Nieusuwalny trojan (2)


(Yamal) #1

Witam (wiem ze byl juz taki temat)Mam od 3 dni pewien problem - mianowicie ESET wykrywa mi jakiegoś trojana, którego ani nie może usunąć, ani wyleczyć mozna dac tylko funkcje pozostaw zrobilem loga w programie GMER i wyskoczylo mi ze program gmer znalazl modyfikacje systemu wzkazujace na obecnosc ROOTKIT'a

oto log z programu GMER:

wrzucilem na imageshack

http://img6.imageshack.us/gal.php?g=now ... owavcb.png

oto log z hijackthis :

Logfile of Trend Micro HijackThis v2.0.2

Scan saved at 21:42:47, on 2009-07-26

Platform: Windows XP Dodatek SP3 (WinNT 5.01.2600)

MSIE: Internet Explorer v8.00 (8.00.6001.18702)

Boot mode: Normal

Running processes:

C:\WINDOWS\System32\smss.exe

C:\WINDOWS\system32\winlogon.exe

C:\WINDOWS\system32\services.exe

C:\WINDOWS\system32\lsass.exe

C:\WINDOWS\system32\svchost.exe

C:\WINDOWS\System32\svchost.exe

C:\WINDOWS\Explorer.EXE

C:\WINDOWS\system32\spoolsv.exe

C:\Program Files\Eset\nod32kui.exe

C:\WINDOWS\RTHDCPL.EXE

C:\Program Files\HP\HP Software Update\HPWuSchd2.exe

C:\Program Files\Java\jre6\bin\jusched.exe

C:\WINDOWS\system32\mmrtkrnl.exe

C:\WINDOWS\system32\RUNDLL32.EXE

C:\WINDOWS\system32\ctfmon.exe

C:\Program Files\Sony Ericsson\Sony Ericsson PC Suite\SEPCSuite.exe

C:\Program Files\HP\Digital Imaging\bin\hpqtra08.exe

C:\Program Files\HP\Digital Imaging\bin\hpqSTE08.exe

C:\Program Files\IVT Corporation\BlueSoleil\BTNtService.exe

C:\Program Files\GameTracker\GSInGameService.exe

C:\Program Files\Java\jre6\bin\jqs.exe

C:\Program Files\Eset\nod32krn.exe

C:\WINDOWS\system32\nvsvc32.exe

C:\WINDOWS\system32\PnkBstrA.exe

C:\WINDOWS\system32\svchost.exe

C:\Program Files\HP\Digital Imaging\Product Assistant\bin\hprblog.exe

C:\Program Files\Mozilla Firefox\firefox.exe

C:\Program Files\Trend Micro\HijackThis\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.entretieneteds.vze.com

R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://go.microsoft.com/fwlink/?LinkId=69157

R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://go.microsoft.com/fwlink/?LinkId=54896

R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = http://go.microsoft.com/fwlink/?LinkId=54896

R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = http://go.microsoft.com/fwlink/?LinkId=69157

R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Łącza

R3 - URLSearchHook: Winamp Search Class - {57BCA5FA-5DBB-45a2-B558-1755C3F6253B} - C:\Program Files\Winamp Toolbar\winamptb.dll

R3 - URLSearchHook: Search Class - {08C06D61-F1F3-4799-86F8-BE1A89362C85} - C:\PROGRA~1\NEOSTR~1\SEARCH~1.DLL (file missing)

O2 - BHO: AcroIEHelperStub - {18DF081C-E8AD-4283-A596-FA578C2EBDC3} - C:\Program Files\Common Files\Adobe\Acrobat\ActiveX\AcroIEHelperShim.dll

O2 - BHO: Skype add-on (mastermind) - {22BF413B-C6D2-4d91-82A9-A0F997BA588C} - C:\Program Files\Skype\Toolbars\Internet Explorer\SkypeIEPlugin.dll

O2 - BHO: Winamp Toolbar Loader - {25CEE8EC-5730-41bc-8B58-22DDC8AB8C20} - C:\Program Files\Winamp Toolbar\winamptb.dll

O2 - BHO: Google Toolbar Helper - {AA58ED58-01DD-4d91-8333-CF10577473F7} - c:\program files\google\googletoolbar.dll

O2 - BHO: Java™ Plug-In 2 SSV Helper - {DBC80044-A445-435b-BC74-9C25C1C588A9} - C:\Program Files\Java\jre6\bin\jp2ssv.dll

