Kaspersky wykrył wirusa, którego nie potrafie usunąć, pojawia się komunikat, że znajduje się w plikach złożonych. Wyłączyłam przywracanie systemu na wszystkich dyskach, ale po ponownym przeskanowaniu kasperskim nadal nie mogę ich usunąć. Co robić?
Wyłącz i włącz przywracanie systemu na wszystkich dyskach. Instrukcja
Przeskanuj obszar całego komputera http://www.kaspersky.pl/virusscanner.html (uruchom przez IE) Daj raport z niego na forum
Przywracanie systemu jest już włączone
oto raport:
15 październik 2008 12:22:17
System operacyjny: Microsoft Windows XP Professional, Dodatek Service Pack 2 (Build 2600)
Kaspersky Online Scanner wersja: 5.0.98.1
Ostatnia aktualizacja Kaspersky Anti-Virus14/10/2008
Liczba wpisów w bazie danych Kaspersky Anti-Virus1310847
Ustawienia skanowania
Skanowanie przy użyciu następujących baz danych rozszerzone
Skanuj archiwa tak
Skanuj pocztowe bazy danych tak
Obszar skanowania Mój komputer
A:\
C:\
D:\
E:\
Statystyki skanowania
Liczba skanowanych obiektów 33943
Liczba wykrytych wirusów 1
Liczba zainfekowanych obiektów 1
Liczba podejrzanych obiektów 0
Czas trwania skanowania 01:30:34
Nazwa zainfekowanego obiektu Nazwa wirusa Ostatnie działanie
C:\Documents and Settings\All Users\Dane aplikacji\avg8\AvgAm\avgam.lck Object is locked pominięty
C:\Documents and Settings\All Users\Dane aplikacji\avg8\emc\Log\emc.log Object is locked pominięty
C:\Documents and Settings\All Users\Dane aplikacji\avg8\Log\avgam.log Object is locked pominięty
C:\Documents and Settings\All Users\Dane aplikacji\avg8\Log\avgcore.log Object is locked pominięty
C:\Documents and Settings\All Users\Dane aplikacji\avg8\Log\avgcore.log.1 Object is locked pominięty
C:\Documents and Settings\All Users\Dane aplikacji\avg8\Log\avglng.log Object is locked pominięty
C:\Documents and Settings\All Users\Dane aplikacji\avg8\Log\avgns.log Object is locked pominięty
C:\Documents and Settings\All Users\Dane aplikacji\avg8\Log\avgrs.log Object is locked pominięty
C:\Documents and Settings\All Users\Dane aplikacji\avg8\Log\avgsched.log Object is locked pominięty
C:\Documents and Settings\All Users\Dane aplikacji\avg8\Log\avgwd.log Object is locked pominięty
C:\Documents and Settings\Gawel\Cookies\index.dat Object is locked pominięty
C:\Documents and Settings\Gawel\ntuser.dat Object is locked pominięty
C:\Documents and Settings\Gawel\NTUSER.DAT.LOG Object is locked pominięty
C:\Documents and Settings\Gawel\Ustawienia lokalne\Dane aplikacji\Adobe\Acrobat\8.0\Updater\updater.log Object is locked pominięty
C:\Documents and Settings\Gawel\Ustawienia lokalne\Dane aplikacji\Adobe\Updater5\aumLib.log Object is locked pominięty
C:\Documents and Settings\Gawel\Ustawienia lokalne\Dane aplikacji\Microsoft\Windows\UsrClass.dat Object is locked pominięty
C:\Documents and Settings\Gawel\Ustawienia lokalne\Dane aplikacji\Microsoft\Windows\UsrClass.dat.LOG Object is locked pominięty
C:\Documents and Settings\Gawel\Ustawienia lokalne\Historia\History.IE5\index.dat Object is locked pominięty
C:\Documents and Settings\Gawel\Ustawienia lokalne\Temp\AcrF994.tmp Object is locked pominięty
C:\Documents and Settings\Gawel\Ustawienia lokalne\Temporary Internet Files\Content.IE5\index.dat Object is locked pominięty
C:\Documents and Settings\LocalService\Cookies\index.dat Object is locked pominięty
C:\Documents and Settings\LocalService\NTUSER.DAT Object is locked pominięty
C:\Documents and Settings\LocalService\ntuser.dat.LOG Object is locked pominięty
C:\Documents and Settings\LocalService\Ustawienia lokalne\Dane aplikacji\Microsoft\Windows\UsrClass.dat Object is locked pominięty
