Proszę o pomoc w sprawie usunięcia nieznośnego trojana

Dla specjalistów Bezpieczeństwo
#1

Witam wszystkich serdecznie. Jestem zupełnie zielony w sprawach systemu operacyjnego i problemów z nim…potrafię korzystać z niego w sposób amatorski…Mam problem z trojanem i mam nadzieję,że uzyskam tu poradę. Mam program antsspyware a-squared-free, który wykrywa trojana trojan-downloader-win32.fraudloader!ik, którego udajesię usunąć. Po każdym uruchomieniu komputera pojawia się coraz więcej komunikatów o innych zagrożeniach. Po każdym uruchomieniu wyświetla tez informację o uszkodzeniu pliku msword.exe, a następnie wykrywa masę różnych wirusów. Zobaczyłem ,ze piszecie o programie hijackthis i wykonałem operację zgodnie z instrukcją oto log proszę O RADĘ WIELKIE DZIĘKI! !!

Logfile of Trend Micro HijackThis v2.0.2

Scan saved at 14:25:08, on 2009-08-14

Platform: Windows XP Dodatek SP3 (WinNT 5.01.2600)

MSIE: Internet Explorer v7.00 (7.00.6000.16876)

Boot mode: Normal

Running processes:

I:\WINDOWS\System32\smss.exe

I:\WINDOWS\system32\winlogon.exe

I:\WINDOWS\system32\services.exe

I:\WINDOWS\system32\lsass.exe

I:\WINDOWS\system32\svchost.exe

I:\WINDOWS\System32\svchost.exe

I:\WINDOWS\system32\spoolsv.exe

I:\Program Files\Avira\AntiVir Desktop\sched.exe

I:\WINDOWS\Explorer.EXE

I:\WINDOWS\system32\hkcmd.exe

I:\WINDOWS\system32\igfxpers.exe

I:\WINDOWS\Mixer.exe

I:\WINDOWS\RTHDCPL.EXE

I:\Program Files\Winamp\winampa.exe

I:\Program Files\Java\jre6\bin\jusched.exe

I:\Program Files\CyberLink\PowerDVD8\PDVD8Serv.exe

I:\Program Files\Avira\AntiVir Desktop\avgnt.exe

I:\WINDOWS\system32\msword98.exe

I:\WINDOWS\system32\msword98.exe

I:\WINDOWS\system32\ctfmon.exe

I:\WINDOWS\System32\svchost.exe

I:\WINDOWS\System32\svchost.exe

I:\Program Files\Skype\Phone\Skype.exe

I:\PROGRA~1\Ashampoo\ASHAMP~2\PopUpKiller.exe

I:\Program Files\Google\GoogleToolbarNotifier\GoogleToolbarNotifier.exe

I:\Gadu-Gadu\gg.exe

I:\Program Files\a-squared Free\a2service.exe

I:\Program Files\OpenOffice.org 3\program\soffice.exe

I:\Program Files\OpenOffice.org 3\program\soffice.bin

I:\Program Files\Avira\AntiVir Desktop\avguard.exe

I:\Program Files\Java\jre6\bin\jqs.exe

I:\Program Files\CyberLink\Shared files\RichVideo.exe

I:\WINDOWS\System32\snmp.exe

I:\WINDOWS\system32\svchost.exe

I:\WINDOWS\system32\svchost.exe

I:\WINDOWS\Temp\wpv751250109698.exe

I:\WINDOWS\System32\svchost.exe

I:\WINDOWS\System32\svchost.exe

I:\WINDOWS\System32\svchost.exe

I:\Program Files\Skype\Plugin Manager\skypePM.exe

I:\WINDOWS\System32\svchost.exe

I:\WINDOWS\System32\svchost.exe

I:\WINDOWS\System32\svchost.exe

I:\Program Files\Mozilla Firefox\firefox.exe

I:\Program Files\Trend Micro\HijackThis\HijackThis.exe

R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://go.microsoft.com/fwlink/?LinkId=69157

