PC-HELP.CZ

České diskuzní fórum o počítačích
https://pc-help.cnews.cz/

Prosím o kontrolu logu (vyřešeno)

https://pc-help.cnews.cz/viewtopic.php?f=70&t=22678

Stránka 1 z 2

Prosím o kontrolu logu (vyřešeno)  Vyřešeno

Napsal: 09 led 2008 23:14
od cervena_karkulka
Dobrý den,
před nedávnem jsem měl nehezký problém s rychlostí mého PC. Vcelku pomohla standartní léčba - Avast + Spyware Terminator + defragmentace + Registry Mechanic, ale pro všechny případy sem vkládám výpis z programu HijackThis. Předem bych chtěl poděkovat osobě, jež si najde čas a provede jeho kontrolu.

Logfile of Trend Micro HijackThis v2.0.2
Scan saved at 22:44:59, on 9.1.2008
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)
Boot mode: Normal

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\Program Files\Alwil Software\Avast4\aswUpdSv.exe
C:\Program Files\Alwil Software\Avast4\ashServ.exe
C:\WINDOWS\Explorer.EXE
C:\Program Files\Sony Ericsson\Mobile2\Application Launcher\Application Launcher.exe
C:\PROGRA~1\ALWILS~1\Avast4\ashDisp.exe
C:\WINDOWS\system32\ctfmon.exe
C:\Program Files\Common Files\Teleca Shared\CapabilityManager.exe
C:\WINDOWS\system32\spoolsv.exe
C:\Program Files\Norton Utilities\NPROTECT.EXE
C:\Program Files\Common Files\Teleca Shared\Generic.exe
C:\Program Files\Spyware Terminator\sp_rsser.exe
C:\Program Files\Sony Ericsson\Mobile2\Mobile Phone Monitor\epmworker.exe
C:\Program Files\Alwil Software\Avast4\ashMaiSv.exe
C:\Program Files\Alwil Software\Avast4\ashWebSv.exe
C:\Program Files\Registry Mechanic\RegMech.exe
C:\Program Files\HijackThis\HiJackThis.exe

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Bar = http://google.icq.com/search/search_frame.php
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = http://google.icq.com
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.seznam.cz/
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName =
O2 - BHO: (no name) - {6EE2B496-C1F4-41EC-8A5D-105DF18F6036} - (no file)
O2 - BHO: (no name) - {991EF04C-93CF-469b-A2BE-CC1B3347566F} - (no file)
O4 - HKLM\..\Run: [Sony Ericsson PC Suite] "C:\Program Files\Sony Ericsson\Mobile2\Application Launcher\Application Launcher.exe" /startoptions
O4 - HKLM\..\Run: [avast!] C:\PROGRA~1\ALWILS~1\Avast4\ashDisp.exe
O4 - HKLM\..\RunServices: [msvcc25] svcchost.exe
O4 - HKLM\..\RunServices: [cof.updit] kitcyyz.exe
O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\ctfmon.exe
O4 - HKUS\S-1-5-19\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 'LOCAL SERVICE')
O4 - HKUS\S-1-5-20\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 'NETWORK SERVICE')
O4 - HKUS\S-1-5-21-776561741-1935655697-842925246-500\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 'Administrator')
O4 - HKUS\S-1-5-18\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 'SYSTEM')
O4 - HKUS\S-1-5-18\..\RunOnce: [Windows MS Update 32] sucker.exe (User 'SYSTEM')
O4 - HKUS\.DEFAULT\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 'Default user')
O4 - HKUS\.DEFAULT\..\RunOnce: [Windows MS Update 32] sucker.exe (User 'Default user')
O16 - DPF: {09F1ADAC-76D8-4D0F-99A5-5C907DADB988} - http://cdn.downloadcontrol.com/files/in ... nstall.cab
O17 - HKLM\System\CCS\Services\Tcpip\..\{054F7896-4A97-4218-8162-8AE648B6DD6A}: NameServer = 160.218.10.200 160.218.43.200
O17 - HKLM\System\CCS\Services\Tcpip\..\{A15320C6-6B30-4996-A975-35FD184491C7}: NameServer = 192.168.1.5
O17 - HKLM\System\CS1\Services\Tcpip\..\{054F7896-4A97-4218-8162-8AE648B6DD6A}: NameServer = 160.218.10.200 160.218.43.200
O20 - Winlogon Notify: Applets - C:\WINDOWS\
O20 - Winlogon Notify: ssqqr - C:\WINDOWS\
O21 - SSODL: beeper - {951a98d0-dad6-4a77-8280-a494279a884b} - (no file)
O22 - SharedTaskScheduler: beeper - {951a98d0-dad6-4a77-8280-a494279a884b} - (no file)
O23 - Service: avast! iAVS4 Control Service (aswUpdSv) - ALWIL Software - C:\Program Files\Alwil Software\Avast4\aswUpdSv.exe
O23 - Service: avast! Antivirus - ALWIL Software - C:\Program Files\Alwil Software\Avast4\ashServ.exe
O23 - Service: avast! Mail Scanner - ALWIL Software - C:\Program Files\Alwil Software\Avast4\ashMaiSv.exe
O23 - Service: avast! Web Scanner - ALWIL Software - C:\Program Files\Alwil Software\Avast4\ashWebSv.exe
O23 - Service: Norton Unerase Protection (NProtectService) - Symantec Corporation - C:\Program Files\Norton Utilities\NPROTECT.EXE
O23 - Service: Spyware Terminator Realtime Shield Service (sp_rssrv) - Crawler.com - C:\Program Files\Spyware Terminator\sp_rsser.exe

