Regulamin forum
1. Każdy temat powinien odzwierciedlać treść wątku.2. W przypadku wklejania logów; należy je wykonać od razu przynajmniej z dwóch narzędzi: FRST oraz z GMER
3. Wszelkie logi proszę publikować na przeznaczonych do tego stronach a w poście wklejać tylko link.
4. Nie wskazane jest skracanie logów, należy wkleić cały - od początku, do końca.
5. Nie wskazane jest podczepianie się do tematów innych użytkowników - proszę założyć nowy temat w dziale Bezpieczeństwo, ułatwi to pomoc sprawdzającemu.
6. Osoby nie posiadające odpowiedniej wiedzy, nie powinny sprawdzać logów, ponieważ grozi to poważnym uszkodzeniem systemu lub aplikacji zainstalowanych na komputerze.
7. Należy dokładnie opisać problem, występujące objawy oraz wszelkie podjęte działania.
8. Każdy skrypt jest unikatowy, napisany dla każdego przypadku z osobna, więc nie może być stosowany przez innych.
9. W przypadku zamieszczenia zrzutu ekranu (screenshot'a) proszę korzystać z zewnętrznego serwisu oferującego hosting zdjęć.
Złapałem Virtumonde - jak to usunąć - log z HiJak-sa
20 Sie 2008, 15:43
Po przeskanowaniu przez spybota pokazuje mi że złapałem Virtumonde -jak to usunąć? Nie jestem orlem w sprawach komputerowych.
Logfile of Trend Micro HijackThis v2.0.2
Scan saved at 10:24:02, on 2008-08-20
Platform: Windows XP Dodatek SP. 1 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP1 (6.00.2800.1106)
Boot mode: Normal
Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\Explorer.EXE
C:\WINDOWS\system32\spoolsv.exe
c:\program files\common files\logitech\lvmvfm\LVPrcSrv.exe
C:\WINDOWS\System32\Ati2evxx.exe
C:\Program Files\Analog Devices\SoundMAX\Smtray.exe
C:\Program Files\Java\jre1.5.0_10\bin\jusched.exe
C:\WINDOWS\System32\LVCOMSX.EXE
C:\Program Files\Messenger\msmsgs.exe
C:\Program Files\Skype\Phone\Skype.exe
C:\Program Files\Analog Devices\SoundMAX\SMAgent.exe
C:\WINDOWS\System32\svchost.exe
C:\Program Files\PLANET\Plannet Wireless Lan Configure Utility\RtlWake.exe
C:\Program Files\Skype\Plugin Manager\skypePM.exe
C:\Program Files\Java\jre1.5.0_10\bin\jucheck.exe
C:\Program Files\Trend Micro\HijackThis\HijackThis.exe
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.onet.pl/
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Łącza
O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - c:\program files\Adobe\Acrobat Reader 5\Reader\ActiveX\AcroIEHelper.ocx
O2 - BHO: SSVHelper Class - {761497BB-D6F0-462C-B6EB-D4DAF1D92D43} - C:\Program Files\Java\jre1.5.0_10\bin\ssv.dll
O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINDOWS\System32\msdxm.ocx
O4 - HKLM\..\Run: [Smapp] C:\Program Files\Analog Devices\SoundMAX\Smtray.exe
O4 - HKLM\..\Run: [SunJavaUpdateSched] "C:\Program Files\Java\jre1.5.0_10\bin\jusched.exe"
O4 - HKLM\..\Run: [LVCOMSX] C:\WINDOWS\System32\LVCOMSX.EXE
O4 - HKCU\..\Run: [MSMSGS] "C:\Program Files\Messenger\msmsgs.exe" /background
O4 - HKCU\..\Run: [Skype] "C:\Program Files\Skype\Phone\Skype.exe" /nosplash /minimized
O4 - HKUS\S-1-5-19\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 'USŁUGA LOKALNA')
O4 - HKUS\S-1-5-20\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 'USŁUGA SIECIOWA')
O4 - HKUS\S-1-5-18\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 'SYSTEM')
O4 - HKUS\.DEFAULT\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 'Default user')
O4 - Global Startup: Microsoft Office.lnk = C:\Program Files\Microsoft Office\Office10\OSA.EXE
O4 - Global Startup: WL-8303.lnk = ?
O8 - Extra context menu item: E&ksport do programu Microsoft Excel - res://C:\PROGRA~1\MICROS~2\Office10\EXCEL.EXE/3000
O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\jre1.5.0_10\bin\ssv.dll
O9 - Extra 'Tools' menuitem: Sun Java Console - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\jre1.5.0_10\bin\ssv.dll
O9 - Extra button: Related - {c95fe080-8f5d-11d2-a20b-00aa003c157a} - C:\WINDOWS\web\related.htm
O9 - Extra 'Tools' menuitem: Show &Related Links - {c95fe080-8f5d-11d2-a20b-00aa003c157a} - C:\WINDOWS\web\related.htm
O12 - Plugin for .spop: C:\Program Files\Internet Explorer\Plugins\NPDocBox.dll
O16 - DPF: {0EB0E74A-2A76-4AB3-A7FB-9BD8C29F7F75} (CKAVWebScan Object) - http://www.kaspersky.pl/resources/virus ... nicode.cab
O17 - HKLM\System\CCS\Services\Tcpip\..\{B5279070-8C34-4F8D-A842-28EA176C62A7}: NameServer = 194.204.152.34,85.255.112.73
O18 - Protocol: skype4com - {FFC8B962-9B40-4DFF-9458-1830C7DD7F5D} - C:\PROGRA~1\COMMON~1\Skype\SKYPE4~1.DLL
O20 - Winlogon Notify: winjrs32 - C:\WINDOWS\SYSTEM32\winjrs32.dll
O23 - Service: Ati HotKey Poller - Unknown owner - C:\WINDOWS\System32\Ati2evxx.exe
O23 - Service: ATI Smart - Unknown owner - C:\WINDOWS\system32\ati2sgag.exe
O23 - Service: Logitech Process Monitor (LVPrcSrv) - Logitech Inc. - c:\program files\common files\logitech\lvmvfm\LVPrcSrv.exe
O23 - Service: SoundMAX Agent Service (SoundMAX Agent Service (default)) - Analog Devices, Inc. - C:\Program Files\Analog Devices\SoundMAX\SMAgent.exe
--
End of file - 4141 bytes
Logfile of Trend Micro HijackThis v2.0.2
Scan saved at 10:24:02, on 2008-08-20
Platform: Windows XP Dodatek SP. 1 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP1 (6.00.2800.1106)
Boot mode: Normal
Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\Explorer.EXE
C:\WINDOWS\system32\spoolsv.exe
c:\program files\common files\logitech\lvmvfm\LVPrcSrv.exe
C:\WINDOWS\System32\Ati2evxx.exe
C:\Program Files\Analog Devices\SoundMAX\Smtray.exe
C:\Program Files\Java\jre1.5.0_10\bin\jusched.exe
C:\WINDOWS\System32\LVCOMSX.EXE
C:\Program Files\Messenger\msmsgs.exe
C:\Program Files\Skype\Phone\Skype.exe
C:\Program Files\Analog Devices\SoundMAX\SMAgent.exe
C:\WINDOWS\System32\svchost.exe
C:\Program Files\PLANET\Plannet Wireless Lan Configure Utility\RtlWake.exe
C:\Program Files\Skype\Plugin Manager\skypePM.exe
C:\Program Files\Java\jre1.5.0_10\bin\jucheck.exe
C:\Program Files\Trend Micro\HijackThis\HijackThis.exe
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.onet.pl/
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Łącza
O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - c:\program files\Adobe\Acrobat Reader 5\Reader\ActiveX\AcroIEHelper.ocx
O2 - BHO: SSVHelper Class - {761497BB-D6F0-462C-B6EB-D4DAF1D92D43} - C:\Program Files\Java\jre1.5.0_10\bin\ssv.dll
O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINDOWS\System32\msdxm.ocx
O4 - HKLM\..\Run: [Smapp] C:\Program Files\Analog Devices\SoundMAX\Smtray.exe
O4 - HKLM\..\Run: [SunJavaUpdateSched] "C:\Program Files\Java\jre1.5.0_10\bin\jusched.exe"
O4 - HKLM\..\Run: [LVCOMSX] C:\WINDOWS\System32\LVCOMSX.EXE
O4 - HKCU\..\Run: [MSMSGS] "C:\Program Files\Messenger\msmsgs.exe" /background
O4 - HKCU\..\Run: [Skype] "C:\Program Files\Skype\Phone\Skype.exe" /nosplash /minimized
O4 - HKUS\S-1-5-19\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 'USŁUGA LOKALNA')
O4 - HKUS\S-1-5-20\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 'USŁUGA SIECIOWA')
O4 - HKUS\S-1-5-18\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 'SYSTEM')
O4 - HKUS\.DEFAULT\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 'Default user')
O4 - Global Startup: Microsoft Office.lnk = C:\Program Files\Microsoft Office\Office10\OSA.EXE
O4 - Global Startup: WL-8303.lnk = ?
