Niewidoczny plik w menu start

[wieslaw135]

Od jakiegoś czasu rózne programy wskazują mi na obecnosć pliku wintjo32.exe w folderze menustart/Programy. Wpis taki pojawia się w programie HijackThis kiedy go odznaczam to po kolejnym uruchomieniu Hijack znów pojawia sie ten wpis. Po uruchomieniu msconfig/ w zakładce uruchamianie też się pojawia ten zapis, kiedy go odznaczam to znów wraca jako nowywpis zazanczony. Taki program jak prevx odnajduje to jako niebezpieczny i wskazuje na obecnośc tego pliku w menu strat a tam go nie widzę. W narzędziach - opcje folderów mam odznaczone pokazywanie plików i folderow systemowych i w tym przypadku tez nie jest pokazany ten plik. Juz nie wiem co mam robić? Prosze o poradę.

[jessica]

Daj log z OTL

jessi

[wieslaw135]

C:\WINDOWS\System32\smss.exe

C:\WINDOWS\system32\csrss.exe

C:\WINDOWS\system32\winlogon.exe

C:\WINDOWS\system32\services.exe

C:\WINDOWS\system32\lsass.exe

C:\WINDOWS\system32\svchost.exe

C:\WINDOWS\system32\svchost.exe

C:\WINDOWS\System32\svchost.exe

C:\WINDOWS\system32\svchost.exe

C:\WINDOWS\system32\svchost.exe

C:\WINDOWS\system32\spoolsv.exe

C:\WINDOWS\Explorer.EXE

C:\Program Files\CyberLink\PowerDVD\PDVDServ.exe

C:\WINDOWS\system32\hkcmd.exe

C:\WINDOWS\system32\igfxpers.exe

C:\WINDOWS\RTHDCPL.EXE

C:\Program Files\Spyware Doctor\pctsTray.exe

C:\Program Files\PWN\Definicje\Bin\Starter.exe

C:\Program Files\HP\HP Software Update\HPWuSchd2.exe

C:\Program Files\Unlocker\UnlockerAssistant.exe

C:\Program Files\Kaspersky Lab\Kaspersky Anti-Virus 2010\avp.exe

C:\WINDOWS\system32\igfxsrvc.exe

C:\Program Files\Java\jre6\bin\jusched.exe

C:\WINDOWS\system32\ctfmon.exe

C:\Program Files\Skype\Phone\Skype.exe

C:\Program Files\Internet Download Manager\IDMan.exe

C:\Program Files\HP\Digital Imaging\bin\hpqtra08.exe

C:\Program Files\Kalendarz XP\Kalendarz.exe

C:\WINDOWS\system32\svchost.exe

C:\Program Files\Kaspersky Lab\Kaspersky Anti-Virus 2010\avp.exe

C:\Program Files\Prevx\prevx.exe

C:\Documents and Settings\User\Menu Start\Programy\Autostart\wintjo32.exe

C:\WINDOWS\system32\svchost.exe

C:\Program Files\Java\jre6\bin\jqs.exe

C:\Program Files\Common Files\LightScribe\LSSrvc.exe

C:\Program Files\Common Files\Microsoft Shared\VS7DEBUG\MDM.EXE

C:\Program Files\Common Files\Nero\Nero BackItUp 4\NBService.exe

C:\WINDOWS\System32\svchost.exe

C:\Program Files\Prevx\prevx.exe

C:\WINDOWS\System32\svchost.exe

C:\Program Files\Spyware Doctor\pctsAuxs.exe

C:\Program Files\Spyware Doctor\pctsSvc.exe

C:\WINDOWS\system32\svchost.exe

C:\Program Files\Skype\Plugin Manager\skypePM.exe

C:\WINDOWS\system32\wbem\wmiapsrv.exe

C:\WINDOWS\System32\alg.exe

C:\Program Files\Internet Download Manager\IEMonitor.exe

C:\Program Files\HP\Digital Imaging\bin\hpqSTE08.exe

