Komputer ciągle coś wysyła

[kr0pek (Kropek 19)]

Net okropnie muli, z ikonki na trayu dowiaduję się, że cały czas są wysyłane dane… Wirus? Net: Neostrada 512.

Log z HJT 2.00

Logfile of Trend Micro HijackThis v2.0.0 (BETA)

Scan saved at 12:17:27, on 2007-06-28

Platform: Windows XP (WinNT 5.01.2600)

Boot mode: Normal


Running processes:

C:\WINDOWS\System32\smss.exe

C:\WINDOWS\system32\winlogon.exe

C:\WINDOWS\system32\services.exe

C:\WINDOWS\system32\lsass.exe

C:\WINDOWS\system32\svchost.exe

C:\WINDOWS\System32\svchost.exe

C:\WINDOWS\system32\ZoneLabs\vsmon.exe

C:\WINDOWS\Explorer.EXE

C:\WINDOWS\system32\spoolsv.exe

C:\WINDOWS\System32\RUNDLL32.EXE

C:\Program Files\Zone Labs\ZoneAlarm\zlclient.exe

C:\WINDOWS\SOUNDMAN.EXE

C:\WINDOWS\System32\ctfmon.exe

C:\Program Files\AutoConnect\AutoConnect.exe

C:\Program Files\SAGEM\SAGEM F@st 800-840\dslmon.exe

C:\Program Files\Xfire\xfire.exe

C:\Program Files\Opera\Opera.exe

C:\Documents and Settings\Admin\Pulpit\HiJackThis_v2.exe


R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Łącza

O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINDOWS\System32\msdxm.ocx

O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\System32\NvCpl.dll,NvStartup

O4 - HKLM\..\Run: [nwiz] nwiz.exe /install

O4 - HKLM\..\Run: [NvMediaCenter] RUNDLL32.EXE C:\WINDOWS\System32\NvMcTray.dll,NvTaskbarInit

O4 - HKLM\..\Run: [ZoneAlarm Client] "C:\Program Files\Zone Labs\ZoneAlarm\zlclient.exe"

O4 - HKLM\..\Run: [SoundMan] SOUNDMAN.EXE

O4 - HKLM\..\Run: [MSConfig] C:\WINDOWS\PCHealth\HelpCtr\Binaries\MSConfig.exe /auto

O4 - HKLM\..\Run: [SYSTEM] winmgrd.exe

O4 - HKLM\..\RunServices: [WMI Standard Event Consumer - Scripting] C:\WINDOWS\System32\wbem\scrcons32.exe

O4 - HKLM\..\RunServices: [SYSTEM] winmgrd.exe

O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\ctfmon.exe

O4 - HKCU\..\Run: [AutoConnect] C:\Program Files\AutoConnect\AutoConnect.exe

O4 - HKCU\..\Run: [SYSTEM] winmgrd.exe

O4 - HKCU\..\RunServices: [WMI Standard Event Consumer - Scripting] C:\WINDOWS\System32\wbem\scrcons32.exe

O4 - HKCU\..\RunServices: [SYSTEM] winmgrd.exe

O4 - HKUS\S-1-5-19\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 'USŁUGA LOKALNA')

O4 - HKUS\S-1-5-20\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 'USŁUGA SIECIOWA')

O4 - HKUS\S-1-5-18\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 'SYSTEM')

O4 - HKUS\S-1-5-18\..\RunServices: [WMI Standard Event Consumer - Scripting] C:\WINDOWS\System32\wbem\scrcons32.exe (User 'SYSTEM')

O4 - HKUS\.DEFAULT\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 'Default user')

O4 - HKUS\.DEFAULT\..\RunServices: [WMI Standard Event Consumer - Scripting] C:\WINDOWS\System32\wbem\scrcons32.exe (User 'Default user')

O4 - Startup: Xfire.lnk = C:\Program Files\Xfire\xfire.exe

O4 - Global Startup: DSLMON.lnk = ?

