Kaspersky wykrył wirusa znajdującego się w plikach złożonych


(Suj) #1

Kaspersky wykrył wirusa, którego nie potrafie usunąć, pojawia się komunikat, że znajduje się w plikach złożonych. Wyłączyłam przywracanie systemu na wszystkich dyskach, ale po ponownym przeskanowaniu kasperskim nadal nie mogę ich usunąć. Co robić?


(huber2t) #2

Wyłącz i włącz przywracanie systemu na wszystkich dyskach. Instrukcja

Przeskanuj obszar całego komputera http://www.kaspersky.pl/virusscanner.html (uruchom przez IE) Daj raport z niego na forum


(Suj) #3

Przywracanie systemu jest już włączone

oto raport:

15 październik 2008 12:22:17

System operacyjny: Microsoft Windows XP Professional, Dodatek Service Pack 2 (Build 2600)

Kaspersky Online Scanner wersja: 5.0.98.1

Ostatnia aktualizacja Kaspersky Anti-Virus14/10/2008

Liczba wpisów w bazie danych Kaspersky Anti-Virus1310847

Ustawienia skanowania

Skanowanie przy użyciu następujących baz danych rozszerzone

Skanuj archiwa tak

Skanuj pocztowe bazy danych tak

Obszar skanowania Mój komputer

A:\

C:\

D:\

E:\

Statystyki skanowania

Liczba skanowanych obiektów 33943

Liczba wykrytych wirusów 1

Liczba zainfekowanych obiektów 1

Liczba podejrzanych obiektów 0

Czas trwania skanowania 01:30:34

Nazwa zainfekowanego obiektu Nazwa wirusa Ostatnie działanie

C:\Documents and Settings\All Users\Dane aplikacji\avg8\AvgAm\avgam.lck Object is locked pominięty

C:\Documents and Settings\All Users\Dane aplikacji\avg8\emc\Log\emc.log Object is locked pominięty

C:\Documents and Settings\All Users\Dane aplikacji\avg8\Log\avgam.log Object is locked pominięty

C:\Documents and Settings\All Users\Dane aplikacji\avg8\Log\avgcore.log Object is locked pominięty

C:\Documents and Settings\All Users\Dane aplikacji\avg8\Log\avgcore.log.1 Object is locked pominięty

C:\Documents and Settings\All Users\Dane aplikacji\avg8\Log\avglng.log Object is locked pominięty

C:\Documents and Settings\All Users\Dane aplikacji\avg8\Log\avgns.log Object is locked pominięty

C:\Documents and Settings\All Users\Dane aplikacji\avg8\Log\avgrs.log Object is locked pominięty

C:\Documents and Settings\All Users\Dane aplikacji\avg8\Log\avgsched.log Object is locked pominięty

C:\Documents and Settings\All Users\Dane aplikacji\avg8\Log\avgwd.log Object is locked pominięty

C:\Documents and Settings\Gawel\Cookies\index.dat Object is locked pominięty

C:\Documents and Settings\Gawel\ntuser.dat Object is locked pominięty

C:\Documents and Settings\Gawel\NTUSER.DAT.LOG Object is locked pominięty

C:\Documents and Settings\Gawel\Ustawienia lokalne\Dane aplikacji\Adobe\Acrobat\8.0\Updater\updater.log Object is locked pominięty

C:\Documents and Settings\Gawel\Ustawienia lokalne\Dane aplikacji\Adobe\Updater5\aumLib.log Object is locked pominięty

C:\Documents and Settings\Gawel\Ustawienia lokalne\Dane aplikacji\Microsoft\Windows\UsrClass.dat Object is locked pominięty

C:\Documents and Settings\Gawel\Ustawienia lokalne\Dane aplikacji\Microsoft\Windows\UsrClass.dat.LOG Object is locked pominięty

C:\Documents and Settings\Gawel\Ustawienia lokalne\Historia\History.IE5\index.dat Object is locked pominięty

C:\Documents and Settings\Gawel\Ustawienia lokalne\Temp\AcrF994.tmp Object is locked pominięty

C:\Documents and Settings\Gawel\Ustawienia lokalne\Temporary Internet Files\Content.IE5\index.dat Object is locked pominięty

C:\Documents and Settings\LocalService\Cookies\index.dat Object is locked pominięty

C:\Documents and Settings\LocalService\NTUSER.DAT Object is locked pominięty

C:\Documents and Settings\LocalService\ntuser.dat.LOG Object is locked pominięty

C:\Documents and Settings\LocalService\Ustawienia lokalne\Dane aplikacji\Microsoft\Windows\UsrClass.dat Object is locked pominięty