C:\Program Files\HP\Digital Imaging\bin\hpqbam08.exe

C:\Program Files\HP\Digital Imaging\bin\hpqgpc01.exe

C:\Program Files\CCleaner\CCleaner.exe

C:\Program Files\Internet Explorer\iexplore.exe

C:\Program Files\Internet Explorer\iexplore.exe

C:\Program Files\Kaspersky Lab\Kaspersky Anti-Virus 2010\klwtblfs.exe

C:\Program Files\Microsoft Office\OFFICE11\WINWORD.EXE

C:\HijackThis.exe

C:\WINDOWS\system32\wbem\wmiprvse.exe

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://www.onet.pl/

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Bar = http://szukaj.wp.pl

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = about:blank

R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://go.microsoft.com/fwlink/?LinkId=69157

R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://go.microsoft.com/fwlink/?LinkId=54896

R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = http://go.microsoft.com/fwlink/?LinkId=54896

R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = about:blank

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Local Page =

R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Łącza

R3 - URLSearchHook: (no name) - *{08C06D61-F1F3-4799-86F8-BE1A89362C85} - (no file)

R3 - URLSearchHook: (no name) - *{CFBFAE00-17A6-11D0-99CB-00C04FD64497} - (no file)

O2 - BHO: IDM Helper - {0055C089-8582-441B-A0BF-17B458C2A3A8} - C:\Program Files\Internet Download Manager\IDMIECC.dll

O2 - BHO: HP Print Enhancer - {0347C33E-8762-4905-BF09-768834316C61} - C:\Program Files\HP\Digital Imaging\Smart Web Printing\hpswp_printenhancer.dll

O2 - BHO: IEVkbdBHO - {59273AB4-E7D3-40F9-A1A8-6FA9CCA1862C} - C:\Program Files\Kaspersky Lab\Kaspersky Anti-Virus 2010\ievkbd.dll

O2 - BHO: Google Toolbar Helper - {AA58ED58-01DD-4d91-8333-CF10577473F7} - C:\Program Files\Google\Google Toolbar\GoogleToolbar_32.dll

O2 - BHO: Google Toolbar Notifier BHO - {AF69DE43-7D58-4638-B6FA-CE66B5AD205D} - C:\Program Files\Google\GoogleToolbarNotifier\5.4.4525.1752\swg.dll

O2 - BHO: Java Plug-In 2 SSV Helper - {DBC80044-A445-435b-BC74-9C25C1C588A9} - C:\Program Files\Java\jre6\bin\jp2ssv.dll

O2 - BHO: link filter bho - {E33CF602-D945-461A-83F0-819F76A199F8} - C:\Program Files\Kaspersky Lab\Kaspersky Anti-Virus 2010\klwtbbho.dll

O2 - BHO: JQSIEStartDetectorImpl - {E7E6F031-17CE-4C07-BC86-EABFE594F69C} - C:\Program Files\Java\jre6\lib\deploy\jqs\ie\jqs_plugin.dll

O2 - BHO: HP Smart BHO Class - {FFFFFFFF-CF4E-4F2B-BDC2-0E72E116A856} - C:\Program Files\HP\Digital Imaging\Smart Web Printing\hpswp_BHO.dll

O3 - Toolbar: Google Toolbar - {2318C2B1-4965-11d4-9B18-009027A5CD4F} - C:\Program Files\Google\Google Toolbar\GoogleToolbar_32.dll

O4 - HKLM..\Run: [NeroFilterCheck] C:\WINDOWS\system32\NeroCheck.exe

O4 - HKLM..\Run: [RemoteControl] "C:\Program Files\CyberLink\PowerDVD\PDVDServ.exe"

