Resztki po trojanie

Dla specjalistów Bezpieczeństwo
#1

Mam problem. Złapałem trojana Trojan Downloader.Istbar.4.H .Poniewaz nie mogłem usunąć sformatowałem dysk c. Po zainstalowaniu systemu zauwazyłem że na c ale i na dwóch partycjach d i e mam folder RECYCLER a w środku plik kosza z nazwą S-1-5-21-823518204-682003330-839522115-1003. Nie moge go usunąć b ma atrybuty nedostępne. Nic nie pomaga probowalem wieloma antywirami i skanerami online, one nie wykrywaja wirusa. Ale jak mozna coś takiego usunąć.

Logfile of HijackThis v1.99.0

Scan saved at 17:35:26, on 2005-02-02

Platform: Windows XP Dodatek SP. 1 (WinNT 5.01.2600)

MSIE: Internet Explorer v6.00 SP1 (6.00.2800.1106)

Running processes:

C:\WINDOWS\System32\smss.exe

C:\WINDOWS\system32\winlogon.exe

C:\WINDOWS\system32\services.exe

C:\WINDOWS\system32\lsass.exe

C:\WINDOWS\system32\svchost.exe

C:\WINDOWS\System32\svchost.exe

C:\WINDOWS\system32\LEXBCES.EXE

C:\WINDOWS\system32\spoolsv.exe

C:\Program Files\Common Files\Symantec Shared\ccEvtMgr.exe

C:\WINDOWS\system32\LEXPPS.EXE

C:\WINDOWS\Explorer.EXE

C:\WINDOWS\htpatch.exe

C:\WINDOWS\System32\LXSUPMON.EXE

C:\PROGRA~1\A4Tech\Mouse\Amoumain.exe

C:\Program Files\Common Files\Symantec Shared\ccApp.exe

C:\WINDOWS\System32\ctfmon.exe

C:\Program Files\Messenger\msmsgs.exe

C:\Program Files\Norton SystemWorks\Norton AntiVirus\navapsvc.exe

C:\WINDOWS\System32\nvsvc32.exe

C:\Program Files\Internet Explorer\iexplore.exe

C:\WINDOWS\system32\notepad.exe

C:\Documents and Settings\tato\Pulpit\hijackthis\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.onet.pl/

R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Łącza

O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Program Files\Adobe\Acrobat 5.0\Reader\ActiveX\AcroIEHelper.ocx

O2 - BHO: NAV Helper - {BDF3E430-B101-42AD-A544-FADC6B084872} - C:\Program Files\Norton SystemWorks\Norton AntiVirus\NavShExt.dll

O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINDOWS\System32\msdxm.ocx

O3 - Toolbar: Norton AntiVirus - {42CDD1BF-3FFB-4238-8AD1-7859DF00B1D6} - C:\Program Files\Norton SystemWorks\Norton AntiVirus\NavShExt.dll

O4 - HKLM…\Run: [HTpatch] C:\WINDOWS\htpatch.exe

O4 - HKLM…\Run: [siSUSBRG] C:\WINDOWS\SiSUSBrg.exe

O4 - HKLM…\Run: [LXSUPMON] C:\WINDOWS\System32\LXSUPMON.EXE RUN

O4 - HKLM…\Run: [WheelMouse] C:\PROGRA~1\A4Tech\Mouse\Amoumain.exe

O4 - HKLM…\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\System32\NvCpl.dll,NvStartup

O4 - HKLM…\Run: [nwiz] nwiz.exe /install

O4 - HKLM…\Run: [NvMediaCenter] RUNDLL32.EXE C:\WINDOWS\System32\NvMcTray.dll,NvTaskbarInit

O4 - HKLM…\Run: [ccApp] “C:\Program Files\Common Files\Symantec Shared\ccApp.exe”

O4 - HKLM…\Run: [ccRegVfy] “C:\Program Files\Common Files\Symantec Shared\ccRegVfy.exe”

O4 - HKLM…\Run: [symantec NetDriver Monitor] C:\PROGRA~1\SYMNET~1\SNDMon.exe

O4 - HKCU…\Run: [CTFMON.EXE] C:\WINDOWS\System32\ctfmon.exe

O4 - HKCU…\Run: [MSMSGS] “C:\Program Files\Messenger\msmsgs.exe” /background

O4 - Global Startup: Microsoft Office.lnk = C:\Program Files\Microsoft Office\Office\OSA9.EXE

O9 - Extra button: Related - {c95fe080-8f5d-11d2-a20b-00aa003c157a} - C:\WINDOWS\web\related.htm

O9 - Extra ‘Tools’ menuitem: Show &Related Links - {c95fe080-8f5d-11d2-a20b-00aa003c157a} - C:\WINDOWS\web\related.htm

