Zainfekowany komputer - log z HijackThis

[radeek1 (Radeeek0)]

Dostawca internetu powiedzial mi ze mam zainfekowany system Obejrzcie skan i powiedzcie mi jak mozecie co mam robic bo ja jestem zielony o to skan :

Logfile of Trend Micro HijackThis v2.0.2

Scan saved at 13:30:00, on 2008-03-01

Platform: Windows XP (WinNT 5.01.2600)

MSIE: Internet Explorer v6.00 SP1 (6.00.2600.0000)

Boot mode: Normal

Running processes:

C:\WINDOWS\System32\smss.exe

C:\WINDOWS\system32\winlogon.exe

C:\WINDOWS\system32\services.exe

C:\WINDOWS\system32\lsass.exe

C:\WINDOWS\system32\svchost.exe

C:\WINDOWS\System32\svchost.exe

C:\Program Files\Alwil Software\Avast4\aswUpdSv.exe

C:\Program Files\Alwil Software\Avast4\ashServ.exe

C:\WINDOWS\system32\spoolsv.exe

C:\Program Files\Nero\Nero8\Nero BackItUp\NBService.exe

C:\WINDOWS\System32\nvsvc32.exe

C:\Program Files\Alcohol Soft\Alcohol 120\StarWind\StarWindService.exe

C:\Program Files\Alwil Software\Avast4\ashWebSv.exe

C:\Program Files\Alwil Software\Avast4\ashMaiSv.exe

C:\WINDOWS\Explorer.EXE

C:\PROGRA~1\ALWILS~1\Avast4\ashDisp.exe

C:\WINDOWS\System32\lssas.exe

C:\WINDOWS\System32\rundll32.exe

C:\WINDOWS\System32\msnnmaneger.exe

C:\WINDOWS\System32\Rundll32.exe

C:\WINDOWS\System32\ctfmon.exe

C:\Program Files\Messenger\msmsgs.exe

C:\WINDOWS\System32\RUNDLL32.EXE

C:\WINDOWS\System32\msnnmaneger.exe

C:\Program Files\WinRAR\WinRAR.exe

C:\Program Files\Trend Micro\HijackThis\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://google.atcomet.com/b/

R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Łącza

R3 - URLSearchHook: SearchSettings Class - {E312764E-7706-43F1-8DAB-FCDD2B1E416D} - C:\Program Files\Search Settings\kb126\SearchSettings.dll

O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINDOWS\System32\msdxm.ocx

O3 - Toolbar: Burn4Free Toolbar - {4F11ACBB-393F-4C86-A214-FF3D0D155CC3} - C:\Program Files\Burn4Free Toolbar\v3.3.0.1\Burn4Free_Toolbar.dll

O3 - Toolbar: Ask Toolbar - {FE063DB9-4EC0-403e-8DD8-394C54984B2C} - C:\Program Files\AskTBar\bar\1.bin\ASKTBAR.DLL

O4 - HKLM…\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\System32\NvCpl.dll,NvStartup

O4 - HKLM…\Run: [avast!] C:\PROGRA~1\ALWILS~1\Avast4\ashDisp.exe

O4 - HKLM…\Run: [Local Security Authority Service] C:\WINDOWS\System32\lssas.exe

O4 - HKLM…\Run: [errorkiller] “C:\Program Files\errorkiller\errorkiller.exe” -boot

O4 - HKLM…\Run: [NeroFilterCheck] C:\WINDOWS\system32\NeroCheck.exe

O4 - HKLM…\Run: [hotefix] msnnmaneger.exe

O4 - HKLM…\Run: [spooler SubSystem App] C:\WINDOWS\System32\spooIsv.exe

O4 - HKLM…\Run: [Winamp Agent] C:\WINDOWS\System32\winamp.exe

O4 - HKLM…\Run: [Application Layer Gateway Service] C:\WINDOWS\System32\algs.exe

O4 - HKLM…\Run: [30df7b4b] rundll32.exe “C:\WINDOWS\System32\ahbxpunq.dll”,b

O4 - HKLM…\Run: [Client Server Runtime Process] C:\WINDOWS\System32\csrs.exe

[addmir (Dmirecki)]

Log jest obcięty! Popraw!

[radeek1 (Radeeek0)]

to reszta :

O4 - HKLM…\Run: [bM33ec48d7] Rundll32.exe “C:\WINDOWS\System32\fobgglen.dll”,s

O4 - HKLM…\RunServices: [Windows Serviece Agents] vsjelthax.exe

O4 - HKLM…\RunServices: [hotefix] msnnmaneger.exe

O4 - HKLM…\RunOnce: [hotefix] msnnmaneger.exe

O4 - HKCU…\Run: [CTFMON.EXE] C:\WINDOWS\System32\ctfmon.exe

O4 - HKCU…\Run: [MSMSGS] “C:\Program Files\Messenger\msmsgs.exe” /background

O4 - HKCU…\Run: [NvMediaCenter] RUNDLL32.EXE C:\WINDOWS\System32\NVMCTRAY.DLL,NvTaskbarInit

O4 - HKCU…\Run: [hotefix] msnnmaneger.exe

O4 - HKCU…\Run: [Gadu-Gadu] “C:\Program Files\Gadu-Gadu\gg.exe” /tray

O4 - HKCU…\RunOnce: [hotefix] msnnmaneger.exe

O4 - HKUS\S-1-5-19…\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User ‘USŁUGA LOKALNA’)

O4 - HKUS\S-1-5-20…\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User ‘USŁUGA SIECIOWA’)

O4 - HKUS\S-1-5-18…\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User ‘SYSTEM’)

O4 - HKUS\S-1-5-18…\RunOnce: [hotefix] msnnmaneger.exe (User ‘SYSTEM’)

O4 - HKUS.DEFAULT…\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User ‘Default user’)

O4 - HKUS.DEFAULT…\RunOnce: [hotefix] msnnmaneger.exe (User ‘Default user’)

O4 - Startup: Rapidown.lnk = C:\Program Files\Rapidown\rapidown.exe

O8 - Extra context menu item: &D&ownload &with BitComet - res://C:\Program Files\BitComet\BitComet.exe/AddLink.htm

O8 - Extra context menu item: &D&ownload all video with BitComet - res://C:\Program Files\BitComet\BitComet.exe/AddVideo.htm

O8 - Extra context menu item: &D&ownload all with BitComet - res://C:\Program Files\BitComet\BitComet.exe/AddAllLink.htm

O8 - Extra context menu item: Download all by Rapidown… - C:\Program Files\Rapidown\rapidownGetAll.htm

O8 - Extra context menu item: Download by Rapidown… - C:\Program Files\Rapidown\rapidownGet.htm

O9 - Extra button: Rapidown - {57E91B47-F40A-11D1-B792-444553540011} - C:\Program Files\Rapidown\rapidown.exe

O9 - Extra ‘Tools’ menuitem: Rapidown - {57E91B47-F40A-11D1-B792-444553540011} - C:\Program Files\Rapidown\rapidown.exe

O9 - Extra button: Related - {c95fe080-8f5d-11d2-a20b-00aa003c157a} - C:\WINDOWS\web\related.htm

O9 - Extra ‘Tools’ menuitem: Show &Related Links - {c95fe080-8f5d-11d2-a20b-00aa003c157a} - C:\WINDOWS\web\related.htm

O9 - Extra button: BitComet - {D18A0B52-D63C-4ed0-AFC6-C1E3DC1AF43A} - res://C:\Program Files\BitComet\tools\BitCometBHO_1.2.1.2.dll/206 (file missing)

O17 - HKLM\System\CCS\Services\Tcpip…{98B7E6D9-1D6D-4F03-BA2E-936F1902746B}: NameServer = 169.254.0.2,169.254.0.1

O23 - Service: avast! iAVS4 Control Service (aswUpdSv) - ALWIL Software - C:\Program Files\Alwil Software\Avast4\aswUpdSv.exe

O23 - Service: avast! Antivirus - ALWIL Software - C:\Program Files\Alwil Software\Avast4\ashServ.exe

O23 - Service: avast! Mail Scanner - ALWIL Software - C:\Program Files\Alwil Software\Avast4\ashMaiSv.exe

O23 - Service: avast! Web Scanner - ALWIL Software - C:\Program Files\Alwil Software\Avast4\ashWebSv.exe

O23 - Service: Nero BackItUp Scheduler 3 - Nero AG - C:\Program Files\Nero\Nero8\Nero BackItUp\NBService.exe

O23 - Service: NMIndexingService - Nero AG - C:\Program Files\Common Files\Nero\Lib\NMIndexingService.exe

O23 - Service: NVIDIA Driver Helper Service (NVSvc) - NVIDIA Corporation - C:\WINDOWS\System32\nvsvc32.exe

O23 - Service: StarWind iSCSI Service (StarWindService) - Rocket Division Software - C:\Program Files\Alcohol Soft\Alcohol 120\StarWind\StarWindService.exe

–

End of file - 6250 bytes

[addmir (Dmirecki)]

Zrobimy automatem, bo syfu jest trochę…

Pobierz ComboFix (na dole) i pokaż z niego log. Combo powinien sam usunąć część syfu, a resztę ubijemy ręcznie

[radeek1 (Radeeek0)]

Mamm problem nie moge nic probrac a plyt i dyskietek nie czyta ;/ a to jest wirus blaster mam blaster fixza ale nie mam jak go dostarczyc do kompa ???

[addmir (Dmirecki)]

Ręczne usuwanie Blastera:

1. Wyeliminowanie procesów Blastera: 2. Skasowanie wymienionych wyżej plików. 3. Edycja rejestru:

Robimy ręcznie.

FIX w hijack:

O4 - HKLM…\Run: [spooler SubSystem App] C:\WINDOWS\System32\spooIsv.exe O4 - HKLM…\Run: [Winamp Agent] C:\WINDOWS\System32\winamp.exe O4 - HKLM…\Run: [Application Layer Gateway Service] C:\WINDOWS\System32\algs.exe O4 - HKLM…\Run: [Client Server Runtime Process] C:\WINDOWS\System32\srs.exe O4 - HKLM…\RunServices: [hotefix] msnnmaneger.exe O4 - HKLM…\RunOnce: [hotefix] msnnmaneger.exe O4 - HKCU…\Run: [hotefix] msnnmaneger.exe O4 - HKCU…\RunOnce: [hotefix] msnnmaneger.exe O4 - HKUS\S-1-5-18…\RunOnce: [hotefix] msnnmaneger.exe (User ‘SYSTEM’) O4 - HKUS.DEFAULT…\RunOnce: [hotefix] msnnmaneger.exe (User ‘Default user’)

pliki na czerwono usuń ręcznie w trybie awaryjnym.

Potem nowy log

[Gutek]

Zmiana zasad wklejania logów na forum - viewtopic.php?f=16&t=213350

Na blaster pomoże SP2