--
End of file - 4277 bytes


Ještě bych se chtěl optat, zda-li mám ponechat zapnutý štít od Avastu, nebo zapnout štít od Spyware Terminator - zatím se moc neorientuju v kvalitě... (Případně mám nahradit Spyware Terminator Spyware botem? Či zcela jiným?)

V poslední řadě bych se rád zeptal, zda-li mi nemůžete doporučit něco na opravu registrů. Vlastním program Registry Mechanic, ale nejde aktualizovat...

Vím, že je to moc otázek a že ne všechny patří do této sekce, omlouvám se, ale řekl jsem si, že takto to bude snad rychlejší.

Ještě jednou bych Vám chtěl poděkovat za váš čas... :bigups:

Napsal: 09 led 2008 23:22
od Baron Prášil
Vítej na fóru PC-HELP :bigups:

v pořádku ten komp není.

fixni
v okně programu HJT zaškrtni nalevo u položek co napíšu a potom klik na Fix checked
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName =
O2 - BHO: (no name) - {6EE2B496-C1F4-41EC-8A5D-105DF18F6036} - (no file)
O2 - BHO: (no name) - {991EF04C-93CF-469b-A2BE-CC1B3347566F} - (no fil
O4 - HKLM\..\RunServices: [msvcc25] svcchost.exe
O4 - HKLM\..\RunServices: [cof.updit] kitcyyz.exe
O20 - Winlogon Notify: Applets - C:\WINDOWS\
O20 - Winlogon Notify: ssqqr - C:\WINDOWS\
O21 - SSODL: beeper - {951a98d0-dad6-4a77-8280-a494279a884b} - (no file)
O22 - SharedTaskScheduler: beeper - {951a98d0-dad6-4a77-8280-a494279a884b} - (no file)

potom restartuj a pošli novej log z hijackthis

avast nech běžet rezidentně,Spyterminator taky a doinstaluj firewall
vyber si tady,doporučuju ZoneAlarm nebo Comodo

na čištění(opravu) doporučuju CCleaner a RegCleaner

Napsal: 09 led 2008 23:25
od Pic
K otázkám - rezidentní štít může být spuštěn jeden u antiviru a též jeden u antispyware. Každý hlídá něco jiného. Dobré programy na čištění jsou Ccleaner a Regcleaner i další, ale pozor co dáš odstranit. Jinak si najdi návod na jeho používání. Doporučuji přečíst: http://www.pc-help.cz/viewtopic.php?t=4314

Napsal: 09 led 2008 23:53
od cervena_karkulka
Baron Prášil: Děkuji za Vaší ochotu. Udělal vše dle pokynů a znovu zasílám log:

Logfile of Trend Micro HijackThis v2.0.2
Scan saved at 23:37:54, on 9.1.2008
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)
Boot mode: Normal

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\Explorer.EXE
C:\Program Files\Alwil Software\Avast4\aswUpdSv.exe
C:\Program Files\Alwil Software\Avast4\ashServ.exe
C:\WINDOWS\system32\spoolsv.exe
C:\Program Files\Norton Utilities\NPROTECT.EXE
C:\Program Files\Spyware Terminator\sp_rsser.exe
C:\PROGRA~1\ALWILS~1\Avast4\ashDisp.exe
C:\WINDOWS\system32\ctfmon.exe
C:\Program Files\Common Files\Teleca Shared\CapabilityManager.exe
C:\Program Files\Alwil Software\Avast4\ashMaiSv.exe
C:\Program Files\Alwil Software\Avast4\ashWebSv.exe
C:\Program Files\Common Files\Teleca Shared\Generic.exe
C:\Program Files\Sony Ericsson\Mobile2\Mobile Phone Monitor\epmworker.exe
C:\Program Files\Spyware Terminator\SpywareTerminatorShield.exe
C:\Program Files\HijackThis\HiJackThis.exe

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Bar = http://google.icq.com/search/search_frame.php
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = http://google.icq.com
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.seznam.cz/
O4 - HKLM\..\Run: [Sony Ericsson PC Suite] "C:\Program Files\Sony Ericsson\Mobile2\Application Launcher\Application Launcher.exe" /startoptions
O4 - HKLM\..\Run: [avast!] C:\PROGRA~1\ALWILS~1\Avast4\ashDisp.exe
O4 - HKLM\..\Run: [SpywareTerminator] "C:\Program Files\Spyware Terminator\SpywareTerminatorShield.exe"
O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\ctfmon.exe
O4 - HKUS\S-1-5-19\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 'LOCAL SERVICE')
O4 - HKUS\S-1-5-20\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 'NETWORK SERVICE')
O4 - HKUS\S-1-5-18\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 'SYSTEM')
O4 - HKUS\S-1-5-18\..\RunOnce: [Windows MS Update 32] sucker.exe (User 'SYSTEM')
O4 - HKUS\.DEFAULT\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 'Default user')
O4 - HKUS\.DEFAULT\..\RunOnce: [Windows MS Update 32] sucker.exe (User 'Default user')
O16 - DPF: {09F1ADAC-76D8-4D0F-99A5-5C907DADB988} - http://cdn.downloadcontrol.com/files/in ... nstall.cab
O17 - HKLM\System\CCS\Services\Tcpip\..\{054F7896-4A97-4218-8162-8AE648B6DD6A}: NameServer = 160.218.10.200 160.218.43.200
O17 - HKLM\System\CCS\Services\Tcpip\..\{A15320C6-6B30-4996-A975-35FD184491C7}: NameServer = 192.168.1.5
O17 - HKLM\System\CS1\Services\Tcpip\..\{054F7896-4A97-4218-8162-8AE648B6DD6A}: NameServer = 160.218.10.200 160.218.43.200
O23 - Service: avast! iAVS4 Control Service (aswUpdSv) - ALWIL Software - C:\Program Files\Alwil Software\Avast4\aswUpdSv.exe
O23 - Service: avast! Antivirus - ALWIL Software - C:\Program Files\Alwil Software\Avast4\ashServ.exe
O23 - Service: avast! Mail Scanner - ALWIL Software - C:\Program Files\Alwil Software\Avast4\ashMaiSv.exe
O23 - Service: avast! Web Scanner - ALWIL Software - C:\Program Files\Alwil Software\Avast4\ashWebSv.exe
O23 - Service: Norton Unerase Protection (NProtectService) - Symantec Corporation - C:\Program Files\Norton Utilities\NPROTECT.EXE
O23 - Service: Spyware Terminator Realtime Shield Service (sp_rssrv) - Crawler.com - C:\Program Files\Spyware Terminator\sp_rsser.exe

--
End of file - 3607 bytes

Pic: Dobře, zapnu tedy i štít u Terminátoru. Měl jsem obavy, aby dva štíty nezatěžovaly využití procesoru. Váš příspěvek mi situaci osvětlil :)

Napsal: 10 led 2008 00:03
od lipes11
Zdar..
na to čištění registrů používám WinASO Registry optimizer.. zatím nesmazal nic co by neměl.. zkus.. :smile:
L.P.

