Wirus win 32

**Posty:** 12 · przez **miki2808** 05 Mar 2009, 20:12

Witam...
Mam taki problemik.Mianowicie:
wwdc poinformowao mnie o następującej sytuacji:Your system seems to be infected by a virus your svchost , viltrual memory usage 23145ko is beyond usual values .it is strongly advised to check your system whit an antivirus up to date and am Antitrojans.teraz antywirus poinformaował mnie o ataku o brzmieniu:ochrona systemu plików w czasie rzeczywistym plik C:\System Volume Information\_restore{13476FA4-49A6-41CA-A0E2-AE16F3355978}\RP120\A0033380.dll prawdopodobnie odmiana wirusa Win32/Statik aplikacja wyleczony przez usunięcie - poddany kwarantannie ZARZĄDZANIE NT\SYSTEM Zdarzenie wystąpiło podczas modyfikowania pliku przez aplikację: C:\WINDOWS\System32\svchost.exe.,Wczesniej 2009-02-03 20:14:08 Ochrona systemu plików w czasie rzeczywistym plik D:\System Volume Information\_restore{13476FA4-49A6-41CA-A0E2-AE16F3355978}\RP73\A0018388.exe prawdopodobnie odmiana wirusa Win32/Spy.Agent koń trojański wyleczony przez usunięcie - poddany kwarantannie ZARZĄDZANIE NT\SYSTEM Zdarzenie wystąpiło podczas próby uzyskania dostępu do pliku przez aplikację: C:\WINDOWS\System32\svchost.exe.sprawdzałam pliki i jest ikona o nazwie svchost .Dodatkowa robi mi się jasniejszy pulpit.

Bardzo prosiłabym o wyjaśnienie tego wszystkiego ponieważ nie jestem geniuszem tylko nowiciuszem.

**Posty:** 18165 · przez **wojtas** 05 Mar 2009, 20:17

Wykonaj to co jest podane w tym temacie

Zastosuj SDFix . Po pobraniu uruchom go a rozpakuje się do C:\SDFix. Uruchom komputer w trybie awaryjnym (F8 przy stracie systemu). Będąc w awaryjnym uruchom plik RunThis.bat z folderu SDFixa. Zatwierdź czyszczenie przez Y. Poczekaj aż ukończy i komputer zresetuje

Potem wejdz do folderu C:\SDFix wrzuc zawartość pliku Report.txt + log z combofixa oraz daj loga z hijacka

**Posty:** 12 · przez **miki2808** 05 Mar 2009, 20:30

program ściągniety zaraz zabiore sie za to.Czy moge bardzo coś namieszac?A jeszcze dziekuje za wskazówki

**Posty:** 18165 · przez **wojtas** 05 Mar 2009, 21:42

rób wszystko wg instrukcji

**Posty:** 12 · przez **miki2808** 05 Mar 2009, 22:28

zrobiłam do momentu .weszłam C:|SDFix i tu mam problem...gdzie mam wrzucic ten raport

Dodano Dzisiaj, 21:30:
w wwdc pierwsza pozycja jest żółta.....

**Posty:** 18165 · przez **wojtas** 05 Mar 2009, 23:01

nie pełny raport z sdfixa.. brak logu z combofixa i hijacka.. nie sa w tagach code.

**Posty:** 12 · przez **miki2808** 05 Mar 2009, 23:03

możesz na spokojnie.....

Dodano Dzisiaj, 22:06:
gdzie sa te logo....

Dodano Dzisiaj, 22:07:
SDFix: Version 1.240
Run by EWA on 2009-03-05 at 21:14

Microsoft Windows XP [Wersja 5.1.2600]
Running From: H:\SDFix

Checking Services :

Restoring Default Security Values
Restoring Default Hosts File

Rebooting

**Posty:** 18165 · przez **wojtas** 05 Mar 2009, 23:11

tu masz temat o combofixie co i jak :

jak-generujemy-logi-z-combofixa-oraz-rsita-vt95026.html

tu o hijacku + tagach code:

hijackthis-silent-runners-obsluga-i-umieszczanie-vt9452.html

**Posty:** 12 · przez **miki2808** 05 Mar 2009, 23:36

Kod: Zaznacz wszystko: ComboFix 09-03-04.01 - EWA 2009-03-05 22:18:47.1 - NTFSx86 Microsoft Windows XP Home Edition 5.1.2600.3.1250.1.1045.18.3070.2557 [GMT 1:00] Uruchomiony z: H:\ComboFix.exe AV: ESET NOD32 Antivirus 3.0 *On-access scanning enabled* (Updated) FW: Sunbelt Personal Firewall *enabled* * Utworzono nowy punkt przywracania * Resident AV is active UWAGA - TEN KOMPUTER NIE MA ZAINSTALOWANEJ KONSOLI ODZYSKIWANIA !! . ((((((((((((((((((((((((((((((((((((((( Usunięto ))))))))))))))))))))))))))))))))))))))))))))))))) . c:\windows\system32\setup.ini . ((((((((((((((((((((((((((((((((((((((( Sterowniki/Usługi ))))))))))))))))))))))))))))))))))))))))))))))))) . -------\Legacy_ISODRIVE -------\Service_ISODrive ((((((((((((((((((((((((( Pliki utworzone od 2009-02-05 do 2009-03-05 ))))))))))))))))))))))))))))))) . 2009-03-05 20:00 . 2008-11-06 02:03 <DIR> d-------- C:\SDFix 2009-02-26 11:34 . 1998-10-07 12:54 327,168 --a------ c:\windows\IsUn0415.exe 2009-02-25 20:01 . 2009-03-05 21:11 <DIR> d-------- c:\windows\ERUNT 2009-02-25 20:01 . 2009-02-25 20:01 <DIR> d-------- C:\ERDNT 2009-02-25 20:01 . 2009-02-25 20:01 <DIR> d-------- C:\!FixIEDef 2009-02-22 12:34 . 2009-02-22 12:34 <DIR> d-------- c:\documents and settings\All Users\Dane aplikacji\143E 2009-02-21 17:01 . 2001-05-16 16:54 309,616 --a------ c:\windows\system32\wmv8dmod.dll 2009-02-21 16:40 . 2009-02-22 12:36 <DIR> d-------- c:\program files\BearShare Applications 2009-02-14 12:42 . 2009-02-14 12:42 <DIR> d-------- c:\documents and settings\All Users\Dane aplikacji\Synetic 2009-02-14 12:41 . 2003-06-23 01:44 1,415,680 --a------ c:\windows\system32\wmv9vcm.dll 2009-02-14 12:41 . 2003-08-29 00:55 423,424 --a------ c:\windows\system32\WMAVDS32.ax 2009-02-14 12:41 . 2001-03-26 03:41 245,760 --a------ c:\windows\system32\mp4sds32.ax 2009-02-13 13:47 . 2009-02-13 13:47 <DIR> d-------- c:\documents and settings\EWA\Dane aplikacji\CrystalSpace 2009-02-13 13:47 . 2009-02-13 13:48 <DIR> d-------- c:\documents and settings\EWA\Dane aplikacji\CrystalApp 2009-02-12 15:08 . 2009-02-12 15:08 <DIR> d-------- c:\documents and settings\EWA\Dane aplikacji\Artifex Mundi 2009-02-12 13:13 . 2009-02-12 13:13 <DIR> d-------- c:\program files\TV3D SDK 6.5 2009-02-12 12:40 . 2009-02-12 12:40 <DIR> d-------- c:\windows\system32\AGEIA 2009-02-12 12:40 . 2009-02-12 12:40 <DIR> d-------- c:\program files\Common Files\Wise Installation Wizard 2009-02-12 12:40 . 2009-02-12 12:40 <DIR> d-------- c:\program files\AGEIA Technologies 2009-02-12 12:36 . 2007-12-06 13:54 722,192 --a------ c:\windows\system32\vb40032.dll 2009-02-12 12:34 . 2009-02-26 16:20 357 --a------ c:\windows\Frog_Man.iix 2009-02-12 12:32 . 2009-02-12 13:13 <DIR> d-------- c:\windows\system32\embedded . (((((((((((((((((((((((((((((((((((((((( Sekcja Find3M )))))))))))))))))))))))))))))))))))))))))))))))))))) . 