Sprawdzenie logów wariującego kompa

[ragetl]

zlapalem wirusa lub kilka wirusow komp sie restartowal jak tylko probowalem wykonac jakas
akcje z wykrytym wirusem ( o dziwo za kazdym razem innym). Zrobilem skan OTL i probowalem gmer'em.
Po kilkunastu probach gmer w koncu zeskanowal ale przy probie zapisania loga sie zwiesil znowu ale wczesniej
poinformowal mnie ze wykryto jakies zmiany w systemie i ze to rootkit. Zamieszczam logi z otl i prosze o jakas
rade bo gmer'em sie nie da zrobic log'a. Z gory dzięki za pomoc.

http://www.wklej.org/id/312530/ - OTL log
http://www.wklej.org/id/312531/ - extras OTL

[Piskorz]

na sprawdzaniu log'ów się nie znam, ale:

jak usunąć rootkit

[ragetl]

ok jestem noob'em. Zeskanowalem tymi dwoma programikami ale w jednym nie wiem czy sie zdecydwoac na usuwanie czegokolwiek bo w Sophos Anti-Rootkit są dwa wpisy w z rejestru i jakis plik w folderze systemowym wiec nie wiem czy usuwac cokolwiek a z kolei ten drugi programik wyplul na prawde dluga liste ale w nim nie ma opcji usun (a tez nie wiem czy w ciemno bym usunal te wpisy z rejestru bo sie nie znam) jesli ktos ma ochote zerknac to bardzo prosze bo nie moge nic na kompie robic a uzywam do celow sluzbowych tez i mam lipe aktualnie.
Sophos Anti-Rootkit


RootkitReveal
http://www.wklej.org/id/312650/

[ragetl]

ok to moze inaczej. podaje logi z HiJachThis i z Combofix'a.
http://www.wklej.org/id/312739/ - Combofix
http://www.wklej.org/id/312741/ -HJT

Sorry za postowanie raz za razem ale na prawde potrzebuje pomocy.

[mateo8898]

Jest tu infekcja plików w autostarcie. Programy, które nie będą działać do przeinstalowania.
Wklej do notatnika:

Kod: Zaznacz wszystko

ATJob::

RenV::
c:\program files\ABBYY FineReader 10\bonus.screenshotreader .exe
c:\program files\Adobe\Reader 8.0\Reader\reader_sl .exe
c:\program files\Alcohol Soft\Alcohol 52\axcmd .exe
c:\program files\Camera Assistant Software for Toshiba\traybar .exe
c:\program files\Common Files\Nero\Lib\nerocheck .exe
c:\program files\Common Files\Nero\Lib\nmindexstoresvr        .exe
c:\program files\Common Files\Nero\Lib\nmindexstoresvr       .exe
c:\program files\Common Files\Nero\Lib\nmindexstoresvr      .exe
c:\program files\Common Files\Nero\Lib\nmindexstoresvr     .exe
c:\program files\Common Files\Nero\Lib\nmindexstoresvr    .exe
c:\program files\Common Files\Nero\Lib\nmindexstoresvr   .exe
c:\program files\Common Files\Nero\Lib\nmindexstoresvr  .exe
c:\program files\Common Files\Nero\Lib\nmindexstoresvr .exe
c:\program files\Gadu-Gadu 10\gg .exe
c:\program files\Java\jre6\bin\jusched .exe
c:\program files\Microsoft Office\Office12\groovemonitor .exe
c:\program files\QuickTime\qttask        .exe
c:\program files\QuickTime\qttask       .exe
c:\program files\QuickTime\qttask      .exe
c:\program files\QuickTime\qttask     .exe
c:\program files\QuickTime\qttask    .exe
c:\program files\QuickTime\qttask   .exe
c:\program files\QuickTime\qttask  .exe
c:\program files\QuickTime\qttask .exe
c:\program files\Skype\Phone\skype .exe
c:\program files\Synaptics\SynTP\syntpenh .exe
c:\program files\TOSHIBA\TOSHIBA Applet\thotkey .exe
c:\program files\Veoh Networks\VeohWebPlayer\veohwebplayer .exe
c:\program files\Winamp\winampa .exe
c:\windows\system32\hkcmd .exe
c:\windows\system32\hookovooh .exe
c:\windows\system32\igfxpers .exe
c:\windows\system32\igfxtray .exe

