Trojan.Parite.B ; Log file

przez **Listek** » 23 Paź 2007, 16:42

Witam.
Przeskanowałem kompa skanerem on:line z www.mks.com.pl
Wykrył mi trojana z tematu i nie może go usunąć. Trojan znajduje się w katalogu C:\Documents and Settings\"user"\Ustawienia lokalne\Temp
w pliku npa3.tmp
Kiedy zmieniam nazwę pliku i staram się go usunąć to po kolejnym skanie już jest w innych plikach. Przy czym zawsze jest ten plik ww.
Możecie jakoś pomóc :?:

Wklejam logi z HijackThis oraz Silent Runners

HijackThis

Kod: Zaznacz wszystko: Logfile of Trend Micro HijackThis v2.0.2 Scan saved at 16:11:01, on 2007-10-23 Platform: Windows XP (WinNT 5.01.2600) MSIE: Internet Explorer v6.00 (6.00.2600.0000) Boot mode: Normal Running processes: C:\WINDOWS\System32\smss.exe C:\WINDOWS\system32\winlogon.exe C:\WINDOWS\system32\services.exe C:\WINDOWS\system32\lsass.exe C:\WINDOWS\system32\svchost.exe C:\WINDOWS\System32\svchost.exe C:\WINDOWS\system32\spoolsv.exe C:\WINDOWS\Explorer.EXE C:\Program Files\Java\j2re1.4.2_06\bin\jusched.exe C:\WINDOWS\System32\RUNDLL32.EXE C:\WINDOWS\System32\ctfmon.exe C:\Program Files\Java\j2re1.4.2_06\bin\jucheck.exe D:\Programy\Gadu-Gadu\gg.exe C:\Program Files\Messenger\msmsgs.exe C:\WINDOWS\System32\nvsvc32.exe C:\WINDOWS\System32\svchost.exe C:\Program Files\HHVcdV5Sys\VC5SecS.exe C:\Program Files\Winamp\winamp.exe C:\Program Files\Mozilla Firefox\firefox.exe D:\Programy\AntyV\HijackThis\HijackThis.exe R1 - HKCU\Software\Microsoft\Internet Explorer,SearchAssistant = http://www.sharempeg.com/find/ R1 - HKCU\Software\Microsoft\Internet Explorer,CustomizeSearch = http://www.sharempeg.com/find/ R1 - HKCU\Software\Microsoft\Internet Explorer,SearchURL = http://www.sharempeg.com/find/ R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = res://msaps.dll/search.html R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = res://msaps.dll/search.html R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = res://msaps.dll/search.html R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Łącza R3 - URLSearchHook: MailTo Class - {FDE3577A-6254-181C-4E11-339E4F746BD3} - C:\WINDOWS\System32\wins32t.dll (file missing) R3 - URLSearchHook: Search Class - {08C06D61-F1F3-4799-86F8-BE1A89362C85} - C:\PROGRA~1\NEOSTR~1\SEARCH~1.DLL (file missing) F2 - REG:system.ini: UserInit=userinit.exe O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Program Files\Adobe\Acrobat 6.0 CE\Reader\ActiveX\AcroIEHelper.dll O2 - BHO: IeCatch2 Class - {A5366673-E8CA-11D3-9CD9-0090271D075B} - C:\PROGRA~1\FlashGet\jccatch.dll O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINDOWS\System32\msdxm.ocx O3 - Toolbar: FlashGet Bar - {E0E899AB-F487-11D5-8D29-0050BA6940E3} - C:\PROGRA~1\FlashGet\fgiebar.dll O4 - HKLM\..