Vir v Notebooku se po připojení na net kousne, prosim help

[StormM]

LOG z MWAV:

Soubor C:\WINDOWS\system32\service.exe je infikovaný virem Backdoor.Win32.Rbot.dvo !! Provedené akce: Nic nebylo provedeno.
Soubor C:\WINDOWS\system32\dllcache\services.exe je infikovaný virem Backdoor.Win32.SdBot.btl !! Provedené akce: Nic nebylo provedeno.
Objekt "maxsearch Adware" nalezen v souborovém systému! Provedené akce: Nic nebylo provedeno.
Objekt "wareout Adware" nalezen v souborovém systému! Provedené akce: Nic nebylo provedeno.
Objekt "Possible Fujacks-type Worm" nalezen v souborovém systému! Provedené akce: Nic nebylo provedeno.
Soubor C:\WINDOWS\System32\khfeeff.dll.vir indentifikován jako "not-a-virus:AdWare.Win32.Virtumonde.jp". Provedené akce: Nic nebylo provedeno.
Soubor C:\WINDOWS\System32\mljjg.dll.vir//PE_Patch.PECompact indentifikován jako "not-a-virus:AdWare.Win32.Virtumonde.fp". Provedené akce: Nic nebylo provedeno.
Soubor C:\WINDOWS\System32\service.exe je infikovaný virem Backdoor.Win32.Rbot.dvo !! Provedené akce: Nic nebylo provedeno.
Soubor C:\DOCUME~1\StormM\LOCALS~1\Temp\NIS9\NAV\External\NORTON\NAVAPW32.exe je infikovaný virem NULL.Corrupted !! Provedené akce: Nic nebylo provedeno.
Soubor C:\DOCUME~1\StormM\LOCALS~1\Temp\xveatqrv.dll je infikovaný virem Trojan-Spy.Win32.VBStat.h !! Provedené akce: Nic nebylo provedeno.

[Reklama]

[paul27]

Tak to jdeme smazat. Opět si stáhněte Avenger - šve jako minule, akorát do prázdného okna vložte tento text:

C:\WINDOWS\system32\service.exe
C:\WINDOWS\system32\dllcache\services.exe
C:\WINDOWS\System32\khfeeff.dll
C:\WINDOWS\System32\mljjg.dll
C:\DOCUME~1\StormM\LOCALS~1\Temp\NIS9\NAV\External\NORTON\NAVAPW32.exe
C:\DOCUME~1\StormM\LOCALS~1\Temp\xveatqrv.dll

Nicméně mám takový nemilý pocit, že soubor service.exe budete muset nahradit čistým souborem. To proto, že dle mého je to nakažený systémový soubor (ne jen trojský kůň) a v systému je nezbytný. Měl jsem jednou podobný problém a přesně takhle to dopadlo.

Ale udělejte ten Avenger a pošlete zase log, co na vás vyskočí.

[StormM]

Avenger

Logfile of The Avenger version 1, by Swandog46
Running from registry key:
\Registry\Machine\System\CurrentControlSet\Services\gqhbpvrw

*******************

Script file located at: \??\C:\WINDOWS\System32\cnsmwjrc.txt
Script file opened successfully.

Script file read successfully

Backups directory opened successfully at C:\Avenger

*******************

Beginning to process script file:

File C:\WINDOWS\system32\service.exe deleted successfully.
File C:\WINDOWS\system32\dllcache\services.exe deleted successfully.


File C:\WINDOWS\System32\khfeeff.dll not found!
Deletion of file C:\WINDOWS\System32\khfeeff.dll failed!

Could not process line:
C:\WINDOWS\System32\khfeeff.dll
Status: 0xc0000034

File C:\WINDOWS\System32\mljjg.dll not found!
Deletion of file C:\WINDOWS\System32\mljjg.dll failed!

Could not process line:
C:\WINDOWS\System32\mljjg.dll
Status: 0xc0000034

File C:\DOCUME~1\StormM\LOCALS~1\Temp\NIS9\NAV\External\NORTON\NAVAPW32.exe deleted successfully.
File C:\DOCUME~1\StormM\LOCALS~1\Temp\xveatqrv.dll deleted successfully.

Completed script processing.

*******************

Finished! Terminate.

[fredik]

Smaž buď ručně tyto dva soubory:
C:\WINDOWS\System32\khfeeff.dll.vir
C:\WINDOWS\System32\mljjg.dll.vir

nebo použij znovu Avenger se skriptem:
Files to delete:
C:\WINDOWS\System32\khfeeff.dll.vir
C:\WINDOWS\System32\mljjg.dll.vir

[StormM]

Mockát děkuju... už je všechno ok... uvidim jak to bude fungovat i zítra...

