Virus Alert! Nie można uruchomić programów

[wozek53]

[quote]Komputer zainfekowany trojany i malware .

Nie można wejść do żadnego programu na komputerze.Windows wysyła ciągłe security alert.Mogę wejść do przeglądarki i mam dostępny :wyłącz komputer oraz outlook expres.Wszystko inne niewidoczne np Programy.

Log do analizy:


Logfile of HijackThis v1.99.1

Scan saved at 10:37: VIRUS ALERT!, on 2008-10-04

Platform: Windows XP Dodatek SP3 (WinNT 5.01.2600)

MSIE: Internet Explorer v7.00 (7.00.6000.16705)


Running processes:

C:\WINDOWS\System32\smss.exe

C:\WINDOWS\system32\winlogon.exe

C:\WINDOWS\system32\services.exe

C:\WINDOWS\system32\lsass.exe

C:\WINDOWS\system32\svchost.exe

C:\WINDOWS\System32\svchost.exe

C:\WINDOWS\system32\spoolsv.exe

C:\WINDOWS\Explorer.EXE

C:\Program Files\a-squared Anti-Malware\a2service.exe

C:\Program Files\F-Secure Internet Security\Anti-Virus\fsgk32st.exe

C:\Program Files\F-Secure Internet Security\Common\FSMA32.EXE

C:\Program Files\F-Secure Internet Security\Anti-Virus\FSGK32.EXE

C:\WINDOWS\system32\nvsvc32.exe

C:\Program Files\F-Secure Internet Security\Common\FSMB32.EXE

C:\Program Files\F-Secure Internet Security\Common\FCH32.EXE

C:\Program Files\F-Secure Internet Security\Common\FAMEH32.EXE

C:\Program Files\F-Secure Internet Security\Anti-Virus\fsqh.exe

C:\Program Files\F-Secure Internet Security\Common\FSM32.EXE

C:\Program Files\F-Secure Internet Security\FSPC\fspc.exe

C:\Program Files\F-Secure Internet Security\Anti-Virus\fssm32.exe

C:\Program Files\F-Secure Internet Security\FSAUA\program\fsaua.exe

C:\WINDOWS\system32\ctfmon.exe

C:\Program Files\F-Secure Internet Security\FWES\Program\fsdfwd.exe

C:\Program Files\F-Secure Internet Security\FSGUI\fsguidll.exe

C:\Program Files\F-Secure Internet Security\FSAUA\program\fsus.exe

C:\WINDOWS\system32\wscntfy.exe

C:\Program Files\F-Secure Internet Security\Anti-Virus\fsav32.exe

C:\Program Files\a-squared Anti-Malware\a2scan.exe

C:\Program Files\a-squared Free\a2free.exe

C:\Program Files\a-squared Free\a2service.exe

C:\Program Files\Mozilla Firefox\firefox.exe

C:\Documents and Settings\Piotr.M-3C2C0BC655D54\Pulpit\HijackThis.exe


R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://softwarereferral.com/jump.php?wmid=6010&mid=MjI6Ojg5&lid=2

R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://go.microsoft.com/fwlink/?LinkId=69157

R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://go.microsoft.com/fwlink/?LinkId=54896

R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = http://go.microsoft.com/fwlink/?LinkId=54896

R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = http://go.microsoft.com/fwlink/?LinkId=69157

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Local Page = \blank.htm

R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Local Page = 

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Window Title = Internet

R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Łącza

R3 - URLSearchHook: Yahoo! Toolbar - {EF99BD32-C1FB-11D2-892F-0090271D4F88} - (no file)

O3 - Toolbar: (no name) - {7FEBEFE3-6B19-4349-98D2-FFB09D4B49CA} - (no file)

O3 - Toolbar: (no name) - {0BF43445-2F28-4351-9252-17FE6E806AA0} - (no file)

