Prosim o kontrolu + Vyřešeno

[SM4JL]

Zdravim,
na notebooku se mi nechtic(s aktualizacema) nainstaloval Microsofti odstranovac spyware a hned me zacal strasit, ze nasel 3 zavazne problemy.
Projel jsem ho tedy nainstalovanym avastem a ten nic nenasel:( Pak jeste online NODem, ten uz nasel aspon 1 trojskeho kone, ktereho nasledne zlikvidoval. Zde je log z hijackthis a prosim o kontrolu a radu, co s tim:)Diky

Logfile of Trend Micro HijackThis v2.0.2
Scan saved at 19:27:22, on 22.7.2009
Platform: Windows XP SP3 (WinNT 5.01.2600)
MSIE: Internet Explorer v7.00 (7.00.6000.16827)
Boot mode: Normal

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\Program Files\Alwil Software\Avast4\aswUpdSv.exe
C:\Program Files\Alwil Software\Avast4\ashServ.exe
C:\WINDOWS\Explorer.EXE
C:\WINDOWS\system32\spoolsv.exe
C:\Program Files\Synaptics\SynTP\SynTPEnh.exe
C:\WINDOWS\system32\qttask.exe
C:\Program Files\Java\jre6\bin\jusched.exe
C:\Program Files\Adobe\Reader 9.0\Reader\Reader_sl.exe
C:\WINDOWS\system32\igfxtray.exe
C:\WINDOWS\system32\hkcmd.exe
C:\WINDOWS\system32\igfxpers.exe
C:\PROGRA~1\ALWILS~1\Avast4\ashDisp.exe
C:\WINDOWS\system32\ctfmon.exe
C:\Program Files\DAEMON Tools Lite\daemon.exe
C:\WINDOWS\system32\igfxsrvc.exe
C:\Program Files\Common Files\Ahead\Lib\NMBgMonitor.exe
C:\Program Files\Spybot - Search & Destroy\TeaTimer.exe
C:\Program Files\OpenOffice.org 3\program\soffice.exe
C:\Program Files\OpenOffice.org 3\program\soffice.bin
C:\Program Files\Java\jre6\bin\jqs.exe
C:\WINDOWS\system32\svchost.exe
C:\Program Files\Alwil Software\Avast4\ashMaiSv.exe
C:\Program Files\Alwil Software\Avast4\ashWebSv.exe
C:\Program Files\Common Files\Ahead\Lib\NMIndexingService.exe
C:\Program Files\Common Files\Ahead\Lib\NMIndexStoreSvr.exe
C:\Documents and Settings\Marw\Plocha\HiJackThis.exe

R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://go.microsoft.com/fwlink/?LinkId=69157
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://go.microsoft.com/fwlink/?LinkId=54896
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = http://go.microsoft.com/fwlink/?LinkId=54896
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = http://go.microsoft.com/fwlink/?LinkId=69157
R0 - HKLM\Software\Microsoft\Internet Explorer\Search,SearchAssistant =
R0 - HKLM\Software\Microsoft\Internet Explorer\Search,CustomizeSearch =
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Local Page =
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName =
O2 - BHO: AcroIEHelperStub - {18DF081C-E8AD-4283-A596-FA578C2EBDC3} - C:\Program Files\Common Files\Adobe\Acrobat\ActiveX\AcroIEHelperShim.dll
O2 - BHO: Spybot-S&D IE Protection - {53707962-6F74-2D53-2644-206D7942484F} - C:\PROGRA~1\SPYBOT~1\SDHelper.dll
O2 - BHO: Java(tm) Plug-In 2 SSV Helper - {DBC80044-A445-435b-BC74-9C25C1C588A9} - C:\Program Files\Java\jre6\bin\jp2ssv.dll
O2 - BHO: JQSIEStartDetectorImpl - {E7E6F031-17CE-4C07-BC86-EABFE594F69C} - C:\Program Files\Java\jre6\lib\deploy\jqs\ie\jqs_plugin.dll
O4 - HKLM\..\Run: [SynTPEnh] C:\Program Files\Synaptics\SynTP\SynTPEnh.exe
O4 - HKLM\..\Run: [QuickTime Task] "C:\WINDOWS\system32\qttask.exe" -atboottime
O4 - HKLM\..\Run: [NeroFilterCheck] C:\Program Files\Common Files\Ahead\Lib\NeroCheck.exe
O4 - HKLM\..\Run: [SunJavaUpdateSched] "C:\Program Files\Java\jre6\bin\jusched.exe"
O4 - HKLM\..\Run: [Adobe Reader Speed Launcher] "C:\Program Files\Adobe\Reader 9.0\Reader\Reader_sl.exe"
O4 - HKLM\..\Run: [IgfxTray] C:\WINDOWS\system32\igfxtray.exe
O4 - HKLM\..\Run: [HotKeysCmds] C:\WINDOWS\system32\hkcmd.exe
O4 - HKLM\..\Run: [Persistence] C:\WINDOWS\system32\igfxpers.exe
O4 - HKLM\..\Run: [avast!] C:\PROGRA~1\ALWILS~1\Avast4\ashDisp.exe
O4 - HKLM\..\RunOnce: [WIAWizardMenu] RUNDLL32.EXE C:\WINDOWS\system32\sti_ci.dll,WiaCreateWizardMenu
O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\ctfmon.exe
O4 - HKCU\..\Run: [DAEMON Tools Lite] "C:\Program Files\DAEMON Tools Lite\daemon.exe" -autorun
O4 - HKCU\..\Run: [BgMonitor_{79662E04-7C6C-4d9f-84C7-88D8A56B10AA}] "C:\Program Files\Common Files\Ahead\Lib\NMBgMonitor.exe"
O4 - HKCU\..\Run: [SpybotSD TeaTimer] C:\Program Files\Spybot - Search & Destroy\TeaTimer.exe
O4 - HKUS\S-1-5-19\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'LOCAL SERVICE')
O4 - HKUS\S-1-5-19\..\RunOnce: [nltide_2] regsvr32 /s /n /i:U shell32 (User 'LOCAL SERVICE')
O4 - HKUS\S-1-5-20\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'NETWORK SERVICE')
O4 - HKUS\S-1-5-20\..\RunOnce: [nltide_2] regsvr32 /s /n /i:U shell32 (User 'NETWORK SERVICE')
O4 - HKUS\S-1-5-18\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'SYSTEM')
O4 - HKUS\S-1-5-18\..\RunOnce: [nltide_2] regsvr32 /s /n /i:U shell32 (User 'SYSTEM')
O4 - HKUS\.DEFAULT\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'Default user')
O4 - HKUS\.DEFAULT\..\RunOnce: [nltide_2] regsvr32 /s /n /i:U shell32 (User 'Default user')
O4 - Startup: OpenOffice.org 3.0.lnk = C:\Program Files\OpenOffice.org 3\program\quickstart.exe
O9 - Extra button: (no name) - {DFB852A3-47F8-48C4-A200-58CAB36FD2A2} - C:\PROGRA~1\SPYBOT~1\SDHelper.dll
O9 - Extra 'Tools' menuitem: Spybot - Search & Destroy Configuration - {DFB852A3-47F8-48C4-A200-58CAB36FD2A2} - C:\PROGRA~1\SPYBOT~1\SDHelper.dll
O9 - Extra button: (no name) - {e2e2dd38-d088-4134-82b7-f2ba38496583} - C:\WINDOWS\Network Diagnostic\xpnetdiag.exe
O9 - Extra 'Tools' menuitem: @xpsp3res.dll,-20001 - {e2e2dd38-d088-4134-82b7-f2ba38496583} - C:\WINDOWS\Network Diagnostic\xpnetdiag.exe
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe
O10 - Unknown file in Winsock LSP: c:\windows\system32\nwprovau.dll
O16 - DPF: {2BC66F54-93A8-11D3-BEB6-00105AA9B6AE} (Symantec AntiVirus scanner) - http://security.symantec.com/sscv6/Shar ... vSniff.cab
O16 - DPF: {5727FF4C-EF4E-4d96-A96C-03AD91910448} (System Requirements Lab) - http://www.srtest.com/srl_bin/sysreqlab_ind.cab
O16 - DPF: {644E432F-49D3-41A1-8DD5-E099162EEEC5} (Symantec RuFSI Utility Class) - http://security.symantec.com/sscv6/Shar ... /cabsa.cab
O16 - DPF: {69ef49e5-fe46-4b92-b5fa-2193ab7a6b8a} (GameLauncher Control) - http://www.acclaim.com/cabs/acclaim_v4.cab
O16 - DPF: {7530BFB8-7293-4D34-9923-61A11451AFC5} (OnlineScanner Control) - http://download.eset.com/special/eos/OnlineScanner.cab
O23 - Service: avast! iAVS4 Control Service (aswupdsv) - ALWIL Software - C:\Program Files\Alwil Software\Avast4\aswUpdSv.exe
O23 - Service: avast! Antivirus (avast! antivirus) - ALWIL Software - C:\Program Files\Alwil Software\Avast4\ashServ.exe
O23 - Service: avast! Mail Scanner (avast! mail scanner) - ALWIL Software - C:\Program Files\Alwil Software\Avast4\ashMaiSv.exe
O23 - Service: avast! Web Scanner (avast! web scanner) - ALWIL Software - C:\Program Files\Alwil Software\Avast4\ashWebSv.exe
O23 - Service: Služba inteligentního přenosu na pozadí (BITS) - Unknown owner - C:\WINDOWS\
O23 - Service: InstallDriver Table Manager (idrivert) - Macrovision Corporation - C:\Program Files\Common Files\InstallShield\Driver\1050\Intel 32\IDriverT.exe
O23 - Service: Java Quick Starter (JavaQuickStarterService) - Sun Microsystems, Inc. - C:\Program Files\Java\jre6\bin\jqs.exe
O23 - Service: NMIndexingService - Nero AG - C:\Program Files\Common Files\Ahead\Lib\NMIndexingService.exe
O23 - Service: nProtect GameGuard Service (npggsvc) - Unknown owner - C:\WINDOWS\system32\GameMon.des.exe (file missing)
O23 - Service: Rozpoznávání hardwaru ShellHWDetectionLanmanServer (ShellHWDetectionLanmanServer) - Unknown owner - C:\WINDOWS\system32\6to4svcu.exe (file missing)
O23 - Service: Automatické aktualizace (wuauserv) - Unknown owner - C:\WINDOWS\

--
End of file - 7773 bytes

[Reklama]

[memphisto]

log je v pořádku. žádný šmejd tam není vidět. Vypnul bych rezidentní štít Spybota, protože AVAST už antispyware štít má.v logu můžeš fixnout:

R0 - HKLM\Software\Microsoft\Internet Explorer\Search,SearchAssistant =
R0 - HKLM\Software\Microsoft\Internet Explorer\Search,CustomizeSearch =
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Local Page =
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName =
O4 - HKLM\..\Run: [QuickTime Task] "C:\WINDOWS\system32\qttask.exe" -atboottime
O4 - HKLM\..\Run: [NeroFilterCheck] C:\Program Files\Common Files\Ahead\Lib\NeroCheck.exe
O4 - HKLM\..\Run: [SunJavaUpdateSched] "C:\Program Files\Java\jre6\bin\jusched.exe"
O4 - HKUS\S-1-5-19\..\RunOnce: [nltide_2] regsvr32 /s /n /i:U shell32 (User 'LOCAL SERVICE')
O4 - HKUS\S-1-5-20\..\RunOnce: [nltide_2] regsvr32 /s /n /i:U shell32 (User 'NETWORK SERVICE')
O4 - HKUS\S-1-5-18\..\RunOnce: [nltide_2] regsvr32 /s /n /i:U shell32 (User 'SYSTEM')
O4 - HKUS\.DEFAULT\..\RunOnce: [nltide_2] regsvr32 /s /n /i:U shell32 (User 'Default user')
O16 - DPF: {2BC66F54-93A8-11D3-BEB6-00105AA9B6AE} (Symantec AntiVirus scanner) - http://security.symantec.com/sscv6/Shar ... vSniff.cab
O16 - DPF: {5727FF4C-EF4E-4d96-A96C-03AD91910448} (System Requirements Lab) - http://www.srtest.com/srl_bin/sysreqlab_ind.cab
O16 - DPF: {644E432F-49D3-41A1-8DD5-E099162EEEC5} (Symantec RuFSI Utility Class) - http://security.symantec.com/sscv6/Shar ... /cabsa.cab
O16 - DPF: {69ef49e5-fe46-4b92-b5fa-2193ab7a6b8a} (GameLauncher Control) - http://www.acclaim.com/cabs/acclaim_v4.cab
O16 - DPF: {7530BFB8-7293-4D34-9923-61A11451AFC5} (OnlineScanner Control) - http://download.eset.com/special/eos/OnlineScanner.cab

dej START- Spustit - services.msc - najdi a ukonči a zakaž tuto službu:
O23 - Service: nProtect GameGuard Service (npggsvc) - Unknown owner - C:\WINDOWS\system32\GameMon.des.exe (file missing)
O23 - Service: Rozpoznávání hardwaru ShellHWDetectionLanmanServer (ShellHWDetectionLanmanServer) - Unknown owner - C:\WINDOWS\system32\6to4svcu.exe (file missing)

pro jistotu:

Stáhni si Malwarebytes' Anti-Malware
Nainstaluj a spusť ho
- na konci instalace se ujisti že máš zvoleny/zatrhnuty obě možnosti:
Update Malwarebytes' Anti-Malware (Aktualizace Malwarebytes' Anti-Malware) a Launch Malwarebytes' Anti-Malware (Spustit aplikaci Malwarebytes' Anti-Malware), pokud jo tak klikni na tlačítko Finish
- pokud bude nalezena aktualizace, tak se stáhne a nainstaluje
- program se po té spustí a nech vybranou možnost Perform Quick Scan (Provést rychlý sken) a klikni na tlačítko Scan (Skenovat)
- po proběhnutí programu se ti objeví hláška tak klikni na OK a pak na tlačítko Show Results
- pak zvol možnost Save Logfile a ulož si log na plochu
- po té klikni na tlačítko Exit, objeví se ti hláška tak zvol Ano
(zatím nic nemaž!).
Vlož sem pak obsah toho logu.