O2 - BHO: JQSIEStartDetectorImpl - {E7E6F031-17CE-4C07-BC86-EABFE594F69C} - C:\Program Files\Java\jre6\lib\deploy\jqs\ie\jqs_plugin.dll

O2 - BHO: IEPluginBHO - {F5CC7F02-6F4E-4462-B5B1-394A57FD3E0D} - C:\Documents and Settings\xx\Dane aplikacji\Nowe Gadu-Gadu_userdata\ggbho.1.dll

O3 - Toolbar: Winamp Toolbar - {EBF2BA02-9094-4c5a-858B-BB198F3D8DE2} - C:\Program Files\Winamp Toolbar\winamptb.dll

O3 - Toolbar: &Google - {2318C2B1-4965-11d4-9B18-009027A5CD4F} - c:\program files\google\googletoolbar.dll

O4 - HKLM..\Run: [nod32kui] "C:\Program Files\Eset\nod32kui.exe" /WAITSERVICE

O4 - HKLM..\Run: [RTHDCPL] RTHDCPL.EXE

O4 - HKLM..\Run: [Alcmtr] ALCMTR.EXE

O4 - HKLM..\Run: [HP Software Update] C:\Program Files\HP\HP Software Update\HPWuSchd2.exe

O4 - HKLM..\Run: [NeroFilterCheck] C:\WINDOWS\system32\NeroCheck.exe

O4 - HKLM..\Run: [sunJavaUpdateSched] "C:\Program Files\Java\jre6\bin\jusched.exe"

O4 - HKLM..\Run: [Realtime Audio Engine] "mmrtkrnl.exe" /i

O4 - HKLM..\Run: [Adobe Reader Speed Launcher] "C:\Program Files\Adobe\Reader 9.0\Reader\Reader_sl.exe"

O4 - HKLM..\Run: [amd_dc_opt] "C:\Program Files\AMD\amd_dc_opt\amd_dc_opt.exe"

O4 - HKLM..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\system32\NvCpl.dll,NvStartup

O4 - HKLM..\Run: [nwiz] nwiz.exe /install

O4 - HKLM..\Run: [NvMediaCenter] RUNDLL32.EXE C:\WINDOWS\system32\NvMcTray.dll,NvTaskbarInit

O4 - HKLM..\Run: [KernelFaultCheck] %systemroot%\system32\dumprep 0 -k

O4 - HKCU..\Run: [CTFMON.EXE] C:\WINDOWS\system32\ctfmon.exe

O4 - HKCU..\Run: [sony Ericsson PC Suite] "C:\Program Files\Sony Ericsson\Sony Ericsson PC Suite\SEPCSuite.exe" /systray /nologon

O4 - HKUS\S-1-5-19..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'USŁUGA LOKALNA')

O4 - HKUS\S-1-5-20..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'USŁUGA SIECIOWA')

O4 - HKUS\S-1-5-18..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'SYSTEM')

O4 - HKUS.DEFAULT..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'Default user')

O4 - Global Startup: HP Digital Imaging Monitor.lnk = C:\Program Files\HP\Digital Imaging\bin\hpqtra08.exe

O6 - HKCU\Software\Policies\Microsoft\Internet Explorer\Control Panel present

O8 - Extra context menu item: &Google Search - res://C:\Program Files\Google\googletoolbar.dll/cmsearch.html

O8 - Extra context menu item: &Winamp Search - C:\Documents and Settings\All Users\Dane aplikacji\Winamp Toolbar\ieToolbar\resources\en-US\local\search.html

O8 - Extra context menu item: Backward &Links - res://C:\Program Files\Google\googletoolbar.dll/cmbacklinks.html

O8 - Extra context menu item: Cac&hed Snapshot of Page - res://C:\Program Files\Google\googletoolbar.dll/cmcache.html

O8 - Extra context menu item: E&ksport do programu Microsoft Excel - res://C:\PROGRA~1\MICROS~2\OFFICE11\EXCEL.EXE/3000

O8 - Extra context menu item: Si&milar Pages - res://C:\Program Files\Google\googletoolbar.dll/cmsimilar.html

O8 - Extra context menu item: Translate into English - res://C:\Program Files\Google\googletoolbar.dll/cmtrans.html

O9 - Extra button: Skype - {77BF5300-1474-4EC7-9980-D32B190E9B07} - C:\Program Files\Skype\Toolbars\Internet Explorer\SkypeIEPlugin.dll

O9 - Extra button: Badanie - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - C:\PROGRA~1\MICROS~2\OFFICE11\REFIEBAR.DLL

