Trojan.Pandex

Pawel38 · 27 Sierpień 2008 13:47

Prosze o sprawdzenie loga. Mam problem z Trojanem.Pandex i jeszcze jednym wirusem Backdoor.Graybird. Prosze o pomoc w usunieciu.

http://www.wklej.org/id/1280/

djarta · 27 Sierpień 2008 13:50

Te w/w wpisy sfiksuj w Hijacku:

>>Hijack>>scan(Do a system scan only)>>zaznacz je >> Fix checked

Sprawdź go na --> http://virusscan.jotti.org/

albo na http://www.virustotal.com/en/indexf.html.

Daj log z -----> ComboFix (niżej na stronie linku).

===================

K.

spandaupol · 27 Sierpień 2008 13:54

Usuń te wpisy w HJT

Uruchom HijackThis - Do a system scan only - w oknie programu pokaże się log - zaznacz kratki przy podanych wpisach - klikasz Fix checked

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = http://de.rd.yahoo.com/customize/ie/def … h.yahoo.co m R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://de.rd.yahoo.com/customize/ie/def … h.yahoo.co m R1 - HKCU\Software\Microsoft\Internet Explorer\SearchURL,(Default) = http://de.rd.yahoo.com/customize/ie/def … h.yahoo.co m O2 - BHO: Winamp Toolbar Loader - {25CEE8EC-5730-41bc-8B58-22DDC8AB8C20} - C:\Programme\Winamp Toolbar\winamptb.dll (file missing) O2 - BHO: (no name) - {7E853D72-626A-48EC-A868-BA8D5E23E045} - (no file) O3 - Toolbar: Winamp Toolbar - {EBF2BA02-9094-4c5a-858B-BB198F3D8DE2} - C:\Programme\Winamp Toolbar\winamptb.dll (file missing) O4 - HKLM…\Run: [updateWin] C:\WINDOWS\system32\adptifz.exe O4 - HKLM…\RunServices: [updateWin] C:\WINDOWS\system32\adptifz.exe O4 - HKCU…\Run: [updateWin] C:\WINDOWS\system32\adptifz.exe 4 - HKCU…\RunServices: [updateWin] C:\WINDOWS\system32\adptifz.exe O8 - Extra context menu item: &Winamp Search - C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\Winamp Toolbar\ieToolbar\resources\en-US\local\search.html O20 - Winlogon Notify: WinCtrl32 - C:\WINDOWS\SYSTEM32\WinCtrl32.dll

Pobierz Combofix ale nie uruchamiaj wklej do notatnika:

Zapisz plik jako CFScript.txt najlepiej aby ikonka tego pliku znajdowała się obok ikonki ComboFix.exe

Przeciągnij i upuść plik CFScript.txt na ikonkę ComboFix.exe powinno rozpocząć się usuwanie po tym daj log na forum.

Usuń ręcznie folder C:\Qoobox , usuń instalkę Combofix z dysku.

Pawel38 · 27 Sierpień 2008 14:49

oto log z ComboFix, co mam robic dalej?

ComboFix 08-08-26.03 - Piegus 2008-08-27 16:35:52.1 - NTFSx86

Microsoft Windows XP Home Edition 5.1.2600.2.1252.1.1031.18.187 [GMT 2:00]

ausgeführt von:: C:\Dokumente und Einstellungen\Piegus\Desktop\ComboFix.exe

Command switches used :: C:\Dokumente und Einstellungen\Piegus\Desktop\CFScript.txt

* Neuer Wiederherstellungspunkt wurde erstellt

Achtung - Auf diesem PC ist keine Wiederherstellungskonsole installiert

FILE ::

C:\WINDOWS\system32\adptifz.exe

C:\WINDOWS\SYSTEM32\WinCtrl32.dll

.

(((((((((((((((((((((((((((((((((((( Weitere L”schungen ))))))))))))))))))))))))))))))))))))))))))))))))

.

C:\WINDOWS\runsql.exe

C:\WINDOWS\system32\adptifz.exe

C:\WINDOWS\system32\WinCtrl32.dl_

C:\WINDOWS\SYSTEM32\WinCtrl32.dll

.

((((((((((((((((((((((( Dateien erstellt von 2008-07-27 bis 2008-08-27 ))))))))))))))))))))))))))))))

.