[paul27]

I za fredika nemáš zač.

[StormM]

Prisel jsem na intr, zapojil net a po chvíli se mi zas spustili
C:\WINDOWS\system32\service.exe
C:\WINDOWS\system32\Isass.exe
C:\WINDOWS\system32\svhost.exe
a Kerio jim zablokoval pokus o prunik...

-Pok mi vyskočilo okno s oznamenim že se vypme windovs za 2 minuty a konec...
-Projel jsem hloubkovou analízu a v system volume mi to naslo asi 8 dalsích viru...
-Děje se mi zase to co na zacatku...

Posílám logy ze vseho co tu mam...

HJT

Logfile of Trend Micro HijackThis v2.0.2
Scan saved at 19:48:10, on 7.10.2007

Platform: Windows XP SP1 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP1 (6.00.2800.1106)
Boot mode: Normal

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\spoolsv.exe
C:\Program Files\Eset\nod32krn.exe
C:\WINDOWS\Explorer.EXE
C:\Program Files\Eset\nod32kui.exe
C:\WINDOWS\System32\taskmgr.exe
C:\Program Files\Trend Micro\HijackThis\HijackThis.exe

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Bar = http://google.icq.com/search/search_frame.php
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = http://google.icq.com
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.seznam.cz/
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Odkazy
R3 - URLSearchHook: ICQ Toolbar - {855F3B16-6D32-4fe6-8A56-BBB695989046} - C:\Program Files\ICQToolbar\toolbaru.dll
O2 - BHO: XTTBPos00 - {055FD26D-3A88-4e15-963D-DC8493744B1D} - C:\Program Files\ICQToolbar\toolbaru.dll
O2 - BHO: Adobe PDF Reader Link Helper - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Program Files\Adobe\Acrobat 7.0\ActiveX\AcroIEHelper.dll
O2 - BHO: SSVHelper Class - {761497BB-D6F0-462C-B6EB-D4DAF1D92D43} - C:\Program Files\Java\jre1.5.0_09\bin\ssv.dll
O3 - Toolbar: &Rádio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINDOWS\System32\msdxm.ocx
O3 - Toolbar: ICQ Toolbar - {855F3B16-6D32-4fe6-8A56-BBB695989046} - C:\Program Files\ICQToolbar\toolbaru.dll
O4 - HKLM\..\Run: [nod32kui] "C:\Program Files\Eset\nod32kui.exe" /WAITSERVICE
O4 - HKUS\S-1-5-19\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 'LOCAL SERVICE')
O4 - HKUS\S-1-5-20\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 'NETWORK SERVICE')
O4 - HKUS\S-1-5-18\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 'SYSTEM')
O4 - HKUS\.DEFAULT\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 'Default user')
O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\jre1.5.0_09\bin\ssv.dll
O9 - Extra 'Tools' menuitem: Sun Java Console - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\jre1.5.0_09\bin\ssv.dll
O9 - Extra button: ICQ Lite - {B863453A-26C3-4e1f-A54D-A2CD196348E9} - C:\Program Files\ICQLite\ICQLite.exe
O9 - Extra 'Tools' menuitem: ICQ Lite - {B863453A-26C3-4e1f-A54D-A2CD196348E9} - C:\Program Files\ICQLite\ICQLite.exe
O9 - Extra button: Related - {c95fe080-8f5d-11d2-a20b-00aa003c157a} - C:\WINDOWS\web\related.htm
O9 - Extra 'Tools' menuitem: Show &Related Links - {c95fe080-8f5d-11d2-a20b-00aa003c157a} - C:\WINDOWS\web\related.htm
O23 - Service: Sunbelt Kerio Personal Firewall 4 (KPF4) - Sunbelt Software - C:\Program Files\Sunbelt Software\Personal Firewall\kpf4ss.exe
O23 - Service: NOD32 Kernel Service (NOD32krn) - Eset - C:\Program Files\Eset\nod32krn.exe

--
End of file - 3110 bytes

MWAV

Objekt "maxsearch Adware" nalezen v souborovém systému! Provedené akce: Nic nebylo provedeno.

