Prosím o kontrolu logu Vyřešeno

[Šváb.]

Dobrý den,

řeším problém, že mi třeba i po pěti hodinách, kdy vůbec nejsem u PC, neustále bliká v celkem přesných vteřinových intervalech LED od HDD (tzn. něco hrabe na disk). Různě jsem brouzdal po netu až mám z těch všech informací hlavu jak pátrací balon a usoudil jsem, že nejprve bude dobré si nechat zkontrolovat mašinu. Prosím tedy o kontrolu logu z HiJackThis. Díky.

Logfile of Trend Micro HijackThis v2.0.2
Scan saved at 22:05:51, on 28.10.2010
Platform: Windows XP SP3 (WinNT 5.01.2600)
MSIE: Unable to get Internet Explorer version!
Boot mode: Normal

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\spoolsv.exe
C:\WINDOWS\Explorer.EXE
C:\Program Files\ESET\ESET NOD32 Antivirus\ekrn.exe
C:\WINDOWS\RTHDCPL.EXE
C:\Program Files\ESET\ESET NOD32 Antivirus\egui.exe
C:\Program Files\Java\jre6\bin\jqs.exe
C:\WINDOWS\system32\ctfmon.exe
C:\Program Files\Rainlendar2\Rainlendar2.exe
C:\Program Files\Common Files\LightScribe\LSSrvc.exe
C:\Program Files\CDBurnerXP\NMSAccessU.exe
C:\WINDOWS\system32\nvsvc32.exe
C:\WINDOWS\system32\HPZipm12.exe
C:\WINDOWS\System32\svchost.exe
C:\Program Files\Common Files\Ulead Systems\DVD\ULCDRSvr.exe
D:\Instalace\hijackthis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.seznam.cz/
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://go.microsoft.com/fwlink/?LinkId=69157
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://go.microsoft.com/fwlink/?LinkId=54896
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = http://go.microsoft.com/fwlink/?LinkId=54896
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = http://go.microsoft.com/fwlink/?LinkId=69157
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Odkazy
O2 - BHO: Yahoo! Companion BHO - {02478D38-C3F9-4efb-9B51-7695ECA05670} - C:\Program Files\Yahoo!\Companion\Installs\cpn0\ycomp5_6_0_1.dll
O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Program Files\Adobe\Acrobat 7.0\ActiveX\AcroIEHelper.dll
O2 - BHO: (no name) - {140BD8E3-C167-11D4-B4A3-080000180323} - (no file)
O2 - BHO: Spybot-S&D IE Protection - {53707962-6F74-2D53-2644-206D7942484F} - C:\Program Files\Spybot - Search & Destroy\SDHelper.dll
O2 - BHO: Java(tm) Plug-In SSV Helper - {761497BB-D6F0-462C-B6EB-D4DAF1D92D43} - C:\Program Files\Java\jre6\bin\ssv.dll
O2 - BHO: PDFCreator Toolbar Helper - {C451C08A-EC37-45DF-AAAD-18B51AB5E837} - C:\Program Files\PDFCreator Toolbar\v3.0.0.0\PDFCreator_Toolbar.dll
O2 - BHO: Java(tm) Plug-In 2 SSV Helper - {DBC80044-A445-435b-BC74-9C25C1C588A9} - C:\Program Files\Java\jre6\bin\jp2ssv.dll
O2 - BHO: JQSIEStartDetectorImpl - {E7E6F031-17CE-4C07-BC86-EABFE594F69C} - C:\Program Files\Java\jre6\lib\deploy\jqs\ie\jqs_plugin.dll
O3 - Toolbar: &Yahoo! Companion - {EF99BD32-C1FB-11D2-892F-0090271D4F88} - C:\Program Files\Yahoo!\Companion\Installs\cpn0\ycomp5_6_0_1.dll
O3 - Toolbar: PDFCreator Toolbar - {31CF9EBE-5755-4A1D-AC25-2834D952D9B4} - C:\Program Files\PDFCreator Toolbar\v3.0.0.0\PDFCreator_Toolbar.dll
O4 - HKLM\..\Run: [RTHDCPL] RTHDCPL.EXE
O4 - HKLM\..\Run: [egui] "C:\Program Files\ESET\ESET NOD32 Antivirus\egui.exe" /hide /waitservice
O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\system32\NvCpl.dll,NvStartup
O4 - HKLM\..\Run: [MSConfig] C:\WINDOWS\system32\msconfig.exe /auto
O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\ctfmon.exe
O4 - HKCU\..\Run: [Rainlendar2] C:\Program Files\Rainlendar2\Rainlendar2.exe
O4 - HKCU\..\Run: [SpybotSD TeaTimer] C:\Program Files\Spybot - Search & Destroy\TeaTimer.exe
O4 - HKUS\S-1-5-19\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 'LOCAL SERVICE')
O4 - HKUS\S-1-5-20\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 'NETWORK SERVICE')
O4 - HKUS\S-1-5-18\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 'SYSTEM')
O4 - HKUS\.DEFAULT\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 'Default user')
O4 - Global Startup: RK WebCam.lnk = C:\Program Files\RKComputer\RK WebCam\RKWebCam.exe
O8 - Extra context menu item: E&xportovat do aplikace Microsoft Office Excel - res://C:\PROGRA~1\MICROS~2\OFFICE11\EXCEL.EXE/3000
O9 - Extra button: Zdroje informací - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - C:\PROGRA~1\MICROS~2\OFFICE11\REFIEBAR.DLL
O9 - Extra button: (no name) - {DFB852A3-47F8-48C4-A200-58CAB36FD2A2} - C:\Program Files\Spybot - Search & Destroy\SDHelper.dll
O9 - Extra 'Tools' menuitem: Spybot - Search && Destroy Configuration - {DFB852A3-47F8-48C4-A200-58CAB36FD2A2} - C:\Program Files\Spybot - Search & Destroy\SDHelper.dll
O9 - Extra button: (no name) - {e2e2dd38-d088-4134-82b7-f2ba38496583} - C:\WINDOWS\Network Diagnostic\xpnetdiag.exe
O9 - Extra 'Tools' menuitem: @xpsp3res.dll,-20001 - {e2e2dd38-d088-4134-82b7-f2ba38496583} - C:\WINDOWS\Network Diagnostic\xpnetdiag.exe
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe
O17 - HKLM\System\CCS\Services\Tcpip\..\{2D4EB3AB-A43B-410C-A914-9907617B6A42}: NameServer = 10.0.0.138
O17 - HKLM\System\CCS\Services\Tcpip\..\{354FDA6B-307F-414E-808C-5FC2F1701320}: NameServer = 83.240.0.214,83.240.0.135
O18 - Protocol: skype4com - {FFC8B962-9B40-4DFF-9458-1830C7DD7F5D} - C:\PROGRA~1\COMMON~1\Skype\SKYPE4~1.DLL
O20 - AppInit_DLLs:
O23 - Service: 602SQL 8 FastCGI Client - NXP Semiconductors Germany GmbH - (no file)
O23 - Service: Autodesk Licensing Service - Autodesk - C:\Program Files\Common Files\Autodesk Shared\Service\AdskScSrv.exe
O23 - Service: C-DillaCdaC11BA - Unknown owner - C:\WINDOWS\system32\drivers\CDAC11BA.EXE (file missing)
O23 - Service: Canon Camera Access Library 8 (CCALib8) - Canon Inc. - C:\Program Files\Canon\CAL\CALMAIN.exe
O23 - Service: Cerberus FTP Server - Cerberus, LLC - C:\Program Files\Cerberus LLC\Cerberus FTP Server\CerberusGUI.exe
O23 - Service: Eset HTTP Server (EhttpSrv) - ESET - C:\Program Files\ESET\ESET NOD32 Antivirus\EHttpSrv.exe
O23 - Service: Eset Service (ekrn) - ESET - C:\Program Files\ESET\ESET NOD32 Antivirus\ekrn.exe
O23 - Service: Java Quick Starter (JavaQuickStarterService) - Sun Microsystems, Inc. - C:\Program Files\Java\jre6\bin\jqs.exe
O23 - Service: LightScribeService Direct Disc Labeling Service (LightScribeService) - Hewlett-Packard Company - C:\Program Files\Common Files\LightScribe\LSSrvc.exe
O23 - Service: NMSAccessU - Unknown owner - C:\Program Files\CDBurnerXP\NMSAccessU.exe
O23 - Service: NOD32 Kernel Service (NOD32krn) - Unknown owner - C:\Program Files\Eset\nod32krn.exe (file missing)
O23 - Service: NVIDIA Display Driver Service (NVSvc) - NVIDIA Corporation - C:\WINDOWS\system32\nvsvc32.exe
O23 - Service: PHPGeekUtil - Unknown owner - c:\apache\APACHE.EXE (file missing)
O23 - Service: Pml Driver HPZ12 - HP - C:\WINDOWS\system32\HPZipm12.exe
O23 - Service: Ulead Burning Helper (UleadBurningHelper) - Ulead Systems, Inc. - C:\Program Files\Common Files\Ulead Systems\DVD\ULCDRSvr.exe

--
End of file - 7022 bytes

[Reklama]

[memphisto]

Vítej na fóru PC-HELP.CZ

Odinstaluj:
Spybot - není třeba, máš ESET
PDFCreator Toolbar Helper

v logu fixni:
O2 - BHO: (no name) - {140BD8E3-C167-11D4-B4A3-080000180323} - (no file)
O20 - AppInit_DLLs:

dej start - spustit - services.msc - najdi a ukonči/zakaž tyto služby:
O23 - Service: 602SQL 8 FastCGI Client - NXP Semiconductors Germany GmbH - (no file)
O23 - Service: C-DillaCdaC11BA - Unknown owner - C:\WINDOWS\system32\drivers\CDAC11BA.EXE (file missing)
O23 - Service: NOD32 Kernel Service (NOD32krn) - Unknown owner - C:\Program Files\Eset\nod32krn.exe (file missing)
O23 - Service: PHPGeekUtil - Unknown owner - c:\apache\APACHE.EXE (file missing)

Stáhni si ATF Cleaner
Poklepej na ATF Cleaner.exe, klikni na select all found, poté:
-Když používáš Firefox (Mozzila), klikni na Firefox nahoře a vyber: Select All, poté klikni na Empty Selected.
-Když používáš Operu, klikni nahoře na Operu a vyber: Select All, poté klikni na Empty Selected.
Po vyčištění klikni na Exit k zavření programu.
ATF-Cleaner je jednoduchý nástroj na odstranění historie z webového prohlížeče. Program dokáže odstranit cache, cookies, historii a další stopy po surfování na Internetu. Mezi podporované prohlížeče patří Internet Explorer, Firefox a Opera. Aplikace navíc umí odstranit dočasné soubory Windows, vysypat koš atd.

Vypni si rez.ochrany i firewall.
Stáhni si Dr. Web CureIt
dej update , po aktualizaci dej start.
Tlacitky dole muzeš soubor léčit(systémové soubory), smazat, přesunout nebo přejmenovat


Stáhni si Malwarebytes' Anti-Malware
Nainstaluj a spusť ho
- na konci instalace se ujisti že máš zvoleny/zatrhnuty obě možnosti:
Update Malwarebytes' Anti-Malware (Aktualizace Malwarebytes' Anti-Malware) a Launch Malwarebytes' Anti-Malware (Spustit aplikaci Malwarebytes' Anti-Malware), pokud jo tak klikni na tlačítko Finish
- pokud bude nalezena aktualizace, tak se stáhne a nainstaluje
- program se po té spustí a nech vybranou možnost Perform Quick Scan (Provést rychlý sken) a klikni na tlačítko Scan (Skenovat)
- po proběhnutí programu se ti objeví hláška tak klikni na OK a pak na tlačítko Show Results
- pak zvol možnost Save Logfile a ulož si log na plochu
- po té klikni na tlačítko Exit, objeví se ti hláška tak zvol Ano
(zatím nic nemaž!).
Vlož sem pak obsah toho logu.

