PC-HELP.CZ

Zdravím, už mi to nedá, jednou za čas se mi v tempu (C:\Documents and Settings\User\Local Settings\Temp) objevuje soubor AU_.EXE

PC je čisté, AdAware 2007, AVG 7.5, Spybot S and D1.4, Registry Booster 2. Vždy na něj přijdu při skenování pomocí Ccleaner(kvůli mazání právě dočasných složek).

PC se nijak zvlášt nechová, ale vrtá mi hlavou co je to zač.

Takže AU_.EXE je Trojan SpyFalcon .. zřejmě máš něco v komplu. Hoď sem log z HijackThis, kluci se ti na to podívají

...a vrtá ti hlavou oprávněně, je to trojan... viz:
http://www.fbmsoftware.com/spyware-net/ ... _exe/3082/

Logfile of Trend Micro HijackThis v2.0.2
Scan saved at 18:06:33, on 6.2.2008
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)
Boot mode: Normal

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\Ati2evxx.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\Ati2evxx.exe
C:\WINDOWS\system32\spoolsv.exe
C:\PROGRA~1\Grisoft\AVG7\avgamsvr.exe
C:\PROGRA~1\Grisoft\AVG7\avgupsvc.exe
C:\PROGRA~1\Grisoft\AVG7\avgemc.exe
C:\WINDOWS\eHome\ehRecvr.exe
C:\WINDOWS\eHome\ehSched.exe
C:\Program Files\Sunbelt Software\Personal Firewall\kpf4ss.exe
C:\Program Files\Sunbelt Software\Personal Firewall\kpf4gui.exe
C:\WINDOWS\system32\dllhost.exe
C:\Program Files\Sunbelt Software\Personal Firewall\kpf4gui.exe
C:\WINDOWS\Explorer.EXE
C:\Program Files\Analog Devices\Core\smax4pnp.exe
C:\PROGRA~1\Grisoft\AVG7\avgcc.exe
C:\WINDOWS\ehome\ehtray.exe
C:\Program Files\DAEMON Tools\daemon.exe
C:\WINDOWS\system32\ctfmon.exe
C:\Program Files\Spybot - Search & Destroy\TeaTimer.exe
C:\WINDOWS\eHome\ehmsas.exe
C:\Program Files\Miranda\Miranda IM\miranda32.exe
C:\Program Files\Opera\Opera.exe
C:\Documents and Settings\Honza\My Documents\Programy\HijackThis\HiJackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Local Page = \blank.htm
O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Program Files\Adobe\Acrobat 7.0\ActiveX\AcroIEHelper.dll
O2 - BHO: (no name) - {53707962-6F74-2D53-2644-206D7942484F} - C:\PROGRA~1\SPYBOT~1\SDHelper.dll
O4 - HKLM\..\Run: [NeroFilterCheck] C:\Program Files\Common Files\Ahead\Lib\NeroCheck.exe
O4 - HKLM\..\Run: [High Definition Audio Property Page Shortcut] HDAShCut.exe
O4 - HKLM\..\Run: [SoundMAXPnP] C:\Program Files\Analog Devices\Core\smax4pnp.exe
O4 - HKLM\..\Run: [AVG7_CC] C:\PROGRA~1\Grisoft\AVG7\avgcc.exe /STARTUP
O4 - HKLM\..\Run: [ehTray] C:\WINDOWS\ehome\ehtray.exe
O4 - HKLM\..\Run: [DAEMON Tools] "C:\Program Files\DAEMON Tools\daemon.exe" -lang 1033
O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\ctfmon.exe
O4 - HKCU\..\Run: [SpybotSD TeaTimer] C:\Program Files\Spybot - Search & Destroy\TeaTimer.exe
O4 - HKUS\S-1-5-19\..\Run: [AVG7_Run] C:\PROGRA~1\Grisoft\AVG7\avgw.exe /RUNONCE (User 'LOCAL SERVICE')
O4 - HKUS\S-1-5-20\..\Run: [AVG7_Run] C:\PROGRA~1\Grisoft\AVG7\avgw.exe /RUNONCE (User 'NETWORK SERVICE')
O4 - HKUS\S-1-5-18\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'SYSTEM')
O4 - HKUS\.DEFAULT\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'Default user')
O4 - Global Startup: Start Firewall.lnk = C:\WINDOWS\system32\net.exe
O9 - Extra button: (no name) - {e2e2dd38-d088-4134-82b7-f2ba38496583} - C:\WINDOWS\Network Diagnostic\xpnetdiag.exe
O9 - Extra 'Tools' menuitem: @xpsp3res.dll,-20001 - {e2e2dd38-d088-4134-82b7-f2ba38496583} - C:\WINDOWS\Network Diagnostic\xpnetdiag.exe
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe
O16 - DPF: {6414512B-B978-451D-A0D8-FCFDF33E833C} (WUWebControl Class) - http://www.update.microsoft.com/windows ... 8215020203
O17 - HKLM\System\CCS\Services\Tcpip\..\{141D41D9-0C9C-4EF0-92CA-58295B123CAE}: NameServer = 89.203.163.254,81.19.33.2
O17 - HKLM\System\CS1\Services\Tcpip\..\{141D41D9-0C9C-4EF0-92CA-58295B123CAE}: NameServer = 89.203.163.254,81.19.33.2
O17 - HKLM\System\CS2\Services\Tcpip\..\{141D41D9-0C9C-4EF0-92CA-58295B123CAE}: NameServer = 89.203.163.254,81.19.33.2
O23 - Service: Ad-Aware 2007 Service (aawservice) - Lavasoft - C:\Program Files\Lavasoft\Ad-Aware 2007\aawservice.exe
O23 - Service: Ati HotKey Poller - ATI Technologies Inc. - C:\WINDOWS\system32\Ati2evxx.exe
O23 - Service: ATI Smart - Unknown owner - C:\WINDOWS\system32\ati2sgag.exe
O23 - Service: AVG7 Alert Manager Server (Avg7Alrt) - GRISOFT, s.r.o. - C:\PROGRA~1\Grisoft\AVG7\avgamsvr.exe
O23 - Service: AVG7 Update Service (Avg7UpdSvc) - GRISOFT, s.r.o. - C:\PROGRA~1\Grisoft\AVG7\avgupsvc.exe
O23 - Service: AVG E-mail Scanner (AVGEMS) - GRISOFT, s.r.o. - C:\PROGRA~1\Grisoft\AVG7\avgemc.exe
O23 - Service: Sunbelt Kerio Personal Firewall 4 (KPF4) - Sunbelt Software - C:\Program Files\Sunbelt Software\Personal Firewall\kpf4ss.exe
O23 - Service: NBService - Nero AG - C:\Program Files\Nero\Nero 7\Nero BackItUp\NBService.exe
O23 - Service: Cyberlink RichVideo Service(CRVS) (RichVideo) - Unknown owner - C:\Program Files\CyberLink\Shared files\RichVideo.exe

--
End of file - 4825 bytes

je to smitfraud a měl by se projevovat takto
http://www.viry.cz/forum/viewtopic.php?t=16619
což nedělá a v logu vidět není,ale project to smitfraudfixem můžeš.

log je v pořádku

Jak jsi řekl nijak se to neprojevuje, jediný nález je (jednou tak za 1 nebo 2 tydny v tempu při čištění Ccleanerem.

Dal jsem se na prohledání PC a našel jsem soubor AU_.EXE......... (nepoznamenal jsem si celý soubor) v C:\WINDOWS\Prefetch

Po smazání souboru a vyčištění smitfraudfixem se hodnota v registru změnila
http://imajr.com/Original.aspx?Id=AU-731203
pro jistotu rapport co vyhodil smitfraudfix
"SmitFraudFix v2.281

Scan done at 20:02:34,17, st 06.02.2008
Run from C:\SmitfraudFix
OS: Microsoft Windows XP [Verze 5.1.2600] - Windows_NT
The filesystem type is NTFS
Fix run in safe mode

»»»»»»»»»»»»»»»»»»»»»»»» SharedTaskScheduler Before SmitFraudFix
!!!Attention, following keys are not inevitably infected!!!

SrchSTS.exe by S!Ri
Search SharedTaskScheduler's .dll

»»»»»»»»»»»»»»»»»»»»»»»» Killing process


»»»»»»»»»»»»»»»»»»»»»»»» hosts


127.0.0.1 localhost

»»»»»»»»»»»»»»»»»»»»»»»» VACFix

VACFix
Credits: Malware Analysis & Diagnostic
Code: S!Ri


»»»»»»»»»»»»»»»»»»»»»»»» Winsock2 Fix

S!Ri's WS2Fix: LSP not Found.


»»»»»»»»»»»»»»»»»»»»»»»» Generic Renos Fix

GenericRenosFix by S!Ri


»»»»»»»»»»»»»»»»»»»»»»»» Deleting infected files


»»»»»»»»»»»»»»»»»»»»»»»» IEDFix

IEDFix.exe by S!Ri


»»»»»»»»»»»»»»»»»»»»»»»» DNS

HKLM\SYSTEM\CCS\Services\Tcpip\..\{141D41D9-0C9C-4EF0-92CA-58295B123CAE}: NameServer=89.203.163.254,81.19.33.2
HKLM\SYSTEM\CS1\Services\Tcpip\..\{141D41D9-0C9C-4EF0-92CA-58295B123CAE}: NameServer=89.203.163.254,81.19.33.2
HKLM\SYSTEM\CS2\Services\Tcpip\..\{141D41D9-0C9C-4EF0-92CA-58295B123CAE}: NameServer=89.203.163.254,81.19.33.2


»»»»»»»»»»»»»»»»»»»»»»»» Deleting Temp Files


»»»»»»»»»»»»»»»»»»»»»»»» Winlogon.System
!!!Attention, following keys are not inevitably infected!!!

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon]
"System"=""


»»»»»»»»»»»»»»»»»»»»»»»» Registry Cleaning

Registry Cleaning done.

»»»»»»»»»»»»»»»»»»»»»»»» SharedTaskScheduler After SmitFraudFix
!!!Attention, following keys are not inevitably infected!!!

SrchSTS.exe by S!Ri
Search SharedTaskScheduler's .dll


»»»»»»»»»»»»»»»»»»»»»»»» End"

Updatoval jsem konečně spybota na verzi 1.5.2 tak zkusím jestli něco najde.

možná by nebyl od věci MWAV

Ok zitra mam čas, vrhnu se na to.

Tak jsem to projel tím MWAVem:

Výsledek testu:
Thu Feb 07 09:52:53 2008 => Testovaných objektů: 112338
Thu Feb 07 09:52:53 2008 => Kritických objektů: 16
Thu Feb 07 09:52:53 2008 => Celkem vyléčených objektů: 0
Thu Feb 07 09:52:53 2008 => Celkem přejmenováno: 0
Thu Feb 07 09:52:53 2008 => Smazaných objektů: 0
Thu Feb 07 09:52:53 2008 => Celkem chyb: 32
Thu Feb 07 09:52:53 2008 => Uplynulý čas: 01:00:40
Thu Feb 07 09:52:53 2008 => Datum vydání databáze: 2/6/2008
Thu Feb 07 09:52:53 2008 => Verze virové databáze: 553700

Informace o nalezených hrozbách:
Objekt "regclean2sqr Corrupted Adware/Spyware" nalezen v souborovém systému! Provedené akce: Nic nebylo provedeno.
Objekt "gain.gator Spyware/Adware" nalezen v souborovém systému! Provedené akce: Nic nebylo provedeno.
Objekt "gain.gator Spyware/Adware" nalezen v souborovém systému! Provedené akce: Nic nebylo provedeno.
Objekt "trojan-downloader.bat.ftp.ab Trojan-Downloader" nalezen v souborovém systému! Provedené akce: Nic nebylo provedeno.
Objekt "trojan-downloader.bat.ftp.ab Trojan-Downloader" nalezen v souborovém systému! Provedené akce: Nic nebylo provedeno.
Objekt "trojan-downloader.bat.ftp.ab Trojan-Downloader" nalezen v souborovém systému! Provedené akce: Nic nebylo provedeno.
Objekt "regclean2sqr Corrupted Adware/Spyware" nalezen v souborovém systému! Provedené akce: Nic nebylo provedeno.
Objekt "uplink Adware" nalezen v souborovém systému! Provedené akce: Nic nebylo provedeno.
Objekt "toolbar888 Browser Hijacker" nalezen v souborovém systému! Provedené akce: Nic nebylo provedeno.
Objekt "mirar Spyware/Adware" nalezen v souborovém systému! Provedené akce: Nic nebylo provedeno.
Objekt "regsort Corrupted Adware/Spyware" nalezen v souborovém systému! Provedené akce: Nic nebylo provedeno.
Objekt "remacc.multiwebsurv Generic Malware" nalezen v souborovém systému! Provedené akce: Nic nebylo provedeno.
Objekt "Possible Fujacks-type Worm" nalezen v souborovém systému! Provedené akce: Nic nebylo provedeno.
Objekt "Possible Fujacks-type Worm" nalezen v souborovém systému! Provedené akce: Nic nebylo provedeno.
Soubor C:\Smitfraud fixuje\SmitfraudFix\Reboot.exe indentifikován jako "not-a-virus:RiskTool.Win32.Reboot.f". Provedené akce: Nic nebylo provedeno.
Soubor C:\Smitfraud fixuje\SmitfraudFix.exe//data.rar/SmitfraudFix\Reboot.exe indentifikován jako "not-a-virus:RiskTool.Win32.Reboot.f". Provedené akce: Nic nebylo provedeno.

Důležité co jsem našel v Logu:
Thu Feb 07 08:53:01 2008 => ***** Testování registrů a souborů na přítomnost Adware/Spyware *****
Thu Feb 07 08:53:02 2008 => Loading Spyware Signatures from new External Database [Name: C:\DOCUME~1\Honza\LOCALS~1\Temp\spydb.avs, Size: 336049].
Thu Feb 07 08:53:05 2008 => Indexed Spyware Databases Successfully Created...

Thu Feb 07 08:53:07 2008 => Offending Key found: HKCU\Software\microsoft\regclean !!!
Thu Feb 07 08:53:14 2008 => Objekt "regclean2sqr Corrupted Adware/Spyware" nalezen v souborovém systému! Provedené akce: Nic nebylo provedeno.

Thu Feb 07 08:53:14 2008 => Offending Key found: HKLM\Software\Microsoft\Windows\CurrentVersion\Internet Settings\p3p\history\gator.com !!!
Thu Feb 07 08:53:14 2008 => Objekt "gain.gator Spyware/Adware" nalezen v souborovém systému! Provedené akce: Nic nebylo provedeno.

Thu Feb 07 08:53:15 2008 => Offending Key found: HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings\p3p\history\gator.com !!!
Thu Feb 07 08:53:15 2008 => Objekt "gain.gator Spyware/Adware" nalezen v souborovém systému! Provedené akce: Nic nebylo provedeno.

Thu Feb 07 08:53:17 2008 => Offending file found: C:\WINDOWS\system32\process.exe
Thu Feb 07 08:53:17 2008 => System found infected with trojan-downloader.bat.ftp.ab Trojan-Downloader (process.exe)! Action taken: Nic nebylo provedeno.

Thu Feb 07 08:53:17 2008 => Offending file found: C:\WINDOWS\system32\swreg.exe
Thu Feb 07 08:53:17 2008 => System found infected with trojan-downloader.bat.ftp.ab Trojan-Downloader (swreg.exe)! Action taken: Nic nebylo provedeno.

Thu Feb 07 08:53:17 2008 => Offending file found: C:\WINDOWS\system32\swsc.exe
Thu Feb 07 08:53:17 2008 => System found infected with trojan-downloader.bat.ftp.ab Trojan-Downloader (swsc.exe)! Action taken: Nic nebylo provedeno.

Thu Feb 07 08:53:23 2008 => Offending Folder found: C:\Documents and Settings\Honza\My Documents\programy\bezpečnost\registry\regclean
Thu Feb 07 08:53:23 2008 => Objekt "regclean2sqr Corrupted Adware/Spyware" nalezen v souborovém systému! Provedené akce: Nic nebylo provedeno.

Thu Feb 07 08:53:24 2008 => Offending file found: C:\Documents and Settings\Honza\My Documents\programy\internet\prohlížeče\torpark\browser\temp\time.dll
Thu Feb 07 08:53:24 2008 => System found infected with uplink Adware (time.dll)! Action taken: Nic nebylo provedeno.

Thu Feb 07 08:53:24 2008 => Offending file found: C:\Documents and Settings\Honza\My Documents\programy\převádění formátů\aimersoftvideoconverter\activate.exe
Thu Feb 07 08:53:24 2008 => System found infected with toolbar888 Browser Hijacker (activate.exe)! Action taken: Nic nebylo provedeno.

Thu Feb 07 08:53:46 2008 => Offending Registry Entry found: hkey_local_machine\software\microsoft\windows\currentversion\internet settings\zonemap\domains\net-nucleus.com
Thu Feb 07 08:53:46 2008 => System found infected with mirar Spyware/Adware (hkey_local_machine\software\microsoft\windows\currentversion\internet settings\zonemap\domains\net-nucleus.com)! Action taken: Nic nebylo provedeno.

Thu Feb 07 08:53:46 2008 => Offending Registry Entry found: hkey_local_machine\software\microsoft\windows\currentversion\explorer\alwaysunloaddll
Thu Feb 07 08:53:46 2008 => System found infected with regsort Corrupted Adware/Spyware (hkey_local_machine\software\microsoft\windows\currentversion\explorer\alwaysunloaddll)! Action taken: Nic nebylo provedeno.

Thu Feb 07 08:53:47 2008 => Offending file found: C:\WINDOWS\iun6002.exe
Thu Feb 07 08:53:47 2008 => System found infected with remacc.multiwebsurv Generic Malware (C:\WINDOWS\iun6002.exe)! Action taken: Nic nebylo provedeno.

Thu Feb 07 08:53:54 2008 => Checking MountPoints2 Registry Key...
Thu Feb 07 08:53:55 2008 => Executable Command Found in {94dcb873-16f6-11dc-be04-0018f3ac3b26}\Shell\AutoRun\command: Setup.exe
Thu Feb 07 08:53:55 2008 => Offending Key found: HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\MountPoints2\{94dcb873-16f6-11dc-be04-0018f3ac3b26} !!!
Thu Feb 07 08:53:55 2008 => Objekt "Possible Fujacks-type Worm" nalezen v souborovém systému! Provedené akce: Nic nebylo provedeno.

Thu Feb 07 08:53:55 2008 => Executable Command Found in {e063399c-433d-11dc-be51-0018f3ac3b26}\Shell\Autoplay\DropTarget\AutoRun\command: C:\WINDOWS\system32\RunDLL32.EXE Shell32.DLL,ShellExec_RunDLL Recycled\ctfmon.exe
Thu Feb 07 08:53:55 2008 => Offending Key found: HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\MountPoints2\{e063399c-433d-11dc-be51-0018f3ac3b26} !!!
Thu Feb 07 08:53:55 2008 => Objekt "Possible Fujacks-type Worm" nalezen v souborovém systému! Provedené akce: Nic nebylo provedeno.


Thu Feb 07 08:55:59 2008 => Scanning File C:\DOCUME~1\Honza\LOCALS~1\Temp\Spyware.sdb
Thu Feb 07 08:59:23 2008 => Scanning File C:\Documents and Settings\Honza\Local Settings\Temp\Spyware.sdb
Thu Feb 07 08:48:39 2008 => Scanning File C:\DOCUME~1\Honza\LOCALS~1\Temp\virus.avi

nemáš náhodou,Vodotěsný,fórum o bezpečnosti?

avenger

skript

Forum o bezpečnosti? Kde? jak si na to přišel? Jinak o bezpečnosti - nezabral na to ani ESET smart security ani AVG antispyware, rezidentní antispyware, antivir a firewall jsem vždy měl.

Předem povím že ty exaky jsem už během dne smazal sám, a po vzniku řady dalších problémů s atributy jsem se v navali vzteku rozhodl vytvořit nový učet s omezenými právy a učet spravce, puvodní problemový učet jsem celý i se soubory smazal.

Pokud kvuli Avengeru bude potřeba, klidně znova pustím MWAV pro nový log.


Log:

Logfile of The Avenger version 1, by Swandog46
Running from registry key:
\Registry\Machine\System\CurrentControlSet\Services\rspxbwar

*******************

Script file located at: \??\C:\vyxo^ona.txt

Script file not found! Error

Could not open script file! Status: 0xc0000034 Abort!
//////////////////////////////////////////


Logfile of The Avenger version 1, by Swandog46
Running from registry key:
\Registry\Machine\System\CurrentControlSet\Services\^eormwdj

*******************

Script file located at: \??\C:\WINDOWS\system32\nqrkpklo.txt
Script file opened successfully.

Script file read successfully

Backups directory opened successfully at C:\Avenger

*******************

Beginning to process script file:



File C:\WINDOWS\system32\process.exe not found!
Deletion of file C:\WINDOWS\system32\process.exe failed!

Could not process line:
C:\WINDOWS\system32\process.exe
Status: 0xc0000034



Could not open file C:\Documents and Settings\Honza\My Documents\programy\internet\prohlížeče\torpark\browser\temp\time.dll for deletion
Deletion of file C:\Documents and Settings\Honza\My Documents\programy\internet\prohlížeče\torpark\browser\temp\time.dll failed!

Could not process line:
C:\Documents and Settings\Honza\My Documents\programy\internet\prohlížeče\torpark\browser\temp\time.dll
Status: 0xc000003a



Could not open file C:\Documents and Settings\Honza\My Documents\programy\převádění formátů\aimersoftvideoconverter\activate.exe for deletion
Deletion of file C:\Documents and Settings\Honza\My Documents\programy\převádění formátů\aimersoftvideoconverter\activate.exe failed!

Could not process line:
C:\Documents and Settings\Honza\My Documents\programy\převádění formátů\aimersoftvideoconverter\activate.exe
Status: 0xc000003a



File C:\WINDOWS\iun6002.exe not found!
Deletion of file C:\WINDOWS\iun6002.exe failed!

Could not process line:
C:\WINDOWS\iun6002.exe
Status: 0xc0000034

Registry key hkey_local_machine\software\microsoft\windows\currentversion\internet settings\zonemap\domains\net-nucleus.com deleted successfully.
Registry key hkey_local_machine\software\microsoft\windows\currentversion\explorer\alwaysunloaddll deleted successfully.

Completed script processing.

*******************

Finished! Terminate.

smazali sme klíče,takže vzhledem k tomu že potíže nemáš,tak se problému věnuj samostatně-
progůgluj si to.na teoretické diskuse nějak nemám čas
když na něco narazíš-pokračuj tady.