File::
c:\program files\internet explorer\wmpscfgs.exe
c:\program files\61703.dat
c:\documents and settings\Ragetl\cfsserv.exe
c:\documents and settings\Ragetl\tpsmain.exe
c:\documents and settings\Ragetl\tfncky.exe
c:\documents and settings\Ragetl\ndstray.exe
c:\windows\system32\tomouh.exe
c:\windows\system32\hookovooh.exe
c:\documents and settings\Ragetl\Dane aplikacji\nisgw.exe
c:\documents and settings\Ragetl\rundll32.exe
c:\documents and settings\Ragetl\cfsserv .exe
c:\documents and settings\Ragetl\tpsmain .exe
c:\documents and settings\Ragetl\tfncky .exe
c:\documents and settings\Ragetl\ndstray .exe
c:\windows\system32\hookovooh .exe
c:\docume~1\Ragetl\USTAWI~1\Temp\hynvdfgqmgxuzvk.sys
c:\docume~1\Ragetl\USTAWI~1\Temp\kghgnhewaxkb.sys
c:\docume~1\Ragetl\USTAWI~1\Temp\ecjzqpqfmkombx.sys
c:\docume~1\Ragetl\USTAWI~1\Temp\mkodpxilllu.sys
c:\docume~1\Ragetl\USTAWI~1\Temp\noxbydykqzpc.sys
c:\docume~1\Ragetl\USTAWI~1\Temp\qcnpyawtcnjwhl.sys
c:\docume~1\Ragetl\USTAWI~1\Temp\rypbkwnyzb.sys

Registry::
[HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
"IndxStoreSvr_{79662E04-7C6C-4d9f-84C7-88D8A56B10AA}"=-
"Gadu-Gadu 10"=-
"Skype"=-
"VeohPlugin"=-
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
"CFSServ.exe"=-
"QuickTime Task"=-
"RTHDCPL"=-
"SynTPEnh"=-
"Camera Assistant Software"=-
"IgfxTray"=-
"HotKeysCmds"=-
"Persistence"=-
"THotkey"=-
"NDSTray.exe"=-
"TFncKy"=-
"Adobe Reader Speed Launcher"=-
"NeroFilterCheck"=-
"SunJavaUpdateSched"=-
"WinampAgent"=-
"GrooveMonitor"=-
"Bonus.SSR.FR10"=-
"tynahoo"=-
[HKLM\~\services\sharedaccess\parameters\firewallpolicy\standardprofile\AuthorizedApplications\List]
"c:\\Program Files\\Gadu-Gadu 10\\gg .exe"=-
"c:\\Program Files\\Veoh Networks\\VeohWebPlayer\\veohwebplayer .exe"=-
"c:\\program files\\skype\\phone\\skype .exe"=-

Driver::
a9h2naux7acoz0oz
abmog
bostcbxrc
gqntdk
ijqwdizmcf
tahcrcxudrwfv
uogwudgdkm
zxdtfdrrvzwnugu

Plik zapisz jako CFScript.txt
Przeciągnij i upuść ikonkę CFScript.txt na ikonkę ComboFix.exe


Rozpocznie się usuwanie i powstanie log, który dajesz na forum.

[ragetl]

Ok juz zrobione.Z autostartu uruchomil sie tylko antywirus wiec generalnie reszte programów mam przeinstalowac?
Oto log z combofix'a
http://www.wklej.org/id/313578/

[mateo8898]

Bo musiałem wywalić wpisy z autostartu od tych zarażonych plików. Na razie większość się ładnie podstawiła, więc raczej nie będzie potrzeby ich przeinstalowywania, chyba że któryś z nich nie będzie działał.

Wklej do notatnika:

Kod: Zaznacz wszystko

RenV::
c:\program files\Common Files\Nero\Lib\nmindexstoresvr           .exe
c:\program files\Common Files\Nero\Lib\nmindexstoresvr          .exe
c:\program files\Common Files\Nero\Lib\nmindexstoresvr         .exe
c:\program files\QuickTime\qttask           .exe
c:\program files\QuickTime\qttask          .exe
c:\program files\QuickTime\qttask         .exe

Plik zapisz jako CFScript.txt
Przeciągnij i upuść ikonkę CFScript.txt na ikonkę ComboFix.exe


Rozpocznie się usuwanie i powstanie log, który dajesz na forum.

[ragetl]

Ok najnowszy log
http://www.wklej.org/id/313595/

[mateo8898]

Więcej nic nie widzę.

Pobierz OTC uruchom i kliknij CleanUp

Przeczyść dysk oraz rejestr CCleaner

Wyłącz i włącz przywracanie systemu na wszystkich dyskach Instrukcja

Wykonaj pełne skanowanie Dr.Web CureIt - jeśli coś znajdzie wylecz/usuń i daj raport (Plik Zapisz Listę Raportu)

Zainstaluj SP3 http://www.instalki.pl/programy/downloa ... ack_3.html

Zaktualizuj IE do najnowszej wersji (nawet jeśli go nie używasz) http://www.instalki.pl/programy/downloa ... _8_XP.html

Zaktualizuj Firefoxa do najnowszej wersji (Firefox Pomoc Sprawdź dostępność Aktualizacji...)