O3 - Toolbar: dkwqgnbe - {E0EA98B2-75D8-4F9E-ADF3-3ED707BD6AE7} - C:\WINDOWS\dkwqgnbe.dll

O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\system32\NvCpl.dll,NvStartup

O4 - HKLM\..\Run: [F-Secure Manager] "C:\Program Files\F-Secure Internet Security\Common\FSM32.EXE" /splash

O4 - HKLM\..\Run: [F-Secure TNB] "C:\Program Files\F-Secure Internet Security\FSGUI\TNBUtil.exe" /CHECKALL /WAITFORSW

O4 - HKLM\..\Run: [ISUSPM Startup] C:\PROGRA~1\COMMON~1\INSTAL~1\UPDATE~1\ISUSPM.exe -startup

O4 - HKLM\..\Run: [cc71c1c8] rundll32.exe "C:\WINDOWS\system32\rdamiicd.dll",b

O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\ctfmon.exe

O6 - HKCU\Software\Policies\Microsoft\Internet Explorer\Restrictions present

O7 - HKCU\Software\Microsoft\Windows\CurrentVersion\Policies\System, DisableRegedit=1

O8 - Extra context menu item: E&ksport do programu Microsoft Excel - res://C:\PROGRA~1\MICROS~2\OFFICE11\EXCEL.EXE/3000

O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\jre1.6.0_06\bin\ssv.dll

O9 - Extra 'Tools' menuitem: Sun Java Console - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\jre1.6.0_06\bin\ssv.dll

O9 - Extra button: Kontrola rodzicielska... - {200DB664-75B5-47c0-8B45-A44ACCF73C00} - C:\Program Files\F-Secure Internet Security\FSPC\fspcmsie.dll

O9 - Extra button: (no name) - {200DB664-75B5-47c0-8B45-A44ACCF73F01} - C:\Program Files\F-Secure Internet Security\FSPC\fspcmsie.dll

O9 - Extra 'Tools' menuitem: Kontrola rodzicielska... - {200DB664-75B5-47c0-8B45-A44ACCF73F01} - C:\Program Files\F-Secure Internet Security\FSPC\fspcmsie.dll

O9 - Extra button: Badanie - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - C:\PROGRA~1\MICROS~2\OFFICE11\REFIEBAR.DLL

O9 - Extra button: (no name) - {e2e2dd38-d088-4134-82b7-f2ba38496583} - %windir%\Network Diagnostic\xpnetdiag.exe (file missing)

O9 - Extra 'Tools' menuitem: @xpsp3res.dll,-20001 - {e2e2dd38-d088-4134-82b7-f2ba38496583} - %windir%\Network Diagnostic\xpnetdiag.exe (file missing)

O10 - Unknown file in Winsock LSP: c:\program files\f-secure internet security\fsps\program\fslsp.dll

O10 - Unknown file in Winsock LSP: c:\program files\f-secure internet security\fsps\program\fslsp.dll

O10 - Unknown file in Winsock LSP: c:\program files\f-secure internet security\fsps\program\fslsp.dll

O10 - Unknown file in Winsock LSP: c:\program files\f-secure internet security\fsps\program\fslsp.dll

O10 - Unknown file in Winsock LSP: c:\program files\f-secure internet security\fsps\program\fslsp.dll

O10 - Unknown file in Winsock LSP: c:\program files\f-secure internet security\fsps\program\fslsp.dll

O10 - Unknown file in Winsock LSP: c:\program files\f-secure internet security\fsps\program\fslsp.dll

O11 - Options group: [INTERNATIONAL] International*

O18 - Protocol: ms-help - {314111C7-A502-11D2-BBCA-00C04F8EC294} - C:\Program Files\Common Files\Microsoft Shared\Help\hxds.dll

O18 - Protocol: skype4com - {FFC8B962-9B40-4DFF-9458-1830C7DD7F5D} - C:\PROGRA~1\COMMON~1\Skype\SKYPE4~1.DLL

