Menu Start^Programy^Autostart^OpenOffice.ux.pl 2.3.1.lnk] path=C:\Documents and Settings\Kasia\Menu Start\Programy\Autostart\OpenOffice.ux.pl 2.3.1.lnk backup=C:\WINDOWS\pss\OpenOffice.ux.pl 2.3.1.lnkStartup [HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\KernelFaultCheck] C:\WINDOWS\system32\dumprep 0 -k [X] [HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\Adobe Reader Speed Launcher] --a------ 2008-01-11 22:16 39792 D:\AdobeReader\Reader\reader_sl.exe [HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\ATICCC] --a------ 2005-08-06 02:07 61440 C:\Program Files\ATI Technologies\ATI.ACE\CLI.exe [HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\CreativeMouse ] --a------ 2004-06-27 16:38 503808 C:\Program Files\Mouse Driver\MouseDrv.exe [HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\DAEMON Tools Lite] --a------ 2008-02-14 01:09 486856 D:\DAEMON Tools Lite\daemon.exe [HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\Flashget] --a------ 2007-09-25 10:10 2007088 D:\Flashget\flashget.exe [HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\Gadu-Gadu] --a------ 2008-03-29 14:06 2131392 D:\Gadu-Gadu\gg.exe [HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\GrooveMonitor] --a------ 2006-10-27 01:47 31016 C:\Program Files\Microsoft Office\Office12\GrooveMonitor.exe [HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\SunJavaUpdateSched] --a------ 2008-02-22 05:25 144784 C:\Program Files\Java\jre1.6.0_05\bin\jusched.exe [HKEY_LOCAL_MACHINE\software\microsoft\security center] "FirewallOverride"=dword:00000001 [HKLM\~\services\sharedaccess\parameters\firewallpolicy\standardprofile] "EnableFirewall"= 0 (0x0) [HKLM\~\services\sharedaccess\parameters\firewallpolicy\standardprofile\AuthorizedApplications\List] "%windir%\\system32\\sessmgr.exe"= "D:\\Flashget\\flashget.exe"= "C:\\Program Files\\Microsoft Office\\Office12\\OUTLOOK.EXE"= "C:\\Program Files\\Microsoft Office\\Office12\\GROOVE.EXE"= "C:\\Program Files\\Microsoft Office\\Office12\\ONENOTE.EXE"= "C:\\Program Files\\uTorrent\\uTorrent.exe"= "D:\\Skype\\Phone\\Skype.exe"= "D:\\Gadu-Gadu\\gg.exe"= "C:\\Program Files\\Mozilla Firefox\\firefox.exe"= "D:\\Soulseek\\slsk.exe"= S1 ShldDrv;Panda File Shield Driver;C:\WINDOWS\system32\DRIVERS\ShlDrv51.sys [ ] S2 PavProc;Panda Process Protection Driver;C:\WINDOWS\system32\DRIVERS\PavProc.sys [ ] S2 PSGenUn;Panda Security Generic Uninstaller;C:\PROGRA~1\INSTAL~1\{7926E~1\SMCL\SMCLpav.exe [ ] . - - - - USUNIĘTO PUSTE WPISY - - - - BHO-{902A9DF8-5525-477B-9789-BB55D8B8B356} - C:\WINDOWS\system32\khfDTKBr.dll BHO-{a28f2a64-45bd-433f-8574-4078b044aa1d} - C:\WINDOWS\system32\fpqzce.dll Notify-rqRKEVLF - (no file) MSConfigStartUp-!AVG Anti-Spyware - C:\Program Files\Grisoft\AVG Anti-Spyware 7.5\avgas.exe MSConfigStartUp-BgMonitor_{79662E04-7C6C-4d9f-84C7-88D8A56B10AA} - C:\Program Files\Common Files\Nero\Lib\NMBgMonitor.exe MSConfigStartUp-NBKeyScan - C:\Program Files\Nero\Nero8\Nero BackItUp\NBKeyScan.exe MSConfigStartUp-NeroFilterCheck - C:\Program Files\Common Files\Nero\Lib\NeroCheck.exe MSConfigStartUp-Uninstall_CToolbar - C:\DOCUME~1\Kasia\USTAWI~1\Temp\CUninst.exe MSConfigStartUp-WinampAgent - D:\Winamp\winampa.exe . ------- Skan uzupełniający ------- . FireFox -: Profile - C:\Documents and Settings\Kasia\Dane aplikacji\Mozilla\Firefox\Profiles\7vzov0qk.default\ FF -: plugin - C:\Program Files\Yahoo!\Common\npyaxmpb.dll FF -: plugin - D:\AdobeReader\Reader\browser\nppdf32.dll . ************************************************************************** catchme 0.3.1361 W2K/XP/Vista - rootkit/stealth malware detector by Gmer, http://www.gmer.net Rootkit scan 2008-10-10 15:28:42 Windows 5.1.2600 Dodatek Service Pack 2 NTFS skanowanie ukrytych procesów ... skanowanie ukrytych wpisów autostartu ... skanowanie ukrytych plików ... skanowanie pomyślnie ukończone ukryte pliki: 0 ************************************************************************** . --------------------- Pliki DLL ładowane pod uruchomionymi procesami --------------------- PROCES: C:\WINDOWS\system32\winlogon.exe -> C:\WINDOWS\system32\rqRKEVLF.dll . ------------------------ Pozostałe uruchomione procesy ------------------------ . C:\WINDOWS\system32\ati2evxx.exe C:\WINDOWS\system32\ati2evxx.exe C:\Program Files\WIDCOMM\Oprogramowanie interfejsu Bluetooth\bin\btwdins.exe C:\Program Files\ESET\ESET Smart Security\ekrn.exe C:\WINDOWS\system32\wdfmgr.exe C:\Program Files\Canon\CAL\CALMAIN.exe . ************************************************************************** . Czas ukończenia: 2008-10-10 15:32:05 - komputer został uruchomiony ponownie ComboFix-quarantined-files.txt 2008-10-10 13:31:56 Przed: 6 426 947 584 bajtów wolnych Po: 6,354,497,536 bajtów wolnych 175 --- E O F --- 2008-10-06 15:00:18