2009-03-05 21:25 --------- d-----w c:\program files\neostrada tp 2009-03-05 21:25 --------- d-----w c:\program files\AutoConnect 2009-03-04 22:50 --------- d-----w c:\documents and settings\EWA\Dane aplikacji\Skype 2009-03-04 09:26 --------- d-----w c:\documents and settings\EWA\Dane aplikacji\HPAppData 2009-03-03 12:22 --------- d-----w c:\program files\Zylom Games 2009-02-16 16:30 --------- d-----w c:\documents and settings\EWA\Dane aplikacji\BESTplayer 2009-02-02 15:00 --------- d-----w c:\program files\Eset 2009-02-02 15:00 --------- d-----w c:\documents and settings\All Users\Dane aplikacji\ESET 2009-01-27 13:05 --------- d-----w c:\documents and settings\All Users\Dane aplikacji\MSScanAppDataDir 2009-01-18 10:34 --------- d-----w c:\documents and settings\EWA\Dane aplikacji\Picajet.com 2009-01-18 10:28 --------- d--h--w c:\program files\InstallShield Installation Information 2009-01-15 20:25 --------- d-----w c:\documents and settings\All Users\Dane aplikacji\HPSSUPPLY 2009-01-09 12:33 --------- d-----w c:\documents and settings\EWA\Dane aplikacji\dvdcss 2009-01-07 17:07 --------- d-----w c:\documents and settings\EWA\Dane aplikacji\AdobeUM 2009-01-06 11:27 --------- d-----w c:\documents and settings\EWA\Dane aplikacji\vlc 2008-12-27 14:16 155,995 ----a-w c:\windows\java\Packages\IYS9V9RH.ZIP 2008-12-27 13:58 16,608 ----a-w c:\windows\gdrv.sys 2008-12-27 13:57 315,392 ----a-w c:\windows\HideWin.exe 2008-12-20 23:03 826,368 ----a-w c:\windows\system32\wininet.dll . ((((((((((((((((((((((((((((((((((((( Wpisy startowe rejestru )))))))))))))))))))))))))))))))))))))))))))))))))) . . *Uwaga* puste wpisy oraz domyślne, prawidłowe wpisy nie są pokazane REGEDIT4 [HKEY_LOCAL_MACHINE\~\Browser Helper Objects\{74322BF9-DF26-493f-B0DA-6D2FC5E6429E}] 2008-09-02 15:05 398776 --a------ c:\program files\BearShare Applications\BearShare MediaBar\BearShareIEHelper.dll [HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] "AutoConnect"="c:\program files\AutoConnect\AutoConnect.exe" [2004-08-28 295424] "ctfmon.exe"="c:\windows\system32\ctfmon.exe" [2008-04-15 15360] [HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] "GEST"="=" [X] "StartCCC"="c:\program files\ATI Technologies\ATI.ACE\Core-Static\CLIStart.exe" [2008-01-21 61440] "WOOWATCH"="c:\progra~1\NEOSTR~1\Watch.exe" [2004-08-23 20480] "WOOTASKBARICON"="c:\progra~1\NEOSTR~1\GestMaj.exe" [2004-10-14 32768] "Acrobat Assistant 7.0"="d:\programy\Acrobat 7.0\Distillr\Acrotray.exe" [2004-12-14 483328] "HP Software Update"="c:\program files\HP\HP Software Update\HPWuSchd2.exe" [2007-10-14 49152] "InkSaver"="d:\programy\InkSaver\InkSaver.exe" [2003-10-20 458752] "egui"="c:\program files\ESET\ESET NOD32 Antivirus\egui.exe" [2008-07-01 1447168] "SDFix"="h:\sdfix\RunThis.bat" [2008-11-06 964661] "RTHDCPL"="RTHDCPL.EXE" [2008-07-03 c:\windows\RTHDCPL.exe] "SoundMan"="SOUNDMAN.EXE" [2008-06-18 c:\windows\SoundMan.exe] "AlcWzrd"="ALCWZRD.EXE" [2008-06-19 c:\windows\alcwzrd.exe] "AdslTaskBar"="stmctrl.dll" [2006-06-02 c:\windows\system32\stmctrl.dll] [HKEY_USERS\.DEFAULT\Software\Microsoft\Windows\CurrentVersion\Run] "CTFMON.EXE"="c:\windows\system32\CTFMON.EXE" [2008-04-15 15360] [HKEY_LOCAL_MACHINE\software\microsoft\windows nt\currentversion\drivers32] "vidc.ffds"= c:\progra~1\COMBIN~1\Filters\FFDShow\ff_vfw.dll [HKLM\~\startupfolder\C:^Documents and Settings^All Users^Menu Start^Programy^Autostart^Adobe Acrobat Speed Launcher.lnk] path=c:\documents and settings\All Users\Menu Start\Programy\Autostart\Adobe Acrobat Speed Launcher.lnk backup=c:\windows\pss\Adobe Acrobat Speed Launcher.lnkCommon Startup [HKLM\~\startupfolder\C:^Documents and Settings^All Users^Menu Start^Programy^Autostart^HP Digital Imaging Monitor.lnk] path=c:\documents and settings\All Users\Menu Start\Programy\Autostart\HP Digital Imaging Monitor.lnk backup=c:\windows\pss\HP