[Šváb.]

Díky za tak bleskovou reakci. Vše jsem provedl a tady je ten log:

Malwarebytes' Anti-Malware 1.46
www.malwarebytes.org

Verze databáze: 4979

Windows 5.1.2600 Service Pack 3
Internet Explorer 8.0.6001.18702

28.10.2010 23:05:03
mbam-log-2010-10-28 (23-05-03).txt

Typ skenu: Rychlý sken
Skenované objekty: 218344
Uplynulý čas: 7 minuta(y), 17 sekunda(y)

Infikované procesy v paměti: 0
Infikované moduly v paměti: 0
Infikované klíče registru: 1
Infikované hodnoty registru: 0
Infikované datové položky registru: 0
Infikované složky: 0
Infikované soubory: 0

Infikované procesy v paměti:
(Žádné škodlivé položky nebyly zjištěny)

Infikované moduly v paměti:
(Žádné škodlivé položky nebyly zjištěny)

Infikované klíče registru:
HKEY_LOCAL_MACHINE\SOFTWARE\Sellmosoft (Rogue.Multiple) -> No action taken.

Infikované hodnoty registru:
(Žádné škodlivé položky nebyly zjištěny)

Infikované datové položky registru:
(Žádné škodlivé položky nebyly zjištěny)

Infikované složky:
(Žádné škodlivé položky nebyly zjištěny)

Infikované soubory:
(Žádné škodlivé položky nebyly zjištěny)

[memphisto]

- Takže spusť znovu MbAM a dej Scan
- po proběhnutí programu se ti objeví hláška tak klikni na OK a pak na tlačítko Show Results
- ujistit se že máš zatrhnuté všechny vypsané nálezy a klikni na tlačítko Remove Selected
- když skončí odstraňování tak se ti zobrazí log, tak ho sem dej.
- pak zvol v programu OK a pak program ukonči přes Exit

Vypni rezidentní štít antiviru a antispywaru
Stáhni si ComboFix (by sUBs)
a ulož si ho na plochu.
Ukonči všechna aktivní okna a spusť ho.
- Po spuštění se zobrazí podmínky užití, potvrď je stiskem tlačítka Ano
- Dále postupuj dle pokynů, během aplikování ComboFixu neklikej do zobrazujícího se okna
- Po dokončení skenování by měl program vytvořit log - C:\ComboFix.txt - zkopíruj sem prosím celý jeho obsah

[Šváb.]

Malwarebytes' Anti-Malware 1.46
http://www.malwarebytes.org

Verze databáze: 4979

Windows 5.1.2600 Service Pack 3
Internet Explorer 8.0.6001.18702

28.10.2010 23:25:31
mbam-log-2010-10-28 (23-25-31).txt

Typ skenu: Rychlý sken
Skenované objekty: 218381
Uplynulý čas: 5 minuta(y), 51 sekunda(y)

Infikované procesy v paměti: 0
Infikované moduly v paměti: 0
Infikované klíče registru: 1
Infikované hodnoty registru: 0
Infikované datové položky registru: 0
Infikované složky: 0
Infikované soubory: 0

Infikované procesy v paměti:
(Žádné škodlivé položky nebyly zjištěny)

Infikované moduly v paměti:
(Žádné škodlivé položky nebyly zjištěny)

Infikované klíče registru:
HKEY_LOCAL_MACHINE\SOFTWARE\Sellmosoft (Rogue.Multiple) -> Quarantined and deleted successfully.

Infikované hodnoty registru:
(Žádné škodlivé položky nebyly zjištěny)

Infikované datové položky registru:
(Žádné škodlivé položky nebyly zjištěny)

Infikované složky:
(Žádné škodlivé položky nebyly zjištěny)

Infikované soubory:
(Žádné škodlivé položky nebyly zjištěny)

========================================================================================================================

ComboFix 10-10-27.A3 - FaM 28.10.2010 23:35:40.1.2 - x86
Systém Microsoft Windows XP Professional 5.1.2600.3.1250.420.1029.18.3327.2923 [GMT 2:00]
Spuštěný z: c:\documents and settings\FaM\Plocha\ComboFix.exe
AV: ESET NOD32 Antivirus 3.0 *On-access scanning disabled* (Updated) {E5E70D32-0101-4F12-8FB0-D96ACA4F34C0}
FW: COMODO Firewall Pro *enabled* {043803A3-4F86-4ef6-AFC5-F6E02A79969B}
* Vytvořen nový Bod Obnovení
* Rezidentní štít AV je zapnutý

.

((((((((((((((((((((((((((((((((((((((( Ostatní výmazy )))))))))))))))))))))))))))))))))))))))))))))))))
.

c:\documents and settings\FaM\Local Settings\Temporary Internet Files\default.temp
c:\documents and settings\FaM\Local Settings\Temporary Internet Files\firmware.inf
c:\documents and settings\FaM\Local Settings\Temporary Internet Files\ip3picfile.temp
c:\documents and settings\FaM\Local Settings\Temporary Internet Files\ip3Wmapic.temp
c:\program files\INSTALL.LOG
c:\windows\daemon.dll
c:\windows\My.ini
c:\windows\system32\Install.reg
c:\windows\system32\msconfig.exe
c:\windows\system32\winsusrm.dll
c:\windows\system32\winsusrx.dll
c:\windows\system32\zlibwapi.dll

.
((((((((((((((((((((((((((((((((((((((( Ovladače/Služby )))))))))))))))))))))))))))))))))))))))))))))))))
.

-------\Legacy_NPF


((((((((((((((((((((((((( Soubory vytvořené od 2010-09-28 do 2010-10-28 )))))))))))))))))))))))))))))))
.

2010-10-28 20:56 . 2010-10-28 20:56 -------- d-----w- c:\documents and settings\FaM\Data aplikací\Malwarebytes
2010-10-28 20:55 . 2010-04-29 13:39 38224 ----a-w- c:\windows\system32\drivers\mbamswissarmy.sys
2010-10-28 20:55 . 2010-10-28 20:55 -------- d-----w- c:\program files\Malwarebytes' Anti-Malware
2010-10-28 20:55 . 2010-10-28 20:55 -------- d-----w- c:\documents and settings\All Users.WINDOWS\Data aplikací\Malwarebytes
2010-10-28 20:55 . 2010-04-29 13:39 20952 ----a-w- c:\windows\system32\drivers\mbam.sys
2010-10-28 20:37 . 2010-10-28 20:37 -------- d-----w- c:\documents and settings\FaM\DoctorWeb
2010-10-28 19:41 . 2010-10-28 20:23 -------- d-----w- c:\documents and settings\All Users.WINDOWS\Data aplikací\Spybot - Search & Destroy
2010-10-28 19:30 . 2010-10-28 19:30 -------- d-----w- c:\windows\system32\drivers\Smazano
2010-10-28 18:50 . 2010-10-28 18:50 -------- d-----w- c:\documents and settings\FaM\Data aplikací\QuickScan
2010-10-28 17:39 . 2010-10-28 17:39 -------- d-----w- c:\program files\MSConfig CleanUp
2010-10-27 18:12 . 2010-10-28 17:29 -------- d-----w- c:\documents and settings\FaM\Data aplikací\gtk-2.0
2010-10-27 18:00 . 2010-10-27 18:00 -------- d-----w- c:\documents and settings\FaM\.thumbnails
2010-10-27 17:59 . 2010-10-28 17:30 -------- d-----w- c:\documents and settings\FaM\.gimp-2.6
2010-10-27 17:58 . 2010-10-27 17:58 -------- d-----w- c:\program files\GIMP-2.0
2010-10-25 17:55 . 2010-10-25 17:55 -------- d-----w- C:\ftproot
2010-10-25 17:51 . 2010-10-25 17:51 -------- d-----w- c:\documents and settings\All Users.WINDOWS\Data aplikací\Cerberus LLC
2010-10-25 17:51 . 2010-10-25 17:51 -------- d-----w- c:\program files\Cerberus LLC
2010-10-19 18:35 . 2010-10-19 18:35 -------- d-----w- c:\program files\RKComputer
2010-10-19 18:23 . 2010-10-19 18:23 -------- d-----w- c:\documents and settings\FaM\Local Settings\Data aplikací\Radek Chalupa
2010-10-17 14:05 . 2010-09-18 06:53 953856 -c----w- c:\windows\system32\dllcache\mfc40u.dll
2010-10-17 14:05 . 2010-09-18 06:53 974848 -c----w- c:\windows\system32\dllcache\mfc42.dll
2010-10-17 14:04 . 2010-08-23 16:12 617472 -c----w- c:\windows\system32\dllcache\comctl32.dll
2010-10-17 13:58 . 2010-10-17 13:58 -------- d-----w- c:\documents and settings\FaM\Data aplikací\VSRevoGroup
2010-10-16 20:02 . 2010-10-16 20:02 -------- d-----w- c:\documents and settings\FaM\Data aplikací\Reallusion
2010-10-16 20:01 . 2010-10-16 20:01 -------- d-----w- c:\program files\Common Files\Reallusion
2010-10-16 20:01 . 2008-10-18 03:21 5661488 ----a-w- c:\windows\system32\CSVirtualCamera.ocx
2010-10-16 20:01 . 2008-09-19 22:41 37560 ----a-w- c:\windows\system32\drivers\CamSuiteVAC.sys
2010-10-16 20:00 . 2010-10-16 20:01 -------- d-----w- c:\program files\Reallusion
2010-10-15 17:43 . 2010-10-15 17:43 -------- d-----w- c:\program files\DExUS
2010-10-15 17:43 . 2010-10-15 17:43 796672 ----a-w- c:\windows\GPInstall.exe
2010-10-14 19:16 . 2008-04-13 17:45 60032 -c--a-w- c:\windows\system32\dllcache\usbaudio.sys
2010-10-14 19:16 . 2008-04-13 17:45 60032 ----a-w- c:\windows\system32\drivers\USBAUDIO.sys
2010-10-14 19:15 . 2007-11-02 09:07 6656 ----a-w- c:\windows\system32\CoInst_071029.dll
2010-10-14 19:15 . 2007-10-29 14:25 458112 ----a-w- c:\windows\system32\drivers\PAC7302.SYS
2010-10-14 19:15 . 2007-10-04 15:42 48128 ----a-w- c:\windows\system32\Remove.exe
2010-10-14 19:15 . 2010-10-14 19:15 -------- d-----w- c:\program files\Common Files\iLook 310
2010-10-14 19:15 . 2010-10-14 19:15 -------- d-----w- c:\windows\PixArt
2010-10-14 19:15 . 2008-01-14 12:08 141312 ----a-w- c:\windows\system32\SP7302.ax
2010-10-14 19:15 . 2006-10-12 09:57 14336 ----a-w- c:\windows\system32\P7302USD.dll
2010-10-13 18:42 . 2010-10-14 19:29 -------- d-----w- c:\documents and settings\FaM\Data aplikací\Pamela
2010-10-13 18:42 . 2010-10-13 18:42 155136 ----a-w- c:\windows\system32\RemoteControl.dll
2010-10-13 18:42 . 2010-10-13 18:42 -------- d-----w- c:\program files\Pamela
2010-10-12 18:19 . 2010-10-12 18:20 -------- d--h--w- c:\documents and settings\FaM\Data aplikací\Microchip