\Run: [NeroCheck] C:\WINDOWS\System32\NeroCheck.exe O4 - HKLM\..\Run: [InstantAccess] C:\Program Files\ScannerU\TBRIDGE\BIN\InstantAccess.exe /h O4 - HKLM\..\Run: [RegisterDropHandler] C:\Program Files\ScannerU\TBRIDGE\BIN\RegisterDropHandler.exe O4 - HKLM\..\Run: [tapisys] C:\WINDOWS\System32\tss.exe O4 - HKLM\..\Run: [WheelMouse] C:\PROGRA~1\A4Tech\Mouse\Amoumain.exe O4 - HKLM\..\Run: [SunJavaUpdateSched] C:\Program Files\Java\j2re1.4.2_06\bin\jusched.exe O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\System32\NvCpl.dll,NvStartup O4 - HKLM\..\Run: [nwiz] nwiz.exe /install O4 - HKLM\..\Run: [NvMediaCenter] RUNDLL32.EXE C:\WINDOWS\System32\NvMcTray.dll,NvTaskbarInit O4 - HKLM\..\RunServices: [RegisterDropHandler] C:\Program Files\ScannerU\TBRIDGE\BIN\RegisterDropHandler.exe O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\ctfmon.exe O4 - HKCU\..\Run: [key] C:\WINDOWS\System32\sys_xp.exe O4 - HKCU\..\Run: [tapisys] C:\WINDOWS\System32\tss.exe O4 - HKCU\..\Run: [Gadu-Gadu] "D:\Programy\Gadu-Gadu\gg.exe" /tray O4 - HKCU\..\Run: [MSMSGS] "C:\Program Files\Messenger\msmsgs.exe" /background O4 - HKUS\S-1-5-19\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 'USŁUGA LOKALNA') O4 - HKUS\S-1-5-20\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 'USŁUGA SIECIOWA') O4 - HKUS\S-1-5-18\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 'SYSTEM') O4 - HKUS\.DEFAULT\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 'Default user') O4 - Global Startup: Microsoft Office.lnk = C:\Program Files\Microsoft Office\Office\OSA9.EXE O8 - Extra context menu item: Download All by FlashGet - C:\Program Files\FlashGet\jc_all.htm O8 - Extra context menu item: Download using FlashGet - C:\Program Files\FlashGet\jc_link.htm O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\j2re1.4.2_06\bin\npjpi142_06.dll O9 - Extra 'Tools' menuitem: Sun Java Console - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\j2re1.4.2_06\bin\npjpi142_06.dll O9 - Extra button: FlashGet - {D6E814A0-E0C5-11d4-8D29-0050BA6940E3} - C:\PROGRA~1\FlashGet\flashget.exe O9 - Extra 'Tools' menuitem: &FlashGet - {D6E814A0-E0C5-11d4-8D29-0050BA6940E3} - C:\PROGRA~1\FlashGet\flashget.exe O16 - DPF: {0EB0E74A-2A76-4AB3-A7FB-9BD8C29F7F75} (CKAVWebScan Object) - http://www.kaspersky.pl/resources/virusscanner/kavwebscan_unicode.cab O16 - DPF: {68282C51-9459-467B-95BF-3C0E89627E55} (MksSkanerOnline Class) - http://www.mks.com.pl/skaner/SkanerOnline.cab O23 - Service: NVIDIA Display Driver Service (NVSvc) - NVIDIA Corporation - C:\WINDOWS\System32\nvsvc32.exe O23 - Service: Virtual CD v5 Security service (VC5SecS) - H+H Software GmbH - C:\Program Files\HHVcdV5Sys\VC5SecS.exe -- End of file - 5224 bytes