O8 - Extra context menu item: E&ksport do programu Microsoft Excel - res://C:\PROGRA~1\MICROS~2\Office10\EXCEL.EXE/3000
O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\jre1.5.0_10\bin\ssv.dll
O9 - Extra 'Tools' menuitem: Sun Java Console - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\jre1.5.0_10\bin\ssv.dll
O9 - Extra button: Related - {c95fe080-8f5d-11d2-a20b-00aa003c157a} - C:\WINDOWS\web\related.htm
O9 - Extra 'Tools' menuitem: Show &Related Links - {c95fe080-8f5d-11d2-a20b-00aa003c157a} - C:\WINDOWS\web\related.htm
O12 - Plugin for .spop: C:\Program Files\Internet Explorer\Plugins\NPDocBox.dll
O16 - DPF: {0EB0E74A-2A76-4AB3-A7FB-9BD8C29F7F75} (CKAVWebScan Object) - http://www.kaspersky.pl/resources/virus ... nicode.cab
O17 - HKLM\System\CCS\Services\Tcpip\..\{B5279070-8C34-4F8D-A842-28EA176C62A7}: NameServer = 194.204.152.34,85.255.112.73
O18 - Protocol: skype4com - {FFC8B962-9B40-4DFF-9458-1830C7DD7F5D} - C:\PROGRA~1\COMMON~1\Skype\SKYPE4~1.DLL
O20 - Winlogon Notify: winjrs32 - C:\WINDOWS\SYSTEM32\winjrs32.dll
O23 - Service: Ati HotKey Poller - Unknown owner - C:\WINDOWS\System32\Ati2evxx.exe
O23 - Service: ATI Smart - Unknown owner - C:\WINDOWS\system32\ati2sgag.exe
O23 - Service: Logitech Process Monitor (LVPrcSrv) - Logitech Inc. - c:\program files\common files\logitech\lvmvfm\LVPrcSrv.exe
O23 - Service: SoundMAX Agent Service (SoundMAX Agent Service (default)) - Analog Devices, Inc. - C:\Program Files\Analog Devices\SoundMAX\SMAgent.exe
--
End of file - 4141 bytes
20 Sie 2008, 16:10
fix w hijackthis
Pobierz ComboFix, ale nie uruchamiaj
Wklej do notatnika:
Plik
zapisz jako CFScript.txt (najwygodniej będzie, jeśli zapiszesz w takiej lokalizacji, by ikonka CFScript.txt znalazła się obok ikonki ComboFix.exe)
Przeciągnij i upuść ikonkę CFScript.txt na ikonkę ComboFix.exe tak jak tu
Rozpocznie się usuwanie i powstanie log, daj ten log na forum.
Logi dajesz na http://www.wklej.eu/ a w poście dajesz tylko link
O20 - Winlogon Notify: winjrs32 - C:\WINDOWS\SYSTEM32\winjrs32.dll
Pobierz ComboFix, ale nie uruchamiaj
Wklej do notatnika:
- Kod:
File::
C:\WINDOWS\SYSTEM32\winjrs32.dll
Plik
zapisz jako CFScript.txt (najwygodniej będzie, jeśli zapiszesz w takiej lokalizacji, by ikonka CFScript.txt znalazła się obok ikonki ComboFix.exe)
Przeciągnij i upuść ikonkę CFScript.txt na ikonkę ComboFix.exe tak jak tu
Rozpocznie się usuwanie i powstanie log, daj ten log na forum.
Logi dajesz na http://www.wklej.eu/ a w poście dajesz tylko link
Re: Proszę o sprawdzenie loga z HiJak-sa
22 Sie 2008, 12:27
Zrobiłem tak jak napisałeś i dołączam log z Combofixa. 
- Kod:
ComboFix 08-08-19.06 - kazimierz 2008-08-21 7:14:00.1 - NTFSx86
Microsoft Windows XP Professional 5.1.2600.1.1250.1.1045.18.283 [GMT 2:00]
Running from: C:\Documents and Settings\kazimierz\Pulpit\ComboFix.exe
Command switches used :: C:\Documents and Settings\kazimierz\Pulpit\CFScript.txt
[color=red][b]WARNING -THIS MACHINE DOES NOT HAVE THE RECOVERY CONSOLE INSTALLED !![/b][/color]
.
((((((((((((((((((((((((((((((((((((((( Other Deletions )))))))))))))))))))))))))))))))))))))))))))))))))
.
C:\WINDOWS\system32\winowl32.dll
.
((((((((((((((((((((((((((((((((((((((( Drivers/Services )))))))))))))))))))))))))))))))))))))))))))))))))
.
-------\Legacy_{DEF85C80-216A-43AB-AF70-1665EDBE2780}
-------\Service_{DEF85C80-216A-43ab-AF70-1665EDBE2780}
((((((((((((((((((((((((( Files Created from 2008-07-22 to 2008-08-22 )))))))))))))))))))))))))))))))
.