Napsal: 10 led 2008 00:08
od Baron Prášil
firewall je taky třeba.

fixni
O4 - HKUS\S-1-5-18\..\RunOnce: [Windows MS Update 32] sucker.exe (User 'SYSTEM')
O4 - HKUS\.DEFAULT\..\RunOnce: [Windows MS Update 32] sucker.exe (User 'Default user')

a potom použij Avenger http://www.spyware.cz/go.php?p=spyware&t=aplikace&id=35

a tento skript

Files to delete:
C:\WINDOWS\System32\sucker.exe
C:\WINDOWS\System32\svcchost.exe
C:\WINDOWS\System32\kitcyyz.exe

po restartu vyskočí log z Avengeru,tak ho pošli a novej log z hijackthis(ideálně už s firewallem)

výpis z programu Avenger

Napsal: 10 led 2008 15:12
od cervena_karkulka
Fixnul jsem ty dva řádky, stáhnul Vámi zmiňovaný program, vložil script, spustil a restartoval.

Je možné, že jsem něco udělal chybně viz. výpis z programu Avenger:

Logfile of The Avenger version 1, by Swandog46
Running from registry key:
\Registry\Machine\System\CurrentControlSet\Services\oyfsfxui

*******************

Script file located at: \??\C:\WINDOWS\jcqwblli.txt
Script file opened successfully.

Script file read successfully

Backups directory opened successfully at C:\Avenger

*******************

Beginning to process script file:



File C:\WINDOWS\System32\sucker.exe not found!
Deletion of file C:\WINDOWS\System32\sucker.exe failed!

Could not process line:
C:\WINDOWS\System32\sucker.exe
Status: 0xc0000034



File C:\WINDOWS\System32\svcchost.exe not found!
Deletion of file C:\WINDOWS\System32\svcchost.exe failed!

Could not process line:
C:\WINDOWS\System32\svcchost.exe
Status: 0xc0000034



File C:\WINDOWS\System32\kitcyyz.exe not found!
Deletion of file C:\WINDOWS\System32\kitcyyz.exe failed!

Could not process line:
C:\WINDOWS\System32\kitcyyz.exe
Status: 0xc0000034


Completed script processing.

*******************

Finished! Terminate.

Napsal: 10 led 2008 15:16
od cervena_karkulka
Na Vaše doporučení jsem si stáhnul firewall Comodo...

Zasílám výpis z programu HijakThis:Logfile of Trend Micro HijackThis v2.0.2
Scan saved at 15:09:15, on 10.1.2008
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)
Boot mode: Normal

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\Explorer.EXE
C:\Program Files\Alwil Software\Avast4\aswUpdSv.exe
C:\Program Files\Alwil Software\Avast4\ashServ.exe
C:\Program Files\Sony Ericsson\Mobile2\Application Launcher\Application Launcher.exe
C:\PROGRA~1\ALWILS~1\Avast4\ashDisp.exe
C:\Program Files\Spyware Terminator\SpywareTerminatorShield.exe
C:\WINDOWS\system32\ctfmon.exe
C:\Program Files\Common Files\Teleca Shared\CapabilityManager.exe
C:\WINDOWS\system32\spoolsv.exe
C:\Program Files\COMODO\Firewall\cmdagent.exe
C:\Program Files\Norton Utilities\NPROTECT.EXE
C:\Program Files\Spyware Terminator\sp_rsser.exe
C:\Program Files\Alwil Software\Avast4\ashMaiSv.exe
C:\Program Files\Common Files\Teleca Shared\Generic.exe
C:\Program Files\Alwil Software\Avast4\ashWebSv.exe
C:\Program Files\Sony Ericsson\Mobile2\Mobile Phone Monitor\epmworker.exe
C:\Program Files\HijackThis\HiJackThis.exe

