Wirus, robak - Sokolov.a


(Tomczas91) #1

Witam!!

Mam taki problem. Dzisiaj załapałem gdzieś wirusa o nazwie Sokolov.a. Czy ktoś wie jak go usunąc, bo nie mogę wejśc na dysk wchodząc w mój komputer i klikając na dysk lokalny C. Wyskakuje komunikat że nie można załadować pliku MS32.dll.dll.vbs (wcześniej antivirus unusął mi kilka plików).

Dzięki serdeczne za pomoc

Bartek


(Patryk94) #2

Zapodaj logi z:

:arrow: Hijack This

:arrow: Combo Fix


(Tomczas91) #3

eh, kompletnie się na tym nie znam a więc napisz mi co mam robic.

Z góry dzięki

Bartek


(huber2t) #4

Podaj log z Hijackthis

Podaj log z Combofix


(Tomczas91) #5

log z Hijack:

Logfile of HijackThis v1.99.1

Scan saved at 16:31:00, on 2008-06-13

Platform: Windows XP Dodatek SP3 (WinNT 5.01.2600)

MSIE: Internet Explorer v6.00 SP3 (6.00.2900.5512)


Running processes:

C:\WINDOWS\System32\smss.exe

C:\WINDOWS\system32\winlogon.exe

C:\WINDOWS\system32\services.exe

C:\WINDOWS\system32\lsass.exe

C:\WINDOWS\system32\Ati2evxx.exe

C:\WINDOWS\system32\svchost.exe

C:\WINDOWS\System32\svchost.exe

C:\WINDOWS\system32\spoolsv.exe

C:\WINDOWS\system32\svchost.exe

C:\WINDOWS\system32\Ati2evxx.exe

C:\WINDOWS\Explorer.EXE

C:\Program Files\ATI Technologies\ATI Control Panel\atiptaxx.exe

C:\Program Files\Analog Devices\Core\smax4pnp.exe

C:\WINDOWS\System32\WScript.exe

C:\Program Files\Messenger\msmsgs.exe

C:\Documents and Settings\Bartek\Ustawienia lokalne\Dane aplikacji\Google\Update\1.1.25.0\GoogleUpdate.exe

D:\WINDOWS\BricoPacks\Vista Inspirat 2\RocketDock\RocketDock.exe

C:\Documents and Settings\Bartek\Ustawienia lokalne\Dane aplikacji\YouTube\Uploader\youtubeuploader.exe

C:\WINDOWS\system32\wscntfy.exe

C:\WINDOWS\system32\wscript.exe

C:\WINDOWS\system32\wscript.exe

C:\WINDOWS\system32\wscript.exe

C:\WINDOWS\system32\wscript.exe

C:\WINDOWS\system32\wscript.exe

C:\WINDOWS\system32\wscript.exe

C:\WINDOWS\system32\wscript.exe

C:\WINDOWS\system32\wscript.exe

C:\WINDOWS\system32\wscript.exe

C:\WINDOWS\system32\wscript.exe

C:\WINDOWS\system32\wscript.exe

C:\WINDOWS\system32\wscript.exe

C:\WINDOWS\system32\wscript.exe

C:\WINDOWS\system32\wscript.exe

C:\WINDOWS\system32\wscript.exe

C:\WINDOWS\system32\wscript.exe

C:\WINDOWS\system32\wscript.exe

C:\WINDOWS\system32\wscript.exe

C:\WINDOWS\system32\wscript.exe

C:\WINDOWS\system32\wscript.exe

C:\WINDOWS\system32\wscript.exe

C:\Program Files\PC Tools AntiVirus\PCTAVSvc.exe

D:\Program Files\VAFS3\VAFS.exe

D:\Program Files\Microsoft Games\Flight Simulator 9\fs9.exe

C:\WINDOWS\system32\dpnsvr.exe

D:\Program Files\Microsoft Games\Flight Simulator 9\Modules\ASv6\ASv6.exe

C:\Program Files\Mozilla Firefox\firefox.exe

C:\Documents and Settings\Bartek\Pulpit\hijackthis\HijackThis.exe


R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Window Title = Hacked by Godzilla

R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Łącza

O2 - BHO: Adobe PDF Reader Link Helper - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Program Files\Common Files\Adobe\Acrobat\ActiveX\AcroIEHelper.dll

O2 - BHO: BitComet ClickCapture - {39F7E362-828A-4B5A-BCAF-5B79BFDFEA60} - C:\Program Files\BitComet\tools\BitCometBHO_1.2.2.28.dll

O2 - BHO: (no name) - {7E853D72-626A-48EC-A868-BA8D5E23E045} - (no file)

O4 - HKLM\..\Run: [High Definition Audio Property Page Shortcut] HDAShCut.exe

O4 - HKLM\..\Run: [ATIPTA] "C:\Program Files\ATI Technologies\ATI Control Panel\atiptaxx.exe"

O4 - HKLM\..\Run: [SoundMAXPnP] C:\Program Files\Analog Devices\Core\smax4pnp.exe

O4 - HKLM\..\Run: [SoundMAX] "C:\Program Files\Analog Devices\SoundMAX\smax4.exe" /tray

O4 - HKLM\..\Run: [Adobe Reader Speed Launcher] "C:\Program Files\Adobe\Reader 8.0\Reader\Reader_sl.exe"

O4 - HKLM\..\Run: [MS32DLL] C:\WINDOWS\MS32DLL.dll.vbs

O4 - HKLM\..\Run: [PCTAVApp] "C:\Program Files\PC Tools AntiVirus\PCTAV.exe" /MONITORSCAN

O4 - HKCU\..\Run: [DAEMON Tools Lite] "C:\Program Files\DAEMON Tools Lite\daemon.exe" -autorun

O4 - HKCU\..\Run: [MSMSGS] "C:\Program Files\Messenger\msmsgs.exe" /background

O4 - HKCU\..\Run: [Google Update] "C:\Documents and Settings\Bartek\Ustawienia lokalne\Dane aplikacji\Google\Update\1.1.25.0\GoogleUpdate.exe" /lang en

O4 - Startup: Adobe Gamma.lnk = C:\Program Files\Common Files\Adobe\Calibration\Adobe Gamma Loader.exe

O4 - Startup: RocketDock.lnk = D:\WINDOWS\BricoPacks\Vista Inspirat 2\RocketDock\RocketDock.exe

O4 - Startup: YouTube Uploader.lnk = C:\Documents and Settings\Bartek\Ustawienia lokalne\Dane aplikacji\YouTube\Uploader\youtubeuploader.exe

O8 - Extra context menu item: &D&ownload &with BitComet - res://C:\Program Files\BitComet\BitComet.exe/AddLink.htm

O8 - Extra context menu item: &D&ownload all video with BitComet - res://C:\Program Files\BitComet\BitComet.exe/AddVideo.htm

O8 - Extra context menu item: &D&ownload all with BitComet - res://C:\Program Files\BitComet\BitComet.exe/AddAllLink.htm

O9 - Extra button: BitComet - {D18A0B52-D63C-4ed0-AFC6-C1E3DC1AF43A} - res://C:\Program Files\BitComet\tools\BitCometBHO_1.2.2.28.dll/206 (file missing)

O9 - Extra button: (no name) - {e2e2dd38-d088-4134-82b7-f2ba38496583} - %windir%\Network Diagnostic\xpnetdiag.exe (file missing)

O9 - Extra 'Tools' menuitem: @xpsp3res.dll,-20001 - {e2e2dd38-d088-4134-82b7-f2ba38496583} - %windir%\Network Diagnostic\xpnetdiag.exe (file missing)

O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe

O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe

O10 - Unknown file in Winsock LSP: c:\program files\common files\pc tools\lsp\pctlsp.dll

O10 - Unknown file in Winsock LSP: c:\program files\common files\pc tools\lsp\pctlsp.dll

O10 - Unknown file in Winsock LSP: c:\program files\common files\pc tools\lsp\pctlsp.dll

O10 - Unknown file in Winsock LSP: c:\program files\common files\pc tools\lsp\pctlsp.dll

O18 - Protocol: livecall - {828030A1-22C1-4009-854F-8E305202313F} - C:\PROGRA~1\MSNMES~1\MSGRAP~1.DLL

O18 - Protocol: msnim - {828030A1-22C1-4009-854F-8E305202313F} - C:\PROGRA~1\MSNMES~1\MSGRAP~1.DLL

O18 - Protocol: skype4com - {FFC8B962-9B40-4DFF-9458-1830C7DD7F5D} - C:\PROGRA~1\COMMON~1\Skype\SKYPE4~1.DLL

O20 - Winlogon Notify: dimsntfy - %SystemRoot%\System32\dimsntfy.dll (file missing)

O23 - Service: Adobe LM Service - Adobe Systems - C:\Program Files\Common Files\Adobe Systems Shared\Service\Adobelmsvc.exe

O23 - Service: Ati HotKey Poller - ATI Technologies Inc. - C:\WINDOWS\system32\Ati2evxx.exe

O23 - Service: ATI Smart - Unknown owner - C:\WINDOWS\system32\ati2sgag.exe

O23 - Service: PC Tools AntiVirus Engine (PCTAVSvc) - PC Tools Research Pty Ltd - C:\Program Files\PC Tools AntiVirus\PCTAVSvc.exe

log z combofix:

ComboFix 08-06-11.7 - Bartek 2008-06-13 16:34:32.1 - NTFSx86

(Gutek) #6

Wklej do Notatnika:

Folder::

C:\Recycled

>>Plik>>Zapisz jako... >>> CFScript (najwygodniej będzie, jeśli zapiszesz w takiej lokalizacji, by ikonka CFScript.txt znalazła się obok ikonki ComboFix.exe )

Przeciągnij i upuść plik CFScript.txt na plik ComboFix.exe (czyli ikonkę CFScript.txt na ikonkę ComboFix.exe )

– podobnie jak na tym obrazku -->88953CFScript-createdbyMiekiemoes.gif

(jeśli pojawi się pytanie " 1 or 2" - to wpisz 1 i naciśnij ENTER) Ma się rozpocząć usuwanie. (i powstanie log)

Po restarcie usuń ręcznie folder C: **** Qoobox.

Po tym skan http://www.kaspersky.pl/virusscanner.html

Zmiana zasad wklejania logów na forum - viewtopic.php?f=16t=213350


(Tomczas91) #7

a jeśli ten wirus gnieżdzi mi się na 2 partycjach to mam zrobic oprócz C:Recycled jeszcze D: Recycled??

Pozdrawiam

Bartek


(Leon$) #8

wpisy

usuń HijackThisem >> Fix checked

reszta jak Gutek napisał

:slight_smile: