Carlton, trzyliterowe trojany irc, i inne cuda

Dla specjalistów Bezpieczeństwo
#1

Witam, mam problem. Od wczoraj mam net na tym komputerze i od razu niespodzianki. Mam NODa32, ale zainstalowałem go dopiero dzisiaj. Już wczoraj zaczęły wyskakiwać informacje o konieczności wyłączenia systemu za 1.00min, błędy, które chciał wysyłać do Microsoftu i inne. Dziś NOD znalazł carltona, którego usunął, ale po tym przy starcie systemu wyrzucał info o braku pliku (??shield.exe nie pamiętam dwóch liter) O wszystkim czytałem już tutaj, ale postanowiłem jednak zrobić format i… to samo od nowa. Jeszcze do tego pchają się jakieś trzyliterowe trojany.exe. Pomocy, proszę.

Logfile of Trend Micro HijackThis v2.0.2

Scan saved at 22:22:57, on 2007-12-29

Platform: Windows XP Dodatek SP. 1 (WinNT 5.01.2600)

MSIE: Internet Explorer v6.00 SP1 (6.00.2800.1106)

Boot mode: Normal


Running processes:

C:\WINDOWS\System32\smss.exe

C:\WINDOWS\system32\winlogon.exe

C:\WINDOWS\system32\services.exe

C:\WINDOWS\system32\lsass.exe

C:\WINDOWS\System32\Ati2evxx.exe

C:\WINDOWS\system32\svchost.exe

C:\WINDOWS\System32\svchost.exe

C:\WINDOWS\system32\spoolsv.exe

C:\WINDOWS\system32\Ati2evxx.exe

C:\WINDOWS\Explorer.EXE

C:\Program Files\Analog Devices\SoundMAX\SMTray.exe

C:\Program Files\ATI Technologies\ATI Control Panel\atiptaxx.exe

C:\Program Files\Eset\nod32kui.exe

C:\WINDOWS\System32\ctfmon.exe

C:\Program Files\Eset\nod32krn.exe

C:\Program Files\Analog Devices\SoundMAX\SMAgent.exe

C:\WINDOWS\System32\WScript.exe

C:\Documents and Settings\jojojo\Ustawienia lokalne\Temp\Katalog tymczasowy 1 dla HiJackThis(2).zip\HijackThis.exe


R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Łącza

O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINDOWS\System32\msdxm.ocx

O4 - HKLM\..\Run: [Smapp] C:\Program Files\Analog Devices\SoundMAX\SMTray.exe

O4 - HKLM\..\Run: [ATIPTA] C:\Program Files\ATI Technologies\ATI Control Panel\atiptaxx.exe

O4 - HKLM\..\Run: [nod32kui] "C:\Program Files\Eset\nod32kui.exe" /WAITSERVICE

O4 - HKLM\..\Run: [Windows Network Firewall] C:\WINDOWS\System32\firewall.exe

O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\ctfmon.exe

O4 - HKUS\S-1-5-19\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 'USŁUGA LOKALNA')

O4 - HKUS\S-1-5-20\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 'USŁUGA SIECIOWA')

O4 - HKUS\S-1-5-18\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 'SYSTEM')

O4 - HKUS\.DEFAULT\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 'Default user')

O9 - Extra button: Related - {c95fe080-8f5d-11d2-a20b-00aa003c157a} - C:\WINDOWS\web\related.htm

O9 - Extra 'Tools' menuitem: Show &Related Links - {c95fe080-8f5d-11d2-a20b-00aa003c157a} - C:\WINDOWS\web\related.htm

O23 - Service: Ati HotKey Poller - Unknown owner - C:\WINDOWS\System32\Ati2evxx.exe

O23 - Service: ATI Smart - Unknown owner - C:\WINDOWS\system32\ati2sgag.exe

O23 - Service: NOD32 Kernel Service (NOD32krn) - Eset - C:\Program Files\Eset\nod32krn.exe

O23 - Service: SoundMAX Agent Service (SoundMAX Agent Service (default)) - Analog Devices, Inc. - C:\Program Files\Analog Devices\SoundMAX\SMAgent.exe


--

End of file - 2577 bytes

"Silent Runners.vbs", revision 55, http://www.silentrunners.org/

Operating System: Windows XP

Output limited to non-default values, except where indicated by "{++}"



Startup items buried in registry:

---------------------------------


HKCU\Software\Microsoft\Windows\CurrentVersion\Run\ {++}

"CTFMON.EXE" = "C:\WINDOWS\System32\ctfmon.exe" [MS]


HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\ {++}

"Smapp" = "C:\Program Files\Analog Devices\SoundMAX\SMTray.exe" ["Analog Devices, Inc."]

