Co zrobić z wirusami, komunikat o wysyłaniu m-eili

Dla specjalistów Bezpieczeństwo
#1

Witam.

Norton AV wyrzuca mnóstwo komunikatów o sprawdzaniu wysyłanych e-maili. Problem w tym, że ja tych maili nie wysyłam, adresy też są jakies dziwne. komunikatów wyyskakuje około 20 w ciągu 15 sek.

proszę o pomoc

poniżej log z combofixa

ComboFix 08-05-15.3 - EWAGA 2008-05-18 10:51:51.2 - FAT32x86

Microsoft Windows XP Home Edition 5.1.2600.2.1250.48.1045.18.91 [GMT 1:00]

Running from: C:\Documents and Settings\EWAGA\Pulpit\ComboFix.exe

WARNING -THIS MACHINE DOES NOT HAVE THE RECOVERY CONSOLE INSTALLED !!

.

((((((((((((((((((((((((( Files Created from 2008-04-18 to 2008-05-18 )))))))))))))))))))))))))))))))

.

2008-05-18 10:46 . 2008-05-18 10:46

2008-05-16 15:17 . 2008-05-16 15:33 29,696 --a------ C:\blok.exe

2008-05-08 09:41 . 2008-05-09 09:06 30,208 --a------ C:\mont.exe

2008-05-03 18:57 . 2008-05-03 18:58

2008-05-03 18:13 . 2008-05-03 18:13

2008-05-02 06:44 . 2008-05-02 13:28 1,903 --a------ C:\WINDOWS\CDPLAYER.INI

2008-05-01 22:49 . 2008-05-01 22:49 12,800 --a------ C:\121.rgr

2008-05-01 22:06 . 2008-05-01 22:06 9,728 --a------ C:\1.rgr

2008-04-25 15:46 . 2008-04-25 15:47 21,873 --a------ C:\WINDOWS\system32\snfgypp.exe

2008-04-25 15:25 . 2008-04-25 15:25 21,873 --a------ C:\WINDOWS\system32\jfkfiws.exe

2008-04-25 13:04 . 2008-04-25 13:04 21,873 --a------ C:\WINDOWS\system32\ejvytsfq.exe

2008-04-25 12:59 . 2008-04-25 12:59 21,873 --a------ C:\WINDOWS\system32\rtlmguwe.exe

2008-04-25 09:28 . 2008-04-25 09:28 21,873 --a------ C:\WINDOWS\system32\utdlwrsx.exe

2008-04-25 07:02 . 2008-04-25 07:02 21,873 --a------ C:\WINDOWS\system32\bujxu.exe

2008-04-24 06:56 . 2008-04-24 06:56 11,764 --a------ C:\WINDOWS\system32\nggm.exe

2008-04-23 21:00 . 2008-04-23 21:00 21,873 --a------ C:\WINDOWS\system32\badnmkl.exe

2008-04-23 18:22 . 2008-05-16 15:33 16,636 --a------ C:\WINDOWS\system32\drivers\hosts

2008-04-23 15:09 . 2008-04-23 15:09 21,142 --a------ C:\WINDOWS\system32\cyuytks.exe

2008-04-23 15:01 . 2008-04-23 15:01 21,142 --a------ C:\WINDOWS\system32\jhyfbaf.exe

2008-04-23 09:10 . 2008-05-15 07:46 29,696 --a------ C:\winhost.exe

2008-04-23 07:20 . 2008-04-23 07:21 21,873 --a------ C:\WINDOWS\system32\gdacqf.exe

.

(((((((((((((((((((((((((((((((((((((((( Find3M Report ))))))))))))))))))))))))))))))))))))))))))))))))))))

.

2008-04-14 17:20 --------- d-----w C:\Program Files\SkanerOnline

2008-03-29 12:31 --------- d-----w C:\Documents and Settings\EWAGA\Dane aplikacji\Disney Interactive

2008-03-25 04:52 621,344 ----a-w C:\WINDOWS\system32\mswstr10.dll

2008-03-25 04:52 621,344 ----a-w C:\WINDOWS\system32\dllcache\mswstr10.dll

2008-03-25 04:52 178,976 ----a-w C:\WINDOWS\system32\msjint40.dll

2008-03-25 04:52 178,976 ----a-w C:\WINDOWS\system32\dllcache\msjint40.dll

2008-03-20 08:09 1,845,504 ----a-w C:\WINDOWS\system32\win32k.sys

2008-03-20 08:09 1,845,504 ----a-w C:\WINDOWS\system32\dllcache\win32k.sys

2008-03-19 01:04 249,856 ------w C:\WINDOWS\Setup1.exe

2008-03-19 01:04 --------- d-----w C:\Program Files\GTT

2008-03-19 01:03 73,216 ----a-w C:\WINDOWS\ST6UNST.EXE

2008-03-18 20:51 --------- d-----w C:\Program Files\Raster Design 2006

2008-03-18 20:44 --------- d-----w C:\Program Files\AnswerWorks 4.0

2008-03-18 20:41 --------- d-----w C:\Program Files\AutoCAD 2006

2008-03-18 20:41 --------- d-----w C:\Documents and Settings\EWAGA\Dane aplikacji\Autodesk

