Problem z winlogon.exe

Dla specjalistów Bezpieczeństwo
#1

Witam to mój pierwszy post i spory problem otóż program a-squared free znalazł wirusa w pliku winlogon.exe w katalogu C:\WINDOWS\System32\winlogon.exe.

Prosze o pomoc w usunięciu tego badziewia.

To log z a-squared free:

-squared Free - Version 2.1


Skanowanie ustawień:


Obiekty: Pamięć, Ślady, Ciasteczka, C:\WINDOWS\, C:\Program Files

Skanowanie archiwów: Wł.

Heurystyka: Wł.

Skanowanie reklam: Wł.


Uruchomione skanowanie:	2007-02-27 23:20:12


C:\Documents and Settings\Załuga Andrzej\Dane aplikacji\Mozilla\Firefox\Profiles\0d9d6w9l.default\cookies.txt:92 wykryto: Trace.TrackingCookie

C:\WINDOWS\system32\winlogon.exe wykryto: Trojan.Win32.Agent.gq


Zeskanowano


Pliki: 13280

Ślady: 99742

Ciasteczka: 114

Procesy: 30


Znaleziono


Pliki: 1

Ślady: 0

Ciasteczka: 1

Procesy: 0

Klucze rejestru: 0


Zakończono skanowanie:	2007-02-27 23:38:58

Scan time:	00:18:46


C:\WINDOWS\system32\winlogon.exe	Usunięte Trojan.Win32.Agent.gq

C:\Documents and Settings\Załuga Andrzej\Dane aplikacji\Mozilla\Firefox\Profiles\0d9d6w9l.default\cookies.txt:92	Usunięte Trace.TrackingCookie


Usunięte


Pliki: 1

Ślady: 0

Ciasteczka: 1

A to log z HijackThis:

Logfile of HijackThis v1.99.1

Scan saved at 00:58:28, on 2007-02-28

Platform: Windows XP Dodatek SP. 1 (WinNT 5.01.2600)

MSIE: Internet Explorer v6.00 SP1 (6.00.2800.1106)


Running processes:

C:\WINDOWS\System32\smss.exe

C:\WINDOWS\system32\winlogon.exe

C:\WINDOWS\system32\services.exe

C:\WINDOWS\system32\lsass.exe

C:\WINDOWS\system32\svchost.exe

C:\WINDOWS\System32\svchost.exe

C:\WINDOWS\system32\spoolsv.exe

C:\WINDOWS\Explorer.EXE

C:\WINDOWS\SOUNDMAN.EXE

D:\Programy\CyberLink PowerDVD\PDVDServ.exe

D:\Programy\AVASTA~1\ashDisp.exe

D:\Programy\DAEMON Tools\daemon.exe

D:\Programy\AQQ\AQQ.exe

C:\Program Files\Google\GoogleToolbarNotifier\1.2.908.6962\GoogleToolbarNotifier.exe

C:\Program Files\Common Files\Ahead\Lib\NMBgMonitor.exe

C:\Program Files\Common Files\Ahead\Lib\NMIndexStoreSvr.exe

D:\Programy\Avast Antivirus\aswUpdSv.exe

D:\Programy\Avast Antivirus\ashServ.exe

C:\Program Files\Common Files\LightScribe\LSSrvc.exe

C:\Program Files\Common Files\Microsoft Shared\VS7DEBUG\MDM.EXE

C:\WINDOWS\System32\nvsvc32.exe

D:\Programy\Avast Antivirus\ashWebSv.exe

D:\Programy\Avast Antivirus\ashMaiSv.exe

C:\WINDOWS\System32\msiexec.exe

D:\Programy\Mozilla Firefox\firefox.exe

D:\Programy\Acrobat Reader 7.0\Reader\AcroRd32.exe

D:\Programy\Hi jack This\HijackThis.exe


R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.wp.pl/

R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Łącza

O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINDOWS\System32\msdxm.ocx

O3 - Toolbar: &Google - {2318C2B1-4965-11d4-9B18-009027A5CD4F} - c:\program files\google\googletoolbar1.dll