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Bar = http://google.icq.com/search/search_frame.php
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = http://google.icq.com
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.seznam.cz/
O4 - HKLM\..\Run: [Sony Ericsson PC Suite] "C:\Program Files\Sony Ericsson\Mobile2\Application Launcher\Application Launcher.exe" /startoptions
O4 - HKLM\..\Run: [avast!] C:\PROGRA~1\ALWILS~1\Avast4\ashDisp.exe
O4 - HKLM\..\Run: [SpywareTerminator] "C:\Program Files\Spyware Terminator\SpywareTerminatorShield.exe"
O4 - HKLM\..\Run: [COMODO Firewall Pro] "C:\Program Files\COMODO\Firewall\cfp.exe" -s
O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\ctfmon.exe
O4 - HKUS\S-1-5-19\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 'LOCAL SERVICE')
O4 - HKUS\S-1-5-20\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 'NETWORK SERVICE')
O4 - HKUS\S-1-5-18\..\Run: [Win Tasks 32] wintasks32.exe (User 'SYSTEM')
O4 - HKUS\S-1-5-18\..\RunOnce: [tscuninstall] %systemroot%\system32\tscupgrd.exe (User 'SYSTEM')
O4 - HKUS\.DEFAULT\..\Run: [Win Tasks 32] wintasks32.exe (User 'Default user')
O4 - HKUS\.DEFAULT\..\RunOnce: [tscuninstall] %systemroot%\system32\tscupgrd.exe (User 'Default user')
O16 - DPF: {09F1ADAC-76D8-4D0F-99A5-5C907DADB988} - http://cdn.downloadcontrol.com/files/in ... nstall.cab
O17 - HKLM\System\CCS\Services\Tcpip\..\{054F7896-4A97-4218-8162-8AE648B6DD6A}: NameServer = 160.218.10.200 160.218.43.200
O17 - HKLM\System\CCS\Services\Tcpip\..\{A15320C6-6B30-4996-A975-35FD184491C7}: NameServer = 192.168.1.5
O17 - HKLM\System\CS1\Services\Tcpip\..\{054F7896-4A97-4218-8162-8AE648B6DD6A}: NameServer = 160.218.10.200 160.218.43.200
O20 - AppInit_DLLs: C:\WINDOWS\system32\guard32.dll
O23 - Service: avast! iAVS4 Control Service (aswUpdSv) - ALWIL Software - C:\Program Files\Alwil Software\Avast4\aswUpdSv.exe
O23 - Service: avast! Antivirus - ALWIL Software - C:\Program Files\Alwil Software\Avast4\ashServ.exe
O23 - Service: avast! Mail Scanner - ALWIL Software - C:\Program Files\Alwil Software\Avast4\ashMaiSv.exe
O23 - Service: avast! Web Scanner - ALWIL Software - C:\Program Files\Alwil Software\Avast4\ashWebSv.exe
O23 - Service: COMODO Firewall Pro Helper Service (cmdAgent) - COMODO - C:\Program Files\COMODO\Firewall\cmdagent.exe
O23 - Service: Norton Unerase Protection (NProtectService) - Symantec Corporation - C:\Program Files\Norton Utilities\NPROTECT.EXE
O23 - Service: Spyware Terminator Realtime Shield Service (sp_rssrv) - Crawler.com - C:\Program Files\Spyware Terminator\sp_rsser.exe

--
End of file - 4005 bytes

Akorát mám menší problém s vypnutím firewall, jež je součásti windows... Dám tento počítač - ovládací panely - centrum zabezpečení - brána firewall systému Windows - otevře se mi okno, kde by teoreticky mělo jít tento štít deaktivovat, žel mám tu možnost zabarvenou šedě, tedy nemůžu na ni kliknout.... jediné co můžu udělat je zaškrtnout "nepovolovat vyjímky."
Věřím, že to není nijak závažný problém, ale nemůžu si s ním poradit... (zkoušel jsem zde hledat, ale nic jsem nenašel - asi volím špatnou kombinaci slov...)

Napsal: 10 led 2008 15:40
od Anonym
O4 - HKUS\.DEFAULT\..\Run: [Win Tasks 32] wintasks32.exe (User 'Default user')
O16 - DPF: {09F1ADAC-76D8-4D0F-99A5-5C907DADB988} - http://cdn.downloadcontrol.com.....nstall.cab
počkej na radu ještě někoho ale to je také špatné ne???