2008-03-18 20:41 --------- d-----w C:\Documents and Settings\All Users\Dane aplikacji\Autodesk

2008-03-18 20:38 --------- d-----w C:\Program Files\Common Files\Autodesk Shared

2008-03-18 20:38 --------- d-----w C:\Program Files\Autodesk

2008-03-09 20:22 2,829 ----a-w C:\WINDOWS\War3Unin.pif

2008-03-09 20:22 126,976 ----a-w C:\WINDOWS\War3Unin.exe

2008-03-01 17:32 3,591,680 ------w C:\WINDOWS\system32\dllcache\mshtml.dll

2008-02-29 08:59 70,656 ------w C:\WINDOWS\system32\dllcache\ie4uinit.exe

2008-02-29 08:59 625,664 ------w C:\WINDOWS\system32\dllcache\iexplore.exe

2008-02-22 10:00 13,824 ------w C:\WINDOWS\system32\dllcache\ieudinit.exe

2008-02-20 06:51 282,624 ----a-w C:\WINDOWS\system32\gdi32.dll

2008-02-20 06:51 282,624 ----a-w C:\WINDOWS\system32\dllcache\gdi32.dll

2008-02-20 05:38 45,568 ----a-w C:\WINDOWS\system32\dnsrslvr.dll

2008-02-20 05:38 45,568 ----a-w C:\WINDOWS\system32\dllcache\dnsrslvr.dll

2008-02-20 05:38 148,992 ----a-w C:\WINDOWS\system32\dllcache\dnsapi.dll

.

((((((((((((((((((((((((((((( snapshot@2008-05-17_15.16.21.57 )))))))))))))))))))))))))))))))))))))))))

.

  • 2008-05-17 14:12:02 2,048 --s-a-w C:\WINDOWS\bootstat.dat
  • 2008-05-18 09:46:58 2,048 --s-a-w C:\WINDOWS\bootstat.dat

.

((((((((((((((((((((((((((((((((((((( Reg Loading Points ))))))))))))))))))))))))))))))))))))))))))))))))))

.

.

*Note* empty entries legit default entries are not shown

REGEDIT4

[HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]

“CTFMON.EXE”=“C:\WINDOWS\system32\ctfmon.exe” [2004-08-04 20:00 15360]

“MSMSGS”=“C:\Program Files\Messenger\msmsgs.exe” [2004-10-13 16:24 1694208]

“Skype”=“C:\Program Files\Skype\Phone\Skype.exe” [2007-01-22 15:23 25368104]

“swg”=“C:\Program Files\Google\GoogleToolbarNotifier\GoogleToolbarNotifier.exe” [2007-06-29 07:33 68856]

“updateMgr”=“C:\Program Files\Adobe\Acrobat 7.0\Reader\AdobeUpdateManager.exe” [2006-03-30 16:45 313472]

“Gadu-Gadu”=“C:\Documents and Settings\EWAGA\Pulpit\Gadu-Gadu\gg.exe” [2008-03-20 11:04 2127296]

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]

“RTHDCPL”=“RTHDCPL.EXE” [2005-12-19 14:52 15797248 C:\WINDOWS\RTHDCPL.exe]

“AzMixerSel”=“C:\Program Files\Realtek\InstallShield\AzMixerSel.exe” [2005-12-21 15:02 53248]

“SynTPEnh”=“C:\Program Files\Synaptics\SynTP\SynTPEnh.exe” [2005-07-20 15:05 729177]

“IMJPMIG8.1”=“C:\WINDOWS\IME\imjp8_1\IMJPMIG.exe” [2004-08-04 20:00 208952]

“MSPY2002”=“C:\WINDOWS\system32\IME\PINTLGNT\ImScInst.exe” [2004-08-04 20:00 59392]

“PHIME2002ASync”=“C:\WINDOWS\system32\IME\TINTLGNT\TINTSETP.exe” [2004-08-04 20:00 455168]