"ATIPTA" = "C:\Program Files\ATI Technologies\ATI Control Panel\atiptaxx.exe" ["ATI Technologies, Inc."]

"nod32kui" = ""C:\Program Files\Eset\nod32kui.exe" /WAITSERVICE" ["Eset "]

"Windows Network Firewall" = "C:\WINDOWS\System32\firewall.exe" [file not found]


HKLM\SOFTWARE\Microsoft\Active Setup\Installed Components\

{306D6C21-C1B6-4629-986C-E59E1875B8AF}\(Default) = (no title provided)

                                       \StubPath = ""C:\WINDOWS\System32\rundll32.exe" "C:\Program Files\Messenger\msgsc.dll",ShowIconsUser" [MS]


HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Shell Extensions\Approved\

"{42071714-76d4-11d1-8b24-00a0c9068ff3}" = "Rozszerzenie CPL kadrowania wyświetlania"

  -> {HKLM...CLSID} = "Rozszerzenie CPL kadrowania wyświetlania"

                   \InProcServer32\(Default) = "deskpan.dll" [file not found]

"{88895560-9AA2-1069-930E-00AA0030EBC8}" = "Rozszerzenie ikony HyperTerminalu"

  -> {HKLM...CLSID} = "HyperTerminal Icon Ext"

                   \InProcServer32\(Default) = "C:\WINDOWS\System32\hticons.dll" ["Hilgraeve, Inc."]

"{B089FE88-FB52-11D3-BDF1-0050DA34150D}" = "NOD32 Context Menu Shell Extension"

  -> {HKLM...CLSID} = "NOD32 Context Menu Shell Extension"

                   \InProcServer32\(Default) = "C:\Program Files\Eset\nodshex.dll" [null data]


HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\Notify\

<> AtiExtEvent\DLLName = "Ati2evxx.dll" ["ATI Technologies Inc."]


HKLM\SOFTWARE\Classes\*\shellex\ContextMenuHandlers\

NOD32 Context Menu Shell Extension\(Default) = "{B089FE88-FB52-11D3-BDF1-0050DA34150D}"

  -> {HKLM...CLSID} = "NOD32 Context Menu Shell Extension"

                   \InProcServer32\(Default) = "C:\Program Files\Eset\nodshex.dll" [null data]


HKLM\SOFTWARE\Classes\Folder\shellex\ContextMenuHandlers\

NOD32 Context Menu Shell Extension\(Default) = "{B089FE88-FB52-11D3-BDF1-0050DA34150D}"

  -> {HKLM...CLSID} = "NOD32 Context Menu Shell Extension"

                   \InProcServer32\(Default) = "C:\Program Files\Eset\nodshex.dll" [null data]



Group Policies {policy setting}:

--------------------------------


Note: detected settings may not have any effect.


HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System\


"shutdownwithoutlogon" = (REG_DWORD) dword:0x00000001

{Shutdown: Allow system to be shut down without having to log on}


"undockwithoutlogon" = (REG_DWORD) dword:0x00000001

{Devices: Allow undock without having to log on}



Active Desktop and Wallpaper:

-----------------------------


Active Desktop may be disabled at this entry:

HKCU\Software\Microsoft\Windows\CurrentVersion\Explorer\ShellState


Displayed if Active Desktop disabled and wallpaper not set by Group Policy:

HKCU\Control Panel\Desktop\

"Wallpaper" = "C:\WINDOWS\ACD Wallpaper.bmp"



Winsock2 Service Provider DLLs:

-------------------------------


Namespace Service Providers


HKLM\SYSTEM\CurrentControlSet\Services\Winsock2\Parameters\NameSpace_Catalog5\Catalog_Entries\ {++}

000000000001\LibraryPath = "%SystemRoot%\System32\mswsock.dll" [MS]

000000000002\LibraryPath = "%SystemRoot%\System32\winrnr.dll" [MS]

000000000003\LibraryPath = "%SystemRoot%\System32\mswsock.dll" [MS]


Transport Service Providers


HKLM\SYSTEM\CurrentControlSet\Services\Winsock2\Parameters\Protocol_Catalog9\Catalog_Entries\ {++}

0000000000##\PackedCatalogItem (contains) DLL [Company Name], (at) ## range:

C:\WINDOWS\System32\imon.dll ["Eset "], 01 - 05, 19

%SystemRoot%\system32\mswsock.dll [MS], 06 - 08, 11 - 18

%SystemRoot%\system32\rsvpsp.dll [MS], 09 - 10



Running Services (Display Name, Service Name, Path {Service DLL}):

------------------------------------------------------------------


Ati HotKey Poller, Ati HotKey Poller, "C:\WINDOWS\System32\Ati2evxx.exe" ["ATI Technologies Inc."]

NOD32 Kernel Service, NOD32krn, ""C:\Program Files\Eset\nod32krn.exe"" ["Eset "]

SoundMAX Agent Service, SoundMAX Agent Service (default), "C:\Program Files\Analog Devices\SoundMAX\SMAgent.exe" ["Analog Devices, Inc."]



---------- (launch time: 2007-12-29 22:22:12)

<>: Suspicious data at a malware launch point.


+ This report excludes default entries except where indicated.

+ To see *everywhere* the script checks and *everything* it finds,

  launch it from a command prompt or a shortcut with the -all parameter.

+ To search all directories of local fixed drives for DESKTOP.INI

  DLL launch points, use the -supp parameter or answer "No" at the

  first message box and "Yes" at the second message box.

---------- (total run time: 54 seconds, including 3 seconds for message boxes)



[color=#00FF00]COMBO FIX[/color]


ComboFix 07-12-21.4 - jojojo 2007-12-29 22:18:58.2 - NTFSx86

Microsoft Windows XP Home Edition 5.1.2600.1.1250.1.1045.18.564 [GMT 1:00]

Running from: C:\Documents and Settings\jojojo\Pulpit\ComboFix.exe

.


((((((((((((((((((((((((((((((((((((((( Other Deletions )))))))))))))))))))))))))))))))))))))))))))))))))

.


C:\WINDOWS\system32\firewall.exe

.

---- Previous Run -------

.

C:\windows\system32\iexplore.exe


.

((((((((((((((((((((((((( Files Created from 2007-11-28 to 2007-12-29 )))))))))))))))))))))))))))))))

.


No new files created in this timespan


.

(((((((((((((((((((((((((((((((((((((((( Find3M Report ))))))))))))))))))))))))))))))))))))))))))))))))))))

.

2007-12-29 20:43	---------	d-----w	C:\Program Files\Gadu-Gadu

2007-12-29 20:24	---------	d-----w	C:\Program Files\ACD

2007-12-29 20:18	---------	d-----w	C:\Documents and Settings\jojojo\Dane aplikacji\Gadu-Gadu

2007-12-29 20:02	512,096	----a-w	C:\WINDOWS\system32\drivers\amon.sys

2007-12-29 20:02	298,104	----a-w	C:\WINDOWS\system32\imon.dll

2007-12-29 20:02	15,424	----a-w	C:\WINDOWS\system32\drivers\nod32drv.sys

2007-12-29 19:53	---------	d--h--w	C:\Program Files\InstallShield Installation Information

2007-12-29 19:53	---------	d-----w	C:\Program Files\ATI Technologies

2007-12-29 19:47	---------	d-----w	C:\Program Files\Common Files\InstallShield

2007-12-29 19:47	---------	d-----w	C:\Program Files\Analog Devices

2007-12-29 19:38	---------	d-----w	C:\Program Files\microsoft frontpage

2007-12-29 19:34	---------	d-----w	C:\Program Files\Usługi online

.


((((((((((((((((((((((((((((((((((((( Reg Loading Points ))))))))))))))))))))))))))))))))))))))))))))))))))

.

.

*Note* empty entries & legit default entries are not shown 

REGEDIT4


[HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]

"CTFMON.EXE"="C:\WINDOWS\System32\ctfmon.exe" [2003-04-16 13:00]


[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]

"Smapp"="C:\Program Files\Analog Devices\SoundMAX\SMTray.exe" [2003-05-05 08:57]

"ATIPTA"="C:\Program Files\ATI Technologies\ATI Control Panel\atiptaxx.exe" [2003-09-12 21:10]

"nod32kui"="C:\Program Files\Eset\nod32kui.exe" [2007-12-29 21:02]

"Windows Network Firewall"="C:\WINDOWS\System32\firewall.exe" []


[HKEY_USERS\.DEFAULT\Software\Microsoft\Windows\CurrentVersion\Run]

"CTFMON.EXE"="C:\WINDOWS\System32\CTFMON.EXE" [2003-04-16 13:00]



.

**************************************************************************


catchme 0.3.1333 W2K/XP/Vista - rootkit/stealth malware detector by Gmer, http://www.gmer.net

Rootkit scan 2007-12-29 22:20:59

Windows 5.1.2600 Dodatek Service Pack. 1 NTFS


scanning hidden processes ... 


scanning hidden autostart entries ...


scanning hidden files ... 


scan completed successfully 

hidden files: 0 


**************************************************************************

.

--------------------- DLLs Loaded Under Running Processes --------------------- 


PROCESS: C:\WINDOWS\system32\lsass.exe [5.01.2600.1106]

-> C:\Program Files\Eset\pr_imon.dll

.

Completion time: 2007-12-29 22:21:33 - machine was rebooted [jojojo]

Pozdrawiam, czekam na pomoc.

Tak ma to wyglądać

Asterisk

#2

Dzięki, wiem. Właśnie to doczytałem i miałem poprawić ,ale znów wysypał mi sie system. Na drugi raz będzie dobrze

#3 
O4 - HKLM\..\Run: [Windows Network Firewall] C:\WINDOWS\System32\firewall.exe

mamy wpis i plik do usunięcia

Daj log z ComboFix

#4

Niestety nie miałem już pliku firewall.exe w podanym miejscu. Był już w kwarantannie NODa. Do tego jeszcze coś mi się zrobiło, że nie miałem połączenia z netem.

Ponowny reinstal z formatem, na początku dobrze i nagle komunikat z NODa:

Nie wiem jak te syfy idą, czy to wina zarządcy sieci, czy czegoś innego? Może system? Ja mam xp. U mojej mamy jest neostrada na Windzie 98 i takie rzeczy się nie dzieją! Tam NOD praktycznie nie ma co robić.

Podaję logi:

HIJACK

COMBOFIX

SILENT RUNNERS

#5

Otwórz Notatnik i wklej w nim to:

Windows Registry Editor Version 5.00 


[-HKEY_CURRENT_USER\software\microsoft\windows\currentversion\explorer\mountpoints2]

Plik >>> Zapisz jako >>> Zmień rozszerzenie z TXT na Wszystkie pliki >>> Zapisz pod nazwą FIX.REG >>> kliknij dwa razy na utworzony plik FIX.REG i potwierdź dodanie do rejestru >>> restart.

C:\WINDOWS\system32\amq.exe - przeskanuj plik na http://virusscan.jotti.org/

#6

nie mam takiego pliku C:\WINDOWS\system32\amq.exe

Żeby było śmieszniej nie mam go nigdzie, nawet w kwarantannie NODa

#7

2007-12-30 10:27 483,328 ----a-w C:\WINDOWS\system32\amq.exe musi być :slight_smile:

#8

:frowning: a ja nie mam. szukałem w różny sposób i nic. jako wyszukaj i nic, wyświetliłem wszystkie pliki w folderze system32 i pomiędzy plikiem amcompat.tlb a amstream.dll nie mam nic :frowning:

#9

skopiowałem nawet adres w “uruchom” i nie znalazło

#10

Mój komputer >>> Narzędzia >>> Opcje folderów >>> Widok

Zaznaczone Pokaż ukryte pliki i foldery + odznaczone Ukryj chronione pliki systemu operacyjnego…

I jak będzie przeskanuj

#11

Od tego zacząłem i nie ma. Włączyłem ponownie ukrywanie i wyłączyłem jeszcze raz dla pewności i nie ma. Na prawdę nie ma!