R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Łącza

R3 - URLSearchHook: Winamp Search Class - {57BCA5FA-5DBB-45a2-B558-1755C3F6253B} - I:\Program Files\Winamp Toolbar\winamptb.dll

O3 - Toolbar: Winamp Toolbar - {EBF2BA02-9094-4c5a-858B-BB198F3D8DE2} - I:\Program Files\Winamp Toolbar\winamptb.dll

O3 - Toolbar: Google Toolbar - {2318C2B1-4965-11d4-9B18-009027A5CD4F} - I:\Program Files\Google\Google Toolbar\GoogleToolbar.dll

O4 - HKLM…\Run: [igfxtray] I:\WINDOWS\system32\igfxtray.exe

O4 - HKLM…\Run: [igfxhkcmd] I:\WINDOWS\system32\hkcmd.exe

O4 - HKLM…\Run: [igfxpers] I:\WINDOWS\system32\igfxpers.exe

O4 - HKLM…\Run: [C-Media Mixer] Mixer.exe /startup

O4 - HKLM…\Run: [RTHDCPL] RTHDCPL.EXE

O4 - HKLM…\Run: [skyTel] SkyTel.EXE

O4 - HKLM…\Run: [Alcmtr] ALCMTR.EXE

O4 - HKLM…\Run: [WinampAgent] “I:\Program Files\Winamp\winampa.exe”

O4 - HKLM…\Run: [QuickTime Task] “I:\Program Files\QuickTime\qttask.exe” -atboottime

O4 - HKLM…\Run: [sunJavaUpdateSched] “I:\Program Files\Java\jre6\bin\jusched.exe”

O4 - HKLM…\Run: [RemoteControl8] “I:\Program Files\CyberLink\PowerDVD8\PDVD8Serv.exe”

O4 - HKLM…\Run: [PDVD8LanguageShortcut] “I:\Program Files\CyberLink\PowerDVD8\Language\Language.exe”

O4 - HKLM…\Run: [avgnt] “I:\Program Files\Avira\AntiVir Desktop\avgnt.exe” /min

O4 - HKLM…\Run: [msword98] I:\WINDOWS\system32\msword98.exe

O4 - HKLM…\Run: [Regedit32] I:\WINDOWS\system32\regedit.exe

O4 - HKCU…\Run: [ctfmon.exe] I:\WINDOWS\system32\ctfmon.exe

O4 - HKCU…\Run: [skype] “I:\Program Files\Skype\Phone\Skype.exe” /nosplash /minimized

O4 - HKCU…\Run: [Ashampoo PopUpBlocker] I:\PROGRA~1\Ashampoo\ASHAMP~2\PopUpKiller.exe

O4 - HKCU…\Run: [swg] I:\Program Files\Google\GoogleToolbarNotifier\GoogleToolbarNotifier.exe

O4 - HKCU…\Run: [Gadu-Gadu] “I:\Gadu-Gadu\gg.exe” /tray

O4 - HKCU…\Run: [msword98] I:\Documents and Settings\Cykada1\msword98.exe

O4 - HKUS\S-1-5-19…\Run: [CTFMON.EXE] I:\WINDOWS\system32\CTFMON.EXE (User ‘USŁUGA LOKALNA’)

O4 - HKUS\S-1-5-20…\Run: [CTFMON.EXE] I:\WINDOWS\system32\CTFMON.EXE (User ‘USŁUGA SIECIOWA’)

O4 - HKUS\S-1-5-18…\Run: [CTFMON.EXE] I:\WINDOWS\system32\CTFMON.EXE (User ‘SYSTEM’)

O4 - HKUS.DEFAULT…\Run: [CTFMON.EXE] I:\WINDOWS\system32\CTFMON.EXE (User ‘Default user’)

O4 - Startup: ikowin32.exe

O4 - Startup: OpenOffice.org 3.0.lnk = I:\Program Files\OpenOffice.org 3\program\quickstart.exe

O8 - Extra context menu item: Winamp Search - I:\Documents and Settings\All Users\Dane aplikacji\Winamp Toolbar\ieToolbar\resources\en-US\local\search.html

