Podejrzewam jakiś syf na kompie- powód? - dziwne logi

[koszalek (M4thy5)]

Podejrzewam od dłuższego czasu zainfekowanie komputera jakimiś szpiegami lub innym syfem. Logi dosyć podejrzanie wg mnie sie prezentują, dlatego też wklejam i proszę o ocenę. Czy moje podejrzenia są właściwe?

W HijackThis jest wszystko ok oprócz tego:

O4 - HKLM…\Run: [synchronization Manager] mobsync.exe /logon O23 - Service: Usługa administracyjna Menedżera dysków logicznych (dmadmin) - VERITAS Software Corp. - D:\WINNT\System32\dmadmin.exe

tzn wg mnie to jest podejrzane bo kiedyś tego nie było.

Pełny log tutaj: http://wklej.org/id/20923/

ComboFix- pełny log:

http://wklej.org/hash/fbb1996494/

Nie podoba mi się w tym logu to:

d:\winnt\Web\default.htt 2008-11-09 10:40 . 08-11-09 10:40 16,384 --a------ d:\winnt\system32\Perflib_Perfdata_220.dat 2008-11-08 13:46 . 08-11-08 13:46 16,384 --a------ d:\winnt\system32\Perflib_Perfdata_21c.dat 2008-11-08 10:20 . 08-11-08 10:20 16,384 --a------ d:\winnt\system32\Perflib_Perfdata_224.dat 2008-11-07 10:19 . 08-11-07 10:19 16,384 --a------ d:\winnt\system32\Perflib_Perfdata_218.dat 2008-11-06 17:03 . 08-11-06 17:03 16,384 --a------ d:\winnt\system32\Perflib_Perfdata_4d4.dat 2008-11-05 12:08 . 08-11-05 12:08 99,328 --a------ d:\winnt\system32\vPanele.com 2008-11-05 11:22 . 02-05-15 16:16 462,848 --a------ d:\winnt\system32\msaatext.dll 2008-11-05 11:22 . 02-05-15 16:16 360,448 --a------ d:\winnt\system32\oleacc.dll 2008-11-05 11:22 . 02-05-15 16:16 360,448 --a------ d:\winnt\system32\dllcache\oleacc.dll 2008-11-05 11:22 . 02-05-15 16:16 356,352 --a------ d:\winnt\system32\oleaccrc.dll 2008-11-05 11:22 . 02-05-15 16:16 356,352 --a------ d:\winnt\system32\dllcache\oleaccrc.dll 2008-11-05 11:22 . 08-06-02 16:19 29,576 --a------ d:\winnt\system32\drivers\kcom.sys 2008-10-26 00:14 . 07-06-19 21:52 419,840 --a------ d:\winnt\system32\ws_edit.lib 2008-09-27 18:28 717,296 ----a-w d:\winnt\system32\drivers\sptd.sys 2000-08-29 23:00 32,528 ----a-w d:\winnt\inf\wbfirdma.sys S3 MEMSWEEP2;MEMSWEEP2;??\d:\winnt\system32\29.tmp []

P.S. Miałem włączony Sunbelt Firewall i nie dało sie włączyć ComboFixa (pytał sie o wieele rzeczy firewall przy próbie uruchomienia ComboFixa ale po zaakceptowaniu wszystkiego itak nie uruchomił sie), wyłączyłem więc ochronę firewalla nie wyłączając go jednak. ComboFix włączył sie ale firewall znikł z traya. To normalne? W procesach systemu jest w dalszym ciągu kilka procesów firewalla (SbPFLnch, SbPFSvc, SbPFCl).

Spybot pozostał nadal w trayu i po zakończeniu pracy ComboFix’a powiadomił o kilku zmianach w rejestrze, czy zatwierdzić zmiany… nie dopuściłem zmian. Czemu tak sie stało?

[huber2t]

Pobierz ComboFix, ale nie uruchamiaj

Wklej do notatnika:

File::

d:\winnt\system32\29.tmp


Driver::

MEMSWEEP2

Plik -> zapisz jako -> CFScript.txt.

Przeciągnij i upuść ikonkę CFScript.txt na ikonkę ComboFix.exe tak jak tu->

Rozpocznie się usuwanie i powstanie log, który dasz na forum.

Logi dajesz na http://wklej.eu lub na http://wklej.org a w poście dajesz tylko link

[Gutek]

Zastosuj się do tego Tematu i zmień tytuł tematu na konkretny inaczej KOSZ

Pozdrawiam Gutek2222

[koszalek (M4thy5)]

Poprawiłem temat.

huber2t, zrobiłem jak radziłeś, oto log:

http://wklej.org/id/20959/

Proces przebiegł podobnie jak wtedy gdy poprostu uruchomiłem ComboFix, komputer sie uruchomił teraz ponownie i ComboFix dokończył operacje.

P.S. Tym razem po operacji ComboFixa zgodziłem sie na 3 zmiany o które zapytał Spybot. W HijackThis pojawiło sie teraz takie coś:

R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://go.microsoft.com/fwlink/?LinkId=69157 R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://go.microsoft.com/fwlink/?LinkId=54896 R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = http://go.microsoft.com/fwlink/?LinkId=54896

poza tym reszta jest bez zmian, log: http://www.wklej.org/id/20971/

[huber2t]

W logu nic nie widzę

usuń ręcznie folder C: \Qoobox , usuń instalkę Combofix z dysku.

Przeczyść komputer Ccleanerem

Wykonaj optymalizację autostartu

Wyłącz i włącz przywracanie systemu na wszystkich dyskach. Instrukcja

Przeskanuj obszar całego komputera http://www.kaspersky.pl/virusscanner.html Daj raport z niego na forum

lub

Dr.WEB CureIt!

[koszalek (M4thy5)]

A co sądzisz o moich wątpliwościach z pierwszego posta (wcześniej poprawiłem i dodałem co wzbudza moje wątpliwości).

usuń ręcznie folder C: \Qoobox , usuń instalkę Combofix z dysku.

A dlaczego nie można zostawić go na dysku?

[huber2t]

Ponieważ ci klika dni wychodzi nowa wersja combofixa, i nie które antywirusy wykrywają w nim wirusa

[koszalek (M4thy5)]

http://www.virustotal.com wykryło że

ws_edit ->

eSafe 7.0.17.0 2008.11.23 Suspicious File

jeden skaner tak stwierdził

vpanele.com zostało okrzyknięte trojanem prawie przez wszystkie skanery

przystąpie do skanowania komputera ale najpierw chciałbym combofixem wszystko załatwić, ws_edit.lib moge usunąć?

[Gutek]

d:\winnt\system32\ws_edit.lib

d:\winnt\system32\vPanele.com

wklej cały raport ze skanu

[koszalek (M4thy5)]

Tu jest log skanu pliku ws_edit.lib: http://www.virustotal.com/pl/analisis/6 … 45401aba4c

Przeskanowałem teraz programem D.Web@ d:\winnt\system32\ i strasznie długo to trwa, jeszcze nie skończyło ale wykryło vpanele.com i usunął. Skanując przedtem sam plik ws_edit.lib nic nie wykrył. Dziwne że gdy skanuje cały komputer D.Web to trwa to krótko a teraz tylko jeden folder wskazałem to trwa to już conajmniej 5 razy dłużej, wtedy gdy cały komputer skanował to nic nie wykrywał, a plik ten był od dawna w tym folderze… :o

Teraz pytanie- czy usuwać czy zostawiać ws_edit.lib?