Win32.Kavos

parzon · 22 Grudzień 2008 20:41

Proszę o sprawdzenie loga z Combo Fix. Po włożeniu pen drive’a pojawił sie trojan win32.kavos

Z góry dzięki za pomoc.

ComboFix 08-12-21.04 - Piotrek 2008-12-22 21:25:37.1 - NTFSx86 Microsoft Windows XP Professional 5.1.2600.3.1250.1.1045.18.959.590 [GMT 1:00] Uruchomiony z: c:\documents and settings\Piotrek\Pulpit\ComboFix.exe * Utworzono nowy punkt przywracania UWAGA - TEN KOMPUTER NIE MA ZAINSTALOWANEJ KONSOLI ODZYSKIWANIA . ((((((((((((((((((((((((((((((((((((((( Usunięto ))))))))))))))))))))))))))))))))))))))))))))))))) . c:\documents and settings\Piotrek\Dane aplikacji.# c:\windows\system32\lsprst7.dll c:\windows\system32\ssprs.dll . ((((((((((((((((((((((((((((((((((((((( Sterowniki/Usługi ))))))))))))))))))))))))))))))))))))))))))))))))) . -------\Legacy_NPF ((((((((((((((((((((((((( Pliki utworzone od 2008-11-22 do 2008-12-22 ))))))))))))))))))))))))))))))) . 2008-12-21 12:27 . 2008-12-21 12:27 54,156 --ah----- c:\windows\QTFont.qfn 2008-12-21 12:27 . 2008-12-21 12:27 1,409 --a------ c:\windows\QTFont.for 2008-12-20 11:24 . 2008-12-20 11:27 2008-12-18 19:08 . 2008-12-18 19:08 2008-12-14 18:21 . 2008-12-22 20:12 2008-12-09 21:56 . 2008-12-09 21:57 38 --a------ c:\windows\avisplitter.INI 2008-12-09 21:41 . 2008-12-09 21:41 2008-12-09 21:40 . 2008-12-09 22:18 2008-12-05 17:45 . 2008-12-05 17:45 2008-12-05 17:45 . 2008-12-05 17:45 1,025 --a------ c:\windows\system32\sysprs7.tgz 2008-12-05 17:45 . 2008-12-05 17:45 1,025 --a------ c:\windows\system32\sysprs7.dll 2008-12-05 17:45 . 2008-12-05 17:45 1,025 --a------ c:\windows\system32\clauth2.dll 2008-12-05 17:45 . 2008-12-05 17:45 1,025 --a------ c:\windows\system32\clauth1.dll 2008-12-05 17:45 . 2008-12-05 17:45 219 --a------ c:\windows\system32\lsprst7.tgz 2008-12-05 17:45 . 2008-12-05 17:45 87 --a------ c:\windows\system32\ssprs.tgz . (((((((((((((((((((((((((((((((((((((((( Sekcja Find3M )))))))))))))))))))))))))))))))))))))))))))))))))))) . 2008-12-22 19:16 --------- d-----w c:\documents and settings\Piotrek\Dane aplikacji\uTorrent 2008-12-21 21:58 --------- d-----w c:\documents and settings\Piotrek\Dane aplikacji\Any Video Converter 2008-12-21 21:36 --------- d-----w c:\program files\DC++ 2008-12-21 19:07 --------- d-----w c:\program files\ALLPlayer 2008-12-19 19:37 --------- d-----w c:\program files\Opera 2008-12-17 21:45 --------- d-----w c:\program files\a-squared Free 2008-12-11 20:28 --------- d-----w c:\program files\Ashampoo 2008-12-09 17:08 --------- d-----w c:\program files\Common Files\Adobe 2008-12-08 18:41 --------- d-----w c:\documents and settings\Piotrek\Dane aplikacji\XnView 2008-12-01 17:06 --------- d-----w c:\program files\eSkiMoS R2 2008-11-28 20:37 --------- d-----w c:\program files\NAPI-PROJEKT 2008-11-01 20:48 --------- d-----w c:\program files\XnView 2008-11-01 20:43 --------- d-----w c:\documents and settings\All Users\Dane aplikacji\ACD Systems 2008-11-01 17:51 --------- d-----w c:\documents and settings\Piotrek\Dane aplikacji\Thinstall 2008-10-29 15:35 --------- d-----w c:\documents and settings\Piotrek\Dane aplikacji\ACD Systems 2008-10-29 15:32 9,856 ----a-w c:\windows\system32\drivers\pfc.sys 2008-10-29 14:28 --------- d-----w c:\program files\Neat Image 2008-10-26 15:28 --------- d-----w c:\program files\PhotomatixPro3 2008-10-24 11:21 455,296 ----a-w c:\windows\system32\drivers\mrxsmb.sys 2008-10-16 13:13 202,776 ----a-w c:\windows\system32\wuweb.dll 2008-10-16 13:13 1,809,944 ----a-w c:\windows\system32\wuaueng.dll 2008-10-16 13:12 561,688 ----a-w c:\windows\system32\wuapi.dll 2008-10-16 13:12 323,608 ----a-w c:\windows\system32\wucltui.dll 2008-10-16 13:09 92,696 ----a-w c:\windows\system32\cdm.dll 2008-10-16 13:09 51,224 ----a-w c:\windows\system32\wuauclt.exe 2008-10-16 13:09 43,544 ----a-w c:\windows\system32\wups2.dll 2008-10-16 13:08 34,328 ----a-w c:\windows\system32\wups.dll 2008-09-25 12:15 63,954 ----a-w c:\windows\BricoPackUninst.cmd 2008-09-25 12:15 6,118 ----a-w c:\windows\BricoPackFoldersDelete.cmd 2008-09-25 12:15 219,648 ----a-w c:\windows\system32\uxtheme.dll . ((((((((((((((((((((((((((((((((((((( Wpisy startowe rejestru )))))))))))))))))))))))))))))))))))))))))))))))))) . . *Uwaga* puste wpisy oraz domyślne, prawidłowe wpisy nie są pokazane REGEDIT4 [HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] “avast!”