win32/ trojanDownloader.Swizzor

[cloud28]

Ahoj.
Mam NOD a ten mi pravidelne hlasi ze sa mi stahuje vyrus win32/ trojanDownloader.Swizzor
infiltrácii zo suboru

Kód: Vybrat vše

http://bins.dns-look-up.com/bins/int/upAYB.int

za kazdu radu vopred dakujem


/úprava kódu
mijaja

[Reklama]

[mijaja]

Ve středu jsem ti dával odpověďna tvůj log a ještě nevíme, jak jsi dopadl. Jestli se ti to podařilo odstranit. No a už zas píšeš. Proč nepokračuješ tam, kde jsme skončili?

[cloud28]

Ano to som spravil a automaticke otvaranie stranok som sa zbavil. Ale vcera vecer ma zacal otravovat tento odkaz...

[Baron Prášil]

a tak si sem ten odkaz dal,ať si to všichni vyzkoušej

[mijaja]

Tak tedy proč sem nedáš zase aktuální log?

[cloud28]

Logfile of HijackThis v1.99.1
Scan saved at 20:54:24, on 25.11.2006
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\Explorer.EXE
C:\WINDOWS\system32\spoolsv.exe
C:\Program Files\Eset\nod32kui.exe
C:\Program Files\Winamp\winampa.exe
C:\WINDOWS\system32\RUNDLL32.EXE
C:\Program Files\PDF\pdfSaver\pdfSaver3.exe
c:\progra~1\intern~1\iexplore.exe
C:\Program Files\Eset\nod32krn.exe
C:\WINDOWS\system32\nvsvc32.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\system32\wscntfy.exe
c:\strong\StrongDC.exe
C:\Program Files\Mozilla Firefox\firefox.exe
C:\Program Files\WinRAR\WinRAR.exe
C:\DOCUME~1\Monika\LOCALS~1\Temp\Rar$EX00.587\HijackThis.exe

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Bar = http://google.icq.com/search/search_frame.php
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = http://google.icq.com
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.atlas.cz/?from=icqhp
R3 - URLSearchHook: ICQ Toolbar - {855F3B16-6D32-4fe6-8A56-BBB695989046} - C:\Program Files\ICQToolbar\toolbaru.dll
O2 - BHO: XTTBPos00 - {055FD26D-3A88-4e15-963D-DC8493744B1D} - C:\Program Files\ICQToolbar\toolbaru.dll
O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Program Files\Adobe\Acrobat 6.0\Reader\ActiveX\AcroIEHelper.dll
O2 - BHO: Windows Live Sign-in Helper - {9030D464-4C02-4ABF-8ECC-5164760863C6} - C:\Program Files\Common Files\Microsoft Shared\Windows Live\WindowsLiveLogin.dll
O2 - BHO: Google Toolbar Helper - {AA58ED58-01DD-4d91-8333-CF10577473F7} - c:\program files\google\googletoolbar1.dll
O3 - Toolbar: ICQ Toolbar - {855F3B16-6D32-4fe6-8A56-BBB695989046} - C:\Program Files\ICQToolbar\toolbaru.dll
O4 - HKLM\..\Run: [nod32kui] "C:\Program Files\Eset\nod32kui.exe" /WAITSERVICE
O4 - HKLM\..\Run: [WinampAgent] C:\Program Files\Winamp\winampa.exe
O4 - HKLM\..\Run: [nwiz] nwiz.exe /install
O4 - HKLM\..\Run: [NvMediaCenter] RUNDLL32.EXE C:\WINDOWS\system32\NvMcTray.dll,NvTaskbarInit
O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\system32\NvCpl.dll,NvStartup
O4 - HKLM\..\Run: [bags log less store] C:\Documents and Settings\All Users\Application Data\Frag The Bags Log\Spam Mags.exe
O4 - HKLM\..\Run: [Mirabilis ICQ] C:\Program Files\ICQ\ICQNet.exe
O4 - HKCU\..\Run: [pdfSaver3] "C:\Program Files\PDF\pdfSaver\pdfSaver3.exe"
O4 - HKCU\..\Run: [isodate] C:\DOCUME~1\Monika\APPLIC~1\OPTION~1\Rdr 2 Type.exe
O4 - HKCU\..\RunOnce: [ICQ Lite] C:\Program Files\ICQLite\ICQLite.exe -trayboot
O4 - HKCU\..\RunOnce: [ICQ] C:\PROGRA~1\ICQ\Icq.exe -trayboot
O6 - HKCU\Software\Policies\Microsoft\Internet Explorer\Restrictions present
O6 - HKCU\Software\Policies\Microsoft\Internet Explorer\Control Panel present
O6 - HKLM\Software\Policies\Microsoft\Internet Explorer\Restrictions present
O6 - HKLM\Software\Policies\Microsoft\Internet Explorer\Control Panel present
O8 - Extra context menu item: &Google Search - res://C:\Program Files\Google\GoogleToolbar1.dll/cmsearch.html
O8 - Extra context menu item: &Translate English Word - res://C:\Program Files\Google\GoogleToolbar1.dll/cmwordtrans.html
O8 - Extra context menu item: Backward Links - res://C:\Program Files\Google\GoogleToolbar1.dll/cmbacklinks.html
O8 - Extra context menu item: Cached Snapshot of Page - res://C:\Program Files\Google\GoogleToolbar1.dll/cmcache.html
O8 - Extra context menu item: Similar Pages - res://C:\Program Files\Google\GoogleToolbar1.dll/cmsimilar.html
O8 - Extra context menu item: Translate Page into English - res://C:\Program Files\Google\GoogleToolbar1.dll/cmtrans.html
O9 - Extra button: ICQ Pro - {6224f700-cba3-4071-b251-47cb894244cd} - C:\Program Files\ICQ\ICQ.exe
O9 - Extra 'Tools' menuitem: ICQ - {6224f700-cba3-4071-b251-47cb894244cd} - C:\Program Files\ICQ\ICQ.exe
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe
O12 - Plugin for .pdf: C:\Program Files\Internet Explorer\PLUGINS\nppdf32.dll
O17 - HKLM\System\CCS\Services\Tcpip\..\{020F468D-03BC-4C20-B54D-5CA0BA768BA2}: NameServer = 84.16.32.234,62.168.116.88
O17 - HKLM\System\CS1\Services\Tcpip\..\{020F468D-03BC-4C20-B54D-5CA0BA768BA2}: NameServer = 84.16.32.234,62.168.116.88
O17 - HKLM\System\CS2\Services\Tcpip\..\{020F468D-03BC-4C20-B54D-5CA0BA768BA2}: NameServer = 84.16.32.234,62.168.116.88
O18 - Protocol: livecall - {828030A1-22C1-4009-854F-8E305202313F} - C:\PROGRA~1\MSNMES~1\MSGRAP~1.DLL
O18 - Protocol: msnim - {828030A1-22C1-4009-854F-8E305202313F} - C:\PROGRA~1\MSNMES~1\MSGRAP~1.DLL
O23 - Service: InstallDriver Table Manager (IDriverT) - Macrovision Corporation - C:\Program Files\Common Files\InstallShield\Driver\11\Intel 32\IDriverT.exe
O23 - Service: Macromedia Licensing Service - Unknown owner - C:\Program Files\Common Files\Macromedia Shared\Service\Macromedia Licensing.exe
O23 - Service: NOD32 Kernel Service (NOD32krn) - Eset - C:\Program Files\Eset\nod32krn.exe
O23 - Service: NVIDIA Display Driver Service (NVSvc) - NVIDIA Corporation - C:\WINDOWS\system32\nvsvc32.exe
O23 - Service: TuneUp WinStyler Theme Service (TUWinStylerThemeSvc) - TuneUp Software GmbH - C:\Program Files\TuneUp Utilities 2006\WinStylerThemeSvc.exe

[mijaja]

Stáhni a nainstaluj si plnohodnotný firewall - na ten wokenní moc nespoléhej.

Tyhle programy najdi a zkontroluj na Jottiscanu:

C:\Documents and Settings\All Users\Application Data\Frag The Bags Log\Spam Mags.exe - to je dost podezřelý soubor
C:\DOCUME~1\Monika\APPLIC~1\OPTION~1\Rdr 2 Type.exe - tohle by měl být ten šmejd

Napiš výsledky, co Jotti našel!

Potom budeme pokračovat.

[cloud28]

Takýto subor som nenasiel v adresary C:\DOCUME~1...
C:\DOCUME~1\Monika\APPLIC~1\OPTION~1\Rdr 2 Type.exe
ale som ho nasiel v adresary windows/pretech a joty scan mi nenasiel ziadnu chybu

[mijaja]

V adresáři Windows\Prefecht je jen cesta ke snadnějšímu spuštění aplikace, pojmenována stejně, jako aplikace, ke které směřuje. Takže ty jsi neskenoval ten soubor Rdr 2 Type.exe, ale jen cestu k jeho spuštění.

Nehledej na disku nic, ale tento řádek zkopíruj celý tak, jak je v kódu a dej vložit do okna Jottiscanu:

Kód: Vybrat vše

C:\DOCUME~1\Monika\APPLIC~1\OPTION~1\Rdr 2 Type.exe

Jotti si ho sám najde. Pokud ne, tak přepiš tu DOSovskou cestu cestou v windows. Mimochodem máš v možnostech složky nastaveno zobrazování skrytých a systémových souborů?