My security shield

**Posty:** 25 · przez **lucek.pl** 23 Sie 2010, 13:28

Witam
Pojawił mi się w komputerze wirus udający program av. Oczywiście proponuje zakup. Blokuje menadżera zadań. Nie mogę się go do końca pozbyć programami typu remove fake av itp. Poniżej log z OTL. Mam nadzieję, że obejdzie się bez formatki...

http://wklej.to/5bA8
http://wklej.to/qtdh

**Posty:** 584 · przez **Andziorka** 23 Sie 2010, 14:11

Brakuje jeszcze loga z Gmera: http://forum.programosy.pl/obowiazkowe-zasady-wstawiania-logow-wazne-vt117887.html

**Posty:** 25 · przez **lucek.pl** 23 Sie 2010, 14:52

Ach... faktycznie zapomniałem. Już naprawiam błąd.

Kod: Zaznacz wszystko: GMER 1.0.15.15281 - http://www.gmer.net Rootkit scan 2010-08-23 14:48:15 Windows 5.1.2600 Dodatek Service Pack 2 Running: gmer.exe; Driver: C:\DOCUME~1\ADMINI~1\USTAWI~1\Temp\fxddypod.sys ---- System - GMER 1.0.15 ---- SSDT \SystemRoot\system32\drivers\dwprot.sys ZwOpenSection [0xEFA587E0] SSDT \SystemRoot\system32\drivers\dwprot.sys ZwSystemDebugControl [0xEFA5870E] ---- Kernel code sections - GMER 1.0.15 ---- ? C:\WINDOWS\system32\Drivers\PROCEXP141.SYS Nie można odnaleźć określonego pliku. ! ? system32\drivers\dwprot.sys System nie może odnaleźć określonej ścieżki. ! ? C:\DOCUME~1\ADMINI~1\USTAWI~1\Temp\CNDtaWNN.sys Nie można odnaleźć określonego pliku. ! ---- User code sections - GMER 1.0.15 ---- .text C:\Program Files\ESET\ESET Smart Security\ekrn.exe[1600] kernel32.dll!SetUnhandledExceptionFilter 7C84467D 4 Bytes [C2, 04, 00, 00] .text C:\Program Files\Mozilla Firefox\plugin-container.exe[2568] USER32.dll!TrackPopupMenu 7E3B50EE 5 Bytes JMP 1044721D C:\Program Files\Mozilla Firefox\xul.dll (Mozilla Foundation) .text C:\Program Files\Mozilla Firefox\firefox.exe[3068] ntdll.dll!LdrLoadDll 7C9161CA 5 Bytes JMP 004013F0 C:\Program Files\Mozilla Firefox\firefox.exe (Firefox/Mozilla Corporation) ---- Devices - GMER 1.0.15 ---- Device \FileSystem\Ntfs \Ntfs 83EC1A98 Device \FileSystem\Ntfs \Ntfs 843069E0 Device \FileSystem\Ntfs \Ntfs 840E6100 Device \FileSystem\Ntfs \Ntfs 8423F820 AttachedDevice \FileSystem\Ntfs \Ntfs eamon.sys (Amon monitor/ESET) AttachedDevice \FileSystem\Ntfs \Ntfs dwprot.sys AttachedDevice \Driver\Tcpip \Device\Ip epfwtdi.sys (Eset Personal Firewall TDI filter/ESET) AttachedDevice \Driver\Tcpip \Device\Ip dwprot.sys AttachedDevice \Driver\Tcpip \Device\Tcp epfwtdi.sys (Eset Personal Firewall TDI filter/ESET) AttachedDevice \Driver\Tcpip \Device\Tcp dwprot.sys AttachedDevice \Driver\Tcpip \Device\Udp epfwtdi.sys (Eset Personal Firewall TDI filter/ESET) AttachedDevice \Driver\Tcpip \Device\Udp dwprot.sys AttachedDevice \Driver\Tcpip \Device\RawIp epfwtdi.sys (Eset Personal Firewall TDI filter/ESET) AttachedDevice \Driver\Tcpip \Device\RawIp dwprot.sys ---- EOF - GMER 1.0.15 ----

**Posty:** 2183 · przez **NieWiem** 23 Sie 2010, 15:13

On nie blokuje managera. Po prostu jest nałożony na niego debugger, skutkiem czego manager się nie uruchomi... to znaczy uruchomi ale jako coś innego.

Widzę za to tutaj w usługach coś dziwnego. Pewnie też od tej infekcji

Zamknij wszystko nad czym aktualnie pracujesz, także wyłącz swój program antywirusowy, zaporę, programy antyspyware. To ważne. Jak to zrobić, opisane tutaj.

Pamiętaj także o wyinstalowaniu wirtualnych napędów i usunięciu ich sterownika: klik

Pobierz ComboFixa od sUBs'a:
stąd lub stąd
ZAPISZ GO NA PULPICIE - TO WAŻNE!

ZANIM UŻYJESZ - Przeczytaj dokładnie jego instrukcję:
http://www.bleepingcomputer.com/combofix/pl/instrukcja-uzycia-combofix

Nie uruchamiaj go z dwukliku, tylko zrób tak:
wciśnij start -> uruchom -> wpisz tam

Kod: Zaznacz wszystko: "C:\Documents and Settings\Administrator\Pulpit\ComboFix.exe /killall"

i wciśnij enter. To powinno uruchomić program.

Zalecam instalowanie Konsoli Odzyskiwania (XP, 2000), lub zaopatrzenie się w płytę WinRE (Vista, Se7en). Mimo wszystko ComboFix nie jest doskonały.