[ragetl]

DrWeb wykrył wirusy więc nie instalowałem jeszcze upgrade'ów

Kod: Zaznacz wszystko

hkcmd.exe               C:\WINDOWS\system32                              Win32.HLLC.Asdas.4   Niewyleczalny.Przeniesiony.
igfxpers.exe               C:\WINDOWS\system32                              Win32.HLLC.Asdas.4   Niewyleczalny.Przeniesiony.
igfxtray.exe               C:\WINDOWS\system32                              Win32.HLLC.Asdas.4   Niewyleczalny.Przeniesiony.
nmindexstoresvr.exe            C:\Program Files\Common Files\Nero\Lib                        Win32.HLLC.Asdas.4   Niewyleczalny.Przeniesiony.
qttask.exe               C:\Program Files\QuickTime                              Win32.HLLC.Asdas.4   Niewyleczalny.Przeniesiony.
A0080504.exe               C:\System Volume Information\_restore{50E7F205-B4F1-4903-A4E3-74375DF54B8F}\RP263         Win32.HLLC.Asdas.4   Niewyleczalny.Przeniesiony.
A0080505.exe               C:\System Volume Information\_restore{50E7F205-B4F1-4903-A4E3-74375DF54B8F}\RP263         Win32.HLLC.Asdas.4   Niewyleczalny.Przeniesiony.
A0080506.exe               C:\System Volume Information\_restore{50E7F205-B4F1-4903-A4E3-74375DF54B8F}\RP263         Win32.HLLC.Asdas.4   Niewyleczalny.Przeniesiony.
A0080509.exe               C:\System Volume Information\_restore{50E7F205-B4F1-4903-A4E3-74375DF54B8F}\RP263         Win32.HLLC.Asdas.4   Niewyleczalny.Przeniesiony.
A0080510.exe               C:\System Volume Information\_restore{50E7F205-B4F1-4903-A4E3-74375DF54B8F}\RP263         Win32.HLLC.Asdas.4   Niewyleczalny.Przeniesiony.
Autodesk Civil 3D 2008 keygen+.exe\keygen.exe   D:\Programy\Autodesk Civil 3D 2008 keygen+.exe                     Trojan.Siggen.2382   
Autodesk Civil 3D 2008 keygen+.exe         D:\Programy                                 Archiwum zawierające zainfekowane obiekty   Przeniesiony.
Flash_Disinfector.exe/data002\nircmd.exe      D:\Programy\narzedzie czyszczace\Flash_Disinfector.exe/data002                  Tool.NirCmd.1   
data002                  D:\Programy\narzedzie czyszczace                           Archiwum zawierające zainfekowane obiekty   
Flash_Disinfector.exe            D:\Programy\narzedzie czyszczace                           Kontener zawiera zainfekowane obiekty   Przeniesiony.
IntercenbudBaza_.exe            D:\Programy\_CENNIKI do Normy\04.02.2008                        Trojan.PWS.Lineage         Usunięty.
IntercenbudBaza_(2).exe            D:\Programy\_CENNIKI do Normy\08.10.2007                        Trojan.PWS.Lineage         Usunięty.
IntercenbudBaza_(2).exe            D:\Programy\_CENNIKI do Normy\19.11.2007                        Trojan.PWS.Lineage         Usunięty.
A0080511.exe\keygen.exe            D:\System Volume Information\_restore{50E7F205-B4F1-4903-A4E3-74375DF54B8F}\RP263\A0080511.exe   Trojan.Siggen.2382   
A0080511.exe               D:\System Volume Information\_restore{50E7F205-B4F1-4903-A4E3-74375DF54B8F}\RP263         Archiwum zawierające zainfekowane obiekty   Przeniesiony.
A0080513.exe/data002\nircmd.exe         D:\System Volume Information\_restore{50E7F205-B4F1-4903-A4E3-74375DF54B8F}\RP263\A0080513.exe/data002   Tool.NirCmd.1   
data002                  D:\System Volume Information\_restore{50E7F205-B4F1-4903-A4E3-74375DF54B8F}\RP263         Archiwum zawierające zainfekowane obiekty   
A0080513.exe               D:\System Volume Information\_restore{50E7F205-B4F1-4903-A4E3-74375DF54B8F}\RP263         Kontener zawiera zainfekowane obiekty   Przeniesiony.
A0080514.exe               D:\System Volume Information\_restore{50E7F205-B4F1-4903-A4E3-74375DF54B8F}\RP263         Trojan.PWS.Lineage         Usunięty.
A0080515.exe               D:\System Volume Information\_restore{50E7F205-B4F1-4903-A4E3-74375DF54B8F}\RP263         Trojan.PWS.Lineage         Usunięty.
A0080516.exe               D:\System Volume Information\_restore{50E7F205-B4F1-4903-A4E3-74375DF54B8F}\RP263         Trojan.PWS.Lineage         Usunięty.


[mateo8898]

Wyłącz i włącz przywracanie systemu na wszystkich dyskach Instrukcja

I możesz przejść do aktualizacji.

[ragetl]

Ok wszystko smiga bez zarzutu. Wielkie dzieki za pomoc mati. Piwko przy okazji
Pozdrawiam