.
(((((((((((((((((((((((((((((((((((((((( Find3M výpis ))))))))))))))))))))))))))))))))))))))))))))))))))))
.
2010-09-18 10:23 . 2001-10-25 12:00 974848 ----a-w- c:\windows\system32\mfc42u.dll
2010-09-18 06:53 . 2001-10-25 12:00 974848 ----a-w- c:\windows\system32\mfc42.dll
2010-09-18 06:53 . 2001-10-25 12:00 954368 ----a-w- c:\windows\system32\mfc40.dll
2010-09-18 06:53 . 2001-10-25 12:00 953856 ----a-w- c:\windows\system32\mfc40u.dll
2010-09-10 05:52 . 2002-09-20 16:05 916480 ----a-w- c:\windows\system32\wininet.dll
2010-09-10 05:52 . 2002-09-20 16:05 1469440 ----a-w- c:\windows\system32\inetcpl.cpl
2010-09-10 05:52 . 2002-09-20 16:04 43520 ----a-w- c:\windows\system32\licmgr10.dll
2010-09-01 11:52 . 2001-10-25 12:00 285824 ----a-w- c:\windows\system32\atmfd.dll
2010-09-01 07:57 . 2002-09-20 15:41 1852800 ----a-w- c:\windows\system32\win32k.sys
2010-08-27 08:03 . 2001-10-25 12:00 119808 ----a-w- c:\windows\system32\t2embed.dll
2010-08-27 05:54 . 2001-10-25 12:00 99840 ----a-w- c:\windows\system32\srvsvc.dll
2010-08-27 01:43 . 2008-05-05 05:25 5632 ----a-w- c:\windows\system32\xpsp4res.dll
2010-08-26 13:39 . 2001-10-25 12:00 357248 ----a-w- c:\windows\system32\drivers\srv.sys
2010-08-23 16:12 . 2002-09-20 16:03 617472 ----a-w- c:\windows\system32\comctl32.dll
2010-08-17 13:17 . 2001-10-25 12:00 58880 ----a-w- c:\windows\system32\spoolsv.exe
2010-08-16 08:45 . 2002-09-20 16:04 590848 ----a-w- c:\windows\system32\rpcrt4.dll
.

------- Sigcheck -------

[7] 2008-04-13 . 9F3A2F5AA6875C72BF062C712CFA2674 . 96512 . . [5.1.2600.5512] . . c:\windows\ServicePackFiles\i386\atapi.sys
[7] 2004-08-03 . CDFE4411A69C224BD1D11B2DA92DAC51 . 95360 . . [5.1.2600.2180] . . c:\windows\system32\dllcache\atapi.sys
[-] 2004-08-03 18:59 . !HASH: COULD NOT OPEN FILE !!!!! . 95360 . . [------] . . c:\windows\system32\drivers\atapi.sys
[-] 2002-08-28 . 95B858761A00E1D4F81F79A0DA019ACA . 86912 . . [5.1.2600.1106] . . c:\windows\system32\ReinstallBackups\0022\DriverFiles\i386\atapi.sys
[-] 2002-08-28 . 95B858761A00E1D4F81F79A0DA019ACA . 86912 . . [5.1.2600.1106] . . c:\windows\system32\ReinstallBackups\0023\DriverFiles\i386\atapi.sys
.
(((((((((((((((((((((((((((((((((( Spouštěcí body v registru )))))))))))))))))))))))))))))))))))))))))))))
.
.
*Poznámka* prázdné záznamy a legitimní výchozí údaje nejsou zobrazeny.
REGEDIT4

[HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
"Rainlendar2"="c:\program files\Rainlendar2\Rainlendar2.exe" [2007-12-30 1365504]

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
"RTHDCPL"="RTHDCPL.EXE" [2006-09-12 16264192]
"egui"="c:\program files\ESET\ESET NOD32 Antivirus\egui.exe" [2009-10-07 1461080]
"NvCplDaemon"="c:\windows\system32\NvCpl.dll" [2006-08-24 7696384]

[HKEY_USERS\.DEFAULT\Software\Microsoft\Windows\CurrentVersion\Run]
"CTFMON.EXE"="c:\windows\System32\CTFMON.EXE" [2008-04-14 15360]

c:\documents and settings\All Users.WINDOWS\Nabˇdka Start\Programy\Po spuçtŘnˇ\
RK WebCam.lnk - c:\program files\RKComputer\RK WebCam\RKWebCam.exe [2010-10-19 217088]

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\nwiz]
2006-08-24 12:46 1617920 ----a-w- c:\windows\system32\nwiz.exe

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\services]
"RichVideo"=2 (0x2)
"mnmsrvc"=3 (0x3)
"gupdate"=2 (0x2)

[HKLM\~\services\sharedaccess\parameters\firewallpolicy\standardprofile]
"EnableFirewall"= 0 (0x0)

[HKLM\~\services\sharedaccess\parameters\firewallpolicy\standardprofile\AuthorizedApplications\List]
"c:\\Program Files\\InterVideo\\DVD6\\WinDVD.exe"=
"c:\\instal\\Miranda 403\\Miranda IM New\\miranda32.exe"=
"c:\\Program Files\\HP\\Digital Imaging\\bin\\hpqkygrp.exe"=
"c:\\Program Files\\HP\\Digital Imaging\\bin\\hpqnrs08.exe"=
"c:\\Program Files\\HP\\Digital Imaging\\bin\\hpqscnvw.exe"=
"c:\\WINDOWS\\system32\\sessmgr.exe"=
"%windir%\\system32\\sessmgr.exe"=
"c:\\Program Files\\instal\\Miranda 403\\Miranda IM New\\miranda32.exe"=
"c:\\Program Files\\instal\\Miranda 403\\Maja\\miranda32.exe"=
"c:\\Program Files\\instal\\Miranda 403\\Franta\\miranda32.exe"=
"c:\\WINDOWS\\Network Diagnostic\\xpnetdiag.exe"=
"c:\\totalcmd\\TOTALCMD.EXE"=
"c:\\Program Files\\Promixis\\Girder\\girder.exe"=
"c:\\Program Files\\Miranda\\miranda32.exe"=
"c:\\Program Files\\FileZilla FTP Client\\filezilla.exe"=
"c:\\Program Files\\Skype\\Plugin Manager\\skypePM.exe"=
"c:\\Program Files\\Cerberus LLC\\Cerberus FTP Server\\CerberusGUI.exe"=
"c:\\Program Files\\VoipDiscount.com\\VoipDiscount\\VoipDiscount.exe"=
"c:\\Program Files\\Skype\\Phone\\Skype.exe"=

[HKLM\~\services\sharedaccess\parameters\firewallpolicy\standardprofile\GloballyOpenPorts\List]
"123:UDP"= 123:UDP:*:Disabled:NTP
"5483:TCP"= 5483:TCP:90.177.142.111/255.255.255.255,192.168.2.30/255.255.255.255:Disabled:VPLocha
"3389:TCP"= 3389:TCP:*:Disabled:@xpsp2res.dll,-22009

R0 d346bus;d346bus;c:\windows\system32\drivers\d346bus.sys [23.11.2006 20:30 156800]
R0 d346prt;d346prt;c:\windows\system32\drivers\d346prt.sys [23.11.2006 20:30 5248]
R1 epfwtdir;epfwtdir;c:\windows\system32\drivers\epfwtdir.sys [1.7.2008 9:04 35168]
R2 ASIXIo;ASIXIo;c:\windows\system32\drivers\asixio.sys [30.6.2009 21:22 3078]
R2 Cerberus FTP Server;Cerberus FTP Server;c:\program files\Cerberus LLC\Cerberus FTP Server\CerberusGUI.exe [27.9.2010 0:46 4770624]
R2 ekrn;Eset Service;c:\program files\ESET\ESET NOD32 Antivirus\ekrn.exe [7.10.2009 10:16 472280]
R2 SSIPDDP;SSIPDDP;c:\windows\system32\drivers\SSIPDDP.SYS [9.10.2006 18:51 54272]
R3 CamSuiteVAC;CamSuite Virtual Audio;c:\windows\system32\drivers\CamSuiteVAC.sys [16.10.2010 22:01 37560]
S3 3xHybrid;WinFast DTV1000 S;c:\windows\system32\drivers\3xHybrid.sys [2.12.2009 18:05 1001216]
S3 CV2K1;CommView Network Monitor;c:\windows\system32\DRIVERS\cv2k1.sys --> c:\windows\system32\DRIVERS\cv2k1.sys [?]
S3 i2cprog;i2cprog;c:\i2cprog\I2CProg51\i2cprog.sys [13.9.2003 21:57 4016]
S3 K320bus;Sony Ericsson K320 driver (WDM);c:\windows\system32\drivers\K320bus.sys [23.1.2008 18:10 61504]
S3 K320mdfl;Sony Ericsson K320 USB WMC Modem Filter;c:\windows\system32\drivers\K320mdfl.sys [23.1.2008 18:10 9328]
S3 K320mdm;Sony Ericsson K320 USB WMC Modem Driver;c:\windows\system32\drivers\K320mdm.sys [23.1.2008 18:10 97056]
S3 K320mgmt;Sony Ericsson K320 USB WMC Device Management Drivers (WDM);c:\windows\system32\drivers\K320mgmt.sys [23.1.2008 18:11 88560]
S3 K320obex;Sony Ericsson K320 USB WMC OBEX Interface;c:\windows\system32\drivers\K320obex.sys [23.1.2008 18:10 86368]
S4 602SQL 8 FastCGI Client;602SQL 8 FastCGI Client; [x]
S4 gupdate;Služba Google Update (gupdate);c:\program files\Google\Update\GoogleUpdate.exe [14.4.2010 17:59 136176]
S4 PHPGeekUtil;PHPGeekUtil;"c:\apache\APACHE.EXE" --ntservice --> c:\apache\APACHE.EXE [?]

[HKEY_LOCAL_MACHINE\software\microsoft\active setup\installed components\{10880D85-AAD9-4558-ABDC-2AB1552D831F}]
2008-01-24 11:30 451872 ----a-w- c:\program files\Common Files\LightScribe\LSRunOnce.exe
.
Obsah adresáře 'Naplánované úlohy'

2010-10-18 c:\windows\Tasks\GoogleUpdateTaskMachineCore1cb6e8514de2680.job
- c:\program files\Google\Update\GoogleUpdate.exe [2010-04-14 15:59]

2010-02-15 c:\windows\Tasks\Wise Disk Cleaner 4.job
- c:\program files\Wise Disk Cleaner\WiseDiskCleaner.exe [2010-02-15 00:31]
.
.
------- Doplňkový sken -------
.
uStart Page = hxxp://www.seznam.cz/
uInternet Connection Wizard,ShellNext = iexplore
IE: E&xportovat do aplikace Microsoft Office Excel - c:\progra~1\MICROS~2\OFFICE11\EXCEL.EXE/3000
LSP: c:\windows\system32\imon.dll
TCP: {2D4EB3AB-A43B-410C-A914-9907617B6A42} = 10.0.0.138
TCP: {354FDA6B-307F-414E-808C-5FC2F1701320} = 83.240.0.214,83.240.0.135
DPF: DirectAnimation Java Classes
DPF: Microsoft XML Parser for Java
.
- - - - NEPLATNÉ POLOŽKY ODSTRANĚNÉ Z REGISTRU - - - -

AddRemove-{B13A7C41581B411290FBC0395694E2A9} - c:\program files\DivX\ConverterUninstall.exe



**************************************************************************

catchme 0.3.1398 W2K/XP/Vista - rootkit/stealth malware detector by Gmer, http://www.gmer.net
Rootkit scan 2010-10-28 23:44
Windows 5.1.2600 Service Pack 3 NTFS

skenování skrytých procesů ...

skenování skrytých položek 'Po spuštění' ...

skenování skrytých souborů ...

sken byl úspešně dokončen
skryté soubory: 0

**************************************************************************

Stealth MBR rootkit/Mebroot/Sinowal detector 0.3.7 by Gmer, http://www.gmer.net

device: opened successfully
user: MBR read successfully
called modules: ntkrnlpa.exe CLASSPNP.SYS disk.sys ACPI.sys hal.dll >>UNKNOWN [0x8A4E7C28]<<
kernel: MBR read successfully
detected MBR rootkit hooks:
\Driver\atapi -> 0x8a4e7c28
Warning: possible MBR rootkit infection !
user & kernel MBR OK
Use "Recovery Console" command "fixmbr" to clear infection !