Przeklej na forum wyniki pracy narzędzia. Będą automatycznie otwarte w notatniku, znajdziesz je także w pliku C:\ComboFix.txt

Autor postu otrzymał pochwałę

**Posty:** 25 · przez **lucek.pl** 23 Sie 2010, 17:11

Wynik działania combofix'a

Kod: Zaznacz wszystko: ComboFix 10-08-22.07 - Administrator 2010-08-23 16:51:14.1.1 - x86 Microsoft Windows XP Professional 5.1.2600.2.1250.48.1045.18.446.205 [GMT 2:00] Uruchomiony z: c:\documents and settings\Administrator\Pulpit\ComboFix.exe Użyto następujących komend :: /killall AV: ESET Smart Security 3.0 *On-access scanning disabled* (Updated) {E5E70D32-0101-4F12-8FB0-D96ACA4F34C0} FW: Zapora osobista *disabled* {E5E70D32-0101-4340-86A3-A7B0F1C8FFE0} * Rezydentny antywirus jest aktywny UWAGA - TEN KOMPUTER NIE MA ZAINSTALOWANEJ KONSOLI ODZYSKIWANIA !! . ((((((((((((((((((((((((((((((((((((((( Usunięto ))))))))))))))))))))))))))))))))))))))))))))))))) . c:\documents and settings\Administrator\Dane aplikacji\wiaserva.log c:\documents and settings\Administrator\Menu Start\My Security Shield.lnk c:\documents and settings\Administrator\Menu Start\Programy\My Security Shield.lnk c:\documents and settings\Administrator\oashdihasidhasuidhiasdhiashdiuasdhasd c:\documents and settings\Administrator\Ulubione\KRS ODPISY z KRS online KRS Warszawa Krajowy Rejestr Sądowy..url c:\documents and settings\All Users\Dane aplikacji\ad58129 c:\documents and settings\All Users\Dane aplikacji\ad58129\mozcrt19.dll c:\documents and settings\All Users\Dane aplikacji\ad58129\MSS.ico c:\documents and settings\All Users\Dane aplikacji\ad58129\MSSSys\vd952342.bd c:\documents and settings\All Users\Dane aplikacji\ad58129\MSSSys\VDAI.ntf c:\documents and settings\All Users\Dane aplikacji\ad58129\sqlite3.dll c:\recycled\Recycled c:\windows\g32.txt c:\windows\homepage.html c:\windows\index.html c:\windows\promogif1.gif c:\windows\promogif2.gif c:\windows\promogif3.gif c:\windows\qogipo.exe c:\windows\s32.txt c:\windows\system\WINSPOOL.DRV c:\windows\system32\adult.txt c:\windows\system32\drivers\atmapi.sys c:\windows\system32\finance.txt c:\windows\system32\msconfig.exe c:\windows\system32\other.txt c:\windows\system32\pharma.txt c:\windows\ws386.ini c:\windows\xubahyd.scr c:\windows\yviqubi._sy c:\windows\system32\msgsvc.dll . . . jest zainfekowany!! . ((((((((((((((((((((((((((((((((((((((( Sterowniki/Usługi ))))))))))))))))))))))))))))))))))))))))))))))))) . -------\Legacy_ASPIMGR -------\Service_acpi32 -------\Service_ati64si -------\Service_fips32cup -------\Service_netsik -------\Service_port135sik -------\Service_securentm -------\Service_systemntmi ((((((((((((((((((((((((( Pliki utworzone od 2010-07-23 do 2010-08-23 ))))))))))))))))))))))))))))))) . 2010-08-23 10:34 . 2010-08-23 10:36 -------- d-----w- c:\documents and settings\Administrator\DoctorWeb 2010-08-23 10:11 . 2010-08-23 10:11 -------- d-----w- C:\ERDNT 2010-08-23 10:11 . 2010-08-23 10:11 -------- d-----w- c:\windows\ERUNT 2010-08-21 07:15 . 2010-08-21 07:16 -------- d-sh--w- c:\documents and settings\Administrator\Dane aplikacji\My Security Shield 2010-08-21 07:14 . 2010-08-21 07:14 -------- d-sh--w- c:\documents and settings\All Users\Dane aplikacji\MSNFS 2010-08-15 18:16 . 2004-11-22 12:15 5632 ----a-w- c:\windows\system32\ptpusb.dll 2010-08-15 18:16 . 2004-11-22 12:15 15104 ----a-w- c:\windows\system32\drivers\usbscan.sys 2010-08-15 18:16 . 2004-11-22 12:15 159232 ----a-w- c:\windows\system32\ptpusd.dll 2010-07-27 17:12 . 2010-07-27 17:26 -------- d-----w- c:\documents and settings\Administrator\Dane aplikacji\gtk-2.0 2010-07-27 17:12 . 2010-07-27 17:12 -------- d-----w- c:\documents and settings\Administrator\.thumbnails 2010-07-27 17:11 . 2010-07-27 17:28 -------- d-----w- c:\documents and settings\Administrator\.gimp-2.6 2010-07-27 17:09 . 2010-07-27 17:10 -------- d-----w- c:\program files\GIMP-2.0 . (((((((((((((((((((((((((((((((((((((((( Sekcja Find3M )))))))))))))))))))))))))))))))))))))))))))))))))))) . 2010-08-23 15:01 . 2007-12-01 19:27 -------- d-----w- c:\documents and settings\Administrator\Dane aplikacji\skypePM 2010-08-23 15:00 . 2007-12-01 19:25 -------- d-----w- c:\documents and settings\Administrator\Dane aplikacji\Skype 2010-08-23 14:58 . 2008-08-12 20:01 -------- d-----w- c:\documents and settings\All Users\Dane aplikacji\Spybot - Search & Destroy 2010-08-23 14:57 . 2008-08-14 07:18 -------- d-----w- c:\program files\Google 2010-08-23 14:57 . 2008-08-12 20:01 -------- d-----w- c:\program files\Spybot - Search & Destroy 2010-08-23 12:58 . 2010-07-05 19:43 -------- d-----w- c:\program files\CCleaner 2010-08-23 12:52 . 2007-12-30 13:39 -------- d-----w- c:\program files\SlySoft 2010-08-23 12:46 . 2010-07-14 17:08 -------- d-----r- c:\program files\Skype 2010-08-23 10:57 . 2008-08-12 19:10 -------- d-----w- c:\program files\ESET 2010-08-23 10:24 . 2008-08-25 13:46 -------- d-----w- c:\program files\Gadu-Gadu 2010-08-16 21:08 . 2002-12-31 12:00 49910 ----a-w- c:\windows\system32\perfc015.dat 2010-08-16 21:08 . 