Červ-prosím o pomoc

[sakiri]

Buď v klidu ComboFix ty soubory smazal a dal je do karantény - c:\Qoobox
A nod v karanténě ComboFixu ten smazaný soubor našel takže od toho souboru již nehrozilo nebezpečí.

Tuto složku smaž aby:
C:\Qoobox

Jinak já jsem chtěl zkontrolovat na Virustotalu tento soubor:
C:\WINDOWS\google.exe

Ale uděláme to takhle jdi na stránku Virustotalu a do volného řádku zkopíruj tento tučný text:
C:\WINDOWS\google.exe

A klikni na tlačítko Odeslat soubor.

Poté až skončí scanování tak sem vlož výsledky.

[Reklama]

[vlkova37]

tak ještě to není celé zkontrolované a už je toho tam nalezenýho plno složka - odstraněna

[vlkova37]

už jsem byla nervní,kde si tak dlouho je mi jasné,že tady nemůžeš být pořád,ale ráda bych to už dodělala,si zlatíčko,že mi pomáháš

[vlkova37]

je to tady a je tam toho požehnaně
<br>Soubor google.exe_ přijatý 2007.08.31 20:26:47 (CET)
Současný stav: Čekejte ... Ve frontě Čekání Testování Dokončeno NENALEZENO ZASTAVENO


Výsledek: 15/32 (46.88%)
Načítám informace ze serveru...
Váš soubor čeká ve frontě na pozici: 3.
Odhadovaný čas začátku mezi 48 a 68 sekundami.
Nezavírejte toto okno dokud nebude test dokončen.
Právě testující program byl je zastaven, probíhá čekání na program.
Za chvíli bude proveden další pokus o otestování souboru.
Pokud budete čekat déle než-li pět minut odešlete Váš soubor znovu.
Váš soubor je nyní testován pomocí VirusTotal,
výsledky budou zobrazeny po dokončení.
Formátované Vytisknout výsledky
Váš soubor není platný, nebo neexistuje.
Služba je pozastavena v tuto chvíli, váš soubor čeká na otestování (pozice: ) po nespecifikovanou dobu.

Nyní čekejte na odezvu webu (automatické obnovení), nebo napište email do pole a klikněte na "vyžádat" a systém Vám zašle email s výsledky až bude test hotov.
Email:


Antivirus Verze Poslední aktualizace Výsledek
AhnLab-V3 2007.9.1.0 2007.08.31 -
AntiVir 7.4.1.66 2007.08.31 Worm/Stration.BL.3
Authentium 4.93.8 2007.08.31 W32/Warezov.gen2!W32DL
Avast 4.7.1029.0 2007.08.31 -
AVG 7.5.0.484 2007.08.31 I-Worm/Stration.ENF
BitDefender 7.2 2007.08.31 Win32.Worm.Stration.XKQ
CAT-QuickHeal 9.00 2007.08.31 I-Worm.Warezov.ra
ClamAV 0.91.2 2007.08.31 -
DrWeb 4.33 2007.08.31 Win32.HLLM.Limar.2165
eSafe 7.0.15.0 2007.08.29 suspicious Trojan/Worm
eTrust-Vet 31.1.5099 2007.08.31 -
Ewido 4.0 2007.08.31 -
FileAdvisor 1 2007.08.31 -
Fortinet 3.11.0.0 2007.08.31 W32/Stration.QK@mm
F-Prot 4.3.2.48 2007.08.31 W32/Warezov.gen2!W32DL
F-Secure 6.70.13030.0 2007.08.31 Email-Worm.Win32.Warezov.ra
Ikarus T3.1.1.12 2007.08.31 DroppedWin32.Worm.Stration.EM
Kaspersky 4.0.2.24 2007.08.31 Email-Worm.Win32.Warezov.ra
McAfee 5110 2007.08.31 -
Microsoft 1.2803 2007.08.31 -
NOD32v2 2494 2007.08.31 -
Norman 5.80.02 2007.08.31 -
Panda 9.0.0.4 2007.08.31 Suspicious file
Prevx1 V2 2007.08.31 -
Rising 19.38.42.00 2007.08.31 -
Sophos 4.21.0 2007.08.31 -
Sunbelt 2.2.907.0 2007.08.25 -
Symantec 10 2007.08.31 -
TheHacker 6.1.9.175 2007.08.31 -
VBA32 3.12.2.3 2007.08.30 MalwareScope.Worm.Warezov.1
VirusBuster 4.3.26:9 2007.08.31 -
Webwasher-Gateway 6.0.1 2007.08.31 Worm.Stration.BL.3
Rozšiřující informace
File size: 179200 bytes
MD5: 164eed1cd7192fefbb405d366a0ff308
SHA1: 5cd70c86d551fee0c50d7fdbe07f4afcf099171b
packers: UPX
packers: UPX
packers: UPX