O4 - HKLM..\Run: [igfxTray] C:\WINDOWS\system32\igfxtray.exe

O4 - HKLM..\Run: [HotKeysCmds] C:\WINDOWS\system32\hkcmd.exe

O4 - HKLM..\Run: [Persistence] C:\WINDOWS\system32\igfxpers.exe

O4 - HKLM..\Run: [RTHDCPL] RTHDCPL.EXE

O4 - HKLM..\Run: [Alcmtr] ALCMTR.EXE

O4 - HKLM..\Run: [iSTray] "C:\Program Files\Spyware Doctor\pctsTray.exe"

O4 - HKLM..\Run: [DemonStarter] C:\Program Files\PWN\Definicje\Bin\Starter.exe

O4 - HKLM..\Run: [HP Software Update] C:\Program Files\HP\HP Software Update\HPWuSchd2.exe

O4 - HKLM..\Run: [hpqSRMon] C:\Program Files\HP\Digital Imaging\bin\hpqSRMon.exe

O4 - HKLM..\Run: [unlockerAssistant] "C:\Program Files\Unlocker\UnlockerAssistant.exe"

O4 - HKLM..\Run: [AVP] "C:\Program Files\Kaspersky Lab\Kaspersky Anti-Virus 2010\avp.exe"

O4 - HKLM..\Run: [sunJavaUpdateSched] "C:\Program Files\Java\jre6\bin\jusched.exe"

O4 - HKLM..\Run: [MSConfig] C:\WINDOWS\PCHealth\HelpCtr\Binaries\MSConfig.exe /auto

O4 - HKCU..\Run: [Odkurzacz-MCD] C:\Program Files\Odkurzacz\odk_mcd.exe

O4 - HKCU..\Run: [ctfmon.exe] C:\WINDOWS\system32\ctfmon.exe

O4 - HKCU..\Run: [ccleaner] "C:\Program Files\CCleaner\CCleaner.exe" /AUTO

O4 - HKCU..\Run: [swg] "C:\Program Files\Google\GoogleToolbarNotifier\GoogleToolbarNotifier.exe"

O4 - HKCU..\Run: [skype] "C:\Program Files\Skype\Phone\Skype.exe" /nosplash /minimized

O4 - HKCU..\Run: [ares] "C:\Program Files\Ares\Ares.exe" -h

O4 - HKCU..\Run: [iDMan] C:\Program Files\Internet Download Manager\IDMan.exe /onboot

O4 - HKUS\S-1-5-19..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'USŁUGA LOKALNA')

O4 - HKUS\S-1-5-20..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'USŁUGA SIECIOWA')

O4 - HKUS\S-1-5-18..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'SYSTEM')

O4 - HKUS.DEFAULT..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'Default user')

O4 - Startup: wintjo32.exe

O4 - Global Startup: Adobe Gamma Loader.exe.lnk = C:\Program Files\Common Files\Adobe\Calibration\Adobe Gamma Loader.exe

O4 - Global Startup: HP Digital Imaging Monitor.lnk = C:\Program Files\HP\Digital Imaging\bin\hpqtra08.exe

O4 - Global Startup: Kalendarz XP.lnk = C:\Program Files\Kalendarz XP\Kalendarz.exe

O8 - Extra context menu item: E&ksport do programu Microsoft Excel - res://C:\PROGRA~1\MICROS~2\OFFICE11\EXCEL.EXE/3000

O8 - Extra context menu item: Funkcja Google Sidewiki - res://C:\Program Files\Google\Google Toolbar\Component\GoogleToolbarDynamic_mui_en_60D6097707281E79.dll/cmsidewiki.html

O8 - Extra context menu item: Ściągnij przez IDM - C:\Program Files\Internet Download Manager\IEExt.htm

O8 - Extra context menu item: Ściągnij wszystkie linki przez IDM - C:\Program Files\Internet Download Manager\IEGetAll.htm

O8 - Extra context menu item: Ściągnij zawartość wideo FLV przez IDM - C:\Program Files\Internet Download Manager\IEGetVL.htm