oraz HJ

Kod: Zaznacz wszystko: Logfile of Trend Micro HijackThis v2.0.2 Scan saved at 16:10, on 2008-10-10 Platform: Windows XP Dodatek SP2 (WinNT 5.01.2600) MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180) Boot mode: Normal Running processes: C:\WINDOWS\System32\smss.exe C:\WINDOWS\system32\winlogon.exe C:\WINDOWS\system32\services.exe C:\WINDOWS\system32\lsass.exe C:\WINDOWS\system32\Ati2evxx.exe C:\WINDOWS\system32\svchost.exe C:\WINDOWS\System32\svchost.exe C:\WINDOWS\system32\Ati2evxx.exe C:\WINDOWS\Explorer.EXE C:\WINDOWS\system32\spoolsv.exe C:\Program Files\WIDCOMM\Oprogramowanie interfejsu Bluetooth\bin\btwdins.exe C:\Program Files\ESET\ESET Smart Security\ekrn.exe C:\WINDOWS\system32\svchost.exe C:\Program Files\Canon\CAL\CALMAIN.exe C:\Program Files\Thomson\SpeedTouch USB\Dragdiag.exe C:\Program Files\ESET\ESET Smart Security\egui.exe C:\WINDOWS\regx32.exe C:\WINDOWS\system32\ctfmon.exe C:\Program Files\AutoConnect\AutoConnect.exe C:\Program Files\Mozilla Firefox\firefox.exe D:\Aimp2.11\AIMP2.exe C:\Program Files\Trend Micro\HijackThis\HijackThis.exe R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.google.pl/ R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://go.microsoft.com/fwlink/?LinkId=69157 R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://go.microsoft.com/fwlink/?LinkId=54896 R1 - HKLM\Software\Microsoft\Internet Explorer\Main,SearchAssistant = http://www.crawler.com/search/ie.aspx?tb_id=60076 R1 - HKLM\Software\Microsoft\Internet Explorer\Main,CustomizeSearch = http://dnl.crawler.com/support/sa_customize.aspx?TbId=60076 R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = http://go.microsoft.com/fwlink/?LinkId=54896 R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Łącza R3 - URLSearchHook: (no name) - {1CB20BF0-BBAE-40A7-93F4-6435FF3D0411} - (no file) R3 - URLSearchHook: Yahoo! Toolbar - {EF99BD32-C1FB-11D2-892F-0090271D4F88} - (no file) O2 - BHO: Adobe PDF Reader Link Helper - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Program Files\Common Files\Adobe\Acrobat\ActiveX\AcroIEHelper.dll O2 - BHO: (no name) - {54A8264B-AFFB-4614-95FE-0234817EA282} - (no file) O2 - BHO: Groove GFS Browser Helper - {72853161-30C5-4D22-B7F9-0BBC1D38A37E} - C:\PROGRA~1\MICROS~2\Office12\GRA8E1~1.DLL O2 - BHO: SSVHelper Class - {761497BB-D6F0-462C-B6EB-D4DAF1D92D43} - C:\Program Files\Java\jre1.6.0_05\bin\ssv.dll O2 - BHO: FlashGet GetFlash Class - {F156768E-81EF-470C-9057-481BA8380DBA} - D:\Flashget\getflash.dll O3 - Toolbar: &Crawler Toolbar - {4B3803EA-5230-4DC3-A7FC-33638F3D3542} - C:\PROGRA~1\Crawler\ctbr.dll O3 - Toolbar: &Tłumaczenie - {0D704FAD-66E9-4F0A-BFED-4F665770DDB3} - C:\Program Files\Techland\Common\InternetTranslator\InternetTranslator.dll O4 - HKLM\..\Run: [SpeedTouch USB Diagnostics] "C:\Program Files\Thomson\SpeedTouch USB\Dragdiag.exe" /icon O4 - HKLM\..\Run: [egui] "C:\Program Files\ESET\ESET Smart Security\egui.exe" /hide /waitservice O4 - HKLM\..\Run: [TrialReset] C:\WINDOWS\regx32.exe O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\ctfmon.exe O4 - HKUS\S-1-5-19\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'USŁUGA LOKALNA') O4 - HKUS\S-1-5-20\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'USŁUGA SIECIOWA') O4 - HKUS\S-1-5-18\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'SYSTEM') O4 - HKUS\.DEFAULT\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'Default user') O8 - Extra context menu item: &Ściągnij przy pomocy FlashGet'a - D:\Flashget\jc_link.htm O8 - Extra context menu item: &Ściągnij wszystko przy pomocy FlashGet'a - D:\Flashget\jc_all.htm O8 - Extra context menu item: Crawler Search - tbr:iemenu O8 - Extra context menu item: E&ksportuj do programu Microsoft Excel - res://C:\PROGRA~1\MICROS~2\Office12\EXCEL.EXE/3000 O8 - Extra context menu item: Wyślij do interfejsu &Bluetooth - C:\Program Files\WIDCOMM\Oprogramowanie interfejsu Bluetooth\btsendto_ie_ctx.htm O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\jre1.6.0_05\bin\ssv.dll O9 - Extra 'Tools' menuitem: Sun Java Console - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\jre1.6.0_05\bin\ssv.dll O9 - Extra button: Wyślij do programu OneNote - {2670000A-7350-4f3c-8081-5663EE0C6C49} - C:\PROGRA~1\MICROS~2\Office12\ONBttnIE.dll O9 - Extra 'Tools' menuitem: Wyślij &do programu OneNote - {2670000A-7350-4f3c-8081-5663EE0C6C49} - C:\PROGRA~1\MICROS~2\Office12\ONBttnIE.dll O9 - Extra button: Research - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - C:\PROGRA~1\MICROS~2\Office12\REFIEBAR.DLL O9 - Extra button: (no name) - {B46B0919-62BA-4D99-A5C4-916B57A6805C} - C:\Program Files\Techland\Common\InternetTranslator\InternetTranslator.dll O9 - Extra 'Tools' menuitem: @C:\Program Files\Techland\Common\InternetTranslator\InternetTranslator.dll,-103 - {B46B0919-62BA-4D99-A5C4-916B57A6805C} - C:\Program Files\Techland\Common\InternetTranslator\InternetTranslator.dll O9 - Extra button: @btrez.dll,-4015 - {CCA281CA-C863-46ef-9331-5C8D4460577F} - C:\Program Files\WIDCOMM\Oprogramowanie interfejsu Bluetooth\btsendto_ie.htm O9 - Extra 'Tools' menuitem: @btrez.dll,-4017 - {CCA281CA-C863-46ef-9331-5C8D4460577F} - C:\Program Files\WIDCOMM\Oprogramowanie interfejsu Bluetooth\btsendto_ie.htm O9 - Extra button: FlashGet - {D6E814A0-E0C5-11d4-8D29-0050BA6940E3} - D:\Flashget\FlashGet.exe O9 - Extra 'Tools' menuitem: FlashGet - {D6E814A0-E0C5-11d4-8D29-0050BA6940E3} - D:\Flashget\FlashGet.exe O17 - HKLM\System\CCS\Services\Tcpip\..\{605AC384-0218-4DF8-89DE-3C39515D7B76}: NameServer = 194.204.159.1 217.98.63.164 O18 - Protocol: grooveLocalGWS - {88FED34C-F0CA-4636-A375-3CB6248B04CD} - C:\PROGRA~1\MICROS~2\Office12\GR99D3~1.DLL O18 - Protocol: tbr - {4D25FB7A-8902-4291-960E-9ADA051CFBBF} - C:\PROGRA~1\Crawler\ctbr.dll O20 - AppInit_DLLs: fpqzce.dll O20 - Winlogon Notify: rqRKEVLF - C:\WINDOWS\ O23 - Service: Ati HotKey Poller - ATI Technologies Inc. - C:\WINDOWS\system32\Ati2evxx.exe O23 - Service: ATI Smart - Unknown owner - C:\WINDOWS\system32\ati2sgag.exe O23 - Service: Bluetooth Service (btwdins) - Broadcom Corporation. - C:\Program Files\WIDCOMM\Oprogramowanie interfejsu Bluetooth\bin\btwdins.exe O23 - Service: Canon Camera Access Library 8 (CCALib8) - Canon Inc. - C:\Program Files\Canon\CAL\CALMAIN.exe O23 - Service: Eset HTTP Server (EhttpSrv) - ESET - C:\Program Files\ESET\ESET Smart Security\EHttpSrv.exe O23 - Service: Eset Service (ekrn) - ESET - C:\Program Files\ESET\ESET Smart Security\ekrn.exe O23 - Service: Panda Process Protection Service (PavPrSrv) - Unknown owner - C:\Program Files\Common Files\Panda Software\PavShld\pavprsrv.exe (file missing) O23 - Service: Panda Security Generic Uninstaller (PSGenUn) - Unknown owner - C:\PROGRA~1\INSTAL~1\{7926E~1\SMCL\SMCLpav.exe (file missing) -- End of file - 6981 bytes

Proszę o pomoc.
Pozdrawiam
Kasia

**Posty:** 7956 · przez **Magik** 10 Paź 2008, 16:23

Witam

na dzien dobry odpal

VundoFix

Vundo removal tool

Virtumondobegone

wszystkie programy w trybie awaryjnym

Zastosuj SDFix . Po pobraniu uruchom go a rozpakuje się do C:\SDFix. Uruchom komputer w trybie awaryjnym (F8 przy stracie systemu). Będąc w awaryjnym uruchom plik RunThis.bat z folderu SDFixa. Zatwierdź czyszczenie przez Y. Poczekaj aż ukończy i komputer zresetuje

Potem wejdz do folderu C:\SDFix wrzuc zawartość pliku Report.txt

i nastepnie wklej log z combofix'a nowy

Autor postu otrzymał pochwałę

**Posty:** 993 · przez **Ceres** 10 Paź 2008, 22:29

Dobry wieczorek

Przeskanowane...

Kod: Zaznacz wszystko: Symantec Trojan.Vundo Removal Tool 1.5.0 C:\System Volume Information: (not scanned) D:\System Volume Information: (not scanned) E:\System Volume Information: (not scanned) F:\System Volume Information: (not scanned) G:\System Volume Information: (not scanned) H:\System Volume Information: (not scanned) Trojan.Vundo has not been found on your computer.

Kod: Zaznacz wszystko: [10/10/2008, 21:44:19] - VirtumundoBeGone v1.5 ( "C:\Documents and Settings\Kasia\Pulpit\VirtumundoBeGone.exe" ) [10/10/2008, 21:44:25] - Detected System Information: [10/10/2008, 21:44:25] - Windows Version: 5.1.2600, Dodatek Service Pack 2 [10/10/2008, 21:44:25] - Current Username: Kasia (Admin) [10/10/2008, 21:44:25] - Windows is in SAFE mode with Networking. [10/10/2008, 21:44:25] - Searching for Browser Helper Objects: [10/10/2008, 21:44:25] - BHO 1: {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} (Adobe PDF Reader Link Helper) [10/10/2008, 21:44:25] - BHO 2: {54A8264B-AFFB-4614-95FE-0234817EA282} () [10/10/2008, 21:44:25] - WARNING: BHO has no default name. Checking for Winlogon reference. [10/10/2008, 21:44:25] - No filename found. Continuing. [10/10/2008, 21:44:25] - BHO 3: {72853161-30C5-4D22-B7F9-0BBC1D38A37E} (Groove GFS Browser Helper) [10/10/2008, 21:44:25] - BHO 4: {761497BB-D6F0-462C-B6EB-D4DAF1D92D43} (SSVHelper Class) [10/10/2008, 21:44:25] - BHO 5: {F156768E-81EF-470C-9057-481BA8380DBA} (FlashGet GetFlash Class) [10/10/2008, 21:44:25] - Finished Searching Browser Helper Objects [10/10/2008, 21:44:25] - Finishing up... [10/10/2008, 21:44:25] - Nothing found! Exiting...

Kod: Zaznacz wszystko: VundoFix V7.0.6 Scan started at 21:44:47 2008-10-10 Listing files found while scanning.... No infected files were found.