**************************************************************************
.
--------------------- Knihovny navázané na běžící procesy ---------------------

- - - - - - - > 'explorer.exe'(3868)
c:\windows\system32\webcheck.dll
.
------------------------ Jiné spuštené procesy ------------------------
.
c:\program files\Java\jre6\bin\jqs.exe
c:\program files\Common Files\LightScribe\LSSrvc.exe
c:\program files\CDBurnerXP\NMSAccessU.exe
c:\windows\system32\nvsvc32.exe
c:\windows\system32\HPZipm12.exe
c:\program files\Common Files\Ulead Systems\DVD\ULCDRSvr.exe
c:\windows\system32\wdfmgr.exe
c:\windows\RTHDCPL.EXE
.
**************************************************************************
.
Celkový čas: 2010-10-28 23:48:41 - počítač byl restartován
ComboFix-quarantined-files.txt 2010-10-28 21:48

Před spuštěním: 2 482 905 088
Po spuštění: 3 497 504 768

WindowsXP-KB310994-SP2-Pro-BootDisk-CSY.exe
[boot loader]
timeout=2
default=multi(0)disk(0)rdisk(0)partition(1)\WINDOWS
[operating systems]
c:\cmdcons\BOOTSECT.DAT="Microsoft Windows Recovery Console" /cmdcons
UnsupportedDebug="do not select this" /debug
multi(0)disk(0)rdisk(0)partition(1)\WINDOWS="Microsoft Windows XP Professional" /fastdetect /NoExecute=OptIn

- - End Of File - - 5ADDFB483906F99DBC30EF76033F2A41

[jaro3]

Používáš virt. mechaniky? Daemon Tools nebo Alcohol atd.?

V možnostech složky si povol zobrazování skrytých souborů a složek+ odškrtni zatržítko skrýt chráněné soubory operačního systému

Toto otestuj na Virustotal
c:\windows\system32\Remove.exe
c:\windows\system32\drivers\atapi.sys

Klikni vpravo od okénka na Vybrat a v Exploreru najdi požadovaný soubor v Tvém PC. Označ ho myší a klikni na Otevřít , poté klikni na Send File. Pokud už byl soubor testován , objeví se okno ve kterém klikni na Reanalyze. Soubor se začne postupně testovat více antivirovými programy. Až skončí test posledního antiviru , objeví se nahoře result a červeně počet nákaz , např. 0/40 , nebo 1/40. Pak zkopíruj myší odkaz na tuto stránku a vlož ji do svého příspěvku.

[Šváb.]

Ano, kdysi jsem používal Daemon Tools, ale už jsem ho odinstaloval. Aspoň v tom žiju....

Analýza Remove.exe:
http://www.virustotal.com/file-scan/rep ... 1288339587

ale u atapi.sys mi to nějak nejde. Vyberu ho, dám Send file, problikne natahování, ale vrátí se na tu stejnou obrazovku - nemám možnost zvolit Reanalyze. Zkoušel jsem to několikrát...

[jaro3]

ale u atapi.sys mi to nějak nejde. Vyberu ho, dám Send file, problikne natahování, ale vrátí se na tu stejnou obrazovku - nemám možnost zvolit Reanalyze. Zkoušel jsem to několikrát...----zkus do okénka myší vložit toto:
c:\windows\system32\drivers\atapi.sys

Stáhni si Defogger
spusť Defogger.exe

Klikni na "Disable" a restartuj PC.

Otevři si Poznámkový blok (Start -> Spustit... a napiš do okna Notepad a dej Ok.
Zkopíruj do něj následující celý text označený zeleně:
Poznámka: Nepoužij k označení skriptu funkci VYBRAT VŠE

Kód: Vybrat vše

DirLook::
c:\windows\system32\drivers\Smazano

Driver::
CV2K1
602SQL 8 FastCGI Client
PHPGeekUtil;PHPGeekUtil

Reboot::

Zvol možnost Soubor -> Uložit jako... a nastav tyto parametry:
Název souboru: zde napiš: CFScript.txt
Uložit jako typ: tak tam vyber Všechny soubory
Ulož soubor na plochu.
Ukonči všechna aktivní okna.

Uchop myší vytvořený skript CFScript.txt, přemísti ho nad stažený program ComboFix.exe a když se oba soubory překryjí, skript upusť.
- Automaticky se spustí ComboFix
- Vlož sem log, který vyběhne v závěru čistícího procesu + nový log z HJT

Stáhni Bootkit Remover

-ulož na plochu
-spusť
- pak klikni do černého okna a zkopíruj sem výsledek, případně dej screen

c:\windows\system32\drivers\Smazano
C:\ftproot
Znáš ty složky??

[Šváb.]

zkus do okénka myší vložit toto: c:\windows\system32\drivers\atapi.sys:
Vyzkoušel jsem - nepomohlo. Ani v jiném prohlížeči



Při běhu ComboFixu v jeden okamžik vyběhla hláška ve smyslu "Aplikace PEV má problémy a bude ukončena." A pak klasický Odeslat/Neodeslat echo do Microsoftu. Dal jsem "Neodeslat" a ComboFix jel normálně dál...

=================================== Log z HJT =============================================

ComboFix 10-10-27.A3 - FaM 29.10.2010 12:08:21.2.2 - x86
Systém Microsoft Windows XP Professional 5.1.2600.3.1250.420.1029.18.3327.2930 [GMT 2:00]
Spuštěný z: c:\documents and settings\FaM\Plocha\ComboFix.exe
Použité ovládací přepínače :: c:\documents and settings\FaM\Plocha\CFScript.txt
AV: ESET NOD32 Antivirus 3.0 *On-access scanning disabled* (Updated) {E5E70D32-0101-4F12-8FB0-D96ACA4F34C0}
FW: COMODO Firewall Pro *enabled* {043803A3-4F86-4ef6-AFC5-F6E02A79969B}
* Rezidentní štít AV je zapnutý

.

((((((((((((((((((((((((((((((((((((((( Ostatní výmazy )))))))))))))))))))))))))))))))))))))))))))))))))
.

.
((((((((((((((((((((((((((((((((((((((( Ovladače/Služby )))))))))))))))))))))))))))))))))))))))))))))))))
.

-------\Legacy_602SQL_8_FASTCGI_CLIENT
-------\Legacy_CV2K1
-------\Service_602SQL 8 FastCGI Client
-------\Service_CV2K1


((((((((((((((((((((((((( Soubory vytvořené od 2010-09-28 do 2010-10-29 )))))))))))))))))))))))))))))))
.

2010-10-29 06:47 . 2010-10-29 06:47 -------- d-----w- c:\program files\CCleaner
2010-10-28 20:56 . 2010-10-28 20:56 -------- d-----w- c:\documents and settings\FaM\Data aplikací\Malwarebytes
2010-10-28 20:55 . 2010-04-29 13:39 38224 ----a-w- c:\windows\system32\drivers\mbamswissarmy.sys
2010-10-28 20:55 . 2010-10-28 20:55 -------- d-----w- c:\program files\Malwarebytes' Anti-Malware
2010-10-28 20:55 . 2010-10-28 20:55 -------- d-----w- c:\documents and settings\All Users.WINDOWS\Data aplikací\Malwarebytes
2010-10-28 20:55 . 2010-04-29 13:39 20952 ----a-w- c:\windows\system32\drivers\mbam.sys
2010-10-28 20:37 . 2010-10-28 20:37 -------- d-----w- c:\documents and settings\FaM\DoctorWeb
2010-10-28 19:41 . 2010-10-28 20:23 -------- d-----w- c:\documents and settings\All Users.WINDOWS\Data aplikací\Spybot - Search & Destroy
2010-10-28 19:30 . 2010-10-28 19:30 -------- d-----w- c:\windows\system32\drivers\Smazano
2010-10-28 18:50 . 2010-10-28 18:50 -------- d-----w- c:\documents and settings\FaM\Data aplikací\QuickScan
2010-10-28 17:39 . 2010-10-28 17:39 -------- d-----w- c:\program files\MSConfig CleanUp
2010-10-27 18:12 . 2010-10-28 17:29 -------- d-----w- c:\documents and settings\FaM\Data aplikací\gtk-2.0
2010-10-27 18:00 . 2010-10-27 18:00 -------- d-----w- c:\documents and settings\FaM\.thumbnails
2010-10-27 17:59 . 2010-10-28 17:30 -------- d-----w- c:\documents and settings\FaM\.gimp-2.6
2010-10-27 17:58 . 2010-10-27 17:58 -------- d-----w- c:\program files\GIMP-2.0
2010-10-25 17:55 . 2010-10-25 17:55 -------- d-----w- C:\ftproot
2010-10-25 17:51 . 2010-10-25 17:51 -------- d-----w- c:\documents and settings\All Users.WINDOWS\Data aplikací\Cerberus LLC
2010-10-25 17:51 . 2010-10-25 17:51 -------- d-----w- c:\program files\Cerberus LLC
2010-10-19 18:35 . 2010-10-19 18:35 -------- d-----w- c:\program files\RKComputer
2010-10-19 18:23 . 2010-10-19 18:23 -------- d-----w- c:\documents and settings\FaM\Local Settings\Data aplikací\Radek Chalupa
2010-10-17 14:05 . 2010-09-18 06:53 953856 -c----w- c:\windows\system32\dllcache\mfc40u.dll
2010-10-17 14:05 . 2010-09-18 06:53 974848 -c----w- c:\windows\system32\dllcache\mfc42.dll
2010-10-17 14:04 . 2010-08-23 16:12 617472 -c----w- c:\windows\system32\dllcache\comctl32.dll
2010-10-17 13:58 . 2010-10-17 13:58 -------- d-----w- c:\documents and settings\FaM\Data aplikací\VSRevoGroup
2010-10-16 20:02 . 2010-10-16 20:02 -------- d-----w- c:\documents and settings\FaM\Data aplikací\Reallusion
2010-10-16 20:01 . 2010-10-16 20:01 -------- d-----w- c:\program files\Common Files\Reallusion
2010-10-16 20:01 . 2008-10-18 03:21 5661488 ----a-w- c:\windows\system32\CSVirtualCamera.ocx
2010-10-16 20:01 . 2008-09-19 22:41 37560 ----a-w- c:\windows\system32\drivers\CamSuiteVAC.sys
2010-10-16 20:00 . 2010-10-16 20:01 -------- d-----w- c:\program files\Reallusion
2010-10-15 17:43 . 2010-10-15 17:43 -------- d-----w- c:\program files\DExUS
2010-10-15 17:43 . 2010-10-15 17:43 796672 ----a-w- c:\windows\GPInstall.exe
2010-10-14 19:16 . 2008-04-13 17:45 60032 -c--a-w- c:\windows\system32\dllcache\usbaudio.sys
2010-10-14 19:16 . 2008-04-13 17:45 60032 ----a-w- c:\windows\system32\drivers\USBAUDIO.sys
2010-10-14 19:15 . 2007-11-02 09:07 6656 ----a-w- c:\windows\system32\CoInst_071029.dll
2010-10-14 19:15 . 2007-10-29 14:25 458112 ----a-w- c:\windows\system32\drivers\PAC7302.SYS
2010-10-14 19:15 . 2007-10-04 15:42 48128 ----a-w- c:\windows\system32\Remove.exe
2010-10-14 19:15 . 2010-10-14 19:15 -------- d-----w- c:\program files\Common Files\iLook 310
2010-10-14 19:15 . 2010-10-14 19:15 -------- d-----w- c:\windows\PixArt
2010-10-14 19:15 . 2008-01-14 12:08 141312 ----a-w- c:\windows\system32\SP7302.ax
2010-10-14 19:15 . 2006-10-12 09:57 14336 ----a-w- c:\windows\system32\P7302USD.dll
2010-10-13 18:42 . 2010-10-14 19:29 -------- d-----w- c:\documents and settings\FaM\Data aplikací\Pamela
2010-10-13 18:42 . 2010-10-13 18:42 155136 ----a-w- c:\windows\system32\RemoteControl.dll
2010-10-13 18:42 . 2010-10-13 18:42 -------- d-----w- c:\program files\Pamela
2010-10-12 18:19 . 2010-10-12 18:20 -------- d--h--w- c:\documents and settings\FaM\Data aplikací\Microchip