2008-08-27 16:21 . 2008-08-27 16:21

2008-08-27 14:55 . 2008-08-27 14:55

2008-08-27 14:48 . 2008-08-27 16:41 46,640 --a------ C:\WINDOWS\system32\msln.exe

2008-08-26 23:01 . 2008-08-26 23:01

2008-08-26 22:56 . 2008-08-26 22:56 10,344 --a------ C:\WINDOWS\system32\drivers\symlcbrd.sys

2008-08-26 22:55 . 2008-08-27 14:29

2008-08-26 22:54 . 2008-08-26 23:38

2008-08-26 22:54 . 2008-08-26 23:00

2008-08-26 22:54 . 2005-09-17 01:20 108,168 --a------ C:\WINDOWS\system32\drivers\SYMEVENT.SYS

2008-08-26 22:54 . 2005-09-17 01:20 87,768 --a------ C:\WINDOWS\system32\S32EVNT1.DLL

2008-08-26 22:53 . 2008-08-27 16:40

2008-08-26 21:13 . 2008-08-26 21:15 144 --ahs---- C:\WINDOWS\system32\146811879.dat

2008-08-21 15:47 . 2008-08-21 15:48

2008-08-21 15:37 . 2008-08-21 15:50 117,665 --a------ C:\WINDOWS\hpoins11.dat

2008-08-17 20:55 . 2008-08-17 20:56

2008-08-13 21:50 . 2008-05-01 16:30 331,776 -----c— C:\WINDOWS\system32\dllcache\msadce.dll

2008-08-13 21:44 . 2008-04-11 20:50 683,520 -----c— C:\WINDOWS\system32\dllcache\inetcomm.dll

2008-08-12 23:15 . 2008-08-12 23:16

2008-08-04 00:23 . 2007-02-28 18:02 2,182,656 --a------ C:\WINDOWS\system32\ntoskrnl.exe.zottel

2008-08-04 00:23 . 2007-02-28 18:02 2,059,904 --a------ C:\WINDOWS\system32\ntkrnlpa.exe.zottel

2008-08-01 22:16 . 2008-08-01 22:16

2008-08-01 22:16 . 2008-06-10 02:32 73,728 --a------ C:\WINDOWS\system32\javacpl.cpl

2008-07-31 18:45 . 2008-07-31 18:45

2008-07-27 21:25 . 2008-08-12 23:18

.

(((((((((((((((((((((((((((((((((((( Find3M Bericht ))))))))))))))))))))))))))))))))))))))))))))))))))))))

.

2008-08-26 18:58 --------- d-----w C:\Dokumente und Einstellungen\Piegus\Anwendungsdaten\Skype

2008-08-26 14:54 --------- d-----w C:\Dokumente und Einstellungen\Piegus\Anwendungsdaten\skypePM

2008-08-24 08:38 --------- d-----w C:\Programme\HP

2008-08-21 14:20 --------- d-----w C:\Dokumente und Einstellungen\Piegus\Anwendungsdaten\OpenOffice.org2

2008-08-21 13:45 --------- d-----w C:\Programme\Hewlett-Packard

2008-07-26 14:48 --------- d-----w C:\Dokumente und Einstellungen\Piegus\Anwendungsdaten\Yahoo!

2008-07-26 14:48 --------- d-----w C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\Yahoo! Companion

2008-07-26 14:21 --------- d–h--w C:\Programme\InstallShield Installation Information

2008-07-26 10:13 --------- d-----w C:\Programme\ToniArts

2008-07-24 20:47 --------- d-----w C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\Winamp Toolbar

2008-07-24 19:58 --------- d-----w C:\Programme\Gemeinsame Dateien\Skype

2008-07-24 19:11 --------- d-----w C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\Yahoo!

2008-07-24 19:09 --------- d-----w C:\Programme\Yahoo!

2008-07-07 20:30 253,952 ----a-w C:\WINDOWS\system32\es.dll

2008-06-24 16:22 74,240 ----a-w C:\WINDOWS\system32\mscms.dll

2008-06-23 16:14 826,368 ----a-w C:\WINDOWS\system32\wininet.dll

2008-06-20 17:39 247,296 ----a-w C:\WINDOWS\system32\mswsock.dll

2007-05-26 17:18 1,031 ----a-w C:\Dokumente und Einstellungen\Piegus\OOo_dictionary_list.dat

.

------- Sigcheck -------

2006-04-20 14:18 360576 b2220c618b42a2212a59d91ebd6fc4b4 C:\WINDOWS$hf_mig$\KB917953\SP2QFE\tcpip.sys

2007-10-30 18:53 360832 64798ecfa43d78c7178375fcdd16d8c8 C:\WINDOWS$hf_mig$\KB941644\SP2QFE\tcpip.sys

2008-06-20 12:44 360960 744e57c99232201ae98c49168b918f48 C:\WINDOWS$hf_mig$\KB951748\SP2QFE\tcpip.sys

2008-06-20 13:51 361600 9aefa14bd6b182d61e3119fa5f436d3d C:\WINDOWS$hf_mig$\KB951748\SP3GDR\tcpip.sys

2008-06-20 13:59 361600 ad978a1b783b5719720cff204b666c8e C:\WINDOWS$hf_mig$\KB951748\SP3QFE\tcpip.sys

2001-08-18 14:00 327168 e7774698bb0d14b0710a9a31e209f9b6 C:\WINDOWS$NtServicePackUninstall$\tcpip.sys

2004-08-04 08:14 359040 9f4b36614a0fc234525ba224957de55c C:\WINDOWS$NtUninstallKB917953$\tcpip.sys

2006-04-20 13:51 359808 1dbf125862891817f374f407626967f4 C:\WINDOWS$NtUninstallKB941644$\tcpip.sys

2007-10-30 19:20 360064 90caff4b094573449a0872a0f919b178 C:\WINDOWS$NtUninstallKB951748$\tcpip.sys

2004-08-04 08:14 359040 1745b00fc1141404b28f4b94f69a8871 C:\WINDOWS\ServicePackFiles\i386\tcpip.sys

2008-06-20 12:45 360320 1cc09561e21a48a7f649a40f18235860 C:\WINDOWS\system32\drivers\tcpip.sys

.

(((((((((((((((((((((((((((( Autostart Punkte der Registrierung ))))))))))))))))))))))))))))))))))))))))

.

*Hinweis* leere Eintrage legitime Standardeintrage werden nicht angezeigt.

REGEDIT4

[HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]

“CTFMON.EXE”=“C:\WINDOWS\system32\ctfmon.exe” [2004-08-04 09:57 15360]

“MSMSGS”=“C:\Programme\Messenger\msmsgs.exe” [2004-10-13 18:24 1694208]

“WINSWEEP Popupblocker”=“D:\Programy\WinSweep\WSPopup.Exe” [2004-03-31 09:34 65536]

“H/PC Connection Agent”=“C:\Programme\Microsoft ActiveSync\WCESCOMM.EXE” [2005-01-19 16:29 405583]

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]

“LVCOMSX”=“C:\WINDOWS\system32\LVCOMSX.EXE” [2005-12-09 15:32 225280]

“NVMixerTray”=“C:\Programme\NVIDIA Corporation\NvMixer\NVMixerTray.exe” [2004-12-20 17:12 131072]

“SunJavaUpdateSched”=“C:\Programme\Java\jre1.6.0_07\bin\jusched.exe” [2008-06-10 04:27 144784]

“HP Software Update”=“C:\Programme\HP\HP Software Update\HPWuSchd2.exe” [2007-05-08 16:24 54840]

“ccApp”=“C:\Programme\Gemeinsame Dateien\Symantec Shared\ccApp.exe” [2005-09-17 01:27 52848]

[HKEY_USERS.DEFAULT\Software\Microsoft\Windows\CurrentVersion\Run]

“CTFMON.EXE”=“C:\WINDOWS\System32\CTFMON.EXE” [2004-08-04 09:57 15360]

[HKEY_LOCAL_MACHINE\software\microsoft\windows nt\currentversion\drivers32]

“MSACM.CEGSM”= mobilev.acm

[HKEY_LOCAL_MACHINE\system\currentcontrolset\control\lsa]

UpdateWin REG_SZ C:\WINDOWS\system32\adptifz.exe

[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SafeBoot\Minimal\Winej73.sys]

@=“Driver”

[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SafeBoot\Minimal\Winjo27.sys]

@=“Driver”

[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SafeBoot\Minimal\Winjo51.sys]

@=“Driver”

[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SafeBoot\Minimal\Winkp16.sys]

@=“Driver”

[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SafeBoot\Minimal\Winmr38.sys]

@=“Driver”

[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SafeBoot\Minimal\Winns05.sys]

@=“Driver”

[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SafeBoot\Minimal\Winty27.sys]

@=“Driver”

[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SafeBoot\Minimal\Winua16.sys]

@=“Driver”

[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SafeBoot\Minimal\Winvb15.sys]

@=“Driver”

[HKEY_LOCAL_MACHINE\software\microsoft\security center]

“AntiVirusDisableNotify”=dword:00000001

[HKEY_LOCAL_MACHINE\software\microsoft\security center\Monitoring\SymantecAntiVirus]

“DisableMonitoring”=dword:00000001

[HKEY_LOCAL_MACHINE\software\microsoft\security center\Monitoring\SymantecFirewall]

“DisableMonitoring”=dword:00000001

[HKLM~\services\sharedaccess\parameters\firewallpolicy\standardprofile]

“EnableFirewall”= 0 (0x0)

[HKLM~\services\sharedaccess\parameters\firewallpolicy\standardprofile\AuthorizedApplications\List]

“%windir%\system32\sessmgr.exe”=

“D:\Programy\Gadu-Gadu\gg.exe”=

“D:\Programy\Avant Browser\avant.exe”=

“C:\Programme\Microsoft ActiveSync\wcescomm.exe”=

“C:\Programme\Microsoft ActiveSync\WCESMgr.exe”=

“%windir%\Network Diagnostic\xpnetdiag.exe”=

“D:\Programy\ooVoo\ooVoo.exe”=

“C:\Programme\Windows Live\Messenger\msnmsgr.exe”=

“C:\Programme\Windows Live\Messenger\livecall.exe”=

“C:\Programme\Yahoo!\Messenger\YahooMessenger.exe”=

“C:\Programme\Yahoo!\Messenger\YServer.exe”=

“C:\Programme\HP\Digital Imaging\bin\hpqtra08.exe”=

“C:\Programme\HP\Digital Imaging\bin\hpqste08.exe”=

“C:\Programme\HP\Digital Imaging\bin\hpofxm08.exe”=

“C:\Programme\HP\Digital Imaging\bin\hposfx08.exe”=

“C:\Programme\HP\Digital Imaging\bin\hposid01.exe”=

“C:\Programme\HP\Digital Imaging\bin\hpqscnvw.exe”=

“C:\Programme\HP\Digital Imaging\bin\hpqkygrp.exe”=

“C:\Programme\HP\Digital Imaging\bin\hpqCopy.exe”=

“C:\Programme\HP\Digital Imaging\bin\hpfccopy.exe”=

“C:\Programme\HP\Digital Imaging\bin\hpzwiz01.exe”=

“C:\Programme\HP\Digital Imaging\bin\hpoews01.exe”=

“C:\Programme\HP\Digital Imaging\bin\hpqnrs08.exe”=

“C:\Programme\Skype\Phone\Skype.exe”=

[HKLM~\services\sharedaccess\parameters\firewallpolicy\standardprofile\GloballyOpenPorts\List]

“443:TCP”= 443:TCP:ooVoo TCP Port 443

“443:UDP”= 443:UDP:ooVoo UDP Port 443

“37674:TCP”= 37674:TCP:ooVoo TCP Port 37674

“37674:UDP”= 37674:UDP:ooVoo UDP Port 37674

“37675:UDP”= 37675:UDP:ooVoo UDP Port 37675

R2 Automatisches LiveUpdate - Scheduler;Automatisches LiveUpdate - Scheduler;C:\Programme\Symantec\LiveUpdate\ALUSchedulerSvc.exe [2006-08-03 17:34]

R3 LVPrcMon;Logitech LVPrcMon Driver;C:\WINDOWS\system32\drivers\LVPrcMon.sys [2005-12-09 15:37]

S0 Winej73;Winej73;C:\WINDOWS\system32\Drivers\Winej73.sys []

S0 Winkp16;Winkp16;C:\WINDOWS\system32\Drivers\Winkp16.sys []

S0 Winns05;Winns05;C:\WINDOWS\system32\Drivers\Winns05.sys []

S0 Winvb15;Winvb15;C:\WINDOWS\system32\Drivers\Winvb15.sys []

S3 ASUSHWIO;ASUSHWIO;C:\WINDOWS\system32\drivers\ASUSHWIO.sys []

S3 EraserUtilDrv10821;EraserUtilDrv10821;C:\Programme\Gemeinsame Dateien\Symantec Shared\EENGINE\EraserUtilDrv10821.sys []

*Newly Created Service* - COMHOST

.

Inhalt des “geplante Tasks” Ordners

.

- - - Entfernte verwaiste Registrierungseintr„ge - - - -

URLSearchHooks-{57BCA5FA-5DBB-45a2-B558-1755C3F6253B} - C:\Programme\Winamp Toolbar\winamptb.dll

HKCU-Run-ooVoo.exe - C:\Program Files\ooVoo\ooVoo.exe

**************************************************************************

catchme 0.3.1361 W2K/XP/Vista - rootkit/stealth malware detector by Gmer, http://www.gmer.net

Rootkit scan 2008-08-27 16:42:39

Windows 5.1.2600 Service Pack 2 NTFS

Scanne versteckte Prozesse…

Scanne versteckte Autostart Eintr„ge…

Scanne versteckte Dateien…

Scan erfolgreich abgeschlossen

versteckte Dateien: 0

**************************************************************************

.

------------------------ Weitere, laufende Prozesse ------------------------

.

C:\Programme\Gemeinsame Dateien\Symantec Shared\ccSetMgr.exe

C:\Programme\Gemeinsame Dateien\Symantec Shared\ccEvtMgr.exe

C:\Programme\Gemeinsame Dateien\Symantec Shared\ccProxy.exe

C:\Programme\Gemeinsame Dateien\Symantec Shared\SNDSrvc.exe

C:\Programme\Gemeinsame Dateien\Symantec Shared\SPBBC\SPBBCSvc.exe

C:\Programme\Gemeinsame Dateien\Symantec Shared\CCPD-LC\symlcsvc.exe

C:\Programme\Gemeinsame Dateien\Logitech\LVMVFM\LVPrcSrv.exe

C:\Programme\Gemeinsame Dateien\Autodata Limited Shared\Service\ADCDLicSvc.exe

C:\Programme\Norton Internet Security\Norton AntiVirus\NAVAPSVC.EXE

C:\Programme\HP\Digital Imaging\bin\hpqtra08.exe

C:\Programme\RALINK\Common\RaUI.exe

D:\Programy\Webshots\Webshots.scr

C:\Programme\HP\Digital Imaging\bin\hpqste08.exe

C:\Programme\Gemeinsame Dateien\Symantec Shared\Security Console\NSCSRVCE.EXE

.

