Ad-Watch - průnik do systému Vyřešeno

[guest]

Po zapnutí PC se ozval Ad-Watch, že byl zjištěn průnik do systému a chtěl blokovat, nebo povolit. Tak jsem to asi 5x zablokoval a výsledek je zoufalej. Všechny ikony na ploše se změnily na ten "neutrál". Nic, ani obnovení systému nejde spustit, jelikož "není přidružen program, blablabla a mám ho vytvořit pomocí možnosti složky. Jediný co se podařilo zprovoznit je Opera. Víte někdo co s tím. Potřebuju aspoň záložky a dokumenty. Nemůžu spustit ani disketovou jednorku. Dík moc!

/změna nadpisu
/mikel

[Reklama]

[mijaja]

Dostaneš se do nouzáku? Zkus sem dát logy z HJT a MWAVu.

[guest]

Tak už jsem se k tomu dostal. Do nouzáku se dostanu, ale není to potřeba. Dostanu se k většině, akorát, že všechny ikony jsou nefunkční a to i ve Startu. Musím přes Tento poč., "C" atd. Problém je, že nemůžu HJT spustit. Ta ikona nefunguje, stáhl jsem ho znova, ale má stejnou ikonu a nejde to spustit. Stejně jako Nod. Ten zmizel úplně, ale najdu ho v Program Files se stejným problémem. Jiné ikony a nefungují. Ale pravvou myší mi normálně programy skenuje??? Vůbec nevím co se stalo, ale mám takový divný pocit, že to zavinil ten PConPoint.

[guest]

Teď se mi podařilo obnovit systém v nouzáku a to hlášení je tady zase. Minule jsem to asi 5x blokoval a tím se to sesypalo. Tady je image. Zkusím HJT a AdWatch zatím nechám v klidu.
http://img263.imageshack.us/img263/2117/varovnks4.jpg
Povedlo a už tam vidím nějaký potvory.
Logfile of HijackThis v1.99.1
Scan saved at 20:57:53, on 18.7.2006
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\spoolsv.exe
C:\WINDOWS\Explorer.EXE
C:\PROGRA~1\netmon\netmon.exe
C:\Program Files\Kerio\Personal Firewall 4\kpf4ss.exe
C:\Program Files\Common Files\Microsoft Shared\VS7Debug\mdm.exe
C:\Program Files\Eset\nod32krn.exe
C:\WINDOWS\system32\nvsvc32.exe
C:\Program Files\Kerio\Personal Firewall 4\kpf4gui.exe
C:\Program Files\Kerio\Personal Firewall 4\kpf4gui.exe
C:\WINDOWS\SOUNDMAN.EXE
C:\Program Files\Eset\nod32kui.exe
C:\WINDOWS\system32\ctfmon.exe
C:\PROGRA~1\Lavasoft\AD-AWA~1\Ad-Watch.exe
C:\Program Files\Svátky a narozeniny\SaN.exe
C:\WINDOWS\system32\wuauclt.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\wuauclt.exe
C:\Program Files\Opera\Opera.exe
C:\INSTALAČKY\HijackThis\hijackthis\HijackThis.exe

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Bar = http://google.icq.com/search/search_frame.php
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = http://google.icq.com
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Odkazy
R3 - URLSearchHook: ICQ Toolbar - {855F3B16-6D32-4fe6-8A56-BBB695989046} - C:\Program Files\ICQToolbar\toolbaru.dll
O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Program Files\Adobe\Acrobat 6.0 CE\Reader\ActiveX\AcroIEHelper.dll
O2 - BHO: Urbagility Toolbar Helper - {307C9C5A-9E2C-4f76-820F-FCF09BF0B7D9} - C:\Program Files\Urbagility Toolbar\v2.0.0.5\Urbagility_Toolbar.dll
O2 - BHO: (no name) - {53707962-6F74-2D53-2644-206D7942484F} - C:\Program Files\Spybot - Search & Destroy\SDHelper.dll
O2 - BHO: Google Toolbar Helper - {AA58ED58-01DD-4d91-8333-CF10577473F7} - (no file)
O3 - Toolbar: ICQ Toolbar - {855F3B16-6D32-4fe6-8A56-BBB695989046} - C:\Program Files\ICQToolbar\toolbaru.dll
O3 - Toolbar: &Google - {2318C2B1-4965-11d4-9B18-009027A5CD4F} - (no file)
O3 - Toolbar: Urbagility Toolbar - {515AB855-A175-436a-BC5C-0E4F50A023A5} - C:\Program Files\Urbagility Toolbar\v2.0.0.5\Urbagility_Toolbar.dll
O4 - HKLM\..\Run: [SoundMan] SOUNDMAN.EXE
O4 - HKLM\..\Run: [nod32kui] "C:\Program Files\Eset\nod32kui.exe" /WAITSERVICE
O4 - HKLM\..\Run: [PinnacleDriverCheck] C:\WINDOWS\system32\PSDrvCheck.exe -CheckReg
O4 - HKLM\..\Run: [WinFast Schedule] C:\Program Files\WinFast\WFTVFM\WFWIZ.exe
O4 - HKLM\..\Run: [KernelFaultCheck] %systemroot%\system32\dumprep 0 -k
O4 - HKLM\..\Run: [SunJavaUpdateSched] C:\Program Files\Java\j2re1.4.2_05\bin\jusched.exe
O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\ctfmon.exe
O4 - HKCU\..\Run: [AWMON] "C:\PROGRA~1\Lavasoft\AD-AWA~1\Ad-Watch.exe"
O4 - Startup: Client Default.lnk = C:\Program Files\Samurize\Client.exe
O4 - Startup: Svátky a narozeniny.lnk = ?
O4 - Global Startup: Adobe Gamma Loader.lnk = C:\Program Files\Common Files\Adobe\Calibration\Adobe Gamma Loader.exe
O4 - Global Startup: Microsoft Office.lnk = C:\Program Files\Microsoft Office\Office10\OSA.EXE
O8 - Extra context menu item: &ICQ Toolbar Search - res://C:\Program Files\ICQToolbar\toolbaru.dll/SEARCH.HTML
O8 - Extra context menu item: &Search - http://edits.mywebsearch.com/toolbaredi ... jhtml?p=ZS
O8 - Extra context menu item: E&xportovat do aplikace Microsoft Excel - res://C:\PROGRA~1\MICROS~2\Office10\EXCEL.EXE/3000
O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\jre1.5.0\bin\npjpi150.dll
O9 - Extra 'Tools' menuitem: Sun Java Console - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\jre1.5.0\bin\npjpi150.dll
O9 - Extra button: ICQ Lite - {B863453A-26C3-4e1f-A54D-A2CD196348E9} - C:\Program Files\ICQLite\ICQLite.exe
O9 - Extra 'Tools' menuitem: ICQ Lite - {B863453A-26C3-4e1f-A54D-A2CD196348E9} - C:\Program Files\ICQLite\ICQLite.exe
O23 - Service: Kerio Personal Firewall 4 (KPF4) - Kerio Technologies - C:\Program Files\Kerio\Personal Firewall 4\kpf4ss.exe
O23 - Service: NOD32 Kernel Service (NOD32krn) - Unknown owner - C:\Program Files\Eset\nod32krn.exe
O23 - Service: NVIDIA Driver Helper Service (NVSvc) - NVIDIA Corporation - C:\WINDOWS\system32\nvsvc32.exe

[mijaja]

No Zdenku.

Musíš vypnout Obnovu systému.

V nouzáku vypni v Taskmanageru toto:

C:\PROGRA~1\netmon\netmon.exe - virus!!!

V HijackThisu fixni:

O2 - BHO: Google Toolbar Helper - {AA58ED58-01DD-4d91-8333-CF10577473F7} - (no file)
O3 - Toolbar: &Google - {2318C2B1-4965-11d4-9B18-009027A5CD4F} - (no file)
O3 - Toolbar: Urbagility Toolbar - {515AB855-A175-436a-BC5C-0E4F50A023A5} - C:\Program Files\Urbagility Toolbar\v2.0.0.5\Urbagility_Toolbar.dll
O4 - HKLM\..\Run: [KernelFaultCheck] %systemroot%\system32\dumprep 0 -k
O4 - HKLM\..\Run: [SunJavaUpdateSched] C:\Program Files\Java\j2re1.4.2_05\bin\jusched.exe
O8 - Extra context menu item: &Search - http://edits.mywebsearch.com/toolbaredi ... jhtml?p=ZS

To červené potom všechno vymaž.

Vlez do regeditu a v klíči:
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run vymaž v pravém okně hodnotu : "NetMon" = "%Windir%\netmon.exe"


Projdi komp NODem a CCleanerem a restartuj do normálu. Potom pošli nový log.

[guest]

Ahoj Mijajo, jdu na to. Teď jsem stáhl CCleaner 1.31.325 a ten má už exe.cz, takže se nemusejí knihovny přepisovat.

Tak už mám konečně čas.
Jak mám tohle vypnout C:\PROGRA~1\netmon\netmon.exe - virus!!!, když to vůbec nevidím???

[guest]

Tak už mám konečně čas.
Jak mám tohle vypnout C:\PROGRA~1\netmon\netmon.exe - virus!!!, když to vůbec nevidím???
A tohle NetMon" = "%Windir%\netmon.exe v registru taky není!
MWAV:
Wed Jul 19 15:48:01 2006 => System found infected with funweb Spyware/Adware ({00a6faf6-072e-44cf-8957-5838f569a31d})! Action taken: No Action Taken
Wed Jul 19 15:48:01 2006 => System found infected with mywebsearchemailplugin Spyware/Adware ({07b18ea9-a523-4961-b6bb-170de4475cca})! Action taken: No Action Taken.
Wed Jul 19 15:48:02 2006 => Object "funwebproducts Spyware/Adware" found in File System! Action Taken: No Action Taken.
Wed Jul 19 15:48:13 2006 => Entry "HKLM\Software\Microsoft\Windows\CurrentVersion\App Management\ARPCache" refers to invalid object "Bod Blob". Action Taken: No Action Taken.
Wed Jul 19 15:48:30 2006 => File C:\WINDOWS\system32\f3PSSavr.scr tagged as "not-a-virus:AdWare.Win32.MyWebSearch". Action Taken: No Action Taken.
Wed Jul 19 15:48:52 2006 => Scanning File C:\WINDOWS\system32\netware.drv
Wed Jul 19 15:49:23 2006 => Scanning File C:\DOCUME~1\PERSON~1\LOCALS~1\Temp\riskware.avc
Wed Jul 19 15:49:23 2006 => Scanning File C:\DOCUME~1\PERSON~1\LOCALS~1\Temp\Spyware.sdb
Wed Jul 19 15:49:25 2006 => Checking for Adware.SeekSeek Virus...
Wed Jul 19 15:49:25 2006 => ***** Scanning complete. *****

Wed Jul 19 15:49:25 2006 => Total Objects Scanned: 20732
Wed Jul 19 15:49:25 2006 => Total Critical Objects: 4
Wed Jul 19 15:49:25 2006 => Total Disinfected Objects: 0
Wed Jul 19 15:49:25 2006 => Total Objects Renamed: 0
Wed Jul 19 15:49:25 2006 => Total Deleted Objects: 0
Wed Jul 19 15:49:25 2006 => Total Errors: 4
Wed Jul 19 15:49:25 2006 => Time Elapsed: 00:01:45
Wed Jul 19 15:49:25 2006 => Virus Database Date: 7/19/2006
Wed Jul 19 15:49:25 2006 => Virus Database Count: 208420

Wed Jul 19 15:49:25 2006 => Scan Completed.
Tak jsem to nějak zkopíroval. Snad je to všechno, ale MWAV se mi zdál nějaký moc rychlý i když byly nastaveny all files ?

[mijaja]

Zdenku, máš zapnuté zobrazování skrytých a systémových souborů?
Ten Netmon.exe musí být ve složce ProgramFiles/Netmon/netmon.exe - tak jak jej HJT našel.

A v těch registrech by to mělo být tak - v levém okně rozevři ten klíč
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run a v pravém okně hledej netmon a smaž jej. Nebo - a to bude lepší - dej normálně CTRL+F (hledat) a napiš do okénka netmon a co ti hledač najde (použij i F3 pro další hledání) všechno smaž.


C:\WINDOWS\system32\f3PSSavr.scr - taky smaž.

C:\WINDOWS\system32\netware.drv - tento ovladač vyzkoušej na Jottiscanu. Nemáš u něj poznámku mwavu, tak nevím co mu je.

[guest]

Tak jsem to všechno našel a odstranil. Netmon hlídal stahování, ale odinstaloval jsem to a odstranil i z registrů. Potom jsem to projel CCleanerem a restart (BO vypnutý), ale ta hláška je tam zase. Tady je nový log HJT. Zítra pokračuju.(Vůbec nechápu, kde se to bere?)Zatím díky!!!
Logfile of HijackThis v1.99.1
Scan saved at 23:23:44, on 19.7.2006
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\spoolsv.exe
C:\WINDOWS\Explorer.EXE
C:\WINDOWS\SOUNDMAN.EXE
C:\Program Files\Eset\nod32kui.exe
C:\WINDOWS\system32\ctfmon.exe
C:\PROGRA~1\Lavasoft\AD-AWA~1\Ad-Watch.exe
C:\Program Files\Svátky a narozeniny\SaN.exe
C:\Program Files\Kerio\Personal Firewall 4\kpf4ss.exe
C:\Program Files\Common Files\Microsoft Shared\VS7Debug\mdm.exe
C:\Program Files\Eset\nod32krn.exe
C:\WINDOWS\system32\nvsvc32.exe
C:\Program Files\Kerio\Personal Firewall 4\kpf4gui.exe
C:\Program Files\Kerio\Personal Firewall 4\kpf4gui.exe
C:\INSTALAČKY\HijackThis\hijackthis\HijackThis.exe
C:\WINDOWS\system32\wuauclt.exe

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Bar = http://google.icq.com/search/search_frame.php
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = http://google.icq.com
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Local Page =
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Odkazy
R3 - URLSearchHook: ICQ Toolbar - {855F3B16-6D32-4fe6-8A56-BBB695989046} - C:\Program Files\ICQToolbar\toolbaru.dll
O2 - BHO: (no name) - {53707962-6F74-2D53-2644-206D7942484F} - C:\Program Files\Spybot - Search & Destroy\SDHelper.dll
O3 - Toolbar: ICQ Toolbar - {855F3B16-6D32-4fe6-8A56-BBB695989046} - C:\Program Files\ICQToolbar\toolbaru.dll
O4 - HKLM\..\Run: [SoundMan] SOUNDMAN.EXE
O4 - HKLM\..\Run: [nod32kui] "C:\Program Files\Eset\nod32kui.exe" /WAITSERVICE
O4 - HKLM\..\Run: [PinnacleDriverCheck] C:\WINDOWS\system32\PSDrvCheck.exe -CheckReg
O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\ctfmon.exe
O4 - HKCU\..\Run: [AWMON] "C:\PROGRA~1\Lavasoft\AD-AWA~1\Ad-Watch.exe"
O4 - Startup: Svátky a narozeniny.lnk = ?
O4 - Global Startup: Adobe Gamma Loader.lnk = C:\Program Files\Common Files\Adobe\Calibration\Adobe Gamma Loader.exe
O4 - Global Startup: Microsoft Office.lnk = C:\Program Files\Microsoft Office\Office10\OSA.EXE
O8 - Extra context menu item: &ICQ Toolbar Search - res://C:\Program Files\ICQToolbar\toolbaru.dll/SEARCH.HTML
O8 - Extra context menu item: E&xportovat do aplikace Microsoft Excel - res://C:\PROGRA~1\MICROS~2\Office10\EXCEL.EXE/3000
O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\jre1.5.0\bin\npjpi150.dll
O9 - Extra 'Tools' menuitem: Sun Java Console - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\jre1.5.0\bin\npjpi150.dll
O9 - Extra button: ICQ Lite - {B863453A-26C3-4e1f-A54D-A2CD196348E9} - C:\Program Files\ICQLite\ICQLite.exe
O9 - Extra 'Tools' menuitem: ICQ Lite - {B863453A-26C3-4e1f-A54D-A2CD196348E9} - C:\Program Files\ICQLite\ICQLite.exe
O23 - Service: Kerio Personal Firewall 4 (KPF4) - Kerio Technologies - C:\Program Files\Kerio\Personal Firewall 4\kpf4ss.exe
O23 - Service: NOD32 Kernel Service (NOD32krn) - Unknown owner - C:\Program Files\Eset\nod32krn.exe
O23 - Service: NVIDIA Driver Helper Service (NVSvc) - NVIDIA Corporation - C:\WINDOWS\system32\nvsvc32.exe

[mijaja]

V tomhle logu to není, to musí být v některém souboru, který označil Mwav - Netmona jsi zrušil, to f3PSSavr.scr také?

Takže se podívej na disku po souboru
MWSSRCAS.DLL
MWSBAR.DLL - jejich CLSID označil Mwav - jak je najdeš smaž je!!

Co se týká toho funwebproductu - budeš muset v registrech najít tohle a smazat ty červené hodnoty a klíče:
HKEY_CLASSES_ROOT\FunWebProductsInstaller.Start
HKEY_CLASSES_ROOT>CLSID_{1D4DB7D2-6EC9-47a3-BD87-1E41684E07BB}
HKEY_CLASSES_ROOT>Interface\{1D4DB7D1-6EC9-47A3-BD87-1E41684E07BB}
HKEY_CLASSES_ROOT>TypeLib\{1D4DB7D1-6EC9-47A3-BD87-1E41684E07BB}
HKEY_LOCAL_MACHINE>SOFTWARE\FunWebProducts

Ještě jak dopadl na Jotiiscanu ten soubor
C:\WINDOWS\system32\netware.drv

Zkontroluj tam ještě:

C:\Program Files\Svátky a narozeniny\SaN.exe

[guest]

Už jsem z toho magor.
NetMon-sledovač stahování-odstraněn!
f3PSSavr.scr-jakýsi pochybný screensaver, který nic nedělal-také odstraněn!
MWSSRCAS.DLL-něco ve Spybotu-odstraněno!
netware.drv-sice nevím od čeho to bylo-taky odstraněno!
SaN.exe-Svátky a narozeniny-to vypadá O.K.
FunWebProducts-odstraněno!
Ty čtyři předchozí jsem nenašel, ale MWAV našel ještě něco a taky jsem to odstranil. Ta hláška tam pořád je a MWAV pořád něco nachází, ale já to nemůžu najít. Jště mne napadá, jestli ty registry nechce přepisovat nějaká aktualizace woken (stahoval jsem asi 4), nebo jestli Ad-aware nemám přeinstalovat. Tady je ještě něco z MWAV, ale nejde to najít???

Fri Jul 21 06:39:40 2006 => System found infected with mywebsearchemailplugin Spyware/Adware ({07b18ea9-a523-4961-b6bb-170de4475cca})! Action taken: No Action Taken.

Fri Jul 21 07:02:57 2006 => ***** Scanning complete. *****

Fri Jul 21 07:02:57 2006 => Total Objects Scanned: 20668
Fri Jul 21 07:02:57 2006 => Total Critical Objects: 0
Fri Jul 21 07:02:57 2006 => Total Disinfected Objects: 0
Fri Jul 21 07:02:57 2006 => Total Objects Renamed: 0
Fri Jul 21 07:02:57 2006 => Total Deleted Objects: 0
Fri Jul 21 07:02:57 2006 => Total Errors: 3
Fri Jul 21 07:02:57 2006 => Time Elapsed: 00:00:56
Fri Jul 21 07:02:57 2006 => Virus Database Date: 7/21/2006
Fri Jul 21 07:02:57 2006 => Virus Database Count: 208804

Fri Jul 21 07:02:57 2006 => Scan Completed.
Nechápu, proč to nachází 3 chyby, když tam je jen jedna??? Nebo nevidím!

[mijaja]

Ten poslední soubor je podle CLSIDu právě soubor MWSBAR.DLL. Jak jsem ti psal předtím - ten jsi nenašel? Zkus to i přes Hledat...

Ty chyby, co ti to ukazuje, to už nebudou šmejdi, ale spíše zdravé soubory buď nějakým šmejdem, nebo i regulérním progranem přepsané a mwavu se nelíbí (?).

V linku Důležité.... mám nějaké odkazy na vyhledávače rootkitů - Vyzkoušej BlackLightBetu, nebo RootkitRevealer.

No a toho Ad-awara, pokud máš jen free verzi, zkus přeinstalovat.