.
(((((((((((((((((((((((((((((((((((((((( Find3M výpis ))))))))))))))))))))))))))))))))))))))))))))))))))))
.
2010-09-18 10:23 . 2001-10-25 12:00 974848 ----a-w- c:\windows\system32\mfc42u.dll
2010-09-18 06:53 . 2001-10-25 12:00 974848 ----a-w- c:\windows\system32\mfc42.dll
2010-09-18 06:53 . 2001-10-25 12:00 954368 ----a-w- c:\windows\system32\mfc40.dll
2010-09-18 06:53 . 2001-10-25 12:00 953856 ----a-w- c:\windows\system32\mfc40u.dll
2010-09-10 05:52 . 2002-09-20 16:05 916480 ----a-w- c:\windows\system32\wininet.dll
2010-09-10 05:52 . 2002-09-20 16:05 1469440 ----a-w- c:\windows\system32\inetcpl.cpl
2010-09-10 05:52 . 2002-09-20 16:04 43520 ----a-w- c:\windows\system32\licmgr10.dll
2010-09-01 11:52 . 2001-10-25 12:00 285824 ----a-w- c:\windows\system32\atmfd.dll
2010-09-01 07:57 . 2002-09-20 15:41 1852800 ----a-w- c:\windows\system32\win32k.sys
2010-08-27 08:03 . 2001-10-25 12:00 119808 ----a-w- c:\windows\system32\t2embed.dll
2010-08-27 05:54 . 2001-10-25 12:00 99840 ----a-w- c:\windows\system32\srvsvc.dll
2010-08-27 01:43 . 2008-05-05 05:25 5632 ----a-w- c:\windows\system32\xpsp4res.dll
2010-08-26 13:39 . 2001-10-25 12:00 357248 ----a-w- c:\windows\system32\drivers\srv.sys
2010-08-23 16:12 . 2002-09-20 16:03 617472 ----a-w- c:\windows\system32\comctl32.dll
2010-08-17 13:17 . 2001-10-25 12:00 58880 ----a-w- c:\windows\system32\spoolsv.exe
2010-08-16 08:45 . 2002-09-20 16:04 590848 ----a-w- c:\windows\system32\rpcrt4.dll
.

(((((((((((((((((((((((((((((((((((((((((((( Look )))))))))))))))))))))))))))))))))))))))))))))))))))))))))
.
---- Directory of c:\windows\system32\drivers\Smazano ----

2010-01-11 17:07 . 2010-01-11 17:07 54784 ----a-w- c:\windows\system32\drivers\Smazano\CDAC11BA.EXE


------- Sigcheck -------

[7] 2008-04-13 . 9F3A2F5AA6875C72BF062C712CFA2674 . 96512 . . [5.1.2600.5512] . . c:\windows\ServicePackFiles\i386\atapi.sys
[7] 2004-08-03 . CDFE4411A69C224BD1D11B2DA92DAC51 . 95360 . . [5.1.2600.2180] . . c:\windows\system32\dllcache\atapi.sys
[-] 2004-08-03 16:59 . !HASH: COULD NOT OPEN FILE !!!!! . 95360 . . [------] . . c:\windows\system32\drivers\atapi.sys
[-] 2002-08-28 . 95B858761A00E1D4F81F79A0DA019ACA . 86912 . . [5.1.2600.1106] . . c:\windows\system32\ReinstallBackups\0022\DriverFiles\i386\atapi.sys
[-] 2002-08-28 . 95B858761A00E1D4F81F79A0DA019ACA . 86912 . . [5.1.2600.1106] . . c:\windows\system32\ReinstallBackups\0023\DriverFiles\i386\atapi.sys
.
(((((((((((((((((((((((((((((((((( Spouštěcí body v registru )))))))))))))))))))))))))))))))))))))))))))))
.
.
*Poznámka* prázdné záznamy a legitimní výchozí údaje nejsou zobrazeny.
REGEDIT4

[HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
"Rainlendar2"="c:\program files\Rainlendar2\Rainlendar2.exe" [2007-12-30 1365504]

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
"RTHDCPL"="RTHDCPL.EXE" [2006-09-12 16264192]
"egui"="c:\program files\ESET\ESET NOD32 Antivirus\egui.exe" [2009-10-07 1461080]
"NvCplDaemon"="c:\windows\system32\NvCpl.dll" [2006-08-24 7696384]

[HKEY_USERS\.DEFAULT\Software\Microsoft\Windows\CurrentVersion\Run]
"CTFMON.EXE"="c:\windows\System32\CTFMON.EXE" [2008-04-14 15360]

c:\documents and settings\All Users.WINDOWS\Nabˇdka Start\Programy\Po spuçtŘnˇ\
RK WebCam.lnk - c:\program files\RKComputer\RK WebCam\RKWebCam.exe [2010-10-19 217088]

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\nwiz]
2006-08-24 12:46 1617920 ----a-w- c:\windows\system32\nwiz.exe

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\services]
"RichVideo"=2 (0x2)
"mnmsrvc"=3 (0x3)
"gupdate"=2 (0x2)

[HKLM\~\services\sharedaccess\parameters\firewallpolicy\standardprofile]
"EnableFirewall"= 0 (0x0)

[HKLM\~\services\sharedaccess\parameters\firewallpolicy\standardprofile\AuthorizedApplications\List]
"c:\\Program Files\\InterVideo\\DVD6\\WinDVD.exe"=
"c:\\instal\\Miranda 403\\Miranda IM New\\miranda32.exe"=
"c:\\Program Files\\HP\\Digital Imaging\\bin\\hpqkygrp.exe"=
"c:\\Program Files\\HP\\Digital Imaging\\bin\\hpqnrs08.exe"=
"c:\\Program Files\\HP\\Digital Imaging\\bin\\hpqscnvw.exe"=
"c:\\WINDOWS\\system32\\sessmgr.exe"=
"%windir%\\system32\\sessmgr.exe"=
"c:\\Program Files\\instal\\Miranda 403\\Miranda IM New\\miranda32.exe"=
"c:\\Program Files\\instal\\Miranda 403\\Maja\\miranda32.exe"=
"c:\\Program Files\\instal\\Miranda 403\\Franta\\miranda32.exe"=
"c:\\WINDOWS\\Network Diagnostic\\xpnetdiag.exe"=
"c:\\totalcmd\\TOTALCMD.EXE"=
"c:\\Program Files\\Promixis\\Girder\\girder.exe"=
"c:\\Program Files\\Miranda\\miranda32.exe"=
"c:\\Program Files\\FileZilla FTP Client\\filezilla.exe"=
"c:\\Program Files\\Skype\\Plugin Manager\\skypePM.exe"=
"c:\\Program Files\\Cerberus LLC\\Cerberus FTP Server\\CerberusGUI.exe"=
"c:\\Program Files\\VoipDiscount.com\\VoipDiscount\\VoipDiscount.exe"=
"c:\\Program Files\\Skype\\Phone\\Skype.exe"=

[HKLM\~\services\sharedaccess\parameters\firewallpolicy\standardprofile\GloballyOpenPorts\List]
"123:UDP"= 123:UDP:*:Disabled:NTP
"5483:TCP"= 5483:TCP:90.177.142.111/255.255.255.255,192.168.2.30/255.255.255.255:Disabled:VPLocha
"3389:TCP"= 3389:TCP:*:Disabled:@xpsp2res.dll,-22009

R0 d346bus;d346bus;c:\windows\system32\drivers\d346bus.sys [23.11.2006 20:30 156800]
R1 epfwtdir;epfwtdir;c:\windows\system32\drivers\epfwtdir.sys [1.7.2008 9:04 35168]
R2 ASIXIo;ASIXIo;c:\windows\system32\drivers\asixio.sys [30.6.2009 21:22 3078]
R2 Cerberus FTP Server;Cerberus FTP Server;c:\program files\Cerberus LLC\Cerberus FTP Server\CerberusGUI.exe [27.9.2010 0:46 4770624]
R2 ekrn;Eset Service;c:\program files\ESET\ESET NOD32 Antivirus\ekrn.exe [7.10.2009 10:16 472280]
R2 SSIPDDP;SSIPDDP;c:\windows\system32\drivers\SSIPDDP.SYS [9.10.2006 18:51 54272]
R3 CamSuiteVAC;CamSuite Virtual Audio;c:\windows\system32\drivers\CamSuiteVAC.sys [16.10.2010 22:01 37560]
S3 3xHybrid;WinFast DTV1000 S;c:\windows\system32\drivers\3xHybrid.sys [2.12.2009 18:05 1001216]
S3 i2cprog;i2cprog;c:\i2cprog\I2CProg51\i2cprog.sys [13.9.2003 21:57 4016]
S3 K320bus;Sony Ericsson K320 driver (WDM);c:\windows\system32\drivers\K320bus.sys [23.1.2008 18:10 61504]
S3 K320mdfl;Sony Ericsson K320 USB WMC Modem Filter;c:\windows\system32\drivers\K320mdfl.sys [23.1.2008 18:10 9328]
S3 K320mdm;Sony Ericsson K320 USB WMC Modem Driver;c:\windows\system32\drivers\K320mdm.sys [23.1.2008 18:10 97056]
S3 K320mgmt;Sony Ericsson K320 USB WMC Device Management Drivers (WDM);c:\windows\system32\drivers\K320mgmt.sys [23.1.2008 18:11 88560]
S3 K320obex;Sony Ericsson K320 USB WMC OBEX Interface;c:\windows\system32\drivers\K320obex.sys [23.1.2008 18:10 86368]
S4 d346prt;d346prt;c:\windows\system32\drivers\d346prt.sys [23.11.2006 20:30 5248]
S4 gupdate;Služba Google Update (gupdate);c:\program files\Google\Update\GoogleUpdate.exe [14.4.2010 17:59 136176]
S4 PHPGeekUtil;PHPGeekUtil;"c:\apache\APACHE.EXE" --ntservice --> c:\apache\APACHE.EXE [?]