O9 - Extra button: (no name) - {e2e2dd38-d088-4134-82b7-f2ba38496583} - C:\WINDOWS\Network Diagnostic\xpnetdiag.exe

O9 - Extra 'Tools' menuitem: @xpsp3res.dll,-20001 - {e2e2dd38-d088-4134-82b7-f2ba38496583} - C:\WINDOWS\Network Diagnostic\xpnetdiag.exe

O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe

O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe

O16 - DPF: {17492023-C23A-453E-A040-C7C580BBF700} (Windows Genuine Advantage Validation Tool) - http://go.microsoft.com/fwlink/?linkid=39204

O16 - DPF: {6E32070A-766D-4EE6-879C-DC1FA91D2FC3} (MUWebControl Class) - http://update.microsoft.com/microsoftup ... 7633237281

O18 - Protocol: skype4com - {FFC8B962-9B40-4DFF-9458-1830C7DD7F5D} - C:\PROGRA~1\COMMON~1\Skype\SKYPE4~1.DLL

O23 - Service: BlueSoleil Hid Service - Unknown owner - C:\Program Files\IVT Corporation\BlueSoleil\BTNtService.exe

O23 - Service: Firebird Server - MAGIX Instance (FirebirdServerMAGIXInstance) - MAGIX® - C:\Program Files\MAGIX\Common\Database\bin\fbserver.exe

O23 - Service: getPlus® Helper - NOS Microsystems Ltd. - C:\Program Files\NOS\bin\getPlus_HelperSvc.exe

O23 - Service: GS In-Game Service - ClanServers Hosting LLC - C:\Program Files\GameTracker\GSInGameService.exe

O23 - Service: Usługa Google Update (gupdate1c9cb2d178be702) (gupdate1c9cb2d178be702) - Google Inc. - C:\Program Files\Google\Update\GoogleUpdate.exe

O23 - Service: Java Quick Starter (JavaQuickStarterService) - Sun Microsystems, Inc. - C:\Program Files\Java\jre6\bin\jqs.exe

O23 - Service: NOD32 Kernel Service (NOD32krn) - Eset - C:\Program Files\Eset\nod32krn.exe

O23 - Service: nProtect GameGuard Service (npggsvc) - Unknown owner - C:\WINDOWS\system32\GameMon.des.exe (file missing)

O23 - Service: NVIDIA Display Driver Service (NVSvc) - NVIDIA Corporation - C:\WINDOWS\system32\nvsvc32.exe

O23 - Service: Pml Driver HPZ12 - HP - C:\WINDOWS\system32\HPZipm12.exe

O23 - Service: PnkBstrA - Unknown owner - C:\WINDOWS\system32\PnkBstrA.exe

--

End of file - 8433 bytes

LUDZIE POMORZCIE PLS O TEN WIRUS MNIE TAK DRECZY

-- Dodane 26.07.2009 (N) 21:53 --

Przepraszam tu sa logi z GMER http://img6.imageshack.us/gal.php?g=now ... owavcb.png


(deFco247) #2

Logi wklejasz na wklej.org lub wklej.to, a w poście dajesz link.

W GMER-ze kopiujesz log klikając Kopiuj.

Jak jest rootkit, to od razu trzeba zapuścić Combofixa.

Pobierz Combofix i uruchom.

Pokaż log.

Podczas pobierania i skanowania Combofixem należy wyłączyć wszelkie antywirusy i firewalle.


(Yamal) #3

mam jeszcze 1 problem mam nod32 i gdy dalem ppm na ta ikonke w pasku a pozniej zakoncz wlaczylem combofixa i napisalo ze nod32 jest wlaczony jak go zupelnie wylaczyc?


(deFco247) #4

Nie spotkałem się jeszcze z wyłączonym NOD-em.

Kontynuuj mimo to skan Combofix.


(Yamal) #5

deFco247 ja bede dopiero jutro i wtedy mi powiedz co i jak bo narazie ide spac :stuck_out_tongue: a gdy bede spal moglbys napisac jak wylaczyc tego noda bo w tej sprawie jestem matol :smiley:

-- Dodane 26.07.2009 (N) 22:16 --

albo zostane jeszcze z godzinke a nic sie z sytemem nie stanie bo pisze ze moze sie uszkodzic :confused: ?


(deFco247) #6

Nie wiem jak wyłączyć całkowicie ochronę rezydentną NOD-a. :stuck_out_tongue:

Nie wiem nawet czy komukolwiek to się udało.