Silent Runners

Kod: Zaznacz wszystko: "Silent Runners.vbs", revision 52, http://www.silentrunners.org/ Operating System: Windows XP Output limited to non-default values, except where indicated by "{++}" Startup items buried in registry: --------------------------------- HKCU\Software\Microsoft\Windows\CurrentVersion\Run\ {++} "CTFMON.EXE" = "C:\WINDOWS\System32\ctfmon.exe" [MS] "key" = "C:\WINDOWS\System32\sys_xp.exe" [file not found] "tapisys" = "C:\WINDOWS\System32\tss.exe" [file not found] "Gadu-Gadu" = ""D:\Programy\Gadu-Gadu\gg.exe" /tray" ["sms-express.com"] "MSMSGS" = ""C:\Program Files\Messenger\msmsgs.exe" /background" [MS] HKLM\Software\Microsoft\Windows\CurrentVersion\Run\ {++} "NeroCheck" = "C:\WINDOWS\System32\NeroCheck.exe" [file not found] "InstantAccess" = "C:\Program Files\ScannerU\TBRIDGE\BIN\InstantAccess.exe /h" [null data] "RegisterDropHandler" = "C:\Program Files\ScannerU\TBRIDGE\BIN\RegisterDropHandler.exe" [empty string] "tapisys" = "C:\WINDOWS\System32\tss.exe" [file not found] "WheelMouse" = "C:\PROGRA~1\A4Tech\Mouse\Amoumain.exe" [file not found] "SunJavaUpdateSched" = "C:\Program Files\Java\j2re1.4.2_06\bin\jusched.exe" [null data] "NvCplDaemon" = "RUNDLL32.EXE C:\WINDOWS\System32\NvCpl.dll,NvStartup" [MS] "nwiz" = "nwiz.exe /install" ["NVIDIA Corporation"] "NvMediaCenter" = "RUNDLL32.EXE C:\WINDOWS\System32\NvMcTray.dll,NvTaskbarInit" [MS] HKLM\Software\Microsoft\Active Setup\Installed Components\ {ACC563BC-4266-43f0-B6ED-9D38C4202C7E}\(Default) = "Dostęp do programu Internet Explorer" \StubPath = "rundll32 iesetup.dll,IEAccessUserInst" [MS] HKLM\Software\Microsoft\Windows\CurrentVersion\Explorer\Browser Helper Objects\ {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3}\(Default) = (no title provided) -> {HKLM...CLSID} = "AcroIEHlprObj Class" \InProcServer32\(Default) = "C:\Program Files\Adobe\Acrobat 6.0 CE\Reader\ActiveX\AcroIEHelper.dll" ["Adobe Systems Incorporated"] {A5366673-E8CA-11D3-9CD9-0090271D075B}\(Default) = (no title provided) -> {HKLM...CLSID} = "IeCatch2 Class" \InProcServer32\(Default) = "C:\PROGRA~1\FlashGet\jccatch.dll" ["Amaze Soft"] HKLM\Software\Microsoft\Windows\CurrentVersion\Shell Extensions\Approved\ "{42071714-76d4-11d1-8b24-00a0c9068ff3}" = "Rozszerzenie CPL kadrowania wyświetlania" -> {HKLM...CLSID} = "Rozszerzenie CPL kadrowania wyświetlania" \InProcServer32\(Default) = "deskpan.dll" [file not found] "{88895560-9AA2-1069-930E-00AA0030EBC8}" = "Rozszerzenie ikony HyperTerminalu" -> {HKLM...CLSID} = "HyperTerminal Icon Ext" \InProcServer32\(Default) = "C:\WINDOWS\System32\hticons.dll" ["Hilgraeve, Inc."] "{B41DB860-8EE4-11D2-9906-E49FADC173CA}" = "WinRAR shell extension" -> {HKLM...CLSID} = "WinRAR" \InProcServer32\(Default) = "C:\Program Files\WinRAR\rarext.dll" [null data] "{F0CB00CD-5A07-4D91-97F5-A8C92CDA93E4}" = "Shell Extensions for RealOne Player" -> {HKLM...CLSID} = "RealOne Player Context Menu Class" \InProcServer32\(Default) = "C:\Program Files\Real\RealPlayer\rpshell.dll" ["RealNetworks, Inc."] "{0006F045-0000-0000-C000-000000000046}" = "Microsoft Outlook Custom Icon Handler" -> {HKLM...CLSID} = "Rozszerzenie ikon plików programu Outlook" \InProcServer32\(Default) = "C:\PROGRA~1\MICROS~2\Office\OLKFSTUB.DLL" [MS] "{D0FAC080-AE1A-11ce-8016-CE90976DC901}" = "Picture Publisher File Viewer" -> {HKLM...CLSID} = "Picture Publisher File Viewer" \InProcServer32\(Default) = "ppiv30.dll" [null data] "{C52AF81D-F7A0-4AAB-8E87-F80A60CCD396}" = "OpenOffice.org Column Handler" -> {HKLM...CLSID} = (no title provided) \InProcServer32\(Default) = ""C:\Program Files\OpenOffice.org 2.0\program\shlxthdl.dll"" ["Sun Microsystems, Inc."] "{087B3AE3-E237-4467-B8DB-5A38AB959AC9}" = "OpenOffice.org Infotip Handler" -> {HKLM...CLSID} = (no title provided) \InProcServer32\(Default) = ""C:\Program Files\OpenOffice.org 2.0\program\shlxthdl.dll"" ["Sun Microsystems, Inc."] "{63542C48-9552-494A-84F7-73AA6A7C99C1}" = "OpenOffice.org Property Sheet Handler" -> {HKLM...CLSID} = (no title provided) \InProcServer32\(Default) = ""C:\Program Files\OpenOffice.org 2.0\program\shlxthdl.dll"" ["Sun Microsystems, Inc."] "{3B092F0C-7696-40E3-A80F-68D74DA84210}" = "OpenOffice.org Thumbnail Viewer" -> {HKLM...CLSID} = (no title provided) \InProcServer32\(Default) = ""C:\Program Files\OpenOffice.org 2.0\program\shlxthdl.dll"" ["Sun Microsystems, Inc."] "{A70C977A-BF00-412C-90B7-034C51DA2439}" = "NvCpl DesktopContext Class" -> {HKLM...CLSID} = "DesktopContext Class" \InProcServer32\(Default) = "C:\WINDOWS\System32\nvcpl.dll" ["NVIDIA Corporation"] "{FFB699E0-306A-11d3-8BD1-00104B6F7516}" = "Play on my TV helper" -> {HKLM...CLSID} = "NVIDIA CPL Extension" \InProcServer32\(Default) = "C:\WINDOWS\System32\nvcpl.dll" ["NVIDIA Corporation"] "{1CDB2949-8F65-4355-8456-263E7C208A5D}" = "Desktop Explorer" -> {HKLM...CLSID} = "Desktop Explorer" \InProcServer32\(Default) = "C:\WINDOWS\System32\nvshell.dll" ["NVIDIA Corporation"] "{1E9B04FB-F9E5-4718-997B-B8DA88302A47}" = "Desktop Explorer Menu" -> {HKLM...CLSID} = (no title provided) \InProcServer32\(Default) = "C:\WINDOWS\System32\nvshell.dll" ["NVIDIA Corporation"] "{1E9B04FB-F9E5-4718-997B-B8DA88302A48}" = "nView Desktop Context Menu" -> {HKLM...CLSID} = "nView Desktop Context Menu" \InProcServer32\(Default) = "C:\WINDOWS\System32\nvshell.dll" ["NVIDIA Corporation"] HKLM\Software\Classes\Folder\shellex\ColumnHandlers\ {C52AF81D-F7A0-4AAB-8E87-F80A60CCD396}\(Default) = "OpenOffice.org Column Handler" -> {HKLM...CLSID} = (no title provided) \InProcServer32\(Default) = ""C:\Program Files\OpenOffice.org 2.0\program\shlxthdl.dll"" ["Sun Microsystems, Inc."] HKLM\Software\Classes\*\shellex\ContextMenuHandlers\ WinRAR\(Default) = "{B41DB860-8EE4-11D2-9906-E49FADC173CA}" -> {HKLM...CLSID} = "WinRAR" \InProcServer32\(Default) = "C:\Program Files\WinRAR\rarext.dll" [null data] HKLM\Software\Classes\Directory\shellex\ContextMenuHandlers\ WinRAR\(Default) = "{B41DB860-8EE4-11D2-9906-E49FADC173CA}" -> {HKLM...CLSID} = "WinRAR" \InProcServer32\(Default) = "C:\Program Files\WinRAR\rarext.dll" [null data] HKLM\Software\Classes\Folder\shellex\ContextMenuHandlers\ WinRAR\(Default) = "{B41DB860-8EE4-11D2-9906-E49FADC173CA}" -> {HKLM...CLSID} = "WinRAR" \InProcServer32\(Default) = "C:\Program Files\WinRAR\rarext.dll" [null data] Group Policies {GPedit.msc branch and setting}: ----------------------------------------------- Note: detected settings may not have any effect. HKLM\Software\Microsoft\Windows\CurrentVersion\Policies\System\ "shutdownwithoutlogon" = (REG_DWORD) hex:0x00000001 {Computer Configuration|Windows Settings|Security Settings|Local Policies|Security Options| Shutdown: Allow system to be shut down without having to log on} "undockwithoutlogon" = (REG_DWORD) hex:0x00000001 {Computer Configuration|Windows Settings|Security Settings|Local Policies|Security Options| Devices: Allow undock without having to log on} Active Desktop and Wallpaper: ----------------------------- Active Desktop may be disabled at this entry: HKCU\Software\Microsoft\Windows\CurrentVersion\Explorer\ShellState Displayed if Active Desktop enabled and wallpaper not set by Group Policy: HKCU\Software\Microsoft\Internet Explorer\Desktop\General\ "Wallpaper" = "C:\Documents and Settings\Listek\Ustawienia lokalne\Dane aplikacji\Microsoft\Wallpaper1.bmp" Displayed if Active Desktop disabled and wallpaper not set by Group Policy: HKCU\Control Panel\Desktop\ "Wallpaper" = "C:\Documents and Settings\Listek\Ustawienia lokalne\Dane aplikacji\Microsoft\Wallpaper1.bmp" Startup items in "Listek" & "All Users" startup folders: -------------------------------------------------------- C:\Documents and Settings\All Users\Menu Start\Programy\Autostart "Microsoft Office" -> shortcut to: "C:\Program Files\Microsoft Office\Office\OSA9.EXE -b -l" [MS] Winsock2 Service Provider DLLs: ------------------------------- Namespace Service Providers HKLM\System\CurrentControlSet\Services\Winsock2\Parameters\NameSpace_Catalog5\Catalog_Entries\ {++} 000000000001\LibraryPath = "%SystemRoot%\System32\mswsock.dll" [MS] 000000000002\LibraryPath = "%SystemRoot%\System32\winrnr.dll" [MS] 000000000003\LibraryPath = "%SystemRoot%\System32\mswsock.dll" [MS] Transport Service Providers HKLM\System\CurrentControlSet\Services\Winsock2\Parameters\Protocol_Catalog9\Catalog_Entries\ {++} 0000000000##\PackedCatalogItem (contains) DLL [Company Name], (at) ## range: %SystemRoot%\system32\mswsock.dll [MS], 01 - 03, 06 - 17 %SystemRoot%\system32\rsvpsp.dll [MS], 04 - 05 Toolbars, Explorer Bars, Extensions: ------------------------------------ Toolbars HKLM\Software\Microsoft\Internet Explorer\Toolbar\ "{E0E899AB-F487-11D5-8D29-0050BA6940E3}" = "FlashGet Bar" -> {HKLM...CLSID} = "FlashGet Bar" \InProcServer32\(Default) = "C:\PROGRA~1\FlashGet\fgiebar.dll" ["Amaze Soft"] Extensions (Tools menu items, main toolbar menu buttons) HKLM\Software\Microsoft\Internet Explorer\Extensions\ {08B0E5C0-4FCB-11CF-AAA5-00401C608501}\ "MenuText" = "Sun Java Console" "CLSIDExtension" = "{08B0E5C0-4FCB-11CF-AAA5-00401C608501}" {D6E814A0-E0C5-11D4-8D29-0050BA6940E3}\ "ButtonText" = "FlashGet" "MenuText" = "&FlashGet" "Exec" = "C:\PROGRA~1\FlashGet\flashget.exe" ["Amaze Soft"] Miscellaneous IE Hijack Points ------------------------------ HKCU\Software\Microsoft\Internet Explorer\URLSearchHooks\ <<H>> "{FDE3577A-6254-181C-4E11-339E4F746BD3}" = (no title provided) -> {HKLM...CLSID} = "MailTo Class" \InProcServer32\(Default) = "C:\WINDOWS\System32\wins32t.dll" [file not found] <<H>> "{08C06D61-F1F3-4799-86F8-BE1A89362C85}" = (no title provided) -> {HKLM...CLSID} = "Search Class" \InProcServer32\(Default) = "C:\PROGRA~1\NEOSTR~1\SEARCH~1.DLL" [file not found] HKLM\Software\Microsoft\Internet Explorer\AboutURLs\ <<H>> "NavigationFailure" = "res://msaps.dll/index.html" [file not found] <<H>> "NavigationCanceled" = "res://msaps.dll/index.html" [file not found] <<H>> "OfflineInformation" = "res://msaps.dll/index.html" [file not found] <<H>> "blank" = "res://msaps.dll/index.html" [file not found] <<H>> "PostNotCached" = "res://msaps.dll/index.html" [file not found] <<H>> "MRU Update" = "1" [file not found] Running Services (Display Name, Service Name, Path {Service DLL}): ------------------------------------------------------------------ NVIDIA Display Driver Service, NVSvc, "C:\WINDOWS\System32\nvsvc32.exe" ["NVIDIA Corporation"] Virtual CD v5 Security service, VC5SecS, "C:\Program Files\HHVcdV5Sys\VC5SecS.exe" ["H+H Software GmbH"] ---------- (launch time: 2007-10-23 16:15:34) <<H>>: Suspicious data at a browser hijack point. + This report excludes default entries except where indicated. + To see *everywhere* the script checks and *everything* it finds, launch it from a command prompt or a shortcut with the -all parameter. + The search for DESKTOP.INI DLL launch points on all local fixed drives took 135 seconds. ---------- (total run time: 608 seconds)

Pozdrawiam :!:

przez **Leon$** » 23 Paź 2007, 18:29

Przeskanuj Combofixem i daj log http://forum.instalki.pl/viewtopic.php?t=10681

przez **Listek** » 23 Paź 2007, 21:14

Log z ComboFix

Kod: Zaznacz wszystko: ComboFix 07-10-23.1 - Listek 2007-10-23 20:52:55.1 - NTFSx86 Microsoft Windows XP Professional 5.1.2600.0.1250.1.1045.18.557 [GMT 2:00] Running from: D:\Programy\AntyV\ComboFix\ComboFix.exe * Created a new restore point . ((((((((((((((((((((((((((((((((((((((( Other Deletions ))))))))))))))))))))))))))))))))))))))))))))))))) . C:\WINDOWS\NDNuninstall6_38.exe C:\WINDOWS\NDNuninstall7_14.exe . ((((((((((((((((((((((((( Files Created from 2007-09-23 to 2007-10-23 ))))))))))))))))))))))))))))))) . 2007-10-23 20:52 51,200 --a------ C:\WINDOWS\NirCmd.exe 2007-10-23 15:14 <DIR> d-------- C:\WINDOWS\system32\Kaspersky Lab 2007-10-13 20:11 <DIR> d--h----- C:\WINDOWS\system32\GroupPolicy 2007-10-08 13:22 <DIR> d-------- C:\Documents and Settings\Listek\.aladin . (((((((((((((((((((((((((((((((((((((((( Find3M Report )))))))))))))))))))))))))))))))))))))))))))))))))))) . 2007-10-23 18:52 786,432 ---ha-w C:\Documents and Settings\Gość\NTUSER.DAT 2007-10-22 10:04 --------- d-----w C:\Documents and Settings\Listek\Dane aplikacji\OpenOffice.org2 2007-10-17 23:09 --------- d-----w C:\Program Files\ScannerU 2007-10-17 23:02 --------- d-----w C:\Program Files\CDex_150 2007-10-17 23:02 --------- d-----w C:\Program Files\AIM6 2007-10-17 22:46 --------- d-----w C:\Program Files\SkanerOnline 2007-10-15 14:15 --------- d-----w C:\Program Files\Opera75 2007-09-20 10:30 --------- d-----w C:\Documents and Settings\Listek\Dane aplikacji\Ableton 2007-09-20 10:29 --------- d-----w C:\Program Files\Ableton 2007-09-05 22:57 --------- d-----w C:\Program Files\FlashGet 2007-08-23 05:48 --------- d-----w C:\Program Files\Google . ((((((((((((((((((((((((((((((((((((( Reg Loading Points )))))))))))))))))))))))))))))))))))))))))))))))))) . . *Note* empty entries & legit default entries are not shown [HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] "NeroCheck"="C:\WINDOWS\System32\NeroCheck.exe" [] "InstantAccess"="C:\Program Files\ScannerU\TBRIDGE\BIN\InstantAccess.exe" [2006-07-29 16:04] "RegisterDropHandler"="C:\Program Files\ScannerU\TBRIDGE\BIN\RegisterDropHandler.exe" [2006-07-29 16:05] "tapisys"="C:\WINDOWS\System32\tss.exe" [] "WheelMouse"="C:\PROGRA~1\A4Tech\Mouse\Amoumain.exe" [] "SunJavaUpdateSched"="C:\Program Files\Java\j2re1.4.2_06\bin\jusched.exe" [2006-07-29 15:58] "NvCplDaemon"="C:\WINDOWS\System32\NvCpl.dll" [2004-09-30 13:35] "nwiz"="nwiz.exe" [2004-09-30 13:35 C:\WINDOWS\system32\nwiz.exe] "NvMediaCenter"="C:\WINDOWS\System32\NvMcTray.dll" [2004-09-30 13:35] [HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] "CTFMON.EXE"="C:\WINDOWS\System32\ctfmon.exe" [2001-10-26 19:29] "tapisys"="C:\WINDOWS\System32\tss.exe" [] "Gadu-Gadu"="D:\Programy\Gadu-Gadu\gg.exe" [2004-02-27 11:03] "MSMSGS"="C:\Program Files\Messenger\msmsgs.exe" [2006-07-29 16:00] [HKEY_LOCAL_MACHINE\software\microsoft\windows\currentversion\runservices] "RegisterDropHandler"=C:\Program Files\ScannerU\TBRIDGE\BIN\RegisterDropHandler.exe [HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupfolder\C:^Documents and Settings^All Users^Menu Start^Programy^Autostart^GStartup.lnk] path=C:\Documents and Settings\All Users\Menu Start\Programy\Autostart\GStartup.lnk backup=C:\WINDOWS\pss\GStartup.lnkCommon Startup [HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\AddClass] C:\WINDOWS\AddCLS.exe [HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\Aim6] "C:\Program Files\AIM6\aim6.exe" /d locale=en-US ee://aol/imApp [HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\Host] [HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\Skype] "C:\Program Files\Skype\Phone\Skype.exe" /nosplash /minimized [HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\VC5Player] C:\Program Files\HHVcdV5Sys\VC5Play.exe R0 fasttrak;fasttrak;C:\WINDOWS\System32\DRIVERS\fasttrak.sys R1 vbev5mp;vbev5mp;C:\WINDOWS\System32\DRIVERS\vbev5mp.sys R1 VIAPFD;VIAPFD;C:\WINDOWS\System32\Drivers\VIAPFD.SYS R2 ADPTEHCD;%ADPT_USBEHCD.DeviceDesc%;C:\WINDOWS\System32\DRIVERS\msiehcd.sys R2 AUSBD_FilterService;AUSBD Filter Service;C:\WINDOWS\System32\DRIVERS\msiusbd.sys R2 BulkUsb;Plustek USB Scanner;C:\WINDOWS\System32\DRIVERS\usbscan.sys R3 Amps2prt;A4Tech PS/2 Port Mouse Driver;C:\WINDOWS\System32\DRIVERS\Amps2prt.sys S2 IFP300;iRiver Internet Audio Player IFP-300;C:\WINDOWS\System32\DRIVERS\ifp300.sys S3 MPD16USB;AKAIpro MPD16 Driver;C:\WINDOWS\System32\Drivers\MPD16USB.sys *Newly Created Service* - CATCHME . ************************************************************************** catchme 0.3.1232 W2K/XP/Vista - rootkit/stealth malware detector by Gmer, http://www.gmer.net Rootkit scan 2007-10-23 20:53:33 Windows 5.1.2600 NTFS scanning hidden processes ... scanning hidden autostart entries ... scanning hidden files ... scan completed successfully hidden files: 0 ************************************************************************** . Completion time: 2007-10-23 20:53:58 . --- E O F ---

przez **Leon$** » 23 Paź 2007, 21:49

Wpisy

R3 - URLSearchHook: MailTo Class - {FDE3577A-6254-181C-4E11-339E4F746BD3} - C:\WINDOWS\System32\wins32t.dll (file missing)
O4 - HKLM\..\Run: [InstantAccess] C:\Program Files\ScannerU\TBRIDGE\BIN\InstantAccess.exe /h
O4 - HKLM\..\Run: [tapisys] C:\WINDOWS\System32\tss.exe
O4 - HKCU\..\Run: [key] C:\WINDOWS\System32\sys_xp.exe
O4 - HKCU\..\Run: [tapisys] C:\WINDOWS\System32\tss.exe

Usuń HijackThisem >> Fix checked

Otwórz notatnik i wklej

File::
C:\WINDOWS\System32\tss.exe
System32\sys_xp.exe

Registry::
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
"tapisys"= -
[HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
"tapisys"= -

zapisz jako CFScript (zapisz by ikonka CFScript.txt była obok ikonki ComboFix.exe) >> Przeciągnij i upuść ikonkę CFScript.txt na ikonkę ComboFix.exe
na pytanie "1 or 2" - to wpisz 1 i naciśnij ENTER
Powinno rozpocząć się usuwanie
Po restarcie usuń ręcznie folder C: \Qoobox