=“c:\progra~1\ALWILS~1\Avast4\ashDisp.exe” [2008-11-26 81000] “NvCplDaemon”=“c:\windows\system32\NvCpl.dll” [2005-10-10 7286784] [HKEY_USERS.DEFAULT\Software\Microsoft\Windows\CurrentVersion\Run] “CTFMON.EXE”=“c:\windows\system32\CTFMON.EXE” [2008-04-14 15360] [HKEY_USERS.DEFAULT\Software\Microsoft\Windows\CurrentVersion\RunOnce] “nlsf”=“move” [X] “nlhr”=“c:\windows\System32\AdvPack.Dll” [2008-04-14 100864] “tscuninstall”=“c:\windows\system32\tscupgrd.exe” [2004-08-03 44544] [HKEY_LOCAL_MACHINE\software\microsoft\windows nt\currentversion\drivers32] “VIDC.ACDV”= ACDV.dll [HKLM~\startupfolder\C:^Documents and Settings^All Users^Menu Start^Programy^Autostart^Adobe Gamma Loader.exe.lnk] backup=c:\windows\pss\Adobe Gamma Loader.exe.lnkCommon Startup [HKLM~\startupfolder\C:^Documents and Settings^All Users^Menu Start^Programy^Autostart^BlueSoleil.lnk] backup=c:\windows\pss\BlueSoleil.lnkCommon Startup [HKLM~\startupfolder\C:^Documents and Settings^Piotrek^Menu Start^Programy^Autostart^UberIcon.lnk] backup=c:\windows\pss\UberIcon.lnkStartup [HKLM~\startupfolder\C:^Documents and Settings^Piotrek^Menu Start^Programy^Autostart^Y’z Shadow.lnk] backup=c:\windows\pss\Y’z Shadow.lnkStartup [HKLM~\startupfolder\C:^Documents and Settings^Piotrek^Menu Start^Programy^Autostart^Yahoo! Widgets.lnk] backup=c:\windows\pss\Yahoo! Widgets.lnkStartup HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\BtTray HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\DU Meter HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\NeroFilterCheck HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\PCSuiteTrayApplication HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\PcSync HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\QuickTime Task HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\SpybotSD TeaTimer [HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\NvCplDaemon] --a------ 2005-10-10 14:49 7286784 c:\windows\system32\nvcpl.dll [HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\NvMediaCenter] --a------ 2005-10-10 14:49 86016 c:\windows\system32\nvmctray.dll [HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\OrderReminder] -ra------ 2006-01-30 17:00 98304 c:\program files\Hewlett-Packard\OrderReminder\OrderReminder.exe [HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\SoundMan] -ra------ 2005-09-22 09:42 90112 c:\windows\SOUNDMAN.EXE [HKLM~\services\sharedaccess\parameters\firewallpolicy\standardprofile] “DisableUnicastResponsesToMulticastBroadcast”= 0 (0x0) [HKLM~\services\sharedaccess\parameters\firewallpolicy\standardprofile\AuthorizedApplications\List] “c:\Program Files\Gadu-Gadu\gg.exe”= “c:\Program Files\IVT Corporation\BlueSoleil\BlueSoleil.exe”= “d:\Gry\F1CT2007\F1CT 2007.exe”= “c:\Program Files\uTorrent\uTorrent.exe”= “c:\Program Files\TVUPlayer\TVUPlayer.exe”= “%windir%\system32\sessmgr.exe”= “%windir%\Network Diagnostic\xpnetdiag.exe”= “d:\Gry\UT2004\System\UT2004.exe”= “c:\WINDOWS\system32\dpvsetup.exe”= “c:\Documents and Settings\Piotrek\temp\TeamViewer3\TeamViewer.exe”= “c:\Program Files\Skype\Phone\Skype.exe”= [HKLM~\services\sharedaccess\parameters\firewallpolicy\standardprofile\GloballyOpenPorts\List] “8176:TCP”= 8176:TCP:BitComet 8176 TCP “8176:UDP”= 8176:UDP:BitComet 8176 UDP “8439:TCP”= 8439:TCP:BitComet 