C:\Documents and Settings\LocalService\Ustawienia lokalne\Dane aplikacji\Microsoft\Windows\UsrClass.dat.LOG Object is locked pominięty

C:\Documents and Settings\LocalService\Ustawienia lokalne\Historia\History.IE5\index.dat Object is locked pominięty

C:\Documents and Settings\LocalService\Ustawienia lokalne\Temporary Internet Files\Content.IE5\index.dat Object is locked pominięty

C:\Documents and Settings\NetworkService\NTUSER.DAT Object is locked pominięty

C:\Documents and Settings\NetworkService\ntuser.dat.LOG Object is locked pominięty

C:\Documents and Settings\NetworkService\Ustawienia lokalne\Dane aplikacji\Microsoft\Windows\UsrClass.dat Object is locked pominięty

C:\Documents and Settings\NetworkService\Ustawienia lokalne\Dane aplikacji\Microsoft\Windows\UsrClass.dat.LOG Object is locked pominięty

C:\Program Files\ShoppingReport\Bin\2.5.0\ShoppingReport.dll Zainfekowanych: not-a-virus:AdWare.Win32.Shopper.v pominięty

C:\System Volume Information\MountPointManagerRemoteDatabase Object is locked pominięty

C:\WINDOWS\Debug\PASSWD.LOG Object is locked pominięty

C:\WINDOWS\SchedLgU.Txt Object is locked pominięty

C:\WINDOWS\SoftwareDistribution\ReportingEvents.log Object is locked pominięty

C:\WINDOWS\Sti_Trace.log Object is locked pominięty

C:\WINDOWS\system32\CatRoot2\edb.log Object is locked pominięty

C:\WINDOWS\system32\CatRoot2\tmp.edb Object is locked pominięty

C:\WINDOWS\system32\config\AppEvent.Evt Object is locked pominięty

C:\WINDOWS\system32\config\default Object is locked pominięty

C:\WINDOWS\system32\config\default.LOG Object is locked pominięty

C:\WINDOWS\system32\config\ODiag.evt Object is locked pominięty

C:\WINDOWS\system32\config\OSession.evt Object is locked pominięty

C:\WINDOWS\system32\config\SAM Object is locked pominięty

C:\WINDOWS\system32\config\SAM.LOG Object is locked pominięty

C:\WINDOWS\system32\config\SecEvent.Evt Object is locked pominięty

C:\WINDOWS\system32\config\SECURITY Object is locked pominięty

C:\WINDOWS\system32\config\SECURITY.LOG Object is locked pominięty

C:\WINDOWS\system32\config\software Object is locked pominięty

C:\WINDOWS\system32\config\software.LOG Object is locked pominięty

C:\WINDOWS\system32\config\SysEvent.Evt Object is locked pominięty

C:\WINDOWS\system32\config\system Object is locked pominięty

C:\WINDOWS\system32\config\system.LOG Object is locked pominięty

C:\WINDOWS\system32\drivers\sptd.sys Object is locked pominięty

C:\WINDOWS\system32\wbem\Repository\FS\INDEX.BTR Object is locked pominięty

C:\WINDOWS\system32\wbem\Repository\FS\INDEX.MAP Object is locked pominięty

C:\WINDOWS\system32\wbem\Repository\FS\MAPPING.VER Object is locked pominięty

C:\WINDOWS\system32\wbem\Repository\FS\MAPPING1.MAP Object is locked pominięty

C:\WINDOWS\system32\wbem\Repository\FS\MAPPING2.MAP Object is locked pominięty

C:\WINDOWS\system32\wbem\Repository\FS\OBJECTS.DATA Object is locked pominięty

C:\WINDOWS\system32\wbem\Repository\FS\OBJECTS.MAP Object is locked pominięty

C:\WINDOWS\wiadebug.log Object is locked pominięty

C:\WINDOWS\wiaservc.log Object is locked pominięty

C:\WINDOWS\WindowsUpdate.log Object is locked pominięty

D:\System Volume Information\MountPointManagerRemoteDatabase Object is locked pominięty

Proces skanowania został zakończony.


(Spandau) #4

Pobierz Combofix ale nie uruchamiaj wklej do notatnika:

Zapisz plik jako CFScript.txt najlepiej aby ikonka tego pliku znajdowała się obok ikonki ComboFix.exe

Przeciągnij i upuść plik CFScript.txt na ikonkę ComboFix.exe powinno rozpocząć się usuwanie po tym daj log na forum.