2002-12-31 12:00 356068 ----a-w- c:\windows\system32\perfh015.dat 2010-08-01 20:21 . 2010-07-05 19:31 -------- d-----w- c:\program files\Odkurzacz 2010-07-14 17:11 . 2010-07-14 17:11 56 ---ha-w- c:\windows\system32\ezsidmv.dat 2010-07-14 17:09 . 2010-07-14 17:09 -------- d-----w- c:\program files\Common Files\Skype 2010-07-14 17:08 . 2007-09-10 17:30 -------- d-----w- c:\documents and settings\All Users\Dane aplikacji\Skype 2010-07-05 19:44 . 2008-02-15 17:02 -------- d-----w- c:\program files\IrfanView 2010-07-05 19:44 . 2007-09-10 07:56 -------- d-----w- c:\program files\XviD 2008-08-03 10:51 . 2008-08-03 10:51 19979 ----a-w- c:\program files\Common Files\ugiled.exe 2008-08-03 10:51 . 2008-08-03 10:51 16722 ----a-w- c:\program files\Common Files\isyb.com 2008-08-03 10:51 . 2008-08-03 10:51 15982 ----a-w- c:\program files\Common Files\pijigonevi.inf 2008-08-03 10:51 . 2008-08-03 10:51 13490 ----a-w- c:\program files\Common Files\ojovymehoz.pif 2008-08-03 10:51 . 2008-08-03 10:51 10527 ----a-w- c:\program files\Common Files\pizojatobo.pif 2008-06-19 10:38 . 2008-06-19 10:38 16193 ----a-w- c:\program files\Common Files\upeteg.exe 2008-06-19 10:38 . 2008-06-19 10:38 15608 ----a-w- c:\program files\Common Files\wahi.exe 2008-02-13 19:36 . 2007-12-30 13:39 72 --sh--w- c:\windows\S760FDDB5.tmp . ((((((((((((((((((((((((((((((((((((( Wpisy startowe rejestru )))))))))))))))))))))))))))))))))))))))))))))))))) . . *Uwaga* puste wpisy oraz domyślne, prawidłowe wpisy nie są pokazane REGEDIT4 [HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] "Gadu-Gadu"="c:\program files\Gadu-Gadu\gg.exe" [2008-03-20 2127296] "Skype"="c:\program files\Skype\Phone\Skype.exe" [2010-05-13 26192168] "SpybotSD TeaTimer"="c:\program files\Spybot - Search & Destroy\TeaTimer.exe" [2009-03-05 2260480] "ctfmon.exe"="c:\windows\system32\ctfmon.exe" [2002-12-31 15360] [HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] "Apoint"="c:\program files\Apoint2K\Apoint.exe" [2005-04-16 172032] "VTTimer"="VTTimer.exe" [2006-09-21 53248] "S3Trayp"="S3trayp.exe" [2006-10-10 176128] "FuncKey"="c:\program files\Hotkey 1.0.4\FuncKey.exe" [2006-07-27 122880] "egui"="c:\program files\ESET\ESET Smart Security\egui.exe" [2009-10-07 1461080] [HKEY_USERS\.DEFAULT\Software\Microsoft\Windows\CurrentVersion\Run] "CTFMON.EXE"="c:\windows\system32\CTFMON.EXE" [2002-12-31 15360] [HKEY_USERS\.DEFAULT\Software\Microsoft\Windows\CurrentVersion\RunOnce] "tscuninstall"="c:\windows\system32\tscupgrd.exe" [2002-12-31 44544] [HKEY_LOCAL_MACHINE\software\microsoft\windows\currentversion\policies\explorer] "ForceClassicControlPanel"= 1 (0x1) [HKLM\~\startupfolder\C:^Documents and Settings^All Users^Menu Start^Programy^Autostart^Microsoft Office.lnk] path=c:\documents and settings\All Users\Menu Start\Programy\Autostart\Microsoft Office.lnk backup=c:\windows\pss\Microsoft Office.lnkCommon Startup [HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\CTFMON.EXE] 2002-12-31 12:00 15360 ----a-w- c:\windows\system32\ctfmon.exe [HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\iTunesHelper] 2006-10-30 07:36 256576 ----a-w- c:\program files\iTunes\iTunesHelper.exe [HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\QuickTime Task] 2006-10-25 16:58 282624 ----a-w- c:\program files\QuickTime\qttask.exe [HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\SpybotSD TeaTimer] 2009-03-05 14:07 2260480 ------w- c:\program files\Spybot - Search & Destroy\TeaTimer.exe [HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\SunJavaUpdateSched] 2009-03-25 20:34 148888 ----a-w- c:\program files\Java\jre6\bin\jusched.exe [HKLM\~\services\sharedaccess\parameters\firewallpolicy\standardprofile] "EnableFirewall"= 0 (0x0) [HKLM\~\services\sharedaccess\parameters\firewallpolicy\standardprofile\AuthorizedApplications\List] "%windir%\\system32\\sessmgr.exe"= "c:\\Program Files\\Gadu-Gadu\\gg.exe"= "c:\\Program Files\\iTunes\\iTunes.exe"= "%windir%\\Network Diagnostic\\xpnetdiag.exe"= "c:\program files\Microsoft ActiveSync\rapimgr.exe"= c:\program files\Microsoft ActiveSync\rapimgr.exe:169.254.2.0/255.255.255.0:Enabled:ActiveSync RAPI Manager "c:\program files\Microsoft ActiveSync\wcescomm.exe"= c:\program files\Microsoft ActiveSync\wcescomm.exe:169.254.2.0/255.255.255.0:Enabled:ActiveSync Connection Manager "c:\program files\Microsoft ActiveSync\WCESMgr.exe"= c:\program files\Microsoft ActiveSync\WCESMgr.exe:169.254.2.0/255.255.255.0:Enabled:ActiveSync Application "c:\\Program Files\\Skype\\Plugin Manager\\skypePM.exe"= "c:\\Program Files\\Skype\\Phone\\Skype.exe"= [HKLM\~\services\sharedaccess\parameters\firewallpolicy\standardprofile\GloballyOpenPorts\List] "26675:TCP"= 26675:TCP:169.254.2.0/255.255.255.0:Enabled:ActiveSync Service R2 ekrn;Eset Service;c:\program files\ESET\ESET Smart Security\ekrn.exe [2009-10-07 472280] S2 amd64si;amd64si;\??