trojský kůň - GENERIC.ZWE a I-WORM/STRATION.FMI

[ewash]

Ahoj,

už nějakou dobu se snažím vyřešit tento problém, nejsem v odvirovávání začátečník a zkusil už jsem pár věcí, ale nic nepomáhá.

Rád bych se vyhnul formátování disků.

Situace je asi taková, mám licencované AVG - firemní, pokud dám jakkykoliv test, skončí bez nalezení virové nákazy, ale většinou když se dívám na PC na TV, naskočí integrovaný AVG v exploreru s těmito hláškami.

http://i33.servimg.com/u/f33/11/91/63/13/vir10.jpg
http://i33.servimg.com/u/f33/11/91/63/13/vir110.jpg
http://i33.servimg.com/u/f33/11/91/63/13/vir210.jpg

Samozřejmě, ať dám lečit nebo smazat nebo cokoliv jiného, hláška časem vyskočí znova, typ viru/trojanu je stejný jen číslo .exe souboru se liší.

Ikdybych chtěl přímo tento soubor smazat ručně, do system volume information se nedostanu, ale myslím si že musím mít v PC něco co je generuje, podle toho jak jdou ty exe soubory za sebou.

Díky za rady.

[Reklama]

[paul27]

Zkoušel si vypnout obnovu systému - restartovat pc - znova jí popřípadě zapnout? Máš firewall, který by zabránil stahování další havěti do pc? Ten integrovaný v XP nepočítej jako FW.

[ewash]

myslím že obnovu systému hned vypínám po instalaci, ale na to jěště mrknu /nechapu jak to pomůže - to jako vymaže složku system volume inf?/, firewall už nemám, používal jsem Kerio, ale pak jsem se dlouho dobu věnoval aktivně progamingu a to tyhle věci dost brzdí, klienty na GP, teamspeak, irc, xfire apod.

Ale vlastně mám učiný firewall :) počítaj sem odpojil od netu, a surfuju na notebooku, kde mimochodem mam ten vir taky.

Když si na to vzpomenu zpětně, celý ten problém začal v den kdy jsem poprve připojil Notebook k PC :)

Každopadně toto jsou jediné viry co tam objevíš, používám ještě lavasoft adaware.

Vše je aktualizovane.

[paul27]

No jelikož tvoje viry jsou ve složce system volume information, kam se ukládají body obnovy a taky velmi rádi viry, tak bych řekl, že jí máš zapnutou. Pokud jí vypneš - restartuješ, tak se všechno z této složky smaže - jak body obnovy, tak ty viry.

No pokud nechceš jiný FW než ve winech, tak aspoň pracuj z účtu s omezeným oprávněním. Pod Správcem veškeré programy, které spustíš zdědí práva Správce a tak mohou zapisovat do důležitých systémových oblastí a měnit nastavení, pod účtem s omez. právy se to nestane a tak případná infekce nebude mít tak drastické následky.

No a ať tady jen tak nasucho nekecáme, tak sem pošli log z ComboFixe:

Stáhněte a uložte na plochu ComboFix: http://download.bleepingcomputer.com/sUBs/ComboFix.exe

spusťte aplikaci pod účtem s administrátorským oprávněním - následuje licenční ujednání, stiskněte klávesu 1 a potvrďte Enterem pro pokračování - začne se testovat (celá akce trvá cca. 5-10 minut, někdy i trochu déle) - během skenu se nepokoušejte spouštět žádne jiné aplikace a neklikejte do okna ComboFixu - po dokončení se automaticky otevře okno poznámkového bloku s textem (pokud se tak nestane, log je v C:\ComboFix.txt), který sem pomocí známých klávesových zkratek Ctrl + A (označení celého textu) -> Ctrl + C (uložení do jakési schránky) -> Ctrl + V (vložení textu) zkopírujte - a počkejte na další postup

VAROVÁNÍ: Pokud se vám zobrazí "CRITICAL WARNING !!" nesmíte restartovat počítač, o varování napište.

[ewash]

oki hned jak dorazim z práce tak to vyzkouším a napíšu jak to dopadlo. Zatím díky moc.

[paul27]

Tak fajn, ozvy se.

[ewash]

Takze sem vypl tu obnovu, vazne byla zapla :), smazal sem temp, i temp.int.files

a spustil to

ComboFix 08-01-21.7 - ewash 2008-01-22 17:01:26.1 - NTFSx86
Systém Microsoft Windows XP Professional 5.1.2600.2.1250.1.1029.18.189 [GMT 1:00]
Running from: C:\Documents and Settings\ewash\Plocha\ComboFix.exe
* Created a new restore point

WARNING -THIS MACHINE DOES NOT HAVE THE RECOVERY CONSOLE INSTALLED !!
.

((((((((((((((((((((((((((((((((((((((( Other Deletions )))))))))))))))))))))))))))))))))))))))))))))))))
.

C:\Documents and Settings\ewash\Data aplikacˇ\inst.exe
C:\WINDOWS\regedit.com
C:\WINDOWS\system32\taskmgr.com

.
((((((((((((((((((((((((( Files Created from 2007-12-22 to 2008-01-22 )))))))))))))))))))))))))))))))
.

2008-01-22 17:00 . 2000-08-31 08:00 51,200 --a------ C:\WINDOWS\Nircmd.exe
2008-01-14 16:51 . 2008-01-14 16:51 <DIR> d-a------ C:\WINDOWS\zts2.exe
2008-01-14 16:51 . 2008-01-14 16:51 <DIR> d-a------ C:\WINDOWS\system32\vcmgcd32.dll
2008-01-14 16:51 . 2008-01-14 16:51 <DIR> d-a------ C:\WINDOWS\system32\iifgfgf.dll
2008-01-14 16:51 . 2008-01-14 16:51 <DIR> d-a------ C:\WINDOWS\rundll16.exe
2008-01-14 16:51 . 2008-01-14 16:51 <DIR> d-a------ C:\WINDOWS\rundl132.dll
2008-01-14 16:51 . 2008-01-14 16:51 <DIR> d-a------ C:\WINDOWS\logo1_.exe
2008-01-14 16:40 . 2004-08-17 15:49 147,968 --a------ C:\WINDOWS\R.COM
2008-01-14 16:40 . 2004-08-17 15:49 137,216 --a------ C:\WINDOWS\system32\T.COM
2008-01-14 16:40 . 2008-01-14 16:47 50 --a------ C:\WINDOWS\Lic.xxx
2008-01-08 16:48 . 2008-01-08 16:48 <DIR> d-------- C:\WINDOWS\Sun
2008-01-08 16:46 . 2008-01-08 16:46 <DIR> d-------- C:\Program Files\Java
2008-01-08 16:46 . 2007-09-24 23:31 69,632 --a------ C:\WINDOWS\system32\javacpl.cpl
2008-01-08 16:45 . 2008-01-08 16:45 <DIR> d-------- C:\Program Files\Common Files\Java
2008-01-08 16:45 . 2008-01-08 16:49 671 --a------ C:\WINDOWS\mozver.dat

.
(((((((((((((((((((((((((((((((((((((((( Find3M Report ))))))))))))))))))))))))))))))))))))))))))))))))))))
.
2008-01-22 15:10 --------- d-----w C:\Program Files\mIRC
2008-01-21 15:26 --------- d-----w C:\Program Files\ICQ6
2008-01-15 16:09 --------- d-----w C:\Program Files\sdc203
2008-01-14 15:41 --------- d-----w C:\Program Files\Mozilla Thunderbird
2007-11-17 17:54 122,880 ----a-w C:\WINDOWS\system32\4nc6nE1bD.dll
2007-02-13 09:24 76 ---ha-w C:\Program Files\Desktop.ini
2003-11-03 19:56 30,208 ----a-w C:\Program Files\GameMinimizer.exe
.

((((((((((((((((((((((((((((((((((((( Reg Loading Points ))))))))))))))))))))))))))))))))))))))))))))))))))
.
.
*Note* empty entries & legit default entries are not shown
REGEDIT4

[HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
"STYLEXP"="C:\Program Files\TGTSoft\StyleXP\StyleXP.exe" [ ]

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
"NvCplDaemon"="C:\WINDOWS\system32\NvCpl.dll" [2005-11-11 13:47 7311360]
"nwiz"="nwiz.exe" [2005-11-11 13:47 1519616 C:\WINDOWS\system32\nwiz.exe]
"NvMediaCenter"="C:\WINDOWS\system32\NvMcTray.dll" [2005-11-11 13:47 86016]
"CTHelper"="CTHELPER.EXE" [2003-08-28 09:45 24576 C:\WINDOWS\system32\CTHELPER.EXE]
"UpdReg"="C:\WINDOWS\UpdReg.EXE" [2000-05-11 01:00 90112]
"Jet Detection"="C:\Program Files\Creative\SBLive\PROGRAM\ADGJDet.exe" [2001-11-29 01:00 28672]
"razer"="C:\Program Files\Razer\razerhid.exe" [2005-05-17 18:21 147456]
"mmtask"="c:\Program Files\MusicMatch\MusicMatch Jukebox\mmtask.exe" [2003-12-12 18:55 53248]
"Home Theater SchSvr"="C:\Program Files\Common Files\InterVideo\SchSvr\SchSvr.exe" [2004-09-29 03:01 106496]
"WINCINEMAMGR"="C:\Program Files\InterVideo\Common\Bin\WinCinemaMgr.exe" [2004-09-29 03:26 192512]
"ppc.exe"="C:\WINDOWS\system32\ppc.exe" [ ]
"mhl.exe"="C:\WINDOWS\system32\skp32.exe" [ ]
"rmm.exe"="C:\WINDOWS\system32\rmm.exe" [ ]
"xdr"="C:\WINDOWS\xdr.exe" [ ]
"msk.exe"="C:\WINDOWS\system32\msk.exe" [ ]
"teg.exe"="C:\WINDOWS\system32\teg.exe" [ ]
"bass.exe"="C:\WINDOWS\system32\bass.exe" [ ]
"vpgr.exe"="C:\WINDOWS\system32\vpgr.exe" [ ]
"NWEReboot"="" []
"NeroFilterCheck"="C:\WINDOWS\system32\NeroCheck.exe" [2001-07-09 10:50 155648]
"AVG7_CC"="C:\PROGRA~1\Grisoft\AVG7\avgcc.exe" [2007-12-20 22:29 579072]
"SunJavaUpdateSched"="C:\Program Files\Java\jre1.6.0_03\bin\jusched.exe" [2007-09-25 01:11 132496]

[HKEY_USERS\.DEFAULT\Software\Microsoft\Windows\CurrentVersion\Run]
"CTFMON.EXE"="C:\WINDOWS\System32\CTFMON.EXE" [2004-08-17 15:49 15360]
"AVG7_Run"="C:\PROGRA~1\Grisoft\AVG7\avgw.exe" [2007-11-21 22:16 219136]

R3 axsaki;axsaki;C:\WINDOWS\system32\DRIVERS\axsaki.sys [2003-03-30 21:38]
R3 axskbus;axskbus;C:\WINDOWS\system32\DRIVERS\axskbus.sys [2003-03-28 11:58]
R3 Cap713x;Cap713x Video Capture;C:\WINDOWS\system32\DRIVERS\Cap713x.sys [2004-10-14 08:19]
R3 PSched;Plánovač paketů technologie QoS;C:\WINDOWS\system32\DRIVERS\psched.sys [2004-08-03 23:04]
R3 usbccgp;Obecný nadřazený ovladač Microsoft USB;C:\WINDOWS\system32\DRIVERS\usbccgp.sys [2004-08-03 23:08]
R3 usbohci;Ovladač Miniport otevřeného hostitelského řadiče Microsoft USB;C:\WINDOWS\system32\DRIVERS\usbohci.sys [2004-08-03 23:08]
R3 usbstor;Ovladač velkokapacitního paměťového zařízení USB;C:\WINDOWS\system32\DRIVERS\USBSTOR.SYS [2004-08-03 23:08]
S3 Razerlow;Razerlow USB Filter Driver;C:\WINDOWS\system32\Drivers\Razerlow.sys [2005-04-24 22:43]
S3 w550bus;Sony Ericsson W550 driver (WDM);C:\WINDOWS\system32\DRIVERS\w550bus.sys [2005-07-15 14:47]
S3 w550mdfl;Sony Ericsson W550 USB WMC Modem Filter;C:\WINDOWS\system32\DRIVERS\w550mdfl.sys [2005-07-15 14:48]
S3 w550mdm;Sony Ericsson W550 USB WMC Modem Drivers;C:\WINDOWS\system32\DRIVERS\w550mdm.sys [2005-07-15 14:48]
S3 w550mgmt;Sony Ericsson W550 USB WMC Device Management Drivers;C:\WINDOWS\system32\DRIVERS\w550mgmt.sys [2005-07-15 14:49]
S3 w550obex;Sony Ericsson W550 USB WMC OBEX Interface Drivers;C:\WINDOWS\system32\DRIVERS\w550obex.sys [2005-07-15 14:50]

*Newly Created Service* - PROCEXP90
.
**************************************************************************

catchme 0.3.1344 W2K/XP/Vista - rootkit/stealth malware detector by Gmer, http://www.gmer.net
Rootkit scan 2008-01-22 17:03:27
Windows 5.1.2600 Service Pack 2 NTFS

scanning hidden processes ...

scanning hidden autostart entries ...

scanning hidden files ...

scan completed successfully
hidden files: 0

**************************************************************************
.
Completion time: 2008-01-22 17:04:03
ComboFix-quarantined-files.txt 2008-01-22 16:03:47


CO TED?

[paul27]

Tohle nech prosím otestovat na http://www.virustotal.com :
C:\WINDOWS\system32\DRIVERS\axsaki.sys
C:\WINDOWS\system32\DRIVERS\axskbus.sys

Kdyžtak pak smažem všechno najednou.

[ewash]

Soubor axsaki.sys přijatý 2008.01.22 17:41:45 (CET)
Současný stav: Čekejte ... Ve frontě Čekání Testování Dokončeno NENALEZENO ZASTAVENO
Výsledek: 0/32 (0%)


Soubor axskbus.sys přijatý 2008.01.22 17:44:34 (CET)
Současný stav: Čekejte ... Ve frontě Čekání Testování Dokončeno NENALEZENO ZASTAVENO
Výsledek: 0/32 (0%)

[memphisto]

ty soubory jsou Ok. jsou to drivery k SCSI miniport nejsou jen podepsány digitálně MS, tak je to může detekovat jako špatné.

[paul27]

Tákže..

Přesuňte Combofix na plochu (pokud ho tam ještě nemáte) - otevřete si poznámkový blok - do něj zkopírujte text z nasledujícího okna:

File::
C:\WINDOWS\system32\4nc6nE1bD.dll

Registry::
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
"ppc.exe"="-
"mhl.exe"="-
"rmm.exe"="-
"xdr"="-
"msk.exe"="-
"teg.exe"="-
"bass.exe"="-
"vpgr.exe"="-

text uložte jako CFScript.txt na plochu - po uložení uchopte vámi vytvořený soubor .txt levým tlačítkem myši a přesuňte jej nad ikonu ComboFixu - nad ikonou ComboFixu soubor .txt upusťte - spustí se ComboFix (možná budete muset znova potvrdit licenční podmínky stiskem klávesy 1 a Enterem) - a CF začne znova scanovat, nakonci scanování se pokusí CF smazat zadané soubory - po provedení akce se opět zobrazí okno poznámkového bloku s textem, který sem zkopírujte

[Baron Prášil]

Otevři si Poznámkový blok (Start -> Spustit... a napiš do okna Notepad a dej Ok)
Zkopíruj do něj následující text označený zeleně:

Kód: Vybrat vše

File::
C:\WINDOWS\xdr.exe

Registry::
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
"xdr"="C:\WINDOWS\xdr.exe

Zvol možnost Soubor -> Uložit jako... a nastav tyto parametry:
Název souboru: zde napiš: CFScript.txt
Uložit jako typ: tak tam vyber Všechny soubory
Ulož soubor na plochu.
Ukonči všechna aktivní okna.
Uchop myší vytvořený skript CFScript.txt, přemísti ho nad stažený program ComboFix.exe a když se oba soubory překryjí, skript upusť

- Automaticky se spustí ComboFix
- Vlož sem log, který vyběhne v závěru čistícího procesu