O9 - Extra button: Messenger - -{FB5F1910-F110-11d2-BB9E-00C04F795683} - I:\Program Files\Messenger\msmsgs.exe

O9 - Extra ‘Tools’ menuitem: Windows Messenger - -{FB5F1910-F110-11d2-BB9E-00C04F795683} - I:\Program Files\Messenger\msmsgs.exe

O9 - Extra button: Skype - {77BF5300-1474-4EC7-9980-D32B190E9B07} - I:\Program Files\Skype\Toolbars\Internet Explorer\SkypeIEPlugin.dll

O9 - Extra button: (no name) - {e2e2dd38-d088-4134-82b7-f2ba38496583} - I:\WINDOWS\Network Diagnostic\xpnetdiag.exe

O9 - Extra ‘Tools’ menuitem: @xpsp3res.dll,-20001 - {e2e2dd38-d088-4134-82b7-f2ba38496583} - I:\WINDOWS\Network Diagnostic\xpnetdiag.exe

O10 - Unknown file in Winsock LSP: i:\windows\system32\nwprovau.dll

O16 - DPF: {1E53EA77-34F2-474E-9046-B2B0C86F1821} (OggX Control) - http://www.eska.pl/streamplayers/OggX.ocx

O16 - DPF: {D27CDB6E-AE6D-11CF-96B8-444553540000} (Shockwave Flash Object) - http://fpdownload2.macromedia.com/get/s … wflash.cab

O18 - Protocol: skype4com - {FFC8B962-9B40-4DFF-9458-1830C7DD7F5D} - I:\PROGRA~1\COMMON~1\Skype\SKYPE4~1.DLL

O18 - Filter: x-sdch - {B1759355-3EEC-4C1E-B0F1-B719FE26E377} - I:\Program Files\Google\Google Toolbar\Component\fastsearch_A8904FB862BD9564.dll

O23 - Service: a-squared Free Service (a2free) - Emsi Software GmbH - I:\Program Files\a-squared Free\a2service.exe

O23 - Service: Avira AntiVir Scheduler (AntiVirSchedulerService) - Avira GmbH - I:\Program Files\Avira\AntiVir Desktop\sched.exe

O23 - Service: Avira AntiVir Guard (AntiVirService) - Avira GmbH - I:\Program Files\Avira\AntiVir Desktop\avguard.exe

O23 - Service: Google Software Updater (gusvc) - Google - I:\Program Files\Google\Common\Google Updater\GoogleUpdaterService.exe

O23 - Service: Java Quick Starter (JavaQuickStarterService) - Sun Microsystems, Inc. - I:\Program Files\Java\jre6\bin\jqs.exe

O23 - Service: MySql - Unknown owner - c:\usr/MYSQL/bin/mysqld.exe (file missing)

O23 - Service: Cyberlink RichVideo Service(CRVS) (RichVideo) - Unknown owner - I:\Program Files\CyberLink\Shared files\RichVideo.exe

–

End of file - 6758 bytes

#2

Logi wklejasz na wklej.org lub wklej.to, a w poście dajesz link.

Tutaj jest ciężka infekcja, która potrafi niszczyć pliki systemowe.

Nie obędzie się bez płytki z systemem.

Pobierz Combofix, ale nie uruchamiaj.

Podczas pobierania i skanowania Combofixem należy wyłączyć wszelkie antywirusy i firewalle.

Otwórz Notatnik i wklej do niego:

Plik zapisz pod nazwą CFScript , najlepiej w tym samym folderze co Combofix.exe

Przeciągnij i upuść ikonkę CFScript.txt na ikonkę Combofix.exe

Powinno się rozpocząć usuwanie.

_ Potem dajesz log z usuwania Combofix. _

Wykonaj pełny skan DR WEB CureIt - kliknij Prawym przyciskiem myszy na link do pobierania -> Zapisz element docelowy jako… -> zapisz plik jako typ wszystkie pliki pod nazwą 123.com

Leczysz co się da, reszta do usunięcia.