Digital Imaging Monitor.lnkCommon Startup [HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\hpqSRMon] --a------ 2007-08-22 16:31 80896 c:\program files\HP\Digital Imaging\bin\HpqSRmon.exe [HKLM\~\services\sharedaccess\parameters\firewallpolicy\standardprofile] "EnableFirewall"= 0 (0x0) [HKLM\~\services\sharedaccess\parameters\firewallpolicy\standardprofile\AuthorizedApplications\List] "%windir%\\Network Diagnostic\\xpnetdiag.exe"= "%windir%\\system32\\sessmgr.exe"= "c:\\Program Files\\HP\\Digital Imaging\\bin\\hpqtra08.exe"= "c:\\Program Files\\HP\\Digital Imaging\\bin\\hpqste08.exe"= "c:\\Program Files\\HP\\Digital Imaging\\bin\\hposid01.exe"= "c:\\Program Files\\HP\\Digital Imaging\\bin\\hpiscnapp.exe"= "c:\\Program Files\\HP\\Digital Imaging\\bin\\hpqkygrp.exe"= "c:\\Program Files\\AutoConnect\\AutoConnect.exe"= "d:\\Programy\\Gadu-Gadu\\gg.exe"= "h:\\BearShare\\BearShare.exe"= "c:\\Program Files\\Mozilla Firefox\\firefox.exe"= "c:\\Program Files\\Opera\\opera.exe"= "c:\\Documents and Settings\\EWA\\Pulpit\\BESTplayer.exe"= "d:\\Programy\\Skype\\Phone\\Skype.exe"= R1 epfwtdir;epfwtdir;c:\windows\system32\drivers\epfwtdir.sys [2008-07-01 34312] R1 SbFw;SbFw;c:\windows\system32\drivers\SbFw.sys [2009-02-03 269736] R1 sbhips;Sunbelt HIPS Driver;c:\windows\system32\drivers\sbhips.sys [2008-06-21 66600] R2 ekrn;Eset Service;c:\program files\Eset\ESET NOD32 Antivirus\ekrn.exe [2008-07-01 468224] R2 SbPF.Launcher;SbPF.Launcher;c:\program files\Sunbelt Software\Personal Firewall\SbPFLnch.exe [2008-07-30 95528] R2 SPF4;Sunbelt Personal Firewall 4;c:\program files\Sunbelt Software\Personal Firewall\SbPFSvc.exe [2008-07-30 1361192] R3 SBFWIMCL;Sunbelt Software Firewall NDIS IM Filter Miniport;c:\windows\system32\drivers\SbFwIm.sys [2009-02-03 65576] R3 Stmatm;ATM/ADSL miniport;c:\windows\system32\drivers\stmatm.sys [2008-12-27 60255] R3 TaurusUsb;ADSL Modem USB Service;c:\windows\system32\drivers\torususb.sys [2008-12-27 684265] [HKEY_LOCAL_MACHINE\software\microsoft\windows nt\currentversion\svchost] HPZ12 REG_MULTI_SZ Pml Driver HPZ12 Net Driver HPZ12 hpdevmgmt REG_MULTI_SZ hpqcxs08 hpqddsvc . . ------- Skan uzupełniający ------- . uStart Page = hxxp://www.neostrada.pl IE: E&ksport do programu Microsoft Excel - d:\programy\MICROS~1\OFFICE11\EXCEL.EXE/3000 IE: Konwertuj do Adobe PDF - d:\programy\Acrobat 7.0\Acrobat\AcroIEFavClient.dll/AcroIECapture.html IE: Konwertuj do istniejącego pliku PDF - d:\programy\Acrobat 7.0\Acrobat\AcroIEFavClient.dll/AcroIEAppend.html IE: Konwertuj miejsce docelowe łącza do Adobe PDF - d:\programy\Acrobat 7.0\Acrobat\AcroIEFavClient.dll/AcroIECapture.html IE: Konwertuj miejsce docelowe łącza do istniejącego pliku PDF - d:\programy\Acrobat 7.0\Acrobat\AcroIEFavClient.dll/AcroIEAppend.html IE: Konwertuj wybrane łącza do Adobe PDF - d:\programy\Acrobat 7.0\Acrobat\AcroIEFavClient.dll/AcroIECaptureSelLinks.html IE: Konwertuj wybrane łącza do istniejącego pliku PDF - d:\programy\Acrobat 7.0\Acrobat\AcroIEFavClient.dll/AcroIEAppendSelLinks.html IE: Konwertuj zaznaczenie do Adobe PDF - d:\programy\Acrobat 7.0\Acrobat\AcroIEFavClient.dll/AcroIECapture.html IE: Konwertuj zaznaczenie do istniejącego pliku PDF - d:\programy\Acrobat 7.0\Acrobat\AcroIEFavClient.dll/AcroIEAppend.html IE: { - c:\program files\Messenger\msmsgs.exe TCP: {91A672FB-36D9-416D-9517-78F1ADEB4993} = 194.204.152.34 217.98.63.164 DPF: Microsoft XML Parser for