**************************************************************************

.

Zeit der Fertigstellung: 2008-08-27 16:45:43 - PC wurde neu gestartet

ComboFix-quarantined-files.txt 2008-08-27 14:45:36

Pre-Run: 8 Verzeichnis(se), 26,147,225,600 Bytes frei

Post-Run: 11 Verzeichnis(se), 26,161,901,568 Bytes frei

207 — E O F — 2008-08-13 22:35:36

huber2t · 27 Sierpień 2008 15:15

Pobierz ComboFix, ale nie uruchamiaj

Otwórz notatnik i wklej do niego:

File::

C:\WINDOWS\system32\msln.exe

C:\WINDOWS\system32\146811879.dat


Driver::

Winej73

Winkp16

Winns05

Winvb15


Registry::

[-HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SafeBoot\Minimal\Winej73.sys]

[-HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SafeBoot\Minimal\Winjo27.sys]

[-HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SafeBoot\Minimal\Winjo51.sys]

[-HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SafeBoot\Minimal\Winkp16.sys]

[-HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SafeBoot\Minimal\Winmr38.sys]

[-HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SafeBoot\Minimal\Winns05.sys]

[-HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SafeBoot\Minimal\Winty27.sys]

[-HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SafeBoot\Minimal\Winua16.sys]

[-HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SafeBoot\Minimal\Winvb15.sys]

Plik -> zapisz jako -> CFScript.txt.

Przeciągnij i upuść ikonkę CFScript.txt na ikonkę ComboFix.exe tak jak tu->

Rozpocznie się usuwanie i powstanie log, który dasz na forum.

Logi dajesz na http://wklej.eu lub na http://wklej.org a w poście dajesz tylko link

Pawel38 · 27 Sierpień 2008 15:41

Dzieki serdeczne, usowanie ComboFix zakonczone powodzeniem, po wirusie nie zostalo sladu, kolejne uruchamianie systemu i Nortona nie wykazalo obecnosci wirusa. Dzieki serdeczne za dobra rade, pomoc i cierpliwosc.

djarta · 27 Sierpień 2008 15:43

Daj log po usuwaniu

===================

K.

Pawel38 · 28 Sierpień 2008 18:13

Oto wklejka

http://www.wklej.org/id/1567/

huber2t · 28 Sierpień 2008 18:15

Daj log z usuwania z combofix

Pawel38 · 28 Sierpień 2008 18:20

log z usowania ComboFix.

http://www.wklej.org/id/1570/

huber2t · 28 Sierpień 2008 18:23

Pobierz ComboFix, ale nie uruchamiaj

Otwórz notatnik i wklej do niego:

Registry::

[-HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SafeBoot\Minimal\Winej73.sys]

[-HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SafeBoot\Minimal\Winjo27.sys]

[-HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SafeBoot\Minimal\Winjo51.sys]

[-HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SafeBoot\Minimal\Winkp16.sys]

[-HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SafeBoot\Minimal\Winmr38.sys]

[-HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SafeBoot\Minimal\Winns05.sys]

[-HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SafeBoot\Minimal\Winty27.sys]

[-HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SafeBoot\Minimal\Winua16.sys]

[-HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SafeBoot\Minimal\Winvb15.sys]


Driver::

Winej73

Winkp16

Winns05

Winvb15

Plik -> zapisz jako -> CFScript.txt.

Przeciągnij i upuść ikonkę CFScript.txt na ikonkę ComboFix.exe tak jak tu->

Rozpocznie się usuwanie i powstanie log, który dasz na forum.

Logi dajesz na http://wklej.eu lub na http://wklej.org a w poście dajesz tylko link

Pawel38 · 28 Sierpień 2008 18:41

Log po ComboFix

http://www.wklej.org/id/1575/

huber2t · 28 Sierpień 2008 18:43

Log wyglada na czysty

usuń ręcznie folder C: \Qoobox , usuń instalkę Combofix z dysku.

Przeczyść komputer Ccleanerem

Wykonaj optymalizację autostartu

Wyłącz i włącz przywracanie systemu na wszystkich dyskach. Instrukcja

Przeskanuj obszar mojego komputera http://www.kaspersky.pl/virusscanner.html (uruchom przez IE) Daj raport z niego na forum

lub

Dr.WEB CureIt!

