Niechciany wpis w autostarcie -log

szejk · 24 Lipiec 2007 11:31

Pojawił mi sie nowy wpis w autostarcie co go wyrzucę to ponownie sie zjawja log:

Logfile of HijackThis v1.99.1

Scan saved at 13:30:18, on 2007-07-24

Platform: Windows XP Dodatek SP2 (WinNT 5.01.2600)

MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)


Running processes:

C:\WINDOWS\System32\smss.exe

C:\WINDOWS\system32\winlogon.exe

C:\WINDOWS\system32\services.exe

C:\WINDOWS\system32\lsass.exe

C:\WINDOWS\system32\svchost.exe

C:\WINDOWS\system32\svchost.exe

C:\WINDOWS\explorer.exe

C:\Program Files\Alwil Software\Avast4\aswUpdSv.exe

C:\Program Files\Alwil Software\Avast4\ashServ.exe

C:\PROGRA~1\ALWILS~1\Avast4\ashDisp.exe

C:\PROGRA~1\NEOSTR~1\CnxMon.exe

C:\PROGRA~1\NEOSTR~1\taskbaricon.exe

C:\Program Files\MagicRotation\MagicPvt.exe

C:\WINDOWS\system32\spoolsv.exe

c:\program files\common files\logitech\lvmvfm\LVPrcSrv.exe

C:\Program Files\Diskeeper Corporation\Diskeeper\DkService.exe

C:\WINDOWS\system32\devldr32.exe

C:\WINDOWS\system32\nvsvc32.exe

C:\WINDOWS\system32\svchost.exe

C:\Program Files\Alwil Software\Avast4\ashMaiSv.exe

C:\Program Files\Alwil Software\Avast4\ashWebSv.exe

C:\PROGRA~1\NEOSTR~1\NeostradaTP.exe

C:\PROGRA~1\NEOSTR~1\ComComp.exe

C:\PROGRA~1\NEOSTR~1\Watch.exe

C:\Program Files\Skype\Phone\Skype.exe

C:\Program Files\Skype\Plugin Manager\SkypePM.exe

C:\Program Files\Mozilla Thunderbird\thunderbird.exe

C:\PROGRA~1\MOZILL~1\FIREFOX.EXE

C:\Documents and Settings\Włodek\Pulpit\serwis\HijackThis.exe


R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Łącza

R3 - URLSearchHook: Search Class - {08C06D61-F1F3-4799-86F8-BE1A89362C85} - C:\PROGRA~1\NEOSTR~1\SEARCH~1.DLL

F2 - REG:system.ini: Shell=explorer.exe 

O2 - BHO: IDMIEHlprObj Class - {0055C089-8582-441B-A0BF-17B458C2A3A8} - D:\Program Files\Internet Download Manager\IDMIECC.dll

O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Program Files\Adobe\Acrobat 7.0\ActiveX\AcroIEHelper.dll

O2 - BHO: (no name) - {53707962-6F74-2D53-2644-206D7942484F} - D:\PROGRA~1\SPYBOT~1\SDHelper.dll

O2 - BHO: SSVHelper Class - {761497BB-D6F0-462C-B6EB-D4DAF1D92D43} - C:\Program Files\Java\jre1.5.0_10\bin\ssv.dll

O4 - HKLM\..\Run: [avast!] C:\PROGRA~1\ALWILS~1\Avast4\ashDisp.exe

O4 - HKLM\..\Run: [WooCnxMon] C:\PROGRA~1\NEOSTR~1\CnxMon.exe

O4 - HKLM\..\Run: [WOOWATCH] C:\PROGRA~1\NEOSTR~1\Watch.exe

O4 - HKLM\..\Run: [WOOTASKBARICON] C:\PROGRA~1\NEOSTR~1\taskbaricon.exe

O4 - HKLM\..\Run: [KernelFaultCheck] %systemroot%\system32\dumprep 0 -k

O4 - HKLM\..\Run: [MagicRotation] C:\Program Files\MagicRotation\MagicPvt.exe

O4 - HKCU\..\Run: [Odkurzacz-QC] C:\Program Files\Odkurzacz\odk_qc.exe

O8 - Extra context menu item: Download All Links with IDM - D:\Program Files\Internet Download Manager\IEGetAll.htm

O8 - Extra context menu item: Download with IDM - D:\Program Files\Internet Download Manager\IEExt.htm

O8 - Extra context menu item: E&ksport do programu Microsoft Excel - res://D:\PROGRA~1\MICROS~1\Office10\EXCEL.EXE/3000

O8 - Extra context menu item: Subskrybuj w Cafe News - D:\Program Files\CafeNews\addFeed.htm

O9 - Extra button: Messenger - -{FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\WINDOWS\system32\shdocvw.dll

O9 - Extra 'Tools' menuitem: Windows Messenger - -{FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\WINDOWS\system32\shdocvw.dll

O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\jre1.5.0_10\bin\ssv.dll

O9 - Extra 'Tools' menuitem: Sun Java Console - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\jre1.5.0_10\bin\ssv.dll

O10 - Unknown file in Winsock LSP: c:\windows\system32\idmmbc.dll

O10 - Unknown file in Winsock LSP: c:\windows\system32\idmmbc.dll

O10 - Unknown file in Winsock LSP: c:\windows\system32\idmmbc.dll

O10 - Unknown file in Winsock LSP: c:\windows\system32\idmmbc.dll

O10 - Unknown file in Winsock LSP: c:\windows\system32\idmmbc.dll

O10 - Unknown file in Winsock LSP: c:\windows\system32\idmmbc.dll

O17 - HKLM\System\CCS\Services\Tcpip\..\{BADED41A-5F24-42EC-9419-AF3AFBB22C4E}: NameServer = 194.204.159.1 217.98.63.164

O18 - Protocol: skype4com - {FFC8B962-9B40-4DFF-9458-1830C7DD7F5D} - C:\PROGRA~1\COMMON~1\Skype\SKYPE4~1.DLL

O20 - Winlogon Notify: WgaLogon - C:\WINDOWS\

O21 - SSODL: WPDShServiceObj - {AAA288BA-9A4C-45B0-95D7-94D524869DB5} - C:\WINDOWS\system32\WPDShServiceObj.dll

O23 - Service: avast! iAVS4 Control Service (aswUpdSv) - ALWIL Software - C:\Program Files\Alwil Software\Avast4\aswUpdSv.exe

O23 - Service: avast! Antivirus - ALWIL Software - C:\Program Files\Alwil Software\Avast4\ashServ.exe

O23 - Service: avast! Mail Scanner - Unknown owner - C:\Program Files\Alwil Software\Avast4\ashMaiSv.exe" /service (file missing)

O23 - Service: avast! Web Scanner - Unknown owner - C:\Program Files\Alwil Software\Avast4\ashWebSv.exe" /service (file missing)

O23 - Service: Diskeeper - Diskeeper Corporation - C:\Program Files\Diskeeper Corporation\Diskeeper\DkService.exe

O23 - Service: Google Updater Service (gusvc) - Google - C:\Program Files\Google\Common\Google Updater\GoogleUpdaterService.exe

O23 - Service: Logitech Process Monitor (LVPrcSrv) - Logitech Inc. - c:\program files\common files\logitech\lvmvfm\LVPrcSrv.exe

O23 - Service: LVSrvLauncher - Logitech Inc. - C:\Program Files\Common Files\LogiShrd\SrvLnch\SrvLnch.exe

O23 - Service: lxbs_device - Lexmark International, Inc. - C:\WINDOWS\system32\lxbscoms.exe

O23 - Service: NVIDIA Driver Helper Service (NVSvc) - NVIDIA Corporation - C:\WINDOWS\system32\nvsvc32.exe

jessica · 24 Lipiec 2007 11:46

Ja nie widzę w tym logu nic podejrzanego.

Ten powyższy wpis pojawia się po każdym “twardym” restarcie - to najogólniej mówiąc - zapis tego restartu.

Można go sfiksować, choć, jeśli restarty zdarzają się zbyt często, to może się przydać dla jakiegoś experta.

Jeśli chcesz, to możesz jeszcze dać log z Combo** Fix**.

Opis użycia ComboFix jest na tej stronie z linku.

Log może być długi, więc zapisz go sobie gdzieś, a potem wklej na http://wklej.org/, a tu daj tylko link.

.

szejk · 24 Lipiec 2007 12:17

ComboFix 07-06-11.3 - BĄd CScript: Dost©p do Hosta skrypt˘w systemu Windows jest wyĄczony na tym komputerze. Skontaktuj si© z administratorem, aby uzyska† szczeg˘owe informacje. “Wodek” - 2007-07-24 14:13:41 - Dodatek Service Pack 2 NTFS ((((((((((((((((((((((((( Files Created from 2007-06-24 to 2007-07-24 ))))))))))))))))))))))))))))))) 2007-07-23 15:39 9,728 -ra------ C:\WINDOWS\system32\drivers\magicpvt.sys 2007-07-23 15:39 79,360 --a------ C:\WINDOWS\system32\sam_nv4_disp.dll 2007-07-23 15:39 79,360 --a------ C:\WINDOWS\system32\magicpvt.dll 2007-07-23 15:39 61,440 --a------ C:\WINDOWS\system32\mpvthook.dll 2007-07-23 15:39 32 --a------ C:\WINDOWS\system32\driver.dat 2007-07-23 15:39 16 --a------ C:\WINDOWS\system32\magicpvt.dat 2007-07-23 15:39 2007-07-23 15:37 40,960 --a------ C:\WINDOWS\system32\nvgpio.dll 2007-07-23 15:37 36,864 --a------ C:\WINDOWS\system32\nvapi9x.dll 2007-07-23 15:37 13,396 --a------ C:\WINDOWS\system32\drivers\MTiCtwl.sys 2007-07-23 15:36 65,536 --a------ C:\WINDOWS\system32\Gif89.dll 2007-07-23 15:36 2007-07-21 17:30 2007-07-17 18:55 2007-07-15 12:06 299,520 --a------ C:\WINDOWS\uninst.exe 2007-07-15 12:06 2007-07-15 10:50 2007-07-15 09:48 2007-07-15 09:48 2007-07-15 09:48 2007-07-08 17:15 2007-07-08 17:10 73,216 --a------ C:\WINDOWS\ST6UNST.EXE 2007-07-08 17:10 249,856 --------- C:\WINDOWS\Setup1.exe (((((((((((((((((((((((((((((((((((((((( Find3M Report )))))))))))))))))))))))))))))))))))))))))))))))))))) 2007-07-24 12:12:57 -------- d-----w C:\Program Files\Neostrada TP 2007-07-24 12:12:42 -------- d-----w C:\DOCUME~1\WODEK~1\DANEAP~1\Skype 2007-07-23 13:39:11 -------- d–h--w C:\Program Files\InstallShield Installation Information 2007-07-20 14:25:28 -------- d-----w C:\Program Files\Mozilla Thunderbird 2007-07-10 08:47:20 -------- d-----w C:\DOCUME~1\WODEK~1\DANEAP~1\IDM 2007-06-19 11:11:56 26 ----a-w C:\WINDOWS\popcinfo.dat 2007-06-14 19:17:40 -------- d-----w C:\Program Files\Odkurzacz 2007-06-14 17:05:54 1,852 ----a-w C:\WINDOWS\system32\tmp.reg 2007-06-12 07:42:03 86,532 ----a-w C:\WINDOWS\system32\perfc015.dat 2007-06-12 07:42:03 475,508 ----a-w C:\WINDOWS\system32\perfh015.dat 2007-06-07 19:10:48 20,480 ----a-w C:\WINDOWS\system32\ac3config.exe 2007-05-25 10:01:55 -------- d-----w C:\Program Files\Common Files\Skype 2007-05-16 15:18:58 683,520 ----a-w C:\WINDOWS\system32\inetcomm.dll 2007-05-11 04:37:16 740,442 ----a-w C:\WINDOWS\system32\divx.dll 2007-05-08 18:23:10 10,752 ----a-w C:\WINDOWS\system32\ff_vfw.dll 2007-05-02 18:04:20 3,596,288 ----a-w C:\WINDOWS\system32\qt-dx331.dll 2007-05-02 18:02:08 73,728 ----a-w C:\WINDOWS\system32\dpl100.dll 2007-04-30 15:46:10 745,600 ----a-w C:\WINDOWS\system32\aswBoot.exe 2007-04-30 15:35:28 95,872 ----a-w C:\WINDOWS\system32\AVASTSS.scr 2007-04-28 12:54:36 593,920 ----a-w C:\WINDOWS\system32\xvidcore.dll 2007-04-25 14:23:30 144,896 ----a-w C:\WINDOWS\system32\schannel.dll ((((((((((((((((((((((((((((((((((((( Reg Loading Points )))))))))))))))))))))))))))))))))))))))))))))))))) *Note* empty entries & legit default entries are not shown [HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Browser Helper Objects] {0055C089-8582-441B-A0BF-17B458C2A3A8}=D:\Program Files\Internet Download Manager\IDMIECC.dll [2007-01-25 17:15] {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3}=C:\Program Files\Adobe\Acrobat 7.0\ActiveX\AcroIEHelper.dll [2005-09-24 07:12] {53707962-6F74-2D53-2644-206D7942484F}=D:\PROGRA~1\SPYBOT~1\SDHelper.dll [2005-05-31 02:04] {761497BB-D6F0-462C-B6EB-D4DAF1D92D43}=C:\Program Files\Java\jre1.5.0_10\bin\ssv.dll [2006-11-09 16:21] [HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] “avast!”=“C:\PROGRA~1\ALWILS~1\Avast4\ashDisp.exe” [2007-04-30 17:42] “WooCnxMon”=“C:\PROGRA~1\NEOSTR~1\CnxMon.exe” [2003-10-16 20:07] “WOOWATCH”=“C:\PROGRA~1\NEOSTR~1\Watch.exe” [2003-10-16 20:07] “WOOTASKBARICON”=“C:\PROGRA~1\NEOSTR~1\taskbaricon.exe” [2003-10-16 20:07] “MagicRotation”=“C:\Program Files\MagicRotation\MagicPvt.exe” [2005-12-26 17:23] [HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] “Odkurzacz-QC”=“C:\Program Files\Odkurzacz\odk_qc.exe” [2007-05-03 10:01] [HKEY_USERS.default\software\microsoft\windows\currentversion\runonce] “WUAppSetup”=C:\Program Files\Common Files\logishrd\WUApp32.exe -v 0x046d -p 0x08da -f video -m logitech -d 10.5.1.2023 [HKEY_LOCAL_MACHINE\software\microsoft\windows\currentversion\policies\explorer] “NoRemoteRecursiveEvents”=1 (0x1) “ClearRecentDocsOnExit”=1 (0x1) [HKEY_CURRENT_USER\software\microsoft\windows\currentversion\policies\explorer] “NoLowDiskSpaceChecks”=1 (0x1) “NoChangeKeyboardNavigationIndicators”=0 (0x0) “NoSharedDocuments”=1 (0x1) “ClearRecentDocsOnExit”=1 (0x1) “NoSaveSettings”=0 (0x0) [HKEY_CURRENT_USER\software\microsoft\windows\currentversion\explorer\mountpoints2{b7024280-e219-11db-b4ef-000e504a3629}] AutoRun\command- C:\WINDOWS\system32\RunDLL32.EXE Shell32.DLL,ShellExec_RunDLL copy.exe ************************************************************************** catchme 0.3.721 W2K/XP/Vista - userland rootkit detector by Gmer, http://www.gmer.net Rootkit scan 2007-07-24 14:14:15 Windows 5.1.2600 Dodatek Service Pack 2 NTFS scanning hidden processes … scanning hidden autostart entries … scanning hidden files … scan completed successfully hidden files: 0 ************************************************************************** Completion time: 2007-07-24 14:14:44 — E O F —