[SM4JL]

Tak hotovo, zda MBAM nasel jen nejaky "zly" klice v registru, tak snad to bude ok.Log zde:
Malwarebytes' Anti-Malware 1.39
Verze databáze: 2480
Windows 5.1.2600 Service Pack 3

22.7.2009 20:12:18
mbam-log-2009-07-22 (20-12-12).txt

Typ skenu: Rychlý sken
Objektu skenováno: 86358
Uplynulý cas: 5 minute(s), 29 second(s)

Infikované procesy pameti: 0
Infikované pametové moduly: 0
Infikované klíce registru: 11
Infikované hodnoty registru: 0
Infikované položky dat registru: 5
Infikované složky: 0
Infikované soubory: 0

Infikované procesy pameti:
(Žádné zákerné položky nebyly zjišteny)

Infikované pametové moduly:
(Žádné zákerné položky nebyly zjišteny)

Infikované klíce registru:
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\AVCONSOL.exe (Security.Hijack) -> No action taken.
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\AVP32.exe (Security.Hijack) -> No action taken.
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\KAV32.exe (Security.Hijack) -> No action taken.
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\KAVPFW.exe (Security.Hijack) -> No action taken.
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\Navapsvc.exe (Security.Hijack) -> No action taken.
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\Navapw32.exe (Security.Hijack) -> No action taken.
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\NAVNT.exe (Security.Hijack) -> No action taken.
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\navw32.exe (Security.Hijack) -> No action taken.
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\NAVWNT.exe (Security.Hijack) -> No action taken.
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\SCAN32.exe (Security.Hijack) -> No action taken.
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\ZONEALARM.exe (Security.Hijack) -> No action taken.

Infikované hodnoty registru:
(Žádné zákerné položky nebyly zjišteny)

Infikované položky dat registru:
HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Advanced\Start_ShowSearch (Hijack.StartMenu) -> Bad: (0) Good: (1) -> No action taken.
HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\Explorer\NoSMHelp (Hijack.Help) -> Bad: (1) Good: (0) -> No action taken.
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Security Center\AntiVirusDisableNotify (Disabled.SecurityCenter) -> Bad: (1) Good: (0) -> No action taken.
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Security Center\FirewallDisableNotify (Disabled.SecurityCenter) -> Bad: (1) Good: (0) -> No action taken.
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Security Center\UpdatesDisableNotify (Disabled.SecurityCenter) -> Bad: (1) Good: (0) -> No action taken.

Infikované složky:
(Žádné zákerné položky nebyly zjišteny)

Infikované soubory:
(Žádné zákerné položky nebyly zjišteny)

[memphisto]

pro jistotu to ještě projedeme ComboFixem, ale vypadá to ok

. Takže spusť znovu MbAM a dej Scan
- po proběhnutí programu se ti objeví hláška tak klikni na OK a pak na tlačítko Show Results
- ujistit se že máš zatrhnuté všechny vypsané nálezy a klikni na tlačítko Remove Selected
- když skončí odstraňování tak se ti zobrazí log, tak ho sem dej.
- pak zvol v programu OK a pak program ukonči přes Exit

Vypni rezidentní štít antiviru a antispywaru
Stáhni si ComboFix (by sUBs)
a ulož si ho na plochu.
Ukonči všechna aktivní okna a spusť ho.
- Po spuštění se zobrazí podmínky užití, potvrď je stiskem tlačítka Ano
- Dále postupuj dle pokynů, během aplikování ComboFixu neklikej do zobrazujícího se okna
- Po dokončení skenování by měl program vytvořit log - C:\ComboFix.txt - zkopíruj sem prosím celý jeho obsah

[SM4JL]

Tady to je:

ComboFix 09-07-22.01 - Marw 22.07.2009 20:46.1.2 - NTFSx86
Systém Microsoft Windows XP Professional 5.1.2600.3.1250.420.1029.18.1015.653 [GMT 2:00]
Spuštěný z: c:\documents and settings\Marw\Plocha\ComboFix.exe
AV: avast! antivirus 4.8.1335 [VPS 090715-0] *On-access scanning disabled* (Outdated) {7591DB91-41F0-48A3-B128-1A293FD8233D}
* Vytvořen nový Bod Obnovení
.

((((((((((((((((((((((((((((((((((((((( Ostatní výmazy )))))))))))))))))))))))))))))))))))))))))))))))))
.

.
((((((((((((((((((((((((((((((((((((((( Ovladače/Služby )))))))))))))))))))))))))))))))))))))))))))))))))
.

-------\Legacy_SHELLHWDETECTIONLANMANSERVER
-------\Service_ShellHWDetectionLanmanServer


((((((((((((((((((((((((( Soubory vytvořené od 2009-06-22 do 2009-07-22 )))))))))))))))))))))))))))))))
.

2009-07-22 18:51 . 2009-07-22 18:51 53248 ----a-w- c:\temp\catchme.dll
2009-07-22 18:48 . 2009-07-22 18:48 60416 ----a-w- c:\temp\Perflib_Perfdata__755.dat
2009-07-22 18:04 . 2009-07-13 11:36 38160 ----a-w- c:\windows\system32\drivers\mbamswissarmy.sys
2009-07-22 18:04 . 2009-07-13 11:36 19096 ----a-w- c:\windows\system32\drivers\mbam.sys
2009-07-22 16:24 . 2009-07-22 16:24 -------- d-----w- c:\program files\ESET
2009-07-20 06:46 . 2009-07-20 06:46 -------- d-----w- c:\temp\BullZip
2009-07-20 06:43 . 2008-10-30 20:15 227840 ----a-w- c:\windows\system32\bzFlRdr.dll
2009-07-20 06:43 . 2008-09-26 17:44 126976 ----a-w- c:\windows\system32\bzpdfc.dll
2009-07-20 06:43 . 2008-07-09 21:19 103424 ----a-w- c:\windows\system32\bzDCT.dll
2009-07-20 06:43 . 2008-09-05 03:29 193024 ----a-w- c:\windows\system32\bzpdf.dll
2009-07-20 06:43 . 2009-07-20 06:43 -------- d-----w- c:\program files\Bullzip
2009-07-12 21:52 . 2009-07-12 21:52 480 ----a-w- c:\windows\eReg.dat
2009-07-11 17:39 . 2009-07-12 11:29 -------- d-----w- C:\Pro Ivana

.
(((((((((((((((((((((((((((((((((((((((( Find3M výpis ))))))))))))))))))))))))))))))))))))))))))))))))))))
.
2009-07-22 18:50 . 2009-07-22 18:50 -------- d-----w- c:\program files\microsoft frontpage
2009-07-22 17:30 . 2001-10-25 11:00 76586 ----a-w- c:\windows\system32\perfc005.dat
2009-07-22 17:30 . 2001-10-25 11:00 426546 ----a-w- c:\windows\system32\perfh005.dat
2009-07-22 14:41 . 2009-02-13 17:47 -------- d-----w- c:\program files\Windows Media Connect 2
2009-07-13 09:52 . 2009-02-14 11:20 -------- d-----w- c:\program files\Winamp
2009-06-19 00:01 . 2009-06-19 00:01 -------- d-----w- c:\program files\Alwil Software
2009-06-14 19:38 . 2009-03-25 10:36 -------- d-----w- c:\program files\JDownloader
2009-06-10 21:21 . 2009-02-14 10:45 -------- d--h--w- c:\program files\InstallShield Installation Information
2009-06-10 21:20 . 2009-06-10 14:59 -------- d-----w- c:\program files\Common Files\InstallShield
2009-06-10 16:03 . 2009-04-16 11:19 268 --s-a-w- c:\windows\system32\1615259505.dat
2009-05-28 15:43 . 2009-05-28 15:43 -------- d-----w- c:\program files\OpenOffice.org 3
2009-05-28 15:43 . 2009-05-28 15:43 -------- d-----w- c:\program files\Open Office
.

------- Sigcheck -------



[-] 2008-08-08 14:44 1571840 1E603EA2A3FDBAE9E5B88A8CB3C03124 c:\windows\system32\sfcfiles.dll
.
(((((((((((((((((((((((((((((((((( Spouštěcí body v registru )))))))))))))))))))))))))))))))))))))))))))))
.
.
*Poznámka* prázdné záznamy a legitimní výchozí údaje nejsou zobrazeny.
REGEDIT4

[HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
"CTFMON.EXE"="c:\windows\system32\ctfmon.exe" [2008-04-14 15360]
"DAEMON Tools Lite"="c:\program files\DAEMON Tools Lite\daemon.exe" [2008-12-29 687560]
"BgMonitor_{79662E04-7C6C-4d9f-84C7-88D8A56B10AA}"="c:\program files\Common Files\Ahead\Lib\NMBgMonitor.exe" [2007-03-12 153136]
"SpybotSD TeaTimer"="c:\program files\Spybot - Search & Destroy\TeaTimer.exe" [2009-03-05 2260480]

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
"SynTPEnh"="c:\program files\Synaptics\SynTP\SynTPEnh.exe" [2006-05-19 774233]
"Adobe Reader Speed Launcher"="c:\program files\Adobe\Reader 9.0\Reader\Reader_sl.exe" [2009-02-27 35696]
"IgfxTray"="c:\windows\system32\igfxtray.exe" [2008-02-15 135168]
"HotKeysCmds"="c:\windows\system32\hkcmd.exe" [2008-02-15 159744]
"Persistence"="c:\windows\system32\igfxpers.exe" [2008-02-15 131072]
"avast!"="c:\progra~1\ALWILS~1\Avast4\ashDisp.exe" [2009-02-05 81000]

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\RunOnce]
"WIAWizardMenu"="c:\windows\system32\sti_ci.dll" [2008-04-14 136704]

[HKEY_USERS\.DEFAULT\Software\Microsoft\Windows\CurrentVersion\Run]
"CTFMON.EXE"="c:\windows\system32\CTFMON.EXE" [2008-04-14 15360]

[HKEY_USERS\.DEFAULT\Software\Microsoft\Windows\CurrentVersion\RunOnce]
"_nltide_3"="advpack.dll" - c:\windows\system32\advpack.dll [2009-02-20 124928]

c:\documents and settings\Marw\Nabˇdka Start\Programy\Po spuçtŘnˇ\
OpenOffice.org 3.0.lnk - c:\program files\OpenOffice.org 3\program\quickstart.exe [2009-1-15 393216]

[HKEY_CURRENT_USER\software\microsoft\windows\currentversion\policies\explorer]
"NoSMConfigurePrograms"= 1 (0x1)

[HKEY_USERS\.default\software\microsoft\windows\currentversion\policies\explorer]
"NoSMHelp"= 1 (0x1)
"NoSMConfigurePrograms"= 1 (0x1)

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\services]
"npggsvc"=3 (0x3)
"ShellHWDetectionLanmanServer"=2 (0x2)

[HKLM\~\services\sharedaccess\parameters\firewallpolicy\standardprofile]
"EnableFirewall"= 0 (0x0)

[HKLM\~\services\sharedaccess\parameters\firewallpolicy\standardprofile\AuthorizedApplications\List]
"%windir%\\Network Diagnostic\\xpnetdiag.exe"=
"c:\\WINDOWS\\system32\\sessmgr.exe"=
"c:\\Program Files\\QIP\\qip.exe"=
"c:\\Program Files\\Opera\\opera.exe"=
"c:\\Program Files\\Windows Media Player\\wmplayer.exe"=
"c:\\Program Files\\Java\\jre6\\launch4j-tmp\\JDownloader.exe"=
"c:\\WINDOWS\\system32\\java.exe"=
"c:\\Hry\\Heroes of Might and Magic III Complete\\Heroes3.exe"=
"c:\\WINDOWS\\system32\\dplaysvr.exe"=
"c:\\Hry\\LF2_v2.0\\lf2.exe"=
"c:\\Program Files\\Pando Networks\\Media Booster\\PMB.exe"=

[HKLM\~\services\sharedaccess\parameters\firewallpolicy\standardprofile\GloballyOpenPorts\List]
"56892:TCP"= 56892:TCP:Pando Media Booster
"56892:UDP"= 56892:UDP:Pando Media Booster

R0 iastor78;iastor78;c:\windows\system32\drivers\iastor78.sys [8.8.2008 17:10 308248]
R1 aswsp;avast! Self Protection;c:\windows\system32\drivers\aswSP.sys [19.6.2009 2:01 114768]
R2 aswfsblk;aswFsBlk;c:\windows\system32\drivers\aswFsBlk.sys [19.6.2009 2:01 20560]
S2 bezythnw;bezythnw;\??\c:\windows\system32\drivers\grxfqdqfvksvm.sys --> c:\windows\system32\drivers\grxfqdqfvksvm.sys [?]
S4 npggsvc;nProtect GameGuard Service;c:\windows\system32\GameMon.des -service --> c:\windows\system32\GameMon.des -service [?]
.
Obsah adresáře 'Naplánované úlohy'

2009-07-22 c:\windows\Tasks\WGASetup.job
- c:\windows\system32\KB905474\wgasetup.exe [2009-04-09 20:18]
.
.
------- Doplňkový sken -------
.
uStart Page = hxxp://www.google.com/
.

**************************************************************************

catchme 0.3.1398 W2K/XP/Vista - rootkit/stealth malware detector by Gmer, http://www.gmer.net
Rootkit scan 2009-07-22 20:51
Windows 5.1.2600 Service Pack 3 NTFS

skenování skrytých procesů ...

skenování skrytých položek 'Po spuštění' ...

skenování skrytých souborů ...

sken byl úspešně dokončen
skryté soubory: 0

**************************************************************************

[HKEY_LOCAL_MACHINE\System\ControlSet001\Services\npggsvc]
"ImagePath"="c:\windows\system32\GameMon.des -service"
.
--------------------- ZAMKNUTÉ KLÍČE V REGISTRU ---------------------

[HKEY_USERS\S-1-5-21-1606980848-527237240-1417001333-1003\Software\SecuROM\!CAUTION! NEVER A OR CHANGE ANY KEY*]
"??"=hex:90,ea,62,87,50,66,8a,6e,57,a3,a7,81,fc,bb,ad,f9,7d,68,b4,a9,17,95,3e,
b5,96,60,52,e2,83,44,79,81,26,95,13,0c,02,5d,b6,2a,95,51,28,3a,c2,21,14,a4,\
"??"=hex:09,14,dc,76,c3,bb,ab,02,74,e9,9b,01,4d,1c,07,f1
.
--------------------- Knihovny navázané na běžící procesy ---------------------

- - - - - - - > 'winlogon.exe'(896)
c:\windows\system32\vorbis.dll
c:\windows\system32\ogg.dll

- - - - - - - > 'lsass.exe'(952)
c:\windows\system32\vorbis.dll
c:\windows\system32\ogg.dll

- - - - - - - > 'explorer.exe'(524)
c:\windows\system32\vorbis.dll
c:\windows\system32\ogg.dll
c:\windows\system32\wpdshserviceobj.dll
c:\windows\system32\portabledevicetypes.dll
c:\windows\system32\portabledeviceapi.dll
.
------------------------ Jiné spuštené procesy ------------------------
.
c:\program files\Alwil Software\Avast4\aswUpdSv.exe
c:\program files\Alwil Software\Avast4\ashServ.exe
c:\windows\system32\igfxsrvc.exe
c:\program files\OpenOffice.org 3\program\soffice.exe
c:\program files\OpenOffice.org 3\program\soffice.bin
c:\program files\Java\jre6\bin\jqs.exe
c:\program files\Alwil Software\Avast4\ashMaiSv.exe
c:\program files\Alwil Software\Avast4\ashWebSv.exe
c:\windows\system32\wscntfy.exe
c:\program files\Common Files\Ahead\Lib\NMIndexingService.exe
c:\program files\Common Files\Ahead\Lib\NMIndexStoreSvr.exe
c:\windows\system32\wbem\wmiapsrv.exe
.
**************************************************************************
.
Celkový čas: 2009-07-22 20:54 - počítač byl restartován
ComboFix-quarantined-files.txt 2009-07-22 18:54

Před spuštěním: Volných bajtů: 22 451 650 560
Po spuštění: Volných bajtů: 22 532 403 200

WindowsXP-KB310994-SP2-Pro-BootDisk-CSY.exe
[boot loader]
timeout=2
default=multi(0)disk(0)rdisk(0)partition(1)\WINDOWS
[operating systems]
c:\cmdcons\BOOTSECT.DAT="Microsoft Windows Recovery Console" /cmdcons
multi(0)disk(0)rdisk(0)partition(1)\WINDOWS="Microsoft Windows XP Professional" /noexecute=optin /fastdetect

173 --- E O F --- 2009-07-22 18:52

[jaro3]

Otevři si Poznámkový blok (Start -> Spustit... a napiš do okna Notepad a dej Ok.
Zkopíruj do něj následující celý text označený zeleně:
Poznámka: Nepoužij k označení skriptu funkci VYBRAT VŠE

Kód: Vybrat vše

KillAll::
File::
c:\temp\catchme.dll
c:\windows\eReg.dat
c:\windows\system32\1615259505.dat
c:\windows\system32\drivers\grxfqdqfvksvm.sys

Driver::
bezythnw;bezythnw
bezythnw
grxfqdqfvksvm
npggsvc;nProtect GameGuard Service
npggsvc

Registry::
[-HKEY_LOCAL_MACHINE\System\ControlSet001\Services\npggsvc]   


Zvol možnost Soubor -> Uložit jako... a nastav tyto parametry:
Název souboru: zde napiš: CFScript.txt
Uložit jako typ: tak tam vyber Všechny soubory
Ulož soubor na plochu.
Ukonči všechna aktivní okna.

Uchop myší vytvořený skript CFScript.txt, přemísti ho nad stažený program ComboFix.exe a když se oba soubory překryjí, skript upusť.
- Automaticky se spustí ComboFix
- Vlož sem log, který vyběhne v závěru čistícího procesu + nový log z HJT

[SM4JL]

ComboFix 09-07-22.01 - Marw 22.07.2009 22:27.2.2 - NTFSx86
Systém Microsoft Windows XP Professional 5.1.2600.3.1250.420.1029.18.1015.591 [GMT 2:00]
Spuštěný z: c:\documents and settings\Marw\Plocha\ComboFix.exe
Použité ovládací přepínače :: c:\documents and settings\Marw\Plocha\CFScript.txt
AV: avast! antivirus 4.8.1335 [VPS 090715-0] *On-access scanning disabled* (Outdated) {7591DB91-41F0-48A3-B128-1A293FD8233D}
* Vytvořen nový Bod Obnovení

FILE ::
"c:\temp\catchme.dll"
"c:\windows\eReg.dat"
"c:\windows\system32\1615259505.dat"
"c:\windows\system32\drivers\grxfqdqfvksvm.sys"
.

((((((((((((((((((((((((((((((((((((((( Ostatní výmazy )))))))))))))))))))))))))))))))))))))))))))))))))
.

c:\windows\eReg.dat
c:\windows\system32\1615259505.dat

.
((((((((((((((((((((((((((((((((((((((( Ovladače/Služby )))))))))))))))))))))))))))))))))))))))))))))))))
.

-------\Legacy_BEZYTHNW
-------\Service_bezythnw


((((((((((((((((((((((((( Soubory vytvořené od 2009-06-22 do 2009-07-22 )))))))))))))))))))))))))))))))
.

2009-07-22 20:31 . 2009-07-22 20:31 53248 ----a-w- c:\temp\catchme.dll
2009-07-22 20:31 . 2009-07-22 20:31 -------- d-----w- c:\temp\WPDNSE
2009-07-22 20:31 . 2009-07-22 20:31 -------- d-----w- c:\temp\svb53.tmp
2009-07-22 20:29 . 2009-07-22 20:29 60416 ----a-w- c:\temp\Perflib_Perfdata__755.dat
2009-07-22 18:50 . 2009-07-22 18:50 -------- d-----w- c:\windows\system32\xircom
2009-07-22 18:50 . 2009-07-22 18:50 -------- d-----w- c:\windows\system32\wbem\snmp
2009-07-22 18:50 . 2009-07-22 18:50 -------- d-----w- c:\windows\system32\restore
2009-07-22 18:50 . 2009-07-22 18:50 -------- d-----w- c:\program files\microsoft frontpage
2009-07-22 18:04 . 2009-07-13 11:36 38160 ----a-w- c:\windows\system32\drivers\mbamswissarmy.sys
2009-07-22 18:04 . 2009-07-13 11:36 19096 ----a-w- c:\windows\system32\drivers\mbam.sys
2009-07-22 16:24 . 2009-07-22 16:24 -------- d-----w- c:\program files\ESET
2009-07-20 06:46 . 2009-07-20 06:46 -------- d-----w- c:\temp\BullZip
2009-07-20 06:43 . 2008-10-30 20:15 227840 ----a-w- c:\windows\system32\bzFlRdr.dll
2009-07-20 06:43 . 2008-09-26 17:44 126976 ----a-w- c:\windows\system32\bzpdfc.dll
2009-07-20 06:43 . 2008-07-09 21:19 103424 ----a-w- c:\windows\system32\bzDCT.dll
2009-07-20 06:43 . 2008-09-05 03:29 193024 ----a-w- c:\windows\system32\bzpdf.dll
2009-07-20 06:43 . 2009-07-20 06:43 -------- d-----w- c:\program files\Bullzip
2009-07-11 17:39 . 2009-07-12 11:29 -------- d-----w- C:\Pro Ivana

.
(((((((((((((((((((((((((((((((((((((((( Find3M výpis ))))))))))))))))))))))))))))))))))))))))))))))))))))
.
2009-07-22 17:30 . 2001-10-25 11:00 76586 ----a-w- c:\windows\system32\perfc005.dat
2009-07-22 17:30 . 2001-10-25 11:00 426546 ----a-w- c:\windows\system32\perfh005.dat
2009-07-22 14:41 . 2009-02-13 17:47 -------- d-----w- c:\program files\Windows Media Connect 2
2009-07-13 09:52 . 2009-02-14 11:20 -------- d-----w- c:\program files\Winamp
2009-06-19 00:01 . 2009-06-19 00:01 -------- d-----w- c:\program files\Alwil Software
2009-06-14 19:38 . 2009-03-25 10:36 -------- d-----w- c:\program files\JDownloader
2009-06-10 21:21 . 2009-02-14 10:45 -------- d--h--w- c:\program files\InstallShield Installation Information
2009-06-10 21:20 . 2009-06-10 14:59 -------- d-----w- c:\program files\Common Files\InstallShield
2009-05-28 15:43 . 2009-05-28 15:43 -------- d-----w- c:\program files\OpenOffice.org 3
2009-05-28 15:43 . 2009-05-28 15:43 -------- d-----w- c:\program files\Open Office
.

------- Sigcheck -------



[-] 2008-08-08 14:44 1571840 1E603EA2A3FDBAE9E5B88A8CB3C03124 c:\windows\system32\sfcfiles.dll
.
((((((((((((((((((((((((((((( SnapShot@2009-07-22_18.51.10 )))))))))))))))))))))))))))))))))))))))))
.
+ 2009-07-22 20:31 . 2009-07-22 20:31 16384 c:\windows\Temp\Perflib_Perfdata_774.dat
+ 2009-07-22 20:31 . 2009-07-22 20:31 16384 c:\windows\Temp\Perflib_Perfdata_570.dat
.
(((((((((((((((((((((((((((((((((( Spouštěcí body v registru )))))))))))))))))))))))))))))))))))))))))))))
.
.
*Poznámka* prázdné záznamy a legitimní výchozí údaje nejsou zobrazeny.
REGEDIT4

[HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
"CTFMON.EXE"="c:\windows\system32\ctfmon.exe" [2008-04-14 15360]
"DAEMON Tools Lite"="c:\program files\DAEMON Tools Lite\daemon.exe" [2008-12-29 687560]
"BgMonitor_{79662E04-7C6C-4d9f-84C7-88D8A56B10AA}"="c:\program files\Common Files\Ahead\Lib\NMBgMonitor.exe" [2007-03-12 153136]
"SpybotSD TeaTimer"="c:\program files\Spybot - Search & Destroy\TeaTimer.exe" [2009-03-05 2260480]

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
"SynTPEnh"="c:\program files\Synaptics\SynTP\SynTPEnh.exe" [2006-05-19 774233]
"Adobe Reader Speed Launcher"="c:\program files\Adobe\Reader 9.0\Reader\Reader_sl.exe" [2009-02-27 35696]
"IgfxTray"="c:\windows\system32\igfxtray.exe" [2008-02-15 135168]
"HotKeysCmds"="c:\windows\system32\hkcmd.exe" [2008-02-15 159744]
"Persistence"="c:\windows\system32\igfxpers.exe" [2008-02-15 131072]
"avast!"="c:\progra~1\ALWILS~1\Avast4\ashDisp.exe" [2009-02-05 81000]

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\RunOnce]
"WIAWizardMenu"="c:\windows\system32\sti_ci.dll" [2008-04-14 136704]

[HKEY_USERS\.DEFAULT\Software\Microsoft\Windows\CurrentVersion\Run]
"CTFMON.EXE"="c:\windows\system32\CTFMON.EXE" [2008-04-14 15360]

[HKEY_USERS\.DEFAULT\Software\Microsoft\Windows\CurrentVersion\RunOnce]
"_nltide_3"="advpack.dll" - c:\windows\system32\advpack.dll [2009-02-20 124928]

c:\documents and settings\Marw\Nabˇdka Start\Programy\Po spuçtŘnˇ\
OpenOffice.org 3.0.lnk - c:\program files\OpenOffice.org 3\program\quickstart.exe [2009-1-15 393216]

[HKEY_CURRENT_USER\software\microsoft\windows\currentversion\policies\explorer]
"NoSMConfigurePrograms"= 1 (0x1)

[HKEY_USERS\.default\software\microsoft\windows\currentversion\policies\explorer]
"NoSMHelp"= 1 (0x1)
"NoSMConfigurePrograms"= 1 (0x1)

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\services]
"npggsvc"=3 (0x3)
"ShellHWDetectionLanmanServer"=2 (0x2)

[HKLM\~\services\sharedaccess\parameters\firewallpolicy\standardprofile]
"EnableFirewall"= 0 (0x0)

[HKLM\~\services\sharedaccess\parameters\firewallpolicy\standardprofile\AuthorizedApplications\List]
"%windir%\\Network Diagnostic\\xpnetdiag.exe"=
"c:\\WINDOWS\\system32\\sessmgr.exe"=
"c:\\Program Files\\QIP\\qip.exe"=
"c:\\Program Files\\Opera\\opera.exe"=
"c:\\Program Files\\Windows Media Player\\wmplayer.exe"=
"c:\\Program Files\\Java\\jre6\\launch4j-tmp\\JDownloader.exe"=
"c:\\WINDOWS\\system32\\java.exe"=
"c:\\Hry\\Heroes of Might and Magic III Complete\\Heroes3.exe"=
"c:\\WINDOWS\\system32\\dplaysvr.exe"=
"c:\\Hry\\LF2_v2.0\\lf2.exe"=
"c:\\Program Files\\Pando Networks\\Media Booster\\PMB.exe"=

[HKLM\~\services\sharedaccess\parameters\firewallpolicy\standardprofile\GloballyOpenPorts\List]
"56892:TCP"= 56892:TCP:Pando Media Booster
"56892:UDP"= 56892:UDP:Pando Media Booster

R0 iastor78;iastor78;c:\windows\system32\drivers\iastor78.sys [8.8.2008 17:10 308248]
R1 aswsp;avast! Self Protection;c:\windows\system32\drivers\aswSP.sys [19.6.2009 2:01 114768]
R2 aswfsblk;aswFsBlk;c:\windows\system32\drivers\aswFsBlk.sys [19.6.2009 2:01 20560]
.
Obsah adresáře 'Naplánované úlohy'

2009-07-22 c:\windows\Tasks\WGASetup.job
- c:\windows\system32\KB905474\wgasetup.exe [2009-04-09 20:18]
.
.
------- Doplňkový sken -------
.
uStart Page = hxxp://www.google.com/
.

**************************************************************************

catchme 0.3.1398 W2K/XP/Vista - rootkit/stealth malware detector by Gmer, http://www.gmer.net
Rootkit scan 2009-07-22 22:31
Windows 5.1.2600 Service Pack 3 NTFS

skenování skrytých procesů ...

skenování skrytých položek 'Po spuštění' ...

skenování skrytých souborů ...

sken byl úspešně dokončen
skryté soubory: 0

**************************************************************************
.
--------------------- ZAMKNUTÉ KLÍČE V REGISTRU ---------------------

[HKEY_USERS\S-1-5-21-1606980848-527237240-1417001333-1003\Software\SecuROM\!CAUTION! NEVER A OR CHANGE ANY KEY*]
"??"=hex:90,ea,62,87,50,66,8a,6e,57,a3,a7,81,fc,bb,ad,f9,7d,68,b4,a9,17,95,3e,
b5,96,60,52,e2,83,44,79,81,26,95,13,0c,02,5d,b6,2a,95,51,28,3a,c2,21,14,a4,\
"??"=hex:09,14,dc,76,c3,bb,ab,02,74,e9,9b,01,4d,1c,07,f1
.
--------------------- Knihovny navázané na běžící procesy ---------------------

- - - - - - - > 'winlogon.exe'(892)
c:\windows\system32\vorbis.dll
c:\windows\system32\ogg.dll

- - - - - - - > 'lsass.exe'(948)
c:\windows\system32\vorbis.dll
c:\windows\system32\ogg.dll

- - - - - - - > 'explorer.exe'(1504)
c:\windows\system32\vorbis.dll
c:\windows\system32\ogg.dll
c:\windows\system32\wpdshserviceobj.dll
c:\windows\system32\portabledevicetypes.dll
c:\windows\system32\portabledeviceapi.dll
.
------------------------ Jiné spuštené procesy ------------------------
.
c:\program files\Alwil Software\Avast4\aswUpdSv.exe
c:\program files\Alwil Software\Avast4\ashServ.exe
c:\windows\system32\igfxsrvc.exe
c:\program files\Java\jre6\bin\jqs.exe
c:\program files\OpenOffice.org 3\program\soffice.exe
c:\program files\OpenOffice.org 3\program\soffice.bin
c:\program files\Alwil Software\Avast4\ashMaiSv.exe
c:\program files\Alwil Software\Avast4\ashWebSv.exe
c:\program files\Common Files\Ahead\Lib\NMIndexingService.exe
c:\program files\Common Files\Ahead\Lib\NMIndexStoreSvr.exe
c:\windows\system32\wscntfy.exe
c:\windows\system32\wbem\wmiapsrv.exe
.
**************************************************************************
.
Celkový čas: 2009-07-22 22:35 - počítač byl restartován
ComboFix-quarantined-files.txt 2009-07-22 20:35
ComboFix2.txt 2009-07-22 18:54

Před spuštěním: Volných bajtů: 22 495 440 896
Po spuštění: Volných bajtů: 22 488 645 632

179 --- E O F --- 2009-07-22 18:52

[jaro3]

Otevři si Poznámkový blok (Start -> Spustit... a napiš do okna Notepad a dej Ok.
Zkopíruj do něj následující celý text označený zeleně:
Poznámka: Nepoužij k označení skriptu funkci VYBRAT VŠE

Kód: Vybrat vše

KillAll::
File::
c:\temp\svb53.tmp

Registry::
[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\services]
"npggsvc"=-

Zvol možnost Soubor -> Uložit jako... a nastav tyto parametry:
Název souboru: zde napiš: CFScript.txt
Uložit jako typ: tak tam vyber Všechny soubory
Ulož soubor na plochu.
Ukonči všechna aktivní okna.

Uchop myší vytvořený skript CFScript.txt, přemísti ho nad stažený program ComboFix.exe a když se oba soubory překryjí, skript upusť.
- Automaticky se spustí ComboFix
- Vlož sem log, který vyběhne v závěru čistícího procesu + nový log z HJT

Stáhni si :Dr. Web CureIt
dej update , po aktualizaci dej start.
Tlacitky dole muzeš soubor léčit, smazat, přesunout nebo přejmenovat

[SM4JL]

byl jsem par dni mimo domov ale uz jsem z5. zde je novy log z combofixu:

ComboFix 09-07-26.01 - Marw 27.07.2009 8:54.3.2 - NTFSx86
Systém Microsoft Windows XP Professional 5.1.2600.3.1250.420.1029.18.1015.520 [GMT 2:00]
Spuštěný z: c:\documents and settings\Marw\Plocha\ComboFix.exe
Použité ovládací přepínače :: c:\documents and settings\Marw\Plocha\CFScript.txt
AV: avast! antivirus 4.8.1335 [VPS 090722-0] *On-access scanning disabled* (Updated) {7591DB91-41F0-48A3-B128-1A293FD8233D}
* Vytvořen nový Bod Obnovení

FILE ::
"c:\temp\svb53.tmp"
.

((((((((((((((((((((((((( Soubory vytvořené od 2009-06-27 do 2009-07-27 )))))))))))))))))))))))))))))))
.

2009-07-27 06:59 . 2009-07-27 06:59 53248 ----a-w- c:\temp\catchme.dll
2009-07-27 06:59 . 2009-07-27 06:59 -------- d-----w- c:\temp\WPDNSE
2009-07-27 06:59 . 2009-07-27 06:59 -------- d-----w- c:\temp\sv7fa.tmp
2009-07-27 06:57 . 2009-07-27 06:57 60416 ----a-w- c:\temp\Perflib_Perfdata__755.dat
2009-07-22 18:50 . 2009-07-22 18:50 -------- d-----w- c:\windows\system32\xircom
2009-07-22 18:50 . 2009-07-22 18:50 -------- d-----w- c:\windows\system32\wbem\snmp
2009-07-22 18:50 . 2009-07-22 18:50 -------- d-----w- c:\windows\system32\restore
2009-07-22 18:50 . 2009-07-22 18:50 -------- d-----w- c:\program files\microsoft frontpage
2009-07-22 18:04 . 2009-07-13 11:36 38160 ----a-w- c:\windows\system32\drivers\mbamswissarmy.sys
2009-07-22 18:04 . 2009-07-13 11:36 19096 ----a-w- c:\windows\system32\drivers\mbam.sys
2009-07-22 16:24 . 2009-07-22 16:24 -------- d-----w- c:\program files\ESET
2009-07-20 06:46 . 2009-07-20 06:46 -------- d-----w- c:\temp\BullZip
2009-07-20 06:43 . 2008-10-30 20:15 227840 ----a-w- c:\windows\system32\bzFlRdr.dll
2009-07-20 06:43 . 2008-09-26 17:44 126976 ----a-w- c:\windows\system32\bzpdfc.dll
2009-07-20 06:43 . 2008-07-09 21:19 103424 ----a-w- c:\windows\system32\bzDCT.dll
2009-07-20 06:43 . 2008-09-05 03:29 193024 ----a-w- c:\windows\system32\bzpdf.dll
2009-07-20 06:43 . 2009-07-20 06:43 -------- d-----w- c:\program files\Bullzip
2009-07-11 17:39 . 2009-07-12 11:29 -------- d-----w- C:\Pro Ivana

.
(((((((((((((((((((((((((((((((((((((((( Find3M výpis ))))))))))))))))))))))))))))))))))))))))))))))))))))
.
2009-07-22 17:30 . 2001-10-25 11:00 76586 ----a-w- c:\windows\system32\perfc005.dat
2009-07-22 17:30 . 2001-10-25 11:00 426546 ----a-w- c:\windows\system32\perfh005.dat
2009-07-22 14:41 . 2009-02-13 17:47 -------- d-----w- c:\program files\Windows Media Connect 2
2009-07-13 09:52 . 2009-02-14 11:20 -------- d-----w- c:\program files\Winamp
2009-06-19 00:01 . 2009-06-19 00:01 -------- d-----w- c:\program files\Alwil Software
2009-06-16 14:40 . 2008-04-14 05:52 119808 ----a-w- c:\windows\system32\t2embed.dll
2009-06-16 14:40 . 2008-04-14 05:51 81920 ----a-w- c:\windows\system32\fontsub.dll
2009-06-14 19:38 . 2009-03-25 10:36 -------- d-----w- c:\program files\JDownloader
2009-06-10 21:21 . 2009-02-14 10:45 -------- d--h--w- c:\program files\InstallShield Installation Information
2009-06-10 21:20 . 2009-06-10 14:59 -------- d-----w- c:\program files\Common Files\InstallShield
2009-06-03 19:11 . 2008-04-14 05:51 1293824 ----a-w- c:\windows\system32\quartz.dll
2009-05-28 15:43 . 2009-05-28 15:43 -------- d-----w- c:\program files\OpenOffice.org 3
2009-05-28 15:43 . 2009-05-28 15:43 -------- d-----w- c:\program files\Open Office
2009-05-07 15:33 . 2008-04-14 05:51 346624 ----a-w- c:\windows\system32\localspl.dll
2009-04-29 04:47 . 2008-08-08 14:43 827392 ----a-w- c:\windows\system32\wininet.dll
2009-04-29 04:47 . 2008-08-08 14:43 78336 ----a-w- c:\windows\system32\ieencode.dll
.