O9 - Extra button: &Wirtualna klawiatura - {4248FE82-7FCB-46AC-B270-339F08212110} - C:\Program Files\Kaspersky Lab\Kaspersky Anti-Virus 2010\klwtbbho.dll

O9 - Extra button: Badanie - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - C:\PROGRA~1\MICROS~2\OFFICE11\REFIEBAR.DLL

O9 - Extra button: &Sprawdzanie adresów - {CCF151D8-D089-449F-A5A4-D9909053F20F} - C:\Program Files\Kaspersky Lab\Kaspersky Anti-Virus 2010\klwtbbho.dll

O9 - Extra button: Zaznaczanie HP Smart - {DDE87865-83C5-48c4-8357-2F5B1AA84522} - C:\Program Files\HP\Digital Imaging\Smart Web Printing\hpswp_BHO.dll

O9 - Extra button: (no name) - {e2e2dd38-d088-4134-82b7-f2ba38496583} - C:\WINDOWS\Network Diagnostic\xpnetdiag.exe

O9 - Extra 'Tools' menuitem: @xpsp3res.dll,-20001 - {e2e2dd38-d088-4134-82b7-f2ba38496583} - C:\WINDOWS\Network Diagnostic\xpnetdiag.exe

O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe

O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe

O16 - DPF: {5ED80217-570B-4DA9-BF44-BE107C0EC166} (Windows Live Safety Center Base Module) - http://cdn.scan.onecare.live.com/resour ... se5483.cab

O16 - DPF: {68282C51-9459-467B-95BF-3C0E89627E55} (MksSkanerOnline Class) - http://www.mks.com.pl/skaner/SkanerOnline.cab

O16 - DPF: {6E32070A-766D-4EE6-879C-DC1FA91D2FC3} (MUWebControl Class) - http://update.microsoft.com/microsoftup ... 4982813625

O16 - DPF: {7530BFB8-7293-4D34-9923-61A11451AFC5} - http://download.eset.com/special/eos/OnlineScanner.cab

O16 - DPF: {9191F686-7F0A-441D-8A98-2FE3AC1BD913} (ActiveScan 2.0 Installer Class) - http://acs.pandasoftware.com/activescan ... stubie.cab

O16 - DPF: {D27CDB6E-AE6D-11CF-96B8-444553540000} (Shockwave Flash Object) - https://download.macromedia.com/pub/sho ... wflash.cab

O18 - Protocol: skype4com - {FFC8B962-9B40-4DFF-9458-1830C7DD7F5D} - C:\PROGRA~1\COMMON~1\Skype\SKYPE4~1.DLL

O20 - AppInit_DLLs: C:\PROGRA~1\KASPER~1\KASPER~1\mzvkbd3.dll

O23 - Service: Kaspersky Anti-Virus (AVP) - Kaspersky Lab - C:\Program Files\Kaspersky Lab\Kaspersky Anti-Virus 2010\avp.exe

O23 - Service: CSIScanner - Prevx - C:\Program Files\Prevx\prevx.exe

O23 - Service: Usługa Google Update (gupdate1c9ab9c38b76c04) (gupdate1c9ab9c38b76c04) - Google Inc. - C:\Program Files\Google\Update\GoogleUpdate.exe

O23 - Service: Google Software Updater (gusvc) - Google - C:\Program Files\Google\Common\Google Updater\GoogleUpdaterService.exe

O23 - Service: Java Quick Starter (JavaQuickStarterService) - Sun Microsystems, Inc. - C:\Program Files\Java\jre6\bin\jqs.exe

O23 - Service: LightScribeService Direct Disc Labeling Service (LightScribeService) - Hewlett-Packard Company - C:\Program Files\Common Files\LightScribe\LSSrvc.exe

O23 - Service: Nero BackItUp Scheduler 4.0 - Nero AG - C:\Program Files\Common Files\Nero\Nero BackItUp 4\NBService.exe

O23 - Service: PC Tools Auxiliary Service (sdAuxService) - PC Tools - C:\Program Files\Spyware Doctor\pctsAuxs.exe

O23 - Service: PC Tools Security Service (sdCoreService) - PC Tools - C:\Program Files\Spyware Doctor\pctsSvc.exe

[jessica]

To jest log z Hijacka, a nie z OTL. Opis OTL jest na samym dole strony z linku.

