Win32:Rootkit-gen [Rtk] - avast wykrywa mi coś takiego

[Miyagi (Prawy87)]

ComboFix 08-07-05.1 - Kuba 2008-07-06 11:43:19.1 - NTFSx86 Microsoft Windows XP Professional 5.1.2600.2.1250.1.1045.18.200 [GMT 2:00] Running from: C:\Documents and Settings\Kuba\Pulpit\ComboFix.exe Command switches used :: C:\Documents and Settings\Kuba\Pulpit\CFScript.txt * Created a new restore point WARNING -THIS MACHINE DOES NOT HAVE THE RECOVERY CONSOLE INSTALLED FILE :: C:\WINDOWS\system32\dpnetf.dll c:\windows\system32\rawjfxu.dll . ((((((((((((((((((((((((((((((((((((((( Other Deletions ))))))))))))))))))))))))))))))))))))))))))))))))) . C:\WINDOWS\system32\AutoRun.inf C:\WINDOWS\system32\dpnetf.dll . . . . failed to delete c:\windows\system32\rawjfxu.dll . . . . failed to delete . ((((((((((((((((((((((((((((((((((((((( Drivers/Services ))))))))))))))))))))))))))))))))))))))))))))))))) . -------\Legacy_JGRKCEKB -------\Service_jgrkcekb ((((((((((((((((((((((((( Files Created from 2008-06-06 to 2008-07-06 ))))))))))))))))))))))))))))))) . 2008-07-06 11:06 . 2008-07-06 11:06 2008-06-27 14:53 . 2008-06-27 14:53 54,156 --ah----- C:\WINDOWS\QTFont.qfn 2008-06-27 14:53 . 2008-06-27 14:53 1,409 --a------ C:\WINDOWS\QTFont.for 2008-06-26 11:11 . 2008-06-26 11:11 2008-06-26 11:11 . 2008-06-26 11:11 2008-06-26 11:11 . 2008-06-26 11:11 58 --a------ C:\WINDOWS\system32\DonationCoder_ScreenshotCaptor_InstallInfo.dat 2008-06-20 21:42 . 2008-06-20 21:46 2008-06-16 20:56 . 2008-06-16 20:56 2008-06-16 13:55 . 2008-06-16 13:55 2008-06-15 12:29 . 2004-08-04 02:43 88,064 --a------ C:\WINDOWS\system32\dpnetf.dll 2008-06-07 19:38 . 2008-06-11 19:05 2008-06-07 13:33 . 2008-06-07 13:33 . (((((((((((((((((((((((((((((((((((((((( Find3M Report )))))))))))))))))))))))))))))))))))))))))))))))))))) . 2008-07-06 09:46 103,424 ----a-w C:\WINDOWS\system32\lzzlniz.dll 2008-07-03 12:34 22,328 ----a-w C:\WINDOWS\system32\drivers\PnkBstrK.sys 2008-07-03 12:34 107,832 ----a-w C:\WINDOWS\system32\PnkBstrB.exe 2008-06-04 18:09 --------- d-----w C:\Documents and Settings\All Users\Dane aplikacji\HP Product Assistant 2008-06-04 18:09 --------- d-----w C:\Documents and Settings\All Users\Dane aplikacji\HP 2008-06-04 18:08 --------- d-----w C:\Program Files\Hewlett-Packard 2008-05-29 09:08 --------- d-----w C:\Program Files\Alcohol Soft 2008-05-29 09:05 716,272 ----a-w C:\WINDOWS\system32\drivers\sptd.sys 2008-05-18 19:45 --------- d-----w C:\Documents and Settings\Kuba\Dane aplikacji\Apple Computer 2008-05-18 19:43 --------- d-----w C:\Program Files\QuickTime 2008-05-18 19:42 --------- d-----w C:\Documents and Settings\All Users\Dane aplikacji\Apple Computer 2008-05-18 19:41 --------- d-----w C:\Program Files\Apple Software Update 2008-05-18 19:41 --------- d-----w C:\Documents and Settings\All Users\Dane aplikacji\Apple 2008-05-12 16:15 --------- d-----w C:\Documents and Settings\All Users\Dane aplikacji\Microsoft Help 2008-05-12 16:14 --------- d-----w C:\Program Files\Microsoft Works 2008-05-12 16:12 --------- d-----w C:\Program Files\Microsoft.NET 2008-05-09 19:50 --------- d-----w C:\Documents and Settings\Kuba\Dane aplikacji\HPAppData 2008-04-27 19:47 2,560 ----a-w C:\WINDOWS\system32\bitcometres.dll 2008-03-18 18:41 32 ----a-w C:\Documents and Settings\All Users\Dane aplikacji\ezsid.dat . ((((((((((((((((((((((((((((((((((((( Reg Loading Points )))))))))))))))))))))))))))))))))))))))))))))))))) . . *Note* empty entries legit default entries are not shown REGEDIT4 [HKEY_LOCAL_MACHINE~\Browser Helper Objects{34F122DF-0869-4739-9543-B2D49E2A2D97}] 2008-07-06 11:46 103424 --a------ c:\windows\system32\rawjfxu.dll [HKEY_LOCAL_MACHINE~\Browser Helper Objects{D3804A2F-F241-44AA-AFD9-A9EB5F6B8440}] 2004-08-04 02:43 88064 --a------ C:\WINDOWS\system32\dpnetf.dll [HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] “AlcoholAutomount”=“C:\Program Files\Alcohol Soft\Alcohol 120\axcmd.exe” [2008-03-20 18:46 217544] [HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] “NvCplDaemon”=“C:\WINDOWS\system32\NvCpl.dll” [2005-02-24 08:32 5537792] “DAEMON Tools-1033”=“C:\Program Files\D-Tools\daemon.exe” [2004-08-22 18:05 81920] “NeroFilterCheck”=“C:\Program Files\Common Files\Ahead\Lib\NeroCheck.exe” [2006-01-12 17:40 155648] “NvMediaCenter”=“C:\WINDOWS\system32\NvMcTray.dll” [2005-02-24 08:32 86016] “HP Software Update”=“C:\Program Files\HP\HP Software Update\HPWuSchd2.exe” [2007-03-11 22:34 49152] “QuickTime Task”=“C:\Program Files\QuickTime\qttask.exe” [2008-01-31 23:13 385024] “nwiz”=“nwiz.exe” [2005-02-24 08:32 1495040 