2008-08-20 10:23 . 2008-08-20 10:23 <DIR> d-------- C:\Program Files\Trend Micro
2008-08-18 14:25 . 2008-08-18 14:25 <DIR> d-------- C:\VundoFix Backups
2008-08-18 14:21 . 2007-01-23 19:00 <DIR> d--h----- C:\Documents and Settings\Administrator\Ustawienia lokalne
2008-08-18 14:21 . 2007-01-23 19:00 <DIR> d-------- C:\Documents and Settings\Administrator\Ulubione
2008-08-18 14:21 . 2007-01-23 19:06 <DIR> d--h----- C:\Documents and Settings\Administrator\Szablony
2008-08-18 14:21 . 2007-01-23 19:00 <DIR> d-------- C:\Documents and Settings\Administrator\Pulpit
2008-08-18 14:21 . 2007-01-23 19:00 <DIR> d-------- C:\Documents and Settings\Administrator\Moje dokumenty
2008-08-18 14:21 . 2007-01-23 19:00 <DIR> dr------- C:\Documents and Settings\Administrator\Menu Start
2008-08-18 14:21 . 2007-01-23 19:00 <DIR> dr-h----- C:\Documents and Settings\Administrator\Dane aplikacji
2008-08-18 14:21 . 2008-08-18 14:21 <DIR> d-------- C:\Documents and Settings\Administrator
2008-08-13 13:31 . 2008-08-13 13:31 <DIR> d-------- C:\Documents and Settings\All Users\Dane aplikacji\Kaspersky Lab
2008-08-08 21:53 . 2005-09-01 13:03 719 -ra------ C:\WINDOWS\system32\InstExec.ini
2008-08-04 08:42 . 2005-09-01 13:03 233,536 -ra------ C:\WINDOWS\system32\InstExec.exe
2008-08-04 08:42 . 2005-09-01 13:08 233,536 -ra------ C:\WINDOWS\Instexec.exe
2008-08-04 08:40 . 2008-08-04 08:40 <DIR> d-------- C:\Documents and Settings\LocalService\Menu Start
2008-08-04 08:35 . 2003-03-18 21:14 499,712 --a------ C:\WINDOWS\system32\msvcp71.dll
2008-08-04 08:35 . 2003-02-21 05:42 348,160 --a------ C:\WINDOWS\system32\msvcr71.dll
2008-08-04 08:28 . 2008-08-08 21:52 1,088 --a------ C:\WINDOWS\_delis32.ini
2008-08-04 08:15 . 2008-08-08 22:44 <DIR> d-------- C:\Program Files\Logitech
2008-08-04 08:15 . 2008-08-08 21:53 <DIR> d-------- C:\Program Files\Common Files\Logitech
2008-08-04 08:15 . 2005-09-07 06:21 1,645,320 --a------ C:\WINDOWS\system32\gdiplus.dll
2008-07-26 18:22 . 2008-07-26 18:22 <DIR> d-------- C:\Documents and Settings\All Users\Dane aplikacji\LogiShrd
2008-07-26 18:21 . 2008-07-26 18:21 <DIR> d-------- C:\Documents and Settings\kazimierz\Dane aplikacji\Logitech
2008-07-26 18:21 . 2002-09-20 17:35 51,840 --a------ C:\WINDOWS\system32\drivers\i8042prt.sys
2008-07-26 18:21 . 2002-09-20 17:35 51,840 --a--c--- C:\WINDOWS\system32\dllcache\i8042prt.sys
2008-07-26 18:21 . 2002-09-20 17:40 23,808 --a------ C:\WINDOWS\system32\drivers\kbdclass.sys
2008-07-26 18:21 . 2002-09-20 17:40 23,808 --a--c--- C:\WINDOWS\system32\dllcache\kbdclass.sys
2008-07-26 18:21 . 2002-09-20 17:48 22,272 --a------ C:\WINDOWS\system32\drivers\mouclass.sys
2008-07-26 18:21 . 2002-09-20 17:48 22,272 --a--c--- C:\WINDOWS\system32\dllcache\mouclass.sys
2008-07-26 18:20 . 2008-07-28 06:32 <DIR> d-------- C:\Program Files\Common Files\Logishrd
2008-07-25 06:44 . 2008-08-04 08:39 <DIR> d-------- C:\Documents and Settings\kazimierz\Dane aplikacji\MSN6
2008-07-25 06:44 . 2008-07-25 06:44 <DIR> d-------- C:\Documents and Settings\All Users\Dane aplikacji\MSN6
2008-07-24 11:20 . 2008-08-21 06:42 <DIR> d-------- C:\Documents and Settings\kazimierz\Dane aplikacji\skypePM
2008-07-24 11:20 . 2008-07-24 11:20 56 --ah----- C:\WINDOWS\system32\ezsidmv.dat
2008-07-24 11:15 . 2008-07-24 11:15 <DIR> d-------- C:\Program Files\Skype
2008-07-24 11:15 . 2008-07-24 11:15 <DIR> d-------- C:\Program Files\Common Files\Skype
2008-07-24 11:15 . 2008-08-19 11:36 <DIR> d-------- C:\Documents and Settings\kazimierz\Dane aplikacji\Skype
2008-07-24 11:15 . 2008-07-24 11:15 <DIR> d-------- C:\Documents and Settings\All Users\Dane aplikacji\Skype
.
(((((((((((((((((((((((((((((((((((((((( Find3M Report ))))))))))))))))))))))))))))))))))))))))))))))))))))
.
2008-08-04 06:15 --------- d--h--w C:\Program Files\InstallShield Installation Information
2008-07-08 11:30 33,280 ----a-w C:\WINDOWS\system32\winjrs32.dll
2008-07-08 11:30 33,280 ----a-w C:\WINDOWS\system32\wineak32.dll
2008-04-03 12:06 45,896 ----a-w C:\Documents and Settings\kazimierz\Dane aplikacji\GDIPFONTCACHEV1.DAT
.
((((((((((((((((((((((((((((((((((((( Reg Loading Points ))))))))))))))))))))))))))))))))))))))))))))))))))
.
.
*Note* empty entries & legit default entries are not shown
REGEDIT4
[HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
"MSMSGS"="C:\Program Files\Messenger\msmsgs.exe" [2002-08-20 16:08 1511453]
"Skype"="C:\Program Files\Skype\Phone\Skype.exe" [2008-05-30 15:54 21718312]
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
"Smapp"="C:\Program Files\Analog Devices\SoundMAX\Smtray.exe" [2002-06-26 18:36 90112]
"SunJavaUpdateSched"="C:\Program Files\Java\jre1.5.0_10\bin\jusched.exe" [2006-11-09 16:07 49263]
"LVCOMSX"="C:\WINDOWS\System32\LVCOMSX.EXE" [2005-09-01 13:04 221184]
[HKEY_USERS\.DEFAULT\Software\Microsoft\Windows\CurrentVersion\Run]
"CTFMON.EXE"="C:\WINDOWS\System32\CTFMON.EXE" [2002-09-20 19:05 13312]
C:\Documents and Settings\All Users\Menu Start\Programy\Autostart\
Microsoft Office.lnk - C:\Program Files\Microsoft Office\Office10\OSA.EXE [2001-02-13 11:01:04 83360]
WL-8303.lnk - C:\Program Files\PLANET\Plannet Wireless Lan Configure Utility\RtlWake.exe [2007-01-23 20:01:00 716800]
[HKEY_LOCAL_MACHINE\software\microsoft\windows nt\currentversion\winlogon\notify\winjrs32]
2008-07-08 13:30 33280 C:\WINDOWS\system32\winjrs32.dll
[HKEY_LOCAL_MACHINE\software\microsoft\windows nt\currentversion\drivers32]
"SENTINEL"= snti386.dll
[HKLM\~\services\sharedaccess\parameters\firewallpolicy\standardprofile\AuthorizedApplications\List]
"C:\\WINDOWS\\system32\\winver.exe"=
R2 EAPPkt;Realtek EAPPkt Protocol;C:\WINDOWS\System32\DRIVERS\EAPPkt.sys [2002-11-22 19:57]
R3 LVPrcMon;Logitech LVPrcMon Driver;C:\WINDOWS\system32\drivers\LVPrcMon.sys [2005-09-01 13:11]
R3 rtl8180;PLANET WL-8303 Wireless PCI Adapter NT Driver;C:\WINDOWS\System32\DRIVERS\RTL8180.SYS [2003-03-12 13:54]
*Newly Created Service* - ALG
*Newly Created Service* - IPNAT
.
**************************************************************************
catchme 0.3.1361 W2K/XP/Vista - rootkit/stealth malware detector by Gmer, http://www.gmer.net
Rootkit scan 2008-08-22 08:09:48
Windows 5.1.2600 Dodatek Service Pack. 1 NTFS
scanning hidden processes ...
scanning hidden autostart entries ...
scanning hidden files ...
C:\Documents and Settings\kazimierz\Dane aplikacji\skypePM\2008-08-19-1.ezlog
C:\Documents and Settings\kazimierz\Dane aplikacji\skypePM\2008-08-20-0.ezlog
scan completed successfully
hidden files: 2
**************************************************************************
.
--------------------- DLLs Loaded Under Running Processes ---------------------
PROCESS: C:\WINDOWS\system32\winlogon.exe
-> C:\WINDOWS\system32\winjrs32.dll
.
------------------------ Other Running Processes ------------------------
.
C:\Program Files\Common Files\Logitech\LVMVFM\LVPrcSrv.exe
C:\WINDOWS\system32\ati2evxx.exe
C:\Program Files\Analog Devices\SoundMAX\SMAgent.exe
C:\Program Files\Skype\Plugin Manager\skypePM.exe
.
**************************************************************************
.
Completion time: 2008-08-22 8:11:21 - machine was rebooted
ComboFix-quarantined-files.txt 2008-08-22 06:11:17
Pre-Run: 14,475,395,072 bajtów wolnych
Post-Run: 14,765,174,784 bajt˘w wolnych
121
Re: Proszę o sprawdzenie loga z HiJak-sa
22 Sie 2008, 15:30
otwórz notatnik i wklej
Z menu Notatnika Plik Zapisz jako Zmień rozszerzenie z .txt na wszystkie pliki zapisz pod nazwą Fix.reg
Uruchom ten plik, uruchom ponownie komputer
usuń ręcznie folder C: \Qoobox , usuń instalkę Combofix z dysku.
Przeczyść komputer Ccleanerem
Wykonaj optymalizację autostartu
Wyłącz i włącz przywracanie systemu na wszystkich dyskach. Instrukcja
Przeskanuj obszar mojego komputera http://www.kaspersky.pl/virusscanner.html (uruchom przez IE) Daj raport z niego na forum
lub
Dr.WEB CureIt!
Windows Registry Editor Version 5.00
[-HKEY_LOCAL_MACHINE\software\microsoft\windows nt\currentversion\winlogon\notify\winjrs32]
Z menu Notatnika
Plik Zapisz jako Zmień rozszerzenie z .txt na wszystkie pliki zapisz pod nazwą Fix.reg Uruchom ten plik, uruchom ponownie komputer
usuń ręcznie folder C: \Qoobox , usuń instalkę Combofix z dysku.
Przeczyść komputer Ccleanerem
Wykonaj optymalizację autostartu
Wyłącz i włącz przywracanie systemu na wszystkich dyskach. Instrukcja
Przeskanuj obszar mojego komputera http://www.kaspersky.pl/virusscanner.html (uruchom przez IE) Daj raport z niego na forum
lub
Dr.WEB CureIt!
Re: Proszę o sprawdzenie loga z HiJak-sa
22 Sie 2008, 17:34
Zadanie wykonane tylko niewiem co wyłączać w "optymalizacji autostartu.
Miedzyczsie przeskanowałem kompa Spybotem i znalazł:
1) Virtumonde: (HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\MSSMGR,
2) Fraud.XPAntivirus: (HKEY_USER\S-1-5-21-12144440339-1383384898-682003330-1003\Software\Microsoft\Windows\CurentVersion\Policies\Explorer\No Dreivers,
Czy mam te scieżki wykasować?
Tutaj podaje raport z Kasperskiego -chyba coś nie najlepiej wyszedł?
Miedzyczsie przeskanowałem kompa Spybotem i znalazł:
1) Virtumonde: (HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\MSSMGR,
2) Fraud.XPAntivirus: (HKEY_USER\S-1-5-21-12144440339-1383384898-682003330-1003\Software\Microsoft\Windows\CurentVersion\Policies\Explorer\No Dreivers,
Czy mam te scieżki wykasować?
Tutaj podaje raport z Kasperskiego -chyba coś nie najlepiej wyszedł?
- Kod:
-------------------------------------------------------------------------------
KASPERSKY ONLINE SCANNER REPORT
22 sierpień 2008 17:17:07
System operacyjny: Microsoft Windows XP Professional, Dodatek Service Pack. 1 (Build 2600)
Kaspersky Online Scanner wersja: 5.0.98.1
Ostatnia aktualizacja Kaspersky Anti-Virus22/08/2008
Liczba wpisów w bazie danych Kaspersky Anti-Virus1000206
-------------------------------------------------------------------------------
Ustawienia skanowania:
Skanowanie przy użyciu następujących baz danych: standardowe
Skanuj archiwa: tak
Skanuj pocztowe bazy danych: tak
Obszar skanowania - Mój komputer:
A:\
C:\
D:\
E:\
Statystyki skanowania:
Liczba skanowanych obiektów: 25415
Liczba wykrytych wirusów: 2
Liczba zainfekowanych obiektów: 16
Liczba podejrzanych obiektów: 0
Czas trwania skanowania: 00:23:11
Nazwa zainfekowanego obiektu / Nazwa wirusa / Ostatnie działanie
C:\Documents and Settings\All Users\Dokumenty\Moja muzyka\Przykładowa muzyka\Dziewiąta symfonia Beethovena (Scherzo).wma Zainfekowanych: Trojan-Downloader.WMA.GetCodec.d pominięty
C:\Documents and Settings\All Users\Dokumenty\Moja muzyka\Przykładowa muzyka\Nowe historie (autostradowy blues).wma Zainfekowanych: Trojan-Downloader.WMA.GetCodec.d pominięty
C:\Documents and Settings\kazimierz\Cookies\index.dat Object is locked pominięty
C:\Documents and Settings\kazimierz\Dane aplikacji\Skype\kazimierzgm\call256.dbb Object is locked pominięty
C:\Documents and Settings\kazimierz\Dane aplikacji\Skype\kazimierzgm\callmember256.dbb Object is locked pominięty
C:\Documents and Settings\kazimierz\Dane aplikacji\Skype\kazimierzgm\contactgroup256.dbb Object is locked pominięty
C:\Documents and Settings\kazimierz\Dane aplikacji\Skype\kazimierzgm\dyncontent\bundle.dat Object is locked pominięty
C:\Documents and Settings\kazimierz\Dane aplikacji\Skype\kazimierzgm\index2.dat Object is locked pominięty
C:\Documents and Settings\kazimierz\Dane aplikacji\Skype\kazimierzgm\profile256.dbb Object is locked pominięty
C:\Documents and Settings\kazimierz\Dane aplikacji\Skype\kazimierzgm\user1024.dbb Object is locked pominięty
C:\Documents and Settings\kazimierz\Dane aplikacji\Skype\kazimierzgm\voicemail256.dbb Object is locked pominięty
C:\Documents and Settings\kazimierz\ntuser.dat Object is locked pominięty
C:\Documents and Settings\kazimierz\ntuser.dat.LOG Object is locked pominięty
C:\Documents and Settings\kazimierz\Pulpit\przepisy odnosnie praktyk\Nowy folder\Jorge Drexler - Todo se transforma.mp3 Zainfekowanych: Trojan-Downloader.WMA.GetCodec.d pominięty
C:\Documents and Settings\kazimierz\Pulpit\przepisy odnosnie praktyk\Nowy folder\la mosca-muchachos esta noche me emborracho.mp3 Zainfekowanych: Trojan-Downloader.WMA.GetCodec.d pominięty
C:\Documents and Settings\kazimierz\Pulpit\przepisy odnosnie praktyk\Nowy folder\Mana - 11 - Antifaz.mp3 Zainfekowanych: Trojan-Downloader.WMA.GetCodec.d pominięty
C:\Documents and Settings\kazimierz\Pulpit\przepisy odnosnie praktyk\Nowy folder\Marquess_-_La_Histeria.mp3 Zainfekowanych: Trojan-Downloader.WMA.GetCodec.d pominięty
C:\Documents and Settings\kazimierz\Pulpit\przepisy odnosnie praktyk\Nowy folder\Siempre maniana - Ruben Gomez.mp3 Zainfekowanych: Trojan-Downloader.WMA.GetCodec.d pominięty
C:\Documents and Settings\kazimierz\Ustawienia lokalne\Dane aplikacji\Microsoft\Windows\UsrClass.dat Object is locked pominięty
C:\Documents and Settings\kazimierz\Ustawienia lokalne\Dane aplikacji\Microsoft\Windows\UsrClass.dat.LOG Object is locked pominięty
C:\Documents and Settings\kazimierz\Ustawienia lokalne\Historia\History.IE5\index.dat Object is locked pominięty
C:\Documents and Settings\kazimierz\Ustawienia lokalne\Historia\History.IE5\MSHist012008082220080823\index.dat Object is locked pominięty
C:\Documents and Settings\kazimierz\Ustawienia lokalne\Temporary Internet Files\Content.IE5\index.dat Object is locked pominięty
C:\Documents and Settings\LocalService\Cookies\index.dat Object is locked pominięty
C:\Documents and Settings\LocalService\NTUSER.DAT Object is locked pominięty
C:\Documents and Settings\LocalService\ntuser.dat.LOG Object is locked pominięty
C:\Documents and Settings\LocalService\Ustawienia lokalne\Dane aplikacji\Microsoft\Windows\UsrClass.dat Object is locked pominięty
C:\Documents and Settings\LocalService\Ustawienia lokalne\Dane aplikacji\Microsoft\Windows\UsrClass.dat.LOG Object is locked pominięty
C:\Documents and Settings\LocalService\Ustawienia lokalne\Historia\History.IE5\index.dat Object is locked pominięty
C:\Documents and Settings\LocalService\Ustawienia lokalne\Temporary Internet Files\Content.IE5\index.dat Object is locked pominięty
C:\Documents and Settings\NetworkService\NTUSER.DAT Object is locked pominięty
C:\Documents and Settings\NetworkService\ntuser.dat.LOG Object is locked pominięty
C:\Documents and Settings\NetworkService\Ustawienia lokalne\Dane aplikacji\Microsoft\Windows\UsrClass.dat Object is locked pominięty
C:\Documents and Settings\NetworkService\Ustawienia lokalne\Dane aplikacji\Microsoft\Windows\UsrClass.dat.LOG Object is locked pominięty
C:\Program Files\Movie Maker\sample.asf Zainfekowanych: Trojan-Downloader.WMA.GetCodec.d pominięty
C:\System Volume Information\_restore{192F8F8A-2300-4380-9E8E-9D711339BD72}\RP2\change.log Object is locked pominięty
C:\WINDOWS\Debug\oakley.log Object is locked pominięty
C:\WINDOWS\Debug\PASSWD.LOG Object is locked pominięty
C:\WINDOWS\Help\Tours\WindowsMediaPlayer\Video\copycd.wmv Zainfekowanych: Trojan-Downloader.WMA.GetCodec.d pominięty
C:\WINDOWS\Help\Tours\WindowsMediaPlayer\Video\mdlib.wmv Zainfekowanych: Trojan-Downloader.WMA.GetCodec.d pominięty
C:\WINDOWS\Help\Tours\WindowsMediaPlayer\Video\nuskin.wmv Zainfekowanych: Trojan-Downloader.WMA.GetCodec.d pominięty
C:\WINDOWS\Help\Tours\WindowsMediaPlayer\Video\rtuner.wmv Zainfekowanych: Trojan-Downloader.WMA.GetCodec.d pominięty
C:\WINDOWS\Help\Tours\WindowsMediaPlayer\Video\viz.wmv Zainfekowanych: Trojan-Downloader.WMA.GetCodec.d pominięty
C:\WINDOWS\SchedLgU.Txt Object is locked pominięty
C:\WINDOWS\Sti_Trace.log Object is locked pominięty
C:\WINDOWS\system32\config\AppEvent.Evt Object is locked pominięty
C:\WINDOWS\system32\config\default Object is locked pominięty
C:\WINDOWS\system32\config\default.LOG Object is locked pominięty
C:\WINDOWS\system32\config\SAM Object is locked pominięty
C:\WINDOWS\system32\config\SAM.LOG Object is locked pominięty
C:\WINDOWS\system32\config\SecEvent.Evt Object is locked pominięty
C:\WINDOWS\system32\config\SECURITY Object is locked pominięty
C:\WINDOWS\system32\config\SECURITY.LOG Object is locked pominięty
C:\WINDOWS\system32\config\software Object is locked pominięty
C:\WINDOWS\system32\config\software.LOG Object is locked pominięty
C:\WINDOWS\system32\config\SysEvent.Evt Object is locked pominięty
C:\WINDOWS\system32\config\system Object is locked pominięty
C:\WINDOWS\system32\config\system.LOG Object is locked pominięty
C:\WINDOWS\system32\h323log.txt Object is locked pominięty
C:\WINDOWS\system32\oobe\images\title.wma Zainfekowanych: Trojan-Downloader.WMA.GetCodec.d pominięty
C:\WINDOWS\system32\wbem\Repository\FS\INDEX.BTR Object is locked pominięty
C:\WINDOWS\system32\wbem\Repository\FS\OBJECTS.DATA Object is locked pominięty
C:\WINDOWS\system32\wineak32.dll Zainfekowanych: Trojan.Win32.Obfuscated.jge pominięty
C:\WINDOWS\system32\winjrs32.dll Zainfekowanych: Trojan.Win32.Obfuscated.jge pominięty
C:\WINDOWS\TempFile Object is locked pominięty
C:\WINDOWS\wiadebug.log Object is locked pominięty
C:\WINDOWS\wiaservc.log Object is locked pominięty
Proces skanowania został zakończony.
Re: Proszę o sprawdzenie loga z HiJak-sa
22 Sie 2008, 17:41
Lepiej wykasuj
Pobierz The Avenger
wklej do niego ten tekst:
kopiuj to i klikasz na Paste Script from Clipboard wybierasz Execute oraz Potwierdzasz i zgadzasz się na restart klikając OK.
Kasujesz ręcznie z dysku plik: C:\Avenger\backup.zip i wklejasz na forum raport: C:\avenger.txt
Pobierz The Avenger
wklej do niego ten tekst:
- Kod:
Files to delete:
C:\Documents and Settings\All Users\Dokumenty\Moja muzyka\Przykładowa muzyka\Dziewiąta symfonia Beethovena (Scherzo).wma
C:\Documents and Settings\All Users\Dokumenty\Moja muzyka\Przykładowa muzyka\Nowe historie (autostradowy blues).wma
C:\Documents and Settings\kazimierz\Pulpit\przepisy odnosnie praktyk\Nowy folder\Jorge Drexler - Todo se transforma.mp3
C:\Documents and Settings\kazimierz\Pulpit\przepisy odnosnie praktyk\Nowy folder\la mosca-muchachos esta noche me emborracho.mp3
C:\Documents and Settings\kazimierz\Pulpit\przepisy odnosnie praktyk\Nowy folder\Mana - 11 - Antifaz.mp3
C:\Documents and Settings\kazimierz\Pulpit\przepisy odnosnie praktyk\Nowy folder\Marquess_-_La_Histeria.mp3
C:\Documents and Settings\kazimierz\Pulpit\przepisy odnosnie praktyk\Nowy folder\Siempre maniana - Ruben Gomez.mp3
C:\Program Files\Movie Maker\sample.asf
C:\WINDOWS\Help\Tours\WindowsMediaPlayer\Video\copycd.wmv
C:\WINDOWS\Help\Tours\WindowsMediaPlayer\Video\mdlib.wmv
C:\WINDOWS\Help\Tours\WindowsMediaPlayer\Video\nuskin.wmv
C:\WINDOWS\Help\Tours\WindowsMediaPlayer\Video\rtuner.wmv
C:\WINDOWS\Help\Tours\WindowsMediaPlayer\Video\viz.wmv
kopiuj to i klikasz na Paste Script from Clipboard wybierasz Execute oraz Potwierdzasz i zgadzasz się na restart klikając OK.
Kasujesz ręcznie z dysku plik: C:\Avenger\backup.zip i wklejasz na forum raport: C:\avenger.txt
Re: Proszę o sprawdzenie loga z HiJak-sa
23 Sie 2008, 09:59
Zrobiłem tak jak napisałeś i wrzucam raport z avenger-da:
Mam jeszcze pytanie odnośnie wykasowania tych scieżek. Kasuje tylko te końcówki tj: MSSMGR i No Dreivers czy coś więcej?
- Kod:
Logfile of The Avenger Version 2.0, (c) by Swandog46
http://swandog46.geekstogo.com
Platform: Windows XP
*******************
Script file opened successfully.
Script file read successfully.
Backups directory opened successfully at C:\Avenger
*******************
Beginning to process script file:
Rootkit scan active.
No rootkits found!
File "C:\Documents and Settings\All Users\Dokumenty\Moja muzyka\Przykładowa muzyka\Dziewiąta symfonia Beethovena (Scherzo).wma" deleted successfully.
File "C:\Documents and Settings\All Users\Dokumenty\Moja muzyka\Przykładowa muzyka\Nowe historie (autostradowy blues).wma" deleted successfully.
File "C:\Documents and Settings\kazimierz\Pulpit\przepisy odnosnie praktyk\Nowy folder\Jorge Drexler - Todo se transforma.mp3" deleted successfully.
File "C:\Documents and Settings\kazimierz\Pulpit\przepisy odnosnie praktyk\Nowy folder\la mosca-muchachos esta noche me emborracho.mp3" deleted successfully.
File "C:\Documents and Settings\kazimierz\Pulpit\przepisy odnosnie praktyk\Nowy folder\Mana - 11 - Antifaz.mp3" deleted successfully.
File "C:\Documents and Settings\kazimierz\Pulpit\przepisy odnosnie praktyk\Nowy folder\Marquess_-_La_Histeria.mp3" deleted successfully.
File "C:\Documents and Settings\kazimierz\Pulpit\przepisy odnosnie praktyk\Nowy folder\Siempre maniana - Ruben Gomez.mp3" deleted successfully.
File "C:\Program Files\Movie Maker\sample.asf" deleted successfully.
File "C:\WINDOWS\Help\Tours\WindowsMediaPlayer\Video\copycd.wmv" deleted successfully.
File "C:\WINDOWS\Help\Tours\WindowsMediaPlayer\Video\mdlib.wmv" deleted successfully.
File "C:\WINDOWS\Help\Tours\WindowsMediaPlayer\Video\nuskin.wmv" deleted successfully.
File "C:\WINDOWS\Help\Tours\WindowsMediaPlayer\Video\rtuner.wmv" deleted successfully.
File "C:\WINDOWS\Help\Tours\WindowsMediaPlayer\Video\viz.wmv" deleted successfully.
Completed script processing.
*******************
Finished! Terminate.
Mam jeszcze pytanie odnośnie wykasowania tych scieżek. Kasuje tylko te końcówki tj: MSSMGR i No Dreivers czy coś więcej?
Re: Proszę o sprawdzenie loga z HiJak-sa
23 Sie 2008, 10:02
Pliki zostały usunięte
Przeskanuj Kasperskim jeszcze raz dla pewności
Przeskanuj Kasperskim jeszcze raz dla pewności
Re: Proszę o sprawdzenie loga z HiJak-sa
25 Sie 2008, 07:48
Oto raport z Kasperskiego -jeszcze coś jest
- Kod:
-------------------------------------------------------------------------------
KASPERSKY ONLINE SCANNER REPORT
25 sierpień 2008 07:37:11
System operacyjny: Microsoft Windows XP Professional, Dodatek Service Pack. 1 (Build 2600)
Kaspersky Online Scanner wersja: 5.0.98.1
Ostatnia aktualizacja Kaspersky Anti-Virus25/08/2008
Liczba wpisów w bazie danych Kaspersky Anti-Virus1017801
-------------------------------------------------------------------------------
Ustawienia skanowania:
Skanowanie przy użyciu następujących baz danych: standardowe
Skanuj archiwa: tak
Skanuj pocztowe bazy danych: tak
Obszar skanowania - Mój komputer:
A:\
C:\
D:\
E:\
Statystyki skanowania:
Liczba skanowanych obiektów: 26005
Liczba wykrytych wirusów: 2
Liczba zainfekowanych obiektów: 3
Liczba podejrzanych obiektów: 0
Czas trwania skanowania: 00:22:32
Nazwa zainfekowanego obiektu / Nazwa wirusa / Ostatnie działanie
C:\Documents and Settings\All Users\Dane aplikacji\Microsoft\Network\Downloader\qmgr0.dat Object is locked pominięty
C:\Documents and Settings\All Users\Dane aplikacji\Microsoft\Network\Downloader\qmgr1.dat Object is locked pominięty
C:\Documents and Settings\kazimierz\Cookies\index.dat Object is locked pominięty
C:\Documents and Settings\kazimierz\Dane aplikacji\Skype\kazimierzgm\call256.dbb Object is locked pominięty
C:\Documents and Settings\kazimierz\Dane aplikacji\Skype\kazimierzgm\callmember256.dbb Object is locked pominięty
C:\Documents and Settings\kazimierz\Dane aplikacji\Skype\kazimierzgm\contactgroup256.dbb Object is locked pominięty
C:\Documents and Settings\kazimierz\Dane aplikacji\Skype\kazimierzgm\dyncontent\bundle.dat Object is locked pominięty
C:\Documents and Settings\kazimierz\Dane aplikacji\Skype\kazimierzgm\index2.dat Object is locked pominięty
C:\Documents and Settings\kazimierz\Dane aplikacji\Skype\kazimierzgm\profile256.dbb Object is locked pominięty
C:\Documents and Settings\kazimierz\Dane aplikacji\Skype\kazimierzgm\user1024.dbb Object is locked pominięty
C:\Documents and Settings\kazimierz\Dane aplikacji\Skype\kazimierzgm\voicemail256.dbb Object is locked pominięty
C:\Documents and Settings\kazimierz\ntuser.dat Object is locked pominięty
C:\Documents and Settings\kazimierz\ntuser.dat.LOG Object is locked pominięty
C:\Documents and Settings\kazimierz\Ustawienia lokalne\Dane aplikacji\Microsoft\Windows\UsrClass.dat Object is locked pominięty
C:\Documents and Settings\kazimierz\Ustawienia lokalne\Dane aplikacji\Microsoft\Windows\UsrClass.dat.LOG Object is locked pominięty
C:\Documents and Settings\kazimierz\Ustawienia lokalne\Historia\History.IE5\index.dat Object is locked pominięty
C:\Documents and Settings\kazimierz\Ustawienia lokalne\Historia\History.IE5\MSHist012008082520080826\index.dat Object is locked pominięty
C:\Documents and Settings\kazimierz\Ustawienia lokalne\Temporary Internet Files\Content.IE5\index.dat Object is locked pominięty
C:\Documents and Settings\LocalService\Cookies\index.dat Object is locked pominięty
C:\Documents and Settings\LocalService\NTUSER.DAT Object is locked pominięty
C:\Documents and Settings\LocalService\ntuser.dat.LOG Object is locked pominięty
C:\Documents and Settings\LocalService\Ustawienia lokalne\Dane aplikacji\Microsoft\Windows\UsrClass.dat Object is locked pominięty
C:\Documents and Settings\LocalService\Ustawienia lokalne\Dane aplikacji\Microsoft\Windows\UsrClass.dat.LOG Object is locked pominięty
C:\Documents and Settings\LocalService\Ustawienia lokalne\Historia\History.IE5\index.dat Object is locked pominięty
C:\Documents and Settings\LocalService\Ustawienia lokalne\Temporary Internet Files\Content.IE5\index.dat Object is locked pominięty
C:\Documents and Settings\NetworkService\NTUSER.DAT Object is locked pominięty
C:\Documents and Settings\NetworkService\ntuser.dat.LOG Object is locked pominięty
C:\Documents and Settings\NetworkService\Ustawienia lokalne\Dane aplikacji\Microsoft\Windows\UsrClass.dat Object is locked pominięty
C:\Documents and Settings\NetworkService\Ustawienia lokalne\Dane aplikacji\Microsoft\Windows\UsrClass.dat.LOG Object is locked pominięty
C:\System Volume Information\_restore{192F8F8A-2300-4380-9E8E-9D711339BD72}\RP2\change.log Object is locked pominięty
C:\WINDOWS\Debug\oakley.log Object is locked pominięty
C:\WINDOWS\Debug\PASSWD.LOG Object is locked pominięty
C:\WINDOWS\SchedLgU.Txt Object is locked pominięty
C:\WINDOWS\Sti_Trace.log Object is locked pominięty
C:\WINDOWS\system32\config\AppEvent.Evt Object is locked pominięty
C:\WINDOWS\system32\config\default Object is locked pominięty
C:\WINDOWS\system32\config\default.LOG Object is locked pominięty
C:\WINDOWS\system32\config\SAM Object is locked pominięty
C:\WINDOWS\system32\config\SAM.LOG Object is locked pominięty
C:\WINDOWS\system32\config\SecEvent.Evt Object is locked pominięty
C:\WINDOWS\system32\config\SECURITY Object is locked pominięty
C:\WINDOWS\system32\config\SECURITY.LOG Object is locked pominięty
C:\WINDOWS\system32\config\software Object is locked pominięty
C:\WINDOWS\system32\config\software.LOG Object is locked pominięty
C:\WINDOWS\system32\config\SysEvent.Evt Object is locked pominięty
C:\WINDOWS\system32\config\system Object is locked pominięty
C:\WINDOWS\system32\config\system.LOG Object is locked pominięty
C:\WINDOWS\system32\h323log.txt Object is locked pominięty
C:\WINDOWS\system32\oobe\images\title.wma Zainfekowanych: Trojan-Downloader.WMA.GetCodec.d pominięty
C:\WINDOWS\system32\wbem\Repository\FS\INDEX.BTR Object is locked pominięty
C:\WINDOWS\system32\wbem\Repository\FS\OBJECTS.DATA Object is locked pominięty
C:\WINDOWS\system32\wineak32.dll Zainfekowanych: Trojan.Win32.Obfuscated.jge pominięty
C:\WINDOWS\system32\winjrs32.dll Zainfekowanych: Trojan.Win32.Obfuscated.jge pominięty
C:\WINDOWS\TempFile Object is locked pominięty
C:\WINDOWS\wiadebug.log Object is locked pominięty
C:\WINDOWS\wiaservc.log Object is locked pominięty
Proces skanowania został zakończony.
Re: Proszę o sprawdzenie loga z HiJak-sa
25 Sie 2008, 08:22
Pobierz The Avenger
wklej do niego ten tekst:
kopiuj to i klikasz na Paste Script from Clipboard wybierasz Execute oraz Potwierdzasz i zgadzasz się na restart klikając OK.
Kasujesz ręcznie z dysku plik: C:\Avenger\backup.zip i wklejasz na forum raport: C:\avenger.txt
wklej do niego ten tekst:
- Kod:
Files to delete:
C:\WINDOWS\system32\oobe\images\title.wma
C:\WINDOWS\system32\wineak32.dll
C:\WINDOWS\system32\winjrs32.dll
kopiuj to i klikasz na Paste Script from Clipboard wybierasz Execute oraz Potwierdzasz i zgadzasz się na restart klikając OK.
Kasujesz ręcznie z dysku plik: C:\Avenger\backup.zip i wklejasz na forum raport: C:\avenger.txt
Re: Proszę o sprawdzenie loga z HiJak-sa
25 Sie 2008, 08:43
[codeLogfile of The Avenger Version 2.0, (c) by Swandog46
http://swandog46.geekstogo.com
Platform: Windows XP
*******************
Script file opened successfully.
Script file read successfully.
Backups directory opened successfully at C:\Avenger
*******************
Beginning to process script file:
Rootkit scan active.
No rootkits found!
File "C:\WINDOWS\system32\oobe\images\title.wma" deleted successfully.
File "C:\WINDOWS\system32\wineak32.dll" deleted successfully.
File "C:\WINDOWS\system32\winjrs32.dll" deleted successfully.
Completed script processing.
*******************
Finished! Terminate.
][/code]
http://swandog46.geekstogo.com
Platform: Windows XP
*******************
Script file opened successfully.
Script file read successfully.
Backups directory opened successfully at C:\Avenger
*******************
Beginning to process script file:
Rootkit scan active.
No rootkits found!
File "C:\WINDOWS\system32\oobe\images\title.wma" deleted successfully.
File "C:\WINDOWS\system32\wineak32.dll" deleted successfully.
File "C:\WINDOWS\system32\winjrs32.dll" deleted successfully.
Completed script processing.
*******************
Finished! Terminate.