Java - file://c:\windows\Java\classes\xmldso.cab FF - ProfilePath - c:\documents and settings\EWA\Dane aplikacji\Mozilla\Firefox\Profiles\uuylo40n.default\ FF - prefs.js: network.proxy.type - 2 FF - plugin: c:\documents and settings\All Users\Dane aplikacji\Zylom\ZylomGamesPlayer\npzylomgamesplayer.dll FF - plugin: c:\program files\Java\j2re1.4.0_03\bin\NPJava11.dll FF - plugin: c:\program files\Java\j2re1.4.0_03\bin\NPJava12.dll FF - plugin: c:\program files\Java\j2re1.4.0_03\bin\NPJava13.dll FF - plugin: c:\program files\Java\j2re1.4.0_03\bin\NPJava32.dll FF - plugin: c:\program files\Java\j2re1.4.0_03\bin\NPJPI140_03.dll FF - plugin: c:\program files\Java\j2re1.4.0_03\bin\NPOJI610.dll FF - plugin: c:\program files\Mozilla Firefox\plugins\NPJava11.dll FF - plugin: c:\program files\Mozilla Firefox\plugins\NPJava12.dll FF - plugin: c:\program files\Mozilla Firefox\plugins\NPJava13.dll FF - plugin: c:\program files\Mozilla Firefox\plugins\NPJava32.dll FF - plugin: c:\program files\Mozilla Firefox\plugins\NPJPI140_03.dll FF - plugin: c:\program files\Mozilla Firefox\plugins\NPOJI610.dll FF - plugin: c:\program files\Mozilla Firefox\plugins\npzylomgamesplayer.dll FF - plugin: c:\program files\Opera\program\plugins\NPJava11.dll FF - plugin: c:\program files\Opera\program\plugins\NPJava12.dll FF - plugin: c:\program files\Opera\program\plugins\NPJava13.dll FF - plugin: c:\program files\Opera\program\plugins\NPJava32.dll FF - plugin: c:\program files\Opera\program\plugins\NPJPI140_03.dll FF - plugin: c:\program files\Opera\program\plugins\nppl3260.dll FF - plugin: c:\program files\Opera\program\plugins\nprpjplug.dll FF - plugin: d:\programy\Acrobat 7.0\Acrobat\browser\nppdf32.dll FF - plugin: d:\programy\Picasa2\npPicasa2.dll . ************************************************************************** catchme 0.3.1367 W2K/XP/Vista - rootkit/stealth malware detector by Gmer, http://www.gmer.net Rootkit scan 2009-03-05 22:25:52 Windows 5.1.2600 Dodatek Service Pack 3 NTFS skanowanie ukrytych procesów ... skanowanie ukrytych wpisów autostartu ... skanowanie ukrytych plików ... skanowanie pomyślnie ukończone ukryte pliki: 0 ************************************************************************** [HKEY_LOCAL_MACHINE\System\ControlSet003\Services\ASFWHide] "ImagePath"="\??\c:\docume~1\EWA\USTAWI~1\Temp\ASFWHide" . --------------------- Pliki DLL ładowane pod uruchomionymi procesami --------------------- - - - - - - - > 'winlogon.exe'(1080) c:\windows\system32\Ati2evxx.dll - - - - - - - > 'explorer.exe'(2748) c:\progra~1\WINDOW~2\wmpband.dll . ------------------------ Pozostałe uruchomione procesy ------------------------ . c:\windows\system32\ati2evxx.exe c:\windows\system32\ati2evxx.exe c:\windows\system32\FTRTSVC.exe d:\programy\Alcohol Soft\Alcohol 120\StarWind\StarWindService.exe c:\program files\Sunbelt Software\Personal Firewall\SbPFCl.exe c:\program files\ATI Technologies\ATI.ACE\Core-Static\MOM.exe c:\windows\system32\rundll32.exe c:\progra~1\NEOSTR~1\TaskBarIcon.exe c:\program files\ATI Technologies\ATI.ACE\Core-Static\CCC.exe . ************************************************************************** . Czas ukończenia: 2009-03-05 22:28:45 - komputer został uruchomiony ponownie ComboFix-quarantined-files.txt 2009-03-05 21:28:38 Przed: 10 833 018 880 bajtów wolnych Po: 10,755,702,784 bajtów wolnych 209 --- E O F --- 2009-02-25 09:35:32 [code][/code]

Dodano Dzisiaj, 22:36:
no i jak mi to wyszło

Dodano Dzisiaj, 23:53:

Kod: Zaznacz wszystko: V[code][/code]

Dodano Dzisiaj, 23:54:

Kod: Zaznacz wszystko: Logfile of Trend Micro HijackThis v2.0.2 Scan saved at 23:51:29, on 2009-03-05 Platform: Windows XP Dodatek SP3 (WinNT 5.01.2600) MSIE: Internet Explorer v7.00 (7.00.6000.16791) Boot mode: Normal Running processes: C:\WINDOWS\System32\smss.exe C:\WINDOWS\system32\winlogon.exe C:\WINDOWS\system32\services.exe C:\WINDOWS\system32\lsass.exe C:\WINDOWS\system32\Ati2evxx.exe C:\WINDOWS\system32\svchost.exe C:\WINDOWS\System32\svchost.exe C:\WINDOWS\system32\spoolsv.exe C:\WINDOWS\system32\Ati2evxx.exe C:\Program Files\ESET\ESET NOD32 Antivirus\ekrn.exe C:\WINDOWS\System32\FTRTSVC.exe C:\WINDOWS\system32\svchost.exe C:\WINDOWS\System32\svchost.exe C:\WINDOWS\System32\svchost.exe C:\Program Files\Sunbelt Software\Personal Firewall\SbPFLnch.exe C:\Program Files\Sunbelt Software\Personal Firewall\SbPFSvc.exe C:\WINDOWS\Explorer.EXE D:\Programy\Alcohol Soft\Alcohol 120\StarWind\StarWindService.exe C:\WINDOWS\system32\svchost.exe C:\Program Files\ATI Technologies\ATI.ACE\Core-Static\MOM.exe C:\WINDOWS\RTHDCPL.EXE C:\WINDOWS\SOUNDMAN.EXE C:\WINDOWS\system32\rundll32.exe D:\Programy\Acrobat 7.0\Distillr\Acrotray.exe C:\Program Files\HP\HP Software Update\HPWuSchd2.exe D:\Programy\InkSaver\InkSaver.exe C:\Program Files\ESET\ESET NOD32 Antivirus\egui.exe C:\PROGRA~1\NEOSTR~1\TaskBarIcon.exe C:\Program Files\AutoConnect\AutoConnect.exe C:\Program Files\Sunbelt Software\Personal Firewall\SbPFCl.exe C:\WINDOWS\system32\ctfmon.exe C:\Program Files\ATI Technologies\ATI.ACE\Core-Static\ccc.exe C:\Program Files\Opera\opera.exe C:\Program Files\Trend Micro\HijackThis\HijackThis.exe R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.neostrada.pl R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://go.microsoft.com/fwlink/?LinkId=69157 R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://go.microsoft.com/fwlink/?LinkId=54896 R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = http://go.microsoft.com/fwlink/?LinkId=54896 R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = http://go.microsoft.com/fwlink/?LinkId=69157 R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Łącza R3 - URLSearchHook: DeviceVM Url Search Hook - {0063BF63-BFFF-4B8F-9D26-4267DF7F17DD} - C:\WINDOWS\system32\dvmurl.dll R3 - URLSearchHook: Search Class - {08C06D61-F1F3-4799-86F8-BE1A89362C85} - C:\PROGRA~1\NEOSTR~1\SEARCH~1.DLL O2 - BHO: HP Print Enhancer - {0347C33E-8762-4905-BF09-768834316C61} - C:\Program Files\HP\Digital Imaging\Smart Web Printing\hpswp_printenhancer.dll O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - D:\Programy\Acrobat 7.0\ActiveX\AcroIEHelper.dll O2 - BHO: UrlHelper Class - {74322BF9-DF26-493f-B0DA-6D2FC5E6429E} - C:\Program Files\BearShare Applications\BearShare MediaBar\BearShareIEHelper.dll O2 - BHO: AcroIEToolbarHelper Class - {AE7CD045-E861-484f-8273-0445EE161910} - D:\Programy\Acrobat 7.0\Acrobat\AcroIEFavClient.dll O2 - BHO: HP Smart BHO Class - {FFFFFFFF-CF4E-4F2B-BDC2-0E72E116A856} - C:\Program Files\HP\Digital Imaging\Smart Web Printing\hpswp_BHO.dll O3 - Toolbar: Adobe PDF - {47833539-D0C5-4125-9FA8-0819E2EAAC93} - D:\Programy\Acrobat 7.0\Acrobat\AcroIEFavClient.dll O3 - Toolbar: BearShare MediaBar - {D3DEE18F-DB64-4BEB-9FF1-E1F0A5033E4A} - C:\Program Files\BearShare Applications\BearShare MediaBar\BearShareMediaBar.dll O4 - HKLM\..\Run: [StartCCC] "C:\Program Files\ATI Technologies\ATI.ACE\Core-Static\CLIStart.exe" MSRun O4 - HKLM\..\Run: [RTHDCPL] RTHDCPL.EXE O4 - HKLM\..\Run: [SoundMan] SOUNDMAN.EXE O4 - HKLM\..\Run: [AlcWzrd] ALCWZRD.EXE O4 - HKLM\..\Run: [GEST] = O4 - HKLM\..\Run: [AdslTaskBar] rundll32.exe stmctrl.dll,TaskBar O4 - HKLM\..\Run: [WOOWATCH] C:\PROGRA~1\NEOSTR~1\Watch.exe O4 - HKLM\..\Run: [WOOTASKBARICON] C:\PROGRA~1\NEOSTR~1\GestMaj.exe TaskBarIcon.exe O4 - HKLM\..