C:\Documents and Settings\LocalService\Ustawienia lokalne\Dane aplikacji\Microsoft\Windows\UsrClass.dat.LOG Object is locked pominięty
C:\Documents and Settings\LocalService\Ustawienia lokalne\Historia\History.IE5\index.dat Object is locked pominięty
C:\Documents and Settings\LocalService\Ustawienia lokalne\Temporary Internet Files\Content.IE5\index.dat Object is locked pominięty
C:\Documents and Settings\NetworkService\NTUSER.DAT Object is locked pominięty
C:\Documents and Settings\NetworkService\ntuser.dat.LOG Object is locked pominięty
C:\Documents and Settings\NetworkService\Ustawienia lokalne\Dane aplikacji\Microsoft\Windows\UsrClass.dat Object is locked pominięty
C:\Documents and Settings\NetworkService\Ustawienia lokalne\Dane aplikacji\Microsoft\Windows\UsrClass.dat.LOG Object is locked pominięty
C:\Program Files\ShoppingReport\Bin\2.5.0\ShoppingReport.dll Zainfekowanych: not-a-virus:AdWare.Win32.Shopper.v pominięty
C:\System Volume Information\MountPointManagerRemoteDatabase Object is locked pominięty
C:\WINDOWS\Debug\PASSWD.LOG Object is locked pominięty
C:\WINDOWS\SchedLgU.Txt Object is locked pominięty
C:\WINDOWS\SoftwareDistribution\ReportingEvents.log Object is locked pominięty
C:\WINDOWS\Sti_Trace.log Object is locked pominięty
C:\WINDOWS\system32\CatRoot2\edb.log Object is locked pominięty
C:\WINDOWS\system32\CatRoot2\tmp.edb Object is locked pominięty
C:\WINDOWS\system32\config\AppEvent.Evt Object is locked pominięty
C:\WINDOWS\system32\config\default Object is locked pominięty
C:\WINDOWS\system32\config\default.LOG Object is locked pominięty
C:\WINDOWS\system32\config\ODiag.evt Object is locked pominięty
C:\WINDOWS\system32\config\OSession.evt Object is locked pominięty
C:\WINDOWS\system32\config\SAM Object is locked pominięty
C:\WINDOWS\system32\config\SAM.LOG Object is locked pominięty
C:\WINDOWS\system32\config\SecEvent.Evt Object is locked pominięty
C:\WINDOWS\system32\config\SECURITY Object is locked pominięty
C:\WINDOWS\system32\config\SECURITY.LOG Object is locked pominięty
C:\WINDOWS\system32\config\software Object is locked pominięty
C:\WINDOWS\system32\config\software.LOG Object is locked pominięty
C:\WINDOWS\system32\config\SysEvent.Evt Object is locked pominięty
C:\WINDOWS\system32\config\system Object is locked pominięty
C:\WINDOWS\system32\config\system.LOG Object is locked pominięty
C:\WINDOWS\system32\drivers\sptd.sys Object is locked pominięty
C:\WINDOWS\system32\wbem\Repository\FS\INDEX.BTR Object is locked pominięty
C:\WINDOWS\system32\wbem\Repository\FS\INDEX.MAP Object is locked pominięty
C:\WINDOWS\system32\wbem\Repository\FS\MAPPING.VER Object is locked pominięty
C:\WINDOWS\system32\wbem\Repository\FS\MAPPING1.MAP Object is locked pominięty
C:\WINDOWS\system32\wbem\Repository\FS\MAPPING2.MAP Object is locked pominięty
C:\WINDOWS\system32\wbem\Repository\FS\OBJECTS.DATA Object is locked pominięty
C:\WINDOWS\system32\wbem\Repository\FS\OBJECTS.MAP Object is locked pominięty
C:\WINDOWS\wiadebug.log Object is locked pominięty
C:\WINDOWS\wiaservc.log Object is locked pominięty
C:\WINDOWS\WindowsUpdate.log Object is locked pominięty
D:\System Volume Information\MountPointManagerRemoteDatabase Object is locked pominięty
Proces skanowania został zakończony.
Pobierz Combofix ale nie uruchamiaj wklej do notatnika:
Zapisz plik jako CFScript.txt najlepiej aby ikonka tego pliku znajdowała się obok ikonki ComboFix.exe
Przeciągnij i upuść plik CFScript.txt na ikonkę ComboFix.exe powinno rozpocząć się usuwanie po tym daj log na forum.