O9 - Extra button: Badanie - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - C:\PROGRA~1\MICROS~2\OFFICE11\REFIEBAR.DLL

O17 - HKLM\System\CCS\Services\Tcpip\..\{A7A24230-5DD4-4EE3-A497-62DA4A9F6464}: NameServer = 194.204.159.1 217.98.63.164

O22 - SharedTaskScheduler: Moduł wstępnego ładowania interfejsu Browseui - {438755C2-A8BA-11D1-B96B-00A0C90312E1} - C:\WINDOWS\System32\browseui.dll

O22 - SharedTaskScheduler: Demon buforu kategorii składników - {8C7461EF-2B13-11d2-BE35-3078302C2030} - C:\WINDOWS\System32\browseui.dll

O23 - Service: NVIDIA Display Driver Service (NVSvc) - Unknown owner - C:\WINDOWS\System32\nvsvc32.exe (file missing)

O23 - Service: Power Manager (PowerManager) - Unknown owner - C:\WINDOWS\svchost.exe (file missing)

O23 - Service: TrueVector Internet Monitor (vsmon) - Zone Labs, LLC - C:\WINDOWS\system32\ZoneLabs\vsmon.exe


--

End of file - 3614 bytes

[qrczak13]

Start > uruchom > cmd i wklej

sc stop PowerManager

sc delete PowerManager

O4 - HKLM…\Run: [sYSTEM] winmgrd.exe O4 - HKLM…\RunServices: [WMI Standard Event Consumer - Scripting] C:\WINDOWS\System32\wbem\scrcons32.exe O4 - HKLM…\RunServices: [sYSTEM] winmgrd.exe O4 - HKCU…\Run: [sYSTEM] winmgrd.exe O4 - HKCU…\RunServices: [WMI Standard Event Consumer - Scripting] C:\WINDOWS\System32\wbem\scrcons32.exe O4 - HKCU…\RunServices: [sYSTEM] winmgrd.exe O4 - HKUS\S-1-5-18…\RunServices: [WMI Standard Event Consumer - Scripting] C:\WINDOWS\System32\wbem\scrcons32.exe (User ‘SYSTEM’) O4 - HKUS.DEFAULT…\RunServices: [WMI Standard Event Consumer - Scripting] C:\WINDOWS\System32\wbem\scrcons32.exe (User ‘Default user’) O23 - Service: Power Manager (PowerManager) - Unknown owner - C:\WINDOWS\svchost.exe (file missing)

Pliki na czerwono usuń ręcznie w trybie awaryjnym, a wpisy w HJT.

Po wykonaniu w/w daj log z ComboFix.

[kr0pek (Kropek 19)]

Hm. Komp przestał słać pakiety jak głupi Teraz log z CF:

"Admin" - 2007-06-29 0:29:30 - ComboFix 07-06-27.7 NTFS

[qrczak13]

C:\WINDOWS\system32\eeddfbfcdc_r.dll

Usuń plik.

Do notatnika wklej:

Windows Registry Editor Version 5.00 [HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] “SYSTEM”=- [HKEY_CURRENT_USER\software\microsoft\windows\currentversion\runservices] “SYSTEM”=- [HKEY_LOCAL_MACHINE\software\microsoft\windows\currentversion\runservices] “SYSTEM”=- [HKEY_USERS.default\software\microsoft\windows\currentversion\runservices] “SYSTEM”=- [HKEY_USERS.default\software\microsoft\windows\currentversion\run] “WMI Standard Event Consumer - Scripting”=- “SYSTEM”=- [-HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\SYSTEM] [-HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\WMI Standard Event Consumer - Scripting]

Plik > zapisz jako > zmień rozszerzenie z .txt na wszystkie pliki > zapisz pod nazwą Fix.reg np na

pulpicie > dwuklik na Fix.reg > potwierdzasz > restart.

Czyszczenie rejestru - jv16 PowerTools 2006 1.5.2.350

Optymalizacja i odchudzanie Windows XP

[kr0pek (Kropek 19)]

Usuń plik.

Nie ma go tam ani nigdzie na dysku. Sam zniknął?

[adam9870]

Spróbuj korzystając z wiersza polecenia (start -> uruchom -> cmd) wydać następujące polecenia, a następnie wklej zastosuj FIX.REG podany przez qrczaka i wklej nowy log z ComboFix.

CD C:\WINDOWS\system32 ATTRIB -R -S -H eeddfbfcdc_r.dll DEL eeddfbfcdc_r.dll

[kr0pek (Kropek 19)]

“Nie można odnaleźć pliku”. Sam się ulotnił?

[qrczak13]

Czyszczenie rejestru - jv16 PowerTools 2006 1.5.2.350

wklej nowy log z ComboFix.

[system]

Ponieważ w logu było to:

O23 - Service: Power Manager (PowerManager) - Unknown owner - C:\WINDOWS\svchost.exe (file missing)

czyli, wirus Jeefo infekujący pliki exe.

To zastosuj skanery online i pozwól im usuwać wszystko, nawet jeśli pokażą twoje programy.