W32 Cutwail - log

sqar · 2 Maj 2009 09:57

Witam,

mam problem w W32 Cutwail

Tutaj log z ComboFix’a http://wklej.org/id/85440/

Na co dzien uzywam Avasta, ale dawno nie byl robiony zaden dodatkowy skan, wiec moglo sie tego wiecej nazbierac,

i pytanie, czy to “paskudztwo” moze byc na pendrivie, z ktorego korzystalem ostatnio i ewentualnie jak sie go pozbyc

Z gory dziekuje za pomoc

system · 2 Maj 2009 10:36

Czemu widzę w logu Eseta oraz F-Secure ?

Przeskanuj Dr.WEB CureIt! (pełne skanowanie)

Przeleć system oraz rejestr Ccleaner

Optymalizacja Autostartu

Wyłącz i włącz przywracanie systemu na wszystkich dyskach Instrukcja

– Dodane 02.05.2009 (So) 12:38 –

A tu masz temat, ktoś już walczył z tym ustrojstwem

viewtopic.php?t=321418

spandaupol · 2 Maj 2009 11:07

Do wyleczenia pendrive użyj np Flash Disinfector http://www.searchengines.pl/Infekcje-z- … 94761.html (u dołu strony)

W logu widać jeszcze Eseta

Daje go również do usunięcia

wklej do notatnika:

File:: c:\documents and settings\Ja\sxs32.exe c:\documents and settings\Ja\hub32ie.exe C:\sxs32.exe C:\usier32.exe c:\recycler\S-1-5-21-8326691287-2378677810-784964147-3453\wingn.exe c:\windows\system32\drivers\i386si.sys Folder:: c:\documents and settings\All Users\Dane aplikacji\ESET c:\program files\ESET Driver:: ksi32sk i386si ehdrv ekrn Registry:: [HKEY_LOCAL_MACHINE\software\microsoft\windows nt\currentversion\winlogon] “Taskman”=- [-HKEY_LOCAL_MACHINE\software\microsoft\windows nt\currentversion\image file execution options\a2service.exe] [-HKEY_LOCAL_MACHINE\software\microsoft\windows nt\currentversion\image file execution options\ArcaCheck.exe] [-HKEY_LOCAL_MACHINE\software\microsoft\windows nt\currentversion\image file execution options\arcavir.exe] [-HKEY_LOCAL_MACHINE\software\microsoft\windows nt\currentversion\image file execution options\ashDisp.exe] [-HKEY_LOCAL_MACHINE\software\microsoft\windows nt\currentversion\image file execution options\ashEnhcd.exe] [-HKEY_LOCAL_MACHINE\software\microsoft\windows nt\currentversion\image file execution options\ashServ.exe] [-HKEY_LOCAL_MACHINE\software\microsoft\windows nt\currentversion\image file execution options\ashUpd.exe] [-HKEY_LOCAL_MACHINE\software\microsoft\windows nt\currentversion\image file execution options\aswUpdSv.exe] [-HKEY_LOCAL_MACHINE\software\microsoft\windows nt\currentversion\image file execution options\avcls.exe] [-HKEY_LOCAL_MACHINE\software\microsoft\windows nt\currentversion\image file execution options\avz.exe] [-HKEY_LOCAL_MACHINE\software\microsoft\windows nt\currentversion\image file execution options\avz4.exe] [-HKEY_LOCAL_MACHINE\software\microsoft\windows nt\currentversion\image file execution options\avz_se.exe] [-HKEY_LOCAL_MACHINE\software\microsoft\windows nt\currentversion\image file execution options\bdinit.exe] [-HKEY_LOCAL_MACHINE\software\microsoft\windows nt\currentversion\image file execution options\caav.exe] [-HKEY_LOCAL_MACHINE\software\microsoft\windows nt\currentversion\image file execution options\caavguiscan.exe] [-HKEY_LOCAL_MACHINE\software\microsoft\windows nt\currentversion\image file execution options\casecuritycenter.exe] [-HKEY_LOCAL_MACHINE\software\microsoft\windows nt\currentversion\image file execution options\ccupdate.exe] [-HKEY_LOCAL_MACHINE\software\microsoft\windows nt\currentversion\image file execution options\cfp.exe] [-HKEY_LOCAL_MACHINE\software\microsoft\windows nt\currentversion\image file execution options\cfpupdat.exe] [-HKEY_LOCAL_MACHINE\software\microsoft\windows nt\currentversion\image file execution options\cmdagent.exe] [-HKEY_LOCAL_MACHINE\software\microsoft\windows nt\currentversion\image file execution options\DRWEB32.EXE] [-HKEY_LOCAL_MACHINE\software\microsoft\windows nt\currentversion\image file execution options\FAMEH32.EXE] [-HKEY_LOCAL_MACHINE\software\microsoft\windows nt\currentversion\image file execution options\FPAVServer.exe] [-HKEY_LOCAL_MACHINE\software\microsoft\windows nt\currentversion\image file execution options\fpscan.exe] [-HKEY_LOCAL_MACHINE\software\microsoft\windows nt\currentversion\image file execution options\FPWin.exe] [-HKEY_LOCAL_MACHINE\software\microsoft\windows nt\currentversion\image file execution options\fsav32.exe] [-HKEY_LOCAL_MACHINE\software\microsoft\windows nt\currentversion\image file execution options\fsgk32st.exe] [-HKEY_LOCAL_MACHINE\software\microsoft\windows nt\currentversion\image file execution options\FSMA32.EXE] [-HKEY_LOCAL_MACHINE\software\microsoft\windows nt\currentversion\image file execution options\guardxservice.exe] [-HKEY_LOCAL_MACHINE\software\microsoft\windows nt\currentversion\image file execution options\guardxup.exe] [-HKEY_LOCAL_MACHINE\software\microsoft\windows nt\currentversion\image file execution options\navigator.exe] [-HKEY_LOCAL_MACHINE\software\microsoft\windows nt\currentversion\image file execution options\NAVSTUB.EXE] [-HKEY_LOCAL_MACHINE\software\microsoft\windows nt\currentversion\image file execution options\Nvcc.exe] [-HKEY_LOCAL_MACHINE\software\microsoft\windows nt\currentversion\image file execution options\outpost.exe] [-HKEY_LOCAL_MACHINE\software\microsoft\windows nt\currentversion\image file execution options\preupd.exe] [-HKEY_LOCAL_MACHINE\software\microsoft\windows nt\currentversion\image file execution options\pskdr.exe] [-HKEY_LOCAL_MACHINE\software\microsoft\windows nt\currentversion\image file execution options\SfFnUp.exe] [-HKEY_LOCAL_MACHINE\software\microsoft\windows nt\currentversion\image file execution options\Vba32arkit.exe] [-HKEY_LOCAL_MACHINE\software\microsoft\windows nt\currentversion\image file execution options\vba32ldr.exe] [-HKEY_LOCAL_MACHINE\software\microsoft\windows nt\currentversion\image file execution options\Zanda.exe] [-HKEY_LOCAL_MACHINE\software\microsoft\windows nt\currentversion\image file execution options\zapro.exe] [-HKEY_LOCAL_MACHINE\software\microsoft\windows nt\currentversion\image file execution options\Zlh.exe] [-HKEY_LOCAL_MACHINE\software\microsoft\windows nt\currentversion\image file execution options\zoneband.dll] [-HKEY_CURRENT_USER\software\microsoft\windows\currentversion\explorer\mountpoints2{0bfc5010-065f-11de-a16a-00226bdd35bb}] [-HKEY_CURRENT_USER\software\microsoft\windows\currentversion\explorer\mountpoints2{46fd5050-001f-11de-a152-00226bdd35bb}] [-HKEY_CURRENT_USER\software\microsoft\windows\currentversion\explorer\mountpoints2{bdd6e470-9058-11dc-9fb9-00096bd00eeb}]