Log z SDFix

Kod: Zaznacz wszystko: [b]SDFix: Version 1.234 [/b] Run by Kasia on 2008-10-10 at 22:10 Microsoft Windows XP [Wersja 5.1.2600] Running From: C:\SDFix [b]Checking Services [/b]: Restoring Default Security Values Restoring Default Hosts File Rebooting [b]Checking Files [/b]: No Trojan Files Found Removing Temp Files [b]ADS Check [/b]: [b]Final Check [/b]: catchme 0.3.1361.2 W2K/XP/Vista - rootkit/stealth malware detector by Gmer, http://www.gmer.net Rootkit scan 2008-10-10 22:14:56 Windows 5.1.2600 Dodatek Service Pack 2 NTFS scanning hidden processes ... scanning hidden services & system hive ... [HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\sptd\Cfg] "s1"=dword:2df9c43f "s2"=dword:110480d0 "h0"=dword:00000001 [HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\sptd\Cfg\19659239224E364682FA4BAF72C53EA4] "p0"="D:\DAEMON Tools Lite\" "h0"=dword:00000000 "khjeh"=hex:1f,cb,b9,e8,89,c0,e8,c7,9a,ff,1c,ff,98,59,38,22,6c,04,6d,83,09,.. [HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\sptd\Cfg\19659239224E364682FA4BAF72C53EA4\00000001] "a0"=hex:20,01,00,00,fb,a0,8f,6f,70,ea,70,09,37,6e,e9,f9,1d,49,9d,91,2d,.. "khjeh"=hex:de,41,e0,01,4a,c0,33,71,86,c1,1f,c2,ee,92,70,53,fe,82,b7,83,ba,.. [HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\sptd\Cfg\19659239224E364682FA4BAF72C53EA4\00000001\0Jf40] "khjeh"=hex:56,44,e5,54,04,2b,53,47,f4,13,20,27,c6,93,70,5e,f2,d6,bf,b1,0a,.. [HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\sptd\Cfg\19659239224E364682FA4BAF72C53EA4\00000001\0Jf41] "khjeh"=hex:b7,af,7f,74,72,a9,e2,57,2d,4a,e5,b4,c3,65,a1,bf,75,0b,dc,48,d5,.. [HKEY_LOCAL_MACHINE\SYSTEM\ControlSet002\Services\sptd\Cfg\19659239224E364682FA4BAF72C53EA4] "p0"="D:\DAEMON Tools Lite\" "h0"=dword:00000000 "khjeh"=hex:1f,cb,b9,e8,89,c0,e8,c7,9a,ff,1c,ff,98,59,38,22,6c,04,6d,83,09,.. [HKEY_LOCAL_MACHINE\SYSTEM\ControlSet002\Services\sptd\Cfg\19659239224E364682FA4BAF72C53EA4\00000001] "a0"=hex:20,01,00,00,fb,a0,8f,6f,70,ea,70,09,37,6e,e9,f9,1d,49,9d,91,2d,.. "khjeh"=hex:de,41,e0,01,4a,c0,33,71,86,c1,1f,c2,ee,92,70,53,fe,82,b7,83,ba,.. [HKEY_LOCAL_MACHINE\SYSTEM\ControlSet002\Services\sptd\Cfg\19659239224E364682FA4BAF72C53EA4\00000001\0Jf40] "khjeh"=hex:56,44,e5,54,04,2b,53,47,f4,13,20,27,c6,93,70,5e,f2,d6,bf,b1,0a,.. [HKEY_LOCAL_MACHINE\SYSTEM\ControlSet002\Services\sptd\Cfg\19659239224E364682FA4BAF72C53EA4\00000001\0Jf41] "khjeh"=hex:b7,af,7f,74,72,a9,e2,57,2d,4a,e5,b4,c3,65,a1,bf,75,0b,dc,48,d5,.. scanning hidden registry entries ... scanning hidden files ... scan completed successfully hidden processes: 0 hidden services: 0 hidden files: 0 [b]Remaining Services [/b]: Authorized Application Key Export: [HKEY_LOCAL_MACHINE\system\currentcontrolset\services\sharedaccess\parameters\firewallpolicy\standardprofile\authorizedapplications\list] "%windir%\\system32\\sessmgr.exe"="%windir%\\system32\\sessmgr.exe:*:enabled:@xpsp2res.dll,-22019" "D:\\Flashget\\flashget.exe"="D:\\Flashget\\flashget.exe:*:Enabled:Flashget" "C:\\Program Files\\Microsoft Office\\Office12\\OUTLOOK.EXE"="C:\\Program Files\\Microsoft Office\\Office12\\OUTLOOK.EXE:*:Enabled:Microsoft Office Outlook" "C:\\Program Files\\Microsoft Office\\Office12\\GROOVE.EXE"="C:\\Program Files\\Microsoft Office\\Office12\\GROOVE.EXE:*:Enabled:Microsoft Office Groove" "C:\\Program Files\\Microsoft Office\\Office12\\ONENOTE.EXE"="C:\\Program Files\\Microsoft Office\\Office12\\ONENOTE.EXE:*:Enabled:Microsoft Office OneNote" "C:\\Program Files\\uTorrent\\uTorrent.exe"="C:\\Program Files\\uTorrent\\uTorrent.exe:*:Enabled:µTorrent" "D:\\Skype\\Phone\\Skype.exe"="D:\\Skype\\Phone\\Skype.exe:*:Enabled:Skype" "D:\\Gadu-Gadu\\gg.exe"="D:\\Gadu-Gadu\\gg.exe:*:Enabled:Gadu-Gadu - program główny" "C:\\Program Files\\Mozilla Firefox\\firefox.exe"="C:\\Program Files\\Mozilla Firefox\\firefox.exe:*:Enabled:Mozilla Firefox" "D:\\Soulseek\\slsk.exe"="D:\\Soulseek\\slsk.exe:*:Enabled:SoulSeek" [HKEY_LOCAL_MACHINE\system\currentcontrolset\services\sharedaccess\parameters\firewallpolicy\domainprofile\authorizedapplications\list] "%windir%\\system32\\sessmgr.exe"="%windir%\\system32\\sessmgr.exe:*:enabled:@xpsp2res.dll,-22019" [b]Remaining Files [/b]: [b]Files with Hidden Attributes [/b]: [b]Finished![/b]

