Komputer po usunieciu virusa, nagle wylacza sie

frankotech · 21 Kwiecień 2009 18:49

Witam wszystkich,

Kilka dni temu do systemu Win XP podczepilo sie jakies “dziadostwo”

objawialo to sie tym:

Wyl NOD32, brak dostepu do rejestru, mnostwo polaczen z jakimis komputerami (activport-pokazywal), brak mozliwosci kasowania plikow i instalowania oprogramowania antyvir.

Po uruchomieniu w trybie awaryjnym i zastosowaniu combofix - system powrocil do prawie normalnego funkcjonowania czyli mozna bylo zainstalowac prog antyvir i go uruchomic oraz dostep do rejestru

Pozostal tylko maly dodatek typu: nagle wylaczanine komputera.

Wklejam aktualne logi z combofix i Hijack,

Combofix http://wklej.org/id/81281/

Hijack http://wklej.org/id/81282/

Wykluczam jakies przegrzanie czesci skladowych lub uszkodzenie zasilacza - chociaz…

Prosze o spojrzenie na te logi i rade.

Pozdrawiam

Leon1 · 21 Kwiecień 2009 19:04

napisz czy używasz ArcaMicroScan

czy to tylko pozostałości po programie widać w logu?

frankotech · 21 Kwiecień 2009 19:09

Arcamicroscan jest zainstalowany, skanowalem rowniez nim kompa w trybie awaryjnym.