Po wszystkim daj nowe logi Combo i HijackThis

przez **Listek** » 24 Paź 2007, 16:25

Usunąłem HijackThisem tamte wpisy, stworzyłem plik, zapisałem jako CFScript.txt ale nie mogę go "opuścić" na ComboFix

Jak przeciągam to nic się nie dzieje no może zamieniają się ikonki miejscami

Co może być nie tak :?:

Może trzeba jakąś opcje zaznaczyć / odznaczyć :?:

przez **Leon$** » 24 Paź 2007, 16:38

Przepraszam pomyliłem się plik powinien wyglądać tak

Otwórz notatnik i wklej

File::
C:\WINDOWS\System32\tss.exe
C:\WINDOWS\System32\sys_xp.exe

Registry::
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
"tapisys"=-
[HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
"tapisys"=-

zapisz jako CFScript.txt >> dalej jak wyżej sprawdź czy nie zrobiłeś pomyłki w nazwie pliku

przez **Listek** » 24 Paź 2007, 16:56

Dalej nic, plik nazywa się CFScript.txt i ma tą treść co podałeś chyba więc jest dobrze. Gdy zaczynam go przeciągać to przy kursorze pojawia się "+" od kopiowania. Jak jestem nad ikonką ComboFix to nie podświetla się ona.

Edit:
Tak to wygląda:

Kod: Zaznacz wszystko: http://listek.kicks-ass.net/~listek/Pic/combo.JPG

przez **Leon$** » 24 Paź 2007, 17:10

powinno być tak
http://img.wklej.org/images/88953CFScri ... iemoes.gif

przez **Listek** » 24 Paź 2007, 17:35

Sprawdzałem Google i widać nikt nie miał takiego problemu, ten gif też znalazłem.
Nie wiem o co chodzi

przez **Leon$** » 24 Paź 2007, 18:08

Może spróbuj w innej lokalizacji to zrobić jak nie da rady to w trybie awaryjnym lub Kilboxem skasuj te pliki

C:\WINDOWS\System32\tss.exe
C:\WINDOWS\System32\sys_xp.exe

Otwórz notatnik i wklej

Kod: Zaznacz wszystko: Windows Registry Editor Version 5.00 [HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] "tapisys"=- [HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] "tapisys"=-

zapisz jako plik.reg >> wszystkie pliki >> scal z rejestrem >> restart

przez **Listek** » 24 Paź 2007, 18:50

Zrobiłem tak jak pisałeś. Plików nie było w ogóle na dysku(w ukrytych też szukałem). Dodałem te wpisy do rejestru, jednak w katalogu Temp (tym samy co w pierwszym poście) są dwa pliku których nie da się usunąć fpa4.tmp oraz toa2.tmp
Skaner twierdzi, że są zainfekowane.

przez **Leon$** » 24 Paź 2007, 19:17

Listek napisał(a):Zrobiłem tak jak pisałeś. Plików nie było w ogóle na dysku(w ukrytych też szukałem)A w systemowych patrzyłeś?. Dodałem te wpisy do rejestru, jednak w katalogu Temp (tym samy co w pierwszym poście) są dwa pliku których nie da się usunąć fpa4.tmp oraz toa2.tmp
Skaner twierdzi, że są zainfekowane.

Daj nowe logi

Przeskanuj tym antywirem http://www.kaspersky.pl/virusscanner.html

z tym Combo sprawdzałeś w innej lokalizacji np na pulpicie?Czy Combo uruchamia się po kliku na tą ikonę co pokazałeś?

przez **Listek** » 24 Paź 2007, 20:40

W systemowych też patrzałem i nie było ich.
Skaner z Kasperkiego właśnie leci wykrył już 4, zobaczymy czy poradzi sobie z ich usunięciem.
Kombo sprawdzałem w innych lokalizacjach(Pulpit, C:\) i skrypt nie chciał działać. Ikonka na pewno jest od KomboFix.exe :wink:

, gdy się kliknie na nią dwukrotnie to program się normalnie uruchamia.
Wkleję logi jak tylko skaner skończy działanie ale coś mozolnie mu to skanowanie idzie.

Tak w ogóle to dzięki za zainteresowanie się problemem

Trojan.Parite.B ; Log file

Trojan.Parite.B ; Log file

Kto jest na forum