Log z ComboFix

Kod: Zaznacz wszystko: ComboFix 08-10-09.06 - Kasia 2008-10-10 22:23:10.2 - NTFSx86 Microsoft Windows XP Professional 5.1.2600.2.1250.1.1045.18.469 [GMT 2:00] Uruchomiony z: C:\Documents and Settings\Kasia\Pulpit\ComboFix.exe * Resident AV is active [COLOR=RED][B]UWAGA - TEN KOMPUTER NIE MA ZAINSTALOWANEJ KONSOLI ODZYSKIWANIA !![/B][/COLOR] . ((((((((((((((((((((((((( Pliki utworzone od 2008-09-10 do 2008-10-10 ))))))))))))))))))))))))))))))) . 2008-10-10 22:08 . 2008-10-10 22:08 <DIR> d-------- C:\WINDOWS\ERUNT 2008-10-10 22:07 . 2008-10-10 22:16 <DIR> d-------- C:\SDFix 2008-10-10 21:44 . 2008-10-10 21:44 <DIR> d-------- C:\VundoFix Backups 2008-10-08 23:04 . 2008-10-08 23:04 <DIR> d-------- C:\Program Files\Techland 2008-10-08 09:20 . 2008-10-08 09:20 <DIR> d-------- C:\Documents and Settings\Kasia\Dane aplikacji\Ashampoo 2008-10-08 09:19 . 2008-10-08 09:19 <DIR> d-------- C:\Program Files\Ashampoo 2008-10-08 09:19 . 2008-10-08 09:19 <DIR> d-------- C:\Documents and Settings\All Users\Dane aplikacji\ashampoo 2008-10-08 09:08 . 2008-10-08 09:08 108,336 --a------ C:\WINDOWS\mswinsck.ocx 2008-10-06 16:44 . 2008-10-06 16:45 <DIR> d-------- C:\WINDOWS\SxsCaPendDel 2008-10-02 15:05 . 2008-10-02 15:05 <DIR> d-------- C:\Documents and Settings\Kasia\Dane aplikacji\ESET 2008-10-02 15:04 . 2008-10-02 15:05 <DIR> d-------- C:\Program Files\ESET 2008-10-02 15:00 . 2008-10-02 15:00 0 --a------ C:\WINDOWS\RAVTC.TMP 2008-09-26 05:18 . 2008-10-06 17:00 <DIR> d-------- C:\WINDOWS\system32\CatRoot_bak 2008-09-26 05:14 . 2008-06-14 20:01 273,024 --------- C:\WINDOWS\system32\drivers\bthport.sys 2008-09-26 05:14 . 2008-06-14 20:01 273,024 -----c--- C:\WINDOWS\system32\dllcache\bthport.sys 2008-09-25 22:46 . 2008-09-25 22:50 <DIR> d-------- C:\Program Files\jv16 PowerTools 2008 2008-09-25 20:56 . 2008-09-25 20:56 <DIR> d---s---- C:\Documents and Settings\Kasia\UserData 2008-09-25 20:09 . 2008-09-29 21:07 8,627 --a------ C:\WINDOWS\system32\PAV_FOG.OPC 2008-09-25 20:01 . 2008-09-25 20:11 <DIR> d-------- C:\Documents and Settings\All Users\Dane aplikacji\Backup 2008-09-22 01:31 . 2008-09-22 04:12 243,147 --a------ C:\WINDOWS\system32\REset3.exe 2008-09-18 22:10 . 2008-09-18 22:10 <DIR> d-------- C:\Program Files\MGrenda 2008-09-13 19:34 . 2008-09-13 19:34 <DIR> d-------- C:\Program Files\URUSoft . (((((((((((((((((((((((((((((((((((((((( Sekcja Find3M )))))))))))))))))))))))))))))))))))))))))))))))))))) . 2008-10-10 20:17 --------- d-----w C:\Program Files\AutoConnect 2008-10-10 19:19 --------- d-----w C:\Documents and Settings\Kasia\Dane aplikacji\uTorrent 2008-10-10 08:45 --------- d-----w C:\Program Files\Crawler 2008-10-06 14:42 --------- d-----w C:\Documents and Settings\All Users\Dane aplikacji\Nero 2008-10-05 14:51 --------- d-----w C:\Documents and Settings\Kasia\Dane aplikacji\XnView 2008-10-02 13:00 --------- d-----w C:\Program Files\Common Files\InstallShield 2008-09-25 20:38 --------- d-----w C:\Documents and Settings\Kasia\Dane aplikacji\Cream Software 2008-09-25 18:00 --------- d--h--w C:\Program Files\InstallShield Installation Information 2008-08-27 23:00 --------- d-----w C:\Program Files\Common Files\Adobe 2008-08-17 16:26 --------- d-----w C:\Program Files\WinSCP3 2008-08-16 22:26 --------- d-----w C:\Program Files\Opera 2008-08-16 11:38 --------- d-----w C:\Program Files\kED 2008-08-11 10:53 --------- d-----w C:\Program Files\Zajaczek 4.1 2008-07-18 20:10 94,920 ----a-w C:\WINDOWS\system32\cdm.dll 2008-07-18 20:10 53,448 ----a-w C:\WINDOWS\system32\wuauclt.exe 2008-07-18 20:10 45,768 ----a-w C:\WINDOWS\system32\wups2.dll 2008-07-18 20:10 36,552 ----a-w C:\WINDOWS\system32\wups.dll 2008-07-18 20:09 563,912 ----a-w C:\WINDOWS\system32\wuapi.dll 2008-07-18 20:09 325,832 ----a-w C:\WINDOWS\system32\wucltui.dll 2008-07-18 20:09 205,000 ----a-w C:\WINDOWS\system32\wuweb.dll 2008-07-18 20:09 1,811,656 ----a-w C:\WINDOWS\system32\wuaueng.dll . ((((((((((((((((((((((((((((( snapshot@2008-10-10_15.31.03.67 ))))))))))))))))))))))))))))))))))))))))) . + 2008-08-07 14:27:04 163,328 ----a-w C:\WINDOWS\ERUNT\SDFIX\ERDNT.EXE + 2008-10-10 20:08:34 3,416,064 ----a-w C:\WINDOWS\ERUNT\SDFIX\Users\[u]0[/u]0000001\NTUSER.DAT + 2008-10-10 20:08:34 167,936 ----a-w C:\WINDOWS\ERUNT\SDFIX\Users\[u]0[/u]0000002\UsrClass.dat + 2008-08-07 14:27:04 163,328 ----a-w C:\WINDOWS\ERUNT\SDFIX_First_Run\ERDNT.EXE + 2008-10-10 20:08:18 3,416,064 ----a-w C:\WINDOWS\ERUNT\SDFIX_First_Run\Users\[u]0[/u]0000001\NTUSER.DAT + 2008-10-10 20:08:18 167,936 ----a-w C:\WINDOWS\ERUNT\SDFIX_First_Run\Users\[u]0[/u]0000002\UsrClass.dat . ((((((((((((((((((((((((((((((((((((( Wpisy startowe rejestru )))))))))))))))))))))))))))))))))))))))))))))))))) . . *Uwaga* puste wpisy oraz domyślne, prawidłowe wpisy nie są pokazane REGEDIT4 [HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] "CTFMON.EXE"="C:\WINDOWS\system32\ctfmon.exe" [2004-08-04 15360] [HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] "SpeedTouch USB Diagnostics"="C:\Program Files\Thomson\SpeedTouch USB\Dragdiag.exe" [2004-01-26 866816] "egui"="C:\Program Files\ESET\ESET Smart Security\egui.exe" [2008-07-01 1447168] [HKEY_USERS\.DEFAULT\Software\Microsoft\Windows\CurrentVersion\Run] "CTFMON.EXE"="C:\WINDOWS\system32\CTFMON.EXE" [2004-08-04 15360] [HKEY_LOCAL_MACHINE\software\microsoft\windows nt\currentversion\winlogon\notify\rqRKEVLF] [BU] [HKEY_LOCAL_MACHINE\software\microsoft\windows nt\currentversion\windows] "AppInit_DLLs"=fpqzce.dll [HKEY_LOCAL_MACHINE\software\microsoft\windows nt\currentversion\drivers32] "VIDC.YV12"= yv12vfw.dll [HKLM\~\startupfolder\C:^Documents and Settings^All Users^Menu Start^Programy^Autostart^ATI CATALYST System Tray.lnk] path=C:\Documents and Settings\All Users\Menu Start\Programy\Autostart\ATI CATALYST System Tray.lnk backup=C:\WINDOWS\pss\ATI CATALYST System Tray.lnkCommon Startup [HKLM\~\startupfolder\C:^Documents and Settings^All Users^Menu Start^Programy^Autostart^BTTray.lnk] path=C:\Documents and Settings\All Users\Menu Start\Programy\Autostart\BTTray.lnk backup=C:\WINDOWS\pss\BTTray.lnkCommon Startup [HKLM\~\startupfolder\C:^Documents and Settings^Kasia^Menu Start^Programy^Autostart^OpenOffice.ux.pl 2.3.1.lnk] path=C:\Documents and Settings\Kasia\Menu Start\Programy\Autostart\OpenOffice.ux.pl 2.3.1.lnk backup=C:\WINDOWS\pss\OpenOffice.ux.pl 2.3.1.lnkStartup [HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\KernelFaultCheck] C:\WINDOWS\system32\dumprep 0 -k [X] [HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\Adobe Reader Speed Launcher] --a------ 2008-01-11 22:16 39792 D:\AdobeReader\Reader\reader_sl.exe [HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\ATICCC] --a------ 2005-08-06 02:07 61440 C:\Program Files\ATI Technologies\ATI.ACE\CLI.exe [HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\CreativeMouse ] --a------ 2004-06-27 16:38 503808 C:\Program Files\Mouse Driver\MouseDrv.exe [HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\DAEMON Tools Lite] --a------ 2008-02-14 01:09 486856 D:\DAEMON Tools Lite\daemon.exe [HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\Flashget] --a------ 2007-09-25 10:10 2007088 D:\Flashget\flashget.exe [HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\Gadu-Gadu] --a------ 2008-03-29 14:06 2131392 D:\Gadu-Gadu\gg.exe [HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\GrooveMonitor] --a------ 2006-10-27 01:47 31016 C:\Program Files\Microsoft Office\Office12\GrooveMonitor.exe [HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\SunJavaUpdateSched] --a------ 2008-02-22 05:25 144784 C:\Program Files\Java\jre1.6.0_05\bin\jusched.exe [HKLM\~\services\sharedaccess\parameters\firewallpolicy\standardprofile] "EnableFirewall"= 0 (0x0) [HKLM\~\services\sharedaccess\parameters\firewallpolicy\standardprofile\AuthorizedApplications\List] "%windir%\\system32\\sessmgr.exe"= "D:\\Flashget\\flashget.exe"= "C:\\Program Files\\Microsoft Office\\Office12\\OUTLOOK.EXE"= "C:\\Program Files\\Microsoft Office\\Office12\\GROOVE.EXE"= "C:\\Program Files\\Microsoft Office\\Office12\\ONENOTE.EXE"= "C:\\Program Files\\uTorrent\\uTorrent.exe"= "D:\\Skype\\Phone\\Skype.exe"= "D:\\Gadu-Gadu\\gg.exe"= "C:\\Program Files\\Mozilla Firefox\\firefox.exe"= "D:\\Soulseek\\slsk.exe"= S1 ShldDrv;Panda File Shield Driver;C:\WINDOWS\system32\DRIVERS\ShlDrv51.sys [ ] S2 PavProc;Panda Process Protection Driver;C:\WINDOWS\system32\DRIVERS\PavProc.sys [ ] S2 PSGenUn;Panda Security Generic Uninstaller;C:\PROGRA~1\INSTAL~1\{7926E~1\SMCL\SMCLpav.exe [ ] . - - - - USUNIĘTO PUSTE WPISY - - - - BHO-{54A8264B-AFFB-4614-95FE-0234817EA282} - (no file) ShellExecuteHooks-{54A8264B-AFFB-4614-95FE-0234817EA282} - (no file) . ------- Skan uzupełniający ------- . FireFox -: Profile - C:\Documents and Settings\Kasia\Dane aplikacji\Mozilla\Firefox\Profiles\7vzov0qk.default\ FF -: plugin - C:\Program Files\Yahoo!\Common\npyaxmpb.dll FF -: plugin - D:\AdobeReader\Reader\browser\nppdf32.dll . ************************************************************************** catchme 0.3.1361 W2K/XP/Vista - rootkit/stealth malware detector by Gmer, http://www.gmer.net Rootkit scan 2008-10-10 22:24:49 Windows 5.1.2600 Dodatek Service Pack 2 NTFS skanowanie ukrytych procesów ... skanowanie ukrytych wpisów autostartu ... skanowanie ukrytych plików ... skanowanie pomyślnie ukończone ukryte pliki: 0 ************************************************************************** . Czas ukończenia: 2008-10-10 22:26:54 ComboFix-quarantined-files.txt 2008-10-10 20:26:49 ComboFix2.txt 2008-10-10 13:32:08 Przed: 6,536,011,776 bajtów wolnych Po: 6,526,091,264 bajtów wolnych 152 --- E O F --- 2008-10-06 15:00:18

**Posty:** 14 · przez **mikula84** 10 Paź 2008, 23:39

uważaj - podczas połączenia z internetem vundo ściąga masę innych syfów. ja w końcu miałem tak zaśmiecony komputer, że i tak musiałem formatować. proponuję odłączać net kiedy się da, ale jestem tu tylko amatorem, więc.. :oops:

**Posty:** 7956 · przez **Magik** 11 Paź 2008, 00:56

Bry noc

w hijacku, w trybie awaryjnym dajesz na fix:

Kod: Zaznacz wszystko: C:\WINDOWS\regx32.exe O2 - BHO: (no name) - {54A8264B-AFFB-4614-95FE-0234817EA282} - (no file) O4 - HKLM\..\Run: [TrialReset] C:\WINDOWS\regx32.exe O20 - AppInit_DLLs: fpqzce.dll O20 - Winlogon Notify: rqRKEVLF - C:\WINDOWS\

wrzuc to w notatnik

Kod: Zaznacz wszystko: FILE:: C:\WINDOWS\system32\REset3.exe REGISTRY:: [HKEY_LOCAL_MACHINE\software\microsoft\windows nt\currentversion\winlogon\notify\rqRKEVLF] [BU] [HKEY_LOCAL_MACHINE\software\microsoft\windows nt\currentversion\windows] "AppInit_DLLs"=fpqzce.dll

Zapisz jako CFScript.txt. Przeciągnij i upuść ikonkę CFScript.txt na ikonkę ComboFix.exe

sciagnij ATF_Cleaner
zaznacz
Windows Temp
All users Temp
Temporary internet files
Recycle Bin
i wcisnij EMPTY SELECTED
.Wyłącz przywracanie systemu ( właściwości mój komputer-zakładka przywracanie - wyłącz przywracanie na wszystkich dyskach). Po chwili włącz je powrotem

z tego screena wiekszosci plikow w logach nie widac, pomijajac TEMP'a i dllcache

przeskanuj kompa tym
http://www.kaspersky.com/virusscanner

**Posty:** 993 · przez **Ceres** 11 Paź 2008, 16:34

Oki doki ... wykonałam to co napisałeś.
Kaspersky online skaner nic nie wykrył.

Kod: Zaznacz wszystko: KASPERSKY ONLINE SCANNER REPORT 11 październik 2008 15:49:58 System operacyjny: Microsoft Windows XP Professional, Dodatek Service Pack 2 (Build 2600) Kaspersky Online Scanner wersja: 5.0.98.1 Ostatnia aktualizacja Kaspersky Anti-Virus11/10/2008 Liczba wpisów w bazie danych Kaspersky Anti-Virus1305152 ------------------------------------------------------------------------------- Ustawienia skanowania: Skanowanie przy użyciu następujących baz danych: rozszerzone Skanuj archiwa: tak Skanuj pocztowe bazy danych: tak Obszar skanowania - Mój komputer: A:\ C:\ D:\ E:\ F:\ G:\ H:\ I:\ J:\ K:\ Statystyki skanowania: Liczba skanowanych obiektów: 41778 Liczba wykrytych wirusów: 0 Liczba zainfekowanych obiektów: 0 Liczba podejrzanych obiektów: 0 Czas trwania skanowania: 01:14:32 Nazwa zainfekowanego obiektu / Nazwa wirusa / Ostatnie działanie C:\Documents and Settings\All Users\Dane aplikacji\ESET\ESET Smart Security\Charon\CACHE.NDB Object is locked pominięty C:\Documents and Settings\All Users\Dane aplikacji\ESET\ESET Smart Security\Logs\epfwlog.dat Object is locked pominięty C:\Documents and Settings\All Users\Dane aplikacji\ESET\ESET Smart Security\Logs\virlog.dat Object is locked pominięty C:\Documents and Settings\All Users\Dane aplikacji\ESET\ESET Smart Security\Logs\warnlog.dat Object is locked pominięty C:\Documents and Settings\Kasia\Cookies\index.dat Object is locked pominięty C:\Documents and Settings\Kasia\Dane aplikacji\Mozilla\Firefox\Profiles\7vzov0qk.default\cert8.db Object is locked pominięty C:\Documents and Settings\Kasia\Dane aplikacji\Mozilla\Firefox\Profiles\7vzov0qk.default\content-prefs.sqlite Object is locked pominięty C:\Documents and Settings\Kasia\Dane aplikacji\Mozilla\Firefox\Profiles\7vzov0qk.default\cookies.sqlite Object is locked pominięty C:\Documents and Settings\Kasia\Dane aplikacji\Mozilla\Firefox\Profiles\7vzov0qk.default\downloads.sqlite Object is locked pominięty C:\Documents and Settings\Kasia\Dane aplikacji\Mozilla\Firefox\Profiles\7vzov0qk.default\formhistory.sqlite Object is locked pominięty C:\Documents and Settings\Kasia\Dane aplikacji\Mozilla\Firefox\Profiles\7vzov0qk.default\key3.db Object is locked pominięty C:\Documents and Settings\Kasia\Dane aplikacji\Mozilla\Firefox\Profiles\7vzov0qk.default\parent.lock Object is locked pominięty C:\Documents and Settings\Kasia\Dane aplikacji\Mozilla\Firefox\Profiles\7vzov0qk.default\permissions.sqlite Object is locked pominięty C:\Documents and Settings\Kasia\Dane aplikacji\Mozilla\Firefox\Profiles\7vzov0qk.default\places.sqlite Object is locked pominięty C:\Documents and Settings\Kasia\Dane aplikacji\Mozilla\Firefox\Profiles\7vzov0qk.default\places.sqlite-journal Object is locked pominięty C:\Documents and Settings\Kasia\Dane aplikacji\Mozilla\Firefox\Profiles\7vzov0qk.default\search.sqlite Object is locked pominięty C:\Documents and Settings\Kasia\NTUSER.DAT Object is locked pominięty C:\Documents and Settings\Kasia\ntuser.dat.LOG Object is locked pominięty C:\Documents and Settings\Kasia\Ustawienia lokalne\Dane aplikacji\Microsoft\Windows\UsrClass.dat Object is locked pominięty C:\Documents and Settings\Kasia\Ustawienia lokalne\Dane aplikacji\Microsoft\Windows\UsrClass.dat.LOG Object is locked pominięty C:\Documents and Settings\Kasia\Ustawienia lokalne\Dane aplikacji\Mozilla\Firefox\Profiles\7vzov0qk.default\Cache\_CACHE_001_ Object is locked pominięty C:\Documents and Settings\Kasia\Ustawienia lokalne\Dane aplikacji\Mozilla\Firefox\Profiles\7vzov0qk.default\Cache\_CACHE_002_ Object is locked pominięty C:\Documents and Settings\Kasia\Ustawienia lokalne\Dane aplikacji\Mozilla\Firefox\Profiles\7vzov0qk.default\Cache\_CACHE_003_ Object is locked pominięty C:\Documents and Settings\Kasia\Ustawienia lokalne\Dane aplikacji\Mozilla\Firefox\Profiles\7vzov0qk.default\Cache\_CACHE_MAP_ Object is locked pominięty C:\Documents and Settings\Kasia\Ustawienia lokalne\Dane aplikacji\Mozilla\Firefox\Profiles\7vzov0qk.default\urlclassifier3.sqlite Object is locked pominięty C:\Documents and Settings\Kasia\Ustawienia lokalne\Historia\History.IE5\index.dat Object is locked pominięty C:\Documents and Settings\Kasia\Ustawienia lokalne\Historia\History.IE5\MSHist012008101120081012\index.dat Object is locked pominięty C:\Documents and Settings\Kasia\Ustawienia lokalne\temp\etilqs_YBPvYZaSJtw7KdIrQq8c Object is locked pominięty C:\Documents and Settings\Kasia\Ustawienia lokalne\Temporary Internet Files\Content.IE5\index.dat Object is locked pominięty C:\Documents and Settings\LocalService\Cookies\index.dat Object is locked pominięty C:\Documents and Settings\LocalService\NTUSER.DAT Object is locked pominięty C:\Documents and Settings\LocalService\ntuser.dat.LOG Object is locked pominięty C:\Documents and Settings\LocalService\Ustawienia lokalne\Dane aplikacji\Microsoft\Windows\UsrClass.dat Object is locked pominięty C:\Documents and Settings\LocalService\Ustawienia lokalne\Dane aplikacji\Microsoft\Windows\UsrClass.dat.LOG Object is locked pominięty C:\Documents and Settings\LocalService\Ustawienia lokalne\Historia\History.IE5\index.dat Object is locked pominięty C:\Documents and Settings\LocalService\Ustawienia lokalne\Temporary Internet Files\Content.IE5\index.dat Object is locked pominięty C:\Documents and Settings\NetworkService\NTUSER.DAT Object is locked pominięty C:\Documents and Settings\NetworkService\ntuser.dat.LOG Object is locked pominięty C:\Documents and Settings\NetworkService\Ustawienia lokalne\Dane aplikacji\Microsoft\Windows\UsrClass.dat Object is locked pominięty C:\Documents and Settings\NetworkService\Ustawienia lokalne\Dane aplikacji\Microsoft\Windows\UsrClass.dat.LOG Object is locked pominięty C:\System Volume Information\MountPointManagerRemoteDatabase Object is locked pominięty C:\System Volume Information\_restore{C51A53C8-F7BD-46BE-B757-7E1F7254C3C2}\RP1\change.log Object is locked pominięty C:\WINDOWS\Debug\PASSWD.LOG Object is locked pominięty C:\WINDOWS\SchedLgU.Txt Object is locked pominięty C:\WINDOWS\SoftwareDistribution\EventCache\{DA1F802A-A45B-4CA9-9195-F0F923417F0E}.bin Object is locked pominięty C:\WINDOWS\SoftwareDistribution\ReportingEvents.log Object is locked pominięty C:\WINDOWS\Sti_Trace.log Object is locked pominięty C:\WINDOWS\system32\config\ACEEvent.evt Object is locked pominięty C:\WINDOWS\system32\config\AppEvent.Evt Object is locked pominięty C:\WINDOWS\system32\config\default Object is locked pominięty C:\WINDOWS\system32\config\default.LOG Object is locked pominięty C:\WINDOWS\system32\config\ODiag.evt Object is locked pominięty C:\WINDOWS\system32\config\OSession.evt Object is locked pominięty C:\WINDOWS\system32\config\SAM Object is locked pominięty C:\WINDOWS\system32\config\SAM.LOG Object is locked pominięty C:\WINDOWS\system32\config\SecEvent.Evt Object is locked pominięty C:\WINDOWS\system32\config\SECURITY Object is locked pominięty C:\WINDOWS\system32\config\SECURITY.LOG Object is locked pominięty C:\WINDOWS\system32\config\software Object is locked pominięty C:\WINDOWS\system32\config\software.LOG Object is locked pominięty C:\WINDOWS\system32\config\SysEvent.Evt Object is locked pominięty C:\WINDOWS\system32\config\system Object is locked pominięty C:\WINDOWS\system32\config\system.LOG Object is locked pominięty C:\WINDOWS\system32\drivers\sptd.sys Object is locked pominięty C:\WINDOWS\system32\h323log.txt Object is locked pominięty C:\WINDOWS\system32\wbem\Repository\FS\INDEX.BTR Object is locked pominięty C:\WINDOWS\system32\wbem\Repository\FS\INDEX.MAP Object is locked pominięty C:\WINDOWS\system32\wbem\Repository\FS\MAPPING.VER Object is locked pominięty C:\WINDOWS\system32\wbem\Repository\FS\MAPPING1.MAP Object is locked pominięty C:\WINDOWS\system32\wbem\Repository\FS\MAPPING2.MAP Object is locked pominięty C:\WINDOWS\system32\wbem\Repository\FS\OBJECTS.DATA Object is locked pominięty C:\WINDOWS\system32\wbem\Repository\FS\OBJECTS.MAP Object is locked pominięty C:\WINDOWS\wiadebug.log Object is locked pominięty C:\WINDOWS\wiaservc.log Object is locked pominięty C:\WINDOWS\WindowsUpdate.log Object is locked pominięty D:\System Volume Information\MountPointManagerRemoteDatabase Object is locked pominięty D:\System Volume Information\_restore{C51A53C8-F7BD-46BE-B757-7E1F7254C3C2}\RP1\change.log Object is locked pominięty E:\System Volume Information\MountPointManagerRemoteDatabase Object is locked pominięty E:\System Volume Information\_restore{C51A53C8-F7BD-46BE-B757-7E1F7254C3C2}\RP1\change.log Object is locked pominięty F:\System Volume Information\MountPointManagerRemoteDatabase Object is locked pominięty G:\System Volume Information\MountPointManagerRemoteDatabase Object is locked pominięty H:\System Volume Information\MountPointManagerRemoteDatabase Object is locked pominięty Proces skanowania został zakończony.

Co do wpisów log HJ :

Kod: Zaznacz wszystko: O20 - AppInit_DLLs: fpqzce.dll O20 - Winlogon Notify: rqRKEVLF - C:\WINDOWS\

Nie mogę ich usunąć. Po restarcie komputera znów pojawiają się w logu

**Posty:** 7956 · przez **Magik** 11 Paź 2008, 16:43

020--->Hijack nie zawsze sobie z tym dobrze radzi.....wiec trzeba recznie w trybie awaryjnym

wejdz do rejestru

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Windows oraz

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\Notify

i z tych kluczy usun recznie te 2 wpisy

jesli combo ich nie "dilejtnal"

**Posty:** 993 · przez **Ceres** 12 Paź 2008, 15:43

Heloł

Magik napisał(a):HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Windows

Wpis był , usunęłam...

Magik napisał(a):HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\Notify

Tego wpisu nie było.

Skaner ESET Smart Security nic już nie znajduję, tak samo Kaspersky. Ale...

W skanie HJ nadal pojawiają się te dwa wpisy :

Kod: Zaznacz wszystko: O20 - AppInit_DLLs: fpqzce.dll O20 - Winlogon Notify: rqRKEVLF - C:\WINDOWS\

Kod: Zaznacz wszystko: Logfile of Trend Micro HijackThis v2.0.2 Scan saved at 15:39:54, on 2008-10-12 Platform: Windows XP Dodatek SP2 (WinNT 5.01.2600) MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180) Boot mode: Normal Running processes: C:\WINDOWS\System32\smss.exe C:\WINDOWS\system32\winlogon.exe C:\WINDOWS\system32\services.exe C:\WINDOWS\system32\lsass.exe C:\WINDOWS\system32\Ati2evxx.exe C:\WINDOWS\system32\svchost.exe C:\WINDOWS\System32\svchost.exe C:\WINDOWS\system32\spoolsv.exe C:\WINDOWS\system32\Ati2evxx.exe C:\WINDOWS\Explorer.EXE C:\Program Files\WIDCOMM\Oprogramowanie interfejsu Bluetooth\bin\btwdins.exe C:\Program Files\ESET\ESET Smart Security\ekrn.exe C:\WINDOWS\system32\svchost.exe C:\Program Files\Canon\CAL\CALMAIN.exe C:\Program Files\Thomson\SpeedTouch USB\Dragdiag.exe C:\Program Files\ESET\ESET Smart Security\egui.exe C:\WINDOWS\system32\ctfmon.exe C:\Program Files\Mozilla Firefox\firefox.exe C:\Program Files\AutoConnect\AutoConnect.exe D:\Aimp2.11\AIMP2.exe C:\Program Files\Trend Micro\HijackThis\HijackThis.exe R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.google.pl/ R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://go.microsoft.com/fwlink/?LinkId=69157 R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://go.microsoft.com/fwlink/?LinkId=54896 R1 - HKLM\Software\Microsoft\Internet Explorer\Main,SearchAssistant = http://www.crawler.com/search/ie.aspx?tb_id=60076 R1 - HKLM\Software\Microsoft\Internet Explorer\Main,CustomizeSearch = http://dnl.crawler.com/support/sa_customize.aspx?TbId=60076 R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = http://go.microsoft.com/fwlink/?LinkId=54896 R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Łącza R3 - URLSearchHook: (no name) - {1CB20BF0-BBAE-40A7-93F4-6435FF3D0411} - (no file) R3 - URLSearchHook: Yahoo! Toolbar - {EF99BD32-C1FB-11D2-892F-0090271D4F88} - (no file) O2 - BHO: Adobe PDF Reader Link Helper - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Program Files\Common Files\Adobe\Acrobat\ActiveX\AcroIEHelper.dll O2 - BHO: Groove GFS Browser Helper - {72853161-30C5-4D22-B7F9-0BBC1D38A37E} - C:\PROGRA~1\MICROS~2\Office12\GRA8E1~1.DLL O2 - BHO: SSVHelper Class - {761497BB-D6F0-462C-B6EB-D4DAF1D92D43} - C:\Program Files\Java\jre1.6.0_05\bin\ssv.dll O2 - BHO: FlashGet GetFlash Class - {F156768E-81EF-470C-9057-481BA8380DBA} - D:\Flashget\getflash.dll O3 - Toolbar: &Crawler Toolbar - {4B3803EA-5230-4DC3-A7FC-33638F3D3542} - C:\PROGRA~1\Crawler\ctbr.dll O3 - Toolbar: &Tłumaczenie - {0D704FAD-66E9-4F0A-BFED-4F665770DDB3} - C:\Program Files\Techland\Common\InternetTranslator\InternetTranslator.dll O4 - HKLM\..\Run: [SpeedTouch USB Diagnostics] "C:\Program Files\Thomson\SpeedTouch USB\Dragdiag.exe" /icon O4 - HKLM\..\Run: [egui] "C:\Program Files\ESET\ESET Smart Security\egui.exe" /hide /waitservice O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\ctfmon.exe O4 - HKUS\S-1-5-19\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'USŁUGA LOKALNA') O4 - HKUS\S-1-5-20\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'USŁUGA SIECIOWA') O4 - HKUS\S-1-5-18\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'SYSTEM') O4 - HKUS\.DEFAULT\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'Default user') O8 - Extra context menu item: &Ściągnij przy pomocy FlashGet'a - D:\Flashget\jc_link.htm O8 - Extra context menu item: &Ściągnij wszystko przy pomocy FlashGet'a - D:\Flashget\jc_all.htm O8 - Extra context menu item: Crawler Search - tbr:iemenu O8 - Extra context menu item: E&ksportuj do programu Microsoft Excel - res://C:\PROGRA~1\MICROS~2\Office12\EXCEL.EXE/3000 O8 - Extra context menu item: Wyślij do interfejsu &Bluetooth - C:\Program Files\WIDCOMM\Oprogramowanie interfejsu Bluetooth\btsendto_ie_ctx.htm O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\jre1.6.0_05\bin\ssv.dll O9 - Extra 'Tools' menuitem: Sun Java Console - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\jre1.6.0_05\bin\ssv.dll O9 - Extra button: Wyślij do programu OneNote - {2670000A-7350-4f3c-8081-5663EE0C6C49} - C:\PROGRA~1\MICROS~2\Office12\ONBttnIE.dll O9 - Extra 'Tools' menuitem: Wyślij &do programu OneNote - {2670000A-7350-4f3c-8081-5663EE0C6C49} - C:\PROGRA~1\MICROS~2\Office12\ONBttnIE.dll O9 - Extra button: Research - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - C:\PROGRA~1\MICROS~2\Office12\REFIEBAR.DLL O9 - Extra button: (no name) - {B46B0919-62BA-4D99-A5C4-916B57A6805C} - C:\Program Files\Techland\Common\InternetTranslator\InternetTranslator.dll O9 - Extra 'Tools' menuitem: @C:\Program Files\Techland\Common\InternetTranslator\InternetTranslator.dll,-103 - {B46B0919-62BA-4D99-A5C4-916B57A6805C} - C:\Program Files\Techland\Common\InternetTranslator\InternetTranslator.dll O9 - Extra button: @btrez.dll,-4015 - {CCA281CA-C863-46ef-9331-5C8D4460577F} - C:\Program Files\WIDCOMM\Oprogramowanie interfejsu Bluetooth\btsendto_ie.htm O9 - Extra 'Tools' menuitem: @btrez.dll,-4017 - {CCA281CA-C863-46ef-9331-5C8D4460577F} - C:\Program Files\WIDCOMM\Oprogramowanie interfejsu Bluetooth\btsendto_ie.htm O9 - Extra button: FlashGet - {D6E814A0-E0C5-11d4-8D29-0050BA6940E3} - D:\Flashget\FlashGet.exe O9 - Extra 'Tools' menuitem: FlashGet - {D6E814A0-E0C5-11d4-8D29-0050BA6940E3} - D:\Flashget\FlashGet.exe O16 - DPF: {0EB0E74A-2A76-4AB3-A7FB-9BD8C29F7F75} (CKAVWebScan Object) - http://www.kaspersky.pl/resources/virusscanner/kavwebscan_unicode.cab O17 - HKLM\System\CCS\Services\Tcpip\..\{605AC384-0218-4DF8-89DE-3C39515D7B76}: NameServer = 194.204.159.1 217.98.63.164 O18 - Protocol: grooveLocalGWS - {88FED34C-F0CA-4636-A375-3CB6248B04CD} - C:\PROGRA~1\MICROS~2\Office12\GR99D3~1.DLL O18 - Protocol: tbr - {4D25FB7A-8902-4291-960E-9ADA051CFBBF} - C:\PROGRA~1\Crawler\ctbr.dll O20 - AppInit_DLLs: fpqzce.dll O20 - Winlogon Notify: rqRKEVLF - C:\WINDOWS\ O23 - Service: Ati HotKey Poller - ATI Technologies Inc. - C:\WINDOWS\system32\Ati2evxx.exe O23 - Service: ATI Smart - Unknown owner - C:\WINDOWS\system32\ati2sgag.exe O23 - Service: Bluetooth Service (btwdins) - Broadcom Corporation. - C:\Program Files\WIDCOMM\Oprogramowanie interfejsu Bluetooth\bin\btwdins.exe O23 - Service: Canon Camera Access Library 8 (CCALib8) - Canon Inc. - C:\Program Files\Canon\CAL\CALMAIN.exe O23 - Service: Eset HTTP Server (EhttpSrv) - ESET - C:\Program Files\ESET\ESET Smart Security\EHttpSrv.exe O23 - Service: Eset Service (ekrn) - ESET - C:\Program Files\ESET\ESET Smart Security\ekrn.exe O23 - Service: Panda Process Protection Service (PavPrSrv) - Unknown owner - C:\Program Files\Common Files\Panda Software\PavShld\pavprsrv.exe (file missing) O23 - Service: PsExec (PSEXESVC) - Unknown owner - C:\WINDOWS\PSEXESVC.EXE (file missing) O23 - Service: Panda Security Generic Uninstaller (PSGenUn) - Unknown owner - C:\PROGRA~1\INSTAL~1\{7926E~1\SMCL\SMCLpav.exe (file missing) -- End of file - 7068 bytes

