Proszę o sprawdzenie logow,zainfekowane mp3, mnostwo procesów...

simi00 · #1 (**permalink**) 03.11.2009, 17:35

Witam...

Wczoraj podłączylem do komputera mp3..Norton od razu wykrył wirusa o nazwie
Trojan.Packed.NsAnti i automatycznie go usunał jednak mimo to komputer zaczał szwankować... Poza tym w procesach wyswietla mi sie 5 dzialajacych pod ta samą nazwa....np svchost.exe(jest ich kilka -okolo 5-6- tak powinno byc?; nigdy tak nie miałem)

Daje logi z otl'a

OTL

http://wklej.org/id/194191/

Extras

http://wklej.org/id/194193/

W nocy skanowalem komputer mbamem i nic nie wykrył... (Moze lepiej przeskanować komputer jakims online?)

Prosze o pomoc

Oskar.T · #2 (**permalink**) 03.11.2009, 17:50

1. Wklej to w OTL - Custom Scans/Fixes :

Kod:

:OTL
PRC - C:\WINDOWS\explorer.exe (Microsoft Corporation)
SRV - File not found --  -- (navapsvc [Disabled | Stopped])
IE - HKLM\..\URLSearchHook: {57BCA5FA-5DBB-45a2-B558-1755C3F6253B} - Reg Error: Key error. File not found
IE - HKU\.DEFAULT\..\URLSearchHook: {EF99BD32-C1FB-11D2-892F-0090271D4F88} - Reg Error: Key error. File not found
IE - HKU\S-1-5-18\..\URLSearchHook: {EF99BD32-C1FB-11D2-892F-0090271D4F88} - Reg Error: Key error. File not found
O3 - HKU\S-1-5-21-1177238915-2049760794-839522115-1004\..\Toolbar\WebBrowser: (no name) - {31CF9EBE-5755-4A1D-AC25-2834D952D9B4} - No CLSID value found.
O3 - HKU\S-1-5-21-1177238915-2049760794-839522115-1004\..\Toolbar\WebBrowser: (no name) - {32099AAC-C132-4136-9E9A-4E364A424E17} - No CLSID value found.
O4 - Startup: C:\Documents and Settings\net\Start Menu\Programs\Startup\MemTurbo.lnk = C:\Program Files\Silicon Prairie Software\MemTurbo\memturbo.exe File not found
O8 - Extra context menu item: &Winamp Search - Reg Error: Value error. File not found
O16 - DPF: {31435657-9980-0010-8000-00AA00389B71} http://download.microsoft.com/download/e/2/f/e2fcec4b-6c8b-48b7-adab-ab9c403a978f/wvc1dmo.cab (Reg Error: Key error.)
@Alternate Data Stream - 111 bytes -> C:\Documents and Settings\All Users\Application Data\TEMP:DFC5A2B2

:Reg
[-HKEY_CURRENT_USER\software\microsoft\windows\currentversion\explorer\mountpoints2]
[HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\Advanced]
"SuperHidden"=dword:00000001
[HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\Advanced]
"Hidden"=dword:00000001
[HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\Advanced]
"ShowSuperHidden"=dword:00000001
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Advanced\Folder\Hidden\SHOWALL]
"CheckedValue"=dword:00000001
[-HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Advanced\Folder\SuperHidden\Policy\DontShowSuperHidden]
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Advanced\Folder\SuperHidden\Policy\DontShowSuperHidden]
@=""

:Commands
[purity]
[emptytemp]
[clearrestorepoints]
[resethosts]
[start explorer]
[reboot]

i kliknij Run Fix, następnie zgódź się na restart

2. Podłącz tą mp3 ( spokojnie, nie zarazisz się ) i ponownie zrób log z OTL ty razem wg tej instrukcji - po wykonaniu logów NIE odłączaj jej

3. Te procesy svchost są systemowymi i to normalne, że jest ich 6

simi00 · #3 (**permalink**) 03.11.2009, 19:22

zorbilem wszystko tak ja mowiles po restarcie wyswietlilo mi sie takie cos

http://wklej.org/id/194307/

zaczalem robic skana ale zapomnialem podlaczyc mp3 i wcisnalem clean up myslac ze wylaczy to skanowanie po czym pojawila mi sie ikonka z prosba o restart....czy w ten sposob sobie nic nie usune?

podpialem mp3 i zaznaczylem jeszcze raz run scan ....zaraz dam loga

Nowy log z podlaczona mp3 oraz zrobiony wedlog tych instrukcji

OTL
http://wklej.org/id/194345/

Extras

http://wklej.org/id/194346/

Ptrk05 · #4 (**permalink**) 03.11.2009, 20:34

Nic tutaj już nie widać.
Zrób pełne skanowanie Malwarebytes' Anti-Malware.

simi00 · #5 (**permalink**) 03.11.2009, 21:35

przeskanuje komputer i dam loga jutro rano....mam pytanie dlaczego po skanie otl'em w kazdym folderze porobily mi sie pliki thumbs.db i kiedy chce je usunac wyskakuje mi okno z informacja ze jest to plik systemowy i jezeli go usune to komputer moze przestac dzialac? mam juz dosc tego komputera czyszczenie go jest bez sensu bo nie wiem dlaczego po ok 2 tygodniach znowu jest to samo.Nie wchodze na zadne storny,nie sciagam niczego,mam orginalnego windowsa.Jedyne to to ze mam trojana.downloadera w programie ktorego nie moge usunac...

co zrobic z tymi thumbsami?

a tych svchostow nie mam 6 tylko 8......

Ptrk05 · #6 (**permalink**) 03.11.2009, 21:44

Svchostów możesz miec i 15. Ważne zeby byly w C:\Windows\System32\svchost.exe .
Thumbs.db - plik systemowy, miniaturki zdjec.

Start -> Ustawienia -> Panel Sterowania -> Opcje folderów -> Widok -> Klikasz: Przywróć domyślne -> OK.

simi00 · #7 (**permalink**) 03.11.2009, 21:57

dzieki thumbsy zniknely;p wiesz moze co zrobic z blue screenami? jest na to jakis inny sposob oprocz formata? kiedys przez przypadek zahaczyłem noga o kabel zaislajacy i zrobilo sie male spięcie- komputer sie wylaczyl... od tamtej pory kiedy go uruchamiam ponownie robi sie b.screen. musze go wylaczyc odczekac z 10 minut i dopiero wtedy sie wlacza .... dziwne nie? wiesz co na to poradzic?

komputer ciagle mi zwalnia wyslac ci screena moich procesow-moze cos zauwazysz?

Ptrk05 · #8 (**permalink**) 03.11.2009, 22:09

Jesli zahaczyles o kabel, to mozliwe ze sa problemy z zasilaniem. Niestety nie znam sie na Hardware. Co do procesow, jesli chcesz zebym pomogl w optymalizacji to pokaz log z HiJackThis.

simi00 · #9 (**permalink**) 03.11.2009, 22:15

Kod:

Logfile of Trend Micro HijackThis v2.0.0 (BETA)
Scan saved at 21:14, on 2009-11-03
Platform: Windows XP SP3 (WinNT 5.01.2600)
Boot mode: Normal

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\spoolsv.exe
C:\WINDOWS\eHome\ehRecvr.exe
C:\WINDOWS\eHome\ehSched.exe
C:\Program Files\Canon\IJPLM\IJPLMSVC.EXE
C:\Program Files\Norton 360\Engine\3.5.2.11\ccSvcHst.exe
C:\Program Files\Common Files\Nero\Nero BackItUp 4\NBService.exe
C:\WINDOWS\system32\PnkBstrA.exe
C:\WINDOWS\system32\PnkBstrB.exe
C:\WINDOWS\system32\svchost.exe
C:\Program Files\Viewpoint\Common\ViewpointService.exe
C:\Program Files\Viewpoint\Viewpoint Manager\ViewMgr.exe
C:\WINDOWS\system32\dllhost.exe
C:\Program Files\Norton 360\Engine\3.5.2.11\ccSvcHst.exe
C:\WINDOWS\Explorer.EXE
C:\WINDOWS\SOUNDMAN.EXE
C:\Program Files\Canon\MyPrinter\BJMyPrt.exe
C:\Program Files\Java\jre1.6.0_03\bin\jusched.exe
D:\activesync\wcescomm.exe
C:\Program Files\SAGEM WiFi manager\WLANUTL.exe
D:\activesync\rapimgr.exe
C:\Program Files\Google\Chrome\Application\chrome.exe
C:\Program Files\Google\Chrome\Application\chrome.exe
C:\Program Files\Google\Chrome\Application\chrome.exe
D:\Nowy folder\Gadu-Gadu\gg.exe
C:\Program Files\Google\Chrome\Application\chrome.exe
C:\Program Files\Google\Chrome\Application\chrome.exe
C:\Documents and Settings\internet\Desktop\program\HiJackThis_v2.exe

R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://go.microsoft.com/fwlink/?LinkId=69157
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://go.microsoft.com/fwlink/?LinkId=54896
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = http://go.microsoft.com/fwlink/?LinkId=54896
O1 - Hosts: ˙ţ127.0.0.1 localhost
O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Program Files\Adobe\Acrobat 7.0\ActiveX\AcroIEHelper.dll
O2 - BHO: Symantec NCO BHO - {602ADB0E-4AFF-4217-8AA1-95DAC4DFA408} - C:\Program Files\Norton 360\Engine\3.5.2.11\coIEPlg.dll
O2 - BHO: Symantec Intrusion Prevention - {6D53EC84-6AAE-4787-AEEE-F4628F01010C} - C:\Program Files\Norton 360\Engine\3.5.2.11\IPSBHO.DLL
O2 - BHO: Google Toolbar Notifier BHO - {AF69DE43-7D58-4638-B6FA-CE66B5AD205D} - C:\Program Files\Google\GoogleToolbarNotifier\5.1.1309.3572\swg.dll
O3 - Toolbar: Norton Toolbar - {7FEBEFE3-6B19-4349-98D2-FFB09D4B49CA} - C:\Program Files\Norton 360\Engine\3.5.2.11\coIEPlg.dll
O4 - HKLM\..\Run: [SoundMan] SOUNDMAN.EXE
O4 - HKLM\..\Run: [CanonMyPrinter] C:\Program Files\Canon\MyPrinter\BJMyPrt.exe /logon
O4 - HKLM\..\Run: [SunJavaUpdateSched] "C:\Program Files\Java\jre1.6.0_03\bin\jusched.exe"
O4 - HKCU\..\Run: [H/PC Connection Agent] "D:\activesync\wcescomm.exe"
O4 - HKCU\..\Run: [Gadu-Gadu] "D:\Nowy folder\Gadu-Gadu\gg.exe" /tray
O4 - Global Startup: Freenet Tray.lnk = D:\fre\Freenet\bin\freenettray.exe
O4 - Global Startup: Program sieciowy dla SAGEM Wi-Fi 11g USB adapter.lnk = ?
O8 - Extra context menu item: Add to Google Photos Screensa&ver - res://C:\WINDOWS\system32\GPhotos.scr/200
O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\jre1.6.0_03\bin\ssv.dll
O9 - Extra 'Tools' menuitem: Sun Java Console - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\jre1.6.0_03\bin\ssv.dll
O9 - Extra button: Create Mobile Favorite - {2EAF5BB1-070F-11D3-9307-00C04FAE2D4F} - D:\activesync\INetRepl.dll
O9 - Extra button: (no name) - {2EAF5BB2-070F-11D3-9307-00C04FAE2D4F} - D:\activesync\INetRepl.dll
O9 - Extra 'Tools' menuitem: Utwórz Ulubione dla urządzenia przenośnego... - {2EAF5BB2-070F-11D3-9307-00C04FAE2D4F} - D:\activesync\INetRepl.dll
O9 - Extra button: Badanie - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - C:\PROGRA~1\Microsoft Office\OFFICE11\REFIEBAR.DLL
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe
O16 - DPF: {6E32070A-766D-4EE6-879C-DC1FA91D2FC3} (MUWebControl Class) - http://www.update.microsoft.com/microsoftupdate/v6/V5Controls/en/x86/client/muweb_site.cab?1206398965687
O18 - Protocol: skype4com - {FFC8B962-9B40-4DFF-9458-1830C7DD7F5D} - C:\PROGRA~1\COMMON~1\Skype\Skype4COM.dll
O18 - Protocol: symres - {AA1061FE-6C41-421F-9344-69640C9732AB} - C:\Program Files\Norton 360\Engine\3.5.2.11\coIEPlg.dll
O22 - SharedTaskScheduler: Browseui preloader - {438755C2-A8BA-11D1-B96B-00A0C90312E1} - C:\WINDOWS\system32\browseui.dll
O22 - SharedTaskScheduler: Component Categories cache daemon - {8C7461EF-2B13-11d2-BE35-3078302C2030} - C:\WINDOWS\system32\browseui.dll
O23 - Service: Autodesk Licensing Service - Autodesk - C:\Program Files\Common Files\Autodesk Shared\Service\AdskScSrv.exe
O23 - Service: FLEXnet Licensing Service - Macrovision Europe Ltd. - C:\Program Files\Common Files\Macrovision Shared\FLEXnet Publisher\FNPLicensingService.exe
O23 - Service: Freenet background service (freenet) - Tanuki Software, Ltd. - D:\fre\Freenet\bin\wrapper-windows-x86-32.exe
O23 - Service: Google Update Service (gupdate1c985e7a27937c4) (gupdate1c985e7a27937c4) - Google Inc. - C:\Program Files\Google\Update\GoogleUpdate.exe
O23 - Service: Google Software Updater (gusvc) - Google - C:\Program Files\Google\Common\Google Updater\GoogleUpdaterService.exe
O23 - Service: InstallDriver Table Manager (IDriverT) - Macrovision Corporation - C:\Program Files\Common Files\InstallShield\Driver\1050\Intel 32\IDriverT.exe
O23 - Service: Inkjet Printer/Scanner Extended Survey Program (IJPLMSVC) - Unknown owner - C:\Program Files\Canon\IJPLM\IJPLMSVC.EXE
O23 - Service: Norton 360 (N360) - Symantec Corporation - C:\Program Files\Norton 360\Engine\3.5.2.11\ccSvcHst.exe
O23 - Service: Nero BackItUp Scheduler 4.0 - Nero AG - C:\Program Files\Common Files\Nero\Nero BackItUp 4\NBService.exe
O23 - Service: PnkBstrA - Unknown owner - C:\WINDOWS\system32\PnkBstrA.exe
O23 - Service: PnkBstrB - Unknown owner - C:\WINDOWS\system32\PnkBstrB.exe
O23 - Service: SF FrontLine Drivers Auto Removal (v1) (sfrem01) - Protection Technology (StarForce) - C:\WINDOWS\system32\sfrem01.exe
O23 - Service: Viewpoint Service - Viewpoint Corporation - C:\Program Files\Viewpoint\Common\ViewpointService.exe

--
End of file - 6561 bytes

Ptrk05 · #10 (**permalink**) 03.11.2009, 22:36

Dużo zbednych rzeczy nie ma.

Cytat:

O4 - HKLM\..\Run: [SoundMan] SOUNDMAN.EXE

Menadżer karty dzwiekowej. Malo potrzebny, usuniecie na nic nie wplynie.

Cytat:

O4 - HKLM\..\Run: [SunJavaUpdateSched] "C:\Program Files\Java\jre1.6.0_03\bin\jusched.exe"

Aktualizacja Javy. Ciagnie internet w tle

Cytat:

O23 - Service: Google Update Service (gupdate1c985e7a27937c4) (gupdate1c985e7a27937c4) - Google Inc. - C:\Program Files\Google\Update\GoogleUpdate.exe
O23 - Service: Google Software Updater (gusvc) - Google - C:\Program Files\Google\Common\Google Updater\GoogleUpdaterService.exe

Usługa aktualizacji Google. Zapewne używa cały czas internetu. Możesz usunąć a włączysz ją ręcznie raz na jakiś czas.

Jeśli chcesz sie pozbyc, zaznaczasz krateczke obok wpisu i klikasz Fix Checked.

Malwarebytes' Anti-Malware usuń szkodniki i powinno być dobrze.

Co do svchostów, ja widze tylko 3

Szybka odpowiedź
Po Twoich działaniach wystąpiły następujące błędy

OK
Weryfikacja obrazka Wiadomość: Kliknij jedną z ikon szybkiej odpowiedzi w postach powyżej w celu aktywacji tego okna. Opcje Zacytować wiadomość podczas odpowiedzi? Dodawanie szybkiej odpowiedzi - Proszę czekać!

Narzędzia wątku	Przeszukaj ten temat
Wersja do druku Wyślij na email	Przeszukaj ten temat: Zaawansowane wyszukiwanie
Wygląd
Wygląd liniowy Wygląd mieszany Wygląd wątkowy

Podobne wątki
Temat	Autor wątku	Forum	Odpowiedzi	Ostatni post/autor
Proszę o sprawdzenie logów	Pawel92	bezpieczeństwo i anonimowość	3	20.07.2009 18:30
Prosze o sprawdzenie logów :)	drobny6	Logi do sprawdzenia	1	07.02.2009 18:38
proszę o sprawdzenie logów	Betsey	Logi do sprawdzenia	5	26.12.2008 17:15
Prosze o Sprawdzenie Logów - Rutynowe sprawdzenie ;)	kowalus	Logi do sprawdzenia	1	23.11.2008 19:09