------- Sigcheck -------



[-] 2008-08-08 14:44 1571840 1E603EA2A3FDBAE9E5B88A8CB3C03124 c:\windows\system32\sfcfiles.dll
.
((((((((((((((((((((((((((((( SnapShot@2009-07-22_18.51.10 )))))))))))))))))))))))))))))))))))))))))
.
+ 2009-07-23 01:07 . 2009-07-23 01:07 16384 c:\windows\Temp\Perflib_Perfdata_754.dat
+ 2009-07-27 06:58 . 2009-07-27 06:58 16384 c:\windows\Temp\Perflib_Perfdata_6e0.dat
+ 2009-07-27 06:59 . 2009-07-27 06:59 16384 c:\windows\Temp\Perflib_Perfdata_5f8.dat
+ 2009-02-13 17:57 . 2008-07-08 12:59 18296 c:\windows\system32\spmsg.dll
- 2009-02-13 17:57 . 2007-11-30 12:39 18296 c:\windows\system32\spmsg.dll
- 2008-08-08 14:43 . 2009-02-20 17:13 44544 c:\windows\system32\pngfilt.dll
+ 2008-08-08 14:43 . 2009-04-29 04:47 44544 c:\windows\system32\pngfilt.dll
- 2008-08-08 14:43 . 2009-02-20 17:13 52224 c:\windows\system32\msfeedsbs.dll
+ 2008-08-08 14:43 . 2009-04-29 04:47 52224 c:\windows\system32\msfeedsbs.dll
+ 2008-08-08 14:43 . 2009-04-29 04:47 27648 c:\windows\system32\jsproxy.dll
- 2008-08-08 14:43 . 2009-02-20 17:13 27648 c:\windows\system32\jsproxy.dll
+ 2008-08-08 14:43 . 2009-04-28 09:04 13824 c:\windows\system32\ieudinit.exe
- 2008-08-08 14:43 . 2009-02-20 10:20 13824 c:\windows\system32\ieudinit.exe
+ 2008-08-08 14:43 . 2009-04-29 04:47 44544 c:\windows\system32\iernonce.dll
- 2008-08-08 14:43 . 2009-02-20 17:13 44544 c:\windows\system32\iernonce.dll
+ 2008-08-08 14:43 . 2009-04-28 09:04 70656 c:\windows\system32\ie4uinit.exe
- 2008-08-08 14:43 . 2009-02-20 10:20 70656 c:\windows\system32\ie4uinit.exe
+ 2008-08-08 14:43 . 2009-04-29 04:47 63488 c:\windows\system32\icardie.dll
- 2008-08-08 14:43 . 2009-02-20 17:13 63488 c:\windows\system32\icardie.dll
+ 2009-02-14 09:28 . 2009-04-29 04:47 44544 c:\windows\system32\dllcache\pngfilt.dll
- 2009-02-14 09:28 . 2009-02-20 17:13 44544 c:\windows\system32\dllcache\pngfilt.dll
+ 2009-02-14 09:28 . 2009-04-29 04:47 52224 c:\windows\system32\dllcache\msfeedsbs.dll
- 2009-02-14 09:28 . 2009-02-20 17:13 52224 c:\windows\system32\dllcache\msfeedsbs.dll
- 2009-02-14 09:28 . 2009-02-20 17:13 27648 c:\windows\system32\dllcache\jsproxy.dll
+ 2009-02-14 09:28 . 2009-04-29 04:47 27648 c:\windows\system32\dllcache\jsproxy.dll
- 2009-02-14 09:28 . 2009-02-20 10:20 13824 c:\windows\system32\dllcache\ieudinit.exe
+ 2009-02-14 09:28 . 2009-04-28 09:04 13824 c:\windows\system32\dllcache\ieudinit.exe
+ 2009-02-14 09:28 . 2009-04-29 04:47 44544 c:\windows\system32\dllcache\iernonce.dll
- 2009-02-14 09:28 . 2009-02-20 17:13 44544 c:\windows\system32\dllcache\iernonce.dll
- 2009-02-20 17:13 . 2009-02-20 17:13 78336 c:\windows\system32\dllcache\ieencode.dll
+ 2009-02-20 17:13 . 2009-04-29 04:47 78336 c:\windows\system32\dllcache\ieencode.dll
+ 2009-02-14 09:28 . 2009-04-28 09:04 70656 c:\windows\system32\dllcache\ie4uinit.exe
- 2009-02-14 09:28 . 2009-02-20 10:20 70656 c:\windows\system32\dllcache\ie4uinit.exe
- 2009-02-14 09:28 . 2009-02-20 17:13 63488 c:\windows\system32\dllcache\icardie.dll
+ 2009-02-14 09:28 . 2009-04-29 04:47 63488 c:\windows\system32\dllcache\icardie.dll
+ 2009-06-16 14:40 . 2009-06-16 14:40 81920 c:\windows\system32\dllcache\fontsub.dll
+ 2009-07-23 01:00 . 2009-02-20 17:13 44544 c:\windows\ie7updates\KB969897-IE7\pngfilt.dll
+ 2009-07-23 01:00 . 2009-02-20 17:13 52224 c:\windows\ie7updates\KB969897-IE7\msfeedsbs.dll
+ 2009-07-23 01:00 . 2009-02-20 17:13 27648 c:\windows\ie7updates\KB969897-IE7\jsproxy.dll
+ 2009-07-23 01:00 . 2009-02-20 10:20 13824 c:\windows\ie7updates\KB969897-IE7\ieudinit.exe
+ 2009-07-23 01:00 . 2009-02-20 17:13 44544 c:\windows\ie7updates\KB969897-IE7\iernonce.dll
+ 2009-07-23 01:00 . 2009-02-20 17:13 78336 c:\windows\ie7updates\KB969897-IE7\ieencode.dll
+ 2009-07-23 01:00 . 2009-02-20 10:20 70656 c:\windows\ie7updates\KB969897-IE7\ie4uinit.exe
+ 2009-07-23 01:00 . 2009-02-20 17:13 63488 c:\windows\ie7updates\KB969897-IE7\icardie.dll
- 2008-08-08 14:43 . 2009-02-20 17:13 233472 c:\windows\system32\webcheck.dll
+ 2008-08-08 14:43 . 2009-04-29 04:47 233472 c:\windows\system32\webcheck.dll
- 2008-08-08 14:43 . 2009-02-20 17:13 105984 c:\windows\system32\url.dll
+ 2008-08-08 14:43 . 2009-04-29 04:47 105984 c:\windows\system32\url.dll
+ 2008-04-14 05:51 . 2009-04-15 14:54 585216 c:\windows\system32\rpcrt4.dll
+ 2008-08-08 14:43 . 2009-04-29 04:47 102912 c:\windows\system32\occache.dll
- 2008-08-08 14:43 . 2009-02-20 17:13 102912 c:\windows\system32\occache.dll
- 2008-08-08 14:43 . 2009-02-20 17:13 671232 c:\windows\system32\mstime.dll
+ 2008-08-08 14:43 . 2009-04-29 04:47 671232 c:\windows\system32\mstime.dll
+ 2008-08-08 14:43 . 2009-04-29 04:47 193024 c:\windows\system32\msrating.dll
- 2008-08-08 14:43 . 2009-02-20 17:13 193024 c:\windows\system32\msrating.dll
+ 2008-08-08 14:43 . 2009-04-29 04:47 477696 c:\windows\system32\mshtmled.dll
- 2008-08-08 14:43 . 2009-02-20 17:13 477696 c:\windows\system32\mshtmled.dll
- 2008-08-08 14:43 . 2009-02-20 17:13 459264 c:\windows\system32\msfeeds.dll
+ 2008-08-08 14:43 . 2009-04-29 04:47 459264 c:\windows\system32\msfeeds.dll
- 2008-08-08 14:43 . 2009-02-20 17:13 268288 c:\windows\system32\iertutil.dll
+ 2008-08-08 14:43 . 2009-04-29 04:47 268288 c:\windows\system32\iertutil.dll
+ 2008-08-08 14:43 . 2009-04-29 04:47 385024 c:\windows\system32\iedkcs32.dll
- 2008-08-08 14:43 . 2009-02-20 17:13 385024 c:\windows\system32\iedkcs32.dll
- 2008-08-08 14:43 . 2009-02-20 17:13 383488 c:\windows\system32\ieapfltr.dll
+ 2008-08-08 14:43 . 2009-04-29 04:47 383488 c:\windows\system32\ieapfltr.dll
+ 2008-08-08 14:43 . 2009-04-25 05:26 161792 c:\windows\system32\ieakui.dll
- 2008-08-08 14:43 . 2009-02-20 05:14 161792 c:\windows\system32\ieakui.dll
- 2008-08-08 14:43 . 2009-02-20 17:13 230400 c:\windows\system32\ieaksie.dll
+ 2008-08-08 14:43 . 2009-04-29 04:47 230400 c:\windows\system32\ieaksie.dll
+ 2008-08-08 14:43 . 2009-04-29 04:47 153088 c:\windows\system32\ieakeng.dll
- 2008-08-08 14:43 . 2009-02-20 17:13 153088 c:\windows\system32\ieakeng.dll
- 2009-02-13 17:19 . 2009-06-02 07:58 114176 c:\windows\system32\FNTCACHE.DAT
+ 2009-02-13 17:19 . 2009-07-23 01:07 114176 c:\windows\system32\FNTCACHE.DAT
+ 2008-08-08 14:43 . 2009-04-29 04:47 133120 c:\windows\system32\extmgr.dll
- 2008-08-08 14:43 . 2009-02-20 17:13 133120 c:\windows\system32\extmgr.dll
+ 2008-08-08 14:43 . 2009-04-29 04:47 214528 c:\windows\system32\dxtrans.dll
- 2008-08-08 14:43 . 2009-02-20 17:13 214528 c:\windows\system32\dxtrans.dll
- 2008-08-08 14:43 . 2009-02-20 17:13 347136 c:\windows\system32\dxtmsft.dll
+ 2008-08-08 14:43 . 2009-04-29 04:47 347136 c:\windows\system32\dxtmsft.dll
+ 2009-02-14 09:28 . 2009-04-29 04:47 827392 c:\windows\system32\dllcache\wininet.dll
- 2009-02-14 09:28 . 2009-02-20 17:13 233472 c:\windows\system32\dllcache\webcheck.dll
+ 2009-02-14 09:28 . 2009-04-29 04:47 233472 c:\windows\system32\dllcache\webcheck.dll
- 2009-02-14 09:28 . 2009-02-20 17:13 105984 c:\windows\system32\dllcache\url.dll
+ 2009-02-14 09:28 . 2009-04-29 04:47 105984 c:\windows\system32\dllcache\url.dll
+ 2009-06-16 14:40 . 2009-06-16 14:40 119808 c:\windows\system32\dllcache\t2embed.dll
+ 2009-04-15 14:54 . 2009-04-15 14:54 585216 c:\windows\system32\dllcache\rpcrt4.dll
- 2009-02-14 09:28 . 2009-02-20 17:13 102912 c:\windows\system32\dllcache\occache.dll
+ 2009-02-14 09:28 . 2009-04-29 04:47 102912 c:\windows\system32\dllcache\occache.dll
+ 2009-02-14 09:28 . 2009-04-29 04:47 671232 c:\windows\system32\dllcache\mstime.dll
- 2009-02-14 09:28 . 2009-02-20 17:13 671232 c:\windows\system32\dllcache\mstime.dll
- 2009-02-14 09:28 . 2009-02-20 17:13 193024 c:\windows\system32\dllcache\msrating.dll
+ 2009-02-14 09:28 . 2009-04-29 04:47 193024 c:\windows\system32\dllcache\msrating.dll
- 2009-02-14 09:28 . 2009-02-20 17:13 477696 c:\windows\system32\dllcache\mshtmled.dll
+ 2009-02-14 09:28 . 2009-04-29 04:47 477696 c:\windows\system32\dllcache\mshtmled.dll
- 2009-02-14 09:28 . 2009-02-20 17:13 459264 c:\windows\system32\dllcache\msfeeds.dll
+ 2009-02-14 09:28 . 2009-04-29 04:47 459264 c:\windows\system32\dllcache\msfeeds.dll
+ 2009-05-07 15:33 . 2009-05-07 15:33 346624 c:\windows\system32\dllcache\localspl.dll
+ 2009-02-14 09:28 . 2009-04-25 05:27 636088 c:\windows\system32\dllcache\iexplore.exe
- 2009-02-14 09:28 . 2009-02-20 17:13 268288 c:\windows\system32\dllcache\iertutil.dll
+ 2009-02-14 09:28 . 2009-04-29 04:47 268288 c:\windows\system32\dllcache\iertutil.dll
+ 2009-02-14 09:28 . 2009-04-29 04:47 385024 c:\windows\system32\dllcache\iedkcs32.dll
- 2009-02-14 09:28 . 2009-02-20 17:13 385024 c:\windows\system32\dllcache\iedkcs32.dll
+ 2009-02-14 09:28 . 2009-04-29 04:47 383488 c:\windows\system32\dllcache\ieapfltr.dll
- 2009-02-14 09:28 . 2009-02-20 17:13 383488 c:\windows\system32\dllcache\ieapfltr.dll
- 2009-02-14 09:28 . 2009-02-20 05:14 161792 c:\windows\system32\dllcache\ieakui.dll
+ 2009-02-14 09:28 . 2009-04-25 05:26 161792 c:\windows\system32\dllcache\ieakui.dll
- 2009-02-14 09:28 . 2009-02-20 17:13 230400 c:\windows\system32\dllcache\ieaksie.dll
+ 2009-02-14 09:28 . 2009-04-29 04:47 230400 c:\windows\system32\dllcache\ieaksie.dll
- 2009-02-14 09:28 . 2009-02-20 17:13 153088 c:\windows\system32\dllcache\ieakeng.dll
+ 2009-02-14 09:28 . 2009-04-29 04:47 153088 c:\windows\system32\dllcache\ieakeng.dll
+ 2009-02-14 09:28 . 2009-04-29 04:47 133120 c:\windows\system32\dllcache\extmgr.dll
- 2009-02-14 09:28 . 2009-02-20 17:13 133120 c:\windows\system32\dllcache\extmgr.dll
- 2009-02-14 09:28 . 2009-02-20 17:13 214528 c:\windows\system32\dllcache\dxtrans.dll
+ 2009-02-14 09:28 . 2009-04-29 04:47 214528 c:\windows\system32\dllcache\dxtrans.dll
- 2009-02-14 09:28 . 2009-02-20 17:13 347136 c:\windows\system32\dllcache\dxtmsft.dll
+ 2009-02-14 09:28 . 2009-04-29 04:47 347136 c:\windows\system32\dllcache\dxtmsft.dll
- 2009-02-14 09:28 . 2009-02-20 17:13 124928 c:\windows\system32\dllcache\advpack.dll
+ 2009-02-14 09:28 . 2009-04-29 04:47 124928 c:\windows\system32\dllcache\advpack.dll
- 2008-08-08 14:43 . 2009-02-20 17:13 124928 c:\windows\system32\advpack.dll
+ 2008-08-08 14:43 . 2009-04-29 04:47 124928 c:\windows\system32\advpack.dll
+ 2009-07-23 01:00 . 2009-03-03 00:14 826368 c:\windows\ie7updates\KB969897-IE7\wininet.dll
+ 2009-07-23 01:00 . 2009-02-20 17:13 233472 c:\windows\ie7updates\KB969897-IE7\webcheck.dll
+ 2009-07-23 01:00 . 2009-02-20 17:13 105984 c:\windows\ie7updates\KB969897-IE7\url.dll
+ 2009-07-23 01:00 . 2008-07-09 07:36 391032 c:\windows\ie7updates\KB969897-IE7\spuninst\updspapi.dll
+ 2009-07-23 01:00 . 2008-07-09 07:36 233848 c:\windows\ie7updates\KB969897-IE7\spuninst\spuninst.exe
+ 2009-07-23 01:00 . 2009-02-20 17:13 102912 c:\windows\ie7updates\KB969897-IE7\occache.dll
+ 2009-07-23 01:00 . 2009-02-20 17:13 671232 c:\windows\ie7updates\KB969897-IE7\mstime.dll
+ 2009-07-23 01:00 . 2009-02-20 17:13 193024 c:\windows\ie7updates\KB969897-IE7\msrating.dll
+ 2009-07-23 01:00 . 2009-02-20 17:13 477696 c:\windows\ie7updates\KB969897-IE7\mshtmled.dll
+ 2009-07-23 01:00 . 2009-02-20 17:13 459264 c:\windows\ie7updates\KB969897-IE7\msfeeds.dll
+ 2009-07-23 01:00 . 2009-02-28 04:54 636072 c:\windows\ie7updates\KB969897-IE7\iexplore.exe
+ 2009-07-23 01:00 . 2009-02-20 17:13 268288 c:\windows\ie7updates\KB969897-IE7\iertutil.dll
+ 2009-07-23 01:00 . 2009-02-20 17:13 385024 c:\windows\ie7updates\KB969897-IE7\iedkcs32.dll
+ 2009-07-23 01:00 . 2009-02-20 17:13 383488 c:\windows\ie7updates\KB969897-IE7\ieapfltr.dll
+ 2009-07-23 01:00 . 2009-02-20 05:14 161792 c:\windows\ie7updates\KB969897-IE7\ieakui.dll
+ 2009-07-23 01:00 . 2009-02-20 17:13 230400 c:\windows\ie7updates\KB969897-IE7\ieaksie.dll
+ 2009-07-23 01:00 . 2009-02-20 17:13 153088 c:\windows\ie7updates\KB969897-IE7\ieakeng.dll
+ 2009-07-23 01:00 . 2009-02-20 17:13 133120 c:\windows\ie7updates\KB969897-IE7\extmgr.dll
+ 2009-07-23 01:00 . 2009-02-20 17:13 214528 c:\windows\ie7updates\KB969897-IE7\dxtrans.dll
+ 2009-07-23 01:00 . 2009-02-20 17:13 347136 c:\windows\ie7updates\KB969897-IE7\dxtmsft.dll
+ 2009-07-23 01:00 . 2009-02-20 17:13 124928 c:\windows\ie7updates\KB969897-IE7\advpack.dll
+ 2008-04-14 04:45 . 2009-04-19 19:52 1847168 c:\windows\system32\win32k.sys
+ 2008-08-08 14:43 . 2009-04-29 04:47 1159680 c:\windows\system32\urlmon.dll
+ 2008-08-08 14:43 . 2009-04-29 04:47 3596288 c:\windows\system32\mshtml.dll
- 2008-08-08 14:43 . 2009-02-20 17:13 6066176 c:\windows\system32\ieframe.dll
+ 2008-08-08 14:43 . 2009-04-29 04:47 6066176 c:\windows\system32\ieframe.dll
+ 2009-02-14 10:49 . 2009-04-19 19:52 1847168 c:\windows\system32\dllcache\win32k.sys
+ 2009-02-14 09:28 . 2009-04-29 04:47 1159680 c:\windows\system32\dllcache\urlmon.dll
+ 2008-05-07 05:12 . 2009-06-03 19:11 1293824 c:\windows\system32\dllcache\quartz.dll
+ 2009-01-16 20:30 . 2009-04-29 04:47 3596288 c:\windows\system32\dllcache\mshtml.dll
+ 2009-02-14 09:28 . 2009-04-29 04:47 6066176 c:\windows\system32\dllcache\ieframe.dll
- 2009-02-14 09:28 . 2009-02-20 17:13 6066176 c:\windows\system32\dllcache\ieframe.dll
+ 2009-07-23 01:00 . 2009-02-20 17:13 1160192 c:\windows\ie7updates\KB969897-IE7\urlmon.dll
+ 2009-07-23 01:00 . 2009-02-20 17:13 3595264 c:\windows\ie7updates\KB969897-IE7\mshtml.dll
+ 2009-07-23 01:00 . 2009-02-20 17:13 6066176 c:\windows\ie7updates\KB969897-IE7\ieframe.dll
+ 2009-07-23 01:00 . 2008-07-09 14:25 2455488 c:\windows\ie7updates\KB969897-IE7\ieapfltr.dat
.
-- Snímek resetován k současnému datu --
.
(((((((((((((((((((((((((((((((((( Spouštěcí body v registru )))))))))))))))))))))))))))))))))))))))))))))
.
.
*Poznámka* prázdné záznamy a legitimní výchozí údaje nejsou zobrazeny.
REGEDIT4

[HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
"CTFMON.EXE"="c:\windows\system32\ctfmon.exe" [2008-04-14 15360]
"DAEMON Tools Lite"="c:\program files\DAEMON Tools Lite\daemon.exe" [2008-12-29 687560]
"BgMonitor_{79662E04-7C6C-4d9f-84C7-88D8A56B10AA}"="c:\program files\Common Files\Ahead\Lib\NMBgMonitor.exe" [2007-03-12 153136]
"SpybotSD TeaTimer"="c:\program files\Spybot - Search & Destroy\TeaTimer.exe" [2009-03-05 2260480]

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
"SynTPEnh"="c:\program files\Synaptics\SynTP\SynTPEnh.exe" [2006-05-19 774233]
"Adobe Reader Speed Launcher"="c:\program files\Adobe\Reader 9.0\Reader\Reader_sl.exe" [2009-02-27 35696]
"IgfxTray"="c:\windows\system32\igfxtray.exe" [2008-02-15 135168]
"HotKeysCmds"="c:\windows\system32\hkcmd.exe" [2008-02-15 159744]
"Persistence"="c:\windows\system32\igfxpers.exe" [2008-02-15 131072]
"avast!"="c:\progra~1\ALWILS~1\Avast4\ashDisp.exe" [2009-02-05 81000]

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\RunOnce]
"WIAWizardMenu"="c:\windows\system32\sti_ci.dll" [2008-04-14 136704]

[HKEY_USERS\.DEFAULT\Software\Microsoft\Windows\CurrentVersion\Run]
"CTFMON.EXE"="c:\windows\system32\CTFMON.EXE" [2008-04-14 15360]

[HKEY_USERS\.DEFAULT\Software\Microsoft\Windows\CurrentVersion\RunOnce]
"_nltide_3"="advpack.dll" - c:\windows\system32\advpack.dll [2009-04-29 124928]

c:\documents and settings\Marw\Nabˇdka Start\Programy\Po spuçtŘnˇ\
OpenOffice.org 3.0.lnk - c:\program files\OpenOffice.org 3\program\quickstart.exe [2009-1-15 393216]

[HKEY_CURRENT_USER\software\microsoft\windows\currentversion\policies\explorer]
"NoSMConfigurePrograms"= 1 (0x1)

[HKEY_USERS\.default\software\microsoft\windows\currentversion\policies\explorer]
"NoSMHelp"= 1 (0x1)
"NoSMConfigurePrograms"= 1 (0x1)

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\services]
"ShellHWDetectionLanmanServer"=2 (0x2)

[HKLM\~\services\sharedaccess\parameters\firewallpolicy\standardprofile\AuthorizedApplications\List]
"%windir%\\Network Diagnostic\\xpnetdiag.exe"=
"c:\\WINDOWS\\system32\\sessmgr.exe"=
"c:\\Program Files\\QIP\\qip.exe"=
"c:\\Program Files\\Opera\\opera.exe"=
"c:\\Program Files\\Windows Media Player\\wmplayer.exe"=
"c:\\Program Files\\Java\\jre6\\launch4j-tmp\\JDownloader.exe"=
"c:\\WINDOWS\\system32\\java.exe"=
"c:\\Hry\\Heroes of Might and Magic III Complete\\Heroes3.exe"=
"c:\\WINDOWS\\system32\\dplaysvr.exe"=
"c:\\Hry\\LF2_v2.0\\lf2.exe"=
"c:\\Program Files\\Pando Networks\\Media Booster\\PMB.exe"=

[HKLM\~\services\sharedaccess\parameters\firewallpolicy\standardprofile\GloballyOpenPorts\List]
"56892:TCP"= 56892:TCP:Pando Media Booster
"56892:UDP"= 56892:UDP:Pando Media Booster

R0 iastor78;iastor78;c:\windows\system32\drivers\iastor78.sys [8.8.2008 17:10 308248]
R1 aswsp;avast! Self Protection;c:\windows\system32\drivers\aswSP.sys [19.6.2009 2:01 114768]
R2 aswfsblk;aswFsBlk;c:\windows\system32\drivers\aswFsBlk.sys [19.6.2009 2:01 20560]
.
Obsah adresáře 'Naplánované úlohy'

2009-07-27 c:\windows\Tasks\WGASetup.job
- c:\windows\system32\KB905474\wgasetup.exe [2009-04-09 20:18]
.
.
------- Doplňkový sken -------
.
uStart Page = hxxp://www.google.com/
.

**************************************************************************

catchme 0.3.1398.3 W2K/XP/Vista - rootkit/stealth malware detector by Gmer, http://www.gmer.net
Rootkit scan 2009-07-27 08:59
Windows 5.1.2600 Service Pack 3 NTFS

skenování skrytých procesů ...

skenování skrytých položek 'Po spuštění' ...

skenování skrytých souborů ...

sken byl úspešně dokončen
skryté soubory: 0

**************************************************************************
.
--------------------- ZAMKNUTÉ KLÍČE V REGISTRU ---------------------

[HKEY_USERS\S-1-5-21-1606980848-527237240-1417001333-1003\Software\SecuROM\!CAUTION! NEVER A OR CHANGE ANY KEY*]
"??"=hex:90,ea,62,87,50,66,8a,6e,57,a3,a7,81,fc,bb,ad,f9,7d,68,b4,a9,17,95,3e,
b5,96,60,52,e2,83,44,79,81,26,95,13,0c,02,5d,b6,2a,95,51,28,3a,c2,21,14,a4,\
"??"=hex:09,14,dc,76,c3,bb,ab,02,74,e9,9b,01,4d,1c,07,f1
.
--------------------- Knihovny navázané na běžící procesy ---------------------

- - - - - - - > 'winlogon.exe'(880)
c:\windows\system32\vorbis.dll
c:\windows\system32\ogg.dll

- - - - - - - > 'lsass.exe'(936)
c:\windows\system32\vorbis.dll
c:\windows\system32\ogg.dll

- - - - - - - > 'explorer.exe'(3480)
c:\windows\system32\vorbis.dll
c:\windows\system32\ogg.dll
c:\windows\system32\wpdshserviceobj.dll
c:\windows\system32\portabledevicetypes.dll
c:\windows\system32\portabledeviceapi.dll
.
------------------------ Jiné spuštené procesy ------------------------
.
c:\program files\Alwil Software\Avast4\aswUpdSv.exe
c:\program files\Alwil Software\Avast4\ashServ.exe
c:\windows\system32\igfxsrvc.exe
c:\program files\OpenOffice.org 3\program\soffice.exe
c:\program files\OpenOffice.org 3\program\soffice.bin
c:\program files\Java\jre6\bin\jqs.exe
c:\program files\Alwil Software\Avast4\ashMaiSv.exe
c:\program files\Alwil Software\Avast4\ashWebSv.exe
c:\program files\Common Files\Ahead\Lib\NMIndexingService.exe
c:\program files\Common Files\Ahead\Lib\NMIndexStoreSvr.exe
c:\windows\system32\wbem\wmiapsrv.exe
.
**************************************************************************
.
Celkový čas: 2009-07-27 9:03 - počítač byl restartován
ComboFix-quarantined-files.txt 2009-07-27 07:03
ComboFix2.txt 2009-07-22 20:35
ComboFix3.txt 2009-07-22 18:54

Před spuštěním: Volných bajtů: 23 293 304 832
Po spuštění: Volných bajtů: 23 287 771 136

326 --- E O F --- 2009-07-23 01:01

[jaro3]

Stáhni si ATF Cleaner
Poklepej na ATF Cleaner.exe, klikni na select all found, poté:
-Když používáš Firefox (Mozzila), klikni na Firefox nahoře a vyber: Select All, poté klikni na Empty Selected.
-Když používáš Operu, klikni nahoře na Operu a vyber: Select All, poté klikni na Empty Selected.
Po vyčištění klikni na Exit k zavření programu.