\c:\windows\system32\drivers\amd64si.sys --> c:\windows\system32\drivers\amd64si.sys [?] . Zawartość folderu 'Zaplanowane zadania' 2010-01-15 c:\windows\Tasks\AppleSoftwareUpdate.job - c:\program files\Apple Software Update\SoftwareUpdate.exe [2006-10-10 15:13] . . ------- Skan uzupełniający ------- . uStart Page = hxxp://www.google.pl/ mStart Page = hxxp://www.google.com IE: E&ksport do programu Microsoft Excel - c:\progra~1\MICROS~2\Office10\EXCEL.EXE/3000 FF - ProfilePath - c:\documents and settings\Administrator\Dane aplikacji\Mozilla\Firefox\Profiles\0tza72xh.default\ FF - prefs.js: browser.search.defaulturl - hxxp://www.google.com/search?lr=&ie=UTF-8&oe=UTF-8&q= FF - prefs.js: browser.startup.homepage - www.wp.pl FF - plugin: c:\program files\Mozilla Firefox\plugins\npnul32.dll ---- FIREFOX - SPOSÓB POSTĘPOWANIA ---- c:\progra~1\Mozilla Firefox\greprefs\all.js - pref("ui.use_native_colors", true); c:\progra~1\Mozilla Firefox\greprefs\all.js - pref("network.IDN.whitelist.lu", true); c:\progra~1\Mozilla Firefox\greprefs\all.js - pref("network.IDN.whitelist.nu", true); c:\progra~1\Mozilla Firefox\greprefs\all.js - pref("network.IDN.whitelist.nz", true); c:\progra~1\Mozilla Firefox\greprefs\all.js - pref("network.IDN.whitelist.xn--mgbaam7a8h", true); c:\progra~1\Mozilla Firefox\greprefs\all.js - pref("network.IDN.whitelist.xn--mgberp4a5d4ar", true); c:\progra~1\Mozilla Firefox\greprefs\all.js - pref("network.IDN.whitelist.xn--p1ai", true); c:\progra~1\Mozilla Firefox\greprefs\all.js - pref("network.IDN.whitelist.xn--mgbayh7gpa", true); c:\progra~1\Mozilla Firefox\greprefs\all.js - pref("network.IDN.whitelist.tel", true); c:\progra~1\Mozilla Firefox\greprefs\all.js - pref("network.auth.force-generic-ntlm", false); c:\progra~1\Mozilla Firefox\greprefs\all.js - pref("network.proxy.type", 5); c:\progra~1\Mozilla Firefox\greprefs\all.js - pref("network.buffer.cache.count", 24); c:\progra~1\Mozilla Firefox\greprefs\all.js - pref("network.buffer.cache.size", 4096); c:\progra~1\Mozilla Firefox\greprefs\all.js - pref("dom.ipc.plugins.timeoutSecs", 45); c:\progra~1\Mozilla Firefox\greprefs\all.js - pref("svg.smil.enabled", false); c:\progra~1\Mozilla Firefox\greprefs\all.js - pref("accelerometer.enabled", true); c:\progra~1\Mozilla Firefox\greprefs\security-prefs.js - pref("security.ssl.allow_unrestricted_renego_everywhere__temporarily_available_pref", true); c:\progra~1\Mozilla Firefox\greprefs\security-prefs.js - pref("security.ssl.renego_unrestricted_hosts", ""); c:\progra~1\Mozilla Firefox\greprefs\security-prefs.js - pref("security.ssl.treat_unsafe_negotiation_as_broken", false); c:\progra~1\Mozilla Firefox\greprefs\security-prefs.js - pref("security.ssl.require_safe_negotiation", false); c:\progra~1\Mozilla Firefox\defaults\pref\firefox.js - pref("extensions.{972ce4c6-7e08-4474-a285-3208198ce6fd}.name", "chrome://browser/locale/browser.properties"); c:\progra~1\Mozilla Firefox\defaults\pref\firefox.js - pref("extensions.{972ce4c6-7e08-4474-a285-3208198ce6fd}.description", "chrome://browser/locale/browser.properties"); c:\progra~1\Mozilla Firefox\defaults\pref\firefox.js - pref("plugins.update.notifyUser", false); c:\progra~1\Mozilla Firefox\defaults\pref\firefox.js - pref("dom.ipc.plugins.enabled.nptest.dll", true); c:\progra~1\Mozilla Firefox\defaults\pref\firefox.js - pref("dom.ipc.plugins.enabled.npswf32.dll", true); c:\progra~1\Mozilla Firefox\defaults\pref\firefox.js - pref("dom.ipc.plugins.enabled.npctrl.dll", true); c:\progra~1\Mozilla Firefox\defaults\pref\firefox.js - pref("dom.ipc.plugins.enabled.npqtplugin.dll", true); c:\progra~1\Mozilla Firefox\defaults\pref\firefox.js - pref("dom.ipc.plugins.enabled", false); . - - - - USUNIĘTO PUSTE WPISY - - - - Notify-WgaLogon - (no file) MSConfigStartUp-swg - c:\program files\Google\GoogleToolbarNotifier\GoogleToolbarNotifier.exe MSConfigStartUp-XP SecurityCenter - c:\program files\XPSecurityCenter\XPSecurityCenter.exe ************************************************************************** catchme 0.3.1398 W2K/XP/Vista - rootkit/stealth malware detector by Gmer, http://www.gmer.net Rootkit scan 2010-08-23 16:59 Windows 5.1.2600 Dodatek Service Pack 2 NTFS skanowanie ukrytych procesów ... skanowanie ukrytych wpisów autostartu ... skanowanie ukrytych plików ... skanowanie pomyślnie ukończone ukryte pliki: 0 ************************************************************************** . ------------------------ Pozostałe uruchomione procesy ------------------------ . c:\windows\system32\VTTimer.exe c:\program files\Microsoft ActiveSync\wcescomm.exe c:\progra~1\MICROS~4\rapimgr.exe c:\program files\Apoint2K\Apntex.exe c:\program files\Java\jre6\bin\jqs.exe c:\windows\system32\wbem\wmiapsrv.exe c:\windows\system32\wscntfy.exe . ************************************************************************** . Czas ukończenia: 2010-08-23 17:06:26 - komputer został uruchomiony ponownie ComboFix-quarantined-files.txt 2010-08-23 15:06 Przed: 66 122 133 504 bajtów wolnych Po: 66 011 803 648 bajtów wolnych - - End Of File - - 25C3FCE978A2E9401E706281DF6F2F3B