pozdrawiam

Leon1 · 21 Kwiecień 2009 19:33

Otwórz notatnik i wklej

File:: c:\windows\Internet Logs\xDBA.tmp c:\windows\Internet Logs\xDB9.tmp c:\windows\Internet Logs\xDB8.tmp c:\windows\Internet Logs\xDB7.tmp c:\windows\Internet Logs\xDB6.tmp c:\windows\Internet Logs\xDB5.tmp c:\windows\Internet Logs\xDB4.tmp c:\windows\Internet Logs\xDB3.tmp c:\windows\Internet Logs\xDB2.tmp c:\windows\Internet Logs\xDB1.tmp c:\windows\Internet Logs\tvDebug.zip Folder:: c:\program files\AskBarDis Registry:: [-HKEY_LOCAL_MACHINE\software\microsoft\windows nt\currentversion\image file execution options\a2service.exe] [-HKEY_LOCAL_MACHINE\software\microsoft\windows nt\currentversion\image file execution options\ArcaCheck.exe] [-HKEY_LOCAL_MACHINE\software\microsoft\windows nt\currentversion\image file execution options\arcavir.exe] [-HKEY_LOCAL_MACHINE\software\microsoft\windows nt\currentversion\image file execution options\ashDisp.exe] [-HKEY_LOCAL_MACHINE\software\microsoft\windows nt\currentversion\image file execution options\ashEnhcd.exe] [-HKEY_LOCAL_MACHINE\software\microsoft\windows nt\currentversion\image file execution options\ashServ.exe] [-HKEY_LOCAL_MACHINE\software\microsoft\windows nt\currentversion\image file execution options\ashUpd.exe] [-HKEY_LOCAL_MACHINE\software\microsoft\windows nt\currentversion\image file execution options\aswUpdSv.exe] [-HKEY_LOCAL_MACHINE\software\microsoft\windows nt\currentversion\image file execution options\avcls.exe] [-HKEY_LOCAL_MACHINE\software\microsoft\windows nt\currentversion\image file execution options\avz.exe] [-HKEY_LOCAL_MACHINE\software\microsoft\windows nt\currentversion\image file execution options\avz4.exe] [-HKEY_LOCAL_MACHINE\software\microsoft\windows nt\currentversion\image file execution options\avz_se.exe] [-HKEY_LOCAL_MACHINE\software\microsoft\windows nt\currentversion\image file execution options\bdinit.exe] [-HKEY_LOCAL_MACHINE\software\microsoft\windows nt\currentversion\image file execution options\caav.exe] [-HKEY_LOCAL_MACHINE\software\microsoft\windows nt\currentversion\image file execution options\caavguiscan.exe] [-HKEY_LOCAL_MACHINE\software\microsoft\windows nt\currentversion\image file execution options\casecuritycenter.exe] [-HKEY_LOCAL_MACHINE\software\microsoft\windows nt\currentversion\image file execution options\ccupdate.exe] [-HKEY_LOCAL_MACHINE\software\microsoft\windows nt\currentversion\image file execution options\cfp.exe] [-HKEY_LOCAL_MACHINE\software\microsoft\windows nt\currentversion\image file execution options\cfpupdat.exe] [-HKEY_LOCAL_MACHINE\software\microsoft\windows nt\currentversion\image file execution options\cmdagent.exe] [-HKEY_LOCAL_MACHINE\software\microsoft\windows nt\currentversion\image file execution options\DRWEB32.EXE] [-HKEY_LOCAL_MACHINE\software\microsoft\windows nt\currentversion\image file execution options\FAMEH32.EXE] [-HKEY_LOCAL_MACHINE\software\microsoft\windows nt\currentversion\image file execution options\FPAVServer.exe] [-HKEY_LOCAL_MACHINE\software\microsoft\windows nt\currentversion\image file execution options\fpscan.exe] [-HKEY_LOCAL_MACHINE\software\microsoft\windows nt\currentversion\image file execution options\FPWin.exe] [-HKEY_LOCAL_MACHINE\software\microsoft\windows nt\currentversion\image file execution options\fsav32.exe] [-HKEY_LOCAL_MACHINE\software\microsoft\windows nt\currentversion\image file execution options\fsgk32st.exe] [-HKEY_LOCAL_MACHINE\software\microsoft\windows nt\currentversion\image file execution options\FSMA32.EXE] [-HKEY_LOCAL_MACHINE\software\microsoft\windows nt\currentversion\image file execution options\guardxservice.exe] [-HKEY_LOCAL_MACHINE\software\microsoft\windows nt\currentversion\image file execution options\guardxup.exe] [-HKEY_LOCAL_MACHINE\software\microsoft\windows nt\currentversion\image file execution options\navigator.exe] [-HKEY_LOCAL_MACHINE\software\microsoft\windows nt\currentversion\image file execution options\NAVSTUB.EXE] [-HKEY_LOCAL_MACHINE\software\microsoft\windows nt\currentversion\image file execution options\Nvcc.exe] [-HKEY_LOCAL_MACHINE\software\microsoft\windows nt\currentversion\image file execution options\outpost.exe] [-HKEY_LOCAL_MACHINE\software\microsoft\windows nt\currentversion\image file execution options\preupd.exe] [-HKEY_LOCAL_MACHINE\software\microsoft\windows nt\currentversion\image file execution options\pskdr.exe] [-HKEY_LOCAL_MACHINE\software\microsoft\windows nt\currentversion\image file execution options\SfFnUp.exe] [-HKEY_LOCAL_MACHINE\software\microsoft\windows nt\currentversion\image file execution options\Vba32arkit.exe] [-HKEY_LOCAL_MACHINE\software\microsoft\windows nt\currentversion\image file execution options\vba32ldr.exe] [-HKEY_LOCAL_MACHINE\software\microsoft\windows nt\currentversion\image file execution options\Zanda.exe] [-HKEY_LOCAL_MACHINE\software\microsoft\windows nt\currentversion\image file execution options\zapro.exe] [-HKEY_LOCAL_MACHINE\software\microsoft\windows nt\currentversion\image file execution options\Zlh.exe] [-HKEY_LOCAL_MACHINE\software\microsoft\windows nt\currentversion\image file execution options\zoneband.dll] [HKEY_LOCAL_MACHINE\software\microsoft\security center] “AntiVirusDisableNotify”=dword:00000000 “UpdatesDisableNotify”=dword:00000000

zapisz jako CFScript.txt (zapisz by ikonka CFScript.txt była obok ikonki ComboFix.exe) >> Przeciągnij i upuść ikonkę CFScript.txt na ikonkę ComboFix.exe

Powinno rozpocząć się usuwanie

Potem log z usuwania Combofix

frankotech · 22 Kwiecień 2009 05:03

Witam,

Dzieki za zainteresowanie.