Napsal: 10 led 2008 15:47
od Baron Prášil
použij COMBOFIX
Stáhni si ComboFix (by sUBs) a ulož si ho na plochu.
Ukonči všechna aktivní okna a spusť ho.
- Po spuštění se zobrazí podmínky užití, potvrď je stiskem klávesy 1
- Dále postupuj dle pokynů, během aplikování ComboFixu neklikej do zobrazujícího se okna
- Po dokončení skenování by měl program vytvořit log, který se ti zobrazí, jinak ho najdeš zde: C:\ComboFix.txt - zkopíruj sem prosím celý jeho obsah

zkontroluj,jestli máš všechny aktualizace systému.

Napsal: 10 led 2008 19:38
od cervena_karkulka
Udělal jsem vše dle Vašich instrukcí. Nyní už mohu vypnout firewall ve windows, skvělé :)

log z programu combofix:

ComboFix 08-01-10.2 - moskvička 2008-01-10 18:37:59.1 - NTFSx86
Systém Microsoft Windows XP Professional 5.1.2600.2.1250.1.1029.18.67 [GMT 1:00]
Running from: C:\Documents and Settings\moskvička\Plocha\ComboFix.exe
* Created a new restore point
.
ADS - svchost.exe: deleted 68 bytes in 1 streams.
ADS - ntoskrnl.exe: deleted 68 bytes in 1 streams.
ADS - explorer.exe: deleted 100 bytes in 1 streams.

((((((((((((((((((((((((((((((((((((((( Other Deletions )))))))))))))))))))))))))))))))))))))))))))))))))
.

C:\Documents and Settings\All Users\Data aplikací\WinAntiVirus Pro 2006
C:\Documents and Settings\LocalService\Data aplikací\NetMon
C:\Documents and Settings\LocalService\Data aplikací\NetMon\domains.txt
C:\Documents and Settings\LocalService\Data aplikací\NetMon\log.txt
C:\Documents and Settings\moskvička\Data aplikací\searchtoolbarcorp
C:\Documents and Settings\moskvička\Data aplikací\searchtoolbarcorp\Toolbar Vision\PageHistory.txt
C:\Documents and Settings\moskvička\Data aplikací\searchtoolbarcorp\Toolbar Vision\WebHistory.txt
C:\Program Files\BHO
C:\Program Files\BHO\~bho.dat
C:\Program Files\BHO\~er.dat
C:\Program Files\BHO\bho.dat
C:\Program Files\BHO\er.dat
C:\Program Files\vsadd-in
C:\WINDOWS\gimmygames.dat
C:\WINDOWS\keyboard1.dat
C:\WINDOWS\newname.dat
C:\WINDOWS\system32\.exe
C:\WINDOWS\system32\atmtd.dll.tmp
C:\WINDOWS\system32\components
C:\WINDOWS\system32\config\systemprofile\Nabídka Start\Programy\ucmore - the search accelerator
C:\WINDOWS\system32\config\systemprofile\Nabídka Start\Programy\ucmore - the search accelerator\How To Uninstall.lnk
C:\WINDOWS\system32\config\systemprofile\Nabídka Start\Programy\ucmore - the search accelerator\UCmore - The Search Accelerator.lnk
C:\WINDOWS\system32\config\systemprofile\Nabídka Start\Programy\ucmore - the search accelerator\UCmore Tour.lnk
C:\WINDOWS\system32\deabadafe2_g.dll
C:\WINDOWS\system32\mcrh.tmp
C:\WINDOWS\SYSTEM32\rqqss.ini
C:\WINDOWS\system32\stera.job
C:\WINDOWS\system32\stera.log
C:\WINDOWS\uninstall_nmon.vbs

.
((((((((((((((((((((((((((((((((((((((( Drivers/Services )))))))))))))))))))))))))))))))))))))))))))))))))

.
-------\LEGACY_CMDSERVICE
-------\LEGACY_FOPN
-------\LEGACY_NETWORK_MONITOR
-------\LEGACY_VSPF
-------\LEGACY_VSPF_HK


((((((((((((((((((((((((( Files Created from 2007-12-10 to 2008-01-10 )))))))))))))))))))))))))))))))
.