Pawel38 · 28 Sierpień 2008 20:22

Oto raport ze skanowania Kasperky-m, jak widac nadal jest zainfekowany , co robic dalej?

KASPERSKY ONLINE SCANNER REPORT

28 sierpień 2008 22:15:57

System operacyjny: Microsoft Windows XP Home Edition, Service Pack 2 (Build 2600)

Kaspersky Online Scanner wersja: 5.0.98.1

Ostatnia aktualizacja Kaspersky Anti-Virus28/08/2008

Liczba wpisów w bazie danych Kaspersky Anti-Virus1157785

Ustawienia skanowania

Skanowanie przy użyciu następujących baz danych rozszerzone

Skanuj archiwa tak

Skanuj pocztowe bazy danych tak

Obszar skanowania Mój komputer

C:\

D:\

E:\

F:\

G:\

H:\

I:\

J:\

K:\

L:\

Statystyki skanowania

Liczba skanowanych obiektów 41395

Liczba wykrytych wirusów 1

Liczba zainfekowanych obiektów 2

Liczba podejrzanych obiektów 0

Czas trwania skanowania 00:51:05

Nazwa zainfekowanego obiektu Nazwa wirusa Ostatnie działanie

C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\Microsoft\Network\Downloader\qmgr0.dat Object is locked pominięty

C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\Microsoft\Network\Downloader\qmgr1.dat Object is locked pominięty

C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\Symantec\Common Client\Confid.log Object is locked pominięty

C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\Symantec\Common Client\Content.log Object is locked pominięty

C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\Symantec\Common Client\Privacy.log Object is locked pominięty

C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\Symantec\Common Client\Restrict.log Object is locked pominięty

C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\Symantec\Common Client\settings.dat Object is locked pominięty

C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\Symantec\Common Client\WebHist.log Object is locked pominięty

C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\Symantec\HPPAppActivity.log Object is locked pominięty

C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\Symantec\HPPHomePageActivity.log Object is locked pominięty

C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\Symantec\LiveUpdate\2008-08-28_Log.ALUSchedulerSvc.LiveUpdate Object is locked pominięty

C:\Dokumente und Einstellungen\LocalService\Cookies\index.dat Object is locked pominięty

C:\Dokumente und Einstellungen\LocalService\Lokale Einstellungen\Anwendungsdaten\Microsoft\Windows\UsrClass.dat Object is locked pominięty

C:\Dokumente und Einstellungen\LocalService\Lokale Einstellungen\Anwendungsdaten\Microsoft\Windows\UsrClass.dat.LOG Object is locked pominięty

C:\Dokumente und Einstellungen\LocalService\Lokale Einstellungen\Temporary Internet Files\Content.IE5\index.dat Object is locked pominięty

C:\Dokumente und Einstellungen\LocalService\Lokale Einstellungen\Verlauf\History.IE5\index.dat Object is locked pominięty

C:\Dokumente und Einstellungen\LocalService\NTUSER.DAT Object is locked pominięty

C:\Dokumente und Einstellungen\LocalService\ntuser.dat.LOG Object is locked pominięty

C:\Dokumente und Einstellungen\NetworkService\Cookies\index.dat Object is locked pominięty

C:\Dokumente und Einstellungen\NetworkService\Lokale Einstellungen\Anwendungsdaten\Microsoft\Windows\UsrClass.dat Object is locked pominięty

C:\Dokumente und Einstellungen\NetworkService\Lokale Einstellungen\Anwendungsdaten\Microsoft\Windows\UsrClass.dat.LOG Object is locked pominięty

C:\Dokumente und Einstellungen\NetworkService\Lokale Einstellungen\Temporary Internet Files\Content.IE5\index.dat Object is locked pominięty

C:\Dokumente und Einstellungen\NetworkService\Lokale Einstellungen\Verlauf\History.IE5\index.dat Object is locked pominięty

C:\Dokumente und Einstellungen\NetworkService\NTUSER.DAT Object is locked pominięty

C:\Dokumente und Einstellungen\NetworkService\ntuser.dat.LOG Object is locked pominięty

C:\Dokumente und Einstellungen\Piegus\Anwendungsdaten\Symantec\PendingAlertsQueue.log Object is locked pominięty

C:\Dokumente und Einstellungen\Piegus\Cookies\index.dat Object is locked pominięty

C:\Dokumente und Einstellungen\Piegus\Lokale Einstellungen\Anwendungsdaten\Microsoft\Windows\UsrClass.dat Object is locked pominięty

C:\Dokumente und Einstellungen\Piegus\Lokale Einstellungen\Anwendungsdaten\Microsoft\Windows\UsrClass.dat.LOG Object is locked pominięty