Log z Combofix:

http://wklej.org/id/81419/

Pozdrawiam

Agaton · 22 Kwiecień 2009 09:22

frankotech ,

Proszę zapoznać się z tematem Ważny komunikat dotyczący tytułowania tematów i poprawić tytuł na konkretny, mówiący o problemie. W celu dokonania zaleconej korekty - proszę użyć przycisku Edytuj przy poście otwierającym ten temat.

Zignorowanie zalecenia będzie skutkowało usunięciem tematu do Kosza.

Leon1 · 22 Kwiecień 2009 12:59

Log wygląda na czysty

Pobierz CCleaner http://www.filehippo.com/download_ccleaner/

przeskanuj nim i wyczyść rejestr.

zrób optymalizacje uruchamiania

http://cybertrash.netarteria.pl/cyber/i … 378.0.html

usuń ręcznie folder C: \Qoobox usuń instalkę Combofix z dysku.

Wyłącz I włącz przywracanie systemu na wszystkich dyskach.http://support.microsoft.com/kb/310405/pl

przeskanuj obszar Mój komputer http://www.kaspersky.pl/virusscanner.html gdy będą wirusy pokaż raport

frankotech · 22 Kwiecień 2009 13:09

Czy te wszystkie czynnosci robie w normalnym trybie pracy Win?

Czy restartowac system po kazdej z czynnosci?

Pozdrawiam

Leon1 · 22 Kwiecień 2009 13:38

w normalnym trybie nie musisz restartować

frankotech · 23 Kwiecień 2009 04:06

Witam,

raport Kaspersky http://wklej.org/id/81814/

Pozdrawiam

Leon1 · 23 Kwiecień 2009 12:58

Pobierz i uruchom narzędzie The Avenger Zaznaczasz tekst podany do usunięcia na forum

kopiuj >> klikasz na Paste Script from Clipboard >> Execute >> Potwierdzasz i zgadzasz się na restart klikając OK.

Kasujesz ręcznie z dysku plik: C:\Avenger\backup.zip i wklejasz na forum raport: C:\avenger.txt

frankotech · 23 Kwiecień 2009 15:04

Witam,

Mozna to jakos cofnac - bo stracilem czesc skrzynki pocztowej?

Leon1 · 23 Kwiecień 2009 15:15

Kasowane obiekty zostaną automatycznie zbackupowane przez plik zip.exe do pliku C:\Avenger\backup.zip

frankotech · 23 Kwiecień 2009 15:17

Witam,

Widze te pliki tylko ustawione jest haslo.

Pozdrawiam

– Dodane 23.04.2009 (Cz) 17:54 –

Czy haslo do spakowanego backup’u jest znane?

– Dodane 23.04.2009 (Cz) 18:44 –

Udalo sie…

– Dodane 23.04.2009 (Cz) 19:37 –

To jest raport:

http://wklej.org/id/82091/

Pliki ktore przywrocilem sa katalogami skrzynki, czy mozna je jakos “przeskanowac” i wyleczyc tak aby nie kasowac ich w calososci?

Instnieje mozliwosc przeskanowania samych wiadomosci aby odszukac ktora jest zainfekowana?

Pozdrawiam

– Dodane 24.04.2009 (Pt) 6:56 –

Witam,

Dziwna rzecz sie stala a minowicie katalog “kosza” zminil nazwe z “RECYCLED” na “RECYKLER” i brak jest ikony kosza.

W tym katalogu jest podkatalog z ikona kosza ale nazwa jest taka “S-1-5-21-1993962763-926492609-839522115-1003”

Na pulpicie jest nadal ikona z linkiem i w momencie oprozniania “kosza” pojawia sie komunikat ze “koszt zostal uszkodzony.”

Czy to moze byc efekt dzialania programow ktore zastosowalem (avenger, ccleaner)

Pozdrawiam