Może zrobię format WSZYSTKICH partycji i zacznę od nowa, tylko jak i czym mam zabezpieczyć się, żeby znowu nie zawracać Wam głowy…?

Ciągle NOD coś znajduje, a ja wymiękam. :frowning:

#12

W takim układzie Daj log z ComboFix

#13

zrobiłem raz:

i nie mogłem odpalić netu, zrobiłem drugi raz:

i znowu nie mogłem odpalić netu. Teraz nic nie robiłem i jakoś to wysyłam.

#14

No i jesteś drugim na forum userem ktory ma najnowsza odmianę VUNDO. NA forum SE

Na forum były trzy przypadki tej infekcji (dwóch gości już sformatowało system, a trzeci = zaginął).

Metoda na razie jedna - format, albo reinstalacja + przeinstalowanie wszystkich programów :frowning:

#15

Czuję sie mwyróżniony. :smiley: Dziękuję! :smiley: biorę się do pracy. Pozdrawiam, mam nadzieję, że nie będę Wam często zawracał głowy, ale w razie czego nie omieszkam!

#16

No niestety wszystko zarażone na kompie. Pamiętaj, aby od razu zainstalować XP z SP2

#17

Jestem znowu. Zrobiłem format wszystkiego.

Mam nadzieję, że już nic nie mam. Przynajmniej na razie spokój.

Może jednak ktoś rzuci na to okiem?

ComboFix 07-12-21.4 - Paweł Fabiszewski 2007-12-30 22:50:32.2 - NTFSx86

Microsoft Windows XP Home Edition 5.1.2600.1.1250.1.1045.18.537 [GMT 1:00]

Running from: C:\Documents and Settings\Paweł Fabiszewski\Pulpit\ComboFix.exe

.


((((((((((((((((((((((((( Files Created from 2007-11-28 to 2007-12-30 )))))))))))))))))))))))))))))))

.


No new files created in this timespan


.

(((((((((((((((((((((((((((((((((((((((( Find3M Report ))))))))))))))))))))))))))))))))))))))))))))))))))))

.

2007-12-30 21:17	---------	d-----w	C:\Documents and Settings\Paweł Fabiszewski\Dane aplikacji\Gadu-Gadu

2007-12-30 21:16	---------	d-----w	C:\Program Files\Gadu-Gadu

2007-12-30 21:00	512,096	----a-w	C:\WINDOWS\system32\drivers\amon.sys

2007-12-30 21:00	298,104	----a-w	C:\WINDOWS\system32\imon.dll

2007-12-30 21:00	15,424	----a-w	C:\WINDOWS\system32\drivers\nod32drv.sys

2007-12-30 20:47	---------	d--h--w	C:\Program Files\InstallShield Installation Information

2007-12-30 20:47	---------	d-----w	C:\Program Files\ATI Technologies

2007-12-30 20:42	---------	d-----w	C:\Program Files\Common Files\InstallShield

2007-12-30 20:42	---------	d-----w	C:\Program Files\Analog Devices

2007-12-30 20:31	---------	d-----w	C:\Program Files\microsoft frontpage

2007-12-30 20:27	---------	d-----w	C:\Program Files\Usługi online

.


((((((((((((((((((((((((((((((((((((( Reg Loading Points ))))))))))))))))))))))))))))))))))))))))))))))))))

.

.

*Note* empty entries & legit default entries are not shown 

REGEDIT4


[HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]

"CTFMON.EXE"="C:\WINDOWS\System32\ctfmon.exe" [2003-04-16 13:00]


[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]

"Smapp"="C:\Program Files\Analog Devices\SoundMAX\SMTray.exe" [2003-05-05 08:57]

"ATIPTA"="C:\Program Files\ATI Technologies\ATI Control Panel\atiptaxx.exe" [2003-09-12 21:10]

"nod32kui"="C:\Program Files\Eset\nod32kui.exe" [2007-12-30 22:00]


[HKEY_USERS\.DEFAULT\Software\Microsoft\Windows\CurrentVersion\Run]

"CTFMON.EXE"="C:\WINDOWS\System32\CTFMON.EXE" [2003-04-16 13:00]



*Newly Created Service* - CATCHME 

*Newly Created Service* - NOD32DRV 

*Newly Created Service* - PROCEXP90 

.

**************************************************************************


catchme 0.3.1333 W2K/XP/Vista - rootkit/stealth malware detector by Gmer, http://www.gmer.net

Rootkit scan 2007-12-30 22:51:02

Windows 5.1.2600 Dodatek Service Pack. 1 NTFS


scanning hidden processes ... 


scanning hidden autostart entries ...


scanning hidden files ... 


scan completed successfully 

hidden files: 0 


**************************************************************************

.

--------------------- DLLs Loaded Under Running Processes --------------------- 


PROCESS: C:\WINDOWS\system32\lsass.exe [5.01.2600.1106]

-> C:\Program Files\Eset\pr_imon.dll

.

Completion time: 2007-12-30 22:51:27

Logfile of Trend Micro HijackThis v2.0.2

Scan saved at 22:52:44, on 2007-12-30

Platform: Windows XP Dodatek SP. 1 (WinNT 5.01.2600)

MSIE: Internet Explorer v6.00 SP1 (6.00.2800.1106)

Boot mode: Normal


Running processes:

C:\WINDOWS\System32\smss.exe

C:\WINDOWS\system32\winlogon.exe

C:\WINDOWS\system32\services.exe

C:\WINDOWS\system32\lsass.exe

C:\WINDOWS\System32\Ati2evxx.exe

C:\WINDOWS\system32\svchost.exe

C:\WINDOWS\System32\svchost.exe

C:\WINDOWS\system32\spoolsv.exe

C:\WINDOWS\system32\Ati2evxx.exe

C:\Program Files\Analog Devices\SoundMAX\SMTray.exe

C:\Program Files\ATI Technologies\ATI Control Panel\atiptaxx.exe

C:\Program Files\Eset\nod32kui.exe

C:\WINDOWS\System32\ctfmon.exe

C:\Program Files\Eset\nod32krn.exe

C:\Program Files\Analog Devices\SoundMAX\SMAgent.exe

C:\WINDOWS\System32\wuauclt.exe

C:\Program Files\Gadu-Gadu\gg.exe

C:\Program Files\Gadu-Gadu\gg.exe

C:\WINDOWS\explorer.exe

C:\Documents and Settings\Paweł Fabiszewski\Ustawienia lokalne\Temp\Katalog tymczasowy 2 dla HiJackThis.zip\HijackThis.exe


R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Łącza

O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINDOWS\System32\msdxm.ocx

O4 - HKLM\..\Run: [Smapp] C:\Program Files\Analog Devices\SoundMAX\SMTray.exe

O4 - HKLM\..\Run: [ATIPTA] C:\Program Files\ATI Technologies\ATI Control Panel\atiptaxx.exe

O4 - HKLM\..\Run: [nod32kui] "C:\Program Files\Eset\nod32kui.exe" /WAITSERVICE

O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\ctfmon.exe

O4 - HKUS\S-1-5-19\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 'USŁUGA LOKALNA')

O4 - HKUS\S-1-5-20\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 'USŁUGA SIECIOWA')

O4 - HKUS\S-1-5-18\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 'SYSTEM')

O4 - HKUS\.DEFAULT\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 'Default user')

O9 - Extra button: Related - {c95fe080-8f5d-11d2-a20b-00aa003c157a} - C:\WINDOWS\web\related.htm

O9 - Extra 'Tools' menuitem: Show &Related Links - {c95fe080-8f5d-11d2-a20b-00aa003c157a} - C:\WINDOWS\web\related.htm

O23 - Service: Ati HotKey Poller - Unknown owner - C:\WINDOWS\System32\Ati2evxx.exe

