Problem z C:\WINDOWS\system32\x

[superbacha]

Witam
Już od jakiegoś czasu mam problem z wirusem na C:\WINDOWS\system32\x. Namnażają się ataki okropnie, niezależnie od tego czy korzystam z eseta czy avasta, nie wiem już co z tym zrobić. Czytałam obecne tu na forum porady dotyczące właśnie takich problemów ale nie bardzo mogę się w tym połapać, prosiłabym o pomoc kogoś, kto mi to wszystko przejrzyście wytłumaczy...
Bardzo proszę o pomoc!

[kominekl]

Może na początku podaj logi z OTL i GMER (poniżej instrukcje w jaki sposób wykonać logi):

OTL viewtopic.php?f=22&t=13967#p107754
GMER viewtopic.php?f=22&t=13967#p88736

Użyłbym tu także Dr.Web Cure It`a, ponieważ miałem kiedyś podobną sytuację i ten skaner odnalazł infekcję i się jej pozbył:)

Dr.Web Cure It http://www.instalki.pl/programy/downloa ... ureIt.html.

Aha podłącz pendrive`a podczas skanowania Web Cure It`em, gdyż z jednej ze wcześniejszych wypowiedzi na ten temat wywnioskowałem, że wirus przenosi się zwykle za pomocą pendrive`ów.

[superbacha]

Tutaj logi z OTL:

http://wklej.eu/index.php?id=99fbe0beda
http://wklej.eu/index.php?id=da088608a7

Podczas wykonywania logów GMERem pojawił się komunikat,że znalazł on modyfikacje systemu, które mogły zostać dokonane przez rootkita. Jak na razie GMER znalazł i podświetlił na czerwono plik:
Typ: Service
C:\WINDOWS\system32\svchost.exe(***hidden***)
Wartość: [AUTO]ueqzlhodn

Czy wykonać teraz skanowanie Dr. Web? Skanowałam już nim jakiś tydzień temu, wykrył coprawda Confickera i go usunął, jednak problem nie zniknął.

[kominekl]

Z Dr. Web Cure It`em narazie się wstrzymaj. Jak GMER skończy skanować to podaj log.

[mateo8898]

Tu jest Conficker i na takich ustawieniach OTL go nie pokaże w całości. W takim razie uruchom OTL w oknie Własne opcje skanowania/skrypt wklej:

netsvcs

Klikasz Skanuj i podajesz powstałe logi.

[superbacha]

Tutaj log z OTL po wklejeniu 'netsvcs'

http://wklej.eu/index.php?id=a532286759

Podczas tworzenia logów w GMER komputer mi się lekko zwiesza mimo tego, że cały czas używam trybu awaryjnego, a do tego trwa bardzo długo ( nie mam pojęcia ile powinno to trwać, bo wykonuję tam log po raz pierwszy )
Ale cały czas próbuję go zrobić

[mateo8898]

To już zostaw tego Gmera. To co mamy wystarczy.

Uruchom OTL w oknie Własne opcje skanowania/skrypt wklej:

:OTL
SRV - [2008-01-24 10:58:58 | 000,156,089 | RHS- | M] () [Auto | Stopped] -- C:\WINDOWS\system32\evbtcncx.dll -- (zdhxzia)
SRV - [2008-01-24 10:58:58 | 000,156,089 | RHS- | M] () [Auto | Stopped] -- C:\WINDOWS\system32\evbtcncx.dll -- (ueqzlhodn)
SRV - [2008-01-24 10:58:58 | 000,156,089 | RHS- | M] () [Auto | Stopped] -- C:\WINDOWS\system32\evbtcncx.dll -- (mmtrkjxj)
SRV - [2008-01-24 10:58:58 | 000,156,089 | RHS- | M] () [Auto | Stopped] -- C:\WINDOWS\system32\evbtcncx.dll -- (frmsyh)
SRV - [2008-01-24 10:58:58 | 000,156,089 | RHS- | M] () [Auto | Stopped] -- C:\WINDOWS\system32\evbtcncx.dll -- (dcpazcbtu)
FF - prefs.js..browser.search.defaultengine: "Ask.com"
FF - prefs.js..browser.search.defaultenginename: "Ask.com"
FF - prefs.js..browser.search.order.1: "Ask.com"
FF - prefs.js..extensions.enabledItems: [email protected]:1.1.1.0014
FF - prefs.js..keyword.URL: "http://websearch.ask.com/redirect?client=ff&src=kw&tb=VD&o=14778&locale=en_US&q="
[2010-11-10 01:59:11 | 000,000,000 | ---D | M] ("DAEMON Tools Toolbar") -- C:\Documents and Settings\Administrator\Dane aplikacji\Mozilla\Firefox\Profiles\bb60ecbl.default\extensions\[email protected]
[2010-11-10 01:59:10 | 000,000,000 | ---D | M] ("VDownloader Toolbar") -- C:\Documents and Settings\Administrator\Dane aplikacji\Mozilla\Firefox\Profiles\bb60ecbl.default\extensions\[email protected]
[2010-10-13 19:16:42 | 000,002,423 | ---- | M] () -- C:\Documents and Settings\Administrator\Dane aplikacji\Mozilla\Firefox\Profiles\bb60ecbl.default\searchplugins\askcom.xml
[2010-03-24 16:54:13 | 000,002,055 | ---- | M] () -- C:\Documents and Settings\Administrator\Dane aplikacji\Mozilla\Firefox\Profiles\bb60ecbl.default\searchplugins\daemon-search.xml
O4 - HKLM..\Run: [Acronis Scheduler2 Service] File not found
O4 - HKLM..\Run: [AcronisTimounterMonitor] File not found
O4 - HKLM..\Run: [Adobe ARM] File not found
O4 - HKLM..\Run: [Adobe Reader Speed Launcher] File not found
O4 - HKLM..\Run: [BackupAndRecoveryMonitor.exe] File not found
O4 - HKLM..\Run: [KernelFaultCheck] File not found
O4 - HKLM..\Run: [qQ] File not found
O4 - HKLM..\Run: [SoundMan] File not found
O4 - HKLM..\Run: [TrayMonitor.exe] File not found
NetSvcs: mmtrkjxj - C:\WINDOWS\system32\evbtcncx.dll ()
NetSvcs: zdhxzia - C:\WINDOWS\system32\evbtcncx.dll ()
NetSvcs: frmsyh - C:\WINDOWS\system32\evbtcncx.dll ()
NetSvcs: ueqzlhodn - C:\WINDOWS\system32\evbtcncx.dll ()
NetSvcs: WmdmPmSNdcpazcbtu - File not found
[2011-02-16 13:26:14 | 000,000,284 | ---- | M] () -- C:\WINDOWS\tasks\AppleSoftwareUpdate.job

:Files
C:\WINDOWS\system32\x

:Reg
[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\SharedAccess\Parameters\FirewallPolicy\StandardProfile\GloballyOpenPorts\List]
"1210:TCP"=-
[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\SharedAccess\Parameters\FirewallPolicy\StandardProfile\AuthorizedApplications\List]
"C:\Program Files\AVG\AVG10\avgmfapx.exe"=-
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
"NeroFilterCheck"=-
"nwiz"=-

:Commands
[clearallrestorepoints]
[emptytemp]

Klikasz Wykonaj skrypt. Dajesz log z usuwania + nowe logi z OTL (tylko nowe logi wytwórz także wklejając netsvcs).

[superbacha]

Tak zrobiłam, tutaj log z usuwania z OTL

http://wklej.eu/index.php?id=bd938717cb

A tutaj log zrobiony już po usunięciu:

http://wklej.eu/index.php?id=0bd9c8b235

[mateo8898]

W OTL wklej:

:OTL
SRV - File not found [Auto | Stopped] -- -- (txdwluhtw)
FF - prefs.js..extensions.enabledItems: [email protected]:3.6.6.99999
File not found (No name found) -- C:\DOCUMENTS AND SETTINGS\ADMINISTRATOR\DANE APLIKACJI\MOZILLA\FIREFOX\PROFILES\BB60ECBL.DEFAULT\EXTENSIONS\[email protected]
File not found (No name found) -- C:\DOCUMENTS AND SETTINGS\ADMINISTRATOR\DANE APLIKACJI\MOZILLA\FIREFOX\PROFILES\BB60ECBL.DEFAULT\EXTENSIONS\[email protected]
File not found (No name found) -- C:\PROGRAM FILES\AVG\AVG9\FIREFOX

Klikasz Wykonaj skrypt, później Sprzątanie

Przeczyść dysk oraz rejestr CCleaner

Wykonaj pełne skanowanie Malwarebytes' Anti-Malware - jeśli coś znajdzie usuń i daj raport

Zainstaluj tą łatkę http://www.microsoft.com/downloads/deta ... 67b73d6a03

Zamknij robaczywe porty za pomocą Windows Worms Doors Cleaner

Zainstaluj SP3 http://www.instalki.pl/programy/downloa ... ack_3.html

Zaktualizuj IE do najnowszej wersji (nawet jeśli go nie używasz) http://www.instalki.pl/programy/downloa ... _8_XP.html

Odinstaluj starą wersję Javy:

Java(TM) 6 Update 22

i zainstaluj najnowszą http://www.instalki.pl/programy/downloa ... %29_6.html

[superbacha]

Zrobiłam tak jak pisałeś, tutaj log z Malware ( niczego nie znalazło )
http://wklej.eu/index.php?id=c89a3ef44f

Ale rozpędziłam się i uruchomiłam też pełne skanowanie w Avast, minęła jakaś minuta a w wynikach pojawiło się, że znalazł 1 zainfekowany plik - Rootkit w Temporary Internet Files. Usunęłam go i Avast pokazał komunikat, że usuwanie zakończone powodzeniem ale nie wiem, czy to pomoże?

[kominekl]

Database version: 4052

Stara wersja bazy. Zaktualizuj program i ponownie wykonaj skanowanie.