Wyskakujące okienka z nieznaną pocztą (avast)

Dla specjalistów Bezpieczeństwo
#1

Witam ponownie!

Ostatnio pięknie mi pomogliście. Teraz nie wiem czy sie uda…

Szukałem parędni temu producenta oringów (uszczelek samochodowych) i trafiłem na firmę ARGIS. Po wejściu na ich stronę www. argis.pl (NIE WCHODZIĆ !!

Oto log z Avasta:

2007-12-29 17:58:53 Paweł 2340 Sign of “Win32:CTX” has been found in “C:\WINDOWS\system32\ActiveScan\pskavs.dll” file.

2008-01-02 21:02:24 Paweł 3540 Sign of “Win32:CTX” has been found in “C:\System Volume Information_restore{FC348F4D-EE2F-4842-9725-4DD0AD15C02E}\RP3\A0002155.dll” file.

2008-01-06 10:18:41 972 Function setifaceUpdatePackages() has failed. Return code is 0xC0000142, dwRes is C0000142.

2008-01-11 02:03:10 Paweł 1096 Sign of “Win32:Small-EEX [Trj]” has been found in “C:\Documents and Settings\Paweł\Pulpit\dysk G1\127\sltchpgf.t” file.

2008-01-11 02:03:28 Paweł 1096 Sign of “Win32:Small-EEX [Trj]” has been found in “C:\Documents and Settings\Paweł\Pulpit\dysk G1\127\gmxjtyhg.t” file.

2008-01-11 02:03:30 Paweł 1096 Sign of “Win32:Small-EEX [Trj]” has been found in “C:\Documents and Settings\Paweł\Pulpit\dysk G1\127\gmxjtira.t” file.

2008-01-11 02:03:32 Paweł 1096 Sign of “Win32:Small-EEX [Trj]” has been found in “C:\Documents and Settings\Paweł\Pulpit\dysk G1\127\dgyrwelp.t” file.

2008-01-11 02:03:42 Paweł 1096 Sign of “Win32:Small-EEX [Trj]” has been found in “C:\Documents and Settings\Paweł\Pulpit\dysk G1\127\Siódemki różne\myvsnhtd.t” file.

2008-01-11 02:03:46 Paweł 1096 Sign of “Win32:Small-EEX [Trj]” has been found in “C:\Documents and Settings\Paweł\Pulpit\dysk G1\127\Siódemki różne\gmxjtird.t” file.

2008-01-19 01:13:02 SYSTEM 964 Sign of “Java:ClassLoader-D [Trj]” has been found in “http://www.argis.com.pl.20c4e99145f0b5cb.dev.aero4.cn/+/java.php\Dex.class” file.

2008-01-19 01:13:04 SYSTEM 964 Sign of “Win32:Agent-NJB [Trj]” has been found in “C:\WINDOWS\System32\DRIVERS\secdrv.sys” file.

2008-01-19 01:13:12 SYSTEM 964 Sign of “Win32:Agent-MEB [Trj]” has been found in “C:\WINDOWS\System32\drivers\runtime.sys” file.

2008-01-19 01:13:18 SYSTEM 964 Sign of “Win32:Agent-KDC [Trj]” has been found in “C:\WINDOWS\System32\DefLib.sys” file.

2008-01-19 01:13:21 SYSTEM 964 Sign of “Win32:Lmir-BK [Trj]” has been found in “C:\WINDOWS\System32\hhupd.exe[uPX]” file.

2008-01-19 01:13:29 SYSTEM 964 Sign of “Win32:Agent-NGJ [Wrm]” has been found in “http://208.66.195.165/40e8000e4457572d41434c483433393334316c000000db66000000007600000002” file.

2008-01-19 01:13:29 SYSTEM 964 Sign of “Win32:Agent-PEB [Trj]” has been found in “C:\WINDOWS\system32\necsort.sys” file.

2008-01-19 01:13:36 SYSTEM 964 Sign of “Win32:Agent-OXW [Trj]” has been found in “C:\Documents and Settings\Paweł\Ustawienia lokalne\Temporary Internet Files\Content.IE5\MPHIVU9O’msntsrv[5].exe’[MEW]” file.

2008-01-19 01:18:26 SYSTEM 964 Sign of “Win32:Agent-OXW [Trj]” has been found in “C:\DOCUME~1\PAWE~1\USTAWI~1\Temp\wud1.tmp[MEW]” file.

2008-01-19 02:05:15 SYSTEM 996 Sign of “Win32:Agent-KDC [Trj]” has been found in “C:\WINDOWS\System32\DefLib.sys” file.

2008-01-19 02:11:56 SYSTEM 996 Sign of “Win32:Trojan-gen {Other}” has been found in “C:\Documents and Settings\NetworkService\Ustawienia lokalne\Temporary Internet Files\Content.IE5\OB9R9SHY\mm27nov[1].exe” file.

2008-01-19 02:12:09 SYSTEM 996 Sign of “Win32:Trojan-gen {Other}” has been found in “C:\WINDOWS\TEMP\801443673.exe” file.

2008-01-19 02:17:48 SYSTEM 1004 Sign of “Win32:Agent-KDC [Trj]” has been found in “C:\WINDOWS\System32\DefLib.sys” file.

2008-01-19 02:21:28 SYSTEM 1004 Sign of “Win32:Inject-EV [Trj]” has been found in “C:\DOCUME~1\PAWE~1\USTAWI~1\Temp\rgiytwrq3.dll” file.

2008-01-19 02:33:32 Paweł 972 Sign of “Win32:Inject-EV [Trj]” has been found in “C:\DOCUME~1\PAWE~1\USTAWI~1\Temp\rgiytwrq3.dll” file.

2008-01-19 02:33:32 Paweł 972 Sign of “Win32:Inject-EV [Trj]” has been found in “C:\DOCUME~1\PAWE~1\USTAWI~1\Temp\rgiytwrq3.dll” file.

2008-01-20 16:13:00 Paweł 972 Sign of “Win32:Inject-EV [Trj]” has been found in “C:\DOCUME~1\PAWE~1\USTAWI~1\Temp\rgiytwrq3.dll” file.

2008-01-20 16:13:00 Paweł 972 Sign of “Win32:Inject-EV [Trj]” has been found in “C:\DOCUME~1\PAWE~1\USTAWI~1\Temp\rgiytwrq3.dll” file.

Avast sam w sobioe nic nie znajduje…

Co ciekawe po jakimś czasie od włączenia sieci zaczyna się istna lawina małych okienek Avast (gada przy tym - “ostrzezenie o wirusie - zainfekowana wiadomosć”

Oto co pokazuje… każde okienko jest takie same ale w środku są inne adresy e-mail:

byt dużo identycznych wiadomości w wyznaczonym czasie

Nadawca: “Cody Hastings”

Odbiorca:

Temat: Re:Zbyt dużo identycznych wiadomości w wyznaczonym czasie

Nadawca: “Ismael Bean”

Odbiorca: ;

Temat: Re:Zbyt dużo identycznych wiadomości w wyznaczonym czasie

Nadawca: “Alexis Wynn”

Odbiorca: ; ;

Temat: Re:Zbyt dużo identycznych wiadomości w wyznaczonym czasie

Nadawca: “Buford Rossi”

Odbiorca: ; ; ;

Temat: Re:Zbyt dużo identycznych wiadomości w wyznaczonym czasie

Nadawca: “Michael Glenn”

Odbiorca: ; ; ; ;

Temat: Re:Zbyt dużo identycznych wiadomości w w

Co to jest! Teraz chwilowo tego nie ma to mogę napisać…

Proszę o pomoc…

Aha skanowałem jeszcze Spydoctorem i pokzła dwa wirusy:

Trojan generic

oraz

Trojan - PWS. Tanspy

oraz żółte mniej szkodliwe Application. Tracking Cookies.

Niby to usuwa, ale zq każdym skanowaniem po restercie kompa znów to znajduje…

OK kończę bo znów zaczyna się lawina okienek.

POMOCY… !!

Jeśli mogę prosić to proszę o pisanie na e-mail: archicar@o2.pl

#2

Podepnij loga z hijackthis’a.

#3

archicar ,

Zapoznaj się z tematem Ważny komunikat dotyczący tytułowania tematów i zmień tytuł na konkretny, mówiący o problemie, z pominięciem rozpaczliwego RATUNKU.

Pobierz HijackThis, Combofix - sporządź logi według opisu i przedstaw na forum, według zasad podanych w

TYM TEMACIE

#4

Użyj ATF-Cleaner - http://www.atribune.org/ccount/click.php?id=1 i oczyść TEMP

Daj log z ComboFix

#5

Log z Hijacka:

Logfile of HijackThis v1.99.1

Scan saved at 23:28:50, on 2008-01-21

Platform: Windows XP Dodatek SP. 1 (WinNT 5.01.2600)

MSIE: Internet Explorer v6.00 SP1 (6.00.2800.1106)

Running processes:

C:\WINDOWS\System32\smss.exe

C:\WINDOWS\system32\csrss.exe

C:\WINDOWS\system32\winlogon.exe

C:\WINDOWS\system32\services.exe

C:\WINDOWS\system32\lsass.exe

C:\WINDOWS\system32\svchost.exe

C:\WINDOWS\System32\svchost.exe

C:\WINDOWS\System32\svchost.exe

C:\WINDOWS\System32\svchost.exe

C:\Program Files\Alwil Software\Avast4\aswUpdSv.exe

C:\Program Files\Alwil Software\Avast4\ashServ.exe

C:\WINDOWS\Explorer.EXE

C:\WINDOWS\system32\spoolsv.exe

C:\WINDOWS\System32\alg.exe

C:\WINDOWS\System32\CTsvcCDA.exe

C:\WINDOWS\System32\CTHELPER.EXE

C:\Program Files\Common Files\Real\Update_OB\realsched.exe

C:\WINDOWS\System32\nvsvc32.exe

C:\PROGRA~1\ALWILS~1\Avast4\ashDisp.exe

C:\Program Files\Spyware Doctor\svcntaux.exe

C:\Program Files\Spyware Doctor\SDTrayApp.exe

C:\Program Files\Google\GoogleToolbarNotifier\GoogleToolbarNotifier.exe

C:\WINDOWS\system32\bak\Launcher.exe

C:\Program Files\Spyware Doctor\swdsvc.exe

C:\WINDOWS\System32\svchost.exe

C:\WINDOWS\System32\MsPMSPSv.exe

C:\Program Files\Alwil Software\Avast4\ashMaiSv.exe

C:\Program Files\Alwil Software\Avast4\ashWebSv.exe

C:\WINDOWS\System32\wuauclt.exe

C:\Program Files\Internet Explorer\iexplore.exe

C:\Program Files\WinRAR\WinRAR.exe

C:\DOCUME~1\PAWE~1\USTAWI~1\Temp\Rar$EX00.344\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Łącza

O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Program Files\Adobe\Acrobat 5.0\Reader\ActiveX\AcroIEHelper.ocx

O2 - BHO: eBay Toolbar Helper - {22D8E815-4A5E-4DFB-845E-AAB64207F5BD} - C:\Program Files\eBay\eBay Toolbar2\eBayTB.dll

O2 - BHO: RealPlayer Download and Record Plugin for Internet Explorer - {3049C3E9-B461-4BC5-8870-4C09146192CA} - C:\Program Files\Real\RealPlayer\rpbrowserrecordplugin.dll

O2 - BHO: Google Toolbar Helper - {AA58ED58-01DD-4d91-8333-CF10577473F7} - c:\program files\google\googletoolbar1.dll

O2 - BHO: Google Toolbar Notifier BHO - {AF69DE43-7D58-4638-B6FA-CE66B5AD205D} - C:\Program Files\Google\GoogleToolbarNotifier\2.0.301.7164\swg.dll

O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINDOWS\System32\msdxm.ocx

O3 - Toolbar: eBay Toolbar - {92085AD4-F48A-450D-BD93-B28CC7DF67CE} - C:\Program Files\eBay\eBay Toolbar2\eBayTB.dll

O3 - Toolbar: &Google - {2318C2B1-4965-11d4-9B18-009027A5CD4F} - c:\program files\google\googletoolbar1.dll

O4 - HKLM…\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\System32\NvCpl.dll,NvStartup

O4 - HKLM…\Run: [nwiz] nwiz.exe /install

O4 - HKLM…\Run: [WINDVDPatch] CTHELPER.EXE

O4 - HKLM…\Run: [Jet Detection] “C:\Program Files\Creative\SBAudigy\PROGRAM\ADGJDet.exe”

O4 - HKLM…\Run: [CTStartup] C:\Program Files\Creative\Splash Screen\CTEaxSpl.EXE /run

O4 - HKLM…\Run: [eBayToolbar] C:\Program Files\eBay\eBay Toolbar2\eBayTBDaemon.exe

O4 - HKLM…\Run: [TkBellExe] “C:\Program Files\Common Files\Real\Update_OB\realsched.exe” -osboot

O4 - HKLM…\Run: [avast!] C:\PROGRA~1\ALWILS~1\Avast4\ashDisp.exe

O4 - HKLM…\Run: [sDTray] “C:\Program Files\Spyware Doctor\SDTrayApp.exe”

O4 - HKCU…\Run: [Gadu-Gadu] “C:\Program Files\Gadu-Gadu\gg.exe” /tray

O4 - HKCU…\Run: [swg] C:\Program Files\Google\GoogleToolbarNotifier\GoogleToolbarNotifier.exe

O4 - Startup: launcher.lnk = C:\WINDOWS\system32\bak\Launcher.exe

O8 - Extra context menu item: &eBay Search - res://C:\Program Files\eBay\eBay Toolbar2\eBayTb.dll/RCSearch.html

O12 - Plugin for .spop: C:\Program Files\Internet Explorer\Plugins\NPDocBox.dll

O16 - DPF: {9A9307A0-7DA4-4DAF-B042-5009F29E09E1} (ActiveScan Installer Class) - http://acs.pandasoftware.com/activescan … asinst.cab

O17 - HKLM\System\CCS\Services\Tcpip…{4F3CD39F-E78A-4019-8882-C82E4476EAF0}: NameServer = 192.168.0.1,212.77.102.200

O23 - Service: avast! iAVS4 Control Service (aswUpdSv) - ALWIL Software - C:\Program Files\Alwil Software\Avast4\aswUpdSv.exe

O23 - Service: avast! Antivirus - ALWIL Software - C:\Program Files\Alwil Software\Avast4\ashServ.exe

O23 - Service: avast! Mail Scanner - Unknown owner - C:\Program Files\Alwil Software\Avast4\ashMaiSv.exe" /service (file missing)

O23 - Service: avast! Web Scanner - Unknown owner - C:\Program Files\Alwil Software\Avast4\ashWebSv.exe" /service (file missing)

O23 - Service: Creative Service for CDROM Access - Creative Technology Ltd - C:\WINDOWS\System32\CTsvcCDA.exe

O23 - Service: Google Updater Service (gusvc) - Google - C:\Program Files\Google\Common\Google Updater\GoogleUpdaterService.exe

O23 - Service: NVIDIA Display Driver Service (NVSvc) - NVIDIA Corporation - C:\WINDOWS\System32\nvsvc32.exe

O23 - Service: PC Tools Auxiliary Service (sdAuxService) - PC Tools - C:\Program Files\Spyware Doctor\svcntaux.exe

O23 - Service: PC Tools Security Service (sdCoreService) - PC Tools - C:\Program Files\Spyware Doctor\swdsvc.exe

Log z Combofixa (robione przed hijackiem bo nie mogłem go wcześniej ściągnać przez tę lawinę okienek)

ComboFix 08-01-20.1 - Paweł 2008-01-21 22:14:15.9 - NTFSx86 MINIMAL

Microsoft Windows XP Professional 5.1.2600.1.1250.1.1045.18.306 [GMT 1:00]

Running from: C:\Documents and Settings\Paweł\Pulpit\SPYWARE Programs\ComboFix.exe

WARNING -THIS MACHINE DOES NOT HAVE THE RECOVERY CONSOLE INSTALLED!!

.

((((((((((((((((((((((((( Files Created from 2007-12-21 to 2008-01-21 )))))))))))))))))))))))))))))))

.

2008-01-20 23:38 . 2007-07-30 19:19 38,232 --a------ C:\WINDOWS\system32\wucltui.dll.mui

2008-01-20 23:38 . 2007-07-30 19:20 30,040 --a------ C:\WINDOWS\system32\wuaucpl.cpl.mui

2008-01-20 23:38 . 2007-07-30 19:20 30,040 --a------ C:\WINDOWS\system32\wuapi.dll.mui

2008-01-20 23:38 . 2007-07-30 19:18 21,336 --a------ C:\WINDOWS\system32\wuaueng.dll.mui

2008-01-20 18:49 . 2008-01-20 18:49

2008-01-20 15:11 . 2000-08-31 08:00 51,200 --a------ C:\WINDOWS\NirCmd.exe

2008-01-19 01:13 . 2008-01-21 22:11 25,984 --a------ C:\WINDOWS\system32\drivers\Kpr25.sys

2008-01-11 01:12 . 2008-01-11 01:12

2008-01-05 14:17 . 2008-01-06 16:30

2008-01-05 13:14 . 2008-01-05 13:14

2008-01-04 20:03 . 2008-01-04 20:03

2008-01-04 20:02 . 2008-01-04 20:03

2008-01-04 18:13 . 2008-01-04 18:13

2007-12-30 02:28 . 2007-12-30 02:28

2007-12-30 01:34 . 2008-01-19 02:16 250 --a------ C:\WINDOWS\gmer.ini

2007-12-30 00:53 . 2001-05-25 06:01 90,112 --a------ C:\WINDOWS\system32\RegDACL.exe

2007-12-30 00:53 . 2007-12-29 20:40 8,940 --a------ C:\clean.bat

2007-12-30 00:53 . 2004-07-22 12:15 4,096 --a------ C:\WINDOWS\system32\reboot.exe

2007-12-30 00:53 . 2007-10-11 08:55 347 --a------ C:\run2.reg

2007-12-29 23:30 . 2008-01-20 21:17 2,248 --a------ C:\WINDOWS\system32\tmp.reg

2007-12-29 18:32 . 2007-12-29 18:32

2007-12-29 16:31 . 2007-12-04 14:04 837,496 --a------ C:\WINDOWS\system32\aswBoot.exe

2007-12-29 16:31 . 2004-01-09 10:13 380,928 --a------ C:\WINDOWS\system32\actskin4.ocx

2007-12-29 16:31 . 2007-12-04 13:54 95,608 --a------ C:\WINDOWS\system32\AvastSS.scr

2007-12-29 16:31 . 2007-12-04 15:55 94,544 --a------ C:\WINDOWS\system32\drivers\aswmon2.sys

2007-12-29 16:31 . 2007-12-04 15:56 93,264 --a------ C:\WINDOWS\system32\drivers\aswmon.sys

2007-12-29 16:31 . 2007-12-04 15:51 42,912 --a------ C:\WINDOWS\system32\drivers\aswTdi.sys

2007-12-29 16:31 . 2007-12-04 15:49 26,624 --a------ C:\WINDOWS\system32\drivers\aavmker4.sys

2007-12-29 16:31 . 2007-12-04 15:53 23,152 --a------ C:\WINDOWS\system32\drivers\aswRdr.sys

2007-12-28 23:54 . 2007-12-28 23:54

2007-12-28 23:54 . 2007-10-18 00:16 79,688 --a------ C:\WINDOWS\system32\drivers\iksyssec.sys

2007-12-28 23:54 . 2007-10-18 00:15 62,280 --a------ C:\WINDOWS\system32\drivers\iksysflt.sys

2007-12-28 23:54 . 2007-10-18 00:14 41,288 --a------ C:\WINDOWS\system32\drivers\ikfilesec.sys

2007-12-28 23:54 . 2007-10-18 00:16 29,000 --a------ C:\WINDOWS\system32\drivers\kcom.sys

2007-12-28 12:57 . 2007-06-05 10:56 44,928 --a------ C:\WINDOWS\system32\drivers\SDTHOOK.SYS

2007-12-28 12:41 . 2007-12-29 17:59

2007-12-28 12:41 . 2007-12-28 12:41 30,590 --a------ C:\WINDOWS\system32\pavas.ico

.

(((((((((((((((((((((((((((((((((((((((( Find3M Report ))))))))))))))))))))))))))))))))))))))))))))))))))))

.

2008-01-21 21:13 --------- d—a-w C:\Documents and Settings\All Users\Dane aplikacji\TEMP

2008-01-21 20:45 --------- d-----w C:\Documents and Settings\Paweł\Dane aplikacji\WholeSecurity

2008-01-21 15:18 --------- d-----w C:\Program Files\Spyware Doctor

2008-01-20 18:04 --------- d-----w C:\Program Files\Play

2008-01-20 17:49 --------- d-----w C:\Documents and Settings\Paweł\Dane aplikacji\Lavasoft

2008-01-19 00:13 12,800 ----a-w C:\WINDOWS\system32\svchost.exe

2008-01-16 18:41 --------- d-----w C:\Documents and Settings\Marta\Dane aplikacji\WholeSecurity

2008-01-11 18:42 --------- d-----w C:\Documents and Settings\Marta\Dane aplikacji\Lavasoft

2007-12-29 15:31 --------- d-----w C:\Program Files\Alwil Software

2007-12-28 12:43 --------- d-----w C:\Program Files\Google

2007-12-18 20:59 --------- d-----w C:\Program Files\Kaspersky Lab

2007-12-18 20:58 --------- d-----w C:\Documents and Settings\All Users\Dane aplikacji\Kaspersky Lab Setup Files

2007-11-28 18:35 --------- d–h--r C:\Documents and Settings\Marta\Dane aplikacji\Chromeflower

2007-11-28 18:34 --------- d–h--r C:\Documents and Settings\Marta\Dane aplikacji\CrystalSpace

2007-11-28 18:34 --------- d-----w C:\Program Files\ICE-land

.

((((((((((((((((((((((((((((( snapshot@2008-01-20_15.14.05,04 )))))))))))))))))))))))))))))))))))))))))

.

  • 2008-01-19 01:29:04 4,952,064 ----a-w C:\WINDOWS\ERUNT\SDFIX\Users\00000001\NTUSER.DAT
  • 2008-01-20 15:00:56 4,952,064 ----a-w C:\WINDOWS\ERUNT\SDFIX\Users\00000001\NTUSER.DAT
  • 2008-01-19 01:29:04 278,528 ----a-w C:\WINDOWS\ERUNT\SDFIX\Users\00000002\UsrClass.dat
  • 2008-01-20 15:00:56 278,528 ----a-w C:\WINDOWS\ERUNT\SDFIX\Users\00000002\UsrClass.dat
  • 2005-05-26 03:16:24 75,544 ----a-w C:\WINDOWS\system32\cdm.dll
  • 2007-07-30 18:19:20 92,504 ----a-w C:\WINDOWS\system32\cdm.dll
  • 2007-12-30 01:27:32 32,768 ----a-w C:\WINDOWS\system32\config\systemprofile\Cookies\index.dat
  • 2008-01-21 21:13:24 32,768 ----a-w C:\WINDOWS\system32\config\systemprofile\Cookies\index.dat
  • 2008-01-20 14:11:32 262,144 ----a-w C:\WINDOWS\system32\config\systemprofile\NtUser.dat
  • 2008-01-21 21:14:13 262,144 ----a-w C:\WINDOWS\system32\config\systemprofile\NtUser.dat
  • 2007-12-30 01:27:32 32,768 ----a-w C:\WINDOWS\system32\config\systemprofile\Ustawienia lokalne\Historia\History.IE5\index.dat
  • 2008-01-21 21:13:24 32,768 ----a-w C:\WINDOWS\system32\config\systemprofile\Ustawienia lokalne\Historia\History.IE5\index.dat
  • 2007-12-30 01:27:32 49,152 ----a-w C:\WINDOWS\system32\config\systemprofile\Ustawienia lokalne\Temporary Internet Files\Content.IE5\index.dat
  • 2008-01-21 21:13:24 32,768 ----a-w C:\WINDOWS\system32\config\systemprofile\Ustawienia lokalne\Temporary Internet Files\Content.IE5\index.dat
  • 2005-05-26 03:16:24 75,544 -c–a-w C:\WINDOWS\system32\dllcache\cdm.dll
  • 2007-07-30 18:19:20 92,504 -c–a-w C:\WINDOWS\system32\dllcache\cdm.dll
  • 2005-05-26 03:16:34 125,208 -c–a-w C:\WINDOWS\system32\dllcache\wuauclt.exe
  • 2007-07-30 18:19:16 53,080 -c–a-w C:\WINDOWS\system32\dllcache\wuauclt.exe
  • 2005-05-26 03:16:30 1,343,768 -c–a-w C:\WINDOWS\system32\dllcache\wuaueng.dll

  • 2007-07-30 18:19:42 1,712,984 -c–a-w C:\WINDOWS\system32\dllcache\wuaueng.dll

  • 2007-07-30 18:18:40 33,624 ----a-w C:\WINDOWS\system32\SoftwareDistribution\Setup\ServiceStartup\wups.dll\7.0.6000.381\wups.dll

  • 2007-07-30 18:19:12 43,352 ----a-w C:\WINDOWS\system32\SoftwareDistribution\Setup\ServiceStartup\wups2.dll\7.0.6000.381\wups2.dll

  • 2005-11-25 15:48:28 40,960 ----a-w C:\WINDOWS\system32\swsc.exe
  • 2000-08-31 07:00:00 136,704 ----a-w C:\WINDOWS\system32\swsc.exe
  • 2005-05-26 03:16:34 466,200 ----a-w C:\WINDOWS\system32\wuapi.dll
  • 2007-07-30 18:19:36 549,720 ----a-w C:\WINDOWS\system32\wuapi.dll
  • 2005-05-26 03:16:34 125,208 ----a-w C:\WINDOWS\system32\wuauclt.exe
  • 2007-07-30 18:19:16 53,080 ----a-w C:\WINDOWS\system32\wuauclt.exe
  • 2005-05-26 03:16:30 1,343,768 ----a-w C:\WINDOWS\system32\wuaueng.dll
  • 2007-07-30 18:19:42 1,712,984 ----a-w C:\WINDOWS\system32\wuaueng.dll
  • 2005-05-26 03:16:34 128,280 ----a-w C:\WINDOWS\system32\wucltui.dll
  • 2007-07-30 18:19:32 325,976 ----a-w C:\WINDOWS\system32\wucltui.dll
  • 2005-05-26 03:16:30 41,240 ----a-w C:\WINDOWS\system32\wups.dll
  • 2007-07-30 18:18:40 33,624 ----a-w C:\WINDOWS\system32\wups.dll
  • 2005-05-26 03:16:30 18,200 ----a-w C:\WINDOWS\system32\wups2.dll
  • 2007-07-30 18:19:12 43,352 ----a-w C:\WINDOWS\system32\wups2.dll
  • 2005-05-26 03:16:30 173,536 ----a-w C:\WINDOWS\system32\wuweb.dll
  • 2007-07-30 18:19:28 203,096 ----a-w C:\WINDOWS\system32\wuweb.dll

.

– Snapshot reset to current date –

.

((((((((((((((((((((((((((((((((((((((((((((( AWF ))))))))))))))))))))))))))))))))))))))))))))))))))))))))))

.

----a-w 28,672 2001-11-29 00:00:00 C:\Program Files\Creative\SBAudigy\Program\bak\ADGJDet.exe

----a-w 28,672 2001-12-20 00:00:00 C:\Program Files\Creative\Splash Screen\bak\CTEaxSpl.EXE

----a-w 521,720 2007-02-21 09:36:52 C:\Program Files\eBay\eBay Toolbar2\bak\eBayTBDaemon.exe

----a-w 1,716,224 2007-01-16 08:41:24 C:\Program Files\Gadu-Gadu\bak\gg.exe

----a-w 1,716,224 2007-01-30 14:58:28 C:\Program Files\Gadu-Gadu\gg.exe

----a-w 90,112 2000-05-11 00:00:00 C:\WINDOWS\bak\UpdReg.EXE

----a-w 40,448 1998-09-24 15:07:08 C:\WINDOWS\system32\bak\launcher.dll

----a-w 40,448 1998-09-24 15:07:08 C:\WINDOWS\system32\launcher.dll

----a-w 184,320 1998-10-23 15:51:42 C:\WINDOWS\system32\bak\Launcher.exe

----a-w 155,648 2001-07-09 10:50:42 C:\WINDOWS\system32\bak\NeroCheck.exe

.

((((((((((((((((((((((((((((((((((((( Reg Loading Points ))))))))))))))))))))))))))))))))))))))))))))))))))

.

.

*Note* empty entries legit default entries are not shown

REGEDIT4

[HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]

“Gadu-Gadu”=“C:\Program Files\Gadu-Gadu\gg.exe” [2007-01-30 15:58 1716224]

“swg”=“C:\Program Files\Google\GoogleToolbarNotifier\GoogleToolbarNotifier.exe” [2007-08-02 09:52 68856]

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]

“NvCplDaemon”=“C:\WINDOWS\System32\NvCpl.dll” [2003-10-06 14:16 5058560]

“nwiz”=“nwiz.exe” [2003-10-06 14:16 741376 C:\WINDOWS\system32\nwiz.exe]

“WINDVDPatch”=“CTHELPER.EXE” [2002-07-02 10:56 24576 C:\WINDOWS\system32\CTHELPER.EXE]

“Jet Detection”=“C:\Program Files\Creative\SBAudigy\PROGRAM\ADGJDet.exe” []

“CTStartup”=“C:\Program Files\Creative\Splash Screen\CTEaxSpl.exe” []

“eBayToolbar”=“C:\Program Files\eBay\eBay Toolbar2\eBayTBDaemon.exe” []

“TkBellExe”=“C:\Program Files\Common Files\Real\Update_OB\realsched.exe” [2007-10-24 13:51 185632]

“avast!”=“C:\PROGRA~1\ALWILS~1\Avast4\ashDisp.exe” [2007-12-04 14:00 79224]

“SDTray”=“C:\Program Files\Spyware Doctor\SDTrayApp.exe” [2007-11-02 17:24 1065800]

[HKEY_USERS.DEFAULT\Software\Microsoft\Windows\CurrentVersion\Run]

“CTFMON.EXE”=“C:\WINDOWS\System32\CTFMON.EXE” [2002-09-20 18:05 13312]

C:\Documents and Settings\Marta\Menu Start\Programy\Autostart\

launcher.lnk - C:\WINDOWS\system32\bak\Launcher.exe [2007-02-09 01:42:50 184320]

C:\Documents and Settings\Pawe\Menu Start\Programy\Autostart\

launcher.lnk - C:\WINDOWS\system32\bak\Launcher.exe [2007-02-09 01:42:50 184320]

[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SafeBoot\Minimal\Kpr25.sys]

@=“Driver”

R0 Kpr25;Kpr25;C:\WINDOWS\System32\Drivers\Kpr25.sys [2008-01-21 22:11]

S3 SetupNTGLM7X;SetupNTGLM7X;F:\NTGLM7X.sys []

S3 usbscan;Sterownik skanera USB;C:\WINDOWS\System32\DRIVERS\usbscan.sys [2002-08-29 01:48]

S3 USBSTOR;Sterownik magazynu masowego USB;C:\WINDOWS\System32\DRIVERS\USBSTOR.SYS [2002-08-29 01:32]

.

**************************************************************************

catchme 0.3.1344 W2K/XP/Vista - rootkit/stealth malware detector by Gmer, http://www.gmer.net

Rootkit scan 2008-01-21 22:16:06

Windows 5.1.2600 Dodatek Service Pack. 1 NTFS

scanning hidden processes …

scanning hidden autostart entries …

HKLM\Software\Microsoft\Windows\CurrentVersion\Run

CTStartup = C:\Program Files\Creative\Splash Screen\CTEaxSpl.EXE /run???p???w^?s???wH ?w???w*??w4???U??w4???D8?s4???97???H?s???3:?w???T?w?U?w???x?`???C@???s???s???x97?d??sx97??C@?x???sx???;?w???@

scanning hidden files …

scan completed successfully

hidden files: 0

**************************************************************************

.

Completion time: 2008-01-21 22:17:12

ComboFix-quarantined-files.txt 2008-01-21 21:16:58

ComboFix2.txt 2008-01-20 20:22:00

ComboFix3.txt 2008-01-20 15:17:31

ComboFix4.txt 2008-01-20 14:14:53

ComboFix5.txt 2007-12-30 01:57:37

.

2008-01-20 22:47:51 — E O F —

Log z HaxFixa (też wcześniej)

HAXFIX logfile - by Marckie

version 4.63.1

2008-01-21 22:20:28,87

— Checking for Haxdoor —

checking for a3d files

a3d files not found

checking for matching notify keys

no matching notify keys found

checking for matching services

no matching services found

checking for matching safeboot services

no matching safeboot services found

checking for other Haxdoor-files

no other Haxdoor-files found

— Checking for Goldun —

checking for SSODL keys

no ssodl keys found

checking for notify keys

no notify keys found

checking for services

no services found

checking for other Goldun-files

no other Goldun-files found

checking iexplore.exe

iexplore.exe is not infected

— Catchme logfile - thank you Gmer —

catchme 0.3.1262.1 W2K/XP/Vista - rootkit/stealth malware detector by Gmer, http://www.gmer.net

Rootkit scan 2008-01-21 22:20:28

Windows 5.1.2600 Dodatek Service Pack. 1 NTFS

scanning hidden processes …

scanning hidden services system hive …

scanning hidden registry entries …

[HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\MenuOrder\Favorites\A\1\5\1c]

“Order”=hex:08,00,00,00,02,00,00,00,b8,01,00,00,01,00,00,00,04,00,00,00,8c,…

scanning hidden files …

scan completed successfully

hidden processes: 0

hidden services: 0

hidden files: 0

— Analysing Catchme logfile —

no matching regkeys found

Finished!

Na dodatek AdAwareSE pokazał wirusa typu backdoor agent.

No i co z tego wszystkiego wynika…?

Cieakwe że jak wstrzymałem ochrone dostępową Avasta to lawina okienek ustała, jednak strasznie muliło sieć.

Teraz po skanowaniu AdAwareSe i HAxem i Combo i ostatnio Hijackthisem narazienic sie nie dzieje… ale komp jest zmulony. Pewnei wkrótce ta lawina okienek znów się pojawi tak jak to bywało wcześniej.

PS Moderator powiedział że źle zrobiłem tytuł. Sorki, nie chciałem mieszac… Ale jak mam to naprawić…? Jak zmienic ten tytuł.

Panowie… pomocy…

#6

Po 3 godzinach lawina okienek ponownie sie pokazała… Musiałem rozłączyć sieć. Chwila spokoju… pewnie zaraz znów poleci… Co to za syf jest…?

#7

Po uzyciu ATF cleaner (które trwało jakby ułamek sekundy - tak ma być…?) podaje log z Combofixa:

ComboFix 08-01-20.1 - Paweł 2008-01-22 10:04:00.10 - NTFSx86

Microsoft Windows XP Professional 5.1.2600.1.1250.1.1045.18.256 [GMT 1:00]

Running from: C:\Documents and Settings\Paweł\Pulpit\SPYWARE Programs\ComboFix.exe

WARNING -THIS MACHINE DOES NOT HAVE THE RECOVERY CONSOLE INSTALLED!!

.

((((((((((((((((((((((((( Files Created from 2007-12-22 to 2008-01-22 )))))))))))))))))))))))))))))))

.

2008-01-21 22:20 . 2005-01-13 20:41 53,248 --a------ C:\WINDOWS\system32\process.exe

2008-01-20 23:38 . 2007-07-30 19:19 38,232 --a------ C:\WINDOWS\system32\wucltui.dll.mui

2008-01-20 23:38 . 2007-07-30 19:20 30,040 --a------ C:\WINDOWS\system32\wuaucpl.cpl.mui

2008-01-20 23:38 . 2007-07-30 19:20 30,040 --a------ C:\WINDOWS\system32\wuapi.dll.mui

2008-01-20 23:38 . 2007-07-30 19:18 21,336 --a------ C:\WINDOWS\system32\wuaueng.dll.mui

2008-01-20 18:49 . 2008-01-20 18:49

2008-01-20 15:11 . 2000-08-31 08:00 51,200 --a------ C:\WINDOWS\NirCmd.exe

2008-01-19 01:13 . 2008-01-22 01:42 25,984 --a------ C:\WINDOWS\system32\drivers\Kpr25.sys

2008-01-11 01:12 . 2008-01-11 01:12

2008-01-05 14:17 . 2008-01-06 16:30

2008-01-05 13:14 . 2008-01-05 13:14

2008-01-04 20:03 . 2008-01-04 20:03

2008-01-04 20:02 . 2008-01-04 20:03

2008-01-04 18:13 . 2008-01-04 18:13

2007-12-30 02:28 . 2007-12-30 02:28

2007-12-30 01:34 . 2008-01-19 02:16 250 --a------ C:\WINDOWS\gmer.ini

2007-12-30 00:53 . 2001-05-25 06:01 90,112 --a------ C:\WINDOWS\system32\RegDACL.exe

2007-12-30 00:53 . 2007-12-29 20:40 8,940 --a------ C:\clean.bat

2007-12-30 00:53 . 2004-07-22 12:15 4,096 --a------ C:\WINDOWS\system32\reboot.exe

2007-12-30 00:53 . 2007-10-11 08:55 347 --a------ C:\run2.reg

2007-12-29 23:30 . 2008-01-20 21:17 2,248 --a------ C:\WINDOWS\system32\tmp.reg

2007-12-29 18:32 . 2007-12-29 18:32

2007-12-29 16:31 . 2007-12-04 14:04 837,496 --a------ C:\WINDOWS\system32\aswBoot.exe

2007-12-29 16:31 . 2004-01-09 10:13 380,928 --a------ C:\WINDOWS\system32\actskin4.ocx

2007-12-29 16:31 . 2007-12-04 13:54 95,608 --a------ C:\WINDOWS\system32\AvastSS.scr

2007-12-29 16:31 . 2007-12-04 15:55 94,544 --a------ C:\WINDOWS\system32\drivers\aswmon2.sys

2007-12-29 16:31 . 2007-12-04 15:56 93,264 --a------ C:\WINDOWS\system32\drivers\aswmon.sys

2007-12-29 16:31 . 2007-12-04 15:51 42,912 --a------ C:\WINDOWS\system32\drivers\aswTdi.sys

2007-12-29 16:31 . 2007-12-04 15:49 26,624 --a------ C:\WINDOWS\system32\drivers\aavmker4.sys

2007-12-29 16:31 . 2007-12-04 15:53 23,152 --a------ C:\WINDOWS\system32\drivers\aswRdr.sys

2007-12-28 23:54 . 2007-12-28 23:54

2007-12-28 23:54 . 2007-10-18 00:16 79,688 --a------ C:\WINDOWS\system32\drivers\iksyssec.sys

2007-12-28 23:54 . 2007-10-18 00:15 62,280 --a------ C:\WINDOWS\system32\drivers\iksysflt.sys

2007-12-28 23:54 . 2007-10-18 00:14 41,288 --a------ C:\WINDOWS\system32\drivers\ikfilesec.sys

2007-12-28 23:54 . 2007-10-18 00:16 29,000 --a------ C:\WINDOWS\system32\drivers\kcom.sys

2007-12-28 12:57 . 2007-06-05 10:56 44,928 --a------ C:\WINDOWS\system32\drivers\SDTHOOK.SYS

2007-12-28 12:41 . 2007-12-29 17:59

2007-12-28 12:41 . 2007-12-28 12:41 30,590 --a------ C:\WINDOWS\system32\pavas.ico

.

(((((((((((((((((((((((((((((((((((((((( Find3M Report ))))))))))))))))))))))))))))))))))))))))))))))))))))

.

2008-01-22 09:02 --------- d-----w C:\Documents and Settings\Paweł\Dane aplikacji\WholeSecurity

2008-01-22 08:58 --------- d—a-w C:\Documents and Settings\All Users\Dane aplikacji\TEMP

2008-01-21 22:47 --------- d-----w C:\Program Files\Spyware Doctor

2008-01-20 18:04 --------- d-----w C:\Program Files\Play

2008-01-20 17:49 --------- d-----w C:\Documents and Settings\Paweł\Dane aplikacji\Lavasoft

2008-01-19 00:13 12,800 ----a-w C:\WINDOWS\system32\svchost.exe

2008-01-16 18:41 --------- d-----w C:\Documents and Settings\Marta\Dane aplikacji\WholeSecurity

2008-01-11 18:42 --------- d-----w C:\Documents and Settings\Marta\Dane aplikacji\Lavasoft

2007-12-29 15:31 --------- d-----w C:\Program Files\Alwil Software

2007-12-28 12:43 --------- d-----w C:\Program Files\Google

2007-12-18 20:59 --------- d-----w C:\Program Files\Kaspersky Lab

2007-12-18 20:58 --------- d-----w C:\Documents and Settings\All Users\Dane aplikacji\Kaspersky Lab Setup Files

2007-11-28 18:35 --------- d–h--r C:\Documents and Settings\Marta\Dane aplikacji\Chromeflower

2007-11-28 18:34 --------- d–h--r C:\Documents and Settings\Marta\Dane aplikacji\CrystalSpace

2007-11-28 18:34 --------- d-----w C:\Program Files\ICE-land

.

((((((((((((((((((((((((((((( snapshot_2008-01-21_22.16.15,35 )))))))))))))))))))))))))))))))))))))))))

.

  • 2008-01-21 21:13:24 32,768 ----a-w C:\WINDOWS\system32\config\systemprofile\Cookies\index.dat
  • 2008-01-21 21:44:59 32,768 ----a-w C:\WINDOWS\system32\config\systemprofile\Cookies\index.dat
  • 2008-01-21 21:14:13 262,144 ----a-w C:\WINDOWS\system32\config\systemprofile\NtUser.dat
  • 2008-01-22 09:03:54 262,144 ----a-w C:\WINDOWS\system32\config\systemprofile\NtUser.dat
  • 2008-01-21 21:13:24 32,768 ----a-w C:\WINDOWS\system32\config\systemprofile\Ustawienia lokalne\Historia\History.IE5\index.dat
  • 2008-01-21 21:44:59 32,768 ----a-w C:\WINDOWS\system32\config\systemprofile\Ustawienia lokalne\Historia\History.IE5\index.dat
  • 2008-01-21 21:13:24 32,768 ----a-w C:\WINDOWS\system32\config\systemprofile\Ustawienia lokalne\Temporary Internet Files\Content.IE5\index.dat

  • 2008-01-21 21:44:59 32,768 ----a-w C:\WINDOWS\system32\config\systemprofile\Ustawienia lokalne\Temporary Internet Files\Content.IE5\index.dat

  • 2008-01-22 08:57:52 16,384 ----atw C:\WINDOWS\TEMP\Perflib_Perfdata_3cc.dat

.

((((((((((((((((((((((((((((((((((((((((((((( AWF ))))))))))))))))))))))))))))))))))))))))))))))))))))))))))

.

----a-w 28,672 2001-11-29 00:00:00 C:\Program Files\Creative\SBAudigy\Program\bak\ADGJDet.exe

----a-w 28,672 2001-12-20 00:00:00 C:\Program Files\Creative\Splash Screen\bak\CTEaxSpl.EXE

----a-w 521,720 2007-02-21 09:36:52 C:\Program Files\eBay\eBay Toolbar2\bak\eBayTBDaemon.exe

----a-w 1,716,224 2007-01-16 08:41:24 C:\Program Files\Gadu-Gadu\bak\gg.exe

----a-w 1,716,224 2007-01-30 14:58:28 C:\Program Files\Gadu-Gadu\gg.exe

----a-w 90,112 2000-05-11 00:00:00 C:\WINDOWS\bak\UpdReg.EXE

----a-w 40,448 1998-09-24 15:07:08 C:\WINDOWS\system32\bak\launcher.dll

----a-w 40,448 1998-09-24 15:07:08 C:\WINDOWS\system32\launcher.dll

----a-w 184,320 1998-10-23 15:51:42 C:\WINDOWS\system32\bak\Launcher.exe

----a-w 155,648 2001-07-09 10:50:42 C:\WINDOWS\system32\bak\NeroCheck.exe

.

((((((((((((((((((((((((((((((((((((( Reg Loading Points ))))))))))))))))))))))))))))))))))))))))))))))))))

.

.

*Note* empty entries legit default entries are not shown

REGEDIT4

[HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]

“Gadu-Gadu”=“C:\Program Files\Gadu-Gadu\gg.exe” [2007-01-30 15:58 1716224]

“swg”=“C:\Program Files\Google\GoogleToolbarNotifier\GoogleToolbarNotifier.exe” [2007-08-02 09:52 68856]

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]

“NvCplDaemon”=“C:\WINDOWS\System32\NvCpl.dll” [2003-10-06 14:16 5058560]

“nwiz”=“nwiz.exe” [2003-10-06 14:16 741376 C:\WINDOWS\system32\nwiz.exe]

“WINDVDPatch”=“CTHELPER.EXE” [2002-07-02 10:56 24576 C:\WINDOWS\system32\CTHELPER.EXE]

“Jet Detection”=“C:\Program Files\Creative\SBAudigy\PROGRAM\ADGJDet.exe” []

“CTStartup”=“C:\Program Files\Creative\Splash Screen\CTEaxSpl.exe” []

“eBayToolbar”=“C:\Program Files\eBay\eBay Toolbar2\eBayTBDaemon.exe” []

“TkBellExe”=“C:\Program Files\Common Files\Real\Update_OB\realsched.exe” [2007-10-24 13:51 185632]

“avast!”=“C:\PROGRA~1\ALWILS~1\Avast4\ashDisp.exe” [2007-12-04 14:00 79224]

“SDTray”=“C:\Program Files\Spyware Doctor\SDTrayApp.exe” [2007-11-02 17:24 1065800]

[HKEY_USERS.DEFAULT\Software\Microsoft\Windows\CurrentVersion\Run]

“CTFMON.EXE”=“C:\WINDOWS\System32\CTFMON.EXE” [2002-09-20 18:05 13312]

C:\Documents and Settings\Marta\Menu Start\Programy\Autostart\

launcher.lnk - C:\WINDOWS\system32\bak\Launcher.exe [2007-02-09 01:42:50 184320]

C:\Documents and Settings\Pawe\Menu Start\Programy\Autostart\

launcher.lnk - C:\WINDOWS\system32\bak\Launcher.exe [2007-02-09 01:42:50 184320]

[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SafeBoot\Minimal\Kpr25.sys]

@=“Driver”

R0 Kpr25;Kpr25;C:\WINDOWS\System32\Drivers\Kpr25.sys [2008-01-22 01:42]

S3 SetupNTGLM7X;SetupNTGLM7X;F:\NTGLM7X.sys []

S3 usbscan;Sterownik skanera USB;C:\WINDOWS\System32\DRIVERS\usbscan.sys [2002-08-29 01:48]

S3 USBSTOR;Sterownik magazynu masowego USB;C:\WINDOWS\System32\DRIVERS\USBSTOR.SYS [2002-08-29 01:32]

.

**************************************************************************

catchme 0.3.1344 W2K/XP/Vista - rootkit/stealth malware detector by Gmer, http://www.gmer.net

Rootkit scan 2008-01-22 10:05:49

Windows 5.1.2600 Dodatek Service Pack. 1 NTFS

scanning hidden processes …

scanning hidden autostart entries …

HKLM\Software\Microsoft\Windows\CurrentVersion\Run

CTStartup = C:\Program Files\Creative\Splash Screen\CTEaxSpl.EXE /run???p???w^?s???wH ?w???w*??w4???U??w4???D8?s4???97???H?s???3:?w???T?w?U?w???x?`???C@???s???s???x97?d??sx97??C@?x???sx???;?w???@

scanning hidden files …

scan completed successfully

hidden files: 0

**************************************************************************

.

Completion time: 2008-01-22 10:06:52

ComboFix-quarantined-files.txt 2008-01-22 09:06:48

ComboFix2.txt 2008-01-21 21:17:12

ComboFix3.txt 2008-01-20 20:22:00

ComboFix4.txt 2008-01-20 15:17:31

ComboFix5.txt 2008-01-20 14:14:53

.

2008-01-20 22:47:51 — E O F —

Narazie lawiny okienek nie ma ale… czekam…

#8

Lawina oienek jest znów

#9

W logu świeżutka modyfikacja pliku svchost.exe

2008-01-19 00:13 12,800 ----a-w C:\WINDOWS\system32\svchost.exe

Przeskanuj na VirusTotal pliki:

C:\WINDOWS\system32\svchost.exe

C:\WINDOWS\system32\drivers\Kpr25.sys

Przejdź do foldeu C:\WINDOWS\system32\dllcache (ukryty folder systemowy) wyszukaj w nim plik svchost.exe i sprawdź datę jego utworzenia. Sekcja AWF ComboFix pokazuje, że wiele programów zawiera podfolder bak z kopią exeka głównego aplikacji np:

----a-w 1,716,224 2007-01-16 08:41:24 C:\Program Files\Gadu-Gadu\bak\gg.exe

----a-w 1,716,224 2007-01-30 14:58:28 C:\Program Files\Gadu-Gadu\gg.exe

Te pliki exe są zainfekowane - w bak są oryginały, a uruchamiane są zainfekowane pliki

Pobierz FindAWF - wybierasz opcję 1 (Scan for bak folders).

Powstały Log podajesz w\g tych zasad i dołączasz wyniki skanowania plików.

#10

Nie umiem tego obsługiwać… Proszędl amnie zrobić wyjątek z tym wklejaniem logów. Dla mnie to i tak jest niezły czad i czarna magia. Nie mogę inaczej teraz bo po kilku minutach od włączenia sieci atakuje mnie lawina okienek avasta i nie mam jak niczego robiś bo te okienka mają priorytet. Znów jak odlączę avast to muli jak diabli i nic nie da rady wkleić.

Proszę o zezwolenia na wklejenie loga w dawnej postaci.

#11

Na czas łączenia się z internetem, spróbuj uruchomić komputer w trybie awaryjnym z obsługą sieci.

#12

Nie umiem tych wklejek robić… nie jarzę tego…

#13

Zastosuj się do tego Tematu i zmień tytuł tematu na konkretny inaczej KOSZ

Pozdrawiam Gutek2222

Zmiana zasad wklejania logów na forum - viewtopic.php?f=16&t=213350

Masz Wyślij plik i obok wybierz szukasz C:\WINDOWS\system32\drivers\Kpr25.sys i klikasz prześlij plik , czekasz na wynik

#14

OK czy tak może być…? Czy w pozostałych odpowiedziach też mam przemienić tytuły…?

#15

Czy zrobiłeś to o co prosił Barnaba?

#16

Nie mam w momputerze pliku dllcache. Ni diabła nie mogę tego znaleźć alni ręcznie ani za pomocą (znajdź plik). Poza tym teraz jest tak:

Rano odinstalowałem wszystkie programy antywirusowe jakie tylko miałem w kompie. Wszyściuteńko do zera. Potem ściagnąłem na nowo Avasta. Zainstalowałem z opcją “skanuj przy uruchamianiu systemu”. Kompa wyłączyłem, włączyłem i Avast sam wszystko przeskanował. Nie znalazł NIC. Log czysty. Potem na wszelki wypadej sprawdziłęm jeszcze spydoctorem i teżnie ma nic. Następnie użyłem FindAWF ( itu powiniennem wkleic loga zniego ale nie można co mnie strasznie złości! - bez sensu! - wygodnie było tak i wszystko było na miejscu a tak to teraz qpa). Nie wiem jak to wklejać i gdzie i do kogo to trafi.

Enyłej, komputer jużnie muli. Lawiny okienek ustały całkowicie, tzn nei pojawiają się na ekranie. Jednak, mam wrażenie, że coś tam jeszcze siedzi bo na pasku zadań (tam gdzie jest zegarek) pojawia się po włączeniu kompa ikonka “Avast sakner poczty” i jak sieją podświetli to w nawiasie są własnie takie jakiesdziwne adresy e-mail z niemiec austrii itd… Odkryłem też że klikając AltCtrl Del pojawia się okno Menedżer adań Windows i w zakładce “Procesy” jest lista aktualnie (chyba) używanych programów. Tam, wśród innych był iexplore.exe Pawel oraz iexplore.exe SYSTEM > któremu to wariowało użycie procesora. Podświetliłem go i kilknąłem “zakończ proces”. Zgasło i tym samym znikneła ikonka “Avast skaner poczty”. Po wyłączeniu tego procesu komputer wyraźnie przyspieszył, strony otwierają się natychmiast (wcześniej z małym opóźnieniem). Nie wiem czy to ma coś współnego z wirysem i z tym co pisaliście wcześniej.

Pewien kolega (komputerowiec) powiedział mi, że jak się ma w kompie za dużo różnych programów antywirusowych to sie może tak pokiełbasic że mogło stwarzać wrażenie wirusa… Miało to sens…?

#17

Dziś rano odpaliłem komputer. Lawina okienek znów siepojawiła ale teraz jestem na 100% peweien że odpowiedzialny za nią jest iexplore.exe SYSTEM, który nie wiadomo skąd siępojawia. Wyłączyłem go w okienku Menedżer Zadań Windows ręcznie i problem znów znikł. Na jak długo…? Nie wiem. Pewnie do następnego odpalenia. AVAST nic nie pokazuje. Komputer niby czysty. Co to jest…???

#18

Log z FindAWF:

http://wklej.org/id/587791962c

Co to mówi…?

#19

A przecież napisałem:

Eksplorator Windows >>> Narzędzia >>> Opcje folderów >>> Widok >>> zaznaczasz “Pokaż ukryte pliki i foldery” oraz odznaczasz “Ukryj chronione pliki systemu operacyjnego” >>> Tak >>> Zastosuj >>> OK

i już będziesz miał na Swoim komputerze folder dllcache.

Miałeś przeskanować pliki:

Gdzie są wyniki?

Uruchamiasz FindAWF.exe i wybierasz opcję 2 (Restore files from bak folders). Otworzy się plik tekstowy, w którym wklejasz to:

"C:\WINDOWS\bak\UpdReg.EXE"

"C:\Program Files\Gadu-Gadu\bak\gg.exe"

"C:\WINDOWS\system32\bak\launcher.dll"

"C:\WINDOWS\system32\bak\Launcher.exe"

"C:\WINDOWS\system32\bak\NeroCheck.exe"

"C:\Program Files\Creative\Splash Screen\bak\CTEaxSpl.EXE"

"C:\Program Files\eBay\eBay Toolbar2\bak\eBayTBDaemon.exe"

"C:\Program Files\Creative\SBAudigy\Program\bak\ADGJDet.exe"

Zatwierdzić wszystko przez YES. Powstanie z tego log, który wklejasz na forum.

Na czas pracy FindAWF.exe wyłącz Avasta.

Dajesz nowy log z comboFix.

#20

OK znalazłem…

svchost.exe w folderze dllcache nie ma nic… data utworzenia 2001.10.26

skan z virustotal:

http://www.virustotal.com/pl/analisis/0 … dcb7d8e78c

Kpr25.sys jest z 19.01.2008 ! Jakiś świeży…

skan z virustotal:

Nie da się wysłać! Klikam wyślij i wywala pustą strone z takim napisem:

“0 bytes size received / Se ha recibido un archivo vacio”

Inne pliki daje sie wysłać… a ten Kpr25 wywala za każdym razem! Czemu…? To oznaka infekcji…??