Czy jest coś podejrzanego w procesach?

[DemoNeo]

Prosiłbym o zerknięcie na logi z programu IceSword:

Kod: Zaznacz wszystko

Port:

Protocol  Local Address           Foreign Address         State               PID       PathName
TCP       127.0.0.1 : 1066        127.0.0.1 : 1065        ESTABLISHED         2212      D:\Programy\Search engines\Firefox 3\firefox.exe
TCP       127.0.0.1 : 1064        127.0.0.1 : 1063        ESTABLISHED         2212      D:\Programy\Search engines\Firefox 3\firefox.exe
TCP       127.0.0.1 : 1063        127.0.0.1 : 1064        ESTABLISHED         2212      D:\Programy\Search engines\Firefox 3\firefox.exe
TCP       127.0.0.1 : 1065        127.0.0.1 : 1066        ESTABLISHED         2212      D:\Programy\Search engines\Firefox 3\firefox.exe
TCP       192.168.0.2 : 1262      77.67.19.23 : 80        ESTABLISHED         2212      D:\Programy\Search engines\Firefox 3\firefox.exe
TCP       192.168.0.2 : 1041      91.197.13.69 : 443      ESTABLISHED         1224      D:\Programy\Gadu-Gadu\gg.exe
TCP       192.168.0.2 : 4220      91.121.122.89 : 80      TIME_WAIT           0         ----
TCP       0.0.0.0 : 445           0.0.0.0 : 0             LISTENING           4         NT OS Kernel
TCP       0.0.0.0 : 135           0.0.0.0 : 0             LISTENING           792       C:\WINDOWS\system32\svchost.exe
TCP       127.0.0.1 : 1029        0.0.0.0 : 0             LISTENING           880       C:\WINDOWS\system32\alg.exe
TCP       192.168.0.2 : 139       0.0.0.0 : 0             LISTENING           4         NT OS Kernel
UDP       0.0.0.0 : 1593          * : *                                       1188      C:\WINDOWS\system32\svchost.exe
UDP       0.0.0.0 : 1597          * : *                                       1188      C:\WINDOWS\system32\svchost.exe
UDP       192.168.0.2 : 137       * : *                                       4         NT OS Kernel
UDP       0.0.0.0 : 500           * : *                                       596       C:\WINDOWS\system32\lsass.exe
UDP       0.0.0.0 : 1594          * : *                                       1188      C:\WINDOWS\system32\svchost.exe
UDP       192.168.0.2 : 138       * : *                                       4         NT OS Kernel
UDP       192.168.0.2 : 123       * : *                                       856       C:\WINDOWS\system32\svchost.exe
UDP       127.0.0.1 : 123         * : *                                       856       C:\WINDOWS\system32\svchost.exe
UDP       0.0.0.0 : 1025          * : *                                       1188      C:\WINDOWS\system32\svchost.exe
UDP       0.0.0.0 : 1595          * : *                                       1188      C:\WINDOWS\system32\svchost.exe
UDP       127.0.0.1 : 1050        * : *                                       920       D:\Programy\Bezpieczenstwo\Sygate Personal Firewall 5.6\Smc.exe
UDP       0.0.0.0 : 1037          * : *                                       1188      C:\WINDOWS\system32\svchost.exe
UDP       0.0.0.0 : 1177          * : *                                       1188      C:\WINDOWS\system32\svchost.exe
UDP       192.168.0.2 : 1900      * : *                                       1236      C:\WINDOWS\system32\svchost.exe
UDP       0.0.0.0 : 1596          * : *                                       1188      C:\WINDOWS\system32\svchost.exe
UDP       0.0.0.0 : 1034          * : *                                       920       D:\Programy\Bezpieczenstwo\Sygate Personal Firewall 5.6\Smc.exe
UDP       127.0.0.1 : 1900        * : *                                       1236      C:\WINDOWS\system32\svchost.exe
UDP       0.0.0.0 : 4500          * : *                                       596       C:\WINDOWS\system32\lsass.exe
UDP       0.0.0.0 : 445           * : *                                       4         NT OS Kernel
UDP       127.0.0.1 : 1036        * : *                                       1224      D:\Programy\Gadu-Gadu\gg.exe
RAW       ---                     ---                     ---                 4         NT OS Kernel
RAW       ---                     ---                     ---                 4         NT OS Kernel
RAW       ---                     ---                     ---                 596       C:\WINDOWS\system32\lsass.exe



Kod: Zaznacz wszystko

Process:

System Idle Process
System
C:\WINDOWS\system32\wbem\wmiprvse.exe
C:\WINDOWS\system32\smss.exe
C:\WINDOWS\system32\csrss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\system32\alg.exe
D:\Programy\Bezpieczenstwo\Avast4\ashDisp.exe
D:\Programy\Bezpieczenstwo\Sygate Personal Firewall 5.6\Smc.exe
D:\Casual_games\Programs\Winamp\winampa.exe
C:\WINDOWS\system32\rundll32.exe
C:\WINDOWS\explorer.exe
C:\WINDOWS\system32\svchost.exe
D:\Programy\Gadu-Gadu\gg.exe
C:\WINDOWS\system32\svchost.exe
D:\Programy\Bezpieczenstwo\Avast4\aswUpdSv.exe
D:\Programy\Bezpieczenstwo\Avast4\ashServ.exe
C:\WINDOWS\system32\spoolsv.exe
D:\Programy\Bezpieczenstwo\IceSword122en\IceSword122en\IceSword.exe
C:\WINDOWS\system32\nvsvc32.exe
D:\Programy\Search engines\Firefox 3\firefox.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\system32\wuauclt.exe



Czy jest tu coś niepokojącego? Czy to normalne, że np. svchost łączy się prze kilka portów?

[Okocza]

Czy to normalne, że np. svchost łączy się prze kilka portów?

otworz menedżer zadan i zobacz ile masz SVCHOST a wtedy sam odpowiesz na pytanie

Autor postu otrzymał pochwałę

[DemoNeo]

Dodam jeszcze raport z SDFix:

Kod: Zaznacz wszystko


[b]SDFix: Version 1.240 [/b]
Run by Administrator on 2008-12-30 at 19:24

Microsoft Windows XP [Wersja 5.1.2600]
Running From: C:\SDFix

[b]Checking Services [/b]:


Restoring Default Security Values
Restoring Default Hosts File

Rebooting


[b]Checking Files [/b]:

No Trojan Files Found






Removing Temp Files

[b]ADS Check [/b]:



                                 [b]Final Check [/b]:

catchme 0.3.1361.2 W2K/XP/Vista - rootkit/stealth malware detector by Gmer, http://www.gmer.net
Rootkit scan 2008-12-30 19:28:26
Windows 5.1.2600 Dodatek Service Pack 2 NTFS

scanning hidden processes ...

scanning hidden services & system hive ...

scanning hidden registry entries ...

scanning hidden files ...

scan completed successfully
hidden processes: 0
hidden services: 0
hidden files: 0


[b]Remaining Services [/b]:




Authorized Application Key Export:

[HKEY_LOCAL_MACHINE\system\currentcontrolset\services\sharedaccess\parameters\firewallpolicy\standardprofile\authorizedapplications\list]
"%windir%\\system32\\sessmgr.exe"="%windir%\\system32\\sessmgr.exe:*:enabled:@xpsp2res.dll,-22019"
"D:\\Programy\\Gadu-Gadu\\gg.exe"="D:\\Programy\\Gadu-Gadu\\gg.exe:*:Disabled:Gadu-Gadu - program gˆ˘wny"
"D:\\Programy\\Search engines\\Firefox 3\\firefox.exe"="D:\\Programy\\Search engines\\Firefox 3\\firefox.exe:*:Disabled:Firefox"
"\\\\192.168.0.1\\d\\programy\\B2BPOKER\\Pokerium\\jre\\bin\\javaw.exe"="\\\\192.168.0.1\\d\\programy\\B2BPOKER\\Pokerium\\jre\\bin\\javaw.exe:*:Enabled:javaw.exe"
"\\\\192.168.0.1\\d\\programy\\B2BPOKER\\Club4Aces.com\\jre\\bin\\javaw.exe"="\\\\192.168.0.1\\d\\programy\\B2BPOKER\\Club4Aces.com\\jre\\bin\\javaw.exe:*:Enabled:javaw.exe"
"D:\\Programy\\eMule\\emule.exe"="D:\\Programy\\eMule\\emule.exe:*:Disabled:eMule"

[HKEY_LOCAL_MACHINE\system\currentcontrolset\services\sharedaccess\parameters\firewallpolicy\domainprofile\authorizedapplications\list]
"%windir%\\system32\\sessmgr.exe"="%windir%\\system32\\sessmgr.exe:*:enabled:@xpsp2res.dll,-22019"

[b]Remaining Files [/b]:



[b]Files with Hidden Attributes [/b]:

Tue 30 Dec 2008    38,510,298 A..H. --- "C:\WINDOWS\SoftwareDistribution\Download\c572f98f078e9c9994c58a928b851a98\download\BIT14.tmp"

[b]Finished![/b]




i z ComboFix:

Kod: Zaznacz wszystko

ComboFix 08-12-28.01 - User 2008-12-30 18:42:48.2 - NTFSx86
Microsoft Windows XP Professional  5.1.2600.2.1250.1.1045.18.511.247 [GMT 1:00]
Uruchomiony z: d:\programy\Bezpieczenstwo\ComboFix\ComboFix.exe
Użyto następujących komend :: d:\programy\Bezpieczenstwo\ComboFix\CFScript.txt
AV: avast! antivirus 4.8.1296 [VPS 081230-0] *On-access scanning disabled* (Outdated)
FW: Sygate Personal Firewall *disabled*
.