[sakiri]

Sem tušil že to bude šmejd budu tě muset poprosit o nový log z ComboFixu.

[vlkova37]

tady to máš a ještě ti napíšu co mi vylezlo za okno během kontroly,je to anglicky tak mi to chvilku dá než to opíšu,jinak nepros!!!!já jsem ten kdo prosí a žadoní o pomoc,tysi klidně poruč
ComboFix 07-08-30.3 - "Cipisek" 2007-08-31 20:39:45.3 - FAT32x86


((((((((((((((((((((((((( Files Created from 2007-07-28 to 2007-08-31 )))))))))))))))))))))))))))))))


2007-08-31 15:35 51,200 --a------ C:\WINDOWS\nircmd.exe
2007-08-22 00:41 179,200 --a------ C:\WINDOWS\google.exe
2007-07-19 20:07 <DIR> d-------- C:\Program Files\CCleaner
2007-07-11 15:39 43,264 -ra------ C:\WINDOWS\system32\drivers\ser2pl.sys
2007-07-11 15:27 <DIR> d-------- C:\Program Files\Mobile Action
2007-07-11 15:08 53 --a------ C:\WINDOWS\DelToolbox.bat


(((((((((((((((((((((((((((((((((((((((( Find3M Report ))))))))))))))))))))))))))))))))))))))))))))))))))))

2004-06-09 16:03 832728 --a------ C:\Program Files\NPSWF32.dll


((((((((((((((((((((((((((((((((((((( Reg Loading Points ))))))))))))))))))))))))))))))))))))))))))))))))))


*Note* empty entries & legit default entries are not shown

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
"Tweak UI"="TWEAKUI.CPL" [2004-03-21 18:32 C:\WINDOWS\system32\TWEAKUI.CPL]
"SSC_UserPrompt"="C:\Program Files\Common Files\Symantec Shared\Security Center\UsrPrmpt.exe" [2004-11-02 16:59]
"Symantec NetDriver Monitor"="C:\PROGRA~1\SYMNET~1\SNDMon.exe" [2005-07-28 13:01]
"msnappau"="C:\Program Files\MSN Apps\Updater\01.02.3000.1001\cs-cz\msnappau.exe" [2004-08-13 17:41]
"nod32kui"="C:\Program Files\Eset\nod32kui.exe" [2006-10-04 12:29]
"QuickTime Task"="C:\Program Files\QuickTime\qttask.exe" [2005-07-30 16:34]

[HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
"CTFMON.EXE"="C:\WINDOWS\System32\CTFMON.EXE" [2002-09-20 16:05]

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\ccApp]
"C:\Program Files\Common Files\Symantec Shared\ccApp.exe"

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\Easy-PrintToolBox]
C:\Program Files\Canon\Easy-PrintToolBox\BJPSMAIN.EXE /logon

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\ICQ Lite]
"C:\Program Files\ICQLite\ICQLite.exe" -minimize

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\IncrediMail]
C:\Program Files\IncrediMail\bin\IncMail.exe /c

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\MSMSGS]
"C:\Program Files\Messenger\msmsgs.exe" /background

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\MsnMsgr]
"C:\Program Files\MSN Messenger\msnmsgr.exe" /background

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\QuickTime Task]
"C:\Program Files\QuickTime\qttask.exe" -atboottime

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\SIM]
"C:\Program Files\SIM\sim.exe"

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\WildTangent CDA]
"C:\Program Files\WildTangent\Apps\CDA\GameDrvr.exe" /startup "C:\Program Files\WildTangent\Apps\CDA\cdaEngine0500.dll"

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\WinampAgent]
C:\Program Files\Winamp\winampa.exe

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\WT GameChannel]
C:\Program Files\WildTangent\Apps\GameChannel.exe

HKEY_LOCAL_MACHINE\Software\Microsoft\Windows NT\CurrentVersion\Svchost - NetSvcs
Schedule

*Newly Created Service* - ALG
*Newly Created Service* - IPNAT

**************************************************************************

catchme 0.3.1061 W2K/XP/Vista - rootkit/stealth malware detector by Gmer, http://www.gmer.net
Rootkit scan 2007-08-31 20:41:46
Windows 5.1.2600 Service Pack 1 FAT NTAPI

scanning hidden processes ...

scanning hidden autostart entries ...

scanning hidden files ...

scan completed successfully
hidden files: 0

**************************************************************************

Completion time: 2007-08-31 20:42:52
C:\ComboFix3.txt ... 2007-08-31 16:07
C:\ComboFix-quarantined-files.txt ... 2007-08-31 20:42
C:\ComboFix2.txt ... 2007-08-31 17:18

--- E O F ---

[sakiri]

Smaž vytvořený CFScript.txt.

Spusť znovu Notepad (Poznámkový blok) a vlož do něj celý text z toho bílého políčka:

Kód: Vybrat vše

File::
C:\WINDOWS\google.exe

Pak dej Soubor (File) -> Uložit jako (Save As) -> jak je Název souboru (File name) tak do toho řádku napiš: CFScript.txt
Typ souboru (Save as type) tak tam vyber *všechny soubory (*all files)
A ulož ho na plochu.

Uchop myší vytvořený skript CFScript.txt, přemísti ho nad stažený program ComboFix a když se oba soubory překryjí, skript upusť
- Automaticky se spustí ComboFix
- Po spuštění se zobrazí podmínky užití, potvrď je stiskem klávesy 1
- Postupuj dle pokynů, během aplikování ComboFixu neklikej do zobrazujícího se okna
- Po dokončení čistícího procesu a případném restartu počítače by se ti měl zobrazit log. Jinak umístěný C:\ComboFix.txt
- Tak sem zkopíruj celý jeho obsah.

+ řekni jestli máš pořád problém se šmejdem.

[vlkova37]

v hlavním okně (modrém) se mi jednu chvíli napsalo česky že systém nemůže najít uvedenou cestu a pak se mi odevřelo samostatné okno -Alert! - symantec script blocking has prevented ascript action that could be marmful to zou.aplicatio:cscript.exe,source file://nologo inkread.vbs"C/docume 1/alluse 1/nah=DK 1/programObject:file system object Method:get folder
doufám,že tam nemám někde chybu,snad to rozluštíš,ještě-za slovem docume a před 1 byla vlnka,nevím kde na klávesnici je

[sakiri]

No uděláme to jednodušeji.

Stáhni si Avenger a spusť ho pod účtem administrátora.
Zaškrtni volbu - Input script manually a klikni na ikonku lupy vyskočí prázdné okno kam zkopíruj ten tučně označený text:
Files to delete:
C:\WINDOWS\google.exe

A klikni na Done.
Poté klikni na ikonku Semafory.

Vyskočí hláška kde odklikni Yes poté další hláška kde odklikni Yes.
PC se restartuje.Po restartu by ti měl "vyběhnout" log z Avengeru tak ho sem zkopíruj.

[vlkova37]

ComboFix 07-08-30.3 - "Cipisek" 2007-08-31 21:09:51.4 - FAT32x86

FILE::
C:\WINDOWS\google.exe


((((((((((((((((((((((((((((((((((((((( Other Deletions )))))))))))))))))))))))))))))))))))))))))))))))))


C:\WINDOWS\google.exe


((((((((((((((((((((((((( Files Created from 2007-07-28 to 2007-08-31 )))))))))))))))))))))))))))))))


2007-08-31 15:35 51,200 --a------ C:\WINDOWS\nircmd.exe
2007-07-19 20:07 <DIR> d-------- C:\Program Files\CCleaner
2007-07-11 15:39 43,264 -ra------ C:\WINDOWS\system32\drivers\ser2pl.sys
2007-07-11 15:27 <DIR> d-------- C:\Program Files\Mobile Action
2007-07-11 15:08 53 --a------ C:\WINDOWS\DelToolbox.bat


(((((((((((((((((((((((((((((((((((((((( Find3M Report ))))))))))))))))))))))))))))))))))))))))))))))))))))