**Posty:** 18165 · przez **wojtas** 23 Sie 2010, 17:19

pobierz i zapisz na C :

http://www.sendspace.com/file/tx2b2b

Otworz notatnik i wklej w nim to:

File::
c:\program files\Common Files\ugiled.exe
c:\program files\Common Files\isyb.com
c:\program files\Common Files\pijigonevi.inf
c:\program files\Common Files\ojovymehoz.pif
c:\program files\Common Files\pizojatobo.pif
c:\program files\Common Files\upeteg.exe
c:\program files\Common Files\wahi.exe
c:\windows\S760FDDB5.tmp
c:\windows\system32\drivers\amd64si.sys

Folder::
c:\documents and settings\Administrator\Dane aplikacji\My Security Shield
c:\documents and settings\All Users\Dane aplikacji\MSNFS

Driver::
amd64si

FCopy::
c:\msgsvc.dll | c:\windows\system32\msgsvc.dll
c:\msgsvc.dll | c:\windows\system32\dllcache\msgsvc.dll

>>Plik>>Zapisz jako... >>> CFScript
Przeciągnij i upuść plik CFScript.txt na plik ComboFix.exe
-->

Rozpocznie się usuwanie i powstanie log daj go oraz nowy log z OTL

Autor postu otrzymał pochwałę

**Posty:** 25 · przez **lucek.pl** 23 Sie 2010, 17:35

wynik:

Kod: Zaznacz wszystko: ComboFix 10-08-22.07 - Administrator 2010-08-23 17:23:14.2.1 - x86 Microsoft Windows XP Professional 5.1.2600.2.1250.48.1045.18.446.203 [GMT 2:00] Uruchomiony z: c:\documents and settings\Administrator\Pulpit\ComboFix.exe Użyto następujących komend :: c:\documents and settings\Administrator\Pulpit\CFScript.txt AV: ESET Smart Security 3.0 *On-access scanning disabled* (Updated) {E5E70D32-0101-4F12-8FB0-D96ACA4F34C0} FW: Zapora osobista *disabled* {E5E70D32-0101-4340-86A3-A7B0F1C8FFE0} UWAGA - TEN KOMPUTER NIE MA ZAINSTALOWANEJ KONSOLI ODZYSKIWANIA !! FILE :: "c:\program files\Common Files\isyb.com" "c:\program files\Common Files\ojovymehoz.pif" "c:\program files\Common Files\pijigonevi.inf" "c:\program files\Common Files\pizojatobo.pif" "c:\program files\Common Files\ugiled.exe" "c:\program files\Common Files\upeteg.exe" "c:\program files\Common Files\wahi.exe" "c:\windows\S760FDDB5.tmp" "c:\windows\system32\drivers\amd64si.sys" . ((((((((((((((((((((((((((((((((((((((( Usunięto ))))))))))))))))))))))))))))))))))))))))))))))))) . c:\documents and settings\Administrator\Dane aplikacji\My Security Shield c:\documents and settings\Administrator\Dane aplikacji\My Security Shield\Instructions.ini c:\documents and settings\All Users\Dane aplikacji\MSNFS c:\documents and settings\All Users\Dane aplikacji\MSNFS\MSFUISNXQS.cfg c:\program files\Common Files\isyb.com c:\program files\Common Files\ojovymehoz.pif c:\program files\Common Files\pijigonevi.inf c:\program files\Common Files\pizojatobo.pif c:\program files\Common Files\ugiled.exe c:\program files\Common Files\upeteg.exe c:\program files\Common Files\wahi.exe c:\windows\S760FDDB5.tmp . --------------- FCopy --------------- c:\msgsvc.dll --> c:\windows\system32\msgsvc.dll c:\msgsvc.dll --> c:\windows\system32\dllcache\msgsvc.dll . ((((((((((((((((((((((((( Pliki utworzone od 2010-07-23 do 2010-08-23 ))))))))))))))))))))))))))))))) . 2010-08-23 15:17 . 2010-08-23 15:17 33792 ------w- C:\msgsvc.dll 2010-08-23 10:34 . 2010-08-23 10:36 -------- d-----w- c:\documents and settings\Administrator\DoctorWeb 2010-08-23 10:31 . 2010-08-23 10:31 -------- d-----w- c:\program files\ProcessExplorer 2010-08-23 10:11 . 2010-08-23 10:11 -------- d-----w- C:\ERDNT 2010-08-23 10:11 . 2010-08-23 10:11 -------- d-----w- c:\windows\ERUNT 2010-08-15 18:16 . 2004-11-22 12:15 5632 ----a-w- c:\windows\system32\ptpusb.dll 2010-08-15 18:16 . 2004-11-22 12:15 15104 ----a-w- c:\windows\system32\drivers\usbscan.sys 2010-08-15 18:16 . 2004-11-22 12:15 159232 ----a-w- c:\windows\system32\ptpusd.dll 2010-07-27 17:12 . 2010-07-27 17:26 -------- d-----w- c:\documents and settings\Administrator\Dane aplikacji\gtk-2.0 2010-07-27 17:12 . 2010-07-27 17:12 -------- d-----w- c:\documents and settings\Administrator\.thumbnails 2010-07-27 17:11 . 2010-07-27 17:28 -------- d-----w- c:\documents and settings\Administrator\.gimp-2.6 2010-07-27 17:09 . 2010-07-27 17:10 -------- d-----w- c:\program files\GIMP-2.0 . (((((((((((((((((((((((((((((((((((((((( Sekcja Find3M )))))))))))))))))))))))))))))))))))))))))))))))))))) . 2010-08-23 15:17 . 2002-12-31 12:00 33792 ----a-w- c:\windows\system32\msgsvc.dll 2010-08-23 15:10 . 2008-08-12 20:01 -------- d-----w- c:\program files\Spybot - Search & Destroy 2010-08-23 15:10 . 2008-08-12 20:01 -------- d-----w- c:\documents and settings\All Users\Dane aplikacji\Spybot - Search & Destroy 2010-08-23 15:05 . 2007-12-01 19:25 -------- d-----w- c:\documents and settings\Administrator\Dane aplikacji\Skype 2010-08-23 15:01 . 2007-12-01 19:27 -------- d-----w- c:\documents and settings\Administrator\Dane aplikacji\skypePM 2010-08-23 14:57 . 2008-08-14 07:18 -------- d-----w- c:\program files\Google 2010-08-23 12:58 . 2010-07-05 19:43 -------- d-----w- c:\program files\CCleaner 2010-08-23 12:52 . 2007-12-30 13:39 -------- d-----w- c:\program files\SlySoft 2010-08-23 12:46 . 2010-07-14 17:08 -------- d-----r- c:\program files\Skype 2010-08-23 10:57 . 2008-08-12 19:10 -------- d-----w- c:\program files\ESET 2010-08-23 10:24 . 2008-08-25 13:46 -------- d-----w- c:\program files\Gadu-Gadu 2010-08-16 21:08 . 2002-12-31 12:00 49910 ----a-w- c:\windows\system32\perfc015.dat 2010-08-16 21:08 . 2002-12-31 12:00 356068 ----a-w- c:\windows\system32\perfh015.dat 2010-07-14 17:11 . 2010-07-14 17:11 56 ---ha-w- c:\windows\system32\ezsidmv.dat 2010-07-14 17:09 . 2010-07-14 17:09 -------- d-----w- c:\program files\Common Files\Skype 2010-07-14 17:08 . 