Pokaż raport z leczenia/usuwania.

#3

Bardzo CI dziękuję, i sory za log. Jest to dla mnie wszystko skomplikowane i nie bardzo rozumiem postaram sie opisać i proszę o podpowiedz w razie błędów…

Ściągam Combofix ale nie uruchamiam, dalej piszesz “Podczas pobierania i skanowania Combofixem”, czyli to oznacza ,że mam go uruchomić? sory za łopatologie ale nie jest to łatwe dla mnie zrozumieć kiedy nigdy wcześniej nie miałem z tym do czynienia. Dzięki

#4

Gdy będziesz pobierał Combofixa, oraz gdy będzie uruchomiony, to należy wyłączyć wszelkie antywirusy i firewalle.

Gdy go pobierzesz to go uruchom poprzez plik tekstowy, który napisałem wyżej w ten sposób:

cfscript10uc2.gif

Potem pokaż log, który wyprodukował Combofix.

#5

m_f_p , Proszę o zmianę tytułu na bardziej konkretny.

Użyj opcji zmien.gif

Pomocne może być zapoznanie się z TYMI informacjami.

#6

Po wykonaniu tych operacji nie pojawia sie juz komunikat o zagrozeniach oto link do raportu:

http://wklej.to/CGUE

#7

Log ucięty. Brakuje sekcji wykrywania rootkitów. Popraw.

O dziwo źródło infekcji udało się dosyć szybko wytępić. :slight_smile:

Menu Start -> Uruchom… -> Combofix /u

Jeśli korzystasz z Przywracania Systemu, to wyłącz i włącz je na wszystkich dyskach. Instrukcja XP.

Wyczyść rejestr i dysk CCleaner.

Usuń zbędniki z autostartu.

Wykonaj pełny skan DR WEB CureIt.

Gdy będą wirusy pokaż raport.

#8

http://wklej.to/QBft

To jest skopiowana cała zawartość pliku combofix.txt

– Dodane 14.08.2009 (Pt) 16:26 –

Czy zbędniki autostartu będę musiał usuwać ręcznie czy zostaną usunięte automatycznie?

#9

Wykonaj pełny skan Dr.Web CureIt!, bo te szkodliwe pliki zaś wracają… :expressionless:

Potem użyj Kaspersky Virus Removal Tool, również pełny skan, usuwaj co znajdzie.

PS. Zmień w końcu tytuł tematu, bo długo tu nie popiszemy.

#10

Staram się usunąć te zbędniki ale nie wiem co mogę usunąć. Czy mam odinstalować avira antyvir przed użyciem innych?

#11

Zbędniki później.

Najpierw pełne skany narzędziami w kolejności jak wypisałem wyżej.

#12

odinstalowac te antyvirusy które mam czy dezaktywować?

#13

Możesz je wyłączyć, ale i tak skanery antymalware nie kolidują w żaden sposób z zainstalowanymi antywirusami.

#14

Robię pełny skan znalazł juz trojana w programie antywisusowym… co za złośliwe bydle z tych trojanow…da sie uniknąc takich infekcji?

#15

m_f_p , Byłeś o coś proszony.

Zastosuj się do tej prośby bo kolejnej nie będzie.

#16

Dokładnie się stosuję do waszych rad…nie wiem wiec o co chodzi???

program zakończył skanowanie i znalazł kilka pozycji. Niektóre mają opis wyleczono, inne usunięto inne przeniesiono. jest też panel wyboru opcji usuń wylecz,lecz jest nie podświetlony??? nie można nic z nim zrobić jest kilka plików które nie mają zadnego opisu? Co mogę zrobić dalej??

– Dodane 14.08.2009 (Pt) 18:38 –

oto link z raportem: http://wklej.to/KHvP

– Dodane 14.08.2009 (Pt) 18:47 –

sdar , bardzo przepraszam ale nie zauważyłem prośby o zmianę tematu wcześniej…Sorry

– Dodane 14.08.2009 (Pt) 19:12 –

Kasperski nie rusza… Scan Failed