Loga wklej na www.wklejto.pl lub http://www.wklej.org/ a w poście daj linka
oto log:
ComboFix 08-10-14.07 - Gawel 2008-10-15 14:23:14.1 - NTFSx86
Microsoft Windows XP Professional 5.1.2600.2.1250.1.1045.18.444 [GMT 2:00]
Uruchomiony z: C:\Program Files\ShoppingReport\ComboFix.exe
* Utworzono nowy punkt przywracania
UWAGA - TEN KOMPUTER NIE MA ZAINSTALOWANEJ KONSOLI ODZYSKIWANIA
.
((((((((((((((((((((((((((((((((((((((( Usunięto )))))))))))))))))))))))))))))))))))))))))))))))))
.
C:\Documents and Settings\Gawel\Dane aplikacji\ShoppingReport
C:\Documents and Settings\Gawel\Dane aplikacji\ShoppingReport\cs\Config.xml
C:\Documents and Settings\Gawel\Dane aplikacji\ShoppingReport\cs\db\Aliases.dbs
C:\Documents and Settings\Gawel\Dane aplikacji\ShoppingReport\cs\db\Sites.dbs
C:\Documents and Settings\Gawel\Dane aplikacji\ShoppingReport\cs\dwld\WhiteList.xip
C:\Documents and Settings\Gawel\Dane aplikacji\ShoppingReport\cs\report\aggr_storage.xml
C:\Documents and Settings\Gawel\Dane aplikacji\ShoppingReport\cs\report\send_storage.xml
C:\Documents and Settings\Gawel\Dane aplikacji\ShoppingReport\cs\res1\WhiteList.dbs
C:\Program Files\ShoppingReport
C:\Program Files\ShoppingReport\Bin\2.5.0\ShoppingReport.dll
C:\Program Files\ShoppingReport\CFScript.txt
C:\Program Files\ShoppingReport\ComboFix.exe
C:\Program Files\ShoppingReport\Uninst.exe
.
((((((((((((((((((((((((( Pliki utworzone od 2008-09-15 do 2008-10-15 )))))))))))))))))))))))))))))))
.
2008-10-14 19:26 . 2008-10-14 19:26
2008-10-14 19:26 . 2008-10-14 19:26
2008-10-14 19:26 . 2008-10-14 19:26
2008-10-12 19:28 . 2008-10-12 19:28 4,050 --a------ C:\x1uweo.exe
.
(((((((((((((((((((((((((((((((((((((((( Sekcja Find3M ))))))))))))))))))))))))))))))))))))))))))))))))))))
.
2008-10-14 16:37 --------- d-----w C:\Documents and Settings\Gawel\Dane aplikacji\Skype
2008-10-14 15:31 --------- d-----w C:\Documents and Settings\Gawel\Dane aplikacji\skypePM
2008-10-13 23:20 --------- d-----w C:\Documents and Settings\Gawel\Dane aplikacji\uTorrent
2008-09-19 16:15 --------- d-----w C:\Documents and Settings\All Users\Dane aplikacji\CanonIJPLM
2008-08-18 15:30 --------- d-----w C:\Documents and Settings\Gawel\Dane aplikacji\Nokia
2008-03-23 07:31 32 ----a-w C:\Documents and Settings\All Users\Dane aplikacji\ezsid.dat
.
((((((((((((((((((((((((((((((((((((( Wpisy startowe rejestru ))))))))))))))))))))))))))))))))))))))))))))))))))
.
.