2007-09-10 17:30 -------- d-----w- c:\documents and settings\All Users\Dane aplikacji\Skype 2010-07-05 19:44 . 2008-02-15 17:02 -------- d-----w- c:\program files\IrfanView 2010-07-05 19:44 . 2007-09-10 07:56 -------- d-----w- c:\program files\XviD . ((((((((((((((((((((((((((((((((((((( Wpisy startowe rejestru )))))))))))))))))))))))))))))))))))))))))))))))))) . . *Uwaga* puste wpisy oraz domyślne, prawidłowe wpisy nie są pokazane REGEDIT4 [HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] "Gadu-Gadu"="c:\program files\Gadu-Gadu\gg.exe" [2008-03-20 2127296] "Skype"="c:\program files\Skype\Phone\Skype.exe" [2010-05-13 26192168] [HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] "Apoint"="c:\program files\Apoint2K\Apoint.exe" [2005-04-16 172032] "VTTimer"="VTTimer.exe" [2006-09-21 53248] "S3Trayp"="S3trayp.exe" [2006-10-10 176128] "FuncKey"="c:\program files\Hotkey 1.0.4\FuncKey.exe" [2006-07-27 122880] "egui"="c:\program files\ESET\ESET Smart Security\egui.exe" [2009-10-07 1461080] [HKEY_USERS\.DEFAULT\Software\Microsoft\Windows\CurrentVersion\Run] "CTFMON.EXE"="c:\windows\system32\CTFMON.EXE" [2002-12-31 15360] [HKEY_USERS\.DEFAULT\Software\Microsoft\Windows\CurrentVersion\RunOnce] "tscuninstall"="c:\windows\system32\tscupgrd.exe" [2002-12-31 44544] [HKEY_LOCAL_MACHINE\software\microsoft\windows\currentversion\policies\explorer] "ForceClassicControlPanel"= 1 (0x1) [HKLM\~\startupfolder\C:^Documents and Settings^All Users^Menu Start^Programy^Autostart^Microsoft Office.lnk] path=c:\documents and settings\All Users\Menu Start\Programy\Autostart\Microsoft Office.lnk backup=c:\windows\pss\Microsoft Office.lnkCommon Startup [HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\CTFMON.EXE] 2002-12-31 12:00 15360 ----a-w- c:\windows\system32\ctfmon.exe [HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\iTunesHelper] 2006-10-30 07:36 256576 ----a-w- c:\program files\iTunes\iTunesHelper.exe [HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\QuickTime Task] 2006-10-25 16:58 282624 ----a-w- c:\program files\QuickTime\qttask.exe [HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\SunJavaUpdateSched] 2009-03-25 20:34 148888 ----a-w- c:\program files\Java\jre6\bin\jusched.exe [HKLM\~\services\sharedaccess\parameters\firewallpolicy\standardprofile] "EnableFirewall"= 0 (0x0) [HKLM\~\services\sharedaccess\parameters\firewallpolicy\standardprofile\AuthorizedApplications\List] "%windir%\\system32\\sessmgr.exe"= "c:\\Program Files\\Gadu-Gadu\\gg.exe"= "c:\\Program Files\\iTunes\\iTunes.exe"= "%windir%\\Network Diagnostic\\xpnetdiag.exe"= "c:\program files\Microsoft ActiveSync\rapimgr.exe"= c:\program files\Microsoft ActiveSync\rapimgr.exe:169.254.2.0/255.255.255.0:Enabled:ActiveSync RAPI Manager "c:\program files\Microsoft ActiveSync\wcescomm.exe"= c:\program files\Microsoft ActiveSync\wcescomm.exe:169.254.2.0/255.255.255.0:Enabled:ActiveSync Connection Manager "c:\program files\Microsoft ActiveSync\WCESMgr.exe"= c:\program files\Microsoft ActiveSync\WCESMgr.exe:169.254.2.0/255.255.255.0:Enabled:ActiveSync Application "c:\\Program Files\\Skype\\Plugin Manager\\skypePM.exe"= "c:\\Program Files\\Skype\\Phone\\Skype.exe"= [HKLM\~\services\sharedaccess\parameters\firewallpolicy\standardprofile\GloballyOpenPorts\List] "26675:TCP"= 26675:TCP:169.254.2.0/255.255.255.0:Enabled:ActiveSync Service R2 ekrn;Eset Service;c:\program files\ESET\ESET Smart Security\ekrn.exe [2009-10-07 472280] S2 amd64si;amd64si;\??\c:\windows\system32\drivers\amd64si.sys --> c:\windows\system32\drivers\amd64si.sys [?] --- Inne Usługi/Sterowniki w Pamięci --- *Deregistered* - PROCEXP141 . Zawartość folderu 'Zaplanowane zadania' 2010-01-15 c:\windows\Tasks\AppleSoftwareUpdate.job - c:\program files\Apple Software Update\SoftwareUpdate.exe [2006-10-10 15:13] . . ------- Skan uzupełniający ------- . uStart Page = hxxp://www.google.pl/ mStart Page = hxxp://www.google.com IE: E&ksport do programu Microsoft Excel - c:\progra~1\MICROS~2\Office10\EXCEL.EXE/3000 TCP: {8ACF7E6A-8823-469A-9026-BF2000065490} = 10.100.100.1 FF - ProfilePath - c:\documents and settings\Administrator\Dane aplikacji\Mozilla\Firefox\Profiles\0tza72xh.default\ FF - prefs.js: browser.search.defaulturl - hxxp://www.google.com/search?lr=&ie=UTF-8&oe=UTF-8&q= FF - prefs.js: browser.startup.homepage - www.wp.pl FF - plugin: c:\program files\Mozilla Firefox\plugins\npnul32.dll ---- FIREFOX - SPOSÓB POSTĘPOWANIA ---- c:\progra~1\Mozilla Firefox\greprefs\all.js - pref("ui.use_native_colors", true); c:\progra~1\Mozilla Firefox\greprefs\all.js - pref("network.IDN.whitelist.lu", true); c:\progra~1\Mozilla Firefox\greprefs\all.js - pref("network.IDN.whitelist.nu", true); c:\progra~1\Mozilla Firefox\greprefs\all.js - pref("network.IDN.whitelist.nz", true); c:\progra~1\Mozilla Firefox\greprefs\all.js - pref("network.IDN.whitelist.xn--mgbaam7a8h", true); c:\progra~1\Mozilla Firefox\greprefs\all.js - pref("network.IDN.whitelist.xn--mgberp4a5d4ar", true); c:\progra~1\Mozilla Firefox\greprefs\all.js - pref("network.IDN.whitelist.xn--p1ai", true); c:\progra~1\Mozilla Firefox\greprefs\all.js - pref("network.IDN.whitelist.xn--mgbayh7gpa", true); c:\progra~1\Mozilla Firefox\greprefs\all.js - pref("network.IDN.whitelist.tel", true); c:\progra~1\Mozilla Firefox\greprefs\all.js - pref("network.auth.force-generic-ntlm", false); c:\progra~1\Mozilla Firefox\greprefs\all.js - pref("network.proxy.type", 5); c:\progra~1\Mozilla Firefox\greprefs\all.js - pref("network.buffer.cache.count", 24); c:\progra~1\Mozilla Firefox\greprefs\all.js - pref("network.buffer.cache.size", 4096); c:\progra~1\Mozilla Firefox\greprefs\all.js - pref("dom.ipc.plugins.timeoutSecs", 45); c:\progra~1\Mozilla Firefox\greprefs\all.js - pref("svg.smil.enabled", false); c:\progra~1\Mozilla Firefox\greprefs\all.js - pref("accelerometer.enabled", true); c:\progra~1\Mozilla Firefox\greprefs\security-prefs.js - pref("security.ssl.allow_unrestricted_renego_everywhere__temporarily_available_pref", true); c:\progra~1\Mozilla Firefox\greprefs\security-prefs.js - pref("security.ssl.renego_unrestricted_hosts", ""); c:\progra~1\Mozilla Firefox\greprefs\security-prefs.js - pref("security.ssl.treat_unsafe_negotiation_as_broken", false); c:\progra~1\Mozilla Firefox\greprefs\security-prefs.js - pref("security.ssl.require_safe_negotiation", false); c:\progra~1\Mozilla Firefox\defaults\pref\firefox.js - pref("extensions.{972ce4c6-7e08-4474-a285-3208198ce6fd}.name", "chrome://browser/locale/browser.properties"); c:\progra~1\Mozilla Firefox\defaults\pref\firefox.js - pref("extensions.{972ce4c6-7e08-4474-a285-3208198ce6fd}.description", "chrome://browser/locale/browser.properties"); c:\progra~1\Mozilla Firefox\defaults\pref\firefox.js - pref("plugins.update.notifyUser", false); c:\progra~1\Mozilla Firefox\defaults\pref\firefox.js - pref("dom.ipc.plugins.enabled.nptest.dll", true); c:\progra~1\Mozilla Firefox\defaults\pref\firefox.js - pref("dom.ipc.plugins.enabled.npswf32.dll", true); c:\progra~1\Mozilla Firefox\defaults\pref\firefox.js - pref("dom.ipc.plugins.enabled.npctrl.dll", true); c:\progra~1\Mozilla Firefox\defaults\pref\firefox.js - pref("dom.ipc.plugins.enabled.npqtplugin.dll", true); c:\progra~1\Mozilla Firefox\defaults\pref\firefox.js - pref("dom.ipc.plugins.enabled", false); . - - - - USUNIĘTO PUSTE WPISY - - - - MSConfigStartUp-SpybotSD TeaTimer - c:\program files\Spybot - Search & Destroy\TeaTimer.exe ************************************************************************** catchme 0.3.1398 W2K/XP/Vista - rootkit/stealth malware detector by Gmer, http://www.gmer.net Rootkit scan 2010-08-23 17:28 Windows 5.1.2600 Dodatek Service Pack 2 NTFS skanowanie ukrytych procesów ... skanowanie ukrytych wpisów autostartu ... skanowanie ukrytych plików ... skanowanie pomyślnie ukończone ukryte pliki: 0 ************************************************************************** . Czas ukończenia: 2010-08-23 17:30:13 ComboFix-quarantined-files.txt 2010-08-23 15:30 ComboFix2.txt 2010-08-23 15:06 Przed: 66 126 118 912 bajtów wolnych Po: 66 121 093 120 bajtów wolnych - - End Of File - - 631D7A7E847BA83C6D5DDA3743677849

**Posty:** 18165 · przez **wojtas** 24 Sie 2010, 10:17

start> cmd > wpisz
sc stop amd64si
[enter]
sc delete amd64si
[enter]

Wykonaj czynności końcowe :

1.Uruchom OTL z opcji sprzątanie.
2. wykonaj optymalizację Windowsa
3.Wyłącz przywracanie systemu ( właściwości mój komputer-zakładka przywracanie - wyłącz przywracanie na wszystkich dyskach). Po chwili włącz je powrotem
4. zrób pełny skan Malwarebytes Anti-Malware (zaktualizuj, usuń co znajdzie )

Zaktualizuj zabezpieczenia:
>>> Adobe Reader 9.3 (bez Free McAfee® Security Scan Plus)
>>> Internet Explorer 8
>>> Service Pack 3
>>> Java™ 6 Update 21

**Posty:** 25 · przez **lucek.pl** 24 Sie 2010, 13:51

Dziękuję bardzo za pomoc. Komputer faktycznie wymaga zajęcia się nim i zaktualizowania / wymiany paru rzeczy. Teraz spokojnie mogę się nim zająć.

Kto jest na forum