Zamulony komp. 100% zużycia procka przez winlogon

Dla specjalistów Bezpieczeństwo
#1

Witam. Tak jak w temacie napisałem. Mam problem ze zmulonym kompem. Na początek uruchamia się wszystko ok ale po paru minutach winlogon zaczyna wariować i zajmuje 100% procka. Poniżej log z Hijack. Z góry dzięki

Logfile of HijackThis v1.99.1 

Scan saved at 07:37:37, on 2008-07-16 

Platform: Windows XP Dodatek SP2 (WinNT 5.01.2600) 

MSIE: Internet Explorer v7.00 (7.00.6000.16473) 


Running processes: 

C:\WINDOWS\System32\smss.exe 

C:\WINDOWS\system32\winlogon.exe 

C:\WINDOWS\system32\services.exe 

C:\WINDOWS\system32\lsass.exe 

C:\WINDOWS\system32\Ati2evxx.exe 

C:\WINDOWS\system32\svchost.exe 

C:\WINDOWS\System32\svchost.exe 

C:\WINDOWS\system32\Ati2evxx.exe 

C:\WINDOWS\system32\spoolsv.exe 

C:\WINDOWS\Explorer.EXE 

C:\WINDOWS\RTHDCPL.EXE 

C:\Program Files\ATI Technologies\ATI.ACE\CLI.EXE 

C:\Program Files\Java\jre1.5.0_10\bin\jusched.exe 

C:\Program Files\Common Files\Symantec Shared\ccApp.exe 

C:\Program Files\Microsoft ActiveSync\Wcescomm.exe 

C:\WINDOWS\system32\ctfmon.exe 

C:\PROGRA~1\MI3AA1~1\rapimgr.exe 

C:\Program Files\Adobe\Acrobat 7.0\Reader\reader_sl.exe 

C:\Program Files\Windows Desktop Search\WindowsSearch.exe 

c:\Program Files\Microsoft SQL Server\90\Shared\sqlwriter.exe 

C:\PROGRA~1\StatSoft\FlexLM\lmgrd.exe 

C:\Program Files\StatSoft\FlexLM\LicenseAdminService.exe 

C:\WINDOWS\system32\SearchIndexer.exe 

C:\PROGRA~1\StatSoft\FlexLM\sta_flxm.exe 

C:\Program Files\ATI Technologies\ATI.ACE\cli.exe 

C:\WINDOWS\system32\wuauclt.exe 

C:\WINDOWS\system32\SearchProtocolHost.exe 

C:\Documents and Settings\admin\Pulpit\HijackThis.exe 

C:\WINDOWS\system32\SearchProtocolHost.exe 


R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://intranet.tbmeca.pl/ 

R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://go.microsoft.com/fwlink/?LinkId=69157 

R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://go.microsoft.com/fwlink/?LinkId=54896 

R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = http://go.microsoft.com/fwlink/?LinkId=54896 

R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = http://go.microsoft.com/fwlink/?LinkId=69157 

R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Łącza 

O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Program Files\Adobe\Acrobat 7.0\ActiveX\AcroIEHelper.dll 

O2 - BHO: SSVHelper Class - {761497BB-D6F0-462C-B6EB-D4DAF1D92D43} - C:\Program Files\Java\jre1.5.0_10\bin\ssv.dll 

O4 - HKLM\..\Run: [RTHDCPL] RTHDCPL.EXE 

O4 - HKLM\..\Run: [SkyTel] SkyTel.EXE 

O4 - HKLM\..\Run: [Alcmtr] ALCMTR.EXE 

O4 - HKLM\..\Run: [ATICCC] "C:\Program Files\ATI Technologies\ATI.ACE\CLIStart.exe" 

O4 - HKLM\..\Run: [SunJavaUpdateSched] "C:\Program Files\Java\jre1.5.0_10\bin\jusched.exe" 

O4 - HKLM\..\Run: [ccApp] "C:\Program Files\Common Files\Symantec Shared\ccApp.exe" 

O4 - HKLM\..\Run: [PDAsync - MSWinCE2] C:\Program Files\Common Files\XCPCSync\Translators\MSWinCE2\AutoDetect.exe 

O4 - HKCU\..\Run: [H/PC Connection Agent] "C:\Program Files\Microsoft ActiveSync\Wcescomm.exe" 

O4 - HKCU\..\Run: [ctfmon.exe] C:\WINDOWS\system32\ctfmon.exe 

O4 - Startup: Microsoft Office Outlook.lnk = C:\Program Files\Microsoft Office\Office12\OUTLOOK.EXE 

O4 - Startup: usun.bat 

O4 - Global Startup: Adobe Reader Speed Launch.lnk = C:\Program Files\Adobe\Acrobat 7.0\Reader\reader_sl.exe 

O4 - Global Startup: STATISTICA.lnk = STATISTICA 7\statist.exe 

O4 - Global Startup: Wyszukiwanie z pulpitu systemu Windows.lnk = C:\Program Files\Windows Desktop Search\WindowsSearch.exe 

O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\jre1.5.0_10\bin\ssv.dll 

O9 - Extra 'Tools' menuitem: Sun Java Console - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\jre1.5.0_10\bin\ssv.dll 

O9 - Extra button: Create Mobile Favorite - {2EAF5BB1-070F-11D3-9307-00C04FAE2D4F} - C:\PROGRA~1\MI3AA1~1\INetRepl.dll 

O9 - Extra button: (no name) - {2EAF5BB2-070F-11D3-9307-00C04FAE2D4F} - C:\PROGRA~1\MI3AA1~1\INetRepl.dll 

O9 - Extra 'Tools' menuitem: Utwórz Ulubione dla urządzenia przenośnego... - {2EAF5BB2-070F-11D3-9307-00C04FAE2D4F} - C:\PROGRA~1\MI3AA1~1\INetRepl.dll 

O9 - Extra button: Research - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - C:\PROGRA~1\MICROS~3\Office12\REFIEBAR.DLL 

O9 - Extra button: (no name) - {e2e2dd38-d088-4134-82b7-f2ba38496583} - %windir%\Network Diagnostic\xpnetdiag.exe (file missing) 

O9 - Extra 'Tools' menuitem: @xpsp3res.dll,-20001 - {e2e2dd38-d088-4134-82b7-f2ba38496583} - %windir%\Network Diagnostic\xpnetdiag.exe (file missing) 

O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe 

O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe 

O11 - Options group: [INTERNATIONAL] International* 

O17 - HKLM\System\CCS\Services\Tcpip\..\{C0A6B6B6-4B0F-4EBB-90EE-6EDA0BBC6773}: NameServer = 192.168.125.200,192.168.125.202 

O18 - Protocol: ms-help - {314111C7-A502-11D2-BBCA-00C04F8EC294} - C:\Program Files\Common Files\Microsoft Shared\Help\hxds.dll 

O18 - Filter hijack: text/xml - {807563E5-5146-11D5-A672-00B0D022E945} - C:\PROGRA~1\COMMON~1\MICROS~1\OFFICE12\MSOXMLMF.DLL 

O20 - Winlogon Notify: NavLogon - C:\WINDOWS\system32\NavLogon.dll 

O20 - Winlogon Notify: WgaLogon - C:\WINDOWS\SYSTEM32\WgaLogon.dll 

O23 - Service: Ati HotKey Poller - ATI Technologies Inc. - C:\WINDOWS\system32\Ati2evxx.exe 

O23 - Service: Symantec Event Manager (ccEvtMgr) - Symantec Corporation - C:\Program Files\Common Files\Symantec Shared\ccEvtMgr.exe 

O23 - Service: Symantec Password Validation (ccPwdSvc) - Symantec Corporation - C:\Program Files\Common Files\Symantec Shared\ccPwdSvc.exe 

O23 - Service: Symantec Settings Manager (ccSetMgr) - Symantec Corporation - C:\Program Files\Common Files\Symantec Shared\ccSetMgr.exe 

O23 - Service: Symantec AntiVirus Definition Watcher (DefWatch) - Symantec Corporation - C:\Program Files\Symantec AntiVirus\DefWatch.exe 

O23 - Service: SQL Server (SQLEXPRESS) (MSSQL$SQLEXPRESS) - Unknown owner - c:\Program Files\Microsoft SQL Server\MSSQL.1\MSSQL\Binn\sqlservr.exe" -sSQLEXPRESS (file missing) 

O23 - Service: SAVRoam (SavRoam) - symantec - C:\Program Files\Symantec AntiVirus\SavRoam.exe 

O23 - Service: Symantec Network Drivers Service (SNDSrvc) - Symantec Corporation - C:\Program Files\Common Files\Symantec Shared\SNDSrvc.exe 

O23 - Service: STATISTICA License Administrator - Unknown owner - C:\Program Files\StatSoft\FlexLM\LicenseAdminService.exe 

O23 - Service: STATISTICA License Manager - Macrovision Corporation - C:\PROGRA~1\StatSoft\FlexLM\lmgrd.exe 

O23 - Service: Symantec AntiVirus - Symantec Corporation - C:\Program Files\Symantec AntiVirus\Rtvscan.exe
#2

fix w hijackthis

Pokaż log z Combofix

Logi dajesz na http://wklejto.pl a w poście dajesz tylko link

#3

Problem polega na tym że nawet nie mogę już zrobić combofixa bo komp mi się zawiesza

W dniu 16.07.2008 , o godzinie 8:41 został dopisany post przez carlsberg

Udało się oto log z Combofixa

http://wklejto.pl/5880

#4

Log jest prawie Czysty,zrób tylko to:

  1. Sformatuj pendriv’a :slight_smile:

Windows Registry Editor Version 5.00


[-HKEY_CURRENT_USER\software\microsoft\windows\currentversion\explorer\mountpoints2\{36fac301-b20f-11db-9bbe-003005e20870}]

Z menu Notatnika >>> Plik >>> Zapisz jako >>> Ustaw rozszerzenie na: “Wszystkie pliki” >>> Zapisz jako FIX.REG >>>

plik uruchom (dwuklik i OK- zgódź się na dodanie do Rejestru).

Zrestartuj komputer.

Usuń ręcznie folder C: \Qoobox ,

Usuń instalkę Combofix z dysku.

Wykonaj optymalizację autostartu

Przeczyść komputer Ccleanerem

Wyłącz i włącz przywracanie systemu na wszystkich dyskach.Instrukcja

Przeskanuj obszar mojego komputera http://www.kaspersky.pl/virusscanner.html (uruchom przez IE) Daj raport z niego na forum

lub

Dr.WEB CureIt!

Pzdr KJB

#5

Zrobiłem wszystko zgodnie z sugestiami i niestety nadal mam problem. Winlogon po kilku minutach od załadowania sie windy zaczyna szaleć i zajmuje 100% procka. Jakieś inne sugestie?

#6

W logu nic na ten temat nie widać ale dam ci linka i poczytasz o tym

http://forum.centrumxp.pl/default.aspx?g=posts&t=108100

#7

No nic i tak dzięki. Chyba pozostaje mi tylko instalacja systemu na nowo :frowning:

#8

Nie, zobacz ten link, może pomoże

:slight_smile:

#9

Ale w tym linku nic nie ma na temat winlogona

#10

No tak Sorry ale moze jednak coś tam będzie co pomoże…