[HKEY_LOCAL_MACHINE\software\microsoft\active setup\installed components\{10880D85-AAD9-4558-ABDC-2AB1552D831F}]
2008-01-24 11:30 451872 ----a-w- c:\program files\Common Files\LightScribe\LSRunOnce.exe
.
Obsah adresáře 'Naplánované úlohy'

2010-10-18 c:\windows\Tasks\GoogleUpdateTaskMachineCore1cb6e8514de2680.job
- c:\program files\Google\Update\GoogleUpdate.exe [2010-04-14 15:59]

2010-02-15 c:\windows\Tasks\Wise Disk Cleaner 4.job
- c:\program files\Wise Disk Cleaner\WiseDiskCleaner.exe [2010-02-15 00:31]
.
.
------- Doplňkový sken -------
.
uStart Page = hxxp://www.seznam.cz/
uInternet Connection Wizard,ShellNext = iexplore
IE: E&xportovat do aplikace Microsoft Office Excel - c:\progra~1\MICROS~2\OFFICE11\EXCEL.EXE/3000
LSP: c:\windows\system32\imon.dll
TCP: {2D4EB3AB-A43B-410C-A914-9907617B6A42} = 10.0.0.138
TCP: {354FDA6B-307F-414E-808C-5FC2F1701320} = 83.240.0.214,83.240.0.135
DPF: DirectAnimation Java Classes
DPF: Microsoft XML Parser for Java
.

**************************************************************************

catchme 0.3.1398 W2K/XP/Vista - rootkit/stealth malware detector by Gmer, http://www.gmer.net
Rootkit scan 2010-10-29 12:16
Windows 5.1.2600 Service Pack 3 NTFS

skenování skrytých procesů ...

skenování skrytých položek 'Po spuštění' ...

skenování skrytých souborů ...

sken byl úspešně dokončen
skryté soubory: 0

**************************************************************************

Stealth MBR rootkit/Mebroot/Sinowal detector 0.3.7 by Gmer, http://www.gmer.net

device: opened successfully
user: MBR read successfully
called modules: ntkrnlpa.exe CLASSPNP.SYS disk.sys ACPI.sys hal.dll >>UNKNOWN [0x8A5971B8]<<
kernel: MBR read successfully
detected MBR rootkit hooks:
\Driver\atapi -> 0x8a5971b8
Warning: possible MBR rootkit infection !
user & kernel MBR OK
Use "Recovery Console" command "fixmbr" to clear infection !

**************************************************************************
.
--------------------- Knihovny navázané na běžící procesy ---------------------

- - - - - - - > 'explorer.exe'(3000)
c:\windows\system32\webcheck.dll
.
------------------------ Jiné spuštené procesy ------------------------
.
c:\program files\Java\jre6\bin\jqs.exe
c:\program files\Common Files\LightScribe\LSSrvc.exe
c:\program files\CDBurnerXP\NMSAccessU.exe
c:\windows\system32\nvsvc32.exe
c:\windows\system32\HPZipm12.exe
c:\program files\Common Files\Ulead Systems\DVD\ULCDRSvr.exe
c:\windows\system32\wdfmgr.exe
c:\windows\RTHDCPL.EXE
.
**************************************************************************
.
Celkový čas: 2010-10-29 12:20:22 - počítač byl restartován
ComboFix-quarantined-files.txt 2010-10-29 10:20
ComboFix2.txt 2010-10-28 21:48

Před spuštěním: 3 902 164 992
Po spuštění: 3 892 400 128

- - End Of File - - A3D23C298EB80C33146D9D04B3EB7504

==================================== Boot Kit Remover screen =========================================

c:\windows\system32\drivers\Smazano
C:\ftproot
Znáš ty složky?? :

Ano, tu první jsem vytvořil já, když jsem odstraňoval soubor CDAC11BA.EXE, který se mi nelíbil
tu druhou podle mě vytvořil jeden z FTP serverů, které jsem zkoušel

[jaro3]

Otevři si Poznámkový blok (Start -> Spustit... a napiš do okna Notepad a dej Ok.
Zkopíruj do něj následující celý text označený zeleně:
Poznámka: Nepoužij k označení skriptu funkci VYBRAT VŠE

Kód: Vybrat vše

KillAll::
FCopy::
c:\windows\ServicePackFiles\i386\atapi.sys | c:\windows\system32\dllcache\atapi.sys
c:\windows\ServicePackFiles\i386\atapi.sys | c:\windows\system32\drivers\atapi.sys
c:\windows\system32\drivers\Smazano\CDAC11BA.EXE | c:\windows\system32\drivers\CDAC11BA.EXE

File::
c:\windows\system32\Remove.exe

Zvol možnost Soubor -> Uložit jako... a nastav tyto parametry:
Název souboru: zde napiš: CFScript.txt
Uložit jako typ: tak tam vyber Všechny soubory
Ulož soubor na plochu.
Ukonči všechna aktivní okna.

Uchop myší vytvořený skript CFScript.txt, přemísti ho nad stažený program ComboFix.exe a když se oba soubory překryjí, skript upusť.
- Automaticky se spustí ComboFix
- Vlož sem log, který vyběhne v závěru čistícího procesu + nový log z HJT

[Šváb.]

Omlouvám se za odmlku, měl jsem nějaké povinnosti.

Při běhu ComboFix se mi ukázala hláška, po které následoval restart:

ukázala se zatím vždy když jsem ComboFix spustil, až teď jsem si řekl, že to raději napíšu kdyby to pomohlo k řešení...

Tady je log:

ComboFix 10-10-27.A3 - FaM 29.10.2010 18:06:34.3.2 - x86
Systém Microsoft Windows XP Professional 5.1.2600.3.1250.420.1029.18.3327.2930 [GMT 2:00]
Spuštěný z: c:\documents and settings\FaM\Plocha\ComboFix.exe
Použité ovládací přepínače :: c:\documents and settings\FaM\Plocha\CFScript.txt
AV: ESET NOD32 Antivirus 3.0 *On-access scanning disabled* (Updated) {E5E70D32-0101-4F12-8FB0-D96ACA4F34C0}
FW: COMODO Firewall Pro *enabled* {043803A3-4F86-4ef6-AFC5-F6E02A79969B}
* Rezidentní štít AV je zapnutý


FILE ::
"c:\windows\system32\Remove.exe"
.

((((((((((((((((((((((((((((((((((((((( Ostatní výmazy )))))))))))))))))))))))))))))))))))))))))))))))))
.

c:\windows\system32\Remove.exe

.
--------------- FCopy ---------------

c:\windows\ServicePackFiles\i386\atapi.sys --> c:\windows\system32\dllcache\atapi.sys
c:\windows\ServicePackFiles\i386\atapi.sys --> c:\windows\system32\drivers\atapi.sys
c:\windows\system32\drivers\Smazano\CDAC11BA.EXE --> c:\windows\system32\drivers\CDAC11BA.EXE
.
((((((((((((((((((((((((( Soubory vytvořené od 2010-09-28 do 2010-10-29 )))))))))))))))))))))))))))))))
.

2010-10-29 16:06 . 2010-01-11 17:07 54784 ----a-w- c:\windows\system32\drivers\CDAC11BA.EXE
2010-10-29 06:47 . 2010-10-29 06:47 -------- d-----w- c:\program files\CCleaner
2010-10-28 20:56 . 2010-10-28 20:56 -------- d-----w- c:\documents and settings\FaM\Data aplikací\Malwarebytes
2010-10-28 20:55 . 2010-04-29 13:39 38224 ----a-w- c:\windows\system32\drivers\mbamswissarmy.sys
2010-10-28 20:55 . 2010-10-28 20:55 -------- d-----w- c:\program files\Malwarebytes' Anti-Malware
2010-10-28 20:55 . 2010-10-28 20:55 -------- d-----w- c:\documents and settings\All Users.WINDOWS\Data aplikací\Malwarebytes
2010-10-28 20:55 . 2010-04-29 13:39 20952 ----a-w- c:\windows\system32\drivers\mbam.sys
2010-10-28 20:37 . 2010-10-28 20:37 -------- d-----w- c:\documents and settings\FaM\DoctorWeb
2010-10-28 19:41 . 2010-10-28 20:23 -------- d-----w- c:\documents and settings\All Users.WINDOWS\Data aplikací\Spybot - Search & Destroy
2010-10-28 19:30 . 2010-10-28 19:30 -------- d-----w- c:\windows\system32\drivers\Smazano
2010-10-28 18:50 . 2010-10-28 18:50 -------- d-----w- c:\documents and settings\FaM\Data aplikací\QuickScan
2010-10-28 17:39 . 2010-10-28 17:39 -------- d-----w- c:\program files\MSConfig CleanUp
2010-10-27 18:12 . 2010-10-29 10:26 -------- d-----w- c:\documents and settings\FaM\Data aplikací\gtk-2.0
2010-10-27 18:00 . 2010-10-27 18:00 -------- d-----w- c:\documents and settings\FaM\.thumbnails
2010-10-27 17:59 . 2010-10-29 10:40 -------- d-----w- c:\documents and settings\FaM\.gimp-2.6
2010-10-27 17:58 . 2010-10-27 17:58 -------- d-----w- c:\program files\GIMP-2.0
2010-10-25 17:55 . 2010-10-25 17:55 -------- d-----w- C:\ftproot
2010-10-25 17:51 . 2010-10-25 17:51 -------- d-----w- c:\documents and settings\All Users.WINDOWS\Data aplikací\Cerberus LLC
2010-10-25 17:51 . 2010-10-25 17:51 -------- d-----w- c:\program files\Cerberus LLC
2010-10-19 18:35 . 2010-10-19 18:35 -------- d-----w- c:\program files\RKComputer
2010-10-19 18:23 . 2010-10-19 18:23 -------- d-----w- c:\documents and settings\FaM\Local Settings\Data aplikací\Radek Chalupa
2010-10-17 14:05 . 2010-09-18 06:53 953856 -c----w- c:\windows\system32\dllcache\mfc40u.dll
2010-10-17 14:05 . 2010-09-18 06:53 974848 -c----w- c:\windows\system32\dllcache\mfc42.dll
2010-10-17 14:04 . 2010-08-23 16:12 617472 -c----w- c:\windows\system32\dllcache\comctl32.dll
2010-10-17 13:58 . 2010-10-17 13:58 -------- d-----w- c:\documents and settings\FaM\Data aplikací\VSRevoGroup
2010-10-16 20:02 . 2010-10-16 20:02 -------- d-----w- c:\documents and settings\FaM\Data aplikací\Reallusion
2010-10-16 20:01 . 2010-10-16 20:01 -------- d-----w- c:\program files\Common Files\Reallusion
2010-10-16 20:01 . 2008-10-18 03:21 5661488 ----a-w- c:\windows\system32\CSVirtualCamera.ocx
2010-10-16 20:01 . 2008-09-19 22:41 37560 ----a-w- c:\windows\system32\drivers\CamSuiteVAC.sys
2010-10-16 20:00 . 2010-10-16 20:01 -------- d-----w- c:\program files\Reallusion
2010-10-15 17:43 . 2010-10-15 17:43 -------- d-----w- c:\program files\DExUS
2010-10-15 17:43 . 2010-10-15 17:43 796672 ----a-w- c:\windows\GPInstall.exe
2010-10-14 19:16 . 2008-04-13 17:45 60032 -c--a-w- c:\windows\system32\dllcache\usbaudio.sys
2010-10-14 19:16 . 2008-04-13 17:45 60032 ----a-w- c:\windows\system32\drivers\USBAUDIO.sys
2010-10-14 19:15 . 2007-11-02 09:07 6656 ----a-w- c:\windows\system32\CoInst_071029.dll
2010-10-14 19:15 . 2007-10-29 14:25 458112 ----a-w- c:\windows\system32\drivers\PAC7302.SYS
2010-10-14 19:15 . 2010-10-14 19:15 -------- d-----w- c:\program files\Common Files\iLook 310
2010-10-14 19:15 . 2010-10-14 19:15 -------- d-----w- c:\windows\PixArt
2010-10-14 19:15 . 2008-01-14 12:08 141312 ----a-w- c:\windows\system32\SP7302.ax
2010-10-14 19:15 . 2006-10-12 09:57 14336 ----a-w- c:\windows\system32\P7302USD.dll
2010-10-13 18:42 . 2010-10-14 19:29 -------- d-----w- c:\documents and settings\FaM\Data aplikací\Pamela
2010-10-13 18:42 . 2010-10-13 18:42 155136 ----a-w- c:\windows\system32\RemoteControl.dll
2010-10-13 18:42 . 2010-10-13 18:42 -------- d-----w- c:\program files\Pamela
2010-10-12 18:19 . 2010-10-12 18:20 -------- d--h--w- c:\documents and settings\FaM\Data aplikací\Microchip

.
(((((((((((((((((((((((((((((((((((((((( Find3M výpis ))))))))))))))))))))))))))))))))))))))))))))))))))))
.
2010-09-18 10:23 . 2001-10-25 12:00 974848 ----a-w- c:\windows\system32\mfc42u.dll
2010-09-18 06:53 . 2001-10-25 12:00 974848 ----a-w- c:\windows\system32\mfc42.dll
2010-09-18 06:53 . 2001-10-25 12:00 954368 ----a-w- c:\windows\system32\mfc40.dll
2010-09-18 06:53 . 2001-10-25 12:00 953856 ----a-w- c:\windows\system32\mfc40u.dll
2010-09-10 05:52 . 2002-09-20 16:05 916480 ----a-w- c:\windows\system32\wininet.dll
2010-09-10 05:52 . 2002-09-20 16:05 1469440 ----a-w- c:\windows\system32\inetcpl.cpl
2010-09-10 05:52 . 2002-09-20 16:04 43520 ----a-w- c:\windows\system32\licmgr10.dll
2010-09-01 11:52 . 2001-10-25 12:00 285824 ----a-w- c:\windows\system32\atmfd.dll
2010-09-01 07:57 . 2002-09-20 15:41 1852800 ----a-w- c:\windows\system32\win32k.sys
2010-08-27 08:03 . 2001-10-25 12:00 119808 ----a-w- c:\windows\system32\t2embed.dll
2010-08-27 05:54 . 2001-10-25 12:00 99840 ----a-w- c:\windows\system32\srvsvc.dll
2010-08-27 01:43 . 2008-05-05 05:25 5632 ----a-w- c:\windows\system32\xpsp4res.dll
2010-08-26 13:39 . 2001-10-25 12:00 357248 ----a-w- c:\windows\system32\drivers\srv.sys
2010-08-23 16:12 . 2002-09-20 16:03 617472 ----a-w- c:\windows\system32\comctl32.dll
2010-08-17 13:17 . 2001-10-25 12:00 58880 ----a-w- c:\windows\system32\spoolsv.exe
2010-08-16 08:45 . 2002-09-20 16:04 590848 ----a-w- c:\windows\system32\rpcrt4.dll
.

------- Sigcheck -------

[7] 2008-04-13 . 9F3A2F5AA6875C72BF062C712CFA2674 . 96512 . . [5.1.2600.5512] . . c:\windows\ServicePackFiles\i386\atapi.sys
[7] 2008-04-13 . 9F3A2F5AA6875C72BF062C712CFA2674 . 96512 . . [5.1.2600.5512] . . c:\windows\system32\dllcache\atapi.sys
[-] 2008-04-13 18:40 . !HASH: COULD NOT OPEN FILE !!!!! . 96512 . . [------] . . c:\windows\system32\drivers\atapi.sys
[-] 2002-08-28 . 95B858761A00E1D4F81F79A0DA019ACA . 86912 . . [5.1.2600.1106] . . c:\windows\system32\ReinstallBackups\0022\DriverFiles\i386\atapi.sys
[-] 2002-08-28 . 95B858761A00E1D4F81F79A0DA019ACA . 86912 . . [5.1.2600.1106] . . c:\windows\system32\ReinstallBackups\0023\DriverFiles\i386\atapi.sys
.
(((((((((((((((((((((((((((((((((( Spouštěcí body v registru )))))))))))))))))))))))))))))))))))))))))))))
.
.
*Poznámka* prázdné záznamy a legitimní výchozí údaje nejsou zobrazeny.
REGEDIT4

[HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
"Rainlendar2"="c:\program files\Rainlendar2\Rainlendar2.exe" [2007-12-30 1365504]

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
"RTHDCPL"="RTHDCPL.EXE" [2006-09-12 16264192]
"egui"="c:\program files\ESET\ESET NOD32 Antivirus\egui.exe" [2009-10-07 1461080]
"NvCplDaemon"="c:\windows\system32\NvCpl.dll" [2006-08-24 7696384]

[HKEY_USERS\.DEFAULT\Software\Microsoft\Windows\CurrentVersion\Run]
"CTFMON.EXE"="c:\windows\System32\CTFMON.EXE" [2008-04-14 15360]

c:\documents and settings\All Users.WINDOWS\Nabˇdka Start\Programy\Po spuçtŘnˇ\
RK WebCam.lnk - c:\program files\RKComputer\RK WebCam\RKWebCam.exe [2010-10-19 217088]

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\nwiz]
2006-08-24 12:46 1617920 ----a-w- c:\windows\system32\nwiz.exe

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\services]
"RichVideo"=2 (0x2)
"mnmsrvc"=3 (0x3)
"gupdate"=2 (0x2)

[HKLM\~\services\sharedaccess\parameters\firewallpolicy\standardprofile]
"EnableFirewall"= 0 (0x0)

[HKLM\~\services\sharedaccess\parameters\firewallpolicy\standardprofile\AuthorizedApplications\List]
"c:\\Program Files\\InterVideo\\DVD6\\WinDVD.exe"=
"c:\\instal\\Miranda 403\\Miranda IM New\\miranda32.exe"=
"c:\\Program Files\\HP\\Digital Imaging\\bin\\hpqkygrp.exe"=
"c:\\Program Files\\HP\\Digital Imaging\\bin\\hpqnrs08.exe"=
"c:\\Program Files\\HP\\Digital Imaging\\bin\\hpqscnvw.exe"=
"c:\\WINDOWS\\system32\\sessmgr.exe"=
"%windir%\\system32\\sessmgr.exe"=
"c:\\Program Files\\instal\\Miranda 403\\Miranda IM New\\miranda32.exe"=
"c:\\Program Files\\instal\\Miranda 403\\Maja\\miranda32.exe"=
"c:\\Program Files\\instal\\Miranda 403\\Franta\\miranda32.exe"=
"c:\\WINDOWS\\Network Diagnostic\\xpnetdiag.exe"=
"c:\\totalcmd\\TOTALCMD.EXE"=
"c:\\Program Files\\Promixis\\Girder\\girder.exe"=
"c:\\Program Files\\Miranda\\miranda32.exe"=
"c:\\Program Files\\FileZilla FTP Client\\filezilla.exe"=
"c:\\Program Files\\Skype\\Plugin Manager\\skypePM.exe"=
"c:\\Program Files\\Cerberus LLC\\Cerberus FTP Server\\CerberusGUI.exe"=
"c:\\Program Files\\VoipDiscount.com\\VoipDiscount\\VoipDiscount.exe"=
"c:\\Program Files\\Skype\\Phone\\Skype.exe"=

[HKLM\~\services\sharedaccess\parameters\firewallpolicy\standardprofile\GloballyOpenPorts\List]
"123:UDP"= 123:UDP:*:Disabled:NTP
"5483:TCP"= 5483:TCP:90.177.142.111/255.255.255.255,192.168.2.30/255.255.255.255:Disabled:VPLocha
"3389:TCP"= 3389:TCP:*:Disabled:@xpsp2res.dll,-22009

R0 d346bus;d346bus;c:\windows\system32\drivers\d346bus.sys [23.11.2006 20:30 156800]
R1 epfwtdir;epfwtdir;c:\windows\system32\drivers\epfwtdir.sys [1.7.2008 9:04 35168]
R2 ASIXIo;ASIXIo;c:\windows\system32\drivers\asixio.sys [30.6.2009 21:22 3078]
R2 Cerberus FTP Server;Cerberus FTP Server;c:\program files\Cerberus LLC\Cerberus FTP Server\CerberusGUI.exe [27.9.2010 0:46 4770624]
R2 ekrn;Eset Service;c:\program files\ESET\ESET NOD32 Antivirus\ekrn.exe [7.10.2009 10:16 472280]
R2 SSIPDDP;SSIPDDP;c:\windows\system32\drivers\SSIPDDP.SYS [9.10.2006 18:51 54272]
R3 CamSuiteVAC;CamSuite Virtual Audio;c:\windows\system32\drivers\CamSuiteVAC.sys [16.10.2010 22:01 37560]
S3 3xHybrid;WinFast DTV1000 S;c:\windows\system32\drivers\3xHybrid.sys [2.12.2009 18:05 1001216]
S3 i2cprog;i2cprog;c:\i2cprog\I2CProg51\i2cprog.sys [13.9.2003 21:57 4016]
S3 K320bus;Sony Ericsson K320 driver (WDM);c:\windows\system32\drivers\K320bus.sys [23.1.2008 18:10 61504]
S3 K320mdfl;Sony Ericsson K320 USB WMC Modem Filter;c:\windows\system32\drivers\K320mdfl.sys [23.1.2008 18:10 9328]
S3 K320mdm;Sony Ericsson K320 USB WMC Modem Driver;c:\windows\system32\drivers\K320mdm.sys [23.1.2008 18:10 97056]
S3 K320mgmt;Sony Ericsson K320 USB WMC Device Management Drivers (WDM);c:\windows\system32\drivers\K320mgmt.sys [23.1.2008 18:11 88560]
S3 K320obex;Sony Ericsson K320 USB WMC OBEX Interface;c:\windows\system32\drivers\K320obex.sys [23.1.2008 18:10 86368]
S4 d346prt;d346prt;c:\windows\system32\drivers\d346prt.sys [23.11.2006 20:30 5248]
S4 gupdate;Služba Google Update (gupdate);c:\program files\Google\Update\GoogleUpdate.exe [14.4.2010 17:59 136176]
S4 PHPGeekUtil;PHPGeekUtil;"c:\apache\APACHE.EXE" --ntservice --> c:\apache\APACHE.EXE [?]

[HKEY_LOCAL_MACHINE\software\microsoft\active setup\installed components\{10880D85-AAD9-4558-ABDC-2AB1552D831F}]
2008-01-24 11:30 451872 ----a-w- c:\program files\Common Files\LightScribe\LSRunOnce.exe
.
Obsah adresáře 'Naplánované úlohy'

2010-10-18 c:\windows\Tasks\GoogleUpdateTaskMachineCore1cb6e8514de2680.job
- c:\program files\Google\Update\GoogleUpdate.exe [2010-04-14 15:59]

2010-02-15 c:\windows\Tasks\Wise Disk Cleaner 4.job
- c:\program files\Wise Disk Cleaner\WiseDiskCleaner.exe [2010-02-15 00:31]
.
.
------- Doplňkový sken -------
.
uStart Page = hxxp://www.seznam.cz/
uInternet Connection Wizard,ShellNext = iexplore
IE: E&xportovat do aplikace Microsoft Office Excel - c:\progra~1\MICROS~2\OFFICE11\EXCEL.EXE/3000
LSP: c:\windows\system32\imon.dll
TCP: {2D4EB3AB-A43B-410C-A914-9907617B6A42} = 10.0.0.138
TCP: {354FDA6B-307F-414E-808C-5FC2F1701320} = 83.240.0.214,83.240.0.135
DPF: DirectAnimation Java Classes
DPF: Microsoft XML Parser for Java
.

**************************************************************************

catchme 0.3.1398 W2K/XP/Vista - rootkit/stealth malware detector by Gmer, http://www.gmer.net
Rootkit scan 2010-10-29 18:14
Windows 5.1.2600 Service Pack 3 NTFS

skenování skrytých procesů ...

skenování skrytých položek 'Po spuštění' ...

skenování skrytých souborů ...

sken byl úspešně dokončen
skryté soubory: 0

**************************************************************************

Stealth MBR rootkit/Mebroot/Sinowal detector 0.3.7 by Gmer, http://www.gmer.net

device: opened successfully
user: MBR read successfully
called modules: ntkrnlpa.exe CLASSPNP.SYS disk.sys ACPI.sys hal.dll >>UNKNOWN [0x8AC59F00]<<
kernel: MBR read successfully
detected MBR rootkit hooks:
\Driver\atapi -> 0x8ac59f00
Warning: possible MBR rootkit infection !
user & kernel MBR OK
Use "Recovery Console" command "fixmbr" to clear infection !

**************************************************************************
.
--------------------- Knihovny navázané na běžící procesy ---------------------

- - - - - - - > 'explorer.exe'(3328)
c:\program files\Adobe\Acrobat 7.0\ActiveX\PDFShell.dll
c:\windows\system32\webcheck.dll
.
------------------------ Jiné spuštené procesy ------------------------
.
c:\program files\Java\jre6\bin\jqs.exe
c:\program files\Common Files\LightScribe\LSSrvc.exe
c:\program files\CDBurnerXP\NMSAccessU.exe
c:\windows\system32\nvsvc32.exe
c:\windows\system32\HPZipm12.exe
c:\program files\Common Files\Ulead Systems\DVD\ULCDRSvr.exe
c:\windows\system32\wdfmgr.exe
c:\windows\RTHDCPL.EXE
.
**************************************************************************
.
Celkový čas: 2010-10-29 18:18:42 - počítač byl restartován
ComboFix-quarantined-files.txt 2010-10-29 16:18
ComboFix2.txt 2010-10-29 10:20
ComboFix3.txt 2010-10-28 21:48

Před spuštěním: 3 955 044 352
Po spuštění: 3 947 958 272

- - End Of File - - 5294BF84363F8E9B9C6072B954B12587

=======================================================================================================================

Zde je log HJT, minule jsem přehlédl že ho mám přiložit - omlouvám se

Logfile of Trend Micro HijackThis v2.0.2
Scan saved at 18:36:35, on 29.10.2010
Platform: Windows XP SP3 (WinNT 5.01.2600)
MSIE: Unable to get Internet Explorer version!
Boot mode: Normal

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\spoolsv.exe
C:\Program Files\ESET\ESET NOD32 Antivirus\ekrn.exe
C:\Program Files\Java\jre6\bin\jqs.exe
C:\Program Files\Common Files\LightScribe\LSSrvc.exe
C:\Program Files\CDBurnerXP\NMSAccessU.exe
C:\WINDOWS\system32\nvsvc32.exe
C:\WINDOWS\system32\HPZipm12.exe
C:\WINDOWS\System32\svchost.exe
C:\Program Files\Common Files\Ulead Systems\DVD\ULCDRSvr.exe
C:\WINDOWS\RTHDCPL.EXE
C:\Program Files\ESET\ESET NOD32 Antivirus\egui.exe
C:\Program Files\Rainlendar2\Rainlendar2.exe
C:\WINDOWS\explorer.exe
C:\WINDOWS\system32\notepad.exe
C:\totalcmd\TOTALCMD.EXE
C:\WINDOWS\system32\ctfmon.exe
D:\Instalace\hijackthis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.seznam.cz/
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://go.microsoft.com/fwlink/?LinkId=69157
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://go.microsoft.com/fwlink/?LinkId=54896
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = http://go.microsoft.com/fwlink/?LinkId=54896
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = http://go.microsoft.com/fwlink/?LinkId=69157
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Odkazy
O2 - BHO: Yahoo! Companion BHO - {02478D38-C3F9-4efb-9B51-7695ECA05670} - C:\Program Files\Yahoo!\Companion\Installs\cpn0\ycomp5_6_0_1.dll
O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Program Files\Adobe\Acrobat 7.0\ActiveX\AcroIEHelper.dll
O2 - BHO: Java(tm) Plug-In SSV Helper - {761497BB-D6F0-462C-B6EB-D4DAF1D92D43} - C:\Program Files\Java\jre6\bin\ssv.dll
O2 - BHO: Java(tm) Plug-In 2 SSV Helper - {DBC80044-A445-435b-BC74-9C25C1C588A9} - C:\Program Files\Java\jre6\bin\jp2ssv.dll
O2 - BHO: JQSIEStartDetectorImpl - {E7E6F031-17CE-4C07-BC86-EABFE594F69C} - C:\Program Files\Java\jre6\lib\deploy\jqs\ie\jqs_plugin.dll
O3 - Toolbar: &Yahoo! Companion - {EF99BD32-C1FB-11D2-892F-0090271D4F88} - C:\Program Files\Yahoo!\Companion\Installs\cpn0\ycomp5_6_0_1.dll
O4 - HKLM\..\Run: [RTHDCPL] RTHDCPL.EXE
O4 - HKLM\..\Run: [egui] "C:\Program Files\ESET\ESET NOD32 Antivirus\egui.exe" /hide /waitservice
O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\system32\NvCpl.dll,NvStartup
O4 - HKCU\..\Run: [Rainlendar2] C:\Program Files\Rainlendar2\Rainlendar2.exe
O4 - HKCU\..\Run: [ctfmon.exe] C:\WINDOWS\system32\ctfmon.exe
O4 - HKUS\S-1-5-18\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 'SYSTEM')
O4 - HKUS\.DEFAULT\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 'Default user')
O4 - Global Startup: RK WebCam.lnk = C:\Program Files\RKComputer\RK WebCam\RKWebCam.exe
O8 - Extra context menu item: E&xportovat do aplikace Microsoft Office Excel - res://C:\PROGRA~1\MICROS~2\OFFICE11\EXCEL.EXE/3000
O9 - Extra button: Zdroje informací - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - C:\PROGRA~1\MICROS~2\OFFICE11\REFIEBAR.DLL
O9 - Extra button: (no name) - {e2e2dd38-d088-4134-82b7-f2ba38496583} - C:\WINDOWS\Network Diagnostic\xpnetdiag.exe
O9 - Extra 'Tools' menuitem: @xpsp3res.dll,-20001 - {e2e2dd38-d088-4134-82b7-f2ba38496583} - C:\WINDOWS\Network Diagnostic\xpnetdiag.exe
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe
O17 - HKLM\System\CCS\Services\Tcpip\..\{2D4EB3AB-A43B-410C-A914-9907617B6A42}: NameServer = 10.0.0.138
O17 - HKLM\System\CCS\Services\Tcpip\..\{354FDA6B-307F-414E-808C-5FC2F1701320}: NameServer = 83.240.0.214,83.240.0.135
O18 - Protocol: skype4com - {FFC8B962-9B40-4DFF-9458-1830C7DD7F5D} - C:\PROGRA~1\COMMON~1\Skype\SKYPE4~1.DLL
O23 - Service: Autodesk Licensing Service - Autodesk - C:\Program Files\Common Files\Autodesk Shared\Service\AdskScSrv.exe
O23 - Service: Canon Camera Access Library 8 (CCALib8) - Canon Inc. - C:\Program Files\Canon\CAL\CALMAIN.exe
O23 - Service: Cerberus FTP Server - Cerberus, LLC - C:\Program Files\Cerberus LLC\Cerberus FTP Server\CerberusGUI.exe
O23 - Service: Eset HTTP Server (EhttpSrv) - ESET - C:\Program Files\ESET\ESET NOD32 Antivirus\EHttpSrv.exe
O23 - Service: Eset Service (ekrn) - ESET - C:\Program Files\ESET\ESET NOD32 Antivirus\ekrn.exe
O23 - Service: Java Quick Starter (JavaQuickStarterService) - Sun Microsystems, Inc. - C:\Program Files\Java\jre6\bin\jqs.exe
O23 - Service: LightScribeService Direct Disc Labeling Service (LightScribeService) - Hewlett-Packard Company - C:\Program Files\Common Files\LightScribe\LSSrvc.exe
O23 - Service: NMSAccessU - Unknown owner - C:\Program Files\CDBurnerXP\NMSAccessU.exe
O23 - Service: NVIDIA Display Driver Service (NVSvc) - NVIDIA Corporation - C:\WINDOWS\system32\nvsvc32.exe
O23 - Service: Pml Driver HPZ12 - HP - C:\WINDOWS\system32\HPZipm12.exe
O23 - Service: Ulead Burning Helper (UleadBurningHelper) - Ulead Systems, Inc. - C:\Program Files\Common Files\Ulead Systems\DVD\ULCDRSvr.exe

--
End of file - 5511 bytes

[jaro3]

c:\windows\system32\drivers\atapi.sys---zkus otestovat na VirusTotal..

Defogger si použil??


Stáhni si MBR Rootkit Detektor
- ulož si ho přímo na disk C a spusť ho
- za chvíli se ti vytvoří jeho log (mbr.log) vlož sem celý jeho obsah.

start-spustit
do okénka zkopíruj:

Kód:
"%userprofile%\plocha\mbr" -t

ok

vytvoří se log s názvem mbr.log, vlož ho sem.

Otevři si Poznámkový blok (Start -> Spustit... a napiš do okna Notepad a dej Ok.
Zkopíruj do něj následující celý text označený zeleně:
Poznámka: Nepoužij k označení skriptu funkci VYBRAT VŠE

Kód: Vybrat vše

Driver::
PHPGeekUtil


Zvol možnost Soubor -> Uložit jako... a nastav tyto parametry:
Název souboru: zde napiš: CFScript.txt
Uložit jako typ: tak tam vyber Všechny soubory
Ulož soubor na plochu.
Ukonči všechna aktivní okna.

Uchop myší vytvořený skript CFScript.txt, přemísti ho nad stažený program ComboFix.exe a když se oba soubory překryjí, skript upusť.
- Automaticky se spustí ComboFix
- Vlož sem log, který vyběhne v závěru čistícího procesu + nový log z HJT