C:\Dokumente und Einstellungen\Piegus\Lokale Einstellungen\Temp\hpodvd09.log Object is locked pominięty

C:\Dokumente und Einstellungen\Piegus\Lokale Einstellungen\Temp~DF8D93.tmp Object is locked pominięty

C:\Dokumente und Einstellungen\Piegus\Lokale Einstellungen\Temp~DFB0D3.tmp Object is locked pominięty

C:\Dokumente und Einstellungen\Piegus\Lokale Einstellungen\Temporary Internet Files\AntiPhishing\B3BB5BBA-E7D5-40AB-A041-A5B1C0B26C8F.dat Object is locked pominięty

C:\Dokumente und Einstellungen\Piegus\Lokale Einstellungen\Temporary Internet Files\Content.IE5\index.dat Object is locked pominięty

C:\Dokumente und Einstellungen\Piegus\Lokale Einstellungen\Verlauf\History.IE5\index.dat Object is locked pominięty

C:\Dokumente und Einstellungen\Piegus\Lokale Einstellungen\Verlauf\History.IE5\MSHist012008082820080829\index.dat Object is locked pominięty

C:\Dokumente und Einstellungen\Piegus\ntuser.dat Object is locked pominięty

C:\Dokumente und Einstellungen\Piegus\ntuser.dat.LOG Object is locked pominięty

C:\Programme\Gemeinsame Dateien\Symantec Shared\AntiSpam\Log\Spam.log Object is locked pominięty

C:\Programme\Gemeinsame Dateien\Symantec Shared\CCPD-LC\symlcrst.dll Object is locked pominięty

C:\Programme\Gemeinsame Dateien\Symantec Shared\EENGINE\EPERSIST.DAT Object is locked pominięty

C:\Programme\Gemeinsame Dateien\Symantec Shared\SNDALRT.log Object is locked pominięty

C:\Programme\Gemeinsame Dateien\Symantec Shared\SNDCON.log Object is locked pominięty

C:\Programme\Gemeinsame Dateien\Symantec Shared\SNDDBG.log Object is locked pominięty

C:\Programme\Gemeinsame Dateien\Symantec Shared\SNDFW.log Object is locked pominięty

C:\Programme\Gemeinsame Dateien\Symantec Shared\SNDIDS.log Object is locked pominięty

C:\Programme\Gemeinsame Dateien\Symantec Shared\SNDSYS.log Object is locked pominięty

C:\Programme\Gemeinsame Dateien\Symantec Shared\SPBBC\LOGS\BBConfig.log Object is locked pominięty

C:\Programme\Gemeinsame Dateien\Symantec Shared\SPBBC\LOGS\BBDebug.log Object is locked pominięty

C:\Programme\Gemeinsame Dateien\Symantec Shared\SPBBC\LOGS\BBDetect.log Object is locked pominięty

C:\Programme\Gemeinsame Dateien\Symantec Shared\SPBBC\LOGS\BBNotify.log Object is locked pominięty

C:\Programme\Gemeinsame Dateien\Symantec Shared\SPBBC\LOGS\BBRefr.log Object is locked pominięty

C:\Programme\Gemeinsame Dateien\Symantec Shared\SPBBC\LOGS\BBSetCfg.log Object is locked pominięty

C:\Programme\Gemeinsame Dateien\Symantec Shared\SPBBC\LOGS\BBSetCfg2.log Object is locked pominięty

C:\Programme\Gemeinsame Dateien\Symantec Shared\SPBBC\LOGS\BBSetDev.log Object is locked pominięty

C:\Programme\Gemeinsame Dateien\Symantec Shared\SPBBC\LOGS\BBSetLoc.log Object is locked pominięty

C:\Programme\Gemeinsame Dateien\Symantec Shared\SPBBC\LOGS\BBSetUsr.log Object is locked pominięty

C:\Programme\Gemeinsame Dateien\Symantec Shared\SPBBC\LOGS\BBSMNot.log Object is locked pominięty

C:\Programme\Gemeinsame Dateien\Symantec Shared\SPBBC\LOGS\BBSMReg.log Object is locked pominięty

C:\Programme\Gemeinsame Dateien\Symantec Shared\SPBBC\LOGS\BBSMRSt.log Object is locked pominięty

C:\Programme\Gemeinsame Dateien\Symantec Shared\SPBBC\LOGS\BBStHash.log Object is locked pominięty

C:\Programme\Gemeinsame Dateien\Symantec Shared\SPBBC\LOGS\BBStMSI.log Object is locked pominięty

C:\Programme\Gemeinsame Dateien\Symantec Shared\SPBBC\LOGS\BBValid.log Object is locked pominięty

C:\Programme\Gemeinsame Dateien\Symantec Shared\SPBBC\LOGS\SPPolicy.log Object is locked pominięty