Już nie wiem,może coś robię nie tak

**Posty:** 8001 · przez **Okocza** 12 Paź 2008, 15:53

Kod: Zaznacz wszystko: R3 - URLSearchHook: (no name) - {1CB20BF0-BBAE-40A7-93F4-6435FF3D0411} - (no file) R3 - URLSearchHook: Yahoo! Toolbar - {EF99BD32-C1FB-11D2-892F-0090271D4F88} - (no file) O20 - AppInit_DLLs: fpqzce.dll O20 - Winlogon Notify: rqRKEVLF - C:\WINDOWS\

w Awaryjnym spróbuj usunąć

Dodatkowo odinstaluj czym prędzej Pandę, bo masz 2 antywiry

**Posty:** 993 · przez **Ceres** 12 Paź 2008, 16:59

Okocza napisał(a):w Awaryjnym spróbuj usunąć

Usuwam wszak te wpisy w awaryjnym no-stop

f8 przejście w system awaryjny => HJ => Do a system scan log => zaznaczam wpisy "ptaszkiem" i i naciśkam Fix checked.
Po mimo to one są ciągle w logu przy kolejnym skanowaniu. Zarówno w trybie awaryjnym jak i normalnym ...

Okocza napisał(a):Dodatkowo odinstaluj czym prędzej Pandę, bo masz 2 antywiry

Mam 1 antywira - Eset Smart Security .
Te wpsiy w logu to pozostałości po Pandzie.

**Posty:** 684 · przez **djarta** 12 Paź 2008, 17:03

Daj ponownie log z ComboFixa! @Magik usuwając klucz w rejestrze popełnij jeden błąd.

===================
K.

**Posty:** 8001 · przez **Okocza** 12 Paź 2008, 17:11

Kod: Zaznacz wszystko: R3 - URLSearchHook: (no name) - {1CB20BF0-BBAE-40A7-93F4-6435FF3D0411} - (no file) R3 - URLSearchHook: Yahoo! Toolbar - {EF99BD32-C1FB-11D2-892F-0090271D4F88} - (no file) O20 - AppInit_DLLs: fpqzce.dll O20 - Winlogon Notify: rqRKEVLF - C:\WINDOWS\ O23 - Service: Panda Process Protection Service (PavPrSrv) - Unknown owner - C:\Program Files\Common Files\Panda Software\PavShld\pavprsrv.exe (file missing) O23 - Service: Panda Security Generic Uninstaller (PSGenUn) - Unknown owner - C:\PROGRA~1\INSTAL~1\{7926E~1\SMCL\SMCLpav.exe (file missing)

w takim wypadku to usuwasz.

wstaw jeszcze combofixa

**Posty:** 14 · przez **mikula84** 12 Paź 2008, 23:21

mam pytanie miedzy wierszami, czy komus sie udalo usunac vundo z sukcesem? ja pamietam ze sie meczylem i meczylem i nic nie wyszlo z tego :-|

nie to zebym czarne wizje rozsiewal.. :evil:

**Posty:** 8001 · przez **Okocza** 13 Paź 2008, 21:33

maciekpk, załóż swój temat, opisz swój problem i wstaw log w tag code

**Posty:** 993 · przez **Ceres** 13 Paź 2008, 22:23

Hej!

Wpisy poleciały !
Już chyba wszystko w porządku.

Wklejam jeszcze profilaktycznie log z ComboFix :idea:

Kod: Zaznacz wszystko: ComboFix 08-10-09.06 - Kasia 2008-10-13 22:12:29.6 - NTFSx86 Microsoft Windows XP Professional 5.1.2600.2.1250.1.1045.18.463 [GMT 2:00] Uruchomiony z: C:\Documents and Settings\Kasia\Pulpit\ComboFix.exe * Resident AV is active [COLOR=RED][B]UWAGA - TEN KOMPUTER NIE MA ZAINSTALOWANEJ KONSOLI ODZYSKIWANIA !![/B][/COLOR] . ((((((((((((((((((((((((( Pliki utworzone od 2008-09-13 do 2008-10-13 ))))))))))))))))))))))))))))))) . 2008-10-11 09:06 . 2008-10-11 09:06 <DIR> d-------- C:\WINDOWS\system32\Kaspersky Lab 2008-10-11 09:06 . 2008-10-11 09:06 <DIR> d-------- C:\Documents and Settings\All Users\Dane aplikacji\Kaspersky Lab 2008-10-10 22:08 . 2008-10-10 22:08 <DIR> d-------- C:\WINDOWS\ERUNT 2008-10-10 22:07 . 2008-10-10 22:16 <DIR> d-------- C:\SDFix 2008-10-08 23:04 . 2008-10-08 23:04 <DIR> d-------- C:\Program Files\Techland 2008-10-08 09:20 . 2008-10-08 09:20 <DIR> d-------- C:\Documents and Settings\Kasia\Dane aplikacji\Ashampoo 2008-10-08 09:19 . 2008-10-08 09:19 <DIR> d-------- C:\Program Files\Ashampoo 2008-10-08 09:19 . 2008-10-08 09:19 <DIR> d-------- C:\Documents and Settings\All Users\Dane aplikacji\ashampoo 2008-10-08 09:08 . 2008-10-08 09:08 108,336 --a------ C:\WINDOWS\mswinsck.ocx 2008-10-06 16:44 . 2008-10-06 16:45 <DIR> d-------- C:\WINDOWS\SxsCaPendDel 2008-10-02 15:05 . 2008-10-02 15:05 <DIR> d-------- C:\Documents and Settings\Kasia\Dane aplikacji\ESET 2008-10-02 15:04 . 2008-10-02 15:05 <DIR> d-------- C:\Program Files\ESET 2008-10-02 15:00 . 2008-10-02 15:00 0 --a------ C:\WINDOWS\RAVTC.TMP 2008-09-26 05:18 . 2008-10-06 17:00 <DIR> d-------- C:\WINDOWS\system32\CatRoot_bak 2008-09-26 05:14 . 2008-06-14 20:01 273,024 --------- C:\WINDOWS\system32\drivers\bthport.sys 2008-09-26 05:14 . 2008-06-14 20:01 273,024 -----c--- C:\WINDOWS\system32\dllcache\bthport.sys 2008-09-25 22:46 . 2008-09-25 22:50 <DIR> d-------- C:\Program Files\jv16 PowerTools 2008 2008-09-25 20:56 . 2008-09-25 20:56 <DIR> d---s---- C:\Documents and Settings\Kasia\UserData 2008-09-25 20:09 . 2008-09-29 21:07 8,627 --a------ C:\WINDOWS\system32\PAV_FOG.OPC 2008-09-25 20:01 . 2008-09-25 20:11 <DIR> d-------- C:\Documents and Settings\All Users\Dane aplikacji\Backup 2008-09-18 22:10 . 2008-09-18 22:10 <DIR> d-------- C:\Program Files\MGrenda 2008-09-13 19:34 . 2008-09-13 19:34 <DIR> d-------- C:\Program Files\URUSoft . (((((((((((((((((((((((((((((((((((((((( Sekcja Find3M )))))))))))))))))))))))))))))))))))))))))))))))))))) . 2008-10-13 20:00 --------- d-----w C:\Program Files\AutoConnect 2008-10-12 20:27 --------- d-----w C:\Documents and Settings\Kasia\Dane aplikacji\uTorrent 2008-10-12 15:45 --------- d-----w C:\Program Files\Crawler 2008-10-06 14:42 --------- d-----w C:\Documents and Settings\All Users\Dane aplikacji\Nero 2008-10-05 14:51 --------- d-----w C:\Documents and Settings\Kasia\Dane aplikacji\XnView 2008-10-02 13:00 --------- d-----w C:\Program Files\Common Files\InstallShield 2008-09-25 20:38 --------- d-----w C:\Documents and Settings\Kasia\Dane aplikacji\Cream Software 2008-09-25 18:00 --------- d--h--w C:\Program Files\InstallShield Installation Information 2008-08-27 23:00 --------- d-----w C:\Program Files\Common Files\Adobe 2008-08-17 16:26 --------- d-----w C:\Program Files\WinSCP3 2008-08-16 22:26 --------- d-----w C:\Program Files\Opera 2008-08-16 11:38 --------- d-----w C:\Program Files\kED 2008-07-18 20:10 94,920 ----a-w C:\WINDOWS\system32\cdm.dll 2008-07-18 20:10 53,448 ----a-w C:\WINDOWS\system32\wuauclt.exe 2008-07-18 20:10 45,768 ----a-w C:\WINDOWS\system32\wups2.dll 2008-07-18 20:10 36,552 ----a-w C:\WINDOWS\system32\wups.dll 2008-07-18 20:09 563,912 ----a-w C:\WINDOWS\system32\wuapi.dll 2008-07-18 20:09 325,832 ----a-w C:\WINDOWS\system32\wucltui.dll 2008-07-18 20:09 205,000 ----a-w C:\WINDOWS\system32\wuweb.dll 2008-07-18 20:09 1,811,656 ----a-w C:\WINDOWS\system32\wuaueng.dll . ((((((((((((((((((((((((((((((((((((( Wpisy startowe rejestru )))))))))))))))))))))))))))))))))))))))))))))))))) . . *Uwaga* puste wpisy oraz domyślne, prawidłowe wpisy nie są pokazane REGEDIT4 [HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] "CTFMON.EXE"="C:\WINDOWS\system32\ctfmon.exe" [2004-08-04 15360] [HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] "SpeedTouch USB Diagnostics"="C:\Program Files\Thomson\SpeedTouch USB\Dragdiag.exe" [2004-01-26 866816] "egui"="C:\Program Files\ESET\ESET Smart Security\egui.exe" [2008-07-01 1447168] [HKEY_USERS\.DEFAULT\Software\Microsoft\Windows\CurrentVersion\Run] "CTFMON.EXE"="C:\WINDOWS\system32\CTFMON.EXE" [2004-08-04 15360] [HKEY_LOCAL_MACHINE\software\microsoft\windows nt\currentversion\drivers32] "VIDC.YV12"= yv12vfw.dll [HKLM\~\startupfolder\C:^Documents and Settings^All Users^Menu Start^Programy^Autostart^ATI CATALYST System Tray.lnk] path=C:\Documents and Settings\All Users\Menu Start\Programy\Autostart\ATI CATALYST System Tray.lnk backup=C:\WINDOWS\pss\ATI CATALYST System Tray.lnkCommon Startup [HKLM\~\startupfolder\C:^Documents and Settings^All Users^Menu Start^Programy^Autostart^BTTray.lnk] path=C:\Documents and Settings\All Users\Menu Start\Programy\Autostart\BTTray.lnk backup=C:\WINDOWS\pss\BTTray.lnkCommon Startup [HKLM\~\startupfolder\C:^Documents and Settings^Kasia^Menu Start^Programy^Autostart^OpenOffice.ux.pl 2.3.1.lnk] path=C:\Documents and Settings\Kasia\Menu Start\Programy\Autostart\OpenOffice.ux.pl 2.3.1.lnk backup=C:\WINDOWS\pss\OpenOffice.ux.pl 2.3.1.lnkStartup [HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\KernelFaultCheck] C:\WINDOWS\system32\dumprep 0 -k [X] [HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\Adobe Reader Speed Launcher] --a------ 2008-01-11 22:16 39792 D:\AdobeReader\Reader\reader_sl.exe [HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\ATICCC] --a------ 2005-08-06 02:07 61440 C:\Program Files\ATI Technologies\ATI.ACE\CLI.exe [HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\CreativeMouse ] --a------ 2004-06-27 16:38 503808 C:\Program Files\Mouse Driver\MouseDrv.exe [HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\DAEMON Tools Lite] --a------ 2008-02-14 01:09 486856 D:\DAEMON Tools Lite\daemon.exe [HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\Flashget] --a------ 2007-09-25 10:10 2007088 D:\Flashget\flashget.exe [HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\Gadu-Gadu] --a------ 2008-03-29 14:06 2131392 D:\Gadu-Gadu\gg.exe [HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\GrooveMonitor] --a------ 2006-10-27 01:47 31016 C:\Program Files\Microsoft Office\Office12\GrooveMonitor.exe [HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\SunJavaUpdateSched] --a------ 2008-02-22 05:25 144784 C:\Program Files\Java\jre1.6.0_05\bin\jusched.exe [HKLM\~\services\sharedaccess\parameters\firewallpolicy\standardprofile] "EnableFirewall"= 0 (0x0) [HKLM\~\services\sharedaccess\parameters\firewallpolicy\standardprofile\AuthorizedApplications\List] "%windir%\\system32\\sessmgr.exe"= "D:\\Flashget\\flashget.exe"= "C:\\Program Files\\Microsoft Office\\Office12\\OUTLOOK.EXE"= "C:\\Program Files\\Microsoft Office\\Office12\\GROOVE.EXE"= "C:\\Program Files\\Microsoft Office\\Office12\\ONENOTE.EXE"= "C:\\Program Files\\uTorrent\\uTorrent.exe"= "D:\\Skype\\Phone\\Skype.exe"= "D:\\Gadu-Gadu\\gg.exe"= "C:\\Program Files\\Mozilla Firefox\\firefox.exe"= "D:\\Soulseek\\slsk.exe"= S1 ShldDrv;Panda File Shield Driver;C:\WINDOWS\system32\DRIVERS\ShlDrv51.sys [ ] S2 PavProc;Panda Process Protection Driver;C:\WINDOWS\system32\DRIVERS\PavProc.sys [ ] S2 PSGenUn;Panda Security Generic Uninstaller;C:\PROGRA~1\INSTAL~1\{7926E~1\SMCL\SMCLpav.exe [ ] . . ------- Skan uzupełniający ------- . FireFox -: Profile - C:\Documents and Settings\Kasia\Dane aplikacji\Mozilla\Firefox\Profiles\7vzov0qk.default\ FF -: plugin - C:\Program Files\Yahoo!\Common\npyaxmpb.dll FF -: plugin - D:\AdobeReader\Reader\browser\nppdf32.dll . ************************************************************************** catchme 0.3.1361 W2K/XP/Vista - rootkit/stealth malware detector by Gmer, http://www.gmer.net Rootkit scan 2008-10-13 22:14:18 Windows 5.1.2600 Dodatek Service Pack 2 NTFS skanowanie ukrytych procesów ... skanowanie ukrytych wpisów autostartu ... skanowanie ukrytych plików ... skanowanie pomyślnie ukończone ukryte pliki: 0 ************************************************************************** . Czas ukończenia: 2008-10-13 22:16:19 ComboFix-quarantined-files.txt 2008-10-13 20:16:13 ComboFix2.txt 2008-10-12 15:52:59 Przed: 6 135 099 392 bajtów wolnych Po: 6,123,999,232 bajtów wolnych 135 --- E O F --- 2008-10-06 15:00:18

Dziękuję wszystkim za pomoc w rozwiązaniu problemu.
Pozdrawiam i życzę miłego wieczoru.
Kasia.

edit by Magik

Tak

[log] virtumonde

[log] virtumonde

[log] virtumonde

[log] virtumonde

[log] virtumonde

[log] virtumonde

[log] virtumonde

[log] virtumonde

Re: [log] virtumonde

[log] virtumonde

Re: [log] virtumonde

[log] virtumonde

[log] virtumonde

[log] virtumonde

[log] virtumonde

[log] virtumonde

Kto jest na forum