Ciągle pojawiający sie trojan Win32:TratBHO

przez **guciarek5** » 11 Sty 2008, 23:05

Witam serdecznie. Map problem z trojanem którego nie można usunąć Avastem ponieważ ciągle sie pojawia. Proszę o pomoc Oto log z ComboFix:

Kod: Zaznacz wszystko: ComboFix 08-01-11.1 - agusia 2008-01-11 21:44:30.2 - NTFSx86 Running from: C:\Documents and Settings\agusia\Pulpit\żeczy do wirusa\ComboFix.exe . ((((((((((((((((((((((((( Files Created from 2007-12-11 to 2008-01-11 ))))))))))))))))))))))))))))))) . 2008-01-11 21:25 . 2003-02-28 18:26 139,536 --a------ C:\WINDOWS\system32\javaee.dll 2008-01-11 21:25 . 2003-02-28 18:26 46,352 --a------ C:\WINDOWS\setdebug.exe 2008-01-11 21:25 . 2003-02-28 16:54 7,315 --a------ C:\WINDOWS\system32\javasup.vxd 2008-01-11 21:25 . 2003-02-28 16:35 6,550 --a------ C:\WINDOWS\jautoexp.dat 2008-01-11 21:25 . 2003-02-28 16:38 113 --a------ C:\WINDOWS\system32\zonedon.reg 2008-01-11 21:25 . 2003-02-28 16:38 113 --a------ C:\WINDOWS\system32\zonedoff.reg 2008-01-11 21:24 . 2008-01-11 21:25 <DIR> d-------- C:\WINDOWS\LastGood.Tmp 2008-01-11 21:15 . 2000-08-31 08:00 51,200 --a------ C:\WINDOWS\NirCmd.exe 2008-01-09 19:49 . 2008-01-09 19:49 <DIR> d-------- C:\Half-Life 2 2008-01-08 23:01 . 2007-07-09 14:11 584,192 -----c--- C:\WINDOWS\system32\dllcache\rpcrt4.dll 2008-01-08 21:55 . 2008-01-11 21:25 <DIR> d--h----- C:\WINDOWS\$hf_mig$ 2008-01-08 20:10 . 2008-01-08 20:10 2,560 --a------ C:\WINDOWS\_MSRSTRT.EXE 2008-01-08 17:14 . 2005-09-23 08:29 626,688 --a------ C:\WINDOWS\system32\msvcr80.dll 2008-01-06 19:38 . 2008-01-06 19:38 75,840 --a------ C:\WINDOWS\system32\ojinbwod.dll 2008-01-05 12:20 . 2008-01-05 12:20 <DIR> d-------- C:\Documents and Settings\agusia\Dane aplikacji\Groove Games 2008-01-03 19:04 . 2007-09-24 23:31 69,632 --a------ C:\WINDOWS\system32\javacpl.cpl 2008-01-02 21:06 . 2008-01-02 21:06 128 --a------ C:\Documents and Settings\agusia\services.exe 2007-12-27 12:18 . 2007-12-27 12:18 134 --a------ C:\n.bat 2007-12-26 20:08 . 2007-12-26 20:08 147,456 --a------ C:\WINDOWS\system32\vbzip10.dll 2007-12-26 20:03 . 2008-01-08 20:33 <DIR> d-a------ C:\Documents and Settings\All Users\Dane aplikacji\TEMP 2007-12-17 22:57 . 2008-01-11 16:54 35 --a------ C:\WINDOWS\Ulead32.INI 2007-12-17 22:56 . 2004-08-03 22:58 15,104 --a------ C:\WINDOWS\system32\drivers\usbscan.sys 2007-12-17 22:56 . 2004-08-03 22:58 15,104 --a--c--- C:\WINDOWS\system32\dllcache\usbscan.sys 2007-12-17 22:51 . 2007-12-17 22:51 <DIR> d-------- C:\WINDOWS\system32\Color 2007-12-17 22:51 . 2007-12-17 22:51 <DIR> d-------- C:\Microtek 2007-12-17 22:51 . 2007-12-17 22:51 <DIR> d-------- C:\Kpcms 2007-12-17 22:51 . 2001-06-20 15:32 15,389 --a------ C:\WINDOWS\system32\msmusd5.dll 2007-12-17 22:51 . 1996-07-12 19:31 14,528 --a------ C:\WINDOWS\system32\drivers\ASPI32.SYS 2007-12-17 22:51 . 2001-06-20 15:44 13,962 --a------ C:\WINDOWS\system32\msmusd6.dll 2007-12-17 22:51 . 2001-06-20 15:30 10,909 --a------ C:\WINDOWS\system32\msmusd7.dll 2007-12-16 18:21 . 2004-08-04 00:44 221,184 --a------ C:\WINDOWS\system32\wmpns.dll 2007-12-16 18:00 . 2008-01-10 21:45 69 --a------ C:\WINDOWS\NeroDigital.ini 2007-12-16 15:35 . 2007-12-16 15:35 <DIR> d-------- C:\WINDOWS\Sun 2007-12-16 15:22 . 2008-01-03 19:04 <DIR> d-------- C:\Program Files\Java 2007-12-16 15:20 . 2007-12-16 15:20 <DIR> d-------- C:\Program Files\Common Files\Java 2007-12-16 14:21 . 2007-12-16 14:21 <DIR> d-------- C:\Program Files\Common Files\ABBYY 2007-12-16 14:20 . 2007-12-16 14:24 <DIR> d-------- C:\Program Files\ABBYY FineReader 9.0 2007-12-16 14:18 . 2007-12-07 20:13 4,192,768 --a------ C:\ABBYY FineReader 9.0 Professional Edition.msi 2007-12-16 14:18 . 2002-03-11 10:06 1,822,520 --a------ C:\instmsiw.exe 2007-12-16 14:18 . 2003-04-21 13:09 245,408 --a------ C:\unicows.dll 2007-12-16 14:18 . 2007-12-07 20:13 186,880 --a------ C:\1058.mst 2007-12-16 14:18 . 2007-12-07 20:13 124,416 --a------ C:\1055.mst 2007-12-16 14:18 . 2007-12-07 20:13 121,856 --a------ C:\1062.mst 2007-12-16 14:18 . 2007-12-07 20:13 116,736 --a------ C:\1063.mst 2007-12-16 14:18 . 2007-12-07 20:13 102,912 --a------ C:\1061.mst 2007-12-16 14:18 . 2007-05-31 21:11 252 --a------ C:\setup.ini 2007-12-16 14:12 . 2007-12-16 15:25 <DIR> d-------- C:\WINDOWS\SxsCaPendDel 2007-12-16 12:46 . 2007-12-16 12:46 <DIR> d-------- C:\Documents and Settings\agusia\Dane aplikacji\ABBYY 2007-12-16 12:35 . 2007-12-27 00:28 <DIR> d-------- C:\Documents and Settings\All Users\Dane aplikacji\ABBYY 2007-12-14 22:58 . 2007-12-14 22:58 0 --a------ C:\WINDOWS\nsreg.dat 2007-12-14 22:57 . 2007-12-15 11:57 2,821 --a------ C:\WINDOWS\mozver.dat 2007-12-14 22:38 . 2007-12-14 22:38 <DIR> d-------- C:\Program Files\plugins 2007-12-14 22:37 . 2007-12-14 22:37 <DIR> d-------- C:\Program Files\Nowy folder 2007-12-14 22:00 . 2007-12-16 14:13 <DIR> d-------- C:\Program Files\Common Files\Adobe 2007-12-14 21:58 . 2008-01-04 21:35 <DIR> d-------- C:\Documents and Settings\agusia\Dane aplikacji\Ahead 2007-12-14 21:51 . 2007-12-14 21:54 <DIR> d-------- C:\Program Files\Common Files\Ahead 2007-12-14 21:51 . 2007-12-14 21:51 <DIR> d-------- C:\Documents and Settings\All Users\Dane aplikacji\Nero 2007-12-14 21:43 . 2004-08-03 23:08 26,496 --a--c--- C:\WINDOWS\system32\dllcache\usbstor.sys 2007-12-14 21:41 . 2007-12-16 12:59 <DIR> d-------- C:\Documents and Settings\agusia\Gadu-Gadu 2007-12-14 21:40 . 2007-12-14 21:40 <DIR> d-------- C:\Documents and Settings\agusia\Dane aplikacji\Lavasoft 2007-12-14 21:39 . 2007-12-14 21:39 <DIR> d-------- C:\WINDOWS\ShellNew 2007-12-14 21:38 . 2007-12-14 21:38 <DIR> d-------- C:\Documents and Settings\agusia\Dane aplikacji\Microsoft Web Folders 2007-12-14 21:33 . 2007-12-14 21:33 <DIR> d-------- C:\Program Files\NVIDIA Corporation 2007-12-14 21:33 . 2007-12-14 21:33 <DIR> d-------- C:\Program Files\Common Files\NVIDIA Shared 2007-12-14 21:32 . 2004-06-24 18:57 172,032 --a------ C:\WINDOWS\system32\nvusmb.exe 2007-12-14 21:32 . 2004-06-24 18:57 172,032 --a------ C:\WINDOWS\system32\nvumctl.exe 2007-12-14 21:32 . 2004-06-18 14:57 172,032 --a------ C:\WINDOWS\system32\nvuide.exe 2007-12-14 21:32 . 2004-04-27 15:22 172,032 --a------ C:\WINDOWS\system32\nvugart.exe 2007-12-14 21:32 . 2004-01-29 02:22 159,744 --a------ C:\WINDOWS\system32\nvuenet.exe 2007-12-14 21:32 . 2004-04-27 15:22 2,124 --a------ C:\WINDOWS\system32\nvgart.nvu 2007-12-14 21:32 . 2004-01-12 21:08 1,556 --a------ C:\WINDOWS\system32\nvenet.nvu 2007-12-14 21:32 . 2004-06-18 02:30 1,217 --a------ C:\WINDOWS\system32\nvmctl.nvu 2007-12-14 21:32 . 2004-06-18 02:30 789 --a------ C:\WINDOWS\system32\nvsmb.nvu 2007-12-14 21:32 . 2004-03-21 02:30 464 --a------ C:\WINDOWS\system32\nvide.nvu 2007-12-14 21:27 . 2007-12-14 21:27 <DIR> d-------- C:\Documents and Settings\LocalService\Menu Start 2007-12-14 21:18 . 2007-12-14 21:18 <DIR> d-------- C:\WINDOWS\ServicePackFiles 2007-12-14 21:07 . 2007-06-29 00:43 123,602 --a------ C:\WINDOWS\system32\nvapps.nvb . (((((((((((((((((((((((((((((((((((((((( Find3M Report )))))))))))))))))))))))))))))))))))))))))))))))))))) . 2007-12-14 21:38 168 ----a-w C:\Program Files\install_wizard.log 2007-12-14 21:38 1,187 ----a-w C:\Program Files\install_status.log 2007-12-14 20:38 --------- d-----w C:\Program Files\microsoft frontpage 2007-12-14 20:33 --------- d--h--w C:\Program Files\InstallShield Installation Information 2007-12-14 20:31 --------- d-----w C:\Program Files\AvRack 2007-12-14 19:26 --------- d-----w C:\Program Files\Common Files\InstallShield 2007-12-14 19:24 --------- d-----w C:\Program Files\Realtek Sound Manager 2007-12-14 19:21 --------- d-----w C:\Documents and Settings\All Users\Dane aplikacji\nView_Profiles 2007-12-14 19:09 --------- d-----w C:\Program Files\Usługi online 2007-12-04 14:56 93,264 ----a-w C:\WINDOWS\system32\drivers\aswmon.sys 2007-12-04 14:55 94,544 ----a-w C:\WINDOWS\system32\drivers\aswmon2.sys 2007-12-04 14:53 23,152 ----a-w C:\WINDOWS\system32\drivers\aswRdr.sys 2007-12-04 14:51 42,912 ----a-w C:\WINDOWS\system32\drivers\aswTdi.sys 2007-12-04 14:49 26,624 ----a-w C:\WINDOWS\system32\drivers\aavmker4.sys 2007-11-13 10:25 20,480 ----a-w C:\WINDOWS\system32\drivers\secdrv.sys . [code]<pre> ----a-w 155,648 2008-01-08 19:13:20 C:\Program Files\Common Files\Ahead\Lib\NeroCheck .exe ----a-w 147,456 2008-01-08 19:13:28 C:\Program Files\Common Files\Ahead\Lib\NMBgMonitor .exe ----a-w 131,072 2008-01-08 19:13:18 C:\Program Files\NVIDIA Corporation\NvMixer\NVMixerTray .exe </pre>[/code] ((((((((((((((((((((((((((((( snapshot@2008-01-11_21.22.02.03 ))))))))))))))))))))))))))))))))))))))))) . + 2002-09-20 16:05:16 49,182 ----a-w C:\WINDOWS\LastGood.Tmp\system32\clspack.exe + 2002-09-20 16:03:42 313,856 ----a-w C:\WINDOWS\LastGood.Tmp\system32\dx3j.dll + 2002-09-20 16:04:02 186,911 ----a-w C:\WINDOWS\LastGood.Tmp\system32\javacypt.dll + 2002-09-20 16:04:02 63,007 ----a-w C:\WINDOWS\LastGood.Tmp\system32\javaprxy.dll + 2002-09-20 16:04:02 404,509 ----a-w C:\WINDOWS\LastGood.Tmp\system32\javart.dll + 2002-09-20 16:05:30 14,878 ----a-w C:\WINDOWS\LastGood.Tmp\system32\jdbgmgr.exe + 2002-09-20 16:04:02 171,034 ----a-w C:\WINDOWS\LastGood.Tmp\system32\jit.dll + 2002-09-20 16:05:32 172,060 ----a-w C:\WINDOWS\LastGood.Tmp\system32\jview.exe + 2002-09-20 16:04:10 154,140 ----a-w C:\WINDOWS\LastGood.Tmp\system32\msawt.dll + 2002-09-20 16:04:26 945,693 ----a-w C:\WINDOWS\LastGood.Tmp\system32\msjava.dll + 2002-09-20 16:04:26 21,023 ----a-w C:\WINDOWS\LastGood.Tmp\system32\msjdbc10.dll + 2002-09-20 16:04:58 287,263 ----a-w C:\WINDOWS\LastGood.Tmp\system32\vmhelper.dll + 2002-09-20 16:05:50 171,549 ----a-w C:\WINDOWS\LastGood.Tmp\system32\wjview.exe - 2002-09-20 16:05:16 49,182 ----a-w C:\WINDOWS\system32\clspack.exe + 2003-02-28 17:26:26 49,424 ----a-w C:\WINDOWS\system32\clspack.exe - 2002-09-20 16:03:42 313,856 ----a-w C:\WINDOWS\system32\dx3j.dll + 2003-02-28 15:34:42 313,856 ----a-w C:\WINDOWS\system32\dx3j.dll - 2002-09-20 16:04:02 186,911 ----a-w C:\WINDOWS\system32\javacypt.dll + 2003-02-28 17:26:16 187,152 ----a-w C:\WINDOWS\system32\javacypt.dll - 2002-09-20 16:04:02 63,007 ----a-w C:\WINDOWS\system32\javaprxy.dll + 2003-02-28 17:26:18 63,248 ----a-w C:\WINDOWS\system32\javaprxy.dll - 2002-09-20 16:04:02 404,509 ----a-w C:\WINDOWS\system32\javart.dll + 2003-02-28 17:26:18 404,752 ----a-w C:\WINDOWS\system32\javart.dll - 2002-09-20 16:05:30 14,878 ----a-w C:\WINDOWS\system32\jdbgmgr.exe + 2003-02-28 17:26:30 15,120 ----a-w C:\WINDOWS\system32\jdbgmgr.exe - 2002-09-20 16:04:02 171,034 ----a-w C:\WINDOWS\system32\jit.dll + 2003-02-28 17:26:20 171,280 ----a-w C:\WINDOWS\system32\jit.dll - 2002-09-20 16:05:32 172,060 ----a-w C:\WINDOWS\system32\jview.exe + 2003-02-28 17:26:30 172,304 ----a-w C:\WINDOWS\system32\jview.exe + 2008-01-02 09:21:38 17,642,616 ----a-w C:\WINDOWS\system32\MRT.exe - 2002-09-20 16:04:10 154,140 ----a-w C:\WINDOWS\system32\msawt.dll + 2003-02-28 17:26:20 154,384 ----a-w C:\WINDOWS\system32\msawt.dll - 2005-05-04 13:45:32 2,890,240 ----a-w C:\WINDOWS\system32\msi.dll + 2007-04-18 16:14:32 2,854,400 ----a-w C:\WINDOWS\system32\msi.dll - 2002-09-20 16:04:26 945,693 ----a-w C:\WINDOWS\system32\msjava.dll + 2003-02-28 17:26:26 947,472 ----a-w C:\WINDOWS\system32\msjava.dll - 2002-09-20 16:04:26 21,023 ----a-w C:\WINDOWS\system32\msjdbc10.dll + 2003-02-28 17:26:26 21,264 ----a-w C:\WINDOWS\system32\msjdbc10.dll - 2006-01-19 19:30:18 16,096 ------w C:\WINDOWS\system32\spmsg.dll + 2006-12-14 08:54:47 16,096 ------w C:\WINDOWS\system32\spmsg.dll - 2002-09-20 16:04:58 287,263 ----a-w C:\WINDOWS\system32\vmhelper.dll + 2003-02-28 17:26:26 286,992 ----a-w C:\WINDOWS\system32\vmhelper.dll - 2002-09-20 16:05:50 171,549 ----a-w C:\WINDOWS\system32\wjview.exe + 2003-02-28 17:26:32 171,792 ----a-w C:\WINDOWS\system32\wjview.exe + 2008-01-11 20:47:23 16,384 ----atw C:\WINDOWS\Temp\Perflib_Perfdata_614.dat . -- Snapshot reset to current date -- . ((((((((((((((((((((((((((((((((((((( Reg Loading Points )))))))))))))))))))))))))))))))))))))))))))))))))) . . *Note* empty entries & legit default entries are not shown REGEDIT4 [HKEY_LOCAL_MACHINE\~\Browser Helper Objects\{ecf36d19-2767-47c5-b46d-368b3f61931e}] 2008-01-06 19:38 75840 --a------ C:\WINDOWS\system32\ojinbwod.dll [HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] "Gadu-Gadu"="E:\Gadu-Gadu\gg.exe" [2005-11-16 11:57 2207744] "BgMonitor_{79662E04-7C6C-4d9f-84C7-88D8A56B10AA}"="C:\Program Files\Common Files\Ahead\Lib\NMBgMonitor.exe" [ ] [HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] "NvCplDaemon"="C:\WINDOWS\System32\NvCpl.dll" [2007-06-29 00:43 8466432] "nwiz"="nwiz.exe" [2007-06-29 00:43 1626112 C:\WINDOWS\system32\nwiz.exe] "NvMediaCenter"="C:\WINDOWS\System32\NvMcTray.dll" [2007-06-29 00:43 81920] "SoundMan"="SOUNDMAN.EXE" [2004-12-22 10:09 77824 C:\WINDOWS\soundman.exe] "NVMixerTray"="C:\Program Files\NVIDIA Corporation\NvMixer\NVMixerTray.exe" [ ] "avast!"="E:\Avast\ashDisp.exe" [2007-12-04 14:00 79224] "NeroFilterCheck"="C:\Program Files\Common Files\Ahead\Lib\NeroCheck.exe" [ ] "Adobe Reader Speed Launcher"="E:\Adobe Reader 8\Reader\Reader_sl.exe" [2007-10-10 19:51 39792] "FineReader7NewsReaderPro"="E:\Abby\ABBYYNewsReader.exe" [2004-12-17 00:38 290816] "SunJavaUpdateSched"="C:\Program Files\Java\jre1.6.0_03\bin\jusched.exe" [2008-01-11 20:32 132496] "BearFlix"="E:\BearFlix\BearFlix.exe" [ ] [HKEY_USERS\.DEFAULT\Software\Microsoft\Windows\CurrentVersion\Run] "CTFMON.EXE"="C:\WINDOWS\System32\CTFMON.EXE" [2004-08-04 00:44 15360] [HKEY_LOCAL_MACHINE\system\currentcontrolset\control\lsa] Notification Packages REG_MULTI_SZ scecli scecli R2 ABBYY.Licensing.FineReader.Professional.9.0;ABBYY FineReader 9.0 PE Licensing Service;"C:\Program Files\Common Files\ABBYY\FineReader\9.00\Licensing\PE\NetworkLicenseServer.exe" [2007-12-06 21:03] [HKEY_CURRENT_USER\software\microsoft\windows\currentversion\explorer\mountpoints2\{c3eca38a-aa7f-11dc-971e-806d6172696f}] \Shell\AutoRun\command - G:\install.exe . ************************************************************************** catchme 0.3.1344 W2K/XP/Vista - rootkit/stealth malware detector by Gmer, http://www.gmer.net Rootkit scan 2008-01-11 21:47:43 Windows 5.1.2600 Dodatek Service Pack 2 NTFS scanning hidden processes ... scanning hidden autostart entries ... scanning hidden files ... scan completed successfully hidden files: 0 ************************************************************************** . --------------------- DLLs Loaded Under Running Processes --------------------- PROCESS: C:\WINDOWS\Explorer.EXE [6.00.2900.3156] -> E:\Gadu-Gadu\ggwhook.dll . Completion time: 2008-01-11 21:50:37 - machine was rebooted ComboFix-quarantined-files.txt 2008-01-11 20:50:21 ComboFix2.txt 2008-01-11 20:22:36 . 2008-01-11 20:27:12 --- E O F ---

[/code]

przez **enigma** » 12 Sty 2008, 00:39

enigma napisał(a):Pobierz program SDFix

* Dwuklik na SDFix.exe następnie program wypakuje się na dysk systemowy (standardowo C:\SDFix)
* Zrestartuj komputer i wejdź do trybu awaryjnego (klawisz F8 przed bootem Windowsa)
* Wejdź do folderu z SDFix kliknij dwa razy na plik RunThis.bat
* Wciśnij Y nastąpi proces usuwania.
* Kiedy usuwanie się ukończy wciśnij dowolny klawisz (Any Key). Nastąpi restart komputera.
* Po restarcie SDFix uruchomi się ponownie, żeby dokończyć proces usuwania kiedy pojawi się w oknie programu Finished, wciśnij dowolny klawisz do zakończenia scryptu i załadowania ikon na pulpicie.
* Pokaż Report.txt znajdujący się w folderze SDFix.

Daj log nowy z Combofix

przez **somuch** » 17 Sty 2008, 19:59

Witam,
zrobiłem wszystko jak nakazał enigma, lecz dalej jest ten problem.
Wpis po zakonczeniu prac przez SDFix.

SDFix: Version 1.100

Run by Krzysiek on 2008-01-17 at 18:44

Microsoft Windows XP [Wersja 5.1.2600]

Running From: C:\SDFix\SDFix

Safe Mode:
Checking Services:

Restoring Windows Registry Values
Restoring Windows Default Hosts File

Rebooting...

Normal Mode:
Checking Files:

No Trojan Files Found

przez **pp3088** » 17 Sty 2008, 20:56

Wklej do Notatnika:

File::
C:\WINDOWS\system32\ojinbwod.dll
C:\WINDOWS\jautoexp.dat
C:\Documents and Settings\agusia\services.exe
C:\WINDOWS\system32\vbzip10.dll
C:\n.bat
C:\instmsiw.exe
C:\1058.mst
C:\1055.mst
C:\unicows.dll
C:\WINDOWS\LastGood.Tmp

>>Plik>>Zapisz jako... >>> CFScript (najwygodniej będzie, jeśli zapiszesz w takiej lokalizacji, by ikonka CFScript.txt znalazła się obok ikonki ComboFix.exe)
Przeciągnij i upuść plik CFScript.txt na plik ComboFix.exe (czyli ikonkę CFScript.txt na ikonkę ComboFix.exe)
– podobnie jak na tym obrazku -->

(jeśli pojawi się pytanie "1 or 2" - to wpisz 1 i naciśnij ENTER) Ma się rozpocząć usuwanie. (i powstanie log)
Po restarcie usuń ręcznie folder C: \Qoobox

przez **somuch** » 17 Sty 2008, 21:01

@up
Twoja odpowiedź była na mojego posta czy użytkownika "guciarek5" założyciela tematu?

przez **pp3088** » 17 Sty 2008, 21:31

Nawet nie zauważyłem, że ktoś inny się tu wepchnął. Zrób temat daj logi jak guciarek5.

Ciągle pojawiający sie trojan Win32:TratBHO

Ciągle pojawiający sie trojan Win32:TratBHO

Kto jest na forum