Stáhni si :Dr. Web CureIt
dej update , po aktualizaci dej start.
Tlacitky dole muzeš soubor léčit, smazat, přesunout nebo přejmenovat


c:\temp\WPDNSE --vymazat obsah této složky.

Otevři si Poznámkový blok (Start -> Spustit... a napiš do okna Notepad a dej Ok.
Zkopíruj do něj následující celý text označený zeleně:
Poznámka: Nepoužij k označení skriptu funkci VYBRAT VŠE

Kód: Vybrat vše

KillAll::
File::
 c:\temp\sv7fa.tmp

Registry::
[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\services]
"ShellHWDetectionLanmanServer"=-


Zvol možnost Soubor -> Uložit jako... a nastav tyto parametry:
Název souboru: zde napiš: CFScript.txt
Uložit jako typ: tak tam vyber Všechny soubory
Ulož soubor na plochu.
Ukonči všechna aktivní okna.

Uchop myší vytvořený skript CFScript.txt, přemísti ho nad stažený program ComboFix.exe a když se oba soubory překryjí, skript upusť.
- Automaticky se spustí ComboFix
- Vlož sem log, který vyběhne v závěru čistícího procesu + nový log z HJT

[SM4JL]

vse provedeno. zde novy log z Combofixu:

ComboFix 09-07-26.01 - Marw 27.07.2009 16:16.4.2 - NTFSx86
Systém Microsoft Windows XP Professional 5.1.2600.3.1250.420.1029.18.1015.676 [GMT 2:00]
Spuštěný z: c:\documents and settings\Marw\Plocha\ComboFix.exe
Použité ovládací přepínače :: c:\documents and settings\Marw\Plocha\CFScript.txt
AV: avast! antivirus 4.8.1335 [VPS 090722-0] *On-access scanning disabled* (Updated) {7591DB91-41F0-48A3-B128-1A293FD8233D}
* Vytvořen nový Bod Obnovení

FILE ::
"c:\temp\sv7fa.tmp"
.

((((((((((((((((((((((((( Soubory vytvořené od 2009-06-27 do 2009-07-27 )))))))))))))))))))))))))))))))
.

2009-07-27 14:20 . 2009-07-27 14:20 53248 ----a-w- c:\temp\catchme.dll
2009-07-27 14:20 . 2009-07-27 14:20 -------- d-----w- c:\temp\WPDNSE
2009-07-27 14:20 . 2009-07-27 14:20 -------- d-----w- c:\temp\sv1c3.tmp
2009-07-27 14:19 . 2009-07-27 14:19 60416 ----a-w- c:\temp\Perflib_Perfdata__755.dat
2009-07-27 07:09 . 2009-07-27 08:58 -------- d-----w- c:\documents and settings\Marw\DoctorWeb
2009-07-22 18:50 . 2009-07-22 18:50 -------- d-----w- c:\windows\system32\xircom
2009-07-22 18:50 . 2009-07-22 18:50 -------- d-----w- c:\windows\system32\wbem\snmp
2009-07-22 18:50 . 2009-07-22 18:50 -------- d-----w- c:\windows\system32\restore
2009-07-22 18:50 . 2009-07-22 18:50 -------- d-----w- c:\program files\microsoft frontpage
2009-07-22 18:04 . 2009-07-13 11:36 38160 ----a-w- c:\windows\system32\drivers\mbamswissarmy.sys
2009-07-22 18:04 . 2009-07-13 11:36 19096 ----a-w- c:\windows\system32\drivers\mbam.sys
2009-07-22 16:24 . 2009-07-22 16:24 -------- d-----w- c:\program files\ESET
2009-07-20 06:46 . 2009-07-20 06:46 -------- d-----w- c:\temp\BullZip
2009-07-20 06:43 . 2008-10-30 20:15 227840 ----a-w- c:\windows\system32\bzFlRdr.dll
2009-07-20 06:43 . 2008-09-26 17:44 126976 ----a-w- c:\windows\system32\bzpdfc.dll
2009-07-20 06:43 . 2008-07-09 21:19 103424 ----a-w- c:\windows\system32\bzDCT.dll
2009-07-20 06:43 . 2008-09-05 03:29 193024 ----a-w- c:\windows\system32\bzpdf.dll
2009-07-20 06:43 . 2009-07-20 06:43 -------- d-----w- c:\program files\Bullzip
2009-07-11 17:39 . 2009-07-12 11:29 -------- d-----w- C:\Pro Ivana

.
(((((((((((((((((((((((((((((((((((((((( Find3M výpis ))))))))))))))))))))))))))))))))))))))))))))))))))))
.
2009-07-22 17:30 . 2001-10-25 11:00 76586 ----a-w- c:\windows\system32\perfc005.dat
2009-07-22 17:30 . 2001-10-25 11:00 426546 ----a-w- c:\windows\system32\perfh005.dat
2009-07-22 14:41 . 2009-02-13 17:47 -------- d-----w- c:\program files\Windows Media Connect 2
2009-07-13 09:52 . 2009-02-14 11:20 -------- d-----w- c:\program files\Winamp
2009-06-19 00:01 . 2009-06-19 00:01 -------- d-----w- c:\program files\Alwil Software
2009-06-16 14:40 . 2008-04-14 05:52 119808 ----a-w- c:\windows\system32\t2embed.dll
2009-06-16 14:40 . 2008-04-14 05:51 81920 ----a-w- c:\windows\system32\fontsub.dll
2009-06-14 19:38 . 2009-03-25 10:36 -------- d-----w- c:\program files\JDownloader
2009-06-10 21:21 . 2009-02-14 10:45 -------- d--h--w- c:\program files\InstallShield Installation Information
2009-06-10 21:20 . 2009-06-10 14:59 -------- d-----w- c:\program files\Common Files\InstallShield
2009-06-03 19:11 . 2008-04-14 05:51 1293824 ----a-w- c:\windows\system32\quartz.dll
2009-05-28 15:43 . 2009-05-28 15:43 -------- d-----w- c:\program files\OpenOffice.org 3
2009-05-28 15:43 . 2009-05-28 15:43 -------- d-----w- c:\program files\Open Office
2009-05-07 15:33 . 2008-04-14 05:51 346624 ----a-w- c:\windows\system32\localspl.dll
2009-04-29 04:47 . 2008-08-08 14:43 827392 ----a-w- c:\windows\system32\wininet.dll
2009-04-29 04:47 . 2008-08-08 14:43 78336 ----a-w- c:\windows\system32\ieencode.dll
.

------- Sigcheck -------



[-] 2008-08-08 14:44 1571840 1E603EA2A3FDBAE9E5B88A8CB3C03124 c:\windows\system32\sfcfiles.dll
.
((((((((((((((((((((((((((((( SnapShot_2009-07-27_06.59.32 )))))))))))))))))))))))))))))))))))))))))
.
+ 2009-07-27 14:20 . 2009-07-27 14:20 16384 c:\windows\Temp\Perflib_Perfdata_720.dat
+ 2009-07-27 14:20 . 2009-07-27 14:20 16384 c:\windows\Temp\Perflib_Perfdata_560.dat
- 2009-05-11 12:49 . 2009-05-11 12:49 49152 c:\windows\Installer\{EB0508A0-162A-4996-85A1-00C07D33445A}\NDLAUNCHER.EXE21_0F7C082DF5DE44C08A265D17DA03A33A.exe
+ 2009-05-11 12:49 . 2009-07-27 10:06 49152 c:\windows\Installer\{EB0508A0-162A-4996-85A1-00C07D33445A}\NDLAUNCHER.EXE21_0F7C082DF5DE44C08A265D17DA03A33A.exe
+ 2009-05-11 12:49 . 2009-07-27 10:06 49152 c:\windows\Installer\{EB0508A0-162A-4996-85A1-00C07D33445A}\NDLAUNCHER.EXE2_1A2D1828B04247A4BD62A3A39F8B15BB.exe
- 2009-05-11 12:49 . 2009-05-11 12:49 49152 c:\windows\Installer\{EB0508A0-162A-4996-85A1-00C07D33445A}\NDLAUNCHER.EXE2_1A2D1828B04247A4BD62A3A39F8B15BB.exe
+ 2009-05-11 12:49 . 2009-07-27 10:06 9158 c:\windows\Installer\{EB0508A0-162A-4996-85A1-00C07D33445A}\ARPPRODUCTICON.exe
- 2009-05-11 12:49 . 2009-05-11 12:49 9158 c:\windows\Installer\{EB0508A0-162A-4996-85A1-00C07D33445A}\ARPPRODUCTICON.exe
.
(((((((((((((((((((((((((((((((((( Spouštěcí body v registru )))))))))))))))))))))))))))))))))))))))))))))
.
.
*Poznámka* prázdné záznamy a legitimní výchozí údaje nejsou zobrazeny.
REGEDIT4

[HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
"CTFMON.EXE"="c:\windows\system32\ctfmon.exe" [2008-04-14 15360]
"DAEMON Tools Lite"="c:\program files\DAEMON Tools Lite\daemon.exe" [2008-12-29 687560]
"BgMonitor_{79662E04-7C6C-4d9f-84C7-88D8A56B10AA}"="c:\program files\Common Files\Ahead\Lib\NMBgMonitor.exe" [2007-03-12 153136]
"SpybotSD TeaTimer"="c:\program files\Spybot - Search & Destroy\TeaTimer.exe" [2009-03-05 2260480]

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
"SynTPEnh"="c:\program files\Synaptics\SynTP\SynTPEnh.exe" [2006-05-19 774233]
"Adobe Reader Speed Launcher"="c:\program files\Adobe\Reader 9.0\Reader\Reader_sl.exe" [2009-02-27 35696]
"IgfxTray"="c:\windows\system32\igfxtray.exe" [2008-02-15 135168]
"HotKeysCmds"="c:\windows\system32\hkcmd.exe" [2008-02-15 159744]
"Persistence"="c:\windows\system32\igfxpers.exe" [2008-02-15 131072]
"avast!"="c:\progra~1\ALWILS~1\Avast4\ashDisp.exe" [2009-02-05 81000]

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\RunOnce]
"WIAWizardMenu"="c:\windows\system32\sti_ci.dll" [2008-04-14 136704]

[HKEY_USERS\.DEFAULT\Software\Microsoft\Windows\CurrentVersion\Run]
"CTFMON.EXE"="c:\windows\system32\CTFMON.EXE" [2008-04-14 15360]

[HKEY_USERS\.DEFAULT\Software\Microsoft\Windows\CurrentVersion\RunOnce]
"_nltide_3"="advpack.dll" - c:\windows\system32\advpack.dll [2009-04-29 124928]

c:\documents and settings\Marw\Nabˇdka Start\Programy\Po spuçtŘnˇ\
OpenOffice.org 3.0.lnk - c:\program files\OpenOffice.org 3\program\quickstart.exe [2009-1-15 393216]

[HKEY_CURRENT_USER\software\microsoft\windows\currentversion\policies\explorer]
"NoSMConfigurePrograms"= 1 (0x1)

[HKEY_USERS\.default\software\microsoft\windows\currentversion\policies\explorer]
"NoSMHelp"= 1 (0x1)
"NoSMConfigurePrograms"= 1 (0x1)

[HKLM\~\services\sharedaccess\parameters\firewallpolicy\standardprofile\AuthorizedApplications\List]
"%windir%\\Network Diagnostic\\xpnetdiag.exe"=
"c:\\WINDOWS\\system32\\sessmgr.exe"=
"c:\\Program Files\\QIP\\qip.exe"=
"c:\\Program Files\\Opera\\opera.exe"=
"c:\\Program Files\\Windows Media Player\\wmplayer.exe"=
"c:\\Program Files\\Java\\jre6\\launch4j-tmp\\JDownloader.exe"=
"c:\\WINDOWS\\system32\\java.exe"=
"c:\\Hry\\Heroes of Might and Magic III Complete\\Heroes3.exe"=
"c:\\WINDOWS\\system32\\dplaysvr.exe"=
"c:\\Hry\\LF2_v2.0\\lf2.exe"=
"c:\\Program Files\\Pando Networks\\Media Booster\\PMB.exe"=

[HKLM\~\services\sharedaccess\parameters\firewallpolicy\standardprofile\GloballyOpenPorts\List]
"56892:TCP"= 56892:TCP:Pando Media Booster
"56892:UDP"= 56892:UDP:Pando Media Booster

R0 iastor78;iastor78;c:\windows\system32\drivers\iastor78.sys [8.8.2008 17:10 308248]
R1 aswsp;avast! Self Protection;c:\windows\system32\drivers\aswSP.sys [19.6.2009 2:01 114768]
R2 aswfsblk;aswFsBlk;c:\windows\system32\drivers\aswFsBlk.sys [19.6.2009 2:01 20560]
S3 npggsvc;nProtect GameGuard Service;c:\windows\system32\GameMon.des -service --> c:\windows\system32\GameMon.des -service [?]
.
Obsah adresáře 'Naplánované úlohy'

2009-07-27 c:\windows\Tasks\WGASetup.job
- c:\windows\system32\KB905474\wgasetup.exe [2009-04-09 20:18]
.
.
------- Doplňkový sken -------
.
uStart Page = hxxp://www.google.com/
.