*Uwaga* puste wpisy oraz domyślne, prawidłowe wpisy nie są pokazane
REGEDIT4
[HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
“ctfmon.exe”=“C:\WINDOWS\system32\ctfmon.exe” [2004-08-04 15360]
“Gadu-Gadu”=“D:\Programy\Gadu-Gadu\gg.exe” [2007-11-14 2131392]
“Skype”=“C:\Program Files\Skype\Phone\Skype.exe” [2008-02-06 21898024]
“swg”=“C:\Program Files\Google\GoogleToolbarNotifier\GoogleToolbarNotifier.exe” [2008-04-07 68856]
“PC Suite Tray”=“D:\Programy\Nokia PC Suite 6\PCSuite.exe” [2008-03-28 1079296]
“Nokia.PCSync”=“D:\Programy\Nokia PC Suite 6\PCSync2.exe” [2008-03-26 1232896]
“MSMSGS”=“C:\Program Files\Messenger\msmsgs.exe” [2004-08-04 1667584]
“AdobeUpdater”=“C:\Program Files\Common Files\Adobe\Updater5\AdobeUpdater.exe” [2007-03-01 2321600]
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
“CTSysVol”=“C:\Program Files\Creative\SBAudigy\Surround Mixer\CTSysVol.exe” [2005-10-31 57344]
“UpdReg”=“C:\WINDOWS\UpdReg.EXE” [2000-05-11 90112]
“AVG8_TRAY”=“C:\PROGRA~1\AVG\AVG8\avgtray.exe” [2008-07-26 1235736]
“GrooveMonitor”=“D:\Programy\Office12\GrooveMonitor.exe” [2006-10-27 31016]
“CanonSolutionMenu”=“C:\Program Files\Canon\SolutionMenu\CNSLMAIN.exe” [2007-04-03 644696]
“CanonMyPrinter”=“C:\Program Files\Canon\MyPrinter\BJMyPrt.exe” [2007-04-03 1603152]
“SSBkgdUpdate”=“C:\Program Files\Common Files\Scansoft Shared\SSBkgdUpdate\SSBkgdupdate.exe” [2006-10-25 210472]
“OpwareSE4”=“D:\Programy\OpwareSE4.exe” [2007-02-04 79400]
“NeroFilterCheck”=“C:\WINDOWS\system32\NeroCheck.exe” [2001-07-09 155648]
“Adobe Reader Speed Launcher”=“C:\Program Files\Adobe\Reader 8.0\Reader\Reader_sl.exe” [2008-01-11 39792]
“P17Helper”=“P17.dll” [2005-05-03 C:\WINDOWS\system32\P17.dll]
[HKEY_USERS.DEFAULT\Software\Microsoft\Windows\CurrentVersion\RunOnce]
“nlsf”=“move” [X]
“nlhr”=“C:\WINDOWS\System32\AdvPack.Dll” [2004-08-04 100864]
“tscuninstall”=“C:\WINDOWS\system32\tscupgrd.exe” [2004-08-04 44544]
[HKEY_LOCAL_MACHINE\software\microsoft\windows nt\currentversion\windows]
“AppInit_DLLs”=avgrsstx.dll
[HKEY_LOCAL_MACHINE\software\microsoft\windows nt\currentversion\drivers32]
“msacm.l3fhg”= mp3fhg.acm
“msacm.divxa32”= divxa32.acm
“VIDC.X264”= x264vfw.dll
“VIDC.HFYU”= huffyuv.dll
“vidc.i263”= i263_32.drv
[HKLM~\services\sharedaccess\parameters\firewallpolicy\standardprofile\AuthorizedApplications\List]
“%windir%\system32\sessmgr.exe”=
“C:\Program Files\AVG\AVG8\avgupd.exe”=
“C:\Program Files\AVG\AVG8\avgemc.exe”=
“C:\Program Files\AVG\AVG8\avgnsx.exe”=
“D:\Programy\Office12\OUTLOOK.EXE”=
“D:\Programy\Office12\GROOVE.EXE”=
“D:\Programy\Office12\ONENOTE.EXE”=
“D:\Programy\Gadu-Gadu\gg.exe”=
“C:\Program Files\uTorrent\uTorrent.exe”=
“C:\Program Files\Skype\Phone\Skype.exe”=
[HKLM~\services\sharedaccess\parameters\firewallpolicy\standardprofile\GloballyOpenPorts\List]
“8461:TCP”= 8461:TCP:GoD High Port
“8462:TCP”= 8462:TCP:GoD Low Port
R0 AvgRkx86;avgrkx86.sys;C:\WINDOWS\system32\Drivers\avgrkx86.sys [2008-06-21 12936]
R1 AvgLdx86;AVG AVI Loader Driver x86;C:\WINDOWS\system32\Drivers\avgldx86.sys [2008-07-26 97928]
R2 avg8emc;AVG8 E-mail Scanner;C:\PROGRA~1\AVG\AVG8\avgemc.exe [2008-08-20 875288]
R2 avg8wd;AVG8 WatchDog;C:\PROGRA~1\AVG\AVG8\avgwdsvc.exe [2008-07-26 231704]
R2 AvgTdiX;AVG8 Network Redirector;C:\WINDOWS\system32\Drivers\avgtdix.sys [2008-06-21 76040]
R2 IJPLMSVC;PIXMA Extended Survey Program;C:\Program Files\Canon\IJPLM\IJPLMSVC.EXE [2007-04-13 97432]
*Newly Created Service* - CATCHME
*Newly Created Service* - PROCEXP90
.
-
-
-
- USUNIĘTO PUSTE WPISY - - - -
-
-
HKCU-Run-DAEMON Tools Lite - D:\Programy\DAEMON Tools Lite\daemon.exe
.
------- Skan uzupełniający -------
.
R0 -: HKCU-Main,Start Page = hxxp://www.onet.pl/
R0 -: HKCU-Main,Search Page = hxxp://www.google.com
R0 -: HKCU-Main,Search Bar = hxxp://www.google.com/ie
R1 -: HKCU-SearchURL,(Default) = hxxp://www.google.com/search?q=%s
O8 -: Eksportuj do programu Microsoft Excel - D:\Programy\Office12\EXCEL.EXE/3000
O9 -: {C5428486-50A0-4a02-9D20-520B59A9F9B3} - {A16AD1E9-F69A-45af-9462-B1C286708842} -
O16 -: Microsoft XML Parser for Java - file://C:\WINDOWS\Java\classes\xmldso.cab
C:\WINDOWS\Downloaded Program Files\Microsoft XML Parser for Java.osd
.
**************************************************************************
catchme 0.3.1361 W2K/XP/Vista - rootkit/stealth malware detector by Gmer, http://www.gmer.net
Rootkit scan 2008-10-15 14:25:54
Windows 5.1.2600 Dodatek Service Pack 2 NTFS
skanowanie ukrytych procesów …
skanowanie ukrytych wpisów autostartu …
skanowanie ukrytych plików …
skanowanie pomyślnie ukończone
ukryte pliki: 0
**************************************************************************
.
Czas ukończenia: 2008-10-15 14:27:16
ComboFix-quarantined-files.txt 2008-10-15 12:27:11
Przed: 8 896 569 344 bajtów wolnych
Po: 13,181,734,912 bajtów wolnych
128
a oto link:
Pobierz ComboFix, ale nie uruchamiaj
Otwórz notatnik i wklej do niego:
File::
C:\x1uweo.exe
Registry::
[HKEY_USERS\.DEFAULT\Software\Microsoft\Windows\CurrentVersion\RunOnce]
"nlsf"=-
"nlhr"=-
Plik -> zapisz jako -> CFScript.txt.
Przeciągnij i upuść ikonkę CFScript.txt na ikonkę ComboFix.exe tak jak tu->
Rozpocznie się usuwanie i powstanie log, który dasz na forum.
Logi dajesz na http://wklej.eu lub na http://wklej.org a w poście dajesz tylko link
Proszę o wyrozumiałość bo nie rozumiem, czyli to co zrobiłam jest nie tak jak powinno i mam jeszcze raz powtórzyć całość?
:?:
Nie, dobrze zrobiłaś ale jeszcze coś zostało i trzeba usunąć skrypt podał Hubert
Rozumiem, że brak odpowiedzi to dobra wiadomość? 
Z góry bardzo dziękuje Wam za pomoc,ale mam jeszcze kilka pytań - jak to ktoś “zielony” w tych sprawach
co to było za paskudztwo?
co mam zrobić z plikiem ComboFix?
na pulpicie pojawiła mi się druga ikona IE, usunąć ją?
czy mogę już uruchomić antywirusa, którego miałam do tej pory, czyli AVG?
czy wszystkie programy będą działały?
Pszepraszam za zawracanie głowy, ale chciałabym sie upewnić, po raz pierwszy miałam taki problem.
Przeczyść system oraz rejestr CCleaner
usuń ręcznie folder C: \Qoobox oraz instalkę Combofix z dysku.
Tak jeśli to druga taka sama ikona (jeśli jedna jest ze strzałeczką to usuń tę ikonę )
Tak
Tak powinny działać
Przeskanuj ponownie dla pewności
Witam, problem z wirusem wykrytym w plikach złożonych przez kaspersky online powrócił, podaje poniżej loga z kasperskiego i prosze o ukierunkowanie mnie- czy mam postępować dokładnie tak jak wcześniej czyli ściągnąć combofixa, a następnie log na forum? czy postępować inaczej?
log z kasperskiego:
Pobierz The Avenger
wklej do niego ten tekst:
Files to delete:
C:\System Volume Information\_restore{D37D702A-1DA7-486A-9F9E-5A344728DE9B}\RP228\A0060962.dll
kopiuj to i klikasz na Paste Script from Clipboard wybierasz Execute oraz Potwierdzasz i zgadzasz się na restart klikając OK.
Kasujesz ręcznie z dysku plik: C:\Avenger\backup.zip i wklejasz na forum raport: C:\avenger.txt
Już Ok