C:\WINDOWS\system32\nwiz.exe] [HKEY_USERS.DEFAULT\Software\Microsoft\Windows\CurrentVersion\Run] “CTFMON.EXE”=“C:\WINDOWS\system32\CTFMON.EXE” [2004-08-04 02:44 15360] C:\Documents and Settings\All Users\Menu Start\Programy\Autostart\ HP Digital Imaging Monitor.lnk - C:\Program Files\HP\Digital Imaging\bin\hpqtra08.exe [2007-03-11 21:26:24 210520] [HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SafeBoot\Minimal\Winio17.sys] @=“Driver” [HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SafeBoot\Minimal\Winip85.sys] @=“Driver” [HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SafeBoot\Minimal\Winkq63.sys] @=“Driver” [HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SafeBoot\Minimal\Winkq85.sys] @=“Driver” [HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SafeBoot\Minimal\Winms05.sys] @=“Driver” [HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SafeBoot\Minimal\Winpv40.sys] @=“Driver” [HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SafeBoot\Minimal\Winrx30.sys] @=“Driver” [HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SafeBoot\Minimal\Winty17.sys] @=“Driver” [HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SafeBoot\Minimal\Winyf84.sys] @=“Driver” [HKLM~\services\sharedaccess\parameters\firewallpolicy\standardprofile\AuthorizedApplications\List] “%windir%\system32\sessmgr.exe”= “C:\Program Files\Gadu-Gadu\gg.exe”= “C:\Program Files\SopCast\adv\SopAdver.exe”= “C:\Program Files\SopCast\SopCast.exe”= “C:\Program Files\Skype\Phone\Skype.exe”= “C:\Program Files\BitComet\BitComet.exe”= [HKLM~\services\sharedaccess\parameters\firewallpolicy\standardprofile\GloballyOpenPorts\List] “7466:TCP”= 7466:TCP:BitComet 7466 TCP “7466:UDP”= 7466:UDP:BitComet 7466 UDP R0 yhjocuet;yhjocuet;C:\WINDOWS\system32\drivers\yhjocuet.sys [2001-08-18 01:47] R1 aswSP;avast! Self Protection;C:\WINDOWS\system32\drivers\aswSP.sys [2008-05-16 01:20] R2 aswFsBlk;aswFsBlk;C:\WINDOWS\system32\DRIVERS\aswFsBlk.sys [2008-05-16 01:16] S0 Winio17;Winio17;C:\WINDOWS\system32\Drivers\Winio17.sys [] S0 Winip85;Winip85;C:\WINDOWS\system32\Drivers\Winip85.sys [] S0 Winkq85;Winkq85;C:\WINDOWS\system32\Drivers\Winkq85.sys [] S0 Winms05;Winms05;C:\WINDOWS\system32\Drivers\Winms05.sys [] S0 Winpv40;Winpv40;C:\WINDOWS\system32\Drivers\Winpv40.sys [] S0 Winrx30;Winrx30;C:\WINDOWS\system32\Drivers\Winrx30.sys [] S0 Winty17;Winty17;C:\WINDOWS\system32\Drivers\Winty17.sys [] S0 Winyf84;Winyf84;C:\WINDOWS\system32\Drivers\Winyf84.sys [] S2 qandr;qandr;C:\WINDOWS\system32\drivers\qandr.sys [] [HKEY_LOCAL_MACHINE\software\microsoft\windows nt\currentversion\svchost] HPZ12 REG_MULTI_SZ Pml Driver HPZ12 Net Driver HPZ12 hpdevmgmt REG_MULTI_SZ hpqcxs08 hpqddsvc [HKEY_CURRENT_USER\software\microsoft\windows\currentversion\explorer\mountpoints2{3d7eceef-e518-11dc-9df7-000000000c54}] \Shell\AutoRun\command - J:_START.exe [HKEY_CURRENT_USER\software\microsoft\windows\currentversion\explorer\mountpoints2{c8484d23-441c-11dd-8f27-000000000c54}] \Shell\AutoRun\command - F:\USBNB.exe [HKEY_CURRENT_USER\software\microsoft\windows\currentversion\explorer\mountpoints2{ef5d53e6-cd92-11dc-9d96-000000000c54}] \Shell\AutoRun\command - C:\WINDOWS\system32\RunDLL32.EXE Shell32.DLL,ShellExec_RunDLL explore.exe . - - - - ORPHANS REMOVED - - - - HKLM-Run-NWEReboot - (no file) ************************************************************************** catchme 0.3.1361 W2K/XP/Vista - rootkit/stealth malware detector by Gmer, http://www.gmer.net Rootkit scan 2008-07-06 11:48:35 Windows 5.1.2600 Dodatek Service Pack 2 NTFS scanning hidden processes … scanning hidden autostart entries … scanning hidden files … scan completed successfully hidden files: 0 ************************************************************************** . ------------------------ Other Running Processes ------------------------ . C:\Program Files\Alwil Software\Avast4\aswUpdSv.exe C:\Program Files\Alwil Software\Avast4\ashServ.exe C:\WINDOWS\system32\nvsvc32.exe C:\WINDOWS\system32\PnkBstrA.exe C:\Program Files\Alcohol Soft\Alcohol 120\StarWind\StarWindServiceAE.exe C:\Program Files\Alwil Software\Avast4\ashMaiSv.exe C:\Program Files\Alwil Software\Avast4\ashWebSv.exe C:\WINDOWS\system32\wscntfy.exe C:\WINDOWS\system32\rundll32.exe C:\Program Files\HP\Digital Imaging\bin\hpqste08.exe . ************************************************************************** . Completion time: 2008-07-06 11:52:22 - machine was rebooted [Kuba] ComboFix-quarantined-files.txt 2008-07-06 09:52:12 Pre-Run: 846,454,784 bajtów wolnych Post-Run: 1,100,824,576 bajt˘w wolnych 162 — E O F — 2008-01-27 11:47:37 Takie cos Combo Fix wymyslil

[Leon1 (Leon$)]

Otwórz notatnik i wklej

File:: C:\WINDOWS\system32\dpnetf.dll C:\WINDOWS\system32\lzzlniz.dll c:\windows\system32\rawjfxu.dll Folder:: C:\Documents and Settings\NetworkService\Dane aplikacji\yyvtcqqv C:\Documents and Settings\Kuba\Dane aplikacji\yyvtcqqv Driver:: Winio17 Winip85 Winkq85 Winms05 Winpv40 Winrx30 Winty17 Winyf84 qandr Registry:: [-HKEY_LOCAL_MACHINE~\Browser Helper Objects{34F122DF-0869-4739-9543-B2D49E2A2D97}] [-HKEY_LOCAL_MACHINE~\Browser Helper Objects{D3804A2F-F241-44AA-AFD9-A9EB5F6B8440}] [-HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SafeBoot\Minimal\Winio17.sys] [-HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SafeBoot\Minimal\Winip85.sys] [-HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SafeBoot\Minimal\Winkq63.sys] [-HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SafeBoot\Minimal\Winkq85.sys] [-HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SafeBoot\Minimal\Winms05.sys] [-HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SafeBoot\Minimal\Winpv40.sys] [-HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SafeBoot\Minimal\Winrx30.sys] [-HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SafeBoot\Minimal\Winty17.sys] [-HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SafeBoot\Minimal\Winyf84.sys] [-HKEY_CURRENT_USER\software\microsoft\windows\currentversion\explorer\mountpoints2]

zapisz jako CFScript.txt (zapisz by ikonka CFScript.txt była obok ikonki ComboFix.exe) >> Przeciągnij i upuść ikonkę CFScript.txt na ikonkę ComboFix.exe

http://img.wklej.org/images/88953CFScri … iemoes.gif

Powinno rozpocząć się usuwanie

Potem log z usuwania Combofix

[Miyagi (Prawy87)]

ComboFix 08-07-05.1 - Kuba 2008-07-06 12:13:08.2 - NTFSx86 Microsoft Windows XP Professional 5.1.2600.2.1250.1.1045.18.237 [GMT 2:00] Running from: C:\Documents and Settings\Kuba\Pulpit\ComboFix.exe Command switches used :: C:\Documents and Settings\Kuba\Pulpit\CFScript.txt * Created a new restore point WARNING -THIS MACHINE DOES NOT HAVE THE RECOVERY CONSOLE INSTALLED FILE :: C:\WINDOWS\system32\dpnetf.dll C:\WINDOWS\system32\lzzlniz.dll c:\windows\system32\rawjfxu.dll . ((((((((((((((((((((((((((((((((((((((( Other Deletions ))))))))))))))))))))))))))))))))))))))))))))))))) . C:\Documents and Settings\Kuba\Dane aplikacji\yyvtcqqv C:\Documents and Settings\Kuba\Dane aplikacji\yyvtcqqv\profiles.ini C:\Documents and Settings\Kuba\Dane aplikacji\yyvtcqqv\Profiles\v95ukpea.default\cert8.db C:\Documents and Settings\Kuba\Dane aplikacji\yyvtcqqv\Profiles\v95ukpea.default\compatibility.ini C:\Documents and Settings\Kuba\Dane aplikacji\yyvtcqqv\Profiles\v95ukpea.default\compreg.dat C:\Documents and Settings\Kuba\Dane aplikacji\yyvtcqqv\Profiles\v95ukpea.default\cookies.sqlite C:\Documents and Settings\Kuba\Dane aplikacji\yyvtcqqv\Profiles\v95ukpea.default\formhistory.sqlite C:\Documents and Settings\Kuba\Dane aplikacji\yyvtcqqv\Profiles\v95ukpea.default\key3.db C:\Documents and Settings\Kuba\Dane aplikacji\yyvtcqqv\Profiles\v95ukpea.default\localstore.rdf C:\Documents and Settings\Kuba\Dane aplikacji\yyvtcqqv\Profiles\v95ukpea.default\permissions.sqlite C:\Documents and Settings\Kuba\Dane aplikacji\yyvtcqqv\Profiles\v95ukpea.default\places.sqlite-journal C:\Documents and Settings\Kuba\Dane aplikacji\yyvtcqqv\Profiles\v95ukpea.default\places.sqlite C:\Documents and Settings\Kuba\Dane aplikacji\yyvtcqqv\Profiles\v95ukpea.default\pluginreg.dat C:\Documents and Settings\Kuba\Dane aplikacji\yyvtcqqv\Profiles\v95ukpea.default\prefs.js C:\Documents and Settings\Kuba\Dane aplikacji\yyvtcqqv\Profiles\v95ukpea.default\secmod.db C:\Documents and Settings\Kuba\Dane aplikacji\yyvtcqqv\Profiles\v95ukpea.default\xpti.dat C:\Documents and Settings\NetworkService\Dane aplikacji\yyvtcqqv C:\Documents and Settings\NetworkService\Dane aplikacji\yyvtcqqv\profiles.ini C:\Documents and Settings\NetworkService\Dane aplikacji\yyvtcqqv\Profiles\wo30fyfr.default\cert8.db C:\Documents and Settings\NetworkService\Dane aplikacji\yyvtcqqv\Profiles\wo30fyfr.default\compatibility.ini C:\Documents and Settings\NetworkService\Dane aplikacji\yyvtcqqv\Profiles\wo30fyfr.default\cookies.sqlite C:\Documents and Settings\NetworkService\Dane aplikacji\yyvtcqqv\Profiles\wo30fyfr.default\formhistory.sqlite C:\Documents and Settings\NetworkService\Dane aplikacji\yyvtcqqv\Profiles\wo30fyfr.default\key3.db C:\Documents and Settings\NetworkService\Dane aplikacji\yyvtcqqv\Profiles\wo30fyfr.default\localstore.rdf C:\Documents and Settings\NetworkService\Dane aplikacji\yyvtcqqv\Profiles\wo30fyfr.default\permissions.sqlite C:\Documents and Settings\NetworkService\Dane aplikacji\yyvtcqqv\Profiles\wo30fyfr.default\places.sqlite-journal C:\Documents and Settings\NetworkService\Dane aplikacji\yyvtcqqv\Profiles\wo30fyfr.default\places.sqlite C:\Documents and Settings\NetworkService\Dane aplikacji\yyvtcqqv\Profiles\wo30fyfr.default\pluginreg.dat C:\Documents and Settings\NetworkService\Dane aplikacji\yyvtcqqv\Profiles\wo30fyfr.default\prefs.js C:\Documents and Settings\NetworkService\Dane aplikacji\yyvtcqqv\Profiles\wo30fyfr.default\secmod.db C:\Documents and Settings\NetworkService\Dane aplikacji\yyvtcqqv\Profiles\wo30fyfr.default\xpti.dat C:\WINDOWS\system32\dpnetf.dll . . . . failed to delete C:\WINDOWS\system32\lzzlniz.dll . . . . failed to delete c:\windows\system32\rawjfxu.dll . . . . failed to delete . ((((((((((((((((((((((((((((((((((((((( Drivers/Services ))))))))))))))))))))))))))))))))))))))))))))))))) . -------\Legacy_QANDR -------\Legacy_WINIO17 -------\Legacy_WINKQ85 -------\Legacy_WINYF84 -------\Service_qandr -------\Service_Winio17 -------\Service_Winip85 -------\Service_Winkq85 -------\Service_Winms05 -------\Service_Winpv40 -------\Service_Winrx30 -------\Service_Winty17 -------\Service_Winyf84 ((((((((((((((((((((((((( Files Created from 2008-06-06 to 2008-07-06 ))))))))))))))))))))))))))))))) . 2008-07-06 11:52 . 2008-07-06 11:52 2008-07-06 11:52 . 2008-07-06 11:52 . 2008-07-06 11:06 . 2008-07-06 11:06 2008-06-27 14:53 . 2008-06-27 14:53 54,156 --ah----- C:\WINDOWS\QTFont.qfn 2008-06-27 14:53 . 2008-06-27 14:53 1,409 --a------ C:\WINDOWS\QTFont.for 2008-06-26 11:11 . 2008-06-26 11:11 2008-06-26 11:11 . 2008-06-26 11:11 2008-06-26 11:11 . 2008-06-26 11:11 58 --a------ C:\WINDOWS\system32\DonationCoder_ScreenshotCaptor_InstallInfo.dat 2008-06-20 21:42 . 2008-06-20 21:46 2008-06-15 12:29 . 2004-08-04 02:43 88,064 --a------ C:\WINDOWS\system32\dpnetf.dll 2008-06-07 19:38 . 2008-06-11 19:05 2008-06-07 13:33 . 2008-06-07 13:33 . (((((((((((((((((((((((((((((((((((((((( Find3M Report )))))))))))))))))))))))))))))))))))))))))))))))))))) . 2008-07-03 12:34 22,328 ----a-w C:\WINDOWS\system32\drivers\PnkBstrK.sys 2008-06-04 18:09 --------- d-----w C:\Documents and Settings\All Users\Dane aplikacji\HP Product Assistant 2008-06-04 18:09 --------- d-----w C:\Documents and Settings\All Users\Dane aplikacji\HP 2008-06-04 18:08 --------- d-----w C:\Program Files\Hewlett-Packard 2008-05-29 09:08 --------- d-----w C:\Program Files\Alcohol Soft 2008-05-29 09:05 716,272 ----a-w C:\WINDOWS\system32\drivers\sptd.sys 2008-05-18 19:45 --------- d-----w C:\Documents and Settings\Kuba\Dane aplikacji\Apple Computer 2008-05-18 19:43 --------- d-----w C:\Program Files\QuickTime 2008-05-18 19:42 --------- d-----w C:\Documents and Settings\All Users\Dane aplikacji\Apple Computer 2008-05-18 19:41 --------- d-----w C:\Program Files\Apple Software Update 2008-05-18 19:41 --------- d-----w C:\Documents and Settings\All Users\Dane aplikacji\Apple 2008-05-12 16:15 --------- d-----w C:\Documents and Settings\All Users\Dane aplikacji\Microsoft Help 2008-05-12 16:14 --------- d-----w C:\Program Files\Microsoft Works 2008-05-12 16:12 --------- d-----w C:\Program Files\Microsoft.NET 2008-05-09 19:50 --------- d-----w C:\Documents and Settings\Kuba\Dane aplikacji\HPAppData 2008-03-18 18:41 32 ----a-w C:\Documents and Settings\All Users\Dane aplikacji\ezsid.dat . ((((((((((((((((((((((((((((( snapshot@2008-07-06_11.51.51.07 ))))))))))))))))))))))))))))))))))))))))) . - 2008-07-06 09:47:43 2,048 --s-a-w C:\WINDOWS\bootstat.dat + 2008-07-06 10:16:56 2,048 --s-a-w C:\WINDOWS\bootstat.dat + 2008-07-06 10:17:05 16,384 ----atw C:\WINDOWS\Temp\Perflib_Perfdata_5b8.dat . ((((((((((((((((((((((((((((((((((((( Reg Loading Points )))))))))))))))))))))))))))))))))))))))))))))))))) . . *Note* empty entries legit default entries are not shown REGEDIT4 [HKEY_LOCAL_MACHINE~\Browser Helper Objects{34F122DF-0869-4739-9543-B2D49E2A2D97}] 2008-07-06 11:46 103424 --a------ c:\windows\system32\rawjfxu.dll [HKEY_LOCAL_MACHINE~\Browser Helper Objects{D3804A2F-F241-44AA-AFD9-A9EB5F6B8440}] 2004-08-04 02:43 88064 --a------ C:\WINDOWS\system32\dpnetf.dll [HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] “AlcoholAutomount”=“C:\Program Files\Alcohol Soft\Alcohol 120\axcmd.exe” [2008-03-20 18:46 217544] [HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] “NvCplDaemon”=“C:\WINDOWS\system32\NvCpl.dll” [2005-02-24 08:32 5537792] “DAEMON Tools-1033”=“C:\Program Files\D-Tools\daemon.exe” [2004-08-22 18:05 81920] “NeroFilterCheck”=“C:\Program Files\Common Files\Ahead\Lib\NeroCheck.exe” [2006-01-12 17:40 155648] “NvMediaCenter”=“C:\WINDOWS\system32\NvMcTray.dll” [2005-02-24 08:32 86016] “HP Software Update”=“C:\Program Files\HP\HP Software Update\HPWuSchd2.exe” [2007-03-11 22:34 49152] “QuickTime Task”=“C:\Program Files\QuickTime\qttask.exe” [2008-01-31 23:13 385024] “nwiz”=“nwiz.exe” [2005-02-24 08:32 1495040 C:\WINDOWS\system32\nwiz.exe] [HKEY_USERS.DEFAULT\Software\Microsoft\Windows\CurrentVersion\Run] “CTFMON.EXE”=“C:\WINDOWS\system32\CTFMON.EXE” [2004-08-04 02:44 15360] C:\Documents and Settings\All Users\Menu Start\Programy\Autostart\ HP Digital Imaging Monitor.lnk - C:\Program Files\HP\Digital Imaging\bin\hpqtra08.exe [2007-03-11 21:26:24 210520] [HKLM~\services\sharedaccess\parameters\firewallpolicy\standardprofile\AuthorizedApplications\List] “%windir%\system32\sessmgr.exe”= “C:\Program Files\Gadu-Gadu\gg.exe”= “C:\Program Files\SopCast\adv\SopAdver.exe”= “C:\Program Files\SopCast\SopCast.exe”= “C:\Program Files\Skype\Phone\Skype.exe”= “C:\Program Files\BitComet\BitComet.exe”= [HKLM~\services\sharedaccess\parameters\firewallpolicy\standardprofile\GloballyOpenPorts\List] “7466:TCP”= 7466:TCP:BitComet 7466 TCP “7466:UDP”= 7466:UDP:BitComet 7466 UDP R0 yhjocuet;yhjocuet;C:\WINDOWS\system32\drivers\yhjocuet.sys [2001-08-18 01:47] R1 aswSP;avast! Self Protection;C:\WINDOWS\system32\drivers\aswSP.sys [2008-05-16 01:20] R2 aswFsBlk;aswFsBlk;C:\WINDOWS\system32\DRIVERS\aswFsBlk.sys [2008-05-16 01:16] [HKEY_LOCAL_MACHINE\software\microsoft\windows nt\currentversion\svchost] HPZ12 REG_MULTI_SZ Pml Driver HPZ12 Net Driver HPZ12 hpdevmgmt REG_MULTI_SZ hpqcxs08 hpqddsvc . ************************************************************************** catchme 0.3.1361 W2K/XP/Vista - rootkit/stealth malware detector by Gmer, http://www.gmer.net Rootkit scan 2008-07-06 12:17:53 Windows 5.1.2600 Dodatek Service Pack 2 NTFS scanning hidden processes … scanning hidden autostart entries … scanning hidden files … scan completed successfully hidden files: 0 ************************************************************************** . ------------------------ Other Running Processes ------------------------ . C:\Program Files\Alwil Software\Avast4\aswUpdSv.exe C:\Program Files\Alwil Software\Avast4\ashServ.exe C:\WINDOWS\system32\nvsvc32.exe C:\WINDOWS\system32\PnkBstrA.exe C:\Program Files\Alcohol Soft\Alcohol 120\StarWind\StarWindServiceAE.exe C:\Program Files\Alwil Software\Avast4\ashMaiSv.exe C:\Program Files\Alwil Software\Avast4\ashWebSv.exe C:\WINDOWS\system32\wscntfy.exe C:\WINDOWS\system32\rundll32.exe C:\Program Files\HP\Digital Imaging\bin\hpqste08.exe . ************************************************************************** . Completion time: 2008-07-06 12:21:24 - machine was rebooted ComboFix-quarantined-files.txt 2008-07-06 10:21:15 ComboFix2.txt 2008-07-06 09:52:24 Pre-Run: 1,158,860,800 bajtów wolnych Post-Run: 1,148,981,248 bajt˘w wolnych 175 — E O F — 2008-01-27 11:47:37

[Leon1 (Leon$)]

Pobierz i uruchom narzędzie The Avenger Zaznaczasz tekst podany do usunięcia na forum

Files to delete: C:\WINDOWS\system32\dpnetf.dll C:\WINDOWS\system32\lzzlniz.dll c:\windows\system32\rawjfxu.dll

kopiuj >> klikasz na Paste Script from Clipboard >> Execute >> Potwierdzasz i zgadzasz się na restart klikając OK.

Kasujesz ręcznie z dysku plik: C:\Avenger\backup.zip i wklejasz na forum raport: C:\avenger.txt

Pobierz System Repair Engineer

http://www.cybertrash.pl/images/tata/System%20Repair/System%20Repair%20Engineer.html

przeskanuj daj log

[Miyagi (Prawy87)]

Files to delete: C:\WINDOWS\system32\dpnetf.dll C:\WINDOWS\system32\lzzlniz.dll c:\windows\system32\rawjfxu.dll

To mam wkleic to tego Avengera i kliknac Execute?

[Leon1 (Leon$)]

To mam wkleic to tego Avengera i kliknac Execute?

tak

[Miyagi (Prawy87)]

Log z Avengera:

Logfile of The Avenger Version 2.0, © by Swandog46 http://swandog46.geekstogo.com Platform: Windows XP ******************* Script file opened successfully. Script file read successfully. Backups directory opened successfully at C:\Avenger ******************* Beginning to process script file: Rootkit scan active. No rootkits found! Error: could not open file “C:\WINDOWS\system32\dpnetf.dll” Deletion of file “C:\WINDOWS\system32\dpnetf.dll” failed! Status: 0xc0000022 (STATUS_ACCESS_DENIED) Error: could not open file “C:\WINDOWS\system32\lzzlniz.dll” Deletion of file “C:\WINDOWS\system32\lzzlniz.dll” failed! Status: 0xc0000022 (STATUS_ACCESS_DENIED) Error: could not open file “c:\windows\system32\rawjfxu.dll” Deletion of file “c:\windows\system32\rawjfxu.dll” failed! Status: 0xc0000022 (STATUS_ACCESS_DENIED) Completed script processing. ******************* Finished! Terminate.

A tutaj Log z SRE:

2008-07-06,12:40:43 System Repair Engineer 2.6.11.992 Smallfrogs (http://www.KZTechs.com) Windows XP Professional Dodatek Service Pack 2 (Build 2600) - Administrative User - Completed Functions Allowed Follow item(s) have been selected: All Boot Items (Including Registry, Startup Folders, Services and so on) Browser Add-ons Running Processes (Including process model information) File Associations Winsock Provider Autorun.Inf HOSTS File Process Privileges Scan

[Leon1 (Leon$)]

to jest tylko kawałek loga

[Leon1 (Leon$)]

usuń ręcznie folder C: \Qoobox usuń instalkę Combofix z dysku.

uruchom System Repair Engineer zakładka >> Boot Items >> Services >> Drivers odszukaj

[catchme / catchme][stopped/Manual Start] <??\C:\ComboFix\catchme.sys>

i usuń

System Repair Engineer zakładka >> System Repair >> Browser Add ons >> odszukaj

{34F122DF-0869-4739-9543-B2D49E2A2D97} {D3804A2F-F241-44AA-AFD9-A9EB5F6B8440}

i usuń

zrób optymalizacje uruchamiania

http://cybertrash.netarteria.pl/cyber/i … 378.0.html

Wyłącz I włącz przywracanie systemu na wszystkich dyskach.http://support.microsoft.com/kb/310405/pl

przeskanuj obszar Mój komputer http://www.kaspersky.pl/virusscanner.html pokaż raport stronę uruchomić przez IE

[Miyagi (Prawy87)]

Ustawienia skanowania Skanowanie przy użyciu następujących baz danych rozszerzone Skanuj archiwa tak Skanuj pocztowe bazy danych tak Obszar skanowania Mój komputer A:\ C:\ D:\ E:\ G:\ I:\ J:\ Statystyki skanowania Liczba skanowanych obiektów 74061 Liczba wykrytych wirusów 0 Liczba zainfekowanych obiektów 0 Liczba podejrzanych obiektów 0 Czas trwania skanowania 00:59:59 Nazwa zainfekowanego obiektu Nazwa wirusa Ostatnie działanie C:\Documents and Settings\Kuba\Cookies\index.dat Object is locked pominięty C:\Documents and Settings\Kuba\Dane aplikacji\Mozilla\Firefox\Profiles\dg8rmms0.default\cert8.db Object is locked pominięty C:\Documents and Settings\Kuba\Dane aplikacji\Mozilla\Firefox\Profiles\dg8rmms0.default\formhistory.dat Object is locked pominięty C:\Documents and Settings\Kuba\Dane aplikacji\Mozilla\Firefox\Profiles\dg8rmms0.default\history.dat Object is locked pominięty C:\Documents and Settings\Kuba\Dane aplikacji\Mozilla\Firefox\Profiles\dg8rmms0.default\key3.db Object is locked pominięty C:\Documents and Settings\Kuba\Dane aplikacji\Mozilla\Firefox\Profiles\dg8rmms0.default\parent.lock Object is locked pominięty C:\Documents and Settings\Kuba\Dane aplikacji\Mozilla\Firefox\Profiles\dg8rmms0.default\search.sqlite Object is locked pominięty C:\Documents and Settings\Kuba\Dane aplikacji\Mozilla\Firefox\Profiles\dg8rmms0.default\urlclassifier2.sqlite Object is locked pominięty C:\Documents and Settings\Kuba\NTUSER.DAT Object is locked pominięty C:\Documents and Settings\Kuba\ntuser.dat.LOG Object is locked pominięty C:\Documents and Settings\Kuba\Ustawienia lokalne\Dane aplikacji\Microsoft\Windows\UsrClass.dat Object is locked pominięty C:\Documents and Settings\Kuba\Ustawienia lokalne\Dane aplikacji\Microsoft\Windows\UsrClass.dat.LOG Object is locked pominięty C:\Documents and Settings\Kuba\Ustawienia lokalne\Dane aplikacji\Mozilla\Firefox\Profiles\dg8rmms0.default\Cache_CACHE_001_ Object is locked pominięty C:\Documents and Settings\Kuba\Ustawienia lokalne\Dane aplikacji\Mozilla\Firefox\Profiles\dg8rmms0.default\Cache_CACHE_002_ Object is locked pominięty C:\Documents and Settings\Kuba\Ustawienia lokalne\Dane aplikacji\Mozilla\Firefox\Profiles\dg8rmms0.default\Cache_CACHE_003_ Object is locked pominięty C:\Documents and Settings\Kuba\Ustawienia lokalne\Dane aplikacji\Mozilla\Firefox\Profiles\dg8rmms0.default\Cache_CACHE_MAP_ Object is locked pominięty C:\Documents and Settings\Kuba\Ustawienia lokalne\Historia\History.IE5\index.dat Object is locked pominięty C:\Documents and Settings\Kuba\Ustawienia lokalne\Temporary Internet Files\Content.IE5\index.dat Object is locked pominięty C:\Documents and Settings\LocalService\NTUSER.DAT Object is locked pominięty C:\Documents and Settings\LocalService\ntuser.dat.LOG Object is locked pominięty C:\Documents and Settings\LocalService\Ustawienia lokalne\Dane aplikacji\Microsoft\Windows\UsrClass.dat Object is locked pominięty C:\Documents and Settings\LocalService\Ustawienia lokalne\Dane aplikacji\Microsoft\Windows\UsrClass.dat.LOG Object is locked pominięty C:\Documents and Settings\LocalService\Ustawienia lokalne\Temp\Cookies\index.dat Object is locked pominięty C:\Documents and Settings\LocalService\Ustawienia lokalne\Temp\Historia\History.IE5\index.dat Object is locked pominięty C:\Documents and Settings\LocalService\Ustawienia lokalne\Temp\Temporary Internet Files\Content.IE5\index.dat Object is locked pominięty C:\Documents and Settings\LocalService\Ustawienia lokalne\Temporary Internet Files\Content.IE5\index.dat Object is locked pominięty C:\Documents and Settings\NetworkService\NTUSER.DAT Object is locked pominięty C:\Documents and Settings\NetworkService\ntuser.dat.LOG Object is locked pominięty C:\Documents and Settings\NetworkService\Ustawienia lokalne\Dane aplikacji\Microsoft\Windows\UsrClass.dat Object is locked pominięty C:\Documents and Settings\NetworkService\Ustawienia lokalne\Dane aplikacji\Microsoft\Windows\UsrClass.dat.LOG Object is locked pominięty C:\Program Files\Alcohol Soft\Alcohol 120\StarWind\logs\sw_ae-20080706-123529.log Object is locked pominięty C:\Program Files\Alwil Software\Avast4\DATA\aswResp.dat Object is locked pominięty C:\Program Files\Alwil Software\Avast4\DATA\Avast4.db Object is locked pominięty C:\Program Files\Alwil Software\Avast4\DATA\integ\avast.int Object is locked pominięty C:\Program Files\Alwil Software\Avast4\DATA\log\AshWebSv.ws Object is locked pominięty C:\Program Files\Alwil Software\Avast4\DATA\log\aswMaiSv.log Object is locked pominięty C:\Program Files\Alwil Software\Avast4\DATA\log\nshield.log Object is locked pominięty C:\Program Files\Alwil Software\Avast4\DATA\log\selfdef.log Object is locked pominięty C:\Program Files\Alwil Software\Avast4\DATA\report\Osłona rezydentna.txt Object is locked pominięty C:\System Volume Information\MountPointManagerRemoteDatabase Object is locked pominięty C:\System Volume Information_restore{04B19015-2862-4C34-9E84-13D2AA2B49DC}\RP9\change.log Object is locked pominięty C:\WINDOWS\Debug\PASSWD.LOG Object is locked pominięty C:\WINDOWS\SchedLgU.Txt Object is locked pominięty C:\WINDOWS\SoftwareDistribution\ReportingEvents.log Object is locked pominięty C:\WINDOWS\Sti_Trace.log Object is locked pominięty C:\WINDOWS\system32\CatRoot2\edb.log Object is locked pominięty C:\WINDOWS\system32\CatRoot2\tmp.edb Object is locked pominięty C:\WINDOWS\system32\config\Antivirus.Evt Object is locked pominięty C:\WINDOWS\system32\config\AppEvent.Evt Object is locked pominięty C:\WINDOWS\system32\config\default Object is locked pominięty C:\WINDOWS\system32\config\default.LOG Object is locked pominięty C:\WINDOWS\system32\config\ODiag.evt Object is locked pominięty C:\WINDOWS\system32\config\OSession.evt Object is locked pominięty C:\WINDOWS\system32\config\SAM Object is locked pominięty C:\WINDOWS\system32\config\SAM.LOG Object is locked pominięty C:\WINDOWS\system32\config\SecEvent.Evt Object is locked pominięty C:\WINDOWS\system32\config\SECURITY Object is locked pominięty C:\WINDOWS\system32\config\SECURITY.LOG Object is locked pominięty C:\WINDOWS\system32\config\software Object is locked pominięty C:\WINDOWS\system32\config\software.LOG Object is locked pominięty C:\WINDOWS\system32\config\SysEvent.Evt Object is locked pominięty C:\WINDOWS\system32\config\system Object is locked pominięty C:\WINDOWS\system32\config\system.LOG Object is locked pominięty C:\WINDOWS\system32\drivers\sptd.sys Object is locked pominięty C:\WINDOWS\system32\h323log.txt Object is locked pominięty C:\WINDOWS\system32\wbem\Repository\FS\INDEX.BTR Object is locked pominięty C:\WINDOWS\system32\wbem\Repository\FS\INDEX.MAP Object is locked pominięty C:\WINDOWS\system32\wbem\Repository\FS\MAPPING.VER Object is locked pominięty C:\WINDOWS\system32\wbem\Repository\FS\MAPPING1.MAP Object is locked pominięty C:\WINDOWS\system32\wbem\Repository\FS\MAPPING2.MAP Object is locked pominięty C:\WINDOWS\system32\wbem\Repository\FS\OBJECTS.DATA Object is locked pominięty C:\WINDOWS\system32\wbem\Repository\FS\OBJECTS.MAP Object is locked pominięty C:\WINDOWS\Temp\Perflib_Perfdata_5b0.dat Object is locked pominięty C:\WINDOWS\Temp_avast4_\Webshlock.txt Object is locked pominięty C:\WINDOWS\wiadebug.log Object is locked pominięty C:\WINDOWS\wiaservc.log Object is locked pominięty C:\WINDOWS\WindowsUpdate.log Object is locked pominięty E:\System Volume Information\MountPointManagerRemoteDatabase Object is locked pominięty G:\System Volume Information\MountPointManagerRemoteDatabase Object is locked pominięty J:\System Volume Information\MountPointManagerRemoteDatabase Object is locked pominięty Proces skanowania został zakończony.

Chyba wszystko ok juz jest wszystko dziala jak dzialalo wczesniej, dzieki wielkie za pomoc…

Pzdr.

[Leon1 (Leon$)]

Tak wszystko powinno być OK

Statystyki skanowania Liczba skanowanych obiektów 74061 Liczba wykrytych wirusów 0 Liczba zainfekowanych obiektów 0 Liczba podejrzanych obiektów 0

[Monczkin]

Miyagi , przeczytaj proszę ten temat

viewtopic.php?f=16&t=253052

i popraw posty z logami, inaczej wyciągnę konsekwencje.