Jednak tuż przed uruchomieniem Combofixa wykonaj następujące czynności:

Start -> Uruchom... -> cmd

Wpisujesz w oknie:

Otwórz Notatnik i wklej do niego:

Plik zapisz pod nazwą CFScript , najlepiej w tym samym folderze co Combofix.exe

Przeciągnij i upuść ikonkę CFScript.txt na ikonkę Combofix.exe

Powinno się rozpocząć usuwanie.

_ Potem dajesz log z usuwania Combofix. _


(Yamal) #7

Jednak tuż przed uruchomieniem Combofixa wykonaj następujące czynności:

Start -> Uruchom... -> cmd

Wpisujesz w oknie:

attrib -R -S -H -A C:\WINDOWS\system32\hjgruiosixnrvx.dll

mowiles abym to zrobil i napisalo ze system nie odnalazl pliku

C:\WINDOWS\system32\hjgruiosixnrvx.dll

to dobrze? :smiley:

-- Dodane 26.07.2009 (N) 22:30 --

moze nic nie trzeba bedzie robic bo zrobilem 1 rzecz ktora opisales w innytm temacie 2 razy resetnalem kompa i wirus juz sie nie pokazywal hmm moze juz nic nie bedzie

-- Dodane 26.07.2009 (N) 22:31 --

aha ta rzecz ktora zrobilem to : Pobierz The Avenger i uruchom.

Wklej w niego ten tekst:

Drivers to delete:

AlerterAlerterALG

AlerterALG

Files to delete:

C:\WINDOWS\TEMP\erxbypdnie.exe

Execute i zgadzasz się na restart.


(deFco247) #8

Ciężko jest rozczytać ze zdjęcia nazwę tej durnej biblioteki... :stuck_out_tongue:

Uruchom Combofixa normalnie, bez skryptu.


(Yamal) #9

ok juz odpalam a co to za powiadomienie o prawach autorskich programu combofix :smiley:

-- Dodane 26.07.2009 (N) 22:35 --

pisze mi : zrzeczenie sie gwarancji na oprogramowanie ...


(deFco247) #10

Czytałeś instrukcję Combofixa dokładnie?

Masz na wszystko się zgadzać i nawet nie ruszać myszką!


(Yamal) #11

http://wklej.to/grwM

-- Dodane 26.07.2009 (N) 23:30 --

ja bd jutro zobaczymy czy wyskoczy robal przy uruchamianiu :smiley: jak cos poradz co mam dalej zrobic [-o<


(deFco247) #12

Już ROOTKITA nie ma, ale jest kilka innych, mniejszych infekcji.

Może to głupie, ale Combofix Ci wywalił kilka folderów z Pulpitu. :expressionless:

Otwórz Notatnik i wklej do niego:

Plik zapisz pod nazwą CFScript , najlepiej w tym samym folderze co Combofix.exe

Przeciągnij i upuść ikonkę CFScript.txt na ikonkę Combofix.exe

Powinno się rozpocząć usuwanie.

_ Potem dajesz log z usuwania Combofix. _


(Yamal) #13

folderow zadnych nie wywalil z pulpitu a teraz usuwam te inne infekcje :stuck_out_tongue:

prosze oto log z combofixa po tym co kazales mi zrobic

http://wklej.to/RGGc

-- Dodane 27.07.2009 (Pn) 11:56 --

czy mam usunac teraz ten plik : C/Qoobox ??

prosze masz jeszcze log z combofixa gdyby byl potrzebny

http://wklej.to/redE i prosze o odp. czy mam usunac plik C/Qoobox :)?


(deFco247) #14

Teraz wszystko wygląda OK. :slight_smile:

A co z tym?

Może to należy do kogoś z innego konta na twym komputerze:

Jeśli jeszcze chcesz je odzyskać, to wyciągnij je z folderu C:\Qoobox\Quarantine\C\documents and settings\xx\Pulpit

Menu Start -> Uruchom... -> Combofix /u

Wyczyść rejestr i dysk CCleaner.

Usuń zbędniki z autostartu.

Wykonaj pełny skan Malwarebytes' Anti-Malware - znalezione obiekty usuń.

Gdy będą wirusy pokaż raport.


(Yamal) #15

dziekuje za wszystko jestem pana wielkim dluznikiem


(deFco247) #16

Ten folder usunie komenda:

To usunie Combofixa razem z jego kwarantanną.

Raczej nie.


(Yamal) #17

o malwarebytes juz 2 infekcje wyszukal