Log wklej na http://wklejto.pl/, a w poście daj tylko link.(czyli skopiuj adres z paska adresów)

jessi

[wieslaw135]

http://wklejto.pl/49436

[deFco247]

To jest log Extras, a potrzebny jest log OTL.txt.

[wieslaw135]

http://wklejto.pl/49453

[hINDUss]

usuń plik C:\Documents and Settings\User\Menu Start\Programy\Autostart\wintjo32.exe

[wieslaw135]

Ale w tym rzecz, że on jest niewidoczny w tym miejscu

C:\Documents and Settings\User\Menu Start\Programy\Autostart\wintjo32.exe

[mati9681]

przez OTL wklej

C:\Documents and Settings\User\Menu Start\Programy\Autostart\wintjo32.exe

i usuń

[wieslaw135]

Ale jeszcze drogi kolego (mati9681) muisz mi powidzieć dokładnie jak to mam zrobić - nie bardzo wiem jak się do tego zabrać?

Prosze o instruktaż.

[Leon1]

OTL w oknie Custom Scans-Fixes wklej następujący skrypt:

:Processes explorer.exe :OTL PRC - C:\Documents and Settings\User\Menu Start\Programy\Autostart\wintjo32.exe DRV - File not found -- -- (pxscan) DRV - File not found -- -- (pxrts) DRV - File not found -- -- (pxkbf) O3 - HKCU..\Toolbar\WebBrowser: (Foxit Toolbar) - {3041D03E-FD4B-44E0-B742-2D9B88305F98} - C:\Program Files\AskBarDis\bar\bin\askBar.dll (Ask.com) :Files C:\Documents and Settings\User\Menu Start\Programy\Autostart\wintjo32.exe C:\Program Files\AskBarDis :Reg [-HKEY_CURRENT_USER\software\microsoft\windows\currentversion\explorer\mountpoints2] :Commands [emptytemp] [start explorer] [Reboot]

Kliknij w Run Fix. Zatwierdź restart komputera.

potem nowy scan i log OTL

[jessica]

Podam to usuwanie, ale po logu widzę, że jest to infekcja, która zaraża plik Systemowy "atapi".

Z tego względu lepsze będzie użycie >ComboFix , bo on potrafi podmienić ten plik, o ile jest zapasowa kopia na komputerze.

Uruchom OTL i w oknie Custom Scans/Fixes wklej to:

:OTL PRC - 2008-04-15 13:00:00 | 00,016,384 | ---- | M -- C:\Documents and Settings\User\Menu Start\Programy\Autostart\wintjo32.exe O4 - Startup: C:\Documents and Settings\User\Menu Start\Programy\Autostart\wintjo32.exe () [2009-11-22 21:43:23 | 00,000,000 | ---D | C] -- C:\Program Files\Dealio Toolbar 2009-11-30 23:16:50 | 00,000,004 | ---- | C -- C:\Documents and Settings\User\Dane aplikacji\avdrn.dat 2009-12-02 21:22:10 | 00,000,001 | ---- | C -- C:\Documents and Settings\User\oashdihasidhasuidhiasdhiashdiuasdhasd :Files C:\Documents and Settings\User\Menu Start\Programy\Autostart\wintjo32.exe C:\Program Files\Dealio Toolbar C:\Documents and Settings\User\oashdihasidhasuidhiasdhiashdiuasdhasd :Services pxscan pxrts pxkbf :Commands [emptytemp] [Reboot]

Kliknij w Run Fix. Zatwierdź restart komputera.