O12 - Plugin for .spop: C:\Program Files\Internet Explorer\Plugins\NPDocBox.dll

O16 - DPF: {15AD4789-CDB4-47E1-A9DA-992EE8E6BAD6} - ms-its:mhtml:file://c:\nosuxxx.mht! http://www.kazaalite.pl/stats/loudklite.chm::/bridge-c46.cab

O16 - DPF: {9A9307A0-7DA4-4DAF-B042-5009F29E09E1} (ActiveScan Installer Class) - http://www.pandasoftware.com/activescan/as5/asinst.cab

O17 - HKLM\System\CCS\Services\Tcpip…{D5B5FEFD-7125-4FD3-9762-1505AC75CE62}: NameServer = 192.168.0.1

O23 - Service: Symantec Event Manager - Symantec Corporation - C:\Program Files\Common Files\Symantec Shared\ccEvtMgr.exe

O23 - Service: Symantec Password Validation Service - Symantec Corporation - C:\Program Files\Common Files\Symantec Shared\ccPwdSvc.exe

O23 - Service: LexBce Server - Lexmark International, Inc. - C:\WINDOWS\system32\LEXBCES.EXE

O23 - Service: Norton AntiVirus Auto Protect Service - Symantec Corporation - C:\Program Files\Norton SystemWorks\Norton AntiVirus\navapsvc.exe

O23 - Service: NVIDIA Display Driver Service - NVIDIA Corporation - C:\WINDOWS\System32\nvsvc32.exe

O23 - Service: ScriptBlocking Service - Symantec Corporation - C:\PROGRA~1\COMMON~1\SYMANT~1\SCRIPT~1\SBServ.exe

O23 - Service: Symantec Network Drivers Service - Symantec Corporation - C:\Program Files\Common Files\Symantec Shared\SNDSrvc.exe

#2

Odinstaluj messengera: Start >> Uruchom, wpisz

RunDll32 advpack.dll,LaunchINFSection %windir%\INF\msmsgs.inf,BLC.Remove
#3

Usuwaj w awaryjnym albo tymi programami opisanymi tu >>>

http://forum.dobreprogramy.pl/viewtopic.php?t=17728

http://forum.dobreprogramy.pl/viewtopic.php?t=17776

#4

adpawl widze ze znowu malo sie uczysz/czytasz

–HijackThis–

http://www.searchengines.pl/phpbb203/in … =15989&hl=

#5

koniecznie zainstaluj sp2 dla bezpieczenstwa :slight_smile:

#6

polecam również zainstalowanie firewalla, a jeśli nadal nie będziesz mógł zlikwidować tych resztek trojana to ściągnij z http://www.download.com ETD security Scanner , on dobrze sobie radzi z takimi rzeczami :-o

#7

Kamcia , znasz to… słoMaSłomaSłoMasło… :stuck_out_tongue:

Obawiam się nieco o Twój wzrok… :?

Może odpocznij nieco od komputera, bo znowu masz jakieś zwidy :smiley:

Btw

Cieszy mnie, że potrafisz coś takiego wyszukać w necie… :slight_smile:

Czytałaś? Ciekawe jest…? :smiley:

…może mi kiedyś streścisz na pw.

#8

Niestety ETD też nie usuwa tego folderu.

#9

wyłącz przywracanie systemu i wykasuj go w trybie awaryjnym…

…albo z poziomu konsoli odzyskiwania.

#10

Znasz lokalizacja pliku ???

To postępuj jak tu napisane

http://forum.dobreprogramy.pl/viewtopic.php?t=17728

Czytaj o programie Killbox

Użyj jeszcze

http://securityresponse.symantec.com/av … okExec.inf

Kliknij go dwa razy. Wyskoczy notatnik z opisem co zostanie zmodyfikowane

Klikasz plik prawym przyciskiem myszy wybierasz >> Zainstaluj

Restartuj kompa.

Jak nie pomaga to przejdz do

http://forum.dobreprogramy.pl/viewtopic.php?t=17776

#11

dokładniej:

RECYCLER\S-1-5-21-823518204-682003330-839522115-1003

…dlatego napisałem:

BTW

Tak dla wyjaśnienia…

To raczej pomaga w przypadku gdy np. jakiś trojan podpina się pod

exe’a, bat’a, pif’a, com’a lub reg’a.

I aplikuje się go: Prawy klik >> Zainstaluj

#12

Nie tak

powino być C\widows … lub C\ Program Files… Na przykład

W programie Killbox możesz go odnaleść.

Ale najpierw użyj

http://securityresponse.symantec.com/av … okExec.inf

Restartuj kompa

Wyłącz przywracanie systemu i ochronę plików nortona . On gromadzi kopie zapasowe plików . Skasuj mu to .

Restartuj kompa.