Zarażony komputer

[roofi (Radoslaw Januszewski)]

Cześć

Złapałem jakiegoś trojana i nie wiem jak się go pozbyć proszę o sprawdzenie loga

Dziękuję

esses: C:\WINDOWS\System32\smss.exe C:\WINDOWS\SYSTEM32\winlogon.exe C:\WINDOWS\system32\services.exe C:\WINDOWS\system32\lsass.exe C:\WINDOWS\system32\svchost.exe C:\WINDOWS\SYSTEM32\svchost.exe C:\WINDOWS\System32\svchost.exe C:\WINDOWS\Explorer.EXE C:\WINDOWS\system32\spoolsv.exe C:\Program Files\ERA\GlobeTrotter Connect\GtDetectSc.exe C:\WINDOWS\system32\nvsvc32.exe C:\WINDOWS\soundman.exe C:\Program Files\Java\jre1.6.0_05\bin\jusched.exe C:\WINDOWS\System32\reader_s.exe C:\WINDOWS\system32\wininet.exe C:\WINDOWS\system32\ctfmon.exe C:\Documents and Settings\Radek\reader_s.exe C:\Program Files\ERA\GlobeTrotter Connect\GlobeTrotter Connect.exe C:\WINDOWS\system32\cmd.exe C:\Program Files\AVerTV\QuickTV.exe C:\WINDOWS\services.exe C:\Program Files\Trend Micro\HijackThis\HijackThis.exe C:\WINDOWS\System32\svchost.exe C:\WINDOWS\system32\wuauclt.exe R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.google.pl/ R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Łącza F2 - REG:system.ini: UserInit=C:\WINDOWS\system32\userinit.exe,C:\Documents and Settings\Radek\yxoytik.exe \s O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Program Files\Adobe\Acrobat 6.0 CE\Reader\ActiveX\AcroIEHelper.dll O2 - BHO: SSVHelper Class - {761497BB-D6F0-462C-B6EB-D4DAF1D92D43} - C:\Program Files\Java\jre1.6.0_05\bin\ssv.dll O4 - HKLM…\Run: [soundMan] soundman.exe O4 - HKLM…\Run: [NvCplDaemon] RUNDLL32.EXE NvQTwk,NvCplDaemon initialize O4 - HKLM…\Run: [nwiz] nwiz.exe /install O4 - HKLM…\Run: [sunJavaUpdateSched] “C:\Program Files\Java\jre1.6.0_05\bin\jusched.exe” O4 - HKLM…\Run: [reader_s] C:\WINDOWS\System32\reader_s.exe O4 - HKLM…\Run: [services] C:\WINDOWS\services.exe O4 - HKCU…\Run: [CTFMON.EXE] C:\WINDOWS\system32\ctfmon.exe O4 - HKCU…\Run: [reader_s] C:\Documents and Settings\Radek\reader_s.exe O4 - HKCU…\Run: [services] C:\WINDOWS\services.exe O4 - HKLM…\Policies\Explorer\Run: [services] C:\WINDOWS\services.exe O4 - HKCU…\Policies\Explorer\Run: [services] C:\WINDOWS\services.exe O4 - HKUS\S-1-5-19…\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User ‘USŁUGA LOKALNA’) O4 - HKUS\S-1-5-20…\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User ‘USŁUGA SIECIOWA’) O4 - HKUS\S-1-5-18…\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User ‘SYSTEM’) O4 - HKUS\S-1-5-18…\Run: [jricmfwp.exe] C:\WINDOWS\jricmfwp.exe (User ‘SYSTEM’) O4 - HKUS\S-1-5-18…\Run: [zzcmxkfv.exe] C:\WINDOWS\zzcmxkfv.exe (User ‘SYSTEM’) O4 - HKUS\S-1-5-18…\Run: [phjqkumx.exe] C:\WINDOWS\phjqkumx.exe (User ‘SYSTEM’) O4 - HKUS\S-1-5-18…\Run: [services] C:\WINDOWS\services.exe (User ‘SYSTEM’) O4 - HKUS\S-1-5-18…\Run: [hdiqqxbh.exe] C:\WINDOWS\hdiqqxbh.exe (User ‘SYSTEM’) O4 - HKUS\S-1-5-18…\Run: [tjxlozpp.exe] C:\WINDOWS\tjxlozpp.exe (User ‘SYSTEM’) O4 - HKUS\S-1-5-18…\Run: [hdintlvd.exe] C:\WINDOWS\hdintlvd.exe (User ‘SYSTEM’) O4 - HKUS\S-1-5-18…\Policies\Explorer\Run: [services] C:\WINDOWS\services.exe (User ‘SYSTEM’) O4 - HKUS.DEFAULT…\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User ‘Default user’) O4 - HKUS.DEFAULT…\Policies\Explorer\Run: [services] C:\WINDOWS\services.exe (User ‘Default user’) O4 - Global Startup: GlobeTrotter Connect.lnk = C:\Program Files\ERA\GlobeTrotter Connect\GlobeTrotter Connect.exe O4 - Global Startup: Microsoft Office.lnk = C:\Program Files\Microsoft Office\Office\OSA9.EXE O4 - Global Startup: QuickTV.lnk = C:\Program Files\AVerTV\QuickTV.exe O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\jre1.6.0_05\bin\ssv.dll O9 - Extra ‘Tools’ menuitem: Sun Java Console - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\jre1.6.0_05\bin\ssv.dll O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe O9 - Extra ‘Tools’ menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe O16 - DPF: {BB21F850-63F4-4EC9-BF9D-565BD30C9AE9} (a-squared Scanner) - http://ax.emsisoft.com/asquared.cab O21 - SSODL: SysRun - {D7FFD784-5276-42D1-887B-00267870A4C7} - C:\WINDOWS\system32\svshost.dll O23 - Service: GtDetectSc - Option - C:\Program Files\ERA\GlobeTrotter Connect\GtDetectSc.exe O23 - Service: lmab_device - Unknown owner - C:\WINDOWS\system32\LMabcoms.exe O23 - Service: NVIDIA Driver Helper Service (NVSvc) - NVIDIA Corporation - C:\WINDOWS\system32\nvsvc32.exe O23 - Service: Panda Process Protection Service (PavPrSrv) - Unknown owner - C:\Program Files\Common Files\Panda Software\PavShld\pavprsrv.exe (file missing) – End of file - 4961 bytes

[Ciuci]

Najprawdopodobnie czeka Cie Format!

Ale możesz zrobić to co tu napisała jessica!

Kilka grożnych infekcji, ale wygląda na to, że jedną z nich jest wirus VIRUT, który zaraża wszystkie *.exe. Trzeba to najpierw sprawdzić, bo nie ma sensu usuwać innych infekcji, jeśli potem i tak trzeba będzie sformatować dysk. Ściągnij stąd “Dr. Web CureIt!” > http://www.speedyshare.com/392524813.html , od razu przy ściąganiu zapisz go pod taką nazwą, jaką mu nadałam (“purre.com”) Napisz, co wykrył. Może zamiast VIRUT być SALITY, albo użyta jakaś inna nazwa, ale chodzi o to, czy będą zarażone pliki *.exe. Jeśli nie zostanie wykryta taka infekcja, to zrobisz to: 1) Użyjesz (w Trybie Awaryjnym!)–>SDFix -na dole strony z linku Pokażesz Report.txt znajdujący się w folderze SDFix. 2) Dasz log z ComboFix Nowsza instrukcja obsługi ComboFixa >http://www.bleepingcomputer.com/combofix/pl/instrukcja-uzycia-combofix

[Leon1 (Leon$)]

Zastosuj Malwarebytes’ Anti-Malware http://cybertrash.pl/Tata/MBAM/Malwarebytes_%20Anti-Malware.html pełny skan - jak coś znajdzie to usuń zaznaczone - pokaż log

Pobierz Combofix http://www.searchengines.pl/index.php?s … ntry395642 uruchom dwuklikiem pokaż log

Podczas pobierania i skanu Combofixem proszę wyłączyć wszelkie zapory i antywirusy

potem nowy log HijackThis

[roofi (Radoslaw Januszewski)]

Przeskanowałem komputer tym programem i wszystkie zarażone pliki przeniosłem do kwarantanny. Nie wiem czy je kasować?? Ale to chyba nic nie dało

Przesyłam log:

Logfile of Trend Micro HijackThis v2.0.2 Scan saved at 09:31, on 2009-02-18 Platform: Windows XP Dodatek SP2 (WinNT 5.01.2600) MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180) Boot mode: Normal Running processes: C:\WINDOWS\System32\smss.exe C:\WINDOWS\SYSTEM32\winlogon.exe C:\WINDOWS\system32\services.exe C:\WINDOWS\system32\lsass.exe C:\WINDOWS\system32\svchost.exe C:\WINDOWS\System32\svchost.exe C:\WINDOWS\system32\spoolsv.exe C:\Program Files\ERA\GlobeTrotter Connect\GtDetectSc.exe C:\WINDOWS\Explorer.EXE C:\WINDOWS\system32\nvsvc32.exe C:\WINDOWS\soundman.exe C:\Program Files\Java\jre1.6.0_05\bin\jusched.exe C:\WINDOWS\system32\ctfmon.exe C:\Program Files\ERA\GlobeTrotter Connect\GlobeTrotter Connect.exe C:\Program Files\AVerTV\QuickTV.exe C:\WINDOWS\SYSTEM32\svchost.exe C:\Program Files\Trend Micro\HijackThis\HijackThis.exe C:\WINDOWS\system32\wuauclt.exe R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.google.pl/ R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Łącza F2 - REG:system.ini: UserInit=C:\WINDOWS\system32\userinit.exe,C:\Documents and Settings\Radek\yxoytik.exe \s, O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Program Files\Adobe\Acrobat 6.0 CE\Reader\ActiveX\AcroIEHelper.dll O2 - BHO: SSVHelper Class - {761497BB-D6F0-462C-B6EB-D4DAF1D92D43} - C:\Program Files\Java\jre1.6.0_05\bin\ssv.dll O4 - HKLM…\Run: [soundMan] soundman.exe O4 - HKLM…\Run: [NvCplDaemon] RUNDLL32.EXE NvQTwk,NvCplDaemon initialize O4 - HKLM…\Run: [nwiz] nwiz.exe /install O4 - HKLM…\Run: [sunJavaUpdateSched] “C:\Program Files\Java\jre1.6.0_05\bin\jusched.exe” O4 - HKCU…\Run: [CTFMON.EXE] C:\WINDOWS\system32\ctfmon.exe O4 - HKCU…\Run: [reader_s] C:\Documents and Settings\Radek\reader_s.exe O4 - HKUS\S-1-5-19…\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User ‘USŁUGA LOKALNA’) O4 - HKUS\S-1-5-20…\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User ‘USŁUGA SIECIOWA’) O4 - HKUS\S-1-5-18…\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User ‘SYSTEM’) O4 - HKUS\S-1-5-18…\Run: [jrbmfwid.exe] C:\WINDOWS\jrbmfwid.exe (User ‘SYSTEM’) O4 - HKUS.DEFAULT…\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User ‘Default user’) O4 - Global Startup: GlobeTrotter Connect.lnk = C:\Program Files\ERA\GlobeTrotter Connect\GlobeTrotter Connect.exe O4 - Global Startup: Microsoft Office.lnk = C:\Program Files\Microsoft Office\Office\OSA9.EXE O4 - Global Startup: QuickTV.lnk = C:\Program Files\AVerTV\QuickTV.exe O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\jre1.6.0_05\bin\ssv.dll O9 - Extra ‘Tools’ menuitem: Sun Java Console - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\jre1.6.0_05\bin\ssv.dll O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe O9 - Extra ‘Tools’ menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe O16 - DPF: {BB21F850-63F4-4EC9-BF9D-565BD30C9AE9} (a-squared Scanner) - http://ax.emsisoft.com/asquared.cab O23 - Service: GtDetectSc - Option - C:\Program Files\ERA\GlobeTrotter Connect\GtDetectSc.exe O23 - Service: lmab_device - Unknown owner - C:\WINDOWS\system32\LMabcoms.exe O23 - Service: NVIDIA Driver Helper Service (NVSvc) - NVIDIA Corporation - C:\WINDOWS\system32\nvsvc32.exe O23 - Service: Panda Process Protection Service (PavPrSrv) - Unknown owner - C:\Program Files\Common Files\Panda Software\PavShld\pavprsrv.exe (file missing) – End of file - 3654 bytes

[jessica]

Ale to chyba nic nie dało

I nic nie da, dopóki nie zastosujesz porady udzielonej wyżej przez @ Ciuci.

Tej infekcji nie ma sensu usuwać przy pomocy “MBAM”, bo to za słabe narzędzie.

jessi