“PHIME2002A”=“C:\WINDOWS\system32\IME\TINTLGNT\TINTSETP.exe” [2004-08-04 20:00 455168]

“PCMService”=“C:\Program Files\Acer\Acer Arcade\PCMService.exe” [2005-12-13 21:31 151552]

“igfxtray”=“C:\WINDOWS\system32\igfxtray.exe” [2005-11-28 13:55 98304]

“igfxhkcmd”=“C:\WINDOWS\system32\hkcmd.exe” [2005-11-28 13:52 77824]

“igfxpers”=“C:\WINDOWS\system32\igfxpers.exe” [2005-11-28 13:55 118784]

“eDataSecurity Loader”=“C:\Acer\Empowering Technology\eDataSecurity\eDSloader.exe” [2005-12-27 15:50 69632]

“ADMTray.exe”=“C:\Acer\Empowering Technology\admtray.exe” [2005-10-24 16:45 2462208]

“ntiMUI”=“C:\Program Files\NewTech Infosystems\NTI CD DVD-Maker 7\ntiMUI.exe” [2005-05-11 17:15 45056]

“ccApp”=“C:\Program Files\Common Files\Symantec Shared\ccApp.exe” [2006-11-21 17:38 52840]

“NvCplDaemon”=“C:\WINDOWS\system32\NvCpl.dll” [2006-01-04 09:28 7393280]

“nwiz”=“nwiz.exe” [2006-01-04 09:28 1519616 C:\WINDOWS\system32\nwiz.exe]

“NvMediaCenter”=“C:\WINDOWS\system32\NvMcTray.dll” [2006-01-04 09:28 86016]

“BluetoothAuthenticationAgent”=“bthprops.cpl” [2004-08-04 20:00 110592 C:\WINDOWS\system32\bthprops.cpl]

“ePower_DMC”=“C:\Acer\Empowering Technology\ePower\ePower_DMC.exe” [2006-01-17 18:28 344064]

“Acer ePower Management”=“C:\Acer\Empowering Technology\ePower\Acer ePower Management.exe” [2006-01-16 11:58 3080192]

“LManager”=“C:\PROGRA~1\LAUNCH~1\LManager.exe” [2006-03-28 18:31 593920]

“eRecoveryService”=“C:\Acer\Empowering Technology\eRecovery\Monitor.exe” [2006-01-24 18:00 397312]

“LVCOMSX”=“C:\WINDOWS\system32\LVCOMSX.EXE” [2006-04-06 19:22 225280]

“LogitechCameraAssistant”=“C:\Program Files\Acer\OrbiCam\CameraAssistant.exe” [2006-04-06 19:00 331776]

“LogitechVideo[inspector]”=“C:\Program Files\Acer\OrbiCam\InstallHelper.exe” [2006-04-06 19:06 73728]

“LogitechCameraService(E)”=“C:\WINDOWS\system32\ElkCtrl.exe” [2004-11-01 18:22 262144]

“SunJavaUpdateSched”=“C:\Program Files\Java\jre1.6.0_03\bin\jusched.exe” [2007-09-25 01:11 132496]

“QuickTime Task”=“C:\Program Files\QuickTime\QTTask.exe” [2007-12-11 10:56 286720]

“DAEMON Tools”=“C:\Program Files\DAEMON Tools\daemon.exe” [2005-11-08 22:00 128920]

“Local Security Authority Service”=“C:\WINDOWS\system32\lssas.exe” [2007-06-13 14:23 29776]

“NvGraphicsInterface”=“C:\blok.exe” [2008-05-16 15:33 29696]

[HKEY_USERS.DEFAULT\Software\Microsoft\Windows\CurrentVersion\Run]

“CTFMON.EXE”=“C:\WINDOWS\system32\CTFMON.EXE” [2004-08-04 20:00 15360]

C:\Documents and Settings\EWAGA\Menu Start\Programy\Autostart\

OpenOffice.org 2.3.lnk - C:\Program Files\OpenOffice.org 2.3\program\quickstart.exe [2007-08-17 21:57:56 393216]

C:\Documents and Settings\All Users\Menu Start\Programy\Autostart\

Adobe Reader Speed Launch.lnk - C:\Program Files\Adobe\Acrobat 7.0\Reader\reader_sl.exe [2005-09-23 22:05:26 29696]

Bluetooth.lnk - C:\Program Files\WIDCOMM\Bluetooth Software\BTTray.exe [2005-09-16 15:02:14 610365]

AutoCAD Startup Accelerator.lnk - C:\Program Files\Common Files\Autodesk Shared\acstart16.exe [2005-03-05 14:18:22 10872]

[HKEY_LOCAL_MACHINE\software\microsoft\windows nt\currentversion\drivers32]

“VIDC.I420”= i263_32.drv

“msacm.mkdmp3enc”= C:\PROGRA~1\Acer\ACERAR~1\Kernel\Burner\MKDMP3Enc.ACM

[HKEY_LOCAL_MACHINE\software\microsoft\security center]

“AntiVirusDisableNotify”=dword:00000001

[HKEY_LOCAL_MACHINE\software\microsoft\security center\Monitoring\SymantecAntiVirus]

“DisableMonitoring”=dword:00000001

[HKEY_LOCAL_MACHINE\software\microsoft\security center\Monitoring\SymantecFirewall]

“DisableMonitoring”=dword:00000001

[HKLM~\services\sharedaccess\parameters\firewallpolicy\standardprofile\AuthorizedApplications\List]

“%windir%\system32\sessmgr.exe”=

“C:\Program Files\Acer\Acer Arcade\PCMService.exe”=

“C:\WINDOWS\System32\dpvsetup.exe”=

“C:\totalcmd\TOTALCMD.EXE”=

“C:\Program Files\eMule\emule.exe”=

“C:\Program Files\ESTsoft\ALFTP\ALFTP.exe”=

“%windir%\Network Diagnostic\xpnetdiag.exe”=

“C:\Program Files\Bentley\Program\MicroStation\ustation.exe”=

“D:\Warcraft III\Warcraft III.exe”=

“C:\WINDOWS\system32\lssas.exe”=

“c:\mont.exe”= C:\mont.exe

“c:\winhost.exe”= C:\winhost.exe

“c:\blok.exe”= C:\blok.exe

“C:\Program Files\Skype\Phone\Skype.exe”=

R1 OsaFsLoc;OsaFsLoc;C:\WINDOWS\system32\drivers\OsaFsLoc.sys [2005-10-15 18:20]

R2 EpmPsd;Acer EPM Power Scheme Driver;C:\WINDOWS\system32\drivers\epm-psd.sys [2006-01-23 12:41]

R2 EpmShd;Acer EPM System Hardware Driver;C:\WINDOWS\system32\drivers\epm-shd.sys [2006-01-23 12:41]

R2 int15.sys;int15.sys;C:\Acer\Empowering Technology\eRecovery\int15.sys [2005-01-13 14:46]

R2 osaio;osaio;C:\WINDOWS\system32\drivers\osaio.sys [2005-06-30 16:58]

R2 osanbm;osanbm;C:\WINDOWS\system32\drivers\osanbm.sys [2005-01-14 15:57]

R3 lv321av;Logitech USB PC Camera (VC0321);C:\WINDOWS\system32\DRIVERS\lv321av.sys [2006-04-06 03:46]

R3 LVPrcMon;Logitech LVPrcMon Driver;C:\WINDOWS\system32\drivers\LVPrcMon.sys [2006-04-06 19:30]

R3 NdisFilt;OSA NdisFilter Protocol;C:\WINDOWS\system32\Drivers\NdisFilt.sys [2005-09-13 15:34]

S3 usbscan;Sterownik skanera USB;C:\WINDOWS\system32\DRIVERS\usbscan.sys [2004-08-03 22:58]

S3 USBSTOR;Sterownik magazynu masowego USB;C:\WINDOWS\system32\DRIVERS\USBSTOR.SYS [2004-08-04 20:00]

*Newly Created Service* - CATCHME

[HKEY_LOCAL_MACHINE\software\microsoft\active setup\installed components{28ABC5C0-4FCB-11CF-AAX5-81CX1C635612}]

C:\RECYCLER\S-1-5-21-1482476501-1644491937-682003330-1013\isi32.exe

.

Contents of the ‘Scheduled Tasks’ folder

“2008-05-16 19:04:52 C:\WINDOWS\Tasks\Norton AntiVirus - Run Full System Scan - EWAGA.job”

  • C:\PROGRA~1\NORTON~1\Navw32.exef/TASK:

“2008-05-17 16:41:04 C:\WINDOWS\Tasks\AppleSoftwareUpdate.job”

  • C:\Program Files\Apple Software Update\SoftwareUpdate.exe

.

**************************************************************************

catchme 0.3.1361 W2K/XP/Vista - rootkit/stealth malware detector by Gmer, http://www.gmer.net

Rootkit scan 2008-05-18 10:54:32

Windows 5.1.2600 Dodatek Service Pack 2 FAT NTAPI

scanning hidden processes …

scanning hidden autostart entries …

scanning hidden files …

scan completed successfully

hidden files: 0

**************************************************************************

.