2008-01-10 18:32 . 2000-08-31 08:00 51,200 --a------ C:\WINDOWS\NirCmd.exe
2008-01-10 12:38 . 2008-01-10 12:37 139,008 --a------ C:\WINDOWS\SYSTEM32\guard32.dll
2008-01-10 12:38 . 2008-01-10 12:37 81,272 --a------ C:\WINDOWS\SYSTEM32\DRIVERS\cmdGuard.sys
2008-01-10 12:38 . 2008-01-10 12:37 23,672 --a------ C:\WINDOWS\SYSTEM32\DRIVERS\cmdhlp.sys
2008-01-10 12:37 . 2008-01-10 12:37 <DIR> d-------- C:\Program Files\COMODO
2008-01-09 19:07 . 2008-01-09 20:20 <DIR> d-------- C:\Program Files\Spyware Terminator
2008-01-08 19:39 . 2007-12-04 15:51 42,912 --a------ C:\WINDOWS\SYSTEM32\DRIVERS\aswTdi.sys
2008-01-08 19:39 . 2007-12-04 15:49 26,624 --a------ C:\WINDOWS\SYSTEM32\DRIVERS\aavmker4.sys
2008-01-08 19:38 . 2007-12-04 15:55 94,544 --a------ C:\WINDOWS\SYSTEM32\DRIVERS\aswmon2.sys
2008-01-08 19:38 . 2007-12-04 15:56 93,264 --a------ C:\WINDOWS\SYSTEM32\DRIVERS\aswmon.sys
2008-01-08 19:37 . 2008-01-08 19:37 <DIR> d-------- C:\Program Files\Alwil Software
2008-01-08 14:51 . 2008-01-08 14:51 138,624 --a------ C:\WINDOWS\SYSTEM32\DRIVERS\sp_rsdrv2.sys

.
(((((((((((((((((((((((((((((((((((((((( Find3M Report ))))))))))))))))))))))))))))))))))))))))))))))))))))
.
2007-12-04 14:53 23,152 ----a-w C:\WINDOWS\system32\drivers\aswRdr.sys
2007-12-04 13:04 837,496 ----a-w C:\WINDOWS\SYSTEM32\aswBoot.exe
2007-12-04 12:54 95,608 ----a-w C:\WINDOWS\SYSTEM32\AVASTSS.scr
2006-01-06 15:25 266 --sh--w C:\Program Files\desktop.ini
2006-01-06 15:25 11,253 ---ha-w C:\Program Files\folder.htt
2006-09-21 23:11 753,907 --sha-w C:\WINDOWS\SYSTEM32\rqqss.bak1
2007-02-03 10:55 456,347 --sha-w C:\WINDOWS\SYSTEM32\rqqss.bak2
2007-05-04 15:21 1,076 --sh--w C:\WINDOWS\SYSTEM32\xxywu.exe
2005-07-29 15:24 472 --sha-r C:\WINDOWS\U29sYXJlbnpvIEFsYW1hbmRyYQ\oZ6PsrL5vBDSKHIPsqY1vAlVsk.vbs
.

((((((((((((((((((((((((((((((((((((( Reg Loading Points ))))))))))))))))))))))))))))))))))))))))))))))))))
.
.
*Note* empty entries & legit default entries are not shown
REGEDIT4

[HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
"CTFMON.EXE"="C:\WINDOWS\system32\ctfmon.exe" [2004-08-17 14:49 15360]

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
"Sony Ericsson PC Suite"="C:\Program Files\Sony Ericsson\Mobile2\Application Launcher\Application Launcher.exe" [2005-10-26 15:17 159744]
"avast!"="C:\PROGRA~1\ALWILS~1\Avast4\ashDisp.exe" [2007-12-04 14:00 79224]
"SpywareTerminator"="C:\Program Files\Spyware Terminator\SpywareTerminatorShield.exe" [2008-01-09 19:09 2776576]
"COMODO Firewall Pro"="C:\Program Files\COMODO\Firewall\cfp.exe" [2008-01-10 12:37 1481472]

[HKEY_USERS\.DEFAULT\Software\Microsoft\Windows\CurrentVersion\Run]
"Win Tasks 32"="wintasks32.exe" []

[HKEY_USERS\.DEFAULT\Software\Microsoft\Windows\CurrentVersion\RunOnce]
"tscuninstall"="C:\WINDOWS\system32\tscupgrd.exe" [2004-08-17 14:42 44544]

[HKEY_LOCAL_MACHINE\software\microsoft\windows nt\currentversion\windows]
"AppInit_DLLs"= C:\WINDOWS\system32\guard32.dll