O21 - SSODL: WPDShServiceObj - {AAA288BA-9A4C-45B0-95D7-94D524869DB5} - C:\WINDOWS\system32\WPDShServiceObj.dll

O21 - SSODL: xgpsarbm - {784CD6E6-B903-4B13-BA4A-A827CC5F4713} - C:\WINDOWS\xgpsarbm.dll

O21 - SSODL: neksolda - {D2487FBE-1698-4C50-A9C3-C7444D70C8B2} - C:\WINDOWS\neksolda.dll

O23 - Service: a-squared Anti-Malware Service (a2AntiMalware) - Emsi Software GmbH - C:\Program Files\a-squared Anti-Malware\a2service.exe

O23 - Service: a-squared Free Service (a2free) - Emsi Software GmbH - C:\Program Files\a-squared Free\a2service.exe

O23 - Service: FSGKHS (F-Secure Gatekeeper Handler Starter) - F-Secure Corporation - C:\Program Files\F-Secure Internet Security\Anti-Virus\fsgk32st.exe

O23 - Service: F-Secure Automatic Update Agent (FSAUA) - F-Secure Corporation - C:\Program Files\F-Secure Internet Security\FSAUA\program\fsaua.exe

O23 - Service: F-Secure Anti-Virus Firewall Daemon (FSDFWD) - F-Secure Corporation - C:\Program Files\F-Secure Internet Security\FWES\Program\fsdfwd.exe

O23 - Service: F-Secure Management Agent (FSMA) - F-Secure Corporation - C:\Program Files\F-Secure Internet Security\Common\FSMA32.EXE

O23 - Service: F-Secure ORSP Client (FSORSPClient) - F-Secure Corporation - C:\Program Files\F-Secure Internet Security\ORSP Client\fsorsp.exe

O23 - Service: Google Updater Service (gusvc) - Google - C:\Program Files\Google\Common\Google Updater\GoogleUpdaterService.exe

O23 - Service: InstallDriver Table Manager (IDriverT) - Macrovision Corporation - C:\Program Files\Common Files\InstallShield\Driver\1150\Intel 32\IDriverT.exe

O23 - Service: NVIDIA Display Driver Service (NVSvc) - NVIDIA Corporation - C:\WINDOWS\system32\nvsvc32.exe

O23 - Service: ServiceLayer - Nokia. - C:\Program Files\PC Connectivity Solution\ServiceLayer.exe

O23 - Service: Viewpoint Manager Service - Viewpoint Corporation - C:\Program Files\Viewpoint\Common\ViewpointService.exe


[quote][code]

[spandaupol (Spandau)]

Usuń te wpisy w HJT

Uruchom HijackThis - Do a system scan only - w oknie programu pokaże się log - zaznacz kratki przy podanych wpisach - klikasz Fix checked

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://softwarereferral.com/jump.php?wm … Ojg5&lid=2 R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Local Page = \blank.htm O3 - Toolbar: (no name) - {7FEBEFE3-6B19-4349-98D2-FFB09D4B49CA} - (no file) O3 - Toolbar: (no name) - {0BF43445-2F28-4351-9252-17FE6E806AA0} - (no file) O3 - Toolbar: dkwqgnbe - {E0EA98B2-75D8-4F9E-ADF3-3ED707BD6AE7} - C:\WINDOWS\dkwqgnbe.dll O4 - HKLM…\Run: [cc71c1c8] rundll32.exe “C:\WINDOWS\system32\rdamiicd.dll”,b O6 - HKCU\Software\Policies\Microsoft\Internet Explorer\Restrictions present O7 - HKCU\Software\Microsoft\Windows\CurrentVersion\Policies\System, DisableRegedit=1 O21 - SSODL: xgpsarbm - {784CD6E6-B903-4B13-BA4A-A827CC5F4713} - C:\WINDOWS\xgpsarbm.dll O21 - SSODL: neksolda - {D2487FBE-1698-4C50-A9C3-C7444D70C8B2} - C:\WINDOWS\neksolda.dll

Pobierz Combofix ale nie uruchamiaj wklej do notatnika:

File:: C:\WINDOWS\dkwqgnbe.dll C:\WINDOWS\system32\rdamiicd.dll C:\WINDOWS\xgpsarbm.dl C:\WINDOWS\neksolda.dll

Zapisz plik jako CFScript.txt najlepiej aby ikonka tego pliku znajdowała się obok ikonki ComboFix.exe

Przeciągnij i upuść plik CFScript.txt na ikonkę ComboFix.exe powinno rozpocząć się usuwanie po tym daj log na forum.

Loga wklej na www.wklejto.pl lub http://www.wklej.org/ a w poście daj tylko linka

[Agaton (Agatonster)]

wozek53 ,

Zapoznaj się z tematem Ważny komunikat dotyczący tytułowania tematów - skonkretyzuj problem, opisz dokładniej objawy “totalnego ataku”.

W celu dokonania zaleconej korekty - proszę użyć przycisku

Zignorowanie zalecenia będzie skutkowało usunięciem tematu do Kosza.

W związku ze zmianą, jaka obowiązuje przy wklejaniu logów w tym dziale, przeczytaj i stosuj się do Tematu

[wozek53]

http://www.wklejto.pl/11434

[spandaupol (Spandau)]

Usuń te wpisy w HJT

Uruchom HijackThis - Do a system scan only - w oknie programu pokaże się log - zaznacz kratki przy podanych wpisach - klikasz Fix checked

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://softwarereferral.com/jump.php?wm … Ojg5&lid=2 O21 - SSODL: xgpsarbm - {E210217D-F6B1-47CB-81A0-2DE946329A76} - C:\WINDOWS\xgpsarbm.dll

Prosiłem o log z usuwania Combofix ponieważ niektóre wpisy w HJT mogą nie chcieć się usunąć. Skrypt masz w poście powyżej.

[wozek53]

Nie mogę wejść w moje dokumenty i pobrać log Combofix.

Te dwa wpisy co kazałeś usunąć HJT nie może usunąć.

[Leon1 (Leon$)]

Nie mogę wejść w moje dokumenty i pobrać log Combofix. Te dwa wpisy co kazałeś usunąć HJT nie może usunąć.

Pobierz HijackThis 2.02 http://forum.dobreprogramy.pl/viewtopic.php?f=16&t=36654

spróbuj w trybie awaryjnym

Pobierz program SDFix

[wozek53]

Dziękuje za pomoc.

Zamknijcie temat.

[wozek53]

Za wcześnie podziękowałem spaware doktor wykrył wirusy i trojany.

Zrobiłem j.w wskazał mi Leon$ oto loog:http://www.wklejto.pl/11700

[wozek53]

to jest dobry log: http://wklejto.pl/11704

jeszcze log hjt ;http://wklejto.pl/11706

http://wklejto.pl/11706

[Leon1 (Leon$)]

wpisy

R3 - Default URLSearchHook is missing O4 - HKLM…\Run: [bMcf42f254] Rundll32.exe “C:\WINDOWS\system32\roktqfxb.dll”,s O15 - ProtocolDefaults: ‘@ivt’ protocol is in My Computer Zone, should be Intranet Zone (HKLM) O15 - ProtocolDefaults: ‘file’ protocol is in My Computer Zone, should be Internet Zone (HKLM) O15 - ProtocolDefaults: ‘ftp’ protocol is in My Computer Zone, should be Internet Zone (HKLM) O15 - ProtocolDefaults: ‘http’ protocol is in My Computer Zone, should be Internet Zone (HKLM) O15 - ProtocolDefaults: ‘https’ protocol is in My Computer Zone, should be Internet Zone (HKLM) O20 - Winlogon Notify: iifdcdAS - iifdcdAS.dll (file missing)

usuń HijackThisem >> Fix checked

Pobierz Combofix http://www.searchengines.pl/index.php?s … ntry395642 ale nie włączaj.

Podczas pobierania i skanu Combofixem proszę wyłączyć wszelkie zapory i antywirusy

Otwórz notatnik i wklej

File:: C:\WINDOWS\system32\roktqfxb.dll

zapisz jako CFScript.txt (zapisz by ikonka CFScript.txt była obok ikonki ComboFix.exe) >> Przeciągnij i upuść ikonkę CFScript.txt na ikonkę ComboFix.exe

http://img.wklej.org/images/88953CFScri … iemoes.gif

Powinno rozpocząć się usuwanie

Potem log z usuwania Combofix

[wozek53]

Nie daje się usunąć Combofixem pisze plik txt nie prawidłowy

[Leon1 (Leon$)]

Pobierz i uruchom narzędzie The Avenger Zaznaczasz tekst podany do usunięcia na forum

Files to delete: C:\WINDOWS\system32\roktqfxb.dll

kopiuj >> klikasz na Paste Script from Clipboard >> Execute >> Potwierdzasz i zgadzasz się na restart klikając OK.

Kasujesz ręcznie z dysku plik: C:\Avenger\backup.zip i wklejasz na forum raport: C:\avenger.txt

potem uruchom Combofix dwuklikiem i daj log

[wozek53]

http://wklejto.pl/11737

[Leon1 (Leon$)]

http://wklejto.pl/11737

potem uruchom Combofix dwuklikiem i daj log

spróbuj to zrobić w trybie awaryjnym

[wozek53]

Zrobione oto log : http://wklejto.pl/11769

[Leon1 (Leon$)]

Pobierz i uruchom narzędzie The Avenger Zaznaczasz tekst podany do usunięcia na forum

Files to delete: C:\WINDOWS\pskt.ini C:\WINDOWS\system32\mcrh.tmp

kopiuj >> klikasz na Paste Script from Clipboard >> Execute >> Potwierdzasz i zgadzasz się na restart klikając OK.

Kasujesz ręcznie z dysku plik: C:\Avenger\backup.zip i wklejasz na forum raport: C:\avenger.txt

usuń ręcznie folder C: \Qoobox usuń instalkę Combofix z dysku.którą masz

Pobierz jeszcze raz świeżą wersję Combofix http://www.searchengines.pl/index.php?s … ntry395642 uruchom dwuklikiem daj log

Podczas pobierania i skanu Combofixem proszę wyłączyć wszelkie zapory i antywirusy

[wozek53]

Aveter log Logfile of The Avenger Version 2.0, © by Swandog46 http://swandog46.geekstogo.com Platform: Windows XP ******************* Script file opened successfully. Script file read successfully. Backups directory opened successfully at C:\Avenger ******************* Beginning to process script file: Rootkit scan active. No rootkits found! File “C:\WINDOWS\pskt.ini” deleted successfully. File “C:\WINDOWS\system32\mcrh.tmp” deleted successfully. Completed script processing. ******************* Finished! Terminate.

[wozek53]

http://wklejto.pl/11782

log Combofix

[Leon1 (Leon$)]

Pobierz System Repair Engineer

http://www.cybertrash.pl/images/tata/System%20Repair/System%20Repair%20Engineer.html

przeskanuj daj log

Pobierz CCleaner http://www.filehippo.com/download_ccleaner/

przeskanuj nim i wyczyść rejestr.

zrób optymalizacje uruchamiania

http://cybertrash.netarteria.pl/cyber/i … 378.0.html

usuń ręcznie folder C: \Qoobox usuń instalkę Combofix z dysku.

Wyłącz I włącz przywracanie systemu na wszystkich dyskach.http://support.microsoft.com/kb/310405/pl

przeskanuj obszar Mój komputer http://www.kaspersky.pl/virusscanner.html pokaż raport stronę uruchomić przez IE