(((((((((((((((((((((((((   Pliki utworzone od 2008-11-28 do 2008-12-30  )))))))))))))))))))))))))))))))
.

2008-12-28 13:03 . 2008-12-28 13:05   <DIR>   d--------   c:\documents and settings\User\Dane aplikacji\PacificPoker
2008-12-27 12:36 . 2008-12-30 18:44   <DIR>   d--h-----   c:\documents and settings\Administrator\Ustawienia lokalne
2008-12-27 12:36 . 2008-09-18 21:04   <DIR>   d--------   c:\documents and settings\Administrator\Ulubione
2008-12-27 12:36 . 2008-09-18 18:17   <DIR>   d--h-----   c:\documents and settings\Administrator\Szablony
2008-12-27 12:36 . 2008-09-18 21:04   <DIR>   d--------   c:\documents and settings\Administrator\Pulpit
2008-12-27 12:36 . 2008-09-18 21:04   <DIR>   d--------   c:\documents and settings\Administrator\Moje dokumenty
2008-12-27 12:36 . 2008-09-18 21:04   <DIR>   dr-------   c:\documents and settings\Administrator\Menu Start
2008-12-27 12:36 . 2008-09-18 21:04   <DIR>   dr-h-----   c:\documents and settings\Administrator\Dane aplikacji
2008-12-27 12:36 . 2008-12-27 12:45   <DIR>   d--------   c:\documents and settings\Administrator
2008-12-23 23:51 . 2008-12-23 23:51   <DIR>   d--------   c:\documents and settings\User\Dane aplikacji\Gadu-Gadu
2008-12-19 13:51 . 2008-12-19 13:51   <DIR>   d--------   c:\program files\Media Player Classic
2008-12-18 07:50 . 2008-12-18 07:50   2,912,116   --a------   C:\bookmarks.html
2008-12-17 15:22 . 2008-10-03 11:17   247,326   -----c---   c:\windows\system32\dllcache\strmdll.dll
2008-12-14 22:49 . 2008-12-14 22:49   <DIR>   d--------   c:\documents and settings\User\Dane aplikacji\Media Player Classic
2008-12-11 21:18 . 2008-12-11 21:30   <DIR>   d--------   c:\documents and settings\User\Dane aplikacji\Winamp
2008-12-11 15:42 . 2008-12-12 17:21   <DIR>   d--------   C:\tmp
2008-12-10 22:29 . 2004-08-03 23:08   31,616   --a------   c:\windows\system32\drivers\usbccgp.sys
2008-12-10 21:37 . 2004-08-03 23:08   25,600   --a------   c:\windows\system32\drivers\usbser.sys
2008-12-10 21:23 . 2006-05-01 07:47   36,480   --a------   c:\windows\system32\drivers\P2k.sys
2008-12-10 21:22 . 2008-12-10 21:24   <DIR>   d----c---   c:\windows\system32\DRVSTORE
2008-12-10 21:22 . 2008-12-10 21:22   <DIR>   d--------   c:\program files\Motorola
2008-12-10 21:22 . 2008-12-10 21:22   <DIR>   d--------   c:\program files\Common Files\Motorola Shared
2008-12-10 21:22 . 2006-04-19 10:56   6,144   --a-s----   c:\windows\system32\mot_ci.dll
2008-12-06 17:55 . 2008-05-01 15:33   331,776   -----c---   c:\windows\system32\dllcache\msadce.dll
2008-12-06 16:24 . 2008-12-30 07:58   <DIR>   d--------   c:\windows\system32\CatRoot_bak
2008-12-02 21:51 . 2008-12-02 21:51   <DIR>   d--------   c:\program files\MSXML 4.0
2008-12-02 10:27 . 2008-10-24 12:10   453,632   -----c---   c:\windows\system32\dllcache\mrxsmb.sys
2008-12-02 10:26 . 2008-04-11 19:51   683,520   -----c---   c:\windows\system32\dllcache\inetcomm.dll
2008-12-02 10:26 . 2008-10-15 18:00   332,800   -----c---   c:\windows\system32\dllcache\netapi32.dll
2008-12-02 10:23 . 2008-08-28 11:04   333,056   -----c---   c:\windows\system32\dllcache\srv.sys
2008-12-02 10:23 . 2008-06-14 19:01   273,024   -----c---   c:\windows\system32\dllcache\bthport.sys
2008-12-02 10:22 . 2008-08-14 10:51   138,368   -----c---   c:\windows\system32\dllcache\afd.sys
2008-12-02 10:21 . 2008-09-15 16:40   1,846,272   -----c---   c:\windows\system32\dllcache\win32k.sys
2008-12-02 10:18 . 2008-08-14 14:46   2,181,632   -----c---   c:\windows\system32\dllcache\ntoskrnl.exe
2008-12-02 10:18 . 2008-08-14 14:46   2,137,600   -----c---   c:\windows\system32\dllcache\ntkrnlmp.exe
2008-12-02 10:18 . 2008-08-14 14:46   2,059,008   -----c---   c:\windows\system32\dllcache\ntkrnlpa.exe
2008-12-02 10:18 . 2008-08-14 14:46   2,017,280   -----c---   c:\windows\system32\dllcache\ntkrpamp.exe
2008-12-01 16:35 . 2008-09-04 17:46   1,106,944   -----c---   c:\windows\system32\dllcache\msxml3.dll
2008-11-26 20:08 . 2008-11-26 20:08   11   --a------   c:\windows\system32\PROTOC0L.IN3
2008-11-25 16:27 . 2008-11-25 16:27   <DIR>   d--h-----   c:\program files\InstallShield Installation Information
2008-11-07 18:32 . 2008-11-07 18:32   2,109,440   -----c---   c:\windows\system32\dllcache\WMVCore.dll
2008-11-03 16:33 . 2008-11-04 12:01   220   --a------   c:\windows\Frog_Man_v_3.iix