**************************************************************************

creating catchme.sys error: Proces nemá přístup k souboru, neboť jej právě využívá jiný proces.
driver loading error catchme 0.3.1398 W2K/XP/Vista - rootkit/stealth malware detector by Gmer, http://www.gmer.net
Rootkit scan 2009-07-27 16:20
Windows 5.1.2600 Service Pack 3 NTFS

skenování skrytých procesů ...

skenování skrytých položek 'Po spuštění' ...

skenování skrytých souborů ...

sken byl úspešně dokončen
skryté soubory: 0

**************************************************************************

[HKEY_LOCAL_MACHINE\System\ControlSet001\Services\npggsvc]
"ImagePath"="c:\windows\system32\GameMon.des -service"
.
--------------------- ZAMKNUTÉ KLÍČE V REGISTRU ---------------------

[HKEY_USERS\S-1-5-21-1606980848-527237240-1417001333-1003\Software\SecuROM\!CAUTION! NEVER A OR CHANGE ANY KEY*]
"??"=hex:90,ea,62,87,50,66,8a,6e,57,a3,a7,81,fc,bb,ad,f9,7d,68,b4,a9,17,95,3e,
b5,96,60,52,e2,83,44,79,81,26,95,13,0c,02,5d,b6,2a,95,51,28,3a,c2,21,14,a4,\
"??"=hex:09,14,dc,76,c3,bb,ab,02,74,e9,9b,01,4d,1c,07,f1
.
--------------------- Knihovny navázané na běžící procesy ---------------------

- - - - - - - > 'winlogon.exe'(880)
c:\windows\system32\vorbis.dll
c:\windows\system32\ogg.dll

- - - - - - - > 'lsass.exe'(936)
c:\windows\system32\vorbis.dll
c:\windows\system32\ogg.dll

- - - - - - - > 'explorer.exe'(3532)
c:\windows\system32\vorbis.dll
c:\windows\system32\ogg.dll
c:\windows\system32\wpdshserviceobj.dll
c:\windows\system32\portabledevicetypes.dll
c:\windows\system32\portabledeviceapi.dll
.
------------------------ Jiné spuštené procesy ------------------------
.
c:\program files\Alwil Software\Avast4\aswUpdSv.exe
c:\program files\Alwil Software\Avast4\ashServ.exe
c:\windows\system32\igfxsrvc.exe
c:\program files\OpenOffice.org 3\program\soffice.exe
c:\program files\OpenOffice.org 3\program\soffice.bin
c:\program files\Java\jre6\bin\jqs.exe
c:\program files\Alwil Software\Avast4\ashMaiSv.exe
c:\program files\Alwil Software\Avast4\ashWebSv.exe
c:\program files\Common Files\Ahead\Lib\NMIndexingService.exe
c:\program files\Common Files\Ahead\Lib\NMIndexStoreSvr.exe
c:\windows\system32\wbem\wmiapsrv.exe
.
**************************************************************************
.
Celkový čas: 2009-07-27 16:24 - počítač byl restartován
ComboFix-quarantined-files.txt 2009-07-27 14:24
ComboFix2.txt 2009-07-27 07:03
ComboFix3.txt 2009-07-22 20:35
ComboFix4.txt 2009-07-22 18:54

Před spuštěním: Volných bajtů: 23 287 599 104
Po spuštění: Volných bajtů: 23 289 155 584

180 --- E O F --- 2009-07-23 01:01


zde log z HJT:

Logfile of Trend Micro HijackThis v2.0.2
Scan saved at 16:26:57, on 27.7.2009
Platform: Windows XP SP3 (WinNT 5.01.2600)
MSIE: Internet Explorer v7.00 (7.00.6000.16850)
Boot mode: Normal

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\Program Files\Alwil Software\Avast4\aswUpdSv.exe
C:\Program Files\Alwil Software\Avast4\ashServ.exe
C:\WINDOWS\system32\spoolsv.exe
C:\Program Files\Synaptics\SynTP\SynTPEnh.exe
C:\WINDOWS\system32\igfxtray.exe
C:\WINDOWS\system32\hkcmd.exe
C:\WINDOWS\system32\igfxsrvc.exe
C:\WINDOWS\system32\igfxpers.exe
C:\PROGRA~1\ALWILS~1\Avast4\ashDisp.exe
C:\WINDOWS\system32\ctfmon.exe
C:\Program Files\DAEMON Tools Lite\daemon.exe
C:\Program Files\Common Files\Ahead\Lib\NMBgMonitor.exe
C:\Program Files\OpenOffice.org 3\program\soffice.exe
C:\Program Files\OpenOffice.org 3\program\soffice.bin
C:\Program Files\Java\jre6\bin\jqs.exe
C:\WINDOWS\system32\svchost.exe
C:\Program Files\Alwil Software\Avast4\ashMaiSv.exe
C:\Program Files\Alwil Software\Avast4\ashWebSv.exe
C:\Program Files\Common Files\Ahead\Lib\NMIndexingService.exe
C:\Program Files\Common Files\Ahead\Lib\NMIndexStoreSvr.exe
C:\WINDOWS\system32\wbem\wmiapsrv.exe
C:\WINDOWS\system32\wuauclt.exe
C:\WINDOWS\system32\wuauclt.exe
C:\WINDOWS\explorer.exe
C:\WINDOWS\system32\notepad.exe
C:\Program Files\Internet Explorer\IEXPLORE.EXE
C:\Documents and Settings\Marw\Plocha\HiJackThis.exe

R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://go.microsoft.com/fwlink/?LinkId=69157
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://go.microsoft.com/fwlink/?LinkId=54896
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = http://go.microsoft.com/fwlink/?LinkId=54896
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = http://go.microsoft.com/fwlink/?LinkId=69157
O2 - BHO: AcroIEHelperStub - {18DF081C-E8AD-4283-A596-FA578C2EBDC3} - C:\Program Files\Common Files\Adobe\Acrobat\ActiveX\AcroIEHelperShim.dll
O2 - BHO: Spybot-S&D IE Protection - {53707962-6F74-2D53-2644-206D7942484F} - C:\PROGRA~1\SPYBOT~1\SDHelper.dll
O2 - BHO: Java(tm) Plug-In 2 SSV Helper - {DBC80044-A445-435b-BC74-9C25C1C588A9} - C:\Program Files\Java\jre6\bin\jp2ssv.dll
O2 - BHO: JQSIEStartDetectorImpl - {E7E6F031-17CE-4C07-BC86-EABFE594F69C} - C:\Program Files\Java\jre6\lib\deploy\jqs\ie\jqs_plugin.dll
O4 - HKLM\..\Run: [SynTPEnh] C:\Program Files\Synaptics\SynTP\SynTPEnh.exe
O4 - HKLM\..\Run: [Adobe Reader Speed Launcher] "C:\Program Files\Adobe\Reader 9.0\Reader\Reader_sl.exe"
O4 - HKLM\..\Run: [IgfxTray] C:\WINDOWS\system32\igfxtray.exe
O4 - HKLM\..\Run: [HotKeysCmds] C:\WINDOWS\system32\hkcmd.exe
O4 - HKLM\..\Run: [Persistence] C:\WINDOWS\system32\igfxpers.exe
O4 - HKLM\..\Run: [avast!] C:\PROGRA~1\ALWILS~1\Avast4\ashDisp.exe
O4 - HKLM\..\RunOnce: [WIAWizardMenu] RUNDLL32.EXE C:\WINDOWS\system32\sti_ci.dll,WiaCreateWizardMenu
O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\ctfmon.exe
O4 - HKCU\..\Run: [DAEMON Tools Lite] "C:\Program Files\DAEMON Tools Lite\daemon.exe" -autorun
O4 - HKCU\..\Run: [BgMonitor_{79662E04-7C6C-4d9f-84C7-88D8A56B10AA}] "C:\Program Files\Common Files\Ahead\Lib\NMBgMonitor.exe"
O4 - HKCU\..\Run: [SpybotSD TeaTimer] C:\Program Files\Spybot - Search & Destroy\TeaTimer.exe
O4 - HKUS\S-1-5-18\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'SYSTEM')
O4 - HKUS\S-1-5-18\..\RunOnce: [_nltide_3] rundll32 advpack.dll,LaunchINFSectionEx nLite.inf,C,,4,N (User 'SYSTEM')
O4 - HKUS\.DEFAULT\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'Default user')
O4 - HKUS\.DEFAULT\..\RunOnce: [_nltide_3] rundll32 advpack.dll,LaunchINFSectionEx nLite.inf,C,,4,N (User 'Default user')
O4 - Startup: OpenOffice.org 3.0.lnk = C:\Program Files\OpenOffice.org 3\program\quickstart.exe
O9 - Extra button: (no name) - {DFB852A3-47F8-48C4-A200-58CAB36FD2A2} - C:\PROGRA~1\SPYBOT~1\SDHelper.dll
O9 - Extra 'Tools' menuitem: Spybot - Search & Destroy Configuration - {DFB852A3-47F8-48C4-A200-58CAB36FD2A2} - C:\PROGRA~1\SPYBOT~1\SDHelper.dll
O9 - Extra button: (no name) - {e2e2dd38-d088-4134-82b7-f2ba38496583} - C:\WINDOWS\Network Diagnostic\xpnetdiag.exe
O9 - Extra 'Tools' menuitem: @xpsp3res.dll,-20001 - {e2e2dd38-d088-4134-82b7-f2ba38496583} - C:\WINDOWS\Network Diagnostic\xpnetdiag.exe
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe
O10 - Unknown file in Winsock LSP: c:\windows\system32\nwprovau.dll
O16 - DPF: {69EF49E5-FE46-4B92-B5FA-2193AB7A6B8A} (GameLauncher Control) - http://www.acclaim.com/cabs/acclaim_v4.cab
O23 - Service: avast! iAVS4 Control Service (aswupdsv) - ALWIL Software - C:\Program Files\Alwil Software\Avast4\aswUpdSv.exe
O23 - Service: avast! Antivirus (avast! antivirus) - ALWIL Software - C:\Program Files\Alwil Software\Avast4\ashServ.exe
O23 - Service: avast! Mail Scanner (avast! mail scanner) - ALWIL Software - C:\Program Files\Alwil Software\Avast4\ashMaiSv.exe
O23 - Service: avast! Web Scanner (avast! web scanner) - ALWIL Software - C:\Program Files\Alwil Software\Avast4\ashWebSv.exe
O23 - Service: CiSvc - Unknown owner - C:\WINDOWS\system32\cisvc.exe (file missing)
O23 - Service: InstallDriver Table Manager (idrivert) - Macrovision Corporation - C:\Program Files\Common Files\InstallShield\Driver\1050\Intel 32\IDriverT.exe
O23 - Service: Java Quick Starter (JavaQuickStarterService) - Sun Microsystems, Inc. - C:\Program Files\Java\jre6\bin\jqs.exe
O23 - Service: NMIndexingService - Nero AG - C:\Program Files\Common Files\Ahead\Lib\NMIndexingService.exe
O23 - Service: nProtect GameGuard Service (npggsvc) - Unknown owner - C:\WINDOWS\system32\GameMon.des.exe (file missing)

--
End of file - 6086 bytes

[jaro3]

Buď tam máš keylogger nebo password..

Ještě script v CF, postup stejný.

Kód: Vybrat vše

KillAll::
File::
c:\temp\sv1c3.tmp
c:\windows\Tasks\WGASetup.job
c:\windows\system32\KB905474\wgasetup.exe

Driver::
GameMon

Registry::
[-HKEY_LOCAL_MACHINE\System\ControlSet001\Services\npggsvc]


Stáhni si a spusť DDS (by sUBs)
a ulož si ho na plochu.
- spusť ho, objeví se ti okno a tak do něho neklikej a počkej až program proběhne
- po ukončení své činnosti program vytvoří 2 logy a vyhodí ti informativní okno. To zavři přes OK
- vlož sem pak oba logy z DDS

Proveď kontrolu a vlož sem log z Kaspersky Online Scanner!

-Ve vistě musíš prohlížeč otevřít jako administrátor. K užití skeneru je třeba stáhnout a nainstalovat programové soubory a databázi.
-V Linuxu skener neskenuje RAM, boot. sektor a MBR, takže nemůže detekovat nákazy v těchto místech.
-Skener detekuje nákazy, které jsou již v PC, takže se potom dají manuálně smazat.
-Před skenem je vhodné vypnout rez. ochranu antiviru a antispywaru.
Klikni na Accept, k potvrzení podmínek.
Pokud se Ti objeví okno zabezpečení prostředí java- dej přijmout.
- Začne se stahovat databáze a program.
- Po jeho skončení klikni vlevo na pod Scan na My computer
Začne sken Tvého PC.
Sken může trvat i několik hodin.. Po ukončení skenu klikni na Scan Report.
Poté zvol Save a název zvol: KAV.
Obsah mi sem prosím zkopíruj.