Loga wklej na www.wklejto.pl lub http://www.wklej.org/ a w poście daj linka


(Suj) #5

oto log:

ComboFix 08-10-14.07 - Gawel 2008-10-15 14:23:14.1 - NTFSx86

Microsoft Windows XP Professional 5.1.2600.2.1250.1.1045.18.444 [GMT 2:00]

Uruchomiony z: C:\Program Files\ShoppingReport\ComboFix.exe

* Utworzono nowy punkt przywracania

UWAGA - TEN KOMPUTER NIE MA ZAINSTALOWANEJ KONSOLI ODZYSKIWANIA!!

.

((((((((((((((((((((((((((((((((((((((( Usunięto )))))))))))))))))))))))))))))))))))))))))))))))))

.

C:\Documents and Settings\Gawel\Dane aplikacji\ShoppingReport

C:\Documents and Settings\Gawel\Dane aplikacji\ShoppingReport\cs\Config.xml

C:\Documents and Settings\Gawel\Dane aplikacji\ShoppingReport\cs\db\Aliases.dbs

C:\Documents and Settings\Gawel\Dane aplikacji\ShoppingReport\cs\db\Sites.dbs

C:\Documents and Settings\Gawel\Dane aplikacji\ShoppingReport\cs\dwld\WhiteList.xip

C:\Documents and Settings\Gawel\Dane aplikacji\ShoppingReport\cs\report\aggr_storage.xml

C:\Documents and Settings\Gawel\Dane aplikacji\ShoppingReport\cs\report\send_storage.xml

C:\Documents and Settings\Gawel\Dane aplikacji\ShoppingReport\cs\res1\WhiteList.dbs

C:\Program Files\ShoppingReport

C:\Program Files\ShoppingReport\Bin\2.5.0\ShoppingReport.dll

C:\Program Files\ShoppingReport\CFScript.txt

C:\Program Files\ShoppingReport\ComboFix.exe

C:\Program Files\ShoppingReport\Uninst.exe

.

((((((((((((((((((((((((( Pliki utworzone od 2008-09-15 do 2008-10-15 )))))))))))))))))))))))))))))))

.

2008-10-14 19:26 . 2008-10-14 19:26

2008-10-14 19:26 . 2008-10-14 19:26

2008-10-14 19:26 . 2008-10-14 19:26

2008-10-12 19:28 . 2008-10-12 19:28 4,050 --a------ C:\x1uweo.exe

.

(((((((((((((((((((((((((((((((((((((((( Sekcja Find3M ))))))))))))))))))))))))))))))))))))))))))))))))))))

.

2008-10-14 16:37 --------- d-----w C:\Documents and Settings\Gawel\Dane aplikacji\Skype

2008-10-14 15:31 --------- d-----w C:\Documents and Settings\Gawel\Dane aplikacji\skypePM

2008-10-13 23:20 --------- d-----w C:\Documents and Settings\Gawel\Dane aplikacji\uTorrent

2008-09-19 16:15 --------- d-----w C:\Documents and Settings\All Users\Dane aplikacji\CanonIJPLM

2008-08-18 15:30 --------- d-----w C:\Documents and Settings\Gawel\Dane aplikacji\Nokia

2008-03-23 07:31 32 ----a-w C:\Documents and Settings\All Users\Dane aplikacji\ezsid.dat

.

((((((((((((((((((((((((((((((((((((( Wpisy startowe rejestru ))))))))))))))))))))))))))))))))))))))))))))))))))

.

.

*Uwaga* puste wpisy oraz domyślne, prawidłowe wpisy nie są pokazane

REGEDIT4

[HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]

"ctfmon.exe"="C:\WINDOWS\system32\ctfmon.exe" [2004-08-04 15360]

"Gadu-Gadu"="D:\Programy\Gadu-Gadu\gg.exe" [2007-11-14 2131392]

"Skype"="C:\Program Files\Skype\Phone\Skype.exe" [2008-02-06 21898024]

"swg"="C:\Program Files\Google\GoogleToolbarNotifier\GoogleToolbarNotifier.exe" [2008-04-07 68856]

"PC Suite Tray"="D:\Programy\Nokia PC Suite 6\PCSuite.exe" [2008-03-28 1079296]

"Nokia.PCSync"="D:\Programy\Nokia PC Suite 6\PCSync2.exe" [2008-03-26 1232896]

"MSMSGS"="C:\Program Files\Messenger\msmsgs.exe" [2004-08-04 1667584]

"AdobeUpdater"="C:\Program Files\Common Files\Adobe\Updater5\AdobeUpdater.exe" [2007-03-01 2321600]

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]

"CTSysVol"="C:\Program Files\Creative\SBAudigy\Surround Mixer\CTSysVol.exe" [2005-10-31 57344]

"UpdReg"="C:\WINDOWS\UpdReg.EXE" [2000-05-11 90112]