.
((((((((((((((((((((((((((((((((((((((((   Sekcja Find3M   ))))))))))))))))))))))))))))))))))))))))))))))))))))
.
2008-12-10 20:19   ---------   d-----w   c:\program files\Common Files\InstallShield
2008-11-29 11:01   ---------   d-----w   c:\documents and settings\All Users\Dane aplikacji\Microsoft Help
2008-10-23 13:01   283,648   ----a-w   c:\windows\system32\gdi32.dll
2008-10-16 13:13   202,776   ----a-w   c:\windows\system32\wuweb.dll
2008-10-16 13:13   1,809,944   ----a-w   c:\windows\system32\wuaueng.dll
2008-10-16 13:12   561,688   ----a-w   c:\windows\system32\wuapi.dll
2008-10-16 13:12   323,608   ----a-w   c:\windows\system32\wucltui.dll
2008-10-16 13:09   92,696   ----a-w   c:\windows\system32\cdm.dll
2008-10-16 13:09   51,224   ----a-w   c:\windows\system32\wuauclt.exe
2008-10-16 13:09   43,544   ----a-w   c:\windows\system32\wups2.dll
2008-10-16 13:08   34,328   ----a-w   c:\windows\system32\wups.dll
2008-10-16 10:39   662,016   ----a-w   c:\windows\system32\wininet.dll
2008-10-03 10:17   247,326   ----a-w   c:\windows\system32\strmdll.dll
2008-09-30 15:43   1,286,152   ----a-w   c:\windows\system32\msxml4.dll
2008-09-18 17:23   558,142   ----a-w   c:\windows\java\Packages\C0IFVJRV.ZIP
2008-09-18 17:23   155,995   ----a-w   c:\windows\java\Packages\PBVJ3LND.ZIP
2008-09-15 15:40   1,846,272   ----a-w   c:\windows\system32\win32k.sys
2008-09-10 07:41   81,920   ----a-w   c:\windows\system32\frapsvid.dll
2008-09-04 16:46   1,106,944   ----a-w   c:\windows\system32\msxml3.dll
.