VBG

[10/07/2007, 19:48:35] - VirtumundoBeGone v1.5 ( "C:\Documents and Settings\StormM\Plocha\programy\VirtumundoBeGone.exe" )
[10/07/2007, 19:48:43] - Detected System Information:
[10/07/2007, 19:48:43] - Windows Version: 5.1.2600, Service Pack 1
[10/07/2007, 19:48:43] - Current Username: StormM (Admin)
[10/07/2007, 19:48:43] - Windows is in NORMAL mode.
[10/07/2007, 19:48:43] - Searching for Browser Helper Objects:
[10/07/2007, 19:48:43] - BHO 1: {055FD26D-3A88-4e15-963D-DC8493744B1D} (XTTBPos00 Class)
[10/07/2007, 19:48:43] - BHO 2: {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} (Adobe PDF Reader Link Helper)
[10/07/2007, 19:48:43] - BHO 3: {761497BB-D6F0-462C-B6EB-D4DAF1D92D43} (SSVHelper Class)
[10/07/2007, 19:48:43] - Finished Searching Browser Helper Objects
[10/07/2007, 19:48:43] - Finishing up...
[10/07/2007, 19:48:43] - Nothing found! Exiting...

[paul27]

Logy jsou dělané po tom, co se ty tři soubory objevily? Jsou totiž v pohodě. Kdyžtak vlož aktuaální log z hijackthisu (hjt).

[StormM]

Jo... potom co se mi to stalo pred pul hodinou sem odpojil net a udělal tyhle logy...

Porad neama ale ty SP2 a nevim kde a jak si ja mam stahnout když nemam ty legalni okna...
Už po kamosech shanim instalacku Win s SP2 ale nikdo nic nemá... to je děs...

Mam se zase pripojit na net a nechat si to zmrazit a pak vygenerovat nový log?

[paul27]

Tak zkuste tohle napsat do Avengeru:

Files to delete:
C:\WINDOWS\system32\service.exe
C:\WINDOWS\system32\Isass.exe
C:\WINDOWS\system32\svhost.exe


postup platí ten, co jste už dělal. Pak z něj pošlete log. Taky radši udělejte log z ComboFixu, ale to pak musíte počkat na fredika nebo někoho, kdo tomu podobně rozumí.

[StormM]

Zadal jsem to do Avengeru...
-Pocitac se restartoval a vyjel mi tenhle log...
Po chvilce se pripojil i net a Kerio zablokoval prunik dalsim...

C:\WINDOWS\system32\service.exe
C:\WINDOWS\system32\svchost.exe
a znova
C:\WINDOWS\system32\svchost.exe
a zase se mi to za 2 minuty restartovalo...

-mam to v procesech spusteny zase nekolikrat to svchost.exe

Logfile of The Avenger version 1, by Swandog46
Running from registry key:
\Registry\Machine\System\CurrentControlSet\Services\kunxbmwb

*******************

Script file located at: \??\C:\WINDOWS\mcxnrmia.txt
Script file opened successfully.

Script file read successfully

Backups directory opened successfully at C:\Avenger

*******************

Beginning to process script file:



File C:\WINDOWS\system32\service.exe not found!
Deletion of file C:\WINDOWS\system32\service.exe failed!

Could not process line:
C:\WINDOWS\system32\service.exe
Status: 0xc0000034



File C:\WINDOWS\system32\Isass.exe not found!
Deletion of file C:\WINDOWS\system32\Isass.exe failed!

Could not process line:
C:\WINDOWS\system32\Isass.exe
Status: 0xc0000034



File C:\WINDOWS\system32\svhost.exe not found!
Deletion of file C:\WINDOWS\system32\svhost.exe failed!

Could not process line:
C:\WINDOWS\system32\svhost.exe
Status: 0xc0000034


Completed script processing.

*******************

Finished! Terminate.

Umístěním toho C:\WINDOWS\system32\Isass.exe si nejsem jistej... to sem sem napsal jen po paměti... neznam ComboFixu... kde ho mam stáhnout... a jak se s nim pracuje?

[paul27]

Jak jsem řekl, ty logy byly čistý, ani Avenger nic nenašel, nesmazal.

poduk vám běží svchost.exe, tak ho nezastavujte, je to systémový proces. Nejde v Keriu zatrhnout políčko, aby si ta dané nastavení pamatoval? Aby se vás pořád neptal? Kdyžtak to udělejte.

ComboFix:
Ukonči všechna aktivní okna a spusť ho.
- Po spuštění se zobrazí podmínky užití, potvrď je stiskem klávesy 1
- Dále postupuj dle pokynů, během aplikování ComboFixu neklikej do zobrazujícího se okna
- Po dokončení skenování by měl program vytvořit log - C:\ComboFix.txt - zkopíruj sem prosím celý jeho obsah