Zapisz plik jako CFScript.txt najlepiej aby ikonka tego pliku znajdowała się obok ikonki ComboFix.exe

Przeciągnij i upuść plik CFScript.txt na ikonkę ComboFix.exe powinno rozpocząć się usuwanie po tym daj log na forum.

Loga wklej na http://www.wklejto.pl lub http://www.wklej.org/ a w poście daj linka

sqar · 2 Maj 2009 18:46

dzieki za dotychczasowa pomoc. ale tak dla pewnosci podsumowanie:

najpierw Combofixem ponizszy kod

File::

c:\windows\system32\drivers\i386si.sys

c:\windows\system32\drivers\acpi32.sys

c:\windows\system32\drivers\ati64si.sys

c:\windows\system32\drivers\ksi32sk.sys

c:\windows\system32\drivers\netsik.sys

c:\windows\system32\drivers\nicsk32.sys

c:\windows\system32\drivers\port135sik.sys

c:\windows\system32\drivers\systemntmi.sys

c:\windows\system32\drivers\ws2_32sik.sys

Driver::

acpi32

ati64si

i386si

ksi32sk

netsik

nicsk32

port135sik

systemntmi

ws2_32sik
Potem jeszcze raz kolejny kod

File::

c:\windows\system32\drivers\securentm.sys

Driver::

securentm

Registry::

[-HKEY_CURRENT_USER\software\microsoft\windows\currentversion\explorer\mountpoints2{cc1c0d60-d757-11dd-ba57-0015f20437aa}]
potem kolejny raz Combofixem kod od spandaupol’a (z posta powyzej)
a na koniec instrukcje od RevoPL

Gwoli wyjasnienia, podobno ktos juz cos kiedys na tym kompie probowal z tym walczyc,

wiec z tego moga wynikac jakies pozostalosci.

na koniec pytanie, byc moze proste:

Czy te dzialania lepiej robic w trybie awaryjnym i przy wylaczonym odzyskiwaniu systemu na dyskach, czy to nie ma znaczenia?

z gory dzieki za pomoc, pozdro

system · 2 Maj 2009 18:51

Na pewno lepiej w trybie awaryjnym, jednak gdybyś zrobił to w normalnym trybie, nic się nie stanie

sqar · 2 Maj 2009 22:53

Log po pierwszym kodzie: http://wklej.org/id/85721/

po drugiem: http://wklej.org/id/85722/

oraz po trzecim: http://wklej.org/id/85723/

Potem byl DrWebb, CCleaner oraz HijackThis.

Bede wdzieczny za ocene pozostalosci w logu. Pozdrawiam

system · 2 Maj 2009 22:59

Dopiero zaczynam bawić się w logi, ale chyba jest czysto

Możesz dodatkowo przelecieć Wise Registry Cleaner, usuwaj tylko te, które są na zielono, czerwonych nie ruszaj