O23 - Service: ATI Smart - Unknown owner - C:\WINDOWS\system32\ati2sgag.exe

O23 - Service: NOD32 Kernel Service (NOD32krn) - Eset - C:\Program Files\Eset\nod32krn.exe

O23 - Service: SoundMAX Agent Service (SoundMAX Agent Service (default)) - Analog Devices, Inc. - C:\Program Files\Analog Devices\SoundMAX\SMAgent.exe


--

End of file - 2576 bytes

"Silent Runners.vbs", revision 55, http://www.silentrunners.org/

Operating System: Windows XP

Output limited to non-default values, except where indicated by "{++}"



Startup items buried in registry:

---------------------------------


HKCU\Software\Microsoft\Windows\CurrentVersion\Run\ {++}

"CTFMON.EXE" = "C:\WINDOWS\System32\ctfmon.exe" [MS]


HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\ {++}

"Smapp" = "C:\Program Files\Analog Devices\SoundMAX\SMTray.exe" ["Analog Devices, Inc."]

"ATIPTA" = "C:\Program Files\ATI Technologies\ATI Control Panel\atiptaxx.exe" ["ATI Technologies, Inc."]

"nod32kui" = ""C:\Program Files\Eset\nod32kui.exe" /WAITSERVICE" ["Eset "]


HKLM\SOFTWARE\Microsoft\Active Setup\Installed Components\

{306D6C21-C1B6-4629-986C-E59E1875B8AF}\(Default) = (no title provided)

                                       \StubPath = ""C:\WINDOWS\System32\rundll32.exe" "C:\Program Files\Messenger\msgsc.dll",ShowIconsUser" [MS]


HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Shell Extensions\Approved\

"{42071714-76d4-11d1-8b24-00a0c9068ff3}" = "Rozszerzenie CPL kadrowania wyświetlania"

  -> {HKLM...CLSID} = "Rozszerzenie CPL kadrowania wyświetlania"

                   \InProcServer32\(Default) = "deskpan.dll" [file not found]

"{88895560-9AA2-1069-930E-00AA0030EBC8}" = "Rozszerzenie ikony HyperTerminalu"

  -> {HKLM...CLSID} = "HyperTerminal Icon Ext"

                   \InProcServer32\(Default) = "C:\WINDOWS\System32\hticons.dll" ["Hilgraeve, Inc."]

"{B089FE88-FB52-11D3-BDF1-0050DA34150D}" = "NOD32 Context Menu Shell Extension"

  -> {HKLM...CLSID} = "NOD32 Context Menu Shell Extension"

                   \InProcServer32\(Default) = "C:\Program Files\Eset\nodshex.dll" [null data]


HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\Notify\

<> AtiExtEvent\DLLName = "Ati2evxx.dll" ["ATI Technologies Inc."]


HKLM\SOFTWARE\Classes\*\shellex\ContextMenuHandlers\

NOD32 Context Menu Shell Extension\(Default) = "{B089FE88-FB52-11D3-BDF1-0050DA34150D}"

  -> {HKLM...CLSID} = "NOD32 Context Menu Shell Extension"

                   \InProcServer32\(Default) = "C:\Program Files\Eset\nodshex.dll" [null data]


HKLM\SOFTWARE\Classes\Folder\shellex\ContextMenuHandlers\

NOD32 Context Menu Shell Extension\(Default) = "{B089FE88-FB52-11D3-BDF1-0050DA34150D}"

  -> {HKLM...CLSID} = "NOD32 Context Menu Shell Extension"

                   \InProcServer32\(Default) = "C:\Program Files\Eset\nodshex.dll" [null data]

Będę wdzięczny za info

#18

Teraz jest Ok

#19

taki mam wpis w NODzie

2007-12-30 23:09:49 AMON plik C:\WINDOWS\system32\aav.exe IRC/SdBot trojan Kwarantanna - usunięty ZARZĄDZANIE NT\SYSTEM Zdarzenie miało miejsce podczas próby tworzenia nowego pliku przez program: C:\WINDOWS\system32\svchost.exe. Plik został przeniesiony do kwarantanny.

#20

To daj teraz log z Combo, co ty zgrywasz na kompa?