O4 - HKLM\..\Run: [SoundMan] SOUNDMAN.EXE

O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\System32\NvCpl.dll,NvStartup

O4 - HKLM\..\Run: [nwiz] nwiz.exe /install

O4 - HKLM\..\Run: [NvMediaCenter] RunDLL32.exe NvMCTray.dll,NvTaskbarInit

O4 - HKLM\..\Run: [WinDVRCtrl] C:\WINDOWS\WDVRCtrl.exe

O4 - HKLM\..\Run: [RemoteControl] "D:\Programy\CyberLink PowerDVD\PDVDServ.exe"

O4 - HKLM\..\Run: [avast!] D:\Programy\AVASTA~1\ashDisp.exe

O4 - HKLM\..\Run: [DAEMON Tools] "D:\Programy\DAEMON Tools\daemon.exe" -lang 1033

O4 - HKLM\..\Run: [NeroFilterCheck] C:\Program Files\Common Files\Ahead\Lib\NeroCheck.exe

O4 - HKCU\..\Run: [AQQ] D:\Programy\AQQ\AQQ.exe

O4 - HKCU\..\Run: [swg] C:\Program Files\Google\GoogleToolbarNotifier\1.2.908.6962\GoogleToolbarNotifier.exe

O4 - HKCU\..\Run: [BgMonitor_{79662E04-7C6C-4d9f-84C7-88D8A56B10AA}] "C:\Program Files\Common Files\Ahead\Lib\NMBgMonitor.exe"

O4 - Global Startup: Adobe Reader Speed Launch.lnk = D:\Programy\Acrobat Reader 7.0\Reader\reader_sl.exe

O8 - Extra context menu item: E&ksport do programu Microsoft Excel - res://D:\Programy\MICROS~1\OFFICE11\EXCEL.EXE/3000

O9 - Extra button: Badanie - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - D:\Programy\MICROS~1\OFFICE11\REFIEBAR.DLL

O18 - Protocol: skype4com - {FFC8B962-9B40-4DFF-9458-1830C7DD7F5D} - C:\PROGRA~1\COMMON~1\Skype\SKYPE4~1.DLL

O23 - Service: avast! iAVS4 Control Service (aswUpdSv) - Unknown owner - D:\Programy\Avast Antivirus\aswUpdSv.exe

O23 - Service: avast! Antivirus - Unknown owner - D:\Programy\Avast Antivirus\ashServ.exe

O23 - Service: avast! Mail Scanner - Unknown owner - D:\Programy\Avast Antivirus\ashMaiSv.exe" /service (file missing)

O23 - Service: avast! Web Scanner - Unknown owner - D:\Programy\Avast Antivirus\ashWebSv.exe" /service (file missing)

O23 - Service: LightScribeService Direct Disc Labeling Service (LightScribeService) - Hewlett-Packard Company - C:\Program Files\Common Files\LightScribe\LSSrvc.exe

O23 - Service: NBService - Nero AG - D:\Programy\Nero 7 Premium\Nero 7\Nero BackItUp\NBService.exe

O23 - Service: NVIDIA Display Driver Service (NVSvc) - NVIDIA Corporation - C:\WINDOWS\System32\nvsvc32.exe

Po usunieciu wirusa on dalej tam jest. Pomocy.

Dodał mi sie też katalog w C:\WINDOWS o nazwie WinSxS

#2

WinSxS:

Dla poprawy bezpieczeństwa możesz zaktualizować SP1 do SP2.

Przeskanuj kompa skanerem on-line. http://www.ewido.net/en/onlinescan/

#3

Log czysty.

Uruchom Konsolę odzyskiwania CD i wydaj następujące polecenia:

Jeśli po wydaniu polecenia:

Pojawi się jakiś błąd to spróbuj zastąpić je tym:

#4

Najciekawsze jest to że zrobiłem format c:, mam świerzy system i ten wirus dalej jest w tym pliku :o

Po instalce systemu zainstalowałem ZoneAlarm i Avasta, a a-squared dalej go wykrywa.

Dodam że byłem na 3 stronkach: Wp, google i tu na forum.