C:\Programme\Gemeinsame Dateien\Symantec Shared\SPBBC\LOGS\SPStart.log Object is locked pominięty

C:\Programme\Gemeinsame Dateien\Symantec Shared\SPBBC\LOGS\SPStop.log Object is locked pominięty

C:\Programme\Norton Internet Security\Norton AntiVirus\AVApp.log Object is locked pominięty

C:\Programme\Norton Internet Security\Norton AntiVirus\AVError.log Object is locked pominięty

C:\Programme\Norton Internet Security\Norton AntiVirus\AVVirus.log Object is locked pominięty

C:\Programme\Norton Internet Security\Norton AntiVirus\Savrt\0561NAV~.TMP Object is locked pominięty

C:\System Volume Information\MountPointManagerRemoteDatabase Object is locked pominięty

C:\System Volume Information_restore{9099B9E0-6DEA-454A-BA78-2BAD3C2331A0}\RP96\change.log Object is locked pominięty

C:\WINDOWS$_hpcst$.hpc Object is locked pominięty

C:\WINDOWS\Debug\PASSWD.LOG Object is locked pominięty

C:\WINDOWS\SchedLgU.Txt Object is locked pominięty

C:\WINDOWS\SoftwareDistribution\EventCache{4A293AC1-71F2-4C69-A738-56059C481A71}.bin Object is locked pominięty

C:\WINDOWS\SoftwareDistribution\ReportingEvents.log Object is locked pominięty

C:\WINDOWS\Sti_Trace.log Object is locked pominięty

C:\WINDOWS\system32\CatRoot2\edb.log Object is locked pominięty

C:\WINDOWS\system32\CatRoot2\tmp.edb Object is locked pominięty

C:\WINDOWS\system32\config\AppEvent.Evt Object is locked pominięty

C:\WINDOWS\system32\config\default Object is locked pominięty

C:\WINDOWS\system32\config\default.LOG Object is locked pominięty

C:\WINDOWS\system32\config\Internet.evt Object is locked pominięty

C:\WINDOWS\system32\config\SAM Object is locked pominięty

C:\WINDOWS\system32\config\SAM.LOG Object is locked pominięty

C:\WINDOWS\system32\config\SecEvent.Evt Object is locked pominięty

C:\WINDOWS\system32\config\SECURITY Object is locked pominięty

C:\WINDOWS\system32\config\SECURITY.LOG Object is locked pominięty

C:\WINDOWS\system32\config\software Object is locked pominięty

C:\WINDOWS\system32\config\software.LOG Object is locked pominięty

C:\WINDOWS\system32\config\SysEvent.Evt Object is locked pominięty

C:\WINDOWS\system32\config\system Object is locked pominięty

C:\WINDOWS\system32\config\system.LOG Object is locked pominięty

C:\WINDOWS\system32\h323log.txt Object is locked pominięty

C:\WINDOWS\system32\vimc.exe/WISE0005.BIN Zainfekowanych: not-a-virus:RiskTool.Win32.CloseApp.e pominięty

C:\WINDOWS\system32\vimc.exe WiseSFX: zainfekowany - 1 pominięty

C:\WINDOWS\system32\wbem\Repository\FS\INDEX.BTR Object is locked pominięty

C:\WINDOWS\system32\wbem\Repository\FS\INDEX.MAP Object is locked pominięty

C:\WINDOWS\system32\wbem\Repository\FS\MAPPING.VER Object is locked pominięty

C:\WINDOWS\system32\wbem\Repository\FS\MAPPING1.MAP Object is locked pominięty

C:\WINDOWS\system32\wbem\Repository\FS\MAPPING2.MAP Object is locked pominięty

C:\WINDOWS\system32\wbem\Repository\FS\OBJECTS.DATA Object is locked pominięty

C:\WINDOWS\system32\wbem\Repository\FS\OBJECTS.MAP Object is locked pominięty

C:\WINDOWS\wiadebug.log Object is locked pominięty

C:\WINDOWS\wiaservc.log Object is locked pominięty

C:\WINDOWS\WindowsUpdate.log Object is locked pominięty

D:\System Volume Information\MountPointManagerRemoteDatabase Object is locked pominięty

D:\System Volume Information_restore{9099B9E0-6DEA-454A-BA78-2BAD3C2331A0}\RP96\change.log Object is locked pominięty

E:\System Volume Information\MountPointManagerRemoteDatabase Object is locked pominięty

E:\System Volume Information_restore{9099B9E0-6DEA-454A-BA78-2BAD3C2331A0}\RP96\change.log Object is locked pominięty

Proces skanowania został zakończony.

huber2t · 28 Sierpień 2008 20:26

Usuwasz to:

C:\WINDOWS\system32\vimc.exe

Gutek · 28 Sierpień 2008 20:38

Zmiana zasad wklejania logów na forum - viewtopic.php?f=16&t=253052