Completion time: 2008-05-18 10:55:37

ComboFix-quarantined-files.txt 2008-05-18 09:55:28

ComboFix2.txt 2008-05-17 14:17:04

Pre-Run: 8,827,830,272 bajtów wolnych

Post-Run: 8,795,324,416 bajtów wolnych

180 — E O F — 2008-05-16 15:42:14

pozdrawiam

#2

Pobierz ComboFix, ale nie uruchamiaj

Wklej do notatnika:

File::

C:\blok.exe

C:\mont.exe

C:\121.rgr

C:\1.rgr

C:\WINDOWS\system32\snfgypp.exe

C:\WINDOWS\system32\jfkfiws.exe

C:\WINDOWS\system32\ejvytsfq.exe

C:\WINDOWS\system32\rtlmguwe.exe

C:\WINDOWS\system32\utdlwrsx.exe

C:\WINDOWS\system32\bujxu.exe

C:\WINDOWS\system32\nggm.exe

C:\WINDOWS\system32\badnmkl.exe

C:\WINDOWS\system32\drivers\hosts

C:\WINDOWS\system32\cyuytks.exe

C:\WINDOWS\system32\jhyfbaf.exe

C:\winhost.exe

C:\WINDOWS\system32\gdacqf.exe


Folder::

C:\FOUND.007

Plik -> zapisz jako -> CFScript.txt (najwygodniej będzie, jeśli zapiszesz w takiej lokalizacji, by ikonka CFScript.txt znalazła się obok ikonki ComboFix.exe)

Przeciągnij i upuść ikonkę CFScript.txt na ikonkę ComboFix.exe tak jak tu ->

02f8f1e3c410a4cc.gif

Rozpocznie się usuwanie i powstanie log, daj ten log na forum.

Logi dajesz na http://www.wklej.org

#3

gabrysix ,

Zapoznaj się z tematem Ważny komunikat dotyczący tytułowania tematów - popraw tytuł na konkretny, mówiący o problemie. W celu dokonania zaleconej korekty - proszę użyć przycisku ac7a4cd89050aa6e.gif przy poście otwierającym ten temat.

Zignorowanie zalecenia będzie skutkowało usunięciem tematu do Kosza.

W związku ze zmianą, jaka obowiązuje przy wklejaniu logów w tym dziale, przeczytaj i zastosuj się do Tematu

#4

http://www.wklej.org/id/18886d2256

dzięki

#5

Otwórz notatnik i wklej

zapisz jako CFScript.txt (zapisz by ikonka CFScript.txt była obok ikonki ComboFix.exe) >> Przeciągnij i upuść ikonkę CFScript.txt na ikonkę ComboFix.exe

http://img.wklej.org/images/88953CFScri … iemoes.gif

Powinno rozpocząć się usuwanie

Potem log z usuwania Combofix

:slight_smile:

#6

http://www.wklej.org/id/20b7922bc1

nie wiem jak ale robicie dobrą robotę chłopaki :slight_smile:

wielkie dzięki

#7

a gdzie log Combofixa?

:slight_smile:

#8

:slight_smile:

na wkleju kropka orgu :wink:

jeszcze raz linka

http://www.wklej.org/id/20b7922bc1

#9

no ładnie usunęło

Log wygląda na czysty

zrób optymalizacje uruchamiania http://cybertrash.netarteria.pl/cyber/index.php/topic,378.0.html

usuń ręcznie folder C: \Qoobox usuń instalkę Combofix z dysku.

Wyłącz I włącz przywracanie systemu na wszystkich dyskach.http://support.microsoft.com/kb/310405/pl

przeskanuj obszar Mój komputer http://www.kaspersky.pl/virusscanner.html pokaż raport stronę uruchomić przez IE

:slight_smile:

#10

trochę pozmieniałem. dlaczego trzeba usuwać instalkę combo ?

no właśnie włączyć czy wyłączyć ?? obecnie jest włączone przywracanie systemu

no trochę to trwało… wyniki poniżej nie są zachwycające

http://www.wklej.org/id/2e66f101ea

#11

Bo nie które wntywirusy, widzą tam wirusa, a poza tym bardzo często wychodzi nowa wersja

Usuń pliki z tego folderu lub wyczyść kwarantannę Norton AntiVirus

Opróżnij kosz na wszystkich dyskach

Wyłącz i Włącz przywracanie systemu na wszystkich dyskach. Instrukcja