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\cmonitor]

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\cof.updit]


[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\dc6_check]

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\DllRunning]

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\ErrorSafeFree]

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\ICQ Lite]

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\IMJPMIG8.1]
--a------ 2004-08-03 21:32 208952 C:\WINDOWS\IME\imjp8_1\IMJPMIG.exe

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\MSPY2002]
--a------ 2004-08-03 21:31 59392 C:\WINDOWS\system32\IME\PINTLGNT\ImScInst.exe

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\msvcc25]


[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\PHIME2002A]
--a------ 2004-08-03 21:32 455168 C:\WINDOWS\system32\IME\TINTLGNT\TINTSETP.exe

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\PHIME2002ASync]
--a------ 2004-08-03 21:32 455168 C:\WINDOWS\system32\IME\TINTLGNT\TINTSETP.exe

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\QuickTime Task]

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\SPAMfighter Agent]

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\SpywareTerminator]

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\Task Manager Win32]

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\was_check]

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\Windows MS Update 32]


[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\Windows Update]

R1 cmdGuard;COMODO Firewall Pro Sandbox Driver;C:\WINDOWS\system32\DRIVERS\cmdguard.sys [2008-01-10 12:37]
R1 cmdHlp;COMODO Firewall Pro Helper Driver;C:\WINDOWS\system32\DRIVERS\cmdhlp.sys [2008-01-10 12:37]
R1 sp_rsdrv2;Spyware Terminator Driver 2;C:\WINDOWS\system32\drivers\sp_rsdrv2.sys [2008-01-08 14:51]
R3 NPDriver;Norton Unerase Protection Driver;C:\WINDOWS\system32\Drivers\NPDRIVER.SYS [2001-08-10 05:00]
R3 PSched;Plánovač paketů technologie QoS;C:\WINDOWS\system32\DRIVERS\psched.sys [2004-08-03 22:04]
R3 Tridkb;Tridkb;C:\WINDOWS\system32\DRIVERS\tridkbm.sys [2001-08-17 21:51]
S3 FCPCMCIA;Freecom Cable PCMCIA Driver;C:\WINDOWS\system32\Drivers\FCPCMCIA.sys [2000-05-09 14:11]

[HKEY_CURRENT_USER\software\microsoft\windows\currentversion\explorer\mountpoints2\{3c33f090-afca-11db-8906-00000efd677e}]
\Shell\AutoRun\command - E:\setup.exe

[HKEY_CURRENT_USER\software\microsoft\windows\currentversion\explorer\mountpoints2\{af59a840-afc4-11db-8904-00000efd677e}]
\Shell\AutoRun\command - E:\setup.exe

[HKEY_CURRENT_USER\software\microsoft\windows\currentversion\explorer\mountpoints2\{e9cd5820-d564-11db-892d-00000efd677e}]
\Shell\AutoRun\command - D:\start.exe

.
**************************************************************************

catchme 0.3.1344 W2K/XP/Vista - rootkit/stealth malware detector by Gmer, http://www.gmer.net
Rootkit scan 2008-01-10 18:50:52
Windows 5.1.2600 Service Pack 2 NTFS

detected NTDLL code modification:
ZwClose

scanning hidden processes ...

scanning hidden autostart entries ...

scanning hidden files ...

scan completed successfully
hidden files: 0

**************************************************************************
.
Completion time: 2008-01-10 18:57:05 - machine was rebooted
ComboFix-quarantined-files.txt 2008-01-10 17:56:46

Napsal: 10 led 2008 21:29
od Baron Prášil
použij Avenger

a tento skript

Files to delete:
C:\WINDOWS\SYSTEM32\rqqss.bak1
C:\WINDOWS\SYSTEM32\rqqss.bak2
C:\WINDOWS\SYSTEM32\xxywu.exe
C:\WINDOWS\U29sYXJlbnpvIEFsYW1hbmRyYQ\oZ6PsrL5vBDSKHIPsqY1vAlVsk.vbs

Registry values to delete:
HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\msvcc25

po restartu pošli log z Avengeru a log z hijackthis
Časové pásmo: UTC+02:00
Stránka 1 z 2
Powered by phpBB® Forum Software © phpBB Limited
https://www.phpbb.com/