8439 TCP “8439:UDP”= 8439:UDP:BitComet 8439 UDP R1 aswSP;avast! Self Protection;c:\windows\system32\drivers\aswSP.sys [2008-04-01 111184] R2 aswFsBlk;aswFsBlk;c:\windows\system32\DRIVERS\aswFsBlk.sys [2008-04-01 20560] [HKEY_CURRENT_USER\software\microsoft\windows\currentversion\explorer\mountpoints2{38e6fcc6-6782-11dc-a412-000244789d45}] \Shell\AutoRun\command - H:\LaunchU3.exe -a . - - - - USUNIĘTO PUSTE WPISY - - - - MSConfigStartUp-Device Detector - c:\program files\Common Files\ACD Systems\EN\DevDetect.exe MSConfigStartUp-Flircik - c:\program files\Onet\Flircik\Flircik.exe MSConfigStartUp-Onet - c:\program files\Common Files\Onet.pl\AutoUpdate.exe . ------- Skan uzupełniający ------- . uStart Page = about:blank uInternet Settings,ProxyServer = w3cache.4web.pl:8080 uInternet Settings,ProxyOverride = IE: Eksport do programu Microsoft Excel - c:\progra~1\MICROS~2\OFFICE11\EXCEL.EXE/3000 IE: Pobierz z BitSpirit TCP: {1F3BDEAA-DDEE-4A2D-B857-972F81A29FEC} = 194.63.132.4,194.63.133.4 TCP: {DB47DD7B-DDB2-4A41-B8C7-BC2D66830DC3} = 194.63.133.4,194.63.132.4 c:\windows\Downloaded Program Files\ewidoOnlineScan.dll - O16 -: {193C772A-87BE-4B19-A7BB-445B226FE9A1} hxxp://downloads.ewido.net/ewidoOnlineScan.cab c:\windows\system32\SkanerOnlineUninstall.exe - c:\windows\system32\SkanerOnline.dll O16 -: {68282C51-9459-467B-95BF-3C0E89627E55} hxxp://www.mks.com.pl/skaner/SkanerOnline.cab c:\windows\Downloaded Program Files\SkanerOnline.inf c:\windows\Downloaded Program Files\UKooPlayer.ocx - O16 -: {A903E5AB-C67E-40FB-94F1-E1305982F6E0} hxxp://www.tvkoo.com/update/UKooPlayer.ocx FF - ProfilePath - c:\documents and settings\Piotrek\Dane aplikacji\Mozilla\Firefox\Profiles\o5i7fvhr.default\ FF - prefs.js: browser.startup.homepage - http://www.onet.pl FF - plugin: c:\program files\Mozilla Firefox\plugins\npyaxmpb.dll FF - plugin: c:\program files\Picasa2\npPicasa2.dll . ************************************************************************** catchme 0.3.1367 W2K/XP/Vista - rootkit/stealth malware detector by Gmer, http://www.gmer.net Rootkit scan 2008-12-22 21:28:37 Windows 5.1.2600 Dodatek Service Pack 3 NTFS skanowanie ukrytych procesów … skanowanie ukrytych wpisów autostartu … skanowanie ukrytych plików … skanowanie pomyślnie ukończone ukryte pliki: 0 ************************************************************************** [HKEY_LOCAL_MACHINE\System\ControlSet001\Services\ASFWHide] “ImagePath”="??\c:\docume~1\Piotrek\USTAWI~1\Temp\ASFWHide" . ------------------------ Pozostałe uruchomione procesy ------------------------ . c:\program files\Alwil Software\Avast4\aswUpdSv.exe c:\program files\Alwil Software\Avast4\ashServ.exe c:\program files\a-squared Free\a2service.exe c:\program files\IVT Corporation\BlueSoleil\BTNtService.exe c:\windows\system32\nvsvc32.exe c:\program files\Alwil Software\Avast4\ashMaiSv.exe c:\program files\Alwil Software\Avast4\ashWebSv.exe . ************************************************************************** . Czas ukończenia: 2008-12-22 21:31:00 - komputer został uruchomiony ponownie ComboFix-quarantined-files.txt 2008-12-22 20:30:44 Przed: 3˙700˙629˙504 bajt˘w wolnych Po: 3,635,834,880 bajt˘w wolnych 187 — E O F — 2008-11-13 08:08:29

MichaelP · 22 Grudzień 2008 20:44

Podaj pełny log z Combofixa.

viewtopic.php?f=16&t=36654

huber2t · 23 Grudzień 2008 02:13

W logu nic nie widzę

usuń ręcznie folder C:\Qoobox , usuń instalkę Combofix z dysku.

Przeczyść system Ccleanerem

Wykonaj optymalizację autostartu

Wyłącz i włącz przywracanie systemu na wszystkich dyskach. Instrukcja

Przeskanuj obszar całego komputera http://www.kaspersky.pl/virusscanner.html Daj raport z niego na forum

lub

Dr.WEB CureIt!

Monczkin · 23 Grudzień 2008 07:58

parzon , popraw posta z logiem. Inaczej temat zostanie usunięty.

viewtopic.php?f=16&t=253052