\Run: [Acrobat Assistant 7.0] "D:\Programy\Acrobat 7.0\Distillr\Acrotray.exe" O4 - HKLM\..\Run: [HP Software Update] C:\Program Files\HP\HP Software Update\HPWuSchd2.exe O4 - HKLM\..\Run: [InkSaver] D:\Programy\InkSaver\InkSaver.exe hide O4 - HKLM\..\Run: [egui] "C:\Program Files\ESET\ESET NOD32 Antivirus\egui.exe" /hide /waitservice O4 - HKLM\..\Run: [SDFix] H:\SDFix\RunThis.bat /second O4 - HKCU\..\Run: [AutoConnect] C:\Program Files\AutoConnect\AutoConnect.exe O4 - HKCU\..\Run: [ctfmon.exe] C:\WINDOWS\system32\ctfmon.exe O4 - HKUS\S-1-5-18\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'SYSTEM') O4 - HKUS\.DEFAULT\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'Default user') O8 - Extra context menu item: E&ksport do programu Microsoft Excel - res://D:\Programy\MICROS~1\OFFICE11\EXCEL.EXE/3000 O8 - Extra context menu item: Konwertuj do Adobe PDF - res://D:\Programy\Acrobat 7.0\Acrobat\AcroIEFavClient.dll/AcroIECapture.html O8 - Extra context menu item: Konwertuj do istniejącego pliku PDF - res://D:\Programy\Acrobat 7.0\Acrobat\AcroIEFavClient.dll/AcroIEAppend.html O8 - Extra context menu item: Konwertuj miejsce docelowe łącza do Adobe PDF - res://D:\Programy\Acrobat 7.0\Acrobat\AcroIEFavClient.dll/AcroIECapture.html O8 - Extra context menu item: Konwertuj miejsce docelowe łącza do istniejącego pliku PDF - res://D:\Programy\Acrobat 7.0\Acrobat\AcroIEFavClient.dll/AcroIEAppend.html O8 - Extra context menu item: Konwertuj wybrane łącza do Adobe PDF - res://D:\Programy\Acrobat 7.0\Acrobat\AcroIEFavClient.dll/AcroIECaptureSelLinks.html O8 - Extra context menu item: Konwertuj wybrane łącza do istniejącego pliku PDF - res://D:\Programy\Acrobat 7.0\Acrobat\AcroIEFavClient.dll/AcroIEAppendSelLinks.html O8 - Extra context menu item: Konwertuj zaznaczenie do Adobe PDF - res://D:\Programy\Acrobat 7.0\Acrobat\AcroIEFavClient.dll/AcroIECapture.html O8 - Extra context menu item: Konwertuj zaznaczenie do istniejącego pliku PDF - res://D:\Programy\Acrobat 7.0\Acrobat\AcroIEFavClient.dll/AcroIEAppend.html O9 - Extra button: Messenger - -{FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe O9 - Extra 'Tools' menuitem: Windows Messenger - -{FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe O9 - Extra button: Badanie - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - D:\Programy\MICROS~1\OFFICE11\REFIEBAR.DLL O9 - Extra button: Zaznaczanie HP Smart - {DDE87865-83C5-48c4-8357-2F5B1AA84522} - C:\Program Files\HP\Digital Imaging\Smart Web Printing\hpswp_BHO.dll O9 - Extra button: (no name) - {e2e2dd38-d088-4134-82b7-f2ba38496583} - C:\WINDOWS\Network Diagnostic\xpnetdiag.exe O9 - Extra 'Tools' menuitem: @xpsp3res.dll,-20001 - {e2e2dd38-d088-4134-82b7-f2ba38496583} - C:\WINDOWS\Network Diagnostic\xpnetdiag.exe O17 - HKLM\System\CCS\Services\Tcpip\..\{91A672FB-36D9-416D-9517-78F1ADEB4993}: NameServer = 194.204.152.34 217.98.63.164 O23 - Service: Ati HotKey Poller - ATI Technologies Inc. - C:\WINDOWS\system32\Ati2evxx.exe O23 - Service: Eset HTTP Server (EhttpSrv) - ESET - C:\Program Files\ESET\ESET NOD32 Antivirus\EHttpSrv.exe O23 - Service: Eset Service (ekrn) - ESET - C:\Program Files\ESET\ESET NOD32 Antivirus\ekrn.exe O23 - Service: France Telecom Routing Table Service (FTRTSVC) - France Telecom - C:\WINDOWS\System32\FTRTSVC.exe O23 - Service: Google Updater Service (gusvc) - Google - C:\Program Files\Google\Common\Google Updater\GoogleUpdaterService.exe O23 - Service: SbPF.Launcher - Sunbelt Software, Inc. - C:\Program Files\Sunbelt Software\Personal Firewall\SbPFLnch.exe O23 - Service: Sunbelt Personal Firewall 4 (SPF4) - Sunbelt Software, Inc. - C:\Program Files\Sunbelt Software\Personal Firewall\SbPFSvc.exe O23 - Service: StarWind iSCSI Service (StarWindService) - Rocket Division Software - D:\Programy\Alcohol Soft\Alcohol 120\StarWind\StarWindService.exe -- End of file - 7891 bytes [code][/code]