"AVG8_TRAY"="C:\PROGRA~1\AVG\AVG8\avgtray.exe" [2008-07-26 1235736]

"GrooveMonitor"="D:\Programy\Office12\GrooveMonitor.exe" [2006-10-27 31016]

"CanonSolutionMenu"="C:\Program Files\Canon\SolutionMenu\CNSLMAIN.exe" [2007-04-03 644696]

"CanonMyPrinter"="C:\Program Files\Canon\MyPrinter\BJMyPrt.exe" [2007-04-03 1603152]

"SSBkgdUpdate"="C:\Program Files\Common Files\Scansoft Shared\SSBkgdUpdate\SSBkgdupdate.exe" [2006-10-25 210472]

"OpwareSE4"="D:\Programy\OpwareSE4.exe" [2007-02-04 79400]

"NeroFilterCheck"="C:\WINDOWS\system32\NeroCheck.exe" [2001-07-09 155648]

"Adobe Reader Speed Launcher"="C:\Program Files\Adobe\Reader 8.0\Reader\Reader_sl.exe" [2008-01-11 39792]

"P17Helper"="P17.dll" [2005-05-03 C:\WINDOWS\system32\P17.dll]

[HKEY_USERS.DEFAULT\Software\Microsoft\Windows\CurrentVersion\RunOnce]

"nlsf"="move" [X]

"nlhr"="C:\WINDOWS\System32\AdvPack.Dll" [2004-08-04 100864]

"tscuninstall"="C:\WINDOWS\system32\tscupgrd.exe" [2004-08-04 44544]

[HKEY_LOCAL_MACHINE\software\microsoft\windows nt\currentversion\windows]

"AppInit_DLLs"=avgrsstx.dll

[HKEY_LOCAL_MACHINE\software\microsoft\windows nt\currentversion\drivers32]

"msacm.l3fhg"= mp3fhg.acm

"msacm.divxa32"= divxa32.acm

"VIDC.X264"= x264vfw.dll

"VIDC.HFYU"= huffyuv.dll

"vidc.i263"= i263_32.drv

[HKLM\~\services\sharedaccess\parameters\firewallpolicy\standardprofile\AuthorizedApplications\List]

"%windir%\system32\sessmgr.exe"=

"C:\Program Files\AVG\AVG8\avgupd.exe"=

"C:\Program Files\AVG\AVG8\avgemc.exe"=

"C:\Program Files\AVG\AVG8\avgnsx.exe"=

"D:\Programy\Office12\OUTLOOK.EXE"=

"D:\Programy\Office12\GROOVE.EXE"=

"D:\Programy\Office12\ONENOTE.EXE"=

"D:\Programy\Gadu-Gadu\gg.exe"=

"C:\Program Files\uTorrent\uTorrent.exe"=

"C:\Program Files\Skype\Phone\Skype.exe"=

[HKLM\~\services\sharedaccess\parameters\firewallpolicy\standardprofile\GloballyOpenPorts\List]

"8461:TCP"= 8461:TCP:GoD High Port

"8462:TCP"= 8462:TCP:GoD Low Port

R0 AvgRkx86;avgrkx86.sys;C:\WINDOWS\system32\Drivers\avgrkx86.sys [2008-06-21 12936]

R1 AvgLdx86;AVG AVI Loader Driver x86;C:\WINDOWS\system32\Drivers\avgldx86.sys [2008-07-26 97928]

R2 avg8emc;AVG8 E-mail Scanner;C:\PROGRA~1\AVG\AVG8\avgemc.exe [2008-08-20 875288]

R2 avg8wd;AVG8 WatchDog;C:\PROGRA~1\AVG\AVG8\avgwdsvc.exe [2008-07-26 231704]

R2 AvgTdiX;AVG8 Network Redirector;C:\WINDOWS\system32\Drivers\avgtdix.sys [2008-06-21 76040]

R2 IJPLMSVC;PIXMA Extended Survey Program;C:\Program Files\Canon\IJPLM\IJPLMSVC.EXE [2007-04-13 97432]

*Newly Created Service* - CATCHME

*Newly Created Service* - PROCEXP90

.

  • USUNIĘTO PUSTE WPISY - - - -

HKCU-Run-DAEMON Tools Lite - D:\Programy\DAEMON Tools Lite\daemon.exe

.

------- Skan uzupełniający -------

.