][/code]
Re: Proszę o sprawdzenie loga z HiJak-sa
25 Sie 2008, 08:49
Pliki usunięte
Powinno być ok
Powinno być ok
Re: Proszę o sprawdzenie loga z HiJak-sa
25 Sie 2008, 09:21
przeskanowałem jeszcze raz kasperskym i otot raport
- Kod:
-------------------------------------------------------------------------------
KASPERSKY ONLINE SCANNER REPORT
25 sierpień 2008 09:12:57
System operacyjny: Microsoft Windows XP Professional, Dodatek Service Pack. 1 (Build 2600)
Kaspersky Online Scanner wersja: 5.0.98.1
Ostatnia aktualizacja Kaspersky Anti-Virus25/08/2008
Liczba wpisów w bazie danych Kaspersky Anti-Virus1018004
-------------------------------------------------------------------------------
Ustawienia skanowania:
Skanowanie przy użyciu następujących baz danych: standardowe
Skanuj archiwa: tak
Skanuj pocztowe bazy danych: tak
Obszar skanowania - Mój komputer:
A:\
C:\
D:\
E:\
Statystyki skanowania:
Liczba skanowanych obiektów: 23469
Liczba wykrytych wirusów: 1
Liczba zainfekowanych obiektów: 2
Liczba podejrzanych obiektów: 0
Czas trwania skanowania: 00:23:00
Nazwa zainfekowanego obiektu / Nazwa wirusa / Ostatnie działanie
C:\Documents and Settings\All Users\Dane aplikacji\Microsoft\Network\Downloader\qmgr0.dat Object is locked pominięty
C:\Documents and Settings\All Users\Dane aplikacji\Microsoft\Network\Downloader\qmgr1.dat Object is locked pominięty
C:\Documents and Settings\kazimierz\Cookies\index.dat Object is locked pominięty
C:\Documents and Settings\kazimierz\Dane aplikacji\Skype\kazimierzgm\call256.dbb Object is locked pominięty
C:\Documents and Settings\kazimierz\Dane aplikacji\Skype\kazimierzgm\callmember256.dbb Object is locked pominięty
C:\Documents and Settings\kazimierz\Dane aplikacji\Skype\kazimierzgm\contactgroup256.dbb Object is locked pominięty
C:\Documents and Settings\kazimierz\Dane aplikacji\Skype\kazimierzgm\dyncontent\bundle.dat Object is locked pominięty
C:\Documents and Settings\kazimierz\Dane aplikacji\Skype\kazimierzgm\index2.dat Object is locked pominięty
C:\Documents and Settings\kazimierz\Dane aplikacji\Skype\kazimierzgm\profile256.dbb Object is locked pominięty
C:\Documents and Settings\kazimierz\Dane aplikacji\Skype\kazimierzgm\user1024.dbb Object is locked pominięty
C:\Documents and Settings\kazimierz\Dane aplikacji\Skype\kazimierzgm\voicemail256.dbb Object is locked pominięty
C:\Documents and Settings\kazimierz\ntuser.dat Object is locked pominięty
C:\Documents and Settings\kazimierz\ntuser.dat.LOG Object is locked pominięty
C:\Documents and Settings\kazimierz\Ustawienia lokalne\Dane aplikacji\Microsoft\Windows\UsrClass.dat Object is locked pominięty
C:\Documents and Settings\kazimierz\Ustawienia lokalne\Dane aplikacji\Microsoft\Windows\UsrClass.dat.LOG Object is locked pominięty
C:\Documents and Settings\kazimierz\Ustawienia lokalne\Historia\History.IE5\index.dat Object is locked pominięty
C:\Documents and Settings\kazimierz\Ustawienia lokalne\Historia\History.IE5\MSHist012008082520080826\index.dat Object is locked pominięty
C:\Documents and Settings\kazimierz\Ustawienia lokalne\Temporary Internet Files\Content.IE5\index.dat Object is locked pominięty
C:\Documents and Settings\LocalService\Cookies\index.dat Object is locked pominięty
C:\Documents and Settings\LocalService\NTUSER.DAT Object is locked pominięty
C:\Documents and Settings\LocalService\ntuser.dat.LOG Object is locked pominięty
C:\Documents and Settings\LocalService\Ustawienia lokalne\Dane aplikacji\Microsoft\Windows\UsrClass.dat Object is locked pominięty
C:\Documents and Settings\LocalService\Ustawienia lokalne\Dane aplikacji\Microsoft\Windows\UsrClass.dat.LOG Object is locked pominięty
C:\Documents and Settings\LocalService\Ustawienia lokalne\Historia\History.IE5\index.dat Object is locked pominięty
C:\Documents and Settings\LocalService\Ustawienia lokalne\Temporary Internet Files\Content.IE5\index.dat Object is locked pominięty
C:\Documents and Settings\NetworkService\NTUSER.DAT Object is locked pominięty
C:\Documents and Settings\NetworkService\ntuser.dat.LOG Object is locked pominięty
C:\Documents and Settings\NetworkService\Ustawienia lokalne\Dane aplikacji\Microsoft\Windows\UsrClass.dat Object is locked pominięty
C:\Documents and Settings\NetworkService\Ustawienia lokalne\Dane aplikacji\Microsoft\Windows\UsrClass.dat.LOG Object is locked pominięty
C:\System Volume Information\_restore{192F8F8A-2300-4380-9E8E-9D711339BD72}\RP2\A0000944.dll Zainfekowanych: Trojan.Win32.Obfuscated.jge pominięty
C:\System Volume Information\_restore{192F8F8A-2300-4380-9E8E-9D711339BD72}\RP2\A0000945.dll Zainfekowanych: Trojan.Win32.Obfuscated.jge pominięty
C:\System Volume Information\_restore{192F8F8A-2300-4380-9E8E-9D711339BD72}\RP2\change.log Object is locked pominięty
C:\WINDOWS\Debug\oakley.log Object is locked pominięty
C:\WINDOWS\Debug\PASSWD.LOG Object is locked pominięty
C:\WINDOWS\SchedLgU.Txt Object is locked pominięty
C:\WINDOWS\Sti_Trace.log Object is locked pominięty
C:\WINDOWS\system32\config\AppEvent.Evt Object is locked pominięty
C:\WINDOWS\system32\config\default Object is locked pominięty
C:\WINDOWS\system32\config\default.LOG Object is locked pominięty
C:\WINDOWS\system32\config\SAM Object is locked pominięty
C:\WINDOWS\system32\config\SAM.LOG Object is locked pominięty
C:\WINDOWS\system32\config\SecEvent.Evt Object is locked pominięty
C:\WINDOWS\system32\config\SECURITY Object is locked pominięty
C:\WINDOWS\system32\config\SECURITY.LOG Object is locked pominięty
C:\WINDOWS\system32\config\software Object is locked pominięty
C:\WINDOWS\system32\config\software.LOG Object is locked pominięty
C:\WINDOWS\system32\config\SysEvent.Evt Object is locked pominięty
C:\WINDOWS\system32\config\system Object is locked pominięty
C:\WINDOWS\system32\config\system.LOG Object is locked pominięty
C:\WINDOWS\system32\h323log.txt Object is locked pominięty
C:\WINDOWS\system32\wbem\Repository\FS\INDEX.BTR Object is locked pominięty
C:\WINDOWS\system32\wbem\Repository\FS\OBJECTS.DATA Object is locked pominięty
C:\WINDOWS\TempFile Object is locked pominięty
C:\WINDOWS\wiadebug.log Object is locked pominięty
C:\WINDOWS\wiaservc.log Object is locked pominięty
D:\System Volume Information\_restore{192F8F8A-2300-4380-9E8E-9D711339BD72}\RP2\change.log Object is locked pominięty
Proces skanowania został zakończony.
Re: Proszę o sprawdzenie loga z HiJak-sa
25 Sie 2008, 09:36
Re: Złapałem Virtumonde - jak to usunąć - log z HiJak-sa
02 Wrz 2008, 09:49
Wielkie dzięki hubert2t -JESTEŚ WIELKI -komp jest czysty 
Mam jeszcze tylko taki mały problem podczas skanowania Spybot-em w pewnym momencie wyświetla mi się komunikat że mam jakiś bład w pliku {Program Files\Spybot-Search_Destroy\Includes\TrojansC.sb} i pisze że szczegóły w Include errors.lob.
Jak wszedłem w TrojansC.sb to uruchomił mi się Spybot i jak go zamknąłem to zniknął mi cały Windows i pojawił się jakiś ekran awaryjny (taki jakby dosowski)
Czy usunąć ten TrojansC.sb?
Mam jeszcze tylko taki mały problem podczas skanowania Spybot-em w pewnym momencie wyświetla mi się komunikat że mam jakiś bład w pliku {Program Files\Spybot-Search_Destroy\Includes\TrojansC.sb} i pisze że szczegóły w Include errors.lob.
Jak wszedłem w TrojansC.sb to uruchomił mi się Spybot i jak go zamknąłem to zniknął mi cały Windows i pojawił się jakiś ekran awaryjny (taki jakby dosowski)
Czy usunąć ten TrojansC.sb?