Dodano Dzisiaj, 09:19:
Witam dzisiaj .......dzisiaj po włączeniu kompa na pulpice pokazała się ikona c:\ wielkości 10 na 5 mrugnęła i znikła.Po wyjściu z foldera na pulpicie wszystkie ikonki jakby tu powiedziec podskakują.

Kod: Zaznacz wszystko: [i][size=85]Dodano Dzisiaj, 10:14:[/size][/i] [b]SDFix: Version 1.240 [/b] Run by Administrator on 2009-03-06 at 10:05 Microsoft Windows XP [Wersja 5.1.2600] Running From: C:\SDFix [b]Checking Services [/b]: Restoring Default Security Values Restoring Default Hosts File Rebooting [b]Checking Files [/b]: No Trojan Files Found Removing Temp Files [b]ADS Check [/b]: [b]Final Check [/b]: catchme 0.3.1361.2 W2K/XP/Vista - rootkit/stealth malware detector by Gmer, http://www.gmer.net Rootkit scan 2009-03-06 10:10:48 Windows 5.1.2600 Dodatek Service Pack 3 NTFS scanning hidden processes ... scanning hidden services & system hive ... [HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\SharedAccess\Epoch] "Epoch"=dword:00002cf8 [HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Vax347s\Config\jdgg40] [HKEY_LOCAL_MACHINE\SYSTEM\ControlSet004\Control\Session Manager\Memory Management\PrefetchParameters] "VideoInitTime"=dword:000019b2 [HKEY_LOCAL_MACHINE\SYSTEM\ControlSet004\Control\Watchdog\Display] "ShutdownCount"=dword:000000aa [HKEY_LOCAL_MACHINE\SYSTEM\ControlSet004\Services\SharedAccess\Epoch] "Epoch"=dword:00002cf5 scanning hidden registry entries ... [HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Uninstall\{E9F81423-211E-46B6-9AE0-38568BC5CF6F}] "DisplayName"="Alcohol 120%" scanning hidden files ... scan completed successfully hidden processes: 0 hidden services: 0 hidden files: 0 [b]Remaining Services [/b]: Authorized Application Key Export: [HKEY_LOCAL_MACHINE\system\currentcontrolset\services\sharedaccess\parameters\firewallpolicy\standardprofile\authorizedapplications\list] "%windir%\\Network Diagnostic\\xpnetdiag.exe"="%windir%\\Network Diagnostic\\xpnetdiag.exe:*:Enabled:@xpsp3res.dll,-20000" "%windir%\\system32\\sessmgr.exe"="%windir%\\system32\\sessmgr.exe:*:enabled:@xpsp2res.dll,-22019" "C:\\Program Files\\HP\\Digital Imaging\\bin\\hpqtra08.exe"="C:\\Program Files\\HP\\Digital Imaging\\bin\\hpqtra08.exe:*:Enabled:hpqtra08.exe" "C:\\Program Files\\HP\\Digital Imaging\\bin\\hpqste08.exe"="C:\\Program Files\\HP\\Digital Imaging\\bin\\hpqste08.exe:*:Enabled:hpqste08.exe" "C:\\Program Files\\HP\\Digital Imaging\\bin\\hposid01.exe"="C:\\Program Files\\HP\\Digital Imaging\\bin\\hposid01.exe:*:Enabled:hposid01.exe" "C:\\Program Files\\HP\\Digital Imaging\\bin\\hpiscnapp.exe"="C:\\Program Files\\HP\\Digital Imaging\\bin\\hpiscnapp.exe:*:Enabled:hpiscnapp.exe" "C:\\Program Files\\HP\\Digital Imaging\\bin\\hpqkygrp.exe"="C:\\Program Files\\HP\\Digital Imaging\\bin\\hpqkygrp.exe:*:Enabled:hpqkygrp.exe" "C:\\Program Files\\AutoConnect\\AutoConnect.exe"="C:\\Program Files\\AutoConnect\\AutoConnect.exe:*:Enabled:AutoConnect" "D:\\Programy\\Gadu-Gadu\\gg.exe"="D:\\Programy\\Gadu-Gadu\\gg.exe:*:Enabled:Gadu-Gadu" "H:\\BearShare\\BearShare.exe"="H:\\BearShare\\BearShare.exe:*:Enabled:BearShare" "C:\\Program Files\\Mozilla Firefox\\firefox.exe"="C:\\Program Files\\Mozilla Firefox\\firefox.exe:*:Enabled:Mozilla Firefox" "C:\\Program Files\\Opera\\opera.exe"="C:\\Program Files\\Opera\\opera.exe:*:Enabled:Opera" "C:\\Documents and Settings\\EWA\\Pulpit\\BESTplayer.exe"="C:\\Documents and Settings\\EWA\\Pulpit\\BESTplayer.exe:*:Enabled:BESTplayer" "D:\\Programy\\Skype\\Phone\\Skype.exe"="D:\\Programy\\Skype\\Phone\\Skype.exe:*:Enabled:Skype" [HKEY_LOCAL_MACHINE\system\currentcontrolset\services\sharedaccess\parameters\firewallpolicy\domainprofile\authorizedapplications\list] "%windir%\\Network Diagnostic\\xpnetdiag.exe"="%windir%\\Network Diagnostic\\xpnetdiag.exe:*:Enabled:@xpsp3res.dll,-20000" "%windir%\\system32\\sessmgr.exe"="%windir%\\system32\\sessmgr.exe:*:enabled:@xpsp2res.dll,-22019" [b]Remaining Files [/b]: [b]Files with Hidden Attributes [/b]: Wed 18 Feb 2009 4,348 A.SH. --- "C:\Documents and Settings\All Users\DRM\DRMv1.bak" Sat 27 Dec 2008 0 A.SH. --- "C:\Documents and Settings\All Users\DRM\Cache\Indiv01.tmp" [b]Finished![/b]

**Posty:** 18165 · przez **wojtas** 06 Mar 2009, 17:11

1. Ściągnij OTMoveIt i go włacz i odpal go z opcji CleanUp

oraz skasuj folder C:\Qoobox
2. wykonaj optymalizację windowsa
3.sciagnij ATF_Cleaner
zaznacz
Windows Temp
All users Temp
Temporary internet files
Recycle Bin
i wcisnij EMPTY SELECTED
4.Wyłącz przywracanie systemu ( właściwości mój komputer-zakładka przywracanie - wyłącz przywracanie na wszystkich dyskach). Po chwili włącz je powrotem
5. Wykonaj skan Dr. Web CureIt
6. Przeskanuj obszar mojego komputera http://www.kaspersky.pl/virusscanner.html (uruchom przez IE) Daj raport z niego na forum.

i tym:

FixIEDef.

**Posty:** 12 · przez **miki2808** 07 Mar 2009, 01:15

Doctor spyware wykrył 2 zagrożenia i 45 infekcji

Kod: Zaznacz wszystko

RAPORT KASPERSKY ONLINE SCANNER 7.0
sobota, 7 marzec 2009
System operacyjny: Microsoft Windows XP Home Edition Dodatek Service Pack 3 (build 2600)
Wersja Kaspersky Online Scanner: 7.0.26.12
Data ostatniej aktualizacji bazy danych: Friday, March 06, 2009 21:45:50
Liczba wpisów: 1875325

Ustawienia skanowania
Typ bazy danych użytej do skanowania rozszerzona
Skanuj archiwa tak
Skanuj pocztowe bazy danych tak

Obszar skanowania Mój komputer
A:\
C:\
D:\
E:\
F:\
G:\
H:\
I:\
J:\
K:\
L:\
M:\
N:\
O:\
P:\
Q:\

Statystyki skanowania
Przeskanowanych plików 56491
Nazwa zagrożenia 0
Zainfekowanych obiektów 0
Podejrzanych obiektów 0
Czas skanowania 00:42:45

Nie wykryto zagrożeń. Obszar skanowania jest czysty.
Wybrany obszar został przeskanowany.

Kod: Zaznacz wszystko

Dodano Dzisiaj, 00:18:
Myślę że wszystko jest już dobrze.
Jeżeli tak to dziękuję za miłą współpracę i za wyrozumiałośc.

Kto jest na forum