R0 -: HKCU-Main,Start Page = hxxp://www.onet.pl/

R0 -: HKCU-Main,Search Page = hxxp://www.google.com

R0 -: HKCU-Main,Search Bar = hxxp://www.google.com/ie

R1 -: HKCU-SearchURL,(Default) = hxxp://www.google.com/search?q=%s

O8 -: Eksportuj do programu Microsoft Excel - D:\Programy\Office12\EXCEL.EXE/3000

O9 -: {C5428486-50A0-4a02-9D20-520B59A9F9B3} - {A16AD1E9-F69A-45af-9462-B1C286708842} -

O16 -: Microsoft XML Parser for Java - file://C:\WINDOWS\Java\classes\xmldso.cab

C:\WINDOWS\Downloaded Program Files\Microsoft XML Parser for Java.osd

.

**************************************************************************

catchme 0.3.1361 W2K/XP/Vista - rootkit/stealth malware detector by Gmer, http://www.gmer.net

Rootkit scan 2008-10-15 14:25:54

Windows 5.1.2600 Dodatek Service Pack 2 NTFS

skanowanie ukrytych procesów ...

skanowanie ukrytych wpisów autostartu ...

skanowanie ukrytych plików ...

skanowanie pomyślnie ukończone

ukryte pliki: 0

**************************************************************************

.

Czas ukończenia: 2008-10-15 14:27:16

ComboFix-quarantined-files.txt 2008-10-15 12:27:11

Przed: 8 896 569 344 bajtów wolnych

Po: 13,181,734,912 bajtów wolnych

128

a oto link:

http://wklejto.pl/12324


(huber2t) #6

Pobierz ComboFix, ale nie uruchamiaj

Otwórz notatnik i wklej do niego:

File::

C:\x1uweo.exe


Registry::

[HKEY_USERS\.DEFAULT\Software\Microsoft\Windows\CurrentVersion\RunOnce]

"nlsf"=-

"nlhr"=-

Plik -> zapisz jako -> CFScript.txt.

Przeciągnij i upuść ikonkę CFScript.txt na ikonkę ComboFix.exe tak jak tu->

cfscript10uc2.gif

Rozpocznie się usuwanie i powstanie log, który dasz na forum.

Logi dajesz na http://wklej.eu lub na http://wklej.org a w poście dajesz tylko link


(Suj) #7

Proszę o wyrozumiałość bo nie rozumiem, czyli to co zrobiłam jest nie tak jak powinno i mam jeszcze raz powtórzyć całość?

:?:


(Spandau) #8

Nie, dobrze zrobiłaś ale jeszcze coś zostało i trzeba usunąć skrypt podał Hubert

:slight_smile:


(Suj) #9

oto link:

http://wklejto.pl/12328

jest już ok?


(Suj) #10

Rozumiem, że brak odpowiedzi to dobra wiadomość? :smiley:

Z góry bardzo dziękuje Wam za pomoc,ale mam jeszcze kilka pytań - jak to ktoś "zielony" w tych sprawach

co to było za paskudztwo?

co mam zrobić z plikiem ComboFix?

na pulpicie pojawiła mi się druga ikona IE, usunąć ją?

czy mogę już uruchomić antywirusa, którego miałam do tej pory, czyli AVG?

czy wszystkie programy będą działały?

Pszepraszam za zawracanie głowy, ale chciałabym sie upewnić, po raz pierwszy miałam taki problem. :smiley:


(Spandau) #11

Przeczyść system oraz rejestr CCleaner

usuń ręcznie folder C: \Qoobox oraz instalkę Combofix z dysku.

Tak jeśli to druga taka sama ikona (jeśli jedna jest ze strzałeczką to usuń tę ikonę )

Tak

Tak powinny działać

Przeskanuj ponownie dla pewności


(Suj) #12

Witam, problem z wirusem wykrytym w plikach złożonych przez kaspersky online powrócił, podaje poniżej loga z kasperskiego i prosze o ukierunkowanie mnie- czy mam postępować dokładnie tak jak wcześniej czyli ściągnąć combofixa, a następnie log na forum? czy postępować inaczej?

log z kasperskiego:

http://www.wklejto.pl/16616


(huber2t) #13

Pobierz The Avenger

wklej do niego ten tekst:

Files to delete:

C:\System Volume Information\_restore{D37D702A-1DA7-486A-9F9E-5A344728DE9B}\RP228\A0060962.dll

kopiuj to i klikasz na Paste Script from Clipboard wybierasz Execute oraz Potwierdzasz i zgadzasz się na restart klikając OK.

Kasujesz ręcznie z dysku plik: C:\Avenger\backup.zip i wklejasz na forum raport: C:\avenger.txt


(Suj) #14

całość zrobiona, oto log:

http://www.wklejto.pl/16717

czy jest już ok? czy mam jeszce coś zrobić?


(Gutek) #15

Już Ok :slight_smile: