Nieustępliwy wirus przy uruchamianiu programów

Dla specjalistów Bezpieczeństwo
#1

Witam!

Mam problem z wirusem, otóż przy otwieraniu jakiegokolwiek programu, mój antywirus (Avira AntiVir Proffesional) znajduje go w pliku C:\WINDOWS\system32\wvUllmLD.dll Po tym, jak każę mu go usunąć, jest dobrze, do czasu uruchomienia jakiegoś programu/gry. Próbowaliśmy usuwać z kolegą 2 wpisy odpowiedzialne chyba za to (nie wiem, nie znam się) w Hijackthis, a także ścieżki:

C:\WINDOWS\system32\wvUllmLD.dll

C:\WINDOWS\system32\vvjtwodr.dll

C:\WINDOWS\SYSTEM32\winbjt32.dll

C:\WINDOWS\SYSTEM32\wvUllmLD.dll

w programiku Pocket kilbox, ale wpisy zostały nietknięte. Zamieszczam logfile z Hijacka i proszę o pomoc.

Logfile of Trend Micro HijackThis v2.0.2

Scan saved at 17:18:25, on 2008-07-26

Platform: Windows XP Dodatek SP2 (WinNT 5.01.2600)

MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)

Boot mode: Normal

Running processes:

C:\WINDOWS\System32\smss.exe

C:\WINDOWS\system32\winlogon.exe

C:\WINDOWS\system32\services.exe

C:\WINDOWS\system32\lsass.exe

C:\WINDOWS\system32\svchost.exe

C:\WINDOWS\System32\svchost.exe

C:\Program Files\Lavasoft\Ad-Aware 2007\aawservice.exe

C:\WINDOWS\system32\spoolsv.exe

C:\Program Files\Avira\AntiVir PersonalEdition Classic\sched.exe

C:\Program Files\Avira\AntiVir PersonalEdition Classic\avguard.exe

C:\Program Files\Avira\AntiVir PersonalEdition Classic\avgnt.exe

C:\Program Files\Tlen.pl\tlen.exe

C:\WINDOWS\system32\wscntfy.exe

C:\Program Files\Mozilla Firefox\firefox.exe

C:\WINDOWS\explorer.exe

C:\Program Files\Trend Micro\HijackThis\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Local Page =

O2 - BHO: (no name) - {4E3E60F5-F691-475F-AFBA-CF9FCAB47C15} - C:\WINDOWS\system32\wvUllmLD.dll

O4 - HKLM…\Run: [avgnt] “C:\Program Files\Avira\AntiVir PersonalEdition Classic\avgnt.exe” /min

O4 - HKCU…\Run: [Komunikator] C:\Program Files\Tlen.pl\tlen.exe

O4 - HKCU…\Run: [Gadu-Gadu] “C:\Program Files\Gadu-Gadu\gg.exe” /tray

O4 - HKUS\S-1-5-19…\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User ‘USŁUGA LOKALNA’)

O4 - HKUS\S-1-5-20…\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User ‘USŁUGA SIECIOWA’)

O20 - Winlogon Notify: wvUllmLD - C:\WINDOWS\SYSTEM32\wvUllmLD.dll

O23 - Service: Ad-Aware 2007 Service (aawservice) - Lavasoft - C:\Program Files\Lavasoft\Ad-Aware 2007\aawservice.exe

O23 - Service: Avira AntiVir Personal – Free Antivirus Scheduler (AntiVirScheduler) - Avira GmbH - C:\Program Files\Avira\AntiVir PersonalEdition Classic\sched.exe

O23 - Service: Avira AntiVir Personal – Free Antivirus Guard (AntiVirService) - Avira GmbH - C:\Program Files\Avira\AntiVir PersonalEdition Classic\avguard.exe

O23 - Service: InstallDriver Table Manager (IDriverT) - Macrovision Corporation - C:\Program Files\Common Files\InstallShield\Driver\11\Intel 32\IDriverT.exe

–

End of file - 2206 bytes

#2

Te w/w wpisy sfiksuj w Hijacku:

>>Hijack>>scan(Do a system scan only)>>zaznacz je >> Fix checked

Daj log z -----> ComboFix.

:slight_smile:

#3

fix w hijackthis

Pobierz ComboFix, ale nie uruchamiaj

Otwórz notatnik i wklej do niego:

File::

C:\WINDOWS\system32\wvUllmLD.dll

C:\WINDOWS\system32\vvjtwodr.dll

C:\WINDOWS\SYSTEM32\winbjt32.dll

C:\WINDOWS\SYSTEM32\wvUllmLD.dll

Plik -> zapisz jako -> CFScript.txt.

Przeciągnij i upuść ikonkę CFScript.txt na ikonkę ComboFix.exe tak jak tu ->

02f8f1e3c410a4cc.gif

Rozpocznie się usuwanie i powstanie log, który dasz na forum.

Logi dajesz na http://wklejto.pl lub na http://wklej.org a w poście dajesz tylko link

#4

cahirek ,

Zapoznaj się z tematem Ważny komunikat dotyczący tytułowania tematów - popraw tytuł na konkretny, mówiący o problemie. W celu dokonania zaleconej korekty - proszę użyć przycisku ac7a4cd89050aa6e.gif

Zignorowanie zalecenia będzie skutkowało usunięciem tematu do Kosza.

Ważne

W związku ze zmianą, jaka obowiązuje przy wklejaniu logów na Forum - przeczytaj i zastosuj się do Tematu

Temat przenoszę.

#5

Już je kasowałem ale się “odrodziły.”

Oto log:

http://wklejto.pl/6723

EDIT:

Wygląda na to, że usuwanie combofixem przyniosło efekt. Wirusa nie widać. Wielkie dzięki.

#6

Pobierz ComboFix, ale nie uruchamiaj

Otwórz notatnik i wklej do niego:

File::

C:\WINDOWS\BM1fcbcb71.xml

Plik -> zapisz jako -> CFScript.txt.

Przeciągnij i upuść ikonkę CFScript.txt na ikonkę ComboFix.exe tak jak tu ->

02f8f1e3c410a4cc.gif

Rozpocznie się usuwanie i powstanie log, który dasz na forum.

Logi dajesz na http://wklejto.pl lub na http://wklej.org a w poście dajesz tylko link