VBS:Malware-gen autorun

onlyxme · #1 (**permalink**) 09.03.2009, 21:45

Jak nigdy nie było z pendrive'm żadnych problemów tak dzisiaj co go wkładam do USB, z częstotliwością co 10 sekunt wyskakuje mi komunikat z avasta o obecności tego wirusa/robaka VBS:Malware-gen.

Szukałam już dużo w związku z tym wirusem, ale mało mi to pomogło. Również też nie znam się zbytnio na tym, musze mieć szczegółowe kroki.

Z tego co przeczytałam, to potrzebne są logi z combofix lub HiJackThis. Narazie wstawię tylko z HiJackThis, gdyż combofix coś nie chciał mi się uruchomić...

Cytat:

Logfile of Trend Micro HijackThis v2.0.2
Scan saved at 20:44:03, on 2009-03-09
Platform: Windows XP Dodatek SP3 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP3 (6.00.2900.5512)
Boot mode: Normal

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\Ati2evxx.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\Ati2evxx.exe
C:\Program Files\Alwil Software\Avast4\aswUpdSv.exe
C:\Program Files\Alwil Software\Avast4\ashServ.exe
C:\WINDOWS\Explorer.EXE
C:\PROGRA~1\ALWILS~1\Avast4\ashDisp.exe
C:\Program Files\Java\jre6\bin\jusched.exe
C:\Program Files\Winamp\winampa.exe
C:\WINDOWS\system32\rundll32.exe
C:\WINDOWS\RTHDCPL.EXE
C:\Program Files\Microsoft Office\Office12\GrooveMonitor.exe
C:\WINDOWS\FixCamera.exe
C:\WINDOWS\tsnp325.exe
C:\WINDOWS\vsnp325.exe
C:\WINDOWS\system32\firefox.exe
C:\WINDOWS\system32\ctfmon.exe
C:\Program Files\uTorrent\uTorrent.exe
C:\WINDOWS\system32\temp1.exe
C:\WINDOWS\system32\spoolsv.exe
C:\Windows\Help\WinHelp.exe
C:\Program Files\RALINK\Common\RaUI.exe
C:\Program Files\IVT Corporation\BlueSoleil\BTNtService.exe
C:\Program Files\Java\jre6\bin\jqs.exe
C:\Program Files\Alcohol Soft\Alcohol 120\StarWind\StarWindServiceAE.exe
C:\WINDOWS\system32\svchost.exe
C:\Program Files\Alwil Software\Avast4\ashMaiSv.exe
C:\Program Files\Alwil Software\Avast4\ashWebSv.exe
C:\WINDOWS\system32\wuauclt.exe
C:\Program Files\Gadu-Gadu\gg.exe
C:\Program Files\Opera\opera.exe
C:\WINDOWS\system32\NOTEPAD.EXE
C:\Documents and Settings\Magdalena Krzyszczak.MAGDALEN-03A07D\Pulpit\HiJackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.youtube.com/
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://www.yahoo.com
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.yahoo.com
R1 - HKCU\Software\Microsoft\Internet Connection Wizard,ShellNext = http://www.yahoo.com/
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Łącza
F3 - REG:win.ini: load=C:\WINDOWS\svchost.exe
O2 - BHO: C:\WINDOWS\system32\hsfd83jfdg.dll - {C5BF49A2-94F3-42BD-F434-3604812C8955} - C:\WINDOWS\system32\hsfd83jfdg.dll
O2 - BHO: adzgalore - {eb3ea62e-f4e2-e09f-3b50-5d4cb6bff022} - C:\WINDOWS\system32\nslE.dll
O4 - HKLM\..\Run: [avast!] C:\PROGRA~1\ALWILS~1\Avast4\ashDisp.exe
O4 - HKLM\..\Run: [SunJavaUpdateSched] "C:\Program Files\Java\jre6\bin\jusched.exe"
O4 - HKLM\..\Run: [WinampAgent] "C:\Program Files\Winamp\winampa.exe"
O4 - HKLM\..\Run: [BluetoothAuthenticationAgent] rundll32.exe bthprops.cpl,,BluetoothAuthenticationAgent
O4 - HKLM\..\Run: [NeroFilterCheck] C:\WINDOWS\system32\NeroCheck.exe
O4 - HKLM\..\Run: [RTHDCPL] RTHDCPL.EXE
O4 - HKLM\..\Run: [Alcmtr] ALCMTR.EXE
O4 - HKLM\..\Run: [Adobe Reader Speed Launcher] "C:\Program Files\Adobe\Reader 9.0\Reader\Reader_sl.exe"
O4 - HKLM\..\Run: [GrooveMonitor] "C:\Program Files\Microsoft Office\Office12\GrooveMonitor.exe"
O4 - HKLM\..\Run: [FixCamera] C:\WINDOWS\FixCamera.exe
O4 - HKLM\..\Run: [tsnp325] C:\WINDOWS\tsnp325.exe
O4 - HKLM\..\Run: [snp325] C:\WINDOWS\vsnp325.exe
O4 - HKLM\..\Run: [] C:\WINDOWS\system32\firefox.exe
O4 - HKLM\..\Run: [Hjkndfiuseiofnmdkf fddfdf] C:\WINDOWS\system32\sachost.exe
O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\ctfmon.exe
O4 - HKCU\..\Run: [uTorrent] "C:\Program Files\uTorrent\uTorrent.exe"
O4 - HKCU\..\Run: [AlcoholAutomount] "C:\Program Files\Alcohol Soft\Alcohol 120\axcmd.exe" /automount
O4 - HKCU\..\Run: [WinHelp] C:\Windows\Help\WinHelp.exe
O4 - HKUS\S-1-5-19\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'USŁUGA LOKALNA')
O4 - HKUS\S-1-5-20\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'USŁUGA SIECIOWA')
O4 - HKUS\S-1-5-18\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'SYSTEM')
O4 - HKUS\.DEFAULT\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'Default user')
O4 - Startup: lsass.exe
O4 - Startup: Tworzenie wycinków ekranu i uruchamianie programu OneNote 2007.lnk = C:\Program Files\Microsoft Office\Office12\ONENOTEM.EXE
O4 - Global Startup: Ralink Wireless Utility.lnk = C:\Program Files\RALINK\Common\RaUI.exe
O8 - Extra context menu item: &D&ownload &with BitComet - res://C:\Program Files\BitComet\BitComet.exe/AddLink.htm
O8 - Extra context menu item: &D&ownload all video with BitComet - res://C:\Program Files\BitComet\BitComet.exe/AddVideo.htm
O8 - Extra context menu item: &D&ownload all with BitComet - res://C:\Program Files\BitComet\BitComet.exe/AddAllLink.htm
O8 - Extra context menu item: Add to Google Photos Screensa&ver - res://C:\WINDOWS\system32\GPhotos.scr/200
O8 - Extra context menu item: E&ksportuj do programu Microsoft Excel - res://C:\PROGRA~1\MICROS~2\Office12\EXCEL.EXE/3000
O9 - Extra button: Wyślij do programu OneNote - {2670000A-7350-4f3c-8081-5663EE0C6C49} - C:\PROGRA~1\MICROS~2\Office12\ONBttnIE.dll
O9 - Extra 'Tools' menuitem: Wyślij &do programu OneNote - {2670000A-7350-4f3c-8081-5663EE0C6C49} - C:\PROGRA~1\MICROS~2\Office12\ONBttnIE.dll
O9 - Extra button: Research - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - C:\PROGRA~1\MICROS~2\Office12\REFIEBAR.DLL
O9 - Extra button: BitComet - {D18A0B52-D63C-4ed0-AFC6-C1E3DC1AF43A} - res://C:\Program Files\BitComet\tools\BitCometBHO_1.2.6.26.dll/206 (file missing)
O9 - Extra button: (no name) - {e2e2dd38-d088-4134-82b7-f2ba38496583} - C:\WINDOWS\Network Diagnostic\xpnetdiag.exe
O9 - Extra 'Tools' menuitem: @xpsp3res.dll,-20001 - {e2e2dd38-d088-4134-82b7-f2ba38496583} - C:\WINDOWS\Network Diagnostic\xpnetdiag.exe
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe
O18 - Protocol: grooveLocalGWS - {88FED34C-F0CA-4636-A375-3CB6248B04CD} - C:\PROGRA~1\MICROS~2\Office12\GR99D3~1.DLL
O20 - AppInit_DLLs: C:\WINDOWS\SYSTEM32\comglt32a.dll
O22 - SharedTaskScheduler: jgzfkj9w38rksndfi7r4 - {C5BF49A2-94F3-42BD-F434-3604812C8955} - C:\WINDOWS\system32\hsfd83jfdg.dll
O23 - Service: avast! iAVS4 Control Service (aswUpdSv) - ALWIL Software - C:\Program Files\Alwil Software\Avast4\aswUpdSv.exe
O23 - Service: Ati HotKey Poller - ATI Technologies Inc. - C:\WINDOWS\system32\Ati2evxx.exe
O23 - Service: avast! Antivirus - ALWIL Software - C:\Program Files\Alwil Software\Avast4\ashServ.exe
O23 - Service: avast! Mail Scanner - ALWIL Software - C:\Program Files\Alwil Software\Avast4\ashMaiSv.exe
O23 - Service: avast! Web Scanner - ALWIL Software - C:\Program Files\Alwil Software\Avast4\ashWebSv.exe
O23 - Service: BlueSoleil Hid Service - Unknown owner - C:\Program Files\IVT Corporation\BlueSoleil\BTNtService.exe
O23 - Service: Google Updater Service (gusvc) - Google - C:\Program Files\Google\Common\Google Updater\GoogleUpdaterService.exe
O23 - Service: Java Quick Starter (JavaQuickStarterService) - Sun Microsystems, Inc. - C:\Program Files\Java\jre6\bin\jqs.exe
O23 - Service: MSSQLServerADHelper - Unknown owner - C:\Program Files\Microsoft SQL Server\80\Tools\Binn\sqladhlp.exe (file missing)
O23 - Service: ServiceLayer - Nokia. - C:\Program Files\PC Connectivity Solution\ServiceLayer.exe
O23 - Service: StarWind AE Service (StarWindServiceAE) - Rocket Division Software - C:\Program Files\Alcohol Soft\Alcohol 120\StarWind\StarWindServiceAE.exe

--
End of file - 7587 bytes

Pawlik1994 · #2 (**permalink**) 09.03.2009, 21:49

Avast jest słabym antywirusem. Pobierz NOD32 i nim przeskanuj pendriva, zresztą na avasta bym uważał, bo nie wykrywa od groma wiruchów. Pamiętam jak miałem go to tak mi się komp zawirusował, że ledwo chodzi ł, nic się zrobić nie dało, a podczas skanowania nic nie wykrywał. Ściągnąłem Eset smart security i od razu 250 wirusów z kompa wyleciało!

PS: tak ogólnie to nie ten dział chyba

onlyxme · #3 (**permalink**) 09.03.2009, 21:57

słyszałam o tym antyvirusie, a że komp mój pójdzie do naprawki, to już nie będę instalować avasta

Cytat:

Napisał Pawlik1994

PS: tak ogólnie to nie ten dział chyba

tutaj właśnie miałam dylemat gdzie wsadzić ten temat ;]

mr.n0b0dy · #4 (**permalink**) 09.03.2009, 21:57

Cytat:

Napisał Pawlik1994

Avast jest słabym antywirusem. Pobierz NOD32 i nim przeskanuj pendriva, zresztą na avasta bym uważał, bo nie wykrywa od groma wiruchów. Pamiętam jak miałem go to tak mi się komp zawirusował, że ledwo chodzi ł, nic się zrobić nie dało, a podczas skanowania nic nie wykrywał. Ściągnąłem Eset smart security i od razu 250 wirusów z kompa wyleciało!

Plotki... Sam używam Avasta i nie narzekam. W dziale z logami są najlepsze dowody, że ludzie łapią syf niezaleznie od tego czym się zabezpieczają...

@onlyxme
Zastosuj program WWDC do zablokowania portów w komputerze robakom internetowym --> http://cybertrash.pl/images/tata/WWDC.html

Zafixuj w HJT:

Kod:

C:\WINDOWS\system32\temp1.exe
F3 - REG:win.ini: load=C:\WINDOWS\svchost.exe
O2 - BHO: C:\WINDOWS\system32\hsfd83jfdg.dll - {C5BF49A2-94F3-42BD-F434-3604812C8955} - C:\WINDOWS\system32\hsfd83jfdg.dll
O2 - BHO: adzgalore - {eb3ea62e-f4e2-e09f-3b50-5d4cb6bff022} - C:\WINDOWS\system32\nslE.dll
O4 - HKLM\..\Run: [Hjkndfiuseiofnmdkf fddfdf] C:\WINDOWS\system32\sachost.exe
O4 - HKCU\..\Run: [WinHelp] C:\Windows\Help\WinHelp.exe
O4 - Startup: lsass.exe
O20 - AppInit_DLLs: C:\WINDOWS\SYSTEM32\comglt32a.dll
O22 - SharedTaskScheduler: jgzfkj9w38rksndfi7r4 - {C5BF49A2-94F3-42BD-F434-3604812C8955} - C:\WINDOWS\system32\hsfd83jfdg.dll

Jeszcze raz pobierz Combofixa zapisując go na dysku pod zmienioną nazwą od razu (np. domek.exe). Po ściągnięciu natychmiast odpal. Jesli się nie uda to napisz na czym dokładnie polega problem, jakiś komunikat czy coś.

@moderator
Poproszę o przeniesienie tematu do właściwego działu. Dziękuję.

Matik92 · #5 (**permalink**) 09.03.2009, 22:07

Cytat:

Napisał Pawlik1994

PS: tak ogólnie to nie ten dział chyba

No wiesz.... Jakby nie patrzeć to Pendrive jest sprzętem :P

Hmmm... Czyżby SP3 jakze mocno upodabniajacy XP do Visty powodował to że Combofix rozpoznaje Twój system jako "nieznany" i nie moze sie uruchomić?? Myśle że nie... Więc pobierz z innej stronki Combofixa i ponownie zainstaluj i wrzuć logi.

Nie zaszkodziłoby takze przeskanować (ale juz po Combofixie i zafiksowaniu złych wpisów [po tym jak juz wrzucisz logi to Ci powiemy co jest do fiksowania i ew. jak to zrobić]) Twój komputer jakimś dobrym Antyvirem np. Kaspersky

Pozdrawiam

EDIT: @ mr.n0b0dy sorkii ale zacząłem pisac zanim był już Twój post...

onlyxme · #6 (**permalink**) 09.03.2009, 22:20

Cytat:

Zastosuj program WWDC do zablokowania portów w komputerze robakom internetowym --> http://cybertrash.pl/images/tata/WWDC.html

Zafixuj w HJT:

to pomogło

mr.n0b0dy · #7 (**permalink**) 09.03.2009, 22:23

Cytat:

Napisał onlyxme

to pomogło

Nic nie wiesz czy pomogło, nie ściemniaj... Nie interesują mnie Twoje odczucia.

Miałaś pokazać logi. No chyba, że chcesz za kilka godzin/dni zakładać identyczny temat... Dawaj logi, o których mówiłem.
Syf niedoleczony jest jak grypa niedoleczona (mniej więcej

)

onlyxme · #8 (**permalink**) 09.03.2009, 22:43

Cytat:

Napisał mr.n0b0dy

Nic nie wiesz czy pomogło, nie ściemniaj... Nie interesują mnie Twoje odczucia.

Miałaś pokazać logi. No chyba, że chcesz za kilka godzin/dni zakładać identyczny temat... Dawaj logi, o których mówiłem.
Syf niedoleczony jest jak grypa niedoleczona (mniej więcej

)

log combofix ;]

ComboFix 09-03-06.02 - Magdalena Krzyszczak 2009-03-09 21:35:22.1 - NTFSx86
Microsoft Windows XP Professional 5.1.2600.3.1250.1.1045.18.2046.1608 [GMT 1:00]
Uruchomiony z: c:\documents and settings\Magdalena Krzyszczak.MAGDALEN-03A07D\Pulpit\fic.exe
AV: avast! antivirus 4.8.1296 [VPS 090308-0] *On-access scanning enabled* (Updated)
.

((((((((((((((((((((((((((((((((((((((( Usunięto )))))))))))))))))))))))))))))))))))))))))))))))))
.

C:\autorun.inf
c:\windows\autorun.inf
c:\windows\kernel32.exe
c:\windows\svchost.exe
c:\windows\system32.exe
c:\windows\system32\drivers\UACxbrxobox.sys
c:\windows\system32\firefox.exe
c:\windows\system32\hsfd83jfdg.dll
c:\windows\system32\temp1.exe
c:\windows\system32\temp2.exe
c:\windows\system32\UACfoudksdo.log
c:\windows\system32\UACgeyupuws.dll
c:\windows\system32\uacinit.dll
c:\windows\system32\UACjitakxyp.dll
c:\windows\system32\UACmrmylrmp.log
c:\windows\system32\UACowqqpofn.log
c:\windows\system32\UACqsxklvrc.dat
c:\windows\system32\UACrfviqjvr.dll
c:\windows\system32\UACriqhrmqp.dll
c:\windows\system32\vcmgcd32.dl_
c:\windows\xcopy.exe
D:\Autorun.inf
D:\copy.exe
D:\host.exe
F:\autorun.inf
F:\copy.exe
F:\host.exe

.
((((((((((((((((((((((((((((((((((((((( Sterowniki/Usługi )))))))))))))))))))))))))))))))))))))))))))))))))
.

-------\Service_UACd.sys

((((((((((((((((((((((((( Pliki utworzone od 2009-02-09 do 2009-03-09 )))))))))))))))))))))))))))))))
.

2009-03-09 21:18 . 2009-03-09 21:18 <DIR> d-------- c:\documents and settings\Magdalena Krzyszczak.MAGDALEN-03A07D\Dane aplikacji\ESET
2009-03-09 21:17 . 2009-03-09 21:17 <DIR> d-------- c:\program files\ESET
2009-03-09 21:17 . 2009-03-09 21:17 <DIR> d-------- c:\documents and settings\All Users.WINDOWS\Dane aplikacji\ESET
2009-03-08 14:33 . 2009-03-08 14:34 61,504 --a------ c:\windows\system32\comglt32a.dll
2009-03-08 01:03 . 2009-03-08 01:22 <DIR> d-------- c:\documents and settings\Magdalena Krzyszczak.MAGDALEN-03A07D\Dane aplikacji\SecondLife
2009-03-06 23:01 . 2009-03-06 23:01 <DIR> d-------- c:\documents and settings\Magdalena Krzyszczak.MAGDALEN-03A07D\Dane aplikacji\Remere's Map Editor
2009-03-04 10:41 . 2009-03-04 20:26 30,000 --a------ c:\windows\system32\sachostp.exe
2009-03-04 10:41 . 2009-03-04 20:26 20,000 --a------ c:\windows\system32\sachosts.exe
2009-03-02 14:29 . 2009-03-02 14:29 <DIR> d-------- c:\program files\Asprate
2009-03-01 12:53 . 2009-03-01 12:53 43,520 --a------ c:\windows\system32\CmdLineExt03.dll
2009-02-27 19:20 . 2009-03-01 23:19 <DIR> d-------- c:\program files\AtomixMP3
2009-02-27 17:04 . 2009-02-27 17:04 <DIR> d-------- c:\program files\Alcohol Soft
2009-02-20 21:46 . 2009-03-01 12:59 <DIR> dr------- c:\program files\Winamp
2009-02-20 21:46 . 2009-02-23 16:06 <DIR> d-------- c:\documents and settings\Magdalena Krzyszczak.MAGDALEN-03A07D\Dane aplikacji\Winamp
2009-02-20 20:22 . 2009-02-20 20:22 539,648 --ahs---- c:\windows\firefox.exe
2009-02-13 16:02 . 2009-02-13 16:02 <DIR> d-------- c:\program files\Opera
2009-02-12 15:05 . 2008-04-14 18:21 91,648 --a------ c:\windows\system32\kswdmcap.ax
2009-02-12 15:05 . 2008-04-14 18:21 91,648 --a--c--- c:\windows\system32\dllcache\kswdmcap.ax
2009-02-12 15:05 . 2008-04-14 18:21 61,952 --a------ c:\windows\system32\kstvtune.ax
2009-02-12 15:05 . 2008-04-14 18:21 61,952 --a--c--- c:\windows\system32\dllcache\kstvtune.ax
2009-02-12 15:05 . 2008-04-14 18:20 54,784 --a------ c:\windows\system32\vfwwdm32.dll
2009-02-12 15:05 . 2008-04-14 18:20 54,784 --a--c--- c:\windows\system32\dllcache\vfwwdm32.dll
2009-02-12 15:05 . 2008-04-14 18:21 43,008 --a------ c:\windows\system32\ksxbar.ax
2009-02-12 15:05 . 2008-04-14 18:21 43,008 --a--c--- c:\windows\system32\dllcache\ksxbar.ax
2009-02-12 14:59 . 2009-02-12 14:59 <DIR> d-------- c:\program files\Common Files\snp325
2009-02-12 14:59 . 2007-04-03 13:55 10,251,904 --a------ c:\windows\system32\drivers\snp325.sys
2009-02-12 14:59 . 2006-10-10 14:11 827,392 --a------ c:\windows\vsnp325.exe
2009-02-12 14:59 . 2006-10-10 15:49 270,336 --a------ c:\windows\tsnp325.exe
2009-02-12 14:59 . 2006-04-18 16:53 155,648 --a------ c:\windows\amcap.exe
2009-02-12 14:59 . 2006-04-12 12:11 147,456 --a------ c:\windows\system32\rsnp325.dll
2009-02-12 14:59 . 2007-03-14 11:21 61,440 --a------ c:\windows\system32\vsnp325.dll
2009-02-12 14:59 . 2005-11-23 13:55 53,248 --a------ c:\windows\system32\csnp325.dll
2009-02-12 14:59 . 2007-02-12 14:50 20,480 --a------ c:\windows\FixCamera.exe
2009-02-12 14:59 . 2004-02-27 17:36 15,498 --a------ c:\windows\snp325.ini
2009-02-12 14:59 . 2004-02-27 17:36 13,023 --a------ c:\windows\snp325.src
2009-02-09 23:31 . 2009-02-09 23:34 3 --a------ c:\windows\sbacknt.bin
2009-02-09 23:27 . 2009-02-09 23:34 <DIR> d-------- c:\program files\vghd
2009-02-09 23:27 . 2009-02-09 23:27 152,904 --a------ c:\windows\system32\vghd.scr

.
(((((((((((((((((((((((((((((((((((((((( Sekcja Find3M )))))))))))))))))))))))))))))))))))))))))))))))))) ))
.
2009-03-09 20:33 --------- d-----w c:\documents and settings\Magdalena Krzyszczak.MAGDALEN-03A07D\Dane aplikacji\uTorrent
2009-03-07 22:09 480,256 ----a-w c:\windows\Help\WinHelp.exe
2009-03-07 19:16 4,434,944 ----a-w c:\windows\Help\AVIS WAR 8.40.EXE
2009-03-06 13:56 --------- d-----r c:\program files\uTorrent
2009-03-05 08:19 85,669 ---ha-w c:\windows\system32\3795fdc9-b1c1-ba3b-1b86-9d1b48e99045.exe
2009-03-01 12:01 --------- d-----w c:\documents and settings\All Users.WINDOWS\Dane aplikacji\Spybot - Search & Destroy
2009-02-28 18:30 --------- d-----w c:\documents and settings\Magdalena Krzyszczak.MAGDALEN-03A07D\Dane aplikacji\dvdcss
2009-02-28 14:20 --------- d-----w c:\documents and settings\Magdalena Krzyszczak.MAGDALEN-03A07D\Dane aplikacji\Sony
2009-02-21 12:11 --------- d---a-w c:\documents and settings\All Users.WINDOWS\Dane aplikacji\TEMP
2009-02-12 13:59 --------- d--h--w c:\program files\InstallShield Installation Information
2009-02-09 22:36 --------- d-----w c:\program files\Google
2009-02-09 21:16 --------- d-----r c:\program files\Lavalys
2009-02-08 20:05 1,038,084 ----a-w c:\windows\system32\PerfStringBackup.TMP
2009-02-08 09:48 --------- d-----r c:\program files\Nokia
2009-02-08 09:47 --------- d-----r c:\program files\DAEMON Tools Lite
2009-02-06 13:40 --------- d-----w c:\documents and settings\Magdalena Krzyszczak.MAGDALEN-03A07D\Dane aplikacji\Ventrilo
2009-02-05 19:57 --------- d-----w c:\documents and settings\All Users.WINDOWS\Dane aplikacji\Fugazo
2009-02-04 21:41 0 ---ha-w c:\windows\system32\drivers\MsftWdf_Kernel_01007_C oinstaller_Critical.Wdf
2009-02-04 21:41 0 ---ha-w c:\windows\system32\drivers\Msft_Kernel_ccdcmb_010 07.Wdf
2009-02-04 21:41 --------- d-----w c:\documents and settings\Magdalena Krzyszczak.MAGDALEN-03A07D\Dane aplikacji\PC Suite
2009-02-04 21:41 --------- d-----w c:\documents and settings\Magdalena Krzyszczak.MAGDALEN-03A07D\Dane aplikacji\Nokia
2009-02-04 21:39 --------- d-----w c:\documents and settings\All Users.WINDOWS\Dane aplikacji\PC Suite
2009-02-04 21:35 --------- d-----w c:\documents and settings\All Users.WINDOWS\Dane aplikacji\Installations
2009-02-04 14:18 --------- d-----w c:\documents and settings\All Users.WINDOWS\Dane aplikacji\Microsoft Help
2009-02-04 14:17 --------- d-----w c:\program files\MSBuild
2009-02-04 14:17 --------- d-----w c:\program files\Microsoft Works
2009-02-04 14:14 --------- d-----w c:\program files\Microsoft Visual Studio 8
2009-02-02 21:27 --------- d-----w c:\program files\Common Files\Adobe
2009-02-02 12:01 --------- d-----w c:\documents and settings\All Users.WINDOWS\Dane aplikacji\Playrix Entertainment
2009-02-01 16:16 --------- d-----w c:\documents and settings\Magdalena Krzyszczak.MAGDALEN-03A07D\Dane aplikacji\Talkback
2009-01-30 18:55 --------- d-----w c:\documents and settings\Magdalena Krzyszczak.MAGDALEN-03A07D\Dane aplikacji\Oberon Games
2009-01-30 18:55 --------- d-----w c:\documents and settings\All Users.WINDOWS\Dane aplikacji\Oberon Games
2009-01-30 13:13 --------- d-----w c:\documents and settings\Magdalena Krzyszczak.MAGDALEN-03A07D\Dane aplikacji\Boomzap
2009-01-25 12:03 --------- d-----w c:\program files\Common Files\DirectX
2009-01-23 19:51 98,304 ---ha-w c:\windows\system32\CmdLineExt.dll
2009-01-23 10:49 20,747 ---ha-w c:\windows\system32\drivers\AegisP.sys
2009-01-23 10:49 --------- d-----r c:\program files\RALINK
2009-01-22 18:29 15,600 ---ha-w c:\windows\gdrv.sys
2009-01-20 13:45 442,368 ---ha-w c:\windows\NEXON_EU_DownloaderUpdater.exe
2009-01-20 11:47 --------- d-----w c:\documents and settings\Magdalena Krzyszczak.MAGDALEN-03A07D\Dane aplikacji\Publish Providers
2009-01-20 11:47 --------- d-----w c:\documents and settings\Magdalena Krzyszczak.MAGDALEN-03A07D\Dane aplikacji\NetMedia Providers
2009-01-20 11:42 --------- d-----w c:\program files\Sony
2009-01-18 13:32 --------- d-----w c:\documents and settings\Magdalena Krzyszczak.MAGDALEN-03A07D\Dane aplikacji\DAEMON Tools Pro
2009-01-18 13:32 --------- d-----w c:\documents and settings\Magdalena Krzyszczak.MAGDALEN-03A07D\Dane aplikacji\DAEMON Tools Lite
2009-01-18 13:32 --------- d-----w c:\documents and settings\Magdalena Krzyszczak.MAGDALEN-03A07D\Dane aplikacji\DAEMON Tools
2009-01-18 13:31 --------- d-----w c:\documents and settings\All Users.WINDOWS\Dane aplikacji\DAEMON Tools Lite
2009-01-18 13:29 717,296 ---ha-w c:\windows\system32\drivers\sptd.sys
2009-01-17 16:24 582,144 ---ha-w c:\windows\Help\NG KEY.EXE
2009-01-15 18:48 --------- d-----w c:\documents and settings\All Users.WINDOWS\Dane aplikacji\Bluetooth
2009-01-15 18:46 --------- d-----w c:\program files\IVT Corporation
2009-01-14 12:23 --------- d-----w c:\program files\Common Files\LightScribe
2009-01-14 12:20 --------- d-----w c:\program files\Ahead
2009-01-12 23:09 --------- d-----r c:\program files\VideoLAN
2009-01-11 18:20 --------- d-----w c:\documents and settings\Magdalena Krzyszczak.MAGDALEN-03A07D\Dane aplikacji\vlc
2009-01-11 18:04 --------- d-----r c:\program files\Gadu-Gadu
2009-01-11 18:04 --------- d-----r c:\program files\bfgclient
2009-01-11 17:09 --------- d-----w c:\documents and settings\Magdalena Krzyszczak.MAGDALEN-03A07D\Dane aplikacji\Simply Super Software
2009-01-11 17:09 --------- d-----w c:\documents and settings\All Users.WINDOWS\Dane aplikacji\Simply Super Software
2009-01-11 16:07 410,984 ---ha-w c:\windows\system32\deploytk.dll
2009-01-11 16:07 --------- d-----r c:\program files\Java
2009-01-11 09:48 --------- d-----w c:\documents and settings\Magdalena Krzyszczak.MAGDALEN-03A07D\Dane aplikacji\Gadu-Gadu
2009-01-10 19:00 --------- d-----w c:\documents and settings\All Users.WINDOWS\Dane aplikacji\Trymedia
2009-01-10 18:50 --------- d-----w c:\documents and settings\Magdalena Krzyszczak.MAGDALEN-03A07D\Dane aplikacji\Playrix Entertainment
2009-01-10 16:14 --------- d-----w c:\program files\Alwil Software
2009-01-10 15:31 --------- d-----w c:\program files\Common Files\ATI Technologies
2009-01-10 14:48 --------- d-----w c:\program files\Common Files\InstallShield
2009-01-10 14:33 335,872 ---ha-w c:\windows\HideWin.exe
2009-01-10 14:32 --------- d-----w c:\documents and settings\Magdalena Krzyszczak.MAGDALEN-03A07D\Dane aplikacji\InstallShield
2009-01-09 12:37 --------- d-----w c:\program files\Avast4
2009-01-05 22:33 3,751,995 ---ha-w c:\windows\system32\GPhotos.scr
2008-08-08 09:05 34,304 -c--a-w c:\program files\RemoveWGA.exe
.

((((((((((((((((((((((((((((((((((((( Wpisy startowe rejestru ))))))))))))))))))))))))))))))))))))))))))))))))))
.
.
*Uwaga* puste wpisy oraz domyślne, prawidłowe wpisy nie są pokazane
REGEDIT4

[HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\Curre ntVersion\Run]
"CTFMON.EXE"="c:\windows\system32\ctfmon.exe" [2008-04-14 15360]
"uTorrent"="c:\program files\uTorrent\uTorrent.exe" [2009-02-03 285184]
"AlcoholAutomount"="c:\program files\Alcohol Soft\Alcohol 120\axcmd.exe" [2009-03-09 200192]

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\Curr entVersion\Run]
"avast!"="c:\progra~1\ALWILS~1\Avast4\ashDisp. exe" [2008-11-26 81000]
"SunJavaUpdateSched"="c:\program files\Java\jre6\bin\jusched.exe" [2009-01-11 136600]
"WinampAgent"="c:\program files\Winamp\winampa.exe" [2008-09-12 36352]
"NeroFilterCheck"="c:\windows\system32\NeroCheck.e xe" [2001-07-09 176128]
"Adobe Reader Speed Launcher"="c:\program files\Adobe\Reader 9.0\Reader\Reader_sl.exe" [2008-06-12 34672]
"GrooveMonitor"="c:\program files\Microsoft Office\Office12\GrooveMonitor.exe" [2006-10-27 31016]
"FixCamera"="c:\windows\FixCamera.exe" [2007-02-12 20480]
"tsnp325"="c:\windows\tsnp325.exe" [2006-10-10 270336]
"snp325"="c:\windows\vsnp325.exe" [2006-10-10 827392]
"BluetoothAuthenticationAgent"="bthprops.cpl" [2008-04-14 c:\windows\system32\bthprops.cpl]
"RTHDCPL"="RTHDCPL.EXE" [2007-09-03 c:\windows\RTHDCPL.exe]

[HKEY_USERS\.DEFAULT\Software\Microsoft\Windows\Cur rentVersion\Run]
"CTFMON.EXE"="c:\windows\system32\CTFMON.EXE" [2008-04-14 15360]

c:\documents and settings\Magdalena Krzyszczak.MAGDALEN-03A07D\Menu Start\Programy\Autostart\
Tworzenie wycink˘w ekranu i uruchamianie programu OneNote 2007.lnk - c:\program files\Microsoft Office\Office12\ONENOTEM.EXE [2006-10-26 98632]

c:\documents and settings\All Users.WINDOWS\Menu Start\Programy\Autostart\
Ralink Wireless Utility.lnk - c:\program files\RALINK\Common\RaUI.exe [2009-01-23 589824]

[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Contro l\SafeBoot\Minimal\Wdf01000.sys]
@="Driver"

[HKLM\~\services\sharedaccess\parameters\firewallpo licy\standardprofile\AuthorizedApplications\List]
"%windir%\\system32\\sessmgr.exe"=
"d:\\BearShare\\BearShare.exe"=
"c:\\Program Files\\IVT Corporation\\BlueSoleil\\BlueSoleil.exe"=
"c:\\WINDOWS\\system32\\dpvsetup.exe"=
"c:\\Program Files\\Gadu-Gadu\\gg.exe"=
"%windir%\\Network Diagnostic\\xpnetdiag.exe"=
"c:\\Program Files\\uTorrent\\uTorrent.exe"=
"c:\\Program Files\\Microsoft Office\\Office12\\OUTLOOK.EXE"=
"c:\\Program Files\\Microsoft Office\\Office12\\GROOVE.EXE"=
"c:\\Program Files\\Microsoft Office\\Office12\\ONENOTE.EXE"=
"d:\\Darknes\\Darkness Otserv 0.4.0 (8.4) Rev. 02\\Darkness 0.4.0 (Console).exe"=
"d:\\Darknes\\Darkness Otserv 0.4.0 (8.4) Rev. 02\\Darkness 0.4.0 (Gui).exe"=
"c:\\Program Files\\Opera\\opera.exe"=
"c:\\WINDOWS\\system32\\sachostp.exe"=
"c:\\WINDOWS\\system32\\sachosts.exe"=
"d:\\SecondLife\\SLVoice.exe"=

[HKLM\~\services\sharedaccess\parameters\firewallpo licy\standardprofile\GloballyOpenPorts\List]
"12699:TCP"= 12699:TCP:BitComet 12699 TCP
"12699:UDP"= 12699:UDP:BitComet 12699 UDP

R1 aswSP;avast! Self Protection;c:\windows\system32\drivers\aswSP.sys [2009-01-11 111184]
R2 aswFsBlk;aswFsBlk;c:\windows\system32\drivers\aswF sBlk.sys [2009-01-11 20560]
S3 EverestDriver;Lavalys EVEREST Kernel Driver;\??\c:\program files\Lavalys\EVEREST Ultimate Edition\kerneld.wnt --> c:\program files\Lavalys\EVEREST Ultimate Edition\kerneld.wnt [?]
S3 SNP325;USB PC Camera (SNPSTD325);c:\windows\system32\drivers\snp325.sys [2009-02-12 10251904]
.
- - - - USUNIĘTO PUSTE WPISY - - - -

BHO-{C5BF49A2-94F3-42BD-F434-3604812C8955} - c:\windows\system32\hsfd83jfdg.dll
WebBrowser-{32099AAC-C132-4136-9E9A-4E364A424E17} - (no file)
SharedTaskScheduler-{C5BF49A2-94F3-42BD-F434-3604812C8955} - c:\windows\system32\hsfd83jfdg.dll

.
------- Skan uzupełniający -------
.
uStart Page = hxxp://www.youtube.com/
mStart Page = hxxp://www.yahoo.com
uInternet Connection Wizard,ShellNext = hxxp://www.yahoo.com/
IE: &D&ownload &with BitComet - c:\program files\BitComet\BitComet.exe/AddLink.htm
IE: &D&ownload all video with BitComet - c:\program files\BitComet\BitComet.exe/AddVideo.htm
IE: &D&ownload all with BitComet - c:\program files\BitComet\BitComet.exe/AddAllLink.htm
IE: Add to Google Photos Screensa&ver - c:\windows\system32\GPhotos.scr/200
IE: E&ksportuj do programu Microsoft Excel - c:\progra~1\MICROS~2\Office12\EXCEL.EXE/3000
.

************************************************** ************************

catchme 0.3.1367 W2K/XP/Vista - rootkit/stealth malware detector by Gmer, http://www.gmer.net
Rootkit scan 2009-03-09 21:37:23
Windows 5.1.2600 Dodatek Service Pack 3 NTFS

skanowanie ukrytych procesów ...

skanowanie ukrytych wpisów autostartu ...

skanowanie ukrytych plików ...

c:\windows\TEMP\_av_proI.tm~a02416\dld1.tmp 10 bytes

skanowanie pomyślnie ukończone
ukryte pliki: 1

************************************************** ************************

[HKEY_LOCAL_MACHINE\System\ControlSet011\Services\E verestDriver]
"ImagePath"="\??\c:\program files\Lavalys\EVEREST Ultimate Edition\kerneld.wnt"
.
--------------------- Pliki DLL ładowane pod uruchomionymi procesami ---------------------

- - - - - - - > 'winlogon.exe'(676)
c:\windows\system32\Ati2evxx.dll
.
Czas ukończenia: 2009-03-09 21:38:48
ComboFix-quarantined-files.txt 2009-03-09 20:38:34

Przed: 3,629,268,992 bajtów wolnych
Po: 3,778,719,744 bajtów wolnych

WindowsXP-KB310994-SP2-Pro-BootDisk-PLK.exe
[boot loader]
timeout=2
default=multi(0)disk(0)rdisk(0)partition(1)\WINDOW S
[operating systems]
c:\cmdcons\BOOTSECT.DAT="Microsoft Windows Recovery Console" /cmdcons
multi(0)disk(0)rdisk(0)partition(1)\WINDOWS="Micro soft Windows XP Professional" /noexecute=optin /fastdetect /usepmtimer /noexecute=optout

252 --- E O F --- 2009-02-01 21:59:15

Przenoszę do odpowiedniego działu
//kaban

Matik92 · #9 (**permalink**) 09.03.2009, 23:05

c:\\WINDOWS\\system32\\sachostp.exe"
c:\\WINDOWS\\system32\\sachosts.exe"

To mi sie nie podoba.. Ale niech ktoś jeszcze sie wypowie...

mr.n0b0dy · #10 (**permalink**) 09.03.2009, 23:28

Podłącz wszelkie przenosne urządzenia usb do komputera (pendrive, empetrójka, telefon, aparat foto - każde które kiedykolwiek podłączałeś do komputera).
Otwórz Notatnik i wklej w nim:

Kod:

File::
c:\windows\system32\sachostp.exe
c:\windows\system32\sachosts.exe
c:\windows\firefox.exe
c:\windows\Help\WinHelp.exe
c:\windows\Help\AVIS WAR 8.40.EXE
c:\windows\system32\3795fdc9-b1c1-ba3b-1b86-9d1b48e99045.exe
c:\windows\Help\NG KEY.EXE
c:\windows\TEMP\_av_proI.tm~a02416\dld1.tmp

DirLook::
c:\program files\Asprate

FileLook::
c:\windows\system32\comglt32a.dll

plik zapisz jako CFScript.txt i przeciągnij na ikonkę Combofixa. Tak powstały log pokaż do oceny.

Co do tego pliku:

Kod:

c:\windows\system32\comglt32a.dll

to zdania w necie podzielone. Wiem, że to coś od Tibii ale tym bardziej jest to dla mnie podejrzane. Najrózniejsze programy wspomagające dla Tibii to wylęgarnia syfu niejednokroć... Przeskanuj ten plik na stronie --> http://www.virustotal.com/en/indexf.html i pokaż wyniki chociaż podejrzewam, że będzie czysty mimo to...

Dla zupelnej pewności możesz jeszcze przeskanować innym programem kompa - Malwarebytes' Anti-Malware --> http://www.malwarebytes.org/mbam.php (po ściągnięciu programu najpierw go zaktaulizuj, po skanowaniu upewnij się, że wszystko co program znalazł masz zaznaczone i kliknij "Remove Selected" - poza absolutnie pewnymi crackami itp.). Log pokaż do oceny.

Szybka odpowiedź
Po Twoich działaniach wystąpiły następujące błędy

OK
Weryfikacja obrazka Wiadomość: Kliknij jedną z ikon szybkiej odpowiedzi w postach powyżej w celu aktywacji tego okna. Opcje Zacytować wiadomość podczas odpowiedzi? Dodawanie szybkiej odpowiedzi - Proszę czekać!

Narzędzia wątku	Przeszukaj ten temat
Wersja do druku Wyślij na email	Przeszukaj ten temat: Zaawansowane wyszukiwanie
Wygląd
Wygląd liniowy Wygląd mieszany Wygląd wątkowy

Podobne wątki
Temat	Autor wątku	Forum	Odpowiedzi	Ostatni post/autor
problem z MS32DLL.dll.vbs	Imielok	Logi do sprawdzenia	1	30.01.2009 20:29
nie działają skrypty *.vbs	radarito	windows	2	15.01.2009 21:56
Wirus MS32DLL.dll.vbs - pomocy	Roonie	Logi do sprawdzenia	7	07.04.2008 21:01
[vbs] Plik vbs służący do zamykania kilku programów	mateuszbara	programowanie	1	19.12.2007 21:09