jessica · 24 Lipiec 2007 13:38

Log jest w zasadzie czysty.

Ale ten powyższy wpis świadczy o infekcji na pendrive.

W tej chwili na dysku chyba chwilowo nie tej infekcji, bo inaczej ComboFix by ją usuwał. Starsze wersje ComboFixa (np. z kwietnia b.r.) nie potrafiły tego znajdować i usuwać. Natomiast ta wersja, do której dałam link, potrafi wyszukać i usunąć z dysku. Potrafi nawet usunąć infekcję z pendrive, ale tylko jeśli pendrive będzie przestawiony z trybu read only na pełne zapisywanie.

“Na teraz” zrób to:

Do Notatnika wklej:

Windows Registry Editor Version 5.00


[-HKEY_CURRENT_USER\software\microsoft\windows\currentversion\explorer\mountpoints2\{b7024280-e219-11db-b4ef-000e504a3629}]

Z menu Notatnika >>> Plik >>> Zapisz jako >>> Ustaw rozszerzenie na “Wszystkie pliki” >>> Zapisz jako FIX.REG >>>

plik uruchom (dwuklik i OK).

Zrestartuj komputer.

.Potem sprawdź w nowym logu ComboFixa, czy ten wpis zniknął. (lub daj log tutaj do sprawdzenia).

.

szejk · 24 Lipiec 2007 14:42

jessica · 24 Lipiec 2007 15:18

OK! - wpis zniknął.

.

szejk · 24 Lipiec 2007 15:20