Następnie uruchom OTL ponownie, tym razem wywołaj opcję Run Scan.

Pokaż nowy log OTL.txt oraz log z czyszczenia.

Wykonanie tego powyższego nie będzie konieczne, jeśli dasz log z ComboFixa.

jessi

[wieslaw135]

To jest chyba log z czysczenia

http://wklejto.pl/49458

A to jest nowy log

http://wklejto.pl/49459

[jessica]

Uruchom OTL i w oknie Custom Scans/Fixes wklej to:

:OTL :Files C:\Documents and Settings\User\Dane aplikacji\avdrn.dat C:\Documents and Settings\User\Dane aplikacji\Search Settings C:\Documents and Settings\User\Dane aplikacji\Dealio C:\Program Files\Search Settings C:\Program Files\AskBarDis :Reg [HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Internet Explorer\Toolbar] "{3041D03E-FD4B-44E0-B742-2D9B88305F98}"=- :Commands [emptytemp] [Reboot]

Kliknij w Run Fix. Zatwierdź restart komputera.

Ale powtarzam: bez ComboFixa takie usuwanie raczej niewiele da, bo zarażony "atapi" będzie dbał o to, by infekcja stale się odnawiała.

jessi

[wieslaw135]

Do Jessi - dziękuję za dorady. Proszę tylko jeszcze sprawdzić ten login

To jest link do logina po uruchomieniu programu ComboFix

http://wklejto.pl/49497

Dziekuję i pozdrawiam

[jessica]

Zainfekowana kopia c:\windows\system32\DRIVERS\atapi.sys została znaleziona

Sam widzisz.

Wklej do Notatnika :

File::

c:\documents and settings\LocalService\Dane aplikacji\fqpdsw.dat

c:\windows\system32\config\systemprofile\Dane aplikacji\fqpdsw.dat

c:\documents and settings\User\Dane aplikacji\avdrn.dat

c:\windows\system32\drivers\OLD67.tmp

c:\windows\system32\drivers\OLD58.tmp


Registry::

[-HKLM\~\startupfolder\C:^Documents and Settings^User^Menu Start^Programy^Autostart^wintjo32.exe]

>>Plik>>Zapisz jako... >>> CFScript

Przeciągnij i upuść plik CFScript.txt na plik ComboFix.exe

--> [

Rozpocznie się usuwanie i powstanie log.

jessi

[wieslaw135]

Do jessi

Podaję ten log - to juz chyba osatateczny

http://wklejto.pl/49505

Dziękuję

[jessica]

[HKLM\~\startupfolder\C:^Documents and Settings^User^Menu Start^Programy^Autostart^wintjo32.exe] path=C:\Documents and Settings\User\Menu Start\Programy\Autostart\wintjo32.exe backup=C:\WINDOWS\pss\wintjo32.exeStartup

To sie nie usunęło.

Zainfekowana kopia C:\WINDOWS\system32\DRIVERS\atapi.sys została znaleziona. Problem naprawiono Plik odzyskano z - C:\System Volume Information

A jednak znowu trzeba było podmieniać plik, bo znowu był zarażony!

to juz chyba ostateczny

Miejmy nadzieję.

Może na wszelki wypadek użyj

>Dr. Web CureIt!

Link zapasowy: http://www.speedyshare.com/files/19501477/launch.exe

jessi

[wieslaw135]

Do Jessi

Przeskanowałem tym programem Dr. Web Curelt i niżej podaję wynik w posatci zrzutu ekranowego i wyniku z tego programu. Znów znalazł infekcje wirusa i trojana. wirusa zniszcyzł i wyleczył a trojana usunął

Ponadto przesyłam zrzut z msconfig gdzie w zakładce - "uruchamianie" na końcu dalej jest pozycja wintjo32.

Niestety nie wiem jak wstawić obraz .jpg do tego forum, ani jak wstawić plik o rozszerzeniu .csv