(((((((((((((((((((((((((((((   snapshot@2008-12-29_10.17.11,34   )))))))))))))))))))))))))))))))))))))))))
.
+ 2008-12-29 09:32:59   16,384   ----atw   c:\windows\Temp\Perflib_Perfdata_580.dat
.
(((((((((((((((((((((((((((((((((((((   Wpisy startowe rejestru   ))))))))))))))))))))))))))))))))))))))))))))))))))
.
.
*Uwaga* puste wpisy oraz domyślne, prawidłowe wpisy nie są pokazane
REGEDIT4

[HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
"Gadu-Gadu"="d:\programy\Gadu-Gadu\gg.exe" [2007-05-10 2111176]

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
"avast!"="d:\programy\BEZPIE~2\Avast4\ashDisp.exe" [2008-11-26 81000]
"SmcService"="d:\programy\BEZPIE~2\SYGATE~1.6\smc.exe" [2004-10-15 2577632]
"NvCplDaemon"="c:\windows\system32\NvCpl.dll" [2006-10-22 7700480]
"WinampAgent"="d:\casual_games\Programs\Winamp\winampa.exe" [2008-08-04 36352]
"nwiz"="nwiz.exe" [2006-10-22 c:\windows\system32\nwiz.exe]
"NvMediaCenter"="NvMCTray.dll" [2006-10-22 c:\windows\system32\nvmctray.dll]

[HKEY_USERS\.DEFAULT\Software\Microsoft\Windows\CurrentVersion\Run]
"CTFMON.EXE"="c:\windows\System32\CTFMON.EXE" [2004-08-03 15360]

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\Adobe Reader Speed Launcher]
--a------ 2008-06-12 02:38 34672 d:\programy\Adobe\Reader 9.0\Reader\reader_sl.exe

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\Komunikator]
--a------ 2006-04-13 13:51 957440 \\192.168.0.1\d\Programy\Tlen\tlen.exe

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\SunJavaUpdateSched]
--a------ 2008-06-10 03:27 144784 c:\program files\Java\jre1.6.0_07\bin\jusched.exe

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\WinampAgent]
--a------ 2008-08-04 00:02 36352 d:\casual_games\Programs\Winamp\winampa.exe

[HKLM\~\services\sharedaccess\parameters\firewallpolicy\standardprofile\AuthorizedApplications\List]
"%windir%\\system32\\sessmgr.exe"=
"d:\\Programy\\Gadu-Gadu\\gg.exe"=
"d:\\Programy\\Search engines\\Firefox 3\\firefox.exe"=
"\\\\192.168.0.1\\d\\programy\\B2BPOKER\\Pokerium\\jre\\bin\\javaw.exe"=
"\\\\192.168.0.1\\d\\programy\\B2BPOKER\\Club4Aces.com\\jre\\bin\\javaw.exe"=
"d:\\Programy\\eMule\\emule.exe"=

R1 aswSP;avast! Self Protection;c:\windows\system32\drivers\aswSP.sys [2008-09-19 111184]
R2 aswFsBlk;aswFsBlk;c:\windows\system32\DRIVERS\aswFsBlk.sys [2008-09-19 20560]
.
.
------- Skan uzupełniający -------
.
uInternet Settings,ProxyOverride = *.local
TCP: {C85FC2A7-E707-40C0-A0C5-A48A8E947B0F} = 192.204.159.1,217.98.63.164

O16 -: DirectAnimation Java Classes - file://c:\windows\Java\classes\dajava.cab
c:\windows\Downloaded Program Files\DirectAnimation Java Classes.osd

O16 -: Microsoft XML Parser for Java - file://c:\windows\Java\classes\xmldso.cab
c:\windows\Downloaded Program Files\Microsoft XML Parser for Java.osd
FF - ProfilePath - c:\documents and settings\User\Dane aplikacji\Mozilla\Firefox\Profiles\5l3067kc.default\
FF - plugin: d:\programy\Adobe\Reader 9.0\Reader\browser\nppdf32.dll
FF - plugin: d:\programy\Real Alternative\browser\plugins\nppl3260.dll
FF - plugin: d:\programy\Real Alternative\browser\plugins\nprpjplug.dll
.

**************************************************************************

catchme 0.3.1367 W2K/XP/Vista - rootkit/stealth malware detector by Gmer, http://www.gmer.net
Rootkit scan 2008-12-30 18:44:35
Windows 5.1.2600 Dodatek Service Pack 2 NTFS

skanowanie ukrytych procesów ...

skanowanie ukrytych wpisów autostartu ...

skanowanie ukrytych plików ...


**************************************************************************

[HKEY_LOCAL_MACHINE\system\ControlSet001\Services\vsdatant]
"ImagePath"=""
.
Czas ukończenia: 2008-12-30 18:46:46
ComboFix-quarantined-files.txt  2008-12-30 17:45:29
ComboFix2.txt  2008-12-29 09:19:24

Przed: 899˙661˙824 bajt˘w wolnych
Po: 892,289,024 bajt˘w wolnych

142   --- E O F ---   2008-12-26 14:25:52



[Okocza]

DemoNeo, masz jakiś problem z komputerem? nie ma prewencji na forum.