2004-06-09 16:03 832728 --a------ C:\Program Files\NPSWF32.dll


((((((((((((((((((((((((((((((((((((( Reg Loading Points ))))))))))))))))))))))))))))))))))))))))))))))))))


*Note* empty entries & legit default entries are not shown

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
"Tweak UI"="TWEAKUI.CPL" [2004-03-21 18:32 C:\WINDOWS\system32\TWEAKUI.CPL]
"SSC_UserPrompt"="C:\Program Files\Common Files\Symantec Shared\Security Center\UsrPrmpt.exe" [2004-11-02 16:59]
"Symantec NetDriver Monitor"="C:\PROGRA~1\SYMNET~1\SNDMon.exe" [2005-07-28 13:01]
"msnappau"="C:\Program Files\MSN Apps\Updater\01.02.3000.1001\cs-cz\msnappau.exe" [2004-08-13 17:41]
"nod32kui"="C:\Program Files\Eset\nod32kui.exe" [2006-10-04 12:29]
"QuickTime Task"="C:\Program Files\QuickTime\qttask.exe" [2005-07-30 16:34]

[HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
"CTFMON.EXE"="C:\WINDOWS\System32\CTFMON.EXE" [2002-09-20 16:05]

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\ccApp]
"C:\Program Files\Common Files\Symantec Shared\ccApp.exe"

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\Easy-PrintToolBox]
C:\Program Files\Canon\Easy-PrintToolBox\BJPSMAIN.EXE /logon

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\ICQ Lite]
"C:\Program Files\ICQLite\ICQLite.exe" -minimize

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\IncrediMail]
C:\Program Files\IncrediMail\bin\IncMail.exe /c

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\MSMSGS]
"C:\Program Files\Messenger\msmsgs.exe" /background

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\MsnMsgr]
"C:\Program Files\MSN Messenger\msnmsgr.exe" /background

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\QuickTime Task]
"C:\Program Files\QuickTime\qttask.exe" -atboottime

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\SIM]
"C:\Program Files\SIM\sim.exe"

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\WildTangent CDA]
"C:\Program Files\WildTangent\Apps\CDA\GameDrvr.exe" /startup "C:\Program Files\WildTangent\Apps\CDA\cdaEngine0500.dll"

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\WinampAgent]
C:\Program Files\Winamp\winampa.exe

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\WT GameChannel]
C:\Program Files\WildTangent\Apps\GameChannel.exe


HKEY_LOCAL_MACHINE\Software\Microsoft\Windows NT\CurrentVersion\Svchost - NetSvcs
Schedule

*Newly Created Service* - ALG
*Newly Created Service* - IPNAT

**************************************************************************

catchme 0.3.1061 W2K/XP/Vista - rootkit/stealth malware detector by Gmer, http://www.gmer.net
Rootkit scan 2007-08-31 21:11:38
Windows 5.1.2600 Service Pack 1 FAT NTAPI

scanning hidden processes ...

scanning hidden autostart entries ...

scanning hidden files ...

scan completed successfully
hidden files: 0

**************************************************************************

Completion time: 2007-08-31 21:12:24
C:\ComboFix-quarantined-files.txt ... 2007-08-31 21:12
C:\ComboFix3.txt ... 2007-08-31 17:18
C:\ComboFix2.txt ... 2007-08-31 20:42

--- E O F ---

[vlkova37]

Logfile of The Avenger version 1, by Swandog46
Running from registry key:
\Registry\Machine\System\CurrentControlSet\Services\anbyoepc

*******************

Script file located at: \??\C:\WINDOWS\gfrbjjau.txt
Script file opened successfully.

Script file read successfully

Backups directory opened successfully at C:\Avenger

*******************

Beginning to process script file:



File C:\WINDOWS\google.exe not found!
Deletion of file C:\WINDOWS\google.exe failed!

Could not process line:
C:\WINDOWS\google.exe
Status: 0xc0000034


Completed script processing.

*******************

Finished! Terminate.

[sakiri]

Super ComboFix smazal šmejdy.

Jelikož jsi tam měla soubory patřící Warezzovu tak použij pro jistotu Avengera dle tohoto návodu - http://www.viry.